โครงของบท#

• ระบุ type กับ quantity ของ resources ตาม nature/complexity ของงาน เวลาที่มี และดูว่า financial/human/technological พอไหม
• Sufficient กับ appropriate ต่างกัน — พอเพียงคือปริมาณ เหมาะสมคือส่วนผสมของทักษะ ข้อสอบชอบสลับสองคำนี้
• งานเฉพาะทางต้องจัดคนให้ตรงความเชี่ยวชาญ ถ้ากองไม่มี = หาจากภายนอก ไม่ใช่พึ่งพนักงานที่ถูกตรวจ
• งบของภารกิจสรุปหลัง preliminary survey และคนอนุมัติปรับงบคือ CAE ไม่ใช่ board
• เจอทรัพยากรไม่พอ = reassess แล้ว escalate ห้ามเดินเงียบๆ ห้ามตัด scope เอง ห้ามซื้อ/จ้างพลการ

resources ของภารกิจ: ระบุ “อะไรบ้าง เท่าไร” ตั้งแต่วางแผน#

เริ่มจากหลักใหญ่ก่อน the Standards วางไว้ว่าตอนวางแผนภารกิจ ต้องระบุให้ได้ว่างานนี้ต้องใช้ทรัพยากรประเภทไหนและปริมาณเท่าไรถึงจะบรรลุ objective ที่ตั้งไว้ ไม่ใช่ค่อยไปคิดเอาตอนลงมือ คำว่าทรัพยากรในที่นี้แยกเป็นสามขา — financial (เงิน/งบ), human (คน/ทักษะ), technological (เครื่องมือช่วยตรวจ)

สิ่งที่ต้องชั่งใจตอนระบุมีอยู่ไม่กี่ข้อ แต่ทุกข้อสำคัญ

• nature กับ complexity ของภารกิจ — งานยากซับซ้อนกินคนกินเวลาต่างจากงานตรงไปตรงมา
• เวลาที่ต้องทำให้เสร็จ — ถ้าเถ้าแก่กำหนดว่าต้องจบภายในเดือนนี้ คนที่ต้องใช้ก็ต้องว่างพอดีในช่วงนั้น
• financial/human/technological พอและเหมาะไหม — ถ้าไม่พอ CAE (chief audit executive — หัวหน้ากองผู้ตรวจ) ต้องรับรู้ว่ามันไม่พอ แล้วหาทางจัดการ ไม่ใช่ปล่อยผ่าน

มุมเถ้าแก่/สภา: เรื่องนี้แตะกระเป๋าเถ้าแก่ตรงๆ เพราะกองผู้ตรวจก็เป็นแผนกที่กินงบเหมือนแผนกอื่น ทุกภารกิจที่ส่งคนผิดจำนวน ผิดทักษะ หรือคาดเวลาพลาด คือเงินและเวลาที่ละลายไปโดยได้ความเชื่อมั่นกลับมาไม่คุ้ม สภา (board) จึงอยากเห็นว่ากองนี้จัดสรรทรัพยากรเป็น ทำงานอยู่ในกรอบงบ และรู้จักบอกล่วงหน้าเมื่อของไม่พอ ไม่ใช่ปล่อยให้งานพังแล้วค่อยมาโทษกันทีหลัง

มุมผู้ตรวจ (คนสอบ): ในทางปฏิบัติ คนที่ทำหน้าที่ระบุและมอบหมายทรัพยากรระหว่างวางแผนคือ engagement supervisor (หัวหน้าคุมภารกิจ) เขาใช้ข้อมูลที่ได้จากช่วงวางแผน โดยเฉพาะเรื่อง nature กับ complexity ของงาน แล้วใช้ดุลยพินิจเชิงวิชาชีพจัดคนตาม work program ให้แต่ละขั้นตอนเสร็จภายในเวลาที่ประมาณไว้ ข้อจำกัดที่ต้องเผื่อใจก็เช่น ชั่วโมงที่ตั้งงบไว้ จังหวะเวลา การเดินทาง หรือแม้แต่เรื่องภาษาที่ต่างกัน เวลาโจทย์ถามว่า ใครเป็นคนจัดทรัพยากรระดับภารกิจ อย่าเผลอตอบ CAE ทันที — งานระบุและจัดคนของภารกิจหนึ่งๆ เป็นของ supervisor ส่วน CAE จะเข้ามาก็ต่อเมื่อเรื่องมันบานเกินระดับภารกิจแล้ว

sufficient กับ appropriate: พอเพียง ≠ เหมาะสม#

ตรงนี้เป็นจุดที่ข้อสอบชอบดักแบบเงียบๆ เพราะสองคำนี้แปลไทยแล้วฟังคล้ายกันจนเผลอสลับ ทั้งที่ the Standards นิยามคนละเรื่อง

• Sufficient (พอเพียง) พูดถึง ปริมาณ — มีจำนวนคน/ทรัพยากรมากพอไหม
• Appropriate (เหมาะสม) พูดถึง ส่วนผสม — มีชุด knowledge, skills และ competencies อื่นๆ ครบตามที่งานต้องการไหม

พูดง่ายๆ พอเพียง = มีมากพอ, เหมาะสม = มีถูกชนิด บางงานมีคนเยอะพอ (sufficient) แต่ไม่มีใครเชี่ยวชาญเรื่องที่ต้องตรวจเลย (ไม่ appropriate) ก็มี หรือมีผู้เชี่ยวชาญตัวจริงหนึ่งคน (appropriate) แต่คนเดียวทำไม่ทันงานทั้งกอง (ไม่ sufficient) ก็มี สองแกนนี้แยกกันเด็ดขาด

มุมเถ้าแก่/สภา: ลองคิดดูนะครับ เถ้าแก่จัดทีมไปเปิดครัวสาขาใหม่ ส่งเด็กล้างจานไปสิบคนแต่ไม่มีพ่อครัวสักคน — จำนวนพอ (sufficient) แต่ส่วนผสมทักษะไม่ครบ (ไม่ appropriate) ครัวก็เปิดไม่ได้ กลับกัน ส่งพ่อครัวมือฉกาจไปคนเดียวคุมครัวใหญ่ ทักษะครบ (appropriate) แต่คนไม่พอ (ไม่ sufficient) ก็ทำไม่ทันอยู่ดี เถ้าแก่ต้องได้ทั้งจำนวนพอและทักษะครบพร้อมกัน งานถึงจะเดิน

มุมผู้ตรวจ (คนสอบ): เวลาโจทย์ให้ตัวเลือก ให้จับคำที่โจทย์เน้นแล้วโยงกับนิยาม ถ้าโจทย์เน้นเรื่องปริมาณ/จำนวนที่มีอยู่ → ตอบ sufficient ถ้าโจทย์บรรยายชุดทักษะ ความรู้ ความสามารถที่หลากหลายมาประกอบกัน → ตอบ appropriate

⚠️ กับดัก: ข้อสอบชอบเอานิยามของ appropriate ไปแปะป้าย sufficient เช่นบอกว่า “sufficient หมายถึงมีผู้ตรวจที่มีความรู้และทักษะครบถ้วน” — ผิด นั่นคือ appropriate ต่างหาก หรือบรรยายภาพทีมที่มีส่วนผสมความสามารถหลากหลาย แล้วล่อให้ตอบ sufficient — ส่วนผสมที่หลากหลายคือ appropriate เสมอ และระวังคำนอกลิสต์ที่โผล่มาเป็นตัวเลือกอย่าง “practical” หรือ “applicable” — คำพวกนี้ไม่ได้อยู่ในนิยามของ the Standards เลย เจอเมื่อไรตัดทิ้งได้ทันที มีแค่สองคำที่ถูกคือ sufficient กับ appropriate

จับทักษะให้ตรงงาน: งานเฉพาะทางห้ามใช้คนทั่วไป#

พอเข้าใจว่า appropriate คือส่วนผสมทักษะแล้ว โจทย์ชั้นถัดไปคือ แล้วถ้าส่วนผสมนั้นในกองไม่มีล่ะ ตรงนี้ the Standards และ outline ชี้ทางไว้ชัด — ถ้าทรัพยากรไม่พอ CAE เลือกได้หลายทาง เช่น จัดอบรมให้คนเดิม ขอผู้เชี่ยวชาญจากในองค์กร จ้างคนเพิ่ม พึ่งงานของผู้ให้ความเชื่อมั่นรายอื่น ทำโครงการหมุนเวียนงานตรวจ หรือทำสัญญากับผู้ให้บริการภายนอก (external service provider)

หัวใจของกับดักชุดนี้คือ ตั้งชื่อความเชี่ยวชาญเฉพาะที่งานต้องการให้ได้ก่อน แล้วจัดคนให้ตรงอันนั้น งานตรวจความปลอดภัยไซเบอร์ต้องมีคนที่รู้ cybersecurity งานสอบสวนการทุจริต (fraud) ต้องมี forensic accountant งานตรวจกระบวนการการเงินข้ามประเทศต้องมีคนรู้บัญชีและกฎระเบียบระหว่างประเทศ งานตรวจโรงงานผลิตซับซ้อนต้องมีคนที่เคยตรวจ operational ของงานผลิตมาก่อน

มุมเถ้าแก่/สภา: ลองคิดดูนะครับ ถ้าเถ้าแก่ให้ตรวจระบบที่ซับซ้อนมากๆ แต่ส่งคนที่ไม่รู้เรื่องระบบนั้นเลยไป สิ่งที่ได้กลับมาคือความเชื่อมั่นปลอมๆ — รายงานที่ดูเหมือนตรวจแล้ว แต่จริงๆ มองไม่ออกว่าจุดเสี่ยงอยู่ตรงไหน เงินที่จ่ายค่าตรวจก็เท่ากับทิ้ง ยอมจ่ายเพิ่มเพื่อดึงผู้เชี่ยวชาญจากภายนอกมาเสริม คุ้มกว่าฝืนใช้คนในที่ทำไม่ได้จริงเยอะ ทันเวลาด้วย งานก็ได้คุณภาพด้วย

มุมผู้ตรวจ (คนสอบ): เวลาโจทย์เป็นสถานการณ์งานเฉพาะทางแล้วทีมขาดทักษะ คำตอบที่ถูกเกือบทุกครั้งคือ หาทรัพยากรจากภายนอกมาเติมความสามารถที่ขาด ส่วนตัวเลือกที่ขับด้วยความสะดวก ต้นทุน หรือขนาดทีม ให้ระวังไว้ก่อนว่ามักเป็นตัวลวง

⚠️ กับดัก: ตัวลวงคลาสสิคของหมวดนี้คือ “ส่งผู้ตรวจทั่วไปไปแล้วให้พึ่งพนักงาน IT/พนักงานฝ่ายผลิตของหน่วยงานที่ถูกตรวจช่วยชี้แนะ” — ผิดเต็มๆ เพราะทำลายความเป็นอิสระ (independence) และก็ไม่ได้เติมความเชี่ยวชาญให้ทีมอยู่ดี พนักงานของ activity under review (หน่วยงานที่กำลังถูกตรวจ) เป็นคนที่เราตรวจ ไม่ใช่คนที่เรายืมความรู้มาตรวจตัวเขาเอง อีกกลุ่มตัวลวงคือ “เลือกผู้ตรวจตามว่าใครว่าง” หรือ “เลือกตามว่าใครเคยทำงานกับบริษัทนี้มาก่อน” — สะดวกจริง แต่ไม่ใช่ความต้องการหลักเรื่องความสามารถ และ “ลดขนาดทีมเพื่อประหยัด” หรือ “ใช้ผู้ตรวจคนเดียวเพื่อรักษาความลับ” — ต้นทุนกับ logistics ไม่เคยชนะความเชี่ยวชาญที่งานต้องการ

⚠️ กับดัก: ระวังโจทย์กลับด้านแบบ “เกณฑ์ใดไม่เหมาะสมที่สุดในการมอบหมายคนเข้าภารกิจ” — คราวนี้ตัวที่เป็นคำตอบคือ ความอยากได้การฝึกฝนส่วนตัวของผู้ตรวจ (auditor’s desire for training) เพราะเป็นเกณฑ์ที่เอาความต้องการของตัวผู้ตรวจเป็นที่ตั้ง ส่วนความซับซ้อนของงาน ประสบการณ์ และทักษะพิเศษที่จำเป็น ล้วนเป็นเกณฑ์ที่ถูกต้องทั้งนั้น เจอ NOT/except เมื่อไร ตัวนอกคอกมักเป็นตัวที่เห็นแก่ตัวผู้ตรวจเอง

งบของภารกิจ: สรุปหลังสำรวจเบื้องต้น คนอนุมัติคือ CAE#

ทีนี้มาที่ขาการเงินของภารกิจ — time budget หรืองบเวลาของงาน มันคือเครื่องมือควบคุมและประเมินความคืบหน้าของภารกิจ ทำขึ้นในหน่วยชั่วโมง-คนหรือวัน-คน ไม่ใช่ตัวจำกัดขอบเขต และไม่ใช่ตัวเลขศักดิ์สิทธิ์ที่ห้ามขยับ กับดักของหมวดนี้หมุนอยู่รอบสองคานเท่านั้น — จังหวะเวลาที่สรุปงบ กับ ใครอนุมัติการปรับ

เรื่องจังหวะ งบของภารกิจจะสรุป (และถ้าจะปรับ ก็ปรับ) หลัง preliminary survey (การสำรวจเบื้องต้น) เพราะการสำรวจเบื้องต้นนี่แหละที่ให้ตัวประมาณเวลาและทรัพยากรที่ใช้ได้จริง ก่อนหน้านั้นในแผนระยะยาว (long-range plan) มันเป็นแค่ตัวเลขคร่าวๆ ยังไม่ใช่ของจริง ส่วนหลังจบ field work ไปหมดแล้วก็สายเกิน เพราะงบเอาไว้ควบคุมความคืบหน้า พองานเสร็จแล้วมันหมดประโยชน์ในฐานะเครื่องมือควบคุม

เรื่องอำนาจ คนที่ให้เหตุผลและอนุมัติการปรับงบ (จะเพิ่มหรือลด) คือ CAE ไม่ใช่ audit committee ไม่ใช่ board และไม่ใช่ senior management — พวกนั้นอนุมัติงบรวมของ function ในภาพใหญ่ ส่วนการปรับงบระดับภารกิจ เป็นเรื่องของ CAE

มุมเถ้าแก่/สภา: ลองคิดดูนะครับ เถ้าแก่ตั้งวงเงินรวมให้กองผู้ตรวจทั้งปี แต่พอลงงานแต่ละชิ้น หัวหน้ากองเป็นคนเกลี่ยเองว่างานไหนใช้เท่าไร งานหนึ่งบานต้องเพิ่มชั่วโมง ก็เป็นดุลยพินิจของหัวหน้ากองที่จะปรับภายในกรอบที่ได้รับมา ไม่ต้องวิ่งกลับไปถามเถ้าแก่ทุกครั้งที่ขยับตัวเลขเล็กๆ เถ้าแก่จะเข้ามายุ่งก็ต่อเมื่องบรวมทั้งก้อนไม่พอจริงๆ เท่านั้น

มุมผู้ตรวจ (คนสอบ): จำสองคานให้แม่น — timing = หลัง preliminary survey และ authority = CAE แล้วโจทย์หมวดนี้แทบตอบได้เอง ขั้นแรกของการวางแผนภารกิจก็คือทำ preliminary survey นี่แหละ ส่วนวัตถุประสงค์ของ time budget ให้จำว่าเป็นการควบคุมและประเมินความคืบหน้า ไม่ใช่ไปจำกัด scope

⚠️ กับดัก: ตัวลวงเรื่องจังหวะจะยัด “ตอนทำ long-range plan” (นั่นแค่ตัวประมาณเริ่มต้น) “ตอนประชุมวางแผนครั้งแรก” (โครงการยังไม่นิยาม) หรือ “หลัง field work เสร็จหมด” (สายไป) — ทั้งหมดแพ้ให้ “หลัง preliminary survey” เสมอ ส่วนตัวลวงเรื่องอำนาจจะบอกว่า “อนุมัติโดย audit committee” หรือ “senior management/board เพิ่มลดได้” — ผิด CAE เป็นคนอนุมัติ

⚠️ กับดัก: ระวังตัวลวงเรื่องตัวกระตุ้นให้แก้งบ เช่นบอกว่าต้องแก้ time budget เพราะทีมไม่มีประสบการณ์ เพราะต้องขยายการทดสอบ หรือเพราะเจอความเสี่ยงที่ยืนยันได้ — พวกนี้ไม่ใช่ตัวกระตุ้นปกติ ตัวกระตุ้นปกติที่ทำให้ทบทวนงบคือการทำ preliminary survey และระวังคำสุดขั้วอย่าง “งบต้องยึดตายตัวไม่ว่าสถานการณ์จะเป็นยังไง” “งบใช้จำกัด scope” “งบใช้เฉพาะงานตรวจการเงิน” — ผิดหมด งบปรับตามสถานการณ์ได้ ใช้กับทุกภารกิจ และมีไว้คุมความคืบหน้า พอเจอโจทย์แบบ EXCEPT/LEAST ให้เขี่ยตัวที่มองว่า “budgetary control” เป็นตัวขับความพอเพียงของทรัพยากรออกไป เพราะมันคือตัวนอกคอก

เจอทรัพยากรไม่พอ: reassess แล้ว escalate ห้ามเงียบ ห้ามตัด scope เอง#

ปิดท้ายด้วยหมวดที่ออกบ่อยและเจ็บที่สุด — พอลงมือไปแล้วเจอกำแพงว่าทรัพยากรไม่พอ ควรทำอะไรก่อน the Standards วางเป็นกฎสองจังหวะที่ต้องท่องให้ขึ้นใจ

• จังหวะแรก: reassess ประเมินความต้องการทรัพยากรที่แท้จริงอย่างเป็นกลางก่อน ไม่ใช่ตื่นตูมตามคำบ่นดิบๆ ของใครคนหนึ่ง
• จังหวะสอง: สื่อสารขึ้นบน ถ้าข้อจำกัดนั้นอาจกระทบการบรรลุ objective ของภารกิจ supervisor ต้อง escalate เรื่องขึ้นไปที่ CAE จากนั้น CAE จะไปหารือกับ senior management และ board ถึงผลกระทบและทางเลือกที่จะทำ ยกตัวอย่างเช่น ถ้าหาทรัพยากรที่จำเป็นมาไม่ได้จริงๆ scope อาจต้องถูกจำกัดลง — แต่การจำกัด scope นั้นเป็นผลของการหารือขึ้นบน ไม่ใช่การตัดสินใจเงียบๆ ของผู้ตรวจคนเดียว

จุดที่ต้องปักหมุด: การ escalate จำเป็นมากที่สุดตอนที่ข้อจำกัดนั้นจะไปกระทบการบรรลุ objective ของภารกิจ ถ้าเป็นแค่การขยับ scope หรือ timeline เล็กน้อยที่ยังบรรลุ objective ได้อยู่ อันนั้นไม่ถึงขั้นต้องปีนขึ้นสภา

มุมเถ้าแก่/สภา: ลองนึกภาพผู้จัดการสาขาโทรมาบอกหัวหน้าทีมว่า “คนไม่พอนะ ทำไม่ไหวหรอก” — ถ้าหัวหน้าทีมเชื่อทันทีแล้วไปหั่นงานให้เล็กลงเอง เถ้าแก่อาจได้รายงานที่ตรวจไม่ครบพื้นที่เสี่ยงโดยไม่มีใครรู้ตัว หรือถ้าหัวหน้าทีมแอบไปจ้างล่ามหรือซื้อเครื่องมือเองเงียบๆ งบก็รั่วโดยไม่มีใครอนุมัติ สิ่งที่เถ้าแก่และสภาอยากได้คือ มีคนบอกล่วงหน้า ว่าของไม่พอ พร้อมทางเลือก ไม่ใช่มารู้ตอนงานพังแล้ว การรายงานข้อจำกัดขึ้นบนอย่างทันเวลาคือสิ่งที่ทำให้เถ้าแก่นอนหลับได้

มุมผู้ตรวจ (คนสอบ): เจอโจทย์ทรัพยากรไม่พอเมื่อไร ให้มองหา option ที่มีสองจังหวะครบ — ประเมินก่อน แล้วรายงานขึ้นบน ข้อจำกัดที่อาจกระทบ objective ส่งให้ CAE ส่วนเรื่องที่กระทบทั้ง function หรือเรื่องงบ/เทคโนโลยี CAE พาขึ้นไปหา board/senior management พร้อมเสนอทางแก้ ตัดทุก option ที่ (ก) เดินหน้าเงียบๆ (ข) ตัด scope/objective พลการ (ค) ซื้อ/จ้างโดยไม่ปรึกษาใคร หรือ (ง) แค่เพิกเฉยหรือถ่วงเวลา

⚠️ กับดัก: ตัวลวงที่ฟังดู “ขยัน” แต่ผิด คือ “เดินหน้าด้วยทรัพยากรที่มีจำกัดแล้วบันทึกไว้เฉยๆ” — ฟังดูรับผิดชอบดี แต่จริงๆ คือส่งมอบความเชื่อมั่นที่ไม่พอ อีกตัวคือ “ปรับ scope/objective เองให้พอดีกับทรัพยากรที่มี” — การหั่น scope ฝ่ายเดียวทำลายทั้ง objective และความรับผิดชอบตามสายงาน และตัวที่ล่อให้ “ลงมือแก้เอง” อย่าง “ซื้อเครื่องมือ/จ้างล่ามไปเลยโดยไม่ปรึกษาใคร” — ข้ามขั้น reassess แล้วรายงาน ส่วน “รอจนกว่าจะจ้างคนได้ค่อยทำ” ก็มักไม่ใช่คำตอบที่ดีที่สุด เพราะปล่อยพื้นที่เสี่ยงสูงทิ้งไว้

⚠️ กับดัก: ระวังโจทย์ถามแบบ “สถานการณ์ใดที่กระตุ้นให้ต้อง escalate มากที่สุด” — คำตอบคือสถานการณ์ที่ข้อจำกัดนั้นกระทบการบรรลุ objective ไม่ใช่การขยับ scope หรือ timeline ที่ยังทำงานได้ตามเป้า ส่วนกรณีที่เจอข้อมูลถูกล็อกด้วยข้อจำกัดของระบบ ก็ให้ไปทำงานร่วมกับ IT และผู้บริหารเพื่อขอสิทธิ์เข้าถึง ไม่ใช่ยอมแพ้หรือแอบหาทางลัดเอง

ตารางกับดักรวม#

สิ่งที่จดสำหรับวันสอบ#

• ระบุ type + quantity ของทรัพยากรตั้งแต่วางแผน ดู nature/complexity, เวลา, และ financial/human/technological พอ+เหมาะไหม
• คนจัดทรัพยากรระดับภารกิจ = engagement supervisor ไม่ใช่ CAE (CAE เข้ามาเมื่อเรื่องเกินระดับภารกิจ)
• Sufficient = ปริมาณ (มีพอไหม) · Appropriate = ส่วนผสมทักษะ (ถูกชนิดไหม) อย่าสลับ / คำ practical/applicable = ตัดทิ้ง
• งานเฉพาะทาง = จัดคนให้ตรงความเชี่ยวชาญ ขาด = หาจากภายนอก ห้ามพึ่งพนักงานที่ถูกตรวจ (พังทั้ง proficiency และ independence)
• เกณฑ์จัดคน “ไม่เหมาะสมที่สุด” = ความอยากฝึกฝนส่วนตัวของผู้ตรวจ / ความว่าง-ต้นทุน-ขนาดทีม ไม่ชนะความเชี่ยวชาญที่งานต้องการ
• งบภารกิจ: timing = หลัง preliminary survey · authority = CAE (ไม่ใช่ board/audit committee/senior management)
• Time budget = เครื่องมือควบคุม/ประเมินความคืบหน้า (หน่วยชั่วโมง-คน) ไม่ใช่ตัวจำกัด scope ไม่ตายตัว
• เจอทรัพยากรไม่พอ = reassess ก่อน → escalate ถึง CAE → CAE คุยกับ board/senior management ห้ามเงียบ ห้ามตัด scope เอง ห้ามซื้อ/จ้างพลการ ห้ามแค่ถ่วงเวลา
• escalate จำเป็นสุดเมื่อข้อจำกัดกระทบการบรรลุ objective — แค่ขยับ scope/timeline ที่ยังบรรลุเป้าได้ ไม่ถึงขั้นปีนสภา

จัดทีมจัดงบเสร็จ ก็ถึงก้าวสุดท้ายของการวางแผนครับ ตอนหน้าเราร่าง engagement work program — แผนที่ที่ผูก procedures เข้ากับ objectives เขียนท้ายสุดของการวางแผนและ CAE อนุมัติก่อนเริ่ม พร้อมมุมมองภารกิจเป็น project เล็กๆ ก้อนหนึ่ง ตอนถัดไป: ร่าง work program

อ้างอิง: Gleim CIA Review (2026), Part 2 · IIA Global Internal Audit Standards (2024)