The New Trend : “GRC” (Governance, Risk and Compliance) = =20

The New Trend : “GRC” (Governance, Risk and Compli= ance) =

ทิศทางใหũ= 7;่สำหรับผู้= 610;ริหารระบบส&= #3634;รสนเทศวันน= ;ี้และอนาคต

ปริญญา หอมเอนก , CISSP, SSCP, CISA, CISM, SANS GIAC GCFW, Security+, ITIL Foundation

<= span style=3D'font-size:16.0pt;line-height:115%;font-family:"Cordia New";mso-b= idi-font-family: "Angsana New"'>ACIS Professional Center

prinya@acisonline.net

http://www.acisonline.net

&= nbsp; &nbs= p; หลายคนอา= 592;จะยังไม่เค&= #3618;ได้ยินคำศั= ;พท์ใหม่ของ$= 23;งการไอทีวั&#= 3609;นี้ ได้แก่ คำว่$= 34; ซึ่งย= ่อมาจาก “Governance Risk and Compliance” $= 49;นวคิด “GRC” นั้Ũ= 9;เป็นแนวคิด= 651;หม่ที่รวมอ&= #3591;ค์ประกอบ $= 29;งค์ประกอบเ&#= 3586;้าด้วยกัน ได้แก่= องค์ประกอ&#= 3610;ที่ องค์ป$= 19;ะกอบที่ 2 “Risk Management”<= /b> และ$= 29;งค์ประกอบท&#= 3637;่ 3 “Regulatory Compliance” #= 85;ารกำหนดนิย&#= 3634;มของคำว่า “GRC” นั้Ũ= 9; มาจาก นิยามของทัŭ= 7;งสามองค์ปร= 632;กอบ ได้แก่1.&n= bsp; “Go= vernance” หมายถึง นโยบาย วัฒนธรรมองŦ= 8;์กร กระบว= ;นการขั้นตอ$= 09;การปฏิบัติ&#= 3591;าน ที่ถู= ;กกำหนดออกม$= 34;อย่างชัดเจ&#= 3609;ในการบริหา= รจัดการและŦ= 5;ำกับดูแลอง= 588;์กรโดยผู้บ&= #3619;ิหารระดับส= ;ูงเพื่อการ$= 10;ริหารองค์ก&#= 3619;ที่โปร่งใส ตรวจสอบได้ คำที่เราไŨ= 4;้ยินกันบ่อ= 618;ๆ ได้แก่ คำว่$= 34; “Corporate Governance” จะ&= #3619;วมถึงความส= ;ัมพันธ์และ$= 10;ทบาทของทุก&#= 3588;นในองค์กรไ= ม่ใช่เฉพาะũ= 2;ู้บริหารอย= 656;างเดียว ตลอดจ$= 09;กำหนดเป้าห&#= 3617;ายหลักที่เ= น้นเรื่องคŪ= 3;ามโปร่งใสใ= 609;การบริหารจ&= #3633;ดการของผู้= ;บริหารระดั$= 10;สูงในองค์ก&#= 3619;

2. “Ri= sk Management” หมายถ$= 38;ง การบริหารจū= 3;ดการความเส= 637;่ยงที่มีเป&= #3657;าหมายในการ= ;ลดผลกระทบจ$= 34;กความเสี่ย&#= 3591;ที่อาจมีโอ= กาสเกิดขึ้Ũ= 9;ได้ในองค์ก= 619; หากไม่มีกาũ= 9;บริหารจัดก= 634;รความเสี่ย&= #3591;ที่ดีพอ 3.&n= bsp; “Compliance” หมายถ= ึง การ$= 11;ฏิบัติตามก&#= 3598;ระเบียบข้อ= บังคับ และ กฎหมาย ตลอดจนการปŧ= 9;ิบัติตามนโ= 618;บายด้านสาร&= #3626;นเทศและควา= ;มปลอดภัยขอ#= 91;องค์กรอย่า&#= 3591;ถูกต้อง ได้ตามมาตรŨ= 0;าน ยกตัวอย่าง $= 48;ช่น การปฏิบัติŨ= 5;ามประกาศมา= 605;รฐานการรัก&= #3625;าความมั่นค= ;งปลอดภัยใน#= 85;ารประกอบธุ&#= 3619;กรรมอิเล็ค= ทรอนิกส์โดũ= 8;คณะกรรมการ= 608;ุรกรรมอิเล&= #3655;คทรอนิกส์ และ การจัดท$= 35;แผน เพื่อรองรัũ= 0; พรบ.และพรฎ. ด้านความปลŪ= 9;ดภัยทางอิเ= 621;็กทรอนิกส์ ได้แก่ พรบ.ว= 656;าด้วยธุรกร&= #3619;มทางอิเล็ก= ;ทรอนิกส์ พ.ศ. 2544 , พระราชกฤ= 625;ฎีกากำหนดห&= #3621;ักเกณฑ์และ= ;วิธีการในก$= 34;รทำธุรกรรม&#= 3607;างอิเล็คทร= อนิกส์ภาครū= 3;ฐ พ.ศ. 2549 (มาตรา 35) , (ร่าง) พรฎ.กำหนดวิ$= 08;ีการแบบ(มั่&= #3609;คง) ปลอดภัยในกū= 4;รประกอบธุร= 585;รรมอิเล็กท&= #3619;อนิกส์ (มาตũ= 9;า 25) ซึ่งเป็นข&#= 3657;อแนะนำของ สำนักงานคŨ= 3;ะกรรมการนโ= 618;บายรัฐวิสา&= #3627;กิจ และ บริษัทไทยเũ= 9;ทติ้ง แอนด์ อินฟอร์เมชū= 3;่นเซอร์วิส จำกัด (ทริส) <= span style=3D'font-size:14.0pt;font-family:"Cordia New";mso-bidi-font-family:"An= gsana New"'>

การũ= 1;ฏิบัติตามก= 598;ระเบียบข้อ&= #3610;ังคับ และ กฎหมาย ควรคร= อบคลุมถึง พรบ.ว่าด้วย#= 85;ารกระทำผิด&#= 3648;กี่ยวกับคอ= มพิวเตอร์ พ.ศ. 2550 รวมถึ#= 91; ประกาศ #= 85;ระทรวงเทคโ&#= 3609;โลยีสารสนเ= ทศและการสืŭ= 6;อสาร $= 48;รื่อง $= 27;ลักเกณฑ์กา&#= 3619;เก็บรักษาข= ้อมูลจราจรŨ= 7;างคอมพิวเต= 629;ร์ของผู้ให&= #3657;บริการ $= 14;.ศ. 2550 $= 04;้วย

แนวŦ= 8;ิดของ “GRC” นั้Ũ= 9; มาจากความหũ= 7;ายของคำหลา= 618; ๆ คำ ได้แก่ รวมŨ= 6;ึงกฎหมายต่= 634;ง ๆ ในสหรัฐอเมũ= 9;ิกา เช่น SOX (Sarbanes-Oxley Compliance) หรือ ก&= #3598;ระเบียบข้อ= ;บังคับ Basel $= 07;ี่ถูกกำหนด&#= 3586;ึ้นโดยธนาค= ารเพื่อการŧ= 4;ำระบัญชีระ= 627;ว่างประเทศ (BIS) ตลอดจน มาตรฐาน PCI DSS (Payment Card Industry ,Data Security Standard) ซึ่งเ&#= 3611;็นมาตรฐานท= ี่บังคับใชŭ= 7;กับกลุ่มบร= 636;ษัทที่ให้บ&= #3619;ิการบัตรเค= ;รดิต เช่น VISA , MA= STER เป็นต้น

$= 51;นปัจจุบัน กระแส และ = 585;ำลังมาแรงท&= #3633;่วโลกรวมถึ= ;งในประเทศไ$= 07;ยด้วย เพราะเรามีŨ= 7;ั้งกฎหมายธ= 640;รกรรมอิเล็&= #3585;ทรอนิกส์ และ กฎหมายก$= 34;รกระทำผิดเ&#= 3585;ี่ยวกับคอม= พิวเตอร์ทีŭ= 6;ประกาศออกม= 634;บังคับใช้ก&= #3633;นแล้ว การที่ผู้บũ= 9;ิหารองค์กร= 618;ังไม่ได้ให&= #3657;ความสำคัญก= ;ับเรื่องทั$= 57;ง 2 เรืŭ= 6;องนี้ กลายเป็นควū= 4;มเสี่ยง (Risk) ที่มีโอกาสŬ= 8;กิดขึ้นกับ= 629;งค์กรอย่าง&= #3627;ลีกเลี่ยงไ= ;ม่ได้ ยกตัวอย่างũ= 0;ริษัทที่ปร= 632;สบปัญหาในส&= #3627;รัฐอเมริกา เช่น บริษัท ENRON และ บร= 636;ษัท WORLDCOM ก็ลŭ= 7;วนมีปัญหาเ= 619;ื่องความไม&= #3656;โปร่งใสและ= ;การไม่ปฏิบ$= 33;ติตามข้อกฎ&#= 3627;มายต่าง ๆ จนเป็นเหต$= 40;ให้บริษัทต&#= 3657;องล้มละลาย= ในที่สุด การũ= 0;รรลุเป้าหม= 634;ย “Good Governance” $= 09;ั้น ต้องเริ่มจū= 4;ก ผู้บริหารรū= 2;ดับสูงสุดเ= 611;็นคนแรก ตลอดจนเป็นŦ= 8;วามรับผิดช= 629;บหลักของคณ&= #3632;กรรมการบริ= ;หาร (Board of Director) ถ้าหากผู้บũ= 9;ิหารระดับส= 641;งไม่ใส่ใจเ&= #3607;่าที่ควรจะ= ;เป็น คำว่า ก็คงจะเกū= 6;ดขึ้นไม่ได= 657;อย่างแน่นอ&= #3609; การจะได้มาŧ= 5;ึ่ง “Good Governance” $= 05;้องมีการบร&#= 3636;หารความเสี= ่ยง (Risk Management) และการบริหū= 4;รเกี่ยวกับ= 585;ารปฏิบัติต&= #3634;มกฎระเบียบ= ;และข้อกฎหม$= 34;ยต่าง ๆ (Compliance Management) ควบคู่กันไũ= 1; ดังนั้น เราจะเห็นวŭ= 6;า “Governance” , “Risk” และมีควา$= 17;สัมพันธ์ และมีความเŦ= 5;ี่ยวข้องกั= 609; แนวคิด $= 09;ั้น ต้องการที่ŧ= 2;ะนำองค์ประ= 585;อบทั้ง 3 มาปฏิ$= 10;ัติร่วมกัน&#= 3651;นรูปแบบของ= การทำงานเปŭ= 5;นทีม มีการ “share” ข้อมู$= 21;ซึ่งกันและ&#= 3585;ัน มีการเปิดกŪ= 3;้างทางความ= 588;ิดที่จะปรั&= #3610;ปรุงองค์กร= ;จากข้อมูลแ$= 21;ะแนวทางจาก&#= 3612;ู้บริหารขอ= งหลาย ๆ ฝ่าย

ในปū= 3;จจุบันการบ= 619;ิหารจัดการ&= #3588;วามปลอดภัย= ;ระบบสารสนเ$= 07;ศ (IT Security Management) นั้น ใช้แนวทางทū= 7;่เรียกว่า “Holistic Risk Management” = $= 27;มายถึง “การũ= 0;ริหารความเ= 626;ี่ยงในภาพร&= #3623;ม” ในขณะที่ปัŧ= 2;จัยด้านกฎร= 632;เบียบ ข้อกฎหมายตŭ= 6;าง ๆ ถูกนำเข้ามū= 4;พิจารณาด้ว= 618;ในโครงการท&= #3637;่เกี่ยวข้อ= ;งกับความปล$= 29;ดภัยระบบสา&#= 3619;สนเทศในปัจ= จุบัน จะเห็นว่าแŨ= 9;วทาง “Regulatory Compliance” $= 09;ั้น กลายเป็นเรū= 9;่องที่สำคั= 597;ที่มีผลกระ&= #3607;บต่อโครงสร= ;้างพื้นฐาน$= 19;ะบบสารสนเท&#= 3624; (IT Infrastructure) ขององค์กรอũ= 8;่างหลีกเลี= 656;ยงไม่ได้

T= op Driver of IT Security Investment

Source : Ernest and Young, Global Information Security Survey

รูปที่ 1

จากŦ= 6;้อมูลในรูป= 607;ี่ 1 จะเห็$= 09;ว่าเรื่อง “Regulatory Compliance” $= 48;ป็น “Top Driver” $= 26;ำหรับการลง&#= 3607;ุนด้านความ= ปลอดภัยระบũ= 0;สารสนเทศ และพบว่าองŦ= 8;์กรส่วนใหญ= 656;ใช้งบประมา&= #3603; 7-10% ของŧ= 1;บประมาณระบ= 610;สารสนเทศทั&= #3657;งหมดไปกับเ= ;รื่อง IT Policy และ IT Compliance ขณะที$= 56;การใช้งบปร&#= 3632;มาณด้าน IT Security มีตū= 3;วเลขอยู่ที= 656; 4-6% ของงบ$= 11;ระมาณระบบส&#= 3634;รสนเทศโดยร= วม ซึ่งพบว่าน&#= 3657;อยมากและไม= ่เพียงพอต่Ū= 9;การปฏิบัติ= 605;ามแนวทาง Regulatory Compliance

ข้อũ= 7;ูลจาก Merrill Lynch CISO Survey $= 14;บว่า 62% ของ CISO คาดหวังงũ= 0;ประมาณด้าน IT Security = $= 23;่าควรเพิ่ม&#= 3586;ึ้น ขณะที$= 56; CISO 34% $= 26;รุปว่างบปร&#= 3632;มาณเพียงพอ= แล้ว และ 4% $= 10;อกว่าควรลด&#= 3591;บประมาณลง=

S= ecurity Spending Survey

Source : Goldman Sacks

รูปที่ 2

จากŦ= 6;้อมูลในรูป= 607;ี่ 2 การใช$= 57;จ่ายเกี่ยว&#= 3585;ับ Software ด้าŨ= 9; Compliance / Risk Management มีแŨ= 9;วโน้มที่จะ= 648;พิ่มขึ้นปร&= #3632;มาณ 10-15% ขณะŨ= 7;ี่ การ Outsource เรื่อ#= 91;การจัดเก็บ LOG ของระ$= 10;บตามกฎหมาย&#= 3605;่าง ๆ ไปยัง $= 17;ีแนวโน้มที&#= 3656;จะเพิ่มขึ้= นประมาณ 10-15% เช่Ũ= 9;กัน

C= auses of Compliance Deficiencies

Source : ITPolicyCompliance.com

รูปที่ 3

จากข้อมูŪ= 1;ในรูปที่ 3 จะสัง$= 48;กตุได้ว่า ปัญหาและอุũ= 1;สรรคของการ= 611;ฏิบัติตามห&= #3621;ักการ Regulatory นั้Ũ= 9; อันดับหนึ่ŧ= 1;คือ เรื่องงานเŪ= 9;กสาร (Documentation) และอันดับทū= 7;่ 2 ถึง 8 นั้นเกี่ũ= 8;วข้องกับเร= 639;่อง IT Security ที่ũ= 8;ังไม่ได้ปฏ= 636;บัติตาม Standard หรืŪ= 9; Best Practice เช่น ISO/IEC 27001 ,ITIL $= 27;รือ ISO/IEC 20000 ตลอŨ= 4;จนมาตรฐาน CobiT 4.1 เป็นต้น

#= 85;ระบวนการขอ&#= 3591;แนวคิด “GRC” นั้Ũ= 9;ประกอบด้วย 10 กระบว$= 09;การที่ต้อง&#= 3585;ารผู้บริหา= รมารับผิดชŪ= 9;บอย่างเป็น= 607;างการ ดังตาราง “GRC” Component Definition ข้าŧ= 1;ล่าง

GRC Component Definition Table

Recommended Process

Executed by

1. Governance (G)

The board of director, corporate secretary and governance professionals including board management

2. Strategy

Chief Executive Officer (CEO) or “c-suite”<= /span>

3. Risk Manageme= nt (R)

Chief Risk Officer (CRO), business line and ot= her executives

4. Audit

Chief Audit Executive, internal audit, audit committee and external auditors

5. Legal

The general counsel and legal staff

6. Compliance (C)

The general counsel, chief compliance and ethi= cs officer, compliance professionals and other legal staff

7. Information Technol= ogy

Chief Information Officer (CIO), privacy offic= er and/or security officer<= /span>

8. Ethics & Corpor= ate Social Responsibility

Chief Ethics Officer and Chief Responsibility = Officer

9. <= span style=3D'color:black'>Quality Management

Quality professionals throughout the organizat= ion

10. = Human Capital & Culture

Human resource professionals and organizational design and development professionals

$= 49;นวคิด “GRC” $= 09;ั้น นอกจากจะทำŭ= 1;ห้องค์กรแส= 604;งถึงความเป&= #3655;น “Good Governance” $= 49;ล้ว ยังทำให้องŦ= 8;์กรเกิดควา= 617;สามารถในกา&= #3619;แข่งขัน (Competitive Advantage) ในระยะยาวอū= 7;กด้วย เป็นการเสรū= 6;มภาพลักษณ์= 607;ี่ดีให้กับ&= #3629;งค์กร ตลอดจนคณะผŬ= 1;้บริหารระด= 633;บสูง รวมทั้งการŪ= 6;ร้างจิตสำน= 638;กในการปฏิบ&= #3633;ติงานที่ดี= ;ให้กับพนัก#= 91;านทุกคน ส่งผลให้ลูŦ= 5;ค้าเกิดควา= 617;เชื่อถือแล&= #3632;ความมั่นใจ= ;ในการใช้บร$= 36;การต่าง ๆ ขององค์กร ซึ่งเป็นแนŪ= 3;คิดที่ไม่ไ= 604;้แตกต่างจา&= #3585;แนวคิดยอดน= ;ิยม คือ Balanced Scorecard (BSC= ) ที่มีองค์ปũ= 9;ะกอบทั้ง 4 ด้าŨ= 9; ได้แก่ Customer และ Learning and Growth Perspective

กล่าวโดยส= 619;ุปจะเห็นได&= #3657;ว่า แนวคิด “GRC” = นั้น = ถือเป็นทิ= 624;ทางใหม่สำห&= #3619;ับผู้บริหา= ;รระดับสูงข$= 29;งองค์กรที่&#= 3652;ม่ใช่เฉพาะ= ผู้บริหารรū= 2;บบสารสนเทศ หรือ CIO เท= ่านั้น แต่เป็นทิศŨ= 7;างของผู้บร= 636;หารในระดับ C Level ทั้งหม&#= 3604; ไม่ว่าจะเปŭ= 5;นการเริ่มจ= 634;ก CEO ตลอดจน <= /span>CFO, CTO และ CIO จำเป็นต้อ= 591;ร่วมแรงร่ว&= #3617;ใจกันในการ= ;ผลักดันแนว#= 88;ิด “GRC” ให= ้กลายเป็นผŪ= 1;งานในเชิงป= 599;ิบัติ ซึ่งภาวะผูŭ= 7;นำ หรือ “L= eadership” เป็นปั&#= 3592;จัยสำคัญที= ่จะทำให้เกū= 6;ดความสำเร็= 592; เนื่องจากกū= 4;รปฏิบัติที= 656;จะส่งผลเป็&= #3609;รูปธรรมนั้= ;นจำเป็นต้อ#= 91;ใช้งบประมา&#= 3603;ดังที่ได้ก= ล่าวมาแล้ว และ= ยังต้องใช= 657;บุคลากรที่&= #3652;ด้รับมอบหม= ;ายให้ทำตาม$= 49;นวคิด “GRC” โด= ยเฉพาะถึงจū= 2;เกิดผลสำเร= 655;จได้ รวมทั้งอาจŨ= 5;้องมีการจั= 604;จ้างที่ปรึ&= #3585;ษาหรือผู้เ= ;ชี่ยวชาญเฉ$= 14;าะทางมาคอย&#= 3648;ป็นพี่เลี้= ยงและให้แนŪ= 3;ทางปฏิบัติ= 592;าก Standard และ Best Practice <= /b>ต่าง ๆ ได้อย่างถูŦ= 5;ต้อง ดังนั้น ผู้บริหารรū= 2;ดับสูงจึงจ= 635;เป็นที่จะต&= #3657;องมีภาวะผู= ;้นำดังกล่า$= 23;อย่างยิ่ง เพื่อให้ไดŭ= 7;ตามเป้าหมา= 618;ตามแนวคิด “GRC” ใน= ที่สุด

Recommended Process	Executed by
1. Governance (G)	The board of director, corporate secretary and governance professionals including board management
2. Strategy	Chief Executive Officer (CEO) or “c-suite”<= /span>
3. Risk Manageme= nt (R)	Chief Risk Officer (CRO), business line and ot= her executives
4. Audit	Chief Audit Executive, internal audit, audit committee and external auditors
5. Legal	The general counsel and legal staff
6. Compliance (C)	The general counsel, chief compliance and ethi= cs officer, compliance professionals and other legal staff
7. Information Technol= ogy	Chief Information Officer (CIO), privacy offic= er and/or security officer<= /span>
8. Ethics & Corpor= ate Social Responsibility	Chief Ethics Officer and Chief Responsibility = Officer
9. <= span style=3D'color:black'>Quality Management	Quality professionals throughout the organizat= ion
10. = Human Capital & Culture	Human resource professionals and organizational design and development professionals