เมื่อจัดความเสี่ยงเป็น “สูง” ผู้บริหารอาจยังไม่รู้ว่าควรลงทุน เลื่อน หรือยอมรับ แนวทางนี้เริ่มจากเรื่องที่รอการตัดสินใจ แล้วจัดระเบียบเป้าหมาย ข้อมูลที่มี และทางเลือกจัดการ เพื่อให้การประเมินช่วยจัดสรรทรัพยากรและติดตามผลได้
องค์กรที่เหมาะสมและช่วงเวลาเริ่มต้น
องค์กรที่แต่ละแผนกมีทะเบียนความเสี่ยงแต่คะแนนเปรียบเทียบกันไม่ได้ หรือกำลังหารือเรื่องลงทุน โครงการใหม่ หรือเปลี่ยนกระบวนการ อาจเลือกประเด็นที่ต้องตัดสินใจร่วมกันมาทดลอง ผู้เข้าร่วมควรรวมทั้งผู้ปฏิบัติงานและผู้มีอำนาจอนุมัติทรัพยากร
ความท้าทายที่พบบ่อย
แต่ละแผนกอาจให้คะแนนเหตุการณ์เดียวกันต่างกัน เพราะพิจารณาผลกระทบหรือช่วงเวลาคนละแบบ หากไม่อธิบายเกณฑ์ คะแนนที่ละเอียดขึ้นก็ไม่ได้แปลว่าน่าเชื่อถือกว่า ช่องจัดการที่เขียนเพียง “ติดตามต่อไป” ไม่ได้ระบุว่าใครต้องทำอะไรเมื่อใด
แนวทางและข้อกำหนดที่เกี่ยวข้อง
ISO 31000:2018 ให้แนวทางเกี่ยวกับหลักการ กรอบ และกระบวนการจัดการความเสี่ยง สามารถนำไปใช้กับธรรมาภิบาลและการปฏิบัติงานตามบริบทองค์กร ไม่ใช่มาตรฐานข้อกำหนดเพื่อขอรับรองระบบการจัดการโดยอิสระ แค็ตตาล็อก ISO
หัวข้อโครงการที่หารือได้ ได้แก่:
- กำหนดเกณฑ์จากเป้าหมาย: ยืนยันสิ่งที่องค์กรต้องการปกป้องหรือบรรลุ เงื่อนไขที่ยอมรับได้ และอำนาจยกระดับก่อนกำหนดระดับผลกระทบ
- ประเมินจากหลักฐานและเปรียบเทียบทางเลือก: แยกสาเหตุ เหตุการณ์ ผลกระทบ มาตรการเดิม และความไม่แน่นอนของข้อมูล แล้วเปรียบเทียบต้นทุน ประโยชน์ และความเสี่ยงคงเหลือ
- เชื่อมการติดตามและการสื่อสาร: ผูกการตัดสินใจกับงบประมาณ โครงการ หรือการประชุมประจำ กำหนดการอัปเดตข้อมูลและเหตุเปลี่ยนแปลงสำคัญ เพื่อไม่ให้ประเมินความเสี่ยงเพียงปีละครั้ง
การสนับสนุนและขั้นตอนการทำงาน
กำหนดเรื่องที่รอการตัดสินใจหนึ่งรายการ
ยืนยันเป้าหมาย ช่วงเวลา ความรับผิดชอบ และข้อมูลที่ยังขาดก่อนสร้างตารางความเสี่ยงเต็มรูปแบบ
ปรับมาตราส่วนให้ตรงกัน
ใช้สถานการณ์เดียวกันหารือกับแผนกที่เกี่ยวข้อง บันทึกเกณฑ์และส่วนที่ต้องใช้วิธีเฉพาะทาง
เสนอทางเลือกจัดการที่เปรียบเทียบได้
ระบุทางเลือก ทรัพยากร ข้อจำกัด และความเสี่ยงคงเหลือ เพื่อให้ผู้มีอำนาจเลือกหรือยอมรับ
เชื่อมการตัดสินใจกับการติดตาม
ตกลงผู้รับผิดชอบ หมุดหมาย และเงื่อนไขทบทวน ตรวจว่ามาตรการเปลี่ยนผลประเมินเดิมหรือไม่
ผลลัพธ์ที่เสนอได้ ได้แก่ เกณฑ์ความเสี่ยง บันทึกการประเมินและสมมติฐาน ตารางเปรียบเทียบทางเลือก และตัวติดตามการตัดสินใจ การทบทวนควรเห็นได้ว่าความเสี่ยงเปลี่ยนการจัดสรรทรัพยากรอย่างไร และใครอนุมัติความเสี่ยงคงเหลือ
ข้อมูลที่ควรเตรียม
- เป้าหมายธุรกิจหรือโครงการ เรื่องที่รอการตัดสินใจ และกำหนดเวลา
- ทะเบียนความเสี่ยง เหตุการณ์ที่ผ่านมา และข้อมูลการเปลี่ยนแปลงภายนอก
- มาตรการควบคุม อำนาจอนุมัติ และการแบ่งความรับผิดชอบ
- ทางเลือกงบประมาณ ความคืบหน้ามาตรการ และบันทึกประชุมฝ่ายบริหาร
เริ่มด้วยบัญชีข้อมูลและตัวอย่างไม่เปิดเผยตัวตน ยืนยันวัตถุประสงค์ ผู้เข้าถึง และการเก็บรักษาก่อนส่งข้อมูลโครงการ
การประเมินระยะเวลาและค่าใช้จ่าย
ขอบเขตการตัดสินใจ จำนวนแผนก ความพร้อมของข้อมูล และความซับซ้อนของวิธีมีผลต่อภาระงาน แบบจำลองเชิงปริมาณ การวิเคราะห์เทคนิคเฉพาะทาง หรือการพิจารณากฎหมายต้องจัดทรัพยากรแยกต่างหาก การกรอกแบบประเมินความเสี่ยงครั้งเดียวไม่ได้ยืนยันว่าระบบทั้งหมดทำงานแล้ว
คำถามที่พบบ่อย
จำเป็นต้องใช้เมทริกซ์ 5 คูณ 5 หรือไม่?
เลือกเครื่องมือตามข้อมูลและการตัดสินใจ เกณฑ์และเหตุผลควรเข้าใจได้และนำกลับมาใช้ซ้ำอย่างสม่ำเสมอ
ความเสี่ยงหมายถึงความเสียหายเท่านั้นหรือไม่?
ความเสี่ยงคือผลของความไม่แน่นอนต่อเป้าหมาย การหารืออาจรวมโอกาส แต่ต้องระบุวิธีประเมินและจัดการให้ชัดเจน
ทุกระบบ ISO ใช้แบบฟอร์มเดียวกันได้หรือไม่?
ใช้การกำกับดูแลและติดตามร่วมกันได้ แต่เกณฑ์เฉพาะด้านความมั่นคงปลอดภัยสารสนเทศ อาชีวอนามัยและความปลอดภัยไม่ควรถูกบังคับให้เป็นคะแนนแบบเดียวกัน
ใครมีอำนาจยอมรับความเสี่ยงคงเหลือ?
ผู้ตัดสินใจที่องค์กรให้อำนาจ การประเมินให้ข้อมูลประกอบแต่ไม่ตัดสินใจแทนองค์กร
การประเมินเสร็จแล้วรับประกันว่าจะไม่เกิดความเสียหายหรือไม่?
การประเมินมีข้อจำกัดจากข้อมูลและบริบท คุณค่าคือช่วยให้ตัดสินใจดีขึ้นและปรับตัวทันเวลา ไม่ใช่การรับประกันผล
ควรอัปเดตบ่อยแค่ไหน?
กำหนดตามการเปลี่ยนแปลงความเสี่ยงและรอบการตัดสินใจ หากสมมติฐาน ธุรกิจ หรือเงื่อนไขภายนอกเปลี่ยนอย่างสำคัญ ควรทบทวนด้วย
บริการที่เกี่ยวข้องและการติดต่อ
เตรียมประเด็นหนึ่งเรื่องที่รอผู้บริหารตัดสินใจ พร้อมมุมมองความเสี่ยงและทางเลือกทรัพยากรในปัจจุบัน ติดต่อ Captain International