IT audit GRC

Governance

Cấu trúc và quy trình mà tổ chức sử dụng để định hướng, kiểm soát và giám sát hoạt động nhằm đạt mục tiêu, đảm bảo trách nhiệm giải trình (accountability) và tạo giá trị cho các bên liên quan. Governance trả lời câu hỏi "ai quyết định và chịu trách nhiệm gì".

Risk Management

Quy trình nhận diện, đánh giá, xử lý và giám sát rủi ro có thể ảnh hưởng đến việc đạt mục tiêu tổ chức. Bao gồm các bước: risk identification, risk analysis, risk evaluation, risk treatment, monitoring & review.

Compliance

Việc tuân thủ các luật, quy định, tiêu chuẩn, hợp đồng và chính sách nội bộ áp dụng cho tổ chức. Compliance function đảm bảo tổ chức không vi phạm nghĩa vụ pháp lý hoặc hợp đồng.

GRC (Governance, Risk, Compliance)

Mô hình tích hợp ba trụ cột quản trị, quản lý rủi ro và tuân thủ nhằm giúp tổ chức hoạt động hiệu quả, giảm chồng chéo và đảm bảo tính nhất quán trong ra quyết định.

Three Lines Model (trước đây gọi là Three Lines of Defense)

Mô hình phân chia trách nhiệm quản lý rủi ro thành 3 tuyến: Tuyến 1 (bộ phận vận hành - sở hữu và quản lý rủi ro hàng ngày), Tuyến 2 (chức năng risk/compliance - giám sát và hỗ trợ), Tuyến 3 (Internal Audit - đảm bảo độc lập, khách quan). Hội đồng quản trị (governing body) giám sát cả ba tuyến.

COSO ERM Framework

Khung quản trị rủi ro doanh nghiệp do Committee of Sponsoring Organizations phát hành, gồm 5 thành phần: Governance & Culture, Strategy & Objective-Setting, Performance, Review & Revision, Information/Communication/Reporting.

COSO Internal Control - Integrated Framework

Khung kiểm soát nội bộ gồm 5 thành phần: Control Environment, Risk Assessment, Control Activities, Information & Communication, Monitoring Activities - thường dùng làm chuẩn đánh giá ICFR (Internal Control over Financial Reporting).

Risk Appetite

Mức độ rủi ro mà tổ chức sẵn sàng chấp nhận để theo đuổi mục tiêu chiến lược, thường được Hội đồng quản trị phê duyệt và thể hiện bằng chính sách định tính hoặc định lượng.

Risk Tolerance

Mức độ dao động cho phép xung quanh risk appetite đối với một mục tiêu cụ thể; là ranh giới chấp nhận được của biến động trong việc đạt mục tiêu.

Risk Capacity

Mức rủi ro tối đa mà tổ chức có thể chịu đựng về nguồn lực (vốn, thanh khoản...) trước khi gây tổn hại nghiêm trọng đến khả năng tồn tại.

Inherent Risk

Mức độ rủi ro vốn có của một hoạt động hoặc quy trình khi chưa xét đến bất kỳ biện pháp kiểm soát nào.

Residual Risk

Mức độ rủi ro còn lại sau khi đã áp dụng các biện pháp kiểm soát; residual risk = inherent risk - hiệu quả của control.

Control Risk

Rủi ro rằng hệ thống kiểm soát nội bộ không ngăn chặn hoặc phát hiện kịp thời một sai sót hay gian lận trọng yếu.

Detection Risk

Rủi ro rằng thủ tục kiểm toán (audit procedures) không phát hiện được sai sót trọng yếu đang tồn tại.

Audit Risk

Tổng hợp của Inherent Risk, Control Risk và Detection Risk - rủi ro kiểm toán viên đưa ra ý kiến không phù hợp khi báo cáo tài chính/thông tin có sai sót trọng yếu.

Risk Register

Công cụ (thường dạng bảng) ghi nhận toàn bộ rủi ro đã nhận diện, bao gồm mô tả rủi ro, chủ sở hữu rủi ro, khả năng xảy ra, mức ảnh hưởng, biện pháp xử lý và trạng thái theo dõi.

Risk Owner

Cá nhân hoặc bộ phận chịu trách nhiệm quản lý một rủi ro cụ thể, bao gồm quyết định biện pháp xử lý và theo dõi hiệu quả.

Risk Treatment (4T: Treat, Tolerate, Transfer, Terminate)

Bốn chiến lược xử lý rủi ro: Treat (giảm thiểu bằng kiểm soát), Tolerate/Accept (chấp nhận), Transfer (chuyển giao, ví dụ mua bảo hiểm hoặc outsource), Terminate (loại bỏ hoạt động gây rủi ro).

Key Risk Indicator (KRI)

Chỉ số định lượng dùng để cảnh báo sớm sự thay đổi mức độ rủi ro trong một hoạt động hoặc quy trình.

Key Performance Indicator (KPI)

Chỉ số đo lường hiệu quả hoạt động so với mục tiêu đã đề ra, khác với KRI vốn tập trung vào cảnh báo rủi ro.

Key Control Indicator (KCI)

Chỉ số đo lường hiệu quả vận hành của một kiểm soát cụ thể, giúp phát hiện sớm khi control có dấu hiệu suy yếu.

Policy

Văn bản cấp cao thể hiện định hướng, nguyên tắc và kỳ vọng của lãnh đạo tổ chức về một lĩnh vực (ví dụ Information Security Policy); mang tính bắt buộc tuân thủ nhưng không đi vào chi tiết thực hiện.

Procedure

Văn bản mô tả chi tiết các bước cụ thể để thực hiện một hoạt động nhằm tuân thủ policy hoặc standard.

Standard

Yêu cầu cụ thể, đo lường được, bắt buộc tuân thủ nhằm hỗ trợ thực hiện policy (ví dụ: mật khẩu tối thiểu 12 ký tự).

Guideline

Khuyến nghị, hướng dẫn mang tính tham khảo, không bắt buộc, giúp người thực hiện linh hoạt áp dụng.

Segregation of Duties (SoD)

Nguyên tắc phân tách nhiệm vụ nhằm đảm bảo không một cá nhân nào có toàn quyền thực hiện, phê duyệt và ghi nhận một giao dịch từ đầu đến cuối, giảm rủi ro gian lận và sai sót.

IT General Controls (ITGC)

Nhóm kiểm soát nền tảng áp dụng cho toàn bộ hệ thống CNTT, bao gồm: Access Management, Change Management, Backup & Recovery, Physical Security, Computer Operations - là điều kiện tiên quyết để Application Controls hoạt động đáng tin cậy.

Application Controls

Kiểm soát được thiết kế trong một ứng dụng cụ thể nhằm đảm bảo tính đầy đủ, chính xác và hợp lệ của dữ liệu xử lý, ví dụ: input validation, automated calculation, three-way match.

Preventive Control

Kiểm soát nhằm ngăn chặn sự kiện không mong muốn xảy ra trước khi nó xảy ra, ví dụ: phân quyền truy cập, approval workflow.

Detective Control

Kiểm soát nhằm phát hiện sự kiện không mong muốn sau khi đã xảy ra, ví dụ: đối chiếu (reconciliation), log monitoring, audit trail review.

Corrective Control

Kiểm soát nhằm khắc phục hậu quả sau khi sự kiện không mong muốn đã xảy ra, ví dụ: quy trình khôi phục sau sự cố (incident response, disaster recovery).

Compensating Control

Kiểm soát thay thế được áp dụng khi kiểm soát chính không thể triển khai hoặc không đủ hiệu quả, nhằm giảm thiểu rủi ro tương đương.

Manual Control

Kiểm soát được thực hiện bởi con người, ví dụ: xét duyệt thủ công, kiểm tra chéo.

Automated Control

Kiểm soát được thực hiện tự động bởi hệ thống CNTT mà không cần can thiệp thủ công, thường đáng tin cậy và nhất quán hơn manual control.

Control Environment

Nền tảng văn hóa và thái độ của tổ chức đối với kiểm soát nội bộ, bao gồm tính chính trực, đạo đức, cơ cấu tổ chức và phân quyền trách nhiệm - là thành phần đầu tiên trong COSO framework.

Audit Universe

Danh mục toàn bộ các đối tượng có thể kiểm toán (auditable entities) trong tổ chức, dùng làm cơ sở xây dựng kế hoạch kiểm toán dựa trên rủi ro (risk-based audit plan).

Audit Charter

Văn bản chính thức xác định mục đích, quyền hạn, trách nhiệm và vị trí của bộ phận Kiểm toán nội bộ trong tổ chức, thường được Hội đồng quản trị/Ủy ban Kiểm toán phê duyệt.

Risk-Based Audit Planning

Phương pháp lập kế hoạch kiểm toán ưu tiên các lĩnh vực có rủi ro cao nhất dựa trên đánh giá rủi ro định kỳ của audit universe.

Audit Engagement

Một cuộc kiểm toán hoặc hoạt động tư vấn cụ thể được thực hiện bởi Kiểm toán nội bộ, có phạm vi, mục tiêu và thời gian xác định.

Engagement Planning

Giai đoạn đầu của một cuộc kiểm toán, bao gồm xác định mục tiêu, phạm vi, tiêu chí đánh giá, phân bổ nguồn lực và xây dựng chương trình kiểm toán (audit program).

Audit Program

Tài liệu chi tiết liệt kê các thủ tục kiểm toán cụ thể (audit procedures) cần thực hiện để đạt được mục tiêu của cuộc kiểm toán.

Walkthrough

Thủ tục kiểm toán trong đó kiểm toán viên theo dõi một giao dịch xuyên suốt quy trình từ đầu đến cuối để hiểu và xác nhận thiết kế của kiểm soát.

Test of Design (TOD)

Thủ tục đánh giá xem một kiểm soát có được thiết kế phù hợp để ngăn chặn/phát hiện rủi ro hay không, không xét đến việc kiểm soát có vận hành hiệu quả hay không.

Test of Operating Effectiveness (TOE)

Thủ tục kiểm tra xem kiểm soát có thực sự vận hành nhất quán và hiệu quả trong suốt kỳ đánh giá hay không, thường dựa trên lấy mẫu.

Substantive Testing

Thủ tục kiểm toán nhằm phát hiện trực tiếp sai sót trọng yếu trong số liệu hoặc giao dịch, không phụ thuộc vào việc kiểm soát có hoạt động hay không.

Sampling (Statistical vs Judgmental)

Phương pháp chọn mẫu để kiểm tra: Statistical sampling dùng xác suất toán học để chọn mẫu và suy rộng kết quả (ví dụ random sampling); Judgmental sampling dựa trên kinh nghiệm và xét đoán chuyên môn của kiểm toán viên.

Attribute Sampling

Kỹ thuật lấy mẫu thống kê dùng để ước tính tỷ lệ xảy ra của một đặc điểm (ví dụ tỷ lệ giao dịch thiếu phê duyệt) trong tổng thể.

Materiality

Ngưỡng mà một sai sót hoặc thiếu sót được coi là đủ quan trọng để ảnh hưởng đến quyết định của người sử dụng thông tin; dùng để xác định phạm vi và mức độ kiểm tra.

Audit Evidence

Thông tin thu thập được để hỗ trợ kết luận kiểm toán, phải đảm bảo tính đầy đủ (sufficient), phù hợp (relevant) và đáng tin cậy (reliable).

Audit Finding

Kết quả quan sát được trong quá trình kiểm toán khi so sánh giữa "hiện trạng" (condition) và "tiêu chí kỳ vọng" (criteria), thường trình bày theo cấu trúc: Condition, Criteria, Cause, Effect, Recommendation (5C).

Root Cause Analysis

Kỹ thuật phân tích nhằm xác định nguyên nhân gốc rễ của một vấn đề thay vì chỉ xử lý triệu chứng bề mặt, thường dùng phương pháp "5 Whys" hoặc Fishbone Diagram.

Control Self-Assessment (CSA)

Phương pháp trong đó chính bộ phận quản lý (management) tự đánh giá hiệu quả của các kiểm soát trong phạm vi mình phụ trách, thường có sự hỗ trợ hoặc giám sát của Internal Audit.

Continuous Auditing / Continuous Monitoring

Continuous Auditing là hoạt động kiểm toán liên tục, tự động hóa để cung cấp đảm bảo gần thời gian thực; Continuous Monitoring là trách nhiệm của management nhằm giám sát liên tục hoạt động kiểm soát và rủi ro.

Change Management (IT Control)

Quy trình kiểm soát việc thay đổi hệ thống/ứng dụng/hạ tầng CNTT nhằm đảm bảo mọi thay đổi được yêu cầu, phê duyệt, kiểm thử, và triển khai đúng cách trước khi đưa vào production.

Access Management (Logical Access Control)

Quy trình kiểm soát việc cấp, thay đổi, thu hồi quyền truy cập vào hệ thống dựa trên nguyên tắc least privilege và need-to-know.

Least Privilege

Nguyên tắc chỉ cấp cho người dùng/hệ thống mức quyền truy cập tối thiểu cần thiết để thực hiện công việc.

Need-to-Know

Nguyên tắc chỉ cung cấp thông tin cho những người thực sự cần biết để thực hiện nhiệm vụ, giảm thiểu rủi ro rò rỉ thông tin.

User Access Review (UAR)

Hoạt động định kỳ rà soát danh sách người dùng và quyền truy cập nhằm phát hiện và loại bỏ các quyền truy cập dư thừa hoặc không còn phù hợp.

Privileged Access Management (PAM)

Tập hợp các biện pháp kiểm soát dành riêng cho tài khoản có quyền cao (admin, root) nhằm giảm thiểu rủi ro lạm dụng quyền hạn.

COBIT (Control Objectives for Information and Related Technologies)

Khung quản trị và quản lý CNTT doanh nghiệp do ISACA phát hành, giúp liên kết mục tiêu CNTT với mục tiêu kinh doanh; phiên bản mới nhất là COBIT 2019 với các Governance/Management Objectives theo nhóm EDM, APO, BAI, DSS, MEA.

ITIL (Information Technology Infrastructure Library)

Khung thực hành tốt nhất về quản lý dịch vụ CNTT (ITSM), tập trung vào các quy trình như Incident Management, Problem Management, Change Management, Service Level Management.

NIST Cybersecurity Framework (CSF)

Khung an ninh mạng của Viện Tiêu chuẩn Hoa Kỳ, gồm 5 (hoặc 6 trong CSF 2.0) chức năng chính: Govern, Identify, Protect, Detect, Respond, Recover.

ISO/IEC 27001

Tiêu chuẩn quốc tế về Hệ thống quản lý an toàn thông tin (ISMS - Information Security Management System), quy định các yêu cầu để thiết lập, triển khai, duy trì và cải tiến liên tục ISMS.

ISMS (Information Security Management System)

Hệ thống quản lý an toàn thông tin bao gồm chính sách, quy trình, kiểm soát và nguồn lực nhằm bảo vệ tính bảo mật (Confidentiality), tính toàn vẹn (Integrity) và tính sẵn sàng (Availability) của thông tin (CIA Triad).

CIA Triad (trong an ninh thông tin)

Ba thuộc tính cốt lõi cần bảo vệ: Confidentiality (bảo mật - chỉ người được phép mới truy cập), Integrity (toàn vẹn - dữ liệu không bị thay đổi trái phép), Availability (sẵn sàng - hệ thống/dữ liệu luôn sẵn sàng khi cần).

PDCA Cycle (Plan-Do-Check-Act)

Chu trình cải tiến liên tục làm nền tảng cho ISO 27001: Plan (lập kế hoạch ISMS), Do (triển khai), Check (đánh giá, giám sát), Act (cải tiến dựa trên kết quả đánh giá).

ISO 27001 Clause 4 - Context of the Organization

Yêu cầu tổ chức xác định các vấn đề nội bộ/bên ngoài, nhu cầu và kỳ vọng của các bên liên quan, cũng như phạm vi của ISMS.

ISO 27001 Clause 5 - Leadership

Yêu cầu lãnh đạo cao nhất thể hiện cam kết đối với ISMS, thiết lập chính sách an toàn thông tin, phân công vai trò và trách nhiệm.

ISO 27001 Clause 6 - Planning

Yêu cầu tổ chức thực hiện đánh giá rủi ro an toàn thông tin, xây dựng kế hoạch xử lý rủi ro (Risk Treatment Plan) và lập Statement of Applicability (SoA).

ISO 27001 Clause 7 - Support

Yêu cầu về nguồn lực, năng lực nhân sự, nhận thức, truyền thông và tài liệu hóa thông tin dạng văn bản (documented information) cần thiết cho ISMS.

ISO 27001 Clause 8 - Operation

Yêu cầu về việc lập kế hoạch, triển khai và kiểm soát các quy trình vận hành cần thiết để đáp ứng yêu cầu an toàn thông tin, bao gồm thực hiện đánh giá và xử lý rủi ro định kỳ.

ISO 27001 Clause 9 - Performance Evaluation

Yêu cầu tổ chức giám sát, đo lường, phân tích, đánh giá hiệu quả ISMS thông qua internal audit và management review.

ISO 27001 Clause 10 - Improvement

Yêu cầu tổ chức xử lý sự không phù hợp (nonconformity), thực hiện hành động khắc phục (corrective action) và cải tiến liên tục ISMS.

Statement of Applicability (SoA)

Tài liệu bắt buộc trong ISO 27001, liệt kê toàn bộ các kiểm soát trong Annex A, nêu rõ kiểm soát nào được áp dụng hay không áp dụng và lý do, làm cơ sở đối chiếu khi audit.

Annex A (ISO 27001:2022)

Danh mục 93 kiểm soát tham chiếu, được chia thành 4 nhóm: Organizational controls (37), People controls (8), Physical controls (14), Technological controls (34) - thay thế cho cấu trúc 14 domain của phiên bản 2013.

Risk Treatment Plan (RTP)

Kế hoạch mô tả cách tổ chức xử lý từng rủi ro đã xác định, bao gồm kiểm soát được chọn, người chịu trách nhiệm, nguồn lực và thời hạn thực hiện.

Certification Audit - Stage 1

Giai đoạn đầu của audit chứng nhận ISO 27001, tổ chức chứng nhận rà soát tài liệu ISMS (chính sách, SoA, đánh giá rủi ro) để xác định mức độ sẵn sàng cho Stage 2.

Certification Audit - Stage 2

Giai đoạn đánh giá thực tế việc triển khai và vận hành hiệu quả của ISMS tại tổ chức, kiểm tra bằng chứng thực tế về việc tuân thủ các kiểm soát đã cam kết.

Surveillance Audit

Đánh giá giám sát định kỳ (thường hàng năm) sau khi được cấp chứng nhận ISO 27001, nhằm đảm bảo ISMS tiếp tục được duy trì hiệu quả trong chu kỳ chứng nhận 3 năm.

Nonconformity (Major vs Minor)

Sự không phù hợp với yêu cầu tiêu chuẩn: Major nonconformity là sai lệch nghiêm trọng ảnh hưởng đến khả năng ISMS đạt mục tiêu, có thể khiến không được cấp/duy trì chứng nhận; Minor nonconformity là sai lệch nhỏ, đơn lẻ, không ảnh hưởng hệ thống toàn diện.

Corrective Action

Hành động nhằm loại bỏ nguyên nhân gốc rễ của sự không phù hợp để ngăn nó tái diễn, khác với hành động khắc phục tức thời (correction) chỉ xử lý hậu quả trước mắt.

Asset Inventory (ISO 27001 A.5.9)

Danh mục các tài sản thông tin (dữ liệu, phần mềm, phần cứng...) mà tổ chức sở hữu, làm cơ sở cho việc đánh giá rủi ro và phân loại thông tin.

Information Classification

Việc phân loại thông tin theo mức độ nhạy cảm (ví dụ: Public, Internal, Confidential, Restricted) để áp dụng biện pháp bảo vệ phù hợp.

Business Continuity Management (BCM)

Quy trình đảm bảo tổ chức có thể duy trì hoặc khôi phục các hoạt động thiết yếu khi xảy ra sự cố gián đoạn, bao gồm Business Impact Analysis (BIA), Business Continuity Plan (BCP), Disaster Recovery Plan (DRP).

Business Impact Analysis (BIA)

Quá trình xác định mức độ ảnh hưởng của việc gián đoạn đối với các quy trình kinh doanh, từ đó xác định Recovery Time Objective (RTO) và Recovery Point Objective (RPO).

RTO (Recovery Time Objective)

Khoảng thời gian tối đa cho phép một hệ thống/quy trình ngừng hoạt động trước khi gây tổn hại không thể chấp nhận cho tổ chức.

RPO (Recovery Point Objective)

Khoảng thời gian tối đa dữ liệu có thể bị mất tính từ thời điểm sự cố xảy ra đến lần backup gần nhất, xác định tần suất backup cần thiết.

Incident Management

Quy trình xử lý các sự kiện an toàn thông tin nhằm phát hiện, ứng phó, khắc phục và rút kinh nghiệm sau sự cố an ninh.

Vendor/Third-Party Risk Management

Quy trình đánh giá và quản lý rủi ro phát sinh từ việc sử dụng nhà cung cấp/đối tác bên thứ ba, bao gồm due diligence trước khi ký hợp đồng và giám sát định kỳ trong suốt vòng đời hợp tác.

IPPF (International Professional Practices Framework)

Khung thực hành nghề nghiệp quốc tế do IIA (Institute of Internal Auditors) ban hành, là nền tảng chuẩn mực cho nghề Kiểm toán nội bộ toàn cầu, gồm Mandatory Guidance và Recommended Guidance.

Mandatory Guidance (IPPF)

Phần bắt buộc tuân thủ trong IPPF, gồm: Core Principles, Definition of Internal Auditing, Code of Ethics, và Global Internal Audit Standards.

Definition of Internal Auditing

Theo IIA: Kiểm toán nội bộ là hoạt động đảm bảo và tư vấn độc lập, khách quan, được thiết kế nhằm gia tăng giá trị và cải thiện hoạt động của tổ chức, giúp tổ chức đạt mục tiêu thông qua cách tiếp cận có hệ thống để đánh giá và cải thiện hiệu quả của quản trị, quản lý rủi ro và kiểm soát.

Code of Ethics (IIA)

Bộ quy tắc đạo đức nghề nghiệp dành cho kiểm toán viên nội bộ, dựa trên 4 nguyên tắc: Integrity, Objectivity, Confidentiality, Competency.

Core Principles for the Professional Practice of Internal Auditing

Các nguyên tắc cốt lõi IIA yêu cầu, bao gồm: thể hiện tính chính trực, thành thạo và cẩn trọng nghề nghiệp, độc lập và khách quan, phù hợp với chiến lược/mục tiêu/rủi ro tổ chức, có vị trí phù hợp và đủ nguồn lực, minh bạch trong truyền thông, đảm bảo chất lượng, và thúc đẩy cải tiến tổ chức.

Independence (Kiểm toán nội bộ)

Tính độc lập của bộ phận Kiểm toán nội bộ về mặt tổ chức, không chịu sự can thiệp trong việc xác định phạm vi, thực hiện công việc và báo cáo kết quả kiểm toán; thường đạt được thông qua báo cáo trực tiếp lên Ủy ban Kiểm toán.

Objectivity (Kiểm toán nội bộ)

Thái độ không thiên vị của từng cá nhân kiểm toán viên, tránh xung đột lợi ích khi thực hiện công việc, cho phép đưa ra đánh giá khách quan dựa trên bằng chứng.

Due Professional Care

Yêu cầu kiểm toán viên thực hiện công việc với sự thận trọng và năng lực hợp lý của một chuyên gia có kinh nghiệm tương đương, không đòi hỏi sự hoàn hảo tuyệt đối.

Assurance Engagement

Hoạt động kiểm toán nhằm cung cấp đánh giá độc lập về quản trị, quản lý rủi ro và kiểm soát của tổ chức (ví dụ: kiểm toán tài chính, kiểm toán tuân thủ, kiểm toán hoạt động).

Consulting Engagement

Hoạt động tư vấn theo yêu cầu của khách hàng nội bộ (management) nhằm gia tăng giá trị và cải thiện quy trình quản trị, quản lý rủi ro, kiểm soát, mà không mang tính đảm bảo độc lập như assurance.

Chief Audit Executive (CAE)

Người đứng đầu bộ phận Kiểm toán nội bộ, chịu trách nhiệm quản lý hoạt động kiểm toán nội bộ một cách tổng thể và báo cáo lên cấp quản trị cao nhất (Board/Audit Committee).