Board Visibility
ทำให้ผู้บริหารเห็นความเสี่ยงและผลกระทบต่อบริการสำคัญในภาษาที่ตัดสินใจได้
INDEPENDENT • RISK-BASED • ACTIONABLE
IT Audit &
Regulatory Assurance
เห็นความเสี่ยงที่สำคัญ • เตรียมพร้อมต่อผู้กำกับ • ตัดสินใจได้จากหลักฐาน
การตรวจสอบที่ดีไม่ใช่เพียง Checklist แต่ช่วยให้คณะกรรมการและผู้บริหารเห็นว่า
ระบบสำคัญได้รับการกำกับ ควบคุม และฟื้นตัวได้เพียงพอกับความเสี่ยงหรือไม่
BUSINESS VALUE
IT Audit ให้คุณค่ามากกว่าการ “ผ่านการตรวจ”
เปลี่ยนความเสี่ยงทางเทคนิคให้เป็นข้อมูลสำหรับตัดสินใจ จัดลำดับงบประมาณ และติดตามการแก้ไขอย่างมีเจ้าของRegulatory Readiness
ทวนสอบความพร้อมตามเกณฑ์ที่ใช้บังคับและรูปแบบรายงานที่เกี่ยวข้องในรอบนั้น
Control Confidence
ประเมินทั้งการออกแบบและหลักฐานการปฏิบัติจริง ไม่หยุดเพียงการมีนโยบาย
Prioritized Action
จัดระดับข้อค้นพบ เจ้าของงาน และ Target Date เพื่อให้ติดตามปิดประเด็นได้
CHOOSE THE ENGAGEMENT
3 รูปแบบบริการตามวัตถุประสงค์ขององค์กร
ที่ปรึกษาจะช่วยยืนยันเกณฑ์ ขอบเขต และ Deliverables ก่อนเสนอแผนงานOIC IT Audit
สำหรับบริษัทประกันชีวิต/วินาศภัยหรือกิจกรรมที่อยู่ภายใต้ข้อกำหนด คปภ. มุ่งให้ผู้บริหารเห็นความเพียงพอของ IT Governance, Security, Operations, Resilience, Third-party และประเด็นที่ต้องรายงานหรือแก้ไข
- ยืนยันประเภทกิจการและข้อกำหนดที่ใช้บังคับ
- กำหนด Audit Period, ระบบสำคัญ และ Outsourcing
- วางรอบ Fieldwork ให้สัมพันธ์กับกำหนดรายงาน
SEC IT Audit — สธ. 38/2565
สำหรับผู้ประกอบธุรกิจที่อยู่ภายใต้ประกาศสำนักงาน ก.ล.ต. เรื่องข้อกำหนดในรายละเอียดเกี่ยวกับการจัดให้มีระบบเทคโนโลยีสารสนเทศ โดยต้องตรวจสอบ Applicable Criteria และแบบรายงานฉบับที่ใช้ในรอบปัจจุบันก่อนเริ่มงาน
- ยืนยัน License/Business Type และระดับความเสี่ยง
- ทวนสอบคุณสมบัติและความเป็นอิสระของผู้ตรวจ
- ตกลงรูปแบบรายงานและ Regulatory Deadline
IT Audit Preliminary
เหมาะสำหรับองค์กรที่ยังไม่พร้อมทำ Full-scope Audit ต้องการ Baseline ก่อนวาง Audit Plan, ลงทุนปรับปรุง หรือรับการตรวจจากลูกค้าและหน่วยงานภายนอก เน้นภาพรวมและลำดับความสำคัญ ไม่ใช่ความเห็นรับรอง
- เลือก Domain ตาม Risk และ Pain Point
- ใช้ Interview, Document Review และ Sample เบื้องต้น
- รับ Executive Findings และ Roadmap ระยะสั้น
ชื่อประกาศหรือแบบรายงานอาจมีการแก้ไข/แทนที่ องค์กรและผู้ตรวจต้องยืนยันเอกสารฉบับปัจจุบันจากหน่วยงานกำกับก่อน Finalize Scope ทุกครั้ง
THE MOST IMPORTANT DECISION
Scope ที่ชัด ทำให้ผล Audit น่าเชื่อถือและใช้ประโยชน์ได้
Scope ไม่ควรเริ่มจาก “ตรวจ IT ทั้งหมด” แต่เริ่มจากวัตถุประสงค์ ผู้ใช้รายงาน ความเสี่ยง และขอบเขตที่สามารถเก็บหลักฐานได้เพียงพอScope Statement ควรตอบให้ครบ
ตรวจอะไร • เพื่อวัตถุประสงค์ใด • ใช้ Criteria ใด • ครอบคลุมหน่วยงาน/ระบบ/สถานที่/Third Party ใด • ตรวจช่วงเวลาใด • มีข้อยกเว้นและข้อจำกัดอะไร
ใครจะใช้ผล Audit
Board, Audit Committee, Management, Regulator, ลูกค้า หรือใช้วางแผน Internal Audit
อะไรคือระบบสำคัญ
บริการธุรกิจ ข้อมูล Application, Cloud, Network, Data Center, Endpoint และ Interfaces
ใช้อะไรเป็นเกณฑ์
กฎหมาย/ประกาศ นโยบายองค์กร Contract/SLA มาตรฐาน และ Control Framework ที่ตกลง
หลักฐานครอบคลุมช่วงใด
กำหนด Audit Period, Cut-off Date, Sampling Window และเหตุการณ์เปลี่ยนแปลงสำคัญ
ใครให้บริการแทนองค์กร
Cloud, Outsource, Managed Service, Software Provider และข้อมูล Assurance จาก Third Party
อะไรไม่รวมในการตรวจ
ระบุ Exclusion, Access Constraint, Remote Site และข้อจำกัดของ Evidence อย่างโปร่งใส
ตัวอย่างถ้อยคำสำหรับเริ่มประชุม
เป็นเพียงตัวอย่าง ต้องปรับตามกิจการ ความเสี่ยง และข้อกำหนดจริง“ประเมินความเพียงพอและการปฏิบัติของ IT General Controls ที่รองรับบริการออนไลน์หลัก ครอบคลุม Production Application, Cloud Infrastructure และผู้ให้บริการสำคัญ สำหรับรอบ 12 เดือนล่าสุด ตามเกณฑ์ที่ตกลง โดยไม่รวม Source-code Review และ Penetration Test”
GET READY
สิ่งที่ควรเตรียมก่อน Kick-off กับผู้ตรวจ
ไม่จำเป็นต้องจัดเอกสารให้ “สวย” ก่อนตรวจ แต่ควรระบุเจ้าของข้อมูลและแหล่ง Evidence ที่เกิดจากงานจริงBusiness & Regulatory Profile
ประเภทใบอนุญาต บริการสำคัญ Regulatory Calendar, Prior Audit และประเด็นค้าง
Technology Landscape
System/Asset Inventory, Architecture, Data Flow, Network, Cloud และ Third-party Register
Governance & Risk
โครงสร้างคณะกรรมการ IT Strategy, Risk Register, Policies, Exceptions และรายงานผู้บริหาร
Operational Evidence
User Access Review, Change/Patch, Backup Test, Incident, Monitoring, Vulnerability และ BCP/DR Test
People & Availability
รายชื่อ Process/System Owners ตารางสัมภาษณ์ และผู้มีสิทธิ์ดึง Log/Report/Sample
Secure Evidence Channel
กำหนดวิธีรับส่งเอกสาร สิทธิ์เข้าถึง Retention, NDA และกติกาการจัดการข้อมูลอ่อนไหว
ENGAGEMENT TIMELINE
โดยทั่วไปประมาณ 3–12 สัปดาห์
ระยะเวลาขึ้นกับ Scope, จำนวนระบบ/สถานที่, Regulatory Deadline, Sampling, Third Party และความพร้อมของ EvidenceScoping
3–7 วันทำการยืนยันวัตถุประสงค์ Criteria, Audit Period, ระบบสำคัญ และ Deliverables
Planning
1–2 สัปดาห์ส่ง PBC List, วาง Interview/Sampling และทำความเข้าใจ Process/Architecture
Fieldwork
2–6 สัปดาห์สัมภาษณ์ ตรวจเอกสาร ทดสอบ Control และเก็บหลักฐานตาม Sample
Validation
1–2 สัปดาห์หารือข้อสังเกต ตรวจความถูกต้อง และรับ Management Response
Reporting
3–7 วันทำการออก Executive Summary, Findings, Risk Rating และแผนติดตาม
IT Audit Preliminary อาจใช้ประมาณ 2–4 สัปดาห์ ส่วน Regulatory/Full-scope Audit อาจใช้ 6–12 สัปดาห์หรือมากกว่า หลัง Scoping จึงจะประเมินได้แม่นยำ
GOVERNANCE & INDEPENDENCE
ทีมรับการตรวจต้องช่วยให้เข้าถึงหลักฐาน—ไม่ควรกำกับข้อสรุปของผู้ตรวจ
ใช้คณะกรรมการเดิมได้ แต่ต้องมี Sponsor, ผู้ประสานงาน เจ้าของ Control และช่องทางรายงานผลที่รักษาความเป็นอิสระAudit Committee / Board
อนุมัติหรือรับทราบวัตถุประสงค์และ Scope รับรายงานประเด็นสำคัญ และกำกับการติดตามแก้ไข
Executive Sponsor
จัดสรรเวลาและทรัพยากร แก้ข้อจำกัดการเข้าถึง และรับผิดชอบ Management Response
Audit Coordinator / PMO
ดูแล PBC List ตารางสัมภาษณ์ Evidence Tracker และการสื่อสารระหว่างผู้ตรวจกับหน่วยงาน
IT, Security & Control Owners
อธิบายกระบวนการ สาธิต Control ส่งหลักฐาน และยืนยัน Action Owner/Target Date
Business & System Owners
ยืนยัน Criticality, Impact, Risk Acceptance และความเชื่อมโยงระหว่างระบบกับบริการธุรกิจ
Independent IT Auditor
วางแผนตามความเสี่ยง เก็บหลักฐานอย่างเหมาะสม ใช้วิจารณญาณวิชาชีพ และรายงานอย่างเป็นกลาง
WHAT YOU RECEIVE
ผลลัพธ์ที่ช่วยให้ผู้บริหารลงมือจัดการต่อได้
Deliverables จะตกลงตามประเภท Engagement และข้อกำหนดผู้กำกับ ไม่ใช้รายงานชุดเดียวกับทุกองค์กรConfirmed Scope & Criteria
ขอบเขต วัตถุประสงค์ ระยะเวลา ข้อจำกัด และเกณฑ์ตรวจที่ยอมรับร่วมกัน
Executive View
ภาพรวมความเสี่ยง ประเด็นสำคัญ และผลกระทบต่อธุรกิจสำหรับคณะกรรมการ
Findings & Recommendations
Condition, Criteria, Cause, Impact/Risk และข้อเสนอแนะที่นำไปวางแผนได้
Management Action Plan
Risk Rating, Action Owner, Target Date และแนวทาง Follow-up เพื่อปิดประเด็น
REQUEST IT AUDIT SCOPING
เริ่มจากการคุย Scope ก่อนขอ Proposal
แจ้งประเภทกิจการ วัตถุประสงค์ ระบบสำคัญ กำหนดส่งรายงาน และผล Audit เดิม เพื่อช่วยประเมินทีม ระยะเวลา และงบประมาณได้เหมาะสมInitial ScopingOIC IT Audit • SEC สธ. 38/2565 • IT Audit Preliminary