Chi phí 151 triệu USD bị giấu ở Macy's: một người vượt kiểm soát

Ngày 25/11/2024, Macy's, chuỗi bách hoá niêm yết trên sàn New York, hoãn công bố kết quả quý III để chờ một cuộc điều tra độc lập về chi phí giao hàng (Macy's, Inc., 2024). Mười sáu ngày sau, báo cáo 8-K nộp SEC cho biết điều tra tìm ra gì. Nếu bạn là giám đốc tài chính hoặc chủ SME và yên tâm vì cuối tháng nào kế toán cũng đối chiếu số dư, ca này đáng đọc: hồ sơ vụ việc cho thấy kiểm soát được thiết kế mà không tính đến người lách nó có thể để sai sót kéo dài 12 quý. Hồ sơ không nêu tên người nhân viên, và bài này cũng không.

Macy's đã công bố điều gì, và con số nào đáng dùng?

Con số đáng dùng là khoảng 151 triệu USD trong 8-K ngày 11/12/2024. Khoảng 132 đến 154 triệu USD trong thông cáo ngày 25/11 là ước tính khi điều tra còn đang chạy (Macy's, Inc., 2024, Other Corporate Developments; Macy's, Inc., 2024, Item 2.02).

Theo 8-K, một nhân viên duy nhất phụ trách kế toán chi phí giao hàng gói nhỏ đã cố ý ghi bút toán dồn tích sai và làm giả chứng từ gốc, để giấu khoảng 151 triệu USD chi phí giao hàng cộng dồn từ quý IV/2021 đến quý III/2024 (Macy's, Inc., 2024, Item 2.02). Tôi đếm đó là 12 quý tài chính. Chi phí giao hàng là một phần của giá vốn hàng bán; vấn đề lộ ra khi công ty lập báo cáo quý III chưa kiểm toán, ở một tài khoản dồn tích (Macy's, Inc., 2024, Item 2.02). Trong cùng kỳ, Macy's ghi nhận khoảng 4,36 tỷ USD chi phí giao hàng (Macy's, Inc., 2024, Other Corporate Developments). Theo phép chia của tôi, 151 triệu USD là khoảng 3,5% khoản đó; hồ sơ tôi đọc không nói khoản đó đã gồm phần bị giấu hay chưa.

Hồ sơ mô tả việc che chi phí, không mô tả việc rút tiền. Thông cáo nói không có dấu hiệu bút toán sai ảnh hưởng đến quản lý tiền mặt hay thanh toán nhà cung cấp, người đó không còn làm ở công ty, và điều tra chưa thấy nhân viên nào khác liên quan (Macy's, Inc., 2024, Other Corporate Developments).

Công ty nói kiểm soát nào đã hỏng?

Hai khâu: bút toán thủ công về chi phí giao hàng và một số chi phí không phải hàng hoá khác, và việc đối chiếu các khoản phải trả dồn tích liên quan. Lỗi nằm ở thiết kế: theo 8-K, thiết kế các kiểm soát này không xét đến khả năng nhân viên lách chúng (Macy's, Inc., 2024, Item 8.01). Hồ sơ nêu thêm lỗi về thông tin: kiểm soát không lấy hoặc không tạo và dùng được thông tin liên quan, đủ chất lượng, kể cả việc xác nhận thông tin đó đáng tin (Macy's, Inc., 2024, Item 8.01).

Theo cách tôi đọc, điều này ăn khớp với việc chứng từ gốc bị làm giả. Một phép đối chiếu so số dư sổ với chứng từ; nếu người ghi sổ cũng đưa chứng từ, hai bên có thể khớp nhau. Hồ sơ không mô tả chứng từ bị làm giả ra sao, ai soát bút toán hay vì sao soát không ra; đây là suy luận của tôi.

Ngày 10/12/2024, Uỷ ban Kiểm toán của hội đồng quản trị kết luận, theo khuyến nghị của ban điều hành sau khi tham vấn công ty kiểm toán độc lập KPMG, rằng không còn dựa vào báo cáo của ban điều hành về kiểm soát nội bộ tại ngày 3/2/2024, nộp cùng báo cáo năm 10-K ngày 22/3/2024, và cả ý kiến của KPMG về hiệu quả kiểm soát nội bộ tại ngày đó (Macy's, Inc., 2024, Item 8.01). Ngoài việc lộ ra khi lập báo cáo quý III, theo NBC công ty không tiết lộ vụ việc được phát hiện bằng cách nào (Wile et al., 2024).

"Vượt quyền" là chữ của bảng framework; 8-K viết "nhân viên lách kiểm soát" và không nói chức vụ (Macy's, Inc., 2024, Item 8.01). Tôi dùng chữ đầu cho việc bỏ qua kiểm soát, không hàm ý cấp quản lý.

Macy's cam kết sửa gì?

Ba việc đã bắt đầu, theo 8-K: đánh giá lại rủi ro nhân viên lách kiểm soát, thiết kế lại các kiểm soát cấp quy trình cho phù hợp với rủi ro đó, và kiểm tra thông tin hỗ trợ kiểm soát, kể cả xác nhận độ tin cậy của nó. Công ty nói có thể thêm biện pháp (Macy's, Inc., 2024, Item 8.01).

Theo cách tôi xếp, ba việc rơi vào ba trong năm thành phần của khung kiểm soát nội bộ COSO: đánh giá rủi ro, hoạt động kiểm soát, thông tin và truyền thông. COSO là Uỷ ban các tổ chức bảo trợ của Treadway Commission; khung của họ ban hành năm 1992 và cập nhật năm 2013 (Committee of Sponsoring Organizations of the Treadway Commission, 2013). Hồ sơ không nói các việc đó đã đi đến đâu hay hiệu quả ra sao, và tôi chưa đọc hồ sơ nào của Macy's sau ngày 11/12/2024.

Vì sao bút toán dồn tích và đối chiếu không chặn được người cố tình?

Vì mỗi loại kiểm soát có một điểm yếu riêng, và người cố tình khai thác đúng điểm đó. Bảng tóm tắt framework của site, dựa trên COSO, nói kiểm soát ngăn ngừa như phân tách nhiệm vụ và phê duyệt có thể bị vô hiệu bởi vượt quyền hoặc thông đồng; kiểm soát phát hiện như đối chiếu và soát xét của quản lý đến muộn; kiểm soát khắc phục phụ thuộc việc thực thi sau đó Ba loại hoạt động kiểm soát.

Đặt vào ca Macy's, theo cách tôi đọc: bút toán dồn tích là ước tính do một người ghi, nên cần khâu ngăn ngừa; đối chiếu khoản phải trả dồn tích là khâu phát hiện, chỉ có giá trị khi chứng từ nó so vào không do chính người ghi dựng lên. Điều chỉnh báo cáo kỳ trước và thiết kế lại quy trình là khâu khắc phục, đến sau 12 quý. Hồ sơ không nói phê duyệt hay phân tách nhiệm vụ có hay vắng, nên tôi không kết luận kiểm soát nào thất bại.

Giám đốc tài chính SME nên kiểm gì?

Năm việc, mỗi việc trả lời một câu: nếu một người muốn giấu một khoản chi phí, bước nào cho phép họ làm vậy? Bảng kiểm là suy luận của tôi, chưa thử trên doanh nghiệp Việt Nam; cột giữa nói việc nào có gốc trong hồ sơ.

Ví dụ giả định để thấy việc thứ ba. Một công ty phân phối đồ uống 80 nhân viên, không tên, do tôi bịa, giao khoảng 1.000 chuyến mỗi tháng, mỗi chuyến 0,6 triệu đồng. Hãng vận chuyển gửi hoá đơn chậm khoảng một tháng, nên cuối tháng số dồn tích đúng xấp xỉ chi phí các chuyến chưa có hoá đơn. Đây chỉ là một cách ước tính bị thấp đi, không phải cách Macy's làm.

Nhìn riêng số dư, nó trông ổn định, chỉ giảm 5% từ 600 xuống 570, trong khi số chuyến tăng 14%. Sau sáu tháng chênh 114 triệu đồng, khoảng 17% chi phí một tháng.

Cách này hợp nếu phòng kế toán có từ hai người, hoặc chủ sẵn sàng tự duyệt các bút toán thủ công lớn. Không hợp nếu công ty chỉ có một kế toán và chủ không đọc báo cáo: việc thứ nhất khi đó không làm được, các việc còn lại yếu đi.

Đào sâu: tôi đã đọc gì, và chưa kiểm được gì?

Ngày 3/11/2026 tôi đọc toàn văn thông cáo ngày 25/11/2024 (Exhibit 99.1 của một báo cáo nộp SEC trên EDGAR) và phần văn bản chính của 8-K ngày 11/12/2024. Số liệu về vụ việc lấy từ hai tài liệu đó, trừ các chi tiết chỉ có ở NBC: lợi nhuận ròng 105 triệu USD, lời của người đứng đầu công ty, thông tin từ nguồn giấu tên, và việc công ty không nói vụ việc được phát hiện ra sao. Tôi đọc trọn bài NBC, vốn ngắn.

Tôi không đọc Exhibit 99.1 và 99.2 đính kèm 8-K (thông cáo kết quả kinh doanh và báo cáo tài chính điều chỉnh), nên không biết 151 triệu USD chia theo quý ra sao. Tôi cũng chưa đọc báo cáo năm 10-K nào, nên không biết kế hoạch khắc phục đã đi đến đâu. Về COSO, tôi chỉ đọc trang giới thiệu, không đọc khung gốc, vốn bán có phí; năm thành phần và bảng ba loại kiểm soát lấy từ bản tóm tắt framework của site.

Bài không chứng minh rằng thiếu phân tách nhiệm vụ gây ra vụ việc, vì hồ sơ không nói gì về điều đó. Nó chỉ cho thấy một ca có tài liệu, trong đó công ty tự nhận kiểm soát được thiết kế mà không tính đến người lách chúng.