The use and evaluation of systems of internal control by auditors

ยินดีต้อนรับสู่โลกแห่งระบบการควบคุมภายใน!

สวัสดีครับ! วันนี้เราจะมาเจาะลึกหนึ่งในหัวข้อที่สำคัญและนำไปใช้งานได้จริงที่สุดในหลักสูตรการสอบบัญชีและการให้ความเชื่อมั่น (Audit and Assurance หรือ AA) นั่นก็คือ การใช้และการประเมินระบบการควบคุมภายใน (The use and evaluation of systems of internal control) ให้ลองนึกภาพว่าการควบคุมภายในเปรียบเสมือน "ตาข่ายนิรภัย" ที่บริษัทสร้างขึ้นเพื่อป้องกันความผิดพลาดและการทุจริต ในฐานะผู้สอบบัญชี หน้าที่ของเราคือการตรวจสอบว่าตาข่ายผืนนี้แข็งแรงแค่ไหน ถ้าตาข่ายแข็งแรง เราก็เบาใจไปได้เปราะหนึ่ง แต่ถ้าตาข่ายเต็มไปด้วยรูโหว่ งานของเราก็จะหนักขึ้นเป็นกองเลยล่ะ!

ถ้ารู้สึกว่าเนื้อหานี้ฟังดูเทคนิคไปหน่อยในตอนแรก ไม่ต้องกังวลนะ เราจะค่อยๆ ย่อยไปทีละขั้นตอนด้วยการเปรียบเทียบง่ายๆ และคำอธิบายที่ชัดเจน มาเริ่มกันเลย!

1. ทำไมผู้สอบบัญชีต้องสนใจระบบการควบคุมภายใน?

ลองจินตนาการว่าคุณเป็นคุณครูที่ต้องตรวจข้อสอบคณิตศาสตร์ 1,000 ฉบับ ถ้าคุณรู้ว่านักเรียนทุกคนใช้เครื่องคิดเลขคุณภาพสูงที่ป้องกันความผิดพลาดในการกดตัวเลข คุณอาจจะแค่สุ่มตรวจคำตอบเพียงไม่กี่ข้อ แต่ถ้าคุณรู้ว่านักเรียนทุกคนทำด้วยมือและเสี่ยงต่อการคำนวณพลาด คุณก็คงต้องตรวจละเอียดทุกบรรทัด นี่แหละคือวิธีการทำงานของการตรวจสอบบัญชี!

แนวคิดสำคัญ: ผู้สอบบัญชีจะประเมินระบบการควบคุมภายในเพื่อกำหนด กลยุทธ์การตรวจสอบ (Audit strategy) ของเรา
- การควบคุมที่แข็งแกร่ง (Strong Controls): เราสามารถเชื่อถือได้และลดการทำ "วิธีปฏิบัติเพื่อตรวจสอบเนื้อหาสาระ" (Substantive testing หรือการตรวจสอบตัวเลขในงบจริงๆ) ลงได้
- การควบคุมที่อ่อนแอ (Weak Controls): เราไม่สามารถเชื่อถือได้ และจำเป็นต้องทำ "วิธีปฏิบัติเพื่อตรวจสอบเนื้อหาสาระ" ให้มากขึ้นเพื่อให้มั่นใจว่าตัวเลขในงบถูกต้อง

ทบทวนสั้นๆ: เราประเมินระบบการควบคุมเพื่อตัดสินใจเกี่ยวกับ ลักษณะ (Nature), ช่วงเวลา (Timing) และขอบเขต (Extent) ของวิธีการตรวจสอบของเรานั่นเอง

2. การบันทึกทำความเข้าใจระบบ

ก่อนที่เราจะประเมินระบบได้ เราต้องเข้าใจมันก่อน ผู้สอบบัญชีต้องบันทึกข้อมูลว่าระบบของบริษัททำงานอย่างไร ซึ่งทำได้ 4 วิธีหลักๆ ดังนี้:

A. การบรรยาย (Narrative Notes)

วิธีนี้คือการเขียนเล่าเรื่องว่ากระบวนการทำงานเป็นอย่างไร ตัวอย่างเช่น: "เมื่อลูกค้าสั่งซื้อสินค้า พนักงานขายจะคีย์ข้อมูลลงในคอมพิวเตอร์..."
- ข้อดี: เขียนง่าย เหมาะสำหรับระบบที่ไม่ซับซ้อน
- ข้อเสีย: ถ้าเป็นระบบที่ซับซ้อนจะยาวและอ่านเข้าใจยาก และยากที่จะมองหาจุดที่การควบคุมขาดหายไป

B. แผนภาพแสดงกระบวนการ (Flowcharts)

คือการวาดแผนที่ภาพรวมของระบบโดยใช้สัญลักษณ์และลูกศร
- ข้อดี: เห็น "การไหล" ของเอกสารได้ง่ายมาก และเห็นชัดว่ากระบวนการหยุดชะงักตรงไหน
- ข้อเสีย: ใช้เวลาวาดนาน และต้องรู้ความหมายของสัญลักษณ์ต่างๆ ที่ใช้

C. แบบสอบถามการควบคุมภายใน (Internal Control Questionnaires - ICQs)

รายการคำถามที่ถามว่ามีระบบควบคุมนั้นๆ หรือไม่ ตัวอย่างเช่น: "ใบสั่งซื้อสินค้าทุกใบได้รับอนุมัติจากผู้จัดการแล้วหรือไม่?"
- ข้อดี: ช่วยให้มั่นใจว่าเราไม่ลืมตรวจสอบจุดควบคุมที่สำคัญ
- ข้อเสีย: อาจทำให้ผู้สอบทำแค่ "ติ๊กถูกในช่องว่าง" โดยไม่ได้ทำความเข้าใจระบบจริงๆ

D. แบบสอบถามประเมินการควบคุมภายใน (Internal Control Evaluation Questionnaires - ICEQs)

วิธีนี้จะเน้นที่ วัตถุประสงค์ (Objectives) แทนที่จะเป็นแค่กฎระเบียบ ตัวอย่างเช่น: "มีหลักประกันที่สมเหตุสมผลหรือไม่ว่ามีการบันทึกเฉพาะรายการขายที่เกิดขึ้นจริงเท่านั้น?"
- ข้อดี: เน้นไปที่ "ภาพใหญ่" และความเสี่ยง
- ข้อเสีย: ต้องอาศัยประสบการณ์มากขึ้นในการตอบคำถามอย่างถูกต้อง

รู้หรือไม่? ผู้สอบบัญชียุคใหม่ส่วนใหญ่ใช้หลายวิธีผสมผสานกัน! เช่น ใช้ Flowchart เพื่อดูภาพรวมกระบวนการ และใช้ ICEQ เพื่อประเมินว่าระบบนั้นปลอดภัยจริงๆ หรือไม่

3. การประเมินระบบ: การทดสอบด้วยการเดินตามรายการ (Walkthrough Tests)

เมื่อเราบันทึกระบบเสร็จแล้ว เราต้องมั่นใจว่าเราเข้าใจมันถูกต้องจริงๆ เราจึงต้องทำสิ่งที่เรียกว่า Walkthrough Test

การเปรียบเทียบ: ลองนึกภาพว่ามีคนบอกทางไปร้านค้าให้คุณ การทำ "Walkthrough" ก็เหมือนกับการที่คุณเดินไปตามเส้นทางนั้นจริงๆ เพื่อดูว่าจุดสังเกตต่างๆ อยู่ในที่ที่เขาบอกจริงไหม
ในการตรวจสอบบัญชี: เราจะหยิบรายการค้าตัวอย่างขึ้นมาหนึ่งรายการ (เช่น ใบกำกับสินค้าหนึ่งใบ) แล้วตามดูตั้งแต่ต้นจนจบกระบวนการ ถ้าสิ่งที่พบในขั้นตอนการ "Walkthrough" ตรงกับที่เราบันทึกไว้ แสดงว่าการบันทึกของเราถูกต้อง!

ข้อผิดพลาดที่พบบ่อย: นักศึกษามักเข้าใจผิดว่า Walkthrough test คือการพิสูจน์ว่าระบบทำงานได้ดีตลอดทั้งปี ซึ่งจริงๆ แล้วไม่ใช่! มันทำหน้าที่แค่พิสูจน์ว่าผู้สอบบัญชี มีความเข้าใจ ในระบบอย่างถูกต้องเท่านั้น

4. การทดสอบการควบคุม (Tests of Controls - ToC)

ตอนนี้เรารู้แล้วว่าระบบ "ควรจะ" ทำงานอย่างไร แต่ในทางปฏิบัติมันทำงานจริงหรือไม่? นี่คือขั้นตอนที่เราจะทำ การทดสอบการควบคุม (ToC)

เราจะมองหาหลักฐานว่าการควบคุมนั้นเกิดขึ้นจริง โดยใช้วิธีหลัก 4 วิธี (จำตัวย่อว่า AEIO):

1. A - Analytical Procedures: (ส่วนใหญ่ใช้ใน Substantive testing แต่ก็ใช้ดูได้ว่าระบบควบคุมให้ผลลัพธ์ที่เป็นไปตามคาดหรือไม่)
2. E - Enquiry: การสอบถามพนักงานว่าพวกเขาปฏิบัติหน้าที่อย่างไร
3. I - Inspection: การตรวจดูเอกสารว่ามีลายเซ็นหรือตราประทับอนุมัติหรือไม่
4. O - Observation: การสังเกตการณ์โดยดูพนักงานปฏิบัติหน้าที่จริง (เช่น ดูตอนพนักงานนับสินค้าคงเหลือ)

สรุปใจความสำคัญ: หากเราทดสอบแล้วพบว่าการควบคุมทำงานได้อย่างสมบูรณ์แบบ เราก็สามารถลดการตรวจสอบตัวเลขในงบ (Substantive Testing) ลงได้

5. การระบุจุดบกพร่องและการรายงาน

จะเกิดอะไรขึ้นถ้าเราพบ "รูโหว่" ในตาข่ายนิรภัย? เราเรียกมันว่า จุดบกพร่องของการควบคุม (Control deficiency) และถ้าเป็นรูขนาดใหญ่ เราจะเรียกมันว่า จุดบกพร่องที่มีนัยสำคัญ (Significant deficiency)

ผู้สอบบัญชีมีหน้าที่ทางวิชาชีพในการรายงานจุดบกพร่องเหล่านี้ต่อผู้ที่เกี่ยวข้อง (ฝ่ายบริหาร หรือ "ผู้ที่มีหน้าที่ในการกำกับดูแล") โดยปกติเราจะใช้ จดหมายนำส่งฝ่ายบริหาร (Management Letter) (หรือจดหมายแจ้งจุดอ่อน) สำหรับการทำข้อสอบ คุณควรเขียนคำตอบโดยแบ่งเป็น 3 คอลัมน์เสมอ:

1. จุดบกพร่อง (The Deficiency): อะไรคือปัญหา? (เช่น "ใบสั่งซื้อสินค้าไม่ได้รับการลงนามโดยผู้มีอำนาจ")
2. ผลกระทบ (The Implication): ความเสียหายที่อาจเกิดขึ้นคืออะไร? (เช่น "บริษัทอาจซื้อสินค้าที่ไม่จำเป็น หรือจ่ายเงินสำหรับสินค้าที่ไม่เคยสั่งซื้อ ทำให้สูญเสียเงินสด")
3. ข้อเสนอแนะ (The Recommendation): จะแก้ไขอย่างไร? (เช่น "ควรนำนโยบายมาใช้โดยระบบจะบล็อกใบสั่งซื้อที่ยังไม่ได้ลงนามแบบดิจิทัลโดยหัวหน้าแผนก")

เคล็ดลับความจำ: ให้จำว่า ปัญหา -> ความเสี่ยง -> วิธีแก้

สรุป: ขั้นตอนการทำงานทีละสเต็ป

1. ทำความเข้าใจ (Understand): ระบบด้วยการสอบถามและสังเกตการณ์
2. บันทึก (Document): ระบบด้วยการจดบันทึก แผนภาพ หรือแบบสอบถาม
3. ยืนยัน (Confirm): ระบบด้วยการทำ Walkthrough tests
4. ประเมิน (Evaluate): การออกแบบว่าระบบ "ดี" บนหน้ากระดาษหรือไม่
5. ทดสอบ (Test): การควบคุมว่าระบบทำงานจริงในทางปฏิบัติหรือไม่
6. สื่อสาร (Communicate): แจ้งฝ่ายบริหารเกี่ยวกับจุดอ่อนที่พบ

ให้กำลังใจส่งท้าย: คุณทำได้ดีมาก! ระบบการควบคุมภายในจริงๆ แล้วมันคือเรื่องของตรรกะเหตุผล ลองถามตัวเองว่า "ถ้าฉันเป็นเจ้าของธุรกิจนี้ อะไรอาจผิดพลาดได้บ้าง และฉันจะหยุดมันยังไง?" นั่นแหละคือวิธีการคิดแบบผู้สอบบัญชีเลย ฝึกทำโจทย์ที่ต้องตอบ "จุดบกพร่อง ผลกระทบ และข้อเสนอแนะ" บ่อยๆ นะ นั่นคือหัวใจสำคัญในการผ่านวิชา AA เลยล่ะ!