10. การควบคุมภายใน

  การควบคุมภายในและการบริหารความเสี่ยง
  เป็นระบบการปฏิบัติงานที่เจ้าหน้าที่ทั้งหมดของบริษัทตั้งแต่ คณะกรรมการ
  ผู้บริหารและพนักงานทุกคน มีบทบาทและความรับผิดชอบร่วมกัน
  ซึ่งได้กำหนดภาระหน้าที่ความรับผิดชอบ
  อำนาจการดำเนินการในระดับบริหารและระดับปฏิบัติการไว้เป็นลายลักษณ์อักษรอย่างชัดเจน
  เพื่อก่อให้เกิดความมั่นใจอย่างสมเหตุสมผลในการปฏิบัติงานว่า ผลของงานที่ได้รับ
  จะสามารถบรรลุวัตถุประสงค์ขององค์กรที่ตั้งไว้ได้ ดังต่อไปนี้

  1. กลยุทธ์และเป้าหมายของบริษัทในระดับภาพรวมและกิจกรรมในระดับปฏิบัติการ
  ได้กำหนดไว้อย่างชัดเจน โดยสอดคล้องและสนับสนุนพันธกิจ (Mission) ขององค์กร

2.  ผลการปฏิบัติงานของแผนงานและโครงการต่างๆ บรรลุตามวัตถุประสงค์ที่กำหนดไว้
    โดยมีการบริหารทรัพย์สินและทรัพยากรของบริษัทให้เป็นไปอย่างมีประสิทธิภาพคุ้มค่า

  3. ข้อมูลที่มีสาระสำคัญ ทั้งด้านการเงิน การบริหาร และการดำเนินงาน มีความถูกต้อง
  เชื่อถือได้ และเป็นข้อมูลเพื่อสนับสนุนการตัดสินใจได้อย่างทันเวลา

  4. การดำเนินงานของบริษัทและการปฏิบัติงานของพนักงาน เป็นไปตามนโยบาย
  กฏระเบียบและข้อกำหนดของบริษัท โดยสอดคล้องกับกฎหมายและข้อบังคับอื่นที่เกี่ยวข้อง

5.  มีการบริหารความปลอดภัยของทรัพย์สิน บุคลากร รวมทั้งข้อมูลในระบบสารสนเทศ
    ให้มีความปลอดภัยอย่างรัดกุมเพียงพอ

  6. มีการปรับปรุงคุณภาพการปฏิบัติงานอย่างต่อเนื่องในทุกกระบวนการและกิจกรรมควบคุม
  รวมทั้งการเปลี่ยนแปลงรูปแบบและเทคโนโลยี เพื่อสามารถตอบสนองความต้องการของลูกค้า

  บริษัทได้จัดให้มีระบบการควบคุมภายในและการบริหารความเสี่ยง
  ตามกรอบงานการบริหารความเสี่ยง โดยอ้างอิงตามมาตรฐานสากลของ COSO-ERM (The
  Committee Of Sponsoring Organizations Of The Treadway Commission
  -Enterprise Risk Management)
  ซึ่งสัมพันธ์กับการดำเนินธุรกิจและกระบวนการบริหารงานตามองค์ประกอบ 8 ข้อ ดังนี้

  1. มีสภาพแวดล้อมภายในบริษัทที่ดี (Internal Environment)

  บริษัทยึดมั่นในจริยธรรมทางธุรกิจ
  โดยผู้บริหารและพนักงานทุกระดับปฏิบัติและยึดมั่นในปรัชญาและจรรยาบรรณธุรกิจบริษัท
  ที่มีการกำหนดเป็นลายลักษณ์อักษร และมีการจัดโครงสร้างการบริหารที่เหมาะสม
  มีการกำหนดและระบุอำนาจหน้าที่ความรับผิดชอบอย่างชัดเจน และมีการกำหนดนโยบาย ระเบียบ
  ขั้นตอนหรือวิธีการปฏิบัติงานให้เป็นลายลักษณ์อักษร ทั้งด้านการเงิน
  การบริหารทั่วไปและระบบสารสนเทศที่เกี่ยวข้อง มีการจัดการและปฏิบัติต่อผู้มีส่วนได้เสียที่ดี
  โดยคำนึงถึงความเป็นธรรมต่อพนักงาน คู่ค้า ลูกค้า เจ้าหนี้การค้า คู่แข่งขันทางธุรกิจ
  ตลอดจนผู้ถือหุ้น สังคมและสิ่งแวดล้อมต่างๆ
  นอกจากนี้มีการจัดการฝึกอบรมพนักงานทุกระดับให้ทราบและเข้าใจเรื่องการบริหารความเสี่ยง
  และมีการกำหนดกิจกรรม การบ่งชี้
  การประเมินและการจัดการความเสี่ยงอย่างเป็นระบบต่อเนื่อง
  และฝ่ายบริหารได้กำหนดระดับความเสี่ยงที่ยอมรับได้อย่างเหมาะสม

  2. มีการกำหนดวัตถุประสงค์ที่ชัดเจน (Objective Setting)

  บริษัทมีการกำหนดวัตถุประสงค์การปฏิบัติงานอย่างชัดเจน ทั้งด้านกลยุทธ์ ด้านการปฏิบัติงาน
  ด้านนโยบาย กฎ ระเบียบ ข้อปฏิบัติต่างๆ โดยบันทึกเป็นลายลักษณ์อักษร
  และสอดคล้องกับเป้าหมายหลักหรือพันธกิจในภาพรวม และฝ่ายบริหารมีการปรับเปลี่ยนแผนงาน
  กลยุทธ์และวัตถุประสงค์ที่เหมาะสมให้สอดคล้องกับสถานการณ์หรือปัจจัยเสี่ยงที่เปลี่ยนแปลงไปอย่างสม่ำเสมอ

  3. มีการระบุตัวบ่งชี้เหตุการณ์หรือปัจจัยเสี่ยงอย่างครบถ้วนเหมาะสม ( Event
  Identification)

  บริษัทมีการกำหนดหรือระบุตัวบ่งชี้เหตุการณ์หรือปัจจัยเสี่ยงต่างๆที่อาจจะเกิดขึ้นและส่งผลกระทบหรือผลเสียหายต่อวัตถุประสงค์นั้นๆในแต่ละกิจกรรมอย่างครบถ้วนเหมาะสมและต่อเนื่อง
  โดยพิจารณาจากแหล่งความเสี่ยงภายในและภายนอกบริษัท ได้แก่ ความเสี่ยงด้านการกลยุทธ์
  ด้านการเงิน ด้านบุคลากร ด้านการปฏิบัติงาน ด้านระบบคอมพิวเตอร์และสารสนเทศที่เกี่ยวข้อง
  ด้านคู่แข่งขัน ด้านบริษัทคู่ค้า ด้านเศรษฐกิจ ด้านกฎระเบียบและข้อปฏิบัติต่างๆ เป็นต้น

  นอกจากนี้บริษัทยังมีการติดตามเพื่อให้มั่นใจว่าบริษัทมีการกำหนดหรือระบุปัจจัยเสี่ยงอย่างเหมาะสมที่ครอบคลุมต่อการเปลี่ยนแปลงของแต่ละกิจกรรมที่เปลี่ยนแปลงไป
  และมีการรายงานผลต่อฝ่ายบริหารหรือผู้เกี่ยวข้องให้รับทราบอย่างสม่ำเสมอ

  4. มีกระบวนการประเมินความเสี่ยงที่เหมาะสม (Risk Assessment)

  บริษัทได้กำหนดให้มีการประเมินความเสี่ยงทั้งเชิงคุณภาพและปริมาณ และทำการประเมินใน 2
  ด้าน คือ โอกาสที่จะเกิดเหตุการณ์ความเสี่ยง (Likelihood)
  และผลกระทบต่อความเสียหายที่จะเกิดเหตุการณ์นั้น (Impact)
  เพื่อพิจารณาระดับของความเสี่ยงที่อาจจะเป็นระดับสูง กลาง หรือต่ำ
  โดยบริษัทได้จัดทำการประเมินระดับของความเสี่ยงจากตัวบ่งชี้เหตุการณ์หรือปัจจัยเสี่ยงที่สำคัญที่ได้ระบุไว้และทำการประเมินอย่างเป็นระบบและสม่ำเสมอ

  5. มีการตอบสนองความเสี่ยงอย่างมีประสิทธิผล (Risk Response)

  บริษัทมีกระบวนการจัดการหรือบริหารความเสี่ยงอย่างเป็นระบบ
  โดยพิจารณาทางเลือกที่มีประสิทธิผลและความคุ้มค่าที่สุด
  เพื่อลดโอกาสที่จะเกิดเหตุการณ์ความเสี่ยงและผลกระทบต่อความเสียหายที่จะเกิดเหตุการณ์ความเสี่ยงนั้นให้อยู่ในระดับที่ยอมรับได้
  รวมทั้งยังมีการบริหารความเสี่ยงอย่างต่อเนื่องควบคู่ไปกับมาตรการควบคุมภายใน
  ให้มีความสัมพันธ์เหมาะสมกับความเสี่ยงที่เปลี่ยนแปลงไปอยู่ตลอดเวลา
  โดยเลือกจัดการกับความเสี่ยงระดับสูงเป็นอันดับแรก
  โดยทางบริษัทใช้กลยุทธ์ในการบริหารความเสี่ยง ดังนี้

-   การยอมรับความเสี่ยง (Risk Acceptance) ในกรณีที่ฝ่ายบริหารพิจารณาเห็นชอบว่า
    ความเสี่ยงที่เกิดขึ้น ส่งผลกระทบไม่เกินระดับที่ยอมรับได้

-   การหลีกเลี่ยงความเสี่ยง (Risk Avoidance) โดยการหลีกเลี่ยงหรือหยุดกระทำกิจกรรม
    หรือเปลี่ยนรูปแบบการทำกิจกรรม ที่จะก่อให้เกิดความเสี่ยง

-   การลดหรือควบคุมความเสี่ยง (Risk Reduction)
    เป็นการดำเนินการเพื่อลดโอกาสที่จะเกิดเหตุการณ์ความเสี่ยงและผลกระทบต่อความเสียหายที่จะเกิดเหตุการณ์ความเสี่ยงนั้นให้อยู่ในระดับที่ยอมรับได้
    เช่น การกำหนดแผนสำรองฉุกเฉิน การทบทวนปรับปรุงวิธีการปฏิบัติงาน
    การฝึกอบรมพัฒนาบุคลากรอยู่เสมอ การปรับปรุงระบบคอมพิวเตอร์ให้มีประสิทธิภาพยิ่งขึ้น
    เป็นต้น

-   การกระจายหรือโอนความเสี่ยง (Risk Sharing )
    โดยการแบ่งโอนหรือกระจายความเสี่ยง

  ให้กับผู้อื่นแทน เช่น จัดให้มีการประกันภัยทรัพย์สิน การประกันภัยอุบัติเหตุ เป็นต้น

  6. มีกิจกรรมการควบคุมที่ดี (Control Activities)

  บริษัทได้กำหนดกิจกรรมการควบคุมที่มีสาระสำคัญของแต่ละระบบงานไว้อย่างเหมาะสม
  รวมทั้งนโยบาย วิธีการปฏิบัติ และการรายงานผลอย่างสม่ำเสมอ เพื่อให้มั่นใจว่า
  วิธีการจัดการความเสี่ยงที่ได้กำหนดไว้ หรือกิจกรรมการควบคุมนั้นได้มีการนำไปปฏิบัติจริง
  โดยผลการปฏิบัติงานสามารถบรรลุวัตถุประสงค์ที่ตั้งไว้ได้
  ซึ่งมุ่งเน้นให้การปฏิบัติงานมีคุณภาพสูงสุดและมีความรวดเร็วควบคู่ไปด้วย
  นอกจากนี้บริษัทยังมีการกำหนดบุคลากรภายในองค์กร
  เพื่อดูแลรับผิดชอบการควบคุมภายในของแต่ละระบบงานและแบ่งแยกหน้าที่ความรับผิดชอบอย่างชัดเจน
  มีการกำหนดระยะเวลาการบริหารความเสี่ยงและมีการรายงานผลเป็นลายลักษณ์อักษรต่อผู้เกี่ยวข้อง

  7. มีระบบสารสนเทศและการสื่อสารข้อมูลที่ดี (Information and Communication)

บริษัทมีระบบสารสนเทศที่สามารถเชื่อมโยงกันได้อย่างทั่วถึง
ซึ่งสามารถนำไปใช้เพื่อการตัดสินใจได้อย่างถูกต้องทันเวลา
และมีระบบการจัดเก็บข้อมูลที่สามารถตรวจสอบความถูกต้องย้อนหลังได้ (Audit Trail)
และมีระบบรักษาความปลอดภัยของข้อมูลและสารสนเทศอย่างมีประสิทธิภาพเพียงพอ
รวมถึงระบบที่สามารถวิเคราะห์หรือบ่งชี้จุดที่อาจจะเกิดความเสี่ยงในเชิงสถิติได้
โดยทำการประเมินและจัดการความเสี่ยงได้อย่างเป็นระบบ
และมีการบันทึกหรือและรายงานผลได้อย่างมีประสิทธิภาพ

นอกจากนี้บริษัทยังมีการสื่อสารข้อมูลพันธกิจ และแนวทางการบริหารความเสี่ยงลงสู่พนักงานทุกระดับ
เพื่อทราบและเข้าใจก่อนการปฏิบัติงานจริง
และยังมีช่องทางการสื่อสารจากระดับพนักงานขึ้นสู่ระดับผู้บริหารอย่างเหมาะสมเพียงพอ
เพื่อช่วยให้บุคคลากรที่เกี่ยวข้องสามารถตอบสนองต่อเหตุการณ์ได้อย่างรวดเร็วและมีประสิทธิภาพหรือสามารถปรับเปลี่ยนกิจกรรมการควบคุม
ให้สามารถจัดการความเสี่ยงให้อยู่ในระดับที่ยอมรับได้

8.  มีระบบการติดตามผลที่ดี (Monitoring )

บริษัทมีระบบการประเมินและติดตามผลการดำเนินการ โดยใช้ระบบ Balance Scorecard ในการวัดผลการดำเนินงาน และให้มีการติดตามอย่างสม่ำเสมอต่อเนื่อง เพื่อให้สามารถตอบสนองต่อการเปลี่ยนแปลงได้อย่างเหมาะสม ทันเวลา นอกจากนี้ บริษัทได้จัดให้มีการตรวจประเมินผลการปฏิบัติงาน โดยหน่วยงานตรวจสอบภายใน ซึ่งเป็นหน่วยงานอิสระ ผู้สอบบัญชี และผู้ประเมินอิสระจากภายนอก

บริษัทมีระบบการติดตามผลการบริหารความเสี่ยงที่ดี ทำให้มั่นใจได้ว่า การจัดการ หรือการบริหารความเสี่ยงมีประสิทธิภาพเหมาะสมเพียงพอ โดยความเสี่ยงนั้นอยู่ในระดับที่ยอมรับได้ นอกจากนี้บริษัทยังให้มีการรายงานผลต่อหัวหน้างานทุกระดับและต่อผู้บริหารระดับสูงอย่างสม่ำเสมอ และจัดให้มีการประชุมคณะกรรมการบริษัทและมีการประชุมผู้บริหารอย่างสม่ำเสมอ เพื่อพิจารณาและติดตามผลการดำเนินงานของฝ่ายบริหารว่าเป็นไปตามเป้าหมายที่ตั้งไว้อย่างไร

  ในการประชุมคณะกรรมการครั้งที่ 2/2548 เมื่อวันที่ 17 กุมภาพันธ์ 2548
  โดยมีคณะกรรมการตรวจสอบเข้าร่วมประชุมด้วย
  คณะกรรมการได้ประเมินระบบการควบคุมภายในของบริษัท
  จากการสอบทานการประเมินระบบการควบคุมภายใน และการซักถามข้อมูลจากฝ่ายบริหาร
  ผลการประเมินจากแบบประเมินความเพียงพอของระบบการควบคุมภายใน
  (รายละเอียดปรากฏตามเอกสารแนบ) สรุปได้ว่า
  บริษัทมีระบบการควบคุมภายในที่มีประสิทธิผลเหมาะสมเพียงพอ

  นอกจากนี้ ผู้สอบบัญชีของบริษัท คือ บริษัท ไพร้ซวอเตอร์เฮาส์คูเปอร์ส เอบีเอเอส จำกัด
  ซึ่งเป็น ผู้ตรวจสอบงบการเงินประจำงวดปี 2547
  ได้ประเมินประสิทธิผลระบบการควบคุมภายในของบริษัทตามที่ เห็นว่าจำเป็น โดยพบว่า
  ไม่มีจุดอ่อนของระบบการควบคุมภายในที่มีสาระสำคัญแต่ประการใด