หลักเกณฑ์กระทรวงการคลังว่าด้วยมาตรฐานและหลักเกณฑ์ปฏิบัติการตรวจสอบภายในสำหรับหน่วยงานของรัฐ พ.ศ. 2561 และที่แก้ไขเพิ่มเติม

หลักเกณฑ์ฉบับฐานออกตามมาตรา 79 แห่งพระราชบัญญัติวินัยการเงินการคลังของรัฐ พ.ศ. 2561 หนังสือกระทรวงการคลังลงวันที่ 14 พฤศจิกายน 2561 จึงเป็นกรอบบังคับสำหรับหน่วยงานของรัฐ มิใช่คู่มือสมัครใจ. ข้อความปัจจุบันต้องอ่านประกอบฉบับที่ 2 พ.ศ. 2562 ฉบับที่ 3 พ.ศ. 2564 และฉบับที่ 4 พ.ศ. 2566 โดยฉบับที่ 2–3 ปรับโครงสร้างคณะกรรมการตรวจสอบและหน้าที่หลายส่วน ส่วนฉบับที่ 4 แก้ข้อ 15 เรื่องค่าตอบแทน. ประเด็นอาจยกถ้อยคำจากฉบับเดิม เช่น ให้หน่วยตรวจขึ้นตรงต่อผู้บริหารทุกกรณี หรือค่าตอบแทนเป็นไปตามกฎหมายอย่างเดียว ต้องตรวจว่าเนื้อหานั้นถูกแทนที่แล้วหรือไม่. การตรวจสอบภายในเป็นกิจกรรมให้ความเชื่อมั่นและให้คำปรึกษาอย่างเที่ยงธรรม มีเป้าหมายเพิ่มคุณค่าและปรับปรุงการดำเนินงาน มิใช่หน่วยจับผิดย้อนหลังหรือฝ่ายอนุมัติแทนผู้บริหาร

คุณค่าของงานเกิดจากการประเมินการกำกับดูแล การบริหารความเสี่ยง และการควบคุมอย่างเป็นระบบ แล้วสื่อสารข้อมูลที่ผู้มีอำนาจใช้ตัดสินใจและแก้สาเหตุได้. ผู้บริหารยังเป็นเจ้าของความเสี่ยงและการควบคุม ผู้ตรวจสอบช่วยประเมินและเสนอแนะ แต่ไม่รับเอาความรับผิดชอบบริหารมาเป็นของตน เพราะจะทำลายความเที่ยงธรรมเมื่อต้องกลับมาตรวจ. ข้อสรุปที่ดีจึงไม่ใช่ “ผู้ตรวจต้องแก้ทุกอย่างเอง” แต่ระบุผู้รับผิดชอบเดิม การประเมินโดยอิสระ ผู้อนุมัติการแก้ และกระบวนการติดตามผล. งานให้ความเชื่อมั่นเป็นการประเมินหลักฐานอย่างเป็นอิสระเพื่อให้ความเห็นหรือข้อสรุปต่อเรื่องที่ตรวจ ส่วนงานให้คำปรึกษาเป็นการแนะนำ อำนวยความสะดวก หรือให้ความรู้ตามขอบเขตที่ตกลงกับผู้รับบริการ

งานให้คำปรึกษายืดหยุ่นกว่าในรูปแบบ แต่ไม่ทำให้ผู้ตรวจมีสิทธิอนุมัติธุรกรรม ออกแบบแล้วรับรองระบบของตน หรือสั่งการแทนเจ้าของกระบวนการ. หากให้คำปรึกษาในระบบใหม่ ผู้ตรวจอาจชี้ความเสี่ยงและหลักควบคุมได้ แต่ฝ่ายบริหารต้องเลือกแบบ อนุมัติ รับผิดชอบการใช้ และยอมรับความเสี่ยงที่เหลือ. เมื่อกลับมาตรวจระบบที่เคยให้คำปรึกษา ต้องประเมินข้อจำกัดความเที่ยงธรรม เปิดเผยตามจำเป็น และจัดผู้ตรวจหรือการกำกับที่ทำให้ข้อสรุปน่าเชื่อถือ. ความเป็นอิสระระดับองค์กรหมายถึงสถานะและสายรายงานที่ทำให้หัวหน้าหน่วยตรวจสามารถกำหนดขอบเขต ปฏิบัติงาน และสื่อสารผลโดยไม่ถูกแทรกแซง จึงต้องมีช่องทางถึงหัวหน้าหน่วยงานและคณะกรรมการตรวจสอบตามโครงสร้าง

ความเที่ยงธรรมระดับบุคคลหมายถึงทัศนคติที่ไม่ลำเอียง ไม่ปล่อยให้ผลประโยชน์ ความสัมพันธ์ หรือความรับผิดชอบเดิมทำให้ตัดสินหลักฐานเบี่ยงเบน. หน่วยตรวจอาจขึ้นตรงถูกต้องแต่ผู้ตรวจมีญาติเป็นหัวหน้าหน่วยรับตรวจก็ยังเกิดข้อจำกัด หรือผู้ตรวจเป็นกลางแต่ผู้บริหารห้ามเข้าถึง log ก็ยังเกิดการแทรกแซงระดับองค์กร. วิธีแก้จึงต้องตรงชนิดของปัญหา เช่น เปลี่ยนผู้ตรวจสำหรับผลประโยชน์ส่วนตัว แต่ยกระดับต่อผู้กำกับดูแลเมื่อถูกตัดขอบเขตหรือข้อมูลสำคัญ. “เพียงพอ” ถามว่าปริมาณหลักฐานพอรองรับข้อสรุปหรือไม่ ส่วน “เชื่อถือได้” ถามคุณภาพและแหล่งที่มา หลักฐานคำบอกเล่าคนเดียวอาจเกี่ยวข้องแต่ยังไม่เพียงพอหรือเชื่อถือพอจะฟันธงทุจริต

“เกี่ยวข้อง” หมายถึงสัมพันธ์กับวัตถุประสงค์และประเด็นที่ทดสอบ ส่วน “เป็นประโยชน์” หมายถึงช่วยให้บรรลุวัตถุประสงค์ของงานและการตัดสินใจ. “ประสิทธิผล” ดูว่าบรรลุเป้าหมาย “ประสิทธิภาพ” ดูความสัมพันธ์ระหว่างผลกับทรัพยากร “ประหยัด” ดูการได้ทรัพยากรในต้นทุนเหมาะสม และ “คุ้มค่า” มองประโยชน์โดยรวมเทียบต้นทุนและความเสี่ยง. “ติดตามผล” ไม่ใช่ทวงข้อสรุป แต่ยืนยันการดำเนินการหรือการยอมรับความเสี่ยงโดยผู้มีอำนาจ ส่วน “ปิดข้อเสนอ” ต้องอาศัยหลักฐานว่าความเสี่ยงลดจริงตามเกณฑ์. เริ่มจากจับเหตุการณ์ เช่น ถูกแทรกแซง ขาดทักษะ หลักฐานอ่อน รายงานผิด หรือฝ่ายบริหารยอมรับความเสี่ยงสูง แล้วระบุความเสี่ยงต่อคุณภาพหรือความน่าเชื่อถือของงาน

หาเจ้าของการตัดสินใจให้ถูก หัวหน้าหน่วยตรวจจัดแผนและทรัพยากร หัวหน้าทีมกำกับงาน คณะกรรมการตรวจสอบดูความเป็นอิสระ ส่วนฝ่ายบริหารเป็นเจ้าของมาตรการแก้. เลือกการตอบสนองที่รักษาหลักฐานและสายกำกับ เช่น บันทึกข้อจำกัด หารือระดับที่เหมาะสม ปรับแผน เสนออนุมัติ หรือส่งข้อมูลแก้ไขถึงผู้รับเดิม. ตัดตัวเลือกที่ทำเพียงให้เรื่องเงียบ เช่น ลบข้อค้นพบ รับคำรับรองปากเปล่า ปิดงานเมื่อฝ่ายบริหารบอกว่าจะทำ หรือใช้คำว่าเป็นไปตามมาตรฐานโดยไม่มีผลประเมินคุณภาพรองรับ