Một quy trình được phê duyệt chưa chắc đã được thực hiện đúng trong công việc hằng ngày. Doanh nghiệp vẫn có thể gặp tình trạng thanh toán thiếu hồ sơ, phân quyền không phù hợp hoặc báo cáo chưa phản ánh đầy đủ những vấn đề đang xảy ra.
Kiểm toán nội bộ giúp doanh nghiệp kiểm tra cách các hoạt động đang vận hành và nhận diện những điểm cần cải thiện. Trong bài viết này, Sansan Academy sẽ cùng bạn tìm hiểu phạm vi công việc, quy trình thực hiện và những nguyên tắc giúp hoạt động kiểm toán tạo ra giá trị thực tế.
Kiểm toán nội bộ là gì?
Kiểm toán nội bộ, tiếng Anh là Internal Audit, là hoạt động đánh giá và tư vấn độc lập, khách quan về quản trị, quản lý rủi ro và kiểm soát trong tổ chức. Mục đích là giúp tổ chức đạt mục tiêu và cải thiện hoạt động, không chỉ tìm lỗi trong sổ sách.
Nội dung kiểm tra có thể thuộc tài chính, vận hành, tuân thủ hoặc công nghệ thông tin, tùy rủi ro và yêu cầu của cuộc kiểm toán. Nhóm kiểm toán xem cả thiết kế quy trình lẫn việc thực hiện: một bước phê duyệt được quy định đầy đủ vẫn có thể bị bỏ qua khi giao dịch phát sinh.
Chức năng này cần vị trí tổ chức, cơ chế báo cáo và quyền tiếp cận thông tin phù hợp để đưa ra nhận định độc lập. Kiểm toán viên đánh giá và kiến nghị, còn người quản lý quy trình chịu trách nhiệm điều hành và khắc phục. Vì vậy, có phòng kiểm toán nội bộ không đồng nghĩa doanh nghiệp đã chuyển trách nhiệm kiểm soát của các bộ phận sang phòng đó.
Vai trò của kiểm toán nội bộ trong doanh nghiệp
Giá trị của kiểm toán nội bộ thể hiện ở những vấn đề được làm rõ và khả năng sử dụng kết quả để cải thiện hoạt động. Một cuộc kiểm toán hữu ích phải giúp người có trách nhiệm hiểu điều gì đang xảy ra, mức độ ảnh hưởng và hướng xử lý. Số lượng lỗi phát hiện không đủ để phản ánh toàn bộ chất lượng của chức năng này.
Cung cấp đánh giá độc lập về quản trị, rủi ro và kiểm soát
The Institute of Internal Auditors, viết tắt là IIA, xác định kiểm toán nội bộ giúp tổ chức tạo lập, bảo vệ và duy trì giá trị thông qua hoạt động đánh giá độc lập, khách quan, dựa trên rủi ro cùng tư vấn cho cấp quản trị và ban điều hành. Vị trí độc lập và việc không chịu can thiệp không phù hợp là những điều kiện để chức năng này phát huy hiệu quả.
Trong doanh nghiệp, góc nhìn đó bổ sung cho báo cáo do chính bộ phận vận hành lập. Nhóm kiểm toán đối chiếu bằng chứng với tiêu chí đánh giá để chỉ ra điểm nào đang hoạt động tốt, điểm nào còn yếu và kết luận áp dụng đến đâu, thay vì chấp nhận mọi mô tả về quy trình như kết quả đã được chứng minh.
Nhận diện điểm yếu trong quy trình và đề xuất cải thiện
Một hồ sơ thanh toán thiếu chữ ký có thể do người thực hiện bỏ qua bước kiểm tra, nhưng cũng có thể vì hướng dẫn chưa rõ hoặc phân quyền không phù hợp. Nếu chỉ yêu cầu bổ sung chữ ký, doanh nghiệp có thể sửa xong hồ sơ đó mà vẫn để nguyên nguyên nhân khiến lỗi lặp lại.
Khi áp dụng kiến nghị, điều cần theo dõi không chỉ là quy trình đã được sửa. Doanh nghiệp còn phải xem lỗi cũ có tái diễn và cách làm mới có phù hợp với điều kiện vận hành hay không.
Hỗ trợ bảo vệ tài sản và nâng cao độ tin cậy của thông tin
Phân quyền phê duyệt, đối chiếu số liệu và kiểm kê là những cơ chế giúp bảo vệ tài sản. Kiểm toán nội bộ xem xét các cơ chế đó có được thiết kế và thực hiện phù hợp không, đồng thời kiểm tra nguồn dữ liệu và cách tổng hợp thông tin báo cáo.
Báo cáo Occupational Fraud 2026 của ACFE phân tích 2.402 vụ gian lận nghề nghiệp tại 143 quốc gia và vùng lãnh thổ. Trong dữ liệu nghiên cứu, sự hiện diện của các biện pháp chống gian lận có liên hệ với tổn thất thấp hơn và phát hiện nhanh hơn. Kết quả này không có nghĩa chỉ cần lập bộ phận kiểm toán là ngăn được mọi gian lận. Một giao dịch bất thường vẫn cần được xác minh và chuyển xử lý đúng thẩm quyền trước khi kết luận.
Cung cấp căn cứ cho hoạt động giám sát của cấp quản trị
Một báo cáo phục vụ giám sát cần làm rõ rủi ro nào còn tồn tại, ảnh hưởng ra sao và vấn đề nào cần người có thẩm quyền quyết định. Cấp quản trị khó sử dụng một danh sách lỗi dài nếu không biết nội dung nào đáng ưu tiên hoặc kiến nghị quan trọng đã được xử lý đến đâu.
Trong báo cáo thường niên năm tài chính 2026, Nhóm Ngân hàng Thế giới mô tả Group Internal Audit là chức năng độc lập, báo cáo cho Chủ tịch và chịu sự giám sát của Ủy ban Kiểm toán thuộc Hội đồng quản trị. Đây là một ví dụ về cơ chế báo cáo trong tổ chức cụ thể, không phải mô hình có thể áp nguyên trạng cho mọi doanh nghiệp.
Phạm vi hoạt động của kiểm toán nội bộ
Phạm vi kiểm toán được lựa chọn từ những hoạt động có ảnh hưởng đến mục tiêu và mức độ rủi ro của doanh nghiệp. Một cuộc kiểm toán có thể đi sâu vào một quy trình hoặc xem xét những vấn đề liên quan đến nhiều bộ phận. Kế hoạch phải làm rõ giới hạn để người đọc hiểu kết luận áp dụng cho nội dung nào và trong thời gian nào.
Quy trình vận hành và hiệu quả sử dụng nguồn lực
Khi kiểm toán mua hàng, sản xuất, quản lý kho hoặc triển khai dự án, nhóm kiểm toán xem cách nguồn lực được phân bổ và công việc chuyển qua các bộ phận. Trọng tâm là những điểm làm kết quả lệch yêu cầu, chẳng hạn bước xử lý bị lặp, thời gian chờ kéo dài hoặc trách nhiệm bị bỏ trống. Tuy nhiên, đánh giá hiệu quả không chỉ so chi phí: tiết kiệm được một khoản nhưng giao hàng chậm hoặc giảm chất lượng sản phẩm chưa chắc là sử dụng nguồn lực tốt hơn. Nhận định phải gắn với kết quả quy trình cần tạo ra và điều kiện thực hiện.
Thông tin tài chính và hệ thống kế toán
Ở lĩnh vực tài chính, kiểm toán viên xem xét cách giao dịch được phê duyệt, ghi nhận và tổng hợp thành báo cáo. Việc kiểm tra có thể đi từ chứng từ đến sổ kế toán hoặc từ số liệu báo cáo trở lại giao dịch gốc. Những khâu đối chiếu và xử lý chênh lệch thường là nội dung cần tìm hiểu kỹ.
Phạm vi này còn bao gồm quyền sửa dữ liệu và cơ chế kiểm tra các bút toán quan trọng. Nếu số liệu bị điều chỉnh, hệ thống cần lưu được người thực hiện và căn cứ của thay đổi. Kiểm toán viên đánh giá những cơ chế đó trong giới hạn cuộc kiểm toán, không mặc nhiên kết luận về toàn bộ báo cáo tài chính.
Việc tuân thủ pháp luật và quy định nội bộ
Kiểm toán tuân thủ xem xét doanh nghiệp có thực hiện những yêu cầu áp dụng cho hoạt động được kiểm tra hay không. Tiêu chí có thể đến từ pháp luật, hợp đồng hoặc quy định nội bộ. Nhóm kiểm toán phải xác định đúng văn bản và thời điểm hiệu lực trước khi đánh giá một giao dịch.
Tại Việt Nam, Nghị định 05/2019/NĐ-CP là một căn cứ về công tác kiểm toán nội bộ, bên cạnh những quy định chuyên ngành. Với ngân hàng thương mại và chi nhánh ngân hàng nước ngoài, việc tổ chức hệ thống kiểm soát nội bộ còn phải xem xét Thông tư 83/2025/TT-NHNN có hiệu lực từ ngày 1/7/2026. Doanh nghiệp cần xác định đúng nhóm quy định áp dụng cho mình khi xây dựng quy chế và kế hoạch kiểm toán.
Công nghệ thông tin và các rủi ro liên quan
Quyền truy cập, quản lý thay đổi, sao lưu và khả năng duy trì hoạt động là những nội dung có thể được kiểm tra trong cuộc kiểm toán công nghệ thông tin. Chẳng hạn, tài khoản của người đã nghỉ việc chưa bị khóa tạo ra nguy cơ truy cập không còn phù hợp. Để đánh giá tác động, nhóm kiểm toán cần biết tài khoản có quyền gì và dữ liệu đi qua những hệ thống nào.
Công việc của kiểm toán viên nội bộ
Công việc kiểm toán nội bộ bao gồm chuẩn bị kế hoạch, thực hiện kiểm tra và theo dõi những thay đổi sau báo cáo. Kiểm toán viên phải kết hợp hiểu biết về hoạt động với khả năng đánh giá bằng chứng để đưa ra nhận định có căn cứ. Trách nhiệm của từng người còn phụ thuộc vào chuyên môn, cấp độ và cách tổ chức nhóm kiểm toán.
Đánh giá rủi ro và xây dựng kế hoạch kiểm toán
Kế hoạch kiểm toán dựa trên rủi ro cần trả lời vì sao chọn lĩnh vực này trước lĩnh vực khác. Kiểm toán viên xem mục tiêu kinh doanh, thay đổi trong quy trình, sự cố và mức ảnh hưởng nếu kiểm soát không hiệu quả để xác định ưu tiên. Một quy trình mới hoặc vừa thay đổi đáng kể có thể cần được chú ý dù chưa ghi nhận sai sót.
Sau khi chọn nội dung, người phụ trách cân đối nhân lực, chuyên môn và thời gian thực hiện. Phần rủi ro quan trọng chưa được bao phủ vì thiếu nguồn lực phải được trình bày với cấp có thẩm quyền. Khi hoạt động hoặc rủi ro thay đổi, kế hoạch cũng cần được xem xét lại, không chờ hết năm chỉ vì đã có bản phê duyệt.
Tìm hiểu quy trình và kiểm tra hoạt động kiểm soát
Kiểm toán viên tìm hiểu quy trình qua tài liệu, phỏng vấn và theo dõi một giao dịch từ đầu đến cuối. Sau khi biết ai làm gì, dữ liệu đi đâu và kiểm soát nằm ở bước nào, nhóm cần phân biệt hai việc:
- Đánh giá thiết kế: cơ chế được đặt ra có phù hợp với rủi ro không, trách nhiệm và thẩm quyền có rõ không?
- Kiểm tra thực hiện: hồ sơ giao dịch có cho thấy kiểm soát đã vận hành đúng không? Việc có quy định phê duyệt chưa chứng minh mọi giao dịch đều được duyệt đúng thẩm quyền.
Hồ sơ làm việc cần thể hiện cách chọn mẫu, thủ tục đã làm và ngoại lệ phát hiện được để người soát xét hiểu căn cứ đánh giá.
Thu thập bằng chứng và xác minh phát hiện
Bằng chứng kiểm toán có thể đến từ chứng từ, dữ liệu hệ thống, hồ sơ phê duyệt hoặc kết quả quan sát. Kiểm toán viên đánh giá độ tin cậy và mức độ liên quan của từng nguồn trước khi sử dụng. Thông tin thu được phải đủ để hỗ trợ nhận định trong phạm vi đang xem xét.
Khi xuất hiện chênh lệch, người làm kiểm toán cần kiểm tra lại dữ liệu và trao đổi với bộ phận liên quan. Nguyên nhân có thể nằm ở cách trích xuất, thời điểm ghi nhận hoặc một ngoại lệ được cho phép. Những bước xác minh này giúp tránh đưa một kết luận chưa đầy đủ vào báo cáo.
Phát triển năng lực nhìn toàn doanh nghiệp, lựa chọn ưu tiên và xây cơ chế thực thi cho vai trò CEO.
Trao đổi kết quả và đề xuất kiến nghị
Một phát hiện kiểm toán cần nối được bốn phần trước khi đi đến kiến nghị:
- Tiêu chí: yêu cầu hoặc mức thực hiện đáng lẽ phải đáp ứng.
- Thực trạng: điều ghi nhận được từ bằng chứng, trong phạm vi đã kiểm tra.
- Nguyên nhân: lý do dẫn đến chênh lệch, không chỉ mô tả lại lỗi.
- Ảnh hưởng: hậu quả hoặc rủi ro làm cơ sở xác định ưu tiên xử lý.
Từ đó, nhóm kiểm toán trao đổi phương án với đơn vị liên quan để xác định hành động khả thi và đúng trách nhiệm. Việc trao đổi giúp kiểm tra thông tin, không có nghĩa phải được đơn vị đó đồng ý mới báo cáo. Nếu còn bất đồng, phát hiện có bằng chứng vẫn cần được trình bày cùng ý kiến khác biệt và cơ sở kết luận.
Theo dõi việc thực hiện kiến nghị sau kiểm toán
Kiểm toán viên theo dõi hành động sau báo cáo bằng cách hỏi tiến độ, xem bằng chứng thực hiện và kiểm tra lại theo mức độ quan trọng của phát hiện. Một thông báo đã hoàn thành chưa đủ nếu biện pháp chỉ được ghi trong văn bản mà chưa vận hành.
Cần tách rõ hai trách nhiệm: bộ phận quản lý thực hiện khắc phục, còn kiểm toán nội bộ xác nhận tình trạng thực hiện và báo cáo nội dung còn tồn đọng. Những hành động quá hạn phải được theo dõi cùng lý do chậm và rủi ro còn lại, không tự đóng chỉ vì đã qua kỳ báo cáo.
Quy trình kiểm toán nội bộ
Quy trình kiểm toán nội bộ tổ chức một cuộc kiểm toán từ lúc xác định yêu cầu đến khi theo dõi hành động khắc phục. Mỗi bước cần tạo ra những hồ sơ đủ để người khác hiểu công việc đã được thực hiện như thế nào. Doanh nghiệp có thể điều chỉnh cách triển khai theo loại cuộc kiểm toán nhưng phải giữ được mối liên hệ giữa mục tiêu, bằng chứng và kết luận.
Bước 1: Xác định mục tiêu, phạm vi và tiêu chí đánh giá
Trước khi yêu cầu dữ liệu, nhóm kiểm toán cần thống nhất cuộc kiểm toán sẽ trả lời vấn đề gì. Phạm vi nên xác định rõ:
- Quy trình, đơn vị và hệ thống được xem xét.
- Kỳ dữ liệu, địa điểm hoặc nhóm giao dịch thuộc cuộc kiểm toán.
- Những nội dung được loại khỏi phạm vi và ảnh hưởng của giới hạn đó.
Tiêu chí đánh giá có thể đến từ pháp luật, chính sách hoặc tiêu chuẩn phù hợp với hoạt động. Nếu tiêu chí chưa rõ, phải trao đổi để xác định cơ sở đánh giá trước khi kiểm tra. Mục tiêu và phạm vi được phê duyệt theo quy chế, giúp giới hạn kết luận ngay từ đầu.
Bước 2: Lập chương trình kiểm toán và chuẩn bị dữ liệu
Chương trình kiểm toán chuyển từng mục tiêu thành thủ tục: lấy dữ liệu nào, kiểm tra ra sao, ai thực hiện và lưu bằng chứng ở đâu. Việc phân công phải tính đến thời gian cung cấp hồ sơ, khả năng phối hợp và chuyên môn cần thiết.
Dữ liệu nhận được chưa nên dùng ngay để chọn mẫu. Nhóm cần xác định đúng kỳ, hiểu các trường thông tin và đối chiếu tổng dữ liệu với nguồn phù hợp. Nếu số liệu không khớp, hãy làm rõ do phạm vi trích xuất, cách ghi nhận hay dữ liệu thiếu trước khi diễn giải chênh lệch thành sai sót của quy trình.
Bước 3: Thực hiện kiểm tra và phân tích bằng chứng
Nhóm kiểm toán thực hiện các thủ tục đã chuẩn bị và lưu kết quả trong hồ sơ làm việc. Cách kiểm tra có thể gồm đối chiếu, tính toán lại, quan sát hoặc kiểm tra mẫu giao dịch. Việc lựa chọn thủ tục phải phù hợp với câu hỏi đang cần trả lời.
Giả sử cuộc kiểm toán xem xét hoạt động thanh toán cho nhà cung cấp, nhóm có thể đối chiếu yêu cầu mua với hồ sơ nhận hàng và chứng từ thanh toán. Những khoản thanh toán trùng hoặc vượt thẩm quyền sẽ được xác minh thêm. Ví dụ về kiểm toán nội bộ này cho thấy một dấu hiệu từ dữ liệu phải được kiểm tra trong toàn bộ bối cảnh giao dịch.
Khi bằng chứng chưa đủ, nhóm kiểm toán điều chỉnh thủ tục hoặc mở rộng kiểm tra trong phạm vi được phép. Mọi thay đổi đáng kể về phạm vi cần được trao đổi và phê duyệt phù hợp. Kết luận phải thể hiện những giới hạn còn tồn tại nếu không thể thu thập đủ thông tin.
Bước 4: Thống nhất thông tin và phát hành báo cáo
Trước khi phát hành, nhóm kiểm toán trao đổi các phát hiện với đơn vị liên quan để kiểm tra tính chính xác của thông tin. Bộ phận được kiểm toán có cơ hội giải thích hoàn cảnh và cung cấp bằng chứng bổ sung. Nếu còn bất đồng, hồ sơ cần ghi nhận quan điểm của các bên cùng cơ sở của kết luận.
Báo cáo kiểm toán nội bộ thường trình bày mục tiêu, phạm vi, phương pháp và kết quả chính của cuộc kiểm toán. Từng phát hiện cần đi cùng mức độ ảnh hưởng, kiến nghị hoặc hành động khắc phục đã thống nhất. Người phụ trách và thời hạn thực hiện phải đủ rõ để phục vụ việc theo dõi.
Bước 5: Theo dõi hành động khắc phục và báo cáo tồn đọng
Danh sách theo dõi sau kiểm toán cần nối mỗi phát hiện với hành động khắc phục, người phụ trách, hạn hoàn thành và bằng chứng xác nhận. Cách kiểm tra lại dựa trên mức độ rủi ro: vấn đề quan trọng có thể cần kiểm tra hoạt động thực tế, không chỉ đọc quy trình sửa đổi.
Khi quá hạn, nhóm kiểm toán ghi nhận lý do, tiến độ và rủi ro còn lại để báo cáo đúng cấp. Nếu ban điều hành lựa chọn chấp nhận rủi ro, phải xem quyết định có nằm trong thẩm quyền và mức chấp nhận của tổ chức không. Việc trì hoãn hoặc không hành động cũng cần được xem xét, chứ không chỉ trường hợp đã có văn bản chấp nhận rủi ro.
Quyền hạn và trách nhiệm của kiểm toán nội bộ
Quyền hạn giúp kiểm toán viên tiếp cận được những thông tin cần thiết để thực hiện nhiệm vụ. Trách nhiệm yêu cầu họ sử dụng quyền đó đúng mục đích và đưa ra kết luận có căn cứ. Cả hai nội dung nên được quy định trong quy chế kiểm toán nội bộ để các bên hiểu cách phối hợp và cơ chế xử lý khi có trở ngại.
Tiếp cận thông tin, tài sản và nhân sự trong phạm vi kiểm toán
Kiểm toán viên cần được tiếp cận hồ sơ, hệ thống và những người có thông tin liên quan đến cuộc kiểm toán. Với tài sản hữu hình, công việc có thể bao gồm quan sát hoặc kiểm tra thực tế theo quyền được giao. Yêu cầu tiếp cận phải phù hợp với nhiệm vụ và quy định áp dụng.
Việc có quyền kiểm tra không đồng nghĩa với được tự ý sửa dữ liệu hoặc thao tác trên hệ thống vận hành. Nhóm kiểm toán nên sử dụng quyền truy cập phù hợp và lưu được dấu vết của hoạt động cần thiết. Dữ liệu nhạy cảm phải được xử lý theo cơ chế bảo mật của tổ chức.
Báo cáo phát hiện và các trở ngại ảnh hưởng đến công việc
Vấn đề quan trọng phải được báo cáo kịp thời qua kênh phù hợp, nhất là khi chờ đến cuối cuộc kiểm toán có thể làm tăng thiệt hại. Báo cáo sớm cần phân biệt nội dung đã xác minh với dấu hiệu đang được kiểm tra.
Khi không được cung cấp hồ sơ, dữ liệu hoặc quyền tiếp cận nhân sự cần thiết, nhóm kiểm toán ghi lại yêu cầu, phần công việc bị ảnh hưởng và cách đã tìm giải pháp. Nếu trở ngại chưa được tháo gỡ, phải báo cáo giới hạn đó cùng tác động đến phạm vi và kết luận, không trình bày như thể đã kiểm tra đầy đủ.
Bảo mật dữ liệu và chịu trách nhiệm về kết luận
Thông tin thu được trong quá trình kiểm toán chỉ được sử dụng cho mục đích phù hợp với nhiệm vụ. Hồ sơ cần được lưu trữ có kiểm soát và chỉ chia sẻ cho những người được phép tiếp cận. Kiểm toán viên không được sử dụng dữ liệu nội bộ để phục vụ lợi ích cá nhân.
Trách nhiệm về kết luận đòi hỏi người làm kiểm toán kiểm tra được mối liên hệ giữa nhận định và bằng chứng. Nếu phát hiện sai sót quan trọng trong báo cáo đã phát hành, người phụ trách phải thực hiện việc thông báo và sửa đổi theo cơ chế áp dụng. Những tài liệu từng dùng để hình thành kết luận cần được quản lý để phục vụ việc xem xét lại.
Giữ ranh giới với trách nhiệm điều hành và thực hiện kiểm soát
Kiểm toán nội bộ có thể tư vấn về thiết kế quy trình và cách kiểm soát rủi ro. Tuy nhiên, người quản lý có thẩm quyền vẫn quyết định phương án, phân công và tổ chức thực hiện. Sự phân định này cần được làm rõ trước khi giao nhiệm vụ tư vấn.
Nguy cơ tự đánh giá công việc của mình xuất hiện nếu kiểm toán viên vừa trực tiếp phê duyệt thanh toán hoặc quản lý quy trình, vừa kiểm toán chính hoạt động đó. Tổ chức phải nhận diện tình huống và bố trí biện pháp bảo vệ tính khách quan, thay vì cho rằng đổi tên nhiệm vụ là đã giải quyết xung đột.
Nguyên tắc và đạo đức nghề nghiệp
Các nguyên tắc kiểm toán nội bộ giúp người làm nghề giữ được chất lượng nhận định khi đối mặt với thông tin chưa đầy đủ hoặc sức ép từ các bên. Chúng cần được thể hiện trong cách phân công, thu thập bằng chứng và báo cáo kết quả. Quy tắc nghề nghiệp cũng phải đi cùng cơ chế giám sát để tổ chức nhận diện và xử lý những tình huống ảnh hưởng đến tính độc lập.
Tính độc lập và khách quan
Độc lập là điều kiện về vị trí và cơ chế hoạt động của chức năng kiểm toán, còn khách quan là yêu cầu đối với nhận định của người làm nghề. Một bộ phận có quyền báo cáo lên cấp quản trị vẫn có thể đưa ra đánh giá thiên lệch nếu cá nhân kiểm toán viên có lợi ích liên quan.
Quà tặng, quan hệ với nhà cung cấp hoặc việc từng chịu trách nhiệm cho quy trình được kiểm toán là những tình huống cần khai báo để xem xét phân công và giám sát. Can thiệp vào phạm vi, cách thực hiện hoặc kết quả kiểm toán cũng phải được nhận diện và báo cáo theo cơ chế của tổ chức.
Chính trực và bảo mật
Chính trực đòi hỏi trình bày trung thực việc đã kiểm tra, bằng chứng và giới hạn còn lại, không phóng đại hay giảm nhẹ phát hiện vì lợi ích hoặc sức ép. Tuy nhiên, trung thực không đồng nghĩa công khai mọi dữ liệu cho mọi người. Thông tin kiểm toán chỉ được sử dụng và tiết lộ đúng nhiệm vụ, thẩm quyền hoặc yêu cầu pháp luật. Kiểm toán viên phải kiểm soát người nhận, kênh trao đổi và quyền truy cập hồ sơ, kể cả khi chia sẻ tài liệu để giải thích một phát hiện.
Năng lực chuyên môn và sự thận trọng
Kiểm toán viên phải có kiến thức và kỹ năng phù hợp với nội dung nhận kiểm tra. Khi lĩnh vực vượt quá năng lực hiện có, người phụ trách cần bổ sung chuyên gia hoặc điều chỉnh cách triển khai. Việc sử dụng công cụ không thay thế yêu cầu hiểu phương pháp và đánh giá kết quả.
Sự thận trọng thể hiện ở việc cân nhắc độ tin cậy của thông tin, khả năng có sai sót và mức ảnh hưởng của vấn đề. Người làm kiểm toán cần giữ thái độ tìm hiểu đến cùng những điểm chưa rõ nhưng không mặc nhiên nghi ngờ mọi giao dịch. Kết luận chỉ nên đi xa đến mức bằng chứng cho phép.
Tuân thủ chuẩn mực và kiểm soát chất lượng công việc
Tại Việt Nam, Thông tư 08/2021/TT-BTC ban hành chuẩn mực kiểm toán nội bộ Việt Nam và các nguyên tắc đạo đức nghề nghiệp tương ứng. Với khuôn khổ IIA, Global Internal Audit Standards có hiệu lực từ ngày 9/1/2025. Doanh nghiệp cần xác định yêu cầu pháp lý áp dụng cho mình và khuôn khổ nghề nghiệp sử dụng, không coi việc IIA cập nhật chuẩn mực là tự động sửa nội dung văn bản Việt Nam.
Chất lượng phải được thể hiện trong hồ sơ: thủ tục có trả lời mục tiêu kiểm toán, bằng chứng có hỗ trợ kết luận và người soát xét có lần theo được quá trình xử lý thông tin hay không. Kết quả soát xét được dùng để sửa phương pháp và bồi dưỡng năng lực, thay vì chỉ xác nhận hồ sơ đủ biểu mẫu. COSO có thể hỗ trợ xây dựng tiêu chí về kiểm soát của đối tượng được kiểm toán, nhưng không thay thế chuẩn mực thực hành kiểm toán nội bộ.
Kiến thức và kỹ năng cần có khi làm kiểm toán nội bộ
Người làm kiểm toán cần hiểu hoạt động trước khi đánh giá những cơ chế đang được sử dụng để kiểm soát hoạt động đó. Kiến thức kế toán và pháp luật có thể là nền tảng nhưng yêu cầu nghề nghiệp còn phụ thuộc vào ngành và loại cuộc kiểm toán. Khi đọc mô tả công việc kiểm toán nội bộ, ứng viên nên xác định những lĩnh vực mình sẽ phụ trách để chuẩn bị năng lực phù hợp.
Hiểu hoạt động doanh nghiệp và quản lý rủi ro
Hiểu doanh nghiệp bắt đầu từ việc theo dõi một giao dịch: doanh thu được tạo ra ở đâu, ai ra quyết định, nguồn lực nào được sử dụng và điều gì có thể làm kết quả sai lệch. Người mới nên đối chiếu sơ đồ quy trình với cách công việc thực sự đi qua các bộ phận, thay vì chỉ học tên rủi ro.
Mức hiểu biết cần đi cùng lĩnh vực được phân công. Nhân viên kiểm toán nội bộ ngân hàng có thể cần kiến thức về tín dụng, thanh toán và yêu cầu chuyên ngành, còn cuộc kiểm toán khác đòi hỏi nền tảng phù hợp với hoạt động đó. Khi sản phẩm hoặc mô hình kinh doanh thay đổi, kiến thức cũ cũng phải được cập nhật.
Phân tích dữ liệu và đánh giá bằng chứng
Phân tích dữ liệu có thể giúp tìm giao dịch trùng, thông tin thiếu hoặc biến động cần xác minh. Giá trị nằm ở câu hỏi kiểm toán và cách kiểm tra, không phải chỉ ở việc dùng bảng tính, truy vấn hay phần mềm chuyên dụng.
Chẳng hạn, ghép dữ liệu sai khóa có thể làm một giao dịch xuất hiện nhiều lần và tạo báo cáo ngoại lệ không đúng. Trước khi diễn giải, kiểm toán viên phải kiểm tra tính đầy đủ, nhất quán của đầu vào và lưu cách xử lý để người soát xét có thể làm lại. Kết quả phân tích là điểm bắt đầu để xác minh, không tự trở thành kết luận về sai phạm.
Phỏng vấn, trao đổi và viết báo cáo
Phỏng vấn giúp làm rõ công việc chưa được mô tả hết trong tài liệu. Thay vì hỏi theo hướng người trả lời chỉ cần xác nhận quy trình luôn đúng, kiểm toán viên nên yêu cầu họ giải thích cách xử lý một giao dịch và chỉ ra hồ sơ có thể đối chiếu.
Khi chuyển sang báo cáo, cần tách sự việc đã xác minh khỏi suy luận về nguyên nhân hoặc tác động. Người đọc phải hiểu điều gì xảy ra, vì sao đáng quan tâm và ai có trách nhiệm xử lý. Ngôn ngữ cụ thể giúp cuộc trao đổi tập trung vào vấn đề, tránh biến báo cáo thành nhận xét chung về năng lực hay thái độ của một bộ phận.
Quản lý tiến độ và xử lý bất đồng
Quản lý tiến độ là theo dõi những việc phụ thuộc nhau, không chỉ đặt ngày hoàn thành cuối cùng. Nếu hồ sơ đến chậm, nhóm kiểm toán cần xác định thủ tục nào bị ảnh hưởng, nội dung nào còn có thể làm và khi nào phải báo cáo để điều chỉnh lịch.
Với bất đồng, hãy quay về tiêu chí và bằng chứng. Nhóm kiểm toán tiếp nhận thông tin bổ sung và sửa nhận định khi có cơ sở, nhưng không xóa phát hiện chỉ để cuộc trao đổi kết thúc thuận lợi. Ý kiến khác biệt chưa được giải quyết cần được ghi nhận và chuyển theo thẩm quyền.
Phân biệt kiểm toán nội bộ và kiểm toán độc lập
Bảng dưới đây tập trung vào những khác biệt thường gặp giữa chức năng kiểm toán nội bộ và kiểm toán độc lập báo cáo tài chính. Phạm vi của từng cuộc kiểm toán vẫn phải được xác định theo quy chế, hợp đồng và những yêu cầu áp dụng.
| Tiêu chí | Kiểm toán nội bộ | Kiểm toán độc lập báo cáo tài chính |
|---|---|---|
| Mục tiêu chính | Đánh giá và tư vấn để cải thiện quản trị, quản lý rủi ro và kiểm soát | Đưa ra ý kiến về báo cáo tài chính theo khuôn khổ lập và trình bày được áp dụng |
| Chủ thể thực hiện | Bộ phận kiểm toán nội bộ hoặc nguồn lực cung cấp chức năng này theo cơ chế phù hợp | Doanh nghiệp kiểm toán và kiểm toán viên đáp ứng điều kiện áp dụng |
| Phạm vi | Có thể bao gồm vận hành, tuân thủ, tài chính và công nghệ thông tin | Báo cáo tài chính và những nội dung liên quan cần kiểm tra để hình thành ý kiến |
| Cơ sở xác định công việc | Quy chế kiểm toán nội bộ, đánh giá rủi ro và kế hoạch được phê duyệt | Hợp đồng kiểm toán, chuẩn mực và yêu cầu pháp luật |
| Cách tổ chức | Theo kế hoạch năm, từng cuộc kiểm toán và nhu cầu phát sinh | Theo kỳ báo cáo và điều khoản của cuộc kiểm toán |
| Kết quả đầu ra | Báo cáo phát hiện, kết luận và kiến nghị hoặc kế hoạch hành động | Báo cáo kiểm toán thể hiện ý kiến về báo cáo tài chính |
| Đối tượng sử dụng chính | Cấp quản trị, ban điều hành và những người chịu trách nhiệm xử lý vấn đề | Những người sử dụng báo cáo tài chính theo phạm vi và mục đích phát hành |
| Theo dõi sau báo cáo | Theo dõi việc thực hiện hành động khắc phục trong cơ chế của tổ chức | Thực hiện công việc tiếp theo theo chuẩn mực và thỏa thuận, không mặc nhiên quản lý toàn bộ kiến nghị nội bộ |
Kết luận
Kiểm toán nội bộ hữu ích khi làm rõ điểm yếu, chỉ ra rủi ro và giúp người có trách nhiệm lựa chọn cách xử lý. Vị trí độc lập, nhân sự có năng lực và phương pháp dựa trên bằng chứng là nền tảng cho công việc đó. Kết quả không dừng ở báo cáo: doanh nghiệp cần chuyển kiến nghị phù hợp thành hành động và theo dõi việc khắc phục, trong khi vẫn giữ rõ trách nhiệm điều hành của từng bộ phận.
Bài viết liên quan
- AR (Augmented Reality) là gì? Ứng dụng của công nghệ AR
- Data Warehouse là gì? Những đặc điểm kỹ thuật của DW
- Kinh tế xanh là gì? Các nguyên tắc trong phát triển kinh tế xanh
- Supplier là gì? Mối quan hệ của Supplier trong Logistics
- Trái phiếu xanh là gì? Các loại trái phiếu xanh trên thế giới
- Tín dụng xanh là gì? Các lĩnh vực có thể tiếp cận tín dụng xanh
