Revisions to the Principles for the Sound Management of Operational Risk

ยินดีต้อนรับสู่เรื่องการกำกับดูแลความเสี่ยงด้านปฏิบัติการ (Operational Risk Governance)!

สวัสดีครับ! ยินดีต้อนรับเข้าสู่หนึ่งในบทเรียนที่สำคัญที่สุดในส่วนของ ความเสี่ยงด้านปฏิบัติการและความยืดหยุ่น (Operational Risk and Resilience) ของหลักสูตร FRM Part II หากคุณเคยสงสัยว่าธนาคารใหญ่ๆ เขามีวิธีป้องกันไม่ให้เกิดปัญหา หรือจัดการอย่างไรเวลาเกิดปัญหาขึ้นมา บทนี้แหละคือคำตอบครับ

ในโมดูลนี้ เราจะมาดูกันที่แนวทางปฏิบัติฉบับปรับปรุงใหม่ของ คณะกรรมการบาเซิล (Basel Committee - BCBS) ซึ่งให้มองว่านี่คือ "กฎทอง" ในการจัดการความเสี่ยงด้านปฏิบัติการครับ การปรับปรุงครั้งนี้มีขึ้นเพื่อให้สอดคล้องกับโลกยุคปัจจุบัน ที่เทคโนโลยี การจ้างงานภายนอก (Outsourcing) และ ความยืดหยุ่นทางปฏิบัติการ (Operational Resilience) มีความสำคัญยิ่งกว่าครั้งไหนๆ ไม่ต้องกังวลไปนะครับหากเนื้อหาดูเยอะ เราจะค่อยๆ ย่อยไปทีละหลักการเอง!

อะไรที่เปลี่ยนไปและเปลี่ยนทำไม?

หลักการเดิมถูกกำหนดไว้ตั้งแต่ปี 2011 แต่หลังจากเกิดความล้มเหลวของธนาคารครั้งใหญ่หลายครั้งและการโจมตีทางไซเบอร์ที่รุนแรง BCBS จึงตระหนักว่ากฎเกณฑ์ต้องได้รับการอัปเกรด การเปลี่ยนแปลงที่สำคัญที่สุดคือการยกระดับจากการแค่ "จัดการ" ความเสี่ยง ไปสู่การสร้าง "ความยืดหยุ่นทางปฏิบัติการ" ซึ่งก็คือความสามารถในการให้บริการที่สำคัญได้อย่างต่อเนื่องแม้จะเกิดเหตุขัดข้องขึ้นก็ตาม

ทบทวนสั้นๆ: ความเสี่ยงด้านปฏิบัติการ (Operational Risk) คืออะไร?

ก่อนจะลงลึก จำนิยามไว้ให้แม่นนะครับ: ความเสี่ยงด้านปฏิบัติการ (Operational Risk) คือความเสี่ยงที่จะเกิดความเสียหายอันเป็นผลมาจากกระบวนการภายใน บุคลากร และระบบที่ไม่เพียงพอหรือล้มเหลว หรือจากเหตุการณ์ภายนอก ซึ่งรวมถึงความเสี่ยงทางกฎหมาย แต่ไม่รวมถึงความเสี่ยงทางกลยุทธ์และความเสี่ยงด้านชื่อเสียง (แม้ว่าความล้มเหลวทางปฏิบัติการมักจะส่งผลกระทบต่อชื่อเสียงของธนาคารก็ตาม!)

หลักการจัดการที่มั่นคง 12 ประการ

BCBS จัดกลุ่มหลักการทั้ง 12 ข้อไว้อย่างเป็นระบบ เรามาดูไปทีละขั้นตอนกันครับ

เทคนิคการจำ: ให้ลองนึกภาพว่าหลักการทั้ง 12 ข้อนี้เหมือนกับการสร้างบ้าน คุณต้องมีรากฐานที่แข็งแรง (วัฒนธรรมองค์กร), มีแบบแปลน (กรอบการทำงาน), มีผู้ควบคุมงาน (คณะกรรมการและฝ่ายบริหาร), มีเครื่องมือ (การประเมินและการติดตาม), และมีเครื่องปั่นไฟสำรอง (การดำเนินธุรกิจอย่างต่อเนื่อง)

กลุ่มที่ 1: การกำกับดูแล (รากฐานของบ้าน)

หลักการที่ 1: วัฒนธรรมการจัดการความเสี่ยง (Risk Management Culture)

คณะกรรมการและผู้บริหารระดับสูงต้องส่งเสริมให้เกิด วัฒนธรรมความเสี่ยงที่เข้มแข็ง นี่ไม่ใช่แค่เรื่องของกฎเกณฑ์ แต่เป็นเรื่องของ "วิธีการที่เราทำงานที่นี่" ตัวอย่าง: หากพนักงานพบปัญหาซอฟต์แวร์แต่เลือกที่จะเงียบเพราะกลัวโดนดุ นั่นคือวัฒนธรรมความเสี่ยงที่ไม่ดี วัฒนธรรมที่ดีจะสนับสนุนให้พนักงานรายงานข้อผิดพลาดตั้งแต่เนิ่นๆ ครับ

หลักการที่ 2: กรอบการบริหารจัดการความเสี่ยงด้านปฏิบัติการ (ORMF)

ธนาคารต้องมี กรอบการทำงาน (Framework) ที่เป็นลายลักษณ์อักษรและชัดเจน ซึ่งถูกบูรณาการเข้ากับการดำเนินงานในชีวิตประจำวัน ไม่ควรเป็นแค่เอกสารที่เก็บไว้บนชั้นจนฝุ่นจับ แต่ต้องเป็นเอกสารที่มีชีวิตที่ใช้เป็นแนวทางในการตัดสินใจ

หลักการที่ 3: การกำกับดูแลโดยคณะกรรมการ (Board of Directors Oversight)

คณะกรรมการคือผู้รับผิดชอบสูงสุด พวกเขาไม่จำเป็นต้องลงมาจัดการงานรายวัน แต่ต้อง อนุมัติ กรอบการทำงานและตรวจสอบให้แน่ใจว่าธนาคารใช้โมเดล "สามแนวป้องกัน" (Three Lines of Defense)
เคล็ดลับสั้นๆ: ถ้าข้อสอบถามว่าใครคือ "ผู้รับผิดชอบสูงสุด" คำตอบมักจะเป็น คณะกรรมการ (Board of Directors) เสมอครับ

หลักการที่ 4: ความเสี่ยงด้านปฏิบัติการที่ยอมรับได้ (Risk Appetite and Tolerance)

คณะกรรมการต้องกำหนดว่าธนาคารยินดีรับความเสี่ยงด้านปฏิบัติการได้มากแค่ไหน
การเปรียบเทียบ: ลองจินตนาการว่าคุณกำลังเดินป่า "ความอยากรับความเสี่ยง" (Appetite) ของคุณอาจจะเป็น "ถลอกนิดหน่อยไม่เป็นไร" แต่ "ระดับความอดทน" (Tolerance) ของคุณคือ "กระดูกหักคือเรื่องที่ยอมรับไม่ได้เด็ดขาด" ธนาคารต้องกำหนดขอบเขตเหล่านี้ให้ชัดเจนครับ

หลักการที่ 5: ความรับผิดชอบของผู้บริหารระดับสูง (Senior Management Responsibilities)

ในขณะที่คณะกรรมการ อนุมัติ แผนงาน แต่ ผู้บริหารระดับสูง คือผู้รับผิดชอบในการ นำไปปฏิบัติ พวกเขาทำหน้าที่แปลงกลยุทธ์ระดับบนให้กลายเป็นนโยบายและกระบวนการทำงานที่จับต้องได้ทั่วทั้งธนาคาร

สรุปส่วนนี้: การกำกับดูแลคือเรื่องของการสร้าง "โทนจากระดับบน" (Tone at the Top) หากคณะกรรมการและผู้บริหารระดับสูงไม่เอาจริง แผนงานที่เหลือทั้งหมดก็ล้มเหลวครับ

กลุ่มที่ 2: สภาพแวดล้อมในการจัดการความเสี่ยง (เครื่องมือ)

หลักการที่ 6: การระบุและการประเมินความเสี่ยง

คุณไม่สามารถจัดการสิ่งที่คุณไม่รู้ได้ ธนาคารต้องใช้เครื่องมือต่างๆ เช่น การประเมินการควบคุมความเสี่ยงด้วยตนเอง (RCSA), ดัชนีชี้วัดความเสี่ยงหลัก (KRIs), และ การวิเคราะห์สถานการณ์จำลอง (Scenario Analysis) เพื่อค้นหาว่า "หลุมบ่อ" ในกระบวนการทำงานอยู่ที่ไหน

หลักการที่ 7: การบริหารจัดการการเปลี่ยนแปลง (Change Management)

เมื่อธนาคารเปิดตัวผลิตภัณฑ์ใหม่ (เช่น แอปโมบายแบงก์กิ้ง) หรือปรับเปลี่ยนกระบวนการทำงาน ความเสี่ยงย่อมสูงขึ้น หลักการที่ 7 ระบุว่าธนาคารต้องมี กระบวนการที่เข้มงวด ในการประเมินความเสี่ยงของการเปลี่ยนแปลงเหล่านั้น ก่อนที่จะนำไปใช้งานจริง

หลักการที่ 8: การติดตามและการรายงาน (Monitoring and Reporting)

ธนาคารจำเป็นต้องมี "หน้าปัดรถยนต์" เพื่อดูว่าตอนนี้สถานการณ์เป็นอย่างไร รายงานต้องส่งถึงผู้บริหารและคณะกรรมการอย่างสม่ำเสมอ เพื่อให้พวกเขาสามารถดำเนินการได้ทันท่วงทีหากระดับความเสี่ยงเริ่มสูงเกินไป

หลักการที่ 9: การควบคุมและการบรรเทาความเสี่ยง (Control and Mitigation)

หากความเสี่ยงสูงเกินไป คุณต้องควบคุมมัน ซึ่งเกี่ยวข้องกับ การควบคุมภายใน (เช่น การใช้ลายเซ็นคู่ในการโอนเงินจำนวนมาก) และ การบรรเทาความเสี่ยง (เช่น การซื้อประกัน)
ข้อผิดพลาดที่พบบ่อย: นักศึกษามักเข้าใจผิดว่า "การบรรเทาความเสี่ยง" คือการที่ความเสี่ยงหายไป ซึ่งไม่จริงครับ! มันหมายถึงการที่ ผลกระทบ ของความเสี่ยงนั้นลดลงเท่านั้น

หลักการที่ 10: เทคโนโลยีสารสนเทศและการสื่อสาร (ICT)

ในโลกปัจจุบัน ไอทีคือทุกสิ่ง หลักการนี้เน้นย้ำว่า การบริหารความเสี่ยงด้าน ICT และ ความปลอดภัยทางไซเบอร์ ต้องเป็นสิ่งสำคัญอันดับต้นๆ ธนาคารต้องมั่นใจว่าระบบของตนมีความปลอดภัย น่าเชื่อถือ และสามารถกู้คืนได้อย่างรวดเร็วหากถูกโจมตี

สรุปส่วนนี้: กลุ่มนี้คือเรื่องของ "วิธีการ" มันคือกลไกในการตรวจจับ วัดผล และหยุดยั้งความเสี่ยงก่อนที่จะกลายเป็นหายนะ

กลุ่มที่ 3: ความยืดหยุ่นของธุรกิจและการเปิดเผยข้อมูล

หลักการที่ 11: การดำเนินธุรกิจอย่างต่อเนื่องและความยืดหยุ่น (Business Continuity and Resilience)

นี่คือจุดที่โฟกัสเรื่อง ความยืดหยุ่นทางปฏิบัติการ โดดเด่นที่สุด การแค่มีข้อมูลสำรองไม่เพียงพอ คุณต้องมั่นใจว่า การปฏิบัติงานที่สำคัญ (Critical Operations) (เช่น การประมวลผลการชำระเงิน) สามารถดำเนินต่อไปได้แม้จะเกิดหายนะครั้งใหญ่ เช่น น้ำท่วม หรือไฟฟ้าดับเป็นวงกว้าง

หลักการที่ 12: การเปิดเผยข้อมูลต่อสาธารณะ (Public Disclosure)

ความโปร่งใสคือหัวใจสำคัญ ธนาคารต้อง เปิดเผย แนวทางการจัดการความเสี่ยงด้านปฏิบัติการให้สาธารณชนรับทราบ เพื่อให้นักลงทุนและหน่วยงานกำกับดูแลเห็นว่าธนาคารมีการบริหารจัดการที่ปลอดภัย

โมเดล "สามแนวป้องกัน" (Three Lines of Defense)

นี่คือแนวคิดพื้นฐานสำหรับ FRM Part II คุณต้องรู้ว่าใครทำหน้าที่อะไร!

1. แนวป้องกันที่ 1 (หน่วยธุรกิจ): คนที่ทำงานจริง พวกเขาคือ "เจ้าของ" ความเสี่ยง ตัวอย่าง: เจ้าหน้าที่สินเชื่อ
2. แนวป้องกันที่ 2 (การจัดการความเสี่ยงและการปฏิบัติตามกฎ): คนที่วางกฎและตรวจสอบแนวป้องกันแรก พวกเขาทำหน้าที่ ท้าทายอย่างเป็นอิสระ (Independent Challenge)
3. แนวป้องกันที่ 3 (ตรวจสอบภายใน): "ตำรวจ" ขององค์กร พวกเขาให้ ความเชื่อมั่นอย่างเป็นอิสระ (Independent Assurance) ต่อคณะกรรมการว่าแนวป้องกันที่ 1 และ 2 กำลังทำงานได้ถูกต้อง

รู้หรือไม่? ในหลักการฉบับปรับปรุงใหม่ แนวป้องกันที่ 2 ถูกคาดหวังให้มีความกระตือรือร้นในการท้าทายหน่วยธุรกิจมากขึ้น แทนที่จะเป็นเพียงการติ๊กถูกในรายการตรวจสอบเท่านั้น

ประเด็นสำคัญสำหรับวันสอบ

เพื่อให้ประสบความสำเร็จในหัวข้อนี้ จำธีมหลักเหล่านี้ให้ขึ้นใจครับ:

- คณะกรรมการ ทำหน้าที่อนุมัติและกำกับดูแล; ผู้บริหารระดับสูง ทำหน้าที่นำไปปฏิบัติ
- วัฒนธรรมองค์กร คือจุดเริ่มต้นของทุกสิ่ง
- ความยืดหยุ่นทางปฏิบัติการ หมายถึงการสามารถให้บริการที่สำคัญได้ ในขณะที่ เกิดเหตุขัดข้อง ไม่ใช่แค่การกู้คืนหลังจากนั้น
- ความเสี่ยงด้าน ICT และไซเบอร์ ถูกจัดเป็นเสาหลักที่สำคัญของความเสี่ยงด้านปฏิบัติการในปัจจุบัน
- สามแนวป้องกัน ต้องมีความเป็นอิสระต่อกันจึงจะทำงานได้อย่างมีประสิทธิภาพ

ถ้ารู้สึกว่าหลักการบางข้อดูคล้ายกันในตอนแรก ไม่ต้องกังวลนะ... แค่จำไว้ว่า: การกำกับดูแลสร้างมาตรฐาน การประเมินค้นหาปัญหา การควบคุมแก้ไขปัญหา และความยืดหยุ่นจะรับประกันว่าธนาคารจะอยู่รอดผ่านปัญหาเหล่านั้นไปได้!