มาตรฐานขั้นที่ 1: Sufficient (เพียงพอ — quantity)#

มี evidence มากพอ จะสนับสนุน conclusion มั้ย?

ลองนึกถึง ทนายในคดี — มีพยานคนเดียวบอกว่าเห็นจำเลย พอมั้ย? อาจไม่พอ ถ้าเทียบกับมีพยาน 5 คน + กล้องวงจรปิด + DNA + ลายนิ้วมือ

ใน audit ก็แบบเดียวกัน evidence ชิ้นเดียวมักไม่พอ ต้องมีหลายอย่างที่ยืนยันกันและกัน

มาตรฐานขั้นที่ 2: Competent (มีคุณภาพ — quality)#

Competent = Reliable + Relevant

• Reliable — น่าเชื่อถือมั้ย
• Relevant — เกี่ยวข้องกับ audit objective มั้ย

Evidence ที่เยอะแต่ไม่ reliable หรือไม่ relevant = ไม่มีค่า เหมือนพยาน 100 คนที่ไม่เห็นเหตุการณ์เลย

ทั้ง 2 มาตรฐานต้องผ่านพร้อมกัน — sufficient + competent

1. Independence ของ Provider (สำคัญที่สุด)#

Evidence จากแหล่งภายนอก > evidence จากแหล่งภายใน

ตัวอย่าง:

• Confirmation letter จากลูกหนี้ (external) → น่าเชื่อถือสูง
• บันทึกในระบบ AR ของบริษัทเอง (internal) → น่าเชื่อถือน้อยกว่า

เหตุผล — แหล่งภายในมี interest ที่ทำให้ผล bias ได้ (ทั้งโดยตั้งใจและไม่ตั้งใจ) ส่วนแหล่งภายนอกที่ไม่มี interest = น่าเชื่อถือกว่า

2. Qualifications ของ Provider#

Evidence จาก qualified person > evidence จาก unqualified person

ตัวอย่าง:

• รายงานจาก certified penetration tester (qualified) → เชื่อได้
• รายงานจาก เจ้าหน้าที่ใหม่ที่ไม่มี security training (unqualified) → น่ากังขา

หลักการนี้ใช้กับ external specialists ด้วย — IS auditor ที่จะใช้ผลงานของผู้เชี่ยวชาญต้องตรวจ qualifications ก่อนถึงจะเชื่อ

3. Objectivity ของ Evidence#

Objective evidence > subjective / interpretive evidence

ตัวอย่าง:

• ตรวจ media inventory เองโดยตรง (objective) → เชื่อได้
• วิเคราะห์ efficiency จากการคุยกับ staff (subjective) → เชื่อได้น้อยกว่า

Objective = ดูข้อเท็จจริงตรงๆ / Subjective = ต้องตีความ ซึ่งการตีความใส่ judgment เข้าไป + อาจผิดได้

4. Timing ของ Evidence#

ช่วงเวลาที่ evidence มีอยู่ สำคัญสำหรับระบบที่ dynamic

ตัวอย่าง — Spreadsheet ที่ไม่มี version control vendor ก็ไม่ได้ backup → ถ้าตรวจวันนี้กับตรวจเดือนหน้าเนื้ออาจต่างกัน → เชื่อได้น้อยถ้าไม่มี control

ระบบ static (data ไม่เปลี่ยน) — timing ไม่ critical ระบบ dynamic (data เปลี่ยนตลอด) — timing กลายเป็น critical

สรุปลำดับชั้น#

1
External + Qualified + Objective + Timely
2
                ↓
3
     แข็งแกร่งที่สุด ✅
4

5
Internal + Unqualified + Subjective + Untimely
6
                ↓
7
     อ่อนแอที่สุด ❌

Evidence ในชีวิตจริงมักอยู่ตรงกลาง auditor ต้องประเมินทั้ง 4 มิตินี้ทุกครั้ง และใช้ multiple types ผสมกัน เพื่อชดเชยข้อจำกัดของแต่ละแบบ

1. Reperformance (แข็งแกร่งที่สุด)#

Reperformance = IS auditor ทำซ้ำ process ด้วยตัวเอง เพื่อดูว่าผลออกมาตามที่ควรจะเป็นมั้ย

ตัวอย่าง — ระบบควรคำนวณดอกเบี้ยเงินกู้ที่อัตรา X% auditor ก็คำนวณเองแยกแล้วเทียบผลกับระบบ

ทำไมแข็งแกร่งสุด: ผลที่ได้มาจาก auditor เอง ไม่มี filter ของระบบหรือคน — objective + independent ในตัว

ใช้เมื่อ inquiry + observation + examination รวมกันแล้วยัง provide sufficient assurance ไม่ได้

2. Review IS Documentation#

ตรวจเอกสารที่มีอยู่:

• Vendor documentation
• Application software docs
• Contractual requirements / design specs
• Functional requirements
• Security policies
• Program change logs
• User references
• Governance minutes
• Security-related documents

ครอบคลุมเอกสารทุกประเภทที่บอกว่า “ระบบควรทำอะไร” กับ “ระบบทำอะไรไปแล้ว”

3. Confirmation + Verification Letters#

ขอ เขียนรับรอง จาก external parties — เช่น vendor ยืนยันว่าได้ส่งบริการครบ, bank ยืนยัน balance, third-party SaaS ยืนยัน uptime

เป็น evidence ที่ independent + qualified → น่าเชื่อถือสูง

4. Observe Processes + Employee Performance#

สังเกต ตอน process ทำงานจริง:

• ดูพนักงานทำงานตาม procedure มั้ย
• ดูระบบประมวลผล transaction
• เก็บ physical evidence (เช่น photograph ของ server room ที่ประตูเปิด)

IS auditor ต้องเข้าใจว่า observation เพียงพอ เมื่อไหร่ และ ไม่เพียงพอ เมื่อไหร่

5. Walk-throughs#

Walk-through = ตรวจความเข้าใจของ controls โดยให้ control owner เดินผ่าน process ทีละขั้น

ไม่ใช่ test แต่เป็นการ validate ความเข้าใจ ก่อนเริ่ม test จริง

ช่วยให้ control owner + IS auditor เข้าใจตรงกันว่า controls ที่จะ assess มีอะไรบ้าง + ระบุ evidence ที่ต้องเก็บ

6. Review IS Organization Structures + Policies + Standards#

ตรวจ organizational charts, job descriptions, hiring policies, authorization procedures → ใช้ประเมิน SoD

ดูว่า policies / procedures มีจริง + พนักงานเข้าใจ + ทำตาม

7. Inquiry / Interview (อ่อนแอที่สุด)#

ถามคำถาม ได้คำตอบมาเป็น verbal / notes

ทำไมอ่อนแอสุด: Internal source + subjective + ต้องตีความคำตอบ + พนักงานอาจตอบเพื่อปกป้องตัวเอง

แต่ interview จำเป็น เพราะหลายเรื่องไม่มีในเอกสาร

หลักการ — interview ต้องมีเทคนิคอื่นมายืนยันด้วยเสมอ ห้ามใช้เป็น primary evidence

6 เทคนิคสังเกตการณ์ที่ ISACA กำหนด#

1. Observation — ดูว่าคนที่ assigned / authorized ทำงานจริงมั้ย
2. Inspection of records and documents — ใช้ test compliance + design effectiveness
3. Walk-through ของ process — รูปแบบหนึ่งของ compliance observation ใช้ได้ดีกับ physical controls
4. Examination of assets — ยืนยันความเข้าใจ + practice ของ security / control
5. Reperforming information technology — ตรวจ SoD + เทียบ logical access rights
6. Observation after-hours — เห็น actual practice ที่ไม่ใช่ “performance for the auditor”

After-hours observation มีค่าเป็นพิเศษ พนักงานมักเปลี่ยนพฤติกรรมเมื่อรู้ว่าถูกดู สังเกตในเวลานอกราชการเลยเห็น “ระบบทำงานจริงยังไง” ไม่ใช่ “ระบบทำงานยังไงเมื่อมีคนดู”