CHƯƠNG 1: CƠ SỞ LÝ LUẬN VỀ ĐÁNH GIÁ HỆ THỐNG KIỂM SOÁT NỘI BỘ TẠI CÁC NGÂN HÀNG THƯƠNG MẠI TRONG KIỂM TOÁN BÁO CÁO TÀI CHÍNH CỦA KIỂM TOÁN ĐỘC LẬP
1.2. Những vấn đề cơ bản trong hoạt động kiểm toán báo cáo tài chính do kiểm toán độc lập thực hiện
1.2.2. Quy trình kiểm toán báo cáo tài chính Ngân hàng thương mại
Dựa trên nội dung của Quyết định số 11/2017/QĐ-KTNN Quy trình kiểm toán báo cáo tài chính các tổ chức Tài chính, Ngân hàng đã được ban hành năm 2017, việc thực hiện quy trình kiểm toán báo cáo tài chính tại Ngân hàng thương mại về cơ bản được thực hiện theo 4 giai đoạn được trình bày ở Sơ đồ 1.3
Sơ đồ 1.3: Quy trình kiểm toán Báo cáo tài chính
Có thể thấy rằng, ngay từ giai đoạn đầu tiên của hoạt động kiểm toán báo cáo tài chính, việc đánh giá hệ thống kiểm soát nội bộ mang ý nghĩa vô cùng to lớn và quan trọng. Ở giai đoạn 1, việc đánh giá hệ thống kiểm soát nội bộ sẽ là cơ sở để kiểm toán viên thiết lập toàn bộ kế hoạch kiểm toán về số lượng thủ tục kiểm toán áp dụng, số lượng mẫu sẽ chọn, thời gian kiểm toán và nhân sự. Giai đoạn này, kiểm toán viên bắt buộc phải xác định được các rủi ro để có thể thiết lập một chương trình kiểm toán hiệu quả. Việc đạt được mục tiêu hiểu được hoạt động của Ngân hàng để có thể đánh giá được hệ thống kiểm soát nội bộ sẽ được thực hiện bởi các kiểm toán viên chủ chốt của cuộc kiểm toán thực hiện do sự phức tạp trong hoạt động của khách hàng và cần kinh nghiệm, chuyên môn vững vàng. Chính hệ thống kiểm soát nội bộ của Ngân hàng sẽ là yếu tố quyết định hoạt động của Ngân hàng có tồn tại nhiều rủi ro không, hoạt động có an toàn trên toàn cấp độ Ngân hàng không và cuối cùng là các kiểm soát có ngăn ngừa được rủi ro không, và ngăn ngừa
ở mức độ nào. Điều này cho thấy quy trình đánh giá hệ thống kiểm soát nội bộ Ngân hàng thương mại thật sự quan trọng trong việc quyết định chất lượng của một cuộc kiểm toán.
1.2. Quy trình đánh giá hệ thống kiểm soát nội bộ Ngân hàng thương mại trong hoạt động kiểm toán Báo cáo tài chính do kiểm toán độc lập thực hiện
Dựa trên cơ sở nội dung chuẩn mực kiểm toán Việt Nam (VSA) số 315;
Chuẩn mực kiểm toán quốc tế (ISA) số 315; và Quyết định số 11/2017/QĐ-KTNN Quy trình kiểm toán các tổ chức Tài chính, Ngân hàng do Kiểm toán Nhà nước ban hành, quy trình đánh giá hệ thống kiểm soát nội bộ của một Ngân hàng được trình bày ở Bảng 1.1.
Bảng 1.1. Tóm tắt quy trình đánh giá hệ thống kiểm soát nội bộ tại Ngân hàng thương mại
Giai đoạn 1:
Tìm hiểu về Ngân hàng được kiểm toán
Giai đoạn 2:
Đánh giá rủi ro kiểm soát
Giai đoạn 3:
Thực hiện thử nghiệm kiểm soát
Giai đoạn 4:
Báo cáo về đánh giá kiểm soát nội bộ Các hoạt
động chính
Kiểm toán viên tập trung tìm hiểu các nội dung mang tính chủ yếu sau đây:
- Thông tin về cơ cấu tổ chức của Ngân hàng;
- Chính sách kế toán Ngân hàng áp dụng;
- Tìm hiểu về việc áp dụng 5 cấu phần của hệ thống kiểm soát nội bộ theo COSO bao gồm (môi trường kiểm soát;
quy trình đánh giá rủi ro; Hoạt động kiểm soát; Hệ thống thông tin và truyền thông; và Giám sát kiểm soát.
Kiểm toán viên phải xác định được các nội dung sau đây:
- Nhận diện các mục tiêu kiểm soát đã đề ra của Ngân hàng;
- Nhận diện các kiểm soát đặc thù có ảnh hưởng lớn đến việc thỏa mãn mục tiêu kiểm soát của Ngân hàng;
- Nhận diện và đánh giá nhược điểm của kiểm soát nội bộ (nhược điểm là sự vắng mặt của các kiểm soát thích đáng mà điều này sẽ làm tăng khả năng rủi ro của các sai phạm trên báo cáo tài chính).
- Thực hiện thủ tục Walk-through sau khi đã đạt được sự hiểu biết về Ngân hàng được kiểm toán và môi trường của Ngân hàng, trong đó có hệ thống kiểm soát nội bộ;
- Đánh giá tính hiệu lực của kiểm soát nội bộ;
- Đánh giá thái độ của Ban Giám đốc trong việc hợp tác khắc phục các nhược điểm, các vấn đề còn tồn tại trong quy trình hoạt động, quản lý của Ngân hàng;
- Kiến nghị để khắc phục các nhược điểm trong kiểm soát nội bộ của Ngân hàng được kiểm toán.
Các thủ tục kiểm toán được áp dụng
- Phỏng vấn;
- Quan sát, điều tra;
- Thủ tục phân tích; và - Thu thập thông tin.
- Thông tin thu thập từ cuộc kiểm toán trước;
- Thủ tục phân tích;
- Quan sát, điều tra.
- Sử dụng lưu đồ trong việc mô tả lại quy trình sau khi thực hiện thử nghiệm kiểm soát;
- So sánh giữa quy trình nghiệp vụ thực tế và lý thuyết.
1.4. Đánh giá kiểm soát nội bộ trong môi trường công nghệ thông tin 1.4.1. Khái quát về kiểm soát nội bộ trong môi trường công nghệ thông tin
Kiểm soát nội bộ của Ngân hàng bao gồm các yếu tố thủ công và các yếu tố tự động. Đặc điểm của các yếu tố thủ công và các yếu tố tự động có liên quan đến việc đánh giá rủi ro của kiểm toán viên cũng như các thủ tục kiểm toán tiếp theo dựa trên kết quả đánh giá đó. Việc sử dụng các yếu tố thủ công hay tự động trong kiểm soát nội bộ cũng ảnh hưởng đến cách thức tạo lập, ghi chép, xử lý và báo cáo các giao dịch:
- Các kiểm soát thủ công có thể bao gồm thủ tục phê duyệt, rà soát các giao dịch, đối chiếu và theo dõi các khoản đối chiếu đó. Ngoài ra, Ngân hàng có thể sử dụng các kiểm soát tự động để tạo lập, ghi chép, xử lý và báo cáo các giao dịch theo dạng điện tử để thay thế các tài liệu bằng giấy.
- Các kiểm soát trong hệ thống công nghệ thông tin là sự kết hợp cả kiểm soát tự động (ví dụ: các kiểm soát được thiết kế trong các chương trình máy tính) và kiểm soát thủ công. Ngoài ra, các kiểm soát thủ công có thể độc lập với công nghệ thông tin, có thể sử dụng các dữ liệu từ hệ thống công nghệ thông tin, hoặc có thể giới hạn trong việc giám sát tính hữu hiệu của công nghệ thông tin, tính hữu hiệu của các kiểm soát tự động và để giải quyết các tình huống ngoại lệ. Khi sử dụng công nghệ thông tin để tạo lập, ghi chép, xử lý và báo cáo các giao dịch hay các dữ liệu tài chính khác để đưa vào báo cáo tài chính, các hệ thống và chương trình phần mềm có thể gồm các kiểm soát liên quan tới các cơ sở dẫn liệu tương ứng đối với các tài khoản trọng yếu, hoặc mang tính quyết định đối với hoạt động hữu hiệu của các kiểm soát thủ công có sự phụ thuộc vào công nghệ thông tin.
1.4.2. Đặc điểm kiểm soát nội bộ của Ngân hàng được kiểm toán trong môi trường công nghệ thông tin
Nhìn chung, công nghệ thông tin mang lại nhiều lợi ích cho kiểm soát nội bộ.
Công nghệ thông tin giúp cho Ngân hàng có khả năng:
- Áp dụng nhất quán các quy tắc hoạt động đã đề ra, thực hiện được các tính toán phức tạp khi xử lý khối lượng giao dịch và dữ liệu lớn;
- Nâng cao tính kịp thời, tính sẵn có và độ chính xác của thông tin;
- Tạo điều kiện thuận tiện cho việc phân tích thông tin;
- Nâng cao khả năng giám sát hoạt động của Ngân hàng, cũng như giám sát các chính sách và thủ tục của Ngân hàng;
- Giảm nguy cơ các kiểm soát bị vô hiệu hóa;
- Nâng cao khả năng đạt được hiệu quả trong việc phân chia nhiệm vụ, bằng cách áp dụng các kiểm soát an ninh trong các chương trình ứng dụng, cơ sở dữ liệu và trong các hệ điều hành.
Bên cạnh những lợi ích mang lại thì việc áp dụng công nghệ thông tin cũng có thể mang đến những rủi ro cụ thể cho kiểm soát nội bộ của Ngân hàng như:
- Tin cậy vào hệ thống hoặc chương trình trong khi hệ thống, chương trình lại xử lý không chính xác dữ liệu hoặc sử dụng dữ liệu không chính xác để xử lý, hoặc cả hai tình huống;
- Việc truy cập dữ liệu trái phép có thể dẫn đến dữ liệu bị xóa hoặc bị thay đổi, bao gồm hạch toán các giao dịch không đúng thẩm quyền, hạch toán các giao dịch không có thật, hoặc hạch toán các giao dịch không chính xác. Các rủi ro này gia tăng khi có nhiều người sử dụng truy cập vào một cơ sở dữ liệu chung;
- Khả năng nhân viên phụ trách hệ thống công nghệ thông tin có được đặc quyền truy cập nhiều hơn mức cần thiết so với nhiệm vụ được giao, do đó phá vỡ sự phân nhiệm;
- Những thay đổi trái phép dữ liệu gốc;
- Những thay đổi trái phép hệ thống hoặc chương trình;
- Thất bại trong việc tạo lập những thay đổi cần thiết đối với hệ thống hoặc chương trình;
- Can thiệp thủ công không chính xác;
- Khả năng mất dữ liệu hoặc không thể truy cập vào dữ liệu khi được yêu cầu.
1.4.3. Quy trình đánh giá kiểm soát nội bộ trong môi trường công nghệ thông tin của Ngân hàng thương mại
Môi trường công nghệ thông tin tiếp tục gia tăng sự phức tạp với sự tin cậy ngày càng nhiều hơn vào các thông tin được tạo ra bởi các hệ thống và quy trình
công nghệ thông tin. Sự nổi lên gần đây của các quy định nhằm khôi phục lòng tin của các nhà đầu tư đã đặt trọng tâm vào việc kiểm soát nội bộ và thường đòi hỏi đánh giá độc lập về hiệu quả kiểm soát nội bộ, đồng nghĩa với việc đòi hỏi Ngân hàng kiểm toán phải có sự hiểu biết cũng như sử dụng công nghệ thông tin trong kiểm toán. Các kiểm toán viên độc lập đều phải có sự hiểu biết về hệ thống công nghệ thông tin mà Ngân hàng được kiểm toán triển khai, một phần để lập kế hoạch và thực hiện kiểm toán và một phần để biết khi nào cần tư vấn của các chuyên gia.
Việc sử dụng công nghệ thông tin ảnh hưởng đến cách thức thực hiện các hoạt động kiểm soát. Dưới góc độ của kiểm toán viên khi đánh giá kiểm soát nội bộ sử dụng hệ thống công nghệ thông tin (gồm các kiểm soát chung về công nghệ thông tin và các kiểm soát chương trình ứng dụng) được xác định là có hiệu quả khi duy trì được tính toàn vẹn của thông tin và tính bảo mật của dữ liệu được hệ thống thông tin xử lý.
Các kiểm soát chung về công nghệ thông tin là các chính sách và thủ tục liên quan đến nhiều chương trình ứng dụng và hỗ trợ cho hiệu quả hoạt động của các kiểm soát chương trình ứng dụng. Các kiểm soát chung được áp dụng cho máy chủ cỡ lớn, cỡ nhỏ và các môi trường người sử dụng đầu cuối. Các kiểm soát chung về công nghệ thông tin duy trì tính toàn vẹn của thông tin và tính bảo mật dữ liệu thường gồm các kiểm soát đối với:
- Trung tâm dữ liệu và các hoạt động kết nối mạng;
- Mua sắm, thay đổi và bảo trì hệ thống phần mềm;
- Thay đổi chương trình;
- Bảo mật truy cập;
- Mua sắm, phát triển và bảo trì các hệ thống ứng dụng.
Các kiểm soát chương trình ứng dụng là các thủ tục thủ công hoặc tự động, thường hoạt động ở cấp độ chu trình kinh doanh và áp dụng đối với việc xử lý giao dịch của các chương trình ứng dụng riêng lẻ. Các kiểm soát chương trình ứng dụng có thể là các kiểm soát mang tính ngăn chặn hoặc phát hiện và được thiết kế để đảm bảo tính toàn vẹn của các dữ liệu kế toán. Do đó, các kiểm soát chương trình ứng dụng liên quan đến các thủ tục được sử dụng để tạo lập, ghi chép, xử lý và báo cáo
các giao dịch hoặc các dữ liệu tài chính khác. Các kiểm soát này nhằm đảm bảo các giao dịch phát sinh đã được phê duyệt, được ghi nhận và xử lý đầy đủ, chính xác. Ví dụ, kiểm tra tự động dữ liệu đầu vào, việc đánh số thứ tự kết hợp với việc theo dõi thủ công các báo cáo tổng hợp ngoại lệ hoặc chỉnh sửa tại thời điểm nhập dữ liệu.
Kết luận chương 1
Chương 1 nghiên cứu tổng quan những cơ sở lý luận chung về hệ thống kiểm soát nội bộ dựa trên những nguyên tắc thiết lập của COSO và Uỷ ban Basel, đồng thời dựa trên các quy định pháp luật, chuẩn mực và thông lệ quốc tế để khái quát hoá quy trình kiểm toán báo cáo tài chính Ngân hàng thương mại và quy trình đánh giá hệ thống kiểm soát nội bộ Ngân hàng thương mại; và cuối cùng là hoạt động đánh giá hệ thống kiểm soát nội bộ Ngân hàng thương mại trong môi trường công nghệ thông tin.