Internal controls

ยินดีต้อนรับสู่เรื่องการควบคุมภายใน (Internal Controls)!

สวัสดีครับ! วันนี้เราจะมาเจาะลึกหนึ่งในหัวข้อที่สำคัญที่สุดของหลักสูตรวิชาธุรกิจและเทคโนโลยี (BT) นั่นก็คือ การควบคุมภายใน (Internal Controls) ครับ ไม่ต้องตกใจกับชื่อนี้นะครับ ให้ลองนึกภาพว่าการควบคุมภายในเปรียบเสมือน "กฎประจำบ้าน" หรือ "ฟีเจอร์ความปลอดภัย" ของรถยนต์ครับ เช่นเดียวกับเข็มขัดนิรภัยที่ช่วยรักษาความปลอดภัยให้คุณขณะขับรถ การควบคุมภายในก็ช่วยปกป้องธุรกิจจากความผิดพลาด การทุจริต และความสิ้นเปลืองนั่นเอง

เมื่ออ่านคู่มือนี้จบ คุณจะเข้าใจว่าธุรกิจต่างๆ จัดระเบียบการทำงานอย่างไร ปกป้องเงินทุนได้อย่างไร และทำให้มั่นใจได้อย่างไรว่าทุกคนกำลังทำในสิ่งที่ควรทำ เอาล่ะ มาเริ่มกันเลย!

1. การควบคุมภายในคืออะไร?

ถ้าสรุปแบบง่ายที่สุด การควบคุมภายใน คือกระบวนการหรือระบบที่ถูกออกแบบ นำไปปฏิบัติ และดูแลรักษาโดยผู้มีหน้าที่ในการกำกับดูแล (คณะกรรมการบริษัท) และฝ่ายบริหาร เพื่อให้ความเชื่อมั่นอย่างสมเหตุสมผลเกี่ยวกับการบรรลุเป้าหมายทางธุรกิจ

ความรับผิดชอบของฝ่ายบริหาร:
การออกแบบ นำไปปฏิบัติ ทบทวน และดูแลรักษาการควบคุมภายในทางการเงินที่มีประสิทธิผลทั่วทั้งธุรกิจถือเป็นความรับผิดชอบหลักของฝ่ายบริหาร ไม่ใช่ของผู้สอบบัญชีภายนอก ผู้สอบบัญชีมีหน้าที่เพียงแค่ประเมินและรายงานเกี่ยวกับการควบคุมเหล่านั้นเท่านั้น

ทำไมเราถึงต้องมีมัน?
ลองจินตนาการถึงร้านกาแฟที่วุ่นวายดูนะครับ ถ้าไม่มีกฎเกณฑ์อะไรเลย พนักงานอาจลืมคิดเงินลูกค้า หรืออาจมีคนแอบหยิบเงินจากลิ้นชักเก็บเงินไป แต่การควบคุมภายใน (เช่น การใช้เครื่องเก็บเงินที่บันทึกทุกยอดขาย และการอนุมัติคำสั่งซื้อซัพพลายเออร์) จะช่วยป้องกันปัญหาเหล่านี้ได้ครับ

วัตถุประสงค์หลัก (จำง่ายๆ ด้วย SORE):
เพื่อให้จำได้ง่ายว่าทำไมเราต้องมีการควบคุม ให้จำคำว่า SORE ไว้ครับ:
• Safeguarding assets: การดูแลรักษาทรัพย์สินให้ปลอดภัย เพื่อให้แน่ใจว่าทรัพย์สินของบริษัท (เช่น เงินสด สินค้าคงคลัง และอุปกรณ์) จะไม่ถูกขโมย นำไปใช้ในทางที่ผิด หรือเสียหาย
• Orderly and efficient conduct: การดำเนินธุรกิจอย่างเป็นระเบียบและมีประสิทธิภาพ เพื่อให้การดำเนินงานเป็นไปอย่างราบรื่นโดยไม่เสียเวลาหรือทรัพยากรไปโดยเปล่าประโยชน์
• Reliability of records: ความน่าเชื่อถือของบันทึกบัญชี เพื่อให้แน่ใจว่างบการเงินและบันทึกบัญชีมีความครบถ้วน ทันเวลา และถูกต้องแม่นยำ
• Edherence to laws: การปฏิบัติตามกฎหมาย นโยบายของบริษัท กฎหมายภาษีอากร และกฎระเบียบต่างๆ ของภาครัฐ

สรุปสั้นๆ: การควบคุมภายในเปรียบเสมือน "ตาข่ายนิรภัย" ของธุรกิจครับ ช่วยปกป้องทรัพย์สินและทำให้ข้อมูลมีความถูกต้องแม่นยำ

2. องค์ประกอบของการควบคุมภายใน (กรอบแนวคิด "CRIME")

กรอบแนวคิด COSO คือมาตรฐานระดับโลกที่ใช้ทำความเข้าใจเรื่องการควบคุมภายใน คุณสามารถจำองค์ประกอบทั้ง 5 ได้โดยใช้คำว่า CRIME ไม่ต้องกังวลถ้าดูเหมือนเยอะนะครับ เราจะค่อยๆ เจาะลึกไปทีละตัว

C – Control Environment (สภาพแวดล้อมการควบคุม)

นี่คือ "บรรยากาศจากระดับบน" (Tone at the top) ถ้าผู้บริหารไม่สนใจกฎระเบียบ พนักงานก็จะไม่สนใจเช่นกัน ส่วนนี้รวมถึงความซื่อสัตย์และคุณธรรมของผู้นำ และวิธีการที่พวกเขาจัดสรรอำนาจหน้าที่ มันคือรากฐานของทุกอย่างครับ

R – Risk Assessment (การประเมินความเสี่ยง)

ก่อนจะแก้ไขปัญหาได้ คุณต้องรู้ก่อนว่าปัญหาคืออะไร ธุรกิจต้องคอยมองหาอยู่เสมอว่าอะไรที่อาจผิดพลาดได้ (ความเสี่ยง) และตัดสินใจว่าจะจัดการความเสี่ยงเหล่านั้นอย่างไร

I – Information and Communication (สารสนเทศและการสื่อสาร)

เพื่อให้ระบบทำงานได้ ทุกคนต้องได้รับข้อมูลที่ถูกต้องในเวลาที่เหมาะสม ซึ่งหมายถึงการมีรายงานที่ชัดเจนและทำให้พนักงานทุกคนเข้าใจบทบาทหน้าที่เฉพาะของตนในระบบการควบคุม

M – Monitoring (การติดตามผล)

การควบคุมต้องถูกตรวจสอบเป็นประจำว่ายังใช้งานได้ดีอยู่ไหม หากร้านเปลี่ยนจากการรับเงินสดมาเป็นการใช้บัตรเครดิต การควบคุมแบบ "นับเงินสด" แบบเดิมก็อาจไม่จำเป็นอีกต่อไป โดยมักจะมี การตรวจสอบภายใน (Internal Audit) เข้ามาช่วยในการติดตามผลนี้ครับ

E – Control Activities (กิจกรรมการควบคุม)

นี่คือตัวนโยบายและขั้นตอนการปฏิบัติงานจริงๆ (ส่วนของการลงมือทำ) ซึ่งเป็นเรื่องที่สำคัญมากจนเราต้องทำรายการพิเศษแยกไว้ในหัวข้อถัดไปครับ!

สรุปใจความสำคัญ: ระบบการควบคุมที่จะแข็งแกร่งได้ ต้องมีองค์ประกอบทั้ง 5 ของ CRIME ทำงานร่วมกันครับ

3. ประเภทของกิจกรรมการควบคุม (จำด้วย "SPAMSOAP")

นี่คือท่าไม้ตายยอดฮิตของข้อสอบ ACCA เลยครับ! กิจกรรมเหล่านี้คือสิ่งที่ธุรกิจทำเพื่อป้องกันหรือตรวจพบข้อผิดพลาด ใช้คำว่า SPAMSOAP เพื่อจำนะครับ:

S – Segregation of Duties (การแบ่งแยกหน้าที่): อย่าให้คนคนเดียวทำทุกอย่าง ตัวอย่างเช่น คนสั่งซื้อสต็อกใหม่ไม่ควรเป็นคนเดียวกับคนที่จ่ายเงินให้ซัพพลายเออร์ เพื่อป้องกันการทุจริต
P – Physical Controls (การควบคุมทางกายภาพ): เก็บของให้ปลอดภัยภายใต้กุญแจ ตัวอย่างเช่น ตู้เซฟเก็บเงิน รั้วรอบโกดัง หรือการใช้คีย์การ์ดเข้าห้องเซิร์ฟเวอร์
A – Authorization and Approval (การมอบอำนาจและการอนุมัติ): ควรมี "คนที่มีตำแหน่งสูงกว่า" เซ็นอนุมัติรายการ ตัวอย่างเช่น การกำหนดให้ต้องมีลายเซ็นผู้จัดการหากจะใช้จ่ายเกิน $500
M – Management Controls (การควบคุมโดยฝ่ายบริหาร): ผู้จัดการควรตรวจสอบผลการดำเนินงาน ตัวอย่างเช่น การเปรียบเทียบยอดขายจริงประจำเดือนกับงบประมาณที่ "วางแผนไว้"
S – Supervision (การกำกับดูแล): การควบคุมดูแลการทำงานประจำวันของผู้อื่นเพื่อให้มั่นใจว่าปฏิบัติตามขั้นตอนได้อย่างถูกต้อง
O – Organisation (การจัดองค์กร): การมีแผนผังองค์กรที่ชัดเจนว่าใครต้องรายงานต่อใคร เพื่อให้สายความรับผิดชอบและการมอบหมายงานมีความชัดเจนอย่างยิ่ง
A – Arithmetical and Accounting (การตรวจสอบเลขคณิตและบัญชี): ตรวจสอบว่าตัวเลขและสมุดบัญชีตรงกัน ตัวอย่างเช่น งบทดลองและการกระทบยอดธนาคาร
P – Personnel (บุคลากร): การจ้างคนที่ไว้วางใจได้และมีคุณสมบัติที่เหมาะสม พร้อมทั้งให้การฝึกอบรมที่เพียงพอ

รู้หรือไม่? การแบ่งแยกหน้าที่คือ "จุดอ่อน" ของการทุจริตครับ อาชญากรรมทางการเงินส่วนใหญ่เกิดขึ้นเพราะคนคนเดียวมีอำนาจควบคุมวงจรรายการทั้งหมดโดยไม่มีการตรวจสอบ

4. การควบคุมเพื่อป้องกัน ตรวจจับ และแก้ไข

เรายังสามารถแบ่งกลุ่มการควบคุมตาม ช่วงเวลา ที่เกิดขึ้นในกระบวนการได้อีกครับ:

1. Preventive Controls (การควบคุมเพื่อป้องกัน): ออกแบบมาเพื่อหยุดยั้งข้อผิดพลาดหรือการทุจริต ก่อน ที่มันจะเกิดขึ้น
ตัวอย่าง: การกำหนดให้ผู้จัดการต้องอนุมัติก่อนออกรายการจ่ายเงิน หรือการล็อกสินค้าคงคลังไว้ในห้องเก็บของที่ปลอดภัย

2. Detective Controls (การควบคุมเพื่อตรวจจับ): ออกแบบมาเพื่อค้นหาข้อผิดพลาดหรือการทุจริต หลังจาก ที่มันเกิดขึ้นแล้ว
ตัวอย่าง: การกระทบยอดใบแจ้งยอดธนาคารประจำเดือน หรือการสุ่มตรวจนับสินค้าคงคลังโดยไม่แจ้งล่วงหน้า

3. Corrective Controls (การควบคุมเพื่อแก้ไข): ออกแบบมาเพื่อแก้ไขปัญหาและฟื้นฟูการดำเนินงานเมื่อการควบคุมเพื่อตรวจจับพบข้อผิดพลาดแล้ว
ตัวอย่าง: การปรับปรุงรายการบัญชีที่ผิดพลาด การอบรมพนักงานใหม่ หรือการกู้คืนไฟล์ข้อมูลที่เสียหายจากชุดข้อมูลสำรอง

สรุปใจความสำคัญ: ระบบที่ดีต้องใช้ทั้งสามอย่างรวมกัน การป้องกันคือสิ่งที่ดีที่สุด แต่การตรวจจับและการแก้ไขก็เป็นตัวสำรองที่จำเป็นครับ!

5. ข้อจำกัดของการควบคุมภายใน

ไม่มีระบบไหนสมบูรณ์แบบ! แม้แต่การควบคุมภายในที่ดีที่สุดก็ยังมีจุดอ่อน นี่คือเหตุผลว่าทำไมปัญหาถึงยังเกิดขึ้นได้:

• Cost vs. Benefit: คุณคงไม่ยอมจ่ายเงิน $1,000 เพื่อซื้อตู้เซฟมาเก็บเงินแค่ $5 การควบคุมต้องมีความคุ้มค่าทางการเงินจึงจะสมเหตุสมผลในการนำมาใช้
• Human Error: คนเราเหนื่อยล้า ทำข้อผิดพลาดง่ายๆ ในการคำนวณ หรือเข้าใจคำสั่งผิดพลาดได้
• Collusion: หากคนสองคนขึ้นไปสมรู้ร่วมคิดกันโกงระบบ (เช่น พนักงานสั่งซื้อและพนักงานจ่ายเงินตกลงร่วมมือกันสร้างใบแจ้งหนี้ปลอม) การแบ่งแยกหน้าที่ก็ใช้ไม่ได้ผล
• Management Override: ผู้บริหารระดับสูงอาจใช้อำนาจหน้าที่ไปในทางที่ผิดเพื่อข้ามขั้นตอนการควบคุมที่วางไว้
• Non-routine Transactions: รายการที่ผิดปกติหรือไม่คาดคิดอาจอยู่นอกเหนือขั้นตอนการควบคุมมาตรฐาน

ข้อผิดพลาดทั่วไปที่ควรระวัง: นักเรียนมักเข้าใจผิดว่าการมีการควบคุมภายในหมายความว่าจะไม่มีทางเกิดการทุจริตขึ้นได้ นี่ไม่จริงครับ! การควบคุมให้เพียงแค่ ความเชื่อมั่นอย่างสมเหตุสมผล (Reasonable Assurance) ไม่ใช่การรับประกันอย่างสมบูรณ์แบบ

6. การควบคุมภายใน vs. การตรวจทานภายใน (และการตรวจสอบภายใน)

หลักสูตรกำหนดให้คุณต้องเข้าใจบทบาทที่แตกต่างกันของการควบคุมภายใน การตรวจทานภายใน และการตรวจสอบภายใน:

Internal Control (การควบคุมภายใน): นี่คือระบบการควบคุมโดยรวมที่ครอบคลุม ทั้งทางการเงินและไม่ใช่ทางการเงิน ซึ่งฝ่ายบริหารจัดตั้งขึ้นเพื่อดำเนินธุรกิจให้เป็นไปอย่างราบรื่น ปกป้องทรัพย์สิน และทำให้มั่นใจในความน่าเชื่อถือของบันทึกบัญชี

Internal Check (การตรวจทานภายใน): นี่คือส่วนย่อยในการปฏิบัติงานของการควบคุมภายใน หมายถึงการจัดระบบการทำงานตามปกติอย่างต่อเนื่อง โดยแบ่งหน้าที่ของพนักงานเพื่อให้งานของคนหนึ่งถูกตรวจสอบโดยงานของอีกคนหนึ่งโดยอัตโนมัติในการดำเนินธุรกิจตามปกติ โดยไม่ต้องทำงานซ้ำซ้อน
ตัวอย่าง: เมื่อใบแจ้งหนี้ที่พนักงานบัญชีเจ้าหนี้ได้รับ ถูกตรวจสอบความถูกต้องอย่างเป็นอิสระกับใบรับสินค้าที่แผนกคลังสินค้าจัดทำขึ้น ก่อนที่จะมีการดำเนินการจ่ายเงิน

Internal Audit (การตรวจสอบภายใน): นี่คือหน้าที่การประเมินผลอย่างเป็นอิสระภายในองค์กร ซึ่งจะถอยออกมาจากการดำเนินงานประจำวัน เพื่อทบทวนและประเมินประสิทธิผลของระบบการควบคุมภายในทั้งหมด และรายงานสิ่งที่ตรวจพบโดยตรงต่อผู้บริหารระดับสูงและคณะกรรมการตรวจสอบ

7. ระบบการเงินและการควบคุมด้าน IT: การควบคุมทั่วไป vs. การควบคุมเฉพาะระบบงาน

เนื่องจากการบัญชียุคใหม่ต้องพึ่งพาคอมพิวเตอร์และซอฟต์แวร์ทางการเงินเป็นอย่างมาก การควบคุมภายในจึงต้องปกป้องเทคโนโลยีสารสนเทศด้วยเช่นกัน การควบคุมด้าน IT แบ่งออกเป็นสองประเภทสำคัญ ได้แก่:

General Controls (การควบคุมทั่วไป)

การควบคุมทั่วไป เกี่ยวข้องกับสภาพแวดล้อม IT โดยรวม โครงสร้างพื้นฐาน และนโยบาย เพื่อให้มั่นใจว่าซอฟต์แวร์และฮาร์ดแวร์ทั้งหมดทำงานในสภาพแวดล้อมที่มีความเสถียร ปลอดภัย และเชื่อถือได้ทั่วทั้งธุรกิจ ตัวอย่างสำคัญ ได้แก่:
• Access and security controls: การตั้งรหัสผ่านที่รัดกุม รหัสผู้ใช้งาน การยืนยันตัวตนแบบหลายปัจจัย ไฟร์วอลล์ และการจำกัดการเข้าถึงทางกายภาพไปยังห้องเซิร์ฟเวอร์
• Disaster recovery and business continuity: การสำรองข้อมูลนอกสถานที่อย่างสม่ำเสมอ เครื่องสำรองไฟ และแผนการกู้คืนระบบอย่างเป็นทางการเมื่อระบบล่ม
• System software controls: การควบคุมว่าใครสามารถแก้ไขระบบปฏิบัติการ การกำหนดค่าเครือข่าย หรือระบบจัดการฐานข้อมูลได้บ้าง
• Development and maintenance controls: ขั้นตอนการทดสอบ การอนุมัติ และการจัดทำเอกสารอย่างเป็นทางการก่อนที่จะติดตั้งซอฟต์แวร์บัญชีใหม่หรืออัปเดตโค้ดเดิม

Application Controls (การควบคุมเฉพาะระบบงาน)

การควบคุมเฉพาะระบบงาน คือขั้นตอนการปฏิบัติงานเฉพาะ ทั้งแบบอัตโนมัติหรือแบบจัดการด้วยมือ ที่ถูกสร้างไว้ในโปรแกรมซอฟต์แวร์คอมพิวเตอร์แต่ละระบบโดยตรง (เช่น ระบบออกใบแจ้งหนี้ ระบบจ่ายเงินเดือน หรือบัญชีแยกประเภททั่วไป) เพื่อให้แน่ใจว่ารายการต่างๆ ได้รับการประมวลผลอย่างครบถ้วน ถูกต้อง และสมบูรณ์ตามเกณฑ์ โดยแบ่งออกเป็นสามขั้นตอน:
• Input controls: การตรวจสอบขณะที่ข้อมูลเข้าสู่ระบบเพื่อป้องกันข้อผิดพลาดตั้งแต่ต้นทาง ตัวอย่างเช่น range checks (การตรวจสอบขอบเขต เช่น ตรวจสอบว่าอัตราค่าจ้างรายชั่วโมงของพนักงานอยู่ระหว่าง $15 ถึง $80), format/character checks (การตรวจสอบรูปแบบหรือตัวอักษร เช่น ตรวจสอบว่าวันที่ประกอบด้วยตัวเลขเท่านั้น), validity checks (การตรวจสอบความถูกต้อง เช่น ตรวจสอบว่ามีรหัสบัญชีลูกค้านี้อยู่จริง) และ batch totals/hash totals (ยอดรวมกลุ่มข้อมูล/ยอดรวมแฮช เพื่อเปรียบเทียบยอดรวมของค่าข้อมูลหรือผลรวมของเลขอ้างอิงก่อนและหลังการป้อนข้อมูล)
• Processing controls: การตรวจสอบเพื่อให้แน่ใจว่าขั้นตอนการประมวลผลดำเนินการอย่างถูกต้องโดยไม่มีข้อมูลสูญหาย เช่น ยอดรวมควบคุมระหว่างการประมวลผล (run-to-run control totals) และการตรวจสอบลำดับเลขที่ของชุดรายการที่มีการใส่หมายเลขเรียงไว้ล่วงหน้า (sequence checks)
• Output controls: การตรวจสอบเพื่อให้แน่ใจว่ารายงานที่พิมพ์หรือแจกจ่าย รวมถึงไฟล์การชำระเงิน ส่งไปถึงเฉพาะผู้มีอำนาจเท่านั้นและมีความถูกต้องแม่นยำ (เช่น การสอบทานรายงานข้อยกเว้นและบันทึกข้อผิดพลาดของระบบ)

สรุปใจความสำคัญ: การควบคุมเฉพาะระบบงานจะไม่น่าเชื่อถือเลยหากการควบคุมทั่วไปอ่อนแอ หากบุคคลที่ไม่ได้รับอนุญาตสามารถแก้ไขโค้ดพื้นฐานของระบบได้ (ความล้มเหลวของการควบคุมทั่วไป) การตรวจสอบข้อมูลนำเข้าและการประมวลผล (การควบคุมเฉพาะระบบงาน) ก็จะสามารถถูกข้ามขั้นตอนได้อย่างง่ายดาย!

สรุปทบทวนบทเรียน

• การควบคุมภายใน (Internal Controls): ระบบโดยรวมที่จัดตั้งโดยฝ่ายบริหารเพื่อให้บรรลุวัตถุประสงค์ธุรกิจ ปกป้องทรัพย์สิน และทำให้มั่นใจในความถูกต้องของบันทึกทางการเงิน
• การตรวจทานภายใน (Internal Check): การตรวจสอบในขั้นตอนการปฏิบัติงานประจำวันที่ถูกวางระบบไว้ โดยงานของพนักงานคนหนึ่งจะคอยตรวจสอบงานของอีกคนหนึ่งอย่างต่อเนื่อง
• องค์ประกอบ CRIME: สภาพแวดล้อมการควบคุม (Control Environment), การประเมินความเสี่ยง (Risk Assessment), สารสนเทศและการสื่อสาร (Information & Communication), การติดตามผล (Monitoring) และกิจกรรมการควบคุม (Control Activities)
• กิจกรรม SPAMSOAP: การแบ่งแยกหน้าที่, การควบคุมทางกายภาพ, การมอบอำนาจและการอนุมัติ, การควบคุมโดยฝ่ายบริหาร, การกำกับดูแล, การจัดองค์กร, การตรวจสอบเลขคณิต/บัญชี และบุคลากร
• ช่วงเวลาของการควบคุม: ป้องกัน (หยุดยั้งข้อผิดพลาดก่อนเกิด), ตรวจจับ (ค้นหาข้อผิดพลาดหลังเกิด) และแก้ไข (แก้ปัญหาข้อผิดพลาด)
• การควบคุมด้าน IT: การควบคุมทั่วไป (General controls) คอยปกป้องสภาพแวดล้อม IT โดยรวมและความปลอดภัยของข้อมูล ส่วน การควบคุมเฉพาะระบบงาน (Application controls) ตรวจสอบความครบถ้วนและถูกต้องแม่นยำของข้อมูลรายการเฉพาะ (ข้อมูลนำเข้า, การประมวลผล และข้อมูลส่งออก)

ยอดเยี่ยมมาก! ตอนนี้คุณได้ครอบคลุมขอบเขตทั้งหมดของการควบคุมภายในทางการเงินสำหรับการสอบ Business and Technology แล้ว อย่าลืมจำคำย่อ CRIME, SPAMSOAP รวมถึงความแตกต่างระหว่างการควบคุมทั่วไปและการควบคุมเฉพาะระบบงานให้แม่นยำ พร้อมลุยทุกคำถามในการสอบ CBE แน่นอนครับ!