บทสรุป: Judgment และ Human Oversight ในระบบบริหารความเสี่ยงและการควบคุม AI

ชุดบทความ: เลือกอ่านตามคำถามของคุณ

1. คนควรอยู่ตรงไหน? Judgment และ Human Oversight ในงานการเงิน: ออกแบบการควบคุมและหลักฐานเพื่อการสอบทาน
2. ใครมีอำนาจตัดสิน? Judgment และ DOA: อำนาจอนุมัติและดุลยพินิจเมื่อใช้ AI ช่วยจัดทำ
3. ความเสี่ยงใดต้องควบคุม? Judgment และ Risk: บริหารความเสี่ยงเมื่อ AI เป็นทั้งเครื่องมือและแหล่งความเสี่ยง
4. ทำให้เกิดจริงทุกงวดอย่างไร? ออกแบบกระบวนการและระบบบริหารความเสี่ยง: ให้ Judgment และ AI Control เกิดขึ้นจริงทุกงวด

อ่านภาพรวมโดยแยกผู้รับผิดชอบออกจากผู้มีอำนาจ

ในชุดนี้ “ผู้รับผิดชอบหลักของกระบวนการ” มาจาก Process Owner หมายถึงบทบาทที่ดูแลผลลัพธ์ของงานตั้งแต่ต้นจนจบ ประสานผู้เกี่ยวข้องและติดตามปัญหาภายในอำนาจที่ได้รับ ไม่ใช่เจ้าของกิจการ ส่วนผู้รับผิดชอบระบบงาน ผู้รับผิดชอบความเสี่ยง ผู้รับผิดชอบการควบคุม ผู้สอบทานและผู้อนุมัติ ต้องกำหนดหน้าที่แยกกัน แม้บางบทบาทอาจเป็นคนเดียวกัน

DOA หรือ Delegation of Authority คือคู่มืออำนาจตัดสินและอนุมัติ RCM หรือ Risk and Control Matrix คือตารางเชื่อมความเสี่ยงกับการควบคุม ส่วน To-Be คือกระบวนการที่ออกแบบให้ใช้ต่อไป รายละเอียดบทบาทและคำที่ใช้ในการปฏิบัติอธิบายเพิ่มเติมใน Playbook ที่เชื่อมไว้ท้ายบทความ

สามองค์ประกอบที่ต้องทำงานร่วมกัน

Judgment คือการประเมินและตัดสินใจอย่างมีเหตุผลภายใต้ข้อมูลและข้อจำกัด Human Oversight คือการจัดบทบาท ข้อมูล เวลา และอำนาจให้คนกำกับได้จริง ส่วนการบริหารความเสี่ยงกำหนดวัตถุประสงค์ สิ่งที่อาจผิด วิธีตอบสนอง และความเสี่ยงคงเหลือ ทั้งสามเกี่ยวข้องตลอดกระบวนการ ไม่ได้จำกัดดุลยพินิจไว้เฉพาะจุดเสี่ยงสูงสุด

ในมุม DHISORA ความเสี่ยง → รูปแบบ Oversight → อำนาจและจุดควบคุม → การปฏิบัติและหลักฐาน → การทบทวน เป็นความสัมพันธ์ที่ควรเชื่อมกัน หลักฐานมีทั้งข้อมูลต้นทาง ผลตรวจ บันทึกการแก้ไข และเหตุผล ไม่ใช่เพียงหลักฐานที่คนลงนาม และหลักฐานก็อาจผิดหรือไม่ครบจึงต้องตรวจคุณภาพด้วย

เลือก Loop ตามความเสี่ยง ไม่ใช่ตามปริมาณงานอย่างเดียว

คำเหล่านี้ใช้เป็นภาษาสำหรับออกแบบในชุดบทความ ไม่ใช่ระดับมาตรฐานสากลที่มีความหมายเหมือนกันทุกกรอบ ต้องระบุหน้าที่และจังหวะการแทรกแซงจริง HIC เป็นชั้นกำกับที่ครอบรูปแบบอื่น ไม่ใช่ระดับอัตโนมัติลำดับที่สี่

ฝังดุลยพินิจตลอดวงจรและเชื่อมบทความทั้งสี่

ตารางนี้เป็นการสังเคราะห์ของ DHISORA ขั้นงานอาจวนกลับและทำร่วมกันได้ ไม่ใช่ลำดับบังคับหรือวงจรทดแทนกรอบบริหารความเสี่ยงทั้งหมด COSO GenAI ปี 2026 นำกรอบการควบคุมเดิมมาประยุกต์กับการใช้ GenAI ไม่ใช่กฎหมายหรือใบรับรอง AI [1]

ลดความเสี่ยงด้วยหลายกลไก และพูดถึงความเสี่ยงที่เหลือ

การไม่ใช้ AI ในกิจกรรมหนึ่งอาจตัดแหล่งความเสี่ยงเฉพาะออก แต่ความเสี่ยงจากคน ข้อมูลหรือวิธีสำรองยังอยู่ การป้องกัน ค้นพบ จำกัดวง และแก้ไขก็ลดความเสี่ยงได้เมื่อทำงานจริง ไม่ควรอ้างว่าความเสี่ยงรวมเป็นศูนย์ หรือว่าการพบข้อผิดพลาดทุกครั้งจะลดผลกระทบได้หากพบช้าเกินไป

การยอมรับความเสี่ยงคงเหลือเป็นการตัดสินใจที่ต้องมีขอบเขต ผู้มีอำนาจ และเหตุผล ไม่ใช่คำสั่งให้ลดข้อกำหนดบังคับ การลงนามแต่ละประเภทอาจหมายถึงจัดทำ สอบทาน หรืออนุมัติ จึงไม่ควรตีความว่าทุกลายมือชื่อคือการยอมรับความเสี่ยงทั้งหมดขององค์กร

กรณีสมมติที่ 1: ประมาณการ ECL ที่ใช้ดุลยพินิจสูง

สมมติบริษัทเตรียม IPO ใช้ TFRS ชุดเต็มและ TFRS 9 กับลูกหนี้ในกรณีนี้ AI รวบรวมข้อมูลและเสนออัตราผลขาดทุนด้านเครดิตที่คาดว่าจะเกิดขึ้น (ECL) ผู้มีอำนาจยังต้องประเมินวิธีและสมมติฐาน ตัวอย่างนี้ไม่ใช่ข้อสรุปว่ากิจการขนาดกลางทุกแห่งต้องใช้ ECL แบบเดียวกัน

TFRS 9 ย่อหน้า 5.5.17–5.5.18 กำหนดให้การวัดสะท้อนผลลัพธ์ที่ถ่วงน้ำหนักตามความน่าจะเป็นและปราศจากอคติ มูลค่าเงินตามเวลา และข้อมูลที่สมเหตุสมผลและสนับสนุนได้เกี่ยวกับอดีต ปัจจุบัน และอนาคต โดยไม่ต้องระบุทุกฉากทัศน์ [2] ตารางเป็นภาพการควบคุม ไม่ใช่คู่มือคำนวณ ECL ทั้งหมด

กรณีสมมติที่ 2: จับคู่รับเงินปริมาณสูง

สมมติบริษัทรับเงินหลายพันรายการต่อเดือน เริ่มให้ AI เสนอการจับคู่กับใบแจ้งหนี้ และให้ระบบรับผลเฉพาะเมื่อเข้าเงื่อนไขที่ทดสอบและอนุมัติแล้ว สิทธิ์นี้ไม่ครอบคลุมการตัดหนี้สูญ การบันทึกปรับปรุง หรือการจ่ายเงิน เว้นแต่มีอำนาจและการควบคุมแยกที่เหมาะสม

ปริมาณสูงไม่ทำให้ความเสี่ยงอยู่ระดับกลางโดยอัตโนมัติ ต้องประเมินมูลค่ารวม ความผิดพลาดร่วม ความเร็วและเวลาที่ใช้หยุด กำหนดขอบเขตจากความเสี่ยงหลายด้าน ไม่ใช้ความมีสาระสำคัญทางบัญชีเป็นเกณฑ์เดียวสำหรับข้อมูลส่วนบุคคล การทุจริต หรือข้อกำหนดบังคับ

หลักฐานทำให้สอบทานได้ แต่ไม่รับประกันการพึ่งพา

ผู้บริหารใช้ข้อมูลเพื่อตัดสินและดำเนินงาน ผู้กำกับดูแลใช้เพื่อกำกับและตั้งคำถาม ส่วนผู้สอบบัญชีประเมินหลักฐานตามวัตถุประสงค์และมาตรฐานของงาน การมีคน อำนาจ กรอบความเสี่ยง การควบคุม และเหตุผลครบ ช่วยให้ประเมินได้ดีขึ้น แต่ไม่ใช่เงื่อนไขเพียงพอที่รับประกันทุกฝ่ายจะพึ่งได้

TSA 330 กำหนดความรับผิดชอบของผู้สอบบัญชีในการตอบสนองต่อความเสี่ยง รวมถึงการทดสอบการควบคุมเมื่อเข้าเงื่อนไข [3] TSA 540 (ปรับปรุง) เกี่ยวข้องกับการตรวจประมาณการและการเปิดเผยข้อมูล [4] บันทึกของฝ่ายบริหารเป็นข้อมูลประกอบ ไม่แทนวิธีตรวจสอบที่ผู้สอบบัญชีต้องเลือก

หลักฐานที่มีประโยชน์จึงเชื่อมข้อมูลต้นทาง วิธี สมมติฐาน ทางเลือกสำคัญ ผลตรวจ สิ่งที่แก้ อำนาจ และเวอร์ชันที่เกี่ยวข้อง พร้อมสิทธิ์เข้าถึงและการเก็บรักษาที่เหมาะสม ไม่ใช่การเก็บทุก prompt หรือข้อความทั้งหมดโดยไม่มีวัตถุประสงค์ การอ้างกรอบไม่เท่ากับการพิสูจน์ประสิทธิผล

ความหมายต่อทิศทาง DHISORA

คุณค่าที่ DHISORA มุ่งสร้างคือช่วยผู้บริหารออกแบบและใช้ดุลยพินิจในกระบวนการการเงินที่มีความรับผิดชอบ เชื่อมบัญชี ความเสี่ยง อำนาจ การควบคุมและหลักฐาน โดยใช้ AI สนับสนุน ภาระความรับผิดชอบยังเป็นของผู้เกี่ยวข้องตามบทบาท และงานเทคนิค ความปลอดภัยหรือกฎหมายต้องมีผู้เชี่ยวชาญที่เหมาะสมเมื่อจำเป็น

การควบคุมที่ได้ผลอาจช่วยให้องค์กรขยายการใช้ AI ในขอบเขตที่พิสูจน์ได้ แต่ไม่จำเป็นต้องขยายทุกงานหรือเพิ่มขั้นอนุมัติทุกจุด ข้อเสนอควรให้คุณค่าต่อการตัดสินใจและผลการดำเนินงานจริง ไม่ตั้งราคาเพียงเพราะมี AI หรือมีผู้ลงนาม

นำภาพรวมไปใช้ต่อ: Playbook พร้อมแบบฟอร์มและเกณฑ์เริ่มใช้ หยุด และกลับมาใช้งาน

หารือ Judgment และจุดควบคุมในกระบวนการการเงิน

เผยแพร่ 10 ตุลาคม 2569 โดย DHISORA Advisory บทสังเคราะห์เพื่อการประเมินและออกแบบ ไม่ใช่ความเห็นทางกฎหมาย การรับรองระบบ หรือรายงานให้ความเชื่อมั่น ต้องพิจารณาประเภทกิจการ กรอบบัญชี งวดที่ใช้ และขอบเขตงานก่อนนำไปปฏิบัติ