ออกแบบกระบวนการและระบบบริหารความเสี่ยง: ให้ Judgment และ AI Control เกิดขึ้นจริงทุกงวด

อ่านต่อเนื่อง: Human Oversight · Judgment และ DOA · Judgment และ Risk · Business Process Solutions

ศัพท์สำหรับอ่านผังและเอกสารกระบวนการ

As-Is คือกระบวนการที่ปฏิบัติจริงในปัจจุบัน รวมทางลัด งานแก้ไขและเครื่องมือที่ใช้นอกขั้นตอน ส่วน To-Be คือกระบวนการที่ออกแบบให้ใช้ต่อไป ต้องอธิบายสิ่งที่จะเปลี่ยน ผู้ดำเนินการ จุดตรวจและจุดตัดสิน ไม่ใช่เพียงผังที่ดูเรียบร้อยกว่าเดิม

Risk and Control Matrix หรือ RCM คือตารางเชื่อมวัตถุประสงค์ ความเสี่ยง การควบคุม ผู้รับผิดชอบ วิธีปฏิบัติ ความถี่และหลักฐาน ส่วน RACI ระบุผู้ปฏิบัติ ผู้รับผิดชอบต่อผลสำเร็จ ผู้ให้ความเห็นและผู้รับทราบ และ DOA หรือ Delegation of Authority ระบุอำนาจตัดสินกับเงื่อนไข ทั้งสามตอบคนละคำถามจึงต้องตรวจความสอดคล้องกัน

Swim-lane คือผังที่แยกแนวงานตามบทบาทหรือระบบเพื่อให้เห็นว่าใครทำขั้นตอนใดและส่งต่อให้ใคร ผู้รับผิดชอบหลักของกระบวนการ (Process Owner) ดูแลผลลัพธ์รวม ส่วนผู้รับผิดชอบระบบงาน (System Owner) ดูแลระบบที่สนับสนุนกระบวนการตามหน้าที่ อาจเป็นคนละบุคคลกัน

เริ่มจากจุดตัดสินใจ แล้วออกแบบงานให้ส่งข้อมูลถึงจุดนั้น

กำหนดวัตถุประสงค์และสิ่งที่อาจผิดก่อนเลือกเครื่องมือ จากนั้นระบุว่าต้องตัดสินอะไร ใครตัดสินได้ ต้องเห็นข้อมูลใด และมีเวลาเท่าใด จึงออกแบบงานรอบจุดนั้น สำหรับประมาณการบัญชี ผู้มีอำนาจต้องเห็นข้อมูล วิธี สมมติฐาน ความอ่อนไหวของผลต่อสมมติฐาน และข้อจำกัดที่สำคัญทันกำหนด ไม่ใช่เพียงรับเอกสารสำเร็จรูปท้ายงวด

วางระบบเป็นวงจร พร้อมเกณฑ์ตัดสินความพร้อม

COSO ปี 2026 เสนอวงจรตั้งโครงสร้างกำกับ ทำทะเบียน use case ประเมินความเสี่ยง ออกแบบการควบคุม นำไปใช้และสื่อสาร แล้วติดตามและปรับปรุง โดยวนกลับมาทบทวนการกำกับเมื่อบริบทเปลี่ยน ไม่ใช่จบที่การติดตั้ง [2] ตารางต่อไปนี้เป็นการประยุกต์ของ DHISORA เกณฑ์ผ่านไม่ใช่ข้อบังคับห้าประตูของ COSO

เชื่อมเอกสารให้เป็นระบบเดียว และแยกบทบาทจากอำนาจ

ใช้ทะเบียนเดิมได้หากเพียงพอ เชื่อม use case → ความเสี่ยง → การควบคุม → ผู้รับผิดชอบและอำนาจ → หลักฐานด้วยรหัสอ้างอิง ความเสี่ยงหนึ่งอาจมีหลายการควบคุม และการควบคุมหนึ่งอาจตอบหลายความเสี่ยง จึงไม่ต้องบังคับให้ทุกรายการมีรหัสเดียวกันหรืออ้างว่าไล่หลักฐานได้ในขั้นตอนเดียว

RACI แสดง Responsible, Accountable, Consulted และ Informed ส่วน Accountable คือผู้รับผิดชอบต่อผลสำเร็จของงาน ไม่ได้หมายความว่ามีอำนาจอนุมัติทุกธุรกรรมโดยอัตโนมัติ DOA ระบุอำนาจและเงื่อนไขอนุมัติ สิทธิ์ในระบบทำให้ขอบเขตนั้นปฏิบัติได้ ทั้งสามต้องสอดคล้องกันและรักษาการแบ่งแยกหน้าที่

ใน swim-lane อาจแยก AI หรือระบบเป็นเลนเพื่อให้เห็นงานอัตโนมัติและจุดส่งต่อ แต่ต้องระบุผู้รับผิดชอบที่เป็นบุคคลตามบทบาทด้วย หรือใช้สัญลักษณ์ในเลนเดิมหากชัดกว่า AI ไม่ใช่ผู้รับผิดชอบทางการบริหาร ทุกการส่งต่อไม่จำเป็นต้องเป็นขั้นอนุมัติ แต่ต้องระบุว่ารับ ตรวจ หรืออนุมัติอะไร

การอนุมัติระบบให้ใช้งานเป็นการอนุมัติวิธีและขอบเขต ไม่แทนการอนุมัติธุรกรรมที่กฎหมาย นโยบาย หรือ DOA ยังสงวนไว้ แยกการจับคู่ การปรับปรุงบัญชี การตัดหนี้หรือผลต่าง และการจ่ายเงินออกจากกัน

ตัวอย่าง RCM: AI ช่วยจับคู่รายการกระทบยอดธนาคาร

ความเสี่ยงคือระบบจับคู่ผิดหรือซ่อนรายการคงค้าง จนผู้สอบทานเข้าใจว่างบกระทบยอดถูกต้อง การกระทบยอดช่วยเรื่องความครบถ้วนและความถูกต้องของยอด แต่ไม่ได้พิสูจน์ข้อยืนยันทุกด้าน เช่น สิทธิในเงินฝาก ด้วยตัวเอง ตารางนี้แสดงช่องข้อมูลสำหรับหนึ่ง use case สามารถแยกเป็นหลาย control ID ใน RCM จริง

การควบคุมที่ใช้ AI ต้องประเมินทั้งเทคโนโลยีและการปฏิบัติ

IT General Controls หรือ ITGC คือการควบคุมทั่วไปด้านเทคโนโลยีสารสนเทศ เช่น การบริหารสิทธิ์ การควบคุมการเปลี่ยนแปลงและการปฏิบัติงานระบบ ส่วนการควบคุมเฉพาะงานตรวจว่าข้อมูลและตรรกะที่ใช้กับกิจกรรมนั้นถูกต้อง เช่น การจับคู่ต้องตรวจผู้จ่ายและเอกสารอ้างอิง ไม่ใช่ดูเพียงว่าผู้ใช้เข้าสู่ระบบได้ถูกต้อง

แยกการควบคุมด้วยคน อัตโนมัติตามกฎ และการควบคุมที่พึ่งผล AI รวมถึงแบบผสม การแบ่งนี้ช่วยระบุสิ่งที่ต้องทดสอบ ไม่ได้แปลว่า AI ทุกชนิดให้ผลต่างกันทุกครั้ง หรือการควบคุมตามกฎเชื่อถือได้เพียงเพราะ ITGC ได้ผล

ต้องประเมินตรรกะ การตั้งค่า ข้อมูล สิทธิ์ และการเปลี่ยนแปลงที่เกี่ยวข้องด้วย ระบบ GenAI อาจเปลี่ยนพฤติกรรมเมื่อรุ่น ข้อมูล หรือ configuration เปลี่ยน จึงควรบันทึกเวอร์ชันเท่าที่ระบุได้ หากผู้ให้บริการไม่เปิดเผยรุ่นย่อย ให้เก็บข้อมูลที่ทราบและใช้การทดสอบพฤติกรรมประกอบ การเลือกวิธีทดสอบและการพึ่งพาของผู้สอบบัญชีเป็นดุลยพินิจของผู้สอบบัญชี

ทดสอบก่อนใช้: เกณฑ์ต้องมาก่อนผล

กำหนดเกณฑ์ผ่านก่อนเห็นผล ตรวจว่าการออกแบบตอบความเสี่ยงหรือไม่ มีการนำไปใช้จริงหรือไม่ และมีหลักฐานการปฏิบัติในช่วงที่ทดสอบหรือไม่ การทดลองสั้น ๆ ไม่พิสูจน์ว่าการควบคุมทำงานได้ตลอดปี วิธีเดิมที่ใช้เปรียบเทียบก็อาจผิด จึงควรมีผลที่ตรวจยืนยันได้เป็นฐาน

สำหรับงานปิดบัญชี การเดินคู่ขนานหนึ่งรอบอาจเป็นจุดเริ่มต้น แต่จำนวนรอบและชุดทดสอบขึ้นกับความเสี่ยง ช่วงปลายปี ปริมาณงาน และรายการหายาก อาจต้องทดสอบเพิ่ม จัดข้อมูลผิดพลาดและการโจมตีจำลองในสภาพแวดล้อมแยกที่ได้รับอนุมัติ ไม่ให้กระทบรายการจริงหรือเปิดเผยข้อมูลลับ NIST GenAI Profile เป็นแนวทางประกอบการประเมินความเสี่ยงและทดสอบ ไม่ใช่เกณฑ์รับรองระบบ [3]

ติดตามทั้งระบบและคุณภาพดุลยพินิจ

อ่านตัวชี้วัดร่วมกับบริบท อัตราที่คนแก้ผล AI ต่ำอาจสะท้อนคุณภาพที่ดีหรือการตรวจไม่จริง เวลาสอบทานสั้นอาจมาจากงานง่ายหรือภาระเกินกำลัง อัตราตรวจพบข้อผิดพลาดจำลองสะท้อนผลเฉพาะชุดทดสอบ ไม่ใช่ตัววัด Judgment ทั้งหมด จึงต้องประกอบด้วยหลักฐานและการสืบหาสาเหตุ

ขนาดพอดี แต่ไม่ลดความรับผิดชอบหรือความเป็นอิสระ

กิจการขนาดกลางอาจเริ่มจากตารางและการควบคุมไม่กี่ข้อในกระบวนการสำคัญ CFO อาจทำหลายบทบาท แต่ต้องแสดงความขัดแย้งและวิธีตรวจทานชดเชยตามบริบท คณะกรรมการตรวจสอบทำหน้าที่กำกับ ไม่ใช่ผู้ปฏิบัติงานสายที่สอง และการจ้างตรวจสอบภายในจากภายนอกต้องรักษาความเป็นอิสระและขอบเขตงาน [4]

ฝ่ายบริหารดูแลการปฏิบัติและความเสี่ยง บทบาทสายที่สองสนับสนุนและท้าทาย ส่วนตรวจสอบภายในให้ความเชื่อมั่นและคำปรึกษาอย่างเป็นอิสระ การออกแบบโดยที่ปรึกษาไม่ทำให้ที่ปรึกษารับอำนาจตัดสินใจแทนผู้บริหาร และงานทดสอบเทคนิคหรือความปลอดภัยควรมีผู้เชี่ยวชาญที่เหมาะสม

กำหนดรอบทบทวนตามความเสี่ยง ไม่อ้างว่าทุกองค์กรต้องทบทวนปีละครั้งเท่านั้น ทบทวนนอกรอบเมื่อเครื่องมือ ข้อมูล สิทธิ์ กระบวนการหรือคนเปลี่ยน เกิดเหตุสำคัญ หรือก่อนจุดตัดสินใจอย่างการยื่น filing เริ่มจากโครงสร้างที่ขยายได้โดยไม่ต้องสร้างเอกสารซ้ำ

ใช้กรอบอ้างอิงให้ถูกสถานะ

COSO Internal Control เป็นกรอบการควบคุม และเอกสาร GenAI ปี 2026 เป็นแนวทางประยุกต์ ไม่ใช่กฎหมาย AI หรือใบรับรอง [1–2] การเชื่อมเอกสารและตัวอย่าง RCM ในบทความนี้เป็นงานวิเคราะห์ของ DHISORA ไม่ใช่แบบที่ COSO กำหนดให้ใช้

แบบประเมินของ ก.ล.ต. ใช้ประกอบการประเมินความเพียงพอของระบบควบคุมภายในในบริบทที่เกี่ยวข้อง ไม่ใช่เช็กลิสต์ AI โดยเฉพาะ [5] บริษัทที่เตรียม IPO ควรตรวจข้อกำหนดตามสถานะ กระบวนการเสนอขาย และเกณฑ์ปัจจุบัน การมีผัง นโยบาย หรือผลทดสอบไม่ได้รับประกันการผ่าน IPO หรือการพึ่งพาของผู้สอบบัญชี

อ่านภาพรวม: บทสรุป Judgment และ Human Oversight

นำไปปฏิบัติต่อ: Playbook และแบบฟอร์ม

หารือการออกแบบกระบวนการและจุดควบคุมในงานการเงิน

เผยแพร่ 10 ตุลาคม 2026 โดย DHISORA Advisory แนวทางประเมินและออกแบบ ไม่ใช่ความเห็นกฎหมาย การรับรอง หรือรายงานให้ความเชื่อมั่น การนำไปใช้ต้องตรวจข้อกำหนดตามประเภทกิจการและขอบเขตงาน พร้อมผู้เชี่ยวชาญเฉพาะด้านเมื่อจำเป็น