Hoạt Động Kiểm Soát Cùng Thông Tin & Truyền Thông Theo Mô Hình COSO

Nếu “Môi trường kiểm soát” và “Đánh giá rủi ro” là việc xây dựng nền móng và vẽ bản đồ rủi ro, thì tiếp đến chúng ta sẽ bước vào giai đoạn hành động. Làm thế nào để ngăn chặn những rủi ro đã được nhận diện? Và làm sao để mọi nhân sự trong công ty đều nắm rõ và thực hiện đúng vai trò của mình?

Hai thành phần tiếp theo của mô hình COSO 2013 chính là lời giải đáp.

1. Thành Phần 3: Hoạt Động Kiểm Soát (Control Activities)

Hoạt động kiểm soát là những hành động được thiết lập thông qua các chính sách và thủ tục nhằm đảm bảo rằng các chỉ thị của Ban Giám đốc để giảm thiểu rủi ro đang được thực thi. Đây chính là các “chốt chặn” thực tế trong quy trình vận hành hàng ngày, bao gồm 3 nguyên tắc:

• Nguyên tắc 10: Lựa chọn và phát triển các hoạt động kiểm soát.
  • Tổ chức cần xây dựng các chốt kiểm soát (phê duyệt, xác thực, đối chiếu, phân quyền…) để giảm rủi ro xuống mức có thể chấp nhận được.
  • Ví dụ thực tế (Kế toán & Tài chính): Để ngăn chặn rủi ro chi sai, chi khống trong quỹ phúc lợi doanh nghiệp, công ty thiết lập “Ma trận phê duyệt”. Một khoản chi phí công tác dưới 5 triệu đồng chỉ cần Trưởng phòng duyệt, nhưng từ 5 triệu đồng trở lên bắt buộc phải có chữ ký của Giám đốc Tài chính (CFO) kèm theo hóa đơn tài chính hợp lệ.
• Nguyên tắc 11: Lựa chọn và phát triển các kiểm soát chung về công nghệ.
  • Trong thời đại số, các quy trình hầu hết gắn liền với phần mềm. Doanh nghiệp cần kiểm soát rủi ro về quyền truy cập, bảo mật và tính toàn vẹn của hệ thống.
  • Ví dụ thực tế (Nhân sự & IT): Đối với phần mềm tính lương, bộ phận IT thiết lập tính năng phân quyền: Chuyên viên C&B (Tiền lương & Phúc lợi) chỉ được phép nhập liệu và xem công thức tính thuế Thu nhập cá nhân (TNCN), nhưng không có quyền tự ý thay đổi hệ số lương trên hệ thống nếu không có mật khẩu phê duyệt của Trưởng phòng Nhân sự.
• Nguyên tắc 12: Triển khai thông qua các chính sách và thủ tục.
  • Chính sách quy định “những gì được mong đợi”, còn thủ tục là “các bước đưa chính sách vào thực tiễn”.
  • Ví dụ thực tế (Quản trị Nhân sự): Công ty có “Chính sách bảo mật thông tin nghỉ việc”. Thủ tục đi kèm là: Ngay khi nhân sự hoàn tất ngày làm việc cuối cùng, phòng Nhân sự phải gửi một ticket (yêu cầu) tự động sang phòng IT để vô hiệu hóa email, quyền truy cập phần mềm kế toán và thu hồi thẻ từ ra vào văn phòng chậm nhất trong vòng 2 giờ.

2. Thành Phần 4: Thông Tin & Truyền Thông (Information & Communication)

Hệ thống kiểm soát nội bộ sẽ vô dụng nếu các quy trình chỉ nằm trên giấy mà nhân viên không hề hay biết. Dòng chảy thông tin chính là mạch máu kết nối toàn bộ 5 thành phần của COSO. Thành phần này bao gồm 3 nguyên tắc cốt lõi:

• Nguyên tắc 13: Sử dụng thông tin phù hợp.
  • Tổ chức cần thu thập, tạo ra và sử dụng dữ liệu chất lượng, có tính liên quan từ cả bên trong lẫn bên ngoài để hỗ trợ chức năng kiểm soát nội bộ.
  • Ví dụ thực tế (Kế toán Thuế): Để đảm bảo trích lập đúng chi phí thuế TNCN cho nhân viên, Kế toán trưởng không chỉ dựa vào dữ liệu nội bộ (bảng chấm công, mức thưởng) mà còn phải thường xuyên cập nhật thông tin bên ngoài (các Thông tư, Nghị định mới nhất của Tổng cục Thuế về mức giảm trừ gia cảnh).
• Nguyên tắc 14: Truyền thông nội bộ.
  • Thông tin phải được truyền đạt thông suốt theo chiều từ trên xuống, từ dưới lên và chéo giữa các phòng ban.
  • Ví dụ thực tế (Vận hành & Tuân thủ): Khi công ty ban hành quy định mới về “Hạn mức chi phí tiếp khách hợp lệ”, phòng Tài chính không chỉ giữ thông tin đó cho riêng mình. Họ phải tổ chức một buổi tập huấn nội bộ (hoặc gửi email thông báo chính thức) đến toàn bộ đội ngũ Sales và Marketing, giải thích rõ loại hóa đơn nào được chấp nhận để mọi người nắm rõ và tuân thủ.
• Nguyên tắc 15: Truyền thông ra bên ngoài.
  • Tổ chức cần giao tiếp hiệu quả với các bên liên quan bên ngoài (khách hàng, nhà cung cấp, cơ quan nhà nước, kiểm toán độc lập) về các vấn đề ảnh hưởng đến kiểm soát nội bộ.
  • Ví dụ thực tế (Tài chính & Pháp lý): Khi có đoàn kiểm tra của Cơ quan Thuế về các khoản chi phí phúc lợi và khen thưởng của doanh nghiệp, người đại diện công ty (Kế toán trưởng hoặc Giám đốc) phải cung cấp sổ sách minh bạch, giải trình rõ ràng các căn cứ pháp lý và số liệu để chứng minh sự tuân thủ. Đồng thời, công ty cũng thiết lập một kênh hotline (đường dây nóng) để nhà cung cấp có thể phản ánh nếu bị nhân viên công ty vòi vĩnh tiền hoa hồng.

Tóm lại, “Hoạt động kiểm soát” cung cấp các công cụ và hàng rào bảo vệ, trong khi “Thông tin & Truyền thông” đảm bảo rằng những hàng rào đó được mọi người thấu hiểu và tự giác bảo vệ.

Khi đã xây dựng xong quy trình và truyền thông rõ ràng, làm thế nào để Ban lãnh đạo biết được hệ thống này có đang bị “lủng” ở đâu không? Làm sao để liên tục nâng cấp hệ thống? Chúng ta sẽ giải quyết bài toán này ở bài viết tiếp theo

Liên hệ nếu quý khách cần tư vấn thêm: Ms Huyền Hotline/Zalo – 094 719 2091

Email: pham.thi.thu.huyen@manaboxvn.jp.

_______________