Archive for มีนาคม 26th, 2009

แนวทาง/กรอบ/คู่มือการบริหารความเสี่ยงขององค์กร

เมื่อได้ทราบถึงภาพรวมของการบริหารความเสี่ยง กรอบของการบริหารความเสี่ยง ความหมายของความเสี่ยง ประเภทและแหล่งที่มาหรือเหตุแห่งความเสี่ยง เป็นซึ่งเป็นพื้นฐานเบื้องต้นที่ผมได้กล่าวถึงไปบ้างแล้ว วันนี้เราจะมาพูดกันถึงแนวทางและเครื่องมือที่ใช้ในการระบุความเสี่ยงกันครับ

ก่อนอื่นผมมีภาพที่อยากให้เห็นถึงการระบุปัจจัยเสี่ยงกับแนวคิดด้านความเสี่ยงบางประการ เพื่อความเข้าใจที่ชัดเจนยิ่งขึ้น โปรดดูตามภาพด้านล่างนี้เลยครับ

การระบุปัจจัยเสี่ยงและแนวคิดบางประการ

การระบุปัจจัยเสี่ยงและแนวคิดบางประการ

แนวทางที่สามารถใช้ในการระบุความเสี่ยงขององค์กร

1. การใช้ประสบการณ์ของผู้ประเมินในการระบุเหตุการณ์ที่เคยเกิดขึ้น หรือพิจารณาแล้วว่ามีโอกาสที่จะเกิดขึ้นได้ หรือใช้การเก็บข้อมูลเกี่ยวกับปัญหา/ข้อผิดพลาดในกระบวนการทำงานที่เคยเกิดขึ้นในอดีตและได้มีการบันทึกไว้ หรือเป็นข้อมูลที่บันทึกอยู่ในระบบคอมพิวเตอร์ สามารถนำมาใช้เป็นแนวทาง และเป็นข้อมูลเบื้องต้นได้

2. การใช้คู่มือปฏิบัติงาน หรือ Work flow charts เพื่อลำดับขั้นตอนของกระบวนการทำงาน และพิจารณาว่าในแต่ละขั้นตอนอาจจะเกิดเหตุการณ์ต่าง ๆ ซึ่งอาจจะทำให้กิจกรรมนั้น ๆ หยุดชะงัก หรือผิดพลาดจนก่อให้เกิดความเสียหายขึ้นได้

3. การระดมความคิดจากพนักงานที่มีส่วนเกี่ยวข้องกับกิจกรรมดังกล่าว ทั้งภายในและภายนอกหน่วยงาน เพื่อร่วมกันพิจารณาว่ามีเหตุการณ์ใดบ้างที่เกิดขึ้นแล้วส่งผลกระทบเสียหายต่องานที่ดูแล

4. การใช้แบบสอบถามความคิดเห็นไปยังผู้รับผิดชอบกิจกรรมการทำงานต่าง ๆ ว่ามีปัญหาข้อผิดพลาด หรือความเสี่ยงในลักษณะใด ก่อให้เกิดความเสียหายมากน้อยแค่ไหน ซึ่งการสอบถามควรกระทำกับเจ้าหน้าที่ที่เกี่ยวข้องโดยตรง ซึ่งเป็นผู้ทราบข้อมูลต่าง ๆ อย่างแท้จริง นอกจากนี้คำตอบที่ได้รับอาจจะไม่ใช่ข้อเท็จจริงทั้งหมด เพราะการตอบคำถามอาจจะรวมข้อคิดเห็น ความรู้สึก และทัศนคติส่วนตัว ดังนั้นผู้ประเมินควรใช้วิธีอื่นควบคู่กันไปด้วย

5. การใช้แบบตรวจสอบรายการ เพื่อใช้เป็นแนวทางในการติดตามและตรวจสอบรายละเอียดของงานต่าง ๆ เพื่อพิจารณาความเสี่ยงในแต่ละกิจกรรม

การเลือกใช้แหล่งข้อมูล/วิธีการใด ๆ ในการระบุความเสี่ยงนั้น อาจแตกต่างกันในแต่ละฝ่ายงานและแต่ละเหตุความเสี่ยง โดยขึ้นอยู่กับลักษณะงานและวิธีปฏิบัติของแต่ละฝ่ายงาน

เครื่องมือสำหรับการระบุความเสี่ยงด้านปฏิบัติการ ประกอบด้วย
1. แบบประเมินตนเอง
ซึ่งเป็นเครื่องมือที่ใช้ในการประเมินการควบคุมตนเอง (Control Self Assessment) และรับผิดชอบให้มีการประเมินตนเอง โดยกำหนดให้ทุกฝ่ายงานมีหน้าที่ต้องประเมินตนเองอย่างน้อยปีละ 1 ครั้ง ทั้งนี้ผู้ประเมินต้องระบุประเภทความเสี่ยงที่เผชิญอยู่ในแต่ละกิจกรรม หรือแต่ละกระบวนการปฏิบัติงานที่อยู่ภายใต้ความรับผิดชอบของตน รวมทั้งประเด็นของความพร้อมของบุคคลากร ทรัพยากร และระบบงานที่เกี่ยวข้อง พร้อมทั้งเสนอแนะแนวทางที่จะบริหารความเสี่ยงที่เผชิญอยู่นั้น

2. ดัชนีเครื่องชี้ความเสี่ยง
ดัชนีเครื่องชี้ความเสี่ยง (Key Risk Indicators) จะถูกใช้เป็นเครื่องมือระบุความเสี่ยงที่เกิดขึ้นในกระบวนการปฏิบัติงานต่าง ๆ ดัชนีเครื่องชี้ความเสี่ยงจะถูกสร้างขึ้น โดยความเห็นชอบร่วมกันระหว่างหน่วยงานที่เกี่ยวข้องกับโครงการและแผนงานต่าง ๆ กับฝ่ายบริหารความเสี่ยง (ถ้ามี) เพื่อชี้ให้เห็นถึงความเสี่ยงที่อาจจะเกิดความเสียหายขึ้นในกระบวนการตามแผนงานต่าง ๆ ซึ่งนอกจากจะเป็นเครื่องมือที่ใช้ในการติดตามความเสี่ยงแล้ว ยังจะช่วยนําไปสู่การค้นหาสาเหตุเพื่อป้องกันและ/หรือแก้ไขเพื่อป้องกันหรือบรรเทาผลกระทบที่จะเกิดขึ้นในอนาคตได้อีกด้วย โดยกำหนดให้ทุกฝ่ายงานมีหน้าที่ต้องจัดทำดัชนีเครื่องชี้ความเสี่ยง

 

BCM กับการวัดศักยภาพในการบริหารการดำเนินธุรกิจอย่างต่อเนื่อง (ต่อ)

จากที่ครั้งก่อนผมได้พูดถึง แนวทางการบริหารและการพิจารณาระดับการบริหาร การจัดการ BCM ขององค์กรทั่วไป รวมถึงเกณฑ์เบื้องต้นของการมีแผนรองรับการดำเนินธุรกิจอย่างต่อเนื่อง (BCM-Business Continuity Management) ซึ่งมีเกณฑ์และกรอบของงานให้ไว้เป็นแนวทางปฏิบัติ 5 ข้อ โดยกล่าวถึงความพร้อมในการรองรับการดำเนินธุรกิจอย่างต่อเนื่องเป็นข้อแรกทิ้งท้ายเอาไว้

วันนี้ ผมจะพูดถึงระดับความเกี่ยวข้องสัมพันธ์กันของ BCP/BCM กับบทบาทของคณะกรรมการและผู้บริหารระดับสูง และความสมบูรณ์ครบถ้วนของแผน BCP/BCM ที่เกี่ยวเนื่องกับหน่วยงาน IT และ Non – IT ซึ่งเป็นหัวข้อถัดไปครับ

2. บทบาทของคณะกรรมการและผู้บริหารระดับสูงเป็นสิ่งสำคัญยิ่ง เนื่องจากสะท้อนถึงวิสัยทัศน์ นโยบาย กลยุทธ์และแผนงานที่เกี่ยวเนื่องกับความมั่นคง และ/หรือ การให้บริการที่มีผลกระทบต่อเศรษฐกิจและประชาชนในวงกว้าง ในภาวะฉุกเฉินและไม่ปกติที่เกิดจากปัจจัยภายในและภายนอก

2.1) ระดับดี
คณะกรรมการฯ ผู้บริหารระดับสูงขององค์กรได้เข้ามามีส่วนร่วมในการดำเนินงานด้าน BCP/BCM ในเรื่องต่าง ๆ ได้แก่ การจัดสรรทรัพยากร บุคลากรและงบประมาณที่เพียงพอ การกำหนดนโยบาย การอนุมัติแผน ตลอดจนเข้ามาควบคุมดูแลการดำเนินงานตามแผน การสอบทานผลการทดสอบและการกำกับดูแล และให้มีการปรับ BCP /BCM ให้เป็นปัจจุบันอยู่เสมอ รวมทั้งการทำให้พนักงานมีความเข้าใจและตระหนักถึงบทบาทหน้าที่ของตนในการปฏิบัติตามแผนได้ในทางปฏิบัติ

2.2) ระดับอ่อนหรือไม่ผ่าน BCP/BCM
ผู้บริหารระดับสูงไม่ได้ตระหนักถึงความสำคัญของการเตรียมความพร้อมรองรับเหตุการณ์ฉุกเฉิน โดยไม่มีส่วนร่วมและไม่ได้มอบหมายผู้ปฏิบัติงานแทนในการกำหนดนโยบาย ควบคุมดูแลและการดำเนินงาน BCP/BCM เมื่อเทียบกับ ข้อ 2.1 เป็นต้น

3. ความครบถ้วนสมบูรณ์ของแผน BCP/BCM ที่เกี่ยวกับหน่วยงาน IT และ Non-IT ที่เกี่ยวเนื่องกันโดยรวมทั้งมุมมอง การบูรณาการตั้งแต่ความคิด ความเข้าใจ การวางแผนฯ ที่สอดประสานกันในระดับองค์กรและระหว่างองค์กร

3.1) ระดับดี
มีการจัดทำแผนรองรับการดำเนินธุรกิจอย่างต่อเนื่อง (BCP) เป็นลายลักษณ์อักษรที่ครอบคลุมหน่วยงานธุรกิจและหน่วยงานด้าน IT รวมทั้งครอบคลุมทุกระบบงานหลัก ๆ แผนสามารถรองรับปัญหาที่ส่งผลกระทบในระดับความรุนแรงต่าง ๆ ตั้งแต่น้อยจนถึงมาก จนไม่สามารถดำเนินงานต่อไปได้ อีกทั้งรองรับเหตุการณ์ความเสียหายในหลายรูปแบบ โดยคำนึงถึงปัจจัยที่เป็นอุปสรรคภายนอก มีการกำหนดเกณฑ์ที่ใช้พิจารณาในการเริ่มปฏิบัติตามแผนฯ โดยเป็นเกณฑ์ทั้งเชิงธุรกิจและ IT ซึ่งส่วนใหญ่จะมีปัญหาด้านบูรณาการ ประสานงานและการปฏิบัติ

กระบวนการจัดทำแผนฯ ครอบคลุมขั้นตอน การวิเคราะห์ผลกระทบต่อธุรกิจ การประเมินความเสี่ยงของทุกธุรกิจ โดยมีผู้บริหารที่เกี่ยวข้องเข้ามามีส่วนร่วมในการจัดทำแผน รวมทั้งมีหน่วยงานกลางมาสอบทานกระบวนการจัดทำแผนด้วย มีการกำหนดภัย สมมติฐานไว้อย่างครอบคลุมและทันสมัย รวมทั้งคำนึงถึงสานการณ์จำลองที่เลวร้ายที่สุด อีกทั้งมีการวิเคราะห์โอกาสและความรุนแรงของภัย รวมทั้งผลกระทบที่เกี่ยวข้อง (BIA-Business Impact Analysis) เพื่อจัดลำดับความสำคัญของธุรกิจ และระบบงานในการกู้คืนสู่สภาพปกติ

3.2) ระดับอ่อน หรือไม่มี BCP/BCM
ไม่มีการจัดทำ BCP/BCM เป็นลายลักษณ์อักษรและไม่มีแนวทางปฏิบัติเพื่อเตรียมพร้อมรองรับเหตุการณ์ฉุกเฉินตามหลักการ BCP/BCM

สำหรับเนื้อหาในส่วนที่เหลือ คงต้องติดตามกันต่อในตอนหน้านะครับ