นโยบายการใช้บริการผู้ให้บริการภายนอก
(Third-Party Management Policy)

1. วัตถุประสงค์

          ในการดำเนินกลยุทธ์เพื่อให้บริษัทบรรลุเป้าหมายในสภาพแวดล้อมด้านการแข่งขันทางธุรกิจและ การเปลี่ยนแปลงอย่างรวดเร็วของเทคโนโลยี บริษัทอาจจะมีการจัดจ้างผู้ให้บริการภายนอกที่มีศักยภาพและ มีความเชี่ยวชาญ หรืออาจจะมีพันธมิตรทางธุรกิจ เพื่อเพิ่มประสิทธิภาพการดำเนินงานของบริษัทในการให้บริการและตอบสนองความต้องการของลูกค้าและผู้มุ่งหวัง บริษัทจึงกำหนดนโยบายฉบับนี้เพื่อเป็นกรอบในการบริหารความเสี่ยงที่เกี่ยวข้อง รวมถึงความเสี่ยงทางด้านความมั่นคงปลอดภัยทางเทคโนโลยีสารสนเทศให้อยู่ในระดับที่บริษัทยอมรับได้ สอดคล้องกับประกาศหรือแนวปฏิบัติของหน่วยงานกำกับธุรกิจ

2. ขอบเขตของนโยบาย

          นโยบายฉบับนี้ใช้สำหรับบริษัทและบริษัทย่อย ในการใช้ผู้ให้บริการภายนอก บุคลากรของบริษัทและบริษัทย่อยต้องศึกษาทำความเข้าใจและถือปฏิบัติตามนโยบายฉบับนี้

3. วันที่มีผลบังคับใช้

          นโยบายฉบับนี้มีผลบังคับใช้ตั้งแต่วันที่คณะกรรมการบริษัทอนุมัติ

4. ความถี่ในการทบทวนและการแก้ไขปรับปรุงนโยบาย

          นโยบายฉบับนี้จะต้องได้รับการทบทวนอย่างน้อยปีละ 1 ครั้ง หรือเมื่อมีการเปลี่ยนแปลงที่มีนัยสําคัญ

5. ผู้รับผิดชอบนโยบาย

          ฝ่ายธุรการ และฝ่ายกำกับความมั่นคงปลอดภัยและความเสี่ยงสารสนเทศ เป็นผู้รับผิดชอบบริหารจัดการนโยบายฉบับนี้

6. คำนิยาม

            “บริษัท” หมายถึง บริษัท กรุงเทพประกันชีวิต จํากัด (มหาชน)

            “บริษัทย่อย” หมายถึง บริษัทที่บริษัทถือหุ้นไม่ว่าทางตรงหรือทางอ้อมเกินกว่าร้อยละ 50 ของจำนวน หุ้นทั้งหมดที่มีสิทธิ์ออกเสียง

            “การใช้บริการผู้ให้บริการภายนอก” หมายถึง การที่บริษัทใช้ผู้ให้บริการภายนอกดำเนินการแทนสำหรับงานที่โดยปกติบริษัทต้องดำเนินการเองไม่ว่าทั้งหมดหรือบางส่วน

            “ผู้ให้บริการภายนอก” หมายถึง บุคคลธรรมดา หรือนิติบุคคล ซึ่งเข้าทำสัญญารับจัดการงานให้กับบริษัท ตามที่ตกลงกัน รวมถึงคู่ค้าที่จัดหาสินค้าหรือบริการ (Vendor) พันธมิตรธุรกิจที่มีส่วนสนับสนุนการให้บริการของบริษัท พันธมิตรธุรกิจที่เป็นช่องทางการจำหน่ายผลิตภัณฑ์ของบริษัท (Partnership) นายหน้าประกันภัย และผู้ให้บริการอื่น

            “การบริหารความเสี่ยงผู้ให้บริการภายนอก” หมายถึง กระบวนการระบุ ประเมิน และจัดการความเสี่ยงที่อาจเกิดขึ้นจากการใช้บริการ อาทิเช่น ปัญหาการหยุดให้บริการของผู้ให้บริการภายนอกและเกิดผลกระทบต่อลูกค้าของบริษัท การใช้บริการการเชื่อมต่อระบบ หรือการให้ผู้ให้บริการภายนอกเข้าถึงข้อมูลสำคัญขององค์กร เพื่อให้มั่นใจว่าการดำเนินงานยังคงต่อเนื่องและปลอดภัย

            “วงจรการใช้บริการจากผู้ให้บริการภายนอก (Third-Party Management Life Cycle)” หมายถึง กระบวนการบริหารจัดการผู้ให้บริการภายนอก ซึ่งครอบคลุมตั้งแต่การประเมินความเสี่ยง การคัดเลือก การจัดทำสัญญาหรือข้อตกลง การติดตามผลการปฏิบัติงานอย่างต่อเนื่อง และการยกเลิกหรือสิ้นสุดสัญญาหรือข้อตกลง รวมถึงการรักษาความมั่นคงปลอดภัยด้านเทคโนโลยีสารสนเทศ

            “Service Level Agreement : SLA” หมายถึง สัญญาหรือข้อตกลงระหว่างผู้ให้บริการและผู้รับบริการ ซึ่งเป็นเอกสารที่ระบุรายละเอียดของการให้บริการ และกำหนดบทบาทหน้าที่ของทั้งผู้ให้บริการและผู้รับบริการไว้อย่างชัดเจน

            “การบริหารความต่อเนื่องทางธุรกิจ (Business Continuity Management : BCM)” หมายถึง แนวทางในการกำหนดนโยบาย มาตรฐาน และกระบวนการปฏิบัติงานของบริษัท เพื่อให้มั่นใจว่ากรณีที่มีเหตุการณ์ที่ทำให้ การปฏิบัติงานตามปกติเกิดหยุดชะงัก ระบบงานที่สำคัญจะยังสามารถดำเนินการได้อย่างต่อเนื่องหรือกลับมาดำเนินงานได้ในเวลาที่เหมาะสม

            “แผนฉุกเฉินด้านเทคโนโลยีสารสนเทศ (Disaster Recovery Plan : DRP)” หมายถึง แผนงานที่กำหนดไว้เป็นลายลักษณ์อักษร เพื่อจัดเตรียมไว้สำหรับการกู้คืนระบบในกรณีที่ระบบงานล้มเหลว ช่วยให้สามารถกู้คืนระบบและการทำงานกลับคืนสู่สภาวะปกติ

            “แผนรับมือภัยคุกคามและตอบสนองต่อเหตุการณ์ผิดปกติทางไซเบอร์ (Cyber Incident Response Plan : CIRP)” หมายถึง แผนงานที่กำหนดไว้เป็นลายลักษณ์อักษร เพื่อกำหนดวิธีปฏิบัติงานในการตอบสนองเมื่อเกิดเหตุภัยคุกคามไซเบอร์

7. หลักการทั่วไป

          นโยบายฉบับนี้จัดทําขึ้นเพื่อให้มั่นใจว่าการดําเนินงานของบริษัทซึ่งเกี่ยวข้องกับการใช้บริการจากผู้ให้บริการภายนอกมีมาตรฐานในการกำกับดูแลการบริหารจัดการความเสี่ยงที่เกี่ยวข้อง โดยคำนึงถึงการบริหารความต่อเนื่องทางธุรกิจ การคุ้มครองลูกค้า และความมั่นคงปลอดภัยของระบบและข้อมูลของบริษัท ทั้งนี้ เพื่อให้บรรลุเป้าหมายทางธุรกิจของบริษัทอย่างมีประสิทธิภาพ

8. นโยบาย

9. บทลงโทษ

          การฝ่าฝืนการปฏิบัติตามนโยบายฉบับนี้เป็นการฝ่าฝืนจรรยาบรรณสำหรับบุคคลขององค์กร และอาจมีความผิดตามกฎหมาย กฎเกณฑ์ ข้อบังคับ หรือข้อกำหนดอื่น ๆ ที่เกี่ยวข้อง