Audit Risk
Rủi ro kiểm toán
Audit risk (rủi ro kiểm toán) là rủi ro kiểm toán viên đưa ra ý kiến không phù hợp, cụ thể là kết luận báo cáo tài chính trình bày hợp lý trong khi thực tế vẫn còn sai sót trọng yếu. Rủi ro này được phân tích thành ba thành phần: inherent risk, control risk và detection risk. Kiểm toán viên chỉ kiểm soát được detection risk thông qua phạm vi và chất lượng thủ tục kiểm toán.
Explanation
Kiểm toán không kiểm tra 100% giao dịch, nên luôn có khả năng bỏ sót sai sót trọng yếu. Mô hình audit risk giúp kiểm toán viên quyết định cần làm bao nhiêu việc: rủi ro sai sót càng cao thì càng phải thu thập nhiều bằng chứng hơn để giữ audit risk ở mức thấp chấp nhận được, thường khoảng 5%.
Inherent risk (rủi ro tiềm tàng) là khả năng một khoản mục bị sai sót trọng yếu trước khi xét đến kiểm soát, cao với khoản mục phức tạp, cần ước tính hoặc dễ bị gian lận như dự phòng, doanh thu hợp đồng xây dựng. Control risk (rủi ro kiểm soát) là khả năng kiểm soát nội bộ không ngăn chặn hoặc phát hiện được sai sót đó. Hai rủi ro này tạo thành risk of material misstatement (rủi ro có sai sót trọng yếu), thuộc về doanh nghiệp. Detection risk (rủi ro phát hiện) là khả năng thủ tục của kiểm toán viên không phát hiện được sai sót còn lại.
Quan hệ giữa detection risk và rủi ro có sai sót trọng yếu là ngược chiều: khi inherent risk và control risk cao, kiểm toán viên phải hạ detection risk bằng cách tăng cỡ mẫu, thực hiện thủ tục gần ngày kết thúc niên độ, dùng bằng chứng bên ngoài như thư xác nhận. Cần phân biệt audit risk với business risk (rủi ro kinh doanh) của doanh nghiệp: rủi ro kinh doanh chỉ quan trọng với kiểm toán khi nó có thể dẫn tới sai sót trên báo cáo tài chính.
Chuẩn mực kiểm toán Việt Nam (VSA 200, VSA 315, VSA 330) yêu cầu kiểm toán viên đánh giá rủi ro ở cấp độ báo cáo tài chính và cấp độ cơ sở dẫn liệu, rồi thiết kế thủ tục đáp ứng tương ứng.
Key Points
- AR = IR × CR × DR, thường đặt mục tiêu AR thấp, khoảng 5%.
- IR và CR thuộc về doanh nghiệp, kiểm toán viên chỉ đánh giá chứ không thay đổi được.
- DR là biến số kiểm toán viên điều chỉnh bằng nội dung, thời gian và phạm vi thủ tục.
- Rủi ro có sai sót trọng yếu càng cao thì DR chấp nhận được càng thấp, cần nhiều bằng chứng hơn.
- Mô hình mang tính định hướng, thực tế thường đánh giá định tính cao, trung bình, thấp.
Formula
Audit risk = Inherent risk × Control risk × Detection risk
- Inherent risk (IR)
- Khả năng sai sót trọng yếu trước khi xét kiểm soát, đánh giá qua hiểu biết về ngành, tính phức tạp và mức độ ước tính của khoản mục.
- Control risk (CR)
- Khả năng kiểm soát nội bộ không ngăn hoặc phát hiện sai sót, đánh giá qua tìm hiểu và thử nghiệm kiểm soát.
- Detection risk (DR)
- Khả năng thủ tục kiểm toán không phát hiện sai sót; tính ngược DR = AR / (IR × CR) để biết mức chấp nhận được.
Chuẩn mực không bắt buộc lượng hoá bằng số; công thức dùng để hiểu logic phân bổ công việc kiểm toán.
Examples
Worked Example
Tính detection risk chấp nhận được cho khoản mục hàng tồn kho
Kiểm toán viên kiểm toán Công ty CP Dệt may Phương Nam (số liệu giả định) đặt mục tiêu audit risk 5%. Hàng tồn kho có inherent risk đánh giá 80%. Nếu thử nghiệm kiểm soát cho thấy kiểm soát tốt, control risk là 50%; nếu không dựa vào kiểm soát, control risk là 100%.
- Khi dựa vào kiểm soát: DR = 5% / (80% × 50%) = 0,05 / 0,4 = 0,125, tức 12,5%.
- Khi không dựa vào kiểm soát: DR = 5% / (80% × 100%) = 0,05 / 0,8 = 0,0625, tức 6,25%.
- DR giảm từ 12,5% xuống 6,25%, nghĩa là thủ tục cơ bản phải đủ mạnh để chỉ còn một nửa xác suất bỏ sót.
Nếu kiểm soát hàng tồn kho của Phương Nam yếu, kiểm toán viên phải tăng cỡ mẫu kiểm kê, chứng kiến kiểm kê vào đúng ngày khoá sổ và kiểm tra giá trị thuần có thể thực hiện được kỹ hơn.
Real-World Scenario
Khách hàng mới trong ngành bất động sản
Chủ nhiệm kiểm toán Ngô Thanh Bình nhận khách hàng mới là một chủ đầu tư bất động sản có doanh thu ghi nhận theo tiến độ, nhiều giao dịch với bên liên quan và kế toán trưởng vừa nghỉ việc.
Anh Bình đánh giá inherent risk cao (ước tính phức tạp, giao dịch bên liên quan) và control risk cao (thay đổi nhân sự chủ chốt). Anh đặt detection risk thấp: phân công kiểm toán viên giàu kinh nghiệm, gửi thư xác nhận cho toàn bộ hợp đồng lớn và kiểm tra chi tiết các giao dịch bên liên quan.
Exam Practice
Câu hỏi kiểu ACCA AA
Đề cho audit risk mục tiêu 4%, inherent risk 100%, control risk 40%. Hỏi detection risk tối đa chấp nhận được.
- DR = AR / (IR × CR) = 4% / (100% × 40%).
- DR = 0,04 / 0,4 = 0,1, tức 10%.
Detection risk tối đa là 10%. Bẫy thường gặp là nhân thay vì chia, ra 1,6%, hoặc nhầm rằng kiểm toán viên có thể thay đổi inherent risk.
Common Mistakes
Common Mistake
Giảm phạm vi kiểm toán khi rủi ro tăng
Một nhóm kiểm toán thấy khách hàng có control risk cao nên kết luận rằng không cần thử nghiệm kiểm soát và giữ nguyên cỡ mẫu kiểm tra chi tiết 25 phần tử như năm trước.
Không thử nghiệm kiểm soát là đúng, nhưng control risk cao đồng nghĩa với detection risk phải thấp hơn, nên thủ tục cơ bản phải tăng, ví dụ nâng cỡ mẫu lên đáng kể. Giữ nguyên cỡ mẫu làm audit risk vượt mức chấp nhận được.
- Cho rằng kiểm toán viên có thể giảm inherent risk hoặc control risk của khách hàng.
- Nhầm business risk của doanh nghiệp với audit risk của kiểm toán viên.
- Không tăng thủ tục cơ bản khi rủi ro có sai sót trọng yếu được đánh giá cao.
Exam Tip
ACCA AA thường cho đoạn tình huống và yêu cầu nêu 6 đến 8 rủi ro kiểm toán kèm phản hồi của kiểm toán viên; mỗi rủi ro phải gắn với khoản mục và cơ sở dẫn liệu cụ thể.