Section 3.1 + 3.2 — ก่อนจะเริ่มสร้างระบบ ต้องมี governance structure (sponsor, steering committee, PM, PMO), business case ที่วัดได้, และ feasibility study ที่เปรียบเทียบทางเลือกอย่างซื่อตรง บทนี้รวม WBS, Gantt, CPM, PERT, EVA และเรื่องที่ IS auditor มักพลาดที่สุด — independence ที่หายไปเมื่อเข้าไปอยู่ในทีมโปรเจ็ค

เปิด Domain 3 — ก่อนจะลงรายละเอียด SDLC, methodology หลายแบบ, application controls, testing, migration และ postimplementation review ผมขอวาด map ทั้ง domain ก่อน — ตั้งแต่วันที่ business โยนไอเดียมา จนถึงวันที่ระบบขึ้น production แล้วยังต้องมีคนกลับมาตรวจอีกรอบ

ปิด Domain 2 — recap ทั้ง 9 ตอน, 5 บทเรียนสำคัญที่ Domain 2 ฝังในหัว (Accountability ไม่ transfer, Governance vs Management, วงจรไม่หยุด, Independence = Structural, Documentation = Asset) บวกเกริ่น Domain 3 ที่เปลี่ยนเรื่องไปยัง 'สร้าง IT system ใหม่'

QA vs QC ที่คนใช้สลับกันตลอด, QA Independence ที่ต้อง structural ไม่ใช่แค่ stated, Quality Management ที่ทำให้ process เป็น repeatable, Operational Excellence — ที่มาของ continuous improvement บวก trap คลาสสิก: developer review code ตัวเอง

วัด IT performance ที่ไม่ใช่แค่ตัวเลขบน dashboard — KPI (จะถึงเป้ามั้ย), KRI (เสี่ยงเพิ่มขึ้นมั้ย), KGI (control ทำงานจริงมั้ย) — 3 ตัวที่บอกคนละเรื่อง บวก PDCA cycle และ IT Balanced Scorecard ที่ทำให้ board เห็น IT ครบทุกมิติ

Outsourcing เป็น sourcing ที่ใหญ่ที่สุดของ IT ในยุคนี้ — แต่ผู้บริหารเข้าใจผิดบ่อยที่สุดว่า 'ส่งออกแล้วไม่ต้องรับผิดชอบ' จริง ๆ accountability ไม่ transfer สัญญา outsourcing ที่ดี + SOC report + right-to-audit + cloud governance + concentration risk

Part B ของ D2 เริ่มแล้ว — ลงไปดู operational governance: portfolio management ที่จัดสรร IT investment, HR controls (background check, mandatory leave, termination), enterprise change management, financial management (chargeback, capex vs opex), security management ที่เป็นระบบ

Section 2.6 + 2.7 ลึก — Privacy Program (data controller vs processor, consent + opt-in/out + withdrawal, 8 documentation types, ISACA Privacy Principle 9, Privacy Audit), Data Governance (4 classification levels, Information Owner, Legal Purpose / Consent / Legitimate Interest), NIST Privacy Framework (Control-P + Communicate-P), Transborder Data Flow

Section 2.5 ERM ลึก — Risk Appetite vs Risk Tolerance, ISRM = management function (ไม่ใช่ audit), Risk Lifecycle 4 ขั้น (Identify/Assess/Respond/Monitor), Threat actors (script kiddie / hacktivist / nation-state), Environmental threats, Vulnerabilities, Risk Responses 4 แบบ, Control Matrix, Risk Methods (Qualitative/Semiquantitative/Quantitative + Delphi)

ส่วนที่ 2 ของ Section 2.2 + Section 2.4 — ทำงานยังไงในชีวิตจริง: IS Strategy + Strategic Planning Lifecycle (agile/rolling vs 5-year cycle), IT Strategy vs IT Steering Committee (trap คลาสสิก), Organizational Structure + SoD + Job Rotation + Mandatory Leave, Business Intelligence + Data Architecture (11 layers), Enterprise Architecture (Zachman + TOGAF)