1.2. Hệ thống kiểm soát nội bộ COSO
1.2.2.2. Đánh giá rủi ro
Đánh giá rủi ro là bộ phận thứ hai của HTKSNB. Rủi ro là những nguy cơ làm cho mục tiêu của tổ chức không được thực hiện. Kinh doanh là chấp nhận rủi ro. Dù cho quy mơ, cấu trúc, loại hình hay vị trí địa lý khác nhau, mọi tổ chức đều có rủi ro. Rủi ro phát sinh từ các nguồn bên ngoài lẫn bên trong của tổ chức, nên cần phải đánh giá và phân tích rủi ro, kể cả các rủi ro hiện hữu lẫn tiềm ẩn.
Vấn đề quan trọng của quản lý luôn là quyết định rằng rủi ro nào có thể chấp nhận và phải làm gì để quản lý và giảm thiểu tác hại của chúng. Nội dung của đánh giá rủi ro bao gồm:
Thiết lập mục tiêu của doanh nghiệp: thiết lập mục tiêu thực ra không phải là bộ phận của kiểm soát nội bộ nhưng là điều kiện tiên quyết, là cơ sở quan trọng để đánh giá rủi ro. Một sự kiện chỉ được xem là rủi ro nếu nó đe dọa việc đạt được các mục tiêu của doanh nghiệp. Do đó, mục tiêu phải được đề ra thì Nhà quản lý mới có thể nhận dạng rủi ro và có những hành động cần thiết để quản lý chúng.
Nhận dạng và phân tích rủi ro: nhận dạng rủi ro được thực hiện thông qua việc xem xét các nhân tố bên ngoài và bên trong doanh nghiệp ảnh hưởng trực tiếp đến các hoạt động của doanh nghiệp. Phân tích rủi ro bao gồm việc xem xét tầm quan trọng và khả năng xảy ra rủi ro, từ đó cân nhắc việc đối phó với rủi ro, quản lý và giảm thiểu tác hại của chúng. Phương pháp phân tích rủi ro rất đa dạng và phong phú bởi vì có nhiều loại rủi ro rất khó định lượng.
Một HTKSNB hữu hiệu cần có khả năng đánh giá các rủi ro. Một trong những tiền đề quan trọng của việc đánh giá rủi ro là phải xác định được mục tiêu của doanh nghiệp, bởi vì, một sự kiện chỉ là rủi ro nếu nó đe dọa đến mục tiêu của doanh nghiệp và mức trọng yếu của nó tùy thuộc vào mức độ nó có thể tác động xấu đến các mục tiêu của tổ chức.
1.2.2.3. Hoạt động kiểm soát
Hoạt động kiểm sốt là những chính sách, thủ tục để đảm bảo cho các chỉ thị của Nhà quản lý được thực hiện. Các chính sách và thủ tục này thúc đẩy các hoạt động cần thiết để giảm thiểu những rủi ro của doanh nghiệp và tạo điều kiện cho các mục tiêu đề
ra được thực thi nghiêm túc, hiệu quả trong toàn doanh nghiệp. Các hoạt động kiểm soát chủ yếu trong tổ chức:
Phân chia trách nhiệm: là việc phân công phân nhiệm cho các thành viên trong tổ chức. Đồng thời nguyên tắc bất kiêm nhiệm cũng cần phải được đảm bảo trong kiểm sốt nội bộ. Chính vì thế, khơng một bộ phận hay cá nhân nào được giao thực hiện công việc từ lúc bắt đầu đến khi kết thúc, không một cá nhân nào được thực hiện hơn một trong các chức năng: phê chuẩn, thực hiện, ghi chép và bảo vệ tài sản. Mục đích của phân chia trách nhiệm là tạo ra sự kiểm soát lẫn nhau ngay trong quá trình tác nghiệp, nhanh chóng phát hiện sai sót và giảm thiểu hành vi gian lận trong quá trình thực hiện.
Kiểm sốt q trình xử lý thơng tin và các nghiệp vụ: để thơng tin kế tốn đáng tin cậy cần phải thực hiện nhiều hoạt động kiểm sốt nhằm kiểm tra tính xác thực, đầy đủ và việc phê chuẩn các nghiệp vụ.
Kiểm soát vật chất: tài sản của một doanh nghiệp bao gồm tiền, hàng hóa, máy móc thiết bị và thơng tin. Bảo vệ tài sản là ngăn chặn sự mất mát, tham ơ, lãng phí hoặc sử dụng sai mục đích.
Kiểm tra độc lập việc thực hiện: là việc kiểm tra được tiến hành bởi các cá nhân khác với cá nhân đang thực hiện nghiệp vụ. Nhu cầu kiểm tra độc lập xuất phát từ HTKSNB thường có khuynh hướng bị giảm sút tính hữu hiệu trừ khi có một cơ chế thường xuyên kiểm tra sốt xét lại.
Phân tích sốt xét: là sự so sánh giữa hai số liệu từ những nguồn khác nhau, qua đó xác định những sai biệt cần quan tâm và xử lý. Mục đích của thủ tục này là phát hiện những biến động bất thường, nhanh chóng tìm hiểu ngun nhân và đề ra các biện pháp xử lý kịp thời.
1.2.2.4. Thông tin và truyền thông
Thông tin và truyền thơng gồm hai thành phần gắn kết với nhau. Đó là hệ thống thu thập, xử lý, ghi chép thông tin và hệ thống báo cáo thông tin bên trong nội bộ và bên ngồi.
Thơng tin cần thiết cho mọi cấp trong doanh nghiệp để sản xuất kinh doanh và thỏa mãn các mục tiêu về hoạt động kinh doanh, báo cáo tài chính và tính tuân thủ. Mọi thông tin được sử dụng trong doanh nghiệp có mối liên hệ chặt chẽ với nhau.
Chất lượng thông tin ảnh hưởng đến khả năng của Nhà quản lý để ra quyết định và kiểm sốt hoạt động của doanh nghiệp. Chất lượng thơng tin chỉ ra sự đầy đủ các dữ liệu thích hợp trong báo cáo.
Doanh nghiệp cần thực hiện thu thập thông tin bên trong và bên ngồi doanh nghiệp, sau đó cung cấp cho Nhà quản lý những báo cáo cần thiết về kết quả hoạt động liên quan đến các mục tiêu được đề ra của doanh nghiệp. Các thông tin thu thập được phải đầy đủ, thích hợp và phải được cung cấp kịp thời đến người có trách nhiệm để thực hiện nhiệm vụ một cách hiệu quả.
Việc cải tiến và phát triển hệ thống thông tin phải dựa vào kế hoạch chiến lược liên quan đến toàn bộ chiến lược của doanh nghiệp và đáp ứng các mục tiêu ngày càng phát triển.
Truyền thơng là thuộc tính vốn có của hệ thống thơng tin. Truyền thông là việc cung cấp thông tin trong đơn vị (từ cấp trên xuống cấp dưới, từ cấp dưới lên cấp trên, hoặc giữa các bộ phận có quan hệ hàng ngang) và với bên ngồi. Kiểm sốt nội bộ là hữu hiệu khi các thông tin trung thực, đáng tin cậy và q trình truyền thơng được thực hiện chính xác, kịp thời.
Các phương tiện dùng trong truyền thông rất đa dạng như: bản chỉ dẫn thực hiện, thư báo, thơng báo, băng hình, truyền miệng qua các kỳ họp, các buổi hội thảo. Một phương tiện truyền thông khác có tác động mạnh là hành động của những Nhà quản lý. 1.2.2.5. Giám sát
Giám sát là một quá trình đánh giá chất lượng của HTKSNB trong suốt thời kì hoạt động để có các điều chỉnh và cải tiến thích hợp. Giám sát có một vai trị quan trọng, nó giúp kiểm sốt nội bộ ln duy trì sự hữu hiệu qua các thời kì khác nhau. Quá trình giám sát được thực hiện bởi những người có trách nhiệm nhằm đánh giá việc thiết lập và thực hiện các thủ tục kiểm sốt.
Giám sát thường xun diễn ra ngay trong q trình hoạt động của doanh nghiệp, do các Nhà quản lý và nhân viên thực hiện trách nhiệm của mình. Giám sát thường xuyên thường được áp dụng cho những yếu tố quan trọng trong kiểm soát nội bộ.
Đánh giá định kì được thực hiện thơng qua chức năng kiểm toán nội bộ và kiểm tốn độc lập. Qua đó phát hiện kịp thời những yếu kém trong hệ thống và đưa ra biện pháp hoàn thiện. Phạm vi và tần suất giám sát phụ thuộc vào mức độ rủi ro. Khả năng xảy ra rủi ro cao thì việc giám sát sẽ thực hiện thường xuyên hơn.
Việc đánh giá HTKSNB tự bản thân nó cũng là một quy trình. Người đánh giá phải am hiểu mọi hoạt động của HTKSNB, phải xác định được làm thế nào để hệ thống thực sự hoạt động.
Mọi hoạt động ln tồn tại những thiếu sót. Một trong những nguồn thơng tin tốt nhất để kiểm sốt những thiếu sót của báo cáo chính là HTKSNB. Hệ thống kiểm sốt nội bộ thiết lập phải phát hiện ra các sai sót và phải có cơ chế báo cáo cho người có trách nhiệm quản lý.
1.2.3. Sự thay đổi tất yếu của khuôn mẫu COSO - 1992
Trong hơn 20 năm kể từ ngày ban hành khuôn mẫu đầu tiên, môi trường kinh doanh và hoạt động đã thay đổi đáng kể, ngày càng trở nên phức tạp, kỹ thuật công nghệ được thúc đẩy và việc tồn cầu hóa khiến các bên liên quan tham gia đang tìm kiếm sự minh bạch và trách nhiệm giải trình cho tính hữu hiệu của HTKSNB để hỗ trợ cho các quyết định quản trị và kinh doanh của tổ chức. Vì vậy COSO đã cập nhật khn mẫu hệ thống kiểm sốt nội bộ 3 vào ngày 14 tháng 05 năm 2013, cho phép các tổ chức hoạt động hiệu quả và phát triển duy trì hiệu quả HTKSNB, có thể nâng cao khả năng đạt được mục tiêu của tổ chức và thích ứng với những thay đổi trong môi trường kinh doanh và hoạt động.
Khuôn mẫu cập nhật vẫn giữ lại nét chính của HTKSNB và 5 bộ phận hợp thành. Yêu cầu xem xét 5 bộ phận hợp thành để đánh giá hiệu quả của HTKSNB vẫn không thay đổi về cơ bản. Khuôn mẫu cập nhật tiếp tục nhấn mạnh tầm quan trọng của việc
3
xử lý khéo léo khi thiết kế thực hiện và tiến hành kiểm sốt nội bộ và trong việc đánh giá tính hiệu quả của HTKSNB.
Khuôn mẫu được cải tiến với mục đích là làm rõ để dễ dàng sử dụng hơn, một trong những cải tiến đáng kể là chính thức hóa các khái niệm thành 17 nguyên tắc được liên kết với 5 bộ phận hợp thành. Những nguyên tắc này được rút ra trực tiếp từ các bộ phận hợp thành, một tổ chức có thể đạt được kiểm sốt nội bộ hiệu quả bằng cách áp dụng tất cả các nguyên tắc này. Tất cả các nguyên tắc áp dụng cho các hoạt động, báo cáo, và các mục tiêu phù hợp, và hỗ trợ các bộ phận hợp thành của kiểm soát nội bộ.
Bảng 1-2: Tóm tắt các nguyên tắc của hệ thống kiểm soát nội bộ hiệu quả
Các bộ phận Các nguyên tắc
Mơi trƣờng kiểm sốt
1. Nêu cam kết về sự trung thực và giá trị đạo đức. 2. Thực hiện trách nhiệm giám sát.
3. Thiết lập cơ cấu, ủy quyền và trách nhiệm. 4. Nêu cam kết về năng lực.
5. Thúc đẩy trách nhiệm giải trình.
Đánh giá rủi ro
6. Chỉ ra các mục tiêu thích hợp. 7. Nhận dạng và phân tích rủi ro. 8. Đánh giá rủi ro gian lận.
9. Nhận dạng và phân tích các thay đổi quan trọng.
Hoạt động kiểm sốt
10. Chọn lựa và phát triển các hoạt động kiểm soát. 11. Chọn lựa và phát triển các hoạt động kiểm soát
chung về kỹ thuật.
12. Triển khai các chính sách và quy trình.
Thơng tin và truyền thơng
13. Sử dụng các thơng tin thích hợp. 14. Truyền thông nội bộ.
15. Truyền thơng với bên ngồi.
Giám sát 16. Thực hiện đánh giá liên tục và định kỳ.
17. Đánh giá và truyền thông về kết quả.
Ngồi ra khn mẫu cịn phản ánh nhiều thay đổi trong môi trường kinh doanh và hoạt động trong nhiều thập kỷ qua, bao gồm:
Mong đợi về giám sát quản trị;
Tồn cầu hóa thị trường và các hoạt động;
Những thay đổi phức tạp hơn trong hoạt động kinh doanh;
Các yêu cầu và sự phức tạp trong Luật pháp, quy tắc, quy định và chuẩn mực; Mong đợi về năng lực và trách nhiệm;
Sự tin tưởng vào phát triển công nghệ;
Mong đợi liên quan đến ngăn ngừa và phát hiện gian lận.
Tuy nhiên, khuôn mẫu cập nhật cũng nhận ra rằng kiểm soát nội bộ chỉ cung cấp đảm bảo hợp lý để đạt được mục tiêu của tổ chức, khơng thể ngăn chặn những phán đốn hoặc những quyết định sai lầm hoặc các sự kiện bên ngồi có thể làm tổ chức khơng thể đạt được mục tiêu, dẫn đến vẫn cịn các hạn chế do kết quả của:
Sự phù hợp của việc thiết lập mục tiêu;
Khó ngăn cản được gian lận và sai sót của Nhà quản lý cấp cao. Khi Nhà quản lý cấp cao cố tình gian lận, họ có thể tìm cách bỏ qua các thủ tục kiểm soát cần thiết;
Con người là nhân tố gây ra sai sót từ những hạn chế xuất phát từ bản thân như vô ý, bất cẩn, sao lãng, đánh giá hay ước lượng sai…;
Gian lận cũng có thể xảy ra do sự thông đồng giữa các nhân viên trong tổ chức với nhau hoặc với bên ngồi;
Hoạt động kiểm sốt chỉ tập trung vào các sai phạm dự kiến, do đó khi xảy ra các sai phạm bất thường thì thủ tục kiểm sốt trở nên kém hữu hiệu thậm chí vơ hiệu; Chi phí thực hiện hoạt động kiểm soát phải nhỏ hơn giá trị thiệt hại ước tính do sai sót hay gian lận gây ra;
Sự kiện nằm ngoài tầm kiểm sốt của tổ chức.
Tóm lại, kiểm sốt nội bộ cung cấp một sự đảm bảo hợp lý chứ không phải đảm bảo tuyệt đối các mục tiêu được thực hiện. Kiểm sốt nội bộ chỉ có thể ngăn ngừa và phát hiện những sai sót, gian lận nhưng khơng thể đảm bảo là chúng không xảy ra.
Chính vì vậy, một HTKSNB hữu hiệu đến đâu cũng đều tồn tại những rủi ro nhất định. Vấn đề là Nhà quản lý đã nhận biết, đánh giá và giới hạn chúng trong mức độ chấp nhận được.
1.3. Hệ thống kiểm sốt nội bộ - BASEL 4
1.3.1. Q trình hình thành
Thập niên 1990 là thời kỳ mà rất nhiều ngân hàng lớn, thậm chí lâu đời trên thế giới lâm vào tình trạng khủng hoảng và tổn thất. Trong đó, phải kể đến những sự thất bại của nhiều ngân hàng mà nguyên nhân bắt nguồn từ sự yếu kém của HTKSNB, dẫn đến các rủi ro nghiêm trọng ảnh hưởng đến hoạt động của tổ chức, thậm chí phá sản.
Trước tình trạng nhiều ngân hàng trên thế giới bị những tổn thất đáng kể trong hoạt động kinh doanh, Ủy ban BASEL cùng với các Thanh tra ngân hàng từ nhiều nơi trên thế giới đã tổ chức các cuộc nghiên cứu, khảo sát và kết quả đã chỉ ra rằng những tổn thất này nguyên nhân là do ngân hàng đã khơng duy trì được một HTKSNB có hiệu quả có thể ngăn chặn tổn thất hoặc có thể phát hiện sớm những dấu hiệu có thể dẫn đến những tổn thất.
Để có thêm tài liệu về vấn đề kiểm sốt hoạt động ngân hàng và tăng cường kiểm sốt thơng qua việc hướng dẫn và khuyến khích thực hành quản lý rủi ro, tháng 09/1998, Ủy ban BASEL đã phát hành tài liệu khn mẫu cho hệ thống kiểm sốt nội bộ trong các ngân hàng 5. Khn mẫu kiểm sốt nội bộ trong tài liệu này được thiết kế cho các ngân hàng quốc tế. Nội dung hướng dẫn nhất quán với báo cáo của COSO về kiểm soát nội bộ đã được áp dụng tại các ngân hàng lớn của Hoa Kỳ 6.
1.3.2. Các nguyên tắc đánh giá hệ thống kiểm soát nội bộ 7
4 Ủy ban BASEL về hoạt động giám sát ngân hàng (Basle Committee on Banking Supervision) là một ủy ban gồm nhiều quan chức thanh tra ngân hàng do các Thống đốc Ngân hàng Trung ương của 10 quốc gia thành lập vào năm 1975. Ủy ban này gồm những đại diện cao cấp của các cơ quan Thanh tra ngân hàng và Ngân hàng Trung ương của Bỉ, Canada, Pháp, Đức, Ý, Nhật, Luxembourg, Hà Lan, Thụy Điển, Vương quốc Anh, Hoa Kỳ.
5 Nguồn: Basle Committee on Banking Supervision, 1998. Framework for Internal Control System in Banking Oganisations.
6 Nguồn: Basle Committee on Banking Supervision, 1998. Framework for The Evaluation of Internal Control System.
7 Nguồn: Basle Committee on Banking Supervision, 1998. Framework for Internal Control System in Banking Oganisations – Principles for the Assessment of Internal Control Systems.
Theo báo cáo của Ủy ban BASEL 1998, hệ thống kiểm soát nội bộ trong hoạt động ngân hàng hiệu quả bao gồm 13 nguyên tắc để giúp cơ quan giám sát đánh giá hệ thống kiểm sốt nộ bộ ngân hàng, đó là các ngun tắc về:
Sự giám sát của nhà quản lý và văn hóa kiểm sốt; Ghi nhận và đánh giá rủi ro;
Các hoạt động kiểm soát và phân chia trách nhiệm;