Segregation of Duties
Phân tách nhiệm vụ
Segregation of duties (phân tách nhiệm vụ) là nguyên tắc kiểm soát nội bộ yêu cầu không để một người đảm nhận cùng lúc các khâu xung đột trong một nghiệp vụ: phê duyệt, giữ tài sản, ghi sổ và đối chiếu. Mục đích là để sai sót hay gian lận của một người bị người khác phát hiện. Đây là một trong những kiểm soát cơ bản và hiệu quả nhất về chi phí.
Explanation
Nếu một nhân viên vừa được duyệt chi, vừa giữ tiền, vừa ghi sổ, người đó có thể chi tiền cho mình rồi che giấu bằng bút toán. Segregation of duties chia bốn chức năng này cho các người khác nhau: authorization (phê duyệt), custody (giữ tài sản), recording (ghi sổ) và reconciliation (đối chiếu). Muốn gian lận, nhân viên phải thông đồng với người khác, khó hơn nhiều so với làm một mình.
Trong thực tế, phân tách áp dụng cho các chu trình chính: mua hàng (người đặt hàng khác người nhận hàng, khác người thanh toán), bán hàng (người duyệt hạn mức tín dụng khác người thu tiền), tiền lương (người cập nhật danh sách nhân viên khác người chuyển lương). Trong phần mềm ERP, nguyên tắc này thể hiện bằng ma trận phân quyền: không ai được cả quyền tạo nhà cung cấp và quyền duyệt thanh toán.
Doanh nghiệp nhỏ thường không đủ người để phân tách hoàn toàn. Khi đó cần compensating control (kiểm soát bù đắp): chủ doanh nghiệp tự xem sao kê ngân hàng hằng tháng, duyệt mọi khoản chi lớn, hoặc thuê dịch vụ kế toán bên ngoài đối chiếu định kỳ. Phân tách nhiệm vụ khác với luân chuyển công việc (job rotation), dù cả hai đều giảm rủi ro một người kiểm soát quá lâu một khâu.
Giới hạn lớn nhất là collusion (thông đồng): khi hai người ở hai khâu cùng gian lận, phân tách mất tác dụng. Vì vậy phân tách cần đi kèm giám sát và kiểm toán nội bộ.
Key Points
- Tách bốn chức năng: phê duyệt, giữ tài sản, ghi sổ, đối chiếu.
- Một người làm hai khâu xung đột có thể vừa gây ra vừa che giấu sai phạm.
- Trong ERP, thể hiện bằng ma trận phân quyền người dùng.
- Doanh nghiệp nhỏ dùng kiểm soát bù đắp khi không đủ người.
- Không chống được thông đồng nếu thiếu giám sát.
Formula
Expected loss = Probability of fraud × Average loss
- Probability of fraud
- Xác suất xảy ra sai phạm trong năm, ước tính từ lịch sử sự cố, số liệu ngành hoặc đánh giá rủi ro nội bộ.
- Average loss
- Thiệt hại trung bình mỗi vụ, ước tính từ quy mô giao dịch mà nhân viên có thể tiếp cận.
Dùng để so sánh chi phí của việc phân tách hoặc kiểm soát bù đắp với thiệt hại kỳ vọng tránh được.
Examples
Worked Example
Kiểm soát bù đắp ở doanh nghiệp chỉ có một kế toán
Công ty TNHH Nội thất Gỗ Việt (số liệu giả định) chỉ có một kế toán vừa lập lệnh chi vừa ghi sổ. Xác suất gian lận ước tính 5%/năm, thiệt hại trung bình 800 triệu đồng. Nếu giám đốc tự đối chiếu sao kê ngân hàng mỗi tháng (chi phí thời gian quy đổi 12 triệu đồng/năm), xác suất giảm còn 1%.
- Thiệt hại kỳ vọng hiện tại: 5% × 800 = 40 triệu đồng/năm.
- Thiệt hại kỳ vọng sau kiểm soát bù đắp: 1% × 800 = 8 triệu đồng/năm.
- Thiệt hại giảm được: 40 - 8 = 32 triệu đồng/năm.
- Lợi ích ròng: 32 - 12 = 20 triệu đồng/năm.
Đối chiếu sao kê hằng tháng mang lại lợi ích ròng khoảng 20 triệu đồng/năm, chưa kể tác dụng răn đe. Đây là lựa chọn hợp lý khi chưa thể tuyển thêm người.
Real-World Scenario
Rà soát ma trận phân quyền ERP
Kiểm toán viên nội bộ Hoàng Đức Huy rà soát phân quyền trên ERP của một công ty bán lẻ và thấy 6 người dùng có cả quyền tạo nhà cung cấp mới và quyền duyệt thanh toán.
Anh Huy đề xuất thu hồi một trong hai quyền cho từng người, lập báo cáo tự động hằng tháng về các giao dịch do cùng một người tạo và duyệt. Ban giám đốc chấp nhận và giao phòng công nghệ thông tin thực hiện trong 30 ngày.
Common Mistakes
Common Mistake
Thủ quỹ kiêm đối chiếu ngân hàng
Một công ty giao cho thủ quỹ kiêm luôn việc đối chiếu sổ tiền với sao kê ngân hàng để tiết kiệm nhân sự. Trong 18 tháng, thủ quỹ rút 620 triệu đồng và sửa bảng đối chiếu để che chênh lệch.
Người giữ tài sản không được tự đối chiếu tài sản đó. Cách đúng: kế toán tổng hợp hoặc kế toán trưởng đối chiếu, và giám đốc xem trực tiếp sao kê gốc từ ngân hàng.
- Giao cho cùng một người quyền phê duyệt và quyền ghi sổ hoặc giữ tài sản.
- Cho rằng doanh nghiệp nhỏ không cần phân tách mà không có kiểm soát bù đắp.
- Phân tách trên sơ đồ tổ chức nhưng phân quyền phần mềm vẫn cho một người làm tất cả.
Exam Tip
ACCA AA và CMA Part 1 thường cho tình huống một nhân viên kiêm nhiều khâu và yêu cầu nêu điểm yếu, hậu quả, khuyến nghị; nhớ bốn chức năng cần tách.