Xây dựng Audit Working Paper để bảo đảm khả năng truy xuất kết quả kiểm toán.

Tổ chức hồ sơ quanh câu hỏi và kết quả kiểm toán

Mỗi working paper nên cho biết nó phục vụ mục tiêu nào của chương trình. Nếu chỉ đặt tên theo loại tài liệu, đoàn có thể có nhiều tệp mà thiếu đường tới kết luận. Một hồ sơ kiểm tra thu hồi quyền cần liên kết với câu hỏi về phạm vi, thời điểm và hiệu lực, không chỉ danh sách tài khoản.

Tiêu chí phải đủ rõ để người đọc hiểu điều mong đợi. Các nguồn tham chiếu cần phiên bản và phạm vi phù hợp. Không ghi chung “theo quy định” khi không biết yêu cầu nào đã được dùng. Nếu tiêu chí thay trong quá trình, hồ sơ phải thể hiện ảnh hưởng tới thủ tục và kết quả.

Chương trình và working paper liên quan nhưng khác vai trò. Chương trình mô tả công việc dự kiến cùng cách tổ chức, còn hồ sơ ghi thực hiện, nguồn, kết quả và xét đoán. Một dấu đã làm trong chương trình chưa tự thay thế bằng chứng. Người rà soát cần mở được phần giải thích phía sau trạng thái đó.

The IIA yêu cầu tài liệu hỗ trợ kết quả đủ để người có năng lực hiểu, lặp lại công việc và đi tới kết quả tương ứng. Điều này không đòi mọi hồ sơ phải dùng một bảng giống nhau, mà đòi chuỗi phân tích và bằng chứng có thể được theo. Đoàn lựa chọn cấu trúc phù hợp loại thủ tục và độ phức tạp.

Nội dung kiểm toán IT giúp đội ngũ giữ mục tiêu này khi lập hồ sơ. Không nên viết working paper sau khi đã chọn kết luận để tìm cách hợp thức hóa. Hồ sơ phải phản ánh công việc và những giới hạn xuất hiện trong quá trình thực hiện.

Giữ nguồn, phạm vi và điều kiện của bằng chứng

Một tệp xuất cần nguồn, thời điểm, điều kiện lọc và thời kỳ phản ánh. Nếu không giữ những thông tin đó, đoàn khó biết dữ liệu có đại diện phạm vi hay chỉ một phần. Tên tệp có ngày không tự chứng minh ngày dữ liệu hoặc cách thu đã đúng với mục tiêu.

Cần lưu bằng chứng về độ đầy đủ và tin cậy phù hợp với cách sử dụng. Đối chiếu số lượng, nguồn khác hoặc xem logic xuất có thể hỗ trợ tùy môi trường. Không coi đây là thủ tục giống nhau cho mọi tệp, nhưng phải đủ để người rà soát hiểu vì sao đoàn đã sử dụng dữ liệu đó.

Với phỏng vấn và quan sát, hồ sơ cần người, vai trò, thời điểm và nội dung quan trọng. Nhận định chưa được xác minh phải được phân biệt với bằng chứng đã dùng. Một ghi chú lời giải thích không nên được trình như xác nhận nguyên nhân nếu chưa có phân tích hoặc nguồn hỗ trợ.

Khi dữ liệu nhạy cảm, chỉ giữ phần cần theo mục tiêu và yêu cầu áp dụng. Có thể dùng tham chiếu hoặc bản lược bỏ phù hợp, nhưng không làm mất nội dung cần chứng minh. Hồ sơ và bằng chứng gốc phải có cơ chế truy cập, phiên bản và bảo vệ tương ứng; đính kèm càng nhiều không tự làm kết luận mạnh hơn.

Bảng là gợi ý thiết kế working paper, không phải bộ trường bắt buộc duy nhất. Đoàn có thể dùng tài liệu, bảng dữ liệu hoặc cách khác, miễn thông tin đủ và có đường truy xuất. Những trường có tên đúng nhưng nội dung chung chung không đáp ứng mục đích này.

Năng lực quản lý bảo mật thông tin giúp xác định điều kiện giữ và chia sẻ bằng chứng nhạy cảm. Hồ sơ kiểm toán có thể chứa quyền, cấu hình hoặc dữ liệu cá nhân; việc lưu phải được quản lý như thông tin cần bảo vệ, không phải ngoại lệ vì đang phục vụ kiểm tra.

Ghi thủ tục để phân tích có thể được lặp lại

Người rà soát cần hiểu các bước đủ để kiểm tra đường đi tới kết quả. Với đối chiếu dữ liệu, phải biết khóa nối, điều kiện, cách xử lý dòng thiếu và phần đã xác minh. Nếu chỉ lưu bảng kết quả mà không có logic, khó biết chênh lệch đến từ kiểm soát hay cách phân tích.

Lấy mẫu cần ghi tổng thể, đơn vị, phương pháp và danh sách đã chọn theo cách phù hợp. Những thay đổi hoặc mẫu thay thế phải có lý do. Không xóa trường hợp có vấn đề rồi giữ một mẫu khác mà không ghi diễn biến; điều đó có thể làm mất căn cứ đánh giá ngoại lệ và giới hạn suy rộng.

Kết quả nên phân biệt đạt tiêu chí, ngoại lệ đã xác nhận và phần chưa đủ thông tin. Không gộp mọi tình trạng vào một cột có hoặc không. Một nguồn thiếu bằng chứng có thể cần thủ tục bổ sung; kết luận phải giữ đúng tình trạng thay vì coi không tìm thấy lỗi là đạt.

Các ký hiệu hoặc tick mark chỉ hữu ích khi ý nghĩa rõ. Chúng không thay mô tả thủ tục hoặc phân tích trường hợp quan trọng. Nếu cùng ký hiệu được dùng khác nhau giữa các thành viên, hồ sơ sẽ khó rà. Đoàn cần cách đặt mã và tham chiếu nhất quán với mức đủ cho công việc.

Khi có bảng tính, truy vấn hoặc công cụ hỗ trợ, cần giữ logic và phiên bản phù hợp để hiểu kết quả. Thay công thức có thể làm kết luận khác; hồ sơ cần thể hiện điều đã được sử dụng khi báo cáo. Công cụ có thể hỗ trợ toàn bộ dữ liệu nhưng vẫn cần kiểm tra nguồn cùng phạm vi điều kiện được đánh giá.

Cách nhìn quản lý rủi ro IT giúp tập trung giải thích những xét đoán quan trọng. Hồ sơ không cần kể mọi thao tác không liên quan, nhưng phải giữ điều ảnh hưởng mức tin cậy, ưu tiên và nhu cầu công việc bổ sung.

Một tình huống: kết quả khác khi thay cách nối danh tính

Trong tình huống giả định, đoàn đối chiếu danh sách nghỉ việc với tài khoản ứng dụng theo email. Bảng phân tích ban đầu có một số tên không khớp, và người thực hiện dự định ghi tài khoản không có chủ. Khi rà soát, nhóm nhận ra một số nhân viên đã đổi email trong kỳ và ứng dụng dùng mã khác.

Đoàn xác minh nguồn cùng cách nhận diện, rồi điều chỉnh logic phù hợp. Một phần chênh lệch được giải thích; phần còn lại tiếp tục được kiểm tra bằng bằng chứng. Nếu chỉ giữ kết quả cuối, người rà soát sau sẽ không biết vì sao số trường hợp thay đổi hoặc liệu đoàn đã loại ngoại lệ thiếu căn cứ.

Working paper giữ nguồn ban đầu, cách đối chiếu, lý do điều chỉnh và kết quả xác minh. Những trường hợp chưa đủ thông tin được ghi riêng với hành động tiếp theo. Phát hiện cuối chỉ dùng phần đã có căn cứ, đồng thời kết luận giữ giới hạn của phạm vi và thời kỳ được kiểm tra.

Tình huống giả định cho thấy truy xuất không chỉ là đánh số tệp. Hồ sơ cần giữ cách thông tin trở thành bằng chứng và xét đoán. Một thay đổi phân tích có thể hợp lý, nhưng phải đủ rõ để người khác đánh giá được thay vì chỉ tin vào trạng thái cuối cùng.

Việc rà soát cũng cần được ghi phù hợp. Ý kiến quan trọng, phần sửa và kết quả xử lý phải có dấu vết. Không chỉ giữ chữ ký mà thiếu bằng chứng những câu hỏi đã được giải quyết. Đoàn nên tránh tình trạng người rà chấp nhận kết luận vì không tìm được nguồn cần xem trong hồ sơ quá phức tạp.

Duy trì hồ sơ tới báo cáo và theo dõi hành động

Một phát hiện cần tham chiếu tới hồ sơ chứa tiêu chí, bằng chứng và phân tích. Kết luận tổng thể phải nối với kết quả theo mục tiêu, không chỉ tổng số dòng đạt. Khi báo cáo đổi nội dung, đoàn cần xem cơ sở trong working paper còn nhất quán hoặc có cần công việc bổ sung.

Bảo vệ và lưu giữ hồ sơ phải theo yêu cầu tổ chức cùng nghĩa vụ áp dụng, với quyền phù hợp. Không có một thời hạn chung cho mọi loại cuộc kiểm toán và dữ liệu. Việc chia sẻ cho bên khác cần mục đích, thẩm quyền và giới hạn, không gửi nguyên bộ hồ sơ chỉ vì người nhận hỏi kết quả.

Hồ sơ còn giúp theo dõi hành động. Người xác minh sau cần hiểu vấn đề ban đầu, nguyên nhân và kết quả cần đạt để lựa chọn bằng chứng phù hợp. Nếu chỉ còn một câu kiến nghị trong báo cáo, việc xác nhận xử lý có thể trở thành kiểm tra đơn vị đã làm hoạt động nào đó mà không biết nó có sửa đúng vấn đề hay không.

Năng lực quản lý IT hỗ trợ cung cấp thông tin theo phạm vi và giữ đầu mối, nhưng hồ sơ kiểm toán thuộc trách nhiệm của đoàn. Working paper có giá trị khi người sử dụng truy được kết luận về đúng căn cứ, hiểu giới hạn và kiểm tra được xét đoán. Khi đó, chất lượng báo cáo được hỗ trợ bởi một chuỗi công việc có thể rà soát, thay vì một thư mục chỉ chứa nhiều bằng chứng rời rạc.

Bài viết liên quan

• Kỹ thuật thu thập bằng chứng kiểm toán IT: Phỏng vấn, quan sát, kiểm tra và thực hiện lại.
• Chọn mẫu kiểm toán IT: Xác định quy mô mẫu và tính phù hợp của bằng chứng.
• Viết phát hiện kiểm toán IT thuyết phục: Từ tiêu chí và bằng chứng đến kiến nghị
• Theo dõi hành động khắc phục: Làm thế nào để xác nhận vấn đề đã được xử lý hiệu quả?

Nguồn tham khảo

1. The IIA — Complete Global Internal Audit Standards
2. ISACA — IT Audit Framework, 5th Edition: Updated IT Audit and Sampling Guidance, 2026
3. NIST — SP 800-53A Rev. 5: Assessing Security and Privacy Controls