สารบัญ18 หัวข้อหลัก
- 1.บทนำ — ลำดับและชั้นของกรอบที่ใช้พิจารณา
- 2.แยก inherent risk, control และ residual risk
- 3.ข้อ 5: หน้าที่สี่ประการของผู้รับผิดชอบ
- 4.ข้อ 11: การจัดส่งข้อมูลเมื่อหน่วยงานกำกับร้องขอ
- 5.มาตรฐาน 2.3: กำหนดและสื่อสารวัตถุประสงค์
- 6.มาตรฐาน 2.8: รายงานต่อผู้เกี่ยวข้อง
- 7.กรอบหลักการที่ 3: บุคลากรและวัฒนธรรมที่ดี
- 8.กรอบหลักการที่ 8: พัฒนาอย่างต่อเนื่อง
- 9.ขั้น 4: ประเมินความเสี่ยง
- 10.กำหนด likelihood criteria จากข้อมูลและ time horizon
- 11.ออกแบบแผนให้พร้อมปฏิบัติ
- 12.เชื่อมแผนความต่อเนื่องธุรกิจกับทะเบียนความเสี่ยง
- 13.วัดความสำเร็จของระบบบริหารความเสี่ยง
- 14.กรณี 4: โครงการเริ่มระบุความเสี่ยงก่อนกำหนด objective
- 15.กรณี 9: กำหนด appetite โดยไม่เชื่อมยุทธศาสตร์
- 16.กรณี 14: KRI ผ่าน warning threshold
- 17.กรณี 19: รายงานมีแต่คะแนนสีแดง
- 18.กรณี 24: BCP แยกจาก risk register
บทนำ — ลำดับและชั้นของกรอบที่ใช้พิจารณา
ชั้นแรกคือหลักเกณฑ์ปฏิบัติข้อ 1–12 ซึ่งกำหนดหน่วยงาน ผู้รับผิดชอบ แผน การกำกับ ติดตาม รายงาน และการขอทำความตกลง เป็นส่วนที่ตอบคำถามว่าใครต้องทำอะไรและขั้นต่ำทางกฎหมายอยู่ตรงไหน. ชั้นที่สองคือมาตรฐานข้อ 2.1–2.9 ซึ่งวางผลลัพธ์ขั้นต่ำของระบบ ตั้งแต่สภาพแวดล้อม วัตถุประสงค์ การบริหารทุกระดับ กระบวนการ แผน การติดตาม รายงาน จนถึงการเลือกเครื่องมือ. ชั้นที่สามคือแนวทางกรมบัญชีกลางเรื่องหลักการบริหารจัดการความเสี่ยงระดับองค์กร พ.ศ. 2564 แบ่งกรอบ 8 หลักการและกระบวนการ 7 ขั้น ใช้อธิบายว่าจะทำระบบให้มีคุณภาพอย่างไร. เวลาตอบสถานการณ์ให้ไล่ ผู้มีหน้าที่ → วัตถุประสงค์ → ความเสี่ยง → ระดับก่อน/หลังมาตรการ → ผู้มีอำนาจตอบสนอง → การติดตามและรายงาน ไม่เริ่มจากเลือกสีในตารางทันที
อ่านวิชานี้ให้ครบสามชั้นก่อนทำกรณีศึกษา
- 1ผู้มีหน้าที่
- 2วัตถุประสงค์
- 3เหตุการณ์และสาเหตุ
- 4ประเมินก่อน–หลัง
- 5ตอบสนอง
- 6ติดตามและรายงาน
มาตรา 79 แห่งพระราชบัญญัติวินัยการเงินการคลังของรัฐ พ.ศ. 2561 บังคับให้หน่วยงานของรัฐจัดให้มีการตรวจสอบภายใน การควบคุมภายใน และการบริหารจัดการความเสี่ยงตามมาตรฐานและหลักเกณฑ์ที่กระทรวงการคลังกำหนด. กระทรวงการคลังออกหลักเกณฑ์ฉบับนี้ตามหนังสือที่ กค 0409.4/ว 23 ลงวันที่ 19 มีนาคม 2562 จึงเป็นกรอบบังคับ มิใช่เพียงคำแนะนำให้ทำ risk register เพื่อประกอบการประเมิน. จากรายการเอกสารกรมบัญชีกลางที่ตรวจถึงปัจจุบัน พบหลักเกณฑ์ พ.ศ. 2562 เป็นตัวบทหลักและแนวทางหลักการระดับองค์กร พ.ศ. 2564 ไม่พบหลักเกณฑ์แก้ไขเป็นฉบับที่ 2 ที่แทนข้อความข้อ 1–12. ชื่อวิชาในระบบมีคำว่า “และที่แก้ไขเพิ่มเติม” จึงต้องเผื่อการตรวจเอกสารใหม่เสมอ แต่ห้ามเรียกแนวทางปี 2564 ว่าเป็นฉบับแก้ตัวบท เพราะหน้าที่คือขยายวิธีประยุกต์ตามข้อ 3 และมาตรฐาน 2.9
ความเสี่ยงเกิดในทุกการตัดสินใจและทุกระดับ เจ้าของกระบวนการจึงต้องระบุ ประเมิน ตอบสนอง และติดตาม ส่วนฝ่ายแผนหรือเลขานุการระบบช่วยกำหนดกรอบ รวมข้อมูลและรายงานภาพรวม. ถ้า risk register ถูกทำโดยคนกลางปีละครั้ง แต่ผู้อนุมัติโครงการ จัดงบ จัดซื้อ ให้บริการ หรือบริหาร IT ไม่ใช้ข้อมูลนั้น ระบบยังไม่บูรณาการแม้แบบฟอร์มครบ. การบูรณาการที่แท้จริงเห็นได้จากการนำ risk appetite, scenario, KRI และ residual risk ไปใช้เลือกยุทธศาสตร์ งบ ทรัพยากร ข้อกำหนดโครงการ และแผนความต่อเนื่อง. หลักฐานจึงควรมีทั้งมติและเอกสารตัดสินใจ มิใช่เพียงทะเบียน: เช่น เหตุผลเลือกทางเลือก งบมาตรการ ผู้รับผิดชอบ threshold ที่ยกระดับ และผลทบทวนหลังเหตุการณ์
ระบบความเสี่ยงช่วยเพิ่มโอกาสบรรลุวัตถุประสงค์ภายใต้ความไม่แน่นอน แต่ไม่กำจัดความเสี่ยงทั้งหมด เพราะมีข้อจำกัดด้านข้อมูล ดุลยพินิจ ทรัพยากร การเปลี่ยนแปลง และเหตุการณ์ที่คาดไม่ถึง. คำว่า reasonable assurance จึงต้องมาจากกระบวนการที่ออกแบบและดำเนินงานเหมาะกับบริบท มีการกำกับ ติดตาม และปรับปรุง มิใช่อ้างว่าคะแนนอยู่สีเขียวแล้วถือว่าปลอดภัย. แม้มีมาตรการดี เหตุยังเกิดได้ สิ่งที่ต้องประเมินคือมาตรการลด likelihood/impact ตามสมมติฐานหรือไม่ ตรวจพบและตอบสนองทันหรือไม่ และ residual risk อยู่ในอำนาจยอมรับหรือไม่. เมื่อรายงาน ผู้บริหารควรเห็นทั้งระดับความไม่แน่นอน ข้อจำกัดข้อมูล และ scenario รุนแรง ไม่ตีความค่าคะแนนเดียวเป็นคำพยากรณ์ที่แน่นอน
ความเสี่ยงมีความหมายเพราะกระทบวัตถุประสงค์ ก่อนระบุ risk จึงต้องกำหนดผลลัพธ์ ตัวชี้วัด เวลา ขอบเขต ผู้มีส่วนได้เสีย และข้อจำกัดให้ชัด. คำว่า “งบประมาณ” “บุคลากร” หรือ “ระบบ IT” เป็นเพียงหมวดหรือแหล่งปัจจัย ยังไม่บอกเหตุการณ์และผลต่อเป้าหมาย จึงยังไม่พร้อมประเมินหรือออกแบบ response. risk statement ที่ใช้ได้ควรอธิบายสาเหตุหรือปัจจัย → เหตุการณ์ที่อาจเกิด → ผลกระทบต่อวัตถุประสงค์ เช่น ข้อมูลต้นทางล่าช้าอาจทำให้จัดสรรงบผิดกลุ่มและบริการประชาชนไม่ทันเป้า. ถ้าวัตถุประสงค์กว้างหรือขัดกัน การประเมินจะให้คะแนนตามความรู้สึกและมาตรการกระจัดกระจาย จึงควรแก้ objective ก่อนทำ workshop ระบุความเสี่ยง
เหตุการณ์ไม่แน่นอนอาจขัดขวางเป้าหมายหรือสร้างโอกาสเพิ่มคุณค่า แนวทางภาครัฐจึงให้คิดทั้งการป้องกันความเสียหายและการฉวยโอกาสเพื่อเพิ่มศักยภาพกับบริการประชาชน. ตัวอย่างเทคโนโลยีใหม่อาจมี cyber/privacy risk แต่ก็ลดเวลาบริการและเพิ่มการเข้าถึง การตัดสินใจที่ดีต้องเห็นทั้ง upside, downside, เงื่อนไข และ trade-off. การเขียนแต่ภัยคุกคามทำให้ผู้บริหารเลือกปลอดภัยเกินไปและพลาดนวัตกรรม ส่วนการเขียนแต่ประโยชน์ทำให้ไม่เตรียม control, contingency หรือ trigger หยุดโครงการ. ควรประเมิน scenario หลายระดับและกำหนดมาตรการรักษาโอกาสพร้อมจำกัด downside มิใช่เลือกหลีกเลี่ยงทุกเรื่องที่มีความไม่แน่นอน
แยก inherent risk, control และ residual risk
inherent risk คือระดับความเสี่ยงก่อนพิจารณามาตรการที่มีอยู่ ช่วยให้เห็นธรรมชาติและขนาด exposure ส่วน control หรือ response คือสิ่งที่ออกแบบเพื่อลดโอกาส ผลกระทบ หรือเพิ่มความพร้อม. residual risk คือระดับหลังพิจารณาว่ามาตรการปัจจุบันออกแบบและทำงานจริงเพียงใด ไม่ใช่คะแนนที่ลดอัตโนมัติเพราะมีระเบียบหรือกิจกรรมในแผน. ถ้า inherent สูงและ residual ยังสูง ต้องพิจารณามาตรการเพิ่ม เปลี่ยน strategy แบ่งปัน/โอน หลีกเลี่ยง หรือยอมรับโดยผู้มีอำนาจตาม appetite และกฎหมาย. ทะเบียนควรแยก existing controls จาก planned actions พร้อมหลักฐาน effectiveness เพื่อไม่ให้นับโครงการที่ยังไม่เริ่มเป็นเหตุลดคะแนนแล้ว
risk appetite คือระดับและประเภทความเสี่ยงโดยรวมที่หน่วยงานพร้อมรับเพื่อบรรลุวัตถุประสงค์ ส่วน tolerance แปลง appetite เป็นขอบเขตที่ยอมให้ผลการดำเนินงานหรือ exposure เบี่ยงเบนได้. threshold เป็นจุดเตือนหรือจุดยกระดับเชิงปฏิบัติ เช่น warning เมื่อ KRI ถึงระดับหนึ่งและ critical เมื่อเกิน tolerance เพื่อกำหนดว่าใครต้องทำอะไรภายในเวลาเท่าใด. ค่าทั้งสามต้องเชื่อมยุทธศาสตร์ ความสามารถรองรับผลกระทบ เงินสำรอง ความต่อเนื่อง ความปลอดภัย สิทธิประชาชน และข้อกฎหมาย ไม่กำหนดจากสีที่ผู้บริหารชอบ. บางเรื่อง เช่น การกระทำผิดกฎหมายหรือความปลอดภัยร้ายแรง ไม่ควรยอมรับเพียงเพราะ expected loss ต่ำ การวิเคราะห์ต้นทุนต้องอยู่ภายใต้ข้อห้ามและ public interest
หน่วยงานของรัฐครอบคลุมส่วนราชการ รัฐวิสาหกิจ หน่วยงานรัฐสภา ศาล องค์กรอิสระและอัยการ องค์การมหาชน ทุนหมุนเวียนนิติบุคคล องค์กรปกครองส่วนท้องถิ่น และหน่วยงานอื่นตามกฎหมาย. ฝ่ายบริหารหมายถึงผู้บริหารทุกระดับ ไม่ใช่เฉพาะหัวหน้าหน่วยงาน เพราะการตอบสนองและ ownership อยู่ในกระบวนการหลายชั้น. การบริหารจัดการความเสี่ยงคือกระบวนการจัดการเหตุการณ์ที่อาจเกิดและกระทบหน่วยงาน เพื่อให้บรรลุวัตถุประสงค์ รวมถึงเพิ่มศักยภาพและขีดความสามารถ. กรณีศึกษาจึงต้องเริ่มจากประเภทหน่วยงาน บทบาทบุคคล และ objective ไม่ใช้แบบเดียวกับทุกองค์กรโดยไม่ดูโครงสร้างและความสามารถรองรับ
หน่วยงานของรัฐต้องจัดให้มีการบริหารจัดการความเสี่ยงโดยใช้มาตรฐานที่กระทรวงการคลังกำหนดเป็นแนวทาง ระบบนี้เป็นองค์ประกอบการบริหาร มิใช่งานเสริมเมื่อมีเวลาหรือทำเฉพาะขอคะแนน. คำว่าใช้มาตรฐานเป็นแนวทางเปิดให้ปรับรายละเอียดตามขนาด โครงสร้างและบริบท แต่ไม่เปิดให้ตัดองค์ประกอบขั้นต่ำ เช่น objective, identification, assessment, response, plan, monitoring และ reporting. ผู้บริหารต้องแสดงว่าระบบถูกใช้ในตัดสินใจจริงผ่านนโยบาย บทบาท ข้อมูล ทรัพยากร แผน และการทบทวน ไม่ใช่เพียงลงนามทะเบียนปลายปี. ถ้าหน่วยงานมีกรอบสากลอยู่แล้ว สามารถใช้ต่อได้เมื่อ map กับมาตรฐานไทยและหลักเกณฑ์เฉพาะครบ มิใช่อ้าง ISO/COSO เพื่อข้ามผู้อนุมัติหรือกำหนดรายงาน
หน่วยงานข้อ 1 (1) และ (3)–(7) ใช้คู่มือหรือแนวปฏิบัติกระทรวงการคลังและอาจนำแนวทางอื่นมาประยุกต์ ส่วนรัฐวิสาหกิจข้อ 1 (2) ใช้หลักเกณฑ์และคู่มือที่สำนักงานคณะกรรมการนโยบายรัฐวิสาหกิจกำหนด. การประยุกต์เครื่องมืออื่นทำได้เมื่อไม่ขัดหลักเกณฑ์และช่วยให้เหมาะบริบท เช่น scenario analysis, bow-tie, Monte Carlo หรือ RCSA ไม่จำเป็นต้องใช้ matrix 5×5 ทุกเรื่อง. เครื่องมือเป็น means ไม่ใช่ compliance ในตัวเอง หน่วยงานต้องอธิบาย assumptions, data, owner, decision rule และการใช้ผล. การคัด template ของหน่วยงานอื่นมาใช้โดยไม่ปรับ objective, likelihood, impact หรือ escalation อาจมีแบบครบแต่ให้ข้อมูลตัดสินใจผิด
หน่วยงานต้องจัดให้มีผู้รับผิดชอบซึ่งประกอบด้วยฝ่ายบริหารและบุคลากรที่รู้การจัดทำยุทธศาสตร์กับการบริหารความเสี่ยง เพื่อให้ระบบเชื่อมเป้าหมายและการปฏิบัติ. หลักเกณฑ์ระบุว่าไม่ควรเป็นผู้ตรวจสอบภายใน เพราะผู้ตรวจต้องรักษาบทบาทให้ความเชื่อมั่นและคำปรึกษา มิใช่เป็น risk owner หรือผู้ตัดสินใจตอบสนองแทนฝ่ายบริหาร. คณะทำงานส่วนกลางช่วยกำหนดกรอบและ aggregate ได้ แต่ risk owner ควรเป็นผู้มีอำนาจเหนือวัตถุประสงค์ ทรัพยากร และกระบวนการนั้น. คำสั่งแต่งตั้งที่มีแต่เจ้าหน้าที่ฝ่ายแผนระดับปฏิบัติและไม่มีผู้บริหาร/เจ้าของงาน จึงไม่พอแก้ความเสี่ยงที่ข้ามหน่วยหรือใช้ทรัพยากรสูง
เนื้อหาสรุปนี้จัดทำขึ้นเพื่อการศึกษาส่วนบุคคล ห้ามคัดลอก ทำซ้ำ หรือนำไปใช้เพื่อวัตถุประสงค์ทางการค้าโดยไม่ได้รับอนุญาต