เรดาร์ความเสี่ยงของเจ้าของกิจการ: เมทริกซ์เดียวมองทะลุจุดเสี่ยงทั้งบริษัท

เฉินเว่ยถิงเป็นเจ้าของโรงงานฉีดพลาสติก "เหวยเซิ่งพลาสติก" ในจังหวัดสมุทรปราการ รับผลิตชิ้นส่วนภายในรถยนต์ให้กับโรงงานประกอบรถยนต์ญี่ปุ่นแห่งหนึ่งในจังหวัดระยองมานานถึง 8 ปี ออเดอร์มั่นคงมาตลอด เขาคุ้นเคยกับสไตล์บริหารแบบก้มหน้าก้มตาทำงาน ผลิตของให้ดี ส่งของให้ตรงเวลา คือเรื่องสำคัญที่สุดในใจเขา

ฤดูฝนปีที่แล้ว ซัพพลายเออร์วัตถุดิบ ABS รายเดียวของเขา ซึ่งเป็นโรงงานในรัฐยะโฮร์ ประเทศมาเลเซีย โกดังถูกน้ำท่วมจากฝนตกหนักจนเสียหาย กำหนดส่งวัตถุดิบเลื่อนออกไปทันที สายการผลิตของเหวยเซิ่งพลาสติกหยุดชะงักถึง 6 สัปดาห์ เขาจึงเพิ่งรู้ตัวว่าไม่เคยถามคำถามที่ว่า "ถ้าซัพพลายเออร์รายนี้มีปัญหาจะทำอย่างไร" ยิ่งไม่ต้องพูดถึงการหาซัพพลายเออร์สำรอง โรงงานประกอบรอไม่ไหว จึงย้ายออเดอร์ไปให้คู่แข่งที่ส่งของได้สม่ำเสมอกว่า ความสัมพันธ์ 8 ปีจบลงในพริบตา

ในการประชุมทบทวนหลังเหตุการณ์ ผู้จัดการฝ่ายการเงินหยิบรายงานตรวจสอบภายในปีก่อน (ตรงกับเนื้อหาบทที่ 5 "การตรวจสอบภายในแบบง่าย") ขึ้นมาดู ซึ่งจริงๆ แล้วเคยระบุไว้ว่า "แหล่งวัตถุดิบกระจุกตัวเกินไป" แต่ตอนนั้นถูกจัดเป็นแค่ "ประเด็นที่ต้องเฝ้าระวัง" ไม่มีใครจัดลำดับความสำคัญให้จัดการ เฉินเว่ยถิงจึงเข้าใจว่า ปัญหาไม่ใช่การมองไม่เห็นความเสี่ยง แต่เป็นเพราะบริษัทไม่เคยมีกลไกที่จะดึงความเสี่ยงออกมากางบนโต๊ะและจัดลำดับความสำคัญ นี่คือช่องโหว่ที่การบริหารความเสี่ยงต้องมาอุด

ทำไม

SME ไทยส่วนใหญ่เจ้าของกิจการต้องรับบทเป็นทั้งนักวางกลยุทธ์และหน่วยดับเพลิงในคนเดียวกัน ใช้ประสบการณ์และสัญชาตญาณจัดการเรื่องตรงหน้า แทบไม่มีใครกลับมาถามอย่างเป็นระบบว่า "ตอนนี้บริษัทกลัวอะไรที่สุด" วิธีนี้พอรับมือได้ตอนบริษัทยังเล็ก แต่พอขนาดใหญ่ขึ้น ห่วงโซ่อุปทานยาวขึ้น จุดใดจุดหนึ่งมีปัญหาก็อาจฉุดทั้งบริษัทล้มได้

กรอบการบริหารความเสี่ยงองค์กร (Enterprise Risk Management) ของ COSO (Committee of Sponsoring Organizations) ที่ปรับปรุงในปี 2017 ภายใต้ชื่อ "Enterprise Risk Management — Integrating with Strategy and Performance" ระบุไว้ชัดว่า การบริหารความเสี่ยงไม่ใช่การแก้ไขหลังเกิดอุบัติเหตุ แต่ต้องฝังอยู่ใน 5 องค์ประกอบ คือ ธรรมาภิบาลและวัฒนธรรมองค์กร, กลยุทธ์และการกำหนดวัตถุประสงค์, ผลการดำเนินงาน, การทบทวนและปรับปรุง, และการสื่อสารข้อมูลและการรายงาน กล่าวอีกนัยหนึ่ง การบริหารความเสี่ยงไม่ใช่เรื่องของฝ่ายการเงินหรือฝ่ายตรวจสอบภายในเท่านั้น เจ้าของกิจการต้องเป็นผู้นำในการทำให้ "ถ้าเกิดขึ้นจะทำอย่างไร" กลายเป็นหัวข้อสนทนาประจำวันของบริษัท

เชื่อมโยงกับ "ปราการ 3 ด่านของการควบคุมภายใน" ในบทที่ 3 พนักงานหน้างานมักเป็นคนแรกที่สังเกตเห็นความผิดปกติ ไม่ว่าจะเป็นการส่งของล่าช้า ข้อร้องเรียนที่เพิ่มขึ้น หรือบุคลากรสำคัญบ่นเรื่องงาน แต่ถ้าบริษัทไม่มีกลไกรวบรวม จัดหมวดหมู่ และจัดลำดับความสำคัญของสัญญาณเหล่านี้ สัญญาณผิดปกติก็จะเป็นเหมือนกรณีของเหวยเซิ่งพลาสติก คือ "มีคนรู้" แต่ "ไม่มีใครจัดการ" จนกระทั่งเกิดเรื่องจริงๆ

ทำอย่างไร

ขั้นที่ 1: กางความเสี่ยงออกมาก่อน อย่าเพิ่งรีบให้คะแนน

ชวนผู้บริหารข้ามแผนก 2-3 คน (ฝ่ายขาย ฝ่ายผลิต ฝ่ายการเงิน ฝ่ายบุคคล) มานั่งระดมสมองสัก 1 ชั่วโมง กางรายการความเสี่ยงที่บริษัทอาจเผชิญออกมาก่อน ยังไม่ต้องรีบให้คะแนน สามารถสำรวจตาม 5 หมวดใหญ่ ได้แก่ ความเสี่ยงด้านการเงิน (ความผันผวนอัตราแลกเปลี่ยน ลูกค้ากระจุกตัวเกินไป ลูกหนี้การค้าค้างชำระ), ความเสี่ยงด้านปฏิบัติการ (ซัพพลายเออร์รายเดียว เครื่องจักรเก่า บุคลากรหลักลาออก), ความเสี่ยงด้านการปฏิบัติตามกฎหมาย (สอดคล้องกับแผนที่การปฏิบัติตามกฎหมายในบทที่ 4 เช่น กฎหมายแรงงาน กฎหมายสิ่งแวดล้อม การยื่นภาษี), ความเสี่ยงจากภัยธรรมชาติและสิ่งแวดล้อม (น้ำท่วมช่วงฤดูฝนของไทย ไฟฟ้าดับ), และความเสี่ยงด้านชื่อเสียง (ข้อร้องเรียนแพร่กระจาย รีวิวเชิงลบบนโซเชียล) ขั้นตอนนี้เหวยเซิ่งพลาสติกก็จะเขียน "ซัพพลายเออร์วัตถุดิบรายเดียว" ลงไปตามจริง เพียงแต่ 8 ปีที่ผ่านมาไม่เคยมีใครบันทึกเป็นลายลักษณ์อักษรมาก่อน