9. การควบคุมภายใน

การมีระบบการควบคุมภายในที่ดี จะทำให้ระบบการบริหารจัดการและการปฏิบัติงานของบริษัทฯ
มีความถูกต้อง โปร่งใส
ตรวจสอบได้และสามารถป้องกันหรือลดผลกระทบจากความผิดพลาดหรือความเสียหายที่อาจจะเกิดขึ้นกับบริษัทฯ
ได้ บริษัทฯ ได้ให้ความสำคัญต่อระบบการควบคุมภายใน โดยคณะกรรมการบริษัทฯ
ได้มอบหมายให้คณะกรรมการตรวจสอบ ทำหน้าที่สอบทานระบบการควบคุมภายในของบริษัทฯ
เพื่อให้มั่นใจว่าระบบการควบคุมภายในมีความเพียงพอและเหมาะสมกับการดำเนินธุรกิจ
มีประสิทธิผลประสิทธิภาพในการดำเนินงาน และการใช้ทรัพยากร การดูแลรักษาทรัพย์สิน
ระบบบัญชีและรายงานทางการเงินมีความถูกต้องเชื่อถือได้ รวมทั้งการปฏิบัติตามกฎหมาย ระเบียบ
ข้อบังคับที่เกี่ยวข้องกับการดำเนินธุรกิจของบริษัทฯ

บริษัทฯ ได้นำเกณฑ์พิจารณาระดับความเพียงพอของการควบคุมภายในอิงตามมาตรฐานสากล (The
Committee of Sponsoring Organizations of the Treadway Commission: COSO)
มาใช้ โดยมีผลการประเมิน สรุปสาระสำคัญได้ ดังนี้

1.สภาพแวดล้อมของการควบคุม(Control Environment)

บริษัทฯ ได้ดำเนินการเพื่อส่งเสริมกิจกรรมด้านสภาพแวดล้อมของการควบคุมที่ดี ดังนี้

-   กำหนดวิสัยทัศน์ พันธกิจ และค่านิยมองค์กร ที่ชัดเจน
    เพื่อขับเคลื่อนองค์กรให้เติบโตอย่างยั่งยืนและสร้างผลการดำเนินการที่เป็นเลิศ

-   กำหนดเป้าหมายและแผนเชิงกลยุทธ์ทั้งระยะสั้น ระยะกลาง
    และระยะยาวขององค์กรอย่างชัดเจน
    โดยการนำความต้องการและคาดหวังของผู้มีส่วนได้ส่วนเสียทุกกลุ่มมาเป็นปัจจัยนำเข้าในการวางแผนเชิงกลยุทธ์
    รวมทั้งกำหนดแผนงานและตัววัดผลการดำเนินการตามระบบ Balanced Scorecard (BSC)
    และ Key Performance Indicators (KPIs)
    พร้อมทั้งถ่ายทอดลงสู่พนักงานในทุกระดับอย่างสอดคล้องและสนับสนุนกัน
    ทั้งนี้เพื่อความสำเร็จขององค์กรในภาพรวม

-   กำหนดโครงสร้างองค์กร สายการบังคับบัญชา
    และความสัมพันธ์ระหว่างหน่วยงานภายในที่เหมาะสมและชัดเจน สอดคล้องกับเป้าหมาย
    และลักษณะการดำเนินธุรกิจของเครือไทยออยล์
    มีการกระจายอำนาจเพื่อให้มีความคล่องตัวในการปฏิบัติงาน

-   มีการกำหนดคุณลักษณะเฉพาะตำแหน่ง (Job Description) ของบุคลากรทุกตำแหน่งงาน
    และมอบหมายอำนาจหน้าที่และความรับผิดชอบในแต่ละตำแหน่งงานอย่างเหมาะสม

-   มีการจัดทำโครงการบริหารสายอาชีพ (Career
    Management)ด้วยการจัดทำเส้นทางเดินในสายอาชีพรายบุคคล (Individual Career
    Plan: ICP) และแผนพัฒนารายบุคลากร (Individual Development Plan: IDP)
    เพื่อให้พนักงานได้มองเห็นแนวทางในการพัฒนาตนเองไปสู่สายอาชีพที่คาดหวัง
    และเชื่อมโยงสู่ระบบการประเมินผลงาน (Performance Management System: PMS)
    และระบบการบริหารค่าตอบแทน (Compensation & Benefit)

อีกด้วย

-   บริษัทฯ ได้จัดทำคู่มือหลักการกำกับดูแลกิจการ (CG Manual) เริ่มตั้งแต่ปี 2548
    และมีการปรับปรุงมาอย่างต่อเนื่อง และมีการสื่อสาร CG Manual ดังกล่าว
    ให้กับคณะกรรมการบริษัทฯ ผู้บริหารและพนักงานทุกคนรับทราบ
    และใช้เป็นกรอบนโยบายในการปฏิบัติงานด้านต่างๆ ทั้งนี้ บริษัทฯ
    ได้มีการพัฒนาระบบสื่อการเรียนรู้ทางอิเล็กทรอนิกส์
    เกี่ยวกับการกำกับดูแลกิจการที่ดีและจรรยาบรรณของเครือไทยออยล์ผ่านระบบออนไลน์ CG
    e-Learning และได้ประชาสัมพันธ์ส่งเสริมให้พนักงานเข้าเรียนรู้ด้วยตนเอง

-   จัดช่องทางรับแจ้งเบาะแส ข้อร้องเรียน ข้อคิดเห็น หรือข้อเสนอแนะต่างๆ ผ่านทางจดหมาย
    โทรศัพท์ โทรสาร จดหมายอิเล็กทรอนิกส์ หรือ Website ของบริษัทฯ

2. การประเมินความเสี่ยง (Risk Assessment)

บริษัทฯ ให้ความสำคัญกับการดำเนินการตามกรอบนโยบายการบริหารความเสี่ยง
โดยคณะกรรมการบริษัทฯ ได้อนุมัติแต่งตั้งคณะกรรมการบริหารความเสี่ยง
ซึ่งประกอบด้วยกรรมการบริษัทฯ รวม 3 ท่าน
ทำหน้าที่ในการดำเนินการทบทวนกรอบนโยบายการบริหารความเสี่ยง
และโครงสร้างการบริหารความเสี่ยง
รวมทั้งให้ข้อเสนอแนะแนวทางในการบริหารความเสี่ยงที่สอดคล้องต่อทิศทางกลยุทธ์การดำเนินงานและแผนธุรกิจ
พร้อมกับการกำกับดูแล ติดตามและสอบทานการรายงานการบริหารความเสี่ยงที่สำคัญ
เพื่อให้สอดคล้องกับมาตรฐานและสภาพแวดล้อมที่เปลี่ยนแปลงไป
และได้ประกาศนโยบายบริหารความเสี่ยง
เพื่อให้พนักงานในเครือไทยออยล์ใช้เป็นแนวทางปฏิบัติในมาตรฐานเดียวกัน โดยในปี 2555

บริษัทฯ
สามารถดำเนินการตามแผนงานของการบริหารความเสี่ยงซึ่งประกอบด้วยการดำเนินการทบทวนความเสี่ยง
กำหนดมาตรการรองรับ และระบุผู้รับผิดชอบอย่างชัดเจน
มีการติดตามผลการบริหารความเสี่ยงของทุกหน่วยงานในเครือไทยออยล์
รวมทั้งมีการรายงานผลการบริหารความเสี่ยงและความก้าวหน้าต่อผู้บริหารเป็นประจำ และต่อเนื่อง
พร้อมทั้งมีการจัดกิจกรรมต่างๆ เพื่อส่งเสริมงานบริหารความเสี่ยงมาอย่างต่อเนื่อง
จากการดำเนินการดังกล่าว
ทำให้มีความมั่นใจว่าการบริหารความเสี่ยงจะสนับสนุนให้เครือไทยออยล์สามารถบรรลุวัตถุประสงค์และเป้าหมายเชิงกลยุทธ์ของเครือไทยออยล์ที่กำหนดไว้
สำหรับรายละเอียดด้านการบริหารความเสี่ยง ตามที่แสดงไว้ในหัวข้อเรื่อง
“การบริหารความเสี่ยงองค์กร” ส่วนที่ 1 หน้า 4

3. กิจกรรมการควบคุม (Control Activities)

บริษัทฯ ได้กำหนดกิจกรรมการควบคุม เพื่อให้การดำเนินกิจการของบริษัทฯ
เป็นไปอย่างมีระบบและมีประสิทธิภาพ
เพื่อป้องกันและลดความเสี่ยงต่อความเสียหายที่อาจเกิดขึ้นจากกิจกรรมการดำเนินงาน ดังนี้

-   กำหนดให้มีนโยบาย ระเบียบ ขั้นตอนและวิธีปฏิบัติงานเป็นลายลักษณ์อักษร
    เพื่อควบคุมกิจกรรมที่มีความเสี่ยงที่สำคัญเพื่อให้พนักงานใช้เป็นแนวทางในการปฏิบัติให้สอดคล้องตามเป้าหมายองค์กร

-   กำหนดระเบียบกรอบอำนาจอนุมัติรายการธุรกิจ (Corporate Authorization
    Procedures) ให้ผู้บริหารในทุกระดับตามความเหมาะสม เพื่อให้มีระบบการควบคุมภายในที่ดี
    และมีความคล่องตัวในการปฏิบัติงาน ทั้งนี้ ในปี 2555 บริษัทฯ
    ได้ทบทวนและปรับปรุงระเบียบกำหนดอำนาจอนุมัติรายการธุรกิจเพื่อให้สอดคล้องกับโครงสร้างองค์กรที่มีการเปลี่ยนแปลง
    และให้เกิดความสมดุลระหว่างความคล่องตัวในการปฏิบัติงาน
    การมอบหมายอำนาจหน้าที่ให้กับผู้บริหารตามสายงานต่างๆ และการควบคุมภายในที่เหมาะสม

-   จัดแบ่งแยกหน้าที่ความรับผิดชอบงานที่สำคัญออกจากกันชัดเจนเช่น การอนุมัติ
    การบันทึกรายการ การประมวลผลข้อมูล การดูแลรักษาทรัพย์สิน
    เพื่อให้สามารถสอบทานรายการซึ่งกันและกันได้ตามหลักการ Check & Balance
    และกำหนดนโยบายให้มีการหมุนเวียนพนักงานในตำแหน่งหน้าที่สำคัญตามระยะเวลาที่เหมาะสม

-   กำหนดแนวทางปรับปรุงกระบวนการทำงานและผลการดำเนินการโดยใช้วงจร
    Plan-Do-Check- Act (PDCA) ตามแนวทางเกณฑ์รางวัลคุณภาพแห่งชาติ (Thailand
    Quality Award: TQA)

-   ทบทวนและปรับปรุงกระบวนการจัดซื้อ/จัดจ้างซึ่งครอบคลุมการดำเนินงานของบริษัทในเครือไทยออยล์
    เพื่อให้การปฏิบัติงานมีความโปร่งใสเป็นธรรม มีประสิทธิภาพ
    และมีความคล่องตัวรวมทั้งมีการควบคุมภายในที่เหมาะสมสอดคล้องกับหลักการกำกับดูแลกิจการที่ดี

-   การเข้าทำรายการที่เกี่ยวโยงกันจะยึดถือแนวปฏิบัติตามที่ตลาดหลักทรัพย์แห่งประเทศไทย
    (ตลท.) กำหนด และจัดให้มีการรายงานข้อมูลการมีส่วนได้ส่วนเสียของกรรมการบริษัทฯ
    และผู้บริหารระดับสูงตามประกาศของคณะกรรมการกำกับหลักทรัพย์และตลาดหลักทรัพย์
    (ก.ล.ต.) เพื่อมิให้เกิดความขัดแย้งทางผลประโยชน์

4. ข้อมูลสารสนเทศและการสื่อสาร ( Information & Communication )

บริษัทฯ
ให้ความสำคัญต่อระบบสารสนเทศและการสื่อสารโดยจัดให้มีกระบวนการประมวลผลข้อมูลอย่างเป็นระบบ
มีการควบคุมระบบสารสนเทศ ทั้งในด้านการเข้าถึงข้อมูล และการนำข้อมูลไปใช้ นอกจากนี้ บริษัทฯ
ยังจัดให้มีช่องทางการสื่อสารทั้งภายในและภายนอกองค์กรอย่างมีประสิทธิภาพ และประสิทธิผล
ทั้งในด้านความครบถ้วน ถูกต้อง ทันเวลา เพียงพอต่อการตัดสินใจ
และปฏิบัติตามกฎหมายอย่างเคร่งครัด โดยบริษัทฯ
ได้ดำเนินการตามพระราชบัญญัติว่าด้วยการกระทำความผิดเกี่ยวกับคอมพิวเตอร์
ในการจัดเก็บข้อมูลจราจรทางคอมพิวเตอร์ตามประกาศกระทรวงเทคโนโลยี

สารสนเทศและการสื่อสารในปี 2555 บริษัทฯ ได้ประสบความสำเร็จในการดำเนินโครงการ ISO
27001 ในขอบข่ายของ Data Center เสร็จสิ้นตามเป้าหมายที่ได้วางไว้ บริษัทฯ
ได้รับประกาศนียบัตรรับรองมาตรฐาน ISO 27001 เมื่อวันที่ 1 มีนาคม 2555
ซึ่งแสดงให้เห็นว่าระบบประมวลผลข้อมูล และข้อมูลของบริษัทฯ มีการบริหารจัดการที่เป็นมาตรฐาน
มีความปลอดภัยของข้อมูล และเชื่อถือได้ นอกจากนี้ บริษัทฯ
ได้ดำเนินโครงการเพื่อปรับปรุงกระบวนการทำงานให้มีประสิทธิภาพ
และสะดวกต่อการใช้งานมากยิ่งขึ้น ตัวอย่างเช่น

-   การพัฒนาระบบ Laboratory Information System ให้กับบริษัทไทยลู้บเบส จำกัด
    (มหาชน) โดยอาศัยโครงร่างระบบเดิมจากไทยออยล์
    ถือเป็นการต่อยอดนวัตกรรมภายในของบริษัทฯ
    ให้มาตรฐานการตรวจสอบคุณภาพผลิตภัณฑ์เป็นมาตรฐานเดียวกันทั้งเครือไทยออยล์

-   ประสบความสำเร็จในการพัฒนาระบบ ESS/MSS Workflow ชื่อ i-link
    เพื่อให้ผู้ใช้งานสามารถใช้งานระบบได้ง่ายขึ้น ไม่ว่าจะเป็นการเปลี่ยนแปลงข้อมูลส่วนบุคคล
    การพัฒนาบุคลากร และการประเมินผลงาน

-   พัฒนาและปรับปรุงระบบสารสนเทศ Enterprise Resource Planning (SAP ECC 6)
    เพื่อให้สามารถประมวลผลได้อย่างมีประสิทธิภาพมากยิ่งขึ้น

5. การติดตามและประเมินผล ( Monitoring & Evaluation)

บริษัทฯ ได้กำหนดกระบวนการติดตาม
และประเมินผลการดำเนินงานเพื่อช่วยสนับสนุนให้บรรลุวัตถุประสงค์และเป้าหมายการดำเนินธุรกิจ
โดยฝ่ายบริหารและหัวหน้างานได้จัดประชุมเพื่อทบทวนตัววัด เป้าหมาย
และติดตามการปฏิบัติการเป็นประจำอย่างต่อเนื่อง นอกจากนี้ บริษัทฯ
ยังมีการตรวจติดตามทั้งจากหน่วยงานภายในและภายนอก ดังนี้

-   การตรวจสอบภายในโดยแผนกตรวจสอบระบบงานภายใน ซึ่งมีความเป็นอิสระ
    ทำหน้าที่ตรวจสอบกระบวนการต่างๆ ที่มีความเสี่ยงสูง
    เน้นสอบทานความเพียงพอเหมาะสมของระบบการควบคุมภายใน
    ประสิทธิภาพและประสิทธิผลของการปฏิบัติงานการปฏิบัติตามระเบียบ และถูกต้องตามกฎหมาย
    ประเด็นสำคัญต่างๆ ที่ตรวจพบ
    จะรายงานให้ผู้บริหารของหน่วยรับตรวจทราบเพื่อการปรับปรุงแก้ไขงาน ทั้งนี้
    จะมีการรายงานผลการตรวจสอบและความคืบหน้าในการปรับปรุงแก้ไขงานต่อคณะกรรมการตรวจสอบ
    และผู้บริหารระดับสูงทราบ

-   การตรวจติดตามจากภายนอกโดยผู้สอบบัญชีรับอนุญาตซึ่งมีความเป็นอิสระ
    และได้รับการแต่งตั้งจากที่ประชุมสามัญผู้ถือหุ้นประจำปี
    ทำหน้าที่ตรวจสอบและแสดงความเห็นต่องบการเงินของบริษัทฯ

-   การตรวจติดตามภายในระบบ QSHE โดยผู้ตรวจติดตามภายในซึ่งได้รับการแต่งตั้งจากบริษัทฯ
    การตรวจสอบจะดำเนินการตามข้อแนะนำในการตรวจประเมินระบบการบริหารงานคุณภาพ
    และระบบการจัดการสิ่งแวดล้อม ตามมาตรฐาน ISO

-   การตรวจสอบระบบ QSHE จากผู้ตรวจประเมินภายนอก ซึ่งมีความเป็นอิสระ
    เพื่อรับรองระบบคุณภาพ อาชีวอนามัย ความปลอดภัยและสิ่งแวดล้อม
    รวมทั้งห้องปฏิบัติการทดสอบ

6. การสอบทานการควบคุมภายใน

คณะกรรมการตรวจสอบได้สอบทานระบบการควบคุมภายในปี
2555ไม่พบความขัดแย้งทางผลประโยชน์ หรือ
ข้อบกพร่องที่เป็นสาระสำคัญในระบบการควบคุมภายใน ซึ่งโดยภาพรวมสรุปได้ว่า บริษัทฯ
มีระบบการควบคุมภายในที่เพียงพอเหมาะสมและมีประสิทธิผลซึ่งสอดคล้องกับความเห็นของผู้สอบบัญชีของบริษัทฯ