Assessing audit risks

ยินดีต้อนรับสู่คู่มือการประเมินความเสี่ยงในการสอบบัญชี (Audit Risk)!

สวัสดีครับ/ค่ะ! ยินดีต้อนรับเข้าสู่หนึ่งในบทเรียนที่สำคัญที่สุดในเส้นทางวิชาการสอบบัญชี (AA) ของคุณ ลองจินตนาการว่า ความเสี่ยงในการสอบบัญชี (Audit Risk) เปรียบเสมือน "หัวใจ" ของการตรวจสอบ ถ้าคุณเข้าใจวิธีการระบุและประเมินความเสี่ยงได้ นั่นแปลว่าคุณชนะไปกว่าครึ่งในการสอบแล้วครับ/ค่ะ ในบทนี้ เราจะมาเรียนรู้วิธีที่ผู้สอบบัญชีใช้ตัดสินใจว่าจะทุ่มเทพลังงานไปที่จุดไหน เพื่อให้ไม่พลาดประเด็นสำคัญที่อาจส่งผลกระทบต่องบการเงิน

ถ้ารู้สึกว่าเนื้อหาดูเป็นเทคนิคในช่วงแรก ไม่ต้องกังวลนะครับ/คะ เราจะมาย่อยให้เข้าใจง่ายผ่านตัวอย่างในชีวิตประจำวันและตรรกะง่ายๆ เริ่มกันเลยดีกว่า!

1. ความเสี่ยงในการสอบบัญชีคืออะไรกันแน่?

พูดให้เข้าใจง่ายที่สุดคือ ความเสี่ยงในการสอบบัญชี (Audit Risk) คือความเสี่ยงที่ผู้สอบบัญชีจะแสดง ความเห็นผิด ต่องบการเงิน เหตุการณ์นี้เกิดขึ้นเมื่อตัวเลขในงบการเงินผิดพลาดอย่างมีสาระสำคัญ (Materially misstated) แต่ผู้สอบบัญชีกลับให้ความเห็นว่า "ถูกต้องและเป็นธรรม"

ลองนึกภาพว่าคุณเป็นนักวิจารณ์ร้านอาหาร หน้าที่ของคุณคือการตัดสินว่าร้านนั้นสะอาดหรือไม่ ถ้าคุณไปตรวจในวันที่ร้านเพิ่งขัดพื้นจนสะอาดเอี่ยม คุณอาจจะบอกว่า "ร้านนี้สะอาด" ทั้งที่ปกติแล้วร้านอาจจะสกปรกมาก นั่นแหละคือ "ความเสี่ยงของนักวิจารณ์" ซึ่งหลักการเดียวกันนี้ใช้กับผู้สอบบัญชีเช่นกัน!

แบบจำลองความเสี่ยงในการสอบบัญชี (Audit Risk Model)

เพื่อช่วยให้เราบริหารจัดการความเสี่ยงนี้ เราจึงใช้สูตรเฉพาะ แม้จะไม่ต้องคำนวณคณิตศาสตร์ซับซ้อน แต่คุณต้องเข้าใจว่าองค์ประกอบแต่ละส่วนทำงานร่วมกันอย่างไร:

\( Audit Risk (AR) = Inherent Risk (IR) \times Control Risk (CR) \times Detection Risk (DR) \)

ทบทวนสั้นๆ: การรวมกันของความเสี่ยงสืบเนื่อง (IR) และความเสี่ยงจากการควบคุม (CR) มักจะเรียกว่า ความเสี่ยงที่งบการเงินจะแสดงข้อมูลที่ผิดพลาดอันเป็นสาระสำคัญ (Risk of Material Misstatement หรือ ROMM) ซึ่งเป็นความเสี่ยงที่มีอยู่แล้วในบริษัท ก่อนที่ ผู้สอบบัญชีจะเริ่มลงมือทำงานเสียอีก

2. เจาะลึกองค์ประกอบของความเสี่ยง

ความเสี่ยงสืบเนื่อง (Inherent Risk - IR)

คือความเสี่ยงที่รายการบัญชีนั้นๆ มีโอกาสผิดพลาดได้โดยธรรมชาติ บางสิ่งบางอย่าง "เสี่ยงด้วยตัวของมันเอง" ไม่ว่าจะมีคนคอยจับตามองมากแค่ไหนก็ตาม

ตัวอย่างเปรียบเทียบ: ลองนึกภาพถาดใส่แหวนเพชรกับถาดใส่ก้อนอิฐ สิ่งไหนมีโอกาสถูกขโมยมากกว่ากัน? แน่นอนว่าต้องเป็นเพชร! นั่นแหละคือ "ความเสี่ยงสืบเนื่อง"

ตัวอย่างในการสอบบัญชี:
- บัญชีที่มีความซับซ้อน (เช่น การบัญชีป้องกันความเสี่ยง - Hedge Accounting)
- รายการที่ต้องใช้การประมาณการหรือดุลยพินิจสูง (เช่น การประมาณการหนี้สินตามกฎหมาย)
- บริษัทที่กำลังประสบปัญหาทางการเงินและอาจล้มละลาย (ประเด็นการดำเนินงานต่อเนื่อง - Going Concern)

ความเสี่ยงจากการควบคุม (Control Risk - CR)

คือความเสี่ยงที่ระบบ "ตาข่ายนิรภัย" (การควบคุมภายใน) ของบริษัทไม่สามารถป้องกันหรือตรวจพบข้อผิดพลาดได้

ตัวอย่างเปรียบเทียบ: คุณมีตู้เซฟสำหรับเก็บเพชร แต่คุณกลับเสียบกุญแจค้างไว้ที่ประตู ตู้เซฟคือ "การควบคุม" ส่วนการเสียบกุญแจทิ้งไว้นั่นแหละคือ "ความเสี่ยงจากการควบคุม"

ตัวอย่างในการสอบบัญชี:
- ระบบคอมพิวเตอร์ไม่มีการตั้งรหัสผ่าน
- ไม่มีใครสอบทานการกระทบยอดธนาคาร
- ขาดการแบ่งแยกหน้าที่ (Segregation of Duties) (เช่น ให้คนคนเดียวทำทุกขั้นตอนตั้งแต่ต้นจนจบ)

ความเสี่ยงจากการตรวจสอบ (Detection Risk - DR)

นี่เป็นความเสี่ยงเดียวที่ ผู้สอบบัญชี ควบคุมได้ คือความเสี่ยงที่วิธีการตรวจสอบของผู้สอบบัญชีเองจะไม่สามารถตรวจพบข้อผิดพลาดที่มีอยู่

ทำไมถึงเกิดขึ้น?
- ผู้สอบบัญชีสุ่มตัวอย่างน้อยเกินไป
- ผู้สอบบัญชีใช้วิธีการตรวจสอบที่ไม่เหมาะสม
- ผู้สอบบัญชีเหนื่อยหรือรีบร้อนจนมองข้ามเบาะแสสำคัญ

ประเด็นสำคัญ: ผู้สอบบัญชีไม่สามารถเปลี่ยนความเสี่ยงสืบเนื่อง (IR) หรือความเสี่ยงจากการควบคุม (CR) ได้ ทำได้เพียงแค่ ประเมิน เท่านั้น ถ้าผู้สอบบัญชีพบว่า IR และ CR สูง ผู้สอบบัญชีจะต้องทำงานหนักขึ้น (ลดความเสี่ยงจากการตรวจสอบ หรือ Detection Risk ลง) เพื่อให้ความเสี่ยงรวมของการสอบบัญชีอยู่ในระดับต่ำ

3. ความเสี่ยงทางธุรกิจ vs ความเสี่ยงในการสอบบัญชี: อย่าสับสนนะ!

นี่เป็น ข้อผิดพลาดทั่วไป ของนักศึกษา ในข้อสอบ AA ส่วนใหญ่มักจะถามหา ความเสี่ยงในการสอบบัญชี (Audit Risks) ไม่ใช่ความเสี่ยงทางธุรกิจ

ความเสี่ยงทางธุรกิจ (Business Risk): คือสิ่งที่คุกคามความสามารถในการอยู่รอดหรือการบรรลุเป้าหมายของบริษัท (เช่น "มีคู่แข่งรายใหม่มาเปิดร้านตรงข้าม")
ความเสี่ยงในการสอบบัญชี (Audit Risk): คือสิ่งที่คุกคามความถูกต้องของตัวเลขในงบการเงิน (เช่น "สินค้าคงเหลือมีสภาพเก่าและอาจมีมูลค่าต่ำกว่าที่บันทึกไว้ ทำให้ยอดสินค้าคงเหลือแสดงสูงเกินจริง")

เคล็ดลับการจำ: เมื่อระบุความเสี่ยงในการสอบบัญชี ให้ถามตัวเองเสมอว่า "สิ่งนี้ทำให้ตัวเลขไหนในงบการเงินผิดไปอย่างไร?" ถ้าคุณตอบไม่ได้ นั่นอาจเป็นแค่ความเสี่ยงทางธุรกิจ!

4. การระบุความเสี่ยงในการสอบบัญชีจากโจทย์

ในการสอบ คุณจะได้อ่านเรื่องราวของบริษัทหนึ่งและถูกขอให้ระบุความเสี่ยง ลองใช้กระบวนการ 3 ขั้นตอนนี้กับทุกประเด็นที่คุณเขียน:

1. "เกิดอะไรขึ้น" (What): ระบุข้อเท็จจริงจากโจทย์
2. "ทำไมถึงเสี่ยง" (Why): อธิบายว่าเหตุใดเรื่องนี้ถึงเป็นความเสี่ยงต่อความถูกต้องของงบการเงิน
3. "ผลกระทบ" (Impact): ระบุว่าบัญชีใดมีแนวโน้มที่จะ แสดงสูงเกินจริง (Overstated) หรือ แสดงต่ำเกินจริง (Understated)

ตัวอย่าง:

โจทย์: บริษัทเปิดเว็บไซต์ใหม่สำหรับการขายในเดือนธันวาคม แต่พนักงานยังไม่ได้รับการฝึกอบรมการใช้งาน

คำตอบของคุณ: มีการบันทึกรายการขายผ่านระบบใหม่โดยพนักงานที่ไม่ได้รับการฝึกอบรม (What) มีความเสี่ยงที่รายการจะถูกบันทึกไม่ถูกต้องหรือซ้ำซ้อน (Why) ดังนั้น รายได้ (Revenue) และ ลูกหนี้การค้า (Receivables) อาจ แสดงสูงเกินจริง (Overstated) (Impact)

5. แนวทางการตอบสนองของผู้สอบบัญชี (Auditor’s Response)

เมื่อคุณพบความเสี่ยงแล้ว คุณต้องตัดสินใจว่าจะทำอย่างไรกับมัน นี่เรียกว่า แนวทางการตอบสนองของผู้สอบบัญชี

คำแนะนำสำหรับการตอบ:
- อย่าเขียนแค่ว่า "ตรวจสอบ" ให้เจาะจง!
- ใช้คำกริยาเช่น "ตรวจสอบ (Inspect)," "คำนวณซ้ำ (Recalculate)," "ตรวจสอบหลักฐาน (Vouch)" หรือ "สอบทาน (Review)"
- ตรวจสอบให้แน่ใจว่าการตอบสนองของคุณแก้ไขความเสี่ยงที่คุณพบโดยตรง

ตัวอย่าง: หากความเสี่ยงคือ "สินค้าคงเหลืออาจล้าสมัย" แนวทางการตอบสนองควรเป็น "ตรวจสอบรายงานอายุสินค้าคงเหลือ (Aging report) และเข้าร่วมสังเกตการณ์ตรวจนับสินค้าคงเหลือสิ้นปี เพื่อระบุรายการที่เสียหายหรือเสื่อมสภาพ"

6. สรุปบทเรียน

รู้หรือไม่? ผู้สอบบัญชีใช้ "ความระมัดระวังเยี่ยงผู้ประกอบวิชาชีพ" (Professional Skepticism) ซึ่งเป็นวิธีพูดแบบทางการว่า "อย่าเพิ่งเชื่ออะไรง่ายๆ ให้ตั้งคำถามไว้ก่อน!" อย่าเพิ่งด่วนสรุปว่าฝ่ายบริหารพูดความจริงโดยไม่มีหลักฐานพิสูจน์!

สรุปสั้นๆ:
- Audit Risk = อันตรายจากการให้ความเห็นผิด
- Inherent Risk (IR) = ความเสี่ยงจากธรรมชาติของธุรกิจ
- Control Risk (CR) = ความเสี่ยงที่ระบบควบคุมภายในล้มเหลว
- Detection Risk (DR) = ความเสี่ยงที่ผู้สอบบัญชีตรวจสอบไม่พบข้อผิดพลาด
- Response = แผนของผู้สอบบัญชีเพื่อลดความเสี่ยงจากการตรวจสอบและหาหลักฐานมาสนับสนุน

ข้อควรระวัง: หลีกเลี่ยงการตอบแบบกำกวม การเขียนว่า "สอบถามฝ่ายบริหารเกี่ยวกับความเสี่ยง" มักจะได้คะแนนน้อย คุณต้องยืนยันสิ่งที่ฝ่ายบริหารพูดด้วยหลักฐานที่เป็นอิสระ!

ทำได้ดีมากครับ/ค่ะ! คุณเพิ่งเรียนรู้แนวคิดหลักของการประเมินความเสี่ยงในการสอบบัญชีจนจบแล้ว หายใจลึกๆ นะครับ/คะ คุณทำได้เยี่ยมมาก! คราวหน้าถ้าคุณเห็นข่าวอื้อฉาวของบริษัท ลองคิดดูว่า "นี่เป็นความเสี่ยงสืบเนื่อง (IR) หรือความเสี่ยงจากการควบคุม (CR) กันนะ?" นี่เป็นวิธีฝึกฝนที่ดีมากเลย!