Information Technology Governance

เรื่องที่ผมจะพูดคุยกับทุกท่านในวันนี้ เป็นเรื่องของ AI กับการตรวจสอบ IT Audit และ Non-IT Auditors โดยใช้หลักการ GRC ซึ่งจะมีหลายประเด็นที่น่าสนใจและมีประโยชน์ที่เราจะได้แบ่งปันกันในโพสต์นี้ หรืออาจจะในครั้งต่อ ๆ ไป เพื่อไม่ให้แต่ละโพสต์ยืดยาวจนเกินไป

AI กับการตรวจสอบ – จุดเปลี่ยนของวงการ Audit

การตรวจสอบในยุคที่ข้อมูลไม่เคยหยุดนิ่ง

ในอดีต การทำงานของผู้ตรวจสอบภายในหรือ External Auditor มักเกี่ยวข้องกับเอกสาร ปากกา สมุดโน้ต และแฟ้มกระดาษที่มีรายการทางการเงินเรียงรายให้ตรวจสอบ การตรวจเช็คความถูกต้องของข้อมูลตามร่องรอยที่ปรากฏในหลักฐาน (audit trail) เป็นกิจวัตรที่คุ้นชิน แต่เมื่อยุคของ “ข้อมูลมหาศาล” (Big Data) มาถึง รูปแบบการตรวจสอบแบบเดิมก็เริ่มตั้งคำถามกับตัวเองว่า “เรายังเพียงพอหรือเปล่า?”

ปัจจุบัน ข้อมูลที่องค์กรสร้างขึ้นในแต่ละวัน ไม่ว่าจะมาจากระบบ ERP, ระบบบัญชี, ข้อมูลลูกค้า หรือแม้แต่ log ของระบบเครือข่าย มีปริมาณมากเกินกว่าที่มนุษย์จะตรวจสอบทั้งหมดได้แบบ manual ตรงจุดนี้เองที่เทคโนโลยี AI (Artificial Intelligence) เริ่มเข้ามามีบทบาทมากขึ้นในสายงานตรวจสอบ แต่นั่นไม่ได้หมายความว่า AI จะมาแทนที่ผู้ตรวจสอบในเร็ววัน ตรงกันข้าม AI จะเข้ามาเป็น “ผู้ช่วยอัจฉริยะ” ที่ช่วยให้ผู้ตรวจสอบทำหน้าที่ได้ดียิ่งขึ้น
และเมื่อเราใช้งานภายใต้กรอบแนวคิด GRC อย่างเหมาะสม ก็จะช่วยให้ทั้งองค์กร ก้าวสู่การตรวจสอบยุคใหม่ได้อย่างมั่นคงและปลอดภัย

ทำความรู้จัก AI – การพัฒนาเทคโนโลยีที่ลึกซึ้งและครอบคลุม

AI (Artificial Intelligence) คือ เทคโนโลยีที่ทำให้คอมพิวเตอร์หรือเครื่องจักรสามารถ “คิด วิเคราะห์ และตัดสินใจ” ได้ในระดับหนึ่ง โดยอิงจากข้อมูลที่เรียนรู้มาหรือถูกป้อนเข้าไป ซึ่งแตกต่างจากซอฟต์แวร์ทั่วไปที่ทำงานตามคำสั่งแบบตายตัว

AI ไม่ได้เป็นเรื่องใหม่เสียทีเดียว แต่ในช่วงไม่กี่ปีที่ผ่านมา การเติบโตของ Machine Learning, Deep Learning และความสามารถในการประมวลผลข้อมูลขนาดใหญ่ ได้ผลักดันให้ AI ก้าวเข้าสู่หลายอุตสาหกรรม รวมถึงงานด้านการตรวจสอบด้วย

ตัวอย่าง AI ใกล้ตัวในชีวิตประจำวัน เช่น ระบบแนะนำวิดีโอบน YouTube หรือ Netflix, การใช้งาน Google Maps ที่แนะนำเส้นทางสั้นที่สุด , Chatbot ที่ตอบคำถามลูกค้าในเว็บไซต์ หรือ แม้แต่ระบบตรวจจับการฉ้อโกงของธนาคารก็ใช้ AI อยู่เบื้องหลัง

AI เข้ามาช่วยอะไรในงานตรวจสอบ?

AI ไม่ได้เข้ามาแทนที่ผู้ตรวจสอบ แต่ทำหน้าที่เป็น “เครื่องมือ” หรือ “คู่คิด” ที่ช่วยให้เราทำงานได้ดียิ่งขึ้น โดยเฉพาะใน 4 ด้านหลักต่อไปนี้:

1. วิเคราะห์ข้อมูลจำนวนมากได้รวดเร็ว

AI สามารถอ่านข้อมูลนับล้านรายการในไม่กี่วินาที ตรวจหาความผิดปกติ (anomaly) ได้ทันที ซึ่งหากใช้คนตรวจด้วยตา อาจต้องใช้เวลาหลายวัน

2. ตรวจจับความผิดปกติที่ซ่อนอยู่

ระบบ AI ที่เรียนรู้จากพฤติกรรมปกติของธุรกรรม สามารถจับความเปลี่ยนแปลงเล็ก ๆ ที่อาจบ่งบอกถึงการทุจริตหรือความเสี่ยงได้เร็วกว่ามนุษย์

3. ลดภาระงานซ้ำซาก

ผู้ตรวจสอบไม่จำเป็นต้องตรวจเช็กรายการเดิม ๆ ซ้ำ ๆ เพราะ AI จะคัดกรองให้เบื้องต้น ทำให้เหลือเพียงเคสที่ต้องใช้วิจารณญาณของคนจริง ๆ เท่านั้น

4. เพิ่มความแม่นยำ

เมื่อใช้ข้อมูลจำนวนมาก AI สามารถระบุความเสี่ยงหรือจุดบกพร่องได้อย่างแม่นยำมากกว่าการสุ่มตัวอย่าง (sampling) แบบดั้งเดิม

แม้ว่า AI จะทรงพลังเพียงใด หากใช้โดยไม่มีกรอบคิดและการควบคุม ก็อาจนำไปสู่ความเสี่ยงทั้งด้านจริยธรรม กฎหมาย และชื่อเสียงองค์กร และนี่เองที่ “GRC” เข้ามาเป็น Framework สำคัญ ถ้าจะให้ AI ทำงานได้ดี ต้องอยู่ในกรอบที่เหมาะสม GRC จึงเป็นคำตอบ

GRC ย่อมาจาก Governance, Risk และ Compliance เป็นแนวทางที่ช่วยให้องค์กรดำเนินงานด้านเทคโนโลยี (รวมถึง AI) ได้อย่างโปร่งใส ปลอดภัย และสอดคล้องกับกฎหมายและนโยบายองค์กร

องค์ประกอบ	ความหมาย	บทบาทกับ AI
Governance	การกำกับดูแลที่ดี	สร้างแนวทางการใช้งาน AI อย่างมีจริยธรรม
Risk	การบริหารความเสี่ยง	ตรวจสอบและควบคุมความเสี่ยงจากการใช้ AI
Compliance	การปฏิบัติตามกฎหมาย/กฎเกณฑ์/ระเบียบ/ข้อบังคับ	ให้แน่ใจว่า AI สอดคล้องกับระเบียบ/กฎหมายที่เกี่ยวข้อง

การใช้ AI ในงานตรวจสอบจึงไม่ใช่เพียงเรื่องของ “เครื่องมือ” แต่คือการ “วางระบบควบคุมและแนวทางการใช้งาน” ที่สอดคล้องกับหลัก GRC ด้วยเช่นกัน

บทบาทใหม่ของผู้ตรวจสอบในโลกที่มี AI

ผู้ตรวจสอบในยุคดิจิทัลไม่จำเป็นต้องเป็นผู้เชี่ยวชาญด้านเทคนิคหรือโปรแกรมเมอร์ แต่ควรเข้าใจ “หลักการของการใช้เทคโนโลยี” และมองเห็นโอกาสในการปรับใช้เครื่องมืออย่างชาญฉลาด

สิ่งที่ยังคงเป็นบทบาทของมนุษย์และ AI ยังทำแทนไม่ได้ ได้แก่:

• การตั้งคำถามเชิงกลยุทธ์
• การตัดสินใจบนบริบทขององค์กร
• การประเมินผลกระทบต่อคนและวัฒนธรรมองค์กร
• การให้ข้อเสนอแนะที่สื่อสารได้ชัดเจนและเหมาะสม

กล่าวคือ AI ทำงานได้ดีในการ “วิเคราะห์” แต่ “การตีความ” และ “การตัดสินใจเชิงวิจารณญาณ” ยังคงเป็นของผู้ตรวจสอบเสมอ

สรุป-จุดเริ่มต้นของการยกระดับสายงานตรวจสอบ

AI และ GRC ไม่ใช่เรื่องไกลตัวหรือซับซ้อนเกินเข้าใจ หากแต่คือเครื่องมือและกรอบความคิดที่ช่วยให้ผู้ตรวจสอบทำงานได้ลึกขึ้น แม่นยำขึ้น และมีผลกระทบต่อองค์กรอย่างเป็นรูปธรรมมากขึ้น การทำความเข้าใจพื้นฐานในตอนแรกนี้ จึงเป็นก้าวสำคัญสำหรับผู้ตรวจสอบทุกคน ไม่ว่าจะมีพื้นฐานด้าน IT หรือไม่ก็ตาม

ในตอนต่อไป เราจะลงลึกในองค์ประกอบแรกของ GRC คือ “Governance – ธรรมาภิบาลในการใช้งาน AI” และบทบาทของผู้ตรวจสอบในการกำกับดูแลระบบ AI อย่างมีจริยธรรม