วิธี Audit PDPA สำหรับอสังหาริมทรัพย์ ขององค์กรการเงิน ประกัน และธุรกิจที่มีความเสี่ยงสูง พร้อม Evidence ที่ควรเก็บ

การ Audit PDPA สำหรับอสังหาริมทรัพย์ในองค์กรการเงิน ประกัน และธุรกิจที่มีความเสี่ยงสูง ต้องตรวจข้อมูลตั้งแต่ขั้นสอบถาม เยี่ยมชม ยื่นใบสมัคร จนถึงเซ็นสัญญา โดยเน้นเอกสารทางการเงินและบัตรประชาชนที่ต้องเก็บแยกจากข้อมูลติดต่อทั่วไป มีการควบคุมสิทธิ์เข้าถึงชัดเจน และบันทึกหลักฐานการส่งต่อข้อมูลให้พันธมิตรอย่างธนาคารหรือบริษัทตรวจสอบประวัติ การตรวจสอบควรทำเป็นรอบต่อเนื่อง ไม่ใช่ทำครั้งเดียวแล้วจบ

ทีมกฎหมายของบริษัทพัฒนาโครงการคอนโดแห่งหนึ่งเพิ่งได้รับอีเมลจากธนาคารพันธมิตรที่ช่วยลูกค้าขอสินเชื่อ ธนาคารแจ้งว่าต้องการยืนยันว่าสำเนาบัตรประชาชนและสลิปเงินเดือนของผู้ซื้อกว่าสามร้อยรายที่ส่งต่อกันมาตลอดสองปีที่ผ่านมา ถูกจัดเก็บและทำลายตามรอบเวลาที่ตกลงกันไว้หรือไม่ ทีมกฎหมายเปิดระบบขึ้นมาแล้วพบว่าไม่มีใครเคยทำสรุปรอบการเก็บให้เห็นภาพรวม มีแต่ไฟล์กระจัดกระจายในโฟลเดอร์ของพนักงานขายแต่ละคน นี่คือจุดเริ่มต้นที่ทำให้ฝ่าย Compliance ต้องวาง Audit PDPA ให้เป็นระบบจริงจัง ไม่ใช่แค่เอกสารนโยบายที่เขียนไว้เฉยๆ

ทำไมอสังหาริมทรัพย์สายการเงินและประกันถึงมีความเสี่ยงสูงกว่าธุรกิจทั่วไป

ธุรกิจอสังหาริมทรัพย์ที่เชื่อมกับสถาบันการเงิน บริษัทประกันภัย หรือกลุ่มทุนที่มีความเสี่ยงด้านกฎระเบียบสูง จะเก็บข้อมูลที่ละเอียดอ่อนกว่าการซื้อขายสินค้าทั่วไปมาก ผู้ซื้อบ้านหรือคอนโดต้องยื่นสลิปเงินเดือน หนังสือรับรองบัญชีธนาคาร สำเนาบัตรประชาชน และบางครั้งต้องยื่นข้อมูลประวัติเครดิตเพื่อให้ธนาคารพิจารณาสินเชื่อ ผู้เช่าโครงการที่เชื่อมกับกลุ่มธุรกิจประกันภัยอาจต้องกรอกข้อมูลสุขภาพประกอบการซื้อกรมธรรม์คุ้มครองทรัพย์สินหรือชีวิตควบคู่สัญญาเช่า ข้อมูลเหล่านี้ไม่ได้อยู่แค่ในมือของทีมขายอสังหาริมทรัพย์ แต่ไหลต่อไปยังธนาคาร บริษัทตรวจสอบเครดิต หรือบริษัทประกัน ทำให้เส้นทางข้อมูลยาวและซับซ้อนกว่าปกติ

อีกจุดที่ต่างจากธุรกิจทั่วไปคือระยะเวลาการเก็บข้อมูล สัญญาเช่าหรือสัญญาซื้อขายอสังหาริมทรัพย์มักผูกกับระยะเวลาหลายปี บางกรณีมีภาระผูกพันต่อเนื่องจนกว่าจะโอนกรรมสิทธิ์เสร็จสมบูรณ์หรือครบสัญญาผ่อนชำระ นั่นแปลว่าข้อมูลทางการเงินและบัตรประชาชนของลูกค้าอาจถูกเก็บไว้นานกว่าข้อมูลของธุรกิจอีคอมเมิร์ซทั่วไปหลายเท่า การ Audit จึงต้องตอบคำถามให้ได้ว่าข้อมูลชุดไหนยังจำเป็นต้องเก็บ ชุดไหนหมดอายุความจำเป็นแล้วแต่ยังไม่ถูกลบ

ขอบเขตข้อมูลที่ต้องตรวจในแต่ละขั้นของการทำธุรกรรม

การตรวจสอบที่ดีควรไล่ตามเส้นทางจริงของลูกค้า ตั้งแต่วันแรกที่สอบถามโครงการจนถึงวันที่โอนกรรมสิทธิ์หรือครบสัญญาเช่า เพราะข้อมูลที่เก็บในแต่ละช่วงมีระดับความอ่อนไหวต่างกัน

สิ่งที่ทีม Audit มักมองข้ามคือข้อมูลจากกล้องวงจรปิดในห้องตัวอย่างหรือพื้นที่ขาย ข้อมูลนี้ดูเหมือนไม่สำคัญ แต่ถ้าเก็บไว้นานเกินจำเป็นหรือไม่มีใครควบคุมสิทธิ์เข้าถึง ก็กลายเป็นความเสี่ยงเช่นกัน โดยเฉพาะเมื่อพื้นที่ขายมีการเชื่อมต่อกับบูธของธนาคารหรือบริษัทประกันที่มาออกบูธร่วมในวันเปิดตัวโครงการ

ขั้นตอนตรวจสอบที่ทีม Compliance ควรทำเป็นรอบ

การ Audit ไม่ควรเป็นงานที่ทำครั้งเดียวแล้วเก็บเข้าลิ้นชัก แต่ควรวางเป็นรอบตรวจสอบต่อเนื่อง โดยมีขั้นตอนหลักดังนี้

1. ไล่รายการข้อมูลจริงที่เก็บอยู่ (Data Mapping)

เริ่มจากถามทีมขาย ทีมสินเชื่อ และทีมประสานงานประกัน ว่าตอนนี้เก็บข้อมูลอะไรบ้าง เก็บที่ไหน ใครเข้าถึงได้ และส่งต่อให้ใครบ้าง หลายองค์กรพบว่าคำตอบจากแต่ละทีมไม่ตรงกัน นั่นคือสัญญาณว่าต้องทำ Data Mapping ใหม่ทั้งหมด

2. ตรวจสิทธิ์การเข้าถึงเอกสารการเงินและบัตรประชาชน

เอกสารกลุ่มนี้ควรเข้าถึงได้เฉพาะทีมที่เกี่ยวข้องโดยตรง เช่น ทีมประสานสินเชื่อ ไม่ใช่ทีมขายทั่วไปทุกคน ตรวจว่าระบบมี Log การเข้าถึงหรือไม่ และถ้ามีพนักงานลาออก สิทธิ์เข้าถึงถูกตัดทันทีหรือไม่

3. ตรวจข้อตกลงกับพันธมิตรภายนอก

ธนาคารที่รับส่งต่อลูกค้าสินเชื่อ กลุ่มธุรกิจประกันภัยที่เสนอกรมธรรม์คุ้มครองทรัพย์สิน และบริษัทตรวจสอบประวัติเครดิต ล้วนเป็นบุคคลภายนอกที่ได้รับข้อมูลจากธุรกิจอสังหาริมทรัพย์ ต้องมีเอกสารระบุขอบเขตการใช้ข้อมูลของแต่ละฝ่ายชัดเจน ไม่ใช่แค่ตกลงปากเปล่าในอีเมล

4. ตรวจรอบการลบหรือทำลายข้อมูล

เมื่อสัญญาเช่าหรือสัญญาซื้อขายสิ้นสุดและไม่มีข้อผูกพันทางกฎหมายให้เก็บต่อ ต้องมีกระบวนการลบหรือทำลายเอกสารที่จับต้องได้ ไม่ใช่แค่ย้ายไฟล์ไปไว้ในโฟลเดอร์เก่าที่ไม่มีใครดูแล

5. ทดสอบสมมติสถานการณ์คำร้องขอใช้สิทธิ

ลองจำลองว่าถ้าลูกค้ารายหนึ่งขอให้ลบข้อมูลของตน ทีมงานสามารถตามหาข้อมูลนั้นได้ครบทุกจุดหรือไม่ รวมถึงข้อมูลที่ส่งต่อไปยังธนาคารหรือบริษัทประกันแล้ว การทดสอบนี้มักเผยจุดอ่อนที่เอกสารนโยบายมองไม่เห็น

Evidence ที่ควรเก็บไว้เพื่อพิสูจน์ว่าตรวจสอบจริง

การมีนโยบายเขียนไว้สวยงามไม่พอ ต้องมีหลักฐานประกอบว่าปฏิบัติจริง สิ่งที่ควรเก็บได้แก่ บันทึกการทำ Data Mapping พร้อมวันที่ปรับปรุงล่าสุด ใบยืนยันข้อตกลงส่งต่อข้อมูลกับธนาคารหรือบริษัทประกันแต่ละราย รายงานการตรวจสิทธิ์เข้าถึงระบบย้อนหลัง อีเมลหรือแบบฟอร์มที่พนักงานลงชื่อรับทราบขั้นตอนจัดการเอกสารการเงินของลูกค้า และบันทึกผลการทดสอบคำร้องขอใช้สิทธิ์ที่ทำเป็นรอบ เอกสารเหล่านี้ไม่ได้ทำเพื่อโชว์ แต่เป็นสิ่งที่ช่วยให้ทีมตอบคำถามได้ทันทีเมื่อพันธมิตรทางการเงินหรือหน่วยงานกำกับดูแลสอบถามเข้ามา

ข้อผิดพลาดที่พบบ่อยระหว่างการตรวจสอบ

หลายองค์กรพลาดในจุดที่คล้ายกัน เพราะมองว่าอสังหาริมทรัพย์เป็นธุรกิจซื้อขายทั่วไปไม่ต่างจากร้านค้าปลีก

• เก็บสำเนาบัตรประชาชนและสลิปเงินเดือนไว้ในโฟลเดอร์ที่พนักงานทั่วทั้งบริษัทเปิดดูได้ โดยไม่มีการจำกัดสิทธิ์ตามหน้าที่งาน
• ไม่มีข้อตกลงเป็นลายลักษณ์อักษรกับธนาคารหรือกลุ่มธุรกิจประกันภัยที่รับข้อมูลลูกค้าไปพิจารณาสินเชื่อหรือกรมธรรม์
• เก็บภาพจากกล้องวงจรปิดในห้องตัวอย่างไว้นานเกินความจำเป็นโดยไม่มีรอบทบทวน
• ลบข้อมูลลูกค้าที่ยกเลิกการซื้อไปแล้ว แต่ลืมแจ้งพันธมิตรภายนอกที่เคยได้รับข้อมูลไปให้ลบตามด้วย
• ทีมขายส่งเอกสารการเงินของลูกค้าผ่านแอปแชทส่วนตัวเพื่อความรวดเร็ว โดยไม่ผ่านช่องทางที่บริษัทควบคุมได้

บทบาทหน้าที่ที่ควรกำหนดไว้ชัดเจนก่อนเริ่มตรวจสอบ

หลายองค์กรพบว่าการ Audit ล่าช้าเพราะไม่มีใครถูกกำหนดให้เป็นเจ้าของแต่ละขั้นตอนอย่างชัดเจน ทีมขายอาจคิดว่าเรื่องข้อมูลเป็นหน้าที่ของฝ่ายกฎหมาย ฝ่ายกฎหมายอาจคิดว่าทีมไอทีต้องดูแลเรื่องระบบจัดเก็บ ขณะที่ทีมไอทีมองว่าทีมขายควรเป็นคนกำหนดว่าใครควรมีสิทธิ์เข้าถึงเอกสารบ้าง ความไม่ชัดเจนนี้ทำให้การตรวจสอบกลายเป็นงานที่ไม่มีใครรับผิดชอบจริงจัง แนวทางที่ใช้ได้ผลคือกำหนดเจ้าของแต่ละขั้นตอนล่วงหน้า เช่น ทีมกฎหมายรับผิดชอบดูแลข้อตกลงกับพันธมิตรภายนอก ทีมไอทีรับผิดชอบดูแล Log การเข้าถึงระบบและสิทธิ์ผู้ใช้งาน ส่วนหัวหน้าทีมขายรับผิดชอบตรวจสอบว่าพนักงานในทีมปฏิบัติตามช่องทางส่งเอกสารที่กำหนดไว้จริง เมื่อมีเจ้าของชัดเจนในแต่ละจุด การประชุมทบทวนผล Audit จะเร็วขึ้นมาก เพราะแต่ละคนสามารถรายงานความคืบหน้าของส่วนที่ตนดูแลได้ทันที ไม่ต้องเสียเวลาถามไปมาว่าใครควรเป็นคนตอบคำถามไหน

อีกประเด็นที่ควรวางไว้ล่วงหน้าคือผู้มีอำนาจตัดสินใจเมื่อพบข้อบกพร่องระหว่างการตรวจสอบ เพราะบางกรณีการแก้ไขอาจกระทบกับกระบวนการขายที่กำลังดำเนินอยู่ เช่น ถ้าพบว่าบูธพันธมิตรธนาคารใช้แบบฟอร์มที่ไม่มีการแจ้งวัตถุประสงค์ชัดเจน ทีมงานต้องตัดสินใจได้ทันทีว่าจะหยุดใช้แบบฟอร์มนั้นชั่วคราวหรือปรับแก้ระหว่างที่แคมเปญกำลังดำเนินอยู่ หากไม่มีใครมีอำนาจตัดสินใจตรงนี้ ปัญหาอาจถูกปล่อยผ่านไปเพราะทุกคนรอให้อีกฝ่ายเป็นคนสั่งการก่อน

การจัดการเมื่อพบข้อบกพร่องระหว่างการตรวจสอบ

เมื่อ Audit เจอจุดที่ไม่ผ่านมาตรฐาน ขั้นตอนถัดไปสำคัญไม่แพ้การตรวจพบ องค์กรที่ดีจะไม่หยุดแค่บันทึกว่าพบปัญหาแล้วเท่านั้น แต่จะกำหนดกรอบเวลาการแก้ไขที่ชัดเจน เช่น ถ้าพบว่าเอกสารการเงินของลูกค้าเก่าที่ครบสัญญาไปแล้วยังไม่ถูกทำลาย ต้องกำหนดวันที่แน่นอนว่าจะดำเนินการลบภายในกี่วันทำการ พร้อมมอบหมายผู้รับผิดชอบเฉพาะเจาะจง ไม่ใช่แค่มอบให้ทีมไอทีดูแลเรื่องนี้แบบกว้างๆ นอกจากนี้ควรมีการติดตามผลอีกครั้งหลังกำหนดเวลาแก้ไข เพื่อยืนยันว่าสิ่งที่พบถูกจัดการจริง ไม่ใช่แค่บันทึกไว้ในรายงานแล้วปล่อยผ่านไป

สำหรับข้อบกพร่องที่เกี่ยวข้องกับพันธมิตรภายนอกอย่างธนาคารหรือกลุ่มธุรกิจประกันภัย การแก้ไขอาจต้องใช้เวลานานกว่าเพราะต้องประสานกับอีกองค์กรหนึ่ง ในกรณีนี้ควรมีบันทึกการติดต่อประสานงานเก็บไว้เป็นหลักฐาน เช่น อีเมลแจ้งพันธมิตรให้ปรับปรุงข้อตกลง หรือบันทึกการประชุมที่ตกลงกรอบเวลาแก้ไขร่วมกัน หลักฐานเหล่านี้จะช่วยยืนยันว่าองค์กรไม่ได้นิ่งเฉยต่อปัญหาที่พบ แม้การแก้ไขจริงอาจใช้เวลานานกว่าที่คาดไว้ในตอนแรก

เตรียมความพร้อมสำหรับรอบตรวจสอบครั้งถัดไป

เมื่อจบรอบ Audit หนึ่งรอบแล้ว งานที่มักถูกลืมคือการเตรียมข้อมูลไว้ให้พร้อมสำหรับรอบถัดไป หลายทีมทำ Audit เสร็จแล้วก็เก็บรายงานไว้เฉยๆ พอถึงรอบถัดไปต้องเริ่มไล่หาข้อมูลใหม่ทั้งหมดราวกับไม่เคยทำมาก่อน แนวทางที่ดีกว่าคือตั้งปฏิทินทบทวนล่วงหน้าตั้งแต่ตอนที่ Audit รอบปัจจุบันเสร็จสิ้น พร้อมระบุว่าสิ่งที่พบว่ายังไม่สมบูรณ์ครั้งนี้ต้องถูกตรวจซ้ำในรอบถัดไปแน่นอน สำหรับองค์กรที่มีพันธมิตรทางการเงินหลายราย การทำตารางติดตามสถานะข้อตกลงแต่ละรายไว้ในที่เดียว จะช่วยให้เห็นภาพรวมได้เร็วกว่าการเปิดไฟล์แยกทีละพันธมิตรทุกครั้งที่ต้องทบทวน

บทสรุป

การ Audit PDPA สำหรับอสังหาริมทรัพย์ในองค์กรการเงิน ประกัน และธุรกิจที่มีความเสี่ยงสูง ไม่ใช่การเช็คกล่องเอกสารครั้งเดียวจบ แต่เป็นรอบตรวจสอบต่อเนื่องที่ต้องไล่ตามเส้นทางข้อมูลจริงของลูกค้า ตั้งแต่วันแรกที่สอบถามโครงการไปจนถึงวันที่ปิดสัญญา จุดที่ต้องให้ความสำคัญเป็นพิเศษคือเอกสารทางการเงินและบัตรประชาชน การควบคุมสิทธิ์เข้าถึง และข้อตกลงกับพันธมิตรภายนอกอย่างธนาคารหรือกลุ่มธุรกิจประกันภัย การเก็บ Evidence ไว้เป็นระบบจะช่วยให้ทีมตอบคำถามได้ทันทีเมื่อถูกตรวจสอบ ไม่ว่าจะจากพันธมิตรทางธุรกิจหรือจากลูกค้าเอง แนวทางในบทความนี้เป็นกรอบเริ่มต้นที่ควรปรับให้เข้ากับโครงสร้างข้อมูลจริงขององค์กรแต่ละแห่ง ไม่มีสูตรตายตัวที่ใช้ได้กับทุกธุรกิจแบบเดียวกันทั้งหมด

แหล่งข้อมูลอ้างอิง

อ้างอิงแนวทางจากสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (PDPC) เป็นหลัก ควรตรวจสอบประกาศและแนวปฏิบัติล่าสุดที่เกี่ยวข้องกับธุรกิจการเงินและอสังหาริมทรัพย์เพิ่มเติมเป็นระยะ ดูรายละเอียดเพิ่มเติมได้ที่ คู่มือภาพรวม PDPA สำหรับอสังหาริมทรัพย์ในองค์กรการเงินและประกัน และหน้ารวมความรู้ Business, Industry & SEO