Thật ra anh partner Big4 kia giải thích ko sai đâu ạ. Có lẽ ở VN vai trò của kiểm toán vẫn còn bị hiểu sai nhiều (dù sao thì kiểm toán độc lập ở VN cũng mới phát triển có 30 năm), em xin phép hầu các cụ vài ý thế này.
Kiểm toán (audit) là 1 loại dịch vụ của 1 cái gọi là dịch vụ đảm bảo (assurance services), theo đó thì ban giám đốc công ty, từ nhu cầu muốn tăng độ tin cậy của thông tin tài chính do mình lập ra, thuê 1 đơn vị độc lập có uy tín đưa ra 1 cái ý kiến trên thông tin tài chính của mình. Cần phải hiểu "Đảm bảo" - assurance không bao giờ là lời cam kết chắc chắn 100% ko có sai sót (guarantee), do sẽ ko có 1 thủ tục kiểm toán nào mà có thể chắc chắn 100% được. Các cụ tưởng tượng trong 1 cái ngân hàng có hàng trăm hàng nghìn giao dịch, do 1 đội ngũ hàng nghìn người làm trong 1 năm, giờ 1 đội kiểm toán chỉ có chục người, làm việc torng vài tuần, làm sao mà dò tìm hết lỗi lầm gian trá được
Chính vì cái chênh lệch về thời gian, nguồn lực giữa bên "lập" và bên "đi dò xét" như trên, nên audit chỉ gói gọn lại trong việc tìm kiếm "sai sót" (misstatement), chứ ko bao gồm việc tìm kiếm "gian lận" (fraud). Đây chính là cái ý mà anh lãnh đạo Big4 kia đã giải thích, tức là kiểm toán viên chỉ làm việc dựa trên data được cung cấp, còn việc data cung cấp cho kiểm toán có chính xác, phản ánh đúng bản chất không (có fraud hay ko), thì là trách nhiệm của ban giám đốc doanh nghiệp. Trước khi báo cáo kiểm toán được phát hành, bao giờ kiểm toán viên cũng yêu cầu ban giám đốc ký Thư xác nhận, theo đó quy trách nhiệm về tính đúng đắn của data kiểm toán viên nhận được cho ban giám đốc. Cái thư này, về cơ bản là miễn trừ hầu như toàn bộ trách nhiệm cho kiểm toán viên rồi.
Vậy nếu trong trường hợp bctc đã kiểm toán mà vẫn có sai sót (như vụ SCB này), thì kiểm toán viên chịu trách nhiệm ntn? Về cơ bản thì kiểm toán viên phải thực hiện các thủ tục được quy định trong chuẩn mực kiểm toán, cơ quan quản lý (ở đây là UBCK và BTC) sẽ kiểm tra xem kiểm toán có thực hiện đúng chuẩn mực ko, nếu đúng thì ktv ko bị xử lý, nếu sai thì cũng sẽ có chế tài, ví dụ treo bằng ktv (như Deloitte), hoặc nặng hơn là cho ra khỏi danh sách tổ chức kiểm toán được chấp thuận.
Còn để xử lý hình sự KTV thì phải chứng minh được họ tham gia vào hành vi phạm tội, ví dụ như KTV nhận tiền của ban giám đốc để đưa ra ý kiến sai lệch trên BCTC, rồi BGD dùng BCTC đó để lừa đảo (như vụ Tân Hoàng Minh) chẳng hạn. Trên lý thuyết thì người sử dụng BCTC đã kiểm toán (ví dụ như ngân hàng, nhà đầu tư, cổ đông .v.v) có thể kiện cty kiểm toán, nhưng việc này thì cũng cực khó vì rất khó để chứng minh thiệt hại. Trên thực tế thì hơn 30 năm ở VN cũng chưa có cty Big4 nào có KTV bị xử lý hình sự, hay Big4 phải bồi thường cho người sử dụng BCTC.
Cuối cùng, nên hiểu như thế nào về "BCTC đã kiểm toán"? Như em trình bày ở trên, ý kiển kiểm toán không bao giờ là 1 sự đảm bảo 100% ko có sai sót đối với thông tin tài chính, thế nên các stakeholders khi sử dụng BCTC đã kiểm toán ko bao giờ nên chỉ dựa vào thông tin dc cung cấp trong đó. Ví dụ ngân hàng trước khi cho vay, thì phải thẩm định lại, hoặc là nhà đầu tư trước rót vốn vào doanh nghiệp, thì phải làm thẩm định tài chính (gọi là financial due diligence, có 1 việc cũng gây tranh cãi trong ngành, đó là thật ra thì Big4 cung cấp dịch vụ kiểm toán, dịch vụ tư vấn, và cả dịch vụ due diligence này, nên cũng có nhiều lo ngại về tính độc lập của các cty B4)