นโยบายหลักของบริษัท Univerza

1. วัตถุประสงค์

นโยบายฉบับนี้กำหนดหลักการ ข้อกำหนดขั้นต่ำ และความรับผิดชอบร่วมที่ทุกหน่วยงาน บุคลากร ผลิตภัณฑ์ และระบบของ Univerza ต้องยึดถือ เพื่อให้การดำเนินธุรกิจเป็นไปอย่างมีธรรมาภิบาล โปร่งใส ปลอดภัย เคารพสิทธิของบุคคล ใช้ข้อมูลอย่างรับผิดชอบ และสามารถแสดงหลักฐานการปฏิบัติตามได้

นโยบายฉบับนี้ทำหน้าที่เป็น นโยบายแม่ของบริษัท สำหรับเชื่อมโยงนโยบาย มาตรฐาน ขั้นตอน และภาคผนวกเฉพาะผลิตภัณฑ์ โดยไม่แทนที่รายละเอียดในเอกสารเฉพาะด้าน

2. ขอบเขตการบังคับใช้

นโยบายนี้ใช้กับ:

• กรรมการ ผู้บริหาร พนักงาน ลูกจ้างชั่วคราว ผู้ฝึกงาน และบุคลากรทุกประเภทของ Univerza
• ผู้รับจ้าง ที่ปรึกษา ผู้ให้บริการ ผู้ประมวลผลข้อมูล และบุคคลภายนอกที่ได้รับสิทธิ์เข้าถึงระบบ ข้อมูล หรือสถานที่ของ Univerza
• บริษัท หน่วยงาน โครงการ ผลิตภัณฑ์ Application เว็บไซต์ API ระบบภายใน โครงสร้างพื้นฐาน และบริการ Cloud ที่ Univerza เป็นเจ้าของ ควบคุม พัฒนา หรือว่าจ้าง
• ข้อมูลทุกประเภทที่ Univerza สร้าง รับ เก็บ ใช้ เปิดเผย ส่งต่อ สำรอง หรือทำลาย ไม่ว่าจะอยู่ในรูปแบบดิจิทัลหรือเอกสาร

ข้อกำหนดตามกฎหมาย สัญญา หรือข้อผูกพันกับลูกค้าที่เข้มงวดกว่านโยบายนี้ยังคงมีผลบังคับใช้

3. หลักการของบริษัท

Univerza กำหนดให้การตัดสินใจและการปฏิบัติงานยึดหลักดังต่อไปนี้:

1. ปฏิบัติอย่างถูกต้องและมีความรับผิดชอบ: ปฏิบัติตามกฎหมาย สัญญา นโยบาย และอำนาจอนุมัติที่เกี่ยวข้อง พร้อมรับผิดชอบต่อผลของการตัดสินใจ
2. คำนึงถึงความเสี่ยง: ระบุ ประเมิน จัดการ และติดตามความเสี่ยงก่อนตัดสินใจหรือเปลี่ยนแปลงสิ่งที่มีผลกระทบสำคัญ
3. คุ้มครองบุคคลและข้อมูล: เคารพสิทธิ ความเป็นส่วนตัว และความคาดหวังที่ชอบด้วยกฎหมายของผู้ใช้ ลูกค้า บุคลากร และคู่ค้า
4. ปลอดภัยตั้งแต่การออกแบบ: ออกแบบ พัฒนา และดำเนินงานโดยให้ความมั่นคงปลอดภัยและความเป็นส่วนตัวเป็นข้อกำหนดตั้งแต่เริ่มต้น ไม่ใช่การแก้ไขภายหลัง
5. ใช้ข้อมูลอย่างมีคุณค่าและมีขอบเขต: ใช้ข้อมูลตามวัตถุประสงค์ที่ชัดเจน เท่าที่จำเป็น มีคุณภาพ มีเจ้าของ และเก็บรักษาไม่นานเกินความจำเป็น
6. โปร่งใสและตรวจสอบย้อนหลังได้: การอนุมัติ การเปลี่ยนแปลง เหตุการณ์ ข้อยกเว้น และการตัดสินใจสำคัญต้องมีหลักฐานที่ค้นหาและตรวจสอบได้
7. แบ่งแยกหน้าที่อย่างเหมาะสม: ผู้เสนอ ผู้ตรวจสอบ และผู้อนุมัติเรื่องที่มีความเสี่ยงสำคัญควรแยกจากกันเพื่อลดความผิดพลาดและผลประโยชน์ทับซ้อน
8. รักษาความต่อเนื่องของบริการ: บริการสำคัญต้องมีการสำรอง แผนตอบสนองเหตุการณ์ แผนความต่อเนื่อง และความสามารถในการกู้คืนที่เหมาะสม
9. ปรับปรุงอย่างต่อเนื่อง: ใช้ข้อร้องเรียน เหตุการณ์ ผลตรวจสอบ ตัวชี้วัด และบทเรียนจากการปฏิบัติงานเพื่อปรับปรุง Control และวิธีทำงาน

4. ลำดับชั้นและการใช้เอกสารกำกับดูแล

เอกสารกำกับดูแลของ Univerza ใช้ตามลำดับดังนี้:

1. กฎหมาย คำสั่งของหน่วยงานกำกับ สัญญา และข้อผูกพันภายนอก
2. กรอบธรรมาภิบาลและกฎบัตรองค์กร
3. นโยบายหลักของบริษัทฉบับนี้
4. นโยบายเฉพาะด้าน เช่น Privacy, Security, Data Governance, Risk และ Compliance
5. มาตรฐาน ขั้นตอน คู่มือ แผน และแม่แบบ
6. Product Annex และข้อกำหนดเฉพาะ Application หรือบริการ
7. Record, Register, Log, Report และหลักฐานการปฏิบัติงาน

หากข้อกำหนดขัดแย้งกัน ให้ใช้ข้อกำหนดที่มาจากอำนาจสูงกว่าหรือให้การคุ้มครองที่เข้มงวดกว่า และส่งเรื่องให้ Document Owner กับหน่วยงาน Legal, Risk, Privacy หรือ Security ที่เกี่ยวข้องพิจารณา ห้ามลด Control ของบริษัทโดยไม่มีการอนุมัติข้อยกเว้น

5. ข้อกำหนดขั้นต่ำของบริษัท

5.1 ธรรมาภิบาลและการตัดสินใจ

• ทุกเรื่องสำคัญต้องมีเจ้าของ ผู้มีอำนาจอนุมัติ ขอบเขตการตัดสินใจ และหลักฐานการอนุมัติที่ชัดเจน
• ต้องจัดการผลประโยชน์ทับซ้อน แบ่งแยกหน้าที่ และยกระดับเรื่องที่เกินอำนาจตาม Delegation of Authority
• เอกสารกำกับดูแลต้องมีรหัส เวอร์ชัน สถานะ เจ้าของ ผู้อนุมัติ วันที่มีผล และรอบทบทวน

5.2 บุคลากรและการใช้งานทรัพยากร

• บุคลากรและผู้รับจ้างต้องใช้ระบบ ข้อมูล บัญชี และอุปกรณ์ของบริษัทเพื่อวัตถุประสงค์ที่ได้รับอนุญาต
• สิทธิ์เข้าถึงต้องให้ตามความจำเป็นต่อหน้าที่ ทบทวนเป็นระยะ และยกเลิกเมื่อไม่จำเป็น
• ผู้เกี่ยวข้องต้องได้รับการสื่อสารหรืออบรมตามบทบาท และรายงานเหตุผิดปกติ การละเมิด หรือความเสี่ยงโดยเร็ว

5.3 ความเป็นส่วนตัวและข้อมูลส่วนบุคคล

• การเก็บ ใช้ เปิดเผย หรือโอนข้อมูลส่วนบุคคลต้องมีวัตถุประสงค์ ฐานกฎหมาย และข้อความแจ้งที่เหมาะสม
• ต้องเก็บข้อมูลเท่าที่จำเป็น รองรับสิทธิของเจ้าของข้อมูล และจัดการเหตุละเมิดข้อมูลตามขั้นตอนที่กำหนด
• การเปลี่ยนแปลงที่อาจมีความเสี่ยงสูงต่อบุคคลต้องผ่าน Privacy Impact Assessment ก่อนใช้งานจริง

5.4 ความมั่นคงปลอดภัยสารสนเทศ

• ระบบต้องใช้การยืนยันตัวตน การควบคุมสิทธิ์ การเข้ารหัส การบันทึกเหตุการณ์ การบริหารช่องโหว่ และการสำรองข้อมูลตามระดับความเสี่ยง
• การพัฒนาซอฟต์แวร์ต้องมีการทบทวน อนุมัติ ทดสอบ และแยกสภาพแวดล้อมอย่างเหมาะสม
• เหตุการณ์ด้านความมั่นคงปลอดภัยต้องถูกจำแนก ควบคุมผลกระทบ แจ้งผู้เกี่ยวข้อง เก็บหลักฐาน และทบทวนบทเรียน

5.5 ธรรมาภิบาลข้อมูล

• ชุดข้อมูลสำคัญต้องมี Data Owner หรือ Data Steward มีการจำแนกชั้นข้อมูล และมีข้อกำหนดการเข้าถึง การแบ่งปัน คุณภาพ และอายุการเก็บรักษา
• การนำเข้า ส่งออก วิเคราะห์ หรือใช้ข้อมูลกับ AI ต้องมีวัตถุประสงค์ ผู้รับผิดชอบ การตรวจสอบคุณภาพ และข้อจำกัดการใช้งานที่ชัดเจน
• ข้อมูลที่หมดความจำเป็นต้องถูกทำลาย ทำให้ไม่สามารถระบุตัวบุคคล หรือเก็บรักษาต่อโดยมีเหตุผลที่ได้รับอนุมัติ

5.6 ผลิตภัณฑ์ Application และบริการ

• ทุก Application ต้องมีเจ้าของ ขอบเขตบริการ ผู้ใช้เป้าหมาย ระบบและข้อมูลที่เกี่ยวข้อง รวมถึงผู้ให้บริการภายนอกที่พึ่งพา
• ต้องระบุเอกสารของบริษัทที่ใช้บังคับ จัดทำ Product Annex เมื่อมีข้อกำหนดเฉพาะ และเก็บ Risk Register, Data Flow และ Control Mapping ที่เป็นปัจจุบัน
• การเปลี่ยนแปลงสำคัญต้องผ่านการตรวจด้าน Product, Security, Privacy, Data, Legal และ Operations ตามความเสี่ยงก่อนเผยแพร่

5.7 ผู้ให้บริการและบุคคลภายนอก

• ต้องประเมินความเหมาะสม ความเสี่ยง ความมั่นคงปลอดภัย ความเป็นส่วนตัว ความต่อเนื่อง และเงื่อนไขสัญญาก่อนเริ่มใช้งาน
• สัญญาต้องกำหนดหน้าที่ การใช้และคืนข้อมูล การแจ้งเหตุ สิทธิ์ตรวจสอบ ผู้ประมวลผลช่วง และการสิ้นสุดบริการตามความเหมาะสม
• เจ้าของบริการต้องติดตามผลการให้บริการ ความเสี่ยง และการเปลี่ยนแปลงของผู้ให้บริการตลอดอายุสัญญา

5.8 ความเสี่ยง การปฏิบัติตามข้อกำหนด และการตรวจสอบ

• ความเสี่ยงที่มีนัยสำคัญต้องมีเจ้าของ แผนจัดการ กำหนดเวลา สถานะ และการยอมรับความเสี่ยงที่เหลืออยู่
• ต้องติดตามกฎหมาย สัญญา มาตรฐาน และข้อผูกพันที่เกี่ยวข้อง พร้อมแปลงเป็นหน้าที่และ Control ที่ปฏิบัติได้
• Univerza อาจตรวจสอบระบบ กระบวนการ และหลักฐานเพื่อยืนยันการปฏิบัติตาม และเจ้าของขอบเขตต้องแก้ไขข้อบกพร่องตามระดับความเสี่ยง

6. บทบาทและความรับผิดชอบ

• Board / CEO: อนุมัตินโยบาย กำหนดทิศทาง และกำกับความเสี่ยงหรือข้อยกเว้นที่มีผลกระทบสูง
• Executive Owner: เป็นเจ้าของนโยบายแม่ ประสานการนำไปใช้ และรายงานประเด็นสำคัญต่อผู้มีอำนาจกำกับ
• Governance Lead: ดูแลทะเบียนเอกสาร ลำดับชั้น เวอร์ชัน การทบทวน การสื่อสาร และความเชื่อมโยงระหว่างนโยบาย
• Legal, Risk & Compliance, Privacy / DPO, Information Security และ Internal Audit: แปลข้อผูกพันเป็นข้อกำหนด ให้คำแนะนำ ตรวจสอบ และยกระดับความเสี่ยงตามหน้าที่
• Product, Application, System, Service และ Data Owners: ระบุข้อกำหนดที่เกี่ยวข้อง นำ Control ไปใช้ เก็บหลักฐาน และทบทวนความเพียงพอในขอบเขตของตน
• People Managers: ทำให้บุคลากรเข้าใจหน้าที่ จัดการสิทธิ์ตามบทบาท และแก้ไขการไม่ปฏิบัติตาม
• บุคลากร ผู้รับจ้าง และบุคคลภายนอก: ปฏิบัติตามข้อกำหนด ใช้ทรัพยากรอย่างเหมาะสม ปกป้องข้อมูล และรายงานเหตุหรือข้อกังวลโดยสุจริต

7. การนำไปใช้กับ Application และผลิตภัณฑ์

เจ้าของ Application หรือผลิตภัณฑ์ต้องดำเนินการอย่างน้อยดังนี้:

1. ลงทะเบียน Application และกำหนดผู้รับผิดชอบหลัก
2. ระบุข้อมูล ระบบ Repository โครงสร้างพื้นฐาน และผู้ให้บริการที่อยู่ในขอบเขต
3. เลือกนโยบายและมาตรฐานของบริษัทที่เกี่ยวข้อง
4. จัดทำ Product Annex สำหรับข้อกำหนดเฉพาะ โดย Annex เพิ่มความเข้มงวดได้แต่ห้ามลด Control ของบริษัทโดยพลการ
5. บันทึก Risk, Data Flow, การประเมิน Privacy/Security และ Control Mapping ตามความเหมาะสม
6. เก็บหลักฐานจากการอนุมัติ การทดสอบ การเผยแพร่ การติดตาม และการแก้ไขให้อ้างอิงย้อนหลังได้

8. ข้อยกเว้นและการยอมรับความเสี่ยง

เมื่อไม่สามารถปฏิบัติตามข้อกำหนดได้ เจ้าของขอบเขตต้องยื่นคำขอยกเว้นตาม UNI-GOV-007 ก่อนดำเนินการหรือโดยเร็วที่สุดเมื่อเป็นเหตุฉุกเฉิน คำขอต้องระบุ:

• ข้อกำหนดและขอบเขตที่ขอยกเว้น
• เหตุผล ผลกระทบ และความเสี่ยงที่เหลืออยู่
• Compensating Controls หรือมาตรการชดเชย
• เจ้าของความเสี่ยง ผู้อนุมัติ วันเริ่มต้น และวันหมดอายุ
• แผนกลับเข้าสู่ข้อกำหนดปกติและวิธีติดตาม

ข้อยกเว้นไม่ถือเป็นการแก้ไขนโยบายและต้องได้รับการทบทวนก่อนหมดอายุ

9. การติดตามและหลักฐานขั้นต่ำ

แต่ละหน่วยงานต้องเก็บหลักฐานตามความเสี่ยงและข้อกำหนดที่เกี่ยวข้อง อย่างน้อยประกอบด้วย:

• บันทึกการอนุมัติ การตัดสินใจ และประวัติการเปลี่ยนแปลง
• ทะเบียน Application, System, Data, Vendor, Risk และ Exception ที่เกี่ยวข้อง
• หลักฐานการกำหนดและทบทวนสิทธิ์ การอบรม หรือการรับทราบ
• ผลการประเมิน การทดสอบ การเฝ้าระวัง การตรวจสอบ และการแก้ไขข้อบกพร่อง
• บันทึกเหตุการณ์ การแจ้งเหตุ การตอบสนอง และบทเรียนหลังเหตุการณ์

หลักฐานต้องถูกต้อง เชื่อมโยงกับเจ้าของและช่วงเวลา เก็บรักษาตามข้อกำหนด และป้องกันการแก้ไขหรือเข้าถึงโดยไม่ได้รับอนุญาต

10. การรายงานและการจัดการการไม่ปฏิบัติตาม

ผู้ที่พบการละเมิด เหตุผิดปกติ หรือจุดอ่อนต้องรายงานผ่านช่องทางที่บริษัทกำหนดโดยเร็ว Univerza จะประเมินผลกระทบ ควบคุมความเสียหาย เก็บรักษาหลักฐาน แจ้งผู้เกี่ยวข้อง และติดตามการแก้ไขตามระดับความเสี่ยง

การไม่ปฏิบัติตามอาจนำไปสู่การจำกัดสิทธิ์ การแก้ไขทางวินัย การทบทวนสัญญา การเรียกค่าเสียหาย หรือการดำเนินการตามกฎหมาย โดยพิจารณาตามข้อเท็จจริง ความร้ายแรง เจตนา และกฎหมายที่ใช้บังคับ ผู้รายงานโดยสุจริตต้องไม่ถูกตอบโต้

11. การอนุมัติ การสื่อสาร และการทบทวน

• นโยบายฉบับที่มีผลต้องได้รับอนุมัติจาก Board / CEO และกำหนด Effective Date
• Governance Lead ต้องสื่อสารนโยบายแก่ผู้เกี่ยวข้อง และกำหนดการอบรมหรือการรับทราบตามบทบาทและความเสี่ยง
• ทบทวนอย่างน้อยปีละครั้ง และเมื่อมีกฎหมาย สัญญา โครงสร้างองค์กร กลยุทธ์ ผลิตภัณฑ์ ระบบ ข้อมูล Vendor หรือความเสี่ยงเปลี่ยนแปลงอย่างมีนัยสำคัญ
• การแก้ไขต้องผ่านการควบคุมเวอร์ชัน การทบทวนผลกระทบ และการอนุมัติตาม UNI-GOV-005

12. เอกสารที่เกี่ยวข้อง

• UNI-GOV-001 — กรอบธรรมาภิบาล ความน่าเชื่อถือ ข้อมูล และความมั่นคงปลอดภัยของ Univerza
• UNI-GOV-002 — กฎบัตรธรรมาภิบาลองค์กร
• UNI-GOV-003 — มาตรฐานบทบาท ความรับผิดชอบ และตาราง RACI
• UNI-GOV-004 — มาตรฐานการมอบอำนาจอนุมัติ
• UNI-GOV-005 — นโยบายกำกับดูแลและควบคุมเอกสาร
• UNI-GOV-006 — มาตรฐานธรรมาภิบาลผลิตภัณฑ์และภาคผนวกผลิตภัณฑ์
• UNI-GOV-007 — ขั้นตอนการขอยกเว้นนโยบายและยอมรับความเสี่ยง
• นโยบาย มาตรฐาน ขั้นตอน แผน แบบฟอร์ม และ Product Annex ที่อยู่ในทะเบียนเอกสารธรรมาภิบาลของ Univerza

13. เกณฑ์ก่อนนำขึ้น Production

• ☐ Executive Owner ตรวจความครบถ้วนและยืนยันว่าข้อกำหนดสอดคล้องกับการปฏิบัติงานจริง
• ☐ Governance, Legal, Risk, Privacy, Security, Data และ Product Owners ตรวจส่วนที่เกี่ยวข้อง
• ☐ Board / CEO อนุมัติและกำหนด Effective Date
• ☐ กำหนดเจ้าของและแผนนำไปใช้สำหรับหน่วยงานและ Application ที่อยู่ในขอบเขต
• ☐ เตรียมการสื่อสาร การอบรม การรับทราบ และหลักฐานที่เกี่ยวข้อง
• ☐ เปลี่ยน approval_status เป็น approved, target_environment เป็น production และ production_eligible เป็น true