Process mining dành cho kiểm toán viên

Process mining cho kiểm toán viên: xem điều gì thực sự đã xảy ra

So sánh dữ liệu sự kiện từ các hồ sơ đã hoàn tất với mô hình quy trình được phê duyệt. Tìm sai lệch, xem lịch sử hồ sơ liên quan và xuất bằng chứng để rà soát. Phân tích này hỗ trợ công việc kiểm toán, nhưng không thay thế nhận định của bạn hay chứng nhận việc tuân thủ.

Process mining tạo ra bằng chứng gì?

Kiểm tra mức độ tuân thủ quy trình bằng cách so sánh quá trình thực hiện được ghi nhận với tiêu chuẩn bạn xác định. Kết quả cho thấy hồ sơ nào đi theo luồng dự kiến và hồ sơ nào có khác biệt. Dùng bằng chứng này để tập trung rà soát các trường hợp ngoại lệ, thay vì tự dựng lại từng hồ sơ.

Bằng chứng phụ thuộc vào dữ liệu sự kiện và tiêu chuẩn quy trình bạn cung cấp. Khác biệt giữa hoạt động được ghi nhận và biện pháp kiểm soát đã xác định không giải thích được nguyên nhân, cũng không chứng minh biện pháp kiểm soát đã thất bại. Bạn cần tự đánh giá ý nghĩa của phát hiện.

Tìm hiểu cách Process Mining hỗ trợ kiểm tra mức độ tuân thủ quy trình.

Truy vết phát hiện về hồ sơ nguồn như thế nào?

Bắt đầu từ một sai lệch trong kết quả phân tích, rồi xem lịch sử quy trình của hồ sơ liên quan. Từ phát hiện tổng quan, chuyển đến các sự kiện được ghi nhận của hồ sơ đó, sau đó xem lại thứ tự và thời điểm diễn ra trong bối cảnh cụ thể.

Để dễ rà soát kết quả, hãy giữ lại mã hồ sơ liên quan và hồ sơ nguồn cùng với dữ liệu xuất. Dữ liệu sự kiện cần có bản ghi hoạt động, dấu thời gian và thông tin tham chiếu hồ sơ cần thiết để truy vết quá trình thực hiện về nguồn.

Có thể xuất dữ liệu gì và cần lưu kèm những gì?

Sau khi rà soát sai lệch, hãy xuất các phát hiện và bằng chứng hỗ trợ để lưu vào hồ sơ kiểm toán. Lưu kèm mô hình quy trình đã phê duyệt, phạm vi và khoảng thời gian kiểm tra, cùng thông tin tham chiếu đến dữ liệu nguồn đã dùng trong phân tích.

Nếu thiếu bối cảnh này, sẽ khó đánh giá danh sách sai lệch. ProcessMind cung cấp bằng chứng để bạn rà soát, còn bạn quyết định bằng chứng đó đã đủ cho cuộc kiểm toán hay chưa.

Ghi nhận và đánh giá trường hợp ngoại lệ như thế nào?

Sai lệch là khác biệt giữa quá trình thực hiện được ghi nhận và mô hình quy trình dùng làm chuẩn để kiểm tra. Sai lệch có thể cho thấy một hoạt động bị bỏ qua, trình tự không như dự kiến hoặc một điểm khác với luồng đã xác định.

Ghi riêng trường hợp ngoại lệ, bằng chứng hồ sơ và đánh giá của bạn. Phân tích có thể giúp bạn tìm và điều tra các biến thể, nhưng không thể xác định ngoại lệ có chính đáng hay không, có vi phạm biện pháp kiểm soát hay là vấn đề tuân thủ. Việc đánh giá cần dựa vào nhận định của bạn và bối cảnh liên quan trong tổ chức.

Thực hiện kiểm tra mức độ tuân thủ quy trình như thế nào?

1. Chọn quy trình và câu hỏi về biện pháp kiểm soát. Xác định nội dung cần kiểm tra, khoảng thời gian trong phạm vi và tiêu chuẩn quy trình đã phê duyệt.
2. Chuẩn bị dữ liệu sự kiện. Đưa vào mã hồ sơ và bản ghi hoạt động cần thiết để truy vết quá trình thực hiện về hồ sơ nguồn.
3. So sánh quá trình thực hiện với tiêu chuẩn. Chạy kiểm tra mức độ tuân thủ quy trình và rà soát các sai lệch được phát hiện.
4. Điều tra các trường hợp ngoại lệ. Mở lịch sử hồ sơ liên quan, kiểm tra bản ghi nguồn và ghi lại đánh giá của bạn.
5. Xuất bằng chứng. Lưu chung các phát hiện, thông tin tham chiếu hồ sơ, mô hình quy trình và phạm vi kiểm tra để tiện rà soát.

Đọc hướng dẫn quản trị quy trình để tìm hiểu cách xác định và duy trì các tiêu chuẩn quy trình.

Kiểm tra mức độ tuân thủ quy trình diễn ra thế nào trong thực tế?

Giả sử quy trình đã được phê duyệt yêu cầu gửi, rà soát và phê duyệt đề nghị trước khi thanh toán. Hãy mô hình hóa trình tự đó, rồi so sánh với dữ liệu sự kiện từ các hồ sơ đã hoàn tất.

Phân tích có thể đánh dấu các hồ sơ có hoạt động được ghi nhận khác với mô hình, chẳng hạn thanh toán được ghi nhận trước khi phê duyệt. Xem lịch sử hồ sơ và truy vết phát hiện về bản ghi nguồn. Sau đó, đánh giá trình tự này có phải là ngoại lệ trong kiểm soát, vấn đề dữ liệu hay biến thể đã được phê duyệt, rồi ghi lại kết luận để rà soát.

Kết quả là bằng chứng về mức độ tuân thủ quy trình, không phải quyết định tự động về việc tuân thủ.

Process mining hỗ trợ chuẩn bị kiểm toán như thế nào?

Process mining có thể giúp bạn tìm sai lệch trong các hồ sơ sẵn có, thay vì chỉ dựa vào mẫu được chọn thủ công. Dùng kết quả để tập trung điều tra, sắp xếp bằng chứng theo lịch sử hồ sơ và lặp lại cùng một phép kiểm tra khi rà soát một giai đoạn khác.

Phạm vi bao quát phụ thuộc vào mức độ đầy đủ và chất lượng của dữ liệu sự kiện. Sự kiện bị thiếu, mã hồ sơ không nhất quán hoặc mô hình quy trình chưa đầy đủ đều có thể ảnh hưởng đến kết quả. Hãy xác minh dữ liệu và tiêu chuẩn trước khi dựa vào các phát hiện.

Điều này liên quan thế nào đến ISO 9001 và DORA?

Đối với tài liệu quy trình theo ISO 9001, mô hình quy trình đã xác định có thể làm tiêu chuẩn để so sánh với quá trình thực hiện được ghi nhận. Phân tích giúp bạn tìm các hồ sơ thực tế khác mô hình ở đâu. Bản thân phân tích không chứng minh tài liệu hoặc hệ thống quản lý chất lượng của bạn đáp ứng yêu cầu ISO 9001.

Đối với bằng chứng về khả năng phục hồi vận hành theo DORA, dữ liệu quy trình có thể giúp bạn xem xét hoạt động được ghi nhận liên quan đến quy trình và sự cố ICT. Bằng chứng có đáp ứng nghĩa vụ của bạn hay không còn tùy thuộc vào yêu cầu, hồ sơ sẵn có và đánh giá của bạn. Process mining không chứng nhận việc tuân thủ DORA.

Xem tình huống ứng dụng process mining trong ngành khoa học sự sống để tham khảo thêm một ví dụ phân tích quy trình trong môi trường chịu sự quản lý chặt chẽ.

Bạn cần kiểm tra gì trước khi sử dụng kết quả?

Trước khi dùng dữ liệu xuất ra trong một cuộc kiểm toán, hãy xác nhận rằng:

• Mô hình quy trình phản ánh tiêu chuẩn đã được phê duyệt trong giai đoạn được xem xét.
• Dữ liệu sự kiện bao quát các trường hợp và hoạt động thuộc phạm vi kiểm tra.
• Mã định danh trường hợp giúp bạn truy vết phát hiện về hồ sơ nguồn.
• Bạn đã ghi lại phạm vi kiểm tra và mọi giới hạn của dữ liệu.
• Bạn đã đánh giá các trường hợp ngoại lệ, thay vì xem mọi sai lệch là lỗi kiểm soát.

Hãy bắt đầu với một quy trình và một câu hỏi kiểm soát được xác định rõ. Sau đó, đánh giá xem các phát hiện ở cấp trường hợp và bằng chứng xuất ra có đáp ứng nhu cầu kiểm toán của bạn không.