เมื่อบริษัทจ้างผู้ให้บริการทำ Payroll ภายนอก สิ่งที่ต้องตกลงให้ชัดก่อนส่งข้อมูลพนักงานคือ หากเงินเดือนผิด ใครต้องแก้ หากจ่ายล่าช้า ใครต้องจัดการ และหากไฟล์เงินเดือนหลุดไปถึงบุคคลที่ไม่เกี่ยวข้อง ใครต้องแจ้งเหตุและดูแลผู้ได้รับผลกระทบ
บริษัทควรกำหนดขอบเขตงาน ผู้ตรวจสอบ ผู้อนุมัติ และผู้สั่งจ่ายให้ชัด พร้อมทำข้อตกลงการประมวลผลข้อมูลส่วนบุคคลและแผนรับมือเหตุผิดปกติก่อนเริ่มบริการ แม้มอบหมายงานคำนวณให้ผู้เชี่ยวชาญภายนอกแล้ว ภายในองค์กรก็ยังต้องมีคนที่เข้าใจกระบวนการเงินเดือนและตรวจสอบผลลัพธ์ได้
สำหรับเจ้าของกิจการ ผู้บริหาร HR และฝ่ายบัญชี ความคุ้มค่าของ Payroll Outsourcing จึงต้องพิจารณาทั้งความถูกต้อง ความต่อเนื่อง การรักษาข้อมูล และความสามารถในการตรวจสอบย้อนหลัง บริการที่คิดราคาต่ำอาจไม่ตอบโจทย์ หากบริษัทต้องเสียเวลาตามแก้ข้อมูลทุกเดือน หรือไม่สามารถนำข้อมูลกลับมาใช้ต่อได้เมื่อเปลี่ยนผู้ให้บริการ
จ้างทำ Payroll ภายนอก ครอบคลุมงานอะไรบ้าง
Payroll Outsourcing คือการมอบหมายงานเกี่ยวกับการจัดทำเงินเดือนให้ผู้ให้บริการภายนอกดำเนินการตามขอบเขตที่ตกลงกัน บางบริษัทจ้างเฉพาะการคำนวณและออกสลิป ขณะที่บางบริษัทต้องการให้จัดเตรียมไฟล์จ่ายเงิน รายงานบัญชี เอกสารภาษี และข้อมูลสำหรับนำส่งเงินสมทบด้วย
คำว่า “บริการครบวงจร” ในใบเสนอราคายังไม่เพียงพอสำหรับควบคุมงาน เพราะการเตรียมแบบ การยื่นแบบ และการนำส่งเงินจริงเป็นคนละขั้นตอน บริษัทต้องระบุให้ชัดว่าขั้นตอนใดรวมอยู่ในค่าบริการ ใครมีอำนาจดำเนินการ และจะได้รับหลักฐานอะไรกลับมา
ขอบเขตงานที่ควรตรวจสอบ ได้แก่
- ข้อมูลตั้งต้น: รายชื่อพนักงาน อัตราค่าจ้าง วันเริ่มงาน วันสิ้นสุดการจ้าง และรายการเปลี่ยนแปลงที่ได้รับอนุมัติ
- การคำนวณ: เงินเดือน ค่าล่วงเวลา ค่าทำงานวันหยุด ค่าคอมมิชชัน โบนัส รายการหัก และยอดจ่ายสุทธิ
- ผลลัพธ์ที่ส่งมอบ: รายงานตรวจสอบ สลิปเงินเดือน ไฟล์ธนาคาร และข้อมูลสำหรับบันทึกบัญชี
- งานภาษีและเงินสมทบ: ระบุเป็นรายงานหรือแบบแต่ละประเภท พร้อมแยกผู้จัดทำ ผู้ยื่น ผู้ชำระ และผู้ตรวจรับหลักฐาน
- งานนอกงวดปกติ: การจ่ายตกเบิก การแก้ไขย้อนหลัง การคำนวณเมื่อพนักงานออก และการออกเอกสารซ้ำ
- การสนับสนุน: ช่องทางสอบถาม เวลาทำการ ผู้ประสานงานสำรอง และขั้นตอนยกระดับปัญหาเร่งด่วน
ควรเขียนสิ่งที่ไม่รวมไว้ด้วย เช่น ผู้ให้บริการไม่อนุมัติชั่วโมงทำงาน ไม่ตัดสินข้อพิพาทเรื่องค่าคอมมิชชัน และไม่เปลี่ยนนโยบายค่าตอบแทนเอง หากมีบริการให้คำปรึกษาเพิ่มเติม ให้ระบุขอบเขตและค่าบริการแยกจากงานประจำเดือน
ก่อนลงนาม ควรขอตัวอย่างรายงานที่บริษัทจะได้รับจริง เพราะรายงานที่แสดงเพียงยอดรวมอาจไม่เพียงพอสำหรับตรวจสอบว่าพนักงานคนใดได้รับเงินเพิ่มหรือลดจากสาเหตุใด
จ้างภายนอกแล้ว ใครรับผิดชอบเมื่อเงินเดือนผิดหรือจ่ายล่าช้า
บริษัทต้องรักษาหน้าที่ในฐานะนายจ้าง
ในการจ้างผู้ให้บริการจัดทำเงินเดือนตามปกติ บริษัทเดิมยังเป็นนายจ้าง การมอบหมายงานคำนวณไม่ได้ทำให้หน้าที่จ่ายค่าจ้างสิ้นสุดลง มาตรา 70 แห่งพระราชบัญญัติคุ้มครองแรงงาน พ.ศ. 2541 กำหนดหน้าที่นายจ้างในการจ่ายค่าจ้างและเงินเกี่ยวกับการทำงานตามกำหนด ส่วนสิทธิเรียกร้องต่อผู้ให้บริการต้องพิจารณาจากสัญญาและข้อเท็จจริงประกอบกัน
หากพนักงานได้รับเงินขาด บริษัทควรตรวจสอบและจัดการยอดที่พนักงานมีสิทธิได้รับโดยเร็ว พร้อมแจ้งกำหนดแก้ไขให้ชัด การตรวจว่าเกิดจากความผิดพลาดของฝ่ายใดและใครต้องชดใช้ค่าใช้จ่ายควรดำเนินควบคู่กันไป
พนักงานไม่ควรต้องรอให้บริษัทกับผู้ให้บริการตกลงความรับผิดกันเสร็จก่อน จึงจะได้รับการตรวจสอบปัญหาเงินเดือนของตนเอง
ผู้ให้บริการต้องรับผิดชอบงานที่รับมอบหมาย
ผู้ให้บริการควรรับผิดชอบการใช้ข้อมูลฉบับที่ถูกต้อง การคำนวณตามกติกาที่ตกลง การตรวจความผิดปกติ และการส่งมอบภายในเวลาที่กำหนด หากข้อมูลขาดหรือขัดกัน ต้องแจ้งกลับตามขั้นตอน ไม่เลือกตีความเองจนเกิดยอดจ่ายที่บริษัทไม่เคยอนุมัติ
ตัวอย่างเช่น HR ส่งหนังสือปรับเงินเดือนที่อนุมัติแล้ว แต่ผู้ให้บริการยังใช้อัตราเดิม ปัญหานี้ต่างจากกรณีที่บริษัทไม่เคยแจ้งการปรับเงินเดือน ความรับผิดจึงต้องอาศัยหลักฐานวันส่งข้อมูล เวอร์ชันไฟล์ การรับทราบ และรายการที่ได้รับอนุมัติ
สัญญาควรกำหนดด้วยว่า การตรวจรับของบริษัทมีขอบเขตอย่างไร และไม่ควรใช้การอนุมัติรายงานเป็นเหตุยกเว้นความรับผิดทุกกรณีให้ผู้ให้บริการ โดยเฉพาะข้อผิดพลาดจากสูตรหรือระบบที่ตรวจไม่พบจากรายงานสรุป ขณะเดียวกัน บริษัทต้องรับผิดชอบความถูกต้องของข้อมูลและคำสั่งที่ตนจัดส่งตามขอบเขตที่ตกลง
แบ่งหน้าที่ภายในให้ชัดก่อนส่งงานให้ผู้ให้บริการ
ปัญหา Payroll หลายเรื่องเริ่มจากข้อมูลภายในที่ยังไม่เรียบร้อย เช่น หัวหน้าสาขายังไม่อนุมัติโอที ฝ่ายขายส่งยอดค่าคอมมิชชันหลายเวอร์ชัน หรือ HR ไม่ได้รับแจ้งวันออกของพนักงาน การมีผู้ให้บริการภายนอกจึงต้องมาพร้อมกระบวนการส่งข้อมูลที่ชัดเจน
HR ดูแลข้อมูลพนักงานและเงื่อนไขการจ้าง
HR ควรรวบรวมและยืนยันข้อมูลเข้าออกงาน การปรับค่าจ้าง การลา ชั่วโมงทำงานที่ได้รับอนุมัติ และรายการค่าตอบแทนที่เกี่ยวข้อง ต้องมีผู้มีอำนาจรับรองข้อมูลก่อนส่ง โดยเฉพาะรายการที่มีผลย้อนหลังหรือมีข้อโต้แย้ง
หากหลายสาขาส่งข้อมูลเข้ามา ควรใช้แบบฟอร์มเดียวกันและมีผู้รวบรวมกลาง การปล่อยให้หัวหน้าสาขาแต่ละคนส่งคำสั่งตรงถึงผู้ให้บริการทำให้ตรวจสอบได้ยากว่าคำสั่งใดเป็นฉบับสุดท้าย
ผู้ให้บริการคำนวณและจัดทำรายงานให้ตรวจสอบ
ผู้ให้บริการควรส่งทั้งยอดเงินเดือนและรายการที่เปลี่ยนจากงวดก่อน เช่น พนักงานใหม่ ผู้พ้นสภาพ ผู้เปลี่ยนบัญชีธนาคาร และยอดจ่ายที่เพิ่มหรือลดผิดปกติ รายงานควรช่วยให้บริษัทตรวจพบปัญหาก่อนจ่ายเงินจริง
รายการที่ยังไม่ชัดควรอยู่ในทะเบียนข้อสงสัย ซึ่งระบุประเด็น ผู้ตอบ และกำหนดเวลาปิดเรื่อง หากยังไม่ได้ข้อสรุป ต้องส่งให้ผู้มีอำนาจตัดสินใจตามลำดับ ไม่ถือว่าความเงียบเท่ากับการอนุมัติ
บัญชีและการเงินตรวจยอดและควบคุมการจ่าย
ฝ่ายบัญชีควรตรวจยอดรวมและการจัดประเภทบัญชี ส่วนฝ่ายการเงินควรตรวจความพร้อมของเงินและกำหนดเวลาของธนาคาร โดยแบ่งผู้จัดเตรียมรายการออกจากผู้อนุมัติจ่ายเท่าที่โครงสร้างองค์กรเอื้ออำนวย
บริษัทขนาดเล็กที่แยกคนได้จำกัด อาจให้เจ้าของกิจการตรวจรายการเปลี่ยนแปลงและยอดจ่ายก่อนอนุมัติทุกงวด พร้อมตรวจรายงานหลังจ่ายจากธนาคารโดยตรง วิธีนี้ช่วยเพิ่มการตรวจสอบโดยไม่จำเป็นต้องตั้งฝ่ายงานใหม่
แต่งตั้งผู้รับผิดชอบกระบวนการเงินเดือน
ควรมีเจ้าของกระบวนการเงินเดือนหนึ่งคน พร้อมผู้แทนสำรอง ให้มีอำนาจติดตามงาน เรียกประชุมแก้ปัญหา และประสานเรื่องสัญญา หากความรับผิดชอบภายในยังคลุมเครือ สามารถนำแนวทางจากบทความ เขียน Job Description ให้ชัด: แยกหน้าที่ ผลลัพธ์ และคุณสมบัติ มาปรับใช้กับตำแหน่งที่ควบคุมงาน Payroll ได้
สัญญาบริการและ SLA ต้องกำหนดอะไรให้ตรวจสอบได้
SLA หรือข้อตกลงระดับการให้บริการควรระบุวันส่งข้อมูล วันส่งร่าง วันแก้ไข วันอนุมัติ และจุดที่ต้องแจ้งเตือนเมื่อเสี่ยงไม่ทันกำหนด รวมถึงแยกเวลาตอบรับปัญหาออกจากเวลาแก้ปัญหา เพราะการตอบว่า “รับเรื่องแล้ว” ยังไม่ได้ทำให้พนักงานได้รับเงินถูกต้อง
เงื่อนไขสำคัญอีกเรื่องคือผลลัพธ์ที่ถือว่าส่งมอบสำเร็จ เช่น ส่งรายงานครบ เปิดไฟล์ได้ ยอดตรงกัน และมีหลักฐานตรวจสอบตามที่ตกลง การส่งอีเมลพร้อมไฟล์ที่ผิดหรือใช้งานไม่ได้ไม่ควรถูกนับว่าเป็นการส่งมอบสมบูรณ์
ตัวอย่างรอบงานรายเดือน
กำหนดเวลาต่อไปนี้เป็นตัวอย่างสำหรับเจรจา ไม่ใช่กำหนดเวลาตามกฎหมาย สมมติให้ D เป็นวันจ่ายเงินที่บริษัทกำหนด และนับวันย้อนหลังตามวันทำการที่ตกลงร่วมกัน
- D-7: HR ส่งข้อมูลฉบับอนุมัติและรายการเปลี่ยนแปลง ผู้ให้บริการยืนยันว่าได้รับครบหรือแจ้งส่วนที่ขาด
- D-5: ผู้ให้บริการส่งผลคำนวณร่าง รายงานเทียบงวดก่อน และข้อสงสัยที่บริษัทต้องตัดสินใจ
- D-3: HR และบัญชีตรวจเสร็จ ผู้มีอำนาจอนุมัติยอดและรุ่นของไฟล์
- D-2: การเงินจัดเตรียมรายการตามเวลาที่ธนาคารรองรับ พร้อมตรวจจำนวนผู้รับและยอดรวม
- D: ตรวจสถานะการจ่ายจริง รายการถูกปฏิเสธ และการส่งสลิปถึงผู้รับที่ถูกต้อง
กำหนดนี้ต้องปรับตามจำนวนพนักงาน ความซับซ้อน วันหยุด และเงื่อนไขธนาคาร หากข้อมูลเข้าหลังวันตัดรอบ ต้องมีขั้นตอนประเมินผลกระทบและขออนุมัติเป็นรายกรณี วันตัดรอบภายในไม่ใช่เหตุให้เลื่อนการจ่ายเงินที่ถึงกำหนดตามกฎหมายหรือข้อตกลงได้โดยอัตโนมัติ
KPI ต้องสะท้อนทั้งคุณภาพงานและผลกระทบต่อพนักงาน
ตัวชี้วัดที่ใช้ได้จริง ได้แก่ อัตราส่งมอบตรงเวลา อัตราผลคำนวณร่างถูกต้องตั้งแต่ครั้งแรก จำนวนพนักงานที่ได้รับเงินผิด และเวลาปิดปัญหา โดยต้องแยกสาเหตุจากผู้ให้บริการ ข้อมูลบริษัท และปัจจัยอื่นให้ตรวจสอบได้
ตัวอย่างสูตรคือ
อัตราคำนวณร่างถูกต้องครั้งแรก = จำนวนพนักงานที่ผลคำนวณร่างไม่มีข้อผิดพลาด ÷ จำนวนพนักงานที่ประมวลผลทั้งหมด × 100
หากประมวลผล 200 คน และพบข้อผิดพลาด 2 คน จะได้ 99% ตัวเลขนี้เป็นตัวอย่างคำนวณ ไม่ใช่มาตรฐานอุตสาหกรรม และไม่ได้หมายความว่ายอมให้จ่ายผิดได้ 2 คน
ก่อนจ่ายจริงต้องแก้ข้อผิดพลาดที่พบและตรวจซ้ำ ส่วนหลังจ่ายต้องติดตามรายการที่ล้มเหลวด้วย เพราะยอดคำนวณถูกต้องอาจยังไม่เท่ากับเงินเข้าบัญชีพนักงานสำเร็จ
PDPA: บริษัทและผู้ให้บริการมีบทบาทอย่างไร
ในการรับจ้างคำนวณเงินเดือนตามคำสั่ง บริษัทมักมีบทบาทเป็น ผู้ควบคุมข้อมูลส่วนบุคคล และผู้ให้บริการมีบทบาทเป็น ผู้ประมวลผลข้อมูลส่วนบุคคล อย่างไรก็ตาม ต้องพิจารณากิจกรรมจริง หากผู้ให้บริการนำข้อมูลไปใช้เพื่อวัตถุประสงค์ของตนเอง บทบาทและความรับผิดของกิจกรรมนั้นอาจเปลี่ยนไป
มาตรา 40 กำหนดหน้าที่ผู้ประมวลผล เช่น ทำงานตามคำสั่งที่ชอบด้วยกฎหมาย จัดให้มีมาตรการรักษาความมั่นคงปลอดภัย และแจ้งเหตุละเมิดแก่ผู้ควบคุมข้อมูล พร้อมกำหนดให้ผู้ควบคุมข้อมูลจัดทำข้อตกลงควบคุมการดำเนินงานของผู้ประมวลผล
บริษัทจึงควรมี ข้อตกลงการประมวลผลข้อมูลส่วนบุคคล หรือ DPA จะเป็นเอกสารแยกหรือส่วนหนึ่งของสัญญาหลักก็ได้ แต่ต้องครอบคลุมงานที่เกิดขึ้นจริง ข้อตกลงรักษาความลับหรือ NDA เพียงอย่างเดียวอาจยังไม่ระบุวิธีประมวลผล การช่วยตอบคำขอใช้สิทธิ หรือการจัดการข้อมูลเมื่อสัญญาสิ้นสุด
ข้อมูลเงินเดือนเป็นข้อมูลอ่อนไหวทั้งหมดหรือไม่
ชื่อ เงินเดือน เลขประจำตัวประชาชน และบัญชีธนาคารเป็นข้อมูลส่วนบุคคลที่ต้องปกป้อง แต่ไม่ได้เป็นข้อมูลตามมาตรา 26 เพียงเพราะเป็นความลับทางการเงิน ส่วนข้อมูลสุขภาพ ความพิการ สมาชิกภาพสหภาพแรงงาน และข้อมูลชีวมิติที่ใช้ระบุตัวบุคคลอยู่ในกลุ่มที่มาตรา 26 คุ้มครองเป็นพิเศษ
หากคำนวณค่าจ้างได้จากจำนวนวันลาที่อนุมัติ ก็ไม่ควรส่งประวัติการรักษาทั้งชุด หากใช้ยอดชั่วโมงทำงานได้ ก็ไม่จำเป็นต้องส่งฐานข้อมูลใบหน้าหรือลายนิ้วมือให้ผู้คำนวณเงินเดือน
การจำกัดข้อมูลตั้งแต่ต้นช่วยลดทั้งจำนวนผู้ที่เข้าถึงและขอบเขตความเสียหายหากเกิดเหตุ บริษัทควรถามทุกครั้งว่า “ข้อมูลนี้จำเป็นต่อบริการส่วนใด” ก่อนเพิ่มลงในไฟล์ส่งออก
ต้องให้พนักงานยินยอมก่อนส่งข้อมูลทุกครั้งหรือไม่
การประมวลผลที่จำเป็นต่อสัญญาจ้างหรือการปฏิบัติตามกฎหมายอาจใช้ฐานตามมาตรา 24 ได้ จึงไม่ควรใช้ความยินยอมแบบครอบจักรวาลกับทุกกิจกรรม ส่วนข้อมูลตามมาตรา 26 ต้องพิจารณาเงื่อนไขเฉพาะ และบริษัทต้องแจ้งรายละเอียดการประมวลผลตามมาตรา 23 ให้เหมาะสม
ในทางปฏิบัติ HR ควรทบทวนประกาศความเป็นส่วนตัวสำหรับพนักงานให้สอดคล้องกับการใช้ผู้ให้บริการ ระบุวัตถุประสงค์ ประเภทผู้รับข้อมูล ระยะเวลาหรือหลักเกณฑ์การเก็บรักษา ช่องทางติดต่อ และสิทธิที่เกี่ยวข้อง โดยแจ้งให้พนักงานเข้าถึงและเข้าใจได้
DPA และข้อกำหนดรักษาข้อมูล ควรเขียนอะไรให้ครบ
1. จำกัดข้อมูลและวัตถุประสงค์การใช้งาน
ควรทำบัญชีประเภทข้อมูลที่อนุญาตให้ส่ง พร้อมระบุวัตถุประสงค์และกลุ่มเจ้าของข้อมูล เช่น พนักงาน อดีตพนักงาน และบุคคลในครอบครัวเฉพาะส่วนที่จำเป็นต่อบริการ ไม่ควรใช้ข้อความว่า “ข้อมูลบุคลากรทั้งหมด” โดยไม่มีรายละเอียดประกอบ
ข้อตกลงควรกำหนดให้ใช้ข้อมูลตามคำสั่งที่บันทึกไว้ และห้ามนำไปขาย ทำการตลาด สร้างฐานข้อมูลเปรียบเทียบรายบุคคล หรือฝึกโมเดล AI นอกขอบเขตที่ตกลง หากผู้ให้บริการเสนอการใช้งานเพิ่มเติม บริษัทต้องประเมินวัตถุประสงค์ ฐานกฎหมาย และมาตรการแยกก่อนดำเนินการ
องค์กรที่ใช้ระบบอัตโนมัติร่วมด้วยสามารถอ่านแนวทาง AI ช่วยงาน HR ตรงไหนได้บ้าง และเรื่องใดต้องให้คนตัดสินใจเพื่อกำหนดขอบเขตการใช้เทคโนโลยีกับข้อมูลพนักงานให้ชัดขึ้น
2. กำหนดสิทธิ์เข้าถึงและหลักฐานการใช้งาน
ข้อกำหนดควรครอบคลุมบัญชีผู้ใช้งานเฉพาะบุคคล การยืนยันตัวตนหลายปัจจัยสำหรับการเข้าถึงที่มีความเสี่ยง การให้สิทธิ์เท่าที่จำเป็น และการถอนสิทธิ์เมื่อย้ายงานหรือพ้นหน้าที่ ต้องมีบันทึกที่ช่วยตรวจสอบว่าใครเข้าถึง แก้ไข ดาวน์โหลด หรือส่งข้อมูลออกไป
ประกาศมาตรการรักษาความมั่นคงปลอดภัย พ.ศ. 2565 วางหลักเรื่องความลับ ความถูกต้องครบถ้วน และความพร้อมใช้งาน รวมถึงการควบคุมสิทธิ์และการตรวจสอบย้อนหลังตามระดับความเสี่ยง ส่วนรายละเอียดอย่างความถี่ทบทวนสิทธิ์และวิธีส่งไฟล์ควรกำหนดในสัญญาให้เหมาะกับระบบจริง
สำหรับไฟล์เงินเดือน ควรใช้ช่องทางที่ระบุผู้รับและจำกัดสิทธิ์ได้ กำหนดการเข้ารหัสระหว่างส่งและขณะจัดเก็บตามความเหมาะสม และหลีกเลี่ยงบัญชีอีเมลส่วนตัวหรือลิงก์ที่ทุกคนเปิดได้
การตั้งรหัสผ่านให้ไฟล์เป็นเพียงมาตรการส่วนหนึ่ง ยังต้องควบคุมผู้รับและวิธีส่งรหัสผ่านด้วย หากส่งไฟล์และรหัสไปผิดคนพร้อมกัน การมีรหัสผ่านก็อาจไม่ช่วยลดความเสียหายตามที่คาดไว้
3. ควบคุมผู้รับจ้างช่วงและการเข้าถึงจากต่างประเทศ
ขอรายชื่อผู้รับจ้างช่วงและผู้ให้บริการระบบที่เกี่ยวข้อง พร้อมหน้าที่ ประเทศที่เก็บข้อมูล และประเทศที่ทีมสนับสนุนเข้าถึงข้อมูล กำหนดขั้นตอนแจ้งล่วงหน้าและการอนุมัติหรือคัดค้านอย่างเหมาะสมเมื่อมีการเปลี่ยนผู้เกี่ยวข้อง
ควรให้ผู้ให้บริการหลักผูกพันผู้รับจ้างช่วงด้วยข้อกำหนดที่สอดคล้องกัน และยังเป็นผู้ประสานงานรับผิดชอบตามสัญญากับบริษัท
หากเข้าข่ายการส่งหรือโอนข้อมูลไปต่างประเทศ ต้องประเมินตามมาตรา 28–29 และประกาศที่เกี่ยวข้องเพิ่มเติม การที่บริษัทอนุมัติผู้รับจ้างช่วงไม่ได้ทำให้เงื่อนไขการโอนข้อมูลครบถ้วนโดยตัวมันเอง
4. กำหนดการช่วยตอบคำขอเกี่ยวกับข้อมูลส่วนบุคคล
เมื่อพนักงานขอเข้าถึงหรือแก้ไขข้อมูล บริษัทต้องทราบว่าควรส่งคำขอไปที่ใคร และผู้ให้บริการต้องช่วยค้นหรือแก้ไขภายในกรอบเวลาใด ควรกำหนดให้ผู้ให้บริการส่งคำขอที่ได้รับโดยตรงกลับมายังผู้รับผิดชอบของบริษัทตามขั้นตอน พร้อมรักษาความปลอดภัยระหว่างยืนยันตัวตน
ตัวอย่างเช่น พนักงานแจ้งว่าเลขบัญชีธนาคารผิด ต้องแยกการแก้ข้อมูลหลักออกจากการแก้รายการจ่ายที่ส่งธนาคารไปแล้ว เพราะการเปลี่ยนข้อมูลในระบบอาจไม่ทำให้รายการที่อยู่ระหว่างดำเนินการเปลี่ยนตาม
5. กำหนดสิทธิตรวจสอบมาตรการรักษาข้อมูล
บริษัทควรมีสิทธิขอหลักฐานมาตรการรักษาข้อมูลและตรวจสอบเมื่อเกิดเหตุหรือมีเหตุอันควรสงสัย หากใช้รายงานตรวจประเมินหรือใบรับรอง ต้องตรวจขอบเขตว่าครอบคลุมระบบและหน่วยงานที่ให้บริการจริง
ประเด็นที่ควรถามให้ได้คำตอบ เช่น ผู้ดูแลระบบเข้าถึงเงินเดือนรายบุคคลได้เมื่อใด ใครอนุมัติการดาวน์โหลดข้อมูล และบริษัทจะได้รับหลักฐานอะไรเมื่อมีการถอนสิทธิ์พนักงานของผู้ให้บริการที่ลาออก
ข้อมูลเงินเดือนรั่วไหล ต้องแจ้งใคร และกำหนดเวลาอย่างไร
สัญญาควรระบุว่าผู้ให้บริการต้องแจ้งบริษัทโดยไม่ชักช้าเมื่อพบเหตุหรือมีข้อบ่งชี้ที่น่าเชื่อถือว่าอาจเกิดเหตุ พร้อมกำหนดระยะเวลาแจ้งเบื้องต้นให้สั้นพอที่บริษัทจะดำเนินการต่อได้
ตัวอย่างเช่น ตกลงให้แจ้งภายใน 4 ชั่วโมงนับจากพบเหตุหรือข้อบ่งชี้ดังกล่าว โดยระบุว่าใช้เวลาต่อเนื่องรวมวันหยุด และกำหนดผู้ติดต่อสำรองหากติดต่อผู้รับผิดชอบหลักไม่ได้
ตัวเลข 4 ชั่วโมงเป็นตัวอย่างเงื่อนไขสัญญา ไม่ใช่ข้อกำหนดทั่วไปของ PDPA บริษัทต้องเจรจาให้สอดคล้องกับความเสี่ยงและความสามารถของผู้ให้บริการ และไม่ควรให้ผู้ให้บริการรอสอบสวนจนเสร็จก่อนแจ้งเรื่อง
สำหรับหน้าที่ตามกฎหมาย ผู้ควบคุมข้อมูลต้องแจ้งสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลโดยไม่ชักช้าภายใน 72 ชั่วโมงนับแต่ทราบเหตุเท่าที่สามารถกระทำได้ เว้นแต่เหตุไม่มีความเสี่ยงกระทบสิทธิและเสรีภาพของบุคคล หากมีความเสี่ยงสูง ต้องแจ้งเจ้าของข้อมูลพร้อมแนวทางเยียวยาโดยไม่ชักช้าด้วย โดยพิจารณาข้อเท็จจริงและหลักเกณฑ์การแจ้งเหตุประกอบ
รายงานเหตุเบื้องต้นควรมีข้อมูลอะไร
ผู้ให้บริการควรแจ้งเวลาที่ตรวจพบ ลักษณะเหตุ ระบบและประเภทข้อมูลที่เกี่ยวข้อง จำนวนผู้ได้รับผลกระทบเท่าที่ทราบ มาตรการควบคุมเหตุ และผู้ติดต่อ หากข้อมูลยังไม่ครบ ให้ระบุส่วนที่กำลังตรวจสอบพร้อมกำหนดส่งความคืบหน้า
ตัวอย่างเช่น ส่งสลิปเงินเดือนผิดคน ต้องรีบจำกัดการเข้าถึง เก็บหลักฐานผู้รับและข้อมูลที่เปิดเผย ประเมินว่ามีการเปิดหรือส่งต่อหรือไม่ และร่วมกันพิจารณาการแจ้งเหตุ การขอให้ผู้รับลบไฟล์อาจช่วยลดผลกระทบ แต่ยังต้องประเมินเหตุการณ์และบันทึกผลการจัดการ
บริษัทควรกำหนดผู้ตัดสินใจเรื่องการแจ้งสำนักงานฯ และการสื่อสารกับพนักงานไว้ล่วงหน้า พร้อมผู้แทนสำรอง ส่วนผู้ให้บริการต้องให้ข้อมูลและความช่วยเหลือ โดยไม่สื่อสารข้อสรุปเรื่องความรับผิดแทนบริษัทโดยพลการ
คำนวณผิดหรือจ่ายล่าช้า จะกำหนดการชดใช้อย่างไร
ควรแยกต้นเหตุ วิธีแก้ และประเภทค่าใช้จ่ายออกจากกัน เช่น ค่าคำนวณใหม่ ค่าจ่ายเงินนอกรอบ ค่าแก้ไขเอกสาร ค่าใช้จ่ายสอบสวนเหตุข้อมูล และความเสียหายที่พิสูจน์ความเชื่อมโยงได้ กำหนดผู้รับผิดชอบตามการผิดหน้าที่และการมีส่วนก่อเหตุ
หากมีส่วนลดค่าบริการเมื่อผิด SLA ต้องระบุด้วยว่าส่วนลดนั้นเป็นเพียงการชดเชยด้านบริการหรือเป็นขอบเขตการเยียวยาที่ตกลงกันทั้งหมด ผู้บริหารควรตรวจเพดานความรับผิด ข้อยกเว้น และความสามารถชดใช้ของคู่สัญญา โดยเฉพาะเหตุทุจริต การละเมิดความลับ และการใช้ข้อมูลนอกคำสั่ง
ข้อตกลงระหว่างบริษัทกับผู้ให้บริการไม่อาจถือว่าเปลี่ยนผู้มีหน้าที่ต่อหน่วยงานรัฐหรือยกเลิกสิทธิของพนักงานตามกฎหมายได้เอง ส่วนการเรียกคืนค่าปรับหรือค่าเสียหายต้องประเมินความชอบด้วยกฎหมายเป็นรายกรณี ไม่ควรเขียนรับรองล่วงหน้าว่าผลักภาระทุกประเภทให้อีกฝ่ายได้เสมอ
อีกเรื่องที่ควรตกลงคือ ผู้ให้บริการต้องแจ้งการเปลี่ยนกฎหมายหรืออัตราที่มีผลต่อบริการอย่างไร ใครปรับระบบ ใครตรวจผลทดสอบ และต้องทำก่อนงวดใด บริษัทควรเห็นหลักฐานว่าการปรับตั้งค่าผ่านการตรวจสอบแล้วก่อนนำไปใช้จ่ายเงินจริง
เมื่อเลิกสัญญา ต้องได้ข้อมูลอะไรกลับ และลบอย่างไร
แผนออกจากบริการควรตกลงตั้งแต่วันเริ่มสัญญา โดยระบุรูปแบบไฟล์ที่นำไปใช้ต่อได้ รายการข้อมูลที่ส่งมอบ ผู้ตรวจรับ ระยะเวลา และค่าบริการเปลี่ยนผ่าน
บริษัทควรได้รับข้อมูลสะสมที่จำเป็น รายงานเงินเดือน ประวัติการปรับปรุง หลักฐานการยื่นหรือนำส่งตามขอบเขตบริการ และคำอธิบายรหัสข้อมูลที่ใช้ หากผู้ให้บริการใช้รหัสเฉพาะของระบบ ต้องมีรายละเอียดให้ฝ่ายบัญชีหรือผู้ให้บริการรายใหม่เข้าใจความหมายได้
กำหนดช่วงที่ผู้ให้บริการเดิมต้องช่วยตอบข้อสงสัย และทดสอบว่าบริษัทหรือผู้ให้บริการรายใหม่เปิดอ่านและใช้ข้อมูลได้จริงก่อนปิดระบบ การได้รับไฟล์จำนวนมากยังไม่เท่ากับการรับมอบสำเร็จ หากไม่ทราบว่ารายการใดเป็นฉบับล่าสุดหรือยอดสะสมเชื่อมต่อกันอย่างไร
ระยะเวลาเก็บข้อมูลต้องแยกตามประเภท
การเก็บรักษาควรแยกตามประเภทเอกสารและหน้าที่ที่เกี่ยวข้อง ไม่กำหนดว่าไฟล์ Payroll ทุกอย่างต้องเก็บเท่ากันทั้งหมด เมื่อหมดความจำเป็นหรือสิ้นสุดบริการ ให้กำหนดการคืนและลบข้อมูลส่วนที่ไม่มีฐานให้เก็บต่อ พร้อมหลักฐานยืนยันการดำเนินการ
สำหรับข้อมูลที่ต้องเก็บต่อเพราะกฎหมายหรือข้อพิพาท ให้ระบุเหตุผล ขอบเขต ระยะเวลา ผู้เข้าถึง และข้อจำกัดการใช้ ส่วนสำเนาสำรองต้องกำหนดรอบลบ การป้องกันการนำกลับมาใช้นอกวัตถุประสงค์ และวิธีจัดการหากมีการกู้คืน
ไม่ควรรับคำยืนยันว่า “ลบทันทีทั้งหมด” หากระบบจริงยังมีสำเนาคงอยู่ บริษัทควรได้คำอธิบายที่ตรวจสอบได้ว่าข้อมูลส่วนใดถูกลบแล้ว ส่วนใดคงเหลือเพราะเหตุใด และจะจัดการเสร็จเมื่อใด
ก่อนเริ่มบริการ ควรทดลองงานและเตรียมแผนสำรองอย่างไร
เริ่มจากข้อมูลสมมติหรือข้อมูลที่ลดการระบุตัวบุคคลเท่าที่เหมาะสม เพื่อทดสอบกติกาคำนวณและรูปแบบรายงาน เมื่อจำเป็นต้องใช้ข้อมูลจริง ต้องมีข้อตกลงและมาตรการพร้อมแล้ว โดยจำกัดผู้เข้าถึงและกำหนดการจัดการข้อมูลทดสอบด้วย
กรณีทดสอบควรมีพนักงานเริ่มกลางเดือน ออกกลางเดือน มีค่าตอบแทนหลายประเภท ปรับย้อนหลัง และเปลี่ยนบัญชีธนาคาร บริษัทต้องรู้ผลที่คาดหมายและเหตุผลของผลต่าง ไม่ตรวจเฉพาะว่าระบบสร้างรายงานได้
ก่อนย้ายงานจริง อาจทดลองคำนวณคู่ขนานอย่างน้อยหนึ่งงวดตามความเหมาะสม โดยจ่ายเงินจริงผ่านกระบวนการที่อนุมัติเพียงชุดเดียว เกณฑ์ผ่านควรกำหนดล่วงหน้าว่าผลต่างใดต้องแก้ ใครลงนามรับรอง และข้อผิดพลาดแบบใดทำให้ต้องเลื่อนการเริ่มใช้บริการ
แผนสำรองควรตอบได้ว่า หากระบบใช้ไม่ได้ก่อนวันจ่าย ผู้ให้บริการหลักติดต่อไม่ได้ หรือไฟล์ธนาคารถูกปฏิเสธ บริษัทจะใช้ข้อมูลฉบับใดและใครดำเนินการแทน ควรกำหนดเวลาที่ต้องกู้บริการกลับมาและขอบเขตข้อมูลที่ยอมให้สูญหายได้ พร้อมทดสอบการกู้คืนตามความเสี่ยงของธุรกิจ
ตัวอย่างเงื่อนไขสำหรับนำไปเจรจากับผู้ให้บริการ Payroll
ข้อความต่อไปนี้เป็นตัวอย่างเฉพาะประเด็นสำหรับปรับร่วมกับสัญญาหลัก DPA และ SLA ต้องเติมผู้รับผิดชอบ กำหนดเวลา และรายละเอียดระบบให้ตรงกับบริการจริงก่อนลงนาม
ตัวอย่างเรื่องคำสั่งและการอนุมัติ
ผู้ให้บริการจะประมวลผลเงินเดือนจากข้อมูลฉบับที่ผู้มีอำนาจของบริษัทอนุมัติผ่านช่องทางที่ตกลงกันเท่านั้น การแก้ไขอัตราค่าจ้าง บัญชีรับเงิน หรือรายการจ่ายหลังอนุมัติต้องมีคำสั่งที่ตรวจสอบย้อนหลังได้ และต้องได้รับอนุมัติใหม่ก่อนนำไปใช้ ผู้ให้บริการต้องแจ้งข้อมูลที่ขาดหรือขัดกันโดยไม่ชักช้า และไม่ถือว่าการไม่ตอบกลับเป็นการอนุมัติ
ตัวอย่างเรื่องการใช้ข้อมูล
ผู้ให้บริการจะใช้ข้อมูลส่วนบุคคลเท่าที่จำเป็นเพื่อให้บริการตามคำสั่งที่ชอบด้วยกฎหมายของบริษัท จำกัดการเข้าถึงเฉพาะบุคลากรที่ได้รับมอบหมาย และไม่ใช้ข้อมูลเพื่อการตลาด การสร้างฐานข้อมูลเชิงพาณิชย์ หรือการฝึกโมเดล AI นอกขอบเขตบริการที่ตกลง การใช้ผู้รับจ้างช่วงและการเปลี่ยนสถานที่ประมวลผลต้องเป็นไปตามขั้นตอนในข้อตกลงการประมวลผลข้อมูลส่วนบุคคล
ตัวอย่างเรื่องเหตุผิดปกติ
เมื่อพบเหตุละเมิดข้อมูลส่วนบุคคลหรือข้อบ่งชี้ที่น่าเชื่อถือว่าอาจเกิดเหตุ ผู้ให้บริการต้องแจ้งผู้ติดต่อหลักและผู้ติดต่อสำรองของบริษัทโดยไม่ชักช้า ภายในระยะเวลาที่ระบุใน SLA พร้อมควบคุมเหตุ เก็บรักษาหลักฐาน และส่งข้อมูลเพิ่มเติมอย่างต่อเนื่อง การแจ้งเบื้องต้นไม่ต้องรอผลสอบสวนครบถ้วน และไม่ตัดสิทธิของบริษัทในการตรวจสอบสาเหตุและความเสียหาย
เงื่อนไขเหล่านี้ควรเชื่อมกับวิธีทำงานที่มีผู้รับผิดชอบจริง เช่น ระบุว่าช่องทางอนุมัติคือระบบใด และผู้ติดต่อฉุกเฉินรับเรื่องนอกเวลางานอย่างไร หากมีแต่ข้อความในสัญญาโดยไม่มีขั้นตอนรองรับ เมื่อเกิดเหตุแต่ละฝ่ายก็ยังอาจรอให้อีกฝ่ายเริ่มจัดการ
พนักงานควรรู้และติดต่อใครเมื่อมีปัญหาเงินเดือน
บริษัทควรแจ้งพนักงานว่าจะมีผู้ให้บริการช่วยจัดทำเงินเดือน แต่ยังมีช่องทางภายในสำหรับสอบถามยอด คัดค้านรายการผิด และแจ้งข้อมูลส่วนบุคคลที่ไม่ถูกต้อง พร้อมกำหนดเวลาตอบรับและวิธีติดตามเรื่อง
หากให้ผู้ให้บริการรับคำถามโดยตรง ต้องกำหนดขอบเขตการตอบและวิธียืนยันตัวตน ไม่ขอให้พนักงานส่งเอกสารเกินจำเป็น และต้องส่งต่อเรื่องนโยบายหรือข้อพิพาทให้ผู้มีอำนาจของบริษัท พนักงานควรได้รับคำตอบที่สอดคล้องกันโดยไม่ต้องติดต่อวนหลายฝ่าย
อ่านเพิ่มเติมเรื่อง บทบาท HR และวิธีเตรียมข้อมูลร้องเรียนปัญหาที่ทำงาน เพื่อจัดช่องทางรับเรื่องและขอบเขตการรักษาความลับให้เหมาะกับประเด็นที่พนักงานแจ้ง
ก่อนอนุมัติให้เริ่มบริการ ผู้บริหารควรขอดูขอบเขตงานที่ลงรายละเอียดแล้ว รายชื่อผู้รับผิดชอบแต่ละขั้น DPA ผลทดสอบคำนวณ และแผนสำรอง หากเอกสารเหล่านี้สอดคล้องกับการทำงานจริง บริษัทจะติดตามความถูกต้องและจัดการเหตุผิดปกติได้ชัดขึ้นตั้งแต่งวดแรก
คำถามที่พบบ่อยเกี่ยวกับการจ้างทำ Payroll ภายนอก
1. บริษัทเล็กควรจ้างทำ Payroll ภายนอกหรือไม่
พิจารณาความซับซ้อนของค่าตอบแทน เวลาและทักษะของทีมภายใน ความต่อเนื่อง และต้นทุนรวมของบริการ หากจ้างภายนอก บริษัทก็ยังต้องมีคนตรวจข้อมูลและอนุมัติเงินเดือน การมีพนักงานน้อยไม่ได้ทำให้สามารถละเว้นการควบคุมข้อมูลและการจ่ายเงินได้
2. เซ็น NDA แล้วต้องทำ DPA เพิ่มหรือไม่
ต้องมีเนื้อหาข้อตกลงควบคุมการประมวลผลให้ครอบคลุมหน้าที่ตามกฎหมาย จะรวมในสัญญาเดียวกันหรือแยกเอกสารก็ได้ ประเด็นอยู่ที่เนื้อหา ไม่ใช่ชื่อเอกสาร โดย NDA ที่กล่าวเพียงว่าห้ามเปิดเผยความลับอาจยังไม่ครอบคลุมการรับคำสั่ง การช่วยจัดการเหตุ และการคืนข้อมูล
3. ให้ผู้ให้บริการถือรหัสธนาคารและอนุมัติจ่ายได้หรือไม่
แนวทางที่ควรเลือกคือใช้สิทธิ์ที่ธนาคารรองรับ แยกผู้จัดเตรียมกับผู้อนุมัติ และให้บริษัทควบคุมการอนุมัติจ่าย หลีกเลี่ยงการแชร์บัญชีผู้ใช้หรือรหัสยืนยันตัวตน หากต้องมอบอำนาจดำเนินการส่วนใด ต้องตรวจเงื่อนไขธนาคาร ขอบเขตอำนาจ และบันทึกธุรกรรมให้ครบ
4. ผู้ให้บริการแจ้งบริษัทภายใน 72 ชั่วโมงถือว่าเพียงพอหรือไม่
ไม่ควรใช้ 72 ชั่วโมงเป็นกรอบสัญญาแบบอัตโนมัติ เพราะบริษัทต้องมีเวลาตรวจสอบและพิจารณาหน้าที่แจ้งเหตุของตนเอง ควรกำหนดให้แจ้งเบื้องต้นโดยไม่ชักช้าและภายในกรอบที่สั้นกว่านั้นตามความเสี่ยง รวมถึงมีผู้รับเรื่องนอกเวลางาน
5. เงินเดือนผิด แต่บริษัทอนุมัติแล้ว ผู้ให้บริการพ้นความรับผิดหรือไม่
ไม่ควรสรุปเช่นนั้นโดยอัตโนมัติ ต้องดูสาเหตุ ขอบเขตหน้าที่ หลักฐาน และข้อสัญญา เช่น บริษัทอนุมัติยอดจากรายงานที่มีสูตรผิดโดยตรวจพบได้ยาก หรือบริษัทเป็นผู้ยืนยันข้อมูลต้นทางที่ผิดเอง จึงควรเขียนขั้นตอนตรวจรับและความรับผิดให้ชัดตั้งแต่ต้น
6. เก็บข้อมูลบน Cloud ต่างประเทศได้หรือไม่
ต้องประเมินรูปแบบการประมวลผลและเงื่อนไขการส่งหรือโอนข้อมูลไปต่างประเทศตามกฎหมาย พร้อมตรวจประเทศที่จัดเก็บและที่มีการเข้าถึงข้อมูล ชื่อบริษัทผู้ให้บริการหรือที่อยู่สำนักงานในประเทศไทยอย่างเดียวไม่เพียงพอสำหรับตอบคำถามนี้
7. เลิกใช้บริการแล้วควรให้ผู้ให้บริการลบข้อมูลทั้งหมดทันทีหรือไม่
ควรตรวจรับข้อมูลที่บริษัทต้องใช้ต่อก่อน และแยกข้อมูลที่ต้องเก็บตามกฎหมายหรือเพื่อข้อพิพาทออกจากส่วนที่ไม่มีความจำเป็นให้เก็บต่อ กำหนดวันลบ วิธีจัดการสำเนาสำรอง และหลักฐานยืนยันให้ชัด โดยไม่ปล่อยให้เก็บข้อมูลไว้ไม่มีกำหนดเพียงเพื่อความสะดวก