ความเสี่ยง ความรับผิดชอบ และการกำกับดูแล

คำว่า “มีความเสี่ยง” ไม่ได้อธิบายว่าควรตรวจสอบอะไร หรือกำลังยอมรับสิ่งใดอยู่ การเปลี่ยนแปลงราคา กระบวนการที่หยุดชะงัก คำอธิบายที่ไม่สอดคล้องกัน และผู้รับผิดชอบที่ไม่ชัดเจน ล้วนต้องการวิธีตอบสนองที่ต่างกัน เริ่มจากอธิบายเหตุการณ์ที่อาจเกิดขึ้น แยกออกจากบุคคล สินทรัพย์ หรือกระบวนการที่อาจได้รับผลกระทบ

การกำกับดูแลในที่นี้หมายถึงการจัดระบบข้อเสนอ การตรวจสอบ การตัดสินใจ และการบันทึกในทางปฏิบัติ การทำให้บทบาทเหล่านั้นชัดเจนช่วยให้ผู้เกี่ยวข้องมีความเข้าใจร่วมกันว่าเงื่อนไขใดจะทำให้ต้องเปลี่ยนการตัดสินใจ ไม่ว่าองค์กรจะมีขนาดเท่าใดหรือมีผู้เกี่ยวข้องกี่คน บันทึกที่ตรวจสอบย้อนกลับได้ว่าใครตรวจอะไร เป็นจุดเริ่มต้นที่ใช้ได้จริงสำหรับการหารือว่าจะดำเนินการอย่างไรต่อ

• เหตุการณ์: ความเป็นไปได้ใดที่กำลังสร้างความกังวล?
• ผลกระทบ: อาจกระทบเงิน ระยะเวลา สิทธิ ข้อมูล หรือเป้าหมายอื่นที่เกี่ยวข้องหรือไม่?
• การติดตาม: หลักฐานใดจะแสดงว่าสถานการณ์เปลี่ยนไป?
• การตอบสนอง: ใครรับผิดชอบการเตรียมพร้อมและการดำเนินการหลังเกิดเหตุ?
• การตัดสินใจ: เงื่อนไขใดทำให้ต้องส่งต่อเรื่องให้ผู้มีอำนาจพิจารณา เลื่อนออกไป หรือหยุด?

ผู้เสนอ ผู้ตรวจสอบหลักฐานรองรับ ผู้ตัดสินใจ และผู้บันทึกผล ทำหน้าที่ต่างกัน การระบุหน้าที่เหล่านี้ช่วยให้เห็นสมมติฐานที่ว่า “คงมีใครตรวจแล้ว” ในองค์กรขนาดเล็ก บุคคลเดียวอาจทำหลายบทบาท ดังนั้นขอบเขตการตรวจสอบที่เกิดขึ้นจริงจึงสำคัญกว่าชื่อตำแหน่ง

• บันทึกทั้งผู้ตัดสินใจและผู้รับผิดชอบคำถามที่ยังไม่ได้ข้อยุติ
• ระบุค่าตอบแทนหรือผลประโยชน์ที่อาจมีอิทธิพลต่อข้อเสนอ
• แยกการมอบหมายงานออกจากหลักฐานว่างานนั้นเสร็จแล้ว

ลองพิจารณาข้อเสนอใช้บริการแบ่งปันเอกสาร คนหนึ่งทดสอบการทำงาน ส่วนอีกคนตรวจสอบข้อกำหนดและวิธีจัดการข้อมูล นี่เป็นตัวอย่างสมมติ แม้การทดลองใช้งานจะได้ผล ความไม่แน่นอนเกี่ยวกับการเรียกคืนข้อมูลเมื่อสัญญาสิ้นสุดยังเป็นอีกคำถามหนึ่งที่ไม่ได้ข้อยุติ การสาธิตที่สำเร็จไม่ได้ตอบคำถามนั้น

แทนที่จะเดินหน้าต่อเพียงเพราะบริการสะดวก ให้กำหนดเวลาที่ต้องได้รับคำตอบที่ยังค้าง และระบุทางเลือกหากไม่ได้รับคำตอบ เงื่อนไขให้หยุดไม่จำเป็นต้องหมายถึงความไม่ไว้วางใจผู้ให้บริการ แต่เป็นการอธิบายเงื่อนไขที่ใช้ประกอบการตัดสินใจ และป้องกันไม่ให้ผลทดสอบที่เป็นประโยชน์ถูกถือว่าเป็นการอนุมัติทุกด้านของข้อตกลง

หลักการกำกับดูแลกิจการของ OECD กล่าวถึงการกำกับดูแลความเสี่ยง ผลประโยชน์ทับซ้อน และความรับผิดชอบที่ตรวจสอบได้ในฐานะประเด็นระดับองค์กร ควรอ่านหลักการเหล่านี้โดยแยกออกจากข้อกำหนดทางกฎหมายในแต่ละประเทศ และจากหลักฐานเกี่ยวกับแนวปฏิบัติของบริษัทใดบริษัทหนึ่ง บันทึกการตรวจสอบที่ผ่านมาเพียงอย่างเดียวไม่ใช่หลักฐานว่าเงื่อนไขในปัจจุบันยังยอมรับได้

นอกจากการทบทวนตามกำหนด ให้ระบุเหตุการณ์ที่ต้องตรวจสอบใหม่ เช่น การเปลี่ยนผู้รับผิดชอบ การเปลี่ยนข้อกำหนดที่มีสาระสำคัญ หรือการหยุดชะงักที่ไม่คาดคิด การอัปเดตบันทึกควรเก็บเหตุผลเดิมไว้และแสดงว่าอะไรเปลี่ยนไป วิธีนี้ต่างจากการแทนที่การตัดสินใจเดิมโดยไม่แจ้ง ซึ่งทำให้ความเชื่อมโยงระหว่างหลักฐาน ความรับผิดชอบ และการดำเนินการสูญหาย