เสี่ยงขององค์กร (enterprise risk) (ถ้ามี) ซึ่งอย่างน้อยต้องครอบคลุมในเรื่องดังนี้ 1.1 การกำหนดกรอบการกำกับดูแลด้าน IT (IT governance framework) และการกำกับดูแลแผนงานด้าน IT ให้สอดคล้องกับแผนทางธุรกิจ และมี
ที่มีหน้าที่เกี่ยวข้อง (need to know) สามารถให้ความเห็นที่เป็นประโยชน์ (contribution) และไม่มีหน้าที่ที่อาจก่อให้เกิดความขัดแย้งทางผลประโยชน์ (COI) 1. กรณีมีการเก็บทรัพย์สินลูกค้า ต้องจัดให้มีคณะกรรมการ
ให้สอดคล้องกับระดับความเสี่ยงที่องค์กร ยอมรับได้ โดยคำนึงถึงการบริหารและจัดการความเสี่ยงขององค์กร (enterprise risk) (ถ้ามี) ซึ่งอย่างน้อยต้องครอบคลุมในเรื่องดังนี้ 1.1 การกำหนดกรอบการกำกับดูแลด้าน IT