IT Audit คืออะไร ตรวจอะไรบ้าง เกี่ยวกับ ITGC และ ITAC อย่างไร พร้อมเช็กลิสต์ที่นักบัญชีควรเตรียม

บทความนี้อธิบายว่า IT Audit คืออะไร ใครเป็นคนตรวจ ผู้สอบบัญชีต้องทำอะไรเกี่ยวกับไอทีตาม TSA 315 ITGC กับ ITAC ต่างกันอย่างไร กิจการที่ใช้โปรแกรมบัญชีสำเร็จรูปหรือคลาวด์ถูกดูอะไร และนักบัญชีควรเตรียมเอกสารอะไรไว้ก่อน

IT Audit คืออะไร

IT Audit หรือการตรวจสอบระบบสารสนเทศ ในบริบทของงานบัญชี คือการประเมินว่าระบบไอทีที่กิจการใช้บันทึก ประมวลผล และรายงานข้อมูลทางการเงิน มีการควบคุมที่ออกแบบไว้เหมาะสมและทำงานได้จริง จนเชื่อได้อย่างสมเหตุสมผลว่าข้อมูลที่ออกจากระบบครบถ้วนและถูกต้อง

มาตรฐานการสอบบัญชี รหัส 315 (ปรับปรุง 2564) หรือ TSA 315 ไม่ได้ให้นิยามคำว่า IT Audit ไว้ บทความนี้ใช้ความหมายข้างบน ครอบคลุมทั้งงานของผู้สอบบัญชีในการตรวจสอบงบการเงินตาม TSA 315 และงานของผู้ตรวจสอบภายใน ผู้เขียนมองว่าทั้งสองงานถามคำถามคล้ายกัน เช่น ใครเข้าระบบได้ ใครแก้โปรแกรมหรือการตั้งค่าได้ และข้อมูลสำรองกู้คืนได้จริงหรือไม่

ใครเป็นคนตรวจ ผู้สอบบัญชีกับผู้ตรวจสอบภายในต่างกันอย่างไร

IT Audit ในงานบัญชีทำได้ทั้งผู้สอบบัญชีที่ตรวจงบการเงิน ซึ่งอาจมีผู้เชี่ยวชาญไอทีในทีม และผู้ตรวจสอบภายในของกิจการ สองฝ่ายนี้ตรวจด้วยเป้าหมายต่างกัน

ผู้สอบบัญชี TSA 315 ย่อหน้าที่ 1 ระบุว่ามาตรฐานนี้ว่าด้วยความรับผิดชอบของผู้สอบบัญชีในการระบุและประเมินความเสี่ยงจากการแสดงข้อมูลที่ขัดต่อข้อเท็จจริงอันเป็นสาระสำคัญในงบการเงิน งานด้านไอทีของผู้สอบบัญชีจึงมุ่งที่ส่วนที่เกี่ยวข้องกับการจัดทำงบการเงิน ย่อหน้าที่ ก171 อธิบายว่าเมื่อสภาพแวดล้อมไอทีซับซ้อนขึ้น มีแนวโน้มต้องอาศัยสมาชิกในกลุ่มผู้ปฏิบัติงานที่เชี่ยวชาญด้านไอทีร่วมด้วย

ผู้ตรวจสอบภายใน ภาคผนวก 4 ข้อ 2 ของ TSA 315 อธิบายว่าความรับผิดชอบของหน่วยงานตรวจสอบภายในอาจรวมถึงการตรวจสอบและประเมินผล เพื่อให้ความเชื่อมั่นแก่ผู้บริหารและผู้มีหน้าที่กำกับดูแลเกี่ยวกับการออกแบบและประสิทธิผลของการบริหารความเสี่ยง ระบบการควบคุมภายใน และกระบวนการกำกับดูแลของกิจการ ส่วนขอบเขตงานแตกต่างกันตามขนาด ความซับซ้อน และโครงสร้างของกิจการ และอาจระบุไว้ในกฎบัตรการตรวจสอบภายใน (ภาคผนวก 4 ข้อ 1)

สองงานนี้เชื่อมกัน ย่อหน้าที่ 14(ก) กำหนดให้วิธีการประเมินความเสี่ยงต้องรวมถึงการสอบถามบุคคลในหน่วยงานตรวจสอบภายใน (ถ้ามี) และภาคผนวก 4 ข้อ 3 อธิบายว่าในกิจการที่มีหน่วยงานตรวจสอบภายใน ผู้สอบบัญชีควรสอบถามประเด็นที่หน่วยงานตรวจสอบภายในนำเสนอต่อผู้มีหน้าที่กำกับดูแล และผลการประเมินความเสี่ยงของหน่วยงานนั้น และข้อ 4 อธิบายว่าถ้าการสอบถามพบประเด็นที่เกี่ยวกับการรายงานทางการเงิน ผู้สอบบัญชีอาจพิจารณาอ่านรายงานของหน่วยงานตรวจสอบภายในที่เกี่ยวข้อง

TSA 315 เป็นข้อกำหนดสำหรับผู้สอบบัญชี ไม่ได้กำหนดให้กิจการต้องมีการควบคุมด้านไอทีแบบใดแบบหนึ่ง สิ่งที่บทความนี้แนะนำให้กิจการทำจึงเป็นความเห็นของผู้เขียน

ทำไมผู้สอบบัญชีต้องทำความเข้าใจไอทีของกิจการ

เพราะ TSA 315 กำหนดให้ผู้สอบบัญชีทำความเข้าใจกิจการและระบบควบคุมภายใน ซึ่งรวมถึงการใช้ไอที เพื่อประเมินความเสี่ยงของงบการเงิน มาตรฐานฉบับนี้ถือปฏิบัติกับการตรวจสอบงบการเงินสำหรับรอบบัญชีที่เริ่มในหรือหลังวันที่ 15 ธันวาคม 2565 (ย่อหน้าที่ 10) ข้อกำหนดที่เกี่ยวกับไอทีโดยตรงมีดังนี้

• ย่อหน้าที่ 19(ก)(1) ผู้สอบบัญชีต้องทำความเข้าใจรูปแบบธุรกิจของกิจการ ซึ่งรวมถึงขอบเขตที่นำไอทีเข้ามาบูรณาการกับรูปแบบธุรกิจ
• ย่อหน้าที่ 25(ก)(4) ในการทำความเข้าใจระบบสารสนเทศที่เกี่ยวข้องกับการจัดทำงบการเงิน ผู้สอบบัญชีต้องเข้าใจทรัพยากรของกิจการ ซึ่งรวมถึงสภาพแวดล้อมไอที
• ย่อหน้าที่ 26(ข) และ (ค) สำหรับการควบคุมที่ผู้สอบบัญชีระบุไว้ ผู้สอบบัญชีต้องระบุระบบงานไอทีและด้านอื่นของสภาพแวดล้อมไอทีที่อาจมีความเสี่ยงจากการใช้ไอที แล้วระบุความเสี่ยงนั้นและการควบคุมทั่วไปของเทคโนโลยีสารสนเทศที่ตอบสนองต่อความเสี่ยง
• ย่อหน้าที่ 26(ง) สำหรับการควบคุมแต่ละรายการที่ระบุไว้ รวมถึง ITGC ตามข้อ (ค) ผู้สอบบัญชีต้องประเมินว่าการควบคุมออกแบบไว้อย่างมีประสิทธิผลหรือไม่ และพิจารณาว่ามีการนำไปปฏิบัติหรือไม่ โดยใช้วิธีที่นอกเหนือจากการสอบถามบุคลากรของกิจการ

ตัวอย่างในย่อหน้าที่ ก166 มีสองกรณีที่เกี่ยวกับเรื่องนี้โดยตรง กรณีแรก ถ้า ITGC ไม่ได้ป้องกันหรือตรวจพบการแก้โปรแกรมหรือการเข้าระบบโดยไม่ได้รับอนุญาต อาจกระทบการตัดสินใจของผู้สอบบัญชีว่าจะพึ่งพาการควบคุมอัตโนมัติในระบบนั้นหรือไม่ กรณีที่สอง ถ้าผู้สอบบัญชีตัดสินใจไม่ทดสอบ ITGC หรือคาดว่า ITGC ไม่มีประสิทธิผล ความเสี่ยงที่เกี่ยวข้องอาจต้องตอบสนองด้วยวิธีการตรวจสอบเนื้อหาสาระ แต่ถ้าวิธีการตรวจสอบเนื้อหาสาระอย่างเดียวให้หลักฐานที่เหมาะสมไม่เพียงพอ ความเสี่ยงนั้นอาจตอบสนองไม่ได้ และผู้สอบบัญชีอาจพิจารณาผลกระทบต่อการแสดงความเห็น

อ่านมาตรฐานฉบับเต็มได้ที่ มาตรฐานการสอบบัญชี รหัส 315 (ปรับปรุง 2564) การระบุและประเมินความเสี่ยงจากการแสดงข้อมูลที่ขัดต่อข้อเท็จจริงอันเป็นสาระสำคัญ ของสภาวิชาชีพบัญชี (ไฟล์ PDF)

สภาพแวดล้อมไอทีของกิจการประกอบด้วยอะไร

TSA 315 ย่อหน้าที่ 12(ช) ให้ความหมายว่า สภาพแวดล้อมไอทีคือระบบงานไอทีและโครงสร้างพื้นฐานด้านไอทีที่สนับสนุน รวมทั้งกระบวนการด้านไอทีและบุคลากรในกระบวนการเหล่านั้น

• ระบบงานไอที โปรแกรมที่ใช้เริ่มต้น ประมวลผล บันทึก และรายงานรายการค้า เช่น โปรแกรมบัญชีหรือระบบขาย รวมถึงคลังข้อมูลและซอฟต์แวร์ที่ช่วยสร้างรายงาน
• โครงสร้างพื้นฐานด้านไอที เครือข่าย ระบบปฏิบัติการ ฐานข้อมูล และฮาร์ดแวร์กับซอฟต์แวร์ที่เกี่ยวข้อง
• กระบวนการด้านไอที การจัดการการเข้าถึง การจัดการการเปลี่ยนแปลงโปรแกรมหรือสภาพแวดล้อมไอที และการจัดการการปฏิบัติงานด้านไอที

ภาคผนวก 6 ข้อ 1 อธิบายว่าแต่ละชั้นมีความเสี่ยงต่างกัน เช่น ชั้นฐานข้อมูลเสี่ยงที่ข้อมูลการรายงานทางการเงินถูกแก้โดยตรงหรือด้วยสคริปต์โดยไม่ได้รับอนุญาต ชั้นระบบปฏิบัติการเสี่ยงจากสิทธิ์ผู้ดูแลระบบที่ใช้แทรกแซงการควบคุมอื่นได้ และชั้นเครือข่ายเกี่ยวกับการเข้าถึงจากระยะไกลและการยืนยันตัวตน ย่อหน้าที่ ก172 อธิบายว่าเมื่อผู้สอบบัญชีระบุระบบงานที่อาจมีความเสี่ยงจากการใช้ไอทีแล้ว มีแนวโน้มจะระบุฐานข้อมูล ระบบปฏิบัติการ และเครือข่ายด้วย เพราะสนับสนุนและทำงานร่วมกับระบบงานนั้น นี่คือเหตุผลที่ผู้ตรวจอาจถามเลยไปถึงชั้นที่ฝ่ายบัญชีไม่ได้ใช้เอง

ITGC ตาม TSA 315 มีกี่กระบวนการ

TSA 315 จัดกระบวนการด้านไอทีไว้ 3 กระบวนการ คือ การจัดการการเข้าถึง การจัดการการเปลี่ยนแปลง และการจัดการการปฏิบัติงานด้านไอที (ย่อหน้าที่ 12(ช)(3)) และยกตัวอย่าง ITGC ตามกระบวนการเหล่านี้ไว้ในภาคผนวก 6 ข้อ 2

ส่วนความหมาย ITGC หรือการควบคุมทั่วไปของเทคโนโลยีสารสนเทศ คือการควบคุมที่เกี่ยวข้องกับกระบวนการด้านไอทีของกิจการ ที่ช่วยสนับสนุนให้สภาพแวดล้อมไอทีทำงานได้เหมาะสมอย่างต่อเนื่อง รวมถึงการทำงานอย่างมีประสิทธิผลต่อเนื่องของการควบคุมการประมวลผลสารสนเทศ และความครบถ้วน ถูกต้อง และสมเหตุสมผลของข้อมูล (สรุปจากย่อหน้าที่ 12(ง)) ภาคผนวกเรียกรายการด้านล่างว่า “ตัวอย่างของการควบคุมทั่วไปของเทคโนโลยีสารสนเทศที่อาจมีอยู่” จึงไม่ใช่รายการที่ทุกกิจการต้องมีครบ

1. การควบคุมการเข้าถึง การยืนยันตัวตนให้ผู้ใช้เข้าระบบด้วยข้อมูลประจำตัวของตัวเอง การกำหนดสิทธิ์เท่าที่จำเป็นต่อหน้าที่ การจัดสรรสิทธิ์ผู้ใช้ใหม่และแก้ไขสิทธิ์ การตัดสิทธิ์เมื่อออกจากงานหรือโอนย้าย การควบคุมสิทธิ์พิเศษ การสอบทานการเข้าถึงของผู้ใช้ (User Access Review) เป็นระยะ การตั้งค่าด้านความปลอดภัย และการเข้าถึงทางกายภาพ
2. การจัดการการเปลี่ยนแปลงโปรแกรมหรือการเปลี่ยนแปลงอื่นในสภาพแวดล้อมไอที กระบวนการออกแบบ เขียนโปรแกรม ทดสอบ และโอนย้ายขึ้นใช้งานจริง การแยกสิทธิ์ทำการเปลี่ยนแปลงออกจากสิทธิ์นำการเปลี่ยนแปลงขึ้นใช้งานจริง การพัฒนาหรือซื้อระบบ และการแปลงข้อมูล
3. การจัดการการปฏิบัติงานด้านไอที การจัดตารางงานและติดตามงานที่มีผลต่อการรายงานทางการเงิน การสำรองข้อมูลและการกู้คืน และการตรวจจับการบุกรุก

บทความ ITGC คืออะไร 4 กลุ่มที่ผู้ทำบัญชีและผู้สอบบัญชีต้องรู้ แยก “การพัฒนาและการนำระบบใหม่มาใช้” เป็นกลุ่มของตัวเอง ขณะที่ภาคผนวก 6 รวมการพัฒนาหรือซื้อระบบและการแปลงข้อมูลไว้ในกระบวนการจัดการการเปลี่ยนแปลง ตัวการควบคุมจึงตรงกัน ต่างกันแค่วิธีจัดกลุ่ม รายการหลักฐานที่ผู้ตรวจขอดูในแต่ละกลุ่มอยู่ในบทความนั้น

ITAC หรือ Application Control คืออะไร ต่างจาก ITGC อย่างไร

ในบทความนี้ ITAC หรือ Application Control หมายถึงการควบคุมที่ฝังอยู่ในระบบงานและทำงานกับรายการหรือข้อมูลแต่ละรายการ ส่วน ITGC ดูแลกระบวนการไอทีที่อยู่รอบระบบงานทั้งระบบ

TSA 315 ไม่ได้ใช้คำว่า ITAC แต่ใช้คำว่า “การควบคุมการประมวลผลสารสนเทศ” (ย่อหน้าที่ 12(จ)) คือการควบคุมที่ตอบสนองโดยตรงกับความเสี่ยงต่อความครบถ้วน ความถูกต้อง และความสมเหตุสมผลของรายการและข้อมูล ย่อหน้าที่ ก6 อธิบายว่าอาจเป็นแบบอัตโนมัติที่ฝังอยู่ในระบบงาน หรือแบบที่คนทำ เช่น การควบคุมการนำเข้าและส่งออกข้อมูล ผู้เขียนเทียบว่า ITAC ตรงกับส่วนที่เป็นอัตโนมัติ ตัวอย่างที่มาตรฐานยกไว้ เช่น การคำนวณอัตโนมัติ และการจับคู่ใบสั่งซื้อ ใบส่งสินค้า และใบแจ้งหนี้ของผู้ขายโดยอัตโนมัติ (ภาคผนวก 5 ข้อ 8)

สองชั้นนี้พึ่งพากัน ย่อหน้าที่ ก150 อธิบายว่า ITGC สนับสนุนให้การควบคุมการประมวลผลสารสนเทศทำงานได้ผลอย่างต่อเนื่อง แต่โดยปกติ ITGC อย่างเดียวไม่เพียงพอที่จะตอบสนองความเสี่ยงในระดับที่เกี่ยวกับสิ่งที่ผู้บริหารให้การรับรองไว้ ผู้เขียนสรุปให้จำง่ายว่า ITAC จับความผิดพลาดของรายการ ส่วน ITGC ทำให้เชื่อได้ว่า ITAC ตัวนั้นไม่ถูกใครแก้หรือข้ามไป และข้อมูลไม่ถูกแก้นอกระบบ

IT Audit มองหาความเสี่ยงด้านเทคโนโลยีสารสนเทศแบบไหน

ผู้ตรวจมองหาความเสี่ยงที่ระบบประมวลผลผิด หรือประมวลผลข้อมูลที่ผิด แล้วกิจการพึ่งพาผลนั้นโดยไม่รู้ตัว TSA 315 ย่อหน้าที่ 12(ฌ) เรียกว่า “ความเสี่ยงที่เกิดขึ้นจากการใช้เทคโนโลยีสารสนเทศ” หมายถึงความเสี่ยงที่การควบคุมการประมวลผลสารสนเทศอาจออกแบบหรือนำไปปฏิบัติได้ไม่มีประสิทธิผล หรือความเสี่ยงต่อความครบถ้วน ความถูกต้อง และความสมเหตุสมผลของข้อมูล อันเนื่องมาจากการควบคุมในกระบวนการด้านไอทีไม่มีประสิทธิผล

ภาคผนวก 5 ข้อ 18 ยกตัวอย่างความเสี่ยงจากการพึ่งพาที่ไม่เหมาะสมต่อระบบที่ประมวลผลไม่ถูกต้อง หรือประมวลผลข้อมูลที่ไม่ถูกต้อง เช่น การเข้าถึงข้อมูลโดยไม่ได้รับอนุญาต ซึ่งอาจส่งผลให้ข้อมูลถูกทำลายหรือถูกเปลี่ยนอย่างไม่เหมาะสม รวมถึงการบันทึกรายการที่ไม่ได้รับอนุญาตหรือไม่มีอยู่จริง บุคลากรไอทีได้สิทธิ์เกินหน้าที่ซึ่งขัดต่อหลักการแบ่งแยกหน้าที่ การแก้ข้อมูลหลักหรือระบบโดยไม่ได้รับอนุญาต และข้อมูลสูญหายหรือเข้าถึงไม่ได้เมื่อต้องการ ผู้เขียนยกตัวอย่างข้อมูลหลักในงานบัญชี เช่น ทะเบียนผู้ขายพร้อมเลขบัญชีธนาคาร ถ้ามีคนแก้ได้โดยไม่มีใครสอบทาน รายการจ่ายเงินหลังจากนั้นอาจผิดตามไปด้วยโดยไม่มีใครเห็น

มาตรฐานยังพูดถึงสองเรื่องที่นักบัญชีใช้ตอนปิดงบ

• รายงานที่ระบบจัดทำ เช่น รายงานอายุลูกหนี้การค้าและรายงานมูลค่าสินค้าคงเหลือ ผู้สอบบัญชีอาจทดสอบข้อมูลนำเข้าและผลลัพธ์ของรายงานโดยตรง หรือวางแผนทดสอบการควบคุมการจัดทำรายงานและ ITGC ที่เกี่ยวข้อง (ภาคผนวก 5 ข้อ 10)
• กระดาษคำนวณที่ผู้ใช้สร้างเอง มาตรฐานอธิบายว่ามักไม่ถูกระบุเป็นระบบงานไอที และการควบคุมการเข้าถึงกับการแก้ไขอาจทำได้ยาก ผู้สอบบัญชีจึงอาจพิจารณาการควบคุมอื่นร่วมกัน เช่น การกระทบยอดรายงานกับข้อมูลที่ดึงมา และการตรวจสูตรคำนวณหรือแมโคร (ภาคผนวก 5 ข้อ 14)

ถ้าต้องตัดสินว่าระบบไหนควรให้น้ำหนักกับความลับ ความถูกต้องครบถ้วน หรือความพร้อมใช้งานก่อน อ่าน จัดลำดับ C-I-A ให้ตรงกับธุรกิจ ส่วนสิทธิ์ที่ขัดกับหลักการแบ่งแยกหน้าที่ อ่าน การแบ่งแยกหน้าที่ในระบบ IT (Segregation of Duties)

กิจการขนาดเล็กที่ใช้โปรแกรมบัญชีสำเร็จรูปหรือระบบบนคลาวด์ ผู้สอบบัญชีดูอะไร

ผู้สอบบัญชียังต้องทำความเข้าใจไอทีของกิจการขนาดเล็ก เพราะข้อกำหนดในย่อหน้าที่ 25(ก)(4) ให้ผู้สอบบัญชีเข้าใจทรัพยากรของกิจการ ซึ่งรวมถึงสภาพแวดล้อมไอที และคำนำของ TSA 315 (ย่อหน้าที่ 9) ระบุว่ามาตรฐานตั้งใจให้ใช้กับการสอบบัญชีทุกกิจการโดยไม่คำนึงถึงขนาดหรือความซับซ้อน ส่วนขอบเขตความเข้าใจด้านไอทีแตกต่างกันไปตามลักษณะของกิจการและสภาพแวดล้อมไอที (ย่อหน้าที่ ก170)

ย่อหน้าที่ ก170 ยกตัวอย่างกิจการที่ใช้ซอฟต์แวร์เชิงพาณิชย์และเข้าถึงรหัสโปรแกรมต้นฉบับไม่ได้ ว่าไม่น่าจะมีกระบวนการเปลี่ยนแปลงโปรแกรม แต่อาจมีกระบวนการตั้งค่าซอฟต์แวร์ เช่น ผังบัญชีและพารามิเตอร์ และการจัดการสิทธิ์ระดับผู้ดูแลระบบ ในสถานการณ์นี้มาตรฐานเขียนว่ากิจการ “ไม่น่าจะมีหรือไม่จำเป็นต้องมีการควบคุมทั่วไปของเทคโนโลยีสารสนเทศที่เป็นทางการ” ส่วนกิจการที่มีพนักงานน้อย ย่อหน้าที่ ก157 ยอมรับว่าการแบ่งแยกหน้าที่อาจทำได้ยาก และการที่เจ้าของบริหารเองแล้วกำกับดูแลผ่านการมีส่วนร่วมโดยตรงอาจชดเชยข้อจำกัดนี้ได้ แต่การที่คนคนเดียวครอบงำการบริหารงานก็อาจถือเป็นข้อบกพร่องของการควบคุมได้ เพราะมีโอกาสที่ผู้บริหารจะเข้าแทรกแซงการควบคุม

สำหรับระบบบนคลาวด์ ตารางในภาคผนวก 5 ข้อ 4 ยกผู้ให้บริการคลาวด์เป็นตัวอย่างของการจ้างบุคคลภายนอกเป็นฐานที่ตั้งของไอที ย่อหน้าที่ ก174 อธิบายว่าความเสี่ยงด้านไอทีอาจเกิดขึ้นเมื่อกิจการใช้ผู้ให้บริการภายนอกเป็นฐานที่ตั้งของสภาพแวดล้อมไอที และย่อหน้าที่ ก165 ระบุ “การควบคุมส่วนเสริมของกิจการที่ใช้บริการ” ไว้ในการควบคุมที่ผู้สอบบัญชีอาจพิจารณา

ตัวอย่าง (สมมติ) บริษัทจัดจำหน่ายขนาดเล็กใช้โปรแกรมบัญชีสำเร็จรูปแบบออนไลน์ หัวหน้าบัญชีถือสิทธิ์ผู้ดูแลระบบและเป็นคนเพิ่มผู้ขายรายใหม่ด้วย ผู้สอบบัญชีอาจถามว่าใครแก้สิทธิ์ผู้ใช้ได้ ใครเปลี่ยนผังบัญชีได้ และมีใครสอบทานการแก้ข้อมูลผู้ขายหรือไม่ ถ้าโปรแกรมมีรายงานประวัติการแก้ไข กิจการอาจให้เจ้าของเปิดดูรายงานนี้ทุกเดือนแล้วลงชื่อกำกับ และควรตรวจด้วยว่าผู้ดูแลระบบปิดหรือลบประวัติการแก้ไขเองไม่ได้ ไม่เช่นนั้นรายงานที่เจ้าของเปิดดูอาจไม่ครบ

ผู้เขียนแนะนำว่า แม้กิจการแบบนี้อาจไม่จำเป็นต้องมี ITGC ที่เป็นทางการ ก็ควรมีการควบคุมพื้นฐาน คือ ไม่ใช้รหัสผู้ใช้ร่วมกัน ให้สิทธิ์ตามหน้าที่ ปิดสิทธิ์คนที่ลาออกทันที จดว่าใครเปลี่ยนการตั้งค่าอะไร และลองกู้คืนข้อมูลสำรองจริงเป็นครั้งคราว

IT Audit อยู่ตรงไหนในกรอบการควบคุมภายใน COSO

ในแบบประเมินที่จัดทำตามกรอบ COSO การควบคุมทั่วไปด้านไอทีอยู่ในหลักการที่ 11 และการประเมินอิสระโดยผู้ตรวจสอบภายในอยู่ใต้หลักการที่ 16

แบบประเมินความเพียงพอของระบบการควบคุมภายในของสำนักงาน ก.ล.ต. เป็นเครื่องมือให้บริษัทใช้ประเมินความเพียงพอของระบบควบคุมภายในด้วยตนเอง และปรับให้เหมาะกับบริษัทจดทะเบียนไทย ใต้หลักการที่ 11 แบบประเมินถามถึงการควบคุมโครงสร้างพื้นฐาน ความปลอดภัย และกระบวนการได้มา การพัฒนา และการบำรุงรักษาระบบเทคโนโลยี (ข้อ 11.2 ถึง 11.4) และข้อ 16.2 ถามถึงการตรวจสอบการปฏิบัติตามระบบควบคุมภายในโดยการประเมินตนเอง และ/หรือการประเมินอิสระโดยผู้ตรวจสอบภายใน กรอบ COSO เป็นกรอบแนวคิดของสถาบันวิชาชีพ ไม่ใช่กฎหมาย

ถ้าอยากปูพื้นการควบคุมภายในทั้งกรอบก่อนลงเรื่องไอที อ่านบทความ การควบคุมภายในคืออะไร กรอบ COSO 5 องค์ประกอบ 17 หลักการ หรือเรียนหลักสูตรอบรมออนไลน์ ความรู้พื้นฐานของระบบการควบคุมภายในสำหรับนักบัญชี ของ cpdclass ซึ่งมีบทเรียนเรื่ององค์ประกอบ 5 ด้านและหลักการทั้ง 17 ข้อของกรอบ COSO รวมถึงประโยชน์และข้อจำกัดของระบบควบคุมภายใน หลักสูตรนี้นับชั่วโมงด้านการบัญชี 3 ชั่วโมง ได้ทั้งผู้ทำบัญชีและผู้สอบบัญชี ราคา 300 บาท รอบไตรมาส 4/2569 เปิดรับสมัครถึงวันที่ 18 ธันวาคม 2569 และต้องเรียนและสอบให้ผ่านภายในวันที่ 31 ธันวาคม 2569 หนังสือรับรองจะออกหลังเจ้าหน้าที่ตรวจภาพยืนยันตัวตนระหว่างเรียน จึงควรเรียนให้จบล่วงหน้า ชั่วโมงจากหลักสูตรนี้ยังไม่ครบเกณฑ์ชั่วโมงทั้งปีของทั้งสองกลุ่ม

เช็กลิสต์ข้อมูลที่นักบัญชีควรเตรียมเมื่อผู้ตรวจดูด้านไอที

ผู้เขียนแนะนำให้เตรียมข้อมูล 9 อย่างด้านล่างไว้ก่อน รายการนี้เป็นความเห็นของผู้เขียน ไม่ใช่รายการที่มาตรฐานกำหนด สิ่งที่ผู้สอบบัญชีขอจริงขึ้นกับดุลยพินิจและระบบของกิจการ วงเล็บท้ายข้อบอกส่วนของ TSA 315 ที่เกี่ยวข้อง ผู้เขียนมองว่าข้อกำหนดในย่อหน้าที่ 26(ง) คือเหตุผลที่ผู้สอบบัญชีจะขอดูหลักฐานหรือสังเกตการทำงานจริง ไม่ใช่ฟังคำอธิบายอย่างเดียว

1. คำอธิบายระบบ ระบบไหนใช้ทำอะไร ข้อมูลไหลจากระบบหนึ่งไปอีกระบบอย่างไร และใครดูแล (ย่อหน้าที่ 25(ก)(1) และ (4))
2. รายชื่อผู้ใช้และสิทธิ์ในโปรแกรมบัญชี ณ วันสิ้นงวด ดึงจากระบบโดยตรงพร้อมวันที่และเวลาที่ดึง แยกผู้มีสิทธิ์ผู้ดูแลระบบ พร้อมรายชื่อพนักงานที่ลาออกหรือย้ายงานในงวดเทียบกับสถานะบัญชีผู้ใช้ (ภาคผนวก 6 การเข้าถึง)
3. หลักฐานการอนุมัติสิทธิ์และผลการทบทวนสิทธิ์ผู้ใช้ ใครทบทวน เมื่อไร และสั่งแก้อะไร (ภาคผนวก 6 การเข้าถึง)
4. บันทึกการเปลี่ยนแปลงระบบ รวมการอัปเกรดเวอร์ชันและการเปลี่ยนการตั้งค่าที่กระทบการบันทึกบัญชี เช่น ผังบัญชี (ย่อหน้าที่ ก170)
5. เอกสารการย้ายระบบหรือแปลงข้อมูล ถ้าเปลี่ยนโปรแกรมในงวด เช่น การกระทบยอดยกมาระหว่างระบบเดิมกับระบบใหม่ (ภาคผนวก 6 การแปลงข้อมูล)
6. ผลการสำรองข้อมูลและผลการทดสอบกู้คืน ระบุวันที่และผล (ภาคผนวก 6 การสำรองและกู้คืน)
7. รายชื่อรายงานจากระบบที่ใช้ปิดงบ พร้อมวิธีที่ใช้ตรวจว่ารายงานครบถ้วนถูกต้อง เช่น กระทบยอดรวมกับบัญชีแยกประเภท และไฟล์กระดาษคำนวณที่ใช้คำนวณตัวเลขในงบ พร้อมระบุว่าใครแก้ได้และใครตรวจทาน (ภาคผนวก 5 ข้อ 10 และ 14)
8. ข้อมูลผู้ให้บริการ ถ้าใช้คลาวด์หรือจ้างภายนอกดูแลระบบ ให้เตรียมขอบเขตที่ผู้ให้บริการดูแล และรายงานผลการตรวจสอบการควบคุมของผู้ให้บริการถ้ามี (ย่อหน้าที่ ก165 และ ก174)
9. รายชื่อผู้มีสิทธิ์บันทึก แก้ไข หรือลบรายการบัญชีด้วยมือ รวมถึงรายการปรับปรุง การแก้หรือยกเลิกเอกสารย้อนหลัง และการเปิดงวดที่ปิดแล้ว พร้อมวิธีที่กิจการใช้สอบทานรายการเหล่านี้ (ย่อหน้าที่ 26(ก)(2))

ผู้เขียนแนะนำให้ทำรายการนี้ตั้งแต่ต้นงวด ไม่ใช่รวบรวมตอนผู้ตรวจขอ เพราะหลักฐานอย่างผลการทบทวนสิทธิ์และผลการทดสอบกู้คืน ถ้าไม่ได้ทำไว้ในงวดนั้นก็สร้างย้อนหลังไม่ได้ และไม่ควรจัดทำเอกสารลงวันที่ย้อนหลัง

อ่านต่อเรื่องย่อยของคลัสเตอร์ไอที

• ITGC รายกลุ่มและหลักฐานที่ผู้ตรวจขอดู ITGC คืออะไร 4 กลุ่มที่ผู้ทำบัญชีและผู้สอบบัญชีต้องรู้
• สิทธิ์ที่ขัดกันและมาตรการชดเชย การแบ่งแยกหน้าที่ในระบบ IT ความรู้เบื้องต้นที่นักบัญชีควรรู้
• จัดลำดับความเสี่ยงด้านไอทีให้ตรงกับธุรกิจ จัดลำดับ C-I-A ให้ตรงกับธุรกิจ
• กรอบการควบคุมภายในทั้งระบบ การควบคุมภายในคืออะไร กรอบ COSO 5 องค์ประกอบ 17 หลักการ

บทความนี้เรียบเรียงจากมาตรฐานการสอบบัญชี รหัส 315 (ปรับปรุง 2564) การระบุและประเมินความเสี่ยงจากการแสดงข้อมูลที่ขัดต่อข้อเท็จจริงอันเป็นสาระสำคัญ ซึ่งสภาวิชาชีพบัญชีแปลจาก ISA 315 (Revised 2019) และทำซ้ำโดยได้รับอนุญาตจาก IFAC ผู้ถือลิขสิทธิ์ ถือปฏิบัติกับการตรวจสอบงบการเงินสำหรับรอบบัญชีที่เริ่มในหรือหลังวันที่ 15 ธันวาคม 2565 ร่วมกับแบบประเมินความเพียงพอของระบบการควบคุมภายในของสำนักงาน ก.ล.ต. ความหมายของคำว่า IT Audit ตัวอย่าง เช็กลิสต์ และคำแนะนำ เป็นความเห็นและตัวอย่างสมมติของผู้เขียน บทความนี้ไม่ครอบคลุมวิธีทดสอบการควบคุมตามมาตรฐานการสอบบัญชีฉบับอื่น ความปลอดภัยไซเบอร์เชิงเทคนิค และกฎหมายที่เกี่ยวกับข้อมูลหรือคอมพิวเตอร์ มาตรฐานอาจมีการปรับปรุง แนะนำให้ตรวจฉบับล่าสุดที่สภาวิชาชีพบัญชีก่อนนำไปใช้