ข้อ 2 แนวทางปฏิบัติตามข้อ 2 มีรายละเอียดตามที่กําหนดในภาคผนวกที่แนบท้ายประกาศแนวปฏิบัตินี้ ทั้งนี้ รายละเอียดดังกล่าวได้แก่เรื่องดังต่อไปนี้
(1) ส่วนที่ 1 วัตถุประสงค์ของแนวทางปฏิบัติเรื่อง การบริหารความต่อเนื่องทางธุรกิจ (Business Continuity Management)
(2) ส่วนที่ 2 หน้าที่และความรับผิดชอบของคณะกรรมการบริษัทและผู้บริหารระดับสูง (Board of directors and senior management responsibility)
(3) ส่วนที่ 3 ผลกระทบจากเหตุฉุกเฉินที่อาจทําให้งานสําคัญหยุดชะงัก (Major operational disruptions)
(4) ส่วนที่ 4 บริษัทควรกําหนดเป้าหมายในการกู้คืนการดําเนินงานให้กลับคืนสู่สภาพการดําเนินงานปกติ (Recovery objective)
(5) ส่วนที่ 5 บริษัทต้องจัดให้มีแผนรองรับการดําเนินธุรกิจอย่างต่อเนื่อง (Business continuity planning)
(6) ส่วนที่ 6 การติดต่อสื่อสารกับผู้เกี่ยวข้อง (Communication)
(7) ส่วนที่ 7 การติดต่อสื่อสารข้ามประเทศ (Cross-border Communication)
(8) ส่วนที่ 8 บริษัทต้องทดสอบและประเมิน BCP (Training, Exercising and Auditing)
(9) ส่วนที่ 9 ตัวอย่างเหตุฉุกเฉินที่อาจทําให้งานสําคัญหยุดชะงัก (Major operation disruption)
ประกาศ ณ วันที่ 21 ตุลาคม พ.ศ. 2559
(นายรพี สุจริตกุล)
เลขาธิการ
สํานักงานคณะกรรมการกํากับหลักทรัพย์และตลาดหลักทรัพย์
**ภาคผนวก**
**ส่วนที่ 1 วัตถุประสงค์ของแนวทางปฏิบัติเรื่อง การบริหารความต่อเนื่องทางธุรกิจ (Business Continuity Management)**
สํานักงานจัดทําแนวปฏิบัตินี้ขึ้นเพื่อเป็นแนวทางปฏิบัติ โดยครอบคลุมประเด็นสําคัญ
ในการบริหารความต่อเนื่องทางธุรกิจ (BCM) ซึ่งผู้ประกอบธุรกิจแต่ละแห่งควรนําไปปรับใช้และกําหนดรายละเอียดวิธีปฏิบัติอย่างชัดเจนให้เหมาะสมกับขนาดและความซับซ้อนในการดําเนินธุรกิจของบริษัท นอกจากนี้ผู้ประกอบธุรกิจควรศึกษามาตรฐานและแนวปฏิบัติที่เกี่ยวกับการบริหารความต่อเนื่องทางธุรกิจจากหน่วยงานอื่นที่เกี่ยวข้อง เช่น Business continuity institute (BCI)[1](#fn1), International organization of securities commissions (IOSCO)[2](#fn2) เป็นต้น
**ส่วนที่ 2 หน้าที่และความรับผิดชอบของคณะกรรมการบริษัทและผู้บริหารระดับสูง (Board of directors and senior management responsibility)**
คณะกรรมการบริษัท (“คณะกรรมการ”) และผู้บริหารระดับสูงของผู้ประกอบธุรกิจเป็นผู้รับผิดชอบกําหนดกลยุทธ์และนโยบายการบริหารความต่อเนื่องทางธุรกิจ (Business continuity management: BCM) และแผนรองรับการดําเนินธุรกิจอย่างต่อเนื่อง (Business continuity plan : BCP) ของบริษัท ตลอดจนจัดสรรทรัพยากรและงบประมาณแก่หน่วยงานที่เกี่ยวข้องอย่างเพียงพอ นอกจากนี้ ต้องจัดให้มีการติดตามการปฏิบัติเป็นไปตามนโยบายและแผนดังกล่าว ทั้งนี้ คณะกรรมการและผู้บริหารระดับสูงอาจแต่งตั้งคณะทํางานเป็นผู้รับผิดชอบงานด้านปฏิบัติการได้แต่จะต้องติดตามดูแลการดําเนินการดังกล่าว
**ส่วนที่ 3 ผลกระทบจากเหตุฉุกเฉินที่อาจทําให้งานสําคัญหยุดชะงัก (Major operational disruptions)**
บริษัทต้องจัดให้มีการประเมินความเสี่ยงและโอกาสที่งานสําคัญจะหยุดชะงักจากเหตุฉุกเฉินที่อาจเกิดขึ้น รวมทั้งวิเคราะห์ผลกระทบทางธุรกิจและประเมินความเสียหายจากการหยุดชะงักของการดําเนินงานที่สําคัญ (Major operational disruptions) เพื่อให้บริษัทสามารถกําหนดลําดับความสําคัญของงาน และจัดสรรทรัพยากรในการบริหารการดําเนินธุรกิจอย่างต่อเนื่องได้อย่างมีประสิทธิภาพ โดยอย่างน้อยบริษัทควรทําการประเมินความเสี่ยงและวิเคราะห์ผลกระทบทางธุรกิจดังกล่าวปีละครั้งหรือเมื่อมีการเปลี่ยนแปลงอย่างมีนัยสําคัญที่ส่งผลต่อความเสี่ยงและผลกระทบที่จะเกิดขึ้นนั้น โดยควรปฏิบัติตามวิธีการดังนี้
3.1 *การระบุงานสําคัญ* (Critical business function) บริษัทควรคัดเลือกงานสําคัญที่พิจารณาว่าหากเกิดเหตุการณ์ฉุกเฉินแล้วงานดังกล่าวหยุดชะงัก จะส่งผลกระทบอย่างมีนัยสําคัญต่อลูกค้า การดําเนินธุรกิจ สถานะทางการเงิน หรือชื่อเสียงของบริษัท เช่น การส่งคําสั่งซื้อขายหลักทรัพย์การชําระราคาและส่งมอบหลักทรัพย์และทรัพย์สิน การขายและรับซื้อคืนหน่วยลงทุน การคํานวณมูลค่าทรัพย์สินสุทธิ (NAV) เป็นต้น
3.2 *การประเมินความเสี่ยง* (Risk assessment) บริษัทต้องทําการประเมินความเสี่ยงและโอกาสที่อาจทําให้งานสําคัญหยุดชะงัก โดยควรประเมินเหตุการณ์ฉุกเฉินที่ทําให้เกิดการหยุดชะงักและก่อให้เกิดความเสียหายและส่งผลกระทบทางธุรกิจทั้งในระยะสั้น ระยะปานกลาง และระยะยาว เช่น อาคารและสถานที่ทําการหรือสาขาได้รับความเสียหาย ระบบเทคโนโลยีสารสนเทศใช้งานไม่ได้ พนักงานไม่สามารถเข้าถึงหรือใช้งานอาคารได้ พนักงานไม่สามารถมาปฏิบัติงานทั้งกรณีชั่วคราวหรือถาวร เป็นต้น
3.3 *การวิเคราะห์ผลกระทบทางธุรกิจ* (Business impact analysis) บริษัทต้องวิเคราะห์ผลกระทบทางธุรกิจและประเมินความเสียหายจากการหยุดชะงักของงานสําคัญ เพื่อให้บริษัทสามารถกําหนดลําดับความสําคัญของงาน และจัดสรรทรัพยากรในการบริหารการดําเนินธุรกิจอย่างต่อเนื่องได้อย่างมีประสิทธิภาพ โดยพิจารณาถึงผลกระทบทั้งในรูปของตัวเงินและไม่ใช่ตัวเงินที่มีต่อลูกค้า พนักงาน บริษัทในเครือ อุปกรณ์ ทรัพย์สินและที่ทําการของบริษัท สถานะการเงิน ความเชื่อมั่นของลูกค้าและชื่อเสียงของบริษัท รวมถึงการปฏิบัติตามกฎระเบียบของทางการ เป็นต้น นอกจากนี้ ควรพิจารณาถึงผลกระทบในวงกว้างด้วย เช่น การลงทุนหรือการก่อภาระผูกพันของกองทุนรวมหรือกองทุนส่วนบุคคล ต้องคํานึงถึงกระบวนการชําระเงิน การส่งมอบหลักทรัพย์ ที่อาจกระทบต่อระบบตลาดโดยรวมด้วย หรือการขัดข้องของระบบคอมพิวเตอร์ที่ใช้ในการซื้อขายของบริษัทสมาชิกของตลาดหลักทรัพย์ฯ หากมีผลให้ไม่สามารถบันทึกการเสนอซื้อขายเข้ามาในระบบซื้อขายพร้อมกันหลายบริษัทและนานเกินกว่าที่ตลาดหลักทรัพย์ฯ กําหนด อาจเป็นส่วนหนึ่งที่ทําให้ตลาดหลักทรัพย์ฯ หยุดการซื้อขายทั้งหมดเป็นการชั่วคราวได้ เป็นต้น
**ส่วนที่ 4 บริษัทควรกําหนดเป้าหมายในการกู้คืนการดําเนินงานให้กลับคืนสู่สภาพการดําเนินงานปกติ (Recovery objective)**
4.1 บริษัทควรกําหนดระยะเวลาในการกลับคืนสู่สภาพการดําเนินงานปกติของแต่ละงานสําคัญ (Recovery time objectives) พร้อมทั้งจัดลําดับการกู้คืนการดําเนินงานของงานที่สําคัญทุกงานให้เหมาะสมกับผลกระทบที่อาจเกิดขึ้น
4.2 บริษัทควรพิจารณากําหนดประเภทของข้อมูล และชุดข้อมูลล่าสุดที่จะกู้คืนได้ (Recovery point objective) เพื่อให้บริษัทสามารถดําเนินงานได้อย่างต่อเนื่อง และไม่ส่งผลกระทบอย่างมีนัยสําคัญต่อลูกค้า การดําเนินธุรกิจ และการปฏิบัติตามกฎระเบียบ หากเกิดเหตุฉุกเฉิน เช่น ข้อมูลทรัพย์สินของลูกค้าและกองทุน รายการซื้อขายหลักทรัพย์หรือหน่วยลงทุน ข้อมูลมูลค่าทรัพย์สินสุทธิ (NAV) เป็นต้น ทั้งนี้ ข้อมูลล่าสุดที่จะกู้คืนได้อาจเป็นการกู้คืนข้อมูล ณ สิ้นวันก่อน หรือ 1 ชั่วโมงก่อนเกิดเหตุการณ์ฉุกเฉินแล้วแต่กรณี นอกจากนี้ ควรมีวิธีการในการจัดหาหรือจัดทําข้อมูลทดแทนข้อมูลสําคัญที่สูญหาย
4.3 หากบริษัทมีการใช้บริการจากผู้ให้บริการ (service provider) บริษัทควรร่วมกับผู้ให้บริการในการกําหนดระยะเวลากลับคืนสู่สภาพการดําเนินงานปกติและชุดข้อมูลที่จะกู้คืนล่าสุด เพื่อให้ได้เป้าหมายที่เหมาะสมและสามารถปฏิบัติได้จริง
ทั้งนี้ การกําหนดระยะเวลากลับคืนสู่สภาพการดําเนินงานปกติและชุดข้อมูลที่จะกู้คืนล่าสุดเป็นปัจจัยสําคัญในการกําหนดทรัพยากรที่ต้องการใช้จึงควรได้รับความเห็นชอบจากผู้บริหารระดับสูงและคณะกรรมการบริษัทหรือคณะทํางานที่ได้รับมอบหมาย
**ส่วนที่ 5 บริษัทต้องจัดให้มีแผนรองรับการดําเนินธุรกิจอย่างต่อเนื่อง (Business continuity planning)**
เพื่อให้งานสําคัญสามารถดําเนินต่อไปได้อย่างต่อเนื่อง บริษัทต้องจัดให้มี BCP ที่กําหนดไว้เป็นลายลักษณ์อักษรและได้รับอนุมัติจากผู้บริหารระดับสูงและคณะกรรมการบริษัทหรือคณะทํางานที่ได้รับมอบหมาย โดยควรจัดเก็บ BCP ดังกล่าวไว้ทั้งในและนอกสถานที่ทําการ
BCP จะต้องครอบคลุมทุกงานสําคัญของบริษัท ตลอดจนระบบงานที่สําคัญที่บริษัทใช้บริการจากผู้ให้บริการ (service provider) นอกจากนี้ บริษัทควรกําหนดรายละเอียดวิธีปฏิบัติไว้ใน BCP ให้เหมาะสมกับขนาดและความซับซ้อนของธุรกิจและครอบคลุมการหยุดชะงักที่อาจเกิดขึ้นทุกสถานการณ์ รวมทั้งกรณีเกิดเหตุฉุกเฉินเป็นเวลานานหรือส่งผลเสียหายครอบคลุมพื้นที่ในวงกว้าง เช่น การเกิดโรคระบาด การไฟฟ้าหรือการสื่อสารขัดข้องในหลายพื้นที่ เป็นต้น โดยให้ทุกหน่วยงานมีส่วนร่วมในการจัดทํา BCP เพื่อรองรับงานสําคัญของตนเอง ทั้งนี้ BCP ต้องมีรายละเอียดอย่างน้อย ดังนี้
5.1 *ขั้นตอนการปฏิบัติงานและผู้รับผิดชอบ* เพื่อให้บริษัทสามารถกลับมาดําเนินงานสําคัญได้ตามระยะเวลาที่กําหนดหลังจากเกิดการหยุดชะงักการดําเนินงาน บริษัทต้องกําหนดหน้าที่และ
ความรับผิดชอบของผู้ปฏิบัติงานแต่ละรายอย่างชัดเจน และจัดให้มีการสื่อสารและซักซ้อมความเข้าใจถึงหน้าที่ที่ต้องปฏิบัติ ตลอดจนกําหนดรายละเอียดวิธีปฏิบัติงานที่สามารถเข้าใจและปฏิบัติตามได้ว่าต้องปฏิบัติงานอะไร อย่างไร เมื่อไร และที่ไหน
5.2 *วิธีการและช่องทางติดต่อสื่อสารกับผู้เกี่ยวข้องทั้งภายในและภายนอกบริษัท* บริษัทต้องกําหนดวิธีการและช่องทางติดต่อสื่อสาร รายชื่อผู้เกี่ยวข้องทั้งภายในและภายนอกบริษัท ผู้รับผิดชอบ การติดต่อสื่อสาร รวมทั้งรายละเอียดข้อมูลที่จะเปิดเผยแก่ผู้เกี่ยวข้องอย่างชัดเจน บริษัทควรจัดทําผังการติดต่อพนักงาน (Call tree[3](#fn3)) และจัดทํารายชื่อลูกค้า ผู้ให้บริการหลักและผู้เกี่ยวข้องอื่นๆ รวมถึงข้อมูลที่สามารถใช้ในการติดต่อ เช่น หมายเลขโทรศัพท์สํานักงาน หมายเลขโทรศัพท์บ้าน หมายเลขโทรศัพท์เคลื่อนที่ หรือ E-mail เป็นต้น โดยบริษัทต้องปรับปรุงรายชื่อและข้อมูลที่ใช้ในการติดต่อให้เป็นปัจจุบันอยู่เสมอ นอกจากนี้บริษัทควรกําหนดช่องทางการสื่อสารเพิ่มเติม เช่น เว็บไซต์บริษัท SMS Call center หรือการเผยแพร่ผ่านสื่อต่างๆ เป็นต้น
5.3 *ทรัพยากรที่จําเป็นสําหรับการปฏิบัติงาน* บริษัทควรจัดเตรียมหรือจัดหาทรัพยากรที่จําเป็นต่อการปฏิบัติงาน เช่น การจัดหาหรือกําหนดบุคลากรที่จะปฏิบัติงานแทนทั้งระดับพนักงานและผู้บริหาร แหล่งเงินทุน อุปกรณ์สํานักงาน ระบบเทคโนโลยีสารสนเทศ เป็นต้น รวมทั้งควรประเมินการใช้เงินทุนและการเข้าถึงเงินทุนในช่วงที่เกิดเหตุฉุกเฉินด้วย
5.4 *การจัดตั้งศูนย์ปฏิบัติงานสํารอง (Alternate site)* เพื่อป้องกันผลกระทบจากเหตุฉุกเฉินที่เกิดขึ้นเป็นบริเวณกว้าง บริษัทอาจจัดให้มีศูนย์ปฏิบัติงานสํารองเพื่อรองรับการดําเนินการอย่างต่อเนื่อง โดยศูนย์ปฏิบัติงานดังกล่าวไม่ควรใช้สาธารณูปโภคแหล่งเดียวกันกับสถานที่ทําการหลัก และควรตั้งอยู่ห่างจากสถานที่ทําการหลักเพียงพอที่จะไม่ได้รับผลกระทบเดียวกัน รวมทั้งควรจัดให้สามารถรองรับปริมาณงานสําคัญหรือการเกิดเหตุฉุกเฉินเป็นระยะเวลานานได้ นอกจากนี้ศูนย์ปฏิบัติงานสํารองควรมีความพร้อมที่จะปฏิบัติงานทันทีที่เกิดเหตุฉุกเฉินหรือภายในระยะเวลาที่กําหนดไว้ (Recovery Time Objectives) กรณีที่บริษัทไม่มีการจัดให้มีศูนย์ปฏิบัติการสํารองบริษัทควรมีแนวทางการปฏิบัติงานอื่นที่สามารถรองรับการดําเนินงานอย่างต่อเนื่องได้
**ส่วนที่ 6 การติดต่อสื่อสารกับผู้เกี่ยวข้อง** **(Communication)**
6.1 เพื่อป้องกันและลดความตระหนกของผู้เกี่ยวข้องและสาธารณชน รวมทั้งสามารถแจ้งเหตุแก่หน่วยงานกํากับดูแลได้ทันท่วงที ผู้ประกอบธุรกิจต้องวางแผนการติดต่อสื่อสารกับผู้เกี่ยวข้องทั้งภายในและภายนอกบริษัทให้สอดคล้องกับผลกระทบที่เกิด หากผลกระทบที่กล่าวส่งผลอย่างมีนัยสําคัญต่อลูกค้าหรือผู้เกี่ยวข้อง เช่น การปิดหรือเลื่อนการเปิดทําการของสํานักงานแห่งใดแห่งหนึ่ง การขัดข้องของระบบซื้อขายหลักทรัพย์หรือระบบปฏิบัติการหลักทรัพย์ การขัดข้องของการรับคําสั่งซื้อและขายคืนหน่วยลงทุน การคํานวณมูลค่าทรัพย์สินสุทธิ (NAV) เป็นต้น บริษัทต้องแจ้งหรือประชาสัมพันธ์ให้ลูกค้าหรือผู้เกี่ยวข้องทราบถึงเหตุฉุกเฉิน ผลกระทบที่เกิดขึ้น ช่องทางที่ลูกค้าหรือผู้เกี่ยวข้องจะสามารถติดต่อขอใช้บริการหรือสื่อสารกับบริษัทได้ตลอดระยะเวลาที่เกิดเหตุฉุกเฉิน ช่องทางที่ลูกค้าจะสามารถเข้าถึงทรัพย์สินของตนเองในช่วงที่เกิดเหตุฉุกเฉิน เพื่อตรวจสอบยอดทรัพย์สินหรือทํารายการได้ และมาตรการดําเนินการของบริษัทให้ทั่วถึงกันโดยเร็ว รวมทั้งต้องสื่อสารเป็นระยะให้เห็นถึงความคืบหน้าของการดําเนินการหากเกิดเหตุฉุกเฉินเป็นเวลานาน
6.2 กรณีที่มีการหยุดการให้บริการของงานสําคัญหรือเกิดเหตุฉุกเฉินซึ่งส่งผลกระทบต่อลูกค้าของบริษัทอย่างมีนัยสําคัญ บริษัทต้องแจ้งต่อสํานักงานโดยเร็วและไม่เกินวันทําการถัดไป พร้อมทั้งรายงานรายละเอียดของเหตุการณ์ที่เกิดขึ้น ขั้นตอนการดําเนินการและระยะเวลาที่ใช้หรือคาดว่าจะใช้ในการแก้ไขปัญหา โดยให้บริษัทแจ้งต่อเจ้าหน้าที่ผู้ดูแลรับผิดชอบบริษัท และเมื่องานสําคัญที่กล่าวสามารถกลับมาดําเนินการได้ตามปกติ ให้บริษัทแจ้งสํานักงานรับทราบด้วย
**ส่วนที่ 7 การติดต่อสื่อสารข้ามประเทศ (Cross-border Communication)**
ในกรณีที่ผู้ประกอบธุรกิจมีการทําธุรกรรมหรือใช้บริการจากผู้ให้บริการต่างประเทศผู้ประกอบธุรกิจควรมีแผนรองรับการติดต่อสื่อสารกับหน่วยงานกํากับดูแลในต่างประเทศ หน่วยงานอื่นของต่างประเทศ และผู้ให้บริการต่างประเทศที่มีประสิทธิภาพ เพื่อรองรับกรณีที่เกิดเหตุฉุกเฉินอันส่งผลกระทบข้ามประเทศด้วย โดยในการติดต่อกับหน่วยงานกํากับดูแลในต่างประเทศผู้ประกอบธุรกิจสามารถติดต่อผ่านคู่ค้าในต่างประเทศหรือสํานักงานได้
**ส่วนที่ 8 บริษัทต้องทดสอบและประเมิน BCP (Training, Exercising and Auditing)**
8.1 บริษัทควรจัดให้มีการอบรมและประชาสัมพันธ์เกี่ยวกับ BCP แก่ผู้เกี่ยวข้องทั้งภายในและภายนอกอย่างสม่ําเสมอ พร้อมทั้งต้องทดสอบ BCP ให้สอดคล้องกับสถานการณ์จริงในปัจจุบัน โดยเจ้าหน้าที่ผู้รับผิดชอบทุกระดับต้องมีส่วนร่วมในการทดสอบ และจัดให้มีการทดสอบ BCP ของงานที่สําคัญอย่างน้อยปีละ 1 ครั้ง หรือเมื่อมีการเปลี่ยนแปลงอย่างมีนัยสําคัญ[4](#fn4) โดยบริษัทควรกําหนดขอบเขตการทดสอบให้เพียงพอ เพื่อให้มั่นใจว่าบริษัทสามารถดําเนินงานตาม BCP ได้อย่างถูกต้อง และได้ผลตามที่คาดหวังไว้
8.2 ในการทดสอบและประเมิน BCP บริษัทควรกําหนดสถานการณ์จําลองซึ่งอาจแตกต่างกันในการทดสอบแต่ละครั้ง เช่น สถานการณ์การเกิดน้ําท่วม แผ่นดินไหว การลอบวางระเบิด การเดินขบวนประท้วง ไข้หวัดนกระบาด การถูกโจมตีทางไซเบอร์ (cyber attack)[5](#fn5) เป็นต้น เพื่อทดสอบความสามารถของ BCP ในการรองรับการดําเนินการอย่างต่อเนื่องในการเกิดเหตุการณ์ต่างๆ โดยบริษัทอาจพิจารณาจากสถานการณ์ในปัจจุบัน ผลการทดสอบที่ผ่านมา หรือผลกระทบที่อาจเกิด เป็นต้น โดยการทดสอบและการประเมินต้องครอบคลุมอย่างน้อยในเรื่องดังต่อไปนี้
8.2.1 ขั้นตอนการติดต่อสื่อสารกับผู้เกี่ยวข้อง ความถูกต้องและทันสมัยของรายชื่อและข้อมูลที่ใช้ในการติดต่อ
8.2.2 ขั้นตอนการอพยพพนักงานหรือการเคลื่อนย้ายพนักงานไปยังสถานที่ที่กําหนดไว้
8.2.3 ขั้นตอนการปฏิบัติงานตามปกติตั้งแต่เริ่มต้นจนจบกระบวนการของงานสําคัญ เช่น การส่งคําสั่งซื้อขายหลักทรัพย์ การชําระราคาและส่งมอบหลักทรัพย์และทรัพย์สิน การบันทึกบัญชีทรัพย์สินของลูกค้าและกองทุน การรับซื้อและขายคืนหน่วยลงทุน การคํานวณมูลค่าทรัพย์สินสุทธิ (NAV) การจัดการลงทุน เป็นต้น
8.2.4 ความพร้อมของระบบคอมพิวเตอร์ เครือข่าย อุปกรณ์ต่างๆ และการสํารองและกู้คืนข้อมูลสําคัญ โดยสามารถกู้คืนข้อมูลล่าสุดตามที่กําหนดไว้จากอุปกรณ์หรือสถานที่จัดเก็บได้
8.2.5 ความพร้อมของศูนย์ปฏิบัติงานสํารอง (ถ้ามี) ศูนย์ปฏิบัติงานสํารองสามารถรองรับการเข้าไปปฏิบัติงานได้ทันทีหรือภายในระยะเวลาที่กําหนด
นอกจากนี้ บริษัทควรทดสอบ BCP ร่วมกับหน่วยงานที่เกี่ยวข้อง เช่นตลาดหลักทรัพย์ สถาบันการเงิน ผู้ให้บริการหลัก ตัวแทนรับซื้อขายคืนหน่วยลงทุน เป็นต้น
8.3 เพื่อให้ผู้เกี่ยวข้องสามารถปฏิบัติตาม BCP ได้จริงและครบถ้วนเมื่อเกิดเหตุฉุกเฉิน บริษัทต้องจัดให้มีผู้ประเมินที่สามารถให้ความเห็นได้อย่างอิสระเป็นผู้ประเมินประสิทธิภาพของแผนการตรวจสอบ และผลการทดสอบ BCP ว่าการทดสอบดังกล่าวบรรลุเป้าหมายตามที่บริษัทกําหนดทั้งในด้านระยะเวลาที่ใช้และข้อมูลที่สามารถกู้คืนได้ รวมทั้งผู้เกี่ยวข้องปฏิบัติตามแผนได้อย่างครบถ้วนถูกต้อง และรายงานผลการประเมินต่อคณะกรรมการบริษัทหรือคณะทํางานที่ได้รับมอบหมายตามงวดเวลาที่เหมาะสมด้วย โดยผู้ประเมินอาจเป็นบุคคลภายในหรือภายนอกบริษัท
8.4 เพื่อปรับปรุง BCP ให้เหมาะสมและสอดคล้องกับสถานการณ์ปัจจุบัน บริษัทต้องทบทวน BCP ทั้งในระดับหน่วยงานและองค์กรตามผลการประเมิน และเมื่อมีการเปลี่ยนแปลงอย่างมีนัยสําคัญ เช่น การได้รับใบอนุญาตการประกอบธุรกิจเพิ่ม การควบรวมกิจการการเปลี่ยนแปลงเทคโนโลยีที่ใช้ เป็นต้น
8.5 บริษัทต้องจัดเก็บเอกสารที่เกี่ยวข้องกับการทดสอบ ให้ครบถ้วนและเป็นปัจจุบัน ดังนี้
(1) แผนที่ใช้ในการทดสอบ
(2) สรุปผลการทดสอบ
(3) สรุปการทบทวนแผน
8.6 บริษัทควรติดตามและประเมินผล BCP ของผู้ให้บริการหลัก โดยบริษัทอาจเข้าร่วมทดสอบ ร่วมสังเกตการณ์ หรือให้ผู้บริการหลักแจ้งผลการทดสอบ BCP มายังบริษัทก็ได้
**ส่วนที่ 9 ตัวอย่างเหตุฉุกเฉินที่อาจทําให้งานสําคัญหยุดชะงัก (Major operation disruption)**
ตัวอย่างเหตุฉุกเฉินซึ่งแบ่งกลุ่มเพื่อความชัดเจน และเป็นแนวทางให้ผู้ประกอบธุรกิจสามารถวิเคราะห์ผลที่อาจจะเกิดขึ้นจากภัยด้านต่าง ๆ เพื่อจะได้กําหนดมาตรการได้ครอบคลุมมากขึ้นโดยผู้ประกอบธุรกิจจะต้องประเมินความเสี่ยงและผลกระทบของภัยด้านต่าง ๆ และจัดเตรียมมาตรการเพื่อรองรับภัยที่อาจเกิดขึ้นตามสมควร โดยแบ่งเป็นภัย 5 ด้าน ได้แก่
9.1 ด้านเศรษฐกิจ/กายภาค เช่น การประท้วงของแรงงาน การไม่สามารถเข้าถึงอาคารสถานที่ หรือสิ่งอํานวยความสะดวกในเขตพื้นที่ เป็นต้น
9.2 ด้านทรัพยากรมนุษย์ เช่น การสูญเสียผู้บริหารและบุคลากรหลักที่สําคัญ พนักงานขาดงานจํานวนมาก เป็นต้น
9.3 ด้านชื่อเสียง เช่น การถูกฟ้องร้องดําเนินคดีที่ร้ายแรง ข่าวลือต่าง ๆ ในทางเสื่อมเสียแก่องค์กร เป็นต้น
9.4 ด้านภัยธรรมชาติ เช่น อุทกภัย อัคคีภัย วาตภัย สึนามิ โรคระบาดร้ายแรง เป็นต้น
9.5 ด้านภัยจากมนุษย์ เช่น การก่อการร้าย การถูกจับเป็นตัวประกัน การถูกโจมตีทางไซเบอร์ (cyber attack) เป็นต้น
1.
2.
3.
4.
5.
