INFOCHIEF ACADEMY · IT AUDIT KNOWLEDGE SERIES

IT vừa thiết kế vừa tự đánh giá kiểm soát: Làm sao bảo đảm tính độc lập?

Tự đánh giá của IT có giá trị quản lý, còn đảm bảo độc lập cần vai trò và cơ chế phù hợp. Nhận diện ảnh hưởng, phân định trách nhiệm và giữ xét đoán giúp lãnh đạo hiểu đúng mức tin cậy của kết quả.

Biên soạn: Infochief Academy · Chuyên đề: Kiểm toán IT

← Trở về thư viện bài viết

Minh họa biên tập: đại diện quản trị, trưởng kiểm toán và người thiết kế IT trao đổi vai trò cùng tính độc lập.

Đội IT thiết kế kiểm soát thường hiểu rõ nhất cách hệ thống hoạt động và có thể phát hiện sai lệch nhanh. Việc tự kiểm tra vì thế rất cần cho vận hành. Nhưng nếu cùng nhóm tự kết luận cơ chế của mình hiệu lực rồi báo như đảm bảo độc lập, lãnh đạo có thể nhận một mức tin cậy khác với bản chất công việc đã thực hiện.

Vấn đề cần giải quyết là vai trò và cách sử dụng kết quả. Doanh nghiệp phải phân biệt trách nhiệm quản lý kiểm soát, hoạt động giám sát và dịch vụ đảm bảo có tính độc lập, khách quan phù hợp. Thiết kế cơ chế rõ giúp giữ giá trị chuyên môn của IT mà không để người sở hữu tự xác nhận toàn bộ phần mình đã quyết định.

Phân biệt tự đánh giá với kết luận đảm bảo độc lập

Người quản lý cần kiểm tra phần việc mình chịu trách nhiệm. Đội IT có thể rà cấu hình, theo dõi thay đổi hoặc đánh giá việc thực hiện để duy trì dịch vụ. Những hoạt động này tạo dữ liệu hữu ích và hỗ trợ cải tiến, nhưng phải được gọi và sử dụng đúng như công việc quản lý hoặc tự đánh giá.

Kiểm toán nội bộ có vai trò khác: đưa kết luận từ bằng chứng theo mục tiêu và tiêu chí, với vị trí tổ chức cùng xét đoán cá nhân phù hợp. Khi người đánh giá sở hữu thiết kế hoặc chịu trách nhiệm kết quả, nguy cơ tự rà có thể làm họ bỏ qua giả định hoặc khó báo vấn đề của chính lựa chọn trước đó.

Không nên coi mọi việc đánh giá của IT là không có giá trị. Lãnh đạo có thể dùng nó để điều hành và chức năng kiểm toán có thể xem như đầu vào. Nhưng nguồn và vai trò cần rõ; một kết quả tự kiểm tra không được diễn đạt như đã có xác nhận độc lập nếu cơ chế thực tế chưa đáp ứng.

The IIA phân biệt tính độc lập của chức năng và khách quan của kiểm toán viên. Tổ chức cần vị trí báo cáo, quyền và các biện pháp xử lý ảnh hưởng, đồng thời mỗi người phải quản lý những điều kiện có thể làm xét đoán lệch. Đổi tên đơn vị hoặc chữ ký không tự tạo hai điều kiện này.

Nội dung kiểm toán IT giúp các bên thống nhất nhiệm vụ và mức kết luận. Câu hỏi đầu tiên không phải ai giỏi nhất kỹ thuật, mà là ai chịu trách nhiệm quản lý và cơ chế nào giúp đánh giá bằng chứng mà không bị ảnh hưởng không phù hợp từ phần việc đó.

Nhìn các ảnh hưởng thực tế, tiềm tàng và cảm nhận

Một người có thể tin rằng mình công bằng nhưng vẫn chịu ảnh hưởng từ việc bảo vệ thiết kế hoặc mục tiêu đã cam kết. Các quan hệ, chỉ tiêu hoặc quyền quyết định có thể tác động xét đoán. Tổ chức cần nhìn cả điều đã xảy ra, khả năng ảnh hưởng và cách người sử dụng kết quả có thể hiểu về tính khách quan.

Làm rõ trách nhiệm trước đây rất quan trọng. Người từng tư vấn một lựa chọn khác với người phê duyệt, cấu hình và sở hữu cơ chế. Cần xem bản chất tham gia, không chỉ chức danh. Một hồ sơ ghi vai trò hỗ trợ nhưng thực tế người đó quyết định thiết kế vẫn có thể tạo ảnh hưởng khi đánh giá sau này.

Theo Standard 2.2 của Global Internal Audit Standards, khi kiểm toán viên cung cấp đảm bảo cho hoạt động mình có trách nhiệm trong 12 tháng trước, tính khách quan được xem là bị ảnh hưởng. Đây là yêu cầu trong bối cảnh dịch vụ kiểm toán nội bộ, không phải quy tắc cấm mọi tự kiểm tra kỹ thuật của IT. Hết thời gian đó cũng không tự xóa mọi ảnh hưởng khác cần đánh giá.

Nếu chức năng kiểm toán đã thực hiện tư vấn, người phụ trách cần xem bản chất công việc và bố trí nguồn lực để quản lý khách quan khi cung cấp đảm bảo. Tư vấn không tự làm mọi đánh giá sau không thể thực hiện, nhưng cũng không được dùng nhãn tư vấn để bỏ qua việc từng chịu trách nhiệm quản lý.

Năng lực lãnh đạo IT giúp tổ chức trao đổi rõ những quan hệ này. Đơn vị cần cung cấp chuyên môn và bằng chứng, đồng thời chấp nhận rằng kết luận phải được hình thành bởi cơ chế phù hợp, không chỉ xác nhận lại cách đội thiết kế nhìn hệ thống của mình.

Thiết kế phân vai và đường báo cáo phù hợp

Chủ kiểm soát lựa chọn, triển khai và vận hành phương án. Người thực hiện giám sát hoặc tự đánh giá cung cấp thông tin cho quản lý theo vai trò. Chức năng kiểm toán hoặc bên đảm bảo phù hợp đánh giá theo nhiệm vụ độc lập. Một người có thể tham gia nhiều công việc, nhưng những ảnh hưởng phải được nhận diện và xử lý thật, không chỉ phân tên trên bảng.

Vị trí báo cáo cần giúp trao đổi kết quả mà không bị bên được xem kiểm soát không phù hợp. Chức năng kiểm toán cần có quyền tiếp cận và đường đưa vấn đề tới cấp quản trị theo cơ chế nghề nghiệp. Nếu IT có thể giới hạn phạm vi, bằng chứng hoặc nội dung báo cáo của phần mình sở hữu, việc phân một người khác kiểm tra có thể vẫn chưa đủ.

Trong tổ chức nhỏ, có thể cần đánh giá chéo hoặc sử dụng nguồn lực ngoài phù hợp. Phương án phải xem năng lực, quan hệ và quyền báo cáo, không chỉ chọn người không trực tiếp thao tác. Một đồng nghiệp cùng chịu trách nhiệm kết quả hoặc bị phụ thuộc quyết định của chủ thiết kế có thể vẫn chịu ảnh hưởng.

Thuê bên ngoài cũng không tự bảo đảm khách quan. Nếu bên đó đã thiết kế hoặc vận hành chính cơ chế, cần đánh giá ảnh hưởng tương tự. Đơn vị cung cấp có thể có chuyên môn sâu, nhưng doanh nghiệp phải làm rõ phạm vi nhiệm vụ, trách nhiệm trước và cách hình thành kết luận.

Vai trò cần phân biệt	Trách nhiệm chính	Điều kiện cần giữ
Chủ kiểm soát	Quyết định và duy trì hoạt động	Sở hữu phương án cùng rủi ro theo thẩm quyền
Tự đánh giá hoặc giám sát	Cung cấp thông tin cho quản lý	Ghi đúng nguồn, mục tiêu và giới hạn
Đảm bảo độc lập	Đánh giá và kết luận theo nhiệm vụ	Khách quan, quyền tiếp cận và báo cáo phù hợp
Cấp quản trị	Giám sát cơ chế và quyết định cần thiết	Hiểu ảnh hưởng cùng biện pháp xử lý

Bảng là gợi ý phân vai, không ấn định một sơ đồ tổ chức cho mọi doanh nghiệp. Tính độc lập không có nghĩa người đánh giá tách khỏi mọi trao đổi kỹ thuật. Họ cần hiểu hệ thống qua sự phối hợp, đồng thời giữ xét đoán và trách nhiệm kết luận không bị hòa vào quản lý.

Một tình huống: người thiết kế được giao xác nhận hiệu lực

Trong tình huống giả định, IT triển khai cơ chế rà quyền và trưởng nhóm thiết kế được giao báo cáo hiệu lực cho lãnh đạo. Nhóm có hiểu biết tốt, đã sửa nhiều sai lệch và giữ hồ sơ. Tuy nhiên, việc tự xác nhận không có phần đánh giá độc lập và kết quả được trình như kiểm toán đã kết luận.

Khi làm rõ nhiệm vụ, doanh nghiệp giữ báo cáo của IT như tự đánh giá quản lý. Chức năng kiểm toán xem ảnh hưởng và bố trí người phù hợp, có chuyên gia hỗ trợ kỹ thuật nhưng không giao người sở hữu thiết kế tự quyết định kết luận. Phạm vi, tiêu chí và quyền tiếp cận được xác lập.

Đoàn dùng hồ sơ đã có, kiểm tra chất lượng và thực hiện thủ tục bổ sung theo rủi ro. Không làm lại mọi việc chỉ để chứng minh độc lập, nhưng cũng không chấp nhận nguyên trạng thái đạt. Kết quả cho thấy đầu vào rà chưa bao phủ một nhóm quyền, dù cơ chế được thực hiện đều trên phần dữ liệu đang dùng.

Quản lý cải thiện nguồn và trách nhiệm, còn người đảm bảo theo dõi theo phương pháp phù hợp. Tình huống giả định cho thấy phân vai rõ không làm mất giá trị tự đánh giá. Nó giúp lãnh đạo hiểu đúng nguồn thông tin và có kết luận bổ sung về những giả định mà người thiết kế có thể chưa nhìn thấy.

Sử dụng chuyên môn IT mà không chuyển quyền kết luận

Kiểm toán viên có thể cần chuyên gia để hiểu cấu hình, thu dữ liệu hoặc diễn giải giới hạn kỹ thuật. Chuyên gia phải được xem về năng lực và ảnh hưởng liên quan nhiệm vụ. Sự hỗ trợ có thể rất hữu ích, nhưng trách nhiệm đánh giá mức đủ và kết luận cần được giữ trong cơ chế đã xác lập.

Đội IT cung cấp nguồn và giải thích điều kiện, còn người đánh giá xác minh phù hợp. Những nhận định chưa được kiểm tra không tự trở thành bằng chứng vì đến từ chuyên gia. Chương trình cần dữ liệu, thủ tục và hồ sơ đủ để người rà soát hiểu cách kết luận hình thành.

Năng lực quản lý IT giúp chuẩn bị đầu mối và phản hồi phát hiện bằng thông tin. Trao đổi có thể làm kết luận chính xác hơn khi bằng chứng mới xuất hiện, nhưng không biến thành quyền của bên sở hữu để quyết định nội dung báo cáo theo mong muốn.

Nếu độc lập hoặc khách quan có giới hạn, phải được nhận diện, trao đổi và xử lý theo cơ chế phù hợp. Một đoạn ghi giới hạn không tự làm mọi ảnh hưởng được giải quyết. Có thể cần người khác, giám sát độc lập hoặc cách cung cấp đảm bảo khác; phương án phải bám bản chất trách nhiệm và mức tin cậy cần đạt.

Duy trì cơ chế khi người và nhiệm vụ thay đổi

Chuyển vị trí, giao thêm vai trò hoặc sử dụng tư vấn có thể làm điều kiện khách quan thay đổi. Cần xem trước khi nhận công việc và tiếp tục theo dõi khi nhiệm vụ mở rộng. Không chỉ ký xác nhận đầu năm rồi bỏ qua các thay đổi trong kỳ.

Với đánh giá ISMS, ISO/IEC 27001 cũng yêu cầu lựa chọn người và thực hiện để bảo đảm khách quan, vô tư của quá trình đánh giá nội bộ. Bối cảnh và mục tiêu khác dịch vụ kiểm toán nội bộ theo The IIA, nhưng đều cần cơ chế thật để không tự rà phần mình sở hữu theo cách thiếu phù hợp. Không dùng việc doanh nghiệp nhỏ làm căn cứ bỏ điều kiện này.

Nội dung quản lý bảo mật thông tin giúp tổ chức tự đánh giá để duy trì kiểm soát, đồng thời chuẩn bị cho các đánh giá có vai trò phù hợp. Khi nguồn, trách nhiệm và giới hạn rõ, tự kiểm tra của IT tiếp tục tạo giá trị vận hành, còn đảm bảo độc lập cung cấp một mức tin cậy khác có thể được giải thích bằng cơ chế và bằng chứng.