Whistleblower คืออะไร - ทำไมธุรกิจควรมีระบบแจ้งเบาะแสที่ใช้งานได้จริง (อัปเดต 2569)
สรุปสั้น
Whistleblower หรือผู้แจ้งเบาะแส คือบุคคลที่เปิดเผยข้อมูลเกี่ยวกับการกระทำผิดกฎหมาย การทุจริต ให้ผู้บริหาร หรือหน่วยงานที่เกี่ยวข้องรับทราบ เพื่อให้เกิดการแก้ไขก่อนความเสียหายจะลุกลาม Whistleblowing ไม่ใช่แค่มีไว้ก็ดี แต่เป็นองค์ประกอบของระบบควบคุมภายในที่ต้องประเมินความเพียงพอ เราจะพาไปทำความเข้าใจว่า Whistleblower คืออะไร กฎหมายคุ้มครองผู้แจ้งเบาะแสไว้อย่างไร และควรวางระบบอย่างไรให้ใช้ได้จริง
Whistleblower คืออะไร
Whistleblower คือบุคคลหรือกลุ่มบุคคลที่รายงานหรือเปิดเผยข้อมูลความผิดปกติ การกระทำผิดกฎหมาย การละเมิดจรรยาบรรณ หรือการทุจริตที่เกิดขึ้นภายในบริษัท องค์กร หรือหน่วยงานที่ตนเกี่ยวข้อง ให้ฝ่ายที่มีอำนาจดำเนินการรับทราบ
ผู้แจ้งเบาะแสอาจเป็นพนักงานภายใน คู่ค้า ลูกค้า หรือบุคคลภายนอกที่มีส่วนได้เสียกับองค์กรก็ได้ ข้อมูลที่แจ้งมักเกี่ยวข้องกับการทุจริตคอร์รัปชัน ความเสียหายทางการเงิน ความเสี่ยงต่อความปลอดภัยหรือสิ่งแวดล้อม และการกระทำที่ขัดต่อกฎหมายหรือนโยบายภายใน จุดร่วมสำคัญของ whistleblower ทุกกรณีคือ ผู้แจ้งมักมีความเสี่ยงที่จะถูกกลั่นแกล้ง ตอบโต้ หรือได้รับผลกระทบต่อหน้าที่การงานและความปลอดภัย จึงเป็นเหตุผลที่ทุกระบบ whistleblowing ที่ดีต้องออกแบบมาตรการปกป้องผู้แจ้งควบคู่ไปด้วยเสมอ
กฎหมายไทยคุ้มครองผู้แจ้งเบาะแสไว้อย่างไรบ้าง
ประเทศไทยมีกฎหมายหลายฉบับที่เกี่ยวข้องกับการคุ้มครองผู้แจ้งเบาะแส โดยไม่มีกฎหมายฉบับเดียวที่ครอบคลุมทุกกรณี แต่กระจายอยู่ในกฎหมายต่อไปนี้
- รัฐธรรมนูญแห่งราชอาณาจักรไทย พ.ศ. 2560 มาตรา 63 วางหลักการให้รัฐต้องจัดให้มีมาตรการป้องกันและขจัดการทุจริต รวมถึงคุ้มครองผู้แจ้งเบาะแส
- พระราชบัญญัติประกอบรัฐธรรมนูญว่าด้วยการป้องกันและปราบปรามการทุจริต พ.ศ. 2561 เป็นกฎหมายหลักที่คุ้มครองผู้กล่าวหา ผู้เสียหาย ผู้ทำคำร้อง ผู้ร้องทุกข์กล่าวโทษ พยาน หรือผู้แจ้งเบาะแส โดย มาตรา 36 ห้ามคณะกรรมการ ป.ป.ช. เจ้าหน้าที่ หรือบุคคลที่เกี่ยวข้องเปิดเผยข้อมูลที่จะทำให้ทราบตัวผู้กล่าวหาหรือผู้แจ้งเบาะแส หากฝ่าฝืน มาตรา 37 กำหนดโทษทางวินัย และ มาตรา 180 กำหนดโทษทางอาญาจำคุก 1–5 ปี หรือปรับ 20,000–100,000 บาท หรือทั้งจำทั้งปรับ
- พระราชบัญญัติคุ้มครองพยานในคดีอาญา พ.ศ. 2546 ให้ความคุ้มครองด้านความปลอดภัยแก่พยานในคดีอาญา ซึ่งครอบคลุมถึงผู้แจ้งเบาะแสที่ต้องให้การเป็นพยานในกระบวนการยุติธรรม
- พระราชบัญญัติป้องกันและปราบปรามการฟอกเงิน พ.ศ. 2542 และฉบับแก้ไขเพิ่มเติม มีบทบัญญัติคุ้มครองผู้แจ้งข้อมูลเกี่ยวกับธุรกรรมที่เกี่ยวข้องกับการฟอกเงิน
ข้อจำกัดที่ผู้ประกอบการควรทราบคือ กฎหมายเหล่านี้คุ้มครองเฉพาะกรณีที่แจ้งผ่านช่องทางที่กฎหมายกำหนด เช่น แจ้งต่อ ป.ป.ช. หรือหน่วยงานรัฐที่เกี่ยวข้องโดยตรงเท่านั้น หากผู้แจ้งเลือกเปิดเผยผ่านสื่อหรือโซเชียลมีเดียก่อน อาจไม่ได้รับความคุ้มครองตามกฎหมายฉบับดังกล่าว นี่คือเหตุผลสำคัญที่บริษัทควรมีช่องทางแจ้งเบาะแสภายในที่น่าเชื่อถือ เพื่อให้พนักงานกล้าแจ้งเรื่องผ่านช่องทางที่ถูกต้องตั้งแต่ต้น
ทำไมบริษัทควรมีระบบ Whistleblowing
ระบบ Whistleblowing ไม่ใช่เพียงมาตรการทางกฎหมาย แต่เป็นกลไกควบคุมภายในที่ถูกประเมินโดยตรงในหลายกรอบมาตรฐาน
- กรอบการควบคุมภายใน COSO จัดให้ช่องทางแจ้งเบาะแสเป็นส่วนหนึ่งขององค์ประกอบ Control Environment (สภาพแวดล้อมการควบคุม) และ Information and Communication (ข้อมูลและการสื่อสาร) ซึ่งเป็น 2 ใน 5 องค์ประกอบที่ผู้สอบบัญชีและผู้ตรวจสอบภายในต้องประเมินความเพียงพอ
- ตามแนวทางการกำกับดูแลกิจการที่ดีของสำนักงาน ก.ล.ต. และแนวปฏิบัติของตลาดหลักทรัพย์แห่งประเทศไทย (SET) กำหนดให้บริษัทจดทะเบียนต้องมีนโยบายรับเรื่องร้องเรียนและช่องทางแจ้งเบาะแส (Whistleblowing Channel) ที่เชื่อมโยงกับหลักจรรยาบรรณธุรกิจ การป้องกันความขัดแย้งทางผลประโยชน์ และมาตรการต่อต้านคอร์รัปชัน โดยคณะกรรมการตรวจสอบมีบทบาทกำกับดูแลเรื่องที่ได้รับแจ้งโดยตรง
- การรับรองโครงการต่อต้านทุจริตคอร์รัปชั่น CAC (Thai CAC) สำหรับ SME และบริษัทที่ต้องการแสดงเจตนารมณ์ต่อต้านคอร์รัปชัน ก็กำหนดให้มีระบบแจ้งเบาะแสเป็นส่วนหนึ่งของแบบประเมินตนเอง (Checklist) ด้านการสร้างระบบควบคุมภายในเพื่อป้องกันการให้สินบนและการทุจริต
สำหรับบริษัทที่อยู่ระหว่างเตรียมความพร้อมเข้า IPO ที่ปรึกษาทางการเงิน (FA) และผู้ตรวจสอบภายในมักตรวจสอบเรื่องนี้เป็นหนึ่งใน Readiness Checklist เพราะการไม่มีช่องทางแจ้งเบาะแสที่ใช้งานได้จริง สะท้อนถึงจุดอ่อนของระบบควบคุมภายในโดยรวม ซึ่งอาจถูกตั้งข้อสังเกตจากที่ปรึกษาทางการเงินหรือผู้สอบบัญชีก่อนยื่นแบบแสดงรายการข้อมูล (Filing) ต่อสำนักงาน ก.ล.ต.
ขั้นตอนวางระบบ Whistleblower ในองค์กร
การวางระบบ Whistleblowing ให้ใช้งานได้จริง ไม่ใช่แค่มีนโยบายไว้โชว์คณะกรรมการ ควรทำตามลำดับขั้นตอนต่อไปนี้
- กำหนดนโยบายและขอบเขต ระบุชัดเจนว่าเรื่องใดบ้างที่รับแจ้งได้ เช่น การทุจริต การละเมิดจรรยาบรรณ ความเสี่ยงด้านความปลอดภัยหรือสิ่งแวดล้อม และใครมีสิทธิแจ้ง (พนักงาน คู่ค้า ลูกค้า หรือบุคคลภายนอก)
- กำหนดช่องทางรับแจ้งที่หลากหลายและเข้าถึงง่าย เช่น อีเมลเฉพาะ กล่องรับความเห็น เว็บไซต์ หรือสายด่วน โดยควรมีทางเลือกให้แจ้งแบบไม่เปิดเผยตัวตน (Anonymous) ได้ด้วย
- กำหนดผู้รับผิดชอบตรวจสอบข้อเท็จจริงเบื้องต้น โดยทั่วไปจะเป็นคณะกรรมการตรวจสอบ ฝ่ายตรวจสอบภายใน หรือคณะทำงานเฉพาะกิจที่เป็นอิสระจากหน่วยงานที่ถูกกล่าวหา
- วางกระบวนการตัดสินใจดำเนินการ ประเมินความน่าเชื่อถือของข้อมูล ผลกระทบที่อาจเกิดขึ้น และกำหนดกรอบเวลาดำเนินการที่ชัดเจน
- กำหนดมาตรการปกป้องผู้แจ้งเบาะแส ห้ามเปิดเผยตัวตนโดยไม่ได้รับความยินยอม ห้ามการตอบโต้หรือกลั่นแกล้งในทุกรูปแบบ และต้องดูแลข้อมูลส่วนบุคคลของผู้แจ้งตามหลัก PDPA อย่างเคร่งครัด เพราะถือเป็นข้อมูลที่มีความอ่อนไหวสูง
- สืบสวนและดำเนินการตามข้อกล่าวหา หากพบว่ามีมูลความจริง ต้องดำเนินการทางวินัยหรือส่งเรื่องต่อหน่วยงานที่เกี่ยวข้องตามกฎหมาย
- รายงานผลและทบทวนระบบ สรุปสถิติเรื่องร้องเรียนต่อคณะกรรมการตรวจสอบเป็นระยะ และทบทวนประสิทธิภาพของช่องทางอย่างสม่ำเสมอ
ข้อควรระวัง จากประสบการณ์ที่พบเจอ
- บริษัทจำนวนมากมีนโยบาย Whistleblowing เป็นเอกสารสวยงามบนเว็บไซต์ แต่พนักงานไม่รู้ว่าช่องทางแจ้งเบาะแสอยู่ตรงไหน หรือไม่มั่นใจว่าข้อมูลจะถูกเก็บเป็นความลับจริง ทำให้ระบบไม่ถูกใช้งานจริงเมื่อเกิดเหตุการณ์
- ช่องทางแจ้งเบาะแสที่ให้พนักงานอีเมลตรงไปยังผู้บังคับบัญชาสายงานเดียวกับผู้ถูกกล่าวหา คือจุดอ่อนที่พบบ่อยที่สุด ควรมีช่องทางที่ส่งตรงถึงคณะกรรมการตรวจสอบหรือหน่วยงานอิสระเสมอ
- หลายองค์กรลืมเชื่อมโยงระบบ Whistleblowing เข้ากับการประเมินความเสี่ยงด้านทุจริต (Fraud Risk Assessment) ทั้งที่ควรเป็นข้อมูลป้อนกลับสำคัญให้คณะกรรมการตรวจสอบหรือคณะกรรมการบริหารความเสี่ยงใช้ทบทวนความเสี่ยงในแต่ละปี
- ข้อมูลผู้แจ้งเบาะแสหลุดจากการจัดเก็บที่ไม่รัดกุม เช่น ไฟล์ Excel ที่แชร์เปิดในองค์กร หรือระบบอีเมลที่ผู้ดูแลหลายคนเข้าถึงได้ ทำให้เกิดความเสี่ยงด้านการละเมิด PDPA ซ้อนขึ้นมาอีกชั้น
หมายเหตุ: บทความนี้อ้างอิงพระราชบัญญัติประกอบรัฐธรรมนูญว่าด้วยการป้องกันและปราบปรามการทุจริต พ.ศ. 2561, พระราชบัญญัติคุ้มครองพยานในคดีอาญา พ.ศ. 2546, แนวทาง CG Code ของสำนักงาน ก.ล.ต. และกรอบ COSO Internal Control ณ ปี 2569 ทั้งนี้ รายละเอียดและเกณฑ์การประเมินอาจมีการปรับปรุง แนะนำให้ตรวจสอบข้อมูลล่าสุดที่เว็บไซต์สำนักงาน ป.ป.ช. (nacc.go.th) และสำนักงาน ก.ล.ต. (sec.or.th) ก่อนนำไปใช้งาน
คำถามที่พบบ่อย
Whistleblower ต่างจากผู้ร้องเรียนทั่วไปอย่างไร?
ผู้ร้องเรียนทั่วไปมักร้องเรียนเรื่องที่กระทบสิทธิของตนเองโดยตรง เช่น บริการไม่เป็นธรรม ขณะที่ whistleblower คือผู้แจ้งข้อมูลความผิดปกติหรือการทุจริตที่อาจไม่ได้กระทบตนเองโดยตรง แต่ทำเพื่อประโยชน์ขององค์กรหรือสาธารณะ
บริษัทขนาดเล็กที่ยังไม่ใช่บริษัทมหาชนจำเป็นต้องมีระบบ Whistleblowing หรือไม่?
กฎหมายไม่ได้บังคับบริษัทเอกชนทั่วไปโดยตรง แต่แนะนำว่าควรมีครับ เป็นช่องทางการแจ้งเบาะแสที่ช่วยให้ผู้ประกอบการได้ทราบถึงเหตุการณ์ที่ผิดปกติ และนำไปสู่การตรวจสอบ ก่อนที่ความเสียหายจะลุกลามได้
แจ้งเบาะแสแบบไม่เปิดเผยตัวตนได้รับความคุ้มครองตามกฎหมายหรือไม่?
ได้ครับ หากแจ้งผ่านช่องทางที่กฎหมายกำหนด เช่น ต่อ ป.ป.ช. ตัวตนของผู้แจ้งจะได้รับการคุ้มครองตามมาตรา 36 แห่งพระราชบัญญัติประกอบรัฐธรรมนูญว่าด้วยการป้องกันและปราบปรามการทุจริต พ.ศ. 2561 แต่หากแจ้งผ่านสื่อสาธารณะก่อน อาจไม่ได้รับความคุ้มครองในลักษณะเดียวกัน
ข้อมูลผู้แจ้งเบาะแสเกี่ยวข้องกับ PDPA อย่างไร?
ข้อมูลที่ระบุตัวตนผู้แจ้ง รวมถึงรายละเอียดของผู้ถูกกล่าวหา ถือเป็นข้อมูลส่วนบุคคลที่ต้องเก็บรักษาตามหลัก PDPA อย่างเคร่งครัด จำกัดผู้เข้าถึงเฉพาะผู้ที่จำเป็นต้องใช้ และมีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสม
เกี่ยวกับผู้เขียน
Sornron Thongprasert
CIA, CISA
Internal Control Design & Implementation | Internal Audit and IT Audit | Enterprise Risk Management (ERM) Advisory | Accounting and Tax Advisory Services | Personal Data Protection Act (PDPA) Consulting | Corporate Governance and Compliance
อยากเก็บชั่วโมง CPD ให้ครบปีนี้?
ดูคอร์สอบรมออนไลน์ของ cpdclass — เรียนจบและยืนยันตัวตน รับหนังสือรับรอง ไว้ยื่นชั่วโมงต่อสภาฯ ด้วยตนเอง
ดูคอร์สทั้งหมด
