Tóm tắt Chương 10: Control, security and audit — BT

Internal control system gồm control environment (thái độ, nhận thức, hành động của ban lãnh đạo; văn hóa, giá trị; là nền) và control procedures (các kiểm soát cụ thể, chính thức). Rộng hơn kế toán.
Mục đích: vận hành hiệu quả, ứng phó rủi ro trọng yếu, bảo vệ tài sản, chất lượng báo cáo, tuân thủ luật, định hướng hành vi, làm lộ điểm bất thường.
Giới hạn vốn có: chỉ reasonable assurance; không loại bỏ được quyết định sai, gian lận, sai sót, cố tình lách (collusion), management override, sự kiện không lường trước; chi phí có thể lớn hơn lợi ích.
Trách nhiệm thiết lập, vận hành, rà soát internal control thuộc hội đồng quản trị và ban điều hành, không phải kiểm toán viên. UK Corporate Governance Code: rà soát hiệu quả ít nhất mỗi năm, báo cáo cổ đông.
Control environment mạnh: chiến lược xử lý rủi ro rõ, văn hóa và cơ chế thưởng ủng hộ kiểm soát, lãnh đạo làm gương, quyền hạn và trách nhiệm rõ, truyền đạt kỳ vọng, nhân viên đủ năng lực.

Prevent (chặn trước, ví dụ đối chiếu hóa đơn với phiếu nhập kho trước khi trả tiền), detect (tìm ra sau, ví dụ bank reconciliation, kiểm kê), correct (giảm hậu quả, ví dụ sao lưu).
Administrative và accounting; discretionary và non-discretionary; voluntary và mandated; manual và automated; general và application; financial controls.
SPAMSOAP: Segregation of duties, Physical, Authorisation and approval, Management, Supervision, Organisation, Arithmetical and accounting, Personnel.
Segregation of duties tách phê duyệt, giữ tài sản, ghi sổ; chỉ bị vượt qua khi thông đồng. Authorisation cần hạn mức bằng văn bản, pre-review trước khi duyệt, post-review sau giao dịch.
Internal check hẹp hơn internal control: soát xét giao dịch hằng ngày, việc người này kiểm chứng hoặc bổ sung việc người kia; pre-list, post-list, control total.

Hoạt động đánh giá độc lập bên trong tổ chức, xem xét sự đầy đủ và hiệu quả của các kiểm soát khác; phạm vi là mọi mặt hoạt động (kiểm soát, thông tin, value for money, tuân thủ, tài sản, mục tiêu, rủi ro, điều tra đặc biệt).
Hai đặc điểm: independence (độc lập với quản lý tuyến) và appraisal (không tự làm việc mình đánh giá; không tự cài hệ thống mới).
Operational audit (value for money); systems audit (compliance test: kiểm soát có được làm không; substantive test: số liệu có đúng không); transactions audit (tìm gian lận, chỉ substantive test).
Báo cáo cho audit committee. Nhu cầu internal audit phụ thuộc quy mô, độ phức tạp, số nhân viên, chi phí lợi ích, thay đổi, rủi ro, vấn đề kiểm soát, sự việc bất thường.

Kiểm tra định kỳ do bên thứ ba độc lập thực hiện, đưa ra ý kiến báo cáo tài chính có true and fair view không; thường do luật bắt buộc.
Internal và external: lý do (thêm giá trị và cải thiện hoạt động / ý kiến về báo cáo tài chính); báo cáo cho (hội đồng quản trị, audit committee / cổ đông); phạm vi (mọi hoạt động / báo cáo tài chính); quan hệ (nhân viên, có thể thuê ngoài / độc lập với công ty).
External auditor xét organisational status, scope, technical competence, due professional care để quyết định dựa vào internal audit. FRRP (Anh) theo dõi việc áp dụng chuẩn mực kế toán.

General controls: môi trường máy tính (change management, truy cập, sao lưu toàn hệ thống). Application controls: từng ứng dụng (validation, completeness checks, batch total).
Security (ngăn rủi ro), integrity (chạy đúng thiết kế), contingency (khôi phục). Security gồm prevention, detection, deterrence, recovery, correction, threat avoidance.
Đe dọa vật lý: cháy (nghiêm trọng nhất), nước, thời tiết, sét, khủng bố, tai nạn. Physical access controls: bảo vệ, khóa, thẻ từ, sinh trắc học, báo động.
Integrity: input (verification khớp chứng từ gốc; validation kiểm tra hợp lý), processing, output (error và exception reports), back-up (lưu ở nơi khác, thường xuyên, thử khôi phục), administrative (mật khẩu, segregation of duties). Audit trail ghi ai truy cập và làm gì.
Disaster recovery plan: standby procedures, recovery procedures, personnel management policies.

Cyber-attack: hành động cố ý dùng Internet gây hại. Cyber risk: financial losses, reputational damage, operational disruption. Cyber security: bảo vệ bằng thủ tục và kiểm soát phần cứng, phần mềm.
Tấn công: phishing (email giả), pharming (chuyển hướng website), hacking, DDoS (botnet làm quá tải), webcam manager, ransomware, keylogging, screenshot manager, ad clicker.
Biện pháp: access control (cả vật lý và mạng), boundary firewalls and internet gateways, malware and virus protection, patch management, secure configuration.

Cloud computing: máy tính như dịch vụ qua Internet; public, private, virtual private cloud. Cloud accounting: một bộ dữ liệu cập nhật cho nhiều người, giảm chi phí sao lưu và nâng cấp; rủi ro tấn công mạng, phụ thuộc nhà cung cấp, mất dữ liệu nếu quên gia hạn.
Automation: làm việc thường lệ không cần người. AI: hỗ trợ con người ra quyết định, học từ dữ liệu. Vai trò kế toán chuyển sang phân tích, tạo giá trị; kiểm toán được 100% giao dịch.
Big data: dữ liệu quá lớn cho cơ sở dữ liệu truyền thống; nguồn: processed, open, human-sourced, machine-generated; bốn V: volume, velocity, variety, veracity (độ tin cậy). Data analytics tìm thông tin hữu ích; predictive analytics nhắm rủi ro kiểm toán.
Distributed ledger (blockchain): bản ghi chung được các bên không liên hệ cùng thống nhất, không cần bên giữ sổ trung tâm; minh bạch, khó sửa; ví dụ Everledger, Bitcoin; bớt việc kiểm toán giao dịch và quyền sở hữu.