การบริหารจัดการความเสี่ยง (ERM และ COSO)
- การบริหารความเสี่ยงระดับองค์กร (Enterprise Risk Management) หมายถึง กระบวนการที่บุคลากรทั่วทั้งองค์กรได้มีส่วนร่วมในการคิด วิเคราะห์ และคาดการณ์ถึงเหตุการณ์ หรือความเสี่ยงที่อาจจะเกิดขึ้น รวมทั้งการระบุแนวทางในการจัดการกับความเสี่ยงดังกล่าว ให้อยู่ในระดับที่เหมาะสมหรือยอมรับได้ เพื่อช่วยให้องค์กรบรรลุในวัตถุประสงค์ที่ต้องการ ตามกรอบวิสัยทัศน์ และพันธกิจขององค์กร
กรอบการบริหารความเสี่ยงองค์กรนั้น
สามารถสะท้อนให้เห็นถึงนโยบายการบริหารจัดการ และการกำกับดูแลกิจการของแต่ละองค์กร
โดยหากองค์กรมีการบริหารความเสี่ยงอย่างมีประสิทธิภาพ
จะส่งผลให้สามารถบรรลุวัตถุประสงค์องค์กร
ทั้งในเชิงประสิทธิภาพและประสิทธิผลของงาน
- การบริหารความเสี่ยงตามมาตรฐาน COSO ประกอบด้วยองค์ประกอบ 8 ประการ ซึ่งครอบคลุมแนวทางการกำหนดนโยบายการบริหารงาน การดำเนินงาน และการบริหารความเสี่ยง ดังนี้
1) สภาพแวดล้อมภายในองค์กร (Internal
Environment)
สภาพแวดล้อมขององค์กรเป็นองค์ประกอบที่สำคัญ
ในการกำหนดกรอบบริหารความเสี่ยง ประกอบด้วยปัจจัยหลายประการ เช่น วัฒนธรรมองค์กร
นโยบายของผู้บริหาร แนวทางการปฏิบัติงานบุคลากร กระบวนการทำงาน ระบบสารสนเทศ
ระเบียบ เป็นต้น
สภาพแวดล้อมภายในองค์กรประกอบเป็นพื้นฐานสำคัญในการกำหนดทิศทางของกรอบการบริหารความเสี่ยงขององค์กร
2) การกำหนดวัตถุประสงค์ (Objective
Setting)
องค์กรต้องพิจารณากำหนดวัตถุประสงค์ในการบริหารความเสี่ยง
ให้มีความสอดคล้องกับกลยุทธ์และความเสี่ยงที่องค์กรยอมรับได้
เพื่อวางเป้าหมายในการบริหารความเสี่ยงขององค์กรได้อย่างชัดเจน
และเหมาะสม
3) การบ่งชี้เหตุการณ์ (Event
Identification)
เป็นการรวบรวมเหตุการณ์ที่อาจเกิดขึ้นกับหน่วยงาน
ทั้งในส่วนของปัจจัยเสี่ยงที่เกิดจากภายในและภายนอกองค์กร เช่น นโยบายบริหารงาน
บุคลากร การปฏิบัติงาน การเงิน ระบบสารสนเทศ ระเบียบ กฎหมาย ระบบบัญชี ภาษีอากร
ทั้งนี้เพื่อทำความเข้าใจต่อเหตุการณ์และสถานการณ์นั้น
เพื่อให้ผู้บริหารสามารถพิจารณากำหนดแนวทางและนโยบายในการจัดการกับความเสี่ยงที่อาจจะเกิดขึ้นได้เป็นอย่างดี
4) การประเมินความเสี่ยง (Risk
Assessment)
การประเมินความเสี่ยงเป็นการจำแนกและพิจารณาจัดลำดับความสำคัญของความเสี่ยงที่มีอยู่
โดยการประเมินจากโอกาสที่จะเกิด (Likelihood) และผลกระทบ (Impact)
โดยสามารถประเมินความเสี่ยงได้ทั้งจากปัจจัยความเสี่ยงภายนอกและปัจจัยความเสี่ยงภายในองค์กร
5) การตอบสนองความเสี่ยง (Risk
Response)
เป็นการดำเนินการหลังจากที่องค์กรสามารถบ่งชี้ความเสี่ยงขององค์กร
และประเมินความสำคัญของความเสี่ยงแล้ว
โดยจะต้องนำความเสี่ยงไปดำเนินการตอบสนองด้วยวิธีการที่เหมาะสม
เพื่อลดความสูญเสียหรือโอกาสที่จะเกิดผลกระทบให้อยู่ในระดับที่องค์กรยอมรับได้
6) กิจกรรมการควบคุม (Control
Activities)
การกำหนดกิจกรรมและการปฏิบัติต่างๆ
ที่กระทำเพื่อลดความเสี่ยง
และทำให้การดำเนินงานบรรลุตามวัตถุประสงค์และเป้าหมายขององค์กร เช่น
การกำหนดกระบวนการปฏิบัติงานที่เกี่ยวข้องกับการจัดการความเสี่ยงให้กับบุคลากรภายในองค์กร
เพื่อเป็นการสร้างความมั่นใจว่าจะสามารถจัดการกับความเสี่ยงนั้นได้อย่างถูกต้องและเป็นไปตามเป้าหมายที่กำหนด
7) สารสนเทศและการสื่อสาร (Information and
Communication)
องค์กรจะต้องมีระบบสารสนเทศและการติดต่อสื่อสารที่มีประสิทธิภาพ
เพราะเป็นพื้นฐานสำคัญที่จะนำไปพิจารณาดำเนินการบริหารความเสี่ยงให้เป็นไปตามกรอบ
และขั้นตอนการปฏิบัติที่องค์กรกำหนด
8) การติดตามประเมินผล
(Monitoring)
องค์กรจะต้องมีการติดตามผล
เพื่อให้ทราบถึงผลการดำเนินการว่ามีความเหมาะสมและสามารถจัดการความเสี่ยงได้อย่างมีประสิทธิภาพหรือไม่
ไม่มีความคิดเห็น:
แสดงความคิดเห็น