No.279

ดร.วิทยา อินทร์สอน

สาขาวิชาช่างเชื่อมโลหะ วิทยาลัยเทคนิคสุรินทร์

ปัทมาพร ท่อชู

สาขาวิชาอุตสาหกรรมศิลป์และเทคโนโลยี มหาวิทยาลัยราชภัฏสุรินทร์

ผศ.ดร.สุรพงศ์ บางพาน

สาขาวิศวกรรมอุตสาหการ คณะวิศวกรรมศาสตร์ มหาวิทยาลัยเทคโนโลยีราชมงคลล้านนา เชียงใหม่

 

 

 

 

          การบริหารความเสี่ยง เป็นภารกิจหนึ่งที่ทุกหน่วยงาน มีความจำเป็นจะต้องมีการดำเนินการเพื่อให้เกิดความมั่นใจว่าผลงานหรือผลผลิตที่หน่วยงานนั้น ได้ปฏิบัติให้เกิดผลที่พึงประสงค์มากที่สุด การบริหารความเสี่ยง มีความสำคัญและมีความจำเป็นอย่างยิ่ง ในการป้องกันและควบคุมความเสี่ยงในด้านต่าง ๆ ที่อาจเกิดขึ้นจากสถานการณ์ที่ไม่แน่นอน ซึ่งจะมีผลกระทบต่อความสำเร็จขององค์กรโดยรวม

 

 

          การบริหารความเสี่ยงที่ดีนั้น จะต้องให้คนในองค์กรที่มีหน้าที่เกี่ยวข้องทุกฝ่าย ได้มีส่วนร่วมในการวิเคราะห์ ตรวจสอบ ประเมินความเสี่ยง และผลกระทบที่อาจจะเกิดขึ้นกับองค์กรอยู่เสมอ อีกทั้งร่วมกันวางแผนป้องกันและควบคุมให้เหมาะสมกับภารกิจ เพื่อลดสภาพปัญหาหรือหลีกเลี่ยงความเสี่ยงที่อาจสร้างความเสียหายหรือความสูญเสียให้กับองค์กรได้อย่างมีประสิทธิภาพ

          ระบบบริหารความเสี่ยง เป็นเครื่องมือการบริหารจัดการองค์กรที่มีความสำคัญ เนื่องจากเป็นเครื่องมือที่ทำให้องค์กร เกิดความเชื่อมั่นในระดับหนึ่งว่าผลการดำเนินงานตามภารกิจต่าง ๆ จะสามารถบรรลุวัตถุประสงค์ ตามที่ได้กำหนดไว้ ฝ่ายบริหารจะต้องตระหนักถึงความสำคัญของการบริหารจัดการความเสี่ยงองค์กร เพื่อให้องค์กรมีการบริหารจัดการความเสี่ยงที่มีคุณภาพและมาตรฐานตาม แนวทางการกำกับดูแลของหน่วยงานหรือองค์กร โดยคำนึงถึงความสอดคล้องกับวัตถุประสงค์ และเป้าหมายการดำเนินงานขององค์กรด้วย

          ดังนั้นการบริหารความเสี่ยงองค์กรนั้น สามารถสะท้อนให้เห็นถึงนโยบายการบริหารจัดการ และการกำกับดูแลกิจการของแต่ละองค์กร โดยหากองค์กรมีการบริหารความเสี่ยงอย่างมีประสิทธิภาพ จะส่งผลให้สามารถบรรลุวัตถุประสงค์องค์กร ทั้งในเชิงประสิทธิภาพและประสิทธิผลของงานด้วย

          โดยสรุปแล้วการบริหารความเสี่ยงในองค์กร (Enterprise Risk Management: ERM) เป็นกระบวนการที่มีระบบสามารถที่จะนำไปใช้ได้กับองค์กรทุกประเภท เพื่อบ่งชี้เหตุการณ์ความเสี่ยง ประเมินความเสี่ยง จัดลำดับความสำคัญ และจัดการความเสี่ยง ซึ่งช่วยให้เกิดผลลักษณะดังนี้ เช่น

          1. ช่วยสนับสนุนให้องค์กรสามารถพิจารณาระดับความเสี่ยงที่องค์กรยอมรับได้ หรือต้องการที่จะยอมรับเพื่อสร้างมูลค่าให้กับผู้ถือหุ้น

          2. กำหนดกรอบการดำเนินงานให้แก่องค์กรเพื่อให้สามารถบริหารความไม่แน่นอน ความเสี่ยงและโอกาสของธุรกิจอย่างมีประสิทธิภาพ

          นอกจากนี้เหตุแห่งความเสี่ยง (Risk Drivers) สามารถจำแนกได้ดังนี้

 

 

 

รูปที่ 1 เหตุแห่งความเสี่ยง (Risk Drivers)

 

 

ความหมายและคำจำกัดความการบริหารความเสี่ยง

 

          การบริหารความเสี่ยงขององค์กรทั่วไปนั้น คณะกรรมการบริหาร ผู้บริหารและพนักงานทุกคนในองค์กรต้องมีความรู้ ความเข้าใจถึงความหมายของความเสี่ยงที่ถูกต้องตรงกัน เพื่อให้ทุกคนในองค์กรสามารถมองความเสี่ยงไปในทิศทางเดียวกัน และสามารถนำไปประยุกต์ใช้ในการกำหนดกลยุทธ์ และการวางแผนขององค์กรได้ในทุกระดับ

          ความเสี่ยง (Risk) คือ โอกาส เหตุการณ์ที่มีความไม่แน่นอนที่จะเกิดความผิดพลาดความเสียหาย การรั่วไหล ความสูญเปล่าหรือเหตุการณ์ที่ไม่พึงประสงค์ หรือการกระทำใด ๆ ที่อาจเกิดขึ้นภายใต้สถานการณ์ที่ไม่แน่นอน ซึ่งอาจเกิดขึ้นในอนาคตและมีผลกระทบต่อภาพลักษณ์องค์กร และชื่อเสียงองค์กร หรือทำให้การดำเนินงานไม่ประสบความสำเร็จตามวัตถุประสงค์ และเป้าหมายขององค์กร ทั้งในด้านยุทธศาสตร์ การปฏิบัติงาน การเงินและการบริหาร

          การบริหารความเสี่ยงในองค์กร (Enterprise Risk Management) คือกระบวนการที่ปฏิบัติโดยคณะกรรมการ ผู้บริหาร และบุคลากรทุกคนในองค์กร เพื่อช่วยในการกำหนดกลยุทธ์และดำเนินงานโดยกระบวนการบริหารความเสี่ยงได้รับการออกแบบเพื่อให้สามารถบ่งชี้เหตุการณ์ที่อาจเกิดขึ้น และมีผลกระทบต่อองค์กร และสามารถจัดการความเสี่ยงให้อยู่ในระดับที่องค์กรยอมรับ เพื่อให้ได้รับความมั่นใจอย่างสมเหตุสมผล ในการบรรลุวัตถุประสงค์ที่องค์กรกำหนดไว้

 

 

 

รูปที่ 2 ดุลยภาพในการบริหารความเสี่ยงและการสร้างโอกาส

 

 

วัตถุประสงค์การจัดทำคู่มือการบริหารความเสี่ยง

 

          หน่วยงาน องค์กร หรือสถาบันที่ได้มีแนวคิดจัดทำคู่มือบริหารความเสี่ยง เพื่อเป็นเครื่องมือในการสนับสนุน และกำหนดแนวทางดำเนินงานด้านบริหารความเสี่ยงให้แก่ทุกส่วนงาน โดยสามารถนำไปปฏิบัติและประยุกต์ใช้งานได้จริงทั้งในระดับองค์กรและระดับหน่วยงานขององค์กรอย่างยั่งยืน โดยมีวัตถุประสงค์ที่สำคัญดังนี้คือ

          1 เพื่อเป็นเครื่องมือในการสร้างองค์ความรู้ด้านบริหารความเสี่ยง แก่บุคลากรของสถาบัน

          2. เพื่อให้ฝ่ายบริหาร/ผู้ปฏิบัติงาน เข้าใจหลักการ แนวคิด วิธีการ และกระบวนการบริหารความเสี่ยง

          3. เพื่อให้ผู้ปฏิบัติงานรับทราบขั้นตอน กระบวนการ และสามารถวางแผนงานการด้านบริหาร ความเสี่ยงขององค์กร และของแต่ละหน่วยงาน

          4. เพื่อเป็นเครื่องมือในการสื่อสารและสร้างความเข้าใจ ความสัมพันธ์ ตลอดจนเชื่อมโยงการบริหารความเสี่ยงกับกลยุทธ์ขององค์กร

          5. เพื่อใช้เป็นเครื่องมือในการกำหนดแนวทางบริหารความเสี่ยง และการควบคุมภายใน สำหรับหน่วยงานทุกระดับขององค์กร

          6. เพื่อให้มีการปฏิบัติตามกระบวนการบริหารความเสี่ยงการควบคุมภายในอย่างเป็นระบบ และมีความต่อเนื่อง

          7. เพื่อเป็นเครื่องมือช่วยในการปลูกฝังวัฒนธรรมองค์กรที่มุ่งเน้นการสร้างองค์ความรู้ ด้านการบริหารความเสี่ยงไปยังผู้บริหารและบุคลากรทุกระดับ

 

 

ประโยชน์ของการบริหารความเสี่ยง

 

          การดําเนินการบริหารความเสี่ยงจะช่วยผู้บริหารมีข้อมูลที่ใช้ในการตัดสินใจได้ดียิ่งขึ้น และทำให้องค์กรสามารถจัดการกับปัญหาอุปสรรคและอยู่รอดได้ในสถานการณ์ที่ไม่คาดคิดหรือสถานการณ์ที่อาจทำให้องค์กรเกิดความเสียหาย ประโยชน์ที่จะได้รับจากการดําเนินการบริหารความเสี่ยง มีดังนี้

          1. ช่วยสร้างโอกาสและเป็นส่วนหนึ่งของการบริหารงาน

          2. ตระหนักถึงภัยคุกคามที่ยังมาไม่ถึง และลดการสูญเสียที่อาจเกิดขึ้นได้

          3. ช่วยปกป้องการปฏิบัติงาน ปรับปรุงระบบงาน และการวางแผน

          4. สร้างฐานข้อมูลความรู้ที่มีประโยชน์ต่อการบริหาร และการปฏิบัติงานในองค์กร

          5. ช่วยสะท้อนให้เห็นภาพรวมของความเสี่ยงต่าง ๆ ที่สำคัญขององค์กรได้ทั้งหมด

          6. สร้างคุณค่าให้การทำงาน และสร้างภาพลักษณ์ที่ดีให้องค์กร

          7. เป็นเครื่องมือที่สำคัญในการบริหารงานและช่วยให้การพัฒนาองค์กรเป็นไปในทิศทางเดียวกัน

          8. ช่วยให้การพัฒนาการบริหารและจัดสรรทรัพยากรเป็นไปอย่างมีประสิทธิภาพและประสิทธิผล

          9. สนับสนุนการตัดสินใจของผู้บริหารและมองเป้าหมายในภาพรวม

          10. ช่วยให้องค์กรสามารถบรรลุเป้าหมาย ในขณะที่ลดอุปสรรคหรือสิ่งที่ไม่คาดหวังที่อาจเกิดขึ้นทั้งในการป้องกันความเสียหายต่อทรัพยากรขององค์กร และสร้างความมั่นใจในการรายงานและการปฏิบัติตามกฎระเบียบ

 

 

ประเภทของความเสี่ยง

 

          การบริหารความเสี่ยงองค์กรนั้น สามารถสะท้อนให้เห็นถึงนโยบายการบริหารจัดการ และการกำกับดูแลกิจการของแต่ละองค์กร หากองค์กรมีการบริหารความเสี่ยงอย่างมีประสิทธิภาพ จะส่งผลให้สามารถบรรลุวัตถุประสงค์องค์กรทั้งในเชิงประสิทธิภาพและประสิทธิผลของงาน ซึ่งประเภทของความเสี่ยงแบ่งออกได้ 4 ลักษณะ ดังนี้

          1. ความเสี่ยงทางด้านกลยุทธ์ (Strategic Risk: SR) คือ ความเสี่ยงที่เกิดจากการกำหนดแผนกลยุทธ์ แผนดำเนินงานและนำไปปฏิบัติไม่เหมาะสม หรือไม่สอดคล้องกับปัจจัยภายใน และสภาพแวดล้อมภายนอก อันส่งผลกระทบต่อการบรรลุวิสัยทัศน์ พันธะกิจ หรือสถานะขององค์กร โดยแหล่งที่มาของความเสี่ยงด้านกลยุทธ์ สามารถจำแนกได้ 2 ประเภท คือ

          1.1 ปัจจัยความเสี่ยงภายนอก ได้แก่ ภาวการณ์การแข่งขัน การเปลี่ยนแปลงนโยบาย กระแสสังคม การเปลี่ยนแปลงทางเทคโนโลยี ปัจจัยทางเศรษฐกิจ และปัจจัยทางการเมือง

          1.2 ปัจจัยความเสี่ยงภายใน ได้แก่ ปัจจัยภายในที่องค์กรสามารถควบคุมได้ แต่สามารถส่งผลกระทบหรือเป็นอุปสรรคต่อการดำเนินการตามแผนกลยุทธ์เพื่อให้บรรลุเป้าหมาย ได้แก่ โครงสร้างองค์กร กระบวนการ และวิธีปฏิบัติงาน ความเพียงพอของข้อมูล และเทคโนโลยี สำหรับการให้บริการ เป็นต้น

          2. ความเสี่ยงทางด้านการเงิน (Financial Risk: FR) คือความเสี่ยงที่เกิดจากการที่การเบิกจ่ายงบประมาณไม่เป็นไปตามแผน งบประมาณถูกตัด งบประมาณที่ได้รับไม่สอดคล้องกับสถานการณ์ของภารกิจที่เปลี่ยนแปลงไปทำให้การจัดสรรไม่พอเพียง

          3. ความเสี่ยงทางด้านการปฏิบัติงาน (Operation Risk: OR) หรือความเสี่ยงด้านการดำเนินงาน คือความเสี่ยงที่จะเกิดความเสียหายอันเนื่องมาจากขาดการควบคุมที่ดี โดยอาจเกี่ยวข้องกับกระบวนการปฏิบัติงานภายในคน ระบบ หรือเหตุการณ์ภายนอก

          4. ความเสี่ยงทางด้านกฎหมายและข้อกำหนดผูกพันองค์กร (Compliance Risk: CR) หมายถึง ความเสี่ยงที่เกิดจากการไม่สามารถปฏิบัติตามกฎระเบียบ หรือกฎหมายที่เกี่ยวข้องได้ หรือกฎระเบียบ หรือกฎหมายที่มีอยู่ไม่เหมาะสม หรือเป็นอุปสรรคต่อการปฏิบัติงาน

 

 

ปัจจัยสำคัญต่อความสำเร็จในการบริหารความเสี่ยง

 

          ปัจจัยสำคัญ 8 ประการ เพื่อช่วยให้การปฏิบัติตามกรอบการบริหารความเสี่ยงประสบความสำเร็จ มีดังนี้

 

 

 

 

รูปที่ 3 จิกซอว์ของความสำเร็จในการบริหารความเสี่ยง

 

 

          ปัจจัยที่ 1 การสนับสนุนจากผู้บริหารระดับสูง การปฏิบัติตามกรอบการบริหารความเสี่ยงขององค์กร จะประสบความสำเร็จเพียงใดขึ้นอยู่กับเจตนารมณ์ การสนับสนุน การมีส่วนร่วม และความเป็นผู้นำของผู้บริหารระดับสูงในองค์กร

          คณะกรรมการ และผู้บริหารระดับสูงขององค์กรทั่วไปต้องให้ความสำคัญ และสนับสนุนให้ทุกคนในองค์กร เข้าใจความสำคัญในคุณค่าของการบริหารความเสี่ยงต่อองค์กร มิฉะนั้นแล้วการบริหารความเสี่ยงไม่สามารถเกิดขึ้นได้ การบริหารความเสี่ยงต้องเริ่มต้นจากการที่กรรมการผู้จัดการหรือผู้นำสูงสุดขององค์กร ต้องการให้ระบบนี้เกิดขึ้น โดยกำหนดนโยบายให้มีการปฏิบัติ รวมถึงการกำหนดให้ผู้บริหารต้องใช้ข้อมูลเกี่ยวกับความเสี่ยงในการตัดสินใจ และบริหารงาน เป็นต้น

          ปัจจัยที่ 2 ความเข้าใจความหมายความเสี่ยงตรงกัน การใช้คำนิยามเกี่ยวกับความเสี่ยง และการบริหารความเสี่ยงแบบเดียวกัน ซึ่งจะทำให้เกิดความมีประสิทธิภาพในการกำหนดวัตถุประสงค์ นโยบาย กระบวนการ เพื่อใช้ในการบ่งชี้และประเมินความเสี่ยง และกำหนดวิธีการจัดการความเสี่ยงที่เหมาะสม

          การจัดทำกรอบและนโยบายการบริหารความเสี่ยงที่มีความชัดเจน จะทำให้ผู้บริหาร และพนักงานทุกคนใช้ภาษาความเสี่ยงในแนวทางเดียวกันและมีจุดหมายร่วมกันในการบริหารความเสี่ยง

          ปัจจัยที่ 3 กระบวนการบริหารความเสี่ยง ดำเนินการอย่างต่อเนื่อง การที่องค์กรทั่วไป จะประสบความสำเร็จในการปฏิบัติตามกระบวนการบริหารความเสี่ยงได้นั้น รูปแบบการบริหารความเสี่ยงขององค์กรจะต้องมีการกำหนดขึ้น และเป็นความรับผิดชอบของผู้บริหารในทุกระดับที่จะนำกระบวนการบริหารความเสี่ยงมาปฏิบัติได้อย่างทั่วถึงทั้งองค์กร และต้องกระทำอย่างต่อเนื่องสม่ำเสมอ

          ปัจจัยที่ 4 การบริหารการเปลี่ยนแปลงต้องมีการชี้แจง ในการนำเอากระบวนการบริหารความเสี่ยงมาปฏิบัติ จำเป็นต้องมีการปรับวัฒนธรรมการบริหารความเสี่ยงขององค์กรให้เข้ากับทุกระดับขององค์กร และต้องให้ผู้บริหารและพนักงานทุกคนได้ทราบถึงการเปลี่ยนแปลงและผลที่องค์กร และแต่ละบุคคลจะได้รับจากการเปลี่ยนแปลงนั้น โดยองค์ประกอบที่สำคัญของการเปลี่ยนแปลงมีดังนี้คือ

          • กำหนดความคาดหวังที่เป็นไปได้ในทางปฏิบัติตั้งแต่เริ่มต้นโครงการ

          • กำหนดระยะเวลาของกระบวนการเปลี่ยนแปลงและสื่อให้กับผู้ที่เกี่ยวข้องได้รับทราบ

          • กำหนดลักษณะและระดับของความพยายามที่ต้องการ

          • ดำเนินการเพื่อให้มั่นใจว่ามีการสื่อสารไปยังทุกฝ่ายที่ได้รับผลกระทบจากการเปลี่ยนแปลง

          • ระบุปัญหา อุปสรรคที่ต้องดำเนินการแก้ไขตั้งแต่เริ่มแรก

          ปัจจัยที่ 5 การสื่อสารที่มีคุณภาพเชื่อมโยงกับกลยุทธ์ การสื่อสารเกี่ยวกับกลยุทธ์การบริหารความเสี่ยง และวิธีปฏิบัติ มีความสำคัญอย่างมากเพราะการสื่อสารจะเน้นให้เห็นถึงการเชื่อมโยงระหว่างการบริหารความเสี่ยงกับกลยุทธ์องค์กร การชี้แจงทำความเข้าใจต่อพนักงานทุกคนถึงความรับผิดชอบของแต่ละบุคคลต่อกระบวนการบริหารความเสี่ยง จะช่วยให้เกิดการยอมรับในกระบวนการ และนำมาซึ่งความสำเร็จในการพัฒนาการบริหารความเสี่ยง โดยควรได้รับการสนับสนุนทั้งทางวาจา และในทางปฏิบัติจากกรรมการผู้จัดการและผู้บริหารระดับสูงขององค์กร ดังนั้นวัตถุประสงค์ของการสื่อสารอย่างมีประสิทธิผลนั้น ต้องให้มั่นใจได้ว่า

          • ผู้บริหารได้รับข้อมูลเกี่ยวกับความเสี่ยงที่ถูกต้องและทันเวลา

          • ผู้บริหารสามารถจัดการกับความเสี่ยงตามลำดับความสำคัญ หรือตามการเปลี่ยนแปลงหรือความเสี่ยงที่เกิดขึ้นใหม่ได้ทันท่วงที

          • การติดตามแผนการจัดการความเสี่ยงอย่างต่อเนื่อง เพื่อนำมาใช้ปรับปรุงการบริหารองค์กร และจัดการความเสี่ยงต่าง ๆ เพื่อให้องค์กรมีโอกาสในการบรรลุวัตถุประสงค์ได้มากที่สุด

          ปัจจัยที่ 6 การวัดผลการบริหารความเสี่ยง ควบคู่กับกระบวนการด้านบุคลากร การวัดความเสี่ยงในรูปแบบของผลกระทบและโอกาสที่อาจเกิดขึ้น เพื่อให้ผู้บริหารสามารถประเมินความเสี่ยงที่เกิดขึ้นและดำเนินการให้กระบวนการทั้งหมดเกิดความสอดคล้องกันอย่างมีประสิทธิภาพและประสิทธิผลและเป็นการลดความแตกต่างระหว่างความเสี่ยงที่เกิดขึ้น และความเสี่ยงที่องค์กรยอมรับ

          การวัดความสำเร็จของการบริหารความเสี่ยงโดยอาศัยดัชนีวัดผลการดำเนินงาน ซึ่งอาจกำหนดเป็นระดับองค์กร ฝ่ายงาน หรือของแต่ละบุคคล การใช้ดัชนีวัดผลการดำเนินงานนี้อาจปฏิบัติร่วมกับกระบวนการด้านทรัพยากรบุคคล

          ปัจจัยที่ 7 การฝึกอบรม ความรู้ ความรับผิดชอบการบริหารความเสี่ยง กรรมการ ผู้บริหาร และพนักงานทุกคนในองค์กร ควรต้องได้รับการฝึกอบรม เพื่อให้เข้าใจกรอบการบริหารความเสี่ยง และความรับผิดชอบของแต่ละบุคคลในการจัดการความเสี่ยง เพื่อบรรลุความสำเร็จขององค์กร การสื่อสารข้อมูลเกี่ยวกับความเสี่ยง การฝึกอบรมในองค์กรควรต้องคำนึงถึงประเด็น ดังต่อไปนี้

          • ความแตกต่างกันของระดับความรับผิดชอบในการบริหารความเสี่ยง

          • ความรู้เกี่ยวกับความเสี่ยง และการบริหารความเสี่ยงที่มีอยู่แล้วในองค์กรพนักงานใหม่ทุกคนควรได้รับการฝึกอบรม เพื่อให้มีความเข้าใจในความรับผิดชอบต่อความเสี่ยง และกระบวนการบริหารความเสี่ยงด้วยเช่นกัน

          ปัจจัยที่ 8 การติดตามกระบวนการบริหารความเสี่ยง ขั้นตอนสุดท้ายของปัจจัยสำคัญต่อความสำเร็จของการบริหารความเสี่ยง คือการกำหนดวิธีที่เหมาะสมในการติดตามการบริหารความเสี่ยง การติดตามกระบวนการบริหารความเสี่ยง ควรจะมีการพิจารณาประเด็นต่อไปนี้

          • การรายงาน และสอบทานขั้นตอนตามกระบวนการบริหารความเสี่ยง

          • ความชัดเจนและสม่ำเสมอของการมีส่วนร่วม และความมุ่งมั่นของผู้บริหารระดับสูง

          • บทบาทของผู้นำในการสนับสนุน และติดตามการบริหารความเสี่ยง

          • การประยุกต์ใช้เกณฑ์การประเมินผลการดำเนินงานที่เกี่ยวกับการบริหารความเสี่ยง

 

 

หน้าที่และความรับผิดชอบในการบริหารความเสี่ยง

 

          โครงสร้างการบริหารความเสี่ยง ไม่มีรูปแบบที่เป็นมาตรฐาน แต่อาจต้องปรับใช้ให้เหมาะสมกับแต่ละองค์กร โดยอาจพิจารณาจากวัฒนธรรมองค์กร การดำเนินงาน ประเภทธุรกิจ และอื่น ๆ ดังนั้นการพัฒนาโครงสร้างการบริหารความเสี่ยงอย่างเป็นทางการ จะทำให้ผู้บริหารและพนักงานในหน่วยงานต่าง ๆ มีความเข้าใจในหน้าที่และความรับผิดชอบที่เกี่ยวข้อง ซึ่งมีผลทำให้การตัดสินใจถูกต้อง ทันเวลา ปกป้องความสูญเสีย และเพิ่มโอกาสทางธุรกิจให้แก่องค์กรหรือหน่วยงาน

          การบริหารความเสี่ยง โดยแสดงรายละเอียดบทบาท และความรับผิดชอบหลัก อาจใช้เป็นแนวทางให้องค์กรนำไปพิจารณาปรับใช้ได้ตามความเหมาะสม

 

 

 

 

ขั้นตอนกระบวนการบริหารความเสี่ยงองค์กร

 

          กระบวนการบริหารความเสี่ยง เพื่อให้ขั้นตอนและวิธีการในการบริหารความเสี่ยงเป็นไปอย่างมีระบบและดำเนินไปในทิศทางเดียวกันทั่วทั้งองค์กร โดยมีขั้นตอนสำคัญของกระบวนการบริหารความเสี่ยงตามแนวคิดของ COSO (the Committee of Sponsoring Organizations of the Tread way Commission) สามารถแบ่งออกได้เป็น 8 องค์ประกอบ ดังนี้

 

 

รูปที่ 4 การบริหารความเสี่ยงตามแนวคิดของ COSO

 

 

          1. สภาพแวดล้อมภายในองค์กร (Internal Environmental) สภาพแวดล้อมขององค์กร เป็นองค์ประกอบที่สำคัญในการกำหนดกรอบบริหารความเสี่ยง โดยจะประกอบด้วย เช่น วัฒนธรรมองค์กร นโยบายของผู้บริหาร แนวทางการปฏิบัติงานบุคลากร กระบวนการทำงาน ระบบสารสนเทศ ระเบียบ เป็นต้น สภาพแวดล้อมภายในองค์กรประกอบเป็นพื้นฐานสำคัญในการกำหนดทิศทางของกรอบการบริหารความเสี่ยงขององค์กร

          สภาพแวดล้อมภายในครอบคลุมถึงแนวนโยบายโดยทั่วไปขององค์กร ซึ่งเป็นพื้นฐานของการมองความเสี่ยงและการจัดการกับความเสี่ยงโดยบุคลากรทั้งหมดในองค์กรรวมไปถึงปรัชญาการ บริหารความเสี่ยงกับระดับความเสี่ยงที่ยอมรับได้ ความซื่อสัตย์กับคุณค่าทางจริยธรรม และสภาพแวดล้อมในการปฏิบัติงานของบุคลากรเหล่านั้น

          2. การกำหนดวัตถุประสงค์ (Objective Setting) องค์กรต้องพิจารณากำหนดวัตถุประสงค์ในการบริหารความเสี่ยง ให้มีความสอดคล้องกับกลยุทธ์และความเสี่ยงที่องค์กรยอมรับได้ เพื่อวางเป้าหมายในการบริหารความเสี่ยงขององค์กรได้อย่างชัดเจน เหมาะสมและสอดคล้องกับระดับความเสี่ยงที่ยอมรับได้

          การกำหนดวัตถุประสงค์ (Objective Setting) คือขั้นตอนแรกสำหรับกระบวนการบริหารความเสี่ยง องค์กรควรมั่นใจว่าวัตถุประสงค์ที่กำหนดขึ้นมีความสอดคล้องกับเป้าหมายเชิงกลยุทธ์และความเสี่ยงที่องค์กรยอมรับได้ โดยทั่วไปวัตถุประสงค์และกลยุทธ์ควรได้รับการบันทึกเป็นลายลักษณ์อักษรและสามารถพิจารณาได้ในด้านต่าง ๆ ดังนี้

          2.1 วิสัยทัศน์ พันธะกิจ เป้าหมาย วัตถุประสงค์ด้านยุทธศาสตร์

          2.2 ด้านปฏิบัติงาน เกี่ยวข้องกับประสิทธิภาพ ผลการปฏิบัติงาน

          2.3 ด้านการรายงาน เกี่ยวข้องกับการรายงานทั้งภายในและภายนอกองค์กร

          2.4 ด้านการปฏิบัติตาม กฎ ระเบียบ ข้อบังคับ ที่เกี่ยวข้องกับการปฏิบัติตามกฎหมายและกฎระเบียบต่าง ๆ

          3. การบ่งชี้เหตุการณ์ (Event Identification)

          คือปัจจัยในการระบุสถานการณ์ ซึ่งองค์กรไม่สามารถมั่นใจได้ว่าเหตุการณ์ใดเหตุการณ์หนึ่ง จะเกิดขึ้นหรือไม่ หรือมีผลลัพธ์ที่เกิดขึ้นจะเป็นอย่างไร ประกอบด้วย ปัจจัยภายในและภายนอกที่ส่งผลต่อการนำกลยุทธ์ไปปฏิบัติและการบรรลุวัตถุประสงค์ขององค์กร ดังนั้นกระบวนการบ่งชี้เหตุการณ์ หรือการระบุความเสี่ยง ผู้บริหารควรพิจารณาสิ่งต่อไปนี้

          3.1 ปัจจัยความเสี่ยงทุกด้านที่อาจเกิดขึ้น เช่น ความเสี่ยงด้านกลยุทธ์การเงิน บุคลากร การปฏิบัติงาน กฎหมาย ภาษีอากร ระบบงาน สิ่งแวดล้อม และอื่น ๆ

          3.2 แหล่งความเสี่ยงทั้งจากภายในและภายนอกองค์กร

          3.3 ความสัมพันธ์ระหว่างเหตุการณ์ที่อาจเกิดขึ้น

          4. การประเมินความเสี่ยง (Risk Assessment) คือการประเมินโอกาสและผลกระทบของเหตุการณ์ที่อาจเกิดขึ้นต่อวัตถุประสงค์ ขณะที่การเกิดเหตุการณ์ใดเหตุการณ์หนึ่งอาจส่งผลกระทบในระดับต่ำ เหตุการณ์ที่เกิดขึ้นอย่างต่อเนื่องอาจมีผลกระทบในระดับสูงต่อวัตถุประสงค์ การประเมินความเสี่ยงประกอบด้วย 2 ลักษณะ ดังนี้

          4.1 โอกาสที่อาจเกิดขึ้น (Likelihood) เหตุการณ์มีโอกาสเกิดขึ้นมากน้อยเพียงใด

          4.2 ผลกระทบ (Impact) หากมีเหตุการณ์เกิดขึ้นองค์กรจะได้รับผลกระทบมากน้อยเพียงใด

          การประเมินความเสี่ยงสามารถทำได้ทั้งการประเมินเชิงคุณภาพและเชิงปริมาณ โดยพิจารณาทั้งเหตุการณ์ที่เกิดขึ้นจากภายนอกและภายในองค์กร นอกจากนี้ การประเมินความเสี่ยงควรดำเนินการทั้งก่อนจัดการความเสี่ยง (In-herent Risk) และหลังจากที่มีการจัดการความเสี่ยงแล้ว (Residual Risk) ปัจจัยที่ควรใช้ในการพิจารณาการจัดการความเสี่ยง เช่น

          • การปฏิบัติงานของผู้บริหารและพนักงาน

          • กระบวนการปฏิบัติงาน

          • กิจกรรมการควบคุมภายใน

          • โครงสร้างองค์กร

          • กระบวนการรายงาน/วิธีการติดต่อสื่อสาร

          • ทัศนคติและแนวทางของผู้บริหารเกี่ยวกับความเสี่ยง

          • พฤติกรรมขององค์กรที่คาดว่าจะมีและที่มีอยู่ในปัจจุบัน

          • การวัดผลการปฏิบัติงานและการติดตามผล

          • สัญญาและพันธมิตรในปัจจุบัน

          5. การตอบสนองความเสี่ยง (Risk Response) การจัดการความเสี่ยง หรือ การตอบสนองความเสี่ยง (Risk Response) คือเมื่อความเสี่ยงได้รับการบ่งชี้และประเมินความสำคัญแล้วผู้บริหารต้องประเมินวิธีการจัดการความเสี่ยงที่สามารถนำไปปฏิบัติได้ โดยการพิจารณาทางเลือกในการดำเนินการจะต้องคำนึงถึงความเสี่ยงที่ยอมรับได้ และต้นทุนที่เกิดขึ้นเปรียบเทียบกับผลประโยชน์ที่จะได้รับเพื่อให้การบริหารความเสี่ยงมีประสิทธิผล ผู้บริหารอาจต้องเลือกวิธีการจัดการความเสี่ยงอย่างใดอย่างหนึ่ง หรือหลายวิธีรวมกัน เพื่อลดระดับโอกาสที่อาจเกิดขึ้นและผลกระทบของเหตุการณ์ให้อยู่ในช่วงที่ องค์กรสามารถยอมรับได้ (Risk Tolerance)

          หลักการตอบสนองความเสี่ยงมี 4 ประการคือ

          1. การหลีกเลี่ยง (Avoid) การดำเนินการเพื่อหลีกเลี่ยงเหตุการณ์ที่ก่อให้เกิดความเสี่ยง

          2. การร่วมจัดการ (Share) การร่วมมือหรือแบ่งความรับผิดชอบกับผู้อื่นในการจัดการความเสี่ยง

          3. การลด (Reduce) การดำเนินการเพิ่มเติมเพื่อลดโอกาสที่อาจเกิดขึ้นหรือผลกระทบความเสี่ยงให้อยู่ในระดับที่ยอมรับได้

          4. การยอมรับ (Acept) ความเสี่ยงที่เหลือในปัจจุบันอยู่ภายในระดับที่ต้องการและยอมรับได้ โดยไม่ต้องมีการดำเนินการเพิ่มเติม เพื่อลดโอกาสหรือผลกระทบที่อาจเกิดขึ้นอีก

          6. กิจกรรมการควบคุม (Control Activities) คือนโยบายและกระบวนการปฏิบัติงาน เพื่อให้มั่นใจว่าได้มีการจัดการความเสี่ยง กิจกรรมการควบคุมอาจมีความแตกต่างกัน ขึ้นอยู่กับสภาพแวดล้อมภายในองค์กร ลักษณะธุรกิจ โครงสร้างและวัฒนธรรมองค์กร สิ่งสำคัญประการหนึ่งต่อกิจกรรมการควบคุมคือ การกำหนดบุคลากรภายในองค์กรเพื่อรับผิดชอบในการพิจารณาประสิทธิผลของการจัดการความเสี่ยงที่ได้ดำเนินการอยู่ในปัจจุบัน และพิจารณาการปฏิบัติเพิ่มเติมที่จำเป็น เพื่อเพิ่มประสิทธิผลของการจัดการความเสี่ยง นอกจากนี้การปฏิบัติเพื่อลดความเสี่ยงขององค์กรควรจะต้องมีการกำหนดวันแล้วเสร็จให้ชัดเจน

          7. ข้อมูลและการติดต่อสื่อสาร (Information and Communication) เป็นสิ่งจำเป็นสำหรับองค์กรในการบ่งชี้ ประเมิน และจัดการความเสี่ยง ข้อมูลสารสนเทศที่เกี่ยวข้องกับองค์กร ทั้งจากแหล่งภายนอกและภายในควรได้รับการบันทึกและสื่อสารอย่างเหมาะสมทั้งในด้านรูปแบบและเวลา เพื่อช่วยให้บุคลากรที่เกี่ยวข้องสามารถตอบสนองต่อเหตุการณ์ได้อย่างรวดเร็ว และมีประสิทธิภาพ

ดังนั้นการสื่อสารอย่างมีประสิทธิภาพ รวมถึงการแลกเปลี่ยนข้อมูลกับบุคคลภายนอกองค์กร เช่น ลูกค้า ผู้จัดหาสินค้า ผู้ให้บริการ ผู้กำกับดูแล และผู้ถือหุ้น เป็นต้น

          8. การติดตาม (Monitoring) องค์กรจะต้องมีการติดตามผล เพื่อให้ทราบถึงผลการดำเนินการว่ามีคุณภาพและมีความเหมาะสม สามารถดัดแปลงเท่าที่จำเป็น การติดตามดูแลต้องทำเป็นกิจกรรมที่ต่อเนื่อง นำไปประยุกต์ใช้ในทุกระดับองค์กร และสามารถจัดการความเสี่ยงได้อย่างมีประสิทธิภาพ

          การติดตามการบริหารความเสี่ยง สามารถทำได้ 2 แบบคือ

          1. การติดตามอย่างต่อเนื่อง เป็นการดำเนินการอย่างสม่ำเสมอ เพื่อให้สามารถตอบสนองต่อการเปลี่ยนแปลงอย่างทันท่วงที และถือเป็นส่วนหนึ่งของการปฏิบัติงาน

          2. การติดตามรายครั้ง เป็นการดำเนินการภายหลังจากเกิดเหตุการณ์ ดังนั้นปัญหาที่เกิดขึ้นจะได้รับการแก้ไขอย่างรวดเร็ว

 

 

 

 

ตัวอย่างงานวิจัยเกี่ยวกับการบริหารความเสี่ยง

 

          การศึกษาเรื่องความเสี่ยงในหน่วยงาน สถานประกอบการ และองค์กรต่าง ๆ โดยมีนักวิชาการและนักวิจัยได้ให้ความสำคัญมากขึ้น ซึ่งมีตัวอย่างงานวิจัยที่เกี่ยวกับความเสี่ยง ดังนี้

          เกษม เจริญภู่ธรรม (2549) ได้ทำการศึกษาเรื่อง การพัฒนาระบบบริหารความเสี่ยงด้านการเงินและพัสดุสำนักงานอธิการบดี มหาวิทยาลัยราชภัฏนครสวรรค์ พบว่า สามารถจัดกลุ่มความเสี่ยงออกมาได้ 11 ประเด็นโดยเรียงลำดับได้ดังนี้ 1.สถานที่เก็บพัสดุไม่เพียงพอ 2.ตรวจรับพัสดุไม่ครอบคลุม 3.ขาดเอกสารในการสืบค้นอ้างอิง 4.เจ้าหน้าที่ทำงานไม่ทัน 5.ผู้รับบริการไม่ให้ความร่วมมือ 6.เจ้าหน้าที่ทำงานผิดพลาด 7.ข้อมูลในคอมพิวเตอร์สูญหาย 8.ผู้รับบริการพิมพ์เอกสารผิดพลาด 9.บริษัทรับประมูลทำผิดสัญญา 10.ปริมาณพัสดุในคลังไม่เหมาะสม และ 11.เจ้าหน้าที่ได้รับอันตราย นอกจากนี้การวิเคราะห์ความเสี่ยงของสำนักงานอธิการบดี พบว่า สำนักงานอธิการบดีควรมีแผนจัดการความเสี่ยงในปี 2550 ของแผนกการเงินและพัสดุดังนี้ แผนงานที่ 1 การอบรมเจ้าหน้าที่ในสายงานในขั้นตอนการทำงานที่สอดคล้องกัน แผนงานที่ 2 การอบรมเจ้าหน้าที่ในสายงานด้านงานบริการแต่ละแผนกให้ชัดเจน แผนงานที่ 3 การอบรมเจ้าหน้าที่ด้านทำความเข้าใจผู้รับบริการ แผนที่ 4 การประเมินความเหมาะสมของภาระงานแต่ละบุคคล แผนที่ 5 การกำหนดระเบียบและออกแบบฟอร์มต่าง ๆ ที่ชัดเจน แผนที่ 6 การจัดการความปลอดภัยในการทำงานด้านการจัดเก็บเงินและพัสดุ แผนที่ 7 การควบคุมคอมพิวเตอร์และการสำรองข้อมูล แผนที่ 8 ระบบการจัดเก็บข้อมูลและประวัติของบริษัทที่เข้ามารับประมูล แผนที่ 9 การปรับปรุงการตรวจรับและตรวจ สอบพัสดุ และแผนที่ 10 การจัดทำระบบจัดเก็บเอกสาร

          ช่อทิพย์ คำมาก (2552) ไดทำการศึกษาเรื่อง การประเมินผลการบริหารความเสี่ยงขององค์การตามหลักการของ COSO ERM: กรณีศึกษาธุรกิจบริการแห่งหนึ่ง โดยศึกษาวิเคราะห์และประเมินผล การบริหารความเสี่ยงตามองค์ประกอบ 8 ประการของหลักการ COSO ERM พบว่า บริษัทกรณีศึกษาได้นำแนวทางการบริหารความเสี่ยงองค์การตามหลักของ COSO ERM เพื่อเสนอแนะแนวทางในกาพัฒนาการบริหารความเสี่ยงองค์การให้เหมาะสมยิ่งขึ้น

 

          ข้อเสนอแนะเพื่อพัฒนาแนวทางการบริหารความเสี่ยง คือ

          1. ข้อปฏิบัติในการปรับปรุง นโยบาย และแนวทางบริหารความเสี่ยง

          2. กำหนดวัตถุประสงค์ให้ชัดเจน ครอบคลุม ทุกระดับ ข้อเสนอแนะเพิ่มเติม เพื่อพัฒนาแนวทางการบริหารความเสี่ยงขององค์การ ทั้งในระดับองค์การ สายงาน ฝ่ายงาน ส่วนงานและกิจกรรม

          3. การพิจารณาทั้งเหตุการณ์ที่มีผลกระทบในเชิงลบและเชิงบวกในการระบุเหตุการณ์เสี่ยง

          4. การเพิ่มช่องทางและแจ้งข้อมูลการทุจริตของพนักงานไปยังสำนักงานตรวจสอบภายในโดยตรง

          5. การปรับปรุงคู่มือการบริหารความเสี่ยง

          6. การกำหนดความรับผิดชอบเกี่ยวกับการบริหารความเสี่ยงในคำอธิบายลักษณะงาน

          7. การทำประกันความซื่อสัตย์ของพนักงาน

 

          ภูริตา หรินทจินดา (2552) ไดทําการศึกษามาตรการตอบสนองความเสี่ยงของผูรับจางกอสรางในโครงการอุโมงค จากการสํารวจพบวา มาตรการตอบสนองความเสี่ยงที่พิจารณา ไดแก การคงความเสี่ยงไว การลดความเสี่ยง การ ถายโอนความเสี่ยง การขจัดความเสี่ยงหรือการหลีกเลี่ยงความเสี่ยง และการคิดคาเผื่อสํารอง จากการสัมภาษณผูรับจางในโครงการกรณีศึกษา 4 โครงการ พบวา มาตรการที่ผูรับจางใชมากที่สุดคือ มาตรการลดความเสี่ยง มาตรการคงความเสี่ยงไว และมาตรการถายโอนความเสี่ยง ตามลําดับ

          พัททิยา บูรณเทพ (2553) ได้ทำการศึกษาการจัดการความเสี่ยงในโครงการขุดเจาะและกอสรางอุโมงครถไฟฟ้าใตดิน พบว่า ในภาพรวมตามประเภทความเสี่ยงทั้ง 9 ประเภทพบว่าโอกาสการเกิดความเสี่ยงอยู่ที่ร้อยละ 34.93 จัดอยู่ในเกณฑ์โอกาสเกิดความเสี่ยงปานกลาง เมื่อพิจารณาจำแนกความเสี่ยงแต่ละประเภท ประเภทความเสี่ยงที่ 5 จัดอยู่ในเกณฑ์โอกาสการเกิดความเสี่ยงน้อย ประเภทความเสี่ยงที่ 1 ด้านกายภาพ ความเสี่ยงที่ 3 ด้านรูปแบบ ความเสี่ยงที่ 4 ด้านข้อโต้แย้ง ความเสี่ยงที่ 6 ด้านเศรษฐกิจ ความเสี่ยงที่ 7 ด้านความสามารถในการทำงาน ความเสี่ยงที่ 8 ด้านการเมืองและสาธารณะชน และความเสี่ยงที่ 9 ด้านความล่าช้าจากฝ่ายงานที่เกี่ยวข้อง จัดอยู่ในเกณฑ์โอกาสการเกิดความเสี่ยงปานกลาง และประเภทความเสี่ยงที่ 2 จัดอยู่ในเกณฑ์โอกาสเกิดความเสี่ยงมาก และจากการศึกษาข้อมูลความรับผิดชอบในความเสี่ยงทั้ง 9 ประเภท พบว่า ผู้ลงทุนเป็นผู้รับผิดชอบความเสี่ยงมากที่สุด โดยคิดเป็นร้อยละ 47.38 ผู้รับเหมารับผิดชอบความเสี่ยง ร้อยละ 36.73 และผู้รับผิดชอบความเสี่ยงร่วมกัน ร้อยละ 15.89

          มานิต ลอศิริกุล (2553) ได้ทำการศึกษาเรื่อง ระบบการบริหารความเสี่ยงขององค์การรัฐวิสาหกิจด้านพลังงานไฟฟ้าไทย พบว่า 1.ระบบบริหารความเสี่ยงขององค์การรัฐวิสาหกิจด้านพลังงานไฟฟ้าไทย ทั้ง 3 องค์การ มีระบบการบริหารความเสี่ยงองค์การตามกรอบมาตรฐานสากล COSO-ERM โดยแบ่งความเสี่ยงเป็น 4 ด้าน ได้แก่ ด้านกลยุทธ์และการแข่งขัน ด้านการเงิน ด้านการปฏิบัติการ และด้านการปฏิบัติตามกฎระเบียบ เมื่อเปรียบเทียบระบบการบริหารความเสี่ยงของทั้ง 3 องค์การ พบว่า รัฐวิสาหกิจที่ดีเด่น ด้านการบริหารความเสี่ยงองค์การ คือ กฟน. มีการจัดระบบบริหารความเสี่ยงองค์การที่มีประสิทธิผลสูงกว่ารัฐวิสาหกิจทั่วไปในกลุ่มคือ กฝผ. และ กฟภ. โดยมีปัจจัยสำคัญที่แตกต่างอย่างเห็นได้ชัดเจน คือบทบาทของผู้นำองค์การที่ให้ความสำคัญกับการบริหารความเสี่ยงองค์การในการกำกับดูแลและรับผิดชอบโดยตรง 2.ปัจจัยสำคัญที่มีผลต่อประสิทธิผลของการบริหารความเสี่ยงองค์การของทั้ง 3 องค์การ มีความเห็นสอดคล้องตรงกันต่อทุกปัจจัยที่ระดับ “เห็นด้วยอย่างยิ่ง” ได้แก่ ผู้บริหารระดับสูงให้การสนับสนุน มีกระบวนการบริหารความเสี่ยงที่ต่อเนื่องทั่วทั้งองค์การ มีโครงสร้างการบริหารความเสี่ยงที่ชัดเจนและเหมาะสม มีความเข้าใจความหมายเดียวกันในเรื่องความเสี่ยงและการบริหารความเสี่ยง มีระบบรายงานและสอบทวน มีการสื่อสารที่มีคุณภาพ การมีส่วนร่วมของหน่วยงานที่เกี่ยวข้อง บุคลากรมีความซื่อสัตย์ในการให้ข้อมูล มีการวัดผลการบริหารความเสี่ยงเชื่อมโยงกับกระบวนการบริหารด้านบุคลากร มีการฝึกอบรมให้ความรู้ และมีการบริหารการเปลี่ยนแปลง และ 3.ปัญหาอุปสรรคของการบริหารความเสี่ยงองค์การทั้ง 3 องค์การ ที่พบปัญหาร่วมกันคือ บุคลากรยังเข้าใจในความหมายความเสี่ยงและการบริหารความเสี่ยงไม่ตรงกัน มีปัญหาการเชื่อมโยงการบริหารความเสี่ยงกับระบบงานต่าง ๆ ยังไม่สามารถปลูกฝังการบริหารความเสี่ยงให้กลายเป็นวัฒนธรรมองค์การ การสื่อสารที่ยังไม่ทั่วทั้งองค์การ การมีส่วนร่วมของพนักงานยังเป็นเฉพาะกลุ่มผู้มีหน้าที่รับผิดชอบ ยังไม่มีการจัดทำแผนรองรับการดำเนินธุรกิจอย่างต่อเนื่องในภาพรวมทั้งองค์การและนโยบายในการบริหารไฟฟ้าทั้ง 3 องค์การ ยังไม่มีเอกภาพ ส่วนปัญหาที่พบเฉพาะองค์การ กฟผ. กฟภ. และ กฝภ. เมื่อเปรียบเทียบกับ กฟน. คือผู้บริหารระดับสูงยังให้ความสำคัญน้อย

 

 

บทสรุป

 

          การบริหารความเสี่ยงในองค์กร (Enterprise Risk Management) เป็นกระบวนการที่จัดขึ้นโดยฝ่ายบริหารเพื่อประยุกต์ใช้ในการจัดทำแผนกลยุทธ์ทั่วทั้งองค์กร โดยออกแบบมาระบุเหตุการณ์ที่อาจเกิดขึ้นมีผลกระทบต่อองค์กร และจัดการกับความเสี่ยงให้อยู่ในระดับที่ยอมรับได้ เพื่อให้เกิดความเชื่อมั่นผลการดำเนินงานต่าง ๆ ซึ่งสามารถบรรลุวัตถุประสงค์ที่ได้กำหนดไว้

          ประเภทของความเสี่ยง แบ่งออกได้ 4 ประเภทคือ ความเสี่ยงทางด้านกลยุทธ์ ความเสี่ยงทางด้านการเงิน ความเสี่ยงทางด้านการปฏิบัติงาน และความเสี่ยงทางด้านกฎหมายและข้อกำหนดผูกพันองค์กร

          ขั้นตอนการบริหารความเสี่ยง แบ่งออกได้ 8 องค์ประกอบคือ สภาพแวดล้อมภายในองค์กร การกำหนดวัตถุปะสงค์ การบ่งชี้เหตุการณ์ การประเมินความเสี่ยง การตอบสนองความเสี่ยง กิจกรรมการควบคุม ข้อมูลและการติดต่อสื่อสาร และการติดตาม