Audit Risk là gì? Ba thành phần của rủi ro kiểm toán

HCM PHỐI NHƯ ACC
16 thg 9, 2026
Trong kiểm toán báo cáo tài chính, Audit Risk (rủi ro kiểm toán) là một yếu tố quan trọng mà kiểm toán viên cần đánh giá. Rủi ro này liên quan đến khả năng đưa ra ý kiến kiểm toán không phù hợp khi báo cáo tài chính có sai sót trọng yếu.

Để đánh giá Audit Risk, kiểm toán viên tập trung vào ba thành phần chính: Inherent Risk, Control Risk và Detection Risk. Hiểu rõ ba loại rủi ro này giúp kiểm toán viên xây dựng thủ tục kiểm toán phù hợp. Vậy từng loại rủi ro được xác định và xử lý như thế nào?

1. Audit Risk là gì và tại sao quan trọng trong kiểm toán?

Trong một cuộc kiểm toán báo cáo tài chính, mục tiêu của kiểm toán viên không phải là chứng minh rằng mọi giao dịch của doanh nghiệp đều chính xác tuyệt đối. Thay vào đó, kiểm toán viên cần thu thập đầy đủ bằng chứng kiểm toán thích hợp để đưa ra kết luận và ý kiến kiểm toán với mức đảm bảo hợp lý.
Điều này dẫn đến một khái niệm quan trọng xuyên suốt quá trình kiểm toán: Audit Risk – rủi ro kiểm toán.
Hiểu một cách đơn giản, Audit Risk là rủi ro kiểm toán viên đưa ra ý kiến kiểm toán không phù hợp trong trường hợp báo cáo tài chính có sai sót trọng yếu.
Ví dụ, một doanh nghiệp có khoản phải thu khách hàng trị giá 50 tỷ đồng nhưng trong đó có 10 tỷ đồng thực tế không còn khả năng thu hồi. Nếu khoản dự phòng phải thu khó đòi không được ghi nhận và sai sót này là trọng yếu, báo cáo tài chính có thể bị trình bày sai lệch.

Nếu kiểm toán viên không phát hiện sai sót trọng yếu này và vẫn đưa ra ý kiến rằng báo cáo tài chính được trình bày phù hợp, rủi ro kiểm toán đã xảy ra.
Do đó, kiểm toán dựa trên risk-based approach – phương pháp tiếp cận dựa trên rủi ro. Kiểm toán viên trước tiên cần xác định những khu vực có khả năng xảy ra sai sót trọng yếu, sau đó thiết kế các thủ tục kiểm toán phù hợp để ứng phó với những rủi ro đó.
ISA 315 (Revised 2019) của International Auditing and Assurance Standards Board (IAASB) nhấn mạnh việc xác định và đánh giá rủi ro có sai sót trọng yếu là nền tảng để kiểm toán viên thiết kế phản ứng kiểm toán phù hợp theo ISA 330.
Về mặt khái niệm, Audit Risk thường được phân tích thông qua ba thành phần chính:
  • Inherent Risk – Rủi ro tiềm tàng
  • Control Risk – Rủi ro kiểm soát
  • Detection Risk – Rủi ro phát hiện
Ba yếu tố này giúp kiểm toán viên hiểu được sai sót có thể phát sinh ở đâu, tại sao có thể không được ngăn ngừa hoặc phát hiện bởi hệ thống kiểm soát nội bộ và khả năng thủ tục kiểm toán không phát hiện được sai sót đó.
Audit risk

2. Inherent Risk – Rủi ro tiềm tàng là gì?

Inherent Risk (IR) là khả năng một cơ sở dẫn liệu liên quan đến một nhóm giao dịch, số dư tài khoản hoặc thông tin thuyết minh có thể chứa sai sót trọng yếu trước khi xem xét đến bất kỳ kiểm soát liên quan nào.

Nói đơn giản hơn, đây là mức độ rủi ro vốn có của một khoản mục hoặc giao dịch do bản chất của chính khoản mục đó.
Không phải mọi khoản mục trên báo cáo tài chính đều có mức Inherent Risk giống nhau.
Ví dụ, một số tiền mặt tại ngân hàng có thể tương đối dễ xác minh thông qua sao kê và thư xác nhận ngân hàng. Trong khi đó, ước tính giá trị hợp lý của một khoản đầu tư phức tạp có thể phụ thuộc vào nhiều giả định và xét đoán của ban giám đốc.
Những khoản mục có tính chất phức tạp, dễ biến động hoặc phụ thuộc nhiều vào xét đoán thường có khả năng có Inherent Risk cao hơn.

Những yếu tố có thể làm tăng Inherent Risk

Một số yếu tố thường được kiểm toán viên xem xét gồm:

Tính phức tạp:

Các giao dịch có cấu trúc phức tạp thường khó ghi nhận và đánh giá hơn.
Mức độ xét đoán:
Các khoản mục yêu cầu ban giám đốc sử dụng nhiều judgement có thể có nguy cơ sai sót cao hơn.
Sự không chắc chắn trong ước tính:
Ví dụ như dự phòng, impairment, fair value hoặc các khoản ước tính kế toán khác.
Khả năng xảy ra gian lận:
Một số khoản mục như doanh thu có thể cần được kiểm toán viên đặc biệt quan tâm do khả năng bị thao túng để đạt mục tiêu tài chính.
ISA 315 (Revised 2019) đã tăng cường cách tiếp cận dựa trên các inherent risk factors, đồng thời đưa vào những khái niệm giúp kiểm toán viên đánh giá rủi ro một cách nhất quán hơn.
Ví dụ thực tế
Giả sử Công ty A có:
  • Hàng tồn kho: 5 tỷ đồng
  • Các khoản phải thu: 20 tỷ đồng
  • Tài sản cố định: 100 tỷ đồng
Không thể chỉ nhìn vào giá trị để kết luận khoản mục nào có rủi ro cao nhất.
Nếu hàng tồn kho gồm nhiều sản phẩm dễ lỗi thời, có khả năng giảm giá nhanh thì Inherent Risk của hàng tồn kho có thể cao.
Ngược lại, tài sản cố định có thể có giá trị rất lớn nhưng nếu chủ yếu là máy móc có hồ sơ đầy đủ, giao dịch không phức tạp và việc xác định giá trị tương đối rõ ràng thì Inherent Risk có thể thấp hơn.
Điều này cho thấy materiality và risk không hoàn toàn giống nhau. Một khoản mục có giá trị nhỏ vẫn có thể có rủi ro cao nếu bản chất giao dịch phức tạp hoặc dễ bị gian lận.

3. Control Risk – Rủi ro kiểm soát và vai trò của Internal Control

Control Risk (CR) là rủi ro rằng một sai sót có thể xảy ra liên quan đến một cơ sở dẫn liệu và không được ngăn ngừa, hoặc không được phát hiện và sửa chữa kịp thời bởi hệ thống kiểm soát nội bộ của doanh nghiệp.

Đây là lý do kiểm toán viên không chỉ kiểm tra số liệu cuối kỳ mà còn phải tìm hiểu internal control – hệ thống kiểm soát nội bộ.
Ví dụ, một công ty có quy trình mua hàng như sau:Purchase Request → Purchase Order → Goods Receipt → Invoice → Payment
Nếu doanh nghiệp yêu cầu người lập Purchase Order và người phê duyệt Purchase Order là hai người khác nhau, đồng thời hệ thống không cho phép thanh toán nếu chưa có Goods Receipt, đây có thể là những kiểm soát nhằm giảm nguy cơ thanh toán cho hàng hóa chưa nhận.
Tuy nhiên, việc doanh nghiệp có kiểm soát không có nghĩa là Control Risk bằng 0.
Kiểm soát có thể thất bại vì:
  • Nhân viên không thực hiện đúng quy trình.
  • Người có quyền phê duyệt cố tình bỏ qua kiểm soát.
  • Phân quyền trên phần mềm không phù hợp.
  • Kiểm soát phụ thuộc vào dữ liệu không chính xác.
  • Có sự thông đồng giữa nhiều nhân viên.
  • Ban giám đốc override kiểm soát.
Do đó, trong quá trình kiểm toán, auditor cần đánh giá liệu các kiểm soát liên quan có được thiết kế phù hợp và có được thực hiện hay không.
ISA 315 (Revised 2019) yêu cầu kiểm toán viên có cách tiếp cận rõ ràng hơn đối với việc hiểu hệ thống kiểm soát nội bộ và đánh giá rủi ro có sai sót trọng yếu.

Ví dụ về Control Risk

Giả sử doanh nghiệp có chính sách:“Tất cả khoản thanh toán trên 100 triệu đồng phải được CFO phê duyệt.”
Trên giấy tờ, đây là một control.
Nhưng nếu trong thực tế:
  • CFO thường xuyên không review;
  • nhân viên kế toán tự phê duyệt;
  • hệ thống cho phép bỏ qua bước approval;
thì kiểm soát trên có thể không hoạt động hiệu quả.
Khi đó, kiểm toán viên không thể chỉ dựa vào việc doanh nghiệp có chính sách bằng văn bản mà phải xem xét operating effectiveness – tính hữu hiệu trong vận hành của kiểm soát.

4. Detection Risk – Rủi ro phát hiện và cách kiểm toán viên kiểm soát rủi ro

Nếu Inherent Risk và Control Risk liên quan nhiều đến bản thân doanh nghiệp thì Detection Risk (DR) lại gắn trực tiếp với công việc của kiểm toán viên.
Detection Risk là rủi ro rằng các thủ tục kiểm toán được thực hiện không phát hiện được một sai sót trọng yếu đang tồn tại.
Ví dụ, doanh nghiệp có khoản phải thu 30 tỷ đồng và thực tế 5 tỷ đồng trong số đó không có khả năng thu hồi.
Kiểm toán viên thực hiện kiểm tra nhưng:
  • chọn mẫu không phù hợp;
  • không gửi confirmation cho khách hàng có số dư lớn;
  • không kiểm tra subsequent receipts;
  • không xem xét aging report;
thì vẫn có khả năng không phát hiện khoản phải thu có vấn đề.
Đó chính là Detection Risk.
Một điểm quan trọng là kiểm toán viên có thể tác động đến Detection Risk thông qua việc thay đổi:
  • Nature – bản chất của thủ tục;
  • Timing – thời điểm thực hiện;
  • Extent – phạm vi kiểm tra.
Ví dụ, nếu đánh giá một khoản mục có rủi ro cao, auditor có thể:
  • tăng sample size;
  • thực hiện kiểm tra chi tiết thay vì chỉ analytical procedures;
  • thực hiện thủ tục gần ngày kết thúc kỳ hơn;
  • lựa chọn những giao dịch có giá trị lớn;
  • thực hiện external confirmation;
  • kiểm tra các chứng từ gốc;
  • sử dụng các thủ tục bổ sung.
IAASB nhấn mạnh rằng đánh giá rủi ro phải dẫn đến phản ứng kiểm toán phù hợp; ISA 315 được thiết kế để tạo nền tảng cho các phản ứng theo ISA 330.

Mối quan hệ giữa các loại rủi ro

Trong cách trình bày truyền thống, Audit Risk thường được biểu diễn bằng mô hình:

AR = IR × CR × DR

Trong đó:
  • AR: Audit Risk
  • IR: Inherent Risk
  • CR: Control Risk
  • DR: Detection Risk
Ví dụ giả định:
  • IR = 80%
  • CR = 60%
  • DR = 5%
Khi đó:

AR = 80% × 60% × 5% = 2,4%

Con số này chỉ mang tính minh họa cho mối quan hệ giữa các thành phần rủi ro. Trong thực tế, việc đánh giá rủi ro kiểm toán không đơn giản là áp dụng máy móc một công thức toán học.
Điểm quan trọng nhất là:
Khi rủi ro có sai sót trọng yếu được đánh giá cao, kiểm toán viên thường cần thiết kế các thủ tục kiểm toán có khả năng giảm Detection Risk xuống mức phù hợp.
5. Audit Risk trong thực tế: Từ đánh giá rủi ro đến thiết kế thủ tục kiểm toán
Trong một cuộc kiểm toán thực tế, Audit Risk không phải là một bước độc lập mà được kết nối với toàn bộ quy trình kiểm toán.

Có thể hình dung quy trình cơ bản như sau:
Tìm hiểu doanh nghiệp → Xác định rủi ro → Đánh giá rủi ro có sai sót trọng yếu → Thiết kế thủ tục kiểm toán → Thu thập bằng chứng → Đánh giá kết quả → Đưa ra ý kiến kiểm toán
Ví dụ, auditor kiểm toán Revenue – doanh thu.
Qua quá trình tìm hiểu doanh nghiệp, auditor nhận thấy doanh thu cuối năm tăng mạnh bất thường.
Đây có thể là dấu hiệu cần xem xét thêm vì doanh thu thường liên quan đến nhiều giao dịch và có thể chịu ảnh hưởng bởi áp lực đạt chỉ tiêu.
Auditor có thể đánh giá rủi ro liên quan đến:
  • doanh thu được ghi nhận trước khi hàng hóa được giao;
  • giao dịch bán hàng chưa thực sự phát sinh;
  • doanh thu ghi nhận sai kỳ;
  • hàng bán bị trả lại nhưng chưa điều chỉnh;
  • giao dịch với bên liên quan không được trình bày đầy đủ.
Từ đó, auditor thiết kế các thủ tục như:
  • kiểm tra invoice;
  • đối chiếu delivery note;
  • kiểm tra hợp đồng;
  • thực hiện cut-off testing;
  • kiểm tra giao dịch sau ngày khóa sổ;
  • phân tích xu hướng doanh thu;
  • kiểm tra các giao dịch bất thường;
  • thực hiện confirmation nếu phù hợp.
Đây chính là bản chất của risk-based audit: kiểm toán viên không phân bổ nguồn lực giống nhau cho mọi khoản mục mà tập trung nhiều hơn vào những khu vực có khả năng chứa sai sót trọng yếu.
ISA 315 (Revised 2019) được IAASB mô tả là nền tảng cho việc đánh giá rủi ro và giúp auditor thực hiện các phản ứng kiểm toán tập trung hơn.

Xu hướng mới: Audit Risk trong môi trường công nghệ

Audit Risk hiện nay cũng không còn chỉ xoay quanh chứng từ giấy và các giao dịch thủ công.
Doanh nghiệp ngày càng sử dụng:
  • ERP;
  • cloud accounting;
  • automated journal entries;
  • electronic invoices;
  • data analytics;
  • AI và các công cụ tự động hóa.
Điều này tạo ra những loại rủi ro mới liên quan đến dữ liệu, quyền truy cập hệ thống, IT controls và tính toàn vẹn của thông tin.
IAASB cho biết ISA 315 (Revised 2019) đã được hiện đại hóa để phù hợp hơn với môi trường kinh doanh ngày càng thay đổi, trong đó có sự phát triển của công nghệ.

Đáng chú ý, trong tháng 8/2026, IAASB đã công bố các Exposure Draft đề xuất sửa đổi ISA 330, ISA 500 và ISA 520, với trọng tâm gồm bằng chứng kiểm toán, phản ứng đối với rủi ro và thủ tục phân tích. Các đề xuất này cũng nhấn mạnh hơn đến môi trường kỹ thuật số và professional skepticism. Tuy nhiên, đây vẫn là các đề xuất đang trong quá trình lấy ý kiến, với thời hạn nhận phản hồi đến 15/12/2026, nên không nên xem chúng là các yêu cầu bắt buộc hiện hành.

Kết luận

Audit Risk – rủi ro kiểm toán là một trong những khái niệm nền tảng để hiểu cách một cuộc kiểm toán được lập kế hoạch và thực hiện.

Ba thành phần quan trọng gồm Inherent Risk, Control Risk và Detection Risk giúp kiểm toán viên nhìn nhận rủi ro từ nhiều góc độ: bản chất của giao dịch, hiệu quả của hệ thống kiểm soát nội bộ và khả năng các thủ tục kiểm toán không phát hiện được sai sót.
Điểm quan trọng không phải là cố gắng loại bỏ hoàn toàn mọi rủi ro – điều gần như không thể trong một cuộc kiểm toán – mà là đánh giá rủi ro một cách phù hợp và thiết kế các thủ tục kiểm toán để đưa Audit Risk xuống mức chấp nhận được.
Trong thực tế, một auditor có năng lực không chỉ biết thực hiện checklist hay kiểm tra chứng từ. Quan trọng hơn, auditor cần hiểu “Why?” – tại sao khoản mục này có rủi ro, sai sót có thể xảy ra như thế nào và thủ tục nào có khả năng phát hiện sai sót đó.
Đây cũng chính là tinh thần của phương pháp risk-based audit, trong đó đánh giá rủi ro là cơ sở để quyết định auditor cần tập trung nguồn lực vào đâu và cần thu thập loại bằng chứng nào.

Nguồn tham khảo

  1. International Auditing and Assurance Standards Board (IAASB), ISA 315 (Revised 2019): Identifying and Assessing the Risks of Material Misstatement.
  2. IAASB, Identifying and Assessing Risks of Material Misstatement.
  3. IAASB, IAASB Enhances and Modernizes ISA 315 for a More Robust Risk Assessment.
  4. IAASB, ISA 315 First-Time Implementation Guide.
  5. IAASB, Strengthening the Risk-Based Audit Framework: Proposed Revisions to ISA 330, ISA 500 and ISA 520.

Thông tin khác

Previous Post