Bảng Tính Và Email Không Phải Là Hệ Thống Kiểm Soát Nội Bộ: Rủi Ro Mà Kiểm Toán Sẽ Hỏi Đến

Tuần thứ hai của đợt kiểm toán báo cáo tài chính năm. Kiểm toán viên chọn mẫu một khoản thanh toán 2,4 tỷ đồng cho nhà cung cấp vận tải và các câu hỏi thường được đặt ra: ai đã phê duyệt, phê duyệt lúc nào, và căn cứ vào phiên bản hợp đồng nào.

Câu trả lời nằm rải rác trong một chuỗi email gồm 38 phản hồi, trong đó lời phê duyệt là dòng "Ok em, chuyển đi" của một trưởng phòng, một file tên Theo_doi_PO_2026_final_v4 (1).xlsx trên ổ chung, lần sửa cuối thuộc về một tài khoản không ai nhận ra.

Khoản thanh toán đó có thể hoàn toàn đúng. Vấn đề là doanh nghiệp không chứng minh được điều đó.

Đây là khoảng trống mà nhiều Giám đốc Tài chính chỉ nhìn thấy khi đã ngồi trong phòng họp với đội kiểm toán: bảng tính và email là công cụ làm việc, không phải hệ thống kiểm soát nội bộ.

Kiểm toán không kiểm tra công cụ, họ kiểm tra bằng chứng

Theo Chuẩn mực kiểm toán Việt Nam số 315 (VSA 315), kiểm toán viên phải tìm hiểu kiểm soát nội bộ của đơn vị, bao gồm cả môi trường công nghệ thông tin, để đánh giá rủi ro có sai sót trọng yếu. Khung COSO 2013, nền tảng mà phần lớn công ty mẹ của doanh nghiệp FDI áp dụng, chia kiểm soát nội bộ thành năm thành phần. Hai trong số đó, "hoạt động kiểm soát" và "thông tin và truyền thông", chịu ảnh hưởng trực tiếp khi quy trình chạy trên bảng tính.

Kiểm toán viên đánh giá hai điều: kiểm soát có được thiết kế hợp lý không, và nó có thực sự vận hành đều đặn suốt kỳ không và điều thứ hai mới là chỗ doanh nghiệp dễ gặp nhiều rủi ro. Một quy định "mọi khoản chi trên 500 triệu đồng phải được Giám đốc Tài chính duyệt" nghe rất chặt. Nhưng nếu không có gì ngăn một khoản 520 triệu đi thẳng sang bước chi tiền, quy định đó chỉ tồn tại trên giấy.

Khi không thể dựa vào kiểm soát, kiểm toán chuyển sang tăng thử nghiệm cơ bản: chọn mẫu nhiều hơn, đối chiếu thủ công nhiều hơn, đặt câu hỏi nhiều hơn. Đợt kiểm toán kéo dài, đội kế toán mất thêm vài tuần đúng mùa cao điểm cuối năm, và thư quản lý có thêm vài dòng mà không lãnh đạo nào muốn gửi lên công ty mẹ.

Năm câu hỏi kiểm toán sẽ hỏi, và vì sao bảng tính không trả lời được

1. Ai phê duyệt, và vào lúc nào? Email ghi lại rằng có người đã trả lời. Nó không ghi lại rằng người đó phê duyệt đúng nội dung, trong đúng thẩm quyền. Một chữ "Ok" có thể là đồng ý, cũng có thể chỉ là "đã đọc". Email còn có thể bị chuyển tiếp, sửa phần trích dẫn, hoặc bị xóa khỏi hộp thư.

2. Ai đã sửa con số này? Excel không có nhật ký thay đổi đủ tin cậy cho mục đích kiểm toán. Ai mở được file là sửa được ô, sửa công thức, hoặc dán đè giá trị lên công thức. Ở không ít doanh nghiệp, chỉ có đúng một người hiểu macro đối soát cuối tháng, và người đó thường xin nghỉ phép đúng tuần khóa sổ.

3. Phân tách nhiệm vụ có được thực thi không? Người lập đề nghị thanh toán không được là người duyệt chính đề nghị đó. Trong bảng tính, không có gì ngăn điều này xảy ra. Phân tách nhiệm vụ lúc đó dựa hoàn toàn vào sự tự giác.

4. Đâu là phiên bản cuối cùng? Một hợp đồng có bản gửi đối tác, bản đối tác sửa, bản pháp chế góp ý, bản đã ký được scan lại. Khi kiểm toán hỏi khoản thanh toán căn cứ vào điều khoản nào, câu trả lời thường bắt đầu bằng "để em tìm lại".

5. Bằng chứng có còn sau mười năm không? Điều 41 Luật Kế toán 2015 yêu cầu lưu trữ chứng từ kế toán dùng trực tiếp để ghi sổ ít nhất 10 năm. Hộp thư của nhân sự nghỉ việc thường bị xóa sau vài tháng. Ổ chung được dọn mỗi lần đổi hạ tầng. Bằng chứng nằm trong đó biến mất theo.

Cái giá không dừng ở một lỗi công thức

Lỗi bảng tính phổ biến hơn nhiều người nghĩ. Tổng hợp các nghiên cứu thực địa của Giáo sư Raymond Panko (Đại học Hawaii) cho thấy gần 9 trên 10 bảng tính được kiểm tra có chứa lỗi. Năm 2012, JPMorgan lỗ hơn 6 tỷ USD trong vụ "London Whale". Báo cáo nội bộ sau đó chỉ ra mô hình đo rủi ro được vận hành bằng một chuỗi bảng tính sao chép thủ công, trong đó một công thức chia cho tổng thay vì cho trung bình.

Tuy vậy, quan điểm của chúng tôi là: với phần lớn doanh nghiệp, rủi ro lớn nhất không nằm ở lỗi công thức. Nó nằm ở chỗ ngay cả khi mọi thứ đúng, doanh nghiệp vẫn không chứng minh được là đúng. Một kiểm soát không để lại bằng chứng thì dưới góc nhìn kiểm toán gần như không tồn tại.

Kiểm soát thật trông như thế nào

Bảng tính vẫn rất tốt cho phân tích, lập mô hình và lên kế hoạch. Thứ cần chuyển ra khỏi bảng tính và email là phần quy trình mang chức năng kiểm soát:

• Quy tắc do hệ thống áp dụng: khoản chi vượt ngưỡng tự động chuyển đến đúng cấp duyệt, không phụ thuộc vào việc người lập có nhớ gửi hay không.

• Phân quyền theo vai trò: người lập không thể tự duyệt, người duyệt chỉ thấy phần thuộc thẩm quyền của mình.

• Nhật ký không chỉnh sửa được: mọi thao tác tạo, sửa, duyệt, từ chối đều được ghi lại kèm người thực hiện và dấu thời gian.

• Một kho lưu trữ duy nhất: hợp đồng, phụ lục và chứng từ gắn với từng giao dịch, có phiên bản rõ ràng và được giữ đủ thời hạn luật định.

Khi có đủ bốn yếu tố này, câu hỏi của kiểm toán được trả lời bằng một bản xuất nhật ký, thay vì ba ngày lục lại hộp thư.

Kyta Platform giải quyết phần việc này ra sao

Kyta Platform của FPT IS được xây dựng cho đúng khoảng trống này: chuyển các quy trình phê duyệt và giao kết đang chạy bằng email, bảng tính thành những luồng có kiểm soát và có dấu vết.

• Kyta eFlow và Kyta eRequest cho phép cấu hình luồng phê duyệt nhiều cấp, ngưỡng giá trị và điều kiện rẽ nhánh trên nền tảng no-code/low-code. Khi quy chế nội bộ thay đổi, đội vận hành cập nhật luồng mà không phải mở một dự án lập trình mới.

• Kyta eCLM là kho hợp đồng tập trung, theo dõi tiến trình theo thời gian thực từ khởi tạo, thương thảo đến lưu trữ sau ký.

• Kyta Signature cung cấp chữ ký số từ xa có dấu thời gian (TSA) và xác thực lâu dài (LTV), được chứng thực tích xanh CeCA của Bộ Công Thương. Bằng chứng phê duyệt lúc này có giá trị pháp lý, không còn là một dòng trả lời email.

Mục tiêu không phải là thêm một phần mềm nữa cho đội kế toán. Mục tiêu là để mỗi quy tắc kiểm soát được hệ thống thực thi và tự để lại bằng chứng.

Bắt đầu từ đâu

Đừng mở đầu bằng một dự án chuyển đổi toàn công ty. Hãy chọn quy trình mà kiểm toán hỏi nhiều nhất năm ngoái, thường là phê duyệt thanh toán nhà cung cấp hoặc phê duyệt hợp đồng.

1. Liệt kê những kiểm soát đang "nằm trong đầu" một vài người: ngưỡng duyệt, ai được duyệt gì, ngoại lệ nào được chấp nhận.

2. Cấu hình chúng thành quy tắc trên hệ thống, kèm vai trò và phân quyền.

3. Chạy song song ít nhất một kỳ khóa sổ trước mùa kiểm toán, để có dữ liệu thật khi kiểm toán viên đến.

Một quy trình làm đúng trong quý này có giá trị hơn mười quy trình nằm trong kế hoạch năm sau.

Kết luận

Bảng tính và email sẽ còn ở lại trong doanh nghiệp, và nên như vậy. Nhưng khi chúng gánh vai trò kiểm soát nội bộ, doanh nghiệp đang đặt cược vào trí nhớ và sự tự giác của từng cá nhân. Kiểm toán viên không chấm điểm sự tự giác. Họ chấm điểm bằng chứng.

Liên hệ Kyta Platform để rà soát quy trình phê duyệt hiện tại của doanh nghiệp: kyta.fpt.com | Hotline: 1900 636 121 (nhánh 2) | Email: support.kyta@fpt.com