Sử dụng COBIT làm cơ sở tham chiếu khi xây dựng chương trình kiểm toán IT.

Đặt COBIT đúng vai trò trong cuộc kiểm toán

COBIT hỗ trợ quản trị và quản lý thông tin, công nghệ trong doanh nghiệp. Khung giúp nhìn mục tiêu, trách nhiệm, hoạt động và các điều kiện hỗ trợ. Với kiểm toán, nó có thể cung cấp ngôn ngữ và cấu trúc để xác định nhu cầu đảm bảo, tránh chỉ xem từng cấu hình kỹ thuật tách khỏi kết quả kinh doanh.

Tuy nhiên, COBIT không thay tiêu chuẩn nghề nghiệp kiểm toán. Tính độc lập, thu bằng chứng, hình thành và báo kết luận vẫn phải được tổ chức theo yêu cầu áp dụng của nhiệm vụ. Đoàn cần phân biệt khung để hiểu đối tượng với cơ chế hướng dẫn cách thực hiện công việc kiểm toán.

Phiên bản sử dụng phải được nêu rõ. COBIT 5 và COBIT 2019 có cấu trúc và thuật ngữ liên quan nhưng không đồng nhất. Nếu đơn vị đang dùng tài liệu phiên bản trước, đoàn cần thống nhất cách đối chiếu và tiêu chí phù hợp. Không trộn tên mục tiêu, mô hình năng lực hoặc thành phần từ nhiều phiên bản rồi trình như một bộ nhất quán.

ISACA có hướng dẫn về giá trị của COBIT 2019 đối với kiểm toán viên, trong đó mục tiêu quản trị và quản lý cùng các thực hành có thể hỗ trợ xây chương trình và tiêu chí phù hợp. Đoàn vẫn phải lựa chọn theo mục tiêu cuộc kiểm toán; khung không quyết định thay xét đoán về phạm vi hoặc bằng chứng cần có.

Nội dung kiểm toán IT giúp đội ngũ giữ đúng đường nối này. Câu hỏi đầu tiên là cuộc kiểm toán cần đảm bảo điều gì, sau đó mới xem COBIT cung cấp phần tham chiếu nào cho câu hỏi. Làm ngược dễ tạo chương trình rộng nhưng khó sử dụng.

Từ mục tiêu kinh doanh tới phần khung cần xem

Một mục tiêu như duy trì dịch vụ quan trọng có thể liên quan khả năng phục hồi, nguồn lực, đối tác và quyền quyết định. Đoàn cần hiểu các kịch bản rủi ro trước khi chọn phạm vi. Không nên chỉ chọn lĩnh vực vì tên của nó có vẻ gần với chủ đề kiểm toán.

Goals Cascade hỗ trợ chuyển từ mục tiêu doanh nghiệp tới mục tiêu liên quan thông tin và công nghệ cùng các mục tiêu quản trị, quản lý phù hợp. Đây là cách tham chiếu giúp tổ chức thảo luận mối liên hệ, không phải công thức cơ học cho mọi doanh nghiệp. Các ưu tiên cần được xác nhận theo chiến lược và hiện trạng.

Trong COBIT 2019, các mục tiêu được tổ chức theo các miền EDM, APO, BAI, DSS và MEA. Nhìn các miền giúp đoàn tìm phần quản trị, hoạch định, triển khai, dịch vụ và giám sát liên quan. Không có nghĩa một cuộc kiểm toán phải bao phủ toàn bộ năm miền hoặc xem mọi mục tiêu với cùng độ sâu.

Một dịch vụ thuê ngoài có thể cần xem lựa chọn nhà cung cấp, trách nhiệm, giám sát và xử lý thay đổi. Nếu chỉ chọn một phần quản lý hợp đồng, đoàn có thể bỏ điểm giao nhận tác động hiệu lực. Chọn phần khung cần bám chuỗi hoạt động và rủi ro, đồng thời giữ phạm vi thực hiện đủ rõ.

Cách nhìn quản lý rủi ro IT giúp ưu tiên những liên hệ quan trọng. Sổ rủi ro là đầu vào, nhưng đoàn phải xem mức tin cậy và những rủi ro chưa được phản ánh. COBIT giúp mở câu hỏi, không làm bằng chứng quản lý tự trở thành kết luận kiểm toán.

Chuyển thực hành tham chiếu thành tiêu chí có thể sử dụng

Thực hành trong khung cần được diễn giải theo điều kiện doanh nghiệp. Một ý về giám sát nhà cung cấp phải dẫn tới yêu cầu rõ về phạm vi, người nhận thông tin và cách xử lý sai lệch. Nếu chỉ ghi “phù hợp COBIT”, người được kiểm toán khó biết điều gì đang được đánh giá và căn cứ của kết luận.

Tiêu chí có thể kết hợp yêu cầu nội bộ, hợp đồng hoặc thông lệ phù hợp đã được xác định. Đoàn cần phân biệt phần bắt buộc đang áp dụng với đề xuất cải thiện theo khung. Một đơn vị không dùng nguyên tên quy trình COBIT chưa tự là không phù hợp nếu cơ chế thực tế đáp ứng mục tiêu và tiêu chí đã chọn.

Các thành phần như trách nhiệm, thông tin, con người và cơ chế tổ chức cũng ảnh hưởng việc thực hiện. Không nên chỉ đọc một quy trình rồi kết luận mục tiêu đã đạt. Cần hiểu điều kiện hỗ trợ và bằng chứng, đặc biệt khi kiểm soát phụ thuộc dữ liệu đầu vào hoặc quyền quyết định của nhiều bên.

Đoàn có thể dùng ma trận để giữ đường truy xuất từ mục tiêu tới thủ tục. Mỗi dòng cần câu hỏi, rủi ro, phần tham chiếu, tiêu chí được sử dụng và bằng chứng dự kiến. Không sao chép toàn bộ văn bản khung vào bảng; chỉ giữ nội dung cần để giải thích lựa chọn và thực hiện công việc.

Bảng là gợi ý xây chương trình, không phải cấu trúc bắt buộc của COBIT hoặc một thang đánh giá chuẩn. Đoàn nên thử vài dòng để xem tiêu chí có thể kiểm tra và kết quả có tạo được kết luận. Nếu chỉ số hay mức điểm không giải thích được bằng chứng phía sau, cần sửa cách thiết kế.

Việc tìm hiểu nền tảng COBIT 5 có thể hữu ích khi doanh nghiệp còn sử dụng phiên bản này. Khi chương trình chọn COBIT 2019, các bên cần bổ sung cách hiểu và đối chiếu phù hợp. Khóa học hoặc tài liệu phiên bản trước không nên được gọi là nội dung của phiên bản mới.

Một tình huống: tên quy trình khác nhưng câu hỏi kiểm soát vẫn rõ

Trong tình huống giả định, doanh nghiệp không có quy trình tên giống mục tiêu quản lý nhà cung cấp trong COBIT. Các hoạt động được chia giữa mua sắm, IT và nghiệp vụ. Đoàn ban đầu dự định báo thiếu quy trình theo khung, nhưng sau khi xem mục tiêu, họ chọn đi theo một dịch vụ thuê ngoài quan trọng.

Bằng chứng cho thấy lựa chọn và phê duyệt được thực hiện, còn giám sát sai lệch không có chủ trách nhiệm rõ. Phát hiện vì thế tập trung vào điều kiện thực tế: thông tin được nhận nhưng không dẫn tới hành động có thể theo dõi. Việc khác tên tổ chức không phải nguyên nhân của khoảng trống.

Đoàn dùng phần tham chiếu để giải thích mục tiêu giám sát, kết hợp tiêu chí phù hợp với yêu cầu nội bộ. Quản lý chọn cách phân định trách nhiệm và ghi hành động trong hệ thống đang dùng. Không cần tạo một quy trình mới chỉ để giống tên khung nếu cơ chế cải thiện có thể đạt mục tiêu.

Theo dõi sau đó xem các trường hợp sai lệch có được nhận, đánh giá và xử lý. Tình huống giả định cho thấy COBIT có giá trị khi giúp đặt đúng câu hỏi và nhìn điều kiện hỗ trợ. Nó không nên trở thành căn cứ tạo phát hiện từ sự khác biệt hình thức mà thiếu liên hệ với rủi ro.

Kiểm tra thiết kế, vận hành và tránh lẫn với đánh giá năng lực

Chương trình cần phân biệt cơ chế có khả năng đạt mục tiêu với việc đã thực hiện trong kỳ. Một tài liệu hoặc mô tả trách nhiệm chưa đủ cho kết luận vận hành. Đoàn chọn thủ tục và nguồn dữ liệu phù hợp, giữ rõ thời điểm cùng những thay đổi có ảnh hưởng.

Nếu có mục tiêu đánh giá năng lực, phải xác định phương pháp và điều kiện riêng. Không gán mức chỉ từ vài câu hỏi hoặc coi tỷ lệ kiểm tra đạt là mức năng lực theo COBIT. Một đánh giá kiểm soát có thể cung cấp thông tin hữu ích nhưng chưa bao phủ toàn bộ yêu cầu của một phương pháp đánh giá khác.

Nguồn tổng thể và cách chọn mẫu phải được kiểm tra. Những bằng chứng do quản lý cung cấp cần phạm vi, thời điểm và độ tin cậy, nhất là báo cáo có thể bỏ các hoạt động ngoài luồng. Chương trình dựa vào khung vẫn phải giải quyết vấn đề bằng chứng như mọi cuộc kiểm toán khác.

Năng lực quản lý IT giúp các bên cung cấp bối cảnh, nguồn dữ liệu và điều kiện thực hiện. Kiểm toán giữ xét đoán về mức đủ để kết luận, đồng thời chỉ ra phần cần bổ sung thay vì dùng khung để tạo cảm giác công việc đã bao phủ đầy đủ.

Giữ chương trình phù hợp khi phạm vi và điều kiện đổi

Khi dịch vụ, công nghệ hoặc trách nhiệm thay đổi, đoàn cần xem mục tiêu và tiêu chí còn phù hợp không. Chương trình phải được điều chỉnh theo cơ chế phê duyệt và trao đổi phù hợp. Không dùng một bộ câu hỏi của kỳ trước chỉ vì đã gắn mã tham chiếu COBIT đầy đủ.

Kết quả nên được trình bằng tác động và điều kiện cần cải thiện. Mã hoặc tên mục tiêu hỗ trợ truy xuất, nhưng lãnh đạo cần hiểu vấn đề ảnh hưởng hoạt động thế nào và quyết định nào đang cần. Khi khung, tiêu chí và bằng chứng được nối rõ, COBIT giúp chương trình kiểm toán có cấu trúc và chiều sâu mà vẫn bám doanh nghiệp thực tế.

Bài viết liên quan

• Đánh giá kiểm soát trong quản lý nhà cung cấp và dịch vụ IT thuê ngoài.
• Kiểm toán các biện pháp kiểm soát an toàn thông tin dựa trên ISO/IEC 27001 và ISO/IEC 27002.
• Chọn mẫu kiểm toán IT: Xác định quy mô mẫu và tính phù hợp của bằng chứng.
• Viết phát hiện kiểm toán IT thuyết phục: Từ tiêu chí và bằng chứng đến kiến nghị

Nguồn tham khảo

1. ISACA — COBIT: Governance and Management of Enterprise Information and Technology
2. ISACA — Exploring COBIT 2019’s Value for Auditors
3. The IIA — Complete Global Internal Audit Standards