IS Auditor ใน CSA = Facilitator ไม่ใช่ผู้ตรวจ#

นี่คือจุดที่ข้อสอบ CISA ชอบถาม

ใน CSA process บทบาทของ IS auditor เปลี่ยนจาก “คนที่มาตรวจ” เป็น “คนที่ช่วยให้เจ้าของกระบวนการตรวจตัวเองได้ดีขึ้น”

IS auditor ทำหน้าที่:

• ช่วยเจ้าของกระบวนการนิยาม controls ที่เหมาะสมและประเมินว่าเพียงพอไหม
• อธิบาย risk ที่กระบวนการทางธุรกิจเผชิญอยู่ เพื่อให้เจ้าของกระบวนการเข้าใจว่าทำไมถึงต้องมี controls
• นำ workshop ที่ functional management และ IS auditor มาร่วมกันพิจารณาวิธีพัฒนาโครงสร้าง control
• สร้างบรรยากาศที่เอื้อ ให้ผู้เข้าร่วมแชร์ข้อมูล ความรู้ และความกังวลได้อย่างสบายใจ

ใน CSA workshop: IS auditor เป็น facilitator — management เป็นผู้เข้าร่วมที่เป็นเจ้าของการตัดสินใจ

เป้าหมายหลักของ CSA#

นี่เป็นอีกจุดที่ออกข้อสอบบ่อยมากครับ คำถาม “what is the KEY benefit of CSA?” เกือบทุกครั้งจะมีตัวเลือกที่ถูก = management ownership of internal controls is reinforced

ไม่ใช่ “ลดค่าใช้จ่าย audit” (บางครั้งได้ บางครั้งไม่ได้) ไม่ใช่ “ตรวจจับการทุจริตได้ดีขึ้น” (เป็นประโยชน์รอง ไม่ใช่หลัก) ไม่ใช่ “ให้ auditor ขยับไปทำหน้าที่ที่ปรึกษา” (เป็นผลพลอยได้ ไม่ใช่วัตถุประสงค์)

วัตถุประสงค์หลัก = ย้ายบางส่วนของ control monitoring ไปยังหน่วยงาน functional และทำให้ management ตระหนักว่าตัวเองรับผิดชอบ internal controls ขององค์กร

CSA ทำผ่านหลายช่องทาง#

• แบบสอบถามและ survey — ถามเป็นแบบฟอร์มให้เจ้าของกระบวนการประเมิน
• Facilitated workshops — มีคน facilitate การพูดคุยระหว่างทีม
• Peer review แบบไม่เป็นทางการ — ทีมงานตรวจสอบกันเอง

ประโยชน์ที่เห็นได้จริงในบริบทธุรกิจไทย#

ประการแรก: ตรวจพบตั้งแต่เนิ่นๆ ที่ formal audit ทำไม่ได้

Formal IS audit ทำปีละครั้ง แปลว่าถ้า control failure เกิดในเดือนกุมภาพันธ์แต่ audit เพิ่งมาในเดือนตุลาคม — มี 8 เดือนที่ risk ไม่ถูกตรวจพบ

CSA ที่ทำรายไตรมาสหรือบ่อยกว่านั้นทำให้ management ระบุปัญหาได้ใกล้เคียง real-time มากกว่า ไม่ต้องรอรอบ formal

ประการที่สอง: พัฒนาต่อเนื่องแทนภาพถ่าย ณ จุดเดียว

Annual IS audit ให้ “ภาพถ่าย” ของ control environment ณ จุดหนึ่ง CSA ทำให้ controls เป็น “วิดีโอที่อัปเดตต่อเนื่อง” เพราะเจ้าของกระบวนการตรวจและปรับอยู่ตลอด ไม่ใช่แค่ตอน auditor มาเท่านั้น

ประการที่สาม: ความเป็นเจ้าของที่เกิดขึ้นจริง

เมื่อพนักงานและหัวหน้าทีมมีส่วนร่วมในการประเมิน controls ของตัวเอง — พวกเขาเข้าใจว่าทำไมถึงต้องมี controls เหล่านั้น ความเข้าใจนี้ทำให้การปฏิบัติตามกฎเป็นเรื่อง “อยากทำ” มากกว่า “ต้องทำ”

ลองเปรียบ: ถ้า HR department มีส่วนร่วมประเมิน control ของกระบวนการ payroll เอง — พวกเขาจะรู้ว่า “authorization limit ที่ 50,000 บาท” มีไว้เพราะอะไร ต่างจากแค่เห็น policy ที่ใครก็ไม่รู้สร้างมา

ประการที่สี่: ความตระหนักเรื่อง risk ที่กระจายออกไปทั่วองค์กร

เมื่อ CSA ทำงานดี — ไม่ใช่แค่ IS auditor ที่ “รู้เรื่อง risk” แต่ staff ระดับปฏิบัติการทุกระดับรู้ว่า risk ของพื้นที่ตัวเองคืออะไร และ controls ที่มีอยู่จัดการ risk เหล่านั้นยังไง ผลคือความตระหนักเรื่อง risk ขององค์กรกระจายตัวกว้างขึ้น

ประการที่ห้า: ช่องทางสื่อสารที่ดีขึ้นระหว่างระดับชั้น

CSA workshop สร้างเวทีที่ staff ระดับปฏิบัติการพูดคุยกับ management เกี่ยวกับความกังวลเรื่อง control ได้โดยตรง ในบริบทไทยที่วัฒนธรรมแบบลำดับชั้นอาจทำให้คนล่างๆ ไม่กล้าพูดประเด็นปัญหา — CSA ให้โครงสร้างที่ “ปลอดภัย” สำหรับการสนทนาเหล่านั้น

ข้อจำกัดที่ต้องระวัง:

ไม่มีอะไรสมบูรณ์แบบ CSA มีข้อจำกัดสำคัญสามอย่าง:

หนึ่ง: CSA ไม่ได้แทนที่ formal IS audit — มันทำงานเสริมกัน ถ้า management มองว่า “มี CSA แล้วไม่ต้องมี formal audit” นั่นคือความเข้าใจผิดที่อันตราย เพราะ CSA ขาดความเป็นอิสระที่ formal audit ต้องการ

สอง: ถ้าออกแบบไม่ดี กลายเป็นภาระงานเพิ่ม โดยไม่ได้คุณค่าพอ

สาม: ถ้า management ฟังผลที่พบแต่ไม่ลงมือทำ — พนักงานที่มีส่วนร่วมจะถอนตัว และ CSA ก็จะล้มเหลวในรอบถัดๆ ไป

IS Auditor ต้องขยายออกไปนอกขอบเขตแบบเดิม#

ใน Integrated Auditing: IS auditor ต้องขยายขอบเขตออกไปครอบคลุมพื้นที่ financial/operational audit ด้วย ไม่ใช่แค่ตรวจ IT systems อย่างเดียว รวมถึง:

• Information management
• IT administration
• IT governance
• IT operations

ขณะเดียวกัน financial auditor ต้องเข้าใจโครงสร้าง IT control พอที่จะเห็นคุณค่าว่า IT systems ส่งผลต่อรายงานการเงินอย่างไร

6 ขั้นตอนของ Integrated Audit Process#

1. สร้างคำอธิบายของพื้นที่ key และเตรียมการ
2. ระบุ key controls ที่เกี่ยวข้อง
3. ทบทวนและทำความเข้าใจการออกแบบของ key controls
4. ทดสอบการรองรับของ IT system สำหรับ key controls
5. ทดสอบประสิทธิผลในการดำเนินงานของ management controls
6. สร้างรายงานหรือความเห็นรวมเกี่ยวกับ control risk การออกแบบ และจุดอ่อน

ผลลัพธ์สุดท้าย: รายงานครอบคลุมฉบับเดียวจากทีมที่มีทักษะหลากหลาย — องค์กรถูกรบกวนน้อยกว่าทำ audit แยกกัน 2 ครั้ง และ management เห็นภาพรวมที่สมบูรณ์กว่า