วิธี Audit Vendor Management ของเว็บไซต์ธุรกิจทั่วไปและ SME พร้อม Evidence ที่ควรเก็บ

เจ้าของกิจการหลายคนเชื่อว่าธุรกิจของตนมีระบบ Vendor Management อยู่แล้ว เพราะมีสัญญากับผู้ให้บริการหลักบางราย แต่เมื่อลองถามว่า Vendor ทั้งหมดมีกี่ราย ใครเข้าถึงข้อมูลอะไรบ้าง และเอกสารอยู่ที่ไหน คำตอบมักไม่ชัดเจน การ Audit ต่อไปนี้ช่วยแยกระหว่างความรู้สึกว่า "น่าจะมีระบบแล้ว" กับสถานะที่ตรวจสอบได้จริง

สัญญาณที่บอกว่าธุรกิจมีระบบ Vendor Management อยู่จริงหรือยัง

ก่อนเริ่ม Audit ให้ตอบคำถามพื้นฐานสี่ข้อนี้ก่อน หากตอบว่าไม่หรือไม่แน่ใจในข้อใดข้อหนึ่ง แสดงว่าธุรกิจยังไม่มีระบบ Vendor Management ที่ตรวจสอบได้จริง

• มีเอกสารรวมรายชื่อ Vendor ทั้งหมดไว้ที่เดียวหรือไม่ ไม่ใช่กระจายอยู่ในความจำของหลายคน
• รู้หรือไม่ว่า Vendor แต่ละรายเข้าถึงข้อมูลลูกค้าประเภทใด
• มีใครสักคนรับผิดชอบทบทวน Vendor เป็นประจำหรือไม่
• เมื่อเลิกใช้ Vendor รายใดรายหนึ่งในอดีต เคยตรวจสอบว่าข้อมูลถูกลบแล้วหรือไม่

วิธีตรวจสอบว่า Vendor รายใดกำลังเข้าถึงข้อมูลส่วนบุคคลของเว็บไซต์

ขั้นตอนนี้เป็นหัวใจของการ Audit เพราะรายชื่อ Vendor ที่ทีมงานจำได้มักไม่ครบ วิธีตรวจสอบที่ทำได้จริงมีสี่แนวทางที่ควรทำร่วมกัน

ตรวจจากสคริปต์และปลั๊กอินบนเว็บไซต์

เปิดโค้ดหน้าเว็บไซต์หรือใช้เครื่องมือตรวจสอบสคริปต์ภายนอกเพื่อดูว่ามีสคริปต์จาก Vendor รายใดทำงานอยู่บ้าง รวมถึงตรวจรายการปลั๊กอินและธีมในระบบจัดการเว็บไซต์ว่าตัวใดเชื่อมต่อกับบริการภายนอก

ตรวจจากใบแจ้งหนี้และการชำระเงิน

รายการค่าใช้จ่ายรายเดือนที่ทีมบัญชีจ่ายให้ผู้ให้บริการต่างๆ มักเผยให้เห็น Vendor ที่ทีมงานลืมไปแล้วว่ายังใช้งานอยู่ โดยเฉพาะบริการที่สมัครแบบตัดบัตรอัตโนมัติ

ตรวจจากบัญชีผู้ใช้และสิทธิ์การเข้าถึง

ตรวจว่ามีบัญชีใดบ้างที่มีสิทธิ์เข้าถึงระบบ CRM อีเมลการตลาด หรือแผงควบคุมเว็บไซต์ เพราะบัญชีเหล่านี้บางครั้งเป็นของ Vendor ภายนอกที่ธุรกิจให้สิทธิ์ไว้นานแล้วแต่ไม่เคยถอดออก

สัมภาษณ์ทีมงานแต่ละแผนก

ทีมการตลาด ทีมขาย และทีมพัฒนามักรู้จัก Vendor คนละกลุ่ม การถามแต่ละแผนกแยกกันช่วยให้ได้รายชื่อ Vendor ที่ครบกว่าการถามเพียงคนเดียว

ตรวจจากการเชื่อมต่อ API และการยืนยันตัวตนแบบ OAuth

อีกช่องทางที่มักถูกมองข้ามคือรายการแอปพลิเคชันภายนอกที่เคยได้รับอนุญาตให้เชื่อมต่อผ่าน OAuth กับระบบอีเมลหรือระบบจัดเก็บไฟล์ขององค์กร เพราะการอนุญาตเหล่านี้มักทำเพียงครั้งเดียวตอนเริ่มใช้งานแล้วไม่มีใครกลับมาตรวจสอบซ้ำว่าแอปนั้นยังจำเป็นอยู่หรือไม่ หรือได้เปลี่ยนเจ้าของกิจการไปแล้วโดยที่สิทธิ์การเข้าถึงยังคงเปิดอยู่เหมือนเดิม การไล่ตรวจรายการ Third-party App ที่เชื่อมต่อไว้ในระบบยืนยันตัวตนกลางขององค์กรจึงควรเป็นอีกขั้นตอนหนึ่งของการรวบรวมรายชื่อ Vendor ให้ครบ และควรถอดสิทธิ์การเชื่อมต่อของแอปที่ไม่มีใครใช้งานแล้วออกทันทีที่พบ ไม่ต้องรอถึงรอบ Audit ถัดไป

วิธีตรวจสอบสัญญาและเอกสารที่มีอยู่เทียบกับสิ่งที่ควรมี

เมื่อได้รายชื่อ Vendor ครบแล้ว ขั้นตอนต่อไปคือตรวจว่าแต่ละรายมีเอกสารครบตามที่ควรมีหรือไม่ โดยเทียบกับรายการต่อไปนี้ทีละราย

• มีสำเนาข้อตกลงการใช้บริการหรือสัญญาหรือไม่
• สัญญาระบุขอบเขตการใช้ข้อมูลและการลบข้อมูลเมื่อเลิกใช้งานหรือไม่
• มีบันทึกว่าเคยประเมินความเสี่ยงของ Vendor รายนี้หรือไม่
• มีวันที่ทบทวนล่าสุดและชื่อผู้รับผิดชอบหรือไม่

Vendor รายใดที่ไม่มีเอกสารตามรายการนี้เลย ถือเป็นช่องว่างที่ควรถูกจัดลำดับความสำคัญเพื่อแก้ไขก่อน โดยเฉพาะ Vendor ที่เข้าถึงข้อมูลลูกค้าปริมาณมากหรือข้อมูลอ่อนไหว

Evidence ที่ควรเก็บไว้เป็นหลักฐาน

คำถามที่พบบ่อยคือ Evidence ที่ควรเก็บไว้เป็นหลักฐานมีอะไรบ้าง คำตอบคือไม่จำเป็นต้องเป็นเอกสารทางกฎหมายที่ซับซ้อน ขอเพียงเป็นหลักฐานที่ตรวจสอบย้อนหลังได้ว่าธุรกิจเคยทำอะไรไปแล้วบ้างกับ Vendor แต่ละราย และทำเมื่อใด

Evidence ในที่นี้หมายถึงเอกสารที่พิสูจน์ได้ว่าธุรกิจเคยตรวจสอบและติดตาม Vendor จริง ไม่ใช่แค่คำบอกเล่า รายการที่ควรเก็บมีดังนี้

• ตารางรายชื่อ Vendor ทั้งหมดพร้อมวันที่อัปเดตล่าสุด
• สำเนาข้อตกลงหรือสัญญาของ Vendor แต่ละราย
• บันทึกผลการประเมินความเสี่ยงพร้อมวันที่และชื่อผู้ประเมิน
• อีเมลหรือเอกสารยืนยันการลบข้อมูลจาก Vendor ที่เลิกใช้บริการแล้ว
• บันทึกการทบทวนประจำปีของ Vendor แต่ละกลุ่มความเสี่ยง

ธุรกิจที่มีเอกสารเหล่านี้ครบจะสามารถตอบคำถามจากลูกค้าหรือหน่วยงานที่เกี่ยวข้องได้เร็วกว่าธุรกิจที่ต้องไล่หาข้อมูลใหม่ทุกครั้งที่ถูกถาม เอกสารเหล่านี้ยังเชื่อมโยงกับ ทะเบียน ROPA ของธุรกิจโดยตรง เพราะ Vendor แต่ละรายควรปรากฏอยู่ในทะเบียนกิจกรรมประมวลผลข้อมูลด้วย

ตัวอย่างรูปแบบตารางที่ใช้ได้จริงคือแบ่งคอลัมน์เป็นชื่อ Vendor ประเภทข้อมูลที่เข้าถึง ระดับความเสี่ยง วันที่ทำสัญญา วันที่ทบทวนล่าสุด และสถานะเอกสารว่าครบหรือไม่ครบ การมีตารางเดียวที่รวมทุกมิตินี้ไว้ด้วยกันช่วยให้ผู้บริหารหรือผู้ตรวจสอบภายนอกเห็นภาพรวมได้ในหน้าเดียว โดยไม่ต้องไล่เปิดเอกสารสัญญาของ Vendor แต่ละรายทีละไฟล์เพื่อประกอบภาพเอง ธุรกิจบางแห่งเลือกใช้ Spreadsheet ธรรมดาสำหรับตารางนี้ในช่วงเริ่มต้น แล้วค่อยย้ายไปใช้เครื่องมือบริหารความเสี่ยง Vendor โดยเฉพาะเมื่อจำนวน Vendor เพิ่มขึ้นจนตารางเดียวเริ่มจัดการยาก

ตัวอย่างผลลัพธ์ที่พบบ่อยเมื่อทำ Audit ครั้งแรก

ธุรกิจที่ทำ Audit Vendor Management ครั้งแรกมักพบผลลัพธ์ที่คล้ายกันหลายอย่าง การรู้ล่วงหน้าว่าจะเจออะไรช่วยให้ทีมงานไม่ตกใจและวางแผนแก้ไขได้ตรงจุดกว่า

ผลลัพธ์ที่พบบ่อยที่สุดคือจำนวน Vendor ที่ตรวจพบจริงมากกว่าที่ทีมงานคาดไว้เกือบสองเท่า เพราะปลั๊กอินและแอปที่ทีมการตลาดสมัครเองไม่เคยถูกแจ้งให้ทีมพัฒนาทราบ รองลงมาคือพบว่า Vendor รายสำคัญบางรายไม่มีสัญญาเป็นลายลักษณ์อักษรเลย มีเพียงการสมัครผ่านหน้าเว็บไซต์และกดยอมรับเงื่อนไขแบบผ่านๆ โดยไม่มีใครเก็บสำเนาไว้

อีกกรณีที่พบบ่อยคือ Vendor ที่เลิกใช้งานไปแล้วแต่สคริปต์ยังทำงานอยู่บนเว็บไซต์ เพราะทีมงานหยุดชำระเงินแต่ไม่ได้ถอดโค้ดออกจริง กรณีนี้อันตรายเพราะข้อมูลอาจยังถูกส่งไปยัง Vendor ที่ไม่ได้ใช้บริการแล้วโดยไม่มีใครรู้ตัว

วิธีจัดลำดับความสำคัญหลัง Audit เสร็จ

ผลการ Audit มักเผยให้เห็น Vendor จำนวนมากที่ยังไม่มีเอกสารครบ การแก้ไขทีละรายพร้อมกันทั้งหมดไม่จำเป็นและมักทำไม่ทัน ควรจัดลำดับตามความเสี่ยงก่อน

Vendor ที่เข้าถึงข้อมูลอ่อนไหวหรือข้อมูลทางการเงินและไม่มีเอกสารเลย ควรได้รับการแก้ไขก่อนเป็นอันดับแรก รองลงมาคือ Vendor ที่เข้าถึงข้อมูลลูกค้าปริมาณมากแต่มีเอกสารบางส่วน ส่วน Vendor ความเสี่ยงต่ำที่ไม่เข้าถึงข้อมูลส่วนบุคคลสามารถแก้ไขทีหลังได้ตามลำดับ วิธีจัดลำดับนี้สอดคล้องกับแนวทางใน คู่มือวิธีวางระบบ Vendor Management ที่แนะนำให้แบ่งกลุ่มความเสี่ยงตั้งแต่ขั้นตอนแรก

ใครควรเป็นผู้ทำ Audit Vendor Management ในธุรกิจขนาดเล็ก

ธุรกิจ SME ส่วนใหญ่ไม่มีตำแหน่งผู้ตรวจสอบภายในแยกต่างหาก งาน Audit นี้จึงมักตกอยู่กับเจ้าของกิจการ ผู้จัดการฝ่ายไอที หรือผู้ดูแลเว็บไซต์ที่มีสิทธิ์เข้าถึงระบบมากที่สุด

สิ่งสำคัญไม่ได้อยู่ที่ตำแหน่งของผู้ทำ Audit แต่อยู่ที่ผู้ทำต้องมีสิทธิ์เข้าถึงข้อมูลใบแจ้งหนี้ ระบบจัดการเว็บไซต์ และสามารถสัมภาษณ์ทีมงานแผนกอื่นได้ ธุรกิจที่ให้พนักงานระดับปฏิบัติการทำ Audit โดยไม่มีสิทธิ์เข้าถึงข้อมูลเหล่านี้ มักได้ผล Audit ที่ไม่ครบถ้วน เพราะไม่สามารถตรวจสอบข้ามแผนกได้จริง

ธุรกิจที่เริ่มเติบโตจนมีพนักงานหลายสิบคนอาจพิจารณาตั้งคณะทำงานเล็ก ๆ สองถึงสามคนแทนการให้คนคนเดียวรับผิดชอบทั้งหมด เพราะแต่ละคนมักเข้าถึงข้อมูลได้คนละส่วน เช่น ฝ่ายบัญชีเข้าถึงใบแจ้งหนี้ได้ดีที่สุด ขณะที่ฝ่ายไอทีเข้าถึงสิทธิ์ระบบและปลั๊กอินได้ตรงกว่า การทำงานร่วมกันแบบนี้ยังช่วยลดความเสี่ยงที่ Audit จะขาดตอนหากผู้รับผิดชอบเพียงคนเดียวลาออกหรือไม่ว่างในช่วงที่ต้องทบทวน

เช็กลิสต์ปฏิบัติ

• ตอบคำถามพื้นฐานสี่ข้อเพื่อประเมินว่าธุรกิจมีระบบ Vendor Management อยู่จริงหรือไม่
• ตรวจสคริปต์ ปลั๊กอิน ใบแจ้งหนี้ และสิทธิ์การเข้าถึงเพื่อรวบรวมรายชื่อ Vendor ให้ครบ
• เทียบเอกสารของแต่ละ Vendor กับรายการที่ควรมี เช่น สัญญาและบันทึกความเสี่ยง
• เก็บ Evidence ตามรายการที่กำหนดไว้สำหรับ Vendor ทุกราย
• จัดลำดับความสำคัญการแก้ไขตามระดับความเสี่ยงของ Vendor แต่ละราย
• บันทึกผล Audit และวันที่ตรวจไว้เพื่อใช้เทียบกับรอบถัดไป

ข้อผิดพลาดที่พบบ่อย

• เชื่อว่าธุรกิจมีระบบ Vendor Management แล้วเพราะมีสัญญากับ Vendor รายใหญ่บางราย โดยไม่เคยตรวจ Vendor รายเล็กที่เหลือ
• รวบรวมรายชื่อ Vendor จากความจำของคนเดียว แทนที่จะตรวจจากสคริปต์ ใบแจ้งหนี้ และสัมภาษณ์หลายแผนก
• พบว่า Vendor ไม่มีเอกสารครบ แต่ไม่จัดลำดับว่าควรแก้ไขรายใดก่อน ทำให้แก้ไม่ทันหรือแก้ไม่ตรงจุด
• เก็บ Evidence ไว้ในอีเมลส่วนตัวของพนักงานคนเดียว ทำให้หาไม่เจอเมื่อพนักงานคนนั้นลาออก
• ทำ Audit เพียงครั้งเดียวแล้วไม่เคยกลับมาตรวจซ้ำ ทั้งที่ Vendor ใหม่ถูกเพิ่มเข้ามาตลอดเวลา

ความถี่ในการทำ Audit ซ้ำ

Audit ครั้งแรกมักใช้เวลานานที่สุดเพราะต้องรวบรวมข้อมูลตั้งแต่ศูนย์ Audit ครั้งถัดไปจะใช้เวลาน้อยลงมากหากธุรกิจเก็บ Evidence ไว้อย่างเป็นระบบตามที่แนะนำ ธุรกิจควรทำ Audit ซ้ำอย่างน้อยปีละครั้ง และควรทำเพิ่มทันทีเมื่อมีการเปลี่ยนผู้รับผิดชอบดูแล Vendor หรือเมื่อธุรกิจเริ่มขยายไปใช้ช่องทางขายใหม่ที่ต้องพึ่งพา Vendor เพิ่มจำนวนมาก

สรุป

การ Audit Vendor Management คือการตรวจสอบว่าธุรกิจมีรายชื่อ Vendor ครบ มีเอกสารตามที่ควรมี และมี Evidence ที่พิสูจน์ได้ว่าเคยตรวจสอบจริง ไม่ใช่การประเมินว่า Vendor ปลอดภัยหรือถูกต้องตามกฎหมายทั้งหมด ธุรกิจที่ทำ Audit เป็นประจำและจัดลำดับการแก้ไขตามความเสี่ยงจะเห็นช่องว่างของตัวเองได้ชัดเจนกว่าธุรกิจที่ไม่เคยตรวจสอบเลย

แหล่งข้อมูลอ้างอิง

• NIST Privacy Framework
• สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (PDPC)

คำถามที่พบบ่อย

ธุรกิจที่ไม่เคยทำ Vendor Management เลยควรเริ่ม Audit จากตรงไหน เริ่มจากตอบคำถามพื้นฐานสี่ข้อว่ามีเอกสารรวมรายชื่อ Vendor รู้ว่า Vendor เข้าถึงข้อมูลอะไร มีผู้รับผิดชอบทบทวน และเคยตรวจการลบข้อมูลหรือไม่ ถ้าตอบไม่ได้ข้อใดข้อหนึ่งให้เริ่มจากขั้นตอนตรวจสอบว่า Vendor รายใดกำลังเข้าถึงข้อมูลก่อน

Evidence ที่ควรเก็บไว้เป็นหลักฐานมีอะไรบ้าง ควรเก็บตารางรายชื่อ Vendor สำเนาข้อตกลงหรือสัญญา บันทึกผลการประเมินความเสี่ยง อีเมลยืนยันการลบข้อมูล และบันทึกการทบทวนประจำปีของ Vendor แต่ละราย

หลัง Audit เสร็จควรแก้ไข Vendor รายไหนก่อน ควรแก้ไข Vendor ที่เข้าถึงข้อมูลอ่อนไหวหรือข้อมูลทางการเงินและยังไม่มีเอกสารเลยก่อนเป็นอันดับแรก แล้วจึงไล่ลำดับตามระดับความเสี่ยงที่ลดลง

ควรทำ Audit Vendor Management บ่อยแค่ไหน ควรทำอย่างน้อยปีละครั้ง และควรทำเพิ่มเมื่อธุรกิจเริ่มใช้ Vendor รายใหม่จำนวนมากในช่วงเวลาสั้นๆ หรือหลังเปลี่ยนผู้รับผิดชอบดูแล Vendor