Tổng quan luận án
Luận án tiến sĩ với đề tài "Ảnh hưởng của rủi ro công nghệ thông tin đến chất lượng thông tin kế toán trong các doanh nghiệp tại Việt Nam" thuộc chuyên ngành Kế toán (định hướng Hệ thống thông tin kế toán). Công trình kết hợp phương pháp nghiên cứu định tính và định lượng nhằm kiểm định thực nghiệm mối quan hệ tác động giữa các nhóm rủi ro công nghệ thông tin, các yếu tố tổ chức đối với chất lượng hệ thống thông tin kế toán và chất lượng thông tin kế toán đầu ra.
Tính cấp thiết và khoảng trống nghiên cứu
Kể từ thập niên 1990, sự xuất hiện của Internet, hệ thống hoạch định nguồn lực doanh nghiệp (ERP) và các hệ thống hỗ trợ ra quyết định đã thúc đẩy ứng dụng công nghệ thông tin trong công tác kế toán. Quá trình này đem lại hiệu quả vận hành nhưng cũng làm phát sinh các mối đe dọa an toàn thông tin (Davis, 1997; Korvin và cộng sự, 2004). Môi trường mạng máy tính phân tán làm gia tăng các lỗ hổng về an ninh vật lý, rò rỉ dữ liệu và gián đoạn vận hành (Yang và Jiang, 2014; Fang và Shu, 2016).
Tác giả luận án chỉ ra khoảng trống nghiên cứu: phần lớn các nghiên cứu trước đây về rủi ro công nghệ thông tin mới dừng lại ở việc nhận diện định tính hoặc thống kê mô tả sơ bộ mà chưa đo lường định lượng mức độ ảnh hưởng đến chất lượng hệ thống thông tin kế toán (CLHTTTKT) và chất lượng thông tin kế toán (CLTTKT). Đồng thời, các nghiên cứu về hệ thống thông tin kế toán đa phần chỉ xem xét các yếu tố quản trị nội bộ mà chưa tích hợp đầy đủ cả nhóm nhân tố tổ chức lẫn nhóm nhân tố công nghệ thông tin dưới lăng kính quản trị rủi ro tại các quốc gia đang phát triển như Việt Nam.
Mục tiêu và câu hỏi nghiên cứu
Mục tiêu nghiên cứu tổng quát của luận án là xác định, kiểm định và đo lường mức độ tác động của các nhân tố rủi ro công nghệ thông tin và nhân tố tổ chức đến CLHTTTKT, từ đó đánh giá sự tác động của CLHTTTKT đến CLTTKT tại các doanh nghiệp ở Việt Nam.
Hệ thống giả thuyết nghiên cứu được xây dựng gồm các giả thuyết thành phần:
- Giả thuyết H1: Rủi ro phần cứng có ảnh hưởng đến CLHTTTKT.
- Giả thuyết H2: Rủi ro phần mềm có ảnh hưởng đến CLHTTTKT.
- Giả thuyết H3: Rủi ro dữ liệu có ảnh hưởng đến CLHTTTKT.
- Giả thuyết H4: Rủi ro ứng dụng tiến bộ công nghệ thông tin có ảnh hưởng đến CLHTTTKT.
- Giả thuyết H5: Rủi ro nguồn lực con người có ảnh hưởng đến CLHTTTKT.
- Bên cạnh đó, luận án xây dựng các luận điểm liên quan đến ảnh hưởng của rủi ro cam kết quản lý, rủi ro văn hóa tổ chức đối với CLHTTTKT và tác động tiếp theo đến CLTTKT.
Đối tượng và phạm vi nghiên cứu
- Đối tượng nghiên cứu: Mối quan hệ tác động giữa các nhân tố rủi ro công nghệ thông tin (phần cứng, phần mềm, dữ liệu, tiến bộ công nghệ), các nhân tố tổ chức (con người, cam kết quản lý, văn hóa tổ chức) đến CLHTTTKT và CLTTKT.
- Khách thể và không gian nghiên cứu: Các doanh nghiệp đang hoạt động và vận hành hệ thống thông tin kế toán tại Việt Nam.
- Phạm vi nội dung: Tập trung vào môi trường bên trong của tổ chức, không phân tích các yếu tố môi trường bên ngoài như hành lang pháp lý hay công nghệ điện toán đám mây.
Tổng quan tài liệu và vị trí của luận án
Luận án thực hiện hệ thống hóa tài liệu học thuật theo bốn dòng nghiên cứu chính:
1. Nghiên cứu về rủi ro công nghệ thông tin và an toàn thông tin kế toán
Các công trình ban đầu của Davis (1997) và Korvin và cộng sự (2004) phân loại năm nhóm rủi ro đe dọa an toàn hệ thống: rủi ro dữ liệu và con người, rủi ro phần mềm, rủi ro phần cứng, rủi ro môi trường tự nhiên, và rủi ro ứng dụng tiến bộ công nghệ thông tin. Wang và He (2011) cùng Muhrtala và Ogundeji (2013) bổ sung rằng lỗi bộ nhớ, mất điện, tấn công mạng và sự thiếu hụt trình độ của người vận hành là nguyên nhân gây sụp đổ hệ thống. Yang và Jiang (2014) chỉ ra ba khía cạnh rủi ro trong môi trường mạng: rủi ro vật lý, rủi ro an toàn/toàn vẹn dữ liệu, và rủi ro vận hành. Fang và Shu (2016) chia rủi ro dữ liệu kế toán điện tử thành rủi ro vật lý, rủi ro hệ điều hành và rủi ro xử lý ứng dụng.
Các nghiên cứu ngành ngân hàng tại Jordan, Ghana và Libya của Talal H. Hayale và cộng sự (2008), Hanini (2012), Hossin và Ayedh (2016), Bansah (2018), Bawaneh (2018) khẳng định mối đe dọa chủ yếu xuất phát từ nội bộ nhân viên thông qua việc nhập dữ liệu sai sót, thiếu sao lưu dự phòng và vi phạm kiểm soát nội bộ.
2. Nghiên cứu về hệ thống thông tin kế toán và chất lượng hệ thống
Tại Việt Nam, các nghiên cứu về hệ thống ERP và hệ thống thông tin kế toán được thực hiện bởi Vũ Quốc Thông (2017), Nguyễn Phước Bảo Ấn (2018), Lương Đức Thuận (2018), Trần Văn Tùng và Võ Tấn Liêm (2019). Tác động của công nghệ thông tin đến công tác kế toán được Phan Đức Dũng và Phạm Anh Tuấn (2015) lượng hóa qua ba nhân tố: phần cứng, phần mềm và thông tin đầu ra; Trịnh Viết Giang (2017) phân tích theo ba giai đoạn: ghi nhận, xử lý - lưu trữ và kết xuất báo cáo.
Trên bình diện quốc tế, Wongsim (2013) chia các nhân tố ảnh hưởng thành: tổ chức, các bên liên quan, kỹ thuật công nghệ và bên ngoài. Carolina (2014), Wisna (2015), Napitupulu (2015), Omar và cộng sự (2016), Darma (2018), Meiryani và Susanto (2018), Nguyen và Nguyen (2020) nhấn mạnh vai trò của văn hóa tổ chức, cam kết của ban quản trị và năng lực hỗ trợ kỹ thuật đối với chất lượng hệ thống thông tin kế toán.
3. Nghiên cứu liên quan đến chất lượng thông tin kế toán
Các công trình của Al-Hiyari và cộng sự (2013), Rapina (2014), Meiryani (2014), Shien (2015), Fitriati và Mulyani (2015), Fitrios (2016), Mkonya và cộng sự (2018) chứng minh cam kết quản lý, năng lực người sử dụng và cơ cấu tổ chức có tác động tích cực đến các đặc tính của chất lượng thông tin kế toán như tính phù hợp, tính chính xác, tính kịp thời và tính đầy đủ.
4. Nghiên cứu về quan hệ giữa rủi ro công nghệ thông tin với CLHTTTKT và CLTTKT
Gunawardana (2017, trích dẫn Abu-Musa, 2007, 2009) chỉ ra việc không bảo đảm an toàn hệ thống thông tin kế toán trên máy tính dẫn đến thiệt hại tài chính. AL-Amro, Alnawaiseh, Bader và Alnawaiseh (2017) xác định rủi ro nhập liệu, rủi ro quản lý dữ liệu và rủi ro hệ thống ảnh hưởng trực tiếp đến chất lượng báo cáo tài chính tại các ngân hàng thương mại Jordan. Al Haija (2021) kết luận các sai sót nội bộ ngoài ý muốn là nguồn gốc chính gây tổn hại an toàn thông tin kế toán.
Bảng 1: Tổng hợp 4 dòng nghiên cứu tiền đề được luận án điểm luận
| Dòng nghiên cứu |
Tác giả tiêu biểu |
Trọng tâm phân tích |
| 1. Rủi ro công nghệ thông tin và an toàn hệ thống |
Davis (1997); Korvin và cs (2004); Yang & Jiang (2014); Fang & Shu (2016); Hanini (2012) |
Phân loại các mối đe dọa vật lý, phần mềm, phần cứng, dữ liệu và hành vi con người. |
| 2. Các nhân tố ảnh hưởng đến CLHTTTKT |
Wongsim (2013); Phan Đức Dũng & Phạm Anh Tuấn (2015); Nguyen & Nguyen (2020) |
Vai trò của hạ tầng kỹ thuật, sự hỗ trợ quản lý và các yếu tố tổ chức đối với hệ thống kế toán. |
| 3. Các nhân tố tác động đến CLTTKT |
Al-Hiyari và cs (2013); Rapina (2014); Fitriati & Mulyani (2015); Mkonya và cs (2018) |
Mối quan hệ giữa cam kết lãnh đạo, năng lực nhân sự và chất lượng thông tin báo cáo. |
| 4. Quan hệ rủi ro công nghệ thông tin và chất lượng kế toán |
Abu-Musa (2006, 2009); AL-Amro và cs (2017); Bansah (2018); Al Haija (2021) |
Đánh giá tác động tiêu cực của các lỗ hổng hệ thống thông tin kế toán đến độ tin cậy của báo cáo tài chính. |
Khoảng trống luận án giải quyết
Tác giả luận án xác định các nghiên cứu trước đây tồn tại ba khoảng trống cơ bản: (1) Nghiên cứu về rủi ro công nghệ thông tin đa số thực hiện định tính khám phá, thiếu mô hình kiểm định thực nghiệm định lượng; (2) Các mô hình CLHTTTKT và CLTTKT chủ yếu tiếp cận theo các biến tổ chức đơn thuần, bỏ qua các thành phần công nghệ thông tin hoặc ngược lại; (3) Chưa có công trình nào đánh giá tích hợp các nhóm rủi ro công nghệ thông tin trong mối quan hệ đa chiều với CLHTTTKT và CLTTKT tại thị trường doanh nghiệp Việt Nam.
Cơ sở lý thuyết và phương pháp nghiên cứu
Cơ sở lý thuyết và khung phân tích
Luận án sử dụng hai lý thuyết nền tảng kết hợp với mô hình thành công hệ thống thông tin và khung quản lý rủi ro chuẩn hóa:
-
Lý thuyết cấu trúc (Structuration Theory): Được phát triển bởi Giddens (1979, 1984), lý thuyết này xem xét tính hai mặt của cấu trúc xã hội gồm các quy tắc, chuẩn mực và nguồn lực tương tác với hành vi của con người. Walsham (1993, 2002) và Bratteteig và Gregory (1999) đã mở rộng lý thuyết cấu trúc sang lĩnh vực công nghệ thông tin. Luận án vận dụng lý thuyết này để giải thích vai trò của văn hóa tổ chức và hành vi của nhân sự kế toán trong việc vận hành, định hình và kiểm soát hệ thống thông tin kế toán.
-
Lý thuyết ngẫu nhiên (Contingency Theory): Bắt nguồn từ nghiên cứu tổ chức của Fiedler (1967), Galbraith (1973), Wetherbe và Whitehead (1977), Kast và Rosenzweig (1979), Otley (1980). Lý thuyết khẳng định không có một mô hình quản trị hay một hệ thống thông tin duy nhất nào phù hợp cho mọi tổ chức trong mọi hoàn cảnh. Hiệu quả hệ thống phụ thuộc vào sự tương thích giữa môi trường, công nghệ, cơ cấu tổ chức và đặc điểm lãnh đạo (Chenhall và Morris, 1986; Mahmood và Swanberg, 2001; Daoud và Triki, 2013). Luận án ứng dụng lý thuyết ngẫu nhiên để xác định các biến rủi ro công nghệ thông tin (phần cứng, phần mềm, dữ liệu, tiến bộ kỹ thuật) và các biến tổ chức (cam kết quản lý, nguồn lực con người, văn hóa tổ chức) tác động đến CLHTTTKT.
-
Mô hình thành công hệ thống thông tin DeLone và McLean (D&M): Phát triển từ nghiên cứu của Shannon và Weaver (1949) và Mason (1978), mô hình D&M (1992, cập nhật 2003, 2016) phân định ba cấp độ thông tin: kỹ thuật, ngữ nghĩa và hiệu quả. Luận án kế thừa mối quan hệ tuyến tính từ chất lượng hệ thống đến chất lượng thông tin kế toán đầu ra.
-
Khung quản lý rủi ro: Vận dụng định nghĩa rủi ro công nghệ thông tin theo khuôn mẫu COBIT 2009 của ISACA, Điều 2 Thông tư 09/2020/TT-NHNN, và quy trình quản trị rủi ro của Schou và Hernandez (2015) gồm các bước: đánh giá rủi ro (phân tích xác suất, tác động, điểm yếu kiểm soát) và phòng ngừa rủi ro (tránh rủi ro, giảm thiểu khả năng xảy ra, giảm hậu quả, chuyển giao rủi ro, chấp nhận rủi ro).
Bảng 2: Hệ thống lý thuyết nền tảng và cơ sở vận dụng trong mô hình luận án
| Lý thuyết / Khung tham chiếu |
Nguồn gốc học thuật |
Nội dung vận dụng trong luận án |
| Lý thuyết cấu trúc |
Giddens (1979, 1984); Walsham (1993, 2002) |
Luận giải sự tương tác giữa văn hóa doanh nghiệp, hành vi người sử dụng và cơ cấu quản trị hệ thống kế toán. |
| Lý thuyết ngẫu nhiên |
Galbraith (1973); Otley (1980); Daoud & Triki (2013) |
Xây dựng các nhóm nhân tố công nghệ và tổ chức tác động đến CLHTTTKT tùy theo điều kiện cụ thể. |
| Mô hình thành công D&M |
DeLone & McLean (1992, 2003, 2016); Mason (1978) |
Thiết lập mối quan hệ từ chất lượng hệ thống sang chất lượng thông tin kế toán. |
| Khung quản trị rủi ro |
ISACA (COBIT 2009); Schou & Hernandez (2015) |
Xác định khái niệm rủi ro công nghệ thông tin và cơ chế kiểm soát phòng ngừa rủi ro trong doanh nghiệp. |
Phương pháp nghiên cứu
Luận án áp dụng phương pháp nghiên cứu kết hợp:
- Phương pháp nghiên cứu định tính: Tổng quan tài liệu, kế thừa hệ thống thang đo từ các công trình nghiên cứu quốc tế và trong nước; tham vấn ý kiến chuyên gia kế toán và chuyên gia công nghệ thông tin để hiệu chỉnh thang đo phù hợp với bối cảnh thực tiễn tại các doanh nghiệp Việt Nam.
- Phương pháp nghiên cứu định lượng: Thiết kế bảng câu hỏi khảo sát, thu thập dữ liệu sơ cấp từ đối tượng kế toán viên, kiểm toán viên và nhà quản lý doanh nghiệp; sử dụng các kỹ thuật phân tích thống kê để kiểm định độ tin cậy thang đo, phân tích nhân tố và ước lượng mô hình hồi quy giải thích mối quan hệ giữa các biến số.
Nguồn tư liệu và dữ liệu
Nguồn tư liệu thứ cấp bao gồm các bài báo khoa học trên các tạp chí chuyên ngành quốc tế và Việt Nam, sách chuyên khảo về hệ thống thông tin kế toán (Romney và Steinbart, 2018; Bodnar và Hopwood, 2013; Stair và Reynolds, 2010), các tài liệu chuẩn mực COBIT 2009 và văn bản quy phạm pháp luật (Thông tư 09/2020/TT-NHNN). Nguồn dữ liệu sơ cấp được thu thập thông qua khảo sát thực tế tại các doanh nghiệp hoạt động trên lãnh thổ Việt Nam.
Nội dung chính theo từng chương
Chương 1 – Tổng quan nghiên cứu
Chương 1 thiết lập bức tranh tổng thể về các công trình nghiên cứu liên quan đến đề tài, được cấu trúc theo bốn nội dung chính:
Thứ nhất, tổng quan các nghiên cứu về rủi ro công nghệ thông tin và an toàn thông tin trong môi trường kế toán. Tác giả tổng hợp các bằng chứng cho thấy rủi ro công nghệ thông tin xuất hiện từ khi các hệ thống kế toán chuyển từ ghi chép thủ công sang xử lý tin học hóa. Năm nhóm rủi ro chính được tổng kết gồm: rủi ro con người (hành vi bất cẩn hoặc phá hoại dữ liệu), rủi ro phần mềm (lỗi ứng dụng, mã độc, virus), rủi ro phần cứng (hư hỏng thiết bị, kiểm soát vật chất yếu kém), rủi ro tiến bộ công nghệ (không tương thích hệ thống cũ - mới, độ phức tạp công nghệ) và rủi ro dữ liệu (suy giảm tính toàn vẹn và bảo mật).
Thứ hai, tổng quan các nghiên cứu về hệ thống thông tin kế toán và chất lượng hệ thống. Tác giả điểm luận các công trình về ứng dụng ERP tại Việt Nam (Vũ Quốc Thông, 2017; Lương Đức Thuận, 2018) và các nhân tố công nghệ cấu thành hiệu quả hệ thống (Phan Đức Dũng và Phạm Anh Tuấn, 2015). Đồng thời, tác giả phân tích các yếu tố tổ chức ảnh hưởng đến CLHTTTKT theo quan điểm của các học giả quốc tế (Wongsim, 2013; Wisna, 2015; Napitupulu, 2015).
Thứ ba, tổng quan các nghiên cứu liên quan đến chất lượng thông tin kế toán. Phân tích chỉ ra các yếu tố tổ chức như sự hỗ trợ của lãnh đạo, văn hóa đơn vị và năng lực người dùng có tác động quyết định đến tính chính xác, kịp thời và minh bạch của thông tin kế toán (Rapina, 2014; Shien, 2015; Mkonya và cộng sự, 2018).
Thứ tư, tổng quan về mối quan hệ giữa rủi ro công nghệ thông tin với CLHTTTKT và CLTTKT. Tác giả chỉ ra các rủi ro phát sinh từ việc vận hành hệ thống kế toán trên máy tính làm gián đoạn dòng thông tin và làm sai lệch báo cáo tài chính (AL-Amro và cộng sự, 2017; Bansah, 2018). Từ việc tổng hợp này, chương 1 xác định khoảng trống nghiên cứu, phạm vi khảo sát và định hướng xây dựng mô hình nghiên cứu của đề tài.
Chương 2 – Cơ sở lý thuyết và xây dựng giả thuyết, mô hình nghiên cứu
Chương 2 trình bày định nghĩa các khái niệm khoa học, các lý thuyết nền tảng, thiết lập mô hình nghiên cứu và luận giải hệ thống các giả thuyết:
- Khái niệm và định nghĩa vận dụng:
- Hệ thống thông tin kế toán: Là hệ thống tích hợp các nguồn lực gồm con người, thủ tục, dữ liệu, phần mềm và hạ tầng công nghệ thông tin nhằm thu thập, lưu trữ, xử lý dữ liệu và cung cấp thông tin phục vụ việc ra quyết định (Romney và Steinbart, 2018; Bodnar và Hopwood, 2013).
- Rủi ro công nghệ thông tin: Khả năng phát sinh tổn thất liên quan đến việc quản lý, vận hành phần cứng, phần mềm, dữ liệu, truyền thông và nhân tố con người trong quá trình ứng dụng công nghệ thông tin tại doanh nghiệp (ISACA, 2009; Thông tư 09/2020/TT-NHNN).
- Rủi ro phần cứng: Các rủi ro hư hỏng thiết bị, lỗi vi xử lý, mất điện, kiểm soát vật chất yếu kém và tác động môi trường vật lý (Loch và cộng sự, 1992; Wang và He, 2011).
- Rủi ro phần mềm: Các sự cố phát sinh từ lỗi lập trình, phần mềm không bản quyền, dịch vụ hỗ trợ kém từ nhà cung cấp và sự xâm nhập của phần mềm độc hại (Wongsim, 2013; Laudon và Laudon, 2018).
- Rủi ro dữ liệu: Nguy cơ dữ liệu bị thu thập sai, mất mát, thay đổi trái phép hoặc rò rỉ trong quá trình lưu trữ và xử lý (Redman, 1992; Xu, 2003; Probst và cộng sự, 2010).
- Rủi ro ứng dụng tiến bộ công nghệ thông tin: Sự phức tạp của công nghệ mới, sự thiếu đồng bộ kiến trúc hệ thống và sự không tương thích với nhu cầu quản lý doanh nghiệp (Lucas và Olson, 1993; Korvin, 2004; Alter, 2004).
- Rủi ro nguồn lực con người: Thiếu hụt kỹ năng, trình độ chuyên môn, đào tạo không đầy đủ và thái độ bất cẩn của nhân sự vận hành hệ thống (Xu và cộng sự, 2003; Zhang và cộng sự, 2002).
- Rủi ro cam kết quản lý: Sự thiếu hụt quan tâm, thiếu phân bổ kinh phí và thiếu chỉ đạo trực tiếp từ ban lãnh đạo đối với dự án hệ thống thông tin (Thong và cộng sự, 1996; Meiryani, 2014).
- Rủi ro văn hóa tổ chức: Xung đột giá trị, thiếu phối hợp làm việc nhóm và các hành vi đi ngược lại chuẩn mực kiểm soát nội bộ (Griffin và Moorhead, 2012; Schein, 2017).
- Chất lượng hệ thống thông tin kế toán: Đo lường qua tính linh hoạt, tính tích hợp, độ tin cậy, tính dễ sử dụng và tính bảo mật của hệ thống (Sedera và Gable, 2004; Gorla và cộng sự, 2010).
Bảng 3: Tổng hợp các nhóm nhân tố rủi ro và các giả thuyết nghiên cứu chính
| Giả thuyết |
Nhân tố rủi ro tác động |
Nhân tố chịu tác động |
Cơ sở lý luận và tác giả tiền đề |
| H1 |
Rủi ro phần cứng |
CLHTTTKT |
Loch và cs (1992); Wang & He (2011); Phan Đức Dũng & Phạm Anh Tuấn (2015) |
| H2 |
Rủi ro phần mềm |
CLHTTTKT |
Zhang và cs (2002); Rajeshwaran & Gunawardana (2008); Laudon & Laudon (2018) |
| H3 |
Rủi ro dữ liệu |
CLHTTTKT |
Redman (1992); Lee & Strong (2003); Xu (2003); Laudon & Laudon (2018) |
| H4 |
Rủi ro ứng dụng tiến bộ CNTT |
CLHTTTKT |
Alter (2004); Korvin (2004); Abu-Musa (2006); Quinn & Strauss (2018) |
| H5 |
Rủi ro nguồn lực con người |
CLHTTTKT |
Xu và cs (2003); Wongsim (2013); Iskandar (2015); Shien (2015) |
- Luận giải các giả thuyết nghiên cứu:
Chương 2 lập luận chi tiết cho từng giả thuyết dựa trên Lý thuyết ngẫu nhiên và các bằng chứng thực nghiệm:
- Giả thuyết H1: Phần cứng là nền tảng vận hành của hệ thống kế toán. Các sự cố hỏng đĩa cứng, quá nhiệt, độ ẩm hoặc gián đoạn nguồn điện dẫn đến việc ngừng trệ hệ thống và làm mất mát dữ liệu kế toán vĩnh viễn, từ đó suy giảm chất lượng hệ thống.
- Giả thuyết H2: Phần mềm kế toán điều khiển toàn bộ quy trình tính toán và hạch toán. Phần mềm thiếu tính linh hoạt, tồn tại cửa sau bảo mật hoặc bị virus tấn công sẽ trực tiếp gây sai lệch chức năng xử lý thông tin.
- Giả thuyết H3: Dữ liệu kế toán đầu vào quyết định tính chính xác của thông tin đầu ra theo nguyên tắc dữ liệu kém chất lượng sẽ tạo ra báo cáo sai lệch. Rủi ro dữ liệu bị xâm nhập hoặc thao túng phá hủy độ tin cậy của hệ thống.
- Giả thuyết H4: Việc áp dụng công nghệ mới mà thiếu sự tương thích với quy trình kinh doanh hiện tại hoặc vượt quá khả năng tiếp thu của tổ chức sẽ tạo ra xung đột kỹ thuật và làm tăng độ phức tạp vận hành.
- Giả thuyết H5: Con người là nhân tố trung tâm kiểm soát và vận hành hệ thống. Nhân viên thiếu kiến thức chuyên môn hoặc không được đào tạo bài bản về an toàn thông tin sẽ là nguồn gốc trực tiếp gây ra các sai sót nhập liệu và lỗ hổng kiểm soát.
- Các mối quan hệ tổ chức: Sự thiếu cam kết của lãnh đạo dẫn đến sự thiếu hụt tài nguyên và định hướng, trong khi rủi ro văn hóa tổ chức gây cản trở sự chia sẻ thông tin và tuân thủ quy chế vận hành.
Kết quả và những đóng góp mới
Đóng góp mới về mặt lý luận
Luận án hệ thống hóa một cách toàn diện cơ sở lý thuyết về rủi ro công nghệ thông tin trong mối quan hệ với hệ thống thông tin kế toán. Đóng góp lý luận thể hiện ở việc tích hợp Lý thuyết cấu trúc và Lý thuyết ngẫu nhiên để thiết lập mô hình nghiên cứu đa biến, kết hợp đồng thời cả nhóm nhân tố rủi ro công nghệ thông tin (phần cứng, phần mềm, dữ liệu, tiến bộ công nghệ) và nhóm nhân tố tổ chức (con người, quản lý, văn hóa). Công trình kế thừa và điều chỉnh hệ thống thang đo đo lường rủi ro công nghệ thông tin phù hợp với góc nhìn kế toán và bối cảnh thể chế của một nền kinh tế đang phát triển.
Đóng góp mới về mặt thực tiễn và giải pháp đề xuất
Về mặt thực tiễn, luận án cung cấp căn cứ khoa học giúp các nhà quản trị doanh nghiệp, kiểm toán viên và cán bộ kế toán nhận diện rõ các nguồn gốc rủi ro công nghệ thông tin chủ yếu phát sinh từ môi trường nội bộ.
Dựa trên lý thuyết phòng ngừa rủi ro của Schou và Hernandez (2015), luận án định hướng các nhóm giải pháp kiểm soát cho doanh nghiệp:
- Thực hiện định kỳ quy trình đánh giá rủi ro công nghệ thông tin, phân tích khả năng xảy ra và mức độ thiệt hại của từng mối đe dọa.
- Áp dụng các giải pháp phòng ngừa cụ thể:
- Tránh rủi ro: Loại bỏ các ứng dụng hoặc công nghệ không an toàn, không rõ nguồn gốc.
- Giảm thiểu khả năng xảy ra: Ban hành quy chế an toàn thông tin bằng văn bản, đào tạo bắt buộc cho nhân viên kế toán về bảo mật, thường xuyên cập nhật bản vá phần mềm và chương trình chống virus.
- Giảm thiểu hậu quả: Thiết lập quy trình sao lưu dữ liệu dự phòng định kỳ, lập kế hoạch duy trì hoạt động kinh doanh liên tục khi gặp sự cố phần cứng hoặc mạng.
- Chuyển giao rủi ro: Sử dụng các hợp đồng bảo hiểm rủi ro công nghệ và dịch vụ hỗ trợ kỹ thuật chuyên nghiệp từ nhà cung cấp.
- Chấp nhận rủi ro: Xác định mức độ rủi ro còn lại có thể chấp nhận sau khi đã triển khai các biện pháp kiểm soát.
Hạn chế và hướng nghiên cứu tiếp
Văn bản luận án nêu rõ các giới hạn phạm vi nghiên cứu:
- Mô hình nghiên cứu chỉ tập trung phân tích các nhân tố rủi ro thuộc môi trường bên trong của tổ chức doanh nghiệp.
- Nghiên cứu chưa xem xét và lượng hóa tác động của các nhân tố thuộc môi trường bên ngoài như sự thay đổi của khung pháp lý quản lý nhà nước hoặc các mô hình công nghệ bên ngoài như dịch vụ điện toán đám mây.
Hướng nghiên cứu tiếp theo được tác giả đề xuất là mở rộng mô hình nghiên cứu nhằm đưa thêm các biến số môi trường bên ngoài và các nền tảng công nghệ phân tán mới vào kiểm định thực nghiệm.
Giá trị tham khảo
Luận án mang lại giá trị tham khảo cụ thể cho các nhóm đối tượng:
- Nghiên cứu sinh và học viên cao học chuyên ngành Kế toán - Hệ thống thông tin: Có thể tham khảo chương 1 và chương 2 để nắm bắt phương pháp tổng quan tài liệu học thuật theo từng dòng nghiên cứu, phương pháp vận dụng Lý thuyết ngẫu nhiên và Lý thuyết cấu trúc vào nghiên cứu kế toán thực nghiệm.
- Giảng viên đại học: Sử dụng khung phân loại rủi ro công nghệ thông tin và mô hình đánh giá CLHTTTKT làm tài liệu giảng dạy trong các học phần Hệ thống thông tin kế toán, Kiểm soát nội bộ và Kiểm toán công nghệ thông tin.
- Nhà quản lý doanh nghiệp, kiểm toán viên và kế toán trưởng: Tham khảo hệ thống các chỉ báo rủi ro phần cứng, phần mềm, dữ liệu và quy trình phòng ngừa rủi ro để rà soát, thiết lập hệ thống kiểm soát an toàn thông tin tại đơn vị.
Câu hỏi thường gặp
1. Luận án phân loại rủi ro công nghệ thông tin ảnh hưởng đến hệ thống kế toán thành những nhóm nào?
Căn cứ kết quả tổng quan tài liệu từ các nghiên cứu quốc tế và văn bản pháp quy, luận án tổng hợp rủi ro công nghệ thông tin thành năm nhóm chính thuộc môi trường bên trong: (1) Rủi ro con người; (2) Rủi ro phần mềm; (3) Rủi ro phần cứng; (4) Rủi ro ứng dụng tiến bộ công nghệ thông tin; và (5) Rủi ro dữ liệu.
2. Hai lý thuyết nền tảng nào được tác giả sử dụng để giải thích mô hình nghiên cứu?
Tác giả sử dụng Lý thuyết cấu trúc (Structuration Theory của Giddens) để luận giải mối quan hệ tương tác giữa văn hóa tổ chức, hành vi nhân sự và hệ thống kế toán; và Lý thuyết ngẫu nhiên (Contingency Theory) để giải thích sự phụ thuộc của chất lượng hệ thống kế toán vào sự tương thích giữa công nghệ, con người và cơ cấu tổ chức.
3. Theo luận án, các nhân tố rủi ro công nghệ thông tin xuất phát từ đâu là chủ yếu?
Tổng hợp từ các công trình nghiên cứu tiền đề (Hanini, 2012; Bansah, 2018; Al Haija, 2021), luận án chỉ ra rằng phần lớn các mối đe dọa an toàn đối với hệ thống thông tin kế toán phát sinh từ bên trong tổ chức, chủ yếu do sai sót ngoài ý muốn, sự thiếu đào tạo của nhân viên và yếu kém trong kiểm soát nội bộ, thay vì các cuộc tấn công có chủ đích từ bên ngoài.
4. Quy trình phòng ngừa rủi ro công nghệ thông tin được luận án tiếp cận theo những phương án nào?
Dựa trên nghiên cứu của Schou và Hernandez (2015), các giải pháp phòng ngừa rủi ro được luận án trình bày gồm năm lựa chọn: Tránh rủi ro, Giảm thiểu khả năng xảy ra, Giảm hậu quả, Chuyển giao rủi ro, và Chấp nhận rủi ro còn sót lại.
5. Phạm vi nghiên cứu của luận án có những giới hạn nào về mặt môi trường tổ chức?
Luận án giới hạn phạm vi nghiên cứu trong các nhân tố thuộc môi trường nội bộ doanh nghiệp. Các yếu tố môi trường vĩ mô bên ngoài như quy định pháp luật và các công nghệ lưu trữ ngoài như điện toán đám mây chưa được đưa vào mô hình khảo sát thực nghiệm.
Kết luận
Luận án của tác giả là một công trình nghiên cứu học thuật tập trung giải quyết mối quan hệ giữa rủi ro công nghệ thông tin, chất lượng hệ thống thông tin kế toán và chất lượng thông tin kế toán trong doanh nghiệp tại Việt Nam. Bằng việc tổng quan sâu sắc bốn dòng nghiên cứu và vận dụng vững chắc Lý thuyết ngẫu nhiên cùng Lý thuyết cấu trúc, tác giả đã thiết lập hệ thống giả thuyết H1 đến H5 làm nền tảng kiểm định định lượng. Công trình đã chỉ rõ khoảng trống nghiên cứu thực nghiệm tại các quốc gia đang phát triển và cung cấp khung phân tích khoa học cho công tác quản trị rủi ro hệ thống kế toán.
