Internal controls

ยินดีต้อนรับสู่เรื่องการควบคุมภายใน (Internal Controls)!

สวัสดีครับ! วันนี้เราจะมาเจาะลึกหนึ่งในหัวข้อที่สำคัญที่สุดของวิชาธุรกิจและเทคโนโลยี (BT) นั่นก็คือ การควบคุมภายใน (Internal Controls) ครับ ไม่ต้องตกใจกับชื่อนี้นะครับ ให้ลองนึกภาพว่าการควบคุมภายในเปรียบเสมือน "กฎประจำบ้าน" หรือ "ฟีเจอร์ความปลอดภัย" ของรถยนต์ครับ เช่นเดียวกับเข็มขัดนิรภัยที่ช่วยรักษาความปลอดภัยให้คุณขณะขับรถ การควบคุมภายในก็ช่วยปกป้องธุรกิจจากความผิดพลาด การทุจริต และความสิ้นเปลืองนั่นเอง

เมื่ออ่านคู่มือนี้จบ คุณจะเข้าใจว่าธุรกิจต่างๆ จัดระเบียบการทำงานอย่างไร ปกป้องเงินทุนได้อย่างไร และทำให้มั่นใจได้อย่างไรว่าทุกคนกำลังทำในสิ่งที่ควรทำ เอาล่ะ มาเริ่มกันเลย!

1. การควบคุมภายในคืออะไร?

ถ้าสรุปแบบง่ายที่สุด การควบคุมภายใน คือกระบวนการหรือเครื่องมือที่บริษัทใช้เพื่อให้แน่ใจว่าองค์กรจะบรรลุเป้าหมายที่ตั้งไว้ มันไม่ใช่แค่สิ่งใดสิ่งหนึ่ง แต่เป็นระบบการตรวจสอบและถ่วงดุล (Checks and Balances) ทั้งหมดที่ถูกวางรากฐานโดยผู้มีอำนาจตัดสินใจ (คณะกรรมการและฝ่ายบริหาร)

ทำไมเราถึงต้องมีมัน?
ลองจินตนาการถึงร้านกาแฟที่วุ่นวายดูนะครับ ถ้าไม่มีกฎเกณฑ์อะไรเลย พนักงานอาจลืมคิดเงินลูกค้า หรืออาจมีคนแอบหยิบเงินจากลิ้นชักเก็บเงินไป แต่การควบคุมภายใน (เช่น การใช้เครื่องเก็บเงินที่บันทึกทุกยอดขาย) จะช่วยป้องกันปัญหาเหล่านี้ได้ครับ

วัตถุประสงค์หลัก (จำง่ายๆ ด้วย SORE):
เพื่อให้จำได้ง่ายว่าทำไมเราต้องมีการควบคุม ให้จำคำว่า SORE ไว้ครับ:
• Safeguarding assets: การดูแลรักษาทรัพย์สินให้ปลอดภัย ไม่ให้ของของบริษัท (เช่น เงินสดหรือแล็ปท็อป) ถูกขโมยหรือเสียหาย
• Orderly and efficient conduct: การดำเนินธุรกิจอย่างเป็นระเบียบและมีประสิทธิภาพ โดยไม่เสียเวลาหรือเงินโดยเปล่าประโยชน์
• Reliability of records: ความน่าเชื่อถือของบันทึกบัญชี เพื่อให้แน่ใจว่าตัวเลขในบัญชีถูกต้องและเรารู้ว่ามีเงินเหลืออยู่เท่าไหร่กันแน่
• Edherence to laws: การปฏิบัติตามกฎหมายและกฎระเบียบต่างๆ ของภาครัฐ

สรุปสั้นๆ: การควบคุมภายในเปรียบเสมือน "ตาข่ายนิรภัย" ของธุรกิจครับ ช่วยปกป้องทรัพย์สินและทำให้ข้อมูลมีความถูกต้องแม่นยำ

2. องค์ประกอบของการควบคุมภายใน (กรอบแนวคิด "CRIME")

กรอบแนวคิด COSO คือมาตรฐานระดับโลกที่ใช้ทำความเข้าใจเรื่องการควบคุมภายใน คุณสามารถจำองค์ประกอบทั้ง 5 ได้โดยใช้คำว่า CRIME ไม่ต้องกังวลถ้าดูเหมือนเยอะนะครับ เราจะค่อยๆ เจาะลึกไปทีละตัว

C – Control Environment (สภาพแวดล้อมการควบคุม)

นี่คือ "บรรยากาศจากระดับบน" (Tone at the top) ถ้าผู้บริหารไม่สนใจกฎระเบียบ พนักงานก็จะไม่สนใจเช่นกัน ส่วนนี้รวมถึงความซื่อสัตย์และคุณธรรมของผู้นำ และวิธีการที่พวกเขาจัดสรรอำนาจการตัดสินใจ มันคือรากฐานของทุกอย่างครับ

R – Risk Assessment (การประเมินความเสี่ยง)

ก่อนจะแก้ไขปัญหาได้ คุณต้องรู้ก่อนว่าปัญหาคืออะไร ธุรกิจต้องคอยมองหาอยู่เสมอว่าอะไรที่อาจผิดพลาดได้ (ความเสี่ยง) และตัดสินใจว่าจะจัดการความเสี่ยงเหล่านั้นอย่างไร

I – Information and Communication (สารสนเทศและการสื่อสาร)

เพื่อให้ระบบทำงานได้ ทุกคนต้องได้รับข้อมูลที่ถูกต้องในเวลาที่เหมาะสม ซึ่งหมายถึงการมีรายงานที่ชัดเจนและทำให้พนักงานทุกคนเข้าใจบทบาทหน้าที่ของตนในระบบการควบคุม

M – Monitoring (การติดตามผล)

การควบคุมต้องถูกตรวจสอบเป็นประจำว่ายังใช้งานได้ดีอยู่ไหม หากร้านเปลี่ยนจากการรับเงินสดมาเป็นการใช้บัตรเครดิต การควบคุมแบบ "นับเงินสด" แบบเดิมก็อาจไม่จำเป็นอีกต่อไป โดยมักจะมี การตรวจสอบภายใน (Internal Audit) เข้ามาช่วยในส่วนนี้ครับ

E – Control Activities (กิจกรรมการควบคุม)

นี่คือตัวนโยบายและขั้นตอนการปฏิบัติงานจริงๆ (ส่วนของการลงมือทำ) ซึ่งเป็นเรื่องที่สำคัญมากจนเราต้องทำรายการพิเศษแยกไว้ในหัวข้อถัดไปครับ!

สรุปใจความสำคัญ: ระบบการควบคุมที่จะแข็งแกร่งได้ ต้องมีองค์ประกอบทั้ง 5 ของ CRIME ทำงานร่วมกันครับ

3. ประเภทของกิจกรรมการควบคุม (จำด้วย "SPAMSOAP")

นี่คือท่าไม้ตายยอดฮิตของข้อสอบ ACCA เลยครับ! กิจกรรมเหล่านี้คือสิ่งที่ธุรกิจทำเพื่อป้องกันหรือตรวจจับข้อผิดพลาด ใช้คำว่า SPAMSOAP เพื่อจำนะครับ:

S – Segregation of Duties (การแบ่งแยกหน้าที่): อย่าให้คนคนเดียวทำทุกอย่าง ตัวอย่างเช่น คนสั่งซื้อสต็อกไม่ควรเป็นคนเดียวกับคนที่จ่ายเงินให้ซัพพลายเออร์ เพื่อป้องกันการทุจริต
P – Physical Controls (การควบคุมทางกายภาพ): เก็บของให้ปลอดภัยภายใต้กุญแจ เช่น ตู้เซฟเก็บเงิน รั้วรอบโกดัง หรือการตั้งรหัสผ่านคอมพิวเตอร์
A – Authorization and Approval (การมอบอำนาจและการอนุมัติ): ควรมี "คนที่มีตำแหน่งสูงกว่า" เซ็นอนุมัติรายการใหญ่ๆ เช่น อาจต้องให้ผู้จัดการเซ็นอนุมัติหากจะใช้จ่ายเกิน $500
\nM – Management Controls (การควบคุมโดยฝ่ายบริหาร): ผู้จัดการควรตรวจสอบผลการดำเนินงาน เช่น เปรียบเทียบยอดขายจริงประจำเดือนกับงบประมาณที่วางไว้
\nS – Supervision (การกำกับดูแล): การคอยดูการทำงานของผู้อื่นเพื่อให้มั่นใจว่าทำได้อย่างถูกต้อง
\nO – Organisation (การจัดองค์กร): การมีแผนผังองค์กรที่ชัดเจนว่าใครต้องรายงานต่อใคร ทุกคนจะได้รู้ขอบเขตความรับผิดชอบของตนเอง
\nA – Arithmetical and Accounting (การตรวจสอบเลขคณิตและบัญชี): ตรวจสอบว่าคำนวณเลขถูกต้องไหม เช่น การกระทบยอดธนาคาร (Bank Reconciliation) เพื่อให้ยอดในสมุดบัญชีตรงกับยอดในใบแจ้งยอดธนาคาร
\nP – Personnel (บุคลากร): การจ้างคนที่ใช่ด้วยทักษะที่เหมาะสมและให้การฝึกอบรมที่เพียงพอ

รู้หรือไม่? การแบ่งแยกหน้าที่คือ "จุดอ่อน" ของการทุจริตครับ อาชญากรรมทางการเงินส่วนใหญ่เกิดขึ้นเพราะคนคนเดียวมีอำนาจควบคุมกระบวนการทั้งหมดมากเกินไป

4. การควบคุมเพื่อป้องกัน ตรวจจับ และแก้ไข

เรายังสามารถแบ่งกลุ่มการควบคุมตาม ช่วงเวลา ที่เกิดขึ้นในกระบวนการได้อีกครับ:

1. Preventive Controls (การควบคุมเพื่อป้องกัน): ออกแบบมาเพื่อหยุดยั้งข้อผิดพลาดหรือการทุจริต ก่อน ที่มันจะเกิดขึ้น
ตัวอย่าง: การตั้งรหัสผ่านมือถือเพื่อป้องกันคนอื่นมาใช้งาน

2. Detective Controls (การควบคุมเพื่อตรวจจับ): ออกแบบมาเพื่อค้นหาข้อผิดพลาดหรือการทุจริต หลังจาก ที่มันเกิดขึ้นแล้ว
ตัวอย่าง: การตรวจดูใบแจ้งยอดธนาคารตอนสิ้นเดือนเพื่อหาค่าใช้จ่ายที่ผิดปกติ

3. Corrective Controls (การควบคุมเพื่อแก้ไข): ออกแบบมาเพื่อแก้ไขปัญหาหลังจากที่การตรวจจับพบข้อผิดพลาดแล้ว
ตัวอย่าง: การโทรแจ้งธนาคารเพื่อขอคืนเงินจากการตัดบัตรที่ทุจริตและขอออกบัตรใบใหม่

สรุปใจความสำคัญ: ระบบที่ดีต้องใช้ทั้งสามอย่างรวมกัน การป้องกันคือสิ่งที่ดีที่สุด แต่การตรวจจับก็เป็นตัวสำรองที่จำเป็นครับ!

5. ข้อจำกัดของการควบคุมภายใน

ไม่มีระบบไหนสมบูรณ์แบบ! แม้แต่การควบคุมภายในที่ดีที่สุดก็ยังมีจุดอ่อน นี่คือเหตุผลว่าทำไมปัญหาถึงยังเกิดขึ้นได้:

• Cost vs. Benefit: คุณคงไม่ยอมจ่ายเงิน $1,000 เพื่อซื้อตู้เซฟมาเก็บเงินแค่ $5 บางครั้งการควบคุมบางอย่างก็มีต้นทุนสูงเกินกว่าจะนำมาใช้
• Human Error: คนเราเหนื่อย เบื่อ หรือเสียสมาธิได้ ทำให้เกิดความผิดพลาด
• Collusion: หากคนสองคนขึ้นไปรวมหัวกันโกงระบบ (เช่น คนสั่งซื้อกับคนจ่ายเงินตกลงร่วมมือกันขโมยเงิน) การแบ่งแยกหน้าที่ก็ใช้ไม่ได้ผล
• Management Override: ผู้บริหารระดับสูงอาจใช้อำนาจที่มีข้ามขั้นตอนกฎระเบียบ
• Abuse of Authority: ใครบางคนอาจใช้อำนาจหน้าที่ไปในทางที่ผิด

ข้อผิดพลาดที่ควรระวัง: นักเรียนมักเข้าใจผิดว่าการมีการควบคุมภายในหมายความว่าจะไม่มีทางเกิดการทุจริต นี่ไม่จริงครับ! การควบคุมให้เพียงแค่ ความเชื่อมั่นอย่างสมเหตุสมผล (Reasonable Assurance) ไม่ใช่การรับประกัน 100%

6. การตรวจสอบภายใน vs. การตรวจทานภายใน

นักเรียนมักสับสนสองเรื่องนี้บ่อยๆ เรามาทำให้ชัดเจนกันครับ:

Internal Check (การตรวจทานภายใน): เป็นส่วนหนึ่งของการดำเนินงานประจำวัน เป็นการตรวจสอบ "ในตัว" ที่งานของคนหนึ่งจะถูกตรวจสอบโดยงานของอีกคนโดยอัตโนมัติ (เช่น การแบ่งแยกหน้าที่)

Internal Audit (การตรวจสอบภายใน): เป็นแผนกหรือฝ่ายที่แยกออกมาต่างหาก คอยทำหน้าที่ถอยออกมาดูภาพรวมของ ระบบทั้งหมด ว่าทำงานได้ดีไหม และรายงานต่อผู้บริหารระดับสูงหรือคณะกรรมการ

เปรียบเทียบ: การตรวจทานภายในเหมือนเชฟที่คอยชิมซุประหว่างปรุง ส่วนการตรวจสอบภายในเหมือนเจ้าหน้าที่สาธารณสุขที่แวะมาตรวจความสะอาดในครัวทั้งระบบเดือนละครั้ง

สรุปทบทวนบทเรียน

• การควบคุมภายใน คือระบบที่ใช้เพื่อให้บรรลุวัตถุประสงค์ธุรกิจและปกป้องทรัพย์สิน
• จำ CRIME สำหรับองค์ประกอบ: สภาพแวดล้อม, การประเมินความเสี่ยง, สารสนเทศ, การติดตามผล และกิจกรรมการควบคุม
• จำ SPAMSOAP สำหรับประเภทกิจกรรม: การแบ่งแยกหน้าที่, ทางกายภาพ, การอนุมัติ, การบริหาร, การกำกับดูแล, การจัดองค์กร, เลขคณิต/บัญชี และบุคลากร
• การควบคุมแบ่งได้เป็น ป้องกัน, ตรวจจับ และแก้ไข
• การควบคุมมี ข้อจำกัด เช่น เรื่องต้นทุน, ความผิดพลาดจากมนุษย์ และการสมรู้ร่วมคิด

ยอดเยี่ยมมาก! คุณเพิ่งทำความเข้าใจหัวใจหลักของข้อสอบวิชา Business and Technology ไปแล้ว พกคำย่อพวกนี้ (CRIME และ SPAMSOAP) ติดตัวไว้ แล้วคุณจะพร้อมลุยทุกคำถามในหัวข้อนี้แน่นอนครับ!