Sử dụng mô hình trưởng thành (maturity model) là một trong những phương pháp phổ biến và là công cụ mạnh mẽ và hiệu quả đối với các kiểm toán nội bộ khi thực hiện dịch vụ đảm bảo (assurance) hoặc tư vấn (consulting) trong công tác của họ. Bài viết dưới đây FMIT sẽ giới thiệu sơ lược về ý nghĩa của mô hình trưởng thành, các sử dụng, xây dựng, và các trọng tâm khác. Những nội dung chưa rõ có thể tìm hiểu trong khóa học về Kiểm toán nội bộ theo chuẩn quốc tế IIA để có được thông tin chi tiết và hệ thống hơn.
Các mô hình trưởng thành (maturity models) thiết lập một cơ sở hệ thống để đánh giá những gì gọi là trạng thái hiện tại (as-is) của một hệ thống. Mức độ trưởng thành của một hệ thống có thể sau đó được so sánh với mong muốn của ban quản lý hoặc tương phản với mức độ trưởng thành của hệ thống tương tự khác nhằm mục đích đối sánh (benchmarking). Những tri thức sau đó được rút ra từ mô hình nhằm đưa ra các giải pháp cải tiến giúp hệ thống đạt được các mục tiêu dự định theo thời gian.
Khái niệm về mô hình trưởng thành xuất phát từ các chương trình quản trị chất lượng toàn diện, tập trung vào cải tiến liên tục. Một trong những mô hình nổi tiếng là CMM (Capability Maturity Model) được phát triển mới đại học Carnegie Mellon để giúp phát triển phần mềm.
Mô hình trưởng thành mô tả các thành phần của hệ thống được tin rằng sẽ tạo ra kết quả tốt hơn. Mức độ trưởng thành thấp ngầm chỉ ra rằng khả năng thành công thấp hơn trong việc đạt được mục tiêu trong khi mức độ trưởng thành cao hơn ngầm chỉ ra khả năng thành công sẽ cao hơn. Dung sai về rủi ro (risks tolerance) của tổ chức nên được xem xét khi xác định mức độ trưởng thành mà ban quản lý kỳ vọng để thiết lập.
Các tổ chức có thể sử dụng 1 mô hình trưởng thành để mô tả trạng thái phát triển hoặc hệ thống của họ trong mối liên hệ với sự mong đợi về kiểm soát và quản lý đã được thiết lập. Cơ chế phân loại bên trong 1 mô hình trưởng thành có thể giúp tổ chức đơn giản hóa việc xác định khi nào kiểm soát và quy trình quản lý là chấp nhận được, hoặc nhận ra các hành động cần thiết để cải tiến mức độ trưởng thành của tổ chức hoặc quy trình.
Hầu hết các mô hình đều có mức từ 0 đến 5 để mô tả 1 tổ chức, quy trình quản lý, tập kiểm soát, hoặc thành phần nào đó của tổ chức. Mức 0 thường chỉ đến việc chưa tồn tại trong khi mức 5 chỉ đến trạng thái trưởng thành cao, ổn định, hoặc tối ưu. Mức 5 có thể không phải là mục tiêu của mọi tổ chức, vì chi phí để đạt được mức 5 có thể vượt lợi ích mà nó mang lại. Nói cách khác, dung sai rủi ro (risk tolerance) có thể cao đủ để cho phép quy trình ít chính xác hoặc không nhất quán, hoặc nó có thể không phải là mang tính quan trọng về mặt chiến lược đủ để đầu tư 1 quy trình cụ thể đạt được mức 5.
Các kiểm toán nội bộ có thể sử dụng các mô hình trưởng thành này làm tiêu chí để đánh giá quy trình kinh doanh trong quá trình kiểm toán đảm bảo (assurance engagements), vì thế giúp dễ dàng truyền thông sự hiểu biết về quản trị (governance), rủi ro (risk), và kiểm soát (control) trong quá trình rà soát. Trường hợp thiếu định nghĩa tiêu chí cho 1 hệ thống, kiểm toán nội bộ có thể làm việc với ban quản lý và xác định tiêu chí phù hợp sử dụng 1 mô hình trường thành nào đó.
Các thước đo đầu ra (ví dụ, kết quả tài chính, tuân thủ chương trình, bán hàng, và hài lòng khách hàng) đưa ra trong nhiều trường hợp tiêu chí cuối cùng để đánh giá sự thành công của quy trình. Tuy nhiên, ban quản lý và kiểm toán nội bộ có thể muốn hiểu sâu hơn về các quy trình dẫn ra kết quả này được thiết kế và vận hành có tốt không. Việc sử dụng mô hình phù hợp có thể đánh giá một cách tương thích nhất quán và có thể dùng lặp lại.
Các mô hình trưởng thành khi được thiết kế phù hợp có thể đưa ra:
Khi sử dụng hoặc phát triển các mô hình trưởng thành, kiểm toán nội bộ phải xác định xem quản lý và hội đồng đã có tiêu chuẩn phù hợp chưa trong việc lựa chọn và ứng dụng mô hình.
Kiểm toán nội bộ lập kế hoạch sử dụng mô hình trưởng thành trong đánh giá đảm bảo nên xác định xem mô hình có đáp ứng được mục đích không. Giả sử là mô hình đúng, thì khả năng dự báo liên quan đến mục tiêu kinh doanh có đo được không? Ví dụ, 1 mô hình trưởng thành đánh giá các thành phần về tuân thủ sẽ không phù hợp để để ra 1 quan điểm về mục tiêu vận hành.
Kiểm toán nội dung lập kế hoạch sử dụng mô hình trưởng thành trong đánh giá đảm bảo nên xem xét một cách độc lập mức trưởng thành nào của mô hình là phù hợp để đáp ứng mục tiêu. Ví dụ, mức 5 trong mô hình trưởng thành về sự hài lòng khách hàng có thể không cần thiết để đạt được kết quả kinh doanh mong muốn. Tuy nhiên, kiểm toán nội bộ - sau khi hiểu mô hình và cách thiết kế của nó – có thể không đồng ý với quản lý rằng mức 1 là mục tiêu chấp nhận được để đáp ứng nhu cầu khách hàng.
Giả sử tổ chức vừa thiết lập một chương trình đầu tư cộng đồng để thực hiện dự án về từ thiện. Tổ chức dự định sẽ tốn 2 năm để hoàn chỉnh thủ tục và chính sách cần thiết. Tầm nhìn cho chương trình cộng đồng này sẽ là top100 trong quốc gia. Sau khi thực hiện đánh giá rủi ro, CAE đã đưa chủ đề này vào kế hoạch kiểm toán hàng năm tiến hành vào mỗi 6 tháng. Mục tiêu kiểm toán có thể đánh giá:
Thông qua việc sử dụng mô hình trưởng thành, bộ phận kiểm toán có thể đánh giá rằng mức độ chương trình từ thiện hiện tại đang ở mức 3 là phù hợp (có khảo sát kết quả) nhưng đề xuất rằng nên duy trì ở mức 4 (ví dụ chủ động tích cực về báo cáo và định kỳ đánh giá kết quả). Mô hình trưởng thành đưa ra nhiều mức độ hơn so với quy trình đánh giá chỉ ghi 2 mức là đạt yêu cầu/ hoặc không đạt yêu cầu. Mô hình trưởng thành đưa ra tiêu chí về tình trạng hiện tại và đề xuất chuyển sang mức mới nếu cần.
Việc sử dụng mô hình trưởng thành sẽ không phải là phương pháp đánh giá tốt nhất cho kiểm toán nội bộ trong mọi trường hợp. Khi xem xét có nên sử dụng mô hình trưởng thành hay không, cần đánh giá tình huống ví dụ bên dưới và xem xét cách vận dụng đánh giá và phương pháp báo cáo khác nhau.
Tình huống | Báo cáo theo đạt hoặc không đạt | Báo cáo theo mức độ trưởng thành |
---|---|---|
Tổ chức cần 1 ý kiến rõ ràng | Đưa ra sự hiểu biết rõ ràng về ý kiến của kiểm toán nội bộ | Ngoại trừ khi nêu rõ, người đọc có thể không hiểu cái gì là tốt vừa đủ. Khi nào thì đạt được mức độ chấp nhận hoặc không chấp nhận? |
Đánh giá sự tham gia của quản lý vào trong một vấn đề nào đó | Làm rõ có hoặc không có sẽ rất khó thực hiện và tốn thời gian để đưa ra kết luận. | Tập trung thảo luận về mức độ thực hiện nhất quán trên nhiều cấp độ - cho phép theo luận nhiều lựa chọn liên tục |
Kiểm toán 1 quy trình phức tạp hoặc chưa được định nghĩa | Rất khó để áp dựng phương pháp rõ ràng | Cho phép đưa ra một mức độ nào đó so với kỳ vọng |
Mục tiêu tuân thủ | Đưa ra ý kiến rõ ràng là có tuân thủ hay không | Đưa ra ý kiến về đáp ứng yêu cầu tuân thủ, những gì thấp hơn mức cao nhất có thể là 1 vấn đề cần quan tâm |
Mục tiêu hoạt động | Rất khó để quản lý và kiểm toán xác định chính xác các thiếu sót của quy trình | Cho phép nhà quản lý dễ truyền thông về 1 mức độ trưởng thành mong muốn |
Mục tiêu cải tiến liên tục | Có thể khó để tạo ra tiêu chí có hoặc không có | p>Cho phép 1 mức được trưởng thành mà tất cả quy trình cần đạt |
Cấp quản lý có thể đã định nghĩa 1 mô hình trưởng thành sử dụng trong tổ chức. Vì vậy, kiểm toán nội bộ sử dụng mô hình đó như là công cụ sau khi đã đánh giá cẩn thận sự liên quan và phù hợp của mô hình với việc đánh giá và ý kiến cần tạo ra. Nói cách khác, có nhiều mô hình trưởng thành có sẵn để sử dụng trong những ngành cụ thể. Những mô hình này phải được đánh giá xem mục đích có phù hợp không trước khi sử dụng.
Các mô hình trưởng thành bao gồm những mức độ chủ quan nhất định; vì thế, cần cẩn trọng khi cung cấp đảm bảo với ban quản lý rằng quy trình đã được kiểm soát đầy đủ chỉ dựa trên mô hình trưởng thành. Kiểm toán nội bộ nên đảm bảo mô hình này phù hợp với mục đích và được hiện thực đúng. Các mô hình có thể được sử dụng để mô tả trạng thái hiện tại (as is) của quy trình, đưa ra mô tả và hướng dẫn cho cải tiến, hoặc so sánh việc hiện thực quy trình với quy trình khác.
Việc sử dụng mô hình trưởng thành so với kỹ thuật kiểm toán khác không thay đổi mức độ về cần trọng nghề nghiệp và mức độ thuần thục của kiểm toán nội bộ. Mô hình trưởng thành không nên diễn đạt bằng danh mục checklist, hoặc thay thế trách nhiệm của kiểm toán nội bộ về độc lập và khách quan trong nhận diện rủi ro và sự không phù hợp của kiểm soát. Mô hình nên đưa ra 1 khung và hướng dẫn để giúp thảo luận về mức độ trưởng thành của quản trị, rủi ro, và kiểm soát.
Để lựa chọn 1 mô hình trưởng thành, kiểm toán nội bộ nên hiểu về mục tiêu của quản lý và mô hình phù hợp để bổ trợ cho mục tiêu này. Xem xét:
Có 2 nhân tố quan trọng kiểm soát quá trình lực chọn mô hình là:
Xây dựng và sử dụng mô hình như thế nào? Kiểm toán nội bộ với kinh nghiệm và chuyên môn nhất định, cùng với nhà quản lý hoặc các chuyên gia bên ngoài có thể tạo ra các mô hình phù hợp với mục đích sử dụng. Để xây dựng mô hình, cần các bước:
Sử dụng mô hình liên quan các bước: