1. Giới thiệu
Trong kiểm toán dự án đầu tư xây dựng công trình kiểm toán viên nhà nước cần phải tìm hiểu hệ thống kiểm soát nội bộ hay còn gọi là hệ thống kiểm soát quản lý dự án của đơn vị được kiểm toán và các bên liên quan cho việc đánh giá sơ bộ rủi ro kiểm soát. Kết quả đánh giá rủi ro kiểm soát sẽ được sử dụng để quyết định loại và phạm vi áp dụng các thủ tục kiểm toán bao gồm thử nghiệm kiểm soát và thử nghiệm cơ bản. Mặc dù Kiểm toán nhà nước Việt Nam đã ban hành hướng dẫn phương pháp đánh giá hệ thống kiểm soát nội bộ và các thủ tục kiểm toán cần áp dụng nhưng qua khảo sát cho thấy còn thiếu hướng dẫn cụ thể việc vận dụng mô hình rủi ro kiểm toán trong việc xác định mức độ tin cậy tối thiểu làm cơ sở quyết định việc loại và phạm vi áp dụng các thử nghiệm kiểm toán.
Nghiên cứu này nhằm mục tiêu phát triển phương pháp đánh giá rủi ro kiểm soát qua việc ứng dụng mô hình rủi ro kiểm toán. Qua đó cung cấp phương pháp luận và phương tiện hỗ trợ cho các Kiểm toán viên nhà nước trong việc thiết kế các thử nghiệm kiểm toán trong kiểm toán dự án đầu tư xây dựng công trình.
2. Thủ tục kiểm toán
Thủ tục kiểm toán là các bước và nội dung công việc được Kiểm toán viên nhà nước sử dụng để thu thập bằng chứng kiểm toán đầy đủ và thích hợp để hình thành nên các ý kiến kiểm toán. Chúng bao gồm hai thủ tục là thử nghiệm kiểm soát và thử nghiệm cơ bản với 8 phương pháp thu thập bằng chứng chủ yếu gồm: quan sát, phỏng vấn, kiểm tra, xác nhận từ bên ngoài, tính toán lại, thực hiện lại, các thủ tục phân tích, và điều tra (nếu có). Các phương pháp thu thập bằng chứng kiểm toán thường được thực hiện kết hợp với nhau.
Thử nghiệm kiểm soát là thủ tục kiểm toán được thiết kế nhằm đánh giá sự hữu hiệu của hoạt động kiểm soát trong việc ngăn ngừa, hoặc phát hiện và sửa chữa các sai sót trọng yếu ở cấp độ cơ sở dẫn liệu. Kiểm toán viên nhà nước có thể sử dụng bốn loại phương pháp kiểm toán để đánh giá sự hữu hiệu của các hoạt động kiểm soát gồm phỏng vấn, kiểm tra tài liệu, quan sát các hoạt động liên quan và thực hiện lại các thủ tục kiểm soát của khách hàng. Phạm vi các thử nghiệm kiểm soát áp dụng phụ thuộc vào rủi ro kiểm soát đã đánh giá sơ bộ. Nếu Kiểm toán viên nhà nước muốn rủi ro kiểm soát đã đánh giá ở mức thấp hơn, cần họ phải thực hiện nhiều thử nghiệm kiểm soát hơn bao gồm cả số lượng và phạm vi áp dụng.
Thử nghiệm cơ bản là thủ tục kiểm toán được thiết kế nhằm phát hiện các sai sót trọng yếu ở cấp độ cơ sở dẫn liệu. Các thử nghiệm cơ bản bao gồm (i) thủ tục phân tích cơ bản; (ii) kiểm tra chi tiết (các nhóm giao dịch và sự kiện, số dư và thông tin thuyết minh).
Mối quan hệ giữa các thử nghiệm kiểm soát và thủ tục kiểm toán để đạt được sự hiểu biết về hệ thống kiểm soát quản lý dự án
Có sự trùng lặp giữa việc áp dụng các thử nghiệm kiểm soát và các thủ tục kiểm toán nhằm đạt được sự hiểu biết. Chúng bao gồm phỏng vấn, kiểm tra tài liệu và quan sát. Có hai khác biệt chủ yếu trong việc áp dụng các thủ tục chung này:
‐ Một là, thử nghiệm kiểm soát được thực hiện nhằm đánh giá rủi ro kiểm soát trong khi đó thủ tục kiểm toán được áp dụng nhằm đạt được sự hiểu biết về hệ thống kiểm soát quản lý dự án;
‐ Hai là, thủ tục kiểm toán áp dụng trong tìm hiểu kiểm soát quản lý dự án được thực hiện chỉ một hoặc một vài giao dịch và sự kiện hoặc trong trường hợp quan sát tại một thời điểm, trong khi đó, các thử nghiệm kiểm soát được thực hiện với quy mô lớn hơn.
3. Đánh giá rủi ro kiểm soát
Sau khi đạt được sự hiểu biết về hệ thống kiểm soát quản lý dự án, xác định được những hạn chế và yếu kém của kiểm soát quan trọng, kết nối chúng với các mục tiêu kiểm toán liên quan để đánh giá rủi ro kiểm soát cho từng mục tiêu. Đánh giá rủi ro kiểm soát đòi hỏi Kiểm toán viên nhà nước phải xem xét trên cả hai phương diện là thiết kế và hoạt động của các kiểm soát có hữu hiệu trong việc đáp ứng các mục tiêu kiểm toán liên quan.
Việc đánh giá sơ bộ rủi ro kiểm soát đòi hỏi Kiểm toán viên nhà nước phải xem xét năm thành phần của hệ thống kiểm soát quản lý dự án gắn với ba cấp độ kiểm soát quản lý dự án gồm (i) kiểm soát quyết định là các kiểm soát thiết yếu quyết định sự cần thiết đầu tư dự án của cấp quyết định chủ trương đầu tư và cấp quyết định đầu tư; (ii) cấp độ kiểm soát trung gian (gián tiếp) là hoạt động kiểm soát của các cơ quan thanh, kiểm tra và kiểm soát của cơ quan cấp vốn và (iii) kiểm soát trực tiếp là hoạt động kiểm soát việc quản lý thực hiện dự án của chủ đầu tư, các nhà thầu tư vấn và các nhà thầu thi công xây dựng. Trong quá trình đánh giá rủi ro kiểm soát, Kiểm toán viên nhà nước cần cân nhắc liệu một thủ tục kiểm soát cụ thể có thể ngăn ngừa hoặc phát hiện và sửa chữa các sai lệch trọng yếu hay không, mà không nhằm mục đích phân loại thủ tục đó thuộc thành phần nào trong hệ thống kiểm soát quản lý dự án. Nếu một kiểm soát dự kiến không tồn tại, Kiểm toán viên nhà nước nên thực hiện phỏng vấn để tìm hiểu xem liệu có bất kỳ thủ tục kiểm soát nào khác có thể thay thế hoặc bổ sung cho những hạn chế này. Ví dụ, chủ đầu tư có bố trí nhân sự thực hiện hoạt động giám sát công tác khảo sát địa chất và địa hình của đơn vị tư vấn. Trường hợp không bố trí nhân sự thì chủ đầu tư có thiết kế thủ tục kiểm soát nào khác để giám sát hoạt động của đơn vị tư vấn khảo sát địa chất và địa hình hay không. Theo đó, Kiểm toán viên nhà nước phải thực hiện phỏng vấn để biết được liệu chủ đầu tư có áp dụng các thủ tục kiểm soát thay thế. Đánh giá của Kiểm toán viên nhà nước về rủi ro kiểm soát có thể là Thấp, Trung bình hoặc Cao như chỉ ra trong Bảng 1
Bảng 1. Đánh giá hệ thống kiểm soát quản lý dự án và rủi ro kiểm soát
| Tình trạng hệ thống quản lý dự án |
Rủi ro kiểm soát |
Nội dung |
| Xuất sắc |
Thấp |
Thông tin từ các cuộc kiểm toán trước hoặc từ kết quả thanh tra, kiểm tra của cơ quan thanh tra cho thấy đơn vị quản lý và thực hiện dự án tốt và hữu hiệu không tồn tại sai sót, hạn chế. |
| Tốt |
Trung bình |
Hệ thống quản lý dự án được xây dựng đầy đủ, đồng bộ và có khả năng hoạt động hữu hiệu trong thời kỳ thực hiện dự án. |
| Yếu kém |
Cao |
Kiểm soát quản lý và thực hiện dự án không tồn tại hoặc được thiết kế và hoạt động không phù hợp, hữu hiệu. |
Ngoài việc đánh giá rủi ro kiểm soát đối với tất cả các rủi ro thiết yếu, Kiểm toán viên nhà nước cũng cần đánh giá khả năng kiểm soát của đơn vị đối với những rủi ro mà theo đánh giá của Kiểm toán viên nhà nước, việc giảm rủi ro xuống mức thấp có thể chấp nhận được là không thể hoặc không thể thực hiện được nếu chỉ sử dụng các thử nghiệm kiểm toán chi tiết. Chẳng hạn, nếu hệ thống thông tin của một tổ chức cho phép xử lý tự động cao với sự can thiệp thủ công tối thiểu, việc đánh giá và thử nghiệm kiểm soát về tính chính xác và đầy đủ của thông tin cung cấp đầy đủ bằng chứng kiểm toán thích hợp mà không cần thực hiện thêm các thử nghiệm kiểm soát khác để xác nhận mục tiêu này. Ví dụ khi kiểm tra liệu các bản vẽ của một công trình xây dựng được thực hiện trên phần mềm thiết kế Autocad có đảm bảo chính xác, Kiểm toán viên nhà nước chỉ cần nhập các thông số, dữ liệu đầu vào đối với một số trắc ngang và dọc để kiểm tra mà không cần thiết phải kiểm tra tính chính xác của toàn bộ các mặt cắt đó.
Lưu ý đánh giá tổng thể về rủi ro kiểm soát không được tốt hơn đánh giá về môi trường kiểm soát vì ngay cả khi các thủ tục kiểm soát được đánh giá ở mức “xuất sắc” cũng có thể không thực sự hữu hiệu khi chúng lệ thuộc vào môi trường kiểm soát yếu kém. Kiểm toán viên nhà nước nên thiết kế và thực hiện các thử nghiệm kiểm soát khi:
‐ Đánh giá của Kiểm toán viên nhà nước về rủi ro có sai lệch trọng yếu tại mức độ cơ sở dẫn liệu bao gồm kỳ vọng rằng các kiểm soát đang hoạt động hữu hiệu (nghĩa là, Kiểm toán viên nhà nước dự định dựa vào tính hữu hiệu trong hoạt động của các kiểm soát khi xác định nội dung, lịch trình và phạm vi thực hiện các thủ tục kiểm toán cơ bản);
‐ Các thử nghiệm kiểm soát không thể cung cấp đủ bằng chứng kiểm toán thích hợp ở cấp độ cơ sở dẫn liệu.
‐ Để đạt được kết luận về việc xây dựng hệ thống kiểm soát quản lý dự án, Kiểm toán viên nhà nước có thể dựa trên kết quả đánh giá sự phù hợp và hữu hiệu của các kiểm soát thiết yếu ở mức cao để đưa ra các kết luận tổng thể về hệ thống kiểm soát quản lý dự án. Nếu Kiểm toán viên nhà nước đánh giá rằng hệ thống kiểm soát quản lý dự án được thiết kế phù hợp, kỳ vọng rằng kiểm soát nội bộ hoạt động liên tục và hữu hiệu trong suốt thời kỳ được xem xét và có ý định dựa vào kiểm soát đó, thì Kiểm toán viên nhà nước phải thiết kế các thử nghiệm kiểm soát và thực hiện theo thứ tự các thử nghiệm này để xác nhận hoạt động của các kiểm soát đó. Kiểm toán viên nhà nước không cần thực hiện các thử nghiệm kiểm soát nếu nhận thấy chúng được thiết kế yếu kém và không đủ tin cậy để dựa vào chúng.
4. Đánh giá rủi ro phát hiện
Sau khi đánh giá rủi ro kiểm soát, Kiểm toán viên nhà nước sử dụng kết quả đánh giá rủi ro kiểm soát và thử nghiệm kiểm soát để xác định rủi ro phát hiện và thử nghiệm cơ bản liên quan đến các báo cáo dự án đầu tư. Kiểm toán viên nhà nước thực hiện điều này bằng cách kết nối giữa đánh giá rủi ro kiểm soát với mục tiêu kiểm toán liên quan đến các cơ sở dẫn liệu liên quan. Mức độ rủi ro phát hiện phù hợp đối với từng mục tiêu kiểm toán liên quan đến từng cơ sở dẫn liệu kiểm toán (số dư khoản mục, giao dịch và sự kiện, trình bày và công bố).
Rủi ro phát hiện (DR) là rủi ro được kiểm soát bởi các Kiểm toán viên nhà nước, là rủi ro mà họ không phát hiện được các sai lệch mà hệ thống kiểm soát quản lý dự án không thể ngăn ngừa, phát hiện hoặc xử lý. Dựa trên mức rủi ro kiểm toán được chấp nhận và kết quả đánh giá rủi ro tiềm tàng và rủi ro kiểm soát, Kiểm toán viên nhà nước xác định nội dung, lịch trình và phạm vi các thủ tục kiểm toán cần thiết để đạt được rủi ro phát hiện.
Nếu rủi ro kiểm toán được yêu cầu ở mức thấp hơn, rủi ro phát hiện có thể điều chỉnh giảm xuống thông qua việc thực hiện thêm các thủ tục kiểm toán chi tiết nhằm đảm bảo phát hiện được các sai sót trọng yếu hoặc việc không tuân thủ pháp luật. Trường hợp, Kiểm toán viên nhà nước dựa vào hệ thống kiểm soát quản lý dự án, các thử nghiệm kiểm soát cần phải được thực hiện. Nếu các kiểm soát không đảm bảo chức năng như đã định, rủi ro kiểm soát tăng lên, theo đó, rủi ro phát hiện phải giảm xuống, đồng nghĩa với việc cần nhiều hơn các thủ tục kiểm toán chi tiết. Khu vực nào rủi ro kiểm soát được đánh giá ở mức cao, Kiểm toán viên nhà nước phải dựa chủ yếu vào các thử nghiệm kiểm toán chi tiết bởi vì không thể dựa vào hệ thống kiểm soát quản lý dự án của đơn vị được kiểm toán.
Theo mô hình rủi ro kiểm toán, khởi đầu Kiểm toán viên nhà nước phải đánh giá rủi ro tiềm tàng (IR) đối với dự án đầu tư ở hai mức cao/không cao và đánh giá sơ bộ rủi ro kiểm soát quản lý dự án (CR) ở ba mức kém/tốt/hữu hiệu nhằm mục đích ước lượng mức độ tin cậy từ kết quả hoạt động của hệ thống kiểm soát quản lý dự án. Tùy thuộc vào kết quả, mức độ thử nghiệm chi tiết sẽ cung cấp mức độ tin cậy cần đạt được.
Do thử nghiệm kiểm toán cần có độ tin cậy 95%, nội dung và phạm vi của các thử nghiệm kiểm toán chi tiết theo kế hoạch sẽ khác nhau, tùy thuộc vào đánh giá của Kiểm toán viên nhà nước về cả rủi ro tiềm tàng và rủi ro kiểm soát (được biết đến đánh giá rủi ro sai sót trọng yếu).
Bảng 2 minh họa các thành phần của mô hình rủi ro kiểm toán (AR) và các kết quả khác nhau của các thử nghiệm kiểm toán được áp dụng. Giá trị gán cho rủi ro tiềm tàng (không cao = 0,6 và cao là 1,0) và đánh giá rủi ro kiểm soát (thấp = 0,15; trung bình = 0,25 và cao 1,0). Trường hợp rủi ro kiểm toán được cơ quan kiểm toán chấp thuận là 5% và Kiểm toán viên nhà nước sử dụng mô hình rủi ro kiểm toán để xác định rủi ro phát hiện (DR) theo phương trình DR =AR/(IR x CR).
Bảng 2. Mô hình đánh giá rủi ro kiểm toán để xác định mức độ tin cậy tối thiểu
| Đánh giá rủi ro tiềm tàng (IR) |
Đánh giá rủi ro kiểm soát dự án (CR) |
Mức độ đảm bảo xác định từ đánh giá rủi ro |
Mức độ đảm bảo còn lại cần thực hiện thực nghiệm kiểm toán chi tiết |
Mức độ tin cậy tối thiểu cần đạt được qua thực hiện các thử nghiệm kiểm toán chi tiết (%) |
| 1 |
2 |
3 |
4 |
5 |
| Không cao |
Hữu hiệu |
Mức độ đảm bảo kiểm soát cao. |
Tối thiểu |
45 |
| Tốt |
Mức độ đảm bảo kiểm soát trung bình. |
Tiêu chuẩn |
67 |
| Kém |
Mức độ đảm bảo kiểm soát thấp. |
Trọng yếu |
92 |
| Cao |
Hữu hiệu |
Mức độ đảm bảo kiểm soát cao. |
Tối thiểu |
67 |
| Tốt |
Mức độ đảm bảo kiểm soát trung bình. |
Tiêu chuẩn |
80 |
| Kém |
Mức độ đảm bảo kiểm soát thấp. |
Trọng yếu |
95 |
Nguồn Arens & cộng (2017)
Ví dụ với tình huống tốt nhất (IR =0,6 và CR = 0,15) với mức rủi ro kiểm toán 5%, rủi ro phát hiện là 55% (0,05x100%/0,6x0,15). Theo mô hình trên, mức độ tin cậy cần đạt được qua việc áp dụng các thử nghiệm chi tiết là 45% (1-0,55).
Với tình huống xấu nhất (IR= 1 và CR =1) với mức mức rủi ro kiểm toán 5%, rủi ro phát hiện là 5% (0,05x100%/1x1). Theo mô hình trên, mức độ tin cậy cần đạt được qua việc áp dụng các thử nghiệm chi tiết là 95%.
Vận dụng mô hình đánh giá rủi ro kiểm toán để xác định loại và phạm vi áp dụng các thử nghiệm kiểm toán
Kiểm toán viên nhà nước phải quyết định xem liệu công việc và kết quả thu được trong quá trình đánh giá tổng thể hệ thống kiểm soát quản lý dự án cũng như các thử nghiệm cơ bản có đủ để cung cấp mức độ tin cậy cần thiết đối với dự án được kiểm toán hay không. Bảng này nên được sử dụng một cách rõ ràng. Trong trường hợp không thể thực hiện tất cả các công việc kiểm toán cần thiết để đạt đến mức tin cậy 95%, thì Kiểm toán viên nhà nước phải thu thập thêm bằng chứng kiểm toán bằng các thủ tục kiểm toán thay thế (ví dụ: sử dụng kết quả thanh tra, kiểm tra của cơ quan khác) hoặc giới hạn phạm vi kiểm toán.
Trường hợp mức độ tin cậy tối thiểu cần đạt được thấp, ví dụ trên là 45% (Cột 5 Bảng 2), Kiểm toán viên nhà nước chỉ cần thực hiện các thử nghiệm cơ bản ở mức tối thiểu theo nguyên tắc các thử nghiệm kiểm soát được thực hiện kết hợp với số lượng hạn chế các thử nghiệm chi tiết. Tuy nhiên cần lưu ý một số thử nghiệm chi tiết cần phải được thực hiện do (i) rủi ro do thông đồng, lạm quyền, v.v., và (ii) chuẩn mực kiểm toán nêu rõ rằng tất cả các khoản mục trọng yếu phải được kiểm tra.
Trường hợp độ tin cậy ở mức tiêu chuẩn, ví dụ trên là 80% (Cột 5 Bảng 2), Kiểm toán viên nhà nước cần áp dụng nguyên tắc các thử nghiệm kiểm soát được thực hiện kết hợp với một số lượng lớn các thử nghiệm chi tiết, vì phần lớn độ tin cậy theo yêu cầu đạt được thông qua các thử nghiệm chi tiết.
Trường hợp độ tin cậy ở mức trọng yếu, ví dụ trên là 92% và 95% (Cột 5 Bảng 2), Kiểm toán viên nhà nước thực hiện chủ yếu các thử nghiệm cơ bản (kiểm tra chi tiết). Tuy nhiên trong một số trường hợp, Kiểm toán viên nhà nước cần thực hiện một số thử nghiệm kiểm soát với mục đích cung cấp phản hồi cho lãnh đạo đơn vị về các điểm yếu của kiểm soát (chỉ ra tồn tại, yếu kém trong quản lý thực hiện dự án).
5. Kết luận và hàm ý chính sách
Tiếp cận trọng yếu và đánh giá rủi ro là một trong những phương pháp tiếp cận kiểm toán hiện đại nhưng chủ yếu áp dụng trong kiểm toán báo cáo tài chính của các doanh nghiệp. Kiểm toán dự án đầu tư xây dựng công trình bao gồm cả kiểm toán báo cáo tài chính, kiểm toán tuân thủ và kiểm toán hoạt động. Do đó, việc vận dụng mô hình kiểm toán để thiết kế các thử nghiệm kiểm toán cũng có những khác biệt. Nghiên cứu đề xuất phương pháp và cách thức đánh giá rủi ro kiểm soát và thiết kế các thử nghiệm kiểm toán. Đồng thời cung cấp khung xác định rủi ro và mức độ tin cậy tối thiểu cần đạt được qua thực hiện các thử nghiệm kiểm toán chi tiết.
TÀI LIỆU THAM KHẢO
Alvin A. Arens, Randal J. Elder, Chris E Hogan & Mark S. Beasley (2017), Auditing and Assurance Services, An Integrated Approach (14th edition), Pearson Education – Prentice Hall.
Tổng KTNN (2023), Quyết định 63/QĐ-KTNN ngày 10 tháng 2 năm 2023 của Tổng KTNN ban hành hướng dẫn vận dụng phương pháp tiếp cận kiểm toán dựa trên đánh giá rủi ro và xác định trọng yếu kiểm toán khi thực hiện kiểm toán tài chính trong lĩnh vực kiểm toán dự án đầu tư, KTNN, 2023
Tổng KTNN (2021), Quyết định 47/QĐ-TKTNN ngày 14/01/2021 của Tổng KTNN ban hành Hướng dẫn kiểm toán dự án đầu tư xây dựng công trình, KTNN, 2021.
TS. Đặng Anh Tuấn - Đại học Công nghiệp Thành phố Hồ Chí Minh