ขอบคุณทั้งสองท่านที่เข้าให้ความรู้ครับ ประเด็นหลักๆก็คือ ผมอยากได้ความมั่นใจในสิ่งที่ผมเสนอบริษัทอยู่ครับ ซึ่งแนวทางทั้งสองท่านก็ตรงกับที่ผมได้จากทั้งAuditภายนอกและเพื่อนที่ทำระบบโดยตรงอยู่ครับ แต่กับปัญหาภายในที่ผมพยายามอธิบายอยู่ ภาพรวมๆตอนนี้ คือประมาณนี้ครับ
A) เข้าระบบIso9001:2008 เมื่อ 3 ปีก่อน งานด้านITโอนมาให้บัญชี ซึ่งก็คือผม ไม่เป็นไรเข้าไป จะได้มีความรู้ด้วย (นั่นคือความคิดผมตอนนั้น)
เวลาผ่านไป Audit ภายนอก 2 ครั้ง ประเด็นที่คาใจผม คือ
B.1) ผมมีความสงสัยว่า แล้วบริษัทที่ไม่มีITประจำ และส่งซ่อมหรือให้ภายนอกมาดูแล เค้าทำยังไง ก็ได้แนวทางมาประมาณ 2) ซึ่งผมก็คิดว่าเหมาะสมกับบริษัทมากกว่า แต่QMRไม่ยอมจะต้องให้มีคนภายในดู แต่ตอนนั้นยังไม่อนุมัติให้มีITประจำ บัญชีดูไปก่อน ถึงได้บอกว่าไม่เหมาะสม เพราะ อยากตรวจเยอะแต่ไม่อนุมัติเรื่องคนที่เหมาะสมพึ่งจะยอมอนุมัติ แต่หาคนมาประมาณเดือนละยังไม่มีคนมาสัมภาษณ์เลย และผมก็ยังไม่เห็นทางว่าจะหาคนมาได้ยังไงด้วย
B.2) ตลอดระยะเวลาที่ผ่านมา ทั้งๆที่ External Auditก็มีความเห็นว่า
B.2.1) Policy ต้องทำ ส่วนQP ก็ขึ้นอยู่กับบริษัท ถ้าไม่มีITประจำไม่เีขียนก็ได้ ถ้ามีITประจำเขียนก็ดีหรือจะไม่เขียนก็ยังได้ ขึ้นอยู่กับข้อตกลงภายในว่าอยากตรวจลึกระดับไหน ยิ่งลึกค่าใช้จ่ายยิ่งสูง ความเป็นจริง Policy โดนHoldไม่ยอมให้่ขึ้น รอปรึกษาExternal Auditที่จะมาตรวจ ทั้งๆที่ 2 คนก่อนหน้าบอกแนวทางมาแล้ว ก็เลยต้องรอกันต่อไป ส่วน QP มีแต่เน้นไปด้านควบคุมเอกสาร
B.2.2) หากอุปกรณ์ใดที่ITมีหลักฐานว่า นำเสนอฝ่ายบริหารแล้วแต่ยังไม่ได้รับอนุมัติให้จัดหา ก็ไม่สามารถออกCarให้IT แต่Internal Auditที่มาล้วนแต่ดำเนินการออกCarเรื่องนี้ซ้ำๆทุกครั้ง และประเด็นที่น่าเจ็บปวด ก็คือ ผมคือคนทีให้ข้อมูลอุปกรณ์ที่ต้องมีเหล่านี้ต่อที่ประชุม และโดนข้อมูลเหล่านั้นมาย้อนศร ตอนรับAudit ด้วยเหตุผลว่า รับๆไปเถอะ เป็นหน้าที่ IT ที่ต้องไปผลักดันเอาเอง ถ้ามาตรวจคราวหน้าไม่มีอีก โดนCarอีก
หลักๆก็มีเท่านี้ละครับ อธิบายอีกก็เห็นแต่ว่าจะเป็นเรื่องภายในละ ส่วนเรื่องระบบภายนอกผมก็ได้ความรู้จากที่นี่ และคงต้องสู้ต่อไป อิอิ
