Enterprise Risk Management กรอบ COSO ที่​ผู้​บริหาร​ต้อง​นำ​เอง

Enterprise Risk Management เป็น​คำ​ที่​ผู้​บริหาร​กิจการ​ขนาด​กลาง​มักได้​ยิน​ครั้ง​แรก​จาก​แบบสอบถาม​ของ​ลูกค้า​องค์กร นัก​ลงทุน หรือ​ผู้​สอบ​บัญชี แล้ว​ตอบ​ด้วย​การ​ทำ​เอกสาร​ให้​ครบ งาน​วิจัย​สอง​ชิ้น​ที่​บท​นี้​ยก​มา​ชี้​ว่า เอกสาร​ครบ​กับ​ระบบ​ที่​ผู้​บริหาร​ใช้​ตัดสิน​เรื่อง​จริง​ให้​ผล​ต่าง​กัน

บท​นี้​อธิบาย​โครง​ของ​กรอบ COSO ฉบับ​ปัจจุบัน เทียบ​ผล​ของ​งาน​วิจัย​ที่​วัด​ความ​สัมพันธ์​ระหว่าง ERM กับ​มูลค่า​หรือ​ผล​ประกอบ​การ​ของ​บริษัท แล้ว​จบ​ด้วย​วิธี​ตั้ง​ทะเบียน​ความ​เสี่ยง​รอบ​แรก​จาก​ข้อมูล​ที่​กิจการ​เก็บ​ไว้​อยู่​แล้ว

Enterprise Risk Management คือ​กระบวนการ​ที่​ผู้​บริหาร​ใช้​ระบุ ประเมิน และ​ตอบ​สนอง​ต่อ​ความ​เสี่ยง​ของ​ทั้ง​องค์กร​พร้อม​กัน แทนที่​แต่ละ​ฝ่าย​จะ​ดู​เฉพาะ​ความ​เสี่ยง​ของ​ตัว​เอง งาน​แบ่ง​เป็น​สาม​ชุด​ต่อ​กัน​เป็น​วง​รอบ คือ​ระบุ​ว่า​อะไร​ขวาง​เป้า​หมาย ตัดสิน​ว่า​จะ​รับ ลด ถ่าย​โอน หรือ​หลีก​เลี่ยง​แต่ละ​รายการ และ​ติดตาม​ว่า​สิ่ง​ที่​ตัดสิน​ไว้​ยัง​ใช้ได้

COSO หรือ Committee of Sponsoring Organizations of the Treadway Commission เผย​แพร่​กรอบ​ฉบับ​ที่​ใช้​อยู่​ปัจจุบัน​ใน​ปี 2017 (พ.ศ. 2560) ภาย​ใต้​ชื่อ Enterprise Risk Management: Integrating with Strategy and Performance ชื่อ​ฉบับ​บอก​ตำแหน่ง​เริ่ม​ต้น​ไว้​แล้ว คือ​ผู้​บริหาร​ต้อง​ถาม​ก่อน​ว่า​กลยุทธ์​ที่​เลือก​สอดคล้อง​กับ​พันธ​กิจ​และ​ระดับ​ความ​เสี่ยง​ที่​รับ​ได้​หรือ​ไม่ ก่อน​ถาม​เรื่อง​การ​ป้องกัน​ความ​เสีย​หาย​ใน​งาน​ประจำ

ERM ต่าง​จาก​การ​ซื้อ​ประกัน​ภัย​อย่างไร

ประกัน​ภัย​เป็น​หนึ่ง​ใน​ทาง​เลือก​ของ​การ​จัดการ​ความ​เสี่ยง คือ​การ​ถ่าย​โอน​ความ​เสีย​หาย​ทางการ​เงิน​ไป​ให้​ผู้รับ​ประกัน ส่วน ERM เป็นก​ระ​บวน​การ​ตัดสิน​ว่า​รายการ​ใด​ควร​ใช้​ทาง​เลือก​ไหน กรมธรรม์​ใช้ได้​ดี​กับ​ความ​เสีย​หาย​ที่​ตี​เป็น​เงิน​ได้​และ​เกิด​ไม่​บ่อย เช่น อัคคี​ภัย แต่​การ​เสีย​ลูกค้า​ราย​ใหญ่ การ​พึ่ง​ผู้​ขาย​วัตถุดิบ​เจ้า​เดียว หรือ​ความ​รู้​ที่​อยู่​ใน​ตัว​พนักงาน​คน​เดียว ต้อง​แก้​ด้วย​การ​ออกแบบ​วิธี​ทำงาน กรมธรรม์​ครอบคลุม​ไม่​ได้

กรอบ​ฉบับ​นี้​มี​ห้า​องค์​ประกอบ แตก​เป็น 20 หลัก​การ ภาค​ผนวก​ของ COSO เอง​บันทึก​ว่า​ร่าง​ที่​เปิด​รับ​ฟัง​ความ​เห็น​มี 23 หลัก​การ ผู้​ให้​ความ​เห็น​บาง​ส่วน​มอง​ว่า​มาก​เกิน​กว่า​จะ​ใช้​บริหาร​จริง COSO จึง​ควบ​รวม​หลัก​การ​สาม​คู่ และ​เปลี่ยน​ชื่อ​กับ​ลำดับ​องค์​ประกอบ​ให้​ตรง​กับ​วงจร​ธุรกิจ​ทั่วไป

กิจการ​ที่​เพิ่ง​เริ่ม​ไม่​ต้อง​ทำ​ครบ 20 หลัก​การ​ใน​ปี​แรก องค์​ประกอบ​ที่​สอง​กับ​ที่​สาม​เปลี่ยน​การ​ตัดสิน​ใจ​ราย​เดือน​ได้​เร็ว​ที่สุด ส่วน​องค์​ประกอบ​แรก​เป็น​ตัว​กำหนด​ว่า​อีก​สี่​องค์​ประกอบ​จะ​ถูก​ใช้​จริง​หรือ​ไม่ ซึ่ง​งาน​วิจัย​ใน​หัวข้อ​ถัด​ไป​ชี้​ไว้​ตรง​กัน

ระดับ​ความ​เสี่ยง​ที่​องค์กร​ยอมรับ​ได้ เขียน​อย่างไร​ให้​ใช้​งาน​ได้

เขียน​เป็น​ตัวเลข​และ​เงื่อนไข​ที่​ตรวจ​ได้​ใน​เอกสาร​หน้า​เดียว ประโยค​แบบ "องค์กร​ให้​ความ​สำคัญ​กับ​ความ​รอบคอบ" ใช้​ตัดสิน​เรื่อง​จริง​ไม่​ได้ ประโยค​ที่​ใช้ได้​ระบุ​ขอบเขต​ชัด ตัวอย่าง​เช่น ยอมรับ​การ​ขาดทุน​จาก​การ​ทดลอง​ตลาด​ใหม่​ได้​ไม่​เกิน​สัดส่วน​หนึ่ง​ของ​กำไร​ก่อน​ภาษี​ต่อ​ปี หรือ​รับ​ราย​ได้​จาก​ลูกค้า​ราย​เดียว​ได้​ไม่​เกิน​สัดส่วน​ที่​กำหนด ตัวเลข​จริง​ขึ้น​กับ​กิจการ​แต่ละ​ราย เมื่อ​เขียน​แบบ​นี้ หัวหน้า​ฝ่าย​ตอบ​เอง​ได้​ว่า​เรื่อง​ตรง​หน้า​อยู่​ใน​ขอบเขต​หรือ​ต้อง​ยก​ขึ้น​ไป​ถาม

งาน​สอง​ชิ้น​นี้​ให้​ผล​ที่​ดู​ขัด​กัน แต่​วัด​คนละ​อย่าง ชิ้น​แรก​วัด​ระดับ​ความ​พร้อม​ของ ERM ที่​ใช้​งาน​จริง ชิ้น​ที่​สอง​วัด​การ​ประกาศ​ว่า​ได้​นำ ERM มา​ใช้ ผล​ที่​ได้​จึง​บอก​ผู้​บริหาร​ว่า​ส่วน​ไหน​ของ ERM สัมพันธ์​กับ​มูลค่า

Mark Farrell และ Ronan Gallagher ตี​พิมพ์ "The Valuation Implications of Enterprise Risk Management Maturity" ใน Journal of Risk and Insurance ฉบับ​ปี​ที่ 82 (เผย​แพร่​ออนไลน์​ปี 2014 ฉบับ​พิมพ์​ปี 2015) โดย​ใช้​คะแนน​จาก RIMS Risk Maturity Model ช่วง​ปี 2006-2011 ซึ่ง​ให้​คะแนน​บริษัท​ห้า​ระดับ ส่วน Luis Otero González, Pablo Durán Santomil และ Aracely Tamayo Herrera ตี​พิมพ์​ใน European Research on Management and Business Economics ปี 2020 (พ.ศ. 2563) จาก​รายงาน​ประจำ​ปี​ของ​บริษัท​จด​ทะเบียน​สเปน​นอก​ภาค​การ​เงิน​ช่วง​ปี 2012-2015

ทำไม​สอง​งาน​จึง​ให้​ผล​ต่าง​กัน

คำ​อธิบาย​ที่​ตรง​กับ​ข้อมูล​ของ​ทั้ง​สอง​งาน​คือ​สิ่ง​ที่​ถูก​วัด Farrell และ Gallagher วัด​ระดับ​ที่ ERM ฝัง​อยู่​ใน​กลยุทธ์​และ​งาน​ประจำ แล้ว​พบ​ว่า​ส่วน​ที่​สัมพันธ์​กับ​มูลค่า​มาก​ที่สุด​คือ​การ​ที่​ผู้​บริหาร​ระดับ​สูง​ลงมือ​นำ ส่วน​งาน​ของ Otero González และ​คณะ​วัด​จาก​การ​ที่​บริษัท​เปิด​เผย​ว่า​มี ERM สอง​ผล​นี้​จึง​บอก​ร่วม​กัน​ว่า การ​มี​ระบบ​บน​กระดาษ​ยัง​ไม่​พอ ส่วน​ที่​ผู้​บริหาร​ต้อง​ดู​คือ​ระบบ​ถูก​ใช้​ตัดสิน​เรื่อง​จริง​แค่​ไหน

ตั้ง​ผู้​บริหาร​ความ​เสี่ยง (CRO) แล้ว​ผล​ประกอบ​การ​ดี​ขึ้น​ไหม

งาน​ของ Otero González และ​คณะ​ไม่​พบ​เช่น​นั้น​ใน​กลุ่ม​ตัวอย่าง​สเปน การ​มี CRO อาจ​ลด​ผล​ประกอบ​การ แต่​ช่วย​เรื่อง​สุขภาพ​การ​เงิน​เมื่อ​วัด​จาก​ระยะ​ห่าง​จาก​การ​ผิดนัด​ชำระ ผล​นี้​บอก​กิจการ​ขนาด​กลาง​ว่าการ​ตั้ง​ตำแหน่ง​เพิ่ม​หนึ่ง​ตำแหน่ง​ไม่​ได้​แทน​การ​ที่​ผู้​บริหาร​สูงสุด​ถือ​ทะเบียน​เอง ถ้า​ยัง​ไม่มี​เหตุผล​เรื่อง​หนี้​สิน​หรือ​ข้อ​กำหนด​ของ​ผู้​ให้​กู้ การ​มอบ​หน้าที่​รวบรวม​ให้​คน​ที่​ทำงาน​เอกสาร​อยู่​แล้ว​คุ้ม​กว่า

ทะเบียน​ความ​เสี่ยง​ที่​ถูก​ใช้​จริง​มี​สาม​ลักษณะ​ร่วม​กัน ทุก​รายการ​มีชื่อ​คน​กำกับ​เป็น​ราย​บุคคล มี​วัน​ทบทวน​ครั้ง​ถัด​ไป และ​มี​จำนวน​รายการ​ที่​ผู้​บริหาร​อ่าน​จบ​ใน​รอบ​ประชุม​เดียว ทะเบียน​หก​สิบ​รายการ​มัก​แปล​ว่า​ยัง​ไม่มี​ใคร​จัด​ลำดับ

การ​แบ่ง​ความ​รับ​ผิด​ชอบ​ที่​อ้าง​กัน​มาก​คือ Three Lines Model ของ​สถาบัน​ผู้​ตรวจ​สอบ​ภายใน (IIA) ซึ่ง​ปรับ​จาก Three Lines of Defense เมื่อ​กรกฎาคม 2020 (พ.ศ. 2563) บทบาท​แนว​แรก​คือ​ฝ่าย​บริหาร​และ​หน่วย​งาน​หน้า​งาน​ที่​เป็น​เจ้าของ​ความ​เสี่ยง​ของ​งาน​ตัว​เอง บทบาท​แนว​ที่​สอง​คือ​ผู้​ดูแล​กรอบ​ความ​เสี่ยง​และ​การ​ปฏิบัติ​ตาม​กฎ ส่วน​บทบาท​แนว​ที่​สาม​คือ​การ​ตรวจ​สอบ​ภายใน​ที่​ให้​ความ​เชื่อ​มั่น​โดย​ไม่​ขึ้น​กับ​ฝ่าย​บริหาร ทั้ง​สาม​แนว​รายงาน​ต่อ​คณะ​กรรมการ​ที่​กำกับ​ดูแล

กิจการ​ที่​ไม่มี​ฝ่าย​ตรวจ​สอบ​ภายใน​ใช้ Three Lines Model ได้​ไหม

ใช้ได้​โดย​แยก​ที่​บทบาท​แทน​การ​แยก​ที่​หน่วย​งาน กิจการ​ยี่สิบ​คน​อาจ​ให้​หัวหน้า​ฝ่าย​แต่ละ​คน​เป็น​เจ้าของ​รายการ​ใน​งาน​ของ​ตัว​เอง ให้​ผู้​จัดการ​สำนักงาน​รวบรวม​และ​เตือน​วัน​ทบทวน แล้ว​ให้​ผู้​สอบ​บัญชี​หรือ​กรรมการ​ภายนอก​หนึ่ง​คน​สุ่ม​ถาม​ว่า​รายการ​ที่​ปิด​ไป​แล้ว​แก้​จริง​หรือ​ไม่ ข้อ​ที่​ห้าม​พลาด​คือ​คน​ที่​เป็น​เจ้าของ​ความ​เสี่ยง​กับ​คน​ที่​ตรวจ​ว่า​จัดการ​แล้ว​จริง​ต้อง​เป็น​คนละ​คน

ข้อมูล​ตั้ง​ต้น​ที่​แม่น​ที่สุด​คือ​สิ่ง​ที่​กิจการ​เก็บ​ไว้​อยู่​แล้ว​โดย​ไม่​ได้​ตั้งใจ รายการ​ร้อง​เรียน​ของ​ลูกค้า​ย้อน​หลัง​หนึ่ง​ปี งาน​ที่​ส่ง​มอบ​ล่าช้า​พร้อม​สาเหตุ และ​เรื่อง​ที่​เจ้าของ​ถูก​เรียก​ลง​มา​จัดการ​เอง​นอก​เวลา​งาน สาม​แหล่ง​นี้​มา​จาก​เหตุการณ์​ที่​เกิด​แล้ว จึง​ชี้​จุด​เปราะ​ได้​ตรง​กว่า​การ​ระดม​สมอง​ใน​ห้อง

หลัง​ได้​รายการ​ตั้ง​ต้น ให้​จัด​ลำดับ​ด้วย​โอกาส​เกิด​กับ​ความ​รุนแรง แล้ว​เลือก​กลุ่ม​รุนแรง​สูง​มา​ทำ​แผน​ก่อน แต่ละ​แผน​ระบุ​สิ่ง​ที่​จะ​ทำ​เพื่อ​ลด​โอกาส​เกิด สิ่ง​ที่​จะ​ทำ​เมื่อ​เกิด​แล้ว และ​ตัวเลข​เฝ้า​ระวัง ตัวเลข​เฝ้า​ระวัง​ควร​ดึง​จาก​ชุด​ที่​รายงาน​ผู้​บริหาร​อยู่​แล้ว ซึ่ง​รวบรวม​ไว้​ในKPI การ​เงิน​ที่ CEO ต้อง​ดู​ทุก​เดือน ปิด​ตัวเลข​ให้​ทัน​วัน​ยื่น​ภาษี ส่วน​เกณฑ์​แยก​เรื่อง​ที่​ต้อง​ยก​ขึ้น​ถึง​ผู้​บริหาร​ออก​จาก​เรื่อง​ที่​จบ​ใน​ระดับ​หัวหน้า​ฝ่าย ใช้​ชุด​เดียว​กับ​ในเฟรม​เวิร์​กการ​ตัดสิน​ใจ 358 เรื่อง​ที่​ล้ม​เหลว​ไป​ครึ่ง​หนึ่ง

เรื่อง​ที่​เกือบ​เกิด​ควร​บันทึก​ไหม

ควร​บันทึก และ​มัก​ให้​ข้อมูล​มากกว่า​เรื่อง​ที่​เกิด​แล้ว เพราะ​มี​สาเหตุ​ครบ​แต่​ยัง​ไม่มี​ความ​เสีย​หาย​มา​บดบัง​การ​วิเคราะห์ วิธี​ที่​เบา​ที่สุด​คือ​เพิ่ม​คำถาม​เดียว​ท้าย​ประชุม​ผู้​บริหาร​ราย​เดือน ว่า​เดือน​นี้​มี​เรื่อง​อะไร​ที่​เกือบ​เกิด​แต่​รอด​มา​ได้ แล้ว​ประกาศ​คู่​กัน​ว่า​ข้อมูล​จาก​คำถาม​นี้​จะ​ไม่​ใช้​ประเมิน​ผล​งาน​ของ​ใคร ถ้า​คน​ตอบ​รู้สึก​ว่าการ​เล่า​เรื่อง​เกือบ​พลาด​มี​ราคา รายการ​จะ​หาย​ไป​ภายใน​ไม่​กี่​รอบ

ความ​เสี่ยง​ด้าน​กฎหมาย​ควร​อยู่​ใน​ทะเบียน​อย่างไร

ให้​ลง​เป็น​รายการ​ของ​ตัว​เอง​เหมือน​ความ​เสี่ยง​อื่น โดย​ระบุ​ข้อ​กำหนด​ที่​ผูก​กิจการ​จริง เช่น ใบ​อนุญาต​เฉพาะ​ธุรกิจ เงื่อนไข​ใน​สัญญา​กับ​คู่​ค้า และ​กำหนด​เวลา​ของ​สิทธิ​เรียก​ร้อง แต่ละ​กิจการ​อยู่​ใต้​กฎ​เกณฑ์​ต่าง​กัน​มาก การ​ระบุ​ว่า​กิจการ​หนึ่ง​อยู่​ใต้​กฎหมาย​ฉบับ​ใด​จึง​ควร​ให้​ที่​ปรึกษา​กฎหมาย​ที่​อ่าน​เอกสาร​จริง​เป็น​คน​ทำ พื้น​ฐาน​ที่​ผู้​บริหาร​ควร​รู้​ก่อน​คุย​กับ​ที่​ปรึกษา​อยู่​ในกฎหมาย​ธุรกิจ​พื้น​ฐาน อายุ​ความ​หนี้​การ​ค้า​สอง​ปี​กับ​ห้า​ปี

ระบบ​ความ​เสี่ยง​ที่​ทำงาน​ดี​ให้​ผล​เป็น​เหตุการณ์​ที่​ไม่​เกิด ซึ่ง​ไม่​อยู่​ใน​รายงาน​ใด ผู้​บริหาร​จึง​ต้อง​ใช้​ตัว​ชี้​วัด​แทน​สาม​ตัว คือ​สัดส่วน​เหตุการณ์​ที่​เกิด​จริง​ใน​รอบ​ปี​ซึ่ง​เคย​อยู่​ใน​ทะเบียน เวลา​เฉลี่ย​จาก​วัน​ที่​รู้​ถึง​วัน​ที่​มี​คน​รับ​ผิด​ชอบ และ​จำนวน​รายการ​ที่​ปิด​ได้​จริง​ต่อ​ไตรมาส

มี​ตัว​ชี้​วัด​อีก​ตัว​ที่​ไม่​ต้อง​ใช้​ระบบ​ใด​เลย ให้​ย้อน​ดู​สาม​ครั้ง​ล่าสุด​ที่​มี​คน​ตัดสิน​ใจ​ภายใน​ขอบเขต​ที่​ประกาศ​ไว้​แล้ว​ผลอ​อก​มา​ขาดทุน แล้ว​ถาม​ว่า​คน​เหล่า​นั้น​ยัง​ได้​เสนอ​เรื่อง​ใหม่​ใน​ปี​ถัด​มา​หรือ​ไม่ ถ้า​ไม่​ได้ ระดับ​ความ​เสี่ยง​ที่​องค์กร​รับ​ได้​จริง​ต่ำ​กว่า​ตัวเลข​ใน​เอกสาร และ​ทีม​งาน​รู้ตัว​เลข​นี้​ก่อน​ผู้​บริหาร ตรง​กับ​ที่ Farrell และ Gallagher พบ​ว่า​วัฒนธรรม​ที่​ผู้​บริหาร​สร้าง​เป็น​ส่วน​ที่​มี​น้ำ​หนัก​ที่สุด ส่วน​ตำแหน่ง​ของ ERM เมื่อ​เทียบ​กับ​เรื่อง​บริหาร​อีก​แปด​หมวด ดู​ได้​จากความ​รู้​บริหาร​จัดการ 9 หมวด​ที่ CEO ต้อง​รู้ ผลิต​ภาพ​ขึ้น 17%

1. เพิ่ม​วาระ​สิบ​ห้า​นาที​ท้าย​ประชุม​ผู้​บริหาร​รอบ​หน้า โดย​ไม่​ต้อง​ตั้ง​โครงการ​ใหม่
2. คัด​รายการ​ร้อง​เรียน​และ​งาน​ล่าช้า​ย้อน​หลัง​หนึ่ง​ปี ให้​เหลือ​ราว​สิบ​รายการ​ที่​รุนแรง​ที่สุด
3. เขียน​ชื่อ​เจ้าของ​และ​วัน​ทบทวน​ต่อ​รายการ ให้​ครบ​ก่อน​ปิด​ประชุม
4. ตั้ง​ตัว​ชี้​วัด​สาม​ตัว​ข้าง​ต้น แล้ว​ดู​ครั้ง​แรก​เมื่อ​ครบ​หนึ่ง​ไตรมาส

Enterprise Risk Management คือ​การ​บริหาร​ความ​เสี่ยง​ของ​ทั้ง​องค์กร​โดย​เริ่ม​จาก​เป้า​หมาย กรอบ COSO ฉบับ​ปี 2017 มี​ห้า​องค์​ประกอบ 20 หลัก​การ และ​วาง​ความ​เสี่ยง​ไว้​ตั้งแต่​ขั้น​เลือก​กลยุทธ์ Farrell และ Gallagher พบ​ว่า ERM ระดับ mature สัมพันธ์​กับ Tobin's Q สูง​ขึ้น​ราว 25% โดย​ปัจจัย​หลัก​คือ​ผู้​บริหาร​ลงมือ​นำ ขณะ​ที่ Otero González และ​คณะ​ไม่​พบ​ผล​จาก​การ​แค่​ประกาศ​ใช้ ผู้​บริหาร​ควร​เริ่ม​จาก​ทะเบียน​สั้น​ที่​มี​เจ้าของ ทบทวน​ตาม​รอบ และ​วัด​ว่า​ระบบ​ถูก​ใช้​ตัดสิน​เรื่อง​จริง