การบริหารความเสี่ยง คืออะไร? ทำไมทุกองค์กรควรมี Risk Management

ทำไม Risk Management จึงสำคัญต่อการดำเนินธุรกิจ

ในโลกธุรกิจที่เต็มไปด้วยความเปลี่ยนแปลง องค์กรไม่สามารถพิจารณาเฉพาะโอกาสในการเติบโตได้เพียงด้านเดียว แต่ต้องประเมินความเสี่ยงที่อาจทำให้กลยุทธ์ แผนงาน หรือการดำเนินงานไม่เป็นไปตามเป้าหมายควบคู่กันไป

ความเสี่ยงอาจเกิดจากหลายด้าน เช่น การเงิน การดำเนินงาน บุคลากร เทคโนโลยี กฎหมาย ชื่อเสียง ห่วงโซ่อุปทาน ตลอดจนเหตุการณ์ภายนอกที่องค์กรไม่สามารถควบคุมได้โดยตรง หากองค์กรไม่มีข้อมูลหรือแนวทางรับมือที่เหมาะสม เหตุการณ์เหล่านี้อาจส่งผลต่อการดำเนินงาน การตัดสินใจ และการบรรลุวัตถุประสงค์ขององค์กร

Risk Management หรือการบริหารความเสี่ยง จึงไม่ได้หมายถึงการทำให้องค์กรปราศจากความเสี่ยง แต่เป็นการช่วยให้องค์กรเข้าใจว่าอะไรอาจเกิดขึ้น ประเมินผลกระทบ กำหนดแนวทางจัดการ และติดตามการเปลี่ยนแปลงของความเสี่ยงอย่างเป็นระบบ

การดำเนินธุรกิจทุกประเภทต้องเผชิญกับความไม่แน่นอน ทั้งจากปัจจัยภายในและปัจจัยภายนอก การบริหารความเสี่ยงช่วยให้องค์กรพิจารณาความไม่แน่นอนเหล่านั้นอย่างมีโครงสร้าง แทนที่จะรอให้เกิดปัญหาแล้วจึงดำเนินการแก้ไข

ISO 31000:2018 ให้แนวทางการบริหารความเสี่ยงที่ครอบคลุมการระบุ วิเคราะห์ ประเมิน จัดการ ติดตาม และสื่อสารความเสี่ยง พร้อมเน้นให้บูรณาการการบริหารความเสี่ยงเข้ากับ Governance, Strategy, Planning, Reporting และการตัดสินใจขององค์กร

แนวทางดังกล่าวยังสามารถนำไปปรับใช้กับองค์กรได้หลายประเภท โดยไม่ได้จำกัดเฉพาะองค์กรขนาดใหญ่ บริษัทจดทะเบียน หรือธุรกิจในอุตสาหกรรมที่อยู่ภายใต้การกำกับดูแลเท่านั้น

การบริหารความเสี่ยง (Risk Management) คืออะไร?

ISO ใช้นิยามความเสี่ยงในความหมายของ ผลกระทบจากความไม่แน่นอนต่อวัตถุประสงค์ โดยผลกระทบดังกล่าวอาจเป็นการเบี่ยงเบนจากสิ่งที่คาดหวังได้ทั้งในด้านบวกและด้านลบ ดังนั้น ความเสี่ยงจึงไม่ได้หมายถึงเหตุการณ์ที่ก่อให้เกิดความเสียหายเท่านั้น แต่ยังรวมถึงความไม่แน่นอนที่อาจสร้างโอกาสให้แก่องค์กรด้วย

• ความเสี่ยงด้านลบ : เหตุการณ์หรือเงื่อนไขที่อาจทำให้องค์กรไม่บรรลุวัตถุประสงค์ เกิดความเสียหาย หรือทำให้การดำเนินงานหยุดชะงัก เช่น ระบบสารสนเทศขัดข้อง ค่าใช้จ่ายเพิ่มสูงขึ้น การสูญเสียบุคลากรสำคัญ หรือการไม่ปฏิบัติตามข้อกำหนดที่เกี่ยวข้อง
• ความเสี่ยงด้านโอกาส : ความไม่แน่นอนที่อาจสร้างประโยชน์หรือโอกาสทางธุรกิจ เช่น ความต้องการของตลาดที่เปลี่ยนแปลง เทคโนโลยีใหม่ ช่องทางการให้บริการรูปแบบใหม่ หรือโอกาสในการขยายธุรกิจไปยังตลาดใหม่

นิยามของการบริหารความเสี่ยง 

การบริหารความเสี่ยง คือ กระบวนการที่องค์กรใช้เพื่อระบุ วิเคราะห์ ประเมิน จัดลำดับ และกำหนดแนวทางจัดการความเสี่ยงให้อยู่ในระดับที่เหมาะสมกับวัตถุประสงค์และระดับความเสี่ยงที่องค์กรยอมรับได้

กระบวนการดังกล่าวควรรวมถึงการกำหนดผู้รับผิดชอบ การจัดทำแผนจัดการความเสี่ยง การติดตามตัวชี้วัด ตลอดจนการรายงานและทบทวนความเสี่ยงเมื่อบริบทขององค์กรเปลี่ยนแปลง

การบริหารความเสี่ยงที่มีประสิทธิผลจึงไม่ควรเป็นเพียงเอกสารหรือกิจกรรมประจำปี แต่ควรเชื่อมโยงกับการกำหนดกลยุทธ์ การจัดทำแผนธุรกิจ การตัดสินใจ การควบคุมภายใน และการติดตามผลการดำเนินงาน

7 เหตุผลที่องค์กรควรมี Risk Management

ผู้บริหารหลายๆคนมักมองว่าการจัดทำระบบบริหารความเสี่ยงเป็นเรื่องยุ่งยาก ใช้เวลา และ เพิ่มต้นทุนโดยไม่จำเป็น แต่ในความเป็นจริง "ต้นทุนของการไม่บริหารความเสี่ยงนั้น สูงกว่าต้นทุนในการบริหารความเสี่ยงหลายเท่าเสมอ" และ นี่คือ 7 เหตุผลหลักที่แสดงให้เห็นว่าทำไมทุกองค์กรต้องมี Risk Management 

1. ช่วยป้องกันและลดผลกระทบจากความเสียหาย

การระบุความเสี่ยงล่วงหน้าช่วยให้องค์กรกำหนดมาตรการป้องกันหรือแผนรองรับก่อนเกิดเหตุ เช่น การสำรองข้อมูล การจัดทำแผนความต่อเนื่องทางธุรกิจ การบริหารสภาพคล่อง หรือการจัดทำประกันภัยตามความเหมาะสม

การบริหารความเสี่ยงไม่สามารถรับรองว่าจะไม่เกิดความเสียหาย แต่ช่วยลดโอกาสเกิดเหตุ ลดระดับผลกระทบ และเพิ่มความพร้อมในการตอบสนองเมื่อเกิดเหตุการณ์ขึ้น

2. สนับสนุนการตัดสินใจเชิงกลยุทธ์

การวิเคราะห์ความเสี่ยงช่วยให้ผู้บริหารพิจารณาทั้งผลตอบแทนที่คาดหวังและความไม่แน่นอนที่เกี่ยวข้องก่อนตัดสินใจ เช่น การลงทุน การขยายตลาด การพัฒนาผลิตภัณฑ์ หรือการนำเทคโนโลยีใหม่มาใช้ ข้อมูลความเสี่ยงที่เหมาะสมช่วยให้องค์กรเปรียบเทียบทางเลือก จัดสรรทรัพยากร และกำหนดมาตรการรองรับได้อย่างรอบคอบมากขึ้น

3. เพิ่มความยืดหยุ่นและความสามารถในการฟื้นตัว

องค์กรที่มีแผนรองรับเหตุการณ์สำคัญจะสามารถตอบสนองต่อภาวะวิกฤตได้อย่างมีโครงสร้างมากขึ้น เช่น ภัยธรรมชาติ การหยุดชะงักของระบบเทคโนโลยี การขาดแคลนวัตถุดิบ หรือปัญหาจากคู่ค้ารายสำคัญ การบริหารความเสี่ยงควรเชื่อมโยงกับ Business Continuity Management และ Crisis Management ตามลักษณะและความสำคัญของกระบวนการทางธุรกิจ

4. ช่วยปกป้องชื่อเสียงและความเชื่อมั่น

เหตุการณ์ด้านคุณภาพสินค้า ความปลอดภัยของข้อมูล การให้บริการ หรือการปฏิบัติต่อผู้มีส่วนได้เสียอาจส่งผลต่อชื่อเสียงขององค์กรได้อย่างรวดเร็ว การกำหนดมาตรการควบคุม ช่องทางการรายงานเหตุ และแนวทางตอบสนองที่ชัดเจน ช่วยให้องค์กรตรวจพบและจัดการเหตุการณ์ได้เหมาะสมยิ่งขึ้น

5. สนับสนุนการปฏิบัติตามกฎหมายและข้อกำหนด

องค์กรควรระบุกฎหมาย หลักเกณฑ์ สัญญา และข้อกำหนดที่เกี่ยวข้องกับธุรกิจ พร้อมประเมินความเสี่ยงจากการไม่ปฏิบัติตาม และกำหนดเจ้าของความเสี่ยงหรือหน่วยงานรับผิดชอบให้ชัดเจน ข้อกำหนดด้านความเสี่ยงแตกต่างกันตามอุตสาหกรรม ตัวอย่างเช่น สำนักงาน ก.ล.ต. กำหนดหลักการให้คณะกรรมการดูแลระบบบริหารความเสี่ยงและการควบคุมภายในให้สอดคล้องกับวัตถุประสงค์ เป้าหมาย กลยุทธ์ กฎหมาย และมาตรฐานที่เกี่ยวข้อง ส่วนธนาคารแห่งประเทศไทยมีหลักเกณฑ์เฉพาะเกี่ยวกับการกำกับดูแลความเสี่ยงด้านเทคโนโลยีสารสนเทศสำหรับกิจการภายใต้ขอบเขตการกำกับดูแล

6. สร้างความเชื่อมั่นแก่ผู้มีส่วนได้เสีย

ระบบบริหารความเสี่ยงที่มีบทบาท หน้าที่ กระบวนการติดตาม และการรายงานที่ชัดเจน ช่วยให้คณะกรรมการ ผู้บริหาร ผู้ถือหุ้น นักลงทุน คู่ค้า และผู้มีส่วนได้เสียเห็นว่าองค์กรมีแนวทางรับมือกับความไม่แน่นอนอย่างเป็นระบบ

ในบริบทของบริษัทจดทะเบียน แนวทางการกำกับดูแลกิจการของสำนักงาน ก.ล.ต. ให้ความสำคัญกับระบบบริหารความเสี่ยง การควบคุมภายใน คณะกรรมการตรวจสอบ ความขัดแย้งทางผลประโยชน์ นโยบายต่อต้านคอร์รัปชัน และกลไกรับเรื่องร้องเรียน

7. สนับสนุนการแสวงหาโอกาสทางธุรกิจ

การบริหารความเสี่ยงไม่ควรทำให้องค์กรหลีกเลี่ยงการลงทุนหรือการเปลี่ยนแปลงทุกประเภท แต่ควรช่วยให้องค์กรเข้าใจผลกระทบของแต่ละทางเลือกก่อนตัดสินใจ เมื่อองค์กรทราบระดับความเสี่ยงที่ยอมรับได้ สามารถประเมินสถานการณ์ และมีมาตรการรองรับที่เหมาะสม องค์กรจะสามารถตัดสินใจรับความเสี่ยงอย่างมีเหตุผล เพื่อสนับสนุนการเติบโต นวัตกรรม และโอกาสทางธุรกิจใหม่

องค์กรควรเริ่มต้นบริหารความเสี่ยงอย่างไร

องค์กรสามารถเริ่มพัฒนาระบบ Risk Management ผ่านขั้นตอนสำคัญดังนี้

1. กำหนดวัตถุประสงค์และบริบทขององค์กร

องค์กรต้องเข้าใจเป้าหมาย กลยุทธ์ กระบวนการสำคัญ ผู้มีส่วนได้เสีย และปัจจัยแวดล้อมที่อาจส่งผลต่อการบรรลุวัตถุประสงค์

2. ระบุความเสี่ยง

ระบุเหตุการณ์ สาเหตุ และผลกระทบที่อาจเกิดขึ้น โดยพิจารณาทั้งความเสี่ยงด้านกลยุทธ์ การเงิน การดำเนินงาน กฎหมาย บุคลากร เทคโนโลยี และชื่อเสียง

3. วิเคราะห์และประเมินความเสี่ยง

ประเมินโอกาสเกิดและผลกระทบ รวมถึงพิจารณามาตรการควบคุมที่มีอยู่ เพื่อจัดลำดับความเสี่ยงและระบุประเด็นที่ต้องดำเนินการก่อน

4. กำหนดแนวทางจัดการความเสี่ยง

ทางเลือกอาจประกอบด้วยการหลีกเลี่ยง ลด โอนหรือแบ่งปัน และยอมรับความเสี่ยง โดยต้องพิจารณาให้เหมาะสมกับระดับความเสี่ยงที่องค์กรยอมรับได้

5. กำหนดเจ้าของความเสี่ยงและแผนดำเนินงาน

แต่ละความเสี่ยงควรมีผู้รับผิดชอบ มาตรการ ระยะเวลาดำเนินการ ตัวชี้วัด และแนวทางติดตามผลที่ชัดเจน

6. ติดตาม ทบทวน และรายงาน

องค์กรควรติดตามการเปลี่ยนแปลงของความเสี่ยง ประสิทธิผลของมาตรการ และความคืบหน้าของแผนจัดการความเสี่ยง พร้อมรายงานข้อมูลให้ผู้บริหารและคณะกรรมการตามระดับความสำคัญ ISO 31000 ครอบคลุมการกำหนด Scope, Context and Criteria, Risk Assessment, Risk Treatment, Monitoring and Review ตลอดจน Recording and Reporting

Risk Management ไม่ใช่กระบวนการที่มีเป้าหมายเพื่อกำจัดความเสี่ยงทั้งหมด แต่เป็นการช่วยให้องค์กรเข้าใจความไม่แน่นอน ตัดสินใจบนข้อมูลที่เหมาะสม และกำหนดวิธีรับมือให้สอดคล้องกับวัตถุประสงค์ทางธุรกิจ ระบบบริหารความเสี่ยงที่มีประสิทธิผลควรเชื่อมโยงกับการกำกับดูแลกิจการ กลยุทธ์ การควบคุมภายใน การตัดสินใจ และการติดตามผล ไม่ควรแยกเป็นกิจกรรมเฉพาะของหน่วยงานใดหน่วยงานหนึ่ง กล่าวได้ว่าการบริหารความเสี่ยงเปรียบเสมือนระบบควบคุมของรถที่ช่วยให้ผู้ขับขี่ตัดสินใจเพิ่มความเร็ว ชะลอ หรือเปลี่ยนทิศทางได้ตามสถานการณ์ เป้าหมายจึงไม่ใช่การหยุดรถไว้ตลอดเวลา แต่คือการเดินหน้าโดยเข้าใจเส้นทาง ข้อจำกัด และความเสี่ยงที่อยู่ข้างหน้า

บริการด้านการบริหารความเสี่ยงของ Signature Group

Signature Group สนับสนุนองค์กรในการประเมินและพัฒนาระบบการกำกับดูแล การบริหารความเสี่ยง และการควบคุมภายใน โดยเชื่อมโยงแนวทางบริหารความเสี่ยงเข้ากับบริบท เป้าหมาย และกระบวนการดำเนินงานขององค์กร ขอบเขตบริการสามารถครอบคลุมการประเมินระบบบริหารความเสี่ยง การกำหนด Risk Universe และ Risk Register การประเมินและจัดลำดับความเสี่ยง การกำหนด Risk Owner การพัฒนาแผนจัดการความเสี่ยง และการเชื่อมโยงผลการประเมินกับระบบควบคุมภายในและแผนตรวจสอบภายใน ทั้งนี้ ขอบเขตที่เหมาะสมควรพิจารณาตามความต้องการและบริบทของแต่ละองค์กร

ติดต่อสอบถาม

บริษัท ไอเอ ซิกเนเจอร์ จำกัด

324/ 8-10 หมู่บ้าน เวิร์ฟ เพชรเกษม 81 ถนนมาเจริญ แขวงหนองค้างพลู เขตหนองแขม กรุงเทพฯ 10160 

โทร. : 02-079-5499