การติดตามผลการตรวจสอบและการปรับปรุงแก้ไขตามข้อเสนอแนะของหน่วยตรวจสอบภายใน จำเป็นต้องแก้ไขและปรับปรุงตามข้อเสนอแนะของผู้ตรวจสอบทุกข้อหรือไม่

4 ส.ค. 2569

ตามหลักปฏิบัติสากลของการตรวจสอบภายใน “หน่วยรับตรวจไม่จำเป็นต้องแก้ไขและปฏิบัติตามข้อเสนอแนะของผู้ตรวจสอบทุกข้อ 100% เสมอไป” แม้ผู้ตรวจสอบจะเสนอแนะแนวทางเพื่ออุดช่องโหว่และลดความเสี่ยงอย่างดีที่สุดแล้ว แต่ในบริบทของการบริหารจัดการจริง อำนาจการตัดสินใจขั้นสุดท้ายจะอยู่ที่ ผู้บริหารหน่วยรับตรวจ (Management) โดยมีหลักเกณฑ์และกระบวนการพิจารณาที่เกี่ยวข้องดังนี้

1. เหตุผลที่หน่วยรับตรวจอาจพิจารณา “ไม่ทำตาม” ข้อเสนอแนะ

• การยอมรับความเสี่ยง (Management Acceptance of Risk): ผู้บริหารอาจประเมินแล้วว่า ความเสี่ยงในประเด็นนั้นอยู่ในระดับที่ยอมรับได้ (Risk Appetite) หรือมองว่าต้นทุน ภาระงาน และทรัพยากรที่ต้องใช้ในการปรับปรุง (Cost of Control) นั้นสูงกว่าความเสียหายที่อาจเกิดขึ้นหากปล่อยความเสี่ยงนี้ไว้

• มีระบบการควบคุมอื่นทดแทน (Compensating Controls): หน่วยงานอาจมีข้อจำกัดไม่สามารถทำตามวิธีที่ผู้ตรวจสอบเสนอแนะได้ แต่มีกระบวนการอื่นหรือเทคโนโลยีอื่นที่สามารถใช้ป้องกันและจัดการกับความเสี่ยงนั้นได้ในระดับที่น่าพอใจเช่นกัน

• ข้อจำกัดเชิงปฏิบัติการ: เช่น มีข้อจำกัดทางเทคโนโลยีของระบบสารสนเทศ งบประมาณไม่เพียงพอ หรือนโยบายที่อยู่นอกเหนือขอบเขตอำนาจของหน่วยงานนั้น ๆ

2. บทบาทและการติดตามผลของผู้ตรวจสอบภายใน เมื่อผู้บริหารหน่วยรับตรวจตัดสินใจ “ไม่แก้ไข” หรือ “ขอปรับเปลี่ยนวิธีแก้ไขเป็นรูปแบบอื่น” ผู้ตรวจสอบภายในไม่ได้มีหน้าที่ไปบังคับหรือสั่งการให้ทำตาม แต่มีกระบวนการที่ต้องดำเนินการตามมาตรฐานดังนี้

• บันทึกเหตุผลเป็นลายลักษณ์อักษร: ให้หน่วยรับตรวจทำบันทึกชี้แจงเหตุผลและข้อจำกัดที่ไม่สามารถปฏิบัติตามข้อเสนอแนะได้ พร้อมระบุความเสี่ยงที่ผู้บริหารยินยอมรับได้

• ประเมินระดับความเสี่ยงที่คงเหลือ (Residual Risk): ผู้ตรวจสอบมีหน้าที่ประเมินว่า เหตุผลที่ผู้บริหารหน่วยรับตรวจชี้แจงมานั้น สมเหตุสมผลหรือไม่ และระดับความเสี่ยงที่ผู้บริหารยอมรับนั้น “อยู่ในระดับที่องค์กรโดยรวมยอมรับได้จริงหรือไม่”

• การยกระดับการรายงาน (Escalation): หากประเมินแล้วว่าการไม่แก้ไขนั้น ก่อให้เกิดความเสี่ยงสูงที่อาจส่งผลกระทบรุนแรงต่อองค์กรและผิดต่อกฎระเบียบสำคัญ (Unacceptable Risk) ผู้ตรวจสอบมีหน้าที่ต้องรายงานประเด็นนี้ให้ ผู้บริหารระดับสูงสุด หรือ คณะกรรมการตรวจสอบ (Audit Committee) ทราบ เพื่อให้เป็นผู้พิจารณาชี้ขาด ตัดสินใจ และรับผิดชอบต่อความเสี่ยงนั้นในระดับนโยบายต่อไป

สรุปคือ: ข้อเสนอแนะของผู้ตรวจสอบเปรียบเสมือน “เข็มทิศและป้ายเตือน” ชี้ทางที่ปลอดภัย แต่คนควบคุมพวงมาลัยคือ “ผู้บริหารหน่วยปฏิบัติงาน” หากตัดสินใจจะไม่หลบหลุมหลบภัยตามที่เตือนต้องเป็นคนลงนามรับผิดชอบยอมรับความเสี่ยงนั้นเอง และตรวจสอบภายในมีหน้าที่สะท้อนข้อเท็จจริงนี้ให้ฝ่ายกำกับดูแลรับทราบ