Kiểm toán viên phải đánh giá độ tin cậy của chứng từ điện tử — bài viết chỉ ra các tiêu chí pháp lý làm căn cứ và nghĩa vụ bảo mật khi truy cập hệ thống khách hàng.
Hồ sơ kế toán của doanh nghiệp ngày nay gần như hoàn toàn điện tử: hóa đơn, chứng từ ngân hàng, hợp đồng, biên bản. Kiểm toán viên không còn lật từng tập giấy mà truy cập hệ thống, xuất dữ liệu, đối chiếu. Điều này đặt ra hai nhóm vấn đề: làm sao tin được chứng từ điện tử, và bảo vệ dữ liệu khách hàng thế nào trong quá trình kiểm toán.
Chứng từ điện tử có giá trị pháp lý không
Khoản 1 Điều 9 Luật 20/2023/QH15 quy định: Trường hợp pháp luật yêu cầu thông tin phải được thể hiện bằng văn bản thì thông điệp dữ liệu được xem là đáp ứng yêu cầu nếu thông tin trong thông điệp dữ liệu đó có thể truy cập và sử dụng được để tham chiếu.
Điều kiện khá nhẹ. Nhưng với công việc kiểm toán, câu hỏi không dừng ở "có giá trị pháp lý không" mà là "có tin được không" — tức là chứng từ có bị sửa đổi sau khi lập không.
Ba cấp độ tin cậy
Cấp một — tệp thông thường. Một tệp bảng tính hoặc văn bản do doanh nghiệp tự lập. Đáp ứng yêu cầu về hình thức văn bản nhưng dễ sửa và không để lại dấu vết. Kiểm toán viên cần đối chiếu với nguồn độc lập.
Cấp hai — bản ghi trong hệ thống có nhật ký. Dữ liệu nằm trong phần mềm kế toán có ghi lại lịch sử thay đổi. Độ tin cậy cao hơn, nhưng phụ thuộc vào việc nhật ký có bị can thiệp không và ai có quyền quản trị hệ thống.
Cấp ba — chứng thư điện tử có chữ ký số. Khoản 1 Điều 19 Luật 20/2023/QH15 quy định thông tin trong chứng thư điện tử có giá trị pháp lý khi được ký bằng chữ ký số của cơ quan, tổ chức phát hành, có thể truy cập và sử dụng được dưới dạng hoàn chỉnh, và có dấu thời gian nếu pháp luật yêu cầu chỉ ra thời gian.
Chữ ký số cho phép phát hiện mọi thay đổi sau khi ký. Đây là cấp tin cậy cao nhất, và kiểm toán viên nên ưu tiên loại bằng chứng này khi có.
Điều kiện đánh giá độ tin cậy hệ thống
Khi bằng chứng chủ yếu nằm trong hệ thống của khách hàng, kiểm toán viên cần đánh giá bản thân hệ thống đó. Sáu câu hỏi thực tế:
- Ai có quyền quản trị? Người có quyền quản trị thường sửa được cả dữ liệu lẫn nhật ký;
- Nhật ký có được ghi đầy đủ không, và có tách khỏi hệ thống chính không;
- Có phân tách nhiệm vụ không — người lập chứng từ có đồng thời là người duyệt không;
- Dữ liệu sao lưu ra sao, có bản ngoại tuyến không;
- Hệ thống có bị thay đổi trong kỳ không — nâng cấp, đổi phần mềm, chuyển dữ liệu;
- Đã từng có sự cố nào không, xử lý thế nào.
Câu thứ năm hay bị bỏ qua nhưng quan trọng: việc chuyển dữ liệu giữa hai hệ thống là thời điểm dữ liệu dễ sai lệch nhất, và cần thủ tục kiểm tra riêng.
Nghĩa vụ bảo mật của công ty kiểm toán
Kiểm toán viên tiếp cận gần như toàn bộ dữ liệu của khách hàng: doanh thu, chi phí, lương từng người, danh sách khách hàng, hợp đồng. Đây là mức truy cập rất rộng.
Khoản 1 Điều 27 Luật 148/2025/QH15 quy định chủ quản dữ liệu phải chủ động thiết lập quy trình, biện pháp bảo vệ dữ liệu phù hợp với tính chất hoạt động và phương thức đáp ứng yêu cầu của chủ thể dữ liệu.
Công ty kiểm toán, khi nắm giữ bản sao dữ liệu của khách hàng, cũng phải có biện pháp bảo vệ tương xứng. Sáu thực hành cụ thể:
- Chỉ lấy dữ liệu cần thiết cho cuộc kiểm toán, không sao chép toàn bộ cơ sở dữ liệu vì tiện;
- Mã hóa thiết bị của kiểm toán viên — máy tính xách tay bị mất là rủi ro thật với ngành này;
- Không lưu dữ liệu khách hàng trên dịch vụ đám mây cá nhân;
- Phân quyền trong nội bộ — thành viên nhóm kiểm toán này không xem được hồ sơ khách hàng khác;
- Xóa dữ liệu sau khi hoàn tất và hết thời hạn lưu hồ sơ theo quy định nghề nghiệp;
- Ghi nhật ký việc truy cập, sao chép dữ liệu khách hàng.
Điểm thứ hai đáng nhấn mạnh. Kiểm toán viên làm việc tại trụ sở khách hàng, di chuyển nhiều, mang theo máy tính chứa dữ liệu nhạy cảm của nhiều doanh nghiệp. Mã hóa toàn bộ ổ đĩa là biện pháp cơ bản mà chi phí gần như bằng không.
Truy cập hệ thống khách hàng
Điều 26 Luật 116/2025/QH15 quy định các nội dung bảo đảm an ninh dữ liệu. Khi kiểm toán viên được cấp tài khoản truy cập hệ thống khách hàng, cả hai bên đều có nghĩa vụ:
Phía khách hàng — cấp tài khoản riêng cho từng kiểm toán viên, không dùng chung; giới hạn quyền ở mức chỉ đọc; giới hạn phạm vi dữ liệu và thời gian hiệu lực; thu hồi ngay khi cuộc kiểm toán kết thúc.
Phía kiểm toán — không chia sẻ tài khoản trong nhóm; không truy cập ngoài phạm vi công việc; báo ngay khi phát hiện quyền được cấp rộng hơn cần thiết.
Điểm cuối là thực hành chuyên nghiệp đáng ghi nhận. Kiểm toán viên phát hiện mình được cấp quyền sửa dữ liệu trong khi chỉ cần quyền đọc nên báo lại — vừa bảo vệ mình vừa là một phát hiện có giá trị về kiểm soát nội bộ của khách hàng.
Bằng chứng lấy từ bên thứ ba
Xác nhận số dư ngân hàng, xác nhận công nợ với đối tác — những bằng chứng này ngày càng được gửi nhận điện tử.
Kiểm toán viên cần lưu ý về nguồn gốc: một tệp PDF xác nhận số dư do khách hàng chuyển tiếp có độ tin cậy thấp hơn nhiều so với xác nhận nhận trực tiếp từ ngân hàng qua kênh có kiểm soát.
Khoản 2 Điều 19 Luật 20/2023/QH15 cũng lưu ý về chứng thư điện tử nước ngoài: Chứng thư điện tử do cơ quan, tổ chức có thẩm quyền của nước ngoài cấp để được công nhận và sử dụng tại Việt Nam phải được hợp pháp hóa lãnh sự, trừ trường hợp được miễn theo quy định của pháp luật Việt Nam. Với các cuộc kiểm toán có yếu tố nước ngoài, đây là điểm cần chú ý.
Lưu hồ sơ kiểm toán
Hồ sơ kiểm toán phải lưu theo thời hạn quy định của pháp luật và chuẩn mực nghề nghiệp. Với hồ sơ điện tử, ba yêu cầu thực tế:
- Bảo đảm đọc được sau nhiều năm — định dạng phổ thông, không phụ thuộc phần mềm chuyên dụng;
- Bảo đảm không bị sửa sau khi hoàn tất — có cơ chế khóa hồ sơ;
- Sao lưu và kiểm tra khôi phục định kỳ.
Yêu cầu thứ nhất là vấn đề thật với hồ sơ lưu mười năm. Phần mềm kiểm toán chuyên dụng của mười năm trước có thể không còn chạy được trên hệ điều hành hiện tại.
Tóm tắt cho công ty kiểm toán
- Ưu tiên bằng chứng có chữ ký số — độ tin cậy cao nhất;
- Đánh giá hệ thống khi bằng chứng nằm trong hệ thống khách hàng;
- Mã hóa thiết bị của kiểm toán viên;
- Chỉ lấy dữ liệu cần thiết, xóa sau khi hết thời hạn lưu;
- Yêu cầu tài khoản riêng, chỉ đọc, có thời hạn khi truy cập hệ thống khách hàng;
- Lưu hồ sơ ở định dạng phổ thông để đọc được lâu dài.
Đọc thêm cùng chủ đề
- Tự phát triển hay mua giải pháp AI — nghĩa vụ khác nhau thế nào?
- Doanh nghiệp 10-50 người cần làm gì để tuân thủ luật công nghệ?
- Doanh nghiệp nước ngoài cung cấp dịch vụ tại Việt Nam chịu nghĩa vụ nào?
Căn cứ pháp lý
- Luật 20/2023/QH15 Điều 9
- Luật 20/2023/QH15 Điều 19
- Luật 148/2025/QH15 Điều 27
- Luật 116/2025/QH15 Điều 26
Bài viết dẫn chiếu văn bản đang có hiệu lực. Nội dung mang tính tham khảo, không thay thế ý kiến tư vấn cho từng trường hợp cụ thể.
Bình luận (0)
Chưa có bình luận nào. Hãy là người đầu tiên chia sẻ ý kiến.