ประกาศสำนักงานคณะกรรมการ ก.ล.ต ที่ สธ/น. 32/2552 เรื่อง การควบคุมการปฏิบัติงานและการรักษาความปลอดภัยด้านเทคโนโลยีสารสนเทศของบริษัทหลักทรัพย์

• จำนวนมาตรา: 15

มาตรา อารัมภบท

ประกาศสํานักงานคณะกรรมการกํากับหลักทรัพย์และตลาดหลักทรัพย์

ที่ สธ/น. 32/2552

เรื่อง การควบคุมการปฏิบัติงานและการรักษาความปลอดภัย

ด้านเทคโนโลยีสารสนเทศของบริษัทหลักทรัพย์

อาศัยอํานาจตามความในมาตรา 141(2) แห่งพระราชบัญญัติหลักทรัพย์และตลาดหลักทรัพย์ พ.ศ. 2535 อันเป็นพระราชบัญญัติที่มีบทบัญญัติบางประการเกี่ยวกับการจํากัดสิทธิและเสรีภาพของบุคคล ซึ่งมาตรา 29 ประกอบกับมาตรา 33 มาตรา 34 มาตรา 41 มาตรา 43 มาตรา 44 และมาตรา 64 ของรัฐธรรมนูญแห่งราชอาณาจักรไทย บัญญัติให้กระทําได้โดยอาศัยอํานาจตามบทบัญญัติแห่งกฎหมาย สํานักงานโดยความเห็นชอบของคณะกรรมการ ก.ล.ต. ทําหน้าที่คณะกรรมการกํากับตลาดทุนตามมาตรา 60 แห่งพระราชบัญญัติหลักทรัพย์และตลาดหลักทรัพย์ (ฉบับที่ 4) พ.ศ. 2551 ออกข้อกําหนดไว้ดังต่อไปนี้

มาตรา ข้อ ๑

ข้อ ๑ ให้ยกเลิกประกาศสํานักงานคณะกรรมการกํากับหลักทรัพย์และตลาดหลักทรัพย์ ที่ สธ./น. 34/2547 เรื่อง การควบคุมการปฏิบัติงานและการรักษาความปลอดภัยด้านเทคโนโลยีสารสนเทศของบริษัทหลักทรัพย์ ลงวันที่ 20 กรกฎาคม พ.ศ. 2547

มาตรา ข้อ ๒

ข้อ ๒ ในประกาศนี้

“บริษัทหลักทรัพย์” หมายความว่า บริษัทหลักทรัพย์ที่ได้รับใบอนุญาตประกอบธุรกิจหลักทรัพย์ประเภทการเป็นนายหน้าซื้อขายหลักทรัพย์ การค้าหลักทรัพย์ การจัดจําหน่ายหลักทรัพย์หรือการจัดการกองทุนรวม แต่ไม่รวมถึงสถาบันการเงินที่จัดตั้งตามกฎหมายอื่นและได้รับใบอนุญาตประกอบธุรกิจหลักทรัพย์

มาตรา ข้อ ๓

ข้อ ๓ บริษัทหลักทรัพย์ต้องจัดให้มีนโยบายและระเบียบปฏิบัติเกี่ยวกับการควบคุมการปฏิบัติงานและการรักษาความปลอดภัยด้านเทคโนโลยีสารสนเทศของบริษัทหลักทรัพย์ที่เป็นลายลักษณ์อักษรและได้รับความเห็นชอบจากคณะกรรมการบริหารหรือคณะกรรมการของบริษัทหลักทรัพย์

มาตรา ข้อ ๔

ข้อ ๔ บริษัทหลักทรัพย์ต้องจัดให้มีการตรวจสอบการปฏิบัติงานด้านเทคโนโลยีสารสนเทศโดยหน่วยงานภายในบริษัทหลักทรัพย์เองหรือโดยผู้ตรวจสอบที่เป็นบุคคลภายนอกเพื่อทําหน้าที่ตรวจสอบความเสี่ยงด้านเทคโนโลยีสารสนเทศทุกประเภทที่อาจเกิดขึ้นได้ ทั้งนี้ ในกรณีที่การตรวจสอบดังกล่าวดําเนินการโดยหน่วยงานภายในของบริษัทหลักทรัพย์ หน่วยงานดังกล่าวต้องมีความเป็นอิสระจากฝ่ายงานคอมพิวเตอร์ของบริษัทด้วย

มาตรา ข้อ ๕

ข้อ ๕ บริษัทหลักทรัพย์ต้องแบ่งแยกหน่วยงานและบุคลากรที่ปฏิบัติหน้าที่ในส่วนการพัฒนาระบบงานออกจากหน่วยงานและบุคลากรที่ปฏิบัติหน้าที่ในส่วนการบริหารระบบ (system administration) และต้องจัดให้มีระบบการสอบยันการปฏิบัติงานระหว่างบุคลากรในหน่วยงานดังกล่าว โดยอย่างน้อยต้องไม่มอบหมายให้บุคลากรคนหนึ่งคนใดรับผิดชอบการปฏิบัติงานตลอดกระบวนการในลักษณะที่อาจเป็นช่องทางให้มีการแก้ไขหรือเปลี่ยนแปลงข้อมูลหรือการทํางานของระบบคอมพิวเตอร์โดยมิชอบ

มาตรา ข้อ ๖

ข้อ ๖ บริษัทหลักทรัพย์ต้องจัดให้มีระบบการรักษาความปลอดภัยทางกายภาพที่เพียงพอแก่การป้องกันมิให้บุคคลที่ไม่มีอํานาจหน้าที่ที่เกี่ยวข้องได้เข้าถึงอุปกรณ์คอมพิวเตอร์ที่สําคัญซึ่งจัดเก็บอยู่ในศูนย์คอมพิวเตอร์ และต้องจัดให้มีระบบป้องกันความเสียหายจากสภาวะแวดล้อมหรือภัยพิบัติต่างๆ ให้แก่อุปกรณ์คอมพิวเตอร์ที่สําคัญภายในศูนย์คอมพิวเตอร์ด้วย

มาตรา ข้อ ๗

ข้อ ๗ บริษัทหลักทรัพย์ต้องจัดให้มีระบบการรักษาความปลอดภัยของข้อมูล ระบบคอมพิวเตอร์และระบบเครือข่าย ที่เพียงพอแก่การป้องกันมิให้บุคคลที่ไม่มีอํานาจหน้าที่ที่เกี่ยวข้องได้เข้าถึง ล่วงรู้ ใช้ประโยชน์ หรือแก้ไขเปลี่ยนแปลงข้อมูลหรือระบบดังกล่าวได้

มาตรา ข้อ ๘

ข้อ ๘ บริษัทหลักทรัพย์ต้องจัดให้มีมาตรการควบคุมที่เพียงพอเพื่อให้ระบบงานคอมพิวเตอร์ (application software) ที่ได้รับการพัฒนาหรือแก้ไขเปลี่ยนแปลงมีการประมวลผลที่ถูกต้องครบถ้วนและเป็นไปตามความต้องการของผู้ใช้งาน รวมทั้งต้องสื่อสารการพัฒนาหรือการเปลี่ยนแปลงให้ผู้ที่เกี่ยวข้องได้รับทราบอย่างทั่วถึงเพื่อให้สามารถใช้งานได้อย่างถูกต้อง

มาตรา ข้อ ๙

ข้อ ๙ บริษัทหลักทรัพย์ต้องจัดให้มีการสํารองข้อมูลและระบบคอมพิวเตอร์ของบริษัทหลักทรัพย์เพื่อให้สามารถรองรับการประกอบธุรกิจได้อย่างต่อเนื่อง มีประสิทธิภาพและทันต่อเหตุการณ์

มาตรา ข้อ ๑๐

ข้อ ๑๐ บริษัทหลักทรัพย์ต้องจัดให้มีมาตรการในการควบคุมการปฏิบัติงานประจําด้านคอมพิวเตอร์อย่างเพียงพอเพื่อให้ระบบคอมพิวเตอร์และการประมวลผลข้อมูลสามารถทํางานได้อย่างต่อเนื่องและถูกต้องครบถ้วน

มาตรา ข้อ ๑๑

ข้อ ๑๑ ในกรณีที่บริษัทหลักทรัพย์ใช้บริการงานเทคโนโลยีสารสนเทศของผู้ให้บริการที่เป็นบุคคลภายนอก บริษัทหลักทรัพย์ต้องจัดให้มีหลักเกณฑ์ในการคัดเลือกและพิจารณาความเหมาะสมของผู้ให้บริการ รวมทั้งต้องควบคุมและตรวจสอบการปฏิบัติงานของผู้ให้บริการอย่างเข้มงวด เพื่อให้มั่นใจว่าผู้ให้บริการสามารถปฏิบัติงานตามข้อกําหนดในประกาศนี้ได้

มาตรา ข้อ ๑๒

ข้อ ๑๒ เพื่อให้บริษัทหลักทรัพย์สามารถปฏิบัติตามข้อกําหนดในประกาศนี้อย่างมีประสิทธิภาพและมีมาตรฐานในระดับเดียวกัน ให้บริษัทหลักทรัพย์ปฏิบัติตามแนวทางปฏิบัติเกี่ยวกับการควบคุมการปฏิบัติงานและการรักษาความปลอดภัยด้านเทคโนโลยีสารสนเทศของบริษัทหลักทรัพย์ตามที่สํานักงานกําหนด

ในกรณีที่บริษัทหลักทรัพย์ดําเนินการในแนวทางปฏิบัติอื่นที่แตกต่างจากแนวทางที่สํานักงานกําหนด สํานักงานจะพิจารณาว่าบริษัทหลักทรัพย์ได้ปฏิบัติให้เป็นไปตามข้อกําหนดในประกาศนี้ ต่อเมื่อบริษัทหลักทรัพย์สามารถแสดงต่อสํานักงานได้ว่าแนวทางอื่นนั้นสามารถป้องกันความเสี่ยงด้านเทคโนโลยีสารสนเทศของบริษัทหลักทรัพย์ได้และมีประสิทธิภาพเพียงพอ ตลอดจนอยู่ในมาตรฐานที่ยอมรับได้สําหรับการควบคุมการปฏิบัติงานและการรักษาความปลอดภัยด้านเทคโนโลยีสารสนเทศของบริษัทหลักทรัพย์

มาตรา ข้อ ๑๓

ข้อ ๑๓ ให้บรรดาคําสั่งและหนังสือเวียนที่ออกหรือวางแนวปฏิบัติตามประกาศสํานักงานคณะกรรมการกํากับหลักทรัพย์และตลาดหลักทรัพย์ ที่ สธ./น. 34/2547 เรื่อง การควบคุมการปฏิบัติงานและการรักษาความปลอดภัยด้านเทคโนโลยีสารสนเทศของบริษัทหลักทรัพย์ ลงวันที่ 20 กรกฎาคม พ.ศ. 2547 ซึ่งใช้บังคับอยู่ในวันก่อนวันที่ประกาศนี้ใช้บังคับ ยังคงใช้บังคับได้ต่อไปเท่าที่ไม่ขัดหรือแย้งกับข้อกําหนดแห่งประกาศนี้ จนกว่าจะได้มีคําสั่งและหนังสือเวียนที่ออกหรือวางแนวปฏิบัติตามประกาศนี้ใช้บังคับ

มาตรา ข้อ ๑๔

ข้อ ๑๔ ในกรณีที่มีประกาศฉบับอื่นใดอ้างอิงประกาศสํานักงานคณะกรรมการกํากับหลักทรัพย์และตลาดหลักทรัพย์ ที่ สธ./น. 34/2547 เรื่อง การควบคุมการปฏิบัติงานและการรักษาความปลอดภัยด้านเทคโนโลยีสารสนเทศของบริษัทหลักทรัพย์ ลงวันที่ 20 กรกฎาคม พ.ศ. 2547 ให้การอ้างอิงดังกล่าวหมายถึงการอ้างอิงประกาศฉบับนี้

มาตรา ข้อ ๑๕

ข้อ ๑๕ ประกาศนี้ให้ใช้บังคับตั้งแต่วันที่ 1 กันยายน พ.ศ. 2552 เป็นต้นไป

ผู้มีอํานาจลงนาม - ประกาศ ณ วันที่ 3 สิงหาคม พ.ศ. 2552

(นายธีระชัย ภูวนาถนรานุบาล)

เลขาธิการ

สํานักงานคณะกรรมการกํากับหลักทรัพย์และตลาดหลักทรัพย์

หมายเหตุ - เหตุผลในการออกประกาศฉบับนี้ คือ เนื่องจากพระราชบัญญัติหลักทรัพย์และตลาดหลักทรัพย์ (ฉบับที่ 4) พ.ศ. 2551 กําหนดให้การออกหลักเกณฑ์ให้บริษัทหลักทรัพย์กระทําการหรือไม่กระทําการเป็นอํานาจของสํานักงานโดยความเห็นชอบของคณะกรรมการกํากับตลาดทุน จึงเห็นควรออกประกาศเพื่อทดแทนประกาศสํานักงานคณะกรรมการกํากับหลักทรัพย์และตลาดหลักทรัพย์ ที่ สธ./น. 34/2547 เรื่อง การควบคุมการปฏิบัติงานและการรักษาความปลอดภัยด้านเทคโนโลยีสารสนเทศของบริษัทหลักทรัพย์ ลงวันที่ 20 กรกฎาคม พ.ศ. 2547 จึงจําเป็นต้องออกประกาศนี้