สัญญาจ้างบริการภายนอกด้านเทคโนโลยีสารสนเทศ (IT Outsourcing / Managed Services) โดยเฉพาะในกลุ่มธุรกิจการเงิน ธนาคาร ฟินเทค ประกันภัย และธุรกิจที่อยู่ภายใต้การกำกับดูแลของรัฐ มีประเด็นสำคัญ 3 ประการที่ควรกำหนดไว้ในสัญญา: (1) การปฏิบัติตามแนวนโยบายของหน่วยงานกำกับดูแล ได้แก่ ธนาคารแห่งประเทศไทย (ธปท.) สำนักงานคณะกรรมการกำกับและส่งเสริมการประกอบธุรกิจประกันภัย (คปภ.) และสำนักงานคณะกรรมการกำกับหลักทรัพย์และตลาดหลักทรัพย์ (ก.ล.ต.) แล้วแต่หน่วยงานที่กำกับผู้ว่าจ้างรายนั้น โดยหน้าที่รายงานและสิทธิตรวจสอบใช้เฉพาะผู้ประกอบธุรกิจที่อยู่ภายใต้การกำกับของหน่วยงานนั้น ตัวอย่างเช่น ประกาศธนาคารแห่งประเทศไทย เรื่อง การรับจ้างให้บริการงานที่สำคัญจากภายนอก (Outsourcing Policy) [ต้องยืนยันแหล่งที่มา] ซึ่งสัญญาควรเปิดช่องให้ ผู้ว่าจ้างและหน่วยงานกำกับดูแล (ธปท.) มีสิทธิเข้าตรวจสอบ (Right to Audit & Inspect) ในส่วนของสถานที่ ระบบ และข้อมูลที่เกี่ยวกับการให้บริการแก่ผู้ว่าจ้าง โดยผู้ให้บริการอาจจำกัดการเข้าถึงข้อมูลของลูกค้ารายอื่นได้ [ต้องยืนยันแหล่งที่มา: ขอบเขตการตรวจตามประกาศของหน่วยงานกำกับดูแล] (2) การรักษาความต่อเนื่องทางธุรกิจและการกู้คืนระบบ (BCP & DR): ผู้ให้บริการต้องกำหนดตัวชี้วัด RTO (Recovery Time Objective) และ RPO (Recovery Point Objective) พร้อมหน้าที่ทดสอบแผน BCP/DR เป็นประจำทุกปี (3) ภาระการโอนงานคืนเมื่อสิ้นสุดสัญญา (Exit Transition & Disentanglement): ผู้ให้บริการต้องผูกพันที่จะให้ความช่วยเหลือในการส่งมอบงาน ข้อมูล และระบบ (Transition Services) ให้แก่ผู้ว่าจ้างหรือผู้รับจ้างรายใหม่เป็นเวลาประมาณ 90 ถึง 180 วัน (3 ถึง 6 เดือน) ซึ่งเป็นข้อเสนอเชิงพาณิชย์ที่คู่สัญญาตกลงกันเอง ไม่ใช่เกณฑ์ที่กฎหมายกำหนด โดยสัญญาควรห้ามระงับบริการจนกว่าการถ่ายโอนจะเสร็จสิ้นอย่างสมบูรณ์
สถานการณ์ที่ผู้ประกอบการมักพบจริง
- เหตุการณ์: บริษัทสตาร์ทอัพด้าน FinTech ที่ได้รับใบอนุญาตระบบการชำระเงินว่าจ้างบริษัท IT Outsource เพื่อบริหารจัดการระบบฐานข้อมูลและโครงสร้างพื้นฐานเซิร์ฟเวอร์ สัญญามูลค่า 8 ล้านบาทต่อปี
- ความเข้าใจผิด: ผู้บริหารคิดว่าเป็นสัญญาจ้างบริการทั่วไป จึงใช้สัญญาบริการมาตรฐานของผู้รับจ้างที่ไม่มีข้อกำหนดเรื่องสิทธิการเข้าตรวจสอบของ ธปท.
- จุดพลิก: เจ้าหน้าที่ธนาคารแห่งประเทศไทยเข้าตรวจระบบประจำปี และขอเข้าตรวจ Audit ศูนย์ข้อมูลของผู้รับจ้าง แต่ผู้รับจ้างปฏิเสธโดยอ้างว่าเป็นความลับทางการค้าและสัญญาไม่ได้เปิดช่องให้บุคคลภายนอกเข้าตรวจ ธปท. จึงมีคำสั่งลงโทษบริษัท FinTech ฐานฝ่าฝืนเกณฑ์ IT Outsourcing สั่งระงับการขยายฐานลูกค้า และสั่งให้แก้ไขสัญญาภายใน 30 วัน มิฉะนั้นจะถูกเพิกถอนใบอนุญาต (เหตุการณ์นี้เป็นตัวอย่างสมมติ มาตรการและกำหนดเวลาดังกล่าวต้องตรวจจากประกาศและกฎหมายฉบับปัจจุบันของหน่วยงานกำกับดูแล [ต้องยืนยันแหล่งที่มา])
- สิ่งที่ได้จากบทความ: แผนผังเกณฑ์กำกับ IT Outsourcing ของ ธปท., โครงสร้างข้อสัญญา Right to Audit, การบริหารความเสี่ยง Subcontracting, ข้อสัญญาส่งมอบงานคืน (Exit Disentanglement), และ Checklist 10 จุดตรวจสัญญา IT Outsource
ภูมิทัศน์ทางกฎหมายของ IT Outsourcing
ในยุคดิจิทัล องค์กรส่วนใหญ่พึ่งพาผู้เชี่ยวชาญภายนอกในการดูแลระบบไอที ภายใต้แนวนโยบายของหน่วยงานกำกับดูแล [ต้องยืนยันแหล่งที่มา] ผู้ประกอบธุรกิจที่อยู่ภายใต้การกำกับยังคงต้องรับผิดชอบต่อหน่วยงานกำกับดูแลและต่อลูกค้าตามสัญญาของตนแม้ใช้บริการภายนอก (Accountability cannot be outsourced) ส่วนความรับผิดทางแพ่งต่อบุคคลภายนอกให้พิจารณาตามหลักละเมิด ซึ่งผู้ว่าจ้างทำของไม่ต้องรับผิดเว้นแต่ผิดในการสั่ง คำสั่ง หรือการเลือกผู้รับจ้าง (ประมวลกฎหมายแพ่งและพาณิชย์ มาตรา 428) ด้วยเหตุนี้ สัญญา IT Outsourcing จึงต้องวางมาตรการควบคุมที่เข้มงวดเสมือนเป็นการทำงานภายในองค์กรเอง
ในการวิเคราะห์ลักษณะของสัญญา บทบัญญัติว่าด้วยจ้างทำของ (ประมวลกฎหมายแพ่งและพาณิชย์ มาตรา 587 ถึงมาตรา 607) ใช้แก่ส่วนของสัญญาที่เป็นการรับทำการงานจนสำเร็จ ส่วนบริการที่ให้อย่างต่อเนื่องตามระดับบริการ (SLA) ไม่ได้มุ่งผลสำเร็จของงานชิ้นเดียว จึงต้องพิจารณาตามข้อสัญญาและบทบัญญัติทั่วไปว่าด้วยหนี้และสัญญา สัญญาประเภทนี้จึงอาจมีลักษณะเป็นสัญญาผสม นอกจากนี้ สิทธิตรวจสอบของหน่วยงานกำกับดูแลต้องมีฐานจากกฎหมายหรือประกาศของหน่วยงานนั้น และต้องเขียนไว้ในสัญญาให้ชัดเจน ส่วนมาตรา 592 ให้สิทธิตรวจตราการงานแก่ผู้ว่าจ้างหรือตัวแทนของผู้ว่าจ้างเท่านั้น มิได้ให้สิทธิแก่หน่วยงานกำกับดูแล
กรณีที่สัญญามอบหมายให้ผู้รับจ้างจัดหาคนมาทำงานอันเป็นส่วนหนึ่งส่วนใดในกระบวนการผลิตหรือธุรกิจในความรับผิดชอบของผู้ว่าจ้าง ต้องตรวจมาตรา 11/1 แห่งพระราชบัญญัติคุ้มครองแรงงาน พ.ศ. 2541 (แก้ไขเพิ่มเติมถึงฉบับที่ 9 พ.ศ. 2568) ซึ่งบัญญัติว่า ในกรณีที่ผู้ประกอบกิจการมอบหมายให้บุคคลหนึ่งบุคคลใดเป็นผู้จัดหาคนมาทำงานอันมิใช่การประกอบธุรกิจจัดหางาน โดยการทำงานนั้นเป็นส่วนหนึ่งส่วนใดในกระบวนการผลิตหรือธุรกิจในความรับผิดชอบของผู้ประกอบกิจการ และโดยบุคคลนั้นจะเป็นผู้ควบคุมดูแลการทำงานหรือรับผิดชอบในการจ่ายค่าจ้างให้แก่คนที่มาทำงานนั้นหรือไม่ก็ตาม ให้ถือว่าผู้ประกอบกิจการเป็นนายจ้างของคนที่มาทำงานดังกล่าว และให้ผู้ประกอบกิจการดำเนินการให้ลูกจ้างรับเหมาค่าแรงที่ทำงานในลักษณะเดียวกันกับลูกจ้างตามสัญญาจ้างโดยตรงได้รับสิทธิประโยชน์และสวัสดิการที่เป็นธรรมโดยไม่เลือกปฏิบัติ ข้อนี้ใช้เฉพาะเมื่อสัญญามีลักษณะเป็นการจัดหาบุคลากรมาทำงาน
ผลกระทบเชิงธุรกิจ Business Consequences
- Money (ค่าใช้จ่ายช่วงเปลี่ยนผ่าน): หากไม่มีการกำหนดอัตราค่าบริการช่วง Exit Transition ผู้ให้บริการเดิมอาจเรียกเก็บค่าบริการส่งมอบข้อมูลในราคาที่สูงเกินควรเพื่อบีบให้ต่อสัญญา
- Control (การห้ามใช้ผู้รับเหมาช่วงโดยพลการ): การที่ผู้ให้บริการนำงานไอทีสำคัญไปจ้างช่วงต่อ (Subcontracting) โดยไม่แจ้ง อาจทำให้ข้อมูลความลับของลูกค้ารั่วไหลและละเมิดข้อกำหนด PDPA
- Evidence/Timing: ต้องมีรายงานผลการปฏิบัติงานตามตัวชี้วัด (KPI/SLA Report) เป็นประจำทุกเดือน และจัดเก็บ Log การเข้าถึงระบบของผู้รับจ้างไว้อย่างน้อย 90-180 วันเพื่อการตรวจสอบ ระยะเวลา 90 ถึง 180 วันนี้เป็นข้อเสนอเชิงพาณิชย์ที่ผู้ว่าจ้างกำหนดในสัญญา หากผู้รับจ้างเข้านิยามผู้ให้บริการตามพระราชบัญญัติว่าด้วยการกระทำความผิดเกี่ยวกับคอมพิวเตอร์ พ.ศ. 2550 ผู้รับจ้างก็มีหน้าที่เก็บรักษาข้อมูลจราจรทางคอมพิวเตอร์ไว้ไม่น้อยกว่าเก้าสิบวันนับแต่วันที่ข้อมูลนั้นเข้าสู่ระบบคอมพิวเตอร์ตามมาตรา 26 ซึ่งเป็นหน้าที่ตามกฎหมายแยกต่างหาก ทั้งนี้ หน้าที่ดังกล่าวจะใช้กับผู้ให้บริการประเภทใด อย่างไร และเมื่อใด เป็นไปตามที่รัฐมนตรีประกาศในราชกิจจานุเบกษาตามมาตรา 26 [ต้องยืนยันแหล่งที่มา: ประกาศของรัฐมนตรีที่ใช้บังคับ]
กรอบกฎหมายและ Claim Ledger Legal Framework
| Claim ID | ข้อความทางกฎหมายที่ยืนยัน | ฐานกฎหมายปฐมภูมิ | ตำแหน่งในแหล่ง | สถานะ |
|---|---|---|---|---|
| C-CC-14-01 | สถาบันการเงินและผู้ประกอบธุรกิจภายใต้การกำกับ ต้องกำหนดให้มีสิทธิเข้าตรวจสอบการปฏิบัติงานและระบบสารสนเทศของผู้ให้บริการภายนอก รวมทั้งให้หน่วยงานกำกับดูแลเข้าตรวจสอบได้ หน้าที่นี้ใช้เฉพาะผู้ประกอบธุรกิจที่อยู่ภายใต้การกำกับของหน่วยงานที่ออกประกาศนั้น (ธนาคารแห่งประเทศไทย สำนักงานคณะกรรมการกำกับและส่งเสริมการประกอบธุรกิจประกันภัย หรือสำนักงานคณะกรรมการกำกับหลักทรัพย์และตลาดหลักทรัพย์ แล้วแต่กรณี) [ต้องยืนยันแหล่งที่มา] | ประกาศธนาคารแห่งประเทศไทย เรื่อง การรับจ้างให้บริการงานที่สำคัญจากภายนอก (Outsourcing Policy) [ต้องยืนยันแหล่งที่มา] | แนวนโยบาย ธปท. | แก้ไขแล้ว — LAS Audit [ต้องยืนยันแหล่งที่มา] |
| C-CC-14-02 | ผู้ควบคุมข้อมูลส่วนบุคคลต้องจัดให้มีข้อตกลงกับผู้ประมวลผลข้อมูลส่วนบุคคลเพื่อควบคุมการดำเนินงานตามหน้าที่ของผู้ประมวลผลให้เป็นไปตามพระราชบัญญัติ ส่วนผู้ประมวลผลข้อมูลส่วนบุคคลมีหน้าที่ดำเนินการตามคำสั่งที่ได้รับจากผู้ควบคุม จัดให้มีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสม และแจ้งผู้ควบคุมถึงเหตุละเมิดข้อมูลส่วนบุคคลที่เกิดขึ้น | พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 มาตรา 40 | หมวด 3 สิทธิของเจ้าของข้อมูลส่วนบุคคล | แก้ไขแล้ว — LAS Audit |
| C-CC-14-03 | ผู้รับจ้างต้องยอมให้ผู้ว่าจ้างหรือตัวแทนตรวจตราการงานได้ตลอดเวลาที่กำลังทำอยู่นั้น | ประมวลกฎหมายแพ่งและพาณิชย์ มาตรา 592 | ลักษณะ 7 จ้างทำของ | ตรวจตรงตัวบท — LAS Audit |
| C-CC-14-04 | ผู้รับจ้างจ้างช่วงงานทั้งหมดหรือบางส่วนได้ เว้นแต่สาระสำคัญของสัญญาอยู่ที่ความรู้ความสามารถของตัวผู้รับจ้าง และผู้รับจ้างยังคงต้องรับผิดต่อความประพฤติหรือความผิดของผู้รับจ้างช่วง ผู้ว่าจ้างที่ต้องการควบคุมการจ้างช่วงต้องกำหนดข้อห้ามหรือเงื่อนไขการให้ความยินยอมเป็นหนังสือไว้ในสัญญาเอง | ประมวลกฎหมายแพ่งและพาณิชย์ มาตรา 607 | ลักษณะ 7 จ้างทำของ | แก้ไขแล้ว — LAS Audit |
| C-CC-14-05 | หน่วยงานโครงสร้างพื้นฐานสำคัญทางสารสนเทศต้องกำหนดกลไกหรือขั้นตอนเพื่อเฝ้าระวังภัยคุกคามทางไซเบอร์ และเมื่อเกิดเหตุภัยคุกคามทางไซเบอร์อย่างมีนัยสำคัญต้องรายงานต่อสำนักงานคณะกรรมการการรักษาความมั่นคงปลอดภัยไซเบอร์แห่งชาติและหน่วยงานควบคุมหรือกำกับดูแล พร้อมปฏิบัติการรับมือ หน้าที่นี้ใช้เฉพาะหน่วยงานโครงสร้างพื้นฐานสำคัญทางสารสนเทศตามพระราชบัญญัติการรักษาความมั่นคงปลอดภัยไซเบอร์ พ.ศ. 2562 ไม่ใช่ผู้ว่าจ้างงานไอทีทุกราย (พระราชบัญญัติการรักษาความมั่นคงปลอดภัยไซเบอร์ พ.ศ. 2562 มาตรา 56 และมาตรา 57) | พระราชบัญญัติการรักษาความมั่นคงปลอดภัยไซเบอร์ พ.ศ. 2562 มาตรา 56 และมาตรา 57 | หมวด 3 การรักษาความมั่นคงปลอดภัยไซเบอร์ ส่วนที่ 3 โครงสร้างพื้นฐานสำคัญทางสารสนเทศ | แก้ไขแล้ว — LAS Audit |
เกณฑ์การกำกับดูแล: General IT กับ Material IT Outsourcing
| มิติการพิจารณา | 1. การจ้างงานไอทีทั่วไป (Non-Material IT) | 2. การจ้างงานไอทีที่มีนัยสำคัญ (Material IT Outsourcing) |
|---|---|---|
| คำจำกัดความ | งานสนับสนุนทั่วไป เช่น จัดซื้อฮาร์ดแวร์ บำรุงรักษาเครื่องพิมพ์ | ระบบ Core Banking, Payment Gateway, ฐานข้อมูลลูกค้า |
| การรายงานหน่วยงานกำกับดูแล | บันทึกภายใน ไม่ต้องรายงานล่วงหน้า | ต้องรายงาน ธปท. ล่วงหน้า ไม่น้อยกว่า 30 วัน [ต้องยืนยันแหล่งที่มา] |
| สิทธิการเข้าตรวจสอบ (Audit Rights) | ตรวจตามสัญญาพาณิชย์ทั่วไป | ต้องให้สิทธิ ธปท. เข้าตรวจสอบสถานที่ ระบบ และข้อมูลที่เกี่ยวกับการให้บริการแก่ผู้ว่าจ้างได้ [ต้องยืนยันแหล่งที่มา] |
| แผนความต่อเนื่อง (BCP/DR) | ตามมาตรฐานผู้ให้บริการ | บังคับต้องทดสอบ BCP ร่วมกันอย่างน้อยปีละ 1 ครั้ง |
เกณฑ์ในตารางข้างต้นใช้เฉพาะผู้ประกอบธุรกิจที่อยู่ภายใต้การกำกับของหน่วยงานกำกับดูแลที่เกี่ยวข้อง ได้แก่ ธนาคารแห่งประเทศไทย สำนักงานคณะกรรมการกำกับและส่งเสริมการประกอบธุรกิจประกันภัย หรือสำนักงานคณะกรรมการกำกับหลักทรัพย์และตลาดหลักทรัพย์ แล้วแต่กรณี ส่วนระยะเวลารายงานล่วงหน้า สิทธิตรวจสอบ การทดสอบแผนความต่อเนื่องทางธุรกิจ และมาตรการที่หน่วยงานกำกับดูแลอาจใช้ ต้องตรวจจากประกาศฉบับปัจจุบันของหน่วยงานนั้นก่อนนำไปใช้ [ต้องยืนยันแหล่งที่มา]
เพื่อป้องกันปัญหา "ผู้รับจ้างเดิมเล่นแง่เมื่อไม่ได้รับการต่อสัญญา" สัญญา IT Outsource ต้องมี Exit Disentanglement Clause ที่ระบุเงื่อนไขบังคับ 3 ประการ:
(1) ผู้รับจ้างมีหน้าที่ให้บริการช่วงเปลี่ยนผ่าน (Transition Services) ต่อไปอีกไม่น้อยกว่า 90-180 วัน ด้วยระดับ SLA และราคาเดิม ทั้งนี้ระยะเวลาและเงื่อนไขค่าตอบแทนเป็นข้อเสนอเชิงพาณิชย์ที่คู่สัญญาตกลงกันเอง ไม่ใช่เกณฑ์ที่กฎหมายกำหนด
(2) ผู้รับจ้างต้องจัดทำคู่มือและถ่ายทอดองค์ความรู้ (Knowledge Transfer Sessions) ให้แก่ทีมงานของผู้ว่าจ้างหรือผู้รับจ้างรายใหม่อย่างครบถ้วน
(3) ห้ามมิให้ผู้รับจ้างระงับรหัสผ่าน หรือหน่วงเหนี่ยวฐานข้อมูลและเอกสารสิทธิ์ของระบบ เว้นแต่ในกรณีที่ผู้ว่าจ้างผิดนัดชำระค่าบริการ ซึ่งสัญญาต้องกำหนดเงื่อนไขและขั้นตอนไว้ให้ชัดเจน การฝ่าฝืนมีเบี้ยปรับรายวันได้ เบี้ยปรับกำหนดไว้ในสัญญาได้ แต่หากสูงเกินส่วน ศาลลดลงเป็นจำนวนพอสมควรได้ตามประมวลกฎหมายแพ่งและพาณิชย์ มาตรา 383 จึงควรกำหนดอัตราที่สมเหตุสมผลกับความเสียหายที่คาดได้
ข้อต่อสู้ของผู้ให้บริการ IT กับองค์กรผู้ว่าจ้าง Devil's Advocate
| ข้ออ้างของผู้ให้บริการ IT | ข้อชี้แจงของผู้ว่าจ้างตามกฎหมายไทย | หลักฐานที่ชี้ขาด |
|---|---|---|
| การให้ ธปท. เข้าตรวจศูนย์ข้อมูลเป็นการละเมิดความลับของลูกค้ารายอื่น | การตรวจจำกัดเฉพาะสถานที่ ระบบ และข้อมูลที่เกี่ยวกับการให้บริการแก่ผู้ว่าจ้างรายนี้ เช่น ระบบและตู้แร็ก (Rack) ที่จัดสรรให้ผู้ว่าจ้างรายนี้ และผู้ให้บริการอาจจำกัดการเข้าถึงข้อมูลของลูกค้ารายอื่นได้ [ต้องยืนยันแหล่งที่มา: ขอบเขตการตรวจตามประกาศของหน่วยงานกำกับดูแล] | ผังการแยกส่วนระบบ (Logical & Physical Isolation Architecture) |
| ตนมีสิทธิเลือกใช้ Subcontractor ได้อย่างเสรีตามแนวปฏิบัติสากล | สัญญากำหนดให้การจ้างช่วงงานไอทีต้องได้รับความเห็นชอบเป็นหนังสือล่วงหน้า | ข้อสัญญา Subcontracting Approval ในสัญญาจ้าง |
| สัญญาหมดอายุแล้ว ผู้ให้บริการจะตัดการเชื่อมต่อระบบทันที | สัญญามีข้อผูกพันช่วงเปลี่ยนผ่าน (Transition Period) ผู้รับจ้างต้องให้บริการต่อเนื่องจนกว่าจะโอนเสร็จ | ข้อสัญญา Exit Assistance & Transition Plan แนบท้ายสัญญา |
ตัวอย่างสถานการณ์จำลอง Worked Example
ข้อเท็จจริงสมมติ: บริษัท A ซึ่งเป็นบริษัทหลักทรัพย์จัดการกองทุน ทำสัญญาจ้างบริษัท B ซึ่งเป็นบริษัทไอทีภายนอก ดูแลระบบซื้อขายหน่วยลงทุนออนไลน์ สัญญาใกล้หมดอายุและบริษัท A ตัดสินใจไม่ต่อสัญญาเพื่อเปลี่ยนไปใช้ผู้ให้บริการรายใหม่
การบริหารจัดการช่วง Exit: (1) บริษัท A ส่งหนังสือแจ้งการไม่ต่อสัญญาล่วงหน้า 90 วัน พร้อมเรียกใช้สิทธิ Transition Services, (2) ผู้รับจ้างเดิมจัดส่งทีมวิศวกรมาอบรมถ่ายทอดระบบ 10 ครั้ง และส่งมอบคู่มือ Database Schema และ API Documentation ฉบับล่าสุด, (3) บริษัท A ตรวจสอบการส่งมอบข้อมูลลูกค้าครบถ้วน และให้ผู้รับจ้างเดิมลงนามใน Certificate of Data Destruction รับรองว่าผู้รับจ้างเดิมได้ลบหรือทำลายข้อมูลส่วนบุคคลตามคำสั่งของบริษัท A ภายหลังที่บริษัท A ยืนยันการรับโอนครบถ้วน เว้นแต่ข้อมูลที่ต้องเก็บรักษาไว้เพื่อก่อตั้งสิทธิเรียกร้องตามกฎหมายหรือเพื่อปฏิบัติตามกฎหมาย (พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 มาตรา 37 (3))
ขั้นตอนปฏิบัติในการจัดทำและบริหารสัญญา Action Steps
| ขั้นตอน | การดำเนินงาน | ผู้รับผิดชอบ | เอกสารผลลัพธ์ | กำหนดเวลา |
|---|---|---|---|---|
| 1 | ประเมินความเสี่ยง Vendor Risk Assessment & Materiality Check | ฝ่ายความเสี่ยง / IT | Outsourcing Materiality Assessment Report | ก่อนคัดเลือกผู้ขาย |
| 2 | ยกร่างสัญญาตามเกณฑ์กำกับของ ธปท. / คปภ. และ PDPA | ฝ่ายกฎหมาย LAS | IT Outsourcing Agreement & DPA Addendum | ก่อนลงนามสัญญา |
| 3 | จัดทำรายงานขออนุมัติหรือแจ้งหน่วยงานกำกับดูแล (หากเข้าเกณฑ์สำคัญ) | ฝ่ายกำกับการปฏิบัติตามกฎหมาย | หนังสือแจ้งการจ้างงานภายนอกต่อหน่วยงานกำกับดูแลที่เกี่ยวข้อง | ล่วงหน้า 30 วันก่อนเริ่มงาน (ตามเกณฑ์ของหน่วยงานกำกับดูแลที่ผู้ว่าจ้างอยู่ภายใต้การกำกับ [ต้องยืนยันแหล่งที่มา]) |
| 4 | ดำเนินการทดสอบแผน BCP/DR และตรวจ Audit ความปลอดภัยประจำปี | ทีมตรวจสอบภายใน | Annual BCP/DR Test & Audit Report | ปีละ 1 ครั้ง |
Checklist 10 จุดตรวจสัญญาจ้างบริการภายนอกด้านไอที
- สัญญามีข้อกำหนดสิทธิการเข้าตรวจสอบ (Right to Audit) ของผู้ว่าจ้างและหน่วยงานกำกับดูแล (ธปท./ก.ล.ต./คปภ.)
- มีข้อกำหนดในสัญญาห้ามนำงานไปจ้างช่วงต่อ (Subcontracting) เว้นแต่จะได้รับความยินยอมเป็นหนังสือล่วงหน้า ทั้งนี้ประมวลกฎหมายแพ่งและพาณิชย์ มาตรา 607 ให้ผู้รับจ้างจ้างช่วงได้เป็นหลัก ผู้ว่าจ้างจึงต้องเขียนข้อห้ามหรือเงื่อนไขนี้ไว้ในสัญญาเอง
- SLA ระบุตัวชี้วัดความพร้อมใช้งาน (Availability 99.9%), RTO และ RPO ชัดเจน
- มีการจัดทำแผนความต่อเนื่องทางธุรกิจ (BCP) และแผนกู้คืนระบบจากภัยพิบัติ (DRP) พร้อมหน้าที่ทดสอบทุกปี
- มีการผนวกสัญญาประมวลผลข้อมูลส่วนบุคคล (DPA) แนบท้ายตามข้อกำหนด PDPA มาตรา 40 ครบถ้วน
- มีการกำหนดขั้นตอนการแจ้งเตือนเหตุการณ์ความมั่นคงปลอดภัยทางไซเบอร์ (Incident Response) โดยให้ผู้รับจ้างในฐานะผู้ประมวลผลข้อมูลแจ้งผู้ควบคุมข้อมูลถึงเหตุละเมิดโดยเร็ว ภายในระยะเวลาที่สั้นพอให้ผู้ควบคุมแจ้งสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลได้ภายในเจ็ดสิบสองชั่วโมงนับแต่ทราบเหตุ (เช่น 24 ชั่วโมง ซึ่งเป็นข้อตกลงเชิงพาณิชย์ ไม่ใช่เกณฑ์ที่กฎหมายกำหนด) ตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 มาตรา 37 (4) และมาตรา 40 (2)
- กำหนดให้ผู้รับจ้างต้องมีประกันภัยความรับผิดทางไซเบอร์ (Cyber Insurance) เพื่อคุ้มครองความเสียหาย
- มีข้อสัญญาบังคับการโอนงานคืน (Exit Transition Assistance) อย่างน้อย 90-180 วันเมื่อสิ้นสุดสัญญา (เป็นข้อเสนอเชิงพาณิชย์ที่คู่สัญญาตกลงกันเอง)
- มีหนังสือรับรองการลบหรือทำลายข้อมูลส่วนบุคคล (Certificate of Data Sanitization / Destruction) ตามคำสั่งของผู้ว่าจ้างภายหลังที่ผู้ว่าจ้างยืนยันการรับโอนข้อมูลครบถ้วน เว้นแต่ข้อมูลที่ต้องเก็บรักษาไว้เพื่อก่อตั้งสิทธิเรียกร้องตามกฎหมายหรือเพื่อปฏิบัติตามกฎหมาย
- มีข้อสัญญาชดใช้ความเสียหาย (Indemnity) หากผู้รับจ้างกระทำการผิดกฎหมายกำกับดูแลหรือทำข้อมูลรั่วไหล
คำถามที่พบบ่อย Frequently Asked Questions
อ้างอิง — References
- ประกาศธนาคารแห่งประเทศไทย เรื่อง การรับจ้างให้บริการงานที่สำคัญจากภายนอก (Outsourcing Policy) [ต้องยืนยันแหล่งที่มา]
- ประกาศธนาคารแห่งประเทศไทย เรื่อง การบริหารจัดการความเสี่ยงด้านเทคโนโลยีสารสนเทศ (IT Risk Management) [ต้องยืนยันแหล่งที่มา]
- พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 มาตรา 37 และมาตรา 40
- พระราชบัญญัติคุ้มครองแรงงาน พ.ศ. 2541 (แก้ไขเพิ่มเติมถึงฉบับที่ 9 พ.ศ. 2568) มาตรา 11/1
- พระราชบัญญัติว่าด้วยการกระทำความผิดเกี่ยวกับคอมพิวเตอร์ พ.ศ. 2550 มาตรา 26
- ประมวลกฎหมายแพ่งและพาณิชย์ มาตรา 383 มาตรา 428 มาตรา 587 มาตรา 592 และมาตรา 607
- พระราชบัญญัติการรักษาความมั่นคงปลอดภัยไซเบอร์ พ.ศ. 2562 มาตรา 56 และมาตรา 57
- สำนักงานคณะกรรมการกฤษฎีกา — ระบบสืบค้นกฎหมาย (OCS)