Kế hoạch kiểm toán nội bộ hằng năm là bản vạch ra năm tới sẽ kiểm toán những gì, ở đâu, mất bao lâu và cần bao nhiêu người. Nghị định 05/2019/NĐ-CP đòi bản kế hoạch này phải đi theo mức độ rủi ro, chừa sẵn quỹ thời gian cho các cuộc kiểm toán đột xuất, và phải được đúng cấp có thẩm quyền phê duyệt. Bài này đi qua sáu bước lập kế hoạch cho năm đầu tiên, khi đơn vị chưa có gì trong tay.
Nghị định 05/2019/NĐ-CP về kiểm toán nội bộ, Điều 13 (phương pháp định hướng theo rủi ro) và Điều 14 (kế hoạch kiểm toán nội bộ hằng năm). Văn bản đang có hiệu lực, đọc toàn văn trên vanban.phaplyvn.com.
Kế hoạch năm phải có những gì
Điều 14 liệt kê đủ năm phần: phạm vi kiểm toán, đối tượng kiểm toán, các mục tiêu kiểm toán, thời gian kiểm toán và việc phân bổ nguồn lực. Hai yêu cầu bắt buộc kèm theo:
- Định hướng theo mức độ rủi ro: nghiệp vụ hoặc bộ phận có rủi ro cao phải được kiểm toán ít nhất mỗi năm một lần.
- Phải dự phòng quỹ thời gian đủ để làm các cuộc kiểm toán đột xuất khi có yêu cầu hoặc khi xuất hiện dấu hiệu sai phạm, dấu hiệu rủi ro cao.
Kế hoạch được điều chỉnh khi quy mô hoạt động, diễn biến rủi ro hay nguồn lực thay đổi cơ bản. Với công ty niêm yết, kế hoạch gửi Hội đồng quản trị và Ban kiểm soát, và thẩm quyền phê duyệt thuộc Hội đồng quản trị.
Sáu bước cho năm đầu tiên
Bước 1: dựng danh mục đối tượng kiểm toán
Liệt kê mọi thứ có thể trở thành một cuộc kiểm toán: từng quy trình nghiệp vụ, từng công ty con, từng chi nhánh, từng hệ thống. Năm đầu nên dừng ở mức 30 tới 60 đối tượng, đủ để không bỏ sót mà vẫn chấm điểm nổi. Nguồn liệt kê dễ nhất là sơ đồ tổ chức, danh mục quy trình và bảng cân đối.
Bước 2: chấm điểm rủi ro từng đối tượng
Mỗi đối tượng chấm theo hai trục, khả năng xảy ra và mức độ ảnh hưởng, mỗi trục một thang từ 1 tới 5. Năm đầu chưa có dữ liệu lịch sử thì lấy điểm từ phỏng vấn ban điều hành và trưởng các bộ phận, cộng với những gì kiểm toán độc lập và cơ quan thuế từng nêu. Ghi lại lý do cho từng điểm, vì sang năm bạn sẽ phải giải thích vì sao điểm đổi.
Bước 3: quy điểm rủi ro thành chu kỳ kiểm toán
| Mức rủi ro | Chu kỳ | Căn cứ |
|---|---|---|
| Cao | ít nhất mỗi năm một lần | điểm a khoản 2 Điều 14 đòi như vậy |
| Trung bình | hai tới ba năm một lần | đơn vị tự chọn, ghi rõ trong quy chế |
| Thấp | ba tới năm năm một lần, hoặc chỉ theo dõi | đơn vị tự chọn, ghi rõ trong quy chế |
Bước 4: tính quỹ thời gian thật sự có
Lấy số người nhân số tuần làm việc trong năm, trừ phép, đào tạo, họp và việc hành chính. Phần còn lại là quỹ giờ kiểm toán. Chia quỹ đó cho số giờ ước tính của một cuộc kiểm toán để biết năm tới làm nổi bao nhiêu cuộc. Nhiều kế hoạch năm đầu đổ vỡ ở chính bước này, vì danh sách mong muốn dài gấp ba lần quỹ giờ.
Bước 5: chừa phần cho việc đột xuất
Khoản 2 Điều 14 đòi dự phòng quỹ thời gian cho kiểm toán đột xuất. Một tỷ lệ nhiều nơi dùng là 10 tới 20% quỹ giờ. Phần này nên ghi thẳng vào kế hoạch thành một dòng có tên, để khi phát sinh thì không phải cắt một cuộc đã hứa.
Bước 6: trình phê duyệt và công bố
Gửi kế hoạch cho đúng những nơi Điều 14 khoản 4 liệt kê, và xin phê duyệt của đúng cấp ở khoản 5. Sau khi duyệt, gửi lịch dự kiến cho các bộ phận sẽ được kiểm toán. Việc báo trước làm cuộc kiểm toán nhẹ đi rất nhiều, trừ các cuộc đột xuất vốn phải giữ bất ngờ.
Ba lỗi hay gặp ở năm đầu
- Kế hoạch theo phòng ban thay vì theo rủi ro. Chia đều mỗi phòng một cuộc nghe công bằng, nhưng trái với phương pháp định hướng theo rủi ro ở Điều 13.
- Chấm điểm rủi ro mà không ghi lý do. Sang năm thứ hai không ai nhớ vì sao quy trình mua hàng được 4 điểm, nên không bảo vệ được khi bị hỏi.
- Không chừa giờ cho việc đột xuất. Tới quý hai có một vụ cần soát ngay, cả kế hoạch vỡ, và cuối năm báo cáo thiếu một nửa số cuộc đã hứa.
Sau kế hoạch là gì
Có kế hoạch rồi thì phần tiếp theo là quy chế và quy trình kiểm toán nội bộ theo Điều 12, rồi tới báo cáo kiểm toán theo Điều 16. Cấu trúc một báo cáo đúng Nghị định 05/2019 và mẫu một phát hiện có trong bài Báo cáo kiểm toán nội bộ viết gì.
Khoá Kiểm toán nội bộ thời AI dạy trọn đường đi này: lập kế hoạch định hướng rủi ro, làm một cuộc kiểm toán từ đầu tới báo cáo, theo Nghị định 05/2019, Thông tư 08/2021 và Chuẩn mực toàn cầu 2024 của IIA, có AI làm trợ lý ở từng bước. Level nâng cao đi tiếp sang kiểm toán chính các hệ thống AI mà doanh nghiệp đang dùng.
Câu hỏi thường gặp
Theo khoản 1 Điều 14 Nghị định 05/2019/NĐ-CP, kế hoạch gồm phạm vi kiểm toán, đối tượng kiểm toán, các mục tiêu kiểm toán, thời gian kiểm toán và việc phân bổ nguồn lực.
Ít nhất mỗi năm một lần. Điểm a khoản 2 Điều 14 Nghị định 05/2019/NĐ-CP đòi những nghiệp vụ hoặc bộ phận điều hành, tác nghiệp có rủi ro cao phải được kiểm toán ít nhất mỗi năm một lần.
Hội đồng quản trị, theo khoản 5 Điều 14 Nghị định 05/2019/NĐ-CP. Kế hoạch của năm tiếp theo phải được gửi cho Hội đồng quản trị và Ban kiểm soát theo khoản 4 cùng điều.
Có. Điểm b khoản 2 Điều 14 đòi kế hoạch phải dự phòng quỹ thời gian đủ để thực hiện các cuộc kiểm toán đột xuất ngay khi có yêu cầu hoặc khi có thông tin về dấu hiệu sai phạm, dấu hiệu rủi ro cao.
Điều 10 Nghị định 05/2019/NĐ-CP nêu ba nhóm: công ty niêm yết; doanh nghiệp mà nhà nước sở hữu trên 50% vốn điều lệ là công ty mẹ hoạt động theo mô hình công ty mẹ và công ty con; doanh nghiệp nhà nước là công ty mẹ hoạt động theo mô hình đó. Các doanh nghiệp khác được khuyến khích làm.
Được. Khoản 3 Điều 14 cho phép điều chỉnh kế hoạch khi có thay đổi cơ bản về quy mô hoạt động, diễn biến rủi ro hay nguồn lực hiện có.