INFOCHIEF ACADEMY · IT AUDIT KNOWLEDGE SERIES

Chọn mẫu kiểm toán IT: Xác định quy mô mẫu và tính phù hợp của bằng chứng.

Quy mô mẫu là một phần của thiết kế kiểm toán. Làm rõ mục tiêu, tổng thể, phương pháp và ngoại lệ giúp đoàn có bằng chứng phù hợp, đồng thời giữ kết luận trong đúng mức có thể suy rộng.

Biên soạn: Infochief Academy · Chuyên đề: Kiểm toán IT

← Trở về thư viện bài viết

Minh họa biên tập: chuyên gia phân tích và trưởng đoàn kiểm toán đối chiếu tổng thể cùng các hồ sơ mẫu.

Khi nhận danh sách hàng nghìn yêu cầu, đoàn kiểm toán thường được hỏi cần chọn bao nhiêu mẫu. Nếu trả lời bằng một tỷ lệ cố định trước khi hiểu mục tiêu và tổng thể, công việc có thể nhiều mà vẫn thiếu bằng chứng đúng. Quy mô mẫu không phải con số tách khỏi thiết kế kiểm toán.

Chọn mẫu cần xác định điều muốn kết luận, đơn vị được kiểm tra và cách diễn giải kết quả. Đoàn phải hiểu đặc điểm kiểm soát, rủi ro và nguồn dữ liệu, rồi lựa chọn phương pháp phù hợp. Một mẫu lớn không sửa được tổng thể thiếu, cũng không tự tạo quyền suy rộng những kết quả mà cách chọn không hỗ trợ.

Làm rõ mục tiêu và đơn vị chọn mẫu

Mẫu để kiểm tra một kiểm soát có mục tiêu khác mẫu để xác minh dữ liệu hoặc tìm tình huống rủi ro cao. Đoàn cần biết kết luận nói về thiết kế, vận hành trong kỳ hay một phạm vi đặc thù. Nếu mục tiêu chưa rõ, khó xác định thế nào là ngoại lệ và cần mức bằng chứng nào.

Đơn vị mẫu cũng phải được định nghĩa. Một yêu cầu có thể gồm nhiều tài khoản; một thay đổi có thể triển khai trên nhiều môi trường. Chọn theo ticket nhưng kết luận về mọi quyền hoặc mọi lần triển khai có thể tạo chênh lệch. Cần chỉ ra phần thực sự được kiểm tra trong mỗi đơn vị.

Với kiểm soát định kỳ, đoàn xem các lần thực hiện và điều kiện qua thời gian. Với kiểm soát tự động, cần hiểu cấu hình, thay đổi và dữ liệu đầu vào liên quan. Không dùng số giao dịch lớn để suy ra mẫu phải tăng theo cùng tỷ lệ, hoặc cho rằng tự động thì chỉ cần một lần kiểm tra cho mọi kỳ.

ISACA cập nhật hướng dẫn chọn mẫu trong ITAF, phiên bản thứ năm. Định hướng là thiết kế, lựa chọn và đánh giá mẫu để có bằng chứng đủ, phù hợp hỗ trợ kết luận. Công cụ hay mẫu biểu không quyết định thay xét đoán về mục tiêu, tổng thể và mức rủi ro của nhiệm vụ.

Nội dung kiểm toán IT giúp đội ngũ giữ đường nối này trong chương trình. Đoàn nên viết điều cần biết và điều kiện kết luận trước khi đề xuất số mẫu, thay vì làm xong rồi tìm lý do cho một con số đã chọn theo thói quen.

Kiểm tra tổng thể và phân biệt phần chưa quan sát được

Tổng thể phải phản ánh phạm vi và thời kỳ cần xem. Danh sách yêu cầu đã hoàn thành có thể thiếu việc bị hủy, thất bại hoặc thực hiện ngoài luồng. Đoàn cần nguồn, điều kiện lọc và cách xác nhận đầy đủ. Nếu không, mẫu chỉ đại diện phần có trong nguồn mà người dùng có thể hiểu rộng hơn.

Chất lượng dữ liệu cần được xem trước lựa chọn. Trùng mã, thiếu thời điểm hoặc thay đổi cách ghi có thể ảnh hưởng việc chọn và phân tích. Những dấu hiệu phải được xác minh; không tự coi mọi dòng thiếu là sai lệch kiểm soát. Đoàn giữ rõ phần chưa xác nhận và tác động tới kế hoạch.

Có thể cần tách các nhóm có đặc điểm khác nhau. Yêu cầu thông thường, khẩn cấp hoặc quyền quản trị có mức rủi ro và cơ chế khác. Một cách chọn từ tổng danh sách có thể bỏ nhóm nhỏ nhưng quan trọng. Phân nhóm phải có căn cứ và giữ tổng thể rõ để tránh làm kết quả đẹp hơn bằng cách bỏ phần khó.

Khi nguồn còn thiếu, tăng mẫu từ phần sẵn có không tự giải quyết. Đoàn cần thủ tục bổ sung, nguồn đối chiếu hoặc điều chỉnh giới hạn kết luận. Không báo kết quả như toàn bộ phạm vi đã được xem chỉ vì số mẫu đạt dự kiến ban đầu.

Cách nhìn quản lý rủi ro IT giúp xác định nhóm cần chú ý. Những mục có tác động đáng kể có thể được xem riêng theo thiết kế công việc. Tuy nhiên, kết quả từ phần được chọn vì rủi ro cao không tự đại diện những mục khác chưa được chọn.

Chọn phương pháp và quy mô theo mức bằng chứng cần đạt

Chọn mẫu thống kê có thể hỗ trợ lượng hóa rủi ro lấy mẫu và diễn giải theo phương pháp phù hợp. Chọn mẫu phi thống kê dựa nhiều hơn vào xét đoán nghề nghiệp nhưng vẫn cần thiết kế, thực hiện và đánh giá cẩn trọng. Phi thống kê không có nghĩa tùy ý hoặc mặc nhiên cần ít mẫu hơn.

Những lựa chọn có chủ đích để xem các mục đặc biệt cần được phân biệt với mẫu thiết kế nhằm kết luận về tổng thể. Đoàn có thể dùng cả hai trong chương trình, nhưng phải ghi vai trò và cách diễn giải. Không lấy tỷ lệ lỗi của các mục rủi ro được chọn để báo như tỷ lệ chung mà không có phương pháp hỗ trợ.

Quy mô cần xem mục tiêu, đặc điểm kiểm soát, mức rủi ro, ngoại lệ dự kiến và điều kiện chấp nhận theo phương pháp. Với kiểm tra thuộc tính kiểm soát, mức lệch có thể chấp nhận và mức lệch kỳ vọng là các yếu tố có thể ảnh hưởng thiết kế. Những tham số phải có căn cứ, không tự gán một ngưỡng số như yêu cầu chung của tiêu chuẩn.

Tính đồng nhất, tần suất và thay đổi trong kỳ cũng cần được xét. Tổng thể có cơ chế khác nhau có thể cần các cách kiểm tra khác nhau. Số lượng lớn không làm quy mô tăng tuyến tính trong mọi trường hợp; nhưng tổng thể nhỏ cũng không tự cho phép bỏ kiểm tra khi mục tiêu cần bằng chứng về một điểm có tác động quan trọng.

Yếu tố thiết kế	Câu hỏi trước khi chốt mẫu	Ảnh hưởng tới công việc
Mục tiêu kết luận	Cần biết điều gì về phạm vi nào?	Chọn đơn vị và phương pháp
Đặc điểm tổng thể	Các mục có cùng cơ chế và điều kiện không?	Phân nhóm hoặc chọn thủ tục riêng
Rủi ro và ngoại lệ	Mức bằng chứng cần đạt dựa trên căn cứ nào?	Xác định quy mô cùng điều kiện đánh giá
Khả năng thu dữ liệu	Nguồn có đầy đủ và đáng tin không?	Bổ sung thủ tục hoặc giữ giới hạn

Bảng là gợi ý hoạch định, không phải bảng xác định số mẫu chuẩn. PCAOB AS 2315 hướng dẫn lấy mẫu trong bối cảnh kiểm toán thuộc phạm vi của PCAOB. Đoàn kiểm toán IT có thể tham khảo các khái niệm phù hợp, nhưng không biến mọi điều kiện của kiểm toán tài chính thành yêu cầu chung cho nhiệm vụ nội bộ.

Đánh giá ngoại lệ và giới hạn của kết quả

Ngoại lệ cần được xác minh theo tiêu chí và điều kiện. Một phê duyệt xuất hiện sau triển khai có thể liên quan luồng khẩn cấp được phép hoặc sai lệch thật. Đoàn phải hiểu trường hợp trước khi tổng hợp. Không tự loại ngoại lệ vì được giải thích bằng lời, cũng không coi mọi chênh lệch dữ liệu là không tuân thủ.

Cần xem nguyên nhân, tính chất và ảnh hưởng tới thiết kế mẫu cùng kết luận. Một ngoại lệ có thể chỉ ra nhóm chưa được phân biệt hoặc vấn đề có tính hệ thống. Đoàn quyết định thủ tục bổ sung theo mức cần thiết, không mặc định tăng thêm vài mẫu rồi dừng nếu lần sau không có lỗi.

Rủi ro lấy mẫu khác với rủi ro do thực hiện sai thủ tục hoặc hiểu sai bằng chứng. Kiểm tra nhiều hơn có thể giúp một phần nhưng không sửa tiêu chí sai, dữ liệu thiếu hoặc kỹ thuật không phù hợp. Kiểm toán phải quản lý cả chất lượng thực hiện và cách đánh giá kết quả.

Phân tích toàn bộ dữ liệu có thể hỗ trợ lựa chọn hoặc kiểm tra một điều kiện trên tổng thể, nhưng không tự bảo đảm mọi mục tiêu đã được đáp ứng. Cần xác nhận nguồn, logic, ngoại lệ và những điều chưa thể đánh giá bằng dữ liệu. Một truy vấn không tìm thấy chênh lệch không chứng minh mọi quyết định đã đúng nội dung nghiệp vụ.

Năng lực quản lý bảo mật thông tin giúp chủ kiểm soát giải thích điều kiện và tác động. Đoàn kiểm toán dùng thông tin để xác minh, đồng thời giữ xét đoán độc lập về tính chất ngoại lệ và mức bằng chứng cần bổ sung.

Một tình huống: hai ngoại lệ không tự trở thành tỷ lệ toàn kỳ

Trong tình huống giả định, đoàn chọn 20 thay đổi có tác động cao để kiểm tra và xác nhận hai trường hợp thiếu điều kiện phê duyệt theo tiêu chí. Các mục được chọn có chủ đích từ một phần tổng thể, không phải mẫu được thiết kế để ước lượng tỷ lệ ngoại lệ chung. Vì vậy, không thể chỉ lấy hai chia 20 rồi báo rằng 10% mọi thay đổi của kỳ đều sai.

Đoàn ghi đúng số trường hợp và cách lựa chọn, phân tích nguyên nhân cùng ảnh hưởng. Một trường hợp thuộc nhóm khẩn cấp; trường hợp khác đi ngoài luồng chuẩn. Thông tin gợi ý cần xem thêm cơ chế phân loại và nguồn tổng thể, chứ không chỉ thêm vài thay đổi thông thường có hồ sơ đẹp.

Nhóm điều chỉnh thủ tục theo dấu hiệu và phê duyệt chương trình phù hợp. Kết luận về các mục đã chọn được giữ rõ, còn phần câu hỏi rộng hơn được hỗ trợ bằng công việc bổ sung hoặc thể hiện giới hạn. Các con số trong tình huống chỉ là minh họa giả định, không gợi ý quy mô chuẩn cho mọi cuộc kiểm toán.

Tình huống cho thấy chọn mẫu và báo kết quả không thể tách rời. Cách lựa chọn quyết định điều có thể suy rộng, còn xét đoán về ngoại lệ quyết định cần làm gì tiếp. Một tỷ lệ dễ tính có thể gây hiểu nhầm nếu thiếu bối cảnh về mục tiêu và thiết kế mẫu.

Lưu căn cứ để người rà soát hiểu và thực hiện lại

Hồ sơ cần giữ mục tiêu, tổng thể, nguồn, phương pháp, quy mô và cách chọn, cùng tiêu chí đánh giá. Những thay đổi sau khi có kết quả phải có lý do và ảnh hưởng rõ. Không chỉ giữ danh sách mẫu cuối vì người rà soát cần hiểu đường đi từ kế hoạch tới kết luận.

Năng lực quản lý IT hỗ trợ cung cấp dữ liệu cùng bối cảnh, nhưng việc chọn mẫu thuộc trách nhiệm kiểm toán. Khi phương pháp, ngoại lệ và giới hạn được ghi rõ, quy mô mẫu trở thành một phần của bằng chứng có thể giải thích, giúp doanh nghiệp nhận đúng mức tin cậy thay vì một con số mang tính thủ tục.