การควบคุมภายในและการบริหารความเสี่ยง

บริษัทฯ ได้แต่งตั้งคณะกรรมการบริหารความเสี่ยงทั้งองค์กร (Enterprise-wide Risk Management Committee: ERMC) ซึ่งมีหน้าที่กำกับดูแลการบริหารความเสี่ยงทั้งองค์กร พัฒนาระบบการจัดการบริหารความเสี่ยงทั้งองค์กรให้มีประสิทธิภาพอย่างต่อเนื่อง โดยอ้างอิงตามมาตรฐานสากล ISO 31000 ซึ่งครอบคลุมความเสี่ยงทางกลยุทธ์ การปฏิบัติการ การเงินและความเสี่ยงทางด้านความน่าเชื่อถือ ซึ่งหมายถึงความเสี่ยงด้านความปลอดภัยและอาชีวอนามัย ผลกระทบต่อสิ่งแวดล้อม สังคม ชุมชน การปฏิบัติตามข้อกฎหมาย และความเสี่ยงต่อการเกิดทุจริตคอร์รัปชัน เป็นต้น ทั้งนี้ กระบวนการบริหารความเสี่ยงครอบคลุมในทุกระดับขององค์กร ได้แก่ ระดับองค์กรกลุ่มธุรกิจ/กลุ่มงาน ส่วนงาน และกระบวนการทำงาน อีกทั้งยังมีกระบวนการในการจัดทำแผนบริหารความเสี่ยงของโครงการลงทุนในทุกๆ โครงการทั้งในและต่างประเทศ และเพื่อให้ธุรกิจเกิดการพัฒนาอย่างยั่งยืนไปกับสิ่งแวดล้อม สังคม ภายใต้การกำกับดูแลองค์กร (Environmental, Social and Governance) คณะกรรมการบริหารความเสี่ยงทั้งองค์กรจึงได้ให้ความสำคัญต่อการบริหารความเสี่ยงของบริษัทในกลุ่ม/บริษัทร่วมทุนเพื่อให้สามารถดำเนินงานได้อย่างเหมาะสม เฝ้าระวังและติดตามผลกระทบในภาพรวมเพื่อให้เกิดการควบคุมความเสี่ยงให้อยู่ในระดับที่ยอมรับได้ซึ่งในภาพรวมกลุ่มบริษัทฯ สามารถดำเนินการจัดการความเสี่ยงบรรลุผลได้ตามเป้าหมาย

ทั้งนี้บริษัทฯได้พิจารณานโยบายและบริหารจัดการความเสี่ยงหลักของบริษัทฯ ให้มีความเชื่อมโยงสอดคล้องกับเกณฑ์รางวัลคุณภาพแห่งชาติ และ Dow Jones Sustainability Indices (DJSI) ควบคู่ไปกับกระบวนการจัดทำแผนยุทธศาสตร์องค์กร ซึ่งมีการกำหนดสถานการณ์ต่างๆ ที่คาดว่าจะเกิดขึ้นเพื่อให้สามารถปรับเปลี่ยนการดำเนินการให้สอดคล้องกับสถานการณ์ที่เกิดขึ้นจริงอีกทั้งได้นำดัชนีชี้วัดความเสี่ยง (Key Risk Indicator: KRI) มาใช้ในกระบวนการติดตามการเฝ้าระวังโอกาสการเกิดขึ้นของความเสี่ยงนั้นๆ เพื่อนำมาปรับปรุงและจัดทำแผนบริหารจัดการจัดการความเสี่ยงรองรับเพิ่มเติม เพื่อลดผลกระทบต่อเป้าหมายขององค์กรและมีการควบคุมความเสี่ยงสำคัญระดับองค์กรให้อยู่ในระดับที่ยอมรับได้เพื่อให้บรรลุผลตามเป้าหมาย

นอกจากนี้ เพื่อให้องค์กรสามารถรับมือต่อความเสี่ยงที่ไม่คาดหมาย ซึ่งส่งผลกระทบต่อความสามารถในการดำเนินธุรกิจเช่น กรณีเกิดวิกฤตการณ์ต่อโรงกลั่นน้ำมัน การคุกคามจากภัยด้าน Cybersecurity ภัยพิบัติทางธรรมชาติ การก่อวินาศกรรมเหตุการณ์เปลี่ยนแปลงทางการเมือง และอุบัติการณ์ต่างๆ โดยคณะทำงานบริหารความต่อเนื่องทางธุรกิจ (Business Continuity Management Taskforce) ทำหน้าที่ในการพัฒนาระบบเตรียมความพร้อมด้านกลยุทธ์ กระบวนการ ทรัพยากรและทบทวนแผนในการรับมือกับความเสี่ยงและภาวะวิกฤตที่อาจเกิดขึ้นให้มีประสิทธิผลมากขึ้น เพื่อให้บริษัทฯ สามารถดำเนินธุรกิจต่อไปได้ในภาวะฉุกเฉิน ไม่หยุดชะงัก และลดผลกระทบที่อาจเกิดขึ้น บริษัทฯ ได้รับการรับรองมาตรฐานการบริหารความต่อเนื่องทางธุรกิจ ISO 22301 : 2019 อย่างต่อเนื่องจนปัจจุบัน ซึ่งครอบคลุมพื้นที่สำนักงานใหญ่ โรงกลั่นน้ำมันบางจากพระโขนง และศูนย์จ่ายน้ำมันบางจาก สำนักงานธุรกิจภาคกลางและศูนย์จ่ายน้ำมันบางปะอิน ซึ่งเป็นการรับรองว่าบริษัทฯมีระบบในการเตรียมพร้อมรองรับภาวะวิกฤต และบริหารความต่อเนื่องทางธุรกิจ ให้มีประสิทธิภาพตามมาตรฐานสากลและสร้างความเชื่อมั่นต่อผู้มีส่วนได้เสียว่าบริษัทฯ จะสามารถรับมือและตอบสนองต่อเหตุการณ์วิกฤตและส่งมอบผลิตภัตภัณฑ์ได้อย่างต่อเนื่อง

บริษัทฯ มีกิจกรรมการควบคุม โดยใช้ดัชนีวัดผลการปฏิบัติงาน (KPI) เป็นเครื่องมือในการวางแผนและควบคุม มีการแบ่งแยกหน้าที่ความรับผิดชอบเพื่อตรวจสอบซึ่งกันและกัน มีการทบทวนและกำหนดขอบเขตอำนาจหน้าที่และวงเงินอำนาจอนุมัติในแต่ละระดับเพื่อความเหมาะสมต่อการดำเนินธุรกิจ มีการนำเทคโนโลยีการลงลายมือชื่อทางอิเล็กทรอนิกส์มาใช้เพื่อความคล่องตัวทางธุรกิจ ขณะเดียวกันยังมีการถ่วงดุลและตรวจสอบอำนาจจากหน่วยงานและคณะกรรมการที่ได้รับการแต่งตั้งโดยเฉพาะ เช่น ฝ่ายตรวจสอบภายใน คณะกรรมการลงทุนและคณะกรรมการบริหารความเสี่ยงทั้งองค์กร เป็นต้น

บริษัทฯ มีการจัดทำเอกสารหลักฐานให้มีการแบ่งส่วนและบุคคลผู้รับผิดชอบหากมีข้อผิดพลาดเกิดขึ้น มีการดูแลป้องกันทรัพย์สินของบริษัทฯไม่ให้สูญหาย หรือใช้ในทางที่ไม่เหมาะสมมีการติดตามธุรกรรมที่มีผลผูกพันบริษัทฯ ระยะยาว โดยให้ปฏิบัติตามเงื่อนไขที่ตกลงไว้ มีมาตรการป้องกันไม่ให้นำโอกาสหรือประโยชน์ของบริษัทฯ ไปใช้เพื่อประโยชน์ส่วนตน และมีการสื่อสารเพื่อเน้นย้ำวิธีปฏิบัติในการบริหารจัดการและควบคุมข้อมูลภายในบริษัท เพื่อให้ทุกหน่วยงานมีการบริหารจัดการและการควบคุมดูแลข้อมูลภายในบริษัทฯ อย่างมีประสิทธิผลและไม่ก่อให้เกิดความเสียหายต่อบริษัทฯ อย่างต่อเนื่อง

บริษัทฯ มีการกำหนดวิธีการเพื่อให้แน่ใจว่าได้ปฏิบัติตามกฎหมายข้อบังคับที่เกี่ยวข้อง รวมถึงกระบวนการปฏิบัติงานที่สำคัญมีการพัฒนาระบบเทคโนโลยีที่ใช้ในการปฏิบัติงานเพื่อให้เกิดการควบคุมภายในที่ดียิ่งขึ้น มีการกำหนดนโยบายการจัดการกระบวนการทำงาน เพื่อให้ความสำคัญกับการปฏิบัติงานอย่างถูกต้องตามกระบวนการทำงานที่ได้ออกแบบหรือกำหนดไว้ และมีการปรับปรุงกระบวนการทำงานอยู่เสมอเพื่อให้มีกระบวนการทำงานที่มีประสิทธิผลโดยคำนึงถึงจุดควบคุมและมาตรการการควบคุมเพื่อลดความเสี่ยง เป็นกระบวนการที่มีประสิทธิภาพมีความทันสมัย สอดคล้องกับทิศทางการดำเนินงานและเป้าหมายของบริษัทฯโดยใช้ระบบ e-Work Manual ในการติดตามการจัดทำและปรับปรุงคู่มือการทำงานให้เป็นปัจจุบันอยู่เสมอตลอดจนมีการให้ความรู้ทางกฎหมายแก่หน่วยงานต่างๆ เพื่อเสริมสร้างให้มีการปฏิบัติตามกฎหมายอย่างต่อเนื่อง

บริษัทฯ มีมาตรการที่รัดกุมเหมาะสมในกรณีที่บริษัทฯ มีการทำธุรกรรมกับผู้ถือหุ้นรายใหญ่ กรรมการ ฯลฯ เพื่อป้องกันการถ่ายเทผลประโยชน์ เช่น ต้องผ่านขั้นตอนการอนุมัติโดยผู้ไม่มีส่วนได้เสียในธุรกรรมนั้น รวมทั้งมีการเปิดเผยข้อมูลการทำธุรกรรมดังกล่าวตามระเบียบของสำนักงานคณะกรรมการกำกับหลักทรัพย์และตลาดหลักทรัพย์และเปิดเผยข้อมูลเกี่ยวกับบุคคลหรือกิจการที่เกี่ยวข้องกันตามมาตรฐานการบัญชี

บริษัทฯ มีการจัดตั้งคณะทำงานด้านบริหารจัดการความมั่นคงปลอดภัยสารสนเทศ (ISMS Management Team) เป็นผู้รับผู้รับผิดชอบกำกับดูแลและบริหารจัดการความมั่นคงปลอดภัยของระบบสารสนเทศ มีการทบทวนและปรับปรุงนโยบาย และข้อกำหนดการรักษาความปลอดภัยระบบเทคโนโลยีสารสนเทศ รวมถึงการวัดประสิทธิผล โดยมีระบบกรองจดหมายอิเล็กทรอนิกส์ (e-mail) ระบบป้องกันมัลแวร์ ระบบไฟร์วอลล์ ที่มีเทคโนโลยีขั้นสูงในการตรวจจับและป้องกันเพื่อให้เท่าทันภัยคุกคามใหม่ๆ ที่มีความซับซ้อนมากขึ้น มีการปรับปรุงวิธีการป้องกันภัยคุกคามด้านเทคโนโลยีสารสนเทศใหม่ๆ อย่างสม่ำเสมอ มีการบริหารจัดการข้อมูลส่วนบุคคลให้สอดคล้องตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล มีระบบเฝ้าระวังเหตุการณ์ผิดปกติและป้องกันภัยคุกคามตลอดเวลา พร้อมแผนรองรับสถานการณ์ของภัยคุกคามและซักซ้อมเป็นประจำ รวมถึงมีการสื่อสารให้พนักงานทราบถึงข้อกำหนดการรักษาความปลอดภัยระบบเทคโนโลยีสารสนเทศ และการให้ความรู้ถึงภัยคุกคามใหม่ๆ ที่มีความเสี่ยงตลอดจนวิธีการป้องกันภัยคุกคามอย่างสม่ำเสมอรวมถึงมีมาตรการเพื่อสร้างความตระหนักต่อภัยคุกคามที่สามารถสร้างความเสียหายให้กับธุรกิจ จนได้รับการรับรองมาตรฐานระบบบริหารความมั่นคงปลอดภัยสารสนเทศ (Information Security Management System) ISO/IEC 27001:2022 อีกทั้งยังได้รับการรับรองมาตรฐานด้านความปลอดภัยข้อมูลส่วนบุคคลบนระบบคลาวด์สาธารณะ ISO/IEC 27018 : 2019 และยังได้รับการยืนยันความสอดคล้อง (Letter of Compliance) ด้านการบริหารจัดการความมั่นคงปลอดภัยไซเบอร์ (Guidelines for Cybersecurity) ISO/IEC 27032 : 2012 ต่อเนื่องจนปัจจุบัน

บริษัทฯ มีแนวทางการกำกับดูแล และมีกระบวนการติดตามดูแลการดำเนินงานของบริษัทร่วมและบริษัทย่อยให้เป็นไปตามกลยุทธ์ทางธุรกิจ กรอบนโยบายและแนวปฏิบัติของบริษัทฯ อย่างสม่ำเสมอ โดยมีการควบคุมดูแลในด้านต่างๆ ผ่านคณะกรรมการและคณะทำงานได้แก่ คณะกรรมการบริหารความเสี่ยงทั้งองค์กร (Enterprise-wide Risk Management Committee: ERMC) คณะกรรมการตรวจสอบ (Audit Committee: AC) คณะทำงานที่ดูแลรับผิดชอบงานเกี่ยวกับการบริหารการลงทุน (Strategic Investment Management) และการวางแผนยุทธศาสตร์การส่งเสริมกระบวนการทำงานระหว่างบริษัทในเครือ (Subsidiary Synergy & Strategic Alignment)

บริษัทฯ มีการทบทวนแผนดิจิทัล (Digital Roadmap) อย่างต่อเนื่องทุกปี เพื่อให้สอดคล้องกับแผนกลยุทธ์ของบริษัทฯ ทั้งในส่วนของการบริหารงานด้านโรงกลั่น ด้านการตลาดและด้านระบบงานหลักที่สำคัญ ได้แก่ การเงิน บัญชี และด้านบริหารงานบุคคล โดยนำเทคโนโลยีดิจิทัลต่างๆ มาประยุกต์ใช้เพื่อสนับสนุนการทำงานและเพิ่มประสิทธิภาพในการบริหารจัดการระบบสารสนเทศและการสื่อสารข้อมูลอย่างต่อเนื่อง เช่น ด้านโรงกลั่นน้ำมัน มีการใช้ระบบ Data Analytic ช่วยในการปรับปรุงประสิทธิภาพในการผลิต การใช้เทคโนโลยี 5G ในการบริหารความปลอดภัยในพื้นที่ปฏิบัติงานโรงกลั่น การใช้เทคโนโลยี GPS ในการบริหารจัดการข้อมูลแผนการขนส่งน้ำมัน ความปลอดภัยในการขนส่งและควบคุมค่าใช้จ่ายในการขนส่ง ส่วนด้านการตลาด มีการใช้ Dital Card เพื่อเพิ่มช่องทางในการขยายฐานสมาชิกบัตรบางจาก รวมถึงมีการเชื่อมต่อระบบการโอนคะแนนระหว่างบางจากและพันธมิตรอย่างปลอดภัยและมีประสิทธิภาพ มีการใช้ระบบ VDO Analytic ที่สถานีบริการน้ำมันเพื่อนำมาปรับปรุงประสิทธิภาพในการให้บริการ และมีการใช้ Data Analytic ช่วยในการวิเคราะห์ข้อมูลด้านการตลาดและพฤติกรรมเชิงลึกของลูกค้าเพื่อนำมาจัดทำแผนการตลาดรายบุคคลให้ตอบโจทย์ความต้องการของลูกค้าเพิ่มขึ้น รวมถึงการให้สมาชิกบัตรบางจากประเมินความพึงพอใจในงานบริการผ่านโมไบล์แอปฟลิเคชัน เพื่อการปรับปรุงคุณภาพงานบริการอย่างต่อเนื่อง นอกจากนี้ ยังมีการนำเอา RPA (Robotic Process Automation) มาใช้ในกระบวนการที่มีข้อมูลปริมาณมากและมีการทำงานซ้ำๆ ซึ่งได้นำเทคโนโลยี Hyper Automation ที่เป็นการผสมผสานเทคโนโลยี RPA และ OCR(Optical Character Recognition) มาใช้ในกระบวนการจ่ายเงินให้กับคู่ค้าเพื่อเพิ่มประสิทธิภาพในการปฏิบัติงาน

นอกจากนี้บริษัทฯได้เล็งเห็นถึงศักยภาพของเทคโนโลยี Generative AI ในการเพิ่มประสิทธิภาพการทำงาน จึงได้จัดการอบรมเพื่อเสริมสร้างความรู้ให้กับพนักงานเกี่ยวกับแนวทางการใช้เทคโนโลยีดังกล่าว พร้อมทั้งสร้างความตระหนักรู้ในการนำเทคโนโลยีมาประยุกต์ใช้อย่างมีประสิทธิผลและเหมาะสมอีกทั้งบริษัทฯ ยังได้พัฒนา AI Chatbot สำหรับ Call Center เพื่อให้บริการตอบสนองคำถามของลูกค้าบัตรสมาชิกบางจากได้อย่างรวดเร็วมากขึ้น

บริษัทฯ มีช่องทางและกระบวนการสื่อสารกับบุคลากรภายในองค์กรเพื่อสร้างความรู้ความเข้าใจในประเด็นต่างๆ อย่างถูกต้องรวดเร็วผ่านช่องทางการสื่อสารหลากหลายรูปแบบ เพื่อให้มั่นใจว่าสารนั้นๆ ถึงผู้รับ เช่น ระบบอินทราเน็ต จดหมายอิเล็กทรอนิกส์เสียงตามสาย หน้าจอคอมพิวเตอร์พนักงาน ป้ายประกาศดิจิทัลนอกจากนี้ได้จัดให้มีการสื่อสารกับผู้มีส่วนได้เสียภายนอกองค์กรผ่านช่องทางสื่อสารต่างๆ โดยเฉพาะอย่างยิ่งช่องทางออนไลน์ซึ่งเป็นช่องทางสื่อสารที่ได้รับความนิยมด้วยความรวดเร็วในการสื่อข้อมูล เช่น เว็บไซต์และเฟซบุ๊กองค์กร เพื่อให้เข้าถึงและใช้งานง่าย สามารถค้นหาข้อมูลผ่านอุปกรณ์เคลื่อนที่ได้ทันที เพื่อตอบสนองความต้องการใช้งานได้อย่างรวดเร็วและมีประสิทธิภาพ

บริษัทฯ จัดให้มีช่องทางการร้องเรียนและการแจ้งข้อมูลหรือเบาะแสเกี่ยวกับการทุจริตจากพนักงานและผู้มีส่วนได้เสียอื่นโดยสามารถแจ้งผ่านช่องทางโทรศัพท์ ทางจดหมายอิเล็กทรอนิกส์หรือจดหมายธรรมดา ซึ่งจะได้รับความคุ้มครองและเข้าสู่กระบวนการสืบสวนหาข้อเท็จจริงและดำเนินการแก้ไขต่อไป

บริษัทฯ มีระบบการติดตามการปฏิบัติตามระบบการควบคุมภายในที่วางไว้ มีส่วนควบคุมภายในทำหน้าที่จัดให้มีการประเมินการควบคุมภายใน (Control Self-Assessment: CSA) ระดับองค์กรโดยผู้บริหารที่เกี่ยวข้อง เพื่อประเมินความเพียงพอและเหมาะสมของระบบการควบคุมภายใน และมีฝ่ายตรวจสอบภายในทำหน้าที่ประเมินความเพียงพอของระบบการควบคุมภายในที่ฝ่ายจัดการกำหนดขึ้นของบริษัทฯ และบริษัทย่อยตามแผนการตรวจสอบที่จัดทำขึ้นตามหลัก Risk-Based Approach ซึ่งได้รับอนุมัติจากคณะกรรมการตรวจสอบ เพื่อให้ข้อเสนอแนะในการปรับปรุงและพัฒนาระบบการควบคุมภายในให้ดีขึ้น ทั้งนี้หากพบข้อบกพร่องของการควบคุมภายในฝ่ายตรวจสอบภายในได้มีการติดตามการแก้ไข เพื่อให้มั่นใจว่าข้อบกพร่องดังกล่าวจะได้รับการแก้ไข