Information Technology Governance

เมื่อวันศุกร์ที่ 29 พฤษภาคม 2552 ผมมีโอกาสได้ไปรับฟังการบรรยายของท่านนายกรัฐมนตรี อภิสิทธิ์ เวชชาชีวะ ที่โรงแรมแอทธินี ซึ่งจัดโดยสมาคมส่งเสริมกรรมการไทย หรือ IOD ท่านได้พูดตอนหนึ่งว่า จะให้การสนับสนุนให้มีการตรวจสอบตู้คอนเทนเนอร์ ที่จมน้ำมาประมาณ 17 ปี ซึ่งได้รับความสนใจจากประชาชนว่าข้างในตู้คอนเทนเนอร์จะเป็นอะไร เช่น เป็นซากศพ เป็นสารพิษหนัก หรืออะไรกันแน่นั้น ท่านนายกได้สรุปว่า เพื่อความโปร่งใสในเรื่องนี้ ท่านจะให้มีการดำเนินการตรวจสอบสิ่งที่อยู่ในตู้คอนเทนเนอร์ต่อไป

แนวความคิดนี้ หลายท่านก็คงถูกใจ หลายท่านก็อาจเป็นห่วง มุมมองของความคิดและการพิจารณาในเรื่องนี้ก็คือ การเน้นความโปร่งใสที่จะต้องมีการตรวจสอบได้ตามหลักการของ Corporate Governance ซึ่งเป็นเรื่องที่ดีและเป็นที่ยอมรับกันอย่างเป็นสากล

อย่างไรก็ดี แนวความคิดในการตรวจสอบตู้คอนเทนเนอร์ ควรอยู่ภายใต้กรอบของความเสี่ยงที่ประเทศและสังคมยอมรับได้ นั่นคือ ทางการหรือผู้รับผิดชอบในเรื่องนี้ ควรจะได้กำหนดระดับความเสี่ยงของการตรวจสอบตู้นี้ให้อยู่ในระดับที่ยอมรับได้ (Risk Appetite) เพื่อใช้เป็นบรรทัดฐานในการดำเนินงานและการตัดสินใจและใช้ดุลยพินิจของผู้ดำเนินการในทุกระดับที่เกี่ยวข้อง นั่นคือ หากเป็นสารพิษที่เป็นโลหะหนัก ที่จะมีพิษยาวนานประมาณ 30 – 40 ปี และหากพิษนั้นรั่วไหลออกมาสู่ทะเล จะเกิดปัญหาที่คาดไม่ถึงและยอมรับไม่ได้ต่อสภาพแวดล้อม ต่อสังคม ต่อการท่องเที่ยว ต่อสาธารณสุขของประชาชน รวมทั้งความไว้วางใจได้ของมวลชนทั้งในและต่างประเทศเพียงใด

ในเรื่องนี้ ถ้าไม่มีกรอบ ผลกระทบของความเสี่ยงที่จะก่อให้เกิดความเสียหายได้ในระดับประเทศ ในระดับชุมชนที่ชัดเจนและเป็นรูปธรรม ที่สามารถวัด ประเมินผลได้อย่างเป็นรูปธรรม ก็ยังไม่ควรดำเนินการจนกว่าผู้ที่เกี่ยวข้องจะได้กำหนด Risk Appetite ให้ชัดเจน และกำหนดแนวทางขั้นตอนในการดำเนินงานที่เหมาะสม หากเข้าใจว่าเป็นสารพิษที่เป็นโลหะหนัก ผลกระทบที่เกิดขึ้นในมุมมองต่าง ๆ จะเป็นเช่นใด ยอมรับได้หรือไม่ เช่น ถ้ามีคนตาย อันเกิดจากสารพิษในภายหลัง 1 คน หรือ 5 คน หรือ 10 คน หรือมากกว่านั้น ยอมรับให้มีการตรวจสอบในเชิงลึกได้หรือไม่ หากสภาพแวดล้อมต้องเสียหาย น้ำทะเลในแถบนั้นเป็นพิษ และมีผลกระทบต่อระบบนิเวศของสัตว์และพืช รวมทั้งประชาชนในวงกว้าง ผู้ที่เกี่ยวข้องควรจะใช้ดุลยพินิจอย่างไร ++

ระดับความเสี่ยงที่ยอมรับได้ระดับประเทศหรือระดับองค์กร หรือระดับการปฏิบัติงาน

แน่นอนว่าหากไม่มีการกำหนดกรอบผลกระทบซึ่งเป็นความเสี่ยงและความเสียหายที่ยอมรับได้ ที่เรียกกันติดปากว่า Risk Appetite ใช้ชัดเจน ก็เปรียบเสมือนกับการกำหนดเป้าหมายที่ไม่เข้าหลักการ SMART ก็จะมีปัญหาเรื่องการปฏิบัติการเช่นกัน เพราะหากเป้าหมายไม่ชัดเจน Risk Appetite และขั้นตอนในการดำเนินงานต่าง ๆ ของการสำรวจตู้คอนเทนเนอร์ก็จะไม่ชัดเจนตามไปด้วย เป็นต้น

วันนี้ผมจะพูดถึงเรื่องระดับความเสี่ยงที่ประเทศหรือองค์กรยอมรับได้ (Risk Appetite) เพื่อเชื่อมไปสู่โครงการสำรวจตู้คอนเทนเนอร์ตามที่กล่าวข้างต้น ดังนี้

ระดับความเสี่ยงที่ยอมรับได้ หรือ Risk Appetite ก็คือ ระดับความเสี่ยงที่สามารถกำหนดได้ทั้งในเชิงปริมาณและเชิงคุณภาพ ที่เข้าใจตรงกันในระดับประเทศหรือองค์กร หรือโครงการ เช่น โครงการสำรวจตู้คอนเทนเนอร์ที่แสมสาน เป็นต้น

คำจำกัดความ Risk Appetite

เราลองมาช่วยกันตั้งคำถาม เพื่อพิจารณาถึงระดับความเสี่ยงโดยทั่วไปที่องค์กรยอมรับได้ แต่ ณ ที่นี้ ผมจะพยายามพูดถึงความเสี่ยงของโครงการสำรวจตู้คอนเทนเนอร์ที่แสมสานเป็นหลัก ซึ่งบางส่วนจะเกี่ยวข้องกับความเสี่ยงที่ยอมรับได้ในระดับหน่วยงาน / องค์กร และระดับประเทศด้วย โดยมีแนวทางดังนี้

1. ความเสี่ยงและผลกระทบ (Impact) ระดับใดที่ประเทศหรือโครงการสำรวจตู้คอนเทนเนอร์ที่แสมสานจะยอมรับได้ หรือยอมรับไม่ได้ เช่น ในกรณีของวิทยุการบิน อาจกำหนด Risk Appetite ไว้ว่าความปลอดภัยของการบิน โดยเฉพาะอย่างยิ่งที่เกี่ยวกับการสื่อสารและการอำนวยความสะดวกของทุกเที่ยวบิน ในการนำเครื่องบินขึ้น – ลง จะต้องมีความปลอดภัยเต็ม 100% โดยไม่ยอมรับความเสี่ยงจากการเกิดอุบัติเหตุเลยแม้แต่ครั้งเดียว เป็นต้น

แนวทางในการกำหนด Risk Appetite

ดังนั้น ในกรณีโครงการสำรวจตู้คอนเทนเนอร์ที่แสมสาน เป็นไปได้ไหมว่า หากสภาพแวดล้อมเป็นพิษ ระบบนิเวศน์จะมีปัญหาและมีผลกระทบต่อสัตว์ทะเล รวมทั้งความเชื่อมั่นของการส่งอาหารทะเลไปต่างประเทศ และการบริโภคอาหารทะเลของคนไทย จะยอมรับความเสี่ยงไม่ได้ นั่นคือ จะต้องมีการสำรวจให้แน่ใจอย่างสมเหตุสมผลก่อนว่า สิ่งที่บรรจุอยู่ในตู้คอนเทนเนอร์เป็นอะไรกันแน่ หากตู้คอนเทนเนอร์มีรู การส่งกล้องผ่านลงไปนั้นก็อาจจะไม่เห็นสิ่งใด หรืออาจจะเห็นเพียงถังหรือพาชนะที่เก็บวัตถุหรือสารที่ต้องสงสัย ที่อาจเป็นสารพิษได้นั้น โครงการนี้จะวางแผนที่จะเจาะเข้าไปในถังหรือพาชนะที่อาจบรรจุสารพิษหรือไม่ คุ้มหรือไม่ที่จะทำเช่นนั้น เพราะถ้าเป็นสารพิษจริง อะไรจะเกิดขึ้น และมีผลกระทบต่อความเสียหายที่ไม่อาจยอมรับได้ตามที่ได้กล่าวแล้ว

ตัวอย่างของ Risk Appetite

รายละเอียดในเรื่องการดำเนินการ ผมคิดว่าคงจะเป็นหน้าที่ของหน่วยงานที่เกี่ยวข้องที่จะปฏิบัติตามโครงการนี้ ผมเพียงแต่ให้แนวความคิดที่จะใช้ในการตัดสินใจและการปฏิบัติงานที่มีเหตุมีผล โดยนำหลักการบริหารความเสี่ยงอย่างเป็นกระบวนการและนำเรื่องระดับความเสี่ยงที่ประเทศหรือองค์กร หรือโครงการยอมรับได้เท่านั้นมาใช้อธิบายเป็นอุทธาหรณ์

2. ประเทศหรือทีมงานที่ต้องดำเนินงานตามโครงการนี้ พร้อมที่จะรับความเสี่ยงเพิ่มขึ้นจากระดับความเสี่ยงที่ยอมรับได้ที่จะเกิดขึ้นหรือไม่ และหากยอมรับได้ บุคคลหรือหน่วยงานที่เกี่ยวข้องใช้ดุลยพินิจอะไรในการพิจารณาการดำเนินการต่อไป เกินระดับความเสี่ยงที่ยอมรับได้ตาม ข้อ 1. ซึ่งเรื่องนี้ก็มีแนวคิดที่ต้องพิจารณาหลายอย่างก็ขอฝากให้ผู้ที่เกี่ยวข้องนำไปพิจารณาก็แล้วกันนะครับ

รูปแบบอื่นของ Risk Appetite และแนวความคิดในการกำหนดให้มีความเสี่ยงที่ยอมรับได้

3. มีความเสี่ยงที่เฉพาะเจาะจงหรืออาจจะคาดไม่ถึง รวมทั้งการปฏิบัติไม่ถูกต้องตามหลักการกฎหมายระหว่างประเทศ หรือกฎหมายภายในประเทศ หรือการรักษาสภาพแวดล้อมที่กำหนดไว้เป็นกฎเกณฑ์ชัดเจนไว้บ้างหรือไม่ มีการทบทวนในเรื่องนี้กันเพียงใด เพราะการรักษาสภาพแวดล้อมเป็นข้อหนึ่งของหลักการที่สำคัยของการกำกับและดูแลกิจการที่ดี ที่เรียกว่า Corporate Governance

ความเข้าใจในกรอบความคิดของระดับความเบี่ยงเบน (Risk Tolerance) จากความเสี่ยงที่ยอมรับได้ (Risk Appetite)

4. ประเทศหรือหน่วยงานที่เกี่ยวข้องจะยอมรับความเสี่ยงเมื่อเทียบกับผลตอบแทนจากการพิสูจน์ความโปร่งใส และกล้าจะแลกกับความเสี่ยงที่ยอมรับไม่ได้เพียงใด มีความคุ้มค่าหรือไม่ นี่ก็เป็นกรอบแนวคิดเพื่อใช้ดุลยพินิจในการบริหารความเสี่ยงแบบบูรณาการ และได้ดุลยภาพ คุ้มค่ากับการลงทุนที่เป็น Tangible Assets และ Intangible Assets ที่เกี่ยวข้องกับความเสียหายที่พิสูจน์ได้และมีตัวตน และไม่มีตัวตนที่เกี่ยวข้องกับชื่อเสียงและความเชื่อมั่นระดับประเทศ

5. ระดับความเสี่ยงที่เกิดขึ้นมีผลกระทบ (Impact) ต่อเรื่องอื่น ๆ มากน้อยเพียงใด เมื่อพิจารณาถึงระยะสั้น ระยะกลาง และระยะยาว

ความสัมพันธ์ระหว่างความเสี่ยงที่ยอมรับได้กับระดับความเบี่ยงเบนจากความเสี่ยงที่ยอมรับได้

6. โครงการนี้ได้เตรียมการไว้เพียงใด มีเครื่องมือเพียงพอและเหมาะสมหรือไม่ในการดำเนินการที่มีความเสี่ยงในระดับที่กำหนดไว้

7. โครงการนี้ หากเกิดปัญหาขึ้นมาจะสามารถอธิบายในเชิงรูปธรรมที่ชัดเจนตามหลักและกรอบการบริหารความเสี่ยงอย่างเป็นกระบวนการได้เพียงใด โดยเฉพาะอย่างยิ่ง กรอบการบริหารความเสี่ยง โดยใช้หลักการของ COSO – Enterprise Risk Management

ผมได้เสนอรูปแบบที่อธิบายด้วยแผนภาพ แสดงถึงโอกาสที่จะเกิดและผลกระทบที่เกิดจากความเสี่ยงและความเสียหาย และรูปแบบของระดับความเสี่ยงที่ยอมรับได้ ซึ่งน่าจะเป็นประโยชน์สำหรับการดำเนินการบริหารความเสี่ยงในระดับประเทศ ความเสี่ยงในระดับองค์กร และความเสี่ยงในระดับการปฏิบัติงาน