การควบคุมภายในคืออะไร กรอบ COSO 5 องค์ประกอบ 17 หลักการ พร้อมตัวอย่างงานบัญชีและเช็กลิสต์ทบทวนระบบ

บทความนี้อธิบายว่าการควบคุมภายในคืออะไร กรอบ COSO มี 5 องค์ประกอบ 17 หลักการอะไรบ้างพร้อมตัวอย่างในงานบัญชี วิธีใช้แบบประเมินของ ก.ล.ต. เป็นเช็กลิสต์ การปรับใช้กับกิจการขนาดเล็ก ข้อจำกัด และบทความเรื่องย่อยที่ควรอ่านต่อ

การควบคุมภายในคืออะไร

การควบคุมภายใน คือระบบและขั้นตอนที่กิจการวางไว้ เพื่อให้งานเดินไปตามเป้าหมาย ทำตามกฎหมายและข้อกำหนดที่เกี่ยวข้อง ป้องกันทรัพย์สินจากการทุจริตและความเสียหาย และทำให้บัญชีกับรายงานต่าง ๆ ถูกต้องน่าเชื่อถือ

ความหมายข้างบนสรุปจากหน้าแรกของแบบประเมินความเพียงพอของระบบการควบคุมภายใน ของสำนักงานคณะกรรมการกำกับหลักทรัพย์และตลาดหลักทรัพย์ (ก.ล.ต.) ซึ่งอธิบายว่าระบบควบคุมภายในที่ดีช่วยอะไรได้บ้าง ไม่ใช่นิยามที่แบบประเมินเขียนไว้ตรงตัว

ตัวอย่างการควบคุมภายในที่นักบัญชีเห็นในงานประจำ เช่น

• ใบสั่งซื้อมีผู้มีอำนาจลงนามก่อนสั่งของ
• คนที่บันทึกบัญชีไม่ใช่คนเดียวกับคนที่ถือเงินหรือมีสิทธิโอนเงิน
• กระทบยอดเงินฝากธนาคารกับใบแจ้งยอดทุกเดือน แล้วให้หัวหน้าสอบทาน
• ตรวจนับเงินสดและสินค้าคงเหลือเทียบกับยอดในบัญชี

กรอบ COSO คืออะไร และเกี่ยวกับแบบประเมินของ ก.ล.ต. อย่างไร

COSO ย่อมาจาก The Committee of Sponsoring Organizations of the Treadway Commission เป็นคณะกรรมการร่วมของสถาบันวิชาชีพ 5 แห่ง ได้แก่ สถาบันผู้สอบบัญชีรับอนุญาตแห่งสหรัฐอเมริกา (AICPA) สถาบันผู้ตรวจสอบภายในสากล (IIA) สถาบันผู้บริหารการเงิน (FEI) สมาคมนักบัญชีแห่งสหรัฐอเมริกา (AAA) และสถาบันนักบัญชีเพื่อการบริหาร (IMA)

หน้าแรกของแบบประเมินความเพียงพอของระบบการควบคุมภายในของ ก.ล.ต. ระบุว่าแบบประเมินจัดทำตามแนวคิดของ COSO ที่ปรับปรุงกรอบ (framework) ใหม่เมื่อเดือนพฤษภาคม 2556 (ค.ศ. 2013) คำถามหลักยังแบ่งเป็น 5 ส่วนเช่นเดียวกับแนวทางของ COSO เดิม แต่ขยายแต่ละส่วนออกเป็นหลักการย่อยรวม 17 หลักการ แบบประเมินเป็นเครื่องมือให้บริษัทใช้ประเมินความเพียงพอของระบบการควบคุมภายในด้วยตนเอง ปรับให้เข้าใจง่ายและเหมาะกับบริษัทจดทะเบียนไทย

บทความนี้ใช้แบบประเมินฉบับนี้เป็นแหล่งหลัก ชื่อหลักการถอดจากหัวข้อในแบบประเมิน บางข้อตัดคำให้สั้นลงโดยคงความหมาย เลขในวงเล็บ เช่น (ข้อ 10.5) คือเลขคำถามย่อยในแบบประเมิน ส่วนตัวอย่างในงานบัญชีเป็นตัวอย่างสมมติของผู้เขียน

การควบคุมภายในตามกรอบ COSO มี 5 องค์ประกอบ 17 หลักการอะไรบ้าง

องค์ประกอบของการควบคุมภายในตามแบบประเมินที่จัดทำตามกรอบ COSO และหลักการในแต่ละองค์ประกอบ มีดังนี้

1. สภาพแวดล้อมการควบคุม (Control Environment) หลักการที่ 1 ถึง 5
2. การประเมินความเสี่ยง (Risk Assessment) หลักการที่ 6 ถึง 9
3. กิจกรรมการควบคุม (Control Activities) หลักการที่ 10 ถึง 12
4. ข้อมูลและการสื่อสาร (Information and Communication) หลักการที่ 13 ถึง 15
5. การติดตาม (Monitoring Activities) หลักการที่ 16 และ 17

ชื่อภาษาไทยข้างบนเป็นชื่อที่แบบประเมินใช้ในคำถามข้อ 2.6 ส่วนหัวหมวดของแบบประเมินเรียกองค์ประกอบเดียวกันว่า การควบคุมภายในองค์กร การประเมินความเสี่ยง การควบคุมการปฏิบัติงาน ระบบสารสนเทศและการสื่อสารข้อมูล และระบบการติดตาม ตามลำดับ ถ้าเจอชื่อภาษาไทยต่างกันในเอกสารอื่น ให้เทียบจากชื่อภาษาอังกฤษ

วิธีจำของผู้เขียนคือ สภาพแวดล้อมการควบคุมว่าด้วยคน วัฒนธรรม และโครงสร้าง การประเมินความเสี่ยงบอกว่าควรคุมอะไร กิจกรรมการควบคุมคือมาตรการที่ลงมือทำ ข้อมูลและการสื่อสารทำให้คนที่เกี่ยวข้องรู้และทำได้ ส่วนการติดตามคอยตรวจว่าทั้งหมดยังทำงานอยู่จริง

องค์ประกอบที่ 1 สภาพแวดล้อมการควบคุม (Control Environment)

องค์ประกอบนี้ว่าด้วยความซื่อตรงของคนในองค์กร การกำกับดูแล โครงสร้างและอำนาจหน้าที่ การดูแลบุคลากร และความรับผิดชอบต่อการควบคุมภายใน มี 5 หลักการ

• หลักการที่ 1 องค์กรแสดงถึงความยึดมั่นในคุณค่าของความซื่อตรง (integrity) และจริยธรรม
• หลักการที่ 2 คณะกรรมการมีความเป็นอิสระจากฝ่ายบริหาร และทำหน้าที่กำกับดูแล (oversight) และพัฒนาการดำเนินการด้านการควบคุมภายใน
• หลักการที่ 3 ฝ่ายบริหารจัดให้มีโครงสร้างสายการรายงาน การกำหนดอำนาจในการสั่งการและความรับผิดชอบที่เหมาะสม เพื่อให้องค์กรบรรลุวัตถุประสงค์ ภายใต้การกำกับดูแลของคณะกรรมการ
• หลักการที่ 4 องค์กรแสดงถึงความมุ่งมั่นในการจูงใจ พัฒนา และรักษาบุคลากรที่มีความรู้ความสามารถ
• หลักการที่ 5 องค์กรกำหนดให้บุคลากรมีหน้าที่และความรับผิดชอบในการควบคุมภายใน เพื่อให้บรรลุตามวัตถุประสงค์ขององค์กร

คำถามย่อยในหมวดนี้ถามถึงสิ่งที่จับต้องได้ เช่น มีข้อกำหนดด้านจริยธรรม (code of conduct) ข้อห้ามที่อาจก่อให้เกิดความขัดแย้งทางผลประโยชน์กับกิจการ และบทลงโทษเมื่อฝ่าฝืน (ข้อ 1.2) มีการกำหนด มอบหมาย และจำกัดอำนาจหน้าที่ระหว่างคณะกรรมการ ผู้บริหาร และพนักงาน (ข้อ 3.3) และไม่สร้างแรงกดดันที่มากเกินไปในการปฏิบัติหน้าที่ของบุคลากร (ข้อ 5.4)

ตัวอย่างในงานบัญชี (สมมติ) บริษัทจัดจำหน่ายแห่งหนึ่งมีตารางอำนาจอนุมัติที่ระบุว่าใครอนุมัติจ่ายเงินได้ไม่เกินเท่าไร ผู้ทำบัญชีใช้ตารางนี้ตรวจใบสำคัญจ่ายก่อนบันทึก ถ้าใบไหนลงนามโดยคนที่วงเงินไม่ถึง จะส่งกลับให้ผู้มีอำนาจลงนามก่อน ในทางกลับกัน ถ้าผู้บริหารเร่งปิดงบจนพนักงานไม่มีเวลากระทบยอด แรงกดดันแบบนี้ทำให้ขั้นตอนที่วางไว้ถูกข้ามได้ ซึ่งตรงกับคำถามข้อ 5.4

องค์ประกอบที่ 2 การประเมินความเสี่ยง (Risk Assessment)

องค์ประกอบนี้เริ่มจากตั้งวัตถุประสงค์ให้ชัด แล้วหาว่าอะไรทำให้ไปไม่ถึง รวมถึงโอกาสเกิดการทุจริตและการเปลี่ยนแปลงที่กระทบระบบ มี 4 หลักการ

• หลักการที่ 6 องค์กรกำหนดวัตถุประสงค์ไว้อย่างชัดเจนเพียงพอ เพื่อให้สามารถระบุและประเมินความเสี่ยงต่าง ๆ ที่เกี่ยวข้องกับการบรรลุวัตถุประสงค์ขององค์กร
• หลักการที่ 7 องค์กรระบุและวิเคราะห์ความเสี่ยงทุกประเภทที่อาจกระทบต่อการบรรลุวัตถุประสงค์ไว้อย่างครอบคลุมทั่วทั้งองค์กร
• หลักการที่ 8 องค์กรพิจารณาถึงโอกาสที่จะเกิดการทุจริต ในการประเมินความเสี่ยงที่จะบรรลุวัตถุประสงค์ขององค์กร
• หลักการที่ 9 องค์กรสามารถระบุและประเมินความเปลี่ยนแปลงที่อาจมีผลกระทบต่อระบบการควบคุมภายใน

สำหรับนักบัญชี คำถามข้อ 6.1 ผูกวัตถุประสงค์เข้ากับงบการเงินตรง ๆ คือกิจการปฏิบัติตามมาตรฐานการบัญชีที่รับรองโดยทั่วไป โดยแสดงได้ว่ารายการในรายงานทางการเงินมีตัวตนจริง ครบถ้วน แสดงถึงสิทธิหรือภาระผูกพันได้ถูกต้อง มีมูลค่าเหมาะสม และเปิดเผยข้อมูลครบถ้วนถูกต้อง แต่ละคำใช้ตั้งคำถามต่อได้ว่า อะไรทำให้ข้อนี้ผิดได้ จากนั้นแบบประเมินถามถึงการประเมินความสำคัญของความเสี่ยงจากทั้งโอกาสเกิดและผลกระทบ (ข้อ 7.4) และมาตรการจัดการ ซึ่งอาจเป็นการยอมรับ ลด หลีกเลี่ยง หรือร่วมรับความเสี่ยง (sharing) (ข้อ 7.5)

หลักการที่ 8 ยกตัวอย่างการทุจริตที่ควรประเมินไว้ เช่น การจัดทำรายงานทางการเงินเท็จ การทำให้สูญเสียทรัพย์สิน การคอร์รัปชัน และการที่ผู้บริหารฝ่าฝืนระบบควบคุมภายใน (management override of internal controls) (ข้อ 8.1) และถามว่ามีการทบทวนว่าเป้าหมายกับสิ่งจูงใจไม่ส่งเสริมให้พนักงานทำสิ่งไม่เหมาะสม เช่น ไม่ตั้งเป้ายอดขายสูงเกินความเป็นจริงจนเกิดแรงจูงใจตกแต่งตัวเลขยอดขาย (ข้อ 8.2)

ตัวอย่างในงานบัญชี (สมมติ) ร้านค้าส่งแห่งหนึ่งตั้งวัตถุประสงค์ว่ายอดลูกหนี้ในงบการเงินมีตัวตนจริงและมีมูลค่าเหมาะสม ความเสี่ยงที่ระบุได้ เช่น พนักงานขายบันทึกขายเชื่อให้ลูกค้าที่ไม่มีตัวตนเพื่อให้ถึงเป้า หรือลูกหนี้รายใหญ่ค้างชำระนานจนอาจเก็บเงินไม่ได้ กิจการเลือกลดความเสี่ยงด้วยการให้คนที่ไม่ใช่ฝ่ายขายอนุมัติเปิดลูกค้าใหม่และวงเงินเครดิต และส่งรายงานลูกหนี้แยกตามอายุให้ผู้บริหารทุกเดือน ต่อมาถ้ากิจการเริ่มขายออนไลน์และรับเงินผ่านช่องทางใหม่ ก็เป็นการเปลี่ยนรูปแบบการทำธุรกิจที่ข้อ 9.2 ถามถึงการประเมินผลกระทบ

ความเสี่ยงด้านเทคโนโลยีสารสนเทศเป็นประเภทหนึ่งที่ข้อ 7.2 ถามถึง ถ้าต้องตัดสินว่าระบบงานแต่ละระบบควรให้น้ำหนักกับความลับ ความถูกต้องครบถ้วน หรือความพร้อมใช้งาน (C-I-A) ก่อน อ่านวิธีคิดได้ที่บทความ จัดลำดับ C-I-A ให้ตรงกับธุรกิจ

องค์ประกอบที่ 3 กิจกรรมการควบคุม (Control Activities)

องค์ประกอบนี้คือมาตรการที่ลงมือทำจริงเพื่อลดความเสี่ยงที่ประเมินไว้ ทั้งการอนุมัติ การแบ่งแยกหน้าที่ การควบคุมระบบเทคโนโลยี และนโยบายกับระเบียบวิธีปฏิบัติ มี 3 หลักการ

• หลักการที่ 10 องค์กรมีมาตรการควบคุมที่ช่วยลดความเสี่ยงที่จะไม่บรรลุวัตถุประสงค์ขององค์กร ให้อยู่ในระดับที่ยอมรับได้
• หลักการที่ 11 องค์กรเลือกและพัฒนากิจกรรมการควบคุมทั่วไปด้วยระบบเทคโนโลยี เพื่อช่วยสนับสนุนการบรรลุวัตถุประสงค์
• หลักการที่ 12 องค์กรจัดให้มีกิจกรรมการควบคุมผ่านทางนโยบาย ซึ่งได้กำหนดสิ่งที่คาดหวังและขั้นตอนการปฏิบัติ เพื่อให้นโยบายที่กำหนดไว้นั้นสามารถนำไปสู่การปฏิบัติได้

ข้อที่นักบัญชีควรจำคือข้อ 10.5 ซึ่งถามว่ากิจการแบ่งแยกหน้าที่ความรับผิดชอบในงาน 3 ด้านออกจากกันโดยเด็ดขาด เพื่อเป็นการตรวจสอบซึ่งกันและกันหรือไม่ คือ

1. หน้าที่อนุมัติ
2. หน้าที่บันทึกรายการบัญชีและข้อมูลสารสนเทศ
3. หน้าที่ในการดูแลจัดเก็บทรัพย์สิน

ในงานบัญชี ตัวอย่างของผู้เขียนคือ คนที่อนุมัติจ่ายเงินไม่ควรเป็นคนบันทึกบัญชีเจ้าหนี้ และคนที่ถือเงินสดหรือมีสิทธิโอนเงินไม่ควรเป็นคนบันทึกบัญชีเงินสด หลักเดียวกันนี้ใช้กับสิทธิในระบบคอมพิวเตอร์ด้วย ซึ่งอธิบายไว้ในบทความ การแบ่งแยกหน้าที่ในระบบ IT (Segregation of Duties) รวมถึงมาตรการชดเชยเมื่อคนน้อยจนแยกหน้าที่ได้ไม่ครบ

แบบประเมินยังถามถึงความหลากหลายของการควบคุม เช่น แบบที่คนทำ (manual) และแบบที่ระบบทำอัตโนมัติ (automated) หรือแบบป้องกันและติดตาม (ข้อ 10.3) ผู้เขียนยกตัวอย่างให้เห็นภาพว่า ในงานบัญชี การอนุมัติใบสั่งซื้อก่อนสั่งของเป็นการควบคุมแบบป้องกันที่คนทำ ระบบบัญชีที่ไม่ยอมให้บันทึกรายการเมื่อยอดเดบิตไม่เท่ายอดเครดิตเป็นการควบคุมแบบป้องกันที่ระบบทำให้ ส่วนการกระทบยอดเงินฝากธนาคารรายเดือนเป็นการควบคุมแบบติดตาม เพราะจับความผิดปกติได้หลังรายการเกิดขึ้นแล้ว คำว่า “ติดตาม” ตรงนี้คนละความหมายกับองค์ประกอบที่ 5 การติดตาม ซึ่งเป็นการตรวจว่าการควบคุมที่วางไว้ยังทำงานอยู่จริง

ข้อ 10.2 ถามถึงมาตรการควบคุมภายในที่กำหนดเป็นลายลักษณ์อักษร และยกตัวอย่าง เช่น ขนาดวงเงินและอำนาจอนุมัติของผู้บริหารแต่ละระดับ ขั้นตอนการจัดซื้อและวิธีคัดเลือกผู้ขาย และขั้นตอนการเบิกจ่ายวัสดุอุปกรณ์ ตัวอย่างกติกาเงินสดย่อยที่เขียนวงเงินและผู้อนุมัติไว้ชัด พร้อมการแบ่งหน้าที่และการตรวจนับ อ่านได้ที่บทความ เงินสดย่อย (Petty Cash) บันทึกบัญชีและวิธีคุมไม่ให้เงินหาย ส่วนขั้นตอนตรวจนับสินค้าคงเหลือที่กำหนดผู้นับ ผู้ตรวจ และผู้อนุมัติไว้ล่วงหน้า อ่านได้ที่บทความ นับสต็อกสิ้นปี การตรวจนับสินค้าคงเหลือทำอย่างไร

หลักการที่ 11 ว่าด้วยการควบคุมทั่วไปด้านเทคโนโลยี คำถามย่อยครอบคลุมการควบคุมโครงสร้างพื้นฐานของระบบเทคโนโลยี ความปลอดภัย และกระบวนการได้มา การพัฒนา และการบำรุงรักษาระบบ (ข้อ 11.2 ถึง 11.4) รายละเอียดว่าการควบคุมทั่วไปด้านไอที (ITGC) แบ่งเป็นกลุ่มอะไร และผู้ตรวจสอบขอดูหลักฐานอะไร อ่านต่อได้ที่บทความ ITGC คืออะไร 4 กลุ่มที่ผู้ทำบัญชีและผู้สอบบัญชีต้องรู้ บทความนั้นแบ่ง ITGC เป็น 4 กลุ่ม ซึ่งเป็นการจัดกลุ่มคนละแบบกับหัวข้อคำถามในแบบประเมิน

คำถามใต้หลักการที่ 12 ถามว่านโยบายมีผู้รับผิดชอบ นำไปใช้ในเวลาที่เหมาะสม และได้รับการทบทวนอยู่เสมอหรือไม่ (ข้อ 12.5 ถึง 12.7) ข้อที่เกี่ยวกับงานบัญชีโดยตรงคือธุรกรรมของผู้ถือหุ้นรายใหญ่ กรรมการ ผู้บริหาร หรือผู้ที่เกี่ยวข้องกับบุคคลเหล่านั้น ซึ่งแบบประเมินถามว่ามีนโยบายให้ธุรกรรมเหล่านี้ผ่านขั้นตอนอนุมัติที่กำหนด ให้ผู้ที่ไม่มีส่วนได้เสียเป็นผู้อนุมัติ และพิจารณาเสมือนเป็นรายการที่กระทำกับบุคคลภายนอก (ข้อ 12.1 ถึง 12.3)

องค์ประกอบที่ 4 ข้อมูลและการสื่อสาร (Information and Communication)

องค์ประกอบนี้ว่าด้วยการมีข้อมูลที่มีคุณภาพ และส่งข้อมูลไปถึงคนที่ต้องใช้ ทั้งภายในและภายนอกองค์กร มี 3 หลักการ

• หลักการที่ 13 ว่าด้วยข้อมูลที่เกี่ยวข้องและมีคุณภาพ เพื่อสนับสนุนให้การควบคุมภายในสามารถดำเนินไปได้ตามที่กำหนดไว้
• หลักการที่ 14 องค์กรสื่อสารข้อมูลภายในองค์กร ซึ่งรวมถึงวัตถุประสงค์และความรับผิดชอบต่อการควบคุมภายในที่จำเป็นต่อการสนับสนุนให้การควบคุมภายในสามารถดำเนินไปได้ตามที่วางไว้
• หลักการที่ 15 องค์กรสื่อสารกับหน่วยงานภายนอก เกี่ยวกับประเด็นที่อาจมีผลกระทบต่อการควบคุมภายใน

คำถามในหมวดนี้ที่เกี่ยวกับนักบัญชีโดยตรง เช่น กิจการกำหนดข้อมูลที่ต้องใช้ในการดำเนินงานที่มีคุณภาพและเกี่ยวข้องต่องาน (ข้อ 13.1) จัดเก็บเอกสารสำคัญไว้อย่างครบถ้วนเป็นหมวดหมู่ และแก้ไขข้อบกพร่องในการควบคุมภายในที่ผู้สอบบัญชีหรือผู้ตรวจสอบภายในแจ้งไว้อย่างครบถ้วน (ข้อ 13.6)

แบบประเมินยังถามถึงช่องทางพิเศษหรือช่องทางลับให้บุคคลภายในแจ้งเบาะแสเกี่ยวกับการฉ้อฉลหรือทุจริตได้อย่างปลอดภัย (whistle-blower hotline) (ข้อ 14.3) และช่องทางแบบเดียวกันสำหรับผู้มีส่วนได้เสียภายนอก (ข้อ 15.2) วิธีวางระบบแจ้งเบาะแสให้ใช้ได้จริงและกฎหมายไทยที่เกี่ยวข้อง อ่านได้ที่บทความ Whistleblower คืออะไร ทำไมธุรกิจควรมีระบบแจ้งเบาะแสที่ใช้งานได้จริง

ตัวอย่างในงานบัญชี (สมมติ) ฝ่ายบัญชีกำหนดวันปิดบัญชีรายเดือน และแจ้งทุกฝ่ายว่าต้องส่งเอกสารของเดือนนั้นภายในวันที่เท่าไรและส่งให้ใคร นี่คือการสื่อสารภายใน ส่วนเมื่อผู้ขายแจ้งว่ายอดค้างจ่ายตามบัญชีของเขาไม่ตรงกับยอดเจ้าหนี้ที่กิจการบันทึก กิจการมีผู้รับเรื่องที่ชัดเจนเพื่อกระทบยอดและหาสาเหตุ นี่คือการสื่อสารกับภายนอก

องค์ประกอบที่ 5 การติดตาม (Monitoring Activities)

องค์ประกอบนี้คือการตรวจว่าการควบคุมที่วางไว้ยังทำงานอยู่จริง และเมื่อเจอข้อบกพร่องก็รายงานและแก้ไขให้ทันเวลา มี 2 หลักการ

• หลักการที่ 16 องค์กรติดตามและประเมินผลการควบคุมภายใน เพื่อให้มั่นใจได้ว่าการควบคุมภายในยังดำเนินไปอย่างครบถ้วน เหมาะสม
• หลักการที่ 17 องค์กรประเมินและสื่อสารข้อบกพร่องของการควบคุมภายในอย่างทันเวลาต่อบุคคลที่รับผิดชอบ ซึ่งรวมถึงผู้บริหารระดับสูงและคณะกรรมการตามความเหมาะสม

แบบประเมินถามว่ามีการตรวจสอบการปฏิบัติตามระบบที่วางไว้ โดยการประเมินตนเอง และ/หรือการประเมินอิสระโดยผู้ตรวจสอบภายใน (ข้อ 16.2) ความถี่ในการติดตามเหมาะสมกับการเปลี่ยนแปลงของกิจการ (ข้อ 16.3) มีการประเมินและสื่อสารข้อบกพร่อง และติดตามแก้ไขอย่างทันท่วงทีเมื่อผลการดำเนินงานแตกต่างจากเป้าหมายอย่างมีนัยสำคัญ (ข้อ 17.1) และข้อบกพร่องที่เป็นสาระสำคัญได้รับการรายงานพร้อมแนวทางแก้ไขและความคืบหน้าต่อคณะกรรมการ (ข้อ 17.2)

ตัวอย่างในงานบัญชี (สมมติ) ผู้จัดการบัญชีสอบทานใบกระทบยอดเงินฝากธนาคารที่พนักงานทำทุกเดือนแล้วลงนามกำกับ เป็นการติดตามที่แทรกอยู่ในงานประจำ ปีละครั้งกิจการตอบแบบประเมินทีละข้อเป็นการประเมินตนเอง และทำทะเบียนข้อบกพร่องที่ผู้สอบบัญชีแจ้ง ระบุผู้รับผิดชอบ กำหนดเสร็จ และสถานะ แล้วรายงานผู้บริหารจนแก้เสร็จ

ใช้แบบประเมินความเพียงพอของระบบการควบคุมภายในเป็นเช็กลิสต์อย่างไร

แบบประเมินของ ก.ล.ต. มีคำถามย่อยใต้ทั้ง 17 หลักการ ให้ตอบทีละข้อว่า “ใช่” หรือ “ไม่ใช่” จึงใช้เป็นเช็กลิสต์ทบทวนระบบควบคุมภายในของกิจการตัวเองได้ ดาวน์โหลดแบบประเมินได้ที่ แบบประเมินความเพียงพอของระบบการควบคุมภายใน ของสำนักงาน ก.ล.ต. (ไฟล์ PDF)

หน้าแรกของแบบประเมินวางแนวการใช้ไว้สำหรับบริษัทที่เป็นกลุ่มเป้าหมายของแบบประเมิน ดังนี้

• ใช้เป็นแนวทางประเมินหรือทบทวนความเพียงพอของระบบควบคุมภายในอย่างน้อยทุกปี และอาจทบทวนเพิ่มเติมเมื่อเกิดเหตุการณ์ที่อาจกระทบการดำเนินงานอย่างมีนัยสำคัญ
• การประเมินควรผ่านการพิจารณาของคณะกรรมการตรวจสอบและคณะกรรมการบริษัท
• การตอบแต่ละข้อควรอยู่บนพื้นฐานของการปฏิบัติจริง
• ข้อที่ยังขาดการควบคุมภายในที่เพียงพอ ไม่ว่าจะไม่มีระบบในเรื่องนั้นหรือมีแล้วแต่ยังไม่เหมาะสม ควรอธิบายเหตุผลและแนวทางแก้ไขไว้ด้วย

ขั้นตอนด้านล่างเป็นคำแนะนำของผู้เขียน ต่อยอดจากแนวการใช้ข้างบน

1. ตอบตามที่ทำจริง ไม่ใช่ตามที่เขียนไว้ในนโยบาย ถ้ามีระเบียบเขียนไว้แต่ไม่มีใครทำตาม คำตอบที่ตรงความจริงคือ “ไม่ใช่”
2. จดว่าแต่ละข้อตอบจากหลักฐานอะไร เช่น ตารางอำนาจอนุมัติฉบับที่ใช้อยู่ ใบกระทบยอดที่มีลายมือชื่อผู้สอบทาน หรือรายชื่อผู้มีสิทธิในโปรแกรมบัญชี ข้อที่ตอบว่า “ไม่ใช่” ก็จดว่าตรวจดูอะไรแล้วไม่พบ
3. ข้อที่ตอบว่า “ไม่ใช่” ให้เขียนเหตุผลและแนวทางแก้ไขตามข้างบน แล้วเพิ่มผู้รับผิดชอบกับกำหนดเสร็จ และติดตามแบบเดียวกับข้อบกพร่องในองค์ประกอบที่ 5
4. ข้อที่ไม่เข้ากับกิจการ ให้บันทึกว่าไม่เกี่ยวข้องพร้อมเหตุผล แบบประเมินเองก็มีข้อลักษณะนี้ คือข้อ 12.4 ที่เขียนว่าถ้าบริษัทไม่มีเงินลงทุนในบริษัทย่อยหรือบริษัทร่วม ไม่ต้องตอบข้อนี้ แต่ระวังแยกให้ออกระหว่างเรื่องที่ไม่มีอยู่ในกิจการจริง เช่น ไม่มีบริษัทย่อย กับเรื่องที่มีอยู่แต่ยังไม่ได้วางระบบ เรื่องแบบหลังนี้ หน้าแรกของแบบประเมินถือเป็นข้อที่ยังขาดการควบคุม จึงควรตอบว่า “ไม่ใช่” แล้วอธิบายเหตุผลและแนวทางแก้ไข
5. ทบทวนซ้ำเมื่อกิจการเปลี่ยน เช่น เปลี่ยนโปรแกรมบัญชี เปิดสาขา หรือเปลี่ยนผู้บริหาร ซึ่งเป็นเรื่องเดียวกับหลักการที่ 9

การควบคุมภายในกิจการขนาดเล็ก ใช้กรอบ COSO อย่างไร

แบบประเมินของ ก.ล.ต. ปรับมาให้เหมาะกับบริษัทจดทะเบียน คำถามหลายข้อจึงพูดถึงคณะกรรมการ คณะกรรมการตรวจสอบ ผู้ตรวจสอบภายใน หรือบริษัทย่อย ซึ่งกิจการขนาดเล็กอาจไม่มี ผู้เขียนเห็นว่าหลักของทั้ง 5 องค์ประกอบยังใช้ได้ ถ้าเปลี่ยนคำถามจาก “มีหน่วยงานนี้หรือไม่” เป็น “ใครทำหน้าที่นี้อยู่” เช่น หน้าที่กำกับดูแลของคณะกรรมการ ในกิจการเล็กคือเจ้าของกิจการหรือหุ้นส่วนผู้จัดการ ส่วนหน้าที่ติดตามตามข้อ 16.2 ในกิจการเล็กอาจเป็นการประเมินตนเองโดยเจ้าของกิจการ และการประเมินอิสระอาจจ้างผู้ตรวจสอบภายในจากภายนอกเป็นครั้งคราว

การควบคุมขั้นต่ำที่ผู้เขียนแนะนำให้กิจการขนาดเล็กเริ่มก่อน โดยโยงกับหลักการในแบบประเมิน มีดังนี้

• ตารางอำนาจอนุมัติเป็นลายลักษณ์อักษร ว่าใครอนุมัติอะไรได้ไม่เกินเท่าไร (หลักการที่ 3 และข้อ 10.2)
• แยกคนอนุมัติ คนบันทึกบัญชี และคนถือเงินหรือทรัพย์สินออกจากกันเท่าที่ทำได้ ส่วนที่แยกไม่ได้ ให้เจ้าของกิจการสอบทานรายงานกับเอกสารอย่างสม่ำเสมอและเก็บหลักฐานการสอบทานไว้ (ข้อ 10.5) ถ้าแยกได้ไม่ครบ คำตอบข้อ 10.5 ตามจริงคือ “ไม่ใช่” และควรอธิบายเหตุผลกับแนวทางแก้ไขไว้ ตามแนวการใช้ในหน้าแรกของแบบประเมิน พร้อมระบุมาตรการชดเชยที่ใช้อยู่
• กระทบยอดเงินฝากธนาคาร และตรวจนับเงินสดกับสินค้าคงเหลือเทียบกับบัญชีเป็นรอบ (หลักการที่ 10)
• ให้สิทธิในโปรแกรมบัญชีตามหน้าที่ ไม่ใช้รหัสผู้ใช้ร่วมกัน และสำรองข้อมูลบัญชีพร้อมลองกู้คืนจริงเป็นครั้งคราว (หลักการที่ 11)
• เก็บเอกสารสำคัญให้ครบถ้วนเป็นหมวดหมู่ (ข้อ 13.6)
• เจ้าของกิจการสอบทานรายงานการเงินรายเดือน และติดตามข้อบกพร่องที่ผู้สอบบัญชีแจ้งจนแก้เสร็จ (หลักการที่ 16 และ 17)

ข้อจำกัดของการควบคุมภายใน

ผู้เขียนเห็นว่าระบบควบคุมภายในที่ดีลดความเสี่ยงได้ แต่รับประกันไม่ได้ว่าจะไม่มีความผิดพลาดหรือการทุจริตเลย หลักการที่ 10 เองก็เขียนว่ามาตรการควบคุมช่วยลดความเสี่ยงให้อยู่ใน “ระดับที่ยอมรับได้” ข้อจำกัดด้านล่างเป็นคำอธิบายของผู้เขียน โยงกับข้อในแบบประเมินเท่าที่มี

• ผู้บริหารฝ่าฝืนระบบ (management override) ผู้มีอำนาจสั่งข้ามขั้นตอนที่วางไว้ได้ เช่น สั่งจ่ายเงินโดยไม่ผ่านการอนุมัติตามปกติ (ดูข้อ 8.1 ในองค์ประกอบที่ 2)
• การสมรู้ร่วมคิด การแบ่งแยกหน้าที่ได้ผลเพราะคนต่างหน้าที่ตรวจสอบซึ่งกันและกัน ถ้าคนเหล่านั้นร่วมมือกัน การตรวจสอบนั้นก็ไม่ทำงาน
• ความผิดพลาดของคน ผู้อนุมัติที่ลงนามโดยไม่เปิดดูเอกสาร หรือพนักงานที่ทำตามความเคยชินจนข้ามขั้นตอน ทำให้การควบคุมที่ออกแบบไว้ดีไม่เกิดผล
• การเปลี่ยนแปลงที่ระบบไม่ได้ออกแบบไว้รองรับ การควบคุมที่ออกแบบสำหรับวิธีทำงานเดิมอาจใช้ไม่ได้เมื่อธุรกิจเปลี่ยน จุดนี้ตรงกับหลักการที่ 9
• ต้นทุนเทียบกับประโยชน์ การควบคุมทุกขั้นมีต้นทุนทั้งเวลาและคน จึงควรเลือกให้เหมาะกับความเสี่ยงและลักษณะของกิจการ ตามที่ข้อ 10.1 ถามว่ามาตรการควบคุมเหมาะสมกับความเสี่ยงและลักษณะเฉพาะขององค์กรหรือไม่

ข้อจำกัดเหล่านี้ไม่ได้ทำให้การควบคุมภายในไร้ประโยชน์ แต่อธิบายว่าทำไมจึงมีองค์ประกอบที่ 5 คอยติดตาม และทำไมสภาพแวดล้อมการควบคุม เช่น ความซื่อตรงของผู้บริหาร จึงสำคัญไม่น้อยกว่าตัวขั้นตอน

อ่านต่อเรื่องย่อยของการควบคุมภายใน

บทความนี้เป็นภาพรวมของทั้งกรอบ ถ้าต้องการลงรายละเอียดทีละเรื่อง อ่านต่อได้ตามองค์ประกอบ

• การประเมินความเสี่ยงและการควบคุมด้านไอที จัดลำดับ C-I-A ให้ตรงกับธุรกิจ
• กิจกรรมการควบคุม การแบ่งแยกหน้าที่ การแบ่งแยกหน้าที่ในระบบ IT ความรู้เบื้องต้นที่นักบัญชีควรรู้
• กิจกรรมการควบคุม ด้านระบบไอที ITGC 4 กลุ่ม พร้อมหลักฐานที่ผู้ตรวจสอบขอดูจริง
• กิจกรรมการควบคุมในงานเงินสด เงินสดย่อย (Petty Cash) มีกี่ระบบ บันทึกบัญชีอย่างไร
• กิจกรรมการควบคุมในงานสินค้าคงเหลือ นับสต็อกสิ้นปี พร้อมเช็กลิสต์
• ข้อมูลและการสื่อสาร ช่องทางแจ้งเบาะแส Whistleblower คืออะไร และระบบแจ้งเบาะแสที่ใช้งานได้จริง

ถ้าอยากเรียนกรอบนี้ต่อพร้อมกรณีศึกษา หลักสูตรอบรมออนไลน์ ความรู้พื้นฐานของระบบการควบคุมภายในสำหรับนักบัญชี ของ cpdclass มีบทเรียนเรื่ององค์ประกอบ 5 ด้านและหลักการทั้ง 17 ข้อของกรอบ COSO รวมถึงประโยชน์และข้อจำกัดของระบบควบคุมภายใน เช่น Management Override การทุจริตแบบสมรู้ร่วมคิด และหลักต้นทุนคุ้มค่า หลักสูตรนี้นับชั่วโมงด้านการบัญชี 3 ชั่วโมง ได้ทั้งผู้ทำบัญชีและผู้สอบบัญชี ราคา 300 บาท รอบไตรมาส 4/2569 เปิดรับสมัครถึงวันที่ 18 ธันวาคม 2569 และต้องเรียนและสอบให้ผ่านภายในวันที่ 31 ธันวาคม 2569 หนังสือรับรองจะออกหลังเจ้าหน้าที่ตรวจภาพยืนยันตัวตนระหว่างเรียน จึงควรเรียนให้จบล่วงหน้า ชั่วโมงจากหลักสูตรนี้ยังไม่ครบเกณฑ์ชั่วโมงทั้งปีของทั้งสองกลุ่ม

บทความนี้เรียบเรียงกรอบ COSO จากแบบประเมินความเพียงพอของระบบการควบคุมภายใน ของสำนักงานคณะกรรมการกำกับหลักทรัพย์และตลาดหลักทรัพย์ (ก.ล.ต.) ซึ่งจัดทำตามแนวคิดของ COSO ที่ปรับปรุงเมื่อเดือนพฤษภาคม 2556 ตัวอย่าง ขั้นตอนการใช้แบบประเมิน การปรับใช้กับกิจการขนาดเล็ก และคำอธิบายข้อจำกัด เป็นตัวอย่างสมมติและความเห็นของผู้เขียน กรอบ COSO เป็นกรอบแนวคิดของสถาบันวิชาชีพ ไม่ใช่กฎหมาย บทความนี้ไม่ครอบคลุมเรื่องว่ากิจการใดมีหน้าที่ตามกฎหมายที่ต้องจัดให้มีหรือต้องประเมินระบบควบคุมภายใน และแบบประเมินอาจมีการปรับปรุง แนะนำให้ตรวจสอบฉบับล่าสุดจากสำนักงาน ก.ล.ต. ก่อนนำไปใช้

เปิดอ่านเอกสารต้นฉบับ: แบบประเมินความเพียงพอของระบบการควบคุมภายใน ของสำนักงานคณะกรรมการกำกับหลักทรัพย์และตลาดหลักทรัพย์ (ไฟล์ PDF บนเว็บไซต์ ก.ล.ต.)