เว็บไซต์คืออะไร?

Harper&Hazel, Pak Kret (2026)

11/07/2026

“คำว่าความโปร่งใส ตรวจสอบได้” หน้าตามันเป็นยังไงกันนะ?

1️⃣ เวลาองค์กรประกาศว่า “เราทำงานด้วยความโปร่งใสและตรวจสอบได้” ฟังแล้วก็ดูดี มีธรรมาภิบาลจนแทบเห็นแสงเรืองรองออกมาจากรายงานประจำปีกันเลยทีเดียว
แต่คำถามคือ…โปร่งใสยังไง? โปร่งใสกี่โมง? ตรวจสอบจากอะไร? ใครเป็นคนตรวจสอบ?

ตามนิยามแบบสากลโลก... Transparency International ความโปร่งใส คือ การเปิดเผยข้อมูล กฎเกณฑ์ แผนงาน กระบวนการ และการกระทำอย่างชัดเจน โดยผู้มีอำนาจควรทำงานในลักษณะที่มองเห็นได้ คาดการณ์ได้ และเข้าใจได้ เพื่อให้บุคคลอื่นรับรู้ว่าเกิดอะไรขึ้นและสามารถเรียกร้องความรับผิดชอบได้

พูดให้เป็นภาษาคนทำงานก็คือ ต้องสามารถตอบคำถามได้ว่า ใครทำอะไร ทำไปทำไม ใช้วิธีไหน ใช้เงินเท่าไร ใครอนุมัติ และผลออกมาเป็นอย่างไร

2️⃣ แต่ “ความโปร่งใส” กับ “การตรวจสอบได้” ไม่ใช่คำเดียวกันเสียทีเดียว

ความโปร่งใส คือ การทำให้ข้อมูลและกระบวนการมองเห็นและเข้าใจได้

ส่วนการตรวจสอบได้ คือ เมื่อมีคนตั้งคำถาม องค์กรต้องสามารถนำหลักฐานที่น่าเชื่อถือมายืนยันได้ว่า สิ่งที่พูดกับสิ่งที่ทำเป็นเรื่องเดียวกัน

ตัวอย่างเช่น ฝ่ายจัดซื้อประกาศว่าบริษัทคัดเลือกผู้ขายอย่างเป็นธรรม นี่คือลมปาก ที่ใครๆ็พูดได้ แต่ถ้าจะให้ตรวจสอบได้ ต้องมีหลักเกณฑ์คัดเลือก รายชื่อผู้เสนอราคา ใบเสนอราคา ตารางเปรียบเทียบ ผู้อนุมัติ เหตุผลในการตัดสินใจ และประวัติการแก้ไขข้อมูล

ไม่ใช่พอผู้ตรวจสอบถามแล้วตอบว่า “ตอนนั้นคุยกันในไลน์ครับ” จากนั้นผู้อนุมัติก็ออกจากกลุ่มไปแล้ว ส่วนโทรศัพท์เครื่องเก่าก็เพิ่งเปลี่ยนเมื่ออาทิตย์ก่อน เรียบร้อย…โปร่งใสยังไงก่อนนนน

3️⃣ เพราะฉะนั้น หน้าตาของกระบวนการที่โปร่งใสและตรวจสอบได้ ควรมีองค์ประกอบสำคัญอย่างน้อยดังนี้

-มีกฎเกณฑ์และขั้นตอนที่ชัดเจน คนทำงานรู้ว่าต้องทำอะไร ใครมีอำนาจอนุมัติ และใช้เกณฑ์อะไรตัดสินใจ

-มีการแบ่งแยกหน้าที่อย่างเหมาะสม คนขอซื้อ คนเลือกผู้ขาย คนรับสินค้า และคนอนุมัติจ่ายเงิน ไม่ควรเป็นคนเดียวกันหมด มิฉะนั้นระบบควบคุมจะเหลือเพียงการตรวจงานของตัวเอง...เข้าข่าย ชงเอง กินเอง

- มีหลักฐานตลอดเส้นทาง ตั้งแต่เริ่มรายการ การพิจารณา การอนุมัติ การแก้ไข จนถึงการรายงานผล หรือที่มักเรียกว่า audit trail

-ข้อมูลต้องครบถ้วน ถูกต้อง ทันเวลา และเข้าถึงได้โดยผู้มีสิทธิเท่านั้น

-ต้องมีผู้รับผิดชอบ เมื่อเกิดข้อผิดพลาดต้องรู้ว่าใครมีหน้าที่ชี้แจง แก้ไข และป้องกันไม่ให้เกิดซ้ำ

4️⃣ ลองดูตัวอย่างการเบิกค่าใช้จ่ายของพนักงาน

กระบวนการที่ไม่โปร่งใสอาจมีเพียงยอดเงินกับลายเซ็นอนุมัติ แต่ไม่ระบุวัตถุประสงค์ ไม่มีใบเสร็จ และไม่มีหลักเกณฑ์ว่าอะไรเบิกได้บ้าง ถึงหัวหน้าจะอนุมัติแล้วก็ไม่ได้แปลว่ารายการนั้นถูกต้อง เพราะผู้อนุมัติอาจไม่มีข้อมูลเพียงพอในการพิจารณา

ส่วนกระบวนการที่โปร่งใสและตรวจสอบได้ จะกำหนดประเภทค่าใช้จ่าย วงเงิน เอกสารประกอบ ลำดับการอนุมัติ และวิธีจัดการรายการผิดปกติไว้อย่างชัดเจน ระบบบันทึกว่าใครยื่น ใครแก้ไข ใครอนุมัติ และอนุมัติเมื่อใด ผู้ตรวจสอบจึงสามารถย้อนกลับจากยอดในบัญชีไปถึงเหตุผลทางธุรกิจและหลักฐานต้นทางได้

5️⃣ ตรงนี้เองที่การควบคุมภายในเข้ามามีบทบาท เพราะหน้าที่ของมันไม่ใช่สร้างเอกสารให้มากที่สุด แต่คือทำให้การทำงานบรรลุวัตถุประสงค์ ลดความเสี่ยง และสร้างข้อมูลที่เชื่อถือได้ COSO ระบุว่าการควบคุมภายในที่มีประสิทธิผลช่วยให้องค์กรดำเนินงานด้วยความเชื่อมั่นและรักษาความน่าเชื่อถือของข้อมูลประเภทต่าง ๆ ได้
ขณะที่การตรวจสอบภายในมีหน้าที่ประเมินอย่างเป็นอิสระว่า การควบคุมเหล่านั้นได้รับการออกแบบเหมาะสมและทำงานจริงหรือไม่ มาตรฐานการตรวจสอบภายในสากลของ IIA จึงให้ความสำคัญกับการวางแผน การรวบรวมหลักฐาน การสรุปผล การสื่อสาร และการติดตามแผนแก้ไข

6️⃣ อย่างไรก็ตาม ความโปร่งใสไม่ได้หมายความว่าต้องเปิดเผยข้อมูลทุกอย่างให้ทุกคนเห็น ข้อมูลส่วนบุคคล ความลับทางการค้า หรือข้อมูลด้านความมั่นคงยังต้องได้รับการคุ้มครอง ประเด็นสำคัญคือ องค์กรต้องกำหนดให้ชัดว่าใครเข้าถึงข้อมูลอะไรได้ เพราะเหตุใด และยังต้องมีหลักฐานให้ผู้มีอำนาจตรวจสอบได้ตามความเหมาะสม

สรุปแล้ว “โปร่งใส ตรวจสอบได้” คือการออกแบบกระบวนการให้ มองเห็น เข้าใจ ย้อนรอย พิสูจน์ และระบุผู้รับผิดชอบได้

ถ้ากระบวนการหนึ่งอธิบายไม่ได้ว่าใครทำอะไร ถามหาเหตุผลแล้วไม่มีคำตอบ และค้นหาหลักฐานแล้วทุกคนบอกว่า “น่าจะเคยมี” กระบวนการนั้นอาจยังห่างไกลจากคำว่าโปร่งใสอยู่หลายปีแสง

"เพราะความโปร่งใสที่ไม่มีหลักฐาน ก็เป็นได้แค่เรื่องเล่าที่องค์กรเล่าเกี่ยวกับตัวเองเท่านั้น"

#ตรวจสอบภายใน #การตรวจสอบภายใน #การควบคุมภายใน #ความโปร่งใส #ตรวจสอบได้ #ธรรมาภิบาล #บริหารความเสี่ยง #ต่อต้านทุจริต #นักตรวจสอบภายใน

10/07/2026

IIA ปรับ Three Lines Model ใหม่ แล้วทำไมผู้ตรวจสอบภายในต้องสนใจ?

The Institute of Internal Auditors หรือ IIA ออก Three Lines Model ฉบับปรับปรุงในปี 2026 เพื่อใช้แทน Position Paper ฉบับเดิม โดยยังเก็บโครงสร้างสามระดับเอาไว้ แต่ขยายเรื่องการให้ความเชื่อมั่น การให้คำปรึกษา การประสานงาน และการใช้ผลงานของผู้ให้ความเชื่อมั่นรายอื่นให้ชัดขึ้น

โมเดลนี้กำลังตอบคำถามสำคัญมากว่า เมื่อองค์กรเกิดความเสียหายจากความเสี่ยงหรือระบบควบคุมที่ล้มเหลว ใครกันแน่ที่ต้องรับผิดชอบ ใครมีหน้าที่ติดตาม และใครต้องประเมินอย่างเป็นอิสระ

เพราะถ้าแบ่งบทบาทไม่ชัด สุดท้ายทุกคนจะพร้อมใจกันชี้ไปที่ Internal Audit ราวกับผู้ตรวจสอบภายในเป็นหน่วยกู้ภัยสารพัดประโยชน์ ตั้งแต่ดับไฟ ตรวจถังดับเพลิง เขียนคู่มือ ไปจนถึงรับผิดชอบว่าไฟไหม้ได้อย่างไร

แล้วมันใช่หน้าที่มั้ยครับเนี่ย ???

คำตอบคือ ไม่ใช่ทั้งหมดครับ และนี่แหละคือเหตุผลที่ Three Lines Model สำคัญต่ออาชีพผู้ตรวจสอบภายในโดยตรงครับ

1️⃣ First Line คือคนทำงาน และต้องเป็นเจ้าของความเสี่ยงด้วย

First Line คือผู้บริหารและหน่วยงานปฏิบัติงาน เช่น ฝ่ายขาย ฝ่ายจัดซื้อ ฝ่ายผลิต ฝ่ายบัญชี ฝ่ายบุคคล หรือฝ่าย IT คนกลุ่มนี้เป็นเจ้าของกระบวนการ เจ้าของความเสี่ยง และเจ้าของการควบคุมในงานประจำ

ภาษาชาวบ้านคือ ใครทำงานนั้น คนนั้นต้องดูแลความเสี่ยงของงานตัวเอง

ฝ่ายจัดซื้อต้องควบคุมกระบวนการจัดซื้อ ฝ่ายบัญชีต้องควบคุมการบันทึกบัญชี ฝ่ายคลังสินค้าต้องควบคุมการรับและจ่ายสินค้า จะให้ Internal Audit มาคอยยืนเฝ้าทุกใบเบิกก็คงไม่ไหว เพราะถ้าต้องทำขนาดนั้น เปลี่ยนชื่อตำแหน่งเป็น “ฝ่ายตามเช็ดทุกอย่างภายในองค์กร” ไปเลยจะตรงกว่า

ปัญหาที่พบได้ในหลายองค์กรคือ เจ้าของงานมองการควบคุมภายในเป็นงานของ Internal Audit พอผู้ตรวจสอบถามว่าควบคุมเรื่องนี้อย่างไร กลับตอบว่า “ไม่ทราบครับ ต้องถามผู้ตรวจสอบ”

อืมมม…

ถ้าคนขับรถไม่รู้ว่าเบรกอยู่ตรงไหน แล้วบอกให้ไปถามช่างตรวจสภาพ แบบนี้คงเดินทางกันสนุกน่าดูครับ

ข้อเท็จจริงตามโมเดลคือ First Line ต้องออกแบบ นำไปใช้ และปฏิบัติตามการควบคุม รวมถึงติดตามผลและทำ Control Self-assessment ส่วน Internal Audit มีหน้าที่ประเมินว่าการจัดการเหล่านั้นเพียงพอและมีประสิทธิผลหรือไม่ ไม่ได้รับมอบรถมาขับแทน

2️⃣Second Line ไม่ใช่ Internal Audit นะ

Second Line คือบทบาทที่ให้ความเชี่ยวชาญ สนับสนุน ติดตาม และท้าทาย First Line ในเรื่องเฉพาะด้าน ตัวอย่างเช่น Risk Management, Compliance, Information Security, Data Privacy, Quality, Safety และ Fraud Risk Management

จุดสำคัญคือ Second Line ยังอยู่ภายใต้ความรับผิดชอบของฝ่ายบริหาร

แม้บางหน่วยงานจะแยกจากฝ่ายปฏิบัติการ มีชื่อฝ่ายดูขึงขัง หรือส่งรายงานให้คณะกรรมการบางชุด ก็ไม่ได้หมายความว่าจะเป็นอิสระเท่ากับ Internal Audit โดยอัตโนมัติ

ตัวอย่างเช่น Compliance อาจกำหนดแนวทาง ให้คำแนะนำ ติดตามการปฏิบัติตามกฎหมาย และรายงานประเด็นที่พบ แต่เจ้าของกระบวนการยังต้องรับผิดชอบการปฏิบัติตามกฎหมายนั้นเอง

ปัญหาเกิดขึ้นเมื่อองค์กรจับ Risk Management, Compliance, Internal Control และ Internal Audit ใส่ตะกร้าเดียวกัน แล้วเรียกรวมว่า “ฝ่ายตรวจสอบ”

เรียนตามตรงนะครับ แบบนี้ไม่ได้ทำให้องค์กรมีการกำกับดูแลที่เข้มแข็งขึ้น มันเพียงทำให้ผังองค์กรดูประหยัดช่องเท่านั้นเอง

เมื่อบทบาทปนกัน คนทำงานจะเริ่มไม่แน่ใจว่าใครเป็นคนกำหนดระบบ ใครติดตามระบบ และใครประเมินระบบอย่างเป็นอิสระ สุดท้ายต่างคนต่างถือไฟฉาย แต่ไม่มีใครแน่ใจว่าใครต้องเปิดไฟ...

3️⃣Internal Audit คือ Third Line แต่ไม่ได้แปลว่ามาทีหลังตอนงานพินาศไปแล้ว

Internal Audit เป็น Third Line ทำหน้าที่ให้ความเชื่อมั่นและคำปรึกษาอย่างเป็นอิสระและเที่ยงธรรม ครอบคลุม Governance, Risk Management, Compliance และ Internal Control

คำว่า Third ไม่ได้หมายความว่าต้องนั่งรอให้ First Line ทำพัง Second Lineตามแก้ไม่สำเร็จ แล้วจึงค่อยเดินออกมาพร้อมแฟ้มหนาๆนะครับ

ทั้งสามบทบาททำงานพร้อมกัน เพียงแต่มีหน้าที่และระดับความเป็นอิสระต่างกัน

จุดแข็งของ Internal Audit คือการมองภาพรวมทั้งองค์กร สามารถประเมินได้ทั้ง First Line และ Second Line รวมถึงพิจารณาว่าระบบทั้งหมดเชื่อมต่อกันจริงหรือไม่

IIA ระบุว่า Internal Audit เป็นผู้ให้ความเชื่อมั่นภายในขั้นสุดท้าย เพราะคณะกรรมการไม่ได้ต้องการรู้เพียงว่าการควบคุมแต่ละจุดมีอยู่หรือไม่ แต่ต้องการรู้ว่าระบบธรรมาภิบาล ความเสี่ยง การปฏิบัติตามกฎ และการควบคุมทั้งหมดทำงานร่วมกันได้จริงหรือเปล่า

นี่ทำให้อาชีพ Internal Audit ต้องขยับจากการตรวจเอกสารย้อนหลัง ไปสู่การเข้าใจกลยุทธ์ วิเคราะห์ความเสี่ยง ประเมินวัฒนธรรมองค์กร และสื่อสารภาพรวมต่อคณะกรรมการ

ถ้ายังตรวจเพียงว่าลายเซ็นครบสามช่องหรือไม่ โดยไม่ถามว่ารายการนั้นสมเหตุสมผลหรือช่วยควบคุมความเสี่ยงอะไร ก็อาจได้กระดาษที่สมบูรณ์แบบ พร้อมกับความเสียหายกวักมือเรียกอยู่ครับ

4️⃣ให้คำปรึกษาได้ แต่อย่ามือไวไปเป็นผู้บริหารเสียเอง

โมเดลฉบับปรับปรุงยืนยันว่า Internal Audit ให้ Advisory Services ได้ เช่น ให้ความเห็นต่อร่างนโยบาย แนะนำ Control Design เข้าร่วมโครงการในฐานะที่ปรึกษา หรือช่วยองค์กรจัดทำ Assurance Map

ดังนั้น ความคิดที่ว่า “ผู้ตรวจสอบห้ามแนะนำอะไร เพราะต้องเป็นอิสระ” ถือว่าไม่เหมาะสมนะครับ

ความเป็นอิสระไม่ได้แปลว่าต้องทำตัวเหมือนตำรวจที่หลบอยู่หลังป้อม ไม่พูดกับใคร ไม่ร่วมประชุม และโผล่มาอีกทีพร้อม Audit Report

แต่เส้นแบ่งสำคัญคือ Internal Audit ให้ข้อมูล มุมมอง และทางเลือกได้ ทว่าต้องไม่ตัดสินใจแทนฝ่ายบริหาร ไม่เป็นเจ้าของความเสี่ยง ไม่อนุมัติรายการ และไม่รับผิดชอบดำเนินการควบคุม

พูดง่ายๆ คือ ช่วยอ่านแผนที่ได้ เตือนว่าข้างหน้ามีเหวได้ แต่ไม่ควรแย่งพวงมาลัยมาขับเอง แล้วอีกหกเดือนกลับมาตรวจว่าตัวเองขับดีหรือไม่

แบบนั้นไม่ได้เรียกความเป็นอิสระครับ เรียกตรวจข้อสอบที่ตัวเองเป็นคนออกและเป็นคนตอบ

5️⃣ถ้า Internal Audit ต้องทำ Second Line ด้วย องค์กรต้องยอมรับความจริงบางอย่างก่อน

IIA ไม่ได้ปฏิเสธความเป็นจริงว่าองค์กรขนาดเล็กหรือองค์กรที่มีทรัพยากรจำกัดอาจต้องให้ CAE หรือ Internal Audit รับผิดชอบงานบางส่วนของ Second Line

การซ้อนบทบาทไม่ใช่ความผิดโดยอัตโนมัติ แต่ก่อให้เกิด Self-review Threat อย่างชัดเจน โดยเฉพาะเมื่อคนหรือหน่วยงานเดียวกันออกแบบ ติดตาม และกลับมาประเมินระบบนั้นเอง

มาตรการที่ IIA เสนอ ได้แก่ การบันทึกบทบาทไว้ใน Internal Audit Charter ขออนุมัติจากคณะกรรมการ แยกงานที่ปรึกษาออกจากงานให้ความเชื่อมั่น เปิดเผยผลกระทบต่อ Objectivity และให้บุคคลหรือหน่วยงานอิสระรายอื่นตรวจพื้นที่ที่ Internal Audit รับผิดชอบอยู่

ประเด็นนี้ต้องพูดตรงๆ ว่า การเขียนคำว่า “มีมาตรการป้องกัน” ลงในเอกสารไม่ได้เสกความเป็นอิสระกลับมาทันที

ถ้า Internal Audit เป็นเจ้าของระบบ Compliance แล้วกลับมารับรองว่าระบบ Compliance มีประสิทธิผล ต่อให้เปลี่ยนสีปกรายงานอีกสามรอบ กลิ่น Self-review ก็ยังลอยโชยมาอยู่ครับ

แต่ก็นั่นแหละ ทฤษฏีก็คือทฤษฏีครับ ถ้า CEO บอกให้ทำ ถ้าไม่ทำคุณก็ออกไป เดี๋ยวผมหาคนใหม่มาทำก็ได้ ... คุณจะทำมั้ยล่ะ!

6️⃣จุดที่น่าสนใจที่สุดคือ Internal Audit ต้องประสานงาน แต่ห้ามกลายเป็นเจ้าของทุกอย่าง

ฉบับปี 2026 ให้ความสำคัญกับ Coordination, Reliance และ Integrated Assurance มากขึ้น Internal Audit สามารถประสานแผนกับ Second Line ผู้สอบบัญชี และผู้ให้ความเชื่อมั่นรายอื่น เพื่อช่วยลดงานซ้ำ ค้นหาพื้นที่ที่ไม่มีใครตรวจ และทำให้คณะกรรมการเห็นภาพความเสี่ยงทั้งองค์กร

เครื่องมือที่ใช้ได้ เช่น Assurance Map, Risk Taxonomy ร่วมกัน และการประสานแผนตรวจสอบ

ข้อดีคือหน่วยงานไม่ต้องถูกถามเรื่องเดิมจากคนห้ากลุ่มภายในเดือนเดียว ขณะที่ความเสี่ยงอีกสิบเรื่องไม่มีใครแตะ เพราะทุกฝ่ายกำลังรุมตรวจ petty cash อย่างสามัคคี

แต่การเป็นผู้ประสาน Integrated Assurance ไม่ได้หมายความว่า Internal Audit ต้องรับผิดชอบงานของทุกฝ่าย ผู้ตรวจสอบยังต้องประเมินคุณภาพงานก่อนตัดสินใจว่าจะพึ่งพาผลงานนั้นได้มากน้อยเพียงใด และสามารถปฏิเสธการใช้ผลงานที่ไม่ผ่านเกณฑ์ได้

สรุปคือ Three Lines Model ไม่ควรถูกใช้เป็นเพียงภาพสามช่องในคู่มือธรรมาภิบาล แต่ควรใช้บังคับให้องค์กรตอบคำถามให้ได้ว่า ใครเป็นเจ้าของความเสี่ยง ใครติดตาม และใครให้ความเชื่อมั่นอย่างเป็นอิสระ

First Line ต้องทำและควบคุมงาน Second Line ต้องสนับสนุน ติดตาม และท้าทาย ส่วน Internal Audit ต้องประเมินภาพรวมโดยไม่เข้าไปรับผิดชอบแทนผู้บริหาร

ถ้าแบ่งบทบาทชัด ทั้งสามฝ่ายจะช่วยกันสร้างและปกป้องคุณค่าให้องค์กรได้ แต่ถ้าแบ่งไม่ชัด ความสับสนในองค์กรจะตามมาครับ พาลจะทะเลาะว่าเป็นหน้าที่ใคร และจะเกลียดขี้หน้ากันเปล่าๆ...

#ผู้ตรวจสอบภายใน #ตรวจสอบภายใน #ธรรมาภิบาล #การบริหารความเสี่ยง #การควบคุมภายใน #องค์กร #บริหารองค์กร

ที่อยู่

Pak Kret
11120