TỔNG QUAN KIỂM TOÁN CÔNG NGHỆ THÔNG TIN (CNTT) TẠI VIỆT NAM

Trong bối cảnh chuyển đổi số đang diễn ra mạnh mẽ, hệ thống công nghệ thông tin không còn là công cụ hỗ trợ mà đã trở thành “xương sống” vận hành của mọi doanh nghiệp. Điều này đồng nghĩa với việc rủi ro liên quan đến CNTT (như mất dữ liệu, tấn công mạng, sai lệch thông tin) ngày càng gia tăng. Kiểm toán công nghệ thông tin ra đời như một nhu cầu tất yếu, giúp tổ chức nhận diện, kiểm soát và giảm thiểu rủi ro liên quan đến hạ tầng và dữ liệu số.

Bài viết này phân tích bức tranh toàn cảnh về kiểm toán CNTT tại Việt Nam, từ khung pháp lý, sự cần thiết, thực tiễn áp dụng đến các điều kiện và xu hướng trong tương lai gần.

1. Sự cần thiết của Kiểm toán CNTT: Tại sao Doanh nghiệp tự nguyện thực hiện?

Dù chưa phải là yêu cầu bắt buộc trên diện rộng, nhiều doanh nghiệp tại Việt Nam chủ động tìm đến kiểm toán CNTT vì ba nhóm mục tiêu chiến lược sau:

1.1. Nâng cao uy tín và năng lực cạnh tranh:

-Tăng niềm tin với đối tác: Một báo cáo kiểm toán CNTT độc lập, đặc biệt theo chuẩn quốc tế (như ISO 27001, SOC 2), là minh chứng cho thấy hệ thống của doanh nghiệp an toàn và chuyên nghiệp, điều này rất quan trọng khi làm việc với đối tác nước ngoài.

-Thu hút đầu tư: Nhà đầu tư và ngân hàng thường yêu cầu đánh giá độc lập về an toàn thông tin và hệ thống CNTT trước khi quyết định hợp tác hoặc giải ngân.

1.2. Quản trị rủi ro và tối ưu vận hành:

-Phát hiện rủi ro tiềm ẩn: Kiểm toán giúp nhận diện các điểm yếu trong hạ tầng (máy chủ, mạng, phân quyền), phòng ngừa sự cố mất dữ liệu hoặc tấn công mạng.

-Đánh giá hiệu quả đầu tư: Giúp lãnh đạo biết việc đầu tư vào phần mềm, tài nguyên CNTT có đang lãng phí hay không.

-Cải thiện quy trình nội bộ: Chuẩn hóa các quy trình vận hành CNTT (như sao lưu, cấp quyền, xử lý sự cố) theo các chuẩn mực hiện đại.

1.3. Đảm bảo tuân thủ:

-Đáp ứng chuẩn mực quốc tế: Nhiều đối tác nước ngoài yêu cầu nhà cung cấp tại Việt Nam phải có các chứng nhận kiểm toán hệ thống trước khi tích hợp hoặc chia sẻ dữ liệu.

-Hỗ trợ kiểm toán tài chính: Đảm bảo tính toàn vẹn của dữ liệu từ hệ thống ERP, phần mềm kế toán, hóa đơn điện tử, giúp giảm rủi ro sai sót khi kiểm toán tài chính.

2. Khung pháp lý về Kiểm toán CNTT tại Việt Nam

-Luật Kiểm toán độc lập 2011: tập trung chủ yếu vào kiểm toán báo cáo tài chính, kiểm toán tuân thủ và kiểm toán hoạt động; không có chương mục hay điều khoản riêng biệt định nghĩa và bắt buộc về kiểm toán CNTT như một lĩnh vực riêng. Tuy nhiên, theo Điều 4 và 36 của Luật này, việc kiểm toán hệ thống thông tin có thể được xem là một phần của kiểm toán hoạt động hoặc kiểm toán tuân thủ, tùy theo phạm vi hợp đồng kiểm toán.

-Quyết định 2076/QĐ-KTNN ngày 14/12/2021 của Kiểm toán Nhà nước hướng dẫn kiểm toán công nghệ thông tin trong các cuộc kiểm toán nhà nước.

-Quyết định 1934/QĐ-KTNN về đánh giá ứng dụng CNTT.

-Các trường hợp gần như bắt buộc:

Mặc dù không gọi là kiểm toán CNTT, một số ngành nhạy cảm về dữ liệu và tài chính bị buộc phải thực hiện kiểm tra, đánh giá hệ thống CNTT định kỳ, và có thể phải thuê đơn vị độc lập:

Lĩnh vực Ngân hàng: Theo Thông tư 51/2024/TT-NHNN, tổ chức tín dụng phải định kỳ đánh giá hệ thống kiểm soát nội bộ và có thể thuê đơn vị kiểm toán độc lập để đánh giá hoạt động CNTT, an ninh mạng và kiểm soát nội bộ.

Lĩnh vực Chứng khoán: Thông tư 121/2020/TT-BTC quy định công ty chứng khoán phải xây dựng hệ thống kiểm soát nội bộ và quản trị rủi ro CNTT, đồng thời chịu sự kiểm toán nội bộ và kiểm toán độc lập theo quy định.

Hạ tầng trọng yếu: Luật An toàn thông tin mạng 2015 và Nghị định 85/2016/NĐ-CP yêu cầu các doanh nghiệp hạ tầng quan trọng (viễn thông, năng lượng, giao thông) phải kiểm tra, đánh giá an toàn hệ thống.

Doanh nghiệp thông thường không bị bắt buộc kiểm toán CNTT. Tuy nhiên, nếu hoạt động trong lĩnh vực ngân hàng, tài chính, hoặc là hạ tầng trọng yếu, doanh nghiệp sẽ phải tuân thủ các quy định kiểm tra, đánh giá CNTT định kỳ của ngành đó.

3. Điều kiện hành nghề Kiểm toán CNTT:

Vì Luật Kiểm toán độc lập của Việt Nam chưa có quy định chính thức cho chức danh Kiểm toán viên CNTT như cách cấp chứng chỉ Kiểm toán viên, thị trường lao động và các doanh nghiệp sử dụng các chuẩn mực và chứng chỉ quốc tế để công nhận năng lực hành nghề.

Một kiểm toán viên CNTT cần có kiến thức tổng hợp sâu rộng về cả hai mảng: (i)Công nghệ: Hiểu biết về hạ tầng mạng, hệ điều hành, cơ sở dữ liệu, an toàn thông tin, quy trình phát triển phần mềm; (ii)Kiểm toán: Nắm vững các nguyên tắc kiểm soát nội bộ, phương pháp luận đánh giá rủi ro, và kỹ thuật thu thập bằng chứng kiểm toán.

Chứng chỉ hành nghề phổ biến:

CISA (Certified Information Systems Auditor): Đây là chứng chỉ được công nhận rộng rãi nhất trên toàn cầu, do Hiệp hội Kiểm toán và Kiểm soát Hệ thống Thông tin (ISACA) cấp. CISA được xem là tiêu chuẩn vàng để chứng minh năng lực và sự chuyên nghiệp trong lĩnh vực kiểm toán CNTT.

CIA (Certified Internal Auditor): Mặc dù là chứng chỉ về kiểm toán nội bộ nói chung, chương trình học của CIA (đặc biệt là Part 3) bao gồm các nội dung quan trọng về kiểm toán CNTT và bảo mật, rất phù hợp cho các kiểm toán viên nội bộ.

CISM (Quản lý bảo mật), CISSP (Chuyên gia an ninh mạng) cũng rất có giá trị, đặc biệt khi kiểm toán chuyên sâu về an ninh.

4. Xu hướng tương lai của Kiểm toán CNTT tại Việt Nam

Kiểm toán CNTT đang phát triển nhanh chóng để bắt kịp với công nghệ. Các xu hướng chính bao gồm:

-Tập trung vào công nghệ mới: Kiểm toán không chỉ dừng ở hệ thống máy chủ truyền thống mà mở rộng sang các rủi ro liên quan đến Trí tuệ nhân tạo, tính toàn vẹn của dữ liệu lớn, kiểm soát nhà cung cấp dịch vụ đám mây.

-Kiểm toán An ninh mạng: Các cuộc kiểm toán sẽ tập trung sâu vào khả năng phòng thủ, phát hiện và phản ứng với các cuộc tấn công mạng.

-Tuân thủ Bảo vệ dữ liệu cá nhân: Từ 2026, khi Luật Bảo vệ dữ liệu cá nhân (91/2025/QH15) có hiệu lực, việc đánh giá và kiểm toán CNTT sẽ trở thành công cụ chủ yếu để xác minh tuân thủ các nguyên tắc xử lý dữ liệu cá nhân.

-Chuyển dịch phương pháp: Từ kiểm toán định kỳ, chọn mẫu sang kiểm toán liên tục và kiểm toán toàn diện dựa trên phân tích dữ liệu lớn, giúp phát hiện rủi ro theo thời gian thực.

Trong bối cảnh Việt Nam bước vào giai đoạn siết chặt quản trị dữ liệu và minh bạch số, kiểm toán CNTT sẽ không còn là lựa chọn mà là điều kiện để doanh nghiệp tồn tại và cạnh tranh./.