วิธี Audit PDPA สำหรับอสังหาริมทรัพย์ ของคลินิก โรงพยาบาล และธุรกิจสุขภาพ พร้อม Evidence ที่ควรเก็บ

การตรวจสอบ (audit) PDPA สำหรับอสังหาริมทรัพย์ในธุรกิจสุขภาพควรทำเป็นรอบประจำ ครอบคลุมการตรวจสิทธิ์เข้าถึงเอกสารการเงินและบัตรประชาชนตามระยะธุรกรรม การตรวจข้อตกลงกับธนาคาร ผู้ตรวจสอบเครดิต และกลุ่มธุรกิจประกันสุขภาพว่ายังตรงกับการใช้งานจริง การตรวจไฟล์ที่เลยกำหนดเก็บรักษาแต่ยังไม่ถูกลบ และการเก็บหลักฐานของแต่ละรอบตรวจไว้เป็นลายลักษณ์อักษร เพื่อยืนยันว่าองค์กรทบทวนระบบอย่างต่อเนื่อง ไม่ใช่ตั้งค่าไว้ครั้งเดียวแล้วปล่อยผ่าน

ทีมอำนวยความสะดวกของเครือคลินิกแห่งหนึ่งเปิดแฟ้มเอกสารเช่าอาคารสาขาใหม่เมื่อปลายปีที่แล้ว และพบว่าใบแจ้งยอดบัญชีธนาคารของผู้บริหารที่เคยเสนอเช่าอาคารแต่สุดท้ายไม่ได้เซ็นสัญญา ยังถูกเก็บไว้ในโฟลเดอร์ใช้งานร่วมกันของทีมพัฒนาธุรกิจมานานกว่าสองปี โดยไม่มีใครเคยตรวจสอบว่าไฟล์เหล่านี้ยังจำเป็นต้องเก็บอยู่หรือไม่ เหตุการณ์แบบนี้ไม่ได้เกิดจากความตั้งใจ แต่เกิดจากการไม่มีรอบตรวจสอบที่ทำเป็นประจำ ธุรกิจสุขภาพที่ขยายอาคาร คลินิก หรือหอพักบุคลากรต่อเนื่องมักเจอปัญหาลักษณะนี้ซ้ำ เพราะโฟกัสอยู่ที่การปิดดีลเช่าหรือซื้อให้ทัน แต่ไม่มีใครย้อนกลับไปตรวจว่าเอกสารเก่าที่ไม่ได้ใช้แล้วถูกจัดการอย่างไร

บทความนี้แจกแจงว่าการตรวจสอบ PDPA สำหรับอสังหาริมทรัพย์ในธุรกิจสุขภาพแต่ละรอบควรตรวจอะไรบ้าง และควรเก็บหลักฐานอะไรไว้ยืนยันว่าการตรวจสอบเกิดขึ้นจริง ไม่ใช่แค่รายการนโยบายที่เขียนไว้เฉยๆ โดยไม่มีใครนำมาปฏิบัติต่อ

ขอบเขตของการตรวจสอบแต่ละรอบ: ตรวจอะไรในแต่ละระยะธุรกรรม

การตรวจสอบที่ครอบคลุมควรไล่ตามระยะธุรกรรมอสังหาริมทรัพย์ทั้งสี่ช่วงเช่นเดียวกับตอนวางระบบครั้งแรก คือช่วงสอบถามพื้นที่ ช่วงเข้าชมอาคารหรือหน่วยตัวอย่าง ช่วงยื่นใบสมัครเช่าหรือซื้อ และช่วงเซ็นสัญญาและใช้งานต่อเนื่อง แต่ต่างจากตอนวางระบบตรงที่การตรวจสอบเน้นย้อนดูว่าสิ่งที่ตั้งไว้เดิมยังทำงานตามที่ออกแบบหรือไม่ ในช่วงสอบถามและเข้าชม ผู้ตรวจควรสุ่มดูว่าข้อมูลที่เก็บยังจำกัดอยู่แค่ชื่อองค์กรและช่องทางติดต่อจริงหรือไม่ หรือมีการแอบเก็บเอกสารเพิ่มเติมโดยไม่จำเป็น ในช่วงยื่นใบสมัคร ผู้ตรวจควรตรวจว่าสิทธิ์เข้าถึงเอกสารการเงินและบัตรประชาชนยังจำกัดเฉพาะฝ่ายกฎหมายและผู้มีอำนาจอนุมัติจริง ไม่ได้ขยายไปถึงพนักงานที่เปลี่ยนตำแหน่งไปแล้ว และในช่วงเซ็นสัญญา ผู้ตรวจควรตรวจว่าไฟล์ถูกย้ายเข้าสู่ระบบจัดเก็บระยะยาวตามที่กำหนดไว้ ไม่ใช่ค้างอยู่ในโฟลเดอร์ช่วงเจรจาต่อรองเหมือนตัวอย่างไฟล์ที่ค้างมากว่าสองปีในเครือคลินิกข้างต้น

ตัวอย่างคำถามที่ผู้ตรวจควรถามในแต่ละช่วง

สำหรับช่วงสอบถามและเข้าชม ให้ถามว่าใครเป็นผู้เก็บสมุดเยี่ยมชมและมีป้ายแจ้งกล้องวงจรปิดจริงหรือไม่ สำหรับช่วงยื่นใบสมัคร ให้ถามว่ารายชื่อผู้มีสิทธิ์เข้าถึงเอกสารการเงินตรงกับตำแหน่งงานปัจจุบันหรือยังมีชื่อคนที่ลาออกไปแล้วค้างอยู่ และสำหรับช่วงเซ็นสัญญา ให้ถามว่าไฟล์ของสัญญาที่สิ้นสุดไปแล้วถูกย้ายไปยังสถานะที่ควรจะเป็นหรือยังค้างอยู่ในระบบใช้งานประจำวัน

ตรวจสิทธิ์เข้าถึงเอกสารการเงินและบัตรประชาชน: จุดที่ควรสุ่มตรวจทุกรอบ

วิธีตรวจที่ได้ผลจริงคือนำรายชื่อผู้มีสิทธิ์เข้าถึงเอกสารการเงินและบัตรประชาชนจากระบบจัดเก็บไฟล์ มาเทียบกับรายชื่อพนักงานปัจจุบันจากฝ่ายบุคคล หากพบชื่อที่ลาออกหรือย้ายแผนกไปแล้วแต่ยังมีสิทธิ์เข้าถึงอยู่ ถือเป็นจุดที่ต้องแก้ไขทันที ไม่ใช่รอถึงรอบตรวจครั้งถัดไป นอกจากนี้ควรสุ่มเปิดไฟล์จริงสักสิบกว่ารายการต่อรอบ เพื่อดูว่าเอกสารถูกจัดเก็บแยกชั้นตามที่นโยบายกำหนดหรือไม่ เช่น เอกสารยืนยันรายได้ควรอยู่ในโฟลเดอร์ที่มีการเข้ารหัสแยกจากไฟล์โบรชัวร์ทั่วไป การสุ่มตรวจแบบนี้มักเผยปัญหาที่นโยบายในกระดาษไม่เคยบอก เช่น พนักงานบางคนยังคงเซฟไฟล์สำเนาไว้ในเครื่องคอมพิวเตอร์ส่วนตัวเพื่อความสะดวก ทั้งที่นโยบายกำหนดให้เก็บบนระบบกลางเท่านั้น

ตรวจข้อตกลงกับธนาคาร ผู้ตรวจสอบเครดิต และกลุ่มธุรกิจประกันสุขภาพ ว่ายังตรงกับการใช้งานจริง

ธุรกิจสุขภาพที่ขยายสาขามักมีรายชื่อพันธมิตรภายนอกเพิ่มขึ้นเรื่อยๆ ทั้งธนาคารที่ปล่อยสินเชื่อซื้ออาคาร บริษัทตรวจสอบประวัติผู้เช่า และบางครั้งก็มีกลุ่มธุรกิจประกันสุขภาพที่เข้ามาเสนอความคุ้มครองให้ผู้บริหารหรือบุคลากรที่พักในหอพักองค์กร การตรวจสอบควรไล่ดูรายชื่อพันธมิตรทั้งหมดที่เคยรับข้อมูลไป แล้วถามว่าข้อตกลงยังมีผลบังคับใช้อยู่หรือหมดอายุไปแล้ว หากพันธมิตรรายใดเลิกทำงานร่วมกันไปนานแล้วแต่ยังไม่มีหลักฐานว่าข้อมูลถูกลบหรือส่งคืน ให้ติดตามขอเอกสารยืนยันจากพันธมิตรรายนั้นโดยเร็ว อีกจุดที่ควรตรวจคือขอบเขตการใช้ข้อมูลในข้อตกลงเดิมยังตรงกับสิ่งที่พันธมิตรทำอยู่จริงหรือไม่ เช่น สัญญาระบุให้ใช้ข้อมูลเพื่อประเมินสินเชื่อเท่านั้น แต่พบว่าพันธมิตรนำข้อมูลไปใช้ติดต่อขายผลิตภัณฑ์อื่นเพิ่มเติม กรณีแบบนี้ต้องประสานแก้ไขข้อตกลงหรือหยุดการส่งข้อมูลจนกว่าจะตกลงขอบเขตใหม่ให้ชัดเจน

ตรวจไฟล์ที่เลยกำหนดเก็บรักษาแต่ยังไม่ถูกลบ

เอกสารการเงินและบัตรประชาชนของผู้เช่าหรือผู้ซื้อควรมีวันหมดอายุการเก็บที่ผูกกับวันสิ้นสุดสัญญา การตรวจสอบแต่ละรอบจึงควรดึงรายการไฟล์ที่เลยวันหมดอายุมาแล้วแต่ยังไม่ถูกลบออกมาดูทั้งหมด แล้วไล่สอบถามเจ้าของไฟล์ว่าเหตุใดยังไม่ลบ บางกรณีอาจมีเหตุผลรองรับ เช่น ยังอยู่ระหว่างข้อพิพาทกับผู้เช่าที่ต้องเก็บเอกสารไว้เป็นหลักฐาน แต่หลายกรณีเป็นเพียงเพราะไม่มีใครสั่งลบ หากพบไฟล์ประเภทหลังจำนวนมาก ควรพิจารณาว่าระบบแจ้งเตือนวันหมดอายุที่ใช้อยู่ทำงานได้จริงหรือไม่ หรือควรเปลี่ยนมาใช้ระบบที่แจ้งเตือนอัตโนมัติล่วงหน้าแทนการพึ่งความจำของพนักงาน

หลักฐาน (Evidence) ที่ควรเก็บไว้จากการตรวจสอบแต่ละรอบ

การตรวจสอบที่ทำแล้วไม่มีร่องรอยเหลือไว้ มีค่าไม่ต่างจากไม่ได้ตรวจเลยเมื่อต้องอธิบายให้ผู้บริหารหรือผู้ตรวจสอบภายนอกเข้าใจ หลักฐานที่ควรเก็บไว้ประกอบด้วยรายการตรวจสอบ (audit checklist) ที่มีลายเซ็นหรือชื่อผู้ตรวจและวันที่ตรวจกำกับไว้ รายชื่อไฟล์ที่ถูกสุ่มเปิดตรวจพร้อมผลลัพธ์ว่าผ่านหรือมีข้อบกพร่องอะไรบ้าง ตารางสิทธิ์เข้าถึงฉบับปรับปรุงล่าสุดหลังตัดสิทธิ์คนที่ไม่เกี่ยวข้องแล้วออกไป และบันทึกการติดต่อกับพันธมิตรภายนอกกรณีที่ต้องขอเอกสารยืนยันการลบข้อมูลหรือแก้ไขข้อตกลง เอกสารเหล่านี้ควรเก็บรวมไว้ในที่เดียวและตั้งชื่อไฟล์ตามรอบตรวจสอบ เพื่อให้ย้อนดูประวัติการตรวจสอบทั้งหมดได้ง่ายเมื่อต้องใช้อ้างอิงในอนาคต

ความถี่ของการตรวจสอบและใครควรเป็นผู้รับผิดชอบ

ธุรกิจสุขภาพที่มีอาคาร คลินิก หรือหอพักหลายแห่งควรตั้งรอบตรวจสอบอย่างน้อยทุกหกเดือน และเพิ่มรอบพิเศษทันทีเมื่อมีการเปิดสาขาใหม่ เปลี่ยนพันธมิตรภายนอกรายใหญ่ หรือมีพนักงานในทีมที่ดูแลเอกสารลาออกพร้อมกันหลายคน ผู้รับผิดชอบหลักควรเป็นทีมกฎหมายหรือฝ่าย Privacy/Compliance เนื่องจากเป็นผู้เข้าใจข้อกำหนดของสัญญาและกฎเกณฑ์ที่เกี่ยวข้องดีที่สุด แต่ควรดึงตัวแทนจากทีมไอที ทีมพัฒนาธุรกิจ และฝ่ายบุคคลเข้าร่วมทุกรอบ เพื่อให้เห็นข้อมูลครบทั้งด้านระบบจัดเก็บ ด้านการปฏิบัติงานหน้างาน และด้านสถานะพนักงานที่อาจกระทบสิทธิ์เข้าถึง การตรวจสอบที่ทำโดยทีมเดียวลำพังมักมองข้ามมุมที่ทีมอื่นเห็นชัดกว่า เช่น ทีมไอทีอาจรู้ว่าระบบแจ้งเตือนวันหมดอายุไฟล์ล่มไปตั้งแต่เมื่อไหร่โดยไม่มีใครแจ้งฝ่ายกฎหมาย ขณะที่ฝ่ายบุคคลอาจเห็นชัดกว่าใครว่าพนักงานคนไหนย้ายแผนกไปแล้วแต่สิทธิ์เข้าถึงเดิมยังไม่ถูกตัด การประชุมสรุปผลตรวจสอบร่วมกันทุกครั้งจึงควรมีตัวแทนจากทุกทีมนั่งฟังและให้ข้อมูลสด ไม่ใช่รอรับรายงานสรุปทีหลังเพียงอย่างเดียว

ข้อผิดพลาดที่พบบ่อยระหว่างการตรวจสอบ

• ตรวจแค่เอกสารนโยบายบนกระดาษ โดยไม่สุ่มเปิดไฟล์จริงเพื่อดูการปฏิบัติหน้างาน
• ไม่เทียบรายชื่อผู้มีสิทธิ์เข้าถึงกับรายชื่อพนักงานปัจจุบันจากฝ่ายบุคคล
• ไม่ตรวจว่าข้อตกลงกับพันธมิตรภายนอกยังมีผลบังคับใช้หรือขอบเขตยังตรงกับการใช้งานจริง
• พบไฟล์ที่เลยกำหนดเก็บรักษาแล้วแต่ไม่สอบถามเหตุผลหรือไม่สั่งลบ
• ทำการตรวจสอบเสร็จแล้วไม่บันทึกหลักฐานไว้ ทำให้ตอบผู้บริหารหรือผู้ตรวจสอบภายนอกไม่ได้ว่าตรวจอะไรไปแล้วบ้าง
• ให้ทีมเดียวรับผิดชอบการตรวจสอบทั้งหมดโดยไม่ดึงตัวแทนจากทีมอื่นเข้าร่วม

สรุปสิ่งที่การตรวจสอบต้องครอบคลุม

การตรวจสอบ PDPA สำหรับอสังหาริมทรัพย์ในธุรกิจสุขภาพไม่ใช่การอ่านทวนนโยบายเดิมซ้ำทุกหกเดือน แต่ต้องไล่ตรวจจริงตามระยะธุรกรรม ทั้งสิทธิ์เข้าถึงเอกสารการเงินและบัตรประชาชน ข้อตกลงกับพันธมิตรภายนอก และไฟล์ที่เลยกำหนดเก็บรักษา พร้อมเก็บหลักฐานของแต่ละรอบไว้อย่างเป็นระบบ ไม่มีรอบตรวจสอบใดที่ทำให้ปัญหาด้านข้อมูลหมดไปทั้งหมดในคราวเดียว แต่การตรวจสอบสม่ำเสมอช่วยจับไฟล์ที่ค้างอยู่อย่างไฟล์ใบแจ้งยอดบัญชีที่ถูกลืมไว้กว่าสองปีในตัวอย่างต้นเรื่องได้ก่อนจะกลายเป็นปัญหาใหญ่ อ่านขั้นตอนวางระบบตั้งแต่ต้นได้ที่ วิธีวางระบบ PDPA สำหรับอสังหาริมทรัพย์ธุรกิจสุขภาพ และภาพรวมของคลัสเตอร์ทั้งหมดได้ที่ คู่มือ PDPA สำหรับอสังหาริมทรัพย์ธุรกิจสุขภาพ

แหล่งข้อมูลอ้างอิง

ขั้นตอนตรวจสอบในบทความนี้อ้างอิงกรอบการคุ้มครองข้อมูลส่วนบุคคลจากสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (PDPC) ทีมงานควรตรวจสอบประกาศและแนวปฏิบัติล่าสุดก่อนนำไปปรับใช้ เพราะข้อตกลงกับพันธมิตรแต่ละรายและระยะเวลาเก็บรักษาของแต่ละองค์กรอาจแตกต่างกัน ดูภาพรวมของหัวข้ออื่นในหมวดนี้เพิ่มเติมได้ที่ หน้ารวมความรู้ Business, Industry & SEO