Tổng quan về luận án
Sự bùng nổ của cuộc Cách mạng Công nghiệp lần thứ tư và xu hướng chuyển đổi số toàn diện đã tái định hình phương thức vận hành hệ thống thông tin kế toán (HTTTKT - Accounting Information Systems - AIS) trong các tổ chức kinh tế. Việc chuyển đổi từ các quy trình thủ công sang môi trường số hóa, điện toán đám mây và hệ thống hoạch định nguồn lực doanh nghiệp (ERP) mang lại hiệu quả vượt bậc trong việc thu thập, xử lý và trích xuất dữ liệu tài chính. Tuy nhiên, sự phụ thuộc ngày càng lớn vào công nghệ cũng làm gia tăng mức độ tổn thương của doanh nghiệp trước các hiểm họa an ninh mạng và sự cố kỹ thuật. Theo báo cáo thường niên của Diễn đàn Kinh tế Thế giới (WEF, 2020), rủi ro công nghệ thông tin (CNTT) được xếp vào nhóm 5 hiểm họa hàng đầu đe dọa trực tiếp nền kinh tế toàn cầu, bao gồm các sự cố cơ sở hạ tầng mạng, tấn công mã độc quy mô lớn và gian lận dữ liệu. Tại Việt Nam, báo cáo an ninh mạng của Bkav (2020) chỉ ra rằng thiệt hại do virus máy tính gây ra đã vượt ngưỡng 1 tỷ USD (tương đương 23,9 nghìn tỷ đồng), gây gián đoạn nghiêm trọng cho hệ thống tài chính - ngân hàng và khối doanh nghiệp. Trong bối cảnh đó, luận án tiến sĩ kinh tế của nghiên cứu sinh Đồng Quang Chung (2022) tại Trường Đại học Kinh tế TP. Hồ Chí Minh (UEH), dưới sự hướng dẫn khoa học của PGS. Nguyễn Xuân Hưng và TS. Nguyễn Đình Hùng, mang tên "Ảnh hưởng của rủi ro công nghệ thông tin đến chất lượng thông tin kế toán trong các doanh nghiệp tại Việt Nam" (Mã ngành: 9340301), đóng vai trò là công trình tiên phong giải quyết bài toán giao thoa giữa quản trị rủi ro công nghệ và chất lượng thông tin kế toán (CLTTKT).
Khoảng trống nghiên cứu (Research Gap) được xác định rõ nét từ sự thiếu hụt các mô hình thực nghiệm định lượng toàn diện. Phần lớn các công trình quốc tế trước đây chỉ khảo sát đơn lẻ từng khía cạnh rủi ro bảo mật hoặc dừng lại ở phương pháp định tính thăm dò (Davis, 1997; Korvin và cs, 2004; Rajeshwaran & Gunawardana, 2008; Wang & He, 2011; Yang & Jiang, 2014; Fang & Shu, 2016). Mặt khác, các nghiên cứu chuyên sâu về các nhân tố tổ chức thúc đẩy chất lượng HTTTKT (CLHTTTKT) và CLTTKT (Wongsim, 2013; Carolina, 2014; Napitupulu, 2015; Fitriati & Mulyani, 2015; Fitrios, 2016; Darma và cs, 2018) lại chưa tích hợp nhóm rủi ro công nghệ vào mô hình cấu trúc. Tại Việt Nam, các nghiên cứu của Nguyễn Bích Liên (2012), Phan Đức Dũng và Phạm Anh Tuấn (2015), Trịnh Viết Giang (2017), và Nguyễn Phước Bảo Ấn (2018) chủ yếu tập trung vào sự chấp nhận công nghệ hoặc triển khai ERP mà chưa lượng hóa tác động tiêu cực của các phân lớp rủi ro CNTT đến chất lượng đầu ra của hệ thống thông tin.
Luận án thiết lập hệ thống 3 câu hỏi nghiên cứu cốt lõi:
- Câu hỏi 1 (RQ1): Những nhân tố rủi ro CNTT cụ thể nào ảnh hưởng trực tiếp đến HTTTKT trong các doanh nghiệp tại Việt Nam?
- Câu hỏi 2 (RQ2): Mức độ và chiều hướng tác động của các nhân tố rủi ro CNTT đến CLHTTTKT và từ CLHTTTKT đến CLTTKT diễn ra như thế nào theo mô hình cấu trúc tuyến tính?
- Câu hỏi 3 (RQ3): Những hàm ý quản trị và khuyến nghị chính sách nào cần được xây dựng nhằm kiểm soát rủi ro CNTT và tối ưu hóa CLTTKT cho các doanh nghiệp và tổ chức nghề nghiệp?
Tương ứng với các câu hỏi nghiên cứu, luận án xây dựng hệ thống giả thuyết thực nghiệm:
- Giả thuyết H1: Rủi ro phần cứng có tác động ngược chiều (-) đến CLHTTTKT.
- Giả thuyết H2: Rủi ro phần mềm và dữ liệu có tác động ngược chiều (-) đến CLHTTTKT.
- Giả thuyết H3: Rủi ro ứng dụng tiến bộ CNTT có tác động ngược chiều (-) đến CLHTTTKT.
- Giả thuyết H4: Rủi ro nguồn lực con người có tác động ngược chiều (-) đến CLHTTTKT.
- Giả thuyết H5: Rủi ro cam kết quản lý có tác động ngược chiều (-) đến CLHTTTKT.
- Giả thuyết H6: Rủi ro văn hóa tổ chức có tác động ngược chiều (-) đến CLHTTTKT.
- Giả thuyết H7: CLHTTTKT có tác động cùng chiều (+) đến CLTTKT.
Nền tảng lý thuyết được xây dựng dựa trên sự tích hợp chặt chẽ giữa Lý thuyết Cấu trúc (Structuration Theory - Giddens, 1984; Orlikowski, 1992, 2000), Lý thuyết Ngẫu nhiên (Contingency Theory - Otley, 1980; Chenhall, 2003), Mô hình Thành công Hệ thống Thông tin DeLone & McLean (D&M IS Success Model, 2003, 2016), cùng các khung chuẩn mực quản trị quốc tế COBIT (ISACA) và COSO ERM (2004, 2017).
Đóng góp đột phá của công trình được lượng hóa cụ thể: Khảo sát thực chứng trên mẫu N = 368 đối tượng hợp lệ là các kiểm toán viên, kế toán trưởng, giám đốc tài chính (CFO) và nhà điều hành (CEO) thuộc các doanh nghiệp tại Việt Nam trong khung thời gian từ tháng 02/2020 đến tháng 03/2020. Kết quả phân tích mô hình cấu trúc SEM xác nhận CLHTTTKT đóng vai trò trung gian truyền dẫn quan trọng, giải thích phần lớn biến thiên của CLTTKT, đồng thời phát hiện sự hội tụ mang tính bản chất giữa rủi ro phần mềm và rủi ro dữ liệu trong môi trường kế toán hiện đại.
Literature Review và Positioning
Khung tổng quan y văn của luận án được cấu trúc thành 4 dòng nghiên cứu chính (research streams):
TỔNG QUAN Y VĂN VÀ PHÂN LƯU NGHIÊN CỨU
[Dòng 1: Rủi ro CNTT & [Dòng 2: Nhân tố tổ chức & [Dòng 3: CLHTTTKT & [Dòng 4: Rủi ro CNTT
An toàn thông tin AIS] CLHTTTKT] Tác động đến CLTTKT] đến CLTTKT]
- Dòng nghiên cứu về rủi ro CNTT và an toàn thông tin trong môi trường kế toán: Khởi xướng từ các nghiên cứu nền tảng của Davis (1997) và Korvin và cs (2004), rủi ro an toàn thông tin được phân loại thành các mối đe dọa phần cứng, phần mềm, nhân sự, môi trường và sự tụt hậu của kiểm soát trước tốc độ phát triển công nghệ. Wang và He (2011) cùng Fang và Shu (2016) phân tích sâu các rủi ro vật lý, lỗi hệ điều hành và nguy cơ biến dạng dữ liệu kế toán điện tử do sự can thiệp trái phép không để lại dấu vết kiểm toán (audit trail).
- Dòng nghiên cứu về các tiền tố tổ chức cấu thành CLHTTTKT: Wongsim (2013), Carolina (2014), Napitupulu (2015), Wisna (2015), Omar và cs (2016), và Darma và cs (2018) đã chứng minh vai trò then chốt của văn hóa tổ chức, cấu trúc phân quyền và sự cam kết của ban quản trị đối với sự thành công của HTTTKT. Meiryani và Susanto (2018) bổ sung rằng việc thiếu hụt hạ tầng công nghệ tin cậy sẽ trực tiếp làm suy giảm hiệu năng của HTTTKT.
- Dòng nghiên cứu về mối quan hệ giữa CLHTTTKT và CLTTKT: Al-Hiyari và cs (2013), Rapina (2014), Meiryani (2014), Shien (2015), Fitriati và Mulyani (2015), và Mkonya và cs (2018) chỉ ra rằng các thuộc tính chất lượng thông tin như tính thích hợp (relevance), tính chính xác (accuracy), tính kịp thời (timeliness) và tính đầy đủ (completeness) là hàm phụ thuộc trực tiếp vào mức độ vận hành tối ưu của HTTTKT.
- Dòng nghiên cứu về rủi ro công nghệ trong HTTTKT ngành dịch vụ tài chính: Hanini (2012), AL-Amro và cs (2017) và Al Haija (2021) tại Jordan, cùng Bansah (2018) tại Ghana đã chỉ ra sự đe dọa của lỗi nhập liệu, sao chép trái phép, lỗ hổng kiểm soát nội bộ và tấn công mã độc đối với chất lượng báo cáo tài chính trong lĩnh vực ngân hàng.
Trong y văn tồn tại hai luồng quan điểm đối lập sâu sắc:
- Quan điểm thứ nhất (Technological Determinism - Quyết định luận công nghệ): Cho rằng các thuộc tính kỹ thuật (phần cứng, phần mềm, hạ tầng viễn thông) đóng vai trò quyết định tuyệt đối đối với tính toàn vẹn của hệ thống thông tin (Davis, 1997; Wang & He, 2011).
- Quan điểm thứ hai (Socio-technical / Human-centric - Tiếp cận kỹ thuật - xã hội): Lại nhấn mạnh rằng nguồn lực con người, văn hóa tổ chức và kiểm soát nội bộ mới là hạt nhân kiểm soát mọi sai lệch (Muhrtala & Ogundeji, 2013; Al Haija, 2021).
Luận án đã định vị chính xác khoảng trống học thuật bằng cách bắc cầu nối giữa hai luồng quan điểm này: Xây dựng một mô hình tích hợp đa chiều, đặt cả các nhân tố kỹ thuật (phần cứng, phần mềm, dữ liệu, tiến bộ CNTT) và các nhân tố quản trị - xã hội (nguồn nhân lực, cam kết quản lý, văn hóa tổ chức) dưới lăng kính "rủi ro CNTT" để đánh giá đồng thời tác động của chúng lên CLHTTTKT và CLTTKT.
So sánh với các nghiên cứu quốc tế điển hình:
- Nghiên cứu của Hanini (2012) và AL-Amro và cs (2017) tại các ngân hàng thương mại Jordan tập trung hẹp vào các loại rủi ro nhập liệu và vi phạm phân quyền trong ngành ngân hàng bằng kỹ thuật hồi quy đơn giản. Luận án của NCS. Đồng Quang Chung mở rộng sang toàn bộ khối doanh nghiệp đa ngành, sử dụng kỹ thuật mô hình hóa cấu trúc tuyến tính SEM phức hợp.
- Nghiên cứu của Rajeshwaran & Gunawardana (2008) tại Sri Lanka và Bansah (2018) tại Ghana chủ yếu dừng lại ở mức độ khảo sát định tính và thống kê mô tả tần suất các mối đe dọa an toàn thông tin. Luận án vượt trội hơn hẳn khi kiểm định giả thuyết cấu trúc, lượng hóa hệ số tác động chuẩn hóa ($\beta$) và kiểm định đa nhóm (One-Way ANOVA) theo quy mô, loại hình sở hữu và phần mềm ứng dụng.
Đóng góp lý thuyết và khung phân tích
Đóng góp cho lý thuyết
Luận án đã đóng góp vào việc mở rộng và kiểm chứng các lý thuyết nền tảng trong bối cảnh nền kinh tế đang phát triển:
MÔ HÌNH TÍCH HỢP LÝ THUYẾT NỀN
- Mở rộng Lý thuyết Cấu trúc (Structuration Theory): Luận án chứng minh rằng trong môi trường kế toán số hóa, công nghệ không đơn thuần là công cụ thụ động mà cùng với hành vi con người kiến tạo nên cấu trúc vận hành. Việc xuất hiện các rủi ro từ nguồn lực con người (bất cẩn, thao túng) và văn hóa tổ chức sẽ phá vỡ tính chuẩn mực của cấu trúc công nghệ, làm sai lệch dòng thông tin.
- Bổ sung cho Lý thuyết Ngẫu nhiên (Contingency Theory): Chứng minh rằng không có một hệ thống HTTTKT tối ưu áp dụng đồng nhất cho mọi thực thể; mức độ tác động của các rủi ro CNTT phụ thuộc vào các biến số ngẫu nhiên của doanh nghiệp như quy mô vốn, loại hình sở hữu và kiến trúc phần mềm sử dụng.
- Phát triển Mô hình DeLone & McLean: Mở rộng mô hình D&M bằng việc bổ sung các biến ngoại sinh mang tính tiêu cực (các phân lớp rủi ro CNTT) tác động triệt tiêu lên biến "Chất lượng hệ thống" (CLHTTTKT), từ đó gián tiếp suy giảm "Chất lượng thông tin" (CLTTKT).
Khung phân tích độc đáo
Khung phân tích của luận án tích hợp đồng thời 3 hệ lý thuyết nền (Structuration Theory, Contingency Theory, D&M IS Success Model) cùng 2 chuẩn mực kiểm soát quốc tế (COBIT của ISACA và COSO ERM Framework).
KHUNG PHÂN TÍCH THỰC NGHIỆM
Điểm độc đáo mang tính đột phá trong cách tiếp cận phân tích là: Ban đầu, mô hình phân tách 7 nhân tố rủi ro độc lập gồm: Rủi ro phần cứng, Rủi ro phần mềm, Rủi ro dữ liệu, Rủi ro ứng dụng tiến bộ CNTT, Rủi ro nguồn lực con người, Rủi ro cam kết quản lý, và Rủi ro văn hóa tổ chức. Tuy nhiên, qua quá trình phân tích định lượng thực nghiệm (EFA và CFA), dữ liệu đã cho thấy sự hội tụ tất yếu giữa thang đo "Rủi ro phần mềm" và "Rủi ro dữ liệu" thành một nhân tố thống nhất: "Rủi ro phần mềm và dữ liệu". Đây là một đóng góp mang tính thực chứng cao, phản ánh chính xác thực tiễn vận hành phần mềm kế toán hiện đại, nơi cấu trúc phần mềm và cơ sở dữ liệu (DBMS) gắn kết hữu cơ không thể tách rời.
Điều kiện biên (Boundary Conditions) của khung phân tích được xác lập rõ: Nghiên cứu tập trung vào môi trường nội bộ doanh nghiệp tại Việt Nam, giả định môi trường pháp lý và các dịch vụ điện toán đám mây công cộng bên ngoài nằm ngoài phạm vi kiểm soát trực tiếp của mô hình.
Phương pháp nghiên cứu tiên tiến
Thiết kế nghiên cứu
Luận án tuân thủ chặt chẽ lập trường triết học thực chứng luận (Positivism) kết hợp phương pháp luận diễn dịch (deductive approach). Thiết kế nghiên cứu hỗn hợp tuần tự khám phá (sequential mixed methods) được triển khai qua 2 giai đoạn mạch lạc:
QUY TRÌNH THIẾT KẾ NGHIÊN CỨU HỖN HỢP
[GIAI ĐOẠN 1: ĐỊNH TÍNH KHÁM PHÁ] [GIAI ĐOẠN 2: ĐỊNH LƯỢNG THỰC CHỨNG]
- Giai đoạn định tính: Rà soát tài liệu học thuật và phỏng vấn chuyên sâu nhóm chuyên gia gồm các kế toán trưởng, kiểm toán viên CNTT, giám đốc CNTT (CIO), CFO, CEO và các nhà nghiên cứu đầu ngành tại các trường đại học với tiêu chuẩn thâm niên tối thiểu 10 năm kinh nghiệm. Phỏng vấn dừng lại khi đạt điểm bão hòa dữ liệu (theoretical saturation), làm cơ sở hiệu chỉnh thang đo các biến quan sát.
- Giai đoạn định lượng: Triển khai theo 2 bước: Khảo sát sơ bộ (Pilot Study) nhằm kiểm định sơ khởi độ tin cậy thang đo và Khảo sát chính thức (Formal Study) trên quy mô lớn. Đơn vị phân tích (unit of analysis) là doanh nghiệp.
Quy trình nghiên cứu rigorous
Chiến lược chọn mẫu kết hợp ngẫu nhiên phân tầng và thuận tiện có chọn lọc nhằm đảm bảo tính đại diện cho cộng đồng doanh nghiệp Việt Nam. Công cụ thu thập dữ liệu là bảng câu hỏi chi tiết sử dụng thang đo Likert 5 điểm (1: Hoàn toàn không đồng ý đến 5: Hoàn toàn đồng ý).
Tính nghiêm ngặt của quy trình nghiên cứu được bảo đảm qua hệ thống tiêu chuẩn đo lường:
- Độ tin cậy nhất quán nội tại (Internal Consistency Reliability): Kiểm định qua hệ số Cronbach’s Alpha (yêu cầu $\alpha \ge 0.70$ và hệ số tương quan biến - tổng Corrected Item-Total Correlation $\ge 0.30$) và Độ tin cậy tổng hợp (Composite Reliability - CR $\ge 0.70$).
- Giá trị hội tụ (Convergent Validity): Đánh giá qua hệ số tải nhân tố chuẩn hóa (Standardized Factor Loading $\lambda \ge 0.50$, tối ưu $\ge 0.70$) và Phương sai trích trung bình (Average Variance Extracted - AVE $\ge 0.50$).
- Giá trị phân biệt (Discriminant Validity): Xác nhận thông qua tiêu chuẩn Fornell & Larcker (1981), yêu cầu căn bậc hai của AVE ($\sqrt{AVE}$) của từng nhân tố phải lớn hơn hệ số tương quan giữa nhân tố đó với các nhân tố khác trong mô hình, đồng thời chỉ số Maximum Shared Variance (MSV) phải nhỏ hơn AVE.
- Mức độ phù hợp của mô hình (Model Fit): Đánh giá qua các chỉ số thống kê trong AMOS: CMIN/DF $\le 3.0$, GFI $\ge 0.90$, CFI $\ge 0.90$, RMSEA $\le 0.08$ và PCLOSE $> 0.05$.
Data và phân tích
Mẫu khảo sát chính thức thu về 368 phiếu hợp lệ từ các cá nhân có chuyên môn kế toán - kiểm toán và quản trị thuộc đa dạng loại hình doanh nghiệp:
| Đặc điểm mẫu khảo sát (N = 368) |
Phân loại chi tiết |
Tần số (n) |
Tỷ lệ (%) |
| Vị trí công tác của người trả lời |
Kế toán viên |
158 |
42.9% |
|
Kế toán trưởng / Quản lý tài chính |
126 |
34.2% |
|
Kiểm toán viên |
52 |
14.1% |
|
Giám đốc điều hành / Ban quản trị |
32 |
8.7% |
| Loại hình doanh nghiệp |
Công ty Cổ phần |
184 |
50.0% |
|
Công ty TNHH |
132 |
35.9% |
|
Doanh nghiệp Nhà nước / Khác |
52 |
14.1% |
| Quy mô doanh nghiệp (Lao động) |
Doanh nghiệp lớn (> 300 người) |
98 |
26.6% |
|
Doanh nghiệp vừa (50 - 300 người) |
142 |
38.6% |
|
Doanh nghiệp nhỏ & siêu nhỏ (< 50 người) |
128 |
34.8% |
| Hệ thống phần mềm kế toán sử dụng |
Phần mềm đóng gói tiêu chuẩn (MISA, Fast...) |
176 |
47.8% |
|
Hệ thống ERP quốc tế (SAP, Oracle...) |
74 |
20.1% |
|
Hệ thống ERP nội địa / Phần mềm tự viết |
82 |
22.3% |
|
Phần mềm bảng tính / Khác |
36 |
9.8% |
Phần mềm thống kê sử dụng bao gồm SPSS phiên bản 20.0 (phân tích thống kê mô tả, Cronbach's Alpha, EFA, ANOVA) và AMOS 20 & 24 (phân tích nhân tố khẳng định CFA, kiểm định mô hình phương trình cấu trúc tuyến tính SEM).
Phát hiện đột phá và implications
Những phát hiện then chốt
Kết quả phân tích mô hình SEM đã đem lại 5 phát hiện then chốt có ý nghĩa thực chứng sâu sắc:
KẾT QUẢ PHÂN TÍCH MÔ HÌNH SEM
- Rủi ro nguồn lực con người là tác nhân tiêu cực mạnh nhất: Với hệ số hồi quy chuẩn hóa $\beta = -0.285$ ($p < 0.001$), sự thiếu hụt năng lực vận hành, thiếu hiểu biết về bảo mật hoặc hành vi cố ý vi phạm quy trình của nhân sự kế toán là rủi ro nguy hiểm nhất làm suy thoái CLHTTTKT.
- Sự hội tụ và tác động mạnh của rủi ro phần mềm và dữ liệu: Nhân tố mới hợp nhất này tác động tiêu cực đứng thứ hai với $\beta = -0.246$ ($p < 0.001$). Điều này minh chứng rằng các lỗi thuật toán phần mềm, mã độc và lỗ hổng toàn vẹn dữ liệu luôn song hành và tác động trực diện đến sự ổn định của hệ thống.
- Vai trò sống còn của cam kết quản lý và tiến bộ CNTT: Rủi ro thiếu cam kết quản lý ($\beta = -0.218$, $p < 0.001$) cùng rủi ro từ việc chạy đua ứng dụng công nghệ không tương thích ($\beta = -0.194$, $p < 0.01$) là những rào cản nghiêm trọng tiếp theo. Rủi ro phần cứng ($\beta = -0.172$, $p < 0.01$) và rủi ro văn hóa tổ chức ($\beta = -0.145$, $p < 0.05$) cũng thể hiện tác động ngược chiều có ý nghĩa thống kê.
- Sức mạnh truyền dẫn của CLHTTTKT đến CLTTKT: CLHTTTKT có tác động cùng chiều cực kỳ mạnh mẽ đến CLTTKT với hệ số $\beta = +0.724$ ($p < 0.001$), giải thích đến $52.4%$ phương sai ($R^2 = 0.524$) của chất lượng thông tin tài chính đầu ra. Toàn bộ 6 nhóm rủi ro CNTT giải thích $58.4%$ phương sai ($R^2 = 0.584$) của CLHTTTKT.
- Khác biệt có ý nghĩa thống kê giữa các nhóm doanh nghiệp (One-Way ANOVA):
- Theo quy mô: Các doanh nghiệp lớn có năng lực nhận diện và kiểm soát rủi ro phần cứng/phần mềm tốt hơn đáng kể so với doanh nghiệp nhỏ và vừa ($p < 0.01$).
- Theo loại hình phần mềm: Doanh nghiệp ứng dụng hệ thống ERP tiêu chuẩn quốc tế có mức độ đánh giá kiểm soát rủi ro dữ liệu vượt trội so với doanh nghiệp chỉ sử dụng phần mềm đóng gói cục bộ ($p < 0.05$).
Implications đa chiều
- Hàm ý lý thuyết (Theoretical Advances): Khẳng định tính tương thích vượt trội của việc tích hợp Lý thuyết Cấu trúc và Mô hình DeLone & McLean trong bối cảnh phân tích rủi ro hệ thống thông tin kế toán tại các thị trường mới nổi. Cung cấp bằng chứng thực nghiệm về sự hội tụ giữa hai khái niệm phần mềm và dữ liệu trong kỷ nguyên số.
- Hàm ý phương pháp luận (Methodological Innovations): Cung cấp bộ thang đo đã được chuẩn hóa và thẩm định nghiêm ngặt qua CFA/SEM cho 6 thứ nguyên rủi ro CNTT trong kế toán, tạo công cụ đo lường đáng tin cậy cho các nghiên cứu tiếp theo trong khu vực Đông Nam Á.
- Hàm ý thực tiễn cho doanh nghiệp (Practical Applications):
- Doanh nghiệp phải chuyển đổi tư duy từ "khắc phục sự cố CNTT" sang "quản trị rủi ro CNTT chủ động" tích hợp trong khung COSO ERM.
- Ưu tiên hàng đầu là đào tạo liên tục năng lực số và nhận thức an toàn thông tin cho đội ngũ kế toán - tài chính; thiết lập ma trận phân quyền truy cập và phân định trách nhiệm nghiêm ngặt.
- Định kỳ thực hiện kiểm toán CNTT (IT Audit) và kiểm toán chất lượng dữ liệu để phát hiện sớm các lỗ hổng hệ thống.
- Hàm ý cho các hội nghề nghiệp và cơ quan quản lý (Policy Recommendations):
- Các tổ chức nghề nghiệp như Hội Kế toán và Kiểm toán Việt Nam (VAA), VACPA cần tích hợp chuẩn mực kiểm toán CNTT vào chương trình đào tạo cập nhật kiến thức thường niên.
- Bộ Tài chính cần sớm ban hành Thông tư hướng dẫn chi tiết về khung quản trị rủi ro CNTT áp dụng riêng cho hệ thống thông tin kế toán doanh nghiệp, tương tự chuẩn mực an toàn thông tin ngành ngân hàng (Thông tư 09/2020/TT-NHNN).
Limitations và Future Research
Mặc dù đạt được những kết quả đột phá, luận án thẳng thắn thừa nhận các giới hạn nghiên cứu:
GIỚI HẠN & HƯỚNG NGHIÊN CỨU TƯƠNG LAI
- Giới hạn 1 (Về biến số môi trường): Luận án tập trung chủ yếu vào môi trường kiểm soát nội bộ mà chưa lượng hóa tác động của các yếu tố ngoại vi như hành lang pháp lý an ninh mạng quốc gia, rủi ro từ nhà cung cấp dịch vụ đám mây công cộng (Public Cloud Providers) và rủi ro chuỗi cung ứng số.
- Giới hạn 2 (Về thiết kế dữ liệu): Dữ liệu khảo sát mang tính chất cắt ngang tại một thời điểm (tháng 02 - 03/2020), chưa phản ánh được độ trễ thời gian (time lag) giữa thời điểm rủi ro CNTT xuất hiện và thời điểm chất lượng thông tin kế toán bị suy giảm trên báo cáo tài chính công bố.
- Giới hạn 3 (Về tính đại diện mẫu): Phương pháp chọn mẫu phi ngẫu nhiên kết hợp có thể làm giảm phần nào tính tổng quát hóa cho toàn bộ các phân khúc doanh nghiệp đặc thù (như doanh nghiệp siêu nhỏ hoặc doanh nghiệp khởi nghiệp công nghệ).
Chương trình nghiên cứu tương lai (Future Research Agenda):
- Mở rộng mô hình nghiên cứu bằng việc tích hợp các công nghệ đột phá mới: Đánh giá rủi ro thuật toán trí tuệ nhân tạo (AI/Machine Learning) trong tự động hóa quy trình kế toán (RPA) và rủi ro hợp đồng thông minh trên nền tảng Blockchain.
- Thiết kế nghiên cứu dọc theo chuỗi thời gian (Longitudinal Study) để đánh giá tác động biến thiên liên tục của an ninh mạng đến tính hữu ích của thông tin kế toán trong các chu kỳ kinh doanh khác nhau.
- Thực hiện nghiên cứu so sánh xuyên quốc gia (Cross-country Comparative Study) giữa các quốc gia trong khu vực ASEAN (Việt Nam, Indonesia, Thái Lan, Malaysia) nhằm làm rõ tác động điều tiết của thể chế và mức độ trưởng thành số của nền kinh tế.
Tác động và ảnh hưởng
- Tác động học thuật (Academic Impact): Công trình là tài liệu tham khảo chuẩn mực, cung cấp hệ thống thang đo đã được thẩm định cho các nghiên cứu sinh, học viên cao học chuyên ngành Kế toán - Kiểm toán và Hệ thống Thông tin Quản lý (MIS). Dự báo công trình sẽ thu hút chỉ số trích dẫn cao trong các nghiên cứu về quản trị rủi ro công nghệ thông tin tại thị trường mới nổi.
- Chuyển đổi khu vực công nghiệp (Industry Transformation): Định hướng trực tiếp cho các doanh nghiệp thuộc các ngành thâm dụng dữ liệu (tài chính, ngân hàng, bán lẻ, sản xuất quy mô lớn) tái cấu trúc hệ sinh thái kế toán số; xây dựng quy trình kiểm soát nội bộ đối với phần cứng, phần mềm và quản trị dữ liệu tập trung.
- Tác động chính sách và quản lý nhà nước (Policy Influence): Cung cấp luận cứ khoa học thực chứng để Bộ Tài chính, Bộ Thông tin và Truyền thông, cùng các cơ quan kiểm toán nhà nước ban hành các tiêu chuẩn kỹ thuật số và khung hướng dẫn kiểm toán hệ thống thông tin kế toán trong doanh nghiệp.
- Lợi ích xã hội và hội nhập quốc tế (Societal Benefits & Global Relevance): Nâng cao tính trung thực, minh bạch của thông tin kế toán, bảo vệ quyền lợi hợp pháp của các nhà đầu tư và cổ đông, từ đó giảm thiểu chi phí vốn xã hội và gia tăng mức độ tín nhiệm của thị trường tài chính Việt Nam trên trường quốc tế.
Đối tượng hưởng lợi
- Nghiên cứu sinh và Giới nghiên cứu học thuật: Tiếp cận một khung phân tích tích hợp hoàn chỉnh, kế thừa bộ thang đo 6 nhóm rủi ro CNTT đã kiểm định độ tin cậy và giá trị hội tụ, nhận diện các khoảng trống nghiên cứu tiềm năng về AI và Cloud Accounting.
- Giảng viên và Các nhà khoa học cao cấp: Tài liệu học thuật chuyên sâu phục vụ giảng dạy các học phần cao học: Hệ thống thông tin kế toán nâng cao, Kiểm toán CNTT, và Quản trị rủi ro doanh nghiệp.
- Giám đốc Tài chính (CFO), Kế toán trưởng và Bộ phận R&D doanh nghiệp: Sở hữu cẩm nang thực chứng để nhận diện chính xác các "điểm nghẽn" rủi ro công nghệ trong doanh nghiệp; tối ưu hóa phân bổ ngân sách đầu tư giữa phần cứng, phần mềm và đào tạo nhân lực.
- Cơ quan quản lý và Tổ chức thiết lập chuẩn mực (MoF, VACPA, VAA): Căn cứ thực tiễn để xây dựng các văn bản quy phạm pháp luật, chuẩn mực kế toán - kiểm toán liên quan đến môi trường xử lý dữ liệu điện tử.
Câu hỏi chuyên sâu
1. Đóng góp lý thuyết độc đáo nhất của luận án là gì và lý thuyết nào được mở rộng sâu sắc nhất?
Đóng góp lý thuyết độc đáo nhất là việc luận án đã mở rộng Mô hình Thành công Hệ thống Thông tin DeLone & McLean (2003, 2016) bằng cách tích hợp cách tiếp cận "rủi ro tiêu cực" (negative risk perspective). Thay vì chỉ xem xét các động lực tích cực hỗ trợ hệ thống như các nghiên cứu truyền thống, luận án đã lượng hóa và chứng minh thực nghiệm rằng 6 chiều cạnh rủi ro CNTT đóng vai trò là các lực cản trực tiếp triệt tiêu CLHTTTKT. Đồng thời, luận án làm giàu thêm Lý thuyết Cấu trúc (Structuration Theory) khi chứng minh sự tương tác hai chiều: Rủi ro con người và văn hóa tổ chức có thể làm biến dạng hoàn toàn hiệu năng của cấu trúc công nghệ kế toán.
2. Đổi mới phương pháp luận của luận án thể hiện ra sao khi so sánh với ít nhất 2 nghiên cứu quốc tế trước đây?
So với nghiên cứu của Davis (1997) và Wang & He (2011) vốn chủ yếu sử dụng phương pháp định tính mô tả hoặc thống kê tần suất giản đơn, luận án đã thực hiện bước nhảy vọt về phương pháp khi áp dụng quy trình hỗn hợp tuần tự nghiêm ngặt: Kết hợp phỏng vấn sâu chuyên gia đa ngành (saturation point) để tinh chỉnh thang đo và mô hình hóa cấu trúc tuyến tính SEM trên mẫu N = 368. So với nghiên cứu của AL-Amro và cs (2017) chỉ dùng hồi quy OLS hạn chế trong ngành ngân hàng, luận án kiểm soát chặt chẽ sai số đo lường (measurement error) qua CFA và phân tích đa nhóm One-Way ANOVA để đánh giá sai biệt toàn diện trên bình diện nền kinh tế.
3. Phát hiện nào trong dữ liệu mang tính bất ngờ nhất và lời giải thích lý thuyết đằng sau là gì?
Phát hiện bất ngờ nhất là sự hội tụ hoàn toàn của hai nhân tố "Rủi ro phần mềm" và "Rủi ro dữ liệu" thành một nhân tố cấu trúc duy nhất: "Rủi ro phần mềm và dữ liệu" trong quá trình phân tích nhân tố khám phá (EFA) và khẳng định (CFA). Dưới góc độ lý thuyết kiến trúc hệ thống thông tin, điều này hoàn toàn hợp lý: Trong kỷ nguyên phần mềm kế toán hiện đại và cơ sở dữ liệu quan hệ (RDBMS), phần mềm chính là giao diện và thuật toán điều khiển dữ liệu; người dùng không còn nhìn nhận dữ liệu tách rời khỏi ứng dụng xử lý. Lỗi phần mềm đồng nghĩa với hỏng hóc dữ liệu, và nguy cơ dữ liệu bị rò rỉ luôn gắn liền với lỗ hổng bảo mật của phần mềm.
CƠ CHẾ HỘI TỤ BẢN CHẤT: PHẦN MỀM VÀ DỮ LIỆU
[Phân tách 2 thứ nguyên rời rạc] [Hội tụ tất yếu trong môi trường số]
4. Luận án có cung cấp giao thức tái lập nghiên cứu (Replication Protocol) hoàn chỉnh không?
Luận án cung cấp một giao thức tái lập nghiên cứu vô cùng minh bạch và chi tiết:
- Toàn bộ danh mục thang đo nháp và thang đo chính thức được công bố chi tiết tại các Phụ lục (Phụ lục 5, 22).
- Tiêu chí lựa chọn chuyên gia định tính và mẫu định lượng được lượng hóa rõ ràng (Phụ lục 6, 21).
- Trình bày đầy đủ ma trận xoay nhân tố EFA (Phụ lục 36, 38), kết quả kiểm định KMO và Bartlett's (Phụ lục 34, 37, 39), bảng hệ số tải nhân tố chuẩn hóa CFA, các chỉ số độ tin cậy CR, AVE, MSV (Bảng 4.13, 4.15) và bảng hệ số hồi quy SEM (Bảng 4.16, 4.17). Các nhà nghiên cứu khác hoàn toàn có thể sử dụng nguyên vẹn bộ công cụ này để tái lập tại các thị trường khác.
5. Chương trình nghiên cứu 10 năm tới được phác thảo với các trọng tâm nào?
Chương trình nghiên cứu 10 năm tới tập trung vào 3 trụ cột:
- Trụ cột 1: Mở rộng sang không gian điện toán đám mây (Cloud AIS) và nền tảng kế toán phi tập trung (Blockchain Accounting).
- Trụ cột 2: Khảo sát chuyên sâu tác động của trí tuệ nhân tạo (AI/GenAI) và các hệ thống kiểm toán tự động liên tục (Continuous Auditing) đối với việc kiểm soát rủi ro gian lận thông tin tài chính.
- Trụ cột 3: Thiết lập mạng lưới khảo sát dọc đa quốc gia trong khu vực kinh tế Đông Nam Á nhằm chuẩn hóa khung đo lường an toàn HTTTKT chuẩn mực.
Kết luận
- Nhận diện và xác lập hệ thống 6 nhóm rủi ro CNTT: Công trình đã hệ thống hóa và chứng minh thực nghiệm 6 nhóm rủi ro công nghệ tác động tiêu cực đến HTTTKT trong doanh nghiệp Việt Nam bao gồm: Rủi ro nguồn lực con người ($\beta = -0.285$), Rủi ro phần mềm và dữ liệu ($\beta = -0.246$), Rủi ro cam kết quản lý ($\beta = -0.218$), Rủi ro ứng dụng tiến bộ CNTT ($\beta = -0.194$), Rủi ro phần cứng ($\beta = -0.172$), và Rủi ro văn hóa tổ chức ($\beta = -0.145$).
- Khám phá bước ngoặt về sự hội tụ thang đo: Phát hiện mang tính đột phá về sự hợp nhất giữa rủi ro phần mềm và rủi ro dữ liệu phản ánh chính xác quy luật tương tác công nghệ trong kỷ nguyên cơ sở dữ liệu số hóa.
- Chứng minh vai trò truyền dẫn trung tâm của CLHTTTKT: CLHTTTKT đóng vai trò trung gian then chốt, tác động cùng chiều mạnh mẽ ($\beta = 0.724$, $p < 0.001$) và giải thích hơn $52%$ chất lượng thông tin kế toán đầu ra, xác nhận rằng muốn nâng cao chất lượng thông tin thì điều kiện tiên quyết là phải bảo đảm an toàn và chất lượng của chính hệ thống vận hành.
- Phát triển thành công bộ công cụ đo lường chuẩn hóa: Xây dựng và kiểm định thành công hệ thống thang đo đo lường rủi ro CNTT trong môi trường kế toán với độ tin cậy và giá trị hội tụ, phân biệt đạt chuẩn quốc tế cao.
- Cung cấp hệ thống giải pháp quản trị thực chứng: Mở ra khung giải pháp toàn diện giúp các nhà quản trị doanh nghiệp, kiểm toán viên và cơ quan quản lý chuyển đổi mạnh mẽ từ mô hình phòng ngự thụ động sang quản trị rủi ro công nghệ chủ động, bảo đảm tính minh bạch và lành mạnh cho hệ thống tài chính doanh nghiệp.
