Gian lận 1,1 triệu bảng: kiểm soát nội bộ hỏng ở đâu

Trong 17 năm, một nhân viên của Hội đồng thành phố Aberdeen ở Scotland chuyển 655 khoản hoàn thuế hội đồng vào tài khoản ngân hàng của chính mình. Hội đồng có hệ thống kiểm soát. Nếu bạn là kế toán trưởng hoặc chủ một SME và yên tâm vì quy trình đã được viết thành văn bản, câu hỏi sau vụ này là: ai kiểm tra rằng người ta làm đúng quy trình đó?

Audit Scotland đã công bố gì về vụ Aberdeen?

Ngày 9/1/2025, Audit Scotland, cơ quan kiểm toán công của Scotland, đăng thông cáo về báo cáo của Uỷ ban Tài khoản (Accounts Commission). Theo thông cáo, từ 2006 đến 2023 một nhân viên của hội đồng đã chuyển 655 khoản hoàn thuế hội đồng, tổng cộng 1,109 triệu bảng, vào tài khoản ngân hàng của mình. Tháng 9/2023, một nhân viên khác nghi ngờ và báo ngay cho các đồng nghiệp cấp cao. Tính đến thông cáo đó, hội đồng kỳ vọng thu hồi được tiền, không để người nộp thuế bị thiệt (Audit Scotland (Accounts Commission), 2025).

Uỷ ban nêu mối lo rằng hội đồng có hệ thống kiểm soát, nhưng các kiểm soát đó không được tuân thủ và thiếu soát xét, nên hành vi không bị phát hiện gần hai thập kỷ. Hội đồng đã nhanh chóng xác định việc cần cải thiện và làm ngay một số bước. Tuy vậy, tính đến 9/1/2025, một năm sau khi người này bị buộc tội, Uỷ ban vẫn cho rằng hội đồng cần đẩy nhanh những việc còn dở (Audit Scotland (Accounts Commission), 2025). Tôi chưa kiểm tra diễn biến sau đó. Hồ sơ ngắn của vụ này nằm ở ca Aberdeen.

Từ hai con số trên, tôi tính được bình quân khoảng 1.700 bảng một khoản và khoảng 38 khoản mỗi năm, chừng ba khoản một tháng. Phép chia là của tôi; thông cáo không cho biết các khoản có đều nhau không.

Thông cáo không nói người này làm ở bộ phận nào, mỗi khoản được duyệt ra sao, hay kiểm soát nào bị bỏ qua.

COSO gọi một hệ thống kiểm soát là "hiệu quả" khi nào?

Uỷ ban các tổ chức bảo trợ của Treadway Commission (Committee of Sponsoring Organizations of the Treadway Commission, COSO) định nghĩa kiểm soát nội bộ là một quy trình do hội đồng quản trị, ban quản lý và nhân sự khác thực hiện, nhằm bảo đảm hợp lý việc đạt mục tiêu về hoạt động, báo cáo và tuân thủ (Committee of Sponsoring Organizations of the Treadway Commission, 2013, p. 3). Hai chi tiết trong định nghĩa đáng giữ: nó do con người thực hiện, không chỉ là sổ tay quy trình và biểu mẫu, và nó chỉ bảo đảm hợp lý chứ không tuyệt đối (Committee of Sponsoring Organizations of the Treadway Commission, 2013, p. 3).

Để kết luận hệ thống hiệu quả, mỗi thành phần và nguyên tắc liên quan phải "hiện diện" và "vận hành", và năm thành phần phải chạy cùng nhau. COSO giải thích "hiện diện" là có trong thiết kế và triển khai; "vận hành" là tiếp tục có trong hoạt động hằng ngày (Committee of Sponsoring Organizations of the Treadway Commission, 2013, p. 8). Khi một thành phần có thiếu sót lớn, tổ chức không thể kết luận hệ thống hiệu quả (Committee of Sponsoring Organizations of the Treadway Commission, 2013, p. 8). COSO cũng viết rằng hệ thống hiệu quả đòi hỏi hơn việc tuân thủ chặt chính sách và quy trình: nó cần phán đoán (Committee of Sponsoring Organizations of the Treadway Commission, 2013, p. 1).

Thông cáo cho thấy gì ở từng thành phần, và không cho thấy gì?

Bảng dưới đặt từng thành phần của COSO cạnh những gì thông cáo nói. Cột giữa trích từ thông cáo; cột phải là câu hỏi của tôi, không phải kết luận của Uỷ ban.

Hoạt động kiểm soát và giám sát là hai dòng thông cáo bàn trực tiếp nhất, theo cách tôi xếp: kiểm soát có nhưng không chạy, và không ai soát xem nó có chạy không. Đánh giá rủi ro và môi trường kiểm soát gần như để trống, nên tôi không kết luận.

Vì sao có kiểm soát vẫn không chặn được?

Vì hiện diện chưa phải vận hành. Theo cách đọc của tôi, Aberdeen là ca của một kiểm soát hiện diện trên giấy mà không vận hành ngoài đời. Một kiểm soát ngăn ngừa không được làm theo thì không ngăn được gì. Một kiểm soát phát hiện mà không ai chạy thì không phát hiện được gì. COSO viết hoạt động kiểm soát có thể mang tính ngăn ngừa hoặc phát hiện, gồm phê duyệt, xác minh, đối chiếu và soát xét kết quả kinh doanh (Committee of Sponsoring Organizations of the Treadway Commission, 2013, p. 4).

Điều này khác với ca Macy's giấu chi phí giao hàng, nơi kiểm soát được thiết kế mà không tính đến người lách. Bảng ba loại hoạt động kiểm soát của site nêu điểm yếu của kiểm soát ngăn ngừa là có thể bị vô hiệu bởi vượt quyền hoặc thông đồng, và của kiểm soát phát hiện là đến muộn. COSO cũng nêu vượt quyền và thông đồng là giới hạn của mọi hệ thống (Committee of Sponsoring Organizations of the Treadway Commission, 2013, p. 9). Thông cáo Aberdeen không nhắc hai điều đó. Nó cho thấy một kiểu thất bại tẻ nhạt hơn: kiểm soát có, không ai kiểm tra, và nhiều năm trôi qua.

Một SME nên kiểm tra gì trong tuần này?

Ví dụ dưới đây hoàn toàn giả định; "Công ty X" và mọi chi tiết do tôi dựng, không thuộc về doanh nghiệp nào. Công ty X phân phối vật tư nông nghiệp, 40 nhân viên ở Cần Thơ, mỗi năm hoàn khoảng 40 khoản tiền đặt cọc hoặc tiền thừa cho đại lý. Một kế toán tạo phiếu hoàn, nhập số tài khoản nhận, và cũng là người đối chiếu sổ cuối tháng. Chủ doanh nghiệp xem tổng chi mỗi tháng. Năm câu hỏi sau chỉ ra chỗ trống:

Năm câu và cột "việc nên làm" là cách áp của tôi, không phải khuyến nghị của COSO hay Audit Scotland. Mẫu 10 khoản mỗi quý là con số tôi chọn để minh hoạ; không nguồn nào bảo đảm cỡ mẫu đó đủ. Cách này hợp nếu có một khâu tiền ra do một người cầm trọn. Không hợp nếu kiểm toán độc lập đã thường xuyên kiểm thử đúng khâu đó, hoặc công ty chỉ có vài người và chủ đã duyệt từng khoản.

Câu thứ tư gắn với chi tiết đáng giữ nhất của thông cáo: vụ việc lộ ra vì một đồng nghiệp lên tiếng, và Burns nói việc đó cho thấy giá trị của chính sách tố giác (Audit Scotland (Accounts Commission), 2025). Kênh tố giác chỉ có tác dụng nếu người nói biết mình nói với ai.

Đào sâu: tôi đã đọc gì, và chưa kiểm được gì?

Tôi đọc toàn bộ thông cáo của Audit Scotland ngày 9/1/2025. Thông cáo dẫn kèm báo cáo đầy đủ của Uỷ ban Tài khoản; tôi không dùng báo cáo đó, cũng không đọc tài liệu nào của chính Hội đồng Aberdeen, nên bài không nói được kiểm soát cụ thể nào bị bỏ qua. Thẻ ca của thư viện còn ghi thiếu phân tách nhiệm vụ; ý đó không có trong thông cáo, nên tôi không dùng.

Với COSO, tôi đọc bản Tóm tắt điều hành (Executive Summary, tháng 5/2013) tải miễn phí từ trang của COSO; số trang trong bài là số trang của bản tóm tắt. Tôi không đọc toàn văn Khung và các phụ lục, vốn bán riêng. Bản tóm tắt chỉ nêu hai tính chất của hoạt động kiểm soát, ngăn ngừa và phát hiện (Committee of Sponsoring Organizations of the Treadway Commission, 2013, p. 4). Bảng ba loại hoạt động kiểm soát của thư viện thêm loại thứ ba, khắc phục, và ghi nguồn COSO 2013; tôi không tìm thấy loại đó trong bản tóm tắt, nên không dùng.

Ba giới hạn. Một, đây là một vụ ở khu vực công của Scotland, không phải doanh nghiệp tư nhân, và không có số liệu cho biết các vụ như vậy phổ biến đến đâu. Hai, kết luận "hiện diện nhưng không vận hành" là cách đọc của tôi từ một thông cáo ngắn; Uỷ ban chưa dùng hai chữ đó. Ba, Công ty X và bảng năm câu chưa được kiểm trên doanh nghiệp thật nào.