Archive for ธันวาคม, 2009

แนวทาง/กรอบการบริหารความเสี่ยงทั่วทั้งองค์กร

ในครั้งที่แล้วผมได้กล่าวถึงลักษณะและรูปแบบของการติดตามผลการตรวจสอบ (Monitoring) ว่ามีลักษณะอย่างไร และท่านผู้บริหาร ผู้ตรวจสอบ สามารถที่จะติดตามผลของการตรวจสอบนั้นได้จากทางใดบ้าง สำหรับวันนี้ผมจะกล่าวต่อถึงขอบเขตของความถี่่ในการประเมินผล ซึ่งการประเมินผลในเรื่องการบริหารความเสี่ยงมีความแตกต่างกันในเรื่องขอบเขตและความถี่ ขึ้นอยู่กับความมีนัยสำคัญของความเสี่ยง และความสำคัญของการตอบสนองความเสี่ยงและการควบคุมที่เกี่ยวข้องในเรื่องการจัดการความเสี่ยง

พื้นที่ที่มีความเสี่ยงและการตอบสนองสูงกว่ามีแนวโน้มที่จะถูกประเมินผลบ่อยกว่า การประเมินผลความสมบูรณ์ของการบริหารความเสี่ยง ซึ่งโดยทั่วไปมีความถี่ในความจำเป็นน้อยกว่าการประเมินค่าเฉพาะส่วน อาจถูกกระตุ้นโดยเหตุผลมากมาย กลยุทธ์หลัก หรือการเปลี่ยนแปลงเรื่องการบริหาร การเข้าถือสิทธิ์หรืออำนาจในการควบคุม การเปลี่ยนแปลงทางเศรษฐกิจหรือเงื่อนไขทางการเมือง หรือการเปลี่ยนแปลงในการปฏิบัติการหรือวิธีการในการประมวลผลข้อมูล

เมื่อการตัดสินใจเกิดขึ้น เพื่อใช้เป็นการประเึมินผลที่ครอบคลุมของการบริหารความเสี่ยงขององค์กร ความตั้งใจควรมุ่งในการสร้างวิธีการเพื่อจัดตั้งกลยุทธ์ด้วยกิจกรรมที่สำคัญ ขอบเขตการประเมินผลขึ้นอยู่กับประเภทของวัตถุประสงค์ที่ถูกวางไว้ ว่าเป็นวัตถุประสงค์ประเภทใด รวมถึงมีใครเป็นผู้ประเมินผล บ่อยครั้งการประเมินผลใช้รูปแบบของการประเมินค่าตนเอง บุคคลผู้ซึ่งรับผิดชอบต่อหน่วยเฉพาะหรือหน้าที่กำหนดความมีประสิทธิภาพของการบริหารความเสี่ยงสำหรับกิจกรรมของพวกเขาเหล่านั้น

ผู้ตรวจสอบภายในทำการประเมินผลให้เป็นส่วนหนึ่งของหน้าที่ปกติ หรือเป็นคำขอร้องพิเศษของผู้บริหารอาวุโส กรรมการหรือผู้ช่วยหรือผู้บริหารของฝ่าย เช่นเดียวกันผู้บริหารอาจใช้ประโยชน์ สูงสุดจากผู้ตรวจสอบภายนอกในการพิจารณาความมีประสิทธิภาพของการบริหารความเสี่ยง การรวมกันของความพยายามต่าง ๆ ถูกใช้ในการดำเนินการ อย่างไรก็ตามการบริหารกระบวนการประเมินก็เป็นสิ่งจำเป็น

ขั้นตอนการประเมินผล
การประเมินผลการบริหารความเสี่ยงเป็นขั้นตอนภายในตัวเอง ขณะที่วิธีการหรือเทคนิคมีความแตกต่าง ความมีระเบียบควรนำมาใช้ในขั้นตอน ด้วยพื้นฐานที่มีอยู่อย่างถาวรและไม่แยกจากกัน

ผู้ทำการประเมินต้องเข้าใจในแต่ละกิจกรรมขององค์กรและแต่ละส่วนประกอบของการบริหารความเสี่ยง ซึ่งอาจเป็นประโยชน์ต่อการมุ่งเน้นเป็นอันดับแรกว่าการบริหารความเสี่ยงทำหน้าที่ได้ตามวัตถุประสงค์ได้อย่างไร ซึ่งบางครั้งอาจหมายถึงระบบหรือการออกแบบขั้นตอน

ผู้ทำการประเมินวิเคราะห์การออกแบบขั้นตอนการบริหารความเสี่ยงและผลของการทดสอบการปฏิบัติงาน การวิเคราะห์นี้เป็นการเปรียบเทียบกับการจัดฉากของผู้บริหารสำหรับแต่ละส่วน ประกอบด้วยเป้าหมายสูงสุดของการกำหนดว่ากระบวนการบริหารความเสี่ยงกระทำไปนั้นมั่นใจได้ว่าเข้ากันได้กับวัตถุประสงค์ที่กำหนดขึ้นหรือไม่

กลวิธีในการตรวจสอบ
ความหลากหลายของวิธีการประเมินผลและเครื่องมือสามารถหามาได้ที่ใช้ในการตรวจสอบการบริหารความเสี่ยง จะขึ้นอยู่กับเป้าหมายการตรวจสอบเป็นหลัก อย่างไรก็ดี ประสิทธิภาพและประสิทธิผลของกระบวนการบริหารความเสี่ยงจะต้องถูกประเมินด้วยการทดสอบการปฏิบัติงานจริง ซึ่งอาจจะใช้เทคนิคการประเมินความเสี่ยงตามฐานการตรวจสอบความเสี่ยง Risk Based Internal Audit (RBIA) ที่เน้นทางด้าน Manual หรือเน้นควบคู่กันไปกับการใช้คอมพิวเตอร์เข้าช่วยในการตรวจสอบ Computer Assisted Audit Technic (CAAT) เช่น ใช้ IDEA หรือ ACL และ/หรือเทคนิคการตรวจสอบแบบ Around The Computer หรือ Throgh The Computer เป็นต้น

ในฐานะที่เป็นส่วนหนึ่งของวิธีการประเมินผล บางองค์กรเปรียบเทียบขั้นตอนการบริหารความเสี่ยงกับองค์กรอื่น ๆ เช่น องค์กรหนึ่งอาจวัดผลกระบวนการกับบริษัทอื่นด้วยชื่อเสียงที่ได้จากการบริหารความเสี่ยง การเปรียบเทียบนี้อาจกระทำได้โดยตรงกับบริษัทอื่นหรือธุรกิจอื่น ๆ องค์กรอื่น ๆ อาจให้ข้อมูลเชิงเปรียบเทียบ การระวังเป็นสิ่งจำเป็นเมื่อดำเนินการเปรียบเทียบ ต้องพิจารณาความแตกต่างซึ่งคงอยู่ในวัตถุประสงค์ ข้อเท็จจริงและโอกาส และส่วนประกอบของการบริหารความเสี่ยงทั้ง 8 ประการ เช่นเดียวกับข้อจำกัดที่เป็นธรรมชาติของการบริหารความเสี่ยงจำเป็นต้องนำมาใส่ใจ

การทำเอกสารการรายงานความเสี่ยง
ขอบเขตในเรื่องเอกสารของการบริหารความเสี่ยงแตกต่างไปตามขนาดขององค์กร ความซับซ้อนและปัจจัยที่คล้ายกัน องค์กรที่มีขนาดใหญ่กว่ามักเขียนนโยบายเป็นลายลักษณ์อักษร มีแผนผังของโครงสร้างองค์กร มีการเขียน Job Description คำแนะนำในการปฏิบัติการ แผนผังระบบข้อมูล และอื่น ๆ องค์กรที่มีขนาดเล็กกว่าจะมีความใส่ใจในเรื่องเอกสารน้อยกว่า

การบริหารความเสี่ยงหลาย ๆ ด้าน เป็นสิ่งไม่เป็นทางการและไม่มีเอกสาร แต่มีผลการปฏิบัติงานที่ดีและมีประสิทธิภาพสูง กิจกรรมเหล่านี้อาจถูกทดสอบในแบบเดียวกันจนเหมือนเป็นเอกสาร ข้อเท็จจริงคือส่วนประกอบของการบริหารความเสี่ยงไม่ได้เป็นลายลักษณ์อักษร ไม่ได้หมายความว่าไม่มีประสิทธิภาพหรือไม่สามารถประเมินผลได้ อย่างไรก็ตาม ระดับที่เหมาะสมของเอกสารมักทำให้การตรวจติดตามมีประสิทธิภาพและประสิทธิผล

ผู้ทำการประเมินอาจตัดสินใจทำเอกสารขั้นตอนการประเมินผล ผู้ทำการประเมินจะร่างจากเอกสารของการบริหารความเสี่ยงที่มีอยู่ ซึ่งเป็นส่วนเสริมให้กับเอกสารที่เพิ่มขึ้นพร้อมกันกับอธิบายเรื่องการทดสอบและวิเคราะห์การปฏิบัติงานในขั้นตอนการประเมินผล

ผู้บริหารเจตนาทำประกาศให้ภายนอกทราบเกี่ยวกับความมีประสิทธิภาพของการบริหารความเสี่ยง ซึ่งจะต้องพัฒนาและรักษาเอกสารเพื่อสนับสนุนการประกาศ ดังนั้น เอกสารจึงมีประโยชน์หากประกาศนั้นถูกท้าทายในภายหลัง

การรายงานการบริหารความเสี่ยง
รูปแบบรายงานที่นำเสนอนี้สามารถใช้เพื่ออธิบายความเสี่ยง รายงานควรนำเสนอแนวทางที่ใช้ในการรวบรวมข้อมูลความเสี่ยงและแนวทางการให้คะแนนที่ใช้ในการประเมินความเสี่ยง และควรอธิบายคุณค่าซ่อนเร้นหรือโอกาสที่ถูกบ่งชี้เพื่อช่วยเหลือในการที่ผู้บริหารจะมุ่งเน้นในข้อมูลความเสี่ยงโดยรวม

หลักในการจัดทำรายงานความเสี่ย
1. การจัดทำรายงานต้องทันเวลา กระชับ และอยู่ในรูปแบบที่ช่วยให้การติดตามผลและการควบคุมขององค์กรมีประสิทธิผล
2. รายงานเบื้องต้นควรเน้นที่การแสดงความเสี่ยงในภาพโดยรวม และกิจกรรมเพื่อลดความเสี่ยงในระดับองค์กร กระบวนการและโครงการ รายงานความเสี่ยงที่ทำเป็นปกติควรรายงานความเสี่ยงสำคัญที่เกิดขึ้นเป็นรายเดือน และรายงานสถานะความเสี่ยงในภาพรวมเป็นรายไตรมาส
3. เน้นการติดตามการจัดการความเสี่ยงหลัก ยกเว้น ในกรณีที่สภาพแวดล้อมต่าง ๆ แสดงให้เห็นว่าความเสี่ยงนั้นหมดไปแล้ว

การรายงานผลการบริหารความเสี่ยงและการควบคุม รวมทั้งการปรับปรุงแก้ไข
จุดอ่อนในการบริหารความเสี่ยงอาจครอบครอบคลุมจากหลายแหล่งรวมถึงกระบวนการการตรวจติดตามอย่างต่อเนื่อง การประเมินผลแยกต่างหากและบุคคลภายนอก คำว่า “จุดอ่อน” อาจจะหมายถึง ความบกพร่องที่นำมาสู่ความเสียหายของการบริหารแผนงานและโครงการต่าง ๆ ขององค์กร และยังหมายถึงสภาพภายในกระบวนการบริหารความเสี่ยง ดังนั้น จุดอ่อนที่ผู้ตรวจสอบภายในตรวจพบ อาจหมายถึง ศักยภาพของพนักงานที่อาจต้องมีการปรับปรุงแก้ไข เพื่อลดจุดอ่อน เพื่อช่วยเพิ่มความเป็นไปได้ซึ่งทำให้วัตถุประสงค์ขององค์กรบรรลุผล

แหล่งของข้อมูล
แหล่งที่ดีที่สุดของข้อมูลจากความบกพร่องในการบริหารความเสี่ยง คือ ตัวของการบริหารความเสี่ยงเอง

กิจกรรมการตรวจติดตามอย่างต่อเนื่องขององค์กร รวมถึงกิจกรรมทางการบริหารและการสั่งการผู้ใต้บังคับบัญชาทุก ๆ วัน การสร้างความเข้าใจลึกซึ้งจากผู้ที่เกี่ยวข้องโดยตรงในกิจกรรมขององค์กร ความเข้าใจลึกซึ้งนี้หาได้ในเวลาที่เป็นจริงและสามารถแยกแยะความบกพร่องได้อย่างรวดเร็ว แหล่งอื่นของความบกพร่องคือการประเมินผลที่แยกต่างหากของการบริหารความเสี่ยง การประเมินผลดำเนินการโดยผู้บริหาร ผู้ตรวจสอบภายใน หรือหน่วยงานอื่น ๆ ซึ่งสามารถเน้นพื้นที่ที่จะเป็นต้องปรับปรุง

หน่วยงานภายนอกเป็นผู้ให้ข้อมูลสำคัญบ่อย ๆ จากการทำงานในการบริหารความเสี่ยง ซึ่งรวมถึงลูกค้า คู่ค้า และผู้มีผลประโยชน์ร่วมที่ทำธุรกิจกับองค์กร ผู้ตรวจสอบภายนอกและผู้ดูแลกฎระเบียบ รายงานจากแหล่งภายนอกควรถูกพิจารณาอย่างระมัดระวังในเรื่องการตีความสำหรับการบริหารความเสี่ยงและควรมีการแก้ไขที่เหมาะสม

จากการประเมินและการติดตามผลการบริหารความเสี่ยง ผู้บริหาร ผู้ตรวจสอบต้องทำการรายงานการบริหารความเสี่ยงต่อคณะกรรมการบริหารความเสี่ยง โดยจะต้องรายงานเรื่องใด และอย่างไรนั้น ผมจะมาพูดคุยกันต่อในครั้งต่อไป โปรดติดตามนะครับ

 

หลักเกณฑ์การพิจารณาให้ความเห็นชอบการแต่งตั้งกรรมการ ผู้จัดการผู้มีอำนาจในการจัดการ หรือที่ปรึกษาของสถาบันการเงิน

วันนี้ผมมีเรื่องหลักเกณฑ์การพิจารณาให้ความเห็นชอบการแต่งตั้งกรรมการ ผู้จัดการผู้มีอำนาจในการจัดการ หรือที่ปรึกษาของสถาบันการเงิน ของ ธปท. ซึ่งน่าจะมีประโยชน์ต่อผู้ที่สนใจ ในวงการสถาบันการเงิน และในวงการที่เกี่ยวข้อง ที่อาจนำไปประยุกต์ใช้ได้ตามที่เห็นสมควร สำหรับหน่วยงานอื่นที่ไม่ใช่สถาบันการเงิน แต่สำหรับหน่วยงานที่เป็นสถาบันการเงิน จะต้องปฏิบัติตามหลักเกณฑ์ฯ ที่ สนส. 14/2552 ลงวันที่ 9 กรกฎาคม 2552 อย่างเคร่งครัด

ธปท. ได้ระบุไว้ในเหตุผลในการออกประกาศฉบับนี้ โดยกล่าวว่า…ในสภาวะปัจจุบันระบบสถาบันการเงินมีการแข่งขันสูง และธุรกรรมต่าง ๆ ได้วิวัฒนาการไปอย่างรวดเร็ว มีความซับซ้อนและความเสี่ยงเพิ่มมากขึ้น กรรมการและผู้บริหารระดับสูงของสถาบันการเงิน จึงจำเป็นจะต้องมีคุณสมบัติที่เหมาะสม ทั้งในด้านจริยธรรม ความซื่อสัตย์สุจริต และความรู้ความสามารถในการบริหารจัดการ และควบคุมการดำเนินงาน ตลอดจนการกำกับดูแลให้สถาบันการเงินปฏิบัติตามกฎหมายและระเบียบข้อบังคับที่กำหนดไว้ เพื่อรักษาผลประโยชน์สูงสุดของสถาบันการเงิน และผู้มีส่วนเกี่ยวข้อง (Stakeholders) ซึ่งเป็นพื้นฐานสำคัญของการมีธรรมาภิบาลที่ดีในระบบสถาบันการเงิน

พระราชบัญญัติธุรกิจสถาบันการเงิน พ.ศ. 2551 จึงกำหนดให้การแต่งตั้งกรรมการผู้จัดการ ผู้มีอำนาจในการจัดการ หรือที่ปรึกษาของสถาบันการเงิน ต้องได้รับความเห็นชอบจากธนาคารแห่งประเทศไทยก่อนเข้ารับตำแหน่ง และบุคคลดังกล่าว ต้องมีคุณสมบัติครบถ้วน และไม่มีลักษณะต้องห้าม ตลอดระยะเวลาที่ดำรงตำแหน่ง

ด้วยเหตุผลดังกล่าวข้างต้น ธนาคารแห่งประเทศไทย จึงปรับปรุงคุณสมบัติ และหลักเกณฑ์การพิจารณาให้ความเห็นชอบกรรมการ ผู้จัดการ ผู้มีอำนาจในการจัดการ หรือที่ปรึกษาของสถาบันการเงิน ให้มีความชัดเจนมากยิ่งขึ้น สอดคล้องกับหลักเกณฑ์ที่เกี่ยวข้องของสำนักงานคณะกรรมการกำกับหลักทรัพย์และตลาดหลักทรัพย์ และเป็นไปตามมาตรฐานสากล

อำนาจตามกฎหมาย
อาศัยอำนาจตามความในมาตรา 24 (4) ถึงมาตรา 24 (6) มาตรา 24 (7) ข มาตรา 24 (8) ถึงมาตรา 24 (10) และมาตรา 25 แห่งพระราชบัญญัติธุรกิจสถาบันการเงิน พ.ศ. 2551 อันเป็นกฎหมายที่มีบทบัญญัติบางประการเกี่ยวกับการจำกัดสิทธิเสรีภาพของบุคคล ซึ่งมาตรา 29 ประกอบกับมาตรา 31 มาตรา 33 มาตรา 36 มาตรา 39 มาตรา 41 และมาตรา 43 ของรัฐธรรมนูญแห่งราชอาณาจักรไทย บัญญัติให้กระทำได้โดยอาศัยอำนาจตามบทบัญญัติแห่งกฎหมาย ธนาคารแห่งประเทศไทยออกข้อกำหนดเกี่ยวกับคุณสมบัติ และหลักเกณฑ์การพิจารณาให้ความเห็นชอบการแต่งตั้งกรรมการ ผู้จัดการ ผู้มีอำนาจในการจัดการ หรือที่ปรึกษาของสถาบันการเงิน ให้สถาบันการเงินถือปฏิบัติ

ขอบเขตการบังคับใช้
ประกาศนี้ให้ใช้บังคับกับสถาบันการเงินตามกฎหมายว่าด้วยธุรกิจสถาบันการเงินทุกแห่ง ยกเว้นตำแหน่งกรรมการของธนาคารพาณิชย์ต่างประเทศ ที่มีสาขาในประเทศไทย ไม่อยู่ภายใต้บังคับของประกาศฉบับนี้

ประกาศที่อ้างอิง
ประกาศธนาคารแห่งประเทศไทย ที่ สนส. 13/2552 เรื่อง ธรรมาภิบาลของสถาบันการเงิน ลงวันที่ 9 กรกฎาคม 2552 และที่แก้ไขเพิ่มเติม

สำหรับเนื้อหาในประกาศฉบับนี้ จะเกี่ยวข้องกับคณะกรรมการสรรหา คณะกรรมการกำหนดผลตอบแทน ซึ่งคณะกรรมการดังกล่าวก็มีหลักการที่จะต้องปฏิบัติให้เป็นไปตามกฎเกณฑ์ และระเบียบของผู้กำกับต่อไปด้วยเช่นกัน และผมจะได้นำมาเล่าสู่กันฟังในโอกาสต่อไปนะครับ

 

เกณฑ์การประเมินผลการบริหารการจัดการสารสนเทศของรัฐวิสาหกิจ ประจำปี 2553 (ต่อ)

วันนี้ผมจะนำเสนอในรายละเอียดของ หลักเกณฑ์การประเมินผลการบริหารการจัดการสารสนเทศของรัฐวิสาหกิจ ประจำปี 2553 โดยจะกล่าวถึงหลักเกณฑ์การประเมินเฉพาะในส่วนที่ 1 ก่อน ซึ่งเป็นส่วนของการประเมินแผนแม่บทสารสนเทศ (IT Master Plan) สำหรับส่วนที่ 2 จะได้นำเสนอในครั้งต่อไป เนื่องจากมีรายละเอียดในแต่ละหัวข้อมากพอสมควร

ผมนำภาพมาให้ดูอีกครั้ง คงยังจำกันได้นะครับ

หลักเกณฑ์การประเมินส่วนที่ 1: การประเมินแผนแม่บทสารสนเทศ (IT Master Plan)
1.1 การตอบสนองต่อความต้องการขององค์กรและนโยบาย
แผนแม่บทฯ ต้องมีการพิจารณาให้เชื่อมโยงกับแผนวิสาหกิจขององค์กร และสอดคล้องกับนโยบายต่าง ๆ ซึ่งการประเมินจะพิจารณาตามเกณฑ์การประเมินดังนี้

1.1.1 ความสอดคล้องกับแผนวิสาหกิจเต็มตามศักยภาพของระบบสารสนเทศ พิจารณาจาก :
– แผนแม่บทฯ ตอบสนอง /สอดคล้อง / สนับสนุนต่อแผนวิสาหกิจครบทั้ง วิสัยทัศน์ ภารกิจ รวมทั้งกลยุทธ์ขององค์กรอย่างเหมาะสม
– มีการวิเคราะห์แผนงานหรือโครงการที่เกี่ยวข้องกับข้อ 2.1 ถึง 2.6 (ซึ่งจะนำเสนอในครั้งต่อไป)

1.1.2 การดำเนินการเพื่อตอบสนองต่อนโยบายที่สำคัญ มีหลักเกณฑ์การพิจารณาดังนี้
– การเพิ่มประสิทธิภาพ และ/หรือ ลดขั้นตอนการปฏิบัติงาน พิจารณาจาก :
ก) แผนแม่บทฯ ให้ความสำคัญที่ชัดเจนต่อการเพิ่มประสิทธิภาพ และ/หรือ ลดขั้นตอนการปฏิบัติงาน
ข) ขั้นตอนที่ปรับเปลี่ยนมีผลกระทบอย่างชัดเจนในการเพิ่มประสิทธิภาพ และลดขั้นตอนการปฏิบัติงาน ประหยัดค่าใช้จ่ายของรัฐวิสาหกิจ มีความเหมาะสมกับรัฐวิสาหกิจและงบประมาณ และไม่ส่งผลเสียหายต่อรัฐวิสาหกิจ

– ประชาชน/ผู้ใช้บริการได้รับความสะดวกและได้รับการตอบสนองตามความต้องการ พิจารณาจาก :
ก) แผนแม่บทฯ ให้ความสำคัญที่ชัดเจนต่อการตอบสนองตามความต้องการของประชาชน/ผู้ใช้บริการ
ข) มีการระบุข้อมูลถึงความต้องการของประชาชน/ผู้ใช้บริการ หรือ แนวทางการประเมินความต้องการของประชาชนผู้ใช้บริการ

– การใช้ข้อมูลร่วมกัน พิจารณาจาก :
ก) แผนแม่บทฯ ให้ความสำคัญที่ชัดเจนต่อการใช้ข้อมูลร่วมกัน รวมถึงให้กระทรวงเจ้าสังกัดสามารถดึงข้อมูลได้
ข) มีโครงการที่ดำเนินการเกี่ยวข้อง

1.2 องค์ประกอบหรือรายละเอียดแผนปฏิบัติการ
ในแผนปฎิบัติการระดับองค์กรที่ถ่ายทอดมาจากแผนแม่บทฯ ควรมีองค์ประกอบหรือรายละเอียดดังนี้

1.2.1 กลุ่ม / ลำดับความสำคัญของแผนงาน / โครงการดังกล่าวอย่างเหมาะสม พิจารณาจาก :
– มีการจัดเรียงกลุ่มลำดับความสำคัญของโครงการ / แผนงาน ซึ่งหลักเกณฑ์การแบ่งกลุ่มมีความเหมาะสม และสามารถระบุได้ว่า จะดำเนินการเรื่องใดก่อน-หลัง เช่น กลุ่มลำดับความสำคัญสูง กลุ่มลำดับความสำคัญปานกลาง เป็นต้น และในกรณีที่มีข้อจำกัดทางทรัพยากร เช่น งบประมาณที่จำกัด การจัดกลุ่มดังกล่าวสามารถคัดเลือกโครงการที่จะดำเนินการก่อนได้

1.2.2 KPI ที่แสดงถึงความสำเร็จและสะท้อนผลลัพธ์ที่คาดหวัง พิจารณาจาก :
– ทุกโครงการ / แผนงานควรมีการระบุถึง KPI ที่สะท้อนความสำเร็จและสะท้อนผลลัพธ์ที่คาดหวัง โดยเป้าหมายควรมีความท้าทาย รวมทั้งมีความชัดเจนและสามารถวัดได้อย่างเป็นรูปธรรม เช่น ในกรณีที่นำระบบสารสนเทศมาช่วยในการลดระยะเวลาการให้บริการ ควรมี KPI ที่เป็นระยะเวลาการให้บริการที่ลดลงในระหว่างการดำเนินงาน ณ สิ้นปีบัญชีแรก และระยะเวลาที่ลดลงในปีถัดไปหรือเมื่อการดำเนินงานเสร็จสิ้น เป็นต้น

 

แนวทาง/กรอบการบริหารความเสี่ยงทั่วทั้งองค์กร

การติดตามผล (Monitoring) และการตรวจสอบ ที่ผมจะนำเสนอในวันนี้ เป็นกระบวนการบริหารความเสี่ยง Enterprice Risk Management (COSO – ERM) ประการที่ 8 ซึ่งเป็นกระบวนการบริหารความเสี่ยงประการขั้นสุดท้าย แต่ก็มิได้หมายความว่าการจัดการในการบริหารความเสี่ยงจะสิ้นสุดลงเพียงแค่นี้ ยังมีหลักเกณฑ์ / หลักการอื่นอีกหลายอย่างที่ผู้บริหารสามารถนำมาใช้ในการบริหารความเสี่ยงขององค์กรได้ อาทิเช่น แนวทางการบริหารแผนงาน/โครงการขององค์กร ซึ่งผมจะได้นำเสนอในโอกาสต่อไป

การบริหารความเสี่ยงต้องได้รับการตรวจสอบ ซึ่งก็คือกระบวนการประเมินการมีอยู่และการทำงานของส่วนประกอบต่าง ๆ ตลอดเวลา ที่ประสบความสำเร็จโดยผ่านการตรวจติดตามกิจกรรมอย่างต่อเนื่อง การประเมินผลแยกต่างหากหรือทั้งสองอย่าง การตรวจติดตามอย่างต่อเนื่องเกิดขึ้นในกิจกรรมปกติของผู้บริหาร ขอบเขตและความถี่ของการประเมินผลแยกต่างหากขึ้นอยู่กับการประเมินค่าความเสี่ยงและความมีประสิทธิภาพของขั้นตอนการตรวจติดตามอย่างต่อเนื่อง ข้อบกพร่องในการบริหารความเสี่ยงของกิจการได้ถูกรายงานผลไปสู่ผู้บริหารระดับสูงและกรรมการ

การบริหารความเสี่ยงของกิจการเปลี่ยนแปลงตลอดเวลา การตอบสนองความเสี่ยงซึ่งเคยมีประสิทธิภาพอาจกลับกลายเป็นไม่มีความสัมพันธ์ การควบคุมกิจกรรมอาจมีประสิทธิภาพน้อยลงหรือไม่ได้แสดงออกมาก หรืออาจมีการเปลี่ยนแปลงวัตถุประสงค์ขององค์กร อาจเป็นผลมาจากการเข้ามาของบุคลากร การเปลี่ยนแปลงในโครงสร้างหรือทิศทางขององค์กร หรือการเข้ามาของกระบวนการใหม่ ๆ ในการเผชิญกับการเปลี่ยนแปลงนี้ ผู้บริหารจำเป็นต้องกำหนดว่าการทำหน้าที่ของแต่ละส่วนประกอบของการบริหารความเสี่ยงยังคงมีประสิทธิภาพอยู่ต่อไปหรือไม่

ลักษณะของการติดตามผล
– การประเมินความมีประสิทธิผลและความต่อเนื่องของกิจกรรมการควบคุม และกิจกรรมอื่น ๆ ที่ใช้ในการจัดการความเสี่ยง
– การกำหนดเป้าหมายและระดับจำกัดความเสี่ยงที่เหมาะสม
– การรวบรวมและบันทึกข้อมูลที่เหมาะสม
– การติดต่อสื่อสารเกี่ยวกับความเสี่ยงและกระบวนการต่าง ๆ อย่างสม่ำเสมอและเปิดเผยทั้งแบบเป็นทางการและไม่เป็นทางการ

รูปแบบของการติดตามผล
การติดตามผลและการตรวจสอบ สามารถทำได้ 2 ทาง คือ
1. การติดตามผลระหว่างดำเนินการอย่างต่อเนื่อง (Ongoing Monitoring) หมายถึงการสังเกตการติดตามการมีระบบรายงานความคืบหน้าของงาน รวมทั้งสอบทานหรือการยืนยันยอดระหว่างการปฏิบัติงาน
2. การประเมินอิสระ (Separate Evaluation) เป็นการประเมินตามช่วงเวลาที่กำหนดขึ้นหรือการประเมินอิสระ หมายถึง การประเมินอิสระโดยผู้ที่ไม่มีส่วนเกี่ยวข้องกับการกำหนดระบบควบคุมภายในขึ้น เพื่อให้สามารถแสดงความคิดเห็นได้อย่างเป็นอิสระ เช่น การประเมินจากผู้ตรวจสอบภายใน เป็นต้น

การติดตามผลทั้งระหว่างดำเนินงานอย่างต่อเนื่อง และการประเมินอิสระ เป็นการทำให้แน่ใจว่า ERM หรือ การบริหารความเสี่ยงทั่วทั้งองค์กร ถูกนำไปใช้ทั่วถึงทุกระดับในองค์กร การติดตามผลระหว่างดำเนินงานมีการโต้ตอบ หากสภาวการณ์เปลี่ยนแปลงไปในเวลาที่เป็นปัจจุบัน จึงมีประสิทธิภาพมากกว่าการประเมินอิสระ เพราะการประเมินแบบอิสระเกิดขึ้นภายหลังที่ทราบข้อสังเกตหรือข้อเท็จจริงแล้ว

ความถี่ของการประเมินอิสระขึ้นอยู่กับการพิจารณาของฝ่ายจัดการ โดยการกำหนด หรือพิจารณาธรรมชาติ หรือระดับของการเปลี่ยนแปลง ทั้งเหตุการณ์ภายในและภายนอกและความเสี่ยงที่เกี่ยวข้อง การตอบสนองต่อความเสี่ยงและการควบคุมที่มีและความเสี่ยงร่วม

ความสามารถและประสบการณ์ของบุคลากรในการจัดการกับการตอบสนองความเสี่ยง และการควบคุมที่เกี่ยวข้องและผลของการตรวจติดตามอย่างต่อเนื่อง โดยปกติการรวมกันของการตรวจติดตามอย่างต่อเนื่องและการประเมินผลแยกต่างหาก ทำให้มั่นใจได้ว่าการบริหารความเสี่ยงจะรักษาไว้ซึ่งประสิทธิภาพตลอดเวลา

การตรวจติดตามความเสี่ยงอย่างต่อเนื่องถูกสร้างขึ้นในกิจกรรมการปฏิบัติที่เกิดขึ้นใหม่ขององค์กร การตรวจติดตามความเสี่ยงอย่างต่อเนื่องแสดงออกมาตามเวลาจริง โต้ตอบอย่างเป็นพลวัตรกับเงื่อนไขที่เปลี่ยนแปลงและฝังติดอยู่กับองค์กร ผลก็คือการตรวจติดตามความเสี่ยงอย่างต่อเนื่องจึงมีประสิทธิภาพมากกว่าการประเมินผลแยกต่างหาก

เนื่องจากการประเมินผลแยกต่างหากเกิดขึ้นหลังจากข้อเท็จจริง ปัญหามักจะถูกแยกแยะได้เร็วกว่าจากการตรวจติดตามอย่างต่อเนื่องประจำวัน

หลายองค์กรที่มีกิจกรรมการตรวจติดตามอย่างต่อเนื่องถึงกระนั้นก็ยังทำการประเมินผลแยกต่างหากในการบริหารความเสี่ยง องค์กรซึ่งรับรู้ความจำเป็นในการประเมินผลแยกต่างหากควรมุ่งเน้นเรื่องการเพิ่มการตรวจติดตามอย่างต่อเนื่องโดยการ “สร้าง” และ “เพิ่ม” กิจกรรมที่เหมาะสมกับการตรวจสอบและการรายงานผล

 

เกณฑ์การประเมินการบริหารสารสนเทศของรัฐวิสาหกิจ ประจำปี 2553

เพื่อเป็นการเตรียมพร้อมสำหรับการประเมินการบริหารสารสนเทศของรัฐวิสาหกิจในปีหน้า วันนี้ผมจะขอนำเสนอเกณฑ์ในการประเมินการบริหารจัดการสารสนเทศของรัฐวิสาหกิจ ประจำปีบัญชี 2553 โดยเกณฑ์การประเมินนี้จะกล่าวถึง ระบบสารสนเทศที่สามารถนำมาช่วยสนับสนุนการดำเนินงาน และเพิ่มประสิทธิภาพของรัฐวิสาหกิจ และยังมีบทบาทเป็นโครงสร้างพื้นฐานที่จำเป็นต่อการดำเนินงานของรัฐวิสาหกิจ อันเนื่องมาจากความสามารถของระบบในการรองรับธุรกรรมจำนวนมาก

ดังนั้น ในการประเมินการบริหารจัดการสารสนเทศ จะพิจารณาจากแผนแม่บทสารสนเทศ (IT Master plan) ว่าจะสามารถตอบสนองต่อความต้องการของรัฐวิสาหกิจและนโยบายหรือไม่ รวมถึงการดำเนินงานตามแผนแม่บทฯ ที่องค์กรได้กำหนดขึ้นและผลลัพธ์ของการดำเนินงานดังกล่าว

หลักเกณฑ์การพิจารณาการบริหารการจัดการสารสนเทศ ซึ่งดำเนินการโดยคณะอนุกรรมการบริหารสารสนเทศของ สคร. – กระทรวงการคลัง แบ่งออกเป็น 2 ส่วน ได้ดังนี้

ส่วนที่ 1 การพิจารณาแผนแม่บทสารสนเทศ (IT Master Plan)

ส่วนที่ 2 การบริหารการจัดการสารสนเทศ
มีการวิเคราะห์แผนงาน/โครงการ เพื่อให้สอดคล้องกับแผนแม่บทสารสนเทศ ดังนี้ :-
2.1 ระบบสารสนเทศที่สนับสนุนการบริหารจัดการของรัฐวิสาหกิจ
2.2 ระบบสารสนเทศที่สนับสนุนการบริหารความเสี่ยง
2.3 ระบบสารสนเทศที่สนับสนุนการควบคุมและการตรวจสอบภายใน
2.4 ระบบสารสนเทศที่สนับสนุนการบริหารทรัพยากรบุคคล
2.5 ระบบสารสนเทศที่ตอบสนองต่อความต้องการของผู้รับบริการ ผู้มีส่วนได้ส่วนเสียภายนอกองค์กร และประชาชน รวมถึงนโยบายต่าง ๆ ของรัฐบาล
2.6 ระบบสารสนเทศที่ตอบสนองต่อความต้องการของผู้รับบริการ และผู้มีส่วนได้

ดูภาพจากด้านล่างนี้นะครับ แล้วจะเข้าใจชัดเจนยิ่งขึ้น

สำหรับรายละเอียดในแต่ละหัวข้อ ผมจะเล่าให้ฟังในครั้งหน้านะครับ

 

การตรวจสอบองค์กรที่ใช้คอมพิวเตอร์ (IT / Manual Audit) กับความเข้าใจในภาพโดยรวม

ในครั้งที่แล้ว ผมได้พูดถึงหลักฐานการตรวจสอบองค์กรที่ใช้คอมพิวเตอร์ ที่ผู้ตรวจสอบควรจะมีความรู้ความเข้าใจในองค์รวมที่เกี่ยวกับหลักฐานการตรวจสอบที่เกี่ยวข้อง เพราะมิฉะนั้น การวางแผนการตรวจสอบ ซึ่งเป็นกระบวนการที่สำคัญยิ่งในการตรวจสอบ ทั้งทางด้าน IT และ Non – IT นั้น จะดำเนินการไม่ได้อย่างมีคุณภาพ ประสิทธิภาพ ไม่เข้าใจถึงผลกระทบของรายการที่ประมวลผลโดยคอมพิวเตอร์ ตามรูปแบบของหลักฐานที่มีตามการตรวจสอบ

วันนี้ ผมจะได้อธิบายต่อไป โดยใช้แผนภาพประกอบเป็นส่วนใหญ่ เพื่อพิจารณาขอบเขตการตรวจสอบ เมื่อเทียบกับภาพโดยรวมของการตรวจสอบ ทางด้าน IT / Manual Audit ต่อไปนี้ครับ

จากแผนภาพแทนคำอธิบายข้างต้น ท่านที่สนใจในเรื่อง IT Audit และ Manual Audit ในองค์กรที่ใช้คอมพิวเตอร์ คงจะได้เห็นแนวทางในการก้าวสู่กระบวนการตรวจสอบ จากฐานความเสี่ยงในเรื่องที่เกี่ยวข้อง และบรรลุวัตถุประสงค์ตามขอบเขตของงานที่ต้องการตรวจสอบ ซึ่งจะได้อธิบายในตอนต่อไปนะครับ

 

มาบตาพุดมีความเสี่ยงสูงสุด และมีผลกระทบกระเทือนรุนแรงในระยะยาว ในระดับที่เกินกว่าประเทศยอมรับได้?

ผู้มีผลประโยชน์ร่วมหลายกลุ่ม มีผลกระทบหนักต่อกรณีศาลปกครองสูงสุด สั่งระงับ 65 โครงการมาบตาพุด ทั้งสมาคมอุตสาหกรรมก่อสร้าง และสมาคมธนาคารไทย โดยนายอภิศักดิ์ ตันติวรวงศ์ กรรมการผู้จัดการ ธนาคารกรุงไทยและประธานสมาคมธนาคารไทย กล่าวว่า

ผลกระทบจากการระงับโครงการลงทุนในมาบตาพุดจะมีความรุนแรงในระยะยาว และเป็นปัจจัยเสี่ยงต่อเศรษฐกิจไทยเป็นอันดับหนึ่ง ที่มีผลกระทบในวงกว้างมากกว่าปัจจัยทางการเมืองในอนาคต โดยเฉพาะในปี 2553 ที่การลงทุนจะเป็นเครื่องจักรสำคัญในการฟื้นเศรษฐกิจ อาจอยู่ในสภาพที่ไม่พร้อมใช้งานมากนัก

ทั้งการลงทุนภาครัฐและเอกชนจะต้องลดลง ซึ่งการลงทุนภาครัฐที่เป็นการลงทุนขนาดใหญ่ ที่ต้องการทำการวิเคราะห์ผลกระทบสิ่งแวดล้อม (อีไอเอ : EIA) หากโดนร้องเรียนก็อาจถูกชะลอได้ เป็นผลกระทบที่มีวงกว้างกว่าโครงการในมาบตาพุด หากว่าไม่รีบแก้ไขกฎระเบียบการลงทุนที่ชัดเจนได้ ตามที่เป็นข่าวในหนังสือพิมพ์กรุงเทพธุรกิจ ฉบับวันจันทร์ที่ 14 ธ.ค. 2552 และสื่อ อื่น ๆ ที่มีเนื้อหาแตกต่างกันนั้น

กรณีมาบตาพุด น่าจะมีคำถามที่สำคัญที่เกี่ยวข้องกับ GRC หรือการบริหารในลักษณะ Integrity – Driven Performance ในระดับประเทศเป็นอย่างยิ่งว่า การกำกับดูแลกิจการที่ดี (CG – Governance) การบริหารความเสี่ยงแบบบูรณาการ (R – Risk Managment) เพื่อก้าวไปสู่วัตถุประสงค์ในเรื่องต่าง ๆ เพื่อขับเคลื่อนภารกิจของรัฐบาลที่ต้องการความร่วมมือ และความเข้าใจของหน่วยงานต่าง ๆ เพื่อขับเคลื่อนเศรษฐกิจการเงิน และการลงทุนของประเทศ ซึ่งสามารถนำหลักการของ COSO – ERM มาใช้ได้นั้น

รัฐบาลมีความพร้อมและได้ใช้หลักการบริหารที่เป็นที่ยอมรับกันทั่วโลกนี้อย่างไรบ้าง และการปฏิบัติตามกฎหมาย กฎเกณฑ์ ระเบียบ กติกา สังคมของนานาชาติ และของประเทศ (C – Compliance) ที่ต้องมีมาตรฐานหรือ Best Practice เป็นกติกากำหนดให้มีการปฏิบัติ และเป็นที่ยอมรับกันได้ในสังคมทั่วโลกนั้น หน่วยงานภาครัฐ รวมทั้งภาครัฐบาล มีความพร้อม มีความเข้าใจในเรื่องนี้เพียงใด มีการปฏิบัติในเชิงกลยุทธ์ที่เหมาะสมหรือไม่

จากปัญหาที่ผ่านมา ผมมีข้อสังเกตเบื้องต้นว่า เรื่อง GRC ในระดับรัฐบาล รวมทั้งหน่วยงานของรัฐบางหน่วย มีความเข้าใจในการบริหารและดำเนินการค่อนข้างจำกัด โดยเฉพาะอย่างยิ่งการประสานงานข้ามหน่วยงานของภาครัฐ ในหน่วยงานต่าง ๆ ที่เกี่ยวข้อง

ดังนั้น กรณีของมาบตาพุดจึงเป็น กรณีศึกษา (Lesson – Learned) ที่น่าสนใจยิ่งว่า ภาครัฐ โดยเฉพาะอย่างยิ่งภาพรวมของทางการ ขาดมุมมองในการกำหนดระดับความเสี่ยง และความเสียหายที่ประเทศจะยอมรับได้ (Risk Appetite / Risk Tolerance) ในแง่มุมต่าง ๆ ซึ่งหากพิจารณาตามหลักการขององค์ประกอบของการบริหารความเสี่ยงในระดับองค์กร ที่ประยุกต์ใช้ได้ดีกับระดับความเสี่ยงของประเทศ เพื่อกำหนดกรอบการบริหาร การควบคุม กระบวนการจัดการที่เหมาะสม เพื่อลดระดับความเสี่ยงให้อยู่ในระดับที่ประเทศไทยยอมรับได้นั้น ยังไม่มีการดำเนินการกันอย่างเป็นรูปธรรมกัน

ความเสียหายที่เกิดขึ้นกับกลุ่มผู้มีผลประโยชน์ร่วมอื่น ๆ ที่มีผลกระทบทางลบ จากกรณีเหตุการณ์มาบตาพุด นอกเหนือจากที่ได้กล่าวไว้ข้างต้นแล้ว ก็ยังจะตามมาด้วย การขาดความเชื่อมั่นของประเทศไทย ทั้งในปัจจุบันและในอนาคต ซึ่งต้องใช้เวลายาวนานกว่าจะรื้อฟื้นความเชื่อมั่นมาสู่นักลงทุน ที่จะมีผลกระทบติดตามมาอย่างมากมายได้อีกมาก เช่น หากนักลงทุน/กลุ่มผู้มีผลประโยชน์ร่วมต่าง ๆ ฟ้องร้องค่าเสียหายจากรัฐบาลไทย โอกาสที่ทางรัฐบาลจะต้องรับความเสียหายมีสูงมาก +++

อีกครั้งหนึ่งที่ผมอยากจะใคร่กล่าวถึงปัญหาสิ่งแวดล้อม กรณีโรงไฟฟ้า อ.แม่เมาะ จ.ลำปาง ที่มีมลภาวะจากการผลิตกระแสไฟฟ้า ทางการก็ให้ กฟผ. แก้ไข แต่ไม่ได้หยุดการผลิตไฟฟ้าบริการประชาชน โดย กฟผ. ดำเนินการควบคู่กันไป ซึ่งในที่สุด กฟผ. ก็สามารถควบคุมมลภาวะจากการผลิตกระแสไฟฟ้า และก็สามารถดำเนินการผลิตกระแสไฟฟ้าต่อเนื่องได้จนถึงในปัจจุบัน

ส่วนตัวของผม ผมชอบกรณีการแก้ไขปัญหามลภาวะที่โรงไฟฟ้า อ.แม่เมาะ เป็นอย่างมากครับ และอดคิดไม่ได้ว่า กรณีมาบตาพุด น่าจะใช้เหตุการณ์และการดำเนินงานอย่างกรณีโรงไฟฟ้า อ.แม่เมาะ ก็น่าจะเป็นประโยชน์กับกลุ่มผู้มีผลประโยชน์ร่วม กับทุก ๆ กลุ่ม

ท่านลองเปรียบเทียบดูซิครับว่า หากทางการหรือรัฐบาล หรือหน่วยงานที่เกี่ยวข้อง ที่มิใช่หน่วยงานหนึ่งหน่วยงานใดเท่านั้นที่จะรับผิดชอบในเรื่องนี้ สามารถกำหนดระดับความเสี่ยงที่ยอมรับได้ หรือยอมรับไม่ได้ กรณีมาบตาพุด เมื่อเทียบกับสิ่งที่ได้รับ ที่เห็นภาพชัดเจนของกลุ่มผู้มีผลประโยชน์ร่วมทางด้านสิ่งแวดล้อม ดุลยภาพในการตัดสินใจควรจะอยู่ที่ใด และรัฐบาลควรจะมีหน่วยงานใดในการพิจารณา และดูแล ความเสียหายที่มีผลกระทบภาครัฐต่าง ๆ ทั้งที่เป็นความเสียหายทางการเงิน และมิใช่ทางการเงิน โดยกำหนดแนวทางการบริหารการจัดการที่เหมาะสมได้

ภาพด้านล่างต่อไปนี้ จะเป็นการอธิบายโดยใช้แผนภาพที่ผมเคยนำเสนอมาแล้วอีกครั้งหนึ่ง เพื่อให้ท่านผู้อ่าน โดยเฉพาะอย่างยิ่งทางการ/รัฐบาล ได้ประเมินตนเองของการบริหารที่มีความแตกต่างกันทางด้านความคิด และการปฏิบัติของหน่วยงานต่าง ๆ ดังนี้

ประเทศไทยของเราและหรือองค์กรของท่าน อยู่ในหมายเลขใดของกระบวนการจัดการบริหารความเสี่ยง

จากภาพข้างต้น โดยเฉพาะอย่างยิ่ง กรณีมาบตาพุด ท่านลองเลือกข้อ ซึ่งแสดงทิศทางการบริหารการจัดการในระดับประเทศ ที่ต้องการผู้นำที่มีความเข้าใจในการชี้ทิศทาง โดยการแก้ไขปัญหาล่วงหน้าโดยใช้หลักการบริหารเชิงรุก หรือการบริหารความเสี่ยงที่เป็นระบบ และมีการกำกับการบูรณาการ และการสอดประสานงานกันในหน่วยงานต่าง ๆ ของภาครัฐกันเป็นอย่างดี มิใช่ให้หน่วยงานหนึ่ง ออกความเห็นว่า ให้ดำเนินการก่อสร้างได้ และมีหน่วยงานของรัฐอีกแห่งหนึ่งบอกว่า ให้หยุดสร้าง และอีกหน่วยงานหนึ่งมีความเห็นว่า +++?? และทำให้ผู้กำกับภาพใหญ่ คือ รัฐบาล งุนงงว่าจะจัดการกับปัญหาเหล่านี้ได้อย่างไร และทำไมเหตุการณ์เหล่านี้จึงเกิดขึ้นได้

คำตอบในข้อสังเกตข้างต้นก็คือ ภาครัฐและผู้กำกับในระดับสูง ที่ต้องการกำกับในลักษณะ Integrity – Driven Performance และในระดับประเทศยังคงต้องปรับปรุงกระบวนการบริหารและการจัดการเชิงรุก โดยมองเหตุการณ์ไปข้างหน้า หรือมองไปในอนาคตว่า เหตุการณ์ที่ไม่พึงประสงค์ต่าง ๆ ที่มีผลกระทบเชิงลบต่อวัตถุประสงค์เชิงกลยุทธ์ ทั้งปัจจัยภายในและปัจจัยภายนอก ควรมีอะไรบ้าง และควรจะต้องจัดให้มีการควบคุมเช่นใด และควรจะมีการติดตามกำกับอย่างไร ซึ่งเรื่องนี้จะเกี่ยวข้องกับการบริหารในมุมมองของ GRC และการบริหารความเสี่ยงที่ใช้กรอบ COSO – ERM ทั้งสิ้น

ทำอย่างไร ประเทศไทยของเราจึงจะกำหนด Vision ในระดับประเทศ ซึ่งผมก็ไม่รู้ว่าคืออะไรในปัจจุบันนั้น และไม่ทราบว่ามีรัฐบาลใด มีการกำหนด Vision ของประเทศเป็นลายลักษณ์อักษร และสื่อสารให้คนไทยได้รับทราบ โดยเฉพาะอย่างยิ่ง ให้หน่วยงานทั้งภาครัฐและเอกชนได้รับทราบร่วมกัน เพื่อขับเคลื่อนพันธกิจไปสู่วิสัยทัศน์ที่ต้องการนั้นคืออะไร

ผมลองคิดเล่น ๆ นะครับว่า ถ้าเราจะกำหนด Vision ของประเทศ โดยมีข้อคิดที่นำไปสู่การปฏิบัติโดยใช้คำว่า … “ปลูกฝังสังคมไทยให้เป็นนักคิดอย่างสร้างสรรและนำไปปฏิบัติ เพื่อให้ประเทศไทยก้าวไปสู่การเจริญเติบโตอย่างยั่งยืนได้” หรือ…

ผมทราบว่าประเทศเพื่อนบ้านของเราบางประเทศ มีขนาดเล็กกว่าประเทศไทยด้วยซ้ำ ได้กำหนด Vision ของประเทศว่า “ปี ค.ศ. 2020 เราจะเป็นประเทศที่พัฒนาแล้ว” ท่านคิดว่ามีหมายความที่ตั้งเป้าประสงค์ของประเทศในระดับที่ท้าทาย ที่รัฐบาลและภาคเอกชนจำเป็นต้องร่วมกันกำหนดพันธกิจของประเทศ ในแง่มุมต่าง ๆ เพื่อก้าวไปสู่วิสัยทัศน์ที่ท้าทายนั้นให้จงได้

สำหรับกรณีมาบตาพุดนี้ ท่านคิดว่า ประเทศไทยยังขาดองค์รวมของการบริหารและการจัดการแบบบูรณาการ ที่จะต้องเริ่มต้นด้วยความเข้าใจวิสัยทัศน์ และพันธกิจ และกระบวนการบริหารจัดการบริหารความเสี่ยง โดยกำหนดกลยุทธ์ และแผนงาน/โครงการที่สัมพันธ์กันกับพันธกิจและวิสัยทัศน์นั้น ซึ่งขณะนี้ประเทศเรายังขาดการกำหนดวิสัยทัศน์ระดับประเทศที่ชัดเจนหรือไม่ครับ?

 

แนวทาง/กรอบการบริหารความเสี่ยงทั่วทั้งองค์กร

วันนี้ผมจะมาเล่าต่อให้จบในเรื่องของข้อมูลและการสื่อสาร เพื่อที่ครั้งหน้าจะได้เริ่มกันในกระบวนการบริหารความเสี่ยง Enterprise Risk Management (COSO – ERM) กระบวนการขั้นที่ 8 นั่นก็คือ การติดตามผลและการตรวจสอบ ซึ่งเป็นกระบวนการขั้นสุดท้ายของกระบวนการบริหารความเสี่ยง ทั้ง 8 ประการกันครับ

การติดต่อสื่อสารภายนอกและการนำไปประยุกต์ใช้ขององค์กรทั่วไป ด้วยการเปิดช่องทางการสื่อสารภายนอก ลูกค้าและ Supplier สามารถส่งข้อมูลสำคัญโดยการออกแบบหรือคุณภาพสินค้าหรือการบริการ เพื่อให้บริษัทหาความต้องการหรือความชอบของลูกค้า การเปิดเผยข้อมูลเรื่องความเสี่ยงที่ยอมรับได้และระดับความเสี่ยงที่ยอมรับได้ขององค์กรเป็นสิ่งสำคัญ เฉพาะเจาะจงสำหรับองค์กรซึ่งเชื่อมโยงกับส่วนอื่น ๆ ใน ส่วน Supply Chain หรือ การค้า การบริการ ทาง e-Business ดังเช่นตัวอย่าง ผู้บริหารพิจารณาว่าความเสี่ยงที่ยอมรับได้ และระดับความเสี่ยงที่ยอมรับได้เข้ากันได้กับคู่ค้าอย่างไร มั่นใจได้ว่าจะไม่ให้ความเสี่ยงที่มากเกินไปกับคู่ค้าทั้งหลาย

การติดต่อสื่อสารจากภายนอก มักจะให้ข้อมูลโดยการทำงานของการบริหารความเสี่ยง ความเข้าใจของผู้ตรวจสอบภายนอกในเรื่องกลยุทธ์องค์กร การปฏิบัติการ และประเด็นทางธุรกิจที่เกี่ยวข้องและระบบควบคุมที่จัดให้ผู้บริหาร และความเสี่ยงที่สำคัญของกรรมการและการควบคุมข้อมูล

การติดติดต่อสื่อสารกับผู้มีผลประโยชน์ ผู้สร้างกฎระเบียบ นักวิเคราะห์ทางการเงินและฝ่ายต่าง ๆ ที่อยู่ภายนอก ทำให้ได้ข้อมูลเกี่ยวกับความต้องการของพวกเขา เพื่อให้เกิดความเข้าใจเหตุการณ์และความเสี่ยง การติดต่อสื่อสารความมีความหมาย ตรงกับปัญหา และตรงเวลา และปฏิบัติตามกฎหมายและกฎระเบียบ
หน้าที่ของผู้บริหารในการติดต่อสื่อสารกับภายนอก คือเปิดเผยและเตรียมพร้อม และจริงจังในการติดตามผล

วิธีการในการติดต่อสื่อสาร
การติดต่อสื่อสาร อาจทำในรูปแบบของคู่มือนโยบาย บันทึก e-mail บอร์ดประกาศข่าว และข้อความจากวีดีโอเทป หากเป็นข้อความที่ส่งทางวาจา สำหรับกลุ่มใหญ่ การประชุมเล็ก ระดับของเสียงและภาษากายจะช่วยเน้นในสิ่งที่พูด

ข้อมูลที่นำเสนอหรือกำหนด สามารถส่งผลต่อการตีความของข้อมูลได้อย่างไร และความเสี่ยงและโอกาสถูกมองได้อย่างไร

แนวโน้มของมนุษย์เกี่ยวกับการตัดสินใจได้แสดงออกมาระหว่างหน่วยธุรกิจ การปฏิบัติหน้าที่และกิจกรรม เช่น บุคลากรบางคนมีความเคยชินที่จะรับเงื่อนไขความเสี่ยงกว่าในเรื่องผลกำไร ในขณะที่คนอื่น ๆ อาจตามหาความสูญเสียต่ำสุด จากการรับรู้เกี่ยวกับแนวโน้มของมนุษย์เหล่านี้ ผู้บริหารของ องค์กร สามารถที่จะกำหนดข้อมูล เพื่อช่วยเสริมความเสี่ยงที่ยอมรับได้และพฤติกรรมตลอดทั่วทั้งองค์กร

เครื่องมือที่มีพลังในการสื่อสารอีกอย่างนั้น พบได้จากการที่ผู้บริหารติดต่อกับลูกน้อง ผู้จัดการควรจำไว้ว่าการกระทำเสียงดังกว่าคำพูด ในทางกลับกันการกระทำการปฏิบัติที่ได้รับอิทธิพลจากประวัติศาสตร์และวัฒนธรรมขององค์กร จากการสังเกตการณ์ว่าหัวหน้างานได้จัดการกับสถานการณ์เช่นนี้ได้อย่างไร
องค์กรที่มีประวัติของการปฏิบัติการแบบบูรณาการ และมีวัฒนธรรมที่คนทั้งองค์กรเข้าใจ จะพบความยากในการติดต่อสื่อสารข้อความ องค์กรที่ปราศจากธรรมเนียมปฏิบัติเช่นนี้จำเป็นต้องเพิ่มความพยายามในการหนทางติดต่อสื่อสาร

จากนี้ไปดูภาพขององค์ประกอบที่สำคัญของข้อมูลและการสื่อสารกันครับ

 

เกณฑ์การประเมินการบริหารสารสนเทศของรัฐวิสาหกิจ ประจำปี 2553

ครั้งก่อน เราได้จบเกณฑ์การประเมินการบริหารความเสี่ยงของรัฐวิสาหกิจ ประจำปี 2553 ไปแล้วนั้น มีผู้บริหารของรัฐวิสาหกิจหลายท่าน อาจมีความเข้าใจการประเมินการบริหารความเสี่ยงที่เพิ่มแนวทางการบริหาร GRC – Governance + Risk Management + Compliance และ Portfolio View of Risk ซึ่งเป็นเรื่องใหม่ทั้ง 2 เรื่องพอสมควร

ผมจึงขอสรุปคุณลักษณะของการบริหาร GRC อย่างสั้นที่สุดมาให้ท่านได้ทราบตาม Slide ที่ปรากฎด้านล่างนี้ครับ

สำหรับ Portfolio View of Risk ท่านอาจจะทำความเข้าใจได้ง่ายขึ้น เมื่อเห็นแผนภาพด้านล่างนี้ด้วยเช่นกัน

กล่าวโดยสรุปสำหรับ Portfolio View of Risk ในอีกมุมมองหนึ่งของการอธิบายก็คือ การบริหารจัดการกับความเสี่ยง ในมุมมมองของการควบคุมความเสี่ยง 4 เรื่อง หลัก ๆ ตามหลักการของ COSO – ERM คือ Strategy Riks – S, Operational Risk – O, Financial and Reporting Risk – F, Compliance Risk – C นั้น จะมีแผนงาน/โครงการต่าง ๆ เพื่อการจัดการกับความเสี่ยง ตามหัวข้อใหญ่ S – O – F – C ในหลายเรื่อง หรือในหลายโครงการด้วยกัน และในแต่ละเรื่องจะมีการกำหนดระดับความเสี่ยงที่ยอมรับได้ (Risk Appetite) และ/หรือ Risk Tolerance ระดับความเสี่ยงที่เบี่ยงเบนจาก Risk Appetite ว่าในที่สุดแล้ว จะมีผลกระทบต่อเป้าประสงค์ของ Performance ตามมุมมองของ Balanced Scorecard – Business BSC ซึ่งใช้แนวทาง COSO – ERM ในการประเมิน เพราะเป็นการประเมินทางด้าน Non – IT เป็นหลัก

นอกจากนี้ ผู้บริหารและผู้ที่เกี่ยวข้องยังต้องประเมินผลกระทบต่อ Conformance หรือการปฏิบัติตามมาตรฐาน (Standards) หรือกรอบการปฏิบัติงานที่ดี (Best Pactice Framework) และกฎหมาย กฎเกณฑ์ที่เกี่ยวข้อง ซึ่งเป็นที่ยอมรับกันทั่วไป โดยปกติจะใช้กรอบการปฏิบัติที่ดีเพื่อประเมินผลกระทบจากความเสี่ยงทางด้าน COSO – ERM และ IT นั่นก็คือ การใช้ ITG – CobiT มาเกี่ยวข้องในการประเมิน โดยเปรียบเทียบกับ IT Balanced Scorecard โดยปกติจะเชื่อมโยงกับ Best Pactice Standard ต่าง ๆ เช่น ISO 27001, ISO 20000, ISO 9001:2000 และทั้งหมดจะเชื่อมโยงกับ Process and Procedures อย่างเป็นกระบวนการ เช่น ITIL, Security Principles และ Quality Assurance – QA Procedure ซึ่งอธิบายได้ง่ายกว่ามากโดยดูจากแผนภาพด้านล่างนี้

ทั้งการประเมินประสิทธิภาพ ประสิทธิผลในการดำเนินงานทางด้าน Performance และ Conformance ตามที่กล่าวข้างต้น จะต้องได้ดุลยภาพในการจัดการที่ดี ทั้งด้าน IT และ Non – IT นี่ก็เป็นส่วนหนึ่งของกระบวนการบริหาร GRC และเป็นการขับเคลื่อน Integrity – Driven Performance อีกด้วย

ขอให้ดูรูปภาพที่เกี่ยวข้องนะครับ ท่านจะได้เข้าใจหลักการบริหารแบบบูรณาการในมิติต่าง ๆ เพิ่มขึ้น

ผมตั้งใจที่จะสรุปแต่อธิบายยาวไปนิดนึงนะครับ ก่อนที่จะเริ่มนำหลักเกณฑ์การประเมินการบริหารสารสนเทศของรัฐวิสาหกิจ ประจำปี 2553 ที่กำหนดโดยคณะกรรมการประเมินผลรัฐวิสาหกิจ ด้านสารสนเทศ ของกระทรวงการคลังมาเล่าสู่กันฟังในตอนต่อไป

 

หลักฐานการตรวจสอบองค์กรโดยใช้คอมพิวเตอร์

วันนี้ ผมจะมาเล่าสู่กันฟังในเรื่องเกี่ยวกับการตรวจสอบองค์กรโดยใช้คอมพิวเตอร์ จากครั้งที่ผ่าน ๆ มา ผมเคยได้พูดถึงขั้นตอนของการตรวจสอบทั้งทางด้าน IT Audit และ Non – IT Audit ไปแล้ว สำหรับครั้งนี้ผมจะนำเสนอเกี่ยวกับหลักฐานของการตรวจสอบทางด้านคอมพิวเตอร์ว่า ต้องมีเอกสาร หรือหลักฐานที่ใช้ในการตรวจสอบอย่างไรบ้าง

นอกเหนือจากการยกตัวอย่างในการตรวจสอบระบบงานเดียวกัน แต่รูปแบบของหลักฐานเปลี่ยนแปลงไป การวางแผนการตรวจสอบและกระบวนการตรวจสอบ เพื่อให้ได้หลักฐาน เพื่อสนับสนุนความเห็นในการให้ข้อแนะนำ ในเรื่องต่าง ๆ ที่เกี่ยวข้อง ก็มีความแตกต่างเป็นอย่างมาก

ท่านผู้ตรวจสอบด้าน IT และ Non – IT ลองพิจารณาดูซิครับว่า หากท่านหรือผู้ร่วมงานของท่าน ไม่เข้าใจผลกระทบของรูปแบบของหลักฐานที่เปลี่ยนแปลงไป จากกระบวนการที่ใช้คอมพิวเตอร์ ที่มีคุณลักษณะและกระบวนการทำงานที่แตกต่างกัน และด้วยเทคนิคที่ก้าวหน้าไปอย่างรวดเร็วในปัจจุบัน และมีผลต่อรูปแบบของกระบวนการทำงาน ผลกระทบต่อความเสี่ยงในมุมมองต่าง ๆ ทั้งด้าน IT Risk และ Risk IT ที่มีผลต่อ Business Process และ Business Objective ท่านและทีมงานของท่านจะมีวิธีการวางแผนการตรวจสอบอย่างไร จึงจะได้ผลดี และมีคุณภาพที่น่าเชื่อถือได้

ในกรณีที่ท่านเป็นคณะกรรมการตรวจสอบ หรือคณะกรรมการบริหารความเสี่ยง หรือคณะกรรมการดูแลทางด้าน Compliance ท่านควรจะตั้งคำถามแบบใด จึงจะมั่นใจอย่างสมเหตุสมผลว่า บุคลากรที่ท่านดูแลนั้น มีความสามารถ และมีความเข้าใจในงานที่ตรวจสอบ ตามสภาพแวดล้อมที่เปลี่ยนแปลงไปอย่างมากมาย และให้ข้อสังเกตที่มีคุณค่าเพิ่มได้อย่างเหมาะสม

เรื่องนี้ ผมเคยให้คำแนะนำวิธีการตั้งคำถามในรูปแบบต่าง ๆ ทั้งในลักษณะที่ผู้บังคับบัญชาอาจตั้งคำถามสอบถามผู้ใต้บังคับบัญชา หรือผู้ตรวจสอบต้องการตั้งคำถามกับผู้รับการตรวจสอบในแง่มุมต่าง ๆ ซึ่งมีความหลากหลาย และมีความซับซ้อนเป็นอย่างมาก ที่มีผลกระทบทางด้าน People Risk + Process Risk + Technology Risk (PPT)

ในการตรวจสอบ ผู้ตรวจสอบจำเป็นต้องหาหลักฐานเพื่อยืนยันความเพียงพอของการควบคุมในระบบการประมวลผล ซึ่งในระบบที่ทำด้วยมือ หลักฐานส่วนใหญ่มักได้แก่ เอกสารต่าง ๆ ที่สามารถมองเห็นได้ แต่ในระบบงานที่ใช้คอมพิวเตอร์ประมวลผล รูปแบบของหลักฐานได้เปลี่ยนแปลงไปอยู่ในรูปของสื่อแม่เหล็กเป็นส่วนใหญ่ ทำให้ไม่สามารถใช้วิธีการตรวจสอบแบบเดิมที่อาศัยเอกสารเป็นสำคัญต่อไปได้

ดังนั้น การที่ผู้ตรวจสอบจะสามารถตรวจสอบทาง IT ให้ได้ผลดีจึงจำเป็นต้องทราบถึงผลกระทบของเทคโนโลยีทางคอมพิวเตอร์ที่มีต่อหลักฐานที่จะใช้ในการตรวจสอบ เพื่อกำหนดแนวทางการตรวจสอบที่เหมาะสมต่อไปได้

รูปแบบของหลักฐานที่ผู้ตรวจสอบมักใช้ในการตรวจสอบระบบที่ทำด้วยมือ
1. เอกสารต้นกำเนิด เช่น แบบฟอร์มใบคำขอ
2. หลักฐานการอนุมัติ คือ การลงลายมือชื่อของผู้มีอำนาจในเอกสารต้นกำเนิดและการประทับวันที่และเวลาที่จัดทำเอกสารและผ่านการอนุมัติ
3. หลักฐานการประมวลผล เช่น แบบฟอร์มแสดงการคำนวณ คู่มือที่แสดงรายละเอียดข้อมูลหลักและกระดาษจากเครื่องบวกเลข
4. หลักฐานทางผลลัพธ์ เช่น เช็ค รายงานแสดงรายการเคลื่อนไหวทางบัญชี ใบเสร็จรับเงิน และรายงานต่าง ๆ

การเปลี่ยนแปลงลักษณะของหลักฐานเมื่อมีการนำเครื่องคอมพิวเตอร์มาใช้
1. รายการที่ทำโดยคน
ในระบบที่ทำด้วยมือ บุคคลมักเป็นผู้ให้กำเนิดรายการ และส่งเข้าสู่ระบบประมวลผล แต่ในกรณีที่ใช้คอมพิวเตอร์ ระบบงานคอมพิวเตอร์อาจให้กำเนิดรายการเองโดยอัตโนมัติ

2. ข้อมูลนำเข้าที่บันทึกในกระดาษ
เมื่อมีรายการเกิดขึ้น ในระบบที่ทำด้วยมือมักมีการจัดทำและบันทึกข้อมูลในเอกสารที่เป็นกระดาษ แต่ในระบบคอมพิวเตอร์ ข้อมูลจะบันทึกผ่านเครื่องเทอร์มินอล ซึ่งจะไม่ปรากฏอยู่ในเอกสารอีก เช่น การเปลี่ยนแปลงอัตราดอกเบี้ย พนักงานจะป้อนอัตราใหม่เข้าไปปรับปรุงที่แฟ้มข้อมูลหลักของลูกค้าเงินให้กู้ยืม ผ่านทางเครื่องเทอร์มินอลได้โดยทันที

3. การอนุมัติรายการ
ในระบบที่ทำด้วยมือ จะมีการอนุมัติรายการโดยผู้มีอำนาจอนุมัติ ลงลายมือชื่อ ชื่อย่อ หรือประทับตรายางแสดงการอนุมัติ แต่ในระบบคอมพิวเตอร์ จะมีการกำหนดการอนุมัติไว้ล่วงหน้า เช่น การกำหนดวงเงินการให้สินเชื่อในระบบ เมื่อมีการให้สินเชื่อระบบจะตรวจสอบว่าเกินวงเงินหรือไม่ หากไม่เกินที่กำหนด ระบบก็จะอนุมัติให้รายการผ่านได้โดยอัตโนมัติ

นอกจากนี้ การอนุมัติอาจกระทำได้ในรูปของการใช้ Password การรูดบัตรที่มีรหัสลับบันทึกไว้บนแถบแม่เหล็ก หรือการกำหนดระดับกุญแจที่ต้องใช้ประกอบการทำรายการที่เครื่องเทอร์มินอล

4. การจัดส่งข้อมูล
ในระบบที่ทำด้วยมือจะมีการจัดส่งข้อมูลในรูปของเอกสาร โดยใช้คนนำส่ง ส่งเป็นไปรษณีย์ภัณฑ์หรือส่งไปทางเรือ แต่ในระบบงานคอมพิวเตอร์ จะมีการจัดส่งข้อมูลหลังจากที่ได้บันทึกแปลงรหัส และรวบรวมไว้พร้อมแล้วในลักษณะของข้อมูลทางอิเล็คทรอนิกส์

5. การประมวลผลในรูปแบบที่มองเห็นได้
ในระบบที่ทำด้วยมือ มักมีการกำหนดขั้นตอนการประมวลผลแต่ละขั้นโดยไม่ซับซ้อน เพื่อลดความผิดพลาดที่อาจเกิดขึ้นจากบุคคลให้มากที่สุด แต่ในระบบคอมพิวเตอร์ การประมวลผลจะเป็นไปโดยอัตโนมัติตามขั้นตอนที่กำหนดไว้ในโปรแกรมคำสั่งงาน ซึ่งมักมีความสลับซับซ้อน อันเนื่องมาจากความต้องการให้เครื่องคอมพิวเตอร์สามารถปฏิบัติงานได้อย่างรวดเร็วและถูกต้องแม่นยำ

6. ข้อมูลหลัก
ข้อมูลหลักหรือข้อมูลที่ถาวรที่จำเป็นต้องใช้ในการประมวลผล มักบันทึกอยู่ในรูปข้อมูลที่อ่านได้ด้วยตาเปล่า แต่ในระบบคอมพิวเตอร์จะบันทึกอยู่ในรูปของสื่อแม่เหล็ก

7. รายงานข้อมูลผลลัพธ์
ในระบบที่ทำด้วยมือ ข้อมูลที่ได้จากการประมวลผลมักอยู่ในรูปของเอกสาร เช่น รายงาน เช็คที่พิมพ์รายการเรียบร้อย แต่ในระบบงานคอมพิวเตอร์มักไม่เป็นเช่นนั้น เช่น การโอนเงิน จะใช้วิธีโอนเงินทางอิเล็คทรอนิกส์ และข้อมูลผลลัพธ์ก็จะนำเสนอบนจอภาพ และในบางระบบอาจแสดงเฉพาะข้อมูลที่ไม่ปกติให้ทราบเพื่อปฏิบัติการต่อไปก็ได้

8. การจัดแฟ้มเอกสาร
ในระบบที่ประมวลผลด้วยมือ มักมีการจัดเก็บเอกสารข้อมูลในลักษณะที่เราพบเห็นกันโดยทั่วไป และเมื่อต้องการใช้ก็หาได้ไม่ลำบากนัก แต่ในระบบคอมพิวเตอร์มักเก็บข้อมูลอยู่ใน Disks ซึ่งการเรียกใช้หรือดึงข้อมูลออกมานั้นต้องใช้โปรแกรมคำสั่งงานดึงข้อมูลออกมาตามความต้องการ

9. ร่องรอยการตรวจสอบ
ในระบบที่ทำด้วยมือ ข้อมูลต่าง ๆ มักบันทึกอยู่ในรูปของเอกสาร ซึ่งจะมีทั้งข้อมูลต้นกำเนิดลายมือ ซึ่งแสดงการอนุมัติ วิธีการประมวลผล และผลลัพธ์ ซึ่งเพียงพอแก่การใช้เป็นร่องรอยในการตรวจสอบ ไม่ว่าจะเริ่มจากจุดกำเนิดรายการไปถึงยอดจำนวนรวม หรือย้อนกลับจากยอดจำนวนรวมไปยังเอกสารต้นกำเนิด

แต่ในระบบงานคอมพิวเตอร์ร่องรอยในการตรวจสอบมักกระจายกันอยู่ตามจุดต่าง ๆ ขึ้นอยู่กับลักษณะของระบบฐานข้อมูล และข้อมูลส่วนใหญ่เก็บอยู่ในรูปของสื่อแม่เหล็ก ผู้ตรวจสอบจึงจำเป็นต้องเข้าใจถึง Concept ของระบบการประมวลผล จึงจะสามารถทราบถึงขั้นตอนการประมวลผลและร่อยรอยที่จะใช้ในการตรวจสอบ ซึ่งก็ไม่ใช่เรื่องที่ง่ายนัก โดยเฉพาะอย่างยิ่งในระบบที่ค่อนข้างสลับซับซ้อน

10. คู่มือปฏิบัติงาน
ในระบบที่ทำด้วยมือ มักมีคู่มือปฏิบัติงานที่แสดงรายละเอียดแต่ละขั้นตอนของการประมวลรายการ เพื่อเป็นแนวทางสำหรับผู้ปฏิบัติงาน แต่ในระบบงานคอมพิวเตอร์คู่มือเหล่านี้อาจอยู่ในรูปของ Computer Program Listing, Data Dictionary Listing และเอกสารที่ผู้ขาย Software มอบให้แก่องค์กร

11. การติดตามรายการ
ในระบบที่ทำด้วยมือ ผู้มีอำนาจอนุมัติมักสอบทานการประมวลผลข้อมูลเพื่อให้เกิดความมั่นใจว่าข้อมูลดังกล่าวมีความสมเหตุสมผล มีความถูกต้องครบถ้วนสมบูรณ์และผ่านการอนุมัติ แต่ในระบบงานคอมพิวเตอร์โปรแกรมที่ได้กำหนด Logic ไว้ล่วงหน้าจะเช็คสอบข้อมูลเหล่านี้โดยอัตโนมัติ การใช้คนสอบทานแทบจะเป็นไปไม่ได้ โดยเฉพาะอย่างยิ่งในระบบคอมพิวเตอร์ที่มีความสลับซับซ้อนและเป็นระบบรวม และมีวงจรการประมวลผลที่สั้นขึ้นกว่าเดิม

12. การแบ่งแยกหน้าที่
ในระบบที่ทำด้วยมือ การแบ่งแยกหน้าที่ มักกระทำโดยการแบ่งแยกงาน ในระหว่างบุคคลต่าง ๆ เพื่อเกิดการควบคุมซึ่งกันและกัน ซึ่งก็มักเพียงพอและไม่ใคร่มีปัญหา แต่ในระบบงานคอมพิวเตอร์การแบ่งแยกงานในระหว่างบุคคลต่าง ๆ นั้นยังไม่เพียงพอ จำเป็นต้องมีการแบ่งแยกงานระหว่างขั้นตอนการประมวลผลโดยอัตโนมัติในแต่ละขั้นด้วย

13. การประมวลผลรายการจำนวนมาก
ในระบบที่ทำด้วยมือ มักใช้วิธี Resequencing หรือ Matching Diverse Data Elements แต่วิธีดังกล่าวก็ยุ่งยากและสิ้นเปลือง และจะกระทำเมื่อจำเป็นเท่านั้น ในระบบคอมพิวเตอร์ ข้อมูลจำนวนมากเหล่านั้นสามารถนำไปเก็บไว้ใน Database เพียงอันเดียว

และเนื่องจากคอมพิวเตอร์มีความสามารถในการประมวลผลด้วยความเร็วสูงมาก จึงสามารถนำเสนอข้อมูลดังกล่าวได้ในรูปแบบที่ต้องการได้ทุกเมื่อ และสามารถทำการวิเคราะห์ข้อมูลได้ละเอียดซับซ้อนกว่า อีกทั้งจะเรียกใช้ข้อมูลมากกว่าหนึ่งครั้งก็ได้