5 ความเสี่ยงด้าน Automation & AI ที่ Auditor ยุคใหม่ “ห้ามมองข้าม”

เทคโนโลยี Automation และ AI (Artificial Intelligence) ได้กลายมาเป็นหัวใจสำคัญในการขับเคลื่อนธุรกิจในยุคปัจจุบัน ในฐานะ Auditor (ผู้ตรวจสอบบัญชีภายนอกและผู้ตรวจสอบภายใน) ความล้ำสมัยเหล่านี้มาพร้อมกับความเสี่ยงรูปแบบใหม่ๆ ที่มีความซับซ้อนสูง

นี่คือ 5 ความเสี่ยงด้าน Automation & AI ที่ Auditor ยุคใหม่ “ห้ามมองข้าม” เพื่อให้การตรวจสอบเท่าทันเทคโนโลยี

1. ความเสี่ยงด้านคุณภาพและความลำเอียงของข้อมูล (Data quality and bias risks)

AI และระบบ Automation จะเก่งหรือแม่นยำได้ ขึ้นอยู่กับ “ข้อมูล” ที่ใช้ป้อนและฝึกฝนมัน (Train)

ความเสี่ยง: หากข้อมูลที่นำมาใช้ไร้คุณภาพ มีความผิดพลาด หรือมีความลำเอียง (Bias) แฝงอยู่ ผลลัพธ์ที่ AI ประมวลผลออกมาก็จะผิดพลาดและลำเอียงตามไปด้วย (Garbage In, Garbage Out) เช่น ระบบคัดเลือกบุคลากรอาจกีดกันกลุ่มประชากรบางกลุ่มโดยไม่ตั้งใจ หากข้อมูลที่ใช้สอนระบบมีความเอนเอียงในอดีต หรือระบบประเมินอนุมัติสินเชื่อมีความผิดพลาดและไม่เป็นธรรม

สิ่งที่ Auditor ต้องระวัง : ตรวจสอบกระบวนการคัดเลือกข้อมูล (Data Governance) แหล่งที่มาของข้อมูล และการทดสอบโมเดลว่ามีความโปร่งใสและเที่ยงตรงหรือไม่

2. ปัญหา “กล่องดำ” และความยากในการตรวจสอบ (The “Black Box” problem and audit challenges)

ระบบ AI ขั้นสูงอย่าง Deep Learning มักจะประมวลผลด้วยตรรกะที่ซับซ้อนเกินกว่าที่มนุษย์จะเข้าใจได้ง่ายๆ

ความเสี่ยง : เมื่อเกิดข้อผิดพลาดขึ้นในระบบ Auditor หรือแม้แต่ผู้พัฒนาเองก็อาจไม่สามารถอธิบายได้ว่า AI ประมวลผลหรือตัดสินใจเลือกทางเลือกนั้นๆ อย่างไร ทำให้ขาด Audit Trail (ร่องรอยการตรวจสอบ) ที่ชัดเจน

สิ่งที่ Auditor ต้องระวัง : ประเมินว่าองค์กรมีแนวคิด XAI (Explainable AI) หรือ AI ที่สามารถอธิบายกระบวนการคิดได้หรือไม่ และมีระบบการบันทึก Log การทำงานที่เพียงพอหรือไม่

3. ความปลอดภัยทางไซเบอร์และการรั่วไหลของข้อมูล (Cybersecurity and data breach risks)

การใช้ระบบ Automation และ AI จำเป็นต้องเข้าถึงข้อมูลจำนวนมหาศาล ซึ่งมักรวมถึงข้อมูลส่วนบุคคล (PDPA) หรือความลับทางการค้า

ความเสี่ยง : บอท (RPA) หรือ AI อาจถูกโจรกรรมข้อมูล หรือถูกผู้ไม่หวังดีแฮกเข้ามาเปลี่ยนซอร์สโค้ด (Source Code) หรือโมเดลเพื่อให้ระบบทำงานผิดเพี้ยนไป นอกจากนี้ การป้อนข้อมูลความลับขององค์กรลงไปใน Public AI (เช่น ChatGPT รุ่นฟรี) ส่งผลให้องค์กรสูญเสียการควบคุมข้อมูล และเสี่ยงต่อการละเมิดนโยบายด้านข้อมูลภายในหรือข้อกำหนดด้านความลับของคู่ค้า

สิ่งที่ Auditor ต้องระวัง : ตรวจสอบสิทธิ์การเข้าถึงข้อมูลของระบบ (Access Control), มาตรการป้องกันข้อมูลรั่วไหล (Data Leakage Prevention) และนโยบายการใช้งาน AI ขององค์กร (AI Governance Policy)

4. ความเสี่ยงจากการพึ่งพาเทคโนโลยีมากเกินไป (Risks of over-reliance on technology)

เมื่อระบบ Automation ทำงานได้เสถียรและรวดเร็วเป็นเวลานาน พนักงานมักจะเกิดความไว้วางใจจนละเลยการตรวจสอบ

ความเสี่ยง: เกิดสภาวะ “Automation Bias” คือเชื่อมั่นในระบบร้อยเปอร์เซ็นต์จนขาดการตรวจสอบโดยมนุษย์ (Human-in-the-loop) หากวันใดระบบทำงานผิดพลาดเนื่องจากสภาพแวดล้อมทางธุรกิจเปลี่ยนไป (Concept Drift) ความเสียหายอาจลุกลามเป็นวงกว้างก่อนที่จะมีคนสังเกตเห็น

สิ่งที่ Auditor ต้องระวัง : ตรวจสอบว่ามีกระบวนการ Manual Override หรือมีขั้นตอนที่มนุษย์ต้องเป็นผู้ตรวจสอบและอนุมัติซ้ำ (Review & Approve) ในจุดที่มีความเสี่ยงสูงหรือไม่

5. ความเสี่ยงด้านกฎหมาย การปฏิบัติตามกฎเกณฑ์ และจริยธรรม (Legal, regulatory compliance, and ethical risks)

ปัจจุบันกฎหมายและข้อบังคับที่ควบคุมการใช้งาน AI เริ่มมีความเข้มงวดมากขึ้นเรื่อยๆ ทั่วโลก

ความเสี่ยง : การใช้ AI ที่ละเมิดลิขสิทธิ์ (เช่น นำภาพหรือข้อความที่มีลิขสิทธิ์มาเทรน AI) หรือการใช้ AI ที่ขัดต่อหลักจริยธรรมและกฎหมายคุ้มครองข้อมูลส่วนบุคคล อาจนำมาซึ่งการฟ้องร้อง ค่าปรับจำนวนมหาศาล และความเสียหายต่อชื่อเสียงขององค์กรอย่างรุนแรง

สิ่งที่ Auditor ต้องระวัง : ตรวจสอบว่าการพัฒนาและการใช้ AI ในองค์กรสอดคล้องกับกฎหมายคุ้มครองข้อมูลและข้อบังคับที่เกี่ยวข้องทั้งในและต่างประเทศ รวมถึงมีการจัดทำกรอบจริยธรรม AI (AI Ethics Framework) ขององค์กรแล้วหรือยัง

บทบาทใหม่ของ Auditor ยุค AI : จากเดิมที่เน้นตรวจเอกสารและย้อนดูอดีต (Retrospective) Auditor ยุคใหม่ต้องปรับตัวมาเป็น “ผู้ประเมินความเสี่ยงเชิงรุก (Proactive Risk Advisor)” โดยต้องเข้าไปมีส่วนร่วมตั้งแต่ช่วงที่องค์กรเริ่มออกแบบและวางระบบ Automation & AI เพื่อให้มั่นใจว่า “การควบคุม” ได้ถูกฝังเข้าไปในตัวเทคโนโลยีตั้งแต่แรกเริ่ม (Control by Design)

สรุปสำหรับ Auditor ยุคใหม่: หน้าที่ของเราไม่ใช่การปฏิเสธเทคโนโลยี แต่คือการสร้าง “ความไว้วางใจที่ตรวจสอบได้” (Trust but Verify) เพื่อให้แน่ใจว่าการเติบโตอย่างก้าวกระโดดขององค์กร จะอยู่บนพื้นฐานของความปลอดภัยและโปร่งใส

ที่มา
การบริหารความเสี่ยงและจริยธรรม AI: NIST AI Risk Management Framework (AI RMF), National Institute of Standards and Technology (NIST), USA.

การตรวจสอบระบบสารสนเทศและความโปร่งใส (XAI): Auditing AI Framework & COBIT, Information Systems Audit and Control Association (ISACA).

บทบาทเชิงรุกของผู้ตรวจสอบ (Proactive Auditor): Global Internal Audit Standards, The Institute of Internal Auditors (The IIA).

การควบคุมความปลอดภัยข้อมูลและกฎหมายสากล: ISO/IEC 27001 (Information Security Management) และ EU Artificial Intelligence Act (EU AI Act).

ผู้เขียน : คุณธัญลักษณ์ ลิโมทัย