ยินดีต้อนรับสู่บท: การควบคุมภายในสำหรับการบริหารความเสี่ยง!

สวัสดีครับ! ยินดีต้อนรับเข้าสู่ส่วนที่นำไปใช้งานได้จริงที่สุดส่วนหนึ่งของวิชา P3 ถ้าคุณเคยล็อกประตูบ้านก่อนออกจากบ้าน หรือตั้งนาฬิกาปลุกในโทรศัพท์มือถือ นั่นแปลว่าคุณได้ทำ "การควบคุมภายใน" อยู่แล้ว ในโลกธุรกิจ การควบคุมภายในคือระบบและกระบวนการต่างๆ ที่วางไว้เพื่อให้มั่นใจว่าบริษัทจะบรรลุเป้าหมายโดยไม่เจอปัญหาหนักจนเกินไป ลองนึกภาพว่ามันคือ "การ์ดเรล" (แผงกั้น) บนทางหลวงที่คอยประคองรถ (บริษัท) ให้วิ่งอยู่บนถนนและมุ่งหน้าไปในทิศทางที่ถูกต้องครับ

ในบทนี้ เราจะมาดูกันว่าการควบคุมเหล่านี้เชื่อมโยงกับการบริหารความเสี่ยงอย่างไร ถ้ารู้สึกยากในตอนแรก ไม่ต้องกังวลนะ เราจะค่อยๆ ย่อยมันไปทีละส่วนครับ!


1. การควบคุมภายในคืออะไรกันแน่?

พูดให้เข้าใจง่ายๆ การควบคุมภายใน (Internal Control) คือกระบวนการที่นำโดยคณะกรรมการบริษัทและฝ่ายบริหาร ซึ่งออกแบบมาเพื่อให้ "ความเชื่อมั่นอย่างสมเหตุสมผล" (Reasonable Assurance) ว่าบริษัทจะบรรลุวัตถุประสงค์ในด้านการปฏิบัติงาน การรายงาน และการปฏิบัติตามกฎระเบียบ

แนวคิดพื้นฐาน: ความเสี่ยงที่หลีกเลี่ยงไม่ได้ (Inherent Risk) กับ ความเสี่ยงที่เหลืออยู่ (Residual Risk)
ก่อนจะไปต่อ จำสองคำนี้ไว้นะครับ:
1. ความเสี่ยงที่หลีกเลี่ยงไม่ได้ (Inherent Risk): คือความเสี่ยงที่มีอยู่ตามธรรมชาติหากเราไม่ทำอะไรเลยเพื่อป้องกันมัน
2. ความเสี่ยงที่เหลืออยู่ (Residual Risk): คือความเสี่ยงที่ยังคงอยู่ หลังจาก ที่เราได้วางระบบควบคุมต่างๆ ไว้แล้ว
จุดประสงค์ทั้งหมดของการควบคุมภายในคือการลด Inherent Risk ลงมาให้ถึงระดับของ Residual Risk ที่บริษัทพอใจจะยอมรับได้

เปรียบเทียบกับ "การรักษาความปลอดภัยที่บ้าน":
ลองจินตนาการว่า Inherent Risk คือขโมยที่จะงัดบ้านคุณ คุณจึงติดตั้ง ตัวควบคุม (Control) ขึ้นมา (คือแม่กุญแจที่แข็งแรง) ส่วนความเสี่ยงที่ยังหลงเหลืออยู่—เช่น ขโมยที่เก่งมากๆ อาจจะสะเดาะกุญแจได้—นั่นคือ Residual Risk ของคุณครับ

ทบทวนสั้นๆ:
การควบคุมภายในไม่ได้มีไว้เพื่อกำจัดความเสี่ยงให้หมดไปโดยสิ้นเชิง (เพราะมันจะสิ้นเปลืองค่าใช้จ่ายมากเกินไป!) แต่มีไว้เพื่อให้ ความเชื่อมั่นอย่างสมเหตุสมผล ไม่ใช่การรับประกันแบบ 100% เต็มครับ


2. ประเภทของการควบคุมภายใน

การควบคุมแต่ละแบบทำงานต่างกัน เรามักจะแบ่งออกเป็น 3 ประเภทหลักตาม ช่วงเวลา ที่มันเกิดขึ้น:

A. การควบคุมเชิงป้องกัน (Preventive Controls)

ออกแบบมาเพื่อหยุดยั้งไม่ให้เกิดข้อผิดพลาดหรือการทุจริตตั้งแต่แรก เป็นการทำงานเชิงรุก
ตัวอย่าง: การต้องใช้รหัสผ่านเพื่อเข้าใช้งานระบบคอมพิวเตอร์ หรือ "การแบ่งแยกหน้าที่" (Segregation of Duties) (เพื่อให้แน่ใจว่าคนที่สั่งซื้อสินค้าไม่ใช่คนเดียวกับคนที่จ่ายเงินค่าสินค้า)

B. การควบคุมเชิงตรวจจับ (Detective Controls)

เป็นการตรวจพบข้อผิดพลาดหรือปัญหาหลังจากที่มันเกิดขึ้นแล้ว มันไม่ได้ช่วยหยุดยั้งความผิดพลาด แต่ช่วยเตือนให้คุณรู้ว่ามีปัญหาเกิดขึ้น
ตัวอย่าง: การกระทบยอดเงินฝากธนาคาร หรือการตรวจนับสินค้าคงคลัง ทำให้คุณรู้ว่าเงินหรือสินค้าหายไปหลังจากเกิดเหตุแล้ว

C. การควบคุมเชิงแก้ไข (Corrective Controls)

จะเริ่มทำงานหลังจากตรวจพบปัญหา เพื่อแก้ไขความเสียหายและป้องกันไม่ให้มันเกิดขึ้นซ้ำอีก
ตัวอย่าง: การนำข้อมูลสำรอง (Backup) มาใช้เพื่อกู้คืนข้อมูลที่สูญหายหลังจากระบบขัดข้อง

ตัวช่วยจำ: เปรียบเทียบกับรถยนต์
- เชิงป้องกัน: เบรก (มันหยุดไม่ให้เกิดการชน)
- เชิงตรวจจับ: ไฟเตือนบนหน้าปัด (มันบอกคุณว่าเครื่องยนต์กำลังร้อนจัด)
- เชิงแก้ไข: ถุงลมนิรภัย (มันพองตัวออกมาเพื่อลดความเสียหายหลังจากเกิดการกระแทก)

หัวใจสำคัญ: การบริหารความเสี่ยงที่มีประสิทธิภาพจะต้องใช้การควบคุมทั้ง 3 แบบผสมผสานกันเพื่อสร้างแนวป้องกันเป็นชั้นๆ ครับ


3. กรอบแนวคิด COSO: "มาตรฐานทองคำ"

เมื่อเราพูดถึงการควบคุมภายในในวิชา P3 เรามักจะอ้างถึง กรอบแนวคิด COSO (COSO Framework) ซึ่งเป็นโมเดลที่มีชื่อเสียงที่ช่วยให้ผู้จัดการออกแบบและทดสอบระบบควบคุมได้ โดยมีองค์ประกอบ 5 ประการ เพื่อให้จำง่าย ให้ใช้คำย่อว่า C.R.I.M.E.

Control Environment (สภาพแวดล้อมการควบคุม)

นี่คือ "บรรยากาศจากระดับบน" (Tone at the Top) เกี่ยวกับวัฒนธรรมองค์กร ถ้า CEO เพิกเฉยต่อกฎ พนักงานก็จะทำตามนั้น มันรวมถึงความซื่อสัตย์ ค่านิยมทางจริยธรรม และวิธีที่ฝ่ายบริหารมอบหมายอำนาจหน้าที่

Risk Assessment (การประเมินความเสี่ยง)

ก่อนจะคุมความเสี่ยงได้ คุณต้องหาให้เจอก่อน องค์ประกอบนี้เกี่ยวข้องกับการระบุและวิเคราะห์ความเสี่ยงที่อาจขัดขวางไม่ให้บริษัทไปถึงเป้าหมาย

Information and Communication (สารสนเทศและการสื่อสาร)

ข้อมูลต้องถูกระบุ จัดเก็บ และสื่อสารในรูปแบบที่ช่วยให้พนักงานปฏิบัติหน้าที่ของตนได้ คนต้องรู้กฎถึงจะทำตามได้!

Monitoring (การติดตามผล)

ระบบควบคุมต้องได้รับการตรวจสอบอย่างสม่ำเสมอเพื่อให้แน่ใจว่ายังใช้งานได้อยู่ ถ้าตัวควบคุมล้าสมัยก็ต้องแก้ไข ซึ่งส่วนใหญ่จะทำโดย การตรวจสอบภายใน (Internal Audit)

Existing Control Activities (กิจกรรมการควบคุม)

นี่คือนโยบายและขั้นตอนปฏิบัติจริงๆ (เช่น รหัสผ่านและการกระทบยอดที่เราพูดถึงไปก่อนหน้านี้) ที่ช่วยให้แน่ใจว่าคำสั่งของฝ่ายบริหารได้รับการปฏิบัติตาม

คุณทราบหรือไม่?
กรอบ COSO มักถูกจำลองเป็นรูป "ลูกบาศก์" เพราะมันดูว่าทั้ง 5 องค์ประกอบนี้ถูกนำไปใช้ในระดับต่างๆ ของธุรกิจอย่างไร (เช่น ทั้งองค์กร, เฉพาะแผนก หรือเฉพาะรายบุคคล)


4. ข้อจำกัดของการควบคุมภายใน

นักศึกษามักเข้าใจผิดว่าถ้าบริษัทมีระบบควบคุมภายใน "ที่ดี" แปลว่าจะปลอดภัยสมบูรณ์แบบ ซึ่งไม่จริงครับ! แม้แต่ระบบที่ดีที่สุดก็ยังมีข้อจำกัด

  • ความผิดพลาดจากมนุษย์ (Human Error): คนเราทำผิดพลาดได้ อ่อนล้าได้ หรือเข้าใจคำสั่งผิด
  • การสมคบคิด (Collusion): คือการที่คนตั้งแต่ 2 คนขึ้นไปร่วมมือกันเพื่อหลีกเลี่ยงระบบควบคุม (เช่น คนสั่งซื้อกับคนจ่ายเงินร่วมมือกันยักยอกเงิน)
  • การใช้อำนาจเหนือการควบคุมของฝ่ายบริหาร (Management Override): ผู้บริหารระดับสูงอาจใช้อำนาจเพื่อเพิกเฉยต่อกฎเพื่อความ "สะดวก" หรือเพื่อทุจริต
  • ต้นทุนกับผลประโยชน์ (Cost vs. Benefit): คุณคงไม่ซื้อตู้เซฟราคา 10,000 บาท เพื่อเก็บเงินสดมูลค่า 500 บาทหรอกใช่ไหม การควบคุมต้องคุ้มค่ากับต้นทุน \( \text{Cost of Control} < \text{Potential Loss} \)

ข้อผิดพลาดที่ควรหลีกเลี่ยง:
อย่าสับสนระหว่าง การควบคุมภายใน (Internal Control) กับ การตรวจสอบภายใน (Internal Audit) นะครับ การควบคุมภายในคือ ระบบ (แม่กุญแจและกฎระเบียบ) ส่วนการตรวจสอบภายในคือ ทีมงาน ที่มาคอยตรวจว่าระบบทำงานได้ถูกต้องหรือไม่


5. สรุปและประเด็นสำคัญ

ปิดท้ายบทนี้ นี่คือประเด็นสำคัญที่สุดที่ต้องจำเพื่อไปสอบ P3 ครับ:

1. วัตถุประสงค์: การควบคุมภายในช่วยลดความเสี่ยงที่หลีกเลี่ยงไม่ได้ (Inherent Risk) ให้เหลือระดับที่ยอมรับได้ (Residual Risk) เพื่อให้ ความเชื่อมั่นอย่างสมเหตุสมผล
2. แนวป้องกัน 3 รูปแบบ: ใช้การควบคุมเชิง ป้องกัน, ตรวจจับ, และ แก้ไข ร่วมกัน
3. กรอบแนวคิด: จำคำว่า C.R.I.M.E. (Control Environment, Risk Assessment, Information/Communication, Monitoring, และ Control Activities)
4. ข้อจำกัด: ระบบควบคุมอาจล้มเหลวได้จาก ความผิดพลาดของมนุษย์, การสมคบคิด, หรือ ข้อจำกัดด้านต้นทุน

กล่องทบทวนด่วน:
- คำสำคัญ: การแบ่งแยกหน้าที่ (Segregation of Duties) (แบ่งงานกันทำเพื่อไม่ให้คนเดียวมีอำนาจมากเกินไป)
- คำสำคัญ: บรรยากาศจากระดับบน (Tone at the Top) (สภาพแวดล้อมทางจริยธรรมที่ผู้นำสร้างขึ้น)
- คำสำคัญ: ความเชื่อมั่นอย่างสมเหตุสมผล (Reasonable Assurance) (มันดีนะ แต่มันไม่สมบูรณ์แบบ 100%!)

คุณเรียนจบส่วนนี้แล้ว! พักเบรกสักครู่ แล้วเมื่อพร้อม เราจะไปดูกันว่าเราจะรายงานความเสี่ยงเหล่านี้ต่อคณะกรรมการอย่างไร คุณทำได้ดีมากครับ!