นโยบายบริษัท

หลังจากระบุเป้าหมายแล้ว บริษัทจะต้องกำหนดระดับความเสี่ยงที่ยอมรับได้ (Risk Identification) โดย กำหนดขอบเขตการตัดสินใจและผลกระทบจากการตัดสินใจที่ยอมรับได้ เพื่อให้มั่นใจได้ว่า บริษัทจะยังคงสามารถดำเนินงานได้อย่างยั่งยืน และบรรลุวัตถุประสงค์ที่กำหนด โดยครอบคลุมในความเสี่ยง 5 ด้าน ดังนี้ 
(1.) ความเสี่ยงด้านกลยุทธ์ (Strategic Risk)

(2) ความเสี่ยงด้านการเงิน (Financial Risk) 

(3) ความเสี่ยงด้านปฏิบัติการ (Operational Risk) 

(4) ความเสี่ยงด้านการดำเนินการให้เป็นไปตามกฎหมายและกฎเกณฑ์ต่าง ๆ (Compliance Risk) 

(5) ความเสี่ยงด้านการทุจริต (Fraud Risk)   

3. การประเมินความเสี่ยง (Risk Assessment)  
หมายถึง การคาดคะเนโอกาสที่ความเสี่ยงนั้นจะเกิดขึ้น (Likelihood) ว่ามีความถี่มากน้อยเพียงใด และผลกระทบที่อาจเกิดขึ้น (Impact) จากความเสี่ยงนั้น ๆ ว่ามีระดับความรุนแรงมากน้อยเพียงใด ซึ่งถ้าความเสี่ยงนั้นมีโอกาสเกิดขึ้นบ่อยและสามารถสร้างความเสียหายได้มาก ก็จะถูกจัดเป็นความเสี่ยงที่จะต้องถูกแก้ไขเป็นอันดับแรก 

4. การตอบสนองความเสี่ยง (Risk Responses)  
การประเมินความเสี่ยงข้างต้น จะทำให้บริษัทสามารถจัดลำดับความสำคัญของความเสี่ยงที่จะเข้าไปแก้ปัญหาได้ โดยบริษัทได้กำหนดวิธีการ หรือกลยุทธ์ที่จะเข้าไปแก้ปัญหาหรือลดระดับความเสี่ยง ซึ่งมีกลยุทธ์ที่สำคัญ ดังนี้

(1) การยอมรับความเสี่ยง (Take / Accepted) กลยุทธ์นี้จะไม่มีการดำเนินการใด ๆ เพื่อลดความเสี่ยง แต่เป็นการที่บริษัทพิจารณาแล้วว่าความเสี่ยงนั้นอยู่ในระดับที่ต่ำมาก หากบริษัทตัดสินใจเลือกที่จะลดระดับความเสี่ยงนั้น อาจจะต้องใช้ค่าใช้จ่าย หรือเวลาที่มากเกินควร จึงเลือกที่จะยอมรับความเสี่ยงนั้น

(2) การควบคุมความเสี่ยง (Treat)  เป็นการลดโอกาสที่จะเกิดความเสี่ยง เช่น การควบคุมคุณภาพ (Quality control: QC) เพื่อลดข้อบกพร่อง (Defect) ของสินค้า หรือการปรับวิธีการทำงาน หรือกำหนดมาตรการในการติดตาม เป็นต้น 

(3) การหลีกเลี่ยงความเสี่ยง (Terminate)  เป็นการกำจัดความเสี่ยงออกไป ถ้าพิจารณาแล้วได้ไม่คุ้มเสีย เช่น การยกเลิกโครงการ เป็นต้น 

(4) การถ่ายโอนความเสี่ยง (Transfer)  ซึ่งอาจจะเป็นการดำเนินการให้บุคคลที่สามมารับความเสี่ยงนี้ไป เช่น การทำประกันภัย เป็นต้น 

5. กิจกรรมควบคุม (Control Activities)  

หมายถึง วิธีการปฏิบัติงานที่กำหนดขึ้นเพื่อช่วยให้ฝ่ายบริหารมั่นใจได้ว่ามีการบริหารจัดการความเสี่ยงอย่างมีประสิทธิภาพ โดยการควบคุม ป้องกัน ค้นพบ และแก้ไข ซึ่งรวมถึงวิธีการดังต่อไปนี้

(1) การกำหนดวิธีการปฏิบัติงาน หรือจัดทำคู่มือปฏิบัติงาน

(2) การรับรอง / อนุมัติ  

(3) การสอบทานผลการปฏิบัติงาน 

(4) การรักษาความปลอดภัยของระบบข้อมูลหรือการเข้าถึงระบบข้อมูล 

(5) การแบ่งแยกหน้าที่ความรับผิดชอบ  

ทั้งนี้ กิจกรรมการควบคุมจะถูกออกแบบ และกำหนดอยู่ในวิธีการปฏิบัติงานในทุกส่วนงาน และ 

ทุกระดับชั้นงาน โดยผู้บริหารและพนักงานทุกระดับล้วนมีส่วนร่วมในกิจกรรมควบคุมดังกล่าว 

6. การติดตามและประเมินผล (Monitoring)  

(1) เนื่องจากสภาพแวดล้อมของบริษัททั้งภายนอกและภายในนั้น มีการเปลี่ยนแปลงอยู่ตลอดเวลา ดังนั้นกิจกรรมการควบคุมอาจจะมีประสิทธิภาพน้อยลง หรือเป้าหมายในการดำเนินงานอาจจะเปลี่ยนแปลงไปจากเดิม จึงจำเป็นที่จะต้องมีการติดตามตรวจสอบอยู่เสมอว่าการบริหารความเสี่ยงนั้น ยังคงมีประสิทธิภาพอยู่หรือไม่ ซึ่งสามารถทำได้ใน 2 วิธีการ คือ การติดตามตรวจสอบระหว่างการปฏิบัติงาน (Ongoing Monitoring) และการประเมินผลเป็นช่วง ๆ (Separate Evaluation) 

(2) การรายงานผลเป็นการเข้าถึงข้อมูลและปัญหาของผู้บริหาร ซึ่งมีหน้าที่รับผิดชอบ อย่างไรก็ตาม ผู้บริหารไม่ได้เป็นผู้ที่ปฏิบัติงานโดยตรง ดังนั้น เมื่อพบเจอลักษณะที่บ่งชี้ถึงปัญหา  จะช่วยให้บริษัทสามารถเข้าไปแก้ปัญหานั้นได้อย่างทันต่อเหตุการณ์ การบริหารความเสี่ยงให้มีประสิทธิภาพในระยะยาวนั้น จำเป็นจะต้องมีการประเมินผลเป็นระยะ ๆ  โดยบริษัทอาจให้บุคคลภายนอกเป็นผู้ประเมิน (Independent Appraisal) หรือใช้วิธีการในลักษณะของการประเมินตนเอง (Self- Appraisal) ก็ได้ 

7. สภาพแวดล้อมภายในองค์กร (Internal Environment) 
บริษัทได้จัดโครงสร้างภายในองค์กร โดยกำหนดให้มีสภาพแวดล้อมที่ดี และบรรยากาศที่เอื้ออำนวยเพื่อจัดการกับความเสี่ยงที่อาจมีผลกระทบต่อการกำหนดกลยุทธ์ และเป้าหมายของบริษัท โดยองค์ประกอบสำคัญที่มีผลต่อสภาพแวดล้อมภายในบริษัท คือ ปรัชญา ความเชื่อ และวัฒนธรรมในการบริหารความเสี่ยง เพื่อสร้างมูลค่าให้กับบริษัทในระยะยาวและอีกปัจจัยที่สำคัญในการบริหารความเสี่ยง คือ บทบาทของคณะกรรมการตรวจสอบ นอกจากนี้ บริษัทจะเลือกบุคลากรที่มีความรู้ ความสามารถ และความซื่อสัตย์ รวมทั้งพัฒนาบุคลากรให้เหมาะสมกับงานที่รับผิดชอบให้มีประสิทธิภาพ 

8. สารสนเทศและการสื่อสาร (Information and Communication)  

หมายถึง การจัดการของบริษัทให้มีระบบการสื่อสาร ระบบสารสนเทศ และระบบการบริหารความเสี่ยงที่ดี เพื่อให้มั่นใจว่าผู้บริหารและพนักงานทุกคนเข้าใจกระบวนการ และบทบาทหน้าที่ความรับผิดชอบของตนที่เกี่ยวข้องกับการบริหารความเสี่ยง ได้แก่ 

(1) ผู้บริหารระดับสูง มีการสื่อสารเกี่ยวกับนโยบายบริหารความเสี่ยงและสถานการณ์ความเสี่ยงให้แก่พนักงานทุกคนเข้าใจ และดำเนินการบริหารความเสี่ยงตามบทบาทหน้าที่ของตน 

(2) จัดให้มีการสื่อสารที่มีประสิทธิภาพระหว่างผู้บริหาร และพนักงาน 

(3) จัดให้มีการประสานงานระหว่างงานบริหารความเสี่ยง กับงานตรวจสอบเพื่อที่จะได้เกิดการ 

แลกเปลี่ยนข้อมูลที่เป็นประโยชน์ระหว่างกัน 

(4) จัดให้มีการสื่อสารข้อมูล และสาระความรู้เกี่ยวกับความเสี่ยงอย่างสม่ำเสมอและทันต่อเหตุการณ์