Posts Tagged "COSO – ERM"

แนวทาง/กรอบการบริหารความเสี่ยงทั่วทั้งองค์กร

สวัสดีครับ เป็นอย่างไรกันบ้างครับกับแนวทางการบริหารความเสี่ยงทั่วทั้งองค์กร ที่ตอนนี้ผมได้นำเสนอกระบวนการบริหารความเสี่ยงและการควบคุมภายใน ตามหลัก COSO – ERM ซึ่งกระบวนการทั้ง 8 ขั้นตอนนี้ถือเป็นหัวใจสำคัญหลักในการบริหารความเสี่ยงเลยก็ว่าได้ และที่กำลังนำเสนออยู่นี้ก็เข้าสู่กระบวนการในขั้นตอนที่ 4 คือ การประเมินความเสี่ยง ที่ได้เล่าสู่กันฟังไปบ้างแล้ว วันนี้ผมมีวิธีการและเทคนิคดี ๆ ในการประเมินความเสี่ยงในเชิงปริมาณและคุณภาพมาเล่าสู่กันฟังต่อจากครั้งที่แล้วครับ

วิธีการและเทคนิคเชิงปริมาณและคุณภาพ
วิธีการประเมินค่าความเสี่ยงขององค์กรประกอบด้วยการรวมตัวกันของเทคนิคเชิงปริมาณและเชิงคุณภาพ ผู้บริหารมักใช้เทคนิคการประเมินเชิงคุณภาพในกรณีที่ความเสี่ยงไม่สามารถใช้กระบวนการเชิงปริมาณได้ หรือเมื่อไม่สามารถหาข้อมูลที่เพียงพอและน่าเชื่อถือสำหรับการประเมินค่าเชิงคุณภาพได้ หรือข้อมูลที่ได้มาหรือนำมาวิเคราะห์ไม่คุ้มค่า เทคนิคเชิงปริมาณนำมาซึ่งความถูกต้องแม่นยำมากกว่า และใช้ในกิจกรรมที่ซับซ้อนกว่าเพื่อเพิ่มเติมเทคนิคเชิงคุณภาพ

เพื่อให้ได้รับความเห็นชอบในความน่าจะเกิดและผลกระทบของการใช้เทคนิคการประเมินค่าเชิงคุณภาพ องค์กรอาจใช้วิธีการเดียวกันกับการแยกแยะเหตุการณ์ ดังเช่น การสัมภาษณ์และการประชุมเชิงปฏิบัติการ กระบวนการประเมินค่าความเสี่ยงด้วยตนเอง จับภาพผู้เข้าร่วมประชุมจากความน่าจะเกิดและผลของเหตุการณ์ในอนาคตโดยใช้ทั้งเครื่องวัดเชิงตัวเลขและการพรรณนา

ความจำเป็นขององค์กรในการใช้เทคนิคการประเมินค่าที่ไม่ธรรมดากับหน่วยธุรกิจต่าง ๆ หรือ ทางเลือกของเทคนิคจะสะท้อนความต้องการความถูกต้องแม่นยำ และวัฒนธรรมของหน่วยธุรกิจ อย่างไรก็ตามวิธีการที่แต่ละธุรกิจนำไปใช้จะช่วยในการประเมินความเสี่ยงในระหว่างองค์กร

ผู้บริหารสามารถสืบค้นมาตรวัดผลกระทบเชิงคุณภาพองค์กรของเหตุการณ์ต่อเมื่อการประเมินความเสี่ยงของเหตุการณ์ได้แสดงออกในเชิงปริมาณ ตัวอย่างเช่น ผลกระทบของผลกำไรสุทธิของการเปลี่ยนแปลงราคาถูกคำนวณระหว่างหน่วยธุรกิจ และกำหนดผลกระทบขององค์กรโดยรวม

การผสมระหว่างการวัดเชิงปริมาณและคุณภาพนั้นผู้บริหารได้พัฒนาการประเมินค่าเชิงคุณภาพในระหว่างการวัดผลทั้งเชิงคุณภาพและปริมาณด้วยผลลัพธ์ ซึ่งประกอบด้วยการประเมินค่าที่อธิบายได้ในเชิงคุณภาพ การสร้างคำศัพท์ของความน่าจะเกิดและผลลัพธ์ขององค์กรและกลุ่มของความเสี่ยงที่ใช้สำหรับการวัดเชิงคุณภาพช่วยอำนวยความสะดวกให้ส่วนประกอบของการประเมินค่าความเสี่ยงต่าง ๆ เหล่านั้น

ความสัมพันธ์กันของเหตุการณ์
ผู้บริหาร องค์กร อาจประเมินว่าเหตุการณ์มีความสัมพันธ์กันอย่างไร ลำดับเหตุการณ์ได้รวมกันและสร้าง Likelihood หรือผลกระทบอย่างมีนัยสำคัญที่ใด ในขณะที่ผลของเหตุการณ์เดียวอาจเบาบาง ลำดับเหตุการณ์อาจมีผลกระทบที่สำคัญมากกว่า อาจใช้การทดสอบที่หนักหน่วงในการประเมินค่าผลกระทบของเหตุการณ์สุดท้ายและใช้การวิเคราะห์ภาพเหตุการณ์ในการประเมินค่าผลกระทบของเหตุการณ์จำนวนมาก หากว่าเหตุการณ์ไม่มีความสัมพันธ์กันโดยตรง

ผู้บริหารต้องประเมินค่าเหตุการณ์แยกกัน ยกตัวอย่าง บริษัทที่มีธุรกิจต่างกัน มีการผันผวนของราคาที่แตกต่างกัน จะประเมินความเสี่ยงซึ่งสัมพันธ์กับตลาดแยกจากกัน ดังเช่น ราคาของเนื้อและราคาพลังงาน ในการประเมินค่าเช่นนี้อาจถูกนำเสนอในรูปกราฟแสดงอัตราความเป็นไปได้และผลกระทบหรือเสนอในรูปแบบอื่น ๆ

ความเสี่ยงซึ่งเกิดขึ้นเหมือน ๆ กันในธุรกิจจำนวนมาก ผู้บริหารอาจประเมินค่าและแยกแยะกลุ่มเหตุการณ์เอาไว้ในกลุ่มเหตุการณ์ทั่วไป ตัวอย่างเช่น การเปลี่ยนแปลงในอัตราดอกเบี้ยของรัฐบาลซึ่งมีผลกระทบกับหน่วยธุรกิจของบริษัทที่ให้บริการด้านการเงิน

ความสัมพันธ์กันระหว่างความเสี่ยงและผลกระทบเป็นความรับผิดชอบที่สำคัญของผู้บริหาร การบริหารความเสี่ยงที่มีประสิทธิภาพต้องการการประเมินค่าความเสี่ยงที่เกี่ยวข้องกับความเสี่ยงธรรมชาติและความเสี่ยงที่ตามมาจากการตอบสนองความเสี่ยง

การประเมินความเสี่ยงจะต้องพิจารณาว่าเหตุการณ์ที่เป็นไปได้ว่าจะเกิดขึ้น เหตุการณ์ไหนมีผลกระทบต่อการบรรลุวัตถุประสงค์หรือเป้าหมายขององค์กร โดยฝ่ายบริหารประเมินและวิเคราะห์ความเสี่ยงโดยพิจารณาจาก

1. ความน่าจะเกิด (Likelihood) คือโอกาสความเป็นไปได้ที่เหตุการณ์ที่ความเสี่ยงนั้นจะเกิดหรือความถี่ที่เหตุการณ์จะเกิด
2. ส่วนผลกระทบ (Impact) หมายถึง ความเสียหายที่จะเกิดจากเหตุการณ์ความเสี่ยงนั้น ความน่าจะเกิดบ่งบอกถึงความเป็นไปได้ที่เหตุการณ์นั้นจะเกิดขึ้น สามารถวัดเป็นมูลค่าที่คาดหวังหรือมูลค่าที่เลวร้ายที่สุด หรืออาจแสดงเป็นปริมาณ เช่น สูง (High) กลาง (Medium) และต่ำ (Low) หรือการวัดเป็นเปอร์เซ็นต์ ความถี่ที่จะเกิด เป็นต้น

การประเมินความเสี่ยงเป็นเรื่องที่ยากและท้าทาย ฝ่ายจัดการต้องตระหนักว่าความเสี่ยงที่มีโอกาสเกิดขึ้นต่ำและมีผลกระทบต่อองค์กรต่ำไม่ต้องนำมาพิจารณา ในทางตรงกันข้ามหากความเสี่ยงที่มีความเป็นไปได้ที่จะเกิดสูงและมีผลกระทบอย่างมีนัยสำคัญต่อองค์กร ฝ่ายจัดการต้องนำมาพิจารณาและให้ความสนใจ

การประเมินความเสี่ยง ฝ่ายจัดการต้องพิจารณาผลกระทบทั้งเหตุการณ์ที่คาดไว้และเหตุการณ์ที่ไม่คาดไว้ซึ่งมีความเป็นไปได้ที่จะเกิดขึ้น ส่วนใหญ่เหตุการณ์ต่าง ๆ มักเป็นเหตุการณ์ประจำและเกิดขึ้นอีกครั้งและเหตุการณ์ดังกล่าวถูกนำมาอยู่ในโปรแกรมการบริหารจัดการแล้ว

ส่วนเหตุการณ์ที่ไม่คาดไว้ แม้มีความเป็นไปได้ที่จะเกิดต่ำแต่มีผลกระทบที่เป็นนัยสำคัญ เหตุการณ์ดังกล่าวจะถูกตอบสนองเป็นแต่ละเหตุการณ์ไป ทั้งเหตุการณ์ที่คาดไว้และเหตุการณ์ที่ไม่ได้คาดไว้ล้วนมีผลกระทบต่อการดำเนินกลยุทธ์และมีผลต่อการบรรลุเป้าหมายหรือวัตถุประสงค์ขององค์กร

การประเมินความเสี่ยงถูกนำมาใช้กับความเสี่ยงพื้นฐานขององค์กรหรือความเสี่ยงจากลักษณะธุรกิจ (Inherent risk) เมื่อการตอบสนองความเสี่ยงถูกพัฒนาขึ้น ฝ่ายจัดการจะใช้เทคนิคการประเมินความเสี่ยงในการจัดการกับความเสี่ยงที่เหลืออยู่ (Residual Risk)

 

แนวทาง/กรอบการบริหารความเสี่ยงทั่วทั้งองค์กร

ช่วงนี้อากาศเย็นเพราะฝนตกบ่อย ผมอยู่นอกบ้านอากาศเย็นถึงกับหนาว ๆ อยู่บ้าง พอกลับเข้ามาในบ้านก็รู้สึกอบอุ่นขึ้นมาหน่อย หลายท่านก็ต้องระวังจะไม่สบายตามฝนฟ้าอากาศด้วยนะครับ สำหรับวันนี้ผมจะมาเล่าต่อถึงการจัดกลุ่มของเหตุการณ์จากที่ได้ทิ้งท้ายเอาไว้ในครั้งก่อน

การจัดกลุ่มเหตุการณ์
การจัดเหตุการณ์แฝงให้เป็นกลุ่มอาจเป็นสิ่งที่มีประโยชน์ การรวบรวมเหตุการณ์ระหว่างองค์กรและภายในส่วนงานต่าง ๆ ขององค์กรนั้น ผู้บริหารจะพัฒนาความเข้าใจของความสัมพันธ์กันระหว่างเหตุการณ์ได้รับข้อมูลเพิ่มขึ้น เพื่อใช้เป็นพื้นฐานในการประเมินค่าความเสี่ยงในการจัดกลุ่มเหตุการณ์แฝงที่เหมือนกัน ผู้บริหารจะสามารถกำหนดโอกาสและความเสี่ยงได้ดียิ่งขึ้น
การแบ่งกลุ่มเหตุการณ์ทำให้ผู้บริหารได้พิจารณาถึงความสมบูรณ์ของความพยายามที่จะแยกแยะเหตุการณ์ จากการตรวจสอบเหตุการณ์แฝงในกลุ่มนี้ ผู้บริหารสามารถวัดได้ว่ามีการแยกแยะความสำคัญของเหตุการณ์แฝงซึ่งสัมพันธ์กับการผิดพลาดของกิจกรรมต่าง ๆ ที่เกี่ยวข้องได้หรือไม่

ยิ่งไปกว่านั้น การจัดกลุ่มเหตุการณ์สามารถเสริมภาพเหตุการณ์ ประวัติขององค์กรต่าง ๆ บางองค์กรได้พัฒนาการแบ่งกลุ่มเหตุการณ์บนพื้นฐานของการจัดกลุ่มของวัตถุประสงค์การใช้ระดับขั้น ซึ่งเริ่มต้นด้วยวัตถุประสงค์ระดับสูงและลดหลั่นลงมาสู่วัตถุประสงค์ซึ่งเกี่ยวข้องกับหน่วยงานขององค์กร หรือการดำเนินธุรกิจ

ผู้บริหารต้องตระหนักว่ายังมีเหตุการณ์ที่มีความไม่แน่นอน ซึ่งไม่สามารถคาดการณ์ว่าจะเกิดอะไร เมื่อไร หรือส่งผลอย่างไร การกำหนดเหตุการณ์นี้คือผู้บริหารต้องพิจารณาปัจจัยทั้งภายนอกภายในที่มีผลทำให้เกิดเหตุการณ์ดังกล่าวขึ้น

ปัจจัยภายนอก รวมถึงสภาวะเศรษฐกิจ ธุรกิจ สภาพแวดล้อมทางธรรมชาติ การเมือง สังคมและเทคโนโลยีใหม่ ๆ ปัจจัยภายใน เช่นสาธารณูปโภคขั้นพื้นฐาน (Infrastructure) บุคลากร กระบวนการทำงาน หรือเทคโนโลยี

เหตุการณ์ที่มีความเป็นไปได้ว่าจะเกิดขึ้นมีผลกระทบได้ทั้งแง่บวกและแง่ลบ เหตุการณ์ที่มีผลกระทบในแง่บวกแสดงถึงโอกาส โอกาสสามารถนำไปกำหนดกลยุทธ์หรือกระบวนการในการกำหนดเป้าหมายหรือวัตถุประสงค์ขององค์กร เหตุการณ์ที่มีผลกระทบในแง่ลบแสดงถึงความเสี่ยงที่เกิดขึ้น ซึ่งฝ่ายจัดการต้องทำการประเมินและตอบสนองกับเหตุการณ์นั้น ความเสี่ยงที่ถูกกำหนดนั้นเป็นเหตุการณ์ที่เกิดขึ้นและมีผลกระทบต่อการบรรลุเป้าหมายหรือวัตถุประสงค์ขององค์กร

ตัวอย่างเหตุการณ์เสี่ยงจากปัจจัยภายนอก เช่น
– ภาวะการเปลี่ยนแปลงของเทคโนโลยี
– ลูกค้าเปลี่ยนทัศนคติหรือความพึงพอใจต่อสินค้าหรือบริการ
– ภาวะการแข่งขันทางการตลาดทั้งสินค้าและบริการ
– กฎหมาย ระเบียบ ข้อบังคับที่เกี่ยวข้อง
– สภาวะทางเศรษฐกิจ การค้า ความร่วมมือระหว่างประเทศ และสภาวะแวดล้อมภายนอกอื่น

การระบุปัจจัยเสี่ยงต่าง ๆ ที่มีผลกระทบต่อองค์กร

การระบุปัจจัยเสี่ยงต่าง ๆ ที่มีผลกระทบต่อองค์กร

ตัวอย่างเหตุการณ์เสี่ยงจากปัจจัยภายในและระบบงาน เช่น
– ศักยภาพของบุคลากร กระบวนการบริหาร โครงสร้าง และการบริหารแผนงานขององค์กร
– ปริมาณและความซับซ้อนของรายการค้า การบริการ ผู้มีผลประโยชน์ร่วม และสาขางานที่เกี่ยวข้อง
– คุณภาพหรือปัญหาข้อขัดข้องของกิจกรรมประมวลผลและระบบสารสนเทศ เพื่อการรายงาน เพื่อการบริหาร
– คุณภาพและความสามารถของพนักงาน ความขัดแย้งชิงดีชิงเด่นภายในองค์กร และนโยบายเกี่ยวกับการบริหารบุคลากรขององค์กร
– คุณภาพและการเปลี่ยนแปลง ฝ่ายบริหาร วิธีการบริหาร ระบบและวิธีการปฏิบัติงาน
– การคัดเลือกคณะกรรมการบริษัทและคณะกรรมการตรวจสอบที่ไม่เหมาะสม ทำให้ได้ผู้ที่ไม่มีคุณภาพมากำกับดูแลงาน
– ความเพียงพอและประสิทธิผลการควบคุม

องค์ประกอบความรู้ที่ใช้ในการวิเคราะห์ระบบงาน

องค์ประกอบความรู้ที่ใช้ในการวิเคราะห์ระบบงาน

วิธีการจำแนกเหตุการณ์จากพื้นฐานของปัจจัยภายนอกและปัจจัยภายใน
ปัจจัยภายใน พิจารณาจาก
โครงสร้างพื้นฐาน
– สินทรัพย์ที่มีอยู่
– ความสามารถของสินทรัพย์
– การเข้าถึงทุน
– ความซับซ้อน
– การรวมกัน/การหามาได้

บุคลากร
– ความสามารถของพนักงาน
– สุขภาพและความปลอดภัย
– การตัดสินคุณค่า
– การปฏิบัติที่ปลอดภัย
– การดำเนินการขาย

กระบวนการ
– ความสามารถ
– การออกแบบ
– การดำเนินการ
– ผู้ขาย/การพึ่งพา

เทคโนโลยี
– ข้อมูล
– ข้อมูลและการได้มาซึ่งระบบ
– ความสามารถ
– ระบบ

ปัจจัยภายนอก พิจารณาจาก
เศรษฐกิจ
– การหาทุน
– เครดิต
– การลื่นไหลของตลาด การหาทุน กระแสเงินสด
– ตลาด ราคาตลาด อัตราดอกเบี้ย การว่างงาน อัตราแลกเปลี่ยน

ธุรกิจ
– ยี่ห้อ/ชื่อสินค้า
– การแข่งขัน
– พฤติกรรมผู้บริโภค
– คู่แข่ง
– ความลำเอียง
– มาตรฐานอุตสาหกรรม
– โครงสร้างความเป็นเจ้าของ
– สาธารณะ
– ความเกี่ยวข้องของผลิตภัณฑ์

เทคนิค
– การค้าอิเล็กทรอนิคส์
– ข้อมูลภายนอก
– การกระจายเทคโนโลยี

สภาพแวดล้อมทางธรรมชาติ
– พลังงาน
– ภัยธรรมชาติ
– การพัฒนาอย่างต่อเนื่อง
– การขนส่ง
– น้ำ
– ไฟ

การเมือง
– การเปลี่ยนรัฐบาล
– กฎหมาย
– นโยบายสาธารณะ
– กฎระเบียบ

สังคม
– ความเป็นประชากรขององค์กร
– ความเป็นส่วนตัว

ความเสี่ยงที่เด่นชัดและโอกาส
เหตุการณ์อาจทำให้เกิดผลทางด้านลบ ทางด้านบวก หรือทั้งสองด้าน เหตุการณ์ซึ่งส่งผลทางด้านลบเป็นเสมือนความเสี่ยง ซึ่งต้องการการประเมินค่าและตอบสนองจากผู้บริหาร ดังนั้น ความเสี่ยงคือความเป็นไปได้ที่เหตุการณ์จะเกิดขึ้นและส่งผลอย่างเป็นปฏิปักษ์ต่อความสำเร็จของวัตถุประสงค์

ส่วนเหตุการณ์ซึ่งส่งผลทางบวกเป็นเสมือนโอกาสหรือการโต้ตอบผลลบของความเสี่ยง เหตุการณ์ที่เป็นเสมือนโอกาสจะถูกส่งกลับไปสู่กลยุทธ์ของผู้บริหารหรือในขั้นตอนการตั้งวัตถุประสงค์ เพื่อให้การกระทำสามารถก่อตัวเพื่อครอบงำโอกาส เหตุการณ์ที่โต้ตอบผลลบของความเสี่ยงจะถูกพิจารณา ในการประเมินค่าความเสี่ยงและการตอบสนองของผู้บริหาร

องค์ประกอบสำคัญของการระบุเหตุการณ์

องค์ประกอบสำคัญของการระบุเหตุการณ์

ครั้งหน้าผมจะกล่าวถึงกระบวนการบริหารความเสี่ยงและการควบคุมภายใน ตามหลัก COSO – ERM ในกระบวนการขั้นถัดไปคือ การประเมินความเสี่ยง ซึ่งเป็นขั้นตอนที่ผู้บริหารองค์กรทั้งหลายไม่ควรพลาดครับ