Lựa chọn đối tượng kiểm toán của kiểm toán nội bộ dựa trên đánh giá rủi ro kiểm soát

TÖØ LYÙ LUAÄN ÑEÁN THÖÏC TIEÃN
NGHIÊN CỨU KHOA HỌC KIỂM TOÁN 47Số 121 - tháng 11/2017
LÖÏA CHOÏN ÑOÁI TÖÔÏNG KIEÅM TOAÙN
CUÛA KIEÅM TOAÙN NOäI BOä DÖÏA TREÂN
ÑAÙNH GIAÙ RUÛI RO KIEÅM SOAÙT
ThS. PHAN THị THùY LINH
Trong mỗi tổ chức, nguồn lực kiểm toán nội bộ (KTNB) thường có sự hạn chế, “khan hiếm” một cách tương đối so với nhu cầu, do vậy, việc lựa chọn đối tượng kiểm toán hợp lý để đạt được mục tiêu kiểm toán và giảm thiểu rủi ro kiểm toán là vấn đề hàng đầu mà bộ phận KTNB quan 
tâm. Điều đó đòi hỏi KTNB cần có phương pháp lựa chọn đối tượng kiểm toán một cách khoa học để phục 
vụ tốt nhất cho hoạt động kiểm toán và phục vụ cho hoạt động quản lý của tổ chức.
Từ khóa: kiểm toán nội bộ, rủi ro kiểm soát, đối tượng kiểm toán
Selection of audit subjects of internal audit based on control risk assessment
In each organization, internal audit resources are often limited, “scarce” in a way relative to demand, so 
the selection of auditor objectively to achieve the Auditing objects and mitigating audit risks are top issues 
that Internal audit Depts concerned about. This requires Internal audit Depts to have a method of selecting 
audit subjects in a scientific way to best serve the audit activities and serve the management activities of the 
organization.
key words: Internal audit, control risk, audit objects
Trong hoạt động kiểm toán hiện đại, các tổ chức 
kiểm toán (trong đó, gồm cả KTNB) thường thực 
hiện kiểm toán dựa trên phương pháp tiếp cận rủi 
ro. Một trong những vấn đề của KTNB là cần lựa 
chọn các đối tượng kiểm toán thích hợp với mục 
tiêu quản lý, phù hợp với năng lực kiểm toán (số 
lượng KTV và thời gian kiểm toán) và giảm thiểu 
rủi ro kiểm toán. Vấn đề đó có thể được giải quyết 
hợp lý thông qua việc ứng dụng đánh giá rủi ro kiểm 
soát để lựa chọn các đối tượng kiểm toán; đó là chủ 
đề mà Tác giả nghiên cứu trong bài viết này. 
1. kiểm toán nội bộ, kiểm soát nội bộ và rủi 
ro kiểm soát
1.1. Mục tiêu và nội dung kiểm toán nội bộ
Trong văn bản “Quy định về trách nhiệm 
KTNB” do IIA ban hành, xác định: “KTNB là một 
chức năng đánh giá độc lập được thiết kế trong một 
tổ chức để kiểm tra và đánh giá những hoạt động 
của tổ chức như là một hoạt động phục vụ cho tổ 
chức” [(1)].
Từ định nghĩa trên, có thể xác định những mục 
tiêu của KTNB là: i) Giúp cho tổ chức hoàn thành 
trách nhiệm; ii) Thúc đẩy hoạt động kiểm soát nội 
bộ (KSNB) hữu hiệu; iii) Hoàn thành mục tiêu của 
tổ chức một cách hiệu quả thông qua việc KTNB 
thực hiện kiểm tra, phân tích, đánh giá, kiến nghị, 
tư vấn về các thông tin liên quan đến hoạt động 
được kiểm toán.
Để thực hiện được những mục tiêu đó, KTNB 
cần thực hiện ba nội dung kiểm toán cơ bản, gồm: 
i) Kiểm toán thông tin hay kiểm toán báo cáo tài 
chính (đánh giá độ tin cậy của các thông tin tài 
chính và hoạt động của tổ chức); ii) Kiểm toán tuân 
thủ (đánh giá sự tuân thủ pháp luật và các quy định 
có tác động đến hoạt động của tổ chức) và iii) Kiểm 
TÖØ LYÙ LUAÄN ÑEÁN THÖÏC TIEÃN
NGHIÊN CỨU KHOA HỌC KIỂM TOÁN48 Số 121 - tháng 11/2017
toán hoạt động (đánh giá tính kinh tế, hiệu quả, 
hiệu lực trong sử dụng các nguồn lực của tổ chức).
1.2. Mục tiêu và nội dung kiểm soát nội bộ
Để thực hiện được “sứ mệnh” trong dài hạn và 
các mục tiêu ngắn hạn của mình, mỗi tổ chức cần 
hoạch định chiến lược phát triển và các kế hoạch 
hành động. Mặt khác, để có thể duy trì được các 
hoạt động theo kế hoạch và đạt được các mục tiêu 
của tổ chức thì mỗi tổ chức đều cần sử dụng một 
công cụ, phương thức tác động đến toàn bộ hoạt 
động của tổ chức, đó là KSNB. KSNB có vị trí rất 
quan trọng, có tác động quyết định đến mức độ 
thực thi các mục tiêu và kế hoạch hoạt động của 
tổ chức. 
KSNB của một tổ chức là việc thiết kế và tổ chức 
thực hiện một hệ thống các chính sách, thủ tục, quy 
trình, quy định nội bộ phù hợp với các quy định 
của pháp luật nhằm phòng ngừa, phát hiện, xử lý 
kịp thời những rủi ro xảy ra trong hoạt động để 
đảm bảo cho tổ chức quản lý và sử dụng tốt nhất 
các nguồn lực, thực hiện được các mục tiêu đề ra.
Các mục tiêu chính của KSNB, gồm: “i) Đảm 
bảo độ tin cậy và tính trung thực của thông tin; 
ii) Đảm bảo sự tuân thủ các chính sách, kế hoạch, 
thủ tục, pháp luật và quy định; iii) Đảm bảo về tài 
sản; iv) Sử dụng hiệu quả và kinh tế các nguồn 
lực; v)Hoàn thành các mục tiêu hoạt động”. (CM 
300.05[2]).
Nội dung của KSNB thể hiện ở 2 mặt cơ bản: i) 
Hệ thống KSNB (các chính sách, thủ tục, quy trình, 
quy định nội bộ) được thiết kế phù hợp với yêu cầu 
của quản lý và mục tiêu của tổ chức; ii) Tổ chức thực 
hiện KSNB là việc áp dụng các quy định của KSNB 
trong quá trình tổ chức sử dụng các nguồn lực trong 
các hoạt động của tổ chức. Mặt tổ chức thực hiện 
là mặt quyết định vai trò, tác dụng của KSNB; tuy 
nhiên, mặt thiết kế hệ thống KSNB với mức độ chất 
lượng khác nhau sẽ là cơ sở và là điều kiện, tác động 
đến hiệu lực thực tiễn của hoạt động KSNB.
1.3. Rủi ro kiểm soát
Trong hoạt động KTNB, việc đánh giá rủi ro 
kiểm toán là cơ sở cho việc thực hiện các hoạt động 
nghiệp vụ kiểm toán một cách khoa học và hiệu 
quả: lựa chọn đối tượng kiểm toán, xác định trọng 
yếu kiểm toán, chọn mẫu các nghiệp vụ trong kiểm 
toán; trong đó, dựa trên đánh giá rủi ro để chọn 
đối lượng kiểm toán trong KTNB là một ứng dụng 
quan trọng của việc đánh giá rủi ro kiểm toán.
Trong các yếu tố tác động đến rủi ro kiểm toán 
(rủi ro tiềm tàng, rủi ro kiểm soát, rủi ro phát hiện) 
thì rủi ro KSNB (thường gọi là rủi ro kiểm soát) là 
yếu tố trung tâm và cũng là yếu tố quan trọng nhất 
NGHIÊN CỨU KHOA HỌC KIỂM TOÁN 49Số 121 - tháng 11/2017
để Kiểm toán viên (KTV) đánh giá rủi ro kiểm toán.
Rủi ro KSNB (sau đây gọi là rủi ro kiểm soát) 
là khả năng mà hệ thống KSNB không ngăn chặn 
được những sai phạm, yếu kém trọng yếu tác động 
đến hoạt động của tổ chức. Như vây, khi xác định 
rủi ro kiểm soát trong giai đoạn lập kế hoạch kiểm 
toán, KTV chưa xét đến hoạt động kiểm soát và 
hiệu lực thực tiễn của hệ thống KSNB.
Rủi ro kiểm soát phụ thuộc vào hệ thống KSNB. 
Hệ thống KSNB bao gồm 3 nhóm yếu tố: i) Nhóm 
yếu tố môi trường kiểm soát (môi trường bên ngoài 
và bên trong tổ chức; ii) Nhóm yếu tố tổ chức hệ 
thống thông tin và truyền thông (tổ chức thông tin 
kế toán, thống kê và tổ chức giám sát, báo cáo); 
iii) Các thủ tục kiểm soát (hệ thống các quy định về 
chính sách, thủ tục, quy trình). Nếu chưa xét đến 
hiệu lực thực tiễn của việc tổ chức thực hiện KSNB 
thì mỗi nhóm yếu tố của hệ thống KSNB sẽ tác động 
đến khả năng hoạt động KSNB không ngăn chặn 
được những sai phạm, yếu kém có thể xẩy ra trong 
hoạt động của tổ chức. Có thể hiểu: hệ thống KSNB 
(gồm các nhóm và các yếu tố của hệ thống KSNB) có 
khả năng (ở mức độ cụ thể khác nhau) tác động đến 
khả năng xẩy ra rủi ro kiểm soát.
2. Quy trình và phương pháp lựa chọn đối tượng 
kiểm toán dựa trên đánh giá rủi ro kiểm soát
2.1. Đối tượng của kiểm toán nội bộ
Đối tượng của KTNB gồm các hoạt động quản 
lý và sử dụng các nguồn lực hoặc tác động đến việc 
quản lý và sử dụng các nguồn lực của tổ chức hoặc 
của các bộ phận của tổ chức phù hợp với mục tiêu, 
kế hoạch hoạt động của tổ chức. Các hoạt động chủ 
yếu được kiểm toán gồm: 
(1) Báo cáo tài chính của tổ chức và của các đơn 
vị trực thuộc;
(2) Các chính sách, thủ tục, quy trình, quy định 
về quản lý và sử dụng các nguồn lực;
(3) Các trung tâm chi phí, trung tâm lợi nhuận, 
trung tâm đầu tư;
(4) Các số dư tài khoản, các nghiệp vụ tài chính;
(5) Các hệ thống thông tin;
(6) Các chức năng, nhiệm vụ của tổ chức;
(7) Các dự án, chương trình hoạt động;
(8) Các bộ phận trong tổ chức hoặc các đơn vị 
trực thuộc tổ chức...
Mỗi đối tượng kiểm toán trên có những đặc 
điểm trong hoạt động khác nhau và cũng tồn tại rủi 
ro kiểm soát. Rủi ro kiểm soát của mỗi hoạt động 
đó đều chịu sự tác động của các yếu tố của hệ thống 
KSNB.
2.2. Quy trình lựa chọn đối tượng kiểm toán 
nội bộ
Việc lựa chọn các đối tượng kiểm toán dựa trên 
đánh giá rủi ro kiểm soát, về tổng quan, gồm các 
bước công việc sau:
(1) Tổng hợp, phân nhóm và lập danh sách các 
đối tượng kiểm toán. KTV phải tổng hợp danh 
sách của tất cả các đối tượng kiểm toán phù hợp với 
phạm vi và các tiêu chí phân nhóm các đối tượng 
kiểm toán. Việc sắp xếp các đối tượng kiểm toán 
vào một nhóm cần đảm bảo có sự tương đồng về 
tính chất hoạt động để phục vụ cho việc lựa chọn 
đối tượng kiểm toán và áp dụng các phương pháp 
kiểm toán thích hợp
(2) Đánh giá rủi ro kiểm soát, phân loại rủi ro 
kiểm soát và sắp xếp các đối tượng kiểm toán theo 
thứ tự về mức độ rủi ro kiểm soát. Trên cơ sở các 
thông tin thu thập được về đối tượng kiểm toán, 
KTV sẽ đánh giá rủi ro kiểm soát và lập bản tổng 
hợp sắp xếp đối tượng kiểm toán của mỗi nhóm 
theo thứ tự về mức độ rủi ro kiểm toán (theo 2 tiêu 
chí là: theo tổng điểm rủi ro kiểm soát và theo điểm 
trung bình rủi ro kiểm soát).
(3) Xác định đối tượng kiểm toán lựa chọn. 
KTV phải dựa trên mục tiêu kiểm toán để xác định 
nguyên tắc lựa chọn đối tượng kiểm toán. Trên cơ 
sở kết quả đánh giá, phân loại rủi ro kiểm soát và 
các nguyên tắc lựa chọn đối tượng kiểm toán, KTV 
sẽ đưa ra quyết định về các đối tượng kiểm toán 
lựa chọn.
2.3. Phương pháp đánh giá rủi ro kiểm soát và 
lựa chọn đối tượng kiểm toán
2.3.1. Các yếu tố tác động đến rủi ro kiểm soát
Để đánh giá rủi ro kiểm soát, trước hết, cần 
TÖØ LYÙ LUAÄN ÑEÁN THÖÏC TIEÃN
NGHIÊN CỨU KHOA HỌC KIỂM TOÁN50 Số 121 - tháng 11/2017
xác định các yếu tố cụ thể, chủ yếu tác động đến 
rủi ro kiểm soát (thực chất là các yếu tố của hệ 
thống KSNB). Vận dụng theo hướng dẫn của IIA 
tại Chuẩn mực thực hành nghề nghiệp kiểm toán 
520.04 [(2)], có thể xác định các yếu tố chủ yếu tác 
đọng đến rủi ro kiểm soát gồm:
Các yếu tố môi trường kiểm soát:
Môi trường bên ngoài:
(1) Những thay đổi về pháp luật và các chính 
sách của Nhà nước;
(2) Những biến động của nền kinh tế, ngành 
kinh tế;
(3) Tác động của các đối thủ cạnh tranh;
(4) Tác động của hoạt động ngoại kiểm (Kiểm 
toán nhà nước, Kiểm toán độc lập, thanh tra );
(KTV có thể phân chia thành nhiều yếu tố cụ 
thể hơn).
Môi trường bên trong:
(5) Tổ chức - nhân sự: những thay đổi về tổ 
chức – nhân sự; năng lực và đạo đức của nhà quản 
lý và nhân viên quản lý;
(6) Kinh tế: tình trạng kinh tế, tài chính của tổ 
chức; quy mô tài sản hoặc vốn của hoạt động;
(7) Tính chất phức tạp của nghiệp vụ hoặc sự 
phân tán trong hoạt động;
(8) Những thay đổi về cơ chế quản lý, công nghệ;
(KTV có thể phân chia thành nhiều yếu tố cụ 
thể hơn).
Các yếu tố về hệ thống thông tin, giám sát:
(9) Tổ chức công tác kế toán, thống kê;
(10) Tổ chức truyền thông (công khai, minh 
bạch, kịp thời);
(11) Các quy định về giám sát, ủy quyền; 
(12) Kết quả KTNB kỳ trước và khoảng các giữa 
2 lần KTNB;
(KTV có thể phân chia thành nhiều yếu tố cụ 
thể hơn).
Các yếu tố về các thủ thục, quy trình kiểm soát:
(13) Sự tuân thủ pháp luật và phù hợp với mục 
đích, mục tiêu của tổ chức và của hoạt động;
(14) Sự đầy đủ, toàn diện của các quy định đối 
với các đối tượng kiểm soát; 
(15) Sự hữu hiệu: tính khả thi của các quy định 
trong thực hiện kiểm soát;
(16) Sự thích ứng: khả năng thích ứng của 
các quy định đối với sự biến động từ môi trường 
kiểm soát.
(KTV có thể phân chia thành nhiều yếu tố cụ 
thể hơn).
2.3.2. Phương pháp đánh giá rủi ro kiểm soát
Đánh giá rủi ro kiểm soát là một tiến trình có tính 
hệ thống để đánh giá và tổng hợp những xét đoán 
mang tính chuyên môn về tình trạng hoặc sự kiện có 
thể xảy ra, gây tác hại cho hoạt động của tổ chức.
Việc đánh giá rủi ro kiểm soát được thực hiện 
như sau:
 (1) Lựa chọn các yếu tố để đánh giá rủi ro kiểm 
soát. Trong thực tế, KTV đánh giá rủi ro kiểm soát 
thường không dựa trên việc đánh giá đối với tất 
cả các yếu tố tác động (quá nhiều) mà dựa trên 
việc lựa chọn những yếu tố chủ yếu (có thể ở mỗi 
nhóm yếu tố của hệ thống KSNB lựa chọn 2 yếu tố 
để đánh giá hoặc nhiều hơn ở một nhóm nào đó, 
tùy theo nhận định của KTV). Việc chọn yếu tố 
để đánh giá rủi ro kiểm soát phải được thống nhất 
trong mỗi nhóm đối tượng kiểm toán; mặt khác, 
những yếu tố của hệ thống KSNB của một nhóm 
đối tượng kiểm toán mà được xét đoán là có sự 
tương đương về mức độ rủi ro kiểm soát thì có thể 
không đưa vào danh mục các yếu tố để đánh giá.
(2) Lượng hóa rủi ro kiểm soát cho từng yếu tố. 
Dựa trên các thông tin thu thập được về đối tượng 
kiểm toán và nhận định của KTV về mức độ rủi ro 
kiểm soát do từng yếu tố của hệ thống KSNB tác 
động (đã được lựa chọn) để lượng hóa rủi ro kiểm 
soát theo 5 mức độ: rất cao (5 điểm); cao (4 điểm); 
trung bình (3 điểm); thấp (2 điểm); rất thấp (1 điểm).
(3) Xác định trọng số cho rủi ro kiểm soát. Mặc 
dù là các yếu tố độc lập tương đối tác động đến 
rủi ro kiểm soát, song, giữa chúng cũng có mức độ 
NGHIÊN CỨU KHOA HỌC KIỂM TOÁN 51Số 121 - tháng 11/2017
“quan trọng” về mức độ tác động đến rủi ro kiểm 
soát khác nhau (ví dụ: i) Các quy định càng có tính 
trực tiếp đối với hoạt động KSNB thì có xu hướng 
tác động “quan trọng” càng lớn: các yếu tố về thủ 
tục, quy trình kiểm soát có tác động “quan trọng” 
lớn hơn các yếu tố về môi trường kiểm soát; ii) Các 
yếu tố có sự biến động lớn sẽ có tác động “quan 
trọng” hơn các yếu tố ít biến động ). Do vậy, dựa 
trên những đánh giá về mức độ tác động “quan 
trọng” của các yếu tố, KTV xác định “trọng số” tác 
động rủi ro kiểm soát. Có thể xác định ở 3 mức: yếu 
tố có mức độ tác động “quan trọng” lớn (trọng số 
2); mức độ tác động “quan trọng” trung bình (trọng 
số 1,5); mức độ “quan trọng” thấp (trọng số 1). 
(4) Tổng hợp và phân loại rủi ro kiểm soát. Trên 
cơ sở xác định điểm rủi ro và trọng số rủi ro, KTV 
tính toán sự tác động của từng yếu tố đến rủi ro 
kiểm soát và tổng hợp rủi ro kiểm soát của các yếu 
tố (được lựa chọn) cho từng đối tượng kiểm toán 
trong cùng một nhóm đối tượng kiểm toán. Để tạo 
cơ sở cho lựa chọn đơn vị được kiểm toán cần phân 
loại rủi ro kiểm soát. Việc phân loại rủi ro kiểm 
soát được thực hiện theo phương pháp: i) Xếp loại 
rủi ro kiểm soát theo thứ tự từ rủi ro cao xuống 
thấp; ii) Xác định điểm rủi ro bình quân kiểm soát 
theo phương pháp tính bình quân gia quyền rủi ro 
của từng đối tượng kiểm toán; iii) Phân loại rủi ro 
kiểm soát cho từng đối tượng kiểm toán: dựa trên 
điểm rủi ro bình quân của từng đối tượng kiểm 
toán, thực hiện xếp loại: rủi ro rất cao (điểm từ 
trên 4 đến 5 điểm); rủi ro cao (điểm từ trên 3 đến 
4 điểm); rủi ro trung bình (điểm từ trên 2 đến 3 
điểm); rủi ro thấp (điểm từ 1 đến 2 điểm); rủi ro 
thấp (điểm từ trên 0 đến 1 điểm).
2.3.3. Xác định nguyên tắc lựa chọn đối tượng 
kiểm toán
Để lựa chon đối tượng kiểm toán cần xác định 
các nguyên tắc lựa chọn phù hợp với từng mục tiêu 
kiểm toán. Có 3 trường hợp lựa chọn như sau:
(1) Chọn đối tượng kiểm toán có mức rủi ro 
trên mức trung bình. Nguyên tắc này thể hiện mục 
tiêu kiểm toán hướng vào các đối tượng có rủi ro 
kiểm soát cao. Trong trường hợp này, KTV chỉ cần 
dựa trên bảng tổng hợp rủi ro kiểm soát (điểm rủi 
ro bình quân) để chọn tất cả các đối tượng kiểm 
toán có mức rủi ro kiểm soát được xếp loại cao và 
rất cao.
(2) Chọn đối tượng kiểm toán theo giới hạn 
khả năng kiểm toán. Nguyên tắc này thể hiện mục 
tiêu kiểm toán hướng vào việc khai thác cao nhất 
khả năng kiểm toán. Trong trường hợp này, KTV 
chỉ cần dựa trên bảng tổng hợp rủi ro kiểm soát 
(xếp theo thức tự rủi ro kiểm soát) để chọn các đối 
tượng kiểm toán có mức rủi ro kiểm soát từ cao 
xuống thấp cho đến khi số lượng phù hợp với dự 
kiến về khả năng kiểm toán.
(3) Chọn đối tượng kiểm toán đại diện cho tổng 
thể. Nguyên tắc này thể hiện mục tiêu kiểm toán 
hướng vào việc kiểm toán toàn diện các đối tượng 
kiểm toán đại diện cho các mức rủi ro kiểm soát. 
Trong trường hợp này, KTV chỉ cần dựa trên bảng 
tổng hợp rủi ro kiểm soát (xếp theo thức tự rủi ro 
kiểm soát và theo phân loại rủi ro kiểm soát) để 
chọn tại mỗi mức rủi ro (5 mức) chọn theo một tỉ 
lệ (được xác định trước) các đối tượng kiểm toán; 
trong mỗi mức rủi ro kiểm soát có thể chọn đối 
tượng theo phương pháp từ trên xuống (theo tổng 
điểm rủi ro) hoặc theo lựa chọn ngẫu nhiên.
kết luận
Đánh giá rủi ro kiểm soát dựa trên phương 
pháp lượng hóa làm cơ sở cho việc lựa chọn hợp 
lý các đối tượng kiểm toán trong hoạt động KTNB 
là một phương pháp mang tính khoa học và khả 
thi; việc áp dụng phương pháp đó trong thực tiễn 
KTNB (đặc biệt là tại các tổ chức có quy mô tương 
đối lớn) sẽ tạo cơ sở cho việc giảm thiểu rủi ro kiểm 
toán, nâng cao hiệu quả và chất lượng kiểm toán 
của KTNB.
TÀI LIỆU THAM KHẢO
1. Quy định về trách nhiệm của kiểm toán nội 
bộ của IIA, 1990.
2. Chuẩn mực thực hành nghề nghiệp Kiểm 
toán nội bộ của IIA, 1993.
3. Kiểm toán nội bộ - khái niệm và quy trình, 
NXB Thống kê, 1999.