ยินดีต้อนรับสู่บทเรียนการวางแผนและการใช้ผลงานของผู้อื่น!

สวัสดีว่าที่ CPA ทุกคน! วันนี้เราจะมาเจาะลึกส่วนสำคัญใน Area II: การประเมินความเสี่ยงและการพัฒนาวิธีการตอบสนองต่อความเสี่ยงที่วางแผนไว้ ในฐานะผู้สอบบัญชี คุณเปรียบเสมือนซูเปอร์ฮีโร่ แต่แม้แต่ฮีโร่ก็ยังต้องการทีมสนับสนุน คุณไม่สามารถเป็นผู้เชี่ยวชาญในทุกเรื่องได้ ตั้งแต่การประเมินมูลค่าเหมืองเพชรไปจนถึงการเขียนโปรแกรมที่ซับซ้อนของระบบจ่ายเงินเดือนระดับโลก นี่คือเหตุผลที่เราต้องใช้ "ผลงานของผู้อื่น"

ในบทนี้ เราจะเรียนรู้วิธีการวางแผนและการใช้ผลงานของ ผู้ตรวจสอบภายใน (Internal Auditors), ผู้เชี่ยวชาญ (Specialists) และ ผู้ให้บริการภายนอก (Service Organizations) อย่างเหมาะสม เป้าหมายคือการทำให้การตรวจสอบของคุณมีประสิทธิภาพมากขึ้นโดยไม่ลดทอนคุณภาพลง ถ้ารู้สึกว่ามีความรับผิดชอบเยอะ ไม่ต้องกังวลนะ เราจะค่อยๆ ย่อยให้เข้าใจทีละขั้นตอนเอง!

1. การใช้ผลงานของผู้เชี่ยวชาญของผู้สอบบัญชี (Auditor’s Specialist)

บางครั้งหลักฐานที่เราต้องการอยู่นอกเหนือโลกของ "เดบิตและเครดิต" หากคุณจำเป็นต้องประเมินมูลค่าภาพวาดของปิกัสโซ่ที่เก็บรักษาในพิพิธภัณฑ์ หรือประเมินปริมาณน้ำมันที่เหลืออยู่ในบ่อใต้ดิน คุณจำเป็นต้องอาศัย ผู้เชี่ยวชาญของผู้สอบบัญชี

พวกเขาคือใคร? คือผู้เชี่ยวชาญในสาขาอื่นที่ไม่ใช่การบัญชีหรือการตรวจสอบบัญชี (เช่น นักประเมินราคาทรัพย์สิน, วิศวกร, นักคณิตศาสตร์ประกันภัย หรือนักธรณีวิทยา)

วิธีการประเมินผู้เชี่ยวชาญ

คุณไม่สามารถเลือกใครก็ได้จากข้างถนน แต่ต้องประเมิน 3 สิ่งนี้ (เทคนิคช่วยจำ: "C-C-O"):
1. Competence (ความรู้ความสามารถ): พวกเขามีใบรับรองและประสบการณ์ที่เหมาะสมหรือไม่?
2. Capability (ขีดความสามารถ): พวกเขามีเวลาและทรัพยากรเพียงพอที่จะทำงานเฉพาะทางนี้หรือไม่?
3. Objectivity (ความเป็นกลาง): พวกเขามีความเป็นอิสระหรือไม่? ถ้าผู้เชี่ยวชาญเป็นพี่ชายของ CEO นั่นคือสัญญาณอันตราย (Red Flag) แล้วล่ะ!

การทำงานร่วมกับผู้เชี่ยวชาญ

คุณต้องมีข้อตกลงที่เป็นลายลักษณ์อักษรกับพวกเขา ลองนึกว่ามันคือ "สัญญา" ที่ครอบคลุมเนื้อหาดังนี้:

  • ธรรมชาติ ขอบเขต และวัตถุประสงค์ของงาน
  • บทบาทและความรับผิดชอบของทั้งผู้สอบบัญชีและผู้เชี่ยวชาญ
  • รูปแบบการสื่อสาร (พวกเขาจะรายงานผลให้คุณทราบอย่างไร?)
  • ความจำเป็นในการ รักษาความลับ

กฎสำคัญ: ถึงแม้คุณจะใช้ผลงานของผู้เชี่ยวชาญ แต่ ตัวคุณ (ผู้สอบบัญชี) คือผู้รับผิดชอบเพียงผู้เดียวต่อความเห็นในการสอบบัญชี คุณไม่ควรกล่าวถึงชื่อผู้เชี่ยวชาญในรายงานที่มีความเห็นแบบ ไม่มีเงื่อนไข (Unmodified Opinion) เว้นแต่กฎหมายจะบังคับ คุณจะกล่าวถึงพวกเขาก็ต่อเมื่อผลงานของพวกเขานำไปสู่การ ดัดแปลง ความเห็นของคุณเท่านั้น (เช่น การแสดงความเห็นแบบมีเงื่อนไข หรือไม่แสดงความเห็น)

สรุปสั้นๆ: ผู้เชี่ยวชาญของผู้สอบบัญชีช่วยในเรื่องที่ไม่ใช่บัญชี คุณต้องตรวจสอบ C-C-O ของพวกเขา และคุณยังคงรับผิดชอบ 100% สำหรับรายงานฉบับสุดท้าย

2. การใช้ผลงานของผู้ตรวจสอบภายใน (Internal Auditors - IA)

บริษัทใหญ่ส่วนใหญ่มีแผนก ตรวจสอบภายใน ของตัวเอง พวกเขาเป็นพนักงานของลูกค้า แต่หน้าที่หลักคือการทดสอบการควบคุมและตรวจหาข้อผิดพลาด ทำไมเราต้องทำงานซ้ำในสิ่งที่พวกเขาทำไปแล้วล่ะ?

วิธีการใช้ผลงานของผู้ตรวจสอบภายในมี 2 แบบ

1. การใช้ผลงานที่ทำเสร็จแล้ว: คุณตรวจสอบรายงานที่พวกเขาทำเสร็จไปแล้วระหว่างปี
2. การให้ความช่วยเหลือโดยตรง (Direct Assistance): คุณขอให้พวกเขาช่วยทำงานตรวจสอบเฉพาะอย่างภายใต้การกำกับดูแลของคุณ

เราจะเชื่อใจพวกเขาได้ไหม?

ก่อนจะใช้ผลงานของพวกเขา คุณต้องประเมิน:
1. Objectivity (ความเป็นกลาง): พวกเขารายงานตรงต่อใคร? หากรายงานต่อ CFO (คนที่พวกเขากำลังตรวจสอบงานอยู่) พวกเขาก็อาจจะไม่มีความเป็นกลางนัก โดยอุดมคติควรรายงานต่อ คณะกรรมการตรวจสอบ (Audit Committee)
2. Competence (ความรู้ความสามารถ): พวกเขามีคุณสมบัติทางวิชาชีพหรือไม่ (เช่น CIA หรือ CPA)? มีโปรแกรมฝึกอบรมที่ดีไหม?
3. Systematic and Disciplined Approach (แนวทางที่เป็นระบบและมีระเบียบ): พวกเขามีเช็คลิสต์และขั้นตอนการปฏิบัติงานที่เป็นเอกสารหรือไม่?

สิ่งที่พวกเขาทำ "ไม่ได้"?

ผู้ตรวจสอบภายในไม่มีความเป็นอิสระ ดังนั้น คุณห้ามให้พวกเขาตัดสินใจเรื่องที่ "มีความเสี่ยงสูง"
ข้อผิดพลาดที่ควรหลีกเลี่ยง: อย่าให้ผู้ตรวจสอบภายในใช้ดุลยพินิจในเรื่องเหล่านี้เด็ดขาด:

  • ประมาณการทางบัญชีที่มีนัยสำคัญ
  • การประเมิน ความเสี่ยงที่สืบเนื่อง (Inherent Risk) หรือ ความเสี่ยงจากการควบคุม (Control Risk)
  • ระดับความมีสาระสำคัญ (Materiality levels)
  • ความ "เพียงพอ" ของการทดสอบที่ทำ

เปรียบเทียบ: ลองนึกภาพผู้ตรวจสอบภายในเหมือน "นักศึกษาฝึกสอน" พวกเขาสามารถช่วยตรวจข้อสอบปรนัย (งานรูทีน) ได้ แต่ "ครูประจำชั้น" (ผู้สอบบัญชีภายนอก) ต้องเป็นคนตรวจเรียงความและตัดสินเกรดสุดท้าย (งานที่ต้องใช้ดุลยพินิจ)

ประเด็นสำคัญ: ยิ่งงานที่ต้องใช้ดุลยพินิจมากเท่าไหร่ คุณยิ่งต้องพึ่งพาผู้ตรวจสอบภายในให้น้อยลงเท่านั้น และต้องคอยกำกับดูแลรวมถึงทดสอบผลงานของพวกเขาเสมอ!

3. การใช้ผลงานจากองค์กรภายนอก (รายงาน SOC)

ลูกค้าหลายราย "จ้างเหมาบริการ" (Outsource) งานบางส่วนของธุรกิจ ตัวอย่างเช่น บริษัทขนาดเล็กอาจจ้าง ADP มาดูแลระบบจ่ายเงินเดือน หรือจ้าง Amazon Web Services (AWS) เพื่อเก็บข้อมูล

หากบริการที่จ้างเหมานั้นเป็นส่วนหนึ่งของ ระบบสารสนเทศ ของลูกค้า (ซึ่งกระทบต่อตารางฐานะการเงิน) ในฐานะผู้สอบบัญชี คุณจำเป็นต้องรู้ว่าการควบคุมที่บริษัทภายนอกเหล่านั้นมีประสิทธิภาพหรือไม่ แต่คุณคงไม่สามารถบินไปสำนักงานใหญ่ของ ADP เพื่อเริ่มตรวจสอบพวกเขาได้! ดังนั้น คุณจึงใช้ รายงาน SOC (Service Organization Control Report) แทน

รายงาน SOC 1 มี 2 ประเภทหลัก

1. SOC 1, Type 1: รายงานเกี่ยวกับ การออกแบบ การควบคุม ณ จุดเวลาใดเวลาหนึ่ง มันบอกคุณได้ว่าการควบคุมนั้น "ดูดีบนกระดาษ" หรือไม่
ช่วยลดความเสี่ยงจากการควบคุม (Control Risk) ได้ไหม? ไม่ได้ มันช่วยให้คุณแค่เข้าใจระบบเท่านั้น

2. SOC 1, Type 2: รายงานเกี่ยวกับ การออกแบบ และความประสิทธิผลของการปฏิบัติงาน ของการควบคุมตลอดช่วงระยะเวลาหนึ่ง (ปกติคือ 6 เดือน)
ช่วยลดความเสี่ยงจากการควบคุม (Control Risk) ได้ไหม? ได้! รายงานนี้เป็นหลักฐานยืนยันว่าการควบคุมทำงานได้จริง

รู้หรือไม่? "SOC" ย่อมาจาก System and Organization Controls ในขณะที่คุณเป็นผู้สอบบัญชีของลูกค้า คุณจะถูกเรียกว่า User Auditor ส่วนผู้สอบบัญชีที่ตรวจสอบผู้ให้บริการ (เช่น ADP) จะถูกเรียกว่า Service Auditor

สรุปสั้นๆ: หากลูกค้าจ้างทำเงินเดือน ให้มองหารายงาน SOC 1 Type 2 เพื่อดูว่าคุณสามารถเชื่อถือการควบคุมของพวกเขาได้หรือไม่

4. สรุปการวางแผนและการใช้ผลงานของผู้อื่น

เมื่อต้องวางแผนรับมือกับความเสี่ยง การใช้ผลงานของผู้อื่นเป็นวิธีเพิ่มประสิทธิภาพที่ดีเยี่ยม แต่ต้องอาศัยการ กำกับดูแล (Oversight) ที่รอบคอบ

ตารางสรุปสำหรับเตรียมสอบ:

ผู้ตรวจสอบภายใน (IA): ประเมินความเป็นกลางและความสามารถ ใช้สำหรับงานรูทีน ห้ามใช้กับงานที่ต้องใช้ดุลยพินิจสูง
ผู้เชี่ยวชาญ (Specialist): ประเมิน C-C-O (ความสามารถ, ขีดความสามารถ, ความเป็นกลาง) ต้องตกลงขอบเขตงานเป็นลายลักษณ์อักษร
ผู้สอบบัญชีผู้ให้บริการ (Service Auditor): ใช้รายงาน SOC 1 Type 2 เพื่อเป็นหลักฐานว่าการควบคุมของหน่วยงานภายนอกมีประสิทธิผล

คำให้กำลังใจทิ้งท้าย: การวางแผนตรวจสอบก็เหมือนการต่อจิ๊กซอว์ การใช้ผลงานของผู้อื่นก็คือการหาชิ้นส่วนที่ถูกต้องมาเติมเต็มภาพใหญ่ให้สมบูรณ์ คุณทำได้แน่นอน! ฝึกทำโจทย์ปรนัยเกี่ยวกับรายงาน SOC บ่อยๆ นะ เพราะเป็นหัวข้อที่ข้อสอบ CPA ชอบหยิบมาออกมากที่สุด!