Mục lục bài viết
Hướng dẫn số 1/2025 — ban hành 26/12/2025
Delivering Quality Audits in a Technology-Driven Environment của ACRA có bốn phần: tổng quan; hệ thống quản lý chất lượng (SoQM), gồm giới thiệu, đánh giá rủi ro, giám sát/khắc phục; kiểm toán FS, gồm giới thiệu, đánh giá rủi ro, ứng phó, tình huống; sáng kiến hỗ trợ chuyển đổi số. Bản gốc 19 trang là tài liệu hình ảnh; nội dung dưới đây được đọc trực tiếp toàn bộ các trang, kể cả sơ đồ, ô lưu ý, chú thích.
Công nghệ ngày càng quan trọng trong kinh doanh/kiểm toán. Ấn phẩm nêu yếu tố thiết yếu cho Accounting Entities (AE) và người hành nghề để cung cấp kiểm toán chất lượng. Đánh giá/giám sát toàn diện bảo đảm nguồn lực công nghệ hoạt động đúng nhằm hỗ trợ SoQM hiệu quả. Hiểu CNTT của đơn vị được kiểm toán là nền tảng đánh giá rủi ro vững và thiết kế đáp ứng về nội dung, lịch trình, phạm vi. Đầu tư nguồn lực phát triển năng lực số, tận dụng tiến bộ công nghệ hằng ngày; phần4 nêu chương trình/tài trợ. Công nghệ sẽ gắn liền hành nghề; cần cập nhật tiến bộ, quản lý rủi ro mới, đầu tư năng lực để phù hợp môi trường đổi nhanh.
2 — Mục tiêu chất lượng đối với công nghệ
SSQM1 Quality Management for Firms that Perform Audits or Reviews of Financial Statements, or Other Assurance or Related Services Engagements yêu cầu AE thiết kế, triển khai, vận hành SoQM giúp chủ động và liên tục cải thiện chất lượng. SSQM1.32(f) yêu cầu mục tiêu chất lượng (QO): nguồn lực công nghệ thích hợp được thu nhận hoặc phát triển, triển khai, duy trì và sử dụng để vận hành SoQM của hãng và thực hiện hợp đồng. Muốn đạt, AE phải nhận diện đầy đủ nguồn lực sử dụng, đánh giá quality risks (QR) để thiết kế/triển khai đáp ứng thích hợp. Chú thích1: SSQM1.8(b).
Điểm kiểm tra: đã nhận diện mọi nguồn lực liên quan?
Môi trường CNTT gồm ứng dụng, hạ tầng, quy trình và người quản lý/thực hiện quy trình. Nguồn lực liên quan gồm loại trực tiếp dùng hoặc thiết yếu để hỗ trợ cả quản lý hành nghề và thực hiện kiểm toán. Một ứng dụng có nhiều chức năng, các chủ quy trình/công cụ dùng cho nhiều mục tiêu; các cấu phần SoQM tích hợp nên phải phối hợp đúng chủ sở hữu khi xác định nguồn lực/chức năng. Chú thích2: SSQM1.A98/A99.
Ứng dụng quản lý hành nghề: hệ thống kiểm tra độc lập/công cụ luân chuyển partner cho yêu cầu đạo đức; hệ thống background/conflict check cho chấp nhận/tiếp tục khách; theo dõi lưu trữ và timesheet cho thực hiện hợp đồng; hoạch định nguồn lực, quản lý học tập, đánh giá thành tích cho nhân lực; truyền thông nội bộ như intranet cho thông tin/truyền thông.
Ứng dụng hợp đồng kiểm toán: nền tảng kiểm toán có workflow lập kế hoạch/thực hiện thủ tục; phần mềm/script tùy biến tính lại hoặc đối chiếu; công cụ số trích xuất, xác thực hoặc phân tích dữ liệu tài chính.
Nguồn nội bộ, mạng lưới và nhà cung cấp
Sơ đồ ba vòng giao nhau: tự phát triển; nguồn lực mạng lưới; nhà cung cấp ngoài (giải pháp mua sẵn). Script/workflow tùy biến có thể phát triển bằng RPA, Python, structured query language, v.v. AE phải chủ động với nhà cung cấp/hãng mạng lưới để hiểu toàn diện thiết kế, xác định quy tắc dùng, đánh giá sửa/nâng cấp cần thiết nhằm phù hợp SoQM.
AE vẫn chịu trách nhiệm khi dùng nguồn mạng lưới. Triển khai có thể tạo QR bổ sung, cần chính sách/thủ tục thêm, đặc biệt nếu hạ tầng/mức sẵn sàng CNTT khác giữa hãng. Bỏ sót/không giám sát nguồn lực có thể để rủi ro ảnh hưởng chất lượng không được xử lý; nhận diện/hiểu toàn diện rất quan trọng.
Sai sót thường gặp: bỏ ứng dụng quản lý hành nghề, kéo theo thiếu nhận diện QR, thiết kế đáp ứng và giám sát thiết kế/triển khai/hiệu quả SoQM. Ví dụ bỏ hệ thống conflict check dùng nhiều mảng dịch vụ, dẫn thiếu đáp ứng/giám sát đe dọa độc lập từ danh sách đơn vị liên kết (corporate family trees) sai/thiếu hoặc thiếu toàn bộ dịch vụ phi đảm bảo cung cấp cho khách.
Điểm kiểm tra: nhận diện QR toàn diện?
SoQM dựa rủi ro hiệu quả nhất khi xét bản chất/hoàn cảnh riêng của AE và hợp đồng. Nhận diện/đánh giá QR công nghệ phụ thuộc độ phức tạp, giai đoạn triển khai, mức dựa nhà cung cấp ngoài/mạng lưới. Năm QR thường gặp: nguồn lực mới chưa đánh giá đủ trước triển khai; nguồn hiện hữu không duy trì đủ sau triển khai; đánh giá/giám sát liên tục nguồn ngoài/mạng lưới không đủ; nhân sự không quen ứng dụng; đe dọa mạng khai thác điểm yếu, dẫn truy cập hoặc sửa dữ liệu/ứng dụng trái phép.
Điểm kiểm tra: đáp ứng về ứng dụng đã được thiết kế/triển khai?
Triển khai công nghệ phải tối đa chất lượng, giảm QR xuống thấp có thể chấp nhận. Với ứng dụng mới hoặc sửa lớn: quy trình chứng nhận thiết kế/chức năng/cách dùng; user acceptance testing (UAT) mọi tình huống/use case có thể do người dùng cuối xây; triển khai theo giai đoạn như pilot trên hợp đồng được chọn.
Với ứng dụng hiện hữu: general IT controls (GITC), ví dụ quản lý truy cập/thay đổi; helpdesk hỗ trợ kịp thời vấn đề/ticket; quản lý bản vá định kỳ sửa lỗi đã biết, ngăn tái diễn; lấy phản hồi người dùng, giám sát tỷ lệ áp dụng.
Với ứng dụng ngoài/mạng lưới: rà báo cáo mạng lưới về đầy đủ kiểm soát và trách nhiệm hãng thành viên triển khai kiểm soát thêm tại địa phương; rà báo cáo chứng nhận nhà cung cấp như system and organisation controls (SOC); rà tuân thủ SLA/KPI; họp định kỳ nhà cung cấp/mạng lưới về issue tracker và cập nhật hệ thống.
Giúp người dùng quen: đào tạo như workshop thực hành; hướng dẫn người dùng/phương pháp kiểm toán về xem xét, thực hiện, hồ sơ, ví dụ mẫu working paper; bổ nhiệm “champions” chia sẻ thành công/mẹo định kỳ. Nhóm phải biết nhận diện vùng kiểm toán có thể dùng, dùng đúng ý định, phân tích đầu ra. Chỉ cho dùng sau hoàn tất đánh giá và được người/nhóm thích hợp phê duyệt, tức chỉ công cụ whitelist (chú thích3 SSQM1.A101). Công nghệ đổi nhanh, ứng dụng thường cập nhật/thay, cần rà định kỳ để SoQM đáp ứng nhu cầu hiện tại/tương lai.
Điểm kiểm tra: kiểm soát an ninh mạng cấp doanh nghiệp?
Truy cập trái phép có thể làm lộ bí mật, tăng vi phạm dữ liệu, tổn thất tài chính, hậu quả pháp lý/danh tiếng; sửa trái phép làm ứng dụng/chính sách/thủ tục không hoạt động đúng, gián đoạn, downtime, giảm năng suất. AE cần khung/chính sách quản lý rủi ro bảo mật mạnh cho AE, nhà cung cấp ngoài/mạng lưới. Một số AE dùng khung đánh giá theo chứng nhận quốc tế/nội địa để giảm rủi ro bảo mật/an ninh mạng/bảo vệ dữ liệu.
An ninh mạng: firewall; VPN; mã hóa dữ liệu lưu trữ như ổ cứng/cloud (nguồn in “Date encryption at rest”); mã hóa truyền như transport layer security; hệ thống ngăn/phát hiện xâm nhập; đánh giá lỗ hổng và penetration testing. Bảo mật endpoint laptop/tablet/smartphone: tắt USB truyền tệp; tắt dịch vụ chia sẻ tệp web; giám sát email/web. Chống malware/virus: phần mềm anti-malware/anti-virus.
Quản rủi ro nhà cung cấp: due diligence, ví dụ SOC về quản lý bảo mật; xác lập điều khoản dịch vụ như tần suất cập nhật, cách bảo mật dữ liệu. Nhận thức: đào tạo an ninh mạng hằng năm, diễn tập mô phỏng. Liên tục kinh doanh: kế hoạch ứng phó sự cố, dự phòng CNTT, sao lưu/kiểm thử phục hồi định kỳ.
Sai sót thường gặp: không nhận diện QR an ninh mạng/đáp ứng tương ứng khi đánh giá rủi ro, nên không giám sát thiết kế, triển khai, hiệu quả hoạt động SoQM.
Giám sát và khắc phục: kiểm tra thiết kế, triển khai, hiệu quả đáp ứng
Nhóm monitoring and remediation (M&R) khi xác định phạm vi, bản chất, lịch trình, mức giám sát phải xét QR, thiết kế đáp ứng, thay đổi SoQM trong kỳ. Tối thiểu kiểm thử: đáp ứng chủ yếu; đáp ứng thêm cho rủi ro cao; đáp ứng mới/sửa trong năm; đáp ứng đã có ngoại lệ năm trước.
Không chỉ hỏi chủ đáp ứng; cần kiểm tra tài liệu, thực hiện lại hoặc quan sát để đánh giá đầu vào, đánh giá và thực hiện của chủ đáp ứng. Cỡ mẫu theo mức rủi ro/tần suất. Tham khảo Audit Regulatory Report2023 mục4.13 về kế hoạch kiểm thử hiệu quả.
Sai sót: chỉ hỏi và kiểm tra có phê duyệt. UAT ứng dụng mới không kiểm chức năng đã đủ, mẫu đại diện mọi tình huống, lỗi đã sửa trước triển khai; cài đặt ad hoc không rà đánh giá của IT về mục đích/bảo mật; sau cài không xác minh điều kiện như thời gian cài/người được phép. Nguồn mạng lưới: không đánh giá giám sát của hãng mạng lưới về tin cậy/hiệu quả nguồn để hỗ trợ đánh giá SoQM hằng năm.
Đánh giá phát hiện, thiếu sót và nguyên nhân gốc
AE phải hiểu phạm vi, bản chất, lịch trình, mức và kết quả giám sát do mạng lưới thực hiện; để xác định cần giám sát bổ sung, corrective/remedial action ở từng thành viên và ảnh hưởng đánh giá SoQM hằng năm. Audit Regulatory Report2023 mục4.28–4.29 nêu kỳ vọng.
AE đánh giá phát hiện để xác định có thiếu sót (chú thích4 SSQM1.40), xét: ảnh hưởng toàn vẹn dữ liệu/tin cậy ứng dụng khiến không hoạt động đúng; phụ thuộc giữa ứng dụng tạo tác động lan rộng; đáp ứng bù đắp/giảm nhẹ. Điều tra nguyên nhân gốc xây kế hoạch khắc phục. Phân tích có thể lộ vấn đề sâu/rủi ro tăng cần chú ý; biện pháp ngay/tạm/dài hạn có thể thêm/sửa đáp ứng ngăn/phát hiện tái diễn. Thông tin này quay lại SoQM theo vòng lặp. Hiệu quả kế hoạch tùy hành động sát vấn đề; Audit Practice Guidance1/2024 hướng dẫn RCA và kế hoạch khắc phục. URL qua safe.menlosecurity trong bản gốc được giữ nguyên ở tài nguyên, không tự thay bằng liên kết đoán.
3 — Kiểm toán FS: hiểu hệ thống và xử lý giao dịch
SSA315 (Revised2021), Identifying and Assessing the Risks of Material Misstatement yêu cầu nhận diện/đánh giá sai sót trọng yếu cấp FS/cơ sở dẫn liệu, làm nền thiết kế đáp ứng (chú thích5 SSA315.11). Phải hiểu đơn vị/môi trường, gồm CNTT liên quan hệ thống thông tin và lập FS; Phụ lục5/6 nêu CNTT/GITC. Chuẩn mực công nhận công cụ/kỹ thuật tự động khi đánh giá rủi ro và thu bằng chứng.
Rà chuyên đề2023: phân tích dữ liệu, RPA, OCR thường dùng đánh giá rủi ro, thủ tục cơ bản như kiểm bút toán/đối chiếu ba bên, rà FS. Audit Regulatory Report2023 mục4.38–4.56 nêu cách dùng tốt.
Hiểu hệ thống/thông tin trao đổi liên quan chuẩn bị FS: giao dịch/thông tin khởi tạo, ghi sổ, xử lý, sửa khi cần, báo cáo thế nào (chú thích6 SSA315.25). Có thể hỏi nhân sự liên quan suốt quy trình; rà chính sách, narrative, flowchart; walkthrough chọn giao dịch mẫu truy qua quy trình hệ thống (chú thích7 SSA315.A136). Hiểu vững giúp nhận diện rủi ro CNTT; thiết kế/vận hành kiểm soát xử lý và kiểm soát khác kém làm hỏng đầy đủ, chính xác, hợp lệ giao dịch/thông tin (chú thích8 SSA315.12(e),12(i)).
Ứng dụng, ITAC và ba miền GITC
Bản chất/mức rủi ro CNTT chịu ảnh hưởng đặc tính hệ thống, ứng dụng/hạ tầng hỗ trợ kinh doanh. Rủi ro cao khi kiểm soát tự động phức tạp và quản lý dựa nhiều để xử lý hiệu quả/toàn vẹn dữ liệu (chú thích9 SSA315.A174). Ví dụ phụ thuộc cao: nền tảng di động/web hỗ trợ thương mại điện tử, tài chính, viễn thông, game trực tuyến.
Flowchart tốt giúp nhận diện ứng dụng/IT application controls (ITAC) ảnh hưởng trực/gián tiếp lập FS. Trong từng ứng dụng, ITAC gồm logic tính tự động, đối chiếu, xác minh như three-way match; nhằm bảo đảm thông tin đầy đủ/chính xác/hợp lệ. Nhiều ứng dụng thì đánh giá interface controls bảo đảm truyền đầy đủ/chính xác. GITC hiệu quả duy trì môi trường, kiểm soát xử lý/toàn vẹn dữ liệu (chú thích10 SSA315.12(d)).
Sơ đồ kiểm thử GITC đủ ba miền: quản lý truy cập — cấp/thu hồi quyền, rà quyền người dùng, quản quyền đặc quyền, cấu hình mật khẩu; quản lý thay đổi/phát triển chương trình — kiểm thử/phê duyệt thay đổi/phát triển, phân tách nhiệm vụ, di chuyển dữ liệu; vận hành CNTT — sao lưu/phục hồi, lập lịch tác vụ.
Rà môi trường an ninh mạng của đơn vị được kiểm toán
Xét tác động trực/gián tiếp tới lập FS: đầy đủ kiểm soát an ninh mạng như trang8–9; áp dụng AI/machine learning/blockchain; thay đổi hệ thống gần đây; phát hiện CNTT từ internal/compliance/ISO audits; sự cố CNTT như rò rỉ/vi phạm dữ liệu tại đơn vị hoặc nhà cung cấp.
Nếu phát hiện vi phạm bảo mật: hiểu sự cố; rà thiết kế/triển khai/hiệu quả kiểm soát liên quan để xác định tác động/sai sót tiềm tàng FS; xác định bản chất/lịch trình/phạm vi thủ tục thêm; đánh giá công bố sự cố trong FS đã đủ. Chú thích11 SSA315, đoạn19 Phụ lục5.
Ứng phó kiểm toán, báo cáo hệ thống và thiếu sót GITC
SSA330 The Auditor’s Responses to Assessed Risks yêu cầu thiết kế/thực hiện tests of controls khi dự định dựa hiệu quả kiểm soát để xác định thủ tục cơ bản, hoặc thủ tục cơ bản riêng không đủ bằng chứng thích hợp cho sai sót trọng yếu cấp cơ sở dẫn liệu (chú thích12 SSA330.8).
Dùng báo cáo hệ thống làm bằng chứng có thể: kiểm hiệu quả kiểm soát chuẩn bị báo cáo và ứng dụng liên quan chịu rủi ro CNTT; hoặc thủ tục cơ bản trên đầu vào/đầu ra (chú thích13 SSA315.A169). Nếu GITC thiếu, nhận diện/đánh giá kiểm soát CNTT bù cùng rủi ro; thực hiện thủ tục cơ bản xem rủi ro đã xảy ra. Nếu sau đó vẫn thiếu bằng chứng dựa kiểm soát, đánh giá tác động chiến lược và thủ tục cơ bản theo SSA330.
Tổ chức dịch vụ là phần của hệ thống thông tin
Tổ chức dịch vụ là bên thứ ba cung cấp dịch vụ thuộc hệ thống thông tin liên quan lập FS của đơn vị (chú thích14 SSA402.8(e)). Ví dụ lưu ký/quản tài sản, lưu trữ/vận hành nền tảng thương mại điện tử, cloud, thực hiện smart contract thay đơn vị. Nếu dịch vụ ảnh hưởng khởi tạo/ghi/xử lý/báo giao dịch, phải hiểu dịch vụ và tác động kiểm soát nội bộ/CNTT theo SSA402 Audit Considerations Relating to an Entity Using a Service Organisation (chú thích15 SSA402.3).
Thường lấy/rà SOC Type1 hoặc Type2. Bốn việc: đánh giá năng lực nghề nghiệp/độc lập của service auditor khỏi service organisation; kỳ/ngày SOC phù hợp kỳ FS, nếu lệch có thể cần bridging letter phủ khoảng trống; rà ứng dụng/kiểm soát ảnh hưởng trực/gián tiếp FS; thủ tục thêm cho complementary user entity controls trong SOC liên quan đơn vị (chú thích16 SSA402.13–14). Nếu SOC có ý kiến ngoại trừ/thiếu sót, đánh giá tác động chiến lược và thủ tục xử lý rủi ro.
Tình huống 1 — App Z và thiết bị ảo
Các tình huống bổ sung yếu tố có thể đổi xét đoán về nội dung/lịch trình/phạm vi; đọc kỹ để có bằng chứng đầy đủ/thích hợp. Đơn vị vận hành game App Z: người chơi nhận phần thưởng có thể đổi lấy thiết bị ảo, mua hoặc trao đổi vật phẩm với người khác. Sơ đồ Player A ↔ APP Z ↔ Player B, đường trên chỉ giao dịch thiết bị ảo qua app.
Kiểm toán viên xác định App Z liên quan lập FS do xử lý thông tin khoản mục trọng yếu; dự định dùng báo cáo hệ thống, thực hiện thủ tục cơ bản: xác minh thu tiền mua thiết bị ảo; thủ tục phân tích cơ bản cho giao dịch phi tiền như kiểm hợp lý đổi/thương mại thiết bị.
Đã hiểu đủ kiểm soát giao dịch phi tiền/tác động FS chưa? (1) Khối lượng/độ phức tạp dữ liệu App Z? (2) Cơ chế đặt giá đổi, mua, giao dịch? (3) Mức tính tự động, logic báo cáo/tham số tạo báo cáo? Mô hình tự động cao có thể khiến chỉ thủ tục cơ bản không đủ bằng chứng sai sót trọng yếu.
Tình huống 2 — Cửa hàng, web, di động và System Z
Đơn vị nhiều cửa hàng bán lẻ, năm20X1/20X2 lần lượt ra web/mobile app; hệ thống chính System Z tích hợp cả hai. Khách mua tại cửa hàng/web/mobile; tự nhận hoặc giao tận nhà; kiếm cash rebate bù lần mua sau. Sơ đồ Consumers xuống ba kênh Web-based application/Physical stores/Mobile application, mỗi kênh nối System Z.
Kiểm toán viên xác định System Z liên quan vì xử lý khoản mục trọng yếu và dựa dữ liệu/báo cáo từ đó; thuê chuyên gia CNTT rà ITAC/GITC của System Z. Nhưng khách có thể khởi tạo/hoàn tất mua qua web/mobile: đã hiểu đủ hai ứng dụng/tác động FS? (1) Khối lượng/độ phức tạp dữ liệu từng app? (2) Cơ chế đặt giá/ghi cash rebate? (3) Interface giữa System Z/từng app rộng/phức tạp thế nào? (4) Web thay đổi đáng kể từ20X1 sang20X2 không; nếu có ảnh hưởng trực/gián tiếp lập FS không?
4 — Các sáng kiến hỗ trợ chuyển đổi số
AE Survey2025 cho thấy tăng7% AE dùng từ hai giải pháp công nghệ, phản ánh áp dụng số mạnh. Để hỗ trợ Small and Medium Practices (SMP), tài liệu nêu các chương trình/tài trợ tại thời điểm ban hành.
Enterprise Development Grant và Productivity Solutions Grant do Enterprise Singapore khởi xướng tài trợ dự án đủ điều kiện thúc đẩy đổi mới/năng suất, gồm tự động hóa quy trình hiện tại bằng CNTT. Productivity Solutions Grant for Accountancy Sector hỗ trợ giải pháp chuyên ngành như quản lý kiểm toán bên ngoài, quản lý hành nghề, phân tích dữ liệu.
Chief Technology Officer-as-a-Service do Infocomm Media Development Authority dẫn dắt, giúp SMP tiếp cận tư vấn chuyển đổi số miễn phí; đề xuất giải pháp theo nhu cầu/hồ sơ kinh doanh. Giữ các liên kết thực tế của nguồn để tham khảo, không coi bản 2025 xác nhận điều kiện hiện hành.
Về ACRA và bản quyền
ACRA thúc đẩy môi trường kinh doanh năng động, đáng tin, giúp đổi mới/tăng trưởng để Singapore là nơi kinh doanh tốt nhất; quản đăng ký doanh nghiệp và nghĩa vụ báo cáo tài chính/khác, giám sát public accountancy/CSP; phát triển nghề kế toán, đặt chuẩn mực cho công ty và thực thể Singapore. Thông tin www.acra.gov.sg.
Bản quyền2025 ACRA, mọi quyền bảo lưu; tài liệu là tài sản riêng ACRA; sửa, dùng, nhân bản hoặc phân phối thương mại chỉ với đồng ý ACRA. Trang có QR nhỏ; chưa giải mã thành công từ ảnh gốc/ảnh300dpi nên không tự đoán URL QR. Các hyperlink thật trong /Annots /A được bảo toàn riêng ở tài nguyên.
Biểu mẫu và tài nguyên chính thức
Các liên kết chính thức dưới đây sử dụng tiếng Anh.
- Báo cáo quản lý kiểm toán ACRA năm 2023: SoQM và công cụ tự động ↗
- APG 1/2024: phân tích nguyên nhân gốc và kế hoạch khắc phục (URL Menlo nguyên gốc) ↗
- Các báo cáo nghiên cứu ACRA, gồm khảo sát thực thể kế toán 2025 ↗
- Chương trình tài trợ phát triển doanh nghiệp Enterprise Development Grant ↗
- Tài trợ giải pháp năng suất Productivity Solutions Grant ↗
- Dịch vụ tư vấn giám đốc công nghệ theo nhu cầu của IMDA ↗
- Tài trợ giải pháp năng suất dành cho ngành kế toán ↗