Quá Trình Kiểm Toán Công Nghệ Thông Tin Cho Doanh Nghiệp Tại KPMG

Kiểm toán CNTT liên quan đến việc đánh giá và thẩm định cơ sở hạ tầng CNTT, ứng dụng, sử dụng và quản lý dữ liệu, chính sách, thủ tục và quy trình hoạt động của một tổ chức so với các tiêu chuẩn hoặc hướng dẫn đã được thiết lập. Mục đích của các cuộc kiểm toán này là để xác định xem các biện pháp kiểm soát tại chỗ có bảo vệ hiệu quả các tài sản công nghệ thông tin và phù hợp với các mục tiêu và mục tiêu của tổ chức hay không, đảm bảo tính toàn vẹn và an ninh của chúng. European Court of Accounts' Guide (2011) đã nêu: “Khi đánh giá tính chính xác của hệ thống kiểm soát nội bộ, tính hợp lệ của các giao dịch và tính chính xác của kế toán, các rủi ro liên quan đến CNTT phải được xem xét.”

Nghiên cứu này điều tra tầm quan trọng của kiểm toán CNTT và các trách nhiệm cụ thể của kiểm toán viên CNTT ở các cấp độ khác nhau của nhân viên KPMG tham gia vào các hợp đồng kiểm toán. Các mục tiêu chính của nghiên cứu như sau: Phân tích vai trò của Kiểm toán CNTT. Kiểm tra cơ sở nghiên cứu và phân tích của từng hợp đồng kiểm toán CNTT. Kiểm tra các phương pháp của KPMG để thực hiện đánh giá hệ thống CNTT.

Bài báo của B. Nugroho (2018) thảo luận về vai trò của kiểm toán CNTT trong kỷ nguyên chuyển đổi số. Trong kỷ nguyên số, rủi ro CNTT là một mối quan tâm lớn đối với ban quản lý cấp cao, vì nó có thể đe dọa môi trường CNTT và thậm chí toàn bộ hoạt động kinh doanh. Kiến thức hạn chế về CNTT gây khó khăn cho ban quản lý cấp cao trong việc đánh giá hiệu quả của việc triển khai CNTT, do đó kiểm toán CNTT ngày càng trở nên quan trọng trong việc đảm bảo rằng việc triển khai CNTT không tạo ra những rủi ro không thể chấp nhận được.

Một nghiên cứu định tính của Mathew Nicho (2008) đã sử dụng nhiều nghiên cứu điển hình để phát hiện ra rằng các khuôn khổ kiểm toán CNTT và quản trị có thể được sử dụng để đo lường hiệu quả của các thực thể Hệ thống Thông tin một cách khoa học. Nghiên cứu cũng xác định các yếu tố có thể ảnh hưởng đến hiệu quả của các khuôn khổ này, chẳng hạn như sự phù hợp với các mục tiêu của tổ chức, việc sử dụng các số liệu tùy chỉnh và sự tham gia của các bên liên quan. Luận án đóng góp một số đóng góp cho lĩnh vực kiểm toán CNTT và quản trị, bao gồm cung cấp một khuôn khổ để đo lường hiệu quả của các thực thể IS, xác định các yếu tố có thể ảnh hưởng đến hiệu quả của các khuôn khổ này và cung cấp bằng chứng thực nghiệm để hỗ trợ việc sử dụng chúng.

Trước mỗi hợp đồng, nhóm quản lý (bao gồm Đối tác, Giám đốc và (các) Người quản lý hợp đồng) phụ trách hợp đồng sẽ xem xét và xác định các Rủi ro liên quan và phạm vi các biện pháp Kiểm soát CNTT của Khách hàng sẽ được kiểm toán. Xác định rõ ràng các mục tiêu sẽ giúp khách hàng tuân thủ phương pháp kiểm toán của KPMG, và nhóm ITA sẽ được định hướng để thực hiện kiểm toán các biện pháp kiểm soát CNTT thủ công và tự động, phục vụ cho kết quả cuối cùng tổng thể của cuộc kiểm toán báo cáo tài chính của khách hàng.

Sự gia tăng của các rủi ro dựa trên công nghệ đã dẫn đến sự nhấn mạnh lớn hơn vào các biện pháp kiểm soát tự động. Dự án này nhằm mục đích hỗ trợ xác định và kiểm tra các Biện pháp Kiểm soát Tự động (nếu có). Các phần tiếp theo nêu bật các khu vực xem xét ITA được yêu cầu. Xác định Biện pháp Kiểm soát Tự động (Kiểm soát Ứng dụng) đang được kiểm tra; Phạm vi GITC cho Biện pháp Kiểm soát Ứng dụng; Địa điểm kiểm toán – Văn phòng (các) của Khách hàng; Các sản phẩm bàn giao – Báo cáo cuối cùng để bàn giao cho Khách hàng.

Trung bình, một hợp đồng kiểm toán sẽ kéo dài từ 1 đến 3 tháng. Hầu hết các hợp đồng sẽ diễn ra trong mùa cao điểm kiểm toán của năm từ tháng 9 đến tháng 3 năm sau (6 tháng). Việc ước tính thời gian cũng sẽ có ý nghĩa nội bộ trong nhóm kiểm toán. KPMG quản lý hiệu suất chặt chẽ giữa các nhóm và nội bộ trong nhóm. Mỗi hợp đồng chỉ có một thời gian ước tính nhất định để triển khai, kiểm toán viên cần đảm bảo giờ làm việc của họ trong giai đoạn đó. Vượt quá số giờ triển khai sẽ ảnh hưởng đến hiệu suất làm việc, thời gian giao hàng cho khách hàng và uy tín của KPMG.

Hiểu rõ các lớp của hệ thống CNTT là yếu tố then chốt để kiểm toán hiệu quả. Hệ thống thông tin của doanh nghiệp thường bao gồm 4 lớp chính: Ứng dụng, Nền tảng cơ sở dữ liệu (Database), Hệ điều hành (Operating System), và Cơ sở hạ tầng mạng (Network Infrastructure). Mỗi lớp có các biện pháp kiểm soát riêng, và kiểm toán viên cần hiểu rõ cách chúng tương tác để bảo vệ dữ liệu và đảm bảo tính toàn vẹn của hệ thống.

Để xây dựng “IT understanding profile”, kiểm toán viên CNTT cần thu thập thông tin chi tiết về các quy trình kinh doanh CNTT, các ứng dụng đang sử dụng, cơ sở hạ tầng CNTT, chính sách và quy trình bảo mật, và các biện pháp kiểm soát đang được áp dụng. Thông tin này có thể được thu thập thông qua phỏng vấn, xem xét tài liệu và thực hiện các thử nghiệm kiểm soát.

Phương pháp này tập trung vào việc xác định xem các chính sách và quy trình có được tuân thủ đúng cách hay không. Kiểm tra tính tuân thủ bao gồm xem xét tài liệu, phỏng vấn nhân viên và quan sát các hoạt động. Ví dụ: kiểm tra xem nhân viên có tuân thủ chính sách bảo mật mật khẩu hay không.

Phương pháp này tập trung vào việc xác minh tính chính xác và đầy đủ của dữ liệu. Kiểm tra thực tế bao gồm kiểm tra dữ liệu trực tiếp, so sánh dữ liệu từ các nguồn khác nhau và thực hiện các phép tính lại. Ví dụ: kiểm tra xem số dư tài khoản có khớp với hồ sơ hay không.

Báo cáo tóm tắt cần nêu bật các điểm mạnh và điểm yếu của hệ thống kiểm soát CNTT. Đồng thời, cần nhấn mạnh các rủi ro CNTT quan trọng và những ảnh hưởng tiềm tàng của chúng đối với hoạt động kinh doanh và báo cáo tài chính.

Các khuyến nghị cần được trình bày rõ ràng, chi tiết và có tính khả thi cao. Đồng thời, cần xác định các bước cụ thể cần thực hiện, nguồn lực cần thiết và thời gian dự kiến để thực hiện các khuyến nghị này. Ngoài ra, báo cáo cần nhấn mạnh tầm quan trọng của việc thực hiện các khuyến nghị này để giảm thiểu rủi ro và cải thiện hoạt động kinh doanh.