เปิด Part 2 ด้วยรากธุรกิจที่ผู้ตรวจต้องรู้ก่อนลงพื้นที่: business model กับสามชนิดของ process (operating / project / support), การ outsourcing ที่ย้ายงานแต่ไม่ย้ายความรับผิดชอบ, Porter's Five Forces กับทิศของกำแพงเข้า-ออก, กลยุทธ์ Porter 2x2, BCG matrix และลำดับ mission→SWOT→strategy ที่ข้อสอบ CIA Part 2 ชอบสลับ — พร้อมกฎเหล็ก: ผู้ตรวจประเมิน ไม่ลงมือทำแทน

เหลาโจทย์กว้างๆ ให้คม: แยก objective (บรรลุอะไร) จาก procedure (ทำยังไง), risk คือตัวขับ objective ไม่ใช่ cost, ลำดับ เข้าใจก่อน→objective→scope, criteria เป็นของฝ่ายบริหาร เพียงพอต้องใช้, สี่ approach agile/remote/integrated/traditional จับคำใบ้ และของใหม่ Topical Requirements (Cybersecurity, Third-Party) ที่เป็น baseline บังคับเมื่อความเสี่ยงตรง — pattern ที่ข้อสอบ CIA Part 2 ชอบสลับ

เปิดซีรีส์ CIA Part 2 ด้วยจดหมายมอบหมายภารกิจแรกที่มาถึงโต๊ะ แล้วกางไทม์ไลน์ทั้งภารกิจตั้งแต่รับโจทย์ เข้าใจธุรกิจ ประเมิน risk วาง engagement objectives กับ scope เลือก evaluation criteria จัดทีมและ resources ทำ work program ลงพื้นที่เก็บ evidence วิเคราะห์หา finding บันทึก workpapers จนถึง engagement conclusion และ supervision กับ communication พร้อมจุดยืนสำคัญว่าครึ่งหนึ่งของข้อสอบ Part 2 คือ engagement planning วางแผนดีคือชนะไปครึ่งทาง

ปิด Part 1 ด้วยการรวบ 5 บทเรียนใหญ่ที่ต้องแม่นก่อนเข้าสนามจริง: mandate มาจาก board, independence เชิงโครงสร้าง vs objectivity เชิงใจ, management เป็นเจ้าของ risk/control ส่วน internal audit แค่ประเมิน, และหน้าที่กัน fraud ที่แบ่งกันคนละมือ — พร้อมตารางกับดักรวมทั้ง Part และสะพานข้ามสู่การออกตรวจจริงใน Part 2

จบ arc fraud ด้วยสองคำถามหลังเจอทุจริต — กันยังไงไม่ให้เกิดซ้ำ (preventive vs detective control, segregation of duties, whistleblower hotline) และครั้งนี้ใครสืบ (บทบาท IA คือประเมินและสนับสนุน ไม่ใช่เจ้าของคดี), สัมภาษณ์แบบไหนไม่ให้เสียคดี, เจอ red flag ต้องทำอะไรก่อน, และรายงาน fraud ขึ้นใครในองค์กร

เข้าใจ fraud triangle (โอกาส-แรงจูงใจ-ข้ออ้าง) แบบที่คุมได้จริงแค่ opportunity, แยกประเภท fraud ให้ขาด (asset misappropriation, corruption, financial statement fraud), อ่าน red flags ไม่ให้หลงจุดแข็งเป็นธงแดง และเส้นแบ่งหน้าที่ management ป้องกัน vs IA ประเมิน — พร้อมกับดักข้อสอบ CIA Part 1 SU10 ที่ชอบหลอกซ้ำๆ

แยก advisory ออกจาก assurance ให้ขาด: ที่ปรึกษาให้คำแนะนำแต่ไม่ออก formal opinion และไม่ลงมือทำแทนฝ่ายบริหาร บวก cooling-off 1 ปี, การ disclose ต่อ engagement client, ขอบเขตที่ตกลงร่วมกัน, benchmarking กี่ชนิด และเส้นแบ่ง due diligence / BPR / performance ที่ข้อสอบ CIA Part 1 ชอบสลับ

แยกงาน assurance 5 แบบที่ผู้ตรวจสอบภายในลงสนามจริง — operational audit วัดแค่ประสิทธิภาพ/ประสิทธิผล, compliance audit วัดการทำตามกฎ, financial audit วัดความน่าเชื่อถือของตัวเลข (ต่างจากผู้สอบบัญชีภายนอกยังไง), management reporting ที่ใช้ภายในล้วน และ culture audit ที่ดูว่าพฤติกรรมตรงกับค่านิยมที่ประกาศไหม พร้อมกับดักตั้งชื่อประเภทงานที่ข้อสอบชอบสลับ

assurance vs advisory ต่างกันตรงความเห็นเป็นทางการ, สามฝ่ายในงาน assurance, RCSA สี่ format สามแนวทาง, contract audit แยกตามวิธีจ่ายเงิน, security/privacy audit ที่ผู้ตรวจแค่ประเมินไม่ใช่เจ้าของ, และ performance audit กับ balanced scorecard/SWOT — สรุปเมนูงาน assurance ของ internal audit function พร้อมกับดักข้อสอบ CIA Part 1 SU2

เอา control ไปติดตั้งจริงในวงจรบัญชีของกิจการ — แยกหน้าที่ authorize/record/custody, วงจรขาย-รับเงิน-จ่ายเงิน-payroll, management controls ที่ต้องตรงโจทย์, และ framework แม่บทอย่าง COSO 5 องค์ประกอบ กับ COBIT ที่ข้อสอบชอบสลับป้าย