Điều 11. Thiết kế các thủ tục kiểm toán
1. Biện pháp xử lý tổng thể đối với các rủi ro có sai sót trọng yếu ở cấp độ BCTCNH
Việc thiết kế các biện pháp xử lý tổng thể đối với các rủi ro có sai sót trọng yếu đã được đánh giá ở cấp độ BCTCNH được vận dụng theo hướng dẫn từ Đoạn 06 đến Đoạn 09 CMKTNN số 1330 - Biện pháp xử lý rủi ro kiểm toán trong kiểm toán tài chính, trong đó lưu ý các nội dung sau:
a) Nhấn mạnh về sự cần thiết phải duy trì thái độ hoài nghi nghề nghiệp;
b) Bố trí các KTVNN có kinh nghiệm hoặc có kỹ năng chuyên môn phù hợp, hoặc sử dụng chuyên gia;
c) Tăng cường hoạt động giám sát;
d) Lựa chọn các thủ tục kiểm toán cần phải kết hợp với việc xem xét các yếu tố không thể dự đoán được. Các yếu tố không thể dự đoán được có thể bổ sung bằng các cách như:
- Thực hiện các thử nghiệm cơ bản đối với các khoản mục và các cơ sở dẫn liệu được đánh giá là không trọng yếu;
- Sử dụng các phương pháp chọn mẫu khác nhau;
- Thực hiện các thủ tục kiểm toán tại các địa điểm khác nhau hoặc tại các địa điểm không thông báo trước cho đơn vị được kiểm toán.
e) Nếu hệ thống kiểm soát không hiệu lực, KTVNN phải:
- Thực hiện thêm các thủ tục kiểm toán;
- Thu thập thêm các bằng chứng kiểm toán từ các thử nghiệm cơ bản;
- Mở rộng phạm vi kiểm toán.
g) Đối với thực hiện kiểm toán BCTCHN của ngân hàng cần thực hiện theo hướng dẫn từ Đoạn 14 đến Đoạn 27 CMKTNN số 1600 - Lưu ý khi kiểm toán BCTC tập đoàn.
2. Thủ tục kiểm toán đối với rủi ro có sai sót trọng yếu đã được đánh giá ở cấp độ cơ sở dẫn liệu
Việc thiết kế thủ tục kiểm toán đối với rủi ro có sai sót trọng yếu đã được đánh giá ở cấp độ cơ sở dẫn liệu được vận dụng theo hướng dẫn từ Đoạn 12 đến Đoạn 51 CMKTNN số 1330 - Biện pháp xử lý rủi ro kiểm toán trong kiểm toán tài chính, trong đó lưu ý KTVNN phải dựa trên cơ sở đánh giá rủi ro ở cấp độ cơ sở dẫn liệu theo hướng dẫn từ Đoạn 29 đến Đoạn 30 CMKTNN số 1240 - Trách nhiệm của KTVNN liên quan đến gian lận trong cuộc kiểm toán tài chính khi thiết kế các thủ tục kiểm toán và cần lưu ý:
a) Mức độ rủi ro được đánh giá là cao thì phải tăng số lượng bằng chứng, hoặc thu thập bằng chứng thích hợp hơn hoặc đáng tin cậy hơn bằng cách tập trung thu thập bằng chứng từ bên thứ ba, thuê chuyên gia, kiểm định, kiểm tra hiện trường ... hoặc thu thập bằng chứng chứng thực từ một số nguồn độc lập khác.
b) Nếu một rủi ro được đánh giá là thấp chỉ do đặc trưng riêng của nhóm giao dịch mà không xem xét đến các kiểm soát liên quan thì KTVNN có thể chỉ cần thực hiện các thủ tục phân tích cơ bản để thu thập đầy đủ bằng chứng kiểm toán thích hợp (ví dụ: trường hợp KTVNN đánh giá các nhóm giao dịch tương đối đồng nhất, không phức tạp).
c) Nếu rủi ro được đánh giá là thấp do kiểm soát nội bộ hiệu quả và KTVNN dự định sẽ thiết kế các thử nghiệm cơ bản căn cứ vào hiệu quả kiểm soát, thì KTVNN sẽ thực hiện các thử nghiệm kiểm soát theo quy định (ví dụ: Trường hợp KTVNN đánh giá các nhóm giao dịch được xử lý thường xuyên và được đơn vị kiểm soát thông qua hệ thống công nghệ thông tin).
d) KTVNN phải mở rộng phạm vi các thủ tục kiểm toán nếu rủi ro có sai sót trọng yếu tăng lên. Đối với trường hợp xử lý rủi ro có sai sót trọng yếu do gian lận KTVNN phải tăng quy mô mẫu hoặc thực hiện các phân tích cơ bản ở mức độ chi tiết hơn.
2.1. Thử nghiệm kiểm soát
a) KTVNN phải thiết kế các thử nghiệm kiểm soát để thu thập đầy đủ bằng chứng kiểm toán thích hợp về tính hữu hiệu của hoạt động kiểm soát có liên quan nếu:
- Khi đánh giá rủi ro có sai sót trọng yếu ở cấp độ cơ sở dẫn liệu, KTVNN kỳ vọng rằng các kiểm soát hoạt động hiệu quả và có ý định dựa vào tính hữu hiệu của hoạt động kiểm soát để xác định nội dung, lịch trình và phạm vi của các thử nghiệm cơ bản.
- Hoặc việc thực hiện các thử nghiệm cơ bản không thể cung cấp đầy đủ bằng chứng kiểm toán thích hợp ở cấp độ cơ sở dẫn liệu.
b) Thiết kế thử nghiệm kiểm soát
- Các thử nghiệm kiểm soát chỉ được thực hiện đối với những kiểm soát mà KTVNN xác định rằng nó được thiết kế phù hợp để ngăn chặn hoặc phát hiện và sửa chữa một sai sót trọng yếu trong một cơ sở dẫn liệu.
Ví dụ: Việc phân loại nợ và trích lập dự phòng tại một chi nhánh ngân hàng đã được Ban quản lý rủi ro Hội sở chính rà soát kiểm tra hay chưa.
- Khi kiểm tra tính hữu hiệu của hoạt động kiểm soát của đơn vị được kiểm toán, KTVNN thường kết hợp kiểm tra tính hữu hiệu của các hoạt động kiểm soát với việc đánh giá quá trình thiết kế, xây dựng, ban hành và thực hiện các kiểm soát đó.
Ví dụ: Kiểm tra tính hữu hiệu của quy trình cho vay Khách hàng A, kết hợp với việc đánh giá việc thiết kế, xây dựng và tổ chức thực hiện các kiểm soát đó có phù hợp hay không.
- Để thu thập các bằng chứng kiểm toán về tính hữu hiệu của hoạt động kiểm soát, KTVNN có thể thực hiện một số thủ tục như phỏng vấn, quan sát, kiểm tra, thực nghiệm nhằm thu thập bằng chứng xác định tính hữu hiệu của hoạt động kiểm soát của đơn vị được kiểm toán.
- KTVNN có thể thiết kế một thử nghiệm kiểm soát để thực hiện đồng thời với việc kiểm tra chi tiết cùng một giao dịch, gọi là “thử nghiệm kép”.
Ví dụ: KTVNN có thể thiết kế và đánh giá kết quả kiểm tra một hóa đơn nhằm xác định xem hóa đơn đó đã được phê duyệt hay chưa, đồng thời cung cấp bằng chứng kiểm toán chi tiết về giao dịch đó.
c) Nội dung, phạm vi và lịch trình thực hiện thử nghiệm kiểm soát
- Khi thiết kế các thử nghiệm kiểm soát, KTVNN cần kết hợp thủ tục phỏng vấn với các thủ tục kiểm toán khác như: thủ tục phỏng vấn kết hợp với kiểm tra hoặc thực hiện lại; thủ tục phỏng vấn kết hợp với quan sát; ... nhằm thu thập bằng chứng kiểm toán về tính hữu hiệu của hoạt động kiểm soát (việc thực hiện các kiểm soát tại các thời điểm liên quan trong suốt thời kỳ được kiểm toán; tính nhất quán trong việc thực hiện các kiểm soát; người thực hiện và cách thức thực hiện các kiểm soát).
- Xác định mức độ phụ thuộc của các kiểm soát được thử nghiệm vào các kiểm soát khác; nếu có phụ thuộc, KTVNN cần cân nhắc việc thu thập bằng chứng kiểm toán để chứng minh tính hữu hiệu của các hoạt động kiểm soát khác này.
- Nội dung của một kiểm soát cụ thể sẽ ảnh hưởng đến loại thủ tục cần thực hiện để thu thập bằng chứng kiểm toán về tính hoạt động hữu hiệu của kiểm soát đó. Nếu muốn chứng minh tính hữu hiệu của kiểm soát dưới hình thức văn bản thì KTVNN cần kiểm tra tài liệu của đơn vị được kiểm toán để thu thập bằng chứng kiểm toán về tính hữu hiệu đó. Trong trường hợp không có tài liệu về hoạt động của một số yếu tố thuộc môi trường kiểm soát của đơn vị hoặc các hoạt động kiểm soát được xử lý bằng máy tính thì KTVNN có thể thu thập bằng chứng về tính hữu hiệu của các kiểm soát bằng cách phỏng vấn kết hợp với quan sát hoặc sử dụng các kỹ thuật kiểm toán với sự hỗ trợ của máy tính.
- KTVNN phải mở rộng phạm vi thử nghiệm đối với một kiểm soát khi cần thu thập bằng chứng kiểm toán thuyết phục hơn về tính hữu hiệu của kiểm soát đó. Khi xác định phạm vi của thử nghiệm kiểm soát, KTVNN cần xem xét các vấn đề sau:
+ Tần suất thực hiện kiểm soát của đơn vị trong suốt giai đoạn được kiểm toán;
+ Khoảng thời gian trong giai đoạn được kiểm toán mà KTVNN tin cậy vào tính hữu hiệu của hoạt động kiểm soát;
+ Tỷ lệ sai lệch dự kiến của một kiểm soát;
+ Tính thích hợp và độ tin cậy của bằng chứng kiểm toán cần thu thập về tính hữu hiệu của hoạt động kiểm soát ở cấp độ cơ sở dẫn liệu;
+ Phạm vi liên quan đến cơ sở dẫn liệu của bằng chứng kiểm toán cần thu thập được từ các thử nghiệm kiểm soát khác.
- Trong trường hợp đơn vị được kiểm toán sử dụng công nghệ thông tin để kiểm soát, thì KTVNN sẽ thực hiện các thử nghiệm sau:
+ Các thay đổi của chương trình chỉ được thực hiện khi có sự kiểm soát thích hợp đối với các thay đổi đó;
+ Phiên bản chính thức của chương trình được sử dụng để xử lý giao dịch;
+ Các kiểm soát chung khác có liên quan được thực hiện hiệu quả.
- Tùy vào mục đích kiểm toán, KTVNN phải thực hiện thử nghiệm kiểm soát cho một thời điểm cụ thể, hoặc cho cả giai đoạn để đưa ra cơ sở thích hợp cho sự tin cậy vào các kiểm soát đó.
- Khi thực hiện các thử nghiệm kiểm soát, KTVNN cũng cần phải xác định tính thích hợp của các bằng chứng kiểm toán về tính hữu hiệu của hoạt động kiểm soát đã có từ các cuộc kiểm toán trước và xác định thời gian tiến hành lại thử nghiệm kiểm soát thông qua việc xem xét những vấn đề sau:
+ Tính hữu hiệu của môi trường kiểm soát, việc giám sát các kiểm soát và quy trình quản trị rủi ro của đơn vị; tính hữu hiệu của các kiểm soát chung về công nghệ thông tin; tính hữu hiệu của kiểm soát và việc thực hiện kiểm soát đó của đơn vị;
+ Khi hoàn cảnh thay đổi thì các kiểm soát hiện tại có phù hợp hay không;
+ Rủi ro có sai sót trọng yếu và mức độ tin cậy vào các kiểm soát.
- Nếu dự định sử dụng bằng chứng kiểm toán về tính hữu hiệu của hoạt động kiểm soát cụ thể đã thu thập được từ cuộc kiểm toán trước, KTVNN phải chứng minh rằng các bằng chứng đó vẫn còn giá trị bằng cách thu thập bằng chứng kiểm toán về việc phát sinh những thay đổi đáng kể trong các kiểm soát đó kể từ sau cuộc kiểm toán trước. KTVNN phải thu thập bằng chứng này bằng cách thực hiện phỏng vấn kết hợp với quan sát hoặc điều tra, để xác nhận sự hiểu biết về các kiểm soát cụ thể đó, đồng thời phải xem xét:
+ Nếu có những thay đổi ảnh hưởng đến sự phù hợp của bằng chứng kiểm toán đã thu thập từ cuộc kiểm toán trước, KTVNN phải thực hiện thử nghiệm kiểm soát trong cuộc kiểm toán hiện tại;
+ Nếu không có thay đổi nào, cho dù không phải tiến hành thử nghiệm tất cả các kiểm soát, nhưng KTVNN vẫn cần thực hiện thử nghiệm đối với một số kiểm soát trong mỗi cuộc kiểm toán để tránh tình trạng dự định tin cậy hoàn toàn vào cuộc kiểm toán trước.
- Trong trường hợp rủi ro có sai sót trọng yếu càng cao, KTVNN có thể rút ngắn thời gian kiểm tra lại một kiểm soát, hoặc làm cho KTVNN quyết định không tin cậy vào bằng chứng kiểm toán thu thập được từ các cuộc kiểm toán trước, bao gồm:
+ Sự yếu kém của môi trường kiểm soát, công tác giám sát các kiểm soát và các kiểm soát chung về công nghệ thông tin của đơn vị;
+ Các kiểm soát liên quan có một yếu tố quan trọng được thực hiện thủ công;
+ Thay đổi nhân sự có ảnh hưởng đáng kể đến việc ứng dụng một kiểm soát;
+ Tình hình thay đổi dẫn đến sự cần thiết phải thay đổi về kiểm soát.
d) Thử nghiệm kiểm soát đối với rủi ro đáng kể
Nếu dự định tin cậy vào các kiểm soát đối với một rủi ro xác định là đáng kể, KTVNN phải thử nghiệm các kiểm soát để xử lý rủi ro đáng kể đó.
đ) Đánh giá tính hữu hiệu của hoạt động kiểm soát
- Khi đánh giá tính hữu hiệu của hoạt động kiểm soát liên quan, KTVNN phải đánh giá liệu các sai sót được phát hiện từ các thử nghiệm cơ bản cho thấy các kiểm soát hoạt động hiệu quả hay không hiệu quả. Tuy nhiên, nếu các thử nghiệm cơ bản không phát hiện ra sai sót thì không có nghĩa là các kiểm soát có liên quan đến cơ sở dẫn liệu được thử nghiệm là hiệu quả.
- Nếu phát hiện những sai lệch trong các kiểm soát mà dự định tin cậy vào, KTVNN phải thực hiện những cuộc phỏng vấn cụ thể để tìm hiểu về những vấn đề này cũng như những hậu quả tiềm tàng và phải xác định:
+ Các thử nghiệm kiểm soát đã thực hiện có cung cấp cơ sở thích hợp để KTVNN tin cậy vào các kiểm soát đó hay không;
+ Có cần thực hiện các thử nghiệm kiểm soát bổ sung hay không;
+ Hoặc các rủi ro có khả năng xảy ra sai sót có cần được xử lý bằng cách áp dụng các thử nghiệm cơ bản hay không.
2.2. Thử nghiệm cơ bản
a) Đối với từng khoản mục trọng yếu, KTVNN luôn phải thiết kế và thực hiện các thử nghiệm cơ bản không phụ thuộc vào kết quả đánh giá rủi ro có sai sót trọng yếu, vì:
- Việc đánh giá rủi ro của KTVNN là mang tính xét đoán chuyên môn, do đó KTVNN có thể không phát hiện ra tất cả các rủi ro có sai sót trọng yếu.
- Có những hạn chế tiềm tàng trong hệ thống kiểm soát nội bộ, bao gồm cả việc lãnh đạo đơn vị được kiểm toán khống chế hoạt động kiểm soát.
b) Trong trường hợp không xác định được bất kỳ kiểm soát hữu hiệu nào liên quan đến cơ sở dẫn liệu, hoặc do thử nghiệm kiểm soát không hiệu quả, KTVNN phải thiết kế và thực hiện các thử nghiệm cơ bản.
Ví dụ (tiếp theo ví dụ tại Ngân hàng XYZ): Kiểm toán chi phí huy động vốn tại chi nhánh A1 của Ngân hàng. Do mới thành lập nên Chi nhánh chưa có bộ phận kiểm toán nội bộ. Do vậy KTVNN cần phải thiết kế và thực hiện các thử nghiệm cơ bản khi kiểm toán khoản mục này.
c) Nội dung và phạm vi thử nghiệm cơ bản
- Các thử nghiệm cơ bản bao gồm thủ tục phân tích cơ bản và kiểm tra chi tiết (kiểm tra, đối chiếu; xác nhận từ bên ngoài; tính toán lại; điều tra; thuê chuyên gia, tư vấn; ...). KTVNN cần phải xác định nội dung và phạm vi thử nghiệm cơ bản cho phù hợp với tình hình kiểm toán cụ thể. Tùy từng trường hợp, KTVNN có thể chỉ thực hiện các thủ tục phân tích cơ bản, hoặc chỉ thực hiện kiểm tra chi tiết hoặc kết hợp thực hiện cả thủ tục phân tích cơ bản và kiểm tra chi tiết để xử lý rủi ro đã được đánh giá.
- Thủ tục phân tích cơ bản thường được áp dụng cho số lượng lớn các giao dịch có thể dự đoán theo thời gian. Các yêu cầu và hướng dẫn cụ thể về việc áp dụng thủ tục phân tích trong việc kiểm toán được quy định tại CMKTNN 1520 - Thủ tục phân tích trong kiểm toán tài chính. Trong đó lưu ý:
+ So sánh và phân tích để đánh giá sự phù hợp, mức độ chính xác, mức độ tin cậy của các thông tin tài chính của đơn vị với các thông tin có thể so sánh được: so sánh chi phí đầu tư với dự toán, giữa các dự án tương tự trên cùng địa bàn, cùng lĩnh vực, …
+ Xem xét, đánh giá sự phù hợp của các mối quan hệ giữa các yếu tố của thông tin tài chính được kỳ vọng theo một chiều hướng có thể dự đoán được của đơn vị được kiểm toán, giữa thông tin tài chính và thông tin phi tài chính của đơn vị được kiểm toán.
Ví dụ: chi phí lương tăng, trong khi số lao động lại giảm; thu nhập từ lãi tăng, nhưng dư nợ cho vay bình quân lại giảm;…
+ KTVNN có thể sử dụng nhiều kỹ thuật khác nhau để thực hiện các thủ tục phân tích như: phân tích tỷ suất, phân tích xu hướng, phân tích cơ cấu, …
- Khi thiết kế kiểm tra chi tiết, KTVNN phải xem xét bản chất của rủi ro và cơ sở dẫn liệu (ví dụ: khi kiểm tra chi tiết liên quan đến cơ sở dẫn liệu “tính phát sinh” của một khoản mục chi phí của một ngân hàng, KTVNN phải thiết kế kiểm tra chi tiết để lựa chọn số liệu từ các khoản mục đã có trong BCTCNH và thu thập bằng chứng kiểm toán thích hợp. Khi kiểm tra chi tiết liên quan đến cơ sở dẫn liệu “tính đầy đủ” của các khoản thu nhập, KTVNN cần lựa chọn số liệu từ những khoản mục sẽ phải có trong BCTCNH và kiểm tra xem các khoản mục đó đã được trình bày trong BCTCNH hay chưa).
- Khi xác định phạm vi kiểm tra chi tiết, KTVNN thường xem xét việc lựa chọn quy mô mẫu, xác định phương pháp hiệu quả để lựa chọn các phần tử kiểm tra nhằm đạt được mục đích của thủ tục kiểm toán. Các yêu cầu và hướng dẫn về chọn mẫu kiểm toán thực hiện theo quy định tại Điều 12 Hướng dẫn này.
d) Thử nghiệm cơ bản liên quan đến quy trình khóa sổ kế toán lập BCTCNH
- Các thủ tục kiểm toán liên quan đến quy trình khóa sổ kế toán lập BCTCNH:
+ Đối chiếu số liệu trên BCTCNH với số liệu trên sổ kế toán;
+ Kiểm tra các bút toán trọng yếu và các điều chỉnh khác được thực hiện trong quá trình lập và trình bày BCTCNH;
+ Đối chiếu với những hồ sơ tài liệu khẳng định tính hiện hữu của tài sản tại thời điểm khóa sổ (kiểm kê, xác nhận, …)
+ Việc tổng hợp, tính toán và cộng dồn để đảm bảo yêu cầu đầy đủ và thích hợp của thông tin BCTCNH.
- Nội dung, phạm vi kiểm tra các bút toán và điều chỉnh khác của KTVNN phụ thuộc vào tính chất, mức độ phức tạp của quy trình lập BCTCNH của đơn vị và các rủi ro có sai sót trọng yếu liên quan.
đ) Thử nghiệm cơ bản đối với các rủi ro đáng kể: Nếu KTVNN đã xác định rủi ro có sai sót trọng yếu được đánh giá ở cấp độ cơ sở dẫn liệu là rủi ro đáng kể thì KTVNN phải thực hiện các thử nghiệm cơ bản để xử lý rủi ro này.
e) Thực hiện thủ tục xác nhận từ bên ngoài: Đối với rủi ro có sai sót trọng yếu đáng kể do gian lận hoặc nhầm lẫn, KTVNN có thể thu thập bằng chứng kiểm toán dưới hình thức xác nhận từ bên ngoài liên quan có độ tin cậy cao để xử lý các rủi ro đó.