โครงของบท#

• Analytical review = เทียบข้อมูลกับ expectation ที่เราตั้งไว้ ทั้ง trend, ratio, period-to-period — เพื่อจับสิ่งผิดคาด ไม่ใช่พิสูจน์ทีละรายการ
• บันไดวิเคราะห์ 4 ขั้น descriptive → diagnostic → predictive → prescriptive อ่าน verb ในโจทย์แล้วปีนให้ถูกขั้น
• อ่านสูตรของ ratio ก่อนเดาสาเหตุ — ตัวเลขขยับทางไหน ต้องเลือกสาเหตุที่ดันไปทางนั้นจริงๆ
• เจอผลผิดคาด = ตรวจซ้ำและหาหลักฐานยืนยันก่อน ห้ามด่วนสรุปทุจริต ห้ามเชื่อคำอธิบายผู้บริหารดิบๆ ห้ามเผชิญหน้าคนที่อาจเกี่ยว
• CAAT ต้องแยกให้ขาด test data / ITF / parallel simulation — ใครโปรแกรม ใครข้อมูล, GAS จัดการข้อมูลไม่ตัดสินใจแทนคน, ตรวจต่อเนื่อง real-time = embedded module
• AI/machine learning ช่วยเร่ง ไม่การันตี ไม่แทนคน — ตัวเลือกที่พูดเว่อร์ว่า “แทนผู้ตรวจ/แม่นยำ 100%/กันทุจริตได้” ผิดเสมอ

อ่านตัวเลขด้วยการเทียบ: analytical review คืออะไร#

ตอนก่อนเราเดินเรื่องการอ่านกระบวนการด้วยภาพ — flowchart, walkthrough, ไล่ทีละรายการตั้งแต่ต้นจนจบ ตอนนี้ขยับมาอีกด้านของการวิเคราะห์ คืออ่านตัวเลขทั้งกองด้วยการเทียบ ตัว Standards เขียนไว้ใน Standard 14.2 ว่าผู้ตรวจต้องวิเคราะห์ข้อมูลที่ relevant, reliable และ sufficient เพื่อพัฒนาเป็น engagement finding จำเจตนาไว้พอ ไม่ต้องท่องเลข

หัวใจของ analytical procedure (การวิเคราะห์เชิงเปรียบเทียบ) คือเก็บข้อมูลมาจัด แล้วเทียบกับความคาดหมาย (expectation) ที่เราตั้งไว้ล่วงหน้า ดูว่ามันตรงหรือเบี่ยง สิ่งที่เราตามล่าคือความไม่เข้ากัน — ยอดที่ต่างจากที่ควรจะเป็น หรือแม้แต่ความต่างที่ควรจะมีแต่ดันไม่มี ข้อมูลจะเป็นตัวเลขการเงินหรือไม่ใช่การเงินก็ได้ ยอดขาย ค่าใช้จ่าย กำไร ไปจนถึงจำนวนลูกค้าที่เดินเข้าร้าน สถิติความปลอดภัย วันลาของพนักงาน หรือแม้แต่สภาพอากาศ เอามาผูกเป็นความสัมพันธ์กันได้หมด

เครื่องมือเทียบที่ต้องรู้จักมีไม่กี่ตัว แต่ต้องแยกออก

• Period-to-period เทียบช่วงเวลาที่คล้ายกัน เช่นยอดเดือนนี้กับเดือนก่อน หรือกับงบประมาณที่ตั้งไว้
• Trend analysis ดูการเปลี่ยนแปลงข้ามหลายช่วงเวลา ให้บริบทกว้างกว่า ถ้าสองเดือนติดกันดูต่างกันมากจนงง ลองถอยไปดูย้อนหลังหลายไตรมาส เดี๋ยวก็เห็นเองว่าเดือนไหนกันแน่ที่เป็นตัวประหลาด
• Benchmarking เทียบองค์กรตัวเองกับที่อื่นขนาดใกล้กันในตลาดเดียวกัน หรือเทียบข้ามสาขาภายในองค์กรเองก็ได้
• Ratio analysis แปลงความสัมพันธ์ของตัวเลขเป็นอัตราส่วน แล้วเอาไปเทียบกับ benchmark — ควรใช้คู่กับ trend และ period-to-period เสมอ ไม่ใช้อัตราส่วนตัวเดียวโดดๆ

มุมเถ้าแก่/สภา: เรื่องนี้ตรงกับสัญชาตญาณเถ้าแก่มากกว่าที่คิด เถ้าแก่ที่คุมหลายสาขาย่อมรู้สึกได้เองว่าสาขาไหน “ผิดปกติ” เพราะเขาเทียบในหัวอยู่ตลอด — สาขานี้ทำเลพอกัน คนเดินพอกัน ทำไมกำไรต่างกันลิบ analytical review ก็คือการเอาสัญชาตญาณนั้นมาทำให้เป็นระบบ เทียบด้วยตัวเลขจริงแทนความรู้สึก สิ่งที่สภาได้คือจุดที่ควรไปขุดต่อ ก่อนที่ปัญหาจะบานเป็นเงินก้อนโต

มุมผู้ตรวจ (คนสอบ): เวลาโจทย์เล่าว่าเอาข้อมูลปีนี้ไปเทียบกับปีก่อน กับงบ กับค่าเฉลี่ยอุตสาหกรรม แล้วถามว่านั่นคือขั้นตอนอะไร — คำตอบคือ analytical procedure วัตถุประสงค์ของมันคือทดสอบความสมเหตุสมผลโดยรวม (overall reasonableness) จำคำนี้ให้แม่น เพราะกับดักชุดถัดไปเล่นกับคำนี้ทั้งชุด

บันไดวิเคราะห์ 4 ขั้น: อ่าน verb แล้วปีนให้ถูก#

พอพูดถึง data analytics (การวิเคราะห์ข้อมูล) ข้อสอบชอบเอาสี่คำนี้มาเรียงเป็นบันไดแล้วให้เราจับคู่ เนื้อหาไม่ยาก แต่พลาดง่ายเพราะฟังคล้ายกันไปหมด เคล็ดคือจับคำกริยาหลักในโจทย์ แล้วดูว่ามันอยู่ขั้นไหนของบันได — อดีต วินิจฉัย พยากรณ์ สั่งการ

• Descriptive (บอกว่าเกิดอะไรขึ้น) ขั้นล่างสุดและใช้บ่อยสุด แค่รายงานผลจริงและแนวโน้มรวม — “เกิดอะไรขึ้น” หรือ “ตอนนี้เป็นยังไง”
• Diagnostic (วินิจฉัยว่าทำไม) เจาะหาเหตุว่าทำไมผลอดีตถึงออกมาแบบนั้น — root cause ของสิ่งที่เกิดไปแล้ว
• Predictive (พยากรณ์อนาคต) เอาสมมติฐานใส่ข้อมูลแล้วทำนายผลในอนาคต — โอกาสที่จะเกิด, แนวโน้มไตรมาสหน้า
• Prescriptive (สั่งการว่าต้องทำอะไร) เน้นว่าต้องทำอะไรเพื่อให้อนาคตที่พยากรณ์ไว้เกิดขึ้นจริง — แผน, ข้อเสนอแนะ, การ optimize

นอกบันไดยังมี anomaly detection ที่คอยจับสิ่งผิดปกติหรือเบี่ยงจาก pattern ที่คาดไว้ ถ้าโจทย์บอกให้ “ชี้จุดที่ผิดแผก/หลุดจากรูปแบบที่ควรเป็น” นั่นคือ anomaly detection ไม่ใช่ descriptive

มุมเถ้าแก่/สภา: ลองนึกภาพยอดขายที่ตกลง เถ้าแก่ถามได้สี่แบบ แต่ละแบบคือคนละขั้นของบันได — “เดือนนี้ยอดเท่าไร” (บอกว่าเกิดอะไร) “ทำไมมันตก” (วินิจฉัย) “เดือนหน้าจะตกอีกไหม” (พยากรณ์) “แล้วเราต้องทำอะไรให้มันกลับมา” (สั่งการ) คำถามในหัวเถ้าแก่ปีนบันไดนี้อยู่ตลอดโดยไม่รู้ตัว หน้าที่ของกองผู้ตรวจคือรู้ว่าตอนนี้เถ้าแก่ยืนอยู่ขั้นไหน แล้วส่งการวิเคราะห์ให้ตรงขั้น

มุมผู้ตรวจ (คนสอบ): จับ verb ในโจทย์เป็นหลัก — report / actual results / เกิดอะไรขึ้น → descriptive · why / reason / สาเหตุของผลในอดีต → diagnostic · forecast / anticipate / โอกาสในอนาคต → predictive · what should we do / recommend / best way / optimize → prescriptive

⚠️ กับดัก: คำว่า “อนาคต” ในโจทย์จะดึงให้เผลอตอบ predictive แต่ถ้าโจทย์ถามว่าต้องทำอะไรเพื่อให้อนาคตนั้นเกิดขึ้น คำตอบคือ prescriptive (สร้างแผน/เสนอแนะ/optimize) ไม่ใช่ predictive และคำว่า “เหตุผล/ทำไมผลถึงเป็นแบบนี้/root cause ของผลอดีต” คือ diagnostic ไม่ใช่ descriptive (ซึ่งแค่รายงานว่าเกิดอะไร) และก็ไม่ใช่ anomaly detection เว้นแต่โจทย์สั่งให้จับตัวผิดปกติออกมา ระวังโจทย์หลอกด้วยความหรู — ข้อมูลดูซับซ้อนล้ำสมัยแค่ไหน ถ้าสิ่งที่ทำคือ “รายงานผลจริง” มันก็ยังเป็น descriptive ล้วนๆ

⚠️ กับดัก: โจทย์ชอบผ่าสถานการณ์เดียวออกเป็นสองครึ่งแล้วให้คนละป้าย — “ระบุเหตุที่กำไรลด” คือ diagnostic แต่พอต่อด้วย “แล้วสร้างแผนแก้” ครึ่งหลังกลายเป็น prescriptive ทันที แต่ละครึ่งถูกให้คะแนนแยกกัน อย่าตอบป้ายเดียวคลุมทั้งประโยค

analytical = ทดสอบความสมเหตุสมผล ไม่ใช่พิสูจน์รายตัว#

ตรงนี้คือกับดักที่ออกบ่อยและเจ็บ เพราะข้อสอบชอบเอาวิธีตรวจแบบเจาะรายการมาแต่งหน้าให้ดูเหมือน analytical แล้วหลอกให้ตอบผิด หัวใจที่ต้องปักไว้คือ — analytical procedure มันเทียบข้อมูลกับความคาดหมายเพื่อดูภาพรวมว่าสมเหตุสมผลไหม มันไม่เคยพิสูจน์รายการเดี่ยวๆ และลำพังตัวมันเองก็ไม่เคยพอจะรองรับ assertion ตัวไหนได้

ทีนี้ตัวลวงมันหน้าตายังไง — มันจะเอา verb ของการตรวจแบบเจาะลึก (test of details) มาแต่งให้ดูเป็นการวิเคราะห์ เช่น “เทียบรายการในตารางกับบัญชีเจ้าหนี้ทีละรายการ” “ยืนยันยอดกับเจ้าหนี้” “ตรวจใบกำกับของผู้ขาย” “ไล่รายการผ่านระบบทีละตัว” — ทั้งหมดนี้คือ test of details หรือ test of controls ไม่ใช่ analytical เลยสักตัว

วิธีแยกง่ายๆ ถามตัวเองว่า ตัวเลือกนี้ศึกษาความสัมพันธ์ข้ามช่วงเวลา/ข้ามอุตสาหกรรม/ข้ามอัตราส่วนเทียบกับ expectation หรือเปล่า

• เทียบกับงวดก่อน / งบประมาณ / อุตสาหกรรม / อัตราส่วน → analytical
• ไล่รายการ, ยืนยันยอด, ตรวจใบกำกับ, ไล่ตารางกับบัญชี, สุ่มตัวอย่างมาตรวจทีละตัว → test of details / controls ไม่ใช่ analytical

มุมเถ้าแก่/สภา: อุปมาเหมือนเถ้าแก่ยืนดูภาพรวมยอดทั้งร้านแล้วรู้สึกว่า “ตัวเลขมันดูไม่เข้าเรื่อง” — นั่นคือ analytical มันบอกได้แค่ว่ามีบางอย่างผิดปกติควรไปดูต่อ แต่มันไม่ได้บอกว่ารายการไหนโกง ถ้าเถ้าแก่อยากรู้ว่าใบเสร็จใบไหนปลอม ต้องลงไปเปิดดูทีละใบ ซึ่งนั่นเป็นคนละงานกัน

มุมผู้ตรวจ (คนสอบ): จำว่าวัตถุประสงค์ของ analytical = ความสมเหตุสมผลโดยรวม ไม่เคยเป็นการพิสูจน์ assertion ด้วยตัวเอง

⚠️ กับดัก: เจอโจทย์กลับด้าน “วิธีใดมีประสิทธิภาพน้อยที่สุดในการตรวจพบ” พอเป็นแบบนี้ analytical กลายเป็นตัวเลือกที่อ่อนที่สุด เพราะเมื่อต้องจับความผิดพลาดเฉพาะรายการหรือทุจริตที่สงสัยไว้แล้วเจาะจง การวิเคราะห์ภาพรวมสู้การตรวจแบบเจาะลึกไม่ได้ เช่นดอกเบี้ยรับที่บันทึกเกิน หรือทุจริตในค่าใช้จ่ายดำเนินงานที่สงสัยไว้ล่วงหน้าแล้ว analytical review คือตัวที่ตรวจพบยากที่สุด ให้เลือกวิธีเจาะจงแทน และระวังตัวเลือกที่โม้ว่า analytical จะเจอความผิดพลาดเจาะจง เจอวันตัดยอด หรือยืนยันได้ทุกรายการ — เกินจริงทั้งนั้น analytical แค่ส่งสัญญาณความสมเหตุสมผลเท่านั้น

อ่านสูตรของ ratio ก่อนเดาสาเหตุ#

พอมาถึง ratio ข้อสอบชอบเล่นเกมนี้ — บอกว่าอัตราส่วนตัวหนึ่งขยับไปทางหนึ่ง แล้วถามว่าอะไรคือสาเหตุ วิธีที่ปลอดภัยที่สุดคือเขียนสูตรออกมาก่อน แล้วไล่ดูว่าแต่ละตัวเลือกดันตัวเศษหรือตัวส่วนไปทางไหน เลือกเฉพาะสาเหตุที่ดันอัตราส่วนไปทางเดียวกับที่โจทย์บอกว่ามันขยับ อย่าเดาจากคำที่ฟังดูน่าสงสัย

ลองไล่ดูตัวคลาสสิค

• AR turnover = ยอดขายเชื่อสุทธิ ÷ ลูกหนี้เฉลี่ย ถ้ามันลดลง แปลว่าลูกหนี้บวมขึ้นหรือยอดขายเชื่อหดลง → สาเหตุที่เข้าเค้าคือผ่อนปรนเงื่อนไขเครดิต (liberalized credit policy) ส่วนการเข้มงวดเครดิตหรือขายเงินสดมากขึ้น จะดัน turnover ให้สูงขึ้น ตอบไม่ได้กับโจทย์ที่บอกว่ามันลด
• กำไรขั้นต้นสูงขึ้น เกิดเมื่อต้นทุนขายต่ำลง → inventory ปลายงวดถูกบันทึกเกินจริง (overstated ending inventory) ทำให้ต้นทุนขายต่ำเกินจริง กำไรขั้นต้นเลยดูพุ่ง — นี่แหละคำอธิบายของตัวเลข “หน้าตาแปลก” ต้นเรื่อง
• Total-asset turnover = ยอดขาย ÷ สินทรัพย์รวม ถ้าบันทึก inventory ปลอมเข้าไป สินทรัพย์บวม → อัตราส่วนตก
• สินค้าล้าสมัยกองอยู่ → inventory turnover (ต้นทุนขาย ÷ inventory เฉลี่ย) ลดลง

มุมเถ้าแก่/สภา: เถ้าแก่ที่เก๋าจะรู้ว่าตัวเลขสวยเกินไปบางทีน่ากลัวกว่าตัวเลขแย่ กำไรขั้นต้นที่พุ่งโดยไม่ได้เปลี่ยนสินค้าหรือวิธีตั้งราคา อาจแปลว่ามีคนตุนตัวเลข inventory ปลายงวดไว้เกินจริง — ซึ่งวันหนึ่งมันจะย้อนกลับมาเป็นขาดทุนก้อนโต การที่กองผู้ตรวจอ่านสูตรออกและชี้ได้ว่า “ตัวเลขนี้ขยับเพราะกลไกอะไร” คือสิ่งที่กันเถ้าแก่จากการดีใจผิดจังหวะ

มุมผู้ตรวจ (คนสอบ): เขียนสูตร แล้วทดสอบทิศทางของแต่ละตัวเลือก เลือกตัวที่ทิศตรงกับที่โจทย์บอก ตัดตัวที่ดันไปคนละทางทิ้งทันที

⚠️ กับดัก: ตัวลวงหลักคือตัวเลือกที่ดันอัตราส่วนไปผิดทาง — เงื่อนไขเครดิตที่เข้มงวดขึ้นจะเพิ่ม AR turnover จึงอธิบาย “การลดลง” ไม่ได้ และการเพิ่มยอดขายเงินสดให้ผลไม่แน่นอน อีกกลุ่มคือตัวลวงที่ “ฟังดูโกง” แต่ตัวเลขไม่รับ เช่นบอกว่าทุจริตทั้งที่ไม่มี inventory หายไปเลย หรือใช้อัตราส่วนตัวเดียวโดดๆ มาสรุปทุจริต ส่วนลายเซ็นของกิจกรรมปลอมนั้น ยอดขายปลอมจะดันลูกหนี้สุทธิ/สินทรัพย์รวมสูงขึ้นพร้อมกับ AR turnover ที่ตกลง, inventory ปลอมดันอัตราส่วนหมุนเวียนสูงแต่ total-asset turnover ต่ำ พอเจอโจทย์ “สัญญาณใดบ่งชี้ทุจริตชัดที่สุด” ตัวที่ใช่คือชุดที่สูตรของมันเข้ากันหลายตัว เช่นกำไรขั้นต้นกระโดดพร้อมกับยอดรับคืนสินค้าที่เพิ่มขึ้น

เจอผลผิดคาด: ตรวจซ้ำและยืนยัน ไม่ใช่เผชิญหน้าหรือด่วนสรุป#

สมมติว่ากองผู้ตรวจเทียบตัวเลขแล้วเจอของแปลกจริงๆ อย่างกำไรขั้นต้นที่พุ่งโดยอธิบายไม่ได้ — จังหวะนี้แหละที่ข้อสอบชอบวางกับดักหนักที่สุด เพราะมันวัดว่าเรารู้ลำดับการทำงานหรือเปล่า กฎเหล็กคือ ตรวจซ้ำและหาหลักฐานยืนยันก่อน ห้ามกระโดดไปสรุปทุจริต ห้ามรับคำอธิบายของผู้บริหารดิบๆ และห้ามเผชิญหน้ากับคนที่อาจมีเอี่ยว

ลำดับที่ถูกต้องเมื่อเจอผลวิเคราะห์ผิดคาด

• จังหวะแรก: กลับไปกลั่นการวิเคราะห์ให้ละเอียดขึ้น คำนวณใหม่, แยกชั้นข้อมูล (stratify), ขอข้อมูลที่ละเอียดกว่าเดิม — ก่อนจะไปคุยกับใคร
• จังหวะสอง: ตรวจสอบกับบันทึกภายในที่เป็นอิสระและหาหลักฐานยืนยัน คำอธิบายของผู้บริหาร ห้ามรับมาเชื่อทั้งดุ้น ต้องหา evidence มา corroborate เสมอ
• ห้ามกล่าวหาว่าทุจริต จนกว่าข้อเท็จจริงจะรองรับ และห้ามเผชิญหน้ากับคนที่อาจเกี่ยวข้องในลักษณะที่ทำให้เขารู้ตัว (เพราะจะทำให้การสอบสวนเสียรูป)
• ห้ามหยุด เพราะอ้างว่ามันไม่ได้อยู่ใน work program หรือเพราะอุตสาหกรรมดูนิ่งดี — โปรแกรมงานไม่ได้ปิดปากการสืบต่อ และปัจจัยภายในก็ยังต้องอธิบาย

มุมเถ้าแก่/สภา: ลองนึกภาพผู้จัดการสาขาถูกถามว่าทำไมกำไรพุ่ง แล้วตอบลอยๆ ว่า “ก็เราขายเก่งขึ้นน่ะครับ” ถ้าหัวหน้าทีมรับคำนั้นมาเชื่อทันทีแล้วปิดเรื่อง เถ้าแก่อาจกำลังนั่งทับ inventory ปลอมโดยไม่รู้ตัว สิ่งที่สภาอยากได้ไม่ใช่ผู้ตรวจที่เชื่อคนง่าย และก็ไม่ใช่ผู้ตรวจที่ตื่นตูมโวยว่า “มีคนโกง!” ตั้งแต่ยังไม่มีหลักฐาน — แต่เป็นคนที่ไปขุดหลักฐานมายืนยันคำอธิบายนั้นอย่างเงียบๆ ก่อนจะสรุปอะไร

มุมผู้ตรวจ (คนสอบ): มองหา option ที่ กลั่นการวิเคราะห์ให้ละเอียดก่อน แล้วไปหาหลักฐานยืนยันสาเหตุ ตัดทุกตัวเลือกที่ (ก) กระโดดแจ้ง board/CAE หรือโทรหาฝ่ายกฎหมายทั้งที่ข้อเท็จจริงยังไม่รองรับทุจริต (ข) ถามผู้จัดการแล้วรับคำอธิบายมาเชื่อโดยไม่ตรวจ (ค) หยุดเพราะอ้างว่าอยู่นอก work program หรืออุตสาหกรรมนิ่ง

⚠️ กับดัก: ตัวลวงคลาสสิคคือ “รับคำอธิบายของผู้จัดการแล้วจบ” การเชื่อคำตอบของฝ่ายบริหารโดยไม่ยืนยันคือความล้มเหลวยอดฮิต ส่วนการเผชิญหน้ากับคนที่อาจเป็นผู้ก่อเหตุก็ทำให้การสืบสวนพัง อีกด้านคือ “สงสัยทุจริต → รีบแจ้ง board / เรียกทนาย” ทั้งที่ข้อเท็จจริงยังไม่ถึง นั่นคือด่วนสรุปเกินไป และเจอโจทย์แบบ “อะไรไม่ใช่สาเหตุของปัญหา” ให้ระวัง — ต้นเหตุจริงคือการรับคำตอบผู้บริหารโดยไม่ทดสอบ กับความเที่ยงธรรม (objectivity) ที่บกพร่อง ส่วนตัวการวิเคราะห์ที่เลือกใช้ไม่ใช่ความผิด ถ้าเลือกวิธี analytical ที่ถูกต้องแล้ว นั่นไม่ใช่ตัวที่ทำให้เกิดปัญหา

เครื่องมือยุคใหม่: แยก CAAT ให้ขาด ใครโปรแกรม ใครข้อมูล#

ทีนี้ขยับมาฝั่งเครื่องมือ — พอระบบเป็นคอมพิวเตอร์ งานอย่างการดึงข้อมูล วิเคราะห์ แล้วก็เฝ้าตรวจ control ก็โยนให้ software ทำแทนได้ วัตถุประสงค์การตรวจไม่เปลี่ยน แต่ทำได้ครอบคลุมและเร็วขึ้นเยอะ เครื่องมือกลุ่มนี้เรียกรวมๆ ว่า CAATs (computer-assisted audit techniques — เทคนิคการตรวจสอบด้วยคอมพิวเตอร์) เก่งเป็นพิเศษกับบัญชีที่มีรายการมหาศาลอย่างเจ้าหนี้และลูกหนี้ ส่วนการดูแลว่าเครื่องมือพวกนี้เพียงพอและเหมาะสมไหม เป็นหน้าที่ของ CAE

หัวใจที่ข้อสอบดักหนักที่สุดในหมวดนี้คือ CAAT สามตัวที่ต้องแยก — ปมอยู่ที่ โปรแกรมของใคร กับ ข้อมูลของใคร

• Test data approach: ผู้ตรวจสร้างรายการปลอม (dummy) ขึ้นมาชุดหนึ่ง แล้วรันบนโปรแกรมขององค์กรภายใต้การควบคุมของผู้ตรวจ เพื่อทดสอบว่า control ที่ผู้บริหารบอกว่ามีนั้นทำงานจริงไหม จุดสำคัญคือต้องมีเพียงรายการเดียวต่อหนึ่งเงื่อนไขที่ผู้ตรวจสนใจ เพราะการประมวลผลมันสม่ำเสมออยู่แล้ว ข้อดีคือทดสอบ control ตรงๆ ข้อเสียคือทดสอบได้แค่ช่วงเวลาเดียว ไม่ได้การันตีว่าโปรแกรมที่รันตอนทดสอบคือตัวเดียวกับที่ใช้ทั้งปี
• ITF (integrated test facility): ผู้ตรวจฝังระเบียนปลอมเข้าไปในระบบจริงขององค์กร (เช่นพนักงานปลอมในไฟล์เงินเดือน) แล้วรายการปลอมกับรายการจริงถูกประมวลผลไปด้วยกันบนโปรแกรมที่ทำงานอยู่จริง โดยพนักงานปฏิบัติงานไม่รู้ตัว ข้อดีคือทดสอบโปรแกรมตัวจริงขณะทำงาน ข้อเสียคือต้องประสานงานเยอะ และต้องล้างรายการปลอมออกก่อนออกรายงาน
• Parallel simulation: ผู้ตรวจใช้โปรแกรมของตัวเองที่ควบคุมได้ ไปประมวลผลรายการจริงซ้ำ แล้วเทียบผลของตัวเองกับผลของหน่วยงานที่ถูกตรวจ ถ้า control ทำงานตรงกัน ผลควรออกมาเหมือนกัน ข้อดีคือเอารายการตลอดทั้งงวดมารันซ้ำได้ ให้ความเชื่อมั่นว่า control ทำงานตลอดช่วง ไม่ใช่แค่จุดเดียว

มุมเถ้าแก่/สภา: อุปมาเหมือนเถ้าแก่อยากรู้ว่าเครื่องคิดเงินหน้าร้านคิดถูกไหม test data คือเอาบิลปลอมที่รู้คำตอบอยู่แล้วไปกดที่เครื่องของร้าน ดูว่าเครื่องคิดตรงไหม · parallel simulation คือเถ้าแก่เอาเครื่องคิดเลขของตัวเองมาคิดบิลจริงทั้งวันใหม่ แล้วเทียบว่าตรงกับเครื่องหน้าร้านไหม · ITF คือแอบใส่บิลปลอมปนเข้าไปกับบิลจริงระหว่างวันโดยพนักงานไม่รู้ แล้วดูว่าระบบจับได้ไหม เถ้าแก่ที่แยกสามวิธีนี้ออกจะเลือกเครื่องมือให้ตรงกับสิ่งที่อยากรู้

มุมผู้ตรวจ (คนสอบ): ยึด trigger สองอันให้แน่น — โปรแกรมผู้ตรวจ + รันข้อมูลจริง + เทียบผลสองฝั่ง = parallel simulation (ตัวนี้คือ “โปรแกรมที่ควบคุมได้”) · รายการ dummy ของผู้ตรวจ + รันบนโปรแกรมองค์กร = test data · dummy + จริง รันด้วยกันบนโปรแกรมจริง โดยพนักงานไม่รู้ = ITF

⚠️ กับดัก: ตัวลวงที่พบบ่อยที่สุดคือสลับคำว่า “โปรแกรมของผู้ตรวจ” กับ “โปรแกรมขององค์กร” ระหว่าง parallel simulation กับ test data จำให้แม่นว่า parallel simulation ใช้โปรแกรมผู้ตรวจ ส่วน test data รันบนโปรแกรมองค์กร อีกตัวคือบอกว่า test data ต้องครอบคลุม “ทุกเงื่อนไขที่เป็นไปได้” หรือ “หลายรายการต่อเงื่อนไข” ซึ่งผิด แค่หนึ่งรายการต่อหนึ่งเงื่อนไขที่สนใจก็พอ และระวังตัวลวงที่แปะคุณสมบัติ “ประมวลผลของปลอมกับของจริงพร้อมกันโดยไม่ให้ผู้ปฏิบัติงานรู้” ไปให้ parallel simulation — นั่นคือของ ITF เท่านั้น parallel simulation รันเฉพาะรายการจริงซ้ำ ถ้าโจทย์ถามว่า CAAT ตัวไหน “ใช้โปรแกรมที่ควบคุมได้” คำตอบคือ parallel simulation

GAS จัดการข้อมูล ไม่ตัดสินใจแทนคน#

อีกตัวที่ต้องรู้จักคือ GAS (generalized audit software — โปรแกรมตรวจสอบสำเร็จรูป) มันเก่งเรื่องจัดการข้อมูลทั้งไฟล์ — ดึง, เรียง, กรอง, บวกรวม, จัดอายุลูกหนี้ (aging), จับคู่ไฟล์, หาช่องว่างของเลขที่เอกสาร, หาข้อมูลซ้ำ, เลือกตัวอย่าง ใช้ได้ทั้งกับ test of controls และ substantive procedure และดีเป็นพิเศษเมื่อหลักฐานมีอยู่ในรูปอิเล็กทรอนิกส์ล้วนๆ หรือไฟล์ใหญ่มากจนตรวจมือไม่ไหว

แต่เส้นที่ข้ามไม่ได้คือ GAS ไม่ตัดสินใจแทนคน มันหาข้อผิดพลาดได้ แต่ห้ามแก้ข้อมูลให้ มันประเมินระดับความเสี่ยงที่ยอมรับได้ไม่ได้ ตัดสินโอกาสเกิดทุจริตไม่ได้ และไม่ยืนยันว่ารายการไหนคือทุจริตจริง — มันแค่ชี้ ตัวบ่งชี้ หรือความผิดปกติขึ้นมาให้คนไปดูต่อ

วิธีแยกคือถามว่า งานนี้เป็นการจัดการข้อมูลล้วนๆ บนไฟล์ หรือมันต้องใช้ดุลยพินิจของคน

• ดึง, เรียง, กรอง, บวกรวม, คำนวณซ้ำ, จัดอายุ, จับคู่ไฟล์, หาช่องว่าง, เลือกตัวอย่าง → GAS ทำได้
• ใช้ดุลยพินิจ / ใช้อำนาจตัดสิน / แก้ไขข้อมูล / สรุปว่าเป็นทุจริต → GAS ทำไม่ได้ นั่นเป็นงานของผู้ตรวจ

มุมเถ้าแก่/สภา: เหมือนเถ้าแก่มีเด็กคนหนึ่งที่คัดแยกและนับของในโกดังได้เร็วและเป๊ะกว่าใคร — แต่เด็กคนนี้ตัดสินใจไม่ได้ว่าของชิ้นไหน “ล้าสมัยควรทิ้ง” หรือ “น่าสงสัยว่าถูกขโมย” เพราะนั่นต้องใช้วิจารณญาณของคน เถ้าแก่ใช้เด็กคนนี้จัดของให้เห็นภาพ แล้วคนถึงเข้ามาตัดสินต่อ

มุมผู้ตรวจ (คนสอบ): เจอโจทย์ “GAS ทำอะไรได้ ยกเว้น…” ให้เลือกตัวที่เป็นดุลยพินิจหรือการแก้ข้อมูล และ GAS ใช้ได้ทั้ง test of controls และ substantive — ถ้าถามว่าใช้กับสองอย่างนี้ได้ไหม ตอบได้ทั้งคู่

⚠️ กับดัก: ตัวลวงยอดฮิตคือ “แก้ข้อมูลที่ผิดพลาดก่อนเริ่มทดสอบ” ฟังดูช่วยดี แต่นี่คือคำตอบของโจทย์แบบ “ยกเว้น” นั่นคือ GAS หาข้อผิดพลาดได้ แต่ต้องไม่แก้ให้ อีกตัวคือ “สืบว่า inventory ล้าสมัยไหม” ความล้าสมัยเป็นดุลยพินิจ GAS จึงเหมาะน้อยที่สุด (แม้มันจะชี้อัตราหมุนเวียนต่ำได้ก็ตาม) และ “กำหนดระดับความเสี่ยงที่ยอมรับได้” หรือ “ประเมินโอกาสเกิดทุจริต” ก็เป็นการตัดสินใจของผู้ตรวจ ไม่ใช่ผลลัพธ์ของ GAS ส่วน “ตรวจจับ/ยืนยันรายการทุจริต” ก็พูดเกินไป GAS แค่ชี้ตัวบ่งชี้ ไม่ได้ยืนยันทุจริต และเกร็ดหนึ่ง — ถ้าผลจัดอายุของโปรแกรมผู้ตรวจต่างจากของระบบทั้งที่ยอดรวมตรงกัน ให้ไปไล่ดูข้อมูลจริงก่อนเพื่อยืนยันตรรกะของโปรแกรม

ตรวจต่อเนื่อง real-time = embedded audit module#

ถ้าโจทย์ต้องการเฝ้าตรวจแบบต่อเนื่อง real-time คือจับข้อมูลขณะที่รายการกำลังประมวลผลและคอยชี้สิ่งผิดปกติทันที — คำตอบมีตัวเดียวคือ embedded audit module (โมดูลตรวจสอบที่ฝังในระบบ) มันฝังโค้ดเข้าไปในโปรแกรมขององค์กรเพื่อดึงรายการที่ผู้ตรวจสนใจออกมาแบบต่อเนื่อง เหมาะกับระบบที่ไม่มีกระดาษเลย (paperless) ที่ต้องเฝ้าดูการประมวลผลตลอดเวลา

ตัวเทียบที่ต้องแยกออกคือพวกจุดเวลาเดียว — snapshot จับข้อมูล ณ จุดหนึ่งของการประมวลผล (แค่ชั่วขณะ), test data และ parallel simulation ก็เป็นการทดสอบแบบ point-in-time ทั้งคู่ ไม่ใช่การเฝ้าตรวจต่อเนื่อง

มุมเถ้าแก่/สภา: เหมือนความต่างระหว่างเถ้าแก่ที่เดินเข้าไปดูหน้าร้านวันละครั้ง (จุดเวลาเดียว) กับเถ้าแก่ที่ติดกล้องวงจรปิดคอยดูตลอดเวลาและเด้งเตือนทันทีที่มีอะไรผิดปกติ (ต่อเนื่อง) แบบหลังเห็นปัญหาทันที ไม่ต้องรอรอบตรวจ — แต่แลกมาด้วยการต้องเข้าไปยุ่งตอนออกแบบระบบ

มุมผู้ตรวจ (คนสอบ): ต้องการ “จับข้อมูลขณะรายการวิ่ง / เฝ้าตรวจต่อเนื่อง / ชี้ของผิดปกติแบบ real-time” → embedded audit module ส่วน snapshot / test data / parallel simulation = จุดเวลาเดียว ตัดทิ้งเมื่อโจทย์ขอความต่อเนื่อง

⚠️ กับดัก: snapshot ที่บอกว่า “จับข้อมูล ณ จุดหนึ่งของการประมวลผล” ฟังดูเหมือนต่อเนื่อง แต่จริงๆ เป็นแค่ชั่วขณะเดียว ตอบผิดสำหรับการเฝ้าตรวจต่อเนื่อง และระวังคำกล่าวที่ว่า “เทคนิคตรวจแบบพร้อมกัน (concurrent) เป็นส่วนประกอบมาตรฐานของ software ทั่วไป” — ผิด มันเป็น software ตรวจสอบเฉพาะทาง ไม่ได้มากับแพ็กเกจทั่วไป และเหตุผลที่ผู้ตรวจลังเลจะใช้ embedded module คือมันอาจต้องให้ผู้ตรวจเข้าไปยุ่งกับการออกแบบระบบ ซึ่งเสี่ยงกระทบความเป็นอิสระ (independence)

AI กับ machine learning: ช่วยเร่ง ไม่การันตี ไม่แทนคน#

ปิดท้ายด้วยของที่ดูล้ำและออกข้อสอบมากขึ้นเรื่อยๆ — AI (artificial intelligence — ปัญญาประดิษฐ์), machine learning และ RPA (robotic process automation — ระบบทำงานอัตโนมัติ) เข้ามาช่วยงานตรวจจริง แต่กับดักของหมวดนี้อยู่ที่ระดับคำสัญญา ตัวเลือกที่พูดเว่อร์เกินไปมักผิด

Machine learning เป็น subset ของ AI ที่ช่วยงาน data analytics ฝั่งการทำนาย มันเรียนรู้จากข้อมูลในอดีตแล้วสร้างโมเดลไว้พยากรณ์ ตัวอย่างที่ตรงกับงานตรวจเลยคือ เอา machine learning ไล่ทั้ง populationเพื่อหาความผิดปกติ แทนที่จะสุ่มดูแค่ตัวอย่างบางส่วน ส่วน neural network เป็น AI อีกแบบที่เรียนรู้ได้กว้าง ต่างจาก expert system ที่พึ่งกฎที่โปรแกรมไว้ล่วงหน้าเป็นหลัก

แต่ก่อนจะป้อนข้อมูลเข้าโมเดลพวกนี้ มีขั้นที่ข้ามไม่ได้คือ Data cleaning (การล้างข้อมูล) — เขี่ยข้อมูลที่ไม่มีประโยชน์อย่างข้อมูลซ้ำทิ้ง ตามหาข้อมูลที่หายไป ทำให้ข้อมูลสะอาดและอยู่ในรูปแบบเดียวกันก่อน เพราะโมเดลจะแม่นแค่ไหนมันขึ้นกับความสะอาดของข้อมูลที่ป้อนเข้าไปนั่นแหละ ส่วนเทคนิคเชิงลึกของการเตรียมและจัดการข้อมูลว่าทำงานยังไง เดี๋ยวจะมีซีรีส์แยกที่ลงลึกกว่านี้ (พื้นฐาน Database ทำไมต้องมีฐานข้อมูล) ตอนนี้ในมุมสอบ CIA จำแค่ระดับ concept ว่ามันคือขั้นเตรียมข้อมูลให้พร้อมก่อนวิเคราะห์ก็พอ

ส่วน RPA เหมาะกับงานที่มีกฎชัดและทำซ้ำ (rules-based และ repetitive) อย่างการป้อนข้อมูล ประมวลใบแจ้งหนี้ กระทบยอด — ไม่ใช่งานที่ต้องใช้ดุลยพินิจซับซ้อน

มุมเถ้าแก่/สภา: เถ้าแก่อาจตื่นเต้นว่า “มีเครื่องมือฉลาดๆ แล้ว ไม่ต้องจ้างกองผู้ตรวจแล้วมั้ง” — ตรงนี้ต้องเบรกเลยครับ เครื่องมือพวกนี้ช่วยให้กองผู้ตรวจดูข้อมูลได้ครบทั้งกองแทนที่จะสุ่มดูบางส่วน และชี้จุดเสี่ยงได้เร็วขึ้น แต่มันไม่ได้ตัดสินแทนคน ยังต้องมีคนตีความว่าสิ่งที่เครื่องชี้มานั้นแปลว่าอะไร และไม่มีเครื่องมือไหนการันตีได้ว่าจะไม่มีทุจริตเกิดขึ้นในอนาคต การลงทุนกับเครื่องมือคือการเสริมกองผู้ตรวจให้เห็นกว้างและเร็วขึ้น ไม่ใช่การเลิกจ้างคน

มุมผู้ตรวจ (คนสอบ): ตัวเลือกที่ถูกมักเป็นตัวที่ถ่อมตัว — “ช่วยชี้จุดเสี่ยงได้เร็วขึ้น” “ให้ผู้ตรวจดูข้อมูลได้ทั้งหมดแทนการสุ่ม” “หา pattern/ความผิดปกติ โดยที่ดุลยพินิจยังอยู่ที่คน” ส่วนตัวที่พูดเป็นคำสุดขั้วมักผิด

⚠️ กับดัก: คำสัญญาแบบสุดขั้วผิดเสมอ ได้แก่ “AI แทนผู้ตรวจได้ทั้งหมด” “การันตีพยากรณ์แม่น 100%” “รับประกันว่าจะไม่มีทุจริต” “การันตีว่าจะเจอทุจริตแน่นอน” “ตัดความจำเป็นในการวิเคราะห์และใช้ดุลยพินิจเพิ่มเติมทิ้งไป” เจอคำเด็ดขาดพวกนี้ให้ตัดทิ้งได้เลย เพราะเทคโนโลยีเสริม ไม่ได้แทน และการตีความยังอยู่ที่ผู้ตรวจ ส่วน RPA ถ้าโจทย์ถามว่าเหมาะกับงานลักษณะใด คำตอบคืองานมีกฎชัดและทำซ้ำ ไม่ใช่งานที่ต้องใช้ดุลยพินิจหรือซับซ้อน ตัวลวงที่บอกว่า “RPA เอาไว้ตัดสินใจเรื่องที่ต้องใช้วิจารณญาณ” ผิดเต็มๆ

ตารางกับดักรวม#

สิ่งที่จดสำหรับวันสอบ#

• Analytical procedure = เทียบข้อมูลกับ expectation เพื่อดูความสมเหตุสมผลโดยรวม ไม่พิสูจน์รายการเดี่ยว ไม่พอด้วยตัวเองในการรองรับ assertion
• เครื่องมือเทียบ: period-to-period, trend, benchmarking, ratio — ใช้ ratio คู่กับ trend เสมอ อย่าใช้ตัวเดียวโดดๆ
• บันได 4 ขั้น อ่าน verb: report=descriptive · why/root cause อดีต=diagnostic · forecast อนาคต=predictive · what to do=prescriptive · flag outlier=anomaly detection
• โจทย์อาจผ่าครึ่งให้คนละป้าย (หาเหตุ=diagnostic + สร้างแผน=prescriptive) ให้คะแนนแยกกัน
• อ่านสูตร ratio ก่อนเดา — AR turnover ลด=ผ่อนเครดิต · กำไรขั้นต้นพุ่ง=inventory เกิน · inventory ปลอม=total-asset turnover ลด
• เจอผลผิดคาด: กลั่นวิเคราะห์ให้ละเอียด → หาหลักฐานยืนยันสาเหตุ ห้ามด่วนสรุปทุจริต ห้ามเชื่อผู้บริหารดิบๆ ห้ามเผชิญหน้าคนที่อาจเกี่ยว ห้ามหยุดเพราะ “อยู่นอก work program”
• CAAT สามตัว (โปรแกรมใคร/ข้อมูลใคร): test data = dummy บนโปรแกรมองค์กร · parallel simulation = โปรแกรมผู้ตรวจรันข้อมูลจริงซ้ำ (โปรแกรมควบคุมได้, รันได้ทั้งงวด) · ITF = ปลอม+จริงพร้อมกันบนโปรแกรมจริง คนไม่รู้ (ต้องล้างของปลอมทิ้ง)
• test data ใช้หนึ่งรายการต่อหนึ่งเงื่อนไขที่สนใจ ไม่ใช่ทุกเงื่อนไข
• GAS = จัดการข้อมูล (ดึง/เรียง/กรอง/บวก/จัดอายุ/จับคู่) ใช้ได้ทั้ง controls+substantive แต่ไม่แก้ข้อมูล ไม่ตัดสินเสี่ยง ไม่ยืนยันทุจริต — โจทย์ “ยกเว้น” มักตอบตัวที่ต้องใช้ดุลยพินิจ
• ต้องการตรวจต่อเนื่อง real-time = embedded audit module (snapshot/test data/parallel simulation = จุดเวลาเดียว) · concurrent = software เฉพาะทาง ไม่ใช่ของทั่วไป
• AI/ML เสริม ไม่แทน — คำสุดขั้ว (แทนคน/แม่น 100%/กันทุจริต/ตัดดุลยพินิจ) ผิดเสมอ · ML ไล่ทั้ง population หาความผิดปกติได้ · Data cleaning คือขั้นเตรียมข้อมูลก่อนวิเคราะห์ · RPA = งานมีกฎชัด+ทำซ้ำ

เก็บและวิเคราะห์หลักฐานครบทุกเครื่องมือแล้ว คำถามถัดมาคือ แล้วทั้งหมดนี้จดไว้ที่ไหน ตอนหน้าว่าด้วยกระดาษทำการ (workpapers) หลักฐานหลักของภารกิจ — คุณภาพวัดที่ความพอเพียงให้คนใหม่ทำซ้ำได้ ไม่ใช่ความสวยงาม, การสอบทาน การเก็บรักษา และใครดูได้ไม่ได้ ตอนถัดไป: กระดาษทำการ

อ้างอิง: Gleim CIA Review (2026), Part 2 · IIA Global Internal Audit Standards (2024)