วาดกระบวนการเป็น flowchart เพื่อเห็นรอยรั่ว — flowchart ช่วย 'เข้าใจ' และชี้ว่า fraud/control gap อาจอยู่ตรงไหน แต่ไม่เคยพิสูจน์ว่า control ทำงานจริง (นั่นต้อง test), เลือกเครื่องมือให้ตรงงาน horizontal flowchart=cross-department+segregation / RACI=ความรับผิดชอบ / DFD=data flow / spaghetti map=การเคลื่อนที่ทางกายภาพ, จำสัญลักษณ์ diamond=decision rectangle=computer trapezoid=manual document=รายงาน triangle=offline storage cylinder=digital storage, และเริ่มทำ process map ด้วยการ walk-through ธุรกรรมจริงจากต้นจนจบ ห้ามเริ่มจากปลายทางหรือ template สำเร็จรูป

ตรวจทุกรายการไม่ไหวก็ต้อง sampling — แยก statistical กับ judgmental, attribute (นับความถี่ผิด) กับ variables (วัดมูลค่า), และรู้ว่าเจอ fraud เมื่อไรห้ามสุ่ม ต้องกวาดทั้ง population; ผูก procedure เข้ากับ objective ด้วยกฎ vouch (ถอยหลังจับของปลอม = overstatement) vs trace (เดินหน้าจับของหาย = completeness), รู้ว่า confirmation พิสูจน์แค่ existence ไม่ใช่มูลค่า/ครบ/เก็บได้, เอกสารถูกปลอมต้องข้ามไปนับของจริง/analytical, และเลือกเครื่องมือให้ตรงกับสิ่งที่มันพิสูจน์ได้จริง

เปิดคลังแสงเครื่องมือเก็บหลักฐานของผู้ตรวจสอบภายใน — inquiry, observation, inspection, vouching กับ tracing (ทิศทางลูกศรคนละทางตอบคนละ assertion: ถอยหลังจับของเกิน เดินหน้าจับของหาย), confirmation ที่พิสูจน์แค่ว่ามีจริงไม่ได้บอกว่าครบ, reperformance กับ recalculation — แต่ละตัวใช้เมื่อไหร่ ให้หลักฐานแรงแค่ไหน ข้อจำกัดตรงไหน พร้อมกับดักเอกสารปลอมและกับดักเลือกเครื่องมือผิดเป้าที่ข้อสอบชอบออก

ศิลปะของการถามให้ได้ความจริงในภารกิจตรวจสอบ — questionnaire เป็นคำบอกเล่าที่ต้องยืนยันเสมอ, การออกแบบให้สั้น ไม่ระบุชื่อ ถามส่วนตัวท้ายสุด, สี่รูปแบบ CSA (objective/risk/control/process-based) กับสามแนวทางที่แท้จริง, เทคนิคสัมภาษณ์คนที่กำลังตั้งการ์ด, active listening ที่ต้องพักการตัดสิน, และการแยก observation ออกจาก inquiry/inspection พร้อมกับดักตั้งชื่อวิธีที่ข้อสอบชอบสลับ

ลงพื้นที่เก็บหลักฐานจริง เริ่มจากสามคุณสมบัติที่ information ต้องมี — relevant (เกี่ยวข้องกับเป้า), reliable (ของแท้ ต้นฉบับ อิสระ), sufficient (มากพอที่คนรอบคอบจะเชื่อ) — พร้อมลำดับความน่าเชื่อของแหล่ง: คนนอกชนะคนใน เอกสารชนะคำพูด เห็นเองชนะฟังต่อ ต้นฉบับชนะสำเนา และการจำแนก information เป็น external / internal / external-internal / internal-external กับสี่ชนิดหลักฐาน physical / documentary / analytical / testimonial ที่ข้อสอบชอบสลับนิยามมาหลอก

engagement work program คือแผนที่ที่ผูก procedures เข้ากับ objectives ต้องเขียนท้ายสุดของการวางแผนและ CAE อนุมัติก่อนเริ่ม+เมื่อแก้ — มันคือรายการขั้นตอน ไม่ใช่กระดาษทำการหรือข้อสรุป เจอช่องโหว่ให้ประเมินและแจ้งหัวหน้าอย่าแก้เอง พร้อมมองภารกิจเป็น project เล็กๆ แยก business doc/project doc/OPA/EEF และ process group ที่ข้อสอบชอบสลับ

จัดทีมและทรัพยากรของภารกิจตรวจให้พอดี — ระบุ type กับ quantity ของ resources ตาม nature/complexity/เวลาของงาน, แยก sufficient (ปริมาณ) กับ appropriate (ส่วนผสมทักษะ) ให้ขาด, งานเฉพาะทางต้องใช้คนเชี่ยวชาญหรือ outsource ห้ามพึ่งพนักงานที่ถูกตรวจ, สรุปงบหลัง preliminary survey ที่ CAE อนุมัติ และกฎเจอทรัพยากรไม่พอต้อง reassess แล้ว escalate ถึง CAE/board ห้ามเงียบหรือตัด scope เอง

เดินเงินตามวงจรธุรกิจสามวงหลัก — sales-receivables (จุดที่การขโมยซ่อนในบัญชีลดหนี้), purchases-payables กับ three-way match ที่ไม่ครบสามใบห้ามจ่าย, payroll ที่ต้องแยก authorize/record/custody กันพนักงานผี พร้อมกับดักเลือก control ให้ตรงกระบวนการที่ข้อสอบ P2 ชอบวาง

วัดผลงานองค์กรให้เป็นก่อนเข้าห้องสอบ CIA Part 2 : อัตราส่วนการเงินสี่หมวด (liquidity/solvency/activity/profitability), cash conversion cycle, ROI, จุด pivot 1.0 ของ ratio, balanced scorecard สี่มุมมอง, benchmarking แต่ละชนิด และ Pareto 80/20 — พร้อมกับดักที่ข้อสอบชอบวาง

อ่านงบให้เป็นภาษาผู้ตรวจ — งบ 4 ตัวเชื่อมกันยังไง (งบดุลคือรูปถ่าย งบกำไรขาดทุนคือหนัง), accrual ชนะ cash เพราะสะท้อนความจริงและ GAAP/IFRS บังคับ, current vs noncurrent เลือกช่วงที่ยาวกว่า, จัดประเภทหลักทรัพย์ก่อนค่อยรู้มูลค่า, ปันผลหุ้นไม่กระทบทุน, cash flow แยกตามสินทรัพย์ที่แตะ, ratio หลัก liquidity/activity/profitability พร้อม net working capital และ operating profit margin — และกับดักที่ข้อสอบชอบวางทุกจุด