ช่วงที่ผ่านมา ผมศึกษาหาข้อมูลการใช้งานอย่างไร ไปจนถึงระดับจะทำ Local LLM พบว่ามันอาจจะใหญ่เกินไปสำหรับ SME อย่างผม จากการเรียนและปรึกษาผู้เชี่ยวชาญในวงการ AI จึงได้นำมาประยุกต์ใช้กับงานตรวจสอบภายในมากขึ้น

เนื่องจากงานของเราต้องจัดการกับข้อมูลหลากหลายรูปแบบ ตั้งแต่การสัมภาษณ์, เอกสาร PDF, ไฟล์สแกน, รูปภาพ, ข้อมูล Excel/CSV ไปจนถึงหลักฐานจากระบบงานต่างๆ สิ่งที่เห็นได้ชัดคือ "AI สามารถช่วยลดเวลา เพิ่มประสิทธิภาพ" ในการค้นหา รวบรวม จัดระเบียบ และทำความเข้าใจข้อมูลเบื้องต้นได้อย่างแท้จริง ผลลัพท์คือ น้องๆ ในทีมมีเวลาเพิ่มขึ้นสำหรับงานที่สำคัญกว่า เช่น การทำความเข้าใจบริบท การตั้งคำถาม การวิเคราะห์ความเสี่ยง และการใช้วิจารณญาณทางวิชาชีพ

ซึ่งการนำ AI มาใช้กับงานตรวจสอบ จะมองแค่เรื่องสะดวกหรือรวดเร็วไม่ได้เด็ดขาด เพราะข้อมูลที่ผู้ตรวจสอบได้รับส่วนใหญ่เป็นข้อมูลภายในที่มีความอ่อนไหวสูง เช่น BOM, BOQ, สูตรลับ (Recipe), ต้นทุน, ข้อมูลทางการเงิน, รายงานการประชุม และข้อมูลส่วนบุคคล ทั้งหมดนี้อยู่ภายใต้ข้อตกลงการรักษาความลับ (NDA) และจรรยาบรรณทางวิชาชีพ

ดังนั้น การเพิ่มประสิทธิภาพจึงต้องก้าวเดินไปพร้อมกับการปกป้องข้อมูล ซึ่งทีมงาน SIGNATURE GROUP ได้ให้ความสำคัญกับการทำ Data Loss Prevention (DLP) อย่างจริงจังมาตลอด 3-4 ปี เพื่อให้เกิดความสมดุลระหว่างประสิทธิภาพและความปลอดภัยของข้อมูลที่ได้รับ

แนวทางที่ผมใช้แบ่งบทบาทการทำงานออกเป็น 4 ส่วน ดังนี้

1. OneDrive & SharePoint : ทำหน้าที่จัดเก็บและบริหารจัดการเอกสาร รวมถึงหลักฐานการตรวจสอบ (Working Paper)
2. Information Protection : ใช้ Sensitivity Labels, Data Loss Prevention (DLP) และการเข้ารหัสข้อมูล เพื่อกำกับการเข้าถึง การใช้งาน และการแบ่งปันข้อมูลที่สำคัญ
3. AI (Copilot) : ช่วยค้นหา สรุป เปรียบเทียบ จัดโครงสร้าง และสนับสนุนการวิเคราะห์ข้อมูล
4. Auditor : เป็นผู้ตรวจสอบหลักฐาน ใช้วิจารณญาณ และรับผิดชอบต่อข้อสรุปที่นำเสนอ

ต้องยอมรับว่า Microsoft 365 Business Premium มีความสามารถด้าน Information Protection ที่ตอบโจทย์มาก แม้บางครั้งอาจสร้างภาระหรือความจุกจิกในการทำงานกับลูกค้าบ้าง แต่ก็คุ้มค่าสำหรับการปกป้องข้อมูล ยิ่งเมื่อผสานกับความสามารถของ Microsoft 365 Copilot ที่ดึงข้อมูลภายในองค์กรมาช่วยประมวลผล ทำให้เราได้ทั้ง Data Loss Prevention (DLP) ที่คอยปกป้อง และได้ใช้ AI (Copilot) เพื่อการตรวจสอบไปพร้อมกัน ได้ความสบายใจในการทำงานระดับ Ultra Smooth และแน่นอนว่ามาพร้อมค่าใช้จ่ายระดับ Ultra Premium จนหนาวสั่นระดับ -8 องศา โดยไม่ต้องปรับ mindset

4 บทบาทของ AI ในกระบวนการตรวจสอบภายใน

(1) วิเคราะห์ข้อมูลจำนวนมากเพื่อค้นหารายการผิดปกติ

งานตรวจสอบสามารถใช้ Data Analytics วิเคราะห์ข้อมูลธุรกรรมทั้งฐานข้อมูลเพื่อค้นหารายการที่ควรตรวจสอบเพิ่มเติม (Exception) เช่น

• รายการซ้ำซ้อน
• รายการที่มีจำนวนเงินต่ำกว่าวงเงินอนุมัติเพียงเล็กน้อย (Split Purchase)
• รายการที่เกิดขึ้นนอกวันหรือเวลาทำงานตามปกติ
• ผู้ขายหลายรายที่ใช้บัญชีธนาคารเดียวกัน
• รายการที่ขาดเอกสารหรือข้อมูลสำคัญ

ข้อสังเกต : AI ช่วยจัดเตรียมและจัดลำดับข้อมูลได้ แต่รายการผิดปกติเป็นเพียง "สัญญาณที่ต้องตรวจสอบต่อ" ไม่ใช่ข้อสรุปว่าเกิดการทุจริต

(2) วิเคราะห์ความสัมพันธ์ระหว่างข้อมูลหลายแหล่ง

AI ช่วยเชื่อมโยงข้อมูลจากหลายชุด (เช่น ข้อมูลผู้ขาย, พนักงาน, การอนุมัติ, สิทธิ์ผู้ใช้งาน และ System Log) เพิ่อค้นหาความสัมพันธ์ที่มองด้วยตาเปล่าได้ยาก เช่น

• ผู้ขายและพนักงานมีข้อมูลติดต่อหรือบัญชีธนาคารสัมพันธ์กัน
• ผู้สร้างรายการและผู้อนุมัติเป็นบุคคลเดียวกัน
• นโยบายไม่สอดคล้องกับหลักฐานการปฏิบัติงานจริง

ข้อสังเกต : ผลวิเคราะห์เหล่านี้ช่วยกำหนดขอบเขตให้ตรงจุด แต่ผู้ตรวจสอบต้องนำความสัมพันธ์ที่พบกลับไปสอบทานกับหลักฐานต้นทางเสมอ

(3) ทำงานร่วมกับ OneDrive และ SharePoint

เมื่อเอกสารถูกจัดเก็บอย่างเป็นระบบ (OneDrive สำหรับงานส่วนบุคคล/ฉบับร่าง และ SharePoint เป็นแหล่งข้อมูลส่วนกลาง) AI (Copilot) จะช่วยดึงศักยภาพได้เต็มที่ เช่น

• สรุปสาระสำคัญจากเอกสารหลายฉบับ
• เปรียบเทียบสัญญาระหว่างเวอร์ชัน
• ตรวจสอบว่า Working Paper ครอบคลุม Control ที่ระบุไว้หรือไม่

ประโยชน์หลัก : คือ การทำงานบน "แหล่งข้อมูลความจริงเดียว" ลดความสับสนเรื่องเวอร์ชัน และสืบค้นกลับไปยังหลักฐานต้นทางได้ง่ายขึ้น

(4) สนับสนุนกระบวนการตรวจสอบในขั้นตอนอื่นๆ

AI เป็นผู้ช่วยชั้นดีในการจัดทำร่าง (Drafting) เช่น

• สรุปการสัมภาษณ์และร่างคำถามติดตาม
• จัดทำ Process Narrative และ Risk and Control Matrix
• ร่างคำถามและขั้นตอนสำหรับการ Walkthrough
• จัดโครงสร้าง Audit Finding และ ร่าง Excutive Summary

ย้ำเตือน : AI คือ "เครื่องมือช่วยร่าง" ไม่ใช่ผู้ตัดสินความเสี่ยง หรือให้ Audit Opinion แทนผู้ตรวจสอบ ความสะดวกสบาย ต้องอยู่ภายใต้การกำกับดูแล

ปัจจุบันหลายองค์กรยังไม่มีการจัดการเรื่อง AI Governance ปล่อบให้ใช้งานลักษณะ "Shadow AI" ซึ่งน่ากังวลมาก แม้เราจะใช้ Microsoft 365 Copilot ภายใต้สิทธิ์ที่ผู้ใช้งานมี แต่หากองค์กรตั้ง Permission ไว้กว้างเกินไป AI ก็จะกลายเป็นตัวเร่งให้ผู้ใช้เข้าถึงข้อมูลที่ไม่ควรเห็นได้ง่ายขึ้น สำหรับ SIGNATURE GROUP ที่ให้บริการงาน Internal Audit Outsource อย่างเรา การแยกส่วนข้อมูลของลูกค้าถือเป็นหัวใจสำคัญ

โดยดำเนินการ ดังนี้

1. แยก Site, Folder หรือ Workspace ตามลูกค้าและโครงการอย่างเด็ดขาด
2. ห้ามใช้ Agent หรือแหล่งความรู้ร่วมกันระหว่างลูกค้า
3. จำกัดสิทธิ์เฉพาะทีมงาน และพิจารณาภายใต้ข้อกำหนดในข้อตกลงการรักษาความลับ (NDA) รวมถึงอายุการทำลายข้อมูลให้ชัดเจน (Data Loss Prevention (DLP) และ Sensitivity Labels เป็นเครื่องมือที่ดี แต่ทดแทนการออกแบบ Permission ที่ถูกต้องไม่ได้)

หลักการ AI Governance ที่ควรกำหนดในงานตรวจสอบภายใน

• Human Review : ผลลัพธ์จาก AI ต้องผ่านการสอบทานโดยผู้ตรวจสอบเสมอ
• Source Traceability : ทุกข้อสรุปต้องสามารถย้อนกลับไปยังหลักฐานต้นทางได้
• ไม่มีหลักฐาน ไม่มีข้อสรุป : ห้ามให้ AI เติมคำตอบหรือคาดเดาเองเด็ดขาด
• Least Privilege : เข้าถึงเฉพาะข้อมูลที่จำเป็นต่อการทำงาน
• Client Data Segregation : ข้อมูลของลูกค้าแต่ละรายต้องถูกแบ่งแยกเฉพาะ
• Data Classification & DLP : กำหนดชั้นความลับและวิธีแบ่งปันข้อมูลอย่างรัดกุม
• Reperformance : การวิเคราะห์ที่สำคัญต้องทำซ้ำและอธิบายวิธีทำได้
• Professional Judgment : Audit Opinion และการประเมินความเสี่ยง เป็นความรับผิดชอบของ Auditor เท่านั้น
• AI Acceptable Use Policy : กำหนดกฎเกณฑ์ชัดเจนว่า AI ใดใช้ได้ ข้อมูลใดอัปโหลดได้

บทสรุป : เป้าหมายของ AI for Internal Audit ไม่ใช่ให้เทคโนโลยีมาทำงานแทนผู้ตรวจสอบ แต่เป็นการลดเวลาที่เสียไปกับการค้นหา สรุป และจัดเตรียมข้อมูล เพื่อคืนเวลาอันมีค่าให้ผู้ตรวจสอบได้ใช้ทักษะเชิงวิเคราะห์ การตั้งคำถาม และการประเมินความเสี่ยงอย่างเต็มศักยภาพไม่ว่าเทคโนโลยีจะช่วยเหลือได้มากเพียงใด ผู้ตรวจสอบยังคงต้องเป็นผู้ตรวจสอบความถูกต้องของหลักฐาน ใช้วิจารณญาณ และรับผิดชอบต่อข้อสรุปทุกครั้ง

ทำงานให้เร็วขึ้นได้ แต่ข้อมูลยังปลอดภัยเป็นความลับ หลักฐานต้องยังเชื่อถือได้ และข้อสรุปต้องยังเป็นของผู้ตรวจสอบอย่างแท้จริง

สุธี ตาณวาณิชกุล

CEO of Signature Group

CIA, CPIAT, FAC, CAC-SME, C-DPO