Information Technology Governance

Governance and Management ในมุมมองของการบริหารความเสี่ยง

ครั้งที่แล้ว ผมได้เรียนกับท่านผู้อ่านว่า จะขอออกความคิดเห็นในเรื่องของ Digital Economy หรือ เศรษฐกิจดิจิตอล ที่เกี่ยวข้องกับการบริหารความเสี่ยง เพื่อการบรรลุเป้าหมาย ตามนโยบายของรัฐบาล ในกำกับดูแลกิจการที่ดี ในมิติของเศรษฐกิจดิจิตอล ที่เกี่ยวกับการบริหาร IT และความเสี่ยงที่เกี่ยวข้อง ในการบรรลุเป้าหมายในระดับบนบางประการ ดังนี้

แนวปฏิบัติที่ดีบางประการของ เศรษฐกิจดิจิตอล ที่จะขับเคลื่อนโดย IT ระดับประเทศ และในระดับองค์กร

หากมีการประเมินตนเองในการเปรียบเทียบกับนโยบาย เศรษฐกิจดิจิตอล พันธกิจที่เกี่ยวข้อง กลยุทธ์ที่สัมพันธ์กับพันธกิจ วิสัยทัศน์ นโยบาย และมีแนวการปฏิบัติที่ดี ที่มีมาตรวัด (Metric) เป็นหน่วยวัดเชิงปริมาณ ที่ใช้วัดความสำเร็จของกระบวนการตามเป้าหมายที่กำหนด มาตรวัดนั้น ทางภาครัฐในระดับบน ถึงระดับปฏิบัติงาน และภาคเอกชน และในภาพรวม ๆ ที่เกี่ยวข้องกับผู้มีผลประโยชน์ร่วมนั้น ควรกำหนดเป้าหมายที่มีมาตรวัดอย่างไร

นี่เป็นเพียงตัวอย่างของคำถามเล็ก ๆ บางเรื่อง ในหลาย ๆ เรื่องมาก ที่จะเกี่ยวข้องกับความเข้าใจร่วมกัน ที่มาจากคำจำกัดความหรือนิยามที่ควรจะชัดเจนในเป้าหมาย ก็น่าจะได้แก่ มาตรวัดที่ควรจะใช้หลักการ SMART

• S – Specific มาตรวัดที่ชี้เฉพาะว่า วิสัยทัศน์ พันธกิจ นโยบาย กลยุทธ์ แผนการดำเนินงาน ของเศรษฐกิจดิจิตอลนั้น ควรจะเป็นเช่นใดแน่ และจะมีตัววัดอย่างไรบ้างที่เกี่ยวข้อง และคำจำกัดความ หรือนิยามของมาตรวัดที่เกี่ยวข้องกับตัว S หมายความว่าอย่างไร เป็นต้น
• M – Measurable มาตรวัดที่วัดผลได้ ก็จะเกี่ยวข้องและเชื่อมโยงกับตัว S หรือ Specific ข้างต้น
• A – Actionable มาตรวัดเชิงปริมาณทุกตัวของ SMART นั้น สามารถทำงานได้จริง
• R – Relevant มาตรวัดที่เกี่ยวเนื่องกับ เศรษฐกิจดิจิตอล ในทุกมุมมองที่เกี่ยวข้องกับผู้มีผลประโยชน์ร่วม และเป้าประสงค์ที่ต้องการในภาพโดยรวมของ Digital Economy
• T – Timely เป็นมาตรวัดที่เกี่ยวกับกรอบการทำงานให้เสร็จทันเวลา

ข้างต้น เป็นเพียงตัวอย่างที่อาจพิจารณาได้ว่า เป็นรากฐานของความเสี่ยงที่เกิดจากการสื่อสาร และมีความเข้าใจที่แตกต่างกัน ของถ้อยคำที่อาจจะถอดความหมาย เป็นคำจำกัดความที่แตกต่างกัน และมีความกำกวม ระหว่างผู้กำกับต่างหน่วยงานด้วยกัน (Regulators / Governance) และกับผู้ที่ถูกกำกับ หรือผู้ที่ต้องปฏิบัติตาม (Operators / Management) ในมุมมองและในมิติที่เกี่ยวข้องกับบทบาทหน้าที่ กิจกรรม และความสัมพันธ์ ของ ผู้มีส่วนได้เสียหรือผู้มีผลประโยชน์ร่วม ที่จะต้องมอบหมายให้หน่วยงานกำกับดูแลไปทำหน้าที่ดูแล และติดตามผลของเศรษฐกิจดิจิตอล และแน่นอนว่า หน่วยงานกำกับดูแล จะต้องกำหนดทิศทางให้ผู้บริหาร (ในที่นี้ หากมองในมุมมองของภาพใหญ่ จะเรียกว่าเป็น Operators หากพิจารณาในมุมมองในองค์กรเดียวกันเรียกกว่า Management ที่มีหน้าที่สั่งการ วางแนวทาง ในการดำเนินการและปฏิบัติตามคำสั่งและมาตรฐานที่เกี่ยวข้อง ซึ่งต้องเฝ้าติดตามและรายงานไปยังหน่วยงานกำกับดูแล ในฐานะเป็นผู้รับผิดชอบ (Accountability) ที่จะต้องมีความสัมพันธ์กับ เจ้าของหรือนโยบาย หรือผู้มีส่วนได้เสียต่อไป (เรื่องนี้ ทางผมเองได้นำเสนอและเล่าสู่กันฟังที่แสดงเป็นแผนภาพในตอนที่ 11)

ดังนั้น แนวปฏิบัติที่ดี ตามที่กล่าวนี้ ซึ่งได้แก่ เศรษฐกิจดิจิตอลนั้น จำเป็นต้องมีนโยบายที่เป็นส่วนหนึ่งของกรอบการดำเนินงาน ด้านกำกับดูแล (Governance) และการบริหารจัดการ ซึ่งให้โครงสร้างที่ทำให้นโยบายทั้งหมดของเศรษฐกิจดิจิตอล ทั้งหมดสอดคล้องและสามารถเชื่อมโยงกับหลักการ ซึ่งเป็นพื้นฐานของเศรษฐกิจดิจิตอลได้อย่างชัดเจน

ในมุมมองที่กล่าวข้างต้นนั้น ท่านคิดว่า หากความเข้าใจและการสื่อสารไม่ชัดเจน ให้ความหมายที่แตกต่างกัน จะมีผลอย่างไรต่อการพัฒนาเศรษฐกิจดิจิตอลที่มีคุณภาพโดยรวม โดยเฉพาะอย่างยิ่ง กระบวนการกำกับและการบริหาร และนี่เป็นความเสี่ยงที่สำคัญหรือไม่? ครับ

สำหรับผมเอง มีความเห็นว่า หากแนวปฏิบัติ เพียงแค่ตัวอย่างเดียวข้างต้น ก็เป็นความเสี่ยงที่ไม่อาจยอมรับได้อยู่แล้วครับ เพราะนี่คือการติดกระดุมเม็ดแรก ซึ่งอาจจะทำให้กระดุมเม็ดต่อ ๆ ไปผิดไปได้อย่างมีนัยสำคัญ และไม่อาจยอมรับได้ในระดับประเทศ และระดับองค์กร ซึ่งเป็นเรื่องสำคัญมากที่มีผลต่อความเชื่อมั่นของผู้มีผลประโยชน์ร่วมทุกกลุ่ม

ดังนั้น แนวปฏิบัติที่ดีโดยสรุป ไม่ว่าจะเป็นเรื่องของเศรษฐกิจดิจิตอล หรือเป็นเรื่องอื่นใดก็ตามที่มีการกำหนดเป้าหมายไว้อย่างชัดเจนแล้วนั้น ควรจะกำหนดกรอบการดำเนินงานด้านนโยบาย ดังต่อไป

แนวปฏิบัติที่ดีในการกำหนดกรอบการดำเนินงาน ซึ่งเป็นที่ยอมรับโดยทั่วไป

กรอบการดำเนินงานด้านนโยบาย ที่ได้รับการยอมรับโดยทั่วไปนั้น จะให้แนวทางที่เป็นประโยชน์ในการระบุถึงข้อความที่ควรจะรวมอยู่ในนโยบายในภาพรวม ในมุมมองที่เกี่ยวกับปัจจัยเอื้อบางประการ มีดังนี้

• ขอบเขต และความสมเหตุสมผล
• ผลที่ตามมาจากการที่ไม่ปฏิบัติตามนโยบาย
• วิธีการรับมือกับข้อยกเว้น
• วิธีตรวจสอบและวัดผลการปฏิบัติตามนโยบาย

–  ในการทำ CSA หรือการประเมินตนเองเพื่อควบคุมความเสี่ยง ของผู้ที่เกี่ยวข้องตามหัวข้อข้างต้นนี้นั้น ท่านมีข้อสังเกตอย่างไรบ้างครับ ในนโยบายเศรษฐกิจดิจิตอลที่เป็นอยู่ (As-Is) เมื่อเปรียบเทียบกับกรอบงานด้านนโยบายข้างต้น (To-Be)

กรอบการกำหนดระดับความเสี่ยงที่ประเทศและองค์กรยอมรับได้ ควรจะสอดคล้องกับ กรอบนโยบายของ DE เพราะนโยบายเป็นองค์ประกอบสำคัญของการควบคุมภายใน ทั้งในระดับประเทศและในระดับองค์กร ซึ่งมีจุดประสงค์เพื่อบริหารจัดการและควบคุมความเสี่ยง ส่วนหนึ่งในกิจกรรมด้านการกำกับดูแลความเสี่ยง รวมถึงการกำหนดความเสี่ยงในระดับที่องค์กรยอมรับได้ และระดับความเสี่ยงที่ยอมรับได้นี้ ควรสะท้อนให้เห็นอยู่ในนโยบายด้วย ประเทศ/องค์กรที่หลีกเลี่ยงการยอมรับความเสี่ยง (Risk – Averse) ย่อมมีนโยบายที่เข้มงวดกว่าองค์กรที่พร้อมจะยอมรับความเสี่ยง (Risk – Aggressive)

–  ในการทำ CSA หรือการประเมินตนเองเพื่อควบคุมความเสี่ยง ของผู้ที่เกี่ยวข้องตามหัวข้อข้างต้นนี้นั้น ท่านมีข้อสังเกตอย่างไรบ้างครับ ในนโยบายเศรษฐกิจดิจิตอลที่เป็นอยู่ (As-Is) เมื่อเปรียบเทียบกับกรอบงานด้านนโยบายข้างต้น (To-Be)

กรอบการประเมินความสมเหตุ สมผล ใหม่ (Revalidated) ควรปรับปรุงให้เป็นปัจจุบันตามช่วงเวลาที่เหมาะสมอย่างสม่ำเสมอ

–  ในการทำ CSA หรือการประเมินตนเองเพื่อควบคุมความเสี่ยง ของผู้ที่เกี่ยวข้องตามหัวข้อข้างต้นนี้นั้น ท่านมีข้อสังเกตอย่างไรบ้างครับ ในนโยบายเศรษฐกิจดิจิตอลที่เป็นอยู่ (As-Is) เมื่อเปรียบเทียบกับกรอบงานด้านนโยบายข้างต้น (To-Be)

กรอบความสัมพันธ์กับปัจจัยเอื้อ ซึ่งมีความเชื่อมโยงกับเศรษฐกิจดิจิตอล หลักการ นโยบาย และกรอบการดำเนินงาน ควรจะสะท้อนถึงคุณค่าของวัฒนธรรม และจริยธรรม ของประเทศ / องค์กร และควรส่งเสริมให้เกิดพฤติกรรมที่ต้องการ ทั้งนี้ ควรมีแนวปฏิบัติและกิจกรรมของกระบวนการให้เป็นพาหนะที่สำคัญในการปฏิบัติตามนโยบาย

–  ในการทำ CSA หรือการประเมินตนเองเพื่อควบคุมความเสี่ยง ของผู้ที่เกี่ยวข้องตามหัวข้อข้างต้นนี้นั้น ท่านมีข้อสังเกตอย่างไรบ้างครับ ในนโยบายเศรษฐกิจดิจิตอลที่เป็นอยู่ (As-Is) เมื่อเปรียบเทียบกับกรอบงานด้านนโยบายข้างต้น (To-Be)

กรอบโครงสร้างเศรษฐกิจดิจิตอลระดับประเทศ / องค์กร สามารถกำหนดนโยบาย และนำไปใช้งานภายใต้ขอบเขตของการควบคุม (Span of Control) และ ในทางกลับกัน กิจกรรมต่าง ๆ ก็จะถูกกำหนดขึ้นโดยนโยบายเช่นกัน

–  ในการทำ CSA หรือการประเมินตนเองเพื่อควบคุมความเสี่ยง ของผู้ที่เกี่ยวข้องตามหัวข้อข้างต้นนี้นั้น ท่านมีข้อสังเกตอย่างไรบ้างครับ ในนโยบายเศรษฐกิจดิจิตอลที่เป็นอยู่ (As-Is) เมื่อเปรียบเทียบกับกรอบงานด้านนโยบายข้างต้น (To-Be)

นโยบายก็เป็นสารสนเทศ ดังนั้น แนวปฏิบัติที่ดีทั้งหมด ที่ประยุกต์ใช้กับสารสนเทศ ก็สามารถประยุกต์ใช้กับนโยบายทางด้านเศรษฐกิจดิจิตอลเช่นกัน

ก่อนจะจบเศรษฐกิจดิจิตอล ตอนที่ 13 นี้ หากมีการสอบทานความพร้อม ทางด้านนโยบายเศรษฐกิจดิจิตอล ตามที่เป็นอยู่ ท่านคิดว่า เรา / ประเทศเรา มีความพร้อมเพียงใด ทางด้านการกำหนดนโยบายเศรษฐกิจดิจิตอล และการกำหนดกรอบการดำเนินงานเศรษฐกิจดิจิตอล ในมุมมองของการกำกับดูแล และการบริหารจัดการ IT ระดับประเทศ และองค์กรที่เกี่ยวข้องกับการกำกับในภาพโดยรวม อย่างไร และในปัจจุบัน หน่วยงานที่เกี่ยวข้อง มีการสื่อสารที่เข้าใจตรงกันหรือยังครับว่า ในการขับเคลื่อนเศรษฐกิจดิจิตอลนั้น เราควรจะมีการประเมินความสมเหตุสมผลของนโยบาย และกระบวนการที่เกี่ยวข้องอย่างไรบ้าง และในปัจจุบันนี้ เราอาจมีความเสี่ยงที่ไม่อาจยอมรับได้ ที่อาจจะเกิดจาก การกำหนดนโยบายที่ไม่ชัดเจน และมีการสื่อสารที่มีความเข้าใจที่แตกต่างกัน มากน้อยเพียงใด และจะมีผลอะไรที่ตามมา จากการที่ติดกระดุมเม็ดแรกที่อาจต้องมีการทบทวน