ตรวจสุขภาพวงจรจ่ายเงิน: แบบตรวจสอบตนเองและตารางอนุมัติ อุดรอยรั่วที่เหลือทั้งหมด

วิเชียร แซ่ตั้ง เจ้าของร้าน "วิเชียรวัสดุก่อสร้าง" กิจการค้าส่งฮาร์ดแวร์และวัสดุก่อสร้างในจังหวัดสมุทรปราการ มีพนักงาน 25 คน ลูกค้าส่วนใหญ่เป็นผู้รับเหมาก่อสร้างในเขตกรุงเทพฯ และปริมณฑล ตลอดเจ็ดตอนที่ผ่านมา เขาทยอยแก้ไขจุดรั่วไหลทีละจุด ทั้งหลุมดำในการจัดซื้อ การอนุมัติใบขอซื้อ การเทียบราคาและเก็บบันทึก การตรวจรับสามฝ่ายตรงกัน การบันทึกบัญชีและใบกำกับภาษี ตารางจ่ายเงิน ไปจนถึงสัญญาณเตือนการทุจริต — แต่ละขั้นตอนดูเหมือนจะ "มีระบบแล้ว"

เดือนมีนาคม บริษัทการค้าญี่ปุ่นแห่งหนึ่งติดต่อขอเป็นตัวแทนจำหน่าย และส่งทีมมาทำ Due Diligence คำถามแรกที่ถามคือ "ขอดูรายงานประเมินการควบคุมภายในด้วยตนเอง กับตารางอำนาจอนุมัติของบริษัทได้ไหม" วิเชียรอึ้งไปชั่วขณะ — เขามีแบบฟอร์มใบขอซื้อ มีแฟ้มบันทึกการเทียบราคาสามเจ้า มีใบตรวจรับที่เซ็นครบ มีแฟ้มเก็บใบกำกับภาษีซื้อ แต่ไม่เคยมี "ตารางสรุปภาพรวม" ที่แสดงให้เห็นว่าทั้งเจ็ดขั้นตอนเชื่อมโยงกันโดยไม่มีจุดบอด

สุดสัปดาห์นั้นเขากางเอกสารของสาขาทั้งเจ็ดออกมาเทียบกัน จึงพบรอยรั่ว: ใบตรวจรับของสาขากรุงเทพฯ ไม่มีเอกสารเทียบราคาแนบ; ผู้จัดการสาขาฉะเชิงเทรา เคยอนุมัติจ่ายเงินด่วนเกินอำนาจตัวเองถึงสามเท่า โดยให้เหตุผลว่า "ลูกค้ารอของอยู่" แต่ไม่มีการเซ็นอนุมัติเพิ่มเติมภายหลัง; และยังมีใบขอซื้อสองใบที่ยอดเงินอยู่ต่ำกว่าเกณฑ์อนุมัติแบบพอดิบพอดี คล้ายจงใจแยกใบสั่งซื้อเพื่อหลบการตรวจสอบ แต่ละขั้นตอน "ทำแล้ว" เป็นรายจุด แต่ไม่มีใครนำมาเรียงต่อกันดูอย่างสม่ำเสมอ ช่องโหว่จึงซ่อนอยู่ตรงรอยต่อ

ทำไมจึงเกิดปัญหานี้

นี่คือรูปแบบทั่วไปของการควบคุมภายในที่ล้มเหลวใน SME: เจ้าของกิจการมักจะอุดรูรั่วเฉพาะจุดที่เพิ่งเกิดปัญหา แต่ไม่เคยกางทั้งวงจรออกมาตรวจสอบเป็นระยะ กรอบแนวคิด COSO Internal Control – Integrated Framework ที่เผยแพร่ครั้งแรกปี ค.ศ. 1992 และปรับปรุงในปี 2013 โดยคณะกรรมการ COSO (Committee of Sponsoring Organizations of the Treadway Commission) แบ่งการควบคุมภายในออกเป็น 5 องค์ประกอบ ได้แก่ สภาพแวดล้อมการควบคุม การประเมินความเสี่ยง กิจกรรมการควบคุม สารสนเทศและการสื่อสาร และ การติดตามประเมินผล (Monitoring) เจ้าของกิจการส่วนใหญ่ทำสี่องค์ประกอบแรกอยู่แล้วไม่มากก็น้อย (ตั้งกฎ ประเมินความเสี่ยง อนุมัติ เก็บบันทึก) แต่องค์ประกอบที่ถูกมองข้ามบ่อยที่สุดคือองค์ประกอบที่ห้า — การติดตามประเมินผลอย่างสม่ำเสมอว่าระบบที่วางไว้ยังถูกปฏิบัติตามจริงหรือไม่ และยังใช้ได้ผลอยู่หรือไม่เมื่อกิจการเติบโตขึ้น

สถาบันผู้ตรวจสอบภายใน (Institute of Internal Auditors หรือ IIA) เสนอแบบจำลอง Three Lines Model ในปี 2020 (ต่อยอดจาก Three Lines of Defense ปี 2013) ซึ่งชี้ประเด็นเดียวกัน: ด่านที่หนึ่งคือฝ่ายปฏิบัติงานที่ดูแลด้วยตัวเอง (ฝ่ายจัดซื้อ ฝ่ายตรวจรับ) ด่านที่สองคือฝ่ายบัญชี/ผู้บริหารที่ทำหน้าที่ทบทวนซ้ำ ด่านที่สามคือหน่วยตรวจสอบภายในที่เป็นอิสระและสุ่มตรวจเป็นระยะ ธุรกิจ SME ส่วนใหญ่ไม่มีหน่วยตรวจสอบภายในเฉพาะ ทำให้ด่านการติดตามประเมินผลนี้หายไปโดยปริยาย — ถ้าเจ้าของกิจการไม่รับบทเป็นด่านที่สามด้วยตัวเอง ระบบที่วางไว้ก็จะเหลือแค่ "เขียนไว้บนกระดาษ" โดยไม่มีใครยืนยันว่าถูกปฏิบัติจริงหรือไม่ ตารางอำนาจอนุมัติ (Authorization Matrix) จึงเป็นเครื่องมือที่เขียนชัดเจนว่า "ใครมีอำนาจอนุมัติวงเงินเท่าไร" ทำให้การติดตามประเมินผลมีมาตรฐานให้เทียบ แทนที่จะอาศัยความจำหรือดุลยพินิจส่วนตัวว่าใครควรเซ็นหรือไม่