Kiểm soát nội bộ: Bài học vỡ lòng của doanh nghiệp

Kiểm soát nội bộ là những phương pháp và chính sách được thiết kế để ngăn chặn gian lận, giảm thiểu sai sót, khuyến khích hiệu quả hoạt động, và nhằm đạt được sự tuân thủ các chính sách và quy trình được thiết lập. Một hệ thống kiểm soát nội bộ vững mạnh sẽ giúp đem lại các lợi ích sau cho công ty: 

Đảm bảo tính chính xác của các số liệu kế toán và báo cáo tài chính của công ty; 

Giảm bớt rủi ro gian lận hoặc trộm cắp đối với công ty do bên thứ ba hoặc nhân viên của công ty gây ra; 

Giảm bớt rủi ro sai sót không cố ý của nhân viên mà có thể gây tổn hại cho công ty; 

Giảm bớt rủi ro không tuân thủ chính sách và quy trình kinh doanh của công ty; và 

Ngăn chặn việc tiếp xúc những rủi ro không cần thiết do quản lý rủi ro chưa đầy đủ.

Thông thường, khi công ty phát triển lên thì lợi ích của một hệ thống kiểm soát nội bộ cũng trở nên to lớn hơn vì người chủ công ty sẽ gặp nhiều khó khăn hơn trong việc giám sát và kiểm soát các rủi ro này nếu chỉ dựa vào kinh nghiệm giám sát trực tiếp của bản thân. 

Đối với những công ty mà có sự tách biệt lớn giữa người quản lý và cổ đông, một hệ thống kiểm soát nội bộ vững mạnh sẽ góp phần tạo nên sự tin tưởng cao của cổ đông. Xét về điểm này, một hệ thống kiểm soát nội bộ vững mạnh là một nhân tố của một hệ thống quản trị doanh nghiệp vững mạnh, và điều này rất quan trọng đối với công ty có nhà đầu tư bên ngoài. Các nhà đầu tư sẽ thường trả giá cao hơn cho những công ty có rủi ro thấp hơn.

Việc thực hiện thành công các biện pháp kiểm soát nội bộ đòi hỏi một số nguyên tắc chung: 

Một môi trường văn hoá nhấn mạnh đến sự chính trực, giá trị đạo đức và phân công trách nhiệm rõ ràng;

Quy trình hoạt động và quy trình kiểm soát nội bộ được xác định rõ ràng bằng văn bản và được truyền đạt rộng rãi trong nội bộ công ty;

Các hoạt động rủi ro được phân tách rõ ràng giữa những nhân viên khác nhau;

Tất cả các giao dịch phải được thực hiện với sự uỷ quyền thích hợp;

Mọi nhân viên đều phải tuân thủ hệ thống kiểm soát nội bộ;

Trách nhiệm kiểm tra và giám sát được phân tách rõ ràng;

Định kỳ tiến hành các biện pháp kiểm tra độc lập;

Mọi giao dịch quan trọng phải được ghi lại dưới dạng văn bản;

Định kỳ phải kiểm tra và nâng cao hiệu quả của các biện pháp kiểm soát nội bộ.

1.3 Vai trò của kiểm toán nội bộ

Một số công ty chọn có một “kiểm toán nội bộ” chịu trách nhiệm đảm bảo hệ thống kiểm soát nội bộ được tuân thủ. Kiểm toán nội bộ không được là thành viên cua phòng kế toán vì các biện pháp kiểm soát nội bộ cũng áp dụng cho cả phòng kế toán. 

Cụ thể, kiểm toán nội bộ thường có trách nhiệm kiểm tra: 

Việc tuân thủ các quy trình và chính sách, vốn là một phần của hệ thống kiểm soát nội bộ của công ty;

Việc tuân thủ các chính sách và quy trình kế toán cũng như việc đánh giá tính chính xác của các báo cáo tài chính và báo cáo quản trị; và

Xác định các rủi ro, các vấn đề và nguồn gốc của việc kém hiệu quả và xây dựng kế hoạch giảm thiểu những điều này.

Kiểm toán nội bộ báo cáo trực tiếp lên Tổng Giám đốc hoặc Hội đồng Quản trị. Do đó, với một kiểm toán nội bộ làm việc hiệu quả, hệ thống kiểm soát nội bộ của công ty sẽ liên tục được kiểm tra và hoàn thiện.

Theo Luật Doanh nghiệp Việt Nam, công ty trách nhiệm hữu hạn và công ty cổ phần có trên 11 cổ đông phải có Ban Kiểm soát. Mặc dù vai trò và quyền hạn của Ban Kiểm soát theo Luật Doanh nghiệp không rõ ràng ở một mức nào đó, nhưng có khả năng Ban Kiểm soát đóng vai trò của kiểm toán nội bộ như miêu tả trên. 

Đội ngũ nhân viên bán hàng có thể làm cho công ty cam kết một lịch giao hàng mà nhà máy không thể đáp ứng.

Công ty nên áp dụng một cách thức là nhân viên bán hàng cần nhận được từ trước sự phê duyệt của phòng kế hoạch sản xuất trước khi cam kết về ngày giao hàng hoặc một cách thức khác là phòng kế hoạch sản xuất định kỳ trình lên phòng kinh doanh bản báo cáo về công suất sản xuất còn lại. 

Đơn đặt hàng có thể được chấp nhận mà có những điều khoản hoặc điều kiện không chính xác hoặc từ khách hàng không được phê duyệt. 

Công ty nên có mẫu đơn đặt hàng chuẩn và mẫu này nên được đánh số trước và phải được người có thẩm quyền ký duyệt khi chấp nhận đơn đặt hàng. Đơn này nên phản ánh cụ thể: 

Quy trình bán hàng liên quan;

Từng điều khoản, điều kiện và quy cách cụ thể mà có thể khác nhau giữa các đơn hàng khác nhau;

đã kiểm tra về việc xác nhận về tình trạng còn hàng và lịch giao hàng; và

đã kiểm tra chất lượng tín dụng của khách hàng, hoặc, đối với những khách hàng mới thì cần có sự phê duyệt của bộ phận kiểm tra tín dụng hoặc cán bộ phụ trách kiểm tra chất lượng tín dụng khách hàng.

2.3 Áp dụng những chính sách bán chịu và kiểm tra chất lượng tín dụng hợp lý

Nhân viên bán hàng có thể cấp quá nhiều hạn mức bán chịu cho khách hàng để đẩy mạnh doanh sốbán hàng và do đó làm cho công ty phải chịu rủi ro tín dụng quá mức. 

Người hoặc phòng chịu trách nhiệm phê duyệt hạn mức bán chịu nên được tách biệt khỏi người hoặc phòng chịu trách nhiệm bán hàng. 

Hơn nữa, công ty nên xác định rõ ràng những chính sách bán chịu phản ánh rủi ro tín dụng liên quan đến thông tin về khách hàng. Trong điều kiện lý tưởng, công ty nên có một hệ thống kiểm tra chất lượng tín dụng của khách hàng. Nhìn chung, công ty nên áp dụng hạn mức bán chịu chặt trẽ hơn đối với những khách hàng chỉ giao dịch một lần và những khách hàng nhỏ, vì nhóm khách hàng này thường có rủi ro không trả được nợ lớn hơn những khách hàng lớn và thường xuyên. Vì các công ty Việt Nam có thể có khó khăn trong việc kiểm tra chất lượng tín dụng của khách hàng nước ngoài, chúng tôi gợi ý các công ty nên luôn luôn dùng L/C đối với khách hàng nước ngoài và ngân hàng phát hành L/C phải lớn và có uy tín.

Công ty có thể giao cho khách hàng số lượng hàng hoặc quy cách không chính xác làm cho khách hàng phàn nàn, không chấp nhận hàng hoá đã giao hoặc dẫn đến những chi phí phụ thêm không cần thiết, chẳng hạn như giao hàng thêm lần nữa hoặc phí vận chuyển phụ thêm. 

Bộ phận giao hàng nên lưu giữ nhiều liên của phiếu giao hàng. Các phiếu giao hàng cần được đánh số trước và cần được lập dựa trên đơn đặt hàng đã được phê duyệt. Phiếu giao hàng là một bản ghi về số lượng hàng đã giao và cung cấp các thông tin cần thiết để cho người vận chuyển nội bộ của công ty hoặc công ty vận chuyển bên ngoài có thể tiến hành giao hàng. 

Nếu có thể áp dụng được, phiếu giao hàng nên có tham chiếu chéo đến phiếu đóng gói trước khi vận chuyển1. Ngoài ra, nếu Công ty sử dụng dãy số hoặc mã vạch thì phiếu giao hàng nên có tham chiếu chéo đến dãy số hoặc mã vạch đó. 

Cuối cùng, phiếu giao hàng phải được khách hàng ký để công ty có bằng chứng về khách hàng đã thực tế nhận được hàng và chấp nhận hàng đó.

Nhân viên lập hoá đơn có thể quên lập một số hoá đơn cho hàng hoá đã giao, lập sai hoá đơn hoặc lập một hoá đơn thành hai lần hoặc lập hoá đơn khống trong khi thực tế không giao hàng.

Hoá đơn chỉ nên lập căn cứ vào: 

Phiếu giao hàng đã được khách hàng ký nhận; 

Đơn đặt hàng đã được đối chiếu với phiếu giao hàng; và 

Hợp đồng giao hàng, nếu có. Công ty nên ghi lại trên hoá đơn hoặc trên sổ sách kế toán số tham chiếu đến phiếu giao hàng hoặc mã số đơn đặt hàng để giúp kiểm tra tham chiếu.

Công ty nên sử dụng một danh sách giá bán đã được phê duyệt để giúp cho việc ghi chính xác giá bán trên hoá đơn. 

Một người độc lập như kế toán thuế hoặc kiểm toán nội bộ nên tiến hành kiểm tra giá bán và việc cộng trừ trên hoá đơn theo cách hoặc là ngẫu nhiên hoặc là đối với những hoá đơn vượt quá một giá trị nhất định.

Thủ quỹ hoặc nhân viên thu ngân có thể ăn cắp tiền mặt khách hàng thanh toán trước khi khoản tiền mặt đó được ghi nhận là doanh thu. 

Việc sử dụng hoá đơn mỗi khi giao hàng cùng với hệ thống theo dõi hàng tồn kho và kiểm kho định kỳ sẽ giúp đảm bảo phát hiện ra những giao dịch bán hàng mà không hạch toán. Mối nguy hiểm của việc bị phát hiện sẽ làm giảm động lực thủ quỹ hay nhân viên thu ngân ăn cắp tiền. 

Khuyến khích khách hàng thanh toán bằng chuyển khoản qua ngân hàng cũng giúp làm giảm bớt rủi ro và các chi phí hành chính liên quan đến bán hàng bằng tiền mặt. 

Việc sử dụng máy đếm tiền điện tử hoặc máy phát hành hoá đơn ở các điểm bán hàng trong một số trường hợp cũng giúp ích vì các máy này in ra biên lai cho khách hàng và bản ghi nội bộ về giao dịch trên tệp tin máy tính hoặc băng từđược khoá trong máy. Tệp tin hoặc băng từ không được để cho thủ quỹ tiếp cận. 

Công ty nên tiến hành kiểm tra độc lập về tiền mặt tại quỹ so với tổng số tiền mà thủ quỹ ghi chép hoặc tổng số tiền in ra từ máy đếm tiền hoặc máy phát hành hoá đơn. 

Cuối cùng, nên tách biệt chức năng ghi chép việc thu tiền tại điểm bán hàng và chức năng hạch toán thu tiền trên tài khoản. 

Hệ thống đo lường hoặc cân nặng nên đáng tin cậy và nếu hệ thống này có lỗi thì cần cố gắng khắc phục để hệ thống đáng tin cậy ở mức 100%. Tuy nghe có vẻ hiển nhiên nhưng chúng tôi nhận thấy một vấn đề phổ biến đối với các công ty Việt Nam là giao sai số lượng hàng cho khách hàng, đôi khi dẫn đến tăng chi phí đáng kể. 

3.1.1 Rủi ro 

Người không có thẩm quyền có thể vẫn đề nghị mua hàng được. 

Công ty nên chuẩn hoá và đánh số trước các phiếu đề nghị mua hàng của từng phòng ban đề nghị mua hàng như là một biện pháp kiểm soát các phiếu đề nghị mua hàng hiện tại để đảm bảo rằng hàng đề nghị mua được đặt hàng và hàng được nhận chính xác. Phiếu này phải được người có thẩm quyền ký duyệt và phải được đối chiếu đến tài khoản trên sổ cái để người đề nghị mua hàng có trách nhiệm về ngân sách chi. 

Việc mua hàng chỉ được tiến hành khi trình phiếu đề nghị mua hàng được uỷ quyền.

Nhân viên mua hàng gian lận trong việc đặt hàng chẳng hạn đặt hàng mà nhân viên này sử dụng cho mục đích riêng và có thể trình hoá đơn để được thanh toán liên quan đến khoản mua hàng hư cấu đó. 

Nên tách biệt chức năng đề nghị mua hàng và chức năng đặt hàng. Nói cách khác, mọi việc mua hàng chỉ do phòng thu mua tiến hành và phòng thu mua phải độc lập với các phòng khác. 

Phòng thu mua chỉ nên đặt hàng nhà cung cấp khi nhận được phiếu đề nghị mua hàng tiêu chuẩn đã được người có thẩm quyền ký duyệt. Đơn đặt hàng phải được đánh số trước và tham chiếu đến số của phiếu đề nghị mua hàng, và cung cấp các thông tin liên quan đến hàng hoá/dịch vụ, số lượng, giá cả, quy cách, v.v…. Các liên của đơn đặt hàng này nên được chuyển đến phòng nhận hàng, phòng kế toán và phòng đề nghị mua hàng để giúp kiểm tra nhận hàng và thanh toán sau đó.

Nhân viên mua hàng có thể chọn nhà cung cấp mà không bán hàng hoá/dịch vụ phù hợp nhất hoặc ở mức giá thấp nhất có thể vì nhân viên này nhận tiền hoa hồng không được phép từ nhà cung cấp. 

Công ty nên áp dụng cách thức đòi hỏi ít nhất ba báo giá từ ba nhà cung cấp độc lập đối mỗi khi mua hàng hoặc với mỗi khoản mua hàng trên một mức nào đó. 

Công ty nên hoán đổi vị trí các nhân viên mua hàng để tránh tình trạng một người có quan hệ với một số nhà cung cấp nhất định trong một thời gian dài. Ngoài ra, công ty nên áp dụng một chính sách kỷ luật chặt chẽ khi phát hiện nhân viên nhận tiền hoa hồng không được phép và nên định kỳ tiến hành kiểm tra việc này. 

Công ty cũng nên áp dụng cách thức mà các phòng đề nghị mua hàng định kỳ cho ý kiến phản hồi vềhoạt động của phòng thu mua.

Nhân viên nhận hàng có thể nhận sai hàng – chẳng hạn như hàng hoá sai về số lượng, chất lượng hay quy cách. 

Nên tách biệt chức năng nhận hàng với chức năng đề nghị mua hàng, khi có thểđược, và chức năng đặt hàng. 

Nhân viên nhận hàng, thường là thủ kho ở một số công ty, chỉ nên nhận hàng khi đã nhận được đơn đặt hàng hợp lệ do phòng thu mua gửi đến. Những biên bản nhận hàng được đánh số từ trước nên được lập mỗi khi nhận hàng từ nhà cung cấp. 

Nhân viên nhận hàng nên thực hiện các biện pháp thích hợp để đo lường hàng hoá nhằm đảm bảo hàng hoá thực nhận đồng nhất với đơn đặt hàng về từng quy cách. Một nhân viên kiểm tra chất lượng độc lập nên hỗ trợ việc nhận hàng nếu các quy cách quá phức tạp mà nhân viên nhận hàng không thểđánh giá chính xác được. Biên bản nhận hàng nên có một mục chỉ rõ đã kiểm tra chất lượng, nếu thấy phù hợp. 

Một liên của biên bản nhận hàng sau khi đã hoàn thành và ký xong nên được gửi cho phòng kế toán để làm chứng từ hạch toán và gửi cho phòng đề nghị mua hàng để làm bằng chứng về quy trình mua hàng đã hoàn thành.

Nhà cung cấp có thể phát hành và gửi hoá đơn ghi sai số lượng, giá trị hoặc phát hành hoá đơn đúp. 

Khi công ty nhận được hoá đơn của nhà cung cấp, tất cả các hoá đơn nên được đánh số theo thứ tự để việc sau đó việc kiểm tra vềtính liên tục của các số hoá đơn có thể giúp xác định việc tất cả các hoá đơn nhận được đã được hạch toán. 

Một biện pháp kiểm soát tốt cũng bao gồm việc đóng dấu lên hoá đơn để ghi rõ số tham chiếu của đơn đặt hàng và biên bản nhận hàng, mã tài khoản, nếu phù hợp, và tên viết tắt của nhân viên thực hiện việc kiểm tra này. Việc này sẽ giúp ích cho quá trình đối chiếu chứng từ. 

Kế toán nên kiểm tra các chi tiết của hoá đơn so với đơn đặt hàng và biên bản giao hàng liên quan và lưu giữ chung các chứng từ này. Việc này đảm bảo là tất cả các hoá đơn, vốn là cơ sở để thanh toán cho nhà cung cấp, sẽ liên quan đến những giao dịch mua hàng hợp lệ và nhận đúng hàng.

Khi thanh toán bằng séc, uỷ nhiệm chi hoặc bằng phiếu chi tiền mặt có thể có thanh toán nhầm nhà cung cấp, hoặc với chữ ký được uỷ quyền không đúng, hoặc đề xuất thanh toán các khoản giả mạo hoặc cho người giả mạo hoặc hoá đơn bị thanh toán hai lần liền. 

3.6.2 Giải pháp

Phòng kế toán, hoặc đối với một số công ty là bộ phận công nợ phải trả của phòng kế toán, nên lưu giữ một danh sách các ngày đến hạn thanh toán. Khi đến hạn, kế toán phải trình không chỉ hoá đơn mà cả đơn đặt hàng và biên bản nhận hàng cho người có thẩm quyền ký duyệt thanh toán. 

Phòng mua hàng nên có trách nhiệm thông báo cho phòng kế toán về bất kỳ thay đổi gì liên quan đến việc mua hàng mà có thể dẫn đến thay đổi thanh toán, chẳng hạn như thời hạn thanh toán, chiết khấu, hàng mua bị trả lại, v.v….. Ngoài ra, bất kỳ thay đổi nào như thế cần sự uỷ quyền thích hợp trước khi thay đổi việc thanh toán. 

Tất cả các séc, uỷ nhiệm chi và phiếu chi tiền mặt nên được đánh số trước. 

Hoá đơn đã thanh toán nên được đóng dấu “Đã thanh toán” và số thứ tự của các séc, uỷ nhiệm chi và phiếu chi tiền mặt nên được ghi lại. 

Hàng tồn kho có thể bị mất cắp và việc mất cắp có thể được che dấu. Một khả năng khác là công nhân có thể huỷ bỏ hoặc dấu kín những sản phẩm có lỗi để tránh bị phạt về những sản phẩm đó. 

Nên tách biệt chức năng lưu giữ sổ sách hàng tồn kho (kế toán hàng tồn kho) khỏi chức năng trông giữ hàng tồn kho (thủ quỹ). 

Nên cất giữ vật tư và thành phẩm vào nơi có khoá và chỉ người có thẩm quyền mới có khoá mở chỗ đó. 

Giống như cách kiểm soát tiền mặt, mọi hàng hoá nhập và xuất từ kho hàng phải có phiếu nhập và xuất hàng và phiếu này phải được thủ kho ký. Các phiếu này sẽ được dùng làm chứng từ hạch toán cùng với các chứng từ khác, khi phù hợp, để thủ kho cập nhật sổ kho và để kế toán hàng tồn kho hạch toán chính xác số hàng tồn kho trong sổ cái và sổ phụ. 

Thủ kho chỉ nên đồng ý xuất hàng khi có chỉ thị của người có thẩm quyền và chỉ thị này phải được viết thành văn bản với chữ ký có thẩm quyền. Chỉ thị này có thể kết hợp với phiếu xuất hàng. 

Hàng tồn kho, bao gồm cả sản phẩm dở dang, phải được dán nhãn và theo dõi ở quy mô lô hàng nhỏ nhất có thể được và ở mỗi công đoạn sản xuất nhỏ nhất có thể được – để có thể dễ dàng phát hiện ra bất kỳ hàng hoá nào thất lạc. Hệ thống theo dõi thường bao gồm sổ sách kế toán, sổ sách sản xuất và một số loại nhãn hoặc mã vạch trên hàng hoá. 

Khi di chuyển sản phẩm dở dang giữa các địa điểm hoặc công đoạn sản xuất, phiếu lưu chuyển sản phẩm cần được chuyển giao giữa các tổ trưởng của các địa điểm hoặc công đoạn sản xuất đó. 

Ít nhất là hàng tháng công ty nên tiến hành kiểm kê hàng tồn kho và đối chiếu với sổ kho và sổ sách kế toán. Bất kỳ chênh lệch nào cũng phải được điều tra kỹ càng.

Các giao dịch mua và thanh lý tài sản cố định có thể bị hạch toán sai. Điều này dẫn đến sai các số dư tài sản cố định trên bảng cân đối kế toán, làm méo mó các hệ số hoạt động liên quan đến tài sản hoặc tính sai khấu hao tài sản cố định. 

Phòng kế toán nên lưu giữ bản đăng ký tài sản cố định như là sổ phụ ghi chi tiết từng hạng mục tài sản cốđịnh. Các thông tin cơ bản của một bản đăng ký tài sản cốđịnh là nguyên giá từng tài sản và giá trịtăng thêm hay thay đổi, và khấu hao luỹ kế của tài sản đó. Các thông tin khác bao gồm mã số, vị trí đặt để, ngày mua/thanh lý, nhà cung cấp hoặc nhà sản xuất. Số dư trên bản đăng ký tài sản cốđịnh phải được đối chiếu định kỳ với giá trị ròng của các tài khoản tài sản cố định trên sổ cái. 

Ít nhất là hàng năm, công ty nên tiến hành kiểm kê tất cả tài sản cố định, và đối chiếu số lượng kiểm kê thực tế với bản đăng ký tài sản cố định. Việc kiểm kê và đối chiếu cũng phải tìm ra bất kỳ tài sản nào không sử dụng, hư hỏng hay đã khấu hao đủ mà vẫn còn tiếp tục tính khấu hao. 

Những bản sao của bản đăng ký tài sản cốđịnh nên được gửi cho phòng hành chính và bộ phận mà tài sản cốđịnh đặt ởđó vì điều này giúp các bộ phận trong việc bảo vệ các tài sản này hàng ngày. Ngoài ra, nên có một hệ thống để cập nhật bản đăng ký tài sản cốđịnh được kịp thời thông qua sự phối hợp giữa các bộ phận này với phòng kế toán. 

Tiền mặt có thể bị sử dụng sai mục đích hoặc mất cắp. 

Nên có một hệ thống như là sổ quỹ để hàng ngày thủ quỹ ghi chép thu và chi tiền mặt. Ngoài ra, tiền mặt chỉ được rút ra khỏi quỹ khi có phiếu chi được phê duyệt và thu tiền mặt phải đi kèm với phiếu thu được phê duyệt. 

Nên có hạn mức thanh toán tiền mặt và mọi khoản thanh toán vượt quá một mức nhất định phải được thanh toán qua tài khoản ngân hàng. 

Vào một thời điểm chỉ nên có một người tiếp cận tiền mặt và tiền mặt phải được cất giữ trong hộp có khoá. 

Bút toán giao dịch tiền mặt phải được một nhân viên riêng biệt lập và nhân viên này không được tiếp cận hoặc có chức năng trông giữ tiền mặt. Số dư tiền mặt trên sổ cái cần được đối chiếu hàng ngày với sổ quỹ tiền mặt do thủ quỹ lập.

Công ty có thể không ngăn chặn hoặc phát hiện kịp thời các khoản chuyển khoản hoặc rút tiền ngân hàng có gian lận hoặc có lỗi. 

Kế toán ngân hàng nên thực hiện việc đối chiếu số dư trên sổ phụ ngân hàng với số dư trên sổ sách kếtoán của công ty. Việc đối chiếu này nên được một người có thẩm quyền kiểm tra và người này không được tham gia vào việc xử lý hoặc hạch toán thu chi tiền. Ngoài ra, việc đối chiếu này nên được tiến hành định kỳ, ít nhất là hàng tháng. Bất kỳ chênh lệch nào cũng nên được đối chiếu với các khoản tiền gửi chưa được ngân hàng xử lý hoặc các séc đã phát hành nhưng chưa trình ngân hàng và bất kỳ khoản mục nào không đối chiếu được cần phải báo cáo ngay cho Kế toán Trưởng hoặc Giám đốc Tài chính đểcó biện pháp xử lý.

Người có thẩm quyền ký duyệt cho tài khoản ngân hàng của công ty có thể chỉ thị việc chuyển khoản hoặc rút tiền cho mục đích không được phép. Một cách khác là nhân viên có thể có được chữ ký có thẩm quyền cho việc chuyển khoản hoặc rút tiền ngân hàng do người có thẩm quyền ký duyệt không để ý kỹđến chứng từ mà người đó ký. 

Công ty nên áp dụng một cách thực đòi hỏi nhiều chữ ký cho việc chuyển tiền vượt quá một khoản nào đó – chẳng hạn như một chữ ký của Kế toán Trưởng/Giám đốc Tài chính và một chữ ký của Tổng Giám đốc. 

Mọi chuyển khoản chỉđược phê duyệt khi các chứng từ kế toán được trình lên. Các chứng từ này bao gồm 

i) phiếu đề nghị mua hàng được phê duyệt; 

ii) đơn đặt hàng được nhà cung cấp chấp thuận và hợp đồng mua hàng, nếu có; và

iii) biên bản giao hàng hoặc bằng chứng về việc thực hiện dịch vụ, khi phù hợp. 

Dữ liệu kế toán và tài liệu của công ty (hồ sơ khách hàng, đăng ký tài sản, hồ sơ nhân viên,…) có thể bịsửa đổi, sao chụp, sử dụng theo cách bất lợi hoặc bị ai đó không có thẩm quyền phá huỷ. 

Từng người sử dụng máy tính cần có một tài khoản người sử dụng và mật khẩu duy nhất và bất kỳ phầm mềm nào cũng cần được thiết kế để vận hành với đúng tài khoản người sử dụng đó. 

Các phần mềm cụ thể cũng nên được thiết kế theo cách mà những người sử dụng cụ thể được trao quyền sử dụng một phần hoặc tất cả phần mềm, hoặc tiếp cận một phần hoặc toàn bộ hồ sơ dữ liệu. Công ty nên có chính sách rõ ràng bằng văn bản vềđiều này và chính sách này nên được Cán bộ Quản lý IT hoặc một người khác có thẩm quyền lưu giữ và thực hiện. 

Sổ ghi người sử dụng máy tính và các phần mềm cần được kích hoạt khi có thể. Những người sử dụng thường xuyên không được phép có khả năng xoá hoặc sửa đổi sổ ghi (nghĩa là họ không được có quyền của cán bộ quản lý IT). Định kỳ công ty nên tiến hành kiểm tra độc lập về các sổ ghi để xác định những người sử dụng không được phép.

Các tệp tin dữ liệu, tài liệu của công ty và phần mềm độc quyền của công ty có thể bị hư hỏng do cháy, hỏng phần cứng, do những hành động phá hoại hay ăn cắp. 

Các tệp tin và bản ghi cần được thường xuyên lập bản sao dự phòng, tốt nhất là hàng ngày nhưng nhất định không được ít hơn mức hàng tuần. 

Trong điều kiện lý tưởng nên có 2 tệp tin dự phòng hoặc nhiều hơn nữa, một tệp tin cất giữ an toàn ở văn phòng và một tệp tin cất giữ an toàn ngoài văn phòng. 

Quy trình lập bản sao dự phòng phải được kiểm tra định kỳ và nên có một kế hoạch chi tiết cho việc phục hồi trong trường hợp tệp tin dữ liệu chính bị hỏng hoặc một trong những tệp tin dự phòng bị hỏng. 

Các dữ liệu quan trọng nên được cất giữở máy chủ trung tâm, hoặc hệ thống lưu giữ mạng, và không nên lưu giữở các máy tính riêng lẻ. Điều này là rất quan trọng vì các đĩa cứng riêng lẻ dễ bị hỏng hóc, dẫn đến mất toàn bộ dữ liệu trên các đĩa cứng đó. Máy chủ và hệ thống lưu giữ mạng nên sử dụng RAID hoặc các hệ thống khác để ngay cả khi một đĩa cứng bị hỏng, dữ liệu cũng không bị mất. 

Máy chủ tệp tin trung tâm, hệ thống lưu giữ liên quan đến mạng, và các đĩa dự phòng nên được đểởnơi an toàn, có khóa và chỉ một số người hạn chế có thể tiếp cận.

Phần cứng, phần mềm và các tệp tin dữ liệu có thể bị hỏng do việc sử dụng trái phép hoặc do tin tặc, do cài đặt phần mềm không đăng ký, hoặc do virus phá hoại. 

Công ty nên cài đặt phần mềm diệt virus, chẳng hạn như Norton Anti-Virus, trên tất cả các máy tính và thực hiện quy định là định kỳ chạy và cập nhật phần mềm này. Phần mềm diệt virus nên được thiết kế để quét tất cả các tệp tin công ty nhận qua email hoặc mở ra. 

Công ty nên có quy định không được chạy phần mềm nào chưa cài đặt, không có bản quyền hoặc phần mềm tự chạy mà không được sự phê chuẩn bằng văn bản của cán bộ quản lý IT hoặc cấp quản lý phù hợp. Trong khi đó, người sử dụng bình thường mà dùng máy chạy trên môi trường Windows chỉ nên có quyền của “người sử dụng” để họ không thể cài đặt các phần mềm vào máy tính của họ. Theo cách này, chỉ cán bộ quản lý IT mới có thể cài đặt phần mềm vào các máy tính. 

Nếu công ty có hệ thống mạng máy tính mà kết nối với Internet thì công phải bắt buộc phải có bức tường lửa giữa mạng của công ty với internet. Nếu các máy tính đơn lẻ kết nối trực tiếp với internet, thì từng máy tính nên có bức tường lửa cho phần mềm, chẳng hạn như Norton Firewall, cài đặt trong từng máy và cần được thiết kế chính xác.