LÝ LUẬN ĐẾN THỰC TIỄN
LẬP KẾ HOẠCH KIỂM TOÁN NĂM ĐỐI VỚI KIỂM TOÁN NỘI BỘ TẠI CÁC CÔNG TY TÀI CHÍNH
Kiểm toán nội bộ (KTNB) trong các doanh nghiệp đang được nhiều nhà quản lý và các nhà nghiên cứu quan tâm với góc độ là công cụ hữu hiệu và cần thiết giúp các nhà quản lý đánh giá và kiểm soát hiệu quả hoạt động của doanh nghiệp. Đặc biệt với các công ty tài chính (CTTC) là loại hình doanh nghiệp kinh doanh trong lĩnh vực tài chính – tín dụng, có nhiều rủi ro đặc thù về tài chính và hoạt động thì kiểm toán nội bộ càng phát huy vai trò quan trọng trong phát hiện và giảm thiểu rủi ro.

Trong hoạt động của KTNB, việc lập kế hoạch kiểm toán năm là một nội dung rất quan trọng, bởi KTNB tại các CTTC luôn phải đối mặt với các giới hạn về thời gian, chi phí, nhân lực cho hoạt động kiểm toán, trong khi các đối tượng được kiểm toán rất đa dạng, phức tạp, môi trường hoạt động thường xuyên thay đổi. Việc lập kế hoạch hàng năm giúp KTNB bao quát được tất cả các đối tượng kiểm toán, tập trung nguồn lực cho các hoạt động rủi ro cao, giúp cho các cuộc kiểm toán được thực hiện một cách hiệu quả, tiết kiệm thời gian chi phí và đạt được mục tiêu đề ra. Việc lập kế hoạch, xác định đối tượng ưu tiên kiểm toán là quan trọng để có thể đảm bảo tính hiệu quả của kiểm toán.

Kế hoạch kiểm toán năm bao gồm các định hướng cơ bản, nội dung trọng tâm và phương pháp tiếp cận chung của các cuộc KTNB trong năm. Kế hoạch kiểm toán năm xác định đối tượng kiểm toán cũng như tần suất thực hiện kiểm toán tại các đối tượng cụ thể. Kế hoạch kiểm toán lập trên cơ sở đánh giá thông tin tổng quát về tình hình hoạt động và môi trường kinh doanh của tất cả các bộ phận, đơn vị trong CTTC.

Khi lập kế hoạch kiểm toán, KTNB thực hiện các công việc sau đây:

Thứ nhất: Thống nhất mục tiêu kiểm toán

Việc xác định mục tiêu kiểm toán có ý nghĩa rất quan trọng trong qui trình lập kế hoạch kiểm toán. Mục tiêu kiểm toán sẽ quyết định phương pháp và thủ tục kiểm toán cần tiến hành, nhân lực và thời gian dự kiến cho cuộc kiểm toán. Việc xác định mục tiêu kiểm toán có ý nghĩa quan trọng trong toàn bộ qui trình lập kế hoạch kiểm toán. Công việc này đòi hỏi KTNB phải có hiểu biết rõ ràng về các mục tiêu và những yêu cầu của nhà quản lý. Mục tiêu kiểm toán có thể xác định ở các mức độ khác nhau, và thay đổi trong từng trường hợp cụ thể. Mục tiêu kiểm toán có thể là đánh giá tính tuân thủ trong từng đơn vị, hoặc ở mức độ cao hơn là đề xuất giải pháp cải tiến các hoạt động cụ thể. Khi xây dựng mục tiêu kiểm toán, cần quan tâm đến ngân sách cho hoạt động kiểm toán và nguồn nhân lực KTNB. Nếu yêu cầu của các nhà quản lý vượt xa so với ngân sách và nguồn nhân lực hiện có của KTNB, thì trưởng bộ phận KTNB cần trao đổi với các nhà quản lý để xác định mục tiêu phù hợp, đồng thời xây dựng kế hoạch phát triển nguồn lực KTNB về cả chất lượng cũng như số lượng để có thể đáp ứng các yêu cầu quản lý.

Thứ hai: Xác định cách thức tổ chức và phương pháp  kiểm toán

Sau khi thống nhất mục tiêu, KTVNB xác định cách thức tổ chức kiểm toán. Những nội dung cần quan tâm khi xác định cách thức tổ chức kiểm toán là: bố trí nhân sự, phạm vi các thủ tục kiểm toán, cách thức báo cáo phát hiện kiểm toán, mức độ, phạm vi áp dụng các hoạt động kiểm toán và thời gian thực hiện.

Thứ ba: Thu thập thông tin tổng quan về doanh nghiệp

Thu thập thông tin tổng quan về doanh nghiệp là cơ sở để lập kế hoạch kiểm toán. KTVNB cần thu thập các thông tin về môi trường kinh doanh tác động đến các lĩnh vực hoạt động chủ yếu của CTTC như các biến động của môi trường kinh tế vĩ mô, tỷ giá, lãi suất, các thay đổi trong môi trường pháp lý như các qui định của Chính phủ, NHNN, thay đổi trong cơ cấu tổ chức cán bộ, kết quả hoạt động kinh doanh… của công ty, thông tin về chiến lược, hoạt động của các đối thủ cạnh tranh. Khi môi trường kinh tế, pháp lý có những biến động lớn, KTNB cần chú trọng đánh giá ảnh hưởng của các yếu tố này tới hoạt động của CTTC.

Thứ tư: Đánh giá rủi ro

Đánh giá rủi ro là một hoạt động có tính hệ thống nhằm phân tích, đánh giá, tổng hợp, xếp loại các rủi ro có thể ảnh hưởng đến việc đạt được mục tiêu của CTTC. Mục tiêu của việc đánh giá rủi ro là nhằm lập kế hoạch kiểm toán trên cơ sở nhận thức và đánh giá các rủi ro lớn nhất. Thông qua đánh giá rủi ro, thời gian kiểm toán và phạm vi kiểm toán sẽ được ước tính cho từng đơn vị. Các nguồn lực kiểm toán sẽ được tập trung trước tiên cho các lĩnh vực nhiều rủi ro.

Thứ năm: Lập kế hoạch kiểm toán năm

Dựa trên kết quả đánh giá rủi ro, KTNB lập kế hoạch kiểm toán, trong đó xác định đối tượng, tần suất và nhân sự cho các cuộc kiểm toán. Những qui trình nghiệp vụ được đánh giá là có mức rủi ro cao cần được kiểm toán thường xuyên, ví dụ ít nhất một lần trong một năm. Ngoài kết quả đánh giá rủi ro, KTNB có thể dựa vào một số yếu tố khác để lập kế hoạch, chẳng hạn các vấn đề đã được phát hiện trong lần kiểm toán trước, các yêu cầu cụ thể của cấp quản lý hoặc UBKT, hoặc của cơ quan giám sát hoạt động ngân hàng.  

Trong các nội dung trên, việc đánh giá rủi ro của các hoạt động trong CTTC làm cơ sở cho việc xác định tần suất kiểm toán là một trong những nội dung quan trọng nhất của lập kế hoạch kiểm toán năm. Tuy nhiên, thực tế hoạt động KTNB tại các CTTC Việt Nam hiện nay cho thấy việc đánh giá rủi ro khi lập kế hoạch kiểm toán chưa được qui định rõ ràng, chi tiết trong qui trình KTNB của các CTTC. Mặc dù qui chế KTNB của các CTTC đều qui định phương pháp tiếp cận kiểm toán là dựa trên định hướng rủi ro, nhưng trong thực tế phần lớn các công ty chưa xây dựng và qui định thành văn bản cách thức thực hiện cụ thể. Việc đánh giá rủi ro chủ yếu được thực hiện một cách định tính dựa trên kinh nghiệm cá nhân của các KTV chính, và không được ghi chép lại một cách chi tiết trong hồ sơ kiểm toán.

Một số CTTC đã bước đầu xây dựng tiêu chí đánh giá rủi ro dựa trên việc xác định các yếu tố rủi ro ở các đơn vị, bộ phận, ví dụ các đơn vị có thay đổi lãnh đạo trong vòng 12 tháng trở lại; thay đổi cơ cấu tổ chức trong vòng 12 tháng trở lại; thay đổi nhiều cán bộ ở các vị trí chủ chốt; cán bộ ở các vị trí, các bộ phận quan trọng có mối quan hệ gia đình, họ hàng với giám đốc hoặc với nhau;  có các sản phẩm, dịch vụ mới trong vòng 12 tháng trở lại đây; đơn vị thua lỗ trong bất kỳ giai đoạn nào trong vòng 2 năm trở lại; có các sai phạm nghiêm trọng, tái phạm nhiều lần các quy định của pháp luật và của nội bộ công ty được phát hiện qua các cuộc thanh tra, kiểm tra, kiểm toán trước; không chỉnh sửa đầy đủ những phát hiện, kiến nghị sau thanh tra, kiểm tra, kiểm toán; có những thay đổi bất thường trong các báo cáo quản trị và BCTC… Sau đó, mức độ rủi ro của các đơn vị được xác định dựa trên số lượng các yếu tố rủi ro, ví dụ đơn vị được xếp loại rủi ro cao nếu có hai hoặc nhiều yếu tố trên đây; đơn vị có rủi ro trung bình nếu có một trong các yếu tố nêu trên; đơn vị có rủi ro thấp nếu không có yếu tố nào nêu trên.

Cách đánh giá rủi ro như trên là dựa trên các yếu tố định tính. Hiện chưa có công ty nào sử dụng các mô hình định lượng để đánh giá rủi ro như ma trận rủi ro, tính điểm rủi ro của các bộ phận nghiệp vụ.

Cách làm như trên đã phần nào thể hiện định hướng rủi ro trong quá trình kiểm toán. Tuy nhiên, cách đánh giá rủi ro như trên vẫn có một số điểm hạn chế là: Thứ nhất, chưa thể hiện được mức độ quan trọng của từng yếu tố rủi ro. Việc liệt kê các yếu tố như trên có nghĩa là các yếu tố này đều có mức độ quan trọng như nhau, ví dụ như việc “Có thay đổi cán bộ lãnh đạo của đơn vị” cũng quan trọng như việc “Đơn vị bị lỗ trong hai năm lại đây”, hoặc “Có các sai phạm nghiêm trọng, tái phạm nhiều lần các quy định của pháp luật và của nội bộ công ty được phát hiện qua các cuộc thanh tra, kiểm tra, kiểm toán trước”, trong khi thực tế các sự kiện này có thể có mức độ ảnh hưởng khác nhau. Thứ hai, một số yếu tố có thể ảnh hưởng đến mức độ rủi ro chưa được xem xét, ví dụ như qui mô của đơn vị, thể hiện ở số lượng, giá trị của các giao dịch, nghiệp vụ. Thực tế cho thấy, nếu một nghiệp vụ có số lượng giao dịch lớn, giá trị giao dịch lớn thì thường có mức độ rủi ro cao hơn. Thứ ba, chưa thể hiện được tương quan so sánh giữa các đơn vị với nhau do chưa xác định được mức điểm rủi ro cụ thể. Ví dụ hai đơn vị có thể cùng có mức độ rủi ro xếp loại cao, nhưng trong đó một đơn vị có 7 yếu tố rủi ro thì cần được chú trọng nhiều hơn đơn vị có 2 yếu tố rủi ro. Thứ tư, chưa thực hiện đánh giá đối với từng rủi ro cụ thể trong các nghiệp vụ, bộ phận, mà mới chỉ đánh giá rủi ro cho toàn nghiệp vụ, bộ phận. Ví dụ, KTNB mới xác định rủi ro của nghiệp vụ tín dụng, nghiệp vụ đầu tư... mà chưa đánh giá các rủi ro cụ thể trong qui trình tín dụng là như thế nào.

Như vậy, vấn đề đặt ra là KTNB tại các CTTC cần xây dựng và áp dụng mô hình chấm điểm rủi ro cho các đơn vị được kiểm toán để xác định tần suất kiểm toán phù hợp. Mô hình cần kết hợp các yếu tố định tính và định lượng, thể hiện được tầm quan trọng tương đối của các yếu tố rủi ro tại các đơn vị được kiểm toán.

Để xây dựng được mô hình chấm điểm rủi ro, trước tiên, KTNB cần xác định các nhân tố rủi ro tại đơn vị được kiểm toán. Các nhân tố rủi ro có thể được chia thành các nhóm chính như: các nhân tố liên quan đến rủi ro cố hữu và các nhân tố liên quan đến kiểm soát. Để có thể tính toán, định lượng rủi ro, việc chấm điểm rủi ro có thể được thực hiện trên các thang điểm, ví dụ thang điểm từ 1 đến 10 với từng nhân tố, mỗi nhân tố có trọng số riêng, có thể được thay đổi phù hợp theo từng thời kỳ.

Bảng 1 minh họa cách thức chấm điểm rủi ro của các đơn vị được kiểm toán.


Bảng 1. Minh họa bảng chấm điểm rủi ro

Các nhân tố rủi ro

Rủi ro giảm xuống

Rủi ro tăng lên

Trọng số

Điểm

A. Các nhân tố rủi ro cố hữu

1. Qui mô, doanh thu của nghiệp vụ

Nhỏ

Lớn

 

 

2. Độ lệch kế hoạch

Thấp

Cao

 

 

3. Độ phức tạp của hoạt động

Ít phức tạp

Rất phức tạp

 

 

4. Số lượng giao dịch

Ít

Nhiều

 

 

5. Số lượng nhân viên thực hiện nghiệp vụ

Ít

Nhiều

 

 

6. Mức độ quan trọng của nghiệp vụ đối với tổ chức

Thấp

Cao

 

 

7. Mức độ phức tạp của các qui định pháp lý

Thấp

Cao

 

 

Tổng điểm

 

 

 

1. Kinh nghiệm của lãnh đạo bộ phận

Kinh nghiệm dày dặn

Chưa nhiều kinh nghiệm

 

 

2. Kinh nghiệm làm việc của nhân viên

Có kinh nghiệm

Nhân viên mới, ít kinh nghiệm

 

 

3. Mức độ ổn định liên tục của đội ngũ lãnh đạo và nhân viên

Rất ít thay đổi

Thay đổi thường xuyên

 

 

4. Mức độ đầy đủ của các thủ tục kiểm soát

Đầy đủ

Chưa đầy đủ

 

 

5. Tính hiệu lực của các thủ tục kiểm soát

Tuân thủ chặt chẽ

Chưa tuân thủ

 

 

6. Khả năng xảy ra sai phạm

Thấp

Cao

 

 

7. Số sai phạm phát hiện trong lần kiểm toán trước

Ít

Nhiều

 

 

Tổng điểm

 

 

Tổng điểm rủi ro (lớn nhất là 100)

 

Trong bảng trên, việc xác định các nhân tố rủi ro và trọng số của các nhân tố sẽ do bộ phận KTNB cùng ban lãnh đạo công ty, bộ phận quản lý rủi ro và đại diện các đơn vị kinh doanh quyết định trên cơ sở phân tích các nhân tố ảnh hưởng tới hoạt động của công ty. Trọng số của mỗi nhân tố thể hiện tầm quan trọng tương đối của các nhân tố. Việc quyết định trọng số này bằng bao nhiêu phụ thuộc vào mức độ chấp nhận rủi ro của mỗi công ty. Một nhân tố càng được coi là quan trọng, có ảnh hưởng lớn tới mức độ rủi ro thì trọng số của nó càng cao. Việc xem xét trọng số này có thể được thực hiện định kỳ hàng năm, khi có sự thay đổi trong hoạt động của công ty hoặc của môi trường bên ngoài.

Để có thể tính điểm cho mỗi nhân tố chính xác hơn, KTNB có thể xây dựng các thang điểm cụ thể cho các nhân tố. Ví dụ đối với nhân tố “Qui mô, doanh thu của hoạt động” có thể chia thành các ngưỡng:

1.       Dưới 50 tỷ đồng: 2 điểm

2.       Từ 50 – 100 tỷ đồng: 4 điểm

3.       Từ 100 - 150 tỷ đồng: 6 điểm

4.       Từ 150 – 200 tỷ đồng: 8 điểm

5.       Trên 200 tỷ đồng: 10 điểm

Các thang điểm này có thể có độ lớn khác nhau phụ thuộc vào qui mô, đặc điểm của từng công ty và từng nghiệp vụ cụ thể, và có thể được thay đổi hàng năm khi qui mô hoạt động của công ty thay đổi. Trưởng bộ phận KTNB cần thảo luận với bộ phận quản lý rủi ro, ban kiểm soát và đại diện của các bộ phận về việc xác định các nhân tố rủi ro, những thay đổi trong hệ thống các trọng số rủi ro để có cái nhìn toàn diện trong quá trình xây dựng mô hình chấm điểm rủi ro.

Việc chấm điểm rủi ro này sẽ được áp dụng cho các đối tượng kiểm toán khác nhau. Kết thúc quá trình đánh giá rủi ro, kiểm toán viên nội bộ tập hợp điểm rủi ro tổng thể của các đối tượng kiểm toán, phân thành các mức độ rủi ro khác nhau làm cơ sở lập kế hoạch kiểm toán.

Ví dụ:

1.       Dưới 40 điểm: rủi ro thấp

2.       Từ 40 – 70 điểm: rủi ro trung bình

3.       Trên 70 điểm: rủi ro cao

Việc phân loại rủi ro dựa trên điểm rủi ro tổng thể này được thực hiện dựa trên một số yếu tố như:

-          Kinh nghiệm kiểm toán trước đây thì mức điểm tổng thể là bao nhiêu thì được xếp hạng rủi ro cao, trung bình, thấp

-          Tỷ lệ dự kiến số đơn vị nằm trong từng mức rủi ro.

Mô hình đánh giá rủi ro, việc xác định các nhân tố rủi ro, hệ thống trọng số, các thức phân loại rủi ro như trên cần được rà soát thường xuyên, tối thiểu 3 năm một lần, hay trong trường hợp có biến động lớn về rủi ro trọng yếu đối với toàn tổ chức. Kiểm toán viên nội bộ cần thảo luận nội dung đánh giá rủi ro trên với ban giám đốc, ban kiểm soát, bộ phận quản lý rủi ro, lãnh đạo các bộ phận nghiệp vụ để hoàn thiện qui trình đánh giá.

Dựa trên kết quả phân loại rủi ro, KTNB quyết định tần suất thực hiện kiểm toán. Ví dụ: đối với các đơn vị có rủi ro cao, việc kiểm toán sẽ được tiến hành tối thiểu 6 tháng một lần. Đối với các đơn vị có rủi ro trung bình hoặc thấp, việc kiểm toán có thể được tiến hành một hoặc hai năm một lần. Việc phân loại các đơn vị kinh doanh như vậy sẽ giúp KTNB hoạt động hiệu quả hơn và có thể tập trung nhiều thời gian và nguồn lực hơn vào các hoạt động kinh doanh thuộc mức rủi ro trung bình và cao.

Dựa trên kết quả đánh giá rủi ro, KTNB tiến hành xây dựng kế hoạch kiểm toán năm. Các nội dung chính cần được trình bày trong kế hoạch kiểm toán năm bao gồm:

Thứ nhất, căn cứ xác định phạm vi kiểm toán: kết quả tóm tắt đánh giá rủi ro, kỳ vọng của các bên liên quan, yêu cầu của hội đồng quản trị, ban giám đốc, ban kiểm soát và các yếu tố khác. Yêu cầu của hội đồng quản trị, ban giám đốc và ban kiểm soát là một trong các yếu tố quan trọng khi xây dựng kế hoạch kiểm toán. Các yêu cầu này có thể khác với kết quả đánh giá rủi ro, tuy nhiên có thể tham khảo như một xuất phát điểm.

Thứ hai, phạm vi kiểm toán: các đơn vị kinh doanh sẽ được kiểm toán, tần suất hoạt động kiểm toán. Khi xác định phạm vi kiểm toán, cần làm rõ: lý do đưa đơn vị kinh doanh vào phạm vi kiểm toán, các rủi ro chính cần chú ý, mô tả sơ lược về hoạt động của đơn vị kinh doanh.

Thứ ba, kế hoạch về nhân sự của bộ phận kiểm toán: cập nhật thời gian có thể dành cho công việc kiểm toán của tất cả các KTVNB, và kế hoạch nhân sự trong thời gian tới (căn cứ vào khối lượng công việc thực tế và ước tính), thời gian thực hiện kiểm toán tại từng đơn vị kinh doanh. Khi lập kế hoạch nhân sự, cần quan tâm đến các vấn đề như sự cần thiết phải mời các chuyên gia ngành hay thuê KTNB từ bên ngoài với các lĩnh vực đặc thù như kiểm toán công nghệ thông tin.

Ngoài kế hoạch kiểm toán năm, bộ phận KTNB có thể thực hiện xây dựng kế hoạch dài hạn (3 – 5 năm). Kế hoạch dài hạn nên được lập với các công ty có qui mô lớn, nhiều chi nhánh, đơn vị trực thuộc, có thể có những đơn vị trực thuộc mà tần suất kiểm toán không thường xuyên.

Kế hoạch hàng năm cần được thảo luận với chủ tịch hội đồng quản trị, ban giám đốc và ban kiểm soát. Mục tiêu chính của việc thảo luận này là nhằm đảm bảo việc lập kế hoạch hàng năm luôn gắn liền với các mục tiêu của tổ chức, bằng cách nhận được sự phê duyệt của ban lãnh đạo đối với các quy trình quản lý, kiểm soát và quản trị rủi ro. Kế hoạch kiểm toán đã phê duyệt cần được đánh giá lại sáu tháng một lần, do trong năm có thể có nhiều thay đổi xảy ra, ví dụ: những sản phẩm/dịch vụ mới của công ty, chính sách và những quy trình mới, các quy định mới của NHNN, v.v…

                                                            Lê Thị Thu Hà

CÁC BÀI ĐÃ ĐĂNG

TIN MỚI CẬP NHẬT
LIÊN KẾT WEBSITE
TẠP CHÍ IN
  • Tạp chí số 146 (Tháng 12/2019)
  • Tạp chí số 145 (Tháng 11/2019)
  • Tạp chí số 144 (Tháng 10/2019)