ยินดีต้อนรับสู่การบริหารความเสี่ยงระดับองค์กร (Enterprise Risk Management - ERM)!

สวัสดีครับ! ยินดีต้อนรับสู่จุดเริ่มต้นของการเดินทางเข้าสู่โลกของ ความเสี่ยงด้านปฏิบัติการและความยืดหยุ่นทางธุรกิจ (Operational Risk and Resilience) หากคุณรู้สึกว่าเนื้อหาของ Part II ดูซับซ้อนจนน่าหนักใจ ไม่ต้องกังวลนะครับ บทนี้ที่ชื่อว่า "ERM คืออะไร?" จะเป็นบทที่ช่วยให้คุณเห็น "ภาพรวม" ทั้งหมด มันไม่ใช่เรื่องของสูตรคำนวณที่ยุ่งยาก แต่เป็นเรื่องของแนวคิดที่ว่าบริษัทหนึ่งแห่งจะคิด วางแผน และบริหารจัดการความเสี่ยงในฐานะองค์กรที่เป็นอันหนึ่งอันเดียวกันได้อย่างไร การเข้าใจ ERM นั้นสำคัญมาก เพราะความเสี่ยงด้านปฏิบัติการไม่ได้เกิดขึ้นแบบแยกส่วน แต่มันส่งผลกระทบต่อทุกภาคส่วนของบริษัทเลยครับ

1. ERM คืออะไรกันแน่?

ในอดีต ธนาคารมักบริหารความเสี่ยงแบบ "แยกส่วน" (Silos) เช่น ทีมสินเชื่อดูแค่เรื่องเงินกู้ ทีมตลาดดูแค่เรื่องอัตราดอกเบี้ย และทีมปฏิบัติการดูแค่เรื่องระบบ IT ล่ม ซึ่งแต่ละทีมแทบไม่ได้คุยกันเลย แต่ การบริหารความเสี่ยงระดับองค์กร (Enterprise Risk Management หรือ ERM) นั้นตรงกันข้ามครับ มันคือกรอบแนวคิดแบบบูรณาการที่ครอบคลุมการบริหารจัดการความเสี่ยง ทั้งหมด ทั่วทั้งองค์กร เพื่อช่วยให้บริษัทบรรลุเป้าหมายที่ตั้งไว้

ลองจินตนาการแบบนี้ครับ: ลองนึกภาพทีมพายเรือกรรเชียง ถ้าฝีพายทุกคนสนใจแต่พายของตัวเองโดยไม่สนใจจังหวะของคนอื่น เรือก็จะหมุนวนอยู่กับที่ ERM ก็เปรียบเสมือน "คนคุมจังหวะเรือ" (Coxswain) ที่นั่งอยู่หัวเรือ คอยทำให้ทุกคนพายไปในทิศทางเดียวกันและพร้อมเพรียงกันเพื่อเข้าเส้นชัยครับ

ความแตกต่างที่สำคัญ: การจัดการแบบแยกส่วน (Silo-Based) vs. ERM

• แบบแยกส่วน (Silo-Based): บริหารความเสี่ยงแยกกัน ไม่มี "บัญชีรวม" ของความเสี่ยง การตัดสินใจเกิดขึ้นแค่ในระดับแผนก
• แบบ ERM: มองความเสี่ยงเป็นพอร์ตโฟลิโอ บริษัทจะพิจารณาว่าความเสี่ยงต่างๆ ส่งผลกระทบต่อกันอย่างไร และตัดสินใจโดยอิงจาก ความเสี่ยงที่ยอมรับได้ (Risk Appetite) ของทั้งองค์กร

สรุปสั้นๆ: ERM ไม่ได้หมายถึงการ "หลีกเลี่ยง" ความเสี่ยงเพียงอย่างเดียว แต่คือการบริหารความเสี่ยงเพื่อสร้างมูลค่าและรับประกันว่าบริษัทจะยังคงความยืดหยุ่น (Resilience) ไว้ได้แม้ในยามวิกฤตครับ

2. บทบาทของประธานเจ้าหน้าที่บริหารความเสี่ยง (CRO)

เรือทุกลำต้องการกัปตัน และในโลกของ ERM คนคนนั้นคือ ประธานเจ้าหน้าที่บริหารความเสี่ยง (Chief Risk Officer หรือ CRO) ซึ่งเป็นตำแหน่งผู้บริหารที่ค่อนข้างใหม่ ออกแบบมาเพื่อทำลายกำแพงของระบบงานแบบแยกส่วนที่เราพูดถึงก่อนหน้านี้ครับ

แล้ว CRO ทำหน้าที่อะไรบ้าง?
1. เป็นกระบอกเสียงหนึ่งเดียว: สื่อสารภาพรวมความเสี่ยงทั้งหมดให้กับคณะกรรมการบริษัท (Board of Directors)
2. สร้างวัฒนธรรมองค์กร: ช่วยสร้าง "วัฒนธรรมที่ตระหนักถึงความเสี่ยง" ซึ่งพนักงานจะรู้สึกสบายใจที่จะรายงานปัญหาที่อาจเกิดขึ้น
3. รักษาสมดุลระหว่างความเสี่ยงและผลตอบแทน: ดูแลไม่ให้บริษัทรับความเสี่ยงมากเกินไปเพียงเพื่อไล่ตามผลกำไรระยะสั้น

ข้อผิดพลาดที่พบบ่อย: นักเรียนหลายคนเข้าใจผิดว่า CRO เป็นคน รับ ความเสี่ยง ซึ่งจริงๆ แล้วไม่ใช่ครับ! ผู้จัดการธุรกิจ (ซึ่งเปรียบเสมือน "ปราการด่านแรก" หรือ First Line of Defense) คือคนที่รับความเสี่ยง ส่วน CRO มีหน้าที่ให้ การกำกับดูแล (Oversight) และจัดหา เครื่องมือ ในการบริหารจัดการความเสี่ยงเหล่านั้นครับ

3. ความเสี่ยงที่ยอมรับได้ (Risk Appetite) vs. ขอบเขตความเสี่ยง (Risk Tolerance)

สองคำนี้ฟังดูคล้ายกันมาก แต่ข้อสอบ FRM ชอบทดสอบความแตกต่างนี้สุดๆ เรามาทำความเข้าใจให้ชัดเจนกันครับ

Risk Appetite (ความเสี่ยงที่ยอมรับได้): คือปริมาณและประเภทของความเสี่ยงในภาพกว้างที่บริษัท เต็มใจ จะรับเพื่อบรรลุวัตถุประสงค์ เป็นการกำหนดในระดับนโยบายระดับสูง
ตัวอย่าง: "เรายินดีที่จะรับความเสี่ยงด้าน IT ในระดับปานกลาง เพื่อที่จะเป็นผู้นำตลาดด้านนวัตกรรมธนาคารดิจิทัล"

Risk Tolerance (ขอบเขตความเสี่ยง): คือขอบเขตหรือเกณฑ์ที่วัดผลได้จริงซึ่งกำหนดขึ้นโดยอิงจาก Risk Appetite มันจะดูเป็นรูปธรรมและเกี่ยวข้องกับการปฏิบัติงานมากกว่า
ตัวอย่าง: "แอปพลิเคชันบนมือถือของเราจะต้องใช้งานได้ 99.9% ของเวลาทั้งหมด และการล่มของระบบ IT แต่ละครั้งจะต้องใช้เวลาแก้ไขไม่เกิน 30 นาที"

เทคนิคจำง่ายๆ:
• Appetite = Ambition (ความทะเยอทะยานในภาพใหญ่ที่ "กระหาย" จะรับความเสี่ยง)
• Tolerance = Threshold (เส้นเขตแดนหรือเกณฑ์เฉพาะที่ "ขีดไว้ไม่ให้ก้าวข้าม")

คุณทราบหรือไม่? ความเสี่ยงที่ยอมรับได้ของบริษัทสามารถเปลี่ยนแปลงได้ตามกาลเวลา หากธนาคารมีเงินทุนส่วนเกินมาก ความเสี่ยงที่ยอมรับได้อาจเพิ่มขึ้น แต่หากเศรษฐกิจเข้าสู่ภาวะถดถอย ความเสี่ยงที่ยอมรับได้ก็อาจลดลงครับ

4. องค์ประกอบของกรอบแนวคิด ERM

เพื่อให้ ERM ทำงานได้จริง คุณต้องมีโครงสร้าง กรอบแนวคิด ERM สมัยใหม่ส่วนใหญ่ (เช่น COSO Framework) จะเน้นไปที่เสาหลักสำคัญดังนี้ครับ:

A. การกำกับดูแลและวัฒนธรรม (Governance and Culture)

นี่คือรากฐานสำคัญ เป็นเรื่องของว่าใครเป็นผู้รับผิดชอบ (คณะกรรมการ) และ "ทัศนคติจากเบื้องบน" (Tone at the top) เป็นอย่างไร หาก CEO ไม่สนใจความเสี่ยง คนอื่นในองค์กรก็จะไม่สนใจเช่นกัน การกำกับดูแลช่วยให้มั่นใจว่าการบริหารความเสี่ยงมีบทบาทสำคัญในที่ประชุมตัดสินใจ

B. กลยุทธ์และการกำหนดวัตถุประสงค์ (Strategy and Objective Setting)

การบริหารความเสี่ยงไม่ควรเป็นแค่เรื่องที่นึกถึงในตอนท้าย แต่ต้องเป็นส่วนหนึ่งของกระบวนการวางแผน หากธนาคารต้องการขยายธุรกิจไปต่างประเทศ ERM จะช่วยวิเคราะห์ความเสี่ยงด้านการเมืองและด้านปฏิบัติการ ก่อน ที่จะเริ่มดำเนินการครับ

C. การดำเนินงานและการระบุความเสี่ยง (Performance and Risk Identification)

จุดนี้คือการลงมือทำจริง บริษัทต้องระบุความเสี่ยง ประเมินว่าใหญ่แค่ไหน (โดยใช้ ผลกระทบ (Impact) และ โอกาสที่จะเกิดขึ้น (Likelihood)) และจัดลำดับความสำคัญ
บริบทของสูตรคำนวณ: เรามักจะพิจารณา ความเสียหายที่คาดว่าจะเกิดขึ้น (Expected Loss - EL) และ ความเสียหายที่ไม่คาดคิด (Unexpected Loss - UL) โดยมีสูตรคือ \( EL = PD \times EAD \times LGD \) ซึ่ง ERM จะให้ความสำคัญอย่างมากกับส่วนของ ความเสียหายที่ไม่คาดคิด (Unexpected Loss) ครับ!

D. ข้อมูล การสื่อสาร และการรายงาน (Information, Communication, and Reporting)

ข้อมูลคือลมหายใจของ ERM ครับ CRO ต้องการรายงานที่มีคุณภาพเพื่อดูว่ามีแผนกใดที่กำลังเข้าใกล้ขีดจำกัดของ Risk Tolerance หรือไม่ หากข้อมูลไม่มีประสิทธิภาพ ระบบ ERM ก็ไร้ค่าครับ

ประเด็นสำคัญ: ERM คือวงจรที่ต้องทำอย่างต่อเนื่อง ไม่ใช่โปรเจกต์ที่ทำครั้งเดียวจบ มันต้องการการติดตามและปรับเปลี่ยนอยู่ตลอดเวลาครับ

5. ทำไม ERM ถึงสำคัญต่อความยืดหยุ่นทางธุรกิจ (Operational Resilience)

เนื่องจากเราอยู่ในหัวข้อ "ความเสี่ยงด้านปฏิบัติการและความยืดหยุ่นทางธุรกิจ" มาลองเชื่อมโยงจุดต่างๆ เข้าด้วยกันครับ ความยืดหยุ่นทางธุรกิจ (Operational Resilience) คือความสามารถของบริษัทในการรองรับแรงกระแทก (เช่น การโจมตีทางไซเบอร์หรือโรคระบาด) และดำเนินธุรกิจต่อไปได้

ERM ช่วยเสริมสร้างความยืดหยุ่นโดย:
• ระบุ ความเชื่อมโยงระหว่างกัน (Interdependencies) (เช่น "ถ้าผู้ให้บริการภายนอกรายนี้หยุดชะงัก สาขาของเรา 40% จะไม่สามารถทำรายการชำระเงินได้")
• รับประกันว่ามี เงินทุน (Capital) และ สภาพคล่อง (Liquidity) เพียงพอที่จะอยู่รอดเมื่อเกิดภัยพิบัติด้านปฏิบัติการ
• ปรับปรุง การสื่อสาร เพื่อให้มั่นใจว่าในช่วงวิกฤต ทุกคนรู้ว่าต้องติดต่อใครและแผนรับมือคืออะไร

ถ้าอ่านแล้วรู้สึกว่าดูเป็นนามธรรมไปบ้าง ไม่ต้องกังวลนะครับ! ในบทต่อๆ ไป คุณจะได้เห็นว่าหลักการ ERM เหล่านี้ถูกนำไปประยุกต์ใช้กับปัญหาเฉพาะหน้าอย่างไร เช่น ความเสี่ยงด้านไซเบอร์ ความเสี่ยงด้านโมเดล และการทดสอบภาวะวิกฤต (Stress Testing)

6. สรุปและเคล็ดลับสุดท้าย

กรอบทบทวนด่วน:
• ERM = การบริหารความเสี่ยงแบบบูรณาการทั่วทั้งองค์กร
• CRO = ผู้บริหารระดับสูงที่ดูแลกระบวนการ ERM
• Risk Appetite = ความเต็มใจรับความเสี่ยงในภาพรวม
• Risk Tolerance = ขีดจำกัดที่วัดผลได้จริงในทางปฏิบัติ
• เป้าหมาย = เพื่อปกป้องมูลค่าของบริษัทและให้มั่นใจว่าบริษัทจะอยู่รอดเมื่อเกิดเหตุการณ์ที่ไม่คาดคิด (Resilience)

เคล็ดลับสุดท้ายสำหรับการสอบ: หากคุณเจอคำถามที่ถามว่าวิธีบริหารความเสี่ยงที่ "ดีที่สุด" คืออะไร ให้มองหาคำตอบที่กล่าวถึง การบูรณาการ (Integration), การมองแบบองค์รวม (Holistic views), หรือ การสอดคล้องกับกลยุทธ์ (Alignment with strategy) เพราะนั่นคือจุดเด่นสำคัญของ ERM ครับ!