ประกาศสํานักงานคณะกรรมการกํากับหลักทรัพย์และตลาดหลักทรัพย์

ที่ สธ. 38/2565  
เรื่อง ข้อกําหนดในรายละเอียดเกี่ยวกับการจัดให้มี  
ระบบเทคโนโลยีสารสนเทศ

\_\_\_\_\_\_\_\_\_\_\_\_\_\_\_\_\_

 อาศัยอํานาจตามความในข้อ 3(1) แห่งประกาศคณะกรรมการกํากับหลักทรัพย์และ  
ตลาดหลักทรัพย์ ที่ กจ. 16/2561 เรื่อง หลักเกณฑ์ เงื่อนไขและวิธีการให้ความเห็นชอบผู้ให้บริการ  
ระบบเสนอขายโทเคนดิจิทัล ลงวันที่ 3 กรกฎาคม พ.ศ. 2561 ประกอบกับข้อ 6(7) (ง) (ฉ) และ (ช)   
แห่งประกาศคณะกรรมการกํากับหลักทรัพย์และตลาดหลักทรัพย์ ที่ กจ. 16/2561 เรื่อง หลักเกณฑ์   
เงื่อนไขและวิธีการให้ความเห็นชอบผู้ให้บริการระบบเสนอขายโทเคนดิจิทัล ลงวันที่ 3 กรกฎาคม พ.ศ. 2561   
ซึ่งแก้ไขเพิ่มเติมโดยประกาศคณะกรรมการกํากับหลักทรัพย์และตลาดหลักทรัพย์ ที่ กจ. 7/2563   
เรื่อง หลักเกณฑ์ เงื่อนไขและวิธีการให้ความเห็นชอบผู้ให้บริการระบบเสนอขายโทเคนดิจิทัล (ฉบับที่ 4)   
ลงวันที่ 24 มีนาคม พ.ศ. 2563 ข้อ 3(1) ประกอบกับข้อ 9(4) และ (8) ข้อ 11 ข้อ 17 ข้อ 18 และข้อ 19  
แห่งประกาศคณะกรรมการกํากับหลักทรัพย์และตลาดหลักทรัพย์ ที่ กธ. 19/2561 เรื่อง หลักเกณฑ์ เงื่อนไข  
และวิธีการประกอบธุรกิจสินทรัพย์ดิจิทัล ลงวันที่ 3 กรกฎาคม พ.ศ. 2561 ข้อ 5(1) ประกอบกับข้อ 12 วรรคหนึ่ง (6) (11) และ (12) และข้อ 14 แห่งประกาศคณะกรรมการกํากับตลาดทุน ที่ ทธ. 35/2556   
เรื่อง มาตรฐานการประกอบธุรกิจ โครงสร้างการบริหารงาน ระบบงาน และการให้บริการของผู้ประกอบธุรกิจหลักทรัพย์และผู้ประกอบธุรกิจสัญญาซื้อขายล่วงหน้า ลงวันที่ 6 กันยายน พ.ศ. 2556 ข้อ 4(1) ประกอบกับ  
ข้อ 26 และข้อ 32 แห่งประกาศคณะกรรมการกํากับตลาดทุน ที่ ทธ. 30/2559 เรื่อง หลักเกณฑ์ในการประกอบการเป็นศูนย์ซื้อขายสัญญาซื้อขายล่วงหน้า ลงวันที่ 3 สิงหาคม พ.ศ. 2559 ข้อ 5(1) ประกอบกับ  
ข้อ 21 ข้อ 27 วรรคหนึ่ง ข้อ 37 และข้อ 43 แห่งประกาศคณะกรรมการกํากับตลาดทุน ที่ ทธ. 31/2559 เรื่อง หลักเกณฑ์ในการประกอบการเป็นสํานักหักบัญชีสัญญาซื้อขายล่วงหน้า ลงวันที่ 3 สิงหาคม พ.ศ. 2559 ข้อ 5(1) ประกอบกับข้อ 11 ข้อ 17 วรรคหนึ่ง และข้อ 33 แห่งประกาศคณะกรรมการกํากับตลาดทุน   
ที่ ทธ. 32/2559 เรื่อง หลักเกณฑ์ เงื่อนไข และวิธีการในการประกอบการเป็นสํานักหักบัญชีหลักทรัพย์และ  
ศูนย์รับฝากหลักทรัพย์ ลงวันที่ 3 สิงหาคม พ.ศ. 2559 และข้อ 5(1) ประกอบกับข้อ 31(1) และ (4) วรรคหนึ่ง (ง) แห่งประกาศคณะกรรมการกํากับตลาดทุน ที่ ทจ. 21/2562 เรื่อง ข้อกําหนดเกี่ยวกับการเสนอขายหลักทรัพย์ผ่านระบบคราวด์ฟันดิง ลงวันที่ 12 เมษายน พ.ศ. 2562 และข้อ 31(4/1) แห่งประกาศคณะกรรมการ  
กํากับตลาดทุน ที่ ทจ. 21/2562 เรื่อง ข้อกําหนดเกี่ยวกับการเสนอขายหลักทรัพย์ผ่านระบบคราวด์ฟันดิง   
ลงวันที่ 12 เมษายน พ.ศ. 2562 ซึ่งแก้ไขเพิ่มเติมโดยประกาศคณะกรรมการกํากับตลาดทุน ที่ ทจ. 14/2563   
เรื่อง ข้อกําหนดเกี่ยวกับการเสนอขายหลักทรัพย์ผ่านระบบคราวด์ฟันดิง (ฉบับที่ 2) ลงวันที่ 28 กุมภาพันธ์ พ.ศ. 2563 สํานักงานออกประกาศไว้ดังต่อไปนี้

ข้อ 1 ให้ยกเลิกประกาศสํานักงานคณะกรรมการกํากับหลักทรัพย์และตลาดหลักทรัพย์ ที่ สธ. 37/2559 เรื่อง ข้อกําหนดในรายละเอียดเกี่ยวกับการจัดให้มีระบบเทคโนโลยีสารสนเทศ ลงวันที่ 12 กันยายน พ.ศ. 2559

 ข้อ 2 ในประกาศนี้   
 “ผู้ประกอบธุรกิจ” หมายความว่า 

 (1) ผู้ที่ได้รับใบอนุญาตประกอบธุรกิจหลักทรัพย์หรือธุรกิจสัญญาซื้อขายล่วงหน้า ประเภทดังต่อไปนี้

 (ก) การเป็นนายหน้าซื้อขายหลักทรัพย์   
 (ข) การค้าหลักทรัพย์   
 (ค) การจัดจําหน่ายหลักทรัพย์

 (ง) การเป็นที่ปรึกษาการลงทุนที่มีการวางแผนการลงทุนให้แก่ลูกค้า หรือใช้โปรแกรมสําเร็จรูปประกอบการให้บริการแก่ลูกค้า

 (จ) การจัดการกองทุนรวม แต่ไม่รวมถึงการจัดการกองทุนรวมเพื่อผู้ลงทุนซึ่งเป็นคนต่างด้าว

 (ฉ) การจัดการกองทุนส่วนบุคคล

 (ช) กิจการการยืมและให้ยืมหลักทรัพย์

 (ซ) การให้สินเชื่อเพื่อธุรกิจหลักทรัพย์

 (ฌ) การเป็นตัวแทนซื้อขายสัญญาซื้อขายล่วงหน้า

 (ญ) การเป็นที่ปรึกษาสัญญาซื้อขายล่วงหน้าที่มีการวางแผนการลงทุนให้แก่ลูกค้า หรือใช้โปรแกรมสําเร็จรูปประกอบการให้บริการแก่ลูกค้า 

 (ฎ) การเป็นผู้จัดการเงินทุนสัญญาซื้อขายล่วงหน้า

 (2) ผู้ประกอบธุรกิจสินทรัพย์ดิจิทัล 

 (3) สํานักหักบัญชีหลักทรัพย์   
 (4) ศูนย์รับฝากหลักทรัพย์ 

 (5) ศูนย์ซื้อขายสัญญาซื้อขายล่วงหน้า   
 (6) สํานักหักบัญชีสัญญาซื้อขายล่วงหน้า 

 (7) ผู้ให้บริการระบบเสนอขายโทเคนดิจิทัล 

 (8) ผู้ให้บริการระบบคราวด์ฟันดิง 

 “เทคโนโลยีสารสนเทศ” (information technology : IT) หมายความว่า เทคโนโลยีสารสนเทศที่นํามาใช้ในการดําเนินธุรกิจ ซึ่งครอบคลุมถึงข้อมูลหรือสารสนเทศ (data/information) ระบบปฏิบัติการ (operating system) ระบบงาน (application system) ระบบฐานข้อมูล (database system) ฮาร์ดแวร์ (hardware) และระบบเครือข่ายสื่อสาร (communication system) เป็นต้น

 “ความเสี่ยงด้านเทคโนโลยีสารสนเทศ” (information technology risk) หมายความว่า ความเสี่ยงที่อาจเกิดขึ้นจากการใช้เทคโนโลยีสารสนเทศ โดยรวมถึงความเสี่ยงที่เกิดจากภัยคุกคามทาง  
ไซเบอร์ ซึ่งส่งผลอย่างหนึ่งอย่างใดดังต่อไปนี้  
 (1) ผลกระทบต่อระบบงานหรือการปฏิบัติงานของผู้ประกอบธุรกิจ   
 (2) ผลกระทบต่อความมั่นคงปลอดภัยด้านเทคโนโลยีสารสนเทศและความเสี่ยงของข้อมูล  
 (3) ผลกระทบต่อความเชื่อมั่นของตลาดทุน 

 “ความมั่นคงปลอดภัยด้านเทคโนโลยีสารสนเทศ” (information technology security) หมายความว่า การธํารงไว้ซึ่งความลับ (confidentiality) ความถูกต้องครบถ้วน (integrity) สภาพพร้อมใช้งาน (availability) ของสารสนเทศ รวมทั้งคุณสมบัติอื่น ได้แก่ ความถูกต้องแท้จริง (authenticity) ความรับผิด (accountability) การห้ามปฏิเสธความรับผิด (non-repudiation) และความน่าเชื่อถือ (reliability)

 ข้อ 3 เพื่อประโยชน์ในการปฏิบัติตามหลักเกณฑ์ที่กําหนดในประกาศนี้ ให้ใช้คําศัพท์  
ตามภาคผนวก 1 คําศัพท์ แนบท้ายประกาศนี้ ประกอบการพิจารณาการปฏิบัติตามหลักเกณฑ์ดังกล่าวด้วย

 ข้อ 4 เพื่อประโยชน์ในการปฏิบัติตามหลักเกณฑ์ที่กําหนดในประกาศนี้ ให้ผู้ประกอบธุรกิจประเมินระดับความเสี่ยงเกี่ยวกับระบบเทคโนโลยีสารสนเทศซึ่งส่งผลต่อการดําเนินธุรกิจของผู้ประกอบธุรกิจ ตามแบบ RLA (Risk Level Assessment) และจัดส่งผลการประเมินดังกล่าวต่อสํานักงาน ภายใน  
ไตรมาสที่ 4 ของทุกปี ทั้งนี้ ตามแบบและวิธีการที่กําหนดไว้บนเว็บไซต์ของสํานักงาน 

 ผลการประเมินระดับความเสี่ยงตามวรรคหนึ่ง ต้องผ่านการพิจารณาจากคณะกรรมการ  
หรือผู้ที่ได้รับมอบหมายจากคณะกรรมการของผู้ประกอบธุรกิจให้รับผิดชอบในเรื่องดังกล่าว

 ข้อ 5 เว้นแต่จะมีการกําหนดไว้แล้วเป็นการเฉพาะในประกาศอื่น ในการดําเนินการ  
ด้านเทคโนโลยีสารสนเทศ ให้ผู้ประกอบธุรกิจดําเนินการดังต่อไปนี้

 (1) กํากับดูแลและบริหารจัดการด้านเทคโนโลยีสารสนเทศ โดยให้ดําเนินการตามรายละเอียดในภาคผนวก 2 การกํากับดูแลและบริหารจัดการด้านเทคโนโลยีสารสนเทศ (Information Technology Governance) 

 (2) รักษาความมั่นคงปลอดภัยด้านเทคโนโลยีสารสนเทศ โดยให้ดําเนินการตามรายละเอียดในภาคผนวก 3 การรักษาความมั่นคงปลอดภัยด้านเทคโนโลยีสารสนเทศ (Information Technology Security)

 (3) ตรวจสอบด้านเทคโนโลยีสารสนเทศ โดยให้ดําเนินการตามรายละเอียด  
ในภาคผนวก 4 การตรวจสอบด้านเทคโนโลยีสารสนเทศ (Information Technology Audit)  
 คําว่า “ประกาศอื่น” ตามวรรคหนึ่ง หมายความว่า ประกาศคณะกรรมการ  
กํากับหลักทรัพย์และตลาดหลักทรัพย์ ประกาศคณะกรรมการกํากับตลาดทุน หรือประกาศสํานักงานคณะกรรมการกํากับหลักทรัพย์และตลาดหลักทรัพย์ ซึ่งออกโดยอาศัยอํานาจตามกฎหมายว่าด้วย

หลักทรัพย์และตลาดหลักทรัพย์ กฎหมายว่าด้วยสัญญาซื้อขายล่วงหน้า หรือกฎหมายว่าด้วย  
การประกอบธุรกิจสินทรัพย์ดิจิทัล

 ข้อ 6 ในการประเมินระดับความเสี่ยงเกี่ยวกับระบบเทคโนโลยีสารสนเทศตามที่กําหนดในข้อ 4 สําหรับปี พ.ศ. 2566 ให้ผู้ประกอบธุรกิจดําเนินการดังต่อไปนี้  
 (1) ประเมินและจัดส่งผลการประเมินครั้งที่ 1 ต่อสํานักงาน ภายในวันที่ 31 กรกฎาคม พ.ศ. 2566   
 (2) ประเมินและจัดส่งผลการประเมินครั้งที่ 2 ต่อสํานักงาน ภายในวันที่ 31 ธันวาคม พ.ศ. 2566 

 ข้อ 7 ประกาศนี้ให้ใช้บังคับตั้งแต่วันที่ 1 กรกฎาคม พ.ศ. 2566 เป็นต้นไป

  ประกาศ ณ วันที่ 28 กันยายน พ.ศ. 2565

 (นางสาวรื่นวดี สุวรรณมงคล)

 เลขาธิการ

 สํานักงานคณะกรรมการกํากับหลักทรัพย์และตลาดหลักทรัพย์