แบบประเมินความเพียงพอของระบบควบคุมภายใน

(ปรับปรุงตาม COSO Internal Control – Integrated Framework ปี 2556)

1.  สื่อสารให้พนักงานทราบถึงภารกิจในการสร้างความซื่อสัตย์และจรรยาบรรณ (Demonstrates
    commitment to integrity and ethical values)
    คณะกรรมการบริษัทและผู้บริหารในทุกระดับส่งสัญญาณให้พนักงานอย่างชัดเจนถึงความคาดหวังของผู้มีส่วนได้เสียต่อ
    “จรรยาบรรณทางธุรกิจ” ขององค์กร

+-----------------------------------------------------+-------+-------+
| คำถาม                                               | ใช่    | ไม่ใช่  |
+-----------------------------------------------------+-------+-------+
| 1.1 บริษัทจัดทําข้อกําหนดและบทลงโทษต่อไปนี้ เป็นลายลักษณ์อักษร   |       |       |
|                                                     | ..... | ..... |
| 1.1.1 ข้อกําหนดเกี่ยวกับจริยธรรม (code of conduct)        | ..√.. | ..... |
| สําหรับฝ่ายบริหารและ                                    | ..... | ..... |
|                                                     |       |       |
| พนักงาน                                              |       |       |
|                                                     | ..... | ..... |
| 1.1.2                                               | ..√.. | ..... |
| ข้อกําหนดห้ามผู้บริหารและพนักงานป                          | ..... | ..... |
| ฏิบัติตนในลักษณะที่อาจก่อให้เกิดความขัดแย้งทางผลประโยชน์กับกิจการ |       |       |
| ซึ่งรวมถึงการทุจริตคอร์รัปชั่นอันทําให้เกิดความเสียหายต่อองค์กร3    |       |       |
|                                                     | ..... | ..... |
| 1.1.3 บทลงโทษหากมีการฝ่าฝืนข้อกําหนดข้างต้น                | ..√.. | ..... |
|                                                     | ..... | ..... |
| 1.1.4 ทบทวนข้อกําหนดและบทลงโทษ                        |       |       |
|                                                     |       |       |
|                                                     | ..... | ..... |
|                                                     | ..√.. | ..... |
|                                                     | ..... | ..... |
+-----------------------------------------------------+-------+-------+
| 1.2 บริษัทจัดให้มีกระบวนการสื่อสารข้อกําหนดและบทลงโทษตามข้อ   |       |       |
| 1.1 ให้ฝ่ายบริหารและพนักงานทุกคนได้รับทราบ เช่น             | ..... |  .... |
| รวมอยู่ในการปฐมนิเทศพนัก                                | ..... | ...√. |
| งานใหม่ให้พนักงานเซ็นรับทราบข้อกําหนดและบทลงโทษเป็นประจําทุกปี | ..... | ..... |
| หรือเผยแพร่ code of conduct                           |       |       |
| ให้แก่พนักงานและบุคคลภายนอกได้รับทราบ                     |       |       |
+-----------------------------------------------------+-------+-------+

2.  คณะกรรมการบริษัทมีความเป็นอิสระในการทำหน้าที่บริหารจัดการ (Exercises oversight
    responsibility) คณะกรรมการบริษัทมีความเป็นอิสระจากหน้าที่การบริหารจัดการ

+-----------------------------------------------------+-------+-------+
| คำถาม                                               | ใช่    | ไม่ใช่  |
+-----------------------------------------------------+-------+-------+
| 2.1                                                 |       |       |
| คณะกรร                                              |  .... | ..... |
| มการบริษัทกํากับดูแลให้บริษัทกําหนดเป้าหมายการดําเนินธุรกิจที่ชัดเจน | ...√. | ..... |
| และวัดผลได้                                           | ..... | ..... |
| เพื่อเป็นแนวทางในการปฏิบัติงานของผู้บริหารและพนักงาน          |       |       |
+-----------------------------------------------------+-------+-------+
| 2.2                                                 |       |       |
| คณะกรรมการบริษัทได้ทบทวนเป้าหมายการปฏิบัติงานอย่างรอบคอบ    |  .... | ..... |
| รวมถึง พิจารณาถึงความเป็นไปได้ของเป้าหมายที่กําหนด           | ...√. | ..... |
| ตลอดจนได้วิเคร                                        | ..... | ..... |
| าะห์ถึงความสมเหตุสมผลของการให้สิ่งจูงใจหรือผลตอบแทนแก่พนักงาน |       |       |
| ว่าไม่ส่งเสริมลักษณะที่อาจนําไปสู่การกระทําที่ไม่เหมาะสม (เช่น     |       |       |
| ตั้งเป้าหมายยอดขายของบริษัทไว้สูงเกินความเป็นจริง             |       |       |
| ทําให้เกิดแรงจูงใจในการตกแต่งตัวเลขยอดขาย เป็นต้น)          |       |       |
+-----------------------------------------------------+-------+-------+

  3
  บริษัทควรกําหนดการควบคุมภายในตามมาตรการต่อต้านคอร์รัปชั่นให้เหมาะสมกับความเสี่ยงของบริษัท

3.  โครงสร้างองค์กร อำนาจการจัดการ และความรับผิดชอบที่เหมาะสม (Establishes
    structure, authority and responsibility)
    คณะกรรมการบริษัทและผู้บริหารคํานึงถึงโครงการองค์กร การแบ่งสายงาน
    และการรายงานเพื่อให้การบังคับบัญชามีประสิทธิภาพ ทั้งนี้
    ผู้บริหารระดับสูงมีหน้าที่ดูแลงานให้การควบคุมภายในเป็นไปตามเป้าหมายที่กําหนดไว้

+------------------------------------------------------+-------+-------+
| คำถาม                                                | ใช่    | ไม่ใช่  |
+------------------------------------------------------+-------+-------+
| 3.1                                                  |       |       |
| บริษ                                                  |  .... | ..... |
| ัทดําเนินการเพื่อให้มีโครงสร้างองค์กรที่สนับสนุนการดําเนินงานของฝ่าย | ...√. | ..... |
|                                                      | ..... | ..... |
| บริหาร และให้การควบคุมภายในเป็นไปอย่างมีประสิทธิภาพ เช่น      |       |       |
| แบ่งแยกหน้าที่ในส่วนงานที่สําคัญ                              |       |       |
| ซึ่งทําให้เกิดการตรวจสอบถ่วงดุลระหว่างกัน                     |       |       |
| มีงานตรวจสอบภายในที่ขึ้นตรงกับกรรมการตรวจสอบ               |       |       |
| และมีสายการรายงานที่ชัดเจน เป็นต้น                         |       |       |
+------------------------------------------------------+-------+-------+

4.  ภารกิจในการสร้างและรักษาพนักงานที่มีความสามารถ (Demonstrates commitment to
    competence)
    นโยบายและแนวปฏิบัติขององค์กรได้สะท้อนความคาดหวังที่มีต่อพนักงานและผู้บริหารว่าต้องมีความรู้
    ความสามารถ พร้อมที่จะสนับสนุนเป้าหมายขององค์กร ผ่านการฝึกอบรม พัฒนาทักษะความรู้
    ความสามารถ รวมทั้งสามารถรักษาผู้บริหารและพนักงานที่ดีให้อยู่กับองค์กร

+------------------------------------------------------+-------+-------+
| คำถาม                                                | ใช่    | ไม่ใช่  |
+------------------------------------------------------+-------+-------+
| 4.1                                                  |       |       |
| บริษัทมีนโยบายที่จะพัฒนาและรักษาพนักงานและผู้บริหารที่มีคุณภาพไว้ผ่าน |  .... | ..... |
|                                                      | ...√. | ..... |
| การให้แรงจูงใจต่างๆ ที่เหมาะสมกับองค์กร                     | ..... | ..... |
+------------------------------------------------------+-------+-------+
| 4.2 บริษัทมีนโยบายในการหาผู้บริหารมาสืบทอดตําแหน่งที่สําคัญ       |       |       |
| (succession plan)                                    |  .... | ..... |
|                                                      | ...√. | ..... |
| เพื่อให้งานต่างๆ ดําเนินต่อไปได้อย่างมีประสิทธิภาพ               | ..... | ..... |
+------------------------------------------------------+-------+-------+

5.  สนับสนุนให้พนักงานมีความรับผิดชอบ (Enforces accountability)
    คณะกรรมการบริษัทและผู้บริหารได้สร้างกลไกเพื่อสื่อสารให้พนักงานมีความรับผิดชอบต่อหน้าที่และผลงาน
    ตลอดจนมีมาตรวัดความสําเร็จของงาน เพื่อให้รางวัลตอบแทนอย่างเหมาะสม

+------------------------------------------------------+-------+-------+
| คำถาม                                                | ใช่    | ไม่ใช่  |
+------------------------------------------------------+-------+-------+
| 5.1 บริษัทดําเนินการทางด้านบุคลากร                         |       |       |
| เพื่อคัดเลือกบุคลากรที่เหมาะสมมาร่วมงานกับ บริษัท               |  .... | ..... |
| และรักษาบุคลากรที่มีความรู้ความสามารถไว้กับบริษัท ดังต่อไปนี้       | ....√ | ..... |
|                                                      | ..... | ..... |
| 5.1.1 กําหนดระดับความรู้ ทักษะ ความสามารถ และประสบการณ์    |       |       |
| ที่จําเป็นสําหรับ แต่ละตําแหน่งงาน                            |       |       |
|                                                      |  .... | ..... |
| 5.1.2 จัดทําคําพรรณนาลักษณะงาน (Job Description)         | ....√ | ..... |
| เป็นลายลักษณ์อักษร และชี้แจงให้ผู้รับผิดชอบในตําแหน่งหน้าที่นั้นๆ      | ..... | ..... |
| ได้ทราบและเข้าใจถึงหน้าที่และ ความรับผิดชอบ                  |       |       |
|                                                      |       |       |
|                                                      |  .... | ..... |
|                                                      | ....√ | ..... |
|                                                      | ..... | ..... |
+------------------------------------------------------+-------+-------+
| 5.1.3                                                |       |       |
| ให้ความสําคัญกับความซื่อสัตย์และจริยธรรมของบุคลากรที่จะว่าจ้าง เช่น |  .... | ..... |
| มีการตรวจสอบประวัติพนักงาน                               | ....√ | ..... |
| โดยเฉพาะอย่างยิ่งในตําแหน่งที่เกี่ยวข้องกับข้อมูล                 | ..... | ..... |
| สําคัญและการรับจ่ายเงิน                                   |       |       |
|                                                      |       |       |
| 5.1.4                                                |  .... | ..... |
| มอบหน้าท                                              | ....√ | ..... |
| ี่และความรับผิดชอบให้เหมาะสมกับความรู้ความสามารถและประสบการณ์ | ..... | ..... |
|                                                      |       |       |
| 5.1.5                                                |       |       |
| ประเมินผลและกําหนดผลตอบแทนให้เหมาะสมกับผลการปฏิบัติงานและ   |  .... | ..... |
|                                                      | ....√ | ..... |
| ค่างาน                                                | ..... | ..... |
|                                                      |       |       |
| 5.1.6 อบรมพนักงานโดยให้ความรู้และทักษะที่จําเป็นต่อการปฏิบัติงาน  |       |       |
|                                                      |  .... | ..... |
|                                                      | ....√ | ..... |
|                                                      | ..... | ..... |
+------------------------------------------------------+-------+-------+

6.  กำหนดกระบวนการประเมินความเสี่ยงให้สอดคล้องกับวัตถุประสงค์ของการดำเนินธุรกิจ
    (Specifies relevant objectives)
    องค์กรควรกําหนดกระบวนการประเมินความเสี่ยงให้สอดคล้องกับวัตถุประสงค์ของการดําเนินธุรกิจ
    โดยพิจารณาให้ครอบคลุมความเสี่ยงทุกประเภท

+------------------------------------------------------+-------+-------+
| คำถาม                                                | ใช่    | ไม่ใช่  |
+------------------------------------------------------+-------+-------+
| 6.1                                                  |       |       |
| คณะกรรมการบริษัท/คณะ                                   |  .... | ..... |
| กรรมการบริหารความเสี่ยงพิจารณาอนุมัตินโยบายการบริหารความเสี่ยง | ...√. | ..... |
|                                                      | ..... | ..... |
+------------------------------------------------------+-------+-------+
| 6.2                                                  |       |       |
| บริษัทไ                                                |  .... | ..... |
| ด้สื่อสารนโยบายและแนวปฏิบัติในการบริหารความเสี่ยงให้พนักงานทุกคน | ...√. | ..... |
| รับทราบและถือปฏิบัติเพื่อให้เกิดเป็นส่วนหนึ่งของวัฒนธรรมขององค์กรว่า | ..... | ..... |
| ทุกคนมีหน้า                                             |       |       |
| ที่และต้องมีส่วนร่วมดูแลองค์กรร่วมกันผ่านกระบวนการบริหารความเสี่ยง |       |       |
| ที่เข้าใจตรงกัน                                          |       |       |
+------------------------------------------------------+-------+-------+
| 6.3 บริษัทพิจารณาปัจจัยต่างๆ ที่เกี่ยวข้องอย่างครบถ้วนรอบด้าน      |       |       |
|                                                      |  .... | ..... |
|                                                      | ...√. | ..... |
|                                                      | ..... | ..... |
+------------------------------------------------------+-------+-------+

7.  กระบวนการระบุและวิเคราะห์ปัจจัยเสี่ยง (Identifies and analyzes risk)
    องค์กรควรระบุความเป็นไปได้ของเหตุการณ์ที่จะทําให้ไม่บรรลุวัตถุประสงค์จากปัจจัยรอบด้านและในทุกส่วนขององค์กร
    รวมทั้งหามาตรการรองรับหากเกิดเหตุการณ์เหล่านั้นขึ้น

+------------------------------------------------------+-------+-------+
| คำถาม                                                | ใช่    | ไม่ใช่  |
+------------------------------------------------------+-------+-------+
| 7.1 บริษัทพิจารณาและประเมินปัจจัยเสี่ยง                      |       |       |
| ซึ่งอ                                                  |  .... | ..... |
| าจมีผลกระทบต่อการดําเนินธุรกิจของบริษัทอย่างมีนัยสําคัญอย่างรอบด้าน | ...√. | ..... |
| ทั้งจากปัจจัยภายนอกและภายใน และจาก                       | ..... | ..... |
| ทุกหน่วยงาน/หน้าที่ขององค์กร และนํามาซึ่งการบริหารควบคุม        |       |       |
| และติดตาม ดูแล ความเสี่ยงที่เหมาะสม                        |       |       |
+------------------------------------------------------+-------+-------+
| 7.2                                                  |       |       |
| บริษัทได้วิเคราะห์ถึงโอกาสที่จะเกิดเหตุการณ์ที่อาจส่งผลกระทบต่อบริษัท |  .... | ..... |
| หากเกิดเหตุการณ์ตาม 7.1 และจัดลําดับความสําคัญ (risk         | ...√. | ..... |
| mapping)                                             | ..... | ..... |
+------------------------------------------------------+-------+-------+
| 7.3                                                  |       |       |
| บ                                                    |  .... | ..... |
| ริษัทมีมาตรการและแผนปฏิบัติงานรองรับเมื่อได้วิเคราะห์ปัจจัยเสี่ยงแล้ว | ...√. | ..... |
|                                                      | ..... | ..... |
+------------------------------------------------------+-------+-------+

8.  กระบวนการประเมินโอกาสที่อาจเกิดการทุจริต (Assesses fraud risk)
    องค์กรควรระบุถึงโอกาสที่จะเกิดเหตุทุจริตขึ้น โดยพิจารณาจากเหตุที่ทําให้สูญเสียทรัพย์สิน
    เช่น การรายงานที่เป็นเท็จ หรือการไม่ปฏิบัติตามนโยบายและแนวปฏิบัติขององค์กร
    หรือจรรยาบรรณ ทางธุรกิจที่องค์กรได้กําหนดขึ้นจนก่อให้เกิดความเสียหายต่อองค์กร
    ตลอดจนการบริหารจัดการหากเกิดเหตุการณ์ต่างๆ เหล่านี้เกิดขึ้น

+------------------------------------------------------+-------+-------+
| คำถาม                                                | ใช่    | ไม่ใช่  |
+------------------------------------------------------+-------+-------+
| 8.1 บริษัทจัดให้มีการดําเนินการ ดังนี้                         |       |       |
|                                                      |  .... | ..... |
| 8.1.1 การประเมินโอกาสที่จะเกิดการทุจริตขึ้น                  | ...√. | ..... |
| โดยใช้แหล่งข้อมูลรอบด้านทั้งจาก                             | ..... | ..... |
|                                                      |       |       |
| ภายในและภายนอกองค์กร                                  |       |       |
| ทั้งจากข้อมูลในงบการเงินและข้อมูลอื่นที่เกี่ยวข้อง                 |  .... | ..... |
|                                                      | ...√. | ..... |
| 8.1.2 ทบทวนการประเมินโอกาสดังกล่าว                      | ..... | ..... |
|                                                      |       |       |
| 8.1.3                                                |       |       |
| มีนโยบายและแนวปฏิบัติหากพบเหตุการณ์ที่ทุจริตหรืออาจจะนําไปสู่การ   |  .... | ..... |
|                                                      | ...√. | ..... |
| ทุจริตขึ้นอย่างเป็นระบบ                                    | ..... | ..... |
|                                                      |       |       |
| 8.1.4 ทบทวนนโยบายและแนวปฏิบัติดังกล่าว                    |       |       |
|                                                      |  .... | ..... |
|                                                      | ...√. | ..... |
|                                                      | ..... | ..... |
+------------------------------------------------------+-------+-------+
| 8.2                                                  |       |       |
| บริษัทได้สื่อสาร                                          |  .... | ..... |
| ให้พนักงานทุกคนรับทราบและปฏิบัติตามนโยบายและแนวปฏิบัติที่กําหนดไว้ | ...√. | ..... |
|                                                      | ..... | ..... |
+------------------------------------------------------+-------+-------+

9. พิจารณาการเปลี่ยนแปลงของปัจจัยต่างๆ อย่างรอบด้าน (Identifies and analyzes
significant change) กระบวนการหาปัจจัยเสี่ยงควรพิจารณาปัจจัยต่างๆ
รวมทั้งความเปลี่ยนแปลงอื่นๆ ให้รอบด้าน
ที่อาจจะส่งผลกระทบทําให้องค์กรไม่สามารถบรรลุเป้าหมายได้

+------------------------------------------------------+-------+-------+
| คำถาม                                                | ใช่    | ไม่ใช่  |
+------------------------------------------------------+-------+-------+
| 9.1 บริษัทจัดให้มีการดําเนินการดังนี้                          |       |       |
|                                                      |  .... | ..... |
| 9.1.1                                                | ...√. | ..... |
| มาตรการในการติดตามเหตุการณ์ที่เป็นสาเหตุของปัจจัยความเสี่ยง     | ..... | ..... |
|                                                      |       |       |
| 9.1.2 มาตรการในการลดความเสี่ยง                         |       |       |
|                                                      |  .... | ..... |
| 9.1.3 ทบทวนมาตรการดังกล่าว                             | ...√. | ..... |
|                                                      | ..... | ..... |
|                                                      |       |       |
|                                                      |       |       |
|                                                      |  .... | ..... |
|                                                      | ...√. | ..... |
|                                                      | ..... | ..... |
+------------------------------------------------------+-------+-------+
| 9.2                                                  |       |       |
| บริษัทสื่อสารให้พนักงานทุกคนที่เกี่ยวข้องรับทราบและปฏิบัติตามมาตรการ |  .... | ..... |
|                                                      | ...√. | ..... |
| บริหารความเสี่ยงที่กําหนดไว้                                | ..... | ..... |
+------------------------------------------------------+-------+-------+
| 9.3 บริษัทติดตามว่าหน่วยงานต่างๆ                           |       |       |
| ได้ปฏิบัติตามแผนบริหารความเสี่ยงที่กําหนดไว้                    |  .... | ..... |
|                                                      | ...√. | ..... |
|                                                      | ..... | ..... |
+------------------------------------------------------+-------+-------+

10. กระบวนการเพื่อสร้างระบบควบคุมวิธีปฏิบัติงาน (Selects and develops control
    activities) องค์กรควรพัฒนากิจกรรมควบคุมให้เหมาะสมกับปัจจัยเสี่ยงต่างๆ
    เพื่อช่วยลดความเสี่ยงของการไม่ บรรลุวัตถุประสงค์ขององค์กรให้อยู่ในระดับที่เหมาะสม

+------------------------------------------------------+-------+-------+
| คำถาม                                                | ใช่    | ไม่ใช่  |
+------------------------------------------------------+-------+-------+
| 10.1 บริษัทมีการดําเนินการดังต่อไปนี้                         |       |       |
|                                                      |  .... | ..... |
| 10.1.1                                               | ...√. | ..... |
| จัดทําน                                                | ..... | ..... |
| โยบายและระเบียบวิธีปฏิบัติงานในประเด็นเกี่ยวกับธุรกรรมด้านการเงิน |       |       |
| การจัดซื้อ และการบริหารทั่วไป เป็นลายลักษณ์อักษร               |       |       |
| โดยกําหนดขอบเขต อํานาจหน้าที่                             |  .... | ..... |
| และลําดับชั้นการอนุมัติของผู้บริหารในแต่ละระดับไว้อย่างชัดเจน รัดกุม  | ....√ | ..... |
| และสามารถปฺองกันการทุจริต เช่น                            | ..... | ..... |
| กําหนดขนาดวงเงินและผู้มีอํานาจอนุมัติของฝูายบริหารแต่ละระดับ      |       |       |
| กําหนดขั้นตอนในการอน                                    |       |       |
| ุมัติโครงการลงทุนต่างๆกําหนดขั้นตอนการจัดซื้อและวิธีการคัดเลือกผู้ขาย |       |       |
| กําหนดให้บันทึกข้อมูลรายละเอียดการตัดสินใจจัดซื้อ                |       |       |
| กําหนดขั้นตอนการเบิกจ่ายวัสดุอุปกรณ์ หรื อการ                  |       |       |
|                                                      |       |       |
| เบิกใช้เครื่องมือต่างๆ เป็นต้น                               |       |       |
|                                                      |       |       |
| 10.1.2 ทบทวนนโยบายและระเบียบวิธีปฏิบัติงานดังกล่าว           |       |       |
+------------------------------------------------------+-------+-------+
| 10.2 บริษัทมีการดําเนินการดังต่อไปนี้                         |       |       |
|                                                      |  .... | ..... |
| 10.2.1 แบ่งแยกหน้าที่ความรับผิดชอบในงาน 3                  | ....√ | ..... |
| ด้านต่อไปนี้ออกจากกันโดยเด็ดขาด เพื่อเป็นการตรวจสอบซึ่งกันและกัน  | ..... | ..... |
| กล่าวคือ                                               |       |       |
|                                                      |       |       |
| (1) หน้าที่อนุมัติ                                         | ..... | ..... |
|                                                      | ...√. | ..... |
| (2) หน้าที่บันทึกรายการบัญชีและข้อมูลสารสนเทศ และ             | ..... | ..... |
|                                                      |       |       |
| (3) หน้าที่ในการดูแลจัดเก็บทรัพย์สิน                          |       |       |
|                                                      |       |       |
| 10.2.2 ทบทวนการแบ่งแยกหน้าที่ความรับผิดชอบดังกล่าว           |       |       |
+------------------------------------------------------+-------+-------+
| 10.3 บริษัทมีการเก็บรวบรวมข้อมูลผู้ถือหุ้นรายใหญ่ กรรมการ ผู้บริหาร |       |       |
| และผู้ที่เกี่ยวข้องกับบุคคลดังกล่าว รวมทั้งบุคคลที่เกี่ยวโยงกัน         | ..... | ..... |
| เพื่อประโยชน์ในการติดตาม และสอบทานการทํารายการระหว่างกัน    | ...√. | ..... |
| หรือราย                                               | ..... | ..... |
| การที่อาจมีความขัดแย้งทางผลประโยชน์และปรับปรุงข้อมูลให้เป็นปัจจุบัน |       |       |
+------------------------------------------------------+-------+-------+
| 10.4 บริษัทมีการดําเนินการดังต่อไปนี้                         |       |       |
|                                                      | ..... | ..... |
| 10.4.1 กําหนดกระบวนการในการรายงาน การสอบทาน           | ...√. | ..... |
| และการอนุมัติธุรกรรม หรือสัญญาที่มีผลผูกพันบริษัท                 | ..... | ..... |
|                                                      |       |       |
| 10.4.2 ทบทวนกระบวนการ ทั้งนี้                            |       |       |
| สําหรับกรณีที่บริษัทอนุมัติธุรกรรมห                             | ..... | ..... |
| รือทําสัญญากับผู้ที่เกี่ยวข้องในลักษณะที่มีผลผูกพันบริษัทในระยะยาวไปแล้ว | ...√. | ..... |
| (เช่น การทําสัญญาซื้อขายสินค้า การให้กู้ยืม การค้ำประกัน)         | ..... | ..... |
| บริษัทได้ติดตามให้กา                                      |       |       |
| รปฏิบัติเป็นไปตามเงื่อนไขที่ตกลงกันไว้ตลอดระยะเวลาที่มีผลผูกพันบริษัท |       |       |
| (เช่น ติดตาม การชําระคืนหนี้ ตามกําหนด                      |       |       |
| หรือการทบทวนความเหมาะสมของสัญญา เป็นต้น)                 |       |       |
+------------------------------------------------------+-------+-------+

11. กระบวนการสร้างการควบคุมทั่วไปของระบบสารสนเทศ (Selects and develops
    general controls over technology)
    ผู้บริหารควรพิจารณาใช้ระบบสารสนเทศที่เหมาะสมกับกิจกรรมในการควบคุมการดําเนินงานต่างๆ
    โดยคํานึงถึงความปลอดภัยของข้อมูลประกอบด้วย

+------------------------------------------------------+-------+-------+
| คำถาม                                                | ใช่    | ไม่ใช่  |
+------------------------------------------------------+-------+-------+
| 11.1 บริษัทมีการดําเนินการดังต่อไปนี้                         |       |       |
|                                                      | ..... | ..... |
| 11.1.1                                               | ...√. | ..... |
| กําหนดมาตรการในการเข้าถึงการใช้สารสนเทศของบริษัทไม่ว่าจะอยู่ใน | ..... | ..... |
|                                                      |       |       |
| รูปแบบอิเล็กทรอนิกส์หรือไม่ก็ตาม เช่น                         |       |       |
| การกําหนดสิทธิการใช้และเปลี่ยนแปลง การแก้ไขข้อมูล             | ..... | ..... |
| การกําหนดเขตหวงห้าม การกําหนดชั้นความลับของเอกสาร ฯลฯ      | ...√. | ..... |
| รวมทั้งสื่อส                                             | ..... | ..... |
| ารให้บุคลากรของบริษัทได้เข้าใจถึงการปฏิบัติตามกฎหมายที่เกี่ยวข้องกับ |       |       |
| สารสนเทศ ได้แก่ พ.ร.บ. ข้อมูลข่าวสารฯ พ.ร.บ. อิเล็กทรอนิกส์ฯ  |       |       |
| เพื่อไม่ให้เกิด การฝ่าฝืนกฎหมาย เช่น การส่งต่อจดหมายอิเล็กทรอนิกส์ |       |       |
| ซึ่งเข้าข่ายเผยแพร่ข่าว อันเป็นเท็จหรือทําให้ผู้อื่นได้รับความเสื่อมเสีย  |       |       |
| หรือการโพสต์ข้อความที่ไม่เหมาะสม บนเว็บไซต์ เป็นต้น            |       |       |
|                                                      |       |       |
| 11.1.2 ทบทวนมาตรการดังกล่าว                            |       |       |
+------------------------------------------------------+-------+-------+

12. กำหนดนโยบายเรื่องการควบคุมการปฏิบัติงาน (Deploys through policies and
    procedures) องค์กรควรกําหนดเป็นนโยบายให้กิจกรรมการควบคุมอยู่ในกระบวนการทํางาน
    เพื่อให้พนักงานมีความระมัดระวังและมีความรับผิดชอบ

+------------------------------------------------------+-------+-------+
| คำถาม                                                | ใช่    | ไม่ใช่  |
+------------------------------------------------------+-------+-------+
| 12.1 บริษัทมีการดําเนินการดังต่อไปนี้                         |       |       |
|                                                      | ..... | ..... |
| 12.1.1 มีมาตรการที่รัดกุมเพื่อติดตามให้การทําธุรกรรม            | ...√. | ..... |
| ของผู้ถือหุ้นรายใหญ่                                       | ..... | ..... |
|                                                      |       |       |
| กรรมการ ผู้บริหาร                                       |       |       |
| หรือผู้ที่เกี่ยวข้องกับบุคคลดังกล่าวต้องผ่านขั้นตอนการอนุมัติที่          | ..... | ..... |
|                                                      | ...√. | ..... |
| กําหนด เช่น ข้อบังคับของบริษัท                              | ..... | ..... |
| เกณฑ์ของตลาดหลักทรัพย์แห่งประเทศไทย เกณฑ์ของสํานักงาน ก.ล.ต. |       |       |
| ฯลฯ ซึ่งครอบคลุมถึงกรณีที่บุคคลข้างต้นอาจนําโอกาส               |       |       |
|                                                      |       |       |
| หรือผลประโยชน์ของบริษัทไปใช้เพื่อประโยชน์ส่วนตัว               |       |       |
|                                                      |       |       |
| 12.1.2 ทบทวนมาตรการดังกล่าว                            |       |       |
+------------------------------------------------------+-------+-------+
| 12.2                                                 |       |       |
| บริษัทด                                                | ..... | ..... |
| ําเนินการเพื่อให้การพิจารณาอนุมัติธุรกรรมกระทําโดยผู้ที่ไม่มีส่วนได้เสีย | ...√. | ..... |
| ในธุรกรรมนั้น                                           | ..... | ..... |
+------------------------------------------------------+-------+-------+
| 12.3                                                 |       |       |
| บริษัทดําเนิน                                            | ..... | ..... |
| การเพื่อให้การพิจารณาอนุมัติธุรกรรมคํานึงถึงประโยชน์สูงสุดของบริษัทเ | ...√. | ..... |
| ป็นสําคัญและพิจารณาโดยถือเสมือนเป็นรายการที่กระทํากับบุคคลภายนอก | ..... | ..... |
| (at arms’ length basis)                              |       |       |
+------------------------------------------------------+-------+-------+
| 12.4 บริษัทติดตามดูแลการดําเนินงานของบริษัทย่อยหรือบริษัทร่วม     |       |       |
| รวมทั้งกําหนด                                           | ..... | ..... |
| ทิศ                                                   | ...√. | ..... |
| ทางให้บุคคลที่บริษัทแต่งตั้งให้เป็นกรรมการหรือผู้บริหารในบริษัทถือปฏิบัติ | ..... | ..... |
| (หากบริษัทไม่มีเงินลงทุนในบริษัทย่อยหรือบริษัทร่วม ไม่ต้องตอบข้อนี้)   |       |       |
+------------------------------------------------------+-------+-------+
| 12.5 บริษัทมีการดําเนินการดังต่อไปนี้                         |       |       |
|                                                      |  .... | ..... |
|   12.5.1                                             | ...√. | ..... |
|   มาตรการที่จะติดตามให้การดําเนินงานของบริษัทเป็นไปตามกฎหมายที่ | ..... | ..... |
|                                                      |       |       |
|   เกี่ยวข้อง                                            |       |       |
|   เพื่อลดความเสี่ยงในการประกอบธุรกิจและรักษาชื่อเสียงของบริษัท   |  .... | ..... |
|                                                      | ...√. | ..... |
|   12.5.2 ทบทวนมาตรการดังกล่าว                          | ..... | ..... |
+------------------------------------------------------+-------+-------+
| 12.6 บริษัทมีการดําเนินการดังต่อไปนี้                         |       |       |
|                                                      | ..... | ..... |
|   12.6.1 ทบทวนว่ามีการกระทําใดบ้างซึ่งเป็นการฝ่าฝืนกฎหมาย     | ...√. | ..... |
|                                                      | ..... | ..... |
|   12.6.2 วางมาตรการแก้ไขและป้องกันมิให้เกิดการกระทํานั้นอีก    |       |       |
|                                                      |       |       |
|                                                      | ..... | ..... |
|                                                      | ...√. | ..... |
|                                                      | ..... | ..... |
+------------------------------------------------------+-------+-------+
| 12.7 บริษัทมีการดําเนินการดังต่อไปนี้                         |       |       |
|                                                      | ..... | ..... |
| 12.7.1                                               | ..√.. | ..... |
| มีแผนฉุกเฉินสําหรับก                                      | ..... | ..... |
| รณีที่เกิดเหตุการณ์ร้ายแรงที่มีผลกระทบกับการดําเนินงานอย่างมีนัยสําคัญ |       |       |
| เช่น กรณีเกิดภัยพิบัติ หรือเหตุการณ์ร้ายแรงอื่นใด (Business       |       |       |
| Contingency Plan: BCP / Disaster Recovery Plan: DCP) | ..... | ..... |
|                                                      | ..√.. | ..... |
| 12.7.2 ทบทวนแผนดังกล่าว                                | ..... | ..... |
+------------------------------------------------------+-------+-------+

13. ข้อมูลที่เกี่ยวข้องมีความถูกต้อง เหมาะสม และนำมาใช้ได้ทันต่อเวลา (Uses relevant
    information)
    องค์กรควรนําข้อมูลที่ได้รับจากทั้งภายนอกและภายในองค์กรมาวิเคราะห์เพื่อคัดกรองเป็นฐานข้อมูล
    เพื่อใช้ประโยชน์ต่อไป

+------------------------------------------------------+-------+-------+
| คำถาม                                                | ใช่    | ไม่ใช่  |
+------------------------------------------------------+-------+-------+
| 13.1                                                 |       |       |
| บร                                                   | ..... | ..... |
| ิษัทดําเนินการเพื่อให้คณะกรรมการมีข้อมูลที่สําคัญอย่างเพียงพอสําหรับใช้ | ...√. | ..... |
|                                                      | ..... | ..... |
| ประกอบการตัดสินใจ (ข้อมูลที่สําคัญ ได้แก่                      |       |       |
| รายละเอียดของเรื่องที่เสนอให้พิจารณา เหตุผล ผลกระทบต่อบริษัท    |       |       |
| ทางเลือกต่างๆ เป็นต้น)                                   |       |       |
+------------------------------------------------------+-------+-------+
| 13.2                                                 |       |       |
| บ                                                    | ..... | ..... |
| ริษัทดําเนินการเพื่อให้กรรมการบริษัทได้รับหนังสือนัดประชุมหรือเอกสาร | ...√. | ..... |
|                                                      | ..... | ..... |
| ประกอบก                                              |       |       |
| ารประชุมที่ระบุข้อมูลที่จําเป็นและเพียงพอต่อการพิจารณาก่อนการประชุม |       |       |
| ล่วงหน้าอย่างน้อยภายในระยะเวลาขั้นต่ำตามที่กฎหมายกําหนด        |       |       |
+------------------------------------------------------+-------+-------+
| 13.3                                                 |       |       |
| บริษัทดําเนินการเพื่อให้รายงานการประ                        | ..... | ..... |
| ชุมคณะกรรมการมีรายละเอียดตามควรที่ทําให้สามารถตรวจสอบความเห | ...√. | ..... |
| มาะสมในการปฏิบัติหน้าที่ของกรรมการโดยใช้เป็นหลักฐานได้ในภายหลัง | ..... | ..... |
| เช่น การบันทึกข้อซักถามของกรรมการ                         |       |       |
| ความเห็นหรือข้อสังเกตของกรรมการในเรื่องที่พิจารณา             |       |       |
| ความเห็นของกรรมการรายที่ไม่เห็นด้วย กับเรื่องที่เสนอพร้อมเหตุผล   |       |       |
| เป็นต้น                                                |       |       |
+------------------------------------------------------+-------+-------+
| 13.4 บริษัทมีการดําเนินการดังต่อไปนี้ หรือไม่                   |       |       |
|                                                      | ..... | ..... |
| 13.4.1 มีการจัดเก็บเอกสารประกอบการบันทึกบัญชีต่างๆ ไว้        | ...√. | ..... |
| อย่างครบถ้วนเป็นหมวดหมู่                                  | ..... | ..... |
|                                                      |       |       |
| 13.4.2 กรณีที่ได้รับแจ้งจากผู้สอบบัญชีว่ามีข้อบกพร่องในเรื่องดังกล่าว  |       |       |
| บริษัทได้แก้ไขข้อบกพร่องนั้น อย่างครบถ้วนแล้ว                   | ..... | ..... |
|                                                      | ...√. | ..... |
|                                                      | ..... | ..... |
+------------------------------------------------------+-------+-------+
| 13.5 คณะกรรมการบริษัทได้พิจารณาว่าฝ่ายบริหารได้ใช้นโยบายบัญชี   |       |       |
| ตามหลักการ บัญชีที่รับรองทั่วไปและเหมาะสมกับลักษณะธุรกิจของบริษัท  | ..... | ..... |
| โดยไม่เลือกใช้นโยบาย                                    | ...√. | ..... |
| บัญชีที่ทําให้บริษัทแสดงผลประกอบการที่คลาดเคลื่อนจากความเป็นจริง   | ..... | ..... |
+------------------------------------------------------+-------+-------+

14. การสื่อสารภายในบริษัท (Communicates internally)
    กระบวนการสื่อสารข้อมูลภายในองค์กรควรเป็นไปอย่างมีประสิทธิภาพ
    เพื่อให้งานควบคุมภายใน ดําเนินไปได้โดยสะดวก
    สนับสนุนให้มีการรายงานของผู้บริหารระดับสูงถึงคณะกรรมการบริษัทอย่างสม่ำเสมอ
    ตลอดจนต้องรักษาข้อมูลความลับเมื่อได้รับเบาะแสจากภายนอกด้วย

+------------------------------------------------------+-------+-------+
| คำถาม                                                | ใช่    | ไม่ใช่  |
+------------------------------------------------------+-------+-------+
| 14.1                                                 |       |       |
| บริษ                                                  | ..... | ..... |
| ัทดําเนินการเพื่อให้คณะกรรมการบริษัท/คณะกรรมการตรวจสอบสามารถ | ...√. | ..... |
|                                                      | ..... | ..... |
| เข้าถึงแหล่งสารสนเทศที่จําเป็นต่อการปฏิบัติงาน                  |       |       |
| หรือสอบทานรายการต่างๆตามที่ต้องการ เช่น                    |       |       |
| การกําหนดบุคคลที่เป็นศูนย์ติดต่อเพื่อให้สามารถติดต่อขอข้อมูลอื่น       |       |       |
| นอกจากที่ได้รับจากผู้บริหารได้                               |       |       |
| รวมทั้งการติดต่อสอบถามข้อมูลผู้สอบบัญชี/ ผู้ตรวจสอบภายใน         |       |       |
| การจัดประชุมระหว่างคณะกรรมการและผู้บริหารตามที่              |       |       |
| คณะกรรมการร้องขอ                                      |       |       |
| การจัดกิจกรรมพบปะหารือระหว่างคณะกรรมการและผู้บริหาร         |       |       |
| นอกเหนือจากการประชุมคณะกรรมการ เป็นต้น                   |       |       |
+------------------------------------------------------+-------+-------+
| 14.2 บริษัทจัดให้มีช่องทางการสื่อสารพิเศษ/ลับเพื่อให้บุคคลต่างๆ     |       |       |
| ภายในบริษัท                                            | ..... | ..... |
| สามารถแจ้งข้อมูล/เบาะแสเกี่ยวกับการฉ้อฉลหรือทุจริตภายในบริษัท    | ...√. | ..... |
| (whistle-blower hotline) ได้อย่างปลอดภัย                | ..... | ..... |
+------------------------------------------------------+-------+-------+

15. การสื่อสารกับภายนอกบริษัท (Communicates externally)
องค์กรควรมีกระบวนการติดต่อสื่อสารกับหน่วยงานภายนอก รวมทั้งผู้ที่เกี่ยวข้องเพื่อนําข้อมูล
ที่ได้รับมาสื่อสารต่อให้กับหน่วยงานภายในอย่างเหมาะสม เพื่อให้การดําเนินการต่อไปมีประสิทธิภาพ

+------------------------------------------------------+-------+-------+
| คำถาม                                                | ใช่    | ไม่ใช่  |
+------------------------------------------------------+-------+-------+
| 15.1 บริษัทจัดให้มีช่องทางการสื่อสารกับ                       |       |       |
|                                                      | ..... | ..... |
| 15.1.1 ผู้มีส่วนได้เสีย เช่น จัดให้มีเจ้าหน้าที่หรือหน่วยงาน         | ..... | ..... |
| นักลงทุนสัมพันธ์ /                                        | ..... | ..... |
|                                                      |       |       |
| ศูนย์รับเรื่องร้องเรียน / call center                       |       |       |
| เพื่อให้ทราบถึงข้อบกพร่องและปัญหาการดําเนินงาน                | ..... | ..... |
|                                                      | ..... | ..... |
| 15.1.2 หน่วยงานกํากับดูแล เช่น                            | ..... | ..... |
| จัดให้มีหน่วยงานที่รับผิดชอบในการติดต่อกับ                      |       |       |
|                                                      |       |       |
| หน่วยงานกํากับดูแล                                       |       |       |
+------------------------------------------------------+-------+-------+
| 15.2                                                 |       |       |
| บร                                                   | ..... | ..... |
| ิษัทจัดให้มีช่องทางการสื่อสารพิเศษ/ลับเพื่อให้หน่วยงานภายนอกสามารถ | ...√. | ..... |
| แจ้งข้อมูล/เบาะแสเกี่ยวกับการฉ้อฉลหรือทุจริต (whistle-blower   | ..... | ..... |
| hotline) แก่บริษัท ได้อย่างปลอดภัย                         |       |       |
+------------------------------------------------------+-------+-------+

16. ประเมินผลการติดตามอย่างสม่ำเสมอ (Conducts ongoing and/or separate
    evaluations)
    องค์กรควรต้องมีการติดตามและประเมินอย่างต่อเนื่องเพื่อให้มั่นใจได้ว่าการทํางานของระบบควบคุมภายในยังมีประสิทธิภาพ
    สะท้อนรับกับการเปลี่ยนแปลงที่เกิดขึ้นอยู่เสมอ

+-----------------------------------------------------+-------+-------+
| คำถาม                                               | ใช่    | ไม่ใช่  |
+-----------------------------------------------------+-------+-------+
| 16.1                                                |       |       |
| คณะกรรมการบริษัทกําหนดให้ฝ่ายบริหารจัดทํารายงานการดําเนินงาน  | ..... | ..... |
| และ พิจารณาเปรียบเทียบผลการดําเนินงานของฝ่ายบริหารว่า       | ...√. | ..... |
| การดําเนินงานของบริษัท                                  | ..... | ..... |
| เป็นไปในทิศทางเดียวกันกับเป้าหมายที่กําหนดไว้                 |       |       |
+-----------------------------------------------------+-------+-------+
| 16.2                                                |       |       |
| บริษ                                                 | ..... | ..... |
| ัทจัดให้มีกระบวนการติดตามการปฏิบัติตามจริยธรรมธุรกิจและข้อกําหนด | ...√. | ..... |
| ห้ามฝ่า                                               | ..... | ..... |
| ยบริหารและพนักงานปฏิบัติตนในลักษณะที่อาจก่อให้เกิดความขัดแย้งของ |       |       |
| ผลประโยชน์ เช่น กําหนดให้แต่ละส่วนงานติดตามการปฏิบัติตาม      |       |       |
| และรายงาน ผู้บังคับบัญชา โดย CEO                         |       |       |
| สรุปผลในภาพรวมเพื่อนําเสนอต่อคณะกรรมการตรวจสอบ/          |       |       |
| คณะกรรมการบริษัท                                      |       |       |
| หรือมอบหมายให้หน่วยงานตรวจสอบภายในติดตามการปฏิบัติ         |       |       |
| ตามจริยธรรมธุรกิจและข้อกําหนดห้ามฝ่ายบริหารและ              |       |       |
| พนักงานปฏิบัติตนในลักษณะที่อาจก่อให้เกิดความขัดแย้งของผลประโยชน์ |       |       |
| และรายงานต่อคณะกรรมการตรวจสอบ เป็นต้น                  |       |       |
+-----------------------------------------------------+-------+-------+
| คำถาม                                               | ใช่    | ไม่ใช่  |
+-----------------------------------------------------+-------+-------+
| 16.3                                                |       |       |
| บ                                                   | ..... | ..... |
| ริษัทจัดให้มีการตรวจสอบการปฏิบัติตามระบบการควบคุมภายในที่วางไว้ | ...√. | ..... |
| โดยการประเมินตนเอง หรือการประเมินอิสระโดยผู้ตรวจสอบภายใน  | ..... | ..... |
+-----------------------------------------------------+-------+-------+
| 16.4                                                |       |       |
| บริษ                                                 | ..... | ..... |
| ัทดําเนินการทบทวนการประเมินความเสี่ยงหรือปรับกระบวนการควบคุม | ...√. | ..... |
| หากเป้าหมาย/ธุรกิจของบริษัท หรือปัจจัยภายนอกเปลี่ยนแปลง       | ..... | ..... |
+-----------------------------------------------------+-------+-------+
| 16.5                                                |       |       |
| บริษัทกําหนดแนวทางการรายงานผลการตรวจสอบภายในให้ขึ้นตรงต่อ  | ..... | ..... |
| คณะกรรมการตรวจสอบ                                   | ...√. | ..... |
| เพื่อให้ผู้ตรวจสอบภายในสามารถปฏิบัติงานได้อย่างอิสระ           | ..... | ..... |
| และเสนอรายงานผลการตรวจสอบได้อย่างตรงไปตรงมา           |       |       |
+-----------------------------------------------------+-------+-------+
| 16.6                                                |       |       |
| บริษัท                                                | ..... | ..... |
| ส่งเสริมการทําหน้าที่ของผู้ทําหน้าที่ตรวจสอบภายในตามมาตรฐานสากล | ...√. | ..... |
| การปฏิบัติงานวิชาชีพการตรวจสอบภายใน (International       | ..... | ..... |
| Standards for the Professional Practice of Internal |       |       |
| Auditing , IIA)                                     |       |       |
+-----------------------------------------------------+-------+-------+

17. สื่อสารและแก้ไขข้อบกพร่องที่ตรวจพบเพื่อการปรับปรุงอย่างเหมาะสมและทันต่อเวลา
    (Evaluates and communicates deficiencies)
    องค์กรจัดระบบการสื่อสารข้อบกพร่องที่ตรวจพบอย่างมีประสิทธิภาพ ทันต่อสถานการณ์เพื่อให้
    สามารถแก้ไขเหตุการณ์ได้อย่างทันท่วงที

+-----------------------------------------------------+-------+-------+
| คำถาม                                               | ใช่    | ไม่ใช่  |
+-----------------------------------------------------+-------+-------+
| 17.1 บริษัทดําเนินการเพื่อติดตามแก้ไขอย่างทันท่วงที             |       |       |
| หากผลการดําเนินงานที่เกิดขึ้น                              | ..... | ..... |
| แตกต่างจากเป้าหมายที่กําหนดไว้อย่างมีนัยสําคัญ                 | ...√. | ..... |
|                                                     | ..... | ..... |
+-----------------------------------------------------+-------+-------+
| 17.2 บริษัทมีนโยบายการรายงาน ดังนี้                       | ..... | ..... |
|                                                     | ...√. | ..... |
| 17.2.1 ฝ่ายบริหารต้องรายงานต่อคณะกรรมการบริษัทโดยพลัน      | ..... | ..... |
| ในกรณีที่เกิดเหตุการณ์หรือสงสัยว่ามีเหตุการณ์ทุจริต อย่างร้ายแรง    |       |       |
| มีการปฏิบัติที่ฝ่าฝืนกฎหมาย หรือมีการกระทําที่ผิดปกติอื่น            | ..... | ..... |
| ซึ่งอาจกระทบต่อชื่อเสียงและฐานะการเงินของบริษัท อย่างมีนัยสําคัญ  | ...√. | ..... |
|                                                     | ..... | ..... |
| 17.2.2 รายงานข้อบกพร่องที่เป็นสาระสําคัญ                   |       |       |
| พร้อมแนวทางการแก้ไขปัญหา (แม้ว่า                         | ..... | ..... |
| จะได้เริ่มดําเนินการจัดการแล้ว)                            | ...√. | ..... |
| ต่อคณะกรรมการบริษัท/คณะกรรมการตรวจสอบ                  | ..... | ..... |
| เพื่อพิจารณาภายในระยะเวลาอันควร                         |       |       |
|                                                     | .     | ..... |
| 17.2.3                                              | ..... | ..... |
| รายงานความคืบหน้าในการปรับปรุงข้อบกพร่องที่เป็นสาระสําคัญต่อ    | ..√.. | ..... |
| คณะกรรมการบริษัท/คณะกรรมการตรวจสอบ                    | ..... |       |
|                                                     |       |       |
| 17.2.4 ทบทวนนโยบายดังกล่าว                            |       |       |
+-----------------------------------------------------+-------+-------+