เมื่อ 80% ของโครงการไอทีที่ล้มเหลว ไม่ได้พังเพราะเทคโนโลยี แต่พังเพราะการกำกับดูแล
งานวิจัยด้านการบริหารโครงการเทคโนโลยีชี้ตรงกันมาหลายปีว่า ความล้มเหลวของโครงการไอทีส่วนใหญ่ไม่ได้เกิดจากตัวเทคโนโลยีเอง แต่เกิดจาก ความล้มเหลวเชิงการกำกับดูแล (Governance Failure) — ไม่มีเจ้าของการตัดสินใจที่ชัดเจน ไม่มีเกณฑ์จัดลำดับความสำคัญ และไม่มีกลไกยกระดับความเสี่ยงให้ถึงมือคนที่ตัดสินใจได้ทัน ในประเทศไทยเอง ปีงบประมาณ 2568 เพียงปีเดียว สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (สคส.) ได้ออกคำสั่งลงโทษปรับทางปกครองแล้ว 5 กรณี 8 คำสั่ง รวมมูลค่าปรับตั้งแต่เริ่มบังคับใช้กฎหมายมากกว่า 21.5 ล้านบาท ซึ่งทุกกรณีมีจุดร่วมเดียวกัน คือองค์กรขาดกลไกกำกับดูแลที่เชื่อมโยงระหว่างนโยบาย การควบคุม และการปฏิบัติจริง
นี่คือเหตุผลที่ การกำกับดูแลด้านสารสนเทศ (IT Governance) ไม่ใช่หัวข้อเชิงเทคนิคที่ฝ่าย IT จัดการเองได้อีกต่อไป แต่เป็นวาระที่คณะกรรมการต้องเข้าใจและกำกับโดยตรง
สรุปสำหรับผู้บริหาร
การกำกับดูแลด้านสารสนเทศ คือระบบโครงสร้าง บทบาท และกลไกการตัดสินใจที่ทำให้เทคโนโลยีสร้างคุณค่าทางธุรกิจ ควบคุมความเสี่ยงในระดับที่ยอมรับได้ และตอบข้อกำหนดของหน่วยงานกำกับดูแลไทยได้อย่างมั่นใจ บทความนี้ประมวลกรอบมาตรฐานสากล บริบทกฎหมายไทยที่มีผลบังคับใช้ล่าสุด และแนวทางปฏิบัติที่นำไปใช้ได้จริงในสามส่วนหลัก
กรอบมาตรฐานสากลที่ใช้เป็นบรรทัดฐาน
การเลือกใช้กรอบการทำงานด้าน IT Governance ขึ้นอยู่กับขนาดองค์กร อุตสาหกรรม และระดับวุฒิภาวะ (Maturity Level) ขององค์กร ในทางปฏิบัติ องค์กรส่วนใหญ่มักไม่ยึดกรอบใดกรอบหนึ่งเพียงอย่างเดียว แต่ดึงองค์ประกอบที่เหมาะสมจากหลายกรอบมาบูรณาการร่วมกัน
| กรอบการทำงาน | จุดเน้นหลัก | กลุ่มผู้ใช้งานหลัก |
|---|---|---|
| COBIT (ISACA) | การควบคุม การตรวจสอบ และประสิทธิภาพ สร้างความสอดคล้องระหว่างไอทีและธุรกิจแบบต้นจนจบ | ผู้ตรวจสอบไอที ผู้บริหารระดับกลางถึงสูง |
| ISO/IEC 38500:2024 | การกำกับดูแลระดับองค์กร กำหนดหลักการสำหรับ governing body ในการกำกับการใช้ IT อย่างมีประสิทธิผล มีประสิทธิภาพ และยอมรับได้ | คณะกรรมการบริษัท ผู้บริหารระดับสูง |
| NIST CSF 2.0 | ความมั่นคงปลอดภัยไซเบอร์ ผ่านฟังก์ชัน Govern, Identify, Protect, Detect, Respond, Recover | CISO ผู้ตรวจสอบด้านความมั่นคงปลอดภัย |
| ITIL | การบริหารจัดการบริการไอที (IT Service Management) มาตรฐานการส่งมอบบริการและการจัดการการเปลี่ยนแปลง | CIO ผู้จัดการฝ่ายปฏิบัติการไอที |
| ISO 31000 / ISO 22301 | การบริหารความเสี่ยงระดับองค์กรและความต่อเนื่องทางธุรกิจ | ฝ่ายบริหารความเสี่ยง ฝ่าย GRC |
หัวใจของทุกกรอบข้างต้นคือหลักการเดียวกัน: แยกให้ชัดระหว่าง “การกำกับดูแล” (Governance) กับ “การบริหารจัดการ” (Management) การกำกับดูแลเป็นหน้าที่ของคณะกรรมการและผู้บริหารระดับสูงในการกำหนดทิศทาง เกณฑ์ และความรับผิดชอบ ส่วนการบริหารจัดการเป็นหน้าที่ของฝ่ายปฏิบัติในการดำเนินงานตามทิศทางนั้น องค์กรที่มี IT Governance เข้มแข็งจะไม่ถามเพียงว่า “ระบบนี้ทำงานได้หรือไม่” แต่จะถามว่า “ระบบนี้สร้างคุณค่าอย่างไร ความเสี่ยงอยู่ในระดับยอมรับได้หรือไม่ ใครเป็นเจ้าของผลลัพธ์”
มุมมองวิชาการ: ISACA ได้กำหนดหลักการสำคัญของ COBIT 2019 ไว้ 6 ประการ ซึ่งรวมถึงการตอบสนองความต้องการของผู้มีส่วนได้เสีย การใช้กรอบการทำงานแบบบูรณาการ และการแยกส่วนอย่างชัดเจนระหว่าง Governance กับ Management — หลักการนี้เองที่เป็นรากฐานของแนวทางปฏิบัติในส่วนถัดไปของบทความ
บริบทกฎหมายและข้อบังคับในประเทศไทยที่องค์กรต้องรู้ทัน
ความเสี่ยงด้านการไม่ปฏิบัติตามกฎหมาย (Compliance Risk) คือปัจจัยที่ทำให้ผู้บริหารไทยหันมาให้ความสำคัญกับ IT Governance อย่างจริงจังในช่วง 2-3 ปีที่ผ่านมา หน่วยงานกำกับดูแลหลักของไทยได้ยกระดับข้อกำหนดอย่างต่อเนื่อง ดังนี้
2.1 ยุคแห่งการบังคับใช้จริงของ PDPA
พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 มีผลบังคับใช้เต็มรูปแบบตั้งแต่วันที่ 1 มิถุนายน 2565 และในปีงบประมาณ 2568 ภาพลักษณ์ของกฎหมายฉบับนี้ได้เปลี่ยนจาก “งานเอกสาร” ไปสู่ “การบังคับใช้จริง” อย่างชัดเจน โดย สคส. ได้มีคำสั่งลงโทษปรับทางปกครองกับหน่วยงานภาครัฐ เอกชน และผู้ประมวลผลข้อมูลส่วนบุคคล รวม 5 เรื่อง 8 คำสั่ง มูลค่ารวมกว่า 21.5 ล้านบาท เมื่อวิเคราะห์กรณีศึกษาเหล่านี้ สามารถสรุปช่องว่างร่วมที่ทำให้องค์กรถูกลงโทษได้ 4 ประการ:
- มาตรการรักษาความปลอดภัยทางเทคนิคที่หละหลวม เช่น ไม่มีการเข้ารหัสข้อมูล หรือขาดการอัปเดตแพตช์ระบบ
- ความล้มเหลวในการรายงานเหตุข้อมูลรั่วไหลอย่างทันกาล ต่อ สคส. และเจ้าของข้อมูล
- การละเลยบทบาทของเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (DPO)
- การขาดการกำกับดูแลผู้ประมวลผลข้อมูล (Data Processor) อย่างรัดกุม โดยเฉพาะกรณีว่าจ้างผู้ให้บริการภายนอกโดยไม่มีกระบวนการตรวจสอบ (Vendor Due Diligence) ที่เพียงพอ
นอกจากนี้ สคส. ยังคงออกประกาศเพิ่มเติมอย่างต่อเนื่องเพื่อขยายรายละเอียดการปฏิบัติ ล่าสุดคือประกาศเกี่ยวกับหลักเกณฑ์การเข้าถึงและขอรับสำเนาข้อมูลส่วนบุคคล ซึ่งประกาศในราชกิจจานุเบกษาเมื่อวันที่ 16 กรกฎาคม 2569 และจะมีผลบังคับใช้วันที่ 14 กันยายน 2569 สะท้อนว่าองค์กรต้องเตรียมกระบวนการตอบสนองคำขอของเจ้าของข้อมูลภายในกรอบเวลาที่กฎหมายกำหนดอย่างเป็นระบบ
2.2 ประกาศธนาคารแห่งประเทศไทยที่ 4/2568: มาตรฐานความปลอดภัย Mobile Banking ที่เข้มงวดที่สุด
สำหรับภาคการเงิน ธนาคารแห่งประเทศไทยได้ออกประกาศที่ 4/2568 เรื่องการรักษาความมั่นคงปลอดภัยของการให้บริการทางการเงินและการชำระเงินบนอุปกรณ์เคลื่อนที่ ซึ่งถือเป็นมาตรฐานที่เข้มงวดที่สุดเท่าที่เคยมีมาสำหรับ Mobile Banking ในไทย สาระสำคัญที่ IT Governance ขององค์กรในภาคการเงินต้องนำไปปรับใช้ ได้แก่
- นโยบาย 1 บัญชี 1 อุปกรณ์: ผู้ใช้งานลงทะเบียน Mobile Banking ได้เพียง 1 บัญชีต่อ 1 อุปกรณ์เท่านั้น พร้อมกลไกตรวจจับอุปกรณ์ที่ถูกดัดแปลงระบบปฏิบัติการ
- การยืนยันตัวตนด้วย Biometric: บังคับให้มีการยืนยันตัวตนด้วย Face Comparison และ Liveness Detection สำหรับธุรกรรมโอนเงินตั้งแต่ 50,000 บาทต่อครั้ง หรือยอดรวมครบ 200,000 บาทต่อวัน
- ห้ามแนบลิงก์ผ่าน SMS: เพื่อป้องกันการโจมตีแบบฟิชชิงและหน้าจอปลอมซ้อนทับ (Overlay Attack)
ข้อกำหนดเหล่านี้ตอกย้ำว่าคณะกรรมการกำกับดูแลไอทีของสถาบันการเงินต้องเชื่อมโยงมาตรฐานความปลอดภัยทางเทคนิคเข้ากับกรอบบริหารความเสี่ยงระดับองค์กรอย่างเป็นเนื้อเดียวกัน สอดคล้องกับหลักเกณฑ์การกำกับดูแลความเสี่ยงด้านเทคโนโลยีสารสนเทศที่ธนาคารแห่งประเทศไทยกำหนดให้คณะกรรมการสถาบันการเงินต้องมีบทบาทรับผิดชอบโดยตรง
2.3 พ.ร.ก. ปราบปรามอาชญากรรมทางเทคโนโลยี: หลักการ “ความรับผิดชอบร่วม”
พระราชกำหนดมาตรการป้องกันและปราบปรามอาชญากรรมทางเทคโนโลยี พ.ศ. 2566 และฉบับแก้ไขเพิ่มเติม (ฉบับที่ 2) พ.ศ. 2568 ได้เปลี่ยนกระบวนทัศน์ความรับผิดชอบขององค์กรอย่างมีนัยสำคัญ โดยกำหนดให้สถาบันการเงินและผู้ประกอบธุรกิจที่เกี่ยวข้องต้องระงับบัญชีหรือปฏิเสธธุรกรรมเมื่อได้รับแจ้งรายชื่อบัญชีที่เกี่ยวข้องกับอาชญากรรมทางเทคโนโลยี หากไม่ดำเนินการอาจถูกลงโทษปรับสูงสุดไม่เกิน 500,000 บาท ต่อสถาบัน และผู้รับผิดชอบอาจต้องระวางโทษจำคุกไม่เกิน 1 ปี กฎหมายฉบับนี้จึงเปลี่ยนบทบาทของธนาคารและผู้ให้บริการเครือข่ายจากผู้สังเกตการณ์ ให้กลายเป็นผู้ร่วมรับผิดชอบในการป้องกันอาชญากรรมทางไซเบอร์โดยตรง ทีมตรวจสอบและกำกับดูแลไอทีจึงต้องประเมินว่าองค์กรมีกระบวนการเชื่อมโยงระบบระงับธุรกรรมและการประสานงานระหว่างหน่วยงานเข้ากับ Workflow ปฏิบัติงานจริงหรือไม่
2.4 พระราชบัญญัติการรักษาความมั่นคงปลอดภัยไซเบอร์: กรอบมาตรฐานที่เชื่อมกับ NIST CSF 2.0
พระราชบัญญัติการรักษาความมั่นคงปลอดภัยไซเบอร์ พ.ศ. 2562 กำหนดให้หน่วยงานของรัฐและหน่วยงานโครงสร้างพื้นฐานสำคัญทางสารสนเทศ (Critical Information Infrastructure: CII) ต้องประเมินความเสี่ยงทางไซเบอร์อย่างต่อเนื่อง โดยคณะกรรมการการรักษาความมั่นคงปลอดภัยไซเบอร์แห่งชาติได้ออกประกาศแนวทางการจัดทำประมวลแนวทางปฏิบัติและกรอบมาตรฐานด้านความมั่นคงปลอดภัยไซเบอร์ พ.ศ. 2568 ซึ่งวางโครงสร้างอ้างอิงจาก NIST Cybersecurity Framework 2.0 เป็นหลัก สะท้อนให้เห็นว่ากรอบมาตรฐานสากลและกฎหมายไทยกำลังเคลื่อนเข้าหากันอย่างเป็นรูปธรรม องค์กรที่วาง IT Governance ตาม NIST CSF 2.0 ไว้ตั้งแต่ต้นจึงมีความได้เปรียบในการปฏิบัติตามข้อกำหนดของหน่วยงานกำกับดูแลไทยไปพร้อมกัน
สรุปนัยเชิงนโยบาย
หน่วยงานกำกับดูแลของไทยในหลายภาคส่วน ไม่ว่าจะเป็น สคส. คณะกรรมการการรักษาความมั่นคงปลอดภัยไซเบอร์แห่งชาติ และธนาคารแห่งประเทศไทย ต่างเคลื่อนไปในทิศทางเดียวกัน คือการยกระดับความรับผิดชอบด้านเทคโนโลยีสารสนเทศให้เป็นวาระของคณะกรรมการ ไม่ใช่ประเด็นเชิงเทคนิคที่จำกัดอยู่ในระดับปฏิบัติการอีกต่อไป
ภัยคุกคามแห่งอนาคตที่ IT Governance ต้องครอบคลุม — AI Governance
หากมองไปข้างหน้า ความเสี่ยงที่ผู้บริหารทั่วโลกกังวลมากที่สุดยังคงเป็นภัยไซเบอร์ ผลสำรวจ Allianz Risk Barometer 2026 ซึ่งสอบถามผู้บริหารด้านบริหารความเสี่ยงเกือบ 3,400 รายทั่วโลก ระบุว่าภัยคุกคามทางไซเบอร์ครองอันดับ 1 ของความเสี่ยงทางธุรกิจระดับโลกติดต่อกันเป็นปีที่ 5 และที่น่าสนใจยิ่งกว่าคือ ความเสี่ยงจากปัญญาประดิษฐ์พุ่งขึ้นจากอันดับที่ 10 มาอยู่อันดับ 2 ของโลก ในภูมิภาคเอเชียแปซิฟิก ภัยไซเบอร์และ AI ต่างติดอันดับความเสี่ยงสูงสุด 3 อันดับแรกในหลายประเทศรวมถึงไทย
ความเสี่ยงจาก AI ที่องค์กรมักมองข้ามคือ “Shadow AI” หรือการที่พนักงานใช้เครื่องมือ Generative AI ในการทำงานโดยไม่ผ่านการควบคุมขององค์กร ข้อมูลจากรายงาน IBM Cost of a Data Breach 2025 พบว่า เหตุการณ์ข้อมูลรั่วไหลที่เกี่ยวข้องกับ Shadow AI คิดเป็นสัดส่วนถึง 20% ของกรณีทั้งหมด และเพิ่มต้นทุนความเสียหายเฉลี่ยราว 670,000 ดอลลาร์สหรัฐต่อกรณี ขณะที่องค์กรกว่า 63% ยังไม่มีนโยบายกำกับดูแล AI อย่างเป็นทางการ
AI Governance Audit Checklist: 4 มิติที่ IT Governance ต้องขยายให้ครอบคลุม
| มิติการตรวจสอบ | คำถามหลักในการประเมิน | หลักฐานที่ควรมี |
|---|---|---|
| ธรรมาภิบาลข้อมูลและคุณภาพ | ข้อมูลที่ใช้ฝึกหรือป้อน AI สอดคล้องกับ PDPA หรือไม่ มีอคติแฝงอยู่หรือไม่ | เอกสารแหล่งที่มาข้อมูล (Data Lineage) เอกสารความยินยอม |
| ความยุติธรรมและผลกระทบ | ผลลัพธ์จากอัลกอริทึมมีความเอนเอียงต่อกลุ่มใดกลุ่มหนึ่งหรือไม่ | รายงานผลการทดสอบเชิงสถิติ |
| ความมั่นคงปลอดภัยของ AI | ระบบถูกป้องกันจาก Prompt Injection, Data Poisoning หรือ Data Leakage หรือไม่ | การวิเคราะห์ภัยคุกคาม (Threat Modeling) นโยบาย RBAC |
| โครงสร้างความรับผิดชอบ | มีผู้รับผิดชอบชัดเจนตลอดวงจรชีวิตของโครงการ AI หรือไม่ | RACI Matrix นโยบายจริยธรรมองค์กร |
การขยาย IT Governance Framework ให้ครอบคลุม AI Governance จึงไม่ใช่ทางเลือก แต่เป็นความจำเป็นเชิงกลยุทธ์ที่คณะกรรมการต้องเริ่มพิจารณาตั้งแต่วันนี้ ก่อนที่ Shadow AI จะกลายเป็นความเสี่ยงที่ควบคุมไม่ได้เหมือนที่เคยเกิดกับ Shadow IT ในทศวรรษก่อน
แนวทางปฏิบัติที่นำไปใช้ได้จริง
จากกรอบมาตรฐานสากล บริบทกฎหมายไทย และภัยคุกคามแห่งอนาคตข้างต้น องค์กรควรดำเนินการดังนี้เป็นลำดับแรก
- ประเมินระดับความพร้อม (IT Governance Maturity Assessment) เทียบกับ COBIT, ISO/IEC 38500 และ NIST CSF 2.0 ก่อนปรับโครงสร้างใด ๆ
- ออกแบบโครงสร้างการกำกับดูแล (Governance Operating Model) ที่ระบุอำนาจหน้าที่ของ IT Steering Committee เส้นทางยกระดับความเสี่ยง (Escalation Path) และความถี่ของการรายงานต่อคณะกรรมการอย่างชัดเจน
- จัดทำทะเบียนความเสี่ยงไอทีและไซเบอร์ (IT and Cyber Risk Register) ที่เชื่อมกับ Enterprise Risk Management พร้อมกำหนด Risk Appetite ที่ชัดเจน
- ทบทวนความสอดคล้องกับข้อกำหนดกฎหมายที่มีผลบังคับใช้และกำลังจะมีผล โดยเฉพาะ PDPA ฉบับใหม่ ประกาศ ธปท. 4/2568 และ พ.ร.ก. ปราบปรามอาชญากรรมทางเทคโนโลยี
- ขยายขอบเขต Governance ให้ครอบคลุม AI ผ่าน AI Governance Audit Checklist และนโยบายควบคุมการใช้ Generative AI ในองค์กร
- พัฒนาการรายงานต่อคณะกรรมการ (Board Reporting) ให้สื่อสารด้วยตัวชี้วัดเชิงคุณค่าและความเสี่ยงทางธุรกิจ แทนรายงานสถานะโครงการเชิงเทคนิค
- กำหนดเจ้าของความเสี่ยงและเจ้าของผลลัพธ์ (Risk Owner / Benefit Owner) ของระบบสำคัญทุกระบบอย่างชัดเจน เพื่อไม่ให้เกิดสุญญากาศความรับผิดชอบเมื่อเกิดเหตุการณ์จริง
คำถามที่ผู้บริหารควรถามตนเองก่อนเริ่มโครงการ
- องค์กรมี IT Steering Committee ที่มีอำนาจตัดสินใจจริง หรือเป็นเพียงเวทีรายงานสถานะโครงการ
- Cyber Risk และ AI Risk ที่สูงกว่า Risk Appetite ถูกยกระดับถึงคณะกรรมการหรือไม่
- องค์กรมีนโยบายกำกับดูแลการใช้ Generative AI ของพนักงานแล้วหรือยัง
- หากเกิดเหตุข้อมูลรั่วไหลพรุ่งนี้ องค์กรพร้อมตอบสนองภายในกรอบเวลาที่ PDPA กำหนดหรือไม่
- Finding จาก IT Audit และ Cybersecurity Assessment ถูกเชื่อมกับแผนลงทุนและ Risk Register หรือไม่
บทสรุป
การกำกับดูแลด้านสารสนเทศ (IT Governance) และการตรวจสอบระบบสารสนเทศ (IT Audit) กำลังเผชิญจุดเปลี่ยนสำคัญจากการขยายตัวของปัญญาประดิษฐ์ การประมวลผลบนคลาวด์ และวิกฤตความมั่นคงปลอดภัยไซเบอร์ที่ทวีความรุนแรงขึ้น ขณะเดียวกัน กฎหมายและข้อบังคับของไทย ไม่ว่าจะเป็นประกาศธนาคารแห่งประเทศไทย พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พระราชบัญญัติการรักษาความมั่นคงปลอดภัยไซเบอร์ และพระราชกำหนดปราบปรามอาชญากรรมทางเทคโนโลยี ล้วนสะท้อนไปในทิศทางเดียวกันว่าองค์กรไม่สามารถมองข้ามธรรมาภิบาลทางเทคโนโลยีได้อีกต่อไป
จุดเริ่มต้นที่เหมาะสมที่สุดคือการประเมินระดับความพร้อมของ IT Governance ในปัจจุบัน ออกแบบ Operating Model ที่เหมาะกับบริบทองค์กร และจัดทำ Roadmap ที่เชื่อม Strategy, Risk, Compliance และ Board Reporting เข้าด้วยกัน เมื่อดำเนินการอย่างต่อเนื่อง IT Governance จะไม่ใช่ภาระเอกสารอีกต่อไป แต่จะกลายเป็นกลไกที่ช่วยให้องค์กรใช้เทคโนโลยีเพื่อเติบโตอย่างมั่นคงและรับผิดชอบ
ขอรับคำปรึกษา
หากท่านต้องการรับคำปรึกษาทางด้านเทคนิคจากผู้เชี่ยวชาญ (Technical Expert Consultation) ในด้าน IT Governance, IT Audit, Cybersecurity, Risk & Compliance (GRC) หรือประเด็นที่เกี่ยวข้อง กรุณาติดต่อผ่านช่องทางอย่างเป็นทางการของบริษัท
📧 อีเมล: Support@inventsysgroup.com
📞 โทรศัพท์: 080-935-4426
เอกสารอ้างอิงและแหล่งข้อมูลสากล
เอกสารต่อไปนี้เป็นแหล่งอ้างอิงสำคัญสำหรับการออกแบบ ประเมิน และพัฒนา IT Governance, Digital Governance, IT Risk, Cybersecurity Governance และ GRC
- ISACA COBIT – กรอบการกำกับดูแลและบริหารจัดการ Enterprise Information and Technology แบบองค์รวม: https://www.isaca.org/resources/cobit
- ISACA COBIT 5 Framework Publications – เอกสารพื้นฐาน COBIT 5 สำหรับ Governance and Management of Enterprise IT: https://www.isaca.org/resources/cobit/cobit-5
- ISO/IEC 38500:2024 Information technology – Governance of IT for the organization – แนวทางสำหรับ governing bodies ในการกำกับการใช้ IT ขององค์กร: https://www.iso.org/standard/81684.html
- NIST Cybersecurity Framework (CSF) 2.0 – กรอบบริหารความเสี่ยงไซเบอร์ที่เพิ่มฟังก์ชัน Govern เป็นแกนสำคัญ: https://www.nist.gov/cyberframework
- NIST CSF 2.0 PDF – เอกสารฉบับเต็มของ NIST Cybersecurity Framework 2.0: https://nvlpubs.nist.gov/nistpubs/CSWP/NIST.CSWP.29.pdf
- G20/OECD Principles of Corporate Governance 2023 – หลักการกำกับดูแลกิจการที่ช่วยให้ผู้กำหนดนโยบายและองค์กรพัฒนากรอบ Governance ที่โปร่งใสและรับผิดชอบได้: https://www.oecd.org/en/publications/2023/09/g20-oecd-principles-of-corporate-governance-2023_60836fcb.html
- G20/OECD Principles of Corporate Governance 2023 PDF – เอกสารฉบับเต็มของหลักการกำกับดูแลกิจการ: https://www.oecd.org/content/dam/oecd/en/publications/reports/2023/09/g20-oecd-principles-of-corporate-governance-2023_60836fcb/ed750b30-en.pdf
- ISO/IEC 27001:2022 Information Security Management Systems – มาตรฐานระบบบริหารความมั่นคงปลอดภัยสารสนเทศ: https://www.iso.org/standard/27001
- ISO 22301:2019 Business Continuity Management Systems – มาตรฐานระบบบริหารความต่อเนื่องทางธุรกิจ: https://www.iso.org/standard/75106.html
- ITIL Framework, PeopleCert – แนวทางบริหารบริการ IT และ Digital Service Management: https://www.peoplecert.org/Frameworks-Professionals/ITIL-framework
- ISO 31000:2018 Risk management – Guidelines – หลักการและแนวทางการบริหารความเสี่ยงระดับองค์กร: https://www.iso.org/standard/65694.html