5 Thành Phần Kiểm Soát Nội Bộ Theo COSO – Hướng Dẫn Thực Tế

Kiểm soát nội bộ là nền tảng giúp doanh nghiệp vận hành minh bạch, ngăn ngừa rủi ro tài chính và gian lận. Theo khung COSO – chuẩn mực được áp dụng rộng rãi nhất thế giới – hệ thống kiểm soát nội bộ được xây dựng trên 5 thành phần cốt lõi. Bài viết dưới đây phân tích chi tiết từng thành phần, bộ phận chịu trách nhiệm và các công việc cụ thể cần triển khai.

Thiết Lập Môi Trường Kiểm Soát

Bộ phận thực hiện chính: Ban Giám đốc, Phòng Nhân sự (HR), Phòng Pháp chế/Tuân thủ.

Môi trường kiểm soát là “nền móng” của toàn bộ hệ thống – phản ánh văn hóa đạo đức, cơ cấu tổ chức và cam kết tuân thủ của doanh nghiệp. Nếu thiếu nền móng này, mọi quy trình phía sau đều thiếu hiệu lực.

Các công việc cụ thể cần triển khai:

• Soạn thảo và ban hành nền tảng đạo đức: Phòng HR và Phòng Pháp chế phối hợp xây dựng Sổ tay Văn hóa & Đạo đức kinh doanh và Nội quy lao động – làm chuẩn ứng xử cho toàn thể nhân viên.
• Thiết lập sơ đồ tổ chức và phân quyền rõ ràng: Ban Giám đốc phê duyệt sơ đồ tổ chức; Phòng HR soạn Bản mô tả công việc (JD) chi tiết để tránh chồng chéo quyền hạn giữa các vị trí.
• Đào tạo hội nhập và ký cam kết: Tổ chức onboarding cho nhân viên mới; yêu cầu toàn bộ nhân sự ký cam kết tuân thủ quy tắc đạo đức và bảo mật thông tin.
• Gắn KPI với tiêu chí tuân thủ: Phòng HR thiết lập tiêu chí đánh giá hiệu suất cuối năm có điểm “tuân thủ quy trình” – làm cơ sở cho thưởng, phạt và quyết định thăng tiến.

Tóm lại, Môi trường kiểm soát tốt đồng nghĩa với việc nhân viên hiểu rõ họ được làm gì, không được làm gì – và biết rằng vi phạm sẽ có hậu quả.

Đánh Giá Rủi Ro

Bộ phận thực hiện chính: Trưởng các phòng ban (Kế toán, Nhân sự, Tài chính, Vận hành) dưới sự hướng dẫn của Ban Tuân thủ hoặc Ban Lãnh đạo.

Đánh giá rủi ro là quá trình chủ động nhận diện những mối đe dọa có thể cản trở doanh nghiệp đạt mục tiêu – bao gồm cả rủi ro vận hành lẫn rủi ro gian lận từ bên trong.

Các công việc cụ thể cần triển khai:

• Xác định mục tiêu nghiệp vụ rõ ràng

Trước khi tìm rủi ro, mỗi bộ phận cần chốt rõ mục tiêu cần bảo vệ. Ví dụ: mục tiêu của Phòng Kế toán là kê khai thuế thu nhập doanh nghiệp (CIT) và thuế thu nhập cá nhân (PIT) chính xác, nộp đúng hạn 100% để tránh phạt vi phạm hoặc bị truy thu.

• Nhận diện và phân tích lỗ hổng nội tại

Trưởng phòng cùng chuyên viên rà soát quy trình làm việc để phát hiện điểm nghẽn. Ví dụ: kiểm tra xem phần mềm kế toán có tính sai công thức thuế không; hồ sơ chứng từ từ Phòng Nhân sự gửi sang có bị trễ hoặc thiếu sót không. Sau đó ưu tiên xử lý những kịch bản dễ xảy ra nhất.

• Đánh giá rủi ro gian lận

Đặt câu hỏi: “Có kẽ hở nào trong quy trình cho phép cá nhân trục lợi không?”. Ví dụ: kiểm tra nguy cơ tạo “nhân viên ma” trong bảng lương, lạm dụng quỹ phúc lợi, hoặc trục lợi từ quỹ bảo hiểm xã hội.

• Cập nhật rủi ro theo sự thay đổi môi trường

Khi có Luật Bảo hiểm xã hội mới hoặc nghị định cập nhật Luật Doanh nghiệp, Trưởng phòng Kế toán và Nhân sự phải ngay lập tức rà soát lại quy trình tính lương và cơ cấu vốn – kịp thời điều chỉnh trước khi phát sinh vi phạm.

Tóm lại, Đánh giá rủi ro không phải làm một lần rồi để đó – đây là hoạt động liên tục, cần cập nhật mỗi khi môi trường kinh doanh hoặc pháp lý thay đổi.

Thực Thi Hoạt Động Kiểm Soát

Bộ phận thực hiện chính: Mọi phòng ban nghiệp vụ (Kế toán, IT, Mua hàng, Bán hàng…).

Hoạt động kiểm soát là tập hợp các biện pháp cụ thể được thiết kế để ngăn chặn rủi ro xảy ra – hoặc phát hiện kịp thời khi rủi ro đã xảy ra. Đây là thành phần “hành động” nhất trong toàn bộ khung COSO.

Các công việc cụ thể cần triển khai:

• Phân quyền hệ thống (IT): Cấu hình phần mềm ERP sao cho nhân viên Sales chỉ được tạo đơn hàng, không thể tự ý sửa giá bán hoặc chỉnh sửa tồn kho.
• Phê duyệt theo hạn mức (Kế toán/Quản lý): Xây dựng ma trận duyệt chi – ví dụ: kế toán thanh toán chỉ được chuyển tiền khi chứng từ có đủ chữ ký của Người đề nghị, Trưởng phòng và Giám đốc (với các khoản chi lớn).
• Đối chiếu và kiểm kê định kỳ (Kho/Kế toán): Kế toán ngân hàng đối chiếu sổ phụ ngân hàng với sổ quỹ công ty mỗi tuần; thủ kho và kế toán kho kiểm kê hàng vật lý thực tế mỗi tháng để khớp với số liệu trên phần mềm.
• Kiểm tra chéo 3 bên khi thanh toán nhà cung cấp: Khi thanh toán, kế toán phải kẹp đủ 3 chứng từ độc lập: Đơn đặt hàng (từ Phòng Mua hàng) + Phiếu nhập kho (từ Thủ kho) + Hóa đơn (từ Nhà cung cấp). Thiếu một trong ba, giao dịch không được thực hiện.

Tóm lại, Hoạt động kiểm soát hiệu quả là khi không một cá nhân nào có thể tự mình hoàn tất một giao dịch trọng yếu mà không cần sự xác nhận độc lập từ người khác.

Thông Tin & Truyền Thông

Bộ phận thực hiện chính: Truyền thông nội bộ, Ban Tuân thủ, Bộ phận IT.

Một hệ thống kiểm soát dù thiết kế hoàn hảo đến đâu cũng sẽ thất bại nếu thông tin không được truyền đạt đúng người, đúng lúc và đúng cách.

Các công việc cụ thể cần triển khai:

• Truyền thông chính sách mới: Mỗi khi thay đổi quy trình (ví dụ: quy định thanh toán công tác phí), Phòng Kế toán gửi email chính thức và ban hành hướng dẫn trên cổng thông tin nội bộ (Portal).
• Thiết lập kênh tố cáo ẩn danh (Whistleblowing): Phòng Tuân thủ hoặc Nhân sự cung cấp địa chỉ email hoặc số điện thoại ẩn danh để nhân viên bí mật báo cáo khi phát hiện hành vi nhận hối lộ hoặc vi phạm quy định.
• Duy trì luồng dữ liệu thời gian thực: Đảm bảo hệ thống phần mềm hoạt động liên tục để Ban Giám đốc có thể theo dõi báo cáo doanh thu, tồn kho theo thời gian thực (real-time) trên mọi thiết bị.

Tóm lại, Thông tin & Truyền thông không chỉ là “gửi email thông báo” – mà là xây dựng một hệ sinh thái thông tin hai chiều, nơi cả lãnh đạo lẫn nhân viên đều có thể lên tiếng và nắm bắt tình hình kịp thời.

Hoạt Động Giám Sát

Bộ phận thực hiện chính: Kiểm toán nội bộ (Internal Audit), Ban Kiểm soát.

Giám sát là thành phần đảm bảo toàn bộ hệ thống kiểm soát nội bộ luôn hoạt động đúng như thiết kế – và kịp thời phát hiện, khắc phục khi có sai lệch.

Các công việc cụ thể cần triển khai:

• Lập kế hoạch kiểm toán hàng năm: Đầu năm, bộ phận Kiểm toán nội bộ xác định các phòng ban và quy trình sẽ được kiểm tra, ưu tiên những khu vực có rủi ro cao đã nhận diện ở Thành phần 2.
• Lấy mẫu và kiểm tra thực địa: Kiểm toán viên rút ngẫu nhiên 50 bộ hồ sơ thanh toán để xem có đủ chữ ký theo quy định không. Hoặc triển khai hình thức “khách hàng bí ẩn” (Mystery Shopper) để kiểm tra xem nhân viên bán hàng có xuất hóa đơn đúng quy định không.
• Phát hành báo cáo điểm yếu: Lập báo cáo kiểm toán chỉ rõ các lỗ hổng phát hiện được. Ví dụ: “Phát hiện 5/50 hồ sơ chi sai hạn mức duyệt”.
• Theo dõi và đôn đốc khắc phục: Sau khi phát hành báo cáo, tiến hành kiểm tra lại để xác nhận các phòng ban đã thực sự sửa lỗi và cập nhật quy trình chặt chẽ hơn.

Tóm lại, Giám sát là “vòng lặp khép kín” của hệ thống kiểm soát nội bộ – phát hiện sai sót, yêu cầu sửa chữa và xác minh việc sửa chữa đã hoàn tất.

Một hệ thống kiểm soát nội bộ vững mạnh không phải là đặc quyền của doanh nghiệp lớn – bất kỳ tổ chức nào cũng có thể triển khai từng bước theo khung COSO. Điều quan trọng là bắt đầu từ Thành phần 1, xây dựng nền tảng văn hóa trước, rồi từng bước hoàn thiện các thành phần còn lại.

Liên hệ nếu quý khách cần tư vấn thêm: Ms Huyền Hotline/Zalo – 094 719 2091

Email: pham.thi.thu.huyen@manaboxvn.jp.

_______________