Kiểm soát nội bộ là tập hợp các quy tắc, phân công và thói quen kiểm tra giúp doanh nghiệp tin được vào số liệu của mình, giữ được tài sản và làm đúng quy định. Ở công ty nhỏ, nó không phải một phòng ban mà là những câu hỏi rất đời thường: ai được ký chi, ai giữ chìa khoá két, ai đối chiếu sao kê, sai lệch thì ai báo cho ai.
AI không thay được hệ thống đó, nhưng làm rất tốt phần tốn công nhất: đọc hàng nghìn dòng giao dịch, so chứng từ với sổ sách, đánh dấu chỗ lệch để người xem. Bài này đi qua năm thành phần của kiểm soát nội bộ theo khung COSO, chỉ ra ở từng thành phần chỗ nào AI giúp được và chỗ nào bắt buộc người quyết, rồi gợi ý lộ trình ba tháng cho công ty từ 10 đến 100 người.
Kiểm soát nội bộ không phải để nghi ngờ nhân viên
Nhiều chủ doanh nghiệp ngại nói chuyện kiểm soát vì sợ nhân viên hiểu là mình bị nghi. Cách nhìn đúng hơn: kiểm soát nội bộ bảo vệ cả người làm. Một kế toán được giao vừa thu tiền, vừa ghi sổ, vừa đối chiếu ngân hàng sẽ là người đầu tiên bị hỏi khi quỹ thiếu, dù lỗi nằm ở chỗ khác. Khi việc được tách ra và có dấu vết, người trung thực có bằng chứng cho mình.
Mục tiêu của kiểm soát cũng không phải bắt lỗi mà là làm cho lỗi khó xảy ra và dễ lộ sớm. Một hoá đơn nhập trùng phát hiện trong tuần chỉ tốn một cuộc gọi cho nhà cung cấp; phát hiện sau nửa năm thì có khi nhà cung cấp đã đổi người, hồ sơ thất lạc, khoản tiền khó đòi lại. Phần lớn sai lệch trong doanh nghiệp nhỏ đến từ nhầm lẫn và quy trình lỏng, không phải từ ý xấu.
Khi đưa AI vào, nguyên tắc này càng phải giữ: công cụ chỉ khoanh vùng giao dịch đáng xem, người có thẩm quyền xác minh rồi mới kết luận. Không ai bị gọi lên chỉ vì một cột điểm rủi ro do máy tính ra.
Năm thành phần theo khung COSO, viết lại cho công ty nhỏ
Khung COSO là bộ khung kiểm soát nội bộ được dùng rộng rãi trên thế giới, chia hệ thống thành năm thành phần. Bảng dưới diễn lại bằng ngôn ngữ của một xưởng hay cửa hàng, kèm phần việc AI có thể đỡ.
| Thành phần | Ở công ty nhỏ nghĩa là | AI đỡ được gì |
|---|---|---|
| Môi trường kiểm soát | Chủ doanh nghiệp làm gương, phân công rõ, có nội quy về tiền và hàng | Soạn nháp nội quy, bảng phân công từ mô tả công việc đã che tên |
| Đánh giá rủi ro | Liệt kê chỗ dễ mất tiền, mất hàng, sai số liệu | Gợi ý danh sách rủi ro theo ngành để người bổ sung, sắp xếp theo mức độ |
| Hoạt động kiểm soát | Duyệt chi, đối soát, kiểm kê, khoá quyền phần mềm | Đối chiếu tự động, tìm chứng từ trùng, đánh dấu khoản vượt định mức |
| Thông tin và truyền thông | Số liệu đúng hạn, kênh báo sai lệch không sợ bị trù | Tóm tắt báo cáo tuần, soạn thông báo quy trình mới dễ hiểu |
| Giám sát | Định kỳ xem lại kiểm soát còn chạy không | Đếm số ngoại lệ mỗi tháng, chỉ ra kiểm soát nào bị bỏ qua |
Điểm cần thấy ở bảng: AI mạnh nhất ở thành phần thứ ba và thứ năm, nơi có nhiều dữ liệu lặp lại. Hai thành phần đầu là chuyện con người và văn hoá — máy soạn được câu chữ nhưng không thay được việc chủ doanh nghiệp tự mình tuân thủ quy định mình đặt ra.
Những việc AI làm tốt trong kiểm soát nội bộ
So khớp số lượng lớn. Đối chiếu sao kê với sổ quỹ, hoá đơn với phiếu nhập, đơn hàng với tiền về là việc lặp lại, nhiều dòng, dễ hoa mắt. Bảng tính có công thức làm phần khớp chính xác; chatbot giỏi phần khớp gần đúng, như diễn giải chuyển khoản ghi tắt, sai chính tả tên khách.
Tìm mẫu lạ. Khoản chi rơi vào ngày nghỉ, số tiền tròn bất thường, cùng một nhà cung cấp mà hai số tài khoản, một người duyệt chi cho chính đề nghị của mình. Con người bỏ sót vì không ai đọc hết ba nghìn dòng; máy không mệt.
Soạn và chuẩn hoá giấy tờ. Biên bản đối chiếu, mẫu đề nghị thanh toán, quy trình duyệt chi viết thành từng bước, bảng câu hỏi tự đánh giá cuối quý. Bản nháp do AI soạn rồi người sửa nhanh hơn viết từ trang trắng.
Giải thích cho người không chuyên. Chủ cửa hàng không học kế toán có thể hỏi chatbot vì sao số dư ngân hàng khác số dư sổ quỹ, chênh lệch tạm thời là gì. Câu trả lời cần kiểm lại với kế toán, nhưng giúp hai bên nói cùng một ngôn ngữ.
Những việc không giao cho AI
Có những quyết định trong kiểm soát nội bộ mà dù công cụ có giỏi đến đâu cũng phải do người có thẩm quyền đứng tên. Ghi rõ danh sách này vào quy định công ty để không ai đẩy trách nhiệm cho máy.
- Duyệt chi và ký chứng từ. AI có thể kiểm xem hồ sơ đủ chưa, nhưng chữ ký duyệt là của người, kèm trách nhiệm của người đó.
- Kết luận ai sai, ai gian lận. Một giao dịch bị đánh dấu chỉ là câu hỏi. Kết luận cần xác minh chứng từ, hỏi người liên quan, đôi khi cần chuyên gia hoặc cơ quan chức năng.
- Xử lý kỷ luật. Phải theo nội quy lao động và quy định pháp luật hiện hành, có biên bản, có quyền giải trình của người lao động.
- Quyết định hạch toán và nghĩa vụ thuế. Thuộc kế toán trưởng hoặc người phụ trách kế toán, theo chế độ kế toán đang áp dụng. Chatbot có thể giải thích nguyên lý nhưng hay nhầm chi tiết của Việt Nam và không cập nhật kịp văn bản mới.
- Đặt ngưỡng chấp nhận rủi ro. Chênh lệch bao nhiêu thì bỏ qua, bao nhiêu thì phải điều tra là lựa chọn quản trị của chủ doanh nghiệp.
- Gửi bất kỳ thứ gì ra ngoài. Thư đối chiếu công nợ, công văn cho đối tác, giải trình cho kiểm toán đều phải có người đọc lại và ký.
Dữ liệu tài chính đưa vào AI: che gì và dùng công cụ nào
Dữ liệu của kiểm soát nội bộ là loại nhạy cảm nhất trong doanh nghiệp: số tài khoản, số dư, tên khách, công nợ, lương, giá vốn. Trước khi dán bất kỳ bảng nào vào chatbot, thay tên khách và nhà cung cấp bằng mã (KH01, NCC07), xoá số tài khoản đầy đủ chỉ giữ bốn số cuối nếu cần đối chiếu, bỏ cột lương và thông tin cá nhân của nhân viên. Bảng giữ lại đủ để máy làm việc: ngày, số tiền, mã đối tác, nội dung rút gọn.
Về công cụ, ưu tiên tài khoản do công ty cấp có tuỳ chọn không dùng dữ liệu để huấn luyện, và kiểm phiên bản hiện hành của điều khoản vì các hãng thay đổi thường xuyên. Nếu phần mềm kế toán công ty đang dùng đã có tính năng gợi ý đối chiếu hay cảnh báo bất thường, dùng tính năng đó trước vì dữ liệu không phải rời khỏi hệ thống. Phần chi tiết về an toàn dữ liệu khi dùng chatbot có ở trang AI Bảo Mật trong cùng hệ.
Một thói quen nên có: lưu lại câu lệnh và bảng đầu vào đã dùng cho mỗi lần đối soát, cùng với kết quả và người đã kiểm. Khi kiểm toán hoặc chủ doanh nghiệp hỏi vì sao một khoản được bỏ qua, có dấu vết để trả lời.
Lộ trình ba tháng cho công ty 10–100 người
Không cần làm cùng lúc cả năm thành phần. Lộ trình dưới ưu tiên chỗ dễ mất tiền nhất và cho kết quả thấy được sớm.
- Tuần 1–2: vẽ dòng tiền. Liệt kê tiền vào từ đâu (tiền mặt, chuyển khoản, ví, sàn thương mại điện tử) và ra qua đâu. Với mỗi dòng, ghi ai được thao tác và ai kiểm. Chỗ một người vừa làm vừa kiểm là chỗ đầu tiên phải sửa.
- Tuần 3–4: đối soát ngân hàng hằng tuần. Đây là kiểm soát rẻ nhất mà bắt được nhiều lỗi nhất. Dùng AI để khớp phần diễn giải khó, người xem phần lệch.
- Tháng 2: duyệt chi theo hạn mức. Lập bảng ai được duyệt khoản bao nhiêu, khoản nào cần hai người. Đưa vào phần mềm hoặc ít nhất vào mẫu đề nghị thanh toán.
- Tháng 2: quét chứng từ trùng và nhà cung cấp lạ. Chạy một lần cho sáu tháng gần nhất để biết mặt bằng, sau đó chạy hằng tháng.
- Tháng 3: đối chiếu công nợ và kiểm kê quỹ bất ngờ. Gửi biên bản đối chiếu cho khách và nhà cung cấp lớn, kiểm quỹ vào một ngày không báo trước.
- Cuối tháng 3: tự đánh giá. Đếm số ngoại lệ mỗi tuần, xem kiểm soát nào hay bị bỏ qua và vì sao, sửa quy trình thay vì chỉ nhắc nhở.
Sau ba tháng, công ty có những kiểm soát chạy đều mỗi tuần, có người phụ trách, có dấu vết. Những hệ thống bài bản hơn như kiểm toán nội bộ riêng chỉ cần khi quy mô và rủi ro đòi hỏi.
Dấu hiệu hệ thống kiểm soát đang hoạt động
Một hệ thống chạy thật để lại dấu vết dễ thấy: biên bản đối soát ngân hàng có ngày và chữ ký mỗi tuần, đề nghị thanh toán nào cũng có người duyệt khác người đề nghị, danh sách ngoại lệ được xử lý chứ không tồn đọng, nhân viên biết báo sai lệch cho ai. Nếu bạn hỏi kế toán khoản lệch tuần trước là gì và họ trả lời được ngay, đó là dấu hiệu tốt.
Dấu hiệu xấu cũng rõ: đối soát dồn đến cuối năm mới làm, quy trình có trên giấy nhưng ai cũng biết cách đi tắt, cảnh báo của phần mềm bị tắt vì "báo nhiều quá". Trường hợp cuối rất hay gặp khi mới dùng AI: ngưỡng đặt quá chặt, ngày nào cũng ra hàng trăm dòng, người kiểm mệt rồi bỏ. Cách sửa là nới ngưỡng, xử lý dứt điểm từng loại ngoại lệ, chứ không phải bỏ công cụ.
Kiểm soát nội bộ tốt không làm doanh nghiệp chậm lại. Khi đã thành thói quen, nó làm mọi người yên tâm ký nhanh hơn vì biết sau lưng có lớp kiểm tra. Đó cũng là lúc báo cáo tài chính đáng tin để đem đi vay vốn, gọi đối tác hay chuẩn bị kiểm toán.
Câu hỏi thường gặp
Công ty dưới mười người có cần kiểm soát nội bộ không?
Có, nhưng ở mức gọn. Ba việc tối thiểu là tách người giữ tiền với người ghi sổ khi có thể, đối soát ngân hàng mỗi tuần và chủ doanh nghiệp tự xem sao kê. Khi người ít không tách được việc, chủ doanh nghiệp đóng vai người kiểm lại.
Kiểm soát nội bộ khác kiểm toán nội bộ thế nào?
Kiểm soát nội bộ là các quy tắc và việc kiểm tra nằm trong vận hành hằng ngày, do chính các bộ phận thực hiện. Kiểm toán nội bộ là một bộ phận độc lập đánh giá xem các kiểm soát đó có hiệu quả không. Công ty nhỏ thường chỉ có cái thứ nhất, phần đánh giá do chủ doanh nghiệp hoặc dịch vụ bên ngoài làm.
Khung COSO có bắt buộc ở Việt Nam không?
COSO là khung tham khảo quốc tế, không phải văn bản pháp luật Việt Nam. Một số loại hình doanh nghiệp có quy định riêng về hệ thống kiểm soát nội bộ, nên bạn cần kiểm quy định hiện hành áp dụng cho ngành và loại hình của mình, hoặc hỏi kế toán, kiểm toán viên.
Dùng AI kiểm soát có làm nhân viên cảm thấy bị theo dõi không?
Có thể, nếu triển khai lén lút. Nên thông báo rõ AI được dùng để đối chiếu chứng từ và giao dịch của công ty, không đọc tin nhắn cá nhân, và mọi đánh dấu đều được người xác minh trước khi hỏi ai. Minh bạch từ đầu tránh được phần lớn hiểu lầm.
Nên bắt đầu bằng bảng tính hay mua phần mềm chuyên dụng?
Với công ty nhỏ, bảng tính cộng chatbot đủ cho vài tháng đầu để hiểu rõ quy trình và ngoại lệ của mình. Khi khối lượng tăng hoặc cần phân quyền chặt, tính năng đối chiếu và duyệt chi trong phần mềm kế toán sẽ an toàn hơn vì dữ liệu không phải dán ra ngoài.
Ai nên chịu trách nhiệm hệ thống kiểm soát nội bộ?
Trách nhiệm cuối cùng thuộc người đứng đầu doanh nghiệp. Việc vận hành hằng ngày giao cho kế toán trưởng hoặc người phụ trách tài chính, nhưng người làm đối soát và người duyệt chi nên khác nhau để còn tác dụng kiểm tra chéo.