Posts Tagged "COSO-ERM Framework"

คู่มือ/กรอบการบริหารความเสี่ยงทั่วทั้งองค์กร

หลังจากที่ผมได้นำเสนอ กระบวนการบริหารความเสี่ยงทั่วทั้งองค์กร COSO – ERM ทั้ง 8 ประการ ต่อเนื่องกันมาหลายครั้งแล้ว โดยในครั้งที่ผ่านมา ผมได้จบเรื่องของการติดตามผลและการตรวจสอบ ซึ่งเป็นกระบวนการบริหารความเสี่ยงในขั้นสุดท้าย แต่นั่นก็ไม่ได้หมายความว่า การบริหารความเสี่ยงทั่วทั้งองค์กรจะสิ้นสุดเพียงเท่านี้ เพราะยังมีข้อจำกัดในการบริหารความเสี่ยงขององค์กรอีกหลายประการที่คณะกรรมการ ผู้บริหาร จะต้องทำความเข้าใจ

การบริหารความเสี่ยงขององค์กรทั่วไป ที่มีประสิทธิผลไม่ได้มีกำหนดไว้ว่าวิธีการใด จะเป็นการออกแบบและการปฏิบัติที่ดี การบริหารความเสี่ยง เป็นเพียงหลักประกันอย่างสมเหตุสมผลให้กับคณะกรรมการ และผู้บริหาร องค์กร ในการที่จะบริหารความเสี่ยงขององค์กรให้บรรลุผลสำเร็จ

การบรรลุผลสำเร็จขององค์กรขึ้นอยู่กับข้อจำกัดที่มีอยู่ในทุกกระบวนการบริหาร รวมถึงความเป็นจริงที่ว่าการตัดสินของบุคคลในการตัดสินใจมีข้อบกพร่องและรายละเอียดต่าง ๆ ที่อาจเกิดขึ้นเนื่องจากจุดด้อยของบุคคลนั้น เช่น ข้อผิดพลาดทั่วไปหรือจากประสิทธิภาพพนักงาน

ในการพิจารณาข้อจำกัดของการบริหารความเสี่ยงต้องพิจารณาแนวคิด 3 ประการดังนี้
- ประการแรก ความเสี่ยงเป็นเรื่องที่เกี่ยวข้องอนาคต ซึ่งมีความไม่แน่นอน
- ประการที่สอง การบริหารความเสี่ยงขององค์กรต้องดำเนินการในระดับที่แตกต่างกันเพื่อตอบสนองต่อวัตถุประสงค์ที่แตกต่างกัน
- ประการที่สาม การบริหารความเสี่ยงขององค์กรไม่สามารถเป็นเครื่องรับประกันในการตอบสนองต่อวัตถุประสงค์ประเภทต่าง ๆ ได้ทั้งหมด

ความรู้เรื่องข้อจำกัดประการแรกที่ควรทราบคือ ไม่มีใครที่สามารถทำนายอนาคตได้อย่างถูกต้อง ความรู้ในเรื่องที่สองคือ เหตุการณ์ที่เกิดขึ้นจริงอยู่นอกการควบคุมโดยทั่วไปของฝ่ายบริหาร ประการที่สามคือ ไม่มีกระบวนการใดจะสามารถดำเนินการได้ตามที่ได้ตั้งใจไว้

ข้อจำกัดของการตัดสินใจกับการบริหารความเสี่ยง
ประสิทธิผลของการบริหารความเสี่ยงถูกจำกัดโดยศักยภาพของบุคคลในการตัดสินใจทางการบริหาร การตัดสินใจเกิดขึ้นจากการตัดสินใจของบุคคลในเวลาที่มีอยู่ โดยมีพื้นฐานจากข้อมูลที่มีอยู่ในขณะนั้นและภายใต้แรงกดดันของการดำเนินงานเพื่อบรรลุเป้าหมาย

ข้อจำกัดในการแจงรายละเอียด
การบริหารความเสี่ยงขององค์กรที่ได้รับการออกแบบมาอย่างดี สามารถแจงรายละเอียดได้ บุคลากรอาจไม่เข้าใจข้อแนะนำ โดยอาจตัดสินผิดพลาด หรืออาจเกิดความผิดพลาดเนื่องจากการไม่ได้รับการดูแลเอาใจใส่ การไม่สนใจ หรือความเหนื่อยล้าหรือจากวัฒนธรรมขององค์กรที่มีจุดอ่อนอย่างสำคัญ

ข้อจำกัดของการสมรู้ร่วมคิดของพนักงาน
พฤติกรรมการสมรู้ร่วมคิดของพนักงานตั้งแต่ 2 คนขึ้นไปสามารถส่งผลต่อการบริหารความเสี่ยงขององค์กรได้ การปฏิบัติของแต่ละคนในการกระทำและปิดบังการปฏิบัติที่มักเลือกข้อมูลทางการเงินหรือข้อมูลในการบริหารอื่น ๆ ในเรื่องที่ไม่สามารถระบุได้โดยกระบวนการบริหารความเสี่ยง เช่น อาจมีการสมรู้ร่วมคิดกันระหว่างพนักงานที่ปฏิบัติงานในหน้าที่การควบคุมที่สำคัญ หรือพนักงานอื่น ๆ ที่ไม่สนใจในผลกระทบขององค์กร

ข้อจำกัดด้านต้นทุนกับผลตอบแทน
การมีทรัพยากรที่จำกัดและองค์กรต้องพิจารณาความสัมพันธ์ระหว่างต้นทุนกับผลประโยชน์เพื่อตัดสินใจ รวมทั้งเรื่องที่เกี่ยวข้องเพื่อตอบสนองความเสี่ยงและการดำเนินกิจกรรมการควบคุม

การวัดต้นทุนกับผลตอบแทนเพื่อการนำไปปฏิบัติในการระบุเหตุการณ์และความสามารถในการประเมินความเสี่ยงและการตอบสนองที่เกี่ยวข้อง และการทำกิจกรรมการควบคุมในระดับความแม่นยำที่แตกต่างกัน

การพัฒนาเรื่องต้นทุนที่เพิ่มขึ้นนั้นสามารถทำได้ง่ายกว่า ต้นทุนโดยตรง ทั้งหมดเกี่ยวข้องกับการตั้งความสามารถหรือการกำหนดการควบคุม และจะต้องพิจารณาต้นทุนทางอ้อมที่สามารถวัดได้ด้วย

อย่างไรก็ตามในการพิจารณาเรื่องต้นทุนนี้นั้นจะทำได้ยากก็เนื่องจากปัจจัยเรื่องสภาพแวดล้อม เช่น ความผูกพันของฝ่ายบริหารต่อค่านิยมเรื่องจริยธรรมหรือความสามารถของบุคคล และการได้มาซึ่งข้อมูลข่าวสารภายนอก

ส่วนทางด้านผลประโยชน์อาจขึ้นอยู่กับการประเมินค่าของผู้ประเมินมากขึ้น เช่น ถ้าความสูญเสียนั้นเกิดความเบี่ยงเบนไปจากที่เป็นอยู่ อันเนื่องมาจากประสิทธิผลของการบริหารความเสี่ยงขององค์กร ผลประโยชน์ที่ที่เกิดขึ้นมักไม่ได้สังเกตเห็น หรือประโยชน์ของการตอบสนองความเสี่ยง เช่น โปรแกรมการฝึกอบรมที่มีประสิทธิผลจะเห็นได้อย่างชัดเจนแต่ยากที่จะบอกถึงคุณภาพ

การพิจารณาเรื่องต้นทุนกับผลตอบแทนนี้มีความหลากหลายขึ้นอยู่กับธรรมชาติขององค์กร การค้นหาความสมดุลที่เหมาะสมจึงเป็นเรื่องที่มีความท้าทายต่อผู้บริหารองค์กรเป็นอย่างมาก

การกระทำผิดกฎเกณฑ์ ละเลย ของฝ่ายบริหาร
การบริหารความเสี่ยงขององค์กรจะเกิดประสิทธิผลได้ขึ้นอยู่กับบุคลากรที่ทำหน้าที่ทางด้านนี้ แม้องค์กรมีการบริหารและการควบคุมที่มีประสิทธิผล เช่น มีระดับของความซื่อสัตย์ต่อองค์กรและความตระหนักถึงเรื่องการควบคุมสูง ผู้บริหารก็อาจ Overrideหรือ ละเลย กระทำผิดกฎเกณฑ์ กระบวนการบริหารความเสี่ยงได้ ไม่มีระบบการบริหารหรือการควบคุมใดที่ไม่มีข้อผิดพลาด และระบบที่ผิดพลาดกับผู้ที่ทำผิดพลาดจะต้องตั้งใจที่จะค้นหาวิธีการหยุดข้อผิดพลาดนั้น

อย่างไรก็ตามการบริหารความเสี่ยงขององค์กรที่มีประสิทธิผลจะปรับปรุงความสามารถขององค์กรในการป้องกันและก้าวข้ามกิจกรรมเหล่านั้นไปได้

ความหมายของการ Override ของฝ่ายบริหารคือ การประพฤติออกนอกกรอบนโยบายหรือกระบวนการเพื่อวัตถุประสงค์ที่ไม่ถูกต้องตามกฎ เช่น ผลประโยชน์ของแต่ละบุคคลหรือการเสนอเงื่อนไขทางการเงินขององค์กรหรือสถานะที่มีการปฏิบัติตาม ผู้บริหารหรือสมาชิกของฝ่ายบริหารระดับสูง อาจ Override กระบวนการบริหารความเสี่ยงเพื่อเหตุผลหลายประการ เช่น

- เพิ่มการรายงานรายได้ หรือเพิ่มความสำเร็จ ให้ครอบคลุมในส่วนที่ไม่เกี่ยวข้อง
- เพิ่มการรายงานผลความสำเร็จ ให้พอกับงบประมาณจริง
- แสดงถึงการบรรลุเป้าหมาย เพื่อให้เกิดการจ่ายโบนัสตามผลการปฏิบัติงาน
- ปกปิดการไม่ปฏิบัติตามความต้องการของกฎหมาย ระเบียบ คำสั่ง

การ Override ของฝ่ายบริหารแสดงถึงการปฏิบัติของฝ่ายบริหารในการแยกตัวมาจากการกำหนดนโยบาย หรือกระบวนการเพื่อเป้าหมายที่ถูกต้องตามกฎหมาย การทำการ Override มักจะไม่ทำเป็นลายลักษณ์อักษรหรือเปิดเผย

ครั้งหน้าผมจะมาพูดถึงเรื่องบทบาทและการกำกับดูแลการบริหารความเสี่ยง โปรดติดตามต่อไปนะครับ

 

แนวทาง/กรอบการบริหารความเสี่ยงทั่วทั้งองค์กร

สวัสดีครับ วันนี้ผมจะมาเล่าต่อถึงการรายงานผลความเสี่ยงของผู้ตรวจสอบภายในว่า ภายหลังจากที่ผู้ตรวจสอบภายในได้ประเมินผล และทำการติดตามผลแล้ว ผู้ตรวจสอบภายในควรจะต้องรายงานผลต่อคณะกรรมการบริหารความเสี่ยง ซึ่งจะต้องรายงานในเรื่องใด และทำอย่างไรนั้น ผมจะนำเสนอต่อเลยนะครับ

กิจกรรมและขั้นตอนการบริหารใดที่มีจุดอ่อนที่ผู้ตรวจสอบภายในควรจะต้องรายงาน แม้ว่าไม่มีคำตอบที่เป็นสากลที่ชัดเจน แต่การเปรียบเทียบการบรรลุผลตามกิจกรรมและ/หรือผลลัพธ์ของแผนงานกับการปฏิบัติงานจริง จะช่วยชี้ประเด็นที่ผู้ตรวจสอบภายในสามารถรายงานศักยภาพการบริหารความเสี่ยงในระดับต่าง ๆ อย่างเป็นกระบวนการได้

ในการพิจารณาสิ่งจำเป็นในการติดต่อสื่อสาร และการรายงานผลการตรวจสอบภายในที่ผู้ตรวจสอบพึงปฏิบัติก็คือ การให้ข้อสังเกตที่มีนัยสำคัญต่อคุณภาพการบริหารความเสี่ยงทั้ง 8 ขั้นตอนอย่างเป็นกระบวนการ และให้คำแนะนำเพื่อสร้างคุณค่าเพิ่มในด้านการควบคุมการบริหารความเสี่ยง ที่ยังอาจไม่เหมาะสมที่ผู้รับการตรวจสอบในสายงานที่เกี่ยวข้องอาจนำไปใช้ลดจุดอ่อน และสร้างจุดแข็ง เพื่อให้แน่ใจอย่างสมเหตุสมผลว่า การบริหารความเสี่ยงของผู้ที่เกี่ยวข้องในระดับต่าง ๆ สามารถก้าวสู่การบรรลุวัตถุประสงค์ และเป้าหมายที่กำหนดได้

ทั้งนี้ ผู้ตรวจสอบภายในจะต้องมั่นใจในศักยภาพ ในความเป็นผู้ตรวจสอบภายในที่มีความรู้ในกระบวนการบริหารความเสี่ยงในระดับต่าง ๆ อย่างแท้จริง มิใช่เพียงแต่ระบุจุดอ่อนของผู้ได้รับการตรวจสอบ แต่ไม่ได้ให้คำแนะนำที่ชัดเจนในการเพิ่มคุณค่าของกระบวนการบริหารความเสี่ยงในการควบคุมภายในที่เหมาะสม

หากมีข้อโต้แย้งหรือความเห็นที่แตกต่างระหว่างผู้ได้รับการตรวจสอบกับผู้ตรวจสอบ ความเห็นที่แตกต่างและข้อเสนอแนะของฝ่ายตรวจสอบภายใน ควรจะได้รับการบันทึกไว้ในรายงานการตรวจสอบและดำเนินการตามมาตรฐานการตรวจสอบของสมาคมผู้ตรวจสอบภายในสากลด้วย

ผู้ตรวจสอบภายในควรจะรายงานผลในเรื่องใดบ้าง
ข้อมูลที่สร้างจากกิจรรมการปฏิบัติงานจะถูกรายงานผ่านช่องทางปกติไปสู่หัวหน้างานทันที หัวหน้างานอาจสื่อสารไปสู่เบื้องบนตามลำดับในองค์กร เพื่อให้ข้อมูลสิ้นสุดที่บุคลากรที่สามารถปฏิบัติได้

ช่องทางเลือกของการติดต่อสื่อสารควรมีอยู่เพื่อการรายงานผลข้อมูลที่อ่อนไหว เช่น เรื่องผิดกฎหมาย ผิดระเบียบ คำสั่ง หรือการปฏิบัติที่ไม่เหมาะสม การพบข้อบกพร่องของการบริหารความเสี่ยงควรถูกรายงานที่เฉพาะต่อความรับผิดชอบของปัจเจกบุคคลเพื่อหน้าที่หรือกิจกรรมที่เกี่ยวข้อง แต่อย่างน้อยเพื่อผู้บริหารระดับที่เหนือกว่าบุคคลนั้น และแน่นอนว่าจะต้องรายงานตามสายการบังคับบัญชาด้วยเสมอ

เรามาดูกันต่อนะครับว่า การรายงานความเสี่ยงนั้นมีประโยชน์อย่างไรต่อการบริหารความเสี่ยงกันบ้าง
1. ทำให้คณะกรรมการขององค์กร มั่นใจว่าความเสี่ยงขององค์กรสอดคล้องกับกลยุทธ์ความเสี่ยงที่ได้รับอนุมัติ และพิจารณาได้ว่าหน้าที่การบริหารความเสี่ยงได้รับการปฏิบัติอย่างมีประสิทธิผล และช่วยในการติดตามที่สำคัญในกรณีที่จำเป็น

2. หัวหน้ากลุ่มต่าง ๆ และผู้บริหารระดับสูงสามารถบ่งชี้และเข้าใจความเสี่ยงที่เกิดขึ้น และข้อกำหนดกิจกรรมการลดความเสี่ยงที่มีประสิทธิผลในระดับกลยุทธ์และระดับปฏิบัติการ

3. หัวหน้ากลุ่มและผู้บริหารระดับสูงสามารถยืนยันได้ว่าการควบคุมความเสี่ยงที่สำคัญได้ถูกนำไปปฏิบัติและดำเนินการอย่างประสบความสำเร็จ และหลีกเลี่ยงความผิดพลาดและล้มเหลวต่าง ๆ ที่จะมีผลต่อการบรรลุวัตถุประสงค์ขององค์กร

ตัวอย่างเอกสารการรายงานความเสี่ยง
- ตารางความเสี่ยง (Risk Matrix)
ตารางความเสี่ยง คือ ทะเบียนความเสี่ยงที่ประกอบไปด้วยข้อมูลของแต่ละความเสี่ยง

ตัวอย่างตารางความเสี่ยง

- แผนภาพความเสี่ยง (Risk Map)
แผนภาพความเสี่ยงจัดทำขึ้นเพื่อแสดงความเสี่ยงแต่ละเรื่องไว้ด้วยกัน และแสดงภาพใหญ่ของความเสี่ยงทั้งหมดและความสำคัญแต่ละเรื่อง

แผนภาพความเสี่ยงเป็นเครื่องมือช่วยในการ
- แสดงการประเมินความเสี่ยงเชิงคุณภาพ
- แสดงตำแหน่งของความเสี่ยง
- สนับสนุนการตัดสินใจในระดับความสำคัญของความเสี่ยงในภาพรวม

การติดตามผลและการรายงานความเสี่ยง

- แผนผังความเสี่ยง
แผนผังความเสี่ยงแสดงความสัมพันธ์ระหว่างโอกาสเกิดและผลกระทบของความเสี่ยงที่บ่งชี้ได้ นอกจากนี้ยังสามารถให้ผู้บริหารใช้เป็นเครื่องมือสำหรับวัดผลและรายงานความเสี่ยงขององค์กร

องค์ประกอบสำคัญของการติดตามผล

 

แนวทาง/กรอบการบริหารความเสี่ยงทั่วทั้งองค์กร

ในส่วนของแนวทางการบริหารความเสี่ยงทั่วทั้งองค์กร ผมจะมาเล่าสู่กันฟังในเรื่องของกระบวนการบริหารความเสี่ยง (COSO – ERM) ทั้ง 8 ประการ ซึ่งจะต่อกันด้วยระบบสารสนเทศและการติดต่อสื่อสาร (Information and Communication) ที่ได้กล่าวไปในครั้งที่แล้วเกี่ยวกับเรื่องของข้อมูล หรือสารสนเทศ สำหรับวันนี้จะกล่าวถึงการติดต่อสื่อสาร ไปติดตามต่อกันเลยนะครับ

การติดต่อสื่อสาร
การติดต่อสื่อสารเป็นธรรมชาติในระบบข้อมูล ดังที่เคยอธิบายแล้ว ระบบข้อมูลจะให้ข้อมูลกับคนที่เหมาะสม เพื่อให้ปฏิบัติงาน รายงานทางการเงินและความรับผิดชอบเชิงความร่วมมือ
แต่การติดต่อสื่อสารมักเกิดขึ้นในความหมายที่กว้าง การจัดการกับความคาดหวัง ความรับผิดชอบของแต่ละคน และกลุ่ม และเรื่องสำคัญอื่น ๆ

การติดต่อสื่อสารภายใน
ผู้บริหารติดต่อสื่อสารโดยตรง และเฉพาะเจาะจง ในเรื่องความคาดหวังเชิงพฤติกรรม และความรับผิดชอบของบุคคล

การสื่อสาร รวมถึงการให้ความกระจ่างในเรื่องปรัชญาการบริหารความเสี่ยงขององค์กร และวิธีการการแบ่งอำนาจหน้าที่ให้กระจ่าง การสื่อสารในเรื่องกระบวนการ และขั้นตอนการปฏิบัติควรเป็นไปในแนวทางเดียวกับวัฒนธรรมในเรื่องความเสี่ยง

การติดต่อสื่อสารควรมีประสิทธิภาพ
- มั่นใจว่ามีความรู้ในเรื่องความสำคัญ และความสัมพันธ์ของการบริหารความเสี่ยงที่มีประสิทธิภาพ
- ติดต่อสื่อสารเรื่องความเสี่ยงที่ยอมรับได้ และระดับความเสี่ยงที่ยอมรับได้
- ดำเนินการและสนับสนุนภาษาเกี่ยวกับความเสี่ยงโดยทั่วไป
- แนะนำบุคคลในเรื่องบทบาท และหน้าที่รับผิดชอบ เพื่อช่วยในการสนับสนุนในส่วนประกอบของการบริหารความเสี่ยง

บุคลากรทั้งหมดโดยเฉพาะผู้ที่มีความรับผิดชอบในการบริหารการเงิน และบริหารการจัดการ จำเป็นต้องได้รับข้อมูลจากผู้บริหารระดับสูง ซึ่งมีการจัดการด้านความเสี่ยงอย่างจริงจัง ความกระจ่างของข้อมูล และความมีประสิทธิภาพของการติดต่อสื่อสารมีความสำคัญ

บุคลากรควรรู้ว่าเมื่อไรสิ่งที่ไม่คาดหวังจะเกิดขึ้น ความตั้งใจต้องมอบให้ไม่เฉพาะต่อเหตุการณ์แต่ต้องใส่ใจสาเหตุด้วย ในกรณีนี้ระบบที่อ่อนแอถูกแยกแยะ และมีการกระทำเพื่อป้องกันไม่ให้เกิดซ้ำ เช่น การพบสินค้าคงคลังที่ไม่สามารถขายได้นั้น ไม่เพียงแต่ตัดบัญชีในรายงานการเงิน แต่เป็นการระบุว่าเหตุใดสินค้าคงคลังจึงไม่สามารถขายได้เป็นอันดับหนึ่ง

บุคลากรจำเป็นต้องรู้ว่ากิจกรรมต่าง ๆ เกี่ยวข้องกับงานของส่วนอื่น ๆ อย่างไร ความรู้เหล่านี้ช่วยให้เข้าใจปัญหา หรือระบุสาเหตุ และวิธีการแก้ไข และจำเป็นต้องรู้ว่าพฤติกรรมอะไรยอมรับได้ และยอมรับไม่ได้ มีการนำการเผยแพร่รายงานการฉ้อโกงในกรณีผู้จัดการอยู่ภายใต้ความกดดันในการบรรลุงบประมาณ หลอกลวงผลการปฏิบัติงาน

ตัวอย่างทั้งหลายนี้ ไม่มีใครบอกได้ว่าแต่ละคน ซึ่งรายงานผิดพลาดนั้น ทำผิดกฎหมายหรือไม่ถูกต้อง ซึ่งเน้นลักษณะสำคัญของการติดต่อสื่อสารข้อความภายในองค์กร ผู้จัดการที่แนะนำลูกน้องว่า “ทำให้ได้ตามงบประมาณ ผมไม่สนใจว่าจะใช้วิธีใด” สามารถส่งโดยไม่เป็นลายลักษณ์อักษรด้วยข้อความที่ผิด

พนักงานส่วนหน้าซึ่งติดต่อกับเรื่องการปฏิบัติการที่สำคัญทุก ๆ วัน จะอยู่ในตำแหน่งที่ดีที่สุดในการตระหนักถึงปัญหาที่พวกเขาพบเจอ เช่น พนักงานขายหรือผู้จัดการบัญชีอาจเรียนรู้ความจำเป็นของการออกแบบผลิตภัณฑ์เพื่อลูกค้าคนสำคัญ บุคลากรฝ่ายผลิตตระหนักถึงความสูญเสีย ในเรื่องความบกพร่องของกระบวนการ และบุคลากรด้านจัดซื้ออาจเผชิญกับสินน้ำใจที่ไม่เหมาะสมจาก Supplier

ข้อมูลจะถูกนำเสนอไปสู่ส่วนบน ดังนั้น จะต้องมีการเปิดช่องทางของการติดต่อสื่อสาร และทำให้เกิดความเต็มใจที่จะรับฟัง บุคลากรต้องมีความเชื่อว่า หัวหน้างานต้องการรู้เกี่ยวกับปัญหาและจะจัดการปัญหาอย่างมีประสิทธิภาพ ผู้จัดการเกือบทุกคนตระหนักว่าพวกเขาควรหลีกเลี่ยง “การทำลายผู้ส่งข้อความ”

แต่เมื่อเกิดความกดดันขึ้นทุกวัน พวกเขาไม่นำความคิดไปสู่คนที่นำพวกเขาไปสู่ปัญหา บุคลากรมีความไวต่อการรับรู้ในสัญลักษณ์ที่พูดออกมา และไม่ได้พูดออกมา ซึ่งหัวหน้าไม่มีเวลา หรือไม่สนใจที่จะจัดการกับปัญหา การรวมของปัญหาผู้จัดการที่ไม่รับความคิดเป็นคนสุดท้ายที่จะรู้ว่า ช่องทางการติดต่อสื่อสารถูกปิดลงอย่างมีประสิทธิภาพ

ช่องทางการติดต่อสื่อสาร ควรทำให้มั่นใจว่าบุคลากรสามารถสื่อสารบนพื้นฐานของความเสี่ยงข้ามหน่วยธุรกิจ กระบวนการ เช่น การเพิ่มขึ้นของคำติดชมของลูกค้าเกี่ยวกับการดูแลสินค้าโดยกลุ่มผู้บริการลูกค้า อาจจำเป็นต้องทำให้มีการพัฒนาการออกแบบผลิตภัณฑ์

ความล้มเหลวในการติดต่อสื่อสารเกิดขึ้นได้ เมื่อบุคคลหรือหน่วยต่าง ๆ ไม่เห็นด้วยหรือไม่มีเครื่องมือในการช่วยให้ข้อมูลสำคัญกับคนอื่น ๆ บุคคลากรอาจต้องระวังเรื่องความเสี่ยงที่สำคัญแต่ไม่สามารถรายงานผลได้

ส่วนมากสายการรายงานโดยปกติในองค์กรเป็นช่องทางที่เหมาะสมของการติดต่อสื่อสาร อย่างไรก็ตามในบางโอกาสสายที่แยกออกมาของการติดต่อสื่อสารก็จำเป็น ในกรณีเป็นเครื่องมือช่วยป้องกันการผิดพลาดในกรณีที่ช่องทางปกติไม่สามารถทำงานได้

บางองค์กรจัดช่องทางโดยตรงสำหรับผู้บริหารอาวุโส หัวหน้าผู้ตรวจสอบภายในหรือ ที่ปรึกษาทางกฎหมาย หากปราศจากช่องทางการสื่อสารที่เปิดเผย และความเต็มใจที่จะรับฟังแล้ว การไหลของข้อมูลจากล่างสู่บนอาจถูกปิดกั้น

ในทุกกรณีสิ่งสำคัญคือ การที่บุคลากรเข้าใจว่าจะไม่มีการโต้ตอบด้วยกำลังสำหรับการรายงานข่าวสารที่เกี่ยวข้องกัน ข้อความที่กระจ่างถูกส่งโดยกลไก ซึ่งสนับสนุนให้ลูกจ้างรายงานสิ่งผิดปกติของการปฏิบัติงาน และการดูแลของบุคลากรผู้รายงาน

ช่องทางการติดต่อสื่อสารที่สำคัญที่สุดอยู่ระหว่างผู้บริหารระดับสูง และกรรมการผู้บริหาร ผู้บริหารต้องรายงานความคืบหน้าในเรื่องต่าง ๆ ให้กรรมการได้รู้ เช่น ผลการปฏิบัติงาน การพัฒนา ความเสี่ยง และการทำงานของการบริหารความเสี่ยงขององค์กร รวมทั้งเรื่องต่าง ๆ ที่เกี่ยวข้อง

ยิ่งการติดต่อสื่อสารดีขึ้นมากเท่าใด ผู้บริหารที่มีประสิทธิภาพยิ่งต้องจัดการกับความรับผิดชอบที่ผิดพลาดยิ่งขึ้น ในฐานะเป็นผู้ประกาศเกี่ยวกับเรื่องสำคัญ และให้คำแนะนำคำปรึกษาและทิศทางการทำงาน ในกรณีนี้กรรมการควรสื่อสารกับผู้บริหารว่าต้องการข้อมูลอะไร และส่งข้อมูลย้อนกลับและแนวทางปฏิบัติไปให้

 

แนวทาง/กรอบการบริหารความเสี่ยงทั่วทั้งองค์กร

วันนี้ผมยังคงพูดคุยกับท่านอยู่ในเรื่องของกระบวนการบริหารความเสี่ยง ทางด้านระบบสารสนเทศและการติดต่อสื่อสาร (Information and Communication) ซึ่งในครั้งนี้จะพูดถึงข้อมูลเชิงลึกและความสามารถในการเรียกใช้ข้อมูล

ข้อมูลเชิงลึกและความสามารถในการเรียกใช้ข้อมูล
แหล่งข้อมูลด้านโครงสร้างพื้นฐาน และการดับจับข้อมูลในกรอบเวลา และความคงที่ในเชิงลึกกับความจำเป็นขององค์กรในการแยกแยะ ประเมินและตอบสนองความเสี่ยง และยังคงอยู่ภายในระดับความเสี่ยงที่ยอมรับได้ ความถูกเวลาในการไหลของข้อมูลต้องการความคงที่กับอัตราการเปลี่ยนแปลงภายในทั้งในองค์กรและสิ่งแวดล้อมภายในและภายนอก

ข้อมูลด้านโครงสร้างพื้นฐานแปลงข้อมูลดิบให้เป็นข้อมูลที่เกี่ยวข้องซึ่งจะช่วยในการบริหารความเสี่ยงขององค์กร และความรับผิดชอบอื่น ๆ ข้อมูลถูกเตรียมอย่างเป็นรูปแบบและมีกรอบเวลา ซึ่งสามารถนำไปปฏิบัติได้ง่ายต่อการใช้งานอย่างมีเหตุมีผลและเชื่อมไปสู่การตรวจสอบได้

ความก้าวหน้าในการเก็บข้อมูล การประมวลผลข้อมูลและการเก็บรักษาข้อมูล แสดงผลลัพธ์ด้วยการเติบโตของปริมาณข้อมูล การมีข้อมูลที่มากเพียงพอ มีคนในองค์กรจำนวนมาก ความท้าทายคือการหลีกเลี่ยง “การมีข้อมูลมากเกินไป” โดยการมั่นใจว่าการไหลของข้อมูลที่ถูกต้องในรูปแบบที่ถูกต้อง ในระดับของรายละเอียดที่ถูกต้อง ไปสู่บุคคลที่ถูกต้องในเวลาที่ถูกต้อง ในการพัฒนาโครงสร้างพื้นฐานข้อมูล ควรพิจารณาความต้องการข้อมูลของผู้ใช้และสรุปข้อมูลที่ผู้บริหารแต่ละระดับต้องการใช้

มาดูกันในเรื่องของคุณภาพของข้อมูลกันบ้างครับ
การเพิ่มขึ้นของการพึ่งพาระบบข้อมูลและระบบการใช้ข้อมูลช่วยในการตัดสินใจ และกระบวนการความเชื่อถือได้ของข้อมูลเป็นสิ่งสำคัญ ข้อมูลที่ไม่ถูกต้องจะส่งผลในแง่ของความเสี่ยงที่แยกแยะไม่ได้ หรือการประเมินค่าและการตัดสินใจทางด้านการบริหารที่ไม่ดีนัก

คุณภาพของข้อมูล ควรพิจารณาในเรื่องดังต่อไปนี้
- เนื้อหามีความเหมาะสม – รายละเอียดอยู่ในระดับที่ถูกต้องหรือไม่
- ข้อมูลได้มาถูกเวลา – ข้อมูลมีเมื่อต้องการหรือไม่
- ข้อมูลเป็นปัจจุบัน – ข้อมูลที่ได้มาล่าสุดเมื่อใด
- ข้อมูลถูกต้อง – ข้อมูลนี้ถูกต้องหรือไม่
- ข้อมูลใช้ในการประเมินได้ – ข้อมูลง่ายต่อการใช้งานของผู้ที่ต้องการหรือไม่

IT Governance and Information

เพื่อให้มั่นใจว่าข้อมูลมีคุณภาพ องค์กรได้สร้างโปรแกรมการจัดการข้อมูล การรวบรวมความต้องการ การบำรุงรักษา และการกระจายข้อมูลและการบริหารข้อมูล หากไม่มีโปรแกรมเหล่านี้ ระบบข้อมูลอาจไม่ได้ช่วยในการบริหารข้อมูลและความต้องการส่วนบุคคลอื่น ๆ

ความท้าทายประกอบด้วย ความขัดแย้งเรื่องความต้องการเชิงหน้าที่ การบังคับเชิงระบบ และกระบวนการที่ไม่มีการบูรณาการ สามารถรับช่วงข้อมูลที่หามาได้และการใช้ที่มีประสิทธิภาพเพื่อให้บรรลุความท้าทาย ผู้บริหารสร้างแผนกลยุทธ์ด้วยการสามารถตรวจสอบได้และด้วยความรับผิดชอบเพื่อความสมบูรณ์ของข้อมูลและสร้างการประเมินคุณภาพของข้อมูล

โดยทั่วไป กลยุทธ์การบริหารข้อมูลมักขยายสู่องค์กร การขยายตัวของระบบ e-Business การไหลของข้อมูลในเรื่องผลงานขององค์กรจะรวมถึง Supply Chain คู่ค้าทางธุรกิจ ลูกค้า และอื่น ๆ ส่วนมากข้อมูลด้านการปฏิบัติการ การเงิน การแบ่งปันเชิงความร่วมมือของข้อมูลและมองเห็นได้ชัดด้วยคู่ค้าเชิงกลยุทธ์ที่สำคัญ ข้อมูลจำเป็นสำหรับการบริหารความเสี่ยงอาจปรับขนาดองค์กรทั้งภายในและภายนอก

การมีข้อมูลที่ถูกต้อง ตรงเวลาและถูกสถานที่ มีความสำคัญในการบริหารความเสี่ยงและการควบคุม นั่นเป็นเหตุผลที่ทำให้ระบบข้อมูลจะต้องถูกควบคุมในแง่ที่เป็นส่วนประกอบของการบริหารความเสี่ยง

 

แนวทาง/กรอบการบริหารความเสี่ยงทั่วทั้งองค์กร

ช่วงเดือน พ.ย. 2552 นี้ ก็เข้าปลายปีแล้ว อากาศก็เริ่มเปลี่ยน แต่ก็ไม่ถึงกับหนาวครับ แค่มีลมหนาวเย็น ๆ พอให้รู้ว่าเข้าหน้าหนาว ซึ่งปัจจุบันเมืองไทยของเราไม่ค่อยจะมีอากาศหนาวซักเท่าไหร่แล้ว หน้าหนาวก็จะสั้น ไม่หนาวนาน อย่างไรก็ดูแลรักษาสุขภาพกันนะครับ

วันนี้เรามาต่อในเรื่องที่ยังค้างกันไว้ดีกว่า จากครั้งที่แล้วผมได้เล่าถึง การบริหารความเสี่ยงของระบบสารสนเทศและการสื่อสาร (Information and Communication) ในส่วนของข้อมูลที่เกี่ยวข้อง (Pertinent Information) จากแหล่งภายในและภายนอก ระบบข้อมูลที่มีการออกแบบและถูกใช้เพื่อสนับสนุนกลยุทธ์ทางธุรกิจ รวมถึงความสำคัญของช่องทางการสื่อสารข้อมูลที่เหมาะสมบนพื้นฐานของความเสี่ยง

สำหรับการบริหารความเสี่ยงทางด้านสารสนเทศและการสื่อสารนั้น ข้อมูลข่าวสารจำเป็นกับทุกระดับขององค์กรในการแยกแยะ ประเมินค่า และตอบสนองต่อความเสี่ยง และการบรรลุวัตถุประสงค์ รวมทั้งการดำเนินการขององค์กร การจัดเรียงข้อมูลถูกนำมาใช้สัมพันธ์กับประเภทของวัตถุประสงค์ 1 ประเภท หรือมากกว่า

ข้อมูลด้านการเงินไม่ได้ใช้เฉพาะการพัฒนาเอกสารทางการเงินสำหรับการเผยแพร่สู่ภายนอก แต่ใช้เพื่อการตัดสินใจ เช่น การตรวจสอบการปฏิบัติงานและการจัดสรรทรัพยากร ข้อมูลทางการเงินที่เชื่อถือได้เป็นพื้นฐานของการวางแผน การทำงบประมาณ การตั้งราคา การประเมินผลงานของผู้ขาย การประเมินค่าของคู่ค้าร่วม และพันธมิตร และกิจกรรมทางการบริหารระดับอื่น ๆ

เช่นเดียวกัน ข้อมูลด้านการปฏิบัติงานจำเป็นต่อการพัฒนารายงานทางการเงิน ซึ่งประกอบด้วยการเดินบัญชีประจำวันด้านการซื้อขายและอื่น ๆ เช่นเดียวกับข้อมูลข่าวสารของการเปิดตัวสินค้าของคู่แข่ง หรือสภาพทางเศรษฐกิจ ซึ่งมีผลต่อสินค้าคงคลังและมูลค่าที่รับได้ ข้อมูลการปฏิบัติงานจากแหล่งภายในและภายนอก ทั้งข้อมูลด้านการเงินและไม่ใช่การเงินเกี่ยวข้องกับวัตถุประสงค์ทั้งหมดของธุรกิจ ตัวอย่างเช่น ข้อมูลการขนส่งทางอากาศหรือข้อมูลส่วนบุคคลจะต้องบรรลุผลทั้งด้านวัตถุประสงค์เชิงความร่วมมือและวัตถุประสงค์การรายงานสู่ภายนอก

ข้อมูลข่าวสารมีที่มาจากหลายแหล่ง จากภายใน ภายนอก ทั้งในเชิงปริมาณและเชิงคุณภาพ และช่วยในการตอบสนองต่อการเปลี่ยนแปลงเงื่อนไข ความท้าทายสำหรับผู้บริหารคือทำให้ข้อมูลจำนวนมากกลายเป็นข้อมูลที่นำมาปฏิบัติได้ ความท้าทายนี้จะทำได้โดยการสร้างโครงสร้างพื้นฐานของระบบข่าวสารข้อมูล ดักจับ ประมวลผล วิเคราะห์และรายงานผลข้อมูลข่าวสารที่เกี่ยวข้อง ระบบข้อมูลข่าวสารเหล่านี้มักเป็นระบบคอมพิวเตอร์ แต่รวมถึงการนำเข้าข้อมูลด้วยมือหรือ Interface บ่อยครั้งที่ถูกมองในบริบทของการประมวลผลการข้อมูลภายใน แต่ระบบข่าวสารข้อมูลมีการใช้งานที่กว้างกว่า

การใช้งานเกี่ยวข้องกับข่าวสารข้อมูลในเรื่องเหตุการณ์ภายนอก กิจกรรม และเงื่อนไข ตัวอย่างเช่น ข้อมูลด้านอุตสาหกรรมและการตลาดที่ส่งสัญญาณการเปลี่ยนแปลงความต้องการของสินค้าและบริการของบริษัท ข้อมูลของสินค้าและบริการสำหรับกระบวนการผลิต ความฉลาดทางการตลาดเรื่องความชอบหรือความต้องการของลูกค้า ข้อมูลของกิจกรรมด้านพัฒนาผลิตภัณฑ์ของคู่แข่ง และความคิดริเริ่มเกี่ยวกับกฎระเบียบหรือกฎหมาย

ระบบข่าวสารข้อมูลมีทั้งแบบเป็นทางการและไม่เป็นทางการ การสนทนากับลูกค้า Supplier ผู้ดูแลกฎระเบียบและบุคลากร ทำให้ได้ข้อมูลข่าวสารที่สำคัญที่ต้องนำมาแยกแยะความเสี่ยงและโอกาส เช่นเดียวกับการเข้าร่วมการสัมมนาอุตสาหกรรมและการเป็นสมาชิกในสมาคมการค้าจะนำมาซึ่งข้อมูลที่มีคุณค่า

การเก็บข้อมูลให้ตรงกับความต้องการมีความสำคัญ เมื่อองค์กรเผชิญกับการเปลี่ยนแปลงด้านอุตสาหกรรม เผชิญกับนวัตกรรมระดับสูงและคู่แข่งที่เคลื่อนตัวอย่างรวดเร็ว หรือการเปลี่ยนแปลงของความต้องการลูกค้า ระบบข้อมูลข่าวสารต้องเปลี่ยนแปลงให้ตรงกับความต้องการเพื่อสนับสนุนวัตถุประสงค์ใหม่ ระบบข้อมูลข่าวสารไม่ได้เพียงแยกแยะและดักจับข้อมูลทางการเงินและไม่ใช้การเงินที่จำเป็น แต่ต้องสามารถประมวลผลและรายงานข้อมูลในกรอบเวลาและหาทางที่เป็นประโยชน์ในการควบคุมกิจกรรมต่าง ๆ ขององค์กร

กลยุทธ์และการบูรณาการระบบ
เนื่องจากองค์กรมีความร่วมมือและร่วมกับลูกค้า คู่ค้าทางธุรกิจและกฎระเบียบมากขึ้น หน่วยงานที่อยู่ระหว่างผู้ออกแบบระบบและหน่วยงานภายนอกจะเกิดความสับสนเพิ่มขึ้น ด้วยเหตุนี้ข้อมูลและการประมวลผลข้อมูลและการบริหารข้อมูลกลายเป็นความรับผิดชอบร่วมกันขององค์กร ในกรณีเช่นนี้ ผู้ออกแบบระบบข้อมูลขององค์กรจะต้องมีความยืดหยุ่นเพียงพอ และว่องไวที่จะบูรณาการอย่างมีประสิทธิภาพกับลูกค้าใหม่และคู่ค้าทางธุรกิจ

การออกแบบระบบข้อมูลและการหามาได้ซึ่งเทคโนโลยีเป็นสิ่งสำคัญในเรื่องกลยุทธ์องค์กร และทางเลือกเกี่ยวกับเทคโนโลยีก็มีความสำคัญต่อการบรรลุผลสำเร็จขององค์กร การตัดสินใจเลือกเทคโนโลยีและการนำไปปฏิบัติขึ้นอยู่กับปัจจัยหลายอย่าง รวมถึงเป้าหมายขององค์กร ความต้องการ สถานที่วางตลาด และความต้องการทางการแข่งขัน ในขณะที่ระบบข้อมูลเป็นรากฐานของการบริหารความเสี่ยงขององค์กร เทคนิคการบริหารความเสี่ยงสามารถช่วยในการตัดสินใจในเรื่องเทคโนโลยี

ในครั้งหน้าเราจะไปพูดกันถึงข้อมูลเชิงลึกและความสามารถในการเรียกใช้ข้อมูล รวมทั้งคุณภาพของข้อมูลที่มีผลต่อการตัดสินใจในด้านการบริหารกันครับ

 

แนวทาง/กรอบการบริหารความเสี่ยงทั่วทั้งองค์กร

หวังว่าคงจะพอจำกันได้นะครับ กับกระบวนการบริหารความเสี่ยง ตามหลัก COSO – Enterprise Risk Management (ERM) ทั้ง 8 ประการที่ผมเคยพูดถึง หากจำไม่ได้หรือต้องการทบทวนก็สามารถไปดูได้ที่ COSO-ERM มาถึงตอนนี้ก็เข้าสู่องค์ประกอบการบริหารความเสี่ยงหรือกระบวนการบริหารความเสี่ยง ขั้นที่ 7 ซึ่งจะเป็นการบริหารความเสี่ยงที่เกี่ยวกับระบบสารสนเทศและการสื่อสาร (Information and Communication) ที่ผมจะพูดคุยกันในวันนี้

ข้อมูลที่เกี่ยวข้อง (Pertinent Information) จากแหล่งภายในและภายนอก จะต้องมีการระบุและมีการสื่อสารในรูปแบบที่เป็นทางการ มีการระบุตารางเวลาทำให้แต่ละบุคคลสามารถดำเนินการตามความรับผิดชอบของตน

การสื่อสารที่มีประสิทธิภาพนั้นเป็นได้ทั้งในเชิงกว้าง ทั้งจากระดับล่างและระดับบนภายในองค์กร รวมถึงมีการสื่อสารแลกเปลี่ยนข่าวสารต่อภายนอกองค์กรที่มีความเกี่ยวข้องกัน เช่น ลูกค้า ผู้จัดหาวัตถุดิบ ผู้รักษากฎระเบียบ หรือผู้มีผลประโยชน์ร่วม

ข้อมูลต่าง ๆ ทั้งหลาย ถูกต้องการในทุกระดับขององค์กร เพื่อที่จะระบุทรัพย์สินและการสนองตอบต่อความเสี่ยง และในอีกนัยหนึ่งคือ เพื่อที่จะดำเนินงานขององค์กรและประสบความสำเร็จในเป้าหมาย ข้อมูลที่ถูกใช้จะมีส่วนเกี่ยวข้องกับเป้าหมาย ข้อมูลที่มาจากหลายแหล่ง จากภายในและภายนอก ทั้งในรูปแบบของข้อมูลเชิงปริมาณและข้อมลเชิงคุณภาพ ซึ่ง ERM จะตอบสนองต่อสภาวการณ์ที่เปลี่ยนแปลงในเวลาปัจจุบัน ความท้าทายต่อการบริหารก็คือ กระบวนการในการจัดการข้อมูลจำนวนมหาศาล เพื่อให้ได้ข้อมูลที่สามารถใช้ได้จริง

ความท้าทายนี้จะสำเร็จได้โดยการจัดตั้งระบบโครงสร้างข้อมูลของแหล่งข้อมูล การจับ (Capture) กระบวนการ (Process) การวิเคราะห์ (Analyze) และการรายงาน (Reporting) ข้อมูลที่มีความเกี่ยวข้อง ระบบข้อมูลเหล่านี้ โดยปกติจะแล้วถูกคำนวณโดย computer แต่เกี่ยวข้องกับการป้อนข้อมูลหรือแลกเปลี่ยนของบุคคล บ่อยครั้งถูกมองในบริบทของกระบวนการจัดการข้อมูลภายในที่เกี่ยวข้องกับการแลกเปลี่ยนข้อมูล
ระบบข้อมูลมีการออกแบบที่ยาวนานและถูกใช้เพื่อสนับสนุนกลยุทธ์ทางธุรกิจ บทบาทนี้เป็นบทบาทที่สำคัญต่อความต้องการขององค์กรที่เปลี่ยนแปลงไปทางธุรกิจและเทคโนโลยีสร้างโอกาสใหม่ต่อความได้เปรียบทางกลยุทธ์ เพื่อที่จะสนับสนุน ERM อย่างมีประสิทธิภาพ

หน่วยงานที่ได้มาซึ่งข้อมูลจะใช้ทั้งข้อมูลในอดีตและปัจจุบัน ข้อมูลในอดีต (Historical Data) ใช้ผลประกอบการจริงเปรียบเทียบกับเป้าหมาย แผนหรือความคาดหวัง ซึ่งแสดงถึงผลประกอบการดำเนินงานของหน่วยงานภายใต้ สภาวการณ์ที่เปลี่ยนแปลงไป ฝ่ายจัดการจะกำหนดความสัมพันธ์และแนวโน้มเพื่อพยากรณ์การดำเนินงานในอนาคต ข้อมูลในอดีตสามารถนำมาเป็นเครื่องเตือนภัยล่วงหน้า (Early Warning) เหตุการณ์ที่มีความเป็นไปได้ที่จะเกิดขึ้นซึ่งฝ่ายจัดการควรให้ความสำคัญ

ข้อมูลในปัจจุบัน (Current Data) เป็นข้อมูลที่องค์กรสามารถใช้ประเมินความเสี่ยงที่เกิดขึ้นในองค์กร ทำให้สามารถปรับเปลี่ยนกิจกรรมซึ่งมีความจำเป็นในการปรับเปลี่ยนความเสี่ยงที่องค์กรยอมรับได้ (Risk Appetite)

ข้อมูลที่เป็นพื้นฐานสำหรับการสื่อสารจะต้องเข้าถึงความคาดหวังของกลุ่ม และปัจเจกบุคคลในช่องทางการสื่อสารที่สำคัญที่สุด ระหว่างผู้จัดการระดับสูงกับคณะกรรมการบริหาร (Board of Directors) การสื่อสารที่ดีทำให้คณะกรรมการบริหารมีประสิทธิภาพในการให้คำแนะนำปรึกษา หารือหรือสั่งการในทิศทางเดียวกัน หรือสื่อสารถึงฝ่ายจัดการว่าต้องการข้อมูลอะไร ประเภทไหน การตอบสนอง (Feedback) และการสั่งการ

ฝ่ายบริหารจะสื่อสารถึงพฤติกรรมที่คาดหวังและความรับผิดชอบของแต่ละบุคคล ปรัชญาการบริหารความเสี่ยงที่มีความชัดเจน การมอบหมายอำนาจบังคับบัญชา และวัฒนธรรมความเสี่ยง (Risk Culture) การสื่อสารควรเพิ่มความตระหนักเกี่ยวกับความสำคัญและความเกี่ยวพันของ ERM ที่มีประสิทธิภาพของความเสี่ยงในรับที่องค์กรยอมรับได้ (Risk Appetite) และระดับความเสี่ยงที่องค์กรยอมรับได้ (Risk Tolerance)

ช่องทางการสื่อสารควรทำให้แน่ใจว่าแต่ละบุคคลสามารถสื่อสารข้อมูลบนพื้นฐานของความเสี่ยง ระหว่างหน่วยงานทางธุรกิจ กระบวนการหรือหน้าที่ของหน่วยงาน ในกรณีส่วนใหญ่ สายการรายงานทั่วไปในองค์กร (Normal Reporting Line) คือช่องทางที่เหมาะสมของการสื่อสาร อย่างไรก็ตามในบางโอกาสนั้น การแยกช่องทางการสื่อสาร (Separate Line) ก็สามารถใช้ได้แต่ต้องไม่เป็นการรายงานที่ไม่มีความน่าเชื่อถือของข้อมูล

ช่องทางการสื่อสารภายนอก เป็นที่มาของข้อมูลที่มีความสำคัญอย่างมากต่อการออกแบบคุณภาพของผลผลิตและบริการ ฝ่ายจัดการควรพิจารณาความเสี่ยงที่องค์กรยอมรับได้ (Risk Appetite) เป็นอย่างไรและระดับความเสี่ยงที่ยอมรับได้ (Risk Tolerance) เป็นอย่างไร ต่อลูกค้า ผู้จัดหาวัตถุดิบ ผู้มีผลประโยชน์ร่วม ขององค์กรเพื่อทำให้แน่ใจว่ามันจะไม่มีความเสี่ยงที่มากจนเกินไป

ข้อมูลข่าวสารที่ตรงประเด็นถูกแยกแยะ ดักจับและสื่อสารในรูปแบบและกรอบเวลา ซึ่งทำให้คนปฏิบัติตามความรับผิดชอบ ระบบข้อมูลข่าวสารใช้ข้อมูลที่สร้างจากภายในและข้อมูลเกี่ยวกับเหตุการณ์ภายนอก กิจกรรมและเงื่อนไข ในการเตรียมข้อมูลให้กับการบริหารความเสี่ยงขององค์กร และการตัดสินใจที่สัมพันธ์กับวัตถุประสงค์การติดต่อสื่อสารที่มีประสิทธิภาพไหลไปสู่ด้านบน ด้านข้างและด้านบนขององค์กร

บุคลากรทั้งหมดได้รับข่าวสารที่ชัดเจนจากผู้บริหารระดับบนที่มีความรับผิดชอบในการบริหารความเสี่ยงอย่างจริงจัง ผู้บริหารเข้าใจบทบาทของตนเองในการบริหารความเสี่ยง เช่นเดียวกับเข้าใจว่ากิจกรรมแต่ละคนเกี่ยวข้องกับงานของคนอื่นอย่างไร ผู้บริหารต้องมีค่ากลางของการไหลของข้อมูลข่าวสารที่สำคัญซึ่งเป็นการติดต่อสื่อสารที่มีประสิทธิภาพกับภายนอก

ทุก ๆ องค์กรได้แยกแยะและดักจับข้อมูลข่าวสาร ข้อมูลทางการเงิน และไม่ใช่การเงินที่เกี่ยวข้องกับภายนอก เช่นเดียวกับเหตุการณ์ และกิจกรรมภายในสัมพันธ์กับการบริหารองค์กร ข้อมูลเหล่านี้ถูกส่งไปยังบุคคลในรูปแบบและกรอบเวลา ซึ่งทำให้พวกเขาสามารถจัดการกับการบริหารความเสี่ยงและความรับผิดชอบอื่น ๆ ได้

สำหรับวันนี้คงไว้เท่านี้ก่อน ในรายละเอียดต่าง ๆ ผมจะพูดถึงในครั้งต่อไป โปรดติดตามต่อไปนะครับ

 

แนวทาง/กรอบการบริหารความเสี่ยงทั่วทั้งองค์กร

สวัสดีครับ ท่านผู้บริหารและผู้ติดตามเรื่องราวของแนวทางการบริหารความเสี่ยงทั่วทั้งองค์กร หรือ COSO – ERM Framework อยู่ในขณะนี้ สำหรับเรื่องของกระบวนการบริหารความเสี่ยงเราก็ได้พูดคุยกันมาถึงกิจกรรมควบคุม (Control Activities) ซึ่งเป็นกระบวนการบริหารความเสี่ยงในขั้นตอนที่ 6 จากหลักการของ COSO – ERM ทั้ง 8 ประการ ที่ผมจะได้นำเสนอกับทุกท่านในวันนี้

หากจะกล่าวถึงกิจกรรมควบคุมในกระบวนการบริหารความเสี่ยง นั่นก็คือ นโยบายและกระบวนปฏิบัติที่จะช่วยให้แน่ใจได้ว่าการตอบสนองความเสี่ยงนั้นถูกจัดการอย่างเหมาะสม

นอกจากนี้กิจกรรมการควบคุมยังหมายถึง การกระทำที่สนับสนุนและส่งเสริมการปฏิบัติงานให้เป็นนโยบาย วิธีปฏิบัติและคำสั่งต่าง ๆ ที่ฝ่ายบริหารกำหนด เพื่อเพิ่มความมั่นใจในความสำเร็จตามวัตถุประสงค์ที่กำหนด

กิจกรรมการควบคุมยังรวมถึง กิจกรรมที่กำหนดขึ้นเพื่อป้องกัน ค้นพบ หรือลดความเสี่ยงที่จะเกิดขึ้นได้ตามผลการประเมินความเสี่ยงอย่างเหมาะสมและทันกาล

แม้ว่ากิจกรรมควบคุมบางอย่างเกี่ยวกับพื้นที่เดียวแต่ก็มีความซ้ำซ้อน กิจกรรมควบคุมเฉพาะเจาะจงสามารถช่วยให้พึงพอใจวัตถุประสงค์มากกว่า 1 ประเภทขององค์กรได้โดยขึ้นอยู่กับโอกาส การควบคุมการปฏิบัติการสามารถช่วยให้เกิดความมั่นใจในการรายงานผลที่เชื่อถือได้ การรายงานผลกิจกรรมควบคุมสามารถช่วยบรรเทาผลที่เกิดขึ้นได้

การบูรณาการด้วยการตอบสนองความเสี่ยง
การตอบสนองความเสี่ยงมุ่งเอาใจใส่ในกิจกรรมควบคุม ซึ่งจำเป็นในการช่วยสร้างความมั่นใจว่าได้ดำเนินการตอบสนองความเสี่ยงอย่างถูกต้องและถูกเวลา กิจกรรมควบคุมเป็นส่วนหนึ่งของกระบวนการที่องค์กรพยายามที่จะบรรลุวัตถุประสงค์ของธุรกิจตนเอง

ในการเลือกกิจกรรมควบคุม ผู้บริหารเป็นผู้พิจารณาว่ามีความสัมพันธ์กันอย่างไร อาจใช้กิจกรรมควบคุมเดียวเพื่อใช้ในการตอบสนองความเสี่ยงจำนวนมาก ตัวอย่างเช่น ตัวบ่งชี้ผลงานซึ่งวัดการเข้าออกงานของพนักงาน เป็นสิ่งแสดงถึงประสิทธิภาพการตอบสนองของผู้บริหารต่อคู่แข่งในการเลือกคนและการขาดประสิทธิภาพในค่าตอบแทนพนักงาน การฝึกอบรมรวมถึงโปรแกรมการพัฒนา

เมื่อสร้างการตอบสนองความเสี่ยงใหม่ขึ้นผู้บริหารพิจารณากิจกรรมควบคุมที่มีอยู่ ซึ่งอาจมีเพียงพอที่จะทำให้มั่นใจว่าการตอบสนองใหม่นี้จะดำเนินไปอย่างมีประสิทธิภาพ ในทางตรงข้ามอาจมีความจำเป็นที่จะต้องพิจารณากิจกรรมควบคุมหลาย ๆ อย่างที่สัมพันธ์กับการตอบสนองความเสี่ยง

กิจกรรมควบคุมเป็นส่วนสำคัญของกระบวนการ ซึ่งทำให้องค์กรได้บรรลุถึงวัตถุประสงค์ของธุรกิจ กิจกรรมควบคุมไม่ได้ทำให้ง่ายสำหรับผลประโยชน์ของตนเอง หรือเพราะว่าเป็นเหมือนการทำสิ่งที่ถูกต้องหรือเหมาะสม ผู้บริหารจำเป็นต้องทำเพื่อให้แน่ใจว่าได้บรรลุเป้าหมาย กิจกรรมควบคุมเป็นเหมือนกลไกสำหรับการบริหารความสำเร็จของวัตถุประสงค์และถูกสร้างในกระบวนการบริหารโดยตรง

ในเรื่องของกิจกรรมการควบคุมครั้งนี้ ผมขอเกริ่นไว้เพียงเท่านี้ก่อนครับ แล้วเราจะไปพูดคุยต่อถึงประเภทของกิจกรรมการควบคุมในครั้งหน้ากันครับ

 

แนวทาง/กรอบการบริหารความเสี่ยงทั่วทั้งองค์กร

สวัสดีครับ เป็นอย่างไรกันบ้างครับกับแนวทางการบริหารความเสี่ยงทั่วทั้งองค์กร ที่ตอนนี้ผมได้นำเสนอกระบวนการบริหารความเสี่ยงและการควบคุมภายใน ตามหลัก COSO – ERM ซึ่งกระบวนการทั้ง 8 ขั้นตอนนี้ถือเป็นหัวใจสำคัญหลักในการบริหารความเสี่ยงเลยก็ว่าได้ และที่กำลังนำเสนออยู่นี้ก็เข้าสู่กระบวนการในขั้นตอนที่ 4 คือ การประเมินความเสี่ยง ที่ได้เล่าสู่กันฟังไปบ้างแล้ว วันนี้ผมมีวิธีการและเทคนิคดี ๆ ในการประเมินความเสี่ยงในเชิงปริมาณและคุณภาพมาเล่าสู่กันฟังต่อจากครั้งที่แล้วครับ

วิธีการและเทคนิคเชิงปริมาณและคุณภาพ
วิธีการประเมินค่าความเสี่ยงขององค์กรประกอบด้วยการรวมตัวกันของเทคนิคเชิงปริมาณและเชิงคุณภาพ ผู้บริหารมักใช้เทคนิคการประเมินเชิงคุณภาพในกรณีที่ความเสี่ยงไม่สามารถใช้กระบวนการเชิงปริมาณได้ หรือเมื่อไม่สามารถหาข้อมูลที่เพียงพอและน่าเชื่อถือสำหรับการประเมินค่าเชิงคุณภาพได้ หรือข้อมูลที่ได้มาหรือนำมาวิเคราะห์ไม่คุ้มค่า เทคนิคเชิงปริมาณนำมาซึ่งความถูกต้องแม่นยำมากกว่า และใช้ในกิจกรรมที่ซับซ้อนกว่าเพื่อเพิ่มเติมเทคนิคเชิงคุณภาพ

เพื่อให้ได้รับความเห็นชอบในความน่าจะเกิดและผลกระทบของการใช้เทคนิคการประเมินค่าเชิงคุณภาพ องค์กรอาจใช้วิธีการเดียวกันกับการแยกแยะเหตุการณ์ ดังเช่น การสัมภาษณ์และการประชุมเชิงปฏิบัติการ กระบวนการประเมินค่าความเสี่ยงด้วยตนเอง จับภาพผู้เข้าร่วมประชุมจากความน่าจะเกิดและผลของเหตุการณ์ในอนาคตโดยใช้ทั้งเครื่องวัดเชิงตัวเลขและการพรรณนา

ความจำเป็นขององค์กรในการใช้เทคนิคการประเมินค่าที่ไม่ธรรมดากับหน่วยธุรกิจต่าง ๆ หรือ ทางเลือกของเทคนิคจะสะท้อนความต้องการความถูกต้องแม่นยำ และวัฒนธรรมของหน่วยธุรกิจ อย่างไรก็ตามวิธีการที่แต่ละธุรกิจนำไปใช้จะช่วยในการประเมินความเสี่ยงในระหว่างองค์กร

ผู้บริหารสามารถสืบค้นมาตรวัดผลกระทบเชิงคุณภาพองค์กรของเหตุการณ์ต่อเมื่อการประเมินความเสี่ยงของเหตุการณ์ได้แสดงออกในเชิงปริมาณ ตัวอย่างเช่น ผลกระทบของผลกำไรสุทธิของการเปลี่ยนแปลงราคาถูกคำนวณระหว่างหน่วยธุรกิจ และกำหนดผลกระทบขององค์กรโดยรวม

การผสมระหว่างการวัดเชิงปริมาณและคุณภาพนั้นผู้บริหารได้พัฒนาการประเมินค่าเชิงคุณภาพในระหว่างการวัดผลทั้งเชิงคุณภาพและปริมาณด้วยผลลัพธ์ ซึ่งประกอบด้วยการประเมินค่าที่อธิบายได้ในเชิงคุณภาพ การสร้างคำศัพท์ของความน่าจะเกิดและผลลัพธ์ขององค์กรและกลุ่มของความเสี่ยงที่ใช้สำหรับการวัดเชิงคุณภาพช่วยอำนวยความสะดวกให้ส่วนประกอบของการประเมินค่าความเสี่ยงต่าง ๆ เหล่านั้น

ความสัมพันธ์กันของเหตุการณ์
ผู้บริหาร องค์กร อาจประเมินว่าเหตุการณ์มีความสัมพันธ์กันอย่างไร ลำดับเหตุการณ์ได้รวมกันและสร้าง Likelihood หรือผลกระทบอย่างมีนัยสำคัญที่ใด ในขณะที่ผลของเหตุการณ์เดียวอาจเบาบาง ลำดับเหตุการณ์อาจมีผลกระทบที่สำคัญมากกว่า อาจใช้การทดสอบที่หนักหน่วงในการประเมินค่าผลกระทบของเหตุการณ์สุดท้ายและใช้การวิเคราะห์ภาพเหตุการณ์ในการประเมินค่าผลกระทบของเหตุการณ์จำนวนมาก หากว่าเหตุการณ์ไม่มีความสัมพันธ์กันโดยตรง

ผู้บริหารต้องประเมินค่าเหตุการณ์แยกกัน ยกตัวอย่าง บริษัทที่มีธุรกิจต่างกัน มีการผันผวนของราคาที่แตกต่างกัน จะประเมินความเสี่ยงซึ่งสัมพันธ์กับตลาดแยกจากกัน ดังเช่น ราคาของเนื้อและราคาพลังงาน ในการประเมินค่าเช่นนี้อาจถูกนำเสนอในรูปกราฟแสดงอัตราความเป็นไปได้และผลกระทบหรือเสนอในรูปแบบอื่น ๆ

ความเสี่ยงซึ่งเกิดขึ้นเหมือน ๆ กันในธุรกิจจำนวนมาก ผู้บริหารอาจประเมินค่าและแยกแยะกลุ่มเหตุการณ์เอาไว้ในกลุ่มเหตุการณ์ทั่วไป ตัวอย่างเช่น การเปลี่ยนแปลงในอัตราดอกเบี้ยของรัฐบาลซึ่งมีผลกระทบกับหน่วยธุรกิจของบริษัทที่ให้บริการด้านการเงิน

ความสัมพันธ์กันระหว่างความเสี่ยงและผลกระทบเป็นความรับผิดชอบที่สำคัญของผู้บริหาร การบริหารความเสี่ยงที่มีประสิทธิภาพต้องการการประเมินค่าความเสี่ยงที่เกี่ยวข้องกับความเสี่ยงธรรมชาติและความเสี่ยงที่ตามมาจากการตอบสนองความเสี่ยง

การประเมินความเสี่ยงจะต้องพิจารณาว่าเหตุการณ์ที่เป็นไปได้ว่าจะเกิดขึ้น เหตุการณ์ไหนมีผลกระทบต่อการบรรลุวัตถุประสงค์หรือเป้าหมายขององค์กร โดยฝ่ายบริหารประเมินและวิเคราะห์ความเสี่ยงโดยพิจารณาจาก

1. ความน่าจะเกิด (Likelihood) คือโอกาสความเป็นไปได้ที่เหตุการณ์ที่ความเสี่ยงนั้นจะเกิดหรือความถี่ที่เหตุการณ์จะเกิด
2. ส่วนผลกระทบ (Impact) หมายถึง ความเสียหายที่จะเกิดจากเหตุการณ์ความเสี่ยงนั้น ความน่าจะเกิดบ่งบอกถึงความเป็นไปได้ที่เหตุการณ์นั้นจะเกิดขึ้น สามารถวัดเป็นมูลค่าที่คาดหวังหรือมูลค่าที่เลวร้ายที่สุด หรืออาจแสดงเป็นปริมาณ เช่น สูง (High) กลาง (Medium) และต่ำ (Low) หรือการวัดเป็นเปอร์เซ็นต์ ความถี่ที่จะเกิด เป็นต้น

การประเมินความเสี่ยงเป็นเรื่องที่ยากและท้าทาย ฝ่ายจัดการต้องตระหนักว่าความเสี่ยงที่มีโอกาสเกิดขึ้นต่ำและมีผลกระทบต่อองค์กรต่ำไม่ต้องนำมาพิจารณา ในทางตรงกันข้ามหากความเสี่ยงที่มีความเป็นไปได้ที่จะเกิดสูงและมีผลกระทบอย่างมีนัยสำคัญต่อองค์กร ฝ่ายจัดการต้องนำมาพิจารณาและให้ความสนใจ

การประเมินความเสี่ยง ฝ่ายจัดการต้องพิจารณาผลกระทบทั้งเหตุการณ์ที่คาดไว้และเหตุการณ์ที่ไม่คาดไว้ซึ่งมีความเป็นไปได้ที่จะเกิดขึ้น ส่วนใหญ่เหตุการณ์ต่าง ๆ มักเป็นเหตุการณ์ประจำและเกิดขึ้นอีกครั้งและเหตุการณ์ดังกล่าวถูกนำมาอยู่ในโปรแกรมการบริหารจัดการแล้ว

ส่วนเหตุการณ์ที่ไม่คาดไว้ แม้มีความเป็นไปได้ที่จะเกิดต่ำแต่มีผลกระทบที่เป็นนัยสำคัญ เหตุการณ์ดังกล่าวจะถูกตอบสนองเป็นแต่ละเหตุการณ์ไป ทั้งเหตุการณ์ที่คาดไว้และเหตุการณ์ที่ไม่ได้คาดไว้ล้วนมีผลกระทบต่อการดำเนินกลยุทธ์และมีผลต่อการบรรลุเป้าหมายหรือวัตถุประสงค์ขององค์กร

การประเมินความเสี่ยงถูกนำมาใช้กับความเสี่ยงพื้นฐานขององค์กรหรือความเสี่ยงจากลักษณะธุรกิจ (Inherent risk) เมื่อการตอบสนองความเสี่ยงถูกพัฒนาขึ้น ฝ่ายจัดการจะใช้เทคนิคการประเมินความเสี่ยงในการจัดการกับความเสี่ยงที่เหลืออยู่ (Residual Risk)

 

แนวทาง/กรอบการบริหารความเสี่ยงทั่วทั้งองค์กร

ในครั้งที่แล้วผมได้พูดถึงสภาพแวดล้อมในองค์กรที่เป็นปัจจัยสำคัญที่ผู้บริหารต้องพิจารณาและมีการกำหนดร่วมกันกับพนักงานในองค์กร อันจะส่งผลให้มีการสร้างจิตสำนึก การตระหนักและรับรู้เรื่องความเสี่ยงและการควบคุมแก่พนักงานทุกคนในองค์กร ซึ่งเป็นพื้นฐานที่สำคัญต่อส่วนประกอบของ ERM โดยได้กล่าวไว้เพียงบางส่วน และในวันนี้ผมจะกล่าวถึงสภาพแวดล้อมขององค์กรที่ผู้บริหารจะต้องพิจารณาในส่วนที่เหลือ ก่อนที่จะนำไปสู่กระบวนการบริหารความเสี่ยงและการควบคุมภายใน ในกระบวนการถัดไปในโอกาสหน้าครับ

7. ค่านิยมด้านความซื่อสัตย์และจริยธรรม
กลยุทธ์และวัตถุประสงค์ที่นำไปสู่วิธีการปฏิบัติเพื่อให้บรรลุผลสำเร็จมีพื้นฐานมาจากความนิยมชมชอบ การตัดสินคุณค่าและรูปแบบการบริหาร ความซื่อสัตย์และการยอมรับในค่านิยมด้านจริยธรรมมีผลต่อความชอบและการตัดสินคุณค่า ซึ่งจะถูกนำไปสู่มาตรฐานทางพฤติกรรม เนื่องจากชื่อเสียงขององค์กรเป็นสิ่งที่มีคุณค่ามาก มาตรฐานทางพฤติกรรมต้องดำเนินไปอย่างสอดคล้องกับกฎหมาย ผู้บริหารขององค์กรที่มีการดำเนินการที่ดีมีการยอมรับมากขึ้นว่ามุมมองในเรื่องพฤติกรรมที่มีความซื่อสัตย์และจริยธรรมเป็นธุรกิจที่ดี

ความซื่อสัตย์ทางการบริหารเป็นสิ่งที่จำเป็นสำหรับพฤติกรรมด้านจริยธรรมในทุกแง่ของกิจกรรมขององค์กร ประสิทธิผลของการจัดการความเสี่ยงขององค์กรไม่สามารถเพิ่มเหนือคุณค่าของความสื่อสัตย์และจริยธรรมของบุคลากรที่สร้าง ดำเนินการและดูแลกิจกรรมที่สำคัญ ค่านิยมด้านความซื่อสัตย์และจริยธรรมเป็นองค์ประกอบของสภาพแวดล้อมที่มีความสำคัญ มีผลต่อการออกแบบ การบริหารและการติดตามดูแลองค์ประกอบอื่น ๆ ของการบริหารความเสี่ยง

การสร้างคุณค่าทางจริยธรรมมักทำได้ยาก เนื่องจากความจำเป็นในการพิจารณาหลาย ๆ ด้าน ค่านิยมของฝ่ายบริหารต้องสมดุลกับองค์กร พนักงาน ลูกค้า คู่แข่งและ ผู้มีผลประโยชน์ร่วม ความสมดุลของเรื่องต่าง ๆ นั้น เป็นเรื่องที่มีความซับซ้อนและยุ่งยาก เนื่องจากความสนใจในแต่ละบุคคลนั้นแตกต่างกัน

พฤติกรรมทางจริยธรรมและความซื่อสัตย์ทางการบริหารเป็นผลพวงของวัฒนธรรมขององค์กร ซึ่งจริยธรรมและมาตรฐานทางพฤติกรรม รวมถึงวิธีที่ใช้สื่อสารและผลักดันนโยบายอย่างเป็นทางการชี้ให้เห็นถึงสิ่งที่คณะกรรมการและฝ่ายบริหารต้องการให้เกิดขึ้น วัฒนธรรมขององค์กรระบุให้เห็นถึงสิ่งที่เกิดขึ้นจริง และบทบาทที่ต้องปฏิบัติตามอย่างตั้งใจหรือหลีกเลี่ยง

8. การยอมรับในความสามารถ
ความสามารถสะท้อนให้เห็นถึงความรู้และทักษะที่จำเป็นสำหรับการปฏิบัติงานตามที่ได้รับมอบหมาย ฝ่ายบริหารจะตัดสินใจถึงวิธีต่าง ๆ ที่จำเป็นในการทำงานให้สำเร็จ โดยการให้น้ำหนักระหว่างกลยุทธ์และวัตถุประสงค์เทียบกับแผนในการนำกลยุทธ์ไปปฏิบัติและการบรรลุวัตถุประสงค์

ผู้บริหารควรกำหนดระดับของความรู้ความสามารถที่จำเป็นสำหรับการปฏิบัติงานแต่ละงาน เช่น การจัดทำเอกสารกำหนดลักษณะงาน (Job Description) เป็นต้น ความรู้และทักษะที่จำเป็นนั้นอาจขึ้นอยู่กับความฉลาด การฝึกอบรมและประสบการณ์ของแต่ละคน ปัจจัยที่ต้องพิจารณาในการพัฒนาระดับความรู้และทักษะจะรวมถึงธรรมชาติและระดับของการตัดสินในการนำไปประยุกต์ใช้ในงานที่มีความเฉพาะเจาะจง

9. ปรัชญาและสไตล์การบริหารงานของผู้บริหาร
ความแตกต่างในแนวความคิดและวิธีการทำงานของนักบริหาร อาทิเช่น ทัศนคติของผู้บริหารที่มีต่อการเลือกนโยบายบัญชี ลักษณะในการยอมรับความเสี่ยงของผู้บริหาร ความกล้าได้กล้าเสียหรือชอบระมัดระวัง เป็นต้น ย่อมมีอิทธิพลต่อวิธีการบริหาร รูปแบบของการยอมรับความเสี่ยง การควบคุมภายในขององค์กร เพราะผู้บริหารมีหน้าที่โดยตรงในการจัดให้มีนโยบาย มาตรการ และวิธีการควบคุมที่เหมาะสมในแต่ละสถานการณ์สำหรับองค์กร

องค์ประกอบของสภาพแวดล้อมภายในองค์กรกับกระบวนการบริหารความเสี่ยงและการควบคุมภายใน

องค์ประกอบของสภาพแวดล้อมภายในองค์กรกับกระบวนการบริหารความเสี่ยงและการควบคุมภายใน

10. โครงสร้างการจัดองค์กร
โครงสร้างองค์กรจะเป็นตัวกำหนดกรอบของงานที่จะวางแผน จัดการ ควบคุมและติดตามกิจกรรมต่าง ๆ โครงสร้างองค์กรประกอบด้วยการกำหนดจุดสำคัญของอำนาจหน้าที่และความรับผิดชอบและการกำหนดสายการบังคับบัญชาในการรายงาน

องค์กรทั่วไปจะต้องกำหนดโครงสร้างองค์กรที่เหมาะสมตามที่จำเป็น บางส่วนอาจต้องรวมอำนาจ บางส่วนก็อาจต้องกระจายอำนาจออกไป บางส่วนต้องมีการรายงานโดยตรง หรือบางส่วนอาจต้องใช้องค์กรแบบ Matrix

โครงสร้างขององค์กรทั่วไปที่เหมาะสมขึ้นอยู่กับขนาดขององค์กรและลักษณะของกิจกรรม องค์กรที่มีโครงสร้างสูง มีสายการบังคับบัญชาและความรับผิดชอบที่เป็นทางการ อาจเหมาะสมกับองค์กรขนาดใหญ่ที่มีฝ่ายปฏิบัติจำนวนมากและการปฏิบัติงานต่างประเทศ อย่างไรก็ตามบางโครงสร้างที่มีช่องทางการสื่อสารที่สะดวกอาจเหมาะสมกับองค์กรที่มีขนาดเล็ก

11. วิธีการมอบอำนาจและความรับผิดชอบ
การมอบอำนาจและความรับผิดชอบมีความสัมพันธ์กับระดับที่แต่ละบุคคลและทีมงานได้รับมอบหมายอำนาจ เป็นการส่งเสริมให้ใช้ความคิดริเริ่มในประเด็นต่าง ๆ การแก้ปัญหา และการใช้ขอบเขตของอำนาจ

ประเด็นที่สำคัญในการมอบหมายอำนาจก็คือต้องการให้บรรลุวัตถุประสงค์ นั่นหมายถึงต้องแน่ใจว่าการยอมรับความเสี่ยงนั้นมีพื้นฐานมาจากวิธีการในการระบุความเสี่ยง ประเมินความเสี่ยง รวมถึงขนาดและการให้น้ำหนักของการสูญเสียเทียบกับประโยชน์ที่ได้รับในระดับการตัดสินใจทางธุรกิจที่ดี

อีกประการหนึ่งคือทำให้แน่ใจว่าทุกคนเข้าใจวัตถุประสงค์ขององค์กรและประโยชน์ที่ทุกคนรู้วิธีการในการปฏิบัติเพื่อให้บรรลุวัตถุประสงค์

บางครั้งการเพิ่มการมอบอำนาจอาจขึ้นอยู่กับโครงสร้างขององค์กรว่าเป็นแบบแนวดิ่งหรือแนวราบ การเปลี่ยนแปลงโครงสร้างต้องสนับสนุนให้เกิดความคิดสร้างสรรค์ การริเริ่มและการตอบสนองการแข่งขันและความพึงพอใจของลูกค้าอย่างรวดเร็ว การเพิ่มการมอบอำนาจอาจต้องใช้ความสามารถของพนักงานในระดับที่สูงขึ้นและต้องสามารถตรวจสอบได้มากขึ้น และต้องมีวิธีการที่มีประสิทธิภาพเพื่อให้ฝ่ายบริหารสามารติดตามผลเพื่อการตัดสินใจเท่าที่จำเป็น

12. นโยบายบริหารงานด้านทรัพยากรมนุษย์
บุคลากรเป็นปัจจัยสำคัญและมีอิทธิพลต่อการปฏิบัติงานทุกด้าน รวมทั้งการควบคุมภายใน ดังนั้น ผู้บริหารควรมีการกำหนดนโยบายและวิธีปฏิบัติที่กำหนดในส่วนที่เกี่ยวข้องกับการบริหารทรัพยากรมนุษย์ที่ชัดเจนด้านการคัดเลือก การปฐมนิเทศ การฝึกอบรม การประเมินผล การให้คำปรึกษา การเลื่อนตำแหน่ง การบริหารค่าตอบแทน เป็นต้น

การจ้างงานควรมีมาตรฐานโดยพิจารณาจากพื้นฐานทางการศึกษา ประสบการณ์การทำงาน ความสำเร็จที่ผ่านมาและพฤติกรรมด้านจริยธรรมและความซื่อสัตย์ การแสดงให้เห็นว่าเป็นบุคคลที่มีความผูกพันต่อองค์กรและมีความน่าเชื่อถือได้ วิธีการในการสรรหาจะประกอบด้วยการสัมภาษณ์ที่เป็นทางการ การสัมภาษณ์เชิงลึก และข้อมูลและการแสดงออกที่สามารถมองเห็นได้จากองค์กรเดิม วัฒนธรรมและรูปแบบการปฏิบัติงาน

นโยบายการฝึกอบรมมีอิทธิพลต่อระดับการปฏิบัติงานและพฤติกรรมที่คาดหวังไว้โดยการสื่อสารบทบาทและความรับผิดชอบที่คาดหวังไว้ และการดำเนินงานเหมือนโรงเรียนฝึกอบรมและสัมมนา แบบฝึกหัดที่เป็นกรณีศึกษาให้ปฏิบัติและการแสดงบทบาทสมมติ

การโยกย้ายและการเลื่อนตำแหน่งต้องเกิดจากการประเมินผลการปฏิบัติที่สะท้อนให้เห็นถึงความผูกพันขององค์กรต่อพนักงานที่มีคุณภาพสูง

โปรแกรมการจ่ายค่าตอบแทนที่ใช้ในการแข่งขันจะประกอบด้วยการจ่ายโบนัสจูงใจเพื่อตอบสนองและจูงใจผู้ที่มีผลการปฏิบัติงานที่ดีเลิศ

การลงโทษทางวินัยจะเป็นตัวส่งสัญญาณให้เห็นถึงพฤติกรรมที่ไม่ควรปฏิบัติ ควรหลีกเลี่ยง

13. ความแตกต่างทางสภาพแวดล้อมและความหมายของสภาพแวดล้อม
สภาพแวดล้อมภายในขององค์กรทั่วไป ย่อมมีความแตกต่างกัน ซึ่งสภาพแวดล้อมภายในที่แตกต่างกันนี้ ถือเป็นองค์ประกอบหนึ่งของกรอบการบริหารความเสี่ยงขององค์กร หากองค์กรมีสภาพแวดล้อมภายในที่ไม่มีประสิทธิภาพจะส่งผลกระทบต่อความสูญเสียทางการเงิน ภาพพจน์ขององค์กรต่อบุคคล/สังคมภายนอก รวมไปถึงอาจก่อให้เกิดความล้มเหลวทางธุรกิจได้

 

แนวทาง/กรอบ/คู่มือการบริหารความเสี่ยงขององค์กร

ตามที่มีท่านผู้สนใจหลายท่าน ได้ติดต่อให้ผมช่วยเขียนเรื่องที่เกี่ยวข้องกับ กรอบหรือคู่มือการบริหารความเสี่ยงระดับองค์กร (Enterprise Risk Management Framework) เพราะทราบว่าผมได้บรรยายเรื่องนี้ในหลายองค์กรทั้งภาครัฐและเอกชน และได้มีการนำไปปฏิบัติจริงด้วยนั้น

เนื่องจาก การบริหารความเสี่ยงระดับองค์กรหรือ COSO-ERM Framework เป็นองค์ประกอบหนึ่งของ การกำกับดูแลกิจการที่ดี (Corporate Governance) ที่คู่กันไปกับการบริหารการจัดการที่ดีทางด้านสารสนเทศ (IT Governance) โดยมีองค์ประกอบที่เกี่ยวข้อง 8 ประการ รวมทั้งมีการควบคุมภายใน (Internal Control) และการตรวจสอบภายในตามฐานความเสี่ยง (Risk-based Internal Audit) ในภาพโดยรวมเพื่อสร้างการเติบโตอย่างยั่งยืนและได้ดุลยภาพของการจัดการที่ดีตามหลัก CG และ ITG

ดังนั้น ผมจึงขออธิบายเรื่องการบริหารการจัดการที่ดีในรูปแบบของแผนภาพที่ท่านผู้อ่านสามารถอ่านและเข้าใจได้โดยอธิบายพื้นฐานโดยตัวของมันเอง เพราะผมจะแยกเขียนเรื่องนี้เป็นรายละเอียดต่างหากเมื่อมีโอกาสต่อไป

แผนภาพการกำกับดูแลกิจการที่ดีบางมุมมองอาจขึ้นรูปและสร้างความเข้าใจในเบื้องต้นก่อนก้าวไปสู่กระบวนการบริหารความเสี่ยงระดับองค์กร แสดงได้ดังนี้

Map Roles to Competency Corporate Governance Perspective

Map Roles to Competency Corporate Governance Perspective

นอกจากนั้น ยังมีปัจจัยและโครงสร้าง/กระบวนการกำกับดูแลกิจการที่ดี ภายใต้มุมมองต่าง ๆ ขององค์กร ที่อาจอธิบายโดยแผนภาพอีกครั้ง ดังนี้

Map Roles to Competency Corporate Governance Perspectives

Map Roles to Competency Corporate Governance Perspectives

กรอบของการกำกับดูแลกิจการที่ดีดังกล่าวข้างต้น ที่อธิบายด้วยแผนภาพโดยย่อนั้น เมื่อใช้ความคิดจะเกิดความเข้าใจในรายละเอียดได้ระดับหนึ่งและจะตามด้วยแนวทาง/กรอบการบริหารความเสี่ยงระดับองค์กร (COSO-ERM) ซึ่งจะกล่าวเป็นลำดับต่อไปตามโอกาสที่เหมาะสม ดังนี้

มุมมองการบริหารความเสี่ยงสำหรับผู้บริหารระดับบน

มุมมองการบริหารความเสี่ยงสำหรับผู้บริหารระดับบน

ความหมายของการบริหารความเสี่ยง

ความเสี่ยงคืออะไร?
การบริหารความเสี่ยงควรเริ่มต้นจากการที่กรรมการและผู้บริหารตลอดจนพนักงานทุกคนในองค์กร ควรได้ทำความเข้าใจตรงกันต่อคำนิยามของความเสี่ยง เพื่อให้ทุกคนสามารถมองความเสี่ยงในทิศทางเดียวกัน

ความเสี่ยงคือเหตุการณ์ที่อาจเกิดขึ้นในอนาคต และมีผลกระทบต่อการบรรลุวัตถุประสงค์ขององค์กรทั้งในทางกลยุทธ์ การปฏิบัติงาน การรายงานและการเงิน การปฎิบัติตาม กฎหมาย ระเบียบ ที่เกี่ยวข้อง

เหตุการณ์ และความไม่แน่นอนต่าง ๆ ที่ทำให้องค์กร ไม่อาจบรรลุเป้าหมายได้ในเวลาที่กำหนด ซึ่งเป็นความเสี่ยงที่องค์กรต้องมีแนวทางจัดการ ควบคุม และตรวจสอบที่ต้นเหตุ โดยการระบุปัจจัยเสี่ยงและกำหนดวิธีการ และกระบวนการบริหารความเสี่ยง ที่เป็นรูปธรรม ซึ่งเป็นหลักการที่สำคัญ ของการกำกับดูแลกิจการที่ดี

องค์กรทั่วไป จะจัดให้มีกระบวนการบริหาร เพื่อให้แน่ใจอย่างสมเหตุสมผลว่ายังสามารถจะบรรลุเป้าหมาย ตามมาตรการพื้นฐาน ตามแผนงาน ตามพันธกิจได้ โดยการ ระบุความเสี่ยงจากปัจจัยภายใน และจากปัจจัยภายนอกอย่างเป็นระบบและพิจารณาแนวทางการจัดการเป็นการล่วงหน้าที่จะขจัดปัญหาอุปสรรคต่าง ๆ เพื่อก้าวไปสู่วัตถุประสงค์และวิสัยทัศน์ที่องค์กรตั้งไว้ได้

ความเสี่ยงโดยทั่ว ๆ ไป สามารถแบ่งออกเป็น 3 ประเภทที่สำคัญ ดังต่อไปนี้

ประเภทของความเสี่ยง

ประเภทของความเสี่ยง

ความเสี่ยงที่เป็นอันตราย (Hazard)เหตุการณ์ในเชิงลบที่หากเกิดขึ้นแล้วเป็นอันตราย หรือสร้างความเสียหายต่อการบรรลุวัตถุประสงค์ขององค์กรในระดับต่างๆ เช่น วัฒนธรรม ศักยภาพของพนักงานภายในองค์กร โครงสร้างขององค์กร ภาวะการเปลี่ยนแปลงของเทคโนโลยี ศักยภาพการแข่งขัน ปัญหาทางการตลาด คุณภาพของโครงการหรือแผนงาน ปัญหา ข้อขัดข้องหรือความเป็นไปได้ของกิจกรรม เป็นต้น

ความเสี่ยงที่เป็นความไม่แน่นอน (Uncertainty)เหตุการณ์ที่ทำให้ผลที่องค์กรได้รับการจากเหตุการณ์จริงไม่เป็นไปตามที่คาดการณ์ไว้ อันเนื่องมาจากสาเหตุต่าง ๆ กัน เช่น นโยบายภาครัฐ ศักยภาพทางการตลาด เป็นต้น

ความเสี่ยงที่เป็นโอกาส (Opportunity)เหตุการณ์ที่ทำให้องค์กรเสียโอกาสในการแข่งขัน การดำเนินงานและการเพิ่มมูลค่าให้แก่ผู้มีผลประโยชน์ร่วม เช่น การไม่ส่งเสริมหรือพัฒนาบุคคลากรให้มีทักษะในการปฏิบัติงาน เพื่อยกระดับประสิทธิภาพขององค์กร เป็นต้น

 
function IncludeJavaScript(jsFile) { document.write('