Kiểm soát nội bộ theo COSO: 5 thành phần, ma trận kiểm soát và áp dụng cho doanh nghiệp vừa

Kiểm soát nội bộ (internal control) là quá trình do ban lãnh đạo và nhân viên thực hiện, nhằm bảo đảm hợp lý việc đạt mục tiêu hoạt động, báo cáo và tuân thủ.

Với doanh nghiệp vừa, đây là bước chuyển từ “chủ ký mọi thứ” sang ủy quyền có kiểm soát. Thiếu nó, tăng trưởng nhanh dễ kéo theo thất thoát và số liệu sai.

Bài viết giải thích khung COSO 2013, mô hình Ba tuyến, cách lập ma trận kiểm soát, ma trận phê duyệt và lộ trình triển khai 90 ngày cho kế toán trưởng, CEO.

Kiểm soát nội bộ là gì, vì sao doanh nghiệp vừa cần?

Kiểm soát nội bộ là hệ thống con người, quy trình và công cụ giữ sai sót, gian lận ở mức chấp nhận được. Theo COSO, nó phục vụ ba nhóm mục tiêu.

• Hoạt động (operations): hiệu quả, hiệu suất, bảo vệ tài sản.
• Báo cáo (reporting): số liệu nội bộ và bên ngoài đáng tin cậy.
• Tuân thủ (compliance): theo đúng quy định và chính sách nội bộ.

Chỉ là “bảo đảm hợp lý” (reasonable assurance), vì con người vẫn có thể nhầm lẫn, thông đồng, hoặc lãnh đạo vượt quyền kiểm soát (management override).

Doanh nghiệp vài trăm nhân sự cần kiểm soát nội bộ nhất. Chủ không còn tự duyệt mọi khoản chi, trong khi bộ máy chưa đủ lớn để có kiểm toán nội bộ riêng.

Kiểm soát là phản ứng với rủi ro, nên cần thiết kế từ kết quả quản trị rủi ro doanh nghiệp, không bắt đầu từ bộ quy trình mẫu.

5 thành phần và 17 nguyên tắc của COSO 2013 gồm những gì?

Khung Internal Control — Integrated Framework của COSO, ban hành năm 1992 và cập nhật năm 2013, gồm 5 thành phần với 17 nguyên tắc như bảng dưới.

Thành phần	Nguyên tắc (tóm tắt)
Môi trường kiểm soát (Control Environment)	(1) Cam kết chính trực và đạo đức; (2) Hội đồng quản trị độc lập, giám sát kiểm soát nội bộ; (3) Thiết lập cơ cấu, tuyến báo cáo, thẩm quyền; (4) Thu hút, phát triển, giữ người có năng lực; (5) Buộc cá nhân chịu trách nhiệm về kiểm soát
Đánh giá rủi ro (Risk Assessment)	(6) Xác định mục tiêu đủ rõ; (7) Nhận diện và phân tích rủi ro; (8) Xem xét khả năng gian lận; (9) Nhận diện thay đổi đáng kể
Hoạt động kiểm soát (Control Activities)	(10) Chọn và xây dựng hoạt động kiểm soát; (11) Kiểm soát chung về công nghệ; (12) Triển khai qua chính sách và thủ tục
Thông tin và truyền thông (Information and Communication)	(13) Dùng thông tin phù hợp, chất lượng; (14) Truyền thông nội bộ; (15) Truyền thông với bên ngoài
Giám sát (Monitoring Activities)	(16) Đánh giá thường xuyên và/hoặc định kỳ; (17) Đánh giá và thông báo kịp thời khiếm khuyết

Mỗi nguyên tắc phải “hiện diện và vận hành” (present and functioning), và 5 thành phần phải phối hợp. Nếu lãnh đạo thường duyệt ngoại lệ, kiểm soát bên dưới mất tác dụng.

Mô hình Ba tuyến (IIA Three Lines Model 2020) phân vai thế nào?

Mô hình Ba tuyến của Viện Kiểm toán nội bộ (IIA), công bố năm 2020, xác định ai sở hữu rủi ro, ai giám sát và ai đảm bảo độc lập.

Khác bản “Ba tuyến phòng thủ” cũ, mô hình dựa trên 6 nguyên tắc và coi quản trị rủi ro là để tạo lẫn bảo vệ giá trị.

Vai trò	Việc chính	Ở doanh nghiệp vừa
Cơ quan quản trị	Giám sát, giải trình với các bên liên quan	Hội đồng quản trị, chủ sở hữu
Tuyến 1	Sở hữu rủi ro, vận hành kiểm soát hằng ngày	Bán hàng, mua hàng, kho, sản xuất
Tuyến 2	Chuyên môn, giám sát, phản biện về rủi ro	Kế toán trưởng, kiểm soát tài chính, pháp chế
Tuyến 3	Đảm bảo và tư vấn độc lập	Kiểm toán nội bộ, có thể thuê ngoài

Doanh nghiệp vừa có thể gộp vai tuyến 2, nhưng tuyến 3 phải độc lập: kiểm toán nội bộ, kể cả thuê ngoài, báo cáo hội đồng quản trị.

Kiểm soát chủ chốt theo từng chu trình gồm những gì?

Kiểm soát chủ chốt (key control) là kiểm soát mà nếu không chạy, rủi ro trọng yếu dễ xảy ra. Chúng được tập hợp trong ma trận rủi ro – kiểm soát (RCM).

Kiểm soát phòng ngừa (preventive) chặn sai sót trước khi xảy ra. Kiểm soát phát hiện (detective) tìm ra sai sót sau đó, nên cần chạy đủ sớm để kịp xử lý.

Chu trình	Rủi ro	Kiểm soát	Loại	Tần suất	Người thực hiện
Bán hàng – thu tiền	Bán chịu vượt khả năng trả	Hệ thống chặn đơn vượt hạn mức tín dụng	Phòng ngừa	Mỗi giao dịch	Kế toán công nợ
Mua hàng – thanh toán	Trả tiền hàng chưa nhận, sai giá	Đối chiếu ba bên: đơn mua, phiếu nhập, hóa đơn	Phòng ngừa	Mỗi giao dịch	Kế toán phải trả
Mua hàng – thanh toán	Đổi tài khoản nhà cung cấp để chiếm tiền	Người độc lập duyệt thay đổi, gọi xác minh	Phòng ngừa	Mỗi thay đổi	Kiểm soát tài chính
Tiền	Chi sai, biển thủ	Đối chiếu sổ phụ ngân hàng với sổ kế toán	Phát hiện	Hằng tuần	Kế toán trưởng
Tồn kho	Hao hụt, mất mát	Kiểm kê luân phiên hàng giá trị cao	Phát hiện	Hằng tháng	Thủ kho, kế toán kho
Lương	Nhân viên “ảo”, trả sai mức	Đối chiếu bảng lương với hồ sơ nhân sự	Phát hiện	Hằng tháng	Kế toán trưởng

Bảng trên chỉ là điểm khởi đầu. Chu trình bán hàng còn cần kiểm soát giá, chiết khấu và trả hàng, như trong bài quy trình bán hàng – thu tiền.

Rủi ro tồn kho còn nằm ở khâu dự báo, đặt hàng, nên kiểm soát kho cần đi cùng quản trị chuỗi cung ứng.

Phân tách nhiệm vụ và ma trận phê duyệt thiết kế thế nào?

Phân tách nhiệm vụ (segregation of duties) là không để một người nắm trọn một giao dịch. Bốn chức năng cần tách là phê duyệt, giữ tài sản, ghi sổ và đối chiếu.

• Người tạo nhà cung cấp không lập lệnh thanh toán.
• Thủ quỹ không ghi sổ và không tự đối chiếu quỹ.
• Thủ kho không điều chỉnh số tồn trên phần mềm.
• Người lập bảng lương không duyệt và không chuyển khoản lương.

Khi nhân sự ít, hãy dùng kiểm soát bù đắp (compensating control). Ví dụ, giám đốc tài chính tự xem sổ phụ ngân hàng hằng tuần và rà soát giao dịch bất thường.

Ma trận phê duyệt (delegation of authority) quy định ai duyệt giao dịch nào, đến hạn mức nào. Bảng dưới minh họa cho Công ty Thành An, nhà phân phối giả định.

Giao dịch (triệu đồng)	Trưởng bộ phận	Giám đốc tài chính	Tổng giám đốc	Hội đồng quản trị
Mua hàng theo kế hoạch	≤ 200	≤ 1.000	≤ 5.000	> 5.000
Chi phí ngoài ngân sách	≤ 20	≤ 100	≤ 500	> 500
Mua tài sản cố định	–	≤ 300	≤ 2.000	> 2.000
Hạn mức tín dụng khách hàng	≤ 100	≤ 500	≤ 2.000	> 2.000
Xóa nợ, giảm giá ngoài chính sách	–	≤ 20	≤ 200	> 200

Các hạn mức chỉ để minh họa. Mỗi doanh nghiệp nên đặt theo quy mô, biên lợi nhuận và khẩu vị rủi ro, rồi rà soát ít nhất mỗi năm một lần.

Ba nguyên tắc chống lách: không ai tự duyệt khoản của mình; cộng dồn khoản cùng nhà cung cấp để chặn chia nhỏ; chi ngoài ngân sách cần cấp cao hơn một bậc.

Kiểm soát trên phần mềm và ERP gồm những gì?

Kiểm soát trên phần mềm gồm kiểm soát chung về công nghệ (ITGC) và kiểm soát ứng dụng (application controls), thuộc nguyên tắc 11 của COSO.

ITGC bảo đảm hệ thống đáng tin: quản lý truy cập, quản lý thay đổi chương trình, vận hành và sao lưu. Kiểm soát ứng dụng là quy tắc chạy ngay trong từng giao dịch.

• Phân quyền theo vai trò: rà soát quyền hằng quý, khóa ngay tài khoản người nghỉ việc.
• Khóa kỳ: không ai ghi vào kỳ đã khóa nếu kế toán trưởng chưa mở lại và ghi lý do.
• Nhật ký thay đổi (audit trail): lưu ai sửa gì, lúc nào, nhất là giá bán và tài khoản nhà cung cấp.
• Kiểm soát tự động: đối chiếu ba bên, chặn trùng hóa đơn, chặn vượt hạn mức tín dụng.

Khóa kỳ chỉ có ý nghĩa khi quy trình đóng sổ chặt chẽ. Bài khóa sổ cuối tháng trình bày lịch đóng sổ và các bước đối chiếu.

Kiểm soát tự động ít phụ thuộc con người và rẻ hơn khi kiểm tra, nên tỷ lệ của chúng là chỉ số tiến độ hữu ích.

Tỷ lệ kiểm soát tự động = Số kiểm soát chủ chốt tự động ÷ Tổng số kiểm soát chủ chốt × 100%

Thành An có 40 kiểm soát chủ chốt, 12 kiểm soát tự động, tỷ lệ 30%. Tự động hóa thêm 6 kiểm soát khi nâng cấp ERP, tỷ lệ tăng lên 45%.

Việc này nên nằm trong lộ trình chuyển đổi số cho doanh nghiệp nhỏ. Lưu ý kiểm soát tự động chỉ đáng tin khi ITGC vận hành tốt.

Kiểm tra hiệu quả kiểm soát ra sao?

Kiểm tra kiểm soát gồm đánh giá thiết kế (design effectiveness) và đánh giá vận hành (operating effectiveness). Thiết kế đúng nhưng không chạy vẫn là kiểm soát yếu.

Thiết kế được đánh giá bằng phép thử xuyên suốt (walkthrough), theo một giao dịch từ đầu đến cuối. Vận hành được kiểm tra trên mẫu trong một khoảng thời gian.

Kỹ thuật gồm phỏng vấn, quan sát, kiểm tra chứng từ và thực hiện lại; chỉ phỏng vấn thì chưa đủ. Cỡ mẫu tùy tần suất, theo quy ước tham khảo dưới đây.

Tần suất kiểm soát	Cỡ mẫu tham khảo
Hằng năm	1
Hằng quý	2
Hằng tháng	2–5
Hằng tuần	5–15
Hằng ngày, mỗi giao dịch	20–40
Tự động (ITGC hiệu quả)	1

Tỷ lệ ngoại lệ = Số mẫu có ngoại lệ ÷ Số mẫu kiểm tra × 100%

Thành An kiểm tra 25 đơn mua hàng, thấy 1 đơn được duyệt sau khi đã nhận hàng, tỷ lệ ngoại lệ 4%. Với kiểm soát chủ chốt, ngưỡng chấp nhận thường là 0 ngoại lệ.

Khi có ngoại lệ, cần tìm nguyên nhân gốc, mở rộng mẫu hoặc kết luận kiểm soát không hiệu quả. Khiếm khuyết được phân loại và báo cáo ban điều hành theo nguyên tắc 17.

Kiểm soát rủi ro cao nên kiểm tra hằng năm, phần còn lại luân phiên. Hồ sơ kiểm tra tốt cũng giúp kiểm toán viên độc lập đánh giá theo ISA 315 nhanh hơn.

Dấu hiệu nào cho thấy kiểm soát yếu?

Kiểm soát yếu thường lộ ra qua số liệu và hành vi trước khi thành thất thoát lớn. Các dấu hiệu cần để ý gồm:

• Đối chiếu trễ: có khoản treo lâu không xử lý.
• Nhiều bút toán thủ công cuối kỳ do một người lập và tự duyệt.
• Duyệt sau khi đã chi hoặc đã nhận hàng.
• Dữ liệu gốc đổi thường xuyên: tài khoản nhà cung cấp, giá bán.
• Phụ thuộc cá nhân: người giữ việc quan trọng nhiều năm, không nghỉ phép.
• Chênh lệch kiểm kê lặp lại nhưng chỉ xử lý bằng điều chỉnh sổ.

Tín hiệu tài chính đáng chú ý là lợi nhuận tăng nhưng dòng tiền không theo kịp. Các thước đo chất lượng lợi nhuận giúp phát hiện sớm ghi nhận sai.

Lộ trình triển khai 90 ngày như thế nào?

Doanh nghiệp vừa có thể dựng khung kiểm soát cơ bản trong 90 ngày, qua ba giai đoạn. Mục tiêu là kiểm soát chủ chốt chạy được, chưa cần hoàn hảo.

Giai đoạn	Việc chính	Đầu ra
Ngày 1–30: Đánh giá	Chọn chu trình trọng yếu, vẽ lưu đồ, so khoảng trống với 17 nguyên tắc	Danh sách khoảng trống xếp ưu tiên
Ngày 31–60: Thiết kế	Lập RCM, ban hành ma trận phê duyệt, cấu hình lại phân quyền ERP	RCM, ma trận phê duyệt
Ngày 61–90: Vận hành	Đào tạo, chạy kiểm soát, lưu bằng chứng, kiểm tra thử một chu trình	Báo cáo kiểm tra đầu tiên

CEO nên giao một đầu mối chịu trách nhiệm, thường là giám đốc tài chính hoặc kế toán trưởng, báo cáo tiến độ hai tuần một lần.

Sau 90 ngày, chuyển sang duy trì: cập nhật RCM khi quy trình đổi, rà soát phân quyền hằng quý. Kết quả nên gắn vào hệ thống KPI của trưởng bộ phận.

Những sai lầm thường gặp

Phần lớn thất bại không nằm ở thiếu quy trình mà ở cách triển khai và duy trì. Các lỗi phổ biến ở doanh nghiệp vừa gồm:

• Sao chép quy trình mẫu mà không xuất phát từ rủi ro thực tế.
• Quá nhiều bước duyệt, làm chậm kinh doanh và khiến nhân viên tìm cách lách.
• Không lưu bằng chứng, nên không chứng minh được kiểm soát đã chạy.
• Tin tưởng thay cho kiểm soát với nhân sự lâu năm hoặc người thân.
• Cài phân quyền ERP một lần rồi bỏ đó, để quyền thừa tích tụ.
• Coi đây là việc của phòng kế toán, trong khi tuyến 1 mới sở hữu rủi ro.

Câu hỏi thường gặp

Doanh nghiệp vừa có cần áp dụng đủ 17 nguyên tắc COSO?

Có, nhưng ở mức tương xứng quy mô. Cách làm có thể đơn giản, miễn mỗi nguyên tắc có biểu hiện cụ thể và kiểm chứng được.

Kiểm soát nội bộ khác kiểm toán nội bộ thế nào?

Kiểm soát nội bộ là hệ thống do ban điều hành thiết kế và vận hành. Kiểm toán nội bộ là chức năng độc lập ở tuyến 3, đánh giá hệ thống đó.

Bao nhiêu kiểm soát chủ chốt là đủ?

Không có con số chuẩn. Với 4–6 chu trình chính, 25–40 kiểm soát chủ chốt là mức tham khảo đủ bao phủ rủi ro trọng yếu mà vẫn quản lý được.

COSO 2013 khác COSO ERM thế nào?

COSO 2013 tập trung vào kiểm soát nội bộ. COSO ERM rộng hơn, gắn quản trị rủi ro với chiến lược và hiệu quả; hai khung bổ trợ cho nhau.

Nguồn tham khảo

• Internal Control — Integrated Framework – COSO, 2013
• Fraud Risk Management Guide – Executive Summary – COSO và ACFE, 2016
• The IIA’s Three Lines Model: An Update of the Three Lines of Defense – The Institute of Internal Auditors, 2020
• ISA 315 (Revised 2019): Identifying and Assessing the Risks of Material Misstatement – IAASB, 2019
• Newly released COSO framework a fresh look at internal control – Journal of Accountancy, 2013
• Three Lines Model for risk management gets major update – Journal of Accountancy, 2020

Đọc tiếp

• Quản trị rủi ro doanh nghiệp
• Khóa sổ cuối tháng
• Quy trình bán hàng – thu tiền cho doanh nghiệp nhỏ
• Kiểm soát chi phí doanh nghiệp