1. Định nghĩa và các Khái niệm Cốt lõi về Kiểm soát Nội bộ
1.1 Phân tích Thuật ngữ
Thuật ngữ “kiểm soát nội bộ” được cấu thành từ hai thành phần:
• Kiểm soát: Được định nghĩa là một phương tiện nhằm giảm thiểu các yếu tố gây tác động xấu tới hoạt động của một đối tượng. Trong lĩnh vực kế toán, theo Chuẩn mực Kế toán Việt Nam số 07, kiểm soát là quyền chi phối các chính sách tài chính và hoạt động của doanh nghiệp nhằm thu được lợi ích kinh tế.
• Nội bộ: Được định nghĩa là “thuộc về hay liên quan đến cơ cấu của một tổ chức”.
1.2 Định nghĩa theo COSO
Định nghĩa được chấp nhận rộng rãi nhất về kiểm soát nội bộ đến từ Báo cáo của COSO, được ban hành bởi Ủy ban Chống gian lận về báo cáo tài chính của Hoa Kỳ. Theo đó:
“Kiểm soát nội bộ là một quá trình bị chi phối bởi người quản lý, hội đồng quản trị và các nhân viên của đơn vị, nó được thiết lập để cung cấp một sự đảm bảo hợp lý nhằm đạt được các mục tiêu sau đây:
1. Sự hữu hiệu và hiệu quả của hoạt động.
2. Sự tin cậy của báo cáo tài chính.
3. Sự tuân thủ pháp luật và các quy định.”
1.3 Bốn Trụ cột của Định nghĩa
Định nghĩa của COSO dựa trên bốn khái niệm trọng tâm:
1. Kiểm soát nội bộ là một quá trình: Đây không phải là một sự kiện hay thủ tục đơn lẻ mà là một chuỗi các hoạt động được tích hợp vào trong hoạt động của tổ chức, bao gồm lập kế hoạch, thực hiện và giám sát.
2. Yếu tố con người: Hệ thống kiểm soát nội bộ được thiết kế, vận hành và chi phối bởi con người ở mọi cấp độ, từ Hội đồng quản trị, Ban giám đốc cho đến các nhân viên. Nó là một công cụ được con người sử dụng để quản lý, không thể thay thế cho vai trò quản lý.
3. Sự đảm bảo hợp lý: Kiểm soát nội bộ chỉ có thể cung cấp sự đảm bảo hợp lý, không phải tuyệt đối. Các hạn chế cố hữu như sai lầm của con người, sự thông đồng, sự lạm quyền của nhà quản lý và yếu tố chi phí-lợi ích khiến một hệ thống hoàn hảo là không thể đạt được.
4. Hướng tới các mục tiêu: Hệ thống được thiết kế để giúp tổ chức đạt được các mục tiêu cụ thể, được phân thành ba nhóm chính:
◦ Nhóm mục tiêu về hoạt động: Nhấn mạnh sự hữu hiệu và hiệu quả của việc sử dụng các nguồn lực.
◦ Nhóm mục tiêu về báo cáo tài chính: Nhấn mạnh tính trung thực và đáng tin cậy của báo cáo tài chính mà tổ chức cung cấp.
◦ Nhóm mục tiêu về sự tuân thủ: Nhấn mạnh đến việc tuân thủ pháp luật và các quy định.
2. Lịch sử Phát triển của Kiểm soát Nội bộ
Quá trình phát triển của khái niệm kiểm soát nội bộ có thể được chia thành các giai đoạn chính sau:
• Giai đoạn Sơ khai: Các hình thức kiểm soát sơ khai có nguồn gốc từ Anh quốc và lan rộng vào cuối thế kỷ 19. Ban đầu, trọng tâm chỉ là kiểm soát tiền và các tài sản hữu hình. Năm 1929, thuật ngữ kiểm soát nội bộ lần đầu được đề cập chính thức bởi Cục Dự trữ Liên bang Hoa Kỳ. Một bước ngoặt quan trọng là vụ bê bối của công ty McKesson & Robbins (1937), khi công ty này khai khống 20 triệu USD hàng tồn kho và các khoản phải thu, phơi bày những yếu kém nghiêm trọng trong công tác kiểm toán và kiểm soát. Vụ việc này đã thúc đẩy SEC yêu cầu phạm vi kiểm toán phải được mở rộng và toàn diện hơn.
• Giai đoạn Hình thành: Từ sau vụ McKesson & Robbins, các nghiên cứu chuyên sâu hơn bắt đầu được thực hiện.
◦ Năm 1949, AICPA (Hiệp hội Kế toán viên công chứng Hoa Kỳ) công bố nghiên cứu đầu tiên về kiểm soát nội bộ, định nghĩa nó một cách rộng hơn.
◦ Năm 1958, trong Báo cáo về Thủ tục kiểm toán (SAP) số 29, lần đầu tiên có sự phân biệt giữa “kiểm soát nội bộ về kế toán” (liên quan đến bảo vệ tài sản và độ tin cậy của sổ sách) và “kiểm soát nội bộ về quản lý” (liên quan đến hiệu quả hoạt động và tuân thủ chính sách quản lý).
• Giai đoạn Phát triển và sự ra đời của Ủy ban COSO: Thập niên 1970 chứng kiến nhiều vụ bê bối tài chính lớn (như vụ Watergate) khiến công chúng mất lòng tin. Đạo luật về Chống tham nhũng ở nước ngoài (FCPA) được ban hành năm 1977. Trước bối cảnh đó, Ủy ban Treadway (sau này gọi là COSO) được thành lập vào năm 1985 dưới sự bảo trợ của năm tổ chức nghề nghiệp hàng đầu của Hoa Kỳ (AICPA, AAA, FEI, IMA, IIA) nhằm nghiên cứu và đưa ra một khuôn khổ chung về kiểm soát nội bộ.
• Giai đoạn Hiện đại (Từ 1992 đến nay):
◦ Báo cáo COSO 1992: Được coi là tài liệu nền tảng trên toàn thế giới, định nghĩa kiểm soát nội bộ và đưa ra khuôn mẫu năm thành phần.
◦ Phát triển sau COSO: Hàng loạt nghiên cứu và chuẩn mực khác ra đời dựa trên nền tảng của COSO 1992, bao gồm:
▪ ERM (2004): COSO ban hành khuôn khổ Quản trị rủi ro doanh nghiệp (Enterprise Risk Management), được xem là “cánh tay nối dài” của báo cáo 1992.
▪ CoBIT (1996): Chuẩn mực về kiểm soát trong môi trường công nghệ thông tin.
▪ Đạo luật Sarbanes-Oxley (2002): Ra đời sau các vụ sụp đổ của Enron và Worldcom, yêu cầu Ban giám đốc phải báo cáo về tính hữu hiệu của hệ thống kiểm soát nội bộ.
▪ Các chuẩn mực kiểm toán quốc tế (ISA) và Hoa Kỳ (SAS) đều đã tích hợp định nghĩa và khuôn khổ của COSO.
3. Báo cáo COSO 1992: Nền tảng Toàn cầu
1.1 Quá trình Soạn thảo
Báo cáo COSO 1992 là kết quả của một dự án nghiên cứu sâu rộng, được thực hiện qua bảy giai đoạn, bao gồm thu thập tài liệu, phỏng vấn chuyên gia, gửi bảng câu hỏi, tổ chức hội thảo, thử nghiệm thực tế tại các doanh nghiệp và nhiều lần sửa đổi, hoàn thiện dựa trên ý kiến đóng góp của hàng trăm tổ chức và cá nhân.
1.2 Năm Thành phần của Hệ thống Kiểm soát Nội bộ
Báo cáo COSO 1992 xác định năm thành phần có mối liên hệ chặt chẽ với nhau, tạo thành một hệ thống tích hợp. Ban đầu dự thảo có 9 thành phần nhưng đã được tinh giản để tránh trùng lặp. Năm thành phần chính thức bao gồm:
1. Môi trường kiểm soát (Control Environment): Là nền tảng của toàn bộ hệ thống, bao gồm các yếu tố như tính trung thực, giá trị đạo đức, năng lực của nhân viên, triết lý quản lý, phong cách điều hành, và cơ cấu tổ chức. Môi trường kiểm soát tạo ra nhận thức về kiểm soát trong toàn tổ chức.
2. Đánh giá rủi ro (Risk Assessment): Là quá trình nhận dạng và phân tích các rủi ro có thể ảnh hưởng đến việc đạt được mục tiêu của tổ chức. Quá trình này là cơ sở để xác định các biện pháp quản lý rủi ro phù hợp.
3. Hoạt động kiểm soát (Control Activities): Là những chính sách và thủ tục được thiết lập để đảm bảo các chỉ thị của nhà quản lý được thực hiện. Các hoạt động này diễn ra ở mọi cấp độ và trong mọi hoạt động của tổ chức.
4. Thông tin và Truyền thông (Information and Communication): Hệ thống thông tin phải nhận dạng, thu thập và truyền đạt các thông tin cần thiết một cách kịp thời và hiệu quả để mọi người thực hiện trách nhiệm của mình. Truyền thông hiệu quả phải diễn ra theo cả chiều dọc (trên xuống và dưới lên) và chiều ngang trong tổ chức, cũng như với các đối tượng bên ngoài.
5. Giám sát (Monitoring): Là quá trình đánh giá chất lượng hoạt động của hệ thống kiểm soát nội bộ theo thời gian. Việc giám sát giúp phát hiện kịp thời các khiếm khuyết để có biện pháp khắc phục.
4. Trách nhiệm và Hiệu quả của Hệ thống Kiểm soát Nội bộ
4.1. Đánh giá sự Hữu hiệu
Một hệ thống kiểm soát nội bộ được coi là hữu hiệu khi Hội đồng quản trị và nhà quản lý có được sự đảm bảo hợp lý rằng:
• Họ hiểu rõ mức độ đạt được các mục tiêu hoạt động của tổ chức.
• Báo cáo tài chính được lập và trình bày một cách đáng tin cậy.
• Các luật và quy định liên quan được tuân thủ.
Sự hữu hiệu đòi hỏi cả năm thành phần của hệ thống phải được thiết lập và vận hành một cách hiệu quả.
4.2. Phân bổ Trách nhiệm
Trách nhiệm đối với kiểm soát nội bộ được phân bổ cho nhiều đối tượng trong và ngoài tổ chức:
• Hội đồng quản trị: Chịu trách nhiệm giám sát cao nhất, đảm bảo tính liêm chính và hiệu quả của hệ thống.
• Nhà quản lý (Ban Giám đốc): Chịu trách nhiệm chính trong việc thiết lập, vận hành, và duy trì hệ thống kiểm soát nội bộ. Giám đốc điều hành là người thiết lập “tông điệu từ cấp cao nhất”.
• Kiểm toán viên nội bộ: Đóng vai trò quan trọng trong việc đánh giá sự hữu hiệu của hệ thống và đưa ra các khuyến nghị cải tiến.
• Nhân viên: Mọi thành viên trong tổ chức đều có trách nhiệm thực hiện kiểm soát nội bộ trong phạm vi công việc hàng ngày của mình.
• Các đối tượng bên ngoài: Các kiểm toán viên độc lập, cơ quan quản lý nhà nước (như SEC), khách hàng, và nhà cung cấp cũng đóng góp vào sự hữu hiệu của hệ thống thông qua các tương tác và giám sát của họ.
4.2.3 Tác động của Đạo luật Sarbanes-Oxley (SOX)
Đạo luật Sarbanes-Oxley ban hành năm 2002 tại Hoa Kỳ đã nâng cao đáng kể vai trò và trách nhiệm liên quan đến kiểm soát nội bộ. Đặc biệt, Mục 404 của Đạo luật này yêu cầu:
• Ban Giám đốc phải đánh giá và báo cáo về tính hữu hiệu của cơ cấu và thủ tục kiểm soát nội bộ đối với việc lập báo cáo tài chính vào cuối mỗi năm tài chính.
• Kiểm toán viên độc lập phải xác nhận và báo cáo về tính đầy đủ và hữu hiệu của đánh giá do Ban Giám đốc thực hiện.