Xử lý rủi ro có sai sót trọng yếu đã được đánh giá

A24. Việc sử dụng dịch vụ bên ngoài có làm tăng rủi ro có sai sót trọng yếu của đơn vị sử dụng dịch vụ hay không sẽ phụ thuộc vào bản chất của dịch vụ được cung cấp và các kiểm soát đối với dịch vụ này. Trong một số trường hợp, việc sử dụng dịch vụ bên ngoài có thể làm giảm rủi ro có sai sót trọng yếu của đơn vị sử dụng dịch vụ, đặc biệt nếu đơn vị sử dụng dịch vụ không có chuyên môn cần thiết để thực hiện một số hoạt động cụ thể, như việc tạo lập, xử lý và ghi chép các giao dịch, hoặc không có đủ nguồn lực (ví dụ một hệ thống công nghệ thông tin).

A25. Khi tổ chức cung cấp dịch vụ duy trì một số thành phần trọng yếu của tài liệu, sổ kế toán của đơn vị sử dụng dịch vụ, kiểm toán viên của đơn vị sử dụng dịch vụ cần được tiếp cận trực tiếp các tài liệu, sổ kế toán này để có thể thu thập đầy đủ bằng chứng kiểm toán thích hợp liên quan đến việc vận hành các kiểm soát đối với tài liệu, sổ kế toán và/hoặc để chứng minh các giao dịch và số dư thể hiện trong đó. Việc tiếp cận này có thể bao gồm trực tiếp kiểm tra tài liệu, sổ kế toán tại văn phòng của tổ chức cung cấp dịch vụ và/hoặc kiểm tra tài liệu, sổ kế toán dạng điện tử tại đơn vị sử dụng dịch vụ hoặc từ một địa điểm khác. Khi truy cập dữ liệu dạng điện tử, kiểm toán viên của đơn vị sử dụng dịch vụ cũng có thể thu thập bằng chứng về tính thích hợp của các kiểm soát của tổ chức cung cấp dịch vụ đối với sự đầy đủ và toàn vẹn của dữ liệu của đơn vị sử dụng dịch vụ mà tổ chức cung cấp dịch vụ chịu trách nhiệm.

A26. Khi xác định nội dung và phạm vi của bằng chứng kiểm toán cần thu thập liên quan đến các số dư phản ánh tài sản được tổ chức cung cấp dịch vụ nắm giữ hoặc các giao dịch được tổ chức này thực hiện thay cho đơn vị sử dụng dịch vụ, kiểm toán viên của đơn vị sử dụng dịch vụ có thể cân nhắc thực hiện các thủ tục sau:

(a) Kiểm tra sổ sách và tài liệu do đơn vị sử dụng dịch vụ lưu giữ: độ tin cậy của nguồn bằng chứng này được xác định bởi nội dung và phạm vi của tài liệu, sổ kế toán và tài liệu chứng minh khác do đơn vị sử dụng dịch vụ lưu giữ. Trong một số trường hợp, đơn vị sử dụng dịch vụ có thể không duy trì độc lập các sổ chi tiết hoặc tài liệu về các giao dịch cụ thể do tổ chức cung cấp dịch vụ thực hiện thay;

(b) Kiểm tra sổ sách và tài liệu do tổ chức cung cấp dịch vụ lưu giữ: việc kiểm toán viên của đơn vị sử dụng dịch vụ được phép tiếp cận sổ sách của tổ chức cung cấp dịch vụ có thể được quy định thành một điều khoản của hợp đồng giữa đơn vị sử dụng dịch vụ và tổ chức cung cấp dịch vụ. Kiểm toán viên của đơn vị sử dụng dịch vụ cũng có thể huy động một kiểm toán viên khác thay mặt mình để tiếp cận sổ sách của đơn vị sử dụng dịch vụ mà tổ chức cung cấp dịch vụ duy trì;

(c) Thu thập xác nhận về các số dư và giao dịch từ tổ chức cung cấp dịch vụ: khi đơn vị sử dụng dịch vụ duy trì độc lập các sổ ghi số dư và giao dịch, việc xác nhận từ tổ chức cung cấp dịch vụ để chứng thực cho số liệu trong sổ kế toán của đơn vị sử dụng dịch vụ có thể cung cấp bằng chứng kiểm toán đáng tin cậy về sự tồn tại của các giao dịch và các tài sản liên quan. Ví dụ, khi nhiều tổ chức cung cấp dịch vụ được thuê, như một tổ chức quản lý quỹ đầu tư và một tổ chức quản lý tài sản, và các tổ chức cung cấp dịch vụ này duy trì các sổ độc lập, kiểm toán viên của đơn vị sử dụng dịch vụ có thể xác nhận các số dư với các tổ chức này để so sánh thông tin này với các sổ độc lập của đơn vị sử dụng dịch vụ.

Nếu đơn vị sử dụng dịch vụ không duy trì độc lập sổ kế toán, thông tin thu thập được từ việc xác nhận với tổ chức cung cấp dịch vụ chỉ đơn thuần là một báo cáo những nội dung được phản ánh trong sổ sách mà tổ chức cung cấp dịch vụ duy trì. Do đó, nếu xét riêng thì những xác nhận này không cung cấp bằng chứng kiểm toán đáng tin cậy. Trong trường hợp này, kiểm toán viên của đơn vị sử dụng dịch vụ có thể xem xét liệu có tìm được một nguồn bằng chứng độc lập thay thế hay không;

(d) Thực hiện các thủ tục phân tích đối với sổ sách mà đơn vị sử dụng dịch vụ duy trì, hoặc đối với các báo cáo nhận được từ tổ chức cung cấp dịch vụ: tính hữu hiệu của thủ tục phân tích có thể khác nhau đối với từng cơ sở dẫn liệu và sẽ bị ảnh hưởng bởi phạm vi và mức độ chi tiết của thông tin sẵn có.

A27. Một kiểm toán viên khác có thể thực hiện các thủ tục quan trọng thay cho kiểm toán viên của đơn vị sử dụng dịch vụ. Công việc của kiểm toán viên khác đó có thể bao gồm thực hiện các thủ tục theo thỏa thuận giữa đơn vị sử dụng dịch vụ với kiểm toán viên của đơn vị và giữa tổ chức cung cấp dịch vụ với kiểm toán viên của tổ chức đó. Các kết quả thu được từ các thủ tục do kiểm toán viên khác thực hiện sẽ được kiểm toán viên của đơn vị sử dụng dịch vụ soát xét để xác định liệu các kết quả đó có cung cấp đầy đủ bằng chứng kiểm toán thích hợp hay không. Ngoài ra, có thể có các quy định của các cơ quan Nhà nước có thẩm quyền hoặc thỏa thuận trong hợp đồng yêu cầu kiểm toán viên của tổ chức cung cấp dịch vụ thực hiện các thủ tục quan trọng. Kết quả của việc thực hiện các thủ tục cần thiết đối với các số dư và giao dịch mà tổ chức cung cấp dịch vụ xử lý có thể được kiểm toán viên của đơn vị sử dụng dịch vụ sử dụng làm bằng chứng cần thiết để hỗ trợ cho ý kiến kiểm toán. Trong trường hợp này, trước khi thực hiện các thủ tục, kiểm toán viên của đơn vị sử dụng dịch vụ và kiểm toán viên của tổ chức cung cấp dịch vụ cần thống nhất về tài liệu, hồ sơ kiểm toán hoặc việc tiếp cận với tài liệu, hồ sơ kiểm toán sẽ được cung cấp cho kiểm toán viên của đơn vị sử dụng dịch vụ.

A28. Trong một số trường hợp nhất định, đặc biệt khi đơn vị sử dụng dịch vụ thuê dịch vụ bên ngoài để thực hiện một phần hoặc toàn bộ chức năng tài chính của đơn vị, kiểm toán viên của đơn vị sử dụng dịch vụ có thể gặp tình huống là phần lớn bằng chứng kiểm toán tập trung ở tổ chức cung cấp dịch vụ. Kiểm toán viên của đơn vị sử dụng dịch vụ hoặc một kiểm toán viên khác thay mặt có thể cần thực hiện các thử nghiệm cơ bản tại tổ chức cung cấp dịch vụ. Kiểm toán viên của tổ chức cung cấp dịch vụ có thể cung cấp báo cáo loại 2 và ngoài ra, có thể thực hiện các thử nghiệm cơ bản thay cho kiểm toán viên của đơn vị sử dụng dịch vụ. Sự tham gia của một kiểm toán viên khác không làm thay đổi trách nhiệm của kiểm toán viên của đơn vị sử dụng dịch vụ đối với việc thu thập đầy đủ bằng chứng kiểm toán thích hợp nhằm tạo cơ sở hợp lý để đưa ra ý kiến kiểm toán. Do đó, để kết luận liệu đã thu thập đầy đủ bằng chứng kiểm toán thích hợp hay chưa, và có cần thực hiện các thử nghiệm cơ bản tiếp theo hay không, kiểm toán viên của đơn vị sử dụng dịch vụ cần cân nhắc tham gia hướng dẫn, giám sát và thực hiện, hoặc xem xét bằng chứng về việc hướng dẫn, giám sát và thực hiện các thử nghiệm cơ bản do kiểm toán viên khác tiến hành.

Thử nghiệm kiểm soát

A29. Theo quy định tại đoạn 08 Chuẩn mực kiểm toán Việt Nam số 330, trong một số trường hợp nhất định, kiểm toán viên của đơn vị sử dụng dịch vụ phải thiết kế và thực hiện các thử nghiệm kiểm soát để thu thập đầy đủ bằng chứng kiểm toán thích hợp về tính hữu hiệu của hoạt động kiểm soát liên quan. Yêu cầu về thử nghiệm kiểm soát đối với tổ chức cung cấp dịch vụ được áp dụng trong các trường hợp:

(a) Khi đánh giá rủi ro có sai sót trọng yếu, kiểm toán viên của đơn vị sử dụng dịch vụ kỳ vọng rằng các kiểm soát tại tổ chức cung cấp dịch vụ được thực hiện hiệu quả (có nghĩa là kiểm toán viên của đơn vị sử dụng dịch vụ có ý định dựa vào tính hữu hiệu của hoạt động kiểm soát tại tổ chức cung cấp dịch vụ để xác định nội dung, lịch trình và phạm vi của các thử nghiệm cơ bản); hoặc

(b) Nếu chỉ thực hiện thử nghiệm cơ bản, hoặc kết hợp thử nghiệm cơ bản và thử nghiệm kiểm soát tại đơn vị sử dụng dịch vụ thì không thể cung cấp đầy đủ bằng chứng kiểm toán thích hợp ở cấp độ cơ sở dẫn liệu.

A30. Nếu không có sẵn báo cáo loại 2, kiểm toán viên của đơn vị sử dụng dịch vụ có thể liên hệ với tổ chức cung cấp dịch vụ, thông qua đơn vị sử dụng dịch vụ, để yêu cầu kiểm toán viên của tổ chức cung cấp dịch vụ cung cấp báo cáo loại 2 chứa thông tin về việc kiểm tra tính hữu hiệu của các hoạt động kiểm soát có liên quan, hoặc kiểm toán viên của đơn vị sử dụng dịch vụ có thể huy động một kiểm toán viên khác thực hiện các thủ tục tại tổ chức cung cấp dịch vụ để kiểm tra tính hữu hiệu của các hoạt động kiểm soát đó. Kiểm toán viên của đơn vị sử dụng dịch vụ cũng có thể đến thực địa tại tổ chức cung cấp dịch vụ và thực hiện các thử nghiệm kiểm soát có liên quan nếu được sự chấp thuận của tổ chức này. Việc đánh giá rủi ro của kiểm toán viên của đơn vị sử dụng dịch vụ dựa trên bằng chứng kiểm toán kết hợp từ công việc của một kiểm toán viên khác và từ các thủ tục do chính kiểm toán viên của đơn vị sử dụng dịch vụ thực hiện.

Sử dụng báo cáo loại 2 làm bằng chứng kiểm toán về tính hữu hiệu của hoạt động kiểm soát tại tổ chức cung cấp dịch vụ (hướng dẫn đoạn 17 Chuẩn mực này)

A31. Báo cáo loại 2 có thể được dự định để đáp ứng nhu cầu của kiểm toán viên của các đơn vị sử dụng dịch vụ khác nhau; do đó, các thử nghiệm kiểm soát và kết quả thử nghiệm được mô tả trong báo cáo của kiểm toán viên của tổ chức cung cấp dịch vụ có thể không phù hợp cho các cơ sở dẫn liệu quan trọng trong báo cáo tài chính của đơn vị sử dụng dịch vụ. Các thử nghiệm kiểm soát liên quan và kết quả thử nghiệm được đánh giá nhằm xác định rằng báo cáo của kiểm toán viên của tổ chức cung cấp dịch vụ cung cấp đầy đủ bằng chứng kiểm toán thích hợp về tính hữu hiệu của hoạt động kiểm soát để giúp kiểm toán viên của đơn vị sử dụng dịch vụ đánh giá rủi ro. Để thực hiện điều này, kiểm toán viên của đơn vị sử dụng dịch vụ có thể xem xét những yếu tố sau:

(a) Khoảng thời gian được thực hiện thử nghiệm kiểm soát và khoảng thời gian đã trôi qua kể từ khi thực hiện các thử nghiệm kiểm soát;

(b) Phạm vi công việc của kiểm toán viên của tổ chức cung cấp dịch vụ, các dịch vụ và quá trình được xem xét, các kiểm soát được thử nghiệm và các thử nghiệm được thực hiện, và mối liên quan giữa các kiểm soát được thử nghiệm và các kiểm soát của đơn vị sử dụng dịch vụ;

(c) Kết quả của các thử nghiệm kiểm soát đó và ý kiến của kiểm toán viên của tổ chức cung cấp dịch vụ về tính hữu hiệu của hoạt động kiểm soát.

A32. Đối với các cơ sở dẫn liệu nhất định, nếu khoảng thời gian được thực hiện thử nghiệm kiểm soát càng ngắn và thời gian trôi qua kể từ khi thực hiện thử nghiệm kiểm soát càng dài thì thử nghiệm đó càng cung cấp ít bằng chứng kiểm toán. Khi so sánh giai đoạn được phản ánh trong báo cáo loại 2 với kỳ báo cáo của đơn vị sử dụng dịch vụ, nếu giai đoạn được phản ánh trong báo cáo loại 2 và giai đoạn mà kiểm toán viên của đơn vị sử dụng dịch vụ dự định dựa vào báo cáo là không trùng nhau thì kiểm toán viên của đơn vị sử dụng dịch vụ có thể kết luận rằng báo cáo loại 2 cung cấp ít bằng chứng kiểm toán hơn. Trong trường hợp này, báo cáo loại 2 phản ánh một giai đoạn trước hoặc một giai đoạn sau đó có thể cung cấp bằng chứng kiểm toán bổ sung. Trong các trường hợp khác, kiểm toán viên của đơn vị sử dụng dịch vụ có thể xác định cần phải thực hiện, hoặc huy động một kiểm toán viên khác thực hiện các thử nghiệm kiểm soát tại tổ chức cung cấp dịch vụ nhằm thu thập đầy đủ bằng chứng kiểm toán thích hợp về tính hữu hiệu của các hoạt động kiểm soát đó.

A33. Kiểm toán viên của đơn vị sử dụng dịch vụ cũng có thể cần thu thập bằng chứng kiểm toán bổ sung về những thay đổi đáng kể đối với các kiểm soát liên quan tại tổ chức cung cấp dịch vụ ngoài giai đoạn được phản ánh trong báo cáo loại 2, hoặc xác định các thủ tục kiểm toán bổ sung cần thực hiện. Khi xác định các bằng chứng kiểm toán bổ sung cần thu thập về các kiểm soát tại tổ chức cung cấp dịch vụ ngoài giai đoạn được phản ánh trong báo cáo của kiểm toán viên của tổ chức cung cấp dịch vụ, các yếu tố liên quan mà kiểm toán viên có thể xem xét bao gồm:

(1) Mức độ nghiêm trọng của rủi ro có sai sót trọng yếu đã được đánh giá ở cấp độ cơ sở dẫn liệu;

(2) Những kiểm soát cụ thể đã được thử nghiệm trong giai đoạn giữa kỳ và những thay đổi đáng kể của các kiểm soát đó kể từ khi thử nghiệm, gồm những thay đổi trong hệ thống thông tin, các quy trình, và nhân sự;

(3) Mức độ thu thập được bằng chứng kiểm toán về tính hữu hiệu của hoạt động kiểm soát;

(4) Độ dài khoảng thời gian còn lại;

(5) Phạm vi mà kiểm toán viên dự định giảm bớt các thử nghiệm cơ bản dựa trên sự tin tưởng vào các kiểm soát;

(6) Tính hữu hiệu của môi trường kiểm soát và việc giám sát các kiểm soát tại đơn vị sử dụng dịch vụ.

A34. Bằng chứng kiểm toán bổ sung có thể được thu thập bằng cách như mở rộng các thử nghiệm kiểm soát cho giai đoạn còn lại hoặc kiểm tra việc giám sát các kiểm soát của đơn vị sử dụng dịch vụ.

A35. Nếu giai đoạn thử nghiệm của kiểm toán viên của tổ chức cung cấp dịch vụ hoàn toàn nằm ngoài kỳ báo cáo của đơn vị sử dụng dịch vụ, kiểm toán viên của đơn vị sử dụng dịch vụ không thể dựa vào các thử nghiệm đó để kết luận rằng các kiểm soát của đơn vị sử dụng dịch vụ được thực hiện một cách hữu hiệu vì việc thử nghiệm không cung cấp bằng chứng về tính hữu hiệu của hoạt động kiểm soát trong kỳ kiểm toán hiện tại, trừ khi các thủ tục khác được thực hiện.

A36. Trong một số trường hợp, dịch vụ do tổ chức cung cấp dịch vụ cung cấp có thể được thiết kế với giả định rằng một số kiểm soát nhất định sẽ được đơn vị sử dụng dịch vụ thực hiện. Ví dụ, dịch vụ có thể được thiết kế với giả định rằng đơn vị sử dụng dịch vụ sẽ có kiểm soát đối với việc phê duyệt các giao dịch trước khi gửi giao dịch đến tổ chức cung cấp dịch vụ để xử lý. Trong trường hợp này, bản mô tả các kiểm soát của tổ chức cung cấp dịch vụ có thể bao gồm mô tả về các kiểm soát bổ sung của đơn vị sử dụng dịch vụ. Kiểm toán viên của đơn vị sử dụng dịch vụ cần xem xét liệu các kiểm soát bổ sung của đơn vị sử dụng dịch vụ có phù hợp với dịch vụ được cung cấp hay không.

A37. Nếu kiểm toán viên của đơn vị sử dụng dịch vụ cho rằng báo cáo của kiểm toán viên của tổ chức cung cấp dịch vụ có thể không cung cấp đầy đủ bằng chứng kiểm toán thích hợp, ví dụ, nếu báo cáo của kiểm toán viên của tổ chức cung cấp dịch vụ không mô tả các thử nghiệm kiểm soát và kết quả thử nghiệm, kiểm toán viên của đơn vị sử dụng dịch vụ có thể tìm hiểu thêm về các thủ tục và kết luận của kiểm toán viên của tổ chức cung cấp dịch vụ, bằng cách liên hệ với tổ chức cung cấp dịch vụ, thông qua đơn vị sử dụng dịch vụ, để yêu cầu thảo luận với kiểm toán viên của tổ chức cung cấp dịch vụ về phạm vi và kết quả công việc của kiểm toán viên của tổ chức sử dụng dịch vụ. Ngoài ra, nếu cần thiết, kiểm toán viên của đơn vị sử dụng dịch vụ có thể liên hệ với tổ chức cung cấp dịch vụ, thông qua đơn vị sử dụng dịch vụ, để yêu cầu kiểm toán viên của tổ chức cung cấp dịch vụ thực hiện các thủ tục tại tổ chức cung cấp dịch vụ. Hoặc kiểm toán viên của đơn vị sử dụng dịch vụ có thể thực hiện hoặc yêu cầu một kiểm toán viên khác thực hiện các thủ tục này.

A38. Báo cáo loại 2 của kiểm toán viên của tổ chức cung cấp dịch vụ cho biết kết quả của các thử nghiệm, bao gồm các ngoại lệ và thông tin khác có thể ảnh hưởng đến kết luận của kiểm toán viên của đơn vị sử dụng dịch vụ. Các ngoại lệ mà kiểm toán viên của tổ chức cung cấp dịch vụ nêu ra hoặc ý kiến kiểm toán không phải là ý kiến chấp nhận toàn phần trong báo cáo loại 2 không có nghĩa là báo cáo đó không có ích cho việc đánh giá rủi ro có sai sót trọng yếu khi kiểm toán báo cáo tài chính của đơn vị sử dụng dịch vụ. Hơn nữa, các ngoại lệ và vấn đề dẫn đến ý kiến kiểm toán không phải là ý kiến chấp nhận toàn phần trong báo cáo loại 2 của kiểm toán viên của tổ chức cung cấp dịch vụ sẽ được xem xét khi kiểm toán viên của đơn vị sử dụng dịch vụ đánh giá các thử nghiệm kiểm soát do kiểm toán viên của tổ chức cung cấp dịch vụ thực hiện. Khi xem xét các ngoại lệ và vấn đề dẫn đến ý kiến kiểm toán không phải là ý kiến chấp nhận toàn phần, kiểm toán viên của đơn vị sử dụng dịch vụ có thể thảo luận những vấn đề này với kiểm toán viên của tổ chức cung cấp dịch vụ. Việc trao đổi phụ thuộc vào việc đơn vị sử dụng dịch vụ liên hệ với tổ chức cung cấp dịch vụ và được sự đồng ý của tổ chức cung cấp dịch vụ.

Trao đổi về những khiếm khuyết trong kiểm soát nội bộ được phát hiện trong quá trình kiểm toán

A39. Theo quy định tại đoạn 09 – 10 Chuẩn mực kiểm toán Việt Nam số 265, kiểm toán viên của đơn vị sử dụng dịch vụ phải trao đổi một cách kịp thời bằng văn bản với Ban Giám đốc và Ban quản trị đơn vị về những khiếm khuyết nghiêm trọng được phát hiện trong quá trình kiểm toán. Kiểm toán viên của đơn vị sử dụng dịch vụ cũng phải trao đổi kịp thời với Ban Giám đốc hoặc cấp quản lý phù hợp của đơn vị về những khiếm khuyết khác trong kiểm soát nội bộ được phát hiện trong quá trình kiểm toán, mà theo xét đoán chuyên môn của kiểm toán viên là nghiêm trọng và cần sự lưu ý của Ban Giám đốc hoặc cấp quản lý phù hợp. Những vấn đề mà kiểm toán viên của đơn vị sử dụng dịch vụ có thể phát hiện trong quá trình kiểm toán và có thể trao đổi với Ban giám đốc và Ban quản trị của đơn vị, bao gồm:

(1) Việc giám sát các kiểm soát nào có thể do đơn vị sử dụng dịch vụ thực hiện, kể cả các kiểm soát được phát hiện khi xem xét báo cáo loại 1 hoặc báo cáo loại 2;

(2) Trường hợp mà các kiểm soát bổ sung của đơn vị sử dụng dịch vụ được mô tả trong báo cáo loại 1 hoặc báo cáo loại 2 nhưng không được thực hiện tại đơn vị;

(3) Các kiểm soát có thể cần phải có tại tổ chức cung cấp dịch vụ nhưng chưa được thực hiện hoặc chưa được nêu cụ thể trong báo cáo loại 2.