ประกาศสํานักงานคณะกรรมการกํากับหลักทรัพย์และตลาดหลักทรัพย์ที่ สธ/น. 32/2552เรื่อง การควบคุมการปฏิบัติงานและการรักษาความปลอดภัยด้านเทคโนโลยีสารสนเทศของบริษัทหลักทรัพย์\_\_\_\_\_\_\_\_\_\_\_\_\_\_\_\_\_\_\_\_\_\_\_\_\_อาศัยอํานาจตามความในมาตรา 141(2) แห่งพระราชบัญญัติหลักทรัพย์และตลาดหลักทรัพย์ พ.ศ. 2535 อันเป็นพระราชบัญญัติที่มีบทบัญญัติบางประการเกี่ยวกับการจํากัดสิทธิและเสรีภาพของบุคคล ซึ่งมาตรา 29 ประกอบกับมาตรา 33 มาตรา 34 มาตรา 41 มาตรา 43 มาตรา 44 และมาตรา 64 ของรัฐธรรมนูญแห่งราชอาณาจักรไทย บัญญัติให้กระทําได้โดยอาศัยอํานาจตามบทบัญญัติแห่งกฎหมาย สํานักงานโดยความเห็นชอบของคณะกรรมการ ก.ล.ต. ทําหน้าที่คณะกรรมการกํากับตลาดทุนตามมาตรา 60 แห่งพระราชบัญญัติหลักทรัพย์และตลาดหลักทรัพย์ (ฉบับที่ 4) พ.ศ. 2551 ออกข้อกําหนดไว้ดังต่อไปนี้ข้อ ๑ ให้ยกเลิกประกาศสํานักงานคณะกรรมการกํากับหลักทรัพย์และตลาดหลักทรัพย์ ที่ สธ./น. 34/2547 เรื่อง การควบคุมการปฏิบัติงานและการรักษาความปลอดภัยด้านเทคโนโลยีสารสนเทศของบริษัทหลักทรัพย์ ลงวันที่ 20 กรกฎาคม พ.ศ. 2547 ข้อ ๒ ในประกาศนี้ "บริษัทหลักทรัพย์" หมายความว่า บริษัทหลักทรัพย์ที่ได้รับใบอนุญาตประกอบธุรกิจหลักทรัพย์ประเภทการเป็นนายหน้าซื้อขายหลักทรัพย์ การค้าหลักทรัพย์ การจัดจําหน่ายหลักทรัพย์หรือการจัดการกองทุนรวม แต่ไม่รวมถึงสถาบันการเงินที่จัดตั้งตามกฎหมายอื่นและได้รับใบอนุญาตประกอบธุรกิจหลักทรัพย์ข้อ ๓ บริษัทหลักทรัพย์ต้องจัดให้มีนโยบายและระเบียบปฏิบัติเกี่ยวกับการควบคุมการปฏิบัติงานและการรักษาความปลอดภัยด้านเทคโนโลยีสารสนเทศของบริษัทหลักทรัพย์ที่เป็นลายลักษณ์อักษรและได้รับความเห็นชอบจากคณะกรรมการบริหารหรือคณะกรรมการของบริษัทหลักทรัพย์ข้อ ๔ บริษัทหลักทรัพย์ต้องจัดให้มีการตรวจสอบการปฏิบัติงานด้านเทคโนโลยีสารสนเทศโดยหน่วยงานภายในบริษัทหลักทรัพย์เองหรือโดยผู้ตรวจสอบที่เป็นบุคคลภายนอกเพื่อทําหน้าที่ตรวจสอบความเสี่ยงด้านเทคโนโลยีสารสนเทศทุกประเภทที่อาจเกิดขึ้นได้ ทั้งนี้ ในกรณีที่การตรวจสอบดังกล่าวดําเนินการโดยหน่วยงานภายในของบริษัทหลักทรัพย์ หน่วยงานดังกล่าวต้องมีความเป็นอิสระจากฝ่ายงานคอมพิวเตอร์ของบริษัทด้วยข้อ ๕ บริษัทหลักทรัพย์ต้องแบ่งแยกหน่วยงานและบุคลากรที่ปฏิบัติหน้าที่ในส่วนการพัฒนาระบบงานออกจากหน่วยงานและบุคลากรที่ปฏิบัติหน้าที่ในส่วนการบริหารระบบ (system administration) และต้องจัดให้มีระบบการสอบยันการปฏิบัติงานระหว่างบุคลากรในหน่วยงานดังกล่าว โดยอย่างน้อยต้องไม่มอบหมายให้บุคลากรคนหนึ่งคนใดรับผิดชอบการปฏิบัติงานตลอดกระบวนการในลักษณะที่อาจเป็นช่องทางให้มีการแก้ไขหรือเปลี่ยนแปลงข้อมูลหรือการทํางานของระบบคอมพิวเตอร์โดยมิชอบข้อ ๖ บริษัทหลักทรัพย์ต้องจัดให้มีระบบการรักษาความปลอดภัยทางกายภาพที่เพียงพอแก่การป้องกันมิให้บุคคลที่ไม่มีอํานาจหน้าที่ที่เกี่ยวข้องได้เข้าถึงอุปกรณ์คอมพิวเตอร์ที่สําคัญซึ่งจัดเก็บอยู่ในศูนย์คอมพิวเตอร์ และต้องจัดให้มีระบบป้องกันความเสียหายจากสภาวะแวดล้อมหรือภัยพิบัติต่างๆ ให้แก่อุปกรณ์คอมพิวเตอร์ที่สําคัญภายในศูนย์คอมพิวเตอร์ด้วยข้อ ๗ บริษัทหลักทรัพย์ต้องจัดให้มีระบบการรักษาความปลอดภัยของข้อมูล ระบบคอมพิวเตอร์และระบบเครือข่าย ที่เพียงพอแก่การป้องกันมิให้บุคคลที่ไม่มีอํานาจหน้าที่ที่เกี่ยวข้องได้เข้าถึง ล่วงรู้ ใช้ประโยชน์ หรือแก้ไขเปลี่ยนแปลงข้อมูลหรือระบบดังกล่าวได้ ข้อ ๘ บริษัทหลักทรัพย์ต้องจัดให้มีมาตรการควบคุมที่เพียงพอเพื่อให้ระบบงานคอมพิวเตอร์ (application software) ที่ได้รับการพัฒนาหรือแก้ไขเปลี่ยนแปลงมีการประมวลผลที่ถูกต้องครบถ้วนและเป็นไปตามความต้องการของผู้ใช้งาน รวมทั้งต้องสื่อสารการพัฒนาหรือการเปลี่ยนแปลงให้ผู้ที่เกี่ยวข้องได้รับทราบอย่างทั่วถึงเพื่อให้สามารถใช้งานได้อย่างถูกต้องข้อ ๙ บริษัทหลักทรัพย์ต้องจัดให้มีการสํารองข้อมูลและระบบคอมพิวเตอร์ของบริษัทหลักทรัพย์เพื่อให้สามารถรองรับการประกอบธุรกิจได้อย่างต่อเนื่อง มีประสิทธิภาพและทันต่อเหตุการณ์ข้อ ๑๐ บริษัทหลักทรัพย์ต้องจัดให้มีมาตรการในการควบคุมการปฏิบัติงานประจําด้านคอมพิวเตอร์อย่างเพียงพอเพื่อให้ระบบคอมพิวเตอร์และการประมวลผลข้อมูลสามารถทํางานได้อย่างต่อเนื่องและถูกต้องครบถ้วนข้อ ๑๑ ในกรณีที่บริษัทหลักทรัพย์ใช้บริการงานเทคโนโลยีสารสนเทศของผู้ให้บริการที่เป็นบุคคลภายนอก บริษัทหลักทรัพย์ต้องจัดให้มีหลักเกณฑ์ในการคัดเลือกและพิจารณาความเหมาะสมของผู้ให้บริการ รวมทั้งต้องควบคุมและตรวจสอบการปฏิบัติงานของผู้ให้บริการอย่างเข้มงวด เพื่อให้มั่นใจว่าผู้ให้บริการสามารถปฏิบัติงานตามข้อกําหนดในประกาศนี้ได้ข้อ ๑๒ เพื่อให้บริษัทหลักทรัพย์สามารถปฏิบัติตามข้อกําหนดในประกาศนี้อย่างมีประสิทธิภาพและมีมาตรฐานในระดับเดียวกัน ให้บริษัทหลักทรัพย์ปฏิบัติตามแนวทางปฏิบัติเกี่ยวกับการควบคุมการปฏิบัติงานและการรักษาความปลอดภัยด้านเทคโนโลยีสารสนเทศของบริษัทหลักทรัพย์ตามที่สํานักงานกําหนด ในกรณีที่บริษัทหลักทรัพย์ดําเนินการในแนวทางปฏิบัติอื่นที่แตกต่างจากแนวทางที่สํานักงานกําหนด สํานักงานจะพิจารณาว่าบริษัทหลักทรัพย์ได้ปฏิบัติให้เป็นไปตามข้อกําหนดในประกาศนี้ ต่อเมื่อบริษัทหลักทรัพย์สามารถแสดงต่อสํานักงานได้ว่าแนวทางอื่นนั้นสามารถป้องกันความเสี่ยงด้านเทคโนโลยีสารสนเทศของบริษัทหลักทรัพย์ได้และมีประสิทธิภาพเพียงพอ ตลอดจนอยู่ในมาตรฐานที่ยอมรับได้สําหรับการควบคุมการปฏิบัติงานและการรักษาความปลอดภัยด้านเทคโนโลยีสารสนเทศของบริษัทหลักทรัพย์ข้อ ๑๓ ให้บรรดาคําสั่งและหนังสือเวียนที่ออกหรือวางแนวปฏิบัติตามประกาศสํานักงานคณะกรรมการกํากับหลักทรัพย์และตลาดหลักทรัพย์ ที่ สธ./น. 34/2547 เรื่อง การควบคุมการปฏิบัติงานและการรักษาความปลอดภัยด้านเทคโนโลยีสารสนเทศของบริษัทหลักทรัพย์ ลงวันที่ 20 กรกฎาคม พ.ศ. 2547 ซึ่งใช้บังคับอยู่ในวันก่อนวันที่ประกาศนี้ใช้บังคับ ยังคงใช้บังคับได้ต่อไปเท่าที่ไม่ขัดหรือแย้งกับข้อกําหนดแห่งประกาศนี้ จนกว่าจะได้มีคําสั่งและหนังสือเวียนที่ออกหรือวางแนวปฏิบัติตามประกาศนี้ใช้บังคับข้อ ๑๔ ในกรณีที่มีประกาศฉบับอื่นใดอ้างอิงประกาศสํานักงานคณะกรรมการกํากับหลักทรัพย์และตลาดหลักทรัพย์ ที่ สธ./น. 34/2547 เรื่อง การควบคุมการปฏิบัติงานและการรักษาความปลอดภัยด้านเทคโนโลยีสารสนเทศของบริษัทหลักทรัพย์ ลงวันที่ 20 กรกฎาคม พ.ศ. 2547 ให้การอ้างอิงดังกล่าวหมายถึงการอ้างอิงประกาศฉบับนี้ข้อ ๑๕ ประกาศนี้ให้ใช้บังคับตั้งแต่วันที่ 1 กันยายน พ.ศ. 2552 เป็นต้นไปผู้มีอํานาจลงนาม - ประกาศ ณ วันที่ 3 สิงหาคม พ.ศ. 2552 (นายธีระชัย ภูวนาถนรานุบาล) เลขาธิการ สํานักงานคณะกรรมการกํากับหลักทรัพย์และตลาดหลักทรัพย์หมายเหตุ - เหตุผลในการออกประกาศฉบับนี้ คือ เนื่องจากพระราชบัญญัติหลักทรัพย์และตลาดหลักทรัพย์ (ฉบับที่ 4) พ.ศ. 2551 กําหนดให้การออกหลักเกณฑ์ให้บริษัทหลักทรัพย์กระทําการหรือไม่กระทําการเป็นอํานาจของสํานักงานโดยความเห็นชอบของคณะกรรมการกํากับตลาดทุน จึงเห็นควรออกประกาศเพื่อทดแทนประกาศสํานักงานคณะกรรมการกํากับหลักทรัพย์และตลาดหลักทรัพย์ ที่ สธ./น. 34/2547 เรื่อง การควบคุมการปฏิบัติงานและการรักษาความปลอดภัยด้านเทคโนโลยีสารสนเทศของบริษัทหลักทรัพย์ ลงวันที่ 20 กรกฎาคม พ.ศ. 2547 จึงจําเป็นต้องออกประกาศนี้