การตรวจสอบความก้าวหน้า ของโครงการ

1. ดร. ครรชิต มาลัยวงศ์ ราชบัณฑิต การตรวจสอบความก้าวหน้าของโครงการ

2. เนื้อหาคำบรรยาย • ตัวอย่างโครงการด้านไอที • ความเสี่ยงของโครงการไอที • การควบคุมโครงการไอที • การตรวจสอบโครงการไอที • ตัวอย่างการตรวจสอบโครงการไอที • สรุป

3. ตัวอย่างโครงการทางด้านไอทีตัวอย่างโครงการทางด้านไอที • โครงการจัดซื้อจัดหาและติดตั้งอุปกรณ์ไอทีที่เป็นลูกข่ายหรือแม่ข่ายใหม่เพื่อทดแทนอุปกรณ์เดิม โดยไม่เปลี่ยนซอฟต์แวร์ หรือเปลี่ยนเล็กน้อย • โครงการจัดซื้อจัดหาและติดตั้งซอฟต์แวร์ในเครื่องแม่ข่ายและลูกข่ายที่มีอยู่เดิม • โครงการพัฒนาระบบสารสนเทศใหม่ • โครงการพัฒนาระบบสารสนเทศส่วนขยาย • โครงการพัฒนาระบบงานประยุกต์ในเว็บ • โครงการติดตั้งระบบสารสนเทศจากส่วนกลาง เช่น GFMIS, GSMS

4. ลักษณะของโครงการที่ดีลักษณะของโครงการที่ดี • เป็นโครงการที่สนับสนุนการดำเนินงานของหน่วยงานให้ดีขึ้น • เป็นโครงการที่อยู่ในแผนแม่บทและแผนปฏิบัติการที่ถอดจากแผนแม่บท • เป็นโครงการที่ได้รับการศึกษาความเหมาะสมอย่างละเอียดรอบคอบ • เป็นโครงการที่มีการจัดหาบริษัทที่ปรึกษามาดำเนินการอย่างเหมาะสมและตรงกับระเบียบที่ได้กำหนดไว้ • เป็นโครงการที่มีการจัดทำเอกสารที่จำเป็นครบถ้วน • เป็นโครงการที่มีหัวหน้าโครงการรับผิดชอบ

5. ความเสี่ยงในด้านการทำโครงการไอทีความเสี่ยงในด้านการทำโครงการไอที • โครงการไอทีจำนวนมากประสบความล้มเหลว • ข้อกำหนดความต้องการไม่ชัดเจน • ผู้บริหารไม่สนับสนุนในด้านที่จำเป็น • ผู้บริหารโครงการไม่รู้วิธีบริหารโครงการตามหลักการปฏิบัติที่ดี • ทีมงานโครงการไม่มีความสามารถ • งบประมาณไม่พอเมื่อเทียบกับขอบเขต • เทคโนโลยีเปลี่ยนแปลงเร็ว เมื่อทำโครงการเสร็จก็ไม่สามารถจะนำไปใช้ได้ • ฯลฯ

6. การควบคุมการทำโครงการการควบคุมการทำโครงการ • มีหลักการเดียวกันกับที่ได้อธิบายไปแล้วในเรื่องการตรวจสอบระบบสารสนเทศ เพราะการพัฒนาระบบสารสนเทศส่วนใหญ่จะดำเนินการเหมือนเป็นโครงการหนึ่งนั่นเอง • มีนโยบายให้ใช้หลักการจัดการโครงการมาใช้อย่างจริงจัง เช่น ใช้ PMBOK (Project Management Body of Knowledge) หรือ โมเดล CMMI (Capability Maturity Model Integration) เป็นต้นแบบ • จัดทำและใช้กระบวนการบริหารจัดการโครงการอย่างจริงจัง

7. การตรวจสอบความก้าวหน้าของโครงการการตรวจสอบความก้าวหน้าของโครงการ คือ การสร้างความมั่นใจและให้คำปรึกษาในการทำงานโครงการที่ยังไม่เสร็จสิ้น เพื่อให้ได้โครงการประสบความสำเร็จ นั่นคือสามารถสร้างผลงานที่มีคุณภาพ มีประสิทธิภาพและใช้การได้จริง

8. เฟสที่ควรตรวจสอบ • ช่วงการวางแผนโครงการ คือการตรวจสอบในช่วงที่เริ่มวางแผนว่าจะดำเนินโครงการว่าได้จัดทำข้อกำหนดครบถ้วนหรือไม่ • ในช่วงการจัดหาบริษัทที่ปรึกษา คือการตรวจสอบว่าได้จัดหาบริษัทที่ปรึกษามาอย่างถูกต้องตามหลักเกณฑ์หรือไม่ • ในช่วงการดำเนินโครงการ คือการตรวจสอบการทำโครงการว่าถูกต้องหรือไม่ • ในช่วงหลังการติดตั้งใช้งานผลของโครงการ คือการตรวจสอบว่าโครงการได้ผลตามที่ต้องการหรือไม่

9. แนวทางการตรวจสอบ • ทำความเข้าใจสิ่งแวดล้อมของโครงการ (Hardware Software Network ระบบต่าง ๆ ข้อมูล คน) • พิจารณาความเสี่ยงที่จะมีผลต่อโครงการ (งบประมาณ นโยบาย กระบวนการ กิจกรรม ค่าใช้จ่าย การเมือง มาตรฐาน ผู้ใช้ การบริหารจัดการบุคลากรโครงการ) • พิจารณาแนวทางจากกว้างไปสู่แคบ

10. ตัวอย่างการทำ IT Audit • การควบคุมทั่วไป– เน้นด้านความมั่นคงของระบบ • การควบคุมการประยุกต์ – เลือกระบบการจัดการยานพาหนะ • การตรวจสอบความก้าวหน้าของโครงการเลือกเฟสการวางแผนและจัดหาบริษัทที่ปรึกษา

11. การควบคุมทั่วไป ด้านความมั่นคงของระบบ • วัตถุประสงค์ • ทำความเข้าใจระบบเครือข่ายที่จะใช้ในระบบ • พิจารณาตรวจสอบเส้นทางการเข้าถึงระบบด้วยโปรแกรม • พิจารณาว่ามีนโยบายและวิธีปฏิบัติที่พอเพียงหรือไม่ • พิจารณาจุดควบคุมความมั่นคงที่ฝ่ายบริหารเชื่อว่ามีอยู่แล้ว • มีการควบคุมอะไรในเครือข่ายบ้างที่ป้องกันไม่ให้ผู้ไม่เกี่ยวข้องเข้าสู่ระบบเครือข่ายได้ • มีวิธีการที่จะเข้าถึงข้อมูลที่กำหนดให้เป็นความลับ

12. ตัวอย่างการตรวจสอบGeneral control ทางด้านความมั่นคง • วิธีการตรวจสอบ • สัมภาษณ์พนักงานศูนย์ไอทีและพนักงานอื่น ๆ • ทบทวนตรวจสอบแผนผังเครือข่าย • ตรวจสอบระบบความมั่นคงของระบบ และการตั้งค่าในเครื่องของผู้ใช้ • พิจารณากฎหมาย ระเบียบ นโยบาย ที่เกี่ยวข้องกับการรักษาความลับของข้อมูล • ตรวจสอบและทดสอบความมั่นคงของเครื่องผู้ใช้ในเครือข่าย การเข้าถึงข้อมูล และ ระบบสารสนเทศ • ตรวจหาจุดอ่อนของระบบ

13. การควบคุมการประยุกต์ (Application control) การประยุกต์ระบบยานพาหนะ • วัตถุประสงค์ • ทำความเข้าใจส่วนประกอบของการควบคุมภายใน • ประเมินการควบคุมงานประยุกต์ • ประเมินการควบคุมทั่วไปบางประเด็น

14. ตัวอย่างการตรวจสอบ Application Control ระบบยานพาหนะ • วิธีการ • ทบทวนตรวจสอบเอกสาร • พิจารณาจำแนกและกำหนดลำดับความสำคัญของจุดควบคุมต่าง ๆ • ทดสอบว่าการควบคุมนั้นได้ผล • ตรวจสอบโปรแกรมเชื่อมต่อและทดสอบการเชื่อมต่อ • ทดสอบความแม่นยำและสมบูรณ์ของรายงาน

15. ตัวอย่างการตรวจสอบ Application Control ระบบยานพาหนะ • ประเด็นที่พบ • การควบคุมอินพุตไม่ค่อยดี (เช่นขาดการสอบทาน ฯลฯ.) • การควบคุมบางเรื่องไม่ทำงาน • การคำนวณไม่ถูกต้อง • รายงานไม่สมบูรณ์หรือไม่ถูกต้อง • การเชื่อมต่อไม่สามารถทำได้เหมือนที่ต้องการ

16. ตัวอย่างการตรวจสอบ Application Control ระบบยานพาหนะ • ประเด็นที่พบ (ต่อ) • ไม่มีการแบ่งแยกหน้าที่ระหว่างผู้ใช้กับพนักงานระบบสารสนเทศให้ชัดเจน • ไม่มีกระบวนการจัดการขอเปลี่ยนแปลงโปรแกรมในโครงการ • ไม่ได้เขียนกระบวนการสำรองและกู้ระบบสำหรับใช้งาน

17. ตัวอย่างการตรวจสอบความก้าวหน้าของโครงการระบบซ่อมบำรุงยานพาหนะตัวอย่างการตรวจสอบความก้าวหน้าของโครงการระบบซ่อมบำรุงยานพาหนะ • เฟส : การวางแผนและจัดซื้อจัดหา • วัตถุประสงค์ • ความสอดคล้องกับนโยบายและเงื่อนไขการจัดซื้อจัดหา รวมทั้งการทำสัญญา • ประเมินความเสี่ยงของการจัดการและการควบคุมโครงการ • สถานภาพของโครงการและผลงานที่ทำสำเร็จ • ประเด็นปัญหาและสถานภาพการแก้ไข

18. ตัวอย่างการตรวจสอบความก้าวหน้าของโครงการระบบซ่อมบำรุงยานพาหนะตัวอย่างการตรวจสอบความก้าวหน้าของโครงการระบบซ่อมบำรุงยานพาหนะ • วิธีการ • สอบถามกรรมการ และที่ปรึกษาโครงการ • ตรวจสอบเอกสารสำคัญ (เช่น เอกสารข้อกำหนดความต้องการเอกสารการประมูล สัญญา) • ตรวจสอบรายการบันทึกต่าง ๆ ว่าเหมาะสมหรือไม่ • สัมภาษณ์บุคลากรระดับหัวหน้าในศูนย์ไอที และในฝ่ายผู้ใช้ระบบ • สังเกตการเจรจาต่อรองเกี่ยวกับสัญญาและรายละเอียดในสัญญา

19. ตัวอย่างการตรวจสอบความก้าวหน้าของโครงการระบบซ่อมบำรุงยานพาหนะตัวอย่างการตรวจสอบความก้าวหน้าของโครงการระบบซ่อมบำรุงยานพาหนะ • ประเด็นที่ค้นพบ: • ไม่มีการวิเคราะห์ต้นทุนและกำไร • ไม่ได้บันทึกการประเมินความต้องการไว้เป็นลายลักษณ์อักษร • ไม่ได้บันทึกการตัดสินใจสำคัญเอาไว้ • ไม่มีการกำกับดูแลงบประมาณ • ผู้บริหารไม่ได้บริหารภาพรวม • ไม่มีการสื่อสารระหว่างทีมงานโครงการกับฝ่ายบริหาร

20. ตัวอย่างการตรวจสอบความก้าวหน้าของโครงการระบบซ่อมบำรุงยานพาหนะตัวอย่างการตรวจสอบความก้าวหน้าของโครงการระบบซ่อมบำรุงยานพาหนะ • ประเด็นที่ค้นพบ (ต่อ) • ความต้องการและความคาดหวังในโครงการเกินขอบเขตที่กำหนดไว้ • ไม่มีการสื่อสารระหว่างโครงการ • ไม่มีแผนงานรองรับหากโครงสร้างพื้นฐานไม่พอเพียงที่จะใช้กับระบบใหม่ • ระบบใหม่ต้องการบุคลากรที่มีความเชี่ยวชาญด้านเทคนิคมากกว่าที่มีอยู่ในหน่วยงาน

21. สรุป • การตรวจสอบความก้าวหน้าของโครงการเป็นงานที่มีความสำคัญอย่างหนึ่งของ IT Audit • การตรวจสอบนี้หน่วยงานส่วนมากยังไม่ได้ดำเนินการ ดังนั้นจึงมักจะพบว่าโครงการไอทีในหน่วยงานหลายแห่งล้มเหลว และหน่วยงานต้องสูญเสียงบประมาณไปโดยไม่ได้อะไรตอบแทน • เราจึงควรสนใจในเรื่องนี้มากขึ้น

22. Reference • Beth Breier, IT Auditing in the Small Audit Shop, สืบค้นเมื่อ 3 มกราคม 2554 จากhttp://talgov.com/citytlh/auditing/index.html

23. Thank You !