CG Today: Global Internal Audit Standards, Domain 4 : Managing the Internal Audit Function ฉบับกรรมการตรวจสอบ เข้าใจ ทำเป็น เต็มหน้าที่

การบริหารงานตรวจสอบภายใน

บทความนี้ต่อเนื่องมาจากตอนที่ 1 ถึง 3 ซึ่งเริ่มจากการกล่าวถึงความสำคัญของความเป็นอิสระและเที่ยงธรรมของผู้ตรวจสอบภายใน หลักจรรยาบรรณสำหรับผู้ตรวจสอบภายใน และปัจจัยสนับสนุนที่สำคัญในการกำกับดูแลการปฏิบัติงานตรวจสอบภายในให้มีประสิทธิผล ใน Domain 4 นี้ จะกล่าวถึงการบริหารงานตรวจสอบภายใน ที่มุ่งเน้นให้หัวหน้าหน่วยตรวจสอบภายใน (Chief Audit Executive หรือ CAE) บริหารจัดการหน่วยงานตรวจสอบภายในให้เกิดประสิทธิผลและสร้างมูลค่าเพิ่มแก่องค์กรได้ตามที่ถูกคาดหวัง และคณะกรรมการตรวจสอบสามารถใช้ข้อมูลในบทนี้เพื่อกำกับดูแลการบริหารงานของหน่วยงานตรวจสอบภายใน ให้มั่นใจว่าหน่วยงานตรวจสอบภายในสามารถปฏิบัติงานให้ครอบคลุมการกำกับดูแลกิจการ การบริหารความเสี่ยง และการควบคุมภายใน เพื่อช่วยให้องค์กรบรรลุกลยุทธ์ที่กำหนดไว้

การปฏิบัติงานของหน่วยตรวจสอบภายใน ประกอบด้วย 4 หลักการดังต่อไปนี้

หลักการที่ 1: การวางแผนกลยุทธ์ของหน่วยงานตรวจสอบภายใน

ในการวางแผนกลยุทธ์ของหน่วยงานตรวจสอบภายใน CAE ต้องมีการปฏิบัติดังนี้

• มีความเข้าใจเกี่ยวกับการกำกับดูแลกิจการ การบริหารความเสี่ยง และการควบคุมภายในขององค์กร ซึ่งครอบคลุมวิธีการที่องค์กรกำหนดกลยุทธ์ จัดโครงสร้างองค์กร กำกับดูแลการดำเนินงาน สื่อสารจริยธรรม วัฒนธรรม ภาระรับผิดชอบ การใช้กรอบการบริหารความเสี่ยง รวมถึงการระบุจุดเสี่ยงและการควบคุมภายในที่สำคัญ
• พัฒนาและนำแผนกลยุทธ์ของหน่วยตรวจสอบภายในไปปฏิบัติ แผนนี้จะต้องสนับสนุนกลยุทธ์และความสำเร็จของบริษัทและสอดคล้องกับความคาดหวังของผู้มีส่วนได้เสีย หน่วยตรวจสอบภายในสามารถใช้แผนนี้ในการปฏิบัติงานในระยะยาว แต่ CAE ต้องนำไปหารือกับ AC และ CEO เป็นระยะ
• CAE ต้องกำหนดวิธีการในการนำแผนกลยุทธ์ของ IA ไปใช้อย่างมีระบบและเป็นขั้นตอน และต้องปรับปรุงให้ทันสมัยต่อการเปลี่ยนแปลงของเหตุการณ์ต่างๆ
• CAE ต้องจัดทำแผนการตรวจสอบที่สนับสนุนการบรรลุวัตถุประสงค์ของบริษัท โดยในการจัดทำแผนนี้ CAE ต้องได้ข้อมูลจากกรรมการ CEO และหน่วยงานควบคุมภายใน แผนที่ดีควรครอบคลุมการกำกับดูแลระบบเทคโนโลยี ความเสี่ยงด้านการทุจริต การปฏิบัติตามกฎเกณฑ์และจริยธรรม และเรื่องที่มีความเสี่ยงสูง ทั้งนี้ CAE ควรสอบทานแผนการตรวจสอบนี้อย่างน้อยปีละหนึ่งครั้ง
• การประสานและพึ่งพากันทำงานระหว่าง CAE กับผู้ให้บริการรับประกัน (Providers of Assurance Services) ทั้งภายในและภายนอกองค์กร เพื่อร่วมกันลดการทำงานซ้ำซ้อน มองเห็นความเสี่ยง และเพิ่มมูลค่าโดยรวมให้องค์กร

หลักการที่ 2: การบริหารทรัพยากร

CAE ต้องบริหารกลยุทธ์และแผนตรวจสอบให้ลุล่วง โดยใช้ทรัพยากรสามอย่างสำคัญ คือ เงิน คน และเทคโนโลยี ต้องมีงบประมาณเพียงพอต่อการบริหารงานตรวจสอบภายใน มีการว่าจ้าง พัฒนา และรักษาคนเก่งที่มีความเหมาะสมทั้งความรู้ ทักษะ และความสามารถ มีจำนวนเพียงพอ และสามารถทำงานอย่างมีประสิทธิภาพในการบรรลุตามแผนการตรวจสอบ ส่วนด้านเทคโนโลยีนั้น CAE ต้องทำงานร่วมกับฝ่ายเทคโนโลยีเพื่อจัดให้มีเทคโนโลยีที่มีประสิทธิภาพและประสิทธิผลต่อการทำงานตรวจสอบภายใน

หลักการที่ 3: การสื่อสารที่มีประสิทธิผล

CAE ต้องทำให้ผู้ตรวจสอบภายในสื่อสารอย่างมีประสิทธิผล โดยเริ่มจากการพัฒนาความสัมพันธ์ สร้างความน่าเชื่อถือ และทำให้ผู้มีส่วนได้เสียได้รับประโยชน์จากงานตรวจสอบภายใน ข้อมูลในการสื่อสารต้องถูกต้อง มีวัตถุประสงค์ชัดเจน กระชับ สร้างสรรค์ สมบูรณ์ และทันเวลา ดังนั้น การสื่อสารผลของงานตรวจสอบภายในควรครอบคลุมความเห็นต่องานที่ตรวจสอบ การปฏิบัติที่ทำได้ดี สาเหตุของประเด็น ความเห็นในระดับองค์กร  หากพบว่าข้อมูลที่สื่อสารมีข้อผิดพลาดหรือเกินกว่าระดับความเสี่ยงที่ยอมรับได้ CAE จะต้องรีบแก้ไขหรือแจ้งให้ AC ทราบโดยเร็ว
 

หลักการที่ 4 : การเพิ่มคุณภาพของงาน

CAE ต้องทำให้งานเป็นไปตามมาตรฐานการตรวจสอบภายใน บรรลุตามวัตถุประสงค์ของงาน และมีการพัฒนาอย่างต่อเนื่อง โดยกำหนดเป้าหมายของงานและวิธีการวัดผลงาน จัดให้มีการประเมินคุณภาพงานตรวจสอบภายใน นอกจากนี้ CAE ต้องรับผิดชอบในการให้คำแนะนำการปฏิบัติงานแก่ผู้ตรวจสอบภายในในบังคับบัญชา และพัฒนาความสามารถของทุกคน พร้อมทั้งรายงานประเด็นที่ยังปฏิบัติตามมาตรฐานไม่ได้ให้ AC ทราบ

แม้ว่าใน domain 4 จะเน้นการปฏิบัติงานของ CAE แต่ AC ก็สามารถใช้เพื่อติดตามดูว่า CAE สามารถปฏิบัติงานได้ตามหลักการที่กล่าวถึงในบทนี้หรือไม่ หากยังทำได้ไม่ครบถ้วน  AC ต้องร่วมกันกับ CEO ในการสนับสนุนการบริหารงานตรวจสอบภายในทั้งด้านงบประมาณ คน เทคโนโลยี และการประเมินคุณภาพงาน

เขียนโดย

วารุณี ปรีดานนท์

จัดทำโดย
ตลาดหลักทรัพย์แห่งประเทศไทย