ประเมิน Entity-level Controls

ประเมิน Entity-level Controls ต้องเริ่มจากข้อเท็จจริงและหลักฐานของกิจการ ไม่ใช่ใช้คำตอบสำเร็จรูป บทความนี้พาแยก Control objective Owner Frequency Population Evidence และผลการออกแบบที่เกี่ยวข้องกับ ประเมิน Entity-level Controls จาก Test

ประเมิน Entity-level Controls มีความเสี่ยงเมื่อทีมเริ่มทำจากผลลัพธ์ที่อยากได้แล้วค่อยหาเอกสารมารองรับ วิธีที่ตรวจสอบได้ต้องย้อนลำดับ โดยยืนยัน Control objective Owner Frequency Population Evidence และผลการออกแบบที่เกี่ยวข้องกับ ประเมิน

ขอบเขตของ ประเมิน Entity-level Controls ควรระบุหน่วยงาน รอบเวลา รายการที่รวม และรายการที่ไม่รวมให้ชัด โดยเฉพาะ เน้นหลักฐาน การกระทบยอด ผู้อนุมัติ และการปิดข้อยกเว้นสำหรับ ประเมิน Entity-level Controls

กำหนดคำถามและผลลัพธ์ที่ต้องการ

คำถามหลักของ ประเมิน Entity-level Controls คือข้อเท็จจริงใดต้องพิสูจน์ก่อนตัดสินใจ เริ่มจากตรวจ Control objective Owner Frequency Population Evidence และผลการออกแบบที่เกี่ยวข้องกับ ประเมิน Entity-level Controls เทียบกับ Test script Sample

ผลลัพธ์ขั้นต่ำของ ประเมิน Entity-level Controls ไม่ใช่เพียงสถานะเสร็จ แต่เป็นบันทึกที่ตอบได้ว่าใครตรวจข้อมูลใด ใช้เกณฑ์อะไร และเหตุใดจึงสรุปว่า เลือกประชากรและตัวอย่างตามความเสี่ยงโดยไม่อ้างขนาดตัวอย่างเป็นข้อบังคับสากลก่อนอนุมัติหรือบันท

สำหรับ เน้นหลักฐาน การกระทบยอด ผู้อนุมัติ และการปิดข้อยกเว้นสำหรับ ประเมิน Entity-level Controls ให้แยกสมมติฐานออกจากข้อเท็จจริงทุกครั้ง สมมติฐานใช้วางแผนงานได้ แต่ห้ามนำไปแทนเอกสารจริงหรือคำยืนยันจากหน่วยงานที่รับผิดชอบเรื่อง ประเมิน

ตารางหลักฐานและเกณฑ์ตัดสินใจ

ตารางนี้ทำหน้าที่เป็น working paper ของ ประเมิน Entity-level Controls แต่ละแถวต้องมีแหล่งต้นทาง ผู้รับผิดชอบ และผลการทบทวน จึงจะช่วยให้ผู้ตรวจคนถัดไปย้อนกลับไปยังข้อมูลชุดเดียวกันได้

สำหรับ ประเมิน Entity-level Controls หาก Control objective Owner Frequency Population Evidence และผลการออกแบบที่เกี่ยวข้องกับ ประเมิน Entity-level Controls ไม่ตรงกับ Conclusion Reviewer sign-off ข้อจำกัด

ขั้นตอนปฏิบัติจากข้อมูลถึงการอนุมัติ

1. กำหนดขอบเขตและวันตัดข้อมูลของ ประเมิน Entity-level Controls
2. รวบรวม Control objective Owner Frequency Population Evidence และผลการออกแบบที่เกี่ยวข้องกับ ประเมิน Entity-level Controls และ Test script Sample Exception Reperformance และหลักฐานการตั้งค่าระบบที่ใช้ตรวจสอบ ประเมิน Entity-level Controls จากระบบต้นทาง
3. กระทบยอดกับ Conclusion Reviewer sign-off ข้อจำกัด และแผนแก้ไขจุดควบคุมพร้อมผู้รับผิดชอบและวันปิดงาน และจัดหมวดความต่าง
4. ประเมินว่า แยกการประเมินว่าออกแบบเหมาะสมออกจากการทดสอบว่าปฏิบัติจริงอย่างสม่ำเสมอสำหรับ ประเมิน Entity-level Controls และบันทึกเหตุผลที่เลือก และส่งข้อยกเว้นให้ผู้มีอำนาจ
5. บันทึกผล อัปเดตระบบปลายทาง และเก็บหลักฐานปิดงาน

ขั้นแรกของ ประเมิน Entity-level Controls ต้องกำหนด cut-off ให้ทุกฝ่ายใช้ตรงกัน ถ้าข้อมูลมาคนละเวลา การกระทบยอดจะสร้างความต่างเทียมและทำให้ทีมเสียเวลาไล่สาเหตุที่ไม่ได้เกิดจากธุรกรรมจริง

ระหว่างทำ ประเมิน Entity-level Controls และตรวจ Test script Sample Exception Reperformance และหลักฐานการตั้งค่าระบบที่ใช้ตรวจสอบ ประเมิน Entity-level Controls ให้แยกความต่างเป็นข้อมูลขาด ซ้ำ ผิดประเภท ผิดช่วงเวลา และรายการใช้ดุลยพินิจ

ก่อนอนุมัติ ประเมิน Entity-level Controls ผู้ทบทวนต้องเห็นทั้งรายการผ่านและข้อยกเว้น ไม่ควรเห็นเฉพาะยอดรวม หากข้อยกเว้นกระทบบุคคลภายนอก การยื่นแบบ หรือการจ่ายเงิน ต้องยกระดับก่อนดำเนินการ

ตัวอย่างการใช้กับสถานการณ์จริง

ในตัวอย่าง ประเมิน Entity-level Controls กิจการกำลังจัดการ เน้นหลักฐาน การกระทบยอด ผู้อนุมัติ และการปิดข้อยกเว้นสำหรับ ประเมิน Entity-level Controls และพบว่า Control objective Owner Frequency Population Evidence

ทีมจึงพักข้อสรุปของ ประเมิน Entity-level Controls ไว้ก่อน ตรวจ Conclusion Reviewer sign-off ข้อจำกัด และแผนแก้ไขจุดควบคุมพร้อมผู้รับผิดชอบและวันปิดงาน และให้ผู้ดูแลระบบยืนยันช่วงเวลาข้อมูล เมื่อหลักฐานครบจึงบันทึกว่า

หลังแก้กรณี ประเมิน Entity-level Controls ให้ทดสอบผลในระบบหรือรายงานปลายทางอีกครั้ง หากความต่างเดิมกลับมา ต้องแก้ master data สิทธิ์ผู้ใช้ หรือขั้นตอนส่งต่อ ไม่ใช่สร้างรายการปรับปรุงซ้ำทุกงวด

เจ้าของงาน จุดควบคุม และการยกระดับ

เจ้าของกระบวนการ ประเมิน Entity-level Controls รับผิดชอบให้ข้อมูลครบและปิดข้อยกเว้น แต่ผู้จัดทำกับผู้อนุมัติควรแยกบทบาทกัน ผู้อนุมัติต้องตรวจหลักฐานสำคัญได้โดยไม่พึ่งคำอธิบายปากเปล่าจากผู้จัดทำเพียงคนเดียว

รอบทบทวนของ ประเมิน Entity-level Controls ควรสัมพันธ์กับวันที่ข้อมูลเปลี่ยนและวันที่ผลลัพธ์ถูกนำไปใช้ สำหรับ เน้นหลักฐาน การกระทบยอด ผู้อนุมัติ และการปิดข้อยกเว้นสำหรับ ประเมิน Entity-level Controls

ยกระดับเรื่อง ประเมิน Entity-level Controls ทันทีเมื่อหลักฐานสำคัญหาย ความต่างมีมูลค่าสูง กระทบบุคคลภายนอก หรืออธิบายไม่ได้ว่า แยกการประเมินว่าออกแบบเหมาะสมออกจากการทดสอบว่าปฏิบัติจริงอย่างสม่ำเสมอสำหรับ ประเมิน Entity-level Controls

เช็กลิสต์ก่อนปิดงาน

• ขอบเขต ประเมิน Entity-level Controls และวันตัดข้อมูลได้รับการยืนยัน
• Control objective Owner Frequency Population Evidence และผลการออกแบบที่เกี่ยวข้องกับ ประเมิน Entity-level Controls เชื่อมกลับไปยังแหล่งต้นทางได้
• Test script Sample Exception Reperformance และหลักฐานการตั้งค่าระบบที่ใช้ตรวจสอบ ประเมิน Entity-level Controls และ Conclusion Reviewer sign-off ข้อจำกัด และแผนแก้ไขจุดควบคุมพร้อมผู้รับผิดชอบและวันปิดงาน ถูกกระทบยอด
• ข้อสรุปว่า แยกการประเมินว่าออกแบบเหมาะสมออกจากการทดสอบว่าปฏิบัติจริงอย่างสม่ำเสมอสำหรับ ประเมิน Entity-level Controls และบันทึกเหตุผลที่เลือก มีหลักฐานและผู้อนุมัติ
• ข้อยกเว้นของ เน้นหลักฐาน การกระทบยอด ผู้อนุมัติ และการปิดข้อยกเว้นสำหรับ ประเมิน Entity-level Controls มีเจ้าของและวันครบกำหนด

เช็กลิสต์ของ ประเมิน Entity-level Controls ถือว่าปิดได้เมื่อหลักฐานทุกชิ้นเปิดดูได้ ข้อสรุปสอดคล้องกับข้อมูล และระบบปลายทางรับการแก้ไขแล้ว การส่งอีเมลหรือไฟล์โดยไม่มีการยืนยันรับยังไม่ใช่หลักฐานว่ากระบวนการเสร็จ

บทความนี้เป็นแนวทางจัดกระบวนการ ประเมิน Entity-level Controls ทั่วไป ไม่ใช่คำวินิจฉัยเฉพาะกรณี ก่อนยื่น ลงนาม ชำระเงิน หรือใช้สิทธิ ให้ตรวจข้อเท็จจริง เอกสาร และข้อกำหนดฉบับปัจจุบันที่เกี่ยวกับ เน้นหลักฐาน การกระทบยอด ผู้อนุมัติ

หากต้องการประเมินงาน ประเมิน Entity-level Controls จากข้อมูลจริงของกิจการ โปรดดู ขอบเขตบริการที่เกี่ยวข้องกับ ประเมิน Entity-level Controls และเตรียมหลักฐานต้นทางก่อนกำหนดวิธีดำเนินการ

บทความที่เกี่ยวข้องและแหล่งข้อมูล

• ทดสอบระบบควบคุมรายงานทางการเงิน
• ทดสอบ User Access Review
• สำนักงานคณะกรรมการกำกับหลักทรัพย์และตลาดหลักทรัพย์ — แนวปฏิบัติเรื่องระบบควบคุมภายใน หน่วยงานตรวจสอบภายใน ความเป็นอิสระ และการติดตามประสิทธิผล