ISO 38500 คืออะไร? ทำไมองค์กรยุคดิจิทัลต้องเข้าใจ Governance of IT ให้ชัด

ในยุคที่ทุกองค์กรขับเคลื่อนด้วยข้อมูล ระบบดิจิทัล และการตัดสินใจที่อาศัยเทคโนโลยี “การมี IT” อย่างเดียวไม่เพียงพออีกต่อไป สิ่งที่สำคัญยิ่งกว่าคือ การกำกับดูแล IT อย่างถูกต้อง เพื่อให้เทคโนโลยีสร้างคุณค่าทางธุรกิจ ลดความเสี่ยง และสนับสนุนเป้าหมายองค์กรอย่างแท้จริง

นี่คือเหตุผลที่ ISO 38500 กลายเป็นมาตรฐานสำคัญสำหรับองค์กรที่ต้องการยกระดับ IT Governance ให้เป็นระบบ

มาตรฐานนี้มีชื่อเต็มว่า ISO/IEC 38500:2024 – Information technology — Governance of IT for the organization ซึ่งเป็นแนวทางสำหรับคณะกรรมการ ผู้บริหารระดับสูง และผู้ที่มีหน้าที่กำกับดูแลการใช้ IT ในองค์กร ให้สามารถตัดสินใจเกี่ยวกับเทคโนโลยีได้อย่างมีประสิทธิภาพ เหมาะสม และยอมรับได้ในบริบทขององค์กร

ISO 38500 คือมาตรฐานด้านอะไร

ISO 38500 คือมาตรฐานสากลด้าน Governance of IT หรือ การกำกับดูแลเทคโนโลยีสารสนเทศขององค์กร โดยมุ่งเน้นให้ผู้บริหารและคณะกรรมการสามารถกำหนดทิศทาง ควบคุม และติดตามการใช้ IT ได้อย่างเหมาะสม

จุดสำคัญคือ มาตรฐานนี้ไม่ได้ลงลึกแค่เรื่องการจัดการระบบ IT รายวัน แต่เน้นที่ระดับ governance ซึ่งกว้างกว่า “การบริหารจัดการ IT” เพราะเกี่ยวข้องกับการกำหนดนโยบาย ทิศทาง ความรับผิดชอบ และการตัดสินใจเชิงกลยุทธ์ขององค์กรโดยตรง

พูดให้เข้าใจง่ายคือ

• Management = ดูแลให้ระบบทำงาน
• Governance = กำหนดว่าควรใช้เทคโนโลยีอย่างไร เพื่อให้ตอบโจทย์องค์กร

ดังนั้น ISO 38500 จึงเหมาะมากสำหรับองค์กรที่ต้องการให้ IT ไม่ใช่แค่ “ฝ่ายสนับสนุน” แต่เป็น “กลไกขับเคลื่อนธุรกิจ”

วัตถุประสงค์ของ ISO 38500

มาตรฐาน ISO 38500 ถูกออกแบบมาเพื่อช่วยให้องค์กรสามารถใช้ IT ได้อย่าง

• มีประสิทธิภาพ
• คุ้มค่า
• โปร่งใส
• ตรวจสอบได้
• สอดคล้องกับเป้าหมายขององค์กร
• ลดความเสี่ยงจากการใช้เทคโนโลยีอย่างไม่เป็นระบบ

ตามคำอธิบายของ ISO มาตรฐานนี้ใช้สำหรับการกำกับดูแลการใช้ IT ทั้งในปัจจุบันและอนาคตขององค์กร และสามารถใช้ได้กับองค์กรทุกประเภท ทั้งภาครัฐ เอกชน และองค์กรไม่แสวงหากำไร รวมถึงองค์กรทุกขนาด ไม่ว่าจะเล็กหรือใหญ่

ทำไม ISO 38500 จึงสำคัญต่อองค์กรยุคใหม่

หลายองค์กรลงทุนด้านเทคโนโลยีจำนวนมาก แต่กลับไม่ได้ผลลัพธ์ตามที่คาดหวัง เพราะขาดกรอบกำกับดูแลที่ชัดเจน เช่น

• ลงทุนระบบใหม่แต่ไม่ตอบโจทย์ธุรกิจ
• มีเครื่องมือมากแต่ไม่มี accountability
• ข้อมูลกระจัดกระจาย
• IT กับผู้บริหารคุยกันคนละภาษา
• เกิดความเสี่ยงด้าน cyber, compliance และการตัดสินใจที่ไม่โปร่งใส

ISO 38500 เข้ามาช่วยให้ผู้บริหารมอง IT ในฐานะ “เรื่องขององค์กร” ไม่ใช่แค่ “เรื่องของฝ่ายเทคนิค” และช่วยสร้างความเชื่อมโยงระหว่าง กลยุทธ์ธุรกิจ ความเสี่ยง การลงทุน และผลลัพธ์จากเทคโนโลยี อย่างเป็นรูปธรรม

หลักการสำคัญของ ISO 38500

หัวใจของ ISO 38500 คือการสร้างกรอบคิดในการกำกับดูแล IT ที่องค์กรสามารถนำไปใช้เป็นแนวทางตัดสินใจได้จริง โดยสาระสำคัญของมาตรฐานนี้มุ่งให้ governance ครอบคลุมเรื่องต่าง ๆ เช่น

1. ความรับผิดชอบที่ชัดเจน

ทุกบทบาทที่เกี่ยวข้องกับ IT ต้องรู้ว่าตนเองรับผิดชอบอะไร ใครเป็นผู้ตัดสินใจ ใครเป็นผู้กำกับ และใครเป็นผู้ปฏิบัติ

2. การสนับสนุนกลยุทธ์องค์กร

การใช้ IT ต้องไม่แยกขาดจากเป้าหมายธุรกิจ แต่ต้องช่วยให้องค์กรเดินไปข้างหน้าได้เร็วขึ้นและแม่นยำขึ้น

3. การจัดซื้อและลงทุนอย่างเหมาะสม

การลงทุนด้าน IT ต้องคุ้มค่า มีเหตุผล และตอบโจทย์ผลลัพธ์ทางธุรกิจ ไม่ใช่ซื้อเพราะเป็นเทรนด์

4. การกำกับประสิทธิภาพ

เทคโนโลยีที่ใช้อยู่ต้องสร้างผลลัพธ์ที่วัดได้ ทั้งในเชิงประสิทธิภาพ ประสิทธิผล และการให้บริการ

5. การปฏิบัติตามข้อกำหนด

การใช้ IT ต้องสอดคล้องกับกฎหมาย ระเบียบ มาตรฐาน และข้อกำหนดต่าง ๆ ที่เกี่ยวข้อง

6. การคำนึงถึงพฤติกรรมมนุษย์

การเปลี่ยนแปลงด้านเทคโนโลยีจะสำเร็จไม่ได้ หากไม่เข้าใจคน วัฒนธรรมองค์กร และผลกระทบต่อผู้ใช้งาน

แม้รายละเอียดเชิงลึกของมาตรฐานฉบับเต็มจะอยู่ในเอกสารทางการของ ISO แต่ภาพรวมของมาตรฐานชัดเจนว่าเน้นการใช้ IT อย่างมีประสิทธิภาพ เหมาะสม และยอมรับได้ในระดับองค์กร ไม่ใช่แค่เชิงเทคนิค בלבד

ISO 38500 ต่างจาก IT Management อย่างไร

หลายคนสับสนระหว่าง IT Governance กับ IT Management แต่จริง ๆ แล้วทั้งสองเรื่องทำงานร่วมกันคนละระดับ

IT Governance คือการกำหนดทิศทางและควบคุมภาพรวม
IT Management คือการลงมือปฏิบัติให้เป็นไปตามทิศทางนั้น

ตัวอย่างเช่น

• Governance จะถามว่า “องค์กรควรลงทุนระบบนี้หรือไม่”
• Management จะถามว่า “ถ้าลงทุนแล้วจะติดตั้ง ใช้งาน และดูแลอย่างไร”

ISO/IEC SC 40 ยังอธิบายเพิ่มเติมว่าเวอร์ชัน 2024 ขยายแนวคิดเรื่อง governance framework และเน้นความสัมพันธ์ระหว่าง governance กับ management ชัดขึ้นกว่าเดิม

ISO/IEC 38500:2024 มีอะไรน่าสนใจ

ข้อมูลล่าสุดจาก ISO ระบุว่า ISO/IEC 38500:2024 เป็น Edition 3 และเผยแพร่เมื่อเดือนกุมภาพันธ์ 2024

สิ่งที่น่าสนใจคือแนวทางใหม่ให้ความสำคัญกับ

• การกำกับดูแลการใช้ IT ทั้งปัจจุบันและอนาคต
• การเชื่อม governance เข้ากับ governance framework ขององค์กร
• การทำให้การตัดสินใจด้าน IT เป็นส่วนหนึ่งของการกำกับดูแลทั้งองค์กร ไม่ใช่แยกตัวอยู่ในฝ่ายเทคนิคเพียงอย่างเดียว

นี่ทำให้ ISO 38500 เหมาะกับองค์กรที่กำลังทรานส์ฟอร์มสู่ดิจิทัล ใช้ cloud, AI, data platform, automation หรือบริการดิจิทัลในระดับที่มีผลต่อกลยุทธ์องค์กรโดยตรง

ใครบ้างที่ควรใช้ ISO 38500

ISO 38500 เหมาะกับ

• คณะกรรมการบริษัท
• CEO, COO, CIO, CTO, CISO
• ผู้บริหารสาย Digital Transformation
• ผู้บริหารงานกำกับดูแล ความเสี่ยง และ compliance
• องค์กรที่ต้องการยกระดับ IT Governance
• องค์กรที่ลงทุนเทคโนโลยีจำนวนมากและต้องการวัดความคุ้มค่า

มาตรฐานนี้สามารถใช้ได้กับองค์กรทุกขนาดตามที่ ISO ระบุไว้ ไม่ได้จำกัดเฉพาะองค์กรขนาดใหญ่เท่านั้น

ประโยชน์ของการนำ ISO 38500 ไปใช้

เมื่อองค์กรใช้แนวทางของ ISO 38500 อย่างจริงจัง จะเกิดประโยชน์ในหลายมิติ เช่น

ช่วยให้การตัดสินใจด้าน IT ดีขึ้น

ผู้บริหารสามารถประเมินการลงทุนด้านเทคโนโลยีได้แม่นยำขึ้น ลดโอกาสในการตัดสินใจผิดพลาด

ช่วยลดความเสี่ยง

ทั้งความเสี่ยงด้านความปลอดภัย ข้อมูล การกำกับดูแล และความไม่สอดคล้องกับกฎหมาย

ช่วยให้ IT สอดคล้องกับธุรกิจ

IT ไม่ได้ทำงานแบบแยกส่วน แต่เชื่อมกับแผนธุรกิจ เป้าหมายองค์กร และ KPI ที่จับต้องได้

เพิ่มความโปร่งใสและตรวจสอบได้

โครงสร้างการกำกับดูแลที่ดีทำให้การอนุมัติ การลงทุน และการติดตามผลชัดเจนขึ้น

สร้างความน่าเชื่อถือให้กับองค์กร

โดยเฉพาะองค์กรที่ให้บริการลูกค้าองค์กร หน่วยงานรัฐ หรือมีข้อกำหนดด้าน governance และ compliance สูง

แนวทางเริ่มต้นนำ ISO 38500 ไปใช้ในองค์กร

หากองค์กรต้องการเริ่มต้นกับ ISO 38500 สามารถวางแนวทางได้ดังนี้

ประเมินสถานะปัจจุบัน

ตรวจสอบก่อนว่าองค์กรมี governance ด้าน IT อยู่ในระดับใด มีนโยบายหรือโครงสร้างกำกับดูแลชัดเจนหรือไม่

กำหนดบทบาทและ accountability

แยกบทบาทระหว่างผู้กำกับ ผู้อนุมัติ ผู้บริหาร และผู้ปฏิบัติให้ชัดเจน

เชื่อม IT กับกลยุทธ์องค์กร

ทุกโครงการด้านเทคโนโลยีควรถูกประเมินว่าเชื่อมโยงกับเป้าหมายธุรกิจอย่างไร

ตั้งเกณฑ์วัดผล

กำหนดตัวชี้วัดด้าน value, risk, performance และ compliance ให้ชัด

ทบทวนอย่างสม่ำเสมอ

Governance ที่ดีไม่ใช่เอกสารที่ทำครั้งเดียวจบ แต่ต้องมีการติดตามและปรับปรุงอย่างต่อเนื่อง