10. ระบบการควบคุมภายในและการบริหารความเสี่ยงและการตรวจสอบภายใน 

การควบคุมภายในและการบริหารความเสี่ยง

บริษัทฯ ได้ให้ความสำคัญต่อระบบการควบคุมภายในและการบริหารความเสี่ยงเป็นอย่างยิ่ง
ซึ่งพนักงานทุกคนของบริษัทฯ มีบทบาทและความรับผิดชอบร่วมกัน
โดยมีการกำหนดภาระหน้าที่ความรับผิดชอบ
อำนาจการดำเนินการในระดับบริหารและระดับปฏิบัติการไว้เป็นลายลักษณ์อักษรอย่างชัดเจน
ครอบคลุมถึง การควบคุมทางการเงิน การดำเนินงาน การบริหาร
การกำกับดูแลการปฏิบัติงานให้เป็นไปตามกฎหมายและระเบียบที่เกี่ยวข้อง
และการบริหารความเสี่ยง เพื่อก่อให้เกิดความมั่นใจอย่างสมเหตุสมผลว่า
ผลสำเร็จของงานจะสามารถบรรลุวัตถุประสงค์ของบริษัทฯ ดังนี้

1.  กลยุทธ์และเป้าหมาย ได้กำหนดไว้อย่างชัดเจน สอดคล้องและสนับสนุนพันธกิจ (Mission)
    ของบริษัทฯ

2.  ผลการปฏิบัติงานบรรลุตามวัตถุประสงค์ที่กำหนดไว้
    โดยมีการบริหารทรัพยากรอย่างมีประสิทธิภาพและคุ้มค่า

3.  รายงานข้อมูลที่มีสาระสำคัญ ทั้งด้านการเงิน การบริหาร และการดำเนินงาน มีความถูกต้อง
    เชื่อถือได้

4.  การดำเนินงานและการปฏิบัติงาน เป็นไปตามนโยบาย กฎ
    ระเบียบและข้อกำหนดที่สอดคล้องกับกฎหมายและข้อบังคับอื่นที่เกี่ยวข้องกับการดำเนินธุรกิจ

5.  มีความปลอดภัยของทรัพย์สิน บุคลากร รวมทั้งข้อมูลในระบบสารสนเทศ

6.  มีการกำกับดูแลและการบริหารจัดการที่เหมาะสมมีประสิทธิผล

7.  มีการปรับปรุงคุณภาพการปฏิบัติงานอย่างต่อเนื่อง

บริษัทฯ มีระบบการควบคุมภายในและการบริหารความเสี่ยง ตามกรอบงานการบริหารความเสี่ยง
โดยอ้างอิงตามมาตรฐานสากลของ The Committee Of Sponsoring Organizations Of
The Treadway Commission -Enterprise Risk Management (COSO-ERM)
ซึ่งสัมพันธ์กับการดำเนินธุรกิจและกระบวนการบริหารงานโดยบรรลุประสิทธิผลครบตามองค์ประกอบ
8 ข้อ ดังนี้

1.  สภาพแวดล้อมภายในองค์กร

บริษัทฯ ปฏิบัติตามนโยบายการกำกับดูแลที่ดี และยึดมั่นในปรัชญาและจรรยาบรรณธุรกิจ
ที่มีข้อกำหนดและแนวทางปฏิบัติที่เป็นลายลักษณ์อักษร( Code of conducts)
มีการแต่งตั้งคณะกรรมการจรรยาบรรณ
และผู้บริหารเป็นตัวอย่างที่ดีในเรื่องความซื่อสัตย์และจริยธรรม มีการจัดโครงสร้างการบริหารที่ดี
และมีการปฏิบัติต่อผู้มีส่วนได้เสีย
เป็นไปตามหลักการกำกับดูแลกิจการที่ดีโดยคำนึงถึงความเป็นธรรมต่อทุกฝ่าย

บริษัทฯ ให้ความสำคัญในการพัฒนาความรู้ความสามารถอย่างต่อเนื่อง
ได้กำหนดแนวทางการบริหารความเสี่ยงและการจัดการความเสี่ยงอย่างเป็นระบบและต่อเนื่อง

2.  การกำหนดวัตถุประสงค์

บริษัทฯ มีการกำหนดวัตถุประสงค์การปฏิบัติงานอย่างชัดเจน ทั้งด้านกลยุทธ์ ด้านการปฏิบัติงาน
ด้านการรายงาน รวมทั้งด้านการปฏิบัติตามนโยบาย กฎ ระเบียบ ข้อปฏิบัติต่างๆ
โดยบันทึกเป็นลายลักษณ์อักษร
และสอดคล้องกับเป้าหมายหลักหรือพันธกิจในภาพรวมและระดับความเสี่ยงที่ยอมรับได้
และได้มีการปรับเปลี่ยนแผนงาน
กลยุทธ์และวัตถุประสงค์ที่ให้สอดคล้องกับปัจจัยเสี่ยงที่เปลี่ยนแปลงไปอย่างสม่ำเสมอ

  3. การบ่งชี้เหตุการณ์

บริษัทฯ ได้ระบุตัวบ่งชี้เหตุการณ์หรือปัจจัยเสี่ยงต่างๆ
ที่อาจส่งผลเสียหายต่อวัตถุประสงค์ในแต่ละกิจกรรม
รวมทั้งระบุเหตุการณ์ที่อาจจะเกิดขึ้นที่เอื้ออำนวยต่อวัตถุประสงค์ทางด้านบวกไว้ด้วย
โดยพิจารณาจากแหล่งความเสี่ยงภายในและภายนอกบริษัทฯ และยังมีการติดตามผล เพื่อให้มั่นใจว่า
บริษัทฯ
มีการระบุปัจจัยเสี่ยงที่ครอบคลุมต่อการเปลี่ยนแปลงของแต่ละกิจกรรมและมีการรายงานต่อผู้บริหารหรือผู้เกี่ยวข้องให้รับทราบอยู่เสมอ

  4. การประเมินความเสี่ยง

บริษัทฯ
ได้จัดทำคู่มือการบริหารความเสี่ยงและได้กำหนดหลักเกณฑ์ของการประเมินความเสี่ยงทั้งเชิงคุณภาพและปริมาณอย่างเป็นระบบ
โดยแบ่งเป็นความเสี่ยงระดับองค์กรและระดับปฏิบัติการ ซึ่งทำการประเมินทั้ง 2 ด้าน คือ
โอกาสที่จะเกิดเหตุการณ์ความเสี่ยง(Likelihood)
และผลกระทบต่อความเสียหายที่จะเกิดเหตุการณ์นั้น (Impact)
เพื่อพิจารณาระดับค่าของความเสี่ยงที่อาจเป็นระดับสูง กลาง หรือต่ำ

5.  การตอบสนองความเสี่ยง

บริษัทฯ มีกระบวนการบริหารความเสี่ยงอย่างเป็นระบบต่อเนื่อง
เพื่อพิจารณาทางเลือกที่มีประสิทธิผลและความคุ้มค่าที่สุด
และเลือกจัดการกับความเสี่ยงระดับสูงเป็นอันดับแรก
เพื่อลดโอกาสและผลกระทบที่จะเกิดเหตุการณ์นั้นให้อยู่ในระดับที่ยอมรับได้
รวมทั้งยังมีมาตรการควบคุมภายใน ที่มีความสัมพันธ์เหมาะสมกับความเสี่ยงที่เปลี่ยนแปลงไป

6. กิจกรรมการควบคุม

บริษัทฯ ได้กำหนดกิจกรรมการควบคุมที่มีสาระสำคัญในแต่ละระบบงานไว้อย่างเหมาะสม
ซึ่งเน้นกิจกรรมควบคุมแบบป้องกันเป็นหลัก รวมทั้งมีนโยบาย วิธีการปฏิบัติ
และการรายงานผลอย่างสม่ำเสมอ เพื่อให้มั่นใจว่า
วิธีการจัดการความเสี่ยงหรือกิจกรรมการควบคุมนั้นได้มีการนำไปปฏิบัติจริง
สามารถบรรลุวัตถุประสงค์ที่ตั้งไว้ รวมถึงคุณภาพและความรวดเร็วควบคู่กันไป

  7. ข้อมูลและการติดต่อสื่อสาร

บริษัทฯ มีข้อมูลในระบบสารสนเทศที่สามารถเชื่อมโยงกันได้อย่างทั่วถึงทั้งองค์กร
เพื่อนำไปใช้เป็นข้อมูลในการตัดสินใจได้อย่างถูกต้องทันเวลา
และมีระบบรักษาความปลอดภัยของข้อมูลและสารสนเทศที่มีประสิทธิภาพเพียงพอ
โดยมีระบบการจัดเก็บข้อมูลที่สามารถตรวจสอบความถูกต้องย้อนหลังได้ (Audit Trail)
อีกทั้งยังมีระบบข้อมูลที่สามารถวิเคราะห์หรือบ่งชี้จุดที่อาจจะเกิดความเสี่ยงในเชิงสถิติได้อย่างเป็นระบบ
ซึ่งทำการประเมินและจัดการความเสี่ยงพร้อมทั้งบันทึกหรือรายงานผลไว้อย่างครบถ้วน

บริษัท ฯ มีช่องทางการติดต่อสื่อสารที่มีประสิทธิภาพ ประสิทธิผล
สามารถคิดต่อสื่อสารกันได้ทั่วถึงทั้งองค์กรโดยข้อมูลที่สำคัญจะถูกถ่ายทอดจากผู้บริหารระดับสูงลงสู่พนักงานได้อย่างรวดเร็ว
อีกทั้งมีช่องทางการสื่อสารจากพนักงานขึ้นตรงสู่ผู้บริหารระดับสูงได้อีกด้วย

8.  การติดตามผล

บริษัทฯ มีระบบการประเมินและติดตามผลการดำเนินงานที่ดี เพื่อให้มั่นใจได้ว่า
มาตรการและระบบการควบคุมภายในนั้นมีประสิทธิผลอยู่เสมอสามารถตอบสนองต่อการเปลี่ยนแปลงได้อย่างเหมาะสม
ทันเวลา และบริษัทฯ
ได้จัดให้พนักงานระดับหัวหน้างานมีการติดตามผลการปฏิบัติงานของผู้ใต้บังคับบัญชา
และยังจัดให้มีการตรวจประเมินผลการปฏิบัติงาน โดยหน่วยงานตรวจสอบภายใน
ซึ่งเป็นหน่วยงานอิสระ อีกทั้งมีการตรวจสอบงบการเงินและผลการดำเนินงานจาก ผู้สอบบัญชี
และผู้ประเมินอิสระจากภายนอก

บริษัทฯ มีระบบการติดตามผลการบริหารความเสี่ยงที่ดีและมีการกำหนดสัญญาณเตือนภัย
เพื่อให้มั่นใจได้ว่า การบริหารและการจัดการความเสี่ยงมีประสิทธิผลเหมาะสมเพียงพอ
ซึ่งความเสี่ยงนั้นอยู่ในระดับที่ยอมรับได้
โดยให้มีการรายงานผลต่อหัวหน้างานทุกระดับและต่อผู้บริหารระดับสูงอย่างสม่ำเสมอ
และจัดให้มีการประชุมคณะกรรมการบริษัท และมีการประชุมผู้บริหารอย่างสม่ำเสมอ
เพื่อพิจารณาและติดตามผลการดำเนินงานของฝ่ายบริหารว่าเป็นไปตามเป้าหมายที่ตั้งไว้

นอกจากนี้ในปี 2550 ที่ผ่านมา การดำเนินธุรกิจด้านโทรคมนาคม ในประเทศไทยมีเหตุการณ์ความผันผวนจากปัจจัยความเสี่ยงต่างๆ อาทิ พฤติกรรมของผู้บริโภคต่อการใช้โทรศัพท์เคลื่อนที่ ปัจจัยทางการเมือง กฎ ระเบียบ ข้อตกลงของการประกอบธุรกิจโทรคมนาคม เป็นต้น เอไอเอส ในฐานะที่เป็นบริษัทที่มีสัดส่วนทางการตลาดมากเป็นอันดับหนึ่งในประเทศไทย ได้มุ่งให้ความสำคัญกับการบริหารความเสี่ยงขององค์กร โดยมี คณะกรรมการบริหารความเสี่ยง ซึ่งมีประธานกรรมการบริหารของบริษัทฯ เป็นประธานคณะกรรมการบริหารความเสี่ยง และหัวหน้าคณะเจ้าหน้าที่ผู้บริหาร และผู้บริหารระดับสูง เป็นกรรมการ รวม 12 ท่าน ซึ่งคณะกรรมการได้มีการประชุมทุกไตรมาส โดยได้พิจารณาการแจกแจงความเสี่ยง จัดอันดับความเสี่ยง กำหนดแนวทางการบริหารความเสี่ยง มอบหมายผู้รับผิดชอบเพื่อจัดให้มีมาตรการควบคุมและจัดการความเสี่ยงให้อยู่ในระดับที่ยอมรับได้ เพื่อให้บริษัทฯสามารถบรรลุเป้าหมายที่กำหนดไว้ และเพื่อสร้างความเชื่อมั่นให้กับผู้ถือหุ้นและผู้มีส่วนได้ส่วนเสีย นอกจากนี้ ได้มีการจัดทำหลักสูตรการบริหารความเสี่ยงเป็นระบบ E-Learning สำหรับ ผู้บริหาร และพนักงานทุกระดับในองค์กรเพื่อใช้เป็นแนวทางในการบริหารความเสี่ยงของการปฏิบัติงาน 

ในทุกไตรมาส คณะกรรมการบริหารความเสี่ยงได้นำเสนอผลการบริหารความเสี่ยงให้คณะกรรมการตรวจสอบ คณะกรรมการบริษัทและคณะกรรมการบริหารได้รับทราบ เพื่อให้มีการจัดการความเสี่ยงและติดตามอย่างใกล้ชิด และมั่นใจได้ว่าความเสี่ยงอยู่ในระดับที่ยอมรับได้ รวมทั้งบริษัทฯ สามารถบรรลุเป้าหมายที่กำหนดไว้ ซึ่งสรุปรายละเอียดของปัจจัยความเสี่ยงที่อาจส่งผลกระทบต่อผลการดำเนินงานของบริษัท ฯ ไว้ในส่วนของปัจจัยเสี่ยงเรียบร้อยแล้ว

ในการประชุมคณะกรรมการบริษัท ครั้งที่ 2 /2551 เมื่อวันที่ 19 กุมภาพันธ์ 2551
โดยมีคณะกรรมการตรวจสอบเข้าร่วมประชุมด้วย
คณะกรรมการบริษัทได้ประเมินระบบการควบคุมภายในของบริษัทฯ
จากการสอบทานการประเมินระบบการควบคุมภายใน และจากการซักถามข้อมูลจากฝ่ายบริหาร
ผลการประเมินจากแบบประเมินความเพียงพอของระบบการควบคุมภายใน สรุปได้ว่า บริษัทฯ
มีระบบการควบคุมภายในที่มีประสิทธิผลเหมาะสมเพียงพอ

นอกจากนี้ ผู้สอบบัญชีของบริษัทฯ คือ บริษัท ไพร้ซวอเตอร์เฮาส์คูเปอร์ส เอบีเอเอส จำกัดซึ่ง
เป็นผู้ตรวจสอบงบการเงินประจำปี 2550 ได้ประเมินประสิทธิผลระบบการควบคุมภายในของบริษัทฯ
ตามที่เห็นว่าจำเป็น โดยพบว่า ไม่มีจุดอ่อนของระบบการควบคุมภายในที่มีสาระสำคัญแต่ประการใด

การตรวจสอบภายใน

หน่วยงานตรวจสอบภายในมีความเป็นอิสระ
รายงานต่อคณะกรรมการตรวจสอบในด้านงานตรวจสอบภายใน
และรายงานต่อประธานกรรมการบริหารในด้านงานบริหารหน่วยงาน โดยมีกฎบัตรของหน่วยงาน
ซึ่งกำหนดภารกิจ ขอบเขต วัตถุประสงค์และภาระหน้าที่ความรับผิดชอบ
รวมถึงสิทธิในการปฏิบัติงานตรวจสอบไว้อย่างชัดเจน
และมีการจัดทำคู่มือการปฏิบัติงานตรวจสอบที่ปรับปรุงเปลี่ยนแปลงอยู่เสมอ
เพื่อใช้อ้างอิงการปฏิบัติงานให้เป็นทิศทางเดียวกัน

หน่วยงานตรวจสอบภายใน ทำหน้าที่ตรวจประเมินระบบการควบคุมภายใน
ระบบการบริหารความเสี่ยง และการกำกับดูแลกิจการของบริษัทฯ
ตามแผนงานการตรวจสอบประจำปี ซึ่งได้พิจารณาจากปัจจัยเสี่ยงที่เกี่ยวข้อง (Risk Based
Audit Approach) โดยผ่านการอนุมัติสอบทานจากคณะกรรมการตรวจสอบ
รวมทั้งการให้คำปรึกษาแนะนำในด้านต่างๆเพื่อให้เกิดความเชื่อมั่นว่าการปฏิบัติงานของบริษัทฯจะบรรลุผลสำเร็จตามกลยุทธ์และวัตถุประสงค์ที่กำหนดไว้
อีกทั้งยังทำการติดตามประเมินผลอย่างสม่ำเสมอเพื่อให้เกิดความมั่นใจในระบบที่วางไว้ได้ดำเนินการเป็นไปอย่างต่อเนื่อง
และได้รับการแก้ไขปรับปรุงอย่างสม่ำเสมอ

ในการตรวจประเมินความมีประสิทธิผลของการบริหารความเสี่ยง
หน่วยงานตรวจสอบภายในได้ดำเนินการสอบทานตัวบ่งชี้เหตุการณ์หรือปัจจัยเสี่ยงที่ส่งผลกระทบต่อวัตถุประสงค์
และแนวทางการบริหารความเสี่ยงของผู้ปฏิบัติงานเพื่อให้มั่นใจว่ามีการระบุและประเมินความเสี่ยงได้อย่างถูกต้องเหมาะสม
และมีการบริหารความเสี่ยงที่เป็นระบบสามารถจัดการความเสี่ยงให้อยู่ในระดับที่ยอมรับได้
และมีการรายงานอย่างครบถ้วนทันเวลาพร้อมทั้งยังมีการติดตามสอบทานความเสี่ยงอย่างต่อเนื่องสม่ำเสมอ

ในการตรวจประเมินความมีประสิทธิผลของระบบการควบคุมภายใน
หน่วยงานตรวจสอบภายในได้จัดทำแบบประเมินความเพียงพอของระบบการควบคุมภายในของแต่ละระบบงาน
รวมทั้งได้ทำการสอบทานผลการปฏิบัติงาน เพื่อให้มั่นใจว่า บริษัทฯ
สามารถบรรลุวัตถุประสงค์ที่ตั้งไว้อย่างมีประสิทธิภาพและประสิทธิผล โดยปฏิบัติตามกฎ ระเบียบ
ข้อบังคับต่างๆ อย่างเคร่งครัด และรายงานทางการเงินมีความถูกต้องน่าเชื่อถือ

ในการตรวจประเมินการกำกับดูแลกิจการ
หน่วยงานตรวจสอบภายในได้ตรวจประเมินการกำกับดูแลดูแลกิจการตามหลักการกำกับดูแลกิจการที่ดีขององค์กรเพื่อความร่วมมือและพัฒนาทางเศรษฐกิจ
(Organization for Economic Co-operation and Development: OECD)
และตลาดหลักทรัพย์แห่งประเทศไทยเป็นเกณฑ์ เพื่อให้มั่นใจว่า บริษัทฯ
มีโครงสร้างและการสนับสนุนของกระบวนการที่จำเป็นในการนำไปสู่ผลสำเร็จของการกำกับดูแลที่ดีและโปร่งใสและให้ความเป็นธรรมเท่าเทียมกัน
ตลอดจนมีการนำทรัพยากรไปใช้อย่างมีประสิทธิภาพ ประสิทธิผล ตรงตามวัตถุประสงค์
เพื่อก่อให้เกิดประโยชน์สูงสุดต่อผู้มีส่วนได้เสียทุกฝ่าย

นอกจากนี้หัวหน้าหน่วยงานตรวจสอบภายในได้ปฏิบัติหน้าที่เป็นเลขานุการของคณะกรรมการตรวจสอบ
เพื่อสนับสนุนภาระหน้าที่และความรับผิดชอบทุกหน้าที่ของคณะกรรมการตรวจสอบที่ได้รับมอบหมายมาจากคณะกรรมการบริษัทให้มีประสิทธิผล
โดยจัดให้มีการประชุมคณะกรรมการตรวจสอบ เฉลี่ยเดือนละ 1 ครั้ง
และยังมีบทบาทในการให้คำปรึกษาแนะนำในด้านต่างๆ
โดยร่วมเป็นกรรมการของคณะกรรมการบริหารความเสี่ยง และคณะกรรมการ

ด้านความปลอดภัยระบบสารสนเทศของบริษัทฯ เพื่อให้ข้อเสนอแนะในด้านความเสี่ยงระดับองค์กร
และในด้านการรักษาความปลอดภัยด้านสารสนเทศของบริษัทฯ
โดยกำหนดให้กรรมการมีการประชุมกันอย่างน้อยไตรมาสละ 1 ครั้ง

หน่วยงานตรวจสอบภายในได้ยึดถือมาตรฐานการปฏิบัติงานวิชาชีพการตรวจสอบ (Standard for
the Professional Practice of Internal Auditing), CobiT, COSO-ERM, AS /
NZ 4360, ITIL, ISO 17799 เป็นกรอบหรือแนวทางในการปฏิบัติงาน
และให้มีการปฏิบัติงานที่เป็นอิสระ เที่ยงธรรม สอดคล้องกับมาตรฐานสากล
และให้ความสำคัญต่อการพัฒนาฝึกอบรมอย่างต่อเนื่อง ตามแผนการฝึกอบรมแบบรายบุคคล
(Individual Coaching Plan ) รวมถึงการพัฒนาสอบวุฒิบัตรต่างๆ โดยปัจจุบัน
หน่วยงานมีผู้มีวุฒิบัตร CIA (Certified Internal Auditor) จำนวน 5 ท่านวุฒิบัตรCISA
(Certified Information System Auditor) จำนวน 4 ท่าน วุฒิบัตร CISM (Certified
Information Security Manager) จำนวน 1 ท่าน วุฒิบัตร CISSP(Certified
Information Systems Security Professional) จำนวน 1 ท่าน วุฒิบัตร CPA
(Certified Public Accountant) จำนวน 3 ท่าน วุฒิบัตร TA (Tax Auditor) จำนวน 1
ท่าน โดยเจ้าหน้าที่อีกจำนวนหนึ่งอยู่ระหว่างการพัฒนาให้มีวุฒิบัตร CIA, CISA , CISSP และ
CISM อย่างต่อเนื่อง