Compliance 101 — ป้องกันทุจริตในองค์กร

ธันย์ธรณ์เทพ แย้มอุทัย, Ph.D. | Legal Advance Solution Co., Ltd. | อัปเดต 8 เมษายน 2569

1. ภาพรวม: ทำไม Compliance จึงสำคัญ

บริษัทของคุณอาจต้องรับผิดทางอาญา แม้กรรมการจะไม่รู้เรื่องเลย — นี่ไม่ใช่คำขู่ แต่เป็นกฎหมายที่บังคับใช้จริงในประเทศไทยตั้งแต่ปี 2561 พระราชบัญญัติประกอบรัฐธรรมนูญว่าด้วยการป้องกันและปราบปรามการทุจริต พ.ศ. 2561 กำหนดให้นิติบุคคลรับผิดได้หากบุคคลที่เกี่ยวข้องกระทำความผิดเพื่อประโยชน์ของนิติบุคคลนั้น

ในมุมมองของ LAS Risk Methodology การทุจริตในองค์กรไม่ใช่เพียงปัญหาจริยธรรม แต่เป็นความเสี่ยงทางกฎหมายและธุรกิจระดับ High Risk ที่ต้องบริหารจัดการอย่างเป็นระบบ ผลกระทบของการถูกดำเนินคดีทุจริตครอบคลุม:

• โทษทางอาญา — จำคุก ปรับ ทั้งบุคคลธรรมดาและนิติบุคคล
• เพิกถอนสัญญากับภาครัฐ — ห้ามเข้าประมูลงานรัฐ
• ความเสียหายต่อชื่อเสียง — สูญเสียลูกค้าและพันธมิตรทางธุรกิจ
• ผลกระทบต่อผู้ถือหุ้น — ราคาหุ้นตก นักลงทุนถอนตัว
• การสอบสวนจาก ป.ป.ช. DSI และ ปปง. พร้อมกัน

สถิติจาก Transparency International ระบุว่าดัชนีการรับรู้การทุจริต (CPI) ของไทยอยู่ที่ระดับ 35-38 คะแนน (จาก 100) ซึ่งสะท้อนให้เห็นว่าความเสี่ยงด้านการทุจริตในภาคธุรกิจไทยยังอยู่ในระดับที่ต้องระมัดระวังอย่างจริงจัง

2. กรอบกฎหมายต่อต้านทุจริตในไทย

ประเทศไทยมีกรอบกฎหมายต่อต้านทุจริตที่ครอบคลุมหลายระดับ ตั้งแต่รัฐธรรมนูญจนถึงระเบียบบริหารราชการ ดังนี้:

2.1 กฎหมายระดับรัฐธรรมนูญ

รัฐธรรมนูญแห่งราชอาณาจักรไทย พ.ศ. 2560 หมวด 16 ว่าด้วยการปฏิรูปประเทศ และหมวดที่เกี่ยวกับองค์กรอิสระ ได้วางรากฐานสำหรับระบบต่อต้านทุจริต โดยกำหนดให้มี ป.ป.ช. เป็นองค์กรอิสระตามรัฐธรรมนูญ และกำหนดมาตรการป้องกันผลประโยชน์ทับซ้อน

2.2 พ.ร.บ.ประกอบรัฐธรรมนูญว่าด้วยการป้องกันและปราบปรามการทุจริต พ.ศ. 2561

เป็นกฎหมายหลักในการต่อต้านทุจริตภาคเอกชน มีสาระสำคัญดังนี้:

• มาตรา 123/5 — ความรับผิดของนิติบุคคล กรณีบุคคลที่เกี่ยวข้องกระทำความผิดเพื่อประโยชน์ขององค์กร
• มาตรา 36 — มาตรการคุ้มครองพยานและผู้แจ้งเบาะแส
• มาตรา 119 — การให้สินบนเจ้าหน้าที่รัฐต่างประเทศ (สอดคล้อง FCPA/UKBA)
• มาตรา 122 — ความผิดฐานให้ เสนอให้ หรือสัญญาว่าจะให้แก่เจ้าพนักงาน

2.3 ประมวลกฎหมายอาญา

2.4 พ.ร.บ.ป้องกันและปราบปรามการฟอกเงิน พ.ศ. 2542

พระราชบัญญัติป้องกันและปราบปรามการฟอกเงิน พ.ศ. 2542 มีความสำคัญในมิติของการตรวจสอบธุรกรรมทางการเงินที่อาจเชื่อมโยงกับการทุจริต โดยกำหนดให้สถาบันการเงินและผู้ประกอบธุรกิจบางประเภทต้องรายงานธุรกรรมที่น่าสงสัย (Suspicious Transaction Report) และกำหนดให้ทรัพย์สินที่ได้จากการทุจริตตกเป็นของแผ่นดินได้

2.5 กฎหมายระหว่างประเทศที่ส่งผลต่อธุรกิจไทย

แม้บริษัทไทยอาจไม่อยู่ภายใต้ Foreign Corrupt Practices Act (FCPA) ของสหรัฐอเมริกา หรือ UK Bribery Act 2010 (UKBA) โดยตรง แต่หากบริษัทมีธุรกรรมกับคู่ค้าสหรัฐหรืออังกฤษ หรือหลักทรัพย์จดทะเบียนในตลาดต่างประเทศ อาจอยู่ภายใต้ขอบเขตของกฎหมายเหล่านี้ด้วย การมีระบบ Compliance ที่แข็งแกร่งจึงเป็นทั้งข้อกำหนดในประเทศและมาตรฐานสากล

3. บทบาทของ ป.ป.ช. (NACC) — คณะกรรมการป้องกันและปราบปรามการทุจริตแห่งชาติ

คณะกรรมการป้องกันและปราบปรามการทุจริตแห่งชาติ (ป.ป.ช.) หรือ National Anti-Corruption Commission (NACC) เป็นองค์กรอิสระตามรัฐธรรมนูญ มีอำนาจหน้าที่ครอบคลุมทั้งการไต่สวน การดำเนินคดี และการป้องกันการทุจริต

3.1 อำนาจหน้าที่ของ ป.ป.ช.

• ไต่สวนข้อเท็จจริง — ไต่สวนเจ้าหน้าที่รัฐและเอกชนที่ถูกกล่าวหาว่าทุจริต
• ตรวจสอบทรัพย์สิน — ตรวจสอบบัญชีทรัพย์สินและหนี้สินของผู้ดำรงตำแหน่งทางการเมืองและเจ้าหน้าที่รัฐ
• ป้องกันการทุจริต — จัดทำแนวปฏิบัติ ส่งเสริมวัฒนธรรมต่อต้านการทุจริต
• ฟ้องร้องคดีอาญา — ส่งฟ้องต่อศาลฎีกาแผนกคดีอาญาของผู้ดำรงตำแหน่งทางการเมือง หรือศาลอาญาคดีทุจริตฯ
• ยึดทรัพย์ — ยื่นคำร้องขอให้ทรัพย์สินที่ได้จากการทุจริตตกเป็นของแผ่นดิน

3.2 ศาลอาญาคดีทุจริตและประพฤติมิชอบ

ศาลอาญาคดีทุจริตและประพฤติมิชอบ (ศาล อท.) ได้รับการจัดตั้งขึ้นเพื่อพิจารณาคดีทุจริตโดยเฉพาะ มีความเชี่ยวชาญสูงในคดีประเภทนี้ กระบวนพิจารณาคดีมีความรวดเร็วกว่าศาลปกติ และมีบทลงโทษที่เข้มงวด ธุรกิจที่ถูกส่งฟ้องต่อศาล อท. มักเผชิญกับการพิจารณาคดีที่รวดเร็วและโทษที่หนักกว่า

3.3 การแจ้งเบาะแสต่อ ป.ป.ช.

ป.ป.ช. เปิดรับการแจ้งเบาะแสผ่านหลายช่องทาง ได้แก่ เว็บไซต์ nacc.go.th สายด่วน 1205 และการยื่นเรื่องด้วยตนเอง บุคคลที่แจ้งเบาะแสได้รับความคุ้มครองตามพระราชบัญญัติประกอบรัฐธรรมนูญว่าด้วยการป้องกันและปราบปรามการทุจริต พ.ศ. 2561 มาตรา 36

4. ความรับผิดของนิติบุคคล — มาตรา 123/5

พระราชบัญญัติประกอบรัฐธรรมนูญว่าด้วยการป้องกันและปราบปรามการทุจริต พ.ศ. 2561 มาตรา 123/5 กำหนดว่า หากบุคคลที่เกี่ยวข้องกับนิติบุคคลให้ เสนอให้ หรือสัญญาว่าจะให้ทรัพย์สินหรือประโยชน์อื่นใดแก่เจ้าหน้าที่ของรัฐ เพื่อจูงใจให้กระทำการ ไม่กระทำการ หรือประวิงการกระทำใด เพื่อประโยชน์ของนิติบุคคลนั้น ให้ถือว่านิติบุคคลมีความผิดด้วย เว้นแต่จะพิสูจน์ได้ว่ามีมาตรการป้องกันที่เหมาะสม

4.1 ใครคือ "บุคคลที่เกี่ยวข้อง" กับนิติบุคคล

ขอบเขตของ "บุคคลที่เกี่ยวข้อง" ตามมาตรา 123/5 กว้างมาก ครอบคลุม:

• กรรมการบริษัท (Board of Directors)
• ผู้บริหารระดับสูง (Senior Management)
• พนักงานทุกระดับ
• ตัวแทน (Agent) ที่ได้รับมอบอำนาจ
• ที่ปรึกษาหรือผู้รับจ้างที่ทำงานในนามบริษัท
• บริษัทย่อยหรือบริษัทในเครือ

4.2 บทลงโทษ

4.3 กรณีที่นิติบุคคลอาจพ้นผิด (Defense)

นิติบุคคลสามารถพ้นผิดได้หากพิสูจน์ว่า:

1. มีมาตรการป้องกันที่เหมาะสมและเพียงพอ (Adequate Procedures)
2. ผู้บริหารระดับสูงไม่รู้เห็นหรือยินยอมให้มีการกระทำผิด
3. บริษัทได้ใช้ความพยายามอย่างสมเหตุสมผลในการป้องกันการทุจริต

นี่คือเหตุผลหลักที่ทำให้ระบบ Compliance Program มีความสำคัญมาก เพราะเป็นหลักฐานสำคัญในการต่อสู้คดี

5. Adequate Procedures — มาตรการป้องกันที่เพียงพอ

แนวคิด Adequate Procedures ในกฎหมายไทยได้รับอิทธิพลจาก UK Bribery Act 2010 Section 7 ซึ่งกำหนดหลัก 6 ประการที่องค์กรต้องพิสูจน์ว่ามีอยู่จริง หลักเกณฑ์ที่ยอมรับโดยทั่วไปสำหรับตลาดไทย ได้แก่:

1. นโยบายต่อต้านทุจริต (Anti-Corruption Policy) — จัดทำเป็นลายลักษณ์อักษร ได้รับอนุมัติจากคณะกรรมการบริษัท สื่อสารให้ทุกคนในองค์กรรับทราบและเซ็นรับทราบ
2. การประเมินความเสี่ยง (Risk Assessment) — ประเมินและทบทวนความเสี่ยงด้านการทุจริตเป็นระยะ ระบุกิจกรรมที่มีความเสี่ยงสูง โดยเฉพาะส่วนที่ติดต่อกับหน่วยงานรัฐ
3. ระบบควบคุมภายใน (Internal Controls) — แบ่งแยกอำนาจหน้าที่ (Segregation of Duties) มีการตรวจสอบและอนุมัติหลายระดับ บันทึกบัญชีที่ถูกต้องและตรวจสอบได้
4. การอบรม (Training) — อบรมพนักงานทุกระดับเกี่ยวกับนโยบายต่อต้านทุจริตและผลทางกฎหมาย รวมถึงการอบรมพิเศษสำหรับพนักงานที่ทำงานในพื้นที่เสี่ยง
5. การตรวจสอบคู่ค้า (Third-Party Due Diligence) — ตรวจสอบประวัติตัวแทน ที่ปรึกษา และคู่ค้าที่ทำงานในนามบริษัท โดยเฉพาะผู้ที่มีหน้าที่ติดต่อหน่วยงานรัฐ
6. ช่องทางร้องเรียน (Whistleblower Channel) — จัดให้มีช่องทางแจ้งเบาะแสภายในที่ปลอดภัย ไม่เปิดเผยตัวตน และมีการติดตามผลอย่างจริงจัง

5.1 Anti-Corruption Policy — เนื้อหาที่ต้องมี

นโยบายต่อต้านทุจริตที่มีประสิทธิภาพควรครอบคลุมหัวข้อดังนี้:

5.2 Gift Policy — นโยบายของขวัญและการต้อนรับ

หนึ่งในพื้นที่เสี่ยงที่สำคัญที่สุดในธุรกิจไทยคือการให้-รับของขวัญและการต้อนรับ เพราะวัฒนธรรมธุรกิจไทยมีบรรทัดฐานการให้ของขวัญที่ฝังรากลึก แนวปฏิบัติที่แนะนำ:

• กำหนดวงเงินสูงสุดที่ยอมรับได้ เช่น ไม่เกิน 2,000-3,000 บาทต่อครั้ง
• ห้ามให้-รับของขวัญเป็นเงินสดหรือเทียบเท่าเงินสด (บัตรของขวัญ คูปอง)
• ของขวัญทุกชิ้นต้องบันทึกในทะเบียน Gift Register
• การเชิญรับประทานอาหารต้องบันทึกจุดประสงค์ทางธุรกิจที่ชัดเจน
• การเดินทางและที่พักที่เจ้าหน้าที่รัฐจ่ายให้ — ห้ามรับโดยเด็ดขาด

6. Internal Controls — ระบบควบคุมภายใน

ระบบควบคุมภายใน (Internal Control System) เป็นหัวใจสำคัญของ Compliance Program ที่ดี โดยอ้างอิงกรอบ COSO (Committee of Sponsoring Organizations) ซึ่งเป็นมาตรฐานสากลที่ได้รับการยอมรับในประเทศไทยด้วย

6.1 องค์ประกอบ 5 ส่วนของ COSO Framework

6.2 มาตรการควบคุมเฉพาะพื้นที่เสี่ยง

จัดซื้อจัดจ้าง (Procurement)

• Segregation of Duties — แยกผู้เสนอ ผู้อนุมัติ และผู้รับสินค้า/บริการ
• Competitive Bidding — กำหนดเกณฑ์วงเงินที่ต้องเปิดประมูล
• Vendor Registration — ตรวจสอบและขึ้นทะเบียนคู่ค้าอย่างเป็นระบบ
• หมุนเวียนพนักงานในตำแหน่งที่มีความเสี่ยงสูง

การเงินและบัญชี (Finance & Accounting)

• Dual Signature — ลายเซ็นสองรายสำหรับการโอนเงินเกินวงเงินที่กำหนด
• Petty Cash Control — ระเบียบการใช้เงินสดย่อยที่เข้มงวด
• Expense Report Audit — ตรวจสอบรายงานค่าใช้จ่ายอย่างสม่ำเสมอ
• ห้ามบัญชีนอกบัญชี (Off-the-book accounts) โดยเด็ดขาด

การติดต่อกับหน่วยงานรัฐ

• บันทึกการประชุมกับเจ้าหน้าที่รัฐทุกครั้ง รวมถึงหัวข้อที่หารือ
• ห้ามมอบหมายพนักงานเพียงคนเดียวในการดูแลสัญญารัฐ
• ทบทวนสัญญากับหน่วยงานรัฐโดยฝ่ายกฎหมายทุกครั้ง

7. Corporate Governance — ธรรมาภิบาลองค์กร

ธรรมาภิบาล (Corporate Governance) เป็นระบบที่กำกับดูแลการบริหารจัดการองค์กรให้มีความโปร่งใส รับผิดชอบ และเป็นธรรมต่อผู้มีส่วนได้เสียทุกฝ่าย ในประเทศไทย หน่วยงานหลักที่กำหนดมาตรฐาน CG ได้แก่:

7.1 CG Code 2560 ของ ก.ล.ต.

สำนักงานคณะกรรมการกำกับหลักทรัพย์และตลาดหลักทรัพย์ (ก.ล.ต.) ได้ออก Corporate Governance Code สำหรับบริษัทจดทะเบียน พ.ศ. 2560 ซึ่งกำหนดหลักการ 8 ประการ (ตรงข้ามกับ "Comply or Explain" แบบเก่า เป็น "Apply or Explain" ที่ยืดหยุ่นกว่า):

1. ตระหนักถึงบทบาทและความรับผิดชอบของคณะกรรมการ
2. กำหนดวัตถุประสงค์และเป้าหมายหลักขององค์กร
3. เสริมสร้างคณะกรรมการที่มีประสิทธิผล
4. สรรหาและพัฒนาผู้บริหารระดับสูง
5. ส่งเสริมนวัตกรรมและการประกอบธุรกิจอย่างรับผิดชอบ
6. ดูแลให้มีระบบการบริหารความเสี่ยงและการควบคุมภายในที่เหมาะสม
7. รักษาความน่าเชื่อถือทางการเงินและการเปิดเผยข้อมูล
8. สนับสนุนการมีส่วนร่วมและการสื่อสารกับผู้ถือหุ้น

7.2 IOD และ Director Certification Program

สมาคมส่งเสริมสถาบันกรรมการบริษัทไทย (IOD) จัดหลักสูตร Director Certification Program (DCP) ที่เป็นที่ยอมรับในระดับสากล กรรมการบริษัทที่ผ่านการอบรม DCP มีความเข้าใจในหน้าที่และความรับผิดชอบของตนมากขึ้น ซึ่งส่งผลโดยตรงต่อคุณภาพการกำกับดูแลกิจการ

7.3 คณะกรรมการตรวจสอบ (Audit Committee)

สำหรับบริษัทที่มีผู้ถือหุ้นจำนวนมาก หรือบริษัทจดทะเบียน การมีคณะกรรมการตรวจสอบที่เป็นอิสระเป็นสิ่งสำคัญ โดยทำหน้าที่:

• กำกับดูแลกระบวนการรายงานทางการเงิน
• ตรวจสอบระบบควบคุมภายในและการบริหารความเสี่ยง
• รับรายงานจาก Internal Audit และ External Audit
• พิจารณาข้อร้องเรียนด้าน Compliance และการทุจริต

8. SOX-Equivalent — มาตรฐาน Sarbanes-Oxley สำหรับบริษัทไทย

Sarbanes-Oxley Act (SOX) ของสหรัฐฯ ปี 2002 ถูกออกแบบมาเพื่อตอบสนองต่อเรื่องอื้อฉาวทางการเงินของ Enron และ WorldCom แม้บริษัทไทยส่วนใหญ่ไม่ได้อยู่ภายใต้ SOX โดยตรง แต่หลักการ SOX ได้รับการยอมรับและปรับใช้ในบริบทไทยผ่านกฎเกณฑ์ของ ก.ล.ต. และ ตลท.

8.1 หลักการ SOX ที่บริษัทไทยควรนำมาใช้

8.2 การสร้าง Internal Audit Function ที่มีประสิทธิภาพ

หน่วยตรวจสอบภายใน (Internal Audit) ที่มีประสิทธิภาพควรมีคุณลักษณะดังนี้:

• ความเป็นอิสระ — รายงานตรงต่อคณะกรรมการตรวจสอบ ไม่ใช่ CEO
• Risk-Based Approach — กำหนดแผนตรวจสอบตามระดับความเสี่ยง
• Surprise Audit — การตรวจสอบแบบไม่แจ้งล่วงหน้าในพื้นที่เสี่ยง
• Follow-Up — ติดตามการแก้ไขตามข้อเสนอแนะอย่างสม่ำเสมอ
• การรายงาน — รายงานผลการตรวจสอบต่อคณะกรรมการบริษัทโดยตรง

9. Whistleblower — ระบบแจ้งเบาะแสที่มีประสิทธิภาพ

ระบบ Whistleblower ที่ดีเป็นเครื่องมือสำคัญในการตรวจจับการทุจริตตั้งแต่ต้น องค์กรที่มีระบบนี้ที่ใช้งานได้จริงสามารถตรวจพบและแก้ไขปัญหาได้เร็วกว่า ลดความเสียหายที่อาจเกิดขึ้นได้อย่างมาก

9.1 การคุ้มครองตามกฎหมายไทย

พระราชบัญญัติประกอบรัฐธรรมนูญว่าด้วยการป้องกันและปราบปรามการทุจริต พ.ศ. 2561 มาตรา 36 กำหนดมาตรการคุ้มครองผู้แจ้งเบาะแส ดังนี้:

• ห้ามเปิดเผยข้อมูลที่อาจระบุตัวผู้แจ้งโดยไม่ได้รับความยินยอม
• ห้ามนายจ้างกระทำการที่เป็นการเลือกปฏิบัติต่อพนักงานที่แจ้งเบาะแส
• ผู้แจ้งที่แจ้งโดยสุจริตและมีเหตุอันควรเชื่อไม่ต้องรับผิดทางแพ่งหรืออาญา

9.2 องค์ประกอบของระบบ Whistleblower ที่ดี

9.3 ขั้นตอนการสืบสวน Internal Investigation

1. รับเรื่องและบันทึก — รับเรื่องร้องเรียนอย่างเป็นระบบ มอบหมายเลขอ้างอิง กำหนด Triage ว่าเรื่องใดต้องสืบสวนด่วน
2. ประเมินเบื้องต้น — Compliance Officer ประเมินว่าเรื่องมีมูลเพียงพอที่จะสืบสวนหรือไม่ ภายใน 10 วันทำการ
3. มอบหมายผู้สืบสวน — เลือกผู้สืบสวนที่ไม่มีผลประโยชน์ขัดแย้ง อาจเป็น Internal Audit หรือที่ปรึกษาภายนอก
4. เก็บรวบรวมหลักฐาน — สัมภาษณ์พยาน ตรวจสอบเอกสาร อีเมล ข้อมูลการเงิน โดยรักษาความลับและห่วงโซ่หลักฐาน
5. จัดทำรายงาน — รายงานผลการสืบสวนพร้อมข้อเสนอแนะ เสนอต่อคณะกรรมการตรวจสอบ
6. ดำเนินการ — มาตรการทางวินัย การแจ้งความ การแก้ไขระบบควบคุม
7. ติดตามผล — ติดตามว่าได้มีการดำเนินการตามที่ตกลงครบถ้วนหรือไม่

10. LAS Risk Assessment — การประเมินความเสี่ยงด้าน Compliance

ตามหลัก LAS Risk Methodology ความเสี่ยงด้าน Anti-Corruption Compliance แบ่งออกเป็น 3 ระดับ:

10.1 Red Flags ที่ต้องระวัง

11. คู่มือปฏิบัติสำหรับ SME

ธุรกิจขนาดกลางและเล็ก (SME) อาจคิดว่า Compliance Program เป็นเรื่องของบริษัทใหญ่เท่านั้น แต่ในความเป็นจริง SME ที่ติดต่อกับหน่วยงานรัฐมีความเสี่ยงเช่นเดียวกัน เพียงแต่ต้องออกแบบระบบให้เหมาะสมกับขนาดองค์กร

11.1 Compliance Program แบบ Minimal Viable สำหรับ SME

สำหรับ SME ที่มีพนักงานน้อยกว่า 50 คน LAS แนะนำ Compliance Package ขั้นต่ำ ดังนี้:

1. นโยบายต่อต้านทุจริต 1 หน้า — กระชับ ชัดเจน ทุกคนอ่านแล้วเข้าใจ
2. Code of Conduct — แนวปฏิบัติพฤติกรรมสำหรับพนักงานทุกคน
3. Gift Register — ทะเบียนบันทึกการให้-รับของขวัญ
4. ช่องทางแจ้งเบาะแส — อีเมลลับหรือกล่องรับเรื่องแยกต่างหาก
5. Training ปีละ 1 ครั้ง — อบรมพนักงานเกี่ยวกับนโยบายและกฎหมาย
6. เอกสารหลักฐาน — เก็บหลักฐานการดำเนินการทุกข้อไว้อ้างอิง

11.2 Timeline การสร้าง Compliance Program

12. FAQ — คำถามที่พบบ่อย