Internal Audit
Kiểm toán nội bộ
Internal audit (kiểm toán nội bộ) là bộ phận độc lập và khách quan bên trong doanh nghiệp, đánh giá và đưa ra khuyến nghị để cải thiện hiệu quả của quản trị rủi ro, kiểm soát nội bộ và quản trị công ty. Bộ phận này báo cáo trực tiếp cho hội đồng quản trị hoặc ủy ban kiểm toán, không báo cáo cho người mà nó kiểm tra. Phạm vi của internal audit rộng hơn báo cáo tài chính, bao gồm cả vận hành, tuân thủ và công nghệ thông tin.
Explanation
Internal audit tồn tại vì hội đồng quản trị cần một nguồn thông tin độc lập với ban điều hành về việc các rủi ro có được kiểm soát thật hay không. Trong three lines model (mô hình ba tuyến), tuyến một là các phòng kinh doanh, vận hành trực tiếp quản lý rủi ro; tuyến hai là quản trị rủi ro, tuân thủ; tuyến ba là internal audit, đưa ra đảm bảo độc lập cho cả hai tuyến trên.
Kiểm toán nội bộ hiện đại theo hướng risk-based (dựa trên rủi ro): mỗi năm lập kế hoạch kiểm toán ưu tiên các quy trình có rủi ro cao, ví dụ mua hàng, tồn kho, tín dụng, an ninh mạng. Mỗi cuộc kiểm toán kết thúc bằng báo cáo phát hiện, mức độ nghiêm trọng, khuyến nghị và kế hoạch khắc phục có thời hạn, sau đó internal audit theo dõi việc thực hiện.
Khác với independent audit (kiểm toán độc lập), internal audit không đưa ra ý kiến công khai về báo cáo tài chính và người dùng chính là hội đồng quản trị. Kiểm toán độc lập có thể tham khảo kết quả của kiểm toán nội bộ nhưng không được dựa hoàn toàn vào đó. Internal audit cũng khác kiểm soát nội bộ: kiểm soát là hoạt động hằng ngày của quy trình, còn kiểm toán nội bộ đánh giá kiểm soát đó có hiệu quả hay không.
Ở Việt Nam, Nghị định 05/2019/NĐ-CP quy định về kiểm toán nội bộ, áp dụng cho công ty niêm yết, doanh nghiệp nhà nước là công ty mẹ và một số đơn vị khác. Ngân hàng thương mại có yêu cầu riêng về kiểm toán nội bộ theo quy định của Ngân hàng Nhà nước.
Key Points
- Là tuyến phòng vệ thứ ba, báo cáo cho hội đồng quản trị hoặc ủy ban kiểm toán.
- Phạm vi gồm tài chính, vận hành, tuân thủ và công nghệ thông tin.
- Lập kế hoạch theo rủi ro: quy trình rủi ro cao được kiểm toán nhiều và thường xuyên hơn.
- Không thay thế kiểm toán độc lập và không trực tiếp vận hành kiểm soát.
- Ở Việt Nam, khung pháp lý chính là Nghị định 05/2019/NĐ-CP.
Formula
Risk score = Likelihood × Impact
- Likelihood
- Khả năng rủi ro xảy ra, thường chấm theo thang 1 đến 5 dựa trên lịch sử sự cố, độ phức tạp quy trình và thay đổi gần đây.
- Impact
- Mức thiệt hại nếu rủi ro xảy ra (tài chính, pháp lý, uy tín), thang 1 đến 5, lấy từ risk register của doanh nghiệp.
Điểm rủi ro dùng để xếp hạng và phân bổ giờ kiểm toán, không phải chuẩn mực bắt buộc; mỗi doanh nghiệp tự thiết kế thang điểm.
Examples
Worked Example
Phân bổ 1.200 giờ kiểm toán nội bộ theo rủi ro
Phòng kiểm toán nội bộ của Công ty CP Thực phẩm Sông Hậu (số liệu giả định) có 1.200 giờ trong năm cho bốn quy trình. Điểm likelihood và impact: mua hàng 4 và 5, tồn kho 4 và 4, công nghệ thông tin 3 và 5, tiền lương 3 và 3.
- Điểm rủi ro: mua hàng 4 × 5 = 20; tồn kho 4 × 4 = 16; công nghệ thông tin 3 × 5 = 15; tiền lương 3 × 3 = 9.
- Tổng điểm: 20 + 16 + 15 + 9 = 60.
- Giờ cho mua hàng: 20 / 60 × 1.200 = 400 giờ; tồn kho: 16 / 60 × 1.200 = 320 giờ.
- Giờ cho công nghệ thông tin: 15 / 60 × 1.200 = 300 giờ; tiền lương: 9 / 60 × 1.200 = 180 giờ.
- Kiểm tra: 400 + 320 + 300 + 180 = 1.200 giờ.
Quy trình mua hàng nhận nhiều nguồn lực nhất. Kế hoạch này được trình ủy ban kiểm toán phê duyệt và cập nhật giữa năm nếu xuất hiện rủi ro mới.
Real-World Scenario
Phát hiện nhà cung cấp trùng tài khoản ngân hàng
Trưởng kiểm toán nội bộ Lê Minh Tâm đối chiếu danh sách nhà cung cấp với danh sách nhân viên và phát hiện một nhà cung cấp vật tư có số tài khoản ngân hàng trùng với tài khoản của một nhân viên phòng mua hàng.
Anh Tâm báo cáo trực tiếp ủy ban kiểm toán, không qua giám đốc mua hàng. Kết quả điều tra dẫn tới việc chấm dứt hợp đồng, thu hồi tiền và bổ sung kiểm soát: khoá chức năng sửa thông tin nhà cung cấp, đối chiếu tự động định kỳ.
Common Mistakes
Common Mistake
Để kiểm toán nội bộ báo cáo cho giám đốc tài chính
Một công ty đặt phòng kiểm toán nội bộ dưới quyền giám đốc tài chính. Khi phát hiện khoản chi tiếp khách 450 triệu đồng không có chứng từ do chính phòng tài chính duyệt, báo cáo bị yêu cầu sửa thành phát hiện mức thấp.
Internal audit mất tính độc lập khi báo cáo cho người bị kiểm tra. Cách đúng: kiểm toán nội bộ báo cáo về chuyên môn cho ủy ban kiểm toán hoặc hội đồng quản trị, chỉ báo cáo hành chính cho tổng giám đốc.
- Coi internal audit là bộ phận kế toán thứ hai, chỉ đi kiểm tra chứng từ.
- Để kiểm toán nội bộ tham gia thiết kế và vận hành kiểm soát rồi tự kiểm toán chính kiểm soát đó.
- Lập kế hoạch kiểm toán xoay vòng đều mọi phòng ban thay vì ưu tiên theo rủi ro.
Exam Tip
ACCA AA và CMA Part 1 (Internal Controls) hỏi sự khác nhau giữa internal và external audit, cùng các yếu tố bảo đảm tính độc lập của kiểm toán nội bộ.