On 8 April 2026, the U.S. Securities and Exchange Commission (SEC) imposed sanctions on Francis Decker, a former lead audit partner of Prager Metis CPAs, LLC, for serious deficiencies in the audits of cryptocurrency exchange FTX. The SEC found that Decker lacked sufficient understanding of FTX's business and the cryptocurrency market, while the engagement team collectively lacked the competence, experience, and knowledge necessary to perform the audits appropriately. Decker was prohibited from appearing or practicing before the SEC as an accountant, with the right to request reinstatement after two years.
The case highlights an important principle: auditors should not accept engagements unless they have, or can appropriately obtain, the competence and resources necessary to perform the work. Under professional standards, client acceptance is not simply an administrative procedure involving independence checks, engagement letters, and fee negotiations. Audit firms must also evaluate whether they understand the client's business model, industry risks, regulatory environment, accounting complexity, and technological systems sufficiently to conduct a reliable audit.
One of the most significant failures identified by the SEC involved FTX's relationship with Alameda Research, a related trading company controlled by FTX's founder. The audit team did not adequately understand Alameda's ability to borrow substantial amounts from FTX or assess the resulting financial reporting risks. This relationship was central to the subsequent misappropriation of customer assets. The case demonstrates that a failure to understand the underlying business model can lead directly to inadequate risk assessment, inappropriate audit procedures, and insufficient audit evidence.
For cryptocurrency businesses, auditors may need to understand digital wallets, private keys, blockchain transactions, custody arrangements, trading platforms, customer asset segregation, and related-party transactions. These matters create risks that may not be addressed adequately by traditional bank confirmations or standard audit procedures. Auditors should understand how digital assets are controlled, whether customer assets are separated from company assets, and how transactions are recorded and valued.
From a professional standards perspective, ISQM 1 requires audit firms to establish appropriate policies for accepting and continuing client relationships, while ISA 220 (Revised) emphasizes the engagement partner's responsibility for managing audit quality and ensuring that the engagement team has appropriate competence, capabilities, and sufficient time. Audit Partners do not need to be experts in every technical area, but they must understand the business sufficiently to assess risks, direct the audit, evaluate specialists' work, and reach appropriate conclusions.
Before accepting a complex engagement, audit firms should perform a documented competence assessment. This should include evaluating prior industry experience, identifying knowledge gaps, determining whether IT or digital asset specialists are required, reviewing management integrity, assessing available resources, and considering whether the proposed audit fee and timetable allow sufficient work. If the firm cannot obtain the necessary competence or evidence, declining the engagement may be the appropriate professional decision.
The FTX case also illustrates that quality problems can extend beyond audit planning. The SEC identified weaknesses in supervision and audit documentation, including incomplete working papers and unresolved review comments. An Audit Partner cannot rely solely on having experienced team members or external specialists without sufficient personal involvement in significant audit judgments.
In summary, the lesson from FTX extends beyond cryptocurrency. Whether auditing digital asset exchanges, fintech companies, complex financial instruments, or unfamiliar industries, professional competence must be assessed before accepting the engagement. For Audit Partners, the critical question is not simply whether the firm can win the client, but whether it can perform the audit to the required professional standard.
เมื่อวันที่ 8 เมษายน 2569 สำนักงานคณะกรรมการกำกับหลักทรัพย์และตลาดหลักทรัพย์ของสหรัฐอเมริกา (SEC) มีคำสั่งลงโทษ Francis Decker อดีตผู้สอบบัญชีหุ้นส่วนผู้รับผิดชอบงานของ Prager Metis CPAs, LLC จากข้อบกพร่องสำคัญในการตรวจสอบงบการเงินของ FTX ซึ่งเป็นแพลตฟอร์มซื้อขายสินทรัพย์ดิจิทัล โดย SEC พบว่าผู้สอบบัญชีขาดความเข้าใจเกี่ยวกับธุรกิจ FTX และตลาดคริปโทเคอร์เรนซีอย่างเพียงพอ ขณะที่ทีมตรวจสอบโดยรวมไม่มีความรู้ ประสบการณ์ และความสามารถที่เหมาะสมกับความซับซ้อนของงาน ส่งผลให้ Decker ถูกห้ามปฏิบัติงานในฐานะนักบัญชีต่อ SEC โดยสามารถยื่นคำร้องขอกลับมาปฏิบัติงานได้หลังครบ 2 ปี
กรณีนี้สะท้อนหลักการสำคัญว่า ผู้สอบบัญชีไม่ควรรับงานหากไม่มีหรือไม่สามารถจัดหาความรู้ความสามารถและทรัพยากรที่จำเป็นได้อย่างเหมาะสม การพิจารณารับงานลูกค้าใหม่จึงไม่ใช่เพียงการตรวจสอบความเป็นอิสระ การลงนามหนังสือตอบรับงาน หรือการตกลงค่าสอบบัญชี แต่สำนักงานสอบบัญชีต้องประเมินด้วยว่ามีความเข้าใจรูปแบบธุรกิจ ความเสี่ยงของอุตสาหกรรม กฎหมายที่เกี่ยวข้อง ความซับซ้อนทางบัญชี และระบบเทคโนโลยีของลูกค้าเพียงพอที่จะปฏิบัติงานตามมาตรฐานวิชาชีพหรือไม่
ข้อบกพร่องสำคัญที่ SEC ระบุคือการที่ทีมตรวจสอบไม่เข้าใจความสัมพันธ์ระหว่าง FTX กับ Alameda Research ซึ่งเป็นกิจการที่เกี่ยวข้องกันและอยู่ภายใต้การควบคุมของผู้ก่อตั้ง FTX ผู้สอบบัญชีไม่ได้ประเมินอย่างเพียงพอว่า Alameda สามารถกู้ยืมเงินจำนวนมากจาก FTX ได้อย่างไร และความสัมพันธ์ดังกล่าวสร้างความเสี่ยงต่องบการเงินอย่างไร โดยความสัมพันธ์นี้เป็นส่วนสำคัญของเหตุการณ์นำสินทรัพย์ลูกค้าไปใช้โดยมิชอบในเวลาต่อมา กรณีดังกล่าวแสดงให้เห็นว่า หากผู้สอบบัญชีไม่เข้าใจรูปแบบธุรกิจตั้งแต่ต้น ย่อมส่งผลต่อการประเมินความเสี่ยง การออกแบบวิธีตรวจสอบ และความเพียงพอของหลักฐานการสอบบัญชี
สำหรับธุรกิจสินทรัพย์ดิจิทัล ผู้สอบบัญชีอาจจำเป็นต้องเข้าใจระบบกระเป๋าสินทรัพย์ดิจิทัล กุญแจส่วนตัว ธุรกรรมบนบล็อกเชน การรับฝากสินทรัพย์ ระบบซื้อขาย การแยกสินทรัพย์ลูกค้าออกจากสินทรัพย์บริษัท และรายการระหว่างกิจการที่เกี่ยวข้องกัน ประเด็นเหล่านี้อาจไม่สามารถตรวจสอบได้อย่างเพียงพอด้วยวิธีการยืนยันยอดธนาคารหรือขั้นตอนสอบบัญชีทั่วไป ผู้สอบบัญชีต้องเข้าใจว่าสินทรัพย์ถูกควบคุมอย่างไร รายการเกิดขึ้นจริงหรือไม่ และมีการบันทึกบัญชีและวัดมูลค่าอย่างเหมาะสมหรือไม่
ในมุมมาตรฐานวิชาชีพ ISQM 1 กำหนดให้สำนักงานสอบบัญชีมีระบบการพิจารณารับงานและการรับงานต่อเนื่องที่เหมาะสม ขณะที่ ISA 220 (Revised) เน้นความรับผิดชอบของผู้สอบบัญชีหุ้นส่วนในการบริหารคุณภาพงานและประเมินความรู้ความสามารถของทีมตรวจสอบ ทั้งนี้ Audit Partner ไม่จำเป็นต้องเป็นผู้เชี่ยวชาญในทุกเรื่อง แต่ต้องมีความเข้าใจธุรกิจเพียงพอที่จะประเมินความเสี่ยง ควบคุมงาน พิจารณาผลงานของผู้เชี่ยวชาญ และตัดสินใจเกี่ยวกับประเด็นการสอบบัญชีที่สำคัญได้ด้วยตนเอง
ก่อนรับงานที่มีความซับซ้อน สำนักงานสอบบัญชีควรจัดทำการประเมินความพร้อมด้านความรู้ความสามารถอย่างเป็นระบบ โดยพิจารณาประสบการณ์ของทีม ช่องว่างด้านความรู้ ความจำเป็นในการใช้ผู้เชี่ยวชาญด้านเทคโนโลยีสารสนเทศหรือสินทรัพย์ดิจิทัล ความน่าเชื่อถือของฝ่ายบริหาร ทรัพยากรที่มีอยู่ และระยะเวลาที่เพียงพอในการตรวจสอบ หากไม่สามารถจัดหาความรู้หรือหลักฐานที่จำเป็นได้ การปฏิเสธรับงานอาจเป็นการตัดสินใจทางวิชาชีพที่เหมาะสมกว่าการรับงานโดยไม่มีความพร้อม
กรณี FTX ยังแสดงให้เห็นว่าปัญหาคุณภาพงานไม่ได้จำกัดอยู่เฉพาะขั้นตอนวางแผน โดย SEC พบข้อบกพร่องด้านการควบคุมงานและเอกสารสอบบัญชี รวมถึงกระดาษทำการที่ยังไม่ได้รับการสอบทานและข้อสังเกตที่ยังไม่ได้รับการแก้ไข Audit Partner จึงไม่สามารถอาศัยเพียงการมีทีมงานหรือผู้เชี่ยวชาญโดยไม่เข้าไปมีส่วนร่วมอย่างเหมาะสมในการพิจารณาประเด็นสำคัญของงาน
โดยสรุป บทเรียนจาก FTX ไม่ได้จำกัดอยู่เฉพาะธุรกิจคริปโทเคอร์เรนซี แต่ครอบคลุมถึงธุรกิจเทคโนโลยีทางการเงิน เครื่องมือทางการเงินที่ซับซ้อน และอุตสาหกรรมใหม่ที่ผู้สอบบัญชียังไม่มีประสบการณ์ ความรู้ความสามารถต้องถูกประเมินตั้งแต่ก่อนรับงาน ไม่ใช่รอให้เกิดปัญหาระหว่างการตรวจสอบ สำหรับ Audit Partner คำถามสำคัญจึงไม่ใช่เพียงว่า “สำนักงานจะได้รับงานลูกค้ารายนี้หรือไม่” แต่คือ “สำนักงานมีความสามารถเพียงพอที่จะตรวจสอบลูกค้ารายนี้ให้เป็นไปตามมาตรฐานวิชาชีพได้จริงหรือไม่”
