ก่อนอื่น ผมขอเรียนว่า บทความนี้เผยแพร่ผ่านเว็บไซต์ของ Signature Group ในฐานะบทความแลกเปลี่ยนมุมมองวิชาชีพจากประสบการณ์ของผู้เขียน ซึ่งทำงานในด้านการตรวจสอบภายในมาอย่างต่อเนื่องกว่า 22 ปี
เนื้อหาทั้งหมดเป็นความคิดเห็นและข้อเสนอแนะที่เรียบเรียงขึ้นจากประสบการณ์ปฏิบัติงานจริง เพื่อร่วมแลกเปลี่ยนความคิดเห็นต่อการพัฒนาหลักเกณฑ์คุณสมบัติผู้ตรวจสอบภายในของสำนักงาน ก.ล.ต. โดยมีเจตนาสนับสนุนการพัฒนาวิชาชีพตรวจสอบภายในและระบบกำกับดูแลกิจการของประเทศไทย
Signature Group สนับสนุนการแลกเปลี่ยนองค์ความรู้และความคิดเห็นเชิงวิชาชีพอย่างสร้างสรรค์ และหวังว่าบทความนี้จะเป็นอีกหนึ่งเสียงจากผู้ปฏิบัติงานจริงที่ช่วยสะท้อนมุมมองจากหน้างาน อันเป็นประโยชน์ต่อการพัฒนาวิชาชีพตรวจสอบภายในของประเทศไทย
ที่ผ่านมาผมเขียนถึงเรื่องนี้มาแล้ว 3 ตอน ตั้งแต่มุมมองภาพใหญ่ว่าบทบาท IA กำลังเปลี่ยนจาก Watchdog สู่ Trusted Advisor เรื่อง Certificate ที่เป็นจุดเริ่มต้นที่ดีแต่ไม่ใช่คำตอบทั้งหมด ไปจนถึงการเปรียบเทียบเส้นทาง CIA / CPIAT / PIAC สำหรับคนที่ต้องเตรียมตัวให้ทันเกณฑ์
มาถึงตอนนี้ ผมอยากเปลี่ยนมุมนิดหนึ่งครับ สมมุตินะครับ... ถ้าวันนี้ผมได้นั่งอยู่ในห้องประชุมเดียวกับทีมงาน ก.ล.ต. และมีเวลาสัก 15 นาที ให้พูดอะไรก็ได้จากใจ โดยไม่ต้องกังวลว่าจะถูกใจหรือไม่ จะมีใครเห็นด้วยหรือไม่
ในฐานะคนที่อยู่หน้างาน IA Outsource มาสิบกว่าปี และทำอาชีพตรวจสอบภายในมาตลาด 22 ปี เรียกได้ว่าเป้นอาชีพที่อยู่กับผมมา "ตลอดชีวิต" ผมจะบอกอะไรบ้าง?
เรื่องแรก : ขอบคุณมากครับ อย่าถอย และอย่าช้านะครับ
ฟังดูแปลกๆ ที่คนซึ่งจะได้รับผลกระทบจากเกณฑ์ใหม่เต็มๆ กลับเริ่มต้นด้วยคำขอบคุณ แต่ผมพูดจริงๆ ครับ เพราะตลอดหลายปีที่ทำงานนี้ สิ่งที่เจ็บปวดที่สุดไม่ใช่การแข่งขันเรื่องราคา แต่คือการที่งานตรวจสอบภายในถูกมองว่าเป็นเพียงคนที่ถูกลืม เป็นเอกสารที่ต้องมี ถูกที่สุดได้ยิ่งดี ขอแค่มีรายงานส่งครบตามรอบก็พอ การที่ ก.ล.ต. ลุกขึ้นมาบอกว่า คนที่รับผิดชอบงานนี้ต้องมี "คุณสมบัติจริง" คือการยืนยันว่าวิชาชีพนี้มีคุณค่ามากกว่านั้น
ผมจึงไม่อยากเห็นเกณฑ์นี้ถูกลดทอนลงจนเหลือเพียงพิธีกรรม เพราะแรงกดดันจากฝ่ายใดก็ตาม รวมถึงจากฝั่งผู้ให้บริการอย่างพวกผมเองด้วยครับ
เรื่องที่ 2 : อยากให้เกณฑ์จับที่ "คนรับผิดชอบจริง" ไม่ใช่แค่ "คนเซ็น"
อันนี้เป็นเรื่องที่ผมอยากบอกมากที่สุดครับ ในโลกของงาน IA Outsource ซึ่งที่ปรากฎบนรายงานกับคนที่ทำหน้าที่จริง บางครั้งอาจไม่ใช่คนเดียวกันบางบริษัทอาจใช้ Freelance ทั้งทีม คนเซ็นอาจเป็นผู้มีอำนาจลงนามของสำนักงาน แต่คนที่นั่งวางแผน ประเมินความเสี่ยง คุมทีม ต่อรองขอบเขตงาน และยืนตอบคำถามต่อคณะกรรมการตรวจสอบ อาจเป็นอีกคนหนึ่ง แล้วการรักษาคุณภาพและความลับของลูกค้าจะอยู่ที่ไหน?
ถ้าเกณฑ์ผูกคุณสมบัติไว้กับ "ลายเซ็น" เพียงอย่างเดียว สิ่งที่จะเกิดในทางปฏิบัติคืออะไรครับ? ก็แค่หาคนที่มี Certificate ครบมาเซ็นให้ ส่วนงานจริงใครทำก็ทำกันไป...
แบบนั้นเราจะได้เกณฑ์ที่ดูดีบนกระดาษ แต่ไม่ได้เปลี่ยนคุณภาพงานเลยแม้แต่นิดเดียว ผมจึงอยากให้เกณฑ์มองทะลุลายเซ็นเข้าไปถึง "บทบาทจริง" และ "ทีมที่แท้จริง"ว่าใครคือคนที่ประเมินความเสี่ยง เสนอแผน สื่อสารข้อจำกัด และรับผิดชอบต่อคณะกรรมการตรวจสอบ คนนั้นแหละครับที่ต้องมีคุณสมบัติ ไม่ว่าเขาจะสังกัดบริษัทใดก็ตาม
เรื่องที่ 3 : บริษัทผู้ว่าจ้างเองก็ต้องมี "คุณสมบัติ" ด้วยนะครับ
เรื่องนี้อาจไม่มีอยู่ในแบบสอบถาม แต่คนหน้างานอย่างผมพบเจออยู่เป็นประจำครับ หลายครั้งที่งานตรวจสอบภายในไม่มีคุณภาพ ต้นเหตุไม่ได้อยู่ที่ผู้ตรวจสอบหรือ CAE แต่อยู่ที่สภาพแวดล้อมที่บริษัทจัดให้ ขอข้อมูลแล้วได้ช้า ได้ไม่ครบ หรือข้อมูลที่ได้รับยังไม่ถูกต้อง บางระบบก็ไม่สามารถเข้าใช้งานได้เลย
เชื่อไหมครับว่า บางบริษัทตำหนิว่า IA ไม่ได้บอกวิธีเรียกรายงานให้ด้วย ทำเอาเราไปไม่เป็นเหมือนกันครับ แต่สุดท้ายก็ไปช่วยบอกวิธีจริงๆ หัวข้อตรวจสอบบางครั้งถูกกำหนดมาจากฝ่ายบริหารแล้วว่า "ปีนี้ตรวจแค่นี้พอ" งบประมาณถูกบีบจนวันทำงาน หรือ Man-day เหลือเพียงเล็กน้อย มีการต่อรองกันจนเหมือนกำลังซื้อของใช้แล้วทิ้ง แต่เมื่อรายงานที่ออกมามีเนื้อหาบาง ก็กลับถามว่า "ทำไม IA ไม่เจออะไรเลย"
ผมไม่ได้เล่าเรื่องนี้เพื่อกล่าวโทษใครนะครับ เพราะฝั่งผู้ให้บริการเองก็มีหน้าที่ต้องส่งเสียง และต้องสื่อสารให้ชัดเจนว่า ข้อจำกัดเหล่านี้จะส่งผลกระทบต่อความครอบคลุมของงานอย่างไร สำหรับผม ณ เวลานี้ ผมมีเสียงดังพอที่จะพูดครับ ถ้างานไม่สามารถดำเนินการได้อย่างเหมาะสม เราไม่รับ หรือบางครั้งก็ปฏิเสธกลับไปเลย แต่ถ้าย้อนเวลากลับไปเมื่อประมาณ 10 ปีก่อน ผมคงได้แต่บอกว่า "ได้ครับพี่ ดีครับนาย สบายครับท่าน" เพราะในเวลานั้นเราอยากได้โอกาส อยากได้ลุกค้า และต้องการสร้างฐานลูกค้า ก่อนที่จะค่อยๆ แข็งแกร่งขึ้นจนมาถึงวันนี้
แต่สิ่งที่ผมอยากฝากถึง ก.ล.ต. คือ ต่อให้ผู้ตรวจสอบมี Certificate ครบทุกใบ หากบริษัทไม่เปิดประตูให้เข้าถึงข้อมูล ไม่มีกฎบัตรการตรวจสอบภายใน หรือ Internal Audit Charter ที่นำมาใช้จริง และคณะกรรมการตรวจสอบไม่ได้เป็นเจ้าของแผนตรวจสอบอย่างแท้จริง งานที่ออกมาก็ย่อมมีเพดานของมีนอยู่ดีครับ ความรับผิดชอบต่อระบบการควบคุมภายในเป็นของบริษัท บริษัทสามารถว่าจ้าง Outsource เข้ามาตรวจสอบได้ แต่ไม่สามารถโอนความรับผิดชอบดังกล่าวให้แก้บุคคลอื่นได้ คณะกรรมการและผู้บริหารยังคงต้องรับผิดชอบอยู่เสมอ ประโยคนี้เป็นสิ่งที่ผมอยากให้ถูกตอกย้ำไว้ในเกณฑ์อย่างชัดเจนที่สุดครับ
เรื่องที่ 4 : คณะกรรมการตรวจสอบและบอร์ด คือ "เจ้าของตัวจริง" ของงาน IA
ต่อเนื่องจากเรื่องเมื่อสักครู่เลยครับ ถ้าถามว่าใครคือคนที่จะทำให้เกณฑ์นี้ "มีชีวิต" ขึ้นมาได้จริงๆ คำตอบของผมไม่ใช่ผู้ตรวจสอบ แต่คือ คณะกรรมการตรวจสอบ หรือ AC และ คณะกรรมการบริษัท หรือ BOD ครับ ตลอดหลายปีที่ทำงานนี้ ผมสังเกตว่า คุณภาพงาน IA ของแต่ละบริษัทแทบจะคาดเดาได้ตั้งแต่ครั้งแรกที่ได้พบผู้บริหาร สัมผัส Tone at the Top และเข้าประชุมกับคณะกรรมการตรวจสอบเพื่อรับทราบนโยบายและความคิดเห็น
บริษัทที่ AC ทำหน้าที่อย่างจริงจัง จะเป็นฝ่ายตั้งคำถามเองว่า แผนตรวจสอบประจำปีเชื่อมโยงกับความเสี่ยงสำคัญของบริษัทแล้วหรือยัง ทรัพยากรที่จัดสรรให้เพียงพอหรือไม่ และหากไม่เพียงพอจะกระทบต่อความครอบคลุมของงานในส่วนใด AC จะเป็นผู้อนุมัติการแต่งตั้ง ขอบเขตงาน และค่าบริการของผู้ให้บริการด้วยตนเอง และเมื่อผู้ตรวจสอบรายงานว่าไม่สามารถเข้าถึงข้อมูลบางส่วนได้ AC จะเป็นฝ่ายช่วยประสานและแก้ไขปัญหากับฝ่ายบริหาร ไม่ใช่ปล่อยให้ผู้ตรวจสอบต้องแบกรับความเสี่ยงดังกล่าวเพียงลำพัง
ส่วนบริษัทที่ AC เป็นเพียง "ผู้รับรายงาน" งาน IA จะค่อยๆ กลายเป็นพิธีกรรม ประชุมไตรมาสละครั้ง รับทราบ อนุมัติ แล้วจบ ข้อเสนอแนะเดิมๆ ค้างข้ามปีก็ไม่มีใครสอบถาม บางครั้งหน้าที่หลักกลับกลายเป็นการต่อรองในลักษณะเดียวกกับฝ่ายจัดซื้อ "งบหลักร้อย แต่ความต้องการหลักล้าน มีเวลาเท่านี้พอทำได้ไหม" แล้วสุดท้าย เมื่อเกิดปัญหาขึ้น คำถามแรกกลับเป็น "ทำไม IA ตรวจไม่เจอ"
ผมอยากให้เกณฑ์ใหม่ตอกย้ำบทบาทนี้ให้ชัดเจนครับว่า การพิจารณาคุณสมบัติ CAE หรือผู้รับผิดชอบสูงสุดของงานตรวจสอบภายในไม่ใช่หน้าที่ของฝ่ายทรัพยากรบุคคลหรือฝ่ายจัดซื้อ แต่เป็นหน้าที่โดยตรงของคณะกรรมการตรวจสอบ ตั้งแต่การคัดเลือก การประเมินผลไปจนถึงการให้ความเห็นที่ต้องเปิดเผยต่อผู้ลงทุน และเมื่อฝ่ายบริหารจำกัดงบประมาณหรือกำหนดหัวข้อตรวจ จนทำให้แผนตรวจสอบไม่ครอบคลุมความเสี่ยงสำคัญ ผู้ที่ต้อง "ยอมรับความเสี่ยงจากการตัดสินใจนั้น" อย่างเป็นทางการก็ควรเป็น AC ไม่ใช่ปล่อยให้เรื่องดังกล่าวเงียบหายไปในอาในอากาศ
ขยับขึ้นไปอีกระดับหนึ่ง คือ BOD ครับ Tone at the Top เป็นเรื่องจริงและมีผลคุณภาพงานอย่างมาก BOD ที่มองว่า IA คือกลไกสำคัญในการปกป้องบริษัทและผู้ถือหุ้น จะจัดสรรงบประมาณและเปิดทางให้ผู้ตรวจสอบเข้าถึงทุกสิ่งที่จำเป็น ส่วน BOD ที่มองว่า IA เป็นเพียงค่าใช้จ่ายที่ต้องมีตามระเบียบ ต่อให้จ้างทีมที่มี Certificate ครบทุกใบ ก็อาจได้เพียงรายงานที่สวยแต่กลวงครับ ยิ่งในวันนี้ ประวัติและคุณสมบัติของผู้รับผิดชอบงาน IA ต้องถูกเปิดเผยในรายงานประจำปี พร้อมความเห็นของคณะกรรมการตรวจสอบ สิ่งที่บอร์ดลงนามรับรองออกไป จึงเปรียบเทียบเสมือนคำมั่นที่ให้ไว้ต่อผู้ลงทุนโดยตรง พูดง่ายๆ คือ ผู้ตรวจสอบเป็นได้เพียง "มือ" ครับ แต่ AC และ BOD คือ "เจ้าของบ้าน" ถ้าเจ้าของบ้านไม่เปิดประตู มือดีแค่ไหนก็ทำงานไม่ได้ครับ
เรื่องที่ 5 : Certificate ผมเห็นด้วย ขอ "ทางเดิน" ให้คนที่กำลังพยายาม แต่อย่ามองข้ามคนที่เคยผ่านไปแล้ว
จุดยืนของผมยังคงเหมือนเดิมกับที่เคยเขียนไว้ครับ Certificate เป็นหลักฐานขั้นต่ำที่ดี สามารถวัดและตรวจสอบให้ และช่วยยกระดับความตระหนักของตลาดได้จริง แต่ในตลาดปัจจุบัน มีผู้ปฏิบัติงาน IA ที่มีความสามารถจำนวนไม่น้อย ซึ่งกำลังอยู่ระหว่างเรียนหรือระหว่างสอบบางคนสอบผ่านไปแล้วบาง Part และบางคนลงทะเบียนรอสอบอยู่ คนกลุ่มนี้ไม่ใช่คนที่กำลังหนีเกณฑ์นะครับ แต่เป็นคนที่กำลังวิ่งเข้าหาเกณฑ์อยู่พอดี ผมจึงไม่สนับสนุนการเลื่อนวันบังคับใช้ออกไปไกลทั้งระบบ เพราะนั่นอาจเท่ากับเป็นการลงโทษคนที่เตรียมตัวมาเป็นอย่างดีแต่อยากเห็นช่วงเปลี่ยนผ่าน หรือ Grace Period ที่มีเงื่อนไขชัดเจน มีกรอบเวลาสิ้นสุดที่แน่นอน มีคณะกรรมการตรวจสอบรับรองความเหมาะสม และมีการเปิดเผยข้อมูลอย่างตรงไปตรงมา
เมื่อพ้นกำหนดแล้วก็ต้องสิ้นสุด ไม่ใช่ข้อยกเว้นที่สามารถต่ออายุออกไปได้เรื่อยๆ แบบนี้เกณฑ์ก็ยังคงมีความศักดิ์สิทธิ์ และคนที่ตั้งใจก็ยังมีทางเดินครับ
เรื่องที่ 6 : ของขวัญ ที่อยากได้ที่สุด คือ "แนวทางสัญญาว่าจ้าง IA"
ถ้าให้ผมขอได้เพียงอย่างเดียว ผมจะขอเรื่องนี้ครับ ปัญหาหน้างานส่วนใหญ่ที่ผมพบมาตลอด ไม่ว่าจะเป็นเรื่องการเข้าถึงข้อมูล ความเป็นอิสระ ขอบเขตงาน ความเป็นเจ้าของกระดาษทำการ การรักษาความลับของข้อมูล หรือ NDA ไปจนถึงการส่งมอบงานเมื่อมีการเปลี่ยนผู้ให้บริการ เกือบทั้งหมดสามารถย้อนกลับไปยังจุดเดียวกันได้ คือ สัญญาว่าจ้างไม่ได้เขียนเรื่องเหล่านี้ไว้
สัญญาจ้าง IA จำนวนมากในตลาดมีลักษณะแทบไม่แตกต่างจากสัญญาจ้างทำของทั่วไป ระบุเพียงขอบเขต ราคา และกำหนดส่งมอบงาน แต่ไม่ได้กล่าวถึงสายการรายงานต่อคณะกรรมการตรวจสอบ ไม่ได้ระบุสิทธิในการเข้าถึงข้อมูลและบุคลากร และไม่ได้กำหนดกลไกสำหรับกรณีที่งานถูกจำกัดขอบเขต เมื่อเกิดปัญหาขึ้นจริง ทั้งสองฝ่ายจึงได้แต่มองหน้ากัน หากมีแนวทางกลาง หรือ Guideline ที่หน่วยงานกำกับดูแลหรือองค์กรวิชาชีพจัดทำขึ้น เพื่อให้บริษัท คณะกรรมการตรวจสอบ และผู้ให้บริการ ใช้เป็นมาตรฐานอ้างอิงร่วมกัน ผมเชื่อว่าคุณภาพงาน IA ในตลาดจะสามารถยกระดับขึ้นได้ทันที และหลังจากนี้ เมื่อ Outsource ต้องทำหน้าที่เป็น CAE ก็จะสามารถดำเนินงานได้อย่างมั่นใจมากขึ้นครับ
เรื่องที่ 7 : วันนี้เริ่มที่ "คน" แต่อย่าหยุดแค่นี้นะครับ
ผมเคนเขียนไว้ในตอนแรกของบทความชุดนี้ว่า วันนี้เราเริ่มต้นที่คุณสมบัติของคน แต่ในอนาคตต้องขยับไปสู่คุณภาพของระบบงาน วันนี้ผมยังคงยืนยันคำเดิมครับ Certificate สามารถตอบได้ว่า บุคคลนั้น "มีความรู้พื้นฐาน" แต่ไม่สามารถตอบได้ว่า งานที่ส่งมอบนั้น "มีคุณภาพ" หรือไม่ กระดาษทำการมีความรัดกุมเพียงใด มีระบบสอบทานงานหรือไม่ ข้อเสนอแนะได้รับการติดตามจนมีการแก้ไขจริงหรือไม่
สิ่งเหล่านี้ต้องอาศัยระบบประกันคุณภาพ ทั้งการประเมินภายในและการประเมินภายนอกตามมาตรฐานสากล ผมรู้ดีว่า หากวันหนึ่งเราเดินไปถึงจุดนั้นจริง สำนักงาน Outsource อย่างพวกผมจะต้องเหนื่อยขึ้นอีกมาก ต้องเปิดบ้านให้บุคคลภายนอกเข้ามาตรวจสอบงานของเราและต้องลงทุนกับระบบที่ลูกค้าอาจมองไม่เห็นด้วยตาเปล่า แต่ผมคิดว่านั่นแหละครับ คือเส้นแบ่งที่แท้จริงระหว่าง "ทีมรับงานตรวจ" กับ "สำนักงานวิชาชีพ" และเป็นเส้นทางเดียวกับที่วิชาชีพสอบบัญชีได้เดินมาก่อนแล้ว
สรุปส่งท้าย เขียนมาถึงตรงนี้ บางคนอาจสงสัยว่า แล้วผมไม่กลัวหรือครับ? เกณฑ์เข้มขึ้น ต้นทุนสูงขึ้น และการแข่งขันรุนแรงขึ้น ผมไม่กลัวครับ แต่สิ่งที่ผมกลัวมากกว่าเกณฑ์ที่เข้มงวด คือเกณฑ์ที่ จับผิดจุด เกณฑ์ที่ทำให้ทุกคนวิ่งหาลายเซ็นและใบประกาศ แต่ไม่ได้ปลี่ยนแปลงสิ่งได้ที่หน้างานเลย เพราะสุดท้าย คนที่เสียหายไม่ใช่พวกผม แต่คือผู้ลงทุนที่เชื่อว่ามีคนกำลังดูแลระบบการควบคุมภายในให้เขาอยู่ ทั้งที่ความจริงอาจไม่ใช่เช่นนั้น
การเปิดรับฟังความคิดเห็นครั้งนี้จะปิดลงในอีกไม่กี่วัน หากท่านเป็นคนหนึ่งในวิชาชีพ ไม่ว่าจะเป็น In-house, Outsource คณะกรรมการตรวจสอบ หรือฝ่ายบริหาร ผมอยากเชิญชวนให้ใช้สิทธิ์ส่งความคิดเห็นเข้าไปครับ ไม่ว่าจะเห็นด้วย เห็นต่าง หรือมีข้อเสนอแนะเพิ่มเติม ทุกความคิดเห็นล้วนมีคุณค่า เพราะเกณฑ์ที่ดีไม่ได้เกิดจากเสียงของฝ่ายใดฝ่ายหนึ่ง แต่เกิดจากการที่ทุกฝ่ายกล้าพูดความจริงจากหน้างานของตนเอง
ส่วนผม...วันนี้ได้บอกในสิ่งที่อยากบอกแล้วครับ ที่เหลือก็ขอเป็นกำลังใจให้ทีมงาน ก.ล.ต. กลั่นกรองทุกความคิดเห็นออกมาเป็นเกณฑ์ที่ทำให้วิชาชีพของพวกเราเดินไปข้างหน้าได้อย่างแท้จริง แล้วพวกเราจะรอพบกันเกณฑ์ใหม่เมื่อประกาศใช้ครับ
บทความนี้เป็นส่วนหนึ่งของชุดบทความเกี่ยวกับการพัฒนาวิชาชีพตรวจสอบภายใน ซึ่ง Signature Group จัดทำขึ้นเพื่อร่วมแลกเปลี่ยนองค์ความรู้และประสบการณ์จากการปฏิบัติงานจริง
สุธี ตาณวาณิชกุล
CEO of Signature Group
CIA, CPIAT, FAC, CAC-SME, C-DPO
