Các Yếu Tố Cấu Thành Kiểm Soát Nội Bộ

định các kiểm soát về công nghệ thông tin trong hoạt động quản lý điều hành, xử lý hoạt động kinh doanh và dịch vụ công nghệ thông tin giúp đạt mục tiêu kiểm soát công nghệ thông tin. Cobit hướng đến nhà quản lý, người sử dụng thông tin và kiểm toán viên. Mục đích chính của Cobit là duy trì thông tin chất lượng cao để hỗ trợ các quyết định kinh doanh nhằm đạt được mục tiêu chiến lược và lợi nhuận thông qua việc sử dụng hiệu quả và sáng tạo hệ thống CNTT của DN, tối ưu hóa chi phí và đặc biệt quan trọng là DN có thể KS được các RR liên quan đến CNTT. Cobit bao gồm tập hợp rất lớn các quy trình CNTT được nhóm thành 4 lĩnh vực chính: kế hoạch và tổ chức, thu nhận và thực hiện, phân phối và hỗ trợ, giám sát và đánh giá. Kiểm soát của CobiT hướng tới 3 nội dung sau: chất lượng thông tin, nguồn lực công nghệ thông tin cần và các xử lý (hay kiểm soát) công nghệ thông tin.

- Lý do lựa chọn khung KSNB của COSO

Qua hệ thống các nội dung về các khung, mô hình KSNB, tác giả nhận thấy khung KSNB của COSO từ khi ra đời và phát triển luôn là khung kiểm soát được thừa nhận và sử dụng hoặc là cơ sở để xây dựng các mô hình KSNB tại nhiều quốc gia trên thế giới. Trong phạm vi nghiên cứu, tác giả sử dụng Khung KSNB của COSO bởi các lý do sau:

+ Khung COSO đã được toàn thế giới chấp nhận rộng rãi. Báo cáo COSO không chỉ được các công trình học thuật liên quan đến KSNB sử dụng phổ biến mà còn ứng dụng vào thực tiễn làm căn cứ xây dựng các quy định của cơ quan chức năng ở các quốc gia, các tổ chức nghề nghiệp kiểm toán, kế toán trên thế giới và các công ty.

+ Báo cáo COSO nêu chi tiết, cụ thể và rò ràng những nguyên tắc, những yếu tố cũng như những chỉ báo phục vụ cho việc thiết kế, vận hành và đánh giá KSNB chi tiết cho từng thành phần. Điều này cho phép DN có thể phân tích, đánh giá và đo lường được hiệu quả của từng yếu tố KSNB làm nền tảng cải thiện và nâng cao hiệu quả hoạt động của KSNB và DN.

+ Khung COSO thể hiện được tính gắn kết giữa KSNB, quản trị rủi ro và quản trị doanh nghiệp. Theo đó, KSNB ngoài kiểm soát tốt các nguồn lực, còn đòi hỏi phải thích ứng, đối phó với những biến động từ sự thay đổi, từ các yếu tố không chắc chắn, hay rủi ro từ môi trường kinh doanh bên ngoài hay môi trường nội bộ doanh nghiệp từ đó giúp doanh nghiệp đạt được các mục tiêu đề ra. Như vậy, khung kiểm soát COSO 2013 với sự kết hợp kiểm soát nội bộ và quản trị rủi ro giúp tăng kỳ vọng về hiệu quả tài chính và quản trị doanh nghiệp.

Có thể bạn quan tâm!

Xem toàn bộ 331 trang tài liệu này.

2.1.3. Các yếu tố cấu thành kiểm soát nội bộ

Trong phạm vi luận án, tác giả sử dụng KSNB theo COSO vì khung KSNB COSO đảm bảo được tính bao quát, phổ biến, tính hướng dẫn cao và sự gắn kết giữa KSNB, quản trị rủi ro và quản trị doanh nghiệp

2.1.3.1. Môi trường kiểm soát

Một thực tế đã cho thấy dù cùng một thủ tục kiểm soát như nhau nhưng được vận hành trong một môi trường khác nhau thì hiệu quả kiểm soát lại hoàn toàn khác nhau. Sở dĩ có sự khác biệt đó là do môi trường kiểm soát là một thành phần trung tâm quyết định đến hiệu quả của KSNB. Môi trường kiểm soát là nền tảng cho tất cả các yếu tố khác của KSNB. Theo COSO 2013, “Môi trường kiểm soát là một loạt các tiêu chuẩn, quá trình, cấu trúc cung cấp cơ sở cho việc thực hiện kiểm soát nội bộ dọc khắp tổ chức. Hội đồng quản trị và nhà quản trị cấp cao thiết lập tinh thần chung, triết lý quản trị căn cứ vào tầm quan trọng của KSNB và các tiêu chuẩn đạo đức”. Theo Joseph & Susan (2005) đã cho rằng môi trường kiểm soát mạnh cùng với sự hỗ trợ của phong cách lãnh đạo và đạo đức của nhà quản trị là nền tảng cho KSNB phát huy tính hữu hiệu. Một phần quan trọng của văn hóa tổ chức chính là môi trường kiểm soát. Theo Hiệp hội kiểm toán viên nội bộ IIA cho rằng “Môi trường kiểm soát là thái độ, hành động của nhà quản trị liên quan đến tầm quan trọng của kiểm soát trong tổ chức. Môi trường kiểm soát cung cấp nguyên tắc, cấu trúc cho việc đạt được các mục tiêu cơ bản của hệ thống kiểm soát nội bộ”. Môi trường kiểm soát thể hiện quan điểm, hành động và nhận thức của ban giám đốc, ban quản trị.

Các yếu tố của môi trường kiểm soát bao gồm:

Tính chính trực và các giá trị đạo đức

Tính chính trực và giá trị đạo đức là nhân tố cơ bản của môi trường kiểm soát. Các giá trị đạo đức thúc đẩy quản lý và nhân viên làm việc vì lợi ích tốt nhất của công ty (Berrone et al., 2005). Các nhà quản lý cao cấp như ban giám đốc và các nhà quản lý ở các cấp của đơn vị thể hiện tầm quan trọng của tính chính trực và các giá trị đạo đức này thông qua các chỉ thị, hành động và hành vi của mình. Cam kết về tính chính trực là việc khẳng định và thực thi sự minh bạch, tôn trọng và công bằng trong mối quan hệ, cách ứng xử của nhà quản trị DN với các bên liên quan như: nhà cung cấp, khách hàng, người lao động,...Trong phạm vi DN tính chính trực sẽ giúp nhân viên, người lao động trong tổ chức tin tưởng, gắn kết và nỗ lực hết mình trong quá trình thực hiện công việc. Phạm vi bên ngoài DN thì việc duy trì tính chính trực trong mối quan hệ với khách hàng, nhà cung cấp,... sẽ giúp gây dựng nên danh tiếng, giá trị

thương hiệu riêng của DN. Bên cạnh đó, Giá trị đạo đức là tập hợp các nguyên tắc, các chuẩn mực có tác dụng điều chỉnh, định hướng, hướng dẫn và kiểm soát hành vi của các chủ thể trong các mối quan hệ đảm bảo họ hành xử đúng đắn. Theo Phillip V.Lewis (1985) cho rằng “Đạo đức kinh doanh là tất cả những quy tắc, tiêu chuẩn, chuẩn mực đạo đức hoặc luật lệ để cung cấp chỉ dẫn về hành vi ứng xử chuẩn mực và sự trung thực của tổ chức trong những trường hợp nhất định”. Như vậy, trong hoạt động kinh doanh của DN thì giá trị đạo đức thường hướng đến việc tuân thủ luật pháp, quy định hiện hành, đảm bảo công bằng; tôn trọng người lao động; bảo vệ người tiêu dùng, tôn trọng và có ý thức giảm thiểu tác động lên môi trường xung quanh. Để đảm bảo cho sự phát triển bền vững của doanh nghiệp trên con đường kiếm tìm ngày càng nhiều lợi nhuận thì DN cần tuân thủ đạo đức kinh doanh sẽ. Việc thực thi tính chính trực và giá trị đạo đức thường được các DN truyền đạt tới nhân viên thông qua việc thiết lập các Bộ quy tắc ứng xử, sổ tay nhân viên, thông qua các phát biểu tại các cuộc họp hoặc bằng các tấm gương điển hình. Thêm vào đó, để đảm bảo cam kết về tính chính trực và giá trị đạo đức thì tất cả mọi người ở mọi cấp phải chịu trách nhiệm về những ứng xử sai lệch so với giá trị đạo đức đã đề ra. Thực tế cho thấy nếu bản thân nhà quản trị DN tôn trọng và tuân thủ chặt chẽ các quy định về tính chính trực và giá trị đạo đức sẽ làm gương cho người lao động, nhân viên tự giác hành động phù hợp với giá trị cốt lòi của DN đó hướng đến.

Sự tham gia của hội đồng quản trị và quản lý cấp cao

Môi trường kiểm soát chịu ảnh hưởng rất lớn từ hành động của ban quản trị và ủy ban kiểm toán. Ban quản trị có ảnh hưởng đáng kể đến nhận thức về kiểm soát của đơn vị. Sự tham gia của ban quản trị đóng một vai trò quan trọng trong quá trình xem xét hiệu quả của KSNB. Sự tham gia này xây dựng một nền tảng vững chắc để chỉ đạo tất cả đều nỗ lực hướng tới việc đạt được mục tiêu của tổ chức và nhằm cải thiện hiệu suất. Bên cạnh đó, tính độc lập của ủy ban kiểm toán và hội đồng quản trị với ban giám đốc cũng như kinh nghiệm, vị trí của các thành viên, mức độ tham gia và mức độ giám sát, tính phù hợp của các hành động, các thông tin mà họ nhận được, mối liên hệ của họ với kiểm toán viên bên ngoài là điều kiện cần để duy trì môi trường kiểm soát mạnh. Những kỳ vọng, quyền lợi của các bên liên quan là cơ sở để doanh nghiệp thiết lập mục tiêu và thực hiện trách nhiệm giám sát của hội đồng quản trị. Như vậy, Ban quản trị có trách nhiệm rất lớn trong việc giám sát sự thiết kế và vận hành của KSNB nói chung và hiệu quả tài chính của đơn vị nói riêng.

Triết lý và phong cách điều hành của Ban giám đốc

Triết lý và phong cách điều hành của nhà quản lý bao gồm quan điểm, nhận thức của nhà quản lý về kiểm soát nội bộ. Trong khi, Triết lý quản trị thể hiện qua quan điểm và nhận thức của nhà quản lý phản ánh các giá trị ảnh hưởng tới văn hóa của tổ chức thì phong cách điều hành thể hiện qua cá tính, tư cách và thái độ của nhà quản lý lại trực tiếp quyết định đến hiệu quả tổ chức, khả năng thực thi và duy trì KSNB ở DN đó. Vì vậy, Triết lý và phong cách điều hành của nhà quản lý sẽ tác động tới việc điều hành doanh nghiệp, xây dựng và lựa chọn các chính sách, phân công nhiệm vụ cho nhân viên. Triết lý quản trị và phong cách điều hành của ban quản trị thể hiện trên các khía cạnh sau:

+ Thái độ ứng xử với rủi ro: Nếu nhà quản trị ưa mạo hiểm và sẵn sàng chấp nhận rủi ro thì họ sẽ hài lòng với hoạt động kinh doanh có mức rủi ro cao nhưng thu được nhiều lợi nhuận. Ngược lại, một số nhà quản trị cho rằng chấp nhận tham gia vào các sự kiện rủi ro là việc lãng phí nguồn lực vào các sự kiện không chắc chắn, do vậy họ thường né tránh hoặc từ chối tham gia.

+ Thái độ và hành động đối với việc lập báo cáo tài chính: thể hiện các khuynh hướng khác nhau trong kế toán bao gồm: mức độ công khai, minh bạch trong việc cung cấp thông tin tài chính cho các bên liên quan, sự thận trọng trong việc lựa chọn các ước tính kế toán, sự chủ động trong việc tuân thủ các chuẩn mực, nguyên tắc kế toán và quan điểm về việc gian lận và giả mạo chứng từ.

+ Thái độ trong việc thực thi nguyên tắc, thủ tục kiểm soát: nếu nhà quản trị đề cao việc tuân thủ nguyên tắc bất kiêm nhiệm trong các chức năng ghi nhận, xử lý và kiểm soát thông tin kế toán, quản trị thì nhà quản lý sẽ có xu hướng tổ chức đảm bảo tính độc lập giữa các chức năng và ngược lại. Mặt khác, nếu nhà quản lý coi trọng dân chủ hay độc quyền sẽ ảnh hưởng tới chức năng ra quyết định tập trung ở cấp trên hay phân chia xuống cấp dưới.

Cơ cấu tổ chức

Cơ cấu tổ chức của đơn vị là cơ cấu tổng thể liên quan đến lập kế hoạch, thực hiện kế hoạch, kiểm tra và giám sát các hoạt động để đạt được mục tiêu của đơn vị. Cơ cấu tổ chức phản ánh sự phân quyền về quản lý trong đơn vị và do đó phản ánh sự phân quyền về kiểm soát của đơn vị. Cùng quan điểm này, Nguyễn Viết Lợi & Đặng Ngọc Châu (2009) cho rằng cơ cấu tổ chức phản ánh sự phân chia quyền lực, nghĩa vụ và trách nhiệm của mọi người trong tổ chức cũng như mối quan hệ hợp tác, phối hợp, chia sẻ và kiểm soát thông tin lẫn nhau giữa những người khác nhau trong cùng một tổ chức.

Như vậy, Một cơ cấu tổ chức cần phải quy định rò ràng và cụ thể về chức năng, nhiệm vụ và thiết kế các hoạt động kiểm soát tránh sự chồng chéo. Đồng thời, cơ cấu tổ chức cần bảo đảm các bộ phận tương đối độc lập, chức năng cũng như đảm bảo sự tách biệt giữa các chức năng phê chuẩn. Một cơ cấu tổ chức phù hợp là điều kiện đảm bảo cho các thủ tục kiểm soát phát huy tác dụng và là cơ sở để tạo ra một môi trường kiểm soát tốt nhằm ngăn ngừa có hiệu quả các hành vi gian lận, đảm bảo một hệ thống xuyên suốt từ trên xuống dưới hoặc từ dưới lên trong việc ban hành và thực thi quyết định.

Phân công quyền hạn và trách nhiệm

Việc xây dựng chính sách thể hiện được kiến thức, kinh nghiệm của các nhân viên chủ chốt và nguồn lực để thực hiện các nhiệm vụ liên quan đến các hoạt động là cơ sở để phân chia quyền hạn và trách nhiệm. Phân công trách nhiệm và quyền hạn phù hợp sẽ giúp cho tổ chức đạt được mục tiêu đề ra và tạo ra khả năng kiểm tra chéo giữa các bộ phận, các cá nhân. Phân định quyền hạn và trách nhiệm là xác định quyền hạn, mức độ tự chủ của từng cá nhân hay từng nhóm trong việc đề xuất, giải quyết và báo cáo các vấn đề liên quan đối với các cấp, giúp họ hiểu rằng họ có nhiệm vụ gì và hành động của họ có ảnh hưởng như thế nào đến tổ chức.

Cam kết trong việc thu hút, phát triển và giữ chân nhân tài

Chính sách về nhân sự được coi là một trong những yếu tố quan trọng trong môi trường kiểm soát và hiệu quả tài chính nói riêng. Chính sách nhân sự tốt sẽ phát huy tác dụng khuyến khích người lao động làm việc và gắn bó với doanh nghiệp, từ đó tăng hiệu lực của hoạt động kiểm soát và lợi nhuận cho doanh nghiệp. Các chính sách và thông lệ về nhân sự bao gồm chính sách tuyển dụng, định hướng, đào tạo, đánh giá, tư vấn, đề bạt, kỷ luật và hành động sửa chữa cho nhân viên. Bên cạnh đó, Nhà quản lý cần xác định năng lực bao gồm kiến thức, kỹ năng để hoàn thành nhiệm vụ thuộc phạm vi công việc của từng cá nhân. Kiến thức và kỹ năng phụ thuộc vào sự đào tạo và kinh nghiệm của mỗi cá nhân. Nó là một trong những yếu tố cần thiết để cho phép các cá nhân thực hiện nhiệm vụ của mình. Nhà quản lý cần phải xác định yêu cầu về năng lực cho từng công việc nhất định và cụ thể hóa thành các yêu cầu về kiến thức, kỹ năng của nhân viên khi thực hiện công việc đó. Trên cơ sở đó sẽ giúp nhà quản lý có thể giám sát, huấn luyện đối với nhân viên để đảm bảo yêu cầu về năng lực đối với công việc và nhiệm vụ được giao. Người lao động trong đó có người làm công tác kiểm soát sẽ chịu ảnh hưởng trực tiếp từ chính sách nhân sự. Chính sách nhân sự là thông điệp của doanh nghiệp về yêu cầu đối với tính chính trực, hành vi đạo đức và năng lực doanh nghiệp mong đợi từ nhân viên. Chính vì vậy nhà quản trị ở tất cả các cấp nên quy định chính

sách, thủ tục, cấu trúc và quá trình để thu hút, đào tạo, đánh giá và duy trì cá nhân có năng lực phù hợp.

2.1.3.2. Đánh giá rủi ro

Mỗi tổ chức đều phải đối diện với rất nhiều rủi ro bên trong và rủi ro bên ngoài của tổ chức. Việc thiết lập mục tiêu là cơ sở để đánh giá rủi ro. Rủi ro là khả năng một sự kiện sẽ xảy ra và ảnh hưởng đến việc đạt được các mục tiêu. Nghiên cứu của Lannoye và Dinapoli cho rằng: “Đánh giá rủi ro là việc nhận dạng, phân tích và quản lý các rủi ro có thể đe dọa đến việc đạt được các mục tiêu của tổ chức như: mục tiêu sản xuất, bán hàng, marketing, tài chính và các hoạt động khác, từ đó có thể quản trị được rủi ro” (Lannoye, 1999; Dinapoli, 2007).

Để thực hiện đánh giá rủi ro thì các nhà quản lý cần phải thực hiện bốn nguyên tắc sau theo COSO 2013:

Thiết lập mục tiêu: Xác định mục tiêu là công việc đầu tiên quan trọng của đánh giá rủi ro. Xác định mục tiêu không phải là nhân tố của KSNB nhưng lại là điều kiện để KSNB được thực hiện. Xây dựng một tổ chức mà mọi người gắn kết lẫn nhau, cùng hướng tới một mục tiêu chung để doanh nghiệp phát triển là một việc không dễ dàng. Trong tổ chức, việc nhân sự biết khả năng của mình tới đâu, biết mình có thể làm được đến đâu, còn có thể phát triển nữa hay không là điều rất quan trọng. Thông qua việc đặt mục tiêu, nhà quản trị có thể khai thác tiềm năng đội ngũ nhân sự của mình, đồng thời giúp nhân viên làm việc có mục tiêu, có động lực để phát triển. Mục tiêu trong tổ chức có thể chia thành:

+ Mục tiêu hoạt động: phản ánh sự lựa chọn của cấp quản lý thông qua quá trình cân nhắc nhiều yếu tố liên quan đến đặc trưng và mô hình hoạt động của tổ chức, các định hướng chiến lược trong tương lai và thành tích thực hiện trong quá khứ. Trong quá trình xác định mục tiêu hoạt động nhà quản lý cần cân nhắc đến mức độ chấp nhận sự chênh lệch quanh mục tiêu đã thiết lập. Các mục tiêu hoạt động đều phản ánh mức độ kì vọng của tổ chức về kết quả tài chính và kết quả vận hành. Việc xác định mục tiêu phải dựa trên cơ sở dự báo các nguồn lực và kế hoạch phân bổ các nguồn lực để đạt được các kết quả tài chính và kết quả vận hành như kì vọng.

+ Mục tiêu báo cáo: gắn liền với sự trung thực, hợp lý của các báo cáo và sự tuân thủ chuẩn mực kế toán đang áp dụng, báo cáo bao gồm: báo cáo cho bên trong và bên ngoài và có thể liên quan đến các thông tin tài chính và thông tin phi tài chính. Nếu như mục tiêu đối với các báo cáo bên trong doanh nghiệp ngoài đảm bảo độ tin

cậy cũng như tính đầy đủ, chính xác và sự giám sát của thông tin còn phải phản ánh được nhu cầu thông tin của nhà quản lý thì mục tiêu đối với các báo cáo ra bên ngoài còn phải đảm bảo tuân thủ tiêu chuẩn, chuẩn mực báo cáo và xem xét được những sai sót trọng yếu.

+ Mục tiêu tuân thủ: bất kỳ tổ chức nào đều phải hoạt động trong khuôn khổ luật pháp, quy định của Nhà nước và phải chấp hành chính sách thủ tục của đơn vị mình. Vì vậy trong quá trình hoạt động đơn vị cần phải kiểm soát các hoạt động để đảm bảo phù hợp với luật pháp, quy định của Nhà nước cũng như các chính sách, thủ tục mà đơn vị đặt ra.

Nhận diện và phân tích rủi ro: Nhận diện rủi ro là quá trình xác định một cách liên tục và có hệ thống các rủi ro có thể xảy ra trong hoạt động kinh doanh của doanh nghiệp. Nhận diện rủi ro là bước đầu tiên và quan trọng trong toàn bộ chương trình ứng phó với rủi ro. Nhận diện rủi ro cần được thực hiện trong toàn doanh nghiệp nhằm thu được bức tranh toàn cảnh về các rủi ro. Hướng tiếp cận để có thể nhận diện được rủi ro có thể theo hai hướng là: từ trên xuống và từ dưới lên. Nếu như phương pháp tiếp cận từ xuống sẽ giúp nhà quản trị có đầy đủ thông tin về các rui ro thì cách tiếp cận từ dưới lên sẽ nhà quản trị phân tích, xác định thứ tự ưu tiên để đưa ra biện pháp ứng phó với rủi ro. Các kỹ thuật nhận diện rủi ro có thể kể đến hiện này như: phân tích giả định và hạn chế, động não, biểu đồ hóa, Delphi (kỹ thuật nhận diện rủi ro do các chuyên gia tiến hành), phân tích cây lỗi FTA, phân tích cây sự kiện ETA, phân tích SWOT, phân tích nguyên nhân gốc, bảng kiểm Checklist,... mỗi phương pháp đều có ưu nhược điểm khác nhau. Tùy thuộc vào đặc điểm của DN và đặc điểm của ngành nghề kinh doanh, tiềm lực kinh tế,... mà DN có thể lựa chọn một kỹ thuật hoặc kết hợp các kỹ thuật để nhận diện và phân tích rủi ro. Dù sử dụng phương pháp nhận diênj rủi ro nào thì mục tiêu cuối cùng của DN là phải xác định được bộ danh sách đầy đủ rủi ro mà DN phải đối mặt tại một thời điểm nhất định. Để làm được điều này đòi hỏi việc nhận diện và đánh giá rủi ro cần phải được thực hiện ở tất cả các cấp và cần có sự tham gia của tất cả các cấp bậc quản lý. Trong quá trình nhận diện rủi ro thì DN cần cân nhắc cả các yếu tố bên trong và bên ngoài cũng như tác động của nó đến việc hoàn thành mục tiêu của DN. Sau thi nhận diện được rủi ro thì đòi hỏi DN phải phân tích về khả năng xảy và mức độ ảnh hưởng của từng loại rủi ro đó.

Đánh giá rủi ro gian lận: Gian lận là vấn đề phức tạp đối với DN và ban điều hành. Các doanh nghiệp cảnh giác với rủi ro gian lận đang bắt đầu đánh giá rủi ro gian

lận trong nội bộ doanh nghiệp như những bước đầu tiên trong quá trình tạo dựng một môi trường không có gian lận trong chính bản thân doanh nghiệp. Để thực hiện đánh giá rủi ro gian lận thì DN cần phải triển khai theo quy trình sau: từ thu thập đủ những thông tin cần thiết để nhận diện các tài sản cần được bảo vệ, những mối đe dọa đối với tài sản, khả năng xảy ra tổn thất từ những đe dọa này, cũng như ảnh hưởng của tổn thất, doanh nghiệp có thể tiến hành đánh giá hệ thống kiểm soát và các biện pháp phòng ngừa hiện đang áp dụng để bảo vệ các tài sản này. Khả năng xảy ra gian lận sẽ phụ thuộc vào môi trường kiểm soát, khối lượng giao dịch, tiền sử xảy ra tổn thất và kinh nghiệm của các doanh nghiệp tương tự. Để thực hiện đánh giá rủi ro gian lận thì DN cần quan tâm xem xét: hình thức gian lận, cơ hội thực hiện hành vi gian lận và lý do thực hiện hành vi gian lận từ đó sẽ giúp DN đánh giá hiểu rò hơn về rủi ro gian lận.

Nhận diện và phân tích những thay đổi trọng yếu: DN cần thiết lập được cơ chế thích hợp để dự đoán, nhận dạng và đối phó với những thay đổi của các nhân tố bên ngoài ảnh hưởng đến mục tiêu của DN như: yếu tố về quy định, luật pháp, nền kinh tế và môi trường kinh doanh mà DN đang hoạt động. Ngoài ra DN cũng cần thiết lập được cơ chế thích hợp để dự đoán, nhận dạng, đánh giá và đối phó với những thay đổi của các nhân tố bên trong như: phương thức sản xuất và dậy chuyền sản xuất, hoạt động mua bán và sáp nhập, vị trí địa lý và công nghệ, thay đổi về các vị trí quản lý,...

Như vậy để đánh giá được rủi ro thì việc xác định mục tiêu là công việc đầu tiên và quan trọng nhất. Một tổ chức có rất nhiều mục tiêu xong chúng ta có thể chia thành ba mục tiêu sau đây: mục tiêu hoạt động, mục tiêu báo cáo tài chính và mục tiêu tuân thủ. Những mục tiêu này có mối quan hệ qua lại và hỗ trợ lẫn nhau. Các mục tiêu của tổ chức cần xây dựng dựa trên tình hình hoạt động thực tế của đơn vị, phù hợp với từng bộ phận trong đơn vị và cần xem xét đến tác động của các yếu tố bên ngoài mà đơn vị khó kiểm soát. Dựa trên cơ sở mục tiêu đã được xây dựng thì nhà quản lý cần phải nhận diện và phân tích rủi ro để từ đó đề ra biện pháp để quản trị rủi ro. Rủi ro có 2 mức độ là: rủi ro ở mức độ toàn đơn vị và rủi ro ở mức độ hoạt động. Để công tác đánh giá rủi ro đạt được thành công thì phụ thuộc phần lớn vào việc nhận dạng các rủi ro bên trong và bên ngoài doanh nghiệp. Bên cạnh đó, việc nhận dạng rủi ro ở mức độ toàn doanh nghiệp một cách thích hợp thì cần nhận dạng rủi ro ở mức độ hoạt động tốt. Sau khi đã nhận diện được rủi ro thì công việc tiếp theo là phân tích rủi ro. Để phân tích được rủi ro thì cần phải tiến hành các bước phân tích sau: Xác định mức độ quan trọng của rủi ro; Xác định xác suất xảy ra rủi ro; Tìm ra cách thức để quản trị rủi ro. Sau khi phân tích rủi ro thì việc cuối cùng là tập trung vào xử lý rủi ro có ảnh hưởng đến hoạt động kinh doanh và có khả năng xảy ra cao.