Information Technology Governance

หลังจากที่ผมได้หยุดพักผ่อนเนื่องในวันสงกรานต์หลายวัน และหลังจากนั้นก็มีกิจกรรมที่ทำให้ไม่สามารถ Update ข้อมูลได้ตามที่ตั้งใจไว้ ก็ต้องขออภัยด้วยนะครับ

พอดี ผมได้อ่านพบข่าวที่น่าสนใจในหนังสือพิมพ์เกี่ยวกับการทุจริต วงเงินประมาณ 400 ล้านบาท ของธนาคารอาคารสงเคราะห์ (ตามข่าว) ที่เกี่ยวข้องกับ Operational Risk ซึ่งประกอบไปด้วย People Risk + Process Risk + Technology Risk (PPT) ซึ่งเป็นความเสี่ยงที่มีน้ำหนักสูงสุดของความเสี่ยงในวงการสถาบันการเงิน และไม่ใช่สถาบันการเงิน ทำให้นึกถึงเหตุการณ์กรณีทุจริตของธนาคารยักษ์ใหญ่อันดับ 2 ของประเทศฝรั่งเศส ซึ่งเกิดการทุจริตเมื่อประมาณปีเศษ ๆ และมีความเสียหายสูงถึง ประมาณ 3 แสนล้านบาท

การบริหารความเสี่ยงเป็นการบริหารเชิงรุกที่จะต้องป้องกันปัญหาก่อนที่จะเกิดปัญหา โดยมองเหตุการณ์ที่อาจจะเกิดขึ้นในภายภาคหน้า ไม่ว่าจะเป็นปัจจัยภายในหรือปัจจัยภายนอก ตามหลักการของ COSO – ERM ที่เกี่ยวข้องกับการบริหารความเสี่ยงระดับองค์กร เพื่อบรรลุวัตถุประสงค์หลัก ๆ 4 ด้านด้วยกันก็คือ S – O – F – C
S = Strategic, O = Operational, F = Financial and Reproting, C = Compliance

ผมยังจะไม่วิจารณ์มุมมองที่เกี่ยวข้องกับการบริหารความเสี่ยงที่มีผลจาก Operational Risk ที่เกิดจาก PPT ของธนาคารอาคารสงเคราะห์ตามที่เป็นข่าวทั้งระบบ แต่จะให้ข้อสังเกตว่า กรณีการทุจริตของธนาคาร Societe Generale ซึ่งเกิดการทุจริตในการค้าเงินอันเกิดมาจาก Operational Risk เช่นกันนั้น เป็นเรื่องที่น่าศึกษาอย่างยิ่ง เพราะมีความเสียหายอย่างมหาศาลที่ผู้บริหารทุกระดับไม่อาจจะติดตาม ไม่อาจตรวจสอบ และรวมทั้ง ไม่อาจกำกับความเสี่ยงที่เกิดจาก PPT โดยเฉพาะอย่างยิ่งบุคลากรที่เกี่ยวข้องนั้น มีความเก่งทางด้าน IT เป็นเลิศ

ผมจึงขอให้ข้อสังเกตที่เป็นบทความของ FSA ที่เกี่ยวข้องกับการสอบสวนกรณีนี้ และถือว่าเป็น Lesson Learned ที่ดีมากในวงการสถาบันการเงิน และวงการ IT แต่เป็นที่น่าเสียดายอย่างยิ่ง เพราะเท่าที่ผมทราบ มีสถาบันการเงินจำนวนมากที่ไม่ได้นำ Lesson Learned กรณี Societe Generale มาใช้ในการประเมินตนเองในการบริหารความเสี่ยง ในลักษณะของ CSA – Control Self Assessment เพื่อหาทางป้องกันปัญหาที่อาจจะเกิดขึ้นได้ในทำนองเดียวกัน หรือคล้าย ๆ กัน

บทความที่รายงานโดย FSA บางส่วนที่น่าจะเป็นประโยชน์อย่างยิ่งต่อการทำ CSA หรือ QAR (Quality Assurance Review) เพื่อสร้างคุณค่าเพิ่มโดยเสียเงินน้อยที่สุด หรือแทบไม่ต้องเสียเงินเลยนั้น สรุปได้ดังนี้

วันที่ 24 มกราคม 2551 Societe Generale (SG) ได้ประกาศว่า เมื่อวันที่ 18 มกราคม 2551 SG ตรวจพบการมีฐานะด้านสินทรัพย์จากธุรกรรม Futures ประมาณ 50,000 ล้านดอลล่าร์สหรัฐ
ในตลาด European Stock Market Indices ถึงสามแห่ง ซึ่งธุรกรรมดังกล่าวทำโดย Trader เพียงคนเดียว และมีผลให้ SG ขาดทุนถึง 4,900 ล้านดอลล่าร์สหรัฐ ก่อนที่จะมีการปิดฐานะเหล่านั้น (Trader ได้ทำการทุจริตเป็นระยะเวลาต่อเนื่องยาวนาน โดยที่ระบบตรวจสอบควบคุมของทางธนาคารไม่สามารถตรวจพบได้)

หลังจากที่ SG ได้มีการประกาศการทุจริตและผลขาดทุนออกมา Financial Services Authority (FSA) ซึ่งเป็นผู้กำกับดูแล สง.ในประเทศอังกฤษ ได้ติดตามข่าวสารและติดต่อกับผู้กำกับดูแลในต่างประเทศอย่างใกล้ชิด เนื่องจาก FSA ตระหนักว่าควรมีการศึกษากรณีทุจริตดังกล่าวเพื่อป้องกันไม่ให้เกิดเหตุการณ์ที่เช่นนี้อีกในอนาคต

FSA ได้หารืออย่างไม่เป็นทางการกับ Trading Bank ขนาดใหญ่ประมาณ 40-50 แห่ง ว่ามีความเห็นอย่างไรกับกรณี SG พบว่าธนาคารส่วนใหญ่มีการหารือกันภายในเกี่ยวกับกรณีดังกล่าวเพื่อประเมินตนเอง และหลายแห่งได้ระบุถึง Gap ในการทำธุรกรรม และพยายามปิด Gap ดังกล่าวโดยเร็ว

หลังจาก FSA ศึกษากรณีการทุจริตของ SG อย่างใกล้ชิดและหารือกับธนาคารต่างๆ จึงได้จัดทำแนวทางเพื่อให้ธนาคารใช้เพื่อตรวจสอบระบบและการควบคุมต่างๆ ของตนเอง เพื่อป้องกันการทำทุจริตของ Trader ดังนี้

Front Office Culture and Governance
1. สง. มั่นใจได้อย่างไรว่าการกำหนดผลตอบแทน (Incentives) จากการทำธุรกรรมเหมาะสม และไม่ก่อให้เกิดการละเลยในเรื่องการกำกับดูแล และหลักธรรมาภิบาลในห้องค้า
1.1 สง. ควรพิจารณาถึงคุณภาพของข้อมูลที่ใช้ในการบริหารจัดการประจำวันและรายงานเกี่ยวกับการยกเว้นต่างๆ (Exception report) ซึ่งนำเสนอผู้บริหาร ว่าเป็นปัจจุบัน ทันต่อเหตุการณ์ และสอดคล้องกับการเปลี่ยนแปลงของธุรกิจหรือไม่ รวมถึงเหตุการณ์การทุจริตของ Trader
ด้วย นอกจากนี้ สง. ควรพิจารณากำหนดหน้าที่และการรับผิดชอบที่ชัดเจนในการจัดทำรายงาน รวมถึงการกำหนดผลตอบแทนที่เหมาะสมเพื่อส่งเสริมให้มีการกำกับและควบคุมที่ดีในห้องค้า
1.2 หาก Trader มีการยกเลิก หรือแก้ไขการซื้อขายบ่อยครั้งในระยะเวลาหนึ่งๆ สง. ควรให้ความสนใจติดตามเป็นพิเศษโดยผ่านรายงานประจำวันและระบุว่ารายการดังกล่าวเป็นของ Trader รายใด เพื่อให้ผู้บริหารในห้องค้าและผู้ที่ทำหน้าที่ในการควบคุมได้ติดตามดูแลอย่างใกล้ชิด
1.3 สง. ควรจะพิจารณาถึงวัฒนธรรมของห้องค้าว่าสามารถป้องกันการทุจริตของ Trader ได้หรือไม่ เช่น การลาหยุดประจำปีมีข้อบังคับให้ลาพักผ่อนติดต่อกัน 2 สัปดาห์ต่อปี Trader ปฏิบัติตามโดยเคร่งครัดหรือไม่ และในระหว่างที่ Trader หยุดพักผ่อนควรสังเกตว่ามีสิ่งผิดปกติเกิดขึ้นหรือไม่ (ข้อบังคับเรื่องการลาหยุดพักผ่อนเป็นเครื่องมือที่ดีในการตรวจสอบ Trader ที่ทำการทุจริต)

Trading mandates and limits
2. สง. มั่นใจได้อย่างไรว่า การมอบอำนาจในการทำธุรกรรมมีความเหมาะสม มีการปรับให้เป็นปัจจุบัน และมีการติดตามดูแลอย่างใกล้ชิด
2.1 สง. ควรพิจารณาว่าอำนาจในการทำธุรกรรมของ Trader แต่ละรายมีความเหมาะสมหรือไม่ เช่น พิจารณาความสอดคล้องของการกำหนดผลิตภัณฑ์และตลาดที่ Trader สามารถทำธุรกรรมรวมทั้ง Limit ที่ได้รับ นอกจากนี้ ควรให้ผู้ที่เกี่ยวข้องทุกคนลงนามรับทราบข้อกำหนดและ Limit ต่างๆ ร่วมกัน
2.2 สง. ควรพิจารณาว่าข้อกำหนดและ Limit ต่างๆ Trader ได้นำไปปฏิบัติอย่างถูกต้อง โดยมี ผู้บริหารห้องค้าและหน่วยงานอิสระที่ทำหน้าที่ควบคุม ติดตามดูแลอย่างใกล้ชิด นอกจากนี้ สง. มีการกำหนดขั้นตอนที่เหมาะสมในการสอบสวนและนำเสนอผลการสอบสวนเป็นลำดับชั้นเมื่อเกิดการละเมิดข้อกำหนดต่างๆ หรือไม่

เรื่องนี้ ธนาคารแห่งประเทศไทยก็ให้ความสนใจและมีการศึกษาเรื่องนี้กันเป็นพิเศษ ซึ่งเข้าใจว่าคงจะมีการให้คำแนะนำ หรือนำไปใช้ในการทดสอบความพร้อมของสถาบันการเงิน ในเรื่องที่เกี่ยวข้องกับจุดอ่อนในการค้าเงินต่อไปแล้ว

ท่านที่สนใจลองนำคำถามและข้อแนะนำบางประการที่กล่าวข้างต้นไปประเมินตนเองในลักษณะ CSA หรือ QAR อย่างเป็นระบบ เพื่อจัดให้มีการควบคุมความเสี่ยงต่าง ๆ ที่ผมคิดว่า สถาบันการเงินทุกแห่งมีปัญหาเหล่านี้ไม่มากก็น้อย แล้วคำถามและข้อสังเกตอื่น ๆ จะได้นำมาเล่าสู่กันฟังต่อนะครับ

This entry was posted on วันจันทร์ที่ 4 พฤษภาคม 2009 at 1:11 pm and is filed under IT Audit, Non - IT Audit / การตรวจสอบโดยทั่วไป. You can follow any responses to this entry through the RSS 2.0 feed. You can leave a response, or trackback from your own site.