สารบัญ6 หัวข้อหลัก
- 1.บทที่ 1 ความเสี่ยงในฐานะระบบบริหารของหน่วยงานรัฐ
- 2.บทที่ 2 มาตรฐานขั้นต่ำและโครงสร้างความรับผิดชอบ
- 3.บทที่ 3 กรอบบริหาร 8 หลักที่ทำให้ระบบทำงานจริง
- 4.บทที่ 4 วงจรจากการวิเคราะห์องค์กรถึงการประเมินความเสี่ยง
- 5.บทที่ 5 การตอบสนองและแผนบริหารจัดการความเสี่ยง
- 6.บทที่ 6 การติดตาม การสื่อสาร การรายงาน และการพัฒนาระบบ
บทที่ 1 ความเสี่ยงในฐานะระบบบริหารของหน่วยงานรัฐ
การบริหารจัดการความเสี่ยงของหน่วยงานของรัฐมิใช่งานเอกสารที่แยกออกจากการบริหาร แต่เป็นกระบวนการช่วยให้ผู้บริหารมองเห็นเหตุการณ์ที่อาจขัดขวางหรือสนับสนุนการบรรลุวัตถุประสงค์ แล้วใช้ข้อมูลนั้นประกอบการกำหนดยุทธศาสตร์ แผนงาน และการตัดสินใจในทุกระดับ หลักเกณฑ์กระทรวงการคลัง พ.ศ. 2562 วางมาตรฐานและหน้าที่ขั้นต่ำที่หน่วยงานต้องจัดให้มี ส่วนแนวทางเรื่องหลักการบริหารจัดการความเสี่ยงระดับองค์กรอธิบายวิธีเชื่อมมาตรฐานดังกล่าวเข้ากับโครงสร้าง บุคลากร ข้อมูล และงานประจำ ระบบที่ดีจึงต้องเริ่มจากเป้าหมายของหน่วยงาน มิใช่เริ่มจากการกรอกแบบฟอร์มหรือจัดทำรายชื่อความเสี่ยงโดยปราศจากบริบท
สามชั้นของระบบบริหารจัดการความเสี่ยง
แต่ละชั้นมีหน้าที่ต่างกันและต้องเชื่อมข้อมูลถึงกัน จึงจะเปลี่ยนความเสี่ยงให้เป็นการตัดสินใจที่ตรวจสอบได้
- 1มาตรฐานขั้นต่ำกำหนดหน้าที่ แผน การติดตาม และการรายงานที่หน่วยงานต้องจัดให้มี
- 2กรอบบริหาร 8 หลักสร้างผู้นำ วัฒนธรรม ความรับผิดชอบ ข้อมูล และการบูรณาการทั่วองค์กร
- 3กระบวนการ 7 ขั้นแปลงบริบทและข้อมูลเป็นการประเมิน ตอบสนอง ติดตาม และเรียนรู้รอบใหม่
คำว่า “ความเสี่ยง” หมายถึงความเป็นไปได้ของเหตุการณ์ซึ่งอาจเกิดขึ้นและเป็นอุปสรรคต่อการบรรลุวัตถุประสงค์ ส่วน “การบริหารจัดการความเสี่ยง” คือกระบวนการที่ใช้จัดการเหตุการณ์เหล่านั้นเพื่อให้หน่วยงานบรรลุวัตถุประสงค์และเพิ่มศักยภาพการดำเนินงาน แนวทางระดับองค์กรยังขยายมุมมองให้พิจารณาเหตุการณ์ด้านบวกที่อาจสร้างโอกาสหรือประโยชน์ด้วย การบริหารจึงไม่ใช่เพียงลดความเสียหาย แต่รวมถึงการเตรียมความพร้อมเพื่อฉวยโอกาสภายใต้ระดับความเสี่ยงที่หน่วยงานยอมรับได้ ความหมายนี้ทำให้การพิจารณาความเสี่ยงต้องเชื่อมกับคุณค่าที่ประชาชนและประเทศชาติจะได้รับจากภารกิจของรัฐ
ขอบเขตของหน่วยงานของรัฐตามหลักเกณฑ์ครอบคลุมส่วนราชการ รัฐวิสาหกิจ หน่วยงานของรัฐสภา ศาล องค์กรอิสระตามรัฐธรรมนูญ องค์กรอัยการ องค์การมหาชน ทุนหมุนเวียนที่มีฐานะเป็นนิติบุคคล องค์กรปกครองส่วนท้องถิ่น และหน่วยงานอื่นตามที่กฎหมายกำหนด คำว่า “ผู้บริหาร” ครอบคลุมผู้บริหารทุกระดับ ขณะที่ “ผู้รับผิดชอบ” หมายถึงคณะบุคคล หน่วยงาน หรือบุคลากรที่หัวหน้าหน่วยงานมอบหมายให้ทำหน้าที่เกี่ยวกับการบริหารจัดการความเสี่ยง การแยกคำเหล่านี้ทำให้เห็นว่าหัวหน้าหน่วยงานยังคงรับผิดชอบต่อระบบ แม้จะมอบหมายงานจัดทำแผนและติดตามผลให้กลไกเฉพาะก็ตาม
การควบคุมภายในเป็นส่วนหนึ่งของการบริหารจัดการความเสี่ยงระดับองค์กร ทั้งสองเรื่องจึงเชื่อมโยงกันได้ แต่มีมุมมองไม่เหมือนกันทั้งหมด การควบคุมภายในมุ่งวางวิธีปฏิบัติที่ช่วยลดความผิดพลาดหรือความเสียหายในกระบวนงาน ส่วนการบริหารจัดการความเสี่ยงเริ่มจากวัตถุประสงค์และพิจารณาความไม่แน่นอนทั้งองค์กร ก่อนเลือกว่าจะหลีกเลี่ยง ลด โอน ยอมรับ เฝ้าระวัง เตรียมแผนฉุกเฉิน หรือส่งเสริมโอกาสอย่างไร หากหน่วยงานพิจารณาเพียงการควบคุมรายกิจกรรม อาจไม่เห็นผลสะสมและความเชื่อมโยงของความเสี่ยงที่กระทบยุทธศาสตร์หรือผู้มีส่วนได้เสียหลายกลุ่มพร้อมกัน
เนื้อหาทั้งระบบจึงอ่านได้เป็นสามชั้นที่ต่อเนื่องกัน ชั้นแรกคือมาตรฐานและหลักเกณฑ์ปฏิบัติซึ่งกำหนดผลขั้นต่ำ ผู้รับผิดชอบ แผน การติดตาม และการรายงาน ชั้นที่สองคือกรอบบริหาร 8 หลักซึ่งสร้างสภาพแวดล้อมให้การบริหารความเสี่ยงเป็นส่วนหนึ่งขององค์กร ชั้นที่สามคือกระบวนการ 7 ขั้นซึ่งนำข้อมูลจากการวิเคราะห์องค์กรไปสู่การตอบสนองและการเรียนรู้รอบใหม่ ทั้งสามชั้นไม่อาจทดแทนกันได้ มาตรฐานที่ไม่มีกรอบรองรับจะกลายเป็นงานตามรอบ ขณะที่กรอบที่ไม่มีกระบวนการจะไม่เปลี่ยนข้อมูลความเสี่ยงให้เป็นการตัดสินใจและผลการดำเนินงานที่ตรวจสอบได้
บทที่ 2 มาตรฐานขั้นต่ำและโครงสร้างความรับผิดชอบ
มาตรฐานกำหนดให้หน่วยงานจัดให้มีการบริหารจัดการความเสี่ยงเพื่อสร้างความเชื่อมั่นอย่างสมเหตุสมผลแก่ผู้มีส่วนได้เสียว่าหน่วยงานจะบรรลุวัตถุประสงค์ การใช้ถ้อยคำว่า “ความเชื่อมั่นอย่างสมเหตุสมผล” สะท้อนว่าระบบไม่อาจรับประกันได้ว่าจะไม่มีความเสียหาย แต่ต้องมีหลักฐานว่าหน่วยงานเข้าใจความไม่แน่นอน เลือกวิธีจัดการอย่างมีเหตุผล และเฝ้าดูผลที่เปลี่ยนแปลงไป สภาพแวดล้อมของระบบต้องเหมาะสมกับภารกิจ มีการมอบหมายความรับผิดชอบ สร้างวัฒนธรรมที่สนับสนุนการบริหารความเสี่ยง และใช้การบริหารทรัพยากรบุคคลช่วยให้บุคลากรมีความรู้และพฤติกรรมที่สอดคล้องกับระบบ
วัตถุประสงค์ของหน่วยงานต้องชัดเจนและสื่อสารให้บุคลากรเข้าใจ เพราะการระบุความเสี่ยงจะมีความหมายต่อเมื่อรู้ว่าสิ่งใดกำลังถูกคุกคามหรือมีโอกาสได้รับการส่งเสริม ระบบต้องดำเนินการทุกระดับ ไม่จำกัดอยู่ที่หน่วยงานส่วนกลางหรือคณะกรรมการชุดเดียว และอย่างน้อยต้องประกอบด้วยการระบุความเสี่ยง การประเมินความเสี่ยง และการตอบสนองความเสี่ยง หลักขั้นต่ำนี้เป็นแกนของการปฏิบัติ ส่วนวิธีการ แบบฟอร์ม และเครื่องมือสามารถเลือกให้เหมาะกับขนาด โครงสร้าง ภารกิจ และศักยภาพของหน่วยงานได้ จึงไม่ควรนำรูปแบบของหน่วยงานหนึ่งไปใช้กับอีกหน่วยงานโดยไม่พิจารณาบริบท
หน่วยงานต้องจัดทำแผนบริหารจัดการความเสี่ยงอย่างน้อยปีละครั้งและสื่อสารแผนแก่ผู้เกี่ยวข้อง แผนดังกล่าวต้องมุ่งช่วยให้หน่วยงานบรรลุวัตถุประสงค์ มิใช่รวบรวมปัญหาทุกเรื่องไว้โดยไม่มีการจัดลำดับ ผู้รับผิดชอบมีหน้าที่จัดทำแผน ติดตามและประเมินผล รายงานผล และทบทวนแผน โดยองค์ประกอบของผู้รับผิดชอบต้องมีฝ่ายบริหารและบุคลากรที่มีความรู้ความเข้าใจเกี่ยวกับการจัดทำยุทธศาสตร์และการบริหารจัดการความเสี่ยง แนวทางกำหนดว่าผู้ตรวจสอบภายในไม่ควรเป็นผู้รับผิดชอบโดยตรง เพราะบทบาทตรวจสอบต้องรักษาความเป็นอิสระจากการออกแบบและดำเนินระบบที่ตนจะประเมิน
หัวหน้าหน่วยงานหรือผู้กำกับดูแลมีหน้าที่กำกับฝ่ายบริหาร ผู้รับผิดชอบ และบุคลากรให้ปฏิบัติตามแผน การติดตามอาจดำเนินอย่างต่อเนื่องระหว่างการปฏิบัติงาน เป็นรายครั้งตามรอบ หรือใช้ทั้งสองวิธีร่วมกัน หากพบข้อบกพร่องที่มีสาระสำคัญต้องรายงานโดยทันที ไม่รอรอบรายงานประจำปี ส่วนผลการบริหารจัดการความเสี่ยงต้องรายงานต่อหัวหน้าหน่วยงานหรือผู้กำกับดูแลอย่างน้อยปีละครั้ง ความถี่ที่มากกว่านั้นสามารถกำหนดตามระดับความเสี่ยงและความต้องการของผู้ตัดสินใจ โดยข้อมูลที่รายงานต้องเพียงพอให้เห็นทั้งสถานะ มาตรการ ผลลัพธ์ และประเด็นที่ต้องปรับแก้
หลักเกณฑ์เปิดพื้นที่ให้หัวหน้าหน่วยงานหรือผู้กำกับดูแลกำหนดนโยบาย วิธีดำเนินการ และความถี่ของการติดตามเพิ่มเติมได้ รวมทั้งให้นำเครื่องมือที่เหมาะสมมาประยุกต์ใช้ หน่วยงานของรัฐส่วนใหญ่ถือปฏิบัติตามคู่มือหรือแนวทางของกระทรวงการคลังและอาจประยุกต์แนวทางอื่น ส่วนรัฐวิสาหกิจใช้หลักเกณฑ์และคู่มือตามกลไกกำกับรัฐวิสาหกิจ หากกรมบัญชีกลางหรือหน่วยงานกำกับร้องขอแผน รายงาน หรือข้อมูลอื่น หน่วยงานต้องจัดส่งตามรูปแบบ วิธีการ และเวลาที่กำหนด ความยืดหยุ่นนี้มีไว้ปรับระบบให้เข้ากับภารกิจ แต่ไม่ลดทอนหน้าที่พื้นฐานเรื่องแผน การกำกับ การติดตาม และการรายงาน
เนื้อหาสรุปนี้จัดทำขึ้นเพื่อการศึกษาส่วนบุคคล ห้ามคัดลอก ทำซ้ำ หรือนำไปใช้เพื่อวัตถุประสงค์ทางการค้าโดยไม่ได้รับอนุญาต