GRC กลยุทธ์ใหม่ในการบริหารเพื่อประสบความสำเร็จขององค์กรยุคใหม่ที่เรียกว่า Integrity – Driven Performance (ต่อ)

สิงหาคม 1, 2009

ไม่ได้ update เรื่องของ GRC นานพอสมควร จากที่ทิ้งท้ายกันไว้ในเรื่องของการเชื่อมโยงกระบวนการ GRC เข้ากับระบบปฏิบัติการ (Performance) ที่จะช่วยสร้างคุณค่าเพิ่มได้อย่างยั่งยืน และเป็นสิ่งจำเป็นอย่างยิ่งยวดสำหรับองค์กรยุคใหม่ ฉะนั้น วันนี้เรามาพูดคุยกันต่อในเรื่องนี้กันเลยดีกว่าครับ

GRC Model ก็คือการพัฒนาองค์กรในการก้าวไปสู่หลักการปฏิบัติงาน และการดำเนินงานที่ดี (Best Practice) ที่ยอมรับได้ มาตรฐานที่ใช้เป็นสากล หรือมาตรฐานการปฏิบัติที่เป็นที่ยอมรับกันโดยทั่วไป ในการก้าวสู่การปฏิบัติงานที่ดีเพื่อก้าวสู่หลักการของ Governance หรือการเติบโตอย่างยั่งยืน

โดยมีองค์ประกอบต่าง ๆ ที่เกี่ยวข้องสัมพันธ์กับการบริหารความเสี่ยงทั่วทั้งองค์กร และสร้างความน่าเชื่อถือได้ ความเชื่อมั่นให้กับผู้มีผลประโยชน์ร่วมจากการปฏิบัติตามกฎหมาย กฎเกณฑ์ ประกาศ คำสั่งต่าง ๆ ทั้งจากหน่วยงานภายนอก และหน่วยงานภายใน

โดยยึดหลักการปฏิบัติตาม Compliance ที่เกี่ยวข้องทั้งด้าน IT และ Non – IT ทางด้าน Regulator และ Standard Compliance เพื่อสนับสนุน และส่งเสริม (Support) การบริหารความเสี่ยงแบบบูรณาการ (Integrity Driven)โดยการกำหนด Performance Strategy ให้เหมาะสม

GRC and Integrity - Driven Performance

GRC and Integrity - Driven Performance

การเชื่อมโยงกระบวนการ GRC เข้ากับระบบปฏิบัติการ (Performance)
สิ่งที่ทุกองค์กรควรพิจารณาในการเริ่มต้นเพื่อก้าวสู่ GRC และสร้างคุณค่าเพิ่มอย่างยั่งยืน คือ
1. พิจารณาภาพในมุมที่กว้างขึ้นของการสร้างความพึงพอใจให้กับผู้มีผลประโยชน์ร่วมสู่ CSR แทนการเน้นผู้ถือหุ้นหรือการทำกำไรเพียงอย่างเดียว แล้วคณะกรรมการ ผู้บริหารจะได้มุมมองใหม่ที่สามารถสร้างความพึงพอใจให้กับผู้เกี่ยวข้อง รวมทั้งผู้ถือหุ้นได้อย่างยั่งยืน

2. พัฒนาและสร้างความเข้าใจในเชิงลึก เพื่อกำหนดวิสัยทัศน์ พันธกิจ กลยุทธ์ นโยบาย แผนงานไปสู่การปฏิบัติ จากจิตสำนึก (Spiritual) ทั่วทั้งองค์กร เพื่อขับเคลื่อน “คุณค่า” ที่เป็นรูปธรรม และ

คณะกรรมการ ผู้บริหาร ควรตอบคำถามเพื่อประเมินตนเองในประเด็นต่าง ๆ ที่มีประสิทธิภาพ เหล่านี้ให้ได้ในการก้าวสู่ GRC + CSR (Corporate Social Responsibility)
1. GRC ในองค์กรของเราเป็นแค่รูปแบบ แต่ขาดสาระสำคัญในการปฏิบัติหรือไม่ และเราแน่ใจอย่างไรว่าองค์กรของเรามีการบริหารและการปฏิบัติที่ดี (Good Governance
Operational) ตามที่องค์กรของเราตั้งวิสัยทัศน์ กลยุทธ์ และแนวทางการปฏิบัติต่าง ๆ ไว้

2. ในกรณีที่องค์กรของเราต้องมีการปฏิรูปกฎเกณฑ์ ระเบียบ คำสั่ง รวมทั้งต้องจัดให้มีแนวทางการปฏิบัติงานใหม่ ๆ เพื่อก้าวไปสู่ GRC โดยเน้นเพียงเรื่องการควบคุมภายในต่าง ๆ รายงาน และการเปิดเผยข้อมูลอย่างโปร่งใสนั้น องค์กรของเรามองข้ามหรือไม่ได้พิจารณาความเสี่ยงและผลกระทบสำคัญ ๆ ที่มิใช่การเงินหรือไม่ เช่น ผลกระทบต่อชื่อเสียงขององค์กร

การไม่ปฏิบัติ หรือปฏิบัติไม่ครบถ้วนในการจัดการกระบวนการควบคุมความเสี่ยงต่าง ๆ รวมทั้งความเสี่ยงในการดำเนินงาน ซึ่งเป็นหัวใจสำคัญของกระบวนการบริหารในด้านพนักงาน กระบวนการทำงาน และเทคโนโลยี หรือ P + P + T ที่ส่งผลกระทบทางลบต่าง ๆ รวมทั้ง การไม่ปฏิบัติตามกฎหมาย กฎเกณฑ์ ประกาศ ระเบียบ คำสั่ง ++ และมาตรฐานต่าง ๆ ที่กำหนดโดยองค์กรภายนอก และภายนอกองค์กร เป็นต้น

3. ถึงแม้นโยบายองค์กรของเรามีความชัดเจนในการกำหนดให้องค์กรและทุกหน่วยงานมีการปฏิบัติตามกฎหมาย กฎเกณฑ์ มาตรฐาน ระเบียบ คำสั่งต่าง ๆ ของหน่วยงานภายนอก และหน่วยงานภายในแล้วก็ตามนั้น

คณะกรรมการและผู้บริหารมีความมั่นใจอย่างไรว่า ในลายลักษณ์อักษรต่าง ๆ ที่เป็นนโยบายและเป็นแนวทางการควบคุมภายในตามฐานความเสี่ยงแล้วระดับหนึ่ง จะมีการปฏิบัติจริงด้วยความรอบคอบจากจิตวิญญาณ (Spiritual) ที่ฝังอยู่ในใจของผู้บริหารและผู้ปฏิบัติงาน ในการลดความเสี่ยงอย่างเป็นกระบวนการเพื่อการเติบโตอย่างยั่งยืน

4. องค์กรของเราได้สร้างความสับสนในการบริหารและการจัดการในการบริหารความเสี่ยงในระดับองค์กรหรือไม่ เช่น ถ้าองค์กรไม่ปฏิบัติตามกฎหมาย กฎเกณฑ์ กับพนักงานผู้ปฏิบัติงาน เช่น ไม่มีนโยบาย กลยุทธ์ ที่ชัดเจนในการกำหนดแนวทางและวิธีการปฏิบัติตามมาตรฐาน กฎหมาย กฎเกณฑ์ (Compliance) ที่กำหนด ซึ่งพิจารณาได้ว่าเป็นการนำ GRC มาเชื่อมโยงกับระบบปฏิบัติการในมุมมองหนึ่ง

5. องค์กรของเราได้ขับเคลื่อนการสร้าง “คุณค่า” หรือสร้างคุณค่าเพิ่ม (Value Creation) โดยพิจารณาถึงดุลยภาพ การจัดการความเสี่ยงที่เป็นกระบวนการ และเป็นระบบที่ผสมผสานความสามารถทางด้านเทคโนโลยีสารสนเทศ มาขับเคลื่อนความสำเร็จในการบรรลุเป้าหมายทางธุรกิจที่เป็นรูปธรรมหรือไม่

มีการตรวจสอบ รายงาน กลไกที่เชื่อมั่นระหว่างมุมมองความสำเร็จทางธุรกิจและเชื่อมโยงกับตัวชี้วัดที่มีความหมาย ตรงประเด็น ไม่กำกวม กับเป้าประสงค์ในระดับองค์กร และระดับสายงานอย่างไร?

มีการบูรณาการและประสานงานที่มีดุลยภาพของ GRC คือ เป็น Integrity – Driven Performance ที่เป็นกลยุทธ์ใหม่ในการบริหารที่องค์กรสำคัญ ๆ ทั่วโลกจัดเป็น First Priority เพียงใด

คณะกรรมการชุดต่าง ๆ มีความเข้าใจในเรื่อง GRC และมีการประสานงานการบริหาร การประชุม การพิจารณาภาพรวมตามลักษณะงานที่กิจกรรมหนึ่ง ๆ จะต้องปฏิบัติในสายงานต่าง ๆ อย่างไร

มีหลักฐานอะไรในการดำเนินการดังกล่าวที่แสดงถึงความร่วมมือของคณะกรรมการชุดต่าง ๆ
คณะกรรมการตรวจสอบ ผู้ตรวจสอบภายใน มองภาพรวมของ GRC ได้ชัดเจน

แนวคิดและกลยุทธ์ในการดำเนินงานเพื่อขับเคลื่อนองค์กรไปสู่การบริหารความเสี่ยงแบบบูรณาการ และมีคุณค่า (Business Integrity)

แนวคิดและกลยุทธ์ในการดำเนินงานเพื่อขับเคลื่อนองค์กรไปสู่การบริหารความเสี่ยงแบบบูรณาการ และมีคุณค่า (Business Integrity)

6. เมื่อเราพอจะเข้าใจบทบาทและความสำคัญของ GRC ในการขับเคลื่อนคุณค่า และเพื่อการบรรลุเป้าหมายอย่างมีคุณภาพมากขึ้นแล้ว องค์กรและผู้บริหารจะต้องถามตนเองต่อไปว่า เราจะนำ GRC มาใช้ในการบริหาร เพื่อลดต้นทุนในการดำเนินงานหรือทำให้องค์กรลดต้นทุนได้มากขึ้นอย่างไร

องค์กรของเราจะสามารถดำเนินการปฏิบัติการให้เป็นไปตามมาตรฐานและกฎเกณฑ์ของสังคม (Compliance) จากทั้งภายนอกและภายในองค์กรให้มีศักยภาพ เพื่อรักษาชื่อเสียง ความเชื่อมั่น พร้อม ๆ กับการทำกำไรที่ได้ดุลยภาพอย่างยั่งยืนได้อย่างไร หรือต้องรอให้ภาครัฐออกหลักเกณฑ์และหลักการในลักษณะภาคบังคับให้ต้องมีการปฏิบัติเสียก่อน

7. ทุกองค์กรควรตระหนักจากความเข้าใจในการบริหารเชิงรุกว่า การปฎิบัติตาม Compliance โดยใช้หลักการ GRC ซึ่งมี Concept ที่ขยายความเพิ่มเติม ตั้งแต่ Vision ใหม่เพื่อ Stakeholders และการขับเคลื่อนองค์กรให้เป็น Integrity – Driven Performance และการปฏิบัติตามมาตรฐานและกฎเกณฑ์ของสังคมทั้งภายในและระหว่างประเทศนั้น เป็น “หัวใจ” ของช่องว่างในเชิงบริหารความเสี่ยงทั่วทั้งองค์กรของทุกหน่วยงานอย่างแท้จริง

8. ข้อสรุปในเบื้องต้นของทุกองค์กร โดยเฉพาะอย่างยิ่งการบริหารความเสี่ยง การควบคุมภายใน และการตรวจสอบภายในตามฐานความเสี่ยง ก็คือ

8.1. มุมมองเชิงกลยุทธ์ขององค์กรที่ต้องมีเป้าหมายหลักอยู่ที่ผู้มีผลประโยชน์ร่วม ดังนั้น องค์กรที่ไม่ได้มีเป้าหมายเช่นนี้จะต้องปรับเปลี่ยนวิสัยทัศน์ใหม่ (Envision)

8.2. เมื่อองค์กรพิจารณาว่า GRC คือแนวทางการจัดการที่ดี เป็นที่ยอมรับโดยทั่วไปแล้ว องค์กรจะปรับเปลี่ยนกระบวนการปฏิบัติการหรือกระบวนการดำเนินงานให้มีลักษณะ Integrity – Driven Performance อย่างไร เพราะ GRC เป็นแนวทางการบริหารที่ได้ถูกจัดและยอมรับกันทั่วโลกให้เป็น First Priority ขององค์กรชั้นนำในปัจจุบันแล้ว

ครั้งหน้าผมจะมาบอกถึงปัจจัยสำคัญที่ใช้ในการขับเคลื่อนการดำเนินงาน/การปฏิบัติการที่มีศักยภาพอย่างยั่งยืนตามหลักการ GRC ท่านผู้บริหารและผู้สนใจ GRC ที่เป็นกลยุทธ์ใหม่นี้อย่าพลาด! ติดตามตอนต่อไปนะครับ

Leave a Comment » | CG & ITG & GRC และองค์ประกอบที่เกี่ยวข้อง | ติดป้ายกำกับ: , , , , , , , , | ลิงก์ถาวร
โพสต์โดย Metha Suvanasarn

ปัจจัยแห่งความสำเร็จและแนวความคิดทางด้าน IT Governance บางประการ

มิถุนายน 8, 2009

การสร้างคุณค่าเพิ่มให้กับองค์กรเพื่อผลประโยชน์ของ Stakeholders ซึ่งแน่นอนว่าได้รวม Shareholders เข้าไปด้วยแล้วนั้น จะประสบความสำเร็จเป็นรูปธรรมได้ก็ต่อเมื่อคณะกรรมการ และผู้บริหารต้องส่งสัญญาณและแนวทางที่ชัดเจนในการขับเคลื่อนองค์กร โดยใช้หลักการการกำกับดูแลกิจการที่ดี หรือ CG ควบคู่กันไปกับ IT Governance ซึ่งแยกกันไม่ได้ตามที่ได้กล่าวมาในครั้งก่อน ๆ แล้ว

แนวความคิดที่จะนำไปสู่การปฏิบัติในการขับเคลื่อน CG ควบคู่กันไปกับ ITG ในมุมมองโดยรวม มีดังนี้

การกำกับดูแลกิจการที่ดี / CG + ITG กับมุมมองในการสร้างคุณค่าเพิ่ม และกระบวนการควบคุมภายใน

การกำกับดูแลกิจการที่ดี / CG + ITG กับมุมมองในการสร้างคุณค่าเพิ่ม และกระบวนการควบคุมภายใน

จุดมุ่งหมายของการประกอบธุรกิจที่ดีด้วย Information Technology (IT)
1.สามารถลดต้นทุนและเพิ่มประสิทธิภาพในการดำเนินกิจการ
2.สร้างแนวทางในการหารายได้ใหม่ ๆ
3.สนองตอบความต้องการขององค์กร
4.สร้างมูลค่าเพิ่มให้กับองค์กร
5.สร้างรูปแบบใหม่ในการดำเนินธุรกิจขององค์กร
6.สร้างความสามารถในการแข่งขันด้วย ITG

ปัจจัยแห่งความสำเร็จ
1. ควรคำนึงถึงตลอดเวลาว่า IT เป็นส่วนหนึ่งขององค์กรและกลยุทธ์ การดำเนินงานทางด้าน IT เป็นส่วนหนึ่งของการกำกับดูแลกิจการที่ดี

2. รับรู้ปัญหาทางด้าน IT และวิธีการที่ฝ่ายจัดการว่าจ้างผู้เชี่ยวชาญภายนอกเข้ามาช่วยแก้ไขปัญหา รวมทั้งความเสี่ยงคงเหลือขององค์กร

3. การกำหนดวัตถุประสงค์ รายละเอียด และการนำ IT ไปใช้ ควรมีพื้นฐานมาจากความต้องการขององค์กร ด้วยความคิดที่เป็นระบบ และมีขั้นตอน

4. ควรพิจารณาแต่งตั้งสมาชิกในคณะกรรมการตรวจสอบที่มีความรู้ทางด้าน IT และความเสี่ยงทางด้าน IT รวมทั้ง IT Governance

5. ทรัพยากรทางด้าน IT ขององค์กร สามารถทำงานร่วมกับองค์กรอื่นได้เป็นอย่างดี องค์กรอาจถูกผลักดันจากพันธมิตร หรือคู่ค้าทางด้าน IT

6. เป้าหมายและการดำเนินการตามกลยุทธ์ ควรนำเทคโนโลยีมาใช้เพื่อเป็นการใช้ทรัพยากรที่มีอยู่อย่างคุ้มค่า และมีความสามารถที่จะสนองตอบความต้องการขององค์กรได้อย่างมีคุณภาพสูงสุด

7. การสื่อสารระหว่างฝ่ายจัดการและผู้ตรวจสอบ เพื่อสร้างวัฒนธรรมการปฏิบัติงานใหม่ ๆ ควรเป็นไปอย่างสะดวก ไม่มีขั้นตอนที่ยุ่งยาก

8. ระเบียบวิธีปฏิบัติที่ถูกกำหนดขึ้น ควรเป็นความเห็นร่วมกันระหว่างฝ่ายจัดการและคณะกรรมการขององค์กร และเป็นไปตามกฎหมายที่เกี่ยวข้องและลงนามโดยฝ่ายจัดการ

9. กลยุทธ์ในการจัดการที่กำหนดให้มีขึ้น ควรคำนึงถึงวัตถุประสงค์ของ IT ได้แก่ กลยุทธ์ทางด้าน IT ที่ควรสอดคล้องกับกลยุทธ์สู่เป้าหมายต่าง ๆ ขององค์กร ระยะเวลาการส่งมอบการบริหารความเสี่ยงและประสิทธิภาพการบริหาร โดยผู้บริหารและผู้ปฏิบัติงานควรมีความเข้าใจในเรื่อง IT

การหลอมรวมกระบวนการจัดการทั่วทั้งองค์กร และการสร้างความมั่นใจอย่างสมเหตุสมผลเพื่อก้าวสู่ CG

การหลอมรวมกระบวนการจัดการทั่วทั้งองค์กร และการสร้างความมั่นใจอย่างสมเหตุสมผลเพื่อก้าวสู่ CG

กลไกในการใช้ IT Governance เป็นตัวผลักดันประสิทธิภาพและการจัดการที่ดี
1. ความถี่ของการรายงานจุดควบคุมความเสี่ยงและข้อเสนอแนะต่อ คณะกรรมการขององค์กร
2. การลดต้นทุนค่าใช้จ่าย การเพิ่มประสิทธิภาพของกระบวนการปฏิบัติงานทางด้าน IT โดยการเชื่อมโยงระบบต่าง ๆ เข้าด้วยกัน
3. สร้างความหลากหลายในการประกอบธุรกิจด้วย IT
4. เพิ่มอรรถประโยชน์ของทรัพยากรทางด้าน IT ที่มีอยู่
5. เพิ่มความพึงพอใจให้แก่พนักงานผู้มีผลประโยชน์ร่วมทุกฝ่าย
6. ปรับปรุงวิธีการทำงานและความรับผิดชอบของผู้ปฏิบัติงานที่มีส่วนเกี่ยวข้องกับ IT ทั้งทางตรงและทางอ้อม
7. เพิ่มพูนความรู้ทางด้าน IT ให้แก่ฝ่ายจัดการและผู้ปฏิบัติงาน
8. เพิ่มความเชื่อมโยงระหว่าง IT กับการกำกับดูแลกิจการที่ดี
9. เพิ่มศักยภาพของกระบวนการบริหาร (Management Process) และการปฏิบัติงานตามที่วัดได้จาก Management Tools ต่าง ๆ
10. กำหนดมาตรฐานการปฏิบัติงาน และเปรียบเทียบกับมาตรฐานการกำกับดูแลกิจการที่ดี

แนวความคิดที่ปฏิบัติจริงได้ จากการวัดประสิทธิภาพการบริหารด้าน IT และการใช้ IT Governance ในระดับสายงานต่าง ๆ อย่างสอดคล้องทั่วทั้งองค์กร

1. ทำอย่างไร IT จึงจะสามารถเพิ่มประสิทธิภาพและลดต้นทุนในการจัดการ
2. ทำอย่างไร IT จึงจะให้คำแนะนำเกี่ยวกับนวัตกรรมและการบริการใหม่ ๆ ได้อย่างรวดเร็ว และลดความซ้ำซ้อนในการปฏิบัติงาน
3. ทำอย่างไร IT จึงจะช่วยเพิ่มผลตอบแทนจากการลงทุนได้มากขึ้น
4. ทำอย่างไร IT จึงสามารถกำหนดมาตรฐานการปฏิบัติงานขององค์กรได้
5. ทำอย่างไร IT ช่วยองค์กรเพิ่มลูกค้าใหม่และสร้างความพอใจให้กับลูกค้าได้
6. ทำอย่างไร IT จึงจะสนองตอบความต้องการและความคาดหวังของผู้มีผลประโยชน์ร่วมขององค์กรได้ ภายใต้งบประมาณที่ได้รับและเวลาที่กำหนด
7. ทำอย่างไร IT จึงจะช่วยองค์กรให้ปฏิบัติงานได้อย่างถูกต้องตามกฎหมายระเบียบ ข้อบังคับ หรือตามสัญญา
8. ทำอย่างไร IT จึงจะช่วยให้องค์กรบริหารความเสี่ยงที่มีอยู่อย่างโปร่งใส
9. ทำอย่างไร IT จึงจะช่วยองค์กรในการสร้างช่องทางการบริการใหม่ ๆ
10. ทำอย่างไร IT จึงจะช่วยฝ่ายจัดการสร้างผลตอบแทนให้แก่องค์กรในอัตราที่สูงขึ้น บริหารงาน และปฏิบัติงานได้รวดเร็วยิ่งขึ้น

จากข้อมูลข้างต้น ท่านพอจะมองเห็นภาพ รวมทั้งกรอบและแนวความคิดในการนำ CG และ ITG ที่เป็นนามธรรม ไปสู่ความเป็นรูปธรรมในทางปฏิบัติได้จริง และสร้างความมั่นใจอย่างสมเหตุสมผลจากการบริหารความเสี่ยง การควบคุมภายใน การตรวจสอบภายใน รวมทั้งการติดตามผล ซึ่งเรียกรวม 2 คำหลังในการอธิบายนี้ว่า เป็นการสร้างความมั่นใจต่อการบรรลุเป้าประสงค์ (Objectives) อย่างมีเหตุผลหรือใช้คำหรูๆว่า Assurance ในการก้าวไปสู่ความมั่งคั่ง และมั่นคงในการเติบโตอย่างยั่งยืน ( Sustainable Growth ) ตามหลักการของ Governance หรือการกำกับดูแลกิจการที่ดี และแน่นอนว่าจะเกี่ยวข้องกับความมั่นใจในการปฏิบัติตามกฎหมาย กฎเกณฑ์ และระเบียบต่าง ๆ ทั้งภายในและภายนอกองค์กร (Comformance / Compliance) ซึ่งเป็นส่วนหนึ่งของ GRC ภายใต้กรอบ CG และ IT Governance หรือ ITG นั่นเองครับ…

Leave a Comment » | CG & ITG & GRC และองค์ประกอบที่เกี่ยวข้อง | ติดป้ายกำกับ: , , , , | ลิงก์ถาวร
โพสต์โดย Metha Suvanasarn

ปัจจัยแห่งความสำเร็จและแนวความคิดทางด้าน IT Governance บางประการ

มิถุนายน 8, 2009

การสร้างคุณค่าเพิ่มให้กับองค์กรเพื่อผลประโยชน์ของ Stakeholders ซึ่งแน่นอนว่าได้รวม Shareholders เข้าไปด้วยแล้วนั้น จะประสบความสำเร็จเป็นรูปธรรมได้ก็ต่อเมื่อคณะกรรมการ และผู้บริหารต้องส่งสัญญาณและแนวทางที่ชัดเจนในการขับเคลื่อนองค์กร โดยใช้หลักการการกำกับดูแลกิจการที่ดี หรือ CG ควบคู่กันไปกับ IT Governance ซึ่งแยกกันไม่ได้ตามที่ได้กล่าวมาในครั้งก่อน ๆ แล้ว

แนวความคิดที่จะนำไปสู่การปฏิบัติในการขับเคลื่อน CG ควบคู่กันไปกับ ITG ในมุมมองโดยรวม มีดังนี้

การกำกับดูแลกิจการที่ดี / CG + ITG กับมุมมองในการสร้างคุณค่าเพิ่ม และกระบวนการควบคุมภายใน

การกำกับดูแลกิจการที่ดี / CG + ITG กับมุมมองในการสร้างคุณค่าเพิ่ม และกระบวนการควบคุมภายใน

จุดมุ่งหมายของการประกอบธุรกิจที่ดีด้วย Information Technology (IT)
1.สามารถลดต้นทุนและเพิ่มประสิทธิภาพในการดำเนินกิจการ
2.สร้างแนวทางในการหารายได้ใหม่ ๆ
3.สนองตอบความต้องการขององค์กร
4.สร้างมูลค่าเพิ่มให้กับองค์กร
5.สร้างรูปแบบใหม่ในการดำเนินธุรกิจขององค์กร
6.สร้างความสามารถในการแข่งขันด้วย ITG

ปัจจัยแห่งความสำเร็จ
1. ควรคำนึงถึงตลอดเวลาว่า IT เป็นส่วนหนึ่งขององค์กรและกลยุทธ์ การดำเนินงานทางด้าน IT เป็นส่วนหนึ่งของการกำกับดูแลกิจการที่ดี

2. รับรู้ปัญหาทางด้าน IT และวิธีการที่ฝ่ายจัดการว่าจ้างผู้เชี่ยวชาญภายนอกเข้ามาช่วยแก้ไขปัญหา รวมทั้งความเสี่ยงคงเหลือขององค์กร

3. การกำหนดวัตถุประสงค์ รายละเอียด และการนำ IT ไปใช้ ควรมีพื้นฐานมาจากความต้องการขององค์กร ด้วยความคิดที่เป็นระบบ และมีขั้นตอน

4. ควรพิจารณาแต่งตั้งสมาชิกในคณะกรรมการตรวจสอบที่มีความรู้ทางด้าน IT และความเสี่ยงทางด้าน IT รวมทั้ง IT Governance

5. ทรัพยากรทางด้าน IT ขององค์กร สามารถทำงานร่วมกับองค์กรอื่นได้เป็นอย่างดี องค์กรอาจถูกผลักดันจากพันธมิตร หรือคู่ค้าทางด้าน IT

6. เป้าหมายและการดำเนินการตามกลยุทธ์ ควรนำเทคโนโลยีมาใช้เพื่อเป็นการใช้ทรัพยากรที่มีอยู่อย่างคุ้มค่า และมีความสามารถที่จะสนองตอบความต้องการขององค์กรได้อย่างมีคุณภาพสูงสุด

7. การสื่อสารระหว่างฝ่ายจัดการและผู้ตรวจสอบ เพื่อสร้างวัฒนธรรมการปฏิบัติงานใหม่ ๆ ควรเป็นไปอย่างสะดวก ไม่มีขั้นตอนที่ยุ่งยาก

8. ระเบียบวิธีปฏิบัติที่ถูกกำหนดขึ้น ควรเป็นความเห็นร่วมกันระหว่างฝ่ายจัดการและคณะกรรมการขององค์กร และเป็นไปตามกฎหมายที่เกี่ยวข้องและลงนามโดยฝ่ายจัดการ

9. กลยุทธ์ในการจัดการที่กำหนดให้มีขึ้น ควรคำนึงถึงวัตถุประสงค์ของ IT ได้แก่ กลยุทธ์ทางด้าน IT ที่ควรสอดคล้องกับกลยุทธ์สู่เป้าหมายต่าง ๆ ขององค์กร ระยะเวลาการส่งมอบการบริหารความเสี่ยงและประสิทธิภาพการบริหาร โดยผู้บริหารและผู้ปฏิบัติงานควรมีความเข้าใจในเรื่อง IT

การหลอมรวมกระบวนการจัดการทั่วทั้งองค์กร และการสร้างความมั่นใจอย่างสมเหตุสมผลเพื่อก้าวสู่ CG

การหลอมรวมกระบวนการจัดการทั่วทั้งองค์กร และการสร้างความมั่นใจอย่างสมเหตุสมผลเพื่อก้าวสู่ CG

กลไกในการใช้ IT Governance เป็นตัวผลักดันประสิทธิภาพและการจัดการที่ดี
1. ความถี่ของการรายงานจุดควบคุมความเสี่ยงและข้อเสนอแนะต่อ คณะกรรมการขององค์กร
2. การลดต้นทุนค่าใช้จ่าย การเพิ่มประสิทธิภาพของกระบวนการปฏิบัติงานทางด้าน IT โดยการเชื่อมโยงระบบต่าง ๆ เข้าด้วยกัน
3. สร้างความหลากหลายในการประกอบธุรกิจด้วย IT
4. เพิ่มอรรถประโยชน์ของทรัพยากรทางด้าน IT ที่มีอยู่
5. เพิ่มความพึงพอใจให้แก่พนักงานผู้มีผลประโยชน์ร่วมทุกฝ่าย
6. ปรับปรุงวิธีการทำงานและความรับผิดชอบของผู้ปฏิบัติงานที่มีส่วนเกี่ยวข้องกับ IT ทั้งทางตรงและทางอ้อม
7. เพิ่มพูนความรู้ทางด้าน IT ให้แก่ฝ่ายจัดการและผู้ปฏิบัติงาน
8. เพิ่มความเชื่อมโยงระหว่าง IT กับการกำกับดูแลกิจการที่ดี
9. เพิ่มศักยภาพของกระบวนการบริหาร (Management Process) และการปฏิบัติงานตามที่วัดได้จาก Management Tools ต่าง ๆ
10. กำหนดมาตรฐานการปฏิบัติงาน และเปรียบเทียบกับมาตรฐานการกำกับดูแลกิจการที่ดี

แนวความคิดที่ปฏิบัติจริงได้ จากการวัดประสิทธิภาพการบริหารด้าน IT และการใช้ IT Governance ในระดับสายงานต่าง ๆ อย่างสอดคล้องทั่วทั้งองค์กร

1. ทำอย่างไร IT จึงจะสามารถเพิ่มประสิทธิภาพและลดต้นทุนในการจัดการ
2. ทำอย่างไร IT จึงจะให้คำแนะนำเกี่ยวกับนวัตกรรมและการบริการใหม่ ๆ ได้อย่างรวดเร็ว และลดความซ้ำซ้อนในการปฏิบัติงาน
3. ทำอย่างไร IT จึงจะช่วยเพิ่มผลตอบแทนจากการลงทุนได้มากขึ้น
4. ทำอย่างไร IT จึงสามารถกำหนดมาตรฐานการปฏิบัติงานขององค์กรได้
5. ทำอย่างไร IT ช่วยองค์กรเพิ่มลูกค้าใหม่และสร้างความพอใจให้กับลูกค้าได้
6. ทำอย่างไร IT จึงจะสนองตอบความต้องการและความคาดหวังของผู้มีผลประโยชน์ร่วมขององค์กรได้ ภายใต้งบประมาณที่ได้รับและเวลาที่กำหนด
7. ทำอย่างไร IT จึงจะช่วยองค์กรให้ปฏิบัติงานได้อย่างถูกต้องตามกฎหมายระเบียบ ข้อบังคับ หรือตามสัญญา
8. ทำอย่างไร IT จึงจะช่วยให้องค์กรบริหารความเสี่ยงที่มีอยู่อย่างโปร่งใส
9. ทำอย่างไร IT จึงจะช่วยองค์กรในการสร้างช่องทางการบริการใหม่ ๆ
10. ทำอย่างไร IT จึงจะช่วยฝ่ายจัดการสร้างผลตอบแทนให้แก่องค์กรในอัตราที่สูงขึ้น บริหารงาน และปฏิบัติงานได้รวดเร็วยิ่งขึ้น

จากข้อมูลข้างต้น ท่านพอจะมองเห็นภาพ รวมทั้งกรอบและแนวความคิดในการนำ CG และ ITG ที่เป็นนามธรรม ไปสู่ความเป็นรูปธรรมในทางปฏิบัติได้จริง และสร้างความมั่นใจอย่างสมเหตุสมผลจากการบริหารความเสี่ยง การควบคุมภายใน การตรวจสอบภายใน รวมทั้งการติดตามผล ซึ่งเรียกรวม 2 คำหลังในการอธิบายนี้ว่า เป็นการสร้างความมั่นใจต่อการบรรลุเป้าประสงค์ (Objectives) อย่างมีเหตุผลหรือใช้คำหรูๆว่า Assurance ในการก้าวไปสู่ความมั่งคั่ง และมั่นคงในการเติบโตอย่างยั่งยืน ( Sustainable Growth ) ตามหลักการของ Governance หรือการกำกับดูแลกิจการที่ดี และแน่นอนว่าจะเกี่ยวข้องกับความมั่นใจในการปฏิบัติตามกฎหมาย กฎเกณฑ์ และระเบียบต่าง ๆ ทั้งภายในและภายนอกองค์กร (Comformance / Compliance) ซึ่งเป็นส่วนหนึ่งของ GRC ภายใต้กรอบ CG และ IT Governance หรือ ITG นั่นเองครับ…

Leave a Comment » | CG & ITG & GRC และองค์ประกอบที่เกี่ยวข้อง | ติดป้ายกำกับ: , , , , | ลิงก์ถาวร
โพสต์โดย Metha Suvanasarn

Corporate Governance – CG กับ IT Governance – ITG กับบทบาทของผู้บริหารระดับสูง คณะกรรมการบริหารความเสี่ยง และคณะกรรมการตรวจสอบ

มิถุนายน 1, 2009

ครั้งที่แล้วผมได้กล่าวถึงการนำหลักการของกระบวนการบริหารความเสี่ยงที่ใช้กรอบของ COSO – ERM ซึ่งเป็นองค์ประกอบหนึ่งของการกำกับดูแลกิจการที่ดี หรือหลักบรรษัทภิบาล – CG ที่มีองค์ประกอบหลัก ๆ 7 ข้อ ตามที่อธิบายด้วยภาพของต้นไม้มาแล้ว วันนี้ผมกำลังจะนำหลักการ CG มาผสมผสานกับแนวทางการบริหารกระบวนการ และการจัดการกับความเสี่ยงในมุมมองของ IT Governance โดยใช้หลักการของ COBIT ที่ประกอบไปด้วย 4 Domain และ 34 Process แต่จะขออธิบายในเรื่องหลักการ CG สั้น ๆ ดังนี้

CG หรือหลักบรรษัทภิบาล ก็คือ กระบวนการบริหารและการจัดการโดยกำหนดบทบาท ความคิดที่นำมาสู่วิธีการปฏิบัติงาน เพื่อก่อให้เกิดประโยชน์และสร้างคุณค่าเพิ่มต่อการดำเนินธุรกิจทุกประเภท และในทุกระดับขององค์กร

IT Governance and Performance Measurement

IT Governance and Performance Measurement

IT Governance ก็คือ ดุลยภาพของกระบวนการบริหารความเสี่ยงกับการจัดการทางด้านเทคโนโลยีสารสนเทศ เพื่อการขับเคลื่อนกลยุทธ์โดยรวมขององค์กร โดยมีผลตอบแทนที่เหมาะสม ยอมรับได้ และประเมินคุณค่าได้ ทั้งในปัจจุบันและอนาคต จากประสิทธิภาพและประสิทธิผลในการดำเนินงานที่พิจารณาจากสินทรัพย์ที่มีตัวตน (Tangible Assets) และสินทรัพย์ที่ไม่มีตัวตน (Intangible Assets) ในระดับองค์กร

Performance Measurement and Criteria Concerned

Performance Measurement and Criteria Concerned

ผมขออธิบายโดยใช้รูปภาพประกอบข้างต้น ซึ่งอธิบายได้ในตัวของมันเอง ท่านสามารถใช้ดุลยพินิจและความคิดในการสร้างคุณค่าเพิ่มในทางปฏิบัติควบคู่กับหลักการบริหารความเสี่ยง ทั้งทางด้าน IT Risk และ Non – IT Risk ตามหลักการของ COSO – ERM ต่อไป

Performance Measurement and ITG

Performance Measurement and ITG

ผมจะขออธิบายเพิ่มเติมเพื่อสร้างความเข้าใจในรายละเอียดให้มากขึ้นในครั้งต่อไปนะครับ

Leave a Comment » | CG & ITG & GRC และองค์ประกอบที่เกี่ยวข้อง | ติดป้ายกำกับ: , , , , | ลิงก์ถาวร
โพสต์โดย Metha Suvanasarn

Corporate Governance – CG กับ IT Governance – ITG กับบทบาทของผู้บริหารระดับสูง คณะกรรมการบริหารความเสี่ยง และคณะกรรมการตรวจสอบ

มิถุนายน 1, 2009

ครั้งที่แล้วผมได้กล่าวถึงการนำหลักการของกระบวนการบริหารความเสี่ยงที่ใช้กรอบของ COSO – ERM ซึ่งเป็นองค์ประกอบหนึ่งของการกำกับดูแลกิจการที่ดี หรือหลักบรรษัทภิบาล – CG ที่มีองค์ประกอบหลัก ๆ 7 ข้อ ตามที่อธิบายด้วยภาพของต้นไม้มาแล้ว วันนี้ผมกำลังจะนำหลักการ CG มาผสมผสานกับแนวทางการบริหารกระบวนการ และการจัดการกับความเสี่ยงในมุมมองของ IT Governance โดยใช้หลักการของ COBIT ที่ประกอบไปด้วย 4 Domain และ 34 Process แต่จะขออธิบายในเรื่องหลักการ CG สั้น ๆ ดังนี้

CG หรือหลักบรรษัทภิบาล ก็คือ กระบวนการบริหารและการจัดการโดยกำหนดบทบาท ความคิดที่นำมาสู่วิธีการปฏิบัติงาน เพื่อก่อให้เกิดประโยชน์และสร้างคุณค่าเพิ่มต่อการดำเนินธุรกิจทุกประเภท และในทุกระดับขององค์กร

IT Governance and Performance Measurement

IT Governance and Performance Measurement

IT Governance ก็คือ ดุลยภาพของกระบวนการบริหารความเสี่ยงกับการจัดการทางด้านเทคโนโลยีสารสนเทศ เพื่อการขับเคลื่อนกลยุทธ์โดยรวมขององค์กร โดยมีผลตอบแทนที่เหมาะสม ยอมรับได้ และประเมินคุณค่าได้ ทั้งในปัจจุบันและอนาคต จากประสิทธิภาพและประสิทธิผลในการดำเนินงานที่พิจารณาจากสินทรัพย์ที่มีตัวตน (Tangible Assets) และสินทรัพย์ที่ไม่มีตัวตน (Intangible Assets) ในระดับองค์กร

Performance Measurement and Criteria Concerned

Performance Measurement and Criteria Concerned

ผมขออธิบายโดยใช้รูปภาพประกอบข้างต้น ซึ่งอธิบายได้ในตัวของมันเอง ท่านสามารถใช้ดุลยพินิจและความคิดในการสร้างคุณค่าเพิ่มในทางปฏิบัติควบคู่กับหลักการบริหารความเสี่ยง ทั้งทางด้าน IT Risk และ Non – IT Risk ตามหลักการของ COSO – ERM ต่อไป

Performance Measurement and ITG

Performance Measurement and ITG

ผมจะขออธิบายเพิ่มเติมเพื่อสร้างความเข้าใจในรายละเอียดให้มากขึ้นในครั้งต่อไปนะครับ

Leave a Comment » | CG & ITG & GRC และองค์ประกอบที่เกี่ยวข้อง | ติดป้ายกำกับ: , , , , | ลิงก์ถาวร
โพสต์โดย Metha Suvanasarn

ITG กับบางมุมมองของเกณฑ์การประเมินผลภาครัฐด้านการบริหารจัดการสารสนเทศ (ITM)

พ.ค. 30, 2009

การบริหารจัดการความเสี่ยงตามหลักการของ COSO – Enterprise Risk Management ที่คณะกรรมการประเมินผลภาครัฐ นำมาใช้ในเกณฑ์การประเมินผลการบริหารความเสี่ยงตามที่ได้กล่าวมาแล้วในครั้งก่อน ๆ นั้น หลายมุมมองจะเกี่ยวข้องกับการประเมินความเสี่ยงที่เกิดจากการบริหารและควบคุมสารสนเทศที่มีผลต่อ Business Process และ Business Objective ขององค์กรอย่างเป็นกระบวนการ ตามขอบเขตของ IT Governance ที่เกี่ยวข้องกับ COBIT – Control OBjcetive for Information and Technology ตามหลักการของ ITGI ซึ่งประกอบไปด้วย หลักการบริหารกรอบใหญ่ ๆ 4 ด้าน คือ
1. การวางแผนและการจัดการองค์กร (Planning & Organization – PO)
2. การจัดหาและการนำระบบออกใช้งานจริง (Acquisition & Implementation – AI)
3. การส่งมอบและการบำรุงรักษา (Delivery & Support – DS)
4. การติดตาม (Monitoring – M)

การบริหารและการจัดการกับความเสี่ยงตามหลักการของ COSO ก็เกี่ยวข้องกับการเลือกวิธีการควบคุมความเสี่ยง โดยเฉพาะอย่างยิ่งเกี่ยวข้องอย่างมากต่อความเสี่ยงด้านเทคโนโลยี ที่มีผลกระทบต่อ Business Process ที่อาจเกิดช่องว่างของจุดอ่อนและการทุจริตตามที่เป็นข่าวในสถาบันการเงินหลายแห่งของไทยเมื่อเร็ว ๆ นี้ ซึ่งความเสี่ยงของเทคโนโลยีดังกล่าวต้องการความรู้ และประสบการณ์ทางด้านการจัดการกับเทคโนโลยีผสมผสานอย่างแยกไม่ได้กับความเข้าใจในเรื่องการบริหารความเสี่ยง ตามหลักการของ COSO – ERM

ความเชื่อมโยงของการบริหารความเสี่ยงระหว่าง COSO กับ COBIT กับผู้บริหาร

ความเชื่อมโยงของการบริหารความเสี่ยงระหว่าง COSO กับ COBIT กับผู้บริหาร

วันนี้ ผมจึงขอนำเสนอแนวทางของเกณฑ์การประเมินผลของภาครัฐ บางมุมมองที่เกี่ยวข้องกับการบริหารจัดการสารสนเทศ ในปี 2552 แยกพิจารณาออกเป็น 2 ส่วน สรุปได้ดังนี้

ส่วนที่ 1
1. การพิจารณาแผนแม่บทสารสนเทศ (IT Master Plan)
1.1 การตอบสนองต่อความต้องการขององค์กรและนโยบาย
1.2 องค์ประกอบหรือรายละเอียดแผนปฏิบัติการ

ส่วนที่ 2
2. การบริหารการจัดการสารสนเทศ
2.1 ระบบสารสนเทศที่สนับสนุนการบริหารจัดการของรัฐวิสาหกิจ
2.1.1 ระบบ MIS / EIS ที่สอดคล้องกับความต้องการของผู้บริหาร
2.1.2 ระบบการเก็บข้อมูลเพื่อช่วยในการติดตามหรือวัดผลการดำเนินงานขององค์กร
2.1.3 ระบบการรายงานผลและเปรียบเทียบผลการดำเนินงานกับเป้าหมาย

2.2 ระบบสารสนเทศที่สนับสนุนการบริหารความเสี่ยง
2.2.1 ระบบสารสนเทศที่สนับสนุนการเก็บข้อมูลพื้นฐานที่ใช้ในการบริหารและจัดการความเสี่ยง
2.2.2 ระบบสารสนเทศที่สนับสนุนรายงานและการวิเคราะห์ระดับความรุนแรงและประเมินโอกาสที่เกิด / Early Warning System (ระบบเตือนภัย / แจ้งให้ทราบถึงเหตุการณ์หรือความเสี่ยงที่จะเกิดขึ้นซึ่งมีผลกระทบรุนแรงต่อองค์กร)
2.2.3 การบริหารเทคโนโลยีสารสนเทศเพื่อการจัดการที่ดี (IT Governance)

แนวทางการแบ่งกลุ่มองค์กรตามความสำคัญที่มีผลกระทบต่อสังคมและสาธารณชนโดยรวม

แนวทางการแบ่งกลุ่มองค์กรตามความสำคัญที่มีผลกระทบต่อสังคมและสาธารณชนโดยรวม

– การดูแลสภาพแวดล้อมที่ดี มีมาตรฐาน (IT Security) ของ ISO 27001

มาตรฐาน IT Security ของศูนย์คอมพิวเตอร์หลัก ตาม ISO 27001 ในหมวด Physical/Environmental Control

มาตรฐาน IT Security ของศูนย์คอมพิวเตอร์หลัก ตาม ISO 27001 ในหมวด Physical/Environmental Control

– การมีศูนย์คอมพิวเตอร์สำรองนอกสถานที่ทำการ (Off-site Back up)

มาตรฐานการมีศูนย์คอมพิวเตอร์สำรองนอกสถานที่ทำการ (Off-site Back up)

มาตรฐานการมีศูนย์คอมพิวเตอร์สำรองนอกสถานที่ทำการ (Off-site Back up)

2.3 ระบบสารสนเทศที่สนับสนุนการควบคุมและการตรวจสอบภายใน
2.3.1 การนำระบบสารสนเทศและระบบเทคโนโลยีสารสนเทศเข้ามาช่วยในการควบคุมภายในและตรวจสอบภายในเพื่อสร้างความมั่นใจได้ว่ารัฐวิสาหกิจปฏิบัติได้ตามระเบียบ กฎหมาย ข้อบังคับต่าง ๆ ตลอดจนความถูกต้องของข้อมูลด้านบัญชีและการเงิน
2.3.2 ระบบที่ช่วยการควบคุมและการตรวจสอบเพื่อสร้างความมั่นใจได้ว่าระบบสารสนเทศมีความปลอดภัยและข้อมูลมีความถูกต้อง (Computer Audit)

2.4 ระบบสารสนเทศที่สนับสนุนการบริหารทรัพยากรบุคคล
2.4.1 ระบบสารสนเทศที่สนับสนุนการเก็บรวบรวมข้อมูลด้าน Competency ของบุคลากรทุกตำแหน่งที่องค์กรต้องการและที่บุคลากรทุกคนมีอยู่ (Competency Inventory)
2.4.2 การยกระดับความรู้และความสามารถของ CEO / CFO / CIO ใน การผนวกรวมการจัดการด้านเทคโนโลยีกับการวางนโยบายเพื่อพัฒนาองค์กร
2.4.3 การพัฒนาความรู้ความสามารถของบุคลากรในองค์กรให้เข้าใจและรองรับระบบสารสนเทศที่องค์กรมีอยู่

2.5 ระบบสารสนเทศที่สนับสนุนการดำเนินงานตามพระราชกฤษฎีกาว่าด้วยหลักเกณฑ์และวิธีการบริหารกิจการบ้านเมืองที่ดี พ.ศ. 2546 และนโยบายต่างๆ ของรัฐบาล
2.5.1 การลดระยะเวลาในการให้บริการแก่ผู้ใช้บริการ / อนุมัติ / อนุญาต ทั้งการให้บริการภายในและภายนอกองค์กร
2.5.2 ความสะดวกในการให้บริการของประชาชน / พนักงาน / ผู้มีส่วนได้เสีย เช่น การติดต่อกับรัฐวิสาหกิจได้หลายช่องทาง หรือ การให้บริการ Online
2.5.3 การเชื่อมโยงข้อมูลกับหน่วยงานอื่นเพื่อลดความซ้ำซ้อนของงาน / เอกสารที่ประชาชนต้องมาติดต่อ
2.5.4 One Stop Service ทั้งในการให้บริการต่าง ๆ ของรัฐวิสาหกิจที่จุดเดียว และ / หรือการร่วมกับหน่วยงานอื่นเพื่อให้บริการร่วมกันที่จุดเดียว
2.5.5 ระบบ Back Office ที่สามารถ Share ข้อมูลกับหน่วยงานอื่นทั้งภายใน และภายนอกองค์กรได้ โดยที่ต่างฝ่ายที่มีข้อมูลจะต้องหารือร่วมกันเพื่อ Share ข้อมูลในลักษณะของการเข้าสู่ข้อมูลของหน่วยงานอื่น โดยมีระบบรักษาความปลอดภัยที่ดีเพื่อป้องกันผู้ที่ไม่มีสิทธิ์ใช้ข้อมูล
2.5.6 การดำเนินการหรือแผนงานเพื่อสนับสนุนนโยบายต่าง ๆ ที่จำเป็นจะต้องนำระบบสารสนเทศเข้ามาช่วย เช่น การปิดบัญชีรายไตรมาส เป็นต้น

2.6 ระบบสารสนเทศที่ตอบสนองต่อความต้องการภายในและภายนอกองค์กร
2.6.1 การนำระบบสารสนเทศมาใช้เพื่อลดต้นทุนการผลิตหรือต้นทุนการให้บริการ
2.6.2 การนำระบบเข้ามาช่วยการสื่อสารทั้งภายในและภายนอกองค์กร
2.6.3 การนำระบบสารสนเทศเพื่อสนับสนุนให้เป็นองค์กรแห่งการเรียนรู้ (Learning Organization)
2.6.4 การเปิดเผยข้อมูลต่างๆ ผ่านทางเว็บไซต์อย่างเหมาะสม

การบริหารและการควบคุมความเสี่ยงเป็นภาพใหญ่ของทุกองค์กร ที่ต้องคำนึงถึงสภาพแวดล้อมของธุรกิจ โดยเฉพาะอย่างยิ่งกิจกรรมที่เกี่ยวข้องกับกรอบการบริหารความเสี่ยงทั่วทั้งองค์กรของ COSO ซึ่งอาจขยายความให้ครอบคลุมไปถึงความเสี่ยงทางด้านเทคโนโลยี (IT Security Risk) ได้ในทุกมุมมอง ดังนั้น ฝ่ายบริหารของทุกองค์กรควรพิจารณาและทบทวนความเข้าใจในเรื่องที่เกี่ยวข้องกับ IT Security Governance ซึ่งสัมพันธ์กับ IT Governance และ Corporate Governance อย่างแยกกันไม่ได้

และผมจะขยายความในเรื่อง IT Security Governance ในมุมมองของ COSO – ERM ซึ่งมีหลายเรื่องที่มีความสัมพันธ์กันอย่างใกล้ชิดและน่าสนใจยิ่ง ในโอกาสต่อ ๆ ไปครับ

Leave a Comment » | CG & ITG & GRC และองค์ประกอบที่เกี่ยวข้อง | ติดป้ายกำกับ: , , , , | ลิงก์ถาวร
โพสต์โดย Metha Suvanasarn

ITG กับบางมุมมองของเกณฑ์การประเมินผลภาครัฐด้านการบริหารจัดการสารสนเทศ (ITM)

พ.ค. 30, 2009

การบริหารจัดการความเสี่ยงตามหลักการของ COSO – Enterprise Risk Management ที่คณะกรรมการประเมินผลภาครัฐ นำมาใช้ในเกณฑ์การประเมินผลการบริหารความเสี่ยงตามที่ได้กล่าวมาแล้วในครั้งก่อน ๆ นั้น หลายมุมมองจะเกี่ยวข้องกับการประเมินความเสี่ยงที่เกิดจากการบริหารและควบคุมสารสนเทศที่มีผลต่อ Business Process และ Business Objective ขององค์กรอย่างเป็นกระบวนการ ตามขอบเขตของ IT Governance ที่เกี่ยวข้องกับ COBIT – Control OBjcetive for Information and Technology ตามหลักการของ ITGI ซึ่งประกอบไปด้วย หลักการบริหารกรอบใหญ่ ๆ 4 ด้าน คือ
1. การวางแผนและการจัดการองค์กร (Planning & Organization – PO)
2. การจัดหาและการนำระบบออกใช้งานจริง (Acquisition & Implementation – AI)
3. การส่งมอบและการบำรุงรักษา (Delivery & Support – DS)
4. การติดตาม (Monitoring – M)

การบริหารและการจัดการกับความเสี่ยงตามหลักการของ COSO ก็เกี่ยวข้องกับการเลือกวิธีการควบคุมความเสี่ยง โดยเฉพาะอย่างยิ่งเกี่ยวข้องอย่างมากต่อความเสี่ยงด้านเทคโนโลยี ที่มีผลกระทบต่อ Business Process ที่อาจเกิดช่องว่างของจุดอ่อนและการทุจริตตามที่เป็นข่าวในสถาบันการเงินหลายแห่งของไทยเมื่อเร็ว ๆ นี้ ซึ่งความเสี่ยงของเทคโนโลยีดังกล่าวต้องการความรู้ และประสบการณ์ทางด้านการจัดการกับเทคโนโลยีผสมผสานอย่างแยกไม่ได้กับความเข้าใจในเรื่องการบริหารความเสี่ยง ตามหลักการของ COSO – ERM

ความเชื่อมโยงของการบริหารความเสี่ยงระหว่าง COSO กับ COBIT กับผู้บริหาร

ความเชื่อมโยงของการบริหารความเสี่ยงระหว่าง COSO กับ COBIT กับผู้บริหาร

วันนี้ ผมจึงขอนำเสนอแนวทางของเกณฑ์การประเมินผลของภาครัฐ บางมุมมองที่เกี่ยวข้องกับการบริหารจัดการสารสนเทศ ในปี 2552 แยกพิจารณาออกเป็น 2 ส่วน สรุปได้ดังนี้

ส่วนที่ 1
1. การพิจารณาแผนแม่บทสารสนเทศ (IT Master Plan)
1.1 การตอบสนองต่อความต้องการขององค์กรและนโยบาย
1.2 องค์ประกอบหรือรายละเอียดแผนปฏิบัติการ

ส่วนที่ 2
2. การบริหารการจัดการสารสนเทศ
2.1 ระบบสารสนเทศที่สนับสนุนการบริหารจัดการของรัฐวิสาหกิจ
2.1.1 ระบบ MIS / EIS ที่สอดคล้องกับความต้องการของผู้บริหาร
2.1.2 ระบบการเก็บข้อมูลเพื่อช่วยในการติดตามหรือวัดผลการดำเนินงานขององค์กร
2.1.3 ระบบการรายงานผลและเปรียบเทียบผลการดำเนินงานกับเป้าหมาย

2.2 ระบบสารสนเทศที่สนับสนุนการบริหารความเสี่ยง
2.2.1 ระบบสารสนเทศที่สนับสนุนการเก็บข้อมูลพื้นฐานที่ใช้ในการบริหารและจัดการความเสี่ยง
2.2.2 ระบบสารสนเทศที่สนับสนุนรายงานและการวิเคราะห์ระดับความรุนแรงและประเมินโอกาสที่เกิด / Early Warning System (ระบบเตือนภัย / แจ้งให้ทราบถึงเหตุการณ์หรือความเสี่ยงที่จะเกิดขึ้นซึ่งมีผลกระทบรุนแรงต่อองค์กร)
2.2.3 การบริหารเทคโนโลยีสารสนเทศเพื่อการจัดการที่ดี (IT Governance)

แนวทางการแบ่งกลุ่มองค์กรตามความสำคัญที่มีผลกระทบต่อสังคมและสาธารณชนโดยรวม

แนวทางการแบ่งกลุ่มองค์กรตามความสำคัญที่มีผลกระทบต่อสังคมและสาธารณชนโดยรวม

– การดูแลสภาพแวดล้อมที่ดี มีมาตรฐาน (IT Security) ของ ISO 27001

มาตรฐาน IT Security ของศูนย์คอมพิวเตอร์หลัก ตาม ISO 27001 ในหมวด Physical/Environmental Control

มาตรฐาน IT Security ของศูนย์คอมพิวเตอร์หลัก ตาม ISO 27001 ในหมวด Physical/Environmental Control

– การมีศูนย์คอมพิวเตอร์สำรองนอกสถานที่ทำการ (Off-site Back up)

มาตรฐานการมีศูนย์คอมพิวเตอร์สำรองนอกสถานที่ทำการ (Off-site Back up)

มาตรฐานการมีศูนย์คอมพิวเตอร์สำรองนอกสถานที่ทำการ (Off-site Back up)

2.3 ระบบสารสนเทศที่สนับสนุนการควบคุมและการตรวจสอบภายใน
2.3.1 การนำระบบสารสนเทศและระบบเทคโนโลยีสารสนเทศเข้ามาช่วยในการควบคุมภายในและตรวจสอบภายในเพื่อสร้างความมั่นใจได้ว่ารัฐวิสาหกิจปฏิบัติได้ตามระเบียบ กฎหมาย ข้อบังคับต่าง ๆ ตลอดจนความถูกต้องของข้อมูลด้านบัญชีและการเงิน
2.3.2 ระบบที่ช่วยการควบคุมและการตรวจสอบเพื่อสร้างความมั่นใจได้ว่าระบบสารสนเทศมีความปลอดภัยและข้อมูลมีความถูกต้อง (Computer Audit)

2.4 ระบบสารสนเทศที่สนับสนุนการบริหารทรัพยากรบุคคล
2.4.1 ระบบสารสนเทศที่สนับสนุนการเก็บรวบรวมข้อมูลด้าน Competency ของบุคลากรทุกตำแหน่งที่องค์กรต้องการและที่บุคลากรทุกคนมีอยู่ (Competency Inventory)
2.4.2 การยกระดับความรู้และความสามารถของ CEO / CFO / CIO ใน การผนวกรวมการจัดการด้านเทคโนโลยีกับการวางนโยบายเพื่อพัฒนาองค์กร
2.4.3 การพัฒนาความรู้ความสามารถของบุคลากรในองค์กรให้เข้าใจและรองรับระบบสารสนเทศที่องค์กรมีอยู่

2.5 ระบบสารสนเทศที่สนับสนุนการดำเนินงานตามพระราชกฤษฎีกาว่าด้วยหลักเกณฑ์และวิธีการบริหารกิจการบ้านเมืองที่ดี พ.ศ. 2546 และนโยบายต่างๆ ของรัฐบาล
2.5.1 การลดระยะเวลาในการให้บริการแก่ผู้ใช้บริการ / อนุมัติ / อนุญาต ทั้งการให้บริการภายในและภายนอกองค์กร
2.5.2 ความสะดวกในการให้บริการของประชาชน / พนักงาน / ผู้มีส่วนได้เสีย เช่น การติดต่อกับรัฐวิสาหกิจได้หลายช่องทาง หรือ การให้บริการ Online
2.5.3 การเชื่อมโยงข้อมูลกับหน่วยงานอื่นเพื่อลดความซ้ำซ้อนของงาน / เอกสารที่ประชาชนต้องมาติดต่อ
2.5.4 One Stop Service ทั้งในการให้บริการต่าง ๆ ของรัฐวิสาหกิจที่จุดเดียว และ / หรือการร่วมกับหน่วยงานอื่นเพื่อให้บริการร่วมกันที่จุดเดียว
2.5.5 ระบบ Back Office ที่สามารถ Share ข้อมูลกับหน่วยงานอื่นทั้งภายใน และภายนอกองค์กรได้ โดยที่ต่างฝ่ายที่มีข้อมูลจะต้องหารือร่วมกันเพื่อ Share ข้อมูลในลักษณะของการเข้าสู่ข้อมูลของหน่วยงานอื่น โดยมีระบบรักษาความปลอดภัยที่ดีเพื่อป้องกันผู้ที่ไม่มีสิทธิ์ใช้ข้อมูล
2.5.6 การดำเนินการหรือแผนงานเพื่อสนับสนุนนโยบายต่าง ๆ ที่จำเป็นจะต้องนำระบบสารสนเทศเข้ามาช่วย เช่น การปิดบัญชีรายไตรมาส เป็นต้น

2.6 ระบบสารสนเทศที่ตอบสนองต่อความต้องการภายในและภายนอกองค์กร
2.6.1 การนำระบบสารสนเทศมาใช้เพื่อลดต้นทุนการผลิตหรือต้นทุนการให้บริการ
2.6.2 การนำระบบเข้ามาช่วยการสื่อสารทั้งภายในและภายนอกองค์กร
2.6.3 การนำระบบสารสนเทศเพื่อสนับสนุนให้เป็นองค์กรแห่งการเรียนรู้ (Learning Organization)
2.6.4 การเปิดเผยข้อมูลต่างๆ ผ่านทางเว็บไซต์อย่างเหมาะสม

การบริหารและการควบคุมความเสี่ยงเป็นภาพใหญ่ของทุกองค์กร ที่ต้องคำนึงถึงสภาพแวดล้อมของธุรกิจ โดยเฉพาะอย่างยิ่งกิจกรรมที่เกี่ยวข้องกับกรอบการบริหารความเสี่ยงทั่วทั้งองค์กรของ COSO ซึ่งอาจขยายความให้ครอบคลุมไปถึงความเสี่ยงทางด้านเทคโนโลยี (IT Security Risk) ได้ในทุกมุมมอง ดังนั้น ฝ่ายบริหารของทุกองค์กรควรพิจารณาและทบทวนความเข้าใจในเรื่องที่เกี่ยวข้องกับ IT Security Governance ซึ่งสัมพันธ์กับ IT Governance และ Corporate Governance อย่างแยกกันไม่ได้

และผมจะขยายความในเรื่อง IT Security Governance ในมุมมองของ COSO – ERM ซึ่งมีหลายเรื่องที่มีความสัมพันธ์กันอย่างใกล้ชิดและน่าสนใจยิ่ง ในโอกาสต่อ ๆ ไปครับ

Leave a Comment » | CG & ITG & GRC และองค์ประกอบที่เกี่ยวข้อง | ติดป้ายกำกับ: , , , , | ลิงก์ถาวร
โพสต์โดย Metha Suvanasarn

ITG กับการประเมินศักยภาพและการบริหารความเสี่ยงของหน่วยงานภาครัฐ (ต่อ)

พ.ค. 20, 2009

หลังจากที่ผมได้นำเสนอเรื่องของ Healthcare IT Security ของคุณหมอสุธี ทุวิรัตน์ ผู้บริหารของโรงพยาบาลรามคำแหง เกี่ยวกับกรณีการฉกข้อมูล Virginia Prescription Monitoring Program เพื่อเรียกค่าไถ่ 10 ล้านเหรียญ ซึ่งกำลังส่งผลกระทบต่อผู้บริหารของมลรัฐ Virginia เป็นอย่างมากในปัจจุบันนี้ รวมถึงส่งผลต่อฝ่ายบริหารของประธานาธิบดีโอบามา ที่กำลังต้องการผลักดัน Eletronic Medical Record ให้เป็นวาระแห่งชาติ เมื่อปรากฏว่ามีมือดีเข้าไปแฮกระบบคอมพิวเตอร์ของมลรัฐ Virginia จัดการเข้ารหัส Backup Files แล้วทำการลบข้อมูลการสั่งจ่ายยาของประชาชนรวม 8.5 ล้านคน รวมทั้งสิ้นประมาณ 35 ล้านรายการ ไปแล้วนั้น

วันนี้ ผมจะเล่าสู่กันฟังถึงเรื่องการนำ IT Governance เข้ามาสู่การประเมินศักยภาพการบริหารความเสี่ยงของรัฐวิสาหกิจ โดย สคร. ก. การคลัง เพราะ ITG เป็นส่วนหนึ่งของ CG หรือ Corporate Governance ที่แยกกันไม่ได้ และมีองค์ประกอบที่เกี่ยวข้องกับการขับเคลื่อน CG และ ITG อย่างสำคัญ ก็คือ การบริหารความเสี่ยงตามกรอบของ COSO – ERM ซึ่งผมได้นำ Slide มาเสนอแล้วในครั้งที่ผ่านมา

Translating Vision and Strategy to Performance Measurement

Translating Vision and Strategy to Performance Measurement

เกณฑ์การประเมินการบริหารความเสี่ยง ระดับที่ 5 : การปลูกฝังให้การบริหารความเสี่ยงเป็นส่วนหนึ่งของวัฒนธรรมที่นำไปสู่การสร้างสรรค์มูลค่าให้แก่องค์กร (Value Creation)
1. มีการดำเนินงานครบถ้วนตามที่กำหนดในระดับที่ 4

2. กระบวนการบริหารความเสี่ยงเป็นกิจกรรมประจำวันของทุกหน่วยงาน และเป็นส่วนหนึ่งที่สำคัญของการพิจารณาผลตอบแทน และ/หรือความดีความชอบ
2.1 แผนงานในการบริหารความเสี่ยง มีความสอดคล้องกับ Performance Evaluation ขององค์กร
2.2 มีแผนงานในการประเมินผลการดำเนินงานของแต่ละบุคคลหรือสายงานในองค์กรที่มีส่วนเกี่ยวข้องในการบริหารความเสี่ยง โดยมีประเด็นในการประเมิน เช่น ความรับผิดชอบและการสนับสนุนกระบวนการบริหารความเสี่ยงและกรอบการบริหารความเสี่ยงที่แต่ละบุคคลหรือสายงานมีต่อองค์กร และการวัดระดับของความเสี่ยงที่บุคคลหรือสายงานนั้นเป็นผู้รับผิดชอบ ว่าความเสี่ยงได้รับการจัดการอย่างมีประสิทธิผลเพียงใด
2.3 มีการกำหนดเป้าหมายร่วมกันในแต่ละหน่วยงานเพื่อนำไปสู่การบริหารความเสี่ยงขององค์กรโดยรวม และมีการติดตามประเมินผลงานอย่างต่อเนื่อง

3. การบริหารเทคโนโลยีสารสนเทศเพื่อการจัดการที่ดี ดังต่อไปนี้
3.1 คณะกรรมการรัฐวิสาหกิจจัดให้มีกระบวนการสร้างความมั่นใจถึงความสมดุลระหว่างผลตอบแทนจาก การลงทุนและการจัดการด้าน IT กับความเสี่ยงที่อาจเกิดขึ้น
3.2 คณะกรรมการรัฐวิสาหกิจ มีการสร้างเกณฑ์วัดคุณภาพงานและผลสำเร็จของกลยุทธ์หรือนโยบายและการจัดการด้าน IT ตามที่กำหนดไว้ เช่น กลยุทธ์หรือนโยบายด้าน IT ในการสนับสนุนให้องค์กรมีผลตอบแทนจากการลงทุนที่มากขึ้น กลยุทธ์หรือนโยบายด้าน IT ในการกำหนดมาตรฐานการปฏิบัติงานขององค์กร เป็นต้น

4. มีการบริหารความเสี่ยงและมีการสนับสนุนการบริหารฯ เพื่อสร้างสรรค์มูลค่าให้กับองค์กร (Value Creation) ซึ่งมูลค่า (Value) ขององค์กรอาจพิจารณาได้จาก Value ที่รัฐวิสาหกิจระบุไว้

คุณค่าเพิ่มจากการขับเคลื่อนการบริหารโดยใช้ ITG และศักยภาพที่ได้รับในมุมมองของ Intangible Assets

คุณค่าเพิ่มจากการขับเคลื่อนการบริหารโดยใช้ ITG และศักยภาพที่ได้รับในมุมมองของ Intangible Assets

นอกจากนี้ยังรวมถึงการที่องค์กรมีการบริหารความเสี่ยงของการสูญเสีย “โอกาสของธุรกิจ” การที่องค์กรสามารถพลิกผันเหตุการณ์/วิกฤติให้เป็นโอกาสทางธุรกิจ ซึ่งส่งผลให้เกิดการได้เปรียบทางการแข่งขัน โดยที่ “โอกาสของธุรกิจ” อาจพิจารณาจากการวิเคราะห์ “SWOT” ขององค์กร หรือ

การที่องค์กรมีการบริหารความเสี่ยงเพื่อสร้างความมั่นใจถึงการเป็นองค์กรแห่งการเรียนรู้ (Learning Organization) ซึ่งจะส่งเสริมพัฒนาทักษะ ความสามารถ ความคิดสร้างสรรค์ของบุคลากร รวมถึงการส่งเสริมและสร้างบรรยากาศเพื่อก่อให้เกิดนวัตกรรมและการสร้างสรรค์ขององค์กร เช่นเดียวกัน

Leave a Comment » | CG & ITG & GRC และองค์ประกอบที่เกี่ยวข้อง | ติดป้ายกำกับ: , , , , , | ลิงก์ถาวร
โพสต์โดย Metha Suvanasarn

ITG กับการประเมินศักยภาพและการบริหารความเสี่ยงของหน่วยงานภาครัฐ (ต่อ)

พ.ค. 15, 2009
Performance Measurement ที่จำเป็นอย่างยิ่งในองค์ประกอบของ IT Governance

Performance Measurement ที่จำเป็นอย่างยิ่งในองค์ประกอบของ IT Governance

วันนี้ ผมขอนำรายละเอียดบางประการที่หน่วยงานกำกับภาครัฐ คือ สคร. โดย ก. คลัง ได้กำหนดวิธีการประเมินศัยกภาพการบริหารความเสี่ยงของหน่วยงานรัฐวิสาหกิจ โดยรวม ITG เข้าเป็นส่วนหนึ่งของการประเมินการบริหารความเสี่ยงด้วยเพราะ IT Risk ก็คือ Business Risk ในภาพโดยรวม และ IT Risk ก็เป็นส่วนหนึ่งที่สำคัญยิ่งยวดที่มีผลกระทบหรือ Impact ต่อ Business Process ของทุกองค์กรที่ใช้ IT เป็นเรื่องปกติ

ในกระบวนการบริหารความเสี่ยงตามหลักการของ COSO – ERM โดยเฉพาะอย่างยิ่งความเสี่ยงระดับองค์กรที่เกี่ยวข้องกับ S – O – F – C ผู้บริหารและผู้ที่เกี่ยวข้องจะต้องเข้าใจถึงคำว่า “กระบวนการบริหารความเสี่ยง” ซึ่งมีคำอธิบายแต่ละคำ (word) ของคำว่ากระบวนการไว้ชัดเจนตามที่กล่าวไว้ใน Article ที่เกี่ยวข้องกับ ITG นี้แล้ว

GRC_Value Creation กับกระบวนการบริหารความเสี่ยง เพื่อก้าวไปสู่ CG และ ITG

GRC_Value Creation กับกระบวนการบริหารความเสี่ยง เพื่อก้าวไปสู่ CG และ ITG

การประเมินผลที่ได้คะแนนในระดับที่ 4 จาก 5 ระดับ มีดังนี้

ระดับ 4 : การบริหารความเสี่ยงที่สร้างมูลค่าเพิ่มแก่องค์กร

1. มีการดำเนินงานครบถ้วนตามที่กำหนดในระดับที่ 3

2. กลยุทธ์การบริหารความเสี่ยง เชื่อมโยงกับ การกำหนดนโยบาย/กลยุทธ์/การวางแผน/การลงทุน ของรัฐวิสาหกิจ ซึ่งได้แก่การมีหลักฐานที่ชัดเจนที่แสดงถึงการพิจารณาความเสี่ยงต่างๆ (ทั้งความเสี่ยงทางการเงิน และไม่ใช่ทางการเงิน) ประกอบในการกำหนดนโยบาย/กลยุทธ์ /การวางแผน /การลงทุน

3. มีการบริหารความเสี่ยงและมีการสนับสนุนการบริหารฯ เพื่อเพิ่มมูลค่าฯ (Value Enhancement)
3.1 ปฏิบัติตามแผนบริหารความเสี่ยงประจำปีครบถ้วน
3.2 มีการวิเคราะห์/บริหารความเสี่ยงเพื่อให้บรรลุเป้าหมายทางการเงิน ทั้งการแสวงหารายได้ การวิเคราะห์ กำหนดนโยบายและเป้าหมายทางการเงินโดยเฉพาะในเรื่องของอัตราการเติบโตทางการเงิน (Growth, Return) หรือการควบคุม/บริหารต้นทุนและ/หรือค่าใช้จ่ายที่ต้องเชื่อมโยงกับการวิเคราะห์และบริหาร ความเสี่ยง หรือการที่รัฐวิสาหกิจมีการวิเคราะห์/บริหารความเสี่ยง เพื่อให้บรรลุเป้าหมายที่ไม่ใช่การเงิน เช่น การบริหารความเสี่ยงเพื่อเพิ่มคุณภาพการบริการ/ความพึงพอใจ หรือเพื่อให้บรรลุเป้าหมายทางการตลาด เป็นต้น รวมถึงการที่องค์กรมีการวิเคราะห์ความเสี่ยงเพื่อเป็นพื้นฐานของการบริหารความเสี่ยงเพื่อสร้างสรรค์มูลค่าขององค์กร (Value Creation) โดยการวิเคราะห์ความเสี่ยงเพื่อสร้างความมั่นใจถึงการเป็นองค์กรแห่งการเรียนรู้ (Learning Organization) ซึ่งจะส่งเสริมพัฒนาทักษะ ความสามารถ ความคิดสร้างสรรค์ของบุคลากร รวมถึงการส่งเสริมและสร้างบรรยากาศเพื่อก่อให้เกิดนวัตกรรมและการสร้างสรรค์ขององค์กร เช่นเดียวกัน
3.3 มีการสื่อสารถึงคณะกรรมการตรวจสอบและผู้บริหารระดับสูงสุด อย่างต่อเนื่อง (ตามที่ระบุ/กำหนดไว้ในคู่มือการบริหารความเสี่ยง)

4. มีการทบทวนการบริหารความเสี่ยงสม่ำเสมอและทำการปรับปรุงเมื่อจำเป็น เช่น ควรมีการปรับปรุงแผนการบริหารความเสี่ยงตามสภาพแวดล้อมที่เปลี่ยนแปลงไป หรือในกรณีที่ผลการบริหารความเสี่ยงไม่เป็นไปตามเป้าหมายที่กำหนด ได้แก่
– การกำหนดนโยบาย โครงสร้าง และความรับผิดชอบ
– พัฒนากระบวนการบริหารความเสี่ยงที่ดีและสอดคล้องกับประเด็นปัญหา/อุปสรรคที่ผ่านมา
– พัฒนาอบรม และสื่อสารให้ทุกคนเข้าใจตรงกัน

5. การจัดให้มีบรรยากาศและวัฒนธรรมที่สนับสนุนการบริหารความเสี่ยงอย่างต่อเนื่อง เช่น จรรยาบรรณ และผู้บริหารรับฟังการท้วงติงของความเสี่ยง รวมถึงมีการปรับปรุงอย่างสม่ำเสมอ เช่น การสื่อสารสองทางที่มีประสิทธิภาพ และความรับผิดชอบของการบริหารความเสี่ยง เป็นต้น

พิจารณาเพิ่มเติมถึงความสำเร็จของแผนงาน/โครงการ ที่แสดงให้เห็นถึงการสำรวจทัศนคติของพนักงานในเรื่องการบริหารความเสี่ยงขององค์กร

6. การบริหารเทคโนโลยีสารสนเทศเพื่อการจัดการที่ดี ดังต่อไปนี้

6.1 คณะกรรมการรัฐวิสาหกิจมีการประเมินผลฝ่ายบริหารในการจัดการกับความเสี่ยงและปัญหาที่อาจเกิดขึ้นทางด้าน IT ได้แก่
6.1.1 มีศูนย์คอมพิวเตอร์สำรองนอกสถานที่ทำการ (Off-Site Back Up)
6.1.2 มีระบบการดูแลสภาพแวดล้อม ของ ศูนย์คอมพิวเตอร์หลักที่ดีมีมาตรฐาน (IT Security Room) โดยเป็นไปตามมาตรฐานสากลที่เป็นที่ยอมรับโดยทั่วไป เช่น BS/EN1047-2 หรือ COBIT เป็นต้น
ทั้งนี้ รส. ต้องพิจารณาถึง ความสูญเสียที่เกิดขึ้นระหว่างระยะเวลาการฟื้นฟูหรือกู้ระบบให้กลับมาทำงานได้ (Recovery Time : t0 ถึง t1 เปรียบเทียบกับ ความสูญเสียที่ยอมรับได้ (Recovery Point) ด้วย

หาก รส. ที่ไม่มี หรืออยู่ระหว่างการจัดทำ IT Security Room (EN 1047-2) ให้พิจารณาดังนี้

ความสูญเสียที่เกิดขึ้นระหว่างระยะเวลาการฟื้นฟูหรือกู้ระบบให้กลับมาทำงานได้ (Recovery Time: t0 t1) เปรียบเทียบกับ
– ความสูญเสียที่ยอมรับได้ (Recovery Point) หรือ
– เกณฑ์การประเมิน Critical Infrastructure ของมาตรฐานการรักษาความมั่นคงปลอดภัยในการประกอบธุรกรรมทางอิเลคทรอนิกส์ (เวอร์ชัน 2) ปี 2549

• ถ้า พิสูจน์ได้ว่าผ่าน ความสูญเสียที่ยอมรับได้/Critical Infrastructure ผ่าน
การประเมิน สามารถขึ้นสู่ระดับ 4 ได้ (ขึ้นอยู่กับผลประเมินข้อย่อยอื่น)
• ถ้า พิสูจน์ไม่ได้ว่าผ่าน ความสูญเสียที่ยอมรับได้/Critical Infrastructure ไม่ผ่าน
การประเมิน จะไม่ได้คะแนนในข้อนี้ โดยคะแนนสูงสุดที่จะได้คือ 3.95 (ขึ้นอยู่กับผลประเมินข้อย่อยอื่น)

6.1.3 มีระบบการจัดการดำเนินธุรกิจอย่างต่อเนื่อง (Business Continuity Management : BCM) ของงานหลัก ๆ ทุกด้าน โดยควรมีการวิเคราะห์ผลกระทบต่อธุรกิจ (Business Impact Analysis : BIA) เพื่อให้ความมั่นใจอย่างสมเหตุสมผลว่าธุรกิจจะไม่มีปัญหาในสถานการณ์ฉุกเฉินต่างๆ อย่างเป็นรูปธรรม เป็นต้น โดย BCM มีวัตถุประสงค์เพื่อให้ธุรกิจสามารถดำเนินการได้อย่างต่อเนื่อง ด้วยการจัดการที่ดี (ด้าน IT, IT Related และ Non – IT จากสถานการณ์ต่างๆ ที่อาจเกิดขึ้นได้ )

6.2 คณะกรรมการรัฐวิสาหกิจจัดให้มีการจัดการที่ดีถึงกลยุทธ์ทางด้าน IT ของรัฐวิสาหกิจ เช่น การจัดตั้งคณะอนุกรรมการการกำหนดกลยุทธ์ทางด้าน IT (IT Strategy Committee) เป็นต้น

6.3 ฝ่ายบริหารมีการประเมินศักยภาพของ IT และการจัดการอย่างสม่ำเสมอ ทั้งทางด้านการเงินและมิใช่การเงิน เช่น อัตราการเพิ่มของผลตอบแทนที่ได้จากการลงทุนทางด้าน IT และระยะเวลาของการเปลี่ยนแปลงกระบวนการและระบบการทำงาน เป็นต้น

6.4 ระบบ e-DOC (Electronic Department Operation Center) ของรัฐวิสาหกิจสามารถใช้งานได้จริงและข้อมูลมีคุณค่าต่อการตัดสินใจเชิงบริหารหลัก ๆ ทางด้าน S-O-F-C ของคณะกรรมการและผู้บริหารระดับสูง ในการก้าวไปสู่วัตถุประสงค์และเป้าหมายขององค์กร

7. ผลการบริหารความเสี่ยงที่เกิดขึ้นจริงใกล้เคียงหรือดีกว่าแผนการควบคุมและการจัดการที่ได้จัดทำขึ้น และดีขึ้นจากอดีตที่ผ่านมาก่อนที่จะทำการบริหารความเสี่ยง พิจารณาจาก
– การดำเนินกิจกรรมตามแผนบริหารความเสี่ยง (ในกรณีที่แผนบริหารความเสี่ยงนั้นต้องใช้ระยะเวลาดำเนินการนานมากกว่า 1 ปีขึ้นไป ทำให้ไม่สามารถกำหนดเป้าหมายที่เป็นรูปธรรม/เชิงปริมาณได้ในปีนั้น ๆ) โดยการดำเนินงานตามกิจกรรมเป็นไปตามกิจกรรมตามแผนบริหารความเสี่ยงที่กำหนด
– ผลการดำเนินงานดีขึ้นจากอดีตที่ผ่านมา
– ระดับความเสี่ยงที่ลดลง โดยพิจารณาจากความเสี่ยงหลักขององค์กร โดยพิจารณาเฉพาะความเสี่ยงที่มีระดับความเสียหายอยู่ในช่วงปานกลาง ถึง สูงมาก (ระดับความเสียหาย = ระดับของความรุนแรง x โอกาสของการเกิดความเสี่ยง) แต่อย่างไรก็ตาม ระดับความเสี่ยงที่ลดลง จะต้องครอบคลุมความเสี่ยงที่สามารถระบุได้ว่าเป็น Strategic Risk /Operational Risk/ Financial Risk และ Compliance Risk (S-O-F-C)
– ในกรณีที่มีตัวชี้วัดความเสี่ยง (Key Risk Indicators : KRI) ที่ระบุเป้าหมายเชิงปริมาณในปี 2550 รัฐวิสาหกิจต้องสามารถดำเนินการบริหารความเสี่ยงดังกล่าว แล้วมีผลลัพธ์เป็นไปตามเป้าหมายของ KRI /ดีกว่าเป้าหมายของ KRI ที่กำหนดนั้น

Leave a Comment » | CG & ITG & GRC และองค์ประกอบที่เกี่ยวข้อง | ติดป้ายกำกับ: , , , | ลิงก์ถาวร
โพสต์โดย Metha Suvanasarn

ITG กับการประเมินศักยภาพและการบริหารความเสี่ยงของหน่วยงานภาครัฐ (ต่อ)

พ.ค. 15, 2009
Performance Measurement ที่จำเป็นอย่างยิ่งในองค์ประกอบของ IT Governance

Performance Measurement ที่จำเป็นอย่างยิ่งในองค์ประกอบของ IT Governance

วันนี้ ผมขอนำรายละเอียดบางประการที่หน่วยงานกำกับภาครัฐ คือ สคร. โดย ก. คลัง ได้กำหนดวิธีการประเมินศัยกภาพการบริหารความเสี่ยงของหน่วยงานรัฐวิสาหกิจ โดยรวม ITG เข้าเป็นส่วนหนึ่งของการประเมินการบริหารความเสี่ยงด้วยเพราะ IT Risk ก็คือ Business Risk ในภาพโดยรวม และ IT Risk ก็เป็นส่วนหนึ่งที่สำคัญยิ่งยวดที่มีผลกระทบหรือ Impact ต่อ Business Process ของทุกองค์กรที่ใช้ IT เป็นเรื่องปกติ

ในกระบวนการบริหารความเสี่ยงตามหลักการของ COSO – ERM โดยเฉพาะอย่างยิ่งความเสี่ยงระดับองค์กรที่เกี่ยวข้องกับ S – O – F – C ผู้บริหารและผู้ที่เกี่ยวข้องจะต้องเข้าใจถึงคำว่า “กระบวนการบริหารความเสี่ยง” ซึ่งมีคำอธิบายแต่ละคำ (word) ของคำว่ากระบวนการไว้ชัดเจนตามที่กล่าวไว้ใน Article ที่เกี่ยวข้องกับ ITG นี้แล้ว

GRC_Value Creation กับกระบวนการบริหารความเสี่ยง เพื่อก้าวไปสู่ CG และ ITG

GRC_Value Creation กับกระบวนการบริหารความเสี่ยง เพื่อก้าวไปสู่ CG และ ITG

การประเมินผลที่ได้คะแนนในระดับที่ 4 จาก 5 ระดับ มีดังนี้

ระดับ 4 : การบริหารความเสี่ยงที่สร้างมูลค่าเพิ่มแก่องค์กร

1. มีการดำเนินงานครบถ้วนตามที่กำหนดในระดับที่ 3

2. กลยุทธ์การบริหารความเสี่ยง เชื่อมโยงกับ การกำหนดนโยบาย/กลยุทธ์/การวางแผน/การลงทุน ของรัฐวิสาหกิจ ซึ่งได้แก่การมีหลักฐานที่ชัดเจนที่แสดงถึงการพิจารณาความเสี่ยงต่างๆ (ทั้งความเสี่ยงทางการเงิน และไม่ใช่ทางการเงิน) ประกอบในการกำหนดนโยบาย/กลยุทธ์ /การวางแผน /การลงทุน

3. มีการบริหารความเสี่ยงและมีการสนับสนุนการบริหารฯ เพื่อเพิ่มมูลค่าฯ (Value Enhancement)
3.1 ปฏิบัติตามแผนบริหารความเสี่ยงประจำปีครบถ้วน
3.2 มีการวิเคราะห์/บริหารความเสี่ยงเพื่อให้บรรลุเป้าหมายทางการเงิน ทั้งการแสวงหารายได้ การวิเคราะห์ กำหนดนโยบายและเป้าหมายทางการเงินโดยเฉพาะในเรื่องของอัตราการเติบโตทางการเงิน (Growth, Return) หรือการควบคุม/บริหารต้นทุนและ/หรือค่าใช้จ่ายที่ต้องเชื่อมโยงกับการวิเคราะห์และบริหาร ความเสี่ยง หรือการที่รัฐวิสาหกิจมีการวิเคราะห์/บริหารความเสี่ยง เพื่อให้บรรลุเป้าหมายที่ไม่ใช่การเงิน เช่น การบริหารความเสี่ยงเพื่อเพิ่มคุณภาพการบริการ/ความพึงพอใจ หรือเพื่อให้บรรลุเป้าหมายทางการตลาด เป็นต้น รวมถึงการที่องค์กรมีการวิเคราะห์ความเสี่ยงเพื่อเป็นพื้นฐานของการบริหารความเสี่ยงเพื่อสร้างสรรค์มูลค่าขององค์กร (Value Creation) โดยการวิเคราะห์ความเสี่ยงเพื่อสร้างความมั่นใจถึงการเป็นองค์กรแห่งการเรียนรู้ (Learning Organization) ซึ่งจะส่งเสริมพัฒนาทักษะ ความสามารถ ความคิดสร้างสรรค์ของบุคลากร รวมถึงการส่งเสริมและสร้างบรรยากาศเพื่อก่อให้เกิดนวัตกรรมและการสร้างสรรค์ขององค์กร เช่นเดียวกัน
3.3 มีการสื่อสารถึงคณะกรรมการตรวจสอบและผู้บริหารระดับสูงสุด อย่างต่อเนื่อง (ตามที่ระบุ/กำหนดไว้ในคู่มือการบริหารความเสี่ยง)

4. มีการทบทวนการบริหารความเสี่ยงสม่ำเสมอและทำการปรับปรุงเมื่อจำเป็น เช่น ควรมีการปรับปรุงแผนการบริหารความเสี่ยงตามสภาพแวดล้อมที่เปลี่ยนแปลงไป หรือในกรณีที่ผลการบริหารความเสี่ยงไม่เป็นไปตามเป้าหมายที่กำหนด ได้แก่
– การกำหนดนโยบาย โครงสร้าง และความรับผิดชอบ
– พัฒนากระบวนการบริหารความเสี่ยงที่ดีและสอดคล้องกับประเด็นปัญหา/อุปสรรคที่ผ่านมา
– พัฒนาอบรม และสื่อสารให้ทุกคนเข้าใจตรงกัน

5. การจัดให้มีบรรยากาศและวัฒนธรรมที่สนับสนุนการบริหารความเสี่ยงอย่างต่อเนื่อง เช่น จรรยาบรรณ และผู้บริหารรับฟังการท้วงติงของความเสี่ยง รวมถึงมีการปรับปรุงอย่างสม่ำเสมอ เช่น การสื่อสารสองทางที่มีประสิทธิภาพ และความรับผิดชอบของการบริหารความเสี่ยง เป็นต้น

พิจารณาเพิ่มเติมถึงความสำเร็จของแผนงาน/โครงการ ที่แสดงให้เห็นถึงการสำรวจทัศนคติของพนักงานในเรื่องการบริหารความเสี่ยงขององค์กร

6. การบริหารเทคโนโลยีสารสนเทศเพื่อการจัดการที่ดี ดังต่อไปนี้

6.1 คณะกรรมการรัฐวิสาหกิจมีการประเมินผลฝ่ายบริหารในการจัดการกับความเสี่ยงและปัญหาที่อาจเกิดขึ้นทางด้าน IT ได้แก่
6.1.1 มีศูนย์คอมพิวเตอร์สำรองนอกสถานที่ทำการ (Off-Site Back Up)
6.1.2 มีระบบการดูแลสภาพแวดล้อม ของ ศูนย์คอมพิวเตอร์หลักที่ดีมีมาตรฐาน (IT Security Room) โดยเป็นไปตามมาตรฐานสากลที่เป็นที่ยอมรับโดยทั่วไป เช่น BS/EN1047-2 หรือ COBIT เป็นต้น
ทั้งนี้ รส. ต้องพิจารณาถึง ความสูญเสียที่เกิดขึ้นระหว่างระยะเวลาการฟื้นฟูหรือกู้ระบบให้กลับมาทำงานได้ (Recovery Time : t0 ถึง t1 เปรียบเทียบกับ ความสูญเสียที่ยอมรับได้ (Recovery Point) ด้วย

หาก รส. ที่ไม่มี หรืออยู่ระหว่างการจัดทำ IT Security Room (EN 1047-2) ให้พิจารณาดังนี้

ความสูญเสียที่เกิดขึ้นระหว่างระยะเวลาการฟื้นฟูหรือกู้ระบบให้กลับมาทำงานได้ (Recovery Time: t0 t1) เปรียบเทียบกับ
– ความสูญเสียที่ยอมรับได้ (Recovery Point) หรือ
– เกณฑ์การประเมิน Critical Infrastructure ของมาตรฐานการรักษาความมั่นคงปลอดภัยในการประกอบธุรกรรมทางอิเลคทรอนิกส์ (เวอร์ชัน 2) ปี 2549

• ถ้า พิสูจน์ได้ว่าผ่าน ความสูญเสียที่ยอมรับได้/Critical Infrastructure ผ่าน
การประเมิน สามารถขึ้นสู่ระดับ 4 ได้ (ขึ้นอยู่กับผลประเมินข้อย่อยอื่น)
• ถ้า พิสูจน์ไม่ได้ว่าผ่าน ความสูญเสียที่ยอมรับได้/Critical Infrastructure ไม่ผ่าน
การประเมิน จะไม่ได้คะแนนในข้อนี้ โดยคะแนนสูงสุดที่จะได้คือ 3.95 (ขึ้นอยู่กับผลประเมินข้อย่อยอื่น)

6.1.3 มีระบบการจัดการดำเนินธุรกิจอย่างต่อเนื่อง (Business Continuity Management : BCM) ของงานหลัก ๆ ทุกด้าน โดยควรมีการวิเคราะห์ผลกระทบต่อธุรกิจ (Business Impact Analysis : BIA) เพื่อให้ความมั่นใจอย่างสมเหตุสมผลว่าธุรกิจจะไม่มีปัญหาในสถานการณ์ฉุกเฉินต่างๆ อย่างเป็นรูปธรรม เป็นต้น โดย BCM มีวัตถุประสงค์เพื่อให้ธุรกิจสามารถดำเนินการได้อย่างต่อเนื่อง ด้วยการจัดการที่ดี (ด้าน IT, IT Related และ Non – IT จากสถานการณ์ต่างๆ ที่อาจเกิดขึ้นได้ )

6.2 คณะกรรมการรัฐวิสาหกิจจัดให้มีการจัดการที่ดีถึงกลยุทธ์ทางด้าน IT ของรัฐวิสาหกิจ เช่น การจัดตั้งคณะอนุกรรมการการกำหนดกลยุทธ์ทางด้าน IT (IT Strategy Committee) เป็นต้น

6.3 ฝ่ายบริหารมีการประเมินศักยภาพของ IT และการจัดการอย่างสม่ำเสมอ ทั้งทางด้านการเงินและมิใช่การเงิน เช่น อัตราการเพิ่มของผลตอบแทนที่ได้จากการลงทุนทางด้าน IT และระยะเวลาของการเปลี่ยนแปลงกระบวนการและระบบการทำงาน เป็นต้น

6.4 ระบบ e-DOC (Electronic Department Operation Center) ของรัฐวิสาหกิจสามารถใช้งานได้จริงและข้อมูลมีคุณค่าต่อการตัดสินใจเชิงบริหารหลัก ๆ ทางด้าน S-O-F-C ของคณะกรรมการและผู้บริหารระดับสูง ในการก้าวไปสู่วัตถุประสงค์และเป้าหมายขององค์กร

7. ผลการบริหารความเสี่ยงที่เกิดขึ้นจริงใกล้เคียงหรือดีกว่าแผนการควบคุมและการจัดการที่ได้จัดทำขึ้น และดีขึ้นจากอดีตที่ผ่านมาก่อนที่จะทำการบริหารความเสี่ยง พิจารณาจาก
– การดำเนินกิจกรรมตามแผนบริหารความเสี่ยง (ในกรณีที่แผนบริหารความเสี่ยงนั้นต้องใช้ระยะเวลาดำเนินการนานมากกว่า 1 ปีขึ้นไป ทำให้ไม่สามารถกำหนดเป้าหมายที่เป็นรูปธรรม/เชิงปริมาณได้ในปีนั้น ๆ) โดยการดำเนินงานตามกิจกรรมเป็นไปตามกิจกรรมตามแผนบริหารความเสี่ยงที่กำหนด
– ผลการดำเนินงานดีขึ้นจากอดีตที่ผ่านมา
– ระดับความเสี่ยงที่ลดลง โดยพิจารณาจากความเสี่ยงหลักขององค์กร โดยพิจารณาเฉพาะความเสี่ยงที่มีระดับความเสียหายอยู่ในช่วงปานกลาง ถึง สูงมาก (ระดับความเสียหาย = ระดับของความรุนแรง x โอกาสของการเกิดความเสี่ยง) แต่อย่างไรก็ตาม ระดับความเสี่ยงที่ลดลง จะต้องครอบคลุมความเสี่ยงที่สามารถระบุได้ว่าเป็น Strategic Risk /Operational Risk/ Financial Risk และ Compliance Risk (S-O-F-C)
– ในกรณีที่มีตัวชี้วัดความเสี่ยง (Key Risk Indicators : KRI) ที่ระบุเป้าหมายเชิงปริมาณในปี 2550 รัฐวิสาหกิจต้องสามารถดำเนินการบริหารความเสี่ยงดังกล่าว แล้วมีผลลัพธ์เป็นไปตามเป้าหมายของ KRI /ดีกว่าเป้าหมายของ KRI ที่กำหนดนั้น

Leave a Comment » | CG & ITG & GRC และองค์ประกอบที่เกี่ยวข้อง | ติดป้ายกำกับ: , , , | ลิงก์ถาวร
โพสต์โดย Metha Suvanasarn

กลับไปหน้าที่แล้ว
รายการถัดไป »