ประกาศสำนักงานคณะกรรมการ ก.ล.ต. ที่ สธ. 38/2565 เรื่อง ข้อกำหนดในรายละเอียดเกี่ยวกับการจัดให้มีระบบเทคโนโลยีสารสนเทศ

• จำนวนมาตรา: 7

บทเฉพาะกาล

มาตรา อารัมภบท

ประกาศสํานักงานคณะกรรมการกํากับหลักทรัพย์และตลาดหลักทรัพย์

ที่ สธ. 38/2565

เรื่อง ข้อกําหนดในรายละเอียดเกี่ยวกับการจัดให้มี

ระบบเทคโนโลยีสารสนเทศ

อาศัยอํานาจตามความในข้อ 3(1) แห่งประกาศคณะกรรมการกํากับหลักทรัพย์และ

ตลาดหลักทรัพย์ ที่ กจ. 16/2561 เรื่อง หลักเกณฑ์ เงื่อนไขและวิธีการให้ความเห็นชอบผู้ให้บริการ

ระบบเสนอขายโทเคนดิจิทัล ลงวันที่ 3 กรกฎาคม พ.ศ. 2561 ประกอบกับข้อ 6(7) (ง) (ฉ) และ (ช)

แห่งประกาศคณะกรรมการกํากับหลักทรัพย์และตลาดหลักทรัพย์ ที่ กจ. 16/2561 เรื่อง หลักเกณฑ์

เงื่อนไขและวิธีการให้ความเห็นชอบผู้ให้บริการระบบเสนอขายโทเคนดิจิทัล ลงวันที่ 3 กรกฎาคม พ.ศ. 2561

ซึ่งแก้ไขเพิ่มเติมโดยประกาศคณะกรรมการกํากับหลักทรัพย์และตลาดหลักทรัพย์ ที่ กจ. 7/2563

เรื่อง หลักเกณฑ์ เงื่อนไขและวิธีการให้ความเห็นชอบผู้ให้บริการระบบเสนอขายโทเคนดิจิทัล (ฉบับที่ 4)

ลงวันที่ 24 มีนาคม พ.ศ. 2563 ข้อ 3(1) ประกอบกับข้อ 9(4) และ (8) ข้อ 11 ข้อ 17 ข้อ 18 และข้อ 19

แห่งประกาศคณะกรรมการกํากับหลักทรัพย์และตลาดหลักทรัพย์ ที่ กธ. 19/2561 เรื่อง หลักเกณฑ์ เงื่อนไข

และวิธีการประกอบธุรกิจสินทรัพย์ดิจิทัล ลงวันที่ 3 กรกฎาคม พ.ศ. 2561 ข้อ 5(1) ประกอบกับข้อ 12 วรรคหนึ่ง (6) (11) และ (12) และข้อ 14 แห่งประกาศคณะกรรมการกํากับตลาดทุน ที่ ทธ. 35/2556

เรื่อง มาตรฐานการประกอบธุรกิจ โครงสร้างการบริหารงาน ระบบงาน และการให้บริการของผู้ประกอบธุรกิจหลักทรัพย์และผู้ประกอบธุรกิจสัญญาซื้อขายล่วงหน้า ลงวันที่ 6 กันยายน พ.ศ. 2556 ข้อ 4(1) ประกอบกับ

มาตรา ข้อ 26

ข้อ 26 และข้อ 32 แห่งประกาศคณะกรรมการกํากับตลาดทุน ที่ ทธ. 30/2559 เรื่อง หลักเกณฑ์ในการประกอบการเป็นศูนย์ซื้อขายสัญญาซื้อขายล่วงหน้า ลงวันที่ 3 สิงหาคม พ.ศ. 2559 ข้อ 5(1) ประกอบกับ

มาตรา ข้อ 21

ข้อ 21 ข้อ 27 วรรคหนึ่ง ข้อ 37 และข้อ 43 แห่งประกาศคณะกรรมการกํากับตลาดทุน ที่ ทธ. 31/2559 เรื่อง หลักเกณฑ์ในการประกอบการเป็นสํานักหักบัญชีสัญญาซื้อขายล่วงหน้า ลงวันที่ 3 สิงหาคม พ.ศ. 2559 ข้อ 5(1) ประกอบกับข้อ 11 ข้อ 17 วรรคหนึ่ง และข้อ 33 แห่งประกาศคณะกรรมการกํากับตลาดทุน

ที่ ทธ. 32/2559 เรื่อง หลักเกณฑ์ เงื่อนไข และวิธีการในการประกอบการเป็นสํานักหักบัญชีหลักทรัพย์และ

ศูนย์รับฝากหลักทรัพย์ ลงวันที่ 3 สิงหาคม พ.ศ. 2559 และข้อ 5(1) ประกอบกับข้อ 31(1) และ (4) วรรคหนึ่ง (ง) แห่งประกาศคณะกรรมการกํากับตลาดทุน ที่ ทจ. 21/2562 เรื่อง ข้อกําหนดเกี่ยวกับการเสนอขายหลักทรัพย์ผ่านระบบคราวด์ฟันดิง ลงวันที่ 12 เมษายน พ.ศ. 2562 และข้อ 31(4/1) แห่งประกาศคณะกรรมการ

กํากับตลาดทุน ที่ ทจ. 21/2562 เรื่อง ข้อกําหนดเกี่ยวกับการเสนอขายหลักทรัพย์ผ่านระบบคราวด์ฟันดิง

ลงวันที่ 12 เมษายน พ.ศ. 2562 ซึ่งแก้ไขเพิ่มเติมโดยประกาศคณะกรรมการกํากับตลาดทุน ที่ ทจ. 14/2563

เรื่อง ข้อกําหนดเกี่ยวกับการเสนอขายหลักทรัพย์ผ่านระบบคราวด์ฟันดิง (ฉบับที่ 2) ลงวันที่ 28 กุมภาพันธ์ พ.ศ. 2563 สํานักงานออกประกาศไว้ดังต่อไปนี้

มาตรา ข้อ 1

ข้อ 1 ให้ยกเลิกประกาศสํานักงานคณะกรรมการกํากับหลักทรัพย์และตลาดหลักทรัพย์ ที่ สธ. 37/2559 เรื่อง ข้อกําหนดในรายละเอียดเกี่ยวกับการจัดให้มีระบบเทคโนโลยีสารสนเทศ ลงวันที่ 12 กันยายน พ.ศ. 2559

มาตรา ข้อ 2

ข้อ 2 ในประกาศนี้

“ผู้ประกอบธุรกิจ” หมายความว่า

(1) ผู้ที่ได้รับใบอนุญาตประกอบธุรกิจหลักทรัพย์หรือธุรกิจสัญญาซื้อขายล่วงหน้า ประเภทดังต่อไปนี้

(ก) การเป็นนายหน้าซื้อขายหลักทรัพย์

(ข) การค้าหลักทรัพย์

(ค) การจัดจําหน่ายหลักทรัพย์

(ง) การเป็นที่ปรึกษาการลงทุนที่มีการวางแผนการลงทุนให้แก่ลูกค้า หรือใช้โปรแกรมสําเร็จรูปประกอบการให้บริการแก่ลูกค้า

(จ) การจัดการกองทุนรวม แต่ไม่รวมถึงการจัดการกองทุนรวมเพื่อผู้ลงทุนซึ่งเป็นคนต่างด้าว

(ฉ) การจัดการกองทุนส่วนบุคคล

(ช) กิจการการยืมและให้ยืมหลักทรัพย์

(ซ) การให้สินเชื่อเพื่อธุรกิจหลักทรัพย์

(ฌ) การเป็นตัวแทนซื้อขายสัญญาซื้อขายล่วงหน้า

(ญ) การเป็นที่ปรึกษาสัญญาซื้อขายล่วงหน้าที่มีการวางแผนการลงทุนให้แก่ลูกค้า หรือใช้โปรแกรมสําเร็จรูปประกอบการให้บริการแก่ลูกค้า

(ฎ) การเป็นผู้จัดการเงินทุนสัญญาซื้อขายล่วงหน้า

(2) ผู้ประกอบธุรกิจสินทรัพย์ดิจิทัล

(3) สํานักหักบัญชีหลักทรัพย์

(4) ศูนย์รับฝากหลักทรัพย์

(5) ศูนย์ซื้อขายสัญญาซื้อขายล่วงหน้า

(6) สํานักหักบัญชีสัญญาซื้อขายล่วงหน้า

(7) ผู้ให้บริการระบบเสนอขายโทเคนดิจิทัล

(8) ผู้ให้บริการระบบคราวด์ฟันดิง

“เทคโนโลยีสารสนเทศ” (information technology : IT) หมายความว่า เทคโนโลยีสารสนเทศที่นํามาใช้ในการดําเนินธุรกิจ ซึ่งครอบคลุมถึงข้อมูลหรือสารสนเทศ (data/information) ระบบปฏิบัติการ (operating system) ระบบงาน (application system) ระบบฐานข้อมูล (database system) ฮาร์ดแวร์ (hardware) และระบบเครือข่ายสื่อสาร (communication system) เป็นต้น

“ความเสี่ยงด้านเทคโนโลยีสารสนเทศ” (information technology risk) หมายความว่า ความเสี่ยงที่อาจเกิดขึ้นจากการใช้เทคโนโลยีสารสนเทศ โดยรวมถึงความเสี่ยงที่เกิดจากภัยคุกคามทาง

ไซเบอร์ ซึ่งส่งผลอย่างหนึ่งอย่างใดดังต่อไปนี้

(1) ผลกระทบต่อระบบงานหรือการปฏิบัติงานของผู้ประกอบธุรกิจ

(2) ผลกระทบต่อความมั่นคงปลอดภัยด้านเทคโนโลยีสารสนเทศและความเสี่ยงของข้อมูล

(3) ผลกระทบต่อความเชื่อมั่นของตลาดทุน

“ความมั่นคงปลอดภัยด้านเทคโนโลยีสารสนเทศ” (information technology security) หมายความว่า การธํารงไว้ซึ่งความลับ (confidentiality) ความถูกต้องครบถ้วน (integrity) สภาพพร้อมใช้งาน (availability) ของสารสนเทศ รวมทั้งคุณสมบัติอื่น ได้แก่ ความถูกต้องแท้จริง (authenticity) ความรับผิด (accountability) การห้ามปฏิเสธความรับผิด (non-repudiation) และความน่าเชื่อถือ (reliability)

มาตรา ข้อ 3

ข้อ 3 เพื่อประโยชน์ในการปฏิบัติตามหลักเกณฑ์ที่กําหนดในประกาศนี้ ให้ใช้คําศัพท์

ตามภาคผนวก 1 คําศัพท์ แนบท้ายประกาศนี้ ประกอบการพิจารณาการปฏิบัติตามหลักเกณฑ์ดังกล่าวด้วย

มาตรา ข้อ 4

ข้อ 4 เพื่อประโยชน์ในการปฏิบัติตามหลักเกณฑ์ที่กําหนดในประกาศนี้ ให้ผู้ประกอบธุรกิจประเมินระดับความเสี่ยงเกี่ยวกับระบบเทคโนโลยีสารสนเทศซึ่งส่งผลต่อการดําเนินธุรกิจของผู้ประกอบธุรกิจ ตามแบบ RLA (Risk Level Assessment) และจัดส่งผลการประเมินดังกล่าวต่อสํานักงาน ภายใน

ไตรมาสที่ 4 ของทุกปี ทั้งนี้ ตามแบบและวิธีการที่กําหนดไว้บนเว็บไซต์ของสํานักงาน

ผลการประเมินระดับความเสี่ยงตามวรรคหนึ่ง ต้องผ่านการพิจารณาจากคณะกรรมการ

หรือผู้ที่ได้รับมอบหมายจากคณะกรรมการของผู้ประกอบธุรกิจให้รับผิดชอบในเรื่องดังกล่าว

มาตรา ข้อ 5

ข้อ 5 เว้นแต่จะมีการกําหนดไว้แล้วเป็นการเฉพาะในประกาศอื่น ในการดําเนินการ

ด้านเทคโนโลยีสารสนเทศ ให้ผู้ประกอบธุรกิจดําเนินการดังต่อไปนี้

(1) กํากับดูแลและบริหารจัดการด้านเทคโนโลยีสารสนเทศ โดยให้ดําเนินการตามรายละเอียดในภาคผนวก 2 การกํากับดูแลและบริหารจัดการด้านเทคโนโลยีสารสนเทศ (Information Technology Governance)

(2) รักษาความมั่นคงปลอดภัยด้านเทคโนโลยีสารสนเทศ โดยให้ดําเนินการตามรายละเอียดในภาคผนวก 3 การรักษาความมั่นคงปลอดภัยด้านเทคโนโลยีสารสนเทศ (Information Technology Security)

(3) ตรวจสอบด้านเทคโนโลยีสารสนเทศ โดยให้ดําเนินการตามรายละเอียด

ในภาคผนวก 4 การตรวจสอบด้านเทคโนโลยีสารสนเทศ (Information Technology Audit)

คําว่า “ประกาศอื่น” ตามวรรคหนึ่ง หมายความว่า ประกาศคณะกรรมการ

กํากับหลักทรัพย์และตลาดหลักทรัพย์ ประกาศคณะกรรมการกํากับตลาดทุน หรือประกาศสํานักงานคณะกรรมการกํากับหลักทรัพย์และตลาดหลักทรัพย์ ซึ่งออกโดยอาศัยอํานาจตามกฎหมายว่าด้วย

หลักทรัพย์และตลาดหลักทรัพย์ กฎหมายว่าด้วยสัญญาซื้อขายล่วงหน้า หรือกฎหมายว่าด้วย

การประกอบธุรกิจสินทรัพย์ดิจิทัล

มาตรา ข้อ 6

ข้อ 6 ในการประเมินระดับความเสี่ยงเกี่ยวกับระบบเทคโนโลยีสารสนเทศตามที่กําหนดในข้อ 4 สําหรับปี พ.ศ. 2566 ให้ผู้ประกอบธุรกิจดําเนินการดังต่อไปนี้

(1) ประเมินและจัดส่งผลการประเมินครั้งที่ 1 ต่อสํานักงาน ภายในวันที่ 31 กรกฎาคม พ.ศ. 2566

(2) ประเมินและจัดส่งผลการประเมินครั้งที่ 2 ต่อสํานักงาน ภายในวันที่ 31 ธันวาคม พ.ศ. 2566

มาตรา ข้อ 7

ข้อ 7 ประกาศนี้ให้ใช้บังคับตั้งแต่วันที่ 1 กรกฎาคม พ.ศ. 2566 เป็นต้นไป

ประกาศ ณ วันที่ 28 กันยายน พ.ศ. 2565

(นางสาวรื่นวดี สุวรรณมงคล)

เลขาธิการ

สํานักงานคณะกรรมการกํากับหลักทรัพย์และตลาดหลักทรัพย์