Information Technology Governance

เป็นอย่างไรกันบ้างครับ หลังจากที่ท่านผู้สนใจได้ติดตามแนวทางการบริหารความเสี่ยงขององค์กร มาในระยะหนึ่งแล้ว ก่อนที่จะลงลึงไปในรายละเอียดของการจัดการความเสี่ยง ซึ่งผมจะได้อธิบายในโอกาสต่อไปนั้น ผมอยากให้ท่านผู้อ่านเห็นภาพของการบริหารจัดการความเสี่ยงขององค์กรว่ามีกระบวนการบริหารความเสี่ยงในภาพโดยรวมเป็นอย่างไร เพื่อที่จะได้เข้าใจและเตรียมพร้อมในการก้าวสู่การจัดการความเสี่ยงต่อไปครับ

กระบวนการบริหารความเสี่ยงในภาพโดยรวม

กระบวนการบริหารความเสี่ยงที่มีประสิทธิผล ประกอบด้วย 5 ขั้นตอนต่อไปนี้

1. การกำหนดวัตถุประสงค์และกลยุทธ์
การกำหนดวัตถุประสงค์และกลยุทธ์ ควรกำหนดให้ชัดเจนและสื่อสารให้แก่หน่วยงานต่าง ๆ ที่เกี่ยวข้องในองค์กรด้วย เพื่อให้มีความเข้าใจตรงกัน

2. การบ่งชี้ความเสี่ยงในมิติต่าง ๆ
ความเสี่ยงและเหตุแห่งความเสี่ยงควรครอบคลุมในเรื่องต่อไปนี้
– ความเสียหายหรือเหตุการณ์ต่าง ๆ ที่อาจมีผลกระทบในเชิงลบต่อองค์กร
– ความไม่แน่นอนที่อาจมีผลต่อการบรรลุวัตถุประสงค์และกลยุทธ์ขององค์กร
– เหตุการณ์ที่อาจทำให้องค์กรเสียโอกาสในการได้สิ่งที่ดี

กระบวนการบ่งชี้ความเสี่ยงควรพิจารณาให้ครอบคลุมถึง
– ความเสี่ยงที่อาจเกิดขึ้นทุกประเภท เช่น ความเสี่ยงทางกลยุทธ์ การเงิน บุคลากร การดำเนินงาน ชื่อเสียง กฎหมาย ภาษีอากร ระบบงาน และสิ่งแวดล้อม เป็นต้น
– ความเสี่ยงที่อาจเกิดขึ้นจากสาเหตุทั้งภายในและภายนอกองค์กร

ทั้งนี้อาจอธิบายการสำรวจความเสี่ยงทั่งทั้งองค์กรด้วยภาพดังนี้

การสำรวจความเสี่ยงทั่วทั้งองค์กร

3. การประเมินความเสี่ยง
เมื่อบ่งชี้ความเสี่ยงได้แล้ว ควรทำการประเมินความเสี่ยง โดยพิจารณาความเสี่ยงที่มีอยู่ก่อนทำการควบคุมใด ๆ จากนั้นจึงพิจารณาดูว่าการปฏิบัติงานในปัจจุบันได้มีวิธีการอย่างไรในการจัดการความเสี่ยง โดยพิจารณาถึงการจัดการต่าง ๆ ดังนี้
– การปฏิบัติงานของผู้บริหารและพนักงาน
– กระบวนการการดำเนินงานขององค์กร
– กิจกรรมการควบคุมภายใน
– โครงสร้างขององค์กรและกระบวนการรายงาน
– การวัดผลการดำเนินงานและการติดตามผลของกิจกรรมต่าง ๆ
– วิธีการสื่อสารทั้งภายในและภายนอกองค์กร
– ทัศนคติของผู้บริหารต่อความเสี่ยงและวิธีการบริหารความเสี่ยง
– การปฏิบัติด้านบุคลากร
– การปฏิบัติต่อคู่ค้าและสัญญาทางธุรกิจขององค์กร

เมื่อได้พิจารณาถึงการจัดการต่าง ๆ แล้ว จึงทำการประเมินระดับความแรงของความเสี่ยงอีกครั้งหนึ่ง การประเมินความเสี่ยงทุกครั้ง ควรประเมินทั้งในเชิงคุณภาพ เช่น ชื่อเสียง การขาดบุคลากรหลักในการดำเนินงาน และเชิงปริมาณ เช่น ผลขาดทุน การลดลงของรายได้ หรือการเพิ่มขึ้นของค่าใช้จ่ายที่อาจมีผลต่อการบรรลุวัตถุประสงค์และกลยุทธ์ขององค์กร โดยการประเมินควรพิจารณาให้ครอบคลุมถึงประเด็นดังนี้
– โอกาสของความเสี่ยงที่อาจเกิดขึ้น (Likelihood) ความเสี่ยงมีโอกาสเกิดขึ้นได้มากน้อยเพียงไร
– ผลกระทบ (Impact) หากมีความเสี่ยงเกิดขึ้น องค์กรจะได้รับผลกระทบมากน้อยเพียงไร

4. การจัดการความเสี่ยง
การจัดการความเสี่ยงอาจใช้วิธีใดวิธีหนึ่งดังนี้
– การหลีกเลี่ยงไม่ยอมรับความเสี่ยงนั้นเลย จึงอาจทำให้ต้องเปลี่ยนวัตถุประสงค์
– การโอนย้าย โดยโอนความเสี่ยงให้ผู้อื่นช่วยรับผิดชอบ เช่น การทำประกันภัย
– การควบคุม ด้วยการหาวิธีการควบคุมเพิ่มเติมเพื่อจัดการความเสี่ยง
– การยอมรับ โดยใช้วิธีการเดิมต่อไปในการจัดการความเสี่ยง

การบริหารความเสี่ยงให้มีประสิทธิภาพ ต้องกำหนดบุคคลที่รับผิดชอบในการจัดการความเสี่ยงในแต่ละเรื่องที่ได้รับการบ่งชี้

บุคคลที่ได้รับมอบหมายให้รับผิดชอบในการจัดการความเสี่ยงในแต่ละเรื่อง ควรมีคุณสมบัติดังนี้
– สามารถทบทวนประสิทธิภาพของแนวปฏิบัติการบริหารความเสี่ยงที่มีอยู่ในปัจจุบัน
– สามารถจัดให้มีกิจกรรมต่าง ๆ ต่อไปนี้อย่างมีประสิทธิภาพและประสิทธิผล

 การกำหนดการควบคุมที่ต้องการเพิ่มเติมเพื่อจัดการความเสี่ยงให้อยู่ในระดับที่องค์กรยอมรับได้
 การประเมินความเสี่ยงที่เหลืออยู่หลังจากได้มีการจัดการในปัจจุบันแล้ว
 การกำหนดเวลาที่แน่นอนในแต่ละขั้นตอนการดำเนินการให้เป็นไปตามแผนที่กำหนดไว้

5. การติดตามผลและการรายงาน
องค์ประกอบหลักของการติดตามผลและการรายงานคือ
– การประเมินคุณภาพและความเหมาะสมในการปฏิบัติงานเพื่อลดความเสี่ยง รวมถึงการระบุความเสี่ยงที่สามารถโอนย้ายออกไปภายนอกองค์กรได้
– การรายงานความเสี่ยงจากทุกหน่วยงานในองค์กรอย่างสม่ำเสมอ สอดคล้องและต่อเนื่อง

องค์ประกอบสำคัญของการติดตามคือการสื่อสาร ที่ต้องดำเนินการอย่างรวดเร็วและสม่ำเสมอ โดยวิธีการที่หลากหลาย เช่น การประชุม การจัดทำรายงานประจำเดือน เพื่อให้ผู้บริหารได้ทำการสอบทานสถานะของความเสี่ยงและแผนการดำเนินงาน ซึ่งจะช่วยให้เกิดการบอกกล่าวข้อมูลที่สำคัญ และทำให้เกิดการตัดสินใจที่มีประสิทธิผลได้ทันเวลา

สิ่งที่ผมได้กล่าวมาทั้งหมดตั้งแต่ครั้งแรกจนถึงครั้งนี้ ผมขอสรุปบางมุมมองของการบริหารความเสี่ยงที่สอดประสานกันทั่วทั้งองค์กร เพื่อให้ท่านผู้อ่านเข้าใจภาพของการบริหารความเสี่ยงขององค์กรได้ชัดเจนยิ่งขึ้น

บางมุมมองของการบริหารความเสี่ยงที่สอดประสานทั่วทั้งองค์กร

ในครั้งหน้าเราจะมาพูดกันถึงการจัดการความเสี่ยงขององค์กรโดยทั่วไปกันครับ

ครั้งก่อนผมได้กล่าวถึง แนวทางของการระบุปัจจัยเสี่ยงและเครื่องมือที่ใช้วัดการระบุปัจจัยเสี่ยงไปแล้ว ครั้งนี้เราจะมาดูกันว่า โครงสร้างของการบริหารความเสี่ยงประกอบไปด้วยใครกันบ้าง และในแต่ละคน/แต่ละส่วนงานมีหน้าที่และความรับผิดชอบในการบริหารความเสี่ยงอย่างไรกันบ้าง ซึ่งผมจะพูดถึงบทบาทและความรับผิดชอบหลักของผู้ที่เกี่ยวข้องโดยตรงกับการบริหารความเสี่ยง โดยจะแบ่งเป็นหัวข้อ ๆ เพื่อให้เข้าใจได้ง่าย เรามาดูกันต่อเลยครับ

โครงสร้างการบริหารความเสี่ยง
โครงสร้างของการบริหารความเสี่ยง ไม่มีรูปแบบที่เป็นมาตรฐานเพียงแบบเดียว แต่ต้องมีการปรับใช้ให้เหมาะสมกับแต่ละองค์กร โดยจะพิจารณาได้จากวัฒนธรรม ความซับซ้อนของการดำเนินงาน ประเภทและลักษณะขององค์กรเป็นองค์ประกอบ สิ่งสำคัญของโครงสร้างการบริหารความเสี่ยง คือการที่คณะกรรมการและผู้บริหารทุกระดับมีบทบาทและมีส่วนร่วมในการพัฒนาการบริหารความเสี่ยงขององค์กร

โครงสร้างการบริหารความเสี่ยงที่มีประสิทธิผลขององค์กรจะช่วยในการประเมิน ควบคุมและติดตามความเสี่ยงของแต่ละหน่วยงาน และทำให้เกิดความมั่นใจว่าการปฏิบัติงานในการบริหารความเสี่ยงโดยทุกคนในองค์กรอยู่ภายใต้กรอบเดียวกัน

โครงสร้างการบริหารความเสี่ยงที่มีประสิทธิผลประกอบด้วย
– คณะกรรมการที่มีความรับผิดชอบโดยตรงในการกำกับดูแลการบริหารความเสี่ยง
– คณะกรรมการบริหารความเสี่ยงที่ได้รับแต่งตั้งให้ทำหน้าที่ในการพัฒนาการบริหารความเสี่ยงอย่างน้อยควรประกอบด้วยผู้บริหารระดับสูงขององค์กร เช่น กรรมการผู้จัดการ และรองกรรมการผู้จัดการ
– หน่วยงานหรือผู้รับผิดชอบในการบริหารความเสี่ยงที่รับผิดชอบในการนำเอาวิสัยทัศน์ขององค์กรในส่วนที่เกี่ยวกับการบริหารความเสี่ยงไปกำหนดเป็นนโยบายและวิธีการปฏิบัติ

อย่างที่ได้กล่าวไปในช่วงต้นแล้วว่า โครงสร้างของการบริหารความเสี่ยง ไม่มีรูปแบบที่เป็นมาตรฐานตายตัว แต่ต้องมีการปรับใช้ให้เหมาะสมกับแต่ละองค์กร ดังนั้น ผมจึงขอนำแผนภาพที่เป็นตัวอย่างของโครงสร้างการบริหารความเสี่ยงมาให้ดูกันครับ

โครงสร้างการบริหารความเสี่ยงขององค์กร

การพัฒนาโครงสร้างการบริหารความเสี่ยงอย่างเป็นทางการ จะทำให้ผู้บริหารและพนักงานในหน่วยงานต่าง ๆ มีความเข้าใจในหน้าที่และความรับผิดชอบที่เกี่ยวข้องกับการบริหารความเสี่ยง ซึ่งมีผลให้เกิดการตัดสินใจที่ถูกต้อง ทันเวลา ป้องกันความสูญเสียและเพิ่มโอกาสทางธุรกิจให้แก่องค์กร

การพัฒนาโครงสร้างการบริหารความเสี่ยงต้องการความรับผิดชอบและความร่วมมือจากทุกคนดังนี้
– คณะกรรมการ
– คณะกรรมการตรวจสอบ
– คณะกรรมการบริหารความเสี่ยง
– ผู้บริหารระดับสูง
– หน่วยงานหรือผู้รับผิดชอบการบริหารความเสี่ยง
– ผู้ตรวจสอบภายใน
– หัวหน้างานและพนักงาน

บทบาทและความรับผิดชอบหลักของผู้ที่เกี่ยวข้องโดยตรงกับการบริหารความเสี่ยง
คณะกรรมการ
– จะต้องเข้าใจถึงความเสี่ยงที่อาจมีผลกระทบร้ายแรงต่อการบรรลุวัตถุประสงค์ขององค์กร และทำให้มั่นใจว่ามีการดำเนินการที่เหมาะสมเพื่อจัดการความเสี่ยงนั้น ๆ

คณะกรรมการตรวจสอบ
– ต้องทำให้มั่นใจว่ามีการควบคุมภายในองค์กรที่เหมาะสมเพื่อจัดการความเสี่ยงทั่วทั้งองค์กร
– มีหน้าที่กำกับดูแลและติดตามการบริหารความเสี่ยงอย่างเป็นอิสระ
– ติดตามประสิทธิภาพการทำงานของหน่วยงานตรวจสอบภายใน
– รายงานต่อคณะกรรมการและผู้ถือหุ้นเกี่ยวกับประสิทธิภาพและประสิทธิผลของการควบคุมภายในองค์กร
– คณะกรรมการตรวจสอบมีการสื่อสารกับคณะกรรมการบริหารความเสี่ยง เพื่อให้เข้าใจความเสี่ยงที่สำคัญและเชื่อมโยงให้สอดคล้องกับการควบคุมภายใน

คณะกรรมการบริหารความเสี่ยง
– มีหน้าที่ในการพิจารณาและอนุมัตินโยบายและกรอบการบริหารความเสี่ยง
– ติดตามการพัฒนากรอบการบริหารความเสี่ยง
– ติดตามกระบวนการบ่งชี้และการประเมินความเสี่ยง
– ประเมินและอนุมัติแผนการจัดการความเสี่ยง
– รายงานต่อคณะกรรมการเกี่ยวกับความเสี่ยง และการจัดการความเสี่ยง
– มีการสื่อสารกับคณะกรรมการตรวจสอบเกี่ยวกับความเสี่ยงที่สำคัญ

กรรมการผู้จัดการหรือ ผู้อำนวยการ
– มีหน้าที่ติดตามความเสี่ยงที่สำคัญทั้งองค์กร และทำให้มั่นใจได้ว่ามีแผนการจัดการกับความเสี่ยงที่เหมาะสม
– ส่งเสริมนโยบายการบริหารความเสี่ยง และทำให้มั่นใจว่ากระบวนการบริหารความเสี่ยงได้รับการปฏิบัติทั่วทั้งองค์กร

รองกรรมการผู้จัดการ หรือ รองผู้อำนวยการ
– ต้องติดตามความเสี่ยงทางกลยุทธ์และความเสี่ยงด้านการปฏิบัติการที่สำคัญ และทำให้มั่นใจได้ว่ามีแผนการจัดการความเสี่ยงที่เหมาะสม
– ส่งเสริมวัฒนธรรมการบริหารความเสี่ยง และทำให้มั่นใจได้ว่าผู้อำนวยการฝ่ายให้ความสำคัญกับการบริหารความเสี่ยงในฝ่ายของตน

ผู้อำนวยการฝ่าย
– ต้องทำให้มั่นใจว่าการปฏิบัติงานรายวันมีการประเมิน จัดการและรายงานความเสี่ยงอย่างเพียงพอ
– มีการส่งเสริมพนักงานในฝ่ายให้ตระหนักถึงความสำคัญของการบริหารความเสี่ยง

หัวหน้างานหรือพนักงาน
– มีหน้าที่ระบุและรายงานความเสี่ยงที่เกี่ยวข้องกับการปฏิบัติงานต่อผู้อำนวยการฝ่าย และเข้าร่วมในการจัดทำแผนจัดการความเสี่ยง และนำแผนไปปฏิบัติ

หน่วยงานหรือผู้รับผิดชอบการบริหารความเสี่ยง
– ต้องปฏิบัติหน้าที่ประจำวันแทนคณะกรรมการบริหารความเสี่ยง
– จัดทำนโยบายความเสี่ยง กรอบและกระบวนการให้กับหน่วยงานและเสนอคณะกรรมการบริหารความเสี่ยงเพื่ออนุมัติ
– มีหน้าที่ให้การสนับสนุน และแนะนำกระบวนการบริหารความเสี่ยง แก่หน่วยงานต่าง ๆ ภายในองค์กรตามที่มีการร้องขอ

ผู้ตรวจสอบภายใน
– ต้องทำให้มั่นใจว่ามีการควบคุมภายในองค์กรที่เหมาะสมต่อการจัดการความเสี่ยง และการควบคุมเหล่านั้นได้รับการปฏิบัติตาม
– ทำให้มั่นใจว่าได้มีการนำระบบการบริหารความเสี่ยงมาปรับใช้อย่างเหมาะสมและมีการปฏิบัติตามทั่วทั้งองค์กร
– มีการสอบทานการปฏิบัติงานของหน่วยงานการบริหารความเสี่ยง
– ต้องสื่อสารกับหน่วยงานการบริหารความเสี่ยงเพื่อทำความเข้าใจเกี่ยวกับความเสี่ยง และดำเนินการตรวจสอบภายในตามแนวความเสี่ยง (Risk Based Auditing)

ถึงแม้ว่าจะมีการกำหนดบทบาทและหน้าที่ความรับผิดชอบของผู้เกี่ยวข้องกับการบริหารความเสี่ยงไว้อย่างชัดเจนแล้วก็ตาม แต่อย่างไรก็ตาม องค์กรทั่วไปควรกำหนดให้การบริหารความเสี่ยงเป็นความรับผิดชอบร่วมกันของผู้บริหารและพนักงานทุกระดับ และให้มีการปฏิบัติอย่างต่อเนื่อง เพื่อให้การบริหารความเสี่ยงประสบความสำเร็จและมีประสิทธิภาพสูงสุด

ผมจะขอทิ้งท้ายด้วยภาพของบทบาทและหน้าที่ความรับผิดชอบของผู้บริหารความเสี่ยง ดังที่ได้อธิบายในข้างต้นไว้ให้ได้ชมกันครับ

บทบาทและหน้าที่ความรับผิดชอบของผู้บริหารความเสี่ยง

ครั้งก่อนผมได้กล่าวถึง แนวทางของการระบุปัจจัยเสี่ยงและเครื่องมือที่ใช้วัดการระบุปัจจัยเสี่ยงไปแล้ว ครั้งนี้เราจะมาดูกันว่า โครงสร้างของการบริหารความเสี่ยงประกอบไปด้วยใครกันบ้าง และในแต่ละคน/แต่ละส่วนงานมีหน้าที่และความรับผิดชอบในการบริหารความเสี่ยงอย่างไรกันบ้าง ซึ่งผมจะพูดถึงบทบาทและความรับผิดชอบหลักของผู้ที่เกี่ยวข้องโดยตรงกับการบริหารความเสี่ยง โดยจะแบ่งเป็นหัวข้อ ๆ เพื่อให้เข้าใจได้ง่าย เรามาดูกันต่อเลยครับ

โครงสร้างการบริหารความเสี่ยง
โครงสร้างของการบริหารความเสี่ยง ไม่มีรูปแบบที่เป็นมาตรฐานเพียงแบบเดียว แต่ต้องมีการปรับใช้ให้เหมาะสมกับแต่ละองค์กร โดยจะพิจารณาได้จากวัฒนธรรม ความซับซ้อนของการดำเนินงาน ประเภทและลักษณะขององค์กรเป็นองค์ประกอบ สิ่งสำคัญของโครงสร้างการบริหารความเสี่ยง คือการที่คณะกรรมการและผู้บริหารทุกระดับมีบทบาทและมีส่วนร่วมในการพัฒนาการบริหารความเสี่ยงขององค์กร

โครงสร้างการบริหารความเสี่ยงที่มีประสิทธิผลขององค์กรจะช่วยในการประเมิน ควบคุมและติดตามความเสี่ยงของแต่ละหน่วยงาน และทำให้เกิดความมั่นใจว่าการปฏิบัติงานในการบริหารความเสี่ยงโดยทุกคนในองค์กรอยู่ภายใต้กรอบเดียวกัน

โครงสร้างการบริหารความเสี่ยงที่มีประสิทธิผลประกอบด้วย
– คณะกรรมการที่มีความรับผิดชอบโดยตรงในการกำกับดูแลการบริหารความเสี่ยง
– คณะกรรมการบริหารความเสี่ยงที่ได้รับแต่งตั้งให้ทำหน้าที่ในการพัฒนาการบริหารความเสี่ยงอย่างน้อยควรประกอบด้วยผู้บริหารระดับสูงขององค์กร เช่น กรรมการผู้จัดการ และรองกรรมการผู้จัดการ
– หน่วยงานหรือผู้รับผิดชอบในการบริหารความเสี่ยงที่รับผิดชอบในการนำเอาวิสัยทัศน์ขององค์กรในส่วนที่เกี่ยวกับการบริหารความเสี่ยงไปกำหนดเป็นนโยบายและวิธีการปฏิบัติ

อย่างที่ได้กล่าวไปในช่วงต้นแล้วว่า โครงสร้างของการบริหารความเสี่ยง ไม่มีรูปแบบที่เป็นมาตรฐานตายตัว แต่ต้องมีการปรับใช้ให้เหมาะสมกับแต่ละองค์กร ดังนั้น ผมจึงขอนำแผนภาพที่เป็นตัวอย่างของโครงสร้างการบริหารความเสี่ยงมาให้ดูกันครับ

โครงสร้างการบริหารความเสี่ยงขององค์กร

การพัฒนาโครงสร้างการบริหารความเสี่ยงอย่างเป็นทางการ จะทำให้ผู้บริหารและพนักงานในหน่วยงานต่าง ๆ มีความเข้าใจในหน้าที่และความรับผิดชอบที่เกี่ยวข้องกับการบริหารความเสี่ยง ซึ่งมีผลให้เกิดการตัดสินใจที่ถูกต้อง ทันเวลา ป้องกันความสูญเสียและเพิ่มโอกาสทางธุรกิจให้แก่องค์กร

การพัฒนาโครงสร้างการบริหารความเสี่ยงต้องการความรับผิดชอบและความร่วมมือจากทุกคนดังนี้
– คณะกรรมการ
– คณะกรรมการตรวจสอบ
– คณะกรรมการบริหารความเสี่ยง
– ผู้บริหารระดับสูง
– หน่วยงานหรือผู้รับผิดชอบการบริหารความเสี่ยง
– ผู้ตรวจสอบภายใน
– หัวหน้างานและพนักงาน

บทบาทและความรับผิดชอบหลักของผู้ที่เกี่ยวข้องโดยตรงกับการบริหารความเสี่ยง
คณะกรรมการ
– จะต้องเข้าใจถึงความเสี่ยงที่อาจมีผลกระทบร้ายแรงต่อการบรรลุวัตถุประสงค์ขององค์กร และทำให้มั่นใจว่ามีการดำเนินการที่เหมาะสมเพื่อจัดการความเสี่ยงนั้น ๆ

คณะกรรมการตรวจสอบ
– ต้องทำให้มั่นใจว่ามีการควบคุมภายในองค์กรที่เหมาะสมเพื่อจัดการความเสี่ยงทั่วทั้งองค์กร
– มีหน้าที่กำกับดูแลและติดตามการบริหารความเสี่ยงอย่างเป็นอิสระ
– ติดตามประสิทธิภาพการทำงานของหน่วยงานตรวจสอบภายใน
– รายงานต่อคณะกรรมการและผู้ถือหุ้นเกี่ยวกับประสิทธิภาพและประสิทธิผลของการควบคุมภายในองค์กร
– คณะกรรมการตรวจสอบมีการสื่อสารกับคณะกรรมการบริหารความเสี่ยง เพื่อให้เข้าใจความเสี่ยงที่สำคัญและเชื่อมโยงให้สอดคล้องกับการควบคุมภายใน

คณะกรรมการบริหารความเสี่ยง
– มีหน้าที่ในการพิจารณาและอนุมัตินโยบายและกรอบการบริหารความเสี่ยง
– ติดตามการพัฒนากรอบการบริหารความเสี่ยง
– ติดตามกระบวนการบ่งชี้และการประเมินความเสี่ยง
– ประเมินและอนุมัติแผนการจัดการความเสี่ยง
– รายงานต่อคณะกรรมการเกี่ยวกับความเสี่ยง และการจัดการความเสี่ยง
– มีการสื่อสารกับคณะกรรมการตรวจสอบเกี่ยวกับความเสี่ยงที่สำคัญ

กรรมการผู้จัดการหรือ ผู้อำนวยการ
– มีหน้าที่ติดตามความเสี่ยงที่สำคัญทั้งองค์กร และทำให้มั่นใจได้ว่ามีแผนการจัดการกับความเสี่ยงที่เหมาะสม
– ส่งเสริมนโยบายการบริหารความเสี่ยง และทำให้มั่นใจว่ากระบวนการบริหารความเสี่ยงได้รับการปฏิบัติทั่วทั้งองค์กร

รองกรรมการผู้จัดการ หรือ รองผู้อำนวยการ
– ต้องติดตามความเสี่ยงทางกลยุทธ์และความเสี่ยงด้านการปฏิบัติการที่สำคัญ และทำให้มั่นใจได้ว่ามีแผนการจัดการความเสี่ยงที่เหมาะสม
– ส่งเสริมวัฒนธรรมการบริหารความเสี่ยง และทำให้มั่นใจได้ว่าผู้อำนวยการฝ่ายให้ความสำคัญกับการบริหารความเสี่ยงในฝ่ายของตน

ผู้อำนวยการฝ่าย
– ต้องทำให้มั่นใจว่าการปฏิบัติงานรายวันมีการประเมิน จัดการและรายงานความเสี่ยงอย่างเพียงพอ
– มีการส่งเสริมพนักงานในฝ่ายให้ตระหนักถึงความสำคัญของการบริหารความเสี่ยง

หัวหน้างานหรือพนักงาน
– มีหน้าที่ระบุและรายงานความเสี่ยงที่เกี่ยวข้องกับการปฏิบัติงานต่อผู้อำนวยการฝ่าย และเข้าร่วมในการจัดทำแผนจัดการความเสี่ยง และนำแผนไปปฏิบัติ

หน่วยงานหรือผู้รับผิดชอบการบริหารความเสี่ยง
– ต้องปฏิบัติหน้าที่ประจำวันแทนคณะกรรมการบริหารความเสี่ยง
– จัดทำนโยบายความเสี่ยง กรอบและกระบวนการให้กับหน่วยงานและเสนอคณะกรรมการบริหารความเสี่ยงเพื่ออนุมัติ
– มีหน้าที่ให้การสนับสนุน และแนะนำกระบวนการบริหารความเสี่ยง แก่หน่วยงานต่าง ๆ ภายในองค์กรตามที่มีการร้องขอ

ผู้ตรวจสอบภายใน
– ต้องทำให้มั่นใจว่ามีการควบคุมภายในองค์กรที่เหมาะสมต่อการจัดการความเสี่ยง และการควบคุมเหล่านั้นได้รับการปฏิบัติตาม
– ทำให้มั่นใจว่าได้มีการนำระบบการบริหารความเสี่ยงมาปรับใช้อย่างเหมาะสมและมีการปฏิบัติตามทั่วทั้งองค์กร
– มีการสอบทานการปฏิบัติงานของหน่วยงานการบริหารความเสี่ยง
– ต้องสื่อสารกับหน่วยงานการบริหารความเสี่ยงเพื่อทำความเข้าใจเกี่ยวกับความเสี่ยง และดำเนินการตรวจสอบภายในตามแนวความเสี่ยง (Risk Based Auditing)

ถึงแม้ว่าจะมีการกำหนดบทบาทและหน้าที่ความรับผิดชอบของผู้เกี่ยวข้องกับการบริหารความเสี่ยงไว้อย่างชัดเจนแล้วก็ตาม แต่อย่างไรก็ตาม องค์กรทั่วไปควรกำหนดให้การบริหารความเสี่ยงเป็นความรับผิดชอบร่วมกันของผู้บริหารและพนักงานทุกระดับ และให้มีการปฏิบัติอย่างต่อเนื่อง เพื่อให้การบริหารความเสี่ยงประสบความสำเร็จและมีประสิทธิภาพสูงสุด

ผมจะขอทิ้งท้ายด้วยภาพของบทบาทและหน้าที่ความรับผิดชอบของผู้บริหารความเสี่ยง ดังที่ได้อธิบายในข้างต้นไว้ให้ได้ชมกันครับ

บทบาทและหน้าที่ความรับผิดชอบของผู้บริหารความเสี่ยง

เมื่อได้ทราบถึงภาพรวมของการบริหารความเสี่ยง กรอบของการบริหารความเสี่ยง ความหมายของความเสี่ยง ประเภทและแหล่งที่มาหรือเหตุแห่งความเสี่ยง เป็นซึ่งเป็นพื้นฐานเบื้องต้นที่ผมได้กล่าวถึงไปบ้างแล้ว วันนี้เราจะมาพูดกันถึงแนวทางและเครื่องมือที่ใช้ในการระบุความเสี่ยงกันครับ

ก่อนอื่นผมมีภาพที่อยากให้เห็นถึงการระบุปัจจัยเสี่ยงกับแนวคิดด้านความเสี่ยงบางประการ เพื่อความเข้าใจที่ชัดเจนยิ่งขึ้น โปรดดูตามภาพด้านล่างนี้เลยครับ

การระบุปัจจัยเสี่ยงและแนวคิดบางประการ

แนวทางที่สามารถใช้ในการระบุความเสี่ยงขององค์กร

1. การใช้ประสบการณ์ของผู้ประเมินในการระบุเหตุการณ์ที่เคยเกิดขึ้น หรือพิจารณาแล้วว่ามีโอกาสที่จะเกิดขึ้นได้ หรือใช้การเก็บข้อมูลเกี่ยวกับปัญหา/ข้อผิดพลาดในกระบวนการทำงานที่เคยเกิดขึ้นในอดีตและได้มีการบันทึกไว้ หรือเป็นข้อมูลที่บันทึกอยู่ในระบบคอมพิวเตอร์ สามารถนำมาใช้เป็นแนวทาง และเป็นข้อมูลเบื้องต้นได้

2. การใช้คู่มือปฏิบัติงาน หรือ Work flow charts เพื่อลำดับขั้นตอนของกระบวนการทำงาน และพิจารณาว่าในแต่ละขั้นตอนอาจจะเกิดเหตุการณ์ต่าง ๆ ซึ่งอาจจะทำให้กิจกรรมนั้น ๆ หยุดชะงัก หรือผิดพลาดจนก่อให้เกิดความเสียหายขึ้นได้

3. การระดมความคิดจากพนักงานที่มีส่วนเกี่ยวข้องกับกิจกรรมดังกล่าว ทั้งภายในและภายนอกหน่วยงาน เพื่อร่วมกันพิจารณาว่ามีเหตุการณ์ใดบ้างที่เกิดขึ้นแล้วส่งผลกระทบเสียหายต่องานที่ดูแล

4. การใช้แบบสอบถามความคิดเห็นไปยังผู้รับผิดชอบกิจกรรมการทำงานต่าง ๆ ว่ามีปัญหาข้อผิดพลาด หรือความเสี่ยงในลักษณะใด ก่อให้เกิดความเสียหายมากน้อยแค่ไหน ซึ่งการสอบถามควรกระทำกับเจ้าหน้าที่ที่เกี่ยวข้องโดยตรง ซึ่งเป็นผู้ทราบข้อมูลต่าง ๆ อย่างแท้จริง นอกจากนี้คำตอบที่ได้รับอาจจะไม่ใช่ข้อเท็จจริงทั้งหมด เพราะการตอบคำถามอาจจะรวมข้อคิดเห็น ความรู้สึก และทัศนคติส่วนตัว ดังนั้นผู้ประเมินควรใช้วิธีอื่นควบคู่กันไปด้วย

5. การใช้แบบตรวจสอบรายการ เพื่อใช้เป็นแนวทางในการติดตามและตรวจสอบรายละเอียดของงานต่าง ๆ เพื่อพิจารณาความเสี่ยงในแต่ละกิจกรรม

การเลือกใช้แหล่งข้อมูล/วิธีการใด ๆ ในการระบุความเสี่ยงนั้น อาจแตกต่างกันในแต่ละฝ่ายงานและแต่ละเหตุความเสี่ยง โดยขึ้นอยู่กับลักษณะงานและวิธีปฏิบัติของแต่ละฝ่ายงาน

เครื่องมือสำหรับการระบุความเสี่ยงด้านปฏิบัติการ ประกอบด้วย
1. แบบประเมินตนเอง
ซึ่งเป็นเครื่องมือที่ใช้ในการประเมินการควบคุมตนเอง (Control Self Assessment) และรับผิดชอบให้มีการประเมินตนเอง โดยกำหนดให้ทุกฝ่ายงานมีหน้าที่ต้องประเมินตนเองอย่างน้อยปีละ 1 ครั้ง ทั้งนี้ผู้ประเมินต้องระบุประเภทความเสี่ยงที่เผชิญอยู่ในแต่ละกิจกรรม หรือแต่ละกระบวนการปฏิบัติงานที่อยู่ภายใต้ความรับผิดชอบของตน รวมทั้งประเด็นของความพร้อมของบุคคลากร ทรัพยากร และระบบงานที่เกี่ยวข้อง พร้อมทั้งเสนอแนะแนวทางที่จะบริหารความเสี่ยงที่เผชิญอยู่นั้น

2. ดัชนีเครื่องชี้ความเสี่ยง
ดัชนีเครื่องชี้ความเสี่ยง (Key Risk Indicators) จะถูกใช้เป็นเครื่องมือระบุความเสี่ยงที่เกิดขึ้นในกระบวนการปฏิบัติงานต่าง ๆ ดัชนีเครื่องชี้ความเสี่ยงจะถูกสร้างขึ้น โดยความเห็นชอบร่วมกันระหว่างหน่วยงานที่เกี่ยวข้องกับโครงการและแผนงานต่าง ๆ กับฝ่ายบริหารความเสี่ยง (ถ้ามี) เพื่อชี้ให้เห็นถึงความเสี่ยงที่อาจจะเกิดความเสียหายขึ้นในกระบวนการตามแผนงานต่าง ๆ ซึ่งนอกจากจะเป็นเครื่องมือที่ใช้ในการติดตามความเสี่ยงแล้ว ยังจะช่วยนําไปสู่การค้นหาสาเหตุเพื่อป้องกันและ/หรือแก้ไขเพื่อป้องกันหรือบรรเทาผลกระทบที่จะเกิดขึ้นในอนาคตได้อีกด้วย โดยกำหนดให้ทุกฝ่ายงานมีหน้าที่ต้องจัดทำดัชนีเครื่องชี้ความเสี่ยง

เมื่อได้ทราบถึงภาพรวมของการบริหารความเสี่ยง กรอบของการบริหารความเสี่ยง ความหมายของความเสี่ยง ประเภทและแหล่งที่มาหรือเหตุแห่งความเสี่ยง เป็นซึ่งเป็นพื้นฐานเบื้องต้นที่ผมได้กล่าวถึงไปบ้างแล้ว วันนี้เราจะมาพูดกันถึงแนวทางและเครื่องมือที่ใช้ในการระบุความเสี่ยงกันครับ

ก่อนอื่นผมมีภาพที่อยากให้เห็นถึงการระบุปัจจัยเสี่ยงกับแนวคิดด้านความเสี่ยงบางประการ เพื่อความเข้าใจที่ชัดเจนยิ่งขึ้น โปรดดูตามภาพด้านล่างนี้เลยครับ

การระบุปัจจัยเสี่ยงและแนวคิดบางประการ

แนวทางที่สามารถใช้ในการระบุความเสี่ยงขององค์กร

1. การใช้ประสบการณ์ของผู้ประเมินในการระบุเหตุการณ์ที่เคยเกิดขึ้น หรือพิจารณาแล้วว่ามีโอกาสที่จะเกิดขึ้นได้ หรือใช้การเก็บข้อมูลเกี่ยวกับปัญหา/ข้อผิดพลาดในกระบวนการทำงานที่เคยเกิดขึ้นในอดีตและได้มีการบันทึกไว้ หรือเป็นข้อมูลที่บันทึกอยู่ในระบบคอมพิวเตอร์ สามารถนำมาใช้เป็นแนวทาง และเป็นข้อมูลเบื้องต้นได้

2. การใช้คู่มือปฏิบัติงาน หรือ Work flow charts เพื่อลำดับขั้นตอนของกระบวนการทำงาน และพิจารณาว่าในแต่ละขั้นตอนอาจจะเกิดเหตุการณ์ต่าง ๆ ซึ่งอาจจะทำให้กิจกรรมนั้น ๆ หยุดชะงัก หรือผิดพลาดจนก่อให้เกิดความเสียหายขึ้นได้

3. การระดมความคิดจากพนักงานที่มีส่วนเกี่ยวข้องกับกิจกรรมดังกล่าว ทั้งภายในและภายนอกหน่วยงาน เพื่อร่วมกันพิจารณาว่ามีเหตุการณ์ใดบ้างที่เกิดขึ้นแล้วส่งผลกระทบเสียหายต่องานที่ดูแล

4. การใช้แบบสอบถามความคิดเห็นไปยังผู้รับผิดชอบกิจกรรมการทำงานต่าง ๆ ว่ามีปัญหาข้อผิดพลาด หรือความเสี่ยงในลักษณะใด ก่อให้เกิดความเสียหายมากน้อยแค่ไหน ซึ่งการสอบถามควรกระทำกับเจ้าหน้าที่ที่เกี่ยวข้องโดยตรง ซึ่งเป็นผู้ทราบข้อมูลต่าง ๆ อย่างแท้จริง นอกจากนี้คำตอบที่ได้รับอาจจะไม่ใช่ข้อเท็จจริงทั้งหมด เพราะการตอบคำถามอาจจะรวมข้อคิดเห็น ความรู้สึก และทัศนคติส่วนตัว ดังนั้นผู้ประเมินควรใช้วิธีอื่นควบคู่กันไปด้วย

5. การใช้แบบตรวจสอบรายการ เพื่อใช้เป็นแนวทางในการติดตามและตรวจสอบรายละเอียดของงานต่าง ๆ เพื่อพิจารณาความเสี่ยงในแต่ละกิจกรรม

การเลือกใช้แหล่งข้อมูล/วิธีการใด ๆ ในการระบุความเสี่ยงนั้น อาจแตกต่างกันในแต่ละฝ่ายงานและแต่ละเหตุความเสี่ยง โดยขึ้นอยู่กับลักษณะงานและวิธีปฏิบัติของแต่ละฝ่ายงาน

เครื่องมือสำหรับการระบุความเสี่ยงด้านปฏิบัติการ ประกอบด้วย
1. แบบประเมินตนเอง
ซึ่งเป็นเครื่องมือที่ใช้ในการประเมินการควบคุมตนเอง (Control Self Assessment) และรับผิดชอบให้มีการประเมินตนเอง โดยกำหนดให้ทุกฝ่ายงานมีหน้าที่ต้องประเมินตนเองอย่างน้อยปีละ 1 ครั้ง ทั้งนี้ผู้ประเมินต้องระบุประเภทความเสี่ยงที่เผชิญอยู่ในแต่ละกิจกรรม หรือแต่ละกระบวนการปฏิบัติงานที่อยู่ภายใต้ความรับผิดชอบของตน รวมทั้งประเด็นของความพร้อมของบุคคลากร ทรัพยากร และระบบงานที่เกี่ยวข้อง พร้อมทั้งเสนอแนะแนวทางที่จะบริหารความเสี่ยงที่เผชิญอยู่นั้น

2. ดัชนีเครื่องชี้ความเสี่ยง
ดัชนีเครื่องชี้ความเสี่ยง (Key Risk Indicators) จะถูกใช้เป็นเครื่องมือระบุความเสี่ยงที่เกิดขึ้นในกระบวนการปฏิบัติงานต่าง ๆ ดัชนีเครื่องชี้ความเสี่ยงจะถูกสร้างขึ้น โดยความเห็นชอบร่วมกันระหว่างหน่วยงานที่เกี่ยวข้องกับโครงการและแผนงานต่าง ๆ กับฝ่ายบริหารความเสี่ยง (ถ้ามี) เพื่อชี้ให้เห็นถึงความเสี่ยงที่อาจจะเกิดความเสียหายขึ้นในกระบวนการตามแผนงานต่าง ๆ ซึ่งนอกจากจะเป็นเครื่องมือที่ใช้ในการติดตามความเสี่ยงแล้ว ยังจะช่วยนําไปสู่การค้นหาสาเหตุเพื่อป้องกันและ/หรือแก้ไขเพื่อป้องกันหรือบรรเทาผลกระทบที่จะเกิดขึ้นในอนาคตได้อีกด้วย โดยกำหนดให้ทุกฝ่ายงานมีหน้าที่ต้องจัดทำดัชนีเครื่องชี้ความเสี่ยง

นอกจากความเสี่ยงในด้านต่าง ๆ และความเสี่ยงในด้านการปฏิบัติการที่ได้กล่าวไปในครั้งก่อนแล้ว องค์กรต่าง ๆ อาจเผชิญกับความเสี่ยงที่เป็นความไม่แน่นอนและอยู่ใกล้ตัวมากที่สุด ซึ่งมีความสำคัญที่จะกระทบปัจจัยเสี่ยงอื่น ๆ ในทุกเรื่อง รวมถึงความเสี่ยงจากสภาพแวดล้อมทั่วไปด้วยเช่นกันที่องค์กรควรต้องกำหนดแนวทาง ระบุความเสี่ยง และจัดหาเครื่องมือในการจัดการกับความเสี่ยงที่จะอาจเกิดขึ้น

ความเสี่ยงจากสภาพแวดล้อมทั่วไปขององค์กร เช่น จริยธรรม คุณธรรมในการบริหารงาน ปรัชญา ความเชื่อในเรื่องการบริหารความเสี่ยงที่เป็นรูปธรรม แนวความคิดและความเข้าใจของการนำการบริหารความเสี่ยงมาใช้ในองค์กร การกำหนดความเสี่ยงที่ยอมรับได้ (Risk Appetite) การจัดโครงสร้างขององค์กร การมอบหมายอำนาจและหน้าที่ ขั้นตอนการปฏิบัติงาน วัฒนธรรมในการดำเนินงานขององค์กร ความเกรงใจ ความเห็นแก่หน้า การไม่เคารพกฎและกติกาตามหลักการกำกับดูแลกิจการที่ดี การขาดการประสานงาน การทำงานเป็นทีมที่ด้อยคุณภาพ ความไม่มีใจต่อความสำเร็จขององค์กร การมีอัตตาหรือการไม่รับฟังความคิดเห็นจากผู้ร่วมงาน การให้คุณให้โทษที่ไม่เป็นธรรม โดยไม่ยึดผลสำเร็จของงาน การขาดการติดตามวัดผลสำเร็จของแผนงาน โครงการ ตามพันธกิจที่ได้ดุลยภาพและมีคุณภาพ รวมทั้งทัศนคติของผู้บริหารที่อาจชอบฟังหรือรับทราบเฉพาะเรื่องดี ๆ โดยไม่ยอมรับฟังเรื่องเชิงลบ ทั้งที่เป็นเรื่องจริงที่เป็นความเสี่ยงและมีผลกระทบต่อเป้าประสงค์ ทั้งระยะสั้น ระยะยาว เป็นต้น

ซึ่งความเสี่ยงจากสภาพแวดล้อมทั่วไปเหล่านี้จะมีผลอย่างสำคัญต่อความสำเร็จของการบริหารความเสี่ยงทางด้านกลยุทธ์ ทางด้านการดำเนินงาน ทางด้านการเงินและการรายงาน ทางด้านการปฏิบัติตามกฎหมาย กฎเกณฑ์ และคำสั่งต่าง ๆ ของทุกองค์กรได้

องค์กรทั่วไป ควรจะมีการสอบทานความเหมาะสม และระบุปัจจัยเสี่ยงที่อาจเกิดจากสภาพแวดล้อมทั่วไปดังกล่าวข้างต้นควบคู่กันไปกับการบริหารความเสี่ยงขององค์ประกอบอื่น ๆ และพิจารณาหาแนวทางควบคุมและจัดการกับความเสี่ยงที่มีนัยสำคัญให้อยู่ในระดับที่องค์กรยอมรับได้ โดยใช้เครื่องมือสำหรับระบุความเสี่ยงในแบบการประเมินตนเองหรือ CSA – Control Self Assessment โดยใช้บุคคลภายในองค์กรเอง หรือ QAR – Quality Assurance Review โดยใช้บุคคลภายนอก หรือดัชนีเครื่องชี้ความเสี่ยง (Key Risk Indicators) ตามความเหมาะสมต่อไป

นี่คือ ตัวอย่างบางประการที่มีความสำคัญต่อการบริหารความเสี่ยง ซึ่งเป็นเครื่องมือและกระบวนการบริหารเชิงรุกภายใต้กรอบการกำกับดูแลกิจการที่ดี ที่คณะกรรมการบริหาร ผู้บริหาร ผู้ปฏิบัติงานทุกคนขององค์กรทั่วไป จะมีส่วนร่วมอย่างสำคัญในการนำไปปฏิบัติควบคู่กับการบริหารแผนงานและโครงการต่าง ๆ ขององค์กร เพื่อสร้างความมั่นใจอย่างสมเหตุสมผลว่า องค์กรจะบรรลุเป้าประสงค์หลักโดยมีการจัดการและควบคุมความเสี่ยงอย่างพอเพียงและเหมาะสม

นอกจากความเสี่ยงในด้านต่าง ๆ และความเสี่ยงในด้านการปฏิบัติการที่ได้กล่าวไปในครั้งก่อนแล้ว องค์กรต่าง ๆ อาจเผชิญกับความเสี่ยงที่เป็นความไม่แน่นอนและอยู่ใกล้ตัวมากที่สุด ซึ่งมีความสำคัญที่จะกระทบปัจจัยเสี่ยงอื่น ๆ ในทุกเรื่อง รวมถึงความเสี่ยงจากสภาพแวดล้อมทั่วไปด้วยเช่นกันที่องค์กรควรต้องกำหนดแนวทาง ระบุความเสี่ยง และจัดหาเครื่องมือในการจัดการกับความเสี่ยงที่จะอาจเกิดขึ้น

ความเสี่ยงจากสภาพแวดล้อมทั่วไปขององค์กร เช่น จริยธรรม คุณธรรมในการบริหารงาน ปรัชญา ความเชื่อในเรื่องการบริหารความเสี่ยงที่เป็นรูปธรรม แนวความคิดและความเข้าใจของการนำการบริหารความเสี่ยงมาใช้ในองค์กร การกำหนดความเสี่ยงที่ยอมรับได้ (Risk Appetite) การจัดโครงสร้างขององค์กร การมอบหมายอำนาจและหน้าที่ ขั้นตอนการปฏิบัติงาน วัฒนธรรมในการดำเนินงานขององค์กร ความเกรงใจ ความเห็นแก่หน้า การไม่เคารพกฎและกติกาตามหลักการกำกับดูแลกิจการที่ดี การขาดการประสานงาน การทำงานเป็นทีมที่ด้อยคุณภาพ ความไม่มีใจต่อความสำเร็จขององค์กร การมีอัตตาหรือการไม่รับฟังความคิดเห็นจากผู้ร่วมงาน การให้คุณให้โทษที่ไม่เป็นธรรม โดยไม่ยึดผลสำเร็จของงาน การขาดการติดตามวัดผลสำเร็จของแผนงาน โครงการ ตามพันธกิจที่ได้ดุลยภาพและมีคุณภาพ รวมทั้งทัศนคติของผู้บริหารที่อาจชอบฟังหรือรับทราบเฉพาะเรื่องดี ๆ โดยไม่ยอมรับฟังเรื่องเชิงลบ ทั้งที่เป็นเรื่องจริงที่เป็นความเสี่ยงและมีผลกระทบต่อเป้าประสงค์ ทั้งระยะสั้น ระยะยาว เป็นต้น

ซึ่งความเสี่ยงจากสภาพแวดล้อมทั่วไปเหล่านี้จะมีผลอย่างสำคัญต่อความสำเร็จของการบริหารความเสี่ยงทางด้านกลยุทธ์ ทางด้านการดำเนินงาน ทางด้านการเงินและการรายงาน ทางด้านการปฏิบัติตามกฎหมาย กฎเกณฑ์ และคำสั่งต่าง ๆ ของทุกองค์กรได้

องค์กรทั่วไป ควรจะมีการสอบทานความเหมาะสม และระบุปัจจัยเสี่ยงที่อาจเกิดจากสภาพแวดล้อมทั่วไปดังกล่าวข้างต้นควบคู่กันไปกับการบริหารความเสี่ยงขององค์ประกอบอื่น ๆ และพิจารณาหาแนวทางควบคุมและจัดการกับความเสี่ยงที่มีนัยสำคัญให้อยู่ในระดับที่องค์กรยอมรับได้ โดยใช้เครื่องมือสำหรับระบุความเสี่ยงในแบบการประเมินตนเองหรือ CSA – Control Self Assessment โดยใช้บุคคลภายในองค์กรเอง หรือ QAR – Quality Assurance Review โดยใช้บุคคลภายนอก หรือดัชนีเครื่องชี้ความเสี่ยง (Key Risk Indicators) ตามความเหมาะสมต่อไป

นี่คือ ตัวอย่างบางประการที่มีความสำคัญต่อการบริหารความเสี่ยง ซึ่งเป็นเครื่องมือและกระบวนการบริหารเชิงรุกภายใต้กรอบการกำกับดูแลกิจการที่ดี ที่คณะกรรมการบริหาร ผู้บริหาร ผู้ปฏิบัติงานทุกคนขององค์กรทั่วไป จะมีส่วนร่วมอย่างสำคัญในการนำไปปฏิบัติควบคู่กับการบริหารแผนงานและโครงการต่าง ๆ ขององค์กร เพื่อสร้างความมั่นใจอย่างสมเหตุสมผลว่า องค์กรจะบรรลุเป้าประสงค์หลักโดยมีการจัดการและควบคุมความเสี่ยงอย่างพอเพียงและเหมาะสม

ก่อนที่หลาย ๆ ท่าน รวมถึงตัวผมด้วยนั้น จะหยุดไปพักผ่อนในช่วงเทศกาลสงกรานต์นี้ ผมอยากจะให้ท่านผู้อ่านเห็นถึงประโยชน์ของการบริหารจัดการความเสี่ยงขององค์กร ซึ่งเป็นเรื่องเบา ๆ ที่ผมเห็นว่าเหมาะที่จะนำเสนอในช่วงวันหยุดยาวแบบนี้ แต่กลับมีความสำคัญต่อการจัดการกับความเสี่ยงขององค์กรอย่างยิ่งยวด

ผมคิดว่าคงไม่มีองค์กรใด ไม่ว่าภาครัฐหรือภาคเอกชนสามารถดำเนินการภายใต้สภาพแวดล้อมที่ปราศจากความเสี่ยงได้ องค์กรที่ต้องดำเนินการในสภาวะแวดล้อมดังกล่าว การจัดการความเสี่ยงจะช่วยให้ฝ่ายบริหารจัดการกับสภาพแวดล้อมให้เหมาะสมกับความเสี่ยงได้เป็นอย่างดี เพื่อก้าวสู่การบรรลุวัตถุประสงค์และเป้าหมายได้อย่างสมเหตุสมผล

การจัดการความเสี่ยงขององค์กร เป็นการส่งเสริมความสามารถในด้าน

– การปรับความเสี่ยงที่องค์กรหรือองค์กรยอมรับได้
เป็นการกำหนดกลยุทธ์ที่เหมาะสมให้เป็นไปในทิศทางเดียวกันกับความเสี่ยงที่องค์กรยอมรับได้ คือระดับความเสี่ยงที่องค์กรเต็มใจที่จะยอมรับเพื่อมุ่งไปสู่เป้าหมายขององค์กร ซึ่งการบริหารความเสี่ยงจะพิจารณาถึงความเสี่ยงที่องค์กรยอมรับได้เป็นอย่างแรก เพื่อประเมินทางเลือกและพัฒนากลไกในการบริหารความเสี่ยงที่เกี่ยวข้องต่อไป

– ความเชื่อมโยงการเติบโต ความเสี่ยงและผลตอบแทน
การบริหารความเสี่ยงช่วยในการระบุและประเมินความเสี่ยง รวมทั้งกำหนดระดับความเสี่ยงที่สามารถยอมรับได้ ที่สัมพันธ์กับการเติบโตและเป้าหมายของผลตอบแทนตามวัตถุประสงค์ที่องค์กรกำหนดไว้

– ส่งเสริมการตัดสินใจในการตอบสนองความเสี่ยงที่เกิดขึ้น
การบริหารความเสี่ยงใช้ในการระบุและเลือกทางเลือกในการตอบสนองความเสี่ยงในรูปแบบต่าง ๆ ทั้งยังช่วยจัดหาวิธีการและเทคนิคสำหรับการตัดสินใจ เช่น การหลีกเลี่ยงความเสี่ยง การลดความเสี่ยง การกระจายความเสี่ยงและการยอมรับความเสี่ยง

– การลดความไม่แน่นอนและความสูญเสียในการปฏิบัติงานให้น้อยที่สุด
ช่วยให้องค์กรสามารถระบุเหตุการณ์ที่มีความเป็นไปได้ที่จะเกิดขึ้น ประเมินความเสี่ยงและจัดการตอบสนองต่อความเสี่ยงที่เกิดขึ้น รวมทั้งลดสิ่งไม่แน่นอนที่อาจเกิดขึ้น ตลอดจนความสัมพันธ์ของต้นทุนและการสูญเสีย

– การระบุและบริหารความเสี่ยงภายในองค์กร
ทุก ๆ องค์กรเผชิญกับความเสี่ยงมากมายหลายประเภทที่ส่งผลต่อส่วนต่าง ๆ ขององค์กรที่แตกต่างกัน ฝ่ายบริหารไม่เพียงแต่ต้องบริหารความเสี่ยงเฉพาะบุคคล แต่ต้องเข้าใจถึงผลกระทบที่เกิดขึ้นด้วย

– มีการตอบสนองแบบบูรณาการกับความเสี่ยงที่หลากหลาย
กระบวนการทางธุรกิจนำมาซึ่งความเสี่ยงสืบเนื่อง หรือความเสี่ยงจากลักษณะธุรกิจในหลายรูปแบบ และ ERM ทำให้เกิดการแก้ปัญหาแบบบูรณาการต่อการบริหารความเสี่ยง

– การฉกฉวยโอกาส
ฝ่ายบริหารพิจารณาเหตุการณ์ที่มีความเป็นไปได้ที่จะเกิดขึ้นมากกว่าพิจารณาเฉพาะความเสี่ยง โดยการพิจารณาทุกระดับของเหตุการณ์

– การจัดการกับทุนอย่างสมเหตุสมผล
ข้อมูลที่ถูกต้องมีความหมายต่อความเสี่ยงทั้งหมดขององค์กร สิ่งนี้จะทำให้การบริหารเป็นไปอย่างมีประสิทธิภาพมากขึ้นในการเข้าถึงความต้องการและปรับปรุงการจัดสรรทรัพย์สินหรือทุน รวมถึงงบประมาณได้อย่างเหมาะสม

ภาพด้านล่างนี้จะช่วยให้เห็นถึงความสำคัญและประโยชน์ของการจัดการความเสี่ยงได้ชัดเจนยิ่งขึ้น

Translating Vision & Strategy to State Enterprise Performance Measurement

ERM หรือการบริหารความเสี่ยงทั่วทั้งองค์กรไม่ใช่จุดสิ้นสุดโดยตัวเอง แต่มีความหมายที่สำคัญในการบรรลุวัตถุประสงค์ ที่ไม่สามารถปฏิบัติแยกออกจากองค์กรได้ แต่จะเป็นตัวกลไก (enabler) ในกระบวนการทางการบริหาร
ERM เป็นสิ่งที่เกี่ยวข้องกับความสัมพันธ์กับความร่วมมือของหน่วยการจัดการต่าง ๆ โดยจัดหาข้อมูลให้แก่คณะกรรมการบริหาร ได้ทราบถึงความเสี่ยงที่มีนัยสำคัญและการบริหารความเสี่ยงดังกล่าว การปรับเปลี่ยนความเสี่ยงโดยการควบคุมภายใน ซึ่งเป็นส่วนหนึ่งของ ERM

ERM ช่วยให้องค์กรประสบความสำเร็จในผลประกอบการและบรรลุเป้าหมายการทำกำไร การป้องกันความสูญเสียของทรัพยากร ช่วยทำให้มั่นใจถึงการรายงานที่มีประสิทธิภาพ การปฏิบัติที่ถูกต้องตามกฎหมายและกฎเกณฑ์ต่าง ๆ การหลีกเลี่ยงความเสียชื่อเสียงและผลลัพธ์ที่ตามมาอื่น ๆ

โดยรวมแล้วการจัดการความเสี่ยงขององค์กรจะช่วยให้องค์กรทั่วไปดำเนินไปในทิศทางที่ต้องการได้อย่างเหมาะสม และสามารถบรรลุวัตถุประสงค์ขององค์กรที่กำหนดไว้ได้เป็นอย่างดี