CIA คืออะไร ต่างจาก CPA อย่างไร และ “ลายเซ็น CIA” รับรองอะไร

ภาพปกเป็นภาพประกอบสถานการณ์สมมติที่สร้างด้วย AI ไม่ใช่ภาพการตรวจงานหรือหลักฐานคุณวุฒิของบุคคลในภาพ

ก่อนขอให้ใครลง “ลายเซ็น CIA” ผมอยากให้ดูชื่อเอกสารก่อน การรับรองประสบการณ์เพื่อขอวุฒิบัตร การออกรายงานตรวจสอบภายใน และการลงนามในรายงานผู้สอบบัญชีงบการเงิน มีวัตถุประสงค์และผู้รับผิดชอบคนละแบบ หากใช้คำว่าลายเซ็นแทนทุกอย่าง เราอาจหาคนมาลงนามผิดบทบาทตั้งแต่ต้น

CIA คือวุฒิบัตรวิชาชีพด้านการตรวจสอบภายใน ชื่อเต็มคือ Certified Internal Auditor ออกโดย The Institute of Internal Auditors หรือ The IIA ส่วนสมาคมผู้ตรวจสอบภายในแห่งประเทศไทย (IIAT) ใช้ชื่อไทยว่า “วุฒิบัตรผู้ตรวจสอบภายในที่ได้รับการรับรอง” CIA เป็นคนละคุณวุฒิกับใบอนุญาตผู้สอบบัญชีรับอนุญาตของไทย หรือ CPA การมี CIA เพียงอย่างเดียวไม่ได้ให้สิทธิลงนามแทนผู้สอบบัญชีตามกฎหมาย [ข้อมูล CIA จาก IIAT]

บทความนี้เป็นตอนแรกของชุด “CIA, CPA และ CFA ใช้ความรู้คนละงานอย่างไร” ผมเริ่มจากงานที่ต้องการคำตอบ แล้วค่อยดูคุณวุฒิที่เกี่ยวข้อง เพราะตัวอักษรท้ายชื่อยังไม่บอกว่าคนนั้นได้รับมอบหมายให้ทำอะไรในเรื่องที่เรากำลังตัดสินใจ

CIA ช่วยมองธุรกิจจากกระบวนการทำงาน

งานตรวจสอบภายในดูว่าการกำกับดูแล การบริหารความเสี่ยง และการควบคุมขององค์กรทำงานอย่างไร ผู้ตรวจสอบรวบรวมหลักฐานเพื่อให้ความเชื่อมั่นและให้คำปรึกษา โดยต้องรักษาความเป็นอิสระและความเที่ยงธรรม งานจึงไปได้ไกลกว่าการตรวจว่าตัวเลขในเอกสารสองใบตรงกันหรือไม่ [Global Internal Audit Standards]

ตัวอย่างต่อไปนี้เป็นสถานการณ์สมมติ โรงงานอะไหล่ใช้ระบบบริหารทรัพยากรองค์กร (ERP) และได้รับคำขอเปลี่ยนบัญชีธนาคารของผู้ขาย คำถามของเจ้าของกิจการอาจเป็นว่า ใครยืนยันว่าคำขอมาจากผู้ขายจริง ใครแก้ข้อมูล และมีใครตรวจอีกครั้งก่อนจ่ายเงิน การมีเอกสารอนุมัติหนึ่งใบยังไม่ตอบว่าการแยกหน้าที่เหล่านี้ทำงานจริงหรือไม่

ผู้ตรวจสอบอาจเลือกติดตามคำขอเปลี่ยนบัญชีบางรายการตั้งแต่รับเรื่องจนถึงจ่ายเงิน เปรียบเทียบผู้ขอ ผู้แก้ข้อมูล ผู้อนุมัติ และผู้ปล่อยจ่าย หากคนเดียวทำได้ทุกขั้น ต้องถามต่อว่าองค์กรตั้งใจยอมรับความเสี่ยงนี้หรือมีการตรวจทานอื่นอยู่ หลักฐานอาจเป็นบันทึกการเปลี่ยนข้อมูล เอกสารยืนยันจากช่องทางที่องค์กรเชื่อถือ และรายการจ่ายจริง

การหาหลักฐานต้องดูทั้งการตั้งค่า ERP กระบวนการนอกระบบ และข้อจำกัดของทีมด้วย บางระบบอาจไม่ได้เก็บประวัติที่ต้องการไว้ จึงต้องตรวจว่ามีข้อมูลใดให้ใช้ได้จริง

แยกลายเซ็นสามเรื่องให้ถูกก่อน

ที่มาของตารางคือ แนวทางผู้รับรองของ IIAT มาตรฐานการสื่อสารผลของ The IIA และ พระราชบัญญัติวิชาชีพบัญชี พ.ศ. 2547 การใช้คำว่า “มีลายเซ็นแล้ว” จึงยังไม่พอ ต้องรู้ว่าคนนั้นลงนามในฐานะอะไรและภายใต้หลักเกณฑ์ใด

อีกจุดที่มักสับสนคือเวลายืนยันประสบการณ์ The IIA อธิบายว่าเป็นเงื่อนไขที่ต้องครบก่อนรับวุฒิบัตร และส่งได้ระหว่างช่วงเวลาของโครงการ ไม่จำเป็นต้องรอสอบผ่านครบทุกส่วนก่อนจึงเริ่มขอรับรอง [คำถามเกี่ยวกับ CCMS]

เมื่อพบจุดอ่อน ใครเป็นคนแก้

กลับไปที่โรงงานสมมติ หากผู้ตรวจสอบพบว่าผู้แก้บัญชีผู้ขายคนเดียวกันปล่อยจ่ายได้ ข้อค้นพบที่ใช้ทำงานต่อควรบอกทั้งสิ่งที่พบ หลักฐานที่รองรับ และผลกระทบที่เป็นไปได้ การเขียนเพียงว่า “การควบคุมไม่เพียงพอ” ยังทำให้ผู้รับผิดชอบไม่รู้ว่าต้องเปลี่ยนตรงไหน

ตัวอย่างข้อเสนออาจเป็นให้ผู้ดูแลข้อมูลผู้ขายกับผู้ปล่อยจ่ายเป็นคนละคน หรือเพิ่มผู้ตรวจทานเมื่อทีมเล็กจนแยกคนไม่ได้ ผู้บริหารต้องพิจารณาวิธีที่ทำได้จริง กำหนดผู้รับผิดชอบและวันติดตาม ส่วนผู้ตรวจสอบกลับมาตรวจหลักฐานว่าการแก้ไขเกิดขึ้นแล้วหรือยัง

สำหรับคนวางระบบ ประเด็นนี้เกี่ยวข้องโดยตรง เราอาจช่วยออกแบบสิทธิและขั้นอนุมัติได้ แต่การกลับไปให้ความเชื่อมั่นกับงานที่ตัวเองออกแบบต้องพิจารณาความขัดแย้งและมาตรการรักษาความเที่ยงธรรม อาจต้องใช้ผู้ตรวจทานอิสระหรือแยกหน้าที่ให้เหมาะกับงาน การมี CIA ไม่ทำให้ข้อจำกัดนี้หายไป

เส้นทาง CIA ต้องดูมากกว่าการสอบผ่าน

สำหรับเส้นทางปริญญาตรี The IIA ระบุประสบการณ์ที่เกี่ยวข้อง 2 ปี ส่วนปริญญาโทระบุ 1 ปี ประสบการณ์อาจมาจากงานตรวจสอบภายในหรือสาขาที่เกี่ยวข้องตามเกณฑ์ เช่น การบริหารความเสี่ยง การควบคุมภายใน และการปฏิบัติตามกฎ ต้องพิจารณาหน้าที่จริงและหลักฐาน ไม่ใช่ชื่อตำแหน่งเพียงอย่างเดียว [คุณสมบัติ CIA จาก The IIA]

การสอบปกติมี 3 ส่วน ครอบคลุมพื้นฐานการตรวจสอบภายใน การปฏิบัติภารกิจตรวจสอบ และงานของหน่วยงานตรวจสอบภายใน ชื่อหัวข้อและเนื้อหาปัจจุบันตรวจได้จาก ดัชนีหลักสูตรสอบอย่างเป็นทางการ ซึ่งมีเอกสารภาษาไทยให้ตรวจประกอบ

กรอบเวลาของโครงการคือ 3 ปีนับจากใบสมัครได้รับอนุมัติ จึงต้องวางแผนเงื่อนไขทั้งหมดภายในกรอบนี้ การสอบผ่านอย่างเดียวไม่เท่ากับได้รับวุฒิบัตรแล้ว ผู้สมัครยังต้องให้เอกสารและเงื่อนไขอื่นครบตามที่ The IIA กำหนด

สำหรับผู้จบอนุปริญญา นักศึกษา หรือผู้ไม่มีปริญญา มีเส้นทางและเงื่อนไขที่ต้องตรวจเป็นรายกรณี ควรตรวจทางเลือกที่เปิดรับใน CCMS และสอบถาม IIAT ก่อนชำระค่าสมัคร [คู่มือผู้สมัคร The IIA]

หลังได้รับวุฒิบัตรยังมีการต่ออายุ การศึกษาต่อเนื่อง และข้อกำหนดจริยธรรมตามสถานะผู้ถือ จึงควรดูทั้งภาระระหว่างสมัครและการรักษาสถานะภายหลัง ไม่ประเมินจากจำนวนข้อสอบเพียงอย่างเดียว

เลือกคนจากคำถามที่ธุรกิจต้องการคำตอบ

หากคำถามคือ “กระบวนการซื้อ รับของ และจ่ายเงินมีช่องว่างตรงไหน” ความรู้ด้านตรวจสอบภายในช่วยวางขอบเขตและตรวจหลักฐานได้ หากต้องการความเห็นต่องบการเงินตามกฎหมาย ต้องพิจารณางานและสิทธิของผู้สอบบัญชี CPA ส่วนการวิเคราะห์ความคุ้มค่าและความเสี่ยงของการลงทุนเป็นอีกโจทย์หนึ่ง ซึ่งจะเล่าต่อในตอน CFA

ก่อนขอลายเซ็น ให้ขอชื่อเอกสาร วัตถุประสงค์ และหลักเกณฑ์ผู้รับรองจากผู้ออกเอกสาร แล้วจึงเลือกคนที่มีหน้าที่และข้อมูลพอจะรับรองเรื่องนั้น การเริ่มจากเอกสารที่ต้องใช้ช่วยให้การรับรองตรงกับงานตั้งแต่ต้น

บทความตรวจแหล่งข้อมูลทางการ ณ 18 ตุลาคม 2569 ตัวอย่างโรงงานและแนวทางควบคุมเป็นสถานการณ์สมมติของผู้เขียน ไม่ใช่ผลตรวจ คำรับรองคุณวุฒิ หรือคำวินิจฉัยสิทธิของบุคคลใด เงื่อนไขสมัครให้ตรวจฉบับปัจจุบันกับหน่วยงานที่รับสมัครอีกครั้ง