Section 3.5 — testing classifications (unit, integration, system, recovery, security, performance), QAT vs UAT, ทำไม UAT ห้าม delegate ให้ vendor และ IS auditor's own tools (ITF, GAS, SCARF, snapshot, parallel simulation) ที่เป็น CAATs ในมุม SDLC พร้อม data integrity testing + certification process ก่อน go-live

Section 3.4 — application controls ที่ทดสอบบ่อยที่สุดในข้อสอบ Input controls (edit checks, batch totals, source authorization), Processing controls (run-to-run totals, exception reports, reasonableness), Output controls (distribution, retention, reconciliation) พร้อมเรื่อง DBA bypass — application controls แข็งแค่ไหน ก็ไม่มีความหมายถ้าฐานข้อมูลถูกแก้ตรง

Section 3.3.5 — methodology ที่ไม่ใช่ waterfall ทุกแบบมี risk profile คนละเรื่อง Agile ไม่ใช่ no documentation, Prototype ไม่ใช่ production after approval, RAD ไม่ใช่แค่ shortened waterfall, DevOps ไม่ใช่ทำให้ change control หาย OOSD เป็น programming paradigm ไม่ใช่ methodology ของโปรเจ็ค auditor ต้องตรวจคนละจุดในแต่ละแบบ

Section 3.3 phases 1-3 + 3.3.7-3.3.9 — SDLC แบบ waterfall ที่ทุก methodology อื่นใช้เป็น baseline เปรียบเทียบ พร้อมเรื่องการซื้อระบบ: RFP/ITT, vendor evaluation, source code escrow, right-to-audit clause และเหตุผลที่ buyer ต้องทดสอบเอง — ห้าม delegate ให้ vendor

Section 3.1 + 3.2 — ก่อนจะเริ่มสร้างระบบ ต้องมี governance structure (sponsor, steering committee, PM, PMO), business case ที่วัดได้, และ feasibility study ที่เปรียบเทียบทางเลือกอย่างซื่อตรง บทนี้รวม WBS, Gantt, CPM, PERT, EVA และเรื่องที่ IS auditor มักพลาดที่สุด — independence ที่หายไปเมื่อเข้าไปอยู่ในทีมโปรเจ็ค

เปิด Domain 3 — ก่อนจะลงรายละเอียด SDLC, methodology หลายแบบ, application controls, testing, migration และ postimplementation review ผมขอวาด map ทั้ง domain ก่อน — ตั้งแต่วันที่ business โยนไอเดียมา จนถึงวันที่ระบบขึ้น production แล้วยังต้องมีคนกลับมาตรวจอีกรอบ

ปิด Domain 2 — recap ทั้ง 9 ตอน, 5 บทเรียนสำคัญที่ Domain 2 ฝังในหัว (Accountability ไม่ transfer, Governance vs Management, วงจรไม่หยุด, Independence = Structural, Documentation = Asset) บวกเกริ่น Domain 3 ที่เปลี่ยนเรื่องไปยัง 'สร้าง IT system ใหม่'

QA vs QC ที่คนใช้สลับกันตลอด, QA Independence ที่ต้อง structural ไม่ใช่แค่ stated, Quality Management ที่ทำให้ process เป็น repeatable, Operational Excellence — ที่มาของ continuous improvement บวก trap คลาสสิก: developer review code ตัวเอง

วัด IT performance ที่ไม่ใช่แค่ตัวเลขบน dashboard — KPI (จะถึงเป้ามั้ย), KRI (เสี่ยงเพิ่มขึ้นมั้ย), KGI (control ทำงานจริงมั้ย) — 3 ตัวที่บอกคนละเรื่อง บวก PDCA cycle และ IT Balanced Scorecard ที่ทำให้ board เห็น IT ครบทุกมิติ

Outsourcing เป็น sourcing ที่ใหญ่ที่สุดของ IT ในยุคนี้ — แต่ผู้บริหารเข้าใจผิดบ่อยที่สุดว่า 'ส่งออกแล้วไม่ต้องรับผิดชอบ' จริง ๆ accountability ไม่ transfer สัญญา outsourcing ที่ดี + SOC report + right-to-audit + cloud governance + concentration risk

Part B ของ D2 เริ่มแล้ว — ลงไปดู operational governance: portfolio management ที่จัดสรร IT investment, HR controls (background check, mandatory leave, termination), enterprise change management, financial management (chargeback, capex vs opex), security management ที่เป็นระบบ

Section 2.6 + 2.7 ลึก — Privacy Program (data controller vs processor, consent + opt-in/out + withdrawal, 8 documentation types, ISACA Privacy Principle 9, Privacy Audit), Data Governance (4 classification levels, Information Owner, Legal Purpose / Consent / Legitimate Interest), NIST Privacy Framework (Control-P + Communicate-P), Transborder Data Flow

Section 2.5 ERM ลึก — Risk Appetite vs Risk Tolerance, ISRM = management function (ไม่ใช่ audit), Risk Lifecycle 4 ขั้น (Identify/Assess/Respond/Monitor), Threat actors (script kiddie / hacktivist / nation-state), Environmental threats, Vulnerabilities, Risk Responses 4 แบบ, Control Matrix, Risk Methods (Qualitative/Semiquantitative/Quantitative + Delphi)

ส่วนที่ 2 ของ Section 2.2 + Section 2.4 — ทำงานยังไงในชีวิตจริง: IS Strategy + Strategic Planning Lifecycle (agile/rolling vs 5-year cycle), IT Strategy vs IT Steering Committee (trap คลาสสิก), Organizational Structure + SoD + Job Rotation + Mandatory Leave, Business Intelligence + Data Architecture (11 layers), Enterprise Architecture (Zachman + TOGAF)

ส่วนที่ 1 ของ Section 2.2 — ใครรับผิดชอบ governance ของ IT? Corporate Governance + COBIT 7 components, EGIT (board responsibility ไม่ใช่ของ CIO), Governance vs Management ที่คนสับสนตลอด, Three Lines Model (First/Second/Third Line) + Information Security Governance (CISO reporting line trap)

ลำดับชั้นของกฎ — จากกฎหมายภายนอก (PDPA, GDPR) ลงมาเป็น policy ภายใน → standards → procedures → guidelines เห็นว่ากฎที่ดูยุ่งเหยิงในชีวิตจริง จัดเป็นชั้นได้สวยงาม และทำไม auditor ต้องเข้าใจชั้นทั้งหมดเพื่อตรวจ control ให้ตรงจุด

บทเปิด Domain 2 — เปลี่ยนมุมจาก 'วิธีของหมอ' (auditor process ใน D1) มาเป็น 'สรีระวิทยาของผู้ป่วย' (governance ขององค์กรที่ถูก audit) เล่าตั้งแต่เถ้าแก่ตัดสินใจคนเดียว จนบริษัทโตเป็น enterprise ที่ต้องการ board, committee, และระบบ governance ของ IT

Section 1.10 — ใครตรวจ auditor? Audit Committee oversight, IS Audit QA process, Training & development, Independence + CPE monitoring พร้อม recap Domain 1 ทั้ง 13 ตอน 5 บทเรียนสำคัญ และเกริ่นว่า Domain 2 (Governance) จะพาเราไปไหนต่อ

Section 1.9 — ออก audit report ยังไงให้ board ใช้ตัดสินใจได้ — 6 objectives ของ report, รู้ว่าใครเป็น audience, structure ของ report, balance ระหว่าง positive/negative findings, follow-up เป็น value creation จริง และ documentation ที่ trace ได้ทั้งสองทาง

Section 1.8 — เทคโนโลยีเปลี่ยน audit ยังไง วิวัฒนาการของเครื่องมือจาก CAATs (Generalized Audit Software) → Continuous Auditing (5 techniques) → AI/ML in IS Audit พร้อม risks ของ AI ที่ต้องระวังเสมอ

Section 1.7 — เก็บ evidence ยังไงให้ยืน — Sufficient + Competent (reliable + relevant) นิยาม Evidence, 4 มิติคุณภาพ, 7 เทคนิคเก็บหลักฐาน, ลำดับชั้นความน่าเชื่อถือ และศิลปะของการสัมภาษณ์ + สังเกตการณ์

Section 1.6 — เครื่องมือทดสอบใน Fieldwork phase ของ engagement สองคู่ที่ต้องเข้าใจ: Compliance vs Substantive testing + Statistical vs Nonstatistical sampling พร้อม Attribute, Variable sampling, Sampling Risk และ 6 ขั้นตอนสร้าง sample

บทเปิด Part B พร้อมเนื้อ Section 1.5 เต็ม — Audit Engagement คือ Project ที่มี 3 phases ลึกลงไปดู Audit Objectives, Phases, Programs, Work Papers และการรับมือ Fraud พร้อมแย้มทุกบทถัดไปใน Part B

บทสุดท้ายของ Part A — กฎหมาย/regulations เป็น mandatory input ที่บังคับ audit scope ไม่ว่า risk จะบอกอะไร พร้อมสรุปภาพรวมทั้ง Part A 8 ตอน และเตรียมตัวเข้าสู่ Part B (Execution: testing, evidence, reporting, QA)

ขยายขั้น 'วางแผนตรวจ' จาก flow ในตอน 03 — เอาภาษา Risk + Control จากตอน 05 มาใช้จริง สร้าง Audit Universe จัดอันดับด้วย risk assessment ผ่าน 4-layer planning hierarchy ที่ ISACA กำหนด