บทที่ 5 ความเสี่ยงในการตรวจสอบ และการควบคุมภายใน

1. บทที่ 5ความเสี่ยงในการตรวจสอบและการควบคุมภายใน

2. ขั้นตอนการวางแผนงานสอบบัญชีขั้นตอนการวางแผนงานสอบบัญชี การพิจารณารับงานสอบบัญชี การรวบรวมข้อมูลเกี่ยวกับธุรกิจที่ตรวจสอบ การวิเคราะห์เปรียบเทียบในเบื้องต้น การกำหนดระดับความมีสาระสำคัญ การประเมินความเสี่ยงในการสอบบัญชีที่ยอมรับได้ และความเสี่ยงสืบเนื่อง การทำความเข้าใจในระบบการควบคุมภายในและการประเมินความเสี่ยงจากการควบคุม การพัฒนาแผนการสอบบัญชีโดยรวมและแนวการสอบบัญชี

3. ความเสี่ยงในการปฏิบัติงานตามวิชาชีพความเสี่ยงในการปฏิบัติงานตามวิชาชีพ ความเสี่ยงที่เกี่ยวข้องกับการให้บริการลูกค้า ซึ่งอาจมีผลทำให้ผู้สอบบัญชีเสื่อมเสียชื่อเสียง การเผยแพร่ข่าวสารในเชิงลบ หรือถูกฟ้องร้องเรียกค่าเสียหาย

4. ความเสี่ยงในการสอบบัญชี (Audit Risk:AR) ความเสี่ยงที่ผู้สอบบัญชีแสดงความคิดเห็นที่ไม่เหมาะสมเมื่องบการเงินแสดงข้อมูลที่ขัดต่อข้อเท็จจริงอันเป็นสาระสำคัญ (Material Misstatement)

5. องค์ประกอบของความเสี่ยงในการสอบบัญชีองค์ประกอบของความเสี่ยงในการสอบบัญชี • ความเสี่ยงสืบเนื่อง (Inherent Risk: IR) • ความเสี่ยงจากการควบคุม (Control Risk:CR) • ความเสี่ยงจากการตรวจสอบ (Detection Risk: DR) • IR และ CR เป็นความเสี่ยงที่อยู่นอกเหนือการควบคุมของผู้สอบฯรวมเรียกว่า Risk of Material Misstatement: RMM • DR อยู่ภายใต้การควบคุมของผู้สอบบัญชีได้ = ความเสี่ยงจากการตรวจสอบที่วางแผนไว้ (Planned Detection Risk: PDR) RMM PDR

6. ความเสี่ยงสืบเนื่อง (Inherent Risk : IR) โอกาสที่ยอดคงเหลือของบัญชีหรือประเภทของรายการแสดงข้อมูลที่ขัดต่อข้อเท็จจริง ซึ่งอาจมีสาระสำคัญในแต่ละรายการ หรือมีสำระสำคัญเมื่อรวมกับการแสดงข้อมูลที่ขัดต่อข้อเท็จจริงในยอดคงเหลืออื่นหรือประเภทของรายการอื่น โดยไม่คำนึงถึงการควบคุมภายในที่อาจมีอยู่ ซึ่งอาจป้องกัน หรือตรวจพบและแก้ไขการแสดงข้อมูลที่ขัดต่อข้อเท็จจริงดังกล่าวได้

7. ผู้สอบบัญชีใช้ดุลยพินิจในการประเมินความเสี่ยงสืบเนื่องใน 2 ระดับใหญ่ๆ • ความเสี่ยงสืบเนื่องในระดับงบการเงิน • ลักษณะทางธุรกิจของกิจการ • ความซื่อสัตย์ ประสบการณ์และความรู้ของผู้บริหาร และการเปลี่ยนแปลงผู้บริหารในระหว่างการตรวจสอบ • แรงกดดันที่ผิดปกติต่อผู้บริหาร • ปัจจัยซึ่งกระทบต่ออุตสาหกรรมที่กิจการดำเนินงานอยู่

8. ผู้สอบบัญชีใช้ดุลยพินิจในการประเมินความเสี่ยงสืบเนื่องใน 2 ระดับใหญ่ๆ • ความเสี่ยงสืบเนื่องในระดับสิ่งที่ผู้บริหารได้ให้การรับรองไว้ของประเภทรายการ ยอดคงเหลือของบัญชีและการเปิดเผยข้อมูล • ความซับซ้อนของรายการ และเหตุการณ์อื่นที่อาจต้องใช้ผลงานของผู้เชี่ยวชาญ หรือบัญชีที่ต้องอาศัยการประมาณการและดุลยพินิจในการกำหนดยอดคงเหลือ • ความเป็นไปได้ที่สินทรัพย์จะสูญหายหรือถูกยักยอก • รายการผิดปกติและซับซ้อน รายการที่ไม่ผ่านการประมวลผลตามปกติ

9. ความเสี่ยงจากการควบคุม (Control Risk :CR) ความเสี่ยงที่ระบบบัญชีหรือระบบการควบคุมภายในไม่สามารถป้องกัน หรือตรวจพบและแก้ไขการแสดงข้อมูลที่ขัดต่อข้อเท็จจริงได้อย่างทันเวลา

10. ตัวอย่างความเสี่ยงจากการควบคุมตัวอย่างความเสี่ยงจากการควบคุม • ไม่มีนโยบายหรือแนวทางในการปฏิบัติงาน ซึ่งส่งผลให้ไม่มี • การแบ่งแยกหน้าที่อย่างเพียงพอ • เจ้าหน้าที่มีหน้าที่จัดทำเช็คและทำงบพิสูจน์ยอดเงินฝากธนาคาร • โดยผู้บังคับบัญชาไม่เคยสอบทานรายละเอียดการทำเลย • ดูเพียงมีการจัดทำ • มีการไว้ใจพนักงานมากเกินไป จึงให้ทำหน้าที่ทุกอย่างเกี่ยวกับ • รายงานทางการเงิน • ไม่สามารถอธิบายเหตุผลของรายการปรับปรุงเกี่ยวกับสินทรัพย์ • และรายการกระทบยอดที่ค้างนานได้

11. ความเสี่ยงจากการตรวจสอบ (Detection Risk : DR) ความเสี่ยงที่วิธีการตรวจสอบเนื้อหาสาระ ซึ่งผู้สอบบัญชีใช้จะไม่สามารถพบการแสดงข้อมูลที่ขัดต่อข้อเท็จจริงที่มีอยู่ในยอดคงเหลือของบัญชีหรือประเภทของรายการ ซึ่งอาจเนื่องจากสาเหตุเหล่านี้ • ความเสี่ยงจากการเลือกตัวอย่าง • วิธีการตรวจสอบที่ไม่มีประสิทธิภาพ • มีข้อบกพร่องในการปฏิบัติงานตรวจสอบ หรือสรุปความเห็นผิดพลาดเกี่ยวกับหลักฐานการสอบบัญชี

12. ความเสี่ยงสืบเนื่อง (IR) การควบคุมภายใน ความเสี่ยงจากการควบคุม (CR) การตรวจสอบ ความเสี่ยงจากการตรวจสอบ (DR)

13. แบบจำลองความเสี่ยงในการสอบบัญชี(Audit Risk Model) AAR = RMM x PDR AAR = IR x CR x PDR PDR= AAR RMM PDR = AAR IR x CR AAR Acceptable Audit Risk ความเสี่ยงในการสอบบัญชีที่ยอมรับได้ IR Inherent Risk ความเสี่ยงสืบเนื่อง CR Control Risk ความเสี่ยงจากการควบคุม PDR Planned Detection Risk ความเสี่ยงจากการตรวจสอบที่วางแผนไว้ RMMRisk of Material Misstatementความเสี่ยงจากการแสดงข้อมูลที่ขัดต่อข้อเท็จจริง

14. ความสัมพันธ์ของความเสี่ยงกับหลักฐานการสอบบัญชีความสัมพันธ์ของความเสี่ยงกับหลักฐานการสอบบัญชี สถานการณ์ AAR IR CR PDRปริมาณหลักฐานที่ ต้องการ 1 สูง ต่ำ ต่ำ สูงน้อย 2 ต่ำ ต่ำ ต่ำ กลาง กลาง 3 ต่ำ สูง สูง ต่ำมาก 4 กลาง กลาง กลาง กลางกลาง 5 สูง ต่ำ กลาง กลางกลาง

15. ความสัมพันธ์ขององค์ประกอบของความเสี่ยงในการสอบบัญชีความสัมพันธ์ขององค์ประกอบของความเสี่ยงในการสอบบัญชี PDR สูง AAR กลาง ต่ำ IR x CR 0 ต่ำ กลาง สูง

16. ระบบการควบคุมภายใน (Internal Control System) กระบวนการ นโยบายและวิธีการปฏิบัติซึ่งผู้บริหารของกิจการกำหนดขึ้นเพื่อช่วยให้กิจการบรรลุถึงเป้าหมายและวัตถุประสงค์ที่ตั้งไว้ได้สำเร็จ ซึ่งจะทำให้เกิดความมั่นใจเท่าที่จะสามารถทำได้ว่าการดำเนินธุรกิจเป็นไปอย่างมีประสิทธิผลและมีประสิทธิภาพซึ่งรวมถึงการปฏิบัติตามนโยบายของผู้บริหารการป้องกันรักษาทรัพย์สินการป้องกันและการตรวจพบการทุจริตและข้อผิดพลาดความถูกต้องและความครบถ้วนของการบันทึกบัญชีและการจัดทำข้อมูลทางการเงินที่เชื่อถือได้อย่างทันเวลา

17. แนวคิดการควบคุมภายในของ COSO ระบบการควบคุมภายในประกอบด้วยนโยบายและวิธีปฏิบัติงานที่กำหนดขึ้นภายในองค์กร เพื่อให้ความมั่นใจอย่างสมเหตุสมผลว่าจะบรรลุวัตถุประสงค์และเป้าหมาย ในเรื่องต่อไปนี้ • ความเชื่อถือได้ของงบการเงิน • ประสิทธิภาพ (Efficiency) และประสิทธิผล(Effectiveness) ของการดำเนินงาน • การปฏิบัติตามกฎหมายและข้อบังคับที่เกี่ยวข้อง

18. องค์ประกอบของการควบคุมภายในตาม COSO • สภาพแวดล้อมของการควบคุม(Control Environment) • การประเมินความเสี่ยง (Risk Assessment) • กิจกรรมการควบคุม(Control Activities) • สารสนเทศและการสื่อสาร(Information and Communication) • การติดตามและประเมินผล(Monitoring)

19. 1. สภาพแวดล้อมของการควบคุม นโยบาย วิธีการและวิธีปฏิบัติต่างๆที่แสดงให้เห็นถึงทัศนคติของผู้บริหารที่มีต่อการควบคุมภายใน • ความซื่อสัตย์และจริยธรรมของผู้บริหาร • ความรู้ความสามารถของผู้บริหาร • การมีส่วนร่วมอย่างมีประสิทธิภาพของคณะกรรมการบริหารและ Audit committee • โครงสร้างการจัดองค์กร • การมอบหมายอำนาจหน้าที่และความรับผิดชอบ • นโยบายการจัดการด้านบุคลากร

20. 2. การประเมินความเสี่ยง ผู้บริหารต้องหามาตรการเพื่อจัดการกับความเสี่ยง โดยการระบุปัจจัยที่ก่อให้เกิดความเสี่ยงและโอกาสที่จะเกิดความเสี่ยง แล้วพัฒนาวิธีการเพื่อลดความเสี่ยงให้อยู่ระดับที่ยอมรับได้ • การจัดให้มีระบบการควบคุมภายในที่สำคัญ อาจช่วยป้องกันความเสี่ยงที่เกิดจากการทุจริตและข้อผิดพลาดได้ในระดับหนึ่ง • การบริหารสินค้าคงเหลืออย่างมีประสิทธิภาพช่วยป้องกันความเสี่ยงที่สินค้าคงเหลือมีมากเกินไป • การวิเคราะห์และอนุมัติการให้สินเชื่อและมาตรการการติดตามหนี้ที่มีประสิทธิภาพ ช่วยป้องกันความเสี่ยงที่จะเกิดหนี้สูญ

21. 3. กิจกรรมการควบคุม นโยบายและวิธีการต่างๆที่จะสนับสนุนกิจกรรมที่จะป้องกันความเสี่ยงที่อาจเกิด • การแบ่งแยกหน้าที่อย่างเหมาะสม • การอนุมัติรายการบัญชีและการปฏิบัติงาน • การตรวจสอบการปฏิบัติงานโดยอิสระ

22. 4. สารสนเทศและการสื่อสาร เพื่อกำหนดวิธีการบันทึกรายการที่เกิดขึ้น จัดทำและรายงานผลของรายการดังกล่าว ตลอดจนการกำหนดให้มีวิธีการควบคุมสินทรัพย์ของกิจการ 5. การติดตามและประเมินผล เพื่อให้มั่นใจได้ว่านโยบายและวิธีการต่างๆที่กำหนดไว้มีการปฏิบัติตาม อย่างมีประสิทธิภาพ

23. การบริหารความเสี่ยง - ERM องค์ประกอบของการบริหารความเสี่ยง • สภาพแวดล้อม • การกำหนดวัตถุประสงค์ • การระบุเหตุการณ์ • การประเมินความเสี่ยง • การตอบสนองความเสียง • กิจกรรมการควบคุม • สารสนเทศและการสื่อสาร • การติดตามผล

24. การประเมินความเสี่ยงจากการแสดงข้อมูลที่ขัดต่อข้อเท็จจริงอันเป็นสาระสำคัญการประเมินความเสี่ยงจากการแสดงข้อมูลที่ขัดต่อข้อเท็จจริงอันเป็นสาระสำคัญ พิจารณาจากองค์ประกอบการควบคุมภายใน • สภาพแวดล้อม • การประเมินความเสี่ยง • กิจกรรมการควบคุม • สารสนเทศและการสื่อสาร • การติดตามผล

25. การทำความเข้าใจในระบบการควบคุมภายในและการประเมินความเสี่ยงจากการควบคุมการทำความเข้าใจในระบบการควบคุมภายในและการประเมินความเสี่ยงจากการควบคุม • การทำความเข้าใจในระบบการควบคุมภายในและการประเมินความเสี่ยงจากการควบคุม ผู้สอบบัญชีควรได้มาซึ่งความเข้าใจในระบบบัญชีและระบบการควบคุมภายในอย่างเพียงพอ เพื่อที่จะกำหนดและข้าใจเกี่ยวกับประเภทของรายการที่สำคัญในการดำเนินงานของกิจการ การเกิดขึ้นของรายการบันทึกรายการบัญชีและเอกสารประกอบรายการที่สำคัญตลอดจนบัญชีที่สำคัญในงบการเงินกระบวนการของการบัญชีและรายงานทางการเงินจากจุดเริ่มต้นของรายการและเหตุการณ์ที่สำคัญจนถึงการนำรายการหรือเหตุการณ์ดังกล่าวมาแสดงอยู่ในงบการเงิน

26. การทำความเข้าใจในระบบการควบคุมภายในและการประเมินความเสี่ยงจากการควบคุมการทำความเข้าใจในระบบการควบคุมภายในและการประเมินความเสี่ยงจากการควบคุม ผู้สอบบัญชีควรพิจารณาระดับของความเสี่ยงสืบเนื่องและความเสี่ยงจากการควบคุมที่ได้ประเมินไว้ในการกำหนดลักษณะ ระยะเวลาและขอบเขตของวิธีการตรวจสอบเนื้อหาสาระที่จำเป็นเพื่อลดความเสี่ยงในการสอบบัญชีให้อยู่ในระดับต่ำพอที่จะยอมรับได้

27. ขั้นตอนการทำความเข้าใจระบบบัญชีและระบบการควบคุมภายในขั้นตอนการทำความเข้าใจระบบบัญชีและระบบการควบคุมภายใน 1. วิธีการทำความเข้าใจระบบบัญชีและระบบการควบคุมภายใน • ประสบการณ์ตรวจสอบที่ผ่านมาและการสอบทานเพิ่มความมั่นใจในงวดปัจจุบัน • สอบถามผู้บริหารผู้ควบคุมงานและบุคคลากรอื่นรวมทั้งการอ้างอิงถึงเอกสารเช่นคู่มือการปฏิบัติงาน • ตรวจสอบเอกสารและบันทึกรายการ - walk through • สังเกตการณ์การปฏิบัติงานและการดำเนินงานของกิจการ

28. ขั้นตอนการทำความเข้าใจระบบบัญชีและระบบการควบคุมภายในขั้นตอนการทำความเข้าใจระบบบัญชีและระบบการควบคุมภายใน 2. วิธีบันทึกระบบบัญชีและระบบการควบคุมภายใน • การเขียนคำอธิบาย (Narrative) • การใช้ผังทางเดินเอกสาร (Flowchart) • การใช้แบบสอบถาม (Internal Control Questionaire)

29. การประเมินความเสี่ยงจากการควบคุมการประเมินความเสี่ยงจากการควบคุม ข้อมูลที่รวบรวมจากการทำความเข้าใจในระบบบัญชีและระบบการควบคุมภายในสามารถช่วยผู้สอบบัญชีในการวางแผนการตรวจสอบ ดังต่อไปนี้ • สามารถระบุถึงรายการที่อาจมีการแสดงข้อมูลที่ขัดต่อข้อเท็จจริงอย่างเป็นสาระสำคัญได้ • สามารถประเมินความเสี่ยงจากการควบคุม ซึ่งจะเป็นตัวกำหนดลักษณะระยะเวลา และขอบเขตของวิธีการตรวจสอบเนื้อหาสาระที่จำเป็น เพื่อลดความเสี่ยงของการสอบบัญชีให้อยู่ในระดับต่ำที่ยอมรับได้

30. การประเมินความเสี่ยงจากการควบคุมการประเมินความเสี่ยงจากการควบคุม การประเมินความเสี่ยงจากการควบคุมในเบื้องต้น สำหรับแต่ละยอดคงเหลือในบัญชี หรือแต่ละประเภทของรายการ ที่มีสาระสำคัญ หลังจากผู้สอบบัญชีได้มาซึ่งความเข้าใจในระบบบัญชี และระบบการควบคุมภายในแล้ว

31. การทดสอบการควบคุม (Test of Control) • หากกิจการมีจุดอ่อนในระบบบัญชีและระบบการควบคุมภายในมาก ก็ไม่ควรใช้การทดสอบการควบคุม • อาจไม่ใช้การทดสอบการควบคุม หากเห็นว่าการใช้วิธีการตรวจสอบเนื้อหาสาระให้ประโยชน์ในการช่วยลดต้นทุน และประหยัดเวลาในการสอบบัญชี วิธีการทดสอบการควบคุม • การตรวจสอบเอกสารประกอบรายการ • การสอบถามบุคคลากรเกี่ยวกับระบบการควบคุมภายในกิจการ • การสังเกตุการณ์เกี่ยวกับการควบคุมภายใน • การปฏิบัติซ้ำเกี่ยวกับการควบคุมภายใน

32. ข้อควรพิจารณาในการทดสอบการควบคุมข้อควรพิจารณาในการทดสอบการควบคุม • การให้ได้มาซึ่งความเข้าใจในระบบบัญชีและระบบการควบคุมภายในอาจถือเป็นการทดสอบการควบคุมได้ • หากเห็นว่าระบบมีประสิทธิผล สามารถใช้ผลดังกล่าวกำหนดลักษณะ ระยะเวลา และขอบเขตการตรวจสอบเนื้อหาสาระได้ • ไม่คำนึงถึงจำนวนเงิน • ควรมั่นใจว่าการทดสอบได้ครอบคลุมทุกช่วงระยะเวลา • หากพบการไม่ปฏิบัติตามระบบเพียงบางครั้ง ต้องขยายขอบเขต แต่หากเป็นการไม่ปฏิบัติตามตลอดรอบระยะเวลาบัญชีอาจตัดสินใจไม่เชื่อถือในระบบ • ควรมั่นใจว่าระบบมีประสิทธิผลและปฏิบัติตามสม่ำเสมอตลอดระยะเวลาบัญชี

33. การรายงานจุดอ่อนของระบบการควบคุมภายในการรายงานจุดอ่อนของระบบการควบคุมภายใน • ผู้สอบบัญชีควรแจ้งให้ทราบจุดอ่อนของระบบการควบคุมภายในที่มีสาระสำคัญ พร้อมข้อเสนอแนะเป็นลายลักษณ์อักษรหรือหนังสือถึงผู้บริการในระดับที่เหมาะสม(Management Letter)