ยินดีต้อนรับสู่การประเมินความเสี่ยงระดับชาติและรายภาคส่วน และแนวทางการบริหารความเสี่ยงตามระดับความเสี่ยง
ยินดีต้อนรับสู่โมดูลการเรียนรู้หลักสำหรับ Domain B: กรอบการดำเนินงาน การกำกับดูแลกิจการ และกฎเกณฑ์ระดับสากลด้านการต่อต้านอาชญากรรมทางการเงิน (Global AFC Frameworks, Governance, and Regulations)! หากคุณเคยสงสัยว่ารัฐบาลตัดสินใจอย่างไรว่าภัยคุกคามจากอาชญากรรมทางการเงินประเภทใดอันตรายที่สุด หรือสถาบันการเงินรู้ได้อย่างไรว่าควรจัดสรรเจ้าหน้าที่ฝ่ายกำกับดูแลการปฏิบัติตามกฎเกณฑ์ (Compliance) และระบบตรวจสอบธุรกรรมไว้ตรงจุดไหน บทเรียนนี้มีคำตอบรออยู่ครับ
ในบทนี้ เราจะมาเรียนรู้ร่วมกันในหัวข้อ:
• การประเมินความเสี่ยงระดับชาติ (National Risk Assessment: NRA) คืออะไร และทำไมแต่ละเขตอำนาจรัฐจึงต้องจัดทำ
• การประเมินความเสี่ยงรายภาคส่วน (Sectoral Risk Assessment: SRA) ครอบคลุมเรื่องใดบ้าง และเจาะลึกเฉพาะอุตสาหกรรมอย่างไร
• หัวใจสำคัญของการต่อต้านอาชญากรรมทางการเงิน (AFC) ยุคใหม่: แนวทางการบริหารความเสี่ยงตามระดับความเสี่ยง (Risk-Based Approach: RBA)
• ผลลัพธ์จากการประเมินระดับชาติและรายภาคส่วนส่งผลโดยตรงต่อการควบคุมภายในและการจัดลำดับความสำคัญด้าน Compliance ขององค์กรอย่างไร
หมายเหตุเกี่ยวกับเนื้อหาบทนี้: บทเรียนนี้จะเน้นเจาะลึกเฉพาะการประเมินระดับชาติและระดับภาคส่วน รวมถึงอิทธิพลที่มีต่อแนวทาง RBA ส่วนหัวข้อที่เกี่ยวข้อง เช่น บทบาทหน้าที่เฉพาะของหน่วยงานกำกับดูแล หน่วยข่าวกรองทางการเงิน (FIU) และองค์กรระหว่างประเทศ จะมีเนื้อหาแยกไว้ในบทเรียนคู่ขนานภายในโดเมนนี้โดยเฉพาะครับ
---ทำความเข้าใจแนวทางการบริหารความเสี่ยงตามระดับความเสี่ยง (RBA)
แนวทางการบริหารความเสี่ยงตามระดับความเสี่ยง (RBA) คืออะไร?
หัวใจสำคัญของ แนวทางการบริหารความเสี่ยงตามระดับความเสี่ยง (Risk-Based Approach: RBA) คือหลักการที่ว่า องค์กรหรือภาครัฐควรจัดสรรทรัพยากร ความพยายาม และมาตรการบรรเทาความเสี่ยงให้ได้สัดส่วนโดยตรงกับระดับความเสี่ยงที่ระบุได้ สรุปสั้นๆ คือ มาตรการควบคุมต้องได้สัดส่วนและเหมาะสมกับระดับความเสี่ยง (controls must be commensurate with risk)
ก่อนที่แนวทาง RBA จะถูกนำมาใช้อย่างแพร่หลาย แผนงานด้าน Compliance มักดำเนินการในรูปแบบ "ติ๊กถูกตามช่อง" (Tick-the-box) หรือรูปแบบที่ยึดตามกฎเกณฑ์ตายตัว (Rules-based) ซึ่งลูกค้าทุกคน ไม่ว่าจะมีภูมิหลังอย่างไร จะต้องผ่านขั้นตอนการตรวจสอบข้อมูลเพื่อเริ่มความสัมพันธ์และการเฝ้าระวังที่เหมือนกันทั้งหมด แต่ในปัจจุบัน มาตรฐานสากลยอมรับแล้วว่าทรัพยากรมีจำกัด และภัยคุกคามจากอาชญากรรมทางการเงินไม่ได้กระจายตัวอยู่อย่างเท่าเทียมกัน
เปรียบเทียบกับชีวิตประจำวัน: ลองนึกถึงการคัดแยกผู้ป่วยในห้องฉุกเฉิน (Triage) เมื่อคนไข้มาถึงโรงพยาบาลด้วยแผลถลอกเล็กน้อย พวกเขาจะได้รับการรักษาเบื้องต้นและอาจต้องรอสักพัก แต่เมื่อมีคนไข้มาถึงด้วยอาการเจ็บแน่นหน้าอกรุนแรง พวกเขาจะถูกส่งตัวเข้าห้องไอซียูเพื่อรับการดูแลจากแพทย์เฉพาะทางทันที หลักการ RBA ในงานต่อต้านอาชญากรรมทางการเงินก็ทำงานแบบเดียวกันทุกประการ สถานการณ์ที่มีความเสี่ยงสูงจะต้องได้รับการตรวจสอบอย่างเข้มข้น ในขณะที่สถานการณ์ที่มีความเสี่ยงต่ำกว่าจะได้รับการจัดการด้วยขั้นตอนมาตรฐานหรือขั้นตอนแบบลดหย่อน
หลักการพื้นฐานของ RBA
1. การระบุและประเมิน (Identify and Assess): ทำความเข้าใจภัยคุกคาม ช่องโหว่ และผลกระทบจากอาชญากรรมทางการเงินอย่างเจาะจง ซึ่งเกิดขึ้นภายในเขตอำนาจรัฐ ภาคส่วน หรือสถาบันการเงินนั้นๆ
2. การบรรเทาและควบคุม (Mitigate and Control): ใช้กระบวนการตรวจสอบเพื่อทราบข้อเท็จจริงเกี่ยวกับลูกค้าในระดับที่เข้มข้นขึ้น การเฝ้าระวังธุรกรรมที่รัดกุมขึ้น และมาตรการควบคุมที่เข้มงวดยิ่งขึ้นในจุดที่มีความเสี่ยงสูง และใช้มาตรการควบคุมระดับมาตรฐานหรือแบบลดหย่อนในจุดที่มีความเสี่ยงต่ำ
3. การทบทวนและปรับปรุง (Review and Adapt): อัปเดตแบบจำลองความเสี่ยงอย่างต่อเนื่อง เมื่อรูปแบบพฤติกรรมของอาชญากร (Typologies) เทคโนโลยี และข้อกำหนดของหน่วยงานกำกับดูแลเปลี่ยนแปลงไป
ข้อคิดสำคัญ: RBA ไม่ได้ หมายถึงการกำจัดความเสี่ยงให้หมดไปโดยสิ้นเชิง (Zero tolerance) แต่หมายถึงการตระหนักรู้ว่าความเสี่ยงสูงสุดอยู่ที่ใด แล้วทุ่มเททรัพยากรพร้อมมาตรการควบคุมที่เข้มแข็งที่สุดไปยังจุดเหล่านั้นโดยเฉพาะ
---การประเมินความเสี่ยงระดับชาติ (NRAs)
NRA คืออะไร?
การประเมินความเสี่ยงระดับชาติ (National Risk Assessment: NRA) คือกระบวนการที่นำโดยภาครัฐอย่างละเอียดครอบคลุม โดยแต่ละประเทศจะวิเคราะห์ภูมิทัศน์ทางการเงิน การค้า และกฎหมายทั้งหมด เพื่อระบุความเสี่ยงหลักด้านอาชญากรรมทางการเงินของประเทศ เป้าหมายคือการมองเห็นภาพรวมเชิงระบบอย่างครบถ้วนว่าเงินที่ได้มาโดยมิชอบด้วยกฎหมายเข้าสู่ประเทศ เคลื่อนย้ายภายใน และออกนอกเขตอำนาจรัฐอย่างไร
องค์ประกอบหลักของ NRA
เมื่อแต่ละเขตอำนาจรัฐจัดทำ NRA โดยทั่วไปจะประเมินองค์ประกอบหลัก 3 ส่วน ได้แก่:
• ภัยคุกคาม (Threats): กิจกรรมอาชญากรรมภายนอกหรือภายในประเทศที่ก่อให้เกิดเงินผิดกฎหมาย ซึ่งรวมถึงความผิดมูลฐาน เช่น การค้ายาเสพติด การฉ้อโกง การเลี่ยงภาษี อาชญากรรมข้ามชาติที่จัดตั้งในลักษณะองค์กร การทุจริตคอร์รัปชัน หรือการก่อการร้าย
• ช่องโหว่ (Vulnerabilities): จุดอ่อนภายในระบบกฎหมาย การกำกับดูแลของทางการ การควบคุมชายแดน โครงสร้างพื้นฐานทางการเงิน หรือความโปร่งใสของระบบทะเบียนนิติบุคคลของประเทศ ซึ่งอาชญากรสามารถฉวยโอกาสแสวงหาผลประโยชน์ได้
• ผลกระทบ (Consequences): ผลกระทบในวงกว้าง ทั้งทางเศรษฐกิจ สังคม การเงิน และชื่อเสียง ที่การฟอกเงิน การสนับสนุนทางการเงินแก่การก่อการร้าย และอาชญากรรมทางการเงินอื่นๆ ก่อให้เกิดแก่ประเทศนั้นๆ
ใครบ้างที่ใช้ประโยชน์จาก NRA?
• หน่วยงานภาครัฐ: หน่วยงานกำกับดูแล หน่วยงานบังคับใช้กฎหมาย และหน่วยข่าวกรองทางการเงิน (FIU) ใช้ NRA เพื่อกำหนดทิศทางการจัดสรรทรัพยากรในการสืบสวน การออกกฎหมายใหม่ และการปรับเปลี่ยนลำดับความสำคัญในการกำกับดูแล
• สถาบันภาคเอกชน: ธนาคาร ธุรกิจบริการโอนเงินและแลกเปลี่ยนเงินตรา (MSB) ผู้ให้บริการด้านการชำระเงิน (PSP) และผู้ประกอบวิชาชีพที่ไม่ใช่สถาบันการเงินที่ถูกกำหนด (Gatekeepers) ใช้ NRA เป็นข้อมูลภายนอกที่สำคัญในการพัฒนาแบบจำลองความเสี่ยงของตนเอง
เคล็ดลับช่วยจำ — "T-V-C": เพื่อให้จำได้ง่ายว่า NRA ประเมินความเสี่ยงอย่างไร ให้นึกถึงตัวย่อ TVC: Threats (ภัยคุกคาม: ตัวอาชญากรและการกระทำความผิด), Vulnerabilities (ช่องโหว่: ประตูที่เปิดทิ้งไว้หรือจุดอ่อนของระบบ) และ Consequences (ผลกระทบ: ความเสียหายจริงที่เกิดขึ้น)
---การประเมินความเสี่ยงรายภาคส่วน (SRAs)
การปรับโฟกัส: วัตถุประสงค์ของ SRA
หาก NRA เปรียบเสมือนการมองภาพรวมทั้งประเทศจากมุมสูง การประเมินความเสี่ยงรายภาคส่วน (Sectoral Risk Assessment: SRA) ก็เหมือนการส่องกล้องจุลทรรศน์ไปยังอุตสาหกรรมเฉพาะหรือส่วนใดส่วนหนึ่งของระบบเศรษฐกิจ โดย SRA จะตรวจสอบว่าความเสี่ยงจากอาชญากรรมทางการเงินปรากฏขึ้นอย่างไรภายในสภาพแวดล้อมการดำเนินงานเฉพาะกลุ่มนั้นๆ
ภาคส่วนที่มักต้องทำ SRA
หน่วยงานกำกับดูแลและองค์กรตัวแทนภาคอุตสาหกรรมมักประเมินความเสี่ยงในหลากหลายภาคส่วน ได้แก่:
• กลุ่มธุรกิจธนาคาร: ธนาคารเพื่อลูกค้ารายย่อย (Retail banking), การบริหารความมั่งคั่งส่วนบุคคล (Private banking), ธนาคารเพื่อธุรกิจ (Commercial banking) และธนาคารตัวแทน (Correspondent banking)
• การชำระเงินและการส่งเงิน: ธุรกิจบริการโอนเงินและแลกเปลี่ยนเงินตรา (MSBs), ผู้ให้บริการด้านการชำระเงิน (PSPs) และแพลตฟอร์มอีคอมเมิร์ซ
• เทคโนโลยีเกิดใหม่และสินทรัพย์ดิจิทัล: ผู้ให้บริการสินทรัพย์เสมือน (VASPs) และแพลตฟอร์มสินทรัพย์คริปโท
• กลุ่มผู้ทำหน้าที่คัดกรองด่านหน้าและวิชาชีพเฉพาะ (Gatekeepers): ทนายความ ทนายความรับรองเอกสาร (Notaries) นักบัญชี และผู้ให้บริการด้านทรัสต์และนิติบุคคล (TCSPs)
• ภาคส่วนความเสี่ยงสูงอื่นๆ: อสังหาริมทรัพย์ ธุรกิจการพนันและคาสิโน และผู้ค้าของมีค่า/สินค้ามูลค่าสูง
ทำไมความแตกต่างระหว่างภาคส่วนจึงมีความสำคัญ
แต่ละภาคส่วนต้องเผชิญกับความเสี่ยงในการดำเนินงานที่แตกต่างกันอย่างสิ้นเชิง:
• ธุรกิจ MSB ต้องจัดการกับการโอนเงินสดข้ามพรมแดนที่รวดเร็วและมีปริมาณมาก ซึ่งการพิสูจน์ตัวตนของผู้ส่งและระยะเวลาของความสัมพันธ์อาจเกิดขึ้นเพียงชั่วคราวเท่านั้น
• ผู้ให้บริการด้านทรัสต์และนิติบุคคล (TCSP) ต้องรับมือกับนิติบุคคล บริษัทเปลือกนอก (Shell companies) และโครงสร้างการถือครองกรรมสิทธิ์ที่ซับซ้อน ซึ่งอาจบดบังตัวตนของผู้รับผลประโยชน์ที่แท้จริง (Beneficial owners)
• ตัวแทนนายหน้าอสังหาริมทรัพย์ต้องจัดการกับธุรกรรมมูลค่าสูงมากที่เกิดขึ้นไม่บ่อยครั้ง ซึ่งสามารถดูดซับเงินทุนผิดกฎหมายจำนวนมหาศาลได้ในสัญญาเพียงฉบับเดียว
เนื่องจากลักษณะการดำเนินงานเหล่านี้มีความแตกต่างกัน SRA จึงช่วยระบุรูปแบบพฤติกรรมความผิด (Typologies) และดัชนีชี้วัดเฉพาะของแต่ละภาคส่วน ซึ่งแนวทางปฏิบัติทั่วไปไม่สามารถครอบคลุมได้
ข้อคิดสำคัญ: NRA ทำหน้าที่เป็นเกณฑ์อ้างอิงความเสี่ยงระดับประเทศ ส่วน SRA จะให้รายละเอียดเฉพาะเจาะจงของแต่ละอุตสาหกรรมที่จำเป็นต่อการทำความเข้าใจช่องโหว่และโมเดลธุรกิจที่แตกต่างกัน
---ผลกระทบของ NRA และ SRA ต่อแนวทาง RBA ขององค์กร
การเชื่อมโยงผลการประเมินระดับมหภาคเข้ากับแผนงานภายในองค์กร
ถ้ารู้สึกยากในตอนแรก ไม่ต้องกังวลนะครับ ความสัมพันธ์ระหว่างการประเมินจากภายนอกกับแผนงานด้าน Compliance ภายในของแต่ละสถาบันมีการส่งทอดต่อกันเป็นลำดับขั้นที่ชัดเจนและสมเหตุสมผล ดังนี้ครับ:
ขั้นตอนที่ 1: เผยแพร่ผลการประเมินสาธารณะ
รัฐบาลระดับชาติหรือหน่วยงานกำกับดูแลรายภาคส่วนเผยแพร่เอกสาร NRA หรือ SRA เพื่อระบุพื้นที่ที่มีความเสี่ยงสูง (เช่น การฟอกเงินโดยใช้การค้าระหว่างประเทศเป็นเครื่องมือที่เพิ่มสูงขึ้น ช่องโหว่สูงในภาคอสังหาริมทรัพย์ หรือการแสวงหาประโยชน์จากโครงสร้างนิติบุคคลบางประเภท)
ขั้นตอนที่ 2: การอัปเดตการประเมินความเสี่ยงทั่วทั้งองค์กร (ERA)
องค์กรจะทบทวน NRA/SRA ที่เผยแพร่ แล้วนำผลลัพธ์เหล่านั้นมาเปรียบเทียบกับผลิตภัณฑ์ บริการ ลูกค้า พื้นที่ทางภูมิศาสตร์ที่ดำเนินงาน และช่องทางการให้บริการของตนเอง หาก NRA ระบุว่าประเภทผลิตภัณฑ์ใดมีความเสี่ยงสูง องค์กรจำเป็นต้องตระหนักถึงภัยคุกคามนั้นในการประเมินความเสี่ยงภายในองค์กรด้วย
ขั้นตอนที่ 3: การอัปเดตนโยบายการยอมรับระดับความเสี่ยง (Risk Appetite Statement: RAS)
ผู้บริหารระดับสูงและคณะกรรมการกำกับดูแลจะร่วมกันประเมินว่า สถาบันพร้อมที่จะยอมรับลูกค้าหรือกิจกรรมในภาคส่วนที่มีความเสี่ยงสูงเหล่านั้นหรือไม่ และยอมรับได้มากน้อยเพียงใด
ขั้นตอนที่ 4: การปรับเทียบมาตรการควบคุม
องค์กรทำการปรับเปลี่ยนนโยบาย ขั้นตอนปฏิบัติการ และระบบภายใน:
• ในจุดที่มีความเสี่ยงสูงขึ้น: องค์กรจะกำหนดให้ใช้ การตรวจสอบเพื่อทราบข้อเท็จจริงเกี่ยวกับลูกค้าในระดับเข้มข้น (Enhanced Due Diligence: EDD) กำหนดให้ต้องได้รับอนุมัติจากผู้บริหารระดับสูง ปรับเกณฑ์แจ้งเตือน (Alert thresholds) ในระบบตรวจจับธุรกรรมให้ละเอียดขึ้น หรือเพิ่มความถี่ในการทบทวนสถานะลูกค้าเป็นระยะ
• ในจุดที่พิสูจน์ได้ชัดเจนว่าความเสี่ยงต่ำ: องค์กรอาจใช้มาตรการระดับมาตรฐานหรือแบบลดหย่อน เพื่อสงวนทรัพยากรไว้รับมือกับเป้าหมายที่มีความเสี่ยงสูง
สิ่งที่หน่วยงานกำกับดูแลคาดหวัง
ระหว่างการเข้าตรวจสอบของหน่วยงานกำกับดูแล เจ้าหน้าที่ตรวจสอบจะคาดหวังให้เจ้าหน้าที่ Compliance ทราบนัยสำคัญและข้อค้นพบจากรายงาน NRA ล่าสุดของประเทศ และ SRA ของภาคส่วนที่เกี่ยวข้อง หากองค์กรกล่าวอ้างว่าตนมีแนวทางบริหารความเสี่ยงตามระดับความเสี่ยง (RBA) ที่มีประสิทธิภาพ แต่กลับละเลยรายงานความเสี่ยงระดับชาติหรือระดับภาคส่วนอย่างสิ้นเชิง แผนงานด้าน Compliance ขององค์กรนั้นก็มีแนวโน้มสูงที่จะถูกประเมินว่าบกพร่องและไม่ได้มาตรฐาน
---ข้อผิดพลาดทั่วไปที่ควรหลีกเลี่ยง
• ข้อผิดพลาดที่ 1: ปฏิบัติต่อ NRA เสมือนเป็นการประเมินความเสี่ยงภายในองค์กร
สิ่งที่ถูกต้อง: NRA เป็นเอกสารภายนอกระดับประเทศที่จัดทำโดยหน่วยงานภาครัฐ ส่วนการประเมินความเสี่ยงทั่วทั้งองค์กร (Enterprise Risk Assessment: ERA) คือการประเมินความเสี่ยงเฉพาะตัวภายในสถาบันของคุณเอง แม้ NRA จะเป็นข้อมูลตั้งต้นที่สำคัญของ ERA แต่มันไม่สามารถนำมาใช้แทนที่กันได้
• ข้อผิดพลาดที่ 2: ทึกทักเอาเองว่าความเสี่ยงต่ำหมายถึง "ไม่ต้องตรวจสอบอะไรเลย"
สิ่งที่ถูกต้อง: ภายใต้แนวทาง RBA ความเสี่ยงที่ต่ำลงอาจเปิดทางให้ใช้กระบวนการตรวจสอบข้อมูลลูกค้าแบบลดหย่อนหรือแบบมาตรฐานได้ แต่ไม่เคยอนุญาตให้ละทิ้งขั้นตอนการระบุตัวตนลูกค้า การคัดกรองรายชื่อคว่ำบาตร หรือข้อกำหนดในการรายงานธุรกรรมโดยสิ้นเชิง
• ข้อผิดพลาดที่ 3: ระบบ Compliance แบบคงที่ ไม่ยืดหยุ่น (ตั้งค่าไว้แล้วปล่อยทิ้งไว้)
สิ่งที่ถูกต้อง: RBA ที่มีประสิทธิภาพต้องมีความยืดหยุ่นและปรับตัวได้อยู่เสมอ (Dynamic) เมื่อมี NRA หรือ SRA ฉบับใหม่ออกมาเน้นย้ำถึงแนวโน้มอาชญากรรมทางการเงินรูปแบบใหม่ (เช่น การเปลี่ยนไปใช้แพลตฟอร์มการชำระเงินใหม่ๆ หรือพฤติกรรมการฟอกเงินรูปแบบใหม่) สถานการณ์จำลองในการเฝ้าระวังและนโยบายภายในองค์กรจะต้องได้รับการอัปเดตให้เท่าทันโดยทันที
สรุปเนื้อหาประจำบทและทบทวนความรู้ฉบับย่อ
สรุปสาระสำคัญโดยสังเขป
• แนวทางการบริหารความเสี่ยงตามระดับความเสี่ยง (RBA): มาตรฐานหลักสากลที่ระบุว่า ทรัพยากรและมาตรการควบคุมด้าน Compliance จะต้องได้สัดส่วนและเหมาะสมกับระดับความเสี่ยงของอาชญากรรมทางการเงินที่พบ
• การประเมินความเสี่ยงระดับชาติ (NRA): การประเมินระดับมหภาคที่ดำเนินการโดยรัฐบาล เพื่อระบุภัยคุกคามจากอาชญากรรมทางการเงิน จุดอ่อนของระบบ และผลกระทบทางเศรษฐกิจและสังคมทั่วทั้งประเทศ
• การประเมินความเสี่ยงรายภาคส่วน (SRA): การประเมินแบบเจาะจงที่มุ่งเน้นไปที่ความเสี่ยง รูปแบบพฤติกรรม และช่องโหว่เฉพาะในอุตสาหกรรมหรือภาคส่วนใดภาคส่วนหนึ่ง (เช่น ธนาคาร, MSBs, TCSPs, ธุรกิจคาสิโน/การพนัน, VASPs)
• ผลกระทบแบบส่งทอด (Flow-Through Effect): NRA และ SRA ทำหน้าที่เป็นข้อมูลนำเข้าจากภายนอกที่สำคัญยิ่ง ซึ่งจะช่วยหล่อหลอมการประเมินความเสี่ยงทั่วทั้งองค์กร (ERA) นโยบายการยอมรับระดับความเสี่ยง (RAS) การแบ่งระดับการตรวจสอบข้อเท็จจริงเกี่ยวกับลูกค้า (มาตรฐาน เทียบกับ เข้มข้น) และระบบตรวจสอบธุรกรรมของแต่ละสถาบัน