Kỹ thuật thu thập bằng chứng kiểm toán IT: Phỏng vấn, quan sát, kiểm tra và thực hiện lại.

Xác định điều bằng chứng phải chứng minh

Trước khi thu thông tin, cần mục tiêu, tiêu chí và phạm vi rõ. Đoàn muốn hiểu thiết kế, xác nhận hiện trạng hay đánh giá việc thực hiện trong kỳ? Một ảnh cấu hình có thể phù hợp câu hỏi thứ hai nhưng chưa trả lời đủ câu hỏi thứ ba. Nếu không tách từ đầu, hồ sơ nhiều vẫn có thể thiếu phần quyết định kết luận.

The IIA yêu cầu thông tin dùng cho phân tích phải liên quan, đáng tin cậy và đủ để hỗ trợ kết quả. Đoàn cần xét nguồn, thời điểm và khả năng xác nhận, không tự coi mọi thông tin từ hệ thống là khách quan hoặc mọi hồ sơ của đơn vị là kém tin cậy. Mức phù hợp phụ thuộc câu hỏi và cách thu.

Bằng chứng trực tiếp thường hữu ích, nhưng vẫn phải có điều kiện. Một lần quan sát có thể bị ảnh hưởng vì người thực hiện biết đang được xem. Một tệp xuất có thể đã lọc bỏ phạm vi. Kiểm toán viên giữ thái độ hoài nghi nghề nghiệp, xác định các giới hạn và chọn thủ tục bổ sung khi cần.

Nội dung kiểm toán IT giúp xây đường nối từ câu hỏi tới bằng chứng. Kỹ thuật không nên được chọn chỉ vì đoàn quen làm hoặc công cụ dễ xuất dữ liệu. Chương trình cần cho thấy vì sao phương pháp đó hỗ trợ mức kết luận dự kiến.

Phỏng vấn để hiểu cách làm và tìm điểm cần xác minh

Phỏng vấn phù hợp để hiểu trách nhiệm, quy trình và những ngoại lệ không có trên sơ đồ. Câu hỏi nên yêu cầu người tham gia mô tả một trường hợp, điều kiện quyết định và cách xử lý khi không đạt. Hỏi có thực hiện hay không thường tạo câu trả lời ngắn mà thiếu thông tin về cơ chế thật.

Cần phân biệt người biết thiết kế với người thực hiện. Quản lý có thể mô tả quy trình chuẩn, trong khi vận hành biết cách xử lý lúc thiếu đầu vào. Đoàn nên trao đổi đúng vai trò và xem chênh lệch như dấu hiệu cần hiểu thêm, không tự kết luận một bên sai chỉ vì câu trả lời khác nhau.

Ghi nhận phải phản ánh nội dung và bối cảnh, gồm người, thời điểm và điều cần xác nhận. Nếu có nhận định quan trọng, cần đối chiếu hồ sơ hoặc nguồn khác theo mục tiêu. Lời giải thích về nguyên nhân là đầu vào, chưa tự trở thành nguyên nhân đã có căn cứ trong phát hiện.

Phỏng vấn không nên biến thành câu hỏi dẫn người được hỏi tới kết luận mong muốn. Đoàn cần tạo điều kiện để mô tả khó khăn và ngoại lệ, đồng thời vẫn giữ đánh giá độc lập. Cách hỏi rõ giúp có thông tin tốt hơn việc chỉ tìm câu trả lời xác nhận chương trình đã viết sẵn.

Quan sát để xem hành động trong điều kiện cụ thể

Quan sát giúp biết kiểm soát được thực hiện thế nào tại một thời điểm: người nhận đầu vào, kiểm tra nội dung và đưa quyết định. Đoàn có thể thấy những thao tác không được mô tả hoặc các điểm mà công cụ chưa hỗ trợ. Đây là cơ hội hiểu thiết kế và thực hành, nhưng phạm vi thời gian cần được giữ rõ.

Một lần làm đúng khi có kiểm toán viên không tự chứng minh cả kỳ đều đúng. Đoàn phải ghi điều kiện quan sát và kết hợp nguồn khác nếu mục tiêu về vận hành theo thời gian. Nếu dùng môi trường mô phỏng, cần hiểu nó khác thực tế ở đâu và không diễn đạt như đã quan sát hoạt động sản xuất.

Quan sát cần bảo vệ dữ liệu và giữ vai trò. Kiểm toán viên không nên hướng dẫn người dùng sửa thao tác rồi ghi kết quả đó là cách đơn vị vẫn thực hiện. Khi có vấn đề cần hỗ trợ ngay, phải phân biệt hoạt động hỗ trợ với bằng chứng ban đầu và xử lý ảnh hưởng tới kết luận.

Nhóm quản trị vận hành IT có thể giúp tổ chức cách quan sát an toàn. Đoàn phải thống nhất quyền, phạm vi và điều kiện để không làm gián đoạn dịch vụ hoặc tiếp cận thông tin ngoài nhu cầu của cuộc kiểm toán.

Kiểm tra hồ sơ, cấu hình và dữ liệu theo căn cứ

Kiểm tra tài liệu và dữ liệu giúp đối chiếu tình trạng với tiêu chí. Đoàn cần nguồn, phiên bản, thời kỳ và cách tạo thông tin. Một quy trình ban hành chứng minh ý định quản lý; hồ sơ từng lần thực hiện hỗ trợ câu hỏi khác. Không nên coi chúng thay thế nhau chỉ vì cùng nằm trong bộ tài liệu kiểm soát.

Với báo cáo hệ thống, cần hiểu phạm vi và tính đầy đủ trước khi chọn mẫu. Tệp chỉ chứa trạng thái hoàn tất có thể bỏ các việc thất bại hoặc ngoài luồng. Cách lọc và quyền sửa dữ liệu cũng ảnh hưởng độ tin cậy. Đoàn cần thủ tục xác minh phù hợp, không dựa vào tên báo cáo để suy ra chất lượng.

Đối chiếu thời điểm và các nguồn có thể giúp thấy trình tự. Tuy nhiên, một chênh lệch cần được xác minh về múi giờ, cách ghi hoặc lịch đồng bộ trước khi coi là sai lệch kiểm soát. Phân tích tạo dấu hiệu; kết luận phải dựa trên thông tin đã được hiểu trong điều kiện thực tế.

Bảng là cách nhìn thực hành, không xếp mọi bằng chứng theo một thứ tự cứng. Độ phù hợp phụ thuộc mục tiêu. Một phương pháp mạnh cho một câu hỏi có thể không đủ cho câu hỏi khác, nhất là khi điều kiện thời gian hoặc nguồn đầu vào không tương ứng.

Thực hiện lại để kiểm tra kết quả theo điều kiện phù hợp

Thực hiện lại có thể là đoàn độc lập làm một phép đối chiếu hoặc thủ tục kiểm soát từ nguồn phù hợp để xem kết quả. Cần biết mục tiêu, đầu vào và tiêu chí. Nếu đoàn dùng dữ liệu khác hoặc sửa quy tắc, công việc có thể hữu ích nhưng chưa chứng minh thủ tục đơn vị đã làm trong kỳ.

Không nên tự thao tác có khả năng ảnh hưởng sản xuất hoặc thay đổi dữ liệu. Những thủ tục liên quan hệ thống cần quyền và kế hoạch phù hợp, có chuyên gia khi cần. Cách thực hiện trên bản dữ liệu được quản lý hoặc môi trường phù hợp có thể giảm tác động, nhưng giới hạn tương ứng phải được ghi.

NIST SP 800-53A dùng các phương pháp xem xét, phỏng vấn và kiểm thử để đánh giá kiểm soát. PCAOB AS 2201 cũng nêu các kỹ thuật trong bối cảnh kiểm toán kiểm soát báo cáo tài chính. Đoàn tham khảo theo phạm vi nghề nghiệp phù hợp, không dùng cách gọi phương pháp của một nguồn để thay toàn bộ chương trình kiểm toán.

Một tình huống: lời giải thích đúng nhưng chưa đủ cho cả kỳ

Trong tình huống giả định, quản lý nói các yêu cầu quyền đều được chủ nghiệp vụ phê duyệt. Đoàn quan sát một lần cấp quyền và thấy đúng quy trình. Nếu dừng ở đây, họ có thể đưa kết luận rộng về kỳ đang kiểm toán, dù bằng chứng mới phản ánh mô tả và một trường hợp hiện tại.

Khi kiểm tra tổng thể và mẫu hồ sơ trong kỳ, đoàn thấy một số yêu cầu được cấp trước khi có xác nhận. Nhóm xác minh trình tự và tiêu chí, đồng thời xem cơ chế ngoại lệ có áp dụng hay không. Lời mô tả ban đầu không bị coi là gian dối; nó chưa phản ánh đầy đủ các tình huống đã xảy ra.

Đoàn thực hiện đối chiếu độc lập từ dữ liệu phù hợp để xác nhận các trường hợp và giữ cách phân tích. Bằng chứng giúp tách thiết kế được hiểu với vận hành chưa nhất quán. Phát hiện được viết theo phạm vi đã kiểm tra, không tự suy rộng một tỷ lệ của mẫu thành toàn bộ hoạt động.

Năng lực quản lý bảo mật thông tin hỗ trợ đơn vị giải thích mục đích và điều kiện quyền. Kiểm toán kết hợp nguồn và kỹ thuật để hình thành xét đoán, không nhận câu trả lời ban đầu hoặc một lần làm đúng như căn cứ đủ cho mọi kết luận.

Giữ chuỗi truy xuất và bảo vệ bằng chứng

Hồ sơ cần nối nguồn, thủ tục, kết quả và kết luận. Những thông tin chưa xác minh phải được phân biệt với bằng chứng đã dùng. Khi nguồn thay hoặc có kết quả mới, cần giữ phiên bản phù hợp để người rà soát hiểu cơ sở của xét đoán, thay vì chỉ thấy tệp cuối đã được chỉnh.

Dữ liệu kiểm toán có thể nhạy cảm và phải được giữ theo quyền, mục đích cùng yêu cầu áp dụng. Chỉ thu phần cần, quản lý truy cập và cách chia sẻ. Không chuyển thông tin sang công cụ không được phép chỉ vì thuận tiện phân tích hoặc viết báo cáo; phương pháp thu bằng chứng không được tạo thêm rủi ro ngoài phạm vi.

Năng lực quản lý IT giúp chuẩn bị đầu mối và nguồn có bối cảnh. Kiểm toán viên giữ trách nhiệm chọn kỹ thuật và đánh giá mức đủ. Khi từng phương pháp được sử dụng đúng giới hạn và các nguồn được nối rõ, kết luận có thể được giải thích, rà soát và truy xuất tới công việc thực tế đã làm.

Bài viết liên quan

• Kiểm toán các biện pháp kiểm soát an toàn thông tin dựa trên ISO/IEC 27001 và ISO/IEC 27002.
• Chọn mẫu kiểm toán IT: Xác định quy mô mẫu và tính phù hợp của bằng chứng.
• Xây dựng Audit Working Paper để bảo đảm khả năng truy xuất kết quả kiểm toán.
• Viết phát hiện kiểm toán IT thuyết phục: Từ tiêu chí và bằng chứng đến kiến nghị

Nguồn tham khảo

1. The IIA — Complete Global Internal Audit Standards
2. NIST — SP 800-53A Rev. 5: Assessing Security and Privacy Controls
3. PCAOB — AS 2201: Audit of Internal Control Over Financial Reporting