Tests of controls
- Kiểm toán viên chỉ làm tests of controls khi đánh giá ban đầu cho thấy kiểm soát có vẻ hoạt động tốt và định dựa vào chúng để giảm substantive procedures.
- Cần bằng chứng kiểm soát được thiết kế phù hợp, có tồn tại và hoạt động suốt kỳ; mẫu phải trải đều cả năm.
- Mọi deviation đều được ghi lại và điều tra, bất kể số tiền; xét xem là cá biệt hay dấu hiệu sổ sách có sai sót.
- Kết quả không tốt: không dựa vào kiểm soát, mở rộng substantive procedures, cân nhắc đưa khiếm khuyết vào thư quản lý.
- Thủ tục cho tests of controls: enquiry kết hợp inspection, observation, reperformance, xem bằng chứng soát xét của ban giám đốc, kiểm tra kiểm soát tự động bằng automated tools and techniques.
- Analytical procedures, confirmation, recalculation là substantive procedures; observation, reperformance là tests of controls; enquiry, inspection dùng cho cả hai.
- Direct controls xử lý trực tiếp rủi ro ở cấp assertion; indirect controls (control environment, quy trình đánh giá rủi ro, giám sát chung, thường cả general IT controls) là chỗ dựa cho direct controls.
- Soát xét của quản lý hoặc kiểm toán nội bộ đủ chính xác (số liệu chi tiết, ngưỡng điều tra, có hành động, gắn với khoản mục cụ thể) vẫn là direct control, ví dụ sales director soát phân tích doanh thu tháng.
- Observation chỉ chứng minh kiểm soát chạy lúc kiểm toán viên có mặt; câu hỏi thủ tục đáng tin nhất thì ưu tiên inspection đúng hướng trải cả năm.
- Hướng kiểm tra: chọn mẫu từ tổng thể kiểm soát áp lên (GRN lần về purchase order đã duyệt; tài sản thực tế lần vào sổ). Kiểm tra dãy số liên tục là test completeness, không phải test việc duyệt.
- Kiểm soát CNTT: test data, thử đăng nhập bằng mật khẩu hết hạn, cho người không có quyền thử sửa master file, xem báo cáo thay đổi master data.
Sáu chu trình
- Bán hàng: nhận đơn (order form), giao hàng (GDN), lập hóa đơn và ghi sổ (invoice), thu tiền (remittance advice).
- Mua hàng: đặt hàng (purchase requisition, purchase order), nhận hàng (GRN), nhận hóa đơn và ghi sổ, thanh toán (remittance advice).
- Tiền lương: ghi nhận giờ công (timesheets), ghi nhận nợ lương (payroll records), trả lương (payslips); HR và xử lý lương nên do người khác nhau làm.
- Đề có thể tích hợp bán hàng, mua hàng vào hệ thống kế toán; hàng tồn kho do đề nói rõ; tiền, tài sản dài hạn, tiền lương không tích hợp.
- Kiểm soát chính: kiểm tra tín dụng và credit limit, dãy số liên tục, khớp đơn hàng với GDN và hóa đơn, khớp GRN với hóa đơn, duyệt theo thẩm quyền, phân tách nhiệm vụ, đối chiếu bảng kê nhà cung cấp, đối chiếu ngân hàng, báo cáo thay đổi standing data.
- Rủi ro gian lận tiền lương: nhân viên ma, đổi mức lương không duyệt, khai khống giờ làm; chặn bằng phiếu joiners/leavers, mã nhân viên riêng, duyệt và soát thay đổi standing data.
- Chống nhân viên ma: HR kiểm tra giấy tờ tùy thân, HR khởi tạo joiner form, payroll director duyệt, đếm người thực tế so với hệ thống, báo cáo trùng tài khoản ngân hàng, không giao khâu liên quan cho người thân, lệnh chuyển lương do người độc lập duyệt.
- Một hoạt động chỉ là kiểm soát khi có người so sánh, kiểm tra hoặc duyệt, người đó độc lập, ngoại lệ được điều tra và thời điểm hợp lý; email bản sao hay tự soát việc của mình không phải kiểm soát hữu hiệu.
- Hai người cùng mở thư chỉ chống biển thủ tiền thu; ghi sổ đủ, đúng số tiền, đúng tài khoản cần đối chiếu danh sách tiền thu với sổ quỹ, bank reconciliation, bảng kê công nợ, đối chiếu control account.
- Bảng đối chiếu chỉ soát khi có chênh lệch, phản hồi chỉ khi có lỗi, báo cáo ngoại lệ in rồi lưu: đều là khiếm khuyết vì không ai soát đều đặn và để lại bằng chứng.
- Hậu quả của khiếm khuyết phải tương xứng: requisition không xem tồn kho dẫn tới cả mua thừa (hàng lỗi thời) lẫn hết hàng; không viết rửa tiền hay going concern cho lỗi duyệt requisition.
- Standard cost chỉ được dùng theo IAS 2 khi xấp xỉ giá gốc; phải soát ít nhất hằng năm, production director duyệt.
Báo cáo khiếm khuyết
- ISA 265: significant deficiency là khiếm khuyết, hoặc nhóm khiếm khuyết, đủ quan trọng để TCWG phải để tâm; phải báo bằng văn bản cho TCWG, kịp thời.
- Yếu tố xét: khả năng gây sai sót trọng yếu, tài sản dễ mất hoặc gian lận, ước tính chủ quan và phức tạp, số tiền chịu ảnh hưởng, khối lượng giao dịch, tầm quan trọng của kiểm soát, nguyên nhân và tần suất ngoại lệ, tác động qua lại giữa các khiếm khuyết.
- Thư quản lý: thư dẫn có người nhận, ngày, tiêu đề, câu giới hạn (không phải danh sách đầy đủ), câu "chỉ dành cho ban giám đốc"; phụ lục hai cột khiếm khuyết kèm hậu quả và khuyến nghị.
- Báo cáo kiểm toán nội bộ: hình thức do ban giám đốc quyết định, linh hoạt; nêu cả hậu quả vận hành; thường gồm phạm vi, tóm tắt, phát hiện chi tiết, khuyến nghị, phản hồi của bộ phận được soát xét.
- ISA 260 (Revised): trao đổi với TCWG về trách nhiệm của kiểm toán viên và của TCWG, phạm vi và thời gian kiểm toán, phát hiện quan trọng, và tính độc lập với công ty niêm yết.
- Văn bản gửi TCWG kèm ba câu giới hạn: chỉ cho đơn vị dùng, không đưa bên thứ ba khi chưa được đồng ý bằng văn bản, không chịu trách nhiệm với người khác.