ยินดีต้อนรับสู่กระบวนการตรวจสอบภายใน (Internal Audit)!
ยินดีต้อนรับเข้าสู่บทที่ใช้งานได้จริงที่สุดบทหนึ่งในการเดินทางสาย P3 – การบริหารความเสี่ยง! ให้ลองจินตนาการว่า การตรวจสอบภายใน (Internal Audit - IA) เปรียบเสมือน "การตรวจสุขภาพ" ขององค์กร เหมือนเวลาที่คุณไปหาหมอเพื่อเช็กอัปดูว่าร่างกายยังทำงานได้ปกติก่อนที่ปัญหาเล็กๆ จะกลายเป็นโรคร้ายแรง บริษัทก็ใช้การตรวจสอบภายในนี่แหละครับ เพื่อให้มั่นใจว่ากระบวนการทำงาน ความเสี่ยง และระบบควบคุมต่างๆ ยังคงอยู่ในภาวะที่แข็งแรงและมีประสิทธิภาพ
ถ้ารู้สึกยากในตอนแรกหรือดูเป็นเรื่อง "องค์กร" จนเกินไป ไม่ต้องกังวลนะ เมื่ออ่านจบ คุณจะเห็นว่าหัวใจสำคัญของ IA ก็คือการถามคำถามง่ายๆ ว่า: "เรากำลังทำในสิ่งที่ตกลงกันไว้จริงไหม และมันทำงานได้ผลดีจริงหรือเปล่า?"
1. การตรวจสอบภายในคืออะไร?
ตามคำนิยามอย่างเป็นทางการ การตรวจสอบภายในคือ กิจกรรมให้ความเชื่อมั่นและให้คำปรึกษาที่เป็นอิสระและเที่ยงธรรม (independent, objective assurance and consulting activity) ซึ่งถูกออกแบบมาเพื่อเพิ่มคุณค่าและปรับปรุงการดำเนินงานขององค์กรให้ดียิ่งขึ้น
แนวคิดสำคัญ: สองบทบาทของ IA
1. การให้ความเชื่อมั่น (Assurance): สร้างความมั่นใจให้แก่ฝ่ายบริหารและคณะกรรมการว่าระบบควบคุมต่างๆ กำลังทำงานได้ผลดี
2. การให้คำปรึกษา (Consulting): ให้คำแนะนำเกี่ยวกับวิธีปรับปรุงกระบวนการและจัดการความเสี่ยงให้ดีขึ้น
เปรียบเทียบ: ลองนึกถึงผู้ตัดสินกีฬาอาชีพ พวกเขาไม่ได้ลงเล่นให้ทีมไหน (ความเป็นอิสระ) ตัดสินฟาวล์ตามสิ่งที่เห็นจริง (ความเที่ยงธรรม) และทำให้มั่นใจว่าเกมดำเนินไปตามกฎเพื่อให้ผลการแข่งขันออกมาอย่างยุติธรรม (การให้ความเชื่อมั่น)
สิ่งที่ต้องจำให้ขึ้นใจ:
การตรวจสอบภายในไม่ใช่แค่เรื่องของ "การจับผิดคน" แต่เป็นเรื่องของการช่วยให้องค์กรบรรลุเป้าหมาย โดยทำตัวเป็น "กัลยาณมิตรที่วิพากษ์อย่างตรงไปตรงมา" (Critical Friend) อย่างสร้างสรรค์
2. องค์ประกอบของการตรวจสอบภายในที่มีประสิทธิผล
เพื่อให้หน่วยงานตรวจสอบภายในมีประสิทธิผล จำเป็นต้องมีองค์ประกอบหลัก 3 ประการ ได้แก่ ความเป็นอิสระ (independence), การจัดอัตรากำลังพล (staffing), และ การจัดสรรทรัพยากร (resourcing)
ความเป็นอิสระและความเที่ยงธรรม:
เพื่อให้การตรวจสอบมีประโยชน์ ผู้ตรวจสอบจะต้องปราศจากอคติ หากบุคคลที่ตรวจสอบงานเป็นคนเดียวกับที่ออกแบบหรือดำเนินงานในกระบวนการนั้นเอง ความเที่ยงธรรมก็จะลดทอนลงไป ผู้ตรวจสอบภายในรักษาความเป็นอิสระได้โดยการรายงาน เชิงหน้าที่ (functionally) ต่อ คณะกรรมการตรวจสอบ (Audit Committee) (ซึ่งเป็นคณะอนุกรรมการที่ประกอบด้วยกรรมการอิสระที่ไม่เป็นผู้บริหาร) และรายงาน เชิงบริหาร (administratively) (งานประจำวันทั่วไป) ต่อผู้บริหารระดับสูง เช่น CEO เท่านั้น
การจัดอัตรากำลังพลและการจัดสรรทรัพยากร:
ฝ่ายตรวจสอบภายในต้องได้รับการจัดสรรทรัพยากรอย่างเพียงพอ พร้อมด้วยบุคลากรที่มีความรู้ความสามารถและมีคุณสมบัติเหมาะสม ซึ่งมีความเชี่ยวชาญทางเทคนิค ความเฉียบแหลมทางธุรกิจ และทักษะเฉพาะทาง (เช่น การตรวจสอบระบบสารสนเทศ หรือการวิเคราะห์ข้อมูล) ที่จำเป็นต่อการประเมินการดำเนินงานขององค์กร แผนกที่ขาดแคลนทรัพยากรจะไม่สามารถตรวจสอบพื้นที่ที่มีความเสี่ยงสูงได้อย่างมีประสิทธิผล
3. กฎบัตรการตรวจสอบภายใน (Internal Audit Charter)
กฎบัตรการตรวจสอบภายใน คือเอกสารที่เป็นทางการซึ่งกำหนดวัตถุประสงค์ อำนาจหน้าที่ และความรับผิดชอบของกิจกรรมการตรวจสอบภายใน เปรียบเสมือน "สมุดกฎกติกา" ที่ได้รับความเห็นชอบจากคณะกรรมการตรวจสอบ
ข้างในมีอะไรบ้าง?
- ขอบเขตของงานตรวจสอบภายใน (ครอบคลุมการปฏิบัติงาน ระบบงาน และหน่วยงานใดบ้าง)
- สิทธิ์ในการเข้าถึงเอกสาร บุคลากร และทรัพย์สินทางกายภาพทั้งหมดที่ได้รับมอบอำนาจ
- สายการรายงานต่อคณะกรรมการตรวจสอบและฝ่ายบริหารระดับสูง
4. รูปแบบของการตรวจสอบภายใน
ผู้ตรวจสอบภายในปฏิบัติงานตรวจสอบหลากหลายรูปแบบ ขึ้นอยู่กับวัตถุประสงค์และความเสี่ยงขององค์กร:
การตรวจสอบด้านการปฏิบัติตามกฎเกณฑ์ (Compliance Audit): การตรวจสอบการปฏิบัติตามนโยบายภายใน หลักการกำกับดูแลกิจการที่ดี รวมถึงกฎหมายและกฎระเบียบภายนอก (เช่น กฎหมายสิ่งแวดล้อม อาชีวอนามัยและความปลอดภัย การคุ้มครองข้อมูลส่วนบุคคล)
การสืบสวนการทุจริต (Fraud Investigation): การระบุพฤติการณ์ที่สงสัยว่ามีความผิดปกติ การประเมินว่าการทุจริตเกิดขึ้นได้อย่างไร การประเมินความล้มเหลวของการควบคุม และการเสนอแนะมาตรการป้องกัน
การตรวจสอบความคุ้มค่า (VFM Audit) / การตรวจสอบด้านการบริหารจัดการ (Management Audit): การประเมินความประหยัด ประสิทธิภาพ และประสิทธิผลของการดำเนินงานและการตัดสินใจของฝ่ายบริหาร:
- ความประหยัด (Economy): การลดต้นทุนทรัพยากรให้เหลือน้อยที่สุดโดยยังคงรักษาคุณภาพที่เหมาะสมเอาไว้ (จ่ายน้อยลง)
- ประสิทธิภาพ (Efficiency): การสร้างผลผลิตสูงสุดจากปัจจัยนำเข้าที่มีอยู่ (จ่ายอย่างคุ้มค่า)
- ประสิทธิผล (Effectiveness): การทำให้มั่นใจว่าบรรลุเป้าหมายการดำเนินงานและเป้าหมายเชิงกลยุทธ์ตามที่ตั้งใจไว้ (จ่ายอย่างชาญฉลาด)
การตรวจสอบด้านสังคมและสิ่งแวดล้อม (Social and Environmental Audit): การประเมินผลการดำเนินงานด้านความยั่งยืน การรายงานปริมาณการปล่อยก๊าซเรือนกระจก (carbon footprint) การจัดการของเสีย และพันธกิจด้านผลกระทบต่อสังคม
5. ความเสี่ยงในการตรวจสอบและการวิเคราะห์เปรียบเทียบ
ทำความเข้าใจความเสี่ยงในการตรวจสอบ (Audit Risk)
ผู้ตรวจสอบภายในต้องบริหารจัดการ ความเสี่ยงในการตรวจสอบ (audit risk) ซึ่งก็คือความเสี่ยงที่ผู้ตรวจสอบจะได้ข้อสรุปที่ไม่ถูกต้อง หรือไม่สามารถตรวจพบข้อบกพร่องที่สำคัญของการควบคุมหรือความผิดปกติได้
ความเสี่ยงในการตรวจสอบเป็นผลคูณขององค์ประกอบ 3 ส่วน ดังนี้:
\( \text{Audit Risk} = \text{Inherent Risk} \times \text{Control Risk} \times \text{Detection Risk} \)
1. ความเสี่ยงสืบเนื่อง (Inherent Risk - IR): ความเปราะบางของกิจกรรม ประเภทของธุรกรรม หรือเป้าหมาย ต่อข้อผิดพลาดที่มีสาระสำคัญ การทุจริต หรือความสูญเสีย โดยสมมติว่าไม่มีการควบคุมภายในที่เกี่ยวข้องรองรับอยู่ ตัวอย่างเช่น สัญญาตราสารอนุพันธ์ข้ามพรมแดนที่มีความซับซ้อน หรือปริมาณธุรกรรมเงินสดจำนวนมหาศาล ย่อมมีความเสี่ยงสืบเนื่องสูงโดยธรรมชาติ
2. ความเสี่ยงจากการควบคุม (Control Risk - CR): ความเสี่ยงที่ระบบการควบคุมภายในขององค์กรไม่สามารถป้องกัน หรือตรวจพบและแก้ไขข้อผิดพลาดหรือความล้มเหลวที่มีสาระสำคัญได้อย่างทันท่วงที หากระบบควบคุมได้รับการออกแบบมาไม่ดีหรือถูกละเลย ความเสี่ยงจากการควบคุมก็จะสูง
3. ความเสี่ยงจากการตรวจไม่พบ (Detection Risk - DR): ความเสี่ยงที่กระบวนการ การทดสอบ และการสุ่มตัวอย่างของผู้ตรวจสอบเองล้มเหลวในการตรวจหาข้อบกพร่องหรือการแสดงข้อมูลที่ขัดต่อข้อเท็จจริงที่มีอยู่ ในขณะที่ความเสี่ยงสืบเนื่องและความเสี่ยงจากการควบคุมเป็นสิ่งที่ดำรงอยู่ภายในตัวธุรกิจ แต่ความเสี่ยงจากการตรวจไม่พบนั้นเป็นสิ่งที่ผู้ตรวจสอบสามารถบริหารจัดการและควบคุมได้โดยตรงผ่านการวางแผนการตรวจสอบ ขนาดของกลุ่มตัวอย่าง และวิธีการตรวจสอบเนื้อหาสาระ
มุมมองข้อสอบ: เมื่อผู้ตรวจสอบประเมินว่าความเสี่ยงสืบเนื่องและความเสี่ยงจากการควบคุมอยู่ในระดับสูง พวกเขาจะต้องลดความเสี่ยงจากการตรวจไม่พบลง โดยการทดสอบในรายละเอียดอย่างครอบคลุมยิ่งขึ้น เพื่อรักษาความเสี่ยงในการตรวจสอบโดยรวมให้อยู่ในระดับต่ำที่ยอมรับได้
การวิเคราะห์เปรียบเทียบ (Analytical Review)
การวิเคราะห์เปรียบเทียบ เกี่ยวข้องกับการประเมินข้อมูลทางการเงินและการดำเนินงาน โดยการศึกษาความสัมพันธ์ที่สมเหตุสมผลระหว่างข้อมูลทางการเงินและข้อมูลที่ไม่ใช่ทางการเงิน เทคนิคที่ใช้ ได้แก่ การวิเคราะห์อัตราส่วน การวิเคราะห์แนวโน้ม การวิเคราะห์ผลต่างเทียบกับงบประมาณ และการเปรียบเทียบข้ามหน่วยงานปฏิบัติการ
การตีความผลลัพธ์: การวิเคราะห์เปรียบเทียบช่วยระบุความผันผวนที่ไม่คาดคิด ผลต่างที่ผิดปกติ หรือการขาดหายไปของความสัมพันธ์ที่ควรจะเป็น ตัวอย่างเช่น หากรายได้จากการขายเพิ่มขึ้น 25% แต่ค่าระวางขนส่งสินค้ากลับลดลง 15% ความคลาดเคลื่อนนี้ชี้ให้เห็นถึงความผิดปกติที่ต้องอาศัยการตรวจสอบอย่างเจาะจง
การประเมินความน่าเชื่อถือ: ความน่าเชื่อถือของการวิเคราะห์เปรียบเทียบขึ้นอยู่กับ:
- ความเป็นอิสระและความเที่ยงธรรมของแหล่งข้อมูล: ข้อมูลที่สร้างขึ้นโดยบุคคลภายนอกที่เป็นอิสระหรือระบบที่มีการควบคุมภายในที่แข็งแกร่ง ย่อมมีความน่าเชื่อถือมากกว่า
- ความสามารถในการเปรียบเทียบได้: ข้อมูลเปรียบเทียบในอุตสาหกรรมหรือฐานข้อมูลในอดีตนั้นสามารถนำมาเปรียบเทียบกันได้จริงหรือไม่
- ระดับของการจัดกลุ่มข้อมูล: ข้อมูลที่มีการจำแนกย่อย (เช่น ตัวเลขรายเดือนแยกตามสาขา) มีความน่าเชื่อถือในการระบุความผิดปกติมากกว่าตัวเลขยอดรวมระดับสูงของทั้งบริษัทอย่างมีนัยสำคัญ
- ความสามารถในการคาดการณ์ความสัมพันธ์ได้: สภาพแวดล้อมในการดำเนินงานที่มีความเสถียรจะให้แบบแผนการวิเคราะห์ที่น่าเชื่อถือมากกว่าตลาดที่มีความผันผวนและเปลี่ยนแปลงตลอดเวลา
6. กระบวนการตรวจสอบภายใน: ทีละขั้นตอน
การปฏิบัติงานตรวจสอบภายในดำเนินไปตาม 4 ขั้นตอนที่มีโครงสร้างชัดเจน ดังนี้:
ขั้นตอนที่ 1: การวางแผนและการประเมินความเสี่ยง
ผู้ตรวจสอบกำหนดขอบเขตและวัตถุประสงค์ของการตรวจสอบโดยอิงตามทะเบียนความเสี่ยงขององค์กรและการประเมินความเสี่ยงสืบเนื่องและความเสี่ยงจากการควบคุม พวกเขาจะกำหนดทรัพยากรที่จำเป็นและจัดทำตารางเวลาการปฏิบัติงานตรวจสอบ
ขั้นตอนที่ 2: การปฏิบัติงานภาคสนามและการทดสอบ
ผู้ตรวจสอบรวบรวมหลักฐานการตรวจสอบผ่านทาง:
- การวิเคราะห์เปรียบเทียบ (Analytical review): การประเมินแนวโน้มและผลต่าง
- การสอบถามและการสัมภาษณ์ (Inquiry and interviews): การพูดคุยกับบุคลากรฝ่ายปฏิบัติการ
- การสังเกตการณ์ (Observation): การเฝ้าดูขั้นตอนการควบคุมในการปฏิบัติงานจริง (เช่น การตรวจนับสินค้าคงเหลือ)
- การตรวจพินิจ (Inspection): การสอบทานบันทึก การอนุมัติ และการกระทบยอดต่างๆ
- การทำซ้ำ (Re-performance): การคำนวณซ้ำหรือปฏิบัติตามกิจกรรมการควบคุมอย่างเป็นอิสระด้วยตนเอง
ขั้นตอนที่ 3: รายงานการตรวจสอบภายในและสิ่งที่ตรวจพบ
ทีมงานจะวิเคราะห์สิ่งที่ตรวจพบและจัดทำรายงานการตรวจสอบ รายงานการตรวจสอบที่มีประสิทธิผลต้องระบุสิ่งต่อไปนี้อย่างชัดเจน:
- สภาพการณ์ที่พบ (Condition): สิ่งที่ตรวจพบจริงคืออะไร
- เกณฑ์มาตรฐาน (Criteria): มาตรฐาน นโยบาย หรือความคาดหวังคืออะไร
- สาเหตุ (Cause): ทำไมความล้มเหลวของการควบคุมหรือการเบี่ยงเบนจึงเกิดขึ้น
- ผลที่ตามมาหรือผลกระทบ (Consequence / Impact): ความเสี่ยงหรือความเสียหายที่อาจเกิดขึ้น ทั้งในด้านการเงิน ชื่อเสียง หรือการดำเนินงาน
- ข้อเสนอแนะ (Recommendations): การปฏิบัติการแก้ไขที่ทำได้จริงเพื่อจัดการกับสาเหตุที่แท้จริง
สิ่งที่ตรวจพบจะถูกแชร์ร่วมกับฝ่ายบริหารงานปฏิบัติการเพื่อตกลงแผนปฏิบัติการร่วมกัน และรายงานฉบับสมบูรณ์จะถูกส่งไปยังฝ่ายบริหารระดับสูงและคณะกรรมการตรวจสอบ
ขั้นตอนที่ 4: การติดตามผล
ผู้ตรวจสอบจะติดตามผลการดำเนินงานตามที่ฝ่ายบริหารได้ตกลงไว้ เพื่อให้มั่นใจว่าข้อเสนอแนะได้รับการนำไปปฏิบัติและจุดอ่อนในการควบคุมได้รับการแก้ไขอย่างมีประสิทธิผล
7. การตรวจสอบภายใน vs. การตรวจสอบภายนอก
การเข้าใจความแตกต่างระหว่างการตรวจสอบภายในและการตรวจสอบภายนอกถือเป็นหัวใจสำคัญของวิชา P3:
การตรวจสอบภายใน (Internal Audit):
- แต่งตั้งโดยและรายงานต่อ: คณะกรรมการบริษัท / คณะกรรมการตรวจสอบ
- วัตถุประสงค์หลัก: ประเมินและปรับปรุงกระบวนการบริหารความเสี่ยง การควบคุมภายใน และการกำกับดูแลกิจการ
- ขอบเขต: กิจกรรมการดำเนินงาน การเงิน การปฏิบัติตามกฎเกณฑ์ และเชิงกลยุทธ์ทั้งหมดทั่วทั้งองค์กร
- ทิศทางการมอง: มองไปข้างหน้าและต่อเนื่อง โดยมุ่งเน้นไปที่การจัดการความเสี่ยงในปัจจุบันและอนาคต
การตรวจสอบภายนอก (External Audit):
- แต่งตั้งโดยและรายงานต่อ: ผู้ถือหุ้น
- วัตถุประสงค์หลัก: ให้ความเห็นที่เป็นอิสระว่างบการเงินประจำปีแสดงข้อมูลที่ถูกต้องตามความเป็นจริงตามกรอบการรายงานทางการเงินที่บังคับใช้หรือไม่
- ขอบเขต: จำกัดเฉพาะบันทึกทางการเงินและระบบควบคุมที่เกี่ยวข้องกับงบการเงินเท่านั้น
- ทิศทางการมอง: ทำเป็นงวดๆ และเน้นข้อมูลในอดีตเป็นหลัก
8. ความสัมพันธ์กับคณะกรรมการตรวจสอบ
คณะกรรมการตรวจสอบ (Audit Committee) ทำหน้าที่เป็นองค์กรกำกับดูแลงานตรวจสอบภายใน โดยความรับผิดชอบที่มีต่องานตรวจสอบภายใน ได้แก่:
- อนุมัติกฎบัตรการตรวจสอบภายในและแผนการตรวจสอบภายในประจำปีที่อิงตามฐานความเสี่ยง
- ดูแลให้ทีมตรวจสอบภายในมีทรัพยากร สิทธิ์ในการเข้าถึงข้อมูล และความเป็นอิสระจากฝ่ายบริหารงานปฏิบัติการอย่างเพียงพอ
- สอบทานรายงานการตรวจสอบภายใน ติดตามการตอบสนองของฝ่ายบริหารต่อสิ่งที่ตรวจพบ และดูแลให้ข้อเสนอแนะได้รับการนำไปปฏิบัติ
- ประชุมร่วมกับหัวหน้าฝ่ายตรวจสอบภายในอย่างสม่ำเสมอโดยไม่มีฝ่ายบริหารจัดการเข้าร่วมประชุมด้วย
เช็กลิสต์สรุปเพื่อความสำเร็จ
ก่อนจะไปยังบทถัดไป ตรวจสอบให้แน่ใจว่าคุณสามารถ:
- อธิบายองค์ประกอบ 3 ประการของการตรวจสอบภายในที่มีประสิทธิผล ได้แก่ ความเป็นอิสระ การจัดอัตรากำลังพล และการจัดสรรทรัพยากรได้
- แยกแยะรูปแบบสำคัญของการตรวจสอบภายใน ได้แก่ การตรวจสอบการปฏิบัติตามกฎเกณฑ์ การตรวจสอบการทุจริต การตรวจสอบความคุ้มค่า และการตรวจสอบด้านสังคม/สิ่งแวดล้อมได้
- นิยามความเสี่ยงสืบเนื่อง ความเสี่ยงจากการควบคุม และความเสี่ยงจากการตรวจไม่พบ รวมถึงอธิบายปฏิสัมพันธ์ระหว่างความเสี่ยงเหล่านี้ที่ส่งผลต่อความเสี่ยงในการตรวจสอบได้
- อธิบายวัตถุประสงค์และปัจจัยด้านความน่าเชื่อถือของการวิเคราะห์เปรียบเทียบได้
- สรุปขั้นตอนหลัก 4 ขั้นตอนของกระบวนการตรวจสอบภายในและสิ่งที่ต้องระบุในรายงานการตรวจสอบภายในได้
- เปรียบเทียบบทบาท วัตถุประสงค์ และสายการรายงานของการตรวจสอบภายในกับการตรวจสอบภายนอกได้