Audit of computerised systems

ยินดีต้อนรับสู่โลกของการตรวจสอบระบบไอที (IT Auditing)!

สวัสดีครับ! อย่าเพิ่งให้คำว่า "ระบบคอมพิวเตอร์" (Computerised Systems) มาทำให้เรากลัวไปเลยครับ แม้มันจะฟังดูเป็นเรื่องที่เข้าใจได้เฉพาะคนที่เก่งเทคโนโลยีมากๆ แต่สำหรับผู้สอบบัญชีแล้ว มันคือแค่การทำความเข้าใจว่าธุรกิจนั้นใช้เทคโนโลยีในการบันทึกรายการค้าอย่างไรก็เท่านั้นเอง ในปัจจุบันที่ธุรกิจแทบทุกแห่งในฮ่องกง ไม่ว่าจะเป็นร้านน้ำชาเล็กๆ ไปจนถึงธนาคารระดับโลก ล้วนใช้คอมพิวเตอร์ในการดำเนินงาน ดังนั้นการเข้าใจบทนี้จึง จำเป็นอย่างยิ่ง ต่อเส้นทางการสอบ HKICPA QP ของคุณครับ

ในบทนี้ เราจะมาสำรวจกันว่าระบบไอทีส่งผลกระทบต่อการวางแผนการตรวจสอบของเราอย่างไร อะไรที่อาจผิดพลาดได้ในสภาพแวดล้อมดิจิทัล และเราจะใช้เครื่องมืออะไรมาช่วยให้การตรวจสอบของเรามีประสิทธิภาพยิ่งขึ้น มาเริ่มลุยกันเลย!

1. ทำไมสภาพแวดล้อมทางไอทีถึงสำคัญต่อผู้สอบบัญชี?

ใน "สมัยก่อน" ผู้สอบบัญชีจะดูสมุดบัญชีที่เป็นกระดาษ แต่ปัจจุบันข้อมูลถูกจัดเก็บไว้บนคลาวด์หรือเซิร์ฟเวอร์ สิ่งนี้ทำให้ วิธีการ ตรวจสอบของเราเปลี่ยนไป แต่ไม่ได้เปลี่ยน สิ่งที่เรากำลังมองหา (ซึ่งก็คือความถูกต้องและความเป็นธรรมในงบการเงินนั่นเอง)

ประเด็นสำคัญ: หากระบบคอมพิวเตอร์ของบริษัทขาดความน่าเชื่อถือ ข้อมูลทางการเงินที่ผลิตออกมาก็มักจะขาดความน่าเชื่อถือไปด้วย ดังนั้นเราจึงต้องประเมินความเสี่ยงด้านไอทีในระหว่างขั้นตอน การวางแผนการตรวจสอบ (Audit Planning) ครับ

ความเสี่ยงด้านไอทีที่พบบ่อยซึ่งต้องระวัง:

• การเข้าถึงโดยไม่ได้รับอนุญาต (Unauthorised access): มีคนแอบ "แฮ็ก" เข้ามาเปลี่ยนตัวเลข
• การสูญหายของข้อมูล (Data loss): ระบบล่มโดยไม่มีการสำรองข้อมูล (ลองจินตนาการว่าทำสรุปบทเรียนหายทั้งหมดก่อนสอบสิครับ!)
• ข้อผิดพลาดของระบบ (System errors): บั๊กในซอฟต์แวร์ที่คำนวณค่าเสื่อมราคาผิดพลาดพร้อมกันถึง 10,000 รายการ
• การขาดร่องรอยการตรวจสอบ (Lack of an audit trail): เมื่อรายการถูกลบออกไปโดยไม่เหลือ "ร่องรอยเอกสาร" ให้ตรวจสอบ

2. "สองเสาหลัก" ของการควบคุมระบบไอที

เพื่อให้เข้าใจง่ายขึ้น ผู้สอบบัญชีจะแบ่งการควบคุมไอทีออกเป็น 2 ประเภทหลัก ได้แก่ การควบคุมทั่วไปด้านไอที (General IT Controls - GITCs) และ การควบคุมระดับแอปพลิเคชัน (Application Controls) การเข้าใจความแตกต่างนี้สำคัญมากสำหรับการสอบของคุณครับ!

A. การควบคุมทั่วไปด้านไอที (GITCs)

ให้มองว่า GITCs เปรียบเสมือน "ร่ม" หรือ "รปภ." ที่ยืนเฝ้าหน้าประตูอาคาร พวกเขาไม่ได้ตรวจสอบรายการค้าเป็นรายชิ้น แต่ทำหน้าที่สร้างความมั่นใจว่าสภาพแวดล้อมโดยรวมนั้นปลอดภัย

ส่วนประกอบสำคัญของ GITCs (จำง่ายๆ ด้วยคำย่อ "P.O.D.S."):

1. Program Changes: ตรวจสอบให้มั่นใจว่ามีการเปลี่ยนแปลงซอฟต์แวร์โดยผู้ที่มีอำนาจและผ่านการทดสอบแล้วเท่านั้น
2. Operations: ตรวจสอบให้แน่ใจว่าระบบทำงานอย่างราบรื่นและมีการสำรองข้อมูลทุกวัน
3. Development: ตรวจสอบให้มั่นใจว่าระบบใหม่ถูกซื้อหรือสร้างขึ้นมาอย่างถูกต้อง
4. Security (Access): ใช้รหัสผ่านและไฟร์วอลล์เพื่อให้แน่ใจว่าเฉพาะคนที่เกี่ยวข้องเท่านั้นที่เข้าถึงระบบได้

B. การควบคุมระดับแอปพลิเคชัน (Application Controls)

นี่คือ "กฎเฉพาะ" ที่ถูกเขียนไว้ในโปรแกรมซอฟต์แวร์แต่ละตัว (เช่น ระบบขาย หรือระบบเงินเดือน) เพื่อสร้างความมั่นใจว่าข้อมูลที่ป้อนเข้านั้นถูกต้องและครบถ้วน

การควบคุมระดับแอปพลิเคชันที่พบบ่อย:

• การตรวจสอบรูปแบบ (Format Checks): ตรวจสอบให้แน่ใจว่าช่องกรอกเบอร์โทรศัพท์มีแต่ตัวเลข ไม่ใช่ตัวอักษร
• การตรวจสอบช่วงข้อมูล (Range Checks): ตรวจสอบว่าราคาสินค้าอยู่ระหว่าง $1 ถึง $1,000
• เลขตรวจสอบ (Check Digits): สูตรทางคณิตศาสตร์เพื่อตรวจสอบว่าเลขที่บัญชีถูกต้องหรือไม่
• ยอดรวมต่อชุด (Batch Totals): การรวมยอดใบแจ้งหนี้ 50 ใบด้วยมือแล้วนำมาเทียบกับยอดรวมของระบบ เพื่อดูว่ามีรายการใดตกหล่นหรือไม่

ทบทวนสั้นๆ: ถ้า GITCs อ่อนแอ (เช่น ทุกคนรู้รหัสผ่านแอดมินเหมือนกันหมด) เราก็ไม่สามารถเชื่อใจการควบคุมระดับแอปพลิเคชันได้ แม้ว่ามันจะดูดีในเอกสารก็ตาม!

3. แนวทางการตรวจสอบ: การตรวจสอบ "รอบ" ระบบ vs "ผ่าน" ระบบ

เมื่อคุณวางแผนการตรวจสอบ คุณต้องตัดสินใจว่าจะ "เข้าไปแตะ" ระบบคอมพิวเตอร์มากน้อยเพียงใด

แนวทางที่ 1: การตรวจสอบ "รอบ" ระบบ (Auditing "Around" the Computer)

เหมือนกับการมองคอมพิวเตอร์เป็น "กล่องดำ" (Black Box) คุณดูแค่ ข้อมูลนำเข้า (Inputs) เช่น ใบแจ้งหนี้ และ ข้อมูลนำออก (Outputs) เช่น รายงานทางการเงิน แล้วดูว่ามันตรงกันไหม โดยไม่ต้องสนใจว่าคอมพิวเตอร์ประมวลผลอย่างไร

เมื่อไหร่ที่ควรใช้: ใช้สำหรับระบบที่ง่ายมากๆ และมีร่องรอยกระดาษจำนวนมากเท่านั้น

แนวทางที่ 2: การตรวจสอบ "ผ่าน" ระบบ (Auditing "Through" the Computer)

นี่คือการ "เปิดกล่อง" ออกมาดู คุณทดสอบตรรกะการทำงานจริงๆ ภายในคอมพิวเตอร์ ซึ่งจำเป็นเมื่อระบบมีความซับซ้อนและไม่มีร่องรอยกระดาษหลงเหลืออยู่

เมื่อไหร่ที่ควรใช้: สำหรับการตรวจสอบสมัยใหม่เกือบทั้งหมด ซึ่งเกี่ยวข้องกับการทดสอบการควบคุมที่เราคุยกันไปข้างต้น (ทั้ง GITCs และ Application Controls)

4. CAATs: อาวุธลับของผู้สอบบัญชี

CAATs ย่อมาจาก Computer-Assisted Audit Techniques ไม่ต้องกังวลหากฟังดูยาก ให้คิดซะว่า CAATs คือ "ซอฟต์แวร์สำหรับผู้สอบบัญชี" โดยมี 2 ประเภทหลักที่คุณต้องรู้ในระดับ Associate:

ประเภทที่ 1: ซอฟต์แวร์ช่วยตรวจสอบ (Audit Software)

เป็นซอฟต์แวร์ที่ผู้สอบบัญชีใช้เพื่อ ดึงข้อมูล (Interrogate) จากข้อมูลของลูกค้า มันสามารถทำงานได้เร็วกว่ามนุษย์มาก

• หน้าที่ของมัน: การเลือกกลุ่มตัวอย่าง, การคำนวณยอดรวมซ้ำ, การระบุเลขที่ใบแจ้งหนี้ที่หายไป

ประเภทที่ 2: ข้อมูลทดสอบ (Test Data)

คือการที่ผู้สอบบัญชี "หลอก" ระบบของลูกค้าโดยการป้อนข้อมูลปลอมเข้าไปเพื่อดูว่าระบบสามารถตรวจจับข้อผิดพลาดได้หรือไม่

ข้อผิดพลาดที่ควรหลีกเลี่ยง: นักศึกษามักสับสนสองอย่างนี้ จำไว้นะครับ: Audit Software ดูที่ ข้อมูลจริง (Real Data) ส่วน Test Data ใช้ ข้อมูลปลอม (Fake Data) เพื่อทดสอบตรรกะของระบบ

5. ผลกระทบต่อการวางแผนการตรวจสอบ ("ภาพรวม")

เมื่อคุณวางแผนแนวทางการตรวจสอบ ระบบคอมพิวเตอร์จะมีผลต่อ 3 เรื่องนี้:

1. จังหวะเวลา (Timing): คุณอาจต้องทดสอบข้อมูลตลอดทั้งปี เพราะข้อมูลดิจิทัลสามารถถูกลบหรือเขียนทับได้
2. การจัดสรรบุคลากร (Staffing): คุณอาจต้องดึงผู้เชี่ยวชาญด้านการตรวจสอบไอทีมาช่วยหากระบบมีความซับซ้อนมาก (เช่น ระบบ ERP)
3. การประเมินความเสี่ยง (Risk Assessment): หากการควบคุมด้านไอทีแข็งแกร่ง คุณสามารถลด ความเสี่ยงจากการควบคุม (Control Risk) และทำการทดสอบยอดคงเหลือด้วยวิธี "ใช้มือทำ" (manual testing) ณ วันสิ้นปีให้น้อยลงได้

เช็คลิสต์สำหรับความสำเร็จ

ก่อนจะไปต่อ ตรวจสอบให้มั่นใจว่าคุณตอบคำถามเหล่านี้ได้:

• อธิบายความแตกต่างระหว่าง GITC กับ Application Control ได้หรือไม่? (คำใบ้: ร่ม vs กฎเฉพาะ)
• รู้ความแตกต่างระหว่าง Audit Software กับ Test Data หรือยัง?
• ทำไมเราถึงต้องใส่ใจเรื่องการควบคุมไอทีตั้งแต่ขั้นตอน การวางแผน? (คำใบ้: มันส่งผลต่อการประเมินความเสี่ยงของเรา)

สิ่งที่อยากให้จำไปใช้: ในการตรวจสอบที่ใช้คอมพิวเตอร์ เราไม่ได้ตรวจสอบแค่ตัวเลข แต่เราตรวจสอบ ระบบ ที่สร้างตัวเลขเหล่านั้นขึ้นมา หากระบบมีความปลอดภัย (GITC) และทำตามกฎ (Application Controls) งานในฐานะผู้สอบบัญชีของเราก็จะง่ายและมีประสิทธิภาพขึ้นเยอะเลยครับ!