Bối cảnh và vấn đề nghiên cứu

Trong xu hướng chuyển đổi số hiện nay, việc ứng dụng và phát triển công nghệ thông tin (CNTT) trong công tác quản trị, vận hành và sản xuất kinh doanh của các tổ chức ngày càng trở nên thiết yếu. Sự gia tăng của các hệ thống phức tạp như hệ thống hoạch định nguồn lực doanh nghiệp (ERP) đòi hỏi việc tăng cường quản trị rủi ro CNTT nhằm bảo đảm an ninh, tính toàn vẹn (integrity), tính sẵn sàng (availability) và độ tin cậy (reliability) của dữ liệu tài chính.

Tại Việt Nam, kiểm toán quy trình và hệ thống CNTT (IT Audit) là một lĩnh vực tương đối mới mẻ. Việc nghiên cứu chuyên sâu về vai trò của kiểm toán CNTT trong các hợp đồng kiểm toán báo cáo tài chính (audit engagements) của các công ty kiểm toán độc lập còn hạn chế; phần lớn các dịch vụ tư vấn và kiểm toán CNTT chuyên nghiệp hiện tập trung ở nhóm các công ty kiểm toán hàng đầu (Big Four, tiêu biểu là KPMG), trong khi các công ty kiểm toán quy mô nhỏ hơn chưa triển khai sâu rộng mảng nghiệp vụ này. Bên cạnh đó, sau sự ra đời của các khung pháp lý như Nghị định số 13/2023/NĐ-CP về bảo vệ dữ liệu cá nhân, yêu cầu kiểm toán và đánh giá an toàn hệ thống CNTT trong doanh nghiệp càng trở nên cấp thiết.

Khóa luận tốt nghiệp của tác giả Đỗ Duy Sơn (ngành Hệ thống thông tin quản lý, Trường Quốc tế – Đại học Quốc gia Hà Nội) tập trung phân tích thực tiễn áp dụng quy trình kiểm toán CNTT tại Công ty TNHH KPMG (KPMG Limited) Việt Nam.

Mục tiêu nghiên cứu:

  1. Phân tích vai trò của kiểm toán CNTT trong quy trình kiểm toán độc lập báo cáo tài chính.
  2. Khảo sát cơ sở dữ liệu và phương pháp phân tích của từng hợp đồng kiểm toán CNTT.
  3. Nghiên cứu phương pháp luận của KPMG trong việc thực hiện đánh giá hệ thống CNTT của doanh nghiệp.

Câu hỏi nghiên cứu:

  • RQ1: Để tiến hành đánh giá hệ thống CNTT, KPMG căn cứ vào những nguồn thông tin nào từ tổ chức được kiểm toán?
  • RQ2: KPMG sử dụng những công cụ và phương pháp luận nào để đánh giá hệ thống CNTT của doanh nghiệp?
  • RQ3: Làm thế nào để KPMG xác định và bảo đảm tính tin cậy của các kết quả đánh giá?

Đối tượng và phạm vi nghiên cứu:

  • Đối tượng nghiên cứu: Quy trình kiểm toán CNTT, vai trò và công việc thực tế của kiểm toán viên CNTT (IT Auditors) tại KPMG.
  • Đối tượng khảo sát/phỏng vấn: Các nhân sự kiểm toán CNTT thuộc các cấp bậc tại KPMG Việt Nam, bao gồm Tư vấn viên CNTT (IT Consultants/Assistants), Tư vấn viên giải pháp (Solution Consultants/Seniors), Quản lý (Managers) và Phó Giám đốc (Associate Directors).
  • Phạm vi không gian và thời gian: Dữ liệu phỏng vấn được thu thập từ tháng 3/2023 đến tháng 5/2023 tại KPMG Việt Nam. Dữ liệu thực nghiệm phân tích hồ sơ kiểm toán được thực hiện trên trường hợp nghiên cứu điển hình là một doanh nghiệp bảo hiểm (được ẩn danh dưới tên Công ty Bảo hiểm ABC) cho kỳ kiểm toán báo cáo tài chính từ ngày 01/01/2022 đến ngày 31/12/2022.
  • Giới hạn phạm vi: Đề tài chỉ nghiên cứu trong khuôn khổ kiểm toán CNTT hỗ trợ kiểm toán báo cáo tài chính độc lập, không mở rộng sang kiểm toán nhà nước (state audit) hoặc kiểm toán hoạt động (performance audit). Toàn bộ tên riêng, số liệu nhạy cảm của khách hàng đã được thay đổi hoặc ẩn danh nhằm tuân thủ chính sách bảo mật thông tin của KPMG.

Cơ sở lý thuyết và phương pháp

Khung lý thuyết và khái niệm sử dụng

Nghiên cứu vận dụng các khái niệm và chuẩn mực kiểm toán CNTT quốc tế và quy chuẩn nội bộ của KPMG:

  • Khái niệm Kiểm toán CNTT (IT Audit - ITA): Đánh giá hạ tầng CNTT, ứng dụng, việc sử dụng và quản lý dữ liệu, chính sách và quy trình vận hành so với các tiêu chuẩn nhằm đảm bảo các biện pháp kiểm soát bảo vệ tài sản CNTT phù hợp với mục tiêu tổ chức (dẫn chiếu theo Harvard Financial Administration, 2023; Hướng dẫn Kiểm toán trong môi trường CNTT của Tòa Thẩm kế Châu Âu - European Court of Accounts, 2011; Phương pháp luận KPMG, 2023).
  • Mô hình phân tầng hệ thống CNTT (IT Layers): Hệ thống CNTT doanh nghiệp được chia thành 4 tầng phục vụ đánh giá rủi ro:
    1. Tầng Ứng dụng (Application Layer): Nơi người dùng trực tiếp thao tác thu thập, xử lý và trích xuất dữ liệu.
    2. Tầng Cơ sở dữ liệu (Database Layer - DB): Nơi lưu trữ, quản lý và cập nhật dữ liệu.
    3. Tầng Hệ điều hành (Operating System Layer - OS): Điều khiển hệ thống và cung cấp nền tảng chạy phần mềm.
    4. Tầng Mạng (Network Layer): Phần cứng và phần mềm phục vụ trao đổi dữ liệu nội bộ và bên ngoài.
  • Phân loại kiểm soát CNTT:
    • Kiểm soát chung CNTT (General IT Controls - GITC): Kiểm soát bao trùm môi trường CNTT, tạo nền tảng cho sự vận hành ổn định của các kiểm soát tự động. GITC gồm 4 miền: Kiểm soát truy cập (Access Controls - APD), Quản lý thay đổi (Change Management - CM), Quản lý phát triển chương trình (Program Development Management - PD), và Vận hành máy tính (Computer Operations - CO).
    • Kiểm soát ứng dụng CNTT (IT Application Controls - ITAC): Các điểm kiểm soát tự động hoặc bán tự động gắn liền với quy trình nghiệp vụ và hệ thống cụ thể.
  • Các khái niệm rủi ro và đánh giá: Rủi ro phát sinh từ CNTT (Risks Arising from IT - RAFIT), Rủi ro gắn liền với kiểm soát (Risks Associated with the Control - RAWTC), Điểm rủi ro quy trình (Process Risk Point - PRP), Rủi ro có sai sót trọng yếu (Risk of Material Misstatement - RMM). Phân loại RAWTC theo 4 cấp độ: Cơ bản (Base), Tăng cao (Elevated), Đáng kể (Significant), và Đáng kể nâng cao (Significant+).

Phương pháp nghiên cứu

Tác giả sử dụng phương pháp nghiên cứu định tính thuần túy (purely qualitative research method) kết hợp phân tích tình huống thực tế:

  • Thu thập dữ liệu kiểm toán: Dựa trên 4 kỹ thuật chính của KPMG:
    1. Phỏng vấn (Inquiry): Phỏng vấn trực tiếp cán bộ phụ trách vận hành và quản trị hệ thống CNTT của khách hàng thông qua bảng câu hỏi khảo sát chuẩn bị trước.
    2. Kiểm tra (Inspection): Xem xét tài liệu do khách hàng cung cấp (Documents Provided by Client) và giám sát việc thực hiện các thủ tục kiểm soát trên hệ thống.
    3. Quan sát (Observation): Trực tiếp quan sát quy trình nghiệp vụ được thực hiện.
    4. Thực hiện lại (Reperformance): Kiểm toán viên độc lập thực hiện lại các thủ tục, tính toán hoặc vận hành kiểm soát để đối chiếu kết quả.
  • Phương pháp kiểm thử kiểm soát:
    • Kiểm thử Thiết kế và Thực thi (Design & Implementation - D&I Testing): Đánh giá cấu trúc kiểm soát có được thiết kế phù hợp để ngăn chặn rủi ro (RAFIT) và có thực sự được đưa vào vận hành hay không.
    • Kiểm thử Tính hiệu lực vận hành (Test of Operating Effectiveness - TOE): Kiểm tra tính hoạt động liên tục, nhất quán của kiểm soát trong suốt kỳ kiểm toán dựa trên mẫu kiểm toán đại diện.
    • Kiểm thử Tính chính xác và Đầy đủ của dữ liệu (Accuracy & Completeness - A&C Testing): Đánh giá tính toàn vẹn của dữ liệu đầu vào và các báo cáo do hệ thống trích xuất.
  • Phương pháp xác định cỡ mẫu kiểm toán (Sampling): Áp dụng theo hướng dẫn kiểm toán của KPMG dựa trên hai căn cứ:
    • Dựa trên quy mô tổng thể (Population Size):
Số lượng đơn vị trong tổng thể Base Elevated Significant Significant+
Dưới hoặc bằng 10 5 7 10 10
11 – 49 10 15 20 25
50 – 249 15 25 45 80
250 trở lên 15 30 60 120
  • Dựa trên tần suất kiểm soát (Frequency of Control):
Tần suất kiểm soát Base Elevated Significant Significant+
Hàng năm (Annual) 1 1 1 1
Hàng quý (Quarterly) 1 + 1* 1 + 1* 1 + 1* 1 + 1*
Hàng tháng (Monthly) 2 3 3 4
Hàng tuần (Weekly) 5 7 9 11
Hàng ngày (Daily) 15 20 25 30
Lặp lại liên tục (Recurring) 25 35 45 55

(Ghi chú: Đối với kiểm soát hàng quý, bắt buộc chọn 1 mẫu ở quý cuối năm và 1 mẫu ở một quý ngẫu nhiên).

  • Các kỹ thuật chọn mẫu: Chọn mẫu ngẫu nhiên (Random Sampling), chọn mẫu hệ thống (Systematic Sampling), chọn mẫu theo cụm (Cluster Sampling), và chọn mẫu theo xét đoán chuyên môn (Judgmental Sampling).

  • Công cụ quản lý dữ liệu kiểm toán: Sử dụng nền tảng kiểm toán thông minh tích hợp trên đám mây KPMG Clara để ghi nhận, phân tích dữ liệu và quản lý tiến độ kiểm toán 24/7.

Nội dung chính theo từng chương

Chương 1: Định nghĩa và khái niệm về Kiểm toán Công nghệ Thông tin (Definition and Concept of Information Technology Audit)

Chương này tổng thuật cơ sở lý luận về kiểm toán CNTT và vị trí của nó trong hoạt động kiểm toán hiện đại. Tác giả trình bày các định nghĩa chuẩn hóa từ các tổ chức chuyên môn và phân tích các nghiên cứu tiền nhiệm tiêu biểu:

  • Nghiên cứu của B. Nugroho (2018) về Vai trò của Kiểm toán CNTT trong Kỷ nguyên Chuyển đổi số, nhấn mạnh khoảng cách về kiến thức kỹ thuật của ban lãnh đạo cấp cao dẫn đến nhu cầu thiết lập kiểm toán CNTT độc lập để quản trị rủi ro công nghệ.
  • Nghiên cứu của Mathew Nicho (2008) về Sự liên kết hệ thống và các thước đo hiệu quả của Kiểm toán CNTT, đưa ra khung đo lường tính hiệu quả của các thực thể hệ thống thông tin thông qua kiểm toán và quản trị CNTT.
  • Khẳng định vai trò của kiểm toán CNTT trong việc hỗ trợ nhóm kiểm toán tài chính hiểu rõ môi trường công nghệ của khách hàng, nhận diện các điểm "What Could Go Wrong" (điều gì có thể sai sót), và đưa ra kết luận về độ tin cậy của các kiểm soát thủ công có thành phần tự động hoặc kiểm soát hoàn toàn tự động.

Chương 2: Thủ tục và phương pháp kiểm toán (Procedures and Audit Methods)

Chương 2 trình bày chi tiết cấu trúc ba giai đoạn của một dự án kiểm toán CNTT tại KPMG: Lập kế hoạch (Planning), Kiểm thử kiểm soát (Test of Controls), và Tổng hợp, đánh giá khiếm khuyết (Summarizing and Evaluating Deficiencies).

Nội dung trọng tâm của chương tập trung vào việc chuẩn hóa các thuộc tính kiểm soát (Control Attributes) trong hệ thống GITC của KPMG:

  1. Kiểm soát truy cập (Access Controls - APD):
    • APD1 (Chính sách bảo mật/mật khẩu): Xác định các thuộc tính cấu hình độ dài tối thiểu, độ phức tạp, thời hạn hiệu lực mật khẩu, lịch sử lưu mật khẩu, khóa tài khoản sau số lần nhập sai nhất định; quy trình phê duyệt tài khoản trùng lặp và tài khoản dùng chung.
    • APD2 (Cấp quyền và sửa đổi quyền người dùng): Quy trình phê duyệt cấp mới/sửa đổi quyền theo phân quyền trách nhiệm (Delegation of Authority) và đối chiếu vai trò công việc.
    • APD3 (Phân tách trách nhiệm và thu hồi quyền): Thu hồi kịp thời quyền truy cập của nhân sự nghỉ việc hoặc chuyển công tác (tự động hóa qua hệ thống nhân sự HR hoặc thủ công); rà soát định kỳ danh sách người dùng đang hoạt động.
    • APD4 (Quyền truy cập đặc quyền - Privileged Access): Quản lý tài khoản quản trị (Admin/Super user) trên các tầng OS, DB và Ứng dụng; cấp quyền tạm thời và cơ chế ghi log (nhật ký hệ thống) độc lập để giám sát hoạt động đặc quyền.
    • APD5 (Kiểm soát truy cập vật lý): Quản lý ra vào trung tâm dữ liệu/phòng máy chủ bằng thẻ từ và rà soát quyền định kỳ.
  2. Quản lý thay đổi (Change Management - CM):
    • Các kiểm soát CM1 đến CM5 quy định quy trình phê duyệt thay đổi chương trình, kiểm thử thay đổi trước khi đưa lên môi trường thật (Production), quản lý thay đổi khẩn cấp (Emergency changes), và yêu cầu tách biệt nghiêm ngặt giữa môi trường phát triển (Development) và môi trường vận hành thật (Production).
  3. Quản lý phát triển chương trình (Program Development Management - PD):
    • Quy định vòng đời phát triển phần mềm (SDLC) từ PD1 đến PD6: Đánh giá tính khả thi, xác định yêu cầu, thiết kế, phát triển, kiểm thử chấp nhận người dùng (UAT), chuyển đổi dữ liệu (Data Migration) và rà soát sau triển khai (Post-implementation review).
  4. Vận hành máy tính (Computer Operations - CO):
    • Các kiểm soát CO1 đến CO5: Lập lịch và theo dõi xử lý công việc tự động (Batch jobs), giám sát và xử lý lỗi job; quản lý sao lưu và phục hồi dữ liệu (Backup & Recovery) định kỳ; quy trình ghi nhận và xử lý sự cố CNTT theo cam kết chất lượng dịch vụ (SLA).
  5. Quy trình kiểm thử kiểm soát ứng dụng (ITAC):
    • Xác định điểm rủi ro quy trình (PRP), rủi ro sai sót trọng yếu (RMM), kết hợp kiểm thử D&I và TOE (đối với ITAC, TOE chỉ cần chọn 1 mẫu cho 1 kịch bản kiểm thử), cùng việc thực hiện thử nghiệm xâm nhập/đánh giá chuẩn đối sánh (Penetration Test/Benchmarking).

Chương 3: Lập kế hoạch kiểm toán CNTT cho Công ty Bảo hiểm ABC (Planning for ABC Insurance IT Audit Engagement)

Chương 3 áp dụng quy trình kiểm toán vào trường hợp thực tế tại Công ty Bảo hiểm ABC nhằm hỗ trợ kiểm toán báo cáo tài chính cho năm tài chính kết thúc ngày 31/12/2022.

  • Xác định phạm vi kiểm soát ứng dụng (ITAC Scoping):
    • Hệ thống CNTT cốt lõi của ABC Insurance gồm 2 nền tảng: Hệ thống P400 (Core Insurance - xử lý toàn bộ nghiệp vụ bảo hiểm) và Hệ thống Oracle (xử lý hạch toán tài chính).
    • Hai kiểm soát tự động được đưa vào phạm vi kiểm thử:
      1. ITAC-01: Tính toán phí bảo hiểm chưa được hưởng (Unearned premiums) trên hệ thống P400.
      2. ITAC-02: Tính toán phí tái bảo hiểm (Reinsurance premium) trên hệ thống P400.
  • Xác định phạm vi kiểm soát chung (GITC Scoping):
    • Do trong năm 2022 đơn vị không phát triển hay nâng cấp hệ thống lớn, miền Quản lý phát triển chương trình (PD) không nằm trong phạm vi kiểm thử.
    • Ba kiểm soát GITC trọng yếu được lựa chọn kiểm thử trên cả hai hệ thống P400 và Oracle:
      1. APD1-2: Ngoại lệ đối với chính sách mật khẩu và phân quyền truy cập.
      2. CM5-1: Phân quyền cập nhật thay đổi vào môi trường Production và sự phân tách với môi trường phát triển.
      3. CO5-1: Theo dõi và xử lý sự cố CNTT ảnh hưởng đến các tiến trình của hệ thống P400 và Oracle.
  • Hồ sơ tìm hiểu hệ thống CNTT của ABC Insurance:
    • Cơ cấu tổ chức: Phòng CNTT đặt tại Hội sở Hà Nội (gồm Trưởng phòng CNTT, Quản lý CNTT, Chuyên viên cấp cao và Chuyên viên CNTT). Đơn vị có Ủy ban An toàn Thông tin (ISC) và Đội Ứng cứu Sự cố An ninh mạng.
    • Hạ tầng CNTT: Trung tâm dữ liệu chính (Primary Data Center) và Trung tâm dữ liệu dự phòng (Backup Site) đều đặt tại Hội sở và chỉ nhân sự IT mới có quyền tiếp cận.
    • Hiện trạng an toàn thông tin: Đơn vị có 15 ứng dụng kết nối Internet (Internet-facing applications như cổng e-Policy, e-Claim, Hóa đơn điện tử, VPN, VOIP...); đã thực hiện kiểm thử xâm nhập (Pen test) vào tháng 12/2022 (đang khắc phục 6/10 lỗ hổng phát hiện). Tuy nhiên, ABC Insurance chưa ban hành chiến lược/chính sách an ninh mạng chính thức theo các khung chuẩn mực quốc tế (như ISO 27000, NIST).
    • Chính sách mật khẩu thực tế được ghi nhận:
Tham số cấu hình Ứng dụng Oracle Hệ điều hành Oracle (AIX) Đăng nhập hệ thống P400
Độ dài tối thiểu Không áp dụng tham số riêng 8 ký tự 8 ký tự
Lịch sử mật khẩu (không trùng lại) 32 lần gần nhất 24 lần gần nhất Không tái sử dụng trong 365 ngày
Thời hạn hiệu lực tối đa (Password Age) 60 ngày 90 ngày 60 ngày
Khóa tài khoản sau số lần nhập sai 3 lần 3 lần 3 lần
Độ phức tạp Bắt buộc chữ, số Bắt buộc chữ, số Bắt buộc
Thời gian chờ ngắt phiên (Time-out) 15 phút Không ghi nhận Không ghi nhận
  • Quản lý tài khoản quản trị: Tài khoản quản trị tầng DB và OS của hệ thống P400 do Hội sở khu vực (Singapore) quản lý trực tiếp; đội ngũ IT tại Việt Nam không được cấp quyền truy cập.
  • Vận hành máy tính: Quy trình xử lý batch job cuối ngày (End of Day - EOD) tuân thủ quy trình vận hành ITSP03, bao gồm lập danh mục kiểm tra (EOD checklist), kiểm tra đóng điểm bán (POS signoff) và phân phối báo cáo qua hàng đợi.

Chương 4: Thực hiện kiểm thử kiểm soát CNTT và đánh giá khiếm khuyết (IT Controls Testing, Summarizing and Evaluating Deficiencies)

Chương này phản ánh việc triển khai thực tế các thủ tục kiểm thử D&I, TOE cho các kiểm soát GITC, A&C và ITAC tại Bảo hiểm ABC.

  • Thực hiện kiểm thử tính thiết kế và thực thi (D&I) đối với việc phân quyền tài khoản đặc quyền, cấu hình thông số mật khẩu, và quy trình phân tách môi trường phát triển/vận hành dựa trên địa chỉ IP truy cập.
  • Kiểm tra tính chính xác và đầy đủ (A&C Testing) đối với các danh mục trích xuất từ P400 (như danh mục loại hợp đồng bảo hiểm, doanh thu phí gốc, cấu hình tham số tính phân bổ doanh thu theo ngày - method 3).
  • Kiểm thử chi tiết kiểm soát ứng dụng ITAC-01 (tính toán phí chưa được hưởng): Xác minh logic phân bổ doanh thu phí bảo hiểm theo ngày của từng dòng sản phẩm bảo hiểm nông nghiệp (CDF Agricultural Machinery), bảo hiểm trực tiếp.
  • Đánh giá và tổng hợp các khiếm khuyết kiểm soát: Các điểm yếu phát hiện trong quá trình kiểm toán được ghi nhận trực tiếp vào hệ thống KPMG Clara và tóm tắt trong Biên bản tóm tắt kiểm toán CNTT (ITA Summary Memo) để báo cáo Giám đốc (Director) và Thành viên điều hành (Partner) phụ trách cuộc kiểm toán.

Chương 5: Tóm tắt phát hiện, khuyến nghị và kết luận (Summary of Findings, Recommendations, and Conclusion)

Chương cuối cùng tổng kết các bài học kinh nghiệm từ quy trình kiểm toán CNTT thực tế và đề xuất các giải pháp nhằm hoàn thiện quy trình kiểm toán hệ thống thông tin tại các doanh nghiệp và cải thiện năng lực kiểm toán CNTT tại Việt Nam.

Kết quả và đóng góp

Kết quả nghiên cứu chính

  1. Minh họa chuẩn hóa quy trình kiểm toán CNTT theo phương pháp luận KPMG:
    • Hệ thống hóa toàn bộ khung kiểm soát chung GITC (gồm 19 nhóm thuộc tính kiểm soát chi tiết từ APD1 đến CO5) và quy trình kiểm soát ứng dụng ITAC.
    • Cung cấp mô hình định lượng xác định cỡ mẫu kiểm toán kết hợp giữa quy mô tổng thể/tần suất kiểm soát với 4 cấp độ rủi ro liên quan (RAWTC: Base, Elevated, Significant, Significant+).
  2. Kết quả thực nghiệm tại Công ty Bảo hiểm ABC:
    • Hoàn thành hồ sơ tìm hiểu hệ thống thông tin (IT understanding profile) bao gồm cơ cấu tổ chức, 2 ứng dụng trọng yếu (P400 và Oracle), 15 ứng dụng giao tiếp Internet, hạ tầng máy chủ và chính sách bảo mật thực tế.
    • Đánh giá thực trạng quản lý an ninh mạng tại đơn vị: phát hiện điểm hạn chế là đơn vị chưa áp dụng khung chuẩn an ninh mạng quốc tế (ISO 27000/NIST) và còn tồn tại lỗ hổng an ninh mạng đang xử lý (6/10 lỗ hổng đã được khắc phục sau đợt kiểm thử tháng 12/2022).
    • Thực hiện kiểm thử thành công tính thiết kế, vận hành và tính toàn vẹn dữ liệu đối với 3 kiểm soát GITC (APD1-2, CM5-1, CO5-1) và các kiểm soát tự động tính toán phí bảo hiểm (ITAC-01, ITAC-02).

Đóng góp của đề tài

  • Khóa luận đóng góp vào tài liệu nghiên cứu thực tiễn về kiểm toán hệ thống thông tin tại Việt Nam – một mảng nghiệp vụ chuyên sâu còn thiếu hụt tài liệu mô tả chi tiết quy trình tác nghiệp.
  • Làm rõ vai trò cầu nối của kiểm toán viên CNTT trong việc củng cố độ tin cậy của báo cáo tài chính trong môi trường doanh nghiệp số hóa cao.

Hạn chế và hướng nghiên cứu tiếp

  • Hạn chế về phạm vi dữ liệu: Do chính sách bảo mật nghiêm ngặt của KPMG và khách hàng, các số liệu tài chính cụ thể, tên thật của doanh nghiệp và một số bằng chứng kiểm toán nhạy cảm (như hình ảnh bằng chứng an ninh mạng chi tiết, danh sách cấu hình máy chủ bảo mật) phải được ẩn danh, chỉnh sửa hoặc không thể hiển thị đầy đủ trong văn bản.
  • Hạn chế về loại hình kiểm toán: Đề tài chỉ khảo sát quy trình kiểm toán CNTT phục vụ cho kiểm toán báo cáo tài chính độc lập; chưa bao quát các loại hình kiểm toán CNTT chuyên biệt khác như kiểm toán tuân thủ an toàn thông tin chuyên sâu, kiểm toán hiệu năng hệ thống hay kiểm toán nhà nước.
  • Hướng nghiên cứu tiếp: Mở rộng nghiên cứu áp dụng quy trình kiểm toán CNTT cho các hệ thống ERP phức tạp đa phân hệ (như SAP S/4HANA, Microsoft Dynamics) tại các tập đoàn sản xuất - bán lẻ quy mô lớn, hoặc nghiên cứu tác động của các quy định pháp lý mới về an ninh mạng và bảo vệ dữ liệu cá nhân đối với quy trình đánh giá rủi ro kiểm toán.

Giá trị tham khảo

  • Đối với sinh viên và học viên chuyên ngành Hệ thống thông tin quản lý (MIS), Công nghệ thông tin và Kiểm toán - Kế toán: Tài liệu cung cấp góc nhìn thực tế về nghề nghiệp Kiểm toán CNTT (IT Audit), quy trình làm việc chuẩn tại công ty Big Four (KPMG) và cách thức các kiến thức hệ thống thông tin được áp dụng trong kiểm toán tài chính.
  • Đối với chuyên viên kiểm toán và quản trị rủi ro CNTT: Cung cấp khung tham chiếu chi tiết về bộ thuộc tính kiểm soát GITC (APD, CM, PD, CO), ma trận chọn mẫu kiểm toán theo rủi ro, và kỹ thuật kiểm thử kiểm soát ứng dụng tự động (ITAC).

Câu hỏi thường gặp

1. Bốn tầng cấu trúc hệ thống CNTT mà kiểm toán viên KPMG sử dụng để đánh giá rủi ro là gì?

Theo tài liệu, hệ thống CNTT của doanh nghiệp được phân tích theo 4 tầng (IT Layers):

  • Tầng Ứng dụng (Application): Giao diện thao tác của người dùng để thu thập, xử lý và trích xuất dữ liệu.
  • Tầng Cơ sở dữ liệu (Database - DB): Nơi lưu trữ, quản lý và cập nhật dữ liệu.
  • Tầng Hệ điều hành (Operating System - OS): Nền tảng điều khiển hệ thống và thực thi phần mềm.
  • Tầng Mạng (Network): Hạ tầng phần cứng và phần mềm truyền thông tin nội bộ và bên ngoài.

2. Bốn phương pháp thu thập bằng chứng kiểm toán được KPMG áp dụng trong kiểm toán CNTT là gì?

KPMG sử dụng 4 phương pháp:

  • Phỏng vấn (Inquiry): Trao đổi trực tiếp với nhân sự phụ trách vận hành và kiểm soát hệ thống.
  • Kiểm tra (Inspection): Kiểm tra tài liệu, chứng từ và giám sát nhân sự vận hành thực hiện thủ tục.
  • Quan sát (Observation): Trực tiếp theo dõi một tiến trình hoặc thủ tục đang được thực thi.
  • Thực hiện lại (Reperformance): Kiểm toán viên độc lập thực hiện lại các thao tác, tính toán hoặc quy trình để đối chiếu kết quả.

3. Trong trường hợp nghiên cứu điển hình tại Công ty Bảo hiểm ABC, những hệ thống ứng dụng và kiểm soát ITAC nào được đưa vào phạm vi kiểm toán?

  • Hệ thống ứng dụng: Hệ thống P400 (hệ thống bảo hiểm cốt lõi - Core Insurance, gồm các tầng Application, Database, OS) và phần mềm Oracle (hệ thống kế toán tài chính).
  • Kiểm soát tự động (ITAC): ITAC-01 (tự động tính phí bảo hiểm chưa được hưởng - Unearned premiums) và ITAC-02 (tự động tính phí tái bảo hiểm - Reinsurance premium).

4. Tại sao miền kiểm soát Quản lý phát triển chương trình (Program Development - PD) không được kiểm thử tại Công ty Bảo hiểm ABC trong năm kiểm toán 2022?

Theo xác nhận trong hồ sơ kiểm toán, trong năm tài chính 2022, Công ty Bảo hiểm ABC không thực hiện bất kỳ hoạt động mua sắm mới, phát triển mới hay nâng cấp lớn nào đối với các chương trình phần mềm, do đó nhóm kiểm toán không đưa các kiểm soát PD vào phạm vi kiểm thử.

5. Nền tảng công nghệ nào được kiểm toán viên KPMG sử dụng để lưu trữ và quản lý dữ liệu kiểm toán?

Kiểm toán viên KPMG tập hợp toàn bộ hồ sơ, kết quả kiểm thử và đánh giá trên nền tảng đám mây tích hợp có tên là KPMG Clara, hỗ trợ phân tích dữ liệu, tự động hóa kiểm toán và hiển thị tiến độ 24/7.

Kết luận

Khóa luận tốt nghiệp của tác giả Đỗ Duy Sơn đã hệ thống hóa một cách chi tiết quy trình kiểm toán công nghệ thông tin tại Công ty TNHH KPMG, từ khung lý thuyết, phương pháp chọn mẫu, cấu trúc kiểm soát chung (GITC) đến kiểm thử kiểm soát ứng dụng (ITAC). Thông qua nghiên cứu trường hợp thực tế tại Công ty Bảo hiểm ABC, công trình làm rõ cách thức thu thập bằng chứng, đánh giá rủi ro hệ thống P400 và Oracle, cũng như việc xác định các khiếm khuyết công nghệ. Đây là tài liệu tham khảo có giá trị chuyên môn cao đối với sinh viên ngành Hệ thống thông tin quản lý và các kiểm toán viên mong muốn tìm hiểu sâu về thực hành kiểm toán hệ thống thông tin tại Việt Nam.