Posts Tagged "กระบวนการบริหารความเสี่ยงในภาพโดยรวม"

แนวทาง/กรอบการบริหารความเสี่ยงทั่วทั้งองค์กร

ในครั้งที่แล้วผมได้กล่าวถึงลักษณะและรูปแบบของการติดตามผลการตรวจสอบ (Monitoring) ว่ามีลักษณะอย่างไร และท่านผู้บริหาร ผู้ตรวจสอบ สามารถที่จะติดตามผลของการตรวจสอบนั้นได้จากทางใดบ้าง สำหรับวันนี้ผมจะกล่าวต่อถึงขอบเขตของความถี่่ในการประเมินผล ซึ่งการประเมินผลในเรื่องการบริหารความเสี่ยงมีความแตกต่างกันในเรื่องขอบเขตและความถี่ ขึ้นอยู่กับความมีนัยสำคัญของความเสี่ยง และความสำคัญของการตอบสนองความเสี่ยงและการควบคุมที่เกี่ยวข้องในเรื่องการจัดการความเสี่ยง

พื้นที่ที่มีความเสี่ยงและการตอบสนองสูงกว่ามีแนวโน้มที่จะถูกประเมินผลบ่อยกว่า การประเมินผลความสมบูรณ์ของการบริหารความเสี่ยง ซึ่งโดยทั่วไปมีความถี่ในความจำเป็นน้อยกว่าการประเมินค่าเฉพาะส่วน อาจถูกกระตุ้นโดยเหตุผลมากมาย กลยุทธ์หลัก หรือการเปลี่ยนแปลงเรื่องการบริหาร การเข้าถือสิทธิ์หรืออำนาจในการควบคุม การเปลี่ยนแปลงทางเศรษฐกิจหรือเงื่อนไขทางการเมือง หรือการเปลี่ยนแปลงในการปฏิบัติการหรือวิธีการในการประมวลผลข้อมูล

เมื่อการตัดสินใจเกิดขึ้น เพื่อใช้เป็นการประเึมินผลที่ครอบคลุมของการบริหารความเสี่ยงขององค์กร ความตั้งใจควรมุ่งในการสร้างวิธีการเพื่อจัดตั้งกลยุทธ์ด้วยกิจกรรมที่สำคัญ ขอบเขตการประเมินผลขึ้นอยู่กับประเภทของวัตถุประสงค์ที่ถูกวางไว้ ว่าเป็นวัตถุประสงค์ประเภทใด รวมถึงมีใครเป็นผู้ประเมินผล บ่อยครั้งการประเมินผลใช้รูปแบบของการประเมินค่าตนเอง บุคคลผู้ซึ่งรับผิดชอบต่อหน่วยเฉพาะหรือหน้าที่กำหนดความมีประสิทธิภาพของการบริหารความเสี่ยงสำหรับกิจกรรมของพวกเขาเหล่านั้น

ผู้ตรวจสอบภายในทำการประเมินผลให้เป็นส่วนหนึ่งของหน้าที่ปกติ หรือเป็นคำขอร้องพิเศษของผู้บริหารอาวุโส กรรมการหรือผู้ช่วยหรือผู้บริหารของฝ่าย เช่นเดียวกันผู้บริหารอาจใช้ประโยชน์ สูงสุดจากผู้ตรวจสอบภายนอกในการพิจารณาความมีประสิทธิภาพของการบริหารความเสี่ยง การรวมกันของความพยายามต่าง ๆ ถูกใช้ในการดำเนินการ อย่างไรก็ตามการบริหารกระบวนการประเมินก็เป็นสิ่งจำเป็น

ขั้นตอนการประเมินผล
การประเมินผลการบริหารความเสี่ยงเป็นขั้นตอนภายในตัวเอง ขณะที่วิธีการหรือเทคนิคมีความแตกต่าง ความมีระเบียบควรนำมาใช้ในขั้นตอน ด้วยพื้นฐานที่มีอยู่อย่างถาวรและไม่แยกจากกัน

ผู้ทำการประเมินต้องเข้าใจในแต่ละกิจกรรมขององค์กรและแต่ละส่วนประกอบของการบริหารความเสี่ยง ซึ่งอาจเป็นประโยชน์ต่อการมุ่งเน้นเป็นอันดับแรกว่าการบริหารความเสี่ยงทำหน้าที่ได้ตามวัตถุประสงค์ได้อย่างไร ซึ่งบางครั้งอาจหมายถึงระบบหรือการออกแบบขั้นตอน

ผู้ทำการประเมินวิเคราะห์การออกแบบขั้นตอนการบริหารความเสี่ยงและผลของการทดสอบการปฏิบัติงาน การวิเคราะห์นี้เป็นการเปรียบเทียบกับการจัดฉากของผู้บริหารสำหรับแต่ละส่วน ประกอบด้วยเป้าหมายสูงสุดของการกำหนดว่ากระบวนการบริหารความเสี่ยงกระทำไปนั้นมั่นใจได้ว่าเข้ากันได้กับวัตถุประสงค์ที่กำหนดขึ้นหรือไม่

กลวิธีในการตรวจสอบ
ความหลากหลายของวิธีการประเมินผลและเครื่องมือสามารถหามาได้ที่ใช้ในการตรวจสอบการบริหารความเสี่ยง จะขึ้นอยู่กับเป้าหมายการตรวจสอบเป็นหลัก อย่างไรก็ดี ประสิทธิภาพและประสิทธิผลของกระบวนการบริหารความเสี่ยงจะต้องถูกประเมินด้วยการทดสอบการปฏิบัติงานจริง ซึ่งอาจจะใช้เทคนิคการประเมินความเสี่ยงตามฐานการตรวจสอบความเสี่ยง Risk Based Internal Audit (RBIA) ที่เน้นทางด้าน Manual หรือเน้นควบคู่กันไปกับการใช้คอมพิวเตอร์เข้าช่วยในการตรวจสอบ Computer Assisted Audit Technic (CAAT) เช่น ใช้ IDEA หรือ ACL และ/หรือเทคนิคการตรวจสอบแบบ Around The Computer หรือ Throgh The Computer เป็นต้น

ในฐานะที่เป็นส่วนหนึ่งของวิธีการประเมินผล บางองค์กรเปรียบเทียบขั้นตอนการบริหารความเสี่ยงกับองค์กรอื่น ๆ เช่น องค์กรหนึ่งอาจวัดผลกระบวนการกับบริษัทอื่นด้วยชื่อเสียงที่ได้จากการบริหารความเสี่ยง การเปรียบเทียบนี้อาจกระทำได้โดยตรงกับบริษัทอื่นหรือธุรกิจอื่น ๆ องค์กรอื่น ๆ อาจให้ข้อมูลเชิงเปรียบเทียบ การระวังเป็นสิ่งจำเป็นเมื่อดำเนินการเปรียบเทียบ ต้องพิจารณาความแตกต่างซึ่งคงอยู่ในวัตถุประสงค์ ข้อเท็จจริงและโอกาส และส่วนประกอบของการบริหารความเสี่ยงทั้ง 8 ประการ เช่นเดียวกับข้อจำกัดที่เป็นธรรมชาติของการบริหารความเสี่ยงจำเป็นต้องนำมาใส่ใจ

การทำเอกสารการรายงานความเสี่ยง
ขอบเขตในเรื่องเอกสารของการบริหารความเสี่ยงแตกต่างไปตามขนาดขององค์กร ความซับซ้อนและปัจจัยที่คล้ายกัน องค์กรที่มีขนาดใหญ่กว่ามักเขียนนโยบายเป็นลายลักษณ์อักษร มีแผนผังของโครงสร้างองค์กร มีการเขียน Job Description คำแนะนำในการปฏิบัติการ แผนผังระบบข้อมูล และอื่น ๆ องค์กรที่มีขนาดเล็กกว่าจะมีความใส่ใจในเรื่องเอกสารน้อยกว่า

การบริหารความเสี่ยงหลาย ๆ ด้าน เป็นสิ่งไม่เป็นทางการและไม่มีเอกสาร แต่มีผลการปฏิบัติงานที่ดีและมีประสิทธิภาพสูง กิจกรรมเหล่านี้อาจถูกทดสอบในแบบเดียวกันจนเหมือนเป็นเอกสาร ข้อเท็จจริงคือส่วนประกอบของการบริหารความเสี่ยงไม่ได้เป็นลายลักษณ์อักษร ไม่ได้หมายความว่าไม่มีประสิทธิภาพหรือไม่สามารถประเมินผลได้ อย่างไรก็ตาม ระดับที่เหมาะสมของเอกสารมักทำให้การตรวจติดตามมีประสิทธิภาพและประสิทธิผล

ผู้ทำการประเมินอาจตัดสินใจทำเอกสารขั้นตอนการประเมินผล ผู้ทำการประเมินจะร่างจากเอกสารของการบริหารความเสี่ยงที่มีอยู่ ซึ่งเป็นส่วนเสริมให้กับเอกสารที่เพิ่มขึ้นพร้อมกันกับอธิบายเรื่องการทดสอบและวิเคราะห์การปฏิบัติงานในขั้นตอนการประเมินผล

ผู้บริหารเจตนาทำประกาศให้ภายนอกทราบเกี่ยวกับความมีประสิทธิภาพของการบริหารความเสี่ยง ซึ่งจะต้องพัฒนาและรักษาเอกสารเพื่อสนับสนุนการประกาศ ดังนั้น เอกสารจึงมีประโยชน์หากประกาศนั้นถูกท้าทายในภายหลัง

การรายงานการบริหารความเสี่ยง
รูปแบบรายงานที่นำเสนอนี้สามารถใช้เพื่ออธิบายความเสี่ยง รายงานควรนำเสนอแนวทางที่ใช้ในการรวบรวมข้อมูลความเสี่ยงและแนวทางการให้คะแนนที่ใช้ในการประเมินความเสี่ยง และควรอธิบายคุณค่าซ่อนเร้นหรือโอกาสที่ถูกบ่งชี้เพื่อช่วยเหลือในการที่ผู้บริหารจะมุ่งเน้นในข้อมูลความเสี่ยงโดยรวม

หลักในการจัดทำรายงานความเสี่ย
1. การจัดทำรายงานต้องทันเวลา กระชับ และอยู่ในรูปแบบที่ช่วยให้การติดตามผลและการควบคุมขององค์กรมีประสิทธิผล
2. รายงานเบื้องต้นควรเน้นที่การแสดงความเสี่ยงในภาพโดยรวม และกิจกรรมเพื่อลดความเสี่ยงในระดับองค์กร กระบวนการและโครงการ รายงานความเสี่ยงที่ทำเป็นปกติควรรายงานความเสี่ยงสำคัญที่เกิดขึ้นเป็นรายเดือน และรายงานสถานะความเสี่ยงในภาพรวมเป็นรายไตรมาส
3. เน้นการติดตามการจัดการความเสี่ยงหลัก ยกเว้น ในกรณีที่สภาพแวดล้อมต่าง ๆ แสดงให้เห็นว่าความเสี่ยงนั้นหมดไปแล้ว

การรายงานผลการบริหารความเสี่ยงและการควบคุม รวมทั้งการปรับปรุงแก้ไข
จุดอ่อนในการบริหารความเสี่ยงอาจครอบครอบคลุมจากหลายแหล่งรวมถึงกระบวนการการตรวจติดตามอย่างต่อเนื่อง การประเมินผลแยกต่างหากและบุคคลภายนอก คำว่า “จุดอ่อน” อาจจะหมายถึง ความบกพร่องที่นำมาสู่ความเสียหายของการบริหารแผนงานและโครงการต่าง ๆ ขององค์กร และยังหมายถึงสภาพภายในกระบวนการบริหารความเสี่ยง ดังนั้น จุดอ่อนที่ผู้ตรวจสอบภายในตรวจพบ อาจหมายถึง ศักยภาพของพนักงานที่อาจต้องมีการปรับปรุงแก้ไข เพื่อลดจุดอ่อน เพื่อช่วยเพิ่มความเป็นไปได้ซึ่งทำให้วัตถุประสงค์ขององค์กรบรรลุผล

แหล่งของข้อมูล
แหล่งที่ดีที่สุดของข้อมูลจากความบกพร่องในการบริหารความเสี่ยง คือ ตัวของการบริหารความเสี่ยงเอง

กิจกรรมการตรวจติดตามอย่างต่อเนื่องขององค์กร รวมถึงกิจกรรมทางการบริหารและการสั่งการผู้ใต้บังคับบัญชาทุก ๆ วัน การสร้างความเข้าใจลึกซึ้งจากผู้ที่เกี่ยวข้องโดยตรงในกิจกรรมขององค์กร ความเข้าใจลึกซึ้งนี้หาได้ในเวลาที่เป็นจริงและสามารถแยกแยะความบกพร่องได้อย่างรวดเร็ว แหล่งอื่นของความบกพร่องคือการประเมินผลที่แยกต่างหากของการบริหารความเสี่ยง การประเมินผลดำเนินการโดยผู้บริหาร ผู้ตรวจสอบภายใน หรือหน่วยงานอื่น ๆ ซึ่งสามารถเน้นพื้นที่ที่จะเป็นต้องปรับปรุง

หน่วยงานภายนอกเป็นผู้ให้ข้อมูลสำคัญบ่อย ๆ จากการทำงานในการบริหารความเสี่ยง ซึ่งรวมถึงลูกค้า คู่ค้า และผู้มีผลประโยชน์ร่วมที่ทำธุรกิจกับองค์กร ผู้ตรวจสอบภายนอกและผู้ดูแลกฎระเบียบ รายงานจากแหล่งภายนอกควรถูกพิจารณาอย่างระมัดระวังในเรื่องการตีความสำหรับการบริหารความเสี่ยงและควรมีการแก้ไขที่เหมาะสม

จากการประเมินและการติดตามผลการบริหารความเสี่ยง ผู้บริหาร ผู้ตรวจสอบต้องทำการรายงานการบริหารความเสี่ยงต่อคณะกรรมการบริหารความเสี่ยง โดยจะต้องรายงานเรื่องใด และอย่างไรนั้น ผมจะมาพูดคุยกันต่อในครั้งต่อไป โปรดติดตามนะครับ

 

แนวทาง/กรอบการบริหารความเสี่ยงทั่วทั้งองค์กร

วันนี้ผมจะมาเล่าต่อให้จบในเรื่องของข้อมูลและการสื่อสาร เพื่อที่ครั้งหน้าจะได้เริ่มกันในกระบวนการบริหารความเสี่ยง Enterprise Risk Management (COSO – ERM) กระบวนการขั้นที่ 8 นั่นก็คือ การติดตามผลและการตรวจสอบ ซึ่งเป็นกระบวนการขั้นสุดท้ายของกระบวนการบริหารความเสี่ยง ทั้ง 8 ประการกันครับ

การติดต่อสื่อสารภายนอกและการนำไปประยุกต์ใช้ขององค์กรทั่วไป ด้วยการเปิดช่องทางการสื่อสารภายนอก ลูกค้าและ Supplier สามารถส่งข้อมูลสำคัญโดยการออกแบบหรือคุณภาพสินค้าหรือการบริการ เพื่อให้บริษัทหาความต้องการหรือความชอบของลูกค้า การเปิดเผยข้อมูลเรื่องความเสี่ยงที่ยอมรับได้และระดับความเสี่ยงที่ยอมรับได้ขององค์กรเป็นสิ่งสำคัญ เฉพาะเจาะจงสำหรับองค์กรซึ่งเชื่อมโยงกับส่วนอื่น ๆ ใน ส่วน Supply Chain หรือ การค้า การบริการ ทาง e-Business ดังเช่นตัวอย่าง ผู้บริหารพิจารณาว่าความเสี่ยงที่ยอมรับได้ และระดับความเสี่ยงที่ยอมรับได้เข้ากันได้กับคู่ค้าอย่างไร มั่นใจได้ว่าจะไม่ให้ความเสี่ยงที่มากเกินไปกับคู่ค้าทั้งหลาย

การติดต่อสื่อสารจากภายนอก มักจะให้ข้อมูลโดยการทำงานของการบริหารความเสี่ยง ความเข้าใจของผู้ตรวจสอบภายนอกในเรื่องกลยุทธ์องค์กร การปฏิบัติการ และประเด็นทางธุรกิจที่เกี่ยวข้องและระบบควบคุมที่จัดให้ผู้บริหาร และความเสี่ยงที่สำคัญของกรรมการและการควบคุมข้อมูล

การติดติดต่อสื่อสารกับผู้มีผลประโยชน์ ผู้สร้างกฎระเบียบ นักวิเคราะห์ทางการเงินและฝ่ายต่าง ๆ ที่อยู่ภายนอก ทำให้ได้ข้อมูลเกี่ยวกับความต้องการของพวกเขา เพื่อให้เกิดความเข้าใจเหตุการณ์และความเสี่ยง การติดต่อสื่อสารความมีความหมาย ตรงกับปัญหา และตรงเวลา และปฏิบัติตามกฎหมายและกฎระเบียบ
หน้าที่ของผู้บริหารในการติดต่อสื่อสารกับภายนอก คือเปิดเผยและเตรียมพร้อม และจริงจังในการติดตามผล

วิธีการในการติดต่อสื่อสาร
การติดต่อสื่อสาร อาจทำในรูปแบบของคู่มือนโยบาย บันทึก e-mail บอร์ดประกาศข่าว และข้อความจากวีดีโอเทป หากเป็นข้อความที่ส่งทางวาจา สำหรับกลุ่มใหญ่ การประชุมเล็ก ระดับของเสียงและภาษากายจะช่วยเน้นในสิ่งที่พูด

ข้อมูลที่นำเสนอหรือกำหนด สามารถส่งผลต่อการตีความของข้อมูลได้อย่างไร และความเสี่ยงและโอกาสถูกมองได้อย่างไร

แนวโน้มของมนุษย์เกี่ยวกับการตัดสินใจได้แสดงออกมาระหว่างหน่วยธุรกิจ การปฏิบัติหน้าที่และกิจกรรม เช่น บุคลากรบางคนมีความเคยชินที่จะรับเงื่อนไขความเสี่ยงกว่าในเรื่องผลกำไร ในขณะที่คนอื่น ๆ อาจตามหาความสูญเสียต่ำสุด จากการรับรู้เกี่ยวกับแนวโน้มของมนุษย์เหล่านี้ ผู้บริหารของ องค์กร สามารถที่จะกำหนดข้อมูล เพื่อช่วยเสริมความเสี่ยงที่ยอมรับได้และพฤติกรรมตลอดทั่วทั้งองค์กร

เครื่องมือที่มีพลังในการสื่อสารอีกอย่างนั้น พบได้จากการที่ผู้บริหารติดต่อกับลูกน้อง ผู้จัดการควรจำไว้ว่าการกระทำเสียงดังกว่าคำพูด ในทางกลับกันการกระทำการปฏิบัติที่ได้รับอิทธิพลจากประวัติศาสตร์และวัฒนธรรมขององค์กร จากการสังเกตการณ์ว่าหัวหน้างานได้จัดการกับสถานการณ์เช่นนี้ได้อย่างไร
องค์กรที่มีประวัติของการปฏิบัติการแบบบูรณาการ และมีวัฒนธรรมที่คนทั้งองค์กรเข้าใจ จะพบความยากในการติดต่อสื่อสารข้อความ องค์กรที่ปราศจากธรรมเนียมปฏิบัติเช่นนี้จำเป็นต้องเพิ่มความพยายามในการหนทางติดต่อสื่อสาร

จากนี้ไปดูภาพขององค์ประกอบที่สำคัญของข้อมูลและการสื่อสารกันครับ

 

แนวทาง/กรอบการบริหารความเสี่ยงทั่วทั้งองค์กร

วันนี้ผมยังคงพูดคุยกับท่านอยู่ในเรื่องของกระบวนการบริหารความเสี่ยง ทางด้านระบบสารสนเทศและการติดต่อสื่อสาร (Information and Communication) ซึ่งในครั้งนี้จะพูดถึงข้อมูลเชิงลึกและความสามารถในการเรียกใช้ข้อมูล

ข้อมูลเชิงลึกและความสามารถในการเรียกใช้ข้อมูล
แหล่งข้อมูลด้านโครงสร้างพื้นฐาน และการดับจับข้อมูลในกรอบเวลา และความคงที่ในเชิงลึกกับความจำเป็นขององค์กรในการแยกแยะ ประเมินและตอบสนองความเสี่ยง และยังคงอยู่ภายในระดับความเสี่ยงที่ยอมรับได้ ความถูกเวลาในการไหลของข้อมูลต้องการความคงที่กับอัตราการเปลี่ยนแปลงภายในทั้งในองค์กรและสิ่งแวดล้อมภายในและภายนอก

ข้อมูลด้านโครงสร้างพื้นฐานแปลงข้อมูลดิบให้เป็นข้อมูลที่เกี่ยวข้องซึ่งจะช่วยในการบริหารความเสี่ยงขององค์กร และความรับผิดชอบอื่น ๆ ข้อมูลถูกเตรียมอย่างเป็นรูปแบบและมีกรอบเวลา ซึ่งสามารถนำไปปฏิบัติได้ง่ายต่อการใช้งานอย่างมีเหตุมีผลและเชื่อมไปสู่การตรวจสอบได้

ความก้าวหน้าในการเก็บข้อมูล การประมวลผลข้อมูลและการเก็บรักษาข้อมูล แสดงผลลัพธ์ด้วยการเติบโตของปริมาณข้อมูล การมีข้อมูลที่มากเพียงพอ มีคนในองค์กรจำนวนมาก ความท้าทายคือการหลีกเลี่ยง “การมีข้อมูลมากเกินไป” โดยการมั่นใจว่าการไหลของข้อมูลที่ถูกต้องในรูปแบบที่ถูกต้อง ในระดับของรายละเอียดที่ถูกต้อง ไปสู่บุคคลที่ถูกต้องในเวลาที่ถูกต้อง ในการพัฒนาโครงสร้างพื้นฐานข้อมูล ควรพิจารณาความต้องการข้อมูลของผู้ใช้และสรุปข้อมูลที่ผู้บริหารแต่ละระดับต้องการใช้

มาดูกันในเรื่องของคุณภาพของข้อมูลกันบ้างครับ
การเพิ่มขึ้นของการพึ่งพาระบบข้อมูลและระบบการใช้ข้อมูลช่วยในการตัดสินใจ และกระบวนการความเชื่อถือได้ของข้อมูลเป็นสิ่งสำคัญ ข้อมูลที่ไม่ถูกต้องจะส่งผลในแง่ของความเสี่ยงที่แยกแยะไม่ได้ หรือการประเมินค่าและการตัดสินใจทางด้านการบริหารที่ไม่ดีนัก

คุณภาพของข้อมูล ควรพิจารณาในเรื่องดังต่อไปนี้
– เนื้อหามีความเหมาะสม – รายละเอียดอยู่ในระดับที่ถูกต้องหรือไม่
– ข้อมูลได้มาถูกเวลา – ข้อมูลมีเมื่อต้องการหรือไม่
– ข้อมูลเป็นปัจจุบัน – ข้อมูลที่ได้มาล่าสุดเมื่อใด
– ข้อมูลถูกต้อง – ข้อมูลนี้ถูกต้องหรือไม่
– ข้อมูลใช้ในการประเมินได้ – ข้อมูลง่ายต่อการใช้งานของผู้ที่ต้องการหรือไม่

IT Governance and Information

เพื่อให้มั่นใจว่าข้อมูลมีคุณภาพ องค์กรได้สร้างโปรแกรมการจัดการข้อมูล การรวบรวมความต้องการ การบำรุงรักษา และการกระจายข้อมูลและการบริหารข้อมูล หากไม่มีโปรแกรมเหล่านี้ ระบบข้อมูลอาจไม่ได้ช่วยในการบริหารข้อมูลและความต้องการส่วนบุคคลอื่น ๆ

ความท้าทายประกอบด้วย ความขัดแย้งเรื่องความต้องการเชิงหน้าที่ การบังคับเชิงระบบ และกระบวนการที่ไม่มีการบูรณาการ สามารถรับช่วงข้อมูลที่หามาได้และการใช้ที่มีประสิทธิภาพเพื่อให้บรรลุความท้าทาย ผู้บริหารสร้างแผนกลยุทธ์ด้วยการสามารถตรวจสอบได้และด้วยความรับผิดชอบเพื่อความสมบูรณ์ของข้อมูลและสร้างการประเมินคุณภาพของข้อมูล

โดยทั่วไป กลยุทธ์การบริหารข้อมูลมักขยายสู่องค์กร การขยายตัวของระบบ e-Business การไหลของข้อมูลในเรื่องผลงานขององค์กรจะรวมถึง Supply Chain คู่ค้าทางธุรกิจ ลูกค้า และอื่น ๆ ส่วนมากข้อมูลด้านการปฏิบัติการ การเงิน การแบ่งปันเชิงความร่วมมือของข้อมูลและมองเห็นได้ชัดด้วยคู่ค้าเชิงกลยุทธ์ที่สำคัญ ข้อมูลจำเป็นสำหรับการบริหารความเสี่ยงอาจปรับขนาดองค์กรทั้งภายในและภายนอก

การมีข้อมูลที่ถูกต้อง ตรงเวลาและถูกสถานที่ มีความสำคัญในการบริหารความเสี่ยงและการควบคุม นั่นเป็นเหตุผลที่ทำให้ระบบข้อมูลจะต้องถูกควบคุมในแง่ที่เป็นส่วนประกอบของการบริหารความเสี่ยง

 

แนวทาง/กรอบการบริหารความเสี่ยงทั่วทั้งองค์กร

คงต้องขออภัยท่านผู้อ่านที่ติดตามกรอบการบริหารความเสี่ยง เพราะช่วงนี้ผมกำลังเร่ง post ข้อมูลเกี่ยวกับ IT Audit และ Non – IT Audit ทางด้านการทุจริตที่กำลังเป็นข่าว และเป็นเรื่องสำคัญที่น่าสนใจและควรติดตาม ประกอบกับเกิดปัญหาทางด้านเทคนิคในการ update ข้อมูลในหัวข้อดังกล่าว ทำให้ข้อมูลที่เคย post และแก้ไขหายไป ก็ต้องขออภัยอีกครั้งสำหรับผู้ที่ติดตามเนื้อหาทางด้าน Audit อยู่ เป็นเหตุให้ห่างหายจากการ update เรื่องความเสี่ยงในหัวข้อนี้ไปบ้าง แต่ผมก็จะพยายามหาเวลา post ข้อมูลให้ได้ในทุกหัวข้อเพื่อท่านผู้อ่านจะได้ติดตามได้อย่างต่อเนื่องครับ

สำหรับวันนี้ ผมจะมาต่อในกระบวนการขั้นที่ 2 ของกระบวนการบริหารความเสี่ยงและการควบคุมภายใน ตามหลัก COSO – ERM คือ การกำหนดวัตถุประสงค์ (Objective Setting) ในเรื่องของการกำหนดวัตถุประสงค์/เป้าประสงค์ที่ชัดเจนของแผนงานและโครงการ

การกำหนดวัตถุประสงค์ต้องมีความสอดคล้องกันทั่วทั้งองค์กร เพื่อให้เกิดความมั่นใจว่า ผู้บริหาร และพนักงานทุกคนกำลังดำเนินการเพื่อให้บรรลุวัตถุประสงค์ขององค์กร โดยใช้วิธีการที่เรียกว่า SMART ซึ่งอธิบายด้วยแผนภาพ เพื่อให้เข้าใจได้ง่าย ๆ ดังนี้

การกำหนดวัตถุประสงค์ที่ชัดเจนตามหลัก SMART

การกำหนดวัตถุประสงค์ที่ชัดเจนตามหลัก SMART

การกำหนดวัตถุประสงค์ที่ดี แบบ SMART
1. Sensible & Specific หมายถึง วัตถุประสงค์ที่ดีต้องมีความเป็นไปได้และชัดเจน นั่นคือ ควรกำหนดวัตถุประสงค์ให้มีความเป็นไปได้ สามารถปฏิบัติได้จริง นอกจากนี้ยังควรมีความชัดเจน โดยผู้ปฏิบัติสามารถเข้าใจความหมายได้ตรงกัน และปฏิบัติได้อย่างสอดคล้องและเป็นไปในแนวทางเดียวกัน

2. Measurable หมายถึง วัตถุประสงค์นั้นต้องสามารถวัดผลได้ นั่นคือในการกำหนดวัตถุประสงค์ควรพิจารณาถึงประเด็นเกี่ยวกับการวัดผลด้วย การกำหนดวัตถุประสงค์ที่สามารถวัดผลได้ทำให้สามารถรู้ได้แน่ชัดว่าดำเนินการถึงขั้นตอนใด และผลของการดำเนินการในแต่ละขั้นเป็นอย่างไร บรรลุผลสำเร็จหรือไม่

3. Attainable & Assignable หมายถึง วัตถุประสงค์ที่ดีต้องสามารถบรรลุผลและมอบหมายได้ ในการกำหนดวัตถุประสงค์นั้นไม่ควรกำหนดไว้สูงเกินไปจนไม่สามารถปฏิบัติเพื่อบรรลุตามวัตถุประสงค์ที่กำหนดไว้ได้ ทำให้ผู้ปฏิบัติรู้สึกท้อแท้เพราะทำอย่างไรก็ไม่สามารถบรรลุวัตถุประสงค์ได้ นอกจากนี้วัตถุประสงค์ที่ดีต้องสามารถมอบหมายให้ผู้ปฏิบัตินำไปปฏิบัติได้ สามารถนำมาแยกย่อยเป็นกิจกรรมหลาย ๆ กิจกรรมเพื่อมอบหมายให้ผู้ที่เกี่ยวข้องนำไปปฏิบัติตามความรับผิดชอบของตน เพื่อมุ่งไปสู่เป้าหมายเดียวกันคือการบรรลุตามวัตถุประสงค์ที่กำหนดไว้

4. Reasonable & Realistic หมายถึง วัตถุประสงค์ที่ดีต้องสามารถอธิบายได้ มีความสมเหตุสมผลและมีความเป็นจริง ปฏิบัติได้จริง

5. Time Available หมายถึง วัตถุประสงค์ที่ดีต้องเหมาะสมกับห้วงเวลาในขณะนั้น วัตถุประสงค์ข้อหนึ่งอาจมีความเหมาะสมกับช่วงเวลาใดเวลาหนึ่ง เมื่อเวลาเปลี่ยนไปวัตถุประสงค์ข้อนั้นอาจไม่เหมาะสมกับสถานการณ์ที่เปลี่ยนไปได้

ความซ้ำซ้อนของวัตถุประสงค์
วัตถุประสงค์ของหน่วยงานหนึ่งอาจซ้ำซ้อนกับอีกหน่วยงานหนึ่งได้ การจัดกลุ่มของวัตถุประสงค์เพื่อมุ่งสู่พันธกิจ และวิสัยทัศน์ขององค์กรนั้น อาจขึ้นอยู่กับโอกาส ยกตัวอย่างเช่น การเตรียมข้อมูลให้กับผู้บริหารระดับสูงเพื่อใช้ในการบริหารจัดการ และควบคุมกิจกรรมในการส่งเสริมการผลิต อาจมีลักษณะเป็นวัตถุประสงค์เชิงปฏิบัติการและวัตถุประสงค์เชิงรายงานไปพร้อม ๆ กัน

ในบางองค์กรใช้การแบ่งกลุ่มวัตถุประสงค์ในแบบอื่น ๆ “การป้องกันทรัพยากร” บางครั้งอาจหมายถึง “การป้องกันทรัพย์สิน” ซึ่งซ้ำซ้อนกับกลุ่มวัตถุประสงค์อื่น ๆ หากมองอย่างกว้าง ๆ การป้องกันทรัพย์สิน หมายถึง การป้องกันความสูญเสียของทรัพย์สินหรือทรัพยากรขององค์กร ไม่ว่าจะเป็นการลักขโมย ความสิ้นเปลือง ความบกพร่อง หรือสิ่งใดก็ตามที่ทำให้เกิดการตัดสินใจที่ไม่ดี เช่น การขายสินค้าราคาต่ำเกินไป ความล้มเหลวในการรักษาพนักงานคนสำคัญ หรือ การป้องกันการละเมิดสิทธิ์ หรือหนี้สินที่ไม่ได้คาดมาก่อน เป็นต้น

สิ่งเหล่านี้เป็นวัตถุประสงค์เชิงปฏิบัติการเบื้องต้น เมื่อประยุกต์กฎหมายหรือกฎเกณฑ์ต่าง ๆ ก็จะกลายเป็นวัตถุประสงค์เชิงความร่วมมือ ในทางตรงข้ามภาพสะท้อนการสูญเสียทรัพย์สินในสถานะทางการเงินขององค์กรเป็นการนำเสนอวัตถุประสงค์เชิงรายงาน เมื่อนำมาใช้ร่วมกับการรายงานต่อสาธารณะ คำจำกัดความที่แคบลงของการป้องกันทรัพย์สินจะหมายถึง การปกป้องการได้มาซึ่งอำนาจโดยไม่ชอบ การใช้หรือการเคลื่อนย้ายทรัพย์สินขององค์กร

การบรรลุผลสำเร็จของวัตถุประสงค์
การตั้งวัตถุประสงค์เป็นส่วนสำคัญของการบริหารความเสี่ยงของสายงานหรือของหน่วยงานธุรกิจที่เกี่ยวข้อง แม้ว่าวัตถุประสงค์จะช่วยในการสร้างเป้าหมายที่สามารถวัดได้ใกล้เคียงกับองค์กรเพื่อเคลื่อนสู่การดำเนินกิจกรรม แต่อาจมีความแตกต่างกันในเรื่องระดับความสำคัญและลำดับก่อนหลัง แม้ว่าองค์กรทั่วไปจะมั่นใจอย่างมีเหตุมีผลว่าจะบรรลุวัตถุประสงค์ได้ แต่ไม่ใช่กับทุกวัตถุประสงค์

การบริหารความเสี่ยงที่มีประสิทธิภาพจะนำความมั่นใจที่มีเหตุมีผลว่าวัตถุประสงค์เชิงรายงานขององค์กรกำลังบรรลุความสำเร็จ เช่นเดียวกันกับวัตถุประสงค์เชิงความร่วมมือ การรายงานที่บรรลุความสำเร็จและวัตถุประสงค์เชิงความร่วมมือโดยทั่วไปอยู่ภายในการควบคุมขององค์กร นั่นคือทันทีที่กำหนดวัตถุประสงค์แล้ว องค์กรจะควบคุมว่าจะต้องทำอย่างไรให้บรรลุวัตถุประสงค์นั้น แต่มีความแตกต่างเมื่อกลายเป็นวัตถุประสงค์เชิงปฏิบัติการด้วยเหตุผลหลายประการ องค์กรอาจปฏิบัติได้ดังที่ตั้งใจแต่ไม่สามารถสู้คู่แข่งขันได้ ซึ่งเป็นปัญหาจากปัจจัยภายนอก เช่น การเปลี่ยนแปลงรัฐบาล สภาวะแวดล้อมทางอากาศ และ/หรือเหตุการณ์ที่ไม่สามารถควบคุมได้

ซึ่งเหล่านี้อาจนำมาพิจารณาในขั้นตอนการตั้งวัตถุประสงค์ในแง่ของการมีความเป็นไปได้น้อย โดยใช้การวางแผนตามสถานการณ์ในกรณีที่มีเหตุการณ์เกิดขึ้น อย่างไรก็ตาม แม้ว่าแผนงานจะสามารถบรรเทาผลกระทบจากเหตุการณ์ภายนอกได้ แต่ก็ไม่สามารถมั่นใจได้ว่าวัตถุประสงค์จะบรรลุผลสำเร็จ

การบริหารความเสี่ยงขององค์กรที่มีจุดมุ่งหมายพื้นฐานในการพัฒนาความยั่งยืนของวัตถุประสงค์และเป้าหมายทั่วทั้งองค์กร การแยกแยะปัจจัยที่ทำให้สำเร็จและความเสี่ยง การเข้าหาความเสี่ยงและการตอบสนอง การดำเนินการตอบสนองความเสี่ยงที่เหมาะสม การควบคุมความต้องการ และการรายงานผลการทำงานและความคาดหวัง สำหรับวัตถุประสงค์เหล่านี้ การบริหารความเสี่ยงขององค์กรสามารถสร้างความมั่นใจได้ว่าผู้บริหารจะตระหนักถึงขอบเขตขององค์กรในการมุ่งสู่วัตถุประสงค์

ครั้งหน้าผมจะพูดถึงวัตถุประสงค์ขององค์กรกับความเสี่ยง และระดับความเสี่ยงที่องค์กรยอมรับได้ โปรดติดตามในครั้งต่อไปนะครับ

 

แนวทาง/กรอบการบริหารความเสี่ยงทั่วทั้งองค์กร

วันนี้ ผมจะนำเสนอถึงกระบวนการบริหารความเสี่ยงและการควบคุมภายใน ตามหลักการของ COSO – ERM ในกระบวนการถัดไป ซึ่งเป็นเรื่องของการกำหนดวัตถุประสงค์ (Objective Setting) และถือเป็นหัวใจสำคัญของกระบวนการบริหารความเสี่ยง COSO – ERM ทั้ง 8 ประการ หลังจากที่ได้พิจารณาสภาพแวดล้อมภายในองค์กรไปแล้ว

การบริหารงานเพื่อก้าวไปสู่พันธกิจ และวิสัยทัศน์ขององค์กร ซึ่งจะต้องถูกถ่ายทอดเป็นแผนปฏิบัติการและโครงการต่าง ๆ นั้น จำเป็นอย่างยิ่งที่ผู้เกี่ยวข้องจะต้องเข้าใจการกำหนดวัตถุประสงค์ให้ชัดเจน เพื่อกำหนดการควบคุมที่เหมาะสมได้ และมีหลักการโดยย่อตามรูปภาพ

การกำหนดวัตถุประสงค์ตามหลัก SMART

การกำหนดวัตถุประสงค์ตามหลัก SMART

เพราะการบริหารความเสี่ยงอย่างเป็นกระบวนการจะชี้ปัจจัยเสี่ยงจากความไม่แน่นอนต่าง ๆ ซึ่งเกิดจากเหตุการณ์ภายใน และเหตุการณ์ภายนอกขององค์กรนั้น จะมุ่งไปสู่การระบุเหตุการณ์ที่มีผลกระทบต่อการบรรลุวัตถุประสงค์และเป้าหมายของแผนงาน/โครงการต่าง ๆ ขององค์กร เป็นสำคัญ และการจัดการกับความเสี่ยงใด ๆ ก็จะมุ่งไปที่สาเหตุ หรือมูลเหตุที่แท้จริงที่สามารถควบคุมและจัดการกับความเสี่ยงให้ได้ผลเป็นรูปธรรม เพื่อสร้างความมั่นใจอย่างสมเหตุสมผลว่า แผนงานและโครงการขององค์กรจะก้าวสู่ความสำเร็จได้ตามแผนงานที่วางไว้

วัตถุประสงค์โดยรวมของทุกองค์กร อาจแบ่งได้เป็นวัตถุประสงค์เชิงกลยุทธ์ หรือวัตถุประสงค์หลักขององค์กร และตามด้วยวัตถุประสงค์ย่อยที่เกี่ยวข้องกับการดำเนินการตามแผนงาน ซึ่งจะอธิบายโดยแผนภาพย่อ ๆ ซึ่งเป็นกระบวนการหนึ่งของการบริหารความเสี่ยงทั่วทั้งองค์กร หรือ ERM 8 ประการ ดังนี้

องค์ประกอบสำคัญของการกำหนดวัตถุประสงค์ - หัวใจสำคัญของกระบวนการบริหารความเสี่ยง

องค์ประกอบสำคัญของการกำหนดวัตถุประสงค์ - หัวใจสำคัญของกระบวนการบริหารความเสี่ยง

ประเภทของวัตถุประสงค์
ทุก ๆ องค์กร จะต้องเผชิญกับความหลากหลายของความเสี่ยงจากแหล่งภายในและภายนอก รวมทั้งการคาดการณ์สำหรับการระบุเหตุการณ์ให้มีประสิทธิภาพ การประเมินความเสี่ยง การตอบสนองความเสี่ยงเป็นจุดเริ่มต้นของวัตถุประสงค์ โดยเชื่อมโยงกับระดับที่แตกต่างและมีความเหนียวแน่นอยู่ภายใน วัตถุประสงค์ถูกตั้งไว้ที่ระดับกลยุทธ์ เป็นพื้นฐานสำหรับการปฏิบัติการ การรายงานผล และการปฏิบัติตามวัตถุประสงค์ วัตถุประสงค์ได้ถูกวางเป็นแนวเดียวกับความเสี่ยงซึ่งผลักดันระดับความทนต่อความเสี่ยงเพื่อสร้างกิจกรรมต่าง ๆ ในองค์กร

การตั้งวัตถุประสงค์ คือ การคาดการณ์สำหรับการระบุเหตุการณ์ การประเมินความเสี่ยง และการตอบสนองความเสี่ยง การมีวัตถุประสงค์ก่อนการบริหารสามารถระบุความเสี่ยงสำหรับการบรรลุผลสำเร็จและเป็นการนำการปฏิบัติที่จำเป็นมาใช้ในการจัดการกับความเสี่ยง

การกำหนดวัตถุประสงค์จึงต้องมีความชัดเจนเพื่อให้การบ่งชี้ความเสี่ยงมีความน่าเชื่อถือ เมื่อได้กำหนดวัตถุประสงค์ขึ้นมาแล้วควรสื่อสารให้แก่หน่วยงานต่าง ๆ ที่เกี่ยวข้องในองค์กรด้วย เพื่อให้ผู้บริหารและพนักงานทุกคนมีความเข้าใจตรงกันและสามารถดำเนินการเพื่อมุ่งให้บรรลุเป้าหมายขององค์กรได้

1. วัตถุประสงค์เชิงกลยุทธ์ (Strategic Objective)/วัตถุประสงค์หลัก
พันธกิจขององค์กรถูกตั้งไว้อย่างกว้าง ๆ ว่าต้องการความสำเร็จอะไร อาจเรียกว่า พันธกิจ (Mission), วิสัยทัศน์ (Vision), หรือ เป้าหมาย (Purpose) ซึ่งล้วนแต่มีความสำคัญ ซึ่งฝ่ายบริหารที่มีความเอาใส่ใจได้สร้างไว้อย่างกว้าง ๆ ซึ่งเป็นเหตุผลในการเป็นอยู่ของกิจการ ผู้บริหารเป็นผู้ตั้งวัตถุประสงค์เชิงกลยุทธ์ สร้างกลยุทธ์และสร้างวัตถุประสงค์ที่เกี่ยวข้องเพื่อองค์กร ในขณะที่พันธกิจที่เป็นจริงและวัตถุประสงค์เชิงกลยุทธ์มีเสถียรภาพ กลยุทธ์และวัตถุประสงค์ที่เกี่ยวข้องจะมีความเป็นพลวัตรมากกว่าและสามารถปรับเปลี่ยนไปตามสภาพภายในและภายนอกได้

วัตถุประสงค์เชิงกลยุทธ์เป็นเป้าหมายระดับสูง เป็นแนวทางเดียวกันและสนับสนุนพันธกิจ วิสัยทัศน์ วัตถุประสงค์เชิงกลยุทธ์สะท้อนทางเลือกทางการบริหาร ในการทำอย่างไรให้องค์กรช่วยเพิ่มคุณค่าให้กับผู้มีผลประโยชน์ร่วม

ผู้บริหารเป็นผู้จัดตั้งเป้าหมายเชิงกลยุทธ์ (Strategic Objective) โดยเลือกกลยุทธ์ที่เกี่ยวข้องกับเป้าหมายระดับสูง (High-Level goal) และเป้าหมายดังกล่าวต้องสนับสนุนและเป็นไปในทิศทางเดียวกับวิสัยทัศน์และพันธกิจขององค์กร

ผู้บริหารระดับรองลงมา จะต้องกำหนดแผนปฏิบัติงานเพื่อรองรับแผนกลยุทธ์ และในแผนปฏิบัติงานนั้นต้องกำหนดวัตถุประสงค์เพื่อเชื่อมโยงและสอดคล้องกับเป้าหมายเชิงกลยุทธ์ ดังนั้นวัตถุประสงค์ที่กำหนดขึ้นจึงเป็นพื้นฐานสำคัญ ในการพิจารณาความเสี่ยงต่าง ๆ ที่อาจเกิดขึ้นและมีผลต่อความสำเร็จของวัตถุประสงค์นั้น ๆ

ในการพิจารณาเลือกกลยุทธ์เพื่อให้บรรลุผลสำเร็จ ผู้บริหารเป็นผู้ระบุความเสี่ยงกับระดับของกลยุทธ์ต่าง ๆ และพิจารณาสิ่งต่าง ๆ ที่เกี่ยวข้อง การระบุเหตุการณ์ที่หลากหลายและเทคนิคการประเมินความเสี่ยง สามารถนำมาใช้ในกระบวนการตั้งกลยุทธ์

2. วัตถุประสงค์ที่เกี่ยวข้อง
การตั้งวัตถุประสงค์ที่ถูกต้อง (ซึ่งสนับสนุนและเป็นไปในแนวทางเดียวกับกลยุทธ์ที่ได้เลือก) สัมพันธ์เกี่ยวข้องกับกิจกรรมขององค์กรเป็นสิ่งจำเป็นต่อความสำเร็จ หากมุ่งเน้นไปที่วัตถุประสงค์เชิงกลยุทธ์และกลยุทธ์ องค์กรได้ถูกวางไว้เพื่อพัฒนาวัตถุประสงค์ที่เกี่ยวข้องในระดับปฏิบัติการ ความสำเร็จจะสร้างและสงวนคุณค่าของวัตถุประสงค์เหล่านั้น ในวัตถุประสงค์แต่ละชุดจะเชื่อมโยงและรวมกับหลาย ๆ วัตถุประสงค์เฉพาะ ซึ่งลดหลั่นลงมาเป็นชั้น ๆ ผ่านองค์กรไปยังวัตถุประสงค์ย่อยซึ่งสร้างกิจกรรมที่หลากหลาย เช่น ยอดขาย การผลิต วิศวกรรมและงานด้านสาธารณูปโภคต่าง ๆ เป็นต้น

จากการตั้งวัตถุประสงค์ในระดับเอกลักษณ์และระดับกิจกรรมทำให้สามารถระบุปัจจัยสำคัญในความสำเร็จได้ ซึ่งหากต้องการไปถึงเป้าหมายจะต้องไปในทางที่ถูกต้อง ปัจจัยสำคัญมีอยู่เพื่อความเป็นจริงหน่วยธุรกิจ หน่วยงาน แผนกหรือปัจเจกบุคคล จากการตั้งวัตถุประสงค์ ผู้บริหารสามารถระบุเกณฑ์การวัดผลการปฏิบัติงานซึ่งมุ่งเน้นไปที่ปัจจัยสำคัญในความสำเร็จ

วัตถุประสงค์จะสอดคล้องกับการฝึกปฏิบัติและผลงาน การเชื่อมโยงระหว่างกิจกรรม อย่างไรก็ตามหากวัตถุประสงค์ใหม่มีความแตกต่างจากการปฏิบัติที่ผ่านมา ผู้บริหารมักเชื่อมต่อหรือเพิ่มความเสี่ยงขึ้น ซึ่งในกรณีนี้ความจำเป็นของวัตถุประสงค์ของหน่วยธุรกิจหรือวัตถุประสงค์ย่อยซึ่งสอดคล้องกับทิศทางใหม่จะมีความสำคัญมากกว่า

วัตถุประสงค์ต้องวัดได้และง่ายต่อการทำความเข้าใจ การบริหารความเสี่ยงของธุรกิจต้องการให้บุคลากรทุกระดับมีความเข้าใจวัตถุประสงค์ขององค์กรในแง่ที่มีความสัมพันธ์กับตนเอง พนักงานทุกคนจะต้องมีความเข้าใจสิ่งที่จะทำให้ประสบความสำเร็จและค่ากลางในการวัดผลของความสำเร็จ

กลุ่มของวัตถุประสงค์ที่เกี่ยวข้อง
เนื่องจากองค์กรต่าง ๆ มีวัตถุประสงค์ที่หลากหลาย จึงได้แบ่งเป็นกลุ่มได้ดังนี้
– วัตถุประสงค์เชิงปฏิบัติการ (Operation)
– เป็นวัตถุประสงค์ที่มุ่งสู่ความมีประสิทธิภาพและประสิทธิผลของการปฏิบัติงานขององค์กร ซึ่งรวมถึงวัตถุประสงค์ย่อยสำหรับการปฏิบัติที่มุ่งการส่งเสริมการปฏิบัติงานอย่างมีประสิทธิภาพและประสิทธิผล เพื่อที่จะนำพาองค์กรไปสู่เป้าหมายอันสูงสุด

– วัตถุประสงค์เชิงรายงาน(Reporting) – เป็นวัตถุประสงค์ที่เกี่ยวข้องกับความน่าเชื่อถือของการรายงาน ซึ่งรวมถึงรายงานภายในและภายนอก และอาจรวมถึงข้อมูลทางการเงินและข้อมูลที่ไม่ใช่การเงิน การรายงานที่น่าเชื่อถือทำให้ผู้บริหารได้รับข้อมูลที่ถูกต้องและสมบูรณ์เพื่อให้บรรลุเป้าหมายที่ตั้งไว้ และยังช่วยสนับสนุนการตัดสินใจของผู้บริหาร รวมทั้งช่วยตรวจสอบผลงานและกิจกรรมของผู้บริหาร ตัวอย่างของรายงานอาจรวมถึงผลของกิจกรรมทางการตลาด รายงานการขายประจำวัน คุณภาพการผลิต ลูกจ้าง และความพึงพอใจของลูกค้า รายงานที่น่าเชื่อถือทำให้ผู้บริหารมั่นใจในการเตรียมรายงานที่น่าเชื่อถือสำหรับการนำไปเผยแพร่ รายงานเหล่านี้รวมถึงเอกสารทางการเงินและเชิงอรรถ การอภิปรายและการวิเคราะห์ในระดับบริหารรวมทั้งรายงานต่างๆ ที่เก็บไว้คู่กับกฎระเบียบบริษัท

– วัตถุประสงค์ด้านการปฏิบัติตาม กฎ ระเบียบ ขององค์กร/ความร่วมมือ (Compliance ) – เป็นวัตถุประสงค์ที่ยึดตามกฎหมายและกฎระเบียบ ซึ่งขึ้นอยู่กับปัจจัยภายนอก เช่น กฎระเบียบเกี่ยวกับสิ่งแวดล้อม และมีแนวโน้มที่คล้ายคลึงกันทุกองค์กรและทุกอุตสาหกรรมในบางกรณี

 

แนวทาง/กรอบ/คู่มือบริหารความเสี่ยงขององค์กร

เป็นอย่างไรกันบ้างครับ หลังจากที่ท่านผู้สนใจได้ติดตามแนวทางการบริหารความเสี่ยงขององค์กร มาในระยะหนึ่งแล้ว ก่อนที่จะลงลึงไปในรายละเอียดของการจัดการความเสี่ยง ซึ่งผมจะได้อธิบายในโอกาสต่อไปนั้น ผมอยากให้ท่านผู้อ่านเห็นภาพของการบริหารจัดการความเสี่ยงขององค์กรว่ามีกระบวนการบริหารความเสี่ยงในภาพโดยรวมเป็นอย่างไร เพื่อที่จะได้เข้าใจและเตรียมพร้อมในการก้าวสู่การจัดการความเสี่ยงต่อไปครับ

กระบวนการบริหารความเสี่ยงในภาพโดยรวม

กระบวนการบริหารความเสี่ยงในภาพโดยรวม

กระบวนการบริหารความเสี่ยงที่มีประสิทธิผล ประกอบด้วย 5 ขั้นตอนต่อไปนี้

1. การกำหนดวัตถุประสงค์และกลยุทธ์
การกำหนดวัตถุประสงค์และกลยุทธ์ ควรกำหนดให้ชัดเจนและสื่อสารให้แก่หน่วยงานต่าง ๆ ที่เกี่ยวข้องในองค์กรด้วย เพื่อให้มีความเข้าใจตรงกัน

2. การบ่งชี้ความเสี่ยงในมิติต่าง ๆ
ความเสี่ยงและเหตุแห่งความเสี่ยงควรครอบคลุมในเรื่องต่อไปนี้
– ความเสียหายหรือเหตุการณ์ต่าง ๆ ที่อาจมีผลกระทบในเชิงลบต่อองค์กร
– ความไม่แน่นอนที่อาจมีผลต่อการบรรลุวัตถุประสงค์และกลยุทธ์ขององค์กร
– เหตุการณ์ที่อาจทำให้องค์กรเสียโอกาสในการได้สิ่งที่ดี

กระบวนการบ่งชี้ความเสี่ยงควรพิจารณาให้ครอบคลุมถึง
– ความเสี่ยงที่อาจเกิดขึ้นทุกประเภท เช่น ความเสี่ยงทางกลยุทธ์ การเงิน บุคลากร การดำเนินงาน ชื่อเสียง กฎหมาย ภาษีอากร ระบบงาน และสิ่งแวดล้อม เป็นต้น
– ความเสี่ยงที่อาจเกิดขึ้นจากสาเหตุทั้งภายในและภายนอกองค์กร

ทั้งนี้อาจอธิบายการสำรวจความเสี่ยงทั่งทั้งองค์กรด้วยภาพดังนี้

การสำรวจความเสี่ยงทั่วทั้งองค์กร

การสำรวจความเสี่ยงทั่วทั้งองค์กร

3. การประเมินความเสี่ยง
เมื่อบ่งชี้ความเสี่ยงได้แล้ว ควรทำการประเมินความเสี่ยง โดยพิจารณาความเสี่ยงที่มีอยู่ก่อนทำการควบคุมใด ๆ จากนั้นจึงพิจารณาดูว่าการปฏิบัติงานในปัจจุบันได้มีวิธีการอย่างไรในการจัดการความเสี่ยง โดยพิจารณาถึงการจัดการต่าง ๆ ดังนี้
– การปฏิบัติงานของผู้บริหารและพนักงาน
– กระบวนการการดำเนินงานขององค์กร
– กิจกรรมการควบคุมภายใน
– โครงสร้างขององค์กรและกระบวนการรายงาน
– การวัดผลการดำเนินงานและการติดตามผลของกิจกรรมต่าง ๆ
– วิธีการสื่อสารทั้งภายในและภายนอกองค์กร
– ทัศนคติของผู้บริหารต่อความเสี่ยงและวิธีการบริหารความเสี่ยง
– การปฏิบัติด้านบุคลากร
– การปฏิบัติต่อคู่ค้าและสัญญาทางธุรกิจขององค์กร

เมื่อได้พิจารณาถึงการจัดการต่าง ๆ แล้ว จึงทำการประเมินระดับความแรงของความเสี่ยงอีกครั้งหนึ่ง การประเมินความเสี่ยงทุกครั้ง ควรประเมินทั้งในเชิงคุณภาพ เช่น ชื่อเสียง การขาดบุคลากรหลักในการดำเนินงาน และเชิงปริมาณ เช่น ผลขาดทุน การลดลงของรายได้ หรือการเพิ่มขึ้นของค่าใช้จ่ายที่อาจมีผลต่อการบรรลุวัตถุประสงค์และกลยุทธ์ขององค์กร โดยการประเมินควรพิจารณาให้ครอบคลุมถึงประเด็นดังนี้
– โอกาสของความเสี่ยงที่อาจเกิดขึ้น (Likelihood) ความเสี่ยงมีโอกาสเกิดขึ้นได้มากน้อยเพียงไร
– ผลกระทบ (Impact) หากมีความเสี่ยงเกิดขึ้น องค์กรจะได้รับผลกระทบมากน้อยเพียงไร

4. การจัดการความเสี่ยง
การจัดการความเสี่ยงอาจใช้วิธีใดวิธีหนึ่งดังนี้
– การหลีกเลี่ยงไม่ยอมรับความเสี่ยงนั้นเลย จึงอาจทำให้ต้องเปลี่ยนวัตถุประสงค์
– การโอนย้าย โดยโอนความเสี่ยงให้ผู้อื่นช่วยรับผิดชอบ เช่น การทำประกันภัย
– การควบคุม ด้วยการหาวิธีการควบคุมเพิ่มเติมเพื่อจัดการความเสี่ยง
– การยอมรับ โดยใช้วิธีการเดิมต่อไปในการจัดการความเสี่ยง

การบริหารความเสี่ยงให้มีประสิทธิภาพ ต้องกำหนดบุคคลที่รับผิดชอบในการจัดการความเสี่ยงในแต่ละเรื่องที่ได้รับการบ่งชี้

บุคคลที่ได้รับมอบหมายให้รับผิดชอบในการจัดการความเสี่ยงในแต่ละเรื่อง ควรมีคุณสมบัติดังนี้
– สามารถทบทวนประสิทธิภาพของแนวปฏิบัติการบริหารความเสี่ยงที่มีอยู่ในปัจจุบัน
– สามารถจัดให้มีกิจกรรมต่าง ๆ ต่อไปนี้อย่างมีประสิทธิภาพและประสิทธิผล

 การกำหนดการควบคุมที่ต้องการเพิ่มเติมเพื่อจัดการความเสี่ยงให้อยู่ในระดับที่องค์กรยอมรับได้
 การประเมินความเสี่ยงที่เหลืออยู่หลังจากได้มีการจัดการในปัจจุบันแล้ว
 การกำหนดเวลาที่แน่นอนในแต่ละขั้นตอนการดำเนินการให้เป็นไปตามแผนที่กำหนดไว้

5. การติดตามผลและการรายงาน
องค์ประกอบหลักของการติดตามผลและการรายงานคือ
– การประเมินคุณภาพและความเหมาะสมในการปฏิบัติงานเพื่อลดความเสี่ยง รวมถึงการระบุความเสี่ยงที่สามารถโอนย้ายออกไปภายนอกองค์กรได้
– การรายงานความเสี่ยงจากทุกหน่วยงานในองค์กรอย่างสม่ำเสมอ สอดคล้องและต่อเนื่อง

องค์ประกอบสำคัญของการติดตามคือการสื่อสาร ที่ต้องดำเนินการอย่างรวดเร็วและสม่ำเสมอ โดยวิธีการที่หลากหลาย เช่น การประชุม การจัดทำรายงานประจำเดือน เพื่อให้ผู้บริหารได้ทำการสอบทานสถานะของความเสี่ยงและแผนการดำเนินงาน ซึ่งจะช่วยให้เกิดการบอกกล่าวข้อมูลที่สำคัญ และทำให้เกิดการตัดสินใจที่มีประสิทธิผลได้ทันเวลา

สิ่งที่ผมได้กล่าวมาทั้งหมดตั้งแต่ครั้งแรกจนถึงครั้งนี้ ผมขอสรุปบางมุมมองของการบริหารความเสี่ยงที่สอดประสานกันทั่วทั้งองค์กร เพื่อให้ท่านผู้อ่านเข้าใจภาพของการบริหารความเสี่ยงขององค์กรได้ชัดเจนยิ่งขึ้น

บางมุมมองของการบริหารความเสี่ยงที่สอดประสานทั่วทั้งองค์กร

บางมุมมองของการบริหารความเสี่ยงที่สอดประสานทั่วทั้งองค์กร

ในครั้งหน้าเราจะมาพูดกันถึงการจัดการความเสี่ยงขององค์กรโดยทั่วไปกันครับ