Rủi ro kiểm toán
Rủi ro kiểm toán (Audit Risk - AR) là khả năng mà kiểm toán viên đưa ra ý kiến kiểm toán không phù hợp trên báo cáo tài chính (BCTC) có chứa sai sót trọng yếu. Nói cách khác, đây là rủi ro kiểm toán viên kết luận BCTC "trung thực và hợp lý" trong khi thực tế BCTC lại tồn tại các sai lệch quan trọng làm thay đổi nhận thức của người sử dụng. Rủi ro kiểm toán được tính theo công thức kinh điển:
AR = RMM × IR × DR
Trong đó:
- RMM (Risk of Material Misstatement - Rủi ro sai sót trọng yếu): là rủi ro BCTC chứa sai sót trọng yếu trước khi kiểm toán diễn ra, bao gồm rủi ro cố hữu (Inherent Risk) và rủi ro kiểm soát (Control Risk).
- IR (Inspection Risk - Rủi ro phát hiện): là rủi ro các thủ tục kiểm toán của kiểm toán viên không phát hiện ra sai sót trọng yếu đang tồn tại.
- DR (Detection Risk): thực tế thường đồng nghĩa với IR trong mô hình ba thành phần, phản ánh mức độ mà kiểm toán viên chấp nhận rủi ro phát hiện còn lại sau khi đã cân nhắc RMM và đối ứng thủ tục kiểm toán.
Các thành phần cấu thành rủi ro kiểm toán
Rủi ro cố hữu (Inherent Risk - IR): Là mức độ nhạy cảm với sai sót của một cấu tạo BCTC trước khi tính đến hệ thống kiểm soát nội bộ. Các yếu tố làm tăng rủi ro cố hữu gồm: ngành nghề có tính biến động cao (bất động sản, chứng khoán), các ước tính kế toán phức tạp (dự phòng nợ xấu, định giá công cụ phái sinh), giao dịch với bên liên quan lớn, hoặc doanh nghiệp đang gặp khó khăn tài chính dẫn đến động cơ gian lận.
Rủi ro kiểm soát (Control Risk - CR): Là rủi ro hệ thống kiểm soát nội bộ của đơn vị không ngăn chặn hoặc phát hiện kịp thời các sai sót trọng yếu. Ví dụ: ngân hàng thương mại có quy trình phê duyệt tín dụng yếu kém, phân tách nhiệm vụ chưa rõ ràng giữa giao dịch viên và kiểm soát viên, hoặc hệ thống IT chưa tự động hóa đối chiếu số liệu.
Rủi ro phát hiện (Detection Risk - DR): Là rủi ro duy nhất kiểm toán viên có thể kiểm soát trực tiếp thông qua thiết kế thủ tục kiểm toán. Khi RMM được đánh giá cao, kiểm toán viên phải giảm DR bằng cách: tăng cỡ mẫu kiểm tra, mở rộng thời gian thực hiện thủ tục cơ bản, áp dụng thủ tục phân tích chi tiết hơn, hoặc yêu cầu xác nhận từ bên thứ ba (bank confirmation).
Mối liên hệ giữa rủi ro kiểm toán và mức trọng yếu
Mức trọng yếu (Materiality) là ngưỡng mà sai sót vượt qua sẽ ảnh hưởng đến quyết định kinh tế của người sử dụng BCTC. Kiểm toán viên phải thiết kế thủ tục để giảm AR xuống mức chấp nhận được (thường là 5% đối với BCTC thông thường) tương ứng với mức trọng yếu đã xác định. Nếu mức trọng yếu càng thấp, kiểm toán viên càng phải thu thập nhiều bằng chứng hơn, tức DR càng phải giảm, từ đó tăng tính chắc chắn của cuộc kiểm toán.
Trong kiểm toán ngân hàng, việc xác định mức trọng yếu thường dựa trên các chỉ tiêu: tổng tài sản có (0,5%-1%), doanh thu thuần (0,5%-1%), lợi nhuận trước thuế (5%) hoặc tỷ lệ dự phòng rủi ro tín dụng so với dư nợ. Sai sót trọng yếu trong ngân hàng có thể đến từ: phân loại nợ không đúng, định giá tài sản đảm bảo, hoặc tính toán thuế chưa đầy đủ.
Ví dụ minh họa trong ngân hàng
Một ngân hàng thương mại cổ phần có dư nợ tín dụng 200.000 tỷ đồng, trong đó nhóm nợ xấu (nhóm 3-5) chiếm 4%. Kiểm toán viên đánh giá:
- Rủi ro cố hữu: cao, do ngân hàng vừa mở rộng cho vay bất động sản trong giai đoạn thị trường biến động.
- Rủi ro kiểm soát: trung bình, do quy trình thẩm định đã được nâng cấp nhưng vẫn còn tồn tại một số điểm yếu trong kiểm soát sau cho vay.
- Rủi ro phát hiện: kiểm toán viên quyết định tăng cỡ mẫu kiểm tra hồ sơ tín dụng từ 30 lên 60 khoản vay, đồng thời thực hiện thủ tục xác nhận số dư với khách hàng doanh nghiệp lớn.
Nếu kiểm toán viên không mở rộng thủ tục, DR sẽ tăng theo, kéo AR lên mức không chấp nhận được. Đây chính là lý do vì sao quy mô và chiều sâu thủ tục kiểm toán tỷ lệ thuận với mức độ rủi ro đánh giá ban đầu.
Câu hỏi thường gặp
Hỏi: Rủi ro kiểm toán (AR) có phải do kiểm toán viên gây ra hay không?
Trả lời: Không hoàn toàn. AR bao gồm rủi ro vốn có trong BCTC và hệ thống kiểm soát của đơn vị được kiểm toán (RMM), chỉ có rủi ro phát hiện (DR) là phụ thuộc vào thiết kế thủ tục của kiểm toán viên. Tuy nhiên, kiểm toán viên chịu trách nhiệm chính trong việc đánh giá RMM để điều chỉnh DR cho phù hợp.
Hỏi: Làm thế nào để giảm rủi ro kiểm toán xuống mức thấp?
Trả lời: Kiểm toán viên giảm AR bằng cách đánh giá đầy đủ RMM (hiểu khách hàng, hiểu ngành, hiểu kiểm soát nội bộ), từ đó thiết kế thủ tục kiểm toán có DR thấp: tăng cỡ mẫu, thực hiện thủ tục tại thời điểm cân đối thay vì giữa kỳ, sử dụng ý kiến chuyên gia (định giá tài sản đảm bảo, kiểm toán viên IT kiểm tra hệ thống core banking).
Hỏi: Rủi ro kiểm toán có giống rủi ro nghề nghiệp của kiểm toán viên không?
Trả lời: Khác nhau. Rủi ro kiểm toán là khái niệm thuộc phạm vi một cuộc kiểm toán cụ thể, phản ánh khả năng ý kiến kiểm toán sai. Trong khi đó, rủi ro nghề nghiệp (Professional Risk / Business Risk) rộng hơn, bao gồm: rủi ro pháp lý, rủi ro mất khách hàng, rủi ro uy tín nghề nghiệp khi đưa ra ý kiến không phù hợp trong nhiều năm liên tiếp.
Nội dung mang tính tham khảo cho mục đích học tập và ôn luyện, không thay thế tư vấn chuyên môn về kiểm toán và tuân thủ trong hoạt động ngân hàng.