นโยบายและแผนการบริหารความเสี่ยง
PRTR มุ่งมั่นในการดำเนินธุรกิจอย่างมั่นคงและยั่งยืน จึงตระหนักดีถึงความสำคัญในการประเมินความเสี่ยงขององค์กร ทั้งทบทวนและจัดทำแผนการบริหารความเสี่ยงอย่างสม่ำเสมอภายใต้สภาวะความไม่แน่นอน ทั้งในด้านสังคม เศรษฐกิจ สิ่งแวดล้อม และเทคโนโลยีต่างๆ ที่เปลี่ยนแปลงไปอย่างรวดเร็วในปัจจุบัน เพื่อให้การดำเนินธุรกิจเป็นไปอย่างยั่งยืนและประสบความสำเร็จตามเป้าหมายขององค์กรได้นั้น การบริหารความเสี่ยงถือเป็นรากฐานที่สำคัญอย่างยิ่ง ไม่ว่าจะเป็นกระบวนการระบุความเสี่ยง การประเมินความเสี่ยง ตลอดจนการหามาตรการในการควบคุมดูแล ติดตาม และทบทวนความเสี่ยงอย่างสม่ำเสมอ เพื่อให้มั่นใจได้ว่า หากมีความเสี่ยงใหม่ ๆ ที่เกิดขึ้น บริษัทจะสามารถ บริหารจัดการความเสี่ยงที่อาจเกิดขึ้นให้อยู่ในเกณฑ์ ที่บริษัทสามารถยอมรับได้ เพื่อให้หน่วยงานต่างๆ ในบริษัทฯ มีแนวทางในการบริหารความเสี่ยงเป็นไปในทิศทางเดียวกัน PRTR ได้กำหนดแนวปฏิบัติให้เป็นไปตามนโยบายการบริหารความเสี่ยงของ PRTR ดังนี้
- PRTR มุ่งมั่นให้บริษัทฯ มีการกำกับดูแลกิจการที่ดี โดยได้นำหลักการบริหารความเสี่ยงองค์กร (ERM : Enterprise Risk Management) ตามแนวทางกรอบการบริหารความเสี่ยงของ COSO (The Committee of Sponsoring Organizations of the Treadway Commission) ซึ่งเป็นแนวทางการบริหารความเสี่ยงมาตรฐานในระดับสากล รวมถึงหลักการกำกับดูแลกิจการที่ดี สำหรับบริษัทจดทะเบียนปี 2560 (CG code 2017) และแนวทางต่อต้านการทุจริตมาใช้เป็นแนวทางในการบริหารความเสี่ยงของบริษัทฯ และบริษัทย่อยซึ่งคณะกรรมการ ผู้บริหาร และพนักงานทุกระดับทุกคนจะต้องปฏิบัติตามนโยบายการบริหารความเสี่ยงเพื่อให้การบริหารความเสี่ยงประสบความสำเร็จอย่างมีประสิทธิภาพและประสิทธิผล
- PRTR จะจัดทำทะเบียนความเสี่ยงตามแนวทาง COSO ERM และมีการทบทวนอย่างน้อยปีละ 1 ครั้ง ทั้งนี้ PRTR จะจัดทำและทบทวนเพื่อบริหารความเสี่ยงให้อยู่ในระดับที่ยอมรับได้ หรือเบี่ยงเบนไม่เกินกว่าระดับที่ PRTR ยอมรับได้
โครงสร้างการบริหารความเสี่ยง
บริษัทได้พัฒนาการบริหารความเสี่ยงให้สอดคล้องกับหลักการกำกับดูแลกิจการที่ดีตามกรอบ Three Lines Model ของสถาบันผู้ตรวจสอบภายใน (IIA) และมาตรฐานสากลด้านบริหารความเสี่ยง เช่น COSO ERM 2017 โดยกำหนดบทบาทหน้าที่ของคณะกรรมการ ผู้บริหาร และหน่วยงานต่าง ๆ อย่างชัดเจน ดังนี้
1. คณะกรรมการ
คณะกรรมการบริษัททำหน้าที่กำกับดูแลสูงสุดด้านการบริหารความเสี่ยง อนุมัตินโยบาย กรอบ และระดับความเสี่ยงที่ยอมรับได้ รวมถึงติดตามความเสี่ยงที่อาจส่งผลกระทบอย่างมีนัยสำคัญต่อบริษัท ทั้งด้านกลยุทธ์ ปฏิบัติการ เทคโนโลยี ข้อมูล และ ESG ตลอดจน ความเสี่ยงจากโครงการใหม่หรือการตรวจสอบสถานะกิจการ (Due Diligence) เพื่อให้มั่นใจว่าบริษัทมีระบบบริหารความเสี่ยงที่เหมาะสมและสนับสนุนการดำเนินธุรกิจอย่างยั่งยืน
2. คณะกรรมการตรวจสอบและบริหารความเสี่ยง
คณะกรรมการตรวจสอบและบริหารความเสี่ยงมีหน้าที่กำกับดูแล ติดตาม และสอบทานการบริหารความเสี่ยงอย่างเป็นอิสระ สอบทานความเพียงพอของระบบควบคุมภายใน จัดตั้งคณะทำงาน ตลอดจนแต่งตั้งที่ปรึกษาอิสระที่มีความรู้ความเชี่ยวชาญเพื่อให้คำปรึกษา คำแนะนำ ตลอดจนช่วยเหลือการปฏิบัติงานของคณะกรรมการตรวจสอบและบริหารความเสี่ยง ประเมินข้อมูลที่ได้รับจากผู้บริหาร (First Line) หน่วยงานบริหารความเสี่ยง (Second Line) และผู้ตรวจสอบภายใน (Third Line) พร้อมรายงานต่อคณะกรรมการบริษัทอย่างน้อยปีละ 2 ครั้ง เพื่อสนับสนุนให้ระบบบริหารความเสี่ยงมีความแข็งแรง น่าเชื่อถือ และโปร่งใส
3. คณะกรรมการบริหาร
คณะกรรมการบริหารมีหน้าที่รับผิดชอบโดยรวมเกี่ยวกับการบริหารความเสี่ยงขององค์กร พิจารณาให้ความเห็นชอบนโยบายการบริหารความเสี่ยง และนำเสนอให้คณะกรรมการตรวจสอบและบริหารความเสี่ยงพิจารณาให้ความเห็นชอบ ก่อนนำเสนอต่อคณะกรรมการบริษัทพิจารณาอนุมัติต่อไป พิจารณาอนุมัติกรอบการบริหารความเสี่ยง และแผนการจัดการความเสี่ยง ติดตามการพัฒนากรอบการบริหารความเสี่ยงและกระบวนการบ่งชี้และประเมินความเสี่ยง สื่อสารประสานงานกับคณะกรรมการตรวจสอบและบริหารความเสี่ยงเกี่ยวกับความเสี่ยงที่สำคัญ และรายงานต่อคณะกรรมการตรวจสอบและบริหารความเสี่ยงเกี่ยวกับความเสี่ยงและการบริหารความเสี่ยงอย่างน้อยปีละ 2 ครั้ง
4. ประธานเจ้าหน้าที่บริหาร
ประธานเจ้าหน้าที่บริหารมีหน้าที่กำกับและขับเคลื่อนการบริหารความเสี่ยงขององค์กรให้สอดคล้องกับสถานการณ์ที่เปลี่ยนแปลง ติดตามความเสี่ยงที่มีนัยสำคัญ และจัดให้มีแผนบริหารความเสี่ยงที่เพียงพอและเหมาะสม พร้อมทั้งสนับสนุน ส่งเสริม และดำเนินการตามนโยบายการบริหารความเสี่ยง เพื่อให้มั่นใจว่ากระบวนการบริหารความเสี่ยงได้รับการปฏิบัติอย่างต่อเนื่องทั่วทั้งบริษัท และรายงานต่อคณะกรรมการบริหารเกี่ยวกับความเสี่ยงและการบริหารความเสี่ยงอย่างน้อยปีละ 2 ครั้ง
5. คณะทำงานบริหารความเสี่ยง
คณะทำงานบริหารความเสี่ยงทำหน้าที่ประสานงานและสนับสนุนการบริหารความเสี่ยงขององค์กร รวบรวม วิเคราะห์ และติดตามความเสี่ยงจากทุกหน่วยงาน จัดทำแผนบริหารความเสี่ยงประจำปี รวมถึงสนับสนุนการบูรณาการความเสี่ยงด้าน ESG PDPA เทคโนโลยี และความปลอดภัยเข้าสู่กระบวนการบริหารความเสี่ยงของบริษัท เพื่อให้เกิดการกำกับดูแลที่เป็นระบบและสอดคล้องกันทั้งองค์กร
6. ผู้รับผิดชอบบริหารความเสี่ยงของหน่วยงาน
ผู้รับผิดชอบบริหารความเสี่ยงของหน่วยงานมีหน้าที่จัดให้มีการทำกรอบ แผนงาน และกระบวนการในการบริหารความเสี่ยงของหน่วยงาน และเสนอคณะกรรมการบริหารพิจารณาอนุมัติ สนับสนุน และติดตามการบริหารความเสี่ยงของหน่วยงานในความรับผิดชอบ รวมถึงส่งเสริม และจูงใจให้พนักงานตระหนักถึงความสำคัญของการบริหารความเสี่ยง
7. บุคลากรทุกระดับและทุกหน่วยงาน
บุคลากรทุกคนมีหน้าที่สนับสนุนระบบบริหารความเสี่ยงของบริษัท โดยระบุและรายงานความเสี่ยงที่พบในการปฏิบัติงาน ปฏิบัติตามมาตรการควบคุมที่กำหนด และร่วมสร้างวัฒนธรรมด้านความเสี่ยงขององค์กรให้เกิดขึ้นอย่างต่อเนื่อง รวมทั้งปฏิบัติตามข้อกำหนดด้านความปลอดภัย คุณภาพ ข้อมูลส่วนบุคคล และกฎหมายที่เกี่ยวข้อง
8. ผู้ตรวจสอบภายใน
ผู้ตรวจสอบภายในมีหน้าที่สอบทานระบบการควบคุมภายในและให้ความมั่นใจว่า บริษัทฯ มีการนำระบบบริหารความเสี่ยงมาปรับใช้อย่างเหมาะสมและปฏิบัติทั่วทั้งบริษัทฯ มีการควบคุมภายในที่เพียงพอ เหมาะสมต่อการจัดการความเสี่ยง และการควบคุมภายในนั้นได้มีการปฏิบัติตามอย่างมีประสิทธิผล สอบทานการปฏิบัติงานการบริหารความเสี่ยง รวมถึงสื่อสารทำความเข้าใจกับผู้บริหารและผู้รับการตรวจสอบเกี่ยวกับความเสี่ยงเพื่อวางแผนการตรวจสอบที่เน้นตามความเสี่ยง (Risk Based Auditing)
การบริหารความต่อเนื่องทางธุรกิจ (Business Continuity Management)
บริษัทฯ ให้ความสำคัญกับการบริหารความเสี่ยงที่อาจส่งผลกระทบต่อการดำเนินธุรกิจและการให้บริการแก่ลูกค้า โดยบริษัทฯ ได้จัดทำ แผนบริหารความต่อเนื่องทางธุรกิจ (Business Continuity Plan: BCP) เพื่อเป็นกรอบแนวทางในการเตรียมความพร้อม การตอบสนองต่อเหตุการณ์ที่อาจก่อให้เกิดการหยุดชะงักทางธุรกิจ และการฟื้นฟูการดำเนินงานให้สามารถกลับมาดำเนินธุรกิจได้อย่างต่อเนื่องภายในระยะเวลาที่เหมาะสม ทั้งนี้เพื่อให้บริษัทสามารถให้บริการที่สำคัญแก่ลูกค้าได้อย่างต่อเนื่อง และลดผลกระทบต่อการดำเนินธุรกิจและผู้มีส่วนได้เสียของบริษัท
แผนดังกล่าวมีวัตถุประสงค์เพื่อสนับสนุนให้การดำเนินงานและการให้บริการที่สำคัญของบริษัทสามารถดำเนินต่อไปได้ในระดับที่ยอมรับได้ในกรณีเกิดเหตุการณ์หยุดชะงัก สร้างความเชื่อมั่นให้แก่ลูกค้า ผู้ถือหุ้น และผู้มีส่วนได้เสียว่าบริษัทมีความพร้อมในการรับมือกับเหตุการณ์ที่อาจส่งผลกระทบต่อการดำเนินธุรกิจ รวมถึงกำหนดแนวทางในการประสานงานและฟื้นฟูการดำเนินงานขององค์กรอย่างเป็นระบบ
ขอบเขตของแผนบริหารความต่อเนื่องทางธุรกิจ
แผนบริหารความต่อเนื่องทางธุรกิจครอบคลุมเหตุการณ์ที่อาจส่งผลกระทบต่อการดำเนินธุรกิจของบริษัท เช่น การไม่สามารถใช้สถานที่ปฏิบัติงานหลัก เหตุการณ์ภัยพิบัติหรือเหตุการณ์ฉุกเฉินในระดับพื้นที่ เมือง หรือประเทศ การหยุดชะงักของระบบเทคโนโลยีสารสนเทศหรือระบบงานสำคัญ รวมถึงการขาดแคลนบุคลากรสำคัญที่เกี่ยวข้องกับกระบวนการดำเนินธุรกิจ
การวิเคราะห์ผลกระทบทางธุรกิจ (Business Impact Analysis: BIA)
บริษัทฯ ได้ดำเนินการวิเคราะห์ผลกระทบทางธุรกิจ (Business Impact Analysis: BIA) เพื่อระบุระบบงาน กระบวนการ และบริการที่มีความสำคัญต่อการดำเนินธุรกิจ รวมถึงประเมินผลกระทบที่อาจเกิดขึ้นจากเหตุการณ์หยุดชะงัก ตลอดจนกำหนดระดับความสำคัญของกระบวนการดำเนินงาน และแนวทางในการกู้คืนระบบและการดำเนินงานภายในระยะเวลาที่เหมาะสม ทั้งนี้ผลการวิเคราะห์ดังกล่าวถูกนำมาใช้เป็นข้อมูลสำคัญในการกำหนดมาตรการรองรับและกลยุทธ์การดำเนินธุรกิจอย่างต่อเนื่องของบริษัท
กระบวนการบริหารความต่อเนื่องทางธุรกิจ
บริษัทฯ ได้กำหนดกระบวนการบริหารความต่อเนื่องทางธุรกิจเพื่อรองรับเหตุการณ์ที่อาจส่งผลกระทบต่อการดำเนินงาน โดยมีขั้นตอนสำคัญดังนี้
1. การประเมินสถานการณ์ (Incident Assessment)
หน่วยงานที่เกี่ยวข้องจะประเมินลักษณะและระดับความรุนแรงของเหตุการณ์ รวมถึงผลกระทบที่อาจเกิดขึ้นต่อกระบวนการดำเนินงาน ระบบสารสนเทศ และบุคลากรของบริษัท
2. การประกาศใช้แผน BCP (BCP Activation)
เมื่อพิจารณาแล้วว่าเหตุการณ์ดังกล่าวอาจส่งผลให้เกิดการหยุดชะงักของการดำเนินธุรกิจ บริษัทจะประกาศใช้แผน BCP และแต่งตั้งคณะทำงานที่เกี่ยวข้องเพื่อบริหารจัดการสถานการณ์
3. การตอบสนองและประสานงาน (Response and Coordination)
คณะทำงานจะดำเนินมาตรการที่กำหนดเพื่อควบคุมสถานการณ์ ลดผลกระทบต่อการดำเนินธุรกิจ และสื่อสารข้อมูลที่จำเป็นไปยังพนักงาน ลูกค้า และผู้มีส่วนได้เสีย
4. การดำเนินธุรกิจต่อเนื่อง (Business Continuity Operations)
บริษัทดำเนินมาตรการเพื่อให้กระบวนการดำเนินงานที่สำคัญสามารถดำเนินต่อไปได้ เช่น การทำงานจากระยะไกล การใช้ระบบหรือสถานที่สำรอง รวมถึงการจัดสรรทรัพยากรเพื่อสนับสนุนการดำเนินงาน
5. การฟื้นฟูการดำเนินงาน (Recovery)
เมื่อสถานการณ์คลี่คลาย บริษัทจะดำเนินการฟื้นฟูระบบงาน กระบวนการดำเนินธุรกิจ และสภาพแวดล้อมในการทำงานให้กลับสู่ภาวะปกติ
6. การทบทวนและปรับปรุงแผน (Review and Improvement)
หลังจากเหตุการณ์หรือการทดสอบแผน บริษัทจะมีการประเมินผลและรวบรวมบทเรียนที่ได้รับ เพื่อนำมาปรับปรุงแผนบริหารความต่อเนื่องทางธุรกิจให้มีประสิทธิภาพมากยิ่งขึ้น
กลยุทธ์การดำเนินธุรกิจอย่างต่อเนื่อง
บริษัทฯ ได้กำหนดมาตรการรองรับสถานการณ์ที่อาจส่งผลกระทบต่อการดำเนินธุรกิจ เช่น การสนับสนุนการทำงานจากระยะไกลผ่านระบบเครือข่ายที่ปลอดภัย การจัดเตรียมสถานที่หรือระบบสำรองสำหรับการดำเนินงาน การสำรองข้อมูลและจัดทำแผนกู้คืนระบบสารสนเทศ (Disaster Recovery Plan) รวมถึงการบริหารจัดการทรัพยากรบุคคลเพื่อให้สามารถสนับสนุนกระบวนการดำเนินงานที่สำคัญได้อย่างต่อเนื่อง