Khi tài chính công, tài sản công ngày càng được quản lý dựa trên dữ liệu và hệ thống thông tin, Kiểm toán nhà nước (KTNN) cần một hành lang pháp lý tương xứng. Trọng tâm của việc luật hóa kiểm toán trong môi trường số không phải là bổ sung một loại hình kiểm toán hay đưa công nghệ cụ thể vào Luật, mà là bảo đảm quyền tiếp cận dữ liệu có thể thực thi, đi đôi với trách nhiệm bảo vệ dữ liệu và chất lượng bằng chứng kiểm toán.
Quang cảnh cuộc họp Thường trực Ban Chỉ đạo đánh giá, tổng kết, sửa đổi Luật KTNN sáng 11/9, do Tổng Kiểm toán nhà nước Nguyễn Hữu Nghĩa chủ trì. Ảnh tư liệu
Quyền đã có, nhưng cần cơ chế để thực hiện
Trong quản lý tài chính công, tài sản công, nhiều giao dịch, bước phê duyệt, quy trình xử lý và dấu vết kiểm soát được tạo lập, lưu giữ trên hệ thống thông tin. Hồ sơ in ra hoặc bảng tổng hợp do đơn vị cung cấp có thể phản ánh kết quả cuối cùng nhưng chưa đủ để kiểm toán viên kiểm tra dữ liệu gốc, lịch sử chỉnh sửa, quyền truy cập hay cách hệ thống xử lý giao dịch. Khi bằng chứng thay đổi, cách tiếp cận bằng chứng cũng phải thay đổi.
Luật KTNN hiện hành đã ghi nhận quyền yêu cầu cung cấp thông tin, tài liệu và tiếp cận dữ liệu điện tử. Tuy nhiên, kết nối, chia sẻ và khai thác dữ liệu từ cơ sở dữ liệu quốc gia, cơ sở dữ liệu chuyên ngành cũng như hệ thống của đơn vị được kiểm toán vẫn gặp vướng mắc về pháp lý, kỹ thuật và phối hợp. Khoảng cách giữa “có quyền” và “thực hiện được quyền” là vấn đề cần giải quyết trong lần sửa Luật này.
Theo đó, quyền tiếp cận phải được cụ thể hóa bằng nghĩa vụ tương ứng của chủ thể nắm giữ dữ liệu: Cung cấp đúng phạm vi, đầy đủ, kịp thời; hỗ trợ kết nối, giải trình cấu trúc và quy trình xử lý; bảo đảm tính toàn vẹn, khả năng truy xuất nguồn gốc; không cản trở việc tiếp cận hợp pháp. Ở chiều ngược lại, KTNN phải khai thác đúng mục đích, trong phạm vi cần thiết và chịu trách nhiệm bảo mật, an toàn dữ liệu. Quyền và trách nhiệm phải được thiết kế đồng thời, không tách rời.
Kiểm toán trong môi trường số không đồng nghĩa kiểm toán từ xa
Cần phân biệt 3 khái niệm dễ bị nhầm lẫn. Kiểm toán tài chính, kiểm toán tuân thủ và kiểm toán hoạt động là các loại hình xét theo mục tiêu, bản chất. Kiểm toán trong môi trường số phản ánh việc sử dụng dữ liệu số, hệ thống thông tin, phương tiện điện tử và công nghệ số trong một phần hoặc toàn bộ quá trình kiểm toán. Còn kiểm toán trực tiếp, từ xa hoặc kết hợp là các hình thức tổ chức thực hiện.
Chẳng hạn, kiểm toán viên có mặt tại đơn vị nhưng truy cập cơ sở dữ liệu, kiểm tra nhật ký hệ thống, phân tích toàn bộ giao dịch và thu thập bằng chứng điện tử thì vẫn đang kiểm toán trong môi trường số. Ngược lại, làm việc từ xa không mặc nhiên bảo đảm chất lượng nếu dữ liệu không đầy đủ hoặc không thể xác thực. Vì vậy, không nên bổ sung “kiểm toán số” hay “kiểm toán từ xa” thành loại hình kiểm toán mới. Luật cần tạo điều kiện để các loại hình hiện có được thực hiện trực tiếp, từ xa hoặc kết hợp, tùy tính chất cuộc kiểm toán và khả năng thu thập bằng chứng.
Dù áp dụng công nghệ nào, yêu cầu về bằng chứng kiểm toán đầy đủ, thích hợp, xét đoán nghề nghiệp, kiểm soát chất lượng và trách nhiệm của kiểm toán viên không thay đổi. Công cụ phân tích và trí tuệ nhân tạo có thể hỗ trợ nhận diện bất thường, nhưng không thay KTNN đưa ra kết luận kiểm toán.
Quy định các điều luật khung, rõ về quyền và trách nhiệm
Một phương án có thể cân nhắc là bổ sung 3 điều mang tính nguyên tắc trong Luật KTNN sửa đổi, tập trung vào những quan hệ pháp lý ổn định thay vì mô tả chi tiết công nghệ.
Thứ nhất, xác định khái niệm, phạm vi và nguyên tắc kiểm toán trong môi trường số: Tuân thủ pháp luật, độc lập, khách quan, có thể kiểm chứng; bảo vệ bí mật nhà nước, bí mật kinh doanh và dữ liệu cá nhân; bảo đảm tính toàn vẹn, khả năng truy xuất của dữ liệu và bằng chứng điện tử. Cần quy định rõ dữ liệu điện tử được sử dụng làm bằng chứng kiểm toán khi đáp ứng yêu cầu của pháp luật và chuẩn mực kiểm toán, tránh đặt ra một chế độ “giá trị pháp lý” riêng chồng lấn với pháp luật về dữ liệu và giao dịch điện tử.
Thứ hai, xác lập quyền tiếp cận, kết nối, thu thập, trích xuất, đối chiếu và phân tích dữ liệu liên quan đến nội dung kiểm toán, đồng thời quy định nghĩa vụ cung cấp, phối hợp, xác thực và giải trình của đơn vị được kiểm toán cùng cơ quan, tổ chức quản lý dữ liệu. Quyền tiếp cận phải có giới hạn rõ về mục đích, phạm vi và yêu cầu bảo đảm an toàn hệ thống.
Thứ ba, quy định trách nhiệm quản trị dữ liệu kiểm toán: Sử dụng đúng mục đích, phân quyền truy cập, lưu vết, lưu trữ và bảo vệ thông tin theo pháp luật. Đây không chỉ là yêu cầu kỹ thuật mà còn là cơ chế kiểm soát trách nhiệm khi KTNN được tiếp cận khối lượng dữ liệu ngày càng lớn.
Một khuôn khổ pháp lý đủ mạnh về quyền và trách nhiệm, nhưng đủ mở về công nghệ sẽ giúp KTNN thực hiện chức năng kiểm toán hiệu quả và an toàn hơn trong bối cảnh số.
Ông Phan Trường Giang - Phó Kiểm toán trưởng KTNN chuyên ngành II
Luật phải ổn định, quy định kỹ thuật phải linh hoạt
Định dạng dữ liệu, phương thức trích xuất, thuật toán, công cụ AI và kiến trúc hệ thống có thể thay đổi nhanh. Nếu đưa quá chi tiết vào Luật, quy định dễ lạc hậu và khó điều chỉnh. Luật nên xác lập quyền, nghĩa vụ, giới hạn quyền và trách nhiệm; nội dung kết nối, chia sẻ dữ liệu liên ngành cần được quy định theo thẩm quyền; còn quy trình nghiệp vụ, tiêu chuẩn và yêu cầu kỹ thuật thuộc hoạt động kiểm toán cần được Tổng Kiểm toán nhà nước quy định. Việc phân định thẩm quyền phải rõ, tránh nhiều cơ quan cùng quy định chi tiết một vấn đề.
Luật hóa kiểm toán trong môi trường số, vì thế, không phải chạy theo một xu hướng công nghệ. Đó là bước chuyển cần thiết để KTNN kiểm tra được quá trình hình thành thông tin, thay vì chỉ kiểm tra sản phẩm thông tin do đơn vị cung cấp; từng bước chuyển từ kiểm toán dựa nhiều vào hồ sơ sang kiểm toán dựa trên dữ liệu. Một khuôn khổ pháp lý đủ mạnh về quyền và trách nhiệm, nhưng đủ mở về công nghệ sẽ giúp KTNN thực hiện chức năng kiểm toán hiệu quả và an toàn hơn trong bối cảnh số.