2. QUY TRÌNH ĐÁNH GIÁ TRỌNG YẾU VÀ RỦI RO KIỂM TOÁN TRONG KIỂM
2.3.3. Đánh giá rủi ro kiểm soát
VSA 400 “Đánh giá rủi ro và kiểm soát nội bộ” quy định: “KTV phải có đủ hiểu biết về hệ thống kế toán và hệ thống kiểm soát nội bộ của khách hàng để lập kế hoạch kiểm toán tổng thể và chương trình kiểm toán thích hợp, có hiệu quả. KTV phải sử dụng khả năng xét đoán chuyên môn của mình để đánh giá rủi ro kiểm toán và xác định các thủ tục kiểm toán nhằm giảm rủi ro kiểm toán xuống thấp tới mức có thể chấp nhận được”.
Hệ thống kiểm soát nội bộ có mối quan hệ có mối quan hệ rất chặt chẽ với rủi ro kiểm soát: Mức độ hiệu quả của việc thiết kế và vận hành hệ thống kiểm soát nội bộ quyết định mức rủi ro kiểm soát. Nếu hệ thống kiểm soát nội bộ được thiết kế và vận hành hiệu quả, ngăn ngừa được được những sai sót trọng yếu có thể xảy ra thì rủi ro kiểm soát bằng hoặc gần bằng không. Tuy nhiên, trên thực tế điều này rất khó xảy ra vì bản thân hệ thống kiểm soát nội bộ luôn có những hạn chế tiềm tàng như: Chi phí cho hệ thống kiểm soát nội bộ không được vượt quá lợi ích mà hệ thống đó mang lại; Phần lớn các thủ tục kiểm soát được thiết lập cho những nghiệp vụ thường xuyên, các nghiệp vụ không thường xuyên ít được đề cập; Hệ thống kiểm soát nội bộ không phát hiện được những gian lận, thông đồng của các thành viên trong Ban giám đốc, Ban điều hành; Cơ chế và yêu cầu quản lý thay đổi làm cho hệ thống kiểm soát nội bộ bị lạc hậu…
Kiểm soát nội bộ trong hệ thống kế toán nhằm đảm bảo các yêu cầu cơ bản như: Nghiệp vụ kinh tế, tài chính được thực hiện sau khi đã có sự chấp nhận của những người có thẩm quyền; Các nghiệp vụ kinh tế phát sinh được ghi chép kịp thời, đầy đủ, và chính xác vào các tài khoản kế toán phù hợp, làm cơ sở để lập BCTC theo chế độ kế toán đang có hiệu lực; Các tài sản ghi trong sổ kế toán được đối chiếu với tài sản trên thức tế ở những thời điểm thích hợp để xử lý nếu có chênh lệch.
đánh giá rủi ro kiểm soát và việc liên hệ kết quả với các cuộc khảo sát số dư trên BCTC.
Sơ đồ 1.4: Quá trình đánh giá hệ thống kiểm soát nội bộ và rủi ro kiểm soát
Bước 1: Tìm hiểu về hệ thống kiểm soát nội bộ
Trong giai đoạn này, cần tìm hiểu hệ thống kiểm soát nội bộ trên hai mặt.Thiết kế hệ thống kiểm soát nội bộ (bao gồm thiết kế về quy chế kiểm soát và thiết kế về bộ máy
Bước 1 Tìm hiểu về hệ thống kiểm soát nội bộ
Bước 2 Đánh giá ban đầu về rủi ro kiểm soát và thiết kế các thử nghiệm cơ bản dự kiến
Có thể hạ thấp mức rủi ro kiểm soát
trong thực tế không?
Bước 3 Thiết kế và thực hiện thử nghiệm kiểm soát
Bước 4 Trên cơ sở kết quả của thử nghiệm kiểm soát, đánh giá lại rủi ro kiểm soát.
Mức rủi ro kiểm soát được đánh giá có như
dự kiến ban đầu không?
Thực hiện các thử nghiệm cơ bản
Thay đổi những thử nghiệm cơ bản đã dự kiến Không Không
kiểm soát) và tính liên tục, hiệu lực trong hoạt động của hệ thống kiểm soát nội bộ. Trên cơ sở sự hiểu biết đó nhận diện các rủi ro tiềm tàng, đánh giá mức rủi ro kiểm soát, các nhân tố ảnh hưởng gây ra sai lệch trên BCTC, từ đó xác định khối lượng các nghiệp vụ kinh tế phát sinh, xây dựng các thủ tục kiểm toán thích hợp.
Tìm hiểu về thiết kế và vận hành của hệ thống kiểm soát nội bộ của đơn vị cần phải có sự hiểu biết đầy đủ về các bộ phận hợp thành hệ thống kiểm soát nội bộ. Hệ thống kiểm soát nội bộ bao gồm môi trường kiểm soát, hệ thống kế toán, các thủ tục kiểm toán và bộ phận kiểm toán nội bộ (nếu có).
- Về môi trường kiểm soát, cần có sự hiểu biết để đánh giá nhận thức, quan điểm, sự quan tâm của thành viên hội đồng quản trị và Ban Giám đốc đối với hệ thống kiểm soát nội bộ. Các nhân tố chủ yếu để đánh giá môi trường kiểm soát bao gồm: Chức năng, nhiệm vụ của hội đồng quản trị, Ban Giám đốc và các phòng, ban chức năng của đơn vị; Tư duy quản lý, phong cách điều hành của bộ máy lãnh đạo Cơ cấu tổ chức và quyền hạn, trách nhiệm của các bộ phận trong cơ cấu đó; Chính sách nhân sự của đơn vị; Công tác kế hoạch bao gồm các kế hoạch sản xuất, tiêu thụ, thu chi quỹ, kế hoạch hay dự toán đầu tư, sửa chữa tài sản cố định…; Ủy ban kiểm soát và các yếu tố của môi trường bên ngoài.
- Về hệ thống kế toán, cần phải hiểu biết về hệ thống kế toán và việc thực hiện công việc kế toán để xác định các loại nghiệp vụ kinh tế chủ yếu và nguồn gốc của các nghiệp vụ kinh tế phản ánh trên hệ thống chứng từ kế toán, tài khoản kế toán, sổ kế toán và BCTC; Xem xét quy trình các nghiệp vụ kinh tế chủ yếu và các sự kiện từ khi phát sinh đến khi lập BCTC và bộ máy kế toán.
- Về thủ tục kiểm soát, cần phải hiểu biết các thủ tục kiểm soát của đơn vị, xác định những thủ tục kiểm soát đơn vị đã thiết lập và những thủ tục kiểm soát còn thiếu cần phải bổ sung. Các thủ tục kiểm soát chủ yếu bao gồm: Lập, kiểm tra, so sánh và phê duyệt các số liệu, nghiệp vụ liên quan đến đơn vị. Khi xem xét các thủ tục kiểm soát cần xác định rõ những thủ tục này có được xây dựng trên cơ sở các nguyên tắc cơ bản như chế độ thủ trưởng, nguyên tắc phân công, phân nhiệm, nguyên tắc bất kiêm nhiệm, nguyên tắc phân cấp, ủy quyền…
Phương pháp tìm hiểu hệ thống kiểm soát nội bộ là dựa vào kinh nghiệm trước đây của KTV với đơn vị (nếu có); Phỏng vấn các nhà quản lý, viên giám sát và những nhân viên khác của đơn vị; xem xét các sổ tay về thủ tục và chế độ của công ty khách hàng; kiểm tra các chứng từ và sổ sách đã hoàn thành; quan sát các mặt hoạt động và quá trình vận hành của hệ thống kiểm soát nội bộ trong thực tiễn.
Sau khi tìm hiểu hệ thống kiểm soát nội bộ, cần lập hồ sơ về những thông tin đã thu thập để chứng minh việc tìm hiểu hệ thống kiểm soát nội bộ. Lập hồ sơ kiểm toán để mô tả hệ thống kiểm soát nội bộ thường được thực hiện dưới dạng bảng tường thuật, bảng câu hỏi về kiểm soát nội bộ, lưu đồ hoặc kết hợp các hình thức đó.
Bước 2: Đánh giá ban đầu về rủi ro kiểm soát để lập kế hoạch kiểm toán
hệ thống kiểm soát nội bộ của đơn vị trong việc ngăn ngừa hoặc phát hiện và sửa chữa các sai sót trọng yếu.
Theo VSA 400 “Đánh giá rủi ro và kiểm toán nội bộ”: “Dựa trên sự hiểu biết về hệ thống kế toán và hệ thống kiểm soát nội bộ, KTV và công ty kiểm toán phải đánh giá ban đầu về rủi ro kiểm soát đối với cơ sở dẫn liệu cho từng số dư tài khoản hoặc các loại nghiệp vụ kinh tế chủ yếu”.
Cơ sở dẫn liệu là những điều cam kết giải trình (hoặc khẳng định) của các nhà quản lý để chứng minh về các dữ liệu được trình bày trên BCTC.
Như vậy, sau khi thu thập được một sự hiểu biết về thiết kế và vận hành của hệ thống kiểm soát nội bộ, cần đưa ra đánh giá ban đầu vê rủi ro kiểm soát theo từng cơ sở dẫn liệu. Đánh giá rủi ro kiểm soát theo các bước cụ thể sau:
- Thứ nhất: Nhận diện các mục tiêu kiểm soát được vận dụng trong quá trình đánh giá. KTV sẽ vận dụng các mục tiêu kiểm soát nội bộ cụ thể cho từng loại nghiệp vụ chủ yếu của đơn vị mà theo đó có thể đánh giá rủi ro kiểm soát đối với từng khoản mục.
- Thứ hai: Nhận diện các quá trình kiểm soát đặc thù. Ở bước này, chỉ tập trung nhận diện và phân tích các quá trình kiểm soát chủ yếu, có khả năng ảnh hưởng lớn đến việc thỏa mãn các mục tiêu kiểm soát, bảo đảm tính hiệu quả cho cuộc kiểm toán.
- Thứ ba: Nhận diện và đánh giá các nhược điểm của hệ thống kiểm soát nội bộ. Nhược điểm của hệ thống kiểm soát nội bộ được hiểu là sự vắng mặt của các quá trình kiểm soát thích đáng dẫn đến làm tăng khả năng tồn tại các sai phạm trên BCTC.
- Thứ tư: Đánh giá rủi ro kiểm soát. Sau khi tiến hành các bước trên đây, KTV đánh giá rủi ro kiểm soát ban đầu đối với từng mục tiêu kiểm soát của từng loại nghiệp vụ kinh tế. Có thể đánh giá rủi ro kiểm soát theo định tính (thấp, trung bình, cao) hoặc theo định lượng (tỷ lệ phần trăm). Rủi ro kiểm soát xác định ở mức cao nhất trong trường hợp hệ thống kiểm soát nội bộ không đầy đủ, hệ thống kế toán và kiểm soát nội bộ không hiệu quả, KTV không được cung cấp đầy đủ cơ sở để đánh giá sự đầy đủ và mức hiệu quả của hệ thống kế toán và hệ thống kiểm soát nội bộ của khách hàng.
Trong kiểm toán BCTC, việc đánh giá rủi ro kiểm soát có ảnh hưởng trực tiếp đến việc xác định các phép thử nghiệm áp dụng. Trên cơ sở rủi ro tiềm tàng, rủi ro kiểm soát đã được đánh giá ban đầu, KTV tiến hành thiết kế các thử nghiệm cơ bản dự kiến phù hợp với mức rủi ro phát hiện để đạt được mức rủi ro kiểm toán như mong muốn. Nếu rủi ro kiểm soát được đánh giá ở mức tối đa (khi hệ thống kiểm soát nội bộ không hoạt động hoặc hoạt động không có hiệu lực, không phát hiện và ngăn chặn các gian lận và sai sót trọng yếu) thì KTV không thể dựa vào hệ thống kiểm soát nội bộ để giảm bớt các thử nghiệm cơ bản trên số dư và nghiệp vụ. Trong trường hợp này không cần thực hiện các thử nghiệm kiểm soát; Nếu rủi ro kiểm soát được đánh giá ở mức thấp hơn mức tối đa, KTV sẽ dựa vào hệ thống kiểm soát nội bộ của đơn vị để giảm bớt các thử nghiệm cơ bản trên số dư và nghiệp vụ.
Những kết quả thu được trong việc tìm hiểu hệ thống kiểm soát nội bộ, những nhận xét và đánh giá về rủi ro kiểm soát và việc thiết kế thử nghiệm cơ bản dự kiến của KTV phải được lưu lại trong hồ sơ kiểm toán.
Khi đánh giá rủi ro kiểm soát, rủi ro kiểm soát thường được dự kiến ở mức cao nhất có thể kể cả trường hợp đã hiểu thấu đáo về thiết kế và vận hành của hệ thống kiểm soát nội bộ. Để có thể sử dụng một mức rủi ro kiểm soát thấp hơn mức tối đa, KTV cần
phải bổ sung thêm những bằng chứng có được từ kết quả thực hiện các thử nghiệm kiểm soát.
Bước 3 : Thiết kế và thực hiện thử nghiệm kiểm soát (thử nghiệm tuân thủ)
Thử nghiệm kiểm soát là những thử nghiệm dùng để thu thập bằng chứng kiểm toán về sự hữu hiệu trong thiết kế và vận hành của hệ thống kiểm soát nội bộ. Yêu cầu trong thiết kế và vận hành của hệ thống kiểm soát nội bộ được thể hiện qua các mặt:
- Về thiết kế: Hệ thống kế toán và hệ thống kiểm soát nội bộ của đơn vị được thiết kế có khả năng ngăn ngừa, phát hiện và sửa chữa các sai sót trọng yếu;
- Về vận hành: Hệ thống kế toán và hệ thống kiểm soát nội bộ tồn tại và hoạt động hữu hiệu trong suốt niên độ kế toán.
Những thử nghiệm kiểm soát được sử dụng để kiểm tra sự hiện diện tính hữu hiệu của hệ thống kiểm soát nội bộ gồm: phỏng vấn, quan sát thực tế việc thực hiện chức năng, nhiệm vụ của những người thực hiện công việc kiểm soát; Kiểm tra tài liệu, chứng từ của các nghiệp vụ kinh tế và các sự kiện để thu thập bằng chứng về hoạt động hữu hiệu của hệ thống kiểm soát nội bộ; Quan sát việc áp dụng các thủ tục kiểm soát, thực hiện lại các thủ tục kiểm soát.
Ngoài các thử nghiệm kiểm soát, có thể thực hiện các thủ tục kiểm toán khác như thu thập bằng chứng thông qua việc thu thập thông tin và quan sát các hoạt động của hệ thống kiểm soát nội bộ này. Khi thiết kế các thử nghiệm kiểm soát, cần cân nhắc giữa loại bằng chứng cần thu thập và chi phí để thực hiện các thử nghiệm kiểm soát. Cần thu thập đầy đủ bằng chứng kiểm toán thích hợp để chứng minh cho việc đánh giá rủi ro kiểm soát ở mức độ không cao. Mức rủi ro kiểm soát đánh giá càng thấp thì cần nhiều bằng chứng chứng minh hệ thống kiểm soát nội bộ đã được thiết kế phù hợp và hoạt động hữu hiệu.
Bước 4: Đánh giá lại rủi ro kiểm soát và thay đổi những thử nghiệm cơ bản đã dự kiến.
Sau khi hoàn thành các thử nghiệm kiểm soát, dựa trên kết quả các thử nghiệm kiểm soát và các bằng chứng làm cơ sở cho việc đánh giá lại rủi ro kiểm soát, cần đánh giá lại rủi ro kiểm soát và xác định sự phù hợp giữa thiết kế và thực hiện của hệ thống kiểm soát nội bộ với đánh giá ban đầu về rủi ro kiểm soát. Việc đánh giá này cần phải dựa trên cơ sở cả số lượng và chất lượng của bằng chứng.
Kết quả khảo sát về hệ thống kiểm soát nội bộ được tổng hợp qua việc lập bảng đánh giá kiểm soát nội bộ hoặc các hình thức khác.
Trước khi đưa ra kết luận cuối cùng, cần chú ý xem xét nguyên nhân sai phạm. Kết quả của thử nghiệm kiểm soát cho biết sự phù hợp giữa mức rủi ro kiểm soát thực tế với mức đánh giá sơ bộ ban đầu. Qua đó điều chỉnh thời gian và phạm vi của các thử nghiệm cơ bản đã dự kiến trong chương trình kiểm toán. Thí dụ: Khi kết quả của các thử nghiệm kiểm soát cho thấy rủi ro kiểm soát thấp như mức đánh giá sơ bộ, KTV có quyền giữ nguyên kế hoạch kiểm toán ban đầu về các thử nghiệm cơ bản. Ngược lại, khi rủi ro kiểm soát cao hơn, cần tăng cường các thử nghiệm cơ bản hoặc mở rộng phạm vi thực hiện các thử nghiệm cơ bản.