เตรียมรับการตรวจ ISO ตรวจภายใน ทบทวนฝ่ายบริหาร และ SoA ทำอย่างไรให้ผ่าน การตรวจรับรอง ISO แบบระบบบริหารมักมีสองขั้น ขั้นแรกดูว่าเอกสารและการออกแบบระบบครบ ขั้นที่สองดูหลักฐานว่าระบบทำงานจริง สิ่งที่ผู้ตรวจขอดูเสมอคือ ใบแสดงข้อที่ใช้ (SoA) ตามข้อ 6.1.3 ผลการตรวจภายในตามข้อ 9.2 และบันทึกการทบทวนโดยฝ่ายบริหารตามข้อ 9.3 เตรียมให้ทันโดยวางแผนตรวจภายในตามความเสี่ยง สุ่มหลักฐานจากงานจริง ปิดข้อบกพร่องให้ทัน และซ้อมตอบคำถามก่อนวันจริง
บริษัทหนึ่งเตรียมเอกสาร ISO 27001 ครบตู้ แต่ในการตรวจขั้นที่สอง ผู้ตรวจขอดูบันทึกการตรวจภายในของจริงกับวาระทบทวนฝ่ายบริหาร ทีมมีแค่แม่แบบที่ยังไม่เคยใช้ จึงได้ข้อบกพร่องหลักทันที
สรุปสิ่งที่ต้องรู้
5 ประเด็นที่สำคัญที่สุดของเรื่องนี้ สรุปจากตัวบทและแนวปฏิบัติที่อ้างอิงไว้ท้ายคู่มือ อ่านแค่ส่วนนี้ก็ตัดสินใจขั้นต่อไปได้
- การตรวจรับรองมักมีสองขั้น เอกสาร แล้วหลักฐานการทำงานจริง
- SoA ต้องบอกว่าใช้ข้อไหน ไม่ใช้ข้อไหน และเหตุผล
- ตรวจภายในควรวางแผนตามความเสี่ยงและผลตรวจครั้งก่อน
- ทบทวนฝ่ายบริหารต้องมีข้อมูลเข้าครบและบันทึกการตัดสิน
- ซ้อมตรวจก่อนช่วยหาช่องว่างได้เร็วที่สุด
ทำตามนี้ 6 ขั้นตอน
ทำตามลำดับ 6 ขั้นนี้ได้ทันที แต่ละขั้นเขียนให้ทีมในองค์กรไทยลงมือได้จริงโดยไม่ต้องรอที่ปรึกษา และเก็บหลักฐานไว้ให้ผู้ตรวจดูได้
- ทำ SoA ให้ครบไล่มาตรการทุกข้อ ระบุว่าใช้หรือไม่ใช้ เหตุผล และสถานะการทำ
- วางแผนตรวจภายในตามความเสี่ยงเลือกกระบวนการที่สำคัญ มีเหตุบ่อย หรือเคยพบข้อบกพร่อง ตรวจก่อนและถี่กว่า
- สุ่มหลักฐานจากงานจริงเลือกตัวอย่างจากแถวข้อมูลจริงด้วยวิธีที่อธิบายได้ ไม่ใช่เลือกแต่รายการที่ดี
- บันทึกข้อบกพร่องและแก้ไขแยกข้อบกพร่องหลัก ข้อบกพร่องรอง และข้อสังเกต ตั้งผู้รับผิดชอบและวันปิด
- ประชุมทบทวนฝ่ายบริหารนำเสนอผลตรวจ ตัวชี้วัด ความเสี่ยง และข้อเสนอปรับปรุง ให้ผู้บริหารตัดสินและลงบันทึก
- ซ้อมตรวจให้คนที่ไม่ได้ทำงานนั้นถามแบบผู้ตรวจ แล้วดูว่าหลักฐานไหนยังหาไม่เจอ
ผู้ตรวจรับรองดูอะไรในแต่ละขั้น?
ขั้นแรกดูขอบเขต นโยบาย การประเมินความเสี่ยง และ SoA ว่าออกแบบครบ ขั้นที่สองสุ่มดูหลักฐานว่าทำจริงตามที่เขียน เช่น บันทึกการตรวจภายใน บันทึกการทบทวน และรายการแก้ไข
ทำไมตรวจภายในต้องวางแผนตามความเสี่ยง?
มาตรฐานให้คำนึงถึงความสำคัญของกระบวนการและผลการตรวจครั้งก่อน การตรวจทุกเรื่องเท่ากันจึงไม่พอ เรื่องที่เสี่ยงหรือเคยมีปัญหาควรถูกตรวจลึกกว่า
การทบทวนโดยฝ่ายบริหารต้องมีอะไรบ้าง?
ต้องมีข้อมูลเข้าตามที่มาตรฐานกำหนด และผลลัพธ์ที่เป็นการตัดสินของผู้บริหาร
- สถานะงานจากการทบทวนครั้งก่อน
- การเปลี่ยนแปลงภายในและภายนอก
- ผลการตรวจและตัวชี้วัด
- ความเสี่ยงและโอกาสปรับปรุง
- การตัดสินใจและทรัพยากรที่ต้องใช้
ปัญหาที่พบบ่อยและวิธีแก้
องค์กรส่วนใหญ่พลาดเรื่องนี้ใน 3 จุดเดิม ๆ ตารางด้านล่างบอกทั้งวิธีแก้ด้วยตัวเอง และวิธีที่ AIPDPA ช่วยให้เสร็จเร็วกว่าพร้อมหลักฐานครบ
| ปัญหา | วิธีแก้ |
|---|---|
| ✗ มีแม่แบบตรวจภายในแต่ไม่เคยตรวจจริง | ✓ ตรวจภายในรอบเต็มอย่างน้อยหนึ่งรอบก่อนการตรวจขั้นที่สอง และเก็บหลักฐานทุกตัวอย่างที่สุ่ม |
| ✗ SoA ไม่มีเหตุผลของข้อที่ไม่ใช้ | ✓ เขียนเหตุผลทุกข้อที่ไม่ใช้ เช่น ไม่มีกิจกรรมนั้นในขอบเขต |
| ✗ ทบทวนฝ่ายบริหารเป็นแค่สไลด์ ไม่มีการตัดสิน | ✓ บันทึกมติและผู้รับผิดชอบของแต่ละเรื่อง แล้วติดตามในการทบทวนครั้งถัดไป |
ซ้อมตรวจกับผู้ตรวจจำลองก่อนวันจริง
AIPDPA ซ้อมตรวจ 14 เรื่องแบบผู้ตรวจจริงได้ทุกแพ็กเกจ ส่วนแพ็กเกจ ENTERPRISE มีแผนตรวจภายในตามความเสี่ยง สุ่มหลักฐานจากแถวจริง วาระทบทวนฝ่ายบริหารจากตัวเลขจริง SoA ส่งออก Word และผู้ตรวจจำลองสองขั้น
มีในแพ็กเกจ ENTERPRISE เริ่มต้น 19,900 บาท/ปี · ดูบัญชีตัวอย่างได้ ไม่ต้องสมัคร
คำถามที่พบบ่อย
คำถามที่คนค้นหาบ่อยที่สุดเรื่องนี้ แต่ละคำตอบสั้น ตรงประเด็น และอ่านแยกข้อได้
ต้องตรวจภายในบ่อยแค่ไหน?
มาตรฐานให้ตรวจตามช่วงเวลาที่วางแผนไว้ องค์กรส่วนใหญ่ตรวจครบทุกข้ออย่างน้อยปีละครั้ง และตรวจเรื่องเสี่ยงถี่กว่า
ใช้คนในทีมเดียวกันตรวจได้หรือไม่?
ผู้ตรวจต้องเป็นกลาง ไม่ควรตรวจงานของตัวเอง ใช้คนจากฝ่ายอื่นหรือผู้ตรวจภายนอกได้
ข้อบกพร่องหลักกับรองต่างกันอย่างไร?
ข้อบกพร่องหลักคือข้อกำหนดไม่ได้ทำเลยหรือระบบล้มเหลว ข้อบกพร่องรองคือทำแล้วแต่ยังไม่ครบหรือไม่สม่ำเสมอ
ใช้หลักการเดียวกันกับ ISO 27701 และ 42001 ได้หรือไม่?
ได้ มาตรฐานระบบบริหารเหล่านี้ใช้โครงข้อเดียวกัน ตรวจภายในและทบทวนฝ่ายบริหารชุดเดียวครอบคลุมหลายมาตรฐานได้
แหล่งอ้างอิง
คู่มือนี้อ้างอิงเอกสาร 4 รายการ ตัวบทกฎหมายระบุมาตราหรือข้อไว้ชัดเจน ส่วนแนวปฏิบัติและมาตรฐานเป็นแนวทาง ไม่ใช่กฎหมาย
- ISO/IEC 27001:2022 ข้อ 9.2 — การตรวจสอบภายใน (มาตรฐาน ไม่ใช่กฎหมาย)
- ISO/IEC 27001:2022 ข้อ 9.3 — การทบทวนโดยฝ่ายบริหาร (มาตรฐาน ไม่ใช่กฎหมาย)
- ISO/IEC 27001:2022 ข้อ 6.1.3 — การจัดการความเสี่ยงและใบแสดงข้อที่ใช้ (SoA)
- SBS / European DIGITAL SME Alliance — SME Guide for the implementation of ISO/IEC 27001 (2025)
ตัวบทในบทความนี้อ้างอิงจากคลังกฎหมายของ AIPDPA ซึ่งถอดจากราชกิจจานุเบกษา · เนื้อหาเป็นความรู้ทั่วไป หากกรณีของคุณมีข้อเท็จจริงเฉพาะ ทีมทนายของเราช่วยดูให้ได้
เครื่องมือและบริการที่ช่วยได้ทันที
อยากทำเองให้เร็วขึ้น ใช้เครื่องมือใน AIPDPA · อยากให้ทนายดูแลให้ หรืออยากเรียนให้เป็น เลือกบริการในเครือที่ตรงกับคุณได้เลย
ทะเบียนความเสี่ยง 5×5 เป้าหมาย ตรวจภายใน ทบทวนฝ่ายบริหาร SoA ส่งออก Word และผู้ตรวจจำลองสองขั้นแบบหน่วยรับรอง
สมัครใช้งาน →14 เรื่องที่ผู้ตรวจถามบ่อย เลือกคำถามตามโปรไฟล์องค์กร บอกว่าหลักฐานไหนยังไม่พร้อม ไม่ใช้เครดิต AI
สมัครใช้งาน →ISO 27001 · ISO 27701 · ISO 42001 · NIST AI RMF · แนวทาง สคส. งานที่ทำครั้งเดียวนับเป็นหลักฐานได้ทุกมาตรฐาน สถานะคำนวณสดทุกครั้งที่เปิด
สมัครใช้งาน →ข้อกำหนดจาก สคส. ETDA และ NCSA ในที่เดียว ทำหนึ่งครั้งได้หลักฐานหลายมาตรฐาน
สมัครใช้งาน →ทีมทนายความตรวจความพร้อมและวางระบบ PDPA ให้ครบ เหมาะกับ SME ที่ไม่มีเวลาทำเอง
ดูบริการ →
ใครรับผิดชอบเนื้อหานี้?
เรียบเรียงโดยทีมกฎหมาย AIPDPA · ผู้รับผิดชอบเนื้อหา ภูวรา ครอบตะคุ ทนายความ · เนติบัณฑิตไทย · ที่ปรึกษากฎหมายเทคโนโลยีและทรัพย์สินทางปัญญา
ใบอนุญาตทนายความ 477/2558 · เนติบัณฑิตไทย · นิติศาสตรมหาบัณฑิต กฎหมายทรัพย์สินทางปัญญาและสารสนเทศ (เหรียญทอง)
อ่านต่อ
คู่มือที่มักต้องทำต่อจากเรื่องนี้ เลือกอ่านได้ตามลำดับงานขององค์กรคุณ