หลักฐานการตรวจประเมินและการสุ่มตัวอย่าง ตามแนวทาง ISO 19011:2026

สามชั้นที่ต้องแยกให้ออก

ชั้นแรกคือหลักฐานการตรวจประเมิน (audit evidence) ได้แก่บันทึก ข้อความที่ได้จากการสัมภาษณ์ และสิ่งที่สังเกตเห็น ซึ่งเกี่ยวข้องกับเกณฑ์การตรวจประเมินและทวนสอบได้

ชั้นที่สองคือข้อค้นพบ (audit finding) ซึ่งเกิดจากการเอาหลักฐานไปเทียบกับเกณฑ์แล้วตัดสินว่าเป็นไปตามเกณฑ์หรือไม่

ชั้นที่สามคือข้อสรุปของการตรวจประเมิน (audit conclusion) ซึ่งเป็นภาพรวมที่คณะผู้ตรวจประเมินให้หลังพิจารณาข้อค้นพบทั้งหมดเทียบกับวัตถุประสงค์ของการตรวจ

ความผิดพลาดที่ทำให้รายงานการตรวจอ่อนแรง คือการกระโดดจากชั้นแรกไปชั้นที่สามโดยข้ามชั้นกลาง เช่น เขียนว่า “ระบบเอกสารยังไม่เข้มแข็ง” ซึ่งเป็นข้อสรุปที่ไม่มีข้อค้นพบรองรับ ผู้ถูกตรวจจึงไม่รู้ว่าต้องแก้อะไร

อะไรนับเป็นหลักฐาน และอะไรยังไม่ใช่

คำที่ใช้คัดกรองคือคำว่าทวนสอบได้ ถ้าสิ่งที่ผู้ตรวจประเมินได้มาไม่สามารถให้คนอื่นตรวจซ้ำแล้วได้ผลเหมือนกัน สิ่งนั้นยังไม่ใช่หลักฐาน

คำบอกเล่าจากการสัมภาษณ์เป็นหลักฐานได้ แต่เป็นหลักฐานว่าบุคคลนั้นพูดอะไร ไม่ใช่หลักฐานว่าสิ่งที่พูดเกิดขึ้นจริง การยกระดับคำบอกเล่าให้เป็นหลักฐานที่ใช้ตัดสินได้ ต้องอาศัยการหาสิ่งที่ยืนยันประกอบ เช่น บันทึกที่เกี่ยวข้อง การสังเกตหน้างาน หรือคำบอกเล่าจากผู้อื่นที่ไม่ได้อยู่ในสายบังคับบัญชาเดียวกัน

ในทำนองเดียวกัน การเห็นเอกสารที่มีลายเซ็นครบไม่ได้แปลว่ากิจกรรมนั้นเกิดขึ้น เอกสารเป็นหลักฐานว่ามีการบันทึก ส่วนกิจกรรมจริงต้องยืนยันด้วยสิ่งอื่นประกอบ เช่น ค่าที่บันทึกไว้สอดคล้องกับข้อมูลจากระบบอื่นหรือไม่ และช่วงเวลาที่บันทึกสมเหตุสมผลกับการทำงานจริงหรือไม่

การสุ่มตัวอย่างที่อธิบายได้ ต่างจากการหยิบตามสะดวก

การตรวจประเมินระบบการจัดการเป็นการตรวจด้วยตัวอย่าง ไม่ใช่การตรวจทั้งประชากร ข้อจำกัดนี้เป็นเรื่องปกติและยอมรับได้ แต่สิ่งที่แยกการสุ่มที่ดีออกจากการหยิบตามสะดวกคือ ผู้ตรวจประเมินอธิบายได้ว่าทำไมจึงเลือกชิ้นนี้ และตัวอย่างที่เลือกครอบคลุมความหลากหลายที่มีความหมายหรือไม่

วิธีสุ่มแบ่งกว้าง ๆ ได้สองทาง ทางแรกคือการสุ่มโดยใช้ดุลยพินิจ ซึ่งเลือกตัวอย่างจากความเสี่ยง ความซับซ้อน ประวัติปัญหา หรือจุดรอยต่อระหว่างหน่วยงาน ทางที่สองคือการสุ่มตามหลักสถิติ ซึ่งให้ผลที่อ้างอิงไปยังประชากรทั้งหมดได้ในเชิงตัวเลข แต่ต้องการจำนวนตัวอย่างและเงื่อนไขที่มากกว่า

ในการตรวจติดตามภายในตามรอบปกติ การสุ่มโดยใช้ดุลยพินิจเป็นวิธีที่ใช้ได้จริงกว่า สิ่งที่ต้องทำคือบันทึกเหตุผลของการเลือกไว้ เพราะเหตุผลนั้นคือสิ่งที่ทำให้ข้อสรุปมีน้ำหนัก และทำให้การตรวจรอบหน้าเลือกตัวอย่างที่ต่างออกไปได้อย่างมีทิศทาง

เมื่อเจอปัญหาในตัวอย่างแรก ต้องตัดสินใจสองเรื่อง

เรื่องแรกคือขยายตัวอย่างหรือไม่ ถ้าสิ่งที่พบดูเหมือนเหตุการณ์เดี่ยว การขยายตัวอย่างจะช่วยตอบว่าเป็นเรื่องเฉพาะรายหรือเป็นอาการของระบบ ซึ่งเปลี่ยนน้ำหนักของข้อค้นพบไปคนละระดับ

เรื่องที่สองคือเปลี่ยนทิศทางการตรวจหรือไม่ ถ้าหลักฐานชี้ว่าสาเหตุน่าจะอยู่ที่กระบวนการต้นน้ำ การใช้เวลาที่เหลือไปตรวจต้นน้ำมีค่ามากกว่าการเก็บตัวอย่างเพิ่มในกระบวนการเดิม การตัดสินใจแบบนี้ควรบันทึกไว้ในรายงาน เพราะเป็นการเปลี่ยนแผนการตรวจระหว่างทาง

การตรวจทางไกลเปลี่ยนวิธีเก็บหลักฐาน

เมื่อกิจกรรมการตรวจบางส่วนทำจากที่อื่นผ่านช่องทางออนไลน์ สิ่งที่เปลี่ยนไม่ใช่เกณฑ์ แต่คือความสามารถในการยืนยันบริบทของหลักฐาน หน้าจอที่ผู้ถูกตรวจแบ่งปันให้ดูคือมุมมองที่เขาเลือก ผู้ตรวจประเมินจึงควรระบุเองว่าอยากเห็นอะไร ขอให้เปิดจากรายการทั้งหมดแทนการเปิดไฟล์ที่เตรียมไว้ และตรวจสิ่งที่บอกเวลาและผู้จัดทำในระบบประกอบ

สิ่งที่ควรบันทึกไว้คือส่วนใดของการตรวจทำทางไกล เพราะมีผลต่อความมั่นใจในข้อสรุป และเป็นข้อมูลให้ผู้วางแผนการตรวจรอบถัดไปตัดสินใจว่าเรื่องใดควรกลับไปตรวจที่หน้างาน

อ่านต่อเรื่องการเปลี่ยนหลักฐานให้เป็นข้อความที่ผู้ถูกตรวจแก้ได้จริงที่ การเขียนความไม่สอดคล้องให้ชัดตามแนวทาง ISO 19011 และอ่านเรื่องการวางกรอบก่อนลงมือตรวจได้ที่ ความต่างระหว่างแผนงานการตรวจประเมินกับแผนการตรวจประเมิน

คำถามที่ควรตอบได้

หนึ่ง ในการตรวจครั้งล่าสุด ตัวอย่างที่ตรวจถูกเลือกอย่างไร และเหตุผลนั้นถูกบันทึกไว้ที่ใด (ที่มาคือข้อ 9.2 อ่านคู่กับแนวทางตาม ISO 19011:2026)

สอง ข้อค้นพบแต่ละข้อในรายงานระบุหลักฐานที่ทวนสอบได้และเกณฑ์ที่ใช้เทียบครบหรือไม่ (ที่มาคือข้อ 9.2)

สาม มีข้อค้นพบใดที่อาศัยคำบอกเล่าเพียงอย่างเดียวโดยไม่มีสิ่งยืนยันประกอบ (ที่มาคือข้อ 9.2)

สี่ เมื่อพบปัญหาในตัวอย่างแรก ผู้ตรวจประเมินขยายตัวอย่างหรือไม่ และตัดสินใจจากอะไร (ที่มาคือข้อ 9.2)

ห้า ส่วนใดของการตรวจทำจากระยะไกล และมีผลต่อความมั่นใจในข้อสรุปอย่างไร (ที่มาคือข้อ 9.2 อ่านคู่กับแนวทางตาม ISO 19011:2026)

อ่านบทความในชุดเดียวกันที่เผยแพร่พร้อมกันในรอบนี้ได้ที่ ISO 45001 ข้อ 6.1.3 ข้อกำหนดกฎหมายและข้อกำหนดอื่น ๆ และ ISO 22000 ข้อ 8.7 การควบคุมการเฝ้าระวังและการวัด

บทความนี้เรียบเรียงขึ้นด้วยถ้อยคำของผู้เรียบเรียงเพื่ออธิบายและตีความข้อกำหนด ไม่ใช่การแปลหรือทำซ้ำเนื้อหาของมาตรฐาน ตัวอย่างทั้งหมดเป็นกรณีสมมติเพื่อประกอบคำอธิบาย การนำไปใช้จริงให้ยึดตัวมาตรฐานฉบับจริงเป็นหลัก