Chức năng Kiểm toán Nội bộ Văn phòng Gia đình: Phạm vi, Đường báo cáo và Biện pháp Bảo đảm Độc lập

Các văn phòng gia đình có độ phức tạp đáng kể — đặc biệt là những đơn vị quản lý tài sản đa thế hệ trên nhiều khu vực pháp lý, các phương tiện đầu tư và nhà cung cấp dịch vụ — cần một chức năng kiểm toán nội bộ chính thức để hỗ trợ quản trị, quản lý rủi ro và tuân thủ quy định. Thiết kế chức năng này phải đảm bảo hoạt động độc lập với quản lý tuyến đồng thời cung cấp sự bảo đảm khách quan về hiệu quả của kiểm soát nội bộ, giảm thiểu rủi ro và quy trình quản trị. Bài viết này trình bày cách xác định phạm vi, đường báo cáo và biện pháp bảo đảm độc lập của nhiệm vụ kiểm toán nội bộ sao cho phù hợp với kỳ vọng của cơ quan quản lý và Mô hình Ba Dòng của Viện Kiểm toán Nội bộ.

Chức năng kiểm toán nội bộ trong một văn phòng gia đình nên được thành lập dựa trên một điều lệ chính thức được hội đồng quản trị hoặc cơ quan quản trị tương đương phê duyệt. Điều lệ này phải xác định mục tiêu, thẩm quyền, phạm vi và trách nhiệm của chức năng sao cho phù hợp với tiêu chuẩn của Văn phòng Kiểm soát viên Tiền tệ (OCC) về kiểm soát nội bộ và quản trị kiểm toán. Theo các sổ tay Internal Control và Internal and External Audits của OCC, điều lệ cần nêu rõ việc trao quyền cho chức năng kiểm toán nội bộ quyền truy cập không hạn chế vào mọi hồ sơ, nhân sự và tài sản vật lý cần thiết để thực hiện nhiệm vụ. Nó cũng phải chỉ rõ rằng trưởng phòng kiểm toán nội bộ báo cáo về mặt chức năng cho ủy ban kiểm toán và về mặt hành chính cho một giám đốc cấp cao, thường là giám đốc điều hành hoặc chủ tịch hội đồng quản trị.

Vị trí cấu trúc của kiểm toán nội bộ phải phản ánh hồ sơ rủi ro của văn phòng. Đối với các văn phòng quản lý danh mục ủy thác, vốn tư nhân hoặc bất động sản, chức năng này nên được đặt ở mức đủ để ảnh hưởng đến các quyết định chiến lược và nhận được thông tin kịp thời. OCC nhấn mạnh rằng vị trí tổ chức và mối quan hệ báo cáo của chức năng kiểm toán nội bộ là yếu tố then chốt quyết định tính hiệu quả và khách quan. Khi văn phòng gia đình hoạt động dưới sự giám sát của cơ quan quản lý — chẳng hạn thông qua các công ty con tư vấn đầu tư đã đăng ký — nhiệm vụ kiểm toán nội bộ có thể phải tuân thủ các yêu cầu bổ sung theo quy định của SEC dành cho tư vấn đầu tư đã đăng ký, bao gồm quy định về chương trình tuân thủ theo Đạo luật Tư vấn.

Phạm vi kiểm toán nội bộ phải dựa trên rủi ro và linh hoạt, bao quát tất cả các hoạt động kinh doanh, hệ thống và kiểm soát quan trọng. Theo hướng dẫn của OCC, phạm vi nên bao gồm tính chất và quy mô của các doanh nghiệp, dòng sản phẩm, dịch vụ và chức năng so với hồ sơ rủi ro của văn phòng. Điều này bao gồm quy trình quản lý đầu tư, quản trị ủy thác và di sản, tuân thủ thuế, an ninh mạng, rủi ro bên thứ ba (ví dụ: nhà cung cấp dịch vụ văn phòng gia đình, ngân hàng ký quỹ, cố vấn pháp lý) và giám sát giao dịch các bên liên quan.

Tần suất và mức độ sâu của các cuộc kiểm toán cần được điều chỉnh phù hợp với mức độ rủi ro: các khu vực có rủi ro cao—như vị thế tập trung, chiến lược phái sinh, hoặc cấu trúc quỹ xuyên biên giới—nên được xem xét hàng năm hoặc thậm chí thường xuyên hơn; các khu vực có rủi ro thấp—như các chức năng hỗ trợ hành chính—có thể được xem xét theo chu kỳ đa năm. Phạm vi cũng phải bao gồm hiệu quả của các hoạt động kiểm soát, bao gồm phân tách nhiệm vụ, ngưỡng phê duyệt và quy trình đối chiếu. Khi văn phòng dựa vào các chức năng thuê ngoài (ví dụ: kế toán, giám sát tuân thủ), kiểm toán nội bộ cần đánh giá mức độ đầy đủ của việc giám sát, bao gồm việc xem xét báo cáo của tổ chức dịch vụ (ví dụ: SOC 1 hoặc SOC 2).

Chức năng kiểm toán nội bộ phải báo cáo chức năng cho ủy ban kiểm toán nhằm duy trì tính độc lập và đảm bảo việc nâng cấp kịp thời các vấn đề trọng yếu. Đường báo cáo này cho phép giám đốc kiểm toán trưởng trình bày các phát hiện và khuyến nghị trực tiếp với ủy ban mà không bị can thiệp từ ban quản lý. Về mặt hành chính, chức năng này nên báo cáo cho một lãnh đạo cấp cao—thông thường là giám đốc điều hành (CEO) hoặc chủ tịch hội đồng quản trị—để hỗ trợ việc phân bổ nguồn lực, nhân sự và phối hợp hoạt động.

Ủy ban kiểm toán chịu trách nhiệm phê duyệt bản điều lệ kiểm toán nội bộ, kế hoạch và ngân sách hàng năm, đồng thời đánh giá hiệu suất của giám đốc kiểm toán trưởng. Ủy ban nên họp riêng với kiểm toán nội bộ, tách biệt khỏi ban quản lý, để thảo luận các vấn đề nhạy cảm, bao gồm các xung đột tiềm năng hoặc giới hạn phạm vi. Sổ tay Corporate and Risk Governance của OCC ghi chú rằng hội đồng quản trị và các ủy ban cần đánh giá mức độ đầy đủ của chức năng kiểm toán nội bộ trong khuôn khổ quản trị rủi ro rộng hơn, bao gồm tính độc lập của các kiểm toán viên và chất lượng của các phát hiện kiểm toán.

Tính độc lập được duy trì thông qua các biện pháp bảo đảm về cấu trúc, quy trình và văn hoá. Về cấu trúc, giám đốc kiểm toán trưởng không được nắm giữ bất kỳ trách nhiệm vận hành nào và không được báo cáo cho quản lý tuyến. Về quy trình, chức năng này phải có quyền truy cập không giới hạn vào mọi hồ sơ, hệ thống và nhân sự, đồng thời được phép thuê chuyên gia hoặc tư vấn bên ngoài mà không cần sự chấp thuận trước của ban quản lý khi cần thiết. Đội kiểm toán nội bộ không được giao nhiệm vụ thực hiện kiểm soát hay thiết kế hệ thống—đây là trách nhiệm của tuyến theo Mô hình Ba Tuyến.

Mô hình Three Lines Model của Viện Kiểm toán Nội bộ làm rõ rằng kiểm toán nội bộ (tuyến thứ ba) cung cấp bảo đảm độc lập về hiệu quả của tuyến thứ nhất (các đơn vị kinh doanh) và tuyến thứ hai (các chức năng rủi ro và tuân thủ). Để duy trì tính khách quan, nhân viên kiểm toán nội bộ phải tránh kiểm toán các lĩnh vực mà họ đã từng đảm nhiệm vai trò quản lý hoặc triển khai ít nhất một năm trước đó. Đánh giá hiệu suất của giám đốc kiểm toán trưởng phải được thực hiện duy nhất bởi ủy ban kiểm toán, với ý kiến đóng góp của các thành viên độc lập khi có.

Các family office thường làm suy giảm hiệu quả của kiểm toán nội bộ bằng cách nhầm lẫn nó với giám sát tuân thủ, chuẩn bị thuế, hoặc hỗ trợ vận hành. Kiểm toán nội bộ không nên thực hiện các chức năng quản lý, chẳng hạn như lập báo cáo tài chính, tiến hành thẩm định đầu tư mới, hoặc soạn thảo chính sách. Khi kiểm toán nội bộ được sử dụng như một đội vận hành thực tế, tính khách quan của nó bị ảnh hưởng và mức độ giám sát của cơ quan quản lý tăng lên.

Một lỗi thường gặp khác là hạn chế quyền truy cập thông tin hoặc nhân sự. Ban quản lý có thể phản đối việc cung cấp quyền truy cập cho các thành viên gia đình, cố vấn tin cậy, hoặc hệ thống độc quyền. Để khắc phục, bản điều lệ kiểm toán nội bộ cần nêu rõ quyền truy cập và yêu cầu tất cả nhân viên và thành viên hội đồng quản trị hợp tác với các yêu cầu kiểm toán. Khi sự phản đối vẫn tiếp diễn, giám đốc kiểm toán trưởng phải nâng vấn đề lên trực tiếp ủy ban kiểm toán và, nếu không giải quyết được, lên toàn hội đồng quản trị.

Hãy xem xét một family office quản lý tài sản trị giá 1,2 tỷ USD qua ba thực thể pháp lý: công ty đầu tư gia đình, công ty ủy thác và quỹ tư nhân. Chức năng kiểm toán nội bộ, với hai chuyên gia, xây dựng kế hoạch hàng năm dựa trên ma trận rủi ro cân nhắc quyền tài phán, tập trung tài sản, rủi ro bên thứ ba và rủi ro pháp lý. Các khu vực có rủi ro cao bao gồm kiểm soát ủy thác của công ty ủy thác, các khoản đầu tư quỹ xuyên biên giới và tuân thủ việc cấp trợ cấp của quỹ. Những khu vực này được lên lịch kiểm tra hàng quý, trong khi các chức năng hành chính (ví dụ: nhân sự, cơ sở vật chất) được kiểm tra mỗi hai năm.

Giám đốc kiểm toán trưởng báo cáo hành chính cho chủ tịch hội đồng quản trị và báo cáo chức năng cho ủy ban kiểm toán. Ủy ban kiểm toán họp hàng quý với kiểm toán nội bộ trong phiên họp riêng và nhận các báo cáo bằng văn bản về mọi cuộc kiểm tra. Khi kiểm toán nội bộ phát hiện một lỗ hổng kiểm soát trong quy trình xem xét xung đột lợi ích của công ty ủy thác, phát hiện này được đưa thẳng lên ủy ban, sau đó ủy ban chỉ đạo ban quản lý triển khai quy trình phê duyệt đã được sửa đổi và đào tạo lại nhân viên. Đội kiểm toán nội bộ không thiết kế hay thực hiện quy trình mới—đây vẫn là trách nhiệm của tuyến—đảm bảo tính độc lập được duy trì.