Understanding an entity's control environment and business processes, including information technology (IT) systems

ยินดีต้อนรับสู่ส่วนที่ 2: การทำความรู้จักกับลูกค้าของคุณ!

สวัสดีครับ! ยินดีต้อนรับเข้าสู่ส่วนที่สำคัญที่สุดส่วนหนึ่งของการสอบ AUD ก่อนที่ผู้ตรวจสอบบัญชีจะตัดสินใจว่าจะต้องตรวจนับใบเสร็จกี่ใบ หรือต้องตรวจสอบบัญชีธนาคารจำนวนเท่าใด พวกเขาจำเป็นต้องเข้าใจก่อนว่า ธุรกิจนั้นดำเนินงานอย่างไรจริงๆ ลองจินตนาการว่านี่เหมือนกับการเป็นนักตรวจสอบอาคารครับ ก่อนที่คุณจะไปดูระบบประปา คุณก็คงอยากรู้ว่าใครเป็นคนสร้างบ้านหลังนี้ แบบแปลนเป็นอย่างไร และเจ้าของบ้านดูแลรักษาบ้านดีแค่ไหน ในบทนี้เราจะมาเรียนรู้วิธีการดู "รากฐาน" ของบริษัท นั่นคือ สภาพแวดล้อมการควบคุม (Control Environment) และ ระบบสารสนเทศ (Information Systems) ของบริษัทครับ

ไม่ต้องกังวลไปนะครับถ้าฟังดูเป็นเรื่อง "องค์กร" หรือดูแห้งแล้งเกินไปในตอนแรก เราจะย่อยมันให้เป็นเรื่องง่ายๆ ที่พบเห็นได้ในชีวิตจริง ซึ่งคุณจะเข้าใจได้อย่างแน่นอน!

1. สภาพแวดล้อมการควบคุม: "บรรยากาศจากระดับบน" (Tone at the Top)

สภาพแวดล้อมการควบคุม (Control Environment) คือชุดของมาตรฐาน กระบวนการ และโครงสร้างที่เป็นรากฐานสำคัญในการดำเนินงานควบคุมภายในทั่วทั้งองค์กร ถ้าจะอธิบายให้ง่ายกว่านั้น มันก็คือ "บรรยากาศ" หรือ วัฒนธรรม ของบริษัทในเรื่องความซื่อสัตย์และการปฏิบัติตามกฎระเบียบครับ

ทำไมเรื่องนี้ถึงสำคัญ? หาก CEO ของบริษัทขึ้นชื่อเรื่องการ "บิดเบือนความจริง" หรือไม่สนใจกฎเกณฑ์ พนักงานก็น่าจะทำตามเช่นกัน หากรากฐานร้าว ทั้งบ้านก็เสี่ยงที่จะเกิดการทุจริตหรือข้อผิดพลาดได้ครับ

องค์ประกอบสำคัญของสภาพแวดล้อมการควบคุม (หลักการจำ EBOCA)

เพื่อให้จำได้ว่าอะไรคือสิ่งที่ทำให้สภาพแวดล้อมการควบคุมแข็งแกร่ง ให้ใช้คำย่อว่า EBOCA ดังนี้ครับ:

E (Ethical Values and Integrity): คุณธรรมและจริยธรรม บริษัทมีประมวลจริยธรรมไหม? แล้วพวกเขาปฏิบัติตามจริงๆ หรือเปล่า?
B (Board Oversight): การกำกับดูแลของคณะกรรมการ คณะกรรมการบริษัทมีความเป็นอิสระจากฝ่ายบริหารหรือไม่? พวกเขาคอยดูสิ่งที่เกิดขึ้นจริง หรือแค่ "เซ็นอนุมัติผ่านๆ" ทุกอย่าง?
O (Organizational Structure): โครงสร้างองค์กร สายการบังคับบัญชาชัดเจนไหมว่าใครต้องรายงานต่อใคร? หรือมันเป็นความวุ่นวายจนไม่มีใครรู้ว่าใครมีอำนาจตัดสินใจ?
C (Commitment to Competence): ความมุ่งมั่นในความสามารถ บริษัทจ้างคนที่ทำงานเป็นจริงๆ เข้ามาทำงานหรือไม่?
A (Accountability): ความรับผิดชอบ ผู้คนต้องรับผิดชอบต่อการกระทำของตน หรือคนทำผิดสามารถลอยนวลไปได้โดยไม่ได้รับบทลงโทษ?

งานของผู้ตรวจสอบบัญชี

ในฐานะผู้ตรวจสอบบัญชี คุณกำลังมองหา หลักฐาน ของสิ่งเหล่านี้ คุณอาจใช้วิธีสัมภาษณ์พนักงาน อ่านรายงานการประชุมคณะกรรมการ หรือดูคู่มือการปฏิบัติงานของบริษัท หากสภาพแวดล้อมการควบคุมอ่อนแอ ผู้ตรวจสอบบัญชีมักจะตัดสินใจว่า ความเสี่ยงจากการแสดงข้อมูลที่ผิดพลาดอันเป็นสาระสำคัญ (Risk of Material Misstatement) นั้นอยู่ในระดับสูง

ทบทวนสั้นๆ: สภาพแวดล้อมการควบคุมเปรียบเสมือน รากฐาน หากรากฐานอ่อนแอ ผู้ตรวจสอบบัญชีจะต้องทำงานหนักขึ้นในภายหลัง (เพิ่ม "การตรวจสอบเนื้อหาสาระ" หรือ substantive testing) เพราะพวกเขาไม่สามารถวางใจ "บรรยากาศ" การควบคุมภายในของบริษัทเพื่อป้องกันข้อผิดพลาดได้ครับ

2. การทำความเข้าใจกระบวนการทางธุรกิจ

กระบวนการทางธุรกิจ (Business Process) เป็นแค่ชื่อเรียกเท่ๆ ของขั้นตอนต่างๆ ที่บริษัททำเพื่อให้งานสำเร็จลุล่วง ตัวอย่างเช่น กระบวนการขายเสื้อ การจัดส่ง และการรับชำระเงินครับ

ผู้ตรวจสอบบัญชีจำเป็นต้องเข้าใจกระบวนการเหล่านี้เพื่อดูว่าสิ่งต่างๆ อาจผิดพลาดตรงไหนได้บ้าง (เราเรียกสิ่งนี้ว่า "What Could Go Wrongs" หรือ WCGWs) คุณควรเน้นไปที่ว่าธุรกรรมนั้นมีการดำเนินการอย่างไร:
1. การเริ่มต้น (Initiated): การขายเริ่มต้นขึ้นอย่างไร?
2. การอนุมัติ (Authorized): ใครเป็นคนให้ "ไฟเขียว" ในการขายนั้น?
3. การบันทึก (Recorded): ข้อมูลเข้าสู่ระบบบัญชีได้อย่างไร?
4. การประมวลผล (Processed): ระบบคำนวณยอดรวมอย่างไร?
5. การรายงาน (Reported): ข้อมูลไปปรากฏในงบการเงินได้อย่างไร?

เปรียบเทียบ: ร้านพิซซ่า

ลองจินตนาการว่าคุณกำลังตรวจสอบร้านพิซซ่า กระบวนการทางธุรกิจ สำหรับการขายคือ:
- การเริ่มต้น: ลูกค้าโทรมาสั่งพิซซ่าหน้าเปปเปอโรนี
- การอนุมัติ: ผู้จัดการอนุมัติส่วนลด 10% เพราะลูกค้ามีคูปอง
- การบันทึก: พนักงานแคชเชียร์คีย์รายการสั่งซื้อลงในแท็บเล็ต
- การประมวลผล: แท็บเล็ตคำนวณภาษีและยอดรวมทั้งหมด
- การรายงาน: ตอนสิ้นวัน แท็บเล็ตจะพิมพ์รายงานสรุปยอดขายรวมของวันนั้นออกมา

ในฐานะผู้ตรวจสอบบัญชี คุณต้องมั่นใจว่าพนักงานแคชเชียร์ไม่สามารถลบรายการขายทิ้งแล้วเก็บเงินสดเข้ากระเป๋าตัวเองได้ (นั่นคือปัญหาเรื่อง การควบคุม ครับ!)

3. ระบบเทคโนโลยีสารสนเทศ (IT)

ในโลกยุคปัจจุบัน เกือบทุกบริษัทใช้ ระบบสารสนเทศ ในการจัดการข้อมูล ซึ่งรวมถึงฮาร์ดแวร์ (คอมพิวเตอร์), ซอฟต์แวร์ (โปรแกรมบัญชี), บุคลากร และตัวข้อมูลเอง

การควบคุมด้วยคน (Manual) vs. การควบคุมอัตโนมัติ (Automated)

การควบคุมด้วยคน (Manual Controls): ดำเนินการโดยคน (เช่น ผู้จัดการเซ็นเช็คที่เป็นกระดาษ) วิธีนี้ดีสำหรับรายการขนาดใหญ่หรือรายการที่ผิดปกติ แต่ก็เสี่ยงต่อความผิดพลาดของมนุษย์ หรืออาการ "เหนื่อยล้า" ได้ครับ
การควบคุมอัตโนมัติ (Automated Controls): ดำเนินการโดยคอมพิวเตอร์ (เช่น ระบบจะไม่ยอมให้คุณขายสินค้าหากลูกค้ามียอดค้างชำระเกินวงเงินเครดิต) สิ่งเหล่านี้ สม่ำเสมอ และไม่มีวันเหนื่อย แต่ถ้าเขียนโปรแกรมผิด มันก็จะทำผิดพลาดซ้ำๆ ถึง 1,000 ครั้งต่อวินาทีเลยทีเดียว!

การควบคุมทั่วไป (General) vs. การควบคุมระดับแอปพลิเคชัน (Application)

เป็นเรื่องสำคัญมากที่ต้องรู้ความแตกต่างของสองสิ่งนี้สำหรับการสอบ CPA ครับ:

1. การควบคุมทั่วไปด้าน IT (ITGCs): คือการควบคุม "ภาพรวม" ที่ใช้กับทั้งระบบ ให้คิดว่านี่คือ เจ้าหน้าที่รักษาความปลอดภัย ของอาคาร ซึ่งรวมถึง:
- ข้อกำหนดด้านรหัสผ่าน (ใครสามารถเข้ามาได้บ้าง?)
- การจัดการการเปลี่ยนแปลง (ใครสามารถแก้ไขโค้ดโปรแกรมได้บ้าง?)
- การสำรองข้อมูล (จะเกิดอะไรขึ้นถ้าเซิร์ฟเวอร์ล่ม?)

2. การควบคุมระดับแอปพลิเคชัน (IT Application Controls): คือการควบคุมที่เฉพาะเจาะจงกับงานหนึ่งอย่างหรือ "แอปพลิเคชัน" หนึ่งตัว (เช่น ซอฟต์แวร์เงินเดือน) ให้คิดว่านี่คือ ด่านตรวจ ภายในห้องเฉพาะ ซึ่งรวมถึง:
- การควบคุมการนำเข้า (Input Controls): ตรวจสอบให้มั่นใจว่าป้อนข้อมูลถูกต้อง (เช่น ระบบไม่ยอมให้คุณพิมพ์ "วันที่" ลงในช่องที่ต้องกรอก "จำนวนเงิน")
- การควบคุมการประมวลผล (Processing Controls): ตรวจสอบให้แน่ใจว่าการคำนวณเลขถูกต้อง
- การควบคุมการส่งออก (Output Controls): ตรวจสอบให้แน่ใจว่ารายงานถูกส่งไปถึงเฉพาะคนที่ควรได้รับเท่านั้น

ประเด็นสำคัญ: ถ้า การควบคุมทั่วไป อ่อนแอ (เช่น ทุกคนรู้รหัสผ่านของผู้ดูแลระบบ) คุณก็ไม่สามารถเชื่อถือ การควบคุมระดับแอปพลิเคชัน ได้ แม้ว่ามันจะดูสมบูรณ์แบบก็ตาม

4. การสื่อสาร

ส่วนของ "การสื่อสาร" ในเรื่อง "ข้อมูลและการสื่อสาร" เกี่ยวข้องกับวิธีการที่บริษัทแบ่งปันข้อมูลกันครับ มันไม่ใช่แค่เรื่องการมีระบบที่ดี แต่เป็นเรื่องการทำให้มั่นใจว่าทุกคนรู้หน้าที่และความรับผิดชอบของตนเอง

รู้หรือไม่? บริษัทอาจมีซอฟต์แวร์ที่แพงที่สุดในโลก แต่ถ้าพนักงานไม่รู้ว่าพวกเขามีหน้าที่ต้องรายงานข้อผิดพลาดให้หัวหน้าทราบ ระบบก็จะล้มเหลว ผู้ตรวจสอบบัญชีจะมองหาสิ่งต่างๆ เช่น คู่มือปฏิบัติงาน (Policy Manuals), การฝึกอบรม (Training Sessions) และ ช่องทางแจ้งเบาะแส (Whistleblower Hotlines) ครับ

5. ข้อผิดพลาดทั่วไปที่ควรหลีกเลี่ยง

- ข้อผิดพลาดที่ 1: คิดว่าผู้ตรวจสอบบัญชีจะสนใจระบบ IT เฉพาะบริษัทที่เป็น "เทคโนโลยีชั้นสูง" เท่านั้น แก้ไข: แม้แต่บริษัทที่ใช้แค่ไฟล์ Excel ธรรมดา ก็ถือเป็นระบบ IT ที่ต้องทำความเข้าใจครับ
- ข้อผิดพลาดที่ 2: สับสนระหว่าง "สภาพแวดล้อมการควบคุม" กับ "กิจกรรมการควบคุม" แก้ไข: สภาพแวดล้อมคือ วัฒนธรรม/รากฐาน ส่วนกิจกรรมคือ การกระทำที่เฉพาะเจาะจง (เช่น การล็อกประตู หรือการกระทบยอดบัญชีธนาคาร)
- ข้อผิดพลาดที่ 3: ทึกทักเอาเองว่าระบบ IT ที่แข็งแกร่งหมายความว่าผู้ตรวจสอบไม่ต้องทำอะไรเพิ่มอีกแล้ว แก้ไข: ระบบที่แข็งแกร่งเป็นเรื่องดี แต่ผู้ตรวจสอบยังจำเป็นต้อง ทดสอบ เพื่อให้มั่นใจว่ามันทำงานได้จริงอย่างที่กล่าวไว้

เช็คลิสต์สรุปสั้นๆ

ก่อนจะผ่านไปหัวข้อถัดไป ตรวจสอบให้แน่ใจว่าคุณตอบคำถามเหล่านี้ได้:
- [ ] ฉันสามารถอธิบาย สภาพแวดล้อมการควบคุม (Control Environment) โดยใช้ EBOCA ได้หรือไม่?
- [ ] ฉันเข้าใจวงจรชีวิตของธุรกรรม (ตั้งแต่ การเริ่มต้น จนถึง การรายงาน) หรือไม่?
- [ ] ฉันรู้ความแตกต่างระหว่าง การควบคุมทั่วไปด้าน IT (ITGC) กับ การควบคุมระดับแอปพลิเคชัน หรือไม่?
- [ ] ทำไม "บรรยากาศจากระดับบน" (Tone at the Top) จึงสำคัญต่อการประเมินความเสี่ยงของผู้ตรวจสอบบัญชี?

ให้กำลังใจทิ้งท้าย: คุณกำลังไปได้สวยครับ! การเข้าใจ "ภาพรวม" ของวิธีการดำเนินงานของบริษัทถือเป็นชัยชนะไปกว่าครึ่งในการสอบ AUD แล้วครับ เมื่อคุณเข้าใจ สภาพแวดล้อม และ ระบบ แล้ว ขั้นตอนการตรวจสอบบัญชีเฉพาะเจาะจงที่คุณจะได้เรียนรู้ต่อไปจะฟังดูเป็นเหตุเป็นผลมากขึ้น สู้ต่อไปนะครับ!