Sử dụng mô hình trưởng thành trong công tác kiểm toán nội bộ như thế nào?

Sử dụng mô hình trưởng thành (maturity model) là một trong những phương pháp phổ biến và là công cụ mạnh mẽ và hiệu quả đối với các kiểm toán nội bộ khi thực hiện dịch vụ đảm bảo (assurance) hoặc tư vấn (consulting) trong công tác của họ. Bài viết dưới đây FMIT sẽ giới thiệu sơ lược về ý nghĩa của mô hình trưởng thành, các sử dụng, xây dựng, và các trọng tâm khác. Những nội dung chưa rõ có thể tìm hiểu trong khóa học về Kiểm toán nội bộ theo chuẩn quốc tế IIA để có được thông tin chi tiết và hệ thống hơn.

Mô hình trưởng thành (maturity models) là gì?

Các mô hình trưởng thành (maturity models) thiết lập một cơ sở hệ thống để đánh giá những gì gọi là trạng thái hiện tại (as-is) của một hệ thống. Mức độ trưởng thành của một hệ thống có thể sau đó được so sánh với mong muốn của ban quản lý hoặc tương phản với mức độ trưởng thành của hệ thống tương tự khác nhằm mục đích đối sánh (benchmarking). Những tri thức sau đó được rút ra từ mô hình nhằm đưa ra các giải pháp cải tiến giúp hệ thống đạt được các mục tiêu dự định theo thời gian.

Khái niệm về mô hình trưởng thành xuất phát từ các chương trình quản trị chất lượng toàn diện, tập trung vào cải tiến liên tục. Một trong những mô hình nổi tiếng là CMM (Capability Maturity Model) được phát triển mới đại học Carnegie Mellon để giúp phát triển phần mềm.

Mô hình trưởng thành mô tả các thành phần của hệ thống được tin rằng sẽ tạo ra kết quả tốt hơn. Mức độ trưởng thành thấp ngầm chỉ ra rằng khả năng thành công thấp hơn trong việc đạt được mục tiêu trong khi mức độ trưởng thành cao hơn ngầm chỉ ra khả năng thành công sẽ cao hơn. Dung sai về rủi ro (risks tolerance) của tổ chức nên được xem xét khi xác định mức độ trưởng thành mà ban quản lý kỳ vọng để thiết lập.

Các tổ chức có thể sử dụng 1 mô hình trưởng thành để mô tả trạng thái phát triển hoặc hệ thống của họ trong mối liên hệ với sự mong đợi về kiểm soát và quản lý đã được thiết lập. Cơ chế phân loại bên trong 1 mô hình trưởng thành có thể giúp tổ chức đơn giản hóa việc xác định khi nào kiểm soát và quy trình quản lý là chấp nhận được, hoặc nhận ra các hành động cần thiết để cải tiến mức độ trưởng thành của tổ chức hoặc quy trình.

Hầu hết các mô hình đều có mức từ 0 đến 5 để mô tả 1 tổ chức, quy trình quản lý, tập kiểm soát, hoặc thành phần nào đó của tổ chức. Mức 0 thường chỉ đến việc chưa tồn tại trong khi mức 5 chỉ đến trạng thái trưởng thành cao, ổn định, hoặc tối ưu. Mức 5 có thể không phải là mục tiêu của mọi tổ chức, vì chi phí để đạt được mức 5 có thể vượt lợi ích mà nó mang lại. Nói cách khác, dung sai rủi ro (risk tolerance) có thể cao đủ để cho phép quy trình ít chính xác hoặc không nhất quán, hoặc nó có thể không phải là mang tính quan trọng về mặt chiến lược đủ để đầu tư 1 quy trình cụ thể đạt được mức 5.

Lợi ích của việc sử dụng mô hình trưởng thành làm tiêu chí đánh giá trong kiểm toán nội bộ là gì?

Các kiểm toán nội bộ có thể sử dụng các mô hình trưởng thành này làm tiêu chí để đánh giá quy trình kinh doanh trong quá trình kiểm toán đảm bảo (assurance engagements), vì thế giúp dễ dàng truyền thông sự hiểu biết về quản trị (governance), rủi ro (risk), và kiểm soát (control) trong quá trình rà soát. Trường hợp thiếu định nghĩa tiêu chí cho 1 hệ thống, kiểm toán nội bộ có thể làm việc với ban quản lý và xác định tiêu chí phù hợp sử dụng 1 mô hình trường thành nào đó.

Các thước đo đầu ra (ví dụ, kết quả tài chính, tuân thủ chương trình, bán hàng, và hài lòng khách hàng) đưa ra trong nhiều trường hợp tiêu chí cuối cùng để đánh giá sự thành công của quy trình. Tuy nhiên, ban quản lý và kiểm toán nội bộ có thể muốn hiểu sâu hơn về các quy trình dẫn ra kết quả này được thiết kế và vận hành có tốt không. Việc sử dụng mô hình phù hợp có thể đánh giá một cách tương thích nhất quán và có thể dùng lặp lại.

Các mô hình trưởng thành khi được thiết kế phù hợp có thể đưa ra:

• 1 khung để tạo tầm nhìn về tương lai, trạng thái mong muốn, và các kế hoạch để phát triển
• Sự so sánh cho tổ chức về quy trình của họ bên trong và bên ngoài
• Cơ chế để đưa ra kiến thức về con dường cải tiến từ quy trình chưa trưởng thành thành quy trình tối ưu
• Phương pháp có nguyên tức giúp dễ hiểu và hiện thực

Khi sử dụng hoặc phát triển các mô hình trưởng thành, kiểm toán nội bộ phải xác định xem quản lý và hội đồng đã có tiêu chuẩn phù hợp chưa trong việc lựa chọn và ứng dụng mô hình.

Kiểm toán nội bộ lập kế hoạch sử dụng mô hình trưởng thành trong đánh giá đảm bảo nên xác định xem mô hình có đáp ứng được mục đích không. Giả sử là mô hình đúng, thì khả năng dự báo liên quan đến mục tiêu kinh doanh có đo được không? Ví dụ, 1 mô hình trưởng thành đánh giá các thành phần về tuân thủ sẽ không phù hợp để để ra 1 quan điểm về mục tiêu vận hành.

Kiểm toán nội dung lập kế hoạch sử dụng mô hình trưởng thành trong đánh giá đảm bảo nên xem xét một cách độc lập mức trưởng thành nào của mô hình là phù hợp để đáp ứng mục tiêu. Ví dụ, mức 5 trong mô hình trưởng thành về sự hài lòng khách hàng có thể không cần thiết để đạt được kết quả kinh doanh mong muốn. Tuy nhiên, kiểm toán nội bộ - sau khi hiểu mô hình và cách thiết kế của nó – có thể không đồng ý với quản lý rằng mức 1 là mục tiêu chấp nhận được để đáp ứng nhu cầu khách hàng.

Các ví dụ về mô hình trưởng thành được sử dụng bởi kiểm toán nội bộ

Giả sử tổ chức vừa thiết lập một chương trình đầu tư cộng đồng để thực hiện dự án về từ thiện. Tổ chức dự định sẽ tốn 2 năm để hoàn chỉnh thủ tục và chính sách cần thiết. Tầm nhìn cho chương trình cộng đồng này sẽ là top100 trong quốc gia. Sau khi thực hiện đánh giá rủi ro, CAE đã đưa chủ đề này vào kế hoạch kiểm toán hàng năm tiến hành vào mỗi 6 tháng. Mục tiêu kiểm toán có thể đánh giá:

• Các kiểm soát trong chương trình đầu tư cộng đồng này có tuân thủ với luật pháp và quy định không
• Kiểm tra xem kế hoạch chiến lược phù hợp có được thiết lập để nhận diện và đánh giá sự tác động của các tổ chức từ thiện đã cung cấp các khoản đóng góp.

Thông qua việc sử dụng mô hình trưởng thành, bộ phận kiểm toán có thể đánh giá rằng mức độ chương trình từ thiện hiện tại đang ở mức 3 là phù hợp (có khảo sát kết quả) nhưng đề xuất rằng nên duy trì ở mức 4 (ví dụ chủ động tích cực về báo cáo và định kỳ đánh giá kết quả). Mô hình trưởng thành đưa ra nhiều mức độ hơn so với quy trình đánh giá chỉ ghi 2 mức là đạt yêu cầu/ hoặc không đạt yêu cầu. Mô hình trưởng thành đưa ra tiêu chí về tình trạng hiện tại và đề xuất chuyển sang mức mới nếu cần.

Việc sử dụng mô hình trưởng thành sẽ không phải là phương pháp đánh giá tốt nhất cho kiểm toán nội bộ trong mọi trường hợp. Khi xem xét có nên sử dụng mô hình trưởng thành hay không, cần đánh giá tình huống ví dụ bên dưới và xem xét cách vận dụng đánh giá và phương pháp báo cáo khác nhau.

Lựa chọn các mô hình trưởng thành như thế nào?

Cấp quản lý có thể đã định nghĩa 1 mô hình trưởng thành sử dụng trong tổ chức. Vì vậy, kiểm toán nội bộ sử dụng mô hình đó như là công cụ sau khi đã đánh giá cẩn thận sự liên quan và phù hợp của mô hình với việc đánh giá và ý kiến cần tạo ra. Nói cách khác, có nhiều mô hình trưởng thành có sẵn để sử dụng trong những ngành cụ thể. Những mô hình này phải được đánh giá xem mục đích có phù hợp không trước khi sử dụng.

Các mô hình trưởng thành bao gồm những mức độ chủ quan nhất định; vì thế, cần cẩn trọng khi cung cấp đảm bảo với ban quản lý rằng quy trình đã được kiểm soát đầy đủ chỉ dựa trên mô hình trưởng thành. Kiểm toán nội bộ nên đảm bảo mô hình này phù hợp với mục đích và được hiện thực đúng. Các mô hình có thể được sử dụng để mô tả trạng thái hiện tại (as is) của quy trình, đưa ra mô tả và hướng dẫn cho cải tiến, hoặc so sánh việc hiện thực quy trình với quy trình khác.

Việc sử dụng mô hình trưởng thành so với kỹ thuật kiểm toán khác không thay đổi mức độ về cần trọng nghề nghiệp và mức độ thuần thục của kiểm toán nội bộ. Mô hình trưởng thành không nên diễn đạt bằng danh mục checklist, hoặc thay thế trách nhiệm của kiểm toán nội bộ về độc lập và khách quan trong nhận diện rủi ro và sự không phù hợp của kiểm soát. Mô hình nên đưa ra 1 khung và hướng dẫn để giúp thảo luận về mức độ trưởng thành của quản trị, rủi ro, và kiểm soát.

Để lựa chọn 1 mô hình trưởng thành, kiểm toán nội bộ nên hiểu về mục tiêu của quản lý và mô hình phù hợp để bổ trợ cho mục tiêu này. Xem xét:

• Kết quả đầu ra quản lý mong muốn là gì? Ví dụ, quản lý có muốn đánh giá sự thành công vòng đời phát triển, quy trình bán hàng có tốt không, hoặc môi trườn có an toàn không? Thước đo định lượng hoặc định tính được mô tả trong kết quả mong muốn là gì?
• Mô hình đang xem xét có phù hợp cho việc tạo ra kết quả quản lý không? Mô hình nên được xây dựng bởi chuyên gia uy tín bên trong hoặc bên ngoài những người hiểu về mối liên hệ giữa chức năng quy trình cụ thể và kết quả đầu ra mong muốn của tổ chức.
• Mức độ công việc trong việc tạo ra mô hình là khác nhau – từ mô hình tự xây dựng bên trong tổ chức bởi lãnh đạo có kinh nghiệm đến được phát triển và nghiên cứu bởi nhiều tổ chức. Mỗi phương pháp sẽ phù hợp với 1 tình huống nhất định.

Có 2 nhân tố quan trọng kiểm soát quá trình lực chọn mô hình là:

• Mô hình sau đó đó cải tiến khả năng đạt được kết quả không? Ngoài ra, mô hình có khuyến khích hành động hoặc làm phản tác dụng trong việc cải tiến quy trình của ban quản lý không?
• Ban quản lý có cảm nhận sai lầm rằng kết quả sẽ đạt được nếu việc đánh giá chỉ ra? Mặc dù mô hình chỉ ra rằng ở mức trưởng thành cao thì khả năng thành công sẽ cao nhưng sẽ vẫn còn rủi ro và mức độ không chắc chắn về khả năng đạt được mục tiêu. Việc sử dụng mô hình sẽ đưa ra mức độ tin cậy phù hợp không?

Xây dựng và sử dụng mô hình như thế nào? Kiểm toán nội bộ với kinh nghiệm và chuyên môn nhất định, cùng với nhà quản lý hoặc các chuyên gia bên ngoài có thể tạo ra các mô hình phù hợp với mục đích sử dụng. Để xây dựng mô hình, cần các bước:

• Xác định mục đích của mô hình và thành phần của nó
• Mô tả các mức (scale)
• Phát triển các mong muốn cho mỗi cấp độ

Sử dụng mô hình liên quan các bước:

• Thiết lập chỉ tiêu cho mỗi thành phần
• Đánh giá mức độ trưởng thành của từng thành phần
• Xem xét những gì bị thiếu
• Báo cáo kết luận
• Rà soát thường xuyên