แม้มีผู้ลงนามอนุมัติสองคน แต่หากทั้งคู่ตรวจข้อมูลชุดเดียวกันที่ยังไม่ยืนยัน ก็อาจไม่มีการทบทวนอย่างแท้จริง เริ่มจากเส้นทางธุรกรรมและการเปลี่ยนข้อมูลจริง เพื่อกำหนดหน้าที่ป้องกัน ตรวจจับความผิดปกติ และหยุดกระบวนการ
เหมาะสำหรับใครและเริ่มเมื่อใด
องค์กรที่มีการชำระเงินหรือจัดซื้อเพิ่มขึ้น จัดการข้อมูลผู้ขายข้ามสถานที่ หรือเคยพบการแอบอ้างและคำขอเท็จ สามารถเลือกกระบวนการธุรกรรมสำคัญมาทบทวน การเริ่มระบบหรือปรับสิทธิ์เข้าถึงก็เป็นช่วงที่ควรตรวจช่องว่างควบคุมใหม่
ความท้าทายที่พบบ่อย
การแก้ข้อมูลผู้ขาย การอนุมัติ และการชำระเงินอาจกระจุกอยู่กับคนไม่กี่คน ส่วนข้อยกเว้นไม่มีการยืนยันอิสระ เมื่อเกิดความผิดปกติ หากไม่ชัดว่าใครหยุดธุรกรรม เก็บข้อมูล หรือประสานงานได้ การตอบสนองอาจล่าช้า
แนวทางและข้อกำหนดที่เกี่ยวข้อง
ISO 37003:2025 ให้แนวทางจัดการการควบคุมการทุจริต ครอบคลุมการป้องกัน ตรวจจับ ตอบสนอง และปรับปรุงความเสี่ยงภายในและภายนอกองค์กร เป็นแนวทางควบคุมการจัดการ ไม่ใช่การตรวจสอบงบการเงิน การสอบสวนอาญา หรือการตัดสินความผิดของบุคคล ดู ข้อมูล ISO
ขอบเขตโครงการที่อาจตกลงกัน ได้แก่:
- ความเสี่ยงธุรกรรมและการเปลี่ยนข้อมูล: ไล่บทบาทและแหล่งข้อมูลที่เชื่อถือได้ในงานจัดซื้อ ชำระเงิน หรือรับเงิน ระบุการแอบอ้าง ข้อมูลเท็จ และปัญหาอำนาจอนุมัติ
- หน้าที่ป้องกันและตรวจจับ: ตรวจการแยกหน้าที่ การอนุมัติ และการทบทวนว่าเป็นอิสระจริงหรือไม่ กำหนดผู้รับผิดชอบและเงื่อนไขยกระดับสัญญาณผิดปกติ
- การตอบสนองและแก้ไขการควบคุม: วางเส้นทางจัดการเพื่อหยุดรายการ เก็บรักษาข้อมูล และส่งต่อผู้เชี่ยวชาญ ทบทวนสาเหตุที่การควบคุมไม่ทำงานและผู้รับผิดชอบการปรับปรุง
ขั้นตอนการสนับสนุน
- วาดบทบาท ระบบ และจุดควบคุมของกระบวนการสำคัญ
- ใช้สถานการณ์ป้องกันตรวจว่าการควบคุมแต่ละจุดเห็นข้อมูลใดและยังขาดอะไร พร้อมจัดทำทางเลือกปรับปรุง
- ใช้เหตุผิดปกติที่ลบข้อมูลระบุตัวบุคคลแล้วทดสอบการรายงาน การหยุด และการเก็บข้อมูล โดยไม่ให้ผู้ประสานงานทั่วไปตัดสินความรับผิดทางอาญา
- เชื่อมงานค้างกับการทบทวนการควบคุมภายใน และยืนยันประสิทธิผลหลังเปลี่ยนสิทธิ์หรือกระบวนการ
ผลงานที่ตกลงกันได้อาจรวมตารางความเสี่ยงธุรกรรมและการควบคุม การแบ่งหน้าที่และสิทธิ์ ขั้นตอนจัดการความผิดปกติ และบันทึกฝึกซ้อมกับการปรับปรุง ผลงานควรอธิบายว่าการควบคุมหลักตรวจข้อมูลอย่างไร และใครดำเนินการด้านการจัดการเมื่อพบสัญญาณผิดปกติ
ข้อมูลที่ควรเตรียม
- ขั้นตอนจัดซื้อ ชำระเงิน รับเงิน และเปลี่ยนข้อมูล
- สรุปบทบาท สิทธิ์อนุมัติ และการทบทวน
- ความผิดปกติ เหตุการณ์เดิม และปัญหาควบคุมภายในที่ลบข้อมูลระบุตัวบุคคลแล้ว
- การรายงาน การเก็บข้อมูล และช่องทางติดต่อผู้เชี่ยวชาญที่มีอยู่
เริ่มจากดัชนีข้อมูลและตัวอย่างที่ไม่ระบุตัวบุคคล ให้ข้อมูลโครงการเมื่อกำหนดวัตถุประสงค์ ผู้เข้าถึง และการเก็บรักษาแล้ว
ระยะเวลาและค่าบริการ
งานขึ้นอยู่กับกระบวนการ ระบบ ประเภทธุรกรรม และความลึกการตรวจสอบ การวิเคราะห์ธุรกรรมจำนวนมาก นิติวิทยาศาสตร์ดิจิทัล การสอบสวนจริง และการดำเนินการทางกฎหมายต้องกำหนดแยก การวางระบบไม่ควรถูกอธิบายว่าสามารถค้นพบเหตุการณ์ในอดีตได้ทั้งหมด
คำถามที่พบบ่อย
ต่างจากการจัดการต่อต้านสินบนอย่างไร?
ขอบเขตการทุจริตและสินบนต่างกัน อาจใช้การอนุมัติหรือช่องทางรายงานบางอย่างร่วมกัน แต่ต้องระบุสถานการณ์และการควบคุมแยกกัน
รับประกันว่าจะไม่ถูกหลอกอีกได้หรือไม่?
การควบคุมต้องปรับตามธุรกรรมและสภาพแวดล้อม และขึ้นอยู่กับการปฏิบัติ จึงรับประกันว่าไม่มีเหตุการณ์ไม่ได้
ต้องซื้อซอฟต์แวร์ตรวจจับหรือไม่?
ยืนยันข้อมูล เกณฑ์ และหน้าที่ทบทวนก่อน แล้วจึงประเมินว่าเครื่องมือช่วยแก้ช่องว่างจริงได้หรือไม่
มีระบบควบคุมภายในแล้วต้องสร้างใหม่หรือไม่?
ตรวจว่าการควบคุมเดิมได้ผลหรือไม่ และเชื่อมการปรับปรุงกับกระบวนการปัจจุบันแทนการทำแบบฟอร์มซ้ำ
ใครตัดสินความรับผิดทางกฎหมายของกรณี?
ให้ผู้เชี่ยวชาญและหน่วยงานที่มีอำนาจดำเนินการ การวางระบบไม่ได้ตัดสินความผิดอาญา
หากไม่สามารถให้ข้อมูลธุรกรรมดิบได้ทำอย่างไร?
เริ่มจากผังกระบวนการและสถานการณ์ที่ลบข้อมูลระบุตัวบุคคลแล้ว ข้อมูลเพิ่มเติมให้เมื่อได้รับอนุญาตและมีการคุ้มครองตามที่ตกลง
บริการที่เกี่ยวข้อง
เลือกขั้นตอนชำระเงินหรือเปลี่ยนข้อมูลหนึ่งรายการ แล้วอธิบายว่าใครเป็นผู้เสนอ ตรวจสอบ และอนุมัติ ติดต่อ Captain International