Thử nghiệm kiểm soát của đơn vị sử dụng dịch vụ thuê ngoài

A29. Theo quy định tại Chuẩn mực kiểm toán quốc tế số 330,[10] trong một số trường hợp nhất định, kiểm toán viên của đơn vị sử dụng dịch vụ phải thiết kế và thực hiện các thử nghiệm kiểm soát để thu thập đầy đủ bằng chứng kiểm toán thích hợp về tính hữu hiệu của hoạt động kiểm soát liên quan. Yêu cầu về thử nghiệm kiểm soát đối với tổ chức cung cấp dịch vụ được áp dụng trong các trường hợp:

(a) Khi đánh giá rủi ro có sai sót trọng yếu, kiểm toán viên của đơn vị sử dụng dịch vụ kỳ vọng rằng các kiểm soát tại tổ chức cung cấp dịch vụ được thực hiện hiệu quả (có nghĩa là kiểm toán viên của đơn vị sử dụng dịch vụ có ý định dựa vào tính hữu hiệu của hoạt động kiểm soát tại tổ chức cung cấp dịch vụ để xác định nội dung, lịch trình và phạm vi của các thử nghiệm cơ bản); hoặc

(b) Nếu chỉ thực hiện thử nghiệm cơ bản, hoặc kết hợp thử nghiệm cơ bản và thử nghiệm kiểm soát tại đơn vị sử dụng dịch vụ thì không thể cung cấp đầy đủ bằng chứng kiểm toán thích hợp ở cấp độ cơ sở dẫn liệu.

A30. Nếu không có sẵn báo cáo loại 2, kiểm toán viên của đơn vị sử dụng dịch vụ có thể liên hệ với tổ chức cung cấp dịch vụ, thông qua đơn vị sử dụng dịch vụ, để yêu cầu kiểm toán viên của tổ chức cung cấp dịch vụ cung cấp báo cáo loại 2 chứa thông tin về việc kiểm tra tính hữu hiệu của các hoạt động kiểm soát có liên quan, hoặc kiểm toán viên của đơn vị sử dụng dịch vụ có thể huy động một kiểm toán viên khác thực hiện các thủ tục tại tổ chức cung cấp dịch vụ để kiểm tra tính hữu hiệu của các hoạt động kiểm soát đó. Kiểm toán viên của đơn vị sử dụng dịch vụ cũng có thể đến thực địa tại tổ chức cung cấp dịch vụ và thực hiện các thử nghiệm kiểm soát có liên quan nếu được sự chấp thuận của tổ chức này. Việc đánh giá rủi ro của kiểm toán viên của đơn vị sử dụng dịch vụ dựa trên bằng chứng kiểm toán kết hợp từ công việc của một kiểm toán viên khác và từ các thủ tục do chính kiểm toán viên của đơn vị sử dụng dịch vụ thực hiện.

Sử dụng báo cáo loại 2 làm bằng chứng kiểm toán về tính hữu hiệu của hoạt động kiểm soát tại tổ chức cung cấp dịch vụ (Tham chiếu: Đoạn 17)

A31. Báo cáo loại 2 có thể được sử dụng để đáp ứng nhu cầu của kiểm toán viên của các đơn vị sử dụng dịch vụ khác nhau; do đó, các thử nghiệm kiểm soát và kết quả thử nghiệm được mô tả trong báo cáo của kiểm toán viên của tổ chức cung cấp dịch vụ có thể không phù hợp cho các cơ sở dẫn liệu quan trọng trong báo cáo tài chính của đơn vị sử dụng dịch vụ. Các thử nghiệm kiểm soát liên quan và kết quả thử nghiệm được đánh giá nhằm xác định rằng báo cáo của kiểm toán viên của tổ chức cung cấp dịch vụ cung cấp đầy đủ bằng chứng kiểm toán thích hợp về tính hữu hiệu của hoạt động kiểm soát để giúp kiểm toán viên của đơn vị sử dụng dịch vụ đánh giá rủi ro. Để thực hiện điều này, kiểm toán viên của đơn vị sử dụng dịch vụ có thể xem xét những yếu tố sau:

(a) Khoảng thời gian được thực hiện thử nghiệm kiểm soát và khoảng thời gian đã trôi qua kể từ khi thực hiện các thử nghiệm kiểm soát;

(b) Phạm vi công việc của kiểm toán viên của tổ chức cung cấp dịch vụ, các dịch vụ và quá trình được xem xét, các kiểm soát được thử nghiệm và các thử nghiệm được thực hiện, và mối liên quan giữa các kiểm soát được thử nghiệm và các kiểm soát của đơn vị sử dụng dịch vụ; và

(c) Kết quả của các thử nghiệm kiểm soát đó và ý kiến của kiểm toán viên của tổ chức cung cấp dịch vụ về tính hữu hiệu của hoạt động kiểm soát.

A32. Đối với các cơ sở dẫn liệu nhất định, nếu khoảng thời gian được thực hiện thử nghiệm kiểm soát càng ngắn và thời gian trôi qua kể từ khi thực hiện thử nghiệm kiểm soát càng dài thì thử nghiệm đó càng cung cấp ít bằng chứng kiểm toán. Khi so sánh giai đoạn được phản ánh trong báo cáo loại 2 với kỳ báo cáo của đơn vị sử dụng dịch vụ, nếu giai đoạn được phản ánh trong báo cáo loại 2 và giai đoạn mà kiểm toán viên của đơn vị sử dụng dịch vụ dự định dựa vào báo cáo là không trùng nhau thì kiểm toán viên của đơn vị sử dụng dịch vụ có thể kết luận rằng báo cáo loại 2 cung cấp ít bằng chứng kiểm toán hơn. Trong trường hợp này, báo cáo loại 2 phản ánh một giai đoạn trước hoặc một giai đoạn sau đó có thể cung cấp bằng chứng kiểm toán bổ sung. Trong các trường hợp khác, kiểm toán viên của đơn vị sử dụng dịch vụ có thể xác định cần phải thực hiện, hoặc huy động một kiểm toán viên khác thực hiện các thử nghiệm kiểm soát tại tổ chức cung cấp dịch vụ nhằm thu thập đầy đủ bằng chứng kiểm toán thích hợp về tính hữu hiệu của các hoạt động kiểm soát đó.

A33. Kiểm toán viên của đơn vị sử dụng dịch vụ cũng có thể cần thu thập bằng chứng kiểm toán bổ sung về những thay đổi đáng kể đối với các kiểm soát liên quan tại tổ chức cung cấp dịch vụ ngoài giai đoạn được phản ánh trong báo cáo loại 2, hoặc xác định các thủ tục kiểm toán bổ sung cần thực hiện. Khi xác định các bằng chứng kiểm toán bổ sung cần thu thập về các kiểm soát tại tổ chức cung cấp dịch vụ ngoài giai đoạn được phản ánh trong báo cáo của kiểm toán viên của tổ chức cung cấp dịch vụ, các yếu tố liên quan mà kiểm toán viên có thể xem xét bao gồm:

· Mức độ nghiêm trọng của rủi ro có sai sót trọng yếu đã được đánh giá ở cấp độ cơ sở dẫn liệu;

· Những kiểm soát cụ thể đã được thử nghiệm trong giai đoạn giữa kỳ và những thay đổi đáng kể của các kiểm soát đó kể từ khi thử nghiệm, gồm những thay đổi trong hệ thống thông tin, các quy trình, và nhân sự;

· Mức độ thu thập được bằng chứng kiểm toán về tính hữu hiệu của hoạt động kiểm soát;

· Độ dài khoảng thời gian còn lại;

· Mức độ mà kiểm toán viên dự định giảm bớt các thử nghiệm cơ bản dựa trên sự tin tưởng vào các kiểm soát; và

· Tính hữu hiệu của môi trường kiểm soát và việc giám sát các kiểm soát tại đơn vị sử dụng dịch vụ.

A34. Bằng chứng kiểm toán bổ sung có thể được thu thập bằng cách như mở rộng các thử nghiệm kiểm soát cho giai đoạn còn lại hoặc kiểm tra việc giám sát các kiểm soát của đơn vị sử dụng dịch vụ.

A35. Nếu giai đoạn thử nghiệm của kiểm toán viên của tổ chức cung cấp dịch vụ hoàn toàn nằm ngoài kỳ báo cáo của đơn vị sử dụng dịch vụ, kiểm toán viên của đơn vị sử dụng dịch vụ không thể dựa vào các thử nghiệm đó để kết luận rằng các kiểm soát của đơn vị sử dụng dịch vụ được thực hiện một cách hữu hiệu vì việc thử nghiệm không cung cấp bằng chứng về tính hữu hiệu của hoạt động kiểm soát trong kỳ kiểm toán hiện tại, trừ khi các thủ tục khác được thực hiện.

A36. Trong một số trường hợp, dịch vụ do tổ chức cung cấp dịch vụ cung cấp có thể được thiết kế với giả định rằng một số kiểm soát nhất định sẽ được đơn vị sử dụng dịch vụ thực hiện. Ví dụ, dịch vụ có thể được thiết kế với giả định rằng đơn vị sử dụng dịch vụ sẽ có kiểm soát đối với việc phê duyệt các giao dịch trước khi gửi giao dịch đến tổ chức cung cấp dịch vụ để xử lý. Trong trường hợp này, bản mô tả các kiểm soát của tổ chức cung cấp dịch vụ có thể bao gồm mô tả về các kiểm soát bổ sung của đơn vị sử dụng dịch vụ. Kiểm toán viên của đơn vị sử dụng dịch vụ cần xem xét liệu các kiểm soát bổ sung của đơn vị sử dụng dịch vụ có phù hợp với dịch vụ được cung cấp hay không.

A37. Nếu kiểm toán viên của đơn vị sử dụng dịch vụ cho rằng báo cáo của kiểm toán viên của tổ chức cung cấp dịch vụ có thể không cung cấp đầy đủ bằng chứng kiểm toán thích hợp, ví dụ, nếu báo cáo của kiểm toán viên của tổ chức cung cấp dịch vụ không mô tả các thử nghiệm kiểm soát và kết quả thử nghiệm, kiểm toán viên của đơn vị sử dụng dịch vụ có thể tìm hiểu thêm về các thủ tục và kết luận của kiểm toán viên của tổ chức cung cấp dịch vụ, bằng cách liên hệ với tổ chức cung cấp dịch vụ, thông qua đơn vị sử dụng dịch vụ, để yêu cầu thảo luận với kiểm toán viên của tổ chức cung cấp dịch vụ về phạm vi và kết quả công việc của kiểm toán viên của tổ chức sử dụng dịch vụ. Ngoài ra, nếu cần thiết, kiểm toán viên của đơn vị sử dụng dịch vụ có thể liên hệ với tổ chức cung cấp dịch vụ, thông qua đơn vị sử dụng dịch vụ, để yêu cầu kiểm toán viên của tổ chức cung cấp dịch vụ thực hiện các thủ tục tại tổ chức cung cấp dịch vụ. Hoặc kiểm toán viên của đơn vị sử dụng dịch vụ có thể thực hiện hoặc yêu cầu một kiểm toán viên khác thực hiện các thủ tục này.

A38. Báo cáo loại 2 của kiểm toán viên của tổ chức cung cấp dịch vụ cho biết kết quả của các thử nghiệm, bao gồm các ngoại lệ và thông tin khác có thể ảnh hưởng đến kết luận của kiểm toán viên của đơn vị sử dụng dịch vụ. Các ngoại lệ mà kiểm toán viên của tổ chức cung cấp dịch vụ nêu ra hoặc ý kiến kiểm toán không phải là ý kiến chấp nhận toàn phần trong báo cáo loại 2 không có nghĩa là báo cáo đó không có ích cho việc đánh giá rủi ro có sai sót trọng yếu khi kiểm toán báo cáo tài chính của đơn vị sử dụng dịch vụ. Hơn nữa, các ngoại lệ và vấn đề dẫn đến ý kiến kiểm toán không phải là ý kiến chấp nhận toàn phần trong báo cáo loại 2 của kiểm toán viên của tổ chức cung cấp dịch vụ sẽ được xem xét khi kiểm toán viên của đơn vị sử dụng dịch vụ đánh giá các thử nghiệm kiểm soát do kiểm toán viên của tổ chức cung cấp dịch vụ thực hiện. Khi xem xét các ngoại lệ và vấn đề dẫn đến ý kiến kiểm toán không phải là ý kiến chấp nhận toàn phần, kiểm toán viên của đơn vị sử dụng dịch vụ có thể thảo luận những vấn đề này với kiểm toán viên của tổ chức cung cấp dịch vụ. Việc trao đổi phụ thuộc vào việc đơn vị sử dụng dịch vụ liên hệ với tổ chức cung cấp dịch vụ và được sự đồng ý của tổ chức cung cấp dịch vụ.

Trao đổi về những khiếm khuyết trong kiểm soát nội bộ được phát hiện trong quá trình kiểm toán

A39. Kiểm toán viên của đơn vị sử dụng dịch vụ phải trao đổi một cách kịp thời bằng văn bản với Ban Giám đốc và Ban quản trị đơn vị về những khiếm khuyết nghiêm trọng được phát hiện trong quá trình kiểm toán.[11] Kiểm toán viên của đơn vị sử dụng dịch vụ cũng phải trao đổi kịp thời với cấp quản lý phù hợp của đơn vị về những khiếm khuyết khác trong kiểm soát nội bộ được phát hiện trong quá trình kiểm toán, mà theo xét đoán chuyên môn của kiểm toán viên là nghiêm trọng và cần sự lưu ý của cấp quản lý phù hợp.[12] Những vấn đề mà kiểm toán viên của đơn vị sử dụng dịch vụ có thể phát hiện trong quá trình kiểm toán và có thể trao đổi với Ban giám đốc và Ban quản trị của đơn vị, bao gồm:

· Việc giám sát các kiểm soát nào có thể do đơn vị sử dụng dịch vụ thực hiện, kể cả các kiểm soát được phát hiện khi xem xét báo cáo loại 1 hoặc báo cáo loại 2;

· Trường hợp mà các kiểm soát bổ sung của đơn vị sử dụng dịch vụ được mô tả trong báo cáo loại 1 hoặc báo cáo loại 2 nhưng không được thực hiện tại đơn vị;

· Các kiểm soát có thể cần phải có tại tổ chức cung cấp dịch vụ nhưng chưa được thực hiện hoặc chưa được nêu cụ thể trong báo cáo loại 2.