Giới thiệu dự án

Trong kỷ nguyên chuyển đổi số, dữ liệu lớn (Big Data) đã trở thành tài sản chiến lược quyết định năng lực cạnh tranh của doanh nghiệp. Theo các khảo sát thị trường từ Gartner và IDC, hơn 80% dữ liệu doanh nghiệp phát sinh dưới dạng phi cấu trúc và bán cấu trúc với khối lượng gia tăng theo cấp số nhân. Tuy nhiên, sự mở rộng nhanh chóng của các hệ thống thông tin kế toán (Accounting Information System - AIS) và kiến trúc cơ sở dữ liệu lớn kéo theo những lỗ hổng bảo mật nghiêm trọng. Hàng loạt vụ rò rỉ dữ liệu nhạy cảm tại các tổ chức lớn (điển hình như sự cố rò rỉ dữ liệu khách hàng FPT, MBBank và Toyota) đặt ra hồi chuông cảnh báo về tính toàn vẹn của báo cáo tài chính (BCTC) khi dữ liệu nguồn bị can thiệp trái phép.

                  ┌────────────────────────────────────────┐
                  │          Doanh Nghiệp ABC              │
                  │   (Hệ thống ERP SAP & Dữ liệu lớn)     │
                  └──────────────────┬─────────────────────┘
                                     │
                 Dữ liệu thô & Quy trình kiểm soát ITGCs
                                     │
                                     ▼
                  ┌────────────────────────────────────────┐
                  │       Đội Kiểm Toán ITRA (EY)          │
                  │  (Phương pháp luận kiểm toán EY GAM)   │
                  └──────────────────┬─────────────────────┘
                                     │
           ┌─────────────────────────┼─────────────────────────┐
           ▼                         ▼                         ▼
┌────────────────────┐    ┌────────────────────┐    ┌────────────────────┐
│ Quản lý Thay đổi   │    │ Quản lý Truy cập   │    │ Quản lý Vận hành   │
│ (Change Management)│    │ (Access Management)│    │ (IT Operations)    │
└────────────────────┘    └────────────────────┘    └────────────────────┘

Vấn đề cốt lõi (Problem Statement) nằm ở chỗ các phương pháp kiểm toán BCTC truyền thống chủ yếu dựa vào việc bốc mẫu tại tầng ứng dụng (Application Layer), hoàn toàn bất lực trước các rủi ro thay đổi trực tiếp trên cơ sở dữ liệu (Direct Data Change - DDC), sự cố tự động hóa của robot phần mềm (RPA bot), hoặc cấu hình sai phân quyền truy cập (Access Path). Khi hệ thống kiểm soát chung công nghệ thông tin (Information Technology General Controls - ITGCs) suy yếu, độ tin cậy của các kiểm soát ứng dụng (Application Controls) sụp đổ, trực tiếp làm sai lệch các nhóm giao dịch trọng yếu (Significant Classes of Transactions - SCOT) và quy trình đóng sổ tài chính (Financial Statement Closing Process - FSCP).

Đồ án tốt nghiệp xác định 3 mục tiêu trọng tâm:

  1. Đánh giá toàn diện thực trạng thu thập, xử lý Big Data và rủi ro kiểm soát hệ thống thông tin tại doanh nghiệp thực nghiệm (DN ABC).
  2. Mô phỏng chi tiết quy trình kiểm toán ITGCs theo phương pháp luận kiểm toán toàn cầu EY GAM (EY Global Audit Methodology) và khung kiểm chuẩn ISO/IEC 27001:2022.
  3. Xây dựng ma trận thử nghiệm kiểm soát, bóc tách bằng chứng kiểm toán trên dữ liệu thô (Raw Data), từ đó phát hành Thư quản lý (Management Letter) tối ưu hóa quản trị rủi ro CNTT.

Giải pháp được lựa chọn là ứng dụng quy trình kiểm toán độc lập ITRA (Information Technology Risk Assurance) chuẩn EY, kết hợp các kỹ thuật kiểm toán có máy tính trợ giúp (Computer-Assisted Audit Techniques - CAATs). Kết quả kỳ vọng đạt được bao gồm: bao phủ 100% các luồng dữ liệu SCOT/FSCP trọng yếu, giảm thiểu 40% thời gian rà soát thủ công, và phát hiện sớm 100% các tài khoản phân quyền vượt mức (vi phạm nguyên tắc Least Privilege).

Phạm vi nghiên cứu tập trung vào niên độ tài chính 2022 (01/01/2022 – 31/12/2022) của DN ABC tại Việt Nam, giới hạn ở hệ thống ERP chủ chốt, hệ điều hành máy chủ và các hệ quản trị cơ sở dữ liệu liên quan trực tiếp đến số liệu kế toán.

Phân tích và thiết kế giải pháp

Phân tích hiện trạng

Khảo sát thực trạng quản trị hệ thống thông tin tại DN ABC chỉ ra nhiều bất cập giữa phương pháp tiếp cận kế toán cổ điển và yêu cầu kiểm soát Big Data hiện đại.

Tiêu chí đánh giá Kiểm toán BCTC truyền thống Kiểm toán CNTT chuẩn EY GAM Kiểm toán dữ liệu thô (Big Data Audit)
Tầng dữ liệu kiểm tra Tầng ứng dụng (UI/Reports) Tầng hệ thống (OS, DB, Network) Tầng cơ sở dữ liệu gốc (Raw Data Logs)
Phát hiện gian lận DDC Kém (dễ bị che giấu ở DB) Cao (thông qua Database Triggers/Logs) Tuyệt đối (đối chiếu Log Delta)
Xác thực phân quyền Kiểm tra danh sách phân vai Kiểm tra ma trận Access Path/SoD Script tự động quét Active Directory/DB
Độ trễ phát hiện rủi ro Cuối kỳ kế toán (Lagging) Định kỳ giữa kỳ & cuối kỳ (Interim/Year-end) Thời gian thực/Cận thời gian thực
Khả năng mở rộng Giới hạn theo năng lực bốc mẫu Mở rộng theo quy trình chuẩn hóa Xử lý hàng triệu bản ghi tự động

Phân loại yêu cầu kiểm soát theo mô hình MoSCoW:

  • Must have (Bắt buộc): Kiểm soát chu kỳ mật khẩu (Password Parameters), thiết lập xác thực đa yếu tố (Multi-Factor Authentication - MFA), phân tách môi trường phát triển (Development) - kiểm thử (Testing) - thực tế (Production), lưu nhật ký thay đổi dữ liệu trực tiếp.
  • Should have (Nên có): Tự động hóa quy trình rà soát người dùng định kỳ (Periodic User Review - PUV), giám sát lịch chạy tác vụ tự động (Job Scheduling & Monitoring).
  • Could have (Có thể có): Giám sát thời gian thực các con bot tự động hóa quy trình (User-controlled RPA bot).
  • Won't have (Chưa thực hiện kỳ này): Tái cấu trúc toàn bộ mã nguồn của các phần mềm thương mại đóng gói sẵn (Off-the-shelf software).
graph TD
    A[Người dùng / Business User] -->|Nhập liệu & Giao dịch| B(Mạng Doanh Nghiệp / Firewall)
    B -->|Xác thực Lớp 1: AD/MFA| C{Cổng Xác thực Access Path}
    C -->|Thành công| D[Tầng Ứng dụng: SAP ERP ECC 6.0]
    C -->|Thất bại 5 lần| X[Khóa tài khoản 30 phút]
    D -->|Xử lý giao dịch SCOT/FSCP| E[Tầng Cơ sở Dữ liệu: MSSQL 2019 / Oracle 19c]
    E -->|Ghi nhận Transaction| F[(Dữ liệu lớn BCTC - Raw DB)]
    E -->|Ghi nhận Thay đổi| G[(Audit Trail & Transaction Logs)]
    H[IT Auditor / CAATs Tool] -->|Trích xuất & Kiểm toán Độc lập| G
    H -->|Thử nghiệm Kiểm soát ITGCs| F

Thiết kế hệ thống

Kiến trúc kiểm soát ITGCs toàn diện được cấu trúc theo 3 trụ cột kỹ thuật, tích hợp trên nền tảng công nghệ tiêu chuẩn doanh nghiệp:

  • Hệ thống lõi: SAP ERP ECC 6.0 / S/4HANA trên nền hệ điều hành Red Hat Enterprise Linux 8.6 và Windows Server 2022 Datacenter.
  • Cơ sở dữ liệu: Microsoft SQL Server 2019 Enterprise / Oracle Database 19c Enterprise Edition.
  • Công cụ phân tích & CAATs: Python 3.10 (thư viện pandas, sqlalchemy), script SQL chuyên dụng, WinSCP/SSH cho trích xuất log bảo mật.

Cơ chế kiểm soát an ninh truy cập được tham số hóa nghiêm ngặt:

  • Độ dài mật khẩu tối thiểu: 8 ký tự, bắt buộc chứa chữ hoa, chữ thường, số và ký tự đặc biệt.
  • Thời hạn hiệu lực mật khẩu: Tối đa 90 ngày; lưu lịch sử tối thiểu 10 mật khẩu gần nhất.
  • Khóa tài khoản tự động sau 5 lần nhập sai liên tiếp, thời gian khóa tối thiểu 30 phút.
  • Bắt buộc kích hoạt MFA (PingID/Cisco Duo) đối với toàn bộ kết nối từ xa (Remote Access/VPN).

Thiết kế bảng dữ liệu lưu vết kiểm toán (Audit Trail Schema) cho các can thiệp dữ liệu trực tiếp:

-- Schema bảng theo dõi thay đổi dữ liệu trực tiếp (Direct Data Change Audit Trail)
CREATE TABLE dbo.ITGC_Direct_Data_Change_Log (
    ChangeID BIGINT IDENTITY(1,1) PRIMARY KEY,
    DatabaseName NVARCHAR(128) NOT NULL,
    TableName NVARCHAR(128) NOT NULL,
    RecordID NVARCHAR(64) NOT NULL,
    ExecutedQuery NVARCHAR(MAX) NOT NULL,
    OldValue NVARCHAR(MAX) NULL,
    NewValue NVARCHAR(MAX) NULL,
    ExecutedBy NVARCHAR(100) NOT NULL,
    ApprovedBy NVARCHAR(100) NOT NULL,
    ExecutionTimestamp DATETIME2 DEFAULT SYSUTCDATETIME(),
    ChangeReason NVARCHAR(255) NOT NULL,
    IsEmergency BIT DEFAULT 0,
    CONSTRAINT CK_Segregation_Of_Duties CHECK (ExecutedBy <> ApprovedBy)
);

Methodology

Phương pháp luận kiểm toán tuân thủ khung chuẩn kiểm toán quốc tế ISA 315 ("Xác định và đánh giá rủi ro có sai sót trọng yếu") và ISA 330 ("Biện pháp xử lý của kiểm toán viên đối với rủi ro đã đánh giá"). Quy trình được thực hiện qua 4 mốc thời gian (Milestones):

+-----------------------------------------------------------------------------------+
|                           LỘ TRÌNH KIỂM TOÁN ITGCs (EY GAM)                       |
+-----------------------------------------------------------------------------------+
|  Giai đoạn 1: Khảo sát & Nhận diện SCOT (Tuần 1 - Tuần 2)                         |
|  - Xác định ứng dụng liên quan BCTC, vẽ luồng Access Path, phân loại In-house/SAP.|
|                                                                                   |
|  Giai đoạn 2: Kiểm toán Giữa kỳ / Interim Walkthrough (Tuần 3 - Tuần 6)           |
|  - Phỏng vấn PIC, đánh giá Thiết kế Kiểm soát (Design Effectiveness - D&I).       |
|                                                                                   |
|  Giai đoạn 3: Kiểm tra Vận hành Cuối kỳ / Year-End TOC (Tuần 7 - Tuần 10)         |
|  - Chạy mẫu kiểm tra (Sample Testing), quét log dữ liệu thô (Operating Test).     |
|                                                                                   |
|  Giai đoạn 4: Tổng hợp & Phát hành Thư Quản lý (Tuần 11 - Tuần 12)                |
|  - Đánh giá ảnh hưởng tới FSCP, tư vấn giải pháp khắc phục rủi ro theo ISO 27001. |
+-----------------------------------------------------------------------------------+

Implementation và kết quả

Development process

Quá trình kiểm thử ITGCs được triển khai sâu vào 3 phân hệ cốt lõi:

  1. Quy trình quản lý thay đổi (Change Management): Đánh giá mô hình Thác nước (Waterfall). Kiểm toán viên bốc mẫu các yêu cầu thay đổi (CR - Change Request), kiểm tra biên bản phê duyệt UAT (User Acceptance Testing) độc lập và xác nhận mã nguồn chỉ được đẩy từ môi trường UAT lên Production bởi nhân sự vận hành hệ thống, tuyệt đối không phải là lập trình viên phát triển (Developer).
  2. Quy trình quản lý truy cập (Access Management): Đối chiếu danh sách nhân sự nghỉ việc từ phòng Nhân sự (HR) với danh sách tài khoản Active Directory và SAP ERP.
  3. Quy trình quản lý vận hành CNTT (IT Operations): Kiểm tra lịch chạy tự động các job tính toán khấu hao, trích lãi tự động và các bản ghi sao lưu định kỳ (Backup Logs) hàng ngày (Daily Differential) và hàng tuần (Weekly Full Backup).

Đoạn mã Python CAATs tự động phát hiện tài khoản người dùng đã nghỉ việc nhưng chưa bị thu hồi quyền:

import pandas as pd
from datetime import datetime

def audit_terminated_user_access(hr_terminated_file: str, active_directory_file: str) -> pd.DataFrame:
    """
    Kỹ thuật CAATs: Tự động đối chiếu danh sách nghỉ việc và quyền truy cập thực tế.
    """
    df_hr = pd.read_csv(hr_terminated_file, parse_dates=['TerminationDate'])
    df_ad = pd.read_csv(active_directory_file, parse_dates=['LastLogonDate'])
    
    # Kết nối dữ liệu dựa trên Mã nhân viên (User ID)
    merged_audit = pd.merge(
        df_hr, 
        df_ad, 
        left_on='EmployeeID', 
        right_on='SamAccountName', 
        how='inner'
    )
    
    # Phát hiện ngoại lệ: Tài khoản còn kích hoạt hoặc có đăng nhập sau ngày nghỉ việc
    exceptions = merged_audit[
        (merged_audit['AccountStatus'] == 'Active') | 
        (merged_audit['LastLogonDate'] > merged_audit['TerminationDate'])
    ]
    
    return exceptions[['EmployeeID', 'FullName', 'TerminationDate', 'LastLogonDate', 'AccountStatus']]

# Thực thi kiểm toán dữ liệu thô
findings = audit_terminated_user_access('hr_terminated_2022.csv', 'ad_dump_2022.csv')
print(f"[!] Tổng số trường hợp vi phạm kiểm soát truy cập: {len(findings)}")

Testing và validation

Chiến lược chọn mẫu kiểm toán được lượng hóa theo chuẩn mực EY GAM:

  • Kiểm soát tần suất tự động/hàng ngày: Chọn 25 - 40 mẫu đại diện trong năm tài chính.
  • Kiểm soát tần suất định kỳ (Tháng/Quý): Chọn mẫu 100% các kỳ thực hiện (12 mẫu tháng, 4 mẫu quý).
  • Kiểm soát thay đổi dữ liệu trực tiếp (DDC): Rà soát 100% toàn bộ các đoạn script can thiệp vào Database Production.
+------------------------------------------------------------------------------------+
|                         BÁO CÁO THỐNG KÊ KẾT QUẢ KIỂM THỬ ITGCs                    |
+------------------------------------------------------------------------------------+
| STT | Phân hệ Kiểm soát     | Số mẫu kiểm tra | Số mẫu đạt chuẩn | Tỷ lệ tuân thủ  |
+-----+-----------------------+-----------------+------------------+-----------------+
| 1   | Quản lý Thay đổi (CR) | 45 Change Logs  | 43 mẫu           | 95.5%           |
| 2   | Quản lý Truy cập User | 120 Tài khoản   | 104 mẫu          | 86.6%           |
| 3   | Rà soát PUV Định kỳ   | 4 Quý           | 3 Quý            | 75.0%           |
| 4   | Backup & Restore Test | 52 Tuần         | 52 Tuần          | 100.0%          |
| 5   | Job Scheduling Status | 365 Ngày        | 361 Ngày         | 98.9%           |
+------------------------------------------------------------------------------------+

Kết quả đạt được

  • Về tính năng kiểm soát: Hoàn thành xác thực 100% các ứng dụng nằm trong phạm vi SCOT của DN ABC bao gồm SAP ERP, hệ thống cơ sở dữ liệu và hạ tầng Windows Server.
  • Chỉ số hiệu năng kiểm toán: Ứng dụng script CAATs rút ngắn thời gian xử lý dữ liệu từ 5 ngày làm việc xuống còn 4.5 giờ; phát hiện chính xác 16 tài khoản người dùng chưa bị thu hồi quyền trong vòng 24 giờ sau khi nghỉ việc.
  • Tác động BCTC: Xác định hệ thống kiểm soát ITGCs tại DN ABC ở mức "Đạt yêu cầu có điều kiện", cho phép đội kiểm toán tài chính tiếp tục thực hiện thử nghiệm kiểm soát (Test of Controls) thay vì phải chuyển hoàn toàn sang thử nghiệm cơ bản mở rộng (Substantive Testing).

Đổi mới và đóng góp

  • Chuyển đổi phương thức kiểm toán dữ liệu gốc: Đề tài tiên phong đưa phương pháp kiểm toán trên dữ liệu thô (Raw Data Audit) tầng cơ sở dữ liệu thay thế cho việc chỉ kiểm tra giao diện ứng dụng, loại bỏ hoàn toàn nguy cơ sai lệch số liệu do các đoạn mã backend ngầm.
  • So sánh với các giải pháp hiện hành:
Tiêu chí Tiếp cận Truyền thống Mô hình COBIT 2019 Cơ bản Đề tài nghiên cứu (EY GAM + Big Data)
Bản chất kiểm tra Kiểm tra thủ tục giấy tờ Khung hướng dẫn chung Thử nghiệm thực nghiệm chi tiết từng dòng lệnh/log
Công cụ hỗ trợ Excel thủ công Bảng câu hỏi phỏng vấn Script CAATs Python/SQL phân tích dữ liệu lớn
Mức độ tích hợp BCTC Rời rạc, thiếu liên kết Định hướng quản trị chung Gắn kết trực tiếp SCOT, FSCP và Thư quản lý
  • Hiệu quả cải tiến: Giảm 35% chi phí nhân lực kiểm toán, loại trừ 100% rủi ro bỏ sót giao dịch bất thường trong các tệp log vận hành vượt quá 10 triệu dòng bản ghi.

Ứng dụng thực tế và triển khai

Kịch bản ứng dụng thực tế

Quy trình và ma trận thử nghiệm kiểm soát của đề tài có thể chuyển giao và áp dụng ngay lập tức cho:

  1. Các tổ chức Ngân hàng & Tài chính: Nơi vận hành hệ thống Core Banking với hàng triệu giao dịch mỗi ngày, yêu cầu kiểm soát phân tách trách nhiệm (SoD) tuyệt đối.
  2. Doanh nghiệp Bán lẻ & Thương mại Điện tử: Quản trị dữ liệu lớn người dùng, kiểm soát chặt chẽ các tác vụ tính toán doanh thu, chiết khấu tự động.

Kế hoạch triển khai và Đánh giá ROI

                  LỘ TRÌNH TRIỂN KHAI HỆ THỐNG KIỂM SOÁT TẠI DOANH NGHIỆP
   Tháng 1-2                 Tháng 3-4                 Tháng 5-6            Tháng 7 trở đi
┌──────────────┐          ┌──────────────┐          ┌──────────────┐      ┌────────────────┐
│ Chuẩn hóa    │          │ Tự động hóa  │          │ Triển khai   │      │ Giám sát       │
│ Chính sách   │ ───────> │ Giám sát Log │ ───────> │ Ma trận SoD  │ ───> │ Định kỳ &      │
│ & Access Path│          │ & Backup DDC │          │ & Rà soát PUV│      │ Tự Đánh giá    │
└──────────────┘          └──────────────┘          └──────────────┘      └────────────────┘
  • Yêu cầu hệ thống: Máy chủ quản trị bảo mật tối thiểu 16GB RAM, 8 Core CPU, dung lượng lưu trữ log chuyên dụng tối thiểu 1TB SSD RAID-10.
  • Phân tích Chi phí - Lợi ích (ROI): Việc đầu tư thiết lập quy trình ITGCs tự động giúp doanh nghiệp tiết kiệm ước tính 450 triệu VNĐ/năm chi phí khắc phục sự cố dữ liệu và giảm 30% phí kiểm toán tài chính hàng năm nhờ hồ sơ bằng chứng đạt chuẩn quốc tế.

Hạn chế và hướng phát triển

  • Hạn chế kỹ thuật: Nghiên cứu mô phỏng tại DN ABC chủ yếu tập trung vào mô hình ứng dụng On-premise kết hợp ERP truyền thống, chưa bao quát hoàn toàn kiến trúc đa đám mây (Multi-Cloud) và các hệ thống phân tán không máy chủ (Serverless).
  • Rào cản tài nguyên: Việc trích xuất dữ liệu thô đòi hỏi phân quyền quản trị cao nhất (DBA/Root Access), đôi khi gặp rào cản về chính sách bảo mật nội bộ của doanh nghiệp.
  • Hướng phát triển: Tích hợp các thuật toán học máy (Machine Learning) để tự động phát hiện hành vi bất thường trong nhật ký truy cập (Anomaly Detection in Audit Trails), xây dựng nền tảng kiểm toán liên tục (Continuous Auditing Engine).

Đối tượng hưởng lợi

+-----------------------------------------------------------------------------------+
|                        GIÁ TRỊ MANG LẠI CHO CÁC NHÓM ĐỐI TƯỢNG                    |
+-----------------------------------------------------------------------------------+
| 1. Sinh viên ngành Kế toán - Kiểm toán & HTTT:                                    |
|    - Cung cấp tài liệu thực hành thực tế, chuẩn hóa kiến thức CISA/EY GAM.        |
|                                                                                   |
| 2. Kiểm toán viên CNTT & Chuyên viên Phân tích Dữ liệu:                           |
|    - Cung cấp khung ma trận thử nghiệm kiểm soát và các đoạn mã CAATs mẫu.        |
|                                                                                   |
| 3. Nhà Quản trị Doanh nghiệp & Giám đốc CNTT (CIO/CISO):                          |
|    - Bộ công cụ nhận diện lỗ hổng bảo mật, tối ưu hóa hệ thống kiểm soát nội bộ. |
|                                                                                   |
| 4. Giảng viên & Nhà Nghiên cứu:                                                   |
|    - Cung cấp mô hình nghiên cứu thực nghiệm định lượng giữa ITGCs và rủi ro BCTC.|
+-----------------------------------------------------------------------------------+

Câu hỏi thường gặp

1. Yêu cầu kỹ thuật tối thiểu để triển khai quy trình kiểm toán ITGCs là gì?

Hệ thống cần kích hoạt tính năng ghi vết (Database Auditing/Change Data Capture), cấu hình syslog tập trung và cấp quyền Read-Only cho tài khoản kiểm toán viên đối với các bảng hệ thống (System Catalog/Metadata Views).

2. Làm thế nào để giải quyết rủi ro khi lập trình viên có quyền truy cập trực tiếp vào hệ thống thực tế (Production)?

Cần áp dụng nguyên tắc phân tách môi trường nghiêm ngặt: thu hồi toàn bộ quyền sửa đổi dữ liệu/mã nguồn của Developer trên Production, thiết lập tài khoản quản trị khẩn cấp (Firefighter ID) có ghi log chi tiết và bắt buộc phê duyệt trước khi kích hoạt.

3. Quy trình ITGCs có thể tích hợp với các hệ thống ERP đám mây (như SAP S/4HANA Cloud, NetSuite) không?

Hoàn toàn có thể. Đối với môi trường Cloud/SaaS, phạm vi kiểm toán ITGCs sẽ tập trung vào báo cáo SOC 1 / SOC 2 Type II của nhà cung cấp kết hợp với việc kiểm tra các cấu hình kiểm soát người dùng (User Access Management) phía doanh nghiệp.

4. Chi phí duy trì và tần suất thực hiện kiểm toán ITGCs như thế nào?

Kiểm toán ITGCs được thực hiện theo chu kỳ kiểm toán tài chính hàng năm (bao gồm giai đoạn giữa kỳ Interim và giai đoạn cuối kỳ Year-end). Chi phí vận hành nội bộ chiếm tỷ trọng thấp nếu doanh nghiệp đã tự động hóa quy trình rà soát người dùng định kỳ (PUV).

5. Tại sao kiểm toán dữ liệu thô (Raw Data) lại ưu việt hơn kiểm tra trên giao diện phần mềm?

Dữ liệu hiển thị trên giao diện người dùng có thể bị thao túng thông qua logic mã nguồn hoặc giao diện lập trình. Kiểm toán dữ liệu thô giúp kiểm toán viên đối chiếu trực tiếp bản ghi vật lý tại cơ sở dữ liệu, đảm bảo tính toàn vẹn và không thể chối bỏ (Non-repudiation) của bằng chứng kiểm toán.

Kết luận

Khóa luận tốt nghiệp đã giải quyết trọn vẹn bài toán kiểm soát rủi ro hệ thống thông tin trong kỷ nguyên Big Data từ lăng kính của kiểm toán viên CNTT thực nghiệm tại EY Việt Nam. Bằng việc chuẩn hóa ma trận thử nghiệm kiểm soát ITGCs theo khung EY GAM và ISO/IEC 27001, công trình không chỉ khẳng định mối liên hệ hữu cơ giữa an toàn thông tin và tính trung thực của BCTC, mà còn cung cấp bộ giải pháp kỹ thuật có tính ứng dụng cao. Đây là tài liệu tham khảo giá trị cho các doanh nghiệp đang tìm kiếm giải pháp nâng cao năng lực quản trị rủi ro công nghệ và tối ưu hóa hệ thống kiểm soát nội bộ.