วิธี Audit PDPA สำหรับธุรกิจสุขภาพ ขององค์กรการเงิน ประกัน และธุรกิจที่มีความเสี่ยงสูง พร้อม Evidence ที่ควรเก็บ

การ Audit PDPA สำหรับธุรกิจสุขภาพในบริบทองค์กรการเงินและประกัน คือการตรวจสอบเป็นระยะว่าจุดที่องค์กรสัมผัสข้อมูลสุขภาพของลูกค้า เช่น ข้อมูลเคลมประกันสุขภาพหรือผลตรวจสุขภาพประกอบการอนุมัติสินเชื่อ ยังมีความยินยอมโดยชัดแจ้งรองรับ มีการควบคุมการเข้าถึงที่รัดกุม และมีหลักฐาน (evidence) ที่พิสูจน์ได้ว่าองค์กรปฏิบัติตามจริง ไม่ใช่แค่มีนโยบายเขียนไว้บนกระดาษ

"เรารู้ได้อย่างไรว่าฝ่ายสินเชื่อยังใช้ข้อมูลผลตรวจสุขภาพของลูกค้าตามขอบเขตที่ขอความยินยอมไว้จริง" คือคำถามที่ฝ่าย Compliance ขององค์กรการเงินขนาดใหญ่หลายแห่งเริ่มถามตัวเองบ่อยขึ้น หลังจากพบว่าผลิตภัณฑ์ประกันสุขภาพและสินเชื่อที่ต้องพิจารณาความเสี่ยงสุขภาพประกอบ ทำให้องค์กรกลายเป็นผู้ถือข้อมูลอ่อนไหวจำนวนมากโดยไม่รู้ตัว คำตอบที่ตรงไปตรงมาคือ องค์กรจะรู้ได้ก็ต่อเมื่อมีกระบวนการ Audit ที่ตรวจสอบทั้งฝั่งนโยบายและฝั่งการปฏิบัติจริงอย่างสม่ำเสมอ ไม่ใช่รอให้เกิดข้อร้องเรียนหรือการตรวจสอบจากหน่วยงานกำกับดูแลก่อนถึงจะย้อนกลับไปดู

ทำไมองค์กรการเงินและประกันต้องจับตาข้อมูลสุขภาพเป็นพิเศษ

ธุรกิจการเงิน ประกัน และองค์กรที่มีความเสี่ยงสูงมักไม่ได้ตั้งต้นเป็นผู้ให้บริการด้านสุขภาพ แต่กลับกลายเป็นผู้ถือข้อมูลสุขภาพจำนวนมากผ่านผลิตภัณฑ์อย่างประกันสุขภาพ ประกันชีวิตที่ต้องแถลงสุขภาพ หรือสินเชื่อที่ต้องใช้ผลตรวจสุขภาพประกอบการพิจารณา ข้อมูลเหล่านี้ยังคงเป็นข้อมูลส่วนบุคคลที่มีความอ่อนไหวตามนิยามของ PDPA แม้จะถูกเก็บอยู่ในระบบขององค์กรการเงินก็ตาม บาร์ทางกฎหมายจึงไม่ได้ลดลงเพียงเพราะองค์กรไม่ใช่โรงพยาบาลหรือคลินิก ฝ่าย Compliance ต้องมองข้อมูลชุดนี้ด้วยเลนส์เดียวกับที่สถานพยาบาลใช้ดูแลเวชระเบียน

ขอบเขตของการ Audit: ตรวจอะไรบ้าง

การ Audit ที่มีประสิทธิภาพควรครอบคลุมอย่างน้อยห้าเรื่องต่อไปนี้ในทุกรอบการตรวจสอบ

• ฐานความยินยอม ตรวจว่าทุกจุดที่เก็บข้อมูลสุขภาพลูกค้า เช่น แบบฟอร์มแถลงสุขภาพเพื่อขอกรมธรรม์ มีการขอความยินยอมโดยชัดแจ้งแยกจากความยินยอมทั่วไปในสัญญาหรือไม่
• สิทธิ์การเข้าถึง ตรวจว่าเฉพาะบุคลากรที่จำเป็นต้องใช้ข้อมูล เช่น ฝ่ายพิจารณาอนุมัติกรมธรรม์หรือฝ่ายสินไหม เท่านั้นที่เข้าถึงข้อมูลสุขภาพลูกค้าได้ ไม่ใช่พนักงานทั้งฝ่ายขายเห็นข้อมูลเดียวกัน
• การส่งต่อข้อมูลให้บุคคลที่สาม ตรวจว่าการส่งข้อมูลสุขภาพไปยังบริษัทประกันภัยต่อ (reinsurer) หรือผู้ตรวจสอบสินไหมภายนอก มีข้อตกลงประมวลผลข้อมูลรองรับหรือไม่
• บันทึกการเข้าถึง (audit trail) ตรวจว่าระบบมี Log บันทึกว่าใครเปิดดูข้อมูลสุขภาพของลูกค้ารายใด เมื่อใด และด้วยเหตุผลอะไร
• ระยะเวลาการเก็บรักษา ตรวจว่านโยบายลบข้อมูลสอดคล้องกับทั้งอายุกรมธรรม์ ระยะเวลาที่กฎหมายประกันภัยกำหนด และข้อกำหนดด้านเวชระเบียนที่อาจเกี่ยวข้องเมื่อข้อมูลมาจากสถานพยาบาลต้นทาง

วางจังหวะการ Audit อย่างไรให้เป็นกระบวนการต่อเนื่อง

องค์กรขนาดใหญ่มักมีความเสี่ยงจากการเปลี่ยนแปลงบ่อย เช่น ผลิตภัณฑ์ประกันสุขภาพใหม่ที่ออกทุกไตรมาส หรือการควบรวมระบบหลังซื้อกิจการ การ Audit จึงไม่ควรเป็นกิจกรรมปีละครั้งที่ทำเพื่อรายงานผู้บริหารเท่านั้น แต่ควรผูกกับวงจรการเปลี่ยนแปลงจริงขององค์กร แนวทางที่ใช้ได้ผลคือกำหนดให้ทุกครั้งที่มีผลิตภัณฑ์ใหม่ที่แตะข้อมูลสุขภาพ ต้องผ่านการตรวจสอบผลกระทบด้านข้อมูลส่วนบุคคล (DPIA) ก่อนเปิดขาย และกำหนดรอบ Audit ทั่วทั้งองค์กรอย่างน้อยทุกหกเดือนสำหรับระบบที่มีอยู่เดิม โดยให้ฝ่าย Compliance ทำงานร่วมกับฝ่ายไอทีและฝ่ายกฎหมายพร้อมกัน ไม่ใช่ต่างฝ่ายต่างตรวจแล้วนำผลมารวมทีหลัง

สำหรับองค์กรที่มีสาขาหรือหน่วยธุรกิจหลายแห่ง ควรมีรายการตรวจสอบกลางที่ใช้เป็นมาตรฐานเดียวกันทั้งองค์กร แต่เปิดให้แต่ละหน่วยธุรกิจเพิ่มรายการเฉพาะของตัวเองได้ เพราะความเสี่ยงของฝ่ายสินเชื่อที่ใช้ผลตรวจสุขภาพประกอบการอนุมัติ อาจต่างจากความเสี่ยงของฝ่ายประกันภัยที่ต้องเก็บประวัติการเคลมระยะยาว

หลักฐาน (Evidence) ที่ควรเก็บไว้พิสูจน์การปฏิบัติตาม

เมื่อถูกตรวจสอบจากหน่วยงานกำกับดูแลหรือถูกร้องเรียนจากลูกค้า สิ่งที่องค์กรต้องแสดงได้ไม่ใช่แค่คำยืนยันด้วยปากเปล่าว่า "เราทำถูกต้อง" แต่ต้องมีหลักฐานที่จับต้องได้ เช่น บันทึกเวลาที่ลูกค้าให้ความยินยอม ข้อความที่แสดงต่อลูกค้าในขณะนั้น รายชื่อพนักงานที่มีสิทธิ์เข้าถึงข้อมูลพร้อมเหตุผล และสำเนาข้อตกลงกับคู่สัญญาภายนอกที่รับช่วงข้อมูล การเก็บหลักฐานเหล่านี้แบบมีโครงสร้าง เช่น จัดเก็บเป็นชุดต่อผลิตภัณฑ์หรือต่อรอบ Audit ช่วยให้ทีม Compliance ตอบคำถามจากผู้ตรวจสอบได้เร็วกว่าการต้องไล่ค้นอีเมลหรือระบบเดิมย้อนหลัง

ความเสี่ยงจากการรั่วไหลของข้อมูลในบริบทองค์กรขนาดใหญ่

องค์กรการเงินและประกันมักมีระบบจำนวนมากเชื่อมต่อกัน ทั้งระบบแกนหลัก ระบบ CRM และระบบของคู่ค้าภายนอก ยิ่งจำนวนระบบที่ข้อมูลสุขภาพไหลผ่านมากเท่าไร จุดเสี่ยงที่อาจเกิดการรั่วไหลก็ยิ่งมากขึ้นตามไปด้วย การมีมาตรการเข้ารหัสและจำกัดสิทธิ์ที่ดีช่วยลดโอกาสเกิดเหตุ แต่ไม่ได้ทำให้ความเสี่ยงหมดไปโดยสิ้นเชิง เพราะช่องโหว่อาจเกิดจากปัจจัยมนุษย์หรือระบบของคู่ค้าที่องค์กรควบคุมโดยตรงไม่ได้ ทีม Compliance และ Security จึงควรซ้อมแผนตอบสนองเหตุการณ์ร่วมกับฝ่ายสื่อสารองค์กรเป็นระยะ เพื่อให้พร้อมแจ้งหน่วยงานกำกับดูแลและลูกค้าที่ได้รับผลกระทบภายในกรอบเวลาที่กฎหมายกำหนด หากเกิดเหตุขึ้นจริง

เตรียมทีมและข้อมูลก่อนเริ่มรอบ Audit

ก่อนเริ่มลงมือ Audit จริง ฝ่าย Compliance ควรตั้งทีมที่มีตัวแทนจากสามฝ่ายขึ้นไปเสมอ คือฝ่ายกฎหมายที่ตีความขอบเขตความยินยอมและข้อบังคับเฉพาะธุรกิจการเงิน ฝ่ายไอทีที่รู้ว่าข้อมูลสุขภาพไหลผ่านระบบใดบ้างจริง ๆ และฝ่ายผลิตภัณฑ์ที่รู้ว่าลูกค้าให้ข้อมูลผ่านช่องทางใด เพราะบ่อยครั้งที่ฝ่ายไอทีมองเห็นเฉพาะฐานข้อมูลหลัก แต่ไม่รู้ว่าฝ่ายขายมีไฟล์ Excel ที่ดาวน์โหลดข้อมูลลูกค้าไปใช้ทำรายงานเฉพาะกิจอยู่นอกสายตา ขั้นตอนแรกที่ควรทำก่อนตั้งคำถามใด ๆ คือการทำ Data Mapping ใหม่ทุกรอบ Audit ไม่ใช่ใช้แผนผังเดิมจากรอบก่อนหน้าซ้ำ เพราะผลิตภัณฑ์ใหม่หรือการเปลี่ยนผู้ให้บริการระบบอาจทำให้เส้นทางข้อมูลเปลี่ยนไปโดยที่เอกสารเก่ายังไม่ได้อัปเดตตาม

เมื่อได้แผนผังเส้นทางข้อมูลที่ทันสมัยแล้ว ทีม Audit ควรกำหนดขอบเขตการสุ่มตรวจให้ชัดก่อนเริ่มงาน เช่น จะสุ่มดูสัญญากรมธรรม์กี่ราย จะสัมภาษณ์พนักงานฝ่ายใดบ้าง และจะขอดูบันทึก log ย้อนหลังกี่เดือน การกำหนดขอบเขตล่วงหน้าแบบนี้ช่วยให้ผลการตรวจสอบเทียบเคียงกันได้ระหว่างรอบ และป้องกันไม่ให้ทีมเลือกตรวจเฉพาะจุดที่รู้อยู่แล้วว่าผ่านง่าย ซึ่งเป็นพฤติกรรมที่เกิดขึ้นได้จริงเมื่อผู้ตรวจต้องการปิดงานให้เร็วตามกำหนดเวลา

สถานการณ์ที่ Audit ทั่วไปมักตรวจไม่พบจนสายเกินไป

มีสถานการณ์บางแบบที่ไม่ปรากฏในเช็กลิสต์มาตรฐานแต่สร้างความเสี่ยงจริงในองค์กรการเงินและประกัน ตัวอย่างแรกคือกรณีที่ฝ่ายขายประกันสุขภาพองค์กร (group insurance) ขอข้อมูลสุขภาพพนักงานจากบริษัทลูกค้าเป็นชุดใหญ่ผ่านไฟล์แนบอีเมล แล้วเก็บไว้ในเครื่องคอมพิวเตอร์ส่วนตัวของพนักงานขายเพื่อความสะดวกในการติดตามงาน ข้อมูลชุดนี้มักไม่ถูกนับรวมในระบบหลักที่ทีม Audit ตรวจสอบ เพราะมันไม่เคยถูกบันทึกเข้าฐานข้อมูลกลางเลย ตัวอย่างที่สองคือกรณีที่ระบบ CRM เชื่อมต่อกับปลั๊กอินวิเคราะห์ข้อมูลของบุคคลที่สามเพื่อให้ฝ่ายการตลาดทำแคมเปญเฉพาะกลุ่มลูกค้าที่มีความเสี่ยงสุขภาพสูง โดยไม่มีใครในทีม Compliance รู้ว่าปลั๊กอินนั้นดึงฟิลด์ข้อมูลสุขภาพออกไปประมวลผลนอกระบบด้วย

ตัวอย่างที่สามซึ่งพบได้บ่อยในองค์กรที่เพิ่งควบรวมกิจการ คือระบบเก่าของบริษัทที่ถูกซื้อกิจการยังคงมีข้อมูลสุขภาพลูกค้าเดิมค้างอยู่ โดยไม่มีใครโอนย้ายหรือปิดสิทธิ์การเข้าถึงให้สอดคล้องกับนโยบายใหม่ขององค์กรแม่ ทีม Audit ที่ตรวจแค่ระบบปัจจุบันจะมองข้ามความเสี่ยงเหล่านี้ไปโดยสิ้นเชิง วิธีป้องกันที่ใช้ได้ผลคือการตั้งคำถามเชิงรุกกับพนักงานแนวหน้าโดยตรงว่า "มีที่ไหนอีกไหมที่คุณเก็บหรือส่งข้อมูลลูกค้าที่เกี่ยวกับสุขภาพ นอกเหนือจากระบบที่เราคุยกันอยู่นี้" แทนที่จะถามแค่ "ระบบนี้ทำถูกต้องตามนโยบายหรือไม่" เพราะคำถามแบบเปิดกว้างมักดึงข้อมูลที่ทีม Audit ไม่เคยรู้มาก่อนออกมาได้มากกว่า

ข้อผิดพลาดที่พบบ่อยในการ Audit ข้อมูลสุขภาพขององค์กรขนาดใหญ่

• ตรวจสอบเฉพาะระบบหลักแต่ละเลยระบบรองหรือสเปรดชีตที่ฝ่ายปฏิบัติงานใช้เก็บข้อมูลสุขภาพลูกค้านอกระบบทางการ
• ใช้แบบฟอร์มความยินยอมชุดเดียวกับผลิตภัณฑ์การเงินทั่วไป โดยไม่แยกความยินยอมสำหรับข้อมูลสุขภาพออกมาต่างหาก
• ไม่ปรับปรุงรายการตรวจสอบให้ทันกับผลิตภัณฑ์ใหม่ที่เปิดตัวระหว่างปี ทำให้ Audit ตามไม่ทันความเสี่ยงจริง
• มอบหมายให้ฝ่ายไอทีตรวจสอบด้านเทคนิคเพียงฝ่ายเดียว โดยไม่มีฝ่ายกฎหมายหรือ Compliance เข้าร่วมตีความขอบเขตความยินยอม
• เก็บหลักฐานการปฏิบัติตามแบบกระจัดกระจาย ทำให้เมื่อถูกตรวจสอบจริงต้องใช้เวลานานในการรวบรวม

สรุป

การ Audit PDPA สำหรับข้อมูลสุขภาพในองค์กรการเงินและประกันต้องมองข้ามคำถามว่า "เรามีนโยบายหรือยัง" ไปสู่คำถามที่ลึกกว่าคือ "เรามีหลักฐานพิสูจน์การปฏิบัติจริงหรือไม่" การวางรอบ Audit ที่ผูกกับวงจรผลิตภัณฑ์ใหม่ การเก็บหลักฐานอย่างเป็นระบบ และการให้ฝ่ายกฎหมาย ไอที และ Compliance ทำงานร่วมกัน คือปัจจัยที่ทำให้กระบวนการนี้ใช้งานได้จริงในระยะยาว ไม่ใช่แค่ผ่านการตรวจครั้งเดียวแล้วเงียบหายไป ทีมที่ต้องการภาพรวมของ baseTopic นี้ก่อนลงลึกด้าน Audit สามารถอ่านเพิ่มเติมได้ที่หน้ารวม Business, Industry & SEO และเช็กลิสต์ก่อนเปิดใช้งานที่เกี่ยวข้องโดยตรงที่ เช็กลิสต์ PDPA สำหรับธุรกิจสุขภาพ องค์กรการเงินและประกัน

แหล่งข้อมูลอ้างอิง

ทีม Compliance ควรอ้างอิงแนวปฏิบัติจากสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (PDPC) เป็นหลัก และตรวจสอบร่วมกับหน่วยงานกำกับดูแลเฉพาะทางของธุรกิจการเงินและประกันภัยที่เกี่ยวข้อง เนื่องจากแนวทางการตีความข้อมูลอ่อนไหวในบริบทข้ามอุตสาหกรรมอาจมีรายละเอียดที่ต้องตรวจสอบเพิ่มเติมเป็นกรณีไป