ผู้ทำหน้าที่เป็น ผู้ตรวจติดตามภายใน (Internal Auditor) มักพบคำว่า โปรแกรมการตรวจประเมิน (Audit Programme) และ แผนการตรวจประเมิน (Audit Plan) ในเอกสารของระบบการจัดการ
เอกสารทั้งสองมีความเกี่ยวข้องกัน แต่มีหน้าที่และระดับรายละเอียดแตกต่างกัน
- โปรแกรมการตรวจประเมิน ใช้บริหารการตรวจประเมินในภาพรวม
- แผนการตรวจประเมิน ใช้กำหนดรายละเอียดของการตรวจแต่ละครั้ง
สรุปให้เข้าใจง่ายได้ว่า
โปรแกรมการตรวจประเมินบอกว่าจะตรวจอะไร เมื่อใด และเพราะเหตุใด
ส่วนแผนการตรวจประเมินบอกว่าในการตรวจครั้งนั้นจะตรวจอย่างไร
โปรแกรมการตรวจประเมินคืออะไร
โปรแกรมการตรวจประเมินเป็นกรอบการบริหารการตรวจประเมินหนึ่งครั้งหรือหลายครั้งภายในช่วงเวลาที่กำหนด เพื่อให้บรรลุวัตถุประสงค์ของโปรแกรม
โปรแกรมจึงไม่ควรมีเพียงตารางว่าเดือนใดจะตรวจหน่วยงานใด แต่ควรครอบคลุมเรื่องสำคัญ เช่น
- วัตถุประสงค์ของโปรแกรม
- ขอบข่ายและความถี่ของการตรวจ
- ความเสี่ยงและโอกาส
- วิธีการตรวจ
- การเลือกทีมตรวจ
- ความสามารถของผู้ตรวจ
- เวลา งบประมาณ และทรัพยากร
- การสื่อสารและการประสานงาน
- การติดตาม ทบทวน และปรับปรุงโปรแกรม
- การควบคุมเอกสารและบันทึกที่เกี่ยวข้อง
โปรแกรมการตรวจประเมินควรตอบคำถามว่า
องค์กรต้องตรวจเรื่องใด ตรวจเมื่อใด ตรวจบ่อยเพียงใด ใครเป็นผู้ตรวจ และต้องใช้ทรัพยากรอะไร
ปัจจัยที่ควรใช้กำหนดโปรแกรมการตรวจประเมิน
การกำหนดความถี่ของการตรวจไม่จำเป็นต้องเท่ากันทุกกระบวนการ แต่ควรพิจารณาจาก
- ความสำคัญของกระบวนการ
- ความซับซ้อนของงาน
- ผลการตรวจครั้งก่อน
- ความไม่สอดคล้องที่เกิดซ้ำ
- ข้อร้องเรียนของลูกค้า
- ผลการทบทวนโดยฝ่ายบริหาร
- การเปลี่ยนแปลงบุคลากร เครื่องจักร หรือเทคโนโลยี
- เหตุการณ์ด้านคุณภาพ ความปลอดภัย หรือสิ่งแวดล้อม
- ความพร้อมของผู้ตรวจและทรัพยากร
- ความเสี่ยงจากการตรวจทางไกลหรือการใช้หลักฐานดิจิทัล
ตัวอย่างเช่น กระบวนการผลิตที่มีความไม่สอดคล้องเกิดซ้ำอาจได้รับการตรวจปีละ 2 ครั้ง ขณะที่กระบวนการที่มีความเสี่ยงต่ำและไม่มีการเปลี่ยนแปลงอาจกำหนดรอบตรวจทุก 12–18 เดือน
ตัวอย่างตารางโปรแกรมการตรวจประเมินภายใน
ตารางต่อไปนี้เป็นตัวอย่างโปรแกรมการตรวจประเมินภายในประจำปี โดยแสดงกระบวนการ เหตุผลที่กำหนดให้ตรวจ ความถี่ วิธีการตรวจ และทีมที่รับผิดชอบ
จากตัวอย่างจะเห็นว่า ตารางโปรแกรมช่วยให้เห็นภาพรวมว่า
- ต้องตรวจกระบวนการใด
- เหตุใดจึงกำหนดให้ตรวจ
- ตรวจบ่อยเพียงใด
- ใช้วิธีตรวจแบบใด
- ทีมใดเป็นผู้รับผิดชอบ
- การตรวจอยู่ในสถานะใด
อย่างไรก็ตาม ตารางดังกล่าวเป็นเพียงส่วนหนึ่งของโปรแกรม องค์กรยังควรกำหนดวัตถุประสงค์ ขอบข่าย ความเสี่ยง ทรัพยากร และวิธีติดตามผลของโปรแกรมเพิ่มเติมด้วย
ผู้บริหารโปรแกรมการตรวจประเมินต้องทำอะไร
บุคคลที่รับผิดชอบบริหารโปรแกรมการตรวจประเมินควรดำเนินการดังต่อไปนี้
1. กำหนดขอบข่ายของโปรแกรม
ต้องกำหนดว่าโปรแกรมจะครอบคลุม
- กระบวนการใด
- หน่วยงานใด
- สถานที่ใด
- มาตรฐานหรือข้อกำหนดใด
- จำนวนและความถี่ของการตรวจเท่าใด
2. พิจารณาความเสี่ยงและโอกาส
ตัวอย่างความเสี่ยงของโปรแกรม ได้แก่
- ผู้ตรวจมีความสามารถไม่เพียงพอ
- ผู้ตรวจต้องตรวจงานที่ตนรับผิดชอบ
- เวลาในการตรวจไม่เพียงพอ
- ผู้รับการตรวจไม่พร้อม
- หลักฐานที่ต้องการไม่พร้อม
- การสื่อสารไม่มีประสิทธิผล
- ระบบที่ใช้ตรวจทางไกลไม่ปลอดภัย
- บันทึกการตรวจไม่ได้รับการปกป้อง
ตัวอย่างโอกาสในการปรับปรุง ได้แก่
- ตรวจหลายกระบวนการในการเข้าพื้นที่ครั้งเดียว
- ลดเวลาและระยะทางในการเดินทาง
- ใช้การตรวจทางไกลหรือแบบผสม
- จัดทีมตรวจให้มีความสามารถตรงกับกระบวนการ
- ใช้ข้อมูลแนวโน้มช่วยเลือกตัวอย่าง
3. เลือกทีมตรวจที่เหมาะสม
ทีมตรวจต้องมีความสามารถโดยรวมเพียงพอกับวัตถุประสงค์ ขอบข่าย และความซับซ้อนของการตรวจ
กระบวนการที่ต้องใช้ความรู้เฉพาะอาจต้องมีผู้เชี่ยวชาญ เช่น
- การเชื่อม
- ห้องปฏิบัติการ
- ระบบสารสนเทศ
- ความปลอดภัยอาหาร
- การควบคุมเครื่องมือวัด
4. กำหนดทรัพยากร
ทรัพยากรที่ควรพิจารณา ได้แก่
- จำนวนผู้ตรวจ
- เวลาและงบประมาณ
- ผู้เชี่ยวชาญทางเทคนิค
- การเดินทางและที่พัก
- เครื่องมือและอุปกรณ์
- เทคโนโลยีสำหรับการตรวจทางไกล
- เอกสารและบันทึก
- อุปกรณ์ป้องกันส่วนบุคคล
- ข้อกำหนดในการเข้าพื้นที่
5. จัดตารางและประสานงาน
ต้องกำหนดว่ากระบวนการใดจะได้รับการตรวจ เมื่อใด ใครเป็นผู้ตรวจ และสื่อสารให้ผู้เกี่ยวข้องทราบ
6. ติดตามและปรับปรุงโปรแกรม
ควรติดตามว่า
- ตรวจได้ครบตามกำหนดหรือไม่
- มีการเลื่อนหรือยกเลิกการตรวจหรือไม่
- รายงานออกตรงเวลาหรือไม่
- การดำเนินการแก้ไขได้รับการติดตามหรือไม่
- ทีมตรวจมีความสามารถเพียงพอหรือไม่
- โปรแกรมบรรลุวัตถุประสงค์หรือไม่
แผนการตรวจประเมินคืออะไร
แผนการตรวจประเมินเป็นรายละเอียดและการจัดเตรียมสำหรับการตรวจประเมินครั้งหนึ่ง
ตัวอย่างเช่น โปรแกรมกำหนดให้ตรวจคลังสินค้าในเดือนสิงหาคม ส่วนแผนการตรวจประเมินจะระบุว่า
- ตรวจวันใด
- ตรวจเวลาใด
- ตรวจพื้นที่ใด
- ตรวจเรื่องอะไร
- ใช้ข้อกำหนดใดเป็นเกณฑ์
- ใครเป็นผู้ตรวจ
- ใครเป็นผู้ให้ข้อมูล
- ใช้วิธีตรวจแบบใด
- ต้องสุ่มตัวอย่างเรื่องใด
- ประชุมเปิดและประชุมปิดเวลาใด
แผนควรเป็นพื้นฐานให้ผู้ว่าจ้างการตรวจ ทีมตรวจ และผู้รับการตรวจเข้าใจการดำเนินงานตรงกัน
แผนการตรวจประเมินควรมีข้อมูลอะไรบ้าง
1. วัตถุประสงค์ของการตรวจ
ตัวอย่างเช่น
- ประเมินความสอดคล้องกับข้อกำหนด
- ประเมินการนำระบบไปปฏิบัติ
- ประเมินประสิทธิผลของกระบวนการ
- ติดตามการดำเนินการแก้ไขจากการตรวจครั้งก่อน
2. ขอบข่ายการตรวจ
ควรระบุหน่วยงาน กระบวนการ กิจกรรม สถานที่ และช่วงเวลาของข้อมูลที่จะตรวจ
ตัวอย่าง:
ตรวจคลังวัตถุดิบ ครอบคลุมการรับเข้า การบ่งชี้สถานะ การจัดเก็บ การหมุนเวียน และการจ่ายวัตถุดิบเข้าสู่การผลิต
3. เกณฑ์การตรวจประเมิน
เกณฑ์อาจประกอบด้วย
- ข้อกำหนดมาตรฐาน
- ระเบียบปฏิบัติ
- วิธีปฏิบัติงาน
- ข้อกำหนดของลูกค้า
- กฎหมาย
- ข้อกำหนดผลิตภัณฑ์
- เอกสารอ้างอิงที่เกี่ยวข้อง
ผู้ตรวจไม่ควรใช้ความเห็นส่วนตัวหรือวิธีปฏิบัติขององค์กรอื่นเป็นเกณฑ์ หากไม่มีข้อกำหนดรองรับ
4. สถานที่ วันที่ เวลา และระยะเวลา
ควรระบุ
- สถานที่จริงหรือสถานที่เสมือน
- วันที่และเวลาตรวจ
- ระยะเวลาของแต่ละกิจกรรม
- การประชุมเปิด
- การประชุมทีมตรวจ
- ช่วงพัก
- การประชุมปิด
5. วิธีการตรวจและการสุ่มตัวอย่าง
วิธีการตรวจอาจประกอบด้วย
- การสัมภาษณ์
- การสังเกตการปฏิบัติงาน
- การทบทวนเอกสารและบันทึก
- การตรวจข้อมูลจากระบบ
- การติดตามรายการตั้งแต่ต้นจนจบ
- การตรวจ ณ สถานที่จริง
- การตรวจประเมินทางไกล
- การตรวจประเมินแบบผสม
ทีมตรวจควรพิจารณาว่าต้องสุ่มตัวอย่างจากรายการใด ช่วงเวลาใด และจำนวนเท่าใด เพื่อให้ได้หลักฐานที่เพียงพอ
6. บทบาทและความรับผิดชอบ
ควรระบุบทบาทของ
- หัวหน้าทีมตรวจประเมิน
- สมาชิกทีมตรวจ
- ผู้เชี่ยวชาญทางเทคนิค
- ผู้นำทาง
- ผู้สังเกตการณ์
- ล่ามหรือผู้แปลภาษา
- ผู้แทนของผู้รับการตรวจ
7. ทรัพยากรและการจัดเตรียม
ตัวอย่างเช่น
- อุปกรณ์ป้องกันส่วนบุคคล
- ห้องประชุม
- สิทธิการเข้าถึงพื้นที่
- สิทธิการเข้าถึงระบบ
- เอกสารที่ต้องเตรียม
- แพลตฟอร์มสำหรับการตรวจทางไกล
- แผนสำรองกรณีระบบขัดข้อง
8. การรักษาความลับและความมั่นคงปลอดภัยของข้อมูล
ควรกำหนดว่า
- ใครสามารถเข้าถึงหลักฐาน
- สามารถถ่ายภาพหรือบันทึกหน้าจอได้หรือไม่
- ส่งไฟล์ผ่านช่องทางใด
- จัดเก็บข้อมูลไว้ที่ใด
- เก็บข้อมูลไว้นานเท่าใด
- ใครเป็นผู้รับผิดชอบควบคุมและทำลายข้อมูล
ตัวอย่างตารางแผนการตรวจประเมินภายใน
ตัวอย่างต่อไปนี้เป็นแผนการตรวจประเมินภายในสำหรับกระบวนการคลังสินค้า
วัตถุประสงค์: ประเมินความสอดคล้อง การนำระบบไปปฏิบัติ และประสิทธิผลของการควบคุมคลังสินค้า
ขอบข่าย: การรับเข้า การบ่งชี้สถานะ การจัดเก็บ การหมุนเวียน การหยิบ และการจัดส่งสินค้า
เกณฑ์: ข้อกำหนดระบบการจัดการ ระเบียบปฏิบัติ และวิธีปฏิบัติงานขององค์กร
วันที่ตรวจ: 15 สิงหาคม 20XX
สถานที่: คลังวัตถุดิบและคลังสินค้าสำเร็จรูป
วิธีการตรวจ: ณ สถานที่จริง
ตารางแผนการตรวจประเมินควรทำให้ทุกฝ่ายเข้าใจว่า
- ตรวจเมื่อใด
- ตรวจสถานที่ใด
- ตรวจเรื่องอะไร
- ใช้วิธีตรวจแบบใด
- ใครเป็นผู้ให้ข้อมูล
- ใครเป็นผู้รับผิดชอบตรวจ
- ต้องใช้เวลาเท่าใด
- มีการประชุมเปิด ประชุมทีม และประชุมปิดเมื่อใด
ต้องพิจารณาความเสี่ยงที่การตรวจสร้างให้ผู้รับการตรวจ
กิจกรรมการตรวจอาจสร้างความเสี่ยงต่อกระบวนการของผู้รับการตรวจ เช่น
- เข้าใกล้เครื่องจักรขณะเดินเครื่อง
- รบกวนผู้ปฏิบัติงานในจุดอันตราย
- นำสิ่งปนเปื้อนเข้าสู่พื้นที่ควบคุม
- เปิดเผยข้อมูลลูกค้าหรือข้อมูลส่วนบุคคล
- เปิดระบบจริงจนกระทบการผลิต
- ใช้อุปกรณ์ถ่ายภาพในพื้นที่ห้ามถ่าย
ทีมตรวจจึงต้องปฏิบัติตามข้อกำหนดด้านความปลอดภัย สุขอนามัย การรักษาความลับ และข้อกำหนดของพื้นที่ตลอดการตรวจประเมิน
แผนการตรวจสามารถเปลี่ยนได้หรือไม่
แผนการตรวจควรมีความยืดหยุ่นและสามารถปรับเปลี่ยนได้เมื่อจำเป็น เช่น
- พบประเด็นสำคัญเพิ่มเติม
- หลักฐานที่มีอยู่ไม่เพียงพอ
- ต้องเพิ่มการสุ่มตัวอย่าง
- ผู้ให้ข้อมูลไม่พร้อม
- ไม่สามารถเข้าถึงพื้นที่หรือระบบได้
- ต้องติดตามหลักฐานไปยังกระบวนการอื่น
เมื่อมีการปรับแผน หัวหน้าทีมตรวจควรแจ้งผู้เกี่ยวข้อง และยังคงรักษาวัตถุประสงค์ของการตรวจไว้
การมอบหมายงานให้ทีมตรวจ
หัวหน้าทีมตรวจควรมอบหมายงานตามความสามารถของสมาชิกแต่ละคน โดยพิจารณา
- กระบวนการที่จะตรวจ
- สถานที่
- ความรู้และประสบการณ์
- ความเป็นกลาง
- ความเป็นอิสระ
- การใช้เวลาและทรัพยากรอย่างเหมาะสม
ตัวอย่างเช่น
- ผู้ตรวจคนที่ 1 ตรวจคลังสินค้าและการสอบกลับ
- ผู้ตรวจคนที่ 2 ตรวจการผลิตและการควบคุมกระบวนการ
- ผู้เชี่ยวชาญทางเทคนิคช่วยตรวจเครื่องจักรหรือระบบเฉพาะทาง
การมอบหมายงานสามารถปรับเปลี่ยนระหว่างการตรวจได้ หากช่วยให้บรรลุวัตถุประสงค์ของการตรวจได้ดีขึ้น
เอกสารที่ทีมตรวจควรเตรียม
ก่อนเริ่มการตรวจ สมาชิกทีมควรรวบรวมและทบทวนข้อมูลที่เกี่ยวข้องกับงานที่ได้รับมอบหมาย
เอกสารหรือสื่อที่อาจใช้ ได้แก่
- รายการคำถามสำหรับการตรวจประเมิน
- รายละเอียดการสุ่มตัวอย่าง
- แผนผังกระบวนการ
- ข้อกำหนดและระเบียบปฏิบัติ
- รายงานการตรวจครั้งก่อน
- ข้อมูลภาพและเสียงที่เกี่ยวข้อง
รายการคำถามเป็นเพียงเครื่องมือช่วยตรวจ ไม่ควรจำกัดทีมตรวจไม่ให้ติดตามหลักฐานหรือประเด็นสำคัญที่พบระหว่างการตรวจ
สรุป
โปรแกรมการตรวจประเมินและแผนการตรวจประเมินมีหน้าที่ต่างกัน
โปรแกรมการตรวจประเมิน ใช้บริหารการตรวจประเมินในภาพรวม โดยกำหนดว่าจะตรวจอะไร เมื่อใด ตรวจบ่อยเพียงใด ใครเป็นผู้ตรวจ และต้องใช้ทรัพยากรอะไร
แผนการตรวจประเมิน ใช้กำหนดรายละเอียดของการตรวจครั้งหนึ่ง เช่น วัตถุประสงค์ ขอบข่าย เกณฑ์ วัน เวลา สถานที่ วิธีตรวจ การสุ่มตัวอย่าง และผู้เกี่ยวข้อง
จากตัวอย่างตารางทั้งสองแบบ จะเห็นว่าโปรแกรมการตรวจประเมินอาจกำหนดให้ตรวจคลังสินค้าทุก 6 เดือน เนื่องจากมีข้อร้องเรียนหรือความไม่สอดคล้องเกิดขึ้น ส่วนแผนการตรวจประเมินจะกำหนดรายละเอียดของการตรวจคลังสินค้าในวันที่กำหนด ตั้งแต่การประชุมเปิด การตรวจแต่ละกิจกรรม การสุ่มตัวอย่าง ไปจนถึงการประชุมปิด
ผู้ทำหน้าที่เป็น ผู้ตรวจติดตามภายใน (Internal Auditor) ควรเข้าใจเอกสารทั้งสองระดับ เพื่อให้สามารถเตรียมการตรวจ ดำเนินการตรวจ รวบรวมหลักฐาน และสรุปผลได้อย่างเป็นระบบ
การตรวจประเมินไม่ควรมุ่งเพียงค้นหาความผิดหรือความไม่สอดคล้อง แต่ควรให้ข้อมูลที่ช่วยให้องค์กรประเมินและปรับปรุงระบบการจัดการได้อย่างต่อเนื่อง
การจัดการการเปลี่ยนแปลงในระบบบริหารหลายมาตรฐาน รวมได้แค่ไหน
การควบคุมเอกสารสารสนเทศในระบบบริหารแบบบูรณาการ — รวมกลไกได้ แต่รวมเกณฑ์ไม่ได้
ตรวจติดตามภายในแบบเดินตามกระบวนการ เทียบกับแบบไล่ตามเลขข้อ
การตรวจประเมินผู้ส่งมอบ (second-party audit) — เมื่อใดควรตรวจ และต้องตกลงอะไรไว้ก่อน
การตรวจประเมินระยะไกลและการใช้เทคโนโลยีในการตรวจ ตามแนวทาง ISO 19011
การวิเคราะห์สาเหตุที่แท้จริงในการปฏิบัติการแก้ไข ตีความอย่างไรให้ใช้ได้จริง