GRC មិនមែនជាការគ្រាន់តែគូសគ្រីសលើប្រអប់ការងារនោះទេ៖ ការកសាងគំរូអភិបាលកិច្ចដែលជួយកាត់បន្ថយហានិភ័យពិតប្រាកដ
រៀងរាល់ត្រីមាស នៅក្នុងបន្ទប់ប្រជុំក្រុមប្រឹក្សាភិបាលទូទាំងតំបន់អាស៊ាន តែងតែឮពាក្យលួងលោមចិត្តដូចៗគ្នាថា៖ «យើងបានអនុលោមតាមស្ដង់ដាររួចរាល់ហើយ»។ ទោះជាយ៉ាងណាក៏ដោយ អនុលោមភាព (Compliance) និងសន្តិសុខសុវត្ថិភាព (Security) មិនមែនជារបស់តែមួយនោះទេ ហើយថ្នាក់ដឹកនាំដែលភ័ន្តច្រឡំរវាងពាក្យទាំងពីរនេះ កំពុងតែលាក់ទុកនូវហានិភ័យយ៉ាងស្ងៀមស្ងាត់នៅពីក្រោយផ្ទាំងជញ្ជាំងនៃវិញ្ញាបនបត្រ និងរបាយការណ៍សវនកម្ម។
បញ្ហាជាយុទ្ធសាស្ត្រ
អភិបាលកិច្ច ការគ្រប់គ្រងហានិភ័យ និងអនុលោមភាព (GRC – Governance, Risk, and Compliance) ភាគច្រើនត្រូវបានគេបន្ទាបតម្លៃមកត្រឹមតែជាកិច្ចការរៀបចំឯកសារតែប៉ុណ្ណោះ ពោលគឺគោលនយោបាយនានាត្រូវបានសរសេរឡើងដើម្បីតែបំពេញចិត្តសវនករ ជាជាងការកែប្រែឥរិយាបថការងារជាក់ស្ដែង។ លទ្ធផលគឺ ស្ថាប័នជាច្រើនបានជាប់សវនកម្ម ISO 27001:2022 ឬច្បាប់ការពារទិន្នន័យឯកជន ប៉ុន្តែបែរជាត្រូវរងការវាយប្រហារបែកធ្លាយទិន្នន័យក្នុងរយៈពេលតែប៉ុន្មានខែក្រោយមក។ អនុលោមភាព គ្រាន់តែជាការវាស់វែង ថាតើវិធានការត្រួតពិនិត្យមាននៅលើក្រដាសស្នាមដែរឬទេ ចំណែកឯអភិបាលកិច្ច គឺជាការវាស់វែងថាតើវិធានការទាំងនោះមានដំណើរការប្រកបដោយប្រសិទ្ធភាពក្នុងការអនុវត្តជាក់ស្ដែងដែរឬទេ។
ក្របខ័ណ្ឌការងារជាក់ស្ដែង
ប្រព័ន្ធ GRC ដែលមានប្រសិទ្ធភាព ត្រូវតែរួមបញ្ចូលគ្នានូវស្រទាប់ទាំងបី៖
- អភិបាលកិច្ច (Governance)៖ ការបែងចែកភាពជាម្ចាស់ច្បាស់លាស់ គណនេយ្យភាពនៅកម្រិតក្រុមប្រឹក្សាភិបាល និងសិទ្ធិសម្រេចចិត្តលើហានិភ័យសាយប័រ។
- ការគ្រប់គ្រងហានិភ័យ (Risk Management)៖ បញ្ជីកត់ត្រាហានិភ័យដែលមានលក្ខណៈរស់រវើក (Living Register) និងផ្សារភ្ជាប់ទៅនឹងផលប៉ះពាល់អាជីវកម្ម មិនមែនជាតារាង Spreadsheet ដែលនៅនឹងថ្កល់នោះទេ។
- អនុលោមភាព (Compliance)៖ ស្រទាប់ភស្តុតាងដែលបង្ហាញថា ការត្រួតពិនិត្យលើអភិបាលកិច្ច និងហានិភ័យកំពុងដំណើរការ។
ការផ្លាស់ប្តូររបត់ដឹកនាំដ៏សំខាន់ គឺលំដាប់លំដោយ៖ ត្រូវកសាងអភិបាលកិច្ច និងការគ្រប់គ្រងហានិភ័យជាមុនសិន ហើយអនុលោមភាពនឹងក្លាយជាផលលេចចេញមកដោយឯកឯងតាមធម្មជាតិ មិនមែនធ្វើបញ្ច្រាសទិសគ្នានោះឡើយ។
បរិបទក្នុងតំបន់ និងសកលលោក
នៅក្នុងប្រទេសកម្ពុជា ក៏ដូចជាតំបន់អាស៊ានទាំងមូល ភាពចាស់ទុំផ្នែកបទប្បញ្ញត្តិកំពុងមានការកើនឡើងយ៉ាងលឿន (ដូចជា ច្បាប់ការពារទិន្នន័យ និងយុទ្ធសាស្ត្រសន្តិសុខសាយប័រជាតិ) ប៉ុន្តែសមត្ថភាពនៃការអនុវត្តច្បាប់នៅមានកម្រិតនៅឡើយបើប្រៀបធៀបនឹងទីផ្សារជឿនលឿន។ កត្តានេះបង្កើតឱ្យមានការល្បួងចិត្តក្នុងការចាត់ទុកអនុលោមភាពតាមកម្រិតស្រុកថា «ល្អគ្រប់គ្រាន់ហើយ»។ ក្របខ័ណ្ឌសកល រួមមាន NIST CSF, ISO 27001 និង COBIT នៅតែជាចំណុចវាស់វែង (Benchmark) ដែលគួរឱ្យទុកចិត្តបំផុតសម្រាប់ស្ថាប័នដែលមានការពាក់ព័ន្ធក្នុងកម្រិតតំបន់ ឬអន្តរជាតិ រួមទាំងវិនិយោគិន និងដៃគូសហការ ដែលរំពឹងចង់បានស្តង់ដារធានាអះអាងកម្រិតសកល។
បញ្ជីសកម្មភាពត្រូវអនុវត្ត
- ផ្ទៀងផ្ទាត់គោលនយោបាយដែលមានស្រាប់ ធៀបនឹងការអនុវត្តការងារជាក់ស្តែង ដើម្បីស្វែងរកចំណុចខុសគ្នា។
- បង្កើតគណៈកម្មាធិការហានិភ័យសាយប័រ ដែលមានកាលវិភាគរាយការណ៍ជូនក្រុមប្រឹក្សាភិបាលច្បាស់លាស់ (យ៉ាងហោចណាស់មួយត្រីមាសម្តង)។
- ជំនួសបញ្ជីត្រួតពិនិត្យអនុលោមភាពដែលនៅនឹងថ្កល់ ដោយបញ្ជីកត់ត្រាហានិភ័យដែលមានការវាយតម្លៃពិន្ទុហានិភ័យប្រែប្រួលតាមស្ថានភាពជាក់ស្តែង និងត្រូវត្រួតពិនិត្យឡើងវិញរៀងរាល់ខែ។
- អនុវត្តការវាយតម្លៃភាពចាស់ទុំនៃប្រព័ន្ធ GRC រយៈពេល ៩០ ថ្ងៃ ដោយប្រើប្រាស់ស្តង់ដារ NIST CSF ឬ ISO 27001 ជាមូលដ្ឋានគ្រឹះ។
ទស្សនៈវិស័យសម្រាប់ថ្នាក់ដឹកនាំ
ស្ថាប័នដែលអនុលោមតាមបទប្បញ្ញត្តិគ្រប់ជ្រុងជ្រោយ ក៏នៅតែអាចរងការវាយប្រហារចូលប្រព័ន្ធបានដែរ។ ប៉ុន្តែ ស្ថាប័នដែលមានអភិបាលកិច្ចល្អ នឹងអាចទប់ទល់ និងស្រូបយកផលប៉ះពាល់នៃការវាយប្រហារនោះបាន ដោយមិនលេចឈ្មោះនៅលើទំព័រព័ត៌មានអាក្រក់ឡើយ។ ក្រុមប្រឹក្សាភិបាលមិនគួរចោទសួរថា «តើយើងបានអនុលោមតាមច្បាប់ហើយឬនៅ?» នោះទេ ប៉ុន្តែគួរចោទសួរថា «តើយើងបានដឹងពីកម្រិតហានិភ័យពិតប្រាកដដែលយើងកំពុងប្រឈមដែរឬទេ ហើយនរណាជាអ្នកទទួលខុសត្រូវលើរឿងនេះ?»
