Posts Tagged "CSA and Audit"

ASEAN CSA Summit 2013 Bangkok Thailand. GRC and Audit

ผมได้มีโอกาสเป็นผู้หนึ่งใน Panelists ในหัวข้อ Cloud Governance : Cloud and GRC (Audit) และเป็นผู้ร่วมรับฟังในหัวข้อที่น่าสนใจอื่น ๆ อีกหลายเรื่อง ในงาน ASEAN CSA Summit 2013 Bangkok Thailand ที่จัดขึ้นเมื่อวันที่ 7 – 8 กุมภาพันธ์ 2556 ณ โรงแรมเซ็นทาราแกรนด์ ที่เซ็นทรัลพลาซ่า ลาดพร้าว จึงขอนำมาเล่าสู่กันฟังสั้นตามที่ผมเข้าใจในเบื้องต้นของภาพโดยรวมของงานดังนี้

As we are on the path towards the strategic roadmap of ASEAN ICT Master Plan 2015 to harness ICT to drive all strategic initiatives for ASEAN Economic Community (AEC), Cloud Computing has definitely presented the potential to enable ASEAN’s social and economic integration. The aim of the ASEAN CSA Summit- Bangkok 2013 is to build shared understanding in the role of cloud computing on ASEAN economy and its impact on business at national level as well as ASEAN level through public- private partnership (PPP) initiatives. There are several important factors and issues concerning both opportunities and challenges business and IT executives need to consider when making Cloud adoption decision.

Despite its potential business values such as cost savings, flexibility, and better resource optimization, several relevant risks have emerged and those, if left unmanaged, will prevent us from realizing business benefits of clouds. To achieve value realization as well as risk optimization of Cloud technology- both Public and Private platforms, it is crucial for every organization and country to pursue an integrated management approach, known as Integrated-Governance, Risk, and Compliance (GRC) or Integrated IT-GRC. That said, not only Value driver but also Risk driver of cloud computing has to be considered, well understood, and managed properly at all organizational levels and stakeholders.

It is essential for the management committee/board to assure the alignment of ASEAN goals and Enterprise goals which need to be cascaded down to IT-related goals regarding Cloud Computing environment with respective proper measures and target outcomes in order to monitor and evaluate value realization of cloud investments. Such alignments ought to address all the needs and concerns from various stakeholders including governments, citizens, businesses, and users with respect to expected value and risk appetite in order to achieve optimal level of enterprise performance and conformance.

In sum, ASEAN CSA Summit –Bangkok 2013 is a forum for sharing, discussing, collaborating, and setting a common direction for ASEAN Cloud Computing initiatives. The summit offers various sessions to discuss current critical gaps Cloud Security Alliance-CSA has against standards, good practices, and frameworks regarding IT/IS security driven by enterprise goals and ASEAN goals. The possible solutions to address those gaps at enterprise and national levels will also be discussed to provide guidance for CIOs, business leaders, and government agencies to consider and pursue in order to achieve benefits realization and effective risk management of Cloud Computing, as well as to optimize ICT resources.

ผมขอนำสไลด์ที่ใ้ช้ในการเป็น Panelist เพียง 2-3 สไลด์มาใช้ประกอบให้ท่านผู้อ่านได้ติดตามได้สะดวกขึ้น สำหรับสไลด์ที่เหลืออีกประมาณ 35 สไลด์นั้น ให้ท่านติดตามได้จาก www.csathailand.org นะครับ เพราะผมเองในการร่วมเป็น Panelist ก็ใช้เพียง 2-3 สไลด์หลัก ๆ นี้เท่านั้น

ความจริงข้อมูลข้างต้นผมได้ัจัดทำและนำเผยแพร่ตามที่ผมเข้าใจในกรอบของการจัดงาน ASEAN CSA Summit 2013 Bangkok Thailand ก่อนที่จะเข้ารับฟังและร่วมเป็น Panelists ในหัวข้อ Cloud Governance : Cloud and GRC (Audit) และหลังจากการมีส่วนร่วมในงานนี้แล้ว ผมก็ยังเข้าใจว่า ข้อมูลที่ได้เขียนไว้ก่อนหน้านี้ยังสามารถนำมาสื่อสารและสรุปตามที่กล่าวข้างต้นได้

สำหรับหัวข้อของผมที่พูดถึงเรื่อง GRC และ Audit เนื่องจากมีเวลาค่อนข้างจำกัดมาก ผมจึงอธิบายเรื่อง GRC และ Audit ได้ไม่เต็มที่นัก จึงขอเล่าสู่กันฟังเพิ่มเติมดังนี้ครับ

G+R+C ไม่เท่ากับ และไม่เป็น GRC และไม่ใช่ Integrated GRC อีกด้วย …ฟังแล้วก็อาจอยากฟังต่อ ก็ขออธิบายเชิงเปรียบเทียบเรื่องใกล้ๆตัวนะครับว่า…หิน+ปูน+ทราย ไม่เท่ากับ หรือไม่เป็น “ซิเมนต์” แต่เมื่อนำน้ำผสมคลุกเคล้ากับ หิน+ปูน+ทราย ก็จะได้ “ซิเมนต์” ณที่นี้ ซิเมนต์ก็คือมุมมองของ GRC หรือ Integrated GRC นั่นเอง…น้ำคือ “ความเข้าใจ” ในหลักการและกระบวนการทำงานของ GRC ที่ต้องผสมผสานกับหลักการบริหารแบบบูรณาการ/Integrated Management …หากจะพูดหรืออธิบายว่า..ซิเมนต์ ประกอบด้วย หิน+ปูน+ทราย ผสมกับน้ำ…นั่นคือ หลักการบริหารแบบบูรณการยุคใหม่ที่ไม่อาจบริหารแบบ SILO ให้ได้ผลตามความต้ัองการของผู้มีผลประโยชน์ร่วมได้อีก โดยเฉพาะอย่างยิ่งในยุค “Governance Enterprise of IT หรือ GEIT”

การอธิบาย GRC ในเวลาที่จำกัดตามที่กล่าวข้างต้นพอที่จะทำให้ท่านผู้อ่านได้เข้าใจความหมายของ GRC ได้ดีขึ้นระดับหนึ่ง แต่รายละเอียดต่าง ๆ ที่เกี่ยวข้องกับการบริหารและการจัดการแบบบูรณาการในลักษณะ Integrated Management and Audit นั้น คงต้องเล่ากันเป็นซีรีย์ยาวในโอกาสต่อ ๆ ไปนะครับ

 

การประเมินตนเองเพื่อควบคุมความเสี่ยง – CSA / Controls Self Assessment ตอนที่ 4 – ประโยชน์ของ CSA และข้อควรคำนึงถึง

เมื่อมีการนำ CSA มาใช้ในการประเมินตนเองเพื่อควบคุมความเสี่ยงขององค์กร นอกจากจะต้องเข้าใจในเรื่องการเปลี่ยนแปลงหลาย ๆ อย่างภายในองค์กร ดังที่ได้กล่าวถึงในครั้งที่แล้ว การเปลี่ยนแปลงจากการนำ CSA มาใช้ และการเคลื่อนไหวของ CSA โดยทั่วไป จะก่อให้เกิดประโยชน์และข้อควรคำนึงถึงเป็นจำนวนมาก ประโยชน์และสิ่งที่ควรคำนึงถึงนี้อาจมองได้หลายมุมมอง เช่น ประโยชน์ต่อองค์กรการตรวจสอบภายใน ประโยชน์ต่อกระบวนการทางธุรกิจ อุปสรรคจากการนำ CSA มาปรับใช้ เป็นต้น ซึ่งผมจะขอกล่าวถึงประโยชน์ของ CSA โดยหลัก ๆ ดังนี้

1. CSA ช่วยให้พนักงานสายงานหลักในทุกระดับมีความเข้าใจและคาดการณ์ถึงหน้าที่ความรับผิดชอบ และสามารถตรวจสอบประสิทธิผลของการควบคุมความเสี่ยงและการบริหารความเสี่ยงได้อย่างถูกต้องมากขึ้น CSA ประกอบด้วยส่วนประกอบด้านการศึกษาที่สำคัญ ที่ช่วยให้พนักงานสายงานหลักเกิดความเข้าใจเรื่องความเสี่ยงและการบริหารความเสี่ยงได้ดีขึ้น ในฐานะที่เป็นผู้ที่เกี่ยวข้องโดยตรงต่อการปฏิบัติงานโดยผู้อำนวยความสะดวก ตัวอย่างเช่น การสื่อสารที่มีประสิทธิภาพและโอกาสในการสอนงาน ในท้ายที่สุด ผู้ตรวจสอบจะเปลี่ยนแปลงทัศนคติและความเข้าใจของทีม เรื่องการควบคุมความเสี่ยงและความเสี่ยงที่อาจเป็นประโยชน์อย่างมากในการทำ CSA

2. เกิดการการปฏิบัติที่ถูกต้องมากขึ้น เนื่องจากผู้มีส่วนร่วมในการทำ CSA เกิดความเป็นเจ้าของในผลลัพธ์ที่เกิดขึ้น การประชุมเชิงปฏิบัติการ และการตรวจสอบแบบดั้งเดิมที่ล้มเหลวในด้านการสร้างความเข้าใจ หรือการกล่าวถึงสิ่งที่ต้องคำนึงถึงในการบริหาร จะนำไปสู่ข้อเสนอแนะที่ไม่สามารถนำไปปฏิบัติได้ ซึ่งจะสร้างผลลัพธ์ในทางลบให้กับ CSA การนำไปสู่ความสับสน และเกิดความขัดแย้งระหว่างพนักงานสายงานหลักและผู้บริหาร

3. CSA จะจัดเตรียมประเด็นที่สำคัญที่ครอบคลุมกว้างขวางเนื่องจากผู้เชี่ยวชาญ ทีมงานสามารถเน้นไปยังความเสี่ยงและการควบคุมความเสี่ยงได้อย่างรวดเร็ว

4. CSA ช่วยปรับปรุงการสื่อสารในทุกระดับเนื่องจาก การประชุมเชิงปฏิบัติการ ประกอบด้วยหลาย ๆ องค์ประกอบ เช่น ที่ตั้ง แผนก หน้าที่ และบุคลากรทุกระดับ

5. CSA สอนให้ผู้มีส่วนร่วมทราบถึงวิธีการวิเคราะห์และรายงานการควบคุมภายใน ดังนั้นจึงช่วยเพิ่มความตื่นตัวเรื่องการควบคุมให้เกิดขึ้นทั่วทั้งองค์กร ซึ่ง CSA จะช่วยในการปรับปรุงสภาพแวดล้อมทางการควบคุมขององค์กร โดยช่วยเพิ่มความตระหนักถึงวัตถุประสงค์ขององค์กรและบทบาทของการควบคุมภายใน อันจะทำให้เกิดผลสำเร็จตามเป้าหมายและวัตถุประสงค์ รวมถึงการจูงใจให้บุคลากรทำการออกแบบหรือนำกระบวนการควบคุมไปปฏิบัติอย่างระมัดระวัง และมีการปรับปรุงกระบวนการดำเนินการควบคุมอย่างต่อเนื่อง

นอกจากนี้ CSA ยังมีประโยขน์ในด้านอื่น ๆ คือ ช่วยให้ผู้ตรวจสอบเน้นไปยังเนื้อหาความเสี่ยงในระดับสูงเท่านั้น และยังมุ่งความสนใจไปยังความพยายามในการตรวจสอบแบบดั้งเดิมในเรื่องดังกล่าวด้วย อีกทั้งการประชุมเชิงปฏิบัติการด้าน CSA จะช่วยให้เกิดการเตรียมตัวอย่างไม่เป็นทางการ หรือการควบคุมร่วมกันที่ยากต่อการประเมินด้วยการตรวจสอบแบบดั้งเดิม

นอกเหนือจากประโยชน์ในการทำ CSA แล้ว ยังมีข้อควรคำนึงถึงหรืออุปสรรคในการบรรลุผลสำเร็จ ดังนี้

1. บุคลากรจะต่อต้านการเปลี่ยนแปลงแ ละการนำ CSA มาใช้นั้นได้แสดงให้เห็นว่า เป็นการเปลี่ยนแปลงสำหรับทั้งผู้ตรวจสอบและผู้ถูกตรวจสอบ หลายองค์กรจึงอาจค่อย ๆ ยอมรับวิธีการใหม่นี้อย่างช้า ๆ

2. ฝ่ายบริหารอาจไม่เชื่อว่าพนักงานสายงานหลักจะสามารถรับผิดชอบงานด้านการควบคุม และการบริหารความเสี่ยงได้อย่างมีประสิทธิผล โดยอาจมองว่า CSA เป็นเพียงการเปลี่ยนของงาน (วิธีการที่ผู้ตรวจสอบภายในมอบให้พนักงานสายงานหลักเข้ามาทำงานด้านการตรวจสอบเอง) ในกรณีนี้ผู้บริหารจะส่งเสริมให้กลุ่มใดกลุ่มหนึ่ง นั่นก็คือผู้ตรวจสอบภายใน เป็นผู้มีหน้าที่ความรับผิดชอบเรื่องความเสี่ยงและการควบคุมความเสี่ยง และไม่ได้มอบหน้าที่ความรับผิดชอบให้กับตัวพนักงานสายงานหลักเหล่านั้นเอง

3. การอภิปรายอย่างเปิดเผยอาจเป็นการเปิดองค์กรให้เกิดความเสี่ยงทางกฎหมาย ถ้าการอภิปรายนั้นได้เปิดเผยถึงการกระทำที่ไม่ถูกกฎหมาย ความรุนแรงของนโยบายด้านจริยธรรม หรือประเด็นอื่น ๆ ผู้อำนวยความสะดวกอาจจำเป็นที่จะต้องตัดสินใจว่า การประชุมเชิงปฏิบัติการต้องหยุดลงหรือดำเนินการต่อไป หรือวิธีที่จะกระจายผลลัพธ์นั้นออกไป

4. ผลของ CSA อาจไม่ถูกต้องเนื่องจากผู้มีส่วนร่วมไม่มีความรู้ที่ดีพอหรือไม่เปิดเผย หรือผู้อำนวยความสะดวกไม่ได้รับสาเหตุที่เป็นรากเหง้าของประเด็นนั้นอย่างแท้จริง

5. ในหลายวัฒนธรรมไม่เป็นวัฒนธรรมเปิดและไม่มีการเปิดเผย และการอภิปรายอย่างเปิดเผยทำให้การประชุมเชิงปฏิบัติการไม่ได้รับปัจจัยนำเข้าที่เชื่อถือได้

6. ความสามารถในการควบคุมและการบริหารความเสี่ยง จะเกี่ยวข้องกับการผึกอบรมเพิ่มเติมให้กับพนักงาน และการเพิ่มความผูกพันในการรักษากระบวนการ CSA ให้ทำหน้าที่อย่างมีประสิทธิผลและทันเวลา

7. ในกรณีศึกษาส่วนใหญ่ เจ้าหน้าที่ตรวจสอบภายในไม่มีทักษะทางด้านการเป็นผู้อำนวยความสะดวกและการเป็นผู้สอน

8. การเปลี่ยนแปลงอย่างมีคุณภาพโดยรวม การพัฒนาองค์กร และบุคลากรที่นำการประชุมเชิงปฏิบัติการมาใช้อำนวยความสะดวกในการทำงาน โดยอาจมอง CSA ว่าเป็นการบังคับ เนื่องจากมีการใช้เครื่องมือที่มีลักษณะเหมือนกันหลาย ๆ เครื่องมือ

9. ท้ายที่สุดแล้วจะเกิดคำถามว่าผู้ตรวจสอบภายใน หรือผู้ถูกตรวจสอบเป็นเจ้าของ CSA ผู้อำนวยการการตรวจสอบจะทำการตลาด และบูรณาการ CSA มาใช้ในองค์กรได้อย่างไร ถ้าไม่มีการบริหารจัดการที่ดี

แม้ว่าได้มีการพิจารณายอมรับให้นำ CSA มาใช้เป็นเครื่องมือในการประเมินผลกันมากขึ้น แต่ก็ยังมีประเด็นที่ต้องคำนึงถึงอีกหลายประการที่ผู้มีส่วนร่วมใน CSA ยังมีความแตกแยกกันในเรื่องที่ว่า อะไรคือวิธีที่ดีที่สุดในการดำเนินการประเมินตนเอง ในที่นี้เราจะเรียกว่าเป็นข้อขัดแย้ง ถ้าได้ทบทวนรายละเอียดของแนวทางด้าน CSA ขององค์กรหลาย ๆ องค์กร จะพบความแตกต่างหลายประการ แต่นั่นก็ไม่ได้หมายความว่าแนวทางของใครดีหรือไม่ดี เป็นเพียงความแตกต่างที่เกิดขึ้น ความยืดหยุ่นและความแตกต่างของประสบการณ์จาก CSA นี้จะแสดงให้เห็นว่ามีหลายวิธีที่จะนำไปประยุกต์ใช้ให้ประสบความสำเร็จ ซึ่งผมจะนำมาเล่าสู่กันฟังในครั้งหน้านะครับ