การบริหารความเสี่ยง

1. การกำกับดูแลกิจการที่ดี การบริหารความเสี่ยง และการปฏิบัติตามกฎเกณฑ์

(Governance Risk and Compliance Policy : GRC)

 

กรอบแนวคิดสากล GRC ตามมาตรฐานสากล OCEG (GRC Capability Model)

 

 

 

 

 

 

 

 

 

2. การบริหารความเสี่ยงองค์กร

 

 

3. การบริหารความเสี่ยงด้านปฏิบัติการ 

 

              ธนาคารตระหนักถึงความสำคัญของการบริหารความเสี่ยงด้านปฏิบัติการโดยคณะกรรมการธนาคารได้อนุมัตินโยบายการบริหารความเสี่ยงด้านปฏิบัติการ และจัดให้มีการทบทวนนโยบายอย่างน้อยปีละครั้ง หรือเมื่อมีการเปลี่ยนแปลงอย่างมีนัยสำคัญ ทั้งนี้ กำหนดให้การบริหารความเสี่ยงด้านปฏิบัติการเป็นความรับผิดชอบของกรรมการ ผู้บริหาร และพนักงานทุกคน โดยให้ถือปฏิบัติเป็นส่วนหนึ่งของงานจนเกิดเป็นวัฒนธรรมองค์กรโดยมีสาระสำคัญ ดังนี้

นโยบายการบริหารความเสี่ยงด้านปฏิบัติการ

(Operational Risk Management Policy)

          ความเสี่ยงด้านปฏิบัติการ (Operational Risk) หมายความว่า ความเสี่ยงที่จะเกิดความเสียหายอันเนื่องมาจากการขาดการกำกับดูแลกิจการที่ดี หรือขาดธรรมาภิบาลในองค์กร และการขาดการควบคุมที่ดี โดยอาจเกี่ยวข้องกับกระบวนการปฏิบัติงานภายใน บุคลากร ระบบงาน หรือเหตุการณ์ภายนอก และส่งผลกระทบต่อรายได้ และเงินกองทุนของธนาคาร  ประเภทของความเสี่ยงด้านปฏิบัติการสามารถพิจารณาได้ตามสาเหตุของความเสี่ยง ได้แก่ ความเสี่ยงที่เกิดจากบุคลากร (People Risk) ความเสี่ยงที่เกิดจากกระบวนการปฏิบัติงาน (Process Risk) ความเสี่ยงที่เกิดจากเทคโนโลยี (Technology Risk) หรือความเสี่ยงที่เกิดจากเหตุการณ์ภายนอก (External Risk)

 

            คณะกรรมการ ธพว. หรือคณะกรรมการกำกับความเสี่ยงจะเป็นผู้กำหนดนโยบาย ขอบเขต และแผนกลยุทธ์ในการบริหารความเสี่ยงด้านปฏิบัติการของธนาคาร เพื่อให้การบริหารความเสี่ยงมีทิศทางที่ชัดเจน และช่วยให้ผู้บริหารระดับรองลงมาเข้าใจ และสามารถนำแผนกลยุทธ์ดังกล่าวไปใช้เป็นแนวทางในการบริหารความเสี่ยงภายในหน่วยงานที่ตนรับผิดชอบได้อย่างมีประสิทธิภาพ และสอดคล้องกันทั่วทั้งธนาคาร

กระบวนการบริหารความเสี่ยงด้านปฏิบัติการ

การระบุความเสี่ยง  ทุกหน่วยงานภายในธนาคารมีหน้าที่ระบุความเสี่ยง และทบทวนความเสี่ยงด้านปฏิบัติการ ที่ส่งผลกระทบต่อกระบวนการปฏิบัติงาน เช่น การออกผลิตภัณฑ์ใหม่ การออกกฎ ระเบียบของทางการ การปรับโครงสร้างการทำงาน

การระบุความเสี่ยงที่ทำให้เกิดเหตุการณ์ความเสียหาย แบ่งออกเป็น

1. เหตุการณ์ความเสียหายที่เป็นตัวเงิน (Financial Loss) หมายความว่า ความเสียหายที่เกิดขึ้นต่อธนาคาร และสามารถที่จะทราบถึงมูลค่าความเสียหายได้
2. เหตุการณ์ความเสียหายที่ไม่เป็นตัวเงิน (Non-Financial Loss) หมายความว่า ความเสียหายที่เกิดขึ้นแต่ไม่เสียหายเป็นตัวเงิน เช่น การทำให้เกิดการสูญเสียความเชื่อมั่นของสาธารณชน ซึ่งส่งผลกระทบต่อความน่าเชื่อถือในการดำเนินกิจการของธนาคาร เป็นต้น
3. เหตุการณ์ความเสียหายที่เกิดขึ้นในอดีต หรือเหตุการณ์ที่จะเกิดขึ้นแต่ธนาคารสามารถป้องกันความเสียหายไว้ได้ (Near-Miss)

 

 

การประเมินความเสี่ยง  ช่วยให้ทราบถึงระดับของความเสี่ยง ตลอดจนโอกาสที่เกิดเหตุการณ์ ซึ่งเป็นผลจากผู้ประเมินได้ทำการประเมินตนเองตามแบบประเมินความเสี่ยง และการควบคุมด้วยตนเอง (Risk Control Self-Assessment : RCSA) เนื่องจากผู้ประเมินจะเป็นผู้รู้ และเข้าใจความเสี่ยงได้ดีที่สุด ทั้งนี้ รูปแบบของการวัดความเสี่ยงจะเป็นการวัดในลักษณะเชิงคุณภาพ ซึ่งผลการประเมินอาจขึ้นอยู่กับดุลพินิจของผู้ประเมินที่เป็นผู้ให้ความเห็นทั้งในแง่ระดับความเสียหาย (Severity) และโอกาส หรือความถี่ (Likelihood) ที่จะเกิดความเสียหาย

การควบคุมและการจัดการความเสี่ยง ระบบการควบคุมมีวัตถุประสงค์หลักในการควบคุมความเสี่ยงให้อยู่ในระดับที่หน่วยงานยอมรับได้ ซึ่งระบบการควบคุมที่ดีนั้นจะต้องง่ายต่อการนำไปปฏิบัติ โดยมีต้นทุนที่ไม่สูงมากจนเกินไป และเมื่อนำระบบการควบคุมมาใช้ปฏิบัติจริง ต้องไม่ส่งผลกระทบเชิงลบต่อกระบวนการทำงาน และคุณภาพของงาน และระบบการควบคุมนั้น ต้องสามารถลดความเสี่ยงได้อย่างชัดเจนด้วย

การติดตาม และรายงานผลการดำเนินงาน  ทุกหน่วยงานร่วมกับฝ่ายบริหารความเสี่ยงกำหนดดัชนีชี้วัดความเสี่ยง (Key Risk Indicators : KRIs) ร่วมกัน โดยมีการรายงานข้อมูลปัจจัยความเสี่ยง (Risk Factor) และข้อมูลสถานะความเสี่ยง (Risk Profile) ตามที่ธนาคารกำหนด ทั้งนี้ ข้อมูลต่าง ๆ ที่ได้รับนำไปวิเคราะห์ในภาพรวม และหารือร่วมกันกับทุกหน่วยงานที่เกี่ยวข้อง เพื่อเสนอแนะแนวทางในการป้องกันควบคุม และลดความเสี่ยงต่อคณะกรรมการกำกับความเสี่ยง และคณะกรรมการ ธพว. เพื่อใช้เป็นข้อมูลในการบริหาร และจัดการความเสี่ยงด้านปฏิบัติการได้อย่างเหมาะสม

 

การเปิดเผยข้อมูลการบริหารความเสี่ยงด้านปฏิบัติการ

           ธนาคารกำหนดให้มีการเปิดเผยข้อมูลเกี่ยวกับการบริหารความเสี่ยงด้านปฏิบัติการ เพื่อให้มั่นใจว่ากระบวนการในการบริหารความเสี่ยงด้านปฏิบัติการของธนาคารดำเนินการได้อย่างเหมาะสมกับการดำเนินงานธุรกิจ สอดคล้องกับมาตรฐานสากล มีประสิทธิภาพ และประสิทธิผลในการควบคุม ป้องกัน และลดความเสี่ยงให้อยู่ในระดับความเสี่ยงที่ยอมรับได้ (RA) ทั้งนี้ ธนาคารจะเปิดเผยข้อมูลการบริหารความเสี่ยงด้านปฏิบัติการบน Website ของธนาคาร ภายใน4 เดือน นับจากวันสิ้นปีบัญชี

 

 

4. การจัดให้มีแผนรองรับการดำเนินธุรกิจอย่างต่อเนื่อง (Business Continuity Plan)

ธนาคารจัดให้มีแผน BCP ขึ้น ซึ่งเป็นส่วนหนึ่งของการบริหารความเสี่ยงของธนาคาร เพื่อให้ธนาคารและหน่วยงานที่เกี่ยวข้องสามารถดำเนินธุรกรรมงานที่สำคัญได้อย่างต่อเนื่อง โดยไม่ส่งผลกระทบต่อการดำเนินธุรกิจ ชื่อเสียง ฐานะ และผลประกอบการของธนาคาร แม้เกิดภาวะวิกฤตหรือเหตุการณ์ฉุกเฉิน ที่เกิดจากปัจจัยต่าง ๆ ซึ่งอยู่นอกเหนือการควบคุมของธนาคาร เช่น ภัยพิบัติ หรือเหตุการณ์อื่น ๆ เป็นต้น ที่เป็นไปตามแนวปฏิบัติมาตรฐานสากลและของธนาคารแห่งประเทศไทย  พร้อมกับได้จัดให้มีการทดสอบแผน BCP เป็นประจำทุกปี เพื่อให้ธนาคารมีการเตรียมความพร้อมรับมือต่อสถานการณ์ดังกล่าวได้อย่างเหมาะสมและสามารถกลับมาดำเนินธุรกิจได้ตามปกติ

 

5. การส่งเสริมวัฒนธรรมองค์กรด้านการบริหารความเสี่ยง (Risk Culture)

ธนาคารส่งเสริม และสนับสนุนให้เกิดเป็นวัฒนธรรมองค์กรด้านการบริหารความเสี่ยง (Risk Culture) และให้ความสำคัญกับการปลูกฝังจิตสำนึกในการสร้างระบบการควบคุมให้เกิดเป็นวัฒนธรรมของธนาคาร เพื่อให้ผู้เกี่ยวข้องทุกระดับตระหนักว่ากิจกรรมการควบคุมเป็นหน้าที่ของทุกคนภายในธนาคาร โดยให้ผู้บริหารของหน่วยงานต้องรับผิดชอบต่อความเสี่ยงด้านปฏิบัติการภายในหน่วยงานของตน โดยจะต้องมีการติดตาม ควบคุม และพัฒนาการบริหารความเสี่ยงภายในหน่วยงานของตนอย่างสม่ำเสมอ เพื่อให้เกิดเป็นวัฒนธรรมการบริหารความเสี่ยงขึ้นภายในหน่วยงาน และเป็นตามหลักการกำกับดูแลกิจการที่ดี

การสร้างความตื่นตัวในการบริหารความเสี่ยง และวัฒนธรรมของการควบคุมความเสี่ยงเป็นปัจจัยสำคัญที่จะทำให้การบริหารความเสี่ยงด้านปฏิบัติการบรรลุผลสำเร็จนั้น คณะกรรมการ ธพว. หรือคณะกรรมการที่ได้รับมอบหมาย และผู้บริหารระดับสูงจะเป็นผู้นำในการสื่อสาร แนะนำแนวทาง และเน้นถึงความสำคัญของการควบคุม เพื่อเป็นแบบอย่างที่ดีให้แก่พนักงาน โดยที่ผู้บริหารของหน่วยงานจักเป็นผู้ปลูกฝังจิตสำนึกในการสร้างระบบการควบคุมภายใน และการสร้างความตื่นตัวเกี่ยวกับการบริหารความเสี่ยงให้เกิดขึ้นภายในองค์กร

 

 

 

วัฒนธรรมความเสี่ยงองค์กร Risk Culture Model ประกอบด้วย 4 องค์ประกอบสำคัญ ดังนี้

องค์ประกอบที่ 1 :  การเรียนรู้และแบ่งปันเรื่องการบริหารความเสี่ยง  คือ พัฒนาตนเอง เพื่อนำความรู้มาปรับปรุงการทำงาน และมีการแบ่งปันความรู้และประสบการณ์ รวมทั้งเสริมสร้างทักษะในการบริหารความเสี่ยงและการควบคุมภายในที่มีประสิทธิภาพ

องค์ประกอบที่ 2 :  การบริหารความเสี่ยงเพื่อสร้างมูลค่าให้แก่ ธพว. คือ การกำหนดวัดถุประสงค์ เป้าหมาย ตัวชี้วัดแนวทาง/วิธีปฏิบัติ ร่วมกับการทบทวนสถานการณ์ความเสี่ยงในการปฏิบัติงานโดยมีความเข้าใจถึงความสัมพันธ์และผลกระทบของความเสี่ยงก่อนการตัดสินใจ

องค์ประกอบที่ 3 :  การสื่อสารเรื่องการบริหารความเสี่ยง คือ การสื่อสาร ถ่ายทอด ข้อมูลสารสนเทศ เพื่อใช้ในการตัดสินใจบริหารความเสี่ยงและการควบคุมภายใน รวมทั้งนำข้อมูลจากผู้มีส่วนได้ส่วนเสียมาวางแผนปรับปรุงพัฒนาการดำเนินงานให้มีประสิทธิภาพและบรรลุเป้าหมาย ธพว.

องค์ประกอบที่ 4 :  การขับเคลื่อนเรื่องการบริหารความเสี่ยง คือ การส่งเสริมและจูงใจ เพื่อกระตุ้นให้เกิดการพัฒนาความรู้ความสามารถด้านการบริหารความเสี่ยงและการควบคุมภายใน ร่วมกับติตตามประเมินผลการปฏิบัติงาน

ธนาคารดำเนินการเชื่อมโยงค่านิยมองค์กรกับโมเดลวัฒนธรรมองค์กรด้านความเสี่ยง(Risk Culture Model) โดยรวบรวมข้อมูลจากหน่วยงานต่างๆนำมาวิเคราะห์ และกำหนดพฤติกรรมอันพึงประสงค์ของสายงาน (DO & DON’T) เพื่อสร้างวัฒนธรรมองค์กรด้านความเสี่ยงที่มุ่งตอบสนองและส่งเสริมค่านิยมองค์กรผ่านการกำหนดพฤติกรรมอันพึงประสงค์ด้านการบริหารความเสี่ยงและควบคุมภายในด้านการบริหารความเสี่ยงและควบคุมภายในขององค์กร ตามหลักเกณฑ์การประเมินกระบวนการปฏิบัติงานและการจัดการ (Core Business Enables) ของรัฐวิสาหกิจ ในหมวดที่ 3 การบริหารความเสี่ยงและการควบคุมภายใน (Risk Management & Internal Control: RM&IC) หัวข้อที่ 1.4 ความมุ่งมั่นต่อค่านิยมองค์กร (Demonstrates Commitment to Core Values)