Internal Control
Kiểm soát nội bộ
Internal control (kiểm soát nội bộ) là tập hợp chính sách, quy trình và hoạt động mà hội đồng quản trị, ban giám đốc và nhân viên thiết kế, vận hành để có đảm bảo hợp lý rằng doanh nghiệp đạt mục tiêu về hoạt động, báo cáo và tuân thủ. Ví dụ là phê duyệt chi tiêu, đối chiếu ngân hàng, phân quyền hệ thống và kiểm kê định kỳ. Kiểm soát nội bộ giảm rủi ro sai sót và gian lận chứ không loại bỏ hoàn toàn.
Explanation
Mọi doanh nghiệp đều có rủi ro: tiền bị chi sai, hàng bị thất thoát, số liệu báo cáo bị nhầm, vi phạm luật. Internal control là cách doanh nghiệp tổ chức công việc để các rủi ro đó được ngăn chặn hoặc phát hiện kịp thời. Khung tham chiếu phổ biến nhất thế giới là COSO, chia kiểm soát nội bộ thành năm thành phần: môi trường kiểm soát, đánh giá rủi ro, hoạt động kiểm soát, thông tin và truyền thông, giám sát.
Hoạt động kiểm soát được phân loại theo thời điểm: preventive control (kiểm soát phòng ngừa) như phê duyệt trước khi chi, phân quyền truy cập; và detective control (kiểm soát phát hiện) như đối chiếu số dư ngân hàng hằng tháng, kiểm kê kho. Cũng có thể phân theo cách thực hiện: kiểm soát thủ công và kiểm soát tự động trong phần mềm. Một hệ thống tốt kết hợp cả hai loại và luôn cân nhắc chi phí so với lợi ích.
Cần phân biệt internal control với internal audit (kiểm toán nội bộ): kiểm soát nội bộ là việc của mọi người trong quy trình hằng ngày, còn kiểm toán nội bộ đánh giá độc lập xem kiểm soát có hiệu quả không. Kiểm soát nội bộ cũng có giới hạn cố hữu: sai sót do con người, thông đồng giữa nhiều người, và ban giám đốc vượt quyền (management override).
Ở Việt Nam, kiểm toán viên độc lập phải tìm hiểu kiểm soát nội bộ của khách hàng theo chuẩn mực kiểm toán để đánh giá control risk (rủi ro kiểm soát). Ngân hàng và công ty niêm yết có yêu cầu riêng về hệ thống kiểm soát nội bộ theo quy định của cơ quan quản lý.
Key Points
- Mục tiêu: hoạt động hiệu quả, báo cáo tin cậy, tuân thủ pháp luật.
- Gồm kiểm soát phòng ngừa (ngăn sai sót) và kiểm soát phát hiện (tìm ra sai sót đã xảy ra).
- Chỉ cho đảm bảo hợp lý vì có giới hạn cố hữu như thông đồng và vượt quyền.
- Chi phí kiểm soát phải nhỏ hơn thiệt hại mà nó giúp tránh được.
- COSO là khung tham chiếu phổ biến để thiết kế và đánh giá kiểm soát nội bộ.
Examples
Worked Example
Tính lợi ích ròng của kiểm soát doanh thu tiền mặt
Chuỗi nhà thuốc An Khang Phúc (số liệu giả định) có doanh thu tiền mặt 50.000 triệu đồng/năm. Tỷ lệ thất thoát ước tính hiện là 1,2%. Hệ thống máy bán hàng có khoá hoá đơn và đối chiếu tiền mặt cuối ngày tốn 150 triệu đồng/năm, dự kiến giảm thất thoát xuống 0,3%.
- Thất thoát hiện tại: 50.000 × 1,2% = 600 triệu đồng/năm.
- Thất thoát sau khi có kiểm soát: 50.000 × 0,3% = 150 triệu đồng/năm.
- Thiệt hại giảm được: 600 - 150 = 450 triệu đồng/năm.
- Lợi ích ròng: 450 - 150 (chi phí kiểm soát) = 300 triệu đồng/năm.
Kiểm soát này đáng đầu tư vì lợi ích ròng dương 300 triệu đồng/năm. Nếu chi phí kiểm soát vượt 450 triệu đồng, doanh nghiệp nên tìm giải pháp rẻ hơn.
Real-World Scenario
Kế toán trưởng thiết kế kiểm soát thanh toán
Chị Phạm Lan, kế toán trưởng một công ty phân phối, nhận thấy nhân viên có thể tự tạo nhà cung cấp mới trên phần mềm rồi lập lệnh chi.
Chị Lan tách quyền tạo nhà cung cấp (phòng mua hàng) khỏi quyền lập lệnh chi (kế toán), yêu cầu hai chữ ký cho khoản chi từ 100 triệu đồng và đối chiếu ngân hàng hằng tháng do người không giữ tiền thực hiện. Đây là kết hợp kiểm soát phòng ngừa và phát hiện.
Common Mistakes
Common Mistake
Tin rằng quy trình trên giấy là đủ
Một công ty có quy chế yêu cầu kiểm kê kho mỗi quý, nhưng thực tế thủ kho tự kiểm kê và tự ký biên bản. Cuối năm kiểm toán phát hiện chênh lệch 1,8 tỷ đồng hàng tồn kho.
Kiểm soát phải được vận hành thực tế bởi người độc lập với tài sản. Cách đúng: kiểm kê có kế toán và người ngoài bộ phận kho tham gia, chênh lệch được điều tra và báo cáo ban giám đốc.
- Nghĩ kiểm soát nội bộ chỉ là việc của phòng kế toán hoặc kiểm toán nội bộ.
- Thiết kế kiểm soát tốn kém hơn thiệt hại mà nó ngăn được.
- Bỏ qua rủi ro ban giám đốc vượt quyền, vốn không thể ngăn bằng kiểm soát cấp nhân viên.
- Chỉ có kiểm soát phòng ngừa mà không có kiểm soát phát hiện như đối chiếu và kiểm kê.
Exam Tip
ACCA AA kiểm tra khả năng nêu điểm yếu kiểm soát, hậu quả và khuyến nghị trong tình huống; CMA Part 1 có phần Internal Controls về loại kiểm soát và giới hạn cố hữu.