25690118.pdf

11 มิถุนายน 2569 เรียน ผู้จัดการ ธนาคารพาณิชย์ทุกแห่ง สถาบันการเงินเฉพาะกจิ ทกุ แห่ง ผู้ให้บริการการชำระเงินทางอิเล็กทรอนิกส์ทมี่ ิใช่สถาบันการเงิน ที่ ธปท.ว. 3471/2569 เรื่อง นำส่งประกาศธนาคารแห่งประเทศไทยว่าด้วยหลกั เกณฑ์ การบรหิ ารจัดการความเสี่ยงจากการใช้บริการการชำระเงินของลกู ค้าสำหรบั ผปู้ ระกอบธรุ กจิ ตามกฎหมายว่าด้วยระบบการชำระเงิน ธนาคารแห่งประเทศไทยขอนำส่งประกาศธนาคารแห่งประเทศไทยท่ี 25/2569 เรื่อง หลักเกณฑก์ ารบรหิ ารจัดการความเสี่ยงจากการใช้บรกิ ารการชำระเงินของลูกค้าสำหรบั ผปู้ ระกอบธุรกจิ ตามกฎหมายว่าด้วยระบบการชำระเงิน ลงวันที่ 28 พฤษภาคม 2569 ซึ่งได้ประกาศในราชกิจจานุเบกษา ฉบับประกาศและงานทั่วไป เล่ม 143 ตอนพิเศษ 144 ง ลงวันที่ 10 มิถุนายน 2569 และมีผลบงั คับใช้ตั้งแต่ วันที่ 11 มิถุนายน 2569 เป็นต้นไป การออกประกาศในครั้งนี้มีวัตถุประสงค์เพื่อยกระดับการบริหารจัดการความเสี่ยง จากการใชบ้ ริการการชำระเงินของลูกค้าเพอื่ ป้องกันมิให้บรกิ ารการชำระเงินถูกใช้งานผิดวัตถุประสงค์ หรอื ถูกใชเ้ป็นเครื่องมอื หรือช่องทางในการสนบั สนุนการกระทำความผิดหรอื กจิ กรรมที่ไม่ชอบด้วยกฎหมาย และเพอื่ คุ้มครองผู้ใช้บริการการชำระเงิน จึงเรียนมาเพื่อโปรดทราบและถือปฏิบัต ิ ขอแสดงความนับถือ (นายณพงศ์ธวัช โพธิกิจ) ผู้อำนวยการอาวุโส ฝ่ายนโยบายระบบการชำระเงิน และเทคโนโลยที างการเงิน ผู้ว่าการแทน สิ่งทสี่ ่งมาด้วย ประกาศธนาคารแห่งประเทศไทย ที่ 25/2569 เรื่อง หลักเกณฑ์การบริหารจัดการความ เสี่ยงจากการใช้บริการการชำระเงินของลกู ค้าสำหรับผู้ประกอบธุรกจิ ตามกฎหมายว่าด้วย ระบบการชำระเงิน ลงวันที่ 28 พฤษภาคม 2569 ฝ่ายนโยบายระบบการชำระเงินและเทคโนโลยีทางการเงิน โทรศัพท ์ 0 2283 5054, 0 2356 7230, 0 2283 6931 ไปรษณีย์อิเล็กทรอนิกส ์ PSD-policyreg@bot.or.th 2 บรกิ ารการชําระเงนิ ภายใตก ารกํากบั ตองมนี โยบายและการกํากับดูแลบรหิ ารจดั การความเสี่ยงจากการใช บริการการชําระเงินของลูกคาที่ครอบคลุมตลอดกระบวนการและเหมาะสมสอดคลองกับความเสี่ยง ของลูกคาและธุรกรรม เรมิ่ ตั้งแตการรจู ักลกู คา (Know Your Customer : KYC) การตรวจสอบขอมลู กอนการอนุมัติสรางความสัมพันธทางธุรกิจและการทําธุรกรรมเปนครั้งคราวกับลูกคา การแสดงตนหรือ ยืนยันตัวตนกอนการใชบริการการชําระเงิน การติดตาม เฝาระวัง ตรวจจับและตรวจสอบความเคลื่อนไหว ทางการเงินหรอื พฤติกรรมการใชบริการการชําระเงินของลกู คา รวมถึงการดําเนินการเมื่อพบหรือไดรบั แจง ความเคลื่อนไหวทางการเงนิ หรอื พฤติกรรมการใชบ รกิ ารการชําระเงินของลูกคาที่มลี ักษณะผิดปกติ ซึ่งอาจเปนสัญญาณบงชี้วาบริการการชําระเงินนั้น ๆ มกี ารใชงานไมสอดคลองกบั วัตถุประสงคห รือมี ความเกี่ยวของกับการสนับสนุนการกระทําความผิดหรือกิจกรรมท่ีไมชอบดวยกฎหมาย ตลอดจน การจัดใหมีแนวทางในการดูแลลูกคาที่ไดรับผลกระทบอยางเหมาะสม 2. อํานาจตามกฎหมาย อาศัยอํานาจตามความในมาตรา 24 มาตรา 25 และมาตรา 26 แหงพระราชบญั ญัติ ระบบการชําระเงนิ พ.ศ. 2560 ธนาคารแหง ประเทศไทยกําหนดหลกั เกณฑก ารบรหิ ารจดั การความเสี่ยง จากการใชบ ริการการชําระเงินของลูกคา สําหรับผปู ระกอบธุรกิจบริการการชําระเงินภายใตการกํากบั ตามกฎหมายวาดวยระบบการชําระเงิน ตามความในประกาศฉบับน ี้ 3. ขอบเขตการบังคับใช  ประกาศฉบับนี้ใหใชบงั คับกบั ผปู ระกอบธุรกจิ บริการการชําระเงินภายใตการกํากบั ที่ไดรับอนญุ าตหรือขึ้นทะเบียนใหประกอบธุรกจิ ตามกฎหมายวาดวยระบบการชําระเงิน ดังตอไปน ี้ 3.1 ผูประกอบธุรกิจบริการเงินอิเล็กทรอนกิ ส  3.2 ผูประกอบธุรกิจบริการรับชําระเงินดวยวิธีการทางอิเลก็ ทรอนิกส  3.3 ผูประกอบธุรกิจบริการโอนเงินดวยวิธีการทางอิเล็กทรอนิกส 4. เนื้อหา 4.1 คําจํากัดความ ในประกาศฉบับน ี้ “ผูประกอบธุรกิจ” หมายความวา ผูประกอบธุรกจิ บริการการชําระเงินภายใต การกํากบั ตามกฎหมายวาดวยระบบการชําระเงิน ไดแก ผูประกอบธุรกิจบริการเงินอิเล็กทรอนิกส  ผูประกอบธุรกิจบริการรับชําระเงินดวยวิธีการทางอเิ ลก็ ทรอนิกส  และผปู ระกอบธรุ กิจบรกิ ารโอนเงิน ดวยวิธีการทางอิเล็กทรอนิกส  3 “บรกิ ารการชําระเงิน” หมายความวา บริการสื่อการชําระเงนิ หรือชองทาง การชําระเงินใด ๆ เพอื่ ชําระคาสินคาหรือคาบริการ หรือเพื่อการโอนเงิน หรือการทําธุรกรรมทางการเงินอื่น ๆ “ลูกคา” หมายความวา บุคคลธรรมดา นิติบุคคลหรือบุคคลที่มีการตกลงกัน ทางกฎหมาย ซงึ่ สรางความสัมพันธทางธุรกจิ หรือทําธุรกรรมกับผูประกอบธุรกจิ “บุคคลที่มีการตกลงกันทางกฎหมาย” หมายความวา บุคคลธรรมดาหรือนิตบิ ุคคล ฝายหนึ่งซึ่งตกลงกันทางกฎหมายใหเปนผูครอบครอง ใช จําหนาย หรือบริหารจัดการทรัพยสิน ไมวาดวยวิธีใด ๆ เพื่อประโยชนของบุคคลธรรมดาหรือนิตบิ คุ คลอีกฝายหนึ่ง “ผูไดรบั ผลประโยชนที่แทจ ริง” หมายความวา บุคคลธรรมดาผูเปนเจาของ ที่แทจริงหรือมีอํานาจควบคุมความสัมพันธทางธุรกจิ ของลูกคากับผปู ระกอบธุรกิจ หรือบุคคลทลี่ ูกคา ทําธุรกรรมแทน รวมถึงบุคคลผูใชอํานาจควบคุมนิตบิ ุคคลหรือบุคคลที่มีการตกลงกันทางกฎหมาย “ผูบริหารระดับสูง” หมายความวา บุคคลซึ่งมีอํานาจหนาทแี่ ละความรับผิดชอบ ในการวางแผน การกํากับ หรือการควบคุมกจิ กรรม รวมถึงการจัดการและการบรหิ ารงานขององคกร “มาตรฐานอุตสาหกรรม (industry standards)” หมายความวา มาตรฐานที่ผูประกอบธุรกจิ ไดรวมกันจัดทําเพื่อเปนแนวปฏบิ ัติในการบรหิ ารจัดการความเสี่ยง จากการใชบ ริการการชําระเงินของลูกคา “ธปท.” หมายความวา ธนาคารแหงประเทศไทยตามกฎหมายวาดวยธนาคาร แหงประเทศไทย 4.2 หลักการ เพื่อดาํ รงไวซงึ่ ความนา เชื่อถอื ของผปู ระกอบธรุ กจิ ในฐานะตัวกลางในการใหบ รกิ าร การชําระเงิน และเพอื่ ปอ งกนั ไมใหบ รกิ ารการชําระเงินถกู ใชงานผิดวัตถุประสงค รวมถงึ ถูกใชเปนเครอื่ งมือ ในการสนบั สนุนการกระทําความผิดในลักษณะเคลื่อนยาย หรือแปรสภาพเงินหรือทรัพยสินที่ไดจาก การกระทําความผิดปะปนไปกับการใหบริการการชําระเงินแกประชาชนทั่วไป ผูประกอบธุรกิจจงึ ตองมี การบริหารจัดการความเสี่ยงจากการใชบริการการชําระเงินของลูกคาอยางรัดกุม ซึ่งหลกั เกณฑที่กําหนด ในประกาศฉบับนมี้ ีเจตนาใหผปู ระกอบธุรกิจดําเนินการเพิ่มเตมิ จากกฎหมายหรือหลักเกณฑอื่นทเี่กยี่ วของ โดยผูประกอบธุรกิจตองดูแลใหมกี ารบริหารจัดการความเสี่ยงที่ครอบคลุมตลอดกระบวนการและเหมาะสม สอดคลองกับความเสี่ยงของลูกคา ซงึ่ ประเมินจากปจจัยความเสี่ยงทเี่กี่ยวกับลกู คา พื้นที่หรือประเทศ ประเภทผลิตภัณฑบริการการชําระเงิน และธุรกรรมหรือชองทางการใหบริการ รวมถึงมีการทบทวน กระบวนการดังกลาวอยางสมํ่าเสมอ เพื่อใหเทาทันกับพฤติกรรมการใชบริการการชําระเงินของลกู คา 4 ที่เปลี่ยนแปลงอยางรวดเร็ว นอกจากนี้ ผูประกอบธุรกิจตองดแู ลใหการบรหิ ารจัดการความเสี่ยงดังกลาว ไมส รา งภาระแกล กู คาจนเกนิ ควร และตองมีแนวทางในการดแู ลลกู คาที่ไดร บั ผลกระทบอยา งเหมาะสม รวดเร็ว และเปน ธรรมดวย 4.3 หลักเกณฑ  4.3.1 การกําหนดนโยบาย กระบวนการและแนวปฏิบัติหรือวิธีปฏิบัต ิ ในการบริหารความเสี่ยงจากการใชบริการการชําระเงินของลูกคา แนวทางในการดูแลลูกคา ที่ไดรับผลกระทบและโครงสรางการกํากับดูแล (1) บทบาทหนาที่ี่และความรับผิดชอบของคณะกรรมการ ผูประกอบธุรกิจตองจัดใหมีการกําหนดนโยบายการบริหาร ความเสี่ยงจากการใชบริการการชําระเงินของลูกคา ที่เปนลายลักษณอักษรและไดรบั อนุมัต ิ จากคณะกรรมการของผูประกอบธุรกิจ โดยนโยบายดังกลาวตองสอดคลองกบั กฎหมายหรือหลักเกณฑ อื่นที่เกี่ยวของ และเหมาะสมสอดคลองกบั ความเสี่ยงจากการใชบริการการชําระเงินของลูกคา อีกทั้ง ตองมีการทบทวนเพื่อใหนโยบายดังกลาวมีความเหมาะสม สอดคลองกับบริบทของพฤติกรรมการใชบริการ การชําระเงินของลูกคา และสามารถดูแลความเสี่ยงที่เกิดขึ้นไดอยางมีประสิทธิภาพและประสิทธผิ ล ทั้งนี้ ผูประกอบธุรกิจตองจัดใหมีการทบทวนและปรบั ปรุงนโยบาย ขางตนอยางสมํ่าเสมอ โดยเฉพาะเมอื่ มีเหตุการณหรอื การเปลี่ยนแปลงทสี่ งผลกระทบตอประสทิ ธิผล ของการบริหารจัดการความเสี่ยงจากการใชบริการการชําระเงินของลูกคาอยางมีนัยสําคัญ หรือ ตามความถี่ทเี่หมาะสม โดยหากเปน การปรบั ปรงุ ทมี่ ีนัยสําคัญ ตองไดร ับความเห็นชอบจากคณะกรรมการ ของผปู ระกอบธรุ กจิ และหากเปน การปรบั ปรงุ ทไี่ มมีนยั สาํ คัญ ผทู ี่ไดรบั มอบหมายจากผปู ระกอบธรุ กจิ สามารถดําเนินการไดโดยตองรายงานคณะกรรมการของผูประกอบธุรกจิ เพอื่ ทราบในภายหลังดวย (2) บทบาทหนาที่และความรับผิดชอบของผูบริหารระดบั สูง ผูบริหารระดับสูงตองดูแลใหผูประกอบธุรกิจดาํ เนินการตาม นโยบายการบริหารความเสยี่ งจากการใชบริการการชําระเงินของลูกคาที่ไดรับอนุมัติจากคณะกรรมการ ของผูประกอบธรุ กจิ ตามขอ 4.3.1 (1) อยางเครง ครัด และตองดูแลใหผ ปู ระกอบธุรกิจดําเนินการตอไปน ี้ (2.1) กําหนดกระบวนการและแนวปฏิบัตหิ รอื วิธีปฏิบัติในการบรหิ าร ความเสี่ยงจากการใชบรกิ ารการชําระเงินของลูกคา รวมทั้งจัดใหมบี ุคลากร ระบบงาน เทคโนโลยีและ เครื่องมือในการดําเนินการ เพื่อชวยใหผ ูประกอบธุรกจิ สามารถติดตาม เฝาระวัง ตรวจจับและตรวจสอบ ความเคลื่อนไหวทางการเงินหรือพฤติกรรมการใชบรกิ ารการชําระเงินของลูกคาทอี่ าจมีการใชบรกิ าร 5 ที่ไมสอดคลองกับวัตถุประสงค หรืออาจมีความเกี่ยวของกับการสนับสนุนการกระทําความผิดหรือ กิจกรรมที่ไมชอบดวยกฎหมาย ตลอดจนจัดใหมีแนวทางในการดูแลลกู คาที่ไดร ับผลกระทบอยางเหมาะสม (2.2) กําหนดโครงสรา งการบงั คับบญั ชาหรือสายงานการรายงาน ที่เหมาะสม และกําหนดหนาที่ความรับผิดชอบของแตล ะหนว ยงานภายใตโ ครงสรา งการบงั คบั บญั ชานนั้ ใหชัดเจน เพื่อสนับสนุนใหก ารควบคุม กํากับ ตรวจสอบ (three lines of defense) มีประสิทธิภาพ และประสิทธผิ ล รวมทั้งกําหนดผมู ีอํานาจอนุมัติการสรางความสัมพันธทางธุรกจิ หรือการทําธุรกรรม ใหสอดคลองเหมาะสมกับความเสี่ยงของลูกคา ทั้งนี้ ผูบรหิ ารระดับสูงตองสื่อสารใหบุคลากรในองคกรทเี่ กี่ยวของ เขาใจและตระหนักถึงความสําคญั ของการบริหารความเสี่ยงจากการใชบ ริการการชําระเงินของลูกคา รวมถงึ หนาที่ความรบั ผิดชอบทเี่กยี่ วของ โดยตอ งดูแลใหบุคลากรดงั กลาวปฏิบัติตามนโยบาย กระบวนการ และแนวปฏิบัติหรือวิธีปฏิบัติทกี่ ําหนดอยางเครง ครัด (3) โครงสรางการกํากบั ดูแลที่เอื้อตอการควบคุม กาํ กับ และ ตรวจสอบ (three lines of defense) อยางมีประสิทธภิ าพ (3.1) หนวยงานที่กอใหเกิดความเสี่ยงและควบคุมความเสี่ยง ในชั้นแรก (first line of defense) เชน หนวยธุรกิจ (business unit) ซึ่งครอบคลุมถึงพนักงานของ ผูประกอบธุรกจิ ทเี่ ปนหนวยงานแรกที่รบั ลกู คาที่มาติดตอผปู ระกอบธุรกิจ ตองถือปฏิบัติตามขอ 4.3.2 (1) – (3) อยางเครง ครัดในการใหบริการการชําระเงินแกลกู คา โดยหนวยงานดังกลาวตองเกบ็ รวบรวม ขอมลู ประเมนิ และวิเคราะหขอ มลู และพฤติกรรมลูกคาดวยความระมดั ระวงั และรดั กมุ เชน กรณลี ูกคา ขอสมัครใชบริการ ใหส อบถามและสงั เกตพฤติกรรมของลกู คา รวมถงึ หากพบการทําธรุ กรรมทมี่ ลี กั ษณะ ผิดปกต1ิ เชน ลูกคาไมสามารถใหขอมลู เพื่อประกอบการเปดบัญชเี งินอิเล็กทรอนิกสหรือการใชบริการ การชําระเงินไดช ัดเจน หรอื ขอมลู อาชีพกบั รายไดของลกู คาไมสอดคลอ งกัน ใหห นวยงานดงั กลา วปฏิบัติ ตามนโยบาย กระบวนการและแนวปฏิบัตหิ รอื วิธีปฏิบัติที่กําหนดตามขอ 4.3.1 (1) และ 4.3.1 (2.1) ทั้งนี้ ผูประกอบธุรกิจตองจัดใหมีกระบวนการหรือระบบงานเพื่อใหหนวยงานขางตนรวบรวมขอมูล หรือขอสังเกตดังกลาว เพื่อประโยชนในการบริหารจัดการความเสี่ยงจากการใชบริการการชําระเงิน ของลูกคาของผูประกอบธุรกิจ เชน พนักงานที่เกี่ยวของสามารถเขาถึงขอมูลพฤติกรรมที่มีลักษณะ ผิดปกติที่เคยเกิดขึ้น และนํามาใชประกอบการพิจารณาวาควรสรางความสัมพันธทางธุรกิจ หรือ ใหบริการการชําระเงินกับลูกคาหรือไม 1 ธุรกรรมที่มีลักษณะผิดปกติ ครอบคลุมถึงความเคลื่อนไหวทางการเงินหรือพฤติกรรมการใชบริการการชําระเงินของลูกคาที่มีลักษณะ ผิดปกติ 6 (3.2) หนวยงานกํากับภายใน (second line of defense) และ หนวยงานตรวจสอบภายใน (third line of defense) ตองกํากับดูแลและตรวจสอบใหองคกร มีกระบวนการควบคุมดูแลความเสี่ยงที่ดี เพื่อใหการบริหารความเสี่ยงจากการใชบริการการชําระเงิน ของลูกคาดําเนินการไดอยางเหมาะสมมปี ระสิทธิภาพและประสทิ ธิผล ไดแก (3.2.1) หนวยงานกํากับภายใน เชน หนวยงานบริหาร ความเสี่ยง (risk management function) หรอื หนวยงานกาํ กบั การปฏบิ ัติตามกฎเกณฑและกฎหมาย (compliance function) ตองกํากับดูแลใหหนวยงานที่กอใหเกิดความเสี่ยงและควบคุมความเสี่ยง ในชั้นแรกปฏิบัติตามนโยบาย กระบวนการและแนวปฏิบัติหรือวิธีปฏิบัติในการบริหารความเสี่ยง จากการใชบ ริการการชําระเงินของลูกคา (3.2.2) หนวยงานตรวจสอบภายใน ตองติดตามตรวจสอบ ประสิทธิภาพและประสิทธิผลของการปฏิบัติงาน และการกํากับและการควบคุมภายใน เชน การบริหาร ความเสี่ยงจากการใชบริการการชําระเงินของลูกคาและการกาํ กับการปฏิบัติตามกฎเกณฑของหนวยงาน กํากับภายใน รวมถึงตรวจสอบกระบวนการและแนวปฏิบัติหรอื วิธีปฏิบัติในการบริหารความเสี่ยงจาก การใชบริการการชําระเงินของลูกคาใหเหมาะสมสอดคลองกบั ความเสี่ยงขององคกร ทั้งนี้ ในกรณีที่ผูประกอบธุรกิจมีกระบวนการ ตรวจสอบภายในโดยผูตรวจสอบภายนอก ผูประกอบธุรกิจอาจใหผูตรวจสอบภายนอกดังกลาว นําความในวรรคหนึ่งมาปรับใชตามความเหมาะสม 4.3.2 การบริหารความเสี่ยงจากการใชบ ริการการชาํ ระเงินของลกู คา ผูประกอบธุรกจิ ตองมีการบรหิ ารจัดการความเสี่ยงจากการใชบริการ การชําระเงินของลูกคาที่ครอบคลุมตลอดกระบวนการและเหมาะสมสอดคลองกับความเสี่ยงของลูกคา เริ่มตงั้ แตการรูจกั ลูกคา การตรวจสอบขอมูลกอนการอนุมัตสิ รางความสัมพันธทางธุรกจิ และการทํา ธุรกรรมเปนครั้งคราวกับลูกคา การแสดงตนหรือยืนยันตัวตนกอนการใชบริการการชําระเงิน การติดตาม เฝาระวัง ตรวจจับและตรวจสอบความเคลอื่ นไหวทางการเงนิ หรือพฤตกิ รรมการใชบริการการชําระเงิน ของลูกคาเปนระยะวายังคงสอดคลองกับวัตถุประสงคที่ลูกคาแจงไวจนสิ้นสุดความสัมพันธทางธุรกิจ กับลูกคา การจัดเก็บขอมูลและเอกสารเกี่ยวกับลูกคา และการมีแนวทางในการดูแลลูกคาที่ไดรับ ผลกระทบ โดยใหถือปฏิบัติดังนี้ (1) การรูจักลูกคา (Know Your Customer: KYC) (1.1) ผปู ระกอบธุรกิจตองกําหนดใหมีกระบวนการรูจกั ลูกคา ที่เหมาะสม สอดคลองกบั ระดับความเสี่ยงของผลิตภัณฑห รอื บริการการชําระเงินนั้น โดยใหป ฏิบัติตาม 7 หลักเกณฑท ี่เกี่ยวของกับการรจู ักลูกคาตามที่ ธปท. กําหนด ตามแตล ะกรณที เี่ กี่ยวของ เชน ประกาศ ธนาคารแหงประเทศไทยวาดวยหลักเกณฑการรจู ักลูกคา (Know Your Customer: KYC) สําหรับ การเปดใชบริการเงินอิเล็กทรอนกิ ส  และประกาศธนาคารแหงประเทศไทยวาดวยหลักเกณฑก ารรูจัก ลูกคา (Know Your Customer: KYC) สําหรบั การเปดบัญชีเงินฝากของสถาบันการเงิน (2) การตรวจสอบขอมูลกอนการอนุมัติสรางความสัมพันธ ทางธุรกิจและการทําธุรกรรมเปนครั้งคราวกับลูกคา ผูประกอบธุรกิจตองจัดใหพนักงานของผปู ระกอบธรุ กิจเก็บรวบรวม ขอมูล ประเมินและวิเคราะหพฤติกรรมลูกคาหรือบุคคลที่ไดรบั มอบอํานาจทอดสุดทายจากลูกคา (หากมี) ดวยการสอบถาม สังเกต รวมทงั้ การขอหลักฐานประกอบการทําธุรกรรม โดยตองตรวจสอบกบั ขอมลู ที่มีอยูในระบบงานของผปู ระกอบธรุ กิจ เชน ตรวจสอบผลการพิจารณาในขั้นตอนการรับลูกคาครั้งกอน ความสอดคลองกับขอมูลและลกั ษณะการทําธุรกรรมของลูกคาที่เคยใชบริการการชําระเงินอื่น และ การใชขอมูลสวนตัวของลูกคาวาซํ้ากันกับลูกคารายอื่นหรือไม เพื่อพิจารณาใหเหมาะสมสอดคลอง กับความเสี่ยงของลูกคา ซึ่งประเมินจากปจจัยความเสี่ยงที่เกี่ยวกับลูกคา พื้นที่หรือประเทศ ประเภท ผลิตภัณฑหรือบริการ และธุรกรรมหรือชองทางการใหบ ริการ ในกรณีลกู คาเปนนิตบิ ุคคล ใหพนักงาน ของผูประกอบธุรกิจทําความเขาใจเกี่ยวกับลักษณะธุรกจิ ของลูกคาและโครงสรางการบริหารจัดการ หรือการเปนเจาของดวย ทั้งนี้ ผูประกอบธุรกจิ ตองตรวจสอบเพื่อทราบขอเทจ็ จริงเกี่ยวกับ ลูกคา (Customer Due Diligence: CDD) ใหสอดคลองกับความเสี่ยงของลูกคา โดยนอกจากดําเนินการ ตามกระบวนการรูจักลูกคาตามขอ 4.3.2 (1) แลว ใหผูประกอบธุรกิจดําเนินการดังตอไปนดี้ วย (ก) ระบุผูไดรบั ผลประโยชนที่แทจริงของลูกคา2 และพิสจู นทราบ ผูไดรับผลประโยชนที่แทจ รงิ ของลูกคา เชน ใชเอกสาร ขอมลู หรือขาวสารจากแหลงขอมลู ที่นาเชื่อถือ (ข) ตรวจสอบขอมูลของลูกคาและผูไดรับผลประโยชนที่แทจริง ของลูกคากับขอมูลรายชื่อบุคคลที่ถูกกําหนดตามกฎหมายวาเปนบุคคลที่ถูกระงับการทําธุรกรรม (ค) ขอขอมูลเกี่ยวกับวัตถุประสงคในการขอใชบรกิ ารการชําระเงิน ของลูกคา เพื่อนํามาพิจารณาความสอดคลองกับวัตถุประสงคในการสรางความสัมพันธทางธุรกิจ หรือการทําธรุ กรรมเปนครงั้ คราวกบั ลูกคา กรณผี ูประกอบธุรกจิ พบพฤติกรรมการใชบริการการชําระเงินที่มี ลักษณะผิดปกติในขั้นตอนการพิจารณากอนอนุมัตสิ รางความสัมพันธทางธุรกจิ หรือทําธรุ กรรมเปน 2 ใหพิจารณาตามวิธีการที่กฎหมายที่เกี่ยวของกําหนด โดย ธปท. สนับสนุนใหผูประกอบธุรกิจพิจารณาตรวจสอบขอมูลตลอดสาย ไปจนถึงผูถือหุนทอดสุดทายซึ่งเปนผูไดรับผลประโยชนที่แทจริง ทั้งนี้ กรณีตรวจสอบขอมูลการถือหุนแลวไมพบบุคคลธรรมดา ใหพิจารณาดวยวิธีการอื่นหรือพิจารณาใหผูบริหารระดับสูงของนิติบุคคลนั้นเปนผูไดรับผลประโยชนที่แทจริง 8 ครั้งคราว ใหผปู ระกอบธรุ กิจหาขอมลู จากแหลงขอมลู ที่นาเชื่อถือหรือขอขอมูลเพิ่มเติมจากลกู คา เชน ขอมูลเกี่ยวกับแหลง ที่มาของเงินหรือทรัพยสิน แหลงที่มาของฐานะความมั่งคงั่ รวมถึงขอมลู เกี่ยวกับ การประกอบกจิ การของลกู คา อาชีพ ชื่อ และสถานที่ตั้งของที่ทํางาน หรือลายมือชื่อของผทู ําธุรกรรม หากพิจารณาขอมลู แลวพบวาลูกคามีความเสี่ยงสูง ใหผ ูประกอบธุรกจิ ดําเนินการบรหิ ารความเสี่ยงให เหมาะสมสอดคลองกบั ความเสี่ยงของลูกคาดวย เชน ปฏิเสธการสรางความสมั พันธทางธุรกิจหรือไมทํา ธุรกรรมเปนครงั้ คราวกับลูกคาหากผปู ระกอบธรุ กิจพบความไมสอดคลองของขอมูลอยางมีนัยสําคัญ หรือไมส ามารถตรวจสอบขอมูลได  (3) การแสดงตนหรือยืนยันตัวตนกอนการใชบริการการชําระเงิน ผูประกอบธุรกิจตองจัดใหลูกคาหรือบุคคลที่ไดรับมอบอํานาจ ทอดสดุ ทายจากลกู คา (หากม)ี แสดงตนหรอื ยืนยันตัวตนกอ นการใชบริการการชําระเงิน โดยดําเนินการ ใหเหมาะสมสอดคลองกับความเสี่ยงที่ลูกคาอาจถูกสวมรอย หรือถูกขโมยขอมูลเพื่อมาใชบริการ การชําระเงิน เชน การขอเปลี่ยนแปลงขอมลู สวนตัวของลูกคา การขอระงบั บริการ e-Money Mobile Application โดยการแสดงตนหรือยืนยันตัวตนตองมีวิธีการดําเนินการท่ีเหมาะสม เพื่อใหสามารถ พิสูจนใหมั่นใจไดวาเปนลูกคารายนั้นจริง เชน การใชการยืนยันตัวตนแบบหลายวิธี (multi-factor authentication) สําหรับการยืนยันตัวตนแบบไมพบเห็นลูกคาตอหนา (4) การติดตาม เฝา ระวัง ตรวจจับและตรวจสอบความเคลื่อนไหว ทางการเงินหรือพฤติกรรมการใชบริการการชําระเงินของลูกคา (4.1) ผูประกอบธรุ กิจตอ งมกี ระบวนการและระบบที่มปี ระสิทธิผล ในการติดตาม เฝาระวัง ตรวจจับ และตรวจสอบเกี่ยวกับการทําธุรกรรมที่มีลักษณะผิดปกติ โดยนํา เงื่อนไขและรูปแบบของธุรกรรมที่มีลักษณะผิดปกติที่ผูประกอบธุรกิจกําหนดขึ้นเอง เงื่อนไขและ รูปแบบที่กําหนดรวมกันเปนมาตรฐานอุตสาหกรรม (industry standards) และที่ผปู ระกอบธรุ กิจได ตกลงเห็นชอบรวมกันกบั หนวยงานทางการ3 รวมทั้งที่ผูประกอบธุรกิจไดรับแจงจากหนวยงานทางการ เกี่ยวกับขอมลู ลูกคาทมี่ ีการทําธุรกรรมทมี่ ีลกั ษณะผิดปกติ มาประยุกตใ ช โดยตองพจิ ารณาใหเหมาะสมกบั ลักษณะการประกอบธรุ กจิ และความเสี่ยงของบรกิ ารการชําระเงินของผูประกอบธรุ กจิ แตล ะประเภท นอกจากน ี้ ผปู ระกอบธุรกจิ ตองมีการปรบั ปรงุ กระบวนการและระบบตามที่กลาวใหครอบคลมุ ความเสี่ยง ที่เปลี่ยนแปลงไปอยางสมํ่าเสมอ รวมทั้งนําขอมูลหรือขอสังเกตที่ไดจากการติดตามและตรวจจับ ธุรกรรมที่มีลักษณะผิดปกติครั้งกอนหนามาประกอบการพจิ ารณาปรบั ปรุงกระบวนการและระบบใหม ี ประสทิ ธผิ ลยิ่งขนึ้ 3 หนวยงานทางการหมายรวมถึง ธปท. ดวย 9 (4.2) กรณผี ูประกอบธุรกจิ ตรวจสอบการทําธุรกรรมทมี่ ีลักษณะ ผิดปกติแลวพบวาลูกคามีความเสี่ยงสูง ใหผูประกอบธุรกิจตรวจสอบเพื่อทราบขอเท็จจริงเกี่ยวกับ ลูกคาในระดบั เขมขน (Enhanced Customer Due Diligence : EDD) โดยหาขอ มลู จากแหลงขอมูล ที่นาเชื่อถือหรือขอขอมลู เพิ่มเตมิ จากลูกคา เชน แหลง ที่มาของเงินหรอื ทรพั ยสิน แหลงที่มาของฐานะ ความมงั่ คั่ง วัตถุประสงคในการทําธรุ กรรมแตละครงั้ รวมถงึ ขอ มลู เกี่ยวกบั การประกอบกจิ การของลกู คา อาชีพ ชื่อ และสถานที่ตั้งของที่ทํางาน หรือลายมือชื่อของผทู ําธุรกรรม (4.2.1) กรณผี ูประกอบธุรกจิ สามารถตรวจสอบเพื่อทราบ ขอเท็จจริงเกี่ยวกับลูกคาในระดับเขมขนได ใหผูประกอบธุรกจิ พิจารณาเพิ่มความถ ี่ ขั้นตอนหรือลักษณะ การตดิ ตามความสมั พันธทางธรุ กจิ และความเคลอื่ นไหวในการทําธุรกรรม และเพิ่มความถี่ในการตรวจสอบ ขอมูลการระบุตัวตนของลูกคา (4.2.2) กรณีผูประกอบธุรกิจไมสามารถตรวจสอบ เพื่อทราบขอเทจ็ จริงเกี่ยวกับลูกคาในระดับเขมขนได ผูประกอบธุรกจิ ตอ งไมทําธรุ กรรมกับลูกคา ทั้งนี้ ใหผปู ระกอบธุรกจิ บันทึกขอมลู ที่พบจากการตรวจสอบ เพื่อทราบขอเท็จจริงเกี่ยวกับลูกคาในระดับเขมขนดังกลาวไวในระบบงานของผูประกอบธุรกิจเพื่อประโยชน ในการบรหิ ารจดั การความเสี่ยงของผปู ระกอบธุรกจิ (4.3) กรณีผูประกอบธุรกิจตรวจสอบพบการทําธุรกรรมที่มี ลักษณะผิดปกตทิ เี่ กยี่ วของกบั บญั ชีเงินอเิล็กทรอนิกสห รอื การใชบ รกิ ารการชําระเงนิ ใหผ ปู ระกอบธุรกจิ ตรวจสอบวาธุรกรรมที่มีลักษณะผิดปกติดังกลาวมีความเกี่ยวของกับอาชญากรรมที่ทําใหไดมาซึ่งเงิน หรอื ทรพั ยส ิน หรือมีความไมส อดคลอ งกบั ขอมลู ทลี่ ูกคาแจง ไวหรอื ไม และใหดําเนนิ การดังน ี้ (4.3.1) กรณผี ูประกอบธุรกจิ ตรวจสอบพบขอมูลที่บง ชี้ได ชัดเจนวามกี ารใชบ ริการการชําระเงินในการสนับสนุนการกระทําความผิดที่เปนอาชญากรรมที่ทําให ไดมาซึ่งเงินหรือทรัพยส ิน ใหผ ปู ระกอบธรุ กิจดําเนินการตรวจสอบเพอื่ ทราบขอเท็จจรงิ เกี่ยวกับลูกคา ในระดับเขม ขน โดยในกรณีทผี่ ูประกอบธุรกจิ ไมสามารถตรวจสอบเพื่อทราบขอเทจ็ จริงเกี่ยวกบั ลกู คา ในระดับเขมขนได ผูประกอบธุรกิจตองไมทําธุรกรรมหรือใหบริการการชําระเงินเฉพาะบริการที่พบ ความผิดปกตกิ ับลูกคาดังกลาวนั้น พรอมทั้งตรวจสอบความเชื่อมโยงการใชบ ริการการชําระเงินของลูกคา ที่มีอยูกบั ผูประกอบธรุ กจิ เชน ตรวจสอบความเชอื่ มโยงบญั ชีเงินอเิลก็ ทรอนิกสกบั บญั ชเีงินอเิลก็ ทรอนิกส อื่นที่มีอยกู ับผูประกอบธุรกจิ นั้นดวย (4.3.2) กรณผี ูประกอบธุรกิจไมพบขอมูลตามที่กลาว ในขอ 4.3.2 (4.3.1) ขางตน แตตรวจสอบพบการทําธุรกรรมที่มีลักษณะผิดปกติอันเนื่องจากเงอื่ นไข หรือรูปแบบบริการการชําระเงินหรือบัญชีเงินอิเล็กทรอนิกสที่มีเงินหมุนเวียนสูงผิดปกติหรือมีมูลคา ธุรกรรมหรือมีความถี่ในการทําธุรกรรมสูงผิดปกติ โดยไมส อดคลองกบั วัตถุประสงคห รือไมม ีแหลงที่มา 10 ของเงินที่ชัดเจน ใหผ ปู ระกอบธุรกิจดําเนินการตรวจสอบเพื่อทราบขอเทจ็ จริงเกี่ยวกบั ลูกคาในระดับเขมขน โดยหากผูประกอบธุรกิจไมสามารถตรวจสอบเพื่อทราบขอเท็จจริงเกี่ยวกับลูกคาในระดับเขมขนได ผูประกอบธรุ กจิ ตองไมท ําธุรกรรมหรอื ใหบ ริการการชําระเงินเฉพาะบรกิ ารทพี่ บความผิดปกตกิ บั ลูกคา ดังกลาวนั้น ทั้งนี้ กรณีที่ผูประกอบธุรกจิ พบความผิดปกติจากการทํา ธุรกรรมทางการเงินซึ่งอาจเกี่ยวของกับภัยทุจริตดิจิทัล ใหผูประกอบธุรกิจถือปฏิบัติตามหลักเกณฑ ที่กําหนดในประกาศธนาคารแหง ประเทศไทยทเี่ กี่ยวของ เชน ประกาศธนาคารแหง ประเทศไทยวาดวย หลักเกณฑการบริหารจัดการภัยทุจริตดิจิทลั (Digital Fraud Management) (4.4) ผูประกอบธุรกิจตองพิจารณาทบทวนความเสี่ยงของลูกคา ใหเหมาะสมสอดคลองกับขอมูลที่เปนปจ จบุ ัน เพื่อใหส ามารถติดตามความเคลื่อนไหวทางการเงิน หรือการทําธรุ กรรมของลูกคาไดอยางเหมาะสมสอดคลองกบั ความเสี่ยง (5) การจัดเก็บขอมูลและเอกสารเกยี่ วกับลูกคา ผูประกอบธุรกิจตองจัดเก็บรักษาขอมูลและเอกสารเกี่ยวกับลูกคา รวมถึงการบันทึกพฤติกรรม และรายละเอียดการทําธุรกรรมที่เกี่ยวของกับการตรวจสอบเพื่อทราบ ขอเท็จจริงเกี่ยวกับลูกคาในระบบหรือสถานที่ที่มีความมั่นคงปลอดภัย ตั้งแตวันที่เริ่มสรางความสัมพันธ ทางธุรกิจกับลูกคาจนยุติความสัมพันธทางธุรกิจกับลูกคา และเก็บรักษาตามระยะเวลาที่กฎหมาย ที่เกี่ยวของกําหนด เพื่อให ธปท. หรือผูมีอํานาจตามกฎหมายอื่นที่เกี่ยวของตรวจสอบ หรือใชประกอบ ในการสอบสวนหรือดําเนินคดี หรือเพื่อประโยชนในการติดตามตรวจสอบและการควบคุมภายใน ของผูประกอบธุรกิจ (6) การมีแนวทางในการดูแลลูกคา ที่ไดรับผลกระทบ ผปู ระกอบธรุ กจิ ตอ งมีแนวทางหรอื กระบวนการทเี่หมาะสม รวดเร็ว และเปนธรรม เพื่อดูแลลูกคาที่ไดรับผลกระทบจากการบริหารจัดการความเสี่ยงจากการใชบริการ การชําระเงิน หากปรากฏในภายหลังวาธุรกรรมของลูกคาดังกลาวไมใชธุรกรรมท่ีมีลักษณะผิดปกติ 4.3.3 การจัดทําและจัดสงรายงานขอมูลมายัง ธปท. ผูประกอบธุรกิจตองจัดทําและจัดสงรายงานขอมูลเกี่ยวกับความเคลื่อนไหว ทางการเงินหรอื พฤติกรรมการใชบริการการชําระเงินของลกู คาที่มีลักษณะผิดปกตติ ามรปู แบบ วิธีการ และเงื่อนไขท ี่ ธปท. กําหนด เพื่อให  ธปท. สามารถประเมินประสิทธิผลของการติดตามหรือการตรวจจับ ธุรกรรมทมี่ ีลักษณะผิดปกตขิ องผูประกอบธุรกจิ และติดตามดูแลการบรหิ ารจัดการความเสี่ยงจากการใช บริการการชําระเงินของลูกคาที่อาจเกี่ยวของกับการใชบรกิ ารการชําระเงินผิดวัตถุประสงคใ นภาพรวมได รวมทั้งจัดทําและจัดสงรายงานหรือขอมลู อื่นเพิ่มเติมเปนรายกรณตี ามท ี่ ธปท. รองขอ