10. ระบบการควบคุมภายในการบริหารความเสี่ยงและการตรวจสอบภายใน 

  การควบคุมภายในและการบริหารความเสี่ยง

บริษัท ได้ให้ความสำคัญต่อระบบการควบคุมภายในและการบริหารความเสี่ยงเป็นอย่างยิ่ง
ซึ่งการควบคุมภายในและการบริหารความเสี่ยง
เป็นกระบวนการปฏิบัติงานที่ปฏิบัติเป็นขั้นตอนอย่างต่อเนื่องโดยเจ้าหน้าที่ทั้งหมดของบริษัท ตั้งแต่
คณะกรรมการ ผู้บริหารและพนักงานทุกคน มีบทบาทและความรับผิดชอบร่วมกัน
มีการกำหนดภาระหน้าที่ ความรับผิดชอบ
อำนาจการดำเนินการในระดับบริหารและระดับปฏิบัติการไว้เป็นลายลักษณ์อักษรอย่างชัดเจน
โดยการควบคุมภายในจะครอบคลุมถึง การควบคุมทางการเงิน การดำเนินงาน การบริหาร
การกำกับดูแลการปฏิบัติงานให้เป็นไปตามกฎหมายและระเบียบที่เกี่ยวข้อง
และการบริหารความเสี่ยง เพื่อก่อให้เกิดความมั่นใจอย่างสมเหตุสมผลว่า
ผลสำเร็จของงานจะสามารถบรรลุวัตถุประสงค์ขององค์กรที่ตั้งไว้ ดังต่อไปนี้

1.  กลยุทธ์และเป้าหมายของบริษัท ในระดับภาพรวมและกิจกรรมในระดับปฏิบัติการ
    ได้กำหนดไว้อย่างชัดเจน โดยสอดคล้องและสนับสนุนพันธกิจ (Mission) ขององค์กร

2.  ผลการปฏิบัติงานของแผนงานและโครงการต่างๆ บรรลุตามวัตถุประสงค์ที่กำหนดไว้
    โดยมีการบริหารทรัพย์สินและทรัพยากรของบริษัทให้เป็นไปอย่างมีประสิทธิภาพคุ้มค่า

3.  ข้อมูลที่มีสาระสำคัญ ทั้งด้านการเงิน การบริหาร และการดำเนินงาน มีความถูกต้อง
    เชื่อถือได้ และเป็นข้อมูลเพื่อสนับสนุนการตัดสินใจได้อย่างทันเวลา

4.  การดำเนินงานของบริษัท และการปฏิบัติงานของพนักงาน เป็นไปตามนโยบาย กฎ
    ระเบียบและข้อกำหนดของบริษัท โดยสอดคล้องกับกฎหมายและข้อบังคับอื่นที่เกี่ยวข้อง

5.  มีการบริหารความปลอดภัยของทรัพย์สิน บุคลากร รวมทั้งข้อมูลในระบบสารสนเทศ
    ให้มีความปลอดภัยอย่างรัดกุมเพียงพอ

6.  มีการกำกับดูแลและการบริหารจัดการที่เหมาะสมมีประสิทธิผล

7.  มีการปรับปรุงคุณภาพการปฏิบัติงานอย่างต่อเนื่องในทุกกระบวนการและกิจกรรมควบคุม
    รวมทั้งการเปลี่ยนแปลงรูปแบบและเทคโนโลยี
    เพื่อสามารถตอบสนองความต้องการของลูกค้าที่เปลี่ยนแปลงไป

บริษัท มีระบบการควบคุมภายในและการบริหารความเสี่ยง ตามกรอบงานการบริหารความเสี่ยง
โดยอ้างอิงตามมาตรฐานสากลของ COSO-ERM (The Committee Of Sponsoring
Organizations Of The Treadway Commission -Enterprise Risk Management)
ซึ่งสัมพันธ์กับการดำเนินธุรกิจและกระบวนการบริหารงานตามองค์ประกอบ 8 ข้อ ดังนี้

1.  มีสภาพแวดล้อมภายในบริษัทที่ดี (Internal Environment)

บริษัทปฏิบัติตามนโยบายการกำกับดูแลที่ดี และยึดมั่นในจริยธรรมทางธุรกิจ
โดยพนักงานทุกระดับปฏิบัติและยึดมั่นในปรัชญาและจรรยาบรรณธุรกิจของบริษัท
ที่มีข้อกำหนดและแนวทางปฏิบัติที่เป็นลายลักษณ์อักษร (Code of conduct)
อีกทั้งยังมีการแต่งตั้งคณะกรรมการจรรยาบรรณ เพื่อดูแลการสร้างจิตสำนึก
และการอบรมพนักงานให้มีความรู้ความเข้าใจในจรรยาบรรณ
และเสริมสร้างให้ทุกคนยึดถือและปฏิบัติ
ซึ่งผู้บริหารนั้นได้เป็นตัวอย่างที่ดีในเรื่องความซื่อสัตย์และจริยธรรม
และมีการจัดโครงสร้างการบริหาร การกำหนดนโยบาย ระเบียบ ขั้นตอนหรือวิธีการปฏิบัติงาน
ทั้งด้านการเงิน การบริหารทั่วไป และระบบสารสนเทศที่เกี่ยวข้องไว้อย่างเหมาะสม
ตลอดจนมีการระบุอำนาจหน้าที่ความรับผิดชอบไว้อย่างชัดเจน
มีระบบการจัดการและการปฏิบัติต่อผู้มีส่วนได้เสียที่ดี
เป็นไปตามหลักการกำกับดูแลกิจการที่ดีโดยคำนึงถึงความเป็นธรรมต่อพนักงาน ลูกค้า เจ้าหนี้การค้า
คู่แข่งขัน ตลอดจนผู้ถือหุ้น สังคมและสิ่งแวดล้อมต่างๆ ไว้อย่างเหมาะสม

นอกจากนี้ บริษัทยังให้ความสำคัญในเรื่องบุคลากร
โดยจัดให้มีการบริหารที่เหมาะสมและการพัฒนาความรู้ความสามารถในแต่ละบุคคลอย่างจริงจังและต่อเนื่อง
รวมถึงความเข้าใจในเรื่องแนวทางการบริหารความเสี่ยง
โดยกำหนดให้มีนโยบายและปรัชญาในการบริหารความเสี่ยง ตลอดจนกิจกรรมการบ่งชี้
การประเมินและการจัดการความเสี่ยงอย่างเป็นระบบและต่อเนื่อง
อีกทั้งฝ่ายบริหารได้ระบุระดับความเสี่ยงที่ยอมรับได้ไว้อย่างเหมาะสมแล้ว

2.  มีการกำหนดวัตถุประสงค์ที่ชัดเจน (Objective Setting)

บริษัทมีการกำหนดวัตถุประสงค์การปฏิบัติงานอย่างชัดเจน ทั้งด้านกลยุทธ์ ด้านการปฏิบัติงาน
ด้านการรายงาน รวมทั้งด้านการปฏิบัติตามนโยบาย กฎ ระเบียบ ข้อปฏิบัติต่างๆ
โดยบันทึกเป็นลายลักษณ์อักษร
และสอดคล้องกับเป้าหมายหลักหรือพันธกิจในภาพรวมและระดับความเสี่ยงที่ยอมรับได้
นอกจากนี้ฝ่ายบริหารมีการปรับเปลี่ยนแผนงาน
กลยุทธ์และวัตถุประสงค์ที่เหมาะสมให้สอดคล้องกับสถานการณ์หรือปัจจัยเสี่ยงที่เปลี่ยนแปลงไปอย่างสม่ำเสมอ

3.  มีการระบุตัวบ่งชี้เหตุการณ์หรือปัจจัยเสี่ยงอย่างครบถ้วนเหมาะสม (Event
    Identification)

บริษัทได้กำหนดหรือระบุตัวบ่งชี้เหตุการณ์หรือปัจจัยเสี่ยงต่างๆ
ที่อาจจะเกิดขึ้นทางด้านลบที่จะส่งผลเสียหายต่อวัตถุประสงค์นั้นๆในแต่ละกิจกรรม
และจัดประเภทปัจจัยเสี่ยงไว้อย่างครบถ้วน
รวมทั้งระบุเหตุการณ์ที่อาจจะเกิดขึ้นที่เอื้ออำนวยต่อวัตถุประสงค์ทางด้านบวกไว้ด้วยเช่นกัน
โดยพิจารณาจากแหล่งความเสี่ยงภายในและภายนอกบริษัท ได้แก่ ความเสี่ยงด้านการกลยุทธ์
ด้านการเงิน ด้านบุคลากร ด้านการปฏิบัติงาน ด้านระบบคอมพิวเตอร์และสารสนเทศที่เกี่ยวข้อง
ด้านการตลาด ด้านการลงทุนและด้านกฎระเบียบและข้อปฏิบัติต่างๆ เป็นต้น

นอกจากนี้บริษัทยังมีการติดตามผล
เพื่อให้มั่นใจว่าบริษัทมีการกำหนดหรือระบุปัจจัยเสี่ยงอย่างเหมาะสมที่ครอบคลุมต่อการเปลี่ยนแปลงของแต่ละกิจกรรมที่เปลี่ยนแปลงไป
และมีการรายงานต่อผู้บริหารหรือผู้เกี่ยวข้องให้รับทราบอย่างสม่ำเสมอ

4.  มีกระบวนการประเมินความเสี่ยงที่เหมาะสม (Risk Assessment)

บริษัทได้กำหนดหลักเกณฑ์ของการประเมินความเสี่ยงทั้งเชิงคุณภาพและปริมาณ
โดยแบ่งเป็นความเสี่ยงระดับองค์กรและระดับปฏิบัติการ ซึ่งทำการประเมินทั้ง 2 ด้าน คือ
โอกาสที่จะเกิดเหตุการณ์ความเสี่ยง (Likelihood )
และผลกระทบต่อความเสียหายที่จะเกิดเหตุการณ์นั้น (Impact)
เพื่อพิจารณาระดับค่าของความเสี่ยงที่อาจเป็นระดับสูง กลาง หรือต่ำ
โดยบริษัทได้มีการจัดตั้งคณะกรรมการบริหารความเสี่ยง ในปี 2548
โดยจัดทำการประเมินระดับของความเสี่ยงจากตัวบ่งชี้เหตุการณ์หรือปัจจัยเสี่ยงที่สำคัญที่ได้ระบุไว้และทำการประเมินอย่างเป็นระบบและสม่ำเสมอ
รวมทั้งมีการจัดทำคู่มือการบริหารความเสี่ยงอย่างเป็นระบบ

5.  มีการตอบสนองต่อความเสี่ยงอย่างมีประสิทธิผล (Risk Response)

บริษัทมีกระบวนการจัดการหรือบริหารความเสี่ยงอย่างเป็นระบบ
โดยพิจารณาทางเลือกที่มีประสิทธิผลและความคุ้มค่าที่สุด
เพื่อลดโอกาสที่จะเกิดเหตุการณ์ความเสี่ยงและลดผลกระทบต่อความเสียหายที่จะเกิดเหตุการณ์นั้นให้อยู่ในระดับที่ยอมรับได้
รวมทั้งยังมีการบริหารความเสี่ยงอย่างต่อเนื่องควบคู่ไปกับมาตรการควบคุมภายในให้มีความสัมพันธ์เหมาะสมกับความเสี่ยงที่เปลี่ยนแปลงไปอยู่ตลอดเวลา
โดยเลือกจัดการกับความเสี่ยงระดับสูงเป็นอันดับแรก ซึ่งทางบริษัท
มีกลยุทธ์ในการบริหารความเสี่ยง ดังนี้

-   การยอมรับความเสี่ยง (Risk Acceptance)
    ในกรณีที่ฝ่ายบริหารพิจารณาเห็นชอบว่าความเสี่ยงที่เกิดขึ้นส่งผลกระทบไม่เกินระดับที่ยอมรับได้

-   การหลีกเลี่ยงความเสี่ยง (Risk Avoidance)
    โดยการหลีกเลี่ยงหรือหยุดกระทำกิจกรรมหรือเปลี่ยนรูปแบบการทำกิจกรรม
    ที่จะก่อให้เกิดความเสี่ยง

-   การลดหรือควบคุมความเสี่ยง (Risk Reduction)
    เป็นการดำเนินการเพื่อลดโอกาสที่จะเกิดเหตุการณ์ความเสี่ยงและผลกระทบต่อความเสียหายที่จะเกิดเหตุการณ์ความเสี่ยงนั้นให้อยู่ในระดับที่ยอมรับได้
    เช่น การกำหนดแผนสำรองฉุกเฉิน การทบทวนปรับปรุงวิธีการปฏิบัติงาน
    การฝึกอบรมพัฒนาบุคลากรอยู่เสมอ การปรับปรุงระบบคอมพิวเตอร์ให้มีประสิทธิภาพยิ่งขึ้น
    เป็นต้น

-   การกระจายหรือโอนความเสี่ยง (Risk Sharing )
    โดยการแบ่งโอนหรือกระจายความเสี่ยงให้กับผู้อื่นแทน เช่น จัดให้มีการประกันภัยทรัพย์สิน
    การประกันภัยอุบัติเหตุ เป็นต้น

6.  มีกิจกรรมการควบคุมที่ดี (Control Activities)

บริษัทได้กำหนดกิจกรรมการควบคุมที่มีสาระสำคัญของแต่ละระบบงานไว้อย่างเหมาะสมโดยให้ความสำคัญต่อกิจกรรมควบคุมแบบป้องกันเป็นหลัก
รวมทั้งนโยบาย วิธีการปฏิบัติ และการรายงานผลอย่างสม่ำเสมอ เพื่อให้มั่นใจว่า
วิธีการจัดการความเสี่ยงที่ได้กำหนดไว้ หรือกิจกรรมการควบคุมนั้นได้มีการนำไปปฏิบัติจริง
โดยผลการปฏิบัติงานสามารถบรรลุวัตถุประสงค์ที่ตั้งไว้ได้
ซึ่งมุ่งเน้นให้การปฏิบัติงานมีคุณภาพสูงสุดและมีความรวดเร็วควบคู่ไปด้วยกัน
นอกจากนี้บริษัทยังมีการกำหนดบุคลากรภายในองค์กร
เพื่อดูแลรับผิดชอบระบบการควบคุมภายในของแต่ละระบบงานและแบ่งแยกหน้าที่ความรับผิดชอบอย่างชัดเจน
พร้อมทั้งกำหนดระยะเวลาการบริหารความเสี่ยงและการรายงานผลเป็นลายลักษณ์อักษรต่อผู้เกี่ยวข้อง

7.  มีระบบสารสนเทศและการสื่อสารข้อมูลที่ดี (Information and Communication)

บริษัทมีระบบสารสนเทศที่สามารถเชื่อมโยงกันได้อย่างทั่วถึง
เพื่อนำไปใช้ในการตัดสินใจได้อย่างถูกต้องทันเวลา
และมีระบบรักษาความปลอดภัยของข้อมูลและสารสนเทศที่มีประสิทธิภาพเพียงพอ
โดยมีระบบการจัดเก็บข้อมูลที่สามารถตรวจสอบความถูกต้องย้อนหลังได้ (Audit Trail)
อีกทั้งยังมีระบบที่สามารถวิเคราะห์หรือบ่งชี้จุดที่อาจจะเกิดความเสี่ยงในเชิงสถิติได้อย่างเป็นระบบ
ซึ่งทำการประเมินและจัดการความเสี่ยงพร้อมทั้งบันทึกหรือรายงานผลไว้อย่างครบถ้วน

บริษัทมีช่องทางการติดต่อสื่อสารที่มีประสิทธิภาพและประสิทธิผลในลักษณะสองทางและสื่อสารทั้งภายในและภายนอก
เช่น ผู้บริหารสู่พนักงาน พนักงานสู่พนักงาน พนักงานสู่ผู้บริหาร พนักงานสู่ลูกค้าและผู้เกี่ยวข้องอื่นๆ
เช่น เจ้าหนี้การค้า นักกฎหมาย และผู้ถือหุ้น เป็นต้น

นอกจากนี้ บริษัทยังมีการสื่อสารข้อมูลพันธกิจ
และแนวทางการบริหารความเสี่ยงลงสู่พนักงานทุกระดับ
เพื่อรับทราบและทำความเข้าใจก่อนการปฏิบัติงานจริง
และยังมีช่องทางการสื่อสารจากระดับพนักงานขึ้นสู่ระดับผู้บริหารอย่างเหมาะสมเพียงพอ
เพื่อช่วยให้บุคคลากรที่เกี่ยวข้องสามารถตอบสนองต่อเหตุการณ์ได้อย่างรวดเร็วและมีประสิทธิภาพ
หรือสามารถปรับเปลี่ยนกิจกรรมการควบคุมให้สามารถจัดการความเสี่ยงให้อยู่ในระดับที่ยอมรับได้อย่างทันเวลา

8.  มีระบบการติดตามผลที่ดี (Monitoring )

บริษัทมีระบบการประเมินและติดตามผลการดำเนินงานที่ดีโดยใช้ ระบบ Balance Scorecard
ดัชนีวัดผลการดำเนินงาน Key Performance Indicator
การกำหนดเป้าหมายและการเปรียบเทียบกับวิธีการปฏิบัติที่ดี Benchmarking and Best
Practices เป็นเครื่องมือในการวัดผลการดำเนินงาน
และให้มีการติดตามผลอย่างสม่ำเสมอต่อเนื่อง เพื่อให้มั่นใจได้ว่า
มาตรการและระบบการควบคุมภายในนั้นมีประสิทธิผลและได้รับการปรับปรุงให้ทันสมัยอยู่เสมอ
โดยสามารถตอบสนองต่อการเปลี่ยนแปลงได้อย่างเหมาะสม ทันเวลา นอกจากนี้
บริษัทได้จัดให้มีการตรวจประเมินผลการปฏิบัติงาน โดยหน่วยงานตรวจสอบภายใน
ซึ่งเป็นหน่วยงานอิสระ ผู้สอบบัญชี และผู้ประเมินอิสระจากภายนอก

นอกจากนี้ บริษัทมีระบบการติดตามผลการบริหารความเสี่ยงที่ดีและมีการกำหนดสัญญาณเตือนภัย
เพื่อให้มั่นใจได้ว่า การบริหารและการจัดการความเสี่ยงมีประสิทธิผลเหมาะสมเพียงพอ
ซึ่งความเสี่ยงนั้นอยู่ในระดับที่ยอมรับได้
โดยให้มีการรายงานผลต่อหัวหน้างานทุกระดับและต่อผู้บริหารระดับสูงอย่างสม่ำเสมอและจัดให้มีการประชุมคณะกรรมการบริษัท
และมีการประชุมผู้บริหารอย่างสม่ำเสมอ
เพื่อพิจารณาและติดตามผลการดำเนินงานของฝ่ายบริหารว่าเป็นไปตามเป้าหมายที่ตั้งไว้

ในการประชุมคณะกรรมการบริษัท ครั้งที่ 2 /2550 เมื่อวันที่ 23 กุมภาพันธ์ 2550
โดยมีคณะกรรมการตรวจสอบเข้าร่วมประชุมด้วย
คณะกรรมการได้ประเมินระบบการควบคุมภายในของบริษัท
จากการสอบทานการประเมินระบบการควบคุมภายใน และจากการซักถามข้อมูลจากฝ่ายบริหาร
ผลการประเมินจากแบบประเมินความเพียงพอของระบบการควบคุมภายใน
สรุปได้ว่าบริษัทมีระบบการควบคุมภายในที่มีประสิทธิผลเหมาะสมเพียงพอ

นอกจากนี้ ผู้สอบบัญชีของบริษัท คือ บริษัท ไพร้ซวอเตอร์เฮาส์คูเปอร์ส เอบีเอเอส จำกัดซึ่ง
เป็นผู้ตรวจสอบงบการเงินประจำปี 2549
ได้ประเมินประสิทธิผลระบบการควบคุมภายในของบริษัทตามที่เห็นว่าจำเป็น
โดยพบว่าไม่มีจุดอ่อนของระบบการควบคุมภายในที่มีสาระสำคัญแต่ประการใด

  การตรวจสอบภายใน

หน่วยงานตรวจสอบภายในมีความเป็นอิสระ (Independence)
รายงานต่อคณะกรรมการตรวจสอบในด้าน งานตรวจสอบภายใน
และรายงานต่อประธานกรรมการบริหารในด้านงานบริหารหน่วยงาน โดยมีกฎบัตรของหน่วยงาน
ซึ่งกำหนดภารกิจ ขอบเขต วัตถุประสงค์และภาระหน้าที่ความรับผิดชอบ
รวมถึงสิทธิในการปฏิบัติงานตรวจสอบไว้อย่างชัดเจน
และมีการจัดทำคู่มือการปฏิบัติงานตรวจสอบสำหรับเจ้าหน้าที่ตรวจสอบไว้อ้างอิงในการปฏิบัติงาน
โดยกฎบัตรและคู่มือการตรวจสอบภายใน จะมีการปรับปรุงเปลี่ยนแปลงอย่างสม่ำเสมอ
เพื่อให้สอดคล้องเหมาะสมกับการปฏิบัติงาน

หน่วยงานตรวจสอบภายใน ทำหน้าที่ตรวจประเมินระบบการควบคุมภายใน
ระบบการบริหารความเสี่ยง และการกำกับดูแลกิจการของบริษัท ตามแผนงานการตรวจสอบประจำปี
ซึ่งได้พิจารณาจากปัจจัยเสี่ยงที่เกี่ยวข้อง (Risk based Approach)
โดยผ่านการอนุมัติสอบทานจากคณะกรรมการตรวจสอบ รวมทั้งการให้คำปรึกษาแนะนำในด้านต่างๆ
เพื่อให้เกิดความเชื่อมั่นว่า การปฏิบัติงานของบริษัทจะบรรลุผลสำเร็จตามวัตถุประสงค์ที่กำหนดไว้
อีกทั้งยังทำการติดตามประเมินผลอย่างสม่ำเสมอ
เพื่อให้เกิดความมั่นใจในระบบที่วางไว้ได้ดำเนินการเป็นไปอย่างต่อเนื่อง
และได้รับการแก้ไขปรับปรุงอย่างสม่ำเสมอให้สอดคล้องกับสถานการณ์ที่เปลี่ยนแปลงไป
รวมทั้งข้อบกพร่องได้รับการแก้ไขอย่างทันท่วงที
โดยหน่วยงานตรวจสอบภายในได้ใช้วิธีการตรวจสอบอย่างเป็นระบบตามมาตรฐานการปฏิบัติงานวิชาชีพการตรวจสอบภายใน
(Standard for the Professional Practice of Internal Auditing), CobiT,
COSO-ERM, AS / NZ 4360, ITIL, ISO 17799 เป็นต้น

ในการตรวจประเมินความมีประสิทธิผลของการบริหารความเสี่ยง
หน่วยงานตรวจสอบภายในได้ดำเนินการสอบทานตัวบ่งชี้เหตุการณ์หรือปัจจัยเสี่ยงที่ส่งผลกระทบต่อวัตถุประสงค์
และแนวทางการบริหารความเสี่ยงของผู้ปฏิบัติงาน
เพื่อให้มั่นใจว่ามีการระบุและประเมินความเสี่ยงได้อย่างถูกต้องเหมาะสม
และมีการบริหารความเสี่ยงที่เป็นระบบ สามารถจัดการความเสี่ยงให้อยู่ในระดับที่ยอมรับได้
และมีการรายงานความเสี่ยงต่อผู้เกี่ยวข้องอย่างครบถ้วนทันเวลา
พร้อมทั้งยังมีการติดตามสอบทานความเสี่ยงอย่างต่อเนื่องสม่ำเสมอ

ในการตรวจประเมินความมีประสิทธิผลของระบบการควบคุมภายใน
หน่วยงานตรวจสอบภายในได้จัดทำแบบประเมินความเพียงพอของระบบการควบคุมภายในของแต่ละระบบงาน
รวมทั้งได้ทำการสอบทานผลการปฏิบัติงาน
เพื่อให้มั่นใจว่าบริษัทสามารถบรรลุวัตถุประสงค์ที่ตั้งไว้อย่างมีประสิทธิภาพและประสิทธิผล
โดยปฏิบัติตามกฎ ระเบียบ ข้อบังคับต่างๆ อย่างเคร่งครัด
และรายงานทางการเงินมีความถูกต้องน่าเชื่อถือ

ในการตรวจประเมินการกำกับดูแลกิจการ
หน่วยงานตรวจสอบภายในได้ตรวจประเมินการกำกับดูแลดูแลกิจการตามหลักการกำกับดูแลกิจการที่ดีของ
OECD (Organization for Economic Co-operation and Development)
และตลาดหลักทรัพย์แห่งประเทศไทยเป็นเกณฑ์
เพื่อให้มั่นใจว่าบริษัทมีโครงสร้างและการสนับสนุนของกระบวนการที่จำเป็นในการนำไปสู่ผลสำเร็จของการกำกับดูแลที่ดีและโปร่งใสและให้ความเป็นธรรมแก่ผู้มีส่วนได้เสียทุกฝ่ายเท่าเทียมกัน

นอกจากนี้
หัวหน้าหน่วยงานตรวจสอบภายในได้ปฏิบัติหน้าที่เป็นเลขานุการของคณะกรรมการตรวจสอบ
เพื่อสนับสนุนภาระหน้าที่และความรับผิดชอบทุกหน้าที่ของคณะกรรมการตรวจสอบ
ที่ได้รับมอบหมายมาจากคณะกรรมการบริษัทให้มีประสิทธิผล
โดยจัดให้มีการประชุมคณะกรรมการตรวจสอบ เฉลี่ยเดือนละ 1 ครั้ง
และมีบทบาทในการให้คำปรึกษาแนะนำในด้านต่างๆ
โดยร่วมเป็นคณะกรรมการด้านความปลอดภัยระบบสารสนเทศของบริษัท
เพื่อให้ข้อเสนอแนะในด้านการรักษาความปลอดภัยด้านสารสนเทศในองค์กร
ตลอดจนมีบทบาทในการสนับสนุนส่งเสริมให้เจ้าหน้าที่ทุกระดับชั้น
เกิดความตระหนักถึงความสำคัญของการรักษาความปลอดภัยในระบบสารสนเทศ และผลักดันให้เกิด
Security Mind ให้เป็นส่วนหนึ่งของวัฒนธรรมองค์กร
โดยกำหนดให้กรรมการมีการประชุมกันอย่างน้อยไตรมาสละ 1 ครั้ง
อีกทั้งยังเป็นกรรมการและเลขานุการของคณะกรรมการบริหารความเสี่ยง
โดยทำหน้าที่สนับสนุนการปฏิบัติงานในการกำหนดหลักเกณฑ์ นโยบาย กรอบการบริหารความเสี่ยง
และระดับความเสี่ยงที่ยอมรับได้ในระดับภาพรวม พร้อมทั้งปรับปรุงกระบวนการบริหาร ความเสี่ยง
และพัฒนาเครื่องมือที่ใช้ในการบริหารความเสี่ยงให้มีประสิทธิภาพ ทันสมัย
และสนับสนุนให้หน่วยงานต่างๆ มีระบบการบริหารความเสี่ยง โดยทำการบริหารและควบคุม
ความเสี่ยงได้ด้วยตนเองอย่างเป็นระบบ
โดยรายงานผลการบริหารความเสี่ยงต่อคณะกรรมการตรวจสอบและคณะกรรมการบริหาร
ไตรมาสละ 1 ครั้ง

หน่วยงานตรวจสอบภายใน ได้ยึดถือมาตรฐานการปฏิบัติงานวิชาชีพการตรวจสอบ
เป็นกรอบหรือแนวทางในการปฏิบัติงาน โดยมุ่งเน้นให้มีการปฏิบัติงานที่มีความเป็นอิสระ เที่ยงธรรม
สอดคล้องกับมาตรฐานสากล และให้ความสำคัญอย่างจริงจังในเรื่องคุณภาพ
และเน้นการพัฒนาการฝึกอบรมอย่างต่อเนื่อง โดยจัดให้มีแผนการฝึกอบรมที่เหมาะสมเป็นรายบุคคล
(Individual Coaching Plan ) รวมถึงการพัฒนาเจ้าหน้าที่ตรวจสอบให้สอบวุฒิบัตร CIA
(Certified Internal Auditor), CISA (Certified Information System
Auditor), CISSP (Certified Information Systems Security Professional)
และCISM (Certified Information Security Manager) โดยปัจจุบัน
มีเจ้าหน้าที่ตรวจสอบที่มีวุฒิบัตร CIA จำนวน 5 ท่าน,วุฒิบัตร CISA 3 ท่าน, วุฒิบัตร CISM
จำนวน 1 ท่าน วุฒิบัตร CISSP จำนวน 1 ท่าน, วุฒิบัตร CPA (Certified Public
Accountant) จำนวน 3 ท่าน, วุฒิบัตร TA (Tax Auditor) จำนวน 1 ท่าน
โดยเจ้าหน้าที่อีกจำนวนหนึ่งอยู่ระหว่างการพัฒนาให้มีวุฒิบัตร CIA, CISA, CISSP และ CISM
อย่างต่อเนื่อง