ประกาศสํานักงานคณะกรรมการกํากับหลักทรัพย์และตลาดหลักทรัพย์

ที่ สธ/น. 32/2552

เรื่อง  การควบคุมการปฏิบัติงานและการรักษาความปลอดภัย

ด้านเทคโนโลยีสารสนเทศของบริษัทหลักทรัพย์

\_\_\_\_\_\_\_\_\_\_\_\_\_\_\_\_\_\_\_\_\_\_\_\_\_

อาศัยอํานาจตามความในมาตรา 141(2) แห่งพระราชบัญญัติหลักทรัพย์และตลาดหลักทรัพย์ พ.ศ. 2535 อันเป็นพระราชบัญญัติที่มีบทบัญญัติบางประการเกี่ยวกับการจํากัดสิทธิและเสรีภาพของบุคคล ซึ่งมาตรา 29 ประกอบกับมาตรา 33 มาตรา 34 มาตรา 41 มาตรา 43 มาตรา 44 และมาตรา 64 ของรัฐธรรมนูญแห่งราชอาณาจักรไทย บัญญัติให้กระทําได้โดยอาศัยอํานาจตามบทบัญญัติแห่งกฎหมาย สํานักงานโดยความเห็นชอบของคณะกรรมการ ก.ล.ต. ทําหน้าที่คณะกรรมการกํากับตลาดทุนตามมาตรา 60 แห่งพระราชบัญญัติหลักทรัพย์และตลาดหลักทรัพย์ (ฉบับที่ 4) พ.ศ. 2551  ออกข้อกําหนดไว้ดังต่อไปนี้


ข้อ ๑ ให้ยกเลิกประกาศสํานักงานคณะกรรมการกํากับหลักทรัพย์และตลาดหลักทรัพย์ ที่ สธ./น. 34/2547  เรื่อง การควบคุมการปฏิบัติงานและการรักษาความปลอดภัยด้านเทคโนโลยีสารสนเทศของบริษัทหลักทรัพย์ ลงวันที่ 20 กรกฎาคม พ.ศ. 2547 


ข้อ ๒ ในประกาศนี้ 

“บริษัทหลักทรัพย์” หมายความว่า   บริษัทหลักทรัพย์ที่ได้รับใบอนุญาตประกอบธุรกิจหลักทรัพย์ประเภทการเป็นนายหน้าซื้อขายหลักทรัพย์ การค้าหลักทรัพย์ การจัดจําหน่ายหลักทรัพย์หรือการจัดการกองทุนรวม  แต่ไม่รวมถึงสถาบันการเงินที่จัดตั้งตามกฎหมายอื่นและได้รับใบอนุญาตประกอบธุรกิจหลักทรัพย์


ข้อ ๓ บริษัทหลักทรัพย์ต้องจัดให้มีนโยบายและระเบียบปฏิบัติเกี่ยวกับการควบคุมการปฏิบัติงานและการรักษาความปลอดภัยด้านเทคโนโลยีสารสนเทศของบริษัทหลักทรัพย์ที่เป็นลายลักษณ์อักษรและได้รับความเห็นชอบจากคณะกรรมการบริหารหรือคณะกรรมการของบริษัทหลักทรัพย์


ข้อ ๔ บริษัทหลักทรัพย์ต้องจัดให้มีการตรวจสอบการปฏิบัติงานด้านเทคโนโลยีสารสนเทศโดยหน่วยงานภายในบริษัทหลักทรัพย์เองหรือโดยผู้ตรวจสอบที่เป็นบุคคลภายนอกเพื่อทําหน้าที่ตรวจสอบความเสี่ยงด้านเทคโนโลยีสารสนเทศทุกประเภทที่อาจเกิดขึ้นได้  ทั้งนี้ ในกรณีที่การตรวจสอบดังกล่าวดําเนินการโดยหน่วยงานภายในของบริษัทหลักทรัพย์ หน่วยงานดังกล่าวต้องมีความเป็นอิสระจากฝ่ายงานคอมพิวเตอร์ของบริษัทด้วย


ข้อ ๕ บริษัทหลักทรัพย์ต้องแบ่งแยกหน่วยงานและบุคลากรที่ปฏิบัติหน้าที่ในส่วนการพัฒนาระบบงานออกจากหน่วยงานและบุคลากรที่ปฏิบัติหน้าที่ในส่วนการบริหารระบบ (system administration) และต้องจัดให้มีระบบการสอบยันการปฏิบัติงานระหว่างบุคลากรในหน่วยงานดังกล่าว โดยอย่างน้อยต้องไม่มอบหมายให้บุคลากรคนหนึ่งคนใดรับผิดชอบการปฏิบัติงานตลอดกระบวนการในลักษณะที่อาจเป็นช่องทางให้มีการแก้ไขหรือเปลี่ยนแปลงข้อมูลหรือการทํางานของระบบคอมพิวเตอร์โดยมิชอบ


ข้อ ๖ บริษัทหลักทรัพย์ต้องจัดให้มีระบบการรักษาความปลอดภัยทางกายภาพที่เพียงพอแก่การป้องกันมิให้บุคคลที่ไม่มีอํานาจหน้าที่ที่เกี่ยวข้องได้เข้าถึงอุปกรณ์คอมพิวเตอร์ที่สําคัญซึ่งจัดเก็บอยู่ในศูนย์คอมพิวเตอร์ และต้องจัดให้มีระบบป้องกันความเสียหายจากสภาวะแวดล้อมหรือภัยพิบัติต่างๆ ให้แก่อุปกรณ์คอมพิวเตอร์ที่สําคัญภายในศูนย์คอมพิวเตอร์ด้วย


ข้อ ๗ บริษัทหลักทรัพย์ต้องจัดให้มีระบบการรักษาความปลอดภัยของข้อมูล ระบบคอมพิวเตอร์และระบบเครือข่าย ที่เพียงพอแก่การป้องกันมิให้บุคคลที่ไม่มีอํานาจหน้าที่ที่เกี่ยวข้องได้เข้าถึง ล่วงรู้ ใช้ประโยชน์ หรือแก้ไขเปลี่ยนแปลงข้อมูลหรือระบบดังกล่าวได้ 


ข้อ ๘ บริษัทหลักทรัพย์ต้องจัดให้มีมาตรการควบคุมที่เพียงพอเพื่อให้ระบบงานคอมพิวเตอร์ (application software) ที่ได้รับการพัฒนาหรือแก้ไขเปลี่ยนแปลงมีการประมวลผลที่ถูกต้องครบถ้วนและเป็นไปตามความต้องการของผู้ใช้งาน รวมทั้งต้องสื่อสารการพัฒนาหรือการเปลี่ยนแปลงให้ผู้ที่เกี่ยวข้องได้รับทราบอย่างทั่วถึงเพื่อให้สามารถใช้งานได้อย่างถูกต้อง


ข้อ ๙ บริษัทหลักทรัพย์ต้องจัดให้มีการสํารองข้อมูลและระบบคอมพิวเตอร์ของบริษัทหลักทรัพย์เพื่อให้สามารถรองรับการประกอบธุรกิจได้อย่างต่อเนื่อง มีประสิทธิภาพและทันต่อเหตุการณ์


ข้อ ๑๐ บริษัทหลักทรัพย์ต้องจัดให้มีมาตรการในการควบคุมการปฏิบัติงานประจําด้านคอมพิวเตอร์อย่างเพียงพอเพื่อให้ระบบคอมพิวเตอร์และการประมวลผลข้อมูลสามารถทํางานได้อย่างต่อเนื่องและถูกต้องครบถ้วน


ข้อ ๑๑ ในกรณีที่บริษัทหลักทรัพย์ใช้บริการงานเทคโนโลยีสารสนเทศของผู้ให้บริการที่เป็นบุคคลภายนอก บริษัทหลักทรัพย์ต้องจัดให้มีหลักเกณฑ์ในการคัดเลือกและพิจารณาความเหมาะสมของผู้ให้บริการ รวมทั้งต้องควบคุมและตรวจสอบการปฏิบัติงานของผู้ให้บริการอย่างเข้มงวด เพื่อให้มั่นใจว่าผู้ให้บริการสามารถปฏิบัติงานตามข้อกําหนดในประกาศนี้ได้


ข้อ ๑๒ เพื่อให้บริษัทหลักทรัพย์สามารถปฏิบัติตามข้อกําหนดในประกาศนี้อย่างมีประสิทธิภาพและมีมาตรฐานในระดับเดียวกัน ให้บริษัทหลักทรัพย์ปฏิบัติตามแนวทางปฏิบัติเกี่ยวกับการควบคุมการปฏิบัติงานและการรักษาความปลอดภัยด้านเทคโนโลยีสารสนเทศของบริษัทหลักทรัพย์ตามที่สํานักงานกําหนด

                   ในกรณีที่บริษัทหลักทรัพย์ดําเนินการในแนวทางปฏิบัติอื่นที่แตกต่างจากแนวทางที่สํานักงานกําหนด สํานักงานจะพิจารณาว่าบริษัทหลักทรัพย์ได้ปฏิบัติให้เป็นไปตามข้อกําหนดในประกาศนี้ ต่อเมื่อบริษัทหลักทรัพย์สามารถแสดงต่อสํานักงานได้ว่าแนวทางอื่นนั้นสามารถป้องกันความเสี่ยงด้านเทคโนโลยีสารสนเทศของบริษัทหลักทรัพย์ได้และมีประสิทธิภาพเพียงพอ ตลอดจนอยู่ในมาตรฐานที่ยอมรับได้สําหรับการควบคุมการปฏิบัติงานและการรักษาความปลอดภัยด้านเทคโนโลยีสารสนเทศของบริษัทหลักทรัพย์


ข้อ ๑๓ ให้บรรดาคําสั่งและหนังสือเวียนที่ออกหรือวางแนวปฏิบัติตามประกาศสํานักงานคณะกรรมการกํากับหลักทรัพย์และตลาดหลักทรัพย์ ที่ สธ./น. 34/2547  เรื่อง การควบคุมการปฏิบัติงานและการรักษาความปลอดภัยด้านเทคโนโลยีสารสนเทศของบริษัทหลักทรัพย์ ลงวันที่ 20 กรกฎาคม พ.ศ. 2547 ซึ่งใช้บังคับอยู่ในวันก่อนวันที่ประกาศนี้ใช้บังคับ ยังคงใช้บังคับได้ต่อไปเท่าที่ไม่ขัดหรือแย้งกับข้อกําหนดแห่งประกาศนี้ จนกว่าจะได้มีคําสั่งและหนังสือเวียนที่ออกหรือวางแนวปฏิบัติตามประกาศนี้ใช้บังคับ


ข้อ ๑๔ ในกรณีที่มีประกาศฉบับอื่นใดอ้างอิงประกาศสํานักงานคณะกรรมการกํากับหลักทรัพย์และตลาดหลักทรัพย์ ที่ สธ./น. 34/2547  เรื่อง การควบคุมการปฏิบัติงานและการรักษาความปลอดภัยด้านเทคโนโลยีสารสนเทศของบริษัทหลักทรัพย์ ลงวันที่ 20 กรกฎาคม พ.ศ. 2547 ให้การอ้างอิงดังกล่าวหมายถึงการอ้างอิงประกาศฉบับนี้


ข้อ ๑๕ ประกาศนี้ให้ใช้บังคับตั้งแต่วันที่  1 กันยายน พ.ศ. 2552  เป็นต้นไป


ผู้มีอํานาจลงนาม -                                ประกาศ ณ  วันที่  3 สิงหาคม พ.ศ. 2552

 

 

 

                                                       (นายธีระชัย  ภูวนาถนรานุบาล)

                                                                  เลขาธิการ

                                       สํานักงานคณะกรรมการกํากับหลักทรัพย์และตลาดหลักทรัพย์


หมายเหตุ - เหตุผลในการออกประกาศฉบับนี้ คือ เนื่องจากพระราชบัญญัติหลักทรัพย์และตลาดหลักทรัพย์ (ฉบับที่ 4) พ.ศ. 2551  กําหนดให้การออกหลักเกณฑ์ให้บริษัทหลักทรัพย์กระทําการหรือไม่กระทําการเป็นอํานาจของสํานักงานโดยความเห็นชอบของคณะกรรมการกํากับตลาดทุน จึงเห็นควรออกประกาศเพื่อทดแทนประกาศสํานักงานคณะกรรมการกํากับหลักทรัพย์และตลาดหลักทรัพย์ ที่ สธ./น. 34/2547  เรื่อง การควบคุมการปฏิบัติงานและการรักษาความปลอดภัยด้านเทคโนโลยีสารสนเทศของบริษัทหลักทรัพย์ ลงวันที่ 20 กรกฎาคม พ.ศ. 2547 จึงจําเป็นต้องออกประกาศนี้