Compliance Risk ทำไมธุรกิจต้องรู้ก่อนเลือกคู่ค้า บุคคลที่สาม

ทีมจัดซื้อกำลังเปรียบเทียบผู้ให้บริการภายนอกสำหรับสัญญาระยะยาวรายหนึ่ง เอกสารบริษัทครบ ราคาที่เสนอเหมาะสม และผลงานที่ผ่านมาดูน่าพอใจ แต่เมื่อทีมนำข้อมูลที่คู่ค้าส่งมาเทียบกับข้อมูลธุรกิจที่ตรวจสอบได้ กลับพบว่าบุคคลที่คู่ค้าแจ้งว่าจะเป็นผู้ลงนามในสัญญา ไม่ปรากฏตามเงื่อนไขอำนาจลงนามในข้อมูลล่าสุด และโครงสร้างผู้ถือหุ้นมีหลายชั้นกว่าที่ระบุไว้ในเอกสารเบื้องต้น

คำถามที่ตามมาไม่ใช่ว่าคู่ค้ารายนี้ทำผิดหรือไม่ แต่คือองค์กรควรอนุมัติต่อทันที ขอข้อมูลเพิ่ม หรือส่งตรวจเชิงลึกก่อน และคำถามนี้คือจุดเริ่มต้นของสิ่งที่เรียกว่า Compliance Risk

ก่อนเลือกคู่ค้า ความเสี่ยงไม่ได้จบที่ราคาและการส่งมอบ

ทีมจัดซื้อและทีมธุรกิจส่วนใหญ่คุ้นเคยกับการประเมินคู่ค้าจากราคา คุณภาพงาน และความสามารถในการส่งมอบตรงเวลา เกณฑ์เหล่านี้ตอบคำถามว่าคู่ค้าทำงานได้ดีแค่ไหน แต่ยังไม่ตอบคำถามว่าเงื่อนไขทางกฎหมาย สัญญา หรือนโยบายภายในองค์กร จะได้รับผลกระทบจากความสัมพันธ์นี้หรือไม่

เอกสารครบไม่ได้แปลว่าข้อมูลเพียงพอต่อการประเมินทุกด้าน หนังสือรับรองบริษัท สำเนาบัตรผู้มีอำนาจ หรือใบเสนอราคา ช่วยยืนยันตัวตน ข้อมูลจดทะเบียน และผู้เกี่ยวข้องในระดับพื้นฐาน แต่ยังไม่เพียงพอที่จะประเมินความพร้อมในการส่งมอบหรือ Compliance Risk ของธุรกรรมทั้งหมด ทีมจัดซื้อในตัวอย่างข้างต้นจึงต้องพิจารณาข้อมูลอีกชั้นหนึ่งที่เอกสารเบื้องต้นไม่แสดงให้เห็น ก่อนตัดสินใจอนุมัติคู่ค้ารายนี้

Compliance Risk คืออะไรในความสัมพันธ์กับคู่ค้า

Compliance Risk คือ ความเสี่ยงที่องค์กรจะได้รับผลกระทบจากการไม่สอดคล้องกับกฎหมาย ข้อกำหนด เงื่อนไขสัญญา มาตรฐานอุตสาหกรรม หรือนโยบายภายในองค์กรเอง โดยความไม่สอดคล้องนี้อาจเกิดจากการตัดสินใจหรือการกระทำของคู่ค้าและบุคคลที่สามที่องค์กรเลือกเข้ามาร่วมงาน ไม่ใช่เกิดจากองค์กรเองโดยตรง

ความเสี่ยงด้านการปฏิบัติตามกฎระเบียบในบริบทนี้จึงไม่ได้จำกัดอยู่แค่การทำตามกฎหมายเท่านั้น แต่รวมถึงข้อกำหนดและนโยบายที่องค์กรมีหน้าที่ต้องรักษาไว้ด้วย เช่น เงื่อนไขที่ระบุในสัญญากับลูกค้ารายใหญ่ มาตรฐานที่หน่วยงานกำกับดูแลอุตสาหกรรมกำหนด หรือนโยบายภายในที่องค์กรวางไว้เพื่อควบคุมคู่ค้าและบุคคลที่สาม

เพื่อไม่ให้บทความนี้ปนกับกรอบความเสี่ยงใกล้เคียงที่ธุรกิจมักใช้เมื่อพูดถึงคู่ค้า ตารางด้านล่างสรุปคำถามหลักและข้อมูลที่ใช้ของแต่ละความเสี่ยงไว้เพื่อให้เห็นขอบเขตที่ต่างกัน

ประเภทความเสี่ยง	คำถามหลัก	ข้อมูลที่ใช้
Compliance Risk	คู่ค้าหรือความสัมพันธ์นี้ทำให้องค์กรไม่สอดคล้องกับกฎหมาย ข้อกำหนด สัญญา หรือนโยบายหรือไม่	ข้อมูลนิติบุคคล ผู้มีอำนาจ โครงสร้างผู้ถือหุ้น ความเชื่อมโยง และความสอดคล้องของข้อมูลที่คู่ค้าแจ้ง
Third Party Risk	บุคคลที่สามรายนี้สร้างความเสี่ยงด้านใดบ้างต่อองค์กร	ครอบคลุมทุกมิติ ทั้งการเงิน การส่งมอบ ความมั่นคง และ Compliance
Supplier Risk	ซัพพลายเออร์รายนี้ส่งมอบสินค้าหรือวัตถุดิบได้ตามคุณภาพและกำหนดเวลาหรือไม่	ประวัติการส่งมอบ กำลังการผลิต และความต่อเนื่องของห่วงโซ่อุปทาน
Credit Risk	คู่ค้ามีความสามารถชำระหนี้หรือรักษาสถานะทางการเงินได้หรือไม่	งบการเงิน แนวโน้มผลประกอบการ และภาระหนี้สิน

บทความนี้เจาะเฉพาะ Compliance Risk เท่านั้น ไม่ได้ประเมินความเสี่ยงทุกด้านของคู่ค้าตามที่ขอบเขตที่ Third Party Risk ระบุไว้ และส่วนความพร้อมด้านการส่งมอบของซัพพลายเออร์จะอยู่ในขอบเขตของ Supplier Risk

ความเสี่ยงเข้าสู่องค์กรผ่านบุคคลที่สามได้อย่างไร

ความไม่สอดคล้องของคู่ค้าเดินทางเข้าสู่องค์กรผ่านขั้นตอนทางธุรกิจที่ต่อเนื่องกัน ตั้งแต่การคัดเลือกคู่ค้า การลงนามในสัญญา การให้สิทธิ์เข้าถึงข้อมูลหรือระบบ ไปจนถึงการปฏิบัติงานแทนองค์กรหรือส่งมอบต่อให้ลูกค้าปลายทาง แต่ละขั้นตอนเพิ่มระดับการเชื่อมโยงระหว่างองค์กรกับคู่ค้าให้แน่นขึ้น และเป็นจุดที่ผลกระทบจากคู่ค้าสามารถไหลกลับเข้าสู่องค์กรได้

ในขั้นคัดเลือก หากผู้มีอำนาจของคู่ค้าไม่ตรงกับข้อมูลล่าสุดตั้งแต่ต้น ความสมบูรณ์ของข้อตกลงที่จะเกิดขึ้นในขั้นลงนามอาจถูกตั้งคำถามในภายหลัง ในขั้นให้สิทธิ์เข้าถึงข้อมูลหรือระบบ ข้อมูลผู้ถือหุ้นหรือผู้เกี่ยวข้องที่ยังไม่ชัดเจน ทำให้องค์กรมองเห็นภาพของผู้ที่จะเข้าถึงกระบวนการสำคัญได้ไม่ครบถ้วน และในขั้นปฏิบัติงานแทนหรือส่งมอบให้ลูกค้าปลายทาง หากบุคคลที่สามเข้าถึงข้อมูลลูกค้าหรือกระทำการในนามองค์กร ความเสียหายด้านชื่อเสียงหรือคำถามเรื่องการกำกับดูแลอาจย้อนกลับมาที่องค์กรผู้ว่าจ้างเอง ไม่ใช่ที่คู่ค้าเพียงฝ่ายเดียว

ข้อมูลผู้ถือหุ้นและความสัมพันธ์ในขั้นตอนนี้ช่วยให้เห็นโครงสร้างเท่าที่ข้อมูลที่มีอยู่รองรับ และชี้ว่าต้องติดตามต่อไปยังบุคคลหรือนิติบุคคลใด ไม่ใช่ข้อมูลที่ระบุตัวผู้ควบคุมหรือ UBO ได้สมบูรณ์ในตัวเอง หากธุรกรรมใดจำเป็นต้องยืนยันผู้ควบคุมที่แท้จริง ต้องใช้เอกสารและกระบวนการตรวจสอบอื่นประกอบร่วมด้วย

ระดับผลกระทบของแต่ละขั้นตอนไม่เท่ากันในทุกกรณี ความสำคัญของคู่ค้าต่อการดำเนินธุรกิจ มูลค่าสัญญา ระยะเวลาความสัมพันธ์ และระดับการเข้าถึงข้อมูลหรือระบบ เป็นตัวแปรที่เพิ่มหรือลดขนาดของผลกระทบ กรณีผู้ให้บริการภายนอกในตัวอย่างข้างต้น สัญญาระยะยาวและสิทธิ์เข้าถึงกระบวนการสำคัญที่จะเกิดขึ้น ทำให้ข้อมูลที่ยังไม่ชัดเจนเรื่องผู้มีอำนาจและโครงสร้างผู้ถือหุ้นมีน้ำหนักมากกว่ากรณีที่เป็นงานจ้างระยะสั้นมูลค่าต่ำ

ก่อนอนุมัติคู่ค้า ควรตรวจสอบข้อมูลอะไรบ้าง

การตรวจสอบคู่ค้าเพื่อประเมิน Compliance Risk ต้องแยกให้ชัดว่าข้อมูลแต่ละมิติตอบคำถามต่างกัน และไม่มีข้อมูลชุดเดียวที่ใช้สรุปผลได้ทั้งหมด เจ็ดมิติด้านล่างเป็นกรอบที่ใช้ประกอบการประเมิน โดยแต่ละมิติต้องอ่านร่วมกับมิติอื่น ไม่ใช่แยกตัดสินทีละจุด

1. ตรวจตัวตนและสถานะนิติบุคคลให้ตรงกับข้อมูลที่ได้รับ

ต้องเทียบชื่อ เลขทะเบียนนิติบุคคล สถานะ ที่อยู่ และประวัติการเปลี่ยนแปลงของคู่ค้ากับเอกสารที่คู่ค้าส่งมาเอง การเปลี่ยนชื่อหรือที่อยู่ไม่ใช่ความผิดปกติโดยอัตโนมัติ ธุรกิจจำนวนมากเปลี่ยนแปลงข้อมูลเหล่านี้ด้วยเหตุผลปกติ เช่น ย้ายสำนักงานหรือปรับโครงสร้างกิจการ แต่หากข้อมูลที่ใช้ทำสัญญายังเป็นข้อมูลเก่าหรือไม่ตรงกับสถานะปัจจุบัน องค์กรต้องขอเอกสารหรือคำชี้แจงที่เป็นปัจจุบันจากคู่ค้าก่อนดำเนินการต่อ ไม่ปล่อยให้ความคลาดเคลื่อนนี้ผ่านไปเพราะเอกสารพื้นฐานดูครบถ้วน

2. ยืนยันกรรมการและเงื่อนไขอำนาจลงนาม

จุดนี้ต้องแยก "ผู้ติดต่อ" "ผู้ประสานงาน" "กรรมการ" และ "ผู้มีอำนาจลงนาม" ออกจากกันให้ชัดเจน เพราะบุคคลที่ติดต่อประสานงานตลอดกระบวนการไม่จำเป็นต้องเป็นผู้มีอำนาจลงนามแทนนิติบุคคล การตรวจสอบต้องครอบคลุมทั้งชื่อบุคคลที่จะลงนาม เงื่อนไขการลงนามร่วม เช่น ต้องมีกรรมการสองคนลงนามพร้อมประทับตราหรือไม่ และการประทับตราบริษัทตามที่จดทะเบียน หากบุคคลที่คู่ค้าแจ้งว่าจะลงนามไม่ปรากฏตามเงื่อนไขอำนาจลงนามในข้อมูลล่าสุด องค์กรต้องขอหนังสือมอบอำนาจหรือเอกสารรับรองอำนาจก่อนเดินหน้าสู่ขั้นลงนามจริง

3. มองโครงสร้างผู้ถือหุ้นและผู้เกี่ยวข้องให้ไกลกว่ารายชื่อชั้นแรก

ข้อมูลผู้ถือหุ้นมีหน้าที่ช่วยให้เห็นผู้ถือหุ้นรายสำคัญ นิติบุคคลที่ถือหุ้นต่อในอีกชั้นหนึ่ง และจุดที่ยังต้องติดตามเพิ่มเติม โครงสร้างที่มีหลายชั้นไม่ได้แปลว่าคู่ค้าไม่โปร่งใส ธุรกิจจำนวนมากมีโครงสร้างการถือหุ้นผ่านนิติบุคคลด้วยเหตุผลด้านการบริหารจัดการหรือภาษีตามปกติ สิ่งที่ต้องระวังคือการสรุปว่าข้อมูลผู้ถือหุ้นชุดเดียวสามารถระบุผู้รับประโยชน์ที่แท้จริงได้ครบถ้วน หากพบว่าโครงสร้างยังมองไม่ครบในบางชั้น ขั้นต่อไปคือขยายการตรวจเฉพาะจุดนั้น ไม่ใช่ปฏิเสธคู่ค้าจากความซับซ้อนของโครงสร้างเพียงอย่างเดียว

4. ตรวจความเชื่อมโยงกับนิติบุคคลอื่นในบริบทของธุรกรรม

ความเชื่อมโยงที่มีความหมายต่อการประเมิน เช่น กรรมการร่วมกับบริษัทอื่นในอุตสาหกรรมเดียวกัน การเป็นบริษัทในเครือเดียวกับคู่ค้ารายอื่นที่องค์กรทำงานด้วยอยู่แล้ว หรือผู้ถือหุ้นที่เชื่อมโยงกับกิจการที่มีประเด็นต้องระวัง ไม่ใช่ทุกความเชื่อมโยงที่พบจะมีนัยสำคัญต่อธุรกรรม สิ่งที่ต้องประเมินคือความสัมพันธ์นั้นกระทบต่อเงื่อนไขสัญญาหรือข้อกำหนดขององค์กรหรือไม่ เช่น องค์กรมีนโยบายห้ามทำสัญญากับคู่ค้าที่มีกรรมการร่วมกับคู่แข่งทางธุรกิจ หากพบความเชื่อมโยงที่เข้าข่ายเงื่อนไขเหล่านี้ ต้องสอบถามคู่ค้าเพื่อทำความเข้าใจความสัมพันธ์นั้นก่อนอนุมัติ

5. ประเมินสถานะการเงินให้สัมพันธ์กับภาระงาน

ข้อมูลการเงินไม่ได้วัด Compliance โดยตรง แต่ช่วยตอบว่าคู่ค้ามีศักยภาพรองรับภาระตามสัญญาหรือไม่ การประเมินควรเทียบขนาดรายได้ สินทรัพย์ แนวโน้มผลประกอบการ และภาระหนี้สิน กับขนาดและระยะเวลาของงานที่จะว่าจ้าง เช่น คู่ค้าขนาดเล็กที่รับงานมูลค่าสูงกว่ารายได้ปกติหลายเท่า อาจมีความเสี่ยงด้านความต่อเนื่องของการดำเนินงาน การตัดสินจากตัวเลขปีเดียวหรือดัชนีทางการเงินตัวเดียวไม่ควรใช้ฟันธงสถานะของคู่ค้าทั้งหมด ควรพิจารณาแนวโน้มหลายปีประกอบกัน

6. เปรียบเทียบข้อมูลที่คู่ค้าแจ้งกับข้อมูลที่ตรวจสอบได้

ความไม่ตรงกันของข้อมูลควรแบ่งเป็นสองระดับเพื่อให้นำไปใช้งานได้จริง ระดับแรกคือข้อมูลทั่วไปหรือข้อมูลที่ล้าสมัย เช่น ที่อยู่เดิมที่ยังไม่ได้อัปเดต ซึ่งแก้ไขได้ด้วยเอกสารที่เป็นปัจจุบัน ระดับที่สองคือข้อมูลสาระสำคัญที่กระทบตัวตน อำนาจลงนาม โครงสร้างผู้เกี่ยวข้อง หรือข้อกำหนดของธุรกรรม เช่น ผู้ลงนามที่ไม่มีอำนาจจริงหรือผู้ถือหุ้นที่ไม่ตรงกับที่แจ้ง การตอบสนองต่อความไม่ตรงกันต้องขึ้นอยู่กับว่าข้อมูลนั้นอยู่ในระดับใด ไม่ใช่ชะลอการอนุมัติทุกกรณีโดยอัตโนมัติเมื่อพบความคลาดเคลื่อนเพียงเล็กน้อย

7. ประเมินบริบทของธุรกรรมก่อนกำหนดระดับการตรวจ

มูลค่าสัญญา ระยะเวลาความสัมพันธ์ ความสำคัญของบริการต่อการดำเนินงาน ระดับการเข้าถึงข้อมูลหรือระบบ และผลกระทบหากคู่ค้ารายนี้หยุดให้บริการกะทันหัน ล้วนเป็นปัจจัยที่กำหนดว่าต้องเพิ่มความเข้มของการตรวจสอบมากน้อยเพียงใด คู่ค้ารายเดียวกันจึงอาจต้องผ่านการตรวจในระดับต่างกันเมื่อทำสัญญาที่มีเงื่อนไขต่างกัน เช่น งานบำรุงรักษาระยะสั้นกับสัญญาระยะยาวที่ให้สิทธิ์เข้าถึงระบบหลักขององค์กร

กรณีตัวอย่างของทีมจัดซื้อสะท้อนหลายมิติในกรอบนี้พร้อมกัน ทั้งผู้ที่จะลงนามซึ่งยังไม่ปรากฏตามเงื่อนไขอำนาจลงนามล่าสุด โครงสร้างผู้ถือหุ้นที่ซับซ้อนกว่าที่แจ้ง และเงื่อนไขสัญญาระยะยาวที่เพิ่มระดับผลกระทบ ทำให้ทีมต้องพิจารณาข้อมูลหลายมิติร่วมกันก่อนตัดสินใจ ไม่ใช่ใช้จุดใดจุดหนึ่งฟันธง

สัญญาณแบบใดที่ควรถามต่อ ไม่ใช่รีบสรุป

การตีความสัญญาณที่พบระหว่างตรวจสอบคู่ค้าต้องมีขอบเขตชัดเจน เพื่อป้องกันทั้งการมองข้ามความเสี่ยงและการกล่าวหาคู่ค้าเกินกว่าข้อมูลที่มี แต่ละสัญญาณด้านล่างอธิบายตามโครงสร้างเดียวกันคือ พบอะไร ยังสรุปอะไรไม่ได้ ต้องตรวจอะไรต่อ และผลตรวจจะเปลี่ยนการตัดสินใจอย่างไร

สัญญาณที่ 1: ข้อมูลสำคัญไม่ตรงกับเอกสารหรือข้อมูลที่ตรวจสอบได้

พบความไม่ตรงกันระหว่างข้อมูลที่คู่ค้าแจ้งกับข้อมูลที่ตรวจสอบได้จากแหล่งอื่น สิ่งที่ยังสรุปไม่ได้คือสาเหตุของความไม่ตรงกันนั้นเป็นความผิดพลาดด้านเอกสารหรือเป็นข้อมูลที่มีนัยสำคัญ ขั้นต่อไปคือระบุให้ชัดว่าข้อมูลส่วนใดไม่ตรง เป็นข้อมูลล่าสุดหรือไม่ และกระทบต่อการทำสัญญาหรือข้อกำหนดภายในหรือไม่ หากเป็นข้อมูลทั่วไป การตัดสินใจที่เหมาะสมคือขอเอกสารที่เป็นปัจจุบัน หากเป็นข้อมูลสาระสำคัญ การตัดสินใจที่เหมาะสมคือชะลอการอนุมัติจนกว่าจะได้รับคำชี้แจงที่ตรวจสอบได้

สัญญาณที่ 2: ผู้ที่จะลงนามไม่มีอำนาจตามข้อมูลล่าสุด

พบว่าบุคคลที่คู่ค้าแจ้งว่าจะลงนามไม่ปรากฏตามเงื่อนไขอำนาจลงนามล่าสุดของนิติบุคคล สิ่งที่ยังสรุปไม่ได้คือคู่ค้าตั้งใจให้ข้อมูลที่ไม่ถูกต้องหรือเพียงข้อมูลภายในยังไม่ได้อัปเดตกับหน่วยงานที่เกี่ยวข้อง ขั้นต่อไปคือตรวจเงื่อนไขอำนาจลงนาม หนังสือมอบอำนาจ และเอกสารประกอบที่เกี่ยวข้องก่อนลงนามจริง ผลตรวจจะเปลี่ยนการตัดสินใจว่าองค์กรจะลงนามกับบุคคลดังกล่าวได้หรือต้องเปลี่ยนไปยังผู้มีอำนาจตัวจริง

สัญญาณที่ 3: โครงสร้างผู้ถือหุ้นหรือความสัมพันธ์ยังมองไม่ครบ

พบว่าโครงสร้างผู้ถือหุ้นมีหลายชั้นหรือมีนิติบุคคลที่ยังไม่สามารถระบุผู้เกี่ยวข้องได้ครบ สิ่งที่ยังสรุปไม่ได้คือความซับซ้อนนี้มีเจตนาปกปิดหรือเป็นโครงสร้างทางธุรกิจปกติ ขั้นต่อไปคือติดตามโครงสร้างต่อในชั้นที่ยังไม่ชัด ขอเอกสารสนับสนุนจากคู่ค้า หรือยกระดับการตรวจเมื่อองค์กรมีข้อกำหนดที่ต้องรู้ผู้ควบคุมหรือ UBO ของธุรกรรมนั้น ผลตรวจจะเปลี่ยนการตัดสินใจว่าองค์กรมีข้อมูลเพียงพอต่อระดับความเสี่ยงของธุรกรรมหรือยัง

สัญญาณที่ 4: ขนาดและฐานะของบริษัทไม่สอดคล้องกับภาระงาน

พบว่าขนาดกิจการหรือฐานะทางการเงินของคู่ค้าดูไม่สอดคล้องกับมูลค่าหรือขอบเขตของงานที่จะรับ สิ่งที่ยังสรุปไม่ได้คือคู่ค้าจะส่งมอบงานไม่ได้จริงหรือมีแผนรองรับที่องค์กรยังไม่เห็น ขั้นต่อไปคือตรวจความสามารถด้านทรัพยากร ประสบการณ์ที่ผ่านมา แผนส่งมอบ การใช้ผู้รับเหมาช่วง และความพร้อมทางการเงินร่วมกัน ไม่ใช้รายได้หรือทุนจดทะเบียนเพียงตัวเดียวตัดสิน ผลตรวจจะเปลี่ยนการตัดสินใจว่าต้องเพิ่มเงื่อนไขค้ำประกันหรือแบ่งการส่งมอบเป็นระยะหรือไม่

สัญญาณที่ 5: มีการเปลี่ยนแปลงข้อมูลสำคัญหลายรายการในช่วงใกล้กัน

พบว่าคู่ค้ามีการเปลี่ยนกรรมการ ที่อยู่ หรือโครงสร้างผู้ถือหุ้นหลายรายการในช่วงเวลาใกล้เคียงกัน สิ่งที่ยังสรุปไม่ได้คือการเปลี่ยนแปลงเหล่านั้นมีเหตุผลทางธุรกิจปกติหรือเกี่ยวข้องกับช่วงเวลาที่กำลังจะทำสัญญาอย่างมีนัยสำคัญ ขั้นต่อไปคือตรวจลำดับเวลาของการเปลี่ยนแปลง เหตุผลที่คู่ค้าชี้แจง และความเชื่อมโยงกับช่วงทำสัญญา หากมีคำอธิบายและเอกสารรองรับ องค์กรอาจดำเนินการต่อได้ตามปกติ แต่หากข้อมูลสาระสำคัญยังไม่ชัดเจน ผลตรวจจะเปลี่ยนการตัดสินใจไปสู่การเพิ่มระดับการตรวจก่อนอนุมัติ

ในกรณีตัวอย่างของทีมจัดซื้อ สัญญาณเรื่องผู้ลงนามและโครงสร้างผู้ถือหุ้นที่ไม่ตรงกันยังไม่เพียงพอให้ปฏิเสธคู่ค้ารายนี้ทันที แต่เพียงพอให้ทีมจัดซื้อชะลอการอนุมัติ ขอหนังสือมอบอำนาจและคำอธิบายโครงสร้างผู้ถือหุ้นจากคู่ค้าโดยตรง และส่งประเด็นทั้งสองให้ฝ่ายกฎหมายหรือฝ่ายกำกับดูแลตรวจเฉพาะจุดก่อนเดินหน้าสัญญา

คู่ค้าแต่ละรายไม่ควรถูกตรวจในระดับเดียวกัน

หลักการพื้นฐานของการบริหาร Compliance Risk คือใช้แนวทาง Risk-based Approach กำหนดขอบเขตพื้นฐานสำหรับคู่ค้าทุกราย แล้วเพิ่มระดับการตรวจตามความสำคัญของคู่ค้า ผลกระทบของงาน มูลค่าและระยะเวลาสัญญา ระดับการเข้าถึงข้อมูลหรือระบบ และสัญญาณที่พบระหว่างตรวจสอบคู่ค้า

Level 1: ตรวจพื้นฐาน

คู่ค้าทุกรายควรผ่านการยืนยันตัวตน สถานะนิติบุคคล และผู้มีอำนาจลงนามเป็นขั้นต่ำ Trigger ของระดับนี้คือทุกความสัมพันธ์ทางธุรกิจใหม่ ไม่ว่ามูลค่าจะสูงหรือต่ำ ผลลัพธ์ที่ได้คือหลักฐานพื้นฐานว่าคู่ค้ามีตัวตนจริงและบุคคลที่ติดต่อมีอำนาจดำเนินการแทนนิติบุคคล ระดับนี้อาจกำหนดเป็นขอบเขตพื้นฐานสำหรับงานที่มีผลกระทบต่ำ โดยต้องสอดคล้องกับนโยบายและประเภทงานขององค์กรแต่ละแห่ง เพราะบางองค์กรอาจมีข้อกำหนดขั้นต่ำที่สูงกว่านี้อยู่แล้ว

Level 2: ตรวจเพิ่มตามผลกระทบ

Trigger ของระดับนี้คือคู่ค้าที่มีความสำคัญสูงต่อการดำเนินงาน สัญญามูลค่าสูง หรือให้สิทธิ์เข้าถึงข้อมูลและระบบสำคัญ การตรวจในระดับนี้ขยายไปถึงโครงสร้างผู้ถือหุ้น ความเชื่อมโยงกับนิติบุคคลอื่น และความพร้อมทางการเงิน ผลลัพธ์ที่ได้คือภาพที่ครบถ้วนขึ้นของผู้เกี่ยวข้องและความเสี่ยงที่อาจตามมาจากความสัมพันธ์ระยะยาวหรือมูลค่าสูง

Level 3: ตรวจเชิงลึกเมื่อพบสัญญาณ

Trigger ของระดับนี้คือระหว่างตรวจสอบพบข้อมูลไม่ตรงกันหรือจุดที่ยังมองไม่ครบตามที่อธิบายไว้ในหัวข้อก่อนหน้า การตรวจในระดับนี้คือขอข้อมูลเพิ่มเติมจากคู่ค้าโดยตรงหรือส่งตรวจเฉพาะประเด็นให้ผู้รับผิดชอบเชิงลึก หรือ Enhanced Due Diligence ที่มีขั้นตอนของการตรวจในระดับนี้เมื่อสัญญาณที่พบมีน้ำหนักมากพอเทียบกับผลกระทบของธุรกรรม ผลลัพธ์ที่ได้คือข้อมูลที่เพียงพอสำหรับตัดสินใจว่าจะเดินหน้า ปรับเงื่อนไข หรือยุติความสัมพันธ์กับคู่ค้ารายนั้น

ระดับการตรวจในแต่ละกรณีควรสะท้อนผลกระทบของธุรกรรม ไม่ใช่ใช้ความรู้สึกหรือความคุ้นเคยกับคู่ค้าเป็นเกณฑ์ ผู้ให้บริการภายนอกในกรณีตัวอย่างที่ยกมาข้างต้นควรอยู่ในระดับตรวจเพิ่มตามผลกระทบเป็นอย่างน้อย เพราะเป็นสัญญาระยะยาวและให้สิทธิ์เข้าถึงกระบวนการสำคัญ และเมื่อพบสัญญาณเรื่องผู้ลงนามและโครงสร้างผู้ถือหุ้น จึงขยับไปสู่การตรวจเชิงลึกเฉพาะสองประเด็นนั้น

เปลี่ยนผลการตรวจให้เป็นขั้นตอนก่อนอนุมัติคู่ค้า

ผลการตรวจสอบคู่ค้าจะมีประโยชน์เมื่อถูกนำไปใช้เป็นส่วนหนึ่งของขั้นตอนก่อนอนุมัติ ไม่ใช่เก็บไว้เป็นข้อมูลแยกส่วน สรุปมาเป็น 6 ขั้นตอนด้านล่างเป็นภาพรวมระดับธุรกิจที่ปรับใช้ได้ตามโครงสร้างองค์กรของแต่ละบริษัท

ขั้นที่ 1 กำหนดเจ้าของการตรวจและผู้มีอำนาจตัดสินใจ

องค์กรต้องกำหนดชัดว่าใครเป็นผู้รวบรวมข้อมูลเบื้องต้น ใครตรวจประเด็นด้าน compliance หรือกฎหมายเมื่อพบสัญญาณที่ต้องตีความ และใครเป็นผู้อนุมัติผลสุดท้ายก่อนเดินหน้าสัญญา การกำหนดบทบาทที่ชัดเจนตั้งแต่ต้นป้องกันไม่ให้ข้อมูลกระจัดกระจายอยู่ในหลายฝ่ายโดยไม่มีผู้รับผิดชอบต่อ

ขั้นที่ 2 ตรวจข้อมูลพื้นฐานจากแหล่งที่ตรวจสอบย้อนกลับได้

ข้อมูลพื้นฐานต้องตอบเรื่องตัวตน สถานะ ผู้มีอำนาจ และผู้เกี่ยวข้องให้เพียงพอกับระดับของธุรกรรม โดยใช้แหล่งข้อมูลที่ตรวจสอบย้อนกลับไปยังต้นทางได้ ไม่ใช่อาศัยเพียงเอกสารที่คู่ค้าจัดเตรียมมาเอง

ขั้นที่ 3 เปรียบเทียบกับเอกสารที่คู่ค้าให้มา

ขั้นนี้ไม่ใช่การอ่านข้อมูลทีละแหล่งแยกจากกัน แต่เป็นการวางข้อมูลธุรกิจที่ตรวจสอบได้เทียบกับเอกสารที่คู่ค้ารับรองไว้ทีละประเด็น เพื่อหาจุดที่ตรงกันและจุดที่ต้องสอบถามเพิ่มตามกรอบความไม่ตรงกันสองระดับที่อธิบายไว้ก่อนหน้า

ขั้นที่ 4 บันทึกข้อมูลที่ไม่ตรงและคำถามที่ยังไม่มีคำตอบ

ทีมควรบันทึกประเด็นที่พบ แหล่งข้อมูลที่ใช้เทียบ วันที่ตรวจ เอกสารที่ต้องขอเพิ่มจากคู่ค้า และผู้รับผิดชอบติดตามแต่ละประเด็น การบันทึกอย่างเป็นระบบทำให้ผลตรวจสอบย้อนกลับได้ในภายหลัง แทนที่จะขึ้นอยู่กับความจำของผู้ตรวจคนใดคนหนึ่ง

ขั้นที่ 5 เลือกผลลัพธ์ของการตรวจให้ชัด

ผลลัพธ์ของการตรวจควรเป็นหนึ่งในสามทาง โดยแต่ละทางมีเงื่อนไขรองรับ ดำเนินการต่อเมื่อข้อมูลสาระสำคัญเพียงพอและสอดคล้องกัน ขอข้อมูลเพิ่มเมื่อมีช่องว่างที่คู่ค้าสามารถชี้แจงหรือส่งเอกสารประกอบได้ และยกระดับการตรวจเมื่อข้อมูลที่ยังไม่ชัดมีผลต่อข้อกำหนดหรือความเสียหายของธุรกรรมอย่างมีนัยสำคัญ

ขั้นที่ 6 เก็บเหตุผลและหลักฐานประกอบการอนุมัติ

องค์กรควรเก็บทั้งข้อมูลที่ใช้ประเมิน ผลการประเมินในแต่ละมิติ เหตุผลของข้อยกเว้นหากมี และชื่อผู้อนุมัติไว้เป็นลายลักษณ์อักษร เพื่อให้การตัดสินใจอธิบายได้ในภายหลัง ไม่ขึ้นอยู่กับความเห็นส่วนบุคคลของผู้อนุมัติเพียงคนเดียว

ขั้นตอนทั้ง 6 นี้เป็นภาพรวมระดับธุรกิจ ไม่ใช่ข้อกำหนดทางกฎหมายที่ตายตัว บทบาทของฝ่ายกำกับดูแล ฝ่ายกฎหมาย ฝ่ายจัดซื้อ หรือฝ่ายบริหารความเสี่ยงในแต่ละขั้นอาจแตกต่างกันไปตามโครงสร้างขององค์กร กรณีตัวอย่างของทีมจัดซื้อแสดงให้เห็นว่าขั้นตอนนี้เปลี่ยนจากการ "เจอข้อมูลไม่ตรง" ไปสู่การ "ขอหลักฐานผู้มีอำนาจและคำอธิบายโครงสร้างผู้ถือหุ้นเพิ่มเติมก่อนส่งอนุมัติ" ได้อย่างไร โดยองค์กรยังไม่ปฏิเสธคู่ค้ารายนี้ แต่ส่งผลการตรวจทั้งหมดให้ผู้รับผิดชอบพิจารณาอีกครั้งก่อนตัดสินใจขั้นสุดท้าย

Corpus X ช่วยประเมิน Compliance Risk ได้อย่างไร

จากขั้นตอนทั้งหมดข้างต้น งานที่ทีม Compliance หรือฝ่ายกฎหมายต้องทำซ้ำทุกครั้งคือการยืนยันตัวตนของคู่ค้า เปรียบเทียบข้อมูลที่คู่ค้าแจ้งกับข้อมูลธุรกิจที่ตรวจสอบได้ และค้นหาจุดที่ต้องถามต่อก่อนส่งผลให้ผู้มีอำนาจอนุมัติ

Corpus X สนับสนุนสามงานนี้ด้วยข้อมูลธุรกิจที่รวบรวมไว้ในมุมมองเดียว งานยืนยันตัวตนใช้ข้อมูลบริษัทและสถานะนิติบุคคลที่เป็นปัจจุบัน งานเปรียบเทียบข้อมูลใช้ข้อมูลกรรมการ ผู้มีอำนาจ และผู้ถือหุ้นเทียบกับสิ่งที่คู่ค้าแจ้งเอง ส่วนงานค้นหาจุดที่ต้องถามต่อใช้ข้อมูลความเชื่อมโยงระหว่างนิติบุคคลผ่านฟีเจอร์ Linkage เพื่อให้เห็นความสัมพันธ์เท่าที่ข้อมูลที่มีอยู่รองรับ

ข้อมูลที่ Corpus X รวบรวมมีหน้าที่ยืนยันข้อเท็จจริงและช่วยให้ทีมเห็นจุดที่ต้องถามต่อ ไม่ใช่ใช้ระบบตัดสินแทนว่าคู่ค้าปฏิบัติตามกฎหมายหรือข้อกำหนดครบถ้วนหรือไม่ และ Linkage ไม่ควรถูกใช้เป็นเครื่องมือยืนยันผู้รับประโยชน์ที่แท้จริงหรือพิสูจน์การกระทำผิดได้โดยลำพัง เมื่อทีมนำข้อมูลจาก Corpus X ไปเทียบกับสิ่งที่คู่ค้าแจ้งเอง ผลลัพธ์ที่ได้คือหนึ่งในสามทางที่สอดคล้องกับขั้นตอนก่อนอนุมัติที่กล่าวถึงในหัวข้อก่อนหน้า คือมีข้อมูลรองรับเพียงพอให้ดำเนินการต่อ ต้องขอข้อมูลเพิ่มเติมจากคู่ค้า หรือต้องยกระดับการตรวจสอบก่อนส่งอนุมัติ

สำหรับทีมที่ทำหน้าที่ตรวจสอบคู่ค้าและบุคคลที่สามโดยตรง โซลูชัน Compliance & Legal เพิ่มความโปร่งใส ตรวจสอบก่อนเสียหาย รวบรวมแนวทางการนำข้อมูลเหล่านี้ไปใช้ในกระบวนการตรวจสอบและอนุมัติคู่ค้าโดยเฉพาะ ส่วนทีมจัดซื้อที่ต้องคัดเลือกและอนุมัติ Vendor เป็นหลัก สามารถดู โซลูชัน Purchasing/Procurement เพิ่มเติมได้เช่นกัน ทดลองใช้ Corpus X ฟรี

การนำข้อมูลธุรกิจมาช่วยยืนยันและเปรียบเทียบตั้งแต่ต้น ทำให้ทีมไม่ต้องเริ่มค้นข้อมูลใหม่จากหลายแหล่งทุกครั้งที่มีคู่ค้ารายใหม่เข้ามา และมีข้อมูลรองรับพร้อมมากขึ้นก่อนส่งเรื่องให้ผู้มีอำนาจตัดสินใจขั้นสุดท้าย

Compliance Risk ไม่ได้เริ่มขึ้นเมื่อพบหลักฐานว่าคู่ค้าทำผิดกฎหมายหรือข้อกำหนดแล้วเท่านั้น แต่เป็นความเสี่ยงที่ต้องจัดการตั้งแต่ก่อนเลือกบุคคลที่สามเข้ามาร่วมงาน เป้าหมายของการประเมินไม่ใช่การทำให้คู่ค้าทุกรายดูเป็นผู้ต้องสงสัย แต่คือการทำให้การอนุมัติแต่ละครั้งมีเหตุผลอธิบายได้และสอดคล้องกับระดับผลกระทบของธุรกรรมนั้น

การตรวจข้อมูลตัวตน ผู้มีอำนาจ โครงสร้างผู้ถือหุ้น ความเชื่อมโยง และความสอดคล้องของข้อมูลที่คู่ค้าแจ้ง ช่วยให้ทีมงานไม่หยุดอยู่แค่เอกสารที่ได้รับหรือความประทับใจแรกจากการเสนอราคา และเลือกได้อย่างชัดเจนว่าจะดำเนินการต่อ ขอข้อมูลเพิ่มเติม หรือยกระดับการตรวจสอบก่อนอนุมัติคู่ค้ารายนั้น