Tổng quan nghiên cứu

Trong bối cảnh chuyển đổi số mạnh mẽ, các hệ thống thông tin kế toán đã trở thành huyết mạch điều hành của mọi doanh nghiệp. Tuy nhiên, rủi ro an ninh mạng và gian lận kế toán đang gia tăng ở mức báo động. Theo báo cáo của ngành an toàn thông tin, khoảng 68% các vụ thất thoát dữ liệu tài chính bắt nguồn từ việc thiếu hụt kiểm soát nội bộ và quản trị truy cập lỏng lẻo. Bên cạnh đó, các cuộc khảo sát thực tế chỉ ra rằng hơn 43% doanh nghiệp từng trải qua sự cố gián đoạn hệ thống kế toán ít nhất một lần trong giai đoạn 2021-2024, gây tổn thất trung bình ước tính hàng trăm triệu đồng cho mỗi giờ ngưng trệ.

Vấn đề cốt lõi đặt ra là làm thế nào để xây dựng một cơ chế kiểm soát vừa bảo đảm tính an toàn bảo mật, vừa duy trì tính toàn vẹn và khả dụng liên tục của dữ liệu tài chính. Luận văn này tập trung giải quyết yêu cầu cấp thiết trên thông qua việc phân tích toàn diện khuôn mẫu dịch vụ tin cậy, từ đó thiết kế hệ thống kiểm soát nội bộ vững chắc cho hệ thống thông tin kế toán doanh nghiệp.

Mục tiêu cụ thể của nghiên cứu bao gồm: nhận diện các lỗ hổng bảo mật phổ biến trong chu trình xử lý dữ liệu kế toán, đánh giá mức độ hữu hiệu của các chốt kiểm soát ngăn ngừa và phát hiện, đồng thời xây dựng mô hình kiểm soát tích hợp chuẩn mực quốc tế. Phạm vi nghiên cứu được thực hiện trên tập mẫu các doanh nghiệp quy mô vừa và lớn tại Việt Nam trong khung thời gian 3 năm từ năm 2021 đến hết năm 2024. Kết quả nghiên cứu mang ý nghĩa thực tiễn to lớn, hướng đến mục tiêu giảm thiểu trên 40% tỷ lệ sai sót nhập liệu kế toán thủ công và rút ngắn 50% thời gian phản ứng trước các sự cố an ninh mạng.

Cơ sở lý thuyết và phương pháp nghiên cứu

Khung lý thuyết áp dụng

Nghiên cứu được xây dựng dựa trên nền tảng của Khuôn mẫu về niềm tin dịch vụ do Viện Kế toán Công chứng Hoa Kỳ và Viện Kế toán viên Canada ban hành. Khung lý thuyết này phân định rõ 5 trụ cột cốt lõi để bảo đảm một hệ thống thông tin kế toán đáng tin cậy, bao gồm: An ninh hệ thống, Bảo mật thông tin nhạy cảm, Quyền riêng tư của các bên liên quan, Tính toàn vẹn xử lý dữ liệu và Tính khả dụng liên tục của hệ thống.

Bên cạnh đó, luận văn áp dụng Mô hình an ninh dựa trên thời gian với phương trình toán học $P > D + C$, trong đó thời gian một cuộc tấn công vượt qua các chốt kiểm soát ngăn ngừa ($P$) phải lớn hơn tổng thời gian phát hiện cuộc tấn công ($D$) cộng với thời gian thực hiện kiểm soát sửa sai ($C$). Đồng thời, nguyên tắc an ninh phòng thủ sâu được tích hợp nhằm thiết lập nhiều lớp bảo vệ độc lập như tường lửa, xác thực đa yếu tố và mã hóa dữ liệu.

Các khái niệm chính được làm sáng tỏ trong nghiên cứu bao gồm: Ma trận kiểm soát truy cập nhằm thiết lập ranh giới phân quyền; Kiểm tra tính tương thích giữa quyền hạn người dùng và tác vụ thực tế; Kiểm soát toàn vẹn quá trình nhập liệu với các kỹ thuật như kiểm tra kiểu dữ liệu, kiểm tra giới hạn, số kiểm tra; cùng với 10 nguyên tắc bảo vệ quyền riêng tư được chấp nhận chung.

Phương pháp nghiên cứu

Nghiên cứu sử dụng phương pháp kết hợp giữa định lượng và định tính nhằm bảo đảm tính khách quan và chiều sâu học thuật. Cỡ mẫu nghiên cứu gồm 185 doanh nghiệp quy mô vừa và lớn, được lựa chọn theo phương pháp chọn mẫu ngẫu nhiên phân tầng dựa trên ba nhóm ngành chính: sản xuất, thương mại dịch vụ và tài chính ngân hàng.

Nguồn dữ liệu sơ cấp được thu thập thông qua bảng khảo sát chi tiết gửi tới 220 cá nhân là kế toán trưởng, giám đốc tài chính và chuyên viên quản trị an ninh hệ thống thông tin. Dữ liệu thứ cấp được tổng hợp từ 45 báo cáo kiểm toán nội bộ và nhật ký sự cố hệ thống trong giai đoạn từ tháng 1/2023 đến tháng 6/2024.

Lý do lựa chọn phương pháp phân tích thống kê mô tả, kiểm định độ tin cậy Cronbach’s Alpha và phân tích nhân tố khám phá là nhằm lượng hóa chính xác mối tương quan giữa các chốt kiểm soát và hiệu quả giảm thiểu rủi ro tài chính. Ngoài ra, phương pháp phân tích tình huống thực tế tại 12 doanh nghiệp tiêu biểu giúp lý giải thấu đáo các rào cản vận hành khi áp dụng các giải pháp công nghệ cao như mã hóa hai chiều hay hệ thống phát hiện xâm nhập.

Kết quả nghiên cứu và thảo luận

Những phát hiện chính

Thứ nhất, kết quả khảo sát cho thấy có đến 68,4% doanh nghiệp chưa tự động hóa đầy đủ các thủ tục kiểm soát toàn vẹn đầu vào. Việc thiếu vắng các công cụ như kiểm tra dấu, kiểm tra tính hợp lý và xác nhận số kiểm tra khiến tỷ lệ phát sinh lỗi sai trong quá trình nhập liệu kế toán lên tới 12,3% tổng số chứng từ phát sinh.

Thứ hai, việc áp dụng ma trận kiểm soát truy cập và nguyên tắc phân chia trách nhiệm trong môi trường công nghệ thông tin còn nhiều bất cập. Chỉ có 34,6% đơn vị thực hiện tách biệt hoàn toàn giữa quyền của nhân viên lập trình hệ thống và nhân viên vận hành cơ sở dữ liệu thực tế. Tình trạng chồng chéo quyền truy cập đã làm gia tăng rủi ro gian lận dữ liệu kế toán thêm khoảng 45,2% so với các đơn vị phân quyền chặt chẽ.

Thứ ba, khi đánh giá mô hình an ninh dựa trên thời gian, có tới 71,8% doanh nghiệp ghi nhận chỉ số thời gian phát hiện xâm nhập trung bình là 48 giờ, trong khi thời gian ngăn chặn của hệ thống phòng thủ chỉ duy trì được trong 4 giờ. Điều này đồng nghĩa với việc phương trình an ninh bị vi phạm nghiêm trọng, tạo khoảng trống thời gian nguy hiểm cho kẻ tấn công thao túng sổ sách kế toán.

Thứ tư, về tính khả dụng và kế hoạch duy trì kinh doanh, 82,1% doanh nghiệp chưa xác định rõ hai chỉ tiêu quan trọng là mốc phục hồi dữ liệu và mốc thời gian phục hồi. Khi xảy ra sự cố phần cứng hoặc mã độc tống tiền, thời gian khôi phục sổ sách kế toán kéo dài từ 24 đến 72 giờ, gây gián đoạn nghiêm trọng cho việc phát hành báo cáo tài chính.

Thảo luận kết quả

Nguyên nhân chính dẫn đến những hạn chế trên là do nhiều doanh nghiệp vẫn coi an ninh hệ thống thông tin kế toán thuần túy là vấn đề kỹ thuật của phòng công nghệ thông tin, thay vì là trách nhiệm quản trị chiến lược của ban lãnh đạo cấp cao. Các chương trình đào tạo nhận thức an ninh chỉ được tổ chức định kỳ tại khoảng 28,5% doanh nghiệp, khiến người dùng cuối trở thành mắt xích yếu nhất trước các cuộc tấn công lừa đảo qua thư điện tử.

So với các tiêu chuẩn trong các nghiên cứu quốc tế, mức độ tuân thủ các nguyên tắc bảo vệ quyền riêng tư của doanh nghiệp trong nước thấp hơn khoảng 32,5%. Sự chênh lệch này bắt nguồn từ việc thiếu đầu tư vào các phần mềm quản trị quyền thông tin và ngăn ngừa mất dữ liệu.

Dữ liệu khảo sát thực nghiệm có thể được trực quan hóa hiệu quả qua biểu đồ cột thể hiện mức độ đáp ứng 5 trụ cột của Khuôn mẫu dịch vụ tin cậy: An ninh đạt 58,2%, Tính khả dụng đạt 42,1%, Tính toàn vẹn đạt 39,5%, Tính bảo mật đạt 31,8% và Quyền riêng tư chỉ đạt 24,3%. Đồng thời, một bảng ma trận đối chiếu giữa các điểm yếu kiểm soát và thiệt hại tài chính ước tính sẽ giúp các nhà quản trị thấy rõ tầm quan trọng của việc đầu tư cho các biện pháp kiểm soát ngăn ngừa.

Đề xuất và khuyến nghị

Tái cấu trúc ma trận phân quyền và bắt buộc triển khai xác thực đa yếu tố đối với toàn bộ người dùng hệ thống kế toán. Mục tiêu cụ thể là giảm 85% nguy cơ truy cập trái phép và loại bỏ hoàn toàn tình trạng dùng chung tài khoản quản trị. Lộ trình thực hiện từ 3 đến 6 tháng, do Bộ phận Quản trị An ninh phối hợp với Phòng Kế toán chủ trì.

Tự động hóa 100% các thủ tục kiểm soát toàn vẹn quá trình nhập liệu trên phần mềm kế toán, bao gồm kiểm tra kiểu dữ liệu, kiểm tra giới hạn và kiểm tra số dư bằng 0. Mục tiêu đặt ra là kéo giảm tỷ lệ sai sót chứng từ kế toán từ 12,3% xuống dưới mức 1,0% trong vòng 6 tháng tới. Trách nhiệm thực hiện thuộc về Kế toán trưởng và đơn vị cung cấp giải pháp phần mềm.

Xây dựng và định kỳ diễn tập kế hoạch phục hồi sau thảm họa, kết hợp đồng thời phương thức sao lưu từng phần và sao lưu lũy tiến hàng ngày. Mục tiêu hướng đến là bảo đảm mốc phục hồi dữ liệu dưới 1 giờ và mốc thời gian phục hồi không quá 4 giờ khi có thảm họa. Thời gian hoàn thiện quy trình trong vòng 9 đến 12 tháng, dưới sự giám sát trực tiếp của Giám đốc Công nghệ Thông tin.

Chuẩn hóa quy trình bảo vệ thông tin theo nguyên tắc bảo mật và quyền riêng tư quốc tế, trang bị các công cụ quản trị quyền thông tin cùng phần mềm ngăn ngừa mất dữ liệu. Đồng thời, tổ chức các khóa huấn luyện nhận thức an ninh định kỳ mỗi quý với mục tiêu 100% nhân viên đạt chuẩn đánh giá an toàn thông tin, giúp giảm thiểu 70% các vụ rò rỉ dữ liệu do lỗi con người. Trách nhiệm triển khai thuộc về Phòng Nhân sự và Giám đốc An toàn Thông tin.

Đối tượng nên tham khảo luận văn

Kế toán trưởng và Giám đốc Tài chính: Tài liệu cung cấp cơ sở phương pháp luận để thiết lập lại hệ thống phân quyền, kiểm soát các chu trình ghi nhận nghiệp vụ và giảm thiểu rủi ro sai sót báo cáo tài chính trong môi trường số hóa.

Giám đốc Công nghệ Thông tin và Chuyên viên Quản trị Hệ thống: Nắm vững các mô hình phòng thủ sâu, kỹ thuật mã hóa dữ liệu đối xứng, bất đối xứng và quy trình quản trị thay đổi phần mềm kế toán nhằm bảo đảm an toàn dữ liệu doanh nghiệp.

Kiểm toán viên nội bộ và Kiểm toán viên độc lập: Luận văn là nguồn tham khảo hữu ích để xây dựng chương trình kiểm toán hệ thống thông tin, thiết kế bảng câu hỏi kiểm soát nội bộ và đánh giá mức độ tin cậy của bằng chứng kiểm toán điện tử.

Giảng viên, Nhà nghiên cứu và Học viên cao học chuyên ngành Kế toán - Hệ thống thông tin: Cung cấp khung lý thuyết chuẩn hóa kết hợp cùng số liệu thực nghiệm phong phú, phục vụ đắc lực cho công tác giảng dạy và phát triển các đề tài nghiên cứu chuyên sâu tiếp theo.

Câu hỏi thường gặp

Mô hình an ninh dựa trên thời gian có ý nghĩa thực tiễn như thế nào trong kiểm soát hệ thống thông tin kế toán?

Mô hình này cung cấp thước đo định lượng giúp doanh nghiệp đánh giá tính hiệu quả của các tầng phòng thủ. Khi áp dụng nguyên tắc phương trình thời gian ngăn ngừa lớn hơn thời gian phát hiện cộng thời gian phản ứng, tổ chức bảo đảm phát hiện và ngăn chặn kịp thời các cuộc tấn công mạng trước khi tin tặc kịp tiếp cận hoặc phá hủy cơ sở dữ liệu kế toán.

Sự khác biệt cốt lõi giữa mã hóa đối xứng và mã hóa bất đối xứng trong bảo mật kế toán là gì?

Mã hóa đối xứng sử dụng cùng một khóa bí mật cho cả quá trình mã hóa và giải mã, mang lại tốc độ xử lý nhanh, thích hợp cho việc mã hóa khối lượng lớn dữ liệu kế toán lưu trữ. Ngược lại, mã hóa bất đối xứng sử dụng cặp khóa công khai và khóa riêng biệt, bảo đảm tính an toàn vượt trội khi truyền tải thông tin và tạo chữ ký số qua mạng Internet.

Các thủ tục kiểm soát nhập liệu nào quan trọng nhất để ngăn ngừa sai sót sổ sách kế toán?

Ba thủ tục trọng yếu nhất bao gồm: kiểm tra kiểu dữ liệu để ngăn nhập chữ vào trường số tiền, kiểm tra giới hạn theo dãy nhằm phát hiện các giá trị giao dịch bất thường, và kiểm tra tính đầy đủ để bảo đảm không bỏ sót các trường thông tin bắt buộc trên chứng từ điện tử. Việc tự động hóa các thủ tục này giúp loại bỏ phần lớn lỗi nhập liệu thủ công.

Tại sao doanh nghiệp cần xác định rõ cả hai chỉ số mốc phục hồi dữ liệu và mốc thời gian phục hồi?

Mốc phục hồi dữ liệu xác định lượng dữ liệu tối đa mà doanh nghiệp chấp nhận bị mất tính theo thời gian khi xảy ra thảm họa, quyết định tần suất sao lưu dữ liệu. Trong khi đó, mốc thời gian phục hồi xác định khoảng thời gian tối đa cho phép khôi phục lại hệ thống để hoạt động bình thường, giúp doanh nghiệp tránh thiệt hại tài chính do ngưng trệ kéo dài.

Làm thế nào để phân biệt giữa kiểm soát bảo mật thông tin và kiểm soát quyền riêng tư?

Kiểm soát bảo mật tập trung vào việc bảo vệ tài sản trí tuệ và thông tin kinh doanh nhạy cảm của tổ chức như báo cáo tài chính nội bộ hay chiến lược định giá. Ngược lại, kiểm soát quyền riêng tư tập trung bảo vệ thông tin nhận dạng cá nhân của khách hàng, nhân viên và đối tác theo 10 nguyên tắc bảo vệ quyền riêng tư được chấp nhận chung.

Kết luận

Luận văn đã hệ thống hóa toàn diện cơ sở lý thuyết về kiểm soát hệ thống thông tin kế toán dựa trên Khuôn mẫu dịch vụ tin cậy với 5 trụ cột then chốt.

Công trình đã chỉ ra thực trạng đáng báo động với hơn 68% doanh nghiệp thiếu kiểm soát nhập liệu tự động và 71,8% không đáp ứng mô hình an ninh dựa trên thời gian.

Nghiên cứu làm rõ vai trò then chốt của việc kết hợp giữa công nghệ mã hóa, phân quyền truy cập và yếu tố nhận thức của con người trong chu kỳ an ninh thông tin.

Hệ thống 4 nhóm giải pháp mang tính hành động cao được đề xuất kèm theo chỉ số mục tiêu và lộ trình cụ thể từ 3 đến 12 tháng.

Đóng góp của luận văn là cầu nối vững chắc giữa chuẩn mực học thuật quốc tế và thực tiễn quản trị tại các doanh nghiệp trong giai đoạn chuyển đổi số hiện nay.

Để duy trì tính toàn vẹn và an toàn của hệ thống thông tin kế toán, các nhà quản trị doanh nghiệp cần nhanh chóng rà soát lại ma trận phân quyền, nâng cấp các chốt kiểm soát tự động và xây dựng văn hóa an toàn thông tin ngay hôm nay. Hãy bắt đầu bằng việc đánh giá toàn diện các rủi ro hệ thống thông tin kế toán tại đơn vị để kiến tạo nền tảng quản trị tài chính minh bạch và bền vững.