ลงพื้นที่เก็บหลักฐานจริง เริ่มจากสามคุณสมบัติที่ information ต้องมี — relevant (เกี่ยวข้องกับเป้า), reliable (ของแท้ ต้นฉบับ อิสระ), sufficient (มากพอที่คนรอบคอบจะเชื่อ) — พร้อมลำดับความน่าเชื่อของแหล่ง: คนนอกชนะคนใน เอกสารชนะคำพูด เห็นเองชนะฟังต่อ ต้นฉบับชนะสำเนา และการจำแนก information เป็น external / internal / external-internal / internal-external กับสี่ชนิดหลักฐาน physical / documentary / analytical / testimonial ที่ข้อสอบชอบสลับนิยามมาหลอก

engagement work program คือแผนที่ที่ผูก procedures เข้ากับ objectives ต้องเขียนท้ายสุดของการวางแผนและ CAE อนุมัติก่อนเริ่ม+เมื่อแก้ — มันคือรายการขั้นตอน ไม่ใช่กระดาษทำการหรือข้อสรุป เจอช่องโหว่ให้ประเมินและแจ้งหัวหน้าอย่าแก้เอง พร้อมมองภารกิจเป็น project เล็กๆ แยก business doc/project doc/OPA/EEF และ process group ที่ข้อสอบชอบสลับ

จัดทีมและทรัพยากรของภารกิจตรวจให้พอดี — ระบุ type กับ quantity ของ resources ตาม nature/complexity/เวลาของงาน, แยก sufficient (ปริมาณ) กับ appropriate (ส่วนผสมทักษะ) ให้ขาด, งานเฉพาะทางต้องใช้คนเชี่ยวชาญหรือ outsource ห้ามพึ่งพนักงานที่ถูกตรวจ, สรุปงบหลัง preliminary survey ที่ CAE อนุมัติ และกฎเจอทรัพยากรไม่พอต้อง reassess แล้ว escalate ถึง CAE/board ห้ามเงียบหรือตัด scope เอง

เดินเงินตามวงจรธุรกิจสามวงหลัก — sales-receivables (จุดที่การขโมยซ่อนในบัญชีลดหนี้), purchases-payables กับ three-way match ที่ไม่ครบสามใบห้ามจ่าย, payroll ที่ต้องแยก authorize/record/custody กันพนักงานผี พร้อมกับดักเลือก control ให้ตรงกระบวนการที่ข้อสอบ P2 ชอบวาง

วัดผลงานองค์กรให้เป็นก่อนเข้าห้องสอบ CIA Part 2 : อัตราส่วนการเงินสี่หมวด (liquidity/solvency/activity/profitability), cash conversion cycle, ROI, จุด pivot 1.0 ของ ratio, balanced scorecard สี่มุมมอง, benchmarking แต่ละชนิด และ Pareto 80/20 — พร้อมกับดักที่ข้อสอบชอบวาง

อ่านงบให้เป็นภาษาผู้ตรวจ — งบ 4 ตัวเชื่อมกันยังไง (งบดุลคือรูปถ่าย งบกำไรขาดทุนคือหนัง), accrual ชนะ cash เพราะสะท้อนความจริงและ GAAP/IFRS บังคับ, current vs noncurrent เลือกช่วงที่ยาวกว่า, จัดประเภทหลักทรัพย์ก่อนค่อยรู้มูลค่า, ปันผลหุ้นไม่กระทบทุน, cash flow แยกตามสินทรัพย์ที่แตะ, ratio หลัก liquidity/activity/profitability พร้อม net working capital และ operating profit margin — และกับดักที่ข้อสอบชอบวางทุกจุด

กระเป๋าใบสองสำหรับสอบ P2 — ความเสี่ยงไซเบอร์ (mobile/IoT/cloud) กับ Cybersecurity Topical Requirement ที่เป็น baseline ใหม่, จับ control ให้ตรงชั้น (firewall/encryption/IAM/biometric), รู้จักสัตว์ malware ทีละตัว, incident response ที่ผู้ตรวจแค่ประเมินไม่ลงมือ, privacy สี่กล่อง, และ business resilience: BIA → BCP → DRP กับ backup ที่พิสูจน์ด้วยการทดสอบเท่านั้น

IT ระดับผู้ตรวจ (ไม่ใช่ระดับ engineer) สำหรับ CIA Part 2 — batch vs online real-time, audit trail, IT general vs application controls (input/processing/output), edit checks / limit checks / check digit / hash total, Topical Requirements กับ emerging IT risk และ control frameworks (COSO/COBIT/ISO 27001) พร้อมกับดักที่ข้อสอบชอบออกจริง

ประเมินความเสี่ยงระดับ engagement ทั้งชุด: risk and control matrix กับ inherent vs residual, Topical Requirements ที่ยึดมาตรฐานภายนอก, pervasive & emerging risks ที่ต้องมองไปข้างหน้า, เลือกเครื่องมือ SWOT/PESTEL/Pareto ให้ตรงบริบท, ผลของการเปลี่ยนคน-process-ระบบต่อความเสี่ยง, โครงสร้าง-วัฒนธรรมองค์กรกระทบ control environment และกติกาเหล็ก management เป็นเจ้าของความเสี่ยง — พร้อมกับดักที่ข้อสอบ CIA Part 2 ชอบวาง

กาง COSO Internal Control 5 องค์ประกอบ (control environment, risk assessment, control activities, information and communication, monitoring) แบบใช้งานจริงไม่ต้องท่องเลข พร้อมวิธีจับคำกริยาในโจทย์ให้ตรงองค์ประกอบ เส้นแบ่ง control activities กับ monitoring, preventive กับ detective, ข้อจำกัดในตัว (collusion, management override) ที่ทำให้ internal control ให้ได้แค่ reasonable assurance ไม่ใช่ absolute และเรื่อง tone at the top ที่ข้อสอบ COSO IC vs COSO ERM ชอบสลับหลอก