จ้างบริษัทตรวจสอบภายในดีอย่างไร? เปรียบเทียบ In-house, Outsource และ Co-source

เลือกโครงสร้างงานตรวจสอบภายในอย่างไรให้เหมาะกับความเสี่ยงและทรัพยากรขององค์กร

เลือกโครงสร้างงานตรวจสอบภายในอย่างไรให้เหมาะกับความเสี่ยงและทรัพยากรขององค์กร

การตรวจสอบภายในเป็นกลไกสำคัญที่ช่วยให้องค์กรประเมินและปรับปรุงการกำกับดูแล การบริหารความเสี่ยง และการควบคุมภายใน ตลอดจนสนับสนุนการตัดสินใจและการกำกับติดตามของคณะกรรมการกับผู้บริหาร ตามวัตถุประสงค์ของมาตรฐานวิชาชีพสากล การตรวจสอบภายในช่วยเสริมความสามารถขององค์กรในการสร้าง ปกป้อง และรักษาคุณค่า ผ่านการให้ความเชื่อมั่น คำแนะนำ ข้อมูลเชิงลึก และมุมมองต่ออนาคตอย่างเป็นอิสระ อิงความเสี่ยง และเที่ยงธรรม

 

องค์กรสามารถจัดทรัพยากรงานตรวจสอบภายในได้หลายรูปแบบ ได้แก่:

In-house: จัดตั้งหน่วยงานตรวจสอบภายในขององค์กรเอง

Outsource: ว่าจ้างผู้ให้บริการภายนอกรับผิดชอบงานส่วนใหญ่หรือทั้งหมด

Co-source: ใช้ทีมภายในร่วมกับผู้เชี่ยวชาญภายนอก

 

แต่ละรูปแบบมีข้อดีและข้อจำกัดแตกต่างกัน ไม่มีรูปแบบใดดีที่สุดสำหรับทุกองค์กร การตัดสินใจควรพิจารณาจากขนาด ความซับซ้อน ความเสี่ยง ปริมาณงาน ความเชี่ยวชาญที่ต้องใช้ และข้อกำหนดที่เกี่ยวข้อง

 

บทบาทของผู้ตรวจสอบภายในคืออะไร?

ผู้ตรวจสอบภายในไม่ได้มีหน้าที่เพียงตรวจหาข้อผิดพลาดหรือการทุจริต แต่ทำหน้าที่ประเมินอย่างเป็นระบบว่าองค์กรมีการกำกับดูแล การบริหารความเสี่ยง และการควบคุมภายในที่เหมาะสมและมีประสิทธิผลเพียงใด

 

ขอบเขตงานอาจครอบคลุม:

• การจัดซื้อจัดจ้างและการบริหารผู้ขาย
• การขาย ลูกหนี้ และการรับชำระเงิน
• สินค้าคงเหลือและคลังสินค้า
• เงินสดและการเบิกจ่าย
• ทรัพยากรบุคคลและค่าตอบแทน
• สินทรัพย์ถาวร
• ระบบสารสนเทศและสิทธิ์การเข้าถึง
• การปฏิบัติตามกฎหมาย นโยบาย และข้อกำหนด
• ความเสี่ยงด้านทุจริต
• โครงการและการเปลี่ยนแปลงระบบ

ผู้ตรวจสอบภายในควรเปรียบเทียบสภาพการปฏิบัติงานกับเกณฑ์ ระบุสาเหตุและผลกระทบของช่องว่าง ประเมินความเสี่ยงคงเหลือ และสื่อสารข้อเสนอแนะที่ช่วยให้ฝ่ายบริหารจัดลำดับแผนปรับปรุงได้อย่างเหมาะสม

 

การตรวจสอบภายในแบบ In-house, Outsource และ Co-source ต่างกันอย่างไร?

 

 

การเลือกรูปแบบควรสนับสนุนกลยุทธ์และแผนตรวจสอบภายในขององค์กร โดยอาจใช้ In-house, Co-source, Outsource with In-house Management หรือ Outsource เต็มรูปแบบตามความเหมาะสม

 

ข้อดีของการจ้างบริษัทตรวจสอบภายใน

 

1. เสริมความเป็นอิสระและมุมมองที่เป็นกลาง

ผู้ให้บริการภายนอกไม่มีบทบาทโดยตรงในการปฏิบัติงานประจำของกระบวนการที่ตรวจ จึงสามารถนำเสนอมุมมองที่เป็นกลางและตั้งคำถามต่อแนวปฏิบัติเดิมได้มากขึ้น

อย่างไรก็ตาม ความเป็นอิสระไม่ได้เกิดจากการเป็นบุคคลภายนอกเพียงอย่างเดียว ต้องมี:

• การรายงานเชิงหน้าที่ต่อคณะกรรมการตรวจสอบหรือคณะกรรมการ
• สิทธิ์เข้าถึงข้อมูล บุคลากร และทรัพย์สินที่จำเป็น
• ขอบเขตงานที่ไม่ถูกจำกัดโดยฝ่ายบริหาร
• การเปิดเผยและจัดการความขัดแย้งทางผลประโยชน์
• การหลีกเลี่ยงการตรวจงานที่ผู้ให้บริการเคยออกแบบหรือรับผิดชอบโดยไม่มีมาตรการป้องกัน

 

2. เข้าถึงผู้เชี่ยวชาญเฉพาะด้าน

บริษัทตรวจสอบภายในที่มีทีมงานหลายสาขาสามารถจัดบุคลากรให้เหมาะกับความเสี่ยงของแต่ละงาน เช่น:

• Internal Audit และ Operational Audit
• IT Audit และ Technology Risk
• Fraud Risk และ Investigation Support
• PDPA และ Privacy Audit
• Project Assurance
• ERP และ Business System Review
• IPO Readiness
• CAC และ Anti-Corruption Review

องค์กรควรตรวจสอบประสบการณ์จริงและวุฒิบัตรของบุคลากรที่จะปฏิบัติงาน เช่น CIA, IAP, CPIAT, PIAC หรือ CISA ตามลักษณะงาน ไม่ควรพิจารณาจากชื่อบริษัทหรือรายชื่อวุฒิบัตรโดยรวมเพียงอย่างเดียว

 

3. เพิ่มความยืดหยุ่นของทรัพยากร

องค์กรสามารถกำหนดจำนวนผู้ตรวจสอบ ระยะเวลา และความเชี่ยวชาญตามแผนตรวจสอบและความเสี่ยงในแต่ละช่วงได้ เช่น:

• เพิ่มทีมช่วงเตรียม IPO
• ใช้ IT Auditor สำหรับการตรวจ ERP หรือสิทธิ์การเข้าถึง
• ใช้ผู้เชี่ยวชาญโครงการสำหรับ System Implementation Review
• เพิ่มกำลังคนเพื่อปิดแผนตรวจประจำปี
• ใช้ทีมภายนอกดำเนินงานเร่งด่วนหรือโครงการเฉพาะ

มาตรฐานภายในของ Signature Group รองรับการใช้ผู้ให้บริการภายนอกเมื่อทรัพยากรไม่เพียงพอ หรือต้องการทักษะเฉพาะทางและการสนับสนุนโครงการพิเศษ

 

4. จำกัดภาระการสรรหาและพัฒนาทีมงาน

การสร้างทีม In-house ต้องใช้เวลาในการสรรหา พัฒนา และรักษาบุคลากร รวมถึงจัดหาเครื่องมือ วิธีการ และระบบ Quality Assurance

 

Outsource อาจเหมาะกับองค์กรที่:

• ยังไม่มีหน่วยงานตรวจสอบภายใน
• มีปริมาณงานไม่เพียงพอสำหรับทีมเต็มเวลา
• ต้องเริ่มงานภายในกรอบเวลาจำกัด
• ต้องการทดลองรูปแบบงานก่อนจัดตั้งทีมถาวร
• มีความเสี่ยงหลายด้านแต่ไม่สามารถจ้าง Specialist ทุกประเภทได้

อย่างไรก็ตาม หากองค์กรมีแผนงานต่อเนื่องจำนวนมาก การจัดตั้งทีม In-house หรือ Co-source อาจคุ้มค่าและรักษาความรู้ขององค์กรได้ดีกว่า

 

5. ได้รับวิธีการทำงานและเครื่องมือที่เป็นระบบ

 

ผู้ให้บริการมืออาชีพควรมีวิธีการทำงานที่ครอบคลุม:

• Risk Assessment และ Risk-Based Audit Plan
• Audit Program
• Sampling Methodology
• Working Papers
• Evidence Evaluation
• Root Cause Analysis
• Issue Rating
• Management Action Plan
• Follow-up Process
• Audit Committee Reporting
• Quality Assurance and Improvement Program

คุณภาพของผู้ให้บริการควรพิจารณาจากวิธีการและหลักฐานการทำงาน มิใช่พิจารณาเพียงรูปแบบรายงานที่สวยงาม

 

6. ได้รับมุมมองจากหลายอุตสาหกรรมโดยไม่เปิดเผยข้อมูลลูกค้ารายอื่น

ประสบการณ์จากหลายอุตสาหกรรมช่วยให้ผู้ให้บริการเข้าใจรูปแบบความเสี่ยงและแนวปฏิบัติที่หลากหลาย แต่การนำประสบการณ์มาใช้ต้องรักษาความลับและไม่เปิดเผยข้อมูลเฉพาะของลูกค้ารายอื่น

 

ข้อเสนอแนะควรปรับตาม:

• รูปแบบธุรกิจ
• ขนาดและโครงสร้างองค์กร
• ความพร้อมของบุคลากร
• ระบบสารสนเทศ
• ต้นทุนกับประโยชน์
• ระดับความเสี่ยงที่องค์กรยอมรับได้

 

ข้อจำกัดของการจ้างบริษัทตรวจสอบภายใน

เพื่อให้บทความมีความเป็นกลาง ควรกล่าวถึงข้อจำกัดด้วย

 

1. ผู้ให้บริการต้องใช้เวลาเรียนรู้ธุรกิจ

ทีมภายนอกอาจยังไม่เข้าใจผลิตภัณฑ์ กระบวนการ วัฒนธรรม ระบบ และประวัติขององค์กรเท่ากับทีม In-house ในช่วงเริ่มต้น จึงต้องมีการ Onboarding และส่งมอบข้อมูลอย่างเป็นระบบ

2. ความรู้บางส่วนอาจไม่ถูกเก็บไว้ในองค์กร

หาก Outsource ทั้งหมดโดยไม่มี Knowledge Transfer องค์กรอาจพึ่งพาผู้ให้บริการมากเกินไป ควรกำหนดให้มีการส่งมอบ Working Knowledge, Issue Tracker, แผนติดตาม และเอกสารที่จำเป็นตามข้อตกลง

3. คุณภาพขึ้นอยู่กับทีมที่ได้รับมอบหมาย

บริษัทผู้ให้บริการอาจมีชื่อเสียง แต่คุณภาพงานจริงขึ้นอยู่กับ Partner, Engagement Manager และผู้ตรวจสอบที่ลงพื้นที่ จึงควรตรวจสอบรายชื่อ ประสบการณ์ และสัดส่วนเวลาของทีมงานตั้งแต่ขั้นเสนอราคา

4. ขอบเขตสัญญาอาจจำกัดความยืดหยุ่น

หากขอบเขตงานกำหนดแคบเกินไป ผู้ให้บริการอาจไม่สามารถขยายงานไปยังประเด็นที่พบใหม่โดยไม่มีการแก้ไขสัญญาหรืองบประมาณเพิ่มเติม

5. ความรับผิดชอบขององค์กรไม่สามารถ Outsource ได้ทั้งหมด

แม้องค์กรจะว่าจ้างบริษัทภายนอก คณะกรรมการ คณะกรรมการตรวจสอบ และฝ่ายบริหารยังคงต้องกำกับดูแลงานตรวจสอบภายใน ให้ข้อมูล พิจารณาผลการตรวจ และติดตามการแก้ไข ไม่สามารถโอนความรับผิดชอบด้าน Governance ไปยังผู้ให้บริการทั้งหมดได้

 

ความเสี่ยงของการให้ฝ่ายงาน “ตรวจสอบกันเอง”

การให้ฝ่ายบัญชี เจ้าของกระบวนการ หรือผู้บริหารตรวจทานงานของตนเองเป็น Management Review หรือ Internal Control ซึ่งมีประโยชน์ แต่ไม่ควรนำมาใช้ทดแทนหน่วยงานตรวจสอบภายในที่มีความเป็นอิสระ

 

ความเสี่ยงที่อาจเกิดขึ้น ได้แก่:

1. ขอบเขตไม่ครอบคลุม

 ผู้ปฏิบัติงานมีภาระงานประจำและอาจไม่มีเวลาออกแบบขั้นตอนตรวจสอบที่เพียงพอ

 

2. ความเที่ยงธรรมถูกจำกัด

 ผู้ตรวจอาจต้องประเมินกระบวนการ การตัดสินใจ หรือผลงานที่ตนเองมีส่วนรับผิดชอบ

 

3. มองไม่เห็นสาเหตุเชิงระบบ

 ผู้ที่คุ้นเคยกับวิธีทำงานเดิมอาจมองแนวปฏิบัติบางอย่างว่าเป็นเรื่องปกติ แม้จะมีความเสี่ยงหรือการควบคุมไม่เพียงพอ

 

4. ไม่มีระเบียบวิธีและหลักฐานการตรวจที่เพียงพอ

 การตรวจทานทั่วไปอาจไม่มี Audit Program, Sampling, Working Papers และ Evidence ที่รองรับข้อสรุป

 

5. การติดตามแก้ไขไม่มีเจ้าภาพชัดเจน

 ประเด็นที่พบอาจไม่ได้รับการจัดลำดับ ติดตาม และรายงานต่อผู้มีอำนาจอย่างเป็นระบบ

 

อย่างไรก็ตาม ข้อจำกัดเหล่านี้ไม่ควรถูกนำไปเหมารวมกับ หน่วยงานตรวจสอบภายในแบบ In-house ที่จัดตั้งอย่างถูกต้อง เพราะทีม In-house ที่รายงานต่อคณะกรรมการตรวจสอบ มี Charter และปฏิบัติตามมาตรฐานวิชาชีพ สามารถมีความเป็นอิสระและมีประสิทธิผลได้

 

องค์กรควรเลือกรูปแบบใด?

เหมาะกับ In-house เมื่อ

• มีปริมาณงานตรวจสอบต่อเนื่องเพียงพอ
• ธุรกิจมีความซับซ้อนและต้องใช้ความรู้เฉพาะองค์กรสูง
• ต้องการทีมที่ติดตามความเสี่ยงและการเปลี่ยนแปลงได้ทุกวัน
• สามารถสรรหาและรักษาบุคลากรที่มีคุณสมบัติเหมาะสม
• มีงบประมาณสำหรับทีม เครื่องมือ และการพัฒนาคุณภาพอย่างต่อเนื่อง

เหมาะกับ Outsource เมื่อ

• ยังไม่มีหน่วยงาน IA
• ต้องเริ่มงานเร็ว
• ปริมาณงานไม่สม่ำเสมอ
• ต้องการผู้เชี่ยวชาญหลายด้าน
• ต้องการมุมมองภายนอก
• ต้องการรองรับช่วงเตรียม IPO หรือการเปลี่ยนแปลงครั้งสำคัญ

เหมาะกับ Co-source เมื่อ

• มีทีม IA อยู่แล้วแต่ทรัพยากรไม่เพียงพอ
• ต้องการ Specialist ด้าน IT, Cybersecurity, Fraud, PDPA หรือโครงการ
• ต้องการเพิ่มกำลังคนชั่วคราว
• ต้องการถ่ายทอดความรู้ให้ทีมภายใน
• ต้องการให้ทีมภายในรักษาความรู้และความสัมพันธ์กับองค์กร

 

วิธีเลือกบริษัทตรวจสอบภายใน

 

1. ตรวจสอบประสบการณ์ของทีมจริง

ขอรายชื่อและประสบการณ์ของ Partner, Manager และผู้ตรวจสอบที่จะทำงานจริง ไม่ควรพิจารณาเฉพาะประวัติบริษัทโดยรวม

 

2. พิจารณาวุฒิบัตรและความเชี่ยวชาญที่สัมพันธ์กับงาน

วุฒิบัตรที่เกี่ยวข้องอาจประกอบด้วย CIA, IAP, CPIAT, PIAC และ CISA แต่ต้องพิจารณาควบคู่กับประสบการณ์ในกระบวนการและอุตสาหกรรม

 

3. ตรวจสอบแนวทางรักษาความเป็นอิสระ

ควรสอบถามถึง:

• สายการรายงาน
• การเปิดเผย Conflict of Interest
• ความสัมพันธ์กับผู้สอบบัญชีหรือที่ปรึกษารายอื่น
• งานออกแบบระบบที่เคยให้บริการ
• มาตรการป้องกัน Self-review Threat

4. ตรวจสอบวิธีการทำงาน

ผู้ให้บริการควรอธิบายได้ว่าใช้วิธีใดในการ:

• ประเมินความเสี่ยง
• กำหนดขอบเขต
• เลือกตัวอย่าง
• รวบรวมหลักฐาน
• ให้ระดับความเสี่ยง
• วิเคราะห์สาเหตุ
• จัดทำข้อเสนอแนะ
• ติดตามแผนแก้ไข

5. พิจารณาคุณภาพของรายงานและข้อเสนอแนะ

ข้อเสนอแนะที่ดีควร:

• อิงหลักฐาน
• ระบุความเสี่ยงและสาเหตุ
• เหมาะกับบริบทธุรกิจ
• พิจารณาต้นทุนกับประโยชน์
• มีผู้รับผิดชอบและกรอบเวลา
• สามารถนำไปปฏิบัติได้จริง

6. กำหนดขอบเขตและ Deliverables ให้ชัดเจน

สัญญาควรระบุ:

• กระบวนการที่จะตรวจ
• จำนวนโครงการและช่วงเวลา
• ทีมงานและชั่วโมงทำงาน
• รูปแบบรายงาน
• การนำเสนอต่อคณะกรรมการตรวจสอบ
• จำนวนรอบติดตามผล
• การรักษาความลับและข้อมูลส่วนบุคคล
• สิทธิ์ใน Working Papers และเอกสารส่งมอบ
• การเปลี่ยนแปลงขอบเขตและค่าใช้จ่ายเพิ่มเติม

การจัดตั้งทีมตรวจสอบภายในและการจ้างบริษัทตรวจสอบภายในไม่ใช่ทางเลือกที่ต้องตัดสินว่าแนวทางใดดีกว่าเสมอไป แต่ต้องเลือกรูปแบบที่เหมาะกับความเสี่ยง ทรัพยากร ความซับซ้อน และเป้าหมายขององค์กร

In-house มีจุดแข็งด้านความรู้ธุรกิจและความต่อเนื่อง Outsource ช่วยเพิ่มความยืดหยุ่นและการเข้าถึงผู้เชี่ยวชาญ ส่วน Co-source ช่วยผสานความรู้ภายในกับทักษะเฉพาะจากภายนอก

สิ่งสำคัญที่สุดคือ ไม่ว่าจะใช้รูปแบบใด งานตรวจสอบภายในต้องได้รับการกำกับดูแลอย่างเหมาะสม มีความเป็นอิสระและเที่ยงธรรม มีทรัพยากรและความสามารถเพียงพอ และสามารถส่งมอบข้อเสนอแนะที่ช่วยองค์กรปรับปรุง Governance, Risk Management และ Internal Control ได้จริง

 

บริษัทตรวจสอบภายในสำหรับองค์กรทั่วไป บริษัทจดทะเบียน และองค์กรเตรียม IPO

Signature Group ให้บริการตรวจสอบภายในแบบ Outsource และ Co-source โดยใช้แนวทางการตรวจสอบที่อิงความเสี่ยง และปรับทีมงานตามขนาด ลักษณะธุรกิจ ระบบสารสนเทศ และวัตถุประสงค์ของแต่ละองค์กร

ขอบเขตบริการสามารถครอบคลุมตั้งแต่การประเมินความเสี่ยง จัดทำแผนตรวจสอบ ตรวจสอบกระบวนการดำเนินงาน ประเมินระบบควบคุมภายใน จัดทำรายงานและข้อเสนอแนะ ตลอดจนติดตามผลการแก้ไข รวมถึงสนับสนุนองค์กรที่อยู่ระหว่างการเตรียมความพร้อมสู่ IPO และบริษัทจดทะเบียน

สำหรับองค์กรที่กำลังเตรียม IPO ควรติดตามหลักเกณฑ์ของ สำนักงาน ก.ล.ต. อย่างใกล้ชิด เนื่องจาก ณ วันที่ปัจจุบันมีร่างหลักเกณฑ์เกี่ยวกับคุณสมบัติและประสบการณ์ของผู้ตรวจสอบภายในทั้งแบบ In-house และ Outsource อยู่ระหว่างกระบวนการปรับปรุง ไม่ควรนำเสนอร่างดังกล่าวว่าเป็นข้อบังคับที่มีผลใช้แล้วจนกว่าจะมีประกาศอย่างเป็นทางการ

 

ติดต่อสอบถาม

บริษัท ไอเอ ซิกเนเจอร์ จำกัด

324/ 8-10 หมู่บ้าน เวิร์ฟ เพชรเกษม 81 ถนนมาเจริญ แขวงหนองค้างพลู เขตหนองแขม กรุงเทพฯ 10160 

โทร. : 02-079-5499