ชั้นที่ 1: Audit Universe — “มีอะไรในขอบเขต?”#

Audit Universe = รายการครบของทุก process / ระบบ / หน่วยงาน / vendor ที่ผูกพันต่อการถูก audit

ไม่ใช่แค่ “ระบบ IT” — แต่รวม business processes ทั้งหมดที่ใช้ IT สนับสนุน เช่น กระบวนการสั่งซื้อ, payroll, จัดการข้อมูลลูกค้า

ที่มาของ Audit Universe: มาจาก Charter ที่ board อนุมัติ (ตอน 02) ขอบเขตที่ Charter กำหนด = ขนาดของ Audit Universe

ถ้าไม่รู้ว่ามีอะไรทั้งหมด — ก็ไม่มีทางรู้ว่า “ตรวจครบ” หรือยัง Audit Universe คือ inventory ของจักรวาลที่ตรวจได้

ชั้นที่ 2: Annual Audit Plan — “ปีนี้ตรวจอะไรบ้าง?”#

จาก Audit Universe ทั้งหมด — IS auditor ทำ risk assessment เพื่อจัดลำดับ

Risk factors ที่ใช้พิจารณาว่าถ้า process มีปัญหาจะส่งผลเสียแค่ไหน:

• High — ถ้าเกิดปัญหา ใช้เวลาฟื้นเกิน 6 เดือน
• Medium — ฟื้นใน 3-6 เดือน
• Low — ฟื้นภายใน 3 เดือน

Annual Plan = รายการ processes ที่จัดเป็น High risk — สิ่งที่ต้องตรวจปีนี้เป็นอย่างน้อย

ความจริงที่ซ่อนอยู่: ทรัพยากร audit team มักไม่พอสำหรับ High risk ทั้งหมด เมื่อเกิด resource gap ต้องบันทึกว่า gap มีอยู่ และ residual risk ถูกยอมรับโดย management ระดับที่เหมาะสม — ไม่ใช่แค่ข้ามไปโดยไม่บอกใคร

Annual Plan ต้องผ่านใคร? ทบทวนโดย senior audit management และอนุมัติโดย audit committee (หรือ board ถ้าไม่มี audit committee) และต้องสื่อสารให้ management ที่เกี่ยวข้องรับรู้

Annual Plan ไม่ใช่เอกสาร “ทำแล้วจบ” — ถ้า risk environment เปลี่ยนอย่างมีนัยสำคัญ (เพิ่งย้ายไป cloud, มีการเปลี่ยนกฎหมาย) ต้องอัปเดตแผน

ชั้นที่ 3: Individual Audit Assignment — “งานครั้งนี้วางแผนยังไง?”#

เมื่อ Annual Plan กำหนดแล้วว่าตรวจอะไร — แต่ละงาน audit ต้องวางแผน เฉพาะของตัวเอง

ISACA กำหนด 10 ขั้นตอน สำหรับการวางแผน IS audit engagement:

1. เข้าใจ mission, objectives, processes ขององค์กร รวมถึง availability, integrity, security, privacy ของข้อมูล
2. เข้าใจ governance structure ที่เกี่ยวกับ audit objectives
3. เข้าใจการเปลี่ยนแปลงใน business/IT environment
4. ระบุ policies, standards, guidelines, procedures ที่บังคับใช้
5. ทำ risk analysis เพื่อออกแบบ audit plan
6. กำหนด audit scope และ objectives ให้ชัด
7. พัฒนา audit approach หรือ audit strategy
8. จัดสรรทรัพยากรบุคคล
9. จัดการ engagement logistics (การเข้าถึง, ตารางเวลา, จุดติดต่อ)
10. ระบุวิธีการสำหรับ continuous audit ถ้าจะใช้ CAATs

แต่ละงาน audit ต้องพิจารณา: ผล risk assessment รอบล่าสุด, การเปลี่ยนแปลงเทคโนโลยี, regulatory requirements, ตารางเวลาการ implement ระบบ

ชั้นที่ 4: 5-Phase Execution — “ลงมือทำยังไง?”#

ชั้นที่ลงมือจริง แบ่งเป็น 5 phases (จะเจาะลึกใน Part B):

• Planning — กำหนด subject, objectives, scope, risk assessment
• Fieldwork — เก็บข้อมูล ทดสอบ controls
• Documentation — บันทึกทุกอย่างใน work papers
• Reporting — ร่าง ทบทวน ออก audit report
• Follow-up — ติดตาม corrective actions

แต่ละ phase มีกิจกรรมและสิ่งที่ต้องส่งมอบเฉพาะของมัน

Approach 1: Scoring System (เชิงปริมาณ)#

ให้ค่าตัวเลขกับ risk factors ต่างๆ → คำนวณ overall risk score

Risk factors ที่ใช้ประเมินอาจรวม:

• ความซับซ้อนทางเทคนิคของระบบ/process
• ระดับของ existing control procedures
• ระดับของ financial loss/ผลกระทบถ้าเกิดปัญหา

ตัวแปรเหล่านี้อาจถ่วงน้ำหนักต่างกัน (เช่น financial impact สำคัญกว่าความซับซ้อนทางเทคนิค 2 เท่า) ขึ้นกับ risk appetite ขององค์กร ผล risk scores จากทุก process ถูกนำมาเปรียบเทียบเพื่อจัดลำดับ

ข้อดี: อธิบายได้ — ถ้าถูกถาม “ทำไมไม่ตรวจระบบ X ปีนี้?” คำตอบที่มีตัวเลขรองรับน่าเชื่อถือกว่า “เพราะคิดว่า risk ไม่สูง”

Approach 2: Subjective Assessment (เชิงคุณภาพ)#

ใช้ความรู้เกี่ยวกับธุรกิจ + วิจารณญาณ + ประสบการณ์แทนตัวเลข

แหล่งข้อมูลที่ป้อนเข้า:

• ความรู้เกี่ยวกับธุรกิจที่ audit team มีต่อองค์กร
• คำสั่งจาก executive management ว่ากังวลอะไรเป็นพิเศษ
• มุมมองทางประวัติศาสตร์ — อะไรที่เคยเป็นปัญหา
• เป้าหมายธุรกิจปัจจุบัน
• ปัจจัยแวดล้อมที่เปลี่ยน (กฎหมาย, ตลาด)

ทั้งสองแนวทางใช้ร่วมกันได้ และในทางปฏิบัติมักทำแบบนั้น — scoring system เป็นฐาน + ปรับด้วย subjective judgment