วิธี Audit ฐานกฎหมายในการประมวลผลข้อมูล ขององค์กรการเงิน ประกัน และธุรกิจที่มีความเสี่ยงสูง พร้อม Evidence ที่ควรเก็บ

ทีมตรวจสอบภายในของบริษัทประกันภัยแห่งหนึ่งเคยสุ่มตรวจทะเบียนกิจกรรมประมวลผลข้อมูลของบริษัทตัวเองในรอบตรวจสอบประจำปี แล้วพบว่ากิจกรรมกว่าครึ่งที่บันทึกไว้ระบุฐานทางกฎหมายเป็น "ความยินยอม" ทั้งที่บางกิจกรรม เช่น การเก็บข้อมูลเพื่อประเมินความเสี่ยงก่อนออกกรมธรรม์ จริง ๆ แล้วควรอาศัยฐานความจำเป็นตามสัญญาหรือฐานประโยชน์โดยชอบด้วยกฎหมายมากกว่า เอกสารที่จัดทำไว้เมื่อหลายปีก่อนไม่เคยถูกทบทวนซ้ำเลยตั้งแต่วันที่เขียนขึ้นครั้งแรก ทั้งที่ระบบและกิจกรรมทางธุรกิจเปลี่ยนไปมากแล้ว เหตุการณ์นี้ไม่ใช่เรื่องแปลกสำหรับองค์กรขนาดใหญ่ที่มีกิจกรรมประมวลผลข้อมูลจำนวนมากกระจายอยู่หลายแผนก และเป็นเหตุผลว่าทำไมการ Audit ฐานทางกฎหมายเป็นรอบจึงสำคัญไม่น้อยไปกว่าการ Audit ด้านความปลอดภัยของข้อมูล

บทความนี้เป็นแนวทาง Audit ฐานกฎหมายในการประมวลผลข้อมูลสำหรับองค์กรการเงิน ประกัน และธุรกิจที่มีความเสี่ยงสูง โดยวางเป็นรอบตรวจสอบที่ทำซ้ำได้ พร้อมระบุ Evidence ที่ควรเก็บไว้ทุกครั้งเพื่อใช้ตอบทีมกฎหมาย ผู้บริหาร หรือหน่วยงานกำกับดูแลเมื่อจำเป็น

การ Audit ฐานกฎหมายในการประมวลผลข้อมูลสำหรับองค์กรการเงิน ประกัน และธุรกิจความเสี่ยงสูง คือการตรวจสอบเป็นรอบว่าแต่ละกิจกรรมประมวลผลข้อมูลยังใช้ฐานทางกฎหมายที่เหมาะสมและมีเอกสารรองรับครบถ้วนหรือไม่ ครอบคลุมสี่จุดหลักคือทะเบียนกิจกรรมประมวลผลข้อมูลยังครบถ้วนและทันสมัยหรือไม่ การจับคู่ฐานยังสมเหตุสมผลกับลักษณะกิจกรรมจริงหรือไม่ กิจกรรมที่ใช้ฐานประโยชน์โดยชอบด้วยกฎหมายมีเอกสารประเมินสมดุลรองรับหรือไม่ และมีกิจกรรมใหม่ที่เกิดขึ้นแล้วแต่ยังไม่ได้จับคู่ฐานหรือไม่ Evidence ที่ควรเก็บทุกรอบคือรายงานผลการตรวจพร้อมวันที่และรายการที่แก้ไข

ทำไมองค์กรความเสี่ยงสูงต้อง Audit ฐานทางกฎหมายเป็นรอบ

องค์กรการเงินและประกันมีกิจกรรมประมวลผลข้อมูลจำนวนมากที่เกี่ยวข้องกับหลายแผนกพร้อมกัน ตั้งแต่แผนกสินเชื่อ แผนกประกันภัย ไปจนถึงแผนกป้องกันการฉ้อโกง แต่ละแผนกมักเลือกฐานทางกฎหมายตามความเข้าใจของตัวเองโดยไม่ได้ประสานกับทีมกฎหมายส่วนกลางเสมอไป เมื่อเวลาผ่านไป กิจกรรมใหม่เกิดขึ้นเรื่อย ๆ แต่ทะเบียนกิจกรรมและฐานที่จับคู่ไว้ไม่ได้อัปเดตตาม การ Audit เป็นรอบช่วยจับจุดที่หลุดรอดไปก่อนที่จะกลายเป็นปัญหาใหญ่ โดยเฉพาะเมื่อหน่วยงานกำกับดูแลหรือคู่ค้าขอตรวจสอบเอกสารอย่างเป็นทางการ

จุดที่ 1: ตรวจสอบว่าทะเบียนกิจกรรมประมวลผลข้อมูลยังครบถ้วนและทันสมัย

เริ่มจากไล่รายชื่อกิจกรรมประมวลผลข้อมูลทั้งหมดที่มีอยู่จริงในองค์กร แล้วเทียบกับทะเบียนที่บันทึกไว้ในเอกสาร หากพบกิจกรรมที่ทำอยู่จริงแต่ไม่มีในทะเบียน เช่น ฟีเจอร์ประเมินเครดิตอัตโนมัติที่เพิ่งเปิดใช้เมื่อหกเดือนก่อน ต้องเพิ่มเข้าไปในทะเบียนทันทีพร้อมจับคู่ฐานทางกฎหมายที่เหมาะสม องค์กรขนาดใหญ่ควรสัมภาษณ์หัวหน้าแผนกแต่ละแผนกโดยตรงแทนที่จะพึ่งพาเอกสารเก่าเพียงอย่างเดียว เพราะกิจกรรมใหม่หลายอย่างเกิดขึ้นจากการทดลองของแผนกโดยไม่ผ่านการอนุมัติอย่างเป็นทางการ

จุดที่ 2: ตรวจสอบว่าการจับคู่ฐานยังสมเหตุสมผลกับลักษณะกิจกรรมจริง

สำหรับแต่ละกิจกรรมในทะเบียน ให้ถามว่าฐานที่จับคู่ไว้ยังตรงกับลักษณะกิจกรรมจริงหรือไม่ กิจกรรมที่จำเป็นต่อการให้บริการตามสัญญา เช่น การตรวจสอบตัวตนก่อนอนุมัติสินเชื่อ ไม่ควรใช้ฐานความยินยอมเพราะลูกค้าไม่มีทางเลือกอื่นหากต้องการรับบริการ ในทางกลับกัน กิจกรรมที่ลูกค้าควรมีสิทธิ์เลือกเอง เช่น การรับข้อเสนอผลิตภัณฑ์เสริม ควรใช้ฐานความยินยอมแทนฐานประโยชน์โดยชอบด้วยกฎหมาย เพื่อให้ลูกค้าถอนสิทธิ์ได้ตามต้องการ ผู้ตรวจสอบควรระวังกิจกรรมที่จับคู่ฐานผิดประเภทเป็นพิเศษ เพราะกระทบสิทธิ์ของลูกค้าโดยตรงหากตรวจพบภายหลัง

จุดที่ 3: ตรวจสอบเอกสารประเมินสมดุลสำหรับฐานประโยชน์โดยชอบด้วยกฎหมาย

กิจกรรมที่ใช้ฐานประโยชน์โดยชอบด้วยกฎหมาย เช่น ระบบวิเคราะห์พฤติกรรมเพื่อป้องกันการฉ้อโกง ต้องมีเอกสารประเมินสมดุลระหว่างประโยชน์ทางธุรกิจกับผลกระทบต่อเจ้าของข้อมูลรองรับเสมอ ผู้ตรวจสอบควรเปิดดูเอกสารประเมินนี้ของแต่ละกิจกรรมว่ายังมีอยู่จริง ทันสมัย และมีเหตุผลที่ชัดเจนหรือไม่ องค์กรที่ขยายขอบเขตระบบป้องกันการฉ้อโกงให้เก็บข้อมูลมากขึ้นเรื่อย ๆ โดยไม่ทบทวนเอกสารประเมินสมดุลตามการเปลี่ยนแปลง มีความเสี่ยงสูงที่จะถูกตั้งคำถามว่าการเก็บข้อมูลเพิ่มเติมนั้นยังอยู่ในกรอบที่ประเมินไว้เดิมหรือไม่

จุดที่ 4: ตรวจหากิจกรรมใหม่ที่ยังไม่ได้จับคู่ฐานทางกฎหมาย

สอบถามทีมงานแต่ละแผนกว่ามีการเปิดตัวผลิตภัณฑ์ บริการ หรือเครื่องมือใหม่ใดในช่วงที่ผ่านมา ที่อาจเกี่ยวข้องกับการประมวลผลข้อมูลลูกค้าเพิ่มเติม เช่น การเปิดช่องทางสมัครสินเชื่อผ่านแอปพันธมิตร หรือการเริ่มใช้ระบบวิเคราะห์เสียงสนทนาศูนย์บริการลูกค้าเพื่อประเมินความพึงพอใจ กิจกรรมใหม่เหล่านี้มักเริ่มใช้งานจริงก่อนที่จะมีการจับคู่ฐานทางกฎหมายอย่างเป็นทางการ ผู้ตรวจสอบควรถามตรง ๆ ในทุกรอบ Audit แทนที่จะรอให้แผนกงานแจ้งเข้ามาเอง เพราะหลายแผนกไม่รู้ว่าการเปิดใช้เครื่องมือใหม่ต้องแจ้งทีมกฎหมายก่อน

Evidence ที่ควรเก็บไว้หลังทุกรอบ Audit

หลังตรวจสอบทั้งสี่จุดแล้ว ควรบันทึกผลเป็นรายงานที่ระบุวันที่ตรวจ กิจกรรมที่ตรวจแล้วผ่าน กิจกรรมที่พบปัญหาพร้อมรายละเอียด และวันที่แก้ไขเสร็จ รายงานนี้ควรเก็บแยกตามรอบปีเพื่อให้เห็นแนวโน้มการปรับปรุงเมื่อเทียบย้อนหลัง เมื่อทีมกฎหมายหรือหน่วยงานกำกับดูแลขอทราบว่าองค์กรมีกระบวนการทบทวนฐานทางกฎหมายอย่างเป็นระบบหรือไม่ รายงานชุดนี้คือหลักฐานที่ตอบได้ทันทีโดยไม่ต้องเริ่มรวบรวมข้อมูลใหม่ทั้งหมด สำหรับขั้นตอนการวางระบบฐานทางกฎหมายตั้งแต่เริ่มต้น อ่านเพิ่มเติมได้ที่ วิธีวางระบบฐานกฎหมายในการประมวลผลข้อมูลสำหรับองค์กรการเงินและประกัน

วางรอบ Audit ให้เหมาะกับความเสี่ยงของแต่ละกิจกรรม

องค์กรขนาดใหญ่ที่มีกิจกรรมประมวลผลข้อมูลหลายร้อยรายการไม่สามารถ Audit ทุกกิจกรรมแบบละเอียดพร้อมกันได้ทั้งหมด แนวทางที่ใช้งานได้จริงคือจัดลำดับความสำคัญตามความเสี่ยง กิจกรรมที่เกี่ยวข้องกับข้อมูลอ่อนไหวหรือมีผลกระทบทางการเงินโดยตรงต่อลูกค้า เช่น การประเมินสินเชื่อ ควร Audit ถี่กว่ากิจกรรมทั่วไป เช่น การส่งจดหมายข่าวบริษัท และควร Audit ทันทีเมื่อทราบว่ามีการเปิดตัวผลิตภัณฑ์ใหม่ที่เกี่ยวข้องกับข้อมูลอ่อนไหว ไม่ต้องรอถึงรอบประจำปี การมีตารางความถี่แยกตามระดับความเสี่ยงของแต่ละกิจกรรมช่วยให้ทีมตรวจสอบใช้เวลาได้อย่างมีประสิทธิภาพมากกว่าการพยายาม Audit ทุกกิจกรรมเท่ากันหมด

การสื่อสารผลการ Audit กับผู้บริหารและทีมกฎหมาย

เมื่อพบปัญหาจากการ Audit ควรรายงานด้วยข้อเท็จจริงที่ตรวจพบพร้อมระดับความเสี่ยงและแผนแก้ไขที่ชัดเจน แทนที่จะรายงานแบบกำกวมหรือสร้างความตื่นตระหนกเกินจริง ทีมตรวจสอบควรจัดลำดับความสำคัญของปัญหาที่พบให้ผู้บริหารเห็นภาพชัดว่าอะไรควรแก้ไขก่อน เช่น กิจกรรมที่จับคู่ฐานผิดประเภทและกระทบลูกค้าจำนวนมากควรได้รับความสำคัญมากกว่ากิจกรรมที่มีเอกสารไม่ครบแต่ไม่กระทบสิทธิ์ลูกค้าโดยตรง การรายงานที่ชัดเจนแบบนี้ช่วยให้ผู้บริหารตัดสินใจจัดสรรทรัพยากรแก้ไขได้ตรงจุดมากกว่ารายงานที่รวมทุกปัญหาไว้ในระดับความสำคัญเดียวกันหมด

จุดที่ 5: ตรวจสอบฐานทางกฎหมายของกิจกรรมที่ส่งข้อมูลให้ผู้ประมวลผลภายนอก

องค์กรการเงินและประกันแทบทุกแห่งใช้ผู้ให้บริการภายนอกอย่างน้อยหนึ่งราย ไม่ว่าจะเป็นผู้ให้บริการระบบ Core Banking ผู้ให้บริการวิเคราะห์ข้อมูลเครดิต หรือบริษัทประเมินความเสียหายสำหรับสินไหมทดแทน ผู้ตรวจสอบต้องไล่ดูสัญญาประมวลผลข้อมูลกับผู้ให้บริการแต่ละรายว่าระบุขอบเขตกิจกรรมและฐานทางกฎหมายที่สอดคล้องกับฐานที่องค์กรใช้เองหรือไม่ กรณีที่พบบ่อยคือองค์กรจับคู่ฐานความจำเป็นตามสัญญาไว้ถูกต้องกับลูกค้า แต่สัญญากับผู้ให้บริการภายนอกกลับไม่ได้ระบุขอบเขตการประมวลผลให้ตรงกัน ทำให้เกิดช่องว่างระหว่างสิ่งที่แจ้งลูกค้ากับสิ่งที่เกิดขึ้นจริงในทางปฏิบัติ ผู้ตรวจสอบควรขอสำเนาสัญญาหรือข้อตกลงประมวลผลข้อมูล (Data Processing Agreement) ของผู้ให้บริการที่มีความเสี่ยงสูงมาทบทวนทุกรอบ Audit โดยเฉพาะรายที่เข้าถึงข้อมูลอ่อนไหว เช่น ข้อมูลสุขภาพประกอบการพิจารณากรมธรรม์ประกันชีวิต

อีกจุดที่มักถูกมองข้ามคือกรณีที่ผู้ให้บริการภายนอกเปลี่ยนแปลงขอบเขตบริการเอง เช่น เพิ่มฟีเจอร์วิเคราะห์พฤติกรรมลูกค้าด้วย AI โดยไม่ได้แจ้งองค์กรล่วงหน้าอย่างเป็นทางการ หากทีมจัดซื้อหรือทีมไอทีอนุมัติการใช้ฟีเจอร์ใหม่โดยไม่ผ่านทีมกฎหมาย กิจกรรมนั้นอาจเกิดขึ้นจริงแล้วโดยไม่มีฐานทางกฎหมายรองรับ ผู้ตรวจสอบจึงควรตรวจสอบประกาศอัปเดตบริการจากผู้ให้บริการภายนอกที่มีความเสี่ยงสูงเป็นระยะ ควบคู่ไปกับการสอบถามทีมจัดซื้อโดยตรงว่ามีการต่อสัญญาหรือเปลี่ยนขอบเขตบริการใดในช่วงที่ผ่านมาบ้าง

จุดที่ 6: ตรวจสอบฐานทางกฎหมายเมื่อมีการส่งข้อมูลข้ามพรมแดน

ธุรกิจประกันภัยที่ทำงานร่วมกับบริษัทประกันภัยต่อในต่างประเทศ หรือธุรกิจการเงินที่ใช้บริการคลาวด์ซึ่งมีศูนย์ข้อมูลอยู่นอกประเทศไทย มักมีกิจกรรมประมวลผลข้อมูลที่เกี่ยวข้องกับการส่งข้อมูลข้ามพรมแดนโดยไม่รู้ตัว ผู้ตรวจสอบควรระบุกิจกรรมเหล่านี้แยกออกมาต่างหากจากกิจกรรมภายในประเทศ เพราะการเลือกฐานทางกฎหมายสำหรับกิจกรรมที่ส่งข้อมูลข้ามพรมแดนต้องพิจารณาควบคู่กับมาตรการคุ้มครองข้อมูลปลายทางด้วย ไม่ใช่พิจารณาฐานทางกฎหมายเพียงอย่างเดียวเหมือนกิจกรรมทั่วไป ตัวอย่างเช่น การส่งข้อมูลผู้เอาประกันให้บริษัทประกันภัยต่อในต่างประเทศเพื่อประเมินความเสี่ยงร่วมกัน ควรมีเอกสารระบุทั้งฐานทางกฎหมายที่ใช้ในประเทศไทยและมาตรการที่ปลายทางมีเพื่อคุ้มครองข้อมูลในระดับที่เทียบเคียงได้

ในทางปฏิบัติ ผู้ตรวจสอบควรจัดทำรายชื่อกิจกรรมที่มีการส่งข้อมูลข้ามพรมแดนทั้งหมดแยกเป็นบัญชีเฉพาะ ระบุปลายทาง วัตถุประสงค์ ฐานทางกฎหมายที่ใช้ และเอกสารมาตรการคุ้มครองที่ปลายทางมี แล้วทบทวนบัญชีนี้พร้อมกับรอบ Audit หลักทุกครั้ง เนื่องจากกิจกรรมข้ามพรมแดนมักมีความเสี่ยงสูงกว่ากิจกรรมภายในประเทศ และมักเป็นจุดแรกที่หน่วยงานกำกับดูแลหรือคู่ค้าต่างประเทศขอตรวจสอบเมื่อมีการทำสัญญาความร่วมมือใหม่

ข้อผิดพลาดที่พบบ่อยเมื่อ Audit ฐานทางกฎหมาย

• พึ่งพาทะเบียนกิจกรรมเก่าโดยไม่สัมภาษณ์หัวหน้าแผนกเพื่อหากิจกรรมใหม่ที่ยังไม่ถูกบันทึก
• ไม่ตรวจว่าฐานที่จับคู่ไว้ยังสมเหตุสมผลกับลักษณะกิจกรรมจริงในปัจจุบัน
• ไม่ทบทวนเอกสารประเมินสมดุลเมื่อระบบที่ใช้ฐานประโยชน์โดยชอบด้วยกฎหมายขยายขอบเขต
• Audit ทุกกิจกรรมด้วยความถี่เท่ากันหมดโดยไม่พิจารณาระดับความเสี่ยง
• ไม่บันทึกผลการ Audit เป็นรายงานที่เก็บไว้เปรียบเทียบย้อนหลังได้

สรุป

การ Audit ฐานกฎหมายในการประมวลผลข้อมูลสำหรับองค์กรการเงิน ประกัน และธุรกิจความเสี่ยงสูง ควรเป็นรอบตรวจสอบต่อเนื่อง ครอบคลุมการทบทวนทะเบียนกิจกรรม การตรวจสอบความสมเหตุสมผลของการจับคู่ฐาน การทบทวนเอกสารประเมินสมดุล และการค้นหากิจกรรมใหม่ที่ยังไม่ได้จับคู่ฐาน พร้อมบันทึกผลทุกรอบเป็นรายงานที่ใช้ตอบทีมกฎหมายและหน่วยงานกำกับดูแลได้ทันที ดูภาพรวมหัวข้อนี้เพิ่มเติมได้ที่ Privacy Fundamentals

แหล่งข้อมูลอ้างอิง

แนวทางเกี่ยวกับฐานทางกฎหมายในการประมวลผลข้อมูลควรตรวจสอบกับประกาศและแนวปฏิบัติของ สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (PDPC) โดยตรง บทความนี้เป็นแนวทางเชิงปฏิบัติสำหรับทีมตรวจสอบภายในองค์กรความเสี่ยงสูง ไม่ใช่การตีความข้อกำหนดทางกฎหมายแทนหน่วยงานกำกับดูแล