'Chặn' rủi ro trong kiểm toán công nghệ thông tin

KTVNN ứng dụng các kỹ thuật hỗ trợ kiểm toán bằng máy tính (CAATs) để thu thập, đối chiếu, phát hiện giao dịch trùng lặp, dữ liệu sai lệch hoặc các biến động bất thường. Ảnh: TL

Tiếp cận dựa trên rủi ro trong kiểm toán công nghệ thông tin

Theo Hướng dẫn, kiểm toán CNTT là việc kiểm tra, đánh giá hệ thống CNTT, quản trị CNTT, các biện pháp, cơ chế kiểm soát CNTT, ứng dụng và dữ liệu nhằm xác định độ tin cậy và mức độ hỗ trợ mục tiêu của đơn vị, bảo đảm an ninh, tính toàn vẹn về tài sản, công nghệ, thông tin và dữ liệu; tính khả dụng, hiệu quả sử dụng nguồn lực và tuân thủ pháp luật.

Hướng dẫn yêu cầu việc chuẩn bị kiểm toán gắn với khảo sát hệ thống CNTT, hạ tầng, ứng dụng, kiến trúc dữ liệu, luồng dữ liệu, dịch vụ thuê ngoài và các yếu tố công nghệ có liên quan. Trên cơ sở đó, kiểm toán viên nhà nước (KTVNN) xác định mục tiêu, phạm vi, trọng yếu, rủi ro, tiêu chí và thủ tục kiểm toán; đồng thời xem xét khả năng tiếp cận dữ liệu, lựa chọn công cụ phân tích và bố trí nhân sự phù hợp. Cách tiếp cận theo rủi ro cho phép KTVNN tập trung nguồn lực vào các hệ thống, dữ liệu, nghiệp vụ và kiểm soát có khả năng ảnh hưởng lớn đến tính đúng đắn và toàn vẹn của thông tin, hoạt động quản lý và sử dụng nguồn lực công.

Bao quát các trụ cột vận hành và an toàn hệ thống

Hướng dẫn kiểm toán CNTT xác định hệ thống các nhóm nội dung kiểm tra trọng tâm bao phủ toàn bộ đời sống của một hệ thống công nghệ. Trước hết là kiểm toán quản trị CNTT, tập trung đánh giá mức độ gắn kết giữa chiến lược, kế hoạch, kiến trúc CNTT với mục tiêu và nhu cầu hoạt động của đơn vị; cơ cấu tổ chức, phân công trách nhiệm; cơ chế chỉ đạo, giám sát; quản lý rủi ro, tài sản, nguồn lực và việc thực hiện các chính sách, quy trình CNTT. KTVNN cần đối chiếu kế hoạch, quyết định, quy chế và báo cáo quản trị với tình hình triển khai thực tế; xem xét việc xác định trách nhiệm của các bộ phận, quản lý nhu cầu đầu tư, theo dõi tài sản và xử lý rủi ro.

Đối với nội dung kiểm toán phát triển, đầu tư, mua sắm và đưa hệ thống vào sử dụng, phạm vi kiểm tra bao quát từ yêu cầu nghiệp vụ, thiết kế, kiểm thử, quyết định đầu tư đến chuyển đổi dữ liệu và nghiệm thu. Việc lựa chọn các yêu cầu nghiệp vụ trọng yếu để lần vết từ yêu cầu đã được phê duyệt đến thiết kế, cấu hình hoặc mã nguồn, trường hợp kiểm thử, kết quả kiểm thử và phê duyệt nghiệm thu là một trong các thủ tục quan trọng. KTVNN đồng thời xem xét việc phân tách môi trường phát triển, kiểm thử và vận hành; quyền truy cập của người phát triển; tính đầy đủ của các trường hợp kiểm thử, bao gồm trường hợp ngoại lệ, hiệu năng, an toàn thông tin và khả năng phục hồi khi phù hợp.

Nội dung kiểm toán vận hành hệ thống hướng vào việc quản lý tài khoản và quyền truy cập, xử lý sự cố, giám sát hệ thống, sao lưu, cập nhật, quản lý thay đổi, cấu hình và hoạt động thường xuyên. KTVNN có thể kiểm tra nhật ký hệ thống, hồ sơ cấp và thu hồi quyền, yêu cầu thay đổi, phê duyệt, kết quả kiểm thử và hồ sơ xử lý sự cố. Cần đối chiếu quyền được cấp với nhiệm vụ thực tế, xác định quyền không còn phù hợp, quyền vượt nhu cầu hoặc việc một cá nhân thực hiện các nhiệm vụ không được phân tách hợp lý. Đối với thay đổi hệ thống, cần kiểm tra việc đề xuất, phê duyệt, thử nghiệm, triển khai và xử lý khi thay đổi không đạt yêu cầu.

Khi kiểm toán thuê ngoài dịch vụ CNTT, cần tập trung vào việc lựa chọn nhà cung cấp, xác định yêu cầu và trách nhiệm trong hợp đồng, giám sát chất lượng dịch vụ, quản lý quyền truy cập của bên thứ ba, bảo vệ dữ liệu và kiểm soát việc bàn giao hoặc chấm dứt dịch vụ. KTVNN cần đối chiếu cam kết hợp đồng với kết quả cung cấp dịch vụ, báo cáo giám sát, sự cố, quyền truy cập và trách nhiệm khắc phục. Đặc biệt, việc thuê ngoài không làm giảm trách nhiệm quản lý của đơn vị được kiểm toán đối với hệ thống CNTT, dữ liệu và hoạt động được giao.

Đối với kiểm toán hoạt động liên tục và khôi phục sau sự cố, thảm họa, kiểm toán viên đánh giá việc xác định các hệ thống quan trọng, kịch bản thử nghiệm, so sánh thời gian khôi phục thực tế với yêu cầu đề ra và khả năng phối hợp khắc phục tồn tại.

Đối với kiểm toán an toàn thông tin, việc đánh giá hướng đến hiệu lực thực tế của các biện pháp bảo vệ hệ thống và dữ liệu thông qua quản lý truy cập, phân quyền, xử lý cảnh báo và khắc phục lỗ hổng. Quá trình thu thập, phân tích bằng chứng kiểm toán phải bảo đảm bí mật và an toàn thông tin theo quy định pháp luật.

Ở nhóm kiểm toán kiểm soát ứng dụng nghiệp vụ, kiểm toán viên xác định các kiểm soát tự động và bán tự động trong từng nghiệp vụ, kiểm tra quy tắc xử lý, phân quyền, dữ liệu đầu vào và kết quả đầu ra. Kiểm toán viên có thể chọn mẫu giao dịch để lần vết 2 chiều giữa chứng từ nguồn và báo cáo.

Kiểm toán dữ liệu có vai trò xuyên suốt các nhóm nội dung, không chỉ giới hạn ở kiểm tra cơ sở dữ liệu. Trước khi phân tích, kiểm toán viên phải đánh giá tính đầy đủ, chính xác, nhất quán của tập dữ liệu và đối chiếu với hồ sơ nguồn.

KTVNN ứng dụng các kỹ thuật hỗ trợ kiểm toán bằng máy tính (CAATs) để thu thập, đối chiếu, phát hiện giao dịch trùng lặp, dữ liệu sai lệch hoặc các biến động bất thường. CAATs đóng vai trò công cụ hỗ trợ nhưng không thay thế việc đánh giá chuyên môn và thu thập bằng chứng bổ sung. Các ngoại lệ do công cụ phát hiện cần được xác minh về nguyên nhân, bản chất, ảnh hưởng và trách nhiệm liên quan; đồng thời lưu lại nguồn dữ liệu, phạm vi xử lý, tiêu chí, công cụ và kết quả để bảo đảm khả năng kiểm tra lại.

Giá trị thực tiễn và yêu cầu triển khai

Hướng dẫn kiểm toán CNTT thiết lập phương pháp kiểm toán có tính hệ thống, từ khảo sát, đánh giá rủi ro, xác định thủ tục đến thu thập, phân tích bằng chứng, lập báo cáo kiểm toán và theo dõi thực hiện kết luận, kiến nghị kiểm toán. Giá trị của Hướng dẫn nằm ở khả năng chuyển các rủi ro CNTT thành nội dung kiểm tra cụ thể, có căn cứ và có thể kiểm chứng.

Để áp dụng hiệu quả Hướng dẫn, các đoàn kiểm toán cần lựa chọn thủ tục phù hợp với mục tiêu và rủi ro từng cuộc kiểm toán; tăng cường năng lực phân tích dữ liệu, sử dụng CAATs và phối hợp giữa KTVNN với chuyên gia kỹ thuật khi cần thiết. Hồ sơ kiểm toán cần thể hiện rõ căn cứ lựa chọn dữ liệu, cách thức kiểm tra, kết quả xác minh và mối liên hệ giữa bằng chứng với phát hiện, kết luận, kiến nghị kiểm toán. Các rủi ro CNTT nghiêm trọng chưa được khắc phục cần được theo dõi, kiểm tra và đánh giá nguyên nhân để kiến nghị xử lý phù hợp./.