Checklist kiểm toán nội bộ EWA: 50 kiểm soát và bằng chứng

Kiểm toán nội bộ EWA cần xác minh toàn bộ chuỗi đúng người – đúng công – đúng quyền – đúng số tiền – đúng tài khoản – đúng trạng thái – đúng kỳ lương. Mỗi kết luận phải dựa trên bằng chứng có thể truy vết, không chỉ phỏng vấn hoặc ảnh chụp giao diện. Checklist 50 kiểm soát dưới đây giúp doanh nghiệp xây chương trình kiểm tra định kỳ.

> Nói ngắn gọn: Hãy kiểm toán theo 10 nhóm, mỗi nhóm năm kiểm soát: quản trị; nhân sự; chấm công; công thức/hạn mức; giao dịch; ngân hàng; payroll; dữ liệu cá nhân; bảo mật/sự cố; thay đổi/liên tục kinh doanh. Chọn mẫu theo rủi ro và kiểm tra lại từ dữ liệu gốc đến kết quả cuối.

> Cảnh báo: Đây là checklist tham khảo, không phải chuẩn mực kiểm toán hay ý kiến pháp lý. Doanh nghiệp phải điều chỉnh theo quy mô, hợp đồng, chính sách, hệ thống và đánh giá rủi ro thực tế. Tình trạng “có trong mã” không tự chứng minh kiểm soát đang vận hành hiệu quả.

1. Mục tiêu kiểm toán

(Xem thêm: Hồ sơ thẩm định Lương Ngày.)

Chương trình nên trả lời:

1. Chỉ người đủ điều kiện có thể sử dụng không?

2. Chỉ công đã làm và đã duyệt sinh số khả dụng không?

3. Công thức, hạn mức và reserve được phê duyệt/áp dụng đúng không?

4. Giao dịch có chống trùng, sai người và trạng thái không rõ không?

5. Sao kê ngân hàng có khớp sổ giao dịch không?

6. Khoản đã nhận có vào đúng payroll và không cộng dồn không?

7. Dữ liệu cá nhân có được xử lý đúng mục đích/quyền không?

8. Sự cố và thay đổi có được kiểm soát không?

9. Báo cáo quản trị có đầy đủ/chính xác không?

10. Khuyến nghị kỳ trước đã được khắc phục chưa?

2. Phạm vi và tần suất

Có thể áp dụng:

• kiểm tra trước go-live;

• kiểm tra sau 30–90 ngày;

• kiểm toán định kỳ quý/năm;

• kiểm tra đột xuất sau sự cố;

• rà soát trước khi mở khách hàng lớn;

• kiểm tra khi thay đổi ngân hàng, công thức hoặc payroll.

Phạm vi cần ghi rõ pháp nhân, khách hàng, kỳ, hệ thống, tài khoản ngân hàng, nguồn công, phiên bản phần mềm và bên thứ ba.

3. Chọn mẫu dựa trên rủi ro

Không chỉ chọn ngẫu nhiên. Mẫu nên gồm:

• giao dịch giá trị lớn/gần hạn mức;

• người có nhiều giao dịch trong ngày/kỳ;

• giao dịch chờ, thất bại rồi thành công;

• công bị sửa sau duyệt;

• người nghỉ việc/điều chuyển;

• lao động làm nhiều khách hàng;

• thay đổi tài khoản/thiết bị;

• giao dịch ngoài giờ thông thường;

• khách hàng có tỷ lệ lỗi cao;

• khoản không thu hồi được;

• cả mẫu ngẫu nhiên để phát hiện sai lệch không dự đoán.

Kích thước mẫu phải do kiểm toán xác định theo tổng thể và rủi ro, không dùng một con số cố định cho mọi kỳ.

4. Thang đánh giá phát hiện

Mức chính thức phải gắn tiêu chí tiền, số người, nghĩa vụ pháp lý và thời hạn khắc phục.

5. Nhóm 1 — Quản trị và chính sách (Kiểm soát 1–5)

1. Có Service Owner chịu trách nhiệm đầu cuối.

2. Quy chế EWA còn hiệu lực, có thẩm quyền phê duyệt và lịch sử phiên bản.

3. RACI khớp quyền thực tế trên hệ thống.

4. KPI không khuyến khích ép người lao động giao dịch.

5. Rủi ro, ngoại lệ và hành động được báo cáo định kỳ.

Bằng chứng: quyết định bổ nhiệm, quy chế, ma trận quyền, biên bản họp, dashboard, sổ rủi ro.

Thử nghiệm: chọn ba vai trò và đối chiếu quyền trong văn bản với quyền thực tế; xem hành động quá hạn có người chịu trách nhiệm không.

6. Nhóm 2 — Danh sách người lao động và định danh (6–10)

1. Danh sách chỉ gồm người đang làm/đúng khách hàng.

2. CCCD là khóa định danh được khớp và không trùng.

3. Mã chấm công gắn đúng khách hàng/nơi làm.

4. Tài khoản VPBank được tra tên và khớp chính chủ trước sử dụng.

5. Đổi thiết bị/tài khoản hoặc ngoại lệ được phê duyệt và lưu log.

Bằng chứng: tệp nhân sự nguồn, log đồng bộ, kết quả xác thực, lịch sử thay đổi, phiếu phê duyệt ngoại lệ.

Thử nghiệm: chọn mẫu người mới, nghỉ việc, điều chuyển và đổi thiết bị; truy từ hồ sơ nguồn đến quyền sử dụng hiện tại.

7. Nhóm 3 — Chấm công và phê duyệt (11–15)

1. Nguồn công/khóa nối/tần suất đồng bộ được tài liệu hóa.

2. Công tương lai và ngày chưa chốt không sinh số khả dụng.

3. Chỉ người có quyền mới duyệt/từ chối/sửa công.

4. Sửa công đã duyệt đưa bản ghi về chờ duyệt và lưu trước/sau.

5. Ca đêm, tăng ca, nghỉ và nhiều nơi làm được xử lý theo quy tắc phê duyệt.

Bằng chứng: cấu hình nguồn, log import, danh sách quyền, audit trail, từ điển ca/ký hiệu.

Thử nghiệm: tái hiện một ca thường, ca qua nửa đêm và bản ghi bị sửa; kiểm tra kết quả ở số khả dụng.

8. Nhóm 4 — Công thức, đơn giá, hạn mức và reserve (16–20)

1. Công thức hệ thống khớp chính sách đã phê duyệt.

2. Đơn giá/ngày gắn đúng khách hàng và thời gian hiệu lực.

3. Hạn mức tối thiểu, mỗi lệnh, mỗi ngày được cấu hình đúng.

4. Reserve/N ngày công được tính và hiển thị đúng.

5. Thay đổi tham số nhạy cảm có bốn mắt, log và kiểm tra sau thay đổi.

Bằng chứng: bảng chính sách, cấu hình, log thay đổi, phê duyệt, kết quả tính mẫu.

Thử nghiệm: tái tính mẫu bằng công thức công đã duyệt × đơn giá − đã nhận − reserve, kiểm tra làm tròn xuống 1.000 đồng và các biên hạn mức.

Mức mặc định trong mã gồm 50.000 đồng/lần, 3 triệu đồng/lệnh và 5 triệu đồng/người/ngày; kiểm toán phải so với mức áp dụng thật, không mặc định coi các số này là chính sách.

9. Nhóm 5 — Khởi tạo và xử lý giao dịch (21–25)

1. Máy chủ kiểm tra lại mọi điều kiện, không chỉ tin dữ liệu từ app.

2. Người lao động xác nhận nội dung trước mỗi yêu cầu.

3. Mỗi yêu cầu có mã giao dịch ổn định để chống phát lại.

4. Có khóa đồng thời/ngăn hai lệnh cho cùng số khả dụng.

5. Chỉ phản hồi hợp lệ mới chuyển trạng thái đã chi.

Bằng chứng: tài liệu luồng, log đã ẩn dữ liệu, mã giao dịch, kiểm thử tự động, mẫu nội dung cam kết.

Thử nghiệm: thử hai yêu cầu gần đồng thời, yêu cầu vượt hạn mức, thiếu CCCD, công chưa duyệt và phản hồi ngân hàng không hợp lệ trong môi trường kiểm thử được phép.

10. Nhóm 6 — Ngân hàng và đối soát (26–30)

(Chi tiết: xem Đối soát giao dịch EWA với payroll và kế toán.)

1. Dịch vụ giữ khóa ngân hàng được tách và hạn chế truy cập.

2. Tài khoản nguồn, người ký/ủy quyền và hạn mức chi được quản trị.

3. Trạng thái chưa rõ được giữ chờ, không tự phát lệnh mới.

4. Khoản treo được tra soát theo quy trình và có tuổi cảnh báo.

5. Đối soát sao kê T+1 được thực hiện, chênh lệch có người chốt.

Bằng chứng: sơ đồ luồng tiền, ma trận quyền, log tra soát, sao kê ẩn dữ liệu, báo cáo đối soát và biên bản chốt.

Thử nghiệm: chọn tất cả giao dịch treo trong kỳ và mẫu thành công/thất bại; đối chiếu hai chiều từ hệ thống sang sao kê và từ sao kê về hệ thống.

Hệ thống hiện có lịch tra soát 5 phút và đọc sao kê 08:00 T+1. Đây là đặc điểm kỹ thuật; kiểm toán cần xem việc chạy thực tế và SLA chính thức.

11. Nhóm 7 — Payroll và quyết toán (31–35)

1. Chỉ giao dịch đã xác nhận thành công đi vào tổng đã nhận.

2. Giao dịch được gắn đúng người, khách hàng và kỳ lương.

3. Ngày công đã bao phủ được khóa, không cộng dồn kỳ sau.

4. Tổng giao dịch khớp khoản trên payroll/phiếu lương.

5. Nghỉ việc, công giảm, hoàn và khoản không thu hồi có quy trình.

Bằng chứng: tệp giao dịch, báo cáo cầu nối, payroll, phiếu lương mẫu, advancecovereddays, sổ khoản không thu hồi.

Thử nghiệm: tái thực hiện đối soát cho mẫu người dùng; kiểm tra cut-off đầu/cuối kỳ và một trường hợp nghỉ việc.

Không kết luận cách khấu trừ/thu hồi chỉ từ logic phần mềm; phải so với chính sách và ý kiến pháp lý được phê duyệt.

12. Nhóm 8 — Dữ liệu cá nhân và quyền riêng tư (36–40)

(Khung đầy đủ: xem Bảo mật dữ liệu và quyền riêng tư khi triển khai EWA.)

1. Vai trò xử lý, mục đích và danh mục dữ liệu được lập thành hồ sơ.

2. Thông báo/đồng ý và quyền chủ thể dữ liệu được thực hiện khi áp dụng.

3. Quyền truy cập CCCD, ảnh, GPS, tài khoản và tiền lương được hạn chế.

4. Thời hạn lưu, xóa/ẩn danh và bên xử lý phụ được quản lý.

5. Vi phạm dữ liệu có quy trình phát hiện, đánh giá và thông báo.

Bằng chứng: chính sách, hồ sơ xử lý, đánh giá tác động, danh sách bên phụ, log quyền, bằng chứng xóa, biên bản sự cố.

Thử nghiệm: chọn một loại dữ liệu từ lúc thu đến xóa; chọn ba tài khoản nội bộ và kiểm tra quyền; rà log xuất dữ liệu.

Khung pháp luật hiện hành cần xem gồm Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15 và Nghị định 356/2025/NĐ-CP, cùng có hiệu lực từ 01/01/2026.

13. Nhóm 9 — An toàn thông tin và xử lý sự cố (41–45)

(Xem thêm: Các lớp bảo vệ một giao dịch Lương Ngày và Khi Lương Ngày phát sinh sự cố.)

1. Có quản lý lỗ hổng, bản vá và kiểm thử bảo mật.

2. Bí mật/khóa được lưu, luân chuyển và thu hồi an toàn.

3. Log quan trọng được bảo vệ, đồng bộ thời gian và cảnh báo.

4. Sự cố P1–P4 có Incident Commander, escalation và RCA.

5. Công tắc dừng khẩn cấp được kiểm soát và diễn tập.

Bằng chứng: báo cáo scan/pentest, sổ tài sản, chính sách khóa, cảnh báo, ticket sự cố, RCA, biên bản diễn tập.

Thử nghiệm: chọn một sự cố đã đóng và kiểm tra dòng thời gian; xác nhận hành động RCA hoàn tất; kiểm tra người nghỉ việc đã mất quyền nhạy cảm.

Số lượng tệp test không thay thế kiểm thử bảo mật độc lập hoặc bằng chứng kiểm soát vận hành.

14. Nhóm 10 — Thay đổi, BCP/DR và thoát dịch vụ (46–50)

1. Mọi release/cấu hình có yêu cầu, phê duyệt, kiểm thử và rollback.

2. Tách nhiệm vụ giữa người phát triển, duyệt và triển khai phù hợp rủi ro.

3. Sao lưu, RTO/RPO và khôi phục được kiểm thử.

4. Phụ thuộc ngân hàng/ERP/Sheet/VietQR có phương án gián đoạn.

5. Chấm dứt dịch vụ có xuất/trả/xóa dữ liệu và thu hồi quyền.

Bằng chứng: change ticket, log deployment, biên bản backup restore, kế hoạch BCP/DR, kết quả diễn tập, checklist offboarding nhà cung cấp.

Thử nghiệm: chọn một thay đổi khẩn cấp và một thay đổi thường; xem có hậu kiểm. Chọn bản sao lưu và kiểm tra bằng chứng phục hồi, không chỉ trạng thái “backup thành công”.

15. Kỹ thuật kiểm toán nên dùng

Walkthrough

Chọn một giao dịch và đi cùng chủ quy trình từ công đến phiếu lương.

Reperformance

Tự tính lại số khả dụng và tổng đối soát từ dữ liệu gốc.

Inspection

Kiểm tra cấu hình, log, phê duyệt và tài liệu.

Observation

Quan sát người dùng/giám sát xử lý một ngoại lệ.

Confirmation

Xác nhận số dư/trạng thái với nguồn độc lập phù hợp, như sao kê ngân hàng.

Data analytics

Quét toàn bộ tổng thể để tìm trùng mã, người vượt hạn mức, giao dịch ngoài giờ, công sửa sau chi hoặc chênh lệch payroll.

Phỏng vấn chỉ cho biết quy trình được mô tả thế nào; không đủ chứng minh nó đã hoạt động.

16. Bảng làm việc kiểm toán mẫu

17. Các truy vấn dữ liệu gợi ý

• cùng CCCD gắn nhiều tài khoản hoạt động;

• một tài khoản ngân hàng gắn nhiều người;

• giao dịch trùng số tiền/thời điểm/người;

• tổng theo người vượt hạn mức ngày;

• công có ngày tương lai nhưng sinh tiền;

• công sửa sau khi giao dịch thành công;

• giao dịch thành công không có sao kê;

• sao kê chi không có giao dịch nội bộ;

• giao dịch thất bại/chờ xuất hiện trong payroll;

• người nghỉ việc vẫn phát sinh yêu cầu;

• thay đổi cấu hình không có phiếu;

• admin không hoạt động lâu ngày vẫn có quyền;

• log bị thiếu trong khoảng thời gian bất thường.

Các truy vấn phải được kiểm thử để tránh false positive và thực hiện trong phạm vi quyền dữ liệu.

18. Cách viết phát hiện kiểm toán

Một phát hiện tốt có năm phần:

1. Tiêu chí: quy chế/hợp đồng/kiểm soát yêu cầu gì.

2. Thực trạng: bằng chứng cho thấy điều gì.

3. Nguyên nhân: vì sao kiểm soát không hoạt động.

4. Ảnh hưởng: tiền, người, dữ liệu, pháp lý, vận hành.

5. Khuyến nghị: hành động cụ thể, người phụ trách và hạn.

Ví dụ không nên: “Cần tăng cường kiểm soát.”
Ví dụ tốt hơn: “Trong 25 thay đổi hạn mức được chọn, 4 thay đổi thiếu người phê duyệt độc lập. Bổ sung bắt buộc phê duyệt bốn mắt trên hệ thống trước ngày…”

Không công bố ví dụ thực tế nếu chưa ẩn danh và được phép.

19. Theo dõi khắc phục

Mỗi hành động cần:

• chủ sở hữu;

• hạn hoàn tất;

• mức ưu tiên;

• bằng chứng yêu cầu;

• người kiểm tra lại;

• trạng thái;

• lý do gia hạn;

• rủi ro được chấp nhận bởi đúng thẩm quyền nếu không sửa.

Không đóng phát hiện chỉ vì có kế hoạch; phải kiểm tra bằng chứng triển khai và hiệu quả sau sửa.

20. Câu hỏi thường gặp

Có trong mã có nghĩa kiểm soát đã hiệu quả không?

Không. Phải kiểm tra cấu hình, dữ liệu thực, người vận hành và bằng chứng trong kỳ.

Nên kiểm toán bao nhiêu giao dịch?

Tùy tổng thể, rủi ro và mục tiêu. Kết hợp mẫu rủi ro, ngẫu nhiên và phân tích toàn bộ dữ liệu khi có thể.

Ai không nên tự kiểm toán phần mình vận hành?

Người vận hành có thể tự kiểm tra tuyến một; đánh giá độc lập nên do tuyến hai/ba hoặc kiểm toán có đủ độc lập thực hiện.

Giao dịch treo có phải là sai không?

Không mặc nhiên. Cần xem hệ thống có giữ chờ an toàn, tra soát đúng hạn và không chi trùng hay không.

Có cần kiểm toán dữ liệu cá nhân riêng?

Có thể gộp hoặc tách, nhưng phải có chuyên môn và phạm vi đầy đủ theo pháp luật/chính sách hiện hành.

21. Kết luận

Kiểm toán EWA hiệu quả phải đi xuyên toàn bộ chuỗi và tái thực hiện bằng dữ liệu thật. Một hệ thống có nhiều lớp bảo vệ vẫn cần chứng minh các lớp đó được bật, đúng quyền và hoạt động trong kỳ. Bộ 50 kiểm soát giúp doanh nghiệp chuyển từ niềm tin vào mô tả sang bằng chứng: ai đã làm gì, trên dữ liệu nào, kết quả ra sao và chênh lệch được xử lý thế nào.

Nguồn chính thức tham khảo

• Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15, hiệu lực từ 01/01/2026.

• Nghị định 356/2025/NĐ-CP, quy định chi tiết một số điều và biện pháp thi hành Luật Bảo vệ dữ liệu cá nhân, hiệu lực từ 01/01/2026.

---

Tác giả: Nguyễn Minh Khang — Chuyên viên ban chiến lược, Công ty TNHH Cung Ứng Nhân Lực Nhân Kiệt.

Tư vấn giải pháp Lương Ngày cho doanh nghiệp: Hotline 0937.022.655 · Email info@nhankiet.vn · Lương Ngày cho doanh nghiệp