AI trong kế toán: Doanh nghiệp đã kiểm soát được AI agent chưa?
AI agent mạnh nhất không phải là agent làm được nhiều nhất, mà là agent có giới hạn quyền rõ ràng, dùng dữ liệu đã được phê duyệt, lưu đầy đủ dấu vết và luôn có người chịu trách nhiệm cuối cùng.
AI đang thay đổi cách vận hành bộ phận kế toán
AI trong tài chính không còn chỉ là công cụ trả lời câu hỏi hoặc tạo nội dung. Các AI agent mới có thể hỗ trợ đối chiếu giao dịch, phân tích dữ liệu, đề xuất bút toán, nghiên cứu thuế và chuẩn bị báo cáo. Một số agent còn có khả năng thực hiện hành động trực tiếp trong hệ thống theo phạm vi quyền được cấp. [1]
Đây là cơ hội lớn để doanh nghiệp tiết kiệm thời gian và nâng cao năng suất. Tuy nhiên, tự động hóa nhanh không đồng nghĩa với kiểm soát tốt. Một báo cáo được tạo trong vài giây vẫn có thể dựa trên dữ liệu chưa được phê duyệt; một bút toán do AI đề xuất vẫn có thể chứa giả định sai; và một trích dẫn pháp lý nghe thuyết phục vẫn cần được đối chiếu với nguồn chính thức.
Vì vậy, câu hỏi quan trọng không chỉ là “Kết quả do AI tạo ra có đúng không?”, mà còn là: AI được phép làm gì, đã sử dụng dữ liệu nào, hoạt động trong giới hạn nào và ai chịu trách nhiệm cuối cùng?
AI agent tạo ra những rủi ro nào trong thực tế?
Khác với công cụ AI chỉ cung cấp câu trả lời, AI agent có thể thực hiện một chuỗi hành động: đọc dữ liệu, lựa chọn cách xử lý, tương tác với phần mềm và tạo ra kết quả theo mục tiêu được giao. Vì vậy, việc một nhân sự “đã xem qua kết quả” có thể chưa đủ. Doanh nghiệp cũng cần biết agent có được cấp đúng quyền hay không, có sử dụng nguồn dữ liệu đã được phê duyệt hay không và các bước xử lý có được lưu lại để kiểm tra hay không.
Một công ty sản xuất dùng AI agent hỗ trợ đề xuất bút toán ghi nhận doanh thu xuất khẩu theo hợp đồng dài hạn. Agent được cấu hình lấy tín hiệu ghi nhận từ email xác nhận đơn hàng sơ bộ của khách hàng — trong khi theo VAS 14, doanh thu chỉ được ghi nhận khi doanh nghiệp đã chuyển giao phần lớn rủi ro và lợi ích gắn liền với quyền sở hữu hàng hóa, tức phải có biên bản giao nhận hoặc vận đơn xác nhận, không phải một email trao đổi sơ bộ. Khi kiểm toán độc lập kiểm tra cắt kỳ (cut-off testing), phát hiện 12% doanh thu trong kỳ được ghi nhận sớm hơn thời điểm đủ điều kiện: báo cáo tài chính phải điều chỉnh giảm doanh thu và lợi nhuận trước thuế, đồng thời doanh nghiệp phải rà soát lại số thuế TNDN tạm tính đã kê khai cho kỳ đó. Nguyên nhân gốc: agent không được cấu hình rule “chỉ ghi nhận khi có chứng từ chuyển giao đã phê duyệt”, mà lấy tín hiệu từ một nguồn không đủ giá trị làm bằng chứng kế toán.
Agent được giao đối chiếu công nợ phải thu giữa sổ chi tiết và xác nhận công nợ của khách hàng, tự động tạo bút toán điều chỉnh cho các khoản chênh lệch dưới một ngưỡng nhất định. Khi kiểm toán viên độc lập chọn mẫu kiểm tra tính đầy đủ và chính xác của số dư phải thu theo VSA 500 (bằng chứng kiểm toán), doanh nghiệp chỉ cung cấp được file Excel kết quả cuối — không có log nguồn dữ liệu đối chiếu, không rõ ai và khi nào phê duyệt các bút toán điều chỉnh, và không tái hiện lại được logic agent đã áp dụng. Do không đủ bằng chứng kiểm toán thích hợp, kiểm toán viên phải mở rộng phạm vi kiểm tra chi tiết, kéo dài thời gian và tăng phí kiểm toán; nếu chênh lệch không giải trình được đầy đủ, khoản mục có nguy cơ bị nêu ý kiến ngoại trừ trên báo cáo kiểm toán. Nguyên nhân gốc: doanh nghiệp coi kết quả agent tạo ra là “đã xử lý xong” mà không lưu lại quy trình xử lý phía sau.
Agent được cấp quyền đọc toàn bộ hệ thống ERP để “phân tích biến động”. Kết quả là dữ liệu lương và thông tin cá nhân nhân viên bị đưa vào một công cụ AI bên ngoài. Rủi ro bảo mật phát sinh ngay cả khi kết quả phân tích là chính xác.
Những tình huống trên cho thấy rủi ro AI không chỉ nằm ở chất lượng câu trả lời. Rủi ro còn nằm ở dữ liệu đầu vào, quyền hạn, quy trình phê duyệt, dấu vết xử lý và khả năng quy trách nhiệm.
5 câu hỏi doanh nghiệp nên đặt ra ngay hôm nay
1. AI đang được sử dụng ở công đoạn nào?
Doanh nghiệp cần lập danh sách các hoạt động có sử dụng AI, kể cả những công cụ nhân viên tự đăng ký. Những công đoạn thường gặp gồm đọc hợp đồng, tổng hợp hóa đơn, đối chiếu công nợ, phân tích biến động, nghiên cứu thuế và soạn thảo báo cáo quản trị.
2. AI được phép truy cập dữ liệu gì?
Quyền truy cập của AI cần được giới hạn theo mục đích. Agent xử lý đối chiếu giao dịch không nhất thiết phải có quyền truy cập hồ sơ nhân sự, dữ liệu khách hàng hoặc thông tin tài chính ngoài phạm vi công việc. Dữ liệu nhạy cảm cần được phân loại, bảo vệ hoặc ẩn danh trước khi đưa vào công cụ AI.
3. Kết quả do AI tạo ra có thể truy vết không?
Một quy trình đáng tin cậy cần lưu được nguồn dữ liệu, thời điểm xử lý, phiên bản công cụ, yêu cầu đầu vào, giả định được sử dụng và lịch sử chỉnh sửa. Nếu chỉ lưu kết quả cuối cùng mà không lưu quá trình tạo ra kết quả, doanh nghiệp có thể gặp khó khăn khi giải trình hoặc khi kiểm toán viên đánh giá bằng chứng.
4. Ai phê duyệt các hành động trọng yếu?
AI có thể hỗ trợ phân tích hoặc đề xuất. Tuy nhiên, các quyết định có ảnh hưởng trọng yếu đến báo cáo tài chính, nghĩa vụ thuế, thanh toán hoặc hồ sơ gửi cơ quan quản lý vẫn cần một cá nhân có tên và thẩm quyền phê duyệt. Doanh nghiệp nên quy định rõ trường hợp AI chỉ được đề xuất, được thực hiện trong hạn mức hoặc bắt buộc phải có phê duyệt trước.
5. Dữ liệu hóa đơn điện tử có khớp với sổ kế toán không?
Hóa đơn điện tử và chứng từ điện tử tiếp tục là trọng tâm trong quản lý thuế và kiểm soát dữ liệu. Cục Thuế đang cập nhật các nội dung liên quan đến chính sách thuế, hóa đơn điện tử và hướng dẫn thực hiện. [2]
Nếu AI agent đọc và hạch toán hóa đơn điện tử, doanh nghiệp cần bổ sung bước đối chiếu với dữ liệu đã gửi cơ quan thuế, dữ liệu trên hệ thống hóa đơn và sổ kế toán. Các điểm cần kiểm tra gồm phân quyền, nhật ký thay đổi, xử lý hóa đơn sai sót và khả năng đối chiếu giữa các hệ thống.
Góc nhìn kiểm toán viên
Rủi ro của AI agent thường liên quan đến ITGC và application controls, đặc biệt là phân quyền, quản lý thay đổi và các interface giữa AI với hệ thống kế toán.
Khi AI tạo hoặc đề xuất bút toán trọng yếu, kiểm toán viên thường cần trả lời ba câu hỏi: ai phê duyệt cuối cùng; log hoạt động có đủ tin cậy và không thể tùy tiện sửa đổi hay không; và doanh nghiệp có thể tái hiện kết quả từ cùng nguồn dữ liệu hay không?
Mức trọng yếu của rủi ro AI không chỉ phụ thuộc vào số tiền. Khả năng sai sót có tính hệ thống, chẳng hạn systematic bias trong dữ liệu hoặc logic xử lý, cũng có thể làm tăng đáng kể rủi ro kiểm toán.
Kiểm toán hiện đại không chỉ kiểm tra con số cuối cùng
Kiểm toán ngày càng chú trọng đến rủi ro, hệ thống kiểm soát, chất lượng dữ liệu và khả năng thu thập bằng chứng phù hợp. KPMG đưa AI, điều kiện kinh tế và báo cáo tài chính vào cùng một chương trình cập nhật chuyên môn trong tháng 9/2026. [3]
Ở góc độ kiểm toán tập đoàn, SAS 149 của AICPA cũng nhấn mạnh cách tiếp cận dựa trên rủi ro, rủi ro cộng gộp giữa các đơn vị thành viên, mức trọng yếu ở cấp thành phần và việc tăng cường trao đổi giữa nhóm kiểm toán tập đoàn với các nhóm kiểm toán thành phần. Chuẩn mực này áp dụng trong phạm vi của AICPA đối với các kỳ báo cáo được nêu tại nguồn, không phải là quy định bắt buộc chung tại Việt Nam. [4]
Chất lượng của báo cáo tài chính phụ thuộc không chỉ vào số liệu cuối cùng, mà còn vào chất lượng của quy trình tạo lập, kiểm soát và lưu giữ bằng chứng phía sau số liệu đó.
Doanh nghiệp nên chuẩn bị như thế nào?
| Nội dung cần quản trị | Câu hỏi cần trả lời |
|---|---|
| Công cụ | Công cụ AI nào được phê duyệt và ai chịu trách nhiệm quản lý? |
| Dữ liệu | Dữ liệu nào được phép đưa vào AI và dữ liệu nào phải bảo mật hoặc ẩn danh? |
| Quyền hạn | Agent được đọc, tạo, sửa hoặc thực hiện những hành động nào? |
| Phê duyệt | Những hành động nào bắt buộc phải có người phê duyệt trước? |
| Bằng chứng | Doanh nghiệp có lưu nguồn dữ liệu, nhật ký hoạt động và lịch sử thay đổi không? |
| Giám sát | Ai theo dõi đầu ra của AI và xử lý khi agent hoạt động ngoài phạm vi? |
| Đào tạo | Nhân viên có được hướng dẫn về rủi ro bảo mật, sai lệch và sử dụng AI có trách nhiệm không? |
Một AI agent tốt không phải là agent làm được nhiều việc nhất. Đó là agent biết giới hạn quyền hạn, sử dụng nguồn dữ liệu phù hợp, lưu lại dấu vết và luôn có người chịu trách nhiệm cuối cùng.
Kết luận: Tự động hóa nhanh chưa đủ, phải tự động hóa có kiểm soát
AI có thể giúp doanh nghiệp rút ngắn thời gian xử lý và nâng cao hiệu quả của bộ phận kế toán. Nhưng AI không thay thế trách nhiệm nghề nghiệp, phê duyệt của con người hay yêu cầu về bằng chứng kiểm toán.
Nếu doanh nghiệp của bạn đang dùng AI agent để đề xuất bút toán, đối chiếu hoặc chuẩn bị tờ khai, hãy rà soát ngay bốn điểm: quyền truy cập – nguồn dữ liệu – quy trình phê duyệt – khả năng truy vết trước khi bước vào mùa kiểm toán.
Hãy liên hệ Lê Huy Thành — LT Advisory Việt Nam để trao đổi 30 phút về mức độ sẵn sàng kiểm soát AI trong quy trình kế toán của doanh nghiệp, hoặc tìm hiểu dịch vụ rà soát kiểm soát nội bộ, dữ liệu kế toán và mức độ sẵn sàng cho kiểm toán.
Điện thoại: 0976.960.808 | Email: thanh.lh@ltgroup.com.vn
