การควบคุมภายในและการบริหารความเสี่ยง

บริษัทฯ ได้แต่งตั้งคณะกรรมการบริหารความเสี่ยงทั้งองค์กร (Enterprise-wide Risk Management Committee : ERMC) ซึ่งมีหน้าที่กำกับดูแลการบริหารความเสี่ยงทั้งองค์กร พัฒนาระบบการจัดการบริหารความเสี่ยงทั้งองค์กรให้มีประสิทธิภาพอย่างต่อเนื่อง ตามมาตรฐานสากล ISO 31000 ซึ่งครอบคลุมความเสี่ยงทางกลยุทธ์ การดำเนินงาน การเงิน และความเสี่ยงทางด้านความน่าเชื่อถือ ซึ่งหมายถึงความเสี่ยงด้านความปลอดภัยและอาชีวอนามัย ผลกระทบต่อสิ่งแวดล้อม สังคม ชุมชน การปฏิบัติตามข้อกฎหมาย และความเสี่ยงต่อการเกิดทุจริตคอร์รัปชั่น เป็นต้น ทั้งนี้กระบวนการบริหารความเสี่ยงครอบคลุมในทุกระดับขององค์กร ได้แก่ ระดับองค์กร กลุ่มธุรกิจ/กลุ่มงาน ส่วนงาน และกระบวนการทำงาน อีกทั้งยังมีกระบวนการในการจัดทำแผนบริหารความเสี่ยงของโครงการลงทุนในทุกๆ โครงการ ทั้งในและต่างประเทศ และเพื่อให้ธุรกิจเกิดการพัฒนาอย่างยั่งยืนไปกับสิ่งแวดล้อม สังคม ภายใต้การกํากับดูแลองค์กร (Environmental, Social and Governance) คณะกรรมการบริหารความเสี่ยงทั้งองค์กรจึงได้ให้ความสำคัญต่อการบริหารความเสี่ยงของบริษัทในกลุ่ม/บริษัทร่วมทุนเพื่อให้สามารถดำเนินงานได้อย่างเหมาะสม เฝ้าระวังและติดตามผลกระทบในภาพรวม เพื่อให้เกิดการควบคุมความเสี่ยงให้อยู่ในระดับที่ยอมรับได้ ซึ่งในภาพรวมกลุ่มบริษัทฯ สามารถดำเนินการจัดการความเสี่ยงบรรลุผลได้ตามเป้าหมาย

ทั้งนี้ บริษัทฯ ได้พิจารณานโยบายและบริหารจัดการความเสี่ยงหลักของบริษัทฯ ให้มีความเชื่อมโยง สอดคล้องกับเกณฑ์รางวัลคุณภาพแห่งชาติ และ Dow Jones Sustainability Indices (DJSI) ควบคู่ไปกับกระบวนการจัดทำแผนยุทธศาสตร์องค์กร ซึ่งมีการกำหนดสถานการณ์ต่าง ๆ และการแพร่ระบาดของโรคระบาดที่คาดว่าจะเกิดขึ้น โดยบริษัทฯ ได้จัดทำแผนยุทธศาสตร์ออกเป็น 2 กรณี เพื่อให้สามารถปรับเปลี่ยนการดำเนินการให้สอดคล้องกับสถานการณ์ที่เกิดขึ้นจริง อีกทั้งได้นำดัชนีชี้วัดความเสี่ยง (Key Risk Indicator: KRI) มาใช้ในกระบวนการติดตามการเฝ้าระวังโอกาสการเกิดขึ้นของความเสี่ยงนั้น ๆ เพื่อนำมาปรับปรุงและจัดทำแผนบริหารจัดการความเสี่ยงรองรับเพิ่มเติม เพื่อลดผลกระทบต่อเป้าหมายขององค์กรและมีการควบคุมความเสี่ยงสำคัญระดับองค์กรให้อยู่ในระดับที่ยอมรับได้เพื่อให้บรรลุผลตามเป้าหมาย

นอกจากนี้ เพื่อให้องค์กรสามารถรับมือจากความเสี่ยงที่ไม่คาดหมาย และส่งผลกระทบต่อความสามารถทางธุรกิจ เช่น ภัยพิบัติทางธรรมชาติ การก่อวินาศกรรม เหตุการณ์เปลี่ยนแปลงทางการเมือง โรคระบาดรุนแรง และอุบัติการณ์ต่างๆ บริษัทฯ ได้จัดตั้งคณะทำงานบริหารความต่อเนื่องทางธุรกิจ (Business Continuity Management Taskforce) ทำหน้าที่ในการพัฒนาระบบ เตรียมความพร้อมด้านกลยุทธ์ กระบวนการ ทรัพยากร และทบทวนแผน ในการรับมือกับความเสี่ยงและภาวะวิกฤติที่อาจเกิดขึ้นให้มีประสิทธิผลมากขึ้น เพื่อให้บริษัทฯ สามารถดำเนินธุรกิจต่อไปได้ในภาวะฉุกเฉิน ไม่หยุดชะงัก และลดผลกระทบที่อาจเกิดขึ้น โดยได้นำระบบการบริหารความต่อเนื่องทางธุรกิจ ISO 22301: 2019 มาใช้ในองค์กร ซึ่งครอบคลุมพื้นที่สำนักงานใหญ่ โรงกลั่นน้ำมันบางจากและศูนย์จ่ายน้ำมันบางจาก สำนักงานธุรกิจภาคกลางและศูนย์จ่ายน้ำมันบางปะอินและได้รับการรับรองอย่างต่อเนื่องจนปัจจุบัน ซึ่งเป็นการรับรองว่าบริษัทฯ มีระบบในการเตรียมพร้อมรองรับภาวะวิกฤต และบริหารความต่อเนื่องทางธุรกิจให้มีประสิทธิภาพตามมาตรฐานสากล และสร้างความเชื่อมั่นต่อผู้มีส่วนได้เสียว่าบริษัทฯ จะสามารถรับมือและตอบสนองต่อเหตุการณ์วิกฤตและส่งมอบผลิตภัณฑ์ได้อย่างต่อเนื่อง

บริษัทฯ มีกิจกรรมการควบคุม โดยใช้ดัชนีวัดผลการปฏิบัติงาน (KPI) เป็นเครื่องมือในการวางแผนและควบคุม มีการแบ่งแยกหน้าที่ความรับผิดชอบเพื่อตรวจสอบซึ่งกันและกัน มีการทบทวนและกำหนดขอบเขตอำนาจหน้าที่และวงเงินอำนาจอนุมัติในแต่ละระดับเพื่อความเหมาะสมต่อการดำเนินธุรกิจ มีการนำเทคโนโลยีการลงลายมือชื่อทางอิเล็กทรอนิกส์มาใช้เพื่อความคล่องตัวทางธุรกิจ ขณะเดียวกันยังมีการถ่วงดุลและตรวจสอบอำนาจจากหน่วยงานและคณะกรรมการที่ได้รับการแต่งตั้งโดยเฉพาะ เช่น ฝ่ายตรวจสอบภายใน คณะกรรมการลงทุน และคณะกรรมการบริหารความเสี่ยงทั้งองค์กร เป็นต้น

บริษัทฯ มีการจัดทำเอกสาร หลักฐานให้มีการแบ่งส่วนและบุคคลผู้รับผิดชอบหากมีข้อผิดพลาดเกิดขึ้น มีการดูแลป้องกันทรัพย์สินของบริษัทฯ ไม่ให้สูญหาย หรือใช้ไปในทางที่ไม่เหมาะสม มีการติดตามธุรกรรมที่มีผลผูกพันบริษัทฯ ระยะยาว โดยให้ปฏิบัติตามเงื่อนไขที่ตกลงไว้ มีมาตรการป้องกันไม่ให้นำโอกาสหรือประโยชน์ของบริษัทฯ ไปใช้เพื่อประโยชน์ส่วนตน และมีการสื่อสารเพื่อเน้นย้ำวิธีปฏิบัติในการบริหารจัดการและควบคุมข้อมูลภายในบริษัท เพื่อให้ทุกหน่วยงานมีการบริหารจัดการและการควบคุมดูแลข้อมูลภายในบริษัทฯ อย่างมีประสิทธิผลและไม่ก่อให้เกิดความเสียหายต่อบริษัทฯ อย่างต่อเนื่อง

บริษัทฯ มีการกำหนดวิธีการเพื่อให้แน่ใจว่าได้ปฏิบัติตามกฎหมาย ข้อบังคับที่เกี่ยวข้อง รวมถึงกระบวนการปฏิบัติงานที่สำคัญ มีการพัฒนาระบบเทคโนโลยีที่ใช้ในการปฏิบัติงานเพื่อให้เกิดการควบคุมภายในที่ดียิ่งขึ้น มีการกำหนดนโยบายการจัดการกระบวนการทำงาน เพื่อให้ความสำคัญกับการปฏิบัติงานอย่างถูกต้องตามกระบวนการทำงานที่ได้ออกแบบหรือกำหนดไว้ และมีการปรับปรุงกระบวนการทำงานอยู่เสมอเพื่อให้มีกระบวนการทำงานที่มีประสิทธิผลโดยคำนึงถึงจุดควบคุมและมาตรการการควบคุมเพื่อลดความเสี่ยง เป็นกระบวนการที่มีประสิทธิภาพ มีความทันสมัย สอดคล้องกับทิศทางการดำเนินงานและเป้าหมายของบริษัทฯ โดยใช้ระบบ e-Work Manual ในการติดตามการจัดทำและปรับปรุงคู่มือการทำงานให้เป็นปัจจุบันอยู่เสมอ นอกจากนี้ยังมีการสื่อสารเน้นย้ำ และจัดสัมมนาให้ความรู้เพื่อให้ผู้บริหารและพนักงานมีการปฏิบัติสอดคล้องตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ซึ่งมีผลบังคับใช้เมื่อวันที่ 1 มิถุนายน 2565 รวมถึงได้ทบทวนและปรับปรุงนโยบายและข้อกำหนดการรักษาความปลอดภัยระบบเทคโนโลยีสารสนเทศ เพื่อให้มีการบริหารจัดการข้อมูลส่วนบุคคลที่สอดคล้องตามกฎหมายโดยได้รับการรับรองมาตรฐาน ISO/IEC 27018:2019 ด้านการบริหารจัดการความมั่นคงปลอดภัยสารสนเทศสำหรับปกป้องข้อมูลส่วนบุคคลที่สามารถระบุตัวตนได้ (Personal Identifiable Information)

บริษัทฯ มีมาตรการที่รัดกุมเหมาะสมในกรณีที่บริษัทฯ มีการทำธุรกรรมกับผู้ถือหุ้นรายใหญ่ กรรมการ ฯลฯ เพื่อป้องกันการถ่ายเทผลประโยชน์ เช่น ต้องผ่านขั้นตอนการอนุมัติโดยผู้ไม่มีส่วนได้เสียในธุรกรรมนั้น รวมทั้งมีการเปิดเผยข้อมูลการทำธุรกรรมดังกล่าวตามระเบียบของสำนักงานคณะกรรมการกำกับหลักทรัพย์และตลาดหลักทรัพย์และเปิดเผยข้อมูลเกี่ยวกับบุคคลหรือกิจการที่เกี่ยวข้องกันตามมาตรฐานการบัญชี

บริษัทฯ มีการจัดตั้งคณะทำงานด้านบริหารจัดการความมั่นคงปลอดภัยสารสนเทศ (ISMS Management Team) เป็นผู้รับผิดชอบกำกับดูแลและบริหารจัดการความมั่นคงปลอดภัยของระบบสารสนเทศ มีการทบทวนและปรับปรุงนโยบายและข้อกำหนดการรักษาความปลอดภัยระบบเทคโนโลยีสารสนเทศ ทั้งในเรื่องระบบเฝ้าระวังเหตุการณ์ผิดปกติที่มีลักษณะของภัยคุกคาม ระบบกรองจดหมายอิเล็กทรอนิกส์ (e-mail) ระบบป้องกันมัลแวร์ ระบบไฟร์วอลล์ รวมถึงมีการสื่อสารให้พนักงานทราบถึงข้อกำหนดการรักษาความปลอดภัยระบบเทคโนโลยีสารสนเทศและความเสี่ยง ตลอดจนวิธีการป้องกันภัยคุกคามด้านเทคโนโลยีสารสนเทศอย่างสม่ำเสมอ รวมถึงมีมาตรการเพื่อสร้างความตระหนักต่อภัยคุกคามที่สามารถสร้างความเสียหายให้กับธุรกิจ จนได้รับการรับรองมาตรฐานระบบบริหารความมั่นคงปลอดภัยสารสนเทศ (Information Security Management System) ISO/IEC 27001:2013 และได้รับ Letter of compliance ซึ่งแสดงถึงความสอดคล้องกับการบริหารจัดการความมั่นคงปลอดภัยไซเบอร์ (Guidelines for Cybersecurity) ISO/IEC 27032 : 2012 เป็นรายแรกในประเทศไทย และได้รับการรับรองต่อเนื่องจนปัจจุบัน นอกจากนี้บริษัทฯ ยังได้รับการรับรองมาตรฐานระบบบริหารจัดการความมั่นคงปลอดภัยสารสนเทศ ในส่วนของระบบควบคุมการกลั่นน้ำมัน ISO/IEC 27001:2013 ต่อเนื่องจนปัจจุบันด้วยเช่นกัน

บริษัทฯ มีแนวทางการกำกับดูแล และมีกระบวนการติดตามดูแลการดำเนินงานของบริษัทร่วมและบริษัทย่อยให้เป็นไปตามกลยุทธ์ทางธุรกิจ กรอบนโยบายและแนวปฏิบัติของบริษัทฯ อย่างสม่ำเสมอ โดยมีการควบคุมดูแลในด้านต่าง ๆ ผ่านคณะกรรมการและคณะทำงาน ได้แก่ คณะกรรมการบริหารความเสี่ยงทั้งองค์กร (Enterprise-wide Risk Management Committee : ERMC ) คณะกรรมการตรวจสอบ (Audit Committee : AC) คณะทำงานที่ดูแลรับผิดชอบงานเกี่ยวกับการบริหารการลงทุน (Strategic Investment Management) และการวางแผนยุทธศาสตร์การส่งเสริมกระบวนการทำงานระหว่างบริษัทในเครือ (Subsidiary Synergy & Strategic Alignment)

บริษัทฯ มีการทบทวนแผนดิจิทัล (Digital Roadmap) อย่างต่อเนื่องทุกปี เพื่อให้สอดคล้องกับแผนกลยุทธ์ของบริษัทฯ ทั้งในส่วนของการบริหารงานด้านโรงกลั่น ด้านการตลาด และด้านระบบงานหลักที่สำคัญ ได้แก่ การเงิน บัญชี และด้านบริหารงานบุคคล โดยนำเทคโนโลยีดิจิทัลต่างๆ มาประยุกต์ใช้เพื่อสนับสนุนการทำงานและเพิ่มประสิทธิภาพในการบริหารจัดการระบบสารสนเทศและการสื่อสารข้อมูลอย่างต่อเนื่อง เช่น ด้านโรงกลั่น มีการใช้ระบบ Data Analytic ช่วยในการปรับปรุงประสิทธิภาพในการผลิต การใช้เทคโนโลยี 5G ในการบริหารความปลอดภัยในพื้นที่ปฏิบัติงานโรงกลั่น การใช้เทคโนโลยี GPS ในการบริหารจัดการข้อมูลและควบคุมค่าใช้จ่ายในการขนส่งส่วนด้านการตลาด มีการใช้ Digital Card เพื่อเพิ่มช่องทางในการขยายฐานสมาชิกบัตรบางจาก และมีการใช้ระบบ Data Analytic ช่วยในการวิเคราะห์ข้อมูลด้านการตลาดเพื่อจัดทำแผนการตลาดรายบุคคลให้ตอบโจทย์ความต้องการของลูกค้าเพิ่มขึ้น รวมถึงการให้สมาชิกบัตรบางจากประเมินความพึงพอใจในงานบริการผ่านโมบายล์แอพพลิเคชั่น เพื่อการปรับปรุงคุณภาพงานบริการอย่างต่อเนื่อง นอกจากนี้ยังมีการนำเอา RPA (Robotic Process Automation) มาใช้ในกระบวนการที่มีข้อมูลปริมาณมากและมีการทำงานซ้ำ ๆ

บริษัทฯ มีช่องทางและกระบวนการสื่อสารกับบุคลากรภายในองค์กร เพื่อสร้างความรู้ความเข้าใจในประเด็นต่าง ๆ อย่างถูกต้องรวดเร็วผ่านช่องทางการสื่อสารหลากหลายรูปแบบ เพื่อให้มั่นใจว่าสารนั้น ๆ ถึงผู้รับ เช่น ระบบอินทราเน็ต จดหมายอิเล็กทรอนิกส์ เสียงตามสาย หน้าจอคอมพิวเตอร์พนักงาน ป้ายประกาศดิจิทัล และยังมีการเสริมด้วยช่องทางไลน์ นอกจากนี้ได้จัดให้มีการสื่อสารกับผู้มีส่วนได้เสียภายนอกองค์กรผ่านช่องทางสื่อสารต่าง ๆ โดยเฉพาะอย่างยิ่งช่องทางออนไลน์ซึ่งเป็นช่องทางสื่อสารที่ได้รับความนิยมด้วยความรวดเร็วในการสื่อข้อมูล เช่น เว็บไซต์และเฟสบุ๊คองค์กร เพื่อให้เข้าถึงและใช้งานง่าย สามารถค้นหาข้อมูลผ่านอุปกรณ์เคลื่อนที่ได้ทันที เพื่อตอบสนองความต้องการใช้งานได้อย่างรวดเร็วและมีประสิทธิภาพ

บริษัทฯ จัดให้มีช่องทางการร้องเรียนและการแจ้งข้อมูลหรือเบาะแสเกี่ยวกับการทุจริตจากพนักงานและ ผู้มีส่วนได้เสียอื่น โดยสามารถแจ้งผ่านช่องทางโทรศัพท์ ทางจดหมายอิเล็กทรอนิกส์ หรือจดหมายธรรมดา ซึ่งจะได้รับความคุ้มครองและเข้าสู่กระบวนการสืบสวนหาข้อเท็จจริงและดำเนินการแก้ไขต่อไป

บริษัทฯ มีระบบการติดตามการปฏิบัติตามระบบการควบคุมภายในที่วางไว้ มีส่วนควบคุมภายในทำหน้าที่จัดให้มีการประเมินการควบคุมภายใน (Control Self-Assessment : CSA) ระดับองค์กรโดยผู้บริหารที่เกี่ยวข้อง เพื่อประเมินความเพียงพอและเหมาะสมของระบบการควบคุมภายใน รวมถึงจัดให้มีการประเมินการควบคุมภายในระดับกระบวนการโดยเจ้าของกระบวนการทำงานในรูปแบบการประชุมเชิงปฏิบัติการสำหรับกระบวนการทำงานที่สำคัญ และมีฝ่ายตรวจสอบภายในทำหน้าที่ประเมินความเพียงพอของระบบการควบคุมภายในตามแผนการตรวจสอบที่ได้รับอนุมัติจากคณะกรรมการตรวจสอบ เพื่อให้ข้อเสนอแนะในการพัฒนาระบบการควบคุมภายในให้มีประสิทธิผลดียิ่งขึ้น ทั้งนี้หากพบข้อบกพร่องของการควบคุมภายใน ฝ่ายตรวจสอบภายในได้มีการติดตามการแก้ไข เพื่อให้มั่นใจว่าการปฏิบัติงานจะเป็นไปตามเป้าหมาย