Compliance Testing — Controls ทำงานมั้ย?#

Compliance testing ทดสอบว่า controls ทำงาน ตามที่ออกแบบ มั้ย — Control EXIST และ WORKING จริงหรือเปล่า?

เปรียบเทียบ: ตรวจว่าประตูล็อคอยู่จริงไหม — ไม่ได้ดูของในห้อง

ตัวอย่างใน IS audit:

• ตรวจ user access rights ว่ากำหนดตาม policy มั้ย
• ตรวจ program change control procedures
• ตรวจ documentation procedures + program documentation
• ตรวจ exception follow-up
• ตรวจ log reviews
• ตรวจ software license reviews

Substantive Testing — ข้อมูลถูกมั้ย?#

Substantive testing ทดสอบ ตัวข้อมูลจริง — ธุรกรรม/ข้อมูลสะท้อน reality มั้ย?

เปรียบเทียบ: นับของในห้องเอง — ไม่ได้ดูประตูล็อค

ตัวอย่าง:

• Verify การคำนวณซับซ้อนใน sample of accounts
• Vouching sample transactions ไปยัง supporting documentation
• ตรวจ balances + transactions ใน financial statement

ความสัมพันธ์ระหว่างสองอันนี้ (กฎผกผัน — exam ออก)#

Strong internal controls (compliance test ผ่าน) → substantive testing น้อยลง Weak internal controls (compliance test ล้มเหลว) → substantive testing มากขึ้น

ตรรกะ: ถ้า controls แข็ง → ข้อมูลน่าจะถูก → ไม่ต้องตรวจข้อมูลทุก transaction ถ้า controls อ่อน → ข้อมูลน่าจะมีปัญหา → ต้องไปยืนยันที่ข้อมูลจริงให้เยอะขึ้นเพื่อ compensate

Decision Logic 4 Steps ที่ ISACA กำหนด#

1. Review ระบบเพื่อระบุ controls
2. Test compliance — controls ทำงานหรือไม่?
3. Evaluate controls — เป็น basis ตัดสินใจว่า substantive ทำเท่าไหร่ (nature/scope/timing)
4. Perform substantive testing 2 แบบ — test balances/transactions + analytic review

→ บทนี้คุยลึกเรื่อง compliance + substantive ที่เคย mention ใน ตอน 07 แล้ว

Statistical Sampling — ใช้คณิตศาสตร์#

Statistical sampling ใช้ mathematical laws of probability:

1. คำนวณ sample size
2. เลือก items
3. ประเมินผล + อนุมาน

IS auditor กำหนดเชิงปริมาณ:

• Sampling tolerance / precision — ตัวอย่างใกล้เคียง population แค่ไหน
• Confidence level — เปอร์เซ็นต์ความน่าเชื่อถือ

ผลที่ได้สามารถ quantify ทางคณิตศาสตร์ ได้

ข้อดี: อธิบายได้ — ผลรองรับด้วยตัวเลข ข้อเสีย: ต้องใช้ความรู้สถิติ + ข้อมูลครบ

Nonstatistical Sampling (Judgmental) — ใช้วิจารณญาณ#

Nonstatistical (judgmental) sampling ใช้แค่ วิจารณญาณ — sample method, sample size, selection criteria ทุกอย่างมาจากการตัดสินของ auditor

อิงกับ materiality + risk ของ items แต่ละชิ้น ไม่มีการ quantify ผลทางคณิตศาสตร์

ข้อดี: ยืดหยุ่น ใช้กับสถานการณ์ที่ statistical ทำไม่ได้ ข้อเสีย: ผลไม่มี mathematical confidence — ถ้าถูก challenge อาจอ่อน

ในทางปฏิบัติ — มักใช้ ทั้งคู่ผสมกัน เลือกตามความเหมาะสมของแต่ละ test

Attribute Sampling — เกี่ยวกับ Rates/Percentages#

ใช้ตอบคำถาม “How many?” — ตอบเป็น rate/% ของ attribute

มี 3 ประเภทย่อย:

1. Fixed sample size attribute sampling / frequency estimating

   • ประเมิน rate of occurrence ของ attribute
   • ใช้เมื่อต้องการรู้ว่าเกิดขึ้นกี่ %

2. Stop-or-go sampling

   • หยุดที่ moment เร็วสุดเมื่อ expected errors น้อยมาก
   • ใช้เมื่อคาดว่า errors น้อย ต้องการประหยัดเวลา

3. Discovery sampling

   • ใช้เมื่อ IS auditor เชื่อว่าจะพบ items น้อยมาก
   • เน้นการ “ค้นพบ” ไม่ใช่การประเมินอัตรา

Common use: Compliance testing — เช่น “transactions ที่ไม่มี approval มีกี่ %?”

Variable Sampling — เกี่ยวกับ Monetary Values#

ใช้ตอบคำถาม “How much?” — ตอบเป็นจำนวนเงิน/values

มี 3 ประเภทย่อย:

1. Stratified sampling

   • แบ่ง population เป็นกลุ่ม → sample จากแต่ละกลุ่ม
   • ใช้เมื่อ population varied มาก ต้อง represent ทุกชั้น

2. Unstratified mean per unit

   • คำนวณ sample mean → project เป็น total
   • ใช้กับ population ที่ uniform

3. Difference estimation

   • วัด total difference ระหว่าง audited values กับ book values
   • ใช้เมื่อต้องการรู้ผลรวมของส่วนต่าง

Common use: Substantive testing — เช่น “total ของ misstatement ในบัญชี AR คือเท่าไหร่?”

กฎการจดจำ#

แต่ระวัง — exam ชอบหลอกว่า “Attribute ต้องเป็น statistical เสมอ” — ผิด! Attribute sampling เป็น statistical หรือ nonstatistical ก็ได้ — ขึ้นกับวิธีเลือก sample

และอีก trap: “Variable ใช้กับเงินเท่านั้น” — ผิด! Variable = quantitative measure อะไรก็ได้ (น้ำหนัก, จำนวน, เวลา) ไม่ใช่แค่ดอลลาร์