Mục lục

Quy trình kiểm toán nội bộ

Quy trình kiểm toán nội bộ quy định các quy trình và hƣớng dẫn chi tiết về phƣơng thức đánh giá rủi ro, lập kế hoạch kiểm toán nội bộ hằng năm, kế hoạch từng cuộc kiểm toán, cách thức thực hiện công việc kiểm toán, lập và gửi báo cáo kiểm toán, lƣu hồ sơ, tài liệu kiểm toán nội bộ.

Quy trình kiểm toán nội bộ có thể chia ra thành 5 bƣớc [76, tr.256], bao gồm

Lập kế hoạch kiểm toán

Chuẩn bị kiểm toán

Thực hiện kiểm toán

Lập báo cáo

Giám sát sau kiểm toán

Tuy nhiên, có nhiều quan điểm đƣợc chấp nhận hiện nay là kiểm toán nội bộ tại các ngân hàng đƣợc chia thành 4 bƣớc cơ bản [3] & [73]:

Lập kế hoạch kiểm toán dựa trên cơ sở rủi ro

Thực hiện kiểm toán

Lập báo cáo kiểm toán

Giám sát sau kiểm toán

1. Lập kế hoạch kiểm toán trên cơ sở rủi ro

Theo COSO năm 2004 [57], rủi ro là khả năng một sự kiện sẽ xảy ra và cản trở việc đạt đƣợc mục tiêu của tổ chức. IIA [68] trong phần thuật ngữ cũng định nghĩa: rủi ro là khả năng một sự kiện xảy ra ảnh hƣởng đến việc đạt đƣợc các mục tiêu. Rủi ro đƣợc đo lƣờng bằng mức độ ảnh hƣởng và khả năng xảy ra. Nhƣ vậy rủi ro là bất kỳ cái gì tác động đến việc đạt đƣợc mục tiêu của tổ chức, không chỉ là tác động tiêu cực mà còn có thể là việc bỏ lỡ các cơ hội cũng đƣợc coi là rủi ro.

Chuẩn mực kiểm toán nội bộ quốc tế của IIA số 2010 [69] yêu cầu trƣởng nhóm kiểm toán nội bộ phải lập kế hoạch dựa trên các rủi ro để xác định các ƣu thế hoạt động kiểm toán nội bộ, phù hợp với mục tiêu của đơn vị. Trƣởng nhóm kiểm toán nội bộ cần tính đến khung quản lý rủi ro của doanh nghiệp hoặc tham vấn về rủi ro với Quản lý cấp cao và Hội đồng quản trị. Trƣởng kiểm toán phải tổng hợp, xem xét, chỉnh sửa kế hoạch khi có sự thay đổi về rủi ro, hoạt động, chƣơng trình, hệ thống và kiểm soát. Kế hoạch kiểm toán phải dựa vào việc đánh giá rủi ro thực hiện hàng năm.

Theo Rosato (2015) [87, trg. 20] việc lập kế hoạch kiểm toán đƣợc thực hiện nhƣ sau:

– Kế hoạch kiểm toán phải đƣợc xây dựng trên cơ sở sự hiểu biết về đơn vị cũng nhƣ hệ thống kiểm soát nội bộ. Một số bƣớc cơ bản khi xây dựng kế hoạch kiểm toán dựa trên rủi ro là:

o Xác định và ghi chép các rủi ro kinh doanh tại chính mỗi đơn vị kinh doanh

o Đánh giá rủi ro của từng quy trình kinh doanh

o Xác định mức độ ƣu tiên và thu thập ý kiến của các bên liên quan về những lĩnh vực có rủi ro cao.

o Xác định tần suất kiểm toán và lập kế hoạch hàng năm,

o Xác định phạm vi kiểm toán và lập chƣơng trình kiểm toán.

BTC (2010) [1] cũng hƣớng dẫn cách xây dựng Kế hoạch kiểm toán hàng năm trên cơ sở rủi ro là phải xác định đƣợc mức độ rủi ro tóm tắt (cao – trung bình – thấp) của mỗi chi nhánh NH/ phòng ban nghiệp vụ/quy trình và mức độ rủi ro các hoạt động trong đơn vị đó. Kết quả tự đánh giá rủi ro của mỗi đơn vị và kết quả phân tích, đánh giá rủi ro của Ban/Phòng kiểm tra kiểm soát nội bộ chuyên trách là một trong những nguồn thông tin quan trọng phục vụ cho công tác đánh giá rủi ro của bộ phận kiểm toán. Muốn có bảng tự đánh giá rủi ro thì bộ phận kiểm toán phải gửi bảng hỏi xuống các đơn vị để lãnh đạo các đơn vị trả lời.

1. Xác định Danh mục đối tƣợng kiểm toán: ví dụ nhƣ chi nhánh, phòng giao dịch, sở giao dịch, các quy trình liên quan đến nhiều đơn vị hoặc trong nội bộ một đơn vị.

2. Xác định mục tiêu cho đối tƣợng kiểm toán: Các đơn vị, các quy trình đều phải có mục tiêu hoạt động.

3. Xác định danh mục rủi ro: nên đƣợc cơ cấu hƣớng tập trung vào các quy trình hơn là các đơn vị. Trƣớc mắt có thể xác định rủi ro theo tổ chức, từng bƣớc tiến tới xác định rủi ro theo quy trình.

4. Đo lƣờng rủi ro: Điểm bắt đầu của đo lƣờng rủi ro là rủi ro tiềm tàng. Tiếp đó là đo lƣờng rủi ro kiểm soát để xác định rủi ro còn lại, làm cơ sở lập kế hoạch kiểm toán. Đo lƣờng rủi ro mang tính chủ quan và dựa vào phán đoán. Mức độ ảnh hƣởng và khả năng xảy ra rủi ro của hầu hết các rủi ro không thể tính toán hoặc đo lƣờng chính xác. Đo lƣờng rủi ro tiềm tàng đƣợc tính toán bằng [1]

Đây chính là căn cứ quan trọng để kiểm toán viên có thể tiến hành lập kế hoạch kiểm toán định hƣớng rủi ro một cách phù hợp nhất.

2. Thực hiện kiểm toán

Trƣớc tiên, kiểm toán nội bộ cần thiết kế chƣơng trình kiểm toán cụ thể bao gồm các thủ tục cần tiến hành để đạt đƣợc mục tiêu kiểm toán theo kế hoạch. Chuẩn mực quốc tế cho việc hành nghề chuyên nghiệp của kiểm toán nội bộ số 2240 [73] mô tả:
Một chƣơng trình kiểm toán phải chỉ rõ phạm vi kiểm toán, mục tiêu, phân bổ nguồn lực. Tiếp theo, kế hoạch chi tiết này phải nêu rõ các thử nghiệm kiểm toán, việc thu thập bằng chứng kiểm toán và việc lập các hồ sơ kiểm toán. Đối với các thử nghiệm kiểm toán, kiểm toán viên nội bộ cần vận dụng, phối hợp hai thử nghiệm kiểm toán là Kiểm toán hệ thống và Kiểm toán riêng lẻ.
Thử nghiệm kiểm toán hệ thống (Test of control) [3, tr.107]

Là phƣơng pháp kiểm toán trong đó các thủ tục, kỹ thuật kiểm toán đƣợc thiết lập để thu thập các bằng chứng về tính hiệu quả của hệ thống KSNB tại đơn vị đƣợc kiểm toán, xét trên 2 khía cạnh: (i) Tính thích hợp, khoa học (hệ thống đƣợc thiết kế đủ hiệu quả để ngăn chặn, phát hiện và sửa chữa các sai phạm), (ii) Tính hiệu lực (hệ thống đƣợc duy trì, tuân thủ trên thực tế)
Nội dung thứ nhất: Phân tích hệ thống (nhằm kiểm chứng tính thích hợp, khoa học của hệ thống KSNB)

Là đánh giá tính hiệu quả (thích hợp) của hệ thống kiểm soát nội bộ của đơn vị đƣợc kiểm toán thông qua việc mô tả hoặc mô hình hoá.

Sử dụng lƣu đồ hoặc bảng tƣờng thuật hoặc bảng hỏi.

Có 4 bƣớc trong phân tích hệ thống:

(1). Hình dung quy trình nghiệp vụ lý tƣởng (tốt nhất) về nghiệp vụ đang đƣợc kiểm toán. Tính lý tƣởng phụ thuộc kiến thức, trình độ, am hiểu của KTV.

(2). Xem xét quy trình nghiệp vụ hiện tại của đơn vị đƣợc kiểm toán. Quy trình nghiệp vụ hiện tại đƣợc thể hiện bằng văn bản là các chế độ, quy trình xử lý nghiệp vụ của đơn vị.

(3). So sánh quy trình nghiệp vụ hiện tại với quy trình nghiệp vụ lý tƣởng, trên cơ sở đó tìm ra điểm mạnh, yếu của đơn vị đƣợc kiểm toán, vùng tiềm ẩn rủi ro trong quy trình

4 . Sau khi tìm ra điểm mạnh, điểm yếu sẽ dự đoán, khoanh vùng các rủi ro

Nội dung thứ hai: Xác nhận hệ thống (để kiểm chứng tính hiệu lực của hệ thống KSNB)

Là kiểm tra đánh giá tính hiệu lực của hệ thống kiểm soát nội bộ; kiểm tra tính tuân thủ trong thực tế, gồm 4 bƣớc:

(1). Nắm vững và mô tả rõ ràng, chi tiết quy trình nghiệp vụ hiện hành đƣợc quy định (bằng văn bản).

(2). Kiểm tra, áp dụng các thử nghiệm kiểm soát để biết trong thực tế quy trình nghiệp vụ đó diễn ra nhƣ thế nào.

(3). Chỉ ra sự khác biệt giữa quy trình nghiệp vụ đã đƣợc quy định với quy trình nghiệp vụ diễn ra trong thực tế.

(4). Phân tích nguyên nhân của sự khác biệt, hậu quả của sự khác biệt.

Đặc trƣng của thử nghiệm kiểm toán hệ thống: Các thử nghiệm và kiểm tra đều dựa vào các quy chế kiểm soát của đơn vị. Nếu hệ thống KSNB đƣợc đánh giá là mạnh, là hiệu quả và KTV nội bộ có thể tin tƣởng đƣợc thì công việc kiểm toán cần dựa vào các quy chế kiểm soát. Vì vậy, phƣơng pháp kiểm toán hệ thống còn đƣợc gọi là bƣớc kiểm nghiệm dựa vào kiểm soát.

Thử nghiệm này cần đƣợc chú trọng vận dụng, nhất là đối với loại hình kiểm soát tuân thủ và kiểm toán hoạt động. Khi thu thập bằng chứng kiểm toán đánh giá tính hiệu quả của hệ thống KSNB, KTV cần:

+ Xem xét tài liệu hiện có, ví dụ nhƣ các văn bản liên quan đến quy trình, chính sách của Ngân hàng và các văn bản pháp lý liên quan đến các nghiệp vụ để thực hiện tìm hiểu, so sánh, cập nhật, đánh giá tính đầy đủ, phù hợp của các văn bản quy định nội bộ với các văn bản pháp lý liên quan.

+ Phỏng vấn cán bộ trên cơ sở chọn mẫu: để biết cán bộ đã nắm đƣợc quy trình, đã thực hiện quy trình đến đâu, xác định vùng nào có thể phát sinh rủi ro do cán bộ không hiểu, không nắm vững quy trình, cán bộ có đề xuất gì để xử lý rủi ro.

+ Thiết kế các mẫu biểu thử nghiệm kiểm soát và thực hiện thử nghiệm kiểm soát. Có thể sử dụng các câu hỏi về hệ thống KSNB nói chung và các câu hỏi về từng thủ tục kiểm soát riêng lẻ để đánh giá các hoạt động kiểm soát cài đặt trong các quy trình nghiệp vụ

+ Tổng hợp các vấn đề liên quan đến hệ thống quản lý rủi ro và các kiến nghị.

Thử nghiệm kiểm toán cơ bản (Substantial Test) [3, tr.109]

Là thử nghiệm đƣợc sử dụng nhằm mục đích thu thập các bằng chứng về sự hoàn chỉnh, chính xác và hiệu lực của các dữ liệu do hệ thống kế toán xử lý. Các thủ tục kiểm toán áp dụng trong phƣơng pháp này gọi là các thử nghiệm cơ bản. Thử nghiệm cơ bản gồm thủ tục phân tích và thủ tục kiểm tra chi tiết nghiệp vụ, số dƣ.

Đặc trƣng cơ bản của phƣơng pháp này là việc tiến hành các thử nghiệm. Các đánh giá đều dựa vào các số liệu, các thông tin trên BCTC và hệ thống kế toán của đơn vị, vì vậy còn đƣợc gọi là phƣơng pháp thử nghiệm theo số liệu.

Thử nghiệm kiểm toán cơ bản bao gồm các bƣớc:

a) Phương pháp phân tích đánh giá tổng quát:

Phƣơng pháp này là việc phân tích các số liệu, thông tin, các tỷ suất quan trọng, qua đó tìm ra những xu hƣớng, biến động, để phát hiện ra những thay đổi trọng yếu, những biến động bất thƣờng và tìm ra các mối quan hệ có mâu thuẫn với các thông tin liên quan khác hoặc có sự chênh lệch lớn so với giá trị đã dự kiến, tìm ra những khoản mục, nội dung có rủi ro lớn. Phƣơng pháp phân tích bao gồm những so sánh chủ yếu sau:

– Phân tích so sánh về lƣợng trên cùng một chỉ tiêu (còn gọi là phân tích ngang). Phƣơng pháp này đơn giản nhƣng không thể hiện mối quan hệ giữa các chỉ tiêu. Ví dụ nhƣ:

+ So sánh số liệu kỳ này với kỳ trƣớc hoặc giữa các kỳ với nhau.

+ So sánh số liệu thực tế với số liệu kế hoạch, số liệu dự toán

+ Phân tích một số liệu kỳ này thành các số liệu chi tiết để so sánh

– Phân tích tỷ suất (còn gọi là phân tích dọc) bằng cách so sánh, xác định tỷ lệ tƣơng quan giữa các chỉ tiêu, các khoản mục khác nhau. Tuỳ theo kiến thức và kinh nghiệm nghề nghiệp, nhân viên kiểm toán nội bộ có thể tính toán, phân tích nhiều mặt một số tỷ suất cần thiết cho việc nhận xét của mình.

b) Phương pháp cân đối:

Là phƣơng pháp dựa trên các cân đối phƣơng trình kế toán và các cân đối khác để kiểm toán các mối quan hệ nội tại của các yếu tố cấu thành quan hệ cân đối đó. Các bƣớc tiến hành phƣơng pháp này nhƣ sau:

– Chuẩn bị xác lập các chỉ tiêu có quan hệ cân đối cần kiểm toán và xác định phạm vi, nguồn tài liệu, chứng từ cần thu thập.

– Thực hiện thu thập các tài liệu, chứng từ… tƣơng ứng với nội dung của các cân đối và tổng hợp đối chiếu lên bảng cân đối thử để tìm ra những quan hệ kinh tế, tài chính… bị mất cân đối hoặc có những biểu hiện bất thƣờng khác.

– Sau khi thu thập bằng chứng:

+ Phân tích, tìm nguyên nhân của những mất cân đối hoặc những biểu hiện bất thƣờng.

+ Kết luận về tính chính xác của các tài liệu, số liệu hoặc mở rộng phạm vi, điều chỉnh phƣơng pháp thu thập bằng chứng kiểm toán khác để tìm nguyên nhân hoặc kết luận và những sai sót vi phạm của đơn vị đƣợc kiểm toán.

c) Phương pháp kiểm tra chi tiết các nghiệp vụ và các số dư tài khoản:

– Đây là phƣơng pháp kiểm toán nhằm kiểm tra và ghi chép từng loại hoạt động kinh doanh của đơn vị. Phƣơng pháp này thích hợp để kiểm tra các đơn vị có quy mô nhỏ, các loại nghiệp vụ có tính chất không phức tạp, hoặc những bộ phận, những khoản mục “nhạy cảm” trong kinh doanh nhƣ tiền mặt, chứng khoán…).

– Phƣơng pháp này không thích hợp với quy mô hoạt động và khối lƣợng giao dịch nhiều. Đối với các trƣờng hợp này, kiểm toán viên không kiểm tra chi tiết toàn bộ các nghiệp vụ và các số dƣ tài khoản mà thực hiện kiểm tra chi tiết chủ yếu dựa trên cơ sở chọn mẫu một số nghiệp vụ cùng loại, trong đó kỹ thuật lấy mẫu kiểm toán không những đƣợc sử dụng để thử nghiệm chi tiết các nghiệp vụ và số dƣ tài khoản mà còn đƣợc dùng để thử nghiệm chi tiết các loại kiểm soát của đơn vị, đó là phƣơng pháp kiểm toán tuân thủ.

Ƣu điểm của loại thử nghiệm này là kiểm tra trực tiếp trên tài liệu, số liệu kế toán của nghiệp vụ, khoản mục nên bằng chứng thu thập đƣợc có độ tin cậy cao. Tuy nhiên, nhƣợc điểm của nó là rất tốn kém, bằng chứng thu đƣợc là của quá khứ, không xét đến các rủi ro có thể xảy ra do mối liên hệ giữa các mảng hoạt động khác nhau (tính hệ thống), do vậy, không r t ra đƣợc kết luận về tổng thể hoạt động.

Hai thử nghiệm hệ thống và cơ bản có quan hệ bổ sung cho nhau, và trên thực tế kiểm toán viên thường áp dụng phối hợp cả hai. Vấn đề là tỷ trọng mỗi phương pháp là bao nhiêu thì cần tuỳ thuộc vào từng cuộc kiểm toán cụ thể.

Xem thêm: Các quan niệm về kiểm toán nội bộ

Sơ đồ trên cho thấy mối tác động của chất lƣợng hệ thống KSNB ảnh hƣởng đến tỉ trọng của thử nghiệm kiểm toán. Về cơ bản, nếu hệ thống kiểm soát nội bộ đƣợc kiểm toán viên đánh giá là vững mạnh thì tỉ trọng của thử nghiệm kiểm toán cơ bản sẽ đƣợc giảm đi và ngƣợc lại. Tức là, thông qua nghiên cứu HTKS NB, KTV sẽ dự kiến rủi ro kiểm soát, từ đó đi đến quyết định sử dụng phƣơng pháp kiểm toán nào, hay nếu có kết hợp thì tỉ lệ là bao nhiêu để đảm bảo hiệu quả kiểm toán cao nhất.

3. Lập báo cáo kiểm toán

Trong báo cáo kiểm toán cần đề cập đến các nội dung sau: [73,trg.15]

– Thông tin khái quát và tóm tắt về đơn vị/nghiệp vụ

– Mục tiêu của cuộc kiểm toán

– Phạm vi kiểm toán

– Tổng hợp các bằng chứng kiểm toán

– Ý kiến kiểm toán.

Báo cáo kiểm toán cần đảm bảo chính xác, khách quan, rõ ràng, mang tính xây dựng, hoàn chỉnh và đ ng hạn. Các vấn đề ghi nhận từ quá trình kiểm toán là cơ sở cho các kết luận và kiến nghị của kiểm toán nội bộ và cần đƣợc đƣa vào báo cáo kiểm toán nội bộ. Ghi nhận và kiến nghị kiểm toán thƣờng đi k m với việc so sánh giữa thực tế thực hiện với thông lệ tiên tiến nhất. Dù có sự khác biệt hay không thì đó cũng sẽ là cơ sở để xây dựng báo cáo kiểm toán nội bộ.

Cuối cùng, kiểm toán viên nội bộ phải đƣa ra kết luận và ý kiến của mình. Đây là những đánh giá về ảnh hƣởng của các vấn đề ghi nhận và ý kiến đối với các hoạt động đƣợc rà soát. Kết luận có thể cho toàn bộ phạm vi kiểm toán hoặc của từng lĩnh vực cụ thể. Ý kiến kiểm toán có thể bao gồm đánh giá tổng quan về công tác kiểm soát hoặc về lĩnh vực đƣợc rà soát, hoặc có thể chỉ về một số công tác kiểm soát, hay các lĩnh vực kiểm toán nhất định.

Kiến nghị đƣợc đƣa ra dựa trên các vấn đề ghi nhận và kết luận, yêu cầu khắc phục và cải thiện các vấn đề đó. Kiến nghị có thể đề xuất phƣơng pháp khắc phục hoặc biện pháp tăng cƣờng hoạt động cũng nhƣ những hƣớng dẫn cho Ban lãnh đạo đơn vị đạt đƣợc kết quả mong muốn. Kiến nghị đƣa ra có thể cho các vấn đề tổng quan hoặc cho các vấn đề cụ thể. Ví dụ trong một số trƣờng hợp, kiến nghị có thể gợi ý các hành động chung và đề xuất các hoạt động triển khai cụ thể. Trong các trƣờng hợp khác, kiến nghị chỉ đề xuất tiến hành điều tra hoặc nghiên cứu thêm.

Báo cáo kiểm toán nội bộ cần nêu lên các hoạt động cải tiến đã đƣợc đơn vị thực hiện, đề cập tới những thành tựu của đơn vị, những tiến bộ đạt đƣợc kể từ đợt kiểm toán trƣớc, hoặc thiết lập hoạt động kiểm soát chặt chẽ hơn. Báo cáo kiểm toán nội bộ cần trình bày ý kiến của đơn vị về các kết luận, ý kiến, và/ hoặc kiến nghị của kiểm toán viên. Trong trƣờng hợp kiểm toán nội bộ và tổ chức không thống nhất về kết quả kiểm toán, báo cáo có thể trình bày tình trạng và nguyên nhân của sự bất đồng. Ý kiến phản hồi của đơn vị có thể đƣợc trình bày trong phần chính hoặc phần phụ lục của báo cáo.

4. Giám sát sau kiểm toán: [73, tr.18]

IIA yêu cầu các trƣởng kiểm toán nội bộ phải thiết lập và duy trì một hệ thống giám sát và đảm bảo rằng hoạt động quản lý đã đƣợc thực hiện hiệu quả cũng nhƣ kết quả của các hợp đồng tƣ vấn theo thoả thuận với khách hàng. Nếu quyết định về rủi ro đó không đƣợc giải quyết thì phải báo cáo cho cấp cao nhất là Hội đồng quản trị/Đại hội cổ đông. Do đó, các công việc cần làm là:

– Yêu cầu đơn vị đƣợc kiểm toán báo cáo bằng văn bản kết quả thực hiện kiến nghị của kiểm toán nội bộ

– Tiến hành phúc tra việc thực hiện kiến nghị tại đơn vị đƣợc kiểm toán.