Principles for Operational Resilience

บทนำ: ยินดีต้อนรับสู่โลกแห่งความยืดหยุ่นในการดำเนินงาน (Operational Resilience)

สวัสดีครับ! ยินดีต้อนรับเข้าสู่บทเรียนที่ถือว่านำไปใช้ได้จริงและสำคัญที่สุดบทหนึ่งในหลักสูตร FRM Part II นั่นคือ หลักการสำหรับความยืดหยุ่นในการดำเนินงาน (Principles for Operational Resilience) โดยอ้างอิงจากแนวทางของคณะกรรมการบาเซิลว่าด้วยการกำกับดูแลการธนาคาร (BCBS) บทนี้ไม่ใช่แค่เรื่องของการป้องกันความผิดพลาดเท่านั้น แต่เป็นเรื่องของ "วิธีการที่ธนาคารจะอยู่รอดและดำเนินการต่อไปได้" เมื่อเกิดเหตุการณ์ที่ไม่คาดฝันขึ้น

ในอดีต ธนาคารมักให้ความสำคัญกับการ "ป้องกัน" ความเสี่ยงเป็นหลัก แต่ในโลกยุคปัจจุบันที่มีความซับซ้อน ไม่ว่าจะเป็นการโจมตีทางไซเบอร์ โรคระบาด หรือระบบล่มครั้งใหญ่ Operational Resilience จึงเป็นการเปลี่ยนมุมมองจากการถามว่า "เราจะป้องกันไม่ให้มันเกิดขึ้นได้อย่างไร?" ไปสู่คำถามที่ว่า "เราจะทำอย่างไรให้ธุรกิจที่สำคัญที่สุดของเราดำเนินต่อไปได้เมื่อมัน เกิดขึ้นจริง?" ไม่ต้องกังวลหากฟังดูเป็นทฤษฎีในตอนแรกนะครับ เดี๋ยวเราจะมาย่อยหลักการทั้ง 7 ข้อนี้ให้เข้าใจง่ายเหมือนปอกกล้วยเข้าปากกันครับ

1. Operational Resilience คืออะไร?

ก่อนจะลงลึกถึงหลักการ เรามาทำความเข้าใจนิยามพื้นฐานกันก่อน Operational Resilience คือความสามารถของธนาคารในการให้บริการ การดำเนินงานที่สำคัญ (Critical Operations) ต่อไปได้แม้จะเผชิญกับเหตุการณ์หยุดชะงัก มันคือการสร้างความ "แข็งแกร่ง" ให้ธนาคารสามารถรับแรงกระแทก ปรับตัว และฟื้นตัวกลับมาได้อย่างรวดเร็ว

เปรียบเทียบกับ "หนังยาง": ลองนึกภาพหนังยางดูนะครับ การบริหารจัดการความเสี่ยงด้านปฏิบัติการ (Operational Risk Management) คือความพยายามที่จะไม่ดึงหนังยางจนตึงเกินไป (เพื่อป้องกันไม่ให้มันขาด) ส่วน Operational Resilience คือการตรวจสอบให้แน่ใจว่า หากหนังยาง ถูกดึงจนยืด แล้ว มันจะต้องดีดกลับมาสู่รูปทรงเดิมได้แทนที่จะขาดผึงไป

คำศัพท์สำคัญ: การดำเนินงานที่สำคัญ (Critical Operations)

การดำเนินงานที่สำคัญ คือบริการหรือกิจกรรมที่หากเกิดการหยุดชะงักขึ้น จะสร้างความเสียหายอย่างรุนแรงต่อลูกค้าของธนาคาร ความมั่นคงของธนาคาร หรือต่อระบบการเงินโดยรวม
ตัวอย่าง: การให้บริการถอนเงินผ่านตู้ ATM ถือเป็นการดำเนินงานที่สำคัญ ส่วนการปรับปรุงห้องพักพนักงานนั้น ไม่ใช่

ทบทวนสั้นๆ: แนวคิดเรื่องความยืดหยุ่นตั้งอยู่บนสมมติฐานว่าเหตุการณ์หยุดชะงัก จะเกิดขึ้นแน่นอน ดังนั้นเป้าหมายคือการลดผลกระทบต่อลูกค้าและระบบเศรษฐกิจให้เหลือน้อยที่สุดครับ

2. หลักการ 7 ประการของความยืดหยุ่น (The Seven Principles)

BCBS ได้กำหนดหลักการ 7 ข้อที่ธนาคารควรปฏิบัติตาม เพื่อให้จำง่าย ลองนึกถึงคำย่อ "G-O-B-M-T-I-I" กันดูครับ มาดูรายละเอียดทีละข้อกันเลย

หลักการที่ 1: การกำกับดูแล (Governance)

คณะกรรมการบริษัท (Board of Directors) คือผู้รับผิดชอบสูงสุด พวกเขาต้องเป็นผู้อนุมัติกรอบความยืดหยุ่นและกำหนด ระดับความอดทนต่อการหยุดชะงัก (Tolerance for Disruption) หมายความว่าคณะกรรมการต้องตัดสินใจให้ชัดเจนว่าธนาคารรับ "ความเจ็บปวด" ได้แค่ไหน (เช่น "เราจะปล่อยให้ระบบชำระเงินล่มเกิน 2 ชั่วโมงไม่ได้")

หลักการที่ 2: การบริหารความเสี่ยงด้านปฏิบัติการ (Operational Risk Management)

ธนาคารควรใช้ฟังก์ชัน **ORM (Operational Risk Management)** ที่มีอยู่แล้วในการระบุและบรรเทาภัยคุกคาม ความยืดหยุ่นไม่ได้มาแทนที่ ORM แต่เป็นการสร้างส่วนต่อขยายขึ้นไป คุณต้องใช้ข้อมูลความเสี่ยงที่มีเพื่อค้นหาว่าจุดอ่อนของธนาคารอยู่ที่ไหน

หลักการที่ 3: การวางแผนความต่อเนื่องทางธุรกิจ (Business Continuity Planning - BCP)

นี่คือ "แผนสำรอง" ของคุณ ธนาคารต้องมี BCP ที่ผ่านการทดสอบกับ สถานการณ์ที่รุนแรงแต่มีความเป็นไปได้ (Severe but plausible scenarios) การแค่ทดสอบระบบรวนเล็กๆ น้อยๆ นั้นไม่พอ คุณต้องทดสอบไปถึงขั้นที่ว่า ถ้าศูนย์ข้อมูลหลักถูกน้ำท่วม ระบบจะรับมืออย่างไร

หลักการที่ 4: การทำแผนผังความเชื่อมโยงและพึ่งพากัน (Mapping Interconnections and Interdependencies)

คุณไม่สามารถป้องกันสิ่งที่คุณไม่เข้าใจได้ การทำ Mapping คือการระบุบุคลากร เทคโนโลยี และข้อมูลทั้งหมดที่จำเป็นต่อการดำเนินงานที่สำคัญ
ตัวอย่างในโลกจริง: การจะตัดเงินบัตรเครดิตได้ คุณต้องมีเซิร์ฟเวอร์ ซอฟต์แวร์เฉพาะทาง ผู้ให้บริการอินเทอร์เน็ต และทีมช่างเทคนิค การ Mapping จะช่วยให้เห็นว่าสิ่งเหล่านี้เชื่อมโยงกันอย่างไร

หลักการที่ 5: การบริหารจัดการการพึ่งพาบุคคลที่สาม (Third-Party Dependency Management)

หลายธนาคารใช้การจ้างภายนอก (Outsource) เช่น บริการ Cloud หรือบริษัททำบัญชีเงินเดือน หลักการนี้บอกไว้ว่า: คุณจ้างงานคนอื่นทำได้ แต่คุณไม่สามารถจ้างคนอื่นรับผิดชอบแทนได้! ธนาคารต้องตรวจสอบให้มั่นใจว่าผู้ให้บริการภายนอกก็มีความยืดหยุ่นเช่นกัน

หลักการที่ 6: การบริหารจัดการเหตุการณ์ (Incident Management)

ธนาคารต้องมีกระบวนการที่ชัดเจนในการตรวจจับ ตอบสนอง และฟื้นตัวจากเหตุการณ์ต่างๆ รวมถึงต้องมี แผนการสื่อสาร เพื่อแจ้งข้อมูลให้สาธารณชนและหน่วยงานกำกับดูแลทราบ เพื่อไม่ให้เกิดความตื่นตระหนก

หลักการที่ 7: เทคโนโลยีสารสนเทศและการสื่อสาร (ICT)

เนื่องจากธนาคารขับเคลื่อนด้วยคอมพิวเตอร์ ความยืดหยุ่นทางเทคโนโลยีสารสนเทศ (ICT) และไซเบอร์ จึงเป็นเรื่องสำคัญยิ่ง ซึ่งรวมไปถึงการปกป้องข้อมูลจากการถูกแฮ็ก และการรับรองว่าระบบเทคโนโลยีได้รับการอัปเดตและมีความปลอดภัยอยู่เสมอ

3. การกำหนด "ระดับความอดทนต่อการหยุดชะงัก" (Tolerance for Disruption)

นี่เป็นแนวคิดสำคัญสำหรับข้อสอบ FRM เลยครับ ต่างจาก "ความเสี่ยงที่ยอมรับได้ (Risk Appetite)" (ซึ่งเป็นเรื่องว่าเราอยากรับความเสี่ยงแค่ไหนเพื่อแลกกับกำไร) แต่ Tolerance for Disruption คือขีดจำกัดสูงสุดว่าบริการนั้นจะ "ล่ม" ได้นานแค่ไหน

วิธีการกำหนด:
1. ระบุ การดำเนินงานที่สำคัญ (Critical Operation)
2. กำหนด ระดับความอดทนสูงสุด (Maximum tolerable level) ของการหยุดชะงัก (เช่น ระยะเวลา, ปริมาณธุรกรรมที่หายไป, หรือการสูญเสียข้อมูล)
3. รับประกันว่าธนาคารจะยังคงอยู่ภายในขีดจำกัดนั้นแม้จะเป็น "วันที่แย่ที่สุด" ก็ตาม

ข้อควรระวัง: อย่าสับสนระหว่าง "Tolerance for Disruption" กับ "Risk Appetite" ครับ Risk appetite คือเชิงรุก (เราอยากทำอะไร) ในขณะที่ Tolerance for Disruption คือเชิงรับ (เมื่อเกิดเหตุการณ์เลวร้าย เราจะรอดได้อย่างไร)

สรุปประเด็นสำคัญ: ความยืดหยุ่นคือการรักษาบริการให้ดำเนินต่อไปได้ คณะกรรมการเป็นผู้กำหนดขีดจำกัด และธนาคารต้องทำ Mapping ระบบต่างๆ เพื่อให้มั่นใจว่าธนาคารจะยังคงอยู่ในเกณฑ์นั้นเสมอแม้ในยามวิกฤต

4. การทำ Mapping และการทดสอบ

เพื่อให้มีความยืดหยุ่นอย่างแท้จริง ธนาคารต้องทำ 2 สิ่งนี้ให้ได้ดี: Map และ Test

Mapping: "กายวิภาค" ของบริการ

การ Mapping ไม่ใช่แค่รายการที่จดไว้ แต่คือผังกระแสงาน (Flow Chart) ที่ระบุ:

• Internal dependencies: แผนกอื่นๆ ภายในธนาคาร
• External dependencies: ผู้ให้บริการภายนอก หรือระบบตลาดการเงิน

Testing: "การซ้อมหนีไฟ"

ธนาคารต้องทดสอบความยืดหยุ่นอย่างสม่ำเสมอ โดยการทดสอบควรจะเป็น:

• อิงจากสถานการณ์ (Scenario-based): "ถ้าเกิดการโจมตีทางไซเบอร์ที่เข้ารหัสไฟล์ลูกค้าทั้งหมดของเราจะเป็นอย่างไร?"
• รุนแรงแต่มีความเป็นไปได้: อย่าทดสอบแค่ไฟดับ 5 นาที แต่ให้ทดสอบการล่มที่นานถึง 24 ชั่วโมง

รู้หรือไม่? ปัจจุบันธนาคารหลายแห่งใช้ "Chaos Engineering" (การสุ่มปิดระบบบางส่วนของตัวเอง) เพื่อดูว่าแผนความยืดหยุ่นของพวกเขาสามารถใช้งานได้จริงหรือไม่ในเวลาที่เกิดเหตุขึ้นจริงๆ!

5. สรุปและคำแนะนำเพิ่มเติม

Operational Resilience เป็นหัวข้อที่ค่อนข้างใหม่ในหลักสูตร FRM ซึ่งสะท้อนถึงการที่โลกเปลี่ยนไปสู่ธนาคารดิจิทัล นี่คือรายการตรวจสอบ (Checklist) สำหรับการทบทวนของคุณครับ:

• โฟกัสที่คณะกรรมการ: จำไว้ว่าการกำกับดูแลต้องเริ่มจากผู้บริหารระดับสูง
• การดำเนินงานที่สำคัญ: ต้องให้ความสำคัญกับบริการที่ส่งผลกระทบต่อลูกค้าหรือระบบการเงินก่อนเสมอ
• Mapping: คุณต้องเข้าใจความเชื่อมโยงทั้งหมด (ว่าคุณพึ่งพาใครหรืออะไรบ้าง)
• การจ้างภายนอก: แม้จะจ้างคนอื่นทำ แต่ความรับผิดชอบยังอยู่ที่ธนาคารเสมอ

กำลังใจ: บทนี้มีตรรกะที่ค่อนข้างชัดเจนครับ หากคุณลองสวมหมวกเป็น "ผู้บริหารธนาคาร" ที่พยายามประคับประคองธนาคารให้รอดพ้นจากพายุ หลักการเหล่านี้จะเข้าใจได้ไม่ยากเลย คุณทำได้แน่นอน!

กล่องทบทวนสั้นๆ:
- Resilience: การดูดซับแรงกระแทกและฟื้นตัวจากเหตุการณ์รุนแรง
- Critical Operations: บริการที่ไม่สามารถล่มได้
- Tolerance: "จุดแตกหัก" ที่คณะกรรมการกำหนดว่าเราต้องไม่ข้ามเส้นไป
- Principles: Governance, ORM, BCP, Mapping, Third-party, Incident, ICT