การบริหารความเสี่ยง
ความสำคัญและความมุ่งมั่นขององค์กร
การบริหารความเสี่ยงและการเตรียมพร้อมต่อภาวะวิกฤตอย่างมีระบบ เป็นองค์ประกอบที่สำคัญต่อความมั่นคงทางธุรกิจ และการดำเนินงานอย่างยั่งยืนในระยะยาว บริษัทให้ความสำคัญกับการจัดให้มีโครงสร้างการบริหารความเสี่ยงที่เหมาะสม เพื่อวิเคราะห์ประเมินความเสี่ยงที่ครอบคลุมทุกด้าน รวมถึงการวิเคราะห์ประเมินความเสี่ยงที่เกิดขึ้นใหม่ เพื่อจัดทำแผนบริหารจัดการความเสี่ยงในการรับมือภาวะวิกฤต และเพื่อให้สามารถตอบสนองต่อเหตุการณ์ที่ไม่คาดคิดได้อย่างทันท่วงที ลดผลกระทบที่อาจเกิดขึ้นต่อผู้มีส่วนได้ส่วนเสีย
โอกาส และผลกระทบ
การบริหารความเสี่ยงและภาวะวิกฤตอย่างเป็นระบบเป็นกลไกสำคัญในการป้องกันและลดผลกระทบจากเหตุการณ์ที่ไม่คาดคิด ทั้งผลกระทบต่อธุรกิจที่เป็นตัวเงิน และผลกระทบต่อภาพลักษณ์ ความเชื่อมั่น รวมถึงการตัดสินในเชิงกลยุทธ์การดำเนินธุรกิจ อีกทั้งถือเป็นโอกาสในการพัฒนาองค์กรให้มีความยืดหยุ่น (resilience) และสามารถปรับตัวต่อสภาวะแวดล้อมที่เปลี่ยนแปลงได้อย่างมีประสิทธิภาพ ยกระดับขีดความสามารถในการแข่งขันและประสิทธิภาพการดำเนินงาน ซึ่งเป็นปัจจัยสำคัญในการสร้างการเติบโตอย่างยั่งยืน
การสนับสนุนเป้าหมายการพัฒนาที่ยั่งยืน
เป้าหมายที่ 16:
ผู้มีส่วนได้เสียที่เกี่ยวข้อง
เป้าหมายและผลการดำเนินงาน
| ตัวชี้วัดและเป้าหมายการดำเนินการด้าน ESG | ผลการดำเนินงานปี 2567 |
|---|---|
| คะแนนความเสี่ยง (Risk Index) ในภาพรวมลดลงจากปี 2566 | คะแนนความเสี่ยงในภาพรวมเท่ากับ 10.73 ลดลงจากเดือนธันวาคม 2566 ที่มีระดับคะแนนที่ 13.25 |
| การจัดอบรมด้านการบริหารจัดการความเสี่ยงอย่างน้อยปีละ 1 ครั้ง | จัดอบรมเชิงปฏิบัติการเรื่อง ข้อควรระวังทางกฏหมายในการบริหารสัญญา จำนวน 1 หลักสูตร มีผู้เข้ารับการอบรม 120 คน |
| ติดตามและรายงานผลการบริหารความเสี่ยง รายไตรมาส | รายงานผลความคืบหน้าการบริหารความเสี่ยงเป็นรายไตรมาส และรายงานต่อคณะกรรมการบริษัทจำนวน 3 ครั้ง |
| จำนวนข้อร้องเรียน หรือเหตุการณ์เรื่องความไม่ปลอดภัยของระบบสารสนเทศ และข้อมูลลูกค้าเป็นศูนย์ | 0 ไม่มีข้อร้องเรียนเหตุการณ์เรื่องความไม่ปลอดภัยของระบบสารสนเทศ และข้อมูลลูกค้า |
| แผนการทดสอบ ประเมินความเสี่ยงของอุปกรณ์และระบบสารสนเทศ (Penetration Test) | ดำเนินการเรียบร้อยแล้วตามแผน |
| การจัดทำรายงาน Log Monitoring เพื่อความปลอดภัยของระบบเครือข่ายจากความเสี่ยงในการถูกโจมตี | ดำเนินการเรียบร้อยแล้วตามแผน |
แนวทางการบริหารจัดการ
กลยุทธ์
การบริหารจัดการ
นโยบายการบริหารความเสี่ยง
คณะกรรมการบริหารความเสี่ยงได้กำหนดนโยบายการบริหารความเสี่ยงที่ครอบคลุมกระบวนการและวิธีการบริหารความเสี่ยง ตลอดจนการกำกับและทบทวนกระบวนการบริหารความเสี่ยงให้มีประสิทธิภาพ ทันต่อการเปลี่ยนแปลงของปัจจัยความเสี่ยงภายนอกอย่างสม่ำเสมอ นอกจากนั้น ยังผลักดันให้มีการสื่อสารด้านการบริหารความเสี่ยงให้ทั่วถึงทั้งองค์กร เพื่อให้ทุกคนตระหนักรู้ในความสำคัญของการบริหารความเสี่ยง (Risk Awareness)
โดยกำหนดให้การบริหารความเสี่ยงเป็นหนึ่งในยุทธศาสตร์หลักของแต่ละหน่วยงาน กำหนดมาตรการการบริหารความเสี่ยงให้อยู่ในระดับที่ยอมรับได้ (Risk Appetite) จัดให้มีแผนการดำเนินงานที่ชัดเจน มีการทบทวน และปรับแผนตามสถานการณ์ที่เปลี่ยนแปลงไป รวมทั้งสามารถติดตามความคืบหน้าและประเมินผลได้ เพื่อสร้างความมั่นใจว่ากระบวนการบริหารจัดการความเสี่ยงเป็นไปตามนโยบาย กลยุทธ์ เป้าหมายขององค์กร สอดคล้องตามข้อกำหนดการปฏิบัติตามกฎเกณฑ์ มาตรฐานการบริหารความเสี่ยงที่คณะกรรมการกำกับหลักทรัพย์และตลาดหลักทรัพย์ และตลาดหลักทรัพย์แห่งประเทศไทยให้คำแนะนำ อีกทั้งยังช่วยลดผลกระทบที่อาจเป็นอุปสรรคต่อการบรรลุเป้าหมายขององค์กร และเสริมสร้างธุรกิจให้เติบโตอย่างมั่นคงยั่งยืน
โครงสร้างการบริหารความเสี่ยง
คณะกรรมการบริษัทได้กำหนดโครงสร้างการบริหารความเสี่ยง โดยกำหนดให้มีคณะกรรมการ คณะทำงานที่เป็นตัวแทนจากสายธุรกิจหลัก และหน่วยงานสนับสนุนเข้าร่วมเป็นส่วนหนึ่งในกระบวนการบริหารความเสี่ยง เพื่อให้ครอบคลุมโครงสร้างของกลุ่มธุรกิจที่มีความหลากหลาย รวมทั้งกำหนดบทบาท ความรับผิดชอบของผู้บริหารหน่วยงานในการวางแผน กำหนดให้มีมาตรการ การปฏิบัติ ติดตามผลการดำเนินงาน เพื่อให้กิจกรรมการดำเนินธุรกิจของหน่วยธุรกิจมีความสอดคล้องกับนโยบาย เป้าหมาย และกลยุทธ์ของบริษัท ตลอดจนสอดคล้องกับประเด็นความยั่งยืนที่กำลังพัฒนาเปลี่ยนแปลงอย่างรวดเร็ว รวมทั้งให้ความเป็นอิสระกับหน่วยงานตรวจสอบภายในในการตรวจสอบและสอบทาน รายละเอียดบทบาทหน้าที่ปรากฏในเอกสารที่เกี่ยวข้อง
ดูภาพขนาดใหญ่ 
การกำหนดกลยุทธ์
1. การสร้างวัฒนธรรมองค์กรในการบริหารความเสี่ยง
ปลูกฝังแนวคิดเชิงรุกด้านการบริหารความเสี่ยงให้กับพนักงานทุกระดับ ส่งเสริมให้ผู้บริหารเป็นผู้นำในการบริหารความเสี่ยงผ่านการอบรมสัมมนา พร้อมนำข้อมูลเชิงลึกจากเหตุการณ์จริง เหตุการณ์ในอดีต หรือเหตุการณ์ที่เกือบจะเกิด (near miss) มาใช้เป็นกรณีศึกษา และผลักดันให้แนวคิดเรื่องบริหารความเสี่ยงสอดแทรกไปในทุกขั้นตอนการปฏิบัติงาน โดยร่วมกันกำหนดประเด็นความเสี่ยง เป้าหมาย กลยุทธ์ แผนและมาตรการตอบสนอง บูรณาการประเด็นด้านการบริหารความเสี่ยงเข้าเป็น KPI ระดับองค์กรและหน่วยงาน สำหรับบุคลากรทุกระดับตั้งแต่กรรมการ ผู้บริหาร จนถึงพนักงาน และหน่วยงานผู้รับผิดชอบความเสี่ยง (Risk Owner)
2. กำหนดเกณฑ์ระดับความเสี่ยงที่ยอมรับได้ (Risk Appetite)
เพื่อให้การบริหารความเสี่ยงเป็นไปอย่างมีคุณภาพ สามารถวัด และสะท้อนผลลัพธ์การบริหารความเสี่ยงได้อย่างชัดเจนและมีประโยชน์ต่อการดำเนินธุรกิจ บริษัทได้กำหนดเกณฑ์ระดับความเสี่ยงที่ยอมรับได้ (Risk Appetite) ขึ้น เพื่อเป็นหลักในการพิจาณาความเสี่ยงที่บริษัทควรให้ความสำคัญในการพัฒนาปรับปรุง
3. การวางแผนรับมือกับความเสี่ยงในอนาคต
บริษัทเฝ้าติดตามความเคลื่อนไหวของสถานการณ์ต่างๆ คาดการณ์ และเตรียมพร้อมในการรับมือกับความเสี่ยงในอนาคตอย่างรอบด้าน ผ่านการกำหนดมาตรการและปรับแผนการจัดการความเสี่ยงอย่างสม่ำเสมอ เพื่อให้สอดคล้องกับเป้าหมายความยั่งยืนในระยะยาวขององค์กร สร้างความยืดหยุ่นในการรับมือกับความเสี่ยงจากสถานการณ์ปัจจุบัน รวมถึงการบริหารความหลากหลายของห่วงโซ่อุปทาน และมีการทบทวนแผนงานเพื่อลดความซ้ำซ้อนในการปฏิบัติงาน
4. พันธมิตรด้านการบริหารความเสี่ยง
สนับสนุนความร่วมมือกับคู่ค้า ลูกค้า พันธมิตรธุรกิจ สังคม และชุมชนโดยรอบ รวมทั้งสถาบันการศึกษา หน่วยงานภาครัฐ องค์กรภาคเอกชน เพื่อร่วมกันดำเนินกิจกรรมบริหารความเสี่ยงทั้งทางตรงและทางอ้อม และเสริมสร้างกระบวนการบริหารความเสี่ยงตลอดห่วงโซ่อุปทานให้มีประสิทธิภาพ สะท้อนความมุ่งมั่น ความรับผิดชอบร่วมกันในการจัดการกับความท้าทายระดับโลก เช่น
ความร่วมมือในการพัฒนาผลิตภัณฑ์และบริการ
ความร่วมมือในการพัฒนาเทคโนโลยีและนวัตกรรมใหม่ที่ตอบโจทย์ด้านสิ่งแวดล้อมและความยั่งยืน
ปัจจัยความเสี่ยงต่อการดำเนินธุรกิจ และการบริหารจัดการความเสี่ยง
บริษัทรวบรวมประเด็นความเสี่ยงจากสายธุรกิจและหน่วยงานสนับสนุน และได้มีการคัดเลือกประเด็นความเสี่ยงโดยใช้เกณฑ์ความเสี่ยงที่ยอมรับได้ และการจัดกลุ่มประเด็นความเสี่ยงที่มีสาเหตุหรือผลกระทบเป็นไปในแนวทางเดียวเพื่อประสิทธิผลและประสิทธิภาพในการกำหนดมาตรการบริหารความเสี่ยง รายละเอียดปัจจัยความเสี่ยงและการบริหารจัดการความเสี่ยงปรากฏในเอกสารที่เกี่ยวข้อง
การจัดการภาวะวิกฤต
บริษัทประกาศใช้แผนรองรับการดำเนินธุรกิจอย่างต่อเนื่อง (Business Continuity Plan: BCP) ที่ครอบคลุมการรับมือความเสี่ยงที่สำคัญที่มีผลต่อการเข้าปฏิบัติงานในอาคารสำนักงานของบริษัท เช่น อัคคีภัย ภัยธรรมชาติ การก่อการร้าย การโจมตีทางไซเบอร์ สถานการณ์โรคระบาดและโรคติดต่อ สำหรับเตรียมความพร้อมล่วงหน้าและเป็นแนวทางบริหารความต่อเนื่องของการปฏิบัติงานในสภาวะวิกฤตหรือเหตุการณ์ฉุกเฉินต่างๆ เพื่อสร้างความเชื่อมั่นว่าบริษัทจะสามารถส่งมอบสินค้าและบริการที่มีคุณภาพได้อย่างต่อเนื่องท่ามกลางสภาวะวิกฤต
การกำกับดูแลด้านเทคโนโลยีสารสนเทศและความมั่นคงปลอดภัยทางไซเบอร์
บริษัทกำหนดโครงสร้างการกำกับดูแลที่แบ่งแยกบทบาทหน้าที่อย่างชัดเจน มีการประเมินความเสี่ยงอยู่เสมอ และกำหนดกลไกในการเฝ้าระวัง ติดตามสถานการณ์ต่าง ๆ ที่อาจเป็นภัยคุกคามทางไซเบอร์อย่างต่อเนื่อง เพื่อให้มั่นใจในการดูแลรักษาความมั่นคงปลอดภัยของข้อมูลและระบบสารสนเทศ การรักษาความลับ และความพร้อมใช้งานของสินทรัพย์ดิจิทัลของบริษัทให้เกิดประสิทธิภาพและปลอดจากภัยคุกคามทางไซเบอร์ทุกรูปแบบ สอดคล้องกับกฎระเบียบ มาตรฐานและแนวทางปฏิบัติที่เกี่ยวข้อง
ดูภาพขนาดใหญ่ แนวทางป้องกันภัยคุกคามต่อระบบและข้อมูลสารสนเทศ
การสร้างวัฒนธรรมการรับรู้ทางไซเบอร์
บริษัทได้กำหนดนโยบายการรักษาความมั่นคงปลอดภัยด้านสารสนเทศ และระเบียบการรักษาความมั่นคงปลอดภัยให้พนักงานทุกคนถือปฏิบัติ โดยพนักงานใหม่จะได้รับเอกสารเพื่อชี้แจงแนวปฏิบัติและได้รับการฝึกอบรมเกี่ยวกับนโยบายเหล่านี้ รวมทั้งมีการสื่อสารและประกาศแจ้งเตือนเกี่ยวกับข่าวสารด้านภัยคุกคามทางไซเบอร์ผ่านทางอีเมล ช่องทางการสื่อสารภายในของบริษัทเป็นระยะ บริษัทยังจัดให้มีการจัดฝึกอบรมให้ความรู้ด้านเทคโนโลยีสารสนเทศและการใช้งานระบบต่าง ๆ อย่างต่อเนื่อง เพื่อสร้างวัฒนธรรมการรับรู้และความตระหนักรู้ทางไซเบอร์ภายในองค์กร
มาตรการรับมือต่อภัยคุกคามทางไซเบอร์
บริษัทกำหนดขั้นตอนการรับมือในกรณีที่เกิดเหตุการณ์ภัยคุกคามทางไซเบอร์ มีการฝึกซ้อม จำลองเหตุการณ์เพื่อประเมินความเสี่ยงของช่องโหว่ ความสามารถของระบบ และทดสอบการตอบสนองของหน่วยงานผู้รับผิดชอบ เพื่อนำผลที่ได้ไปทบทวนปรับปรุงกระบวนการรับมือให้มีประสิทธิภาพและลดความเสี่ยงได้ ทั้งนี้ รวมถึงการปรับปรุงจัดทำคู่มือให้เป็นปัจจุบัน และมีกระบวนการจัดทำรายงานเมื่อเกิดเหตุการณ์ นอกจากนี้ บริษัทยังมีแผนรองรับการดำเนินธุรกิจอย่างต่อเนื่อง (Business Continuity Plan) และแผนการกู้คืนจากเหตุฉุกเฉิน (Disaster Recovery Plan) เพื่อให้สามารถตอบสนองต่อเหตุการณ์ได้อย่างรวดเร็วและมีประสิทธิภาพ
ผลการดำเนินงาน
- 4 หลักสูตร
- พนักงานเข้ารับการอบรม 104 คน
