Judgment และ DOA: อำนาจอนุมัติและดุลยพินิจเมื่อใช้ AI ช่วยจัดทำ

อ่านบทความก่อนหน้า: Judgment และ Human Oversight

ทำความเข้าใจบทบาทก่อนอ่านตารางอำนาจ

Process Owner หมายถึงผู้รับผิดชอบหลักของกระบวนการ ตั้งแต่ผลลัพธ์ การประสานงานจนถึงการแก้ปัญหาภายในอำนาจที่ได้รับ ส่วน System Owner คือผู้รับผิดชอบระบบงานที่สนับสนุนกระบวนการ และ Control Owner คือผู้รับผิดชอบให้การควบคุมที่มอบหมายดำเนินการและติดตามข้อบกพร่อง บทบาทเหล่านี้ไม่ทำให้บุคคลมีอำนาจอนุมัติทุกรายการโดยอัตโนมัติ

RACI เป็นตารางกำหนดผู้ปฏิบัติงาน (Responsible) ผู้รับผิดชอบต่อผลสำเร็จของงาน (Accountable) ผู้ให้ความเห็น (Consulted) และผู้รับทราบ (Informed) ส่วน SOP หรือ Standard Operating Procedure คือขั้นตอนปฏิบัติงานมาตรฐานที่ระบุวิธีทำงาน ทั้ง RACI และ SOP ต้องสอดคล้องกับ DOA และสิทธิ์จริงในระบบ

คำว่า “ส่งต่อ” หรือ escalation ในบทความนี้หมายถึงส่งเรื่องพร้อมข้อมูลถึงผู้มีความรู้หรืออำนาจที่เหมาะสม อาจส่งให้ผู้เชี่ยวชาญช่วยพิจารณาก่อน หรือส่งให้ผู้มีอำนาจอนุมัติตามประเภทรายการ จึงไม่ได้หมายถึงเพิ่มระดับอนุมัติหนึ่งขั้นทุกครั้ง

มอบอำนาจพร้อมความรับผิดชอบที่ชัดเจน

ผู้รับมอบต้องรับผิดชอบการใช้อำนาจตามบทบาท ขณะที่ผู้มอบยังมีหน้าที่กำกับตามกฎหมาย ข้อบังคับ และโครงสร้างองค์กร ไม่ควรสรุปว่าภาระรับผิดชอบอยู่กับผู้มอบฝ่ายเดียว หรือถูกโอนไปจนหมด การอนุมัติภายใน การลงนามผูกพันบริษัท และสิทธิ์กดในระบบเป็นคนละเรื่องที่ต้องตรวจให้สอดคล้องกัน

วงเงินและระดับดุลยพินิจเป็นคนละแกน

จำนวนเงินบอกขนาดได้บางส่วน แต่ไม่ครอบคลุมความไม่แน่นอน ความขัดแย้งทางผลประโยชน์ ผลต่อการเปิดเผย หรือเงื่อนไขสัญญา ตารางนี้เป็นเครื่องมือคัดเรื่อง ไม่ใช่ตารางกำหนดอำนาจตามกฎหมาย และไม่จำเป็นต้องให้คะแนนดุลยพินิจเป็นตัวเลข

อนุมัติกฎ ไม่ใช่อนุมัติทุกผลลัพธ์โดยไม่มีเงื่อนไข

AI ไม่มีสถานะเป็นผู้มีอำนาจตาม DOA แต่ระบบอาจดำเนินการอัตโนมัติภายในขอบเขตที่องค์กรอนุมัติ การอนุมัติกฎคือการอนุญาตให้กระบวนการทำงานภายใต้เงื่อนไข ไม่ใช่การยืนยันว่าผู้อนุมัติกฎได้ตรวจและอนุมัติทุกรายการที่จะเกิดขึ้นแล้ว

ต้องระบุผู้รับผิดชอบกฎอัตโนมัติ ประเภทรายการที่เข้าและไม่เข้าเกณฑ์ วงเงินต่อรายการ ขอบเขตสะสมต่อช่วงเวลา คุณภาพข้อมูล ข้อยกเว้น และเกณฑ์หยุด ระดับอนุมัติควรพิจารณาผลกระทบรวม ความย้อนกลับได้ และหน้าที่ตามข้อกำหนดร่วมกัน ไม่ใช่เทียบยอดรวมในหนึ่งงวดอย่างเดียว

การจับคู่รายการกระทบยอด การตัดผลต่าง การบันทึกบัญชี และการจ่ายเงินเป็นการกระทำต่างกัน อนุญาตให้จับคู่ไม่ได้แปลว่าอนุญาตให้ตัดผลต่างหรือจ่ายเงิน ข้อมูลขาดหรือขอบเขตสะสมถูกใช้ครบต้องพักและส่งต่อ การตั้ง agent ส่วนตัวให้ใช้บัญชีผู้บริหารกดอนุมัติอาจทำให้การควบคุมอำนาจและร่องรอยผู้กระทำเสียไป

สิ่งที่ควรเพิ่มใน DOA และเอกสารควบคุมที่เกี่ยวข้อง

DOA ไม่จำเป็นต้องบรรจุรายละเอียดเทคนิคทั้งหมด อาจกำหนดอำนาจและเงื่อนไขหลัก แล้วอ้างถึง AI Policy, SOP และขั้นตอนควบคุมการเปลี่ยนแปลง ตารางต่อไปนี้ต้องปรับตามโครงสร้างกิจการ ไม่ได้กำหนดว่า CFO หรือคณะกรรมการตรวจสอบต้องอนุมัติทุก use case

ประยุกต์ในกระบวนการปิดบัญชี

รายการจัดประเภทใหม่อาจไม่เปลี่ยนกำไรแต่กระทบเงื่อนไขเงินกู้ ประมาณการต้องสอบทานวิธีและสมมติฐาน ไม่ใช่เฉพาะตัวเลข ส่วนรายการใกล้วันออกรายงานควรพิจารณาความทันเวลาของการสอบทาน ไม่ควรยกระดับหนึ่งขั้นทุกรายการโดยไม่ดูความเสี่ยง

คนที่แก้ผล AI อย่างมีสาระสำคัญอาจทำหน้าที่ผู้จัดทำด้วย จึงต้องจัดการการสอบทานตนเอง แต่การตรวจผลไม่ได้ทำให้ผู้ตรวจเป็นผู้จัดทำทุกกรณี หากรายการมาจากผู้บริหารระดับสูง ควรมีกลไกส่งต่อผู้กำกับที่เหมาะสมเมื่อการท้าทายตามสายบังคับบัญชาไม่เพียงพอ

ผู้ตรวจสอบภายในอาจประเมินและรายงานข้อบกพร่องอย่างอิสระ ไม่ควรถูกตั้งเป็นผู้อนุมัติหรือผู้รับผิดชอบการควบคุมของฝ่ายบริหารโดยอัตโนมัติ หากมีบทบาทอื่นต้องมีมาตรการรักษาความเป็นอิสระและความเที่ยงธรรม [3]

ชุดข้อมูลขั้นต่ำก่อนตัดสินใจ

ข้อยกเว้นในกระบวนการคือรายการที่ไม่เข้าเงื่อนไขปกติหรือยังมีข้อมูลไม่พอ การปิดข้อยกเว้นต้องได้ข้อสรุปพร้อมหลักฐานและผู้รับผิดชอบ ไม่ใช่เพียงเปลี่ยนสถานะในระบบ ส่วน override คือการเปลี่ยนหรือไม่รับข้อเสนอของระบบตามอำนาจและเงื่อนไขที่กำหนด ไม่ใช่สิทธิ์ข้ามการควบคุมได้ตามใจ

สำหรับรายการที่ต้องใช้ดุลยพินิจ ควรแสดงข้อเสนอและเหตุผล หลักฐานต้นทาง สมมติฐาน ทางเลือก ผลกระทบ และข้อที่ยังยืนยันไม่ได้ เก็บสิ่งที่ผู้อนุมัติเห็นจริง คำถาม การแก้ไข และการปิดประเด็น ไม่ใช้คำตอบอีกชุดจาก AI เป็นหลักฐานอิสระโดยอัตโนมัติ

ไม่จำเป็นต้องบังคับบันทึกความคิดทุกขั้นของโมเดล สิ่งที่ต้องการคือเหตุผลเชิงธุรกิจที่ตรวจสอบกับหลักฐานได้และบันทึกการตัดสินใจของผู้รับผิดชอบ

ติดตามสัญญาณโดยไม่รีบสรุป

ยอดกระจุกใต้วงเงินอนุมัติ เวลาอนุมัติสั้น การไม่ส่งเรื่องกลับ สิทธิ์เกิน DOA และกฎไม่มีผู้รับผิดชอบติดตามและทบทวน เป็นสัญญาณให้ตรวจเพิ่มเติม ไม่ใช่หลักฐานทุจริตหรือข้อพิสูจน์ว่าผู้อนุมัติไม่ตรวจ AI อาจช่วยคัดรายการได้เมื่อข้อมูลครบและเกณฑ์ได้รับการทดสอบ การวิเคราะห์ทั้งประชากรไม่ได้ขจัดความเสี่ยงข้อมูลตกหล่นหรือข้อสรุปผิด

ตรวจรายการที่ระบบไม่ชี้ด้วย รวมรายการตามหลักเกณฑ์ที่เกี่ยวข้อง และติดตามความคลาดเคลื่อนระหว่างสิทธิ์จริงกับเอกสาร เป้าหมายคือคุณภาพการตัดสินใจ ไม่ใช่เพิ่มจำนวนการส่งกลับให้ได้ตัวเลขตามเป้า

กรอบอ้างอิงและขอบเขตการใช้

COSO เชื่อมโครงสร้าง อำนาจ ความรับผิดชอบ และการควบคุมเข้าด้วยกัน แนวทาง GenAI ปี 2026 ช่วยประยุกต์หลักเดิมกับความเสี่ยงจาก AI แต่ตาราง DOA ในบทความนี้เป็นข้อเสนอของ DHISORA ไม่ใช่แบบฟอร์มบังคับหรือการรับรองจาก COSO [1]

สำหรับบริษัทจดทะเบียน รายการเกี่ยวโยงกันต้องตรวจประเภท ขนาด การรวมรายการ ผู้มีส่วนได้เสีย และระดับอนุมัติตามเกณฑ์ที่ใช้ DOA ภายในไม่สามารถลดขั้นตอนที่ข้อกำหนดบังคับไว้ได้ บริษัท Pre-IPO ควรเตรียมระบบให้พร้อม โดยไม่เหมารวมว่าตนมีสถานะเป็นบริษัทจดทะเบียนแล้ว [2]

แนวนโยบาย ธปท. ใช้กับผู้ให้บริการทางการเงินตามขอบเขตที่ระบุ จึงใช้อ้างอิงแนวคิดการกำกับได้ แต่ไม่ใช่ข้อบังคับทั่วไปสำหรับทุกธุรกิจไทย [4] อำนาจลงนามและเรื่องสงวนต้องตรวจตามกฎหมาย ข้อบังคับ มติ และเอกสารมอบอำนาจของแต่ละกิจการ การเพิ่มหมวด AI ไม่สร้างอำนาจใหม่ให้บุคคลหรือระบบ

อ่านภาพรวม: บทสรุป Judgment และ Human Oversight

บทที่ 4: ออกแบบกระบวนการและระบบควบคุม

บทที่ 3: Judgment และ Risk

หารือ DOA และการควบคุมในกระบวนการการเงิน

เผยแพร่ 10 ตุลาคม 2569 โดย DHISORA Advisory บทความเพื่อการออกแบบเบื้องต้น ไม่ใช่ความเห็นทางกฎหมาย การรับรองระบบ หรือการให้ความเชื่อมั่น การนำไปใช้ต้องปรับตามข้อกำหนดและความเสี่ยงของกิจการ