กรอบ COSO คืออะไร? นำ Internal Control Framework มาใช้ใน SME ได้จริงอย่างไร

กรอบ COSO เป็นมาตรฐานระบบควบคุมภายในที่ใช้กันทั่วโลก แต่หลายคนคิดว่าเหมาะกับบริษัทใหญ่เท่านั้น บทความนี้จะพิสูจน์ว่า SME ก็นำมาใช้ได้จริง

COSO Framework คืออะไร?

COSO ย่อมาจาก Committee of Sponsoring Organizations of the Treadway Commission ซึ่งเป็นองค์กรร่วมจากสมาคมวิชาชีพบัญชีและการเงินชั้นนำของสหรัฐอเมริกา กรอบ COSO ได้รับการพัฒนาขึ้นครั้งแรกในปี 1992 และปรับปรุงครั้งล่าสุดในปี 2013 เพื่อกำหนดมาตรฐานและแนวทางการควบคุมภายใน (Internal Control) ที่องค์กรทั่วโลกนำมาใช้อ้างอิง

แม้ว่า COSO จะถูกพัฒนาสำหรับองค์กรขนาดใหญ่ในตอนแรก แต่หลักการพื้นฐานของ COSO สามารถนำมาปรับใช้กับ SME ได้อย่างมีประสิทธิภาพ เพราะแก่นของกรอบนี้คือการสร้างระบบที่ช่วยให้องค์กรบรรลุวัตถุประสงค์ได้โดยลดความเสี่ยงและการทุจริต

5 องค์ประกอบหลักของ COSO Framework

COSO กำหนดว่าระบบควบคุมภายในที่มีประสิทธิภาพต้องประกอบด้วย 5 องค์ประกอบหลัก ซึ่งทำงานร่วมกันอย่างบูรณาการ

1. สภาพแวดล้อมการควบคุม (Control Environment)

สภาพแวดล้อมการควบคุมคือรากฐานของระบบควบคุมภายในทั้งหมด ประกอบด้วยวัฒนธรรมองค์กร ค่านิยม และพฤติกรรมของผู้นำที่ส่งผลต่อพฤติกรรมพนักงานทุกคน

สำหรับ SME ในทางปฏิบัติ สภาพแวดล้อมการควบคุมที่ดีหมายความว่า

• เจ้าของธุรกิจแสดงความซื่อสัตย์และโปร่งใสในทุกการกระทำ รวมถึงการดำเนินธุรกิจและการชำระภาษี
• มีจริยธรรมและนโยบายความประพฤติที่ชัดเจนสำหรับพนักงาน
• ผู้นำองค์กรให้ความสำคัญกับการควบคุมภายในและปฏิบัติตัวเป็นแบบอย่าง
• มีโครงสร้างองค์กรที่ชัดเจนพร้อมการกำหนดหน้าที่ความรับผิดชอบที่เฉพาะเจาะจง

2. การประเมินความเสี่ยง (Risk Assessment)

องค์กรต้องระบุและประเมินความเสี่ยงที่อาจขัดขวางการบรรลุวัตถุประสงค์ทางธุรกิจ ซึ่งรวมถึงความเสี่ยงจากภายในและภายนอกองค์กร

ตัวอย่างการประเมินความเสี่ยงสำหรับ SME ไทย

ความเสี่ยง	ระดับ	มาตรการควบคุม
การทุจริตค่าใช้จ่ายเบิกจ่าย	สูง	ระบบอนุมัติสองชั้น ใบเสร็จต้นฉบับ
การเข้าถึงข้อมูลบัญชีโดยไม่ได้รับอนุญาต	กลาง	รหัสผ่าน สิทธิ์การเข้าถึงตามบทบาท
ข้อผิดพลาดในการบันทึกบัญชี	กลาง	การตรวจสอบทบทวน การกระทบยอด
การสูญหายของเอกสารสำคัญ	ต่ำ	สำเนาดิจิทัล ระบบสำรองข้อมูล

3. กิจกรรมการควบคุม (Control Activities)

กิจกรรมการควบคุมคือนโยบายและขั้นตอนที่ช่วยให้มั่นใจว่าคำสั่งของผู้บริหารถูกนำไปปฏิบัติ และความเสี่ยงที่ระบุได้รับการจัดการอย่างเหมาะสม

กิจกรรมการควบคุมที่สำคัญสำหรับ SME ประกอบด้วย

• การอนุมัติและการมอบอำนาจ: กำหนดวงเงินและผู้มีอำนาจอนุมัติในแต่ละระดับอย่างชัดเจน
• การแบ่งแยกหน้าที่: ไม่ให้บุคคลเดียวควบคุมทุกขั้นตอนของธุรกรรมทางการเงิน
• การกระทบยอด: ตรวจสอบยอดเงินธนาคารกับบัญชีในระบบเป็นประจำทุกเดือน
• การตรวจสอบเอกสาร: ตรวจสอบความถูกต้องและความสมบูรณ์ของเอกสารก่อนอนุมัติ
• การรักษาความปลอดภัยทางกายภาพ: จำกัดการเข้าถึงทรัพย์สิน เงินสด และเอกสารสำคัญ

4. ข้อมูลและการสื่อสาร (Information and Communication)

องค์กรต้องมีระบบสารสนเทศที่ช่วยให้ข้อมูลที่เกี่ยวข้องถูกระบุ รวบรวม และส่งต่อในเวลาที่เหมาะสม เพื่อให้ผู้รับผิดชอบสามารถปฏิบัติหน้าที่ได้อย่างมีประสิทธิภาพ

สำหรับ SME ซึ่งมักมีทีมงานเล็ก การสื่อสารที่ดีหมายถึง

• รายงานทางการเงินที่จัดทำและแจกจ่ายให้ผู้บริหารอย่างสม่ำเสมอ
• ระบบบัญชีที่สร้างรายงานได้ทันเวลาและถูกต้อง
• ช่องทางสื่อสารที่เปิดให้พนักงานแจ้งปัญหาหรือข้อกังวลได้
• การประชุมทบทวนผลประกอบการอย่างสม่ำเสมอ

5. การติดตามและประเมินผล (Monitoring Activities)

ระบบควบคุมภายในต้องได้รับการติดตามและประเมินผลเป็นประจำ เพื่อให้มั่นใจว่ายังมีประสิทธิภาพและสามารถรับมือกับความเปลี่ยนแปลงทางธุรกิจได้

• การติดตามอย่างต่อเนื่อง: เจ้าของหรือผู้จัดการตรวจสอบรายงานการเงินและรายการผิดปกติเป็นประจำ
• การประเมินเป็นครั้งคราว: การตรวจสอบภายในหรือจ้างบริษัทสอบบัญชีภายนอกทำการประเมิน
• การแก้ไขข้อบกพร่อง: เมื่อพบจุดอ่อนในระบบต้องดำเนินการแก้ไขทันที

การนำ COSO มาปรับใช้ใน SME ไทย: กรณีศึกษาจริง

สมมติว่าธุรกิจร้านอาหาร SME ที่มีพนักงาน 15 คน ต้องการนำ COSO มาใช้ สามารถเริ่มต้นได้ดังนี้

ขั้นตอนที่ 1: สร้างสภาพแวดล้อมการควบคุม (เดือนที่ 1)

• เขียนนโยบายความซื่อสัตย์และจริยธรรมธุรกิจ
• กำหนดโครงสร้างองค์กรและสายบังคับบัญชาที่ชัดเจน
• จัดประชุมพนักงานเพื่อสื่อสารวัฒนธรรมองค์กร

ขั้นตอนที่ 2: ประเมินและจัดการความเสี่ยง (เดือนที่ 2)

• ระบุความเสี่ยงหลักในการดำเนินธุรกิจ เช่น การยักยอกเงินสด การทุจริตสต็อก
• ประเมินโอกาสและผลกระทบของแต่ละความเสี่ยง
• กำหนดมาตรการควบคุมที่เหมาะสม

ขั้นตอนที่ 3: ออกแบบและนำกิจกรรมควบคุมไปปฏิบัติ (เดือนที่ 3-4)

• จัดทำขั้นตอนการปฏิบัติงานมาตรฐาน (SOP) สำหรับงานที่มีความเสี่ยงสูง
• แบ่งหน้าที่การรับเงิน บันทึกบัญชี และอนุมัติให้คนละคน
• ติดตั้งกล้องวงจรปิดในพื้นที่รับเงินสด

ขั้นตอนที่ 4: ปรับปรุงระบบสารสนเทศ (เดือนที่ 5)

• ใช้โปรแกรม POS ที่สร้างรายงานยอดขายอัตโนมัติ
• เชื่อมต่อกับโปรแกรมบัญชีเพื่อลดการบันทึกซ้ำและข้อผิดพลาด
• จัดทำรายงานประจำวัน สัปดาห์ และเดือน

ขั้นตอนที่ 5: สร้างระบบติดตามผล (เดือนที่ 6 เป็นต้นไป)

• เจ้าของตรวจสอบรายงานการเงินรายเดือนอย่างละเอียด
• ทำการตรวจนับสต็อกเดือนละหนึ่งครั้ง
• ทบทวนประสิทธิภาพของระบบควบคุมทุกหกเดือน

ประโยชน์ของการนำ COSO มาใช้ใน SME

นอกจากการป้องกันการทุจริตและความผิดพลาดแล้ว การนำ COSO มาใช้ยังให้ประโยชน์ด้านอื่นๆ อีก

• ด้านภาษี: ข้อมูลบัญชีที่ถูกต้องช่วยลดความเสี่ยงการถูกตรวจสอบภาษีจากกรมสรรพากร
• ด้านการขอสินเชื่อ: งบการเงินที่น่าเชื่อถือช่วยให้ได้รับการอนุมัติสินเชื่อจากธนาคารได้ง่ายขึ้น
• ด้านการเติบโต: ระบบที่ดีรองรับการขยายธุรกิจโดยไม่สูญเสียการควบคุม
• ด้านความเชื่อมั่น: นักลงทุนและพันธมิตรทางธุรกิจให้ความเชื่อถือมากขึ้น

กรมพัฒนาธุรกิจการค้า (dbd.go.th) ส่งเสริมให้ SME ไทยมีระบบการบริหารจัดการที่ดีเพื่อเพิ่มขีดความสามารถในการแข่งขัน การนำ COSO มาปรับใช้เป็นก้าวสำคัญในทิศทางดังกล่าว แม้จะเริ่มต้นจากการนำเพียงบางส่วนมาประยุกต์ใช้ก็ยังดีกว่าไม่มีระบบเลย

ใช้บทความนี้กับธุรกิจของคุณอย่างไร

เนื้อหาเรื่อง กรอบ COSO คืออะไร? นำ Internal Control Framework มาใช้ใน SME ได้จริงอย่างไร ควรนำไปใช้ตรวจสอบกับเอกสารและตัวเลขจริงของกิจการ ไม่ใช่อ่านเพื่อจำคำศัพท์ เพราะแนวทางบัญชีและภาษีขึ้นกับข้อเท็จจริง เอกสาร และรอบเวลาที่เกิดรายการของแต่ละธุรกิจ

แหล่งอ้างอิงที่ใช้ทบทวน

• กรมสรรพากร (rd.go.th)
• กรมพัฒนาธุรกิจการค้า (dbd.go.th)
• ระบบยื่นแบบออนไลน์ e-Filing กรมสรรพากร

คำถามที่พบบ่อย (FAQ)

COSO Framework คืออะไรและทำไมถึงสำคัญกับ SME?

COSO คือกรอบมาตรฐานการควบคุมภายในที่ได้รับการยอมรับทั่วโลก ช่วยให้องค์กรบรรลุวัตถุประสงค์ได้โดยลดความเสี่ยงและการทุจริต SME ที่นำไปใช้จะมีระบบการบริหารที่น่าเชื่อถือมากขึ้นทั้งในสายตาธนาคาร นักลงทุน และกรมสรรพากร

SME ที่มีพนักงานน้อยกว่า 10 คน สามารถนำ COSO มาใช้ได้ไหม?

ได้แน่นอน แม้ไม่ต้องนำครบทั้ง 5 องค์ประกอบในคราวเดียว การเริ่มต้นจากการสร้างสภาพแวดล้อมการควบคุมและกำหนดกิจกรรมควบคุมพื้นฐาน เช่น การแบ่งหน้าที่และการอนุมัติ ก็ให้ประโยชน์อย่างชัดเจน

องค์ประกอบใดของ COSO ที่ SME ควรเริ่มนำไปใช้ก่อน?

ควรเริ่มจากสภาพแวดล้อมการควบคุม (Control Environment) เพราะเป็นรากฐานของทุกอย่าง โดยเฉพาะการที่เจ้าของธุรกิจแสดงตนเป็นแบบอย่างด้านความซื่อสัตย์และมีนโยบายจริยธรรมที่ชัดเจน จากนั้นจึงค่อยเพิ่มกิจกรรมควบคุมที่เหมาะสมกับความเสี่ยงหลักของธุรกิจ

COSO ช่วยลดความเสี่ยงด้านภาษีได้อย่างไร?

ระบบควบคุมภายในที่ดีตามหลัก COSO ช่วยให้มั่นใจว่าการบันทึกบัญชีถูกต้องและมีเอกสารหลักฐานครบถ้วน ลดความเสี่ยงที่กรมสรรพากรจะตรวจพบข้อผิดพลาดหรือรายจ่ายที่ไม่มีหลักฐาน ซึ่งอาจนำไปสู่การประเมินภาษีเพิ่มเติม

ต้องใช้เวลานานแค่ไหนในการนำ COSO มาใช้ใน SME?

สำหรับ SME ขนาดกลาง การนำ COSO มาใช้เบื้องต้นใช้เวลาประมาณ 3-6 เดือน แต่ถ้าเริ่มจากสิ่งที่ทำได้ทันที เช่น กำหนดนโยบายและแบ่งหน้าที่ใหม่ อาจเริ่มเห็นผลได้ภายในเดือนแรก

COSO แตกต่างจาก ISO 9001 อย่างไร?

ISO 9001 เน้นระบบการจัดการคุณภาพเพื่อความสม่ำเสมอของกระบวนการและผลิตภัณฑ์ ส่วน COSO เน้นการควบคุมภายในเพื่อป้องกันความเสี่ยง การทุจริต และความผิดพลาดทางการเงิน ทั้งสองระบบเสริมกันได้ดี แต่ COSO เหมาะกับ SME ที่ต้องการพัฒนาระบบการเงินมากกว่า