Please enable JavaScript.

Coggle requires JavaScript to display documents.

ลักษณะของงานตรวจสอบภายใน - Coggle Diagram

- - - - เป็นองค์ประกอบที่สำคัญยิ่ง เป็นแกนหลักขององค์ประกอบอื่น
        
        ปัจจัยที่เกี่ยวข้องกับการควบคุม
        
        ความซื่อสัตย์และจริยธรรม
        
        ความรู้ ทักษะและความสามารถ
        
        การมีส่วนร่วมของ Board และ AC
        
        ปรัชญา และรูปแบบการทำงานของผู้บริหาร
        
        โครงสร้างการจัดองค์กร
        
        การมอบอำนาจและความรับผิดชอบ
        
        นโยบายและวิธีบริหารงานด้านทร้พยากรมนุษย์
        
        คนเป็นปัจจัยสำคัญที่สุดต่อการปฏิบัติงานในทุกด้าน
      - 1) องค์กรแสดงให้เห็นถึงความมุ่งมั่นที่มีต่อคุณธรรมและจริยธรรม
      - 2) Board แสดงถึงความเป็นอิสระจากฝ่ายบริหาร และหน้าที่กำกับดูแล
      - 3) ผู้บริหารจต้องสร้าง/กำหนด โครงสร้าง สายการรายงาน อำนาจ/หน้าที่
      - Soft Control > จริยธรรม , Hard Control > คู่มือ ระเบียบ นโยบาย
      - 4) องค์กรแสดงถึง ความมุ่งมั่น แสวงหา พัฒนา และดำรงไว้ซึ่งพนักงานที่มีความสามารถ
      - 5) องค์กรรับผิดชอบ ต่อการควบคุมภายในของแต่ละคน
    - - ขั้นตอนในการประเมินความเสี่ยง
        
        2.1 การระบุปัจจัยความเสี่ยง (Risk Identification)
        
        2.2 การวิเคราะห์ความเสี่ยง (Risk Analysis)
        
        2.3 การบริหารความเสี่ยง (Risk Management)
      - 6) องค์กรระบุวัตถุประสงค์ ชัดเจน เพื่อช่วยในการระบุ/ประเดมินความเสี่ยง
      - 7) องค์กรระบุความเสี่ยง ที่มีต่อการบรรลุวัตถุประสงค์ และวิเคราะห์ความเสี่ยง
      - 8) องค์กรพิจารณาความเป็นไปได้ของการทุจริต
      - 9) องค์กรระบุและประเมินการเปลี่ยนแปลงต่างๆ ส่งผลกระทบต่อการควบคุม
    - - องค์ประกอบของกิจกรรมควบคุม
        
        การกำหนดนโยบายและแผนงาน
        
        การสอบทานโดยผู้บริหาร
        
        การประมวลผลข้อมูล
        
        การควบคุมทางกายภาพ
        
        การแบ่งแยกหน้าที่
        
        ดัชนีวัดผลการปฏิบัติงาน
        
        การจัดทำเอกสารหลักฐาน
        
        การตรวจสอบการปฏิบัติงาอย่างเป็นอิสระ
      - 10) องค์กรเลือกและพัฒนากิจกรรมการควบคุมที่ช่วยลดความเสี่ยง
      - 11) องค์กรเลือกและพัฒนากิจกรรมควบคุมทั่วไปที่ใช้ควบคุมเทคโนโลยี
      - 12) องค์กรใช้กิจกรรมการควบคุมโดยผ่านนโยบาย
    - - สารสนเทศ > เป็นสิ่งจำเป็นสำหรับการบริหารในปัจจุบัน รวมถึงข้อมูลทางการเงินและการดำเนินงานอื่นๆ
        
        สารสนเทศที่ดี
        
        เหมาะสมกับการใช้ > มีเนื้อหาสาระที่จำเป็นต่อการตัดสินใจ
        
        มีความถูกต้อง สมบูรณ์ สะท้อนความเป็นจริง ครบถ้วน
        
        เป็นปัจจุบัน
        
        ทันเวลา
        
        เหมาะสมในการเข้าถึง
        
        การสื่อสาร > 2 ทาง
      - 13) สารสนเทศที่เกี่ยวข้องและมีคุณภาพ
      - 14) การสื่อสารภายในองค์กร
      - 15)สื่อสารกับหน่วยงานภายนอก
    - - ไม่มีการควบคุมภายในขององค์กรใดจะมีความสมบูรณ์และเหมาะสมตลอดกาล
      - การติดตาม > ใช้กับมาตรการหรือระบบที่อยู่ระหว่างการออกแบบ หรืออยู่ระหว่างการปฏิบัติงาน
      - การประเมินผล > ใช้กับมาตรการหรือระบบที่ใช้ไปแล้วระยะเวลาหนึ่ง ซึ่งสมควรจะได้รับการประเมินว่ายังมีความเหมาะสมหรือไม่เพียงใด
      - 16) องค์กรติดตามและประเมินผลการควบคุมภายใน เพื่อให้มั่นใจว่าการควบคุมภายในยังดำเนินไปอย่างครบถ้วนเหมาะสม
      - 17) องค์กรประเมินและสื่อสารข้อบกพร่องของการควบคุมภายในอย่างทันเวลาต่อบุคคลที่รับผิดชอบ ซึ่งรวมถึงผู้บริหารระดับสูงและคณะกรรมการตามความเหมาะสม
  - - - วัตถุประสงค์ โครงสร้างองค์กร อำนาจตัดสินใจ JD
    - - วางแผน งบประมาณ สารสนเทศ อำนาจอนุมัติ นโยบายปฏิบัติงาน
    - - สรรหา จัดตั้ง พัฒนาพนักงาน ควบคุมโดยหัวหน้างาน ประเมินผล รางวัล
    - - สอบทานพนักงานรายบุคคล การปฏิบัติงาน โครงการ Peer review
    - - เพียงพอเหมาะสม ปลอดภัย มีการบำรุงรักษา
- - - - ระบบการกำกับและควบคุมกิจการ โดยการแบ่งสิทธิและหน้าที่ของผู้มีส่วนเกี่ยวข้องต่างๆ ไม่ว่าจะเป็นคณะกรรมการ ผู้บริหาร ผู้ถือหุ้น หรือผู้มีส่วนได้เสียอื่นๆ โดยกำหนดเป็นหลักเกณฑ์และวิธีปฏิบัติ เพื่อใช้ในการตัดสินใจในกรณีต่างๆ โดยยึดวัตถุประสงค์ของกิจการเป็นสำคัญ
  - - - บริหารจัดการทรัพยากรของกิจการให้เกิดมูลค่า
      - กำหนดกลยุทธ์ เพื่อให้บรรลุวัตถุประสงค์ของกิจการ
      - นำกลยุทธ์ไปสู่การปฏิบัติ
      - ผู้ควบคุมงานและพนักงาน
    - - จ้างผู้บริหาร
      - กำหนดวัตถุประสงค์กิจการ
- - - - ผลกระทบในเชิงลบ (Negative Effect)
        
        ทำให้องค์กรไม่บรรลุวัตถุประสงค์ สร้างความเสียหายให้กับองค์กร
        
        เรียกว่า ความเสี่ยง (Risk)
      - ผลกระทบในเชิงบวก (Positive Effect)
        
        ทำให้มูลค่าขององค์กรมีระดับเพิ่มขึ้น การเกิดเป็นประโยชน์ต่อองค์กร
        
        เรียกว่า โอกาส (Opportunity)
    - - กระบวนการที่คณะกรรมการผู้บริหาร และบุคลากรขององค์กรได้กำหนดขึ้น เพื่อนำไปประยุกต์ใช้ในการกำหนดกลยุทธ์และการวางแผนขององค์กรในทุกระดับ
      - โดยได้รับการออกแบบให้สามารถระบุเหตุการณ์ที่มีความเป็นไปได้ที่จะมีผลกระทบต่อองค์กรและจัดการความเสี่ยงให้อยู่ในระดับที่ยอมรับได้ เพื่อให้เกิดความมั่นใจอย่างสมเหตุสมผลว่าจะสามารถบรรลุวัตถุประสงค์ขององค์กรโดยรวมได้
  - - - 1) วัตถุประสงค์เชิงกลยุทธ์ (Strategic : S)
      - 2) วัตถุประสงค์การดำเนินงาน (Operations : O)
      - 3) วัตถุประสงค์การรายงาน (Reporting : R)
      - 4) วัตถุประสงค์การปฏิบัติตามระเบียบ (Compliance : C)
    - - ระดับทั่วทั้งองค์กร (Entity-Level : EL)
      - ระดับส่วนงาน (Division : D)
      - ระดับหน่วยงาน (ฺBusiness units : BU)
      - ระดับหน่วยงานย่อย (Subsidiary : S)
    - - 1.สภาพแวดล้อมภายใน (Internal Environment)
        
        เกี่ยวข้องกับ แนวคิด นโยบาย และบรรยากาศการทำงานที่กำหนดจากการบริหารระดับสูง (Tone at the Top)
        
        1.1 นโยบายและปรัชญาแนวคิดด้านการบริหารความเสี่ยง
        
        1.2 ความเสี่ยงที่ยอมรับได้ (Risk Appetite)
        
        1.3 คณะกรรมการองค์การ (ฺBoard)
        
        1.4 ความซื่อตรงและจริยธรรมองค์การ
        
        1.5 ความมุ่งมั่นด้านความสามารถ
        
        1.6 โครงสร้างการจัดองค์การ
        
        1.7 การมอบอำนาจหน้าที่และความรับผิดชอบ
        
        1.8 มาตรฐานของทรัพยากรบุคคล
      - การกำหนดวัตถุประสงค์ (Objective Setting)
        
        วัตถุประสงค์ที่ดี ต้องมีตัววัดและเป้าหมายความสำเร็จที่ชัดเจน
        
        2.1 ความเชื่อมโยงของวัตถุประสงค์กลยุทธ์และแผนงานที่เกี่ยวข้อง
        
        2.2 ความสำเร็จของวัตถุประสงค์
        
        การกำหนดตัววัดผลและหน่วยวัดเป้าความสำเร็จของวัตถุประสงค์ที่ชัดเจน
        
        SMART
        
        S - Specific (มีลักษณะที่เฉพาะเจาะจง สามารถทำให้บุคลากรทุกระดับในองค์กรเข้าใจตรงกัน)
        
        M - Measurable (สามารถวัดผลได้ ในเชิงปริมาณ/คุณภาพ)
        
        A - Achievable/Attainable (การกำหนดเป้าหมายความสำเร็จที่ท้าทา่ยกับความสามารถ)
        
        R - Relevant (มีความสัมพันธ์และเป็นไปในทิศทางเดียวกับวิสัยทัศน์องค์กร)
        
        T - Timely (มีกำหนดระยะเวลาที่ชัดเจนในการดำเนินการให้บรรลุวัตถุประสงค์)
        
        2.3 ความเสี่ยงและความคลาดเคลื่อนที่ยอมรับได้
        
        ความเสี่ยงที่ยอมรับได้ (Risk Appetite)
        
        ความคลาดเคลื่อนจากเป้าหมายที่ยอมรับได้ (Risk Tolerance)
      - การระบุเหตุการณ์ (Risk Identification)
        
        ระบุเหตุการณ์ทั้งที่เกิดและไม่เคยเกิดมาก่อน พิจารณาทั้งภายนอกและภายใน
        
        เหตุการณ์นั้นเกิดขึ้นจะมีผลกระทบสำคัญต่อความสำเร็จของกลยุทธ์และวัตถุประสงค์ แยกเหตุการณ์ที่เป็นโอกาสออกจากความเสี่ยง เพื่อนำไปกำหนดเป็นกลยุทธ์ขององค์การ
        
        3.1 การพิจารณาแหล่งและปัจจัยที่มีอิทธิพล
        
        ปัจจัยภายนอก
        
        ภัยธรรชาติและสิ่งแวดล้อม
        
        ภาวะเศรษฐกิจ
        
        ภาวะการเมือง
        
        สังคม
        
        เทคโนโลยีสารสนเทศ
        
        ปัจจัยภายใน
        
        โครงสร้างพื้นฐาน
        
        พนักงาน
        
        กระบวนการ
        
        เทคโนโลยี
        
        3.2 เทคนิคในการระบุเหตุการณ์
        
        SWOT
        
        Flowchart
        
        Financial Ratio
        
        ผังก้างปลา
        
        3.3 การวิเคราะห์ความสัมพันธ์ของเหตุการณ์ความเสี่ยง
        
        ช่วยให้จัดการความเสี่ยงในภาพรวมได้ดี เพราะบางเหตุการณ์อาจเป็นอิสระเกิดโดยตนเองตามลำพัง แต่บางเหตุการ์อาจสัมพันธ์กัน เช่น เกิดพร้อมกัน หรือก่อให้เเกิดเหตุการณ์หนึ่ง
        
        3.4 การจัดประเภทเหตุการณ์
        
        แยกตามวัตถุประสงค์ 4 ด้าน COSO
        
        S
        
        O
        
        R
        
        C
        
        3.5 แยกโอกาสออกจากความเสี่ยง
      - 4.การประเมินความเสี่ยง (Risk Assessment)
        
        คือ การวิเคราะห์และจัดระดับความเสี่ยงว่ามีผลกระทบต่อกิจการสูงหรือต่ำ
        
        ระดับความน่าจะเกิด (Likelihood)
        
        ระดับผลกระทบ (Impact)
        
        4.1 ความเสี่ยงก่อนการจัดการและความเสี่ยงคงเหลือ
        
        ความเสี่ยงก่อนการจัดการ (Inherent Risk : IR)
        
        ความเสี่ยงทั้งหมดที่เกิดขึ้นโดยยังไม่คำนึงถึงวิธีการจัดกรหรือการควบคุมใดๆ
        
        ความเสี่ยงคงเหลือ (Resiual Risk : RR)
        
        ความเสี่ยงคงเหลือจากวิธีการจัดการตอบสนองความเสี่ยงที่องค์การมีจริงในปัจจุบัน
        
        4.2 การกำหนดความน่าจะเกิดและระดับผลกระทบ
        
        ความเสี่ยงระดับสูง(สีแดง)
        
        ความเสี่ยงที่มีความสำคัญสูง จำเป็นต้องได้รับการจัดการทันที
        
        ความเสี่ยงระดับค่อนข้างสูง (สีส้ม)
        
        ความเสี่ยงที่มีความสำคัญค่อนข้างสูง จะต้องได้รับการจัดการในลำดับถัดมา
        
        ความเสี่ยงระดับปานกลาง (สีเหลือง)
        
        ความเสี่ยงที่มีความสำคัญ และต้องติดตามการปฏิบัติตามมาตรการจัดการความเสี่ยงที่ดำเนินการอยู่ในปัจจุบันอย่างเคร่งครัด
        
        ความเสี่ยงระดับค่อนข้างต่ำ (สีเขียว)
        
        ความเสี่ยงที่มีความสำคัญน้อย อยู่ในระดับที่ผู้บริหารยอมรับได้ แต่ต้องติดตามอย่างสม่ำเสมอ
        
        ควรพิจารณาความเสี่ยงซ่อนเร้น (Hidden Risk) ความเสี่ยงสะสม (Accumulated Risk) ที่มีความสัมพันธ์กันที่อาจมีผลกระทบต่อองค์การมากว่าปกติ
        
        ความเสี่ยงระดับต่ำ (สีเขียวอ่อน)
        
        ความเสี่ยงที่มีความสำคัญน้อย อยู่ในระดับที่ผู้บริหารยอมรับได้
        
        4.3 เทคนิคการประเมินความเสี่ยง
        
        ขึ้นอยู่กับ
        
        ลักษณะข้อมูลที่เกี่ยวข้องและที่มีอยู่
        
        ความเที่ยงธรรมของผลลัพธ์ที่ต้องการ
      - 5.การจัดการตอบสนองความเสี่ยง (Risk Responses)
        
        5.1 ประเภทของวิธีการจัดการตอบสนองความเสี่ยง (4T's of Risk Responses)
        
        1) การยอมรับ (Take)
        
        2) การเลิกการหลีกเลี่ยง (Terminate)
        
        3) การโอนหรือกระจายความเสี่ยง (Transfer)
        
        4) การแก้ไข (Treat)
        
        5.2 การเลือกวิธีการให้เหมาะสมกับระดับความน่าจะเกิดและผลกระทบ
        
        ความเสี่ยงระดับต่ำ > ยอมรับความเสี่ยง
        
        ความเสี่ยงที่มีระดับความน่าจะเกิดสูง > เพิ่มกิจกรรมควบคุมแบบป้องกัน เพื่อลดโอกาสความน่าจะเกิด และกิจกรรมควบคุมแบบค้นพบ เพื่อให้ค้นพบอย่างทันกาล และการเฝ้าติดตามไม่ให้ระดับผลกระทบสูงขึ้น
        
        ความเสี่ยงมีระดับผลกระทบสูง > ควรเพิ่มวิธีการลดผลกระทบ เช่น การประกันภาย และเฝ้าติดตามไม่ให้ระดับความน่าจะเกิดสูงขึ้น
        
        ความเสี่ยงที่มีระดับความเสี่ยงสูง ทั้งความน่าจะเกิดและผลกระทบ > เพิ่มวิธีการจัดการตอบสนองและวิธีการควบคุมที่ประสิทธิผลในระดับสูงขึ้น (แบบป้องกัน ค้นพบ ส่งเสริม แก้ไขและชดเชย)
        
        5.3 การประเมินต้นทุนกับประโยชน์ที่จะได้รับ
        
        5.4 การแยกโอกาสออกจากความเสี่ยง
      - กิจกรรมควบคุม (Control Activity)
        
        นโยบาย วิธีการ และการกระทำที่กำหนดขึ้น เพื่อสร้างความมั่นใจว่ามีการปฏิบัติตามวิธีการจัดการตอบสนองความเสี่ยง ให้ความเสี่ยงคงเหลือในระดับที่ยอมรับได้อย่างมีประสิทธิผลและในเวลาที่กำหนด
        
        6.1 การพิจารณากิจกรรมควบคุมร่วมกับการจัดการตอบสนองความเสี่ยง
        
        6.2 การกำหนดนโยบายและวิธีปฏิบัติงาน
        
        กิจกรรมควบคุมไม่ควรเป็นกิจกรรมที่สร้างมาพิเศษ แต่ทวรแทรกในกระบวนการปฏิบัติงานปกติ
        
        กิจกรรมควบคุมที่นิยมทั่วไป > การขออนุมัติ การได้รับความเห็นชอบ การพิสูจน์หลักฐาน การตรวจกับกฎเกณฑ์ การยืนยันยอด การกระทบยอด
        
        6.3 ประเภทกิจกรรมควบคุม
        
        1) การควบคุมแบบป้องกัน (Preventive Control)
        
        ลดระดับความน่าจะเกิดของข้อผิดพลาดไว้ก่อน
        
        การให้ความเห็ฯขอบ การใช้รหัสผ่าน การจัดโครงสร้างองค์กร การมอบอำาจหน้าที่ที่เหมาะสม การแบ่งแยกหน้าที่ การควบคุมการเข้าถึง การเก็บรักษาทรัพย์สินให้ปลอดภัย
        
        2) การควบคุมแบบค้นพบ (Detective Control)
        
        เพื่อค้นพบข้อผิดพลาดที่เกิดขึ้นโดยเร็วให้เกิดผลกระทบน้อยที่สุด
        
        สอบทานผลลัพธ์ การวิเคราะห์ความผิดพลาดคลาดเคลื่อน การยืนยันยอด การตรวจจับ การรายงานข้อบกพร่อง การายงานสิ่งผิดปกติยกเว้น การตรวจนับสินค้า
        
        3) การควบคุมแบบส่งเสริม (Directive Control)
        
        กระตุ้นให้เกิดความสำเร็จในวัตถุประสงค์ที่ต้องการ
        
        กำหนดนโยบาย วิธีปฏิบัติ แผนการฝึกอบรม มาตรการจูงใจและการให้รางวัล
        
        4) การควบคุมแบบใหม่เพื่อแก้ไขและชดเชย (Corrective Control)
        
        เพื่อแก้ไขข้อผิดพลาด อาจเป็นวิธีการควบคุมใหม่
        
        การควบคุมด้วยระบบอัตโนมัติแทนการควบคุมด้วยคน การจัดกระบวนการปฏิบัติใหม่ การจัดโครงสร้างใหม่ การรวมหรือยกเลิกการกระทำบางอย่าง หรือการกำกับสอบทานใกล้ชิด
      - ระบบสารสนเทศและการสื่อสาร (Informantion and Communication)
        
        7.1 สารสนเทศ (Information)
        
        การบริหารความเสี่ยงต้องการสารสนเทศในการระบุ (Identify) ประเมิน (Assess) ตอบสนอง (Response) ความเสี่ยงอย่างทันกาล
        
        7.2 กลยุทธ์และระบบสารสนเทศเชิงสัมพันธ์
        
        7.3 การบูรณาการรวมกับการปฏิบัติงาน
        
        7.4 คุณภาพของสารสนเทศ
        
        ความเหมาะสม > มีเนื้อสาระที่จำเป็นสำหรับการตัดสินใจ
        
        ความถูกต้องสมบูรณ์ > ความถูกต้องเป็นจริงและมีรายละเอียดที่จำเป็นครบถ้วน
        
        ความเป็นปัจจุบัน > ให้ตัวเลขและข้อเท็จจริงล่าสุดถึงปัจจุบันหรือใกล้เคียงวันที่ตัดสินใจมากที่สุด
        
        ความทันเวลา > สารสนเทศที่จัดทำอย่างรวดเร็วเพื่อให้ผู้ตัดสินใจได้ทันเวลา
        
        ความสะดวกในการเข้าถึง > ผู้เกี่ยวข้องสามารถเข้าถึงได้ง่ายหรือเมื่อต้องการ แต่จำกัดการเข้าถึงของผู้ที่ไม่เกี่ยวข้อง
        
        7.5 การสื่อสาร (Communication)
        
        ช่องทางในการรับฟัง การเผยแพร่ การทำความเข้าใจสารสนเทศ ระหว่างผู้ส่งและผู้รับ (Two Ways Communication)
      - 8.การติดตามผล (Monitoring)
        
        8.1 การติดตามผลระหว่างการปฏิบัติงาน (Ongoing Monitoring)
        
        8.2 การประเมินผลอิสระเป็นครั้งคราว (Separate Evaluation)
        
        การประเมินผลตนเอง และการประเมินโดย IA หรือ CPA
        
        8.3 การรายงานข้อบกพร่องและการสั่งการแก้ไข
        
        การบริหารความเสี่ยงควรได้รับการปรับปรุงแก้ไขตามความจำเป็น
- - - - 1) จัดตั้งคณะกรรมการดูแลความเสี่ยง
      - 2) จัดตั้งโครงการดำเนินงาน
      - 3) ระบุวัฒนธรรมองค์กรที่ต้องการ
      - 4) แสดงความมุ่งมั่นในค่านิยมหลัก
      - 5) จูงใจ พัฒนา และรักษาบุคลากรที่มีความสามารถ
    - - 6) วิเคราะห์ธุรกิจ
      - 7) ระบุความเสี่ยงที่ยอมรับได้
      - 8) ประเมินกลยุทธ์ทางเลือก
      - 9) กำหนดวัตถุประสงค์ทางธุรกิจ
    - - 10) ระบุความเสี่ยง
      - 11) ประเมินความรุนแรงของความเสี่ยง
      - 12) จัดลำดับความสำคัญของความเสี่ยง
      - 13) ดำเนินการตอบสนองต่อความเสี่ยง
      - 14) พัฒนากรอบความเสี่ยงในภาพรวม
    - - 15) ประเมินการเปลี่ยนแปลงที่สำคัญ
      - 16) ทบทวนความเสี่ยงและผลการดำเนินงาน
      - 17) มุ่งมั่นปรับปรุงการบริหารความเสี่ยงทั่วทั้งองค์กร
    - - 18) ยกระดับสารสนเทศ
      - 19) สื่อสารข้อมูลความเสี่ยง
      - 20) รายงานผลความเสี่ยง วัฒนธรรมและผลการดำเนินงาน