1.2 Tổng quan hệ thống kiểm soát nội bộ theo COSO 2004
1.2.2.2 Các yếu tố của COSO 2004
QTRR có nội dung rộng hơn so với KSNB và được phát triển thêm trên cơ
sở nội dung của KSNB. Ngoài ra QTRR cũng đề cập nhiều nội dung mới để nhìn nhận rủi ro một cách tồn diện hơn và để quản lý rủi ro một cách hiệu quả hơn.
1.2.2.2.1 Mơi trường quản lý:
KSNB nhìn nhận triết lý về quản lý của người điều hành là yếu tố hợp thành của môi trường quản lý. QTRR thì nhìn nhận quan điểm của nhà quản lý về rủi ro là yếu tố hợp thành của môi trường quản lý. Điều này cho thấy QTRR nhìn nhận rủi ro là tất yếu và khơng thể xố bỏ, cơng ty phải tính ln đến trong q trình hoạt động của mình. Trên quan điểm cho rằng khơng thể xóa bỏ được rủi ro, cơng ty xác định
mức rủi ro có thể chấp nhận cho tồn bộ cơng ty và cho từng cấp độ cụ thể để xây dựng các ngưỡng chịu đựng đối với rủi ro trong quá trình hoạt động của mình.
Việc xác định triết lý về rủi ro và xác định mức độ rủi ro có thể chấp nhận cũng giúp cơng ty xác định phương hướng chung trong việc ứng phó với rủi ro chứ không chỉ là tập trung xử lý những rủi ro cụ thể và ngắn hạn. Những nội dung này trong QTRR cụ thể như sau:
Triết lý của nhà quản lý về quản trị rủi ro: triết lý về QTRR là quan điểm,
nhận thức và thái độ của nhà quản lý đối với rủi ro, điều này tạo nên cách thức mà
công ty tiếp cận với rủi ro trong tất cả các hoạt động, từ phát triển chiến lược đến các hoạt động hàng ngày. Triết lý quản lý phản ánh những giá trị mà cơng ty theo
đuổi, tác động đến văn hố và cách thức công ty hoạt động, và ảnh hưởng đến việc
áp dụng các yếu tố khác của QTRR bao gồm cách thức nhận dạng rủi ro, các loại rủi ro được chấp nhận và cách thức quản lý chúng.
Rủi ro có thể chấp nhận: là mức độ rủi ro mà xét trên bình diện tổng thể,
cơng ty sẵn lịng chấp nhận để theo đuổi giá trị. Nó phản ánh triết lý về QTRR của nhà quản lý cấp cao, và ảnh hưởng đến văn hố, cách thức hoạt động của cơng ty.
Rủi ro có thể chấp nhận được xem xét khi cơng ty xác định các chiến lược, ở
đó lợi ích kỳ vọng của một chiến lược phải phù hợp với mức rủi ro có thể chấp nhận đã đề ra. Các chiến lược khác nhau sẽ dẫn đến những mức độ rủi ro khác nhau đối
với công ty, một khi mức rủi ro có thể chấp nhận được xác lập sẽ giúp ích cho nhà quản lý lựa chọn chiến lược nằm trong giới hạn chịu đựng đối với các loại rủi ro.
1.2.2.2.2 Thiết lập mục tiêu:
Báo cáo COSO năm 1992 không cho rằng việc thiết lập mục tiêu là nhiệm vụ của KSNB, tuy nhiên Báo cáo COSO năm 2004 cho rằng thiết lập mục tiêu là một bộ phận của đánh giá rủi ro và việc thiết lập các mục tiêu là điều kiện đầu tiên để
nhận dạng, đánh giá và phản ứng với rủi ro.
Các mục tiêu được thiết lập đầu tiên ở cấp độ mục tiêu chiến lược, từ đó
Các mục tiêu chiến lược: là những mục tiêu cấp cao của công ty, các mục
tiêu này phù hợp và ủng hộ cho sứ mạng mà công ty đã đề ra. Nó thể hiện sự lựa
chọn của nhà quản lý về cách thức công ty tạo lập giá trị cho chủ sở hữu của mình.
Các mục tiêu liên quan: là những mục tiêu cụ thể hơn so với mục tiêu chiến
lược và phù hợp với mục tiêu chiến lược đã được lập. Mặc dù các mục tiêu trong
công ty rất đa dạng, nhưng các mục tiêu liên quan đến các mục tiêu chiến lược bao gồm các mục tiêu về hoạt động, báo cáo và tuân thủ. Nội dung của các mục tiêu này tương tự như KSNB.
Mối quan hệ giữa sứ mạng, các mục tiêu và các mức rủi ro có thể chấp nhận
được thể hiện qua ví dụ ở hình 1.1 dưới đây:
Hình 1.1 Ví dụ về mối liên hệ giữa sứ mạng, các mục tiêu và rủi ro có thể chấp nhận của một cơng ty
1.2.2.2.3 Nhận dạng sự kiện tiềm tàng:
KSNB nhìn nhận sự kiện tiềm tàng là những sự kiện đe dọa đến việc thực
hiện mục tiêu của công ty. QTRR xem sự kiện tiềm tàng là sự kiện có khả năng tác
động đến việc thực hiện mục tiêu, không phân biệt là rủi ro hay cơ hội. Điều này
cho thấy QTRR xem xét hết các tình huống từ đó có thể tối đa hố việc tạo lập giá trị cho mọi tình huống trong tương lai. Ngồi ra, QTRR cũng xem xét các sự kiện tiềm tàng cụ thể và hệ thống hơn so với KSNB, cụ thể như sau:
Sự kiện tiềm tàng: là biến cố bắt nguồn từ bên trong hoặc bên ngồi cơng ty
hưởng tích cực hoặc tiêu cực đến cơng ty và có thể cả hai. Các yếu tố ảnh hưởng: khi xem xét các sự kiện tiềm tàng cần xác định các yếu tố ảnh hưởng đến việc thực hiện mục tiêu của công ty. Các yếu tố ảnh hưởng bao gồm các yếu tố bên ngồi
như: mơi trường kinh tế, mơi trường tự nhiên, các yếu tố chính trị, xã hội…và các yếu tố bên ngoài như: cơ sở vật chất, nhân sự, các chu trình…
Sự tương tác lẫn nhau giữa các sự kiện: các sự kiện liên quan đến công ty
thường không xuất hiện độc lập mà có sự tương tác lẫn nhau. Một sự kiện xuất hiện có thể tạo ra, tác động đến một sự kiện khác và các sự kiện có thể xuất hiện đồng
thời.
Phân biệt cơ hội và rủi ro: sự kiện tiềm tàng nếu xuất hiện sẽ tác động tiêu
cực hoặc tích cực đến cơng ty hoặc tác động cả hai. Nếu sự kiện có tác động tiêu
cực, đe dọa nguy cơ đạt được mục tiêu của cơng ty, thì địi hỏi cơng ty phải đánh
giá rủi ro và phản ứng với rủi ro. Nếu sự kiện có tác động tích cực đến công ty, làm thuận lợi việc thực hiện mục tiêu của công ty hoặc tạo giá trị cho cơng ty, thì phải
được xem xét trở lại đối với các chiến lược đã được xây dựng.
Trong một số trường hợp sự kiện tiềm tàng có liên hệ trực tiếp và cụ thể đến các mục tiêu của cơng ty. Ví dụ về nhận dạng sự kiện tiềm tàng ở Bảng 1.3 dưới
đây cho chúng ta thấy rõ hơn sự liên hệ này.
Bảng 1.3 Ví dụ về nhận dạng các sự kiện tiềm tàng
Sứ mạng Trở thành một nhà sản xuất về dụng cụ gia đình trong thị trường tham gia Mục tiêu chiến lược Trở thành 1 trong 4 công ty dẫn đầu về
thị phần trong thị trường mà công ty
đang hoạt động.
Các mục tiêu liên quan • Tuyển dụng 180 nhân viên có chất lượng cho bộ phận sản xuất
• Duy trì chi phí lao động ở mức 22%
Đo lường việc thực hiện mục tiêu • Số lượng nhân viên có chất lượng
được tuyển dụng.
• Chi phí lao động cho mỗi đơn hàng Các mức rủi ro có thể chấp nhận • 165 – 200 nhân viên có chất lượng
được tuyểsn dụng.
• Chi phí lao động cho mỗi đơn hàng
chiếm từ 20 – 23%. Sự kiện tiềm tàng/ rủi ro và sự tác động
liên quan
• Cầu lao động tăng, công ty tuyển dụng
được nhiều lao động.
• Cầu lao động giảm, cơng ty tuyển
dụng ít lao động hơn so với dự kiến. • Tuyển dụng các lao động không đảm
bảo về chất lượng.
1.2.2.2.4 Đánh giá rủi ro:
QTRR cung cấp cách thức về chu trình và những kỹ thuật cụ thể để đánh giá rủi ro. Trên cơ sở đó, cơng ty có thể đánh giá cụ thể sự tác động của các sự kiện
tiềm tàng và do đó xem xét những cách thức phản ứng phù hợp. Việc đánh giá rủi ro bao gồm các nội dung sau:
Rủi ro tiềm tàng và rủi ro kiểm soát: rủi ro tiềm tàng là rủi ro do thiếu các
hoạt động của công ty nhằm thay đổi khả năng hoặc sự tác động của các rủi ro đó. Rủi ro kiểm sốt là rủi ro vẫn cịn tồn tại sau khi cơng ty đã phản ứng với rủi ro.
Công ty cần phải xem xét cả rủi ro tiềm tàng và rủi ro kiểm soát, đầu tiên là xem xét các rủi ro tiềm tàng, sau đó khi đã có phương án phản ứng với rủi ro tiềm tàng thì
tiếp tục xem xét đến rủi ro kiểm soát.
Ước lượng khả năng và ảnh hưởng: các sự kiện tiềm tàng phải được đánh giá
trên hai khía cạnh: khả năng xảy ra và mức độ tác động của nó. Những sự kiện mà
xét. Ngược lại, các sự kiện với khả năng xuất hiện cao và tác động lớn thì cần phải xem xét kỹ càng. Các sự kiện nằm giữa hai thái cực này đòi hỏi sự đánh giá phức tạp, điều quan trọng là phải phân tích kỹ lưỡng và hợp lý.
Để đo lường khả năng xuất hiện một sự kiện, có thể dùng các chỉ tiêu định
tính như cao, trung bình, thấp hoặc các cấp độ chi tiết khác. Hoặc có thể dùng chỉ tiêu định lượng như: tỷ lệ xuất hiện, tần suất xuất hiện,..
Kỹ thuật đánh giá rủi ro: công ty thường sử dụng kết hợp các kỹ thuật định
lượng và định tính khi đánh giá rủi ro. Kỹ thuật định tính được sử dụng khi rủi ro
không thể định lượng được, hoặc khi dữ liệu đầu vào không đủ tin cậy hoặc khơng tương xứng với chi phí để định lượng. Kỹ thuật định lượng được sử dụng cho những hoạt động phức tạp của công ty và thường phải sử dụng các mơ hình tốn học, cho kết quả chính xác hơn so với kỹ thuật định tính. Bảng 1.4 dưới đây cung cấp một ví dụ về kỹ thuật định lượng:
Bảng 1.4 Các kỹ thuật định lượng để đánh giá rủi ro
So sánh: So sánh các chu trình giữa các cơng ty trong ngành hoặc giữa các ngành
với nhau, bằng cách đánh giá các sự kiện hay chu trình cụ thể đối với từng cơng ty, sau đó so sánh kết quả
Mơ hình xác suất: Xác định tác động của sự kiện tại các xác suất khác nhau. Sau
đó, xác định sự tác động tương ứng với các độ tin cậy khác nhau.
Mơ hình phi xác suất: Đưa ra các giả định về việc đạt mục tiêu và đánh giá các
rủi ro tương ứng mà không sử dụng các chỉ tiêu định lượng để đánh giá khả năng sự kiện có thể xảy ra.
Sự liên hệ giữa các sự kiện: đối với những sự kiện độc lập với nhau thì cơng
ty đánh giá các sự kiện một cách độc lập. Nhưng nếu có sự liên hệ giữa các sự kiện hoặc các sự kiện cùng kết hợp lại với nhau sẽ tạo nên những tác động lớn thì cơng ty phải đánh giá được tác động tổng hợp đó.
Khi rủi ro tác động đến nhiều bộ phận, công ty kết hợp các rủi ro đó trong
danh sách các sự kiện và xem xét trước hết sự tác động đến từng bộ phận, sau đó