Tóm tắt Chương 4: Internal audit — AA

Kiểm toán nội bộ và quản trị công ty

Internal audit function (ISA 610): bộ phận thực hiện hoạt động đảm bảo và tư vấn để đánh giá, nâng cao hiệu quả của quy trình quản trị, quản lý rủi ro và kiểm soát nội bộ.
UK Corporate Governance Code (Nguyên tắc O): board thiết lập và duy trì khung quản lý rủi ro và kiểm soát nội bộ có hiệu quả; kiểm toán nội bộ là một cách để làm việc đó.
Ủy ban kiểm toán: theo dõi, soát xét hiệu quả kiểm toán nội bộ; duyệt bổ nhiệm, miễn nhiệm trưởng kiểm toán nội bộ; soát xét kế hoạch năm; gặp riêng trưởng kiểm toán nội bộ ít nhất mỗi năm một lần không có ban điều hành; theo dõi ban điều hành xử lý khuyến nghị.
Kiểm toán nội bộ báo cáo định kỳ và chịu trách nhiệm giải trình trước ủy ban kiểm toán, được tiếp cận trực tiếp chủ tịch hội đồng và ủy ban kiểm toán.

Có cần kiểm toán nội bộ không

Code không bắt buộc; công ty niêm yết chưa có thì phải xem xét lại mỗi năm.
Yếu tố: chi phí so với lợi ích; tiết kiệm phí thuê tư vấn; quy mô và độ phức tạp; nhu cầu đánh giá rủi ro, kiểm soát của ban giám đốc; áp lực từ bên ngoài; phương án thuê ngoài.

Nhiệm vụ của kiểm toán nội bộ

Bảy loại trong syllabus: IT, financial, operational, value for money, compliance, fraud investigation, customer experience.
Financial audit: kiểm soát với các chu trình giao dịch thuộc quy trình lập báo cáo tài chính (bán hàng: lập đơn hàng, xuất hóa đơn, thu tiền; mua hàng; tiền lương; tiền; tồn kho; tài sản cố định) và với số dư.
Operational audit (còn gọi là management audit): đánh giá hiệu quả, hiệu suất vận hành của một bộ phận từ góc độ quản lý, như marketing, nhân sự, ngân quỹ, cách chọn nhà cung cấp.
Soát xét chi tiêu vốn để xem có mua đúng thứ, đúng lúc, giá cạnh tranh không là VFM audit.
Kiểm toán nội bộ không vận hành hệ thống, không thiết kế và triển khai kiểm soát, không tư vấn triển khai hệ thống mới, không gửi thư xác nhận ngân hàng thay kiểm toán viên độc lập, không soát xét báo cáo tài chính thay hội đồng.
VFM: tổ hợp dịch vụ tốt nhất với mức nguồn lực thấp nhất. Economy: có inputs đúng số lượng, chất lượng với chi phí thấp nhất. Efficiency: quan hệ giữa outputs và nguồn lực dùng để tạo ra chúng. Effectiveness: hoạt động đạt mục tiêu tới đâu. Chỉ xét economy là best value audit.
VFM hay gặp ở khu vực công (bệnh viện, hội đồng địa phương). Câu strengths: nêu điểm mạnh ½ điểm, giải thích nó giúp chữ E nào tới 1 điểm.
Đề tình huống: đề xuất việc cụ thể, làm được ở chính công ty đó, không liệt kê tên loại.

Phẩm chất và giới hạn

Ba phẩm chất: independence (không thiết kế, vận hành hệ thống mình kiểm tra; vị thế đủ cao; tuyến báo cáo lên ủy ban kiểm toán), objectivity (không định kiến), due skill and care (kỹ năng rộng, đội đa ngành, đào tạo, quản lý chất lượng, kế hoạch, hồ sơ, soát xét).
Giới hạn: là nhân viên công ty; phạm vi do ban giám đốc quyết định; không có luật bảo vệ, thường không chịu cơ quan quản lý; không yêu cầu bằng cấp; nguồn lực hạn chế; nguy cơ tự kiểm tra.

Thuê ngoài

Lợi: không tốn công tuyển, đào tạo; độc lập hơn; có thể nhờ việc đột xuất; người làm có kỹ năng phù hợp.
Lợi thêm: linh hoạt số người theo khối lượng việc, thuê ngắn hạn hoặc theo dự án; có kỹ năng chuyên ngành khi cần; phí thỏa thuận trước giúp lập ngân sách.
Hại: chi phí thôi việc, mất kỹ năng trong nhà, tinh thần nhân viên; người làm thay đổi liên tục; thiếu hiểu biết về công ty; lộ dữ liệu nhạy cảm; phí tăng dần hoặc cao hơn một bộ phận nhỏ trong nhà; mất quyền chủ động về phạm vi và thời điểm; khó đưa về lại trong nhà.
Tự tuyển: phát triển kỹ năng trong công ty, tăng sức mạnh nguồn nhân lực.
Thuê chính công ty kiểm toán độc lập: self-review threat, không phải advocacy hay conflict of interest.

Kiểm toán độc lập và kiểm toán nội bộ

Kiểm toán độc lập: nêu ý kiến về báo cáo tài chính; báo cáo cho cổ đông; độc lập với công ty; engagement partner phải có chứng chỉ hành nghề.
Kiểm toán nội bộ: mục tiêu do ban giám đốc đặt, rộng; báo cáo cho hội đồng quản trị, ủy ban kiểm toán; nhân viên hoặc thuê ngoài; không yêu cầu bằng cấp chính thức.
Gian lận: trách nhiệm chính thuộc ban giám đốc. Kiểm toán độc lập không có trách nhiệm ngăn chặn hay phát hiện gian lận nói chung, chỉ phải đạt reasonable assurance rằng báo cáo không có sai sót trọng yếu, kể cả do gian lận. Xét khả năng ban giám đốc vượt quyền kiểm soát là yêu cầu của ISA 240 với kiểm toán viên độc lập, không phải với kiểm toán nội bộ.
Khung trả lời trách nhiệm với gian lận: reasonable assurance (ISA 200/240); nhận diện, đánh giá rủi ro gian lận; thiết kế biện pháp xử lý; xử lý gian lận phát hiện được; scepticism và xét management override; thảo luận nhóm; trao đổi với ban giám đốc, TCWG và báo cáo; KAM về gian lận có tiêu đề phụ nổi bật; lưu hồ sơ. Kiểm toán nội bộ giúp đánh giá kiểm soát, răn đe, báo cáo nghi vấn, điều tra khi được giao.

ISA 610 (Revised)

Quan trọng nhất: công việc của kiểm toán nội bộ có liên quan tới assertion, khoản mục kiểm toán viên độc lập cần bằng chứng không.
Ba tiêu chí trước khi dùng: objectivity nhờ vị thế và chính sách; năng lực; cách làm có hệ thống, kỷ luật, có quản lý chất lượng.
Dùng ở đâu, bao nhiêu: nature và scope của phần việc; liên quan tới chiến lược và kế hoạch kiểm toán; mức xét đoán. Dùng ít hơn khi nhiều xét đoán, rủi ro cao hoặc significant risk, objectivity yếu, năng lực thấp.
Direct assistance: cấm với thủ tục cần xét đoán quan trọng; rủi ro cao cần hơn mức xét đoán hạn chế; việc kiểm toán viên nội bộ đã tham gia; quyết định về chính kiểm toán nội bộ. Phải ghi hồ sơ đánh giá objectivity, năng lực, cơ sở quyết định và việc soát xét.
Kiểm toán nội bộ chỉ giảm, đổi hoặc dời thủ tục, không thay thế; ý kiến kiểm toán là trách nhiệm riêng của kiểm toán viên độc lập.