ยินดีต้อนรับสู่บทเรียนการวางแผนและการใช้ผลงานของผู้อื่น!

สวัสดีว่าที่ CPA ทุกคน! วันนี้เราจะมาเจาะลึกส่วนสำคัญใน Area II: การประเมินความเสี่ยงและการพัฒนาวิธีการตอบสนองต่อความเสี่ยงที่วางแผนไว้ ในฐานะผู้สอบบัญชี คุณเปรียบเสมือนซูเปอร์ฮีโร่ แต่แม้แต่ฮีโร่ก็ยังต้องการทีมสนับสนุน คุณไม่สามารถเป็นผู้เชี่ยวชาญในทุกเรื่องได้ ตั้งแต่การประเมินมูลค่าเหมืองเพชรไปจนถึงการเขียนโปรแกรมที่ซับซ้อนของระบบจ่ายเงินเดือนระดับโลก นี่คือเหตุผลที่เราต้องใช้ "ผลงานของผู้อื่น"

ในบทนี้ เราจะเรียนรู้วิธีการวางแผนและการใช้ผลงานของ ผู้ตรวจสอบภายใน (Internal Auditors), ผู้เชี่ยวชาญ (Specialists) และ ผู้ให้บริการภายนอก (Service Organizations) อย่างเหมาะสม เป้าหมายคือการทำให้การตรวจสอบของคุณมีประสิทธิภาพมากขึ้นโดยไม่ลดทอนคุณภาพลง ถ้ารู้สึกว่ามีความรับผิดชอบเยอะ ไม่ต้องกังวลนะ เราจะค่อยๆ ย่อยให้เข้าใจทีละขั้นตอนเอง!

1. การใช้ผลงานของผู้เชี่ยวชาญของผู้สอบบัญชี (Auditor’s Specialist)

บางครั้งหลักฐานที่เราต้องการอยู่นอกเหนือโลกของ "เดบิตและเครดิต" หากคุณจำเป็นต้องประเมินมูลค่าภาพวาดของปิกัสโซ่ที่เก็บรักษาในพิพิธภัณฑ์ หรือประเมินปริมาณน้ำมันที่เหลืออยู่ในบ่อใต้ดิน คุณจำเป็นต้องอาศัย ผู้เชี่ยวชาญของผู้สอบบัญชี

พวกเขาคือใคร? คือผู้เชี่ยวชาญในสาขาอื่นที่ไม่ใช่การบัญชีหรือการตรวจสอบบัญชี (เช่น นักประเมินราคาทรัพย์สิน, วิศวกร, นักคณิตศาสตร์ประกันภัย หรือนักธรณีวิทยา)

วิธีการประเมินผู้เชี่ยวชาญ

คุณไม่สามารถเลือกใครก็ได้จากข้างถนน แต่ต้องประเมิน 3 สิ่งนี้ (เทคนิคช่วยจำ: "C-C-O"):
1. Competence (ความรู้ความสามารถ): พวกเขามีใบรับรองและประสบการณ์ที่เหมาะสมหรือไม่?
2. Capability (ขีดความสามารถ): พวกเขามีเวลาและทรัพยากรเพียงพอที่จะทำงานเฉพาะทางนี้หรือไม่?
3. Objectivity (ความเป็นกลาง): พวกเขามีความเป็นอิสระหรือไม่? ถ้าผู้เชี่ยวชาญเป็นพี่ชายของ CEO นั่นคือสัญญาณอันตราย (Red Flag) แล้วล่ะ!

การทำงานร่วมกับผู้เชี่ยวชาญ

AU-C620ตกลงobjective scope roles communication confidentiality เป็นหนังสือเมื่อเหมาะสม External specialistปกติเขียน แต่ไม่ใช่ทุกกรณีต้องseparate written contract

ผู้สอบบัญชียังรับผิดชอบความเห็น AU-C620 ไม่อ้าง auditor specialist ใน unmodified report เว้นกฎหมายกำหนด อ้างเพื่ออธิบาย modified opinion ได้เมื่อเกี่ยวข้องแต่ไม่ลดความรับผิด Modified ไม่ได้บังคับระบุผู้เชี่ยวชาญอัตโนมัติ งาน management specialist ประเมินตาม AU-C500 ด้วย

สรุปสั้นๆ: ผู้เชี่ยวชาญของผู้สอบบัญชีช่วยในเรื่องที่ไม่ใช่บัญชี คุณต้องตรวจสอบ C-C-O ของพวกเขา และคุณยังคงรับผิดชอบ 100% สำหรับรายงานฉบับสุดท้าย

2. การใช้ผลงานของผู้ตรวจสอบภายใน (Internal Auditors - IA)

บริษัทใหญ่ส่วนใหญ่มีแผนก ตรวจสอบภายใน ของตัวเอง พวกเขาเป็นพนักงานของลูกค้า แต่หน้าที่หลักคือการทดสอบการควบคุมและตรวจหาข้อผิดพลาด ทำไมเราต้องทำงานซ้ำในสิ่งที่พวกเขาทำไปแล้วล่ะ?

วิธีการใช้ผลงานของผู้ตรวจสอบภายในมี 2 แบบ

1. การใช้ผลงานที่ทำเสร็จแล้ว: คุณตรวจสอบรายงานที่พวกเขาทำเสร็จไปแล้วระหว่างปี
2. การให้ความช่วยเหลือโดยตรง (Direct Assistance): คุณขอให้พวกเขาช่วยทำงานตรวจสอบเฉพาะอย่างภายใต้การกำกับดูแลของคุณ

เราจะเชื่อใจพวกเขาได้ไหม?

ก่อนจะใช้ผลงานของพวกเขา คุณต้องประเมิน:
1. Objectivity (ความเป็นกลาง): พวกเขารายงานตรงต่อใคร? หากรายงานต่อ CFO (คนที่พวกเขากำลังตรวจสอบงานอยู่) พวกเขาก็อาจจะไม่มีความเป็นกลางนัก โดยอุดมคติควรรายงานต่อ คณะกรรมการตรวจสอบ (Audit Committee)
2. Competence (ความรู้ความสามารถ): พวกเขามีคุณสมบัติทางวิชาชีพหรือไม่ (เช่น CIA หรือ CPA)? มีโปรแกรมฝึกอบรมที่ดีไหม?
3. Systematic and Disciplined Approach (แนวทางที่เป็นระบบและมีระเบียบ): พวกเขามีเช็คลิสต์และขั้นตอนการปฏิบัติงานที่เป็นเอกสารหรือไม่?

สิ่งที่พวกเขาทำ "ไม่ได้"?

ผู้ตรวจสอบภายในไม่มีความเป็นอิสระ ดังนั้น คุณห้ามให้พวกเขาตัดสินใจเรื่องที่ "มีความเสี่ยงสูง"
ข้อผิดพลาดที่ควรหลีกเลี่ยง: อย่าให้ผู้ตรวจสอบภายในใช้ดุลยพินิจในเรื่องเหล่านี้เด็ดขาด:

  • ประมาณการทางบัญชีที่มีนัยสำคัญ
  • การประเมิน ความเสี่ยงที่สืบเนื่อง (Inherent Risk) หรือ ความเสี่ยงจากการควบคุม (Control Risk)
  • ระดับความมีสาระสำคัญ (Materiality levels)
  • ความ "เพียงพอ" ของการทดสอบที่ทำ

เปรียบเทียบ: ลองนึกภาพผู้ตรวจสอบภายในเหมือน "นักศึกษาฝึกสอน" พวกเขาสามารถช่วยตรวจข้อสอบปรนัย (งานรูทีน) ได้ แต่ "ครูประจำชั้น" (ผู้สอบบัญชีภายนอก) ต้องเป็นคนตรวจเรียงความและตัดสินเกรดสุดท้าย (งานที่ต้องใช้ดุลยพินิจ)

ประเด็นสำคัญ: ยิ่งงานที่ต้องใช้ดุลยพินิจมากเท่าไหร่ คุณยิ่งต้องพึ่งพาผู้ตรวจสอบภายในให้น้อยลงเท่านั้น และต้องคอยกำกับดูแลรวมถึงทดสอบผลงานของพวกเขาเสมอ!

3. การใช้ผลงานจากองค์กรภายนอก (รายงาน SOC)

ลูกค้าหลายราย "จ้างเหมาบริการ" (Outsource) งานบางส่วนของธุรกิจ ตัวอย่างเช่น บริษัทขนาดเล็กอาจจ้าง ADP มาดูแลระบบจ่ายเงินเดือน หรือจ้าง Amazon Web Services (AWS) เพื่อเก็บข้อมูล

หากบริการที่จ้างเหมานั้นเป็นส่วนหนึ่งของ ระบบสารสนเทศ ของลูกค้า (ซึ่งกระทบต่อตารางฐานะการเงิน) ในฐานะผู้สอบบัญชี คุณจำเป็นต้องรู้ว่าการควบคุมที่บริษัทภายนอกเหล่านั้นมีประสิทธิภาพหรือไม่ แต่คุณคงไม่สามารถบินไปสำนักงานใหญ่ของ ADP เพื่อเริ่มตรวจสอบพวกเขาได้! ดังนั้น คุณจึงใช้ รายงาน SOC (Service Organization Control Report) แทน

รายงาน SOC 1 มี 2 ประเภทหลัก

1. SOC 1, Type 1: รายงานเกี่ยวกับ การออกแบบ การควบคุม ณ จุดเวลาใดเวลาหนึ่ง มันบอกคุณได้ว่าการควบคุมนั้น "ดูดีบนกระดาษ" หรือไม่
ช่วยลดความเสี่ยงจากการควบคุม (Control Risk) ได้ไหม? ไม่ได้ มันช่วยให้คุณแค่เข้าใจระบบเท่านั้น

SOC 1 Type 1 ครอบคลุมคำอธิบายและการออกแบบ ณ วันหนึ่ง ไม่ยืนยันผลการทำงาน Type 2 ที่เหมาะสมเพิ่มหลักฐานการทำงานตลอดช่วงเวลา แต่ไม่ลด control risk อัตโนมัติ ต้องดูความเกี่ยวข้อง ช่วงครอบคลุม ผลทดสอบ ผู้สอบบัญชีบริการ และ complementary user-entity controls ทางเลือกคือทดสอบที่ผู้ให้บริการเองหรือใช้ผู้สอบบัญชีอื่นทดสอบ

รู้หรือไม่? "SOC" ย่อมาจาก System and Organization Controls ในขณะที่คุณเป็นผู้สอบบัญชีของลูกค้า คุณจะถูกเรียกว่า User Auditor ส่วนผู้สอบบัญชีที่ตรวจสอบผู้ให้บริการ (เช่น ADP) จะถูกเรียกว่า Service Auditor

SOC 1 Type 1 ครอบคลุมคำอธิบายและการออกแบบ ณ วันหนึ่ง ไม่ยืนยันผลการทำงาน Type 2 ที่เหมาะสมเพิ่มหลักฐานการทำงานตลอดช่วงเวลา แต่ไม่ลด control risk อัตโนมัติ ต้องดูความเกี่ยวข้อง ช่วงครอบคลุม ผลทดสอบ ผู้สอบบัญชีบริการ และ complementary user-entity controls ทางเลือกคือทดสอบที่ผู้ให้บริการเองหรือใช้ผู้สอบบัญชีอื่นทดสอบ

4. สรุปการวางแผนและการใช้ผลงานของผู้อื่น

เมื่อต้องวางแผนรับมือกับความเสี่ยง การใช้ผลงานของผู้อื่นเป็นวิธีเพิ่มประสิทธิภาพที่ดีเยี่ยม แต่ต้องอาศัยการ กำกับดูแล (Oversight) ที่รอบคอบ

ตารางสรุปสำหรับเตรียมสอบ:

ก่อนใช้ผลงานตรวจสอบภายใน ให้ประเมินสถานะและนโยบายที่สนับสนุนความเป็นกลาง ความสามารถ และแนวทางเป็นระบบมีวินัยรวมการควบคุมคุณภาพ หากขาดเงื่อนไขต้องไม่ใช้ผลงาน ผู้สอบบัญชีภายนอกยังรับผิดชอบและตัดสินใจเรื่องสำคัญเอง

คำให้กำลังใจทิ้งท้าย: การวางแผนตรวจสอบก็เหมือนการต่อจิ๊กซอว์ การใช้ผลงานของผู้อื่นก็คือการหาชิ้นส่วนที่ถูกต้องมาเติมเต็มภาพใหญ่ให้สมบูรณ์ คุณทำได้แน่นอน! ฝึกทำโจทย์ปรนัยเกี่ยวกับรายงาน SOC บ่อยๆ นะ เพราะเป็นหัวข้อที่ข้อสอบ CPA ชอบหยิบมาออกมากที่สุด!