Information Technology Governance

จากครั้งที่แล้ว ผมได้พูดคุยเกี่ยวกับการตรวจสอบคอมพิวเตอร์ที่ผมได้มีโอกาสร่วมตรวจสอบธนาคารพาณิชย์ กับ OCC (Office of the Comptroller of the Currency) เมื่อปี 2521 ไปบ้างแล้วนั้น วันนี้ผมจะขอเล่าถึงการตรวจสอบในแบบ Evaluation หรือ Around the Computer ซึ่งจะต่างจาก FDIC (Federal Deposit Insurance Corporation) ที่มีการตรวจสอบในแบบ Through the Computer แล้วผมจะเล่าให้ฟังว่า ทำไม OCC ถึงเลือกที่จะใช้การตรวจสอบแบบ Evaluation หรือ Around the Computer

การตรวจสอบในแบบ Evaluation หรือ Around the Computer

การ Evaluation ของ OCC ก็คือ การตรวจสอบด้านคอมพิวเตอร์ของ EDP Examiner นั่งเอง ทั้งนี้เพราะ OCC พิจารณาว่า การ Evaluation แต่เพียงอย่างเดียวก็บรรลุวัตถุประสงค์ของ EDP Examination ทุกประการ ดังนั้น OCC จึงค้นคว้าวิธีการตรวจสอบคอมพิวเตอร์ด้วยวิธีการ “ประเมิน” งานด้านที่เกี่ยวข้องจนกระทั่งเป็นที่ยอมรับกันอย่างกว้างขวาง ซึ่งต่อมาทั้ง FDIC และ FRS ก็ได้นำวิธีการ Evaluation ทุกขั้นตอนของ OCC ไปใช้ในทางปฏิบัติจนกระทั่งปัจจุบันนี้ แต่ FDIC มีวิธีการเพิ่มเติมเป็นพิเศษของตนเองตามลำพัง คือการตรวจในแบบ Through the Computer โดยใช้ Software Package ช่วยในการตรวจสอบด้าน Financial Examination ด้วย

การประเมินผล อาจกระทำที่ธนาคารพาณิชย์ และ/หรือ ณ ศูนย์ปฏิบัติการคือ Data Center ซึ่งดำเนินการโดยธนาคารพาณิชย์นั้น ๆ เอง หรือประเมินผลที่บริษัทผู้รับประมวลข้อมูลให้ธนาคาร การประเมินผลจะใช้เวลาระหว่าง 2 สัปดาห์ ถึง 12 สัปดาห์ ทั้งนี้ขึ้นกับ

• จำนวน Data Center ซึ่งอาจมีหลายแห่ง
• ขนาดของ Data Center
• ระบบงาน
• ปริมาณงานและชนิดของงาน
• ผลการตรวจสอบครั้งก่อน

การ Evaluation จนกระทั่งถึงการออกรายงานการตรวจสอบคอมพิวเตอร์ของ OCC มีขั้นตอนในการดำเนินงานเช่นเดียวกับที่กล่าวไว้ในขั้นตอนการ Evaluation และการออกรายงานการตรวจสอบคอมพิวเตอร์ของ FDIC ทุกประการ

การ Evaluation ของ EDP Examiner มี Work Program ในการปฏิบัติงานอย่างละเอียดในแต่ละส่วนงานที่เกี่ยวข้องกับคอมพิวเตอร์ ซึ่งมีหัวข้อและเป้าหมายกว้างในการตรวจสอบดังนี้

1. การประเมินการตรวจสอบของผู้สอบบัญชีของธนาคาร เพื่อ :-

ก) เพื่อกำหนดขอบเขตการปฏิบัติงานของผู้ตรวจสอบ ทั้งนี้เพราะผู้ตรวจสอบจะทราบสิ่งต่อไปนี้

• ปัญหาและข้อบกพร่องที่ตรวจพบโดยผู้สอบบัญชีของธนาคาร
• การตรวจสอบของผู้สอบบัญชีธนาคารว่าปฏิบัติงานตรวจสอบในสิ่งที่ควรจะได้ตรวจหรือไม่ เพราะผู้ตรวจสอบของ OCC จะขอดู Work Sheets ของผู้สอบบัญชีภายในของธนาคารด้วย

ข) ติดตามแก้ไขข้อบกพร่องตามที่ปรากฎในรายงาน

ค) สามารถทราบความสนใจของฝ่ายบริหารว่า สนใจเรื่องราวที่เกี่ยวกับคอมพิวเตอร์หรือไม่ ทั้งนี้ โดยดูจากการรายงานการประชุมว่ามีการพิจารณาและสั่งการประการใดบ้าง ในส่วนที่เกี่ยวกับข้อ comment และข้อแนะนำในรายงานตรวจสอบ

2. การประเมินการจัดการของฝ่ายบริหาร ก็เพื่อ :-

ก) พิจารณาการจัดองค์การ โดยเฉพาะในส่วนที่เกี่ยวข้องกับคอมพิวเตอร์ว่ามีหน่วยงานที่พอเพียงหรือไม่

ข) พิจารณาถึงการมอบหมายหน้าที่การงานและขอบเขตการรับผิดชอบให้กับแต่ละบุคคล ซึ่งมีส่วนรับผิดชอบในการบริหารงานเหมาะสมหรือไม่

ค) พิจารณาถึงนโยบายและการแก้ไขปัญหาของฝ่ายบริหาร

3. การประเมินรายงานและคำสั่งงาน (Systems and Programming) เพื่อ :-

ก) พิจารณาว่า ธนาคารสามารถดำเนินการได้ตามปกติหรือไม่ ถ้าเกิดกรณีต่อไปนี้

• ไฟไหม้
• น้ำท่วม
• แผ่นดินไหว
• ไฟฟ้าดับ
• โทรศัพท์ขัดข้อง
• อุปกรณ์คอมพิวเตอร์เสียหายหรือขัดข้อง

ทั้งนี้ เพราะปัญหาที่เกิดขึ้นกับธนาคารจะมีผลกระทบกระเทือนถึงประชาชนโดยตรง

ข) พิจารณาว่ามีการปฏิบัติตามคู่มือการปฏิบัติงานที่ได้วางไว้เป็นบรรทัดฐานหรือไม่ และคู่มือดังกล่าวยังมีผลในทางปฏิบัติเพียงใด

4. การประเมินผลด้านการปฏิบัติงาน (Computer Operation) เพื่อ :-

ก) พิจารณาถึงความพอเพียงของกระบวนการปฏิบัติงานในแต่ละขั้นตอนของการประมวลข้อมูลว่ามีความน่าเชื่อถือได้เพียงใด เมื่อได้ปฏิบัติตามระบบงานที่ได้เขียนเป็นลายลักษณ์อักษรไว้แล้ว

ข) พิจารณาถึงการควบคุมการประมวลข้อมูลทุกขั้นตอนว่า กระทำอย่างมีประสิทธิภาพเพียงใด อาจมีจุดอ่อนที่ใดได้บ้าง และมีการป้องกันอย่างไร และจะตรวจพบได้เพียงใด

สรุปงานของ EDP Examiner ขณะปฏิบัติงานด้านตรวจสอบประกอบด้วย :-

• ปฏิบัติงานด้าน Review System ปัจจุบันธนาคารที่กำลังใช้งาน ประมาณร้อยละ 40
• ปฏิบัติงานด้าน Review System ใหม่ที่ธนาคารจะนำมาใช้ในอนาคต ประมาณร้อยละ 30
• ปฏิบัติงานด้านเทคนิคให้กับ Regular Examiner หรือ Financial Examiner ประมาณร้อยละ 20
• ปฏิบัติงาน Review ด้าน Data Center ประมาณร้อยละ 10

เหตุผลที่ OCC ไม่ใช้วิธีการตรวจสอบในแบบ Through the Computer

เป็นที่น่าสังเกตว่า Comptroller of the Currency ใช้วิธีการ Evaluation ซึ่งพิจารณาได้ว่า เป็นแนวทางการตรวจสอบในแบบ “Around the Computer” แต่เพียงอย่างเดียว โดยไม่มีวิธีการตรวจสอบในแบบ “Through the Computer” ซึ่ง FDIC ใช้ในการปฏิบัติควบคู่กับวิธีการ “Around the Computer” ด้วย

เหตุผลที่ Comptroller of the Currency ไม่ใช้ Software Package หรือวิธีการ “Through the Computer” ในการตรวจสอบคอมพิวเตอร์อาจสรุปได้ดังนี้

1. มีปัญหามากในการใช้ปฏิบัติงาน พิจารณาว่าไม่คุ้มกัน เช่น ธนาคารเปลี่ยนแปลงฟอร์มหรือเทคนิคใหม่ ๆ ผู้ตรวจก็จำต้องแก้ไข Software Package และต้องศึกษาเทคนิคนั้น ๆ ให้รู้ซึ้งด้วย ส่วนมากใช้เวลา และในหลาย ๆ กรณีที่ต้องแก้ไข Software Package เนื่องจากธนาคารเปลี่ยน Operating System อาจใช้เวลาเกินกว่าที่ประมาณไว้มาก และการตรวจโดยใช้ Software Package มักพับกับปัญหาเช่นนี้เสมอ ๆ

2. ต้องใช้ความชำนาญของผู้ตรวจสอบมาก สิ้นเปลืองมาก และก็ไม่ได้เป็นที่แน่ใจว่าผู้ตรวจสอบประเภทนี้สามารถแก้ไขปัญหาได้ทุกเรื่อง เนื่องจากเวลาส่วนใหญ่หรือแทบทั้งหมดใช้ไปในงานตรวจสอบ จนกระทั่งไม่มีเวลาศึกษาเทคนิคใหม่ ๆ

3. การตรวจสอบโดยใช้ Software Package เพียงแต่ทำให้รู้สึกว่าเป็นการตรวจสอบอิสระที่ไม่จำเป็นต้องใช้ข้อมูลของธนาคาร แต่ในทางปฏิบัติต้องอาศัยพนักงานและความร่วมมือจากธนาคารพาณิชย์ที่ถูกตรวจสอบอยู่มาก เช่น

• การให้เวลาปฏิบัติการ
• การเลือก File ในการ Generate ข้อมูล
• การชี้แนะเทคนิคต่าง ๆ ที่เกี่ยวข้องในการ Process ข้อมูล เป็นต้น
• ผู้ตรวจสอบไม่อาจควบคุมการ Process งานทุกขั้นตอนได้

4. ผู้ตรวจสอบภายในของธนาคารส่วนใหญ่ก็ใช้ Software Package ในการตรวจสอบ ดังนั้น การประเมินการตรวจสอบภายในก็น่าจะพอเพียง ทั้งนี้เมื่อพิจารณาว่ารายละเอียดต่าง ๆ ควรเป็นหน้าที่ของผู้ตรวจสอบภายในของธนาคารเอง เพราะมีหน้าที่โดยตรงอยู่แล้ว

5. การใช้ Software Package ในการตรวจสอบแบบ Through the Computer นั้น แต่ละ Package ไม่อาจใช้กับงานที่จะตรวจทุกชนิดได้ (ยกเว้น Package ง่าย ๆ ที่ไม่มีประโยชน์ในการใช้งานในกาคปฏิบัติมากนัก) ดังนั้น แต่ละงานจะต้องใช้ แต่ละ Package ที่เกี่ยวข้อง นอกจากนี้ ถ้าเป็นคอมพิ้วเตอร์ต่างชนิด ต่างระบบ ก็ไม่อาจใช้ Software Package อันเดียวกันได้ ถึงแม้จะเป็นงานชนิดเดียวกันก็ตาม ดังนั้น จึงนับว่าสิ้นเปลืองมาก

6. การกำหนดข้อมูลขั้นต่ำที่จำเป็นต้องใช้ในการตรวจสอบให้ธนาคารพาณิชย์ที่ใช้คอมพิวเตอร์จัดทำในรูป Report ได้เช่นเดียวกับข้อมูลที่จะได้จากการตรวจสอบด้วยวิธีธรรมดาหรือในแบบ Around the Computer ดั้งนั้น การตรวจสอบคอมพิวเตอร์โดยใช้วิธีการประเมินตามขั้นตอนที่ปฏิบัติอยู่ก็ได้ผลเช่น

7. การใช้ Software Package ของ FDIC เป็นเพียงเครื่องมือที่ช่วยในการตรวจสอบด้าน Financial ซึ่งช่วยงานตรวจสอบของ Financial Examiner เท่านั้น ไม่มีผลในการตรวจสอบเกี่ยวกับคอมพิวเตอร์โดยตรง เช่น 120 Package (Installment Loan Package) ที่ใช้ในการตรวจสอบ Installment Loans พัฒนาขึ้นเพื่อให้ผู้ตรวจ Installment Loans ซึ่งเป็นงานของ Financial Examiner ได้ตรวจสะดวกและรวดเร็วโดยได้ข้อมูลที่ต้องการเท่านั้น

ขั้นตอนของการวางแผนการตรวจสอบ EDP Audit / EDP Audit Plan – IT Audit Plan

สำหรับรูปภาพ ซึ่งเป็นแผนภาพการตรวจสอบ EDP Audit ในยุคแรก ๆ ของการตรวจสอบทางด้าน IT ซึ่งบางส่วนก็ยังสามารถประยุกต์มาใช้ในการวางแผนการตรวจสอบ IT Audit ในยุคปัจจุบันได้ ซึ่งขึ้นกับบริบทและสภาพแวดล้อม รวมทั้งระบบงานและเป้าประสงค์ของการตรวจสอบ และปัจจัยอื่น ๆ ที่เกี่ยวข้อง ผมจึงขอนำเสนอด้วยแผนภาพที่เข้าใจได้ง่าย ๆ และน่าจะเป็นประโยชน์ต่อผู้ตรวจสอบ ทั้งงานด้านทั่วไป (General Auditor) และ ผู้ตรวจสอบด้านคอมพิวเตอร์ (IT Auditor / IT Examiner)  รวมไปถึง IT Audit for Non-IT Auditor ซึ่งทาง สวทช. ได้จัดให้มีการอบรมหลักสูตรนี้ติดต่อกันมาเป็นปีที่ 7 แล้ว ดังนั้น ผู้บริหารที่ต้องการติดตามร่องรอยการบริหาร (Management Trail) และผู้ตรวจสอบ ซึ่งต้องการติดตามร่องรอยการประมวลงาน ซึ่งรวมทั้งขั้นตอนการดำเนินงานตรวจสอบ (Audit Trail) ก็อาจศึกษาแนวทางการตรวจสอบ เพื่อวางแผนการตรวจสอบซึ่งเป็นขั้นตอนที่มีความสำคัญยิ่ง ทั้งนี้ เพื่อทดสอบการควบคุมความเสี่ยง จากทางด้าน IT Risk ที่มีผลต่อ Business Risk รวมทั้งหาหลักฐานที่เกี่ยวข้องมาสนับสนุนความเห็นของผู้ตรวจสอบตามความจำเป็นต่อไป

อนึ่ง ท่านผู้อ่านที่ได้ติตตามแผนภาพในเรื่องเกี่ยวกับ Audit Around the Computer และ Audit Through the Computer รวมทั้ง Test Data Method – TDM ในการเล่าเรื่องที่เกี่ยวข้องใน 2 ครั้งที่ผ่านมานั้น ก็เพื่อสร้างความคิด ความเข้าใจกับท่านผู้อ่านว่า ในยุคแรกของการตรวจสอบทางด้าน IT Audit ซึ่งเรียกว่า EDP Audit ในยุคนั้น เขามีวิธีการตรวจสอบกันอย่างไรโดยสังเขป ไม่ว่าจะใช้โปรแกรม หรือใช้ Manual ในการตรวจสอบก็ตาม

สวัสดีครับทุกท่าน จากประสบการณ์ที่ผมได้ร่วมตรวจสอบ EDP Examiner กับ FDIC (Federal Deposit Insurance Corporation) และได้เล่าสู่กันฟังไปหลายตอนแล้วนั้น วันนี้ผมจะขอเล่าถึงการตรวจสอบที่ผมได้ร่วมกับ OCC (Office of the Comptroller of the Currency) ตามที่ได้กล่าวทิ้งท้ายในครั้งก่อนกันบ้างว่า จะมีความเหมือนหรือแตกต่างกันอย่างไร สำหรับงานตรวจสอบด้านคอมพิวเตอร์ของทั้ง 2 สถาบันดังกล่าว ซึ่งเป็นงานการตรวจสอบคอมพิวเตอร์ในยุคที่ผ่านมา เมื่อปี 2521 ติดตามกันต่อได้เลยครับ

การตรวจสอบคอมพิวเตอร์ของ OCC

ผู้ตรวจสอบคอมพิวเตอร์ (EDP Examiners)

The Comptroller ได้แต่งตั้งผู้ตรวจสอบที่มีประสบการณ์ในการตรวจสอบให้ปฏิบัติงานเป็นผู้ตรวจสอบด้านคอมพิวเตอร์ (EDP Examiners) และได้จัดให้บุคคลเหล่านี้เข้ารับการฝึกอบรมเป็นพิเศษ เพื่อให้เป็นผู้ที่มีความสามารถในการที่จะตรวจสอบระบบการผลิตข้อมูลด้วยคอมพิวเตอร์ของธนาคารและของศูนย์บริการด้านคอมพิวเตอร์ (Service Center) ต่าง ๆ ที่ธนาคารใช้บริการอยู่

ผู้ตรวจการด้านคอมพิวเตอร์จะรายงานต่อ Regional Administrator ซึ่งตนสังกัดอยู่ แต่อย่างไรก็ตาม งานทางด้านเทคนิคต่าง ๆ ของการตรวจสอบด้าน EDP ยังคงอยู่ในความรับผิดชอบของฝ่ายกิจการธนาคาร (The Banking Operation Department) ในวอชิงตัน จำนวนของผู้ตรวจการ สถานที่ทำงาน และตารางเวลาการปฏิบัติงานของผู้ตรวจการดังกล่าว ยังคงขึ้นอยู่กับ Regional Administrator ซึ่งเป็นผู้บริหารงานของแต่ละ office การคัดเลือกผู้ตรวจการและการจัดให้เข้ารับการอบรมต้องประสานงานและได้รับอนุมัติจากสำนักงานตรวจสอบคอมพิวเตอร์ (EDP Examination Division) ในวอชิงตัน มาตรฐานและการดำเนินการฝึกอบรมให้ถือเป็นความรับผิดชอบของ Washington Office

ผู้ตรวจการด้าน EDP มีหน้าที่ในการตรวจสอบการผลิตข้อมูลด้วยคอมพิวเตอร์ในแต่ละธนาคาร และในศูนย์บริการซึ่งผลิตข้อมูลให้แก่ธนาคาร

แผนการปฏิบัติงาน (Work Programs) และรายงานการตรวจสอบจะจัดทำขึ้นโดยเฉพาะสำหรับแต่ละกิจการที่ตรวจสอบ วัตถุประสงค์ของการตรวจสอบก็เพื่อที่จะวัดผลการควบคุมภายในของระบบการผลิตข้อมูลด้วยคอมพิวเตอร์

ความจำเป็นของแต่ละท้องถิ่น ความสนใจและความชำนาญงานของผู้ตรวจการแต่ละคนจะเป็นปัจจัยที่กำหนดระยะเวลาที่จะใช้ในการตรวจสอบของผู้ตรวจการด้าน EDP ผู้ตรวจการด้าน EDP จะต้องเป็นผู้ที่มีความสนใจในงานด้านการผลิตข้อมูลด้วยเครื่องจักรนี้เป็นอย่างมาก เพื่อที่จะให้เป็นผู้ตรวจการที่มีประสิทธิภาพอยู่เสมอ

ผู้ตรวจการด้าน EDP ของ The Comptroller จะต้องเป็นผู้ที่คุ้นเคยกับงานด้านการตรวจสอบกิจการค้า กิจการทรัสต์ และกิจการธนาคารระหว่างประเทศ (International Bank) หรือเคยผ่านงานดังกล่าวมาบ้าง อย่างน้อยที่สุดต้องเป็นผู้ที่สามารถเข้าใจถึงกิจการดังกล่าวโดยตลอด ดังนั้น จึงอาจกล่าวได้ว่า ผู้ตรวจสอบคอมพิวเตอร์ (EDP Examine) จะต้องรู้ถึงแนวการตรวจสอบในแบบธรรมดามาแล้วเป็นอย่างดี และโดยปกติ EDP Examiner มักจะได้รับการคัดเลือกหรือมาจากความสมัครใจของผู้ตรวจสอบธรรมดา (Financial Examiner) ที่มีประสบการณ์การตรวจกิจการของธนาคารโดยทั่วไปมาแล้ว

การตรวจสอบคอมพิวเตอร์ (EDP Examination)

การตรวจสอบด้าน EDP ประกอบด้วยหลักการที่จะประเมินผลการควบคุมภายในที่มีอยู่ในศูนย์ประมวลผลแต่ละแห่ง ศูนย์ประมวลผลที่ดำเนินการประมวลผลข้อมูลและเก็บรักษาบันทึกข้อมูล (Master File Records) ของธนาคารทุกศูนย์จะต้องได้รับการตรวจสอบรายละเอียดด้านล่างนี้จะแสดงถึงลักษณะของศูนย์ประมวลผลที่จะต้องได้รับการตรวจสอบจากสำนักงานของ Comptroller

• ศูนย์ประมวลผลข้อมูลของธนาคารที่ตั้งอยู่ในที่ทำการ (In-House Data Processing Center)
• สาขาย่อยของศูนย์ประมวลผลของธนาคาร
• กิจการในเครือของธนาคาร (Affiliates of National Bank) หรือ สาขาของธนาคาร (Subsidiaries of Bank Holding Companies) ซึ่งให้บริการผลิตข้อมูลแก่ธนาคาร
• สถาบันการเงินที่มิใช่ธนาคาร (Nonbanking Companies) ซึ่งให้บริการด้านการประมวลผลข้อมูลแก่ธนาคาร (National Bank)
• ระบบคอมพิวเตอร์ขนาดเล็ก (Minicomputer Systems) ของธนาคารที่ธนาคารใช้บันทึกข้อมูลเข้า Master Files ของระบบ Computer

ศูนย์ประมวลผลต่อไปนี้ไม่ต้องได้รับการตรวจสอบโดยสำนักงานของ Comptroller คือ

• State Banks หรือสาขาของ State Banks ซึ่งให้บริการประมวลผลข้อมูลแก่ National Bank
• ศูนย์ประมวลผลซึ่งมิใช่ของธนาคาร National Bank หรือสาขาของ National Bank และมิได้ให้บริการดังกล่าวแก่ National Bank

ส่วนเครื่องคอมพิวเตอร์ขนาดเล็ก ซึ่งใช้ประโยชน์เฉพาะ เพื่อการถ่ายทอดข้อมูลจากเอกสารต้นฉบับและส่งผ่าน (Transmitting) ไปยังศูนย์ประมวลผลเพื่อผ่านบัญชี (Posted), ประมวลผล (Processed) และ บันทึกข้อมูลและใช้เพื่อรับผล (Output) จากศูนย์และส่งกลับไปเพื่อแสดงผล ณ จุดต่าง ๆ ตามที่ต้องการ

การตรวจสอบระบบดังกล่าว ซึ่งมักเรียกว่า “Front-End Devices” มีข้อแนะนำดังต่อไปนี้

เมื่อใดก็ตามที่ธนาคารที่ตรวจสอบมีระบบ Front-End System เชื่อมโยงกับศูนย์คอมพิวเตอร์มากกว่า 1 แห่ง ผู้ตรวจการจะต้องเลือกไปตรวจสอบและดูความเหมาะสม 1 แห่ง และในการตรวจสอบครั้งต่อไปจะต้องเลือกแห่งใหม่ไม่ซ้ำกับที่เดิม แต่เนื่องจากการที่สถานที่ตั้งของ Front-End System อยู่คนละแห่งกันกับศูนย์ข้อมูลที่เข้าตรวจสอบตามหมายกำหนดการ ดังนั้น การตรวจสอบ Front-End Device ซึ่งอยู่คนละสถานที่กัน อาจทำให้ขณะที่เข้าตรวจศูนย์ข้อมูลอื่นซึ่งตั้งอยู่ในท้องถิ่นดังกล่าวได้ในภายหลัง และในกรณีนี้จะต้องมีรายละเอียดระบุไว้ด้วยว่า ได้ตรวจสอบครั้งก่อนเมื่อใด ใครเป็นผู้ตรวจ มีขอบเขตเพียงใด และไม่จำเป็นต้องรายงานแยกต่างหากอีก ข้อสังเกตของการตรวจสอบ Front-End System ดังกล่าวอาจรวมเข้ากับรายงานการตรวจสอบศูนย์ข้อมูลที่ได้ตรวจสอบเมื่อก่อนหน้านี้ก็ได้

การตรวจสอบประสานกัน (Concurrent Examination)

การตรวจสอบกิจการของธนาคารและศูนย์ข้อมูลของธนาคารอาจจะกระทำพร้อมกันไปก็ได้ เพื่อให้มีการประสานงานระหว่างผู้ตรวจสอบด้าน EDP และผู้ตรวจสอบด้านเงินให้กู้ยืมและให้เครดิต และด้านกิจการทรัสต์ ในกรณีที่มีปัญหาหรือพบข้อแตกต่างในระหว่างการตรวจสอบร่วมกันนี้ ผู้ตรวจการด้าน EDP จะเป็นผู้รับผิดชอบในการชี้แจงแก่ผู้บริหารระดับสูง (Senior Management) และแนะนำแก่ผู้ตรวจสอบเงินให้กู้ยืมและให้เครดิต (Examiner-Incharge of The Commercial Examination) ถึงข้อแตกต่างที่ตรวจพบ

การตรวจสอบร่วมกัน (Joint Examination)

ในบางกรณี EDP Examiner ของ Comptroller อาจตรวจสอบร่วมกับ EDP Examiner ของสถาบันอื่นที่มีหน้าที่ควบคุมธนาคาร (Other Regulatory Authorities) ก็ได้ เช่น ผู้ตรวจสอบของ FDIC และ/หรือ FRB

ผู้ตรวจการควรพยายามประสานงานเพื่อตรวจสอบกิจการต่อไปนี้

กิจการในเครือ (Affiliate) ของ National Bank หรือสาขา (Subsidiary) ของ Holding Company ของธนาคารซึ่งเป็นผู้ให้บริการผลิตข้อมูลแก่ National และ State Banks)

สถาบันการเงินที่มิใช่ธนาคาร (Nonbanking Companies) ซึ่งให้บริการแก่ National และ State Banks

องค์การที่ตั้งขึ้นเพื่อให้บริการแก่ธนาคาร (Bank Services Corporations) ทั้งในรูปของการลงทุนร่วมกันหรือสหกรณ์ (Joint Ventures or Cooperations) ซึ่งให้บริการดังกล่าวได้แก่ National และ State Banks

สำหรับการตรวจสอบคอมพิวเตอร์กับ OCC ยังไม่จบเพียงเท่านี้ ครั้งหน้าไปติดตามการตรวจสอบในแบบ Evaluation หรือ Around The Computer กันครับ