วิธี Audit สิทธิของเจ้าของข้อมูลส่วนบุคคล ขององค์กรการเงิน ประกัน และธุรกิจที่มีความเสี่ยงสูง พร้อม Evidence ที่ควรเก็บ

หลายฝ่ายกฎหมายและ Compliance ในองค์กรการเงินเข้าใจว่าตราบใดที่มีนโยบายรองรับสิทธิของเจ้าของข้อมูลส่วนบุคคลที่เขียนไว้ละเอียดครบทั้งหกสิทธิ ผ่านการอนุมัติจากผู้บริหารและเผยแพร่บนเว็บไซต์แล้ว องค์กรก็พร้อมรับการตรวจสอบทั้งจากภายในและจากหน่วยงานกำกับดูแลแล้ว ความเข้าใจนี้ไม่ถูกต้อง เพราะผู้ตรวจสอบที่มีประสบการณ์จะไม่ถามแค่ว่านโยบายเขียนว่าอย่างไร แต่จะขอดูตัวอย่างคำขอจริงที่เคยเข้ามา ขอดูว่าคำขอนั้นถูกยืนยันตัวตนอย่างไร ตอบกลับภายในกี่วัน และมีหลักฐานอะไรพิสูจน์ว่าดำเนินการตามที่นโยบายระบุไว้จริง องค์กรจำนวนไม่น้อยมีนโยบายที่เขียนไว้อย่างสวยงามแต่ไม่มีบันทึกคำขอจริงสักรายการให้ตรวจสอบย้อนหลัง ซึ่งเป็นช่องว่างที่ผู้ตรวจสอบมองเห็นได้ทันที

คู่มือนี้วางกรอบการ Audit สิทธิของเจ้าของข้อมูลส่วนบุคคลสำหรับฝ่ายกฎหมาย Privacy Security และ Compliance ในองค์กรการเงิน ประกัน และธุรกิจที่มีความเสี่ยงสูง โดยเป็นการตรวจสอบเชิงวารสาร (periodic review) ที่องค์กรควรทำอย่างสม่ำเสมอ ไม่ใช่การตรวจครั้งเดียวก่อนงานตรวจสอบใหญ่ ครอบคลุมทั้งขอบเขตที่ต้องตรวจและ Evidence ที่ควรเก็บไว้ล่วงหน้า

การ Audit สิทธิของเจ้าของข้อมูลส่วนบุคคลสำหรับองค์กรการเงินและธุรกิจความเสี่ยงสูงต้องตรวจห้าด้านหลัก คือความครบถ้วนของช่องทางรับคำขอ ความเข้มงวดของกระบวนการยืนยันตัวตน อัตราการตอบกลับภายในกำหนดเวลา ความครบถ้วนของหลักฐานที่บันทึกไว้ในแต่ละคำขอ และความสอดคล้องระหว่างคำตอบจริงกับสิ่งที่ระบบบันทึกไว้ ทั้งหมดนี้ต้องมี Evidence เป็นเอกสารที่พิสูจน์ได้ ไม่ใช่แค่การมีนโยบายรองรับสิทธิที่เขียนไว้อย่างครบถ้วนเท่านั้น

ทำไมองค์กรการเงินและความเสี่ยงสูงต้อง Audit เข้มงวดกว่าธุรกิจทั่วไป

องค์กรการเงิน ประกัน และธุรกิจที่มีความเสี่ยงสูงมักถือครองข้อมูลที่มีความอ่อนไหวมากกว่าธุรกิจทั่วไป เช่น ข้อมูลรายได้ ข้อมูลสุขภาพประกอบการพิจารณากรมธรรม์ และประวัติธุรกรรมทางการเงิน เมื่อมีคำขอใช้สิทธิเข้ามา ความผิดพลาดในการจัดการมีต้นทุนสูงกว่าธุรกิจทั่วไปมาก ทั้งในแง่ความเสียหายต่อลูกค้าและความเสี่ยงต่อชื่อเสียงองค์กร นอกจากนี้องค์กรกลุ่มนี้มักอยู่ภายใต้การกำกับดูแลซ้อนหลายชั้น ทั้งจากหน่วยงานคุ้มครองข้อมูลส่วนบุคคลและหน่วยงานกำกับดูแลเฉพาะธุรกิจ ทำให้การ Audit ต้องละเอียดและมีหลักฐานรองรับมากกว่าการมีนโยบายที่เขียนไว้ดีเพียงอย่างเดียว

ความต่างระหว่างการ Audit เพื่อเตรียมพร้อมกับการ Audit เพื่อสอบทาน

ทีม Compliance บางส่วนสับสนระหว่างสองวัตถุประสงค์นี้ การ Audit เพื่อเตรียมพร้อมคือการตรวจสอบก่อนที่จะมีปัญหา เพื่อหาช่องว่างและแก้ไขล่วงหน้า ส่วนการ Audit เพื่อสอบทานมักเกิดขึ้นหลังมีข้อร้องเรียนหรือเหตุการณ์ที่ต้องสืบสวนย้อนหลัง คู่มือนี้เน้นการ Audit แบบแรก คือการตรวจสอบเป็นระยะเพื่อให้มั่นใจว่าองค์กรพร้อมตอบคำขอทุกครั้งที่เข้ามา ไม่ใช่รอให้เกิดปัญหาก่อนแล้วค่อยไล่ตรวจสอบย้อนหลัง

ขอบเขตที่ต้อง Audit ด้านที่ 1 ความครบถ้วนของช่องทางรับคำขอ

เริ่มจากตรวจสอบว่าองค์กรมีช่องทางรับคำขอที่ชัดเจนและครอบคลุมทุกช่องทางที่ลูกค้าอาจใช้ติดต่อจริงหรือไม่ ไม่ใช่แค่มีอีเมลเฉพาะที่ระบุใน Privacy Policy แต่ต้องตรวจว่าคำขอที่เข้ามาผ่านสาขา call center หรือ relationship manager ถูกส่งต่อเข้าสู่ระบบกลางเดียวกันหรือไม่ องค์กรการเงินหลายแห่งมีหลายช่องทางติดต่อลูกค้าที่ดูแลโดยทีมต่างกัน หากไม่มีขั้นตอนบังคับให้ส่งต่อคำขอเข้าระบบกลาง คำขอที่เข้ามาผ่านสาขาอาจไม่เคยถูกบันทึกไว้เลย

ขอบเขตที่ต้อง Audit ด้านที่ 2 ความเข้มงวดของกระบวนการยืนยันตัวตน

สำหรับข้อมูลการเงิน กระบวนการยืนยันตัวตนต้องเข้มงวดกว่าธุรกิจทั่วไป เพราะความเสียหายจากการให้ข้อมูลผิดคนสูงกว่ามาก การ Audit ต้องตรวจว่าคำขอที่เกี่ยวข้องกับข้อมูลบัญชีหรือประวัติธุรกรรมผ่านการยืนยันตัวตนด้วยวิธีที่เหมาะสมกับความเสี่ยง เช่น การยืนยันผ่านช่องทางที่เคยลงทะเบียนไว้กับธนาคารหรือบริษัทประกันเท่านั้น ไม่ใช่รับคำขอจากอีเมลใดก็ได้ที่อ้างว่าเป็นเจ้าของบัญชี และต้องตรวจว่ากรณีคำขอจากบุคคลที่สาม เช่น ทนายความหรือผู้รับมอบอำนาจ มีการตรวจเอกสารมอบอำนาจก่อนดำเนินการทุกครั้งหรือไม่

จุดที่มักพบช่องว่างเมื่อ Audit กระบวนการยืนยันตัวตน

จุดที่ผู้ตรวจสอบภายในมักพบช่องว่างคือกรณีคำขอเร่งด่วนที่เจ้าหน้าที่หน้างานอนุมัติให้ผ่านไปก่อนเพื่อความรวดเร็ว โดยตั้งใจจะเก็บเอกสารยืนยันตัวตนย้อนหลังทีหลัง แต่สุดท้ายไม่มีการติดตามเก็บเอกสารจริง ทำให้เมื่อ Audit ย้อนหลังพบว่ามีคำขอจำนวนหนึ่งที่ไม่มีหลักฐานยืนยันตัวตนแนบอยู่เลย การ Audit จึงควรสุ่มตรวจคำขอย้อนหลังอย่างน้อยหนึ่งรอบต่อไตรมาส ไม่ใช่เชื่อตามรายงานสรุปที่ทีมปฏิบัติงานส่งมาเพียงอย่างเดียว

ขอบเขตที่ต้อง Audit ด้านที่ 3 อัตราการตอบกลับภายในกำหนดเวลา

การ Audit ต้องดึงรายงานอัตราการตอบกลับคำขอทุกประเภทย้อนหลัง แยกตามสิทธิทั้งหก เพื่อดูว่ามีสิทธิประเภทใดที่ตอบช้ากว่ากำหนดบ่อยผิดปกติ เช่น หากคำขอเข้าถึงข้อมูลธุรกรรมย้อนหลังใช้เวลานานกว่าประเภทอื่นอย่างสม่ำเสมอ อาจสะท้อนว่าทีม Data หรือทีมที่ดูแลระบบแกนหลัก (core banking) ยังไม่มีเครื่องมือดึงข้อมูลย้อนหลังที่มีประสิทธิภาพพอ การ Audit ควรบันทึกจำนวนคำขอที่ตอบทันเวลา จำนวนที่ต้องขยายเวลา และเหตุผลของการขยายเวลาแต่ละครั้งไว้เป็นรายงานที่นำเสนอผู้บริหารได้

ขอบเขตที่ต้อง Audit ด้านที่ 4 ความครบถ้วนของหลักฐานในแต่ละคำขอ

แต่ละคำขอที่ผ่านระบบควรมีหลักฐานครบตามชุดที่กำหนดไว้ ประกอบด้วยวันที่รับคำขอ วิธียืนยันตัวตนที่ใช้พร้อมเอกสารประกอบ ทีมที่รับผิดชอบดำเนินการ สรุปการตอบกลับ และวันที่ปิดคำขอ การ Audit ควรสุ่มตรวจคำขอจำนวนหนึ่งในแต่ละรอบเพื่อดูว่าหลักฐานครบตามชุดนี้จริงหรือไม่ หากพบว่าหลักฐานขาดบางส่วนบ่อยครั้งในทีมใดทีมหนึ่ง ควรตามไปดูว่าทีมนั้นมีเครื่องมือหรือขั้นตอนที่ไม่รองรับการบันทึกหลักฐานอย่างเป็นระบบหรือไม่

ขอบเขตที่ต้อง Audit ด้านที่ 5 ความสอดคล้องระหว่างคำตอบจริงกับสิ่งที่ระบบบันทึกไว้

ขั้นนี้เป็นขั้นที่มักถูกมองข้าม คือการตรวจว่าสิ่งที่บันทึกไว้ในระบบว่า "ดำเนินการแล้ว" ตรงกับสิ่งที่เกิดขึ้นจริงในระบบข้อมูลหรือไม่ เช่น ถ้าบันทึกว่าลบข้อมูลบัญชีลูกค้ารายหนึ่งแล้ว ควรมีการสุ่มตรวจในระบบจริงว่าข้อมูลนั้นถูกลบหรือทำให้ไม่สามารถระบุตัวตนได้จริง ไม่ใช่เชื่อตามบันทึกสถานะเพียงอย่างเดียว องค์กรการเงินบางแห่งเคยพบว่าคำขอลบข้อมูลถูกบันทึกว่าปิดเรียบร้อยในระบบ ticket แต่ข้อมูลจริงในฐานข้อมูลสำรอง (backup) ยังไม่ได้รับการจัดการ ซึ่งเป็นช่องว่างที่ตรวจพบได้เฉพาะเมื่อมีการสุ่มตรวจข้ามระบบเท่านั้น

ความถี่และผู้รับผิดชอบรอบ Audit ที่ควรกำหนดไว้ล่วงหน้า

องค์กรควรกำหนดชัดเจนว่าใครเป็นเจ้าของรอบ Audit หลักทุกหกเดือน และใครเป็นเจ้าของการสุ่มตรวจย่อยรายไตรมาส เพราะถ้าไม่มีผู้รับผิดชอบชัดเจน รอบ Audit มักถูกเลื่อนออกไปเรื่อย ๆ เมื่อทีมมีงานเร่งด่วนอื่นแทรก ทีม Compliance ควรกำหนดปฏิทินการ Audit ล่วงหน้าทั้งปี พร้อมระบุว่าใครต้องส่งข้อมูลอะไรก่อนวันตรวจจริง เช่น ทีมที่ดูแลระบบ core banking ต้องเตรียมรายงานอัตราการตอบกลับ ทีมที่ดูแลช่องทางลูกค้าต้องเตรียมรายการคำขอที่รับเข้ามาในแต่ละช่องทาง การมีปฏิทินและผู้รับผิดชอบชัดเจนล่วงหน้าเช่นนี้ช่วยลดความเสี่ยงที่รอบ Audit จะถูกข้ามไปโดยไม่มีใครสังเกต

Evidence ที่ควรเก็บไว้สำหรับรอบ Audit แต่ละครั้ง

เพื่อให้การ Audit ทำได้จริงและรวดเร็ว องค์กรควรเก็บ Evidence ต่อไปนี้ไว้อย่างเป็นระบบล่วงหน้า บันทึกคำขอทั้งหมดพร้อมประเภทสิทธิและช่องทางที่รับเข้ามา เอกสารยืนยันตัวตนของแต่ละคำขอ รายงานอัตราการตอบกลับตามกำหนดเวลาแยกตามประเภทสิทธิ บันทึกผลการสุ่มตรวจความสอดคล้องระหว่างสถานะที่บันทึกกับข้อมูลจริงในระบบ และรายงานสรุปช่องว่างที่พบพร้อมแผนแก้ไขจากรอบ Audit ก่อนหน้า เพื่อดูว่าช่องว่างเดิมได้รับการแก้ไขจริงหรือยังคงเกิดซ้ำ

ความสัมพันธ์กับบทความอื่นในชุดความรู้เดียวกัน

คู่มือนี้เจาะรายละเอียดขั้นตอน Audit หากต้องการภาพรวมของสิทธิเจ้าของข้อมูลส่วนบุคคลทั้งชุดสำหรับองค์กรการเงินก่อนเริ่ม Audit ดูได้ที่ คู่มือภาพรวมสิทธิของเจ้าของข้อมูลส่วนบุคคลสำหรับองค์กรการเงิน และหากต้องการเช็กลิสต์สั้น ๆ ไว้ใช้ก่อนรอบ Audit จริง ดูได้ที่ เช็กลิสต์สิทธิของเจ้าของข้อมูลส่วนบุคคลสำหรับองค์กรการเงิน ส่วนภาพรวมหัวข้ออื่นในหมวด Privacy Fundamentals ดูเพิ่มเติมได้ที่ คลังความรู้ Privacy Fundamentals

ข้อผิดพลาดที่พบบ่อยเมื่อ Audit สิทธิของเจ้าของข้อมูลส่วนบุคคล

• เชื่อว่านโยบายที่เขียนไว้ครบถ้วนเท่ากับพร้อมรับการตรวจสอบโดยไม่มีหลักฐานการปฏิบัติจริง
• ตรวจสอบเฉพาะช่องทางหลักโดยไม่ตรวจว่าคำขอที่เข้ามาผ่านสาขาหรือ call center ถูกส่งต่อเข้าระบบกลางหรือไม่
• เชื่อตามบันทึกสถานะในระบบโดยไม่สุ่มตรวจว่าข้อมูลจริงถูกจัดการตามที่บันทึกไว้
• อนุมัติคำขอเร่งด่วนให้ผ่านไปก่อนโดยไม่ติดตามเก็บเอกสารยืนยันตัวตนย้อนหลังจริง
• ไม่ติดตามว่าช่องว่างที่พบในรอบ Audit ก่อนหน้าได้รับการแก้ไขจริงหรือยังเกิดซ้ำ

สรุป

การ Audit สิทธิของเจ้าของข้อมูลส่วนบุคคลสำหรับองค์กรการเงินและธุรกิจความเสี่ยงสูงต้องมองข้ามการมีนโยบายที่เขียนไว้ดี ไปสู่การตรวจสอบหลักฐานการปฏิบัติจริงในห้าด้าน คือช่องทางรับคำขอ กระบวนการยืนยันตัวตน อัตราการตอบกลับ ความครบถ้วนของหลักฐาน และความสอดคล้องระหว่างสถานะที่บันทึกกับข้อมูลจริง การทำ Audit เป็นระยะและเก็บ Evidence อย่างเป็นระบบช่วยให้องค์กรพร้อมชี้แจงได้ทุกครั้งที่มีการตรวจสอบทั้งจากภายในและภายนอก

แหล่งข้อมูลอ้างอิง

แนวทางเรื่องสิทธิของเจ้าของข้อมูลส่วนบุคคลตามกฎหมายไทย ควรตรวจสอบกับประกาศและแนวปฏิบัติของ สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (PDPC) โดยตรง คู่มือนี้เป็นแนวทางเชิงปฏิบัติสำหรับฝ่ายกฎหมายและ Compliance ไม่ใช่การตีความข้อกำหนดทางกฎหมายแทนหน่วยงานกำกับดูแล