Giới thiệu dự án

Trong kỷ nguyên chuyển đổi số và cuộc Cách mạng Công nghiệp 4.0, hơn 90% giao dịch tài chính - kế toán tại các doanh nghiệp quy mô vừa và lớn được thực hiện, xử lý và lưu trữ tự động thông qua Hệ thống Thông tin Kế toán (Accounting Information System - AIS) và các hệ thống hoạch định nguồn lực doanh nghiệp (Enterprise Resource Planning - ERP) như SAP ERP, Oracle EBS, Microsoft Dynamics 365. Sự dịch chuyển từ hệ thống ghi chép thủ công sang môi trường tự động hóa mang lại hiệu suất vượt trội nhưng đồng thời tạo ra các rủi ro hệ thống nghiêm trọng liên quan đến tính toàn vẹn, bảo mật và tính sẵn sàng của dữ liệu tài chính.

Theo chuẩn mực kiểm toán quốc tế (ISA 315) và quy định của Đạo luật Sarbanes-Oxley (SOX Section 404), quy trình kiểm toán báo cáo tài chính (BCTC) bắt buộc phải đánh giá môi trường kiểm soát công nghệ thông tin nhằm đảm bảo rằng các báo cáo tài chính không chứa đựng những sai sót trọng yếu do lỗi phần mềm, gian lận công nghệ hoặc lỗ hổng bảo mật.

                  ┌──────────────────────────────────────────────┐
                  │          The Fraud Triangle Matrix           │
                  ├──────────────────────────────────────────────┤
                  │  1. Opportunity (Cơ hội): Lỗ hổng ITGC/SoD   │
                  │  2. Pressure (Áp lực): Chỉ tiêu tài chính    │
                  │  3. Rationalization (Hợp lý hóa hành vi)     │
                  └──────────────────────────────────────────────┘

Vấn đề cốt lõi đặt ra là: Nếu hệ thống Kiểm soát chung Công nghệ thông tin (Information Technology General Controls - ITGC) bị vô hiệu hóa hoặc vận hành không hiệu quả, nguy cơ xuất hiện gian lận và nhầm lẫn theo mô hình Tam giác Gian lận (Fraud Triangle) sẽ tăng vọt thông qua các hành vi truy cập trái phép vào cơ sở dữ liệu (DBMS), sửa đổi mã nguồn ứng dụng chưa qua phê duyệt, hoặc can thiệp trực tiếp vào số dư Sổ cái (General Ledger - GL).

Dự án khóa luận "Quy trình kiểm toán công nghệ thông tin tại Công ty Cổ phần Tư vấn EY Việt Nam" do sinh viên Phạm Thị Thanh Vân thực hiện dưới sự hướng dẫn khoa học của TS. Huỳnh Thị Ngọc Anh tại Trường Đại học Ngân hàng TP. Hồ Chí Minh đã giải quyết trọn vẹn bài toán tích hợp giữa Kiểm toán CNTT (IT Audit) và Kiểm toán Báo cáo tài chính.

Mục tiêu dự án

  1. Hệ thống hóa cơ sở lý luận về kiểm toán môi trường CNTT theo chuẩn mực ISACA, COBIT và phương pháp luận kiểm toán toàn cầu của Ernst & Young (EY GAMx).
  2. Phân tích chi tiết thực trạng triển khai 3 trụ cột ITGC (Manage Change, Manage Access, Manage Operation) và quy trình kiểm tra tính toàn vẹn của dữ liệu bút toán chi tiết (Journal Entry Testing - JE Testing) tại Công ty Z.
  3. Đánh giá tác động của kiểm toán ITGC đối với việc xác định phạm vi, phương pháp và khối lượng thử nghiệm cơ bản (Substantive Tests) trong kiểm toán tài chính.
  4. Đề xuất khung cải tiến kỹ thuật, tự động hóa quy trình kiểm toán dữ liệu lớn nhằm tối ưu hóa thời gian và giảm thiểu rủi ro kiểm toán (Audit Risk - AR).

Phạm vi và giới hạn hệ thống

  • Phạm vi đối tượng: Đánh giá hệ thống ITGC và kiểm tra tính chính xác, đầy đủ của dữ liệu sổ chi tiết (GL) đối chiếu với Bảng cân đối số phát sinh (Trial Balance - TB) cho niên độ tài chính 2022–2023.
  • Phạm vi kỹ thuật: Tập trung vào các lớp hệ điều hành (OS), hệ quản trị cơ sở dữ liệu (RDBMS), ứng dụng nghiệp vụ ERP và hạ tầng sao lưu/batch job.
  • Giới hạn: Không bao gồm kiểm tra thâm nhập chuyên sâu (Penetration Testing) cấp độ hạ tầng mạng vật lý ngoài phạm vi phục vụ báo cáo tài chính.

Phân tích và thiết kế giải pháp

Phân tích hiện trạng

Trong kiểm toán tài chính truyền thống, kiểm toán viên (KTV) thường dựa vào việc kiểm tra chọn mẫu chứng từ giấy (Vouching/Tracing). Tuy nhiên, trước các hệ thống xử lý hàng triệu dòng giao dịch mỗi ngày, cách tiếp cận này bộc lộ những lỗ hổng chí mạng.

Tiêu chí so sánh Phương pháp Kiểm toán Thủ công Khung Kiểm toán CNTT Tiêu chuẩn (COBIT/ISACA) Quy trình IT Audit Tích hợp tại EY Việt Nam
Độ bao phủ dữ liệu (Coverage) Chọn mẫu ngẫu nhiên (1–5% dữ liệu) Đánh giá tuân thủ chính sách IT tổng thể Kiểm tra 100% quần thể (Full Population JE Testing)
Đánh giá rủi ro hệ thống Bỏ qua hoặc đánh giá định tính sơ sài Đánh giá kỹ thuật độc lập với rủi ro tài chính Liên kết trực tiếp rủi ro ITGC với cơ sở dẫn liệu BCTC
Xác minh tính toàn vẹn Đối chiếu số học thủ công giữa GL và TB Sử dụng script kiểm tra log hệ thống Tự động hóa đối chiếu qua ETL pipeline và thuật toán SQL/Python
Phát hiện gian lận tự động Hiệu quả rất thấp với can thiệp DB trực tiếp Phát hiện qua phân quyền truy cập hệ điều hành Rà soát phân tách nhiệm vụ (SoD) kết hợp phân tích bất thường bút toán

Yêu cầu người dùng theo mô hình MoSCoW

  • Must have (Bắt buộc): Rà soát toàn bộ quyền quản trị đặc quyền (Superuser/Admin), kiểm tra phê duyệt và kiểm thử UAT cho 100% các bản phát hành mã nguồn thay đổi trong kỳ, đối chiếu chính xác tuyệt đối $\sum \text{Debit} = \sum \text{Credit}$ trên toàn bộ sổ cái.
  • Should have (Nên có): Kiểm tra tự động lịch sử thực thi Batch Job định kỳ, kiểm tra nhật ký khôi phục dữ liệu (Restore Log) định kỳ từ các bản Backup.
  • Could have (Có thể có): Tích hợp script phân tích các bút toán đăng tải vào ngày nghỉ, ngoài giờ làm việc hoặc bởi các tài khoản không thuộc phòng kế toán.
  • Won't have (Chưa thực hiện): Tự động hóa dịch ngược mã nguồn (Reverse engineering) của các ứng dụng đóng gói từ bên thứ ba.

Thiết kế hệ thống

Quy trình kiểm toán CNTT của nhóm Đánh giá Rủi ro Công nghệ Thông tin (ITRA) tại EY được thiết kế theo cấu trúc module đa tầng khép kín:

flowchart TD
    A["Giai đoạn Lập kế hoạch<br/>(Scoping & Risk Assessment)"] --> B["Đánh giá Môi trường CNTT<br/>(OS, DBMS, Network, ERP)"]
    B --> C{"Đánh giá Rủi ro Sơ bộ<br/>(Inherent Risk)"}
    
    C -->|Hệ thống phức tạp| D["Thực hiện Kiểm toán ITGCs"]
    C -->|Hệ thống thủ công| E["Chuyển giao Kiểm toán Tài chính Thuần túy"]
    
    subgraph ITGC_Framework ["Khung Kiểm toán ITGC (3 Trụ cột)"]
        D1["Manage Change<br/>(Yêu cầu, UAT, CAB, Release)"]
        D2["Manage Access<br/>(User Provisioning, Revocation, SoD)"]
        D3["Manage Operation<br/>(Backup/Restore, Batch Job Monitoring)"]
    end
    
    D --> ITGC_Framework
    ITGC_Framework --> F["Kiểm tra Tính Đầy đủ & Chính xác Dữ liệu<br/>(JE Testing: GL vs TB)"]
    
    F --> G{"Kết luận ITGC"}
    G -->|Hiệu quả| H["Giảm quy mô Thử nghiệm Cơ bản BCTC"]
    G -->|Không hiệu quả| I["Mở rộng phạm vi Kiểm tra BCTC & Phát hành Thư Quản lý"]

Technology Stack và Tiêu chuẩn Kỹ thuật

  • Framework kiểm toán: COBIT 2019, ISACA ITAF, AICPA SOC 1/SOC 2 (SSAE 16/18), ISO/IEC 27001:2022.
  • Công cụ xử lý và trích xuất dữ liệu: Python 3.10 (thư viện pandas 2.1.0, hashlib), Microsoft Excel 365 Advanced Power Query, SQL Server Management Studio (SSMS v19.1), ACL Analytics v16.
  • Môi trường cơ sở dữ liệu kiểm toán: Oracle Database 19c, Microsoft SQL Server 2019 Enterprise, SAP HANA 2.0.

Methodology

Quy trình kiểm toán áp dụng phương pháp luận tiếp cận theo rủi ro (Risk-based Audit Methodology), chia làm 4 mốc tiến độ chính (Milestones):

  1. Tuần 1–2 (Planning & Scoping): Xác định các ứng dụng trọng yếu (In-Scope Applications), lập ma trận rủi ro hệ thống.
  2. Tuần 3–6 (ITGC Execution): Phỏng vấn nhân sự IT, quan sát quy trình, thu thập cấu hình hệ thống, kiểm tra chi tiết các mẫu kiểm soát thay đổi, quản lý truy cập và sao lưu dữ liệu.
  3. Tuần 7–8 (JE Data Testing): Trích xuất toàn bộ dữ liệu Sổ cái (GL) và Bảng cân đối phát sinh (TB), thực hiện script kiểm tra tính toán vẹn và đối chiếu dòng tiền.
  4. Tuần 9–10 (Reporting & Sign-off): Tổng hợp khiếm khuyết kiểm soát (Control Deficiencies), phát hành Thư quản lý (Management Letter) và chuyển giao kết luận cho nhóm kiểm toán tài chính.

Implementation và kết quả

Development process

Quá trình thực thi kiểm toán ITGC và kiểm tra dữ liệu đòi hỏi việc kết hợp giữa kỹ thuật kiểm tra bằng chứng cấu hình và thực thi script tự động trên tập dữ liệu lớn.

                           Kiểm tra Bút toán (JE Testing)
                                         │
        ┌────────────────────────────────┴────────────────────────────────┐
        ▼                                                                 ▼
[GL Completeness Test]                                         [GL to TB Reconciliation]
∑ GL Transactions == Target Rows                               Sum(GL Debit/Credit) == Sum(TB Debit/Credit)

1. Kỹ thuật kiểm tra Phân tách nhiệm vụ (Segregation of Duties - SoD)

Kiểm tra chéo giữa nhóm nhân sự phát triển ứng dụng (Developers) và nhóm có quyền đưa mã nguồn lên môi trường Production (Release Management) để ngăn chặn việc chỉnh sửa mã nguồn tùy tiện.

-- Truy vấn phát hiện xung đột quyền SoD trên hệ thống cơ sở dữ liệu
SELECT 
    u.user_id,
    u.username,
    r.role_name,
    p.permission_name,
    p.environment
FROM sys_users u
JOIN user_roles ur ON u.user_id = ur.user_id
JOIN roles r ON ur.role_id = r.role_id
JOIN role_permissions rp ON r.role_id = rp.role_id
JOIN permissions p ON rp.permission_id = p.permission_id
WHERE p.permission_name IN ('CODE_DEPLOY_PROD', 'DIRECT_DB_UPDATE')
  AND u.user_id IN (
      SELECT DISTINCT dev_user_id 
      FROM development_audit_log 
      WHERE action_type = 'SOURCE_CODE_MODIFY'
  );

2. Thuật toán kiểm tra tính đầy đủ và toàn vẹn của Sổ cái (GL Integrity & JE Testing)

Quy trình đối chiếu tự động giữa tệp xuất dữ liệu sổ cái chi tiết (General Ledger) và Bảng cân đối thử (Trial Balance) nhằm phát hiện sai lệch số học hoặc việc can thiệp xóa dòng giao dịch.

import pandas as pd
import hashlib

def verify_journal_entry_integrity(gl_file_path: str, tb_file_path: str) -> dict:
    """
    Xác minh tính toán vẹn và đối chiếu số dư giữa General Ledger (GL) và Trial Balance (TB).
    """
    # 1. Đọc dữ liệu GL và TB
    df_gl = pd.read_csv(gl_file_path, dtype={'Account_No': str, 'Amount': float})
    df_tb = pd.read_csv(tb_file_path, dtype={'Account_No': str, 'Net_Change': float})
    
    # 2. Kiểm tra tính cân đối toán học của từng bút toán (Debit = Credit)
    total_debit = df_gl[df_gl['Dr_Cr_Flag'] == 'D']['Amount'].sum()
    total_credit = df_gl[df_gl['Dr_Cr_Flag'] == 'C']['Amount'].sum()
    imbalance = round(total_debit - total_credit, 4)
    
    # 3. Tính toán tổng phát sinh theo tài khoản từ sổ cái chi tiết
    gl_grouped = df_gl.groupby('Account_No')['Amount'].sum().reset_index()
    
    # 4. Đối chiếu (Reconciliation) GL với TB
    reconciliation = pd.merge(gl_grouped, df_tb, on='Account_No', how='outer', suffixes=('_GL', '_TB'))
    reconciliation['Variance'] = reconciliation['Amount'] - reconciliation['Net_Change']
    variances_found = reconciliation[reconciliation['Variance'].abs() > 0.001]
    
    # 5. Tạo mã băm SHA-256 xác thực file log
    with open(gl_file_path, "rb") as f:
        file_hash = hashlib.sha256(f.read()).hexdigest()
        
    return {
        "gl_row_count": len(df_gl),
        "total_debit": total_debit,
        "total_credit": total_credit,
        "is_gl_balanced": imbalance == 0.0,
        "imbalance_amount": imbalance,
        "reconciliation_variances_count": len(variances_found),
        "dataset_sha256": file_hash
    }

Testing và validation

Tại Công ty Khách hàng Z, nhóm ITRA đã thực hiện lấy mẫu thử nghiệm kiểm soát (Test of Controls - ToC) và thử nghiệm chi tiết (Substantive Testing) dựa trên quy mô quần thể giao dịch thực tế trong năm tài chính:

                  ┌──────────────────────────────────────────────┐
                  │    Sample Testing Distribution (Company Z)   │
                  ├──────────────────────────────────────────────┤
                  │  Change Requests Sampled: 25 / 120 (CAB OK)  │
                  │  User Access Logs Sampled: 30 / 180 (2 gaps) │
                  │  Backup Logs Sampled: 12 / 12 (100% OK)      │
                  │  JE Transactions Verified: 54,230 / 54,230   │
                  └──────────────────────────────────────────────┘
  • Quy trình Quản lý Thay đổi (Manage Change): Kiểm tra 25 mẫu thay đổi phát sinh từ 120 yêu cầu thay đổi hệ thống trong năm. Toàn bộ 25/25 mẫu đều có phiếu yêu cầu (Change Request Form), tài liệu kiểm thử người dùng (UAT Sign-off) và phê duyệt chuyển đổi môi trường của Hội đồng Phê duyệt Thay đổi (Change Advisory Board - CAB).
  • Quy trình Quản lý Truy cập (Manage Access): Kiểm tra 30 mẫu cấp phát quyền mới và 15 mẫu thu hồi quyền khi chấm dứt hợp đồng. Phát hiện 2 trường hợp nhân viên đã nghỉ việc quá 30 ngày nhưng tài khoản ERP chưa bị vô hiệu hóa kịp thời trên hệ thống Active Directory.
  • Quy trình Quản lý Vận hành (Manage Operation): Kiểm tra 12 bản ghi sao lưu định kỳ hàng tháng (Full Backup) và nhật ký khôi phục thử nghiệm (Disaster Recovery Simulation). 100% dữ liệu sao lưu được mã hóa chuẩn AES-256 và lưu trữ an toàn ngoài vùng lưu trữ chính (Off-site storage).
  • Kiểm tra Bút toán Sổ cái (JE Testing): Đã đối chiếu thành công toàn bộ 54.230 dòng bút toán với độ lệch cân đối $\Delta = 0.00 \text{ VND}$ giữa GL và TB.

Kết quả đạt được

Mục tiêu Đề ra Kết quả Đạt được trong Dự án Chỉ số Đo lường Hiệu năng
Xác lập độ tin cậy ITGC Xác định 2/3 nhóm kiểm soát đạt mức "Hiệu quả cao", 1 nhóm đạt mức "Cần cải thiện" 93.3% chốt kiểm soát tuân thủ hoàn toàn
Độ phủ kiểm tra dữ liệu GL Rà soát toàn bộ 100% số lượng bút toán thay vì chọn mẫu truyền thống 54.230 dòng dữ liệu được kiểm tra tự động
Tối ưu hóa nguồn lực kiểm toán Cho phép nhóm kiểm toán tài chính giảm tỷ lệ kiểm tra chi tiết chứng từ mua bán Giảm 35% số giờ kiểm toán phần hành Doanh thu/Chi phí
Báo cáo và Khuyến nghị Phát hành Báo cáo IT Audit và Thư quản lý cảnh báo lỗ hổng thu hồi quyền 4 kiến nghị khắc phục rủi ro được Ban Giám đốc phê duyệt

Đổi mới và đóng góp

  • Chuyển dịch sang Mô hình Kiểm toán Dựa trên Dữ liệu (Data-Driven IT Audit): Thay thế hoàn toàn việc kiểm tra thủ công bằng việc áp dụng các pipeline đối chiếu tự động bằng Python/SQL, nâng tốc độ xử lý đối chiếu tập dữ liệu lớn gấp 15 lần so với phương pháp thủ công trên bảng tính thông thường.
  • Tích hợp Chặt chẽ Ma trận ITGC và Cơ sở Dẫn liệu Tài chính: Thiết lập mối liên hệ trực tiếp giữa khiếm khuyết công nghệ (chậm thu hồi quyền user) với rủi ro gian lận số liệu tài chính trên BCTC, cung cấp bằng chứng rõ ràng để KTV tài chính điều chỉnh ngưỡng trọng yếu (Materiality Level).
  • Cải tiến Kỹ thuật Xác minh Toàn vẹn Dữ liệu: Ứng dụng hàm băm SHA-256 để niêm phong bằng chứng kiểm toán kỹ thuật số, đảm bảo bằng chứng kiểm toán không thể bị can thiệp hay thay đổi sau thời điểm trích xuất.

Ứng dụng thực tế và triển khai

Kịch bản Triển khai Thực tế

Phương pháp luận kiểm toán ITGC và JE Testing tại EY được áp dụng rộng rãi cho:

  1. Các tổ chức có lợi ích công chúng (PIE): Ngân hàng thương mại, công ty bảo hiểm, công ty đại chúng niêm yết trên sàn HOSE/HNX vận hành hệ thống Core Banking / Core Insurance.
  2. Doanh nghiệp ứng dụng ERP phức tạp: Doanh nghiệp sản xuất, bán lẻ đa kênh sử dụng SAP S/4HANA xử lý hàng chục triệu bản ghi tồn kho và hóa đơn điện tử mỗi tháng.

Phân tích Chi phí - Lợi ích (Cost-Benefit Analysis)

  • Chi phí triển khai: Đầu tư đào tạo kiểm toán viên năng lực phân tích dữ liệu và thiết lập hạ tầng kiểm toán dữ liệu.
  • Hiệu quả kinh tế (ROI):
    • Giảm thiểu 40% chi phí thời gian cho các thủ tục kiểm tra thủ công lặp lại.
    • Loại bỏ nguy cơ bị phạt vi phạm hành chính và tổn hại danh tiếng do báo cáo tài chính bị kiểm toán viên đưa ra ý kiến ngoại trừ hoặc từ chối do dữ liệu hệ thống không đáng tin cậy.
                         Lộ trình Chuyển đổi Kiểm toán CNTT
                                         │
        ┌────────────────────────────────┴────────────────────────────────┐
        ▼                                                                 ▼
[Tháng 1-2: Chuẩn hóa Quy trình]                               [Tháng 3-4: Triển khai Automation]
Xây dựng ITGC Matrix & Mapping SOX 404                         Tích hợp Python/SQL Scripts vào Data Pipeline

Hạn chế và hướng phát triển

Hạn chế kỹ thuật

  • Phụ thuộc vào chất lượng dữ liệu trích xuất ban đầu: Nếu khách hàng không cung cấp file log thô nguyên bản kèm checksum từ hệ điều hành, KTV phải mất thêm thời gian thực hiện thủ tục quan sát trực tiếp màn hình trích xuất (Live Extraction Observation).
  • Giới hạn kiểm tra trên môi trường Cloud thuần túy: Việc phân quyền theo kiến trúc dịch vụ vi mô (Microservices) và kiến trúc Serverless đòi hỏi các công cụ chuyên dụng phân tích IAM (Identity and Access Management) nâng cao mà bảng kiểm tra ITGC truyền thống chưa bao quát hết.

Hướng phát triển

  • Ứng dụng mô hình học máy không giám sát (Unsupervised Machine Learning - Isolation Forest) để tự động phát hiện các bút toán Sổ cái có hành vi bất thường mà các quy tắc tĩnh (Rule-based) không thể quét tới.
  • Xây dựng hệ thống Kiểm toán Liên tục (Continuous Auditing & Monitoring System - CAMS) kết nối trực tiếp qua API an toàn với cơ sở dữ liệu doanh nghiệp để giám sát rủi ro ITGC theo thời gian thực (Real-time).

Đối tượng hưởng lợi

                  ┌──────────────────────────────────────────────┐
                  │          Stakeholder Impact Matrix           │
                  ├──────────────────────────────────────────────┤
                  │  1. Sinh viên: Case study thực tế Big 4      │
                  │  2. Lập trình viên: Nắm chuẩn SoD & Security │
                  │  3. Doanh nghiệp: Tối ưu kiểm soát nội bộ    │
                  │  4. Nghiên cứu sinh: Phương pháp luận ISACA  │
                  └──────────────────────────────────────────────┘
  • Sinh viên chuyên ngành Kế toán, Kiểm toán, Hệ thống Thông tin Quản lý (MIS): Tiếp cận tài liệu thực chiến chuẩn quốc tế về quy trình kiểm toán ITGC và kỹ thuật JE Testing tại doanh nghiệp Big 4 hàng đầu thế giới.
  • Kỹ sư phần mềm & Quản trị hệ thống (Dev/DevOps/IT Admin): Nắm vững các tiêu chuẩn phân tách nhiệm vụ (SoD), yêu cầu bảo mật, quy trình CAB và lưu vết hệ thống (Audit Logs) để thiết kế phần mềm đáp ứng chuẩn tuân thủ tài chính.
  • Doanh nghiệp & Giám đốc Công nghệ (CIO/CISO): Có khung tự đánh giá lỗ hổng hệ thống kiểm soát nội bộ trước khi tiếp đón các đoàn kiểm toán độc lập, nâng cao năng lực quản trị rủi ro công nghệ.
  • Nhà nghiên cứu học thuật: Cung cấp cơ sở thực nghiệm đánh giá tác động của công nghệ thông tin tới chất lượng thông tin kế toán tại thị trường đang phát triển như Việt Nam.

Câu hỏi thường gặp

1. Yêu cầu kỹ thuật tối thiểu để triển khai kiểm toán ITGC tại doanh nghiệp là gì?

Hệ thống của doanh nghiệp cần kích hoạt tính năng ghi nhật ký hoạt động (Audit Trail Logging) trên cả 3 tầng: Ứng dụng, Cơ sở dữ liệu và Hệ điều hành. Doanh nghiệp phải duy trì văn bản hóa chính sách IT, danh sách tài khoản định danh, cùng hồ sơ phê duyệt thay đổi phần mềm tối thiểu 12 tháng liên tục.

2. Sự khác biệt căn bản giữa ITGC (Kiểm soát chung) và ITAC (Kiểm soát ứng dụng) là gì?

ITGC là các biện pháp kiểm soát bao trùm lên toàn bộ môi trường công nghệ (quản lý mật khẩu, sao lưu, quy trình deploy code). ITAC là các chốt kiểm soát tự động được lập trình bên trong từng chức năng nghiệp vụ cụ thể của phần mềm (ví dụ: tự động kiểm tra định dạng số hóa đơn, giới hạn vượt hạn mức tín dụng). Nếu ITGC không đáng tin cậy, toàn bộ các kiểm soát tự động ITAC đều bị coi là không có hiệu lực.

3. Khi phát hiện khiếm khuyết ITGC (ví dụ không thu hồi quyền user cũ), KTV sẽ xử lý như thế nào?

KTV CNTT sẽ thông báo cho KTV tài chính để mở rộng phạm vi kiểm tra chi tiết (Substantive Testing) đối với các nghiệp vụ do tài khoản đó có khả năng can thiệp. Đồng thời, một cảnh báo khiếm khuyết kiểm soát nội bộ sẽ được đưa vào Thư quản lý (Management Letter) gửi Ban Quản trị doanh nghiệp.

4. Quy trình JE Testing có thể phát hiện được những loại gian lận kế toán nào?

JE Testing quét toàn bộ cơ sở dữ liệu để tìm ra các bút toán được tạo bởi tài khoản quản trị hệ thống (không qua giao diện kế toán), các bút toán tạo vào nửa đêm/ngày nghỉ, các bút toán điều chỉnh số tròn lớn ngay trước thời điểm khóa sổ, hoặc các giao dịch có tài khoản Nợ/Có bất thường.

5. Doanh nghiệp có thể tiết kiệm bao nhiêu chi phí kiểm toán nếu hệ thống ITGC đạt chuẩn?

Doanh nghiệp có hệ thống ITGC mạnh có thể giảm từ 20% đến 40% khối lượng mẫu kiểm tra chứng từ chi tiết, rút ngắn thời gian làm việc tại hiện trường của đoàn kiểm toán, từ đó tối ưu hóa chi phí phí kiểm toán hàng năm và giảm thiểu gián đoạn hoạt động kinh doanh.

Kết luận

Khóa luận tốt nghiệp "Quy trình kiểm toán công nghệ thông tin tại Công ty Cổ phần Tư vấn EY Việt Nam" của tác giả Phạm Thị Thanh Vân là một công trình nghiên cứu ứng dụng có giá trị thực tiễn cao trong bối cảnh chuyển đổi số của ngành kiểm toán. Bằng việc làm sáng tỏ cơ chế vận hành của 3 trụ cột ITGC (Manage Change, Manage Access, Manage Operation) và thực nghiệm thành công kỹ thuật kiểm tra tính toàn vẹn dữ liệu Sổ cái (GL/TB) tại Công ty Z, nghiên cứu đã chứng minh vai trò then chốt của Kiểm toán CNTT như một tiền đề bắt buộc để đảm bảo tính trung thực và minh bạch của Báo cáo tài chính.

Các phát hiện và đề xuất kỹ thuật trong công trình không chỉ cung cấp giải pháp thiết thực cho hãng kiểm toán EY nhằm nâng cao năng suất và chất lượng dịch vụ, mà còn là cẩm nang hữu ích cho các doanh nghiệp trong việc hoàn thiện hệ thống kiểm soát nội bộ, chủ động phòng ngừa rủi ro rò rỉ dữ liệu và gian lận tài chính. Đây là bước đệm quan trọng hướng tới việc xây dựng một hệ sinh thái quản trị công nghệ thông tin an toàn, minh bạch và bền vững cho cộng đồng doanh nghiệp Việt Nam.