Ứng Dụng Dữ Liệu Lớn Trong Tổ Chức Hệ Thống Thông Tin Tại Doanh Nghiệp: Nghiên Cứu Tại EY Việt Nam

Khám phá ứng dụng dữ liệu lớn trong tổ chức hệ thống thông tin doanh nghiệp từ góc nhìn kiểm toán viên công nghệ thông tin tại EY Việt Nam.

• Tác giả: Uông Huỳnh Kim Hân
• Người hướng dẫn: TS. Nguyễn Thị Mai Hương
• Trường học: Trường Đại Học Ngân Hàng Thành Phố Hồ Chí Minh
• Chuyên ngành: Kế toán
• Đề tài: Ứng Dụng Big Data Trong Kiểm Toán Công Nghệ Thông Tin Tại EY Việt Nam
• Loại tài liệu: khóa luận tốt nghiệp
• Năm xuất bản: 2023
• Địa điểm: Thành Phố Hồ Chí Minh

Mục lục chi tiết

• LỜI CAM ĐOAN
• LỜI CÁM ƠN
• 1. CHƯƠNG 1: GIỚI THIỆU VỀ ĐỀ TÀI NGHIÊN CỨU
• 1.1. Tính cấp thiết của đề tài
• 1.2. Tổng quan các nghiên cứu trước
• 1.3. Mục tiêu nghiên cứu
• 1.3.1. Mục tiêu tổng quát
• 1.3.2. Mục tiêu cụ thể
• 1.4. Câu hỏi nghiên cứu
• 1.5. Đối tượng và phạm vi nghiên cứu
• 1.6. Phương pháp nghiên cứu
• 1.7. Kết cấu luận văn
• 1.8. Đóng góp của đề tài
• 1.8.1. Đóng góp về mặt lý thuyết
• 1.8.2. Đóng góp về mặt thực tiễn
• 2. CHƯƠNG 2: CƠ SỞ LÝ THUYẾT
• 2.1. Tổng quan về lĩnh vực nghiên cứu
• 2.2. Một số khái niệm
• 2.2.1. Khái niệm về thông tin
• 2.2.2. Khái niệm về hệ thống thông tin
• 2.2.3. Khái niệm về HTTT kế toán (Accounting Information System)
• 2.2.4. Khái niệm về kiểm toán CNTT
• 2.2.5. Khái niệm về Big Data
• 2.2.6. Vai trò của CNTT trong hoạt động kinh doanh
• 2.2.7. Vai trò của Big Data trong kiểm toán CNTT
• 2.2.8. Một số thuật ngữ khác có liên quan
• 2.3. Hệ thống thông tin và các thành phần CNTT
• 2.4. Mối quan hệ giữa hoạt động quản lý, tác nghiệp và HTTT
• 2.5. Môi trường CNTT
• 2.6. Thành phần môi trường CNTT
• 2.7. Kết luận chương 2
• 3. CHƯƠNG 3: GIỚI THIỆU QUY TRÌNH ITGCs TẠI EY VIỆT NAM
• 3.1. Sự khác biệt giữa kiểm toán CNTT và kiểm toán BCTC
• 3.2. Khái niệm ITGCS
• 3.3. Đặc điểm quy trình ITGCs
• 3.4. Mục đích của quy trình kiểm toán ITGCs
• 3.5. Chi tiết các bước trong quy trình ITGCs
• 3.6. Xác định mức độ tập trung cho các quy trình thuộc ITGCs
• 3.7. Tổng quan về quy trình quản lý thay đổi
• 3.8. Tổng quan về quy trình quản lý truy cập
• 3.9. Tổng quan về quy trình quản lý quyền user
• 3.10. Tổng quan về quy trình quản lý vận hành CNTT
• 3.11. Quản lý và lên lịch chạy tự động các tác vụ (Job Scheduling and Monitoring)
• 3.12. Ma trận thử nghiệm kiểm soát ITGCS
• 3.13. Mô phỏng Quy trình quản lý thay đổi dạng Thác nước (Waterfall)
• 3.14. Mô phỏng quy trình quản lý truy cập
• 3.15. Quy trình quản lý vai trò
• 3.16. Quy trình thay đổi dữ liệu trực tiếp
• 3.17. Mô phỏng quy trình quản lý vận hành
• 3.18. Kết luận chương 3
• 4. CHƯƠNG 4: MÔ PHỎNG THỰC HIỆN THỬ NGHIỆM KIỂM SOÁT ITGCS TẠI EY
• 4.1. Xác định phạm vi kiểm toán
• 4.2. Lên kế hoạch kiểm toán
• 4.3. Tạo sơ đồ quy trình
• 4.4. Quy trình quản lý thay đổi
• 4.5. Thực hiện Walkthrough quy trình quản lý thay đổi
• 4.6. Quy trình quản lý truy cập
• 4.7. Thực hiện Walkthrough quy trình
• 4.8. Quy trình quản lý vận hành
• 4.9. Quy trình sao lưu và phục hồi dữ liệu
• 4.10. Quy trình lên lịch chạy tự động các tác vụ
• 4.11. Thực hiện Walkthrough quy trình
• 4.12. Tổng hợp kết quả và phát hành thư quản lý
• 4.12.1. Tổng hợp kết quả
• 4.12.2. Phát hành thư quản lý
• 5. CHƯƠNG 5: ĐÁNH GIÁ VÀ HÀM Ý
• KẾT LUẬN CHUNG
• DANH SÁCH TỪ VIẾT TẮT
• DANH MỤC HÌNH ẢNH

Tóm tắt

I. Tổng quan về ứng dụng Big Data trong kiểm toán công nghệ thông tin

Trong bối cảnh công nghệ thông tin phát triển mạnh mẽ, Big Data đã trở thành một công cụ quan trọng trong việc nâng cao hiệu quả kiểm toán. Tại EY Việt Nam, việc áp dụng Big Data không chỉ giúp cải thiện quy trình kiểm toán mà còn tăng cường khả năng phát hiện rủi ro. Nghiên cứu này sẽ phân tích cách mà Big Data được tích hợp vào quy trình kiểm toán công nghệ thông tin, từ đó mang lại giá trị cho doanh nghiệp.

1.1. Khái niệm và vai trò của Big Data trong kiểm toán

Khái niệm Big Data đề cập đến khối lượng dữ liệu lớn và phức tạp mà các doanh nghiệp phải xử lý. Trong kiểm toán, Big Data giúp kiểm toán viên phân tích dữ liệu một cách nhanh chóng và chính xác, từ đó đưa ra các quyết định dựa trên thông tin thực tế.

1.2. Lợi ích của việc ứng dụng Big Data tại EY Việt Nam

Việc ứng dụng Big Data tại EY Việt Nam mang lại nhiều lợi ích như tăng cường khả năng phát hiện gian lận, cải thiện quy trình kiểm toán và giảm thiểu thời gian thực hiện. Điều này giúp EY nâng cao chất lượng dịch vụ và đáp ứng tốt hơn nhu cầu của khách hàng.

II. Thách thức trong việc áp dụng Big Data trong kiểm toán công nghệ thông tin

Mặc dù Big Data mang lại nhiều lợi ích, nhưng việc áp dụng nó trong kiểm toán công nghệ thông tin cũng gặp phải nhiều thách thức. Các vấn đề như bảo mật dữ liệu, chất lượng dữ liệu và khả năng phân tích là những yếu tố cần được xem xét kỹ lưỡng.

2.1. Vấn đề bảo mật và quyền riêng tư dữ liệu

Bảo mật dữ liệu là một trong những thách thức lớn nhất khi áp dụng Big Data. Các doanh nghiệp cần đảm bảo rằng dữ liệu được bảo vệ an toàn và tuân thủ các quy định về quyền riêng tư.

2.2. Chất lượng dữ liệu và khả năng phân tích

Chất lượng dữ liệu là yếu tố quyết định đến hiệu quả của việc phân tích. Nếu dữ liệu không chính xác hoặc không đầy đủ, kết quả phân tích sẽ không đáng tin cậy, ảnh hưởng đến quyết định kiểm toán.

III. Phương pháp ứng dụng Big Data trong kiểm toán công nghệ thông tin

Để tối ưu hóa quy trình kiểm toán, EY Việt Nam đã áp dụng nhiều phương pháp khác nhau trong việc sử dụng Big Data. Các phương pháp này không chỉ giúp cải thiện hiệu quả mà còn tăng cường độ tin cậy của các báo cáo tài chính.

3.1. Phân tích dữ liệu lớn trong kiểm toán

Phân tích dữ liệu lớn cho phép kiểm toán viên phát hiện các mẫu và xu hướng trong dữ liệu, từ đó đưa ra các đánh giá chính xác hơn về tình hình tài chính của doanh nghiệp.

3.2. Sử dụng trí tuệ nhân tạo trong kiểm toán

Trí tuệ nhân tạo (AI) được sử dụng để tự động hóa các quy trình kiểm toán, giúp giảm thiểu sai sót và tăng cường hiệu quả. AI có khả năng xử lý khối lượng dữ liệu lớn một cách nhanh chóng và chính xác.

IV. Ứng dụng thực tiễn của Big Data tại EY Việt Nam

Tại EY Việt Nam, việc ứng dụng Big Data đã mang lại nhiều kết quả tích cực. Các dự án kiểm toán sử dụng Big Data đã giúp phát hiện nhiều rủi ro tiềm ẩn và cải thiện quy trình kiểm toán tổng thể.

4.1. Kết quả từ các dự án kiểm toán sử dụng Big Data

Các dự án kiểm toán tại EY đã cho thấy sự cải thiện rõ rệt trong việc phát hiện gian lận và rủi ro tài chính. Việc sử dụng Big Data đã giúp kiểm toán viên đưa ra các khuyến nghị chính xác hơn cho khách hàng.

4.2. Các bài học rút ra từ việc ứng dụng Big Data

Việc áp dụng Big Data trong kiểm toán đã giúp EY nhận ra tầm quan trọng của việc đào tạo nhân viên về công nghệ mới. Điều này không chỉ nâng cao kỹ năng của đội ngũ mà còn cải thiện chất lượng dịch vụ.

V. Kết luận và tương lai của Big Data trong kiểm toán công nghệ thông tin

Tương lai của Big Data trong kiểm toán công nghệ thông tin tại EY Việt Nam hứa hẹn sẽ tiếp tục phát triển mạnh mẽ. Việc áp dụng công nghệ mới sẽ giúp nâng cao chất lượng dịch vụ và đáp ứng tốt hơn nhu cầu của khách hàng.

5.1. Triển vọng phát triển của Big Data trong kiểm toán

Với sự phát triển không ngừng của công nghệ, Big Data sẽ tiếp tục đóng vai trò quan trọng trong việc cải thiện quy trình kiểm toán và nâng cao độ tin cậy của các báo cáo tài chính.

5.2. Đề xuất cho các doanh nghiệp trong việc áp dụng Big Data

Các doanh nghiệp cần đầu tư vào công nghệ và đào tạo nhân viên để tận dụng tối đa lợi ích của Big Data. Điều này sẽ giúp họ nâng cao khả năng cạnh tranh và đáp ứng tốt hơn nhu cầu của thị trường.

Nội dung chính

Bối cảnh và vấn đề nghiên cứu

Trong bối cảnh chuyển đổi số và sự bùng nổ của công nghệ thông tin, việc ứng dụng dữ liệu lớn (Big Data) vào hệ thống thông tin (HTTT) doanh nghiệp ngày càng đóng vai trò trọng yếu trong việc tối ưu hóa quản lý, giảm thiểu sai sót tác nghiệp và hỗ trợ ra quyết định chiến lược. Tuy nhiên, sự gia tăng của các luồng dữ liệu nhạy cảm cũng kéo theo những thách thức lớn về an ninh mạng, rò rỉ dữ liệu và các nguy cơ bị tấn công từ bên thứ ba. Điển hình là các sự cố rò rỉ và đánh cắp thông tin được văn bản ghi nhận như vụ việc ba nhân viên FPT đánh cắp dữ liệu khách hàng (tháng 9/2021), lộ sao kê tài khoản ngân hàng MBBank (năm 2021), hay sự cố rò rỉ thông tin của gần nửa triệu khách hàng Toyota (cuối năm 2022). Những rủi ro công nghệ này tác động trực tiếp đến tính toàn vẹn của dữ liệu cấu thành nên các chỉ tiêu trên Báo cáo tài chính (BCTC). Do đó, việc kiểm soát và đánh giá các thủ tục kiểm soát chung công nghệ thông tin (ITGCs) trở thành một bộ phận then chốt cấu thành nên độ tin cậy của cuộc kiểm toán tài chính.

Khóa luận xác định mục tiêu và câu hỏi nghiên cứu cụ thể như sau:

• Mục tiêu nghiên cứu:
  1. Mục tiêu tổng quát: Dưới góc nhìn của kiểm toán viên CNTT, tác giả tiến hành mô phỏng cuộc kiểm toán và đánh giá hiệu quả các kiểm soát CNTT chung tại Doanh nghiệp ABC, cụ thể tại các phần hành có ứng dụng dữ liệu lớn để tạo lập số liệu trên BCTC, từ đó đối chiếu chuẩn mực ISO 27001 nhằm đưa ra các hàm ý quản trị.
  2. Mục tiêu cụ thể:
     • (1) Tìm hiểu, xác định và đánh giá thực trạng sử dụng dữ liệu lớn, hệ thống bảo mật và các rủi ro kiểm soát CNTT trong hoạt động kinh doanh của Doanh nghiệp ABC.
     • (2) Mô phỏng quá trình kiểm toán CNTT cho Doanh nghiệp ABC và đánh giá tính hữu hiệu của hệ thống kiểm soát nội bộ.
     • (3) Đề xuất các giải pháp, tư vấn chuyên môn từ góc nhìn kiểm toán CNTT nhằm tối ưu hóa quản trị rủi ro và nâng cao hiệu quả hoạt động cho Doanh nghiệp ABC.
• Câu hỏi nghiên cứu:
  1. Thực trạng sử dụng dữ liệu lớn trong hoạt động kinh doanh của DN ABC và tác động của hệ thống kiểm soát nội bộ đối với hiệu quả sử dụng dữ liệu lớn như thế nào?
  2. Quá trình kiểm toán CNTT và xác định các rủi ro CNTT cho DN ABC đã được thực hiện như thế nào?
  3. Làm thế nào để tối ưu hóa quản lý rủi ro và cải thiện hiệu quả hoạt động của DN ABC, từ góc nhìn kiểm toán CNTT?

Về phạm vi và đối tượng nghiên cứu:

• Đối tượng nghiên cứu: Hoạt động và các quy trình kinh doanh có sử dụng hệ thống thông tin kế toán của Doanh nghiệp ABC.
• Phạm vi không gian: Giới hạn trong phạm vi hoạt động của Doanh nghiệp ABC tại Việt Nam.
• Phạm vi thời gian: Khóa luận khai thác dữ liệu sơ cấp phát sinh trong năm tài chính 2022 (từ ngày 01/01/2022 đến ngày 31/12/2022).

Cơ sở lý thuyết và phương pháp

Khóa luận xây dựng nền tảng nghiên cứu dựa trên các khái niệm học thuật và chuẩn mực kiểm toán quốc tế:

• Khái niệm thông tin và HTTT: Khóa luận tiếp cận phân loại thông tin của A. Madden, tập trung vào dạng thông tin đóng vai trò là tài nguyên hoặc hàng hóa được truyền nhận và xử lý giá trị gia tăng. Hệ thống thông tin kế toán (AIS) được định nghĩa theo Trang (2023), bao gồm bảng chấm công, dữ liệu thuế, hóa đơn, thanh toán và kiểm kê hàng hóa được tổ chức bằng các câu lệnh truy vấn có cấu trúc (SQL). Khái niệm kiểm toán CNTT được dẫn xuất từ chuẩn CISA (2012) nhằm đánh giá tính bảo mật, tính toàn vẹn, tính sẵn sàng và tính chính xác của hệ thống.
• Mối liên hệ giữa kiểm soát CNTT và Báo cáo tài chính: Nghiên cứu kế thừa quan điểm của Carolyn Strand Norman và cộng sự (2009), Tommy Singleton (2017) và Grant và cộng sự (2008) về việc các khiếm khuyết trong ITGCs có mối quan hệ trực tiếp làm phát sinh sai lệch kế toán trên BCTC. Báo cáo của INTOSAI giai đoạn 2016–2021 về kiểm toán Big Data chỉ ra 4 hạn chế cốt lõi trong thực tiễn: độ trễ và độ chính xác dữ liệu thấp; hạn chế về kỹ thuật và nền tảng dữ liệu; mô hình chia sẻ dữ liệu chưa hoàn thiện; năng lực dự đoán rủi ro từ kiểm toán Big Data chưa đạt kỳ vọng.
• Khung chuẩn mực và phương pháp luận: Đề tài vận hành dựa trên Phương pháp luận kiểm toán toàn cầu của EY (EY GAM - 2015), phối hợp giữa kiểm toán tài chính và đội ngũ Dịch vụ đảm bảo rủi ro công nghệ (ITRA). Các quy định kiểm toán quốc tế được trích dẫn gồm ISA 315 và ISA 330 trong việc xác định các nhóm giao dịch quan trọng (SCOT) và quy trình khóa sổ tài chính (FSCP). Hệ thống đối chiếu tuân thủ gồm các chuẩn an ninh ISO 27001, NIST, PCI DSS và HIPAA.

Các phương pháp nghiên cứu được tác giả phối hợp thực hiện bao gồm:

1. Phương pháp phân tích tài liệu: Thu thập, đối chiếu và thẩm định các báo cáo, tài liệu kiểm toán, biên bản hệ thống của DN ABC nhằm trả lời câu hỏi nghiên cứu số 1 và 3.
2. Phương pháp nghiên cứu trường hợp (Case study): Khảo sát chi tiết mô hình vận hành HTTT của DN ABC nhằm giải quyết câu hỏi nghiên cứu số 1.
3. Phương pháp phỏng vấn: Phỏng vấn các chuyên gia kiểm toán và nhà quản lý kỹ thuật tại DN ABC về thực trạng vận hành hệ thống thông tin, phục vụ câu hỏi nghiên cứu số 1.
4. Phương pháp mô phỏng: Tái lập một cuộc kiểm toán CNTT hoàn chỉnh dựa trên dữ liệu thực tế thu thập từ DN ABC để trả lời câu hỏi nghiên cứu số 2.

Nguồn dữ liệu của nghiên cứu là dữ liệu sơ cấp thu thập trực tiếp tại Doanh nghiệp ABC trong kỳ kế toán năm 2022, kết hợp với các tài liệu hướng dẫn kỹ thuật nội bộ từ EY Việt Nam.

Nội dung chính theo từng chương

Chương 1: Giới thiệu về đề tài nghiên cứu

Chương 1 thiết lập tổng thể đề tài, nhấn mạnh tính cấp thiết của việc kiểm soát Big Data dưới góc độ kiểm toán viên CNTT. Tác giả tổng quan các nghiên cứu thực nghiệm trong và ngoài nước về mối quan hệ giữa ITGCs và chất lượng thông tin tài chính, làm rõ mục tiêu tổng quát, 3 mục tiêu cụ thể, 3 câu hỏi nghiên cứu, phạm vi thời gian (năm 2022) và không gian (Doanh nghiệp ABC). Chương này cũng làm rõ đóng góp về mặt lý luận cho đào tạo chuyên ngành Kế toán - Kiểm toán và đóng góp thực tiễn cho công tác quản trị rủi ro tại doanh nghiệp.

Chương 2: Cơ sở lý thuyết

Chương 2 hệ thống hóa các định nghĩa về thông tin, hệ thống thông tin kế toán, kiểm toán CNTT và dữ liệu lớn. Tác giả phân tích mối liên kết giữa hoạt động quản trị, tác nghiệp và HTTT, phân định rõ các điểm chạm mà kiểm toán viên CNTT cần thu thập bằng chứng. Nội dung chương phân tích ba loại môi trường CNTT theo chuẩn EY GAM: môi trường thực (Production), môi trường phát triển (Development), và môi trường kiểm thử (Testing/UAT). Đồng thời, tác giả phân loại các dạng ứng dụng CNTT trong doanh nghiệp từ công cụ người dùng cuối (Excel), phần mềm thương mại đóng gói (Off-the-shelf như Salesforce, QuickBooks, Trello), phần mềm tự phát triển nội bộ (In-house) đến các hệ thống ERP phức tạp có khả năng tùy biến cấu hình (SAP).

Chương 3: Giới thiệu quy trình ITGCs tại EY Việt Nam

Chương 3 trình bày chi tiết quy trình kiểm toán ITGCs 10 bước theo chuẩn mực EY GAM (2015). Tác giả làm rõ cơ chế phối hợp giữa kiểm toán CNTT và kiểm toán tài chính thông qua việc xác định SCOT và FSCP: nếu kiểm soát CNTT đạt hiệu quả, kiểm toán viên BCTC có thể áp dụng thử nghiệm kiểm soát; ngược lại, bắt buộc phải mở rộng thử nghiệm cơ bản.

Quy trình kiểm toán phân tách thành hai giai đoạn: kỳ giữa năm (Interim - lấy mẫu từ tháng 1 đến tháng 9 hoặc tháng 10) và kiểm toán cập nhật cuối năm (Year-end - kiểm tra bổ sung từ tháng 10/11 đến hết 31/12). Chương này cung cấp ma trận chi tiết về rủi ro giả định, thủ tục kiểm soát và thử nghiệm kiểm soát tương ứng cho ba quy trình ITGCs then chốt:

Nhóm quy trình ITGCs	Rủi ro trọng yếu được nhận diện	Thủ tục kiểm soát và chuẩn mực đánh giá
Quản lý thay đổi (Change Management)	- Thay đổi từ bên thứ 3 hoặc nội bộ không hoạt động như mong muốn hoặc không phù hợp. - Lập trình viên tự ý triển khai code trái phép lên môi trường thực. - Phần mềm phê duyệt ticket cấu hình sai lệch ma trận quyền.	- Phân tách nhiệm vụ (SoD): Lập trình viên không có quyền đẩy mã nguồn lên môi trường thực. - Thử nghiệm chấp nhận người dùng (UAT) phải hoàn tất và được ký duyệt trước khi chuyển giao. - Ma trận phê duyệt thay đổi phải được soát xét định kỳ hàng năm. - Mọi thay đổi trực tiếp phải được ghi nhận nhật ký (log) độc lập.
Quản lý truy cập (Access Management)	- Thiết lập bảo mật không đủ mạnh hoặc lỗi thời. - Người dùng được cấp quyền vượt quá nhu cầu công việc (vi phạm nguyên tắc Least Privilege). - Tài khoản nhân sự nghỉ việc/chuyển vị trí không được vô hiệu hóa kịp thời. - Thay đổi dữ liệu trực tiếp (Direct data change) ở tầng database không qua ứng dụng.	- Mật khẩu tối thiểu 8 ký tự, đổi định kỳ 90 ngày, lưu lịch sử 10 mật khẩu gần nhất, khóa tài khoản sau 5 lần đăng nhập sai trong 30 phút. - Áp dụng xác thực đa yếu tố (MFA) cho toàn bộ truy cập từ xa. - Vô hiệu hóa tài khoản mặc định của hệ thống. - Rà soát người dùng định kỳ (PUV) có xác nhận của SCOT owner. - Nhật ký can thiệp cơ sở dữ liệu phải được thẩm định bởi nhân sự độc lập.
Quản lý vận hành (IT Operations)	- Các tác vụ chạy tự động (batch job/job scheduling) bị lỗi, không hoàn thành nhưng không được phát hiện. - Hỏng hóc dữ liệu nhưng kế hoạch sao lưu (Backup) và phục hồi sau thảm họa (DRP) không hoạt động.	- Thay đổi lịch chạy job phải được nhân sự vận hành khác thẩm định. - Đối chiếu lịch tác vụ hàng tháng với lịch tháng trước đó. - Giám sát trạng thái hoàn thành của job và lưu vết quy trình xử lý lỗi. - Kiểm tra định kỳ quy trình sao lưu và phục hồi dữ liệu thực tế.

Chương 4: Mô phỏng thực hiện thử nghiệm kiểm soát ITGCs tại EY

Chương 4 tái hiện các bước thực hiện kiểm toán thực tế đối với Doanh nghiệp ABC trong năm 2022:

1. Xác định phạm vi và lập kế hoạch: Khoanh vùng các ứng dụng cốt lõi và cơ sở dữ liệu xử lý dữ liệu lớn phục vụ việc lập BCTC.
2. Lập lưu đồ quy trình (Flowchart) và xác định người chịu trách nhiệm (PIC): Mô hình hóa quy trình quản lý thay đổi theo dạng Thác nước (Waterfall), quy trình quản lý truy cập (Access path và Authentication path), và quy trình vận hành tác vụ tự động.
3. Thực hiện thử nghiệm Walkthrough:
   • Quản lý thay đổi: Kiểm tra mẫu tài liệu yêu cầu, biên bản UAT và email phê duyệt triển khai từ môi trường kiểm thử sang môi trường thực.
   • Quản lý truy cập: Kiểm tra mẫu yêu cầu cấp quyền mới, đối chiếu tính tương thích giữa quyền hạn thực tế và bảng mô tả công việc, kiểm tra việc thu hồi quyền của nhân viên nghỉ việc và rà soát các tài khoản quản trị hệ thống.
   • Quản lý vận hành: Thu thập màn hình lịch sao lưu định kỳ, bằng chứng thực hiện thành công các batch job tự động và mẫu xử lý sự cố khi job gián đoạn.
4. Tổng hợp kết quả và phát hành thư quản lý: Đánh giá các khiếm khuyết kiểm soát phát hiện được, thông báo cho nhóm kiểm toán tài chính để điều chỉnh phạm vi thử nghiệm cơ bản và lập thư quản lý gửi ban điều hành DN ABC.

Chương 5: Đánh giá và hàm ý

Chương 5 phân tích những ưu điểm và tồn tại trong hệ thống kiểm soát nội bộ CNTT tại DN ABC. Trên cơ sở đối chiếu với các nguyên tắc bảo mật của tiêu chuẩn ISO 27001 và khuyến nghị kỹ thuật từ EY, tác giả đưa ra các hàm ý thực tiễn nhằm giúp doanh nghiệp củng cố chính sách mật khẩu, hoàn thiện quy trình cấp/hủy quyền truy cập, thiết lập cơ chế giám sát thay đổi trực tiếp trên cơ sở dữ liệu và nâng cao năng lực kiểm soát dữ liệu lớn.

Kết quả và đóng góp

• Kết quả nghiên cứu chính:
  • Làm rõ tác động mang tính quyết định của ITGCs đến chiến lược kiểm toán tài chính: Kết luận về tính hữu hiệu của kiểm soát CNTT trực tiếp quy định việc đội kiểm toán tài chính áp dụng Thử nghiệm kiểm soát (Test of Control) hay phải chuyển sang Thử nghiệm cơ bản trên diện rộng (Substantive Testing).
  • Xây dựng được bộ thông số chuẩn mực thực nghiệm cho hệ thống kiểm soát bảo mật tại doanh nghiệp theo khung chuẩn của EY:

Thông số kiểm soát	Yêu cầu kỹ thuật chuẩn theo văn bản
Độ dài mật khẩu tối thiểu	8 ký tự
Độ phức tạp mật khẩu	Bắt buộc kết hợp chữ hoa, chữ thường, chữ số và ký tự đặc biệt
Thời hạn đổi mật khẩu bắt buộc	Tối đa 90 ngày
Lịch sử ghi nhớ mật khẩu	Tối thiểu 10 mật khẩu gần nhất không được trùng lặp
Khóa tài khoản tự động	Khóa ít nhất 30 phút sau 5 lần đăng nhập không thành công
Xác thực từ xa	Bắt buộc sử dụng Xác thực đa yếu tố (MFA / PingID / SecureID)
Tần suất soát xét ma trận quyền	Tối thiểu 1 lần mỗi năm
Phân kỳ kiểm toán ITGCs	Kỳ Interim (tháng 1 - tháng 9/10); Kỳ Year-end (tháng 10/11 - hết tháng 12)

• Giải pháp và kiến nghị của tác giả:
  • Tách biệt nhiệm vụ nghiêm ngặt: Ngăn chặn tuyệt đối việc nhân sự lập trình có quyền can thiệp và triển khai mã nguồn trực tiếp vào môi trường thực.
  • Kiểm soát can thiệp trực tiếp (Direct Data Change): Hạn chế tối đa các thao tác sửa dữ liệu bằng lệnh SQL trực tiếp tại tầng database; bắt buộc phải có phê duyệt độc lập trước khi chạy lệnh và đối chiếu log hệ thống sau khi hoàn tất.
  • Tự động hóa quản lý vòng đời tài khoản: Thiết lập liên kết thông tin giữa phòng nhân sự (HR) và quản trị mạng để tự động khóa tài khoản ngay khi nhân viên chấm dứt hợp đồng.
  • Thiết lập cơ chế kiểm toán tại tầng dữ liệu thô: Theo khuyến nghị của INTOSAI, kiểm toán viên CNTT cần bốc mẫu và kiểm tra trực tiếp từ tầng cơ sở dữ liệu (Database) thay vì chỉ dựa vào dữ liệu trích xuất từ tầng ứng dụng do doanh nghiệp cung cấp.
• Đóng góp của khóa luận:
  • Về mặt lý thuyết: Bổ sung tài liệu học thuật thực nghiệm có tính hệ thống cao về chuyên ngành kiểm toán CNTT cho sinh viên và giảng viên các khối ngành Kế toán - Kiểm toán, Hệ thống thông tin quản lý và Quản trị kinh doanh.
  • Về mặt thực tiễn: Cung cấp khung hướng dẫn thực hành và quy trình walkthrough chi tiết giúp kiểm toán viên đánh giá độ tin cậy của HTTT kế toán, hỗ trợ doanh nghiệp tự rà soát lỗ hổng bảo mật và phòng ngừa rủi ro dữ liệu theo chuẩn ISO 27001.

Hạn chế và hướng nghiên cứu tiếp

• Hạn chế: Nghiên cứu được triển khai dưới dạng mô phỏng trường hợp điển hình tại một doanh nghiệp duy nhất (DN ABC) trong phạm vi dữ liệu của năm tài chính 2022. Phạm vi tiếp cận chủ yếu xoay quanh các hệ thống thông tin phục vụ trực tiếp cho báo cáo tài chính, chưa mở rộng đánh giá toàn diện các hệ sinh thái dữ liệu lớn phi cấu trúc đa dạng khác bên ngoài phạm vi kế toán.
• Hướng nghiên cứu tiếp: Mở rộng phạm vi nghiên cứu thực nghiệm sang nhiều loại hình doanh nghiệp với các mức độ phức tạp công nghệ khác nhau; nghiên cứu ứng dụng các kỹ thuật kiểm toán có sự hỗ trợ của máy tính (CAATs) và công cụ trí tuệ nhân tạo chuyên sâu nhằm tự động hóa quá trình kiểm tra log và phân tích rủi ro dữ liệu lớn ở tầng database.

Giá trị tham khảo

Khóa luận là nguồn tài liệu hữu ích cho:

• Sinh viên, học viên chuyên ngành Kế toán, Kiểm toán, Hệ thống thông tin quản lý (MIS): Tham khảo trực tiếp cấu trúc của một cuộc kiểm toán ITGCs chuyên nghiệp, hiểu rõ cách thức dữ liệu công nghệ liên kết với các chỉ tiêu BCTC.
• Kiểm toán viên tài chính và kiểm toán viên CNTT (ITRA): Vận dụng khung ma trận rủi ro và các bước kiểm tra walkthrough thực tế để thiết kế chương trình kiểm toán hệ thống.
• Cán bộ quản lý CNTT và chuyên viên an toàn thông tin tại doanh nghiệp: Ứng dụng bảng tiêu chuẩn thiết lập mật khẩu, phân quyền Least Privilege và quy trình quản trị thay đổi dạng Thác nước để củng cố hệ thống kiểm soát nội bộ.
• Phần đáng tham khảo nhất: Ma trận kiểm soát ITGCs chi tiết tại Chương 3 và kỹ thuật thực hiện Walkthrough quy trình tại Chương 4.

Câu hỏi thường gặp

1. Khóa luận tiếp cận kiểm toán hệ thống thông tin của Doanh nghiệp ABC theo phương pháp luận nào?
Nghiên cứu sử dụng Phương pháp luận kiểm toán toàn cầu của EY (EY GAM 2015), phối hợp giữa kiểm toán tài chính và đội ngũ kiểm soát rủi ro công nghệ (ITRA), đồng thời tuân thủ các chuẩn mực kiểm toán quốc tế ISA 315, ISA 330 và khung hướng dẫn kiểm soát ITGCs của ISACA.

2. Kết quả đánh giá ITGCs ảnh hưởng như thế nào đến quyết định của kiểm toán viên Báo cáo tài chính?
Văn bản xác định rõ 2 kịch bản: Nếu kiểm soát CNTT được kết luận là hữu hiệu, kiểm toán viên BCTC sẽ thực hiện thử nghiệm kiểm soát (Test of Control) đối với các thủ tục kiểm soát nghiệp vụ còn lại; nếu ITGCs không hiệu quả, kiểm toán viên BCTC bắt buộc phải chuyển sang thực hiện thử nghiệm cơ bản (Substantive Testing).

3. Tiêu chuẩn thiết lập bảo mật mật khẩu và xác thực người dùng được EY khuyến nghị trong khóa luận gồm những thông số nào?
Tiêu chuẩn khuyến nghị gồm: mật khẩu dài tối thiểu 8 ký tự, có đủ chữ hoa, chữ thường, số và ký tự đặc biệt; đổi định kỳ 90 ngày/lần; không trùng 10 mật khẩu gần nhất; khóa tài khoản ít nhất 30 phút nếu nhập sai 5 lần liên tiếp; bắt buộc cài đặt xác thực đa yếu tố (MFA) đối với các kết nối truy cập từ xa.

4. Quy trình kiểm tra cập nhật ITGCs được phân bổ mốc thời gian như thế nào giữa kỳ Interim và Year-end?
Kỳ kiểm toán giữa năm (Interim) thu thập và kiểm tra dữ liệu phát sinh từ tháng 1 đến tháng 9 hoặc tháng 10 của năm tài chính. Kỳ kiểm toán cập nhật cuối năm (Year-end) thực hiện kiểm tra bổ sung đối với các bút toán và thay đổi phát sinh từ tháng 10 hoặc tháng 11 đến hết ngày 31/12.

5. Kiểm soát quy trình thay đổi chương trình (Change Management) theo mô hình Thác nước đặt ra yêu cầu cốt lõi nào về phân tách nhiệm vụ?
Quy tắc cốt lõi là lập trình viên (Developer) không được phép có quyền truy cập hoặc tự ý đưa các thay đổi vào môi trường thực (Production). Mọi thay đổi phải được kiểm thử bởi người dùng hoặc nhân sự CNTT độc lập, đạt biên bản xác nhận UAT và được cấp quản lý phê duyệt trước khi chuyển giao bằng công cụ tự động hoặc nhân sự vận hành riêng biệt.

Kết luận

Khóa luận tốt nghiệp của tác giả Uông Huỳnh Kim Hân đã hệ thống hóa toàn diện cơ sở lý luận và thực tiễn của quy trình kiểm toán CNTT chung (ITGCs) dựa trên phương pháp luận chuẩn mực của EY Việt Nam. Thông qua việc mô phỏng cuộc kiểm toán tại Doanh nghiệp ABC trong năm tài chính 2022, tác giả đã làm rõ mối quan hệ mật thiết giữa các biện pháp kiểm soát dữ liệu lớn tại tầng công nghệ và độ tin cậy của thông tin Báo cáo tài chính. Công trình là tài liệu tham khảo có giá trị ứng dụng cao cho công tác đào tạo học thuật liên ngành Kế toán - CNTT cũng như hoạt động thực hành kiểm toán hệ thống thông tin tại các doanh nghiệp hiện nay.

Trích đoạn nội dung tài liệu

Hình BỘ GIÁO DỤC VÀ ĐÀO TẠO TRƢỜNG ĐẠI HỌC NGÂN HÀNG THÀNH PHỐ HỒ CHÍ MINH KHÓA LUẬN TỐT NGHIỆP ĐẠI HỌC ỨNG DỤNG DỮ LIỆU LỚN (BIG DATA) TRONG TỔ CHỨC HỆ THỐNG THÔNG TIN TẠI DN TỪ GÓC NHÌN CỦA KIỂM TOÁN VIÊN CÔNG NGHỆ THÔNG TIN – NGHIÊN CỨU THỰC NGHIỆM TẠI EY VIỆT NAM UÔNG HUỲNH KIM HÂN THÀNH PHỐ HỒ CHÍ MINH – 2023 BỘ GIÁO DỤC VÀ ĐÀO TẠO TRƢỜNG ĐẠI HỌC NGÂN HÀNG THÀNH PHỐ HỒ CHÍ MINH KHÓA LUẬN TỐT NGHIỆP ĐẠI HỌC ỨNG DỤNG DỮ LIỆU LỚN (BIG DATA) TRONG TỔ CHỨC HỆ THỐNG THÔNG TIN TẠI DN TỪ GÓC NHÌN CỦA KIỂM TOÁN VIÊN CÔNG NGHỆ THÔNG TIN – NGHIÊN CỨU THỰC NGHIỆM TẠI EY VIỆT NAM Ngành: Kế toán Mã số: 7340301 Họ và tên sinh viên: UÔNG HUỲNH KIM HÂN Mã số sinh viên: 030535190066 Lớp sinh hoạt: HQ7-GE01 Ngƣời hƣớng dẫn khoa học: TS. Nguyễn Thị Mai Hƣơng THÀNH PHỐ HỒ CHÍ MINH – 2023 i TÓM TẮT Trong những năm gần đây, các vấn đề về an ninh và bảo mật mạng đang đƣợc cộng đồng nói chung và các nhà quản lý nói riêng quan tâm bậc nhất. Vì vậy, việc kiểm soát công nghệ thông tin, đặc biệt là trong kỷ nguyên dữ liệu lớn, là một đầu mục tối quan trọng cần đƣợc các doanh nghiệp bổ sung và tạo lập làm giảm thiểu các rủi ro tiềm ẩn và các cuộc tấn công mạng bên thứ 3 hay đối thủ trong ngành nghề kinh doanh. Nhận thấy tầm quan trọng của việc giải quyết một vấn đề mới nảy sinh từ các rủi ro công nghệ ảnh hƣởng đến thành phần báo cáo tài chính, tác giả đã tiến hành một nghiên cứu nhằm tóm tắt một phần kiến thức thực tiễn trong lĩnh vực kiểm toán công nghệ thông tin, nhằm phục vụ những ngƣời muốn hiểu rõ hơn về ngành này.

Hơn nữa, thông qua việc mô phỏng lại quá trình kiểm toán công nghệ thông tin, tác giả cũng có cơ hội tự xem xét lại công việc của mình và đƣa ra các đánh giá về quy trình kiểm toán công nghệ thông tin tại EY nói riêng và ngành kiểm toán công nghệ thông tin nói chung. Nội dung của khoá luận sẽ mô tả quy trình kiểm toán công nghệ thông tin tại EY thông qua việc mô phỏng cuộc kiểm toán công nghệ thông tin cho doanh nghiệp ABC trong năm tài chính 2022. Khoá luận sẽ dựa trên các thử nghiệm kiểm soát đƣợc EY xây dựng và hƣớng dẫn, nhằm mô phỏng kiểm toán trên các dữ liệu nhận đƣợc và đƣa ra kết luận cuối cùng về hiệu quả kiểm soát dữ liệu lớn đƣợc thu thập, quản lý và xử lý bởi hệ thống thông tin chủ yếu, cũng nhƣ kiểm soát các thành phần công nghệ thông tin có liên quan nhƣ máy chủ, phần cứng và phần mềm trong doanh nghiệp. ii ABSTRACT In recent years, security and network security issues have become the utmost concern for the general community and specifically for managers.

Therefore, IT control in enterprises is a critically important topic that needs to be supplemented and established by businesses in their efforts to minimize potential risks and cyber attacks from third parties and industry competitors. Recognizing the urgency of this emerging issue related to technological risks affecting financial reporting components, the author conducted this research with the aim of summarizing practical knowledge in the field of IT auditing. This research aims to support future students and other audit departments in understanding the work of this profession. Additionally, by simulating an IT audit, the author had the opportunity to review the entire IT auditing process, enabling the assessment of EY's specific IT processes and the IT audit industry in general.

The main content of this thesis describes partly the process of IT auditing at EY, using a simulated IT audit for the company ABC's financial year 2022. This process is based on the control tests established and guided by EY to examine audit evidence and draw final conclusions on the effectiveness of controls related to the production of financial reports from information systems (primarily) and relevant IT components (servers, hardware, software) within the company. iii LỜI CAM ĐOAN Tôi, Uông Huỳnh Kim Hân, sinh viên lớp HQ7-GE01 chuyên ngành Kế toán – Kiểm toán thuộc chƣơng trình đào tạo hệ Đại học chính quy chất lƣợng cao của Trƣờng Đại học Ngân hàng TP. Hồ Chí Minh, xin cam đoan rằng khóa luận mang tên "Ứng dụng dữ liệu lớn (Big Data) trong tổ chức hệ thống thông tin tại DN từ góc nhìn của kiểm toán viên công nghệ thông tin – nghiên cứu thực nghiệm tại EY Việt Nam" là công trình nghiên cứu của riêng tôi dƣới sự hƣớng dẫn của TS.

Nguyễn Thị Mai Hƣơng và Cán bộ hƣớng dẫn Hoàng Đức Nhã. Tôi cam đoan rằng: Khóa luận này đƣợc thực hiện dựa trên nghiên cứu cá nhân và nỗ lực của bản thân tôi. Mọi thông tin và dữ liệu đƣợc sử dụng trong khóa luận này đều đƣợc trích dẫn chính xác từ các nguồn tài liệu tham khảo và đƣợc đính kèm trong phần tài liệu tham khảo của khóa luận. Tất cả các kết quả nghiên cứu và phân tích trong khóa luận này là trung thực và chƣa từng đƣợc công bố hoặc sử dụng cho bất kỳ công trình nghiên cứu nào khác.

Tôi đã tuân thủ các quy định và nguyên tắc về nghiên cứu đạo đức trong quá trình thực hiện khóa luận này. Bất kỳ thông tin, dữ liệu hoặc kết quả nghiên cứu nào đƣợc sử dụng từ các nguồn khác đều đã đƣợc trích dẫn đúng cách và ghi rõ nguồn gốc. Tôi chịu trách nhiệm về tính xác thực và sự độc lập của khóa luận này. Tôi hiểu rằng bất kỳ vi phạm nghiêm trọng nào đối với sự trung thực và đạo đức nghiên cứu trong khóa luận này có thể gây hậu quả nghiêm trọng và chịu mọi hình thức trách nhiệm theo quy định của Trƣờng Đại học Ngân hàng TP.

Hồ Chí Minh. Tôi chịu trách nhiệm toàn bộ về lời cam đoan trên. Tác giả (Ký, ghi rõ Họ tên) Uông Huỳnh Kim Hân iv LỜI CÁM ƠN Lời đầu tiên, tôi xin gửi lời cảm ơn chân thành đến TS. Nguyễn Thị Mai Hƣơng và Cán bộ hƣớng dẫn Hoàng Đức Nhã vì sự hỗ trợ, động viên và sự chỉ dẫn tận tâm trong quá trình thực hiện khóa luận.

Tôi cũng xin bày tỏ lòng biết ơn đến Công ty cổ phần EY Vietnam đã mang đến một cơ hội thực tập và nghiên cứu thực nghiệm quý giá. Sự hỗ trợ và tận tâm từ đội ngũ nhân viên tại EY Vietnam đã tạo điều kiện thuận lợi cho tôi để tiếp cận với thực tế công việc và ứng dụng kiến thức đã học vào nghiên cứu của khóa luận. Tôi không thể không đề cập đến sự hỗ trợ chân thành của các thầy cô giảng viên, đặc biệt là TS. Nguyễn Thị Mai Hƣơng, đã dành thời gian và kiến thức của mình để hƣớng dẫn, chỉ bảo tôi trong quá trình nghiên cứu.

Sự đóng góp và những góp ý quý báu của cô đã giúp tôi phát triển khả năng nghiên cứu và hoàn thành khóa luận một cách tốt nhất. Cuối cùng, tôi xin gửi lời cảm ơn tới gia đình, bạn bè và những ngƣời thân yêu đã luôn động viên, hỗ trợ và tin tƣởng vào khả năng của tôi trong suốt quá trình nghiên cứu. Sự ủng hộ của các thầy cô và các anh chị đã truyền động lực và đem lại niềm tin cho tôi trong việc hoàn thành khóa luận này. Đồng thời, tôi xin gửi lời chúc sức khỏe đến tất cả những ngƣời đã đồng hành và ủng hộ tôi trong suốt quá trình nghiên cứu.

Mong rằng mọi ngƣời luôn khỏe mạnh, hạnh phúc và thành công trong cuộc sống và sự nghiệp của mình. Hồ Chí Minh, ngày tháng năm 2023 Sinh Viên Thực Hiện (Ký, ghi rõ Họ tên) Uông Huỳnh Kim Hân v MỤC LỤC TÓM TẮT. i DANH SÁCH TỪ VIẾT TẮT. viii DANH MỤC HÌNH ẢNH.

ix CHƢƠNG 1 : GIỚI THIỆU VỀ ĐỀ TÀI NGHIÊN CỨU. Tính cấp thiết của đề tài. Tổng quan các nghiên cứu trƣớc. Mục tiêu nghiên cứu.

Mục tiêu tổng quát. Mục tiêu cụ thể. Câu hỏi nghiên cứu. Đối tƣợng và phạm vi nghiên cứu.

Phƣơng pháp nghiên cứu. Kết cấu luận văn. Đóng góp của đề tài. Đóng góp về mặt lý thuyết.

Đóng góp về mặt thực tiễn. 5 KẾT LUẬN CHƢƠNG 1. 6 CHƢƠNG 2 : CƠ SỞ LÝ THUYẾT. Tổng quan về lĩnh vực nghiên cứu.

Một số khái niệm. 7  Khái niệm về thông tin:. 7  Khái niệm về hệ thống thông tin. 7  Khái niệm về HTTT kế toán (Accounting Information System):.

7  Khái niệm về kiểm toán CNTT. 8 vi  Khái niệm về Big Data. 8  Vai trò của CNTT trong hoạt động kinh doanh. 10  Vai trò của Big Data trong kiểm toán CNTT.

10  Một số thuật ngữ khác có liên quan. Hệ thống thông tin và các thành phần CNTT. Mối quan hệ giữa hoạt động quản lý, tác nghiệp và HTTT .2 Môi trƣờng CNTT. Thành phần môi trƣờng CNTT.

13 KẾT LUẬN CHƢƠNG 2. 15 CHƢƠNG 3 : GIỚI THIỆU QUY TRÌNH ITGCs TẠI EY VIỆT NAM. Sự khác biệt giữa kiểm toán CNTT và kiểm toán BCTC. Khái niệm ITGCS.

Đặc điểm quy trình ITGCs. Mục đích của quy trình kiểm toán ITGCs. Chi tiết các bƣớc trong quy trình ITGCs. Xác định mức độ tập trung cho các quy trình thuộc ITGCs.

Tổng quan về quy trình quản lý thay đổi. Tổng quan về quy trình quản lý truy cập. Tổng quan về quy trình quản lý quyền user. Tổng quan về quy trình quản lý vận hành CNTT.

Quản lý và lên lịch chạy tự động các tác vụ (Job Scheduling and Monitoring). Ma trận thử nghiệm kiểm soát ITGCS. Mô phỏng Quy trình quản lý thay đổi dạng Thác nƣớc (Waterfall). Mô phỏng quy trình quản lý truy cập.

32 vii Quy trình quản lý vai trò. 37 Quy trình thay đổi dữ liệu trực tiếp. Mô phỏng quy trình quản lý vận hành. 39 KẾT LUẬN CHƢƠNG 3.

40 CHƢƠNG 4 : MÔ PHỎNG THỰC HIỆN THỬ NGHIỆM KIỂM SOÁT ITGCS TẠI EY 41 4. Xác định phạm vi kiểm toán. Lên kế hoạch kiểm toán. Tạo sơ đồ quy trình.

Quy trình quản lý thay đổi. Thực hiện Walkthrough quy trình quản lý thay đổi. Quy trình quản lý truy cập .Thực hiện Walkthrough quy trình. Quy trình quản lý vận hành.

Quy trình sao lƣu và phục hồi dữ liệu. Quy trình lên lịch chạy tự động các tác vụ. Thực hiện Walkthrough quy trình. Tổng hợp kết quả và phát hành thƣ quản lý.

Tổng hợp kết quả. Phát hành thƣ quản lý. 49 CHƢƠNG 5: ĐÁNH GIÁ VÀ HÀM Ý. 52 KẾT LUẬN CHƢƠNG 5.

54 KẾT LUẬN CHUNG .