Roles and responsibilities for managing risk

ยินดีต้อนรับสู่ P3 Risk Management: ใครทำหน้าที่อะไร?

สวัสดีว่าที่ CGMA ทุกคน! เรากำลังเข้าสู่ส่วนที่สำคัญที่สุดของหัวข้อ Enterprise Risk ในวิชา P3 ของคุณ หลายคนอาจคิดว่าการบริหารความเสี่ยงเป็นหน้าที่ของ "แผนกบริหารความเสี่ยง" เท่านั้น แต่ในความเป็นจริงแล้ว มันคืองานที่ทุกคนต้องร่วมมือกัน ในบทนี้เราจะมาเจาะลึก บทบาทและความรับผิดชอบ ของทุกคน ตั้งแต่ระดับ CEO ลงไปจนถึงพนักงานหน้างานเลยครับ

ถ้ารู้สึกว่าชื่อตำแหน่งหรือคณะกรรมการมันดูเยอะไปหมดในตอนแรก ไม่ต้องกังวลนะ เราจะค่อยๆ ย่อยให้เข้าใจง่ายผ่านการเปรียบเทียบ เพื่อให้คุณจำได้แม่นว่าใครรับผิดชอบส่วนไหนเมื่อถึงวันสอบจริง!

1. ระดับสูงสุด: คณะกรรมการบริษัท (Board of Directors)

ในองค์กรใดๆ คณะกรรมการบริษัท (Board of Directors) คือผู้ที่รับผิดชอบสูงสุดในการบริหารความเสี่ยง ให้ลองนึกภาพพวกเขาเหมือนกัปตันเรือครับ พวกเขาไม่ต้องลงไปดึงเชือกใบเรือเองทุกเส้น แต่พวกเขาเป็นคนตัดสินใจว่าจะนำเรือไปทิศทางไหน และจะยอมเผชิญกับพายุที่รุนแรงแค่ไหน

หน้าที่หลักของคณะกรรมการ ได้แก่:

- กำหนดความเสี่ยงที่ยอมรับได้ (Setting Risk Appetite): ตัดสินใจว่าบริษัทพร้อมจะแบกรับความเสี่ยงได้มากแค่ไหนเพื่อให้บรรลุเป้าหมาย
- กลยุทธ์ความเสี่ยง (Risk Strategy): ทำให้แน่ใจว่ากรอบการบริหารความเสี่ยงนั้นสอดคล้องกับกลยุทธ์ของธุรกิจ
- การสร้างวัฒนธรรมองค์กร (Tone at the Top): สร้างบรรยากาศที่ทุกคนเห็นความสำคัญของความเสี่ยงและสามารถพูดคุยเรื่องนี้กันได้อย่างเปิดเผย

เปรียบเทียบ: หากบริษัทคือรถยนต์ คณะกรรมการคือผู้กำหนดจำกัดความเร็ว (Risk Appetite) และจุดหมายปลายทาง (Strategy)

ทบทวนสั้นๆ: คณะกรรมการ

ประเด็นสำคัญ: คณะกรรมการคือผู้ที่ รับผิดชอบสูงสุด (Ultimately Accountable) ต่อระบบบริหารความเสี่ยง พวกเขาไม่ได้ลงมือทำในแต่ละวัน แต่เป็นผู้กำหนดกฎกติกาและวัฒนธรรมองค์กร

2. คณะกรรมการเฉพาะทาง: Audit vs. Risk

เนื่องจากคณะกรรมการบริษัทมีภารกิจล้นมือ พวกเขาจึงมอบหมายงานเฉพาะทางให้คณะกรรมการชุดย่อย ในวิชา CIMA P3 คุณต้องแยกความแตกต่างระหว่าง คณะกรรมการตรวจสอบ (Audit Committee) และ คณะกรรมการบริหารความเสี่ยง (Risk Committee) ให้ได้ครับ

คณะกรรมการตรวจสอบ (Audit Committee)

คณะกรรมการชุดนี้มักประกอบด้วย กรรมการอิสระที่ไม่ได้เป็นผู้บริหาร (Independent Non-Executive Directors - NEDs) หน้าที่ของพวกเขาคือการคอยดู "กระจกมองหลัง" และ "ไฟเตือนสถานะเครื่องยนต์" โดยเน้นไปที่:

- ความถูกต้องของรายงานทางการเงิน
- การกำกับดูแลระบบ การควบคุมภายใน (Internal Control)
- การดูแลความสัมพันธ์กับ ผู้สอบบัญชีภายนอก (External Auditors)

คณะกรรมการบริหารความเสี่ยง (Risk Committee)

ในขณะที่คณะกรรมการตรวจสอบเน้นเรื่องการควบคุมและตัวเลข แต่คณะกรรมการบริหารความเสี่ยงจะคอยมอง "เส้นทางข้างหน้า" พวกเขาจะพิจารณา ความเสี่ยงที่อาจเกิดขึ้น (Emerging Risks) เช่น การถูกโจมตีทางไซเบอร์ การเปลี่ยนผ่านทางเศรษฐกิจ หรือคู่แข่งรายใหม่ งานของพวกเขาคือการรับรองว่า Risk Appetite ของคณะกรรมการได้ถูกนำไปปฏิบัติจริง

รู้หรือไม่? ในบริษัทขนาดเล็ก คณะกรรมการสองชุดนี้มักจะรวมเป็นชุดเดียวกัน แต่สำหรับบริษัทขนาดใหญ่และซับซ้อน (โดยเฉพาะในธุรกิจธนาคาร) หลักสูตร CIMA เน้นย้ำถึงประโยชน์ของการมีคณะกรรมการบริหารความเสี่ยงแยกออกมาโดยเฉพาะ เพื่อให้มั่นใจว่าความเสี่ยงได้รับความใส่ใจอย่างเพียงพอ

ข้อผิดพลาดที่ควรระวัง

อย่าเข้าใจผิดว่าคณะกรรมการตรวจสอบคือคน บริหารจัดการ ความเสี่ยง หน้าที่ของเขาคือ กำกับดูแล (Oversight) และ ทบทวน ว่าผู้บริหารทำหน้าที่ได้ดีเพียงใด ไม่ใช่คนลงมือปฏิบัติในแต่ละวัน

3. ประธานเจ้าหน้าที่บริหารความเสี่ยง (CRO)

Chief Risk Officer (CRO) คือผู้บริหารระดับสูงที่ทำหน้าที่เป็น "ตัวแทนด้านความเสี่ยง" ขององค์กร เป็นสะพานเชื่อมระหว่างคณะกรรมการกับส่วนงานอื่นๆ ในบริษัท

ความรับผิดชอบของ CRO ได้แก่:

- พัฒนากรอบการบริหารความเสี่ยง (Risk Management Framework)
- รายงานอัปเดตความเสี่ยงต่อคณะกรรมการและคณะกรรมการบริหารความเสี่ยง
- ทำให้แน่ใจว่าการบริหารความเสี่ยงนั้น "ฝังรากลึก" (หมายถึงเป็นส่วนหนึ่งของวิถีการทำงาน ไม่ใช่แค่การติ๊กถูกในกระดาษไปวันๆ)

เทคนิคช่วยจำ: "3 Cs" ของ CRO
Champion: เป็นผู้นำในการสร้างความตระหนักด้านความเสี่ยง
Challenger: คอยตั้งคำถามกับผู้บริหารที่รับความเสี่ยงมากเกินไป (หรือน้อยเกินไป)
Coordinator: ประสานงานเพื่อให้มั่นใจว่าทุกแผนกรายงานความเสี่ยงในรูปแบบเดียวกัน

4. โมเดลสามแนวป้องกัน (Three Lines of Defence Model)

นี่อาจเป็นหัวข้อที่สำคัญที่สุดในบทนี้เลยครับ CIMA ชอบทดสอบความเข้าใจว่าองค์กรปกป้องตัวเองอย่างไร ลองนึกภาพว่าองค์กรคือปราสาทที่กำลังถูกโจมตี คุณต้องการการป้องกันหลายชั้นครับ

แนวป้องกันที่ 1: การดำเนินงานทางธุรกิจ (The "Doers")

นี่คือ ผู้จัดการฝ่ายปฏิบัติการ (Operational Managers) พวกเขาเป็น "เจ้าของความเสี่ยง" เพราะเป็นคนทำกิจกรรมในแต่ละวัน หากผู้จัดการโรงงานเห็นความเสี่ยงด้านความปลอดภัย พวกเขาคือแนวป้องกันด่านแรกที่ต้องจัดการความเสี่ยงนั้นทันที

แนวป้องกันที่ 2: ความเสี่ยงและการกำกับดูแล (The "Overseers")

นี่คือกลุ่มผู้เชี่ยวชาญ (เช่น CRO หรือทีม Compliance) พวกเขาไม่ได้ทำงานปฏิบัติการรายวัน แต่มีหน้าที่จัดหาเครื่องมือ นโยบาย และระบบให้แนวที่ 1 นำไปใช้ และคอยตรวจสอบว่าแนวที่ 1 ทำตามกฎระเบียบหรือไม่

แนวป้องกันที่ 3: การตรวจสอบภายใน (The "Assurers")

นี่คือหน้าที่ของ ผู้ตรวจสอบภายใน (Internal Audit) ซึ่งมีความเป็นอิสระจากสองแนวแรก หน้าที่ของพวกเขาคือการให้ ความเชื่อมั่นอย่างเป็นอิสระ (Independent Assurance) ต่อคณะกรรมการว่าแนวป้องกันที่ 1 และ 2 กำลังทำงานได้อย่างถูกต้อง

เปรียบเทียบ: ในการแข่งขันฟุตบอล...
แนวที่ 1 = นักฟุตบอล (พยายามทำประตูโดยไม่เสียประตู)
แนวที่ 2 = โค้ช (วางแผนและคอยดูผลงานในเกม)
แนวที่ 3 = กรรมการ (บุคคลอิสระที่คอยดูว่าทุกคนทำตามกติกาหรือไม่)

ประเด็นสำคัญ: สามแนวป้องกัน

แนวที่ 1: เป็นเจ้าของและจัดการความเสี่ยงโดยตรง
แนวที่ 2: ตรวจสอบและกำหนดกรอบความเสี่ยง
แนวที่ 3: ให้ความเชื่อมั่นอย่างเป็นอิสระ

5. การตรวจสอบภายใน vs. การตรวจสอบภายนอก

หลายคนมักสับสนสองตำแหน่งนี้ แต่บทบาทในการบริหารความเสี่ยงนั้นแตกต่างกันมากครับ

การตรวจสอบภายใน (Internal Audit):
- ทำงานให้ใคร? คณะกรรมการ/คณะกรรมการตรวจสอบ
- เน้นอะไร? ปรับปรุงการดำเนินงาน การบริหารความเสี่ยง และการควบคุมภายในของบริษัท
- ขอบเขต: กว้างมาก (ตั้งแต่เรื่องความปลอดภัย IT ไปจนถึงนโยบาย HR)

การตรวจสอบภายนอก (External Audit):
- ทำงานให้ใคร? ผู้ถือหุ้น
- เน้นอะไร? ให้ความเห็นว่า งบการเงิน (Financial Statements) นั้น "ถูกต้องตามควร" หรือไม่
- ขอบเขต: แคบกว่า (เน้นไปที่ตัวเลขการเงินและความเสี่ยงที่อาจทำให้ตัวเลขเหล่านั้นผิดพลาด)

6. บทบาทของพนักงานทุกคน

สุดท้ายนี้ การบริหารความเสี่ยงไม่ใช่เรื่องของผู้บริหารเท่านั้น พนักงานทุกคนมีความรับผิดชอบในการ:

- เข้าใจความเสี่ยงที่เกี่ยวข้องกับงานของตนเอง
- ปฏิบัติตามการควบคุมภายใน (เช่น การไม่เปิดเผยรหัสผ่าน)
- รายงาน ความเสี่ยงใหม่ๆ หรือ "เหตุการณ์เกือบพลาด" (near misses) ให้ผู้จัดการทราบ

เคล็ดลับสั้นๆ: ถ้าเจอคำถามสอบว่า "ใครรับผิดชอบในการระบุความเสี่ยง?" คำตอบมักจะเป็น ทุกคน แต่ คณะกรรมการ คือผู้ที่มีหน้าที่รับผิดชอบ (Accountable) ในการทำให้แน่ใจว่าเรื่องนี้เกิดขึ้นจริง

เช็คลิสต์สรุปบทเรียน

ก่อนไปต่อ ลองตอบคำถามเหล่านี้ดูนะ:

1. ใครเป็นคนกำหนด "Risk Appetite"? (คณะกรรมการบริษัท)
2. การตรวจสอบภายในอยู่ในแนวป้องกันที่เท่าไหร่? (แนวที่ 3)
3. ความแตกต่างหลักระหว่างคณะกรรมการตรวจสอบและคณะกรรมการบริหารความเสี่ยงคืออะไร? (ตรวจสอบ = การควบคุม/อดีต; ความเสี่ยง = กลยุทธ์/อนาคต)
4. ใครคือ "เจ้าของ" ความเสี่ยงในชีวิตประจำวัน? (ผู้จัดการฝ่ายปฏิบัติการ/แนวที่ 1)

เยี่ยมมาก! คุณเพิ่งจะเข้าใจบทบาทและความรับผิดชอบในการจัดการความเสี่ยงไปแล้ว เก็บโครงสร้างนี้ไว้ในใจ แล้วคุณจะพบว่าคำถามสถานการณ์ใน P3 นั้นง่ายขึ้นเยอะเลยครับ!