Archive for สิงหาคม 8th, 2009

ความมั่นคงปลอดภัยของประเทศกับการบริหารความเสี่ยงที่เป็นกระบวนการ

ครั้งที่แล้ว ผมได้ให้ข้อสังเกตถึงเรื่องความเตรียมพร้อมทางด้านความมั่นคงทางการทหารของประเทศเพื่อนบ้านในลักษณะกว้าง ๆ เพียงให้ข้อสังเกตในเบื้องต้นว่า การป้องกันดีกว่าการแก้ไข โดยเฉพาะอย่างยิ่งการต่อสู้ยุคใหม่ต้องอาศัยข้อมูลและข่าวสารสนเทศที่ถูกต้องแม่นยำ ทันเหตุการณ์และทันเวลา และต่อสู้กันด้วยความคิดว่า ผู้ไม่หวังดี รวมทั้งประเทศที่ไม่หวังดีนั้น คือใคร เพื่อจะหาทางป้องกันได้อย่างเหมาะสมต่อไป

ความเข้มแข็งและอาวุธสมัยใหม่ ประกอบกับข้อมูลข่าวสารที่ถูกต้อง ทันเหตุการณ์ ผสมผสานอย่างสอดคล้องกับกลยุทธ์ แผนงาน จากนโยบายที่ชัดเจนเป็นรูปธรรม +++ กำลังทางอากาศที่ทรงพลัง มีอานุภาพ จะทำให้ชนะในการรบ และสงครามได้ แต่ก็ไม่ชนะได้อย่างเด็ดขาด ถ้าไม่มีทหารราบที่มีคุณภาพ พร้อมอาวุธที่เหมาะสม ตามไปยึดและรักษาพื้นที่ที่กองกำลังทางอากาศได้ปูทางไว้แล้ว

หากประเทศใดประเทศหนึ่ง โดยเฉพาะอย่างยิ่งประเทศเพื่อนบ้านของเรา เคลื่อนกำลังรบผ่านอุโมงค์ หรือผ่านเส้นทางซึ่งประเทศไทยไม่อาจติดตามได้โดยวิธีการตามปกติ เช่น เรดาห์ หรือการสังเกตการจากดาวเทียม หรือแม้แต่เครื่องบิน ประเทศของเราคงจะเสียเปรียบทางด้านกลยุทธ์และการวางกำลังที่เหมาะสมได้

การกำหนด Risk Appetite และ Risk Tolerance ในระดับประเทศและในระดับองค์กร จะต้องกำหนดโดยรัฐบาล ร่วมกับหน่วยงานทางด้านความมั่นคง และถ้าหากเป็นระดับองค์กรต้องกำหนดโดยคณะกรรมการขององค์กรนั้น

ผมได้เคยพูดถึงความเสี่ยงที่ยอมรับได้ ที่เราเรียกว่า Risk Appetite และระดับความเบี่ยงเบนจากความเสี่ยงที่เรายอมรับได้ หรือยอมรับไม่ได้ ขึ้นกับมุมมองในระดับองค์กร และในระดับประเทศไปแล้วนั้น หากเราสมมุติเหตุการณ์ว่า หากภาคกลางตอนล่างของประเทศ ตั้งแต่ราชบุรี เพชรบุรี ประจวบคีรีขันธ์ลงไป ที่เป็นด้ามขวานทองของไทย แผ่นดินช่วงนี้มีเนื้อที่ค่อนข้างแคบมาก ถ้าผู้ไม่หวังดี รวมทั้งประเทศที่อาจมีปัญหากันในอนาคต โจมตีหลาย ๆ จุดพร้อม ๆ กัน ก็สามารถจะแบ่งแยกหรือเข้ายึดอาณาเขตในส่วนนี้เพื่อเป็นข้อต่อรองได้อย่างง่ายดาย จากการขนส่งกำลังพลและกำลังอาวุธที่มีการเตรียมพร้อมอย่างดี ประเทศไทยน่าจะเสียเปรียบเป็นอย่างมาก

ข้อคิดของผมที่ยกเรื่องข้างต้นขึ้นมากล่าวจากข้อเท็จจริงที่ปรากฎเป็นข่าวในช่วงที่ผ่านมาประมาณ 3 เดือนในเรื่องของการสร้างอุโมงค์เรียบชายแดนไทยตรงที่เป็นด้ามขวานทองของไทยนั้น ประเทศของเรา หน่วยงานความมั่นคงต่าง ๆ ของเราได้กำหนดกลยุทธ์ที่เหมาะสม ทั้งในเชิงป้องกัน และในเชิงรุกไว้เพียงใด มีการกำหนดระดับความเสี่ยงหรือความเสียหายที่ยอมรับได้ จากเหตุการณ์ต่าง ๆ ที่สามารถสร้างสมมุติฐาน เพื่อกำหนดระดับ Risk Appetite และ Risk Tolerance ที่สัมพันธ์กับกลยุทธ์และ Action Plan เพียงใด และการกำหนด Risk Appetite และ Risk Tolerance ในระดับประเทศและในระดับองค์กร จะต้องกำหนดโดยรัฐบาล ร่วมกับหน่วยงานทางด้านความมั่นคง และถ้าหากเป็นระดับองค์กรต้องกำหนดโดยคณะกรรมการขององค์กรนั้น ทั้งนี้เพราะการกำหนด Risk Appetite และ Risk Tolerance ดังกล่าว จะเกี่ยวข้องกับนโยบายของประเทศที่มีผลต่อการกำหนดกลยุทธ์และ Action Plan ตามที่ได้กล่าวแล้วข้างต้นนั่นเอง

ทั้งนี้เพราะกลยุทธ์และ Action Plan ที่มาจากนโยบายทางด้านความมั่นคงปลอดภัยของประเทศ ต้องมีการบริหารแบบสอดประสานและบูรณาการเป็นอย่างดี ซึ่งเรื่องนี้เพียงเทียบเคียงกับการบริหารงานในองค์กรหลายแห่ง โดยเฉพาะหลายหน่วยงานของรัฐ ก็จะพบว่าการบริหารแบบสอดประสานและบูรณาการยังมีข้อควรจะปรับปรุงได้อีกมากพอสมควร

ดังนั้น หากหน่วยงานที่เป็นความมั่นคงของประเทศ ขาดการบริหารและบูรณาการที่มีความชัดเจน ตามหลักของ GRC ซึ่งหมายถึง Governance ในที่นี้จะหมายถึงความมั่นคงและปลอดภัยอย่างยั่งยืนของชาติ ที่ต้องการการส่งสัญญาณในลักษณะ Top down จากจิตสำนึก (Spiritual) ที่มีความมุ่งมั่นอย่างสูงจากความรับผิดชอบตามหน้าที่ ดังที่เรียกกันว่า Responsibility และ Accountability +++

ประกอบกับการมีเครื่องมือที่มุ่งไปสู่ Governance ก็คือ การบริหารความเสี่ยงอย่างเป็นกระบวนการ ตามหลักการของ COSO – Enterprise Risk Management ซึ่งมีองค์ประกอบที่เกี่ยวข้องที่มีความสัมพันธ์กันอย่างใกล้ชิดอยู่ 8 องค์ประกอบด้วยกัน ซึ่งในเรื่องนี้สิ่งที่ประเทศและทุกองค์กรจะต้องดำเนินการก็คือ การกำหนด Risk Appetite และ Risk Tolerance ที่เป็นรูปธรรมและสัมพันธ์กับนโยบาย กลยุทธ์ แผนการดำเนินงานทางด้านความมั่นคง ที่ทุกหน่วยงานควรจะได้เข้าใจตรงกันอย่างแท้จริง

หากมีเวลาและโอกาสที่อำนวยให้มีการแลกเปลี่ยนกันในเชิงสร้างสรร และด้วยความเคารพในทุกฝ่ายที่เกี่ยวข้อง ผมจะขออนุญาติของความเห็น รวมทั้งการสร้างภาพจำลอง เพื่อให้มีการประเมินตนเอง ตามหลักการ Control Self Assessment – CSA ซึ่งเป็นส่วนหนึ่งของการบริหารความเสี่ยงและการควบคุมเหตุการณ์หรือปัจจัยเสี่ยงจากต้นเหตุ (Root Cause) ต่อไปนะครับ

 

GRC กลยุทธ์ใหม่ในการบริหารเพื่อประสบความสำเร็จขององค์กรยุคใหม่ที่เรียกว่า Integrity – Driven Performance (ต่อ)

ในครั้งก่อนผมได้ทิ้งท้ายไว้ว่าจะมาบอกถึงปัจจัยสำคัญที่ใช้ในการขับเคลื่อนการดำเนินงาน/การปฏิบัติการที่มีศักยภาพอย่างยั่งยืนตามหลักการ GRC ซึ่งก็มีปัจจัยหลัก ๆ อยู่ 4 ปัจจัยด้วยกัน แต่ในวันนี้ผมจะนำเสนอเพียง 3 ปัจจัยหลัก ๆ ก่อนนะครับ

GRC Model นอกจากจะเป็น Model ในการพัฒนาองค์กรในการก้าวไปสู่หลักการปฏิบัติงาน และการดำเนินงานที่ดี (Best Practice) ที่ยอมรับได้ มาตรฐานที่ใช้เป็นสากล หรือมาตรฐานการปฏิบัติที่เป็นที่ยอมรับกันโดยทั่วไป ในการก้าวสู่การปฏิบัติงานที่ดีเพื่อก้าวสู่หลักการของ Governance หรือการเติบโตอย่างยั่งยืนดังที่ได้กล่าวไปในครั้งก่อนแล้ว

GRC Model ยังเป็นกลยุทธ์ในการดำเนินงานเพื่อขับเคลื่อนองค์กรไปสู่การบริหารองค์กรแบบบูรณาการ อย่างมีคุณค่า (Business Integrity) การมีคุณธรรมในการบริหาร เช่น การกำหนดกฎเกณฑ์ ระเบียบ คำสั่ง และการปฏิบัติ การให้คุณให้โทษ จะต้องมีความชัดเจน สอดคล้องทั่วทั้งองค์กรในทุกมุมมองของการบริหาร ตามหลัก Balanced Scorecards และมีการปฏิบัติอย่างจริงจัง อีกทั้งยังสนับสนุน และส่งเสริม (Support) การบริหารความเสี่ยงแบบบูรณาการ (Integrity Driven) โดยการกำหนด Performance Strategy ให้เหมาะสมอีกด้วย

GRC ก้าวสู่ CG และ ITG ด้วย GRC ที่เป็นรูปธรรม กับข้อคิดและความเข้าใจในภาพโดยรวม

GRC ก้าวสู่ CG และ ITG ด้วย GRC ที่เป็นรูปธรรม กับข้อคิดและความเข้าใจในภาพโดยรวม

ปัจจัยสำคัญที่จำเป็นอย่างยิ่งที่ผู้บริหารต้องใช้ในการขับเคลื่อนการดำเนินงาน/การปฏิบัติการที่มีศักยภาพอย่างยั่งยืนตามหลักการ GRC คือ

1. การบูรณาการด้าน G + R + C (GRC) ที่เป็นรูปธรรม
คณะกรรมการและผู้บริหารต้องจัดให้มีการบริหารการเปลี่ยนแปลง โดยเชื่อมโยงให้มีการจัดการที่ดี (Governance) เข้ากับกระบวนการบริหารความเสี่ยง (COSO – ERM) ทั่วทั้งองค์กร และการควบคุมความเสี่ยงของกิจกรรมต่าง ๆ ในลักษณะเชิงรุก คือ การป้องกันปัญหาที่อาจเกิดขึ้นและกระทบกับการสร้างคุณค่าเพิ่มอย่างมีประสิทธิภาพให้กับองค์กร

โดยความเป็นจริง หลักการนี้ก็มีการปฏิบัติกันแล้วในหลายองค์กร แต่ส่วนใหญ่มักจะไม่ประสบความสำเร็จเท่าที่ควร เพราะมักมีการบริหารจัดการแยกเป็นส่วน ๆ เป็นเรื่อง ๆ ที่มีลักษณะเป็น Silo มิใช่เป็นแบบ Integrated หรือบูรณาการ GRC จึงเป็น Statement ที่อธิบายวิธีการจัดการให้เป็นแบบบูรณาการที่เป็นรูปธรรม คณะกรรมการและผู้บริหารที่ต้องการยกระดับการจัดการที่ดีและพิสูจน์ได้จึงควรนำหลักการของ GRC มาใช้อย่างเข้าใจ

2. การเชื่อมโยง GRC เข้ากับการดำเนินการและมีการวัดผลที่ไม่กำกวม และตรงประเด็น
การบูรณาการด้าน Governance + Risk Management + Compliance ที่ดีมีคุณภาพจะก่อให้เกิดการขับเคลื่อนคุณค่าและส่งเสริมประสิทธิภาพในการดำเนินงานและการปฏิบัติการ เพราะจะช่วยลดช่องว่างของการดำเนินงานที่เกิดจากการแยกกันทำงานในแบบต่างคนต่างทำ หรือเป็น Silo ตามลักษณะหรือ Function ของงานแทนการเน้นการทำงานแบบเป็นกระบวนการ (Process) ข้างสายงาน โดยคำนึงถึงวัตถุประสงค์ในกิจกรรมนั้น ๆ จนได้ผลลัพธ์ที่สามารถวัดประสิทธิภาพของคุณค่าเพิ่มได้อย่างเป็นรูปธรรม จากการประเมินคุณค่าทางสินทรัพย์ที่ไม่มีตัวตน (Intangible Assets) และสินทรัพย์ที่มีตัวตน ซึ่งจับต้องได้ (Tangible Assets)

ITG/GRC & COSO กับการสร้างมูลค่าเพิ่ม

ITG/GRC & COSO กับการสร้างมูลค่าเพิ่ม

3. GRC ต้องการความเข้าใจคำจำกัดความของคำว่า วิสัยทัศน์ และการปฏิบัติตามกฎหมาย กฎเกณฑ์ หรือ Compliance ใหม่

คำว่า วิสัยทัศน์ขององค์กร ต้องมุ่งไปที่ความยั่งยืนที่แท้จริง ที่องค์กรยุคใหม่ รวมทั้งผู้บริหารต่างก็เข้าใจตรงกันแล้วว่า ต้องมุ่งไปที่ผู้มีผลประโยชน์ร่วม (Stakeholders) เป็นสำคัญ มิใช่เพียงแต่มุ่งกำไรสูงสุดเพื่อผู้ถือหุ้น (Shareholders) เป็นหลัก

ดังนั้น คำว่า “Compliance” ตามนัยยะ ของ GRC ใหม่ก็คือ การปกป้องรักษาชื่อเสียง ความไว้วางใจได้ และการสร้างคุณค่าเพิ่มจากการบริหารสินทรัพย์ที่ไม่มีตัวตน (Intangible Assets) ที่เป็นตัวขับเคลื่อน หรือเป็นกลไกในการสร้างผลสำเร็จตามเป้าหมายขององค์กร (Enablers) โดยรวม และที่เกี่ยวกับการสร้าง “Value” ในมุมมองของการบริหารสินทรัพย์ที่มีตัวตน (Tangible Assets) ด้วย

เพราะในที่สุด การสร้างความน่าเชื่อถือจากความเชื่อ (Belief) นี้จะไปสร้างความน่าเชื่อถือ (Trust) ซึ่งเป็น “Value” ที่มีคุณค่ายิ่ง และจะสะท้อนโดยตรงไปยังการสร้างกำไรจากประสิทธิภาพที่มีดุลยภาพ เพื่อการเติบโตอย่างยั่งยืนตามหลักการของ Governance ที่ประกอบไปด้วย Corporate Governance และ IT Governance ในที่สุด
อนึ่ง คณะกรรมการและผู้บริหารขององค์กรต่าง ๆ ควรเข้าใจตรงกันต่อไปด้วยว่า GRC เป็นทั้งกลยุทธ์ใหม่ที่นำไปสู่ความสำเร็จในทางปฏิบัติและเมื่อเข้าใจแนวคิดนี้แล้วก็จะสามารถสร้าง Integrity – Driven Performance ทั้งองค์กรได้อย่างเป็นรูปธรรม จาก GRC Operating Model ใหม่นี้

Model ของ GRC ในที่นี้ก็คือ การบูรณาการกลยุทธ์มุ่งความสำเร็จของการควบคุมความเสี่ยงตามหลักการ COSO – ERM S – O – F – C โดยเน้นการบริหาร Operational Risk ที่มุ่งพิจารณา People + Process + Technology (PPT) ขององค์กรที่มีบทบาทและความสำคัญสูงมาก ประมาณร้อยละ 75 – 80 ที่มีผลต่อความสำเร็จในการบริหารตามมุมมองต่าง ๆ ตามหลัก Balanced Scorecard ที่เน้นการมองอนาคต โดยมีตัวชี้วัดที่เป็น Leading Indicator มากขึ้นจากเดิม เนื่องจากกลยุทธ์การมอง Vision ใหม่ (Envision) จาก Shareholders เป็น Stakeholders นั่นเอง