Trong hoạt động của KTNB, việc lập kế
hoạch kiểm toán năm là một nội dung rất quan trọng, bởi KTNB tại các CTTC luôn
phải đối mặt với các giới hạn về thời gian, chi phí, nhân lực cho hoạt động
kiểm toán, trong khi các đối tượng được kiểm toán rất đa dạng, phức tạp, môi
trường hoạt động thường xuyên thay đổi. Việc lập kế hoạch hàng năm giúp KTNB
bao quát được tất cả các đối tượng kiểm toán, tập trung nguồn lực cho các hoạt
động rủi ro cao, giúp cho các cuộc kiểm toán được thực hiện một cách hiệu quả,
tiết kiệm thời gian chi phí và đạt được mục tiêu đề ra. Việc lập kế hoạch, xác
định đối tượng ưu tiên kiểm toán là quan trọng để có thể đảm bảo tính hiệu quả
của kiểm toán.
Kế hoạch kiểm toán năm bao gồm các
định hướng cơ bản, nội dung trọng tâm và phương pháp tiếp cận chung của các
cuộc KTNB trong năm. Kế hoạch kiểm toán năm xác định đối tượng kiểm toán cũng
như tần suất thực hiện kiểm toán tại các đối tượng cụ thể. Kế hoạch kiểm toán
lập trên cơ sở đánh giá thông tin tổng quát về tình hình hoạt động và môi
trường kinh doanh của tất cả các bộ phận, đơn vị trong CTTC.
Khi lập kế hoạch kiểm toán, KTNB thực
hiện các công việc sau đây:
Thứ nhất: Thống nhất mục tiêu kiểm toán
Việc xác định mục tiêu kiểm toán có ý
nghĩa rất quan trọng trong qui trình lập kế hoạch kiểm toán. Mục tiêu kiểm toán
sẽ quyết định phương pháp và thủ tục kiểm toán cần tiến hành, nhân lực và thời
gian dự kiến cho cuộc kiểm toán. Việc xác định mục tiêu kiểm toán có ý nghĩa
quan trọng trong toàn bộ qui trình lập kế hoạch kiểm toán. Công việc này đòi
hỏi KTNB phải có hiểu biết rõ ràng về các mục tiêu và những yêu cầu của nhà
quản lý. Mục tiêu kiểm toán có thể xác định ở các mức độ khác nhau, và thay đổi
trong từng trường hợp cụ thể. Mục tiêu kiểm toán có thể là đánh giá tính tuân
thủ trong từng đơn vị, hoặc ở mức độ cao hơn là đề xuất giải pháp cải tiến các
hoạt động cụ thể. Khi xây dựng mục tiêu kiểm toán, cần quan tâm đến ngân sách
cho hoạt động kiểm toán và nguồn nhân lực KTNB. Nếu yêu cầu của các nhà quản lý
vượt xa so với ngân sách và nguồn nhân lực hiện có của KTNB, thì trưởng bộ phận
KTNB cần trao đổi với các nhà quản lý để xác định mục tiêu phù hợp, đồng thời
xây dựng kế hoạch phát triển nguồn lực KTNB về cả chất lượng cũng như số lượng
để có thể đáp ứng các yêu cầu quản lý.
Thứ hai: Xác định cách thức tổ chức và phương pháp kiểm toán
Sau khi thống nhất mục tiêu, KTVNB
xác định cách thức tổ chức kiểm toán. Những nội dung cần quan tâm khi xác định
cách thức tổ chức kiểm toán là: bố trí nhân sự, phạm vi các thủ tục kiểm toán,
cách thức báo cáo phát hiện kiểm toán, mức độ, phạm vi áp dụng các hoạt động
kiểm toán và thời gian thực hiện.
Thứ ba: Thu thập thông tin tổng quan về doanh nghiệp
Thu thập thông tin tổng quan về doanh
nghiệp là cơ sở để lập kế hoạch kiểm toán. KTVNB cần thu thập các thông tin về
môi trường kinh doanh tác động đến các lĩnh vực hoạt động chủ yếu của CTTC như
các biến động của môi trường kinh tế vĩ mô, tỷ giá, lãi suất, các thay đổi
trong môi trường pháp lý như các qui định của Chính phủ, NHNN, thay đổi trong
cơ cấu tổ chức cán bộ, kết quả hoạt động kinh doanh… của công ty, thông tin về
chiến lược, hoạt động của các đối thủ cạnh tranh. Khi môi trường kinh tế, pháp
lý có những biến động lớn, KTNB cần chú trọng đánh giá ảnh hưởng của các yếu tố
này tới hoạt động của CTTC.
Thứ tư: Đánh giá rủi ro
Đánh giá rủi ro là một hoạt động có
tính hệ thống nhằm phân tích, đánh giá, tổng hợp, xếp loại các rủi ro có thể
ảnh hưởng đến việc đạt được mục tiêu của CTTC. Mục tiêu của việc đánh giá rủi
ro là nhằm lập kế hoạch kiểm toán trên cơ sở nhận thức và đánh giá các rủi ro
lớn nhất. Thông qua đánh giá rủi ro, thời gian kiểm toán và phạm vi kiểm toán
sẽ được ước tính cho từng đơn vị. Các nguồn lực kiểm toán sẽ được tập trung
trước tiên cho các lĩnh vực nhiều rủi ro.
Thứ năm: Lập kế hoạch kiểm toán năm
Dựa trên kết quả đánh giá rủi ro,
KTNB lập kế hoạch kiểm toán, trong đó xác định đối tượng, tần suất và nhân sự
cho các cuộc kiểm toán. Những qui trình nghiệp vụ được đánh giá là có mức rủi
ro cao cần được kiểm toán thường xuyên, ví dụ ít nhất một lần trong một năm.
Ngoài kết quả đánh giá rủi ro, KTNB có thể dựa vào một số yếu tố khác để lập kế
hoạch, chẳng hạn các vấn đề đã được phát hiện trong lần kiểm toán trước, các
yêu cầu cụ thể của cấp quản lý hoặc UBKT, hoặc của cơ quan giám sát hoạt động
ngân hàng.
Trong các nội dung trên, việc đánh
giá rủi ro của các hoạt động trong CTTC làm cơ sở cho việc xác định tần suất
kiểm toán là một trong những nội dung quan trọng nhất của lập kế hoạch kiểm
toán năm. Tuy nhiên, thực tế hoạt động KTNB tại các CTTC Việt Nam hiện nay cho
thấy việc đánh giá rủi ro khi lập kế hoạch kiểm toán chưa được qui định rõ
ràng, chi tiết trong qui trình KTNB của các CTTC. Mặc dù qui chế KTNB của các
CTTC đều qui định phương pháp tiếp cận kiểm toán là dựa trên định hướng rủi ro,
nhưng trong thực tế phần lớn các công ty chưa xây dựng và qui định thành văn
bản cách thức thực hiện cụ thể. Việc đánh giá rủi ro chủ yếu được thực hiện một
cách định tính dựa trên kinh nghiệm cá nhân của các KTV chính, và không được
ghi chép lại một cách chi tiết trong hồ sơ kiểm toán.
Một số
CTTC đã bước đầu xây dựng tiêu chí đánh giá rủi ro dựa trên việc xác định các
yếu tố rủi ro ở các đơn vị, bộ phận, ví dụ các đơn vị có thay đổi lãnh đạo
trong vòng 12 tháng trở lại; thay đổi cơ cấu tổ chức trong vòng 12 tháng trở
lại; thay đổi nhiều cán bộ ở các vị trí chủ chốt; cán bộ ở các vị trí, các bộ
phận quan trọng có mối quan hệ gia đình, họ hàng với giám đốc hoặc với nhau; có các sản phẩm, dịch vụ mới trong vòng 12
tháng trở lại đây; đơn vị thua lỗ trong bất kỳ giai đoạn nào trong vòng 2 năm
trở lại; có các sai phạm nghiêm trọng, tái phạm nhiều lần các quy định của pháp
luật và của nội bộ công ty được phát hiện qua các cuộc thanh tra, kiểm tra,
kiểm toán trước; không chỉnh sửa đầy đủ những phát hiện, kiến nghị sau thanh
tra, kiểm tra, kiểm toán; có những thay đổi bất thường trong các báo cáo quản
trị và BCTC… Sau đó, mức độ rủi ro của các đơn vị được xác định dựa trên số
lượng các yếu tố rủi ro, ví dụ đơn vị được xếp loại rủi ro cao nếu có hai
hoặc nhiều yếu tố trên đây; đơn vị có rủi ro trung bình nếu có một trong các
yếu tố nêu trên; đơn vị có rủi ro thấp nếu không có yếu tố nào nêu trên.
Cách
đánh giá rủi ro như trên là dựa trên các yếu tố định tính. Hiện chưa có công ty
nào sử dụng các mô hình định lượng để đánh giá rủi ro như ma trận rủi ro, tính
điểm rủi ro của các bộ phận nghiệp vụ.
Cách làm
như trên đã phần nào thể hiện định hướng rủi ro trong quá trình kiểm toán. Tuy
nhiên, cách đánh giá rủi ro như trên vẫn có một số điểm hạn chế là: Thứ nhất, chưa thể hiện được mức độ quan
trọng của từng yếu tố rủi ro. Việc liệt kê các yếu tố như trên có nghĩa là các
yếu tố này đều có mức độ quan trọng như nhau, ví dụ như việc “Có thay đổi cán
bộ lãnh đạo của đơn vị” cũng quan trọng như việc “Đơn vị bị lỗ trong hai năm
lại đây”, hoặc “Có các sai phạm nghiêm trọng, tái phạm nhiều lần các quy định
của pháp luật và của nội bộ công ty được phát hiện qua các cuộc thanh tra, kiểm
tra, kiểm toán trước”, trong khi thực tế các sự kiện này có thể có mức độ ảnh
hưởng khác nhau. Thứ hai, một số yếu
tố có thể ảnh hưởng đến mức độ rủi ro chưa được xem xét, ví dụ như qui mô của
đơn vị, thể hiện ở số lượng, giá trị của các giao dịch, nghiệp vụ. Thực tế cho
thấy, nếu một nghiệp vụ có số lượng giao dịch lớn, giá trị giao dịch lớn thì
thường có mức độ rủi ro cao hơn. Thứ ba, chưa
thể hiện được tương quan so sánh giữa các đơn vị với nhau do chưa xác định được
mức điểm rủi ro cụ thể. Ví dụ hai đơn vị có thể cùng có mức độ rủi ro xếp loại
cao, nhưng trong đó một đơn vị có 7 yếu tố rủi ro thì cần được chú trọng nhiều
hơn đơn vị có 2 yếu tố rủi ro. Thứ tư,
chưa thực hiện đánh giá đối với từng rủi ro cụ thể trong các nghiệp vụ, bộ
phận, mà mới chỉ đánh giá rủi ro cho toàn nghiệp vụ, bộ phận. Ví dụ, KTNB mới
xác định rủi ro của nghiệp vụ tín dụng, nghiệp vụ đầu tư... mà chưa đánh giá
các rủi ro cụ thể trong qui trình tín dụng là như thế nào.
Như vậy, vấn đề đặt ra là KTNB tại các CTTC cần xây
dựng và áp dụng mô hình chấm điểm rủi ro cho các đơn vị được kiểm toán để xác
định tần suất kiểm toán phù hợp. Mô hình cần kết hợp các yếu tố định tính và
định lượng, thể hiện được tầm quan trọng tương đối của các yếu tố rủi ro tại
các đơn vị được kiểm toán.
Để xây dựng được mô hình chấm điểm rủi ro, trước
tiên, KTNB cần xác định các nhân tố rủi ro tại đơn vị được kiểm toán. Các nhân
tố rủi ro có thể được chia thành các nhóm chính như: các nhân tố liên quan đến
rủi ro cố hữu và các nhân tố liên quan đến kiểm soát. Để có thể tính toán, định
lượng rủi ro, việc chấm điểm rủi ro có thể được thực hiện trên các thang điểm,
ví dụ thang điểm từ 1 đến 10 với từng nhân tố, mỗi nhân tố có trọng số riêng,
có thể được thay đổi phù hợp theo từng thời kỳ.
Bảng 1 minh họa cách thức chấm điểm rủi ro
của các đơn vị được kiểm toán.
Bảng
1. Minh họa bảng chấm điểm rủi ro
Các nhân tố rủi ro
|
Rủi ro giảm xuống
|
Rủi ro tăng lên
|
Trọng số
|
Điểm
|
A.
Các nhân tố rủi ro cố hữu
|
1. Qui mô,
doanh thu của nghiệp vụ
|
Nhỏ
|
Lớn
|
|
|
2. Độ lệch kế
hoạch
|
Thấp
|
Cao
|
|
|
3. Độ phức tạp
của hoạt động
|
Ít phức tạp
|
Rất phức tạp
|
|
|
4. Số lượng
giao dịch
|
Ít
|
Nhiều
|
|
|
5. Số lượng
nhân viên thực hiện nghiệp vụ
|
Ít
|
Nhiều
|
|
|
6. Mức độ quan
trọng của nghiệp vụ đối với tổ chức
|
Thấp
|
Cao
|
|
|
7. Mức độ phức
tạp của các qui định pháp lý
|
Thấp
|
Cao
|
|
|
Tổng
điểm
|
|
|
|
1. Kinh nghiệm
của lãnh đạo bộ phận
|
Kinh nghiệm
dày dặn
|
Chưa nhiều
kinh nghiệm
|
|
|
2. Kinh nghiệm
làm việc của nhân viên
|
Có kinh nghiệm
|
Nhân viên mới,
ít kinh nghiệm
|
|
|
3. Mức độ ổn
định liên tục của đội ngũ lãnh đạo và nhân viên
|
Rất ít thay
đổi
|
Thay đổi
thường xuyên
|
|
|
4. Mức độ đầy
đủ của các thủ tục kiểm soát
|
Đầy đủ
|
Chưa đầy đủ
|
|
|
5. Tính hiệu
lực của các thủ tục kiểm soát
|
Tuân thủ chặt
chẽ
|
Chưa tuân thủ
|
|
|
6. Khả năng
xảy ra sai phạm
|
Thấp
|
Cao
|
|
|
7. Số sai phạm
phát hiện trong lần kiểm toán trước
|
Ít
|
Nhiều
|
|
|
Tổng
điểm
|
|
|
Tổng
điểm rủi ro (lớn nhất là 100)
|
|
Trong bảng trên, việc xác định các nhân tố
rủi ro và trọng số của các nhân tố sẽ do bộ phận KTNB cùng ban lãnh đạo công
ty, bộ phận quản lý rủi ro và đại diện các đơn vị kinh doanh quyết định trên cơ
sở phân tích các nhân tố ảnh hưởng tới hoạt động của công ty. Trọng số của mỗi
nhân tố thể hiện tầm quan trọng tương đối của các nhân tố. Việc quyết định
trọng số này bằng bao nhiêu phụ thuộc vào mức độ chấp nhận rủi ro của mỗi công
ty. Một nhân tố càng được coi là quan trọng, có ảnh hưởng lớn tới mức độ rủi ro
thì trọng số của nó càng cao. Việc xem xét trọng số này có thể được thực hiện
định kỳ hàng năm, khi có sự thay đổi trong hoạt động của công ty hoặc của môi
trường bên ngoài.
Để có thể tính điểm cho mỗi nhân tố chính xác
hơn, KTNB có thể xây dựng các thang điểm cụ thể cho các nhân tố. Ví dụ đối với
nhân tố “Qui mô, doanh thu của hoạt động” có thể chia thành các ngưỡng:
1.
Dưới 50 tỷ đồng: 2 điểm
2.
Từ 50 – 100 tỷ đồng: 4 điểm
3.
Từ 100 - 150 tỷ đồng: 6 điểm
4.
Từ 150 – 200 tỷ đồng: 8 điểm
5.
Trên 200 tỷ đồng: 10 điểm
Các
thang điểm này có thể có độ lớn khác nhau phụ thuộc vào qui mô, đặc điểm của
từng công ty và từng nghiệp vụ cụ thể, và có thể được thay đổi hàng năm khi qui
mô hoạt động của công ty thay đổi. Trưởng bộ phận KTNB cần thảo luận với bộ
phận quản lý rủi ro, ban kiểm soát và đại diện của các bộ phận về việc xác định
các nhân tố rủi ro, những thay đổi trong hệ thống các trọng số rủi ro để có cái
nhìn toàn diện trong quá trình xây dựng mô hình chấm điểm rủi ro.
Việc
chấm điểm rủi ro này sẽ được áp dụng cho các đối tượng kiểm toán khác nhau. Kết
thúc quá trình đánh giá rủi ro, kiểm toán viên nội bộ tập hợp điểm rủi ro tổng
thể của các đối tượng kiểm toán, phân thành các mức độ rủi ro khác nhau làm cơ
sở lập kế hoạch kiểm toán.
Ví
dụ:
1.
Dưới 40 điểm: rủi ro thấp
2.
Từ 40 – 70 điểm: rủi ro trung bình
3.
Trên 70 điểm: rủi ro cao
Việc
phân loại rủi ro dựa trên điểm rủi ro tổng thể này được thực hiện dựa trên một
số yếu tố như:
-
Kinh nghiệm kiểm toán trước đây thì mức điểm tổng thể là bao nhiêu
thì được xếp hạng rủi ro cao, trung bình, thấp
-
Tỷ lệ dự kiến số đơn vị nằm trong từng mức rủi ro.
Mô hình đánh giá rủi ro, việc xác định các
nhân tố rủi ro, hệ thống trọng số, các thức phân loại rủi ro như trên cần được
rà soát thường xuyên, tối thiểu 3 năm một lần, hay trong trường hợp có biến
động lớn về rủi ro trọng yếu đối với toàn tổ chức. Kiểm toán viên nội bộ cần
thảo luận nội dung đánh giá rủi ro trên với ban giám đốc, ban kiểm soát, bộ
phận quản lý rủi ro, lãnh đạo các bộ phận nghiệp vụ để hoàn thiện qui trình
đánh giá.
Dựa trên kết quả phân loại rủi ro, KTNB
quyết định tần suất thực hiện kiểm toán. Ví dụ: đối với các đơn vị có rủi ro
cao, việc kiểm toán sẽ được tiến hành tối thiểu 6 tháng một lần. Đối với các
đơn vị có rủi ro trung bình hoặc thấp, việc kiểm toán có thể được tiến hành một
hoặc hai năm một lần. Việc phân loại các đơn vị kinh doanh như vậy sẽ giúp KTNB
hoạt động hiệu quả hơn và có thể tập trung nhiều thời gian và nguồn lực hơn vào
các hoạt động kinh doanh thuộc mức rủi ro trung bình và cao.
Dựa trên
kết quả đánh giá rủi ro, KTNB tiến hành xây dựng kế hoạch kiểm toán năm. Các
nội dung chính cần được trình bày trong kế hoạch kiểm toán năm bao gồm:
Thứ
nhất, căn cứ xác định phạm vi kiểm toán: kết quả tóm tắt đánh giá rủi ro, kỳ
vọng của các bên liên quan, yêu cầu của hội đồng quản trị, ban giám đốc, ban
kiểm soát và các yếu tố khác. Yêu cầu của hội đồng quản trị, ban giám đốc và
ban kiểm soát là một trong các yếu tố quan trọng khi xây dựng kế hoạch kiểm
toán. Các yêu cầu này có thể khác với kết quả đánh giá rủi ro, tuy nhiên có thể
tham khảo như một xuất phát điểm.
Thứ hai,
phạm vi kiểm toán: các đơn vị kinh doanh sẽ được kiểm toán, tần suất hoạt động
kiểm toán. Khi xác định phạm vi kiểm toán, cần làm rõ: lý do đưa đơn vị kinh
doanh vào phạm vi kiểm toán, các rủi ro chính cần chú ý, mô tả sơ lược về hoạt
động của đơn vị kinh doanh.
Thứ ba,
kế hoạch về nhân sự của bộ phận kiểm toán: cập nhật thời gian có thể dành cho
công việc kiểm toán của tất cả các KTVNB, và kế hoạch nhân sự trong thời gian
tới (căn cứ vào khối lượng công việc thực tế và ước tính), thời gian thực hiện
kiểm toán tại từng đơn vị kinh doanh. Khi lập kế hoạch nhân sự, cần quan tâm
đến các vấn đề như sự cần thiết phải mời các chuyên gia ngành hay thuê KTNB từ
bên ngoài với các lĩnh vực đặc thù như kiểm toán công nghệ thông tin.
Ngoài kế
hoạch kiểm toán năm, bộ phận KTNB có thể thực hiện xây dựng kế hoạch dài hạn (3
– 5 năm). Kế hoạch dài hạn nên được lập với các công ty có qui mô lớn, nhiều
chi nhánh, đơn vị trực thuộc, có thể có những đơn vị trực thuộc mà tần suất
kiểm toán không thường xuyên.
Kế hoạch hàng năm cần được thảo luận với chủ tịch hội
đồng quản trị, ban giám đốc và ban kiểm soát. Mục tiêu chính của việc thảo luận
này là nhằm đảm bảo việc lập kế hoạch hàng năm luôn gắn liền với các mục tiêu
của tổ chức, bằng cách nhận được sự phê duyệt của ban lãnh đạo đối với các quy
trình quản lý, kiểm soát và quản trị rủi ro. Kế hoạch kiểm toán đã phê duyệt cần được đánh
giá lại sáu tháng một lần, do trong năm có thể có nhiều thay đổi xảy ra, ví dụ:
những sản phẩm/dịch vụ mới của công ty, chính sách và những quy trình mới, các
quy định mới của NHNN, v.v…
Lê Thị Thu Hà