แยก advisory ออกจาก assurance ให้ขาด: ที่ปรึกษาให้คำแนะนำแต่ไม่ออก formal opinion และไม่ลงมือทำแทนฝ่ายบริหาร บวก cooling-off 1 ปี, การ disclose ต่อ engagement client, ขอบเขตที่ตกลงร่วมกัน, benchmarking กี่ชนิด และเส้นแบ่ง due diligence / BPR / performance ที่ข้อสอบ CIA Part 1 ชอบสลับ

แยกงาน assurance 5 แบบที่ผู้ตรวจสอบภายในลงสนามจริง — operational audit วัดแค่ประสิทธิภาพ/ประสิทธิผล, compliance audit วัดการทำตามกฎ, financial audit วัดความน่าเชื่อถือของตัวเลข (ต่างจากผู้สอบบัญชีภายนอกยังไง), management reporting ที่ใช้ภายในล้วน และ culture audit ที่ดูว่าพฤติกรรมตรงกับค่านิยมที่ประกาศไหม พร้อมกับดักตั้งชื่อประเภทงานที่ข้อสอบชอบสลับ

assurance vs advisory ต่างกันตรงความเห็นเป็นทางการ, สามฝ่ายในงาน assurance, RCSA สี่ format สามแนวทาง, contract audit แยกตามวิธีจ่ายเงิน, security/privacy audit ที่ผู้ตรวจแค่ประเมินไม่ใช่เจ้าของ, และ performance audit กับ balanced scorecard/SWOT — สรุปเมนูงาน assurance ของ internal audit function พร้อมกับดักข้อสอบ CIA Part 1 SU2

เอา control ไปติดตั้งจริงในวงจรบัญชีของกิจการ — แยกหน้าที่ authorize/record/custody, วงจรขาย-รับเงิน-จ่ายเงิน-payroll, management controls ที่ต้องตรงโจทย์, และ framework แม่บทอย่าง COSO 5 องค์ประกอบ กับ COBIT ที่ข้อสอบชอบสลับป้าย

รู้จักตระกูล control ให้ครบก่อนเข้าห้องสอบ CIA Part 1 — control คืออะไร, inherent limitation ที่แก้ไม่ได้ (collusion/override/human judgment/cost-benefit), preventive/detective/corrective/directive, จังหวะเวลา feedforward-concurrent-feedback, edit check กับ control total, ITGC กับ application control ชั้น input/processing/output พร้อมกับดักที่ข้อสอบชอบสลับ

ปูภาษา risk ทั้งชุดในตอนเดียว: risk management process 5 ขั้น, inherent vs residual risk, risk appetite/tolerance/capacity, COSO ERM ห้าองค์ประกอบกับข้อจำกัด, ISO 31000 สามลิสต์อย่าสลับช่อง และกติกาเหล็ก management เป็นเจ้าของ risk ส่วน internal audit แค่ให้ความเชื่อมั่น — พร้อมกับดักที่ข้อสอบ CIA Part 1 ชอบวาง

Governance คืออะไรกันแน่ ใครเป็นเจ้านายตัวจริงของกองผู้ตรวจการ — แยก board (กำกับ) ออกจาก senior management (บริหาร) กับ risk owners, สององค์ประกอบ strategic direction กับ oversight, บทบาทของวัฒนธรรมองค์กรและ code of conduct, และหน้าที่ของผู้ตรวจสอบภายในที่ 'ประเมิน' ไม่ใช่ 'เป็นเจ้าของ' — พร้อมกับดักข้อสอบที่ชอบสลับหน้าที่ board กับ management

จรรยาบรรณ 3 ข้อสุดท้ายของผู้ตรวจสอบภายในตาม the Standards — Competency (ทีมรวมกันเก่ง ขาดทักษะต้องหาผู้เชี่ยวชาญ ไม่ลุยเอง), Due Professional Care (เชื่อมั่นสมเหตุสมผล ไม่การันตีเจอทุกอย่าง + professional skepticism), และ Confidentiality (ข้อมูลจากงานเอาไปใช้ส่วนตัวไม่ได้) พร้อมกับดักข้อสอบที่ชอบออกจริง

จรรยาบรรณสองข้อแรกของผู้ตรวจสอบภายใน: integrity คือหน้าที่เปิดเผยข้อเท็จจริงสำคัญ ปิดบังคือผิด และ objectivity คือความเที่ยงธรรมส่วนบุคคล เจาะกับดักข้อสอบเรื่อง self-review, familiarity, ของกำนัล, cooling-off 1 ปี, conflict of interest และเส้นแบ่ง objectivity vs independence

แยก independence (ตำแหน่งของ function) ออกจาก objectivity (ใจของคนตรวจ) ให้ขาด เข้าใจ dual-reporting line (functional ขึ้นสภา, administrative ขึ้น CEO), รูปแบบ impairment ที่ข้อสอบ CIA Part 1 ชอบซ่อน — ทั้งการรับบทผู้บริหาร การถูกจำกัดขอบเขต และสายบังคับบัญชาที่ชี้ผิดที่ — พร้อมกฎว่าเจอแล้วต้องเปิดเผยกับใคร