I. Tổng quan về đánh giá KSNB trong lập kế hoạch kiểm toán
Đánh giá hệ thống kiểm soát nội bộ (KSNB) là một thủ tục không thể thiếu trong giai đoạn lập kế hoạch kiểm toán báo cáo tài chính (BCTC). Đây là nền tảng giúp kiểm toán viên (KTV) xác định các rủi ro tiềm tàng, từ đó phân bổ nguồn lực và thiết kế các thủ tục kiểm toán phù hợp. Theo luận văn thạc sĩ của Hồ Quốc Cường, việc tìm hiểu đầy đủ về hệ thống kế toán và hệ thống KSNB của khách hàng giúp KTV xây dựng một kế hoạch kiểm toán tổng thể hiệu quả. Một quy trình đánh giá hệ thống kiểm soát nội bộ chính xác không chỉ nâng cao chất lượng cuộc kiểm toán mà còn tối ưu hóa chi phí và thời gian thực hiện. Các chuẩn mực kiểm toán Việt Nam (VSA), đặc biệt là VSA 400, yêu cầu KTV phải có hiểu biết đầy đủ về các quy định và thủ tục kiểm soát mà đơn vị được kiểm toán áp dụng. Sự hiểu biết này là cơ sở để đánh giá rủi ro kiểm soát và thiết kế các thử nghiệm kiểm toán nhằm giảm rủi ro xuống mức thấp có thể chấp nhận được. Do đó, tầm quan trọng của giai đoạn này không chỉ dừng lại ở việc tuân thủ quy định mà còn ảnh hưởng trực tiếp đến tính trung thực và hợp lý của ý kiến kiểm toán sau cùng.
1.1. Khái niệm và các thành phần của hệ thống KSNB
Theo khuôn khổ của COSO (2013), hệ thống KSNB là một quy trình do Hội đồng quản trị, ban điều hành và các nhân viên của đơn vị thiết kế và vận hành. Mục tiêu của nó là cung cấp sự đảm bảo hợp lý về việc đạt được các mục tiêu liên quan đến hoạt động, báo cáo và tuân thủ. Hệ thống này bao gồm 5 thành phần cấu thành có mối liên hệ mật thiết: Môi trường kiểm soát, Đánh giá rủi ro, Hoạt động kiểm soát, Thông tin & Truyền thông, và Giám sát. Môi trường kiểm soát là nền tảng, tạo ra một môi trường làm việc có kỷ luật và cấu trúc. Đánh giá rủi ro là quá trình đơn vị xác định và phân tích các rủi ro liên quan đến việc đạt được mục tiêu. Hoạt động kiểm soát là các chính sách và thủ tục được thiết lập để đảm bảo các chỉ thị của ban lãnh đạo được thực hiện. Việc hiểu rõ các thành phần này giúp KTV nhận diện các điểm mạnh, yếu trong hệ thống của khách hàng.
1.2. Mục tiêu đánh giá KSNB trong giai đoạn lập kế hoạch
Mục tiêu chính của việc đánh giá hệ thống kiểm soát nội bộ trong giai đoạn đầu của cuộc kiểm toán là để KTV hiểu rõ cách thức vận hành của bộ máy khách hàng. Từ đó, KTV có thể nhận diện các rủi ro có sai sót trọng yếu ở cấp độ BCTC và cấp độ cơ sở dẫn liệu. Luận văn nhấn mạnh, việc đánh giá này giúp KTV đưa ra những xét đoán ban đầu về rủi ro kiểm soát - rủi ro mà KSNB của đơn vị không thể ngăn chặn hoặc phát hiện và sửa chữa kịp thời các sai sót trọng yếu. Kết quả đánh giá này sẽ là kim chỉ nam cho việc thiết kế nội dung, lịch trình và phạm vi của các thủ tục kiểm toán tiếp theo. Nếu KSNB được đánh giá là hữu hiệu, KTV có thể giảm bớt các thử nghiệm cơ bản, tập trung vào thử nghiệm kiểm soát. Ngược lại, nếu KSNB yếu kém, KTV phải tăng cường các thử nghiệm cơ bản để thu thập đủ bằng chứng kiểm toán thích hợp.
II. Thách thức thường gặp khi đánh giá hệ thống kiểm soát nội bộ
Mặc dù có vai trò quan trọng, quá trình đánh giá hệ thống kiểm soát nội bộ luôn đối mặt với nhiều thách thức và hạn chế cố hữu. Các hệ thống KSNB, dù được thiết kế tốt đến đâu, cũng không thể đảm bảo tuyệt đối việc ngăn chặn mọi gian lận và sai sót. Nguyên nhân đến từ các yếu tố như sai lầm của con người, sự thông đồng của nhân viên, hay việc lạm dụng quyền hạn của nhà quản lý. Chi phí để xây dựng một hệ thống kiểm soát hoàn hảo thường vượt quá lợi ích mà nó mang lại. Đặc biệt, KSNB thường được thiết kế cho các giao dịch thường xuyên và có thể không hiệu quả với các giao dịch bất thường. Đối với KTV, thách thức lớn là phải sử dụng xét đoán chuyên môn để đánh giá đúng mức độ hiệu quả của KSNB trong bối cảnh những hạn chế này. Trong môi trường kinh doanh ngày càng phức tạp và tin học hóa, việc hiểu và đánh giá các kiểm soát chung về công nghệ thông tin cũng là một trở ngại lớn, đòi hỏi KTV phải có kiến thức chuyên sâu về cả kế toán và công nghệ.
2.1. Các hạn chế cố hữu của hệ thống kiểm soát nội bộ
Mọi hệ thống KSNB đều tồn tại những hạn chế tiềm tàng. Thứ nhất, yếu tố con người luôn là một biến số khó lường; nhân viên có thể mắc lỗi do bất cẩn, mệt mỏi hoặc hiểu sai chỉ dẫn. Thứ hai, khả năng xảy ra gian lận do sự thông đồng giữa các nhân viên hoặc với bên thứ ba có thể vô hiệu hóa các thủ tục kiểm soát được thiết kế để phân chia trách nhiệm. Thứ ba, ban lãnh đạo có thể đứng trên cả hệ thống kiểm soát và lạm dụng quyền hạn để ghi đè lên các thủ tục đã được thiết lập. Cuối cùng, các thủ tục kiểm soát có thể trở nên lỗi thời do những thay đổi trong hoạt động kinh doanh của đơn vị nếu không được cập nhật kịp thời. KTV phải nhận thức rõ những hạn chế này để không đặt quá nhiều niềm tin vào hệ thống KSNB và duy trì thái độ hoài nghi nghề nghiệp cần thiết trong suốt cuộc kiểm toán báo cáo tài chính.
2.2. Ảnh hưởng của môi trường tin học hóa đến việc đánh giá
Sự phát triển của công nghệ thông tin đã thay đổi sâu sắc cách thức các doanh nghiệp vận hành và cả hệ thống KSNB. Theo VSA 401, môi trường tin học hóa tạo ra cả cơ hội và rủi ro mới. Một mặt, nó giúp xử lý giao dịch thống nhất, giảm sai sót thủ công. Mặt khác, nó làm tăng rủi ro về truy cập trái phép, mất dấu vết kiểm toán, và khả năng xảy ra sai sót hàng loạt nếu phần mềm có lỗi. Việc phân chia chức năng có thể bị hạn chế, tập trung quyền lực vào một số ít người có chuyên môn về hệ thống. Đối với KTV, việc đánh giá các hoạt động kiểm soát trong môi trường này đòi hỏi phải hiểu cả kiểm soát chung (general controls) như an ninh mạng, kiểm soát truy cập và kiểm soát ứng dụng (application controls) được tích hợp trong từng phần mềm kế toán. Đây là một thách thức đòi hỏi KTV phải liên tục cập nhật kiến thức chuyên môn.
III. Phương pháp đánh giá KSNB trong kiểm toán tại ECOVIS AFA
Nghiên cứu thực trạng tại Công ty TNHH Kiểm toán - Thẩm định giá và Tư vấn ECOVIS AFA VIETNAM cho thấy một quy trình bài bản trong việc đánh giá hệ thống kiểm soát nội bộ. Công ty áp dụng phương pháp tiếp cận kiểm toán theo rủi ro, trong đó việc tìm hiểu và đánh giá KSNB là một bước trung tâm trong giai đoạn lập kế hoạch. Quy trình này được thể hiện rõ qua các mẫu biểu làm việc (Front of Files - FOF), đặc biệt là mẫu FOF Basic. Các KTV tại Ecovis thực hiện đánh giá KSNB ở cấp độ BCTC, tập trung vào ba thành phần chính: môi trường kiểm soát, hoạt động đánh giá rủi ro của đơn vị và hoạt động giám sát các kiểm soát. Việc này được tiến hành thông qua nhiều thủ tục như phỏng vấn ban giám đốc, nhân viên chủ chốt, kiểm tra tài liệu và quan sát thực tế. Kết quả đánh giá là cơ sở để xác định các rủi ro trọng yếu, từ đó thiết kế các thủ tục kiểm toán tiếp theo một cách hiệu quả và tập trung.
3.1. Tìm hiểu và đánh giá KSNB ở cấp độ BCTC
Tại ECOVIS AFA VIETNAM, KTV bắt đầu bằng việc tìm hiểu và đánh giá các yếu tố kiểm soát ở cấp độ tổng thể của báo cáo tài chính. Đối với môi trường kiểm soát, KTV xem xét các vấn đề như sự chính trực và giá trị đạo đức của ban lãnh đạo, năng lực và tính độc lập của ban quản trị, và cơ cấu tổ chức. Đối với quy trình đánh giá rủi ro của khách hàng, KTV tìm hiểu cách đơn vị nhận diện, phân tích và quản lý các rủi ro kinh doanh liên quan đến mục tiêu lập BCTC. Cuối cùng, KTV đánh giá hoạt động giám sát của đơn vị, tức là cách họ theo dõi tính hiệu quả của KSNB theo thời gian. Các bằng chứng được thu thập thông qua phỏng vấn, kiểm tra các văn bản như quy tắc đạo đức, và quan sát cách thức ban lãnh đạo điều hành công ty.
3.2. Đánh giá sơ bộ rủi ro kiểm soát và các thủ tục liên quan
Sau khi có được hiểu biết về KSNB, KTV của Ecovis tiến hành đánh giá sơ bộ về rủi ro kiểm soát cho từng cơ sở dẫn liệu của các nhóm giao dịch và số dư tài khoản trọng yếu. Rủi ro kiểm soát được định nghĩa là rủi ro mà một sai sót trọng yếu có thể xảy ra và không được KSNB của đơn vị ngăn chặn hoặc phát hiện, sửa chữa kịp thời. Theo VSA 400, nếu KTV đánh giá rủi ro kiểm soát ở mức cao (do hệ thống KSNB không hiệu quả hoặc không có đủ bằng chứng để đánh giá), họ sẽ không thực hiện các thử nghiệm kiểm soát. Thay vào đó, KTV sẽ phải dựa hoàn toàn vào các thử nghiệm cơ bản với phạm vi rộng hơn. Ngược lại, nếu KSNB được đánh giá là hiệu quả (rủi ro kiểm soát thấp), KTV có thể dựa vào hệ thống này và giảm quy mô của các thử nghiệm cơ bản, giúp cuộc kiểm toán hiệu quả hơn.
IV. Giải pháp hoàn thiện quy trình đánh giá KSNB trong kiểm toán
Dựa trên kết quả nghiên cứu thực trạng tại ECOVIS AFA VIETNAM, luận văn của tác giả Hồ Quốc Cường đã đề xuất các giải pháp cụ thể nhằm hoàn thiện quy trình đánh giá hệ thống kiểm soát nội bộ. Các giải pháp này không chỉ hữu ích cho Ecovis mà còn có thể áp dụng cho các công ty kiểm toán khác tại Việt Nam. Trọng tâm của các giải pháp là việc cần đi sâu hơn vào việc tìm hiểu và đánh giá KSNB không chỉ ở cấp độ BCTC mà còn ở cấp độ chi tiết hơn, bao gồm các chu trình kinh doanh, khoản mục và cơ sở dẫn liệu cụ thể. Đặc biệt, trong bối cảnh tin học hóa ngày càng phổ biến, việc nâng cao năng lực đánh giá các hoạt động kiểm soát trong môi trường máy tính là yêu cầu cấp thiết. Việc áp dụng các giải pháp này sẽ giúp KTV nhận diện rủi ro chính xác hơn, từ đó nâng cao chất lượng và hiệu quả của toàn bộ cuộc kiểm toán báo cáo tài chính.
4.1. Tăng cường tìm hiểu KSNB ở cấp độ chu trình kinh doanh
Một trong những giải pháp quan trọng là KTV cần đi sâu tìm hiểu các hoạt động kiểm soát được lồng ghép vào từng chu trình kinh doanh chính của doanh nghiệp. Các chu trình này bao gồm: chu trình mua hàng và thanh toán, chu trình hàng tồn kho, chu trình tiền lương, và chu trình doanh thu và thu tiền. Đối với mỗi chu trình, KTV cần hiểu rõ các bước từ khi một giao dịch phát sinh cho đến khi được ghi nhận trên BCTC, cũng như các điểm kiểm soát chính được thiết lập để ngăn ngừa và phát hiện sai sót. Ví dụ, trong chu trình doanh thu, KTV cần tìm hiểu các thủ tục về phê duyệt bán chịu, kiểm tra hàng hóa trước khi giao, và đối chiếu công nợ. Việc hiểu rõ các kiểm soát ở cấp độ này giúp KTV đánh giá rủi ro kiểm soát một cách chi tiết và thiết kế các thử nghiệm kiểm toán hiệu quả hơn.
4.2. Hoàn thiện đánh giá KSNB trong môi trường tin học hóa
Luận văn đề xuất các công ty kiểm toán cần chú trọng hơn nữa đến việc đánh giá KSNB trong môi trường xử lý bằng máy tính. KTV cần được đào tạo để hiểu và đánh giá hai loại kiểm soát chính: kiểm soát chung và kiểm soát ứng dụng. Kiểm soát chung (General IT Controls) đảm bảo môi trường công nghệ thông tin vận hành ổn định và an toàn, bao gồm các thủ tục về an ninh mạng, quản lý thay đổi hệ thống, và sao lưu dữ liệu. Kiểm soát ứng dụng (Application Controls) là các kiểm soát được lập trình sẵn trong phần mềm để đảm bảo tính đầy đủ, chính xác và hợp lệ của dữ liệu đầu vào, quá trình xử lý và thông tin đầu ra. Việc đánh giá hiệu quả của các kiểm soát này giúp KTV xác định mức độ tin cậy vào dữ liệu do hệ thống máy tính tạo ra, một yếu tố ngày càng quan trọng trong các cuộc kiểm toán hiện đại.
