COSO là gì? Ứng dụng COSO trong quản lý rủi ro doanh nghiệp?

COSO là một mô hình đã có từ lâu đời và được cải tiến quá từng thời kì để phù hợp với tình hình kinh doanh biến đổi liên tục và nhiều rủi ro. 2 phiên bản nổi tiếng nhất là COSO kiểm soát nội bộ (COSO IC) và COSO quản trị rủi ro doanh nghiệp (COSO -ERM). Phiên bản COSO ERM (mới nhất -2017) tập trung vào các mục tiêu chiến lược và quản lý hiệu suất trong khi COSO IC (2013) sẽ thiên về chức năng quản lý và kiểm soát nội bộ nói chung. Để quý doanh nghiệp có được góc nhìn toàn diện về rủi ro gắn liền với nhưng xu hướng kinh doanh hiện đại, khung COSO được đề cập trong bài phân tích dưới đây sẽ được hiểu là khung COSO ERM.

COSO không chỉ được áp dụng để quản trị rủi ro tài chính mà còn được áp dụng để phản ứng với rủi ro “phi vật chất” tỷ dụ như quản trị nhân sự, rủi ro quy trình, rủi ro tuân thủ. COSO ERM cũng không dừng lại ở các rủi ro đã tồn tại trong doanh nghiệp mà còn xử lý được rủi ro mới nổi, mà doanh nghiệp chưa từng biết đến trước đây (rủi ro dữ liệu thay thế, rủi ro điện toán đám mây, rủi ro IFRS,…).

Tóm lại, COSO ERM chỉ là một khung chuẩn để quản lý các rủi ro trong doanh nghiệp, còn tùy vào mục đích sử dụng, đặc thù doanh nghiệp, rủi ro theo ngành, rủi ro theo phòng ban, việc áp dụng có thể hoàn toàn linh hoạt miễn là đảm bảo hợp lý (Reasonable assurance). Để hiểu hết về COSO và những ứng dụng của COSO hiện đại trong doanh nghiệp, quý doanh nghiệp hãy cùng theo dõi hết bài phân tích dưới đây của Taca.

Khung quản trị rủi ro COSO dành cho doanh nghiệp trong lĩnh vực nào?

Do có nguồn gốc từ tuân thủ, kiểm toán và báo cáo tài chính, COSO là tiêu chuẩn dành cho các công ty tài chính như hợp tác tín dụng, ngân hàng và các tổ chức tương tự. Chỉ cần xem danh sách những người đóng góp chính tạo nên COSO là thấy tiêu chuẩn này vẫn thiên nhiều về kiểm toán, kế toán và các công ty tư vấn lớn. Tuy nhiên các tổ chức trong lĩnh vực như sản xuất, bản lẻ hoàn toàn có thể áp dụng hiệu quả khung COSO này với sự trợ lực từ những chuyên gia để kiểm soát những rủi ro đặc trưng theo ngành

Đối với lĩnh vực sản xuất, các doanh nghiệp thường xuyên phải đương đầu với những biến động về nguồn nguyên liệu đầu vào, bao gồm sự không ổn định về giá cả, chất lượng không đảm bảo, và đặc biệt là sự gián đoạn trong chuỗi cung ứng. Bên cạnh đó, vấn đề về máy móc thiết bị cũng là một thách thức lớn khi các doanh nghiệp phải liên tục đối mặt với nguy cơ hỏng hóc đột xuất, hoặc tình trạng lạc hậu công nghệ so với đối thủ cạnh tranh.

Áp dụng COSO sẽ giúp doanh nghiệp xây dựng chiến lược đa dạng hóa nguồn cung cấp, thiết lập hệ thống đánh giá,  lên kế hoạch dự phòng và xây dựng kho dự trữ cho những nguyên vật liệu quan trọng. Về vấn đề máy móc thiết bị, doanh nghiệp cần áp dụng hệ thống bảo trì dự phòng (Preventive Maintenance) và có kế hoạch đầu tư, nâng cấp công nghệ định kỳ dựa trên đánh giá rủi ro và xu hướng công nghệ ngành tuân theo quy trình 5 bước của COSO.

Đối với lĩnh vực thương mại, như các chuỗi siêu thị, bán lẻ lớn phải đối mặt với những thách thức về quản lý hàng tồn kho, đặc biệt là việc cân đối giữa việc đảm bảo đủ hàng để kinh doanh và tránh tình trạng ứ đọng vốn. Rủi ro về công nợ cũng là vấn đề nan giải, khi các khoản phải thu có thể bị chậm thanh toán hoặc không thu hồi được. Trong môi trường cạnh tranh gay gắt, các doanh nghiệp còn phải đối mặt với áp lực giảm giá và cạnh tranh không lành mạnh từ đối thủ.

Theo COSO các doanh nghiệp này cần xây dựng chiến lược đa dạng hóa nguồn cung cấp, thiết lập hệ thống đánh giá và lựa chọn nhà cung cấp chặt chẽ. Đồng thời, cần có kế hoạch dự phòng và xây dựng kho dự trữ chiến lược cho những nguyên vật liệu quan trọng. Về vấn đề máy móc thiết bị, doanh nghiệp cần áp dụng hệ thống bảo trì dự phòng (Preventive Maintenance) và có kế hoạch đầu tư, nâng cấp công nghệ định kỳ dựa trên đánh giá rủi ro và xu hướng công nghệ ngành.

Trong lĩnh vực tài chính – ngân hàng, các tổ chức phải đối mặt với một loạt các rủi ro phức tạp và đan xen. Rủi ro tín dụng, rủi ro thanh khoản, các biến động về lãi suất và tỷ giá là những trong những mối quan ngại hàng đầu, có thể tác động mạnh mẽ đến hiệu quả hoạt động của các tổ chức tài chính. Khi này, tổ chức cần xây dựng hệ thống chấm điểm tín dụng hiệu quả, thiết lập các hạn mức cho vay phù hợp và theo dõi chặt chẽ chất lượng danh mục tín dụng, xây dựng kế hoạch dự phòng thanh khoản, thiết lập các chỉ số cảnh báo sớm, xây dựng các kịch bản ứng phó với biến động thị trường.

Khi nào doanh nghiệp có thể sử dụng khung COSO?

Khung COSO không chỉ là một lý thuyết được phát triển ngẫu nhiên. Trên thực tế, trong quá trình quản trị rủi ro ở tại doanh nghiệp, quy trình kiểm soát nội bộ, kiểm toán nội bộ, việc áp dụng COSO là rất thường xuyên. Nhưng từ dưới góc độ chiến lược tổ chức, COSO sẽ hữu ích nhất khi doanh nghiệp:

Mở rộng hoạt động: Hãy tưởng tượng công ty của bạn đang mở rộng hoạt động sang một quốc gia mới. Bạn đã nghiên cứu và tự tin vào dự án mới, nhưng bạn muốn chắc chắn rằng mọi rủi ro có thể xảy ra đã được cân nhắc và giảm thiểu tối đa.

Khung COSO có thể giúp bạn thực hiện điều này bằng cách cung cấp một phương pháp có hệ thống để xác định và đánh giá rủi ro, đồng thời xây dựng kế hoạch để giải quyết chúng.

Tăng cường cạnh tranh: Hoặc, giả sử công ty của bạn đang phải đối mặt với sự cạnh tranh ngày càng tăng từ một công ty đối thủ. Bạn cần tìm cách cải thiện khả năng cạnh tranh của chính mình và một cách để làm điều này là hiểu rõ hơn nhu cầu và sở thích của khách hàng. Khung COSO có thể giúp bạn thực hiện điều này bằng cách cung cấp phương pháp tiếp cận có cấu trúc cho việc phân tích khách hàng và nghiên cứu thị trường.

Thay đổi chiến lược: Một ví dụ khác là nếu công ty của bạn đang cân nhắc một thay đổi lớn, chẳng hạn như ra mắt sản phẩm mới hoặc thay đổi chiến lược.Khung COSO có thể giúp bạn lập kế hoạch và quản lý sự thay đổi này bằng cách cung cấp giải pháp xác định các rủi ro và cơ hội tiềm ẩn liên quan đến sự thay đổi, đồng thời xây dựng kế hoạch để giải quyết chúng.

Chi tiết về khung quản trị rủi ro doanh nghiệp COSO ERM (Enterprise Risk Management) – cập nhật xu thế kinh doanh hiện đại

COSO ra đời năm 1992 có hình dạng giống kim tự tháp tập trung vào việc đánh giá các biện pháp kiểm soát hiện có, sau đó được cập nhật thành khối COSO (2013), tập trung vào việc thiết kế và triển khai khuôn khổ rủi ro. Và cuối cùng phiên bản mới nhất của COSO (2017) là “chuỗi DNA”.

Khung quản trị rủi ro theo COSO (COSO ERM) 2017

Khung này được cập nhật vào năm 2017 để giải quyết tính phức tạp ngày càng tăng của ERM và nhu cầu tương ứng của các tổ chức trong việc cải thiện cách họ quản lý rủi ro để đáp ứng nhu cầu kinh doanh thay đổi. Có tiêu đề “Quản lý rủi ro doanh nghiệp — Tích hợp với chiến lược và hiệu suất”, nhấn mạnh tầm quan trọng của việc xem xét rủi ro trong việc thiết lập chiến lược kinh doanh và quản lý hiệu suất hoạt động.

Nhìn dưới góc độ quản trị, một doanh nghiệp muốn hoạt động quản lý rủi ro hiệu quả cần hai nhóm hoạt động song song gắn liền chặt chẽ với nhau: (1) quản trị & văn hóa; thông tin truyền thông báo cáo và (2) chiến lược & thiết lập mục tiêu; hiệu suất; và đánh giá điều chỉnh.

Nguyên tắc Quản trị rủi ro theo COSO

Quản trị và văn hóa : Tất cả đều liên quan đến việc thiết lập tông điệu từ cấp cao. Điều này bao gồm việc tạo ra một văn hóa nơi mọi người hiểu được tầm quan trọng của các biện pháp kiểm soát nội bộ và tuân thủ. Hãy coi đây như việc tạo ra một môi trường mà mọi người đều biết điều gì được mong đợi và tuân theo các quy tắc.

Ví dụ: Ban giám đốc thiết lập tông điệu bằng cách thiết lập một bộ quy tắc ứng xử và đạo đức cho tổ chức. Bộ quy tắc này phác thảo những kỳ vọng về hành vi, tính chính trực và trách nhiệm cho tất cả nhân viên và tình nguyện viên.

Thiết lập chiến lược và mục tiêu : Các tổ chức phải đánh giá các sự kiện và kịch bản tiềm năng có thể ảnh hưởng đến khả năng thực hiện chiến lược của tổ chức và đạt được các mục tiêu của mình. Điều này cũng bao gồm việc căn chỉnh mức độ chấp nhận rủi ro với chiến lược và xem xét các tác động tiềm tàng của các lựa chọn chiến lược khác nhau.Chẳng hạn, Công ty Samsung khi quyết định đầu tư vào thị trường điện thoại thông minh gập đã phải đánh giá: Rủi ro về công nghệ mới chưa hoàn thiện; Khả năng chấp nhận của người dùng với mức giá cao; Cạnh tranh từ các đối thủ như Huawei, Motorola…

Hiệu suất: Các tổ chức nên hiểu cách hiệu suất có thể sai lệch so với mong đợi do rủi ro và thiết lập các chỉ số rủi ro chính để theo dõi điều này, đánh giá cách họ nắm bắt và tối ưu hóa giá trị. Chẳng hạn Công ty logistics Grab Food phải thường xuyên theo dõi: Tỷ lệ đơn hàng giao đúng hẹn (KPI giao hàng) để kiểm soát hiệu quả dịch vụ; Số lượng khiếu nại của khách hàng để cải thiện chất lượng dịch vụ;

Đánh giá và điều chỉnh: Các tổ chức phải liên tục xem xét và sửa đổi các thực hành quản lý rủi ro của mình để tính đến những bài học đã học và môi trường kinh doanh đang thay đổi. Đánh giá định kỳ hiệu quả của quy trình quản lý rủi ro và thực hiện các điều chỉnh cần thiết đảm bảo nó vẫn phù hợp với các mục tiêu tổ chức và mong đợi của các bên liên quan. Công ty bảo hiểm Prudential thường xuyên rà soát: Các sản phẩm bảo hiểm hiện có; Quy trình giải quyết khiếu nại; Điều chỉnh chính sách theo phản hồi của khách hàng để phù hợp với thị hiếu số đông, giúp ích cho việc bán sản phẩm trong tương lai

Thông tin, truyền thông và báo cáo: Các tổ chức nên có các quy trình để thu thập, xử lý và truyền đạt thông tin rủi ro đến các bên liên quan phù hợp, đảm bảo ra quyết định dựa trên thông tin và thúc đẩy sự minh bạch cũng như niềm tin với các bên liên quan bên ngoài, như nhà đầu tư, cơ quan quản lý và công chúng..

Chẳng hạn: Để thể hiện uy tín doanh nghiệp và đảm bảo quyền lợi của cổ đông, Tập đoàn Vingroup: luôn tuân thủ Công bố báo cáo tài chính định kỳ; Tổ chức họp cổ đông thường niên; Cập nhật thông tin về dự án mới trên website… Ví dụ về Ngân hàng Techcombank để tuân thủ và đảm bảo thông tin truyền thông: Báo cáo tuân thủ cho Ngân hàng Nhà nước; Thông báo về các thay đổi chính sách cho khách hàng; Cập nhật thông tin an toàn bảo mật cho nhân viên

Quy trình thực hiện Quản trị rủi ro theo COSO

Ưu điểm và hạn chế khi áp dụng COSO

Ưu điểm khi áp dụng COSO

Quản lý rủi ro toàn diện: Thực hiện quản trị rủi ro đầy đủ từ nhận dạng rủi ro, đánh giá rủi ro, quản lý rủi ro và giám sát rủi ro, giúp tổ chức lập kế hoạch; xác định tác động của rủi ro cá riêng lẻ với rủi ro chiến lược để tập trung giải quyết rủi ro trên toàn đơn vị

Nâng cao kiểm soát nội bộ: Khung COSO có thể giúp xây dựng các quy trình và hướng dẫn kiểm soát nội bộ hợp lý để ngăn ngừa các hoạt động gian lận. Các biện pháp kiểm soát như vậy hỗ trợ bảo vệ các nguồn lực hữu hình và vô hình, giúp cung cấp thông tin đáng tin cậy trong các báo cáo tài chính của tổ chức và tăng cường tuân thủ luật pháp và quy định.

Giảm tính biến động của hiệu suất: COSO giúp các nhà quản lý tập trung vào những hiệu suất nhất quán theo thời gian thay vì chỉ tập trung vào những rủi ro một cách không thường xuyên

Cải thiện hoạt động: COSO cung cấp cho người quản lý khả năng đánh giá nguồn lực tổng thể và tối ưu hóa phân bổ nguồn lực;  liên kết giữa các phòng ban nhằm giảm các trường hợp ra quyết định sai lầm và tăng triển vọng kinh doanh

Tăng cường uy tín: Tăng hiệu quả quản lí rủi ro giúp tăng tính tin cậy và lợi nhuận cho doanh nghiệp, góp phần thu hút nhà đầu tư, khách hàng, cơ quan quản lý và các bên liên quan khác

Tính ứng dụng cao : COSO hướng đến tính linh hoạt về mặt ứng dụng trong các ngành công nghiệp và quy mô tổ chức khác nhau. Vì các nguyên tắc của COSO khá rộng nên có thể được áp dụng linh hoạt cho phù hợp với từng doanh nghiệp

Tích hợp được với các khuôn khổ khác: Doanh nghiệp đang sử dụng COSO cũng có thể bổ sung các khuôn khổ khác như ISO 31000 về quản lý rủi ro hoặc COBIT về quản trị CNTT để củng cố việc quản lý rủi ro và kiểm soát doanh nghiệp

Những thách thức khi sử dụng khung COSO

Một trong những thách thức chính là có thể khó triển khai khuôn khổ này trong các tổ chức chưa từng sử dụng khuôn khổ này trước đây. Điều này là do khuôn khổ này đòi hỏi mức độ cam kết nhất định từ ban quản lý cấp cao để có thể thành công.

Độ phức tạp khi triển khai: COSO sẽ gây khó khăn trong việc triển khai ngay cả với những doanh nghiệp lớn, bởi quy trình phức tạp và nhiều tiêu chuẩn, đòi hỏi doanh nghiệp cần tìm kiếm các tài nguyên bổ sung như hướng dẫn triển khai, khung cụ thể cho ngành hoặc sự hướng dẫn chuyên môn từ các chuyên gia hoặc tư vấn viên. 

Chi phí cao: Để triển khai COSO, cần tốn chi phí cho các nhà tư vấn, đào tạo và phát triển nhân viên, nâng cấp hệ thống, giám sát và thử nghiệm liên tục; chi phí kiểm tra và bảo trì 

Tập trung vào việc tuân thủ hơn là hiệu suất: COSO có nhiều điểm mạnh và khá toàn diện,  nhưng nó lại đòi hỏi quy trình vận hành quá chi tiết và chặt chẽ, tuân thủ quy định một cách cứng nhắc, có thể làm giảm tính linh hoạt của tổ chức và làm chậm quá trình ra quyết định.

Nhấn mạnh vào kiểm soát tài chính: COSO được cho là quá chú trọng vào kiểm soát tài chính, có thể xem nhẹ một số rủi ro khác. Để khắc phục điểm yếu này, các tổ chức cần mở rộng phạm vi đánh giá rủi ro bao gồm vận hành, chiến lược và cải thiện danh tiếng. Bằng cách đa dạng hóa trọng tâm của các hoạt động kiểm soát, các tổ chức có thể đảm bảo một phương pháp quản lý rủi ro toàn diện và tổng thể hơn.

Ứng dụng của khung COSO trong doanh nghiệp

Ứng dụng Khung quản trị rủi ro COSO trong quản lí nhân sự

Chúng ta thường được nghe về việc áp dụng Quản trị rủi ro theo COSO trong quản trị các rủi ro lớn liên quan đến lợi nhuận, dữ liệu, an toàn của doanh nghiệp. Những ví dụ dưới đây sẽ chứng minh sự thật rằng COSO cũng có thể áp dụng để giải quyết những rủi ro “phi vật chất”, “phi lợi nhuận”, “tưởng chừng như không quan trọng” là mối quan hệ và công bằng giữa các nhân viên

Samantha là Trưởng phòng Nhân sự tại một doanh nghiệp bán lẻ lớn. Cô được giao nhiệm vụ đảm bảo rằng các chính sách và quy trình của công ty được thực hiện và nhân viên được đối xử công bằng và tôn trọng.

Để hoàn thành nhiệm vụ này, Samantha quyết định sử dụng khung COSO. Cô bắt đầu bằng cách xác định các mục tiêu của nhóm quan hệ nhân viên, bao gồm duy trì một môi trường làm việc tích cực, đảm bảo tuân thủ các chính sách của công ty và ngăn chặn cũng như giải quyết xung đột.

Tiếp theo, Samantha đánh giá các rủi ro liên quan đến việc đạt được từng mục tiêu thông qua một cuộc kiểm toán nội bộ. Trong quá trình kiểm toán, cô xác định một số rủi ro, bao gồm việc giao tiếp không đầy đủ giữa các nhân viên, việc thực thi chính sách không đồng nhất và thiếu nguồn lực để giải quyết xung đột.

Để giảm thiểu những rủi ro này, cô triển khai một số biện pháp kiểm soát. Ví dụ, cô xây dựng một kế hoạch truyền thông đảm bảo tất cả nhân viên nhận được thông tin rõ ràng và nhất quán về kỳ vọng của công ty. Cô cũng thiết lập một quy trình số ẩn danh để thu thập, ghi chép và giải quyết các khiếu nại của nhân viên, đồng thời chú trọng vào việc đảm bảo tất cả các quản lý được đào tạo về giải quyết xung đột.

Cuối cùng, Samantha theo dõi hiệu quả của các biện pháp kiểm soát này và thực hiện điều chỉnh khi cần thiết. Cô thường xuyên khảo sát nhân viên để đánh giá mức độ hài lòng với môi trường làm việc và phân tích dữ liệu vi phạm chính sách cùng kết quả tranh chấp để xác định các lĩnh vực cần cải thiện.

>>> Xem thêm: Phân tích dữ liệu nhân sự: ứng dụng trong doanh nghiệp để quản trị nhân sự thông minh bằng dữ liệu

Ứng dụng COSO trong quản lý rủi ro quy trình

Tại PT ABC, quy trình lập hóa đơn bao gồm hai bước: (a) quy trình chuẩn bị và nộp tài liệu lập hóa đơn & ghi nhận doanh thu và (b) quy trình giám sát và xử lý các hóa đơn còn tồn đọng. Quy trình giám sát tập trung vào việc áp dụng phạt đối với các khoản thanh toán trễ hạn.

Các kiểm soát nội bộ được áp dụng trong việc lập hóa đơn và thu tiền từ dịch vụ tư vấn của PT ABC có thể giúp tránh các lỗi lập hóa đơn, chẳng hạn như số tiền bị lập sai đối với khách hàng và gian lận trong hồ sơ. PT ABC đã thực hiện quy trình xác minh tài liệu để phát hành hóa đơn cùng với các tài liệu hỗ trợ trước khi phát hành hóa đơn và hóa đơn thuế, đồng thời đã phân chia nhiệm vụ giữa bộ phận tài chính để xử lý thu tiền và chức năng kế toán để ghi nhận quy trình lập hóa đơn và thu tiền.

Tuy nhiên, có hai điểm yếu trong kiểm soát nội bộ đối với quy trình lập hóa đơn và thu tiền của dịch vụ tư vấn PT ABC, đặc biệt trong thành phần hoạt động kiểm soát cho hồ sơ kế toán: (a) thiếu tài liệu sử dụng trước khi ghi chép các bút toán cho các giao dịch tài chính và (b) không có báo cáo công nợ hàng tháng gửi đến khách hàng.

Do đó, nên có báo cáo công nợ hàng tháng được gửi đến khách hàng để nhắc nhở họ về các hóa đơn chưa thanh toán hoặc quá hạn và tránh việc chậm trễ trong thanh toán từ phía khách hàng do không có thông báo về các hóa đơn chưa thanh toán hoặc quá hạn.

Xem thêm: 

• Quy trình là gì? Những điều cần biết để quản lý kinh doanh hiệu quả
• Kiểm soát nội bộ chu trình bán hàng thu tiền: rủi ro và giải pháp 
• Kiểm soát nội bộ chu trình mua hàng và thanh toán

Áp dụng khung COSO cho doanh nghiệp SME: sự nỗ lực toàn diện và sự giúp đỡ từ chuyên gia đầu ngành

Những doanh nghiệp vừa và nhỏ hiện nay chưa thể nào thiết lập ngay một hệ thống quản lý chỉnh chu và hoàn thiện, chưa thể nào bắt buộc nhân viên của họ phải tuân thủ theo một bộ nguyên tắc cụ thể nào vì về cơ bản,bộ máy lãnh đạo của doanh nghiệp cũng chưa thể nào xây dựng được một hệ thống nguyên tắc, quy trình hoàn thiện và hiệu quả. Đi kèm với một hệ thông chưa hoàn chỉnh là hàng loạt các vấn đề đi kèm theo có rủi ro rất lớn về đạo đức kinh doanh, hiệu quả công việc của nhân viên, gian lận trong quá trình làm việc….

Những rủi ro của doanh nghiệp thì rất nhiều: rủi ro từ bên ngoài (cạnh tranh, thị trường, luật pháp, đối tác …), rủi ro từ bên trong (nhân sự, công nghệ, tài chính, gian lận, …). Nhưng có thể bắt đầu từ những rủi ro đơn giản mà có thể nhìn thấy dễ dàng từ sơ đồ cấu trúc công ty, ví dụ:

• 1 nhân viên văn phòng vừa bán hàng vừa quản lý kho?
• 1 nhân viên sale admin kiêm luôn vị trí thủ quỹ?
• 1 nhân viên quản lý nhân sự vừa tuyển dụng vừa tính lương?

Mỗi rủi ro đều có những mức độ ảnh hưởng khác nhau, mức độ bạn muốn kiểm soát trong thời gian hiện tại là thế nào tùy vào mức độ rủi ro mà doanh nghiệp tự đánh giá là cao hay thấp. Tuy vậy, không riêng chỉ các doanh nghiệp vừa và nhỏ, mà các doanh nghiệp lớn hơn cũng phải luôn trong tình trạng dự đoán và đối phó với nhiều loại rủi ro khác nhau.

Mỗi doanh nghiệp có thể đưa ra rất nhiều quy trình, và trong quy trình sẽ cần nhiều điểm kiểm soát cơ bản (key controls). Các doanh nghiệp vừa và nhỏ thường chỉ cần chú trọng vào các điểm kiểm soát cơ bản để có thể xử lý các rủi ro hiện tại, tránh được các tổn thất hiện tại. Các hoạt động kiểm soát cũng sẽ phải tùy thuộc vào nhân lực mà doanh nghiệp có, cũng như khả năng của các nhân lực mà SME có cách làm hiệu quả nhất.

Hầu hết các báo cáo mà các doanh nghiệp vừa và nhỏ cần đều rất là đơn giản và cách suy nghĩ cũng nên đơn giản. Các doanh nghiệp đang bị khuôn mẫu và cứng nhắc theo các mẫu báo cáo có sẵn, thông tin sẽ bị rời rạc khó liên kết, nhất là khi hệ thống phần mềm của doanh nghiệp rất đơn giản thậm chí không có. Hãy bắt đầu từ những báo cáo cần thiết, dễ hiểu và dễ làm, những chỉ số đơn giản, dễ nhận thấy và phân tích từ các bộ phận.

Doanh nghiệp vừa và nhỏ thì việc giám sát thẩm định cũng phải cực kỳ đơn giản, đừng nghĩ nhiều tới thuê ngoài kiểm toán, hay làm phòng kiểm soát nội bộ, tuyển nhân sự kiểm soát nội bộ… Trước hết là việc giám sát nội bộ, giám sát lẫn nhau của các bộ phận nên được áp dụng triệt để, và vai trò kiểm tra kiểm soát của giám đốc/ chủ doanh nghiệp cũng rất là quan trọng.Nhìn chung các doanh nghiệp SME sẽ khó mà áp dụng khung COSO vì những thách thức đáng kể như trên. Nhưng không phải là không có cách.

Theo một nghiên cứu của PwC năm 2020, 76% doanh nghiệp nhỏ và vừa áp dụng COSO với sự hỗ trợ của chuyên gia đã báo cáo cải thiện đáng kể trong quản lý rủi ro, so với chỉ 45% ở những doanh nghiệp tự triển khai. Hơn nữa, một khảo sát của Deloitte năm 2021 cho thấy 82% doanh nghiệp nhỏ làm việc với chuyên gia COSO đã tiết kiệm được trung bình 30% thời gian và 25% chi phí triển khai so với dự kiến ban đầu. Những con số này minh chứng cho giá trị của việc tận dụng chuyên môn bên ngoài trong quá trình áp dụng COSO, đặc biệt đối với các doanh nghiệp có nguồn lực hạn chế.

Áp dụng khung COSO cho doanh nghiệp lớn

Doanh nghiệp thường rất phức tạp. Hãy tưởng tượng một tình huống như thế này: doanh nghiệp cần phải đảm bảo rằng báo cáo tài chính của mình là chính xác và không có gian lận. Để làm được điều này, công ty sẽ phải theo dõi mọi giao dịch do công ty thực hiện và so sánh với những gì được báo cáo trong BCTC. Nghe thì đơn giản nhưng quá trình này cực kỳ tốn kém và mất thời gian, đó là lý do doanh nghiệp thuê ngoài chức năng này (kiểm toán báo cáo tài chính và kiểm toán nội bộ).

Và việc thuê ngoài sẽ luôn có rủi ro ví dụ như tham nhũng hoặc quản lý yếu kém, và đây cũng là lý do cho sự ra đời của COSO – một khuôn khổ giúp các tổ chức có thể quản lý và kiểm soát doanh nghiệp của mình nói chung. COSO sẽ hữu ích và đảm bảo tất cả các quy trình kinh doanh đang phù hợp với mục tiêu của tổ chức; và cung cấp những hướng dẫn về cách xác định và xử lý rủi ro của doanh nghiệp.

Với những doanh nghiệp lớn muốn tích hợp các thành tố của COSO vào quy trình quản trị rủi ro sẽ không gặp nhiều khó khăn giống như các doanh nghiệp SME. Có chăng thì việc khó khăn nhất nằm ở câu chuyện là có thực hiện hay không hoặc nếu có thì thực hiện có liên tục hay không mà thôi.

>>> Khuyến nghị: khung quản trị rủi ro COSO phù hợp hơn với các doanh nghiệp lớn. Song, trong trường hợp các doanh nghiệp SME vẫn muốn triển khai COSO để đạt được lợi ích trong lâu dài thì cần tham khảo ý kiến từ các chuyên gia tư vấn có kinh nghiệm trong lĩnh vực này. Các cố vấn sẽ đưa ra phương hướng triển khai khung quản trị rủi ro chi tiết phù hợp với mức độ trưởng thành trong quản lý rủi ro ở cấp độ doanh nghiệp và cấp độ phòng ban. A

Tham khảo dịch vụ kiểm soát nội bộ – quản trị rủi ro của Taca tại đây: 

Dịch vụ kiểm soát nội bộ thường xuyên & định kỳ

Tham khảo các dịch vụ liên quan khác: 

• Dịch xây dựng hệ thống kiểm soát nội bộ
• Dịch vụ tư vấn tái cấu trúc doanh nghiệp

• Dịch vụ Tư vấn tài chính doanh nghiệp

Câu hỏi thường gặp

Q1: Khung quản trị rủi ro theo COSO giải quyết các rủi ro mới như thế nào?

Khung COSO khuyến khích các công ty liên tục giám sát và đánh giá hệ thống kiểm soát nội bộ của họ để nhận diện và xử lý các rủi ro mới nổi. Bằng cách thường xuyên đánh giá các hoạt động kiểm soát và điều chỉnh chúng theo những thay đổi trong môi trường kinh doanh, các tổ chức có thể quản lý hiệu quả các rủi ro đang phát triển.

Q2: Có phải Khung quản trị rủi ro theo COSO chỉ giải quyết các rủi ro tài chính hay không?

Mặc dù Khung quản trị rủi ro COSO thường liên quan đến kiểm soát các rủi ro tài chính, nhưng nó cũng bao gồm các khía cạnh rộng hơn của kiểm soát nội bộ, bao gồm cả các kiểm soát hoạt động và tuân thủ. Nó cung cấp một phương pháp toàn diện để quản lý rủi ro và đạt được các mục tiêu công ty trong nhiều lĩnh vực khác nhau của doanh nghiệp.

Q3: Việc triển khai COSO mất bao lâu?

Thời gian triển khai phụ thuộc vào quy mô và phức tạp của tổ chức. Đối với doanh nghiệp nhỏ, có thể mất từ 6-12 tháng. Với doanh nghiệp lớn, quá trình có thể kéo dài 1-3 năm để triển khai đầy đủ.

Q4: Chi phí triển khai COSO là bao nhiêu?

Chi phí thay đổi tùy theo quy mô doanh nghiệp và mức độ triển khai. Nó bao gồm chi phí đào tạo, tư vấn, phần mềm, và thời gian của nhân viên. Doanh nghiệp nhỏ có thể chi từ vài nghìn đến vài chục nghìn đô la, trong khi doanh nghiệp lớn có thể đầu tư hàng trăm nghìn đô la.

Q5. Khung quản trị rủi ro theo COSO phù hợp với doanh nghiệp nào?

Bảng thống kê dưới đây sẽ đem lại những thông tin hữu ích và giúp các doanh nghiệp có sự chuẩn bị cần thiết để thiết lập Khung quản trị rủi ro COSO.

Loại doanh nghiệp	Nên sử dụng COSO	Không nên sử dụng COSO	Lý do
Công ty đại chúng và doanh nghiệp quy mô lớn	✓		– Cấu trúc phức tạp – Nhiều bên liên quan – Yêu cầu tuân thủ và minh bạch cao
Tổ chức tài chính (ngân hàng, bảo hiểm, quỹ đầu tư)	✓		– Ngành có rủi ro cao – Quy định nghiêm ngặt – Giao dịch phức tạp
Doanh nghiệp trong ngành rủi ro cao (năng lượng, y tế, công nghệ cao)	✓		– Rủi ro đặc thù ngành cao – Cần quản lý rủi ro an toàn, môi trường, bảo mật
Các doanh nghiệp về năng lượng và khai thác tài nguyên	✓		– Phải cân nhắc rủi ro địa chính trị, tuân thủ quy định an toàn về biến đổi khí hậu và bảo vệ môi trường sở tại…
Các doanh nghiệp sản xuất chế tạo	✓		– Quản lý rủi ro chuỗi cung ứng- Đảm bảo chất lượng sản phẩm và an toàn sản phẩm. – Quản lý rủi ro vận hành, quy trình sản xuất
Các công ty đa quốc gia (MNCs)	✓		– Cần tiến hành đánh giá rủi ro toàn diện, xem xét cả rủi ro cục bộ và toàn cầu – Đánh giá các yếu tố chính trị, kinh tế và quy định riêng của từng thị trường.
Các công ty FDI, các doanh nghiệp nước ngoài mới gia nhập thị trường Việt Nam	✓		Cần đánh giá các rủi ro liên quan đến việc thâm nhập thị trường mới (tuân thủ luật pháp địa phương; khác biệt về văn hóa; tuyển nhân sự bản địa phù hợp với công ty…)
Doanh nghiệp nhỏ và vừa (SMEs)		✓	– Nguồn lực hạn chế – Cấu trúc đơn giản – Chi phí triển khai cao so với lợi ích
Startup và doanh nghiệp đổi mới sáng tạo		✓	– Cần sự linh hoạt cao – Môi trường kinh doanh thay đổi nhanh – COSO có thể quá cứng nhắc
Doanh nghiệp trong môi trường ít rủi ro, ít quy định		✓	– Không cần thiết áp dụng đầy đủ – Có thể sử dụng phương pháp đơn giản hơn

Taca Business Consulting,