โครงของบท#

• Follow-up คือหน้าที่ของใคร และทำไมมันเป็นสิ่งที่ ต้องทำ ไม่ใช่ทางเลือก
• ยืนยัน implement ยังไง — คำพูดไม่พอ ช่องติ๊กในระบบก็ไม่พอ ต้องดูว่ามันได้ผลจริงไหม
• ระบบติดตาม (tracking system) ที่ดีเก็บอะไรบ้าง และอะไรกำหนดว่าจะตามหนักแค่ไหน
• บันได escalation — เมื่อ deadline เลื่อนซ้ำแล้วซ้ำอีก ต้องไต่ขั้นไหนก่อน อย่ากระโดด
• ปิดวงรอบ — เรื่องที่ยังไม่จบไหลกลับเข้า audit plan รอบถัดไปยังไง

ตรวจเสร็จไม่ใช่จบ: follow-up เป็นของ CAE และเป็นภาคบังคับ#

เริ่มจากคำถามพื้นฐานที่สุดก่อน พอตรวจเจอปัญหา สื่อสารให้ฝ่ายบริหารรับทราบ ตกลงกันเรื่อง action plan เรียบร้อยแล้ว ทีนี้ใครมีหน้าที่ตามว่ามันถูกแก้จริง

คำตอบคือ CAE (chief audit executive) เป็นคนวางและดูแลระบบติดตามผลว่างานที่ต้องให้ฝ่ายบริหารตอบสนองนั้นถูกจัดการไปถึงไหน ส่วน internal audit function เป็นคนประเมินว่าการแก้ไขนั้น เพียงพอและได้ผล หรือเปล่า พูดง่ายๆ งานตามผลเป็นของฝั่งผู้ตรวจ ไม่ใช่ของฝ่ายบริหาร ไม่ใช่ของผู้ตรวจภายนอก และไม่ใช่ปล่อยให้รอบตรวจครั้งหน้ามาเจอเอง

จุดนี้ข้อสอบชอบวางกับดักไว้หลายแบบ ลองนึกดูนะ pattern ที่เจอบ่อยคือ โจทย์บอกว่าฝ่ายบริหารจะเป็นคนติดต่อกลับมาหาผู้ตรวจเอง ตอนที่เขาเชื่อว่าความเสี่ยงถูกจัดการแล้ว ฟังดูเข้าท่าใช่ไหมล่ะ แต่ผิด เพราะมันย้าย trigger ไปอยู่ในมือฝ่ายบริหาร ทั้งที่ CAE ต้องเป็นคนคุมระบบ monitoring เอง อีกกับดักคลาสสิคคือ “งานตามผลเป็นความรับผิดชอบของฝ่ายบริหาร ผู้ตรวจไม่เกี่ยว” อันนี้ผิดชัดๆ มันเป็นหน้าที่ของ CAE

มุมเถ้าแก่/สภา: สำหรับเจ้าขององค์กร นี่คือความต่างระหว่างการจ่ายเงินจ้างกองผู้ตรวจการแล้วได้ความอุ่นใจจริงๆ กับจ่ายแล้วได้แค่รายงานสวยๆ ที่ไม่มีใครตามให้เกิดผล ปัญหาที่เจอแล้วปล่อยทิ้งไว้ก็ไม่ต่างอะไรกับไม่เคยเจอ เงินที่เสียไปกับการตรวจก็สูญเปล่า

มุมผู้ตรวจ (คนสอบ): trigger ที่ต้องจับให้ไวคือคำว่า “follow-up responsibility” อยู่ที่ใคร คำตอบยึดสองหลักเสมอ เจ้าของ คือ CAE/internal audit function และ บังคับ คือ follow-up เป็นสิ่งที่ต้องทำ ตัวเลือกไหนก็ตามที่โยนงานนี้ให้ฝ่ายบริหาร ผู้ตรวจภายนอก หรือรอบตรวจถัดไป = ผิดหมด

⚠️ กับดัก: “ทรัพยากรมีจำกัด งบไม่พอ เลยข้าม follow-up ไปเลย” ผิด ทรัพยากรกับต้นทุนมีผลแค่ต่อ ขนาด/ความเข้มข้น ของการติดตาม (nature-timing-extent) แต่ไม่เคยมีผลต่อ การตัดสินใจว่าจะทำหรือไม่ทำ จะจนแค่ไหนก็ต้องตาม เพียงแต่อาจตามแบบเบาลงตามความเสี่ยงเท่านั้นเอง

⚠️ กับดัก: ตัวเลือกที่ให้ผู้ตรวจ ลงมือแก้เอง หรือ กำกับดูแลการแก้ไข ผิดเด็ดขาด เพราะมันทำลาย independence (ความเป็นอิสระ) และ objectivity (ความเที่ยงธรรม) ผู้ตรวจแค่ตามให้แน่ใจว่ามีการลงมือแก้ แต่ไม่เคยเป็นคนแก้เอง เส้นนี้ข้ามไม่ได้

ยืนยันว่า “ได้ผลจริง” ไม่ใช่แค่ “ทำเสร็จแล้ว”#

อันนี้คือหัวใจของตอนนี้เลย กลับไปที่ห้องประชุมกัน สมมติว่ารอบนี้ผู้จัดการสาขาไม่ได้พูดว่า “กำลังดำเนินการ” แล้ว แต่บอกเต็มปากเลยว่า “แก้เสร็จแล้วครับ ทำครบทุกข้อ” คำถามคือผู้ตรวจควรทำยังไงต่อ

คำตอบไม่ใช่การพยักหน้าแล้วปิดแฟ้ม และก็ไม่ใช่การเปิดระบบไปติ๊กช่องว่า “เสร็จ” ด้วย การยืนยันการ implement ที่แท้จริงคือการทำ follow-up assessment แบบ risk-based เพื่อพิสูจน์ว่าความเสี่ยงเดิมถูกลดลงจริง ไม่ใช่แค่ว่างานตามรายการถูกทำครบ

ความต่างตรงนี้ละเอียดอ่อนแต่สำคัญมาก the Standards แยกชัดระหว่าง การเฝ้าดูความคืบหน้า (monitoring progress) กับ กระบวนการตามผล (follow-up) อันหนึ่งคือ “watching” อีกอันคือ “assessing” ระบบ monitoring คอยดูสถานะว่าเรื่องไหน open, past due, completed ส่วน follow-up คือการลงไปตัดสินว่าฝ่ายบริหารจัดการปัญหาได้เพียงพอหรือยัง ถ้ายังไม่พอ ก็ต้องยืนยันว่าฝ่ายบริหารตัดสินใจ ยอมรับความเสี่ยง ของการไม่ลงมือเอง

⚠️ กับดัก: “รับคำยืนยันด้วยวาจาของฝ่ายบริหารว่าแก้แล้ว” ผิด คำพูดไม่ใช่หลักฐานที่พอจะยืนยัน effectiveness เหมือนกับ “อ้างอิงความเห็นของฝ่ายบริหาร” หรือ “นับจำนวน action plan ที่ปิดไปแล้ว” นั่นแหละ ปริมาณกับความเห็นมันไม่เท่ากับหลักฐานว่ามันได้ผล สิ่งที่ต้องเรียกร้องคือ หลักฐานของการ implement และการ monitoring

⚠️ กับดัก: “อัปเดตระบบ tracking” ในฐานะ ขั้นตอนสุดท้าย อันนี้เป็นกับดักที่แนบเนียน เพราะการอัปเดตระบบมันเป็นงานธุรการ มันไม่ได้ทดสอบว่ามาตรการได้ผล (ข้อควรระวัง: ตัวเลือกนี้ ถูก ก็ต่อเมื่อโจทย์ถามงาน tracking/inquiry แบบ routine ตรงๆ เท่านั้น ต้องอ่านให้ขาดว่าโจทย์ถามอะไรกันแน่)

⚠️ กับดัก: “ตรวจใหม่ทั้งหมด (full audit)” หรือ “รอรอบตรวจตามกำหนดครั้งหน้า” อันหนึ่ง over-kill อีกอัน under-kill คำตอบที่ถูกอยู่ตรงกลางพอดี คือ risk-based follow-up assessment

แล้วอะไรกำหนดว่าจะตามหนักแค่ไหน คำตอบเดียวคือ significance of the risk ความสำคัญของความเสี่ยงเป็นตัวขับ ขนาด ของ follow-up ไม่ใช่ต้นทุน ไม่ใช่ทรัพยากรที่มี และไม่ใช่ความร่วมมือของฝ่ายบริหาร เรื่องเสี่ยงสูงก็ตามเข้ม เรื่องเสี่ยงต่ำก็ตามเบา ตรงไปตรงมา

ส่วนเรื่องลำดับ เวลาโจทย์ถามว่า “ทำอะไรก่อนหลัง” ให้จำว่า สอบถามฝ่ายบริหารก่อน (inquire first) แล้วค่อยไปดูเอกสารหลักฐาน จากนั้นทำ follow-up assessment แล้วจึงสื่อสารผล เริ่มที่การถามเสมอ

มุมเถ้าแก่/สภา: เจ้าของกิจการอยากได้ยินว่า “ปัญหาถูกปิดแล้วจริงๆ” ไม่ใช่ “มีคนบอกว่าปิดแล้ว” ความต่างตรงนี้แหละคือความต่างระหว่างนอนหลับสบาย กับตื่นมาเจอปัญหาเดิมโผล่มาอีกในไตรมาสหน้า เพราะการแก้ครั้งก่อนเป็นแค่พิธีกรรมบนกระดาษ

ระบบติดตามที่ดีเก็บอะไร และ charter คือคนนิยาม#

CAE ต้องเข้าใจก่อนว่า board กับ senior management ต้องการข้อมูลอะไร แล้วค่อยออกแบบระบบ ระบบ tracking แบบ risk-based ที่ดีจะบอกสถานะของ action plan ได้ว่าอันไหน open, past due, completed ส่วนเรื่องที่ยังเปิดอยู่ ข้อมูลที่ควรเก็บก็มักจะเป็นพวกนี้

• finding และ recommendation ที่สื่อสารไปแล้ว พร้อม risk rating ของแต่ละอัน
• ลักษณะของมาตรการแก้ไข ที่ตกลงกันไว้
• timing, deadline, อายุ ของมาตรการ และการเปลี่ยน target date ทุกครั้ง — จุดนี้แหละที่จับ “deadline เลื่อนซ้ำ” ได้
• ผู้จัดการหรือ process owner ที่รับผิดชอบแต่ละมาตรการ
• สถานะปัจจุบัน และผู้ตรวจได้ยืนยันสถานะนั้นหรือยัง

เครื่องมือจะเป็นอะไรก็ได้ ตั้งแต่ spreadsheet ธรรมดาไปจนถึง software เฉพาะทาง หัวใจมันไม่ได้อยู่ที่ว่าเครื่องมือหรูแค่ไหน แต่อยู่ที่มันเก็บ finding, มาตรการที่ตกลง และสถานะปัจจุบันได้ครบหรือเปล่า

แล้วอำนาจในการทำ follow-up มาจากไหน จุดนี้ข้อสอบชอบเล่นคำ ความรับผิดชอบเรื่อง follow-up ของ internal audit function ถูก นิยามไว้ในกฎบัตร (charter) ที่เป็นลายลักษณ์อักษร charter คือเอกสารที่กำหนด purpose, authority และ responsibility นั่นเอง

⚠️ กับดัก: โจทย์เสนอ “engagement memo ที่ออกก่อนแต่ละงานตรวจ” หรือ “mission statement ของ audit committee” หรือ “purpose statement ในตัวรายงาน” ว่าเป็นที่นิยามหน้าที่ follow-up ผิดหมด เอกสารพวกนี้อาจ อ้างถึง หน้าที่นี้ซ้ำได้ก็จริง แต่มัน derive อำนาจมาจาก charter อีกที ต้นทางมันอยู่ที่ charter เสมอ

แต่ต้องอ่านโจทย์ให้ขาด ถ้าโจทย์ถามว่าอะไร นิยาม (defined in) หน้าที่นี้ คำตอบคือ charter แต่ถ้าโจทย์ถามว่าอะไร กำหนดให้ต้องทำ (required by) ในฐานะพันธะทางวิชาชีพ คำตอบพลิกไปเป็น the Standards (Global Internal Audit Standards) เจตนาของ Standard 15.2 ก็คือการยืนยันการ implement นี่แหละ (จำเจตนาไว้ ไม่ต้องท่องเลข)

บันได escalation: ไต่ทีละขั้น อย่ากระโดดขึ้น board#

กลับมาที่ฉากเปิด “กำลังดำเนินการครับ” ครั้งที่สี่ deadline เลื่อนซ้ำจนผู้ตรวจเริ่มหมดความอดทนแล้ว คำถามคือตอนนี้เดินไปเคาะประตูห้องใครได้บ้าง

คนสอบที่ยังไม่เข้าใจ pattern มักอยากตอบว่า “รายงาน board ทันที” หรือ “ส่งเรื่องถึง senior management เดี๋ยวนี้” ฟังดูเด็ดขาดดี แต่นี่แหละกับดักที่ข้อสอบวางไว้ล่อ กระบวนการ escalation เป็น บันไดที่ต้องไต่ทีละขั้น ไม่ใช่ลิฟต์ที่กดปุ๊บขึ้นชั้นบนสุดได้เลย

ลำดับที่ถูกต้องเริ่มจากล่างสุดเสมอ ก่อนจะ escalate ไปหา board หรือ senior management ตัว CAE เองต้องไปคุยกับ ผู้จัดการที่รับผิดชอบพื้นที่เสี่ยงนั้นโดยตรงก่อน เพื่อบอกความกังวลและฟังมุมของเขาด้วย แล้วตามธรรมเนียม ผู้ตรวจก็จะขอและบันทึกคำอธิบายจากฝ่ายบริหารไว้ ว่าทำไมถึงไม่คืบหน้าตาม completion date ที่ตกลงกันไว้

ลำดับขั้นของบันไดเป็นแบบนี้ คุยกับผู้รับผิดชอบโดยตรงก่อน ให้เวลาแก้ ถ้ายังไม่ขยับค่อยไต่ขึ้น CAE จากนั้น senior management แล้ว board เป็นขั้นสุดท้ายเสมอ ไม่ใช่ปฏิกิริยาแรก

ตำแหน่งของคนที่โจทย์สมมติขึ้นมา เป็นตัวชี้ว่าขั้นถัดไปที่ต้องไต่คือขั้นไหน

• ผู้ตรวจระดับ line/staff/มือใหม่ เจอเรื่องที่ยังไม่ถูกแก้ → ไปคุยกับผู้จัดการที่รับผิดชอบ (หรือทบทวนว่าทำไม แล้วดึง CAE เข้ามา) — ไม่เคยตรงดิ่งไปหา board หรือ senior management
• CAE ที่มี finding ค้างอยู่ → จัดการกับฝ่ายบริหารที่รับผิดชอบก่อน แล้วค่อยขึ้น senior management
• CAE ที่ใช้ช่องทาง senior management จนหมดแล้ว และ residual risk (ความเสี่ยงที่เหลืออยู่หลังแก้) เกิน risk appetite/tolerance ขององค์กร → ตอนนี้ค่อย escalate ถึง board แล้ว board เป็นคนตัดสินใจว่าจะจัดการยังไงต่อ

⚠️ กับดัก: “escalate ตรงถึง board ทันที” ทั้งที่ขั้นล่างๆ ยังไม่ได้ลองเลย คำตอบหลอกที่ยั่วใจที่สุด เพราะมันข้าม chain of command เหมือนกับ “รายงาน senior management ทันที” ทั้งที่ยังไม่ได้คุยกับผู้จัดการที่รับผิดชอบก่อนนั่นแหละ

⚠️ กับดัก: “ปิด engagement / บันทึกไว้แล้วเดินหน้าต่อ” อันนี้เท่ากับทิ้งความเสี่ยงที่ยังไม่ถูกแก้ ผิด ส่วน “ตรวจใหม่ทั้งหมดเพื่อยืนยัน” ก็เป็นการสร้างภาระที่หลบประเด็นว่ามันยังไม่ถูก implement

แต่มี cross-angle ที่ต้องระวัง พอ CAE ใช้ช่องทาง senior management จนหมดจริงๆ และความเสี่ยงที่เหลือเกินระดับที่องค์กรรับได้ ตอนนั้น “นำเสนอต่อ board” ที่เคยเป็นคำตอบผิด จะ พลิกกลับเป็นคำตอบถูก ทันที board ไม่ใช่ปฏิกิริยาแรก แต่เป็นปลายทางที่ถูกต้องเมื่อไต่บันไดครบทุกขั้นแล้ว

แล้วถ้า finding ยังคาราคาซังไม่จบ สุดท้ายก็จะมีการทำรายงาน internal audit ขึ้นมา แล้วแจกจ่ายไปยัง stakeholder ที่เกี่ยวข้อง

มุมเถ้าแก่/สภา: สำหรับ board การมีบันไดแบบนี้แปลว่าเรื่องที่ขึ้นมาถึงโต๊ะพวกเขา คือเรื่องที่ผ่านการพยายามแก้ในระดับล่างมาหมดแล้วจริงๆ ไม่ใช่ทุกเรื่องเล็กเรื่องน้อยถูกโยนขึ้นมาให้ปวดหัว board จะได้โฟกัสอยู่กับความเสี่ยงที่เกิน appetite ขององค์กรจริงๆ

มุมผู้ตรวจ (คนสอบ): วิธีตอบคือหา “ตำแหน่งของผู้พูด” ในโจทย์ให้เจอก่อน แล้วเลือกขั้น ถัดขึ้นไปหนึ่งขั้น ที่ยังไม่ได้ลอง คำที่เป็น absolute shortcut อย่าง “immediately to the board” หรือ “bypass the CAE” คือกับดักที่ปลูกไว้แทบทุกครั้ง

ปิดวงรอบ: เรื่องที่ยังไม่จบไหลกลับ audit plan#

ขั้นสุดท้ายที่ทำให้ทั้งวงจรครบ finding ที่ยังไม่ถูกปิด ไม่ได้หายไปไหน มันไหลกลับเข้าไปเป็น input ของการวางแผนตรวจรอบถัดไป การเฝ้าดูความคืบหน้าของ action plan ที่ตกลงไว้ เป็นหนึ่งในสิ่งที่ช่วยให้ผู้ตรวจเข้าใจ risk appetite และ risk tolerance ของฝ่ายบริหารได้ดีขึ้น แล้วข้อมูลนั้นก็ป้อนกลับเข้าไปในการจัดลำดับความเสี่ยงของ audit plan รอบใหม่อีกที

พูดง่ายๆ งานตรวจมันไม่ได้เดินเป็นเส้นตรงที่มีจุดจบ มันเป็นวง ตรวจ เจอปัญหา ตกลงมาตรการ ตามผล ยืนยันได้ผล แล้วเรื่องที่ยังไม่จบก็ถูกยกไปเป็นความเสี่ยงตั้งต้นของรอบหน้า วงนี้แหละที่ทำให้ internal audit function เพิ่มและปกป้องคุณค่าให้องค์กรได้จริง ไม่ใช่แค่ออกรายงานแล้วจบ

ตารางกับดักรวม#

สิ่งที่จดสำหรับวันสอบ#

• follow-up เป็นของ CAE และเป็นภาคบังคับ — ตัวเลือกที่โยนให้ฝ่ายบริหาร/ผู้ตรวจภายนอก/รอบหน้า = ผิด
• ผู้ตรวจไม่เคยลงมือแก้เอง — แก้เอง/กำกับการแก้ = ทำลาย independence กับ objectivity ทันที
• ยืนยัน = effectiveness ไม่ใช่ “done” — คำพูด, ความเห็น, จำนวนที่ปิด, ติ๊กระบบ ล้วนไม่พอ ต้องทำ risk-based follow-up assessment
• significance of the risk เป็นตัวเดียวที่กำหนดขนาดของ follow-up — ไม่ใช่ต้นทุน/ทรัพยากร/ความร่วมมือ
• ลำดับ: สอบถามฝ่ายบริหารก่อน → ดูเอกสาร → assess → สื่อสาร
• charter นิยาม, the Standards กำหนดให้ทำ — อ่านโจทย์ว่าถาม “defined in” หรือ “required by”
• บันได escalation ไต่ทีละขั้น ผู้จัดการที่รับผิดชอบ → CAE → senior management → board โดย board เป็นขั้นสุดท้ายเสมอ
• board พลิกเป็นคำตอบถูกก็ต่อเมื่อ CAE ใช้ senior management หมดแล้ว และ residual risk เกิน appetite
• คำ absolute อย่าง “immediately to the board” / “bypass the CAE” = กับดักที่ปลูกไว้แทบทุกข้อ

ติดตามจนแก้เสร็จเป็นเรื่องหนึ่ง แต่ การสื่อสารผลตรวจ ให้คนขยับตามได้เป็นอีกเรื่อง — ตอนหน้าเราลงหลักการสื่อสารตาม the Standards ทั้งเจ็ดคุณสมบัติ กระบวนการปิดงาน exit conference และใครได้รายงานเต็มใครได้แค่สรุป ตอนถัดไป: สื่อสารผลตรวจ

อ้างอิง: Gleim CIA Review (2026), Part 3 · IIA Global Internal Audit Standards (2024)