Understanding an entity's control environment and business processes, including information technology (IT) systems

ยินดีต้อนรับสู่ส่วนที่ 2: การทำความรู้จักกับลูกค้าของคุณ!

สวัสดีครับ! ยินดีต้อนรับเข้าสู่ส่วนที่สำคัญที่สุดส่วนหนึ่งของการสอบ AUD ก่อนที่ผู้ตรวจสอบบัญชีจะตัดสินใจว่าจะต้องตรวจนับใบเสร็จกี่ใบ หรือต้องตรวจสอบบัญชีธนาคารจำนวนเท่าใด พวกเขาจำเป็นต้องเข้าใจก่อนว่า ธุรกิจนั้นดำเนินงานอย่างไรจริงๆ ลองจินตนาการว่านี่เหมือนกับการเป็นนักตรวจสอบอาคารครับ ก่อนที่คุณจะไปดูระบบประปา คุณก็คงอยากรู้ว่าใครเป็นคนสร้างบ้านหลังนี้ แบบแปลนเป็นอย่างไร และเจ้าของบ้านดูแลรักษาบ้านดีแค่ไหน ในบทนี้เราจะมาเรียนรู้วิธีการดู "รากฐาน" ของบริษัท นั่นคือ สภาพแวดล้อมการควบคุม (Control Environment) และ ระบบสารสนเทศ (Information Systems) ของบริษัทครับ

ไม่ต้องกังวลไปนะครับถ้าฟังดูเป็นเรื่อง "องค์กร" หรือดูแห้งแล้งเกินไปในตอนแรก เราจะย่อยมันให้เป็นเรื่องง่ายๆ ที่พบเห็นได้ในชีวิตจริง ซึ่งคุณจะเข้าใจได้อย่างแน่นอน!

1. สภาพแวดล้อมการควบคุม: "บรรยากาศจากระดับบน" (Tone at the Top)

สภาพแวดล้อมการควบคุม (Control Environment) คือชุดของมาตรฐาน กระบวนการ และโครงสร้างที่เป็นรากฐานสำคัญในการดำเนินงานควบคุมภายในทั่วทั้งองค์กร ถ้าจะอธิบายให้ง่ายกว่านั้น มันก็คือ "บรรยากาศ" หรือ วัฒนธรรม ของบริษัทในเรื่องความซื่อสัตย์และการปฏิบัติตามกฎระเบียบครับ

ทำไมเรื่องนี้ถึงสำคัญ? หาก CEO ของบริษัทขึ้นชื่อเรื่องการ "บิดเบือนความจริง" หรือไม่สนใจกฎเกณฑ์ พนักงานก็น่าจะทำตามเช่นกัน หากรากฐานร้าว ทั้งบ้านก็เสี่ยงที่จะเกิดการทุจริตหรือข้อผิดพลาดได้ครับ

องค์ประกอบสำคัญของสภาพแวดล้อมการควบคุม (หลักการจำ EBOCA)

เพื่อให้จำได้ว่าอะไรคือสิ่งที่ทำให้สภาพแวดล้อมการควบคุมแข็งแกร่ง ให้ใช้คำย่อว่า EBOCA ดังนี้ครับ:

E (Ethical Values and Integrity): คุณธรรมและจริยธรรม บริษัทมีประมวลจริยธรรมไหม? แล้วพวกเขาปฏิบัติตามจริงๆ หรือเปล่า?
B (Board Oversight): การกำกับดูแลของคณะกรรมการ คณะกรรมการบริษัทมีความเป็นอิสระจากฝ่ายบริหารหรือไม่? พวกเขาคอยดูสิ่งที่เกิดขึ้นจริง หรือแค่ "เซ็นอนุมัติผ่านๆ" ทุกอย่าง?
O (Organizational Structure): โครงสร้างองค์กร สายการบังคับบัญชาชัดเจนไหมว่าใครต้องรายงานต่อใคร? หรือมันเป็นความวุ่นวายจนไม่มีใครรู้ว่าใครมีอำนาจตัดสินใจ?
C (Commitment to Competence): ความมุ่งมั่นในความสามารถ บริษัทจ้างคนที่ทำงานเป็นจริงๆ เข้ามาทำงานหรือไม่?
A (Accountability): ความรับผิดชอบ ผู้คนต้องรับผิดชอบต่อการกระทำของตน หรือคนทำผิดสามารถลอยนวลไปได้โดยไม่ได้รับบทลงโทษ?

งานของผู้ตรวจสอบบัญชี

ในฐานะผู้ตรวจสอบบัญชี คุณกำลังมองหา หลักฐาน ของสิ่งเหล่านี้ คุณอาจใช้วิธีสัมภาษณ์พนักงาน อ่านรายงานการประชุมคณะกรรมการ หรือดูคู่มือการปฏิบัติงานของบริษัท หากสภาพแวดล้อมการควบคุมอ่อนแอ ผู้ตรวจสอบบัญชีมักจะตัดสินใจว่า ความเสี่ยงจากการแสดงข้อมูลที่ผิดพลาดอันเป็นสาระสำคัญ (Risk of Material Misstatement) นั้นอยู่ในระดับสูง

ข้อบกพร่อง controls กระทบความเสี่ยงและ nature timing extent ไม่ใช่เพิ่ม sample อย่างเดียว ดู application controls ใดพึ่ง ITGC ที่บกพร่องและมี controls อื่นชดเชยหรือไม่ ทดสอบ operating effectiveness เมื่อจะพึ่ง controls หรือ substantive อย่างเดียวไม่พอ แยกจากเข้าใจ design/implementation

2. การทำความเข้าใจกระบวนการทางธุรกิจ

กระบวนการทางธุรกิจ (Business Process) เป็นแค่ชื่อเรียกเท่ๆ ของขั้นตอนต่างๆ ที่บริษัททำเพื่อให้งานสำเร็จลุล่วง ตัวอย่างเช่น กระบวนการขายเสื้อ การจัดส่ง และการรับชำระเงินครับ

ผู้ตรวจสอบบัญชีจำเป็นต้องเข้าใจกระบวนการเหล่านี้เพื่อดูว่าสิ่งต่างๆ อาจผิดพลาดตรงไหนได้บ้าง (เราเรียกสิ่งนี้ว่า "What Could Go Wrongs" หรือ WCGWs) คุณควรเน้นไปที่ว่าธุรกรรมนั้นมีการดำเนินการอย่างไร:
1. การเริ่มต้น (Initiated): การขายเริ่มต้นขึ้นอย่างไร?
2. การอนุมัติ (Authorized): ใครเป็นคนให้ "ไฟเขียว" ในการขายนั้น?
3. การบันทึก (Recorded): ข้อมูลเข้าสู่ระบบบัญชีได้อย่างไร?
4. การประมวลผล (Processed): ระบบคำนวณยอดรวมอย่างไร?
5. การรายงาน (Reported): ข้อมูลไปปรากฏในงบการเงินได้อย่างไร?

เปรียบเทียบ: ร้านพิซซ่า

ลองจินตนาการว่าคุณกำลังตรวจสอบร้านพิซซ่า กระบวนการทางธุรกิจ สำหรับการขายคือ:
- การเริ่มต้น: ลูกค้าโทรมาสั่งพิซซ่าหน้าเปปเปอโรนี
- การอนุมัติ: ผู้จัดการอนุมัติส่วนลด 10% เพราะลูกค้ามีคูปอง
- การบันทึก: พนักงานแคชเชียร์คีย์รายการสั่งซื้อลงในแท็บเล็ต
- การประมวลผล: แท็บเล็ตคำนวณภาษีและยอดรวมทั้งหมด
- การรายงาน: ตอนสิ้นวัน แท็บเล็ตจะพิมพ์รายงานสรุปยอดขายรวมของวันนั้นออกมา

ในฐานะผู้ตรวจสอบบัญชี คุณต้องมั่นใจว่าพนักงานแคชเชียร์ไม่สามารถลบรายการขายทิ้งแล้วเก็บเงินสดเข้ากระเป๋าตัวเองได้ (นั่นคือปัญหาเรื่อง การควบคุม ครับ!)

3. ระบบเทคโนโลยีสารสนเทศ (IT)

ในโลกยุคปัจจุบัน เกือบทุกบริษัทใช้ ระบบสารสนเทศ ในการจัดการข้อมูล ซึ่งรวมถึงฮาร์ดแวร์ (คอมพิวเตอร์), ซอฟต์แวร์ (โปรแกรมบัญชี), บุคลากร และตัวข้อมูลเอง

การควบคุมด้วยคน (Manual) vs. การควบคุมอัตโนมัติ (Automated)

การควบคุมด้วยคน (Manual Controls): ดำเนินการโดยคน (เช่น ผู้จัดการเซ็นเช็คที่เป็นกระดาษ) วิธีนี้ดีสำหรับรายการขนาดใหญ่หรือรายการที่ผิดปกติ แต่ก็เสี่ยงต่อความผิดพลาดของมนุษย์ หรืออาการ "เหนื่อยล้า" ได้ครับ
การควบคุมอัตโนมัติ (Automated Controls): ดำเนินการโดยคอมพิวเตอร์ (เช่น ระบบจะไม่ยอมให้คุณขายสินค้าหากลูกค้ามียอดค้างชำระเกินวงเงินเครดิต) สิ่งเหล่านี้ สม่ำเสมอ และไม่มีวันเหนื่อย แต่ถ้าเขียนโปรแกรมผิด มันก็จะทำผิดพลาดซ้ำๆ ถึง 1,000 ครั้งต่อวินาทีเลยทีเดียว!

การควบคุมทั่วไป (General) vs. การควบคุมระดับแอปพลิเคชัน (Application)

เป็นเรื่องสำคัญมากที่ต้องรู้ความแตกต่างของสองสิ่งนี้สำหรับการสอบ CPA ครับ:

1. การควบคุมทั่วไปด้าน IT (ITGCs): คือการควบคุม "ภาพรวม" ที่ใช้กับทั้งระบบ ให้คิดว่านี่คือ เจ้าหน้าที่รักษาความปลอดภัย ของอาคาร ซึ่งรวมถึง:
- ข้อกำหนดด้านรหัสผ่าน (ใครสามารถเข้ามาได้บ้าง?)
- การจัดการการเปลี่ยนแปลง (ใครสามารถแก้ไขโค้ดโปรแกรมได้บ้าง?)
- การสำรองข้อมูล (จะเกิดอะไรขึ้นถ้าเซิร์ฟเวอร์ล่ม?)

2. การควบคุมระดับแอปพลิเคชัน (IT Application Controls): คือการควบคุมที่เฉพาะเจาะจงกับงานหนึ่งอย่างหรือ "แอปพลิเคชัน" หนึ่งตัว (เช่น ซอฟต์แวร์เงินเดือน) ให้คิดว่านี่คือ ด่านตรวจ ภายในห้องเฉพาะ ซึ่งรวมถึง:
- การควบคุมการนำเข้า (Input Controls): ตรวจสอบให้มั่นใจว่าป้อนข้อมูลถูกต้อง (เช่น ระบบไม่ยอมให้คุณพิมพ์ "วันที่" ลงในช่องที่ต้องกรอก "จำนวนเงิน")
- การควบคุมการประมวลผล (Processing Controls): ตรวจสอบให้แน่ใจว่าการคำนวณเลขถูกต้อง
- การควบคุมการส่งออก (Output Controls): ตรวจสอบให้แน่ใจว่ารายงานถูกส่งไปถึงเฉพาะคนที่ควรได้รับเท่านั้น

ข้อบกพร่อง controls กระทบความเสี่ยงและ nature timing extent ไม่ใช่เพิ่ม sample อย่างเดียว ดู application controls ใดพึ่ง ITGC ที่บกพร่องและมี controls อื่นชดเชยหรือไม่ ทดสอบ operating effectiveness เมื่อจะพึ่ง controls หรือ substantive อย่างเดียวไม่พอ แยกจากเข้าใจ design/implementation

4. การสื่อสาร

ส่วนของ "การสื่อสาร" ในเรื่อง "ข้อมูลและการสื่อสาร" เกี่ยวข้องกับวิธีการที่บริษัทแบ่งปันข้อมูลกันครับ มันไม่ใช่แค่เรื่องการมีระบบที่ดี แต่เป็นเรื่องการทำให้มั่นใจว่าทุกคนรู้หน้าที่และความรับผิดชอบของตนเอง

รู้หรือไม่? บริษัทอาจมีซอฟต์แวร์ที่แพงที่สุดในโลก แต่ถ้าพนักงานไม่รู้ว่าพวกเขามีหน้าที่ต้องรายงานข้อผิดพลาดให้หัวหน้าทราบ ระบบก็จะล้มเหลว ผู้ตรวจสอบบัญชีจะมองหาสิ่งต่างๆ เช่น คู่มือปฏิบัติงาน (Policy Manuals), การฝึกอบรม (Training Sessions) และ ช่องทางแจ้งเบาะแส (Whistleblower Hotlines) ครับ

5. ข้อผิดพลาดทั่วไปที่ควรหลีกเลี่ยง

ข้อบกพร่อง controls กระทบความเสี่ยงและ nature timing extent ไม่ใช่เพิ่ม sample อย่างเดียว ดู application controls ใดพึ่ง ITGC ที่บกพร่องและมี controls อื่นชดเชยหรือไม่ ทดสอบ operating effectiveness เมื่อจะพึ่ง controls หรือ substantive อย่างเดียวไม่พอ แยกจากเข้าใจ design/implementation

เช็คลิสต์สรุปสั้นๆ

ก่อนจะผ่านไปหัวข้อถัดไป ตรวจสอบให้แน่ใจว่าคุณตอบคำถามเหล่านี้ได้:
- [ ] ฉันสามารถอธิบาย สภาพแวดล้อมการควบคุม (Control Environment) โดยใช้ EBOCA ได้หรือไม่?
- [ ] ฉันเข้าใจวงจรชีวิตของธุรกรรม (ตั้งแต่ การเริ่มต้น จนถึง การรายงาน) หรือไม่?
- [ ] ฉันรู้ความแตกต่างระหว่าง การควบคุมทั่วไปด้าน IT (ITGC) กับ การควบคุมระดับแอปพลิเคชัน หรือไม่?
- [ ] ทำไม "บรรยากาศจากระดับบน" (Tone at the Top) จึงสำคัญต่อการประเมินความเสี่ยงของผู้ตรวจสอบบัญชี?

ให้กำลังใจทิ้งท้าย: คุณกำลังไปได้สวยครับ! การเข้าใจ "ภาพรวม" ของวิธีการดำเนินงานของบริษัทถือเป็นชัยชนะไปกว่าครึ่งในการสอบ AUD แล้วครับ เมื่อคุณเข้าใจ สภาพแวดล้อม และ ระบบ แล้ว ขั้นตอนการตรวจสอบบัญชีเฉพาะเจาะจงที่คุณจะได้เรียนรู้ต่อไปจะฟังดูเป็นเหตุเป็นผลมากขึ้น สู้ต่อไปนะครับ!