I. Tầm quan trọng của việc đánh giá hệ thống KSNB khi lập kế hoạch
Trong lĩnh vực kiểm toán, giai đoạn lập kế hoạch được xem là nền tảng quyết định sự thành công và hiệu quả của toàn bộ cuộc kiểm toán. Một trong những thủ tục không thể thiếu trong giai đoạn này chính là đánh giá hệ thống kiểm soát nội bộ (KSNB) của đơn vị khách hàng. Việc đánh giá này giúp kiểm toán viên (KTV) xác định và phân bổ nguồn lực một cách tối ưu, tập trung vào các phần hành có rủi ro cao. Theo luận văn của tác giả Hồ Quốc Cường, quy trình đánh giá hệ thống KSNB hiệu quả không chỉ giúp nhận diện rủi ro sai sót trọng yếu (RMM) mà còn là cơ sở để thiết kế các thủ tục kiểm toán tiếp theo, bao gồm cả thử nghiệm kiểm soát và thử nghiệm cơ bản. Điều này đảm bảo cuộc kiểm toán được tiến hành một cách khoa học, tiết kiệm chi phí và thời gian, đồng thời nâng cao chất lượng của báo cáo kiểm toán. Hiểu biết sâu sắc về hệ thống KSNB của khách hàng, từ môi trường kiểm soát đến các hoạt động kiểm soát cụ thể, cho phép KTV đưa ra những xét đoán chuyên môn chính xác. Một kế hoạch kiểm toán được xây dựng tốt dựa trên kết quả đánh giá KSNB sẽ giúp KTV chủ động giải quyết các vấn đề tiềm ẩn, điều phối công việc của nhóm kiểm toán và đảm bảo tuân thủ đầy đủ các Chuẩn mực Kiểm toán Việt Nam (VSA). Tóm lại, việc đầu tư thời gian và công sức vào đánh giá hệ thống kiểm soát nội bộ trong giai đoạn lập kế hoạch không phải là một thủ tục hình thức mà là một bước đi chiến lược, mang lại lợi ích kép: vừa tối ưu hóa hiệu quả công việc cho công ty kiểm toán, vừa bảo vệ lợi ích hợp pháp cho khách hàng và các bên liên quan.
1.1. Vai trò cốt lõi của kiểm soát nội bộ trong quản trị doanh nghiệp
Hệ thống kiểm soát nội bộ (KSNB) là một quy trình chịu sự chi phối bởi Hội đồng quản trị, ban điều hành và các nhân viên, được thiết kế để cung cấp sự đảm bảo hợp lý trong việc đạt được các mục tiêu về hoạt động hiệu quả, báo cáo tài chính đáng tin cậy và tuân thủ pháp luật. Theo định nghĩa của COSO (2013), KSNB không chỉ là các thủ tục riêng lẻ mà là một tập hợp các hoạt động tương tác, bao trùm toàn bộ tổ chức. Nó đóng vai trò là công cụ quản trị thiết yếu, giúp doanh nghiệp bảo vệ tài sản, ngăn chặn gian lận, sai sót và sử dụng hiệu quả các nguồn lực. Một hệ thống KSNB vững mạnh tạo ra một môi trường kiểm soát tích cực, nâng cao ý thức trách nhiệm của từng cá nhân và đảm bảo tính minh bạch trong mọi hoạt động, đặc biệt là trong công tác kế toán và lập báo cáo tài chính (BCTC).
1.2. Mục tiêu của việc đánh giá KSNB trong giai đoạn lập kế hoạch
Mục tiêu chính của việc đánh giá hệ thống KSNB trong giai đoạn lập kế hoạch kiểm toán báo cáo tài chính là để KTV có được hiểu biết đầy đủ về hệ thống kế toán và KSNB của khách hàng. Theo VSA 400, sự hiểu biết này là cơ sở để KTV lập kế hoạch kiểm toán tổng thể và xây dựng chương trình kiểm toán hiệu quả. Cụ thể, việc đánh giá giúp KTV: (1) Nhận diện các loại sai sót tiềm tàng; (2) Đánh giá các yếu tố ảnh hưởng đến rủi ro có sai sót trọng yếu; và (3) Thiết kế nội dung, lịch trình và phạm vi của các thủ tục kiểm toán tiếp theo. Một đánh giá chính xác về KSNB cho phép KTV xác định rủi ro kiểm soát, từ đó quyết định mức độ tin cậy vào hệ thống và điều chỉnh các thử nghiệm cơ bản cho phù hợp, giúp giảm rủi ro kiểm toán xuống mức có thể chấp nhận được.
II. Thách thức khi đánh giá KSNB và rủi ro sai sót trọng yếu
Mặc dù có vai trò quan trọng, hệ thống KSNB luôn tồn tại những hạn chế tiềm tàng mà KTV cần nhận diện trong quá trình đánh giá hệ thống kiểm soát nội bộ. Các hạn chế này có thể xuất phát từ yếu tố chi phí-lợi ích, khi việc thiết lập một kiểm soát quá tốn kém so với lợi ích nó mang lại. Hơn nữa, các thủ tục kiểm soát thường được thiết kế cho các giao dịch lặp đi lặp lại và có thể không hiệu quả với các nghiệp vụ bất thường. Yếu tố con người cũng là một thách thức lớn: sai sót do vô ý, bất cẩn, sự thông đồng giữa các nhân viên, hoặc sự lạm dụng quyền hạn của người quản lý đều có thể vô hiệu hóa các kiểm soát được thiết kế chặt chẽ nhất. Khi thực hiện lập kế hoạch kiểm toán báo cáo tài chính, KTV phải ý thức được rằng không có hệ thống KSNB nào là hoàn hảo. Nhiệm vụ của KTV là đánh giá mức độ hiệu quả của hệ thống trong việc ngăn chặn hoặc phát hiện và sửa chữa các sai sót trọng yếu, chứ không phải tìm kiếm một hệ thống không có khiếm khuyết. Việc không nhận diện đúng các hạn chế này có thể dẫn đến việc đánh giá rủi ro kiểm soát quá thấp, từ đó giảm bớt các thủ tục kiểm toán cần thiết và làm tăng rủi ro không phát hiện được các sai sót trọng yếu trên BCTC. Do đó, việc duy trì thái độ hoài nghi nghề nghiệp và áp dụng các kỹ thuật phỏng vấn, quan sát, kiểm tra tài liệu một cách cẩn trọng là cực kỳ cần thiết.
2.1. Nhận diện các hạn chế tiềm tàng của hệ thống kiểm soát nội bộ
Một hệ thống KSNB, dù được thiết kế tốt đến đâu, cũng không thể loại bỏ hoàn toàn rủi ro. Các hạn chế cố hữu bao gồm: (1) Yêu cầu của ban lãnh đạo rằng chi phí cho một thủ tục kiểm soát không được vượt quá lợi ích dự kiến; (2) Các kiểm soát thường tập trung vào giao dịch thường xuyên hơn là các giao dịch bất thường; (3) Khả năng xảy ra sai sót của con người do bất cẩn hoặc hiểu sai chỉ dẫn; (4) Khả năng các thủ tục kiểm soát bị vô hiệu hóa bởi sự thông đồng của nhân viên với các bên trong hoặc ngoài đơn vị; (5) Sự lạm dụng quyền hạn của người chịu trách nhiệm thực hiện kiểm soát; và (6) Sự thay đổi trong điều kiện hoạt động có thể làm cho các thủ tục trở nên lỗi thời. KTV cần nhận thức rõ những điểm yếu này để có một đánh giá khách quan về rủi ro kiểm soát.
2.2. Mối liên hệ giữa rủi ro kiểm soát và rủi ro sai sót trọng yếu
Rủi ro kiểm soát là rủi ro mà một sai sót trọng yếu có thể xảy ra trong một cơ sở dẫn liệu và không được hệ thống KSNB của đơn vị ngăn chặn hoặc phát hiện, sửa chữa kịp thời. Rủi ro này là một thành phần của rủi ro sai sót trọng yếu (RMM), bên cạnh rủi ro tiềm tàng. Trong giai đoạn lập kế hoạch kiểm toán, KTV phải đánh giá rủi ro kiểm soát để xác định mức độ RMM. Nếu KTV đánh giá rủi ro kiểm soát ở mức cao, điều này có nghĩa là hệ thống KSNB của khách hàng không đáng tin cậy. Khi đó, KTV sẽ phải thực hiện nhiều thử nghiệm cơ bản hơn với phạm vi rộng hơn để thu thập đầy đủ bằng chứng kiểm toán thích hợp. Ngược lại, nếu rủi ro kiểm soát được đánh giá ở mức thấp, KTV có thể dựa vào các thử nghiệm kiểm soát và giảm bớt các thử nghiệm cơ bản.
III. Phương pháp đánh giá hệ thống KSNB theo chuẩn mực COSO và VSA
Để thực hiện đánh giá hệ thống kiểm soát nội bộ một cách có hệ thống và nhất quán, các KTV thường dựa trên các khuôn khổ và chuẩn mực được công nhận rộng rãi. Nổi bật nhất là khuôn khổ của COSO (2013) và các Chuẩn mực Kiểm toán Việt Nam (VSA). Khuôn khổ COSO cung cấp một cấu trúc toàn diện, định nghĩa KSNB bao gồm năm thành phần cốt lõi: môi trường kiểm soát, đánh giá rủi ro, hoạt động kiểm soát, thông tin và truyền thông, và hoạt động giám sát. Phương pháp này giúp KTV không bỏ sót các khía cạnh quan trọng khi tìm hiểu về hệ thống của đơn vị. Trong khi đó, các VSA, đặc biệt là VSA 315 và VSA 400, đưa ra các yêu cầu và hướng dẫn cụ thể cho KTV trong quá trình lập kế hoạch kiểm toán báo cáo tài chính. VSA yêu cầu KTV phải có được hiểu biết về năm thành phần KSNB của đơn vị có liên quan đến cuộc kiểm toán. Sự kết hợp giữa lý luận nền tảng từ COSO và các yêu cầu thực hành từ VSA tạo nên một phương pháp luận chặt chẽ. KTV sử dụng phương pháp này để thu thập thông tin qua phỏng vấn, kiểm tra tài liệu, quan sát, sau đó phân tích và đưa ra đánh giá sơ bộ về rủi ro kiểm soát. Kết quả đánh giá này sẽ là kim chỉ nam cho việc thiết kế các thủ tục kiểm toán tiếp theo, đảm bảo cuộc kiểm toán đáp ứng các yêu cầu về chuyên môn và đạo đức nghề nghiệp.
3.1. Năm thành phần cốt lõi của hệ thống KSNB theo COSO 2013
Khuôn khổ COSO 2013 xác định KSNB bao gồm năm thành phần có mối liên hệ chặt chẽ với nhau: (1) Môi trường kiểm soát: Nền tảng về sự chính trực, giá trị đạo đức và năng lực của nhân viên; (2) Đánh giá rủi ro: Quá trình đơn vị nhận dạng và phân tích các rủi ro liên quan đến việc đạt được mục tiêu; (3) Hoạt động kiểm soát: Các chính sách và thủ tục đảm bảo các chỉ thị của nhà quản lý được thực hiện; (4) Thông tin và truyền thông: Việc nhận dạng, thu thập và trao đổi thông tin cần thiết một cách kịp thời; (5) Hoạt động giám sát: Quá trình đánh giá chất lượng hoạt động của hệ thống KSNB theo thời gian. Việc tìm hiểu cả năm thành phần này giúp KTV có cái nhìn tổng thể và sâu sắc về hệ thống KSNB của đơn vị.
3.2. Yêu cầu của Chuẩn mực Kiểm toán Việt Nam VSA về đánh giá KSNB
Chuẩn mực Kiểm toán Việt Nam (VSA), cụ thể là VSA 315 (Xác định và đánh giá rủi ro có sai sót trọng yếu thông qua hiểu biết về đơn vị được kiểm toán và môi trường của đơn vị), yêu cầu KTV phải thu thập hiểu biết về KSNB liên quan đến cuộc kiểm toán. Sự hiểu biết này bao gồm việc đánh giá thiết kế của các kiểm soát và xác định liệu chúng đã được thực hiện hay chưa. VSA 400 cũng nhấn mạnh KTV phải sử dụng xét đoán chuyên môn để đánh giá rủi ro kiểm soát và xác định các thủ tục kiểm toán nhằm giảm rủi ro kiểm toán xuống mức thấp có thể chấp nhận được. Các chuẩn mực này là cơ sở pháp lý và chuyên môn bắt buộc đối với mọi KTV hành nghề tại Việt Nam.
IV. Hướng dẫn quy trình đánh giá KSNB trong kiểm toán báo cáo tài chính
Quy trình đánh giá hệ thống kiểm soát nội bộ trong giai đoạn lập kế hoạch kiểm toán báo cáo tài chính là một chuỗi các bước logic, bắt đầu từ cấp độ tổng thể đến chi tiết. Dựa trên nghiên cứu tại ECOVIS AFA VIETNAM, quy trình này có thể được chia thành hai giai đoạn chính: đánh giá ở cấp độ BCTC và đánh giá ở cấp độ khoản mục, cơ sở dẫn liệu. Ở cấp độ BCTC, KTV tập trung vào các yếu tố mang tính bao quát như môi trường kiểm soát, quy trình đánh giá rủi ro và hoạt động giám sát của đơn vị. Việc tìm hiểu này giúp KTV đánh giá văn hóa kiểm soát chung và thái độ của ban lãnh đạo đối với KSNB. Sau khi có cái nhìn tổng quan, KTV sẽ đi sâu vào đánh giá các hoạt động kiểm soát cụ thể liên quan đến từng chu trình kinh doanh trọng yếu (doanh thu, mua hàng, hàng tồn kho, lương). Tại đây, KTV cần tìm hiểu cách các giao dịch được khởi tạo, ghi nhận, xử lý và báo cáo, đồng thời nhận diện các kiểm soát chính được thiết kế để ngăn ngừa hoặc phát hiện sai sót. Cuối cùng, dựa trên những hiểu biết đã thu thập, KTV sẽ đưa ra đánh giá sơ bộ về rủi ro kiểm soát cho từng cơ sở dẫn liệu liên quan, làm cơ sở để thiết kế các thử nghiệm kiểm soát và thử nghiệm cơ bản phù hợp.
4.1. Quy trình tìm hiểu và đánh giá KSNB ở cấp độ báo cáo tài chính
Ở cấp độ BCTC, KTV phải đánh giá các kiểm soát có ảnh hưởng lan tỏa đến toàn bộ báo cáo tài chính. Trọng tâm là tìm hiểu về môi trường kiểm soát (sự chính trực, giá trị đạo đức, cơ cấu tổ chức), quy trình đánh giá rủi ro của đơn vị (cách đơn vị xác định và xử lý rủi ro kinh doanh) và các hoạt động giám sát của ban lãnh đạo (cách họ theo dõi hiệu quả của KSNB). Các kỹ thuật được sử dụng bao gồm phỏng vấn ban giám đốc, xem xét các biên bản họp Hội đồng quản trị, và kiểm tra các quy chế, chính sách bằng văn bản. Kết quả đánh giá ở cấp độ này ảnh hưởng đến chiến lược kiểm toán tổng thể và nhận định của KTV về khả năng xảy ra sai sót trọng yếu do gian lận hoặc nhầm lẫn.
4.2. Kỹ thuật đánh giá KSNB ở cấp độ khoản mục và cơ sở dẫn liệu
Sau khi đánh giá ở cấp độ BCTC, KTV tiến hành tìm hiểu các hoạt động kiểm soát liên quan đến các nhóm giao dịch, số dư tài khoản và thông tin thuyết minh cụ thể. Đối với mỗi chu trình kinh doanh trọng yếu (ví dụ: chu trình doanh thu), KTV cần xác định các thủ tục kiểm soát chính được áp dụng, chẳng hạn như phê duyệt đơn đặt hàng, đối chiếu công nợ, phân chia trách nhiệm giữa các bộ phận. KTV sẽ tìm hiểu thiết kế của các kiểm soát này và xác minh xem chúng có được vận hành trên thực tế hay không thông qua các thủ tục như truy vết một vài giao dịch mẫu (walkthrough test). Mục đích là để hiểu rõ các kiểm soát liên quan đến từng cơ sở dẫn liệu (hiện hữu, đầy đủ, chính xác, v.v.).
4.3. Đánh giá sơ bộ rủi ro kiểm soát và thiết kế thử nghiệm kiểm toán
Dựa trên kết quả tìm hiểu, KTV thực hiện đánh giá sơ bộ về rủi ro kiểm soát. Đây là quá trình đánh giá hiệu quả của hệ thống KSNB trong việc ngăn chặn hoặc phát hiện, sửa chữa các sai sót trọng yếu ở cấp độ cơ sở dẫn liệu. Rủi ro kiểm soát có thể được đánh giá ở mức cao, trung bình hoặc thấp. Nếu rủi ro kiểm soát được đánh giá ở mức thấp hơn mức tối đa, KTV sẽ lên kế hoạch thực hiện các thử nghiệm kiểm soát để xác nhận lại đánh giá của mình. Ngược lại, nếu rủi ro kiểm soát được đánh giá ở mức cao, KTV sẽ không dựa vào KSNB mà sẽ tăng cường các thử nghiệm cơ bản.
V. Thực tiễn quy trình đánh giá KSNB tại Ecovis AFA Vietnam
Nghiên cứu điển hình tại Công ty TNHH Kiểm toán - Thẩm định giá và Tư vấn ECOVIS AFA VIETNAM cung cấp một cái nhìn thực tế về việc áp dụng lý thuyết vào thực tiễn. Quy trình đánh giá hệ thống kiểm soát nội bộ tại công ty được chuẩn hóa và tích hợp chặt chẽ vào các giai đoạn đầu của cuộc kiểm toán, từ chấp nhận khách hàng đến lập kế hoạch kiểm toán báo cáo tài chính. Công ty sử dụng các biểu mẫu chuẩn (Front of Files - FOF) để hướng dẫn KTV thu thập thông tin và ghi nhận kết quả đánh giá một cách nhất quán. Việc đánh giá được thực hiện ở cả cấp độ BCTC và cấp độ chu trình kinh doanh. Ở cấp độ BCTC, KTV của ECOVIS AFA VIETNAM tập trung vào các vấn đề như thái độ của ban giám đốc đối với kiểm soát, cơ cấu tổ chức, và quy trình giám sát. Ở cấp độ chu trình, KTV đi sâu phân tích các thủ tục kiểm soát trong từng khâu, từ mua hàng, bán hàng đến quản lý nhân sự. Mặc dù quy trình đã được xây dựng bài bản, nghiên cứu chỉ ra rằng việc áp dụng trong thực tế vẫn còn những điểm cần cải thiện, đặc biệt là trong bối cảnh các doanh nghiệp ngày càng ứng dụng công nghệ thông tin. Việc đánh giá KSNB trong môi trường tin học hóa đòi hỏi KTV phải có thêm các kỹ năng chuyên môn về IT để có thể nhận diện và đánh giá các kiểm soát chung và kiểm soát ứng dụng một cách hiệu quả.
5.1. Tổng quan quy trình kiểm toán BCTC tại ECOVIS AFA VIETNAM
Quy trình kiểm toán BCTC tại ECOVIS AFA VIETNAM được xây dựng dựa trên phương pháp tiếp cận theo rủi ro, bao gồm 5 giai đoạn chính: (1) Chấp nhận khách hàng; (2) Giai đoạn tiền kế hoạch; (3) Lập kế hoạch kiểm toán; (4) Thực hiện kiểm toán; (5) Hình thành ý kiến kiểm toán. Việc đánh giá hệ thống KSNB được thực hiện chủ yếu trong giai đoạn tiền kế hoạch và lập kế hoạch. Đây là bước nền tảng để KTV xác định mức trọng yếu, thiết kế các thủ tục kiểm toán và phân công nhiệm vụ cho nhóm kiểm toán, đảm bảo cuộc kiểm toán diễn ra hiệu quả và tuân thủ các chuẩn mực nghề nghiệp.
5.2. Phân tích thực trạng đánh giá KSNB trong giai đoạn tiền kế hoạch
Trong giai đoạn tiền kế hoạch tại ECOVIS AFA VIETNAM, KTV tiến hành thu thập hiểu biết ban đầu về khách hàng và môi trường hoạt động, bao gồm cả hệ thống KSNB. Công ty sử dụng các bảng câu hỏi và danh mục kiểm tra (checklists) để tìm hiểu về các thành phần của KSNB như môi trường kiểm soát và quy trình giám sát. KTV phỏng vấn ban quản trị và các nhân sự chủ chốt để hiểu về thiết kế và việc thực thi các kiểm soát. Thông tin thu thập được sẽ được ghi chép vào hồ sơ kiểm toán và là đầu vào quan trọng cho việc đánh giá rủi ro sai sót trọng yếu và lập chiến lược kiểm toán tổng thể trong giai đoạn tiếp theo.
VI. Giải pháp hoàn thiện đánh giá KSNB trong môi trường số hóa
Sự phát triển của công nghệ thông tin đã làm thay đổi sâu sắc cách thức doanh nghiệp vận hành và quản lý, đặt ra những thách thức mới cho công tác đánh giá hệ thống kiểm soát nội bộ. Trong một môi trường tin học hóa, nhiều kiểm soát được tự động hóa và các dấu vết kiểm toán có thể không tồn tại dưới dạng hữu hình. Điều này đòi hỏi các công ty kiểm toán, bao gồm cả ECOVIS AFA VIETNAM, phải cập nhật và hoàn thiện quy trình của mình. Một trong những giải pháp quan trọng là nâng cao năng lực của KTV về kiểm toán IT. KTV cần được đào tạo để hiểu và đánh giá được cả các kiểm soát chung (general controls) như an ninh mạng, quản lý truy cập, và các kiểm soát ứng dụng (application controls) được tích hợp trong phần mềm kế toán. Bên cạnh đó, việc áp dụng các Kỹ thuật Kiểm toán được Máy tính Trợ giúp (CAATs) sẽ giúp KTV phân tích một lượng lớn dữ liệu điện tử, từ đó phát hiện các bất thường và kiểm tra tính hữu hiệu của các kiểm soát tự động một cách hiệu quả hơn. Việc hoàn thiện quy trình đánh giá KSNB trong bối cảnh số hóa không chỉ giúp nâng cao chất lượng dịch vụ kiểm toán báo cáo tài chính mà còn là yếu tố cạnh tranh quan trọng của các công ty kiểm toán trong kỷ nguyên số.
6.1. Thích ứng quy trình đánh giá KSNB trong môi trường tin học hóa
Trong môi trường tin học hóa, KTV cần mở rộng phạm vi đánh giá KSNB để bao gồm các kiểm soát liên quan đến hệ thống thông tin. Theo VSA 401, KTV phải xem xét các yếu tố như sự phân chia chức năng trong môi trường IT, kiểm soát truy cập vật lý và logic, kiểm soát phát triển và bảo trì hệ thống. Việc đánh giá các kiểm soát này là rất quan trọng vì sự yếu kém trong kiểm soát chung IT có thể làm suy yếu hiệu quả của nhiều kiểm soát ứng dụng. Do đó, quy trình đánh giá cần được cập nhật để tích hợp các thủ tục kiểm tra riêng cho môi trường tin học hóa.
6.2. Các đề xuất nhằm nâng cao hiệu quả đánh giá KSNB cho kiểm toán viên
Để nâng cao hiệu quả đánh giá hệ thống KSNB, các công ty kiểm toán cần đầu tư vào đào tạo liên tục cho đội ngũ KTV, đặc biệt là các kỹ năng về phân tích dữ liệu và kiểm toán IT. Cần xây dựng các bộ công cụ, biểu mẫu đánh giá chuyên biệt cho các ngành nghề và các hệ thống ERP phổ biến. Ngoài ra, việc tăng cường trao đổi, thảo luận trong nhóm kiểm toán về các rủi ro liên quan đến KSNB và chia sẻ kinh nghiệm từ các cuộc kiểm toán trước sẽ giúp nhận diện rủi ro một cách toàn diện hơn. Cuối cùng, việc áp dụng công nghệ như tự động hóa quy trình bằng robot (RPA) và trí tuệ nhân tạo (AI) trong kiểm toán hứa hẹn sẽ cách mạng hóa cách thức đánh giá KSNB trong tương lai.
