10 ความเสี่ยงที่ทุกองค์กรต้องเตรียมแผนรับมือให้พร้อม

10 ความเสี่ยงที่ทุกองค์กรต้องเตรียมแผนรับมือให้พร้อม

"ความเสี่ยง" คือ อะไรก็ตาม (คน, สัตว์, สิ่งของ, เหตุการณ์, ฯลฯ) ที่สามารถขัดขวางการบรรลุผลตามเป้าหมายหรือวัตถุประสงค์ที่ได้กำหนดไว้ ซึ่งถ้ามองในมุมของการบริหารจัดการองค์กรแล้วล่ะก็ ความเสี่ยงก็คือสิ่งใดก็ตามที่ทำให้ธุรกิจของคุณหยุดชะงัก การปฏิบัติงานหรือการให้บริการล่าช้า หรือขาดความมั่นคงปลอดภัย ดังนั้น คุณจึงจำเป็นที่จะต้องวางแผนการรับมือความเสี่ยงต่างๆ ที่อาจจะเกิดขึ้นล่วงหน้า โดยแผนและวิธีการเหล่านี้จะต้องสมเหตุสมผลและคุ้มค่ากับการลงทุน

องค์กรจะต้องพัฒนาเครื่องมือขึ้นมาช่วยในการบริหารจัดการความเสี่ยงอย่างเหมาะสมตามบริบทของตน อาจจะอาศัยตัวช่วยด้วยการพิจารณาตามหลัก PPT (People - Process - Technology) หรือทฤษฎี Security Control Categorized (Physical Control - Administrative Control - Logical Control) ในขณะเดียวกัน ทางเลือกที่ดีอีกอย่างหนึ่งก็คือ การนำเอาแนวทางของ Best Practice หรือมาตรฐานสากล อาทิ ISO 22301:2012 Business Continuity Management, ISO 27001:2013 Information Security Management มาประยุกต์ใช้ภายในองค์กร ทั้งนี้ แผน เครื่องมือ วิธีการ และกระบวนการที่พัฒนาขึ้นนี้ จะต้องสามารถใช้งานได้จริง มีการทบทวนและทดสอบประสิทธิภาพอยู่เสมอ

จากสถานการณ์ในช่วงปีที่ผ่านมา ทางทีมที่ปรึกษาของ Destination One ได้คัดเลือก 10 ความเสี่ยงสำคัญที่ทุกองค์กรจำเป็นจะต้องมีการวางแผนรับมือและบริหารจัดการอย่างหลีกเลี่ยงไม่ได้ ดังนี้

     1. ไฟไหม้ (มีแผนอพยพแล้วหรือยัง, อุปกรณ์ดับเพลิงมีเพียงพอไหม)

     2. น้ำท่วม (มีแผนความต่อเนื่องและแผนกู้คืนแล้วหรือยัง)

     3. เหตุชุมนุมทางการเมือง (มีแผนรับมืออย่างไร)

     4. ไฟดับ (มีระบบไฟฟ้าสำรองมีเพียงพอไหม)

     5. ระบบโทรคมนาคมมีปัญหา (มีระบบสื่อสารสำรองไหม, มีศูนย์สำรองหรือไม่)

     6. ฮาร์ดแวร์หรือซอฟต์แวร์มีปัญหา (มีระบบสำรองหรือไม่, มีแผนกู้คืนอย่างไร)

     7. การถูกโจมตีผ่านระบบเครือข่าย (มีระบบป้องกันไหม, มีวิธีการกู้คืนอย่างไร)

     8. ข้อมูลขององค์กรรั่วไหล (มีแผนรับมือหรือตอบสนองต่อเหตุการณ์อย่างไร)

     9. การไม่สามารถเข้าถึงพื้นที่ปฏิบัติงาน (มีสถานที่ปฏิบัติงานสำรองไหม)

     10. การประท้วงโดยพนักงานขององค์กร (มีแผนรองรับอย่างไร, มีพนักงานสำรองไหม)

หากผู้บริหารต้องการให้องค์กรของตนสามารถดำเนินธุรกิจได้อย่างต่อเนื่องราบรื่น กระบวนการทำงานหรือให้บริการมีความมั่นคงปลอดภัย ก็จะต้องมีการผลักดันและให้การสนับสนุนการจัดทำแผนและกระบวนการบริหารจัดการความเสี่ยงอย่างชัดเจน โดยกำหนดทีมงานผู้รับผิดชอบ และจัดหาทรัพยากรที่จำเป็นให้อย่างพอเพียง เพื่อให้ความเสี่ยงเหล่านี้ลดลงมาอยู่ในระดับที่องค์กรยอมรับได้ (Acceptable Level) หรือลดลงมาถึงในระดับที่ความเสี่ยงนั้นไม่มีนัยสำคัญต่อองค์กรอีกต่อไป ซึ่งถือเป็นความสำเร็จสูงสุดนั่นเอง

Content Cr : DestinationOne Counselor

Photo Cr : DailyNews.co.th

สรุปข้อกำหนด ISO 22301 แบบเข้าใจง่าย

สรุปข้อกำหนด ISO 22301 แบบเข้าใจง่าย

มาตรฐาน ISO 22301:2012 การบริหารความต่อเนื่องของธุรกิจ (Business Continuity Management) กำลังอยู่ในความสนใจของผู้ประกอบการธุรกิจทุกขนาด ตั้งแต่ SME ท้องถิ่นไปจนถึงบริษัทยักษ์ข้ามชาติ ซึ่งทุกองค์กรสามารถเลือกนำเอาคำแนะนำของมาตรฐานมาประยุกต์ใช้ได้ตามความเหมาะสม แต่สำหรับองค์กรที่ต้องการจะผ่านการตรวจประเมินเพื่อขอประกาศนีบัตรรับรองมาตรฐานดังกล่าว จำเป็นต้องปฏิบัติตนให้สอดคล้องตามข้อกำหนดหลักทั้งหมดของเอกสารมาตรฐาน ISO 22301:2012 (ข้อกำหนดที่ 4-10) ดังนั้น ในบทความนี้ผมจึงอยากจะเล่าถึงข้อกำหนดหลักเหล่านั้นให้ท่านฟังแบบง่ายๆ ครับ

ข้อกำหนดที่ 4 : Context of the Organization (การระบุบริบทขององค์กร)

>> คุณต้องทำความเข้าใจบริบททั้งหมดขององค์กร โดยระบุประเด็นหรือปัจจัยทั้งภายในและภายนอกที่เกี่ยวข้องและมีผลกระทบต่อเป้าหมายทางธุรกิจ

>> คุณต้องทำความเข้าใจกับความต้องการและความคาดหวังของผู้มีส่วนเกี่ยวข้องทุกภาคส่วน (Stakeholder) ที่มีต่อการบริหารความต่อเนื่องของธุรกิจ

>> คุณจะต้องระบุขอบเขต (Scope) ของระบบบริหารความต่อเนื่องของธุรกิจ รวมถึงชี้แจงข้อยกเว้นต่างๆ (ถ้ามี) พร้อมเหตุผลกำกับอย่างชัดเจน

>> คุณจะต้องกำหนดกลยุทธ์ แผนงานดำเนินการ การบำรุงรักษา และการปรับปรุงระบบบริหารความต่อเนื่องของธุรกิจ

ข้อกำหนดที่ 5 : Leadership (ภาวะความเป็นผู้นำ)

>> ผู้บริหารระดับสูงจะต้องแสดงออกถึงความเป็นผู้นำ (Leadership) และคำมั่นสัญญา (Commitment) ในกระบวนการบริหารความต่อเนื่องของธุรกิจ

>> สิ่งหนึ่งที่แสดงถึงคำมั่นสัญญา (Commitment) คือการกำหนดนโยบายการบริหารความต่อเนื่องของธุรกิจให้สอดคล้องกับวัตถุประสงค์ในการดำเนินธุรกิจขององค์กร และมีการจัดหาทรัพยากรสนับสนุนที่จำเป็นอย่างพอเพียง

>> คุณจะต้องมีการประกาศ บังคับใช้ และสื่อสารการใช้งานนโยบายการบริหารความต่อเนื่องของธุรกิจอย่างทั่วถึงทั้งองค์กร

>> คุณจะต้องมีการกำหนดบทบาท อำนาจ หน้าที่ และความรับผิดชอบของบุคลากรที่เกี่ยวข้องกับระบบการบริหารความต่อเนื่องของธุรกิจอย่างชัดเจน

ข้อกำหนดที่ 6 : Planning (การวางแผน)

>> คุณจะต้องกำหนดแผนงานในการจัดการกับความเสี่ยงในการบริหารความต่อเนื่องทางธุรกิจ และต้องกำหนดมาตรการเพื่อบริหารระดับความเสี่ยงให้อยู่ในระดับที่องค์กรสามารถยอมรับได้

>> คุณจะต้องมั่นใจว่าวัตถุประสงค์และแผนการดำเนินงานได้ถูกสื่อสารออกไปยังหน่วยงานต่างๆ ที่เกี่ยวข้อง

ข้อกำหนดที่ 7 : Support (การสนับสนุน)

>> คุณจะต้องจัดหาทรัพยากรที่พอเพียงและให้การสนับสนุนการดำเนินงานอย่างเหมาะสม

>> คุณจะต้องกำหนดทักษะความสามารถที่จำเป็นสำหรับแต่ละตำแหน่งงานที่เกี่ยวข้อง (Competency) และให้การอบรมเพื่อให้พนักงานเหล่านั้นสามารถปฏิบัติหน้าที่ได้อย่างมีประสิทธิภาพ

>> ผู้ที่เกี่ยวข้องทั้งหมดภายใต้ขอบเขตของระบบบริหารความต่อเนื่องของธุรกิจจะต้องมีความตระหนักรู้ (Awareness) เกี่ยวกับวัตถุประสงค์ นโยบาย และแผนการดำเนินงาน

>> คุณจะต้องจัดให้มีการสื่อสารข้อมูลเกี่ยวกับการบริหารความต่อเนื่องของธุรกิจให้ผู้ที่เกี่ยวข้องทั้งหมดรับทราบอย่างเหมาะสม ทั้งบุคคลภายในและภายนอกองค์กร

>> คุณจะต้องมีการบริหารจัดการเอกสารต่างๆ ที่เกี่ยวข้อง โดยให้คงไว้ซึ่งความถูกต้องครบถ้วนและความพร้อมใช้งานอยู่เสมอ

ข้อกำหนดที่ 8 : Operation (การปฏิบัติงาน)

>> คุณจะต้องมีการบริหารจัดการความเปลี่ยนแปลงต่างๆ (Change Management) ที่เกิดขึ้นในระหว่างการดำเนินงาน รวมถึงต้องมีการควบคุมการทำงานของผู้ให้บริการจากภายนอกด้วย

>> คุณจะต้องมีการวิเคราะห์ผลกระทบทางธุรกิจ (Business Impact Analysis) และการประเมินความเสี่ยง (Risk Assessment) เพื่อให้ทราบถึงลำดับความสำคัญของแต่ละกระบวนการทางธุรกิจ ความเสี่ยง ระยะเวลา และเงื่อนไขต่างๆ ที่เกี่ยวข้อง

>> คุณจะต้องกำหนดกลยุทธ์ในการสร้างความต่อเนื่องในการบริหารธุรกิจ (Business Continuity Strategy) พิจารณาใช้ทรัพยากรที่มีอยู่ให้เกิดประโยชน์สูงสุดและตอบโจทย์ทางธุรกิจเมื่อตกอยู่ในภาวะอันไม่พึงประสงค์และเหตุหยุดชะงักต่างๆ ที่ส่งผลให้ธุรกิจขาดความต่อเนื่อง

>> คุณจะต้องจัดให้มีขั้นตอนการปฏิงาน (Business Continuity Procedure) ที่สอดคล้องตามผลการวิเคราะห์ผลกระทบทางธุรกิจและผลการประเมินความเสี่ยง รวมถึงแผนการรับมือเหตุล่วงละเมิดต่างๆ แผนการเฝ้าระวัง และแผนการติดต่อสื่อสาร ที่สำคัญก็คือจะต้องจัดเตรียมแผนการกู้คืนระบบหรือกระบวนการที่สำคัญต่างๆ ขององค์กรเมื่อเกิดการหยุดชะงัก

>> คุณจะต้องจัดให้มีการฝึกซ้อมและทดสอบ (Exercising and Testing) แผนความต่อเนื่องทางธุรกิจ เพื่อให้แน่ใจว่ามีความสอดคล้องตามวัตถุประสงค์และเป้าหมายที่ได้กำหนดไว้

ข้อกำหนดที่ 9 : Performance Evaluation (การประเมินผล)

>> คุณต้องมีการตรวจสอบ ประเมิน และวิเคราะห์ผลการบริหารความต่อเนื่องของธุรกิจ โดยกำหนดตัวชี้วัดที่ชัดเจน เพื่อให้สะท้อนถึงประสิทธิภาพและประสิทธิผลของการดำเนินงาน

>> คุณจะต้องมีการตรวจประเมินภายใน (Internal Audit) ระบบบริหารความต่อเนื่องในการดำเนินธุรกิจตามรอบระยะเวลาที่กำหนดไว้อย่างเหมาะสม ครอบคลุมถึงปัจจัยทั้งหมดที่อยู่ภายใต้ขอบเขตที่ได้ระบุไว้

>> ผู้บริหารระดับสูงและผู้บริหารที่เกี่ยวข้องจะต้องทบทวนรายละเอียดต่างๆ (Management Reviews) ที่เกี่ยวข้องกับระบบบริหารความต่อเนื่องทางธุรกิจตามรอบระยะเวลาที่กำหนดไว้อย่างเหมาะสม

ข้อกำหนดที่ 10 : Improvement (การพัฒนาและปรับปรุง)

>> คุณจะต้องระบุว่าในปัจจุบันมีสิ่งใดบ้างที่ยังไม่เป็นไปตามข้อกำหนดของมาตรฐาน (Non-Conformity) และจัดทำแผนการแก้ไขให้ครบถ้วน (Corrective Action) รวมถึงกำหนดตัวชี้วัดผลการแก้ไขอีกด้วย

>> คุณจะต้องมีการปรับปรุงและพัฒนาระบบบริหารความต่อเนื่องทางธุรกิจอย่างสม่ำเสมอ เพื่อให้มีความทันสมัยและสอดคล้องกับวัตถุประสงค์ทางธุรกิจ และปัจจัยต่างๆ ที่มีการเปลี่ยนแปลงอย่างไม่หยุดนิ่ง

การปฏิบัติตามข้อกำหนดทั้งหมดข้างต้นนี้ จะช่วยให้ท่านประสบความสำเร็จในการขอรับการรับรองมาตรฐาน ISO 22301:2012 อีกทั้งยังเป็นการแสดงออกถึงความมุ่งมั่นในการสร้างความต่อเนื่องให้กับธุรกิจ เพื่อให้ความมั่นใจกับทั้งบุคลากรภายในและสาธารณชนโดยทั่วกัน

Content Cr : DestinationOne Counselor

Photo Cr : FreeImages.com

การวิเคราะห์ผลกระทบทางธุรกิจ (BIA) แบบบ้านๆ

การวิเคราะห์ผลกระทบทางธุรกิจ (BIA) แบบบ้านๆ

ความสำเร็จในการบริหารความต่อเนื่องของธุรกิจ (Business Continuity Management) ส่วนหนึ่งต้องอาศัยกระบวนการสำคัญที่เรียกว่า “การวิเคราะห์ผลกระทบทางธุรกิจ หรือ Business Impact Analysis” (BIA) เพราะมันจะช่วยให้เราทราบรายละเอียดเกี่ยวกับสินค้าและบริการขององค์กรทั้งหมด รวมถึงมีการคำนวณหรือประเมินค่าระยะเวลาต่างๆ ที่เกี่ยวข้อง เช่น ระยะเวลาที่องค์กรยอมรับได้หากบริการต้องหยุดชะงัก ระยะเวลาที่เหมาะสมในการกู้คืนระบบ เป็นต้น ซึ่งผลของการวิเคราะห์ BIA จะช่วยให้เราสามารถกำหนดกลยุทธ์ สำรองทรัพยากร และเตรียมความพร้อมสำหรับการสร้างความต่อเนื่องในการดำเนินธุรกิจที่สามารถตอบโจทย์ทุกภาคส่วนที่เกี่ยวข้อง (Stakeholder) ได้

ขั้นตอนง่ายๆ ในการวิเคราะห์ผลกระทบทางธุรกิจ

รู้จักตนเอง : รู้ว่าองค์กรทำธุรกิจอย่างไร มีสินค้าและบริการอะไรบ้าง มีกระบวนการและทรัพยากรใดที่เกี่ยวข้องจำเป็นในการดำเนินธุรกิจ

รู้จักผู้อื่น : รู้จักความต้องการของลูกค้า ข้อกำหนดของกฎหมายต่างๆ รวมถึงความคาดหวังของผู้ที่เกี่ยวข้องทั้งหมด เช่น ผู้ถือหุ้น ซัพพลายเออร์ ชุมชนทางสังคมต่างๆ เป็นต้น

จัดลำดับความสำคัญ : ประเมินลำดับความสำคัญหรือความจำเป็นของสิ่งต่างๆ ข้างต้น เช่น สิ่งใดมีความเร่งด่วนมากที่สุด V.S. สิ่งใดสามารถรอได้, สิ่งใดที่ไม่สามารถละเลยได้เลย V.S. สิ่งใดที่พอจะเพิกเฉยได้ เป็นต้น

ประเมินค่าเป็นเวลา : คำนวณระยะเวลาที่องค์กรสามารถยอมรับได้หากต้องเกิดการหยุดชะงักของกระบวนการหรือสิ่งหนึ่งสิ่งใด บางอย่างอาจจะไม่สามารถปล่อยให้หยุดได้เลย ในขณะที่บางอย่างสามารถอนุโลมได้ โดยประเมินว่าหากสิ่งนั้นเกิดการหยุดชะงักจะสร้างความเสียหายให้กับองค์กรเป็นมูลค่าเท่าใด ต้องใช้เวลาและทรัพยากรเท่าใดในการกู้คืน เช่น ในกรณีที่พนักงานขายไม่สามารถเข้าถึงระบบข้อมูลคลังสินค้าได้ เป็นระยะเวลาเท่าใดที่ปัญหานั้นจะไม่ส่งผลต่อการทำงาน หากเกินไปกว่านั้นจะก่อความเสียหายอย่างไรบ้าง เป็นค่าเสียหายมูลค่าเท่าใด ต้องใช้มาตรการ ระยะเวลา หรือทรัพยากรใดบ้างในการกู้คืนระบบนั้น อาทิ อุปกรณ์สำรองข้อมูล เป็นต้น

ตัวอย่าง - การวิเคราะห์ผลกระทบทางธุรกิจของ “ปั๊มน้ำมัน”

>> ธุรกิจของเรามีบริการน้ำมัน แก๊ส สินค้าประดับยนต์ อาหารและเครื่องดื่ม

>> บุคคลอื่นที่เราต้องสำรวจความต้องการ ได้แก่ ลูกค้า ผู้ที่ขายน้ำมันให้เรา สัญญาให้บริการต่างๆ

>> ระยะเวลาที่เรายอมให้กระบวนการหรือระบบงานต่างๆ หยุดชะงักได้นั้นเป็นเวลาเท่าใด ข้อมูลใดบ้างที่สำคัญและไม่สามารถขาดได้ เรามีศักยภาพในการกู้คืนเท่าใด เช่น เรายอมให้หัวจ่ายน้ำมันใช้งานไม่ได้ไม่เกิน 1 วัน, ห้องน้ำปิดให้บริการได้ไม่เกิน 1 สัปดาห์ เป็นต้น

>> สรุปผลข้อมูลต่างๆ ข้างต้นในตาราง เพื่อใช้ประโยชน์เบื้องต้นในการวิเคราะห์ผลกระทบทางธุรกิจ

ผลกระทบทางธุรกิจที่ได้รับการวิเคราะห์อย่างรอบคอบจะช่วยให้เราสามารถวางแผนเตรียมความพร้อมได้อย่างมีประสิทธิภาพ โฟกัสในสิ่งที่สำคัญที่สุดเพื่อให้สามารถส่งมอบสินค้าและบริการได้ตามเป้าหมายที่กำหนด ส่งผลให้ธุรกิจมีความต่อเนื่อง ลดการสูญเสีย และอยู่รอดได้อย่างยั่งยืน

Content Cr: DestinationOne Counselor