Kiểm toán nội bộ và kiểm soát chất lượng: Những điểm khác biệt ảnh hưởng đến các vai trò trong tổ chức

Sự khác biệt về phạm vi hoạt động và chức năng

Hiệp hội KTNB Hoa Kỳ (IIA) định nghĩa, KTNB là hoạt động tư vấn và đảm bảo độc lập, khách quan được thiết kế để gia tăng giá trị và cải thiện hoạt động của một tổ chức. Nó giúp một tổ chức hoàn thành các mục tiêu của mình bằng cách đưa ra một cách tiếp cận có hệ thống, có kỷ luật để đánh giá và nâng cao hiệu quả của các quy trình quản lý, kiểm soát và quản trị rủi ro.

KTNB liên quan đến việc đánh giá và thử nghiệm các rủi ro và kiểm soát về tài chính, hoạt động và tuân thủ của một tổ chức nhằm đảm bảo rằng các biện pháp kiểm soát của tổ chức là hiệu quả và các rủi ro được quản lý một cách thích hợp. Kiểm toán viên nội bộ đưa ra các khuyến nghị cho ban quản lý về hành động khắc phục để cải thiện hiệu suất của tổ chức. Phạm vi KTNB bao gồm tất cả các khía cạnh hoạt động của tổ chức: Báo cáo tài chính, công nghệ thông tin, nguồn nhân lực và hoạt động.

Ngược lại, KSCL là một chức năng theo dõi, kiểm tra và đề xuất các biện pháp để điều chỉnh các sản phẩm, quy trình và dịch vụ của tổ chức nhằm đáp ứng các tiêu chuẩn chất lượng do ban quản lý đặt ra. KSCL là một quá trình liên tục, bao gồm giám sát và đánh giá kết quả hoạt động của tổ chức theo các tiêu chuẩn chất lượng đã được thiết lập này. Có thể có KSCL hằng ngày, hằng tuần, hằng tháng, hằng quý hoặc thậm chí hằng năm đối với các chức năng và quy trình khác nhau.

Quá trình KSCL liên quan đến việc xác định các khu vực thiếu sót và thực hiện hành động khắc phục để giải quyết mọi bất cập. KSCL có thể được thực hiện bởi một bộ phận được chỉ định báo cáo cho ban quản lý hoặc bởi chính các nhân viên của một đơn vị cụ thể và không có yêu cầu về tính độc lập hay khách quan.

Ví dụ, một chi nhánh của hiệp hội tín dụng có thể có báo cáo hằng ngày về các tài khoản và khoản vay mới mà nhân viên xem xét để đảm bảo rằng tất cả các tài liệu đã được thu thập và tất cả các trường hợp bắt buộc đã được điền vào. KSCL là điều cần thiết để nâng cao sự hài lòng của khách hàng, cải thiện sự gắn kết của nhân viên và giảm chi phí liên quan đến chất lượng kém và lỗi.

Vị trí và vai trò khác nhau trong mô hình 3 tuyến phòng thủ

Theo IIA, mô hình 3 tuyến phòng thủ vạch ra vai trò và trách nhiệm của các nhóm khác nhau trong một tổ chức liên quan đến việc quản lý và giảm thiểu rủi ro. Theo đó, tuyến phòng thủ đầu tiên là một chức năng của quản lý chịu trách nhiệm quản lý rủi ro hằng ngày. Điều này bao gồm các điều khoản được đặt ra cho các sản phẩm, quy trình và dịch vụ. Các nhân viên tuyến đầu trực tiếp giao dịch với khách hàng và các nhân viên điều hành khác chịu trách nhiệm đảm bảo rằng các rủi ro được xác định, đánh giá và quản lý một cách thích hợp.

Tuyến phòng thủ thứ hai chịu trách nhiệm giám sát tuyến phòng thủ đầu tiên về các vấn đề liên quan đến rủi ro, bao gồm các chức năng như: Quản lý rủi ro, tuân thủ và KSCL. Tuyến phòng thủ thứ hai đảm bảo rằng các rủi ro được quản lý nhất quán trong toàn tổ chức và các biện pháp kiểm soát được áp dụng để giảm thiểu những rủi ro đó. Tuyến phòng thủ thứ hai cũng là một chức năng của quản lý.

Tuyến phòng thủ thứ ba chịu trách nhiệm cung cấp sự đảm bảo độc lập và khách quan về tính hiệu quả của các quy trình kiểm soát và quản lý rủi ro của tổ chức. Tuyến phòng thủ thứ ba là chức năng của KTNB, cung cấp đánh giá độc lập và khách quan về các hoạt động quản lý rủi ro của tổ chức.

Kiểm toán viên cần tách biệt rõ ràng 2 chức năng

Ở một số tổ chức, kiểm toán viên nội bộ có thể phải thực hiện một số công việc KSCL vì không ai khác trong tổ chức chịu trách nhiệm về việc này hoặc ban quản lý đã yêu cầu KTNB xem xét các báo cáo hoặc quy trình. Tuy nhiên, những nhiệm vụ này không thuộc trách nhiệm của kiểm toán viên nội bộ và có thể gây ra xung đột lợi ích nếu KTNB thực hiện chúng.

Theo các chuyên gia của IIA, một vấn đề rất khó tách biệt là nếu KTNB không đưa nội dung KSCL vào kế hoạch kiểm toán và đánh giá rủi ro hằng năm thì khả năng cao là sẽ để lọt một vài kẽ hở. Nhưng nếu bao gồm cả nội dung này thì KTNB lại đang tự thực hiện nhiệm vụ của nhóm KSCL. Một vấn đề phức tạp khác rất phổ biến là chính các kiểm toán viên nội bộ không nhận ra hoặc không xác định rõ ràng rằng họ đang thực hiện nhiệm vụ của nhóm KSCL.

Một số ví dụ phổ biến là các kiểm toán viên nội bộ thường xem xét thường xuyên các báo cáo: Giám sát liên tục trên các tài khoản không hoạt động, đánh giá bảo trì tập tin địa chỉ, đánh giá báo cáo bảo trì tập tin, báo cáo số dư âm… Việc xem xét các báo cáo này như một phần của cuộc kiểm toán chính thức không được coi là KSCL, nhưng việc theo dõi hằng ngày hoặc hằng tuần các báo cáo này có thể được coi là KSCL. Là kiểm toán viên nội bộ cho một tổ chức tài chính, điều quan trọng là phải hiểu sự khác biệt giữa KTNB và KSCL, từ đó đảm bảo rằng hai bên được tách biệt rõ ràng.

Bằng cách triển khai mô hình 3 tuyến phòng thủ, các tổ chức có thể đạt được một khung quản lý rủi ro hiệu quả, phân chia rõ ràng nhiệm vụ cho từng nhóm, cung cấp một cách tiếp cận có cấu trúc để quản lý rủi ro và đảm bảo sự độc lập của các quy trình kiểm soát và quản lý rủi ro./.

THÙY LÊ