วิธีสร้างทะเบียนความเสี่ยงด้วย AI: คู่มือฉบับสมบูรณ์

ทะเบียนความเสี่ยงคือตารางเดียวที่ระบุว่ามีอะไรบ้างที่อาจผิดพลาดได้และมีโอกาสเกิดขึ้นมากน้อยเพียงใด นอกจากนี้ยังบันทึกข้อมูลว่าความเสียหายจะเป็นอย่างไร ใครเป็นผู้รับผิดชอบ และคุณตัดสินใจที่จะทำอย่างไร ทีมส่วนใหญ่มักจะสร้างทะเบียนความเสี่ยงฉบับแรกขึ้นมาหลังจากเกิดข้อผิดพลาดที่ไม่มีใครเคยบันทึกไว้ คู่มือนี้จะครอบคลุมทั้งวิธีทำด้วยตนเองและวิธีที่รวดเร็วกว่าโดยใช้ข้อมูลส่งออกที่คุณมีอยู่แล้ว

ทะเบียนความเสี่ยงคืออะไร

คำจำกัดความที่ชัดเจนที่สุดมาจากอภิธานศัพท์ของ NIST ซึ่งนิยามไว้ว่าเป็น "แหล่งเก็บข้อมูลความเสี่ยง รวมถึงข้อมูลที่ทำความเข้าใจเกี่ยวกับความเสี่ยงเมื่อเวลาผ่านไป"

รายการที่สองในหน้าเดียวกันนั้นมีประโยชน์มากกว่าสำหรับการทำงานจริง โดยอธิบายว่าเป็นบันทึกส่วนกลางของความเสี่ยงในปัจจุบันสำหรับขอบเขตหรือองค์กรที่กำหนด

รายการดังกล่าวได้สร้างความแตกต่างที่เทมเพลตส่วนใหญ่ละเลยไป ความเสี่ยงในปัจจุบันนั้นรวมถึงทั้งความเสี่ยงที่คุณได้ยอมรับแล้ว และความเสี่ยงที่มีแนวทางการบรรเทาผลกระทบที่วางแผนไว้

นั่นคือแนวคิดทั้งหมด ทะเบียนความเสี่ยงไม่ใช่รายการปัญหาที่รอการแก้ไข แต่เป็นบันทึกการตัดสินใจ และข้อความที่ว่า "เราได้พิจารณาเรื่องนี้แล้วและตัดสินใจที่จะยอมรับมัน" ก็ถือเป็นรายการบันทึกที่ถูกต้องสมบูรณ์

ความแตกต่างนี้ส่งผลในทางปฏิบัติ หากไม่มีการบันทึกความเสี่ยงที่ยอมรับได้ ก็จะไม่มีใครบอกความแตกต่างได้ระหว่างความเสี่ยงที่ผ่านการชั่งน้ำหนักและปัดตกไป กับความเสี่ยงที่ไม่เคยมีใครสังเกตเห็นเลย หกเดือนต่อมา ทั้งสองกรณีนี้จะดูเหมือนกันทุกประการ และมีเพียงกรณีเดียวเท่านั้นที่เป็นความล้มเหลว

ข้อสังเกตเกี่ยวกับขอบเขตหนึ่งข้อก่อนที่คุณจะเริ่มสร้าง เอกสารของ NIST นั้นอยู่ในบริบทของรัฐบาลกลางและความมั่นคงปลอดภัยไซเบอร์ รายการอภิธานศัพท์ ของหน่วยงานชี้ไปที่ OMB Circular A-11 สำหรับเนื้อหาที่ทะเบียนของรัฐบาลกลางต้องมี สิ่งที่ตามมาต่อจากนี้คือเวอร์ชันสำหรับการจัดการที่ทีมส่วนใหญ่จำเป็นต้องใช้จริง ๆ ไม่ใช่ทะเบียนที่สร้างขึ้นตามมาตรฐานการปฏิบัติตามข้อกำหนด หากคุณกำลังยื่นเอกสารภายใต้กรอบการทำงานเฉพาะ ให้ใช้รายการฟิลด์ของกรอบการทำงานนั้น

อย่างไรก็ตาม มีแนวคิดหนึ่งจากเอกสารดังกล่าวที่สามารถนำมาประยุกต์ใช้ได้ IR 8286 ของ NIST นั้นสร้างขึ้นโดยอิงตามทะเบียนความเสี่ยง บทคัดย่อของเอกสารอธิบายถึง "คุณค่าของการรวบรวมมาตรการวัดความเสี่ยงที่มักจะจัดการในระดับระบบและระดับองค์กรที่ต่ำกว่า ขึ้นสู่ระดับองค์กรในภาพรวมที่กว้างขึ้น"

นั่นเป็นสิ่งที่มีค่าควรแก่การออกแบบตั้งแต่เวอร์ชันแรก ทะเบียนความเสี่ยงที่คะแนนอิงตามตัวเลขที่เปรียบเทียบกันได้จะสามารถนำไปรวมกับของทีมอื่นได้ ส่วนทะเบียนที่สร้างขึ้นจากวิจารณญาณส่วนบุคคลนั้นไม่สามารถทำได้

สิ่งที่คุณต้องมีก่อนเริ่มต้น

ข้อมูลนำเข้าสามส่วน ซึ่งไม่ค่อยได้อยู่ร่วมกัน

• รายการอันตราย สิ่งที่ทีมของคุณกังวลอยู่แล้ว ไม่ว่าจะบันทึกไว้อย่างไม่เป็นทางการเพียงใดก็ตาม
• ข้อมูลการเผชิญความเสี่ยง ค่าใช้จ่ายของผู้ให้บริการ, เงื่อนไขสัญญา, จำนวนพนักงานตามสถานที่, รายการระบบ, ประวัติการเกิดอุบัติการณ์
• แผนผังผู้รับผิดชอบ ใครคือผู้ที่สามารถตัดสินใจได้จริง ๆ ไม่ใช่ผู้ที่รายงานปัญหา

คุณยังต้องมีตัวเลขหนึ่งตัวที่ตกลงกันไว้ล่วงหน้า นั่นคือเกณฑ์ผลกระทบขั้นต่ำที่หากเกินกว่านี้ สิ่งนั้นจะต้องถูกนำมาใส่ในทะเบียนความเสี่ยง หากไม่มีเกณฑ์นี้ ตารางจะเต็มไปด้วยรายการที่ไม่มีใครดำเนินการใด ๆ เลย

กำหนดเกณฑ์ดังกล่าวให้อยู่ในหน่วยเดียวกับข้อมูลการเผชิญความเสี่ยงของคุณ เกณฑ์ที่แสดงเป็นค่าใช้จ่ายรายปีสามารถตรวจสอบได้ ส่วนเกณฑ์ที่แสดงเป็น "นัยสำคัญ" จะทำให้เกิดการโต้เถียงกันใหม่ทุกครั้งที่มีการทบทวน

วิธีสร้างทะเบียนความเสี่ยงด้วยตนเอง

ทางเลือกที่ 1: ตารางเดียวในสเปรดชีต

หนึ่งแถวต่อหนึ่งความเสี่ยง โดยมีโอกาสเกิดขึ้นและผลกระทบเป็นคอลัมน์ นี่คือจุดเริ่มต้นของทะเบียนความเสี่ยงเกือบทั้งหมด และสำหรับทีมขนาดเล็กเพียงเท่านี้ก็เพียงพอแล้ว

สิ่งที่ต้องแลกมาคือการบำรุงรักษา ทุกแถวต้องพิมพ์ด้วยมือ และทะเบียนความเสี่ยงจะล้าสมัยไปในสัปดาห์ถัดมาหลังจากการประชุมเชิงปฏิบัติการที่สร้างมันขึ้นมา

ทางเลือกที่ 2: ให้คะแนนความเสี่ยงและจัดเรียงลำดับ

เพิ่มคะแนนสำหรับโอกาสเกิดขึ้นและคะแนนสำหรับผลกระทบ นำมาคูณกัน แล้วจัดเรียงลำดับ ตอนนี้ตารางจะมีลำดับขั้นตอน ซึ่งเป็นสิ่งแรกที่ทำให้สามารถนำไปใช้ในการประชุมได้

อุปสรรคคือความสม่ำเสมอ คนสองคนที่ให้คะแนนความเสี่ยงเดียวกันโดยห่างกันหนึ่งเดือนจะมีความเห็นไม่ตรงกัน และไม่มีสิ่งใดในสเปรดชีตที่จะตรวจจับเรื่องนั้นได้

ทางเลือกที่ 3: อิงคะแนนจากข้อมูลของคุณเอง

นี่คือเวอร์ชันที่สามารถตอบคำถามซักถามได้ แทนที่จะให้คะแนนความเสี่ยงของผู้ให้บริการจากความจำ คุณดึงตัวเลขจริงขึ้นมา ค่าใช้จ่ายรายปี, ระยะเวลาบอกกล่าวล่วงหน้าของสัญญา, และจำนวนทีมที่ต้องพึ่งพาผู้ให้บริการรายนั้น จะเป็นตัวกำหนดคะแนนผลกระทบร่วมกัน

คำแนะนำของ Ready.gov ของ FEMA ชี้ไปในทิศทางเดียวกันสำหรับความเสี่ยงทางกายภาพ หน้าการประเมินความเสี่ยง แนะนำให้ธุรกิจต่างๆ "มองหาช่องโหว่หรือจุดอ่อนที่อาจทำให้ธุรกิจของคุณมีแนวโน้มที่จะได้รับความเสียหายจากอันตรายมากขึ้น" โดยระบุว่าจุดอ่อนเหล่านั้น "ส่งผลต่อความรุนแรงของความเสียหายเมื่อเกิดอุบัติการณ์ขึ้น"

หน้าเดียวกันนี้ยังกำหนดกรอบการตอบสนองในแง่ของการลงทุน ผลกระทบ "สามารถลดลงได้โดยการลงทุนในการบรรเทาผลกระทบ" ในกรณีที่ผลกระทบที่อาจเกิดขึ้นนั้นมีนัยสำคัญ การสร้างกลยุทธ์การบรรเทาผลกระทบ "ควรเป็นสิ่งที่มีความสำคัญสูง"

นี่คือวิธีที่ถูกต้องและเป็นวิธีที่ช้า ทุกความเสี่ยงหมายถึงการต้องย้อนกลับไปดูข้อมูลส่งออกที่แตกต่างกัน

วิธีสร้างทะเบียนความเสี่ยงด้วย AI

ขั้นตอนที่ 1: อัปโหลดข้อมูลส่งออกที่อธิบายการเผชิญความเสี่ยงของคุณ

เปิด Powerdrill Bloom แล้วอัปโหลดสิ่งที่คุณมี: ข้อมูลส่งออกค่าใช้จ่ายของผู้ให้บริการ, รายการสัญญา, รายการระบบ, บันทึกอุบัติการณ์ในอดีต อัปโหลดข้อมูลเหล่านั้นพร้อมกันแทนที่จะอัปโหลดทีละไฟล์

จากนั้นอธิบายขอบเขตของคุณด้วยภาษาธรรมชาติ ระบุว่าทะเบียนนี้ครอบคลุมส่วนใดของธุรกิจ เกณฑ์ผลกระทบของคุณคืออะไร และคุณใช้เกณฑ์คะแนนแบบใด

ขั้นตอนที่ 2: ขอตัวเลขการเผชิญความเสี่ยงต่อความเสี่ยงแต่ละรายการ ไม่ใช่คะแนนการประเมิน

ขอตารางที่มีหนึ่งแถวต่อหนึ่งความเสี่ยงที่เข้าข่าย โดยให้แสดงตัวเลขที่ควรนำมาใช้คำนวณคะแนน เช่น ค่าใช้จ่ายรายปี, จำนวนทีมที่ต้องพึ่งพา, ระยะเวลาบอกกล่าวล่วงหน้า, และจำนวนอุบัติการณ์ในช่วงปีที่ผ่านมา

ขอแหล่งที่มาของตัวเลขแต่ละตัว แพลตฟอร์มจะส่งคืนคำตอบที่มีหลักฐานอ้างอิงพร้อมระบุหน้าและแถวที่อยู่เบื้องหลังตัวเลขแต่ละตัว ในทะเบียนความเสี่ยง ความสามารถในการสืบย้อนกลับนั้นคือความแตกต่างระหว่างคะแนนที่คุณสามารถชี้แจงเหตุผลได้กับคะแนนที่คุณไม่สามารถชี้แจงได้

ทำการให้คะแนนด้วยตัวคุณเองจากตัวเลขเหล่านั้น การใช้ดุลยพินิจคือส่วนที่ควรปล่อยให้เป็นหน้าที่ของมนุษย์

ขั้นตอนที่ 3: เพิ่มการตัดสินใจของคุณและส่งออกข้อมูล

สำหรับแต่ละแถว ให้บันทึกการตัดสินใจ: ยอมรับ, บรรเทา, โอนย้าย หรือหลีกเลี่ยง ในกรณีที่ตัดสินใจบรรเทาความเสี่ยง ให้เพิ่มการดำเนินการที่วางแผนไว้ ผู้รับผิดชอบ และวันที่ทบทวน

จากนั้นส่งออกตารางโดยจัดเรียงตามคะแนน เก็บตัวเลขการเผชิญความเสี่ยงไว้เป็นคอลัมน์แทนที่จะลบทิ้ง การทบทวนในไตรมาสถัดไปจะเริ่มต้นจากการดูว่าตัวเลขเหล่านั้นมีการเปลี่ยนแปลงหรือไม่

หากทะเบียนความเสี่ยงกลายเป็นผลงานที่ต้องส่งมอบเป็นประจำ งานที่ตั้งเวลาไว้จะมีระบุอยู่ในทุกแผนบริการ โดยมี 1 งานในแผนบริการ Free และ 20 งานตั้งแต่แผนบริการ Pro ขึ้นไป การอัปเดตข้อมูลรายไตรมาสถือว่าเหมาะสมสำหรับทีมส่วนใหญ่

สิ่งที่ควรอยู่ในแต่ละแถว

คอลัมน์	เหตุผลที่ควรมีอยู่
คำอธิบายความเสี่ยง	เขียนในรูปแบบของสาเหตุและผลกระทบ ไม่ใช่แค่หัวข้อ
โอกาสเกิดขึ้น	ครึ่งหนึ่งของคะแนน และเป็นส่วนที่ผู้คนมักจะคาดเดาเอาเอง
ผลกระทบ	ควรสามารถสืบย้อนกลับไปยังตัวเลขจริงได้
ตัวเลขการเผชิญความเสี่ยง	ตัวเลขที่เป็นที่มาของคะแนนผลกระทบ
การตัดสินใจ	ยอมรับ, บรรเทา, โอนย้าย หรือหลีกเลี่ยง
การบรรเทาความเสี่ยงและผู้รับผิดชอบ	จะมีความหมายก็ต่อเมื่อระบุชื่อผู้รับผิดชอบเพียงคนเดียวเท่านั้น
วันที่ทบทวน	หากไม่มีสิ่งนี้ ทะเบียนความเสี่ยงจะล้าสมัยไปอย่างเงียบ ๆ

คอลัมน์ตัวเลขการเผชิญความเสี่ยงเป็นคอลัมน์ที่เทมเพลตส่วนใหญ่ละเลยไป การเก็บคอลัมน์นี้ไว้จะช่วยเปลี่ยนคะแนนการประเมินที่เป็นอัตวิสัยให้กลายเป็นสิ่งที่ผู้ทบทวนคนต่อไปสามารถตรวจสอบได้

แนวทางปฏิบัติที่ดีที่สุดและข้อผิดพลาดที่พบบ่อย

บันทึกความเสี่ยงที่ยอมรับแล้วด้วย ทะเบียนที่มีเฉพาะรายการที่ยังเปิดอยู่ก็เป็นเพียงแค่รายการงานที่ต้องทำ รายการที่ยอมรับแล้วคือสิ่งที่จะช่วยปกป้องคุณเมื่อมีคนถามในภายหลังว่ามีใครเคยพิจารณาเรื่องนี้แล้วหรือยัง

เขียนความเสี่ยงในรูปแบบของสาเหตุและผลกระทบ "การกระจุกตัวของผู้ให้บริการ" เป็นเพียงหัวข้อ "ระบบเรียกเก็บเงินของเราพึ่งพาผู้ให้บริการรายเดียวที่มีระยะเวลาบอกกล่าวล่วงหน้า 90 วัน" คือความเสี่ยงที่คุณสามารถให้คะแนนได้

เชื่อมโยงผลกระทบเข้ากับตัวเลข แม้จะเป็นตัวเลขคร่าว ๆ ก็ยังดีกว่าคะแนนที่เดาขึ้นมาลอย ๆ และมันจะช่วยให้การทบทวนครั้งต่อไปเป็นการเปรียบเทียบข้อมูลแทนที่จะเป็นการโต้เถียงกันใหม่

กำหนดผู้รับผิดชอบเพียงคนเดียวในแต่ละแถว การมีผู้รับผิดชอบร่วมกันในความเสี่ยงมักจะหมายความว่าไม่มีใครทบทวนมันเลย และผู้รับผิดชอบควรเป็นใครก็ตามที่มีอำนาจอนุมัติการบรรเทาความเสี่ยงนั้น

กำหนดวันที่ทบทวนเป็นรายแถว ไม่ใช่รายทะเบียน ความเสี่ยงด้านซัพพลายเออร์และความเสี่ยงด้านกฎระเบียบมีกรอบเวลาที่แตกต่างกัน และการกวาดทบทวนรายไตรมาสเพียงครั้งเดียวจะทำให้จัดการกับความเสี่ยงเหล่านั้นเสมือนว่ามันไม่มีความแตกต่างกัน

แยกออกจากประสิทธิภาพการทำงานของผู้ให้บริการ ทั้งสองส่วนนี้ใช้ข้อมูลส่งออกที่ทับซ้อนกันแต่ตอบคำถามที่แตกต่างกัน การประเมินซัพพลายเออร์ในเรื่องการส่งมอบและคุณภาพนั้นอยู่ในคู่มือของเราเกี่ยวกับ supplier scorecard ส่วนทะเบียนความเสี่ยงนั้นเป็นเรื่องเกี่ยวกับสิ่งที่จะเกิดขึ้นหากซัพพลายเออร์รายนั้นล้มเหลว

กำหนดคำนิยามของคุณเพียงครั้งเดียว ช่วงของโอกาสเกิดขึ้นและระดับของผลกระทบควรมีความหมายเดียวกันสำหรับทุกคนที่ให้คะแนน นั่นเป็นหลักการเดียวกันกับที่ครอบคลุมในคำแนะนำของเราเกี่ยวกับการสร้าง data dictionary หากผลลัพธ์กลายเป็นเอกสารมาตรฐาน หน้า AI report generator จะแสดงรูปแบบดังกล่าวให้เห็น

บทสรุป

ทะเบียนความเสี่ยงพิสูจน์คุณค่าของมันด้วยการเปลี่ยนความกังวลที่กระจัดกระจายให้กลายเป็นบันทึกการตัดสินใจ รวมถึงการตัดสินใจที่จะยอมรับบางสิ่งและก้าวต่อไป ส่วนที่ยากไม่ใช่การจัดวางตาราง แต่เป็นการทำให้อัตราผลกระทบแต่ละรายการอิงตามตัวเลขจริงแทนที่จะเป็นความรู้สึก

สร้างทะเบียนความเสี่ยงจากข้อมูลส่งออกที่คุณมีอยู่แล้ว และแสดงตัวเลขการเผชิญความเสี่ยงให้เห็นชัดเจนถัดจากคะแนน กำหนดผู้รับผิดชอบและวันที่ทบทวนให้กับทุกแถว

มีข้อมูลส่งออกของผู้ให้บริการและอุบัติการณ์แล้วหรือยัง ลองใช้ Powerdrill Bloom และสร้างเวอร์ชันแรกในสัปดาห์นี้เลย

คำถามที่พบบ่อย

ทะเบียนความเสี่ยงคืออะไร

อภิธานศัพท์ของ NIST อธิบายไว้ว่าเป็นแหล่งเก็บข้อมูลความเสี่ยงที่ครอบคลุมถึงสิ่งที่ทำความเข้าใจเกี่ยวกับความเสี่ยงเมื่อเวลาผ่านไป ในทางปฏิบัติ มันคือตารางเดียวที่บันทึกความเสี่ยงแต่ละรายการ คะแนนการประเมิน ผู้รับผิดชอบ และการตัดสินใจเกี่ยวกับความเสี่ยงนั้น

ทะเบียนความเสี่ยงควรมีคอลัมน์อะไรบ้าง

อย่างน้อยที่สุด: ความเสี่ยงที่เขียนในรูปแบบของสาเหตุและผลกระทบ, โอกาสเกิดขึ้น, ผลกระทบ และตัวเลขที่เป็นที่มาของคะแนนผลกระทบ จากนั้นตามด้วยการตัดสินใจ, การบรรเทาความเสี่ยงและผู้รับผิดชอบ และวันที่ทบทวน

ความเสี่ยงที่ยอมรับแล้วควรอยู่ในทะเบียนความเสี่ยงต่อไปหรือไม่

ใช่ คำนิยามของ NIST ถือว่าความเสี่ยงในปัจจุบันนั้นรวมถึงทั้งความเสี่ยงที่ยอมรับแล้วและกลุ่มที่มีแนวทางการบรรเทาผลกระทบที่วางแผนไว้ การลบรายการที่ยอมรับแล้วออกจะทำให้บันทึกการตัดสินใจนั้นสูญหายไป

ควรทบทวนบ่อยแค่ไหน

กำหนดวันที่ทบทวนเป็นรายแถวแทนที่จะเป็นทั้งเอกสาร เนื่องจากความเสี่ยงประเภทต่าง ๆ มีการเปลี่ยนแปลงในกรอบเวลาที่แตกต่างกัน การกวาดทบทวนแถวที่มีคะแนนสูงสุดเป็นรายไตรมาสถือว่าเหมาะสมสำหรับทีมส่วนใหญ่

สิ่งนี้เหมือนกับการประเมินความเสี่ยงหรือไม่

ไม่ใช่ Ready.gov อธิบายว่าการประเมินความเสี่ยงคือกระบวนการระบุอันตรายและวิเคราะห์สิ่งที่จะเกิดขึ้นได้ ส่วนทะเบียนความเสี่ยงคือเอกสารหลักฐานที่บันทึกผลลัพธ์และการตัดสินใจเหล่านั้น