แนวคิดและวัตถุประสงค์

การมีระบบการควบคุมภายในที่ดีมีความสำคัญอย่างยิ่งสำหรับบริษัทจดทะเบียนหรือบริษัทที่มีประชาชนเป็นผู้ถือหุ้น
โดยระบบที่ดีจะสามารถช่วยป้องกัน บริหารจัดการความเสี่ยงหรือความเสียหายต่างๆ ที่อาจเกิดขึ้น
กับบริษัทและผู้ที่มีส่วนได้เสียได้เป็นอย่างดี ดังนั้น
จึงเป็นหน้าที่ของคณะกรรมการบริษัทที่จะต้องดำเนินการ ให้มั่นใจว่า
บริษัทมีระบบควบคุมภายในที่เหมาะสม
และเพียงพอในการดูแลการดำเนินงานให้เป็นไปตามเป้าหมาย วัตถุประสงค์ กฎหมาย
ข้อกำหนดที่เกี่ยวข้องได้อย่างมีประสิทธิภาพ สามารถป้องกันทรัพย์สิน จากการทุจริต เสียหาย
รวมทั้งมีการจัดทำบัญชี รายงานที่ถูกต้องน่าเชื่อถือ

สำนักงานคณะกรรมการกำกับหลักทรัพย์และตลาดหลักทรัพย์ (ก.ล.ต.)
ได้รับความร่วมมือเป็นอย่างดี จากไพร้ซวอเตอร์เฮาส์คูเปอร์ส ประเทศไทย (PwC Thailand)
ในการพัฒนาแบบประเมินความเพียงพอของ ระบบควบคุมภายใน (“แบบประเมิน”) ฉบับนี้ขึ้น
เพื่อเป็นเครื่องมือช่วยให้บริษัทใช้เป็นแนวทางในการประเมิน
ความเพียงพอของระบบการควบคุมภายในของบริษัทด้วยตนเอง

แบบประเมินนี้ ได้จัดทำตามแนวคิดของ COSO[1] (The Committee of Sponsoring
Organizations of the Treadway Commission) ที่ได้ปรับปรุง framework ใหม่
เมื่อเดือนพฤษภาคม 2556 และนำมาปรับให้เข้าใจง่ายขึ้น รวมทั้งเหมาะสมกับบริษัทจดทะเบียนไทย
ซึ่งคำถามหลักยังแบ่งออกเป็น 5 ส่วนเช่นเดียวกับแนวทางของ COSO เดิม
แต่ได้ขยายความแต่ละส่วนออกเป็นหลักการย่อยรวม 17 หลักการ
เพื่อให้เข้าใจและเห็นภาพของแต่ละส่วน ได้ชัดเจนยิ่งขึ้น

  การนำไปใช้

บริษัทควรใช้แบบประเมินนี้เป็นแนวทางในการประเมินหรือทบทวนความเพียงพอของระบบควบคุมภายในอย่างน้อยทุกปี
และอาจมีการทบทวนเพิ่มเติมหากเกิดเหตุการณ์ที่อาจส่งผลกระทบต่อการดำเนินงานของบริษัทอย่างมีนัยสำคัญ
การประเมินดังกล่าวควรผ่านการพิจารณาของคณะกรรมการตรวจสอบและคณะกรรมการบริษัทด้วย
เพื่อให้เกิดการแลกเปลี่ยนความเห็น มีความเข้าใจตรงกัน
และสามารถกำหนดแนวทางปฏิบัติที่เหมาะสมกับบริษัทได้

การตอบแบบประเมินในแต่ละข้อ ควรอยู่บนพื้นฐานของการปฏิบัติจริง หากประเมินแล้วพบว่า
บริษัทยังขาดการควบคุมภายในที่เพียงพอในข้อใด (ไม่ว่าจะเป็นการไม่มีระบบในเรื่องนั้น
หรือมีแล้วแต่ยังไม่เหมาะสม) บริษัทควรอธิบายเหตุผลและแนวทางแก้ไขประกอบไว้ด้วย

  -----------------------------------------------------------------------
  การควบคุมภายในองค์กร (Control Environment)

  -----------------------------------------------------------------------

1.  องค์กรแสดงถึงความยึดมั่นในคุณค่าของความซื่อตรง (integrity) และจริยธรรม

+------------------------------------------------------------+----+----+
| คำถาม                                                      | ใช่ | ไม |
|                                                            |    | ่ใช่ |
+============================================================+====+====+
| 1.  คณะกรรมการและผู้บริหารกำหนดแนวทาง                         | /  |    |
|     แล                                                     |    |    |
| ะมีการปฏิบัติที่อยู่บนหลักความซื่อตรงและการรักษาจรรยาบรรณในการดำเนินงาน | /  |    |
|     ที่ครอบคลุมถึง                                             |    |    |
|                                                            |    |    |
| 1.1.1 การปฏิบัติหน้าที่ประจำวัน และการตัดสินใจในเรื่องต่าง ๆ           |    |    |
|                                                            |    |    |
| 1.1.2 การปฏิบัติต่อคู่ค้า ลูกค้า และบุคคลภายนอก                      |    |    |
+------------------------------------------------------------+----+----+
| 1.2                                                        | /  |    |
| มีข้อกำหนดที่เป็นลายลักษ                                         |    |    |
| ณ์อักษรให้ผู้บริหารและพนักงานปฏิบัติหน้าที่ด้วยความซื่อตรงและรักษาจรรยาบรรณ | /  |    |
| ที่ครอบคลุมถึง                                                 |    |    |
|                                                            | /  |    |
| 1.2.1 มีข้อกำหนดเกี่ยวกับจริยธรรม (code of conduct)              |    |    |
| สำหรับผู้บริหารและพนักงาน ที่เหมาะสม                              | /  |    |
|                                                            |    |    |
| 1.2.2                                                      |    |    |
| มีข้อกำหนดห้ามผู้บริหารและ                                       |    |    |
| พนักงานปฏิบัติตนในลักษณะที่อาจก่อให้เกิดความขัดแย้งทางผลประโยชน์กับกิจการ |    |    |
| ซึ่งรวมถึงการห้ามคอร์รัปชันอันทำให้เกิดความเสียหายต่อองค์กร[2]          |    |    |
|                                                            |    |    |
| 1.2.3 มีบทลงโทษที่เหมาะสมหากมีการฝ่าฝืนข้อกำหนดข้างต้น              |    |    |
|                                                            |    |    |
| 1.2.4                                                      |    |    |
| มีการสื่อสารข้อกำหนดและบทลงโทษข้างต้นให้ผู้บริหารและพนักงานทุกคนรับทราบ |    |    |
| เช่น รวมอยู่ในการปฐมนิเทศพนักงานใหม่                             |    |    |
| ให้พน                                                       |    |    |
| ักงานลงนามรับทราบข้อกำหนดและบทลงโทษเป็นประจำทุกปีรวมทั้งมีการเผยแพร่ |    |    |
| code of conduct ให้แก่พนักงานและบุคคลภายนอกได้รับทราบ            |    |    |
+------------------------------------------------------------+----+----+
| 3.  มีกระบวนการติดตามและประเมินผลการปฏิบัติตาม Code of Conduct   | /  |    |
|                                                            |    |    |
| 1.3.1                                                      | /  |    |
| การติดตา                                                    |    |    |
| มและประเมินผลโดยหน่วยงานตรวจสอบภายในหรือหน่วยงานกำกับดูแลการปฏิบัติ | /  |    |
| (compliance unit)                                          |    |    |
|                                                            |    |    |
| 1.3.2 การประเมินตนเองโดยผู้บริหารและพนักงาน                     |    |    |
|                                                            |    |    |
| 1.3.3 การประเมินโดยผู้เชี่ยวชาญที่เป็นอิสระจากภายนอกองค์กร           |    |    |
+------------------------------------------------------------+----+----+
| 4.  มีการจัดการอย่างทันเวลา                                    | /  |    |
|                                                            |    |    |
| หากพบการไม่ปฏิบัติตามข้อกำหนดเกี่ยวกับความซื่อตรงและการรักษาจรรยาบรรณ | /  |    |
|                                                            |    |    |
| 1.4.1                                                      | /  |    |
| มีกระบวนการที่ทำให้สามารถตรวจพบการฝ่าฝืนได้ภายในเวลาที่เหมาะสม      |    |    |
| 1.4.2                                                      |    |    |
| ม                                                          |    |    |
| ีกระบวนการที่ทำให้สามารถลงโทษหรือจัดการกับการฝ่าฝืนได้อย่างเหมาะสมและ |    |    |
|                                                            |    |    |
| ภายในเวลาอันควร                                             |    |    |
|                                                            |    |    |
| 1.4.3                                                      |    |    |
| มีการแ                                                      |    |    |
| ก้ไขการกระทำที่ขัดต่อหลักความซื่อตรงและการรักษาจรรยาบรรณอย่างเหมาะสม |    |    |
| และภายในเวลาอันควร                                          |    |    |
+------------------------------------------------------------+----+----+

1.  คณะกรรมการมีความเป็นอิสระจากฝ่ายบริหาร และทำหน้าที่กำกับดูแล (Oversight)
    และพัฒนาการดำเนินการด้านการควบคุมภายใน

  ----------------------------------------------------------------------------------------------------------
  คำถาม                                                                                         ใช่    ไม่ใช่
  --------------------------------------------------------------------------------------------- ----- ------
  2.1 มีการกำหนดบทบาทหน้าที่ของคณะกรรมการแยกจากฝ่ายบริหาร                                             /     
  โดยได้สงวนสิทธิ์อำนาจเฉพาะของคณะกรรมการไว้อย่างชัดเจน                                                      

  2.2 คณะกรรมการกำกับดูแลให้มีการกำหนดเป้าหมายการดำเนินธุรกิจที่ชัดเจนและวัดผลได้                            /     
  เพื่อเป็นแนวทางในการปฏิบัติงานของผู้บริหารและพนักงาน                                                          

  2.3 คณะกรรมการกำกับดูแลให้บริษัทกำหนดบทบาทหน้าที่ของคณะกรรมการและผู้บริหารให้ถูกต้องตามกฎหมาย กฎบัตร         /     
  ซึ่งครอบคลุมบทบาทที่สำคัญของคณะกรรมการตรวจสอบ ผู้สอบบัญชี ผู้ตรวจสอบภายใน และผู้รับผิดชอบต่อรายงานทางการเงิน          

  2.4 คณะกรรมการเป็นผู้มีความรู้เกี่ยวกับธุรกิจของบริษัท และมีความเชี่ยวชาญที่เป็นประโยชน์ต่อบริษัท                    /     
  หรือสามารถขอคำแนะนำจากผู้เชี่ยวชาญในเรื่องนั้นๆได้                                                            

  2.5 คณะกรรมการประกอบด้วยกรรมการอิสระที่มีความรู้ ความสามารถน่าเชื่อถือ                                   /     
  และมีความเป็นอิสระในการปฏิบัติหน้าที่อย่างแท้จริง เช่น ไม่มีความสัมพันธ์ทางธุรกิจกับบริษัท ไม่มีความสัมพันธ์อื่นใด                
  อันอาจมีอิทธิพลต่อการใช้ดุลยพินิจและปฏิบัติหน้าที่อย่างเป็นอิสระในจำนวนที่เหมาะสมเพียงพอ                                 

  2.6                                                                                           /     
  คณะกรรมการกำกับดูแลการพัฒนาและปฏิบัติเรื่องการควบคุมภายในในองค์กรซึ่งครอบคลุมทั้งการสร้างสภาพแวดล้อมการควบคุม         
  การประเมินความเสี่ยง กิจกรรมการควบคุม ข้อมูลและการสื่อสาร และการติดตาม                                        
  ----------------------------------------------------------------------------------------------------------

2.  ฝ่ายบริหารได้จัดให้มีโครงสร้างสายการรายงาน
    การกำหนดอำนาจในการสั่งการและความรับผิดชอบ

ที่เหมาะสมเพื่อให้องค์กรบรรลุวัตถุประสงค์ ภายใต้การกำกับดูแล (oversight)
ของคณะกรรมการ

  ----------------------------------------------------------------------------
  คำถาม                                                           ใช่    ไม่ใช่
  --------------------------------------------------------------- ----- ------
  3.1                                                             /     
  ผู้บริหารระดับสูงกำหนดโครงสร้างองค์กรที่สนับสนุนการบรรลุวัตถุประสงค์ของบริษัท          
  โดยพิจารณาถึงความเหมาะสมทั้งทางธุรกิจและกฎหมาย                              
  รวมถึงการจัดให้มีการควบคุมภายในอย่างมีประสิทธิภาพ เช่น                          
  แบ่งแยกหน้าที่ในส่วนงานที่สำคัญ ซึ่งทำให้เกิดการตรวจสอบถ่วงดุลระหว่างกัน              
  มีงานตรวจสอบภายในที่ขึ้นตรงกับกรรมการตรวจสอบ และมีสายการรายงานที่ชัดเจน         
  เป็นต้น                                                                 

  3.2 ผู้บริหารระดับสูงกำหนดสายการรายงานในบริษัท                         /     
  โดยพิจารณาถึงความเหมาะสมเกี่ยวกับอำนาจหน้าที่ ความรับผิดชอบ                     
  และการสื่อสารข้อมูล                                                       

  3.3 มีการกำหนด มอบหมาย                                           /     
  และจำกัดอำนาจหน้าที่และความรับผิดชอบอย่างเหมาะสมระหว่างคณะกรรมการบริษัท         
  ผู้บริหารระดับสูง ผู้บริหาร และพนักงาน                                         
  ----------------------------------------------------------------------------

3.  องค์กรแสดงถึงความมุ่งมั่นในการจูงใจ พัฒนาและรักษาบุคลากรที่มีความรู้ความสามารถ

  ------------------------------------------------------------------------------------------- ----- ------
  คำถาม                                                                                       ใช่    ไม่ใช่

  4.1 บริษัทมีนโยบายและวิธีการปฏิบัติเพื่อจัดหา พัฒนา และรักษาบุคลากรที่มีความรู้และความสามารถที่เหมาะสม           /     
  และมีกระบวนการสอบทานนโยบายและวิธีการปฏิบัตินั้นอย่างสม่ำเสมอ                                                

  4.2 บริษัทมีกระบวนการประเมินผลการปฏิบัติงาน การให้แรงจูงใจหรือรางวัลต่อบุคลากรที่มีผลการปฏิบัติงานดี            /     
  และการจัดการต่อบุคลากรที่มีผลงานไม่บรรลุเป้าหมาย รวมถึง การสื่อสารกระบวนการเหล่านี้ให้ผู้บริหารและพนักงานทราบ         

  4.3                                                                                         /     
  บริษัทมีกระบวนการแก้ไขปัญหาหรือเตรียมพร้อมสำหรับการขาดบุคลากรที่มีความรู้และความสามารถที่เหมาะสมอย่างทันเวลา         

  4.4 บริษัทมีกระบวนการสรรหา พัฒนา และรักษาผู้บริหารและพนักงานทุกคน เช่น การจัดระบบที่ปรึกษา (mentoring)     /     
  และการฝึกอบรม                                                                                      

  4.5 บริษัทมีแผนและกระบวนการสรรหาผู้สืบทอดตำแหน่ง (succession plan) ที่สำคัญ                           /     
  ------------------------------------------------------------------------------------------- ----- ------

4.  องค์กรกำหนดให้บุคลากรมีหน้าที่และความรับผิดชอบในการควบคุมภายใน
    เพื่อให้บรรลุตามวัตถุประสงค์ขององค์กร

  -----------------------------------------------------------------------------------------------------------------------------------------
  คำถาม                                                                                                                        ใช่    ไม่ใช่
  ---------------------------------------------------------------------------------------------------------------------------- ----- ------
  5.1 คณะกรรมการและผู้บริหารมีกระบวนการและการสื่อสารเชิงบังคับให้บุคลากรทุกคนมีความรับผิดชอบต่อการควบคุมภายใน                                   /     
  และจัดให้มีการปรับปรุงแก้ไขกระบวนการปฏิบัติในกรณีที่จำเป็น                                                                                      

  5.2 คณะกรรมการและผู้บริหารกำหนดตัวชี้วัดผลการปฏิบัติงาน การสร้างแรงจูงใจ และการให้รางวัล ที่เหมาะสม โดยพิจารณาทั้งเรื่องการปฏิบัติตาม Code of        /     
  Conduct และวัตถุประสงค์ในระยะสั้นและระยะยาวของบริษัท                                                                                      

  5.3                                                                                                                          /     
  คณะกรรมการและผู้บริหารประเมินแรงจูงใจและการให้รางวัลอย่างต่อเนื่องโดยเน้นให้สามารถเชื่อมโยงกับความสำเร็จของหน้าที่ในการปฏิบัติตามการควบคุมภายในด้วย         

  5.4 คณะกรรมการและผู้บริหารได้พิจารณาไม่ให้มีการสร้างแรงกดดันที่มากเกินไป                                                                  /     
  ในการปฏิบัติหน้าที่ของบุคลากรแต่ละคน                                                                                                       
  -----------------------------------------------------------------------------------------------------------------------------------------

  -----------------------------------------------------------------------
  การประเมินความเสี่ยง (Risk Assessment)

  -----------------------------------------------------------------------

5.  องค์กรกำหนดวัตถุประสงค์ไว้อย่างชัดเจนเพียงพอ
    เพื่อให้สามารถระบุและประเมินความเสี่ยงต่างๆ
    ที่เกี่ยวข้องกับการบรรลุวัตถุประสงค์ขององค์กร

  -----------------------------------------------------------------------------
  คำถาม                                                            ใช่    ไม่ใช่
  ---------------------------------------------------------------- ----- ------
  6.1 บริษัทสามารถปฏิบัติตามมาตรฐานการบัญชีที่รับรองโดยทั่วไป                  /     
  และเหมาะสมกับธุรกิจในขณะนั้น                                                
  โดยแสดงได้ว่ารายการในรายงานทางการเงินมีตัวตนจริง                             
  ครบถ้วนแสดงถึงสิทธิหรือภาระผูกพันของบริษัทได้ถูกต้อง มีมูลค่าเหมาะสม                  
  และเปิดเผยข้อมูลครบถ้วนถูกต้อง                                               

  6.2 บริษัทกำหนดสาระสำคัญของรายการทางการเงิน โดยพิจารณาถึงปัจจัยที่สำคัญ เช่น /     
  ผู้ใช้รายงานทางการเงิน ขนาดของรายการ แนวโน้มของธุรกิจ                         

  6.3                                                              /     
  รายงานทางการเงินของบริษัทสะท้อนถึงกิจกรรมการดำเนินงานของบริษัทอย่างแท้จริง         

  6.4 คณะกรรมการหรือคณะกรรมการบริหารความเสี่ยง อนุมัติและสื่อสารนโยบาย      /     
  การบริหารความเสี่ยงให้ผู้บริหารและพนักงานทุกคนรับทราบและถือปฏิบัติ                   
  จนเป็นส่วนหนึ่งของวัฒนธรรมขององค์กร                                          
  -----------------------------------------------------------------------------

6.  องค์กรระบุและวิเคราะห์ความเสี่ยงทุกประเภทที่อาจกระทบต่อการบรรลุวัตถุประสงค์ไว้อย่างครอบคลุมทั่วทั้งองค์กร

  ---------------------------------------------------------------------------------
  คำถาม                                                                ใช่    ไม่ใช่
  -------------------------------------------------------------------- ----- ------
  7.1 บริษัทระบุความเสี่ยงทุกประเภทซึ่งอาจมีผลกระทบต่อการดำเนินธุรกิจทั้งระดับองค์กร    /     
  หน่วยธุรกิจ ฝ่ายงาน และหน้าที่งานต่าง ๆ                                            

  7.2                                                                  /     
  บริษัทวิเคราะห์ความเสี่ยงทุกประเภทที่อาจเกิดจากทั้งปัจจัยภายในและปัจจัยภายนอกองค์กร         
  ซึ่งรวมถึงความเสี่ยงด้านกลยุทธ์ การดำเนินงาน การรายงาน การปฏิบัติตามกฎเกณฑ์             
  และด้านเทคโนโลยีสารสนเทศ                                                     

  7.3 ผู้บริหารทุกระดับมีส่วนร่วมในการบริหารความเสี่ยง                            /     

  7.4 บริษัทได้ประเมินความสำคัญของความเสี่ยง โดยพิจารณาทั้งโอกาสเกิดเหตุการณ์       /     
  และผลกระทบที่อาจเกิดขึ้น                                                        

  7.5 บริษัทมีมาตรการและแผนปฏิบัติงานเพื่อจัดการความเสี่ยง                        /     
  โดยอาจเป็นการยอมรับความเสี่ยงนั้น (acceptance) การลดความเสี่ยง (reduction)         
  การหลีกเลี่ยงความเสี่ยง (avoidance) หรือการร่วมรับความเสี่ยง (sharing)               
  ---------------------------------------------------------------------------------

7.  องค์กรได้พิจารณาถึงโอกาสที่จะเกิดการทุจริต
    ในการประเมินความเสี่ยงที่จะบรรลุวัตถุประสงค์ ขององค์กร

  ---------------------------------------------------------------------------------
  คำถาม                                                                ใช่    ไม่ใช่
  -------------------------------------------------------------------- ----- ------
  8.1 บริษัทประเมินโอกาสที่จะเกิดการทุจริตขึ้น โดยครอบคลุมการทุจริตแบบต่างๆ เช่น      /     
  การจัดทำรายงานทางการเงินเท็จ การทำให้สูญเสียทรัพย์สิน การคอร์รัปชัน                    
  การที่ผู้บริหารสามารถฝ่าฝืนระบบควบคุมภายใน (management override of internal        
  controls) การเปลี่ยนแปลงข้อมูลในรายงานที่สำคัญ                                    
  การได้มาหรือใช้ไปซึ่งทรัพย์สินโดยไม่ถูกต้อง เป็นต้น                                     

  8.2 บริษัทได้ทบทวนเป้าหมายการปฏิบัติงานอย่างรอบคอบ                           /     
  โดยพิจารณาความเป็นไปได้ของเป้าหมายที่กำหนดแล้ว                                    
  รวมทั้งได้พิจารณาความสมเหตุสมผลของการให้สิ่งจูงใจหรือลตอบแทนแก่พนักงานแล้วด้วยว่า         
  ไม่มีลักษณะส่งเสริมให้พนักงานกระทำไม่เหมาะสม เช่น                                   
  ไม่ตั้งเป้าหมายยอดขายของบริษัทไว้สูงเกินความเป็นจริง                                  
  จนทำให้เกิดแรงจูงใจในการตกแต่งตัวเลขยอดขาย                                      

  8.3 คณะกรรมการตรวจสอบได้พิจารณาและสอบถามผู้บริหารเกี่ยวกับโอกาสในการเกิดทุจริต  /     
  และมาตรการที่บริษัทดำเนินการเพื่อป้องกันหรือแก้ไขการทุจริต                              

  8.4 บริษัทได้สื่อสารให้พนักงานทุกคนเข้าใจและปฏิบัติตามนโยบายและแนวปฏิบัติที่กำหนดไว้   /     
  ---------------------------------------------------------------------------------

8.  องค์กรสามารถระบุและประเมินความเปลี่ยนแปลงที่อาจมีผลกระทบต่อระบบการควบคุมภายใน

  ------------------------------------------------------------ ----- ------
  คำถาม                                                        ใช่    ไม่ใช่

  9.1 บริษัทประเมินการเปลี่ยนแปลงปัจจัยภายนอกองค์กร                    /     
  ที่อาจมีผลกระทบต่อการดำเนินธุรกิจ การควบคุมภายใน และรายงานทางการเงิน        
  ตลอดจนได้กำหนดมาตรการตอบสนองต่อการเปลี่ยนแปลงนั้นอย่างเพียงพอแล้ว           

  9.2 บริษัทประเมินการเปลี่ยนแปลงรูปแบบการทำธุรกิจ                     /     
  ที่อาจมีผลกระทบต่อการดำเนินธุรกิจ การควบคุมภายใน และรายงานทางการเงิน        
  ตลอดจนได้กำหนดมาตรการตอบสนองต่อการเปลี่ยนแปลงนั้นอย่างเพียงพอแล้ว           

  9.3 บริษัทประเมินการเปลี่ยนแปลงผู้นำองค์กร                           /     
  ที่อาจมีผลกระทบต่อการดำเนินธุรกิจ การควบคุมภายใน และรายงานทางการเงิน        
  ตลอดจนได้กำหนดมาตรการตอบสนองต่อการเปลี่ยนแปลงนั้นอย่างเพียงพอแล้ว           
  ------------------------------------------------------------ ----- ------

  -----------------------------------------------------------------------
  การควบคุมการปฏิบัติงาน (Control Activities)

  -----------------------------------------------------------------------

9.  องค์กรมีมาตรการควบคุมที่ช่วยลดความเสี่ยงที่จะไม่บรรลุวัตถุประสงค์ขององค์กร
    ให้อยู่ในระดับ ที่ยอมรับได้

+-----------------------------------------------------------+----+----+
| คำถาม                                                     | ใช่ | ไม |
|                                                           |    | ่ใช่ |
+===========================================================+====+====+
| 10.1 มาตรการควบคุมของบริษัทมีความเหมาะสมกับความเสี่ยง            | /  |    |
| และลักษณะเฉพาะขององค์กร เช่น สภาพแวดล้อม ความซับซ้อนของงาน      |    |    |
| ลักษณะงาน ขอบเขตการดำเนินงาน รวมถึงลักษณะเฉพาะอื่น              |    |    |
+-----------------------------------------------------------+----+----+
| 10.2 บริษัทมีมาตรการควบคุมภายในที่กำหนดเป็นลายลักษณ์อักษร           | /  |    |
| และครอบคลุมกระบวนการต่างๆ อย่างเหมาะสม เช่น                   |    |    |
| มีนโยบายและระเบียบวิธีปฏิบัติงานเกี่ยวกับธุรกรรมด้านการเงิน การจัดซื้อ    | /  |    |
| และการบริหารทั่วไป ตลอดจนกำหนดขอบเขต อำนาจหน้าที่               |    |    |
| และลำดับชั้นการอนุมัติของผู้บริหารในแต่ละระดับไว้อย่างชัดเจน รัดกุม       | /  |    |
| เพื่อให้สามารถป้องกันการทุจริตได้ เช่น                             |    |    |
| มีการกำหนดขนาดวงเงินและอำนาจอนุมัติของผู้บริหารแต่ละระดับ           |    |    |
| ขั้นตอนในการอนุมัติโครงการลงทุน ขั้นตอนการจัดซื้อและวิธีการคัดเลือกผู้ขาย  |    |    |
| การบันทึกข้อมูลรายละเอียดการตัดสินใจจัดซื้อ ขั้นตอนการเบิกจ่ายวัสดุอุปกรณ์  |    |    |
| หรือ การเบิกใช้เครื่องมือต่างๆ เป็นต้น                             |    |    |
| โดยได้จัดให้มีกระบวนการสำหรับกรณีต่าง ๆ ดังนี้                      |    |    |
|                                                           |    |    |
| 10.2.1 การเก็บรวบรวมข้อมูลเกี่ยวกับผู้ถือหุ้นรายใหญ่ กรรมการ ผู้บริหาร   |    |    |
| และ                                                       |    |    |
| ผู้ที่เกี่ยวข้องกับบุคคลดังกล่าว รวมทั้งบุคคลที่เกี่ยวโยงกัน                 |    |    |
| เพื่อประโยชน์ในการติดตามและสอบทานการทำรายการระหว่างกัน          |    |    |
| หรือรายการที่อาจมีความขัดแย้งทางผลประโยชน์                       |    |    |
| รวมทั้งมีการปรับปรุงข้อมูลให้เป็นปัจจุบันเสมอ                         |    |    |
|                                                           |    |    |
| 10.2.2                                                    |    |    |
| กรณีที่บริษัทอนุมัติธุร                                            |    |    |
| กรรมหรือทำสัญญากับผู้ที่เกี่ยวข้องในลักษณะที่มีผลผูกพันบริษัทในระยะยาวไปแล้ว |    |    |
| เช่น การทำสัญญาซื้อขายสินค้า การให้กู้ยืม การค้ำประกัน                |    |    |
| บริษัทได้ติดตามให้มั่นใจแล้วว่า                                    |    |    |
| มีการปฏิบัติเป็นไปตามเงื่อนไขที่ตกลงกันไว้ตลอดระยะเวลาที่มีผลผูกพันบริษัท   |    |    |
| เช่น ติดตามการชำระคืนหนี้ตามกำหนด                              |    |    |
| หรือมีการทบทวนความเหมาะสมของสัญญา                            |    |    |
+-----------------------------------------------------------+----+----+
| 10.3 บริษัทกำหนดให้การควบคุมภายในมีความหลากหลายอย่างเหมาะสม เช่น | /  |    |
| การควบคุมแบบ manual และ automated                          |    |    |
| หรือการควบคุมแบบป้องกันและติดตาม                               |    |    |
+-----------------------------------------------------------+----+----+
| 10.4 บริษัทกำหนดให้มีการควบคุมภายในในทุกระดับขององค์กร เช่น ทั้งระดับ | /  |    |
| กลุ่มบริษัท หน่วยธุรกิจ สายงาน ฝ่ายงาน แผนก หรือกระบวนการ          |    |    |
+-----------------------------------------------------------+----+----+
| 10.5 บริษัทมีการแบ่งแยกหน้าที่ความรับผิดชอบในงาน 3 ด้านต่อไปนี้        | /  |    |
| ออกจากกัน                                                  |    |    |
| โดยเด็ดขาด เพื่อเป็นการตรวจสอบซึ่งกันและกัน กล่าวคือ                |    |    |
|                                                           |    |    |
|   (1) หน้าที่อนุมัติ                                            |    |    |
|                                                           |    |    |
|   (2) หน้าที่บันทึกรายการบัญชีและข้อมูลสารสนเทศ และ                |    |    |
|                                                           |    |    |
|   (3) หน้าที่ในการดูแลจัดเก็บทรัพย์สิน                             |    |    |
+-----------------------------------------------------------+----+----+

10. องค์กรเลือกและพัฒนากิจกรรมการควบคุมทั่วไปด้วยระบบเทคโนโลยี เพื่อช่วยสนับสนุน
    การบรรลุวัตถุประสงค์

  --------------------------------------------------------------------------------
  คำถาม                                                               ใช่    ไม่ใช่
  ------------------------------------------------------------------- ----- ------
  11.1 บริษัทควรกำหนดความเกี่ยวข้องกันระหว่างการใช้เทคโนโลยีสารสนเทศ           /     
  ในกระบวนการปฏิบัติงานและการควบคุมทั่วไปของระบบสารสนเทศ                          

  11.2                                                                /     
  บริษัทควรกำหนดการควบคุมของโครงสร้างพื้นฐานของระบบเทคโนโลยีให้มีความเหมาะสม         

  11.3 บริษัทควรกำหนดการควบคุมด้านความปลอดภัยของระบบเทคโนโลยีให้มีความเหมาะสม /     

  11.4 บริษัทควรกำหนดการควบคุมกระบวนการได้มา การพัฒนา                      /     
  และการบำรุงรักษาระบบเทคโนโลยีให้มีความเหมาะสม                                  
  --------------------------------------------------------------------------------

11. องค์กรจัดให้มีกิจกรรมการควบคุมผ่านทางนโยบาย
    ซึ่งได้กำหนดสิ่งที่คาดหวังและขั้นตอนการปฏิบัติ
    เพื่อให้นโยบายที่กำหนดไว้นั้นสามารถนำไปสู่การปฏิบัติได้

  -------------------------------------------------------------------------------------------
  คำถาม                                                                          ใช่    ไม่ใช่
  ------------------------------------------------------------------------------ ----- ------
  12.1 บริษัทมีนโยบายที่รัดกุมเพื่อติดตามให้การทำธุรกรรมของผู้ถือหุ้นรายใหญ่ กรรมการ ผู้บริหาร        /     
  หรือผู้ที่เกี่ยวข้องกับบุคคลดังกล่าว ต้องผ่านขั้นตอนการอนุมัติที่กำหนด เช่น ข้อบังคับของบริษัท                  
  เกณฑ์ของตลาดหลักทรัพย์แห่งประเทศไทย เกณฑ์ของสำนักงาน ฯลฯ                                    
  เพื่อป้องกันการหาโอกาสหรือนำผลประโยชน์ของบริษัทไปใช้ส่วนตัว                                     

  12.2 บริษัทมีนโยบายเพื่อให้การพิจารณาอนุมัติธุรกรรมกระทำโดยผู้ที่ไม่มีส่วนได้เสียในธุรกรรมนั้น        /     

  12.3 บริษัทมีนโยบายเพื่อให้การพิจารณาอนุมัติธุรกรรมคำนึงถึงประโยชน์สูงสุดของบริษัทเป็นสำคัญ        /     
  และพิจารณาโดยถือเสมือนเป็นรายการที่กระทำกับบุคคลภายนอก (at arms’ length basis)               

  12.4 บริษัทมีกระบวนการติดตามดูแลการดำเนินงานของบริษัทย่อยหรือบริษัทร่วม                     /     
  รวมทั้งกำหนดแนวทางให้บุคคลที่บริษัทแต่งตั้งให้เป็นกรรมการหรือผู้บริหาร ในบริษัทย่อยหรือร่วมนั้น ถือปฏิบัติ       
  (หากบริษัทไม่มีเงินลงทุนในบริษัทย่อยหรือบริษัทร่วมไม่ต้องตอบข้อนี้)                                    

  12.5                                                                           /     
  บริษัทกำหนดหน้าที่และความรับผิดชอบในการนำนโยบายและกระบวนการไปปฏิบัติโดยผู้บริหารและพนักงาน         

  12.6 นโยบายและกระบวนการปฏิบัติของบริษัทได้รับการนำไปใช้ในเวลาที่เหมาะสม                  /     
  โดยบุคลากรที่มีความสามารถ รวมถึงการครอบคลุมกระบวนการแก้ไขข้อผิดพลาดในการปฏิบัติงาน               

  12.7 บริษัททบทวนนโยบายและกระบวนการปฏิบัติให้มีความเหมาะสมอยู่เสมอ                       /     
  -------------------------------------------------------------------------------------------

  -----------------------------------------------------------------------
  ระบบสารสนเทศและการสื่อสารข้อมูล (Information & Communication)

  -----------------------------------------------------------------------

12. องค์กรข้อมูลที่เกี่ยวข้องและมีคุณภาพ
    เพื่อสนับสนุนให้การควบคุมภายในสามารถดำเนินไปได้ตาม ที่กำหนดไว้

+------------------------------------------------------------+----+----+
| คำถาม                                                      | ใช่ | ไม |
|                                                            |    | ่ใช่ |
+============================================================+====+====+
| 13.1 บริษัทกำหนดข้อมูลที่ต้องการใช้ในการดำเนินงาน                   | /  |    |
| ทั้งข้อมูลจากภายในและภายนอกองค์กร ที่มีคุณภาพและเกี่ยวข้องต่องาน        |    |    |
+------------------------------------------------------------+----+----+
| 13.2 บริษัทพิจารณาทั้งต้นทุนและประโยชน์ที่จะได้รับ                     | /  |    |
| รวมถึงปริมาณและความถูกต้องของข้อมูล                              |    |    |
+------------------------------------------------------------+----+----+
| 13.3                                                       | /  |    |
| บริษัทดำเนินกา                                                |    |    |
| รเพื่อให้คณะกรรมการมีข้อมูลที่สำคัญอย่างเพียงพอสำหรับใช้ประกอบการตัดสินใจ |    |    |
| ตัวอย่างข้อมูลที่สำคัญ เช่น รายละเอียดของเรื่องที่เสนอให้พิจารณา เหตุผล    |    |    |
| ผลกระทบต่อบริษัท ทางเลือกต่าง ๆ                                 |    |    |
+------------------------------------------------------------+----+----+
| 13.4                                                       | /  |    |
| บริษัทดำเนินการเพื่อให้กรรมการบริษัทได้รับหนังสือนัดปร                  |    |    |
| ะชุมหรือเอกสารประกอบการประชุมที่ระบุข้อมูลที่จำเป็นและเพียงพอต่อการพิจาร |    |    |
| ณาก่อนการประชุมล่วงหน้าอย่างน้อยภายในระยะเวลาขั้นต่ำตามที่กฎหมายกำหนด |    |    |
+------------------------------------------------------------+----+----+
| 13.5                                                       | /  |    |
| บริษัทดำเนินการ                                               |    |    |
| เพื่อให้รายงานการประชุมคณะกรรมการมีรายละเอียดตามควรเพื่อให้สามารถตร |    |    |
| วจสอบย้อนหลังเกี่ยวกับความเหมาะสมในการปฏิบัติหน้าที่ของกรรมการแต่ละราย |    |    |
| เช่น การบันทึกข้อซักถามของกรรมการ                               |    |    |
| ความเห็นหรือข้อสังเกตของกรรมการในเรื่องที่พิจารณา                   |    |    |
| ความเห็นของกรรมการรายที่ไม่เห็นด้วยกับเรื่องที่เสนอพร้อมเหตุผล เป็นต้น    |    |    |
+------------------------------------------------------------+----+----+
| 13.6 บริษัทมีการดำเนินการดังต่อไปนี้                               | /  |    |
|                                                            |    |    |
| 13.6.1 มีการจัดเก็บเอกสารสำคัญ ไว้อย่างครบถ้วนเป็นหมวดหมู่           |    |    |
| 13.6.2 กรณีที่ได้รับแจ้งจากผู้สอบบัญชีหรือผู้ตรวจสอบภายในว่ามีข้อบกพร่อง    |    |    |
| ในการควบคุมภายใน บริษัทได้แก้ไขข้อบกพร่องนั้นอย่างครบถ้วนแล้ว          |    |    |
+------------------------------------------------------------+----+----+

13. องค์กรสื่อสารข้อมูลภายในองค์กร ซึ่งรวมถึงวัตถุประสงค์และความรับผิดชอบต่อ
    การควบคุมภายในที่จำเป็นต่อการสนับสนุนให้การควบคุมภายในสามารถดำเนินไปได้ตามที่วางไว้

  -------------------------------------------------------------------------------------------------------------- ----- ------
  คำถาม                                                                                                          ใช่    ไม่ใช่

  14.1 บริษัทมีกระบวนการสื่อสารข้อมูลภายในอย่างมีประสิทธิภาพ และมีช่องทางการสื่อสารที่เหมาะสม เพื่อสนับสนุนการควบคุมภายใน              /     

  14.2                                                                                                           /     
  บริษัทมีการรายงานข้อมูลที่สำคัญถึงคณะกรรมการบริษัทอย่างสม่ำเสมอและคณะกรรมการบริษัทสามารถเข้าถึงแหล่งสารสนเทศที่จำเป็นต่อการปฏิบัติงาน         
  หรือสอบทานรายการต่าง ๆ ตามที่ต้องการ เช่น การกำหนดบุคคลที่เป็นศูนย์ติดต่อเพื่อให้สามารถติดต่อขอข้อมูลอื่นนอกจากที่ได้รับจากผู้บริหาร               
  รวมทั้งการติดต่อสอบถามข้อมูลจากผู้สอบบัญชี ผู้ตรวจสอบภายใน การจัดประชุมระหว่างคณะกรรมการและผู้บริหารตามที่คณะกรรมการร้องขอ                
  การจัดกิจกรรมพบปะหารือระหว่างคณะกรรมการและผู้บริหารนอกเหนือจากการประชุมคณะกรรมการ เป็นต้น                                       

  14.3 บริษัทจัดให้มีช่องทางการสื่อสารพิเศษหรือช่องทางลับเพื่อให้บุคคลต่าง ๆ                                                      /     
  ภายในบริษัทสามารถแจ้งข้อมูลหรือเบาะแสเกี่ยวกับการฉ้อฉลหรือทุจริตภายในบริษัท (whistle-blower hotline) ได้อย่างปลอดภัย                   
  -------------------------------------------------------------------------------------------------------------- ----- ------

14. องค์กรได้สื่อสารกับหน่วยงานภายนอก เกี่ยวกับประเด็นที่อาจมีผลกระทบต่อการควบคุมภายใน

  ------------------------------------------------------------------------------------------------------------ ----- ------
  คำถาม                                                                                                        ใช่    ไม่ใช่

  15.1 บริษัทมีกระบวนการสื่อสารข้อมูลกับผู้มีส่วนได้เสียภายนอกองค์กรอย่างมีประสิทธิภาพ และมีช่องทางการสื่อสารที่เหมาะสม                 /     
  เพื่อสนับสนุนการควบคุมภายใน เช่น จัดให้มีเจ้าหน้าที่หรือหน่วยงานนักลงทุนสัมพันธ์ ศูนย์รับเรื่องร้องเรียน เป็นต้น                                

  15.2                                                                                                         /     
  บริษัทจัดให้มีช่องทางการสื่อสารพิเศษหรือช่องทางลับเพื่อให้ผู้มีส่วนได้เสียภายนอกองค์กรสามารถแจ้งข้อมูลหรือเบาะแสเกี่ยวกับการฉ้อฉลหรือทุจริต         
  (whistle-blower hotline) แก่บริษัทได้อย่างปลอดภัย                                                                        
  ------------------------------------------------------------------------------------------------------------ ----- ------

  -----------------------------------------------------------------------
  ระบบการติดตาม (Monitoring Activities)

  -----------------------------------------------------------------------

15. องค์กรติดตามและประเมินผลการควบคุมภายใน
    เพื่อให้มั่นใจได้ว่าการควบคุมภายในยังดำเนินไปอย่างครบถ้วนเหมาะสม

  --------------------------------------------------------------------------------------------------------------------------
  คำถาม                                                                                                         ใช่    ไม่ใช่
  ------------------------------------------------------------------------------------------------------------- ----- ------
  16.1                                                                                                          /     
  บริษัทจัดให้มีกระบวนการติดตามการปฏิบัติตามจริยธรรมธุรกิจและข้อกำหนดห้ามฝ่ายบริหารและพนักงานปฏิบัติตนในลักษณะที่อาจก่อให้เกิดความขัดแย้ง         
  ทางผลประโยชน์ เช่น กำหนดให้แต่ละส่วนงานติดตามการปฏิบัติ และรายงานผู้บังคับบัญชา หรือมอบหมายให้หน่วยงานตรวจสอบภายในติดตามการปฏิบัติ       
  และรายงานต่อคณะกรรมการตรวจสอบเป็นต้น                                                                                   

  16.2 บริษัทจัดให้มีการตรวจสอบการปฏิบัติตามระบบการควบคุมภายในที่วางไว้ โดยการประเมินตนเอง                                   /     
  และ/หรือการประเมินอิสระโดยผู้ตรวจสอบภายใน                                                                                

  16.3 ความถี่ในการติดตามและประเมินผลมีความเหมาะสมกับการเปลี่ยนแปลงของบริษัท                                              /     

  16.4 ดำเนินการติดตามและประเมินผลระบบการควบคุมภายใน โดยผู้ที่มีความรู้และความสามารถ                                       /     

  16.5 บริษัทกำหนดแนวทางการรายงานผลการตรวจสอบภายในให้ขึ้นตรงต่อคณะกรรมการตรวจสอบ                                      /     

  16.6 บริษัทส่งเสริมให้ผู้ตรวจสอบภายในปฏิบัติหน้าที่ตามมาตรฐานสากลการปฏิบัติงานวิชาชีพการตรวจสอบภายใน (International Standards   /     
  for the Professional Practice of Internal Auditing, IIA)                                                            
  --------------------------------------------------------------------------------------------------------------------------

16. องค์กรประเมินและสื่อสารข้อบกพร่องของการควบคุมภายในอย่างทันเวลาต่อบุคคลที่รับผิดชอบ
    ซึ่งรวมถึงผู้บริหารระดับสูงและคณะกรรมการตามความเหมาะสม

+------------------------------------------------------------+----+----+
| คำถาม                                                      | ใช่ | ไม |
|                                                            |    | ่ใช่ |
+------------------------------------------------------------+----+----+
| 17.1 บริษัทประเมินผลและสื่อสารข้อบกพร่องของการควบคุมภายใน          | /  |    |
| และดำเนินการเพื่อติดตามแก้ไขอย่างทันท่วงที                          |    |    |
| หากผลการดำเนินงานที่เกิดขึ้นแตกต่างจากเป้าหมายที่กำหนดไว้อย่างมีนัยสำคัญ  |    |    |
+------------------------------------------------------------+----+----+
| 17.2 บริษัทมีนโยบายการรายงาน ดังนี้                              | /  |    |
|                                                            |    |    |
| 17.2.1 ฝ่ายบริหารต้องรายงานต่อคณะกรรมการบริษัทโดยพลัน             | /  |    |
| ในกรณีที่เกิดเหตุการณ์หรือสงสัยว่ามีเหตุการณ์ทุจริตอย่างร้ายแรง            |    |    |
| มีการปฏิบัติที่ฝ่าฝืนกฎหมาย หรือมีการกระทำที่ผิดปกติอื่นๆ                  | /  |    |
| ซึ่งอาจกระทบต่อชื่อเสียงและฐานะการเงินของบริษัทอย่างมีนัยสำคัญ          |    |    |
|                                                            |    |    |
| 17.2.2 รายงานข้อบกพร่องที่เป็นสาระสำคัญ พร้อมแนวทางการแก้ไขปัญหา    |    |    |
| (แม้ว่าจะได้เริ่มดำเนินการจัดการแล้ว)                              |    |    |
| ต่อคณะกรรมการบริษัท/คณะกรรมการตรวจสอบ                         |    |    |
| เพื่อพิจารณาภายในระยะเวลาอันควร                                |    |    |
|                                                            |    |    |
| 17.2.3                                                     |    |    |
| รายงานความคืบหน้าในก                                         |    |    |
| ารปรับปรุงข้อบกพร่องที่เป็นสาระสำคัญต่อคณะกรรมการ/คณะกรรมการตรวจสอบ |    |    |
+------------------------------------------------------------+----+----+

[1] เป็นคณะกรรมการร่วมของสถาบันวิชาชีพ 5 แห่ง ได้แก่
สถาบันผู้สอบบัญชีรับอนุญาตแห่งสหรัฐอเมริกา (AICPA) สถาบันผู้ตรวจสอบภายในสากล
(Institute of Internal Auditors หรือ IIA) สถาบันผู้บริหารการเงิน (Financial
Executives Institute หรือ FEI) สมาคมนักบัญชีแห่งสหรัฐอเมริกา (American
Accounting Association หรือ AAA) และสถาบันนักบัญชีเพื่อการบริหาร (Institute of
Management Accountants หรือ IMA)

[2] บริษัทควรกำหนดการควบคุมภายในตามมาตรการต่อต้านคอร์รัปชันให้เหมาะสมกับความเสี่ยงของบริษัท