Fraud Diamond là gì? Hiểu đúng về Kim cương gian lận
Gian lận trong doanh nghiệp không chỉ xuất phát từ áp lực tài chính hay những lỗ hổng trong hệ thống kiểm soát nội bộ. Để một cơ hội thực sự trở thành hành vi gian lận, người thực hiện còn phải có khả năng nhận diện, khai thác và che giấu hành vi đó. Đây chính là cơ sở của Fraud Diamond (Kim cương gian lận), mô hình được David T. Wolfe và Dana R. Hermanson đề xuất vào năm 2004 nhằm mở rộng Fraud Triangle (Tam giác gian lận). Bên cạnh Pressure (áp lực), Opportunity (cơ hội) và Rationalization (hợp lý hóa), Fraud Diamond bổ sung yếu tố thứ tư là Capability (năng lực/khả năng). Vậy yếu tố này đóng vai trò như thế nào trong việc biến một cơ hội thành gian lận, và có thể ứng dụng mô hình ra sao để nhận diện rủi ro?
1. Fraud Diamond là gì?
Fraud Diamond là mô hình được sử dụng để phân tích những điều kiện và đặc điểm có thể dẫn đến hành vi gian lận. Mô hình bao gồm bốn yếu tố: Pressure (áp lực), Opportunity (cơ hội), Rationalization (hợp lý hóa) và Capability (năng lực/khả năng). Ba yếu tố đầu được kế thừa từ Fraud Triangle, trong khi Capability được bổ sung nhằm đưa đặc điểm của chính người thực hiện gian lận vào quá trình đánh giá rủi ro. Wolfe và Hermanson giới thiệu mô hình này trong một bài viết trên The CPA Journal vào tháng 12/2004, với mục tiêu hỗ trợ việc phòng ngừa và phát hiện gian lận kế toán.
Trong Fraud Diamond, Pressure đề cập đến động cơ hoặc hoàn cảnh tạo ra nhu cầu khiến một cá nhân muốn đạt được một mục tiêu bằng cách không phù hợp. Opportunity xuất hiện khi cá nhân nhận thấy có một khoảng trống trong hệ thống kiểm soát mà họ có thể khai thác. Rationalization là quá trình cá nhân tự đưa ra những lý do để xem hành vi sai trái của mình là có thể chấp nhận được, chẳng hạn như nghĩ rằng mình chỉ lấy tiền "tạm thời" hoặc cho rằng khoản tiền đó không đáng kể so với quy mô của doanh nghiệp.
Tuy nhiên, ba yếu tố trên vẫn chưa trả lời đầy đủ một câu hỏi quan trọng: nếu một người có động cơ, nhìn thấy cơ hội và có thể biện minh cho hành vi của mình, liệu họ có thực sự đủ khả năng để thực hiện gian lận hay không? Đây chính là vai trò của Capability. Wolfe và Hermanson cho rằng những vụ gian lận phức tạp thường đòi hỏi người thực hiện phải có đủ đặc điểm và khả năng để nhận diện cơ hội, tận dụng cơ hội đó, vượt qua các biện pháp kiểm soát và che giấu hành vi. Nếu không có "đúng người" với những khả năng phù hợp, một cơ hội gian lận có thể tồn tại nhưng chưa chắc được biến thành hành vi thực tế.
Có thể hình dung điều này qua một ví dụ đơn giản. Một nhân viên phát hiện doanh nghiệp không thường xuyên đối chiếu một tài khoản ngân hàng, đây là Opportunity. Nếu người này đang gặp khó khăn tài chính, Pressure có thể xuất hiện, và họ có thể tự thuyết phục rằng mình chỉ "mượn tạm" tiền rồi hoàn trả sau, tạo ra Rationalization. Nhưng nếu nhân viên không có quyền thực hiện giao dịch, không biết cách điều chỉnh chứng từ và không thể che giấu dấu vết, cơ hội đó chưa chắc trở thành gian lận. Ngược lại, một người có quyền truy cập hệ thống, hiểu rõ quy trình kế toán và biết cách vượt qua các bước kiểm soát sẽ có khả năng khai thác cùng một lỗ hổng cao hơn.
2. Vì sao Fraud Triangle chưa đủ?
Fraud Triangle được phát triển từ công trình của Donald Cressey và trở thành một trong những mô hình nền tảng để giải thích hành vi gian lận, tập trung vào ba yếu tố Pressure, Opportunity và Rationalization.
Trong doanh nghiệp, Pressure không nhất thiết chỉ xuất phát từ tiền bạc cá nhân. Một giám đốc có thể chịu áp lực duy trì mức lợi nhuận để đáp ứng kỳ vọng của nhà đầu tư, một nhân viên kinh doanh chịu áp lực đạt doanh số để nhận thưởng, hoặc một bộ phận kế toán chịu áp lực hoàn thành báo cáo trong thời gian ngắn. Opportunity liên quan trực tiếp đến môi trường kiểm soát: khi nhiệm vụ không được phân tách, người lập chứng từ đồng thời có quyền phê duyệt, cơ hội gian lận sẽ tăng lên. Một hệ thống kiểm soát yếu không nhất thiết tạo ra gian lận ngay lập tức, nhưng nó làm giảm những rào cản mà người có ý định gian lận phải đối mặt.
Rationalization là yếu tố khó quan sát hơn cả. Kiểm toán viên có thể nhìn thấy một giao dịch bất thường hoặc một điểm yếu trong kiểm soát, nhưng không thể trực tiếp quan sát suy nghĩ của người thực hiện. Vì vậy, nghiên cứu và thực hành về gian lận thường mở rộng khái niệm này sang attitude - thái độ, chẳng hạn thái độ coi nhẹ kiểm soát nội bộ hoặc xem thường các quy định kế toán. The CPA Journal cũng lưu ý rằng Rationalization theo thời gian đã được mở rộng để bao gồm cả thái độ, do đây là dấu hiệu dễ quan sát hơn.
Dù hữu ích, Fraud Triangle vẫn có một điểm hạn chế: ba yếu tố này chưa giải thích đầy đủ sự khác biệt giữa những người cùng đứng trước một cơ hội. Hãy giả sử hai nhân viên cùng phát hiện một lỗ hổng trong quy trình thanh toán, cả hai đều biết doanh nghiệp thiếu một bước đối chiếu và đều chịu áp lực tài chính tương tự. Tuy nhiên, một người chỉ có quyền nhập dữ liệu, trong khi người còn lại có quyền truy cập hệ thống, hiểu rõ quy trình kế toán và có thể tác động đến những nhân viên khác. Nếu người thứ hai thực hiện gian lận, quy mô và thời gian tồn tại của hành vi có thể rất khác so với người thứ nhất.
Đây chính là khoảng trống mà Capability được đưa vào để giải thích. Theo mô hình của Wolfe và Hermanson, Capability không phải là một điều kiện thay thế cho Pressure, Opportunity hay Rationalization, mà là yếu tố bổ sung giúp giải thích ai có khả năng biến một cơ hội thành hành vi gian lận, đặc biệt trong những vụ việc phức tạp. Một lỗ hổng kiểm soát có thể tồn tại trong nhiều năm mà không bị khai thác: không phải mọi nhân viên đều nhận ra lỗ hổng, không phải ai nhận ra cũng có quyền sử dụng nó, và không phải ai có quyền cũng đủ khả năng che giấu hành vi.
3. Capability gồm những gì?
Capability không đơn thuần là trình độ chuyên môn hay bằng cấp của một cá nhân. Theo cách tiếp cận ban đầu của Wolfe và Hermanson, yếu tố này bao gồm một nhóm đặc điểm giúp người thực hiện có thể nhận diện, thực hiện và che giấu gian lận. Sáu đặc điểm được các tác giả nhấn mạnh gồm position/function, brains, confidence/ego, coercion skills, effective lying và immunity to stress.
Trước hết là vị trí hoặc chức năng. Một người phải có một mức độ quyền hạn hoặc quyền truy cập nhất định để có thể tác động đến tài sản, dữ liệu hoặc quy trình của doanh nghiệp. Người chỉ có quyền nhập dữ liệu sẽ khó thực hiện một hành vi gian lận liên quan đến phê duyệt thanh toán hơn người có quyền sửa dữ liệu, phê duyệt giao dịch hoặc truy cập tài khoản ngân hàng. Khi một cá nhân có thể kiểm soát nhiều bước của cùng một quy trình mà không có cơ chế giám sát độc lập, họ có nhiều cơ hội hơn để thực hiện và che giấu hành vi sai phạm.
Tiếp theo là kiến thức, trí thông minh và kinh nghiệm. Một người hiểu sâu về hệ thống kế toán có thể biết dữ liệu được ghi nhận ở đâu, những khoản mục nào thường có biến động lớn và những điểm nào trong quy trình ít được kiểm tra. Chính điều này tạo ra một nghịch lý: năng lực càng cao không nhất thiết đồng nghĩa với rủi ro càng cao, nhưng nếu các yếu tố khác của gian lận cũng xuất hiện, năng lực cao có thể làm tăng khả năng khai thác cơ hội - điểm này sẽ được nói rõ hơn ở phần sau.
Capability còn bao gồm sự tự tin và cái tôi. Một hành vi gian lận phức tạp thường đòi hỏi người thực hiện phải tin rằng họ có thể kiểm soát tình hình và tránh bị phát hiện. Nếu thiếu sự tự tin để thực hiện hoặc duy trì hành vi, cá nhân có thể dừng lại ngay cả khi đã nhìn thấy cơ hội. Bên cạnh đó là khả năng gây áp lực hoặc tác động đến người khác. Gian lận không phải lúc nào cũng được thực hiện bởi một cá nhân đơn lẻ, và trong những trường hợp phức tạp, người thực hiện có thể cần sự hỗ trợ hoặc im lặng của cấp dưới, đồng nghiệp hoặc những người có quyền truy cập vào các hệ thống khác nhau.
Một vụ gian lận cũng thường đòi hỏi khả năng nói dối và duy trì sự che giấu. Người thực hiện không chỉ phải tạo ra giao dịch hoặc thông tin sai lệch mà còn phải giải thích khi bị đặt câu hỏi. Nếu gian lận kéo dài, họ phải duy trì lời giải thích nhất quán mà không để lộ mâu thuẫn. Cuối cùng là khả năng chịu áp lực. Gian lận càng kéo dài, người thực hiện càng phải xử lý các yêu cầu giải trình, theo dõi những thay đổi trong hệ thống và đối phó với nguy cơ bị phát hiện. Khả năng chịu áp lực này ảnh hưởng đến việc hành vi gian lận chỉ diễn ra trong thời gian ngắn hay được duy trì trong thời gian dài.
Như vậy, Capability nên được hiểu rộng hơn rất nhiều so với "năng lực chuyên môn". Đó là sự kết hợp giữa quyền hạn, kiến thức, kinh nghiệm và các đặc điểm cá nhân giúp một người nhận diện cơ hội, vượt qua kiểm soát, tác động đến người khác và che giấu hành vi. Đây cũng là lý do một lỗ hổng kiểm soát không tạo ra mức độ rủi ro giống nhau đối với mọi người.
4. Fraud Diamond được ứng dụng như thế nào trong kiểm toán?
Fraud Diamond có thể cung cấp cho kiểm toán viên một góc nhìn bổ sung khi đánh giá rủi ro gian lận. Ví dụ, khi phát hiện quy trình thanh toán thiếu phân tách nhiệm vụ, nếu chỉ nhìn dưới góc độ Opportunity, kết luận có thể dừng ở việc ghi nhận một điểm yếu của kiểm soát nội bộ. Nhưng khi đưa Capability vào phân tích, câu hỏi sẽ rộng hơn: Ai có quyền thực hiện thanh toán? Ai có thể sửa dữ liệu? Ai có quyền phê duyệt hoặc truy cập tài khoản ngân hàng? Có người nào hiểu toàn bộ quy trình từ lập chứng từ đến ghi nhận sổ sách hay không? Cách tiếp cận này đặc biệt quan trọng với những người giữ vị trí quản lý hoặc có quyền vượt qua một số bước kiểm soát - ban lãnh đạo, chẳng hạn, có thể can thiệp vào hệ thống hoặc yêu cầu nhân viên thực hiện những giao dịch mà thông thường cần thêm phê duyệt.
Một nghiên cứu của Douglas Boyle, F. Todd DeZoort và Dana Hermanson công bố năm 2015 đã thực hiện thí nghiệm với 89 kiểm toán viên để so sánh cách sử dụng công cụ dựa trên Fraud Triangle và Fraud Diamond. Kết quả cho thấy nhóm sử dụng Fraud Diamond đưa ra đánh giá rủi ro gian lận cao hơn khoảng 17% và thận trọng hơn so với nhóm sử dụng Fraud Triangle. Điều này cho thấy việc đưa Capability vào mô hình có thể làm thay đổi cách kiểm toán viên nhìn nhận rủi ro: khi được yêu cầu đánh giá cả khả năng của người quản lý trong việc nhận diện và khai thác cơ hội, kiểm toán viên có thể chú ý hơn đến những rủi ro mà mô hình truyền thống chưa làm nổi bật.
Tuy vậy, việc đánh giá Capability không có nghĩa kiểm toán viên được phép mặc định rằng người có chức vụ cao hoặc chuyên môn tốt là đối tượng gian lận. Mô hình chỉ cung cấp một khung đánh giá rủi ro và định hướng sự chú ý đến yếu tố con người. Kết luận vẫn phải dựa trên bằng chứng, và kiểm toán viên vẫn phải thực hiện đầy đủ các thủ tục theo chuẩn mực nghề nghiệp.
Từ góc độ doanh nghiệp, logic này cũng có thể được áp dụng vào kiểm soát nội bộ. Nếu Opportunity liên quan đến lỗ hổng của hệ thống, doanh nghiệp có thể giảm yếu tố này bằng cách phân tách nhiệm vụ, giới hạn quyền truy cập, tăng cường đối chiếu và kiểm tra các giao dịch bất thường. Nhưng chỉ giảm Opportunity là chưa đủ. Doanh nghiệp cũng cần biết ai đang sở hữu khả năng và quyền hạn đủ lớn để khai thác một lỗ hổng nếu nó xuất hiện. Đó là lý do Wolfe và Hermanson khuyến nghị đánh giá năng lực của các lãnh đạo cấp cao và nhân sự chủ chốt, đồng thời có phản ứng phù hợp khi phát hiện vấn đề.
5. Người có năng lực cao có phải luôn là rủi ro?
Một trong những điểm dễ gây hiểu nhầm nhất của Fraud Diamond là Capability không đồng nghĩa với nguy cơ gian lận. Một nhân viên có chuyên môn cao, nhiều kinh nghiệm và hiểu rõ hệ thống thường là tài sản quan trọng của doanh nghiệp: họ cải thiện quy trình, phát hiện sai sót, đào tạo nhân viên và giải quyết những vấn đề phức tạp. Nhưng chính những năng lực đó có thể trở thành một yếu tố làm tăng rủi ro trong một hoàn cảnh nhất định.
Điểm cần lưu ý nằm ở sự kết hợp giữa các yếu tố, chứ không phải bản thân Capability. Một người có năng lực cao nhưng không chịu áp lực bất thường, không có cơ hội và không có ý định gian lận sẽ không trở thành người gian lận chỉ vì họ giỏi. Ngược lại, nếu Pressure, Opportunity và Rationalization cùng xuất hiện, Capability sẽ ảnh hưởng đến việc người đó có thể thực hiện hành vi ở mức độ nào. Như ví dụ hai nhân viên cùng phát hiện một lỗ hổng đã nêu ở phần 2, người có quyền hạn và hiểu hệ thống sâu hơn luôn có khả năng khai thác lỗ hổng ở mức lớn hơn người còn lại, dù áp lực tài chính của cả hai là như nhau.
Điều này cũng giải thích tại sao những vụ gian lận phức tạp thường liên quan đến những người có vị trí, kiến thức hoặc quyền hạn đáng kể. Họ không nhất thiết có động cơ gian lận lớn hơn người khác, nhưng khả năng biến một cơ hội thành hành vi thực tế có thể cao hơn. Bài nhìn lại 20 năm của Wolfe và Hermanson cũng đề cập đến mặt trái của những người có năng lực cao, dẫn lại các nghiên cứu cho thấy năng lực quản lý hoặc chuyên môn kế toán có thể trở thành yếu tố rủi ro khi kết hợp với động cơ thao túng báo cáo tài chính hoặc khó khăn tài chính của doanh nghiệp.
Vì vậy, doanh nghiệp không nên xây dựng quản trị dựa trên giả định "người giỏi thì luôn an toàn", nhưng cũng không nên đi đến thái cực "người giỏi thì nguy hiểm". Cách tiếp cận phù hợp hơn là xem xét quyền hạn và mức độ tập trung kiểm soát: một người có quyền truy cập rộng cần cơ chế giám sát tương xứng, một nhân sự hiểu sâu về hệ thống có thể cần được phân tách nhiệm vụ hợp lý, một người giữ vị trí quan trọng nên có cơ chế kiểm tra độc lập thay vì phụ thuộc hoàn toàn vào sự tin tưởng cá nhân.
Quan trọng hơn, đánh giá này không nên chỉ thực hiện khi một người mới được tuyển dụng. Quyền hạn và mức độ tiếp cận của nhân viên thay đổi theo thời gian. Một kế toán viên ban đầu chỉ có quyền nhập dữ liệu nhưng sau vài năm có thể được giao quyền phê duyệt, quản lý tài khoản hoặc tham gia vào các quy trình quan trọng hơn. Vì vậy, rủi ro cũng cần được nhìn nhận lại mỗi khi vị trí và quyền hạn của họ thay đổi.
6. Fraud Diamond có còn phù hợp sau 20 năm?
Fraud Diamond được giới thiệu lần đầu vào năm 2004. Hai thập kỷ sau, chính Wolfe và Hermanson đã nhìn lại mô hình trên The CPA Journal và đánh giá ảnh hưởng của nó đối với thực tiễn nghề nghiệp, ngành kế toán – kiểm toán và nghiên cứu học thuật. Theo các tác giả, mô hình đã được sử dụng rộng rãi trong đào tạo, nghiên cứu và thực hành chuyên môn, đồng thời tiếp tục tạo ra các hướng nghiên cứu mới về Capability và hành vi của người thực hiện gian lận.
Một điểm đáng chú ý là nghiên cứu về Fraud Diamond không dừng lại ở việc kiểm tra xem Capability có cần thiết hay không, mà tiếp tục xem xét từng thành phần của yếu tố này và mối quan hệ giữa Capability với những yếu tố khác. Điều này cho thấy mô hình vẫn có giá trị như một khung tư duy về rủi ro, nhưng không nên được hiểu như một công thức có thể dự đoán chính xác ai sẽ gian lận. Một người có đầy đủ bốn yếu tố của Fraud Diamond cũng không nhất thiết sẽ thực hiện gian lận.
Đây chính là một trong những vấn đề được các tác giả đặt ra khi nhìn lại mô hình sau 20 năm: nếu Pressure, Opportunity, Rationalization và Capability đều tồn tại nhưng gian lận vẫn không xảy ra, thì yếu tố nào giải thích sự khác biệt? Một hướng được đề xuất là Integrity - tính chính trực, hoặc Ethics - đạo đức cá nhân. Hai người có thể cùng chịu áp lực, cùng nhìn thấy một cơ hội và cùng có đủ khả năng thực hiện, nhưng một người vẫn lựa chọn không gian lận vì giới hạn đạo đức của họ khác với người còn lại. Nếu hướng nghiên cứu này tiếp tục được phát triển, Fraud Diamond có thể được mở rộng thành những mô hình nhiều yếu tố hơn. Tuy nhiên, việc bổ sung thêm yếu tố cũng đặt ra nguy cơ khiến mô hình trở nên quá phức tạp và khó áp dụng trong thực tế. Vì vậy, giá trị của Fraud Diamond không nhất thiết nằm ở việc tạo ra một "công thức hoàn hảo" về gian lận, mà ở khả năng giúp người sử dụng đặt ra những câu hỏi phù hợp hơn.
Với kiểm toán viên, câu hỏi không chỉ là liệu doanh nghiệp có áp lực hay không, mà còn là áp lực đó ảnh hưởng đến ai; không chỉ xem xét hệ thống có điểm yếu nào, mà cần biết ai có khả năng khai thác điểm yếu đó. Với doanh nghiệp, Fraud Diamond gợi ý rằng phòng chống gian lận không thể chỉ dựa vào việc xây dựng thêm quy trình. Một quy trình càng chặt chẽ nhưng nếu quyền hạn bị tập trung quá mức, thiếu giám sát độc lập hoặc một cá nhân có thể dễ dàng vượt qua kiểm soát, rủi ro vẫn tồn tại.
Bài học quan trọng nhất của Fraud Diamond, vì thế, không phải là đi tìm một "người có nguy cơ gian lận", mà là hiểu mối quan hệ giữa con người, quyền hạn và hệ thống kiểm soát: giảm Opportunity thông qua kiểm soát nội bộ phù hợp, hạn chế những Pressure không hợp lý, xây dựng môi trường trong đó hành vi gian lận khó được Rationalization, và đặc biệt chú ý đến Capability của những người giữ vị trí quan trọng, với quyền hạn đặc biệt đi kèm cơ chế giám sát tương xứng.
Kết luận
Trong môi trường kinh doanh ngày càng phụ thuộc vào công nghệ và dữ liệu, vấn đề này càng đáng chú ý. Một cá nhân có thể không cần trực tiếp kiểm soát tiền mặt nhưng vẫn có khả năng tác động đến dữ liệu kế toán, hệ thống thanh toán hoặc thông tin tài chính nếu được cấp quyền truy cập phù hợp. Fraud Diamond không thể ngăn chặn mọi vụ gian lận, nhưng mô hình giúp thay đổi cách nhìn về rủi ro: từ việc chỉ quan tâm "lỗ hổng nằm ở đâu?" sang việc đặt thêm câu hỏi "ai có khả năng khai thác lỗ hổng đó?". Trong nhiều trường hợp, chính câu hỏi thứ hai mới giúp doanh nghiệp nhận diện được rủi ro trước khi một cơ hội nhỏ trở thành một vụ gian lận lớn.
Nguồn: Tổng hợp
