Three Lines Model
Mô hình ba tuyến bảo vệ
Three lines model (mô hình ba tuyến bảo vệ) là cách tổ chức trách nhiệm quản trị rủi ro thành ba tuyến: tuyến một là các bộ phận kinh doanh và vận hành trực tiếp sở hữu rủi ro, tuyến hai là các chức năng quản lý rủi ro và tuân thủ giám sát độc lập, tuyến ba là kiểm toán nội bộ đưa ra đảm bảo độc lập cho hội đồng quản trị. Mô hình giúp rõ ai chịu trách nhiệm gì và tránh chồng chéo hoặc bỏ sót. Phiên bản hiện hành do Viện Kiểm toán nội bộ (IIA) cập nhật năm 2020 từ mô hình "Three Lines of Defense".
Explanation
Tuyến một gồm những người tạo ra rủi ro trong công việc hằng ngày: chuyên viên tín dụng, nhân viên bán hàng, bộ phận mua hàng, vận hành. Họ "sở hữu" rủi ro, nên phải nhận diện, kiểm soát và báo cáo rủi ro trong quy trình của mình. Tuyến hai gồm quản lý rủi ro, tuân thủ, an ninh thông tin, kiểm soát tài chính: họ xây dựng chính sách, phương pháp đo lường, đặt hạn mức, giám sát và thách thức tuyến một. Tuyến ba là internal audit (kiểm toán nội bộ), báo cáo trực tiếp ủy ban kiểm toán, đánh giá độc lập xem tuyến một và tuyến hai có vận hành hiệu quả hay không.
Bản cập nhật năm 2020 của IIA bỏ chữ "defense" để nhấn mạnh rằng quản trị rủi ro không chỉ là phòng thủ mà còn giúp tạo giá trị, và nhấn mạnh sự phối hợp giữa các tuyến thay vì ngăn cách cứng nhắc. Cơ quan quản trị (hội đồng quản trị) chịu trách nhiệm cuối cùng, ban điều hành chịu trách nhiệm tuyến một và tuyến hai, kiểm toán nội bộ độc lập với ban điều hành.
Mô hình hay bị hiểu sai ở hai điểm. Một là tuyến một đẩy hết trách nhiệm cho tuyến hai ("đã có phòng rủi ro duyệt"), làm kiểm soát ở nguồn yếu đi. Hai là kiểm toán nội bộ tham gia thiết kế hoặc vận hành kiểm soát, mất tính độc lập. Tại Việt Nam, Thông tư 13/2018/TT-NHNN yêu cầu ngân hàng tổ chức hệ thống kiểm soát nội bộ theo ba tuyến bảo vệ độc lập, và nhiều doanh nghiệp niêm yết cũng áp dụng mô hình này khi xây dựng hệ thống kiểm soát nội bộ theo COSO.
Key Points
- Tuyến một sở hữu và quản lý rủi ro trong hoạt động hằng ngày.
- Tuyến hai xây dựng khung, giám sát và thách thức tuyến một.
- Tuyến ba (kiểm toán nội bộ) đảm bảo độc lập, báo cáo ủy ban kiểm toán.
- Hội đồng quản trị chịu trách nhiệm cuối cùng về quản trị rủi ro.
- Bản IIA 2020 nhấn mạnh phối hợp và tạo giá trị, không chỉ phòng thủ.
Examples
Worked Example
Ba tuyến cùng kiểm tra hồ sơ giải ngân
Công ty Tài chính Tín Việt (số liệu giả định) đặt khẩu vị lỗi hồ sơ giải ngân tối đa 2%. Trong quý, tuyến một tự kiểm tra 500 hồ sơ và thấy 10 hồ sơ lỗi. Tuyến hai chọn mẫu 100 hồ sơ đã được tuyến một xác nhận đạt và thấy 4 hồ sơ lỗi. Kiểm toán nội bộ chọn mẫu 60 hồ sơ và thấy 3 hồ sơ lỗi.
- Tỷ lệ lỗi tuyến một tự báo cáo = 10 / 500 = 2%, đúng bằng ngưỡng.
- Tỷ lệ lỗi tuyến hai phát hiện = 4 / 100 = 4%, gấp đôi ngưỡng.
- Tỷ lệ lỗi kiểm toán nội bộ phát hiện = 3 / 60 = 5%.
- Chênh lệch giữa tuyến hai và tự kiểm tra của tuyến một: 4% - 2% = 2 điểm phần trăm.
Kiểm soát của tuyến một chỉ phát hiện khoảng một nửa số lỗi thực tế. Kiểm toán nội bộ báo cáo ủy ban kiểm toán rằng tự kiểm tra của tuyến một chưa đáng tin cậy và tuyến hai cần tăng tần suất chọn mẫu. Ban điều hành phải sửa checklist giải ngân và đào tạo lại nhân viên.
Real-World Scenario
Doanh nghiệp sản xuất phân vai sau một vụ gian lận mua hàng
Công ty CP Dệt may Phú Thành (số liệu giả định) phát hiện nhân viên mua hàng thông đồng với nhà cung cấp nâng giá. Điều tra cho thấy trưởng phòng mua hàng nghĩ kiểm toán nội bộ sẽ phát hiện, còn kiểm toán nội bộ lại đang tự làm việc đối chiếu giá hằng tháng thay cho phòng mua hàng.
Ban giám đốc phân vai lại: phòng mua hàng (tuyến một) chịu trách nhiệm so sánh ít nhất ba báo giá và phân quyền duyệt; phòng kiểm soát tài chính (tuyến hai) giám sát biến động giá mua bằng KRI; kiểm toán nội bộ (tuyến ba) thôi làm đối chiếu thường xuyên, chuyển sang kiểm toán định kỳ quy trình mua hàng và báo cáo trực tiếp ủy ban kiểm toán.
Common Mistakes
Common Mistake
Kiểm toán nội bộ kiêm luôn quản lý rủi ro
Để tiết kiệm chi phí, một công ty giao cho trưởng kiểm toán nội bộ kiêm xây dựng ma trận rủi ro và phê duyệt hạn mức tín dụng cho đại lý. Cuối năm, chính bộ phận này kiểm toán quy trình hạn mức và kết luận "hiệu quả".
Kiểm toán nội bộ đang tự đánh giá công việc của mình, nên hội đồng quản trị không còn nguồn đảm bảo độc lập. Cách đúng: chức năng xây dựng khung và phê duyệt hạn mức thuộc tuyến một hoặc tuyến hai; nếu kiểm toán nội bộ buộc phải tư vấn, cần ghi rõ giới hạn và không tự kiểm toán phần mình đã thiết kế.
- Tuyến một coi quản lý rủi ro là việc của phòng rủi ro, không tự kiểm soát trong quy trình.
- Để kiểm toán nội bộ thiết kế hoặc vận hành kiểm soát, làm mất tính độc lập.
- Cho tuyến hai báo cáo qua giám đốc kinh doanh, khiến họ khó thách thức tuyến một.
- Hiểu ba tuyến là ba bức tường tách biệt, không chia sẻ thông tin và phối hợp.
Exam Tip
ACCA AAA và SBL, cùng CMA Part 1 (Internal Controls) hỏi vai trò từng tuyến và tính độc lập của kiểm toán nội bộ. FRM Part I (Foundations of Risk Management) nhắc mô hình này trong phần quản trị rủi ro doanh nghiệp.