The internal audit process

ยินดีต้อนรับสู่กระบวนการตรวจสอบภายใน (Internal Audit)!

ยินดีต้อนรับเข้าสู่บทที่ใช้งานได้จริงที่สุดบทหนึ่งในการเดินทางสาย P3 – การบริหารความเสี่ยง! ให้ลองจินตนาการว่า การตรวจสอบภายใน (Internal Audit - IA) เปรียบเสมือน "การตรวจสุขภาพ" ขององค์กร เหมือนเวลาที่คุณไปหาหมอเพื่อเช็กอัปดูว่าร่างกายยังทำงานได้ปกติก่อนที่ปัญหาเล็กๆ จะกลายเป็นโรคร้ายแรง บริษัทก็ใช้การตรวจสอบภายในนี่แหละครับ เพื่อให้มั่นใจว่ากระบวนการทำงาน ความเสี่ยง และระบบควบคุมต่างๆ ยังคงอยู่ในภาวะที่แข็งแรงและมีประสิทธิภาพ

ถ้ารู้สึกยากในตอนแรกหรือดูเป็นเรื่อง "องค์กร" จนเกินไป ไม่ต้องกังวลนะ เมื่ออ่านจบ คุณจะเห็นว่าหัวใจสำคัญของ IA ก็คือการถามคำถามง่ายๆ ว่า: "เรากำลังทำในสิ่งที่ตกลงกันไว้จริงไหม และมันทำงานได้ผลดีจริงหรือเปล่า?"

1. การตรวจสอบภายในคืออะไร?

ตามคำนิยามอย่างเป็นทางการ การตรวจสอบภายในคือ กิจกรรมให้ความเชื่อมั่นและให้คำปรึกษาที่เป็นอิสระและเที่ยงธรรม (independent, objective assurance and consulting activity) ซึ่งถูกออกแบบมาเพื่อเพิ่มคุณค่าและปรับปรุงการดำเนินงานขององค์กรให้ดียิ่งขึ้น

แนวคิดสำคัญ: สองบทบาทของ IA
1. การให้ความเชื่อมั่น (Assurance): สร้างความมั่นใจให้แก่ฝ่ายบริหารและคณะกรรมการว่าระบบควบคุมต่างๆ กำลังทำงานได้ผลดี
2. การให้คำปรึกษา (Consulting): ให้คำแนะนำเกี่ยวกับวิธีปรับปรุงกระบวนการและจัดการความเสี่ยงให้ดีขึ้น

เปรียบเทียบ: ลองนึกถึงผู้ตัดสินกีฬาอาชีพ พวกเขาไม่ได้ลงเล่นให้ทีมไหน (ความเป็นอิสระ) ตัดสินฟาวล์ตามสิ่งที่เห็นจริง (ความเที่ยงธรรม) และทำให้มั่นใจว่าเกมดำเนินไปตามกฎเพื่อให้ผลการแข่งขันออกมาอย่างยุติธรรม (การให้ความเชื่อมั่น)

สิ่งที่ต้องจำให้ขึ้นใจ:

การตรวจสอบภายในไม่ใช่แค่เรื่องของ "การจับผิดคน" แต่เป็นเรื่องของการช่วยให้องค์กรบรรลุเป้าหมาย โดยทำตัวเป็น "กัลยาณมิตรที่วิพากษ์อย่างตรงไปตรงมา" (Critical Friend)

2. ความเป็นอิสระและความเที่ยงธรรม

เพื่อให้การตรวจสอบภายในมีประโยชน์ จำเป็นอย่างยิ่งที่ต้อง ปราศจากอคติ (unbiased) หากคนที่ตรวจสอบงานเป็นคนเดียวกับคนที่ทำงานนั้นๆ ก็มีโอกาสที่จะปกปิดความผิดพลาดได้ นี่คือเหตุผลว่าทำไมความเป็นอิสระถึงสำคัญมาก

เราจะรักษาความเป็นอิสระได้อย่างไร?
ผู้ตรวจสอบภายในควรรายงาน เชิงหน้าที่ (Functionally) ต่อ คณะกรรมการตรวจสอบ (Audit Committee) (ซึ่งเป็นส่วนหนึ่งของคณะกรรมการบริษัท) และรายงาน เชิงบริหาร (Administratively) ต่อ CEO เท่านั้น ซึ่งหมายความว่า CEO จะมาไล่ผู้ตรวจสอบออกเพราะไปเจอความผิดพลาดในแผนกของ CEO ไม่ได้!

ข้อผิดพลาดที่พบบ่อย:
นักศึกษามักเข้าใจผิดว่าผู้ตรวจสอบภายในเป็น "คนนอก" เพราะเขามีความเป็นอิสระ แต่จริงๆ แล้วเขามักจะเป็นพนักงานของบริษัทนั่นแหละ เพียงแต่ สายการรายงาน (reporting line) ต่างหากที่ทำให้เขาเป็นอิสระจากการดำเนินงานประจำวัน

3. กฎบัตรการตรวจสอบภายใน (Internal Audit Charter)

กฎบัตรการตรวจสอบภายใน คือเอกสารที่เป็นทางการซึ่งกำหนดวัตถุประสงค์ อำนาจหน้าที่ และความรับผิดชอบของหน่วยงานตรวจสอบภายใน เปรียบเสมือน "สมุดกฎกติกา" ของแผนก IA

ข้างในมีอะไรบ้าง?
- ขอบเขตของงาน (สิ่งที่ตรวจสอบได้และไม่ได้)
- สิทธิ์ในการเข้าถึงเอกสาร พนักงาน และทรัพย์สินทั้งหมด
- ความสัมพันธ์ในการรายงานต่อคณะกรรมการตรวจสอบ

รู้หรือไม่? หากไม่มีกฎบัตรนี้ ผู้ตรวจสอบภายในอาจถูกปฏิเสธว่า "คุณไม่มีสิทธิ์ดูไฟล์เหล่านั้น" แต่กฎบัตรจะทำให้พวกเขามี "กุญแจเข้าอาคาร" เพื่อทำงานได้อย่างเต็มที่

4. ประเภทของการตรวจสอบภายใน

ผู้ตรวจสอบภายในไม่ได้ดูแค่บัญชีการเงิน แต่พวกเขาสวมหมวกได้หลายใบ:

การตรวจสอบด้านการเงิน (Financial Audit): ตรวจสอบว่าบันทึกทางการเงินถูกต้องหรือไม่ (แม้ว่านี่จะเป็นหน้าที่หลักของผู้สอบบัญชีภายนอก แต่ IA ก็อาจทำการตรวจสอบภายในเบื้องต้นได้)
การตรวจสอบด้านการดำเนินงาน (Operational Audit): ตรวจสอบว่ากระบวนการทำงาน (เช่น ระบบการจัดส่งสินค้าในคลัง) มีประสิทธิภาพและประสิทธิผลหรือไม่
การตรวจสอบด้านการปฏิบัติตามกฎเกณฑ์ (Compliance Audit): ตรวจสอบว่าบริษัทปฏิบัติตามกฎหมายและกฎระเบียบต่างๆ หรือไม่ (เช่น GDPR หรือมาตรฐานอาชีวอนามัยและความปลอดภัย)
การตรวจสอบด้านการบริหารจัดการ (Management Audit): ประเมินคุณภาพการตัดสินใจของฝ่ายบริหารและโครงสร้างองค์กร

ทบทวนสั้นๆ: หลัก 3 Es (การตรวจสอบความคุ้มค่า - Value for Money Audit)

เมื่อตรวจสอบเพื่อดู "ความคุ้มค่า" ผู้ตรวจสอบจะดูที่:
1. ประหยัด (Economy): เราซื้อปัจจัยนำเข้ามาในราคาที่ดีที่สุดหรือไม่? (จ่ายน้อยลง)
2. ประสิทธิภาพ (Efficiency): เราได้ผลผลิตสูงสุดจากทรัพยากรที่ใส่เข้าไปหรือไม่? (จ่ายอย่างคุ้มค่า)
3. ประสิทธิผล (Effectiveness): เราบรรลุเป้าหมายที่แท้จริงหรือไม่? (จ่ายอย่างชาญฉลาด)

5. กระบวนการตรวจสอบภายใน: ทีละขั้นตอน

การ "ปฏิบัติงาน" ตรวจสอบมักมี 4 ขั้นตอนหลัก ดังนี้:

ขั้นตอนที่ 1: การวางแผน (Planning)

เราไม่สามารถตรวจสอบทุกอย่างพร้อมกันได้ ทีม IA จะดูที่ ทะเบียนความเสี่ยง (Risk Register) ของบริษัท และตัดสินใจว่าพื้นที่ใดมีความเสี่ยงสูงที่สุด จากนั้นจึงกำหนด ขอบเขต (สิ่งที่ต้องตรวจสอบ) และ วัตถุประสงค์ (สิ่งที่ต้องการค้นหา)

ขั้นตอนที่ 2: การปฏิบัติงานภาคสนาม (Fieldwork)

นี่คือขั้นตอนที่ผู้ตรวจสอบเก็บรวบรวมหลักฐาน โดยใช้เทคนิคต่างๆ เช่น:
- การสังเกตการณ์ (Observation): ดูการทำงานจริง
- การสอบถาม (Inquiry): สัมภาษณ์พนักงาน
- การตรวจพินิจ (Inspection): ดูเอกสารและหลักฐานประกอบ
- การทำซ้ำ (Re-performance): ลองคำนวณหรือปฏิบัติตามขั้นตอนด้วยตัวเองดูว่าได้ผลลัพธ์เหมือนกันหรือไม่

ขั้นตอนที่ 3: การรายงานผล (Reporting)

ผู้ตรวจสอบจะเขียนรายงาน ซึ่งมักจะประกอบด้วย สิ่งที่ตรวจพบ (findings), ผลกระทบ (implications) (สิ่งที่อาจผิดพลาดจากจุดนี้), และ ข้อเสนอแนะ (recommendations) (วิธีแก้ไข) รายงานนี้จะถูกส่งไปยังฝ่ายบริหารและคณะกรรมการตรวจสอบ

ขั้นตอนที่ 4: การติดตามผล (Follow-up)

นี่คือขั้นตอนที่สำคัญที่สุดและมักถูกลืม! ผู้ตรวจสอบจะกลับมาดูภายหลังว่าฝ่ายบริหารได้ปฏิบัติตามข้อเสนอแนะจริงหรือไม่ หากยังไม่ได้ทำ ความเสี่ยงนั้นก็จะยังคงอยู่

สิ่งที่ต้องจำให้ขึ้นใจ:

การตรวจสอบไม่ได้สิ้นสุดเมื่อเขียนรายงานเสร็จ แต่สิ้นสุดเมื่อความเสี่ยงได้รับการจัดการแล้วต่างหาก

6. การตรวจสอบภายใน vs. การตรวจสอบภายนอก

นี่เป็นหัวข้อโปรดของข้อสอบเลย ลองเปรียบเทียบง่ายๆ แบบนี้:

การตรวจสอบภายใน (Internal Audit):
- คือใคร? พนักงานในบริษัทหรือบริษัทภายนอกที่จ้างมา
- รายงานต่อใคร? คณะกรรมการบริษัท/คณะกรรมการตรวจสอบ
- วัตถุประสงค์? เพื่อปรับปรุงการดำเนินงานและจัดการความเสี่ยง
- เน้นที่? ความเสี่ยงในอดีต ปัจจุบัน และ อนาคต

การตรวจสอบภายนอก (External Audit):
- คือใคร? บริษัทบัญชีอิสระจากภายนอก (เช่น KPMG, PwC)
- รายงานต่อใคร? ผู้ถือหุ้น
- วัตถุประสงค์? เพื่อแสดงความเห็นว่าข้อมูลงบการเงินนั้น "ถูกต้องตามความเป็นจริงหรือไม่"
- เน้นที่? ข้อมูลทางการเงินย้อนหลัง

เทคนิคช่วยจำ: Internal สำหรับ Inside (คนใน/ฝ่ายบริหาร), External สำหรับ Everyone else (คนอื่นๆ/ผู้ถือหุ้น)

7. ความสัมพันธ์กับคณะกรรมการตรวจสอบ

คณะกรรมการตรวจสอบ (Audit Committee) (ซึ่งเป็นอนุกรรมการของคณะกรรมการบริษัท ประกอบด้วยกรรมการที่ไม่เป็นผู้บริหาร) ทำหน้าที่เป็น "ผู้คุ้มกัน" ให้กับผู้ตรวจสอบภายใน พวกเขาจะดูแลให้ทีม IA มีทรัพยากรเพียงพอ ได้รับการรับฟังจากฝ่ายบริหาร และยังคงความเป็นอิสระไว้เสมอ

ทำไมเรื่องนี้ถึงสำคัญ?
ถ้าผู้จัดการคนไหนกำลังทุจริต เขาจะพยายามหยุดผู้ตรวจสอบภายใน คณะกรรมการตรวจสอบจึงเป็นช่องทางที่ปลอดภัยในการแจ้งเบาะแส เพื่อให้ผู้ตรวจสอบสามารถรายงานปัญหาไปยังระดับสูงสุดได้โดยไม่มีอันตราย

เช็กลิสต์สรุปเพื่อความสำเร็จ

ก่อนจะไปยังบทถัดไป ลองเช็กดูว่าคุณตอบคำถามเหล่านี้ได้ไหม:
- ทำไมความเป็นอิสระถึงสำคัญต่อผู้ตรวจสอบภายใน?
- 4 ขั้นตอนของกระบวนการตรวจสอบมีอะไรบ้าง?
- การตรวจสอบภายในต่างจากการตรวจสอบภายนอกอย่างไร?
- หลัก "3 Es" ในการตรวจสอบความคุ้มค่าคืออะไร?

สู้ต่อไปนะ! คุณทำได้ดีมากแล้ว การตรวจสอบภายในเป็นเรื่องของตรรกะและการรักษาธุรกิจให้เดินไปบนทางที่ถูกต้อง พอคุณเข้าใจการเปรียบเทียบกับ "ผู้ตัดสินกีฬา" แล้ว ที่เหลือก็ไม่ยากเลย!