นโยบายและกรอบการบริหารความเสี่ยง
แนวทางที่เป็นระบบสำหรับการระบุ ประเมิน จัดการ และติดตามความเสี่ยงในการดำเนินธุรกิจและการให้บริการด้านแรงงานของเรา
มีผลบังคับใช้ตั้งแต่วันที่ 1 มกราคม 2026 | เวอร์ชัน 1.0
1. วัตถุประสงค์
นโยบายและกรอบการดำเนินงานฉบับนี้กำหนดแนวทางสำหรับบริษัท Magma Tech Solution จำกัด ในการระบุ ประเมิน จัดการ ติดตาม และยกระดับการจัดการความเสี่ยงที่เกี่ยวข้องกับการดำเนินธุรกิจ รวมถึงการจัดหาบุคลากรด้านไอที ผู้รับจ้าง การส่งบุคลากรไปปฏิบัติงานภายนอกองค์กร (Secondment) การเสริมกำลังคน (Staff Augmentation) และบริการด้านแรงงานอื่น ๆ ที่เกี่ยวข้องให้แก่ลูกค้า
กรอบการดำเนินงานนี้จัดทำขึ้นเพื่อสนับสนุนการส่งมอบทรัพยากรที่เชื่อถือได้ การจัดการข้อมูลอย่างเหมาะสม การปฏิบัติตามข้อกำหนดและพันธกรณีที่เกี่ยวข้อง การบริหารจัดการที่มีประสิทธิภาพ ตลอดจนการแก้ไขปัญหาในการให้บริการได้อย่างทันท่วงที
2. ขอบเขต
กรอบการทำงานนี้มีผลบังคับใช้กับฝ่ายบริหารและบุคลากรที่เกี่ยวข้องซึ่งมีส่วนร่วมใน:
การสรรหาบุคลากรด้านไอที การเสาะหาผู้สมัคร การคัดกรอง และการนำเสนอผู้สมัคร
การเอาท์ซอร์สงานด้านไอที การยืมตัวบุคลากร การเสริมกำลังเจ้าหน้าที่ และการจัดส่งที่ปรึกษา
การรับที่ปรึกษาเข้าทำงาน การบริหารจัดการภารกิจ การประสานงานด้านผลการปฏิบัติงาน การเปลี่ยนตัวที่ปรึกษา และการดำเนินการเมื่อสิ้นสุดการปฏิบัติงาน
การจัดทำเงินเดือน การออกใบแจ้งหนี้ และการดำเนินการด้านธุรการตามที่กฎหมายกำหนด (ในกรณีที่มีการให้บริการดังกล่าว)
การจัดการข้อมูลลูกค้า ข้อมูลส่วนบุคคล ข้อมูลประจำตัว อุปกรณ์ และการเข้าถึงระบบ ในส่วนที่เกี่ยวข้องกับงานที่ได้รับมอบหมาย
การว่าจ้างผู้รับเหมาช่วงหรือบุคคลภายนอกอื่น ๆ (ในกรณีที่มีการใช้งาน)
จำเป็นต้องปฏิบัติตามกฎหมายที่เกี่ยวข้อง สัญญาที่ทำไว้กับลูกค้า ขอบเขตงาน (Statement of Work) รวมถึงข้อกำหนดด้านความปลอดภัยหรือการดำเนินงานของลูกค้า ในกรณีที่ข้อกำหนดต่าง ๆ มีความแตกต่างกัน ควรนำข้อกำหนดที่เข้มงวดกว่าเสนอขึ้นไปเพื่อพิจารณาตรวจสอบ
3. หลักการบริหารความเสี่ยง
ตามสัดส่วน
มุ่งเน้นไปที่ความเสี่ยงที่เกี่ยวข้องกับบริการ ขนาดธุรกิจ และภาระผูกพันที่มีต่อลูกค้าของบริษัท
เชิงป้องกัน
ระบุปัญหาที่อาจเกิดขึ้นได้ตั้งแต่เนิ่นๆ และดำเนินมาตรการที่เหมาะสมเพื่อลดโอกาสในการเกิดปัญหาหรือลดผลกระทบที่จะตามมา
มีความรับผิดชอบ
กำหนดผู้รับผิดชอบสำหรับความเสี่ยงสำคัญแต่ละรายการ รวมถึงมาตรการบรรเทาความเสี่ยงนั้น ๆ
มีการบันทึกไว้แล้ว
จัดเก็บบันทึกที่เหมาะสมเกี่ยวกับการทบทวนความเสี่ยง การตัดสินใจ เหตุการณ์ที่เกิดขึ้น และการดำเนินการแก้ไข
ตอบสนองได้ดี
รายงานความเสี่ยงสำคัญขึ้นไปยังระดับที่สูงขึ้นโดยทันที และสื่อสารกับลูกค้าเมื่อจำเป็น
เป็นความลับ
ปกป้องข้อมูลส่วนบุคคล ข้อมูลเชิงพาณิชย์ และข้อมูลของลูกค้าตลอดกระบวนการบริหารจัดการความเสี่ยง
4. บทบาทและความรับผิดชอบ
| บทบาท | ความรับผิดชอบ |
|---|---|
| การจัดการ | อนุมัติและกำกับดูแลกรอบการดำเนินงานนี้ รวมถึงทบทวนความเสี่ยงระดับสูงและระดับวิกฤต |
| ผู้ประสานงานบัญชีลูกค้า / ผู้ประสานงานลูกค้า | ติดตามการให้บริการ ผลตอบรับจากลูกค้า และกรอบเวลาในการดำเนินการ |
| ทรัพยากรบุคคล / การสรรหาบุคลากร | ดูแลคุณภาพของผู้สมัคร ความพร้อมของทรัพยากร และกระบวนการรับพนักงานใหม่เข้าสู่องค์กร |
| เงินเดือน / การเงิน | กำกับดูแลการจ่ายเงินเดือน การออกใบแจ้งหนี้ และการอนุมัติการชำระเงิน |
| ผู้ติดต่อด้านไอที / ความปลอดภัย | ประสานงานด้านการเข้าถึง อุปกรณ์ และความปลอดภัยของข้อมูล |
| พนักงาน / ที่ปรึกษา | ปฏิบัติตามข้อกำหนด ปกป้องข้อมูล และรายงานข้อกังวลโดยทันที |
5.การระบุ การประเมิน และการจัดการความเสี่ยง
ความเสี่ยงจะถูกระบุผ่านการวางแผนการสรรหาและการจัดวางกำลังคน ข้อเสนอแนะจากลูกค้า การตรวจสอบสัญญา การพูดคุยเกี่ยวกับผลการปฏิบัติงานของที่ปรึกษา การตรวจสอบเงินเดือน การติดตามการปฏิบัติตามกฎระเบียบ เหตุการณ์ด้านความปลอดภัย ข้อร้องเรียน เหตุการณ์ไม่พึงประสงค์ และการเปลี่ยนแปลงข้อกำหนดด้านบริการหรือกฎระเบียบ ความเสี่ยงที่สำคัญแต่ละรายการจะได้รับการประเมินความน่าจะเป็นและผลกระทบ กำหนดผู้รับผิดชอบ และดำเนินการตามสัดส่วน
ความเสี่ยงของซัพพลายเออร์และผู้รับเหมาช่วง ได้แก่ ความสามารถที่ไม่เพียงพอ การหยุดชะงักของบริการ ความขัดแย้งทางผลประโยชน์ การละเมิดความลับ การเข้าถึงข้อมูลโดยไม่ได้รับอนุญาต และการไม่ปฏิบัติตามข้อกำหนดทางกฎหมายหรือสัญญาที่เกี่ยวข้อง การคัดกรองและการติดตามควรเป็นไปตามสัดส่วนของบทบาทของซัพพลายเออร์ ความสำคัญของบริการ และข้อมูลหรือระบบที่ได้รับอนุญาตให้เข้าถึง
5.1 มาตรวัดโอกาสเกิดและผลกระทบ
| คะแนน | คู่มือการให้คะแนน |
|---|---|
| 1 | หายาก / เรียบง่าย |
| 2 | ไม่น่าจะเกิดขึ้น / เล็กน้อย |
| 3 | เป็นไปได้ / ปานกลาง |
| 4 | มีโอกาสเกิดขึ้นสูง / สำคัญมาก |
| 5 | เกือบจะแน่นอน / รุนแรง |
คะแนนความเสี่ยง = โอกาสที่จะเกิดขึ้น × ผลกระทบ คะแนนนี้ช่วยในการจัดลำดับความสำคัญ ผู้บริหารยังพิจารณาถึงข้อผูกพันทางกฎหมาย กำหนดเวลาตามสัญญา ผลกระทบต่อลูกค้า ความละเอียดอ่อนของข้อมูล และสถานการณ์อื่นๆ ที่เกี่ยวข้องด้วย
ต่ำ
1 – 4
ติดตามตรวจสอบผ่านกิจกรรมตามปกติ
ปานกลาง
5 – 9
กำหนดมาตรการบรรเทาผลกระทบและติดตามความคืบหน้า
สูง
10 – 16
ให้ความสำคัญกับการบรรเทาความเสี่ยงและการกำกับดูแลโดยฝ่ายบริหาร
วิกฤต
17 – 25
รายงานต่อฝ่ายบริหารโดยทันที และดำเนินการแก้ไขอย่างเหมาะสมโดยไม่ชักช้า
6. ประเด็นความเสี่ยงสำคัญและการควบคุม
ความพร้อมของทรัพยากรและความล่าช้าในการนำไปใช้งานจริง
วางแผนการสรรหาบุคลากรตั้งแต่เนิ่นๆ ติดตามกำหนดวันที่ต้องเริ่มงานจริง รักษาฐานข้อมูลผู้สมัครที่มีศักยภาพไว้หากสามารถทำได้ และแจ้งให้ลูกค้าทราบล่วงหน้าหากคาดว่าจะเกิดความล่าช้าขึ้น
ความเหมาะสมของผู้สมัครกับความไม่สอดคล้องของทักษะ
ตรวจสอบข้อมูลในประวัติย่อ (CV) และทักษะที่เกี่ยวข้องกับตำแหน่งงาน ดำเนินการสัมภาษณ์หรือตรวจสอบตามความเหมาะสม พร้อมทั้งจัดเก็บเอกสารการยื่นข้อมูลและการอนุมัติที่เกี่ยวข้องไว้เป็นหลักฐาน
การลาออกหรือการไม่สามารถปฏิบัติงานได้ของที่ปรึกษา
ดำเนินการตามขั้นตอนการเปลี่ยนทดแทนและการยกระดับปัญหา (escalation process) พร้อมทั้งประเมินผลกระทบต่อการให้บริการ และประสานงานกับลูกค้าเกี่ยวกับขั้นตอนถัดไป โดยให้สอดคล้องกับข้อตกลงตามสัญญา
ผลการดำเนินงานและความไม่พึงพอใจของลูกค้า
ตรวจสอบความคิดเห็นจากลูกค้า บันทึกประเด็นข้อกังวล ตกลงแนวทางการปรับปรุง และส่งต่อปัญหาที่ยังไม่ได้รับการแก้ไขไปยังระดับที่สูงขึ้น
การปฏิบัติตามสัญญาและกฎระเบียบ
ดูแลรักษาข้อตกลงและบันทึกการโอนสิทธิ์ที่เกี่ยวข้อง ติดตามภาระผูกพันต่าง ๆ ที่มีผลบังคับใช้ และขอคำปรึกษาจากผู้เชี่ยวชาญเมื่อจำเป็น
ประเด็นเรื่องวีซ่าและใบอนุญาตทำงาน (หากมี)
ติดตามวันหมดอายุที่เกี่ยวข้องและดำเนินการต่ออายุตามความจำเป็น พร้อมทั้งตรวจสอบให้แน่ใจว่ามีการอนุมัติที่กำหนดไว้ครบถ้วนก่อนเริ่มใช้งานจริง
การจัดการเงินเดือน การออกใบแจ้งหนี้ และการประมวลผลการชำระเงิน
ใช้ปฏิทินการประมวลผล ตรวจสอบความถูกต้องของข้อมูล ยืนยันการอนุมัติ กระทบยอดจำนวนเงิน และแจ้งเตือนเมื่อคาดว่าจะเกิดความล่าช้า
ข้อมูลส่วนบุคคลและการรักษาความลับ
จำกัดการเข้าถึงไว้เฉพาะบุคลากรที่ได้รับอนุญาต ใช้ช่องทางการส่งข้อมูลที่เหมาะสม แบ่งปันเฉพาะข้อมูลที่จำเป็นเท่านั้น และปฏิบัติตามข้อกำหนดด้านความเป็นส่วนตัวที่เกี่ยวข้อง
ระบบของลูกค้าและความมั่นคงปลอดภัยของข้อมูล
ปฏิบัติตามข้อกำหนดเกี่ยวกับการเข้าถึงของลูกค้า การใช้งานที่ยอมรับได้ และอุปกรณ์ต่างๆ โดยต้องยกเลิกสิทธิ์การเข้าถึงเมื่อสิ้นสุดภารกิจ และรายงานเหตุการณ์ที่น่าสงสัยโดยทันที
ความต่อเนื่องทางธุรกิจและการพึ่งพาบุคลากรหลัก
จัดเตรียมข้อมูลผู้ติดต่อสำรองและข้อมูลสำหรับการส่งมอบงานไว้เสมอ พร้อมทั้งระบุกิจกรรมสำคัญต่าง ๆ รวมถึงแนวทางทางเลือกอื่นที่เหมาะสมไว้ด้วย
การฉ้อโกง การรับสินบน ความขัดแย้ง และการประพฤติมิชอบ
ปฏิบัติตามหลักจรรยาบรรณ แจ้งข้อกังวลผ่านช่องทางที่เหมาะสม และดำเนินการแก้ไขอย่างเหมาะสมตามระดับของปัญหา
ส่วนประกอบที่ต้องพึ่งพาจากภายนอก (หากมี)
กำหนดความรับผิดชอบให้ชัดเจน ปกป้องข้อมูลที่แบ่งปันกับผู้ให้บริการ และติดตามปัญหาที่สำคัญเกี่ยวกับการให้บริการ
7. การรายงานเหตุการณ์และการยกระดับเหตุการณ์
พนักงานต้องรายงานเหตุการณ์ที่ต้องสงสัยเกี่ยวกับความปลอดภัยหรือการละเมิดความเป็นส่วนตัว การประพฤติมิชอบ ปัญหาเกี่ยวกับเงินเดือน ข้อกังวลด้านการปฏิบัติตามกฎระเบียบ และการหยุดชะงักของบริการอย่างมีนัยสำคัญ ให้แก่ผู้ติดต่อที่ได้รับมอบหมายของบริษัท Magma Tech Solution Co., Ltd. โดยทันที
ผู้รับเรื่องจะบันทึกข้อเท็จจริงที่ทราบ การดำเนินการทันที ผลกระทบที่อาจเกิดขึ้น ผู้รับผิดชอบ และขั้นตอนถัดไป พร้อมทั้งจำกัดการเข้าถึงข้อมูลที่มีความละเอียดอ่อน
ฝ่ายบริหารเป็นผู้พิจารณาว่าจำเป็นต้องแจ้งให้ลูกค้า บุคคลที่ได้รับผลกระทบ หน่วยงานที่มีอำนาจ หรือฝ่ายอื่น ๆ ทราบหรือไม่ โดยเป็นไปตามกฎหมายหรือสัญญาที่เกี่ยวข้อง
ในกรณีที่ระบบ ข้อมูล หรือการให้บริการของลูกค้าได้รับผลกระทบ จะต้องแจ้งให้ตัวแทนของลูกค้าหรือบุคคลที่ได้รับมอบหมายให้เป็นผู้ติดต่อทราบ โดยให้เป็นไปตามสัญญาที่เกี่ยวข้อง ขั้นตอนการปฏิบัติที่ตกลงกันไว้ และข้อกำหนดในการรายงานเหตุการณ์ของลูกค้า
มีการติดตามการดำเนินการแก้ไขจนเสร็จสิ้น พร้อมทั้งนำบทเรียนที่เกี่ยวข้องไปรวมไว้ในมาตรการควบคุมหรือกิจกรรมสร้างความตระหนักรู้ต่าง ๆ
สำหรับเหตุการณ์ด้านความมั่นคงปลอดภัยทางไซเบอร์หรือเหตุการณ์เกี่ยวกับข้อมูลส่วนบุคคลที่มีนัยสำคัญ กระบวนการรับมือควรครอบคลุมถึงการรายงานเหตุการณ์ต่อฝ่ายบริหารและผู้ประสานงานด้านไอทีหรือผู้ให้บริการที่ได้รับมอบหมายโดยทันที การจำกัดขอบเขตของเหตุการณ์อย่างเหมาะสม การเก็บรักษาหลักฐานที่เกี่ยวข้อง การประเมินผลกระทบ ตลอดจนการแจ้งให้ลูกค้า บุคคลที่ได้รับผลกระทบ หรือหน่วยงานที่เกี่ยวข้องทราบ ในกรณีที่กฎหมายหรือสัญญาที่เกี่ยวข้องกำหนดไว้
8. การติดตามและทบทวน
7.1 ความต่อเนื่องทางธุรกิจและความยืดหยุ่นในการดำเนินงาน
ฝ่ายบริหารจะจัดเตรียมมาตรการที่เหมาะสมเพื่อสนับสนุนกิจกรรมที่สำคัญในช่วงที่เกิดปัญหา ซึ่งอาจรวมถึงการจัดหาผู้บริหารสำรองและผู้ติดต่อลูกค้า การเข้าถึงบันทึกข้อมูลสำคัญของบริษัทและลูกค้า การจัดเตรียมการประมวลผลเงินเดือนทางเลือก บุคลากรสำรองสำหรับความรับผิดชอบหลัก และกระบวนการในการระบุที่ปรึกษาทดแทนหากเป็นไปได้ ปัญหาการหยุดชะงักที่สำคัญจะต้องได้รับการแจ้งให้ทราบโดยทันทีและแจ้งให้ลูกค้าที่ได้รับผลกระทบทราบตามข้อผูกพันในสัญญา
ทะเบียนความเสี่ยงจะได้รับการทบทวนอย่างน้อยทุกไตรมาส รวมถึงเมื่อเกิดเหตุการณ์สำคัญ มีการเปลี่ยนแปลงการบริการ มีความต้องการจากลูกค้า หรือปรากฏความเสี่ยงที่มีนัยสำคัญ
ความเสี่ยงระดับสูงและระดับวิกฤตจะได้รับการทบทวนบ่อยครั้งขึ้น จนกว่าจะมีการดำเนินการแก้ไขเสร็จสิ้น หรือมีการยอมรับความเสี่ยงที่หลงเหลืออยู่โดยฝ่ายบริหารที่มีอำนาจตัดสินใจ
ผู้รับผิดชอบความเสี่ยงดำเนินการปรับปรุงสถานะของการดำเนินงาน พร้อมทั้งจัดเก็บหลักฐานที่เหมาะสมซึ่งแสดงว่าการดำเนินงานนั้นเสร็จสมบูรณ์แล้ว
ฝ่ายบริหารทบทวนความเสี่ยงที่มีนัยสำคัญ การดำเนินการที่เกินกำหนดเวลา เหตุการณ์ที่เกิดขึ้นซ้ำ และบทเรียนที่ได้รับ
นโยบายนี้จะได้รับการทบทวนอย่างน้อยปีละหนึ่งครั้ง หรือเร็วกว่านั้นหากมีการเปลี่ยนแปลงอย่างมีนัยสำคัญในด้านบริการ ข้อกำหนดที่เกี่ยวข้อง หรือภาระผูกพันที่มีต่อลูกค้า
9.การยอมรับความเสี่ยงและการดำเนินการแก้ไข
การจัดการความเสี่ยงอาจรวมถึงการหลีกเลี่ยง การลด การโอน หรือการยอมรับความเสี่ยง โดยมีเพียงฝ่ายบริหารที่ได้รับมอบอำนาจเท่านั้นที่จะสามารถยอมรับความเสี่ยงคงเหลือที่มีนัยสำคัญได้ ทั้งนี้ ห้ามยอมรับความเสี่ยงที่อาจนำไปสู่การละเมิดกฎหมายที่เกี่ยวข้อง ข้อกำหนดในการได้รับอนุญาต หรือข้อกำหนดที่มีผลผูกพันกับลูกค้า เพียงเพื่อเหตุผลด้านความสะดวกเท่านั้น สำหรับการดำเนินการแก้ไขนั้น ควรมีการกำหนดผู้รับผิดชอบ วันเป้าหมายที่ต้องดำเนินการให้แล้วเสร็จ และหลักฐานยืนยันการดำเนินการเสร็จสิ้นตามความเหมาะสม
10. การควบคุมบันทึกและเอกสาร
รักษาทะเบียนความเสี่ยง บันทึกเหตุการณ์ที่เป็นสาระสำคัญ ทบทวนการตัดสินใจ และบันทึกการดำเนินการแก้ไขในสถานที่ของบริษัทที่มีการควบคุมการเข้าถึง
จัดเก็บเอกสารไว้ตามระยะเวลาที่กฎหมาย สัญญา และระเบียบปฏิบัติของบริษัทกำหนด
แบ่งปันบันทึกข้อมูลกับลูกค้าหรือบุคคลอื่นที่เกี่ยวข้องเฉพาะในกรณีที่จำเป็น โดยได้รับอนุญาตอย่างถูกต้อง และสอดคล้องกับข้อกำหนดว่าด้วยการรักษาความลับ ข้อตกลงตามสัญญา และภาระหน้าที่ในการคุ้มครองข้อมูลที่เกี่ยวข้อง
ฝ่ายบริหารกำกับดูแลนโยบายฉบับนี้และอนุมัติการเปลี่ยนแปลงที่มีสาระสำคัญ
การอนุมัตินโยบายและข้อมูลเอกสาร
เจ้าของเอกสาร: บริษัท แมกม่า เทค โซลูชั่น จำกัด (Magma Tech Solution Co., Ltd.) – ฝ่ายบริหาร
ฉบับที่ 1.0 | มีผลบังคับใช้ตั้งแต่วันที่ 1 มกราคม 2026 | ทบทวนอย่างน้อยปีละหนึ่งครั้ง
อนุมัติโดย: Tapati Bhattacharya – กรรมการผู้จัดการ
การอนุมัติจากฝ่ายบริหาร
ได้รับอนุมัติและมีผลบังคับใช้ตั้งแต่วันที่ 1 มกราคม 2026
เป็นนโยบายภายในองค์กร ไม่ใช่การรับรองมาตรฐาน ISO หรือการตรวจสอบโดยหน่วยงานอิสระ
พร้อมที่จะสร้างทีมพัฒนาของคุณแล้วหรือยัง?
มาพูดคุยเกี่ยวกับโปรเจกต์ของคุณและค้นหาวิศวกรที่เหมาะสมเพื่อช่วยให้คุณประสบความสำเร็จกันเถอะ