การบริหารความเสี่ยง
ความสำคัญและความมุ่งมั่นขององค์กร
การบริหารความเสี่ยงและการเตรียมพร้อมต่อภาวะวิกฤตอย่างมีระบบ เป็นองค์ประกอบที่สำคัญต่อความมั่นคงทางธุรกิจ และการดำเนินงานอย่างยั่งยืนในระยะยาว บริษัทให้ความสำคัญกับการจัดให้มีโครงสร้างการบริหารความเสี่ยงที่เหมาะสม เพื่อวิเคราะห์ประเมินความเสี่ยงที่ครอบคลุมทุกด้าน รวมถึงการวิเคราะห์ประเมินความเสี่ยงที่เกิดขึ้นใหม่ เพื่อจัดทำแผนบริหารจัดการความเสี่ยงในการรับมือภาวะวิกฤต และเพื่อให้สามารถตอบสนองต่อเหตุการณ์ที่ไม่คาดคิดได้อย่างทันท่วงที ลดผลกระทบที่อาจเกิดขึ้นต่อผู้มีส่วนได้ส่วนเสีย
โอกาส และผลกระทบ
การบริหารความเสี่ยงและภาวะวิกฤตอย่างเป็นระบบเป็นกลไกสำคัญในการป้องกันและลดผลกระทบจากเหตุการณ์ที่ไม่คาดคิด ทั้งผลกระทบต่อธุรกิจที่เป็นตัวเงิน และผลกระทบต่อภาพลักษณ์ ความเชื่อมั่น รวมถึงการตัดสินในเชิงกลยุทธ์การดำเนินธุรกิจ อีกทั้งถือเป็นโอกาสในการพัฒนาองค์กรให้มีความยืดหยุ่น (resilience) และสามารถปรับตัวต่อสภาวะแวดล้อมที่เปลี่ยนแปลงได้อย่างมีประสิทธิภาพ ยกระดับขีดความสามารถในการแข่งขันและประสิทธิภาพการดำเนินงาน ซึ่งเป็นปัจจัยสำคัญในการสร้างการเติบโตอย่างยั่งยืน
การสนับสนุนเป้าหมายการพัฒนาที่ยั่งยืน
เป้าหมายที่ 16:
ผู้มีส่วนได้เสียที่เกี่ยวข้อง
เป้าหมายและผลการดำเนินงาน
| ตัวชี้วัดและเป้าหมายการดำเนินการในปี 2568 | ผลการดำเนินงานปี 2568 |
|---|---|
| ติดตามและรายงานผลการบริหารความเสี่ยงรายไตรมาส |  รายงานผลความคืบหน้าการบริหารความเสี่ยงเป็นรายไตรมาส และรายงานต่อคณะกรรมการบริษัทจำนวน 4 ครั้ง |
| คะแนนความเสี่ยงของกลุ่มความเสี่ยงระดับสูง และสูงมาก (Risk Index) ในภาพรวมลดลง (จากผลการดำเนินงานของ RMC) | คะแนนความเสี่ยงของกลุ่มความเสี่ยงระดับสูง และสูงมากในภาพรวมเท่ากับ 5.41 คะแนน ลดลงจากเดือนมกราคม 2568 ที่มีระดับคะแนนที่ 13.44 คะแนน |
| จัดอบรมเพื่อประโยชน์ในการบริหารจัดการความเสี่ยงอย่างน้อยปีละ 1 ครั้ง | จัดอบรม “แนวโน้มเศรษฐกิจและปัจจัยที่ภาคธุรกิจต้องเฝ้าระวัง เพื่อการปรับตัวและขับเคลื่อนในปี 2569” จำนวน 1 หลักสูตร ให้กับกรรมการ คณะกรรมการบริหารความเสี่ยง ผู้บริหาร และพนักงานที่เกี่ยวข้อง เพื่อประยุกต์ใช้ในการป้องกัน ลดความเสี่ยง และขับเคลื่อนธุรกิจของแต่ละหน่วยงาน มีผู้เข้ารับการอบรม 140 คน |
| จำนวนข้อร้องเรียน หรือเหตุการณ์เรื่องความไม่ปลอดภัยของระบบสารสนเทศ และข้อมูลลูกค้าเป็นศูนย์ | ไม่มีข้อร้องเรียนเหตุการณ์เรื่องความไม่ปลอดภัยของระบบสารสนเทศ และข้อมูลลูกค้า |
| จำนวนเหตุการณ์ที่ได้รับผลกระทบจากการโจมตีจาก Ransomware เป็นศูนย์ | 0 เหตุการณ์ |
| จำนวนเหตุการณ์การละเมิดลิขสิทธิ์ซอฟต์แวร์เป็นศูนย์ | 0 เหตุการณ์ |
| การแก้ไขคืนดีจากเหตุเสีย Network Infrastructure ภายใน 1 ชั่วโมง | เกิดเหตุเสียของโครงข่าย (Network Infrastructure) จำนวน 2 ครั้ง และสามารถแก้ไขได้ภายใน 1 ชม. |
แนวทางการบริหารจัดการ
กลยุทธ์
การบริหารจัดการ
นโยบายการบริหารความเสี่ยง
คณะกรรมการบริหารความเสี่ยงได้กำหนดนโยบายการบริหารความเสี่ยงที่ครอบคลุมกระบวนการและวิธีการบริหารความเสี่ยง ตลอดจนการกำกับและทบทวนกระบวนการบริหารความเสี่ยงให้มีประสิทธิภาพ ทันต่อการเปลี่ยนแปลงของปัจจัยความเสี่ยงภายนอกอย่างสม่ำเสมอ นอกจากนั้น ยังผลักดันให้มีการสื่อสารด้านการบริหารความเสี่ยงให้ทั่วถึงทั้งองค์กร เพื่อให้ทุกคนตระหนักรู้ในความสำคัญของการบริหารความเสี่ยง (Risk Awareness)
โดยกำหนดให้การบริหารความเสี่ยงเป็นหนึ่งในยุทธศาสตร์หลักของแต่ละหน่วยงาน กำหนดมาตรการการบริหารความเสี่ยงให้อยู่ในระดับที่ยอมรับได้ (Risk Appetite) จัดให้มีแผนการดำเนินงานที่ชัดเจน มีการทบทวน และปรับแผนตามสถานการณ์ที่เปลี่ยนแปลงไป รวมทั้งสามารถติดตามความคืบหน้าและประเมินผลได้ เพื่อสร้างความมั่นใจว่ากระบวนการบริหารจัดการความเสี่ยงเป็นไปตามนโยบาย กลยุทธ์ เป้าหมายขององค์กร สอดคล้องตามข้อกำหนดการปฏิบัติตามกฎเกณฑ์ มาตรฐานการบริหารความเสี่ยงที่คณะกรรมการกำกับหลักทรัพย์และตลาดหลักทรัพย์ และตลาดหลักทรัพย์แห่งประเทศไทยให้คำแนะนำ อีกทั้งยังช่วยลดผลกระทบที่อาจเป็นอุปสรรคต่อการบรรลุเป้าหมายขององค์กร และเสริมสร้างธุรกิจให้เติบโตอย่างมั่นคงยั่งยืน
โครงสร้างการบริหารความเสี่ยง
คณะกรรมการบริษัทได้กำหนดโครงสร้างการบริหารความเสี่ยง โดยกำหนดให้มีคณะกรรมการ คณะทำงานที่เป็นตัวแทนจากสายธุรกิจหลัก และหน่วยงานสนับสนุนเข้าร่วมเป็นส่วนหนึ่งในกระบวนการบริหารความเสี่ยง เพื่อให้ครอบคลุมโครงสร้างของกลุ่มธุรกิจที่มีความหลากหลาย รวมทั้งกำหนดบทบาท ความรับผิดชอบของผู้บริหารหน่วยงานในการวางแผน กำหนดให้มีมาตรการ การปฏิบัติ ติดตามผลการดำเนินงาน เพื่อให้กิจกรรมการดำเนินธุรกิจของหน่วยธุรกิจมีความสอดคล้องกับนโยบาย เป้าหมาย และกลยุทธ์ของบริษัท ตลอดจนสอดคล้องกับประเด็นความยั่งยืนที่กำลังพัฒนาเปลี่ยนแปลงอย่างรวดเร็ว รวมทั้งให้ความเป็นอิสระกับหน่วยงานตรวจสอบภายในในการตรวจสอบและสอบทาน รายละเอียดบทบาทหน้าที่ปรากฏในเอกสารที่เกี่ยวข้อง
ดูภาพขนาดใหญ่ 
การกำหนดกลยุทธ์
1. กำหนดโครงสร้างการกำกับดูแล บริหารความเสี่ยง
บริษัทกำหนดโครงสร้างการกำกับดูแลความเสี่ยงที่ชัดเจน โดยคณะกรรมการบริษัทและผู้บริหารระดับสูงมีหน้าที่กำหนดนโยบาย กรอบการบริหารความเสี่ยง และระดับความเสี่ยงที่ยอมรับได้ (Risk Appetite) พร้อมกำกับติดตามความเสี่ยงที่มีนัยสำคัญอย่างสม่ำเสมอ
2. การสร้างวัฒนธรรมองค์กรในการบริหารความเสี่ยง
ปลูกฝังแนวคิดเชิงรุกด้านการบริหารความเสี่ยงให้กับพนักงานทุกระดับ ส่งเสริมให้ผู้บริหารเป็นผู้นำในการบริหารความเสี่ยงผ่านการอบรมสัมมนา พร้อมนำข้อมูลเชิงลึกจากเหตุการณ์จริง เหตุการณ์ในอดีต หรือเหตุการณ์ที่เกือบจะเกิด (near miss) มาใช้เป็นกรณีศึกษา และผลักดันให้แนวคิดเรื่องบริหารความเสี่ยงสอดแทรกไปในทุกขั้นตอนการปฏิบัติงาน โดยร่วมกันกำหนดประเด็นความเสี่ยง เป้าหมาย กลยุทธ์ แผนและมาตรการตอบสนอง บูรณาการประเด็นด้านการบริหารความเสี่ยงเข้าเป็น KPI ระดับองค์กรและหน่วยงาน สำหรับบุคลากรทุกระดับตั้งแต่กรรมการ ผู้บริหาร จนถึงพนักงาน และหน่วยงานผู้รับผิดชอบความเสี่ยง (Risk Owner)
3. กระบวนการระบุและประเมินความเสี่ยง
ระบุ วิเคราะห์ และประเมินความเสี่ยงทั้งในมิติด้านกลยุทธ์ การเงิน การดำเนินงาน กฎหมาย เทคโนโลยี และความยั่งยืน รวมถึงความเสี่ยงจากการเปลี่ยนแปลงสภาพภูมิอากาศ ความเสี่ยงในห่วงโซ่อุปทาน และความเสี่ยงใหม่ (Emerging Risks) พร้อมจัดทำข้อมูลความเสี่ยง วิเคราะห์และประเมินเพื่อจัดลำดับความสำคัญ และคัดเลือกประเด็นความเสี่ยงเพื่อนำมากำหนดแผนการบริหารจัดการความเสี่ยง พร้อมกำหนดตัวชี้วัดและเป้าหมายสำหรับการประเมินและติดตามผล
4. การวางแผนรับมือกับความเสี่ยงในอนาคต
บริษัทเฝ้าติดตามความเคลื่อนไหวของสถานการณ์ต่างๆ คาดการณ์ และเตรียมพร้อมในการรับมือกับความเสี่ยงในอนาคตอย่างรอบด้าน ผ่านการกำหนดมาตรการและปรับแผนการจัดการความเสี่ยงอย่างสม่ำเสมอ เพื่อให้สอดคล้องกับเป้าหมายความยั่งยืนในระยะยาวขององค์กร สร้างความยืดหยุ่นในการรับมือกับความเสี่ยงจากสถานการณ์ปัจจุบัน รวมถึงการบริหารความหลากหลายของห่วงโซ่อุปทาน และมีการทบทวนแผนงานเพื่อลดความซ้ำซ้อนในการปฏิบัติงาน
5. พันธมิตรและความร่วมมือด้านการบริหารความเสี่ยง
เสริมสร้างความร่วมมือกับพันธมิตรทางธุรกิจ ผู้เชี่ยวชาญภายนอก และหน่วยงานกำกับดูแล เพื่อยกระดับมาตรฐานการบริหารความเสี่ยง และแลกเปลี่ยนองค์ความรู้ด้าน ESG รวมถึงการบริหารความเสี่ยงในห่วงโซ่อุปทาน เช่น
ความร่วมมือในการพัฒนาผลิตภัณฑ์และบริการ
ความร่วมมือในการพัฒนาเทคโนโลยีและนวัตกรรมใหม่ที่ตอบโจทย์ด้านสิ่งแวดล้อมและความยั่งยืน
6. การติดตาม ประเมินผล และการเปิดเผยข้อมูล
บริษัทติดตามและประเมินผลผ่านตัวชี้วัดความเสี่ยงที่สำคัญ (Key Risk Indicators: KRIs) และทบทวนความเสี่ยงอย่างสม่ำเสมอ พร้อมทั้งเปิดเผยข้อมูลความเสี่ยงและโอกาสด้านความยั่งยืนตามแนวทางการกำกับดูแลที่ดี เพื่อเสริมสร้างความโปร่งใสและความเชื่อมั่นของผู้มีส่วนได้เสีย
ปัจจัยความเสี่ยงต่อการดำเนินธุรกิจ และการบริหารจัดการความเสี่ยง
บริษัทรวบรวมประเด็นความเสี่ยงจากสายธุรกิจและหน่วยงานสนับสนุน และได้มีการคัดเลือกประเด็นความเสี่ยงโดยใช้เกณฑ์ความเสี่ยงที่ยอมรับได้ และการจัดกลุ่มประเด็นความเสี่ยงที่มีสาเหตุหรือผลกระทบเป็นไปในแนวทางเดียวเพื่อประสิทธิผลและประสิทธิภาพในการกำหนดมาตรการบริหารความเสี่ยง รายละเอียดปัจจัยความเสี่ยงและการบริหารจัดการความเสี่ยงปรากฏในเอกสารที่เกี่ยวข้อง
การจัดการภาวะวิกฤต
บริษัทประกาศใช้แผนรองรับการดำเนินธุรกิจอย่างต่อเนื่อง (Business Continuity Plan: BCP) ที่ครอบคลุมการรับมือความเสี่ยงที่สำคัญที่มีผลต่อการเข้าปฏิบัติงานในอาคารสำนักงานของบริษัท เช่น อัคคีภัย ภัยธรรมชาติ การก่อการร้าย การโจมตีทางไซเบอร์ สถานการณ์โรคระบาดและโรคติดต่อ สำหรับเตรียมความพร้อมล่วงหน้าและเป็นแนวทางบริหารความต่อเนื่องของการปฏิบัติงานในสภาวะวิกฤตหรือเหตุการณ์ฉุกเฉินต่างๆ เพื่อสร้างความเชื่อมั่นว่าบริษัทจะสามารถส่งมอบสินค้าและบริการที่มีคุณภาพได้อย่างต่อเนื่องท่ามกลางสภาวะวิกฤต
การกำกับดูแลด้านเทคโนโลยีสารสนเทศและความมั่นคงปลอดภัยทางไซเบอร์
บริษัทกำหนดโครงสร้างการกำกับดูแลที่แบ่งแยกบทบาทหน้าที่อย่างชัดเจน มีการประเมินความเสี่ยงอยู่เสมอ และกำหนดกลไกในการเฝ้าระวัง ติดตามสถานการณ์ต่าง ๆ ที่อาจเป็นภัยคุกคามทางไซเบอร์อย่างต่อเนื่อง เพื่อให้มั่นใจในการดูแลรักษาความมั่นคงปลอดภัยของข้อมูลและระบบสารสนเทศ การรักษาความลับ และความพร้อมใช้งานของสินทรัพย์ดิจิทัลของบริษัทให้เกิดประสิทธิภาพและปลอดจากภัยคุกคามทางไซเบอร์ทุกรูปแบบ สอดคล้องกับกฎระเบียบ มาตรฐานและแนวทางปฏิบัติที่เกี่ยวข้อง
ดูภาพขนาดใหญ่ แนวทางป้องกันภัยคุกคามต่อระบบและข้อมูลสารสนเทศ
การสร้างวัฒนธรรมการรับรู้ทางไซเบอร์
บริษัทได้กำหนดนโยบายการรักษาความมั่นคงปลอดภัยด้านสารสนเทศ และระเบียบการรักษาความมั่นคงปลอดภัยให้พนักงานทุกคนถือปฏิบัติ โดยพนักงานใหม่จะได้รับเอกสารเพื่อชี้แจงแนวปฏิบัติและได้รับการฝึกอบรมเกี่ยวกับนโยบายเหล่านี้ รวมทั้งมีการสื่อสารและประกาศแจ้งเตือนเกี่ยวกับข่าวสารด้านภัยคุกคามทางไซเบอร์ผ่านทางอีเมล ช่องทางการสื่อสารภายในของบริษัทเป็นระยะ บริษัทยังจัดให้มีการจัดฝึกอบรมให้ความรู้ด้านเทคโนโลยีสารสนเทศและการใช้งานระบบต่าง ๆ อย่างต่อเนื่อง เพื่อสร้างวัฒนธรรมการรับรู้และความตระหนักรู้ทางไซเบอร์ภายในองค์กร
มาตรการรับมือต่อภัยคุกคามทางไซเบอร์
บริษัทกำหนดขั้นตอนการรับมือในกรณีที่เกิดเหตุการณ์ภัยคุกคามทางไซเบอร์ มีการฝึกซ้อม จำลองเหตุการณ์เพื่อประเมินความเสี่ยงของช่องโหว่ ความสามารถของระบบ และทดสอบการตอบสนองของหน่วยงานผู้รับผิดชอบ เพื่อนำผลที่ได้ไปทบทวนปรับปรุงกระบวนการรับมือให้มีประสิทธิภาพและลดความเสี่ยงได้ ทั้งนี้ รวมถึงการปรับปรุงจัดทำคู่มือให้เป็นปัจจุบัน และมีกระบวนการจัดทำรายงานเมื่อเกิดเหตุการณ์ นอกจากนี้ บริษัทยังมีแผนรองรับการดำเนินธุรกิจอย่างต่อเนื่อง (Business Continuity Plan) และแผนการกู้คืนจากเหตุฉุกเฉิน (Disaster Recovery Plan) เพื่อให้สามารถตอบสนองต่อเหตุการณ์ได้อย่างรวดเร็วและมีประสิทธิภาพ
ผลการดำเนินงาน
