ยินดีต้อนรับเข้าสู่ช่วง "นักสืบ" ของการสอบบัญชี!

สวัสดีว่าที่ CPA ทุกคน! วันนี้เราจะมาเจาะลึกส่วนที่สำคัญที่สุดส่วนหนึ่งของการสอบ AUD นั่นก็คือ การประเมินและการตอบสนองต่อความเสี่ยง (Assessing and Responding to Risk) ให้คิดซะว่าช่วงนี้คือช่วง "นักสืบ" ของการตรวจสอบครับ ก่อนที่คุณจะเริ่มติ๊กช่องตรวจสอบรายการต่างๆ คุณต้องหาให้เจอก่อนว่า "ผู้ร้าย" (ข้อผิดพลาดหรือการทุจริต) ซ่อนตัวอยู่ที่ไหน ถ้าคุณข้ามส่วนนี้ไป คุณอาจจะไปตรวจผิดที่ผิดทางจนพลาดข้อผิดพลาดใหญ่ๆ ไปได้เลยนะ!

ถ้ารู้สึกว่าเนื้อหาดูเยอะในตอนแรก ไม่ต้องกังวลนะครับ เราจะค่อยๆ ย่อยมันทีละสเต็ป โดยใช้การเปรียบเทียบง่ายๆ และเทคนิคช่วยจำเพื่อให้เข้าใจได้แม่นยำขึ้น มาเริ่มกันเลย!

1. การทุจริต (Fraud) vs. ข้อผิดพลาด (Error): ต่างกันอย่างไร?

ในการสอบบัญชี เรากำลังมองหา ข้อมูลที่แสดงความไม่ถูกต้องที่สำคัญ (Material Misstatements) ซึ่งเกิดขึ้นได้ 2 รูปแบบ คือ ข้อผิดพลาด (Error) หรือ การทุจริต (Fraud)

• ข้อผิดพลาด (Error): คือความผิดพลาดที่ไม่ได้ตั้งใจ ตัวอย่างเช่น: พนักงานบัญชีเผลอพิมพ์ตัวเลข 5,000 แทนที่จะเป็น 500 เขาไม่ได้ตั้งใจทำ มันเป็นแค่ความผิดพลาดที่เกิดขึ้นแบบไม่ได้ตั้งใจ (Oops!)
• การทุจริต (Fraud): คือความผิดพลาดที่ ตั้งใจทำ มีคนพยายามหลอกลวงผู้ใช้งบการเงิน ตัวอย่างเช่น: ผู้จัดการจงใจปั่นตัวเลขยอดขายให้สูงเกินจริงเพื่อหวังโบนัสก้อนใหญ่ปลายปี

ประเด็นสำคัญ: ข้อแตกต่างหลักระหว่างการทุจริตกับข้อผิดพลาดคือ "เจตนา" (Intent) ในฐานะผู้สอบบัญชี เราต้องกังวลกับทั้งสองอย่าง แต่การทุจริตจะตรวจจับได้ยากกว่ามาก เพราะคนทำพยายามปกปิดมันไว้นั่นเอง!

2. สามเหลี่ยมแห่งการทุจริต (The Fraud Triangle)

เพื่อระบุว่าการทุจริตอาจเกิดขึ้นที่ไหน เราจะดูองค์ประกอบ 3 อย่าง ถ้าครบทั้ง 3 อย่างนี้ ความเสี่ยงที่จะเกิดการทุจริตจะสูงมาก ให้คิดซะว่านี่คือ "สูตรลับของความไม่สุจริต"

คำช่วยจำ: I.O.R. (Incentive, Opportunity, Rationalization)

1. แรงจูงใจ/แรงกดดัน (Incentives/Pressures): เหตุผล ที่ว่าทำไม ใครบางคนถึงต้องทุจริต เช่น มีหนี้ส่วนตัวเยอะ หรือบริษัทจะล้มละลายถ้าทำเป้ากำไรไม่ถึง
2. โอกาส (Opportunity): วิธีการ ทำได้อย่างไร มักเกิดขึ้นเมื่อระบบควบคุมภายในอ่อนแอ ถ้าไม่มีใครตรวจสอบยอดเงินในธนาคาร ก็เป็นเรื่องง่ายที่จะขโมยเงินไป
3. การหาเหตุผลเข้าข้างตนเอง/ทัศนคติ (Rationalization/Attitude): วิธี คิด ในใจ คนทำจะหาเหตุผลมาสนับสนุนการกระทำของตัวเอง เช่น "ก็แค่ 'ยืม' เงินไปก่อน" หรือ "บริษัทปฏิบัติกับเราไม่ดีเอง ก็ถือว่าบริษัทติดค้างเราละกัน"

การเปรียบเทียบ: ลองนึกภาพโหลคุกกี้ดู ถ้าเด็กหิว (แรงจูงใจ) ฝาโหลเปิดทิ้งไว้ (โอกาส) และเด็กคิดว่า "แม่คงไม่ว่าอะไรหรอก" (การหาเหตุผลเข้าข้างตนเอง) คุกกี้ชิ้นนั้นหายไปแน่นอน!

3. กระบวนการประเมินความเสี่ยง (Risk Assessment Procedures)

เราจะพบความเสี่ยงเหล่านี้ได้อย่างไร? เรามีเครื่องมือหลายอย่าง จำคำย่อ "I-A-I-O" ไว้ครับ:

• Inquiry (การสอบถาม): พูดคุยกับฝ่ายบริหารและคนในบริษัท ถามเขาไปตรงๆ ว่า "คุณทราบถึงการทุจริตที่อาจเกิดขึ้นหรือไม่?"
• Analytical Procedures (การวิเคราะห์เปรียบเทียบ): ดูตัวเลข รายได้ปีนี้สูงผิดปกติเมื่อเทียบกับปีที่แล้วหรือไม่? (สิ่งนี้ จำเป็นต้องทำ ในช่วงวางแผนการตรวจสอบ!)
• Inspection (การตรวจเอกสาร): ดูเอกสาร บันทึก หรือสินทรัพย์ที่มีตัวตน
• Observation (การสังเกตการณ์): เฝ้าดูพนักงานทำงาน ว่าพวกเขาทำตามกฎจริงๆ หรือเปล่า?

รู้หรือไม่? ในช่วงประเมินความเสี่ยง ทีมสอบบัญชีต้องจัดให้มีการ "ประชุมระดมสมอง" (Brainstorming Session) ซึ่งเป็นการประชุมบังคับที่ทีมงานต้องคุยกันว่า งบการเงินมีโอกาสถูกบิดเบือนจากการทุจริตได้ที่ไหนบ้างและอย่างไร

4. การระบุความเสี่ยงที่มีนัยสำคัญ (Identifying Significant Risks)

ไม่ใช่ทุกความเสี่ยงจะมีระดับความสำคัญเท่ากัน บางอย่างถือเป็น "ความเสี่ยงที่มีนัยสำคัญ" ที่ต้องใช้ความระมัดระวังเป็นพิเศษ ตามมาตรฐาน PCAOB และ AICPA มี 2 ความเสี่ยงที่คุณ ต้อง ตีความไว้ก่อนเสมอว่ามีอยู่จริง:

1. การที่ฝ่ายบริหารใช้อำนาจเหนือการควบคุม (Management Override of Controls): ต่อให้บริษัทมีกฎที่ดีแค่ไหน "เจ้านาย" ก็มักจะข้ามกฎเหล่านั้นได้ นี่คือความเสี่ยงในการทุจริตระดับสูง
2. การรับรู้รายได้ (Revenue Recognition): เนื่องจากรายได้เป็นตัวเลขสำคัญมากสำหรับนักลงทุน จึงมีความเสี่ยงสูงเสมอที่บริษัทจะพยายาม "แต่งตัวเลข" เพื่อให้มียอดขายมากกว่าความเป็นจริง

ข้อควรจำ: ถ้าคุณตัดสินใจที่จะ ไม่ ระบุว่าการรับรู้รายได้เป็นความเสี่ยงจากการทุจริต คุณต้องจัดทำเอกสารบันทึกเหตุผลให้ชัดเจนว่าทำไมคุณถึงคิดแบบนั้น มันสำคัญขนาดนั้นเลยครับ!

5. การตอบสนองต่อความเสี่ยง (Responding to the Risk)

เมื่อพบความเสี่ยงแล้ว คุณจะนั่งเฉยๆ ไม่ได้ ต้องลงมือทำอะไรบางอย่าง! เราจะตอบสนองใน 2 ระดับ:

A. ระดับงบการเงิน (Financial Statement Level - การตอบสนองในภาพรวม)

เป็นการปรับเปลี่ยนแนวทางการตรวจสอบในภาพรวม ถ้าความเสี่ยงสูง คุณอาจจะต้อง:
• จัดสรรพนักงานที่มีประสบการณ์มากกว่ามาทำทีมตรวจสอบ
• เพิ่ม ความสงสัยเยี่ยงผู้ประกอบวิชาชีพ (Professional Skepticism) (ต้องมี "ความคิดเชิงตั้งคำถาม" ตลอดเวลา)
• แทรก "ความไม่สามารถคาดเดาได้" (อย่าบอกลูกค้าทุกอย่างว่าจะตรวจสอบเรื่องไหนบ้าง!)

B. ระดับการแสดงข้อมูล (Assertion Level - การตอบสนองเฉพาะจุด)

ตรงนี้คือจุดที่เราปรับ "N.E.T." ของเรา:

• N - Nature (ลักษณะ): ใช้การทดสอบที่น่าเชื่อถือมากขึ้น (เช่น ขอการยืนยันยอดจากธนาคารโดยตรง แทนที่จะดูแค่ตาราง Excel ของลูกค้า)
• E - Extent (ขอบเขต): เพิ่มขนาดกลุ่มตัวอย่าง เช่น จากเดิมตรวจ 10 รายการ ให้เพิ่มเป็น 100 รายการ
• T - Timing (จังหวะเวลา): ทำงาน ณ วันสิ้นปี แทนที่จะทำระหว่างงวด (เช่น เดือนตุลาคม)

ทบทวนสั้นๆ: ถ้าความเสี่ยงจากการแสดงข้อมูลที่ผิดพลาด (RMM) เพิ่มขึ้น เราต้องลด ความเสี่ยงจากการตรวจสอบไม่พบ (Detection Risk - DR) โดยการทำงานให้มากขึ้น เราใช้โมเดลความเสี่ยงการตรวจสอบดังนี้:
\( AR = IR \times CR \times DR \)
โดยที่ IR คือความเสี่ยงสืบเนื่อง (Inherent Risk) และ CR คือความเสี่ยงจากการควบคุม (Control Risk)

6. การสื่อสารและการจัดทำเอกสาร

ถ้าคุณพบหลักฐานการทุจริต คุณควรทำอย่างไร?

• ถ้าเป็นเรื่องเล็กน้อย: แจ้งฝ่ายบริหารระดับที่เหมาะสม (ปกติคือระดับที่สูงกว่าผู้ที่มีส่วนเกี่ยวข้อง)
• ถ้าเป็นเรื่องใหญ่ (เกี่ยวข้องกับผู้บริหารระดับสูงหรือข้อมูลสำคัญ): รายงานโดยตรงไปยัง ผู้มีหน้าที่ในการกำกับดูแล (Those Charged with Governance) เช่น คณะกรรมการตรวจสอบหรือคณะกรรมการบริษัท

ความผิดพลาดที่พบบ่อย: ผู้สอบบัญชี ไม่ควร รายงานการทุจริตต่อตำรวจหรือ กลต. โดยตรง งานของเราคือการรายงานต่อผู้นำองค์กรของลูกค้า ยกเว้นในบางกรณีที่หายากมาก (เช่น กรณีได้รับหมายเรียกหรือข้อกำหนดทางกฎหมายบางประการ) ถึงจะแจ้งบุคคลภายนอก

สรุป: ประเด็นสำคัญสำหรับวันสอบ

1. การทุจริตคือการตั้งใจ; ข้อผิดพลาดคือไม่ได้ตั้งใจ
2. สามเหลี่ยมแห่งการทุจริตคือ แรงจูงใจ, โอกาส, และการหาเหตุผลเข้าข้างตนเอง
3. คุณต้องทำการวิเคราะห์เปรียบเทียบและมีการประชุมระดมสมองของทีมงานในระหว่างการวางแผน
4. ต้องสมมติเสมอว่าการที่ฝ่ายบริหารใช้อำนาจเหนือการควบคุมและการรับรู้รายได้เป็นความเสี่ยง
5. ตอบสนองต่อความเสี่ยงโดยการปรับลักษณะ (Nature), ขอบเขต (Extent), และจังหวะเวลา (Timing) ของวิธีการตรวจสอบ (N.E.T.)
6. รายงานการทุจริตไปยังระดับบริหารและผู้มีหน้าที่ในการกำกับดูแลที่เหมาะสม

คุณทำได้อยู่แล้ว! การประเมินความเสี่ยงคือรากฐานของการตรวจสอบทั้งหมด เมื่อคุณเชี่ยวชาญการหาความเสี่ยงได้แล้ว กระบวนการสอบบัญชีที่เหลือก็จะเริ่มเข้าใจง่ายขึ้นมาก สู้ต่อไปนะครับ!