Khi doanh nghiệp ngày càng phụ thuộc vào ERP, phần mềm kế toán, hóa đơn điện tử và các nền tảng dữ liệu tích hợp, độ tin cậy của báo cáo tài chính không chỉ phụ thuộc vào nghiệp vụ kế toán mà còn chịu ảnh hưởng trực tiếp từ hệ thống công nghệ thông tin. Một quyền truy cập không phù hợp, thay đổi cấu hình thiếu phê duyệt hoặc dữ liệu không được bảo vệ đúng cách đều có thể làm gia tăng rủi ro sai sót trong quá trình ghi nhận và tổng hợp số liệu.

Vì vậy, Quy Trình Đánh Giá Kiểm Soát Nội Bộ IT Hướng Tới Chuẩn Bị Kiểm Toán BCTC Số cần được xem là một phần trong kế hoạch quản trị rủi ro tài chính của doanh nghiệp. Mục tiêu không chỉ là kiểm tra hệ thống có vận hành ổn định hay không, mà còn xác định liệu các kiểm soát công nghệ có đủ khả năng hỗ trợ tính đầy đủ, chính xác, hợp lệ và khả năng truy xuất của thông tin tài chính hay không.

Kiểm soát nội bộ IT là gì và liên quan thế nào đến kiểm toán BCTC?

Kiểm soát nội bộ IT là tập hợp chính sách, quy trình và biện pháp kỹ thuật nhằm quản lý quyền truy cập, bảo vệ dữ liệu, kiểm soát thay đổi và duy trì hoạt động ổn định của các hệ thống công nghệ thông tin.

Trong môi trường tài chính – kế toán, kiểm soát IT thường được chia thành hai nhóm chính. ITGC (IT General Controls) là các kiểm soát chung áp dụng cho môi trường CNTT, như quản lý quyền truy cập, thay đổi chương trình và vận hành hệ thống. Trong khi đó, kiểm soát ứng dụng tập trung vào các chức năng cụ thể, chẳng hạn kiểm tra tính hợp lệ của dữ liệu đầu vào, giới hạn phê duyệt hoặc tự động đối chiếu giao dịch.

Mối liên hệ giữa hai nhóm này rất quan trọng. Một kiểm soát tự động trên ERP có thể được thiết kế đúng, nhưng nếu người dùng có thể tự ý thay đổi cấu hình hoặc chương trình mà không được kiểm soát, mức độ tin cậy của kiểm soát đó cũng bị ảnh hưởng. PCAOB từng nhấn mạnh vai trò của ITGC đối với hoạt động của các kiểm soát xử lý giao dịch và dữ liệu tài chính.

Do đó, Quy Trình Đánh Giá Kiểm Soát Nội Bộ IT Hướng Tới Chuẩn Bị Kiểm Toán BCTC Số cần kết nối rủi ro công nghệ với các khoản mục và quy trình có ảnh hưởng đến báo cáo tài chính, thay vì đánh giá IT như một lĩnh vực tách biệt.

Vì sao doanh nghiệp nên đánh giá IT trước kỳ kiểm toán BCTC?

Nếu chỉ rà soát kiểm soát nội bộ khi kiểm toán viên bắt đầu làm việc, doanh nghiệp có thể không còn đủ thời gian để xử lý các điểm yếu liên quan đến phân quyền, dữ liệu hoặc quy trình phê duyệt.

Đánh giá sớm giúp doanh nghiệp nhận diện các vấn đề trước khi chúng ảnh hưởng đến quá trình lập và kiểm toán báo cáo tài chính. Những lợi ích chính gồm:

• Phát hiện sớm rủi ro dữ liệu: Nhận diện khả năng truy cập trái phép, sửa đổi dữ liệu hoặc thiếu dấu vết kiểm tra.
• Củng cố độ tin cậy của báo cáo: Đánh giá các kiểm soát hỗ trợ ghi nhận, xử lý và tổng hợp thông tin tài chính.
• Chủ động khắc phục điểm yếu: Có thời gian phân công trách nhiệm, sửa quy trình và lưu lại bằng chứng khắc phục.
• Tăng khả năng phối hợp với kiểm toán viên: Chuẩn bị tài liệu hệ thống, hồ sơ phê duyệt và kết quả kiểm tra có cấu trúc.

Cần lưu ý rằng đánh giá nội bộ IT không đồng nghĩa với việc bảo đảm cuộc kiểm toán BCTC sẽ không phát sinh điều chỉnh. Đây là hoạt động giúp doanh nghiệp chủ động quản lý rủi ro; kiểm toán viên vẫn phải thực hiện các thủ tục độc lập theo chuẩn mực và mục tiêu kiểm toán.

Xem thêm: Dịch Vụ Xác Nhận Hệ Thống Kiểm Soát Nội Bộ IT 

Quy trình đánh giá kiểm soát nội bộ IT gồm những bước nào?

Một quy trình hiệu quả cần dựa trên rủi ro, có phạm vi rõ ràng và tạo ra bằng chứng có thể kiểm tra. Doanh nghiệp có thể triển khai theo năm bước dưới đây.

Bước 1: Khảo sát hệ thống và xác định phạm vi đánh giá

Trước tiên, cần lập danh sách các hệ thống có ảnh hưởng đến việc lập báo cáo tài chính, chẳng hạn ERP, phần mềm kế toán, hệ thống bán hàng, quản lý kho, ngân hàng điện tử và các nền tảng tích hợp dữ liệu.

Đội đánh giá cần hiểu cách dữ liệu đi từ giao dịch ban đầu đến sổ cái và báo cáo tài chính, đồng thời xác định các bên tham gia, điểm phê duyệt và các thao tác có thể làm thay đổi dữ liệu.

Phạm vi đánh giá nên ưu tiên hệ thống và quy trình có mức độ ảnh hưởng lớn đến các khoản mục trọng yếu. Cách tiếp cận này giúp tránh việc kiểm tra dàn trải nhưng không làm rõ được những rủi ro thực sự quan trọng.

Bước 2: Nhận diện rủi ro và đánh giá thiết kế kiểm soát

Sau khi xác định phạm vi, doanh nghiệp cần nhận diện những tình huống có thể làm sai lệch dữ liệu hoặc làm suy giảm độ tin cậy của báo cáo tài chính.

Ví dụ, một nhân viên có thể vừa tạo nhà cung cấp vừa phê duyệt thanh toán; tài khoản của nhân sự nghỉ việc chưa được thu hồi; hoặc thay đổi cấu hình ERP không có bằng chứng phê duyệt và kiểm thử.

Ở bước này, đội đánh giá xem xét liệu các kiểm soát hiện có có được thiết kế phù hợp để ngăn ngừa hoặc phát hiện rủi ro hay không. Một quy trình được ghi trong tài liệu chưa đủ chứng minh kiểm soát có hiệu quả; cần xem xét cả người chịu trách nhiệm, tần suất thực hiện và bằng chứng được lưu lại.

Bước 3: Kiểm tra việc vận hành kiểm soát

Đây là bước xác định liệu kiểm soát có thực sự được thực hiện nhất quán trong kỳ đánh giá hay không.

Tùy loại kiểm soát và mức độ rủi ro, thủ tục có thể bao gồm kiểm tra hồ sơ cấp quyền, rà soát nhật ký hệ thống, kiểm tra mẫu yêu cầu thay đổi, đối chiếu phê duyệt hoặc xem xét bằng chứng sao lưu và phục hồi.

Ví dụ, để đánh giá kiểm soát quyền truy cập ERP, đội đánh giá có thể đối chiếu danh sách người dùng với hồ sơ nhân sự, chức năng công việc và phê duyệt quyền. Với kiểm soát thay đổi hệ thống, cần xem xét hồ sơ yêu cầu, phê duyệt, kết quả kiểm thử và bằng chứng triển khai.

Việc lựa chọn mẫu và thủ tục kiểm tra phải phù hợp với mục tiêu đánh giá. Không nên chỉ dựa vào phỏng vấn hoặc xác nhận bằng lời mà thiếu bằng chứng hỗ trợ.

Bước 4: Phân loại phát hiện và đánh giá tác động

Sau khi kiểm tra, các điểm yếu cần được phân loại theo mức độ ảnh hưởng, khả năng xảy ra và phạm vi dữ liệu hoặc quy trình bị tác động.

Chẳng hạn, quyền truy cập không phù hợp vào hệ thống báo cáo tài chính có thể cần được ưu tiên cao hơn một thiếu sót tài liệu ít ảnh hưởng đến dữ liệu. Tuy nhiên, mức độ nghiêm trọng phải được đánh giá theo bối cảnh thực tế, các kiểm soát bù đắp và khả năng xảy ra sai sót trọng yếu.

Báo cáo phát hiện nên chỉ rõ nguyên nhân, rủi ro, bằng chứng liên quan và khuyến nghị xử lý. Cách trình bày này giúp ban lãnh đạo hiểu được vấn đề cần giải quyết thay vì chỉ nhận một danh sách lỗi kỹ thuật.

Bước 5: Khắc phục, kiểm tra lại và chuẩn bị hồ sơ kiểm toán

Doanh nghiệp cần lập kế hoạch khắc phục với người phụ trách, thời hạn hoàn thành và bằng chứng cần cung cấp. Sau khi điều chỉnh, các kiểm soát quan trọng nên được kiểm tra lại để xác định liệu vấn đề đã được xử lý hiệu quả hay chưa.

Hồ sơ chuẩn bị cho kỳ kiểm toán có thể bao gồm sơ đồ hệ thống, ma trận phân quyền, quy trình quản lý thay đổi, nhật ký kiểm soát, biên bản đối chiếu dữ liệu và tài liệu chứng minh việc khắc phục.

Điểm quan trọng là phải phân biệt giữa hoàn thành hành động khắc phục và chứng minh kiểm soát đã vận hành hiệu quả. Một chính sách mới được ban hành chưa đủ nếu chưa có bằng chứng cho thấy chính sách được thực hiện trong thực tế.

Xem thêm: Top 12 Công Ty Dịch Vụ Kiểm Toán Uy Tín Tại TP.HCM 2026 

Những nhóm ITGC cần ưu tiên rà soát trước kỳ kiểm toán

Để Quy Trình Đánh Giá Kiểm Soát Nội Bộ IT Hướng Tới Chuẩn Bị Kiểm Toán BCTC Số mang lại giá trị thực tế, doanh nghiệp nên ưu tiên các nhóm kiểm soát có ảnh hưởng rộng đến hệ thống tài chính.

Quản lý quyền truy cập: Kiểm tra cấp, sửa và thu hồi quyền; tài khoản đặc quyền; quyền xung đột và việc rà soát định kỳ.

Quản lý thay đổi: Đánh giá phê duyệt, kiểm thử, triển khai và khả năng truy vết thay đổi đối với chương trình, cấu hình và dữ liệu nền.

Vận hành hệ thống: Rà soát lịch xử lý dữ liệu, theo dõi lỗi, sao lưu, phục hồi và xử lý sự cố.

Bảo vệ dữ liệu và nhật ký: Xem xét khả năng phát hiện truy cập bất thường, ghi nhận hoạt động quan trọng và bảo vệ dấu vết kiểm tra.

Kiểm soát giao diện tích hợp: Đối chiếu dữ liệu giữa ERP với hệ thống bán hàng, kho, ngân hàng hoặc hóa đơn điện tử; xác định cách phát hiện và xử lý dữ liệu thiếu, trùng hoặc truyền thất bại.

Đối với doanh nghiệp sử dụng dịch vụ Cloud hoặc thuê ngoài CNTT, phạm vi đánh giá cũng cần xem xét trách nhiệm giữa doanh nghiệp và nhà cung cấp, cùng bằng chứng về các kiểm soát liên quan.

Những sai lầm khiến việc chuẩn bị kiểm toán kém hiệu quả

Một sai lầm phổ biến là chỉ tập trung vào việc hoàn thiện tài liệu chính sách. Hồ sơ đầy đủ là cần thiết, nhưng nếu kiểm soát không được thực hiện hoặc không có bằng chứng, rủi ro vẫn tồn tại.

Một số doanh nghiệp khác đánh giá IT hoàn toàn theo góc độ kỹ thuật, chưa kết nối phát hiện với tài khoản kế toán, quy trình giao dịch hoặc báo cáo tài chính có liên quan. Điều này khiến ban lãnh đạo khó xác định mức độ ưu tiên.

Ngoài ra, việc để đến sát kỳ kiểm toán mới rà soát có thể làm giảm thời gian khắc phục và kiểm tra lại. Doanh nghiệp nên duy trì đánh giá định kỳ, đặc biệt sau khi nâng cấp ERP, thay đổi phân quyền, tích hợp hệ thống mới hoặc phát sinh sự cố công nghệ.

Vai trò của Kiểm toán Việt Úc trong đánh giá kiểm soát nội bộ IT

Quy Trình Đánh Giá Kiểm Soát Nội Bộ IT Hướng Tới Chuẩn Bị Kiểm Toán BCTC Số cần sự phối hợp giữa chuyên môn công nghệ, kế toán và kiểm toán. Nếu chỉ nhìn từ một phía, doanh nghiệp có thể bỏ sót mối liên hệ giữa điểm yếu hệ thống và rủi ro sai lệch số liệu.

Kiểm toán Việt Úc có thể đồng hành cùng doanh nghiệp trong việc khảo sát hệ thống, xác định rủi ro ITGC trọng yếu, rà soát quyền truy cập và quản lý thay đổi, đánh giá bằng chứng vận hành kiểm soát, phân tích phát hiện và xây dựng kế hoạch khắc phục.

Cách tiếp cận tập trung vào rủi ro giúp doanh nghiệp ưu tiên nguồn lực cho những kiểm soát có ảnh hưởng lớn đến dữ liệu tài chính, đồng thời chuẩn bị hồ sơ có hệ thống trước kỳ kiểm toán. Việc đánh giá này hỗ trợ công tác chuẩn bị, nhưng không thay thế trách nhiệm lập báo cáo tài chính của ban lãnh đạo hoặc các thủ tục độc lập của kiểm toán viên.

Kết luận

Trong môi trường kế toán số, độ tin cậy của báo cáo tài chính phụ thuộc ngày càng nhiều vào chất lượng dữ liệu và hiệu quả của các kiểm soát công nghệ. Một hệ thống ERP có thể vận hành ổn định nhưng vẫn tiềm ẩn rủi ro nếu quyền truy cập không được quản lý, thay đổi hệ thống thiếu kiểm soát hoặc dữ liệu giữa các nền tảng không được đối chiếu. Vì vậy, đánh giá IT cần được thực hiện theo hướng gắn rủi ro công nghệ với các quy trình và khoản mục tài chính trọng yếu, thay vì chỉ kiểm tra hệ thống có đáp ứng yêu cầu kỹ thuật hay không.

Triển khai Quy Trình Đánh Giá Kiểm Soát Nội Bộ IT Hướng Tới Chuẩn Bị Kiểm Toán BCTC Số một cách chủ động giúp doanh nghiệp phát hiện điểm yếu sớm, có thời gian khắc phục và xây dựng bằng chứng rõ ràng về việc vận hành kiểm soát. Khi hoạt động đánh giá được duy trì định kỳ và phối hợp chặt chẽ giữa IT, kế toán, quản lý rủi ro và ban lãnh đạo, doanh nghiệp không chỉ chuẩn bị tốt hơn cho kỳ kiểm toán mà còn củng cố nền tảng quản trị dữ liệu, giảm rủi ro sai lệch và nâng cao chất lượng thông tin phục vụ ra quyết định.

Liên hệ ngay Hotline 084 877 0777  – Kiểm toán Việt Úc để được tư vấn đánh giá kiểm soát nội bộ IT, rà soát ITGC và chuẩn bị hệ thống dữ liệu tài chính trước kỳ kiểm toán BCTC.