สั้นๆ ก่อนเลย: ธุรกิจที่ปรึกษา Cybersecurity ควรจดทะเบียนเป็นนิติบุคคล (บริษัทจำกัด) เพื่อสร้างความน่าเชื่อถือกับลูกค้าองค์กรและจำกัดความรับผิด
รายได้จากค่าที่ปรึกษาต้องเสียภาษีเงินได้นิติบุคคลและ VAT ตามเงื่อนไขทั่วไป
แต่มีจุดที่ต้องระวังเรื่องสัญญาความลับและการประเมินความเสี่ยงทางกฎหมาย
สารบัญบทความ
ทำไมธุรกิจ Cybersecurity Consulting ถึงเติบโตในไทย
ความต้องการที่ปรึกษาด้านความปลอดภัยไซเบอร์เพิ่มขึ้นอย่างรวดเร็วในไทย ทั้งจากพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล (PDPA) ที่บังคับให้องค์กรต้องดูแลข้อมูลลูกค้าอย่างรัดกุม
และภัยคุกคามทางไซเบอร์ที่รุนแรงขึ้นทุกปี
ทำให้ธุรกิจขนาดกลางถึงใหญ่ต้องการผู้เชี่ยวชาญมาช่วยประเมินความเสี่ยง ทดสอบเจาะระบบ (Penetration Testing) วางระบบป้องกัน และให้คำปรึกษาด้านมาตรฐานความปลอดภัยข้อมูล เช่น ISO 27001
สำหรับผู้เชี่ยวชาญด้าน IT Security ที่ต้องการเริ่มธุรกิจที่ปรึกษา คำถามแรกที่ต้องตอบคือควรจดทะเบียนธุรกิจในรูปแบบใด และต้องเตรียมเรื่องภาษีอะไรบ้าง
ควรจดทะเบียนธุรกิจเป็นรูปแบบใด
บุคคลธรรมดา (Freelance)
สำหรับผู้เริ่มต้นที่รับงานไม่มาก การทำงานในรูปแบบบุคคลธรรมดาอาจเหมาะสมในช่วงแรก แต่มีข้อจำกัดสำคัญคือ ความรับผิดไม่จำกัด (Unlimited Liability)
หมายความว่าหากเกิดความเสียหายจากการให้คำปรึกษา เช่น
แนะนำมาตรการที่ไม่เพียงพอจนลูกค้าถูกโจมตีทางไซเบอร์และเกิดความเสียหาย ผู้ให้บริการอาจต้องรับผิดชอบด้วยทรัพย์สินส่วนตัวทั้งหมด
บริษัทจำกัด (Company Limited)
สำหรับธุรกิจที่ปรึกษา Cybersecurity ที่จริงจัง แนะนำให้จดทะเบียนเป็น บริษัทจำกัด ด้วยเหตุผลหลักดังนี้
- จำกัดความรับผิด ผู้ถือหุ้นรับผิดชอบเพียงเท่าทุนที่ลงไว้ ซึ่งสำคัญมากสำหรับธุรกิจที่มีความเสี่ยงทางกฎหมายสูงอย่าง Cybersecurity
- ความน่าเชื่อถือกับลูกค้าองค์กร บริษัทขนาดใหญ่ ธนาคาร และหน่วยงานราชการ มักกำหนดให้คู่สัญญาต้องเป็นนิติบุคคลที่มีทุนจดทะเบียนและงบการเงินตรวจสอบได้ ก่อนจะเซ็นสัญญาว่าจ้างที่ปรึกษาด้านความปลอดภัยข้อมูล
- สามารถขอใบรับรองมาตรฐานสากล เช่น ISO 27001 ในนามบริษัทได้ง่ายกว่าในนามบุคคลธรรมดา ซึ่งเป็นปัจจัยสำคัญในการแข่งขันประมูลงานองค์กรใหญ่
ภาษีที่เกี่ยวข้องกับธุรกิจที่ปรึกษา Cybersecurity
ภาษีเงินได้นิติบุคคล (CIT)
บริษัทที่ปรึกษา Cybersecurity เสียภาษีเงินได้นิติบุคคลจากกำไรสุทธิตามโครงสร้างอัตราสำหรับ SME คือ กำไรส่วน 0-300,000 บาทแรกได้รับยกเว้น ส่วน 300,001-3,000,000 บาท เสียภาษีอัตรา
15% และส่วนที่เกิน 3,000,000 บาท เสียภาษีอัตรา 20%
โดยต้องเข้าเงื่อนไข SME คือทุนจดทะเบียนชำระแล้วไม่เกิน 5 ล้านบาท และรายได้ไม่เกิน 30 ล้านบาทต่อปี
ภาษีมูลค่าเพิ่ม (VAT)
เมื่อรายได้รวมของบริษัทเกิน 1.8 ล้านบาทต่อปี ต้องจดทะเบียน VAT และเรียกเก็บ VAT จากค่าบริการที่ปรึกษาในอัตราปัจจุบัน (ควรตรวจสอบอัตราที่บังคับใช้จริงกับกรมสรรพากร)
ภาษีหัก ณ ที่จ่าย
ลูกค้าที่เป็นนิติบุคคลซึ่งจ่ายค่าบริการที่ปรึกษา Cybersecurity ให้บริษัทของคุณ มักต้องหักภาษี ณ ที่จ่ายก่อนจ่ายเงิน ควรตรวจสอบอัตราที่ถูกต้องตามประเภทเงินได้
(ค่าที่ปรึกษา/ค่าบริการวิชาชีพ) กับผู้เชี่ยวชาญด้านภาษี
เพื่อออกใบกำกับภาษีและรับหนังสือรับรองหัก ณ ที่จ่ายให้ถูกต้องตรงกัน
ประเด็นพิเศษที่ธุรกิจ Cybersecurity ต้องระวัง
สัญญาไม่เปิดเผยข้อมูล (NDA) และความรับผิดทางกฎหมาย
งานที่ปรึกษาด้าน Cybersecurity มักเกี่ยวข้องกับข้อมูลลับขององค์กรลูกค้า เช่น โครงสร้างระบบเครือข่าย ช่องโหว่ด้านความปลอดภัย และข้อมูลส่วนบุคคลของลูกค้าปลายทาง
สัญญาบริการควรมีข้อกำหนดเรื่อง Non-Disclosure Agreement (NDA) ขอบเขตความรับผิด
(Limitation of Liability) และการทำประกันภัยความรับผิดทางวิชาชีพ (Professional Indemnity Insurance) เพื่อป้องกันความเสี่ยงหากเกิดข้อพิพาทในอนาคต
การปฏิบัติตาม PDPA ในฐานะผู้ให้บริการ
เมื่อบริษัทที่ปรึกษาต้องเข้าถึงข้อมูลระบบและข้อมูลส่วนบุคคลของลูกค้าเพื่อทำงาน ต้องปฏิบัติตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล (PDPA) ในฐานะผู้ประมวลผลข้อมูล (Data
Processor) ซึ่งอาจต้องมีข้อตกลงประมวลผลข้อมูล (Data Processing
Agreement) แยกต่างหากจากสัญญาบริการหลัก
ตัวอย่างสถานการณ์จริง
ผู้เชี่ยวชาญด้าน IT Security คนหนึ่งเริ่มรับงานทดสอบเจาะระบบ (Penetration Testing) ให้บริษัทขนาดกลางในนามบุคคลธรรมดา เมื่อมีลูกค้าองค์กรขนาดใหญ่ขึ้นเรื่อยๆ
กลับพบว่าฝ่ายจัดซื้อของลูกค้าปฏิเสธที่จะเซ็นสัญญากับบุคคลธรรมดา
เพราะไม่มีการรับประกันความรับผิดที่ชัดเจน ผู้เชี่ยวชาญจึงตัดสินใจจดทะเบียนบริษัทจำกัด ทำให้สามารถเซ็นสัญญากับลูกค้าองค์กรได้ พร้อมทั้งขอใบรับรอง ISO 27001 ในนามบริษัท
ซึ่งช่วยเพิ่มความน่าเชื่อถือในการประมูลงานภาครัฐและเอกชนรายใหญ่ต่อไป
ข้อผิดพลาดที่พบบ่อย
- รับงานในนามบุคคลธรรมดาต่อเนื่องนานเกินไป ทำให้เสียโอกาสงานจากลูกค้าองค์กรที่ต้องการทำสัญญากับนิติบุคคลเท่านั้น
- ไม่มีสัญญา NDA หรือขอบเขตความรับผิดที่ชัดเจน เมื่อเกิดข้อพิพาทเรื่องความเสียหายจากช่องโหว่ที่ตรวจไม่พบ อาจต้องรับผิดชอบเกินกว่าที่คาดคิด
- ไม่แยกบัญชีค่าที่ปรึกษากับค่าเครื่องมือ/ซอฟต์แวร์ที่ใช้ในการทำงาน ทำให้คำนวณกำไรจากแต่ละโปรเจกต์ไม่ชัดเจน
- มองข้ามภาษีหัก ณ ที่จ่ายจากลูกค้าต่างประเทศ หากรับงานจากบริษัทต่างชาติ ควรตรวจสอบว่ามีอนุสัญญาภาษีซ้อนกับประเทศนั้นหรือไม่ เพื่อวางแผนภาษีให้ถูกต้อง
คำแนะนำเชิงปฏิบัติ
สำหรับผู้ที่ต้องการเริ่มธุรกิจที่ปรึกษา Cybersecurity อย่างจริงจัง ควรเริ่มจากการจดทะเบียนบริษัทจำกัดตั้งแต่ต้น เพื่อสร้างความน่าเชื่อถือและจำกัดความเสี่ยงทางกฎหมาย
จากนั้นวางระบบบัญชีแยกตามประเภทบริการ (ที่ปรึกษา, ทดสอบเจาะระบบ, ฝึกอบรม)
เพื่อวิเคราะห์กำไรแต่ละส่วนได้ชัดเจน จัดทำสัญญาบริการที่มี NDA และขอบเขตความรับผิดที่รัดกุม พิจารณาทำประกันภัยความรับผิดทางวิชาชีพ
และปรึกษาผู้เชี่ยวชาญด้านภาษีเมื่อเริ่มมีรายได้จากลูกค้าต่างประเทศหรือรายได้ใกล้ถึงเกณฑ์จด VAT
เพื่อวางแผนภาษีล่วงหน้าอย่างถูกต้อง
แหล่งอ้างอิงที่ใช้ทบทวน
ตารางนำบทความไปใช้
| ประเด็น | สิ่งที่ต้องตรวจ | ผลที่ต้องบันทึก |
|---|---|---|
| ทำไมธุรกิจ Cybersecurity Consulting ถึงเติบโตในไทย | ตรวจเอกสารและข้อเท็จจริงที่เกี่ยวข้อง | สถานะ ผู้รับผิดชอบ และวันทบทวน |
| ควรจดทะเบียนธุรกิจเป็นรูปแบบใด | ตรวจเอกสารและข้อเท็จจริงที่เกี่ยวข้อง | สถานะ ผู้รับผิดชอบ และวันทบทวน |
| ภาษีที่เกี่ยวข้องกับธุรกิจที่ปรึกษา Cybersecurity | ตรวจเอกสารและข้อเท็จจริงที่เกี่ยวข้อง | สถานะ ผู้รับผิดชอบ และวันทบทวน |
คำถามที่พบบ่อย (FAQ)
ที่ปรึกษา Cybersecurity ควรจดทะเบียนเป็นบุคคลธรรมดาหรือบริษัทจำกัด
แนะนำให้จดทะเบียนเป็นบริษัทจำกัดเมื่อธุรกิจเริ่มจริงจัง เพราะจำกัดความรับผิดและสร้างความน่าเชื่อถือกับลูกค้าองค์กร ซึ่งมักกำหนดให้คู่สัญญาต้องเป็นนิติบุคคล
โดยเฉพาะงานที่มีความเสี่ยงทางกฎหมายสูงอย่างการทดสอบเจาะระบบ
ค่าบริการที่ปรึกษา Cybersecurity ต้องเสีย VAT ไหม
หากรายได้รวมของกิจการเกิน 1.8 ล้านบาทต่อปี ต้องจดทะเบียน VAT และเรียกเก็บ VAT จากค่าบริการในอัตราปัจจุบัน ควรตรวจสอบอัตราที่บังคับใช้จริงกับกรมสรรพากรก่อนออกใบกำกับภาษี
ลูกค้าต้องหักภาษี ณ ที่จ่ายจากค่าที่ปรึกษา Cybersecurity เท่าไหร่
อัตราขึ้นอยู่กับประเภทเงินได้ตามสัญญา เช่น ค่าที่ปรึกษาหรือค่าบริการวิชาชีพ ซึ่งมีอัตราต่างกัน
ควรตรวจสอบอัตราที่ถูกต้องกับผู้เชี่ยวชาญด้านภาษีก่อนออกเอกสารและรับหนังสือรับรองหัก ณ ที่จ่าย
ธุรกิจที่ปรึกษา Cybersecurity ต้องขอใบอนุญาตพิเศษไหม
โดยทั่วไปธุรกิจที่ปรึกษาด้านความปลอดภัยไซเบอร์ไม่ได้ต้องขอใบอนุญาตประกอบธุรกิจเฉพาะเหมือนธุรกิจควบคุมบางประเภท
แต่หากให้บริการที่เกี่ยวข้องกับโครงสร้างพื้นฐานสำคัญของรัฐหรือสถาบันการเงิน อาจมีข้อกำหนดเพิ่มเติมตามหน่วยงานกำกับดูแลนั้นๆ
ควรตรวจสอบเป็นรายกรณี
ทำไมต้องมี NDA และประกันภัยความรับผิดทางวิชาชีพ
เพราะงาน Cybersecurity เกี่ยวข้องกับข้อมูลลับและช่องโหว่ด้านความปลอดภัยของลูกค้า หากเกิดความเสียหายจากการให้คำแนะนำหรือช่องโหว่ที่ตรวจไม่พบ
อาจถูกฟ้องร้องเรียกค่าเสียหายจำนวนมาก การมี NDA
ที่รัดกุมและประกันภัยช่วยจำกัดความเสี่ยงทางการเงินและกฎหมายของธุรกิจ
รับงานที่ปรึกษาจากลูกค้าต่างประเทศต้องทำอย่างไรเรื่องภาษี
ควรตรวจสอบว่าประเทศของลูกค้ามีอนุสัญญาภาษีซ้อน (DTA) กับไทยหรือไม่ เพื่อป้องกันการเสียภาษีซ้ำซ้อน และควรขอใบรับรองถิ่นที่อยู่ทางภาษี (Certificate of Residency)
จากกรมสรรพากรไทยเพื่อใช้แสดงต่อคู่ค้าต่างประเทศเมื่อจำเป็น
เพื่อไม่ให้งานเฉพาะเรื่องต่าง ๆ กลายเป็นภาระสะสม ทีมงานแนะนำให้ศึกษาหน้าบริการเสริมสำหรับธุรกิจไว้เป็นแนวทางเริ่มต้น