ควบคุมภายในสำหรับทีมเล็ก: แบ่งหน้าที่อย่างไรเมื่อมีคนทำบัญชีคนเดียว

ในบริษัทขนาดเล็กจำนวนมาก คนทำบัญชีคนเดียวออกใบแจ้งหนี้ ตามเงินจากลูกค้า บันทึกบัญชี เตรียมรายการโอนเงินให้ผู้ขาย และกระทบยอดธนาคารเองทั้งหมด ส่วนเจ้าของกดอนุมัติหรือเซ็นตามที่คนทำบัญชีส่งมา วิธีนี้ทำงานเร็ว และไม่ได้แปลว่าใครไม่ซื่อสัตย์ แต่ทุกขั้นไม่มีคนที่สองเห็น ข้อผิดพลาดจึงค้างอยู่ได้นาน และถ้ามีคนตั้งใจทุจริต ก็ไม่มีจุดไหนในระบบที่จะเห็นได้เร็ว

บริษัทเล็กจ้างคนเพิ่มเพื่อแยกหน้าที่ให้ครบแบบบริษัทใหญ่ไม่ได้ แต่ย้ายบางขั้นมาไว้ที่เจ้าของได้ และเพิ่มการควบคุมทดแทน (Compensating Controls) ให้ส่วนที่แยกไม่ได้ บทความนี้อธิบาย 4 หน้าที่ที่ไม่ควรอยู่ในมือคนเดียว ตัวอย่างการแบ่งงานระหว่างคนทำบัญชีกับเจ้าของ การควบคุมทดแทนที่ใช้ได้จริง และรายการที่เจ้าของควรดูเองเดือนละราว 30 นาที

4 หน้าที่ที่ไม่ควรอยู่ในมือคนเดียว

การแบ่งแยกหน้าที่ (Segregation of Duties) คือการจัดงานให้งานของคนหนึ่งถูกตรวจโดยอีกคนหนึ่ง สำนักงานผู้ตรวจสอบบัญชีแห่งรัฐมินนิโซตา สหรัฐอเมริกา อธิบายว่าไม่ควรมีใครคนเดียวที่ทั้งอนุมัติรายการ บันทึกรายการนั้นในบัญชี และได้ครอบครองสิ่งที่เกิดจากรายการนั้น เพราะคนคนนั้นจะทำผิดแล้วปกปิดเองได้ และยกตัวอย่างว่าคนเซ็นเช็คกับคนกระทบยอดธนาคารควรเป็นคนละคน งานเงินของบริษัทเล็กจึงแบ่งได้เป็นสี่หน้าที่

• อนุมัติ (Authorization) ตัดสินว่ารายการควรเกิดหรือไม่ เช่น การซื้อ การจ่ายเงิน ผู้ขายรายใหม่ ส่วนลดพิเศษ และใบลดหนี้
• ดูแลทรัพย์สิน (Custody) เข้าถึงเงินหรือของได้จริง เช่น กดโอนเงินใน Internet Banking ถือเงินสดย่อย ถือสมุดเช็ค หรือคุมคลังสินค้า
• บันทึกบัญชี (Recording) บันทึกรายการในโปรแกรมบัญชี และแก้ข้อมูลหลัก เช่น รายชื่อผู้ขาย เลขบัญชีธนาคารของผู้ขาย และรายชื่อพนักงาน
• ตรวจสอบและกระทบยอด (Reconciliation) เทียบสิ่งที่บันทึกกับของจริง เช่น กระทบยอดธนาคาร ตรวจนับเงินสดและสินค้า และดูรายงานรายการผิดปกติ

จุดที่อันตรายที่สุดคือคนที่โอนเงินได้เป็นคนบันทึกบัญชีและกระทบยอดธนาคารด้วย ตัวอย่างสมมติ คนทำบัญชีโอนเงิน 38,500 บาทเข้าบัญชีที่ตัวเองคุม แล้วบันทึกว่าเป็นค่าวัตถุดิบของผู้ขายรายหนึ่ง ยอดในบัญชีตรงกับใบแจ้งยอดธนาคารทุกบาท การกระทบยอดจึงไม่พบอะไร เพราะคนตรวจคือคนเดียวกับคนทำ

ทำไมทีมเล็กต้องใส่ใจ

รายงาน Occupational Fraud 2026: A Report to the Nations ของสมาคมผู้ตรวจสอบการทุจริตรับอนุญาต (ACFE) ที่เผยแพร่เดือนพฤษภาคม 2569 วิเคราะห์การทุจริตโดยคนในองค์กร 2,402 กรณีจาก 143 ประเทศและดินแดน ตัวเลขที่เกี่ยวกับเรื่องนี้โดยตรงมีดังนี้

• ค่ามัธยฐานความเสียหาย (Median Loss) 104,000 ดอลลาร์สหรัฐต่อกรณี และการทุจริตกินเวลาค่ามัธยฐาน 12 เดือนก่อนถูกพบ
• กรณีที่พบภายใน 6 เดือนแรกมีค่ามัธยฐานความเสียหาย 40,000 ดอลลาร์ ส่วนกรณีที่ลากยาวเกิน 5 ปีมีค่ามัธยฐานความเสียหายเกิน 1.1 ล้านดอลลาร์
• มากกว่าครึ่งของทุกกรณีเกี่ยวข้องกับการไม่มีการควบคุมภายใน หรือมีแต่ถูกข้าม (Override)
• 43% ของกรณีถูกพบจากการแจ้งเบาะแส และเบาะแสมากกว่าครึ่งมาจากพนักงาน
• ความเสียหายที่เจ้าของและผู้บริหารเป็นผู้ก่อ มีค่ามัธยฐานสูงกว่ากรณีที่พนักงานเป็นผู้ก่อมากกว่า 9 เท่า

ตัวเลขชุดนี้มาจากองค์กรทุกขนาดทั่วโลก ไม่ใช่เฉพาะ SME แต่บอกสองเรื่องที่ใช้ได้ทันที คือความเสียหายโตขึ้นทุกเดือนที่ไม่มีใครดู และการควบคุมที่ข้ามได้ง่ายก็แทบไม่ต่างจากไม่มี

สถาบันผู้สอบบัญชีรับอนุญาตแห่งอังกฤษและเวลส์ (ICAEW) อธิบายว่าในกิจการขนาดเล็ก การที่ผู้บริหารลงมือดูงานเองเป็นส่วนใหญ่ของการควบคุมภายใน แต่ตำแหน่งเดียวกันนี้ก็ถูกใช้ข้ามการควบคุมได้ เจ้าของจึงเป็นทั้งการควบคุมที่ดีที่สุดและจุดอ่อนของบริษัทเล็ก ทางแก้คือให้เจ้าของตรวจงานของคนทำบัญชี และให้หุ้นส่วน กรรมการอีกคน หรือสำนักงานบัญชี เห็นค่าใช้จ่ายที่เจ้าของเบิกเองและยอดใช้จ่ายบัตรบริษัทของเจ้าของ

แบ่งงานระหว่างคนทำบัญชีกับเจ้าของ

หลักคือคนทำบัญชีทำขั้นที่ใช้เวลา ส่วนเจ้าของถือขั้นอนุมัติและขั้นตรวจ และคนที่โอนเงินได้ต้องไม่ใช่คนสุดท้ายที่ดูรายการนั้น ตารางนี้เป็นตัวอย่างสำหรับบริษัทที่มีคนทำบัญชีคนเดียว

สำนักงานบัญชีภายนอกเป็นคนที่สองได้ คนในบริษัทดูแลเอกสารและเตรียมการจ่ายเงิน ส่วนสำนักงานบัญชีบันทึกบัญชีและกระทบยอดจากใบแจ้งยอดที่ได้จากธนาคารโดยตรง ดูวิธีเลือกได้ใน เลือกสำนักงานบัญชีและผู้สอบบัญชี

การควบคุมทดแทนเมื่อแยกหน้าที่ไม่ได้

สำนักงานผู้ตรวจสอบบัญชีแห่งรัฐมินนิโซตาแนะนำว่า เมื่อองค์กรเล็กเกินกว่าจะแยกงานบัญชีได้ ผู้บริหารต้องรู้ตัวตลอดว่ามีช่องโหว่นี้ และใช้การควบคุมเพิ่มเติมเพื่อชดเชย เช่น ใช้ใบเสร็จที่มีเลขลำดับ และทำเครื่องหมายบนใบแจ้งหนี้ที่จ่ายแล้วเพื่อไม่ให้จ่ายซ้ำ สำหรับ SME ไทย การควบคุมที่คุ้มเวลาที่สุดมีห้าข้อ

เจ้าของเห็นบัญชีธนาคารเองโดยตรง

ขอสิทธิ์ดูข้อมูลบัญชีของบริษัทในชื่อเจ้าของ และตั้งให้การแจ้งเตือนทุกรายการเงินออกส่งไปที่โทรศัพท์ของเจ้าของ ใบแจ้งยอดที่ถูกส่งต่อมาเป็นไฟล์ไม่นับ เพราะแก้ไขได้ ถ้าระบบ Internet Banking ของบริษัทแยกผู้ทำรายการ (Maker) กับผู้อนุมัติ (Approver) ได้ ให้คนทำบัญชีเป็นผู้ทำรายการ และเจ้าของเป็นผู้อนุมัติ ถ้าแยกไม่ได้ ให้คนทำบัญชีส่งรายการพร้อมเอกสาร แล้วเจ้าของเป็นคนกดโอนเอง

เปลี่ยนข้อมูลผู้ขายได้หลังยืนยันเท่านั้น

บทความในนิตยสาร Accounting and Business ของ ACCA ระบุว่าการทุจริตด้านการจ่ายเงิน (Payment Fraud) เป็นการทุจริตที่เกิดบ่อย วิธีที่ใช้ เช่น สร้างบัญชีลูกค้าปลอมเพื่อสร้างรายการจ่ายเงินปลอม แก้ข้อมูลผู้รับเงิน และอนุมัติการจ่ายเงินของตัวเอง ทุกคำขอเปลี่ยนเลขบัญชีของผู้ขาย ไม่ว่ามาทางอีเมลหรือจดหมาย ให้โทรกลับไปยืนยันที่เบอร์ที่มีอยู่ในระบบเดิม ไม่ใช่เบอร์ในข้อความที่ขอเปลี่ยน และให้เจ้าของเป็นคนอนุมัติ

เอกสารมีเลขลำดับ และเจ้าของดูเลขที่หายไป

ประมวลรัษฎากรมาตรา 86/4 กำหนดให้ใบกำกับภาษีมีหมายเลขลำดับของใบกำกับภาษี และหมายเลขลำดับของเล่มถ้ามี ใช้หลักเดียวกันกับใบเสร็จ ใบลดหนี้ และใบสำคัญจ่าย แล้วให้เจ้าของดูทุกเดือนว่าเลขไหนถูกยกเลิกหรือขาดช่วง และเก็บใบที่ยกเลิกไว้ครบชุด

บังคับลาพักร้อน และให้คนอื่นทำงานแทนจริง

ให้คนทำบัญชีลาพักร้อนต่อเนื่องอย่างน้อยปีละหนึ่งสัปดาห์ และให้เจ้าของหรือสำนักงานบัญชีทำงานแทนจริงในช่วงนั้น ไม่ใช่เก็บงานไว้รอ รายการแปลก ๆ มักโผล่ตอนที่คนอื่นต้องทำงานนั้น รายงานของ ACFE พบว่าผู้กระทำผิด 84% แสดงสัญญาณเตือนทางพฤติกรรมอย่างน้อยหนึ่งอย่างก่อนถูกพบ และการไม่ยอมลาพักร้อนอยู่ในกลุ่มสัญญาณที่มีค่ามัธยฐานความเสียหายสูงที่สุด คือ 250,000 ดอลลาร์

สิทธิ์ในโปรแกรมบัญชีแยกตามคน

ทุกคนใช้ชื่อผู้ใช้ของตัวเอง ไม่ใช้รหัสผ่านร่วมกัน เปิดประวัติการแก้ไข (Audit Log) ไว้ และถ้าโปรแกรมทำได้ ให้จำกัดสิทธิ์ลบรายการที่บันทึกแล้วและแก้รายการของงวดที่ปิดแล้ว

รีวิวรายเดือน 30 นาทีของเจ้าของ

การควบคุมทดแทนทั้งหมดได้ผลเมื่อเจ้าของดูจริงทุกเดือน ตั้งวันประจำ เช่น วันทำการที่ 5 ของเดือน หลังคนทำบัญชีกระทบยอดเสร็จ แล้วดูตามตารางนี้

กติกาข้อเดียวที่จำง่าย: เงินทุกบาทที่ออกจากบริษัทต้องมีอย่างน้อยสองคนเห็น คือคนทำรายการ และคนอนุมัติหรือคนตรวจ

เริ่มจากตรงไหน

1. เขียนรายการงานเงินทั้งหมด และชื่อคนที่ทำแต่ละขั้น
2. วงงานที่คนเดียวถือตั้งแต่สองหน้าที่ขึ้นไป โดยเฉพาะคนที่โอนเงินได้และบันทึกหรือกระทบยอดเองด้วย
3. ย้ายการอนุมัติจ่ายเงินและการแก้ข้อมูลผู้ขายมาที่เจ้าของก่อน เพราะเป็นทางที่เงินออกจากบริษัท
4. ขอสิทธิ์ดูบัญชีและการแจ้งเตือนจากธนาคารให้เจ้าของ และถามธนาคารว่าแยกผู้ทำรายการกับผู้อนุมัติได้หรือไม่
5. ลงปฏิทินรีวิวรายเดือนและวันลาพักร้อนของคนทำบัญชีทั้งปี
6. เมื่อจ้างคนที่สองได้ ให้แยกคนบันทึกบัญชีออกจากคนจ่ายเงินเป็นอย่างแรก

การควบคุมภายในทำให้ตัวเลขในงบการเงินเชื่อถือได้ ซึ่งเป็นพื้นฐานของ การกระทบยอดเงินฝากธนาคารทุกเดือน และ การปิดงบรายเดือนให้เสร็จใน 10 วันทำการ

บริษัทและตัวเลขในตัวอย่างการโอนเงินเป็นตัวอย่างสมมติเพื่ออธิบายหลักการ

แหล่งข้อมูล

• Occupational Fraud 2026: A Report to the Nations (สัญญาณเตือนทางพฤติกรรมที่มีค่ามัธยฐานความเสียหายสูงสุด) — ACFE
• Key Findings from Occupational Fraud 2026: A Report to the Nations (พฤษภาคม 2569) — ACFE
• Segregation of Duties - Part I (มกราคม 2568) — Minnesota Office of the State Auditor
• Segregation of Duties - Part II (มกราคม 2568) — Minnesota Office of the State Auditor
• Understanding internal control in a smaller ISA audit — ICAEW
• Internal controls matter (ธันวาคม 2566) — ACCA Accounting and Business
• ประมวลรัษฎากร หมวด 4 ภาษีมูลค่าเพิ่ม มาตรา 85–86 (มาตรา 86/4 รายการในใบกำกับภาษี) — กรมสรรพากร