ยินดีต้อนรับสู่เส้นทางการเรียนรู้ด้านการบริหารความเสี่ยง!

การสร้างโปรแกรมการป้องกันอาชญากรรมทางการเงิน (Anti-Financial Crime หรือ AFC) ที่แข็งแกร่ง เปรียบเสมือนการติดตั้งระบบรักษาความปลอดภัยสุดไฮเทคให้กับพิพิธภัณฑ์ครับ ก่อนที่คุณจะซื้อกล้องวงจรปิดหรือจ้างรปภ. คุณต้องรู้สองสิ่งก่อน นั่นคือ: สมบัติที่คุณกำลังปกป้องคืออะไร และคุณยอมรับ "ปัญหา" ได้มากน้อยแค่ไหน? ในบทนี้ เราจะมาทำความรู้จักกับ แถลงการณ์ระดับความเสี่ยงที่ยอมรับได้ (Risk Appetite Statement - RAS) และ การประเมินความเสี่ยงทั่วทั้งองค์กร (Enterprise Risk Assessment - ERA) ซึ่งเปรียบเสมือนพิมพ์เขียวพื้นฐานสำหรับโปรแกรมการปฏิบัติตามกฎระเบียบ (Compliance) ทุกประเภทครับ

ไม่ต้องกังวลไปนะครับหากคำเหล่านี้ดูเป็นทางการหรือเข้าใจยากในตอนแรก เราจะค่อยๆ ย่อยเนื้อหาให้เป็นคอนเซปต์ง่ายๆ ที่ใช้ได้จริง ซึ่งจะช่วยทั้งในการสอบ CAMS และในชีวิตการทำงานของคุณครับ

1. แถลงการณ์ระดับความเสี่ยงที่ยอมรับได้ (Risk Appetite Statement - RAS)

ให้ลองคิดว่า Risk Appetite Statement (RAS) คือ "งบประมาณ" สำหรับความเสี่ยงครับ เหมือนกับการที่คุณตัดสินใจว่าทริปท่องเที่ยวนี้คุณพร้อมจะจ่ายเงินเท่าไหร่ สถาบันการเงินก็ต้องตัดสินใจเช่นกันว่าตนเองพร้อมจะรับความเสี่ยงได้มากแค่ไหนเพื่อให้บรรลุเป้าหมายทางธุรกิจ

จุดประสงค์ของ RAS คืออะไร?

RAS คือเอกสารอย่างเป็นทางการที่บอกทุกคนในองค์กร ตั้งแต่พนักงานหน้าเคาน์เตอร์ไปจนถึงคณะกรรมการบริษัท (Board of Directors) ว่าสถาบันยินดีรับความเสี่ยงในระดับใด สิ่งนี้ช่วยให้มั่นใจได้ว่าธุรกิจจะไม่เผลอรับความเสี่ยง "มากเกินไป" เพียงเพื่อหวังผลกำไรครับ

การร่าง RAS ทำอย่างไร?

การร่าง RAS ไม่ใช่หน้าที่ของคนใดคนหนึ่ง แต่ต้องอาศัยข้อมูลและการตัดสินใจจากผู้บริหารระดับสูงและคณะกรรมการบริษัท โดยสิ่งที่สถาบันต้องพิจารณาเมื่อร่าง RAS ได้แก่:

  • เป้าหมายทางธุรกิจ: ผลิตภัณฑ์ที่เราขายคืออะไร? เราดำเนินธุรกิจในประเทศไหนบ้าง?
  • ความคาดหวังของหน่วยงานกำกับดูแล: กฎหมายกำหนดให้เราต้องทำอะไรบ้าง (เช่น BSA หรือข้อกำหนดของ EU)?
  • ขีดความสามารถ (Capacity): หากเกิดความผิดพลาดขึ้น ธนาคารสามารถรับความเสียหายได้จริงเท่าไหร่ก่อนที่จะอยู่ไม่ได้?

การนำมาตรการควบคุมไปใช้

เมื่อกำหนด "ความอยาก" หรือระดับความเสี่ยงที่ยอมรับได้แล้ว สถาบันต้องนำ มาตรการควบคุม (Controls) มาใช้เพื่อให้แน่ใจว่าความเสี่ยงยังอยู่ในขอบเขตนั้น ตัวอย่างเช่น หาก RAS ระบุว่า "เราไม่มีนโยบายรับลูกค้าในเขตพื้นที่ขัดแย้งที่มีความเสี่ยงสูง" มาตรการควบคุมที่ตามมาก็คือ นโยบายที่บล็อกการเปิดบัญชีสำหรับผู้ที่มีถิ่นที่อยู่ในเขตเหล่านั้นโดยอัตโนมัติครับ

สรุปสั้นๆ: RAS คือ "อะไร" (ความเสี่ยงอะไรที่เรายอมรับได้?) และมาตรการควบคุมคือ "อย่างไร" (เราจะทำอย่างไรให้อยู่ในขอบเขตนั้น?)

2. การประเมินความเสี่ยงทั่วทั้งองค์กร (Enterprise Risk Assessment - ERA)

ถ้า RAS คือ "งบประมาณ" การประเมินความเสี่ยงทั่วทั้งองค์กร (ERA) ก็คือ "การตรวจสอบบัญชี" ครับ มันคือการมองภาพรวมของทั้งองค์กรเพื่อระบุว่าจุดอันตรายที่แท้จริงอยู่ที่ไหนบ้าง

ขอบเขตของความเสี่ยง AFC

ในหลักสูตร CAMS สมัยใหม่ การประเมินความเสี่ยงไม่ได้จำกัดอยู่แค่การฟอกเงินเท่านั้น แต่ครอบคลุมอาชญากรรมทางการเงิน (AFC) ทุกรูปแบบ:

  • AML: การป้องกันและปราบปรามการฟอกเงิน
  • CFT: การต่อต้านการสนับสนุนทางการเงินแก่การก่อการร้าย
  • Sanctions: การหลีกเลี่ยงการทำธุรกิจกับบุคคลหรือประเทศที่ถูกคว่ำบาตร
  • Fraud: การป้องกันการฉ้อโกงหรือการหลอกลวง
  • ABC: การต่อต้านการติดสินบนและการคอรัปชัน
  • Tax Evasion: การระบุพยายามหลีกเลี่ยงภาษีอย่างผิดกฎหมาย

สูตรทองคำ: ความเสี่ยงที่มีอยู่แต่เดิม (Inherent Risk) vs ความเสี่ยงที่เหลืออยู่ (Residual Risk)

เพื่อที่จะทำข้อสอบให้ได้ คุณต้องเข้าใจความสัมพันธ์ระหว่างความเสี่ยงสองประเภทนี้ครับ เราใช้หลักการทางคณิตศาสตร์ง่ายๆ มาช่วยให้เห็นภาพ ดังนี้:

\( Inherent\ Risk - Control\ Effectiveness = Residual\ Risk \)

Inherent Risk (ความเสี่ยงที่มีอยู่แต่เดิม)

นี่คือความเสี่ยงแบบ "ดิบ" คือระดับความเสี่ยงที่มีอยู่ ก่อน ที่คุณจะนำมาตรการป้องกันหรือกฎเกณฑ์ใดๆ มาใช้ ตัวอย่างเช่น ธนาคารที่ตั้งอยู่ในพื้นที่ที่มีอาชญากรรมสูงและให้บริการโอนเงินแบบไม่ระบุตัวตน จะมีความเสี่ยง Inherent Risk ที่สูงมากครับ

Residual Risk (ความเสี่ยงที่เหลืออยู่)

นี่คือความเสี่ยงที่ "หลงเหลืออยู่" หลังจากที่คุณได้นำมาตรการควบคุมต่างๆ มาใช้แล้ว (เช่น การทำ KYC, การตรวจสอบการทำธุรกรรม และการฝึกอบรมพนักงาน) ไม่ว่ามาตรการควบคุมของคุณจะดีแค่ไหน ความเสี่ยงที่เหลืออยู่จะไม่มีทางเป็นศูนย์ครับ

อุปมาอุปไมย: ลองนึกถึงพายุฝนครับ ฝนที่ตกคือ Inherent Risk ร่มที่คุณกางคือ Control แม้คุณจะมีร่มที่ดีเยี่ยมแค่ไหน รองเท้าของคุณก็อาจจะเปียกได้เล็กน้อย ซึ่งรอยเปียกนั้นก็คือ Residual Risk นั่นเองครับ

3. แนวทางการบริหารความเสี่ยงตามระดับความเสี่ยง (Risk-Based Approach - RBA)

Risk-Based Approach (RBA) คือ "กฎเหล็ก" ของงาน Compliance สมัยใหม่ หมายความว่าสถาบันควรทุ่มเททรัพยากรที่มีค่าที่สุดไปยังจุดที่มีความเสี่ยงสูงที่สุด

  • ความเสี่ยงสูง: ต้องใช้ การตรวจสอบวิเคราะห์สถานะลูกค้าอย่างเข้มข้น (Enhanced Due Diligence - EDD) และการเฝ้าติดตามอย่างใกล้ชิด
  • ความเสี่ยงต่ำ: สามารถใช้ การตรวจสอบวิเคราะห์สถานะลูกค้าอย่างง่าย (Simplified Due Diligence - SDD) และการทบทวนที่ถี่น้อยลงได้

ทำไมเราต้องทำแบบนี้? เพราะไม่มีสถาบันไหนที่มีเวลาหรือเงินทุนไม่จำกัด RBA ช่วยให้มั่นใจว่ามาตรการควบคุมนั้น เหมาะสมและได้สัดส่วน (Commensurate) กับระดับความเสี่ยงที่พบครับ

ข้อผิดพลาดที่ควรระวัง: อย่าเข้าใจผิดว่า "การใช้เกณฑ์ความเสี่ยง" หมายถึง "การกำจัดความเสี่ยงให้หมดไป" เป้าหมายคือการ บริหารจัดการ ความเสี่ยง ไม่ใช่การหลีกเลี่ยงธุรกิจที่มีความเสี่ยงทั้งหมด (ซึ่งเรียกว่า de-risking)

4. การประเมินความเสี่ยง: ข้อมูลนำเข้าและผลลัพธ์ (Inputs and Outputs)

เราจะประเมินความเสี่ยงจริงๆ ได้อย่างไร? เราต้องดู "ข้อมูลนำเข้า" (Inputs) เฉพาะเจาะจงเพื่อสร้าง "ผลลัพธ์" (Outputs) ที่เป็นประโยชน์ครับ

Inputs (ข้อมูลนำเข้ามีอะไรบ้าง?)

ในการทำความเข้าใจความเสี่ยง เราจะดูจากปัจจัยหลายด้าน:

  • ลูกค้า: พวกเขาเป็น PEPs (บุคคลที่มีสถานภาพทางการเมือง) หรือไม่? เป็นธุรกิจที่ใช้เงินสดหนาแน่นหรือไม่?
  • ผลิตภัณฑ์/บริการ: เราให้บริการ Private Banking ไหม? มีสินทรัพย์เสมือน (Virtual Assets) หรือการโอนเงินระหว่างประเทศหรือไม่?
  • ภูมิศาสตร์: เราทำธุรกิจในพื้นที่ที่เป็น "แหล่งซ่อนเร้นข้อมูล" (Secrecy Havens) หรือประเทศที่มีการคอรัปชันสูงหรือไม่?
  • ช่องทางการให้บริการ: เราพบลูกค้าแบบเห็นหน้ากัน หรือทำทุกอย่างผ่านระบบออนไลน์ (Non-face-to-face)?

Outputs (ผลลัพธ์ที่ได้คืออะไร?)

ผลจากการประเมินจะช่วยให้สถาบันตัดสินใจได้ว่า:

  • ระดับความเสี่ยง (Risk Ratings): การจัดลำดับคะแนนเป็น "สูง" "กลาง" หรือ "ต่ำ" ในแต่ละด้าน
  • การจัดสรรทรัพยากร: การตัดสินใจจ้างเจ้าหน้าที่ตรวจสอบเพิ่มสำหรับแผนกที่มีความเสี่ยงสูง
  • การปรับปรุงนโยบาย: การเปลี่ยนกฎเพื่ออุดช่องว่างใหม่ๆ ที่ตรวจพบ

รู้หรือไม่? การประเมินความเสี่ยงไม่ใช่โปรเจกต์ที่ทำ "ครั้งเดียวจบ" แต่ต้องมีการอัปเดตเป็นระยะเพื่อตรวจจับ ความเสี่ยงที่เกิดขึ้นใหม่ (Emerging Risks) และการ คาดการณ์แนวโน้มในอนาคต (Horizon Scanning) เพื่อดูข้อกฎหมายหรือรูปแบบอาชญากรรมใหม่ๆ ครับ

สรุปเนื้อหาบทนี้

ก่อนที่คุณจะไปต่อ ลองเช็กดูว่าคุณเข้าใจแนวคิดหลักเหล่านี้ดีหรือยังนะครับ:

  • RAS: แถลงการณ์อย่างเป็นทางการว่าบอร์ดบริหารยอมรับความเสี่ยงได้เท่าไหร่
  • Inherent Risk: ความเสี่ยงก่อนมีมาตรการควบคุม
  • Residual Risk: ความเสี่ยงที่เหลืออยู่หลังมีมาตรการควบคุม (ความเสี่ยงที่ "หลงเหลือ")
  • เสาหลัก AFC ทั้ง 6: AML, CFT, Sanctions, Fraud, ABC และ Tax Evasion
  • RBA: การปรับความเข้มงวดของมาตรการควบคุมให้ตรงกับระดับความเสี่ยง

หมายเหตุ: หากต้องการเรียนรู้เพิ่มเติมเกี่ยวกับวิธีจัดการความเสี่ยงเหล่านี้หลังจากที่ลูกค้าร่วมทำธุรกิจกับเราแล้ว สามารถดูได้ในบท "การควบคุมวงจรชีวิตลูกค้า: KYC, CDD, EDD และการตรวจสอบสถานะพนักงาน" ครับ