Thực thi chuẩn mực kiểm toán nội bộ: Từ tuân thủ đến kiến tạo giá trị doanh nghiệp

Bộ phận KTNB phải thiết lập một hệ thống đo lường hiệu suất, lấy ý kiến từ Hội đồng quản trị để đưa ra các mục tiêu hiệu suất cân bằng, đa dạng dựa trên dữ liệu thực tế. Ảnh minh họa

Tái định hình quản trị doanh nghiệp

Trong bối cảnh môi trường kinh doanh toàn cầu ngày càng biến động phức tạp và đối mặt với nhiều rủi ro phi truyền thống, vai trò của quản trị DN và tuân thủ pháp luật đã được nâng lên một tầm cao mới. Chuẩn mực kiểm toán nội bộ toàn cầu mới (GIAS) do IIA ban hành, có hiệu lực từ tháng 01/2025, được xem như một triết lý vận hành hoàn toàn mới, nâng cao chất lượng hoạt động kiểm toán, đồng thời củng cố niềm tin của các bên liên quan đối với vai trò bảo đảm của KTNB trong quản trị DN.

Theo IIA, bên cạnh 5 nhóm nghiệp vụ thống nhất, bao quát toàn bộ vòng đời và hoạt động của KTNB, cùng với 15 nguyên tắc cốt lõi và khoảng 50 chuẩn mực bắt buộc thực thi, điểm cốt lõi làm nên sức mạnh của GIAS chính là yêu cầu bắt buộc các lãnh đạo KTNB (CAE) phải thiết lập một chiến lược KTNB chính thức, dài hạn từ 3-5 năm, xác định rõ tầm nhìn, mục tiêu chiến lược và các sáng kiến hỗ trợ thực thi quyền hạn kiểm toán.

Để đo lường hiệu suất thực thi chiến lược, bộ phận KTNB phải thiết lập một hệ thống đo lường hiệu suất, buộc các CAE đối thoại và lấy ý kiến từ Hội đồng quản trị, Ban điều hành để đưa ra các mục tiêu hiệu suất cân bằng, đa dạng dựa trên dữ liệu thực tế. Hơn thế nữa, để kiểm soát các rủi ro đặc thù, IIA đã đưa vào hệ thống các yêu cầu theo chuyên đề bắt buộc áp dụng khi thực hiện kiểm toán các lĩnh vực rủi ro trọng yếu.

Nổi bật, năm 2025, IIA đã yêu cầu chuyên đề về an ninh mạng, thiết lập một ranh giới tối thiểu bắt buộc đối với việc kiểm toán quy trình quản trị, quản lý rủi ro và các hoạt động kiểm soát an ninh mạng của tổ chức. Gần đây nhất, yêu cầu chuyên đề về bên thứ ba (áp dụng từ tháng 9/2026) đặt ra tiêu chuẩn khắt khe cho KTNB trong việc đánh giá rủi ro chuỗi cung ứng và đối tác bên ngoài.

“Bẫy định lượng” và áp lực quy chế

Mặc dù GIAS mở ra một giai đoạn mới đầy hứa hẹn cho ngành quản trị DN, hành trình chuyển dịch thực tế ở giai đoạn đầu (2025-2026) đang chứng kiến không ít lực cản. Những vướng mắc này không chỉ xuất phát từ năng lực nội tại của tổ chức mà còn đến từ những cách hiểu chưa đúng về bản chất của các chỉ số đánh giá và áp lực dồn dập từ các quy chế pháp lý mới.

Theo Hướng dẫn chuyên môn của IIA về đo lường hiệu suất, việc xây dựng các tiêu chí đánh giá đòi hỏi tính cân bằng và thực tế. Tuy nhiên, nhiều DN đang rơi vào “bẫy định lượng” khi lạm dụng các chỉ số bề nổi mà bỏ qua chất lượng định tính.

Chẳng hạn, tỷ lệ thực hiện khuyến nghị thường được dùng để đánh giá mức độ ảnh hưởng của KTNB, nhưng việc thực thi kiến nghị lại là trách nhiệm và quyền hạn của Ban điều hành, nằm ngoài tầm kiểm soát của KTNB. Hay mức độ đồng thuận của Ban điều hành đối với các phát hiện kiểm toán cũng là một chỉ số có thể xâm phạm nghiêm trọng đến tính độc lập và khách quan của KTNB. Áp lực phải đạt được sự đồng thuận cao dễ tạo ra tiền lệ rằng phát hiện kiểm toán có thể “thương lượng”, làm xói mòn tính trung thực của toàn bộ quy trình kiểm toán…

Thực tế ghi nhận rằng, việc tuân thủ đầy đủ các yêu cầu vô cùng chi tiết và mang tính bắt buộc cao của GIAS là một thách thức đối với các nhóm KTNB có nguồn lực hạn chế. Với số lượng nhân sự ít, KTNB rất khó để vừa bảo đảm tính độc lập tuyệt đối, vừa xây dựng đầy đủ hệ thống tài liệu chiến lược dài hạn theo GIAS, vừa vận hành chương trình đảm bảo và cải thiện chất lượng (QAIP), đồng thời phải thực hiện các đánh giá chất lượng độc lập bên ngoài định kỳ.

Bên cạnh đó, sự thay đổi của các quy định, luật pháp quốc gia cũng tạo thêm áp lực kép cho KTNB, đòi hỏi bộ phận kiểm soát nội bộ và KTNB của các tổ chức phải liên tục cập nhật và phản ứng nhanh. Việc này tạo ra gánh nặng tuân thủ rất lớn nếu DN không có sự chuẩn bị bài bản từ trước.

Khẳng định vai trò tư vấn chiến lược

Để vượt qua rào cản và biến KTNB thành động lực nâng tầm quản trị, IIA khuyến nghị các DN tái định hình hệ thống đo lường hiệu suất theo nguyên tắc SMART (cụ thể, đo lường được, khả thi, liên quan và kịp thời), tránh việc phụ thuộc vào một vài chỉ số định lượng đơn lẻ.

Hệ thống đo lường cần được thiết kế cân bằng giữa các khía cạnh cốt lõi, bao gồm: Mức độ bao phủ rủi ro, kỳ vọng của các bên liên quan, hiệu quả tài chính và vận hành, nhu cầu về nguồn lực con người và hoạt động học tập, phát triển. Thay vì yêu cầu kiểm toán viên bằng chỉ số “tỷ lệ thực hiện khuyến nghị”, CAE nên tập trung đo lường tính hiệu quả của các khuyến nghị trong việc thực sự giảm thiểu rủi ro dài hạn cho tổ chức, tỷ lệ các cuộc kiểm toán tập trung vào đơn vị có rủi ro cao và mức độ ứng dụng công nghệ trong kiểm toán.

Theo IIA, bộ phận KTNB cần áp dụng cách tiếp cận cân bằng và toàn diện, nơi các chỉ số đo lường bổ trợ lẫn nhau, tập trung vào việc đưa ra các khuyến nghị thực sự tạo ra giá trị gia tăng thay vì phụ thuộc vào các thước đo định lượng đơn giản.

Trong kỷ nguyên số, an ninh mạng và rủi ro từ bên thứ ba là 2 điểm nóng của mọi DN. Vì vậy, KTNB phải đánh giá độc lập xem tổ chức đã thiết lập một chiến lược an ninh mạng chính thức và định kỳ cập nhật hay chưa, các chính sách kiểm soát có được truyền thông hiệu quả, hệ thống ứng phó và phục hồi sự cố đã được thiết lập và thử nghiệm định kỳ hay chưa... Đặc biệt, kiểm toán viên phải rà soát từ các kiểm soát nội bộ đến kiểm soát của các nhà cung cấp giải pháp công nghệ để bảo vệ toàn diện tính bảo mật, toàn vẹn và sẵn sàng của hệ thống thông tin.

Chất lượng của một bộ phận KTNB được phản ánh trực tiếp qua các báo cáo gửi tới Hội đồng quản trị, Ban kiểm soát. Một báo cáo kiểm toán đạt chuẩn quốc tế không chỉ liệt kê sơ sài các lỗi vi phạm mà bắt buộc phải cấu thành đầy đủ các yếu tố theo mô hình 5C chuyên nghiệp: Tiêu chuẩn, quy định đang được dùng làm thước đo; thực tế, sai lệch đang diễn ra; nguyên nhân của sự sai lệch; rủi ro hoặc tổn thất tài chính, phi tài chính đối với tổ chức từ việc sai lệch; giải pháp hành động cụ thể, khả thi để khắc phục triệt để nguyên nhân gốc rễ.

Việc áp dụng mô hình báo cáo này giúp xóa bỏ hoàn toàn định kiến KTNB chỉ đi “bới lông tìm vết” hành chính. Thay vào đó, cách tiếp cận này khẳng định vai trò tư vấn chiến lược của kiểm toán, giúp Ban điều hành nhìn rõ điểm nghẽn hệ thống để cải tiến quy trình và tối ưu hóa vận hành.