Tổng quan về luận án

Sự bùng nổ của cuộc Cách mạng Công nghiệp lần thứ tư và xu hướng chuyển đổi số toàn diện đã tái định hình phương thức vận hành hệ thống thông tin kế toán (HTTTKT - Accounting Information Systems - AIS) trong các tổ chức kinh tế. Quá trình tích hợp sâu rộng các thành tựu công nghệ thông tin (CNTT) vào chu trình xử lý dữ liệu tài chính mang lại lợi thế cạnh tranh vượt bậc nhưng đồng thời tạo ra môi trường rủi ro công nghệ đa chiều, tinh vi và khó kiểm soát. Báo cáo Rủi ro Toàn cầu năm 2020 của Diễn đàn Kinh tế Thế giới (WEF) đã xếp rủi ro CNTT vào nhóm 5 hiểm họa hàng đầu đe dọa nền kinh tế số, nổi bật với các sự cố cơ sở hạ tầng mạng, tấn công mã độc quy mô lớn và gian lận dữ liệu. Tại Việt Nam, báo cáo an ninh mạng năm 2020 của Tập đoàn Công nghệ Bkav chỉ ra thiệt hại do virus và sự cố máy tính gây ra đã vượt mức 1 tỷ USD (xấp xỉ 23,9 ngàn tỷ đồng). Trong bối cảnh đó, luận án tiến sĩ kinh tế của nghiên cứu sinh Đồng Quang Chung (chuyên ngành Kế toán, mã ngành 9340301, Đại học Kinh tế TP. Hồ Chí Minh - UEH) dưới sự hướng dẫn khoa học của PGS. Nguyễn Xuân Hưng và TS. Nguyễn Đình Hùng mang tính tiên phong khi tiếp cận toàn diện ảnh hưởng của rủi ro CNTT đến chất lượng thông tin kế toán (CLTTKT) thông qua vai trò trung gian của chất lượng hệ thống thông tin kế toán (CLHTTTKT).

Khoảng trống nghiên cứu (research gap) cốt lõi được xác định xuất phát từ sự mất cân đối trong y văn học thuật quốc tế và trong nước: các nghiên cứu trước đây về rủi ro CNTT trong kế toán (Davis, 1997; Korvin và cs, 2004; Abu-Musa, 2006; Wang & He, 2011; Yang & Jiang, 2014; Fang & Shu, 2016) chủ yếu dừng lại ở cấp độ định tính, nhận diện rủi ro dựa trên dữ liệu thứ cấp hoặc khảo sát mô tả mà thiếu kiểm định mô hình thực nghiệm định lượng; ngược lại, các công trình định lượng đo lường CLHTTTKT và CLTTKT (Al-Hiyari và cs, 2013; Rapina, 2014; Fitriati & Mulyani, 2015; Nguyen & Nguyen, 2020) lại tập trung quá mức vào các biến tổ chức (cam kết quản lý, văn hóa, cơ cấu tổ chức) mà bỏ qua khía cạnh rủi ro kỹ thuật số. Luận án đã giải quyết khoảng trống này thông qua 3 câu hỏi nghiên cứu (Research Questions - RQ):

  • RQ1: Các rủi ro CNTT nào ảnh hưởng trực tiếp và gián tiếp đến HTTTKT trong môi trường doanh nghiệp?
  • RQ2: Mức độ và chiều hướng tác động của các rủi ro CNTT được nhận diện lên CLHTTTKT và CLTTKT diễn ra như thế nào?
  • RQ3: Những hàm ý quản lý và chính sách nào cần được thiết lập cho doanh nghiệp và các tổ chức nghề nghiệp kế toán - kiểm toán nhằm kiểm soát rủi ro CNTT?

Hệ thống giả thuyết nghiên cứu được thiết lập chặt chẽ:

  • H1: Rủi ro phần cứng (Hardware Risk - HWR) có ảnh hưởng ngược chiều (-) đến CLHTTTKT.
  • H2: Rủi ro phần mềm và dữ liệu (Software & Data Risk - SWR_DATR) có ảnh hưởng ngược chiều (-) đến CLHTTTKT.
  • H3: Rủi ro ứng dụng tiến bộ CNTT (IT Advancement Risk - ITAR) có ảnh hưởng ngược chiều (-) đến CLHTTTKT.
  • H4: Rủi ro nguồn lực con người (Human Resource Risk - HRR) có ảnh hưởng ngược chiều (-) đến CLHTTTKT.
  • H5: Rủi ro cam kết quản lý (Management Commitment Risk - MCR) có ảnh hưởng ngược chiều (-) đến CLHTTTKT.
  • H6: Rủi ro văn hóa tổ chức (Organizational Culture Risk - OCR) có ảnh hưởng ngược chiều (-) đến CLHTTTKT.
  • H7: CLHTTTKT (AIS Quality - AISQ) có ảnh hưởng cùng chiều (+) đến CLTTKT (Accounting Information Quality - AIQ).

Luận án vận dụng nền tảng đa lý thuyết vững chắc bao gồm: Lý thuyết cấu trúc (Structuration Theory - Giddens, 1984; DeSanctis & Poole, 1994), Lý thuyết ngẫu nhiên (Contingency Theory - Otley, 1980; Chenhall, 2003), Mô hình thành công hệ thống thông tin DeLone & McLean (D&M IS Success Model, 2003, 2016), tích hợp cùng khuôn khổ quản trị rủi ro COSO ERM và tiêu chuẩn COBIT (ISACA/ITGI). Đóng góp đột phá của công trình nằm ở việc lượng hóa thực nghiệm toàn diện các chiều kích rủi ro CNTT trên mẫu khảo sát chính thức gồm 368 doanh nghiệp tại Việt Nam trong khung thời gian từ tháng 02/2020 đến tháng 03/2020, cung cấp bằng chứng xác thực về sự sáp nhập tự nhiên giữa rủi ro phần mềm và rủi ro dữ liệu trong kỷ nguyên kiến trúc thông tin tích hợp.

Literature Review và Positioning

Khung tổng quan tài liệu của luận án được cấu trúc theo 4 dòng nghiên cứu độc lập nhưng giao thoa chặt chẽ:

  1. Dòng nghiên cứu rủi ro CNTT và an ninh thông tin kế toán: Davis (1997) và Korvin và cs (2004) đặt nền móng khi phân loại 5 hiểm họa an ninh gồm rủi ro dữ liệu - con người, rủi ro phần mềm, rủi ro phần cứng, rủi ro môi trường và rủi ro từ tiến bộ công nghệ vượt trước năng lực kiểm soát. Rajeshwaran & Gunawardana (2008), Wang & He (2011) tiếp tục làm rõ việc mất an toàn phần cứng, lỗi phần mềm và trình độ nhân sự kế toán yếu kém dẫn đến sụp đổ hệ thống và sai lệch số liệu. Fang & Shu (2016) cùng Yang & Jiang (2014) nhấn mạnh rằng trong môi trường mạng mở, rủi ro vật lý, lỗ hổng hệ điều hành và rủi ro can thiệp phi pháp vào quy trình xử lý của ứng dụng có khả năng phá hủy tính toàn vẹn và xác thực của báo cáo tài chính mà không để lại dấu vết kiểm toán.
  2. Dòng nghiên cứu về HTTTKT và CLHTTTKT: Romney & Steinbart (2018) khẳng định: "HTTTKT có nhiệm vụ xử lý dữ liệu nhằm giúp người dùng có đủ thông tin để đi đến quyết định đúng đắn. HTTTKT mà được xây dựng tốt sẽ tạo ra giá trị cho tổ chức bao gồm: (1) cải thiện chất lượng và chi phí dịch vụ/ sản phẩm sẽ được cắt giảm, (2) cải thiện hiệu quả, (3) chia sẻ tri thức, (4) cải thiện sự hữu hiệu và hiệu quả của chuỗi cung ứng, (5) cải thiện cấu trúc của KSNB và (6) cải thiện việc ra quyết định." Các công trình của Wongsim (2013), Carolina (2014), Wisna (2015), Omar và cs (2016), Darma và cs (2018), Meiryani & Susanto (2018), cùng các nghiên cứu tại Việt Nam như Phan Đức Dũng & Phạm Anh Tuấn (2015), Vũ Quốc Thông (2017), Nguyễn Phước Bảo Ấn (2018), Lương Đức Thuận (2018), Trần Văn Tùng & Võ Tấn Liêm (2019), Nguyen & Nguyen (2020) đã chứng minh vai trò nền tảng của cam kết quản trị, năng lực người dùng và hạ tầng CNTT đối với hiệu năng AIS.
  3. Dòng nghiên cứu về các tiền tố tác động đến CLTTKT: Al-Hiyari và cs (2013), Rapina (2014), Meiryani (2014), Shien (2015), Fitriati & Mulyani (2015), Fitrios (2016), Mkonya và cs (2018) đồng thuận rằng CLTTKT (được đặc trưng bởi tính hữu ích, kịp thời, chính xác, đầy đủ và có thể kiểm chứng) chịu sự chi phối quyết định từ chất lượng vận hành của AIS và sự hỗ trợ chiến lược của ban quản trị cấp cao.
  4. Dòng nghiên cứu về mối quan hệ giữa rủi ro CNTT, CLHTTTKT và CLTTKT: Abu-Musa (2006, 2007, 2009) chỉ ra sự chênh lệch giữa tốc độ phát triển công nghệ và năng lực thích ứng kiểm soát nội bộ. Hanini (2012) và AL-Amro và cs (2017) chứng minh các sai phạm nhập liệu, vi rút mạng và thảm họa kỹ thuật làm xói mòn chất lượng báo cáo tài chính trong hệ thống ngân hàng.

Trong y văn tồn tại hai luồng quan điểm đối lập sâu sắc về nguồn gốc hiểm họa CNTT: Một trường phái (Yang & Jiang, 2014; Fang & Shu, 2016) tập trung vào các mối đe dọa kỹ thuật bên ngoài như tin tặc, phần mềm gián điệp, virus và sự cố hạ tầng vật lý. Ngược lại, trường phái thứ hai (Talal Hayale và cs, 2008; Hanini, 2012; Bansah, 2018; Al Haija, 2021) lập luận rằng phần lớn rủi ro nghiêm trọng bắt nguồn từ bên trong tổ chức do hành vi bất cẩn, nhập liệu sai sót, thiếu đào tạo và sự suy thoái văn hóa tuân thủ của con người.

Luận án định vị chính xác tại điểm giao thoa giữa hai trường phái này, dung hòa cả rủi ro công nghệ kỹ thuật (phần cứng, phần mềm, dữ liệu, tiến bộ CNTT) lẫn rủi ro tổ chức - hành vi (nguồn lực con người, cam kết quản lý, văn hóa tổ chức). So sánh với các nghiên cứu quốc tế điển hình như nghiên cứu của Hanini (2012) tại Jordan (chỉ khảo sát mô tả trong ngành ngân hàng) và Bansah (2018) tại Ghana (nghiên cứu định tính quy mô hẹp), luận án của Đồng Quang Chung vượt trội về tính khái quát hóa khi khảo sát đa ngành trên 368 doanh nghiệp, kết hợp phân tích mô hình phương trình cấu trúc tuyến tính (SEM) để kiểm định đồng thời các mối quan hệ đa tầng.

Đóng góp lý thuyết và khung phân tích

graph TD
    subgraph IT_Risks ["CÁC NHÂN TỐ RỦI RO CNTT"]
        HWR["Rủi ro phần cứng (HWR)"]
        SW_DATR["Rủi ro phần mềm & dữ liệu (SWR_DATR)"]
        ITAR["Rủi ro ứng dụng tiến bộ CNTT (ITAR)"]
        HRR["Rủi ro nguồn lực con người (HRR)"]
        MCR["Rủi ro cam kết quản lý (MCR)"]
        OCR["Rủi ro văn hoá tổ chức (OCR)"]
    end

    AISQ["CHẤT LƯỢNG HỆ THỐNG THÔNG TIN KẾ TOÁN (AISQ)<br/>• Tính dễ học hỏi, dễ sử dụng<br/>• Tính sẵn sàng, phản hồi nhanh<br/>• Độ tin cậy, tính linh hoạt<br/>• Tính tương tác & bảo mật"]
    
    AIQ["CHẤT LƯỢNG THÔNG TIN KẾ TOÁN (AIQ)<br/>• Dễ hiểu, kịp thời<br/>• Hữu ích, phục vụ mục đích<br/>• Kiểm tra được, khách quan<br/>• Trung thực, đầy đủ, nhất quán"]

    HWR -->|H1: - | AISQ
    SW_DATR -->|H2: - | AISQ
    ITAR -->|H3: - | AISQ
    HRR -->|H4: - | AISQ
    MCR -->|H5: - | AISQ
    OCR -->|H6: - | AISQ

    AISQ -->|H7: + | AIQ

    style IT_Risks fill:#f9f9f9,stroke:#333,stroke-width:1px
    style AISQ fill:#e1f5fe,stroke:#0288d1,stroke-width:2px
    style AIQ fill:#e8f5e9,stroke:#388e3c,stroke-width:2px

Đóng góp cho lý thuyết

Luận án mở rộng biên giới của Lý thuyết Cấu trúc Thích ứng (Adaptive Structuration Theory - DeSanctis & Poole, 1994) và Lý thuyết Cấu trúc (Giddens, 1984) bằng cách chứng minh công nghệ không chỉ là công cụ tĩnh mà tương tác biện chứng với hành vi con người và thể chế quản trị; rủi ro công nghệ xuất hiện khi có sự đứt gãy giữa cấu trúc kỹ thuật và năng lực chiếm lĩnh cấu trúc của người sử dụng. Đồng thời, nghiên cứu củng cố Lý thuyết Ngẫu nhiên (Contingency Theory - Otley, 1980; Chenhall, 2003) khi chứng minh hiệu năng của HTTTKT và CLTTKT không tồn tại phổ quát mà phụ thuộc vào mức độ tương thích giữa cơ chế kiểm soát nội bộ và môi trường rủi ro CNTT đặc thù.

Điểm đột phá mang tính chuyển dịch nhận thức luận (epistemological shift) của luận án là việc phát hiện sự hội tụ nhân tố giữa "Rủi ro phần mềm" (Software Risk - SWR) và "Rủi ro dữ liệu" (Data Risk - DATR) thành một cấu trúc khái niệm duy nhất: "Rủi ro phần mềm và dữ liệu". Trong các lý thuyết kế toán truyền thống, phần mềm và dữ liệu được xem xét như hai thực thể phân tách. Tuy nhiên, kết quả phân tích nhân tố khám phá (EFA) và khẳng định (CFA) thực nghiệm chỉ ra rằng trong môi trường cơ sở dữ liệu quan hệ và ERP hiện đại, phần mềm và dữ liệu gắn liền hữu cơ: lỗi mã hóa phần mềm lập tức làm biến dạng cấu trúc dữ liệu, và nguy cơ mất an toàn dữ liệu luôn phản chiếu lỗ hổng bảo mật của phần mềm.

Khung phân tích độc đáo

Khung phân tích của luận án tích hợp đa chiều 3 lý thuyết nền tảng và 2 khuôn khổ quản trị chuẩn mực:

  • Lý thuyết Cấu trúc (Giddens, 1984): Giải thích sự tương tác giữa quy tắc tổ chức, nguồn lực công nghệ và hành vi tác nghiệp của kế toán viên.
  • Lý thuyết Ngẫu nhiên (Otley, 1980): Nhận diện các điều kiện bất định từ môi trường công nghệ số tác động đến cấu trúc kiểm soát kế toán.
  • Mô hình Thành công Hệ thống Thông tin (DeLone & McLean, 2003, 2016): Định hình mối quan hệ nhân quả chuẩn tắc từ chất lượng hệ thống (AISQ) đến chất lượng thông tin (AIQ).
  • Khung chuẩn COSO ERM và COBIT (ISACA): Chuẩn hóa các mục tiêu kiểm soát an toàn, bảo mật và toàn vẹn thông tin.

Điều kiện biên (boundary conditions) của mô hình được xác lập cụ thể: áp dụng cho các doanh nghiệp đang hoạt động và vận hành HTTTKT trên lãnh thổ Việt Nam, trong phạm vi môi trường nội bộ doanh nghiệp, không đánh giá tác động từ môi trường vĩ mô bên ngoài hay kiến trúc điện toán đám mây công cộng thuần túy.

Phương pháp nghiên cứu tiên tiến

Thiết kế nghiên cứu

Luận án tuân thủ thế giới quan thực chứng (Positivism) kết hợp với chủ nghĩa hiện thực phê phán (Critical Realism) thông qua thiết kế nghiên cứu hỗn hợp tuần tự (Sequential Mixed Methods):

  • Giai đoạn định tính: Khảo cứu tài liệu học thuật và tiến hành phỏng vấn sâu cá nhân/thảo luận nhóm với các chuyên gia đầu ngành có thâm niên tối thiểu 10 năm công tác (bao gồm Kế toán trưởng, Giám đốc CNTT - CIO, Giám đốc Tài chính - CFO, Kiểm toán viên cao cấp về CNTT thuộc các công ty kiểm toán Big 4/quốc tế và giảng viên chuyên ngành tại các trường đại học) nhằm điều chỉnh mô hình khái niệm và hoàn thiện bảng câu hỏi thang đo nháp lần 2.
  • Giai đoạn định lượng: Thực hiện qua 2 bước: nghiên cứu định lượng sơ bộ để sàng lọc sơ bộ thang đo và nghiên cứu định lượng chính thức trên quy mô lớn. Đơn vị phân tích (unit of analysis) là cấp độ doanh nghiệp.

Quy trình nghiên cứu rigorous

Quy trình thu thập và xử lý dữ liệu được tiến hành với tiêu chuẩn học thuật nghiêm ngặt:

  • Phương pháp chọn mẫu: Phối hợp kỹ thuật chọn mẫu ngẫu nhiên phân tầng và thuận tiện, tiếp cận mạng lưới cựu học viên cao học, các hội nghề nghiệp kiểm toán (VACPA) và mạng lưới doanh nghiệp tại các trung tâm kinh tế trọng điểm.
  • Kích thước mẫu chính thức: 368 bảng câu hỏi hợp lệ được thu thập từ 368 doanh nghiệp riêng biệt (đại diện bởi Kế toán viên, Kế toán trưởng, Kiểm toán viên, Trưởng phòng Tài chính, Ban Giám đốc điều hành). Cơ cấu mẫu phong phú: Công ty Cổ phần (chiếm tỷ trọng cao nhất), Công ty TNHH, Doanh nghiệp FDI, Doanh nghiệp Nhà nước; trải rộng trên các lĩnh vực thương mại, dịch vụ, sản xuất, xây dựng với quy mô từ nhỏ, vừa đến lớn.
  • Thiết bị đo lường: Thang đo Likert 5 điểm (1: Hoàn toàn không đồng ý đến 5: Hoàn toàn đồng ý) kế thừa từ các thang đo chuẩn quốc tế và hiệu chỉnh qua phỏng vấn chuyên gia.
  • Tam giác giác hóa (Triangulation): Kết hợp tam giác hóa lý thuyết (đa lý thuyết), tam giác hóa dữ liệu (thu thập từ nhiều vị trí quản lý và kế toán khác nhau) và tam giác hóa phương pháp (định tính sâu kết hợp định lượng cấu trúc).

Data và phân tích

Quy trình phân tích dữ liệu được thực hiện trên phần mềm SPSS phiên bản 20.0 và AMOS phiên bản 20/24 qua các kỹ thuật tiên tiến:

  1. Kiểm định độ tin cậy Cronbach’s Alpha: Toàn bộ các thang đo đều đạt độ tin cậy vượt trội:
    • Rủi ro phần cứng (HWR - 5 biến): $\alpha = 0.892$.
    • Rủi ro phần mềm (SWR): Lần 1 gồm 6 biến ($\alpha = 0.806$, biến SWR6 có hệ số tương quan biến - tổng Corrected Item-Total Correlation $= 0.270 < 0.30$ nên bị loại); Lần 2 gồm 5 biến (SWR1 đến SWR5) đạt $\alpha = 0.833$.
    • Rủi ro dữ liệu (DATR - 5 biến): $\alpha = 0.838$.
    • Rủi ro ứng dụng tiến bộ CNTT (ITAR - 4 biến): $\alpha = 0.801$.
    • Rủi ro nguồn lực con người (HRR - 4 biến): $\alpha = 0.834$.
    • Rủi ro cam kết quản lý (MCR - 4 biến): $\alpha = 0.847$.
    • Rủi ro văn hóa tổ chức (OCR - 5 biến): $\alpha = 0.780$ (sau đó trong phân tích EFA loại tiếp OCR4 và OCR5 do hệ số tải thấp).
    • Chất lượng HTTTKT (AISQ - 9 biến): $\alpha = 0.909$.
    • Chất lượng TTKT (AIQ - 9 biến): $\alpha = 0.913$.
  2. Phân tích nhân tố khám phá (EFA): Sử dụng phương pháp trích Principal Axis Factoring với phép xoay Promax.
    • Kiểm định KMO nhân tố độc lập lần 2: đạt giá trị cao $0.910$, kiểm định Bartlett’s đạt $\chi^2 = 5311.333$ ($df = 435, p = 0.000$). Tổng phương sai trích đạt $56.393%$ tại giá trị Eigenvalue $= 1.395$.
    • Điểm đặc biệt: 5 biến phần mềm (SWR1-SWR5) và 5 biến dữ liệu (DATR1-DATR5) cùng hội tụ vào Factor 1 với hệ số tải dao động từ $0.653$ đến $0.752$, định hình biến phức hợp mới "Rủi ro phần mềm và dữ liệu".
    • Kiểm định KMO nhân tố phụ thuộc: đạt $0.910$, kiểm định Bartlett’s đạt $\chi^2 = 3524.547$ ($df = 153, p = 0.000$), trích thành công 2 nhân tố riêng biệt (AISQ và AIQ) với tổng phương sai trích đạt $53.530%$.
  3. Phân tích nhân tố khẳng định (CFA) và Mô hình cấu trúc tuyến tính (SEM):
    • Độ tương thích mô hình biến độc lập: $\chi^2/df (CMIN/DF) = 1.233 \le 2$ ($p = 0.001$), $GFI = 0.919 > 0.90$, $AGFI = 0.903 > 0.80$, $CFI = 0.982 > 0.95$, $TLI = 0.980 > 0.95$, $RMSEA = 0.025 \le 0.05$ (PCLOSE = $1.000$).
    • Độ tương thích mô hình biến phụ thuộc: $CMIN/DF = 1.121$ ($p = 0.160$), $GFI = 0.958$, $AGFI = 0.946$, $CFI = 0.995$, $TLI = 0.995$, $RMSEA = 0.018$ (PCLOSE = $1.000$).
    • Giá trị hội tụ và phân biệt: Độ tin cậy tổng hợp (Composite Reliability - CR) đều $> 0.70$, Phương sai trích trung bình (Average Variance Extracted - AVE) đều $> 0.50$, giá trị $\sqrt{AVE}$ lớn hơn các hệ số tương quan liên cấu trúc (MSV < AVE), khẳng định tính phân biệt hoàn hảo.

Phát hiện đột phá và implications

Những phát hiện then chốt

Kết quả ước lượng mô hình SEM và kiểm định One-Way ANOVA mang lại 5 phát hiện mang tính đột phá:

  1. Tác động tiêu cực đồng thời của 6 nhóm rủi ro CNTT: Tất cả 6 cấu phần rủi ro CNTT bao gồm: Rủi ro nguồn lực con người, Rủi ro phần cứng, Rủi ro ứng dụng tiến bộ CNTT, Rủi ro văn hóa tổ chức, Rủi ro cam kết quản lý, và Rủi ro phần mềm & dữ liệu đều có tác động ngược chiều có ý nghĩa thống kê ($p < 0.05$) lên CLHTTTKT. Các giả thuyết H1, H2, H3, H4, H5, H6 đều được chấp nhận hoàn toàn.
  2. Vai trò thống trị của rủi ro con người và quản trị: Rủi ro nguồn lực con người ($\text{HRR}$) và Rủi ro cam kết quản lý ($\text{MCR}$) thể hiện mức độ tác động tiêu cực mạnh mẽ hàng đầu đến CLHTTTKT. Bằng chứng thực nghiệm khẳng định dù công nghệ có tối tân đến đâu, lỗ hổng kỹ năng, tâm lý ngại đổi mới công nghệ của nhân viên và sự thiếu giám sát/hỗ trợ nguồn lực từ ban điều hành là nguyên nhân cốt tử làm tê liệt hệ thống kế toán.
  3. Sự hợp nhất cấu trúc rủi ro Phần mềm - Dữ liệu: Trái với giả định lý thuyết ban đầu về sự độc lập, dữ liệu thực tế tại các doanh nghiệp Việt Nam phản ánh sự hòa lẫn giữa phần mềm và dữ liệu. Lỗ hổng kiểm soát nhập liệu (SWR5) và đe dọa phá hoại dữ liệu nội bộ (DATR4) cùng phản ánh sự bất an toàn toàn diện của nền tảng ứng dụng.
  4. Tác động lan truyền tích cực từ CLHTTTKT sang CLTTKT: Giả thuyết H7 được ủng hộ mạnh mẽ với hệ số hồi quy chuẩn hóa dương lớn và có ý nghĩa thống kê ($p < 0.001$). Một HTTTKT có tính sẵn sàng cao, phản hồi nhanh, bảo mật và linh hoạt là điều kiện tiên quyết đảm bảo thông tin kế toán cung cấp đạt tính trung thực, kịp thời, đầy đủ và có thể kiểm chứng.
  5. Sự khác biệt nhận thức rủi ro theo đặc tính doanh nghiệp (ANOVA): Phân tích One-Way ANOVA chỉ ra sự khác biệt có ý nghĩa thống kê về đánh giá rủi ro CNTT giữa các nhóm doanh nghiệp có quy mô khác nhau và nhóm sử dụng phần mềm khác nhau. Doanh nghiệp ứng dụng giải pháp ERP toàn diện nhận thức sâu sắc hơn và có quy trình kiểm soát rủi ro khắt khe hơn đáng kể so với các doanh nghiệp chỉ sử dụng phần mềm kế toán đóng gói đơn lẻ.

Implications đa chiều

  • Về mặt học thuật và phương pháp luận: Bổ sung vào kho tàng y văn AIS một khung thang đo rủi ro CNTT đã được chuẩn hóa và kiểm định nghiêm ngặt tại một nền kinh tế đang chuyển đổi, cung cấp công cụ đo lường đáng tin cậy cho các nghiên cứu tiếp theo.
  • Về ứng dụng thực tiễn doanh nghiệp:
    • Doanh nghiệp phải định hình lại chiến lược CNTT, không chỉ tập trung mua sắm phần cứng/phần mềm đắt tiền mà phải đồng bộ hóa công tác đào tạo người dùng, thiết lập chính sách phân quyền truy cập nghiêm ngặt và xây dựng văn hóa minh bạch thông tin.
    • Ban giám đốc phải duy trì cam kết hỗ trợ liên tục về tài chính, thời gian và sự nêu gương trong việc thực thi quy trình số hóa kế toán.
  • Về hàm ý chính sách và tổ chức nghề nghiệp:
    • Khuyến nghị Bộ Tài chính và các tổ chức nghề nghiệp (VAA, VACPA) cập nhật chuẩn mực kiểm toán CNTT và kiểm toán hệ thống thông tin, ban hành hướng dẫn khung về an toàn dữ liệu kế toán điện tử trong môi trường số hóa.
    • Tích hợp nội dung an ninh mạng, kiểm soát rủi ro CNTT vào chương trình đào tạo và cấp chứng chỉ Kế toán viên/Kiểm toán viên hành nghề.

Limitations và Future Research

Luận án thẳng thắn thừa nhận 4 hạn chế khoa học chính:

  1. Phương pháp lấy mẫu thuận tiện kết hợp phân tầng: Dù kích thước mẫu đạt 368 doanh nghiệp, tính đại diện tuyệt đối cho toàn bộ cộng đồng doanh nghiệp Việt Nam vẫn có thể chịu sự thiên lệch nhất định.
  2. Giới hạn phạm vi môi trường nội bộ: Nghiên cứu chưa xem xét sâu tác động từ các yếu tố thể chế bên ngoài, khuôn khổ pháp lý về an ninh mạng quốc gia và mô hình điện toán đám mây công cộng đa bên (Public Multi-cloud).
  3. Dữ liệu cắt ngang (Cross-sectional Data): Dữ liệu được thu thập tại một thời điểm (tháng 02-03/2020), chưa phản ánh được sự biến động động thái của rủi ro CNTT theo thời gian và sự thích ứng của hệ thống sau các cuộc tấn công mạng.
  4. Báo cáo tự đánh giá (Self-reported Bias): Việc thu thập dữ liệu qua bảng hỏi có thể chứa đựng đánh giá chủ quan của người được khảo sát về mức độ rủi ro tại đơn vị mình.

Chương trình nghiên cứu tương lai (Future Research Agenda) mở ra 5 hướng tiếp cận:

  • Hướng 1: Mở rộng nghiên cứu dọc (Longitudinal Study) để theo dõi tác động lâu dài của rủi ro CNTT trước và sau khi doanh nghiệp triển khai các giải pháp phòng thủ an ninh mạng.
  • Hướng 2: Nghiên cứu sâu tác động của các công nghệ đột phá mới thuộc Công nghiệp 4.0 như Trí tuệ nhân tạo (AI), Dữ liệu lớn (Big Data), Blockchain và Hợp đồng thông minh (Smart Contracts) đến chất lượng thông tin kế toán.
  • Hướng 3: Đánh giá vai trò điều tiết (Moderating role) của năng lực quản trị số và quy mô kiểm soát nội bộ lên mối quan hệ giữa rủi ro CNTT và CLHTTTKT.
  • Hướng 4: Mở rộng phạm vi nghiên cứu so sánh xuyên quốc gia (Cross-country Comparative Study) giữa Việt Nam và các nước trong khối ASEAN.
  • Hướng 5: Sử dụng phương pháp hỗn hợp kết hợp kỹ thuật phân tích tập mờ định tính (fsQCA) để khám phá các cấu hình nhân tố rủi ro dẫn đến sự thất bại của HTTTKT.

Tác động và ảnh hưởng

Công trình luận án mang lại giá trị tác động sâu rộng trên nhiều bình diện:

  • Tác động học thuật (Academic Impact): Đặt nền móng lý thuyết thực nghiệm cho chuyên ngành Kế toán tại Việt Nam trong lĩnh vực Hệ thống Thông tin Kế toán và Quản trị CNTT; dự kiến tạo nguồn trích dẫn quan trọng cho các nghiên cứu sinh, học viên cao học nghiên cứu về chuyển đổi số kế toán và an toàn dữ liệu.
  • Chuyển đổi ngành (Industry Transformation): Cung cấp bộ công cụ tự chẩn đoán rủi ro (Risk Diagnostic Tool) giúp các doanh nghiệp sản xuất, thương mại, dịch vụ và tài chính định vị chính xác điểm yếu trong chuỗi cung ứng thông tin kế toán, từ đó tối ưu hóa chi phí đầu tư bảo mật thông tin.
  • Ảnh hưởng chính sách (Policy Influence): Là tài liệu tham khảo khoa học có giá trị cao cho các cơ quan soạn thảo chính sách tài chính, kế toán nhà nước trong lộ trình hoàn thiện khung pháp lý về hóa đơn điện tử, chứng từ kế toán điện tử và chuẩn mực kiểm toán hệ thống thông tin.
  • Lợi ích xã hội và hội nhập quốc tế: Nâng cao chất lượng và tính minh bạch của thông tin kế toán trên thị trường tài chính, bảo vệ quyền lợi hợp pháp của các nhà đầu tư, cổ đông và các bên liên quan, qua đó gia tăng mức độ tín nhiệm của nền kinh tế Việt Nam trong chuỗi giá trị toàn cầu.

Đối tượng hưởng lợi

  • Nghiên cứu sinh và Giới học thuật: Tiếp cận mô hình nghiên cứu chuẩn mực, hệ thống thang đo đã kiểm định độ tin cậy và giá trị hội tụ/phân biệt cao, cùng tài liệu tổng quan lý thuyết toàn diện về giao thoa giữa CNTT và Kế toán.
  • Lãnh đạo Doanh nghiệp (CEO, Board of Directors): Có được cơ sở khoa học để phê duyệt ngân sách CNTT hợp lý, cân bằng giữa đầu tư hạ tầng phần cứng/phần mềm với đào tạo nhân sự và xây dựng văn hóa kiểm soát tuân thủ.
  • Giám đốc Tài chính (CFO) và Kế toán trưởng: Hiểu rõ các cơ chế truyền dẫn rủi ro từ hệ thống sang sai lệch báo cáo tài chính, từ đó thiết lập các chốt kiểm soát tự động (automated controls) hữu hiệu trong phần mềm kế toán và ERP.
  • Kiểm toán viên độc lập và Kiểm toán viên nội bộ: Kế thừa danh mục các chỉ báo rủi ro (HWR, SWR_DATR, ITAR, HRR, MCR, OCR) để thiết kế các thủ tục kiểm toán CNTT và đánh giá rủi ro kiểm soát trong môi trường tin học hóa.
  • Cơ quan Quản lý Nhà nước và Hiệp hội nghề nghiệp: Định hình khung tiêu chuẩn năng lực công nghệ cho nhân sự kế toán - kiểm toán trong thời kỳ kinh tế số.

Câu hỏi chuyên sâu

1. Đóng góp lý thuyết độc đáo nhất của luận án là gì? Đóng góp độc đáo nhất là việc tái cấu trúc và mở rộng Mô hình Thành công Hệ thống Thông tin D&M (DeLone & McLean, 2003, 2016) và Lý thuyết Cấu trúc Thích ứng (AST) dưới lăng kính "Rủi ro CNTT" tiêu cực thay vì các biến động lực tích cực truyền thống. Đồng thời, luận án phát hiện sự sáp nhập thực nghiệm giữa "Rủi ro phần mềm" và "Rủi ro dữ liệu" thành một khái niệm cấu trúc đơn nhất, phản ánh bản chất không thể tách rời của ứng dụng và cơ sở dữ liệu trong kiến trúc phần mềm kế toán hiện đại.

2. Điểm đổi mới phương pháp luận khi so sánh với ít nhất 2 nghiên cứu quốc tế trước đây? So với nghiên cứu của Davis (1997) và Wang & He (2011) chỉ dừng lại ở khảo cứu lý thuyết/dữ liệu thứ cấp, hoặc công trình của Hanini (2012) và Bansah (2018) chỉ phân tích thống kê mô tả tần suất rủi ro tại Jordan và Ghana, luận án đã đổi mới vượt bậc bằng phương pháp hỗn hợp chặt chẽ: sử dụng phân tích nhân tố khám phá PAF với phép xoay Promax, phân tích nhân tố khẳng định CFA và mô hình phương trình cấu trúc tuyến tính SEM trên cỡ mẫu lớn $N=368$, giúp lượng hóa chính xác sai số đo lường và kiểm định đồng thời các mối quan hệ nhân quả phức tạp.

3. Phát hiện nào gây bất ngờ nhất và bằng chứng dữ liệu tương ứng? Phát hiện bất ngờ nhất là việc các biến quan sát của Rủi ro phần mềm (SWR1-SWR5) và Rủi ro dữ liệu (DATR1-DATR5) không tạo thành hai nhân tố riêng biệt như lý thuyết ban đầu mà hội tụ hoàn toàn vào cùng một nhân tố duy nhất trong ma trận xoay Pattern Matrix với hệ số tải cao từ $0.653$ đến $0.752$ (tổng phương sai trích giải thích đạt $56.393%$). Điều này chứng minh rằng tại các doanh nghiệp Việt Nam, người dùng không phân định rủi ro dữ liệu tách rời khỏi ứng dụng phần mềm đang thao tác.

4. Luận án có cung cấp quy trình tái lập nghiên cứu (Replication Protocol) hoàn chỉnh không? Có. Luận án cung cấp hệ thống phụ lục cực kỳ chi tiết bao gồm dàn bài thảo luận định tính, bảng hỏi khảo sát chính thức với 5 cấp độ Likert, danh sách mã hóa biến quan sát (HWR1-HWR5, SWR1-SWR5, DATR1-DATR5, ITAR1-ITAR4, HRR1-HRR4, MCR1-MCR4, OCR1-OCR3, AISQ1-AISQ9, AIQ1-AIQ9), cùng toàn bộ ma trận dữ liệu phân tích EFA, CFA, SEM và One-Way ANOVA, cho phép các nhà nghiên cứu độc lập tái lập và kiểm chứng hoàn toàn quy trình phân tích.

5. Luận án đã phác thảo chương trình nghiên cứu 10 năm tiếp theo như thế nào? Chương trình nghiên cứu dài hạn được định hình tập trung vào việc mô hình hóa tác động của các công nghệ cách mạng 4.0 (Điện toán biên, AI kế toán, Hệ thống sổ cái phân tán Blockchain) đến sự thay đổi của cấu trúc kiểm soát nội bộ; phát triển các mô hình đánh giá rủi ro an ninh mạng thời gian thực (Real-time Continuous Auditing) trong môi trường dữ liệu tài chính lớn; và khảo sát sự dịch chuyển nhận thức rủi ro kế toán số tại các thị trường mới nổi trong khu vực Châu Á - Thái Bình Dương.

Kết luận

Luận án tiến sĩ của Đồng Quang Chung đã hoàn thành xuất sắc các mục tiêu nghiên cứu với 6 đóng góp cụ thể:

  1. Tổng kết và hệ thống hóa toàn diện cơ sở lý luận về rủi ro CNTT, HTTTKT và chất lượng thông tin kế toán trong bối cảnh cuộc Cách mạng Công nghiệp lần thứ tư.
  2. Nhận diện và phân loại chuẩn xác 6 cấu phần rủi ro CNTT tác động đến hệ thống kế toán doanh nghiệp: Rủi ro nguồn lực con người, Rủi ro phần cứng, Rủi ro ứng dụng tiến bộ CNTT, Rủi ro văn hóa tổ chức, Rủi ro cam kết quản lý, và Rủi ro phần mềm & dữ liệu.
  3. Phát hiện quy luật hội tụ thực nghiệm đột phá giữa rủi ro phần mềm và rủi ro dữ liệu trong môi trường hệ thống thông tin tích hợp.
  4. Lượng hóa thực nghiệm mức độ ảnh hưởng ngược chiều của từng nhóm rủi ro CNTT đến CLHTTTKT, đồng thời khẳng định mối quan hệ nhân quả cùng chiều mật thiết giữa CLHTTTKT và CLTTKT bằng mô hình SEM trên 368 doanh nghiệp Việt Nam.
  5. Phát hiện sự khác biệt có ý nghĩa thống kê về nhận thức rủi ro và kiểm soát an toàn hệ thống giữa các nhóm doanh nghiệp theo quy mô và loại hình phần mềm ứng dụng qua kiểm định One-Way ANOVA.
  6. Đề xuất hệ thống hàm ý quản lý thực chứng và khuyến nghị chính sách đồng bộ, khả thi cho các nhà quản trị doanh nghiệp, các kiểm toán viên và các cơ quan quản lý nghề nghiệp kế toán - kiểm toán tại Việt Nam.

Công trình tạo ra bước tiến quan trọng về nhận thức luận và phương pháp luận, mở ra ít nhất 3 dòng nghiên cứu mới: dòng nghiên cứu an toàn dữ liệu kế toán trên nền tảng đám mây và trí tuệ nhân tạo, dòng nghiên cứu quản trị rủi ro CNTT định lượng trong kiểm toán độc lập, và dòng nghiên cứu hành vi tuân thủ an ninh thông tin của nhân sự kế toán trong kỷ nguyên số. Di sản khoa học của luận án là nguồn tham khảo mẫu mực, đóng góp thiết thực cho sự phát triển bền vững và minh bạch của nền kinh tế Việt Nam trên trường quốc tế.