ตรวจสอบตามเกณฑ์ คปภ. (OIC Compliance)

ตรวจสอบตามเกณฑ์ คปภ. บริษัทประกันชีวิต และบริษัทประกันภัย

ครอบคลุมถึงเกณฑ์เพิ่มเติมของปี 2569

โดยทีมผู้ตรวจสอบประสบการณ์วุฒิบัตรสากล ( CISA)

ประสบการณ์ตรวจสอบสถาบันการเงิน ประกันภัย เช่าซื้อ บริษัทมหาชนมากกว่า 30 ปี

กฎหมายและเกณฑ์การตรวจสอบตาม คปภ. ใหม่

เกณฑ์ คปภ. ใหม่ AI, Cyber Security

เกณฑ์ คปภ. ฉบับใหม่ครอบคลุมถึง Data Governance, AI Governance และ Cyber Security สอดคล้องกับความเสี่ยงจากการใช้ AI พร้อมทั้งเพิ่มเกณฑ์ให้ครอบคลุมถึงการตรวจสอบการรักษาความมั่นคงปลอดภัย ซึ่งรวมถึงการตั้งค่า hardening การทดสอบ Pentest ที่ครอบคลุมถึง Security Risk ที่สำคัญ เช่น OWASP Mobile Top10 และ OWASP API Top10 ทำให้ขอบเขตการตรวจสอบตามเกณฑ์ใหม่ต้องครอบคลุมการตรวจสอบไอทีในเชิงลึก ซึ่งต้องใช้ผู้ตรวจสอบมีความเชี่ยวชาญในด้านไอทีเป็นพิเศษ แม้ว่าบางรายการจะเป็นการดำเนินการโดยผู้เชี่ยวชาญจากภายนอก เช่น การทำ Penetration Test แต่ขอบเขตการตรวจสอบยังต้องครอบคลุมถึงการสอบทานและประเมินความเหมาะสม และความครบถ้วนในการตรวจสอบว่าได้ดำเนินครบถ้วนและการปฏิบัติตามเกณฑ์ คปภ. ได้อย่างครบถ้วน

เกณฑ์ คปภ. ยังครอบคลุมถึงการใช้บริการภายนอก ซึ่งรวมถึง Outsource งานตรวจสอบด้วย ซึ่งต้องนำเสนอแนวทาง หรือมาตรฐานการคุ้มครองข้อมูล และกำหนดให้ต้องมีการติดตาม ประเมินผล และตรวจสอบผู้ให้บริการภายนอกว่ามีการดำเนินการตามแนวทาง หรือมาตรการที่กำหนดหรือไม่

พรบ.การรักษาความมั่นคงปลอดภัยไซเบอร์

คณะกรรมการรักษาความมั่นคงปลอดภัยไซเบอร์แห่งชาติ ได้กำหนด “มาตรฐานด้านการรักษาความปลอดภัยไซเบอร์ระบบคลาวด์ พ.ศ. 2567” กำหนดให้หน่วยงานรัฐ หน่วยงานควบคุมหรือกำกับดูแลและหน่วยงานโครงสร้างพื้นฐานสำคัญทางสารสนเทศ ซึ่งรวมถึงธุรกิจประกัน ให้มีการกำกับดูแลด้านความมั่นคงปลอดภัยระบบคลาวด์ (Cloud Security Governance) การปฏิบัติการและการรักษาความมั่นคงเปลอดภัยโครงสร้างพื้นฐานระบบคลาวด์

การบริหารทรัพยากรมนุษย์
การจัดการทรัพย์สิน
การควบคุมการเข้าถึง
การเข้ารหัส
การรักษาความปลอดภัยทางกายภาพและสภาพแวดล้อม
การรักษาความปลอดภัยการปฏิบัติการ
การรักษาความมั่นคงปลอดภัยเครือข่าย
การจัดหา การพัฒนา และการบำรุงรักษา
การจัดการผู้ให้บริการภายนอก
การจัดการเหตุภัยคุกคามทางสารสนเทศ

ตลอดจนได้กำหนดระดับและความถี่ในการตรวจรับรองตามระดับผลกระทบและระดับความอ่อนไหว

ข้อแตกต่างระหว่างเกณฑ์การตรวจสอบตาม คปภ. ใหม่

เกณฑ์เดิม (ปี 2563)	เกณฑ์ใหม่ (ปี 2569)
ไม่ได้ระบุคุณสมบัติเฉพาะเจาะจงของคณะผู้ตรวจสอบภายนอกอย่างเข้มงวด	ต้องถือใบเซอร์เฉพาะทางชัดเจน เช่น CISA หรือ ISO/IEC 27001 Lead Auditor และต้องรายงานส่ง คปภ. ทุกปี ทำให้กรณีที่บริษัทประกันใช้บริการผู้ตรวจสอบภายนอก ต้องสอบทานใบเซอร์เพื่อให้มั่นใจว่า ไม่มีการปลอมใบเซอร์ หรือแอบอ้างใบเซอร์ของบุคคลอื่นซึ่งจะทำให้บริษัทประกันต้องรับผิดชอบด้วย ดังเช่นการปลอมลายมือชื่อผู้สอบบัญชี
ตรวจสอบตามแผนงานประจำปีที่คณะกรรมการอนุมัติทั่วไป	กำหนดตามความเสี่ยง (Risk-Based): ระบบสำคัญ (Material Systems) ต้องตรวจ Full-Scope ทุก 3 ปี, ระบบเสี่ยงสูงต้องตรวจ Full-Scope ทุกปี และหากโดน Cyber Attack ต้องเข้าตรวจ Full-Scope ในปีนั้นทันที
การทดสอบเจาะระบบ (Pentest) ทำตามความเหมาะสมของกรอบเวลาภายในองค์กร	บังคับใช้ผู้เชี่ยวชาญภายนอก (External Experts) ทำ Pentest ระบบที่เชื่อมต่ออินเทอร์เน็ตอย่างน้อยปีละ 1 ครั้ง หรือทุกครั้งที่มีการเปลี่ยนระบบอย่างมีนัยสำคัญ
การบริหารจัดการข้อมูล เน้นเรื่องความปลอดภัยและการคุ้มครองตามเกณฑ์ทั่วไป	เพิ่มหมวด Data Governance แยกเฉพาะ บังคับทำกระบวนการจัดการข้อมูลตลอด Life Cycle และเน้นเรื่อง Data Quality
การทดสอบ Mobile App & API ไม่มีข้อบังคับเฉพาะเจาะจงในขั้นตอนก่อนระบบขึ้นใช้งาน	บังคับทดสอบความปลอดภัย Mobile App ตามมาตรฐาน MASTG ก่อน Go-Live และเพิ่มข้อกำหนดเรื่องการทดสอบความปลอดภัยของ API
การกำกับดูแลระบบ AI ยังไม่มีข้อกำหนดเฉพาะในเรื่องปัญญาประดิษฐ์	เพิ่ม AI Governance Guideline บังคับประเมินความเสี่ยงความโปร่งใสของโมเดล และเน้นย้ำมาตรการควบคุม AI จาก Third-party
ข้อกำหนด Compliance มีเงื่อนไข “Deemed-Compliance” (ทำตามแนวทางแล้วถือว่าผ่านเกณฑ์อัตโนมัติ)	ยกเลิก Deemed-Compliance ทุกบริษัทต้องถูกประเมินจริงตามหน้างาน และเชื่อมโยงผลตรวจเข้าระบบ Early Warning System (EWS) ของ คปภ.

ความท้าทายในการตรวจสอบตามเกณฑ์ใหม่

เกณฑ์คปภ. ฉบับใหม่ครอบคลุมถึง Data Governance, AI Governance และ Cyber Security สอดคล้องกับความเสี่ยงจากการใช้ AI ซึ่งต้องตรวจสอบเพิ่มเติม และอาจทำให้เกิดความเสี่ยงจากการปฏิบัติตามเกณฑ์ คปภ.ไม่ครบถ้วน (Compliance Risk)

คปภ.เพิ่มเกณฑ์ให้ครอบคลุมถึงการตรวจสอบการรักษาความมั่นคงปลอดภัย ซึ่งรวมถึงการตั้งค่า hardening การทดสอบ Penetration testing ที่ครอบคลุมถึง Security Risk ที่สำคัญ เช่น OWASP Mobile Top10 และ OWASP API Top10 เป็นต้น
การตรวจสอบโดยทั่วไปมักจะไม่ครอบคลุมถึงการสอบทานความปลอดภัยในข้างต้น แม้ว่าบางรายการ (เช่น Penetration Testing) จะเป็นการดำเนินการโดยผู้เชี่ยวชายภายนอก แต่ยังต้องมีการตรวจสอบไม่ต่างจากกิจกรรมอื่นเพื่อให้มั่นใจว่า การทดสอบดังกล่าวครอบคลุมความเสี่ยงที่สำคัญครบถ้วนและเหมาะสม
เพิ่มเกณฑ์การควบคุมการใช้บริการภายนอก ซึ่งรวมถึง Outsource งานตรวจสอบด้วย เนื่องจากอาจมีความเสี่ยงจากข้อมูลรั่วไหลเช่นเดียวกัน หากยังมีการจัดเก็บและการแชร์ หรือการใช้งานผ่าน Shadow AI ที่ไม่ปลอดภัย หรือไม่มีระบบควบคุมผ่านระบบควบคุมกลาง ซึ่งบริษัทประกันต้องมีการสอบทาน ประเมินผล และตรวจสอบ เพื่อให้มั่นใจว่ามีการดำเนินการตามแนวทาง หรือมาตรการที่กำหนด

เราพร้อมให้บริการตามเกณฑ์ใหม่

เรามีทีมงานที่เชี่ยวชาญและประสบการณ์ในการตรวจสอบตามเกณฑ์ใหม่ของ คปภ. ได้อย่างครบถ้วน

การตรวจสอบตามเกณฑ์ของ คปภ. รวมถึงเกณฑ์ใหม่ ครบถ้วน ตลอดจนมีประสบการณ์ในการตรวจสอบ Security Review and Assessments ซึ่งครอบคลุมถึงเกณฑ์ของ คปภ.
สำนักงานมีมาตรการควบคุมความปลอดภัยข้อมูลผ่านระบบไอทีชั้นนำ มีระบบควบคุมส่วนกลางที่สามารถกำหนดสิทธิการเข้าถึงตลอดจนควบคุมและจำกัดสิทธิการใช้งานตามมาตรฐานสากล ซึ่งสามารถรองรับการปฏิบัติตามเกณฑ์ของ คปภ.ได้อย่างครบถ้วน

บริการตรวจสอบตามเกณฑ์ คปภ. แบบครบวงจร

บริษัทมีทีมงานวุฒิบัตรสากล (CISA) ที่มีประสบการณ์การในการบริหารงานตรวจสอบ และการตรวจสอบไอทีสถาบันการเงินมากกว่า 30 ปี และเป็นผู้เชี่ยวชาญในวางระบบควบคุมและการตรวจสอบData Governance, AI Governance และ Cyber Security ตามเกณฑ์ใหม่ของ คปภ. อย่างครบถ้วน

ตรวสอบตามเกณฑ์ คปภ.

บริการตรวจสอบตามเกณฑ์ คปภ.สำหรับบริษัทประกันชีวิต และบริษัทประกันภัย ครอบคลุมถึงการเกณฑ์ใหม่ในปี 2569 โดยทีมตรวจสอบประสบการณ์มากกว่า 30 ปี มีวุฒิบัตรสากล (CISA) สอดคล้องตามหลักเกณฑ์ของ คปภ. และมีความเชี่ยวชาญด้านไอทีในเชิงลึก เราพร้อมให้บริการแบบครบวงจร ดังนี้

จัดทำ Risk-Based Audit และแผนการตรวจสอบ ครอบคลุมถึงการตรวจสอบตามข้อกำหนดของ คปภ.
นำเสนอแผนงานเพื่อขออนุมัติตามขั้นตอนของบริษัท
จัดทำแผนปฏิบัติการตรวจสอบ (Engagement Plan) โดยกำหนดขอบเขตการตรวจสอบครอบคลุมถึงการตรวจสอบตามข้อกำหนดของ คปภ. รวมถึงหลักหลักเกณฑ์ใหม่ในปี 2569
จัดทำ Audit Program ตามแนวปฏิบัติในการตรวจสอบ AI ที่เป็นสากลสากล คือ NIST AI Risk Managment Framework (AI RMF) และ OWASP Top 10 for LLM
ดำเนินการตรวจสอบตามแผนที่กำหนด
จัดทำ Working Paper สรุปผลการตรวจสอบ และรายงานผลการตรวจสอบ
รายงานผลการตรวจสอบต่อคณะกรรมการตรวจสอบ
ติดตามผลการแก้ไข

เตรียมปฏิบัติตามเกณฑ์ คปภ.

บริการให้คำปรึกษาในการดำเนินการเพื่อความพร้อมในการปฏิบัติตามเกณฑ์ คปภ. ตามมาตรฐานสากล และข้อกำหนดของ คปภ. กฎหมาย และแนวปฏิบัติที่เกี่ยวข้อง ครอบถึงนโยบาย กระบวนการและแนวปฏิบัติในแต่ล่ะขั้นตอน

IT Governance, Ethical Policy & Procedures
IT Security และ Cybersecurity Policy & Procedures
ออกแบบ System Architecture & Design
ออกแบบ Security Architecture & Design
ออกแบบ Application Architecture & Design
ออกแบบแนวทางการทำ Hardening, Penetration Tesint และ Vulneability Assessment
IT Risk Management Policy & Procedures
IT Compliance Procedures
แนวทางจัดทำ Risk-based Audit และการตรวจสอบ
Data Goverance Policy and Procedures
AI Governance Policy and Procedures
Third-Party Management & Control
แนวปฏิบัติและการจัดทำรายงานภัยคุกคาม
รายงานผลการเตรียมความพร้อมและติดตามผลการแก้ไข
จัดทำระเบียบ แนวทางปฏิบัติ และมาตรการควบคุม
จัดทำคู่มือปกิบัติงาน และจัดอบรมพนักงาน

บริการที่เกี่ยวข้องกับบริษัทประกันภัย

ตรวสอบระบบประกันภัยออนไลน์

ตรวสอบการใช้บริการ IT Outsourcing / Cloud

เหตุผลที่เลือกใช้บริการ Thailand Audit

เราให้บริการที่แตกต่าง

ปัจจุบัน บริษัทประกันต่างพัฒนาระบบไอทีที่ซับซ้อน และนำ AI มาใช้เพื่อสนับสนุนการดำเนินการหลากหลายรูปแบบ ในขณะ คปภ. ปรับปรุงเกณฑ์การควบคุมและกำกับดูแลระบบงานไอทีใหม่ให้ครอบคลุมถึงรายละเอียดทางเทคนิค และการรักษาความปลอดภัยในเชิงลึก เพื่อให้สอดคล้องกับพัฒนาการด้านเทคโนโลยี อีกทั้งยังต้องปฏิบัติให้สอดคล้องตามพรบ.การรักษาความมั่นคงปลอดภัยไซเบอร์ ทำให้ผู้ตรวจสอบต้องมีความรู้และประสบการณ์ในการตรวจสอบทางเทคนิคและการตรวจสอบไอทีในเชิงลึกให้สอดคล้องกับระดับการใช้เทคโนโลยี เพื่อลดความเสี่ยงจากการตรวจสอบไม่ครบถ้วนตามเกณฑ์ใหม่ที่เพิ่มเติมในส่วนของ Cybersecurity และ AI (Compliance Risk)

เรามีทีมตรวจสอบที่เชี่ยวชาญในการตรวจสอบด้านเทคนิค และการรักษาความปลอดภัยในเชิงลึก เพื่อให้มั่นใจว่าบริษัทมีความพร้อมในการตรวจสอบตามเกณฑ์ใหม่ของ คปท. พรบ.การรักษาความมั่นคงปลอดภัยไซเบอร์

ประสบการณ์บริหารงานตรวจสอบ

ทีมงานมีประการณ์การตรวจสอบสถาบันการเงินและบริษัทประกันในเครือ เป็นผู้ก่อตั้ง IT Audit, การตรวจสอบความเสี่ยง Cyber Security Audit และเป็นหัวหน้าทีมตรวจสอบไอทีบริษัทประกัน

การตรวจสอบตามเกณฑ์ คปภ.

ทีมงานมีความรู้และประสบการณ์ด้าน IT Security, Cyber Security, IT Governance, Data Governance และ AI Governaceซึ่งเป็นความเชี่ยวชายที่จำป็นสำหรับการตรวจสอบการเกณฑ์ใหม่ คปภ.

เชี่ยวชาญการตรวจสอบ พรบ.ไซเบอร์

ทีมงานมีความรู้และความเชี่ยวชาญ ในการตรวจสอบ Cloud Security Governance ตามมาตรฐานการักษาความปลอดภัยไซเบอร์ระบบคลาวด์ พ.ศ.2567 ซึ่งมีผลบังคับใช้ตั้งแต่เดือน กันยายน 2569

มาตรฐานการตรวจสอบ

เราได้ให้บริการตรวจสอบตามเกณฑ์ คปภ. และมาตรฐานการตรวจสอบตามแนวทางของ คปภ. ครอบคลุมถึง ISO27001, COBIT, NIST Cybersecurity Fromework, OWASP TOP10

คุณภาพงานตรวจสอบ

ทุกงานตรวจสอบ จะใช้ผู้ตรวจสอบที่มีประสบการณ์สอดคล้องกับงานที่ตรวจสอบ มีการควบคุมและ สอบทานคุณภาพในกำหนดแผนการตรวจสอบ Audit Program, กระกาษทำการและรายงาน

ความเข้าใจในธุรกิจ

ทีมบริหารของเรามีความรู้และประสบการณ์ทั้งในด้านบัญชี ไอที และธุรกิจที่หลากหลาย สามารถ สอบทาน ประเมินการควบคุม และให้ข้อเสนอแนะที่มีคุณค่าและเหมาะสมกับธุรกิจ

FAQ – บริการตรวจสอบ AI Audit

รวมคำถามพบบ่อยเกี่ยวกับ IA Audit

การใช้ผู้ให้บริการตรวจสอบจาภายนอกตามเกณฑ์ใหม่ อาจทำให้เกิด Audit Risk และความเสี่ยงต่อบริษัทประกัน ดังนี้

ความเสี่ยงจากการการคัดเลือกผู้ให้บริการที่ได้รับวุฒิบัตรตามที่ คปภ.กำหนด ควรสอบทานวุฒิบัตรต้นฉบับเพื่อให้มั่นใจว่าเป็นผู้ได้รับวุฒิบัตรจริง ไม่ได้นำวุฒิบัตรของบุคคลอื่น หรือพนักงานที่ลาออกมายื่นซึ่งจะทำให้บริษัทประกันมีความผิดไปด้วยดังเช่น การปลอมแปลงลายมือชื่อผู้สอบบัญชีค่อนข้างมากจนทำให้สภาวิชาชีพบัญชีต้องมีข้อความเตือนบนเว็บไซต์
ข้อกำหนดของ คปภ. ตามเกณฑ์ใหม่ (2569) ครอบคลุมถึงรายละเอียดทางเทคนิคในเชิงลึกทั้งในส่วนของ Cyber Security, AI, การรักาาความปลอดภัยข้อมูล ในขณะที่การทดสอบความปลอดภัย มีการกำหนดมาตรฐานการทดสอบที่ครอบคลุมถึง OWASP Mobile Top10 และ OWASP API Top10 การคัดเลือกผู้ตรวจสอบภายนอกจึงควรเป็นผู้ที่มีความรู้ด้านเทคนิคในเชิงลึกที่สามารถสอบทานความปลอดภัย และประเมินการทดสอบระบบของผู้เชี่ยวชาญเพื่อให้มั่นใจว่าได้ดำเนินการครบถ้วนตามข้อกำหนดของ คปภ.
ความเสี่ยงจากจุดอ่อนในการควบคุมและรักษาความปลอดภัยข้อมูลประกอบการตรวจสอบของบริษัทประกันภัยที่จัดส่งให้ผู้ให้บริการตรวจสอบ จากการเข้าถึงข้อมูลที่จัดเก็บ การใช้ AI ฟรี หรือ AI ส่วนบุคคลในการวิเคราะห์ข้อมูล

เรามีทีมงานที่มีความรู้ ประสบการณ์ในการตรวจสอบสถาบันการเงิน บริษัทประกันภัย และการตรวจสอบบริษัทในตลาดหลักทรัพย์ในธุรกิจที่หลากหลาย ตลอดจนมีวุฒิบัตร CISA สอดคล้องตามข้อกำหนดของ คปภ. และยังมีวุฒติบัติที่เกี่ยวข้อง เช่น CIA และ Cyber Security
เรามีบุคคลากรที่เชี่ยวชาญข้อกำหนดของ คปภ. ตามเกณฑ์ใหม่ (2569) ครอบคลุมถึงรายละเอียดทางเทคนิคในเชิงลึกทั้งในส่วนของ Cyber Security, AI, การรักาาความปลอดภัยข้อมูล Data Governance ตลอดจนการสอบทานการกำหนดค่าความปลอดภัยและการรักษาความปลอดภัยของระบบ ระบบงาน เครื่อข่ยสื่อสาร การรักษาความปลอดภัยผ่าน Cloud Security และการสอบทานความครบถ้วนและความเหมาะสมของการทดสอบความปลอดภัย (Penetration Test) ตามข้อกำหนดของ คปภ. ได้อย่างครบถ้วน
บริษัทมีมาตรการควบคุมและรักษาความปลอดภัยข้อมูลและการบริการตรวจสอบผ่านระบบควบคุมกลางผ่านระบบควบคุมและรักษาความปลอดภัยในระดับสากล

ขอบเขตการตรวจสอบตามเกณฑ์ คปภ. ประกอบด้วย 2 ส่วน คือ

ส่วนที่ 1 : IT General Control ครอบคลุมระบบไอทีทั้งองค์กร เพื่อพิจารณาถึงโครงสร้างไอทีในภาพรวมของทั้งบริษัทประกันภัย ซึ่งต้องครอบคลุมถึงระบบหลักที่ส่งผลต่องบการเงินและความมั่นคง

ส่วนที่ 2: Risk-Based Audit เป็นการตรวจสอบระบบงานที่มีความเสี่ยงสูงตาม Risk-Based Audit ซึ่งรวมถึงการทำ Vulnerability Assessment & Penetration Testing และการตรวสอบตามข้อกำหนดของ คปภ. ในทั้งกระบวนการ

มีคะ เราให้บริการตรวจสอบบริษัทประกันภัยแบบครบวงจร ครอบคลุมถึงการตรวจสอบระบบประกันภัยออนไลน์ การใช้บริการ Outsourcing หรือ Cloud การตรวจสอบข้อมูลส่วนบุคคล (PDPA) การตรวจสอบการนำ AI มาใช้งาน (AI Audit) หรือการให้บริการ Outsource งานตรวจสอบภายในทั้งหมด หรือเฉพาะบางโครงการ รวมทั้งการให้บริการวางระบบและจัดอบรมพนักงาน

ตรวสอบระบบประกันภัยออนไลน์ ตรวสอบการใช้บริการ IT Outsourcing / Cloud

เราให้บริการตรวจสอบ AI Audit และให้คำปรึกษาในการวางระบบควบคุมและรักษาความปลอดภัยในการใช้งาน AI ด้วยบริการที่มีคุณภาพ โดยคิดค่าบริการในราคาที่เหมาะสมและเป็นราคาที่รับได้สำหรับธุรกิจไทย

Knowledge Sharing

หรือพายุใหญ่กำลังจะมาพร้อมกับ AI

By Thailandaudit.com

Posted in ตรวจสอบ AI

เปิดเผยจุดอ่อนของการเทรนโมเดล ซึ่งเน้นที่ผลลัพธ์มากกว่ากระบวนการที่ได้มาซึ่งผลลัพธ์ ทำให้ AI พยายามหาช่องทางต่าง ๆ เพื่อให้ได้มาซึ่งผลลัพธ์ ซึ่งวิธีการดังกล่าวอาจเป็นวิธีการที่ไม่ถูกต้อง และจุดอ่อนดังกล่าวเริ่มรุนแรงมากขึ้นเพราะ AI เก่งขึ้นเรื่อย ๆ ทำให้การหาช่องทางเพื่อให้ได้ผลลัพธ์ล่อแหลมมากขึ้น

ความเสี่ยงจากการใช้ AI