監査報告書 nội bộ không phải là một tập hợp số liệu để lưu trữ trong ngăn kéo sau mỗi kỳ họp Hội đồng quản trị. Theo 政令05/2019/ND-CP, đây là công cụ đánh giá độc lập giúp doanh nghiệp nhận diện sớm những lỗ hổng trong hệ thống kiểm soát trước khi chúng trở thành thiệt hại tài chính thực sự. Với hơn 30 năm quan sát hàng trăm cuộc kiểm toán tại các tập đoàn, doanh nghiệp FDI và công ty niêm yết, chúng tôi nhận thấy phần lớn HĐQT chỉ đọc kết luận mà bỏ qua phần quan trọng nhất: nguyên nhân gốc rễ của rủi ro.
Bài viết này được xây dựng từ góc nhìn của MAN – マスター会計士ネットワーク, đơn vị tư vấn kiểm toán và thuế với đội ngũ chuyên gia trên 30 năm kinh nghiệm thực tế, am hiểu sâu sắc quản trị rủi ro thuế tại Việt Nam. Nội dung tập trung vào điều mà Ban lãnh đạo thực sự cần: hệ thống đang hỏng ở đâu, rủi ro nào đang đe dọa công ty và làm sao để tài liệu này trở thành công cụ ra quyết định, chứ không chỉ là thủ tục tuân thủ.
| Báo cáo kiểm toán nội bộ là tài liệu trình bày kết quả đánh giá độc lập về hệ thống kiểm soát, quản trị rủi ro và tuân thủ của doanh nghiệp. |
| Dùng để làm gì: cung cấp căn cứ cho HĐQT, Ban kiểm soát và CEO ra quyết định khắc phục rủi ro và cải thiện vận hành. |
| Áp dụng cho ai: bắt buộc với công ty niêm yết, doanh nghiệp nhà nước, doanh nghiệp có trên 50% vốn nhà nước; khuyến khích với doanh nghiệp còn lại. |
| Khi nào cần lập: định kỳ theo kế hoạch kiểm toán năm, hoặc đột xuất khi phát sinh dấu hiệu rủi ro trọng yếu. |
| Căn cứ pháp lý chính: Nghị định 05/2019/NĐ-CP và các chuẩn mực kiểm toán nội bộ quốc tế của IIA. |
Báo cáo kiểm toán nội bộ là gì theo quy định pháp luật hiện hành?
Theo Nghị định 05/2019/NĐ-CP, 内部監査 là hoạt động đánh giá độc lập, khách quan về hệ thống kiểm soát nội bộ, quản trị rủi ro và quy trình quản trị của đơn vị. Báo cáo là sản phẩm ghi nhận toàn bộ kết quả của quá trình đó, bao gồm phát hiện, đánh giá mức độ ảnh hưởng và kiến nghị khắc phục.
Điểm cần phân biệt rõ: tài liệu này khác hoàn toàn báo cáo kiểm toán độc lập. Báo cáo kiểm toán độc lập đưa ra ý kiến về tính trung thực của báo cáo tài chính, phục vụ cổ đông và bên thứ ba. Trong khi đó, sản phẩm của kiểm toán nội bộ phục vụ chính doanh nghiệp, tập trung vào việc hệ thống vận hành có đang bảo vệ được tài sản và mục tiêu chiến lược hay không.
Ngoài ra, phạm vi đánh giá cũng khác nhau đáng kể. Kiểm toán độc lập chỉ nhìn vào con số cuối kỳ, còn kiểm toán nội bộ theo dõi cả quá trình hình thành ra con số đó, từ khâu phê duyệt, ghi nhận đến lưu trữ chứng từ. Chính vì bám sát toàn bộ chuỗi vận hành, tài liệu này thường phát hiện được những rủi ro mà kiểm toán độc lập không có phạm vi để chạm tới.
Vì sao Hội đồng quản trị cần quan tâm báo cáo kiểm toán nội bộ thay vì chỉ đọc số liệu tài chính?
Báo cáo tài chính cho biết công ty đang ở đâu về mặt kết quả. Tài liệu này lại cho biết công ty đang vận hành như thế nào để đạt được kết quả đó, và quan trọng hơn, hệ thống nào đang có kẽ hở khiến kết quả trong tương lai có thể sai lệch.
Theo góc nhìn từ MAN – マスター会計士ネットワーク, một doanh nghiệp có lợi nhuận tốt vẫn có thể đang tích lũy rủi ro ngầm: quy trình phê duyệt chi phí lỏng lẻo, phân quyền hệ thống chồng chéo, hoặc hồ sơ chứng từ không đủ điều kiện đối chiếu khi cơ quan thuế thanh tra. Đây là những vấn đề mà báo cáo tài chính không bao giờ thể hiện, nhưng bộ phận kiểm toán nội bộ bắt buộc phải chỉ ra.
Nhiều HĐQT chỉ triệu tập cuộc họp chuyên sâu khi kết quả kinh doanh sụt giảm. Cách tiếp cận đó khiến doanh nghiệp luôn đi sau rủi ro thay vì đi trước nó. Một hệ thống quản trị trưởng thành cần dùng chính báo cáo này như một kênh cảnh báo sớm, được thảo luận định kỳ chứ không chỉ khi có sự cố xảy ra.
Kiểm toán “con số” và kiểm toán “hiệu quả” khác nhau ở điểm nào?
Đây là ranh giới mà nhiều doanh nghiệp Việt Nam chưa phân định rõ. Kiểm toán con số kiểm tra tính đúng – đủ của chứng từ, số dư tài khoản, khớp giữa sổ sách và thực tế. Kiểm toán hiệu quả đi xa hơn: đánh giá xem quy trình đó có đang tối ưu nguồn lực, có đang kiểm soát được rủi ro chiến lược, và có đang hỗ trợ đúng mục tiêu kinh doanh hay không.
Một ví dụ thực tế: chứng từ mua hàng có thể hoàn toàn hợp lệ về mặt kế toán, nhưng nếu quy trình phê duyệt cho phép một cá nhân vừa đề xuất vừa duyệt mua, đó là lỗ hổng kiểm soát nghiêm trọng dù sổ sách không sai một đồng nào. 税務リスク và rủi ro vận hành thường ẩn trong chính những quy trình “đúng về hình thức, sai về bản chất” như vậy.
| 基準 | Kiểm toán con số | Kiểm toán hiệu quả |
| Đối tượng tập trung | Chứng từ, số dư, bút toán | Quy trình, phân quyền, luồng ra quyết định |
| Câu hỏi trung tâm | Số liệu có khớp không? | Rủi ro nào đang bị bỏ sót? |
| Giá trị cho HĐQT | Xác nhận tính chính xác | Cảnh báo sớm trước khi xảy ra tổn thất |
| Tần suất phù hợp | Định kỳ, theo chu kỳ kế toán | Định kỳ kết hợp đột xuất theo rủi ro |
Đối tượng nào bắt buộc phải lập báo cáo kiểm toán nội bộ?
Không phải doanh nghiệp nào cũng bắt buộc theo luật, nhưng nhóm sau đây phải tuân thủ nghiêm ngặt theo Nghị định 05/2019/NĐ-CP:
- Công ty niêm yết trên thị trường chứng khoán.
- Doanh nghiệp nhà nước và công ty con của doanh nghiệp nhà nước.
- Doanh nghiệp có trên 50% vốn điều lệ do Nhà nước nắm giữ.
- Tập đoàn, tổng công ty nhà nước và hệ thống công ty con liên quan.
Ngoài nhóm bắt buộc, các doanh nghiệp FDI quy mô lớn và công ty tư nhân chuẩn bị niêm yết cũng nên chủ động xây dựng bộ phận kiểm toán nội bộ. Kinh nghiệm tư vấn của 男 cho thấy doanh nghiệp làm sớm sẽ tránh được tình trạng dồn việc khắc phục hệ thống ngay trước thời điểm gọi vốn hoặc niêm yết, khi mà thời gian xử lý rủi ro gần như không còn.
Khi nào doanh nghiệp cần lập báo cáo kiểm toán nội bộ?
Việc lập báo cáo thường theo hai nhịp độ song song.
- Thứ nhất là định kỳ, theo kế hoạch kiểm toán năm đã được HĐQT hoặc Ủy ban kiểm toán phê duyệt, áp dụng cho các quy trình trọng yếu như mua sắm, kho quỹ, thanh toán, lương và thuế.
- Thứ hai là đột xuất, khi phát sinh dấu hiệu bất thường: biến động chi phí không giải trình được, khiếu nại nội bộ về gian lận, hoặc thay đổi hệ thống công nghệ có thể tạo lỗ hổng phân quyền. Doanh nghiệp chờ đến kỳ kiểm toán định kỳ mới xử lý những dấu hiệu này thường phải trả giá bằng thiệt hại đã xảy ra thay vì ngăn chặn được từ đầu.
Các văn bản pháp luật nào điều chỉnh báo cáo kiểm toán nội bộ?
Để lập và sử dụng báo cáo kiểm toán nội bộ đúng quy định, doanh nghiệp cần nắm rõ các văn bản pháp luật điều chỉnh hoạt động này. Ngoài các quy định về tổ chức và quy trình kiểm toán nội bộ, doanh nghiệp còn phải tuân thủ yêu cầu về quản trị, lưu trữ hồ sơ và các hướng dẫn chuyên ngành. Trong bối cảnh một số nội dung chưa được quy định chi tiết, việc tham chiếu chuẩn mực quốc tế cũng giúp nâng cao chất lượng và tính khách quan của báo cáo. Dưới đây là những văn bản pháp lý quan trọng doanh nghiệp cần lưu ý.
| 法的文書 | Số hiệu / Ngày ban hành | 関連コンテンツ |
| 政令05/2019/ND-CP | Ban hành ngày 22/01/2019 | Khung pháp lý về tổ chức, chức năng và yêu cầu nội dung tài liệu kiểm toán nội bộ |
| 企業法 2020 | Số 59/2020/QH14 | Quy định vai trò Ban kiểm soát, Ủy ban kiểm toán trong công ty cổ phần |
| Chuẩn mực IIA | Viện Kiểm toán nội bộ Hoa Kỳ | Áp dụng khi chưa có hướng dẫn chi tiết trong nước, làm căn cứ về tính độc lập, khách quan |
| Thông tư hướng dẫn chuyên ngành | Bộ Tài chính, cập nhật theo từng lĩnh vực | Hướng dẫn cụ thể cho tổ chức tín dụng, công ty bảo hiểm, doanh nghiệp niêm yết |
| 会計法 2015 | Số 88/2015/QH13 | Yêu cầu về lưu trữ hồ sơ, chứng từ làm cơ sở đối chiếu khi kiểm toán nội bộ |
Doanh nghiệp cần lưu ý: khung pháp lý trong nước hiện chưa quy định chi tiết mẫu biểu cho từng ngành. Các chuyên gia tại MAN – マスター会計士ネットワーク khuyến nghị doanh nghiệp tham chiếu song song chuẩn mực IIA để đảm bảo tài liệu vừa hợp lệ pháp lý vừa đạt chất lượng quốc tế.
Một điểm dễ bị bỏ qua là trách nhiệm lưu trữ. Theo Luật Kế toán 2015, chứng từ làm căn cứ cho các phát hiện kiểm toán phải được lưu trữ tối thiểu năm năm. Nếu doanh nghiệp không lưu đủ hồ sơ gốc, một phát hiện dù đúng bản chất vẫn có thể mất giá trị pháp lý khi bị chất vấn lại sau này.
Cấu trúc nội dung của một báo cáo kiểm toán nội bộ đạt chuẩn gồm những gì?
Một tài liệu thuyết phục được Hội đồng quản trị (HĐQT) cần đủ các phần sau, trình bày theo nguyên tắc “5C”:
- Condition (Điều kiện): Mô tả đúng hiện trạng đang diễn ra, không suy diễn.
- Criteria (Tiêu chuẩn): Quy định hoặc chuẩn mực làm căn cứ đối chiếu.
- Cause (Nguyên nhân): Vì sao hiện trạng đó tồn tại, không dừng ở triệu chứng bề mặt.
- Consequence (Hậu quả): Tác động tài chính hoặc vận hành nếu không khắc phục.
- Corrective Action (Kiến nghị): Giải pháp cụ thể, có thời hạn và người chịu trách nhiệm.
Một kiến nghị viết “cần cải thiện quy trình phê duyệt” là vô nghĩa với HĐQT. Kiến nghị đúng chuẩn phải nêu rõ ai duyệt, ngưỡng giá trị nào cần hai cấp phê duyệt, và thời hạn áp dụng là quý nào.
Case Study: Xử lý phát hiện kiểm toán nội bộ tại doanh nghiệp sản xuất tại Việt Nam
Bối cảnh
Một doanh nghiệp sản xuất bao bì tại khu vực phía Nam, doanh thu khoảng 400 tỷ đồng/năm, phát hiện qua kiểm toán nội bộ định kỳ rằng quy trình đặt hàng nguyên vật liệu không có bước đối chiếu độc lập giữa bộ phận mua hàng và bộ phận kho.
Phát hiện và phân tích
Kiểm toán viên ghi nhận 12% đơn hàng trong quý không có phiếu nhập kho đối chiếu trước khi thanh toán cho nhà cung cấp. Nguyên nhân gốc là phần mềm ERP chưa thiết lập bước khóa thanh toán khi thiếu chứng từ nhập kho. Hậu quả tiềm ẩn: rủi ro thanh toán trùng hoặc thanh toán cho hàng chưa nhận đủ.
Kết quả xử lý
Theo tư vấn từ MAN – マスター会計士ネットワーク, doanh nghiệp thiết lập lại quy trình khóa thanh toán tự động trên ERP và bổ sung bước xác nhận chéo giữa kho và kế toán công nợ trong vòng một quý. Sau khi áp dụng, tỷ lệ đơn hàng thiếu chứng từ đối chiếu giảm từ 12% xuống dưới 1%, đồng thời doanh nghiệp tránh được khoản chênh lệch công nợ ước tính khoảng 900 triệu đồng mỗi năm nếu tiếp tục duy trì lỗ hổng này.
Nhận định chuyên gia: Rủi ro thường gặp khi doanh nghiệp Việt xây dựng kiểm toán nội bộ
Với hơn 30 năm kinh nghiệm thực tế, các chuyên gia tại 男 nhận thấy bốn rủi ro lặp lại ở phần lớn doanh nghiệp trong nước.
- Rủi ro thứ nhất là báo cáo thiên về liệt kê lỗi thay vì phân tích nguyên nhân gốc. Kiểm toán viên ghi nhận “thiếu chữ ký duyệt” nhưng không truy đến việc vì sao quy trình cho phép bỏ qua bước duyệt đó.
- Rủi ro thứ hai là kiến nghị không gắn trách nhiệm cụ thể, khiến báo cáo bị xếp vào ngăn kéo mà không ai theo dõi tiến độ khắc phục. Giải pháp từ MAN – マスター会計士ネットワーク là gắn mỗi kiến nghị với một chủ sở hữu rủi ro (risk owner) và thời hạn báo cáo lại tiến độ cho Ủy ban kiểm toán.
- Rủi ro thứ ba liên quan đến tối ưu chi phí thuế tại Việt Nam: nhiều tài liệu kiểm toán bỏ sót việc đối chiếu giữa chính sách lương, phụ cấp thực tế và hồ sơ kê khai thuế thu nhập cá nhân, dẫn đến rủi ro bị truy thu khi cơ quan thuế thanh tra.
- Rủi ro thứ tư là thiếu tính độc lập thực chất, khi bộ phận kiểm toán nội bộ vẫn báo cáo trực tiếp cho Tổng Giám đốc thay vì Ủy ban kiểm toán hoặc HĐQT, làm giảm giá trị khách quan của mọi phát hiện.
Hội đồng quản trị nên đọc một tài liệu kiểm toán nội bộ theo thứ tự nào để tiết kiệm thời gian?
Phần lớn thành viên hội đồng quản trị (HĐQT) chỉ có mười đến mười lăm phút để đọc trước cuộc họp. Đọc từ đầu đến cuối theo trình tự trình bày thường không hiệu quả và dễ bỏ lỡ điểm mấu chốt.
Kinh nghiệm tư vấn của MAN – マスター会計士ネットワーク cho thấy trình tự đọc hiệu quả nên bắt đầu từ phần tóm tắt kết quả chính, sau đó nhảy thẳng đến bảng đánh giá mức độ rủi ro của từng phát hiện. Chỉ khi một phát hiện được xếp mức trọng yếu cao, người đọc mới cần quay lại phần phân tích nguyên nhân chi tiết. Cách đọc ngược này giúp HĐQT dành thời gian đúng chỗ, thay vì đọc dàn trải toàn bộ nội dung với mức độ tập trung như nhau.
Một dấu hiệu cảnh báo khác mà HĐQT nên chú ý là tần suất lặp lại của cùng một phát hiện qua nhiều kỳ liên tiếp. Nếu một rủi ro đã được nêu ba kỳ nhưng vẫn chưa khắc phục, vấn đề không còn nằm ở quy trình vận hành nữa mà nằm ở năng lực thực thi của bộ phận liên quan, đây là tín hiệu cần được đưa thẳng vào chương trình họp HĐQT thay vì tiếp tục nằm trong phụ lục theo dõi.
Vai trò của công nghệ trong việc nâng cao chất lượng kiểm toán nội bộ
Nhiều doanh nghiệp Việt Nam vẫn thực hiện kiểm toán nội bộ theo cách thủ công: chọn mẫu ngẫu nhiên, đối chiếu bằng tay trên bảng tính Excel. Cách làm này giới hạn phạm vi kiểm tra, thường chỉ phủ được một tỷ lệ nhỏ trong tổng số giao dịch phát sinh mỗi kỳ.
Xu hướng hiện nay là ứng dụng phân tích dữ liệu để rà soát toàn bộ giao dịch thay vì lấy mẫu. Phần mềm có thể tự động gắn cờ giao dịch bất thường, ví dụ thanh toán vượt hạn mức phê duyệt hoặc phát sinh ngoài giờ làm việc chuẩn, giúp kiểm toán viên tập trung vào đúng khu vực rủi ro cao thay vì rà soát dàn trải.
Giải pháp từ MAN – マスター会計士ネットワーク trong các dự án tư vấn gần đây luôn bao gồm bước đánh giá mức độ sẵn sàng dữ liệu của khách hàng trước khi đề xuất mô hình kiểm toán dựa trên phân tích. Công nghệ chỉ phát huy hiệu quả khi dữ liệu đầu vào đã đủ chuẩn hóa.
結論する
Báo cáo kiểm toán nội bộ có giá trị thật khi nó buộc doanh nghiệp nhìn thẳng vào nơi hệ thống đang yếu nhất, thay vì chỉ xác nhận những gì đã đúng. Với HĐQT và Ban kiểm soát, câu hỏi cần đặt ra sau mỗi báo cáo không phải “số liệu có khớp không” mà là “rủi ro này sẽ gây thiệt hại gì nếu không xử lý trong hai quý tới”.
Với hơn 500 khách hàng đã quay lại sử dụng dịch vụ lần thứ hai trong năm qua, minh chứng thiết thực cho chất lượng tư vấn và sự an tâm khi giao phó. Để được đánh giá cụ thể cho hệ thống kiểm soát của doanh nghiệp bạn, hãy liên hệ MAN – マスター会計士ネットワーク để nhận tư vấn miễn phí.
その他のサービス
MAN – マスターアカウンタントネットワークのサービス連絡先情報
- 住所： Số 19A, Đường 43, Phường Tân Thuận, TP. Hồ Chí Minh
- Mobile/Zalo: 0903 963 163 – 0903 428 622
- Eメール: man@man.net.vn
- Google Business Profile: Xem Google Business Profile của MAN – Master Accountant Network
- LinkedIn Founder: Xem hồ sơ LinkedIn của chuyên gia Lê Hoàng Tuyên
Phụ trách sản xuất và kiểm duyệt nội dung chuyên môn bởi: Ông レ・ホアン・トゥエン – Sáng lập viên (Founder) & CEO MAN – Master Accountant Network, Kiểm toán viên CPA Việt Nam với hơn 30 năm kinh nghiệm trong lĩnh vực Kế toán, Kiểm toán, Thuế và Tư vấn Tài chính doanh nghiệp.
内部監査レポートに関するよくある質問
Báo cáo kiểm toán nội bộ có bắt buộc với mọi doanh nghiệp không?
Không. Chỉ bắt buộc với công ty niêm yết, doanh nghiệp nhà nước và doanh nghiệp có trên 50% vốn nhà nước theo Nghị định 05/2019/NĐ-CP. Doanh nghiệp khác được khuyến khích thực hiện.
Ai chịu trách nhiệm phê duyệt tài liệu này?
Thông thường là Ủy ban kiểm toán hoặc HĐQT, tùy theo mô hình quản trị mỗi công ty. Báo cáo cần được trình trực tiếp, không qua khâu trung gian có thể chỉnh sửa nội dung.
Tài liệu này khác gì báo cáo kiểm toán độc lập?
Tài liệu này phục vụ quản trị nội bộ, không có mẫu bắt buộc. Báo cáo kiểm toán độc lập phục vụ bên thứ ba và tuân thủ chuẩn mực kiểm toán quốc gia.
Tần suất lập báo cáo nên là bao nhiêu lần một năm?
Tối thiểu theo kế hoạch kiểm toán năm đã duyệt, thường từ hai đến bốn lần, cộng thêm báo cáo đột xuất khi phát sinh rủi ro trọng yếu.
Doanh nghiệp nhỏ chưa có bộ phận kiểm toán nội bộ nên bắt đầu từ đâu?
Nên bắt đầu bằng việc thuê tư vấn độc lập rà soát các quy trình trọng yếu nhất, thường là thu chi và mua sắm, trước khi xây dựng bộ phận kiểm toán nội bộ chính thức.
