1.2 Lý luận về hệ thống kiểm soát bội bộ
1.2.2 Báo cáo COSO 2004
1.2.2.1 Khái niệm hệ thống kiểm soát nội bộ
Năm 2001, COSO triển khai nghiên cứu hệ thống quản trị rủi ro doanh nghiệp (ERM – Enterprise Risk Managemant Framework). Dự thảo được hình thành và cơng bố vào tháng 7/2003, và đến năm 2004, COSO chính thức ban hành Khuôn khổ hợp nhất về quản trị rủi ro trong doanh nghiệp (ERM – Enterprise Risk Management – Intergrated Framework).
Báo cáo COSO 2004 đưa ra khái niệm KSNB dưới khía cạnh quản trị như sau:
“Hệ thống quản trị rủi ro doanh nghiệp (ERM - Enterprise Risk Management) - là một quá trình, chịu ảnh hưởng của hội đồng quản trị, Ban giám đốc và các nhân viên khác, được áp dụng trong việc xác định chiến lược liên quan đến toàn đơn vị và áp dụng cho tất cả các cấp độ trong toàn đơn vị, được thiết kế để nhận dạng các sự kiện tiềm tàng có thể ảnh hướng đến đơn vị, và quản trị rủi ro trong mức độ cho phép nhằm cung cấp một sự đảm bảo hợp lý đạt được các mục tiêu của tổ chức:
- Tầm nhìn chiến lược ( Strategic)
- Hoạt động hữu hiệu và hiệu quả (Operations) - Báo cáo tài chính đáng tin cậy (Reporting)
- Sự tuân thủ các luật lệ và quy định (Compliance)”
Các thành phần cấu thành nên hệ thống quản trị rủi ro doanh nghiệp - Enterprise Risk Management (ERM): gồm 8 thành tố:
- Môi trường nội bộ (Internal Enviroment) : bao gồm quan điểm của một tổ chức về cách thức quản trị rủi ro.
- Thiết lập mục tiêu (Objective Seting) : trên cơ sở mục tiêu của tổ chức, xác định các sự kiện tiềm tàng ảnh hưởng đến mục tiêu.
- Nhận diện các sự kiện (Event Identification) : Phân biệt cơ hội và rủi ro trong số các sự kiện xảy ra bên trong và ngồi tổ chức có thể ảnh hưởng đến mục tiêu của tổ chức.
- Đánh giá rủi ro (Risk assessment): nhằm xác định mức độ mà một sự kiện tiềm tàng có thể ảnh hưởng đến mục tiêu để quyết định cách ứng xử với rủi ro. Đánh giá rủi ro được tiến hành trên hai phương diện mức độ ảnh hưởng và khả năng xảy ra rủi ro. Ngoài ra, rủi ro được xem xét cả rủi ro tiềm tàng và rủi ro kiểm sốt.
- Đối phó rủi ro (Risk Response) : Sự lựa chọn cách thức đối phó với rủi ro: tránh né, giảm, chấp nhận và chia sẻ, trên cơ sở xem xét mối quan hệ lợi ích – chi phí, và mức độ rủi ro có thể chấp nhận.
- Các hoạt động kiểm soát (Control activities) : là các chính sách và thủ tục được thiết lập nhằm đảm bảo các biện pháp đối phó rủi ro được thực hiện hiệu quả.
- Thông tin và truyền thơng (Information and Communication): quản lý q trình ghi nhận, truyền đạt thơng tin, bao gồm cả hình thức và trình tự, giúp mọi cá nhân trong tổ chức hồn thành trách nhiệm của mình.
- Giám sát (Monitoring): toàn bộ hoạt động quản trị rủi ro cần được giám sát và điều chỉnh khi cần thiết. Giám sát được thực hiện thông qua hoạt động giám sát thường xuyên và giám sát định kỳ.