การจัดการควบคุมด้านเทคโนโลยีสารสนเทศตามระดับความเสี่ยง

[Duanghathai Termtem]

การจัดการเทคโนโลยีสารสนเทศในแต่ละองค์กร ที่มีความแตกต่างกันนั้น ย่อมเป็นผลมาจากการบริหารที่ต่างการ ขึ้นอยู่กับการวางแผนในการปฏิบัติงานในองค์กรนั้นๆ และเมื่อกล่าวถึงการการจัดการเทคโนโลยีสารสนเทศแล้วนั้น เป็นที่แน่นอนว่า จะต้องมีความเสี่ยงเกิดขึ้น ซึ่งเป็นงานสำคัญของผู้ควบคุมภายใน จึงทำให้มีการจัดระดับของความเสี่ยงออกเป็นระดับอย่างชัดเจน เพื่อให้สามารถระบุวิธีหรือแนวทางในการจัดการกับความเสี่ยงในแต่ละระดับได้ โดยมีขั้นตอนดังนี้

การจัดการควบคุมตามระดับความเสี่ยง
1. การควบคุมขั้นพื้นฐาน (Baseline Controls) คือ การจัดการให้มั่นใจในประสิทธิภาพและประสิทธิผล
2. การประเมินความเสี่ยง (ต้องปฏิบัติอย่างสม่ำเสมอ) เมื่อพบความเสี่ยงเรื่องใดที่สูงผิดปกติ ผู้บริหารต้องใช้วิธีการตอบสนองคามเสี่ยง ลดความเสี่ยงให้อยู่ในระดับที่ยอมรับได้อย่่างทันเวลา และเพียงพอต่อการปฏิบัติงานโดยรวม ให้เป็นไปตามวัตถุประสงค์ที่กำหนดไว้
3. ความรับผิดชอบของผู้บริหาร ต่อการควบคุมภายใน ในการจัดทำรายงานและงบการเงิน
4. ผู้สอบบัญชี ต้อง ประเมินประสิทธิผลของการควบคุมภายในของผู้บริหาร
5. การเปิดเผยข้อมูลที่เป็นจุดอ่อนที่เป็นสาระสำคัญ ของการควบคุมภายในในการจัดทำรายงานและงบการเงิน
6. ประสิทธผลของการควบคุมภายใน คววรอ้างอิงกรอบงานที่สากลยอมรับ เช่น กรอบงาน COSO , COBIT

กรอบงานการควบคุมด้านเทคโนโลยีสารสนเทศ
กรอบงาน (Framework) หมายถึง แนวคิด วัตถุประสงค์ ระบบ โมเดล โครงสร้าง และองค์ประกอบด้านต่างๆ ที่สถาบันวิชาชีพกำหนดขึ้น เพื่อใช้เป็นกรอบหรือโมเดลในการพัฒนา หรือเป็นแนวทางในการปฏิบัติงานในเรื่องใหม่ที่มีความซับซ้อน
กรอบงาน COSO อ้างอิงตามมาตรฐานสอบบัญชี
สามารถศึกษาเพิ่มเติมได้ที่ https://www.tfac.or.th/Article/Detail/119155
กรอบงาน COBIT ของสมาคุมผู้ตรวจสอบระบบสารสสนเทศ (ISACA)
สามารถศึกษาเพิ่มเติมได้ที่ https://www.isaca-bangkok.org/cobit-5/

และนี่คือแนทางการจัดการควบคุมด้านเทคโนโลยีสารสนเทศ เพื่อให้ทราบถึงระดับความเสี่ยงที่อาจจะเกิดขึ้น และการจัดการให้เหมาะสม ซึ่งทั้งหมดนี้จะเป็นหน้าที่หลักของผู้ตรวจสอบภายใน และผู้บริหารเป็นหลัก เพื่อให้สามารถวางแผนจัดการกับความเสี่ยงเหล่านั้นได้อย่างมีประสิทธิภาพ และรวมทั้งการทำหน้าที่ของ ผู้ตรวจสอบระบบสารสนเทศ ที่ต้องอาศัยความชำนาญ และความเข้าใจในโครงสร้างหรือกรอบงานเหล่านั้นก่อน จึงจะสามารถกำหนดวัตถุประสงค์ของการตรวจสอบได้ และแสดงให้เห็นว่า เมื่อเทคโนโลยีเข้ามาช่วย กรอบงานด้านบัญชีจึงกว้างขึ้นด้วย