+-----------------------------------------------------------------------+
| 9.  การควบคุมภายใน                                                     |
+-----------------------------------------------------------------------+

บริษัท ปตท.จำกัด (มหาชน) ได้ให้ความสำคัญต่อการควบคุมภายในอย่างต่อเนื่อง โดยคณะ
กรรมการบริษัทฯ ได้มอบหมายให้คณะกรรมการตรวจสอบ
สอบทานการประเมินระบบการควบคุมภายใน
เพื่อมุ่งเน้นให้ระบบการควบคุมภายในมีความเพียงพอและเหมาะสมกับการดำเนินธุรกิจ
และมีประสิทธิผลประสิทธิภาพในการดำเนินงาน รวมทั้งการใช้ทรัพยากร การดูแลรักษาทรัพย์สิน
การป้องกัน หรือลดความผิดพลาด ความเสียหาย การรั่วไหล การสิ้นเปลืองหรือการทุจริต
ระบบบัญชีและรายงานทางการเงินมีความถูกต้องเชื่อถือได้ รวมทั้งการปฏิบัติตามกฎหมาย ระเบียบ
ข้อบังคับที่เกี่ยวข้องกับการดำเนินธุรกิจของบริษัทฯ

ในปี 2551 บริษัทฯ
ได้ประเมินการควบคุมภายในตามระเบียบคณะกรรมการตรวจเงินแผ่นดินว่าด้วยการกำหนดมาตรฐานการควบคุมภายใน
พ.ศ. 2544 และคณะกรรมการตรวจสอบได้สอบทานการประเมินการควบคุมภายใน
ซึ่งจัดทำขึ้นโดยฝ่ายบริหารและสำนักตรวจสอบภายใน โดยมีสาระสำคัญดังนี้

1. สภาพแวดล้อมการควบคุม ผู้บริหารและบุคลากรมีทัศนคติที่ดีและเอื้อต่อการควบคุมภายใน
ผู้บริหารให้ความสำคัญกับการมีศีลธรรม จรรยาบรรณและความซื่อสัตย์
และมีการพิจารณาดำเนินการตามควรแก่กรณี ถ้าพบว่าบุคลากรประพฤติปฏิบัติที่ไม่เหมาะสม
การยอมรับความรู้ความสามารถของผู้ปฏิบัติงาน
การรับทราบข้อมูลและการวินิจฉัยสิ่งที่ตรวจพบหรือสิ่งที่ต้องตรวจสอบ
ปรัชญาและรูปแบบการทำงานของผู้บริหารเหมาะสมต่อการพัฒนาการควบคุมภายในและดำรงไว้ซึ่งการควบคุมภายในที่มีประสิทธิผล
โครงสร้างองค์กร การมอบอำนาจหน้าที่ความรับผิดชอบและจำนวนผู้ปฏิบัติงาน
เหมาะสมกับงานที่ปฏิบัติ
นโยบายและการปฏิบัติด้านบุคลากรเหมาะสมในการจูงใจและสนับสนุนผู้ปฏิบัติงาน

สภาพแวดล้อมของการควบคุมของ บริษัท ปตท. จำกัด (มหาชน) ภาพรวมมีความเหมาะสม
และมีส่วนทำให้การควบคุมภายในเพียงพอ มีประสิทธิผล เช่น

-   บริษัทฯ ได้จัดโครงสร้างขององค์กรและสายงานบังคับบัญชาที่ชัดเจนและเหมาะสม
    มีการมอบอำนาจหน้าที่และความรับผิดชอบเป็นลายลักษณ์อักษร พนักงานทุกคนทราบถึงบทบาท
    อำนาจ หน้าที่ และความรับผิดชอบ รวมทั้งตระหนักถึงหน้าที่ความรับผิดชอบของตน

-   บริษัทฯ ได้วิเคราะห์พื้นฐานความรู้ทางการศึกษา ทักษะที่จำเป็นในการปฏิบัติงาน
    และประเมินความรู้ความชำนาญในการปฏิบัติงาน เพื่อให้บุคลากรมีความรู้ ทักษะ
    และความสามารถในการปฏิบัติงานที่ได้รับมอบหมาย และตามคำบรรยายลักษณะงาน (Job
    description) แต่ละตำแหน่ง

-   บริษัทฯ กำหนดนโยบายและวิธีบริหารทรัพยากรบุคคลไว้เป็นลายลักษณ์อักษร เช่น การคัดเลือก
    การฝึกอบรม การเลื่อนตำแหน่ง การจ่ายผลประโยชน์ตอบแทน เป็นต้น

-   บริษัทฯ
    และบริษัทในกลุ่มได้กำหนดนโยบายและระเบียบปฏิบัติเป็นลายลักษณ์อักษรเกี่ยวกับความซื่อสัตย์และจริยธรรม
    โดยกำหนดนโยบายด้านการกำกับดูแลกิจการที่ดีตามหลักมาตรฐานสากล
    คณะกรรมการกำกับดูแลกิจการที่ดีของบริษัทฯ ได้ประชุมร่วมกันไตรมาสละ 1 ครั้ง
    เพื่อกำกับดูแลให้บุคลากรทุกคนในองค์กรปฏิบัติตามนโยบายที่กำหนด

-   ผู้บริหารมีปรัชญาและรูปแบบในการทำงาน เช่น
    มีทัศนคติที่ดีและสนับสนุนการปฏิบัติหน้าที่เกี่ยวกับการบัญชี ระบบการจัดการสารสนเทศ
    ทรัพยากรบุคคล การติดตามประเมินผล การตรวจสอบภายในและการตรวจสอบภายนอก
    มีการบริหารความเสี่ยงเกี่ยวกับการดำเนินงานที่สำคัญ

-   ในปี 2551 สำนักตรวจสอบภายในได้สอบทานการปฏิบัติงานที่เป็นไปตามกฎ ระเบียบ
    ข้อบังคับของบริษัทฯ ตามแผนการตรวจสอบประจำปี 2551
    ผลการสอบทานในภาพรวมมีการควบคุมภายในที่เพียงพอ

2. การประเมินความเสี่ยง บริษัทฯกำหนดวัตถุประสงค์ระดับองค์กรที่ชัดเจน
วัตถุประสงค์ระดับองค์กรและวัตถุประสงค์ระดับกิจกรรมสอดคล้องกันในการที่จะทำงานให้สำเร็จด้วยงบประมาณและทรัพยากรที่กำหนดไว้อย่างเหมาะสม
ฝ่ายบริหารมีการระบุความเสี่ยงทั้งจากปัจจัยภายในและภายนอกที่อาจมีผลกระทบต่อการบรรลุวัตถุประสงค์ขององค์กร
บริษัทฯมีการวิเคราะห์ความเสี่ยงและการบริหารความเสี่ยงที่เหมาะสม
นอกจากนี้มีกลไกที่ชี้ให้เห็นถึงความเสี่ยงที่เกิดจากการเปลี่ยนแปลง เช่น
การเปลี่ยนแปลงวิธีการจัดการ เป็นต้น

- บริษัทฯ มีการกำหนดนโยบายการบริหารความเสี่ยงองค์กร โดยมีคณะกรรมการ
บริหารความเสี่ยง
ทำหน้าที่กำกับดูแลและกำหนดกรอบความเสี่ยงเพื่อการบริหารจัดการในภาพรวมองค์กรโดยมีคณะกรรมการจัดการคณะต่าง
ๆ บริหารความเสี่ยงงานที่อยู่ในความรับผิดชอบตามกรอบแนวทางที่กำหนด ทั้งนี้
ครอบคลุมความเสี่ยงทางการบริหาร การเงิน การประกอบธุรกิจ การปฏิบัติการ
การบริหารและการจัดการ ความปลอดภัย อาชีวอนามัย และสิ่งแวดล้อม และความเสี่ยงสำคัญอื่นๆ
ที่เกี่ยวเนื่องกับการประกอบธุรกิจของบริษัทฯ

-
บริษัทฯมีการกำหนดวัตถุประสงค์ขององค์กรที่ชัดเจนครอบคลุมสิ่งที่องค์กรต้องการบรรลุวัตถุประสงค์ระดับกิจกรรมเกี่ยวข้องกับกระบวนการทำงานที่สำคัญขององค์กร
และสอดคล้องเชื่อมโยงกับวัตถุประสงค์และแผนยุทธศาสตร์ขององค์กร
ผู้บริหารมีการระบุความเสี่ยงในระดับองค์กร และครอบคลุมในทุกระดับกิจกรรมที่สำคัญ

- ในปี 2551 ได้มีการบริหารจัดการความเสี่ยงตาม Risk Profile ปี 2551 จำนวน 20
ความเสี่ยงสำคัญ ได้แก่ การบริหารความเสี่ยงด้านราคา การจัดหาก๊าซธรรมชาติ ธุรกิจ NGV
ความเสี่ยงด้านปฏิบัติการของกลุ่มธุรกิจน้ำมันและกลุ่มธุรกิจสำรวจ ผลิต และก๊าซธรรมชาติ
ความเสี่ยงการดำเนินงานโครงการกลุ่มธุรกิจสำรวจ ผลิต และก๊าซธรรมชาติ และกลุ่มธุรกิจ
ปิโตรเคมีและการกลั่น และความเสี่ยงด้านการเงินและสินเชื่อกลุ่ม ปตท. ทั้งนี้ความเสี่ยงดังกล่าว
ได้มีการจัดทำแผนจัดการความเสี่ยงในปี 2551

3. กิจกรรมการควบคุม บริษัทมีนโยบายและวิธีปฏิบัติงานที่ทำให้มั่นใจว่า
เมื่อนำไปปฏิบัติแล้วจะเกิดผลสำเร็จตามที่ฝ่ายบริหารกำหนดไว้
กิจกรรมเพื่อการควบคุมจะชี้ให้ผู้ปฏิบัติงานเห็นความเสี่ยงที่อาจเกิดขึ้นในการปฏิบัติงานเพื่อให้เกิดความระมัดระวังและสามารถปฏิบัติงานให้สำเร็จตามวัตถุประสงค์
เช่น

การควบคุมภายในด้านการบริหาร
บริษัทกำหนดพันธกิจและวัตถุประสงค์ขององค์กรเป็นลายลักษณ์อักษรและสื่อความให้บุคลากรทุกคนเข้าใจ
เพื่อให้การดำเนินงานบรรลุตามวัตถุประสงค์ พร้อมทั้งมีการวางแผนการดำเนินงาน
การจัดสรรทรัพยากร งบประมาณ และอัตรากำลัง
นอกจากนี้ได้มีการกำหนดกระบวนการทำงานและมีการติดตามผล
เพื่อให้บุคคลากรปฏิบัติงานอย่างมีประสิทธิภาพ ประสิทธิผล และปฏิบัติตามกฎหมาย ระเบียบข้อบังคับ
และมาตรฐานที่กำหนด

การควบคุมภายใน ด้านการเงินการบัญชี บริษัทฯ มีการควบคุมภายในเกี่ยวกับการเก็บเงิน
รักษาเงิน การรับจ่าย เงินฝากธนาคาร และเงินยืมทดรอง เป็นไปตามระเบียบที่กำหนด
มีการบันทึกบัญชีครบถ้วนถูกต้องและสม่ำเสมอ

การควบคุมภายใน ด้านการจัดซื้อจัดจ้าง บริษัทฯ มีระเบียบและข้อกำหนดว่าด้วยการพัสดุ
เพื่อนำไปปฏิบัติในการจัดซื้อจัดจ้าง
ซึ่งได้กำหนดหน้าที่ความรับผิดชอบในกระบวนการจัดซื้อจัดจ้างไว้อย่างชัดเจน เช่น อำนาจการอนุมัติ
การกำหนดความต้องการพัสดุการตรวจรับ การควบคุมและการเก็บรักษาพัสดุ

การควบคุมภายใน ด้านการบริหารทรัพยากรบุคคล
มีกระบวนการสรรหาเพื่อให้ได้บุคคลากรที่มีความรู้ความสามารถตามที่กำหนด
มีระบบค่าตอบแทนที่เหมาะสมและเป็นธรรม มีการกำหนดหน้าที่ความรับผิดชอบ
มาตรฐานการปฏิบัติงาน และระบบติดตามผลไว้อย่างชัดเจน
มีระบบการให้ข้อมูลและการสื่อสารที่มีประสิทธิภาพเพียงพอ

- ในภาพรวมบริษัทฯ มีกิจกรรมควบคุมที่เหมาะสมเพียงพอและมีประสิทธิผล
โดยกำหนดให้มีนโยบายและระเบียบปฏิบัติเป็นลายลักษณ์อักษรระบุการดำเนินงานในส่วนที่มีความเสี่ยงสำคัญและกำหนดกลไกในการควบคุมเพื่อป้องกันและลดข้อผิดพลาด
มีการสอบทานรายงานทางการเงินและรายงานผลการดำเนินงานที่มิใช่ทางการเงินโดยฝ่ายบริหาร
คณะกรรมการตรวจสอบและคณะกรรมการบริษัทฯ
มีการกำหนดให้ใช้ดัชนีวัดผลการดำเนินงานกับพนักงานทั้งองค์กร

การบริหารทรัพยากรบุคคลของบริษัทฯ มีการวางระบบด้านการบริหารทรัพยากรบุคคล
และมีการควบคุมติดตามประเมินผลอย่างเพียงพอ ทั้งในด้านการสรรหา ค่าตอบแทน
หน้าที่ความรับผิดชอบ การพัฒนาบุคลากร การปฏิบัติงานของบุคลากรและ การสื่อสาร
เพื่อให้พนักงาน มีความรู้ความสามารถและการบริหารทรัพยากรบุคคลของบริษัทฯ
มีประสิทธิภาพและเหมาะสม ซึ่งคณะกรรมการตรวจสอบมีความเห็นว่า
การควบคุมภายในเกี่ยวกับการบริหารทรัพยากรบุคคลบางส่วนยังไม่เพียงพอ คือ

1. แผนการสืบทอดตำแหน่ง (Succession Plan) ของผู้บริหารที่จะเกษียณอายุ
ซึ่งยังไม่ได้ดำเนินการกำหนดบุคลากรที่จะสืบทอดตำแหน่ง

2. KPIs รายบุคคลยังไม่ได้กำหนดให้มีระบบการจ่ายโบนัสตาม Performance Bonus System
ซึ่งได้เริ่มดำเนินการในปี 2551 สำหรับผู้บริหารระดับผู้จัดการฝ่ายขึ้นไป

4. ข้อมูลสารสนเทศและการสื่อสาร บริษัทมีระบบข้อมูลสารสนเทศที่เกี่ยวเนื่องกับการปฏิบัติงาน
การรายงานทางการเงินและการดำเนินงาน
การปฏิบัติตามนโยบายและระเบียบปฏิบัติต่างๆที่ใช้ในการควบคุมและดำเนินกิจกรรมขององค์กร
รวมทั้งข้อมูลสารสนเทศที่ได้จากภายนอกองค์กรมีการสื่อสารไปยังผู้บริหารและผู้ใช้ภายในองค์กรในรูปแบบที่ช่วยให้ผู้รับข้อมูลสารสนเทศปฏิบัติหน้าที่ตามความรับผิดชอบได้อย่างมีประสิทธิภาพและประสิทธิผล
และให้ความมั่นใจว่ามีการติดต่อสื่อสารภายในและภายนอกองค์กรที่มีผลทำให้องค์กรบรรลุวัตถุประสงค์และเป้าหมาย

ข้อมูลสารสนเทศและการติดต่อสื่อสารมีความเหมาะสมและเพียงพอ ทั้งนี้คณะกรรมการ ตรวจสอบ
ได้ให้ข้อคิดเห็นและข้อเสนอแนะเกี่ยวกับความปลอดภัยของ ICT ควรให้ Third Party
มาประเมินระบบความปลอดภัย ICT เป็นระยะ ๆ นั้น บริษัทฯ ได้ดำเนินการแล้ว โดยจ้างที่ปรึกษา
Third Party ประเมินการรักษาความปลอดภัยของเครื่องแม่ข่าย อุปกรณ์เครือข่าย
รวมถึงการประเมินความเสี่ยงและรักษาความปลอดภัยโครงสร้างระบบสารสนเทศ (IT
Infrastructure) การควบคุมภายในระบบ SAP โดยได้ดำเนินการแล้วเสร็จดังนี้

-   ประเมินความเสี่ยงและการรักษาความปลอดภัยโครงสร้างระบบสารสนเทศและการควบคุมภายในระบบการชำระเงินทางอิเล็กทรอนิกส์
    (E-payment) เดือนกันยายน 2551

-   ตรวจสอบประเมินความเสี่ยงและหาจุดอ่อนด้านความปลอดภัยของเครื่องคอมพิวเตอร์แม่ข่ายและอุปกรณ์เครือข่าย
    โดยดำเนินการทุกปีอย่างต่อเนื่อง

-   ดำเนินการ Harden อุปกรณ์ Server และ Security Control ระหว่างเดือนตุลาคม
    2550 ถึง เมษายน 2551

5. การติดตามประเมินผล บริษัทมีการติดตามประเมินผลการควบคุมภายใน
และประเมินคุณภาพการปฏิบัติงาน
โดยกำหนดวิธีปฏิบัติงานเพื่อติดตามการปฏิบัติตามระบบการควบคุมภายในอย่างต่อเนื่องและเป็นส่วนหนึ่งของกระบวนการปฏิบัติงานตามปกติของฝ่ายบริหาร
ผู้ควบคุมงานและผู้มีหน้าที่เกี่ยวข้อง
นอกจากนี้มีการประเมินผลโดยการตรวจสอบของสำนักตรวจสอบภายในตามแผนการตรวจสอบประจำปีและคณะกรรมการตรวจสอบของ
บริษัท ปตท. จำกัด (มหาชน)
ได้สอบทานผลการดำเนินงานการบริหารความเสี่ยงของบริษัทฯอย่างสม่ำเสมอ
กรณีพบข้อที่ควรปรับปรุงได้มีการกำหนดวิธีปฏิบัติเพื่อให้ความมั่นใจว่า
ข้อตรวจพบจากการตรวจสอบและการสอบทานได้รับการพิจารณาสนองตอบ
และมีการวินิจฉัยสั่งการให้ดำเนินการแก้ไขข้อบกพร่องทันที

- การติดตามประเมินการควบคุมภายในของบริษัทฯ
ถือปฏิบัติตามแนวทางการติดตามประเมินผลการควบคุมภายใน ซึ่งกำหนดในเอกสารคำแนะนำ :
การจัดทำรายงาน ตามระเบียบคณะกรรมการตรวจเงินแผ่นดิน ข้อ 6
การติดตามประเมินผลอยู่ในเกณฑ์ดี นอกจากนี้ทุกกลุ่มธุรกิจมีการรายงานผลการดำเนินงานทุกเดือน
รวมทั้งมีการวัดผลดำเนินงานอย่างสม่ำเสมอ

- ในปี 2551
คณะกรรมการตรวจสอบได้มีมติและข้อคิดเห็น/ข้อเสนอแนะให้หน่วยงานที่เกี่ยวข้องนำไปปฏิบัติจำนวน
29 เรื่อง ผู้บริหาร/หน่วยงานที่เกี่ยวข้องได้ดำเนินการแล้ว 21 เรื่อง คิดเป็นร้อยละ 72.41
นอกจากนั้น สำนักตรวจสอบภายใน มีการติดตามผลการดำเนินงานตามข้อเสนอแนะอย่างสม่ำเสมอ

บริษัท ปตท. จำกัด (มหาชน) มีโครงสร้างการควบคุมภายในครบ 5
องค์ประกอบของการควบคุมภายใน
หรือการควบคุมเป็นไปตามมาตรฐานการควบคุมภายในของคณะกรรมการตรวจเงินแผ่นดิน
ซึ่งมีการควบคุมที่เพียงพอและมีประสิทธิผล ทั้งนี้ ความเสี่ยงที่เหลือหลังการบริหารจัดการในปี 2551
ได้มีการจัดทำแผนจัดการความเสี่ยงแล้ว

คณะกรรมการตรวจสอบได้สอบทานระบบการควบคุมภายในซึ่งประเมินโดยผู้บริหารและสำนักตรวจสอบภายใน
ไม่พบประเด็นปัญหาหรือข้อบกพร่องที่เป็นสาระสำคัญ
ซึ่งสอดคล้องกับความเห็นของผู้สอบบัญชีของบริษัทฯ ระบบการควบคุมภายในของบริษัทฯ
มีความเพียงพอและมีประสิทธิผล

[]

[]