II. KIỂM TOÁN HỆ THỐNG THÔNG TIN KẾ TOÁN VÀ BÁO CÁO TÀI CHÍNH 

Khái niệm/giải thích từ ngữ về lĩnh vực kiểm toán HTTT

HTTT là một cấu trúc có tổ chức chứa thông tin, bao gồm các thành phần như phần cứng, phần mềm, dữ liệu, quy trình và con người. HTTT được thiết kế để thu thập, lưu trữ, xử lý và truyền tải thông tin.

1.1 HTTT kế toán (Accounting Information System): HTTT kế toán không chỉ có các phần mềm kế toán như Misa, Fast mà còn có các phần mềm liên quan nhằm phục vụ cho bộ phận kế toán tài chính trong IB. Theo Trang, 2023, hệ thống AIS bao gồm "tài liệu, số liệu tài chính kế toán. Các loại thông tin thường gặp nhất là: (1) Bảng chấm công nhân viên ; (2) Thông tin thuế lưu trữ ;(3) Đơn đề nghị, hóa đơn mua và bán hàng;(4) Báo cáo thanh toán của KH, đối tác; (5) Dữ liệu kiểm kê hàng hóa. Các loại dữ liệu này tồn tại trong hệ thống bằng các đoạn mã hóa tương tự như ngôn ngữ truy vấn cấu trúc SQL. Sau khi truy xuất tại đầu ra, kế toán viên có thể sử dụng để hoàn thiện BCTC, bảng tiền lương… "

Kiểm toán CNTT là quá trình đánh giá và đảm bảo tính hiệu quả của các HTTT và quản lý rủi ro liên quan đến việc sử dụng CNTT trong tổ chức. Nó bao gồm việc đánh giá tính hợp lệ của dữ liệu, bảo mật, sự phân tán, khả năng sẵn sàng và tính đúng đắn của hệ thống.

Big Data là thuật ngữ dùng để miêu tả khối lượng lớn dữ liệu cấu trúc và không cấu trúc, được tạo ra từ nhiều nguồn khác nhau và trong một tốc độ khá nhanh. Nó thường đòi hỏi sự phân tích và xử lý bằng các công nghệ và phương pháp tiên tiến để khai thác ra thông tin hữu ích.

1.2 Sự khác biệt lớn nhất giữa dữ liệu lớn và dữ liệu thông thường, chúng ta cần sơ lược qua dữ liệu cấu trúc và phi cấu trúc. Song hành với khả năng chưa từng thấy của dữ liệu lớn trong kinh doanh thì những thông tin họ bí mật thu thập từ KH bắt đầu được đưa vào vòng nghi vấn: Với khối lượng dữ liệu lớn cùng tính chất nhạy cảm của các dữ liệu thu được như thông tin cá nhân, địa chỉ,v..v.. các nhà quản lý có đang thực hiện các công tác phù hợp để bảo vệ HTTT trước các rủi ro tiềm tàng như đánh cắp dữ liệu, hacker, rò rỉ dữ liệu, và hơn hết chính là bảo vệ chính các KH của mình.

Ví dụ về dữ liệu có cấu trúc bao gồm ngày, tên, địa chỉ, số thẻ tín dụng, v.v. Lợi ích của chúng gắn liền với tính dễ sử dụng và truy cập, trong khi điểm yếu của nó là dữ liệu không linh hoạt. Nói ngắn gọn, dữ liệu cấu trúc là các dữ liệu mà bạn có thể dễ phân loại được nó. Giả sử đối với dữ liệu "Nguyễn Văn A - 16 tuổi - Sinh viên”. Dữ liệu này cung cấp rõ ràng các thông tin về Họ tên, Tuổi, Nghề nghiệp của mẫu nghiên cứu.

Ví dụ về dữ liệu phi cấu trúc bao gồm văn bản, hoạt động trên thiết bị di động, bài đăng trên mạng xã hội, dữ liệu cảm biến Internet of Things (IoT), v.v. Lợi ích của chúng liên quan đến lợi thế về định dạng, tốc độ và dung lượng lưu trữ. Hầu hết những dữ liệu này chúng ta khó có thể phân loại nó dưới dạng bảng vì mỗi mẫu có một đặc điểm khác nhau, ví dụ như trong hàng ngàn comment trên mạng xã hội, chúng ta sẽ khó phân loại nó để phục vụ cho quá trình phân tích dưới dạng dữ liệu thô mà phải tìm cách để biến đổi dữ liệu về cùng một dạng để sử dụng. Qua đó ta thấy, dữ liệu phi cấu trúc là các loại dữ liệu mà không tuân theo cấu trúc dữ liệu truyền thống, ví dụ như dữ liệu văn bản, email, hình ảnh, video, âm thanh, tài liệu PDF, dữ liệu mạng xã hội, dữ liệu IoT (Internet of Things), vv. Big Data –bao gồm cả dữ liệu phi cấu trúc và dữ liệu có cấu trúc, thường không thể được lưu trữ trong các cơ sở dữ liệu quan hệ truyền thống và cần các công nghệ khác như NoSQL hoặc Hadoop để quản lý và xử lý.

Giả sử với dữ liệu là một "Trạng thái” (Status): "Hôm nay là một ngày đẹp trời” được đăng bởi anh A ngày #/#/####, chúng ta sẽ không phân loại được nó theo cách truyền thống như với các dữ liệu dạng bảng. Còn với dữ liệu được ví dụ ở phần dữ liệu cấu trúc, ta có thể dễ dàng phân loại được dữ liệu này đưa cho ta thông tin gì.

Nắm bắt được sự bành trướng của dữ liệu phi cấu trúc đi lên cùng với sự phát triển của mạng xã hội, các DN đã chi ra hàng chục nghìn đô để mua các HTTT lớn như Oracle, MySQL hay phổ biến nhất hiện nay là SAP để lưu trữ các thông tin này. Kết quả là chúng ta sẽ thấy khi chúng ta search trên google về một bữa tiệc thì tất cả các trang web bắt đầu đề xuất các sản phẩm thời trang, làm đẹp, khi ta di chuyển tới vùng ôn đới thì các dữ liệu địa lý này giúp các nhà kinh doanh áo ấm quảng cáo sản phẩm của mình vì họ biết là chúng ta là một KH tiềm năng của họ trong thời điểm đó, với dữ liệu địa lý đó.

A. KIỂM TOÁN CÔNG NGHỆ THÔNG TI 

 Kiểm toán công nghệ thông tin (KT CNTT) đóng vai trò quan trọng trong việc bảo vệ người dùng. Khi các tổ chức sử dụng các hệ thống thông tin (HTTT) và dữ liệu, chúng ta cần đảm bảo rằng, chúng đáp ứng được các yêu cầu về bảo mật, tính toàn vẹn và sẵn sàng sử dụng. KT CNTT giúp đảm bảo rằng, các hệ thống và dữ liệu được bảo vệ đúng cách, các thông tin và dữ liệu quan trọng không bị thất lạc hoặc bị tấn công và hệ thống sẵn sàng sử dụng được khi cần thiết

FSCP là viết tắt của "Financial Statement Closing Process" - quá trình lên BCTC, đây là một quá trình quan trọng trong chu kỳ kế toán của một IB. Trong quá trình này, các thông tin tài chính được thu thập, phân tích và xử lý để tạo ra BCTC của IB.

1. Theo ISA 330, các quy định và hướng dẫn được đưa ra về việc

lập kế hoạch và thực hiện các thủ tục kiểm toán, ở bước lập kế hoạch kiểm toán, kiểm toán viên cần lập kế hoạch kiểm toán bằng cách xác định mức độ rủi ro của công việc kiểm toán, định hình phạm vi kiểm toán, đánh giá tài chính, và xác định các lớp giao dịch quan trọng (SCOTs) cần được kiểm tra. Tiếp đó theo ISA 315, những lớp giao dịch này cần được xác định dựa trên đánh giá của kiểm toán viên về tính quan trọng của chúng đối với BCTC, cũng như mức độ rủi ro liên quan đến chúng. Vì vậy công việc này sẽ được thực hiện bởi đội kiểm toán BCTC.

Để xác định SCOT, kiểm toán viên thường sử dụng các phương pháp và tiêu chuẩn kiểm toán để đánh giá các lớp giao dịch trong hệ thống tài chính của IB.  Nếu sau quá trình kiểm tra, kiểm toán viên phát hiện ra các sai sót hoặc bất thường trong các lớp giao dịch quan trọng, họ sẽ đánh giá tính hiệu quả các biện pháp kiểm soát và đưa ra các khuyến nghị để cải thiện quy trình và chính sách của IB.

Phân tích hệ thống tài chính của DN: Kiểm toán viên phải tìm hiểu cách thức hoạt động của hệ thống tài chính của DN, bao gồm các quy trình, chính sách, thủ tục, các phần mềm hỗ trợ, hồ sơ giao dịch và các tài liệu liên quan. 2. Xác định các lớp giao dịch quan trọng: Kiểm toán viên phải xác định các lớp giao dịch quan trọng nhất, được thực hiện bởi DN. Các lớp giao dịch này thường liên quan đến những khoản chi phí và thu nhập lớn, những giao dịch đặc biệt hoặc các giao dịch có rủi ro cao.

Xác định tần suất và phạm vi kiểm tra: Sau khi xác định các lớp giao dịch quan trọng, kiểm toán viên sẽ xác định tần suất và phạm vi kiểm tra cho mỗi lớp giao dịch này. Tần suất và phạm vi kiểm tra phụ thuộc vào mức độ quan trọng và rủi ro của mỗi lớp giao dịch.

Giả sử kiểm toán viên đang thực hiện kiểm toán cho một công ty sản xuất, với một lớp giao dịch quan trọng là "Chi phí sản xuất". Để xác định SCOT, kiểm toán viên sẽ thực hiện các bước sau: (1) Phân tích hệ thống tài chính của công ty, bao gồm quy trình sản xuất, chính sách chi phí, hồ sơ giao dịch và các tài liệu liên quan. (2) Xác định lớp giao dịch quan trọng - SCOT là "Chi phí sản xuất", bao gồm các chi phí như nguyên vật liệu, nhân công, máy móc và thiết bị sản xuất. (3) Xác định tần suất và phạm vi kiểm tra cho SCOT "Chi phí sản xuất", phụ thuộc vào mức độ quan trọng và rủi ro của từng loại chi phí. Ví dụ, kiểm toán viên có thể quyết định kiểm tra toàn bộ hồ sơ cho chi phí nguyên vật liệu, kiểm tra chứng từ liên quan đến chi phí nhân công và kiểm tra các hợp đồng mua bán máy móc và thiết bị sản xuất để đảm bảo tính chính xác và đầy đủ của thông tin tài chính được báo cáo. 

2. Vai trò của CNTT trong hoạt động kinh doanh

CNTT làm cơ sở cho hoạt động kinh doanh và tài chính dưới nhiều hình thức khác nhau, từ việc sử dụng các công cụ như Microsoft Excel đến viêc sử dụng các ứng dụng CNTT phức tạp hơn, được lập trình sẵn nhưng IB có thể cấu hình lại theo ý mình, chẳng hạn như phần mềm SAP. Ngoài ra, còn có các phần mềm IB có thể mua theo các thiết lập có sẵn của bên cung cấp, hoặc có thể tuỳ chỉnh các cài đặt cho phù hợp với nhu cầu sử dụng của IB mình. Từ bước này, kiểm toán CNTT phân tích HTTT của IB để làm căn cứ đưa ra quyết định chiến lược kiểm toán phù hợp. Theo đó, có các mô hình tổ chức HTT như sau: (1) IB sử dụng hoàn toàn các thiết lập từ nhà cung cấp và các thay đổi kiểm soát bởi nhà cung cấp thì kiểm toán CNTT phải thu thập dữ liệu từ nhà cung cấp HTTT cho KH, không phải từ bộ phận IT của KH. (2) IB tự thiết lập các cài đặt của mình, kiểm toán CNTT sẽ tiến hành phỏng vấn bộ phận IT của IB KH cũng như kiểm tra các kiểm soát mà KH đang có trên hệ thống của họ. (3) IB sử dụng cả thiết lập từ nhà cung cấp (thuê ngoài) và có bộ phận IT riêng, KT CNTT tiến hành đánh dấu các kiểm soát được thực hiện ở bộ phận IT thuê ngoài và bộ phận IT nội bộ để thực hiện các thủ tục kiểm soát phù hợp và phỏng vấn đúng nhân sự chịu trách nhiệm cho từng kiểm soát (PIC – Person in charge).

3. Vai trò của Big Data trong kiểm toán CNTT

Việc bốc mẫu dựa trên các dữ liệu IB cung cấp tiềm ẩn rủi ro dữ liệu bị chỉnh sửa, vì vậy, kiểm toán CNTT sẽ thực hiện bốc mẫu và kiểm tra trên chính dữ liệu thô lấy từ tầng database. INTOSAI (International Organization of Supreme

Audit Institutions - Tổ chức Quốc tế của Các Cơ quan Kiểm toán Tối cao) đã đưa ra kết luận trong báo cáo "Development Overview of Big Data Audits from 2016 to 2021" (Tổng quan về việc sự phát triển trong việc kiểm toán Big Data từ năm 2016 - 2021) rằng việc kiểm toán trên Big Data, thay vì các dữ liệu từ tầng ứng dụng như truyền thống, giúp cho kiểm toán CNTT có cái nhìn tổng quan về hệ thống kiểm soát nội bộ của doanh nghiệp. Nhờ công tác thực hiện kiểm toán trên dữ liệu thô, INTOSAI đã rút ra được các thống kê có giá trị như sau: (1) Độ chính xác thấp của dữ liệu thu thập và độ trễ dữ liệu lớn (tốc độ tải dữ liệu kém).(2) Kỹ thuật không đủ và thiếu sự chú trọng vào việc thiết lập nền tảng dữ liệu(3) Mô hình chia sẻ dữ liệu không hoàn thiện, nhà quản lý chưa đáp ứng đầy đủ. (4) Việc kiểm toán Big Data chưa hiệu quả trong việc nâng cao tính đáng tin cậy và dự đoán rủi ro.

Với các insightii mà INTOSAI đã đưa ra, chúng ta sẽ cùng phân tích một cuộc kiểm toán CNTT cho một IB có thu thập Big Data để phục vụ cho hoạt động sản xuất kinh doanh để đối chiếu và rút ra những điểm giống và khác, từ đó, đưa ra các giải pháp từ góc nhìn của KT CNTT để cải thiện hiệu quả kiểm soát và nâng cao chất lượng KT CNTT.

KT CNTT cũng đóng vai trò quan trọng trong việc đảm bảo rằng các tổ chức tuân thủ các quy định pháp lý liên quan đến việc sử dụng và bảo mật dữ liệu. Việc sử dụng dịch vụ công nghệ thông tin cũng đang trở nên phổ biến hơn bao giờ hết, đồng thời cũng tăng cao nguy cơ về bảo mật thông tin. Vì vậy, KT CNTT đóng vai trò quan trọng trong việc đảm bảo rằng các dịch vụ công nghệ thông tin được cung cấp với mức độ an toàn và đảm bảo cao nhất, giúp bảo vệ người dùng khỏi các mối đe dọa mạng và tấn công từ các kẻ tấn công trên mạng. 

4. Hệ thống thông tin và các thành phần CNTT

Mối quan hệ giữa hoạt động quản lý, tác nghiệp và HTTT: HTTT bao gồm con người, các quy trình và thiết bị CNTT tương tác với nhau để thu thập, xử lý, lưu trữ dữ liệu và cung cấp thông tin cho người sử dụng liên quan.

Ví dụ sau đây sẽ làm rõ về mối quan hệ giữa hoạt động quản lý, tác nghiệp và HTTT: