การบริการให้คำปรึกษา

1. วงจรขั้นตอนการดำเนินงาน (Standard Operational Steps)

• ตรวจสอบว่ามีเงื่อนไขให้ส่งมอบทรัพย์สินคืนแก่ผู้ให้ทุนหรือไม่
• หากสัญญาระบุว่า “ให้ตกเป็นกรรมสิทธิ์ของมหาวิทยาลัย/ผู้รับทุน” หรือ “แหล่งทุนไม่มีเงื่อนไขเรียกคืน” ให้รวบรวมเอกสารสัญญาและรายงานปิดโครงการ (Final Report) ไว้เป็นหลักฐานประกอบการโอนกรรมสิทธิ์

• รวบรวมรายการครุภัณฑ์ อุปกรณ์เฉพาะทาง และซอฟต์แวร์ลิขสิทธิ์ทั้งหมดที่จัดซื้อภายใต้เงินทุนโครงการ
• ตรวจนับสภาพจริง (Physical Inspection) ตรวจสอบความสมบูรณ์ พร้อมใช้งาน และระบุ Serial Number / Model / ตำแหน่งที่ติดตั้งใช้งานจริง (Location/Room No.)
• จัดทำ “บัญชีรายละเอียดครุภัณฑ์โครงการวิจัยที่ประสงค์ส่งมอบเข้ามหาวิทยาลัย” แนบพร้อมภาพถ่ายปัจจุบัน

• สำเนาใบสั่งซื้อสั่งจ้าง (PO) / ใบส่งมอบงาน / ใบเสร็จรับเงิน / ใบกำกับภาษี
• เอกสารการตรวจรับพัสดุเดิมของโครงการ
• คู่มือการใช้งาน / ใบรับประกัน (Warranty Card) / สัญญาบำรุงรักษา (ถ้ามี)

• บันทึกข้อมูลทรัพย์สินเข้าสู่ ระบบทะเบียนทรัพย์สินถาวรของมหาวิทยาลัย โดยระบุประเภทพัสดุ แหล่งเงินที่ได้มา (เงินอุดหนุนการวิจัย) และมูลค่าต้นทุนเริ่มแรก (Historical Cost)
• ออกรหัสเลขที่ครุภัณฑ์ของมหาวิทยาลัย และ ติดแถบรหัส/ป้ายครุภัณฑ์ (Asset Tag / Barcode / QR Code) บนตัวอุปกรณ์จริงทันที

• หัวหน้าโครงการวิจัยทำบันทึกข้อความส่งมอบการครอบครองพัสดุให้แก่หัวหน้าหน่วยงาน (เช่น หัวหน้าภาควิชา / คณบดี / ผู้อำนวยการสถาบัน)
• กำหนด “ผู้รับผิดชอบดูแลรักษาพัสดุ (Custodian)” หรือห้องปฏิบัติการกลางที่จะนำอุปกรณ์ดังกล่าวไปใช้ประโยชน์ต่อยอดทางการศึกษาหรืองานวิจัยส่วนรวมอย่างชัดเจน

2. จุดเสี่ยงและข้อตรวจพบยอดฮิตที่ผู้ตรวจสอบภายในมักพบ (Common Audit Findings)

3. คำแนะนำสรุปสำหรับหน่วยงาน (Auditor's Final Recommendation)

• จัดทำเป็น "ใบส่งมอบ-รับมอบทรัพย์สินโครงการวิจัย" ที่เป็นทางการ โดยมีลายมือชื่อครบทั้ง 3 ฝ่าย ได้แก่ หัวหน้าโครงการวิจัย (ผู้ส่งมอบ), เจ้าหน้าที่พัสดุ (ผู้ตรวจสอบและขึ้นทะเบียน) และ หัวหน้าหน่วยงาน/ผู้รับมอบดูแล (Custodian)
• เก็บสำเนาหลักฐานไว้ที่หน่วยงานอย่างน้อย 5–10 ปี เผื่อกรณีแหล่งทุนภายนอกหรือผู้สอบบัญชีภายนอกขอเรียกดูย้อนหลัง

1. ความเสี่ยงด้านความถูกต้องของข้อมูลเปลี่ยนไปอย่างไร? (Evolving Data Integrity Risks)

• Data Ingestion & Pipeline Failure: การดึงข้อมูลจากหลายแหล่ง (เช่น ระบบย่อย ข้ามไปยัง Data Lake/Cloud Platform) อาจเกิดข้อผิดพลาดในการ Transform หรือ Sync ข้อมูลตกหล่น (Data Incompleteness) หรือข้อมูลซ้ำซ้อน (Duplication)
• Shadow IT & Data Silos: หน่วยงานอาจนำข้อมูลไปประมวลผลต่อบน Cloud Application ภายนอกหรือ Google Sheets/Excel ที่ไม่ได้ควบคุม ทำให้เกิด "ข้อมูลคนละชุด (Single Source of Truth หายไป)"
• Unauthorized Direct Data Modification: ความเสี่ยงจากการแก้ไขข้อมูลโดยตรงในระดับ Database หรือ Backend ผ่าน API โดยไม่มี System Log บันทึกไว้
• Data Processing Layer Issues: ในสถาปัตยกรรมข้อมูลสมัยใหม่ (เช่น Medallion Architecture: Bronze  Silver  Gold) หาก Business Logic หรือ Data Cleansing ในแต่ละ Layer ผิดพลาด จะส่งผลกระทบเป็นลูกโซ่ต่อรายงานและ Dashboard ของผู้บริหาร

2. การควบคุมภายในเดิมยังครอบคลุมไหม? (Control Coverage & Gaps)

• การตรวจดูเอกสาร (Documentary Check) ใช้ไม่ได้ผล: การดูตราประทับหรือลายเซ็นกระดาษไม่สามารถยืนยันความถูกต้องของชุดข้อมูลในระบบ Cloud ได้
• กรอบความรับผิดชอบเปลี่ยน (Shared Responsibility Model): หน่วยงานมักเข้าใจผิดว่า “ย้ายขึ้น Cloud แล้ว ผู้ให้บริการ (Cloud Provider) ดูแลความปลอดภัยและความถูกต้องทั้งหมด” แต่ในความเป็นจริง Cloud Provider ดูแลเฉพาะโครงสร้างพื้นฐาน (Security OF the Cloud) ส่วน ความถูกต้อง การเข้าถึง และการตั้งค่าข้อมูล (Security & Governance IN the Cloud) ยังคงเป็นความรับผิดชอบของหน่วยงาน
• การแบ่งแยกหน้าที่แบบกายภาพหมดไป: การแบ่งงานที่เคยแยกโต๊ะ/แยกแฟ้ม ต้องเปลี่ยนมาเป็นการควบคุมผ่าน Role-Based Access Control (RBAC) และ Least Privilege Principle ในระบบดิจิทัล

3. ผู้ตรวจสอบภายในต้องทดสอบการควบคุมอะไรเพิ่มขึ้น? (Audit Testing Focus)

เมื่อมีข้อจำกัดด้านอัตรากำลังจนไม่สามารถแยกหน้าที่ระหว่าง “ผู้ขอซื้อ” กับ “ผู้ตรวจรับพัสดุ” ได้อย่างสมบูรณ์ แนวทางการวาง การควบคุมทดแทน (Compensating Control) ที่ผู้ตรวจสอบภายในและมาตรฐานการควบคุมภายในยอมรับได้ มีดังนี้

1. กำหนดเพดานวงเงินและเงื่อนไขที่อนุญาต 

• จำกัดให้ทำได้เฉพาะการจัดซื้อจัดจ้าง วงเงินเล็กน้อย (เช่น ไม่เกิน 5,000–10,000 บาท) หรือกรณีจำเป็นเร่งด่วนเท่านั้น

• หากเป็นพัสดุที่มีมูลค่าสูง ครุภัณฑ์ หรือมีความเสี่ยงสูง ต้อง กำหนดให้มีกรรมการตรวจรับจากหน่วยงานอื่นหรือแต่งตั้งเป็นรูปแบบคณะกรรมการ

2. การกำกับดูแลและสอบทานโดยผู้บังคับบัญชา 

• ผู้บังคับบัญชาชั้นเหนือขึ้นไป (เช่น หัวหน้าภาควิชา / คณบดี / ผู้อำนวยการ) ต้องลงนามสอบทานและอนุมัติทั้งในขั้นตอนขอซื้อและหลังการตรวจรับ

• จัดทำรายงานสรุปรายการจัดซื้อจัดจ้างประจำเดือน เสนอผู้บริหารเพื่อสอบทานความผิดปกติหรือความถี่ในการสั่งซื้อ

3. การบันทึกหลักฐานเชิงประจักษ์ 

• บังคับให้แนบภาพถ่ายพัสดุที่มี Timestamp / แสดงจุดติดตั้งใช้งานจริง และบันทึกหมายเลขครุภัณฑ์/Serial Number ไว้อย่างชัดเจน

• กรณีเป็นงานจ้างบริการหรืองานซ่อม ต้องมีภาพถ่ายเปรียบเทียบก่อน-หลัง หรือมีเอกสารส่งมอบงาน ที่ลงนามโดยผู้ใช้บริการปลายทาง

4. การดึงหน่วยงานกลางหรือบุคคลภายนอกเข้ามาเป็นพยาน 

• ให้หน่วยพัสดุกลาง คลังกลาง หรือเจ้าหน้าที่ธุรการส่วนกลางเป็นผู้ลงทะเบียนรับของเบื้องต้นก่อนส่งมอบให้ผู้ขอซื้อ

• มีบุคคลที่สาม (เช่น เจ้าหน้าที่การเงิน หรือผู้ร่วมงานอื่น) ร่วมลงลายมือชื่อเป็น "พยานการรับมอบ" ในเอกสารตรวจรับ

5. การสุ่มตรวจหลังการจ่ายเงิน

• หัวหน้าหน่วยงานหรือผู้รับผิดชอบงานพัสดุทำการสุ่มตรวจนับพัสดุจริงเป็นระยะ เพื่อยืนยันการมีอยู่จริงของพัสดุตามเอกสารเบิกจ่าย

ข้อสรุปที่ผู้ตรวจสอบภายในพิจารณา: การควบคุมต้องทำให้เกิด Audit Trail ที่ชัดเจน ตรวจสอบย้อนหลังได้ และลดโอกาสการสั่งซื้อพัสดุที่ไม่มีอยู่จริงหรือการใช้ประโยชน์ส่วนตน โดยต้องมีลายลักษณ์อักษรบันทึกเหตุผลความจำเป็นเรื่องข้อจำกัดด้านบุคลากรไว้ในแนวปฏิบัติของหน่วยงานด้วย

สามารถติดตามสถานะและรับคำปรึกษาจากหน่วยตรวจสอบภายใน มจธ. ได้ที่หน้าเว็บไซต์ แท็บ การบริการให้คำปรึกษา โดยมีเงื่อนไข สามารถติดตามและสอบถามสถานะคำขอได้โดยตรงผ่าน ช่องทาง Chat ในช่วงเวลาทำการ และคำตอบ/คำปรึกษาหน้าเพจ การบริการให้คำปรึกษา ของหน่วยงานตรวจสอบภายใน ระยะเวลาการตอบกลับจะได้รับคำตอบ/ข้อเสนอแนะเบื้องต้น ภายในวันทำการถัดไป นับจากวันที่ส่งคำขอ

สามารถขอคำปรึกษาได้

หน่วยตรวจสอบภายใน มจธ. มีบทบาทหน้าที่หลักประการหนึ่งคือ "งานบริการให้คำปรึกษา (Consulting Services)" นอกเหนือจากงานตรวจสอบปฏิบัติตามระเบียบ (Compliance Audit) โดยผู้ตรวจสอบภายในสามารถเข้ามามีส่วนร่วมในฐานะ หุ้นส่วนเชิงยุทธศาสตร์ (Strategic Partner) หรือผู้สังเกตการณ์ เพื่อให้คำปรึกษาแนะนำเกี่ยวกับการออกแบบระบบการควบคุมภายใน การบริหารความเสี่ยง

ขั้นตอนและแนวทางการขอคำปรึกษาล่วงหน้า

เพื่อให้การขอคำปรึกษาเป็นไปอย่างมีประสิทธิภาพ ควรดำเนินการตามขั้นตอนดังนี้

1. การเตรียมข้อมูลเบื้องต้นก่อนเข้าพบ/ส่งหนังสือ

• สรุปวัตถุประสงค์และภาพรวมโครงการ/กระบวนงาน: วัตถุประสงค์คืออะไร งบประมาณเท่าใด ใครเป็นผู้รับผิดชอบหลัก

• ร่างกระบวนการทำงาน (Draft Workflow / SOP) หรือร่างเอกสาร: ผังแสดงขั้นตอนการทำงาน ตั้งแต่จุดเริ่มต้นจนจบกระบวนการ

• ประเด็นข้อสงสัยหรือความเสี่ยงที่กังวล: เช่น กังวลเรื่องแนวทางการเบิกจ่ายเงินค่าตอบแทนวิทยากร/ผู้เชี่ยวชาญ, ความเสี่ยงในการจัดซื้อจัดจ้างครุภัณฑ์เฉพาะทาง, หรือการกำหนดตัวชี้วัดความสำเร็จของโครงการ

2. ช่องทางการติดต่อขอคำปรึกษา

• แบบเป็นทางการ (แนะนำสำหรับโครงการขนาดใหญ่/กระบวนงานใหม่ที่มีความซับซ้อน): ทำบันทึกข้อความ (Memo) จากหัวหน้าหน่วยงาน/ผู้รับผิดชอบโครงการ เรียน หัวหน้าหน่วยตรวจสอบภายใน มจธ. เพื่อขอความอนุเคราะห์ปรึกษาหารือหรือเชิญเข้าร่วมประชุมชี้แจงแนวทาง

• แบบไม่เป็นทางการ (แนะนำสำหรับข้อหารือเฉพาะจุด/ระเบียบข้อบังคับ): ติดต่อประสานงานทางโทรศัพท์ อีเมล หรือเข้าพบทีมผู้ตรวจสอบภายใน มจธ. เพื่อสอบถามประเด็นข้อสงสัยเบื้องต้นก่อนจัดทำเอกสารจริง

3. ขอบเขตการให้คำปรึกษาของผู้ตรวจสอบภายใน (Audit Independence)

ข้อควรระวัง: ผู้ตรวจสอบภายในจะเป็นผู้ให้คำแนะนำ ข้อเสนอแนะ และชี้แนะกรอบระเบียบ/ความเสี่ยงเท่านั้น จะไม่เป็นผู้อนุมัติเอกสาร หรือลงนามตัดสินใจแทนผู้บริหาร/ผู้ดำเนินโครงการ เพื่อคงไว้ซึ่งความเป็นอิสระและความเที่ยงธรรม (Independence & Objectivity) ตามมาตรฐานการตรวจสอบภายใน

การเตรียมข้อมูลและเอกสารสำหรับการประเมินการควบคุมภายใน (มักเป็นการจัดทำรายงานตามหลักเกณฑ์กระทรวงการคลังว่าด้วยมาตรฐานและหลักเกณฑ์ปฏิบัติการควบคุมภายในสำหรับหน่วยงานของรัฐ) ก่อนส่งคำขอหรือยื่นส่งรายงานต่อหน่วยงานกำกับดูแล/ผู้ตรวจสอบภายใน ควรจัดเตรียมเอกสารออกเป็น 4 หมวดสำคัญ ดังนี้

1. หมวดเชิงนโยบายและโครงสร้างการบริหาร (Context & Governance)

เอกสารที่แสดงถึงสภาพแวดล้อมการควบคุม (Control Environment) ของหน่วยงาน

• โครงสร้างองค์กร (Org Chart): พร้อมการแบ่งงาน สายการบังคับบัญชา และกรอบอัตรากำลัง

• คำสั่งมอบหมายงาน/คำสั่งแต่งตั้ง: คำสั่งแต่งตั้งคณะกรรมการ/คณะทำงานประเมินผลการควบคุมภายใน

• คู่มือการปฏิบัติงาน (SOP): ของทุกภารกิจ/กระบวนการหลักที่มีการปรับปรุงล่าสุด

• แผนยุทธศาสตร์ / แผนปฏิบัติการประจำปี: รวมถึงตัวชี้วัดความสำเร็จ (KPIs) ของหน่วยงาน

2. หมวดแบบรายงานการควบคุมภายใน (ตามแบบมาตรฐานกระทรวงการคลัง)

เอกสารแบบประเมินหลักที่ต้องกรอกข้อมูลเรียบร้อยและได้รับการอนุมัติจากผู้บริหาร

• แบบ ปค. 1: หนังสือรับรองการประเมินผลการควบคุมภายใน (ลงนามโดยหัวหน้าหน่วยงาน)

• แบบ ปค. 4: รายงานการประเมินองค์ประกอบของการควบคุมภายใน (ประเมินตามมาตรฐาน 5 ด้าน: สภาพแวดล้อม, การประเมินความเสี่ยง, กิจกรรมการควบคุม, สารสนเทศและการสื่อสาร, การติดตามประเมินผล)

• แบบ ปค. 5: รายงานการประเมินผลการควบคุมภายในภาพรวมของหน่วยงาน (ระบุภารกิจตามกฎหมาย/แผนงาน, วัตถุประสงค์, ความเสี่ยงที่มีอยู่, กิจกรรมการควบคุมที่มี, ผลการประเมิน, และ แผนการปรับปรุงการควบคุมภายในเพิ่มเติม)

• แบบ ติดตาม (ถ้ามี): รายงานการติดตามผลการปฏิบัติตามแผนการปรับปรุงการควบคุมภายในของปีงบประมาณที่ผ่านมา

3. หมวดการบริหารความเสี่ยง (Risk Management)

เอกสารที่แสดงว่าหน่วยงานมีการวิเคราะห์ความเสี่ยงที่สอดรับกับการควบคุมภายใน

• ทะเบียนความเสี่ยง (Risk Register) ประจำปี: ที่ระบุความเสี่ยงด้านการดำเนินงาน การเงิน การปฏิบัติตามกฎหมาย และ IT

• แผนบริหารความเสี่ยง (Risk Response Plan): รายละเอียดมาตรการจัดการความเสี่ยง

• รายงานการติดตามผลการบริหารความเสี่ยง: ประจำไตรมาสหรือรอบ 6 เดือน/ปี

4. หมวดหลักฐานประกอบการทดสอบและการควบคุม (Supporting Evidence)

เอกสารเชิงประจักษ์เพื่อพิสูจน์ว่ามีการปฏิบัติตามระบบการควบคุมภายในจริง

• รายงานการประชุม: รายงานการประชุมคณะกรรมการบริหาร/คณะทำงานฯ ที่มีการวาระพิจารณาเรื่องการควบคุมภายในและความเสี่ยง

• เอกสารหลักฐานการควบคุมในกระบวนการทำงาน (Sample Walkthrough Evidence):

  • ด้านการเงิน/พัสดุ: ใบร้องขอ, ใบสั่งซื้อ/จ้าง, หลักฐานการตรวจรับ, รายงานการตรวจสอบพัสดุประจำปี

  • ด้านการปฏิบัติงาน: แบบฟอร์มการอนุมัติ/สอบทานงาน, รายงานผลการดำเนินงานตาม KPI

• รายงานการตรวจสอบภายนอก/ภายในล่าสุด: เช่น รายงานจาก สตง., รายงานผู้ตรวจสอบภายใน เพื่อดูว่าได้แก้ไขประเด็นข้อตรวจพบหรือยัง

Checklists สรุปก่อนส่งคำขอ/รายงาน

1. ผู้บริหารสูงสุดลงนามใน แบบ ปค.1 เรียบร้อยแล้ว

2. ข้อมูลใน แบบ ปค.4 และ ปค.5 มีความสอดคล้องกันทุกจุด

3. แผนการปรับปรุงใน แบบ ปค.5 มีการกำหนดผู้รับผิดชอบและกรอบเวลาเสร็จสิ้นที่ชัดเจน

4. จัดเก็บไฟล์สแกน (PDF) และจัดชุดเอกสารฉบับจริงพร้อมแนบหลักฐานประกอบเข้าแฟ้มอย่างเป็นระบบ

• การตรวจสอบผลการปฏิบัติงาน (Performance Audit) หมายถึง การตรวจสอบอย่างเป็นอิสระต่อโครงการ (Program) หน้าที่งาน (Function) การดำเนินงาน (Operation) หรือระบบและขั้นตอนการบริหารจัดการของหน่วยงานภาครัฐหรือองค์กรไม่แสวงหาผลกำไร เพื่อประเมินว่าหน่วยงานดังกล่าวบรรลุความประหยัด (Economy) ความมีประสิทธิภาพ (Efficiency) และความมีประสิทธิผล (Effectiveness) ในการใช้ทรัพยากรที่มีอยู่หรือไม่
• การตรวจสอบนี้มีความเป็นกลาง (Objective) และเป็นระบบ (Systematic) โดยทั่วไปจะใช้ระเบียบวิธีปฏิบัติที่มีโครงสร้างชัดเจนและได้รับการยอมรับในระดับวิชาชีพ
• ทุกกระบวนการจำเป็นต้องมีการประเมินผลการปฏิบัติงาน (Each process needs performance appraisal) การประเมินผลการปฏิบัติงาน (Performance Appraisal) มีความสำคัญเนื่องจากช่วยให้องค์กรมีแนวทางที่เป็นระบบในการประเมินการทำงาน การสื่อสารและสะท้อนผลการทำงาน (Feedback) อย่างชัดเจน การเชื่อมโยงความพยายามของรายบุคคลให้สอดคล้องกับเป้าหมายทางธุรกิจ ตลอดจนใช้เป็นแนวทางในการตัดสินใจเกี่ยวกับการขึ้นเงินเดือน การเลื่อนตำแหน่ง และความจำเป็นในการฝึกอบรม
• ข้อตกลงการปฏิบัติงาน (Performance Agreement) คือ แผนงานที่ชัดเจนหรือข้อตกลงที่มีผลผูกพันซึ่งกำหนดเป้าหมาย ภาระงาน และผลลัพธ์เฉพาะเจาะจงที่บุคคลหรือกลุ่มบุคคลจะต้องทำให้สำเร็จโดยมุ่งเน้นที่ "ผลลัพธ์สุดท้าย (Final outcome)" มากกว่าวิธีการทำงาน
• องค์ประกอบสำคัญของข้อตกลง (Key Parts of the Agreement):
•      เป้าหมายที่ชัดเจน (Clear Goals): เป้าหมายเฉพาะเจาะจงที่สามารถวัดผลได้อย่างชัดเจนและง่ายดาย
•      กรอบเวลา (Time Limits): วันที่หรือกำหนดเวลา (Deadline) ที่แน่นอนในการทำงานให้เสร็จสิ้น
•      การสนับสนุนและกฎเกณฑ์ (Support and Rules): เครื่องมือ ทรัพยากร หรือความช่วยเหลือที่องค์กรหลักจะสนับสนุนให้

          1. การดำเนินการตามมาตรฐานงานสารบรรณผ่านระบบ E-Office

               หน่วยตรวจสอบภายในได้ปฏิบัติตามนโยบาย และกระบวนการปฏิบัติงาน ที่มหาวิทยาลัยฯ กำหนด โดยจัดส่งเอกสารและประสานงานผ่านระบบ E-Office เป็นช่องทางหลักที่ทุกหน่วยงานใช้ร่วมกันด้วยความเข้าใจว่าทุกส่วนงานจะมีการติดตามและลงรับหนังสือผ่านช่องทางนี้เป็นปกติ ทางหน่วยตรวจสอบภายในจึงได้จัดส่งหนังสือแจ้งเวียนไปยังทุกหน่วยงานผ่านระบบ E-Office เมื่อประมาณวันที่ 4-5 สิงหาคม 2569 และได้มีการติดตามเฉพาะหน่วยงานที่ระบบแสดงว่ายังไม่ได้กดรับเรื่อง เพื่อป้องกันไม่ให้เป็นการรบกวนหน่วยงานส่วนใหญ่ที่กดรับเรื่องในระบบเรียบร้อยแล้ว

          2. การแจ้งหัวข้อและรายละเอียดการเตรียมข้อมูล

                ต่อมาเมื่อวันที่ 14 สิงหาคม 2569 หน่วยตรวจสอบภายในได้แจ้งเวียนหนังสือผ่านระบบ E-Office อีกครั้ง (อ้างอิงเลขที่เอกสาร อว.7601.1/236/2569) เพื่อขอความร่วมมือให้หน่วยงานเตรียมข้อมูลสำหรับร่วมหารือ โดยได้ระบุหัวข้อไว้อย่างชัดเจน 3 ประเด็น ได้แก่:

                 1) การนำความรู้และแนวทางที่ได้รับจากกิจกรรม Workshop ไปประยุกต์ใช้ในการจัดทำ Performance Agreement ของหน่วยงาน

                 2) ปัญหา อุปสรรค และข้อจำกัดที่พบในการจัดทำ Performance Agreement

                  3) ประเด็น ข้อคิดเห็น หรือแนวทางที่หน่วยงานประสงค์ขอรับคำปรึกษาหรือข้อเสนอแนะจากที่ปรึกษา เพื่อพัฒนาปรับปรุงแผนและตัวชี้วัดผลการดำเนินงาน

         3. การลงรับเอกสารเข้าระบบของหน่วยงาน

               จากการตรวจสอบประวัติการลงรับเอกสารในระบบ E-Office พบว่า ทั้ง 11 หน่วยงานที่เข้าร่วมการประชุมกลุ่มย่อยในวันที่ 19 สิงหาคม 2569 ได้ดำเนินการลงรับเอกสารฉบับดังกล่าวในระบบครบถ้วนแล้ว ทางหน่วยตรวจสอบภายในจึงมิได้ประสานงานเพื่อติดตามเพิ่มเติมเป็นรายหน่วยงาน เนื่องจากพิจารณาว่าทุกหน่วยงานได้รับเอกสารชี้แจงแนวทางการเตรียมตัวเรียบร้อยแล้ว

              อย่างไรก็ตาม ทางหน่วยตรวจสอบภายในขอน้อมรับข้อสังเกตของท่าน และเข้าใจถึงความยุ่งยากที่เกิดขึ้น สำหรับการจัดกิจกรรมในครั้งต่อไป ทางเราจะพิจารณาเพิ่มช่องทางการแจ้งเตือน ควบคู่ไปกับการส่งเอกสารทาง E-Office เพื่อป้องกันการคลาดเคลื่อนของข้อมูล

ขอขอบคุณในความร่วมมืออย่างดียิ่งของท่านมา ณ โอกาสนี้

         ความพร้อม และขีดความสามารถในปัจจุบัน (Current Capability)

• ระดับความรู้พื้นฐาน: ทีมผู้ตรวจสอบมีความรู้ด้านการกำกับดูแลเทคโนโลยีสารสนเทศ (IT Governance) และการควบคุมภายในพื้นฐาน โดยนำแนวปฏิบัติสากล (เช่น IIA AI Auditing Framework, NIST AI RMF หรือ ISO/IEC 42001) เข้ามาศึกษาเพื่อใช้วิเคราะห์ความเสี่ยงของระบบงานที่มี AI เข้ามาเกี่ยวข้อง

• แนวทางการตรวจร่วม (Co-Sourcing/Expertise Leveraging): กรณีระบบงาน AI มีความซับซ้อนสูง (เช่น โมเดล Machine Learning หรือระบบประมวลผลอัตโนมัติเฉพาะทาง) หน่วยงานมีแนวทางประสานความร่วมมือกับผู้เชี่ยวชาญเฉพาะด้านของมหาวิทยาลัย (เช่น สำนักคอมพิวเตอร์ หรือคณะเทคโนโลยีสารสนเทศ) เพื่อร่วมประเมินความเสี่ยงด้านเทคนิคอย่างมีประสิทธิภาพ

  การพัฒนาทักษะด้านเทคโนโลยีดิจิทัล และปัญญาประดิษฐ์ (Digital & AI Literacy)

  • AI Governance & Auditing AI: เสริมสร้างความรู้ความเข้าใจในกรอบการตรวจสอบ AI (เช่น IIA AI Framework หรือ ISO/IEC 42001) เพื่อประเมินความเสี่ยงด้านอคติของข้อมูล (Data Bias), ความมั่นคงปลอดภัยไซเบอร์ และ PDPA ในระบบงานต่าง ๆ

  • Prompt Engineering for Audit Support: ฝึกอบรมการใช้งาน Generative AI เป็นผู้ช่วยร่าง Audit Program, สรุปเกณฑ์ระเบียบ และวิเคราะห์ข้อสังเกตเบื้องต้น โดยยึดหลัก Data Privacy & Confidentiality อย่างเคร่งครัด

ช่องทางการติดต่อขอรับบริการหน่วยตรวจสอบภายใน มหาวิทยาลัยเทคโนโลยีพระจอมเกล้าธนบุรี (มจธ.) มีทั้งช่องทางขอรับบริการโดยตรงที่หน่วยตรวจสอบภายใน, โทรศัพท์, E-mail  และในหน้าเว็บไซต์ สามารถรับบริการสอบถาม ในหัวข้อ ถาม - ตอบ หรือช่องทาง Chat และช่องทางแจ้งเบาะแสหรือข้อร้องเรียนได้ รวมทั้งส่งข้อความสอบถาม ปรึกษาผ่านทาง Facebook ของหน่่วยตรวจสอบได้เช่นกัน

• สถานที่ตั้ง: ชั้น 4 อาคารสำนักงานอธิการบดี มหาวิทยาลัยเทคโนโลยีพระจอมเกล้าธนบุรี (บางมด) เลขที่ 126 ถนนประชาอุทิศ แขวงบางมด เขตทุ่งครุ กรุงเทพฯ 10140

• โทรศัพท์: 0-2470-8136

• E-mail: internalaudit@kmutt.ac.th, internal.audit@mail.kmutt.ac.th

• เว็บไซต์: https://internal-audit.kmutt.ac.th

• Facebook: https://www.facebook.com/profile.php?id=100068254741056#

บทบาทและหน้าที่หลัก (Core Functions)

• งานบริการให้ความเชื่อมั่น (Assurance Services): ตรวจสอบและประเมินระบบการควบคุมภายใน กระบวนการบริหารความเสี่ยง และการกำกับดูแลกิจการที่ดีของหน่วยงานต่าง ๆ ภายในมหาวิทยาลัย

• งานบริการให้คำปรึกษา (Consulting Services): ให้คำแนะนำเชิงรุกแก่หน่วยงานและผู้บริหารในการปรับปรุงกระบวนการทำงาน การควบคุมความเสี่ยง และการวางระบบควบคุมภายในที่มีประสิทธิผลโดยไม่เข้าไปมีส่วนได้ส่วนเสียในการบริหารงาน

• ป้องกันปัญหาก่อนเกิด (Proactive Control): การให้ความรู้ล่วงหน้าช่วยลดข้อผิดพลาดซ้ำ ๆ ที่เกิดจากความไม่เข้าใจระบบงาน และระเบียบฯ ต่าง ๆ ที่เกี่ยวข้อง
• สร้างมาตรฐานเดียวกันทั้งองค์กร: ช่วยให้หน่วยงานต่าง ๆ มองเห็นภาพรวม และเข้าใจวัตถุประสงค์ของระบบควบคุมภายในตรงกัน
• สร้างคลังความรู้ (Knowledge Base): เป็นแหล่งอ้างอิงให้พนักงานใหม่หรือผู้ที่เพิ่งมารับผิดชอบงานนั้น ๆ

1. การประเมินโครงสร้างตามโมเดลสามสายงาน (Three Lines Model)

• สายงานที่หนึ่ง (ฝ่ายจัดการหรือหน่วยงานเจ้าของระบบ): ตรวจสอบว่าบุคลากรหน้างานเป็นเจ้าของและบริหารจัดการความเสี่ยงโดยตรง รวมถึงมีการออกแบบและดำเนินกระบวนการควบคุมระบบงานของตนเองอย่างรัดกุมหรือไม่
• สายงานที่สอง (หน่วยงานเฉพาะทางด้านความปลอดภัย IT): ประเมินว่าฝ่าย IT ส่วนกลางหรือผู้เชี่ยวชาญ ได้ให้ความเชี่ยวชาญ สนับสนุน ติดตามผล และท้าทาย เพื่อยกระดับการบริหารความเสี่ยงของสายงานที่หนึ่งอย่างเพียงพอหรือไม่
• สายงานที่สาม (ตรวจสอบภายใน): มีบทบาทให้ความเชื่อมั่นที่เป็นอิสระและเป็นกลางเกี่ยวกับประสิทธิผลของระบบความปลอดภัยโดยรวม นอกจากนี้ยังสามารถให้คำปรึกษาเชิงลึกโดยไม่ก้าวล่วงหน้าที่การตัดสินใจของฝ่ายจัดการ

2. การประเมินธรรมาภิบาลข้อมูลและการจัดการสิทธิ์ (Data Governance & Access Control)

• เมทริกซ์การควบคุมการเข้าถึง (Access Control Matrix): ประเมินว่าระบบหลักมีการกำหนดสิทธิการเข้าถึงข้อมูลอย่างรัดกุมตามหลักความจำเป็น (Need-to-Know Basis) และมีการทบทวนสิทธิ์ของบุคลากรอย่างสม่ำเสมอ โดยเฉพาะเมื่อมีการโยกย้ายตำแหน่ง
• การจัดชั้นความลับของข้อมูล (Data Classification): ตรวจสอบว่ามหาวิทยาลัยมีมาตรฐานในการแยกประเภทข้อมูล เพื่อกำหนดมาตรการเข้ารหัส (Encryption) หรือการป้องกันที่เข้มงวดแตกต่างกัน

3. การสอบทานความปลอดภัยของเว็บไซต์และแพลตฟอร์ม

• การจัดการระบบบริหารจัดการเนื้อหา (CMS): ในกรณีที่ส่วนงานใช้แพลตฟอร์มอย่าง WordPress ต้องประเมินว่ามีนโยบายบังคับใช้อัปเดตเวอร์ชันของระบบหลัก ธีม และปลั๊กอิน (Plugins) ให้เป็นปัจจุบันอยู่เสมอ เพื่อปิดช่องโหว่ด้านความปลอดภัย
• ความต่อเนื่องของระบบ (Business Continuity): ตรวจสอบแผนการสำรองข้อมูล (Backup) และการทดสอบกู้คืนระบบ ว่าสามารถทำให้บริการดิจิทัลของมหาวิทยาลัยกลับมาทำงานได้ตามระยะเวลาที่กำหนด (RTO) หรือไม่

4. การประเมินแผนส่งเสริมความตระหนักรู้ด้านไซเบอร์ (Cybersecurity Awareness)

• การสร้างวัฒนธรรมองค์กรอย่างสร้างสรรค์: ประเมินว่าองค์กรมีแนวทางสนับสนุนให้บุคลากรตระหนักรู้ถึงภัยคุกคามทางไซเบอร์ (เช่น อีเมลหลอกลวงหรือ Phishing) ด้วยภาษาที่สุภาพและให้กำลังใจ เพื่อให้เกิดความร่วมมืออย่างแท้จริง มากกว่าการบังคับใช้เชิงลงโทษ

1. การยึดหลักปฏิบัติด้านจรรยาบรรณองค์กร (Code of Conduct)

• ห้ามนำผลงานของผู้อื่นมาเป็นของตน
• ห้ามใช้ตำแหน่งหน้าที่ หรือชื่อเสียงของหน่วยงานไปเพื่อแสวงหาผลประโยชน์ส่วนตน รวมถึงการเรียกรับหรือยอมรับสินบน
• ห้ามเปิดเผยความลับที่ได้จากการปฏิบัติหน้าที่เพื่อแสวงหาผลประโยชน์

2. มาตรการส่งเสริมความโปร่งใส 7 ประการ (ITA Measures)

1. มาตรการการเผยแพร่ข้อมูลต่อสาธารณะ
2. มาตรการให้ผู้มีส่วนได้ส่วนเสียมีส่วนร่วม
3. มาตรการส่งเสริมความโปร่งใสในการจัดซื้อจัดจ้าง
4. มาตรการจัดการเรื่องร้องเรียนการทุจริต
5. มาตรการป้องกันการรับสินบน
6. มาตรการป้องกันความขัดแย้งทางด้านผลประโยชน์ (Conflict of Interest)
7. มาตรการตรวจสอบการใช้ดุลพินิจในการปฏิบัติหน้าที่
8. นโยบายงดรับของขวัญ (No Gift Policy)

4. การบริหารความเสี่ยงและระบบควบคุมภายใน (Risk Assessment & Internal Controls)

• การแบ่งแยกหน้าที่ (Segregation of Duties): จัดโครงสร้างกระบวนการอนุมัติและตรวจสอบไม่ให้เบ็ดเสร็จในบุคคลเดียว
• การธรรมาภิบาลข้อมูล (Data Governance) และการจัดการสิทธิ์: มีการกำหนดสิทธิการเข้าถึงระบบข้อมูลสำคัญ (Access Control Matrix) อย่างรัดกุม เพื่อป้องกันการเข้าถึงหรือแก้ไขข้อมูลทางการเงินและงบประมาณโดยมิชอบ
• การประเมินผลการดำเนินงานอย่างสม่ำเสมอ: ส่งเสริมให้เกิดการทบทวนและสอบทานการปฏิบัติงานอย่างสร้างสรรค์ เพื่อให้ระบบควบคุมภายในมีความเหมาะสมและสอดคล้องกับบริบทการทำงาน

5. กลไกการรับเรื่องร้องเรียน (Whistleblowing)

• การประเมินความเสี่ยงอุบัติใหม่เชิงรุก (Proactive Emerging Risk Assessment) แทนที่จะตรวจสอบเฉพาะข้อผิดพลาดทางการเงินที่เกิดขึ้นไปแล้ว หน่วยตรวจสอบภายในยุคใหม่จะทำงานร่วมกับฝ่ายบริหารเพื่อระบุ "ความเสี่ยงใหม่ๆ" (Emerging Risks) ที่อาจส่งผลกระทบต่อยุทธศาสตร์ของมหาวิทยาลัย เช่น ความเสี่ยงด้านความปลอดภัยของข้อมูลส่วนบุคคล (PDPA) ความเสี่ยงจากระบบไอทีใหม่ หรือความเสี่ยงด้านชื่อเสียง จากนั้นจึงช่วยประเมินว่ามหาวิทยาลัยมีกลไกป้องกัน (Controls) ที่ดีพอหรือยังตั้งแต่เนิ่นๆ
• การมุ่งเน้นผลสัมฤทธิ์และความคุ้มค่า (Performance Audit) นอกเหนือจากความถูกต้องตามกฎระเบียบ (Compliance) หน่วยตรวจสอบภายในยังเน้นการประเมินตามหลัก 4Es (Economy, Efficiency, Effectiveness, Equity) เพื่อดูว่าการใช้ทรัพยากรของมหาวิทยาลัยนั้น "คุ้มค่า" และ "ตอบโจทย์วิสัยทัศน์" หรือไม่ หากพบว่ากระบวนการใดล้าสมัยหรือสิ้นเปลือง ก็จะเสนอแนะแนวทางลดขั้นตอน (Lean Process) เพื่อให้องค์กรขับเคลื่อนได้เร็วขึ้น
• การเสริมสร้างความแข็งแกร่งให้ "ปราการทั้ง 3 ด่าน" (Three Lines of Defense) หน่วยตรวจสอบภายใน (ด่านที่ 3) จะทำหน้าที่ประเมินและให้ความเชื่อมั่นอย่างเป็นอิสระ ว่าด่านที่ 1 (ผู้ปฏิบัติงาน) และด่านที่ 2 (หน่วยบริหารความเสี่ยง/กฎระเบียบ) ทำงานสอดประสานกันอย่างมีประสิทธิภาพหรือไม่ หากพบจุดอ่อน ก็จะสะท้อนข้อมูลให้ผู้บริหารระดับสูงและคณะกรรมการมหาวิทยาลัยทราบ เพื่อปรับปรุงทิศทางให้ทันเวลา

1. มาตรฐานการตรวจสอบภายในสากลฉบับใหม่ (Global Internal Audit Standards - GIAS 2024)
2. พระราชบัญญัติวินัยการเงินการคลังของรัฐ พ.ศ. 2561
3. หลักเกณฑ์ปฏิบัติการตรวจสอบภายในสำหรับหน่วยงานของรัฐ พ.ศ. 2561 และที่แก้ไขเพิ่มเติม  (กรมบัญชีกลาง)
4. กฎบัตรการตรวจสอบภายใน มจธ. ฉบับปรับปรุงปีงบประมาณ พ.ศ. 2570