ยินดีต้อนรับสู่บทเรียน P3 Risk Management: บทบาทและความรับผิดชอบ
สวัสดีครับ! ยินดีต้อนรับเข้าสู่บทที่สำคัญที่สุดบทหนึ่งในการเดินทางสาย P3 ของคุณ เมื่อเราพูดถึง การควบคุมภายใน (Internal Control) เรามักจะเผลอคิดว่ามันเป็นแค่ชุดกฎระเบียบที่เขียนไว้ในคู่มือ แต่ในความเป็นจริงแล้ว ประสิทธิภาพของการควบคุมนั้นขึ้นอยู่กับ "คน" ที่บริหารจัดการมัน บทนี้เราจะมาสำรวจกันว่า "ใครต้องทำหน้าที่อะไร" เพื่อรักษาความปลอดภัยให้กับองค์กรครับ
ถ้ารู้สึกว่าเนื้อหาช่วงแรกดูเป็นวิชาการไปหน่อย ไม่ต้องกังวลนะ ลองนึกภาพทีมกีฬามืออาชีพดูครับ ทั้งผู้เล่น โค้ช กรรมการ และเจ้าของทีม ต่างก็มีหน้าที่แตกต่างกันเพื่อให้เกมดำเนินไปอย่างยุติธรรมและประสบความสำเร็จ การบริหารความเสี่ยงก็เช่นเดียวกัน!
1. "บรรทัดฐานจากเบื้องบน" (Tone at the Top): คณะกรรมการบริษัท
ในโลกของ CIMA P3 ทุกอย่างเริ่มต้นที่ คณะกรรมการบริษัท (Board of Directors) ซึ่งเป็นผู้รับผิดชอบสูงสุดต่อระบบการควบคุมภายในของบริษัท พวกเขาอาจไม่ได้ลงมา "ตรวจสอบ" งานในแต่ละวันด้วยตัวเอง แต่พวกเขาคือผู้ที่ต้องรับผิดชอบหากเกิดข้อผิดพลาดขึ้น
ความรับผิดชอบหลักของคณะกรรมการ:
1. การกำหนดกลยุทธ์: ตัดสินใจว่าบริษัทพร้อมที่จะยอมรับความเสี่ยงได้มากน้อยเพียงใด (สิ่งนี้เรียกว่า ความเสี่ยงที่ยอมรับได้ หรือ Risk Appetite)
2. การทบทวนประสิทธิผล: ภายใต้ประมวลหลักการกำกับดูแลกิจการ (เช่น UK Corporate Governance Code) คณะกรรมการต้องทบทวนประสิทธิผลของระบบควบคุมอย่างน้อยปีละหนึ่งครั้ง
3. วัฒนธรรมองค์กร: พวกเขาเป็นผู้สร้าง "Tone at the Top" หรือบรรทัดฐานจากเบื้องบน ซึ่งหมายความว่าต้องแสดงให้เห็นผ่านการกระทำว่าความซื่อสัตย์และการควบคุมนั้นเป็นเรื่องสำคัญ
เปรียบเทียบให้เห็นภาพ: คณะกรรมการเปรียบเสมือน กัปตันเรือ พวกเขาไม่ได้มาล้างดาดฟ้าเรือหรือทำอาหารเอง แต่ถ้าเรือไปชนภูเขาน้ำแข็งเพราะคนเฝ้ายามหลับ กัปตันคือคนที่ต้องรับผิดชอบครับ
สรุปประเด็นสำคัญ: คณะกรรมการเป็นเจ้าของกรอบการควบคุมภายใน (Internal Control Framework) และต้องรับผิดชอบต่อผู้ถือหุ้นในการตรวจสอบให้มั่นใจว่าระบบควบคุมมีอยู่จริงและทำงานได้ดี
2. แบบจำลองแนวป้องกัน 3 ระดับ (Three Lines of Defense Model)
นี่คือแนวคิดพื้นฐานในหลักสูตร CIMA P3 หากคุณเข้าใจโมเดลนี้ คุณจะเข้าใจว่ามีการแบ่งบทบาทอย่างไรเพื่อไม่ให้เกิดการ "ตรวจการบ้านตัวเอง" ครับ
แนวป้องกันที่ 1: ฝ่ายบริหารการปฏิบัติงาน (Operational Management)
คือผู้จัดการที่อยู่ "หน้างาน" (เช่น ผู้จัดการคลังสินค้า, หัวหน้าฝ่ายขาย) พวกเขาเป็นเจ้าของความเสี่ยงและมีหน้าที่นำระบบควบคุมไปปฏิบัติในแต่ละวัน
ตัวอย่าง: ผู้จัดการร้านที่ต้องตรวจสอบให้มั่นใจว่าล็อคลิ้นชักเก็บเงินตอนปิดร้านแล้ว
แนวป้องกันที่ 2: ฝ่ายบริหารความเสี่ยงและการปฏิบัติตามกฎระเบียบ (Risk Management and Compliance)
ทำหน้าที่กำกับดูแลแนวป้องกันที่ 1 พวกเขาไม่ได้บริหารธุรกิจในแต่ละวัน แต่เป็นผู้จัดเตรียม กรอบการทำงาน (Frameworks) และ เครื่องมือ (Tools) ต่างๆ เพื่อตรวจสอบว่าแนวป้องกันที่ 1 ทำตามกฎหรือไม่
ตัวอย่าง: เจ้าหน้าที่ฝ่ายปฏิบัติตามกฎ (Compliance Officer) ที่ตรวจสอบว่าเอกสารของผู้จัดการร้านถูกต้องหรือไม่
แนวป้องกันที่ 3: การตรวจสอบภายใน (Internal Audit)
คือ การให้ความเชื่อมั่นอย่างเป็นอิสระ (Independent Assurance) โดยจะแยกตัวออกมาจากสองแนวป้องกันแรก และรายงานตรงต่อคณะกรรมการ (ผ่านคณะกรรมการตรวจสอบ) เพื่อให้ความเห็นที่ปราศจากอคติว่าระบบควบคุมทำงานจริงหรือไม่
ตัวอย่าง: ผู้ตรวจสอบที่มาจากสำนักงานใหญ่เพื่อทดสอบระบบรักษาความปลอดภัยของร้านทุกสาขา
ตัวช่วยจำ: การป้องกัน 1-2-3
1. ผู้ปฏิบัติ (Doers) (Operations)
2. ผู้ช่วย/ผู้ตรวจสอบ (Helpers/Checkers) (Risk/Compliance)
3. ผู้ตัดสิน (Judges) (Internal Audit)
3. บทบาทของฝ่ายบริหารระดับสูง (Executive Management)
ในขณะที่คณะกรรมการมีหน้าที่ กำกับดูแล (Oversight) แต่ CEO และ ผู้บริหารระดับสูง (Senior Management) มีหน้าที่ ความเป็นเจ้าของ (Ownership) ในการนำไปปฏิบัติ พวกเขาคือผู้ออกแบบระบบควบคุมเฉพาะและจัดสรรทรัพยากรเพื่อให้พนักงานสามารถปฏิบัติตามได้
คุณรู้หรือไม่? ในบางเขตอำนาจศาล เช่น สหรัฐอเมริกา ภายใต้ กฎหมาย Sarbanes-Oxley (SOX) CEO และ CFO จะต้องลงนามรับรองความถูกต้องของระบบควบคุมภายในด้วยตนเอง ซึ่งถือเป็นความรับผิดชอบที่ยิ่งใหญ่มาก!
4. คณะกรรมการตรวจสอบ (Audit Committee)
คณะกรรมการตรวจสอบเป็นคณะกรรมการย่อยที่แต่งตั้งโดยคณะกรรมการบริษัท ประกอบด้วย กรรมการอิสระ (Non-Executive Directors - NEDs) โดยมีบทบาทเน้นไปที่การกำกับดูแลการรายงานทางการเงินและกระบวนการควบคุมภายในโดยเฉพาะ
ทำไมเราต้องมีพวกเขา?
เพราะความที่พวกเขาเป็น "อิสระ" (ไม่ได้ทำงานให้บริษัทเต็มเวลา) พวกเขาจึงสามารถทักท้วง CEO และ CFO ได้โดยไม่ต้องกลัวว่าจะถูกไล่ออก พวกเขาเปรียบเสมือนสะพานเชื่อมระหว่าง ผู้ตรวจสอบภายใน/ภายนอก กับ คณะกรรมการบริษัท
ข้อผิดพลาดที่พบบ่อย: นักเรียนหลายคนเข้าใจผิดว่าคณะกรรมการตรวจสอบคือคน ลงมือตรวจสอบ จริงๆ แล้วไม่ใช่ครับ! พวกเขามีหน้าที่ ทบทวน ผลการตรวจสอบและทำให้มั่นใจว่าฝ่ายบริหารได้จัดการแก้ไขตามสิ่งที่ตรวจพบแล้ว
5. การตรวจสอบภายใน vs การตรวจสอบภายนอก
การแยกแยะสองบทบาทนี้ให้ชัดเจนเป็นเรื่องสำคัญมากในการสอบของคุณ:
การตรวจสอบภายใน (Internal Audit):
- แต่งตั้งโดยคณะกรรมการ/คณะกรรมการตรวจสอบ
- เน้นความเสี่ยง ทั้งหมด (ปฏิบัติการ, กลยุทธ์, การเงิน)
- เป้าหมาย: เพื่อปรับปรุงการดำเนินงานขององค์กร
การตรวจสอบภายนอก (External Audit):
- แต่งตั้งโดยผู้ถือหุ้น
- เน้นไปที่ งบการเงิน เป็นหลัก
- เป้าหมาย: เพื่อให้ความเห็นว่าบัญชีนั้น "ถูกต้องและยุติธรรม" (True and Fair) หรือไม่ โดยพวกเขาจะดูระบบควบคุมภายในก็ต่อเมื่อต้องการดูว่าสามารถเชื่อถือตัวเลขในระบบได้หรือไม่เท่านั้น
สรุปทบทวน:
- คณะกรรมการ (Board): รับผิดชอบสูงสุด
- คณะกรรมการตรวจสอบ (Audit Committee): กำกับดูแลและมีความเป็นอิสระ
- การตรวจสอบภายใน (Internal Audit): ทดสอบและรายงานประสิทธิผลของระบบควบคุม
- พนักงาน (Employees): ปฏิบัติตามการควบคุมในงานประจำวัน
6. บทบาทของพนักงานทุกคน
สุดท้ายนี้ อย่าลืมว่า การควบคุมภายในเป็นความรับผิดชอบของทุกคน แม้แต่พนักงานระดับล่างสุดก็มีบทบาทสำคัญ หากพนักงานคนหนึ่งเห็นประตูนิรภัยเปิดทิ้งไว้แล้วไม่รายงาน ระบบควบคุมทั้งระบบก็ถือว่าล้มเหลว
องค์กรต่างๆ มักส่งเสริมเรื่องนี้ผ่าน นโยบายการแจ้งเบาะแส (Whistleblowing Policies) ซึ่งอนุญาตให้พนักงานรายงานความล้มเหลวของระบบควบคุมหรือพฤติกรรมที่ไม่เหมาะสมได้อย่างไม่เปิดเผยตัวตน
สรุปบทเรียน
การบริหารความเสี่ยงไม่ใช่กีฬาประเภทบุคคล คณะกรรมการ เป็นผู้กำหนดกลยุทธ์, ฝ่ายบริหาร เป็นผู้นำไปปฏิบัติ, แนวป้องกัน 3 ระดับ ช่วยสร้างโครงสร้างและการตรวจสอบ และ คณะกรรมการตรวจสอบ ช่วยให้กระบวนการทั้งหมดมีความโปร่งใสและซื่อสัตย์ เมื่อทุกคนเข้าใจบทบาทของตนเอง องค์กรก็มีโอกาสสูงที่จะบรรลุวัตถุประสงค์โดยยังอยู่ในระดับความเสี่ยงที่ยอมรับได้ครับ
ลุยต่อเลย! คุณทำได้ดีมาก การเข้าใจบทบาทเหล่านี้คือ "โครงกระดูก" ที่จะช่วยยึดโยงเนื้อหาทั้งหมดของวิชาบริหารความเสี่ยงเข้าด้วยกันครับ!