10. การควบคุมภายใน

ระบบการควบคุมภายใน การบริหารความเสี่ยง และการตรวจสอบภายใน 

  การควบคุมภายในและการบริหารความเสี่ยง

การควบคุมภายในและการบริหารความเสี่ยง
เป็นกระบวนการปฏิบัติงานที่ปฏิบัติเป็นขั้นตอนอย่างต่อเนื่องโดยเจ้าหน้าที่ทั้งหมดของบริษัทตั้งแต่
คณะกรรมการ ผู้บริหารและพนักงานทุกคน มีบทบาทและความรับผิดชอบร่วมกัน
ซึ่งกำหนดภาระหน้าที่ความรับผิดชอบ
อำนาจการดำเนินการในระดับบริหารและระดับปฏิบัติการไว้เป็นลายลักษณ์อักษรอย่างชัดเจน
เพื่อก่อให้เกิดความมั่นใจอย่างสมเหตุสมผลในการปฏิบัติงานว่า
ผลสำเร็จของงานจะสามารถบรรลุวัตถุประสงค์ขององค์กรที่ตั้งไว้ได้ ดังต่อไปนี้

1.  กลยุทธ์และเป้าหมายของบริษัทในระดับภาพรวมและกิจกรรมในระดับปฏิบัติการ
    ได้กำหนดไว้อย่างชัดเจน โดยสอดคล้องและสนับสนุนพันธกิจ (Mission) ขององค์กร

2.  ผลการปฏิบัติงานของแผนงานและโครงการต่างๆ บรรลุตามวัตถุประสงค์ที่กำหนดไว้
    โดยมีการบริหารทรัพย์สินและทรัพยากรของบริษัทให้เป็นไปอย่างมีประสิทธิภาพคุ้มค่า

3.  ข้อมูลที่มีสาระสำคัญ ทั้งด้านการเงิน การบริหาร และการดำเนินงาน มีความถูกต้อง
    เชื่อถือได้ และเป็นข้อมูลเพื่อสนับสนุนการตัดสินใจได้อย่างทันเวลา

4.  การดำเนินงานของบริษัทและการปฏิบัติงานของพนักงาน เป็นไปตามนโยบาย
    กฏระเบียบและข้อกำหนดของบริษัท โดยสอดคล้องกับกฎหมายและข้อบังคับอื่นที่เกี่ยวข้อง

5.  มีการบริหารความปลอดภัยของทรัพย์สิน บุคลากร รวมทั้งข้อมูลในระบบสารสนเทศ
    ให้มีความปลอดภัยอย่างรัดกุมเพียงพอ

6.  มีการปรับปรุงคุณภาพการปฏิบัติงานอย่างต่อเนื่องในทุกกระบวนการและกิจกรรมควบคุม
    รวมทั้งการเปลี่ยนแปลงรูปแบบและเทคโนโลยี
    เพื่อสามารถตอบสนองความต้องการของลูกค้าที่เปลี่ยนแปลงไป

บริษัทมีระบบการควบคุมภายในและการบริหารความเสี่ยง ตามกรอบงานการบริหารความเสี่ยง
โดยอ้างอิงตามมาตรฐานสากลของ COSO-ERM (The Committee Of Sponsoring
Organizations Of The Treadway Commission -Enterprise Risk Management)
ซึ่งสัมพันธ์กับการดำเนินธุรกิจและกระบวนการบริหารงานตามองค์ประกอบ 8 ข้อ ดังนี้

1.  มีสภาพแวดล้อมภายในบริษัทที่ดี (Internal Environment)

บริษัทยึดมั่นในจริยธรรมทางธุรกิจ
โดยพนักงานทุกระดับปฏิบัติและยึดมั่นในปรัชญาและจรรยาบรรณธุรกิจของบริษัท
ที่มีข้อกำหนดและแนวทางปฏิบัติที่เป็นลายลักษณ์อักษร (Code of conduct)
อีกทั้งผู้บริหารยังเป็นตัวอย่างที่ดีในเรื่องความซื่อสัตย์และจริยธรรม
และมีการจัดโครงสร้างการบริหาร การกำหนดนโยบาย ระเบียบ ขั้นตอนหรือวิธีการปฏิบัติงาน
ทั้งด้านการเงิน การบริหารทั่วไปและระบบสารสนเทศที่เกี่ยวข้องไว้อย่างเหมาะสม
ตลอดจนมีการระบุอำนาจหน้าที่ความรับผิดชอบไว้อย่างชัดเจน
มีระบบการจัดการและการปฏิบัติต่อผู้มีส่วนได้เสียที่ดี โดยคำนึงถึงความเป็นธรรมต่อพนักงาน ลูกค้า
เจ้าหนี้การค้า คู่แข่งขัน ตลอดจนผู้ถือหุ้น สังคมและสิ่งแวดล้อมต่างๆ ไว้อย่างเหมาะสม

นอกจากนี้ บริษัทยังให้ความสำคัญในเรื่องบุคลากร
โดยจัดให้มีการฝึกอบรมอย่างต่อเนื่องในแต่ละบุคคล
รวมถึงความเข้าใจในเรื่องแนวทางการบริหารความเสี่ยง โดยกำหนดให้มีกิจกรรมการบ่งชี้
การประเมินและการจัดการความเสี่ยงอย่างเป็นระบบและต่อเนื่อง
อีกทั้งฝ่ายบริหารได้ระบุระดับความเสี่ยงที่ยอมรับได้ไว้อย่างเหมาะสมแล้ว

2. มีการกำหนดวัตถุประสงค์ที่ชัดเจน (Objective Setting)

บริษัทมีการกำหนดวัตถุประสงค์การปฏิบัติงานอย่างชัดเจน ทั้งด้านกลยุทธ์ ด้านการปฏิบัติงาน
ด้านการรายงาน รวมทั้งด้านการปฏิบัติตามนโยบาย กฎ ระเบียบ ข้อปฏิบัติต่างๆ
โดยบันทึกเป็นลายลักษณ์อักษร
และสอดคล้องกับเป้าหมายหลักหรือพันธกิจในภาพรวมและระดับความเสี่ยงที่ยอมรับได้
นอกจากนี้ฝ่ายบริหารมีการปรับเปลี่ยนแผนงาน
กลยุทธ์และวัตถุประสงค์ที่เหมาะสมให้สอดคล้องกับสถานการณ์หรือปัจจัยเสี่ยงที่เปลี่ยนแปลงไปอย่างสม่ำเสมอ

3. มีการระบุตัวบ่งชี้เหตุการณ์หรือปัจจัยเสี่ยงอย่างครบถ้วนเหมาะสม ( Event
Identification)

บริษัทได้กำหนดหรือระบุตัวบ่งชี้เหตุการณ์หรือปัจจัยเสี่ยงต่างๆ
ที่อาจจะเกิดขึ้นทางด้านลบที่จะส่งผลเสียหายต่อวัตถุประสงค์นั้นๆในแต่ละกิจกรรม
และจัดประเภทปัจจัยเสี่ยงไว้อย่างครบถ้วน
รวมทั้งระบุเหตุการณ์ที่อาจจะเกิดขึ้นที่เอื้ออำนวยต่อวัตถุประสงค์ทางด้านบวกไว้ด้วยเช่นกัน
ซึ่งพิจารณาจากแหล่งความเสี่ยงภายในและภายนอกบริษัท ได้แก่ ความเสี่ยงด้านการกลยุทธ์
ด้านการเงิน ด้านบุคลากร ด้านการปฏิบัติงาน ด้านระบบคอมพิวเตอร์และสารสนเทศที่เกี่ยวข้อง
ด้านการตลาด ด้านการลงทุนและด้านกฎระเบียบและข้อปฏิบัติต่างๆ เป็นต้น

นอกจากนี้บริษัทยังมีการติดตามผลเพื่อให้มั่นใจว่าบริษัทมีการกำหนดหรือระบุปัจจัยเสี่ยงอย่างเหมาะสมที่ครอบคลุมต่อการเปลี่ยนแปลงของแต่ละกิจกรรมที่เปลี่ยนแปลงไป
และมีการรายงานต่อผู้บริหารหรือผู้เกี่ยวข้องให้รับทราบอย่างสม่ำเสมอ

  4. มีกระบวนการประเมินความเสี่ยงที่เหมาะสม (Risk Assessment)

บริษัทได้กำหนดหลักเกณฑ์ของการประเมินความเสี่ยงทั้งเชิงคุณภาพและปริมาณ
โดยทำการประเมินทั้ง 2 ด้าน คือ โอกาสที่จะเกิดเหตุการณ์ความเสี่ยง ( Likelihood )
และผลกระทบต่อความเสียหายที่จะเกิดเหตุการณ์นั้น (Impact)
เพื่อพิจารณาระดับค่าของความเสี่ยงที่อาจเป็นระดับสูง กลาง หรือต่ำ
โดยบริษัทได้จัดทำการประเมินระดับของความเสี่ยงจากตัวบ่งชี้เหตุการณ์หรือปัจจัยเสี่ยงที่สำคัญที่ได้ระบุไว้และทำการประเมินอย่างเป็นระบบและสม่ำเสมอ

5. มีการตอบสนองต่อความเสี่ยงอย่างมีประสิทธิผล (Risk Response)

บริษัทมีกระบวนการจัดการหรือบริหารความเสี่ยงอย่างเป็นระบบ
โดยพิจารณาทางเลือกที่มีประสิทธิผลและความคุ้มค่าที่สุด
เพื่อลดโอกาสที่จะเกิดเหตุการณ์ความเสี่ยงและลดผลกระทบต่อความเสียหายที่จะเกิดเหตุการณ์นั้นให้อยู่ในระดับที่ยอมรับได้
รวมทั้งยังมีการบริหารความเสี่ยงอย่างต่อเนื่องควบคู่ไปกับมาตรการควบคุมภายใน
ให้มีความสัมพันธ์เหมาะสมกับความเสี่ยงที่เปลี่ยนแปลงไปอยู่ตลอดเวลา
โดยเลือกจัดการกับความเสี่ยงระดับสูงเป็นอันดับแรก ซึ่งทางบริษัทมีกลยุทธ์ในการบริหารความเสี่ยง
ดังนี้

-   การยอมรับความเสี่ยง (Risk Acceptance) ในกรณีที่ฝ่ายบริหารพิจารณาเห็นชอบว่า
    ความเสี่ยงที่เกิดขึ้น ส่งผลกระทบไม่เกินระดับที่ยอมรับได้

-   การหลีกเลี่ยงความเสี่ยง (Risk Avoidance) โดยการหลีกเลี่ยงหรือหยุดกระทำกิจกรรม
    หรือเปลี่ยนรูปแบบการทำกิจกรรม ที่จะก่อให้เกิดความเสี่ยง

-   การลดหรือควบคุมความเสี่ยง (Risk Reduction)
    เป็นการดำเนินการเพื่อลดโอกาสที่จะเกิดเหตุการณ์ความเสี่ยงและผลกระทบต่อความเสียหายที่จะเกิดเหตุการณ์ความเสี่ยงนั้นให้อยู่ในระดับที่ยอมรับได้
    เช่น การกำหนดแผนสำรองฉุกเฉิน การทบทวนปรับปรุงวิธีการปฏิบัติงาน
    การฝึกอบรมพัฒนาบุคลากรอยู่เสมอ การปรับปรุงระบบคอมพิวเตอร์ให้มีประสิทธิภาพยิ่งขึ้น
    เป็นต้น

-   การกระจายหรือโอนความเสี่ยง (Risk Sharing )
    โดยการแบ่งโอนหรือกระจายความเสี่ยงให้กับผู้อื่นแทน เช่น จัดให้มีการประกันภัยทรัพย์สิน
    การประกันภัยอุบัติเหตุ เป็นต้น

  6. มีกิจกรรมการควบคุมที่ดี (Control Activities)

  บริษัทได้กำหนดกิจกรรมการควบคุมที่มีสาระสำคัญของแต่ละระบบงานไว้อย่างเหมาะสมโดยให้ความสำคัญต่อกิจกรรมควบคุมแบบป้องกันเป็นหลัก
  รวมทั้งนโยบาย วิธีการปฏิบัติ และการรายงานผลอย่างสม่ำเสมอ เพื่อให้มั่นใจว่า
  วิธีการจัดการความเสี่ยงที่ได้กำหนดไว้ หรือกิจกรรมการควบคุมนั้นได้มีการนำไปปฏิบัติจริง
  โดยผลการปฏิบัติงานสามารถบรรลุวัตถุประสงค์ที่ตั้งไว้ได้
  ซึ่งมุ่งเน้นให้การปฏิบัติงานมีคุณภาพสูงสุดและมีความรวดเร็วควบคู่ไปด้วยกัน
  นอกจากนี้บริษัทยังมีการกำหนดบุคลากรภายในองค์กร
  เพื่อดูแลรับผิดชอบระบบการควบคุมภายในของแต่ละระบบงานและแบ่งแยกหน้าที่ความรับผิดชอบอย่างชัดเจน
  พร้อมทั้งกำหนดระยะเวลาการบริหารความเสี่ยงและการรายงานผลเป็นลายลักษณ์อักษรต่อผู้เกี่ยวข้อง

  7. มีระบบสารสนเทศและการสื่อสารข้อมูลที่ดี (Information and Communication)

บริษัทมีระบบสารสนเทศที่สามารถเชื่อมโยงกันได้อย่างทั่วถึง
เพื่อนำไปใช้ในการตัดสินใจได้อย่างถูกต้องทันเวลา
และมีระบบรักษาความปลอดภัยของข้อมูลและสารสนเทศที่มีประสิทธิภาพเพียงพอ
รวมทั้งมีระบบการจัดเก็บข้อมูลที่สามารถตรวจสอบความถูกต้องย้อนหลังได้ (Audit Trail)
อีกทั้งยังมีระบบที่สามารถวิเคราะห์หรือบ่งชี้จุดที่อาจจะเกิดความเสี่ยงในเชิงสถิติได้อย่างเป็นระบบ
ซึ่งทำการประเมินและจัดการความเสี่ยงพร้อมทั้งบันทึกหรือรายงานผลไว้อย่างครบถ้วน

บริษัทมีช่องทางการติดต่อสื่อสารที่มีประสิทธิผลในลักษณะวงกว้างทั้งภายในและภายนอก เช่น
ผู้บริหารสู่พนักงาน พนักงานสู่พนักงาน พนักงานสู่ผู้บริหาร พนักงานสู่ลูกค้าและผู้เกี่ยวข้องอื่นๆ เช่น
เจ้าหนี้การค้า นักกฎหมาย และผู้ถือหุ้น เป็นต้น

นอกจากนี้บริษัทยังมีการสื่อสารข้อมูลพันธกิจ และแนวทางการบริหารความเสี่ยงลงสู่พนักงานทุกระดับ
เพื่อรับทราบและทำความเข้าใจก่อนการปฏิบัติงานจริง
และยังมีช่องทางการสื่อสารจากระดับพนักงานขึ้นสู่ระดับผู้บริหารอย่างเหมาะสมเพียงพอ
เพื่อช่วยให้บุคคลากรที่เกี่ยวข้องสามารถตอบสนองต่อเหตุการณ์ได้อย่างรวดเร็วและมีประสิทธิภาพหรือสามารถปรับเปลี่ยนกิจกรรมการควบคุมให้สามารถจัดการความเสี่ยงให้อยู่ในระดับที่ยอมรับได้อย่างทันเวลา

8.  มีระบบการติดตามผลที่ดี (Monitoring )

 บริษัทมีระบบการประเมินและติดตามผลการดำเนินงานที่ดีโดยใช้ ระบบ Balance Scorecard ดัชนีวัดผลการปฏิบัติงานที่สำคัญ Key Performance Indicator การกำหนดเป้าหมายและการเปรียบเทียบกับวิธีที่ดีที่สุด Benchmarking and Best Practices เป็นเครื่องมือในการวัดผลการดำเนินงาน และให้มีการติดตามผลอย่างสม่ำเสมอต่อเนื่อง เพื่อให้มั่นใจได้ว่า มาตรการและระบบการควบคุมภายในนั้นมีประสิทธิผลและได้รับการปรับปรุงให้ทันสมัยอยู่เสมอ โดยสามารถตอบสนองต่อการเปลี่ยนแปลงได้อย่างเหมาะสม ทันเวลา นอกจากนี้บริษัทได้จัดให้มีการตรวจประเมินผลการปฏิบัติงาน โดยหน่วยงานตรวจสอบภายใน ซึ่งเป็นหน่วยงานอิสระ ผู้สอบบัญชี และผู้ประเมินอิสระจากภายนอก นอกจากนี้บริษัทมีระบบการติดตามผลการบริหารความเสี่ยงที่ดีและมีการกำหนดสัญญาณเตือนภัย เพื่อให้มั่นใจได้ว่า การบริหารและการจัดการความเสี่ยงมีประสิทธิผลเหมาะสมเพียงพอ ซึ่งความเสี่ยงนั้นอยู่ในระดับที่ยอมรับได้ โดยให้มีการรายงานผลต่อหัวหน้างานทุกระดับและต่อผู้บริหารระดับสูงอย่างสม่ำเสมอ และจัดให้มีการประชุมคณะกรรมการบริษัทและมีการประชุมผู้บริหารอย่างสม่ำเสมอ เพื่อพิจารณาและติดตามผลการดำเนินงานของฝ่ายบริหารว่าเป็นไปตามเป้าหมายที่ตั้งไว้อย่างไร

 ในการประชุมคณะกรรมการครั้งที่ 3/2549 เมื่อวันที่ 27 กุมภาพันธ์ 2549 โดยมีคณะกรรมการตรวจสอบเข้าร่วมประชุมด้วย คณะกรรมการได้ประเมินระบบการควบคุมภายในของบริษัท จากการสอบทานการประเมินระบบการควบคุมภายใน และการซักถามข้อมูลจากฝ่ายบริหาร ผลการประเมินจากแบบประเมินความเพียงพอของระบบการควบคุมภายในสรุปได้ว่า บริษัทมีระบบการควบคุมภายในที่มีประสิทธิผลเหมาะสมเพียงพอ

นอกจากนี้ ผู้สอบบัญชีของบริษัท คือ บริษัท ไพร้ซวอเตอร์เฮาส์คูเปอร์ส เอบีเอเอส จำกัด
ซึ่งเป็นผู้ตรวจสอบงบการเงินประจำงวดปี 2548
ได้ประเมินประสิทธิผลระบบการควบคุมภายในของบริษัทตามที่เห็นว่าจำเป็น โดยพบว่า
ไม่มีจุดอ่อนของระบบการควบคุมภายในที่มีสาระสำคัญแต่ประการใด

  การตรวจสอบภายใน

หน่วยงานตรวจสอบภายในมีความเป็นอิสระ (Independence)
รายงานตรงต่อคณะกรรมการตรวจสอบในด้านงานตรวจสอบภายใน
และรายงานต่อประธานกรรมการบริหารในด้านงานบริหารหน่วยงาน
โดยได้จัดทำกฎบัตรของหน่วยงานตรวจสอบภายใน ซึ่งกำหนดภารกิจ ขอบเขต
วัตถุประสงค์และภาระหน้าที่ความรับผิดชอบ รวมถึงสิทธิในการปฏิบัติงานตรวจสอบไว้อย่างชัดเจน
อีกทั้งยังมีคู่มือการปฏิบัติงานตรวจสอบไว้อ้างอิงในการปฏิบัติงาน

หน่วยงานตรวจสอบภายในทำหน้าที่ตรวจประเมินระบบการควบคุมภายใน
ระบบการบริหารความเสี่ยง และการกำกับดูแลกิจการของบริษัท
พร้อมทั้งให้คำปรึกษาแนะนำในด้านต่างๆ เพื่อให้เกิดความเชื่อมั่นว่า
การปฏิบัติงานของบริษัทจะบรรลุผลสำเร็จตามวัตถุประสงค์ที่กำหนดไว้
อีกทั้งยังทำการติดตามประเมินผลอย่างสม่ำเสมอ
เพื่อให้เกิดความมั่นใจในระบบที่วางไว้ได้ดำเนินการอยู่อย่างต่อเนื่อง
และได้รับการแก้ไขปรับปรุงอย่างสม่ำเสมอให้สอดคล้องกับสถานการณ์ที่แปลงเปลี่ยนไป
รวมทั้งข้อบกพร่องได้รับการแก้ไขอย่างทันท่วงที
โดยหน่วยงานตรวจสอบภายในได้ใช้วิธีการตรวจสอบภายในอย่างเป็นระบบตามมาตรฐานการปฏิบัติงานวิชาชีพการตรวจสอบภายใน
(Standard for the Professional Practice of Internal Auditing), COBIT,
COSO-ERM, AS / NZ 4360, ITIL, ISO 17799, ISO 13335-3 เป็นต้น

ในการตรวจประเมินความมีประสิทธิผลของการบริหารความเสี่ยง
หน่วยงานตรวจสอบภายในได้ดำเนินการสอบทานตัวบ่งชี้เหตุการณ์หรือปัจจัยเสี่ยงที่ส่งผลกระทบต่อวัตถุประสงค์
และแนวทางการบริหารความเสี่ยงของผู้ปฏิบัติงาน
เพื่อให้มั่นใจว่ามีการระบุและประเมินความเสี่ยงได้อย่างถูกต้องเหมาะสม
และมีการบริหารความเสี่ยงที่เป็นระบบ สามารถจัดการความเสี่ยงให้อยู่ในระดับที่ยอมรับได้
และมีการรายงานความเสี่ยงต่อผู้เกี่ยวข้องอย่างครบถ้วนทันเวลา
พร้อมทั้งยังมีการติดตามสอบทานความเสี่ยงอย่างต่อเนื่องสม่ำเสมอ

ในการตรวจประเมินความมีประสิทธิผลของระบบการควบคุมภายใน
หน่วยงานตรวจสอบภายในได้จัดทำแบบประเมินความเพียงพอของระบบการควบคุมภายในของแต่ละระบบงาน
รวมทั้งได้ทำการสอบทานผลการปฏิบัติงาน เพื่อให้มั่นใจว่า
บริษัทสามารถบรรลุวัตถุประสงค์ที่ตั้งไว้อย่างมีประสิทธิภาพและประสิทธิผล โดยปฏิบัติตามกฎ
ระเบียบ ข้อบังคับต่างๆ อย่างเคร่งครัด และรายงานทางการเงินมีความถูกต้องน่าเชื่อถือ

ในการตรวจประเมินการกำกับดูแลกิจการ
หน่วยงานตรวจสอบภายในได้ตรวจประเมินการกำกับดูแลดูแลกิจการตามหลักการกำกับดูแลกิจการที่ดีของ
OECD และตลาดหลักทรัพย์แห่งประเทศไทยเป็นเกณฑ์
เพื่อให้มั่นใจว่าบริษัทมีโครงสร้างและการสนับสนุนของกระบวนการที่จำเป็นในการนำไปสู่ผลสำเร็จของการกำกับดูแลที่ดีและโปร่งใสและให้ความเป็นธรรมแก่ผู้มีส่วนได้เสียทุกฝ่ายเท่าเทียมกัน

นอกจากนี้หัวหน้าหน่วยงานตรวจสอบภายใน
ได้ปฏิบัติหน้าที่เป็นเลขานุการของคณะกรรมการตรวจสอบ
เพื่อสนับสนุนภาระหน้าที่ของคณะกรรมการให้มีประสิทธิผล
โดยจัดให้มีการประชุมคณะกรรมการเดือนละ 1 ครั้ง
และยังมีบทบาทเพิ่มเติมในการให้คำปรึกษาแนะนำในด้านต่างๆ
โดยได้ร่วมเป็นคณะกรรมการด้านความปลอดภัยระบบสารสนเทศของบริษัทและเป็นกรรมการและเลขานุการของคณะกรรมการบริหารความเสี่ยง
เพื่อให้ข้อเสนอแนะในด้านการรักษาความปลอดภัยด้านสารสนเทศในองค์กร
ตลอดจนมีบทบาทในการสนับสนุนส่งเสริมให้เจ้าหน้าที่ทุกระดับชั้น
เกิดความตระหนักถึงความสำคัญของการรักษาความปลอดภัยในระบบสารสนเทศ และผลักดันให้เกิด
Security Mind ให้เป็นส่วนหนึ่งของวัฒนธรรมองค์กร
โดยกำหนดให้กรรมการมีการประชุมกันอย่างน้อยไตรมาสละ 1 ครั้ง
รวมทั้งทำหน้าที่สนับสนุนการปฏิบัติงานในการกำหนดหลักเกณฑ์ นโยบาย กรอบการบริหารความเสี่ยง
และระดับความเสี่ยงที่ยอมรับได้ในระดับภาพรวม พร้อมทั้งปรับปรุงกระบวนการบริหาร ความเสี่ยง
และพัฒนาเครื่องมือที่ใช้ในการบริหารความเสี่ยงให้มีประสิทธิภาพ ทันสมัย
และสนับสนุนให้หน่วยงานต่าง ๆมีระบบการบริหารความเสี่ยง โดยทำการบริหารและควบคุม
ความเสี่ยงได้ด้วยตนเองอย่างเป็นระบบ
โดยรายงานผลการบริหารความเสี่ยงต่อคณะกรรมการตรวจสอบและคณะกรรมการบริหาร
ไตรมาสละ 1 ครั้ง

ในด้านมาตรฐานวิชาชีพบริษัทได้ให้ความสำคัญกับการพัฒนาการตรวจสอบภายในอย่างต่อเนื่อง
มุ่งเน้นให้มีความเป็นอิสระ เที่ยงธรรม สอดคล้องกับมาตรฐานสากล
โดยเน้นแบบก้าวหน้าและสร้างสรรค์เป็นหลัก
รวมถึงการพัฒนาเจ้าหน้าที่ตรวจสอบภายในให้สอบวุฒิบัตร CIA (Certified Internal
Auditor), CISA (Certified Information System Auditor) และ CISSP
(Certified Information Systems Security Professional) CISM (Certified
Information Security Manager) โดยในปี 2549 มีเจ้าหน้าที่ที่มีวุฒิบัตร CIA จำนวน 5
ท่าน,วุฒิบัตรCISA 1 ท่าน, วุฒิบัตร CISM จำนวน 1 ท่าน วุฒิบัตร CISSP จำนวน 1 ท่าน,
วุฒิบัตร CPA (Certified Public Accountant) จำนวน 3 ท่าน, วุฒิบัตร TA (Tax
Auditor) จำนวน 1 ท่าน โดยเจ้าหน้าที่อีกจำนวนหนึ่งอยู่ระหว่างการพัฒนาให้มีวุฒิบัตร CIA,
CISA และ CISSP อย่างต่อเนื่อง