12 ตุลาคม 2548 เรียน ผู้จัดการ ธนาคารพาณิชย์ทุกธนาคาร บริษัทเงินทุนและบริษัทเครดิตฟองซิเอร์ทุกบริษัท ที่ ธปท. ฝนส. (21) ว. 1953/2548 เรื่อง แนวปฏิบัติในการจัดทำแผนฉุกเฉินด้านงานเทคโนโลยีสารสนเทศ (แผนฉุกเฉินด้าน IT) 1. เหตุผลในการออกหนังสือเวียน ด้วยเมื่อกลางปี 2547 ธนาคารแห่งประเทศไทย (ธปท.) ได้ออกไปหารือกับเจ้าหน้าที่ระดับสูงของธนาคารพาณิชย์ที่รับผิดชอบทางด้านเทคโนโลยีสารสนเทศจำนวนหนึ่ง เกี่ยวกับแนวปฏิบัติในการจัดทำแผนฉุกเฉินด้านงานเทคโนโลยีสารสนเทศ ทำให้ทราบว่าธนาคารพาณิชย์กำลังดำเนินการจัดทำแผนฉุกเฉิน ฯ อยู่แล้ว โดยหาก ธปท. มีนโยบายที่จะออกแนวปฏิบัติในการจัดทำแผนฉุกเฉินด้านงานเทคโนโลยีสารสนเทศ ก็จะเป็นการสนับสนุนงานของธนาคารพาณิชย์เพื่อใช้ในการอ้างอิงได้ ดังนั้น ธปท. จึงได้พิจารณาจัดทำแนวปฏิบัติในการจัดทำแผนฉุกเฉินด้านงานเทคโนโลยีสารสนเทศฉบับนี้ขึ้น โดยใช้แนวทางของ National Institute of Standards and Technology (NIST) เรื่อง Contingency Planning Guide for Information Technology Systems แนวปฏิบัติในการจัดทำแผนฉุกเฉินด้านงานเทคโนโลยีสารสนเทศฉบับนี้มีวัตถุประสงค์ เพื่อให้สถาบันการเงินใช้เป็นแนวทางในการกำหนดนโยบายและกระบวนการจัดทำแผนฉุกเฉินด้านงานเทคโนโลยีสารสนเทศที่มีประสิทธิภาพ เพื่อเตรียมรองรับเหตุการณ์และลดผลกระทบต่าง ๆ ที่อาจเกิดขึ้น รวมทั้งฟื้นฟูระบบเทคโนโลยีสารสนเทศของสถาบันการเงินให้กลับคืนสู่สภาพปกติได้ภายในเวลาที่เหมาะสม ซึ่งทำให้สถาบันการเงินสามารถดำเนินธุรกิจได้อย่างต่อเนื่องหรือได้รับผลกระทบน้อยที่สุดหลังจากเกิดเหตุการณ์หยุดชะงัก อันเป็นการสร้างความเชื่อมั่นให้กับลูกค้าและผู้มีส่วนได้ส่วนเสียในการให้บริการของสถาบันการเงิน อย่างไรก็ดี แผนฉุกเฉินด้านงานเทคโนโลยีสารสนเทศถือเป็นส่วนหนึ่งของแผนรองรับการดำเนินธุรกิจอย่างต่อเนื่อง (Business Continuity Plan) ซึ่งเป็นแผนงานในการทำให้ธุรกิจดำเนินไปได้อย่างต่อเนื่องหรือทำให้ธุรกิจกลับคืนสู่สภาพที่สามารถดำเนินต่อไปได้ในกรณีที่เกิด เหตุการณ์ฉุกเฉิน โดยมีรายละเอียดที่ครอบคลุมปัจจัยการดำเนินธุรกิจของสถาบันการเงินทั้งองค์กร เช่น สถานที่ อุปกรณ์ ระบบสาธารณูปโภค ระบบเทคโนโลยีสารสนเทศ ระบบเครือข่ายสื่อสาร บุคลากร เป็นต้น ซึ่ง ธปท. ได้ตระหนักถึงความสำคัญและอยู่ระหว่างการจัดทำแนวปฏิบัติในการจัดทำแผนรองรับการดำเนินธุรกิจอย่างต่อเนื่อง เพื่อให้สถาบันการเงินถือปฏิบัติต่อไป 2. ขอบเขตการถือปฏิบัติ ธนาคารพาณิชย์ บริษัทเงินทุน และบริษัทเครดิตฟองซิเอร์ทุกแห่ง 3. เนื้อหา สาระสำคัญของแนวปฏิบัติได้แก่ 1. บทบาทและความรับผิดชอบของคณะกรรมการสถาบันการเงิน คณะกรรมการสถาบันการเงินมีหน้าที่ กำหนดนโยบายและแนวทางในการจัดทำแผนฉุกเฉินด้าน IT ที่เป็นลายลักษณ์อักษร และกำหนดให้มีคณะทำงานที่รับผิดชอบในการดำเนินการจัดทำแผนฉุกเฉินด้าน IT ให้เป็นไปตามนโยบายและแนวทางที่ได้กำหนดไว้ เพื่อเสนอให้คณะกรรมการสถาบันการเงินพิจารณาอนุมัติใช้เป็นแผนในการดำเนินการ นอกจากนี้ คณะกรรมการสถาบันการเงินยังมีหน้าที่ติดตามดูแลให้พนักงานและผู้ที่เกี่ยวข้องปฏิบัติงานตามแผนฉุกเฉินด้าน IT อย่างเหมาะสม และจัดให้มีการประเมินประสิทธิภาพของนโยบายและแนวทางในการจัดทำแผนฉุกเฉินด้าน IT อย่างน้อยปีละหนึ่งครั้ง และเมื่อมีการเปลี่ยนแปลงนโยบายหรือระบบเทคโนโลยีสารสนเทศที่สำคัญ 2. นโยบายและแนวทางในการจัดทำแผนฉุกเฉินด้านงานเทคโนโลยีสารสนเทศ ในการกำหนดนโยบายและแนวทางการจัดทำแผนฉุกเฉินด้าน IT คณะกรรมการสถาบันการเงินควรคำนึงถึงความสอดคล้องกับนโยบายการจัดทำแผนรองรับการดำเนินธุรกิจอย่างต่อเนื่อง และนโยบายการบริหารความเสี่ยงของสถาบันการเงิน โดยต้องพิจารณาให้ครอบคลุมถึง การระบุเหตุการณ์ความเสียหายที่มีโอกาสเกิดขึ้น การวิเคราะห์ผลกระทบทางธุรกิจที่พึ่งพาเทคโนโลยีสารสนเทศหากระบบเกิดการหยุดชะงัก และการประเมินและบริหารความเสี่ยงต่าง ๆ ทั้งนี้ นโยบายและแนวทางการจัดทำแผนฉุกเฉินด้าน IT ควรมีกระบวนการ วางแผนที่สำคัญคือ การเตรียมความพร้อมก่อนเกิดเหตุการณ์ความเสียหาย การตอบสนองต่อสถานการณ์ฉุกเฉิน การดำเนินการเพื่อให้สามารถดำเนินธุรกิจได้อย่างต่อเนื่อง และการกลับคืน สู่การทำงานปกติ รวมทั้ง ต้องกำหนดคณะทำงานที่รับผิดชอบในการจัดทำแผนฉุกเฉินด้าน IT ไว้อย่างชัดเจน 3. กระบวนการหลักในการจัดทำแผนฉุกเฉินด้านงานเทคโนโลยีสารสนเทศ กระบวนการหลักในการจัดทำแผนฉุกเฉินด้าน IT ที่มีประสิทธิภาพและสามารถนำมาใช้รองรับเหตุการณ์ความเสียหายที่เกิดขึ้นได้ประกอบด้วย การวิเคราะห์ผลกระทบทางธุรกิจ การประเมินความเสี่ยงและการควบคุม การวางกลยุทธ์สำหรับแผนฉุกเฉินด้านงานเทคโนโลยีสารสนเทศ การพัฒนาแผนฉุกเฉินด้านงานเทคโนโลยีสารสนเทศ การประชาสัมพันธ์และการฝึกอบรมและการทดสอบ ปรับปรุงและสอบทานแผน 4. วันเริ่มต้นการถือปฏิบัติ โปรดถือปฏิบัติตามแนวปฏิบัติในการจัดทำแผนฉุกเฉินทางด้านเทคโนโลยีสารสนเทศตั้งแต่วันที่ 1 พฤศจิกายน 2548 เป็นต้นไป ขอแสดงความนับถือ (ม.ร.ว. ปรีดิยาธร เทวกุล) ผู้ว่าการ ฝ่ายกลยุทธ์สถาบันการเงิน โทร. 0-2283-6938, 0-2283-5839 หมายเหตุ [ ] ธนาคารจะจัดให้มีการประชุมชี้แจงในวันที่.......ณ............... [X] ไม่มีการจัดประชุมชี้แจง ฝนสว90-คส56001-25481013ด