9. การควบคุมภายใน

คณะกรรมการบริษัทและผู้บริหารมีหน้าที่และความรับผิดชอบโดยตรงในการจัดให้มีและรักษาไว้ซึ่งระบบควบคุมภายใน
(Internal control)
รวมทั้งดำเนินการทบทวนความมีประสิทธิภาพของระบบการควบคุมภายในอย่างสม่ำเสมอ
เพื่อปกป้องเงินลงทุนของผู้ถือหุ้นและทรัพย์สินของบริษัท รวมทั้งเป็นหลักในการดำเนินธุรกิจของบริษัท
และเป็นหลักปฏิบัติของพนักงาน การควบคุมภายในจะครอบคลุมถึงการควบคุมทางการเงิน
การดำเนินงาน การกำกับดูแลการปฏิบัติงานให้เป็นไปตามกฎหมายและระเบียบที่เกี่ยวข้อง
และการบริหารความเสี่ยง

ระบบการควบคุมภายในที่บริษัทกำหนดขึ้นสอดคล้องกับแนวทางการจัดระบบการควบคุมภายในที่กำหนดโดย
The Committee of Sponsoring Organizations of the Treadway Commission
(COSO) โดยกำหนดองค์ประกอบการบริหารความเสี่ยงองค์กร (Components of Enterprise
Risk Management) ดังนี้

1. สภาพแวดล้อมภายในองค์กร (Internal Environment)

บริษัทจัดให้มีโครงสร้างองค์กร โดยมีการกำหนดหน้าที่ความรับผิดชอบของแต่ละฝ่ายงาน
พร้อมทั้งมีการกำหนดวิสัยทัศน์ เป้าหมาย กลยุทธ์ งบประมาณ
โดยกำหนดหลักเกณฑ์ในการวัดผลที่ชัดเจน
ในการดำเนินงานและปรับโครงสร้างองค์กรให้สอดคล้องกับแผนธุรกิจเป็นประจำต่อเนื่อง
มีการปรับปรุงระบบการกำกับดูแลกิจการ สรรหาบุคลากรที่มีคุณภาพและพัฒนาอย่างต่อเนื่อง
มีนโยบายและระเบียบในการปฏิบัติงานที่ครอบคลุมธุรกรรมด้านการเงิน
การบริหารความเสี่ยงและด้านอื่นอย่างครบถ้วน บริษัทมีจรรยาบรรณให้ กรรมการ ผู้บริหาร
พนักงานปฏิบัติอย่างมีจริยธรรมและดูแลผู้มีส่วนได้เสียอย่างเป็นธรรม

2. การกำหนดวัตถุประสงค์ (Objective Setting)

บริษัทมีการกำหนดวัตถุประสงค์ เป้าหมาย กลยุทธ์ในการดำเนินธุรกิจ
โดยให้พนักงานมีส่วนร่วมในการกำหนดด้วย
ทำให้วัตถุประสงค์ของแต่ละฝ่ายงานสอดคล้องกับวัตถุประสงค์ของบริษัท

3. การบ่งชี้เหตุการณ์ (Event Identification)

บริษัทมีการวางแผนการดำเนินงานโดยคำนึงถึงเหตุการณ์ความเสี่ยงที่เกิดจากปัจจัยภายในและปัจจัยภายนอก
ที่อาจส่งผลกระทบต่อความสำเร็จของวัตถุประสงค์ / เป้าหมายของบริษัท

4. การประเมินความเสี่ยง (Risk Assessment)

บริษัทกำหนดให้ทุกหน่วยงานประเมินและพิจารณาความเสี่ยงในการทำธุรกรรมต่าง ๆ
จัดให้มีระบบการบริหารความเสี่ยงในระดับองค์กร โดยมีหน่วยงานบริหารความเสี่ยง
และคณะกรรมการตรวจสอบทำหน้าที่กำกับดูแล

5. การตอบสนองความเสี่ยง (Risk Response)

บางธุรกรรมที่มีความเสี่ยงบริษัทได้หาผู้ร่วมรับผิดชอบความเสี่ยง (Sharing Response)
เป็นการลดผลกระทบ โดยการถ่ายโอนความเสี่ยง และบางธุรกรรมที่มีความเสี่ยงสูง
บริษัทได้ลด/ควบคุมความเสี่ยง (Reduction Response) เพื่อลดการเกิดหนี้ที่ไม่ก่อให้เกิดรายได้
(NPL) โดยบริษัทมีการกำหนดนโยบาย วิธีปฏิบัติให้มีความรัดกุมยิ่งขึ้น

6. กิจกรรมการควบคุม (Control Activities)

บริษัทมีการกำหนดนโยบาย ระเบียบวิธีปฏิบัติ การแบ่งแยกหน้าที่
เพื่อเป็นแนวทางในการปฏิบัติงานเพื่อให้เกิดระบบการควบคุมระหว่างกัน
กำหนดอำนาจหน้าที่ในการอนุมัติรายการ และวงเงินเป็นลายลักษณ์อักษร
และได้จัดทำแนวทางการดูแลรายการที่เกี่ยวโยง และรายการระหว่างกันให้เป็นไปตามกฎหมาย

7. การติดตามผล (Monitoring)

จัดให้มีระบบการติดตามโดยผู้บริหารและคณะกรรมการบริษัท
เพื่อให้การดำเนินงานเป็นไปตามแผนที่วางไว้ และฝ่ายตรวจสอบภายในทำหน้าที่ติดตาม
และประเมินผลระบบการควบคุมอย่างอิสระ
และรายงานผลพร้อมข้อเสนอแนะให้ฝ่ายบริหารดำเนินการแก้ไข

8. สารสนเทศและการสื่อสาร (Information & Communication)

จัดให้มีระบบข้อมูลเพื่อการตัดสินใจอย่างพอเพียง โดยมีหน่วยงานที่รวบรวม
วิเคราะห์และจัดเก็บในระบบคลังข้อมูลของบริษัท
ระบบข้อมูลในองค์กรมีการสื่อสารทั้งสองทางอย่างมีประสิทธิภาพ ในระดับคณะกรรมการบริษัท
ได้มีการจัดเตรียมข้อมูลและเอกสารอย่างเพียงพอต่อการตัดสินใจ

ฝ่ายตรวจสอบภายในของบริษัทได้จัดทำแผนการตรวจสอบประจำปี โดยพิจารณาตามปัจจัยความเสี่ยง
(Risk Based Approach) ซึ่งจะเน้นความเสี่ยงสำคัญต่าง ๆ
ที่จะมีผลกระทบต่อการบรรลุวัตถุประสงค์ของบริษัท
คณะกรรมการตรวจสอบเป็นผู้พิจารณาสอบทานและอนุมัติแผนการตรวจสอบประจำปีดังกล่าว
ซึ่งฝ่ายตรวจสอบภายในรายงานผลการตรวจสอบโดยตรงต่อคณะกรรมการตรวจสอบ