Lập kế hoạch kiểm toán nội bộ nhiều năm: Chủ động trước rủi ro tương lai

Tác giả: TeamMate | Ngày đăng: 14/10/2026

Trong nhiều năm qua, các nhà lãnh đạo kiểm toán đã tranh luận về khoảng thời gian lập kế hoạch kiểm toán phù hợp. Bộ phận kiểm toán nội bộ nên lập kế hoạch theo quý, theo năm hay trong nhiều năm? Mỗi cách tiếp cận đều giải quyết một vấn đề khác nhau.

Lập kế hoạch theo quý tập trung xác định những rủi ro cần được chú ý ngay tại thời điểm hiện tại. Kế hoạch kiểm toán hàng năm thiết lập các ưu tiên trong năm dựa trên mục tiêu của tổ chức và nguồn lực sẵn có. Trong khi đó, kế hoạch kiểm toán nội bộ nhiều năm giúp tổ chức đánh giá liệu phạm vi đảm bảo, nguồn lực và năng lực chuyên môn có đủ để ứng phó với các rủi ro theo thời gian hay không.

Cả ba cách tiếp cận lập kế hoạch đều bổ trợ cho nhau. Kế hoạch kiểm toán nhiều năm giúp các nhà lãnh đạo kiểm toán nhận diện những khoảng trống về phạm vi đảm bảo và nguồn lực có thể phát sinh. Kế hoạch hàng năm chuyển các ưu tiên hiện tại thành chương trình công việc được phê duyệt, trong khi các đợt rà soát hàng quý cho phép nhóm kiểm toán điều chỉnh khi rủi ro thay đổi.

Khi một cuộc kiểm toán bị thay đổi lịch trình, lãnh đạo kiểm toán có thể xác định những công việc nào đã bị dời lại, những rủi ro nào vẫn chưa được đưa vào kế hoạch đảm bảo, cũng như liệu đội ngũ có đủ kỹ năng và năng lực để ứng phó hay không.

So sánh kế hoạch kiểm toán nhiều năm, hàng năm và hàng quý

Kế hoạch kiểm toán nội bộ nhiều năm là gì?

Kế hoạch kiểm toán nội bộ nhiều năm là một bản dự báo được cập nhật liên tục về các hoạt động đảm bảo và tư vấn dự kiến thực hiện trong nhiều năm.

Kế hoạch này kết nối thông tin về rủi ro, phạm vi kiểm toán trước đây, nguồn lực và kỹ năng chuyên môn, giúp các nhà lãnh đạo hiểu được những quyết định hiện tại có thể ảnh hưởng như thế nào đến hoạt động đảm bảo trong tương lai.

Bản dự báo vẫn duy trì tính linh hoạt khi mục tiêu tổ chức và điều kiện hoạt động thay đổi. Đối với một số tổ chức, kế hoạch kiểm toán nhiều năm còn là yêu cầu bắt buộc theo quy định pháp luật.

Việc lập kế hoạch kiểm toán nhiều năm hiệu quả phụ thuộc vào quá trình đánh giá rủi ro vững chắc và xét đoán chuyên môn.

Ví dụ về kế hoạch kiểm toán nội bộ nhiều năm

Giả sử một kế hoạch dự báo ba năm dự kiến thực hiện kiểm toán rủi ro bên thứ ba vào năm tới, trong khi cuộc kiểm toán hệ thống ERP được lên lịch trong năm hiện tại.

Tuy nhiên, một sự cố nghiêm trọng liên quan đến nhà cung cấp đã làm thay đổi tình hình. Bộ phận kiểm toán nội bộ có thể quyết định đẩy sớm cuộc kiểm toán rủi ro bên thứ ba, đồng thời thu hẹp phạm vi hoặc dời lịch kiểm toán ERP.

Kế hoạch kiểm toán hàng năm sẽ phản ánh sự thay đổi trước mắt, còn bản dự báo nhiều năm sẽ cho thấy tác động của quyết định này đối với phạm vi đảm bảo và năng lực nguồn lực trong tương lai.

Theo Chuẩn mực Kiểm toán Nội bộ Toàn cầu của IIA, những thay đổi quan trọng đối với kế hoạch đã được phê duyệt vẫn phải được thảo luận với hội đồng quản trị và ban lãnh đạo cấp cao, đồng thời phải được hội đồng quản trị phê duyệt.

Việc rà soát hàng quý tạo ra các mốc kiểm tra định kỳ, trong khi những sự kiện trọng yếu có thể đòi hỏi điều chỉnh kế hoạch sớm hơn.

Kế hoạch kiểm toán nội bộ nhiều năm cần bao gồm những gì?

Một bản dự báo hữu ích bắt đầu từ việc xây dựng danh mục đối tượng kiểm toán phản ánh cách thức vận hành và những mục tiêu mà tổ chức đang hướng tới.

Đối với từng lĩnh vực, nhóm kiểm toán cần có đủ thông tin để hiểu rõ:

• Mức độ rủi ro hiện tại.

• Phạm vi kiểm toán đã thực hiện trước đây.

• Các nguồn cung cấp đảm bảo khác.

• Chu kỳ kiểm toán hoặc yêu cầu pháp lý có ảnh hưởng đến thời điểm thực hiện.

Từ những thông tin này, kế hoạch có thể thể hiện các cuộc kiểm toán dự kiến, khối lượng công việc ước tính, kỹ năng cần thiết, các yếu tố phụ thuộc và lý do bố trí công việc vào từng giai đoạn cụ thể.

Những công việc bị trì hoãn hoặc bị thu hẹp phạm vi đảm bảo cũng cần được thể hiện rõ ràng.

Chuẩn mực 9.4 của IIA yêu cầu Giám đốc Kiểm toán Nội bộ (CAE) xây dựng kế hoạch kiểm toán dựa trên kết quả đánh giá có tài liệu ghi nhận về chiến lược, mục tiêu và rủi ro của tổ chức, được thực hiện ít nhất mỗi năm một lần, đồng thời cập nhật kế hoạch khi hoàn cảnh thay đổi.

Bản dự báo nhiều năm có thể giúp quá trình này dựa trên thông tin đầy đủ hơn, nhưng không thay thế yêu cầu duy trì đánh giá rủi ro cập nhật hoặc kế hoạch kiểm toán hàng năm đã được phê duyệt.

Bản dự báo cho thấy các quyết định lập kế hoạch hàng năm sẽ tác động tích lũy như thế nào theo thời gian.

Đáp ứng các yêu cầu pháp lý theo khu vực và ngành nghề

Các quy định theo khu vực và ngành nghề có thể là lý do trực tiếp khiến tổ chức áp dụng phương pháp lập kế hoạch kiểm toán nhiều năm.

Nghĩa vụ tuân thủ phụ thuộc vào khu vực pháp lý và loại hình tổ chức. Lãnh đạo kiểm toán cần xác định những quy định áp dụng cho từng đơn vị, bao gồm thời hạn lập kế hoạch bắt buộc, tần suất rà soát và quy trình phê duyệt.

Lĩnh vực tài chính là một ví dụ điển hình về cách các quy định pháp lý thúc đẩy việc lập kế hoạch kiểm toán nhiều năm.

Tại một số khu vực pháp lý thuộc Liên minh châu Âu (EU), bao gồm Luxembourg, các tổ chức tài chính thuộc phạm vi điều chỉnh phải duy trì kế hoạch kiểm toán kéo dài nhiều năm và rà soát kế hoạch hàng năm.

Hướng dẫn giám sát tại Hoa Kỳ cũng công nhận việc lập kế hoạch nhiều năm với chu kỳ kiểm toán ba hoặc bốn năm là một phương pháp thường được áp dụng để đạt được phạm vi bao phủ rủi ro phù hợp, đồng thời vẫn cho phép sử dụng khuôn khổ đánh giá rủi ro hàng năm.

Khoảng thời gian lập kế hoạch dài hơn giúp lãnh đạo kiểm toán cân đối các cam kết tuân thủ quy định, nguồn lực và rủi ro mới nổi, đồng thời duy trì khả năng linh hoạt khi điều kiện thay đổi.

Ngay cả khi kế hoạch kiểm toán nhiều năm là yêu cầu bắt buộc, tổ chức vẫn có thể triển khai phương pháp kiểm toán linh hoạt.

Lãnh đạo kiểm toán có thể điều chỉnh các ưu tiên khi rủi ro thay đổi, đồng thời đáp ứng các yêu cầu về phạm vi kiểm toán và phê duyệt hiện hành.

Việc ghi nhận các cuộc kiểm toán bắt buộc, thời hạn thực hiện và lý do thay đổi giúp nhóm kiểm toán xác định những công việc có thể điều chỉnh lịch trình và những lĩnh vực cần bổ sung nguồn lực.

Tầm nhìn dài hạn giúp đưa các cam kết tuân thủ quy định và rủi ro mới nổi vào cùng một quá trình thảo luận lập kế hoạch.

Ghi nhận các giả định trong quá trình lập kế hoạch kiểm toán

Độ tin cậy của kế hoạch kiểm toán nhiều năm phụ thuộc trực tiếp vào các giả định được sử dụng để xây dựng kế hoạch.

Tổ chức nên ghi nhận những giả định quan trọng như số lượng nhân sự, mức độ phụ thuộc vào các đối tác đồng cung cấp dịch vụ kiểm toán, các sáng kiến chuyển đổi doanh nghiệp dự kiến, hoạt động quản lý và giám sát theo quy định có thể phát sinh, các khoản đầu tư công nghệ lớn và hoạt động đảm bảo dự kiến từ những bộ phận khác.

Các giả định được xác định rõ ràng giúp việc đánh giá và giải thích những thay đổi trong tương lai trở nên dễ dàng hơn.

Khi các ưu tiên thay đổi, lãnh đạo có thể xác định liệu nguyên nhân đến từ kết quả đánh giá rủi ro được cập nhật, sự thay đổi nguồn lực, một sự kiện kinh doanh hay một giả định lập kế hoạch không chính xác.

Việc ghi nhận đầy đủ các giả định giúp nâng cao chất lượng thảo luận về kế hoạch với ủy ban kiểm toán và các bên liên quan thuộc ban điều hành.

Nhận diện những khoảng trống mà kế hoạch kiểm toán hàng năm có thể bỏ sót

Một kế hoạch kiểm toán hàng năm có thể hoàn toàn hợp lý khi được xem xét độc lập, nhưng vẫn để lại những khoảng trống quan trọng khi đánh giá trong nhiều năm.

Kế hoạch hàng năm làm nổi bật các công việc cấp bách nhất. Tuy nhiên, những cuộc kiểm toán liên tục bị dời lại để nhường chỗ cho các rủi ro mới nổi có thể dễ dàng bị lãng quên.

Một kế hoạch được cập nhật liên tục giúp thể hiện thời điểm một lĩnh vực được kiểm toán gần nhất, thời điểm dự kiến được kiểm toán trở lại và số lần công việc bị trì hoãn.

Thông tin lịch sử này giúp CAE phân biệt giữa một quyết định có chủ đích và một khoảng trống kiểm toán tích lũy theo thời gian.

Các kiểm toán viên nội bộ áp dụng phương pháp kiểm toán dựa trên rủi ro tập trung đánh giá liệu những rủi ro trọng yếu nhất của tổ chức có nhận được mức độ đảm bảo phù hợp hay không.

Lãnh đạo kiểm toán cũng cần xác định những rủi ro, quy trình và đơn vị đã được kiểm toán cũng như những đối tượng chưa được kiểm toán.

Góc nhìn nhiều năm kết nối phạm vi kiểm toán trên toàn bộ danh mục đối tượng kiểm toán với mục tiêu kinh doanh và rủi ro, thay vì chỉ dựa vào lịch kiểm toán luân phiên cố định giữa các phòng ban.

Một lĩnh vực có mức độ rủi ro cao và thường xuyên thay đổi có thể cần được kiểm toán thường xuyên hơn hoặc chuyên sâu hơn.

Ngược lại, một lĩnh vực ổn định với mức độ rủi ro thấp hơn có thể chỉ cần kiểm toán với phạm vi hẹp hơn, giám sát liên tục hoặc dựa vào kết quả của một đơn vị cung cấp đảm bảo khác mà bộ phận kiểm toán nội bộ đã đánh giá công việc của đơn vị đó.

Một số tổ chức thuộc lĩnh vực được quản lý chặt chẽ còn phải đáp ứng các cam kết cụ thể về chu kỳ kiểm toán.

Việc xem xét đồng thời các yêu cầu này giúp cân bằng giữa kỳ vọng tuân thủ quy định và những rủi ro mới xuất hiện, thay vì coi chu kỳ kiểm toán là căn cứ duy nhất để lập lịch công việc.

Ví dụ, một cuộc kiểm toán hoạt động mua sắm bị dời lịch hai lần để ưu tiên công việc kiểm toán an ninh mạng.

Việc ưu tiên an ninh mạng có thể hoàn toàn hợp lý, nhưng góc nhìn dài hạn sẽ giúp nhận diện khoảng trống trong phạm vi kiểm toán hoạt động mua sắm.

CAE có thể quyết định thu hẹp phạm vi kiểm toán mua sắm, sử dụng kết quả đảm bảo từ các nguồn khác, bổ sung nguồn lực hoặc giải thích mức độ rủi ro còn tồn tại với ủy ban kiểm toán.

Nhờ đó, cuộc thảo luận tập trung vào rủi ro và hoạt động đảm bảo, đồng thời việc thay đổi lịch trình được giải thích trong bối cảnh cụ thể.

Giảm thời gian xây dựng lại lịch kiểm toán

Nhiều nhóm kiểm toán ban đầu sử dụng bảng tính để mô hình hóa kế hoạch công việc trong nhiều năm.

Khi danh mục đối tượng kiểm toán còn nhỏ, cách tiếp cận này có thể tương đối dễ quản lý. Tuy nhiên, việc duy trì lịch kiểm toán trở nên khó khăn hơn khi mức xếp hạng rủi ro, thời điểm kiểm toán trước đó, quy định về chu kỳ và các giả định nhân sự thay đổi.

Kết quả đánh giá được cập nhật trong một tệp có thể không được phản ánh trong lịch kiểm toán ở tệp khác, trong khi bản trình bày cho hội đồng quản trị lại sử dụng một phiên bản khác nữa.

Công việc đối chiếu và thống nhất các phiên bản này có thể chiếm mất thời gian vốn cần dành cho những cuộc thảo luận mà kế hoạch kiểm toán được xây dựng để hỗ trợ.

Một quy trình có cấu trúc có thể sử dụng dữ liệu nhất quán và các giả định lập lịch được xác định rõ ràng để tạo ra bản dự báo ban đầu.

Quy trình này có thể giúp nhóm kiểm toán nhận diện thời hạn bắt buộc của chu kỳ kiểm toán, một quý có khối lượng công việc vượt quá khả năng đáp ứng hoặc một lĩnh vực chưa được đưa vào kế hoạch đảm bảo.

Sau đó, kiểm toán viên có thể dành nhiều thời gian hơn để đánh giá liệu những kết quả này còn phù hợp hay không.

Tự động hóa hữu ích đối với các phép tính lặp lại, nhưng không thể tự đưa ra đánh giá về rủi ro của một thương vụ mua lại doanh nghiệp, chất lượng công việc của một đơn vị cung cấp đảm bảo khác hoặc thời điểm thích hợp để kiểm toán một quy trình đang thay đổi.

Lãnh đạo kiểm toán phải đưa ra những quyết định này và ghi nhận cơ sở lập luận để có thể xem xét lại trong tương lai.

Giúp việc giải trình các quyết định kiểm toán trở nên dễ dàng hơn

Lập kế hoạch trong nhiều năm giúp làm rõ những khác biệt khó nhận diện nếu chỉ xem xét danh sách kiểm toán hàng năm.

Hai lĩnh vực có mức xếp hạng rủi ro tương tự nhau có thể có lịch kiểm toán rất khác nhau.

Một lĩnh vực có thể đang được một bộ phận khác giám sát chặt chẽ, trong khi lĩnh vực còn lại đang trải qua những thay đổi nhanh chóng.

Nếu kế hoạch ghi nhận kết quả đánh giá mới nhất, phạm vi đảm bảo đã thực hiện trước đây, yếu tố kích hoạt cuộc kiểm toán tiếp theo và lý do thay đổi lịch kiểm toán, người rà soát trong tương lai có thể hiểu được sự khác biệt mà không cần khôi phục lại những cuộc trao đổi cũ.

Việc lập kế hoạch nhất quán áp dụng cùng những câu hỏi cơ bản trên toàn bộ danh mục đối tượng kiểm toán, đồng thời ghi nhận những trường hợp mà xét đoán chuyên môn dẫn đến kết luận khác biệt.

Hồ sơ ghi nhận rõ ràng giúp tăng mức độ tin cậy của bản dự báo, bởi các giả định có thể được xem xét, chất vấn và cập nhật.

Điều này cũng hữu ích khi có sự thay đổi trong đội ngũ lãnh đạo hoặc khi một rủi ro từng được xem là xa vời trở nên cấp bách hơn.

Cung cấp góc nhìn dài hạn cho ủy ban kiểm toán

Các báo cáo cập nhật cho ủy ban kiểm toán thường tập trung vào những công việc mà nhóm kiểm toán đã hoàn thành, trì hoãn hoặc bổ sung trong năm hiện tại.

Các chỉ số về mức độ hoàn thành và trì hoãn rất quan trọng, nhưng chúng chưa phản ánh đầy đủ những nội dung bị loại khỏi kế hoạch.

Góc nhìn nhiều năm có thể cho thấy tác động của việc dời lịch một cuộc kiểm toán, những lĩnh vực vẫn đang chờ được cung cấp đảm bảo và nguồn lực cần thiết để khắc phục một khoảng trống đáng kể.

Thay vì chỉ thảo luận liệu bộ phận kiểm toán nội bộ có đang thực hiện đúng tiến độ hay không, ủy ban kiểm toán có thể đánh giá liệu phạm vi đảm bảo dự kiến có phù hợp với hồ sơ rủi ro của tổ chức hay không.

Chuẩn mực 9.4 yêu cầu truyền đạt kịp thời các hạn chế về nguồn lực, lý do không thực hiện hoạt động đảm bảo đối với một lĩnh vực có rủi ro cao và những thay đổi quan trọng trong kế hoạch kiểm toán.

Bản dự báo được cập nhật liên tục giúp phát hiện sớm những vấn đề này trước khi việc bỏ lỡ một cuộc kiểm toán trở thành tình huống bất ngờ.

Đối với các tổ chức bắt buộc phải duy trì kế hoạch kiểm toán nhiều năm, bản dự báo còn giúp giải thích những thay đổi được đề xuất sẽ ảnh hưởng như thế nào đến các cam kết tuân thủ quy định.

Một bản trình bày ngắn gọn dành cho ủy ban kiểm toán nên bao gồm kế hoạch kiểm toán hàng năm đã được phê duyệt, bản dự báo dài hạn, các khoảng trống trọng yếu, những giả định chính và các thay đổi kể từ lần thảo luận trước.

Chuẩn bị những kỹ năng cần thiết để thực hiện kế hoạch kiểm toán

Yếu tố hạn chế của một kế hoạch kiểm toán hiếm khi chỉ là tổng số giờ làm việc sẵn có.

Một bộ phận kiểm toán có thể có đủ năng lực thực hiện xét trên tổng thể, nhưng lại thiếu chuyên môn phù hợp vào đúng thời điểm cần thiết.

Việc lập kế hoạch trước giúp phát hiện tình huống nhiều cuộc kiểm toán liên quan đến công nghệ, an ninh mạng, phân tích dữ liệu hoặc các hoạt động sử dụng nhiều dữ liệu được lên lịch cùng thời điểm.

Nhờ đó, CAE có cơ hội phát triển năng lực nhân sự, bố trí nguồn lực đồng cung cấp dịch vụ kiểm toán, điều chỉnh thời gian thực hiện hoặc đưa ra yêu cầu bổ sung nguồn lực trên cơ sở thông tin đầy đủ hơn.

Ví dụ, nếu bộ phận kiểm toán nội bộ dự kiến kiểm toán một hệ thống dựa trên nền tảng đám mây mới mà tổ chức sẽ triển khai trong một năm tới, nhóm kiểm toán sẽ có thời gian để nâng cao kỹ năng.

Cuộc kiểm toán này có thể yêu cầu kiến thức về bảo mật đám mây, kiểm soát tự động và rủi ro bên thứ ba — những lĩnh vực mà đội ngũ hiện tại còn hạn chế kinh nghiệm.

Việc xác định những nhu cầu này trong kế hoạch kiểm toán nhiều năm giúp lãnh đạo kiểm toán có thời gian tổ chức đào tạo, tuyển dụng chuyên gia hoặc tìm kiếm sự hỗ trợ từ bên ngoài trước khi cuộc kiểm toán bắt đầu.

Góc nhìn dài hạn cũng kết nối công việc kiểm toán dự kiến và hoạt động phát triển kỹ năng với chiến lược kiểm toán nội bộ của bộ phận.

Duy trì và cập nhật kế hoạch kiểm toán nhiều năm

Khoảng thời gian lập kế hoạch cần phản ánh các yêu cầu pháp lý hiện hành và nhu cầu của tổ chức.

Khi không có yêu cầu cụ thể về thời hạn, khoảng thời gian hai hoặc ba năm thường đủ để làm rõ nhu cầu về phạm vi đảm bảo và nhân sự trong tương lai mà không khiến những mốc thời gian xa bị xem là chính xác tuyệt đối.

Đánh giá rủi ro có tài liệu ghi nhận cần được cập nhật ít nhất hàng năm, đồng thời bản dự báo phải thay đổi khi xuất hiện những sự kiện kinh doanh trọng yếu.

Các đợt rà soát hàng quý có thể đối chiếu lịch kiểm toán với những rủi ro mới, kết quả các cuộc kiểm toán, các cột mốc kinh doanh và khả năng bố trí nhân sự.

Những sự kiện trọng yếu có thể đòi hỏi điều chỉnh sớm hơn.

Mỗi khi các ưu tiên thay đổi, nhóm kiểm toán cần xem xét công việc nào đã bị dời lại, liệu các nguồn đảm bảo khác còn khả dụng hay không và những rủi ro quan trọng nào hiện chưa có kế hoạch đảm bảo.

Câu trả lời cho những vấn đề này cần được sử dụng để xây dựng phiên bản dự báo tiếp theo.

Công nghệ kiểm toán nội bộ có thể hỗ trợ duy trì lịch sử thay đổi và nâng cao tính minh bạch trong lập kế hoạch bằng cách sử dụng dữ liệu kiểm toán hiện có cùng phương pháp xác định chu kỳ kiểm toán đã được cấu hình để tạo ra bản dự báo.

Kiểm toán viên sau đó có thể điều chỉnh bản dự báo và ghi nhận rõ cơ sở lý giải cho các thay đổi.

Xây dựng kế hoạch kiểm toán có khả năng thích ứng với những thay đổi của doanh nghiệp

Giá trị của kế hoạch kiểm toán nội bộ nhiều năm nằm ở những cuộc thảo luận mà kế hoạch tạo điều kiện thực hiện và sự chuẩn bị được hình thành từ các cuộc thảo luận đó.

Trong nội bộ nhóm kiểm toán, góc nhìn dài hạn tạo thêm thời gian để chuẩn bị cho các cuộc kiểm toán mang tính chiến lược, phát triển kỹ năng mới và bổ sung chuyên môn khi cần thiết.

Đối với ủy ban kiểm toán, kế hoạch giúp làm rõ phạm vi đảm bảo và những sự đánh đổi cần cân nhắc, qua đó hỗ trợ thảo luận về lý do một số công việc cần được thực hiện sớm hơn, những công việc nào có thể phải chờ đợi và các quyết định về nguồn lực hiện tại sẽ ảnh hưởng như thế nào đến hoạt động đảm bảo trong tương lai.

Kế hoạch kiểm toán nhiều năm cung cấp định hướng nhưng vẫn duy trì khả năng điều chỉnh.

Lãnh đạo kiểm toán có thể ứng phó với những thay đổi trong điều kiện kinh doanh, đồng thời tiếp tục theo dõi các rủi ro tương lai, khoảng trống trong phạm vi đảm bảo và nhu cầu về năng lực chuyên môn.

Kết quả là một bộ phận kiểm toán nội bộ được chuẩn bị tốt hơn cho cả những công việc phía trước lẫn những thay đổi có thể phát sinh trong quá trình thực hiện.

EGP Vietnam

Liên hệ để được demo phần mềm TeamMate trực tiếp:

Thai Nguyen
thai.nguyen@egp.vn
0912 500 085 

Nguồn bài viết:

Multi-year audit planning | TeamMate | Wolters Kluwer