INFOCHIEF ACADEMY · IT AUDIT KNOWLEDGE SERIES

Xây dựng kế hoạch kiểm toán IT dựa trên rủi ro thay vì kiểm tra dàn trải.

Kế hoạch kiểm toán cần hướng nguồn lực tới những câu hỏi quan trọng của doanh nghiệp. Đánh giá rủi ro, nhu cầu đảm bảo và điều kiện thực hiện giúp chọn đúng phạm vi, đồng thời điều chỉnh khi căn cứ thay đổi.

Biên soạn: Infochief Academy · Chuyên đề: Kiểm toán IT

← Trở về thư viện bài viết

Minh họa biên tập: nhóm kiểm toán và chủ dịch vụ lựa chọn ưu tiên dựa trên rủi ro tại bảng kế hoạch.

Nguồn lực kiểm toán IT luôn có giới hạn, trong khi danh sách hệ thống và yêu cầu kiểm tra tiếp tục tăng. Nếu chia đều thời gian cho mọi lĩnh vực, đoàn kiểm toán có thể hoàn thành nhiều cuộc nhỏ nhưng chưa nhìn sâu vào những phụ thuộc đang đe dọa hoạt động quan trọng. Bao phủ rộng trên lịch không tự đồng nghĩa bảo đảm đúng rủi ro.

Kế hoạch dựa trên rủi ro cần giải thích vì sao một lĩnh vực được ưu tiên, việc gì còn chưa được xem và điều kiện nào sẽ làm thứ tự thay đổi. Đây là quyết định về sử dụng năng lực kiểm toán để cung cấp thông tin có giá trị, không chỉ là bảng lịch tổng hợp các yêu cầu đã gửi đến.

Đi từ mục tiêu doanh nghiệp tới nhu cầu đảm bảo

Trước khi chấm mức ưu tiên, chức năng kiểm toán cần hiểu mục tiêu, hoạt động và những thay đổi có ý nghĩa. Một chương trình mở rộng bán hàng, chuyển nền tảng hoặc dùng đối tác mới có thể làm xuất hiện nhu cầu đảm bảo khác. Nếu chỉ dựa vào danh mục máy chủ năm trước, kế hoạch sẽ khó phản ánh các rủi ro ở những luồng mới.

Câu hỏi cần đặt là IT có thể ảnh hưởng mục tiêu theo cách nào. Dữ liệu sai làm quyết định hoặc giao dịch sai; gián đoạn làm công việc dừng; quyền không phù hợp làm thông tin bị sử dụng ngoài mục đích. Kịch bản cần đủ rõ để xác định đối tượng kiểm toán, thay vì giữ những nhãn rộng như bảo mật hay vận hành.

Lãnh đạo và chủ hoạt động cung cấp thông tin quan trọng về rủi ro cùng điều kiện thực hiện. Kiểm toán cần xem xét thông tin đó và giữ đánh giá độc lập. Một lĩnh vực chưa được quản lý coi trọng vẫn có thể cần ưu tiên nếu bằng chứng về phụ thuộc hoặc mức phơi nhiễm cho thấy nhu cầu đảm bảo đáng kể.

The IIA có hướng dẫn Developing a Risk-Based Internal Audit Plan, phiên bản thứ hai năm 2025. Hướng dẫn hỗ trợ xây và duy trì kế hoạch phù hợp các vấn đề quan trọng của tổ chức. Với doanh nghiệp, bài học thực hành là kế hoạch phải sống cùng rủi ro và nguồn lực, thay vì cố định chỉ để thuận tiện quản lý lịch.

Năng lực kiểm toán IT giúp chuyển thông tin quản trị thành câu hỏi đảm bảo. Đoàn cần biết lĩnh vực được chọn sẽ tạo kết luận gì và ai dùng kết luận đó. Nếu mục tiêu chưa rõ, tăng số ngày kiểm toán cũng chưa chắc giúp tổ chức hiểu rủi ro tốt hơn.

Xây căn cứ ưu tiên và kiểm tra độ chắc chắn

Đầu vào đánh giá có thể gồm tác động kinh doanh, mức thay đổi, sự phức tạp, sự cố, kết quả kiểm toán trước và chất lượng kiểm soát đã biết. Tổ chức cần chọn tiêu chí phù hợp và giữ định nghĩa nhất quán. Một bảng điểm có nhiều cột nhưng không giải thích được dữ liệu đầu vào sẽ tạo cảm giác chính xác quá mức.

Cũng cần nhìn khoảng trống hiểu biết. Một lĩnh vực ít thông tin không nên tự được xếp thấp vì chưa ghi nhận sự cố. Có thể cần công việc sơ bộ để xác định phạm vi hoặc đánh giá trước khi quyết định cuộc kiểm toán sâu. Không biết và ít rủi ro là hai tình trạng khác nhau.

Thông tin về kiểm soát nên được đánh giá theo mức tin cậy. Một kết quả tự kiểm tra hoặc một báo cáo bên ngoài có thể giúp giảm phần việc trùng, nhưng chỉ khi mục tiêu, phạm vi và chất lượng phù hợp. Có tài liệu chứng nhận không tự làm mọi nhu cầu đảm bảo về lĩnh vực đó được đáp ứng.

Nhóm cần ghi những giả định chính cùng mức đánh giá. Khi hai lĩnh vực có điểm gần nhau, xét đoán về thay đổi, thời điểm và khả năng sử dụng kết quả có thể quan trọng hơn chênh lệch nhỏ của số. Quyết định cuối cần có lý do, không chỉ dựa vào thứ tự tự động trên bảng.

Đầu vào ưu tiên	Câu hỏi cần xác nhận	Ý nghĩa với kế hoạch
Tác động hoạt động	Dịch vụ hoặc dữ liệu nào hỗ trợ mục tiêu quan trọng?	Chọn nơi cần mức đảm bảo phù hợp
Thay đổi và phụ thuộc	Điều kiện nào mới hoặc chưa hiểu đầy đủ?	Điều chỉnh thời điểm và độ sâu
Kết quả đã có	Bằng chứng nào còn phù hợp mục tiêu và kỳ cần xem?	Phối hợp để giảm trùng và thấy khoảng trống
Nguồn lực kiểm toán	Có đủ năng lực và khả năng tiếp cận không?	Xác định cách thực hiện cùng phần hạn chế

Bảng là công cụ lập kế hoạch đề xuất, không phải mô hình chấm bắt buộc. Các tiêu chí phải phục vụ việc chọn công việc, không làm mờ những vấn đề cần xét riêng. Nhóm nên kiểm tra một số trường hợp để xem cách đánh giá có dẫn tới thứ tự hợp lý và giải thích được hay không.

Cách nhìn quản lý rủi ro IT hỗ trợ chất lượng đầu vào. Tuy nhiên, mức rủi ro của quản lý và ưu tiên kiểm toán không nhất thiết giống hoàn toàn. Kiểm toán còn phải xem nhu cầu đảm bảo, công việc đã có và thời điểm kết quả có thể giúp quyết định.

Thiết kế danh mục cuộc kiểm toán theo khả năng thực hiện

Một lĩnh vực ưu tiên không tự trở thành một cuộc kiểm toán duy nhất. Đoàn có thể cần chia thành phạm vi có câu hỏi rõ hoặc kết hợp các kiểm soát dùng chung. Quyết định phải bám mục tiêu đảm bảo, tránh chia nhỏ để tăng số cuộc hoặc gom quá rộng khiến bằng chứng không đủ sâu.

Kế hoạch cần ước lượng thời gian, năng lực và điều kiện tiếp cận. Những chủ đề như nền tảng đám mây, ứng dụng đặc thù hoặc phân tích dữ liệu có thể cần chuyên gia. Nếu thiếu năng lực, chức năng kiểm toán phải nhìn các phương án phù hợp và báo tác động; không nên giữ lịch như có thể thực hiện đầy đủ rồi giảm độ sâu khi bắt đầu.

Thời điểm nên được chọn theo hoạt động và khả năng dùng kết quả. Một cuộc kiểm toán sau dự án có mục tiêu khác với tư vấn hoặc đảm bảo tại một giai đoạn triển khai. Không nên chờ mọi việc hoàn thành nếu tổ chức cần thông tin trước một quyết định lớn, nhưng cũng không tuyên bố hiệu lực vận hành khi cơ chế chưa có đủ hoạt động để kiểm tra.

Cần giữ phần nguồn lực cho thay đổi và tình huống cần xem xét trong kỳ ở mức phù hợp. Tỷ lệ hoặc cách phân bổ do tổ chức lựa chọn, không có một con số chung bắt buộc. Điều quan trọng là biết công việc phát sinh được đánh giá và đưa vào kế hoạch theo cơ chế nào.

Ở cấp lãnh đạo IT, trao đổi sớm giúp chuẩn bị đầu mối và bằng chứng. Sự phối hợp này không trao quyền loại một cuộc kiểm toán chỉ vì đơn vị thấy bất tiện; các quyết định về kế hoạch phải đi theo thẩm quyền quản trị của chức năng kiểm toán.

Trình kế hoạch cùng phần rủi ro chưa được bao phủ

Kế hoạch nên thể hiện mục tiêu, lĩnh vực, căn cứ chọn và nguồn lực cần thiết. Đồng thời, phải cho cấp phê duyệt hiểu phần quan trọng chưa được đưa vào và lý do. Nếu chỉ trình các cuộc có thể thực hiện, người đọc dễ nghĩ mọi nhu cầu đảm bảo đã được đáp ứng trong ngân sách hiện tại.

Những giới hạn nguồn lực hoặc tiếp cận cần được trình bằng tác động tới công việc. Thiếu một chuyên môn có thể làm một lĩnh vực chưa được kiểm tra theo độ sâu cần thiết. Kết luận này khác với nói đoàn sẽ cố gắng hoàn thành. Báo rõ giúp cấp có thẩm quyền cân nhắc bổ sung năng lực, điều chỉnh phạm vi hoặc xử lý ưu tiên.

Quản lý có thể đề nghị công việc ngoài kế hoạch. Đề nghị cần được xem theo rủi ro, vai trò và ảnh hưởng tới các cuộc đã duyệt. Chức năng kiểm toán phải giữ khả năng lựa chọn có căn cứ, tránh để những yêu cầu dễ thực hiện liên tục lấn phần việc quan trọng nhưng khó hơn.

Một tình huống: thay ưu tiên khi doanh nghiệp đổi nền tảng

Trong tình huống giả định, kế hoạch ban đầu dành nguồn lực cho kiểm toán vận hành hệ thống nội bộ đã ổn định. Giữa kỳ, doanh nghiệp chuyển dịch vụ bán hàng sang SaaS và thay cách tích hợp dữ liệu. Các quyền, quan hệ nhà cung cấp và cơ chế khôi phục đều có điều kiện mới mà các báo cáo trước chưa bao phủ.

Chức năng kiểm toán rà tác động cùng nhu cầu đảm bảo, xem công việc hiện có và đánh giá nguồn lực. Nhóm đề xuất điều chỉnh một cuộc ít cấp thiết hơn để thực hiện phạm vi liên quan các quyết định mới. Đề xuất nêu rõ lý do, ảnh hưởng tới bao phủ và năng lực cần bổ sung, thay vì chỉ đổi lịch theo yêu cầu của dự án.

Cấp có thẩm quyền xem và quyết định theo cơ chế kế hoạch. Đơn vị IT chuẩn bị dữ liệu và đầu mối, còn kiểm toán giữ mục tiêu cùng phương pháp độc lập. Những kiểm soát cũ vẫn được theo dõi theo cách phù hợp; việc hoãn một cuộc không làm trách nhiệm quản lý rủi ro của đơn vị biến mất.

Tình huống giả định cho thấy kế hoạch dựa trên rủi ro cần điều chỉnh khi căn cứ thay đổi. Giữ nguyên lịch để chứng minh tỷ lệ hoàn thành có thể tạo một kết quả đẹp nhưng ít hữu ích. Một thay đổi có lý do và thẩm quyền giúp nguồn lực tiếp tục hướng tới câu hỏi quan trọng của doanh nghiệp.

Duy trì kế hoạch bằng thông tin và xét đoán hiện hành

Rà kế hoạch nên dùng thay đổi chiến lược, sự cố, kết quả kiểm toán và thông tin quản lý mới. Tần suất và cơ chế cần phù hợp yêu cầu nghề nghiệp áp dụng cùng điều kiện tổ chức. Không chỉ cập nhật ngày hoặc đổi tên cuộc kiểm toán khi các giả định chính đã khác.

Năng lực quản lý IT hỗ trợ cung cấp thông tin về thay đổi và các phụ thuộc. Chức năng kiểm toán cần ghi cách thông tin đó ảnh hưởng ưu tiên, đồng thời theo dõi công việc đã hoàn thành tạo được kết luận gì cho mục tiêu đã đặt.

Thước đo kế hoạch không nên chỉ là số cuộc hoặc số phát hiện. Cần nhìn mức bao phủ các vấn đề quan trọng, chất lượng kết luận và phần nhu cầu chưa được đáp ứng. Kế hoạch có giá trị khi tổ chức hiểu nguồn lực đang tạo đảm bảo ở đâu, vì sao chọn như vậy và khi nào cần thay lựa chọn.