Internal Control ใน SME: ไว้ใจคนแต่ต้องมีระบบ

พนักงานที่ทำงานมาสิบปี เจ้าของไว้ใจจนมอบรหัสธนาคาร วันหนึ่งซัพพลายเออร์โทรมาทวงเงินที่บัญชีบอกว่าจ่ายแล้ว เมื่อไล่ดูย้อนหลังจึงพบเงินออกผิดปกติมาหลายเดือน เจ้าของมักโทษตัวเองว่าไว้ใจคนผิด ซึ่งมีส่วนจริงเพียงครึ่งเดียว อีกครึ่งคือบริษัทเปิดช่องให้คนคนเดียวทำได้ทุกขั้นตอน

การล็อกบ้านไม่ได้แปลว่าไม่ไว้ใจลูก และระบบควบคุมก็ไม่ได้กล่าวหาพนักงานคนใด ระบบที่ดียังคุ้มครองคนซื่อสัตย์ เพราะเมื่อยอดเงินผิด จะมีหลักฐานชี้ว่าไม่ใช่ความผิดของเขา

หลักการที่ต้องมี

กรอบสากลที่ใช้แพร่หลายคือ COSO Internal Control แต่บริษัทขนาดเล็กไม่จำเป็นต้องเริ่มจากเอกสารชุดใหญ่ ให้เริ่มจากหลักที่ตอบได้ง่ายว่า คนคนเดียวสามารถเริ่มรายการ อนุมัติ จ่ายเงิน และบันทึกบัญชีโดยไม่มีใครเห็นได้หรือไม่ ถ้าได้ แปลว่าจุดนั้นยังเปิดอยู่

ตัวอย่าง: เวลาตรวจพบเท่ากับความเสียหาย

ทีมเล็กทำอย่างไร

บริษัทที่มีพนักงานบัญชีคนเดียวไม่อาจแบ่งหน้าที่ได้ครบ จึงต้องใช้การควบคุมชดเชย

• เจ้าของเป็นผู้อนุมัติการจ่ายเงินทุกรายการ หรือเป็นผู้อนุมัติรายการเกินวงเงินที่กำหนด
• เจ้าของเข้าดู Statement เองแบบอ่านอย่างเดียว ไม่ใช้ไฟล์ที่พนักงานส่งให้
• ให้สำนักงานบัญชีภายนอกทำกระทบยอดธนาคาร หรือสุ่มตรวจ
• บังคับพนักงานสำคัญลาพักร้อนต่อเนื่องปีละครั้ง และมีคนทำแทนในช่วงนั้น
• เก็บรหัสและสิทธิ์เฉพาะบุคคล ห้ามใช้ร่วมกัน

ควบคุมแบบที่คนยังทำงานได้

ระบบควบคุมที่ซับซ้อนเกินไปจะถูกคนหาทางอ้อม เช่น แบ่งใบสั่งซื้อเพื่อไม่ต้องรอผู้อนุมัติ หรือแชร์รหัสเพราะเจ้าของไม่ว่าง ควรเริ่มจากรายการเสี่ยงที่มีมูลค่าสูงหรือเปลี่ยนเงินเป็นของคนอื่นได้ง่าย แล้วเพิ่มเฉพาะการควบคุมที่จำเป็น วิธีทดสอบคือถามว่าถ้าเจ้าของเดินทางสองสัปดาห์ ระบบยังทำงานได้หรือไม่ และมีใครตรวจรายการแทนได้หรือไม่

การควบคุมที่ได้ผลต้องทิ้งร่องรอยให้ตรวจได้ เช่น ลายเซ็นในระบบ วันเวลา ผู้จัดทำ ผู้สอบทาน และเอกสารประกอบ ถ้าการตรวจสอบเกิดเพียงในความทรงจำของคนคนเดียว เมื่อเกิดปัญหาจะพิสูจน์ไม่ได้ว่ามีการตรวจแล้ว เอกสารไม่จำเป็นต้องยาว บันทึกหนึ่งบรรทัดในระบบว่าใครสอบทานวันไหนและพบอะไรก็เพียงพอสำหรับหลายรายการ

สัญญาณที่ควรทำให้เจ้าของถามเพิ่ม ได้แก่ พนักงานไม่ยอมลา ไม่ยอมให้ใครแตะงาน มีผู้ขายรายใหม่ที่ไม่มีข้อมูลชัดเจน เอกสารต้นฉบับหายบ่อย รายการโอนยอดกลมซ้ำ ๆ หรือส่วนลดลูกค้าที่ไม่มีเหตุผล สัญญาณเหล่านี้ไม่ได้พิสูจน์ว่ามีทุจริต แต่เป็นเหตุผลให้ตรวจข้อเท็จจริงอย่างเงียบ ๆ เจ้าของไม่ควรใช้ระบบเป็นเครื่องจับผิดคนใดคนหนึ่ง แต่ควรใช้กับทุกคนเท่ากัน รวมทั้งคนในครอบครัวและตนเอง

สิ่งที่ควรทำต่อ

• วาดวงจรรับเงินและจ่ายเงิน แล้วระบุจุดที่คนเดียวทำได้ครบ
• แยกสิทธิ์ Internet Banking และเปิดการแจ้งเตือนทุกรายการ
• กำหนดขั้นตอนการเปลี่ยนเลขบัญชีผู้ขาย
• เจ้าของเปิดดู Statement อย่างน้อยสัปดาห์ละครั้ง
• ทำกระทบยอดธนาคารรายเดือน โดยมีผู้สอบทาน
• ใช้คำแนะนำจาก Management Letter เป็นรายการปรับปรุง
• ทบทวนสิทธิ์เข้าถึงระบบเมื่อพนักงานเปลี่ยนงานหรือลาออก