CHƯƠNG 1: QUY TRÌNH VÀ THỦ TỤC KIỂM TOÁN HỆ THỐNG CÔNG NGHỆ THÔNG TIN 1.1 KIỂM TOÁN CÔNG NGHỆ THÔNG TIN 1.1 Quá trình hình thành, phát triển của kiểm toán công nghệ thông tin Kiểm toán công nghệ thông tin (CNTT) là một phần của quá trình kiểm toán tổng thể, đó là một trong những công cụ hỗ trợ để quản trị tốt doanh nghiệp. Khái niệm kiểm toán ra đời từ rất lâu từ những hình thức sơ khai ban đầu với việc kiểm tra tính chính xác của các ghi chép kế toán cho đến nay, kiểm toán xuất hiện với nhiều chức năng khác nhau như kiểm toán báo cáo tài chính, kiểm toán hoạt động và kiểm toán tuân thủ. Hoạt động kiểm toán đã trải qua một quá trình phát triển phức tạp gắn liền với các sự kiện lịch sử trên thế giới và luôn được hoàn thiện để đáp ứng được yêu cầu quản lý kinh tế trong từng thời kỳ. Cùng với sự phát triển của ngành công nghệ thông tin và những ứng dụng của máy tính vào trong các hoạt động của doanh nghiệp, đỉnh cao là việc triển khai Hệ thống hoạch định nguồn lực doanh nghiệp (EPR).
Hệ thống đã tích hợp các hoạt động kinh doanh của nhiều vùng hoạt động trong nội bộ doanh nghiệp thành một hệ thống chung với một cơ sở dữ liệu chung, nó bao gồm các phân hệ cơ bản nhằm hỗ trợ các hoạt động marketing, tài chính, kế toán, sản xuất và quản trị nguồn nhân lực. Không những thế ERP hướng tới lập kế hoạch và lịch trình tới cả người cung cấp nguồn lực cho doanh nghiệp trên cơ sở lập kế hoạch nhu cầu và lịch trình khách hàng một cách năng động. Cũng chính vì thế, khối lượng dữ liệu phát sinh, được xử lý và lưu trữ mỗi ngày thông qua các nghiệp vụ kinh tế tại doanh nghiệp càng trở nên phức tạp và khó kiểm soát. Mặt khác, các dữ liệu trên là cở sở để hệ thống thông tin kế toán đưa ra kết quả là thông tin kế toán với vai trò hết sức quan trọng trong việc ra quyết định của các nhà quản trị.
Chất lượng của thông tin kế toán trong môi trường ứng dụng hệ thống công nghệ thông tin nói chung và ERP nói riêng trở TIEU LUAN MOI download : skknchat@gmail.com 13 thành vấn đề quan tâm của các nhà quản trị. Kiểm toán hệ thống công nghệ thông tin kế toán ra đời trong bối cảnh đó với hình thức ban đầu là Kiểm toán xử lý dữ liệu điện tử (Electronic Data Process Auditing) như hệ quả tất yếu của việc triển khai công nghệ vào hệ thống kế toán, sau đó được phát triển rộng rãi thành Kiểm toán hệ thống công nghệ thông tin (IT auditing) khi các hệ thống kế toán đơn giản được thay thế dần dần theo quy mô mở rộng của công ty bởi các hệ thống phức tạp với nhiều chức năng và phân hệ hơn. Các kiểm toán viên đầu tiên trong lĩnh vực trên đã tập hợp và thành lập Hiệp hội kiểm toán viên xử lý dữ liệu điện tử (Electronic Data Processing Auditors Association) vào năm 1968 và là tiền thân của tiền thân của Hiệp hội kiểm toán điện tử hiện nay. Mục tiêu của hiệp hội bao gồm việc xây dựng các thủ tục kiểm toán mẫu, chuẩn mực và hướng dẫn kiểm toán.
Ấn phẩm đầu tiên của hiệp hội với tên gọi Control Objectives được phát hành vào năm 1977 và được biết đến rộng rãi với tên gọi CobiT (Control Objectives for Information and related Technology). Vào năm 1944, hiệp hội đổi tên thành Hiệp hội kiểm soát và kiểm toán hệ thống thông tin (ISACA – Information Systems Audit and Control Association) để phù hợp với quy mô và hoạt động của hội trong môi trường thay đổi nhanh chóng của công nghệ. Vào năm 2008, hiệp hội đăng ký tên viết tắt ISACA trở thành tên hoạt động chính thức, thay thế cho cụm từ “Hiệp hội kiểm toán và kiểm soát hệ thống thông tin”. Mục tiêu chính của ISACA vẫn bao gồm việc xây dựng các thủ tục, chuẩn mực và hướng dẫn kiểm toán hệ thống công nghệ thông tin, đào tạo và cấp chứng chỉ hành nghề cho kiểm toán viên.
Hiện tại, ISACA đã ban hành bộ chuẩn mực và hướng dẫn kiểm toán dưới tên gọi là “Khuôn mẫu kiểm toán điện tử” (ITAF – IT Assurance Framework). Bộ khuôn mẫu được chia ra làm hai phần: • Phần chuẩn mực với 17 chuẩn mực được chia làm 3 nhóm: - Chuẩn mực chung (nhóm chuẩn mực 1000): bao gồm các nguyên tắc được thực hiện khi hành nghề đảm bảo hệ thống thông tin. Nhóm chuẩn mực quy định về đạo đức, độc lập, mục tiêu cũng như kiến thức, năng lực và kỹ năng TIEU LUAN MOI download : skknchat@gmail.com 14 phù hợp. Về cơ bản, các chuẩn mực này không có nhiều khác biệt so với bộ chuẩn mực kiểm toán quốc tế (ISA - International Standards on Auditing) do IFAC (International Federation of Accountants) ban hành.
- Chuẩn mực thực hành (nhóm chuẩn mực 1200): bao gồm các nguyên tắc khi lập kế hoạch, giám sát, phạm vi kiểm toán, rủi ro và mức trọng yếu, phân bổ nguồn lực, bằng chứng kiểm toán và đảm bảo, thực hành đánh giá chuyên môn và thận trọng. - Chuẩn mực báo cáo (nhóm chuẩn mực 1400): đề cập đến các lại báo cáo, phương tiện thông tin và các thông tin nên được trao đổi. • Phần hướng dẫn với 15 hướng dẫn - Các hướng dẫn được soạn thảo nhằm tạo sự liên kết giữa các chuẩn mực với nhau, đồng thời liên kết giữa chuẩn mực với CobiT nhằm diễn giải cụ thể hơn các nguyên tắc trong các chuẩn mực với số hiệu tương ứng với số hiệu của chuẩn mực và được đánh số bắt đầu từ 2000. Các số hiệu trong chuẩn mực và hướng dẫn chỉ có ý nghĩa định danh, không thể hiện thứ tự áp dụng.
Khi thực hiện kiểm toán, kiểm toán viên phải xem xét các chuẩn mực và hướng dẫn trong mối quan hệ tương quan và bổ trợ lẫn nhau.2 Mục tiêu và vai trò của kiểm toán hệ thống công nghệ thông tin Từ khi ra đời cho đến nay, tuy thời gian phát triển của kiểm toán CNTT tương đối ngắn so với quá trình phát triển dài hàng trăm năm của nghề kiểm toán và sự phát triển đó gắn liền với sự phát triển của công nghệ thông tin, kiểm toán CNTT đã trải qua không ít thay đổi. Tuy không có định nghĩa thống nhất trên thế giới về khái niệm kiểm toán CNTT cho đến nay, nhiều tác giả đã mô tả kiểm toán CNTT bằng cách đưa ra các phân loại khác nhau về mục tiêu. Theo Goodman và Lawless (1994), có ba hướng tiếp cận để hình thành nên kiểm toán CNTT bao gồm: TIEU LUAN MOI download : skknchat@gmail.com 15 - Kiểm toán quy trình đổi mới công nghệ (Technological innovation process audit): Cuộc kiểm toán này xây dựng một hồ sơ rủi ro cho các dự án hiện có và dự án mới. Cuộc kiểm toán sẽ đánh giá mức kinh nghiệm của doanh nghiệp đối với công nghệ đã chọn cũng như độ phổ biến của công nghệ đó trên thị trường, trong cấu trúc mỗi dự án và trong thị phần của nền công nghiệp của dự án đó.
- Kiểm toán so sánh cải tiến (Innovative comparison audit): cuộc kiểm toán này đánh giá khả năng cải tiến của doanh nghiệp được kiểm toán so với đối thủ của nó. Cuộc kiểm toán này cần sử dụng đánh giá của các công ty và viện nghiên cứu phát triển cũng như các bản báo cáo theo dõi sản xuất sản phẩm mới trên thực tế của doanh nghiệp. - Kiểm toán vị thế công nghệ (Technological position audit): cuộc kiểm toán này đánh giá các công nghệ mà doanh nghiệp đang sở hữu hoặc cần trang bị. Giai đoạn 1994 là thời kỳ vàng khi khoa học máy tính không chỉ bị giới hạn phục vụ trong các môi trường chuyên môn như phòng nghiên cứu, thí nghiệm, cục thống kê, ngân hàng… mà dần dần tiếp cận doanh nghiệp và mở rộng sang người dùng phổ thông với giá thành thiết bị rẻ, sử dụng đơn giản.
Cách phân loại của Goodman và Lawless mang trọng tâm là công nghệ vì bị ảnh hưởng nhiều bởi sự phát triển của khoa học máy tính trong thời kỳ này. Ngoài ra, kiểm toán CNTT còn được chia thành 5 nhóm theo đối tượng kiểm toán là: - Hệ thống và ứng dụng (Systems and Applications): Cuộc kiểm toán xác minh các hệ thống và các ứng dụng là phù hợp, có hiệu quả, và được kiểm soát đầy đủ để đảm bảo tính hợp lệ, đáng tin cậy, kịp thời và an toàn ở đầu vào, xử lý, và đầu ra ở tất cả các cấp độ hoạt động của hệ thống. - Phương tiện xử lý thông tin (Information Processing Facilities): Cuộc kiểm toán xác minh các phương tiện xử lý được kiểm soát để đảm bảo xử lý kịp TIEU LUAN MOI download : skknchat@gmail.com 16 thời, chính xác và hiệu quả dưới các điều kiện hoạt động bình thường hoặc có khả năng bị gián đoạn. - Phát triển hệ thống (Systems Development): Cuộc kiểm toán để xác minh hệ thống được phát triển đáp ứng các mục tiêu của tổ chức, và để đảm bảo rằng hệ thống được phát triển phù hợp với các tiêu chuẩn được chấp nhận chung cho sự phát triển hệ thống.
- Quản lý CNTT và kiến trúc doanh nghiệp (Management of IT and Enterprise Architecture): Cuộc kiểm toán xác minh ban quản lý CNTT đã phát triển một cơ cấu có trật tự và xây dựng thủ tục để đảm bảo một môi trường kiểm soát hiệu quả cho hoạt động xử lý thông tin. - Máy khách/máy chủ, mạng viễn thông, mạng nội bộ và mạng nội bộ mở rộng (Client/Server, Telecommunications, Intranets, and Extranets): Cuộc kiểm toán xác minh các kiểm soát viễn thông đã được thiết lập tại máy khách (máy tính nhận dịch vụ), máy chủ và trên mạng kết nối các máy khách và máy chủ. Tuy việc phân loại kiểm toán CNTT khá đa dạng và có nhiều quan điểm, tuy nhiên công việc chung của kiểm toán CNTT vẫn xoay quanh hai khía cạnh chính là việc đánh giá kiểm soát chung môi trường và hệ thống đồng thời kiểm soát ứng dụng. Theo Weber (1998), kiểm toán CNTT là quy trình thu thập và đánh giá bằng chứng để xác minh một hệ thống công nghệ thông tin có đảm bảo an toàn tài sản, toàn vẹn dữ liệu, đạt được mục đích tổ chức một cách hữu hiệu và tiêu thụ tài nguyên một cách hiệu quả.
Trong phạm vi của đề tài, các mục tiêu trên được thực hiện từng phần và có chọn lọc nhằm hỗ trợ cho mục tiêu chung của toàn cuộc kiểm toán là đưa ra ý kiến trên BCTC của đơn vị được kiểm toán. Ngày nay, hệ thống thông tin trở nên phức tạp với nhiều thành phần hợp thành hỗ trợ lẫn nhau để đưa ra giải pháp kinh doanh.