CHƯƠNG 1: CƠ SỞ LÝ LUẬN VỀ HỆ THỐNG KIỂM SOÁT NỘI BỘ 1.1 Lịch sử hình thành và phát triển hệ thống KSNB Kiểm soát là khâu quan trọng trong quy trình quản lý hoạt động của doanh nghiệp. KSNB hình thành, phát triển và trở thành một hệ thống lý luận về vấn đề kiểm soát trong tổ chức không chỉ phục vụ cho kiểm toán viên mà còn liên quan mật thiết đến vấn đề về quản trị doanh nghiệp. Có thể khái quát quá trình phát triển của KSNB qua các giai đoạn sau đây: 1.1 Giai đoạn tiền COSO năm 1992 Từ những năm cuối thế kỷ 19, các kênh cung cấp vốn đã phát triển mạnh, trong đó ngân hàng là kênh cung cấp chủ yếu. Để được vay vốn, các đơn vị phải cần cung cấp các thông tin về tình hình tài chính của mình.
Việc kiểm tra các thông tin này có trung thực và hợp lý hay không cần có những người có năng lực, độc lập đảm nhiệm chức năng xác nhận. Từ đó các công ty kiểm toán độc lập ra đời (Công ty kiểm toán ra đời đầu tiên cuối thế kỷ 19 ở nước anh là công ty Price Waterhouse). Các kiểm toán viên đã sớm nhận thức rằng kiểm tra tất cả nghiệp vụ kinh tế phát sinh là điều không cần thiết mà chỉ cần chọn mẫu để kiểm tra và dựa vào việc đánh giá hệ thống KSNB của đơn vị được kiểm toán sử dụng trong việc xử lý, tập hợp các thông tin để lập báo cáo tài chính, vì vậy kiểm toán viên bắt đầu quan tâm đến KSNB. Hình thức ban đầu là kiểm soát tiền nhằm bảo vệ tiền không bị các nhân viên gian lận và do yêu cầu phát triển, các công ty cần có vốn và từ đó đưa đến nhu cầu tăng cường quản lý vốn và kiểm tra thông tin về sử dụng vốn.
Thuật ngữ KSNB bắt đầu xuất hiện từ giai đoạn này và không ngừng mở rộng ra khỏi việc bảo vệ tiền. Đến năm 1905, Rober Montgomery sáng lập viên của công ty kiểm toán Lybrand đồng thời cùng Ross Bros đưa ra thuật ngữ KSNB trong tác phẩm “Lý thuyết và thực hành kiểm toán”, đây là cơ sở về các thủ tục mà kiểm toán viên cần thực hiện. Năm 1936, Hiệp hội kế toán viên công chúng hoa kỳ (AICPA) công bố định nghĩa “KSNB là các biện pháp và cách thức được chấp nhận và được thực hiện trong 7 một tổ chức để bảo vệ tiền và các tài sản khác, cũng như kiểm tra sự chính xác trong ghi chép của sổ sách”. Vào năm 1949, AICPA đã định nghĩa kiểm toán nội bộ là: “… cơ cấu tổ chức và các biện pháp, cách thức liên quan được chấp nhận và thực hiện trong một số tổ chức để bảo vệ tài sản, kiểm tra sự chính xác và đáng tin cậy của số liệu kế toán, thúc đẩy hoạt động có hiệu quả, khuyến thích sự tuân thủ chính sách của nhà quản lý”.
Vào năm 1958, Ủy Ban thủ tục kiểm toán (CAP Committee on auditing procedure) trực thuộc AICPA Ban hành báo cáo về thủ tục kiểm toán 29 (Sap statement on auditing procedure) về: “Phạm vi xem xét KSNB của kiểm toán viên độc lập”, trong đó lần đầu tiên phân biệt KSNB về kế toán và KSNB về quản lý Đến năm 1962, thủ tục kiểm toán SAP 33 (1962) ra đời đã làm rõ hơn về phạm vi cần đánh giá về KSNB. KSNB về kế toán ảnh hưởng trực tiếp đến thông tin tài chính và do vậy kiểm toán viên cần đánh giá KSNB đối với vấn đề này. KSNB về quản lý thường chỉ liên quan gián tiếp đến thông tin tài chính, do vậy kiểm toán viên sẽ không bị buộc phải đánh giá chúng. Tuy nhiên, dù đã rất cố gắng nhưng định nghĩa trên vẫn còn rất mơ hồ.
Đến 1972, CAP tiếp tục Ban hành SAP 54 (1972): “Tìm hiểu và đánh giá KSNB” trong đó đưa ra 4 thủ tục kiểm soát kế toán, đó là đảm bảo nghiệp vụ chỉ được thực hiện khi đã được phê chuẩn, ghi nhận đúng đắn mọi nghiệp vụ để lập báo cáo, hạn chế sự tiếp cận tài sản và kiểm kê. Sau đó, AICPA ban hành các chuẩn mực kiểm toán (SAS – Statement on Auditing Standard) để thay thế cho các thủ tục kiểm toán (SAP), trong đó: SAS 1 (1973), duyệt xét lại SAP 54 và đưa ra định nghĩa về kiểm soát quản lý và kiểm soát kế toán như sau: Kiểm soát quản lý, không chỉ hạn chế ở kế hoạch tổ chức và các thủ tục, mà còn bao gồm quá trình ra quyết định cho phép thực hiện nghiệp vụ của nhà quản lý. Kiểm soát kế toán bao gồm các thủ tục và cách thức tổ chức ghi nhận vào sổ sách để bảo vệ tài sản, tính đáng tin cậy của số liệu. 8 Tất cả các khái niệm trên đã khẳng định sự quan tâm của nghề nghiệp kiểm toán đối với các bộ phận (yếu tố) cấu thành KSNB và đó chính là đối tượng nghiên cứu chuẩn mực kiểm toán.
Vào những thập niên 1970-1980, nền kinh tế của Hoa Kỳ cũng như nhiều quốc gia khác đã phát triển mạnh mẽ. Số lượng các công ty tăng nhanh đồng thời các vụ gian lận cũng ngày càng nhiều, với quy mô ngày càng lớn, gây ra tổn thất đáng kể cho nền kinh tế. Năm 1979, AICPA thành lập một Ủy Ban đặc biệt về KSNB. Lúc này đã có rất nhiều quan điểm khác nhau về KSNB hữu hiệu giữa các cơ quan quản lý nhà nước, các hội nghề nghiệp, giới doanh nhân và học giả dẫn đến việc hình thành một hệ thống lý luận có tính chuẩn mực về KSNB.
Các tranh luận trên cuối cùng đã đưa đến việc thành lập Ủy Ban COSO nhằm thống nhất và đưa ra một cách hiểu chung được chấp nhận rộng rãi về KSNB để phục vụ cho nhu cầu của các đối tượng khác nhau và cũng nhằm hỗ trợ các nhà quản lý doanh nghiệp thực hiện kiểm soát tốt hơn doanh nghiệp của mình bằng cách đưa ra các bộ phận cấu thành để giúp các đơn vị có thể xây dựng một HTKSNB hữu hiệu.2 Báo cáo COSO năm 1992 COSO (The Committee of Sponsoring Organizations of the Treadway Commission) là một Ủy Ban thuộc Hội đồng quốc gia Hoa kỳ về chống gian lận khi lập báo cáo tài chính (The National Commission on Fraudulent Financial Reporting hay còn gọi là Treadway Commission lấy theo tên của người lãnh đạo nhóm James C.Treadway, một luật sư và là cựu thành viên của SEC). Hội đồng quốc gia này được thành lập vào năm 1985 dưới sự bảo trợ của 5 tổ chức nghề nghiệp, mỗi tổ chức này đã chỉ định một đại diện để lập ra Ủy Ban COSO bao gồm: Hiệp hội kế toán viên công chứng Hoa Kỳ (AICPA), Hiệp hội kế toán Hoa Kỳ (American Accounting Association), Hiệp hội Quản trị viên tài chính (The Financial Executives Institute – FEI), Hiệp hội kế toán viên quản trị (Institute of Management Accountants – IMA), Hiệp hội Kiểm toán viên nội bộ (the Institute of Internal Auditors – IIA). 9 Qua quá trình nghiên cứu để tìm ra khuôn khổ chung về KSNB, vào năm 1992, COSO đã phát hành Báo cáo dưới tiêu đề “Kiểm toán nội bộ - Khuôn khổ hợp nhất (Internal Control – Integrated Frameword)”. Báo cáo COSO 1992 là tài liệu đầu tiên trên thế giới mang tầm nhìn rộng có tính quản trị, trong đó KSNB được mở rộng ra các lĩnh vực hoạt động tuân thủ thay vì giới hạn trong việc liên quan đến Báo cáo tài chính.
Đã đưa ra khuôn mẫu lý thuyết về KSNB một cách đầy đủ và có hệ thống. COSO đã định nghĩa đầy đủ về KSNB và chính thức dùng từ KSNB thay vì KSNB về kế toán. Hiện nay định nghĩa về KSNB của COSO được chấp nhận khá rộng rãi. Báo cáo COSO gồm 4 phần: Tóm tắt dành cho người điều hành, khuôn mẫu của KSNB, báo cáo cho các đối tượng bên ngoài, công cụ đánh giá HTKSNB.3 Báo cáo COSO năm 2004 Mùa thu năm 2001, nhằm đáp ứng nhu cầu quản lý rủi ro một cách hiệu quả bao quát hết cho các loại hình doanh nghiệp bởi các nhà quản lý luôn phải đối mặt với các rủi ro mới và phức tạp khi mà hoạt động kinh doanh ngày càng mở rộng và phát triển, COSO đề xuất nghiên cứu nhằm đưa ra một lý thuyết để giúp các tổ chức quản trị các rủi ro liên quan đến quá trình hoạt động.
Mặc dù đã tồn tại nhiều lý thuyết về quản trị rủi ro nhưng COSO vẫn khẳng định rằng cần thiết phải có một cách tiếp cận mới về rủi ro và phải xây dựng một khuôn mẫu lý thuyết cũng như các kỹ thuật áp dụng tương đương để các đơn vị có thể áp dụng phù hợp với điều kiện của mình. Công ty kiểm toán Price Waterhouse được chọn tham gia vào dự án này. Năm 2004, Báo cáo được hình thành trên cơ sở Báo cáo COSO 1992 và được công bố dưới tiêu đề: Quản trị rủi ro doanh nghiệp – Khuôn khổ hợp nhất. Theo Báo cáo của COSO năm 2004 thì quản trị rủi ro (QTRR) doanh nghiệp là một quá trình do hội đồng quản trị, các cấp quản lý và các nhân viên của đơn vị chi phối, được áp dụng trong việc thiết lập các chiến lược liên quan đến toàn đơn vị và áp dụng cho tất cả các cấp độ trong đơn vị, được thiết kế để nhận dạng các sự kiện tiềm 10 tàng có thể ảnh hưởng đến đơn vị và quản trị rủi ro trong phạm vi chấp nhận nhằm cung cấp một sự đảm bảo hợp lý về việc đạt được các mục tiêu của đơn vị.
QTRR có nội dung rộng và toàn diện hơn so với KSNB và được phát triển thêm trên cơ sở nội dung của KSNB nhằm quản lý rủi ro một cách hiệu quả hơn. Cần lưu ý rằng, ERM (2004) là “cánh tay nối dài” của báo cáo COSO (1992) chứ không nhằm thay thế cho báo cáo này. ERM gồm 8 yếu tố: Môi trường nội bộ, thiết lập mục tiêu, nhận diện sự kiện, đánh giá rủi ro, đối phó rủi ro, các hoạt động kiểm soát, thông tin truyền thông và giám sát. Về mặt cấu trúc, yếu tố Đánh giá rủi ro của KSNB được phát triển thành 4 yếu tố của QTRR: Thiết lập mục tiêu, Nhận dạng sự kiện tiềm tàng, Đánh giá rủi ro và Phản ứng với rủi ro.
Mặt khác nội dung cụ thể của vài yếu tố cũng có sự khác nhau, phần dưới đây trình bày sự mở rộng của QTRR so với KSNB về yếu tố môi trường quản lý, Đánh giá rủi ro, Thông tin và truyền thông. Môi trường quản lý: So với Báo cáo COSO 1992 thì mở rộng thêm nhân tố “Rủi ro có thể chấp nhận được”.