ยินดีต้อนรับสู่การเดินทางเข้าสู่กรอบแนวคิดการบริหารความเสี่ยง!

สวัสดีครับ! ยินดีต้อนรับเข้าสู่บทเรียนสำคัญของวิชา CIMA P3 เรากำลังจะเจาะลึกเข้าไปใน ส่วนที่ A: ความเสี่ยงระดับองค์กร (Enterprise Risk) โดยเน้นไปที่ "พิมพ์เขียว" ของการบริหารความเสี่ยง นั่นคือ กรอบแนวคิด (Frameworks) ครับ

ถ้าคุณเคยรู้สึกท้อแท้กับความคิดที่ว่าจะต้องคอยจัดการทุกเรื่องที่อาจผิดพลาดในบริษัทขนาดใหญ่ ไม่ต้องกังวลไปนะครับ! นั่นคือเหตุผลที่กรอบแนวคิดอย่าง COSO ERM และ ISO 31000 ถูกสร้างขึ้นมา ลองจินตนาการว่ากรอบแนวคิดเปรียบเสมือนชั้นวางของที่ประกอบเสร็จเรียบร้อยแล้ว แทนที่จะโยนความเสี่ยงทั้งหมดกองไว้กับพื้นอย่างไร้ระเบียบ กรอบแนวคิดเหล่านี้จะมอบ "ชั้นวาง" เฉพาะทางให้คุณได้จัดระเบียบ วัดผล และจัดการความเสี่ยงเหล่านั้นได้อย่างมีประสิทธิภาพ มาเริ่มกันเลย!

1. กรอบแนวคิดการบริหารความเสี่ยงคืออะไร?

ก่อนที่เราจะไปดูโมเดลเฉพาะเจาะจง มาทำความเข้าใจแนวคิดกันก่อนครับ กรอบแนวคิด (Framework) คือชุดองค์ประกอบที่วางรากฐานและจัดระเบียบองค์กรสำหรับการออกแบบ การนำไปใช้ การตรวจสอบ และการปรับปรุงการบริหารความเสี่ยงทั่วทั้งองค์กรอย่างต่อเนื่อง

การเปรียบเทียบกับ "การสมัครสมาชิกยิม":
ลองจินตนาการว่าคุณอยากฟิตหุ่น คุณอาจจะวิ่งไปวิ่งมาแบบสุ่มๆ ก็ได้ แต่คุณจะเห็นผลลัพธ์ที่ดีกว่าถ้าคุณทำตาม กรอบแนวคิด ที่ดี นั่นคือ แผนการออกกำลังกายที่ชัดเจน ตารางเวลาที่แน่นอน และวิธีการติดตามความก้าวหน้า สำหรับในธุรกิจ COSO และ ISO ก็คือ "แผนการออกกำลังกาย" ระดับมืออาชีพที่จะช่วยให้บริษัทแข็งแรงและปลอดภัยครับ

2. ISO 31000:2018 – มาตรฐานสากล

ISO 31000 คือชุดแนวทางปฏิบัติที่ได้รับการยอมรับทั่วโลก ออกแบบมาให้มีความยืดหยุ่น ซึ่งหมายความว่าทุกองค์กรสามารถนำไปใช้ได้ไม่ว่าจะมีขนาดเท่าใดหรืออยู่ในอุตสาหกรรมไหนก็ตาม

ISO 31000 มีโครงสร้างหลักแบ่งออกเป็น 3 ส่วน:

A. หลักการ (Principles - "ทำไมต้องทำ")

คือความจริงพื้นฐานที่ทำให้การบริหารความเสี่ยงได้ผล หลักการที่สำคัญที่สุดคือ การบริหารความเสี่ยงช่วย สร้างและปกป้องคุณค่า (Creates and protects value) มันไม่ใช่แค่การป้องกันไม่ให้เรื่องแย่ๆ เกิดขึ้น แต่เป็นการช่วยให้บริษัทประสบความสำเร็จด้วยครับ

B. กรอบแนวคิด (Framework - "ทำอย่างไร")

เป็นเรื่องของการบูรณาการการบริหารความเสี่ยงเข้ากับบริษัท โดยดำเนินเป็นวงจร: ออกแบบ (Design) -> นำไปใช้ (Implementation) -> ประเมินผล (Evaluation) -> ปรับปรุง (Improvement) ที่สำคัญที่สุดคือต้องมี ความเป็นผู้นำและความมุ่งมั่น (Leadership and Commitment) เป็นศูนย์กลาง

C. กระบวนการ (Process - "การลงมือทำ")

คือขั้นตอนการปฏิบัติงานจริงในการจัดการความเสี่ยง ซึ่งประกอบด้วย:
1. ขอบเขต บริบท และเกณฑ์ (Scope, Context, and Criteria): กำหนดว่าเรากำลังดูเรื่องอะไรและ "ความสำเร็จ" หน้าตาเป็นอย่างไร
2. การประเมินความเสี่ยง (Risk Assessment): ประกอบด้วย การระบุ (Identification) (เกิดอะไรขึ้นได้บ้าง?), การวิเคราะห์ (Analysis) (มันใหญ่แค่ไหน?), และ การประเมินค่า (Evaluation) (เรารับได้ไหม?)
3. การจัดการความเสี่ยง (Risk Treatment): การตัดสินใจว่าจะจัดการกับความเสี่ยงอย่างไร (เช่น หลีกเลี่ยง ลดความเสี่ยง ร่วมรับความเสี่ยง หรือยอมรับความเสี่ยง)
4. การติดตามและทบทวน (Monitoring and Review): คอยจับตาดูสิ่งต่างๆ เพื่อดูว่ามีการเปลี่ยนแปลงหรือไม่
5. การสื่อสารและปรึกษาหารือ (Communication and Consultation): การพูดคุยกับผู้มีส่วนได้ส่วนเสียตลอดทั้งกระบวนการ

ทบทวนสั้นๆ: ISO 31000 มักถูกมองว่าเน้นไปที่ "กระบวนการ" และมีชื่อเสียงจากแผนภาพ "วงล้อ" ที่แสดงให้เห็นว่าการบริหารความเสี่ยงควรเป็นสิ่งที่ทำอย่างต่อเนื่อง

3. COSO ERM (2017) – แนวทางเชิงกลยุทธ์

COSO (Committee of Sponsoring Organizations) ได้ออกกรอบแนวคิด การบริหารความเสี่ยงระดับองค์กร (ERM) ฉบับปรับปรุงในปี 2017 ซึ่งกรอบนี้ให้ความสำคัญอย่างมากกับความสัมพันธ์ระหว่าง กลยุทธ์ ผลการดำเนินงาน และความเสี่ยง

COSO นิยาม ERM ไว้ว่า: "วัฒนธรรม ขีดความสามารถ และแนวปฏิบัติ ที่บูรณาการเข้ากับการกำหนดกลยุทธ์และผลการดำเนินงาน ซึ่งองค์กรใช้เพื่อจัดการความเสี่ยงในการสร้าง รักษา และส่งมอบคุณค่า"

เทคนิคช่วยจำ: คำว่า "GOPRO"

เพื่อให้จำองค์ประกอบ 5 อย่างของกรอบ COSO ERM ได้แม่นยำ ลองนึกถึงกล้อง GOPRO ครับ:

1. Governance and Culture (การกำกับดูแลและวัฒนธรรม): "วิสัยทัศน์จากผู้บริหารระดับสูง" คณะกรรมการให้ความสำคัญกับความเสี่ยงหรือไม่? วัฒนธรรมองค์กรมีความซื่อสัตย์และโปร่งใสไหม?
2. Objective-Setting and Strategy (การกำหนดวัตถุประสงค์และกลยุทธ์): การบริหารความเสี่ยงไม่ใช่แผนกที่แยกต่างหาก แต่มันต้องเป็นส่วนหนึ่งของแผนธุรกิจ
3. Performance (ผลการดำเนินงาน): การระบุและประเมินความเสี่ยงที่อาจกระทบต่อความสำเร็จตามกลยุทธ์
4. Review and Revision (การทบทวนและแก้ไข): การย้อนกลับไปดูว่า ERM ที่ทำไปนั้นเป็นอย่างไร ได้ผลไหม? เราต้องเปลี่ยนแนวทางหรือเปล่า?
5. Ongoing Information, Communication, and Reporting (ข้อมูล การสื่อสาร และการรายงานอย่างต่อเนื่อง): การแบ่งปันข้อมูลความเสี่ยงที่ถูกต้องให้กับทุกระดับในบริษัท

รู้หรือไม่?
การปรับปรุง COSO ในปี 2017 เปลี่ยนผ่านจากการเน้นแค่ "ทำตามกฎระเบียบ (check-the-box)" ไปสู่การทำให้การบริหารความเสี่ยงกลายเป็นส่วนหนึ่งของการตัดสินใจเชิงกลยุทธ์ทุกครั้งของ CEO ครับ!

4. ความแตกต่างหลักและควรใช้อันไหนดี?

นักศึกษามักถามว่า "ใช้อันไหนดีกว่ากัน?" คำตอบคือไม่ใช่อันไหนเลย! มันเป็นแค่เครื่องมือที่แตกต่างกันสำหรับงานเดียวกันครับ

  • ISO 31000 มักได้รับความนิยมจากผู้จัดการฝ่ายปฏิบัติงาน เพราะมีขั้นตอนที่ชัดเจนและเป็นลำดับสำหรับจัดการความเสี่ยง
  • COSO ERM มักได้รับความนิยมจากนักบัญชีและคณะกรรมการบริษัท (โดยเฉพาะในสหรัฐฯ) เพราะเชื่อมโยงความเสี่ยงเข้ากับการควบคุมภายในและกลยุทธ์องค์กรโดยตรง

ข้อผิดพลาดที่ควรหลีกเลี่ยง:
อย่ามองว่าสิ่งเหล่านี้เป็น "กฎหมาย" นะครับ มันเป็นกรอบแนวคิดแบบ สมัครใจ บริษัทจะไม่ถูกจับเข้าคุกเพียงเพราะไม่ทำตาม ISO 31000 แต่อาจจะล้มเหลวเพราะไม่มีวิธีที่เป็นระบบในการรับมือกับความเสี่ยง!

5. คณิตศาสตร์สำหรับการประเมินความเสี่ยง

แม้ว่ากรอบแนวคิดจะเป็นเรื่องของหลักการ แต่คุณก็ยังต้องเข้าใจวิธี "วัดผล" ความเสี่ยงที่เราพบด้วย สูตรพื้นฐานที่ใช้ในขั้นตอน Performance (ของ COSO) หรือ Risk Analysis (ของ ISO) คือ:

\( Risk Exposure = Likelihood \times Impact \)

ตัวอย่าง: หากมีโอกาสเกิดไฟไหม้ 10% (โอกาสเกิด - Likelihood) และไฟไหม้จะสร้างความเสียหาย 1,000,000 ดอลลาร์ (ผลกระทบ - Impact) ค่าความเสี่ยงที่ได้รับ (Risk Exposure) คือ 100,000 ดอลลาร์

สรุปบทเรียน - ประเด็นสำคัญ

1. โครงสร้างคือหัวใจสำคัญ: กรอบแนวคิดมอบภาษาและโครงสร้างที่สอดคล้องกันสำหรับการบริหารความเสี่ยงทั่วทั้งบริษัท
2. ISO 31000: เน้นที่ หลักการ กรอบแนวคิด และกระบวนการ เป็นวงจรแห่งการปรับปรุงที่ต่อเนื่อง
3. COSO ERM (2017): เน้นที่ กลยุทธ์และผลการดำเนินงาน จำคำว่า GOPRO (Governance, Objective-setting, Performance, Review, Ongoing info) ให้ได้นะครับ
4. การสร้างคุณค่า: การบริหารความเสี่ยงยุคใหม่ไม่ใช่แค่การหลีกเลี่ยง "สิ่งที่ไม่ดี" แต่คือการจัดการกับความไม่แน่นอนเพื่อ สร้างคุณค่า ให้กับผู้ถือหุ้น

ไม่ต้องกังวลถ้าชื่อและองค์ประกอบต่างๆ ฟังดูวนไปวนมา! ยิ่งคุณอ่านทบทวนเทคนิคช่วยจำ GOPRO และขั้นตอนของ ISO มากเท่าไหร่ ทุกอย่างจะเริ่มเข้าที่เข้าทางเอง คุณทำได้แน่นอนครับ!