COSO Internal Control Framework
Khuôn khổ kiểm soát nội bộ COSO
COSO Internal Control Framework (khuôn khổ kiểm soát nội bộ COSO) là bộ khung do Committee of Sponsoring Organizations of the Treadway Commission ban hành, bản cập nhật năm 2013 gồm 5 thành phần và 17 nguyên tắc. Doanh nghiệp dùng nó để thiết kế, vận hành và đánh giá hệ thống internal control (kiểm soát nội bộ). Hệ thống được coi là hiệu quả khi cả 5 thành phần đều hiện hữu, vận hành và phối hợp với nhau.
Explanation
COSO quan trọng vì nó tạo một ngôn ngữ chung cho hội đồng quản trị, ban giám đốc, kiểm toán viên và cơ quan quản lý khi nói về kiểm soát nội bộ. Tại Mỹ, đây là khung được dùng phổ biến nhất để đánh giá kiểm soát đối với báo cáo tài chính theo Sarbanes-Oxley; nhiều ngân hàng và tập đoàn ở Việt Nam cũng dùng COSO làm khung tham chiếu.
Năm thành phần gồm: control environment (môi trường kiểm soát, 5 nguyên tắc) như tính chính trực, vai trò giám sát của hội đồng quản trị; risk assessment (đánh giá rủi ro, 4 nguyên tắc), có cả rủi ro gian lận; control activities (hoạt động kiểm soát, 3 nguyên tắc) như phê duyệt, đối chiếu, kiểm soát công nghệ thông tin; information and communication (thông tin và truyền thông, 3 nguyên tắc); monitoring activities (hoạt động giám sát, 2 nguyên tắc). Ba mục tiêu là hoạt động, báo cáo và tuân thủ.
Cần phân biệt COSO Internal Control (2013) với COSO ERM (Enterprise Risk Management, bản 2017): ERM rộng hơn, gắn quản trị rủi ro với chiến lược và risk appetite (khẩu vị rủi ro). Nhiều người cũng nhầm COSO với một bảng checklist: thực ra COSO yêu cầu xét đánh giá tổng thể, một khiếm khuyết nghiêm trọng ở một thành phần có thể khiến cả hệ thống không hiệu quả.
Môi trường kiểm soát được xem là nền móng: nếu lãnh đạo không đề cao chính trực (tone at the top), các hoạt động kiểm soát dù thiết kế tốt vẫn dễ bị vượt quyền. Đây là bài học lặp lại trong nhiều vụ gian lận báo cáo tài chính trên thế giới.
Key Points
- 5 thành phần, 17 nguyên tắc, 3 nhóm mục tiêu: hoạt động, báo cáo, tuân thủ.
- Môi trường kiểm soát là nền móng, quyết định hiệu quả của các thành phần khác.
- Hiệu quả khi cả 5 thành phần hiện hữu, vận hành và phối hợp, không phải đạt đa số nguyên tắc.
- COSO ERM (2017) là khung riêng, rộng hơn, gắn rủi ro với chiến lược.
- Đánh giá rủi ro theo COSO phải xét cả rủi ro gian lận.
Examples
Worked Example
Tự đánh giá theo 17 nguyên tắc COSO
Ngân hàng TMCP Bến Thành (số liệu giả định) tự đánh giá kiểm soát nội bộ. Kết quả: 13 nguyên tắc hiện hữu và vận hành tốt, 3 nguyên tắc có khiếm khuyết nhỏ, 1 nguyên tắc thuộc thành phần giám sát có khiếm khuyết nghiêm trọng (không theo dõi khắc phục các phát hiện kiểm toán).
- Tổng số nguyên tắc theo thành phần: 5 + 4 + 3 + 3 + 2 = 17.
- Tỷ lệ nguyên tắc đạt: 13 / 17 ≈ 76,47%.
- Thành phần giám sát chỉ có 2 nguyên tắc, một nguyên tắc có khiếm khuyết nghiêm trọng, nên thành phần này không hiện hữu và vận hành đầy đủ.
- Theo COSO, chỉ cần một thành phần không đạt thì hệ thống kiểm soát nội bộ chưa được coi là hiệu quả.
Dù tỷ lệ đạt khoảng 76,47%, ngân hàng chưa thể kết luận kiểm soát nội bộ hiệu quả. Ưu tiên là xây quy trình theo dõi khắc phục phát hiện và báo cáo định kỳ cho ủy ban kiểm toán.
Real-World Scenario
Doanh nghiệp chuẩn bị niêm yết rà soát theo COSO
Giám đốc tài chính Trần Bảo Ngọc của một công ty sản xuất chuẩn bị niêm yết dùng COSO để rà soát. Công ty có nhiều kiểm soát phê duyệt nhưng chưa có quy trình đánh giá rủi ro gian lận và chưa có kênh tố giác.
Chị Ngọc lập bản đồ 17 nguyên tắc, bổ sung đánh giá rủi ro gian lận (thành phần đánh giá rủi ro) và đường dây nóng tố giác độc lập (thành phần thông tin và truyền thông). Bản đánh giá giúp hội đồng quản trị thấy khoảng trống trước khi nhà đầu tư và kiểm toán viên chỉ ra.
Common Mistakes
Common Mistake
Chỉ tập trung vào hoạt động kiểm soát
Một công ty viết 120 thủ tục kiểm soát chi tiết cho mua hàng và bán hàng, nhưng chủ tịch thường xuyên yêu cầu kế toán ghi nhận doanh thu trước khi giao hàng để đạt kế hoạch quý.
Hoạt động kiểm soát chỉ là 1 trong 5 thành phần. Môi trường kiểm soát yếu (tone at the top có vấn đề) làm vô hiệu các thủ tục. Cách đúng: đánh giá cả 5 thành phần, đặc biệt vai trò giám sát độc lập của hội đồng quản trị và ủy ban kiểm toán.
- Coi COSO là checklist, đạt đa số nguyên tắc là đủ.
- Nhầm COSO Internal Control 2013 với COSO ERM 2017.
- Bỏ qua môi trường kiểm soát và rủi ro ban lãnh đạo vượt quyền.
Exam Tip
CMA Part 1 (Internal Controls) hỏi trực tiếp 5 thành phần COSO và ví dụ của từng thành phần; ACCA AA dùng các thành phần này khi yêu cầu mô tả hệ thống kiểm soát nội bộ.