On 31 March 2026, Thailand’s Securities and Exchange Commission announced that it had filed a criminal complaint with the Department of Special Investigation against a capital-market auditor affiliated with Deloitte Touche Tohmatsu Jaiyos Audit Co., Ltd. in connection with audits of STARK Corporation Public Company Limited and its subsidiaries. The SEC also imposed a six-year restriction on reapplying for capital-market auditor approval, starting from 1 April 2026, after finding serious overall failures to comply with auditing standards. Importantly, the regulatory action concerned the individual auditor, not Deloitte as an audit firm, and the criminal complaint itself is not a final determination of criminal guilt.
The significance of the STARK case is that the SEC did not identify only one missed audit procedure. Its review covered audits of STARK and two subsidiaries significant to the consolidated financial statements—Phelps Dodge International (Thailand) Limited and Adisorn Songkhla Co., Ltd.—for 2019–2021. The SEC identified serious deficiencies involving risk assessment and planning, journal-entry testing, analytical procedures, revision of risk assessments when contradictory information emerged, obtaining sufficient appropriate evidence and forming the auditor’s opinion. The affected accounts included trade and other current receivables, inventories, revenue from rendering services and costs of rendering services.
The first lesson is that risk assessment cannot be a static planning document. An audit team may begin the engagement believing that a particular risk is moderate, but the assessment must change when new evidence contradicts the original understanding. If receivables increase rapidly, margins move unexpectedly, unusual transactions appear around year-end or cash collection does not follow reported revenue, the auditor should reconsider whether the original procedures remain sufficient.
This principle is closely connected to professional scepticism. ISA 315 requires risk-assessment procedures to be designed without bias toward obtaining only evidence that supports management’s assertions or excluding contradictory evidence. It also requires a “stand-back” consideration of all evidence obtained during risk assessment.
The second lesson concerns audit evidence. A contract, invoice, journal voucher or internally generated report does not automatically prove that the underlying transaction is genuine. For material receivables, the auditor should consider whether the customer exists, whether the transaction actually occurred, whether the balance is enforceable and whether subsequent collections support the recorded amount. For inventory, the auditor should examine not only quantity but also existence, condition, ownership and valuation. For service revenue, the critical question is whether the service was actually performed and whether evidence of performance comes from sufficiently reliable sources.
In a fraud-risk situation, evidence originating from outside management’s normal documentation chain becomes particularly valuable. External confirmations, bank records, subsequent cash receipts, third-party shipping or service evidence and independent operational information may provide stronger support than documentation generated entirely within the entity.
The third lesson is that Journal Entry Testing should not become a compliance exercise. The SEC specifically identified deficiencies in the examination of general journal vouchers. Journal entries are a key route through which management override can bypass otherwise effective controls. Entries posted manually near period-end, by unusual users, to unexpected accounts, without convincing business explanations or in a direction that helps management achieve revenue or profit targets require stronger challenge.
The auditor should therefore understand the complete journal population, identify characteristics connected with fraud risk and investigate the commercial substance of selected entries. Merely obtaining an approval signature and supporting document is not sufficient if the underlying transaction itself does not make economic sense.
The fourth lesson is that analytical procedures should create questions rather than simply produce ratios. If revenue grows strongly while operating cash flow deteriorates, receivables rise much faster than sales or inventory increases without corresponding production and demand, the relationships should be investigated together. Similarly, a sharp improvement in margin should be reconciled with changes in pricing, product mix, production costs and inventory valuation.
The strongest analytical procedures often connect several accounts rather than reviewing them individually. Revenue, receivables, inventory, service costs and cash flows may form different parts of the same economic story. If the stories told by those accounts are inconsistent, the auditor should consider whether there is a common underlying explanation—including the possibility of fraudulent financial reporting.
The fifth lesson is that contradictory evidence must change the audit. One of the risks in a long-standing audit relationship is that the engagement team becomes highly familiar with management’s explanations. Familiarity can make an unusual transaction appear explainable because similar explanations have been accepted previously. Professional scepticism requires the opposite mindset: when evidence no longer fits the original narrative, the auditor must be prepared to reconsider the narrative itself.
This is also why Engagement Partners need to “stand back” from individual audit sections. Revenue may have been reviewed by one team, receivables by another and inventory by another, yet the key risk may only become visible when all three are considered together. Strong revenue growth, weak cash collection, unusual inventory movements and manual journal entries improving earnings should not remain isolated findings in separate working papers.
The SEC stated that the audit failures were a facilitating factor for fraud at STARK and its subsidiaries and for falsification of STARK’s financial statements. This wording is important, but it should not be interpreted to mean that an auditor guarantees the absence of fraud. An audit provides reasonable assurance, not absolute assurance. The professional question is whether the auditor appropriately identified the risks, responded to them, investigated contradictory evidence and obtained sufficient appropriate evidence before issuing the audit opinion.
For CFOs and Audit Committees, STARK also provides an important governance lesson. Audit quality depends partly on whether auditors can obtain information directly, challenge management and escalate issues without commercial pressure. Audit Committees should therefore ask not only whether the audit is on schedule, but what fraud risks were identified, what contradictory evidence was encountered, which significant journal entries were challenged and how management responded.
The revised ISA 240, effective for periods beginning on or after 15 December 2026, was not applicable to STARK’s 2019–2021 audits. Nevertheless, its direction is consistent with the lessons from the case: a stronger fraud lens throughout the audit, greater emphasis on professional scepticism and clearer responses to identified or suspected fraud.
The central lesson from STARK is therefore broader than “the auditor failed to detect fraud.” The case demonstrates how weaknesses in risk assessment, journal testing, analytical procedures, evidence gathering and professional scepticism can interact and undermine the entire audit.
The most important question for an auditor should not stop at:
“Do we have documents supporting this balance?”
It should continue to:
“Does the transaction make economic sense, is the evidence genuinely reliable, and have we actively looked for evidence that could prove our current conclusion wrong?”
That is the difference between completing an audit programme and performing an audit with genuine professional scepticism.
เมื่อวันที่ 31 มีนาคม 2569 สำนักงาน ก.ล.ต. ประกาศกล่าวโทษผู้สอบบัญชีในตลาดทุนรายหนึ่งซึ่งสังกัดบริษัท ดีลอยท์ ทู้ช โธมัทสุ ไชยยศ สอบบัญชี จำกัด ต่อกรมสอบสวนคดีพิเศษ จากการปฏิบัติงานสอบบัญชี STARK และบริษัทย่อย พร้อมกำหนดระยะเวลา 6 ปีนับจากวันที่ 1 เมษายน 2569 ที่จะไม่รับพิจารณาคำขอความเห็นชอบเป็นผู้สอบบัญชีในตลาดทุนอีกครั้ง เนื่องจากพบว่าการปฏิบัติงานโดยรวมไม่เป็นไปตามมาตรฐานการสอบบัญชีในระดับร้ายแรง ทั้งนี้ มาตรการดังกล่าวเป็นการดำเนินการกับ ผู้สอบบัญชีรายบุคคล ไม่ใช่การเพิกถอน Deloitte ในฐานะสำนักงานสอบบัญชี และการกล่าวโทษต่อ DSI ยังไม่ใช่คำพิพากษาว่ามีความผิดทางอาญาถึงที่สุด
สิ่งที่ทำให้กรณี STARK เป็นบทเรียนสำคัญของวิชาชีพ ไม่ใช่เพียงเพราะมีการทุจริตที่ผู้สอบบัญชีตรวจไม่พบ แต่เพราะข้อบกพร่องที่ ก.ล.ต. ระบุครอบคลุมกระบวนการสอบบัญชีหลายส่วน ตั้งแต่การประเมินความเสี่ยงและวางแผน การตรวจสอบใบสำคัญทั่วไป การวิเคราะห์เปรียบเทียบ การปรับเปลี่ยนการประเมินความเสี่ยงเมื่อพบข้อมูลที่ขัดแย้ง การรวบรวมหลักฐานที่เพียงพอเหมาะสม ไปจนถึงการแสดงความเห็นของผู้สอบบัญชี โดยเกี่ยวข้องกับลูกหนี้การค้าและลูกหนี้หมุนเวียนอื่น สินค้าคงเหลือ รายได้ และต้นทุนจากการให้บริการ
บทเรียนแรกคือ Risk Assessment ไม่ควรเป็นเอกสารที่ทำตอน Planning แล้วไม่เปลี่ยนจนจบงาน หากในระหว่างการตรวจพบว่าลูกหนี้เพิ่มขึ้นผิดปกติ Margin เปลี่ยนไปอย่างไม่มีเหตุผล รายการสำคัญเกิดใกล้วันสิ้นปี หรือรายได้เพิ่มขึ้นแต่เก็บเงินไม่ได้ ผู้สอบบัญชีต้องพร้อมประเมินความเสี่ยงใหม่และปรับ Nature, Timing และ Extent ของวิธีตรวจให้เหมาะสม
หลักนี้เชื่อมโยงโดยตรงกับ Professional Skepticism เพราะ ISA 315 กำหนดให้ผู้สอบบัญชีออกแบบ Risk Assessment Procedures โดยไม่มุ่งหาเฉพาะหลักฐานที่สนับสนุนคำอธิบายของฝ่ายบริหาร และไม่ละเว้นหลักฐานที่ขัดแย้ง พร้อมทั้งให้มีการ “Stand Back” เพื่อพิจารณาหลักฐานทั้งหมดอีกครั้งหลังดำเนินการประเมินความเสี่ยงแล้ว
บทเรียนที่สองคือ เอกสารไม่ได้เท่ากับหลักฐานที่น่าเชื่อถือเสมอไป การมี Invoice, Contract, Journal Voucher หรือรายงานจากระบบ ไม่ได้พิสูจน์ว่าธุรกรรมเกิดขึ้นจริงโดยอัตโนมัติ สำหรับลูกหนี้ที่มีสาระสำคัญ ผู้สอบบัญชีต้องพิจารณาว่าลูกค้ามีอยู่จริงหรือไม่ ธุรกรรมเกิดขึ้นจริงหรือไม่ ลูกค้ามีภาระต้องชำระหรือไม่ และมีการรับเงินภายหลังหรือไม่ สำหรับ Inventory ต้องพิจารณาทั้งการมีอยู่จริง สภาพ กรรมสิทธิ์ และมูลค่า ส่วนรายได้จากบริการต้องพิสูจน์ว่ามีการให้บริการจริงและหลักฐานมาจากแหล่งที่น่าเชื่อถือเพียงพอ
เมื่อ Fraud Risk สูงขึ้น หลักฐานจากภายนอกยิ่งมีความสำคัญ การยืนยันยอดกับบุคคลภายนอก Bank Statement เงินรับภายหลังวันสิ้นงวด หลักฐานการส่งมอบ หรือข้อมูลจากระบบปฏิบัติการที่เป็นอิสระ สามารถให้ความน่าเชื่อถือมากกว่าเอกสารที่ถูกสร้างขึ้นภายในองค์กรทั้งหมด
บทเรียนที่สามคือ Journal Entry Testing ไม่ควรเป็นเพียงขั้นตอนให้ครบตาม Audit Program ก.ล.ต. ระบุข้อบกพร่องด้านการตรวจใบสำคัญทั่วไปโดยเฉพาะ ซึ่งมีความสำคัญมากเมื่อ Management Override สามารถข้ามการควบคุมปกติได้
ผู้สอบบัญชีจึงควรมองหา Manual Journal ใกล้วันสิ้นงวด รายการที่บันทึกโดยผู้ใช้งานผิดปกติ รายการระหว่างบัญชีที่ไม่สัมพันธ์กัน รายการไม่มีเหตุผลเชิงธุรกิจที่ชัดเจน หรือรายการที่ช่วยเพิ่มรายได้ ลดค่าใช้จ่าย หรือทำให้บริษัทบรรลุเป้ากำไร การพบเอกสารอนุมัติไม่ได้ทำให้รายการนั้นสมเหตุสมผล หากเนื้อหาทางเศรษฐกิจของธุรกรรมยังตอบไม่ได้
บทเรียนที่สี่คือ Analytical Procedures ต้องสร้างคำถาม ไม่ใช่เพียงคำนวณ Ratio หากรายได้เพิ่มขึ้นมากแต่ Operating Cash Flow ลดลง ลูกหนี้เพิ่มเร็วกว่ายอดขาย หรือ Inventory เพิ่มขึ้นโดยไม่มีปริมาณการผลิตรองรับ ผู้สอบบัญชีควรเชื่อมข้อมูลเหล่านี้เข้าด้วยกัน เช่นเดียวกับ Margin ที่ดีขึ้นอย่างผิดปกติซึ่งควรเชื่อมกับราคาขาย Product Mix ต้นทุนการผลิต และการตีราคา Inventory
การวิเคราะห์ที่ดีจึงไม่ใช่การเขียนว่า “Variance explained by management” แล้วปิดกระดาษทำการ แต่ต้องหาหลักฐานสนับสนุนคำอธิบายดังกล่าว และมองว่าความผิดปกติในหลายบัญชีอาจเป็นองค์ประกอบของ Fraud Scheme เดียวกัน
บทเรียนที่ห้าคือ เมื่อหลักฐานขัดแย้ง Audit Approach ต้องเปลี่ยน ความเสี่ยงของการตรวจลูกค้าต่อเนื่องหลายปีคือทีมอาจคุ้นเคยกับฝ่ายบริหารและคำอธิบายเดิมมากจน Red Flag แต่ละรายการถูกอธิบายแยกออกไปโดยไม่มีใครเชื่อมโยงภาพรวม Professional Skepticism หมายถึงการยอมเปลี่ยนข้อสรุปเดิมเมื่อหลักฐานใหม่ไม่สอดคล้องกับเรื่องราวเดิม ไม่ใช่พยายามหาคำอธิบายเพื่อรักษาข้อสรุปเดิมไว้
เรื่องนี้ทำให้บทบาทของ Engagement Partner สำคัญมาก Partner ไม่ควรดูเพียงว่าแต่ละ Audit Section ถูก Sign-off ครบหรือไม่ แต่ต้อง Stand Back และมองงบทั้งชุดในเชิงเศรษฐกิจ หากยอดขายสูงขึ้น ลูกหนี้เพิ่มผิดปกติ เงินสดไม่มา Inventory เปลี่ยนแปลงผิดธรรมชาติ และมี Manual Journal จำนวนมากที่ช่วยผลประกอบการ ประเด็นเหล่านี้ควรถูกเชื่อมเข้าด้วยกัน ไม่ใช่กระจายอยู่ใน Working Paper คนละส่วนจนไม่มีใครเห็นภาพรวม
ก.ล.ต. ระบุว่าการไม่ปฏิบัติตามมาตรฐานดังกล่าวเป็นปัจจัยเอื้อต่อการทุจริตใน STARK และบริษัทย่อยและการตกแต่งงบการเงินของ STARK ซึ่งเป็นถ้อยคำที่มีนัยสำคัญต่อวิชาชีพ อย่างไรก็ตาม ไม่ควรตีความว่าผู้สอบบัญชีต้องรับประกันว่าจะตรวจพบ Fraud ทุกกรณี การสอบบัญชีให้ Reasonable Assurance ไม่ใช่ Absolute Assurance ประเด็นสำคัญจึงอยู่ที่ว่าผู้สอบบัญชีได้ประเมินความเสี่ยงอย่างเหมาะสม ตอบสนองต่อ Red Flag ปรับแผนเมื่อข้อมูลเปลี่ยน และได้รับหลักฐานที่เพียงพอเหมาะสมก่อนออกรายงานหรือไม่
สำหรับ CFO และ Audit Committee กรณี STARK ก็มีบทเรียนสำคัญเช่นกัน Audit Quality ไม่ควรถูกวัดเพียงว่าปิดงบและออกรายงานได้ตรงเวลา คณะกรรมการตรวจสอบควรถามว่า Auditor ระบุ Fraud Risk อะไร พบ Contradictory Evidence อะไร มี Manual Journal หรือธุรกรรมผิดปกติใดถูกยกระดับ และฝ่ายบริหารตอบสนองต่อคำถามของ Auditor อย่างไร
ISA 240 ฉบับปรับปรุงซึ่งจะมีผลสำหรับรอบบัญชีที่เริ่มในหรือหลังวันที่ 15 ธันวาคม 2026 ไม่ได้ใช้กับงบ STARK ปี 2562–2564 แต่ทิศทางของมาตรฐานใหม่สอดคล้องกับบทเรียนจากกรณีนี้อย่างมาก โดยเพิ่ม Fraud Lens ในกระบวนการตรวจ เสริม Professional Skepticism และทำให้การตอบสนองต่อ Fraud หรือ Suspected Fraud ชัดเจนและเข้มแข็งขึ้น
ท้ายที่สุด บทเรียนจาก STARK ไม่ควรถูกสรุปเพียงว่า “Auditor หา Fraud ไม่เจอ” แต่ควรมองว่า Audit Quality เกิดจากการเชื่อมโยง Risk Assessment, Journal Testing, Analytical Procedures, Audit Evidence และ Professional Skepticism เข้าด้วยกัน หากองค์ประกอบเหล่านี้ไม่ทำงานร่วมกัน การตรวจสอบอาจดูครบตาม Audit Program แต่ยังไม่สามารถตอบสนองต่อความเสี่ยงที่แท้จริงได้
คำถามสำคัญของผู้สอบบัญชีจึงไม่ควรหยุดอยู่เพียงว่า
“มีเอกสารรองรับตัวเลขนี้หรือไม่?”
แต่ต้องถามต่อว่า
“ธุรกรรมนี้สมเหตุสมผลทางเศรษฐกิจจริงหรือไม่ หลักฐานที่ได้รับน่าเชื่อถือเพียงใด และเราได้พยายามค้นหาหลักฐานที่อาจพิสูจน์ว่าข้อสรุปของเราผิดแล้วหรือยัง?”
นี่คือความแตกต่างระหว่างการทำ Audit Program ให้ครบ กับการทำ Audit ด้วย Professional Skepticism อย่างแท้จริง
