การบริหารความเสี่ยง Strategic Risk Management

1. แผนการตอบสนองต่อการเปลี่ยนแปลง ตามกรอบการประเมินผลการปฏิบัติราชการ2551 การบริหารความเสี่ยงStrategic Risk Management ดร.สุรพงษ์ มาลี หัวหน้ากลุ่มงานสนับสนุนทางยุทธศาสตร์ สำนักวิจัยและพัฒนาระบบงานบุคคล สำนักงานคณะกรรมการข้าราชการพลเรือน (ก.พ.)

2. เป้าประสงค์ของการประชุมเชิงปฏิบัติการเป้าประสงค์ของการประชุมเชิงปฏิบัติการ • เพื่อสร้างความรู้ความเข้าในเกี่ยวกับการบริหารความเสี่ยง • เพื่อทบทวนผลการบริหารความเสี่ยง และระบุปัจจัยเสี่ยง และประเมินความเสี่ยง • เพื่อจัดทำแผนบริหารและแนวทางการติดตามผลการบริหารความเสี่ยง ตามกรอบการประเมินผลตามคำรับรองการปฏิบัติราชการ

3. บทบาทของรัฐในการจัดการความเสี่ยงบทบาทของรัฐในการจัดการความเสี่ยง ความเสี่ยงจากภัยเทคโนโลยี และภัยทางสังคม ความเสี่ยงจากภัยธรรมชาติ Regulatory roles Stewardship roles Management roles ความเสี่ยงจากนโยบายและการดำเนินงาน

4. ทำไมต้องมีระบบบริหารความเสี่ยงทำไมต้องมีระบบบริหารความเสี่ยง • เป็นส่วนหนึ่งของกรอบการประเมินผลการปฏิบัติราชการ • สอดคล้องกับหลักการบริหารกิจการบ้านเมืองที่ดี มาตรฐาน การควบคุมภายใน 2544 และการตรวจราชการแนวใหม่ • เป็นส่วนหนึ่งของการบริหารเชิงกลยุทธ์ • เพิ่มโอกาสและช่วยให้ส่วนราชการบรรลุเป้าประสงค์และพันธกิจที่ตั้งไว้มากยิ่งขึ้น (ลด Surprises) • พัฒนาผลงานขององค์กร เช่น การพัฒนาคุณภาพการส่งมอบบริการให้ประชาชน การใช้ทรัพยากรอย่างมีประสิทธิภาพ เป็นต้น

5. เป้าประสงค์ของการประชุมเชิงปฏิบัติการ เป้าประสงค์ของการประชุมเชิงปฏิบัติการ เข้าใจหลักการและกระบวนการบริหารความเสี่ยง เข้าใจและระบุ/จำแนกความเสี่ยงในส่วนราชการได้ เข้าใจและประเมินความเสี่ยงในส่วนราชการได้ จัดทำแผนบริหารความเสี่ยงของส่วนราชการได้ มีแนวทางในการติดตามและประเมินผลการบริหารความเสี่ยง

6. วิธีการประชุมเชิงปฏิบัติการวิธีการประชุมเชิงปฏิบัติการ • การบรรยาย สลับกับการทำกิจกรรมกลุ่ม และการนำเสนอ ผลงานของกลุ่ม • กิจกรรมในแต่ละขั้นตอนมีความสัมพันธ์กัน ผลของการทำ กิจกรรมขั้นตอนแรก ต้องนำไปใช้ในกิจกรรมในขั้นตอน ต่อๆไป

7. ความเสี่ยง (Risk )คืออะไร โอกาส/เหตุการณ์ที่ไม่พึงประสงค์ ที่จะส่งผลกระทบ ทำให้เป้าประสงค์ของหน่วยงานเบี่ยงเบนไป หรือเกิดความไม่แน่นอนในการบริหารงาน อันอาจทำให้เกิดความเสียหาย

8. ความหมายของความเสี่ยง ตามคำรับรองฯ เหตุการณ์/การกระทำใดๆที่อาจเกิดขึ้นภายใต้สถานการณ์ที่ไม่แน่นอน และจะส่งผลกระทบหรือสร้างความเสียหาย (ทั้งที่เป็นตัวเงินและไม่ใช่ตัวเงิน) หรือก่อให้เกิดความล้มเหลวหรือลดโอกาสที่จะบรรลุเป้าหมายตามภารกิจหลักที่กำหนดในกฎหมายจัดตั้งส่วนราชการ และเป้าหมายตามแผนปฏิบัติราชการ ประจำปีงบประมาณ 2551ของส่วนราชการ

9. องค์ประกอบของความเสี่ยงองค์ประกอบของความเสี่ยง • ความไม่แน่นอนว่าผลลัพธ์จะเกิดขึ้นตามที่ตั้งเป้าหมาย ไว้หรือไม่ • การกระทำหรือเหตุการณ์ที่อาจจะมีผลบั่นทอน • ความสามารถขององค์กรที่จะบรรลุเป้าประสงค์ที่ตั้งไว้ • การกระทำหรือเหตุการณ์ซึ่งอาจเป็นได้ทั้งโอกาส หรือสิ่งคุกคาม (เหตุการณ์ที่ไม่พึงประสงค์) • กินความถึงแนวโน้มหรือโอกาสที่จะเกิดความเสี่ยง และผลกระทบหากเหตุการณ์อุบัติขึ้นจริง

10. ความสัมพันธ์ของเป้าประสงค์ ความเสี่ยง และการควบคุม เป้าประสงค์ สิ่งที่ส่วนราชการต้องการบรรลุ สิ่งที่อาจขัดขวางหรือเป็นอุปสรรค ทำให้ส่วนราชการไม่สามารถบรรลุ เป้าประสงค์ที่ตั้งไว้ ความเสี่ยง สิ่งที่จะช่วยให้ส่วนราชการบรรลุ เป้าประสงค์ได้ หากมีการบริหาร จัดการที่ดี การควบคุม

11. การบริหารความเสี่ยง (Risk Management) คืออะไร • กระบวนการระบุหาความเสี่ยงที่สำคัญขององค์กร ประเมินผลกระทบของความเสี่ยงพัฒนาแนวทางการจัดการกับความเสี่ยงและนำไปปฏิบัติ อย่างเป็นระบบ โดยมีการบูรณาการและเน้นความสอดคล้องระหว่างกลยุทธ์ บุคลากร กระบวนงานและเทคโนโลยี เพื่อเพิ่มคุณค่าสูงสุดให้กับองค์การ • กิจกรรมที่เกี่ยวข้องกับการระบุหาและควบคุมความเสี่ยง ซึ่งมีผลกระทบต่อการบรรลุพันธกิจและเป้าประสงค์ขององค์กร

12. การบริหารความเสี่ยงเป็นหน้าที่ของใครการบริหารความเสี่ยงเป็นหน้าที่ของใคร ทุกคนเกี่ยวข้องกับการบริหารความเสี่ยงในฐานะที่ เป็นผู้ระบุว่ามีความเสี่ยงอะไรบ้างในหน่วยงาน/ โครงการหรืองานของตน ฝ่ายบริหารของหน่วยงาน เจ้าของหรือเจ้าภาพความเสี่ยง (Risk Owners) ผู้บังคับบัญชาของหน่วยงาน เจ้าของโครงการ/เจ้าของงาน ผู้ที่ได้รับมอบหมายเฉพาะ คณะกรรมการบริหารความเสี่ยง(RiskManagement and Review Committee)

13. เจ้าของ/เจ้าภาพความเสี่ยง (Risk Ownership) • มีการตกลงและมอบหมายการเป็นเจ้าภาพความเสี่ยงอย่าง เป็นทางการ • อาจไม่ใช่คนที่รับผิดชอบการประเมินความเสี่ยงก็ได้แต่ต้อง เป็นคนที่สามารถติดตามดูแลให้มีการบริหารความเสี่ยง อย่างมีประสิทธิภาพ • ต้องมีความชัดเจนว่าใครทำหน้าที่อะไร • ใครเป็นผู้กำหนดนโยบายว่าส่วนราชการจะรับความเสี่ยงได้แค่ไหน • ใครรับผิดชอบการบริหารความเสี่ยงในแต่ละระดับ • ใครรับผิดชอบแต่ละกระบวนการ/ขั้นตอนของการบริหารความเสี่ยง • ใครดูแลการนำมาตรการบริหารความเสี่ยงไปปฏิบัติ • ใครดูแล กรณีที่เป็นความเสี่ยงร่วม (Interdependent risks)

14. การกำหนดกรอบนโยบายการบริหารความเสี่ยงการกำหนดกรอบนโยบายการบริหารความเสี่ยง • กำหนดกรอบนโยบายการบริหารความเสี่ยง จาก • ข้อกำหนดทางกฎหมาย ระเบียบ นโยบาย • ระบุความคาดหวังของผู้มีส่วนได้เสีย • กำหนดวิสัยทัศน์ของการบริหารความเสี่ยง (Risk Vision Statement) • มีแนวทางในการระบุ ประเมิน และรายงานด้านความเสี่ยง • กำหนดเป้าหมาย และระบุอุปสรรคของการบริหารความเสี่ยง • กำหนดแนวทางการประเมินผลความสำเร็จของการบริหารความเสี่ยง ตามมาตรฐานคุณภาพ • ระบุเจ้าภาพความเสี่ยง • สื่อสารกรอบนโยบายที่ชัดเจนให้ทั่วถึงทั้งองค์กร

15. ประโยชน์ของบริหารความเสี่ยงประโยชน์ของบริหารความเสี่ยง • ประโยชน์ด้านยุทธศาสตร์ขององค์กร (Strategic Benefits) • ประโยชน์ด้านการเงิน(Financial Benefits) • ประโยชน์ต่อการบริหารแผนงานโครงการ(Programme Benefits) • ประโยชน์ต่อกระบวนงาน (Business Process Benefits) • ประโยชน์ต่อการบริหารจัดการโดยรวม(Overall Management Benefits)

16. วงจรการบริการความเสี่ยงเชิงกลยุทธ์วงจรการบริการความเสี่ยงเชิงกลยุทธ์ Identify the risks and define a framework Evaluate the risks Embed and review Assess risk appetite Gain Assurance About the effectiveness Identify Suitable responses to risk

17. กระบวนการบริการความเสี่ยงเชิงกลยุทธ์กระบวนการบริการความเสี่ยงเชิงกลยุทธ์ Reviewing and reporting risks Identifying risks Communication and learning Addressing risks Assessing risks

18. R I S K 3 ขั้นตอนการบริหารความเสี่ยงเชิงกลยุทธ์ 1. กำหนดเป้าประสงค์ที่ต้องบรรลุ 2. ระบุความเสี่ยงที่จะทำให้ ไม่บรรลุเป้าประสงค์ Risk Management System 1 2 3. ประเมินโอกาส ผลกระทบและความรุนแรงของความเสี่ยง 4 4. ทำแผนจัดการกับความเสี่ยง 5. การติดตามสอบทาน/สื่อสาร

19. ขั้นตอนที่1 การระบุและจำแนกความเสี่ยง Risk Identification

20. คุณมองเห็นอะไร?

21. การสร้างคุณค่าและความแตกต่างในผลงานการสร้างคุณค่าและความแตกต่างในผลงาน Practical Needs Personal Needs

22. การระบุหาและจำแนกความเสี่ยงในองค์กรการระบุหาและจำแนกความเสี่ยงในองค์กร • สำรวจว่ามีความเสี่ยงใดที่อาจทำให้การทำงานไม่ เป็นไปตามเป้าประสงค์ของส่วนราชการหรือหน่วยงาน (Risks must be identifiedin relation to strategic objectives) • จำแนกความเสี่ยงนั้นๆ ว่าเกิดขึ้นในระดับใดและ เป็นความเสี่ยงประเภทใด (อาจใช้ตารางMatrix) • จัดทำ/เขียนRisk Statement ซึ่งระบุสาเหตุของความเสี่ยงและผลกระทบที่อาจเกิดขึ้น(What, Why and How Things can arise)

23. การระบุหาและจำแนกความเสี่ยงในองค์กร (ต่อ) • การระบุหาและจำแนกความเสี่ยงอาจใช้ • คณะกรรมการบริหารความเสี่ยง • เจ้าภาพ/เจ้าของความเสี่ยง ประเมินโดยใช้ (Risk Self- Assessment) • การประชุมสัมมนาเชิงปฏิบัติการ • สร้างความมั่นใจว่าผู้เกี่ยวข้องกับการบริหารความเสี่ยง และข้าราชการทุกคน เข้าใจตรงกันเกี่ยวกับความเสี่ยงที่ระบุ (ไม่ควรใช้การลงคะแนนหากไม่จำเป็น ควรใช้การอภิปรายรับ ฟังความคิดเห็น) • เก็บข้อมูลความเสี่ยงอย่างเป็นระบบเพื่อง่ายแก่การทบทวน และการจัดทำ Risk Registers and Risk Profile

24. ลำดับชั้นของความเสี่ยงลำดับชั้นของความเสี่ยง ระดับยุทธศาสตร์ (Strategic Risk) Strategic decision Decisions transferring strategy into action ระดับแผนงาน/โครงการ (Programme Risk) ระดับความไม่แน่นอน Decisions Required for implementation ระดับกิจกรรมและงานปฏิบัติ (Operational Risk)

25. ประเภทของความเสี่ยง ความเสี่ยงภายนอก External Risk ความเสี่ยงด้านชื่อเสียง Reputation/ Moral/Ethical Risk ความเสี่ยงด้านความ ปลอดภัยและสิ่งแวดล้อม Safety & Environment Risk ความเสี่ยงด้านกฎระเบียบ Compliance Risk • ความเสี่ยงด้านการเงิน (Financial Risk) • ความเสี่ยงด้านการดำเนินงาน (Operation Risk) • ความเสี่ยงด้านทรัพยากรบุคคล (Human Resource Risk)

26. การจำแนกประเภทของความเสี่ยงในส่วนราชการการจำแนกประเภทของความเสี่ยงในส่วนราชการ

27. กิจกรรมที่ 1 จำแนกความเสี่ยงในส่วนราชการของท่าน • แบ่งกลุ่ม (อาจแบ่งตามยุทธศาสตร์ของหน่วยงาน) • ใช้เวลาประมาณ 1 ชั่วโมง เพื่อ • ค้นหาและจำแนกสิ่งที่ท่านคิดว่าเป็น “ความเสี่ยง” ของหน่วยงานของท่าน • อภิปรายเพื่อให้มั่นใจสมาชิกทุกคนในกลุ่มเข้าใจ “ความเสี่ยง”ที่ระบุตรงกัน • สรุปความเสี่ยงในแบบฟอร์มที่แจก • เตรียมการนำเสนอ

28. การระบุและจำแนกประเภทของความเสี่ยงในส่วนราชการการระบุและจำแนกประเภทของความเสี่ยงในส่วนราชการ

29. การจำแนกประเภทของความเสี่ยงในส่วนราชการการจำแนกประเภทของความเสี่ยงในส่วนราชการ

30. ขั้นตอนที่2 การประเมินความเสี่ยง Risk Assessment

31. R I ความรุนแรงของผลกระทบ (Consequence/Impact ) ความเป็นไปได้ของโอกาสที่จะเกิด (Likelihood) S K Trade off ระดับความเข้มข้นของ การควบคุม/การตรวจสอบ (Internal Control) Trade off หลักการประเมินความเสี่ยง Balance

32. การวิเคราะห์โอกาสและผลกระทบของความเสี่ยงการวิเคราะห์โอกาสและผลกระทบของความเสี่ยง โอกาส/ความน่าจะเป็น/ แนวโน้มที่จะเกิดความเสี่ยง (Probabilities/Likelihood) ผลหรือระดับของผลกระทบ หากความเสี่ยงเกิดขึ้นจริง (Impacts) ระดับของความเสี่ยง ในส่วนราชการ เชิงคุณภาพ: ใช้คำพูดอธิบายโอกาส และผลกระทบ (Qualitative Analysis) เชิงกึ่งคุณภาพ: มีการกำหนดค่าให้กับ Ranking Scale แต่ไม่ใช่ค่าจริงๆของความเสี่ยง (Semi-Qualitative Analysis) การวิเคราะห์เชิงปริมาณ: มีการกำหนดค่าที่เป็นตัวเลขซึ่งสะท้อนค่าโอกาส และผลกระทบอย่างชัดเจน (Qualitative Analysis)

33. ขั้นตอนการประเมินความเสี่ยง(Risk Assessment)

34. หลักเกณฑ์การประเมินโอกาสที่จะเกิดความเสี่ยง( Likelihood)

35. หลักเกณฑ์การประเมินผลกระทบจากความเสี่ยง(Impact)หลักเกณฑ์การประเมินผลกระทบจากความเสี่ยง(Impact)

36. การจัดทำแผนภูมิความเสี่ยงการจัดทำแผนภูมิความเสี่ยง ระดับความเสี่ยงที่ยอมรับได้ ผลกระทบ ความน่าจะเป็น/โอกาส

37. การจัดทำRisk Map: Risk/Tolerance Matrix 4 3 ผลกระทบ 2 1 1 2 3 4 ความน่าจะเป็น/โอกาส

38. กิจกรรมที่ 2 การวิเคราะห์โอกาสและผลกระทบของความเสี่ยง • แบ่งกลุ่ม (อาจแบ่งตามหน่วยงาน)และอภิปราย • ใช้เวลาประมาณ 1 ชั่วโมง เพื่อ • นำประเด็นความเสี่ยงที่ระบุในขั้นตอนก่อนหน้ามาวิเคราะห์โอกาสและความเสี่ยง • จัดทำแผนที่ความเสี่ยง (Risk Map) • หาค่าความเสี่ยงซึ่งวิกฤติ โดยนำคะแนนโอกาสและความเสี่ยงมาคูณกัน (ผลกระทบ x โอกาส) • สรุปผลการวิเคราะห์ในแบบฟอร์มที่แจก

39. การจัดลำดับความสำคัญของความเสี่ยง(Risk Prioritisation) 1.การประเมินประสิทธิผล ของการควบคุม ความเสี่ยงในปัจจุบัน 2.โอกาสและความสามารถ ที่จะปรับปรุงการบริหารความเสี่ยง 3.ระยะเวลาที่จะสามารถ เริ่มลงมือปฏิบัติ ลำดับความสำคัญ ของความเสี่ยง ในส่วนราชการ

40. 1.การประเมินประสิทธิผลการควบคุมความเสี่ยงที่มีอยู่ในปัจจุบัน1.การประเมินประสิทธิผลการควบคุมความเสี่ยงที่มีอยู่ในปัจจุบัน คำถามหลัก: ในปัจจุบันมีระบบและมาตรการการควบคุมความเสี่ยงอยู่หรือไม่ และมีประสิทธิผลในการลดโอกาสและผลกระทบของความเสี่ยงมากน้อยเพียงใด

41. 2.การประเมินโอกาสและความสามารถในการปรับปรุงความเสี่ยง2.การประเมินโอกาสและความสามารถในการปรับปรุงความเสี่ยง คำถามหลัก: จะสามารถปรับปรุง หรือมีวิธีอื่นใดที่จะปรับปรุงระบบและมาตรการการควบคุมความเสี่ยงที่อยู่ได้หรือไม่(ทั้งโดยหน่วยงานตนเอง หน่วยสนับสนุน หรือร่วมมือกับหน่วยอื่นๆ(Opportunity to Improve)

42. 3.การประเมินกรอบเวลาในการปรับปรุงความเสี่ยง3.การประเมินกรอบเวลาในการปรับปรุงความเสี่ยง คำถามหลัก: จะสามารถนำระบบและมาตรการควบคุมความเสี่ยงไปปฏิบัติได้ทันทีหรือย้องต้องรอเวลาที่เหมาะสม รอความพร้อม หรือรองบประมาณ (Time Scale for Action)

43. 3.การจัดลำดับความสำคัญของความเสี่ยง( Risk Prioritisation) ลำดับความสำคัญของความเสี่ยง= โอกาสที่จะเกิด X ผลกระทบ X โอกาสและความสามารถในการปรับปรุงความเสี่ยง X กรอบเวลาในการปรับปรุงความเสี่ยง

44. กิจกรรมที่ 3 การจัดลำดับความสำคัญของความเสี่ยง • แบ่งกลุ่ม (อาจแบ่งตามหน่วยงาน)และอภิปราย • ใช้เวลาประมาณ 1 ชั่วโมง เพื่อ • นำค่าความเสี่ยงวิกฤติ ซึ่งคำนวณจาก(ผลกระทบ x โอกาส) ในกิจกรรมที่ 2 มาพิจารณาร่วมกับโอกาสและความสามารถ ในการปรับปรุงความเสี่ยง และกรอบระยะเวลาในการลงมือปฏิบัติ • สรุปผลการวิเคราะห์ในแบบฟอร์มที่แจก และเตรียมการนำเสนอกลุ่มละ3-5 นาที

45. ขั้นตอนที่3 การจัดการกับความเสี่ยง Risk Responses

46. หลักการจัดการกับความเสี่ยง(Address Risk Responses) ลดโอกาสที่จะเกิดความเสี่ยง Pre-Event Control ลดผลกระทบของความเสี่ยง Post- Event Control Emerging Opportunity แสวงหาประโยชน์จากความเสี่ยง

47. 5Ts of Risk Management R I 1.Tolerate การยอมรับความเสี่ยง S K 2.Treat การลด/ควบคุมความเสี่ยง 4.Terminate การหลีกเลี่ยงความเสี่ยง 5.Take การฉวยใช้ประโยชน์ 3.Transfer การกระจาย/โอนความเสี่ยง

48. หลักการจัดการกับความเสี่ยง(Addressing Risk Responses)

49. การจัดการความเสี่ยงกับการควบคุมภายในการจัดการความเสี่ยงกับการควบคุมภายใน • การจัดการความเสี่ยง มีเป้าหมายเพื่อเปลี่ยนความไม่ แน่นอน(Uncertainty)ให้เป็นผลประโยชน์ (Benefits) ของส่วนราชการ โดยฉกฉวยโอกาสที่เกิดขึ้น • มาตรการหรือการกระทำทุกอย่างของส่วนราชการใน การจัดการความเสี่ยง ถือเป็นส่วนหนึ่งของการควบคุม ภายใน(Any action that is taken by the organisation to address a risk forms part of what is known as ‘internal control’.

50. วิธีการควบคุมความเสี่ยงตามหลักการควบคุมภายใน:ก่อนวิธีการควบคุมความเสี่ยงตามหลักการควบคุมภายใน:ก่อน