Текст очень длинный, поэтому разбит на части. Часть 1 из 5.
Приказ Министерства финансов Российской Федерации от 27.10.2021 г. № 163н (Официальный интернет-портал правовой информации (www.pravo.gov.ru) от 27.12.2021 г., ст. 0001202112270004)
Исходная редакция
МИНИСТЕРСТВО ФИНАНСОВ РОССИЙСКОЙ ФЕДЕРАЦИИ
ПРИКАЗ
Москва
27 октября 2021 г. № 163н
О введении в действие международных стандартов аудита на территории Российской Федерации и о признании утратившими силу отдельных положений приказа Министерства финансов Российской Федерации от 9 января 2019 г. № 2н
Зарегистрирован Минюстом России 24 декабря 2021 г.
Регистрационный № 66572
В соответствии с пунктом 9 Положения о признании международных стандартов аудита подлежащими применению на территории Российской Федерации, утвержденного постановлением Правительства Российской Федерации от 11 июня 2015 г. № 576 (Собрание законодательства Российской Федерации, 2015, № 25, ст. 3659; 2021, № 3, ст. 556), приказываю:
1. Ввести в действие на территории Российской Федерации:
1) Международный стандарт аудита 315 (пересмотренный, 2019 г.) "Выявление и оценка рисков существенного искажения" (приложение № 1);
2) Международный стандарт сопутствующих услуг 4400 (пересмотренный) "Задания по выполнению согласованных процедур" (приложение № 2);
3) Согласующиеся поправки к другим международным стандартам (приложение № 3).
2. Признать утратившими силу подпункты 11 и 47 пункта 1 приказа Министерства финансов Российской Федерации от 9 января 2019 г. № 2н "О введении в действие международных стандартов аудита на территории Российской Федерации и о признании утратившими силу некоторых приказов Министерства финансов Российской Федерации" (зарегистрирован Министерством юстиции Российской Федерации 31 января 2019 г., регистрационный № 53639) с изменениями, внесенными приказом Министерства финансов Российской Федерации от 30 декабря 2020 г. № 335н (зарегистрирован Министерством юстиции Российской Федерации 4 февраля 2021 г., регистрационный № 62391).
Министр А.Г.Силуанов
Приложение № 1 к приказу Министерства финансов Российской Федерации от 27 октября 2021 г. № 163н
МЕЖДУНАРОДНЫЙ СТАНДАРТ АУДИТА 315 (ПЕРЕСМОТРЕННЫЙ, 2019 Г.)
ВЫЯВЛЕНИЕ И ОЦЕНКА РИСКОВ СУЩЕСТВЕННОГО ИСКАЖЕНИЯ
Международный стандарт аудита (МСА) 315 (пересмотренный, 2019 г.) "Выявление и оценка рисков существенного искажения" следует рассматривать вместе с МСА 200 "Основные цели независимого аудитора и проведение аудита в соответствии с Международными стандартами аудита".
МСА 315 (пересмотренный, 2019 г.) был утвержден Советом по надзору за соблюдением общественных интересов (PIOB), который пришел к выводу о том, что процедура разработки стандарта носила надлежащий характер и общественные интересы были должным образом соблюдены.
Введение
Сфера применения настоящего стандарта
1. Настоящий Международный стандарт аудита (МСА) устанавливает обязанности аудитора по выявлению и оценке рисков существенного искажения финансовой отчетности.
Основные принципы настоящего стандарта
2. МСА 200.1 рассматривает общие цели аудитора при проведении аудита финансовой отчетности, включая получение достаточных надлежащих аудиторских доказательств для снижения аудиторского риска до приемлемо низкого уровня2. Аудиторский риск является функцией риска существенного искажения и риска необнаружения3. В МСА 200.4 разъяснено, что риски существенного искажения могут существовать на двух уровнях: на уровне финансовой отчетности в целом и на уровне предпосылок в отношении видов операций, остатков по счетам и раскрытия информации.
______________________________
1 МСА 200 "Основные цели независимого аудитора и проведение аудита в соответствии с международными стандартами аудита".
2 МСА 200, пункт 17.
3 МСА 200, пункт 13(c).
4 МСА 200, пункт А36.
3. МСА 200.5 требует, чтобы аудитор применял профессиональное суждение при планировании и проведении аудита, а также планировал и осуществлял аудит с профессиональным скептицизмом, отдавая себе отчет в том, что могут существовать такие обстоятельства, при которых финансовая отчетность окажется существенно искажена.
______________________________
5 МСА 200, пункты 15 - 16.
4. Риски на уровне финансовой отчетности в целом обозначают такие риски существенного искажения, которые всеобъемлющим образом распространяются на финансовую отчетность в целом и потенциально затрагивают целый ряд предпосылок. Риски существенного искажения на уровне предпосылок состоят из двух компонентов: неотъемлемый риск и риск средств контроля.
Неотъемлемый риск - подверженность предпосылки существенному искажению (в отдельности или в МСА 315 совокупности с другими искажениями) в отношении видов операций, остатков по счетам или раскрытия информации до рассмотрения каких-либо соответствующих средств контроля.
Риск средств контроля - риск того, что возможное существенное искажение (в отдельности или в совокупности с другими искажениями) предпосылки в отношении видов операций, остатков по счетам или раскрытия информации не будет своевременно предотвращено или выявлено и исправлено при помощи соответствующих средств контроля организации.
5. МСА 200.6 объясняет, что риски существенного искажения оцениваются на уровне предпосылок для того, чтобы определить характер, сроки и объем дальнейших аудиторских процедур, необходимых для получения достаточного количества надлежащих аудиторских доказательств. Для выявления рисков существенного искажения на уровне предпосылок настоящий МСА требует раздельной оценки неотъемлемого риска и риска средств контроля. Как поясняется в МСА 200, для некоторых предпосылок и соответствующих видов операций, остатков по счетам и раскрытия информации неотъемлемый риск выше, чем для других. В данном стандарте степень изменения неотъемлемого риска называется "диапазон неотъемлемого риска".
6. Риски существенного искажения, выявленные и оцененные аудитором, включают как риски искажения вследствие ошибки, так и риски искажения по причине недобросовестных действий. Хотя оба типа рисков рассматриваются в данном стандарте, недобросовестные действия имеют настолько важное значение, что в МСА 240.7 включены дополнительные требования и рекомендации в отношении процедур оценки рисков и связанных с ними действий по получению информации, которая используется для выявления, оценки рисков и проведения процедур в ответ на риски существенного искажения вследствие недобросовестных действий.
______________________________
6 МСА 200, пункт А43а и МСА 330 "Аудиторские процедуры в ответ на оцененные риски", пункт 6.
7 МСА 240 "Обязанности аудитора в отношении недобросовестных действии при проведении аудита финансовой отчетности".
7. Процесс выявления и оценки рисков аудитором итеративен и динамичен. Понимание аудитором организации и ее окружения, применимой концепции подготовки финансовой отчетности и системы внутреннего контроля организации взаимосвязано с принципами, лежащими в основе требований к выявлению и оценке рисков существенного искажения. Для получения понимания, требуемого данным стандартом, может формироваться предварительная оценка рисков, которая впоследствии может быть уточнена по мере осуществления аудитором процесса выявления и оценки рисков. Кроме того, данный стандарт и МСА 330 требуют от аудитора пересматривать оценку риска и изменять дальнейшие аудиторские процедуры общего характера и дальнейшие аудиторские процедуры на основе аудиторских доказательств, полученных в результате дальнейших аудиторских процедур в соответствии с МСА 330, или в случае получения новой информации.
8. МСА 330.8 требует, чтобы аудитор разработал и выполнил аудиторские процедуры общего характера в ответ на оцененные риски существенного искажения на уровне финансовой отчетности. Далее в МСА 330 поясняется, что оценка аудитором рисков существенного искажения на уровне финансовой отчетности и аудиторские процедуры общего характера зависят от его понимания контрольной среды. МСА 330.9 также требует, чтобы аудитор разработал и выполнил дальнейшие аудиторские процедуры, характер, сроки и объем которых определяются с учетом оцененных рисков существенного искажения на уровне предпосылок и в ответ на них.
______________________________
8 МСА 330, пункт 5.
9 МСА 330, пункт 6.
Масштабируемость
9. В МСА 200.10 указывается, что некоторые МСА включают положения о масштабируемости, которые иллюстрируют применение требований ко всем организациям независимо от характера их деятельности и того, являются ли он более или менее сложными. Данный стандарт предназначен для аудита всех организаций независимо от их размера или сложности, и поэтому руководство по его применению предусматривает особенности как менее, так и более сложных организаций в тех случаях, когда это уместно. Хотя размер организации является индикатором уровня ее сложности, некоторые малые организации могут отличаться большей сложностью, а более крупные организации могут являться менее сложными.
______________________________
10 МСА 200, пункт А65а.
Дата вступления в силу
10. Настоящий стандарт вступает в силу в отношении аудита финансовой отчетности за периоды, начинающиеся 15 декабря 2021 года или после этой даты.
Цель
11. Цель аудитора состоит в том, чтобы выявить и оценить риски существенного искажения как по причине недобросовестных действий, так и вследствие ошибки, на уровне финансовой отчетности и на уровне предпосылок, таким образом обеспечивая основу для разработки и выполнения аудиторских процедур в ответ на оцененные риски существенного искажения.
Определения
12. Для целей Международных стандартов аудита следующие термины имеют приведенные ниже значения:
(a) предпосылки - заявления, сделанные в явной или иной форме, в отношении признания, оценки, представления и раскрытия информации в финансовой отчетности, которые являются неотъемлемой частью заявления руководства о том, что финансовая отчетность составлена в соответствии с применимой концепцией подготовки финансовой отчетности. Предпосылки используются аудитором для рассмотрения различных типов потенциальных искажений, которые могут возникнуть при выявлении, оценке рисков существенного искажения и принятии мер в ответ на выявленные риски (см. пункт А1);
(b) бизнес-риск - риск, возникающий в результате значительных условий, событий, обстоятельств, действий или бездействия, которые могут оказать негативное влияние на способность организации достичь поставленных целей и реализовать свою стратегию, или возникающий в результате установления ненадлежащих целей и стратегии;
(c) средства контроля - политика или процедуры, установленные организацией для достижения целей системы внутреннего контроля, определенных руководством или лицами, отвечающими за корпоративное управление. В данном контексте (см. пункты А2-А5):
(i) политика - это положения о том, что должно быть реализовано или не должно иметь места в организации в целях осуществления контроля. Такие положения могут быть оформлены документально, четко отражены в информационных сообщениях или подразумеваться при осуществлении действий или принятии решений;
(ii) процедуры - это действия по реализации политики;
(d) общие средства ИТ-контроля - средства контроля за информационно-технологическими процессами (ИТ- процессами) организации, которые поддерживают непрерывное надлежащее функционирование ИТ-среды, включая непрерывное эффективное функционирование средств контроля обработки информации и целостность информации (то есть полноту, точность и достоверность информации) в информационной системе организации. Также см. определение ИТ-среды;
(e) средства контроля обработки информации - средства контроля, относящиеся к обработке информации посредством ИТ-приложений или информационных процессов, выполняемых вручную, в информационной системе организации, которые напрямую снижают риски нарушения целостности информации (то есть полноты, точности и достоверности операций и прочей информации) (см. пункт А6);
(f) факторы неотъемлемого риска - характеристики событий или условий, влияющих на подверженность предпосылки в отношении вида операций, остатков по счетам или раскрытия информации искажению вследствие недобросовестных действий или ошибок, до учета средств контроля. Такие факторы могут иметь качественный или количественный характер и включают сложность, субъективность, изменчивость, неопределенность или подверженность искажению в силу предвзятости руководства или иных факторов риска недобросовестных действий11 в той части, в которой они влияют на неотъемлемый риск (см. пункты А7-А8);
(g) ИТ-среда (Среда информационных технологий) - ИТ-приложения и вспомогательная ИТ-инфраструктура, а также ИТ-процессы и сотрудники, участвующие в этих процессах, используемые организацией для поддержки хозяйственных операций и реализации бизнес-стратегии. Для целей данного стандарта:
(i) ИТ-приложение представляет собой программу или комплекс программ, используемых для инициирования, обработки, учета и отражения в отчетности операций или информации. ИТ- приложения включают хранилища данных и генераторы отчетов;
(ii) ИТ-инфраструктура включает в себя сеть, операционные системы, базы данных и соответствующее аппаратное и программное обеспечение;
(iii) ИТ-процессы - это процессы организации для управления доступом к ИТ-среде, внесением изменений в программы или в ИТ-среду и для контроля за функционированием информационных технологий;
(h) соответствующие предпосылки - такие предпосылки в отношении вида операций, остатка по счету или раскрытия информации, с которыми связан выявленный риск существенного искажения. Соответствие предпосылки определяется до рассмотрения любых соответствующих средств контроля (то есть до оценки неотъемлемого риска) (см. пункт А9);
(i) риски, связанные с использованием информационных технологий - подверженность средств контроля обработки информации неэффективности структуры или функционирования или риски нарушения целостности информации (то есть полноты, точности и достоверности операций и иной информации) в информационной системе организации вследствие неэффективности структуры или функционирования средств контроля в ИТ-процессах организации (см. ИТ-среда);
(j) процедуры оценки рисков - аудиторские процедуры, которые разработаны и проводятся для выявления и оценки рисков существенного искажения вследствие недобросовестных действий или ошибок на уровне финансовой отчетности и предпосылок;
(k) значительный вид операций, остаток по счету или значительное раскрытие информации - вид операций, остаток по счету или раскрытие информации с одной или несколькими соответствующими предпосылками (в отношении которой, для которой есть одна или более соответствующие предпосылки);
(l) значительный риск - выявленный риск существенного искажения (см. пункт А10):
(i) для которого оценка неотъемлемого риска близка к верхней границе диапазона неотъемлемого риска благодаря степени влияния факторов неотъемлемого риска на сочетание вероятности наличия искажения и величины потенциального искажения, если искажение будет иметь место; или
(ii) который подлежит рассмотрению в качестве значительного риска в соответствии с требованиями11 других МСА12;
______________________________
11 МСА 240, пункты А24-А27.
12 МСА 240, пункт 27 и МСА 550 "Связанные стороны", пункт 18.
(m) система внутреннего контроля - система, разработанная, внедренная и поддерживаемая лицами, отвечающими за корпоративное управление, руководством и другими сотрудниками для обеспечения разумной уверенности в достижении целей организации в отношении надежности процесса подготовки финансовой отчетности, эффективности и результативности операций, а также соблюдения применимых законов и нормативных актов. Для целей МСА система внутреннего контроля подразделяется на пять взаимосвязанных компонентов:
(i) контрольная среда;
(ii) процесс оценки рисков в организации;
(iii) процесс мониторинга системы внутреннего контроля организации;
(iv) информационная система и информационное взаимодействие;
(v) контрольные процедуры.
Требования
Процедуры оценки рисков и сопутствующие действия
13. Аудитор должен разработать и выполнить процедуры оценки рисков для получения аудиторских доказательств, обеспечивающих надлежащую основу (см. пункты A11-А18):
(a) выявления и оценки рисков существенного искажения, вызванного недобросовестными действиями или ошибкой, на уровне финансовой отчетности и на уровне предпосылок;
(b) разработки дальнейших аудиторских процедур в соответствии с МСА 330.
Аудитор должен разрабатывать и проводить аудиторские процедуры так, чтобы избежать предвзятости, состоящей в сборе только тех доказательств, которые подтверждают оценки руководства, или в исключении тех доказательств, которые им противоречат (см. пункт А14).
14. Процедуры оценки рисков должны включать следующее (см. пункты А19-А21):
(a) запросы к руководству и другим соответствующим лицам внутри организации, в том числе к сотрудникам службы внутреннего аудита (если такая служба существует) (см. пункты А22-А26);
(b) аналитические процедуры (см. пункты А27-А31);
(c) наблюдение и инспектирование (см. пункты А32-А36).
Информация из других источников
15. При сборе аудиторских доказательств в соответствии с пунктом 13 аудитор должен рассмотреть информацию, полученную по итогам (см. пункты А37-А38):
(a) проведения аудитором процедур в отношении принятия или продолжения отношений с клиентами или работы по аудиторским заданиям;
(b) если применимо, выполнения руководителем задания других заданий для организации.
16. Если аудитор планирует использовать информацию, полученную в результате прошлого опыта работы аудитора с организацией и выполнения аудиторских процедур в рамках предыдущих аудиторских заданий, он должен оценить, остается ли такая информация уместной и надежной для использования в качестве аудиторских доказательств для целей текущего аудита (см. пункты А39-А41).
Обсуждение в аудиторской группе
17. Руководитель задания и другие ключевые члены аудиторской группы должны обсудить вопросы использования применимой концепции подготовки финансовой отчетности и подверженности финансовой отчетности организации существенному искажению (см. пункты А42-А47).
18. Если есть члены аудиторской группы, которые не участвовали в обсуждении в аудиторской группе, руководитель задания должен определить, какие вопросы должны быть доведены до их сведения.
Получение понимания деятельности организации и ее окружения, применимой концепции подготовки финансовой отчетности и системы внутреннего контроля организации (см. пункты А48-А49).
Изучение организации и ее окружения, а также применимой концепции подготовки финансовой отчетности (см. пункты А50-А55)
19. Аудитор должен выполнить процедуры оценки риска, чтобы получить понимание:
(a) таких аспектов деятельности организации и ее окружения, как:
(i) организационная структура, структура собственности и система корпоративного управления, а также бизнес-модель организации, в том числе то, насколько ее бизнес-модель предусматривает использование информационных технологий (см. пункты А56-А67);
(ii) отраслевые, регуляторные и иные внешние факторы (см. пункты А68-А73);
(iii) показатели, используемые при оценке финансовых результатов организации для внутренних и внешних целей (см. пункты А74-А81);
(b) применимой концепции подготовки финансовой отчетности и учетной политики организации, а также любых причин ее изменения (см. пункты А82-А84);
(c) характера и степени влияния факторов неотъемлемого риска на подверженность предпосылок искажению при составлении финансовой отчетности в соответствии с применимой концепцией подготовки финансовой отчетности, исходя из понимания информации, полученной в соответствии с пунктами (а) и (b) (см. пункты А85-А89).
20. Аудитор должен оценить, имеет ли учетная политика организации надлежащий характер и соответствует ли она применимой концепции подготовки финансовой отчетности.
Понимание компонентов системы внутреннего контроля организации (см. пункты А90-А95)
Контрольная среда, процесс оценки рисков и процесс мониторинга системы внутреннего контроля в организации (см. пункты А96-А98)
Контрольная среда
21. Аудитор должен получить понимание в отношении контрольной среды, связанной с подготовкой финансовой отчетности, в ходе выполнения процедур оценки рисков посредством (см. пункты А99-А100):
(а) изучения ряда средств контроля, процессов и структур, которые определяют (см. пункты А101-А102):
(i) как выполняются надзорные функции руководства, например, в части формирования культуры организации и приверженности руководства принципам честности и этическим ценностям;
(ii) насколько независимы лица, отвечающие за корпоративное управление и осуществляющие надзор за системой внутреннего контроля организации, если такие лица не входят в состав руководства;
(iii) как распределяются полномочия и ответственность в организации;
(iv) как организация привлекает, развивает и удерживает компетентных работников;
(v) каким образом организация привлекает работников к ответственности за невыполнение ими своих обязанностей для достижения целей системы внутреннего контроля;
(b) оценки того (см. пункты А103-А108):
(i) сформировало и поддерживает ли руководство культуру честности и этичного поведения под надзором лиц, отвечающих за корпоративное управление;
(ii) обеспечивает ли контрольная среда надлежащую основу для других компонентов системы внутреннего контроля организации с учетом характера и сложности ее деятельности;
(iii) оказывают ли недостатки системы контроля, выявленные в контрольной среде, отрицательное влияние на другие компоненты системы внутреннего контроля организации.
Процесс оценки рисков в организации
22. Аудитор должен получить понимание процесса оценки рисков в организации, связанного с подготовкой финансовой отчетности, в ходе выполнения процедур оценки рисков посредством:
(a) изучения процессов, используемых в организации для (см. пункты А109-А110):
(i) выявления бизнес-рисков, связанных с целями подготовки финансовой отчетности (см. пункт А62);
(ii) оценки значительности этих рисков, включая вероятность их возникновения;
(iii) снижения этих рисков;
(b) оценки того, соответствует ли процесс оценки рисков обстоятельствам организации с учетом характера и сложности ее деятельности (см. пункты A111-А113).
23. Если аудитор выявляет риски существенного искажения, которые не были обнаружены руководством, он должен:
(a) определить, относятся ли они к тем рискам, выявление которых аудитор ожидал бы в рамках процесса оценки рисков в организации, и, если это так, понять, почему в процессе оценки рисков в организации такие риски существенного искажения не были выявлены;
(b) рассмотреть последствия для оценки аудитора, указанной в пункте 22(b).
Процесс мониторинга системы внутреннего контроля организации
24. Аудитор должен получить понимание процесса мониторинга системы внутреннего контроля организации, связанной с подготовкой финансовой отчетности, в ходе выполнения процедур оценки рисков посредством (см. пункты А24-А115):
(a) изучения тех аспектов процесса организации, которые регламентируют:
(i) проведение систематических и отдельных оценок для целей мониторинга эффективности средств контроля, а также выявления и устранения обнаруженных недостатков системы контроля (см. пункты А116-А117);
(ii) функции службы внутреннего аудита организации, если такая имеется, в том числе ее характер, обязанности и деятельность (см. пункт А118);
(b) изучения источников информации, используемых в процессе мониторинга системы внутреннего контроля организации, и оснований, исходя из которых руководство считает информацию достаточно надежной для этой цели (см. пункты A119-А120);
(c) оценки того, соответствует ли процесс мониторинга системы внутреннего контроля обстоятельствам организации с учетом характера и сложности ее деятельности (см. пункты А121-А122).
Информационная система и информационное взаимодействие, а также контрольные процедуры (см. пункты А123-А130)
Информационная система и информационное взаимодействие
25. Аудитор должен получить понимание в отношении информационной системы и информационного взаимодействия в организации, связанных с подготовкой финансовой отчетности, в ходе выполнения процедур оценки рисков посредством (см. пункт А131):
(a) изучения деятельности организации по обработке информации, включая ее данные и сведения, ресурсы, используемые в рамках такой деятельности, а также политику, которая для значительных видов операций, остатков по счетам и раскрытия информации определяет (см. пункты А132-А143):
(i) процесс прохождения информации через информационную систему организации, в том числе:
a. как инициируются операции и как информация о них записывается, обрабатывается, по мере необходимости корректируется, включается в основной регистр и отражается в финансовой отчетности;
b. как собирается, обрабатывается и раскрывается в финансовой отчетности информация о событиях и условиях, помимо операций;
(ii) данные бухгалтерской отчетности, определенные счета финансовой отчетности и иные подтверждающие записи в отношении потоков информации в информационной системе;
(iii) процесс составления финансовой отчетности, используемый для подготовки финансовой отчетности организации, включая раскрытие информации;
(iv) ресурсы организации, включая ИТ-среду, применительно к пунктам (a)(i) - (a)(iii) выше;
(b) изучения того, как в организации осуществляется информационное взаимодействие по значимым вопросам, влияющим на подготовку финансовой отчетности, и соответствующим обязанностям по составлению отчетности в информационной системе и других компонентах системы внутреннего контроля (см. пункты А144-А145):
(i) между сотрудниками организации, в том числе как передается информация об их функциях и обязанностях по подготовке финансовой отчетности;
(ii) между руководством и лицами, отвечающими за корпоративное управление;
(iii) с внешними сторонами, такими как регулирующие органы;
(c) оценки того, поддерживают ли информационная система и информационное взаимодействие в организации составление ее финансовой отчетности надлежащим образом в соответствии с применимой концепцией подготовки финансовой отчетности (см. пункт А146).
Контрольные процедуры
26. Аудитор должен получить понимание в отношении компонента контрольных процедур в ходе выполнения процедур оценки рисков (см. пункты А147-А157):
(а) посредством выявления следующих средств контроля, предназначенных для снижения рисков существенного искажения на уровне предпосылок в рамках компонента контрольных процедур:
(i) средств контроля, которые снижают риск, определяемый как значительный (см. пункты А158-А159);
(ii) средств контроля за бухгалтерскими записями, включая нестандартные бухгалтерские записи, используемые для отражения нерегулярных, необычных операций или корректировок (см. пункты А160-А161);
(iii) средств контроля, операционную эффективность которых аудитор планирует тестировать при определении характера, сроков и объема тестирования по существу, включая средства контроля, снижающие риски, для которых процедуры проверки по существу в отдельности не обеспечивают достаточные надлежащие аудиторские доказательства (см. пункты А162-А164);
(iv) прочих средств контроля, которые аудитор считает надлежащими для достижения целей, указанных в пункте 13 в отношении рисков на уровне предпосылок, опираясь на свое профессиональное суждение (см. пункт А165);
(b) на основании средств контроля, выявленных в соответствии с пунктом (а), посредством выявления ИТ- приложений и других аспектов ИТ-среды организации, которые подвержены рискам, возникающим в связи с использованием информационных технологий (см. пункты А166-А172);
(c) посредством выявления в отношении таких ИТ-приложений и других аспектов ИТ-среды, выявленных в соответствии с пунктом (b) (см. пункты А173-А174):
(i) соответствующих рисков, возникающих в связи с использованием информационных технологий;
(ii) общих средств ИТ-контроля организации, которые снижают эти риски;
(d) в отношении каждого средства контроля, выявленного при выполнении пункта (а) или (c)(ii) (см. пункты А175-А181):
(i) оценки того, разработано ли средство контроля для эффективного снижения риска существенного искажения на уровне предпосылок или в действительности разработано для поддержки функционирования других средств контроля;
(ii) определения факта внедрения средства контроля путем выполнения процедур в дополнение к направлению запросов сотрудникам организации.
Недостатки средств контроля в системе внутреннего контроля организации
27. На основании оценки аудитором каждого компонента системы внутреннего контроля организации аудитор должен определить, был ли выявлен один или несколько недостатков в системе контроля (см. пункты А182-А183).
Выявление и оценка рисков существенного искажения (см. пункты А184, А185)
Выявление рисков существенного искажения
28. Аудитор должен идентифицировать риски существенного искажения и определить, существуют ли они (см. пункты А186-А192):
(a) на уровне финансовой отчетности (см. пункты А193-А200);
(b) на уровне предпосылок в отношении видов операций, остатков по счетам и раскрытия информации (см. пункт А201).
29. Аудитор должен определить соответствующие предпосылки и соответствующие значительные виды операций, остатки по счетам и раскрываемую информацию (см. пункты А202-А204).
Оценка рисков существенного искажения на уровне финансовой отчетности
30. В отношении выявленных рисков существенного искажения на уровне финансовой отчетности аудитор должен оценить риски и (см. пункты А193-А200):
(a) определить, влияют ли такие риски на оценку рисков на уровне предпосылок;
(b) оценить их характер и то, насколько всеобъемлющим является их влияние на финансовую отчетность.
Оценка рисков существенного искажения на уровне предпосылок
Оценка неотъемлемого риска (см. пункты А205-А217)
31. В отношении выявленных рисков существенного искажения на уровне предпосылок аудитор должен оценить неотъемлемый риск, определив вероятность и размер искажений. При этом аудитор должен учитывать то, каким образом и в какой мере:
(a) факторы неотъемлемого риска влияют на подверженность соответствующих предпосылок искажению;
(b) риски существенного искажения на уровне финансовой отчетности влияют на оценку неотъемлемого риска для рисков существенного искажения на уровне предпосылок (см. пункты А215-А216).
32. Аудитор должен определить, являются ли оцененные риски существенного искажения значительными рисками (см. пункты А218-А221).
33. Аудитор должен определить, могут ли сами по себе процедуры проверки по существу обеспечить получение достаточных надлежащих аудиторских доказательств для любого из рисков существенного искажения на уровне предпосылок (см. пункты А222-А225).
Оценка риска средств контроля
34. Если аудитор планирует тестирование операционной эффективности средств контроля, он должен оценить риск средств контроля. Если аудитор не планирует тестирование операционной эффективности средств контроля, его оценка риска средств контроля должна быть такой, чтобы оценка риска существенного искажения соответствовала оценке неотъемлемого риска (см. пункты А226-А229).
Оценка аудиторских доказательств, полученных в результате процедур оценки рисков
35. Аудитор должен оценить, обеспечивают ли аудиторские доказательства, полученные в результате процедур оценки рисков, надлежащую основу для выявления и оценки рисков существенного искажения. В ином случае аудитор должен выполнять дополнительные процедуры оценки рисков до тех пор, пока не будут получены аудиторские доказательства, обеспечивающие такую основу. При выявлении и оценке рисков существенного искажения аудитор должен учитывать все аудиторские доказательства, полученные в результате процедур оценки рисков, независимо от того, подтверждают ли они заявления руководства или противоречат им (см. пункты А230-А232).
Виды операций, остатки по счетам и раскрытие информации, которые не считаются значительными, но являются существенными
36. В отношении существенных видов операций, остатков по счетам или раскрытия информации, которые не были определены как значительные виды операций, остатки по счетам или раскрытие информации, аудитор должен оценить, является ли такое определение по-прежнему обоснованным (см. пункты А233-А235).
Пересмотр оценки рисков
37. Если аудитор получает новую информацию, не соответствующую аудиторским доказательствам, исходя из которых аудитор изначально выявлял или оценивал риски существенного искажения, он должен пересмотреть результаты выявления или оценки рисков (см. пункт А236).
Документация
38. В аудиторской документации аудитор обязан отразить13 (см. пункты А237-А241):
______________________________
13 МСА 230 "Аудиторская документация", пункты 8 - 11 и А6-А7.
(a) обсуждение в аудиторской группе и принятые значимые решения;
(b) ключевые элементы понимания каждого из аспектов организации и ее окружения, описанные в пунктах 19, 21, 22, 24 и 25, источники информации, из которых было получено такое понимание; а также выполненные процедуры оценки рисков;
(c) оценку структуры идентифицированных средств контроля и определение того, были ли такие средства контроля внедрены в соответствии с требованиями пункта 26;
(d) выявленные и оцененные риски существенного искажения на уровне финансовой отчетности и на уровне предпосылок, включая значительные риски и риски, в отношении которых не могут быть предоставлены достаточные надлежащие аудиторские доказательства исключительно процедурами проверки по существу, а также обоснование вынесенных значительных суждений.
Руководство по применению и прочие пояснительные материалы
Определения (см. пункт 12)
Предпосылки (см. пункт 12(a))
А1. Категории предпосылок используются аудитором для рассмотрения разных типов потенциальных искажений, которые могут возникнуть при выявлении и оценке рисков существенного искажения, а также при проведении процедур в ответ на них. Примеры таких категорий предпосылок приводятся в пункте А190. Предпосылки отличаются от письменных заявлений, которые требуются МСА 580.14 для подтверждения определенных сведений или подкрепления других аудиторских доказательств.
______________________________
14 МСА 580 "Письменные заявления".
Средства контроля (см. пункт 12(c))
А2. Средства контроля относятся к компонентам системы внутреннего контроля организации.
А3. Политика реализуется посредством действий сотрудников организации или запрета для них предпринимать действия, которые противоречат такой политике.
А4. Процедуры могут быть установлены официальным документом или иным сообщением руководства или лиц, отвечающих за корпоративное управление, либо могут быть результатом поведения, которое не предписано, но в значительной степени обусловлено культурой организации. Выполнение процедур может обеспечиваться посредством действий, разрешенных ИТ-приложениями, используемыми организацией, или иными аспектами ее ИТ-среды.
А5. Средства контроля могут быть прямыми или косвенными. Прямые средства контроля - это средства контроля, которые являются достаточно точными для снижения рисков существенного искажения на уровне предпосылок. Косвенные средства контроля - это средства контроля, которые поддерживают прямые средства контроля.
Средства контроля обработки информации (см. пункт 12(e))
А6. Риски нарушения целостности информации возникают из-за подверженности влиянию неэффективной реализации информационной политики организации, которая определяет информационные потоки, записи и процессы подготовки отчетности в информационной системе организации. Средства контроля обработки информации представляют собой процедуры, которые поддерживают эффективную реализацию информационной политики организации. Средства контроля обработки информации могут быть автоматизированными (то есть встроенными в ИТ-приложения) или применяемыми вручную (например, средства контроля за вводом и выводом данных) и могут зависеть от других средств контроля, включая иные средства контроля обработки информации или общие средства ИТ-контроля.
Факторы неотъемлемого риска (см. пункт 12(f))
В Приложении 2 представлены дополнительные вопросы, которые следует рассмотреть при изучении факторов неотъемлемого риска.
А7. Факторы неотъемлемого риска могут иметь качественный или количественный характер и влиять на подверженность предпосылок искажению. Качественные факторы неотъемлемого риска, относящиеся к подготовке информации, которая требуется в соответствии с применимой концепцией подготовки финансовой отчетности, включают:
сложность;
субъективность;
изменчивость;
неопределенность или
подверженность искажению вследствие предвзятости руководства или иных факторов риска недобросовестных действий в той мере, в которой они влияют на неотъемлемый риск.
А8. Другие факторы неотъемлемого риска, которые влияют на подверженность искажению предпосылки в отношении вида операций, остатка по счету или раскрытия информации, могут включать:
значительность вида операций, остатка по счету или раскрытия информации в количественном или качественном отношении;
объем или неоднородность состава статей, обрабатываемых по видам операций, остаткам по счетам или отражаемых в раскрываемой информации.
Соответствующие предпосылки (см. пункт 12(h))
А9. Риск существенного искажения может относиться к нескольким предпосылкам, и в этом случае все предпосылки, к которым относится такой риск, являются соответствующими предпосылками. Если в отношении предпосылки не выявлен риск существенного искажения, тогда она не является соответствующей предпосылкой.
Значительный риск (см. пункт 12(i))
А10. Значительность может быть определена как относительная важность вопроса и оценивается аудитором в том контексте, в котором рассматривается вопрос. Значительность неотъемлемого риска может рассматриваться в контексте того, как и в какой мере факторы неотъемлемого риска влияют на сочетание вероятности наличия искажения и величины потенциального искажения, если искажение будет иметь место.
Процедуры оценки рисков и сопутствующие действия (см. пункты 13 - 18)
A11. Выявляемые и оцениваемые риски существенного искажения включают как риски вследствие недобросовестных действий, так и риски в результате ошибок, и оба типа рисков рассматриваются в данном стандарте. Однако значимость недобросовестных действий настолько велика, что в МСА 240 включены дополнительные требования и рекомендации в отношении процедур оценки рисков и связанных с ними действий по получению информации, используемой для выявления и оценки рисков существенного искажения вследствие недобросовестных действий 15. Кроме того, следующие МСА содержат дополнительные требования и рекомендации по выявлению и оценке рисков существенного искажения в отношении определенных вопросов или обстоятельств:
МСА 540 (пересмотренный)16 - в отношении оценочных значений;
МСА 550 - в части отношений и операций со связанными сторонами;
МСА 570 (пересмотренный)17 - в отношении непрерывности деятельности;
МСА 600.18 - в отношении финансовой отчетности группы.
______________________________
15 МСА 240, пункты 12 - 27.
16 МСА 540 (пересмотренный) "Аудит оценочных значений и соответствующего раскрытия информации".
17 МСА 570 (пересмотренный) "Непрерывность деятельности".
18 МСА 600 "Особенности аудита финансовой отчетности группы (включая работу аудиторов компонентов)".
А12. Профессиональный скептицизм необходим для критической оценки аудиторских доказательств, собранных в ходе выполнения процедур оценки рисков, и помогает аудитору проявлять бдительность в отношении аудиторских доказательств, которые однозначно не подтверждают факт существования рисков или могут противоречить ему.
Профессиональный скептицизм - это установка, применяемая аудитором при вынесении профессиональных суждений, которые затем становятся основой для действий аудитора. Аудитор применяет профессиональное суждение при определении того, обеспечивают ли полученные им аудиторские доказательства надлежащую основу для оценки рисков.
А13. Проявление аудитором профессионального скептицизма может включать:
необходимость подвергать сомнению противоречивую информацию и надежность документов;
рассмотрение ответов на запросы и прочей информации, полученной от руководства и лиц, отвечающих за корпоративное управление;
проявление бдительности в отношении условий, которые могут указывать на возможное искажение вследствие недобросовестных действий или ошибок;
рассмотрение вопроса о том, подтверждают ли полученные аудиторские доказательства выявление и оценку рисков существенного искажения с учетом характера и обстоятельств деятельности организации.
Почему отсутствие предвзятости при получении аудиторских доказательств имеет значение (см. пункт 13)
А14. Разработка и выполнение процедур оценки рисков для получения аудиторских доказательств, подтверждающих без предвзятости выявление и оценку рисков существенного искажения, помогают аудитору выявить потенциально противоречивую информацию, которая может способствовать проявлению им профессионального скептицизма в выявлении и оценке рисков существенного искажения.
Источники аудиторских доказательств (см. пункт 13)
А15. Разработка и выполнение процедур оценки рисков в целях получения аудиторских доказательств без предвзятости может предусматривать получение доказательств из многих источников как внутри, так и вне организации. Однако аудитор не должен проводить исчерпывающий поиск, чтобы выявить все возможные источники аудиторских доказательств. В дополнение к информации из других источников19 источники информации для процедур оценки рисков могут включать:
взаимодействие с руководством, лицами, отвечающими за корпоративное управление, и иными ключевыми сотрудниками организации, такими как внутренние аудиторы;
некоторые внешние стороны, такие как регулирующие органы, независимо от того, была ли информация получена напрямую или опосредованно;
общедоступную информацию об организации, например выпущенные ею пресс-релизы, материалы для аналитиков или совещаний группы инвесторов, аналитические отчеты или информацию о торговой деятельности.
Независимо от источника информации аудитор рассматривает уместность и надежность информации, используемой в качестве аудиторских доказательств, в соответствии с МСА 500.20.
______________________________
19 См. пункты А37 и А38.
20 МСА 500 "Аудиторские доказательства", пункт 7.
Масштабируемость (см. пункт 13)
А16. Характер и объем процедур оценки рисков будет зависеть от характера и обстоятельств организации (например, формализации политики и процедур организации, а также процессов и систем). Аудитор применяет профессиональное суждение для определения характера и объема процедур оценки рисков, выполняемых для соблюдения требований данного стандарта.
А17. Хотя степень формализации политики и процедур организации, а также ее процессов и систем может варьироваться, аудитор в любом случае обязан получить понимание в этом отношении в соответствии с пунктами 19, 21, 22, 24, 25 и 26.
Примеры
Некоторые организации, в том числе менее сложные, и особенно организации, управляемые собственником, могут не иметь установленных структурированных процессов и систем (например, процесса оценки рисков или процесса мониторинга системы внутреннего контроля) либо могут иметь установленные процессы или системы с ограниченной документацией или недостаточной последовательностью использования. Если такие системы и процессы недостаточно формализованы, аудитор все равно сможет выполнить процедуры оценки рисков посредством наблюдения и направления запросов.
Предполагается, что у других, обычно более сложных организаций будет более формализованная и документально оформленная политика и процедуры. Аудитор может использовать такую документацию при выполнении процедур оценки рисков.
А18. Характер и объем процедур оценки рисков, проводимых при выполнении задания в первый раз, могут быть более обширными, чем процедуры при повторном выполнении задания. В последующих периодах аудитор может сосредоточить внимание на изменениях, которые произошли по окончании предыдущего периода.
Виды процедур оценки рисков (см. пункт 14)
A19. В МСА 500.21 указаны виды аудиторских процедур, которые могут быть выполнены при получении аудиторских доказательств на основе процедур оценки рисков и дальнейших аудиторских процедур. На характер, сроки и объем аудиторских процедур может влиять то, что некоторые данные бухгалтерского учета и другие доказательства могут быть доступны только в электронной форме или только в определенные моменты времени22. Аудитор может выполнять процедуры проверки по существу или тесты средств контроля в соответствии с МСА 330 параллельно с процедурами оценки рисков, если это эффективно. Полученные аудиторские доказательства, которые подтверждают выявление и оценку рисков существенного искажения, могут также служить подтверждением искажений, обнаруженных на уровне предпосылки, или оценки операционной эффективности средств контроля.
______________________________
21 МСА 500, пункты А14-А17 и А21-А25.
22 МСА 500, пункт А12.
А20. Хотя аудитор должен выполнить все процедуры оценки рисков, описанные в пункте 14, в ходе получения необходимого понимания деятельности организации и ее окружения, применимой концепции подготовки финансовой отчетности и системы внутреннего контроля организации (см. пункты 19 - 26), от аудитора не требуется выполнять все процедуры в отношении каждого аспекта понимания организации. Для получения информации, которая может быть полезной для выявления рисков существенного искажения, могут применяться и другие процедуры. Примеры таких процедур могут включать направление запросов внешнему юристу организации или ее внешним надзорным органам, или экспертам по оценке, услугами которых пользовалась организация.
Автоматизированные инструменты и методы (см. пункт 14)
А21. Используя автоматизированные инструменты и методы, аудитор может выполнять процедуры оценки рисков на больших объемах данных (из основного регистра, вспомогательных регистров или иных операционных данных), в том числе для целей анализа, пересчета, повторного применения или сверок.
Направление запросов руководству и прочим сотрудникам организации (см. пункт 14(a))
Почему руководству и другим сотрудникам организации направляются запросы
А22. Информация, используемая аудитором, чтобы обеспечить надлежащую основу для выявления и оценки рисков и разработку дальнейших аудиторских процедур, может быть получена путем направления запросов руководству и сотрудникам, ответственным за подготовку финансовой отчетности.
А23.
Направление запросов руководству и сотрудникам, ответственным за подготовку финансовой отчетности, а также другим соответствующим лицам внутри организации и прочему персоналу, обладающему полномочиями разного уровня, может ознакомить аудитора с разными точками зрения при выявлении и оценке им риска существенного искажения.
Примеры
Запросы, направленные лицам, отвечающим за корпоративное управление, могут помочь аудитору оценить объем надзорных действий за процессом подготовки руководством финансовой отчетности, осуществляемый лицами, отвечающими за корпоративное управление. МСА 260 (пересмотренный)23 указывает на важность эффективного двустороннего информационного взаимодействия для получения аудитором информации от лиц, отвечающих за корпоративное управление, по данным вопросам.
Запросы, направленные сотрудникам, ответственным за инициирование, обработку или учет сложных или необычных операций, могут помочь аудитору оценить надлежащий характер выбора и применения определенных принципов учетной политики.
______________________________
23 МСА 260 (пересмотренный) "Информационное взаимодействие с лицами, отвечающими за корпоративное управление", пункт 4(b).
Запросы, направленные внутреннему юристу, могут предоставить информацию о таких обстоятельствах, как судебные разбирательства, соблюдение законов и нормативных актов, осведомленность о фактических или предполагаемых недобросовестных действиях, влияющих на организацию, гарантиях, послепродажных обязательствах, соглашениях с партнерами по бизнесу (например, о совместных предприятиях) и о содержании договорных условий.
Запросы, направленные сотрудникам маркетинговых или коммерческих подразделений, могут предоставить информацию об изменениях в маркетинговой стратегии организации, тенденциях в продажах или о договорных отношениях с заказчиками.
Запросы, направленные службе по управлению рисками (или сотрудникам, выполняющим такие функции), могут предоставить информацию об операционных и регуляторных рисках, которые могут влиять на финансовую отчетность.
Запросы, направленные сотрудникам подразделений информационных технологий, могут предоставить информацию об изменениях в системах, сбоях в системах или средствах контроля или иных рисках, связанных с информационными технологиями.
Особенности организаций государственного сектора
А24. При направлении запросов лицам, предположительно располагающим информацией, которая, по всей вероятности, поможет в выявлении рисков существенного искажения, аудиторы организаций государственного сектора могут получать информацию из дополнительных источников, например от аудиторов, участвующих в выполнении других аудиторских заданий в отношении организации.
Направление запросов службе внутреннего аудита
В Приложении 4 представлены вопросы, которые необходимо рассмотреть при изучении службы внутреннего аудита организации.
Почему запросы направляются службе внутреннего аудита (при наличии таковой)
А25. Если у организации есть служба внутреннего аудита, направление запросов ее сотрудникам может помочь аудитору в изучении организации и ее окружения, а также системы внутреннего контроля организации в процессе выявления и оценки рисков.
Особенности организаций государственного сектора
А26. Аудиторы организаций государственного сектора зачастую имеют дополнительные обязанности в отношении внутреннего контроля и соблюдения применимых законов и нормативных актов.
Направление запросов соответствующим сотрудникам службы внутреннего аудита может помочь аудиторам в выявлении риска существенного несоблюдения действующих законов и нормативных актов и риска недостатков системы контроля за подготовкой финансовой отчетности.
Аналитические процедуры (см. пункт 14(b))
Почему аналитические процедуры выполняются в качестве процедуры оценки рисков
А27. Аналитические процедуры помогают выявить несоответствия, необычные операции или события, суммы, коэффициенты и тенденции, указывающие на наличие вопросов, которые могут иметь последствия для аудита. Выявленные необычные или неожиданные соотношения могут помочь аудитору выявить риски существенного искажения, особенно риски существенного искажения вследствие недобросовестных действий.
А28. Следовательно, выполнение аналитических процедур в качестве процедур оценки рисков может помочь в выявлении и оценке рисков существенного искажения путем выявления вопросов об организации, о которых аудитору было неизвестно, или понимания того, как факторы неотъемлемого риска, такие как изменчивость, влияют на подверженность предпосылок искажению.
Виды аналитических процедур
А29. Аналитические процедуры, выполняемые в качестве процедур оценки рисков, могут:
включать финансовую и нефинансовую информацию, например соотношение между объемом продаж и размерами торговых площадей или объемом реализованных товаров (нефинансовый показатель);
использовать данные, агрегированные на высоком уровне. Следовательно, результаты выполнения таких аналитических процедур могут дать общее предварительное указание на вероятность существенного искажения.
Пример
В случае аудита большого числа организаций, в том числе с менее сложными бизнес-моделями и процессами и менее сложной информационной системой, аудитор может провести простое сравнение информации, например изменений в остатках по счетам за промежуточный период или по месяцам с остатками за предыдущие периоды, чтобы получить представление о возможных областях повышенного риска.
А30. Данный стандарт регламентирует использование аудитором аналитических процедур в качестве процедур оценки рисков. МСА 520.24 регламентирует использование аудитором аналитических процедур в качестве процедур проверки по существу ("аналитические процедуры проверки по существу") и обязанность аудитора проводить аналитические процедуры перед завершением аудита. Следовательно, аналитические процедуры, выполняемые в качестве процедур оценки рисков, не обязательно проводить в соответствии с требованиями МСА 520. Однако требования и руководство по применению МСА 520 могут содержать рекомендации, полезные для аудитора при выполнении аналитических процедур в рамках процедур оценки рисков.
______________________________
24 МСА 520 "Аналитические процедуры".
Автоматизированные инструменты и методы
А31. Аналитические процедуры могут выполняться с использованием ряда автоматизированных инструментов или методов. Применение автоматизированных аналитических процедур к данным может рассматриваться в качестве анализа данных.
Пример
Аудитор может использовать электронную таблицу для сравнения фактических, отраженных в учете сумм с показателями бюджета или может выполнить более сложную процедуру по извлечению данных из информационной системы организации и дальнейшему анализу этих данных с использованием методов визуализации, чтобы выявить виды операций, остатки по счетам или раскрытие информации, для которых использование дальнейших процедур оценки конкретных рисков может быть обоснованным.
Наблюдение и инспектирование (см. пункт 14(c))
Почему наблюдение и инспектирование проводятся в качестве процедур оценки рисков
А32. Наблюдение и инспектирование могут подтверждать, дополнять или опровергать результаты опроса руководства и других лиц, а также могут предоставлять информацию об организации и ее окружении.
Масштабируемость
А33. Если политика или процедуры не оформлены документально или средства контроля организации являются менее формализованными, аудитор, тем не менее, может получить некоторые аудиторские доказательства, чтобы подтвердить выявление и оценку рисков существенного искажения, путем наблюдения за применением средства контроля или его инспектирования.
Примеры
Аудитор может получить понимание в отношении средств контроля за проведением инвентаризации запасов даже в случае, если они не были документально оформлены организацией, путем непосредственного наблюдения.
Аудитор может наблюдать, как осуществляется разделение обязанностей.
Аудитор может наблюдать за порядком введения паролей.
Наблюдение и инспектирование в качестве процедур оценки рисков
А34. Процедуры оценки рисков могут включать наблюдение или инспектирование в отношении следующего:
деятельности организации;
внутренних документов (таких как бизнес-планы и стратегия), записей и регламентов процедур внутреннего контроля;
отчетов, подготовленных руководством (таких как ежеквартальные управленческие отчеты и промежуточная финансовая отчетность) и лицами, отвечающими за корпоративное управление (например, протоколов заседаний совета директоров);
помещений и производственных объектов организации;
информации, полученной из внешних источников, таких как торговые и экономические журналы, отчеты аналитиков, банков или рейтинговых агентств, публикации регулирующих и финансовых органов или иные внешние документы о финансовых результатах организации (например, указанных в пункте А79);
поведения и действий руководства или лиц, отвечающих за корпоративное управление (например, наблюдение за проведением заседания комитета по аудиту).
Автоматизированные инструменты и методы
А35. Автоматизированные инструменты и методы также могут использоваться для наблюдения или инспектирования, в частности, активов, например, путем использования средств дистанционного наблюдения (таких как дроны).
Особенности организаций государственного сектора
А36. Процедуры оценки рисков, выполняемые аудиторами организаций государственного сектора, могут также включать наблюдение и инспектирование документов, подготовленных руководством для законодательных органов, например документов, относящихся к обязательной отчетности о результатах.
Информация из других источников (см. пункт 15)
Почему аудитор рассматривает информацию из других источников
А37. Информация, полученная из других источников, может иметь значение для выявления и оценки рисков существенного искажения, предоставляя сведения и аналитическую оценку в отношении:
характера организации и ее бизнес-рисков, а также возможных изменений относительно предыдущих периодов;
честности и этических ценностей руководства и лиц, отвечающих за корпоративное управление, что также может иметь значение для понимания аудитором контрольной среды;
применимой концепции подготовки финансовой отчетности и ее использования с учетом характера и обстоятельств организации.
Прочие имеющиеся источники
А38. Прочие имеющиеся источники информации включают:
процедуры аудитора по принятию или продолжению отношений с клиентами или аудиторских заданий, проводимые в соответствии с МСА 220.25, в том числе выводы по их результатам;
______________________________
25 МСА 220 "Контроль качества при проведении аудита финансовой отчетности", пункт 12.
прочие задания, выполняемые руководителем задания для организации. Руководитель задания мог получить информацию, относящуюся к аудиту, в том числе об организации и ее окружении, при выполнении других заданий для организации. Такие задания могут включать задания по выполнению согласованных процедур или иные аудиторские задания или задания, обеспечивающие уверенность, в том числе задания по выполнению дополнительных требований к отчетности, предъявляемых в юрисдикции.
Информация о прошлом опыте работы аудитора с организацией и предыдущих аудиторских заданиях (см. пункт 16)
Почему информация, полученная по итогам предыдущих аудиторских заданий, имеет большое значение для текущего аудита
А39. Прошлый опыт работы аудитора с организацией и выполнения аудиторских процедур в рамках предыдущих аудиторских заданий может обеспечить аудитора информацией, имеющей значение для определения аудитором характера и объема процедур по оценке рисков и для выявления и оценки рисков существенного искажения.
Характер информации, полученной по итогам предыдущих аудиторских заданий
А40. Благодаря прошлому опыту работы аудитора с организацией и выполнения аудиторских процедур в рамках предыдущих аудиторских заданий аудитор может получить информацию о таких вопросах, как:
искажения, произошедшие в прошлые периоды, и то, были ли они своевременно скорректированы;
характер организации и ее окружения, а также система внутреннего контроля организации (включая недостатки системы контроля);
значительные изменения, которые организация или ее деятельность могли претерпеть по окончании предыдущего финансового периода;
определенные виды операций и другие события или остатки по счетам (и соответствующее раскрытие информации), если аудитор испытывал трудности при проведении необходимых аудиторских процедур, МСА 315 например, в силу их сложности.
А41. Аудитор обязан определить, остается ли информация, полученная из его прошлого опыта работы с организацией и выполнения аудиторских процедур в рамках предыдущих аудиторских заданий, уместной и надежной, если он планирует использовать ее для целей текущего аудита. Если характер или обстоятельства организации изменились или была получена новая информация, сведения, относящиеся к предыдущим периодам, могут уже не быть надежными или уместными для текущего аудита. Для того чтобы определить, произошли ли изменения, которые могут повлиять на уместность или надежность такой информации, аудитор может направить запросы и выполнить другие надлежащие аудиторские процедуры, такие как сквозное тестирование соответствующих систем. Если информация не является надежной, аудитор может рассмотреть возможность выполнения дополнительных, соответствующих обстоятельствам процедур.
Обсуждение в аудиторской группе (см. пункты 17 - 18)
Почему аудиторская группа должна обсуждать использование применимой концепции подготовки финансовой отчетности и подверженность финансовой отчетности организации существенному искажению
А42. Обсуждение аудиторской группой использования применимой концепции подготовки финансовой отчетности и подверженности финансовой отчетности организации существенному искажению:
позволяет более опытным членам аудиторской группы, включая руководителя задания, сообщить о своих аналитических выводах, сделанных на основе знания специфики организации. Обмен информацией способствует более глубокому пониманию вопросов всеми членами аудиторской группы;
позволяет членам аудиторской группы обмениваться информацией о бизнес-рисках, которым подвержена организация, о том, как факторы неотъемлемого риска могут повлиять на подверженность искажению видов операций, остатков по счетам и раскрытия информации, а также о том, как и в какой области финансовая отчетность может оказаться подверженной существенному искажению вследствие недобросовестных действий или ошибок;
помогает членам аудиторской группы улучшить понимание возможностей существенного искажения финансовой отчетности в тех областях, за которые они отвечают, и получить представление о том, как результаты выполняемых ими аудиторских процедур могут повлиять на другие аспекты аудита, включая решения о характере, сроках и объеме дальнейших аудиторских процедур. В частности, обсуждение помогает членам аудиторской группы в последующем рассмотрении противоречивой информации, исходя из собственного понимания каждым членом группы характера и обстоятельств организации;
обеспечивает основу для информационного взаимодействия членов аудиторской группы и обмена новой информацией, полученной в ходе аудита, которая может повлиять на оценку рисков существенного искажения или аудиторские процедуры, выполняемые для снижения этих рисков.
МСА 240 требует, чтобы в рамках обсуждения в аудиторской группе особое внимание уделялось тому, как и в какой области финансовая отчетность организации может быть подвержена существенному искажению вследствие недобросовестных действий, а также тому, каким образом могли быть совершены недобросовестные действия26.
______________________________
26 МСА 240, пункт 16.
А43. Профессиональный скептицизм необходим для критической оценки аудиторских доказательств, и эффективное и открытое обсуждение в аудиторской группе, в том числе в рамках повторных аудиторских заданий, может привести к повышению качества выявления и оценки рисков существенного искажения. Другим результатом обсуждения может быть выявление аудитором определенных областей аудита, где проявление профессионального скептицизма может иметь особое значение и привести к привлечению более опытных членов аудиторской группы, МСА 315 которые обладают надлежащими навыками для участия в выполнении аудиторских процедур в отношении данных областей.
Масштабируемость
А44. Когда задание выполняется одним лицом, например индивидуальным аудитором (то есть когда обсуждение в аудиторской группе невозможно), рассмотрение вопросов, указанных в пунктах А42 и А46, всё же может помочь аудитору в выявлении возможных областей, где могут возникать риски существенного искажения.
А45. Когда задание выполняется большой аудиторской группой, как в случае аудита финансовой отчетности группы, не всегда необходимо или полезно проводить одно обсуждение с участием всех членов группы (например, в случае задания в разных территориальных подразделениях), а также нет необходимости информировать всех членов аудиторской группы обо всех решениях, принятых в рамках обсуждения. Руководитель задания может обсуждать вопросы с ключевыми членами аудиторской группы, включая, если это целесообразно, тех, кто обладает специальными навыками или знаниями, а также ответственных за аудит компонентов, и поручить проведение обсуждения с другими членами группы с учетом объема информационного взаимодействия, который считается необходимым в рамках аудиторской группы. Целесообразным может быть составление плана информационного взаимодействия, согласованного с руководителем задания.
Обсуждение раскрытия информации согласно применимой концепции подготовки финансовой отчетности
А46.
В рамках обсуждения в аудиторской группе рассмотрение требований применимой концепции подготовки финансовой отчетности к раскрытию информации помогает выявить на ранних этапах аудита области, где могут возникать риски существенного искажения в отношении раскрытия информации, даже в ситуации, когда применимая концепция подготовки финансовой отчетности требует только упрощенного раскрытия информации. Вопросы, которые аудиторская группа может обсудить, включают:
изменения требований к подготовке финансовой отчетности, которые могут привести к раскрытию новой или пересмотренной информации в значительном объеме;
изменения в окружении организации, финансовых условиях или деятельности, которые могут привести к раскрытию новой или пересмотренной информации в значительном объеме, например проведение значительной сделки по объединению бизнеса в аудируемый период;
раскрытие информации, в отношении которого сложно было получить достаточные надлежащие аудиторские доказательства в прошлом;
раскрытие информации по сложным вопросам, включая ту, которая требует значимого суждения руководства о том, какую информацию следует раскрывать.
Особенности организаций государственного сектора
А47. В рамках обсуждения в аудиторских группах организаций государственного сектора также можно рассматривать дополнительные, более широкие задачи и соответствующие риски, возникающие в связи с заданием на проведение аудита или обязательствами организаций государственного сектора.
Получение понимания деятельности организации и ее окружения, применимой концепции подготовки финансовой отчетности и системы внутреннего контроля организации (см. пункты 19 - 27)
В Приложениях 1 - 6 представлены дополнительные вопросы, которые необходимо рассмотреть в связи с получением понимания деятельности организации и ее окружения, применимой концепции подготовки финансовой отчетности и системы внутреннего контроля организации.
Получение необходимого понимания (см. пункты 19 - 27)
А48. Получение понимания деятельности организации и ее окружения, применимой концепции подготовки финансовой отчетности и системы внутреннего контроля организации является динамичным итеративным процессом сбора, уточнения и анализа информации на всех этапах аудита. Следовательно, по мере получения аудитором новой информации возможно изменение его ожиданий.
А49. Кроме того, получение понимания аудитором деятельности организации и ее окружения, а также применимой концепции подготовки финансовой отчетности помогает аудитору сформировать первоначальные ожидания в отношении того, какие виды операций, остатки по счетам и какое раскрытие информации могут оказаться значительными. На основе этих ожидаемых значительных видов операций, остатков по счетам и раскрытия информации определяются границы изучения аудитором информационной системы организации.
Почему требуется понимание деятельности организации и ее окружения, а также применимой концепции подготовки финансовой отчетности (см. пункты 19 - 20)
А50. Получение понимания деятельности организации и ее окружения, а также применимой концепции подготовки финансовой отчетности помогает аудитору понять события и условия, значимые для организации, а также определить, как и в какой степени факторы неотъемлемого риска влияют на подверженность предпосылок искажению при подготовке финансовой отчетности, в соответствии с применимой концепцией подготовки финансовой отчетности. Данная информация устанавливает систему ориентиров, в рамках которой аудитор выявляет и оценивает риски существенного искажения.
Эта система ориентиров облегчает аудитору задачу планирования аудита и применения профессионального суждения и профессионального скептицизма на всех этапах аудита, например при выполнении таких процедур, как:
выявление и оценка рисков существенного искажения финансовой отчетности в соответствии с МСА 315 (пересмотренным, 2019 г.) или прочими применимыми стандартами (например, рисков, относящихся к категории рисков недобросовестных действий в соответствии с МСА 240, или при выявлении или оценке рисков существенного искажения в отношении оценочных значений в соответствии с МСА 540 (пересмотренным);
выполнение процедур, способствующих выявлению таких случаев несоблюдения законов и нормативных требований, которые могут оказать существенное влияние на финансовую отчетность, в соответствии с МСА 250.27;
оценка того, обеспечивает ли финансовая отчетность адекватное раскрытие информации в соответствии с МСА 700 (пересмотренным)28;
определение существенности для финансовой отчетности в целом или существенности для выполнения аудиторских процедур в соответствии с МСА 320.29;
рассмотрение надлежащего характера выбора и применения учетной политики и адекватности раскрытия информации в финансовой отчетности.
А51. Кроме того, в результате изучения организации и ее окружения, а также применимой концепции подготовки финансовой отчетности аудитор получает информацию для планирования и выполнения таких дальнейших аудиторских процедур, как:
формирование ожиданий, которые будут учитываться при проведении аналитических процедур в соответствии с МСА 520.30;
разработка и выполнение дальнейших аудиторских процедур для получения достаточных надлежащих аудиторских доказательств в соответствии с МСА 330;
оценка достаточности и надлежащего характера полученных аудиторских доказательств (например, тех, которые относятся к допущениям или устным и письменным заявлениям руководства).
______________________________
27 МСА 250 (пересмотренный) "Рассмотрение законов и нормативных актов в ходе аудита финансовой отчетности", пункт 14.
28 МСА 700 (пересмотренный) "Формирование мнения и составление заключения о финансовой отчетности", пункт 13(e).
29 МСА 320 "Существенность при планировании и проведении аудита", пункты 10 - 11.
30 МСА 520, пункт 5.
Масштабируемость
А52. Вопрос о том, насколько глубоко требуется изучить организацию, и характер такого изучения являются предметом профессионального суждения аудитора и различаются в разных организациях в зависимости от характера и обстоятельств самой организации, которые включают:
размер и сложность организации, в том числе ее ИТ-среды;
предыдущий опыт работы аудитора с данной организацией;
характер систем и процессов организации, в частности то, оформлены они документально или нет;
характер и форму документации организации.
А53. Процедуры оценки рисков, которые выполняет аудитор для получения необходимого представления об организации, могут быть менее детальными при аудите менее сложных организаций и более детальными - при аудите более сложных организаций. Предполагается, что аудитору требуется менее глубокое понимание по сравнению с членами руководства, которые управляют организацией.
А54. Некоторые концепции подготовки финансовой отчетности позволяют малым организациям раскрывать более простую и менее детальную информацию в финансовой отчетности. Однако это не освобождает аудитора от ответственности за получение понимания деятельности организации и ее окружения, а также применимой к организации концепции подготовки финансовой отчетности.
А55.
Использование организацией информационных технологий, а также характер и степень изменений в ИТ-среде тоже могут влиять на то, какие требуются особые навыки, которые помогли бы аудитору получить необходимое понимание организации.
Организация и ее окружение (см. пункт 19(a))
Организационная структура, структура собственности и корпоративного управления, а также бизнес-модель (см. пункт 19(a)(1))
Организационная структура и структура собственности организации
А56. Изучение организационной структуры и структуры собственности организации позволит аудитору понять такие вопросы, как:
сложность структуры организации;
Пример
Организация может представлять собой обособленную экономическую единицу, либо в структуру организации могут входить дочерние организации, подразделения и прочие компоненты, расположенные в разных точках. Кроме того, организационно-правовая форма может отличаться от операционной структуры. В сложных структурах часто начинают действовать факторы, которые могут повысить подверженность организации рискам существенного искажения. К таким аспектам относятся следующие: надлежащим ли образом учитываются гудвил, совместные предприятия, инвестиции или организации специального назначения и адекватно ли раскрыта информация по таким вопросам в финансовой отчетности.
структура собственности и взаимоотношения между собственниками и другими лицами или организациями, включая связанные стороны. Понимание данных аспектов помогает определить, были ли надлежащим образом выявлены, учтены и адекватно раскрыты в финансовой отчетности операции со связанными сторонами31;
проведение различия между лицами, отвечающими за корпоративное управление, и руководством;
Пример
В менее сложных организациях их собственники могут принимать участие в управлении организацией, а следовательно, различие отсутствует или оно незначительное. И наоборот, например, в некоторых организациях, ценные бумаги которых допущены к организованным торгам, может существовать четкое разделение между руководством, собственниками организации и лицами, отвечающими за корпоративное управление32.
______________________________
31 В МСА 550 установлены требования и представлены рекомендации в отношении рассмотрения аудитором вопросов, касающихся связанных сторон.
32 В МСА 260 (пересмотренном) в пунктах А1 и А2 представлено руководство по выявлению лиц, отвечающих за корпоративное управление, и поясняется, что в некоторых случаях некоторые или все лица, отвечающие за корпоративное управление, могут участвовать в управлении организацией.
структура и сложность ИТ-среды в организации.
Пример
Организация может:
поддерживать несколько устаревших ИТ-систем в разных направлениях деятельности, которые не интегрированы должным образом в общую ИТ-систему, что приводит к сложной ИТ-среде;
привлекать внешних или внутренних поставщиков услуг для поддержки определенных аспектов своей ИТ-среды (например, передавать на аутсорсинг третьей стороне хостинг своей ИТ-среды или использовать общий центр обслуживания для централизованного управления ИТ-процессами в группе).
Автоматизированные инструменты и методы
А57. Аудитор может использовать автоматизированные инструменты и методы, чтобы понять потоки операций и порядок их обработки, в рамках выполнения процедур, направленных на изучение информационной системы. Результатом выполнения этих процедур может быть получение аудитором информации об организационной структуре организации или тех организаций, с которыми она ведет свою деятельность (например, поставщиков, клиентов, связанных сторон).
Особенности организаций государственного сектора
А58. Права собственности в организации государственного сектора могут не иметь такого же значения, как в организации частного сектора, потому что решения, относящиеся к организации, могут приниматься вне организации в результате происходящих политических процессов. Следовательно, руководство может не контролировать принятие определенных решений. Среди важных вопросов можно отметить понимание способности организации принимать решения в одностороннем порядке, а также возможности других организаций государственного сектора осуществлять контроль над организацией или влиять на политику организации или стратегическое направление ее развития.
Пример
На организацию государственного сектора могут распространяться законы или прочие директивы государственных органов, требующие получения одобрения стратегии и целей организации от внешних для организации сторон, прежде чем организация начнет их реализовывать. Следовательно, вопросы, относящиеся к изучению организационно-правовой формы организации, могут включать применимые законы и нормативные акты и отнесение организации к определенной категории (то есть является ли она министерством, ведомством, агентством или относится к иному типу организаций).
Корпоративное управление
Почему аудитор изучает систему корпоративного управления
А59. Изучение системы корпоративного управления в организации поможет аудитору понять возможности организации в части осуществления надлежащего надзора за ее системой внутреннего контроля. Однако данное понимание может обеспечить и доказательства наличия недостатков, которые могут указывать на усиление подверженности финансовой отчетности организации рискам существенного искажения.
Получение понимания системы корпоративного управления в организации
А60. Вопросы, которые может быть уместно рассмотреть аудитору при получении понимания системы корпоративного управления в организации, включают следующее:
участвуют ли в руководстве организацией некоторые или все лица, отвечающие за корпоративное управление;
имеется ли совет, в который входят неисполнительные директора (при наличии), и отделен ли он от исполнительного руководства;
занимают ли лица, отвечающие за корпоративное управление, должности, являющиеся неотъемлемой частью организационно-правовой формы организации, например должности директоров;
имеются ли подгруппы лиц, отвечающих за корпоративное управление, например комитет по аудиту, и в чем состоят обязанности такой группы;
каковы обязанности лиц, отвечающих за корпоративное управление, в части надзора за подготовкой финансовой отчетности, включая утверждение финансовой отчетности.
Бизнес-модель организации
В Приложении 1 представлены дополнительные вопросы, которые необходимо рассмотреть для изучения организации и ее бизнес-модели, а также дополнительные вопросы, которые следует учитывать при аудите организаций специального назначения.
Почему аудитор изучает бизнес-модель организации
А61. Изучение целей, стратегии и бизнес-модели организации помогает аудитору изучить организацию на стратегическом уровне и понять бизнес-риски, которые принимает на себя организация и с которыми она сталкивается. Понимание бизнес-рисков, влияющих на финансовую отчетность, способствует выявлению аудитором рисков существенного искажения, так как основная часть бизнес-рисков в тот или иной момент будет иметь финансовые последствия, а следовательно, отразится на показателях финансовой отчетности.
Примеры
Бизнес-модель организации может опираться на использование ИТ разными способами:
организация реализует обувь в офлайн-магазине и применяет продвинутую систему учета запасов и реализации в точке продаж для отражения продаж обуви либо
организация реализует обувь в онлайн-режиме таким образом, что все операции по продаже обрабатываются в ИТ-среде, в том числе и инициирование операций на веб-сайте.
Бизнес-риски, которые возникают у обеих организаций в рамках существенно разных бизнес-моделей, будут значительно отличаться, несмотря на то, что обе организации занимаются продажей обуви.
Изучение бизнес-модели организации
А62. Не все аспекты бизнес-модели организации важны для аудитора при ее изучении. Бизнес-риски - это более широкое понятие, чем риски существенного искажения финансовой отчетности, хотя последние входят в число бизнес-рисков. Аудитор не обязан изучать или выявлять все бизнес-риски, потому что не все бизнес-риски приводят к возникновению рисков существенного искажения.
А63. Бизнес-риски, которые увеличивают подверженность рискам существенного искажения, могут возникать в следующих случаях:
ненадлежащие цели или стратегии, неэффективная реализация стратегий, либо изменение, либо сложность;
непризнание потребности в изменениях тоже может привести к возникновению бизнес-риска, например, по следующим причинам:
разработка новых продуктов или услуг, которые могут потерпеть неудачу при их выводе на рынок;
наличие рынка (даже если это хорошо развитый рынок), который недостаточен для поддержания продаж данного продукта или данной услуги, или
недостатки продукта или услуги, которые могут привести к возникновению юридической ответственности или репутационного риска;
стимулирующие вознаграждения и давление на руководство, которые могут привести к возникновению умышленной или неумышленной предвзятости руководства, а следовательно, повлиять на обоснованность значительных допущений и ожиданий руководства и лиц, отвечающих за корпоративное управление.
А64. Примеры вопросов, которые аудитор может принять во внимание при получении понимания бизнес-модели, целей, стратегий и соответствующих бизнес-рисков организации, способных привести к риску существенного искажения финансовой отчетности, включают:
изменения в отрасли, например, нехватка персонала или квалифицированных кадров для решения вопросов, связанных с развитием отрасли;
новые продукты и услуги, в результате появления которых может возникнуть повышенная ответственность за качество продукции (услуг);
расширение бизнеса организации при отсутствии точной оценки спроса;
новые требования к бухгалтерскому учету при их неполном или ненадлежащем внедрении в организации;
нормативные требования, которые приводят к повышенным юридическим рискам;
текущие и будущие потребности в финансировании, например потеря финансирования в результате несоблюдения организацией установленных требований;
использование ИТ, например внедрение новой ИТ-системы, которое повлияет как на деятельность, так и на финансовую отчетность, или
последствия внедрения стратегии, особенно те, которые приведут к появлению новых требований к бухгалтерскому учету.
А65. Как правило, руководство выявляет бизнес-риски и разрабатывает подходы к управлению ими. Данный процесс оценки риска является составной частью системы внутреннего контроля организации. Он рассматривается в пункте 22 и пунктах А109-А113.
Особенности организаций государственного сектора
А66.
Организации, осуществляющие деятельность в государственном секторе, могут создавать ценность и приносить пользу иным образом, чем организации, которые создают стоимость для своих собственников, однако у них все равно есть бизнес-модель, которая реализуется с конкретной целью. К вопросам, которые могут изучить аудиторы организаций государственного сектора в отношении бизнес-модели организации, относятся следующие:
понимание соответствующих видов деятельности в государственном секторе, в том числе соответствующих программ;
цели и стратегии программ, включая элементы государственной политики.
А67. При аудите организаций государственного сектора необходимо учитывать, что цели управления могут зависеть от требований демонстрировать публичную ответственность и включать цели, которые установлены законом, нормативным актом или иным регламентирующим документом.
Отраслевые, регуляторные и иные внешние факторы (см. пункт 19(a)(ii))
Отраслевые факторы
А68. Значимые отраслевые факторы включают сложившиеся в отрасли условия, такие как конкурентная среда, отношения с поставщиками и покупателями, а также развитие технологий. Примеры вопросов, которые может рассмотреть аудитор:
рынок и конкурентная среда, включая спрос, производительность и ценовую конкуренцию;
цикличная или сезонная деятельность;
производственные технологии, относящиеся к продукции организации.
энергоснабжение и его стоимость.
А69. В отрасли, в которой организация ведет деятельность, могут возникать специфические риски существенного искажения финансовой отчетности, обусловленные характером деятельности, или уровнем регулирования.
Пример
В строительной отрасли расчет значительных оценочных значений выручки и расходов по долгосрочным контрактам может приводить к рискам существенного искажения. В таких случаях важно, чтобы в состав аудиторской группы входили члены с достаточным знанием и опытом в соответствующей области33.
______________________________
33 МСА 220, пункт 14.
Регуляторные факторы
А70. К значимым регуляторным факторам относится регуляторная среда. Регуляторная среда охватывает, в частности, применимую концепцию подготовки финансовой отчетности, а также правовую и политическую среду и соответствующие изменения в них. Примеры вопросов, которые может рассмотреть аудитор:
нормативная база регулируемой отрасли, например пруденциальные нормы, включая соответствующие требования к раскрытию информации;
законодательство и нормативные акты, которые оказывают значительное влияние на деятельность организации, включая трудовое законодательство и нормативные акты;
законодательство и нормативные акты о налогообложении;
государственная политика, в данный момент влияющая на ведение бизнеса организацией, в частности денежно-кредитная политика, включая систему валютного контроля, налоговые, финансовые льготы (например, программы государственной помощи), а также политика в области тарифов и ограничения торговли;
требования по охране окружающей среды, связанные с отраслью и бизнесом организации.
А71. Некоторые конкретные требования, связанные с правовым регулированием, применимым к организации и отрасли или сектору экономики, в которых она ведет деятельность, приводятся в МСА 250 (пересмотренном)34.
______________________________
34 МСА 250 (пересмотренный), пункт 13.
Особенности организаций государственного сектора
А72. При аудите организаций государственного сектора следует учитывать влияние специфических законов или нормативных актов на деятельность организации. Эти элементы необходимо рассмотреть при получении понимания деятельности организации и ее окружения.
Прочие внешние факторы
А73. К числу прочих внешних факторов, которые влияют на организацию и которые может учитывать аудитор, относятся общие экономические условия, процентные ставки и доступность финансирования, а также инфляция и переоценка валюты.
Показатели, используемые руководством при оценке финансовых результатов организации (см. пункт 19(a)(iii))
Почему аудитору необходимо изучать показатели, используемые руководством
А74. Понимание показателей деятельности организации помогает аудитору при рассмотрении вопроса о том, могут ли эти показатели, используемые как за пределами, так и внутри организации, создавать давление на организацию в достижении целевых показателей. Такое давление может побудить руководство совершить действия, которые повышают подверженность искажению в результате предвзятости руководства или недобросовестных действий (например, для улучшения результатов деятельности или умышленного искажения финансовой отчетности) (см. МСА 240, в котором содержатся требования и рекомендации в отношении рисков недобросовестных действий).
А75. Показатели деятельности могут также указать аудитору на наличие вероятности рисков существенного искажения соответствующей информации в финансовой отчетности. Например, оценка результатов деятельности может показать, что у организации необычайно быстрый рост или прибыльность по сравнению с ростом и прибыльностью других организаций, работающих в этой же отрасли.
Показатели, используемые руководством
А76. Как правило, руководство организации и прочие лица проводят оценку и анализ тех вопросов, которые они считают важными. Опрос руководства может показать, что оно полагается на определенные ключевые показатели (как из открытых, так и из других источников) для оценки финансовых результатов и принятия мер. В таких случаях аудитор может выявить соответствующие показатели результатов деятельности (как внутренние, так и внешние), рассмотрев информацию, которую организация использует для управления своей деятельностью. Если такой опрос указывает на отсутствие оценки или анализа результатов деятельности, возможно, существует повышенный риск того, что искажения не будут обнаружены и исправлены.
А77. Ключевые показатели, которые используются для оценки финансовых результатов, могут включать:
ключевые показатели деятельности (финансовые и нефинансовые) и ключевые коэффициенты, тенденции и операционную статистику;
анализ финансовых результатов в сопоставлении с предыдущим периодом;
бюджеты, прогнозы, анализ отклонений, информацию по сегментам, отчеты подразделений, департаментов и других организационных структур;
оценку результатов работы сотрудников и политику в области материальных поощрений;
сравнение результатов деятельности организации с результатами деятельности конкурентов.
Масштабируемость (см. пункт 19(a)(iii))
А78. Процедуры, проводимые с целью изучения показателей деятельности организации, могут различаться в зависимости от размера и сложности организации, а также участия собственников или лиц, отвечающих за корпоративное управление, в управлении организацией.
Примеры
У некоторых менее сложных организаций условия банковских кредитов (то есть ограничительные условия по договорам с банками) могут быть увязаны с конкретными показателями деятельности, связанными с финансовыми результатами деятельности или финансовым положением организации (например, максимальная сумма оборотного капитала). Понимание используемых банком показателей деятельности, возможно, облегчит аудитору задачу выявления областей, где имеется повышенная подверженность риску существенного искажения.
У некоторых организаций с более сложным характером и обстоятельствами деятельности, например у организаций, работающих в страховой или банковской сфере, финансовые результаты деятельности или финансовое положение могут оцениваться в соответствии с требованиями регулятора (например, на предмет выполнения требований к уровню собственного капитала, таких как соблюдение обязательных нормативов достаточности капитала и ликвидности). Понимание этих показателей деятельности, возможно, облегчит аудитору задачу выявления областей, где имеется повышенная подверженность риску существенного искажения.
Прочие вопросы
А79. Оценивать и проводить анализ финансовых результатов деятельности организации могут третьи стороны, в частности, это касается тех организаций, финансовая информация которых находится в открытом доступе. Аудитор может рассмотреть информацию из открытых источников, которая поможет ему лучше понять бизнес организации или выявить противоречивую информацию из таких источников, как:
отчеты аналитиков и отчеты кредитных рейтинговых агентств;
новостные и прочие средства массовой информации, включая социальные сети;
налоговые органы;
регулирующие органы;
профсоюзы;
финансирующие организации.
Такую финансовую информацию часто можно получить от аудируемой организации.
А80. Оценка и анализ финансовых результатов не тождественны мониторингу системы внутреннего контроля (который рассматривается в качестве компонента системы внутреннего контроля в пунктах А114-А122), хотя их цели могут частично совпадать:
оценка и анализ финансовых результатов направлены на определение того, соответствуют ли результаты деятельности целям, установленным руководством организации (или третьими лицами);
напротив, мониторинг системы внутреннего контроля связан с мониторингом эффективности средств контроля, в том числе относящихся к оценке и анализу финансовых результатов деятельности организации.
В некоторых случаях, однако, показатели деятельности также обеспечивают информацией, которая позволяет руководству организации выявлять недостатки системы контроля.
Особенности организаций государственного сектора
А81. В дополнение к рассмотрению соответствующих показателей деятельности, используемых организацией государственного сектора при оценке финансовых результатов своей деятельности, аудиторы организаций государственного сектора могут рассматривать и нефинансовую информацию, такую как достижение общественно-полезных результатов (например, количество охваченных какой-либо конкретной программой людей, которым она помогла).
Применимая концепция подготовки финансовой отчетности (см. пункт 19(b))
Изучение применимой концепции подготовки финансовой отчетности и учетной политики организации
А82. Примеры вопросов, которые может рассмотреть аудитор при изучении применимой концепции подготовки финансовой отчетности организации и порядка ее применения с учетом характера и обстоятельств организации и ее окружения:
практика представления организацией финансовой отчетности в части применимой концепции подготовки финансовой отчетности, например:
принципы бухгалтерского учета и особенности отраслевой практики, в том числе в части значительных отраслевых видов операций, остатков по счетам и раскрытия соответствующей информации в финансовой отчетности (например, займов и инвестиций для банков или исследований и разработок для фармацевтических компаний);
признание выручки;
порядок учета финансовых инструментов, включая соответствующие кредитные убытки;
активы, обязательства и операции в иностранной валюте;
порядок учета необычных или сложных операций, включая те, которые связаны со спорными или новыми областями деятельности (например, учет криптовалюты);
понимание выбора и применения организацией учетной политики, в том числе внесенных в нее изменений, а также причин данных изменений, может охватывать такие вопросы, как:
методы, используемые организацией для признания, оценки, представления значительных и необычных операций, а также раскрытия информации о них;
влияние основных положений учетной политики в спорных или новых областях, где недостаточно официальных рекомендаций или отсутствует консенсус;
изменения в окружении организации, например изменения в применимой концепции подготовки финансовой отчетности или реформы в области налогообложения, которые могут потребовать изменения учетной политики организации;
стандарты, законы и нормативные акты, которые касаются финансовой отчетности и являются новыми для организации, а также сроки и порядок применения или соблюдения организацией таких требований.
А83. Получение понимания деятельности организации и ее окружения может облегчить аудитору рассмотрение вопроса о том, в каких областях ее финансовой отчетности можно ожидать изменений (например, относительно прошлых периодов).
Пример
Если организация провела в отчетном периоде значительную операцию по объединению бизнеса, с большой вероятностью аудитору следует ожидать изменения в видах операций, остатках по счетам и раскрытии информации, связанных с объединением бизнеса; и наоборот, если в течение отчетного периода отсутствовали значительные изменения в концепции подготовки финансовой отчетности, то имеющееся у аудитора понимание, возможно, будет способствовать подтверждению того факта, что понимание, полученное в прошлом периоде, остается в силе.
Особенности организаций государственного сектора
А84. Применимая концепция подготовки финансовой отчетности для организаций государственного сектора устанавливается законодательной и нормативной базой, действующей в каждой юрисдикции или в каждом географическом регионе. Вопросы, которые могут быть рассмотрены в отношении соблюдения организацией применимых требований к подготовке финансовой отчетности и порядка их применения организацией в контексте характера и обстоятельств организации и ее окружения, включают вопрос о том, применяет ли организация полностью учет по методу начисления или по кассовому методу в соответствии с Международными стандартами финансовой отчетности для государственного сектора либо использует сочетание двух методов.
Как факторы неотъемлемого риска влияют на подверженность предпосылок искажению (см. пункт 19(c))
В Приложении 2 приведены примеры событий и условий, которые могут приводить к рискам существенного искажения. Данные события и условия представлены в разбивке по факторам неотъемлемого риска.
Почему аудитор изучает факторы неотъемлемого риска при получении понимания организации и ее окружения, а также применимой концепции подготовки финансовой отчетности
А85. Изучение организации и ее окружения, а также применимой концепции подготовки финансовой отчетности помогает аудитору выявить события и условия, характеристики которых могут повлиять на подверженность предпосылок в отношении видов операций, остатков по счетам и раскрытия информации искажению. Данные характеристики представляют собой факторы неотъемлемого риска. Факторы неотъемлемого риска могут оказать влияние на подверженность предпосылок искажению за счет воздействия на вероятность возникновения искажения или величину искажения, если оно будет иметь место.
Понимание того, как факторы неотъемлемого риска влияют на подверженность предпосылок искажению, поможет аудитору составить предварительное представление о вероятности или величине искажений, что поможет аудитору в выявлении рисков существенного искажения на уровне предпосылок в соответствии с пунктом 28(b). Кроме того, понимание степени, в которой факторы неотъемлемого риска влияют на подверженность предпосылок искажению, облегчает аудитору оценку вероятности и величины возможного искажения при оценке неотъемлемого риска в соответствии с пунктом 31(a). Следовательно, понимание факторов неотъемлемого риска может также помочь аудитору в разработке и выполнении дальнейших аудиторских процедур в соответствии с МСА 330.
А86. На выявление аудитором рисков существенного искажения на уровне предпосылок и оценку неотъемлемого риска могут оказывать влияние и аудиторские доказательства, полученные аудитором при выполнении других процедур оценки рисков, дальнейших аудиторских процедур или при выполнении других требований, содержащихся в МСА (см. пункты А95, А103, A111, А121, А124 и А151).
Влияние факторов неотъемлемого риска на виды операций, остатки по счетам или раскрытие информации
А87. Степень подверженности искажению вида операций, остатка по счету или раскрытия информации в связи с уровнем сложности или субъективности часто тесно коррелирует с той степенью, в которой они подвержены изменению или воздействию факторов неопределенности.
Пример
Если организация использует оценочное значение на основе допущений, выбор которых осуществлялся с применением значительного суждения, то на величину оценочного значения с большой вероятностью будут влиять как субъективность, так и неопределенность.
А88. Чем выше степень подверженности искажению вида операций, остатка по счету или раскрытия информации в связи с уровнем сложности и субъективности, тем больше от аудитора требуется проявление профессионального скептицизма. Кроме того, когда вид операций, остаток по счету или раскрытие информации подвержены искажению в связи со сложностью, субъективностью, изменчивостью или неопределенностью, данные факторы неотъемлемого риска могут создавать возможность для предвзятости руководства (как неумышленной, так и умышленной) и воздействовать на подверженность искажению в результате предвзятости руководства. Выявление аудитором рисков существенного искажения и оценка неотъемлемого риска на уровне предпосылок также зависят от взаимосвязей между факторами неотъемлемого риска.
А89. События или условия, способные повлиять на подверженность искажению из-за предвзятости руководства, могут также оказать воздействие на подверженность искажению в результате действия других факторов риска недобросовестных действий. Следовательно, эта информация может быть значимой для использования в соответствии с пунктом 24 МСА 240, согласно которому аудитор должен оценить, указывает ли информация, полученная в результате выполнения процедур оценки рисков и сопутствующих действий, на то, что существует фактор риска недобросовестных действий или несколько таких факторов.
Получение понимания системы внутреннего контроля организации (см. пункты 21 - 27)
В Приложении 3 представлено дальнейшее описание характера системы внутреннего контроля организации и присущих ей неотъемлемых ограничений внутреннего контроля соответственно. Кроме того, в Приложении 3 приводится дальнейшее объяснение компонентов системы внутреннего контроля для целей МСА.
А90.
Аудитор получает понимание системы внутреннего контроля организации путем выполнения процедуры оценки рисков с целью изучения и оценки каждого компонента системы внутреннего контроля, как указано в пунктах 21- 27.
А91. Компоненты системы внутреннего контроля организации для целей данного МСА не всегда отражают, каким образом организация разрабатывает, внедряет и поддерживает систему внутреннего контроля или каким образом она классифицирует тот или иной компонент. Для описания различных аспектов системы внутреннего контроля организации могут применять иные термины или принципы. Для целей аудита аудиторы тоже могут использовать иные термины или принципы при условии, что все компоненты, описанные в данном МСА, будут рассмотрены.
Масштабируемость
А92. Разработка и внедрение системы внутреннего контроля может различаться в зависимости от размера и уровня сложности организации, ее поддержка также может осуществляться по-разному. Например, менее сложные организации могут использовать менее структурированные и более простые средства контроля (то есть политику и процедуры) для достижения своих целей.
Особенности организаций государственного сектора
А93. Аудиторы организаций государственного сектора зачастую имеют дополнительные обязанности в отношении системы внутреннего контроля, например, обязанность подготовить отчет о соблюдении организацией установленных норм и правил или требований представлять отчет о фактическом расходовании средств в сопоставлении с бюджетными параметрами. Аудиторы организаций государственного сектора также могут быть обязаны подготовить отчет о соблюдении требований законодательства, нормативных и иных актов. В результате проводимая ими проверка системы внутреннего контроля может оказаться более обширной и подробной.
Информационные технологии в компонентах системы внутреннего контроля организации
В Приложении 5 представлены дальнейшие рекомендации в отношении изучения применения организацией ИТ в компонентах системы внутреннего контроля.
А94. Общая цель и объем аудита не различаются в зависимости от того, ведет ли организация деятельность преимущественно в среде, предусматривающей осуществление операций вручную, автоматизированной среде или среде, сочетающей элементы, выполняемые вручную, и автоматизированные элементы (то есть средства контроля, применяемые вручную, и автоматизированные средства контроля, а также другие ресурсы, которые используются в системе внутреннего контроля организации).
Изучение характера компонентов системы внутреннего контроля организации
А95. При оценке эффективности разработки средств контроля и оценке того, были ли они внедрены (см. пункты А175-А181), изучение аудитором каждого компонента системы внутреннего контроля организации обеспечивает ему предварительное понимание того, как организация выявляет бизнес-риски и какие ответные меры она принимает. Это понимание также различными способами влияет на выявление и оценку аудитором рисков существенного искажения (см. пункт А86). Оно помогает аудитору разработать и выполнить дальнейшие аудиторские процедуры, включая планы тестирования операционной эффективности средств контроля. Например:
понимание аудитором контрольной среды организации, процесса оценки рисков в организации и процесса мониторинга компонентов средств контроля с большей вероятностью повлияет на выявление и оценку рисков существенного искажения на уровне финансовой отчетности;
понимание аудитором информационной системы и информационного взаимодействия в организации, а также компонента контрольных процедур в организации с большей вероятностью повлияет на выявление и оценку рисков существенного искажения на уровне предпосылок.
Контрольная среда, процесс оценки рисков и процесс мониторинга системы внутреннего контроля в организации (см. пункты 21 - 24)
А96. Средства контроля в контрольной среде, процесс оценки рисков в организации и внедренный в организации процесс мониторинга системы внутреннего контроля являются преимущественно косвенными средствами контроля (то есть средствами контроля, которые недостаточно точны для предотвращения, обнаружения или исправления искажений на уровне предпосылок, однако являются вспомогательными для других средств контроля, а следовательно, могут оказывать опосредованное влияние на вероятность своевременного обнаружения и предотвращения искажения). Однако некоторые средства контроля в этих компонентах также могут быть прямыми средствами контроля.
Почему аудитор обязан изучить контрольную среду, процесс оценки рисков в организации и внедренный в организации процесс мониторинга системы внутреннего контроля
А97. Поскольку эти компоненты лежат в основе системы внутреннего контроля организации, любые недостатки в их работе могут оказать всеобъемлющее воздействие на подготовку финансовой отчетности. Контрольная среда сама по себе не предотвращает, не обнаруживает и не исправляет искажения. Тем не менее она может повлиять на эффективность средств контроля в других компонентах системы внутреннего контроля. Так, процесс оценки рисков в организации и процесс мониторинга системы внутреннего контроля построены таким образом, чтобы при функционировании они также поддерживали всю систему внутреннего контроля.
А98. Поскольку эти компоненты лежат в основе системы внутреннего контроля организации, любые недостатки в их работе могут оказать всеобъемлющее влияние на подготовку финансовой отчетности. Следовательно, изучение и оценка аудитором данных компонентов влияют на выявление и оценку аудитором риска существенного искажения на уровне финансовой отчетности, а также могут повлиять на выявление и оценку риска существенного искажения на уровне предпосылок. Риски существенного искажения на уровне финансовой отчетности влияют на разработку аудитором процедур общего характера, в том числе, как объясняется в МСА 330, на характер, сроки и объем дальнейших аудиторских процедур35.
______________________________
35 МСА 330, пункты А1-А3.
Получение понимания контрольной среды (см. пункт 21)
Масштабируемость
А99. Контрольная среда в организациях с менее сложной структурой, скорее всего, будет отличаться от контрольной среды в организациях с более сложной структурой. Например, состав лиц, отвечающих за корпоративное управление, в менее сложных организациях может не включать независимых членов или сторонних лиц, а при отсутствии других собственников выполнение функций корпоративного управления берет на себя непосредственно руководитель-собственник. Следовательно, некоторые вопросы, касающиеся контрольной среды в организации, могут быть менее значимы или неприменимы.
А100. Кроме того, аудиторские доказательства в отношении элементов контрольной среды в менее сложных организациях могут не быть доступны в документированной форме, особенно если обмен информацией между руководством и другими сотрудниками является неформальным, однако доказательства все равно могут быть значимыми и надежными, учитывая обстоятельства.
Примеры
Организационная структура организации с менее сложной структурой, скорее всего, будет проще и может предусматривать меньшее число сотрудников, выполняющих функции, которые связаны с финансовой отчетностью.
Если функцию корпоративного управления берет на себя непосредственно руководитель-собственник, аудитор может установить, что независимость лиц, отвечающих за корпоративное управление, не является значимым вопросом.
Менее сложная организация может не иметь документально оформленного кодекса поведения, но вместо этого может обладать корпоративной культурой, в рамках которой в устном общении и личным примером, подаваемым руководством, подчеркивается важность честности и этического поведения. Следовательно, отношение руководства или руководителя-собственника к контрольной среде, их осведомленность и действия имеют особое значение для понимания аудитором контрольной среды организации с менее сложной структурой.
Понимание контрольной среды (см. пункт 21(a))
А101. Аудиторские доказательства, необходимые для понимания аудитором контрольной среды, могут быть получены посредством направления запросов в сочетании с выполнением других процедур оценки рисков (например, подтверждение информации, полученной по запросам, посредством наблюдения или инспектирования документации).
А102. При рассмотрении вопроса о том, насколько руководство демонстрирует приверженность честности и этическому поведению, аудитор может получить понимание посредством направления запросов руководству и сотрудникам, а также путем рассмотрения информации, полученной из внешних источников, в отношении следующих аспектов:
доведение руководством до сведения сотрудников своих взглядов на деловую практику и этическое поведение;
инспектирование документально оформленного руководством кодекса поведения и наблюдение за тем, действует ли руководство в соответствии с этим кодексом.
Оценка контрольной среды (см. пункт 21(b))
Почему аудитор проводит оценку контрольной среды
А103. Оценка аудитором того, как организация демонстрирует поведение, соответствующее ее приверженности соблюдению принципов честности и этических ценностей, обеспечивает ли контрольная среда надлежащую основу для других компонентов системы внутреннего контроля организации и не оказывают ли выявленные недостатки системы контроля негативного влияния на другие компоненты системы внутреннего контроля, помогает аудитору выявить потенциальные проблемы в других компонентах системы внутреннего контроля. Это связано с тем, что контрольная среда лежит в основе других компонентов системы внутреннего контроля организации. Данная оценка может облегчить аудитору задачу понимания рисков, с которыми сталкивается организация, а следовательно, выявление и оценку рисков существенного искажения на уровне финансовой отчетности и на уровне предпосылок (см. пункт А86).
Оценка аудитором контрольной среды
А104. Оценка аудитором контрольной среды основана на понимании, полученном в соответствии с пунктом 21(a).
А105. В некоторых организациях возможно доминирование одного человека, который может действовать в значительной степени по собственному усмотрению. Действия и отношение такого человека могут оказывать всеобъемлющее влияние на корпоративную культуру организации, что, в свою очередь, может оказать всеобъемлющее влияние на контрольную среду. Данное влияние может быть позитивным или негативным.
Пример
Непосредственное участие одного человека может быть ключевым фактором для достижения организацией своих целей роста и иных целей, а также может вносить значительный вклад в обеспечение эффективности системы внутреннего контроля. С другой стороны, такая концентрация информации и полномочий может приводить и к повышенной подверженности искажению в результате обхода средств контроля руководством.
А106. Аудитор может рассмотреть вопрос о том, как на разные элементы контрольной среды могут влиять философия и стиль управления высшего руководства, принимая во внимание участие независимых членов из числа лиц, отвечающих за корпоративное управление.
А107. Хотя контрольная среда может обеспечивать надлежащую основу для системы внутреннего контроля и способствовать снижению риска недобросовестных действий, надлежащая контрольная среда не всегда является эффективным препятствием для недобросовестных действий.
Пример
Кадровая политика и процедуры, нацеленные на привлечение квалифицированных специалистов в области финансов, бухгалтерского учета и ИТ, могут снизить риск ошибок при обработке и отражении финансовой информации. Однако такая политика и процедуры не способны снизить риск обхода средств контроля высшим руководством (например, для завышения прибыли).
А108. Оценка аудитором контрольной среды в той части, в которой она относится к использованию ИТ организацией, может охватывать следующие вопросы:
соизмеримо ли корпоративное управление в сфере ИТ с характером и сложностью структуры организации и ее операционной деятельностью, осуществляемой на основе использования ИТ, включая уровень сложности или зрелости технологической платформы или архитектуры, используемой в организации, и тем, насколько организация полагается на ИТ-приложения при подготовке своей финансовой отчетности;
организационная структура управления в сфере ИТ и выделяемые ресурсы (например, вложила ли организация средства в развитие надлежащей ИТ-среды и необходимые обновления или принято ли на работу достаточное количество специалистов надлежащей квалификации, в частности, в том случае, если организация применяет коммерческое программное обеспечение (без или с ограниченным количеством модификаций)).
Получение понимания процессов оценки рисков в организации (см. пункты 22 - 23)
Понимание процессов оценки рисков в организации (см. пункт 22(a))
А109. Как поясняется в пункте А62, не все бизнес-риски приводят к возникновению рисков существенного искажения. При получении понимания того, как руководство и лица, отвечающие за корпоративное управление, выявили бизнес-риски, связанные с подготовкой финансовой отчетности, и приняли решение о необходимых действиях для снижения этих рисков, аудитор также может рассмотреть вопрос о том, как руководство и, если уместно, лица, отвечающие за корпоративное управление:
указали цели организации с достаточной степенью точности и ясности, чтобы можно было выявить и оценить риски, связанные с этими целями;
выявили риски недостижения целей организации и проанализировали риски, определив на их основе методы управления рисками;
рассмотрели возможности для совершения недобросовестных действий при рассмотрении рисков, связанных с достижением целей организации36.
______________________________
36 МСА 240, пункт 19.
А110. Аудитор может рассмотреть последствия таких бизнес-рисков для подготовки финансовой отчетности организации и другие аспекты ее системы внутреннего контроля.
Анализ процесса оценки рисков в организации (см. пункт 22(b))
Почему аудитор оценивает, является ли процесс оценки рисков в организации надлежащим
А111.
Анализ аудитором оценки рисков в организации может помочь ему понять, в каких областях организация выявила риски, которые могут реализоваться, и какие меры приняла организация в ответ на эти риски. Оценка аудитором того, как организация выявляет, оценивает данные риски и принимает меры по их снижению, помогает аудитору понять, были ли выявлены и оценены риски, с которыми сталкивается организация, и были ли приняты меры по их снижению с учетом характера и сложности организации. Кроме того, данная оценка поможет аудитору выявить и оценить риски существенного искажения на уровне финансовой отчетности и на уровне предпосылок (см. пункт А86).
Оценка надлежащего характера процесса оценки рисков в организации (см. пункт 22(b))
А112. Аудитор оценивает надлежащий характер процесса оценки рисков в организации на основании полученного понимания в соответствии с пунктом 22(a).
Масштабируемость
А113. Вопрос о том, соответствует ли процесс оценки рисков организации сложившимся обстоятельствам с учетом характера и сложности ее деятельности, является предметом профессионального суждения аудитора.
Пример
В некоторых менее сложных организациях и особенно в организациях, которыми руководит собственник, надлежащая оценка рисков может выполняться с непосредственным участием руководства или руководителя- собственника (например, руководитель или руководитель-собственник может регулярно выделять время на мониторинг деятельности конкурентов и других изменений на рынке с целью выявления появляющихся бизнес- рисков). Доказательства проведения такой оценки рисков в подобных организациях часто не оформлены документально, но из обсуждений, которые аудитор проводит с руководством, может ясно следовать, что руководство на самом деле выполняет процедуры оценки рисков.
Получение понимания внедренного в организации процесса мониторинга ее системы внутреннего контроля (см. пункт 24) Масштабируемость
А114. В менее сложных организациях и особенно в организациях, которыми руководит собственник, изучение аудитором внедренного в организации процесса мониторинга системы внутреннего контроля часто сконцентрировано на том, как руководство или руководитель-собственник непосредственно участвует в деятельности, потому что, возможно, какие-либо иные мероприятия по мониторингу отсутствуют.
Пример
Руководство может получать от клиентов жалобы на неточности в их ежемесячных выписках, что привлекает внимание руководителя-собственника к вопросам, связанным с моментом признания произведенных клиентом платежей в бухгалтерском учете.
А115. Для организаций, в которых отсутствует формализованный процесс мониторинга системы внутреннего контроля, понимание процесса мониторинга системы внутреннего контроля может подразумевать, в частности, изучение периодических проверок данных управленческого учета, которые должны способствовать предотвращению и обнаружению искажений организацией.
Понимание внедренного в организации процесса мониторинга системы внутреннего контроля (см. пункт 24(a))
А116. Примеры вопросов, которые могут быть значимыми для рассмотрения аудитором при изучении внедренного в организации процесса мониторинга системы внутреннего контроля:
разработка мероприятий по мониторингу, например, проводится ли мониторинг на периодической или непрерывной основе;
проведение мероприятий по мониторингу и периодичность их проведения;
своевременная оценка результатов мероприятий по мониторингу, чтобы установить, эффективно ли функционировали средства контроля;
какие надлежащие меры были приняты для устранения выявленных недостатков, включая своевременное информирование лиц, отвечающих за меры по устранению недостатков.
А117. Кроме того, аудитор может рассмотреть, как в рамках процесса мониторинга системы внутреннего контроля решается вопрос о мониторинге средств контроля обработки информации, которые функционируют с использованием ИТ. Это может включать, например, следующее:
средства контроля для мониторинга сложной ИТ-среды, которые предназначены для:
оценки непрерывной эффективности организации средств контроля обработки информации и их соответствующей модификации с учетом изменения условий или
оценки операционной эффективности средств контроля обработки информации;
средства контроля, которые отвечают за мониторинг прав доступа, применяемых в автоматизированных средствах контроля обработки информации и обеспечивающих разделение должностных обязанностей;
средства контроля, которые отвечают за мониторинг выявления и устранения ошибок или недостатков системы контроля, связанных с автоматизацией подготовки финансовой отчетности.
Получение представления о работе службы внутреннего аудита в организации (см. пункт 24(a)(ii))
В Приложении 4 более детально излагаются особенности получения представления о работе службы внутреннего аудита организации.
А118. Направление аудиторских запросов соответствующим сотрудникам службы внутреннего аудита помогает аудитору получить понимание характера обязанностей службы внутреннего аудита. Если аудитор устанавливает, что обязанности службы связаны с подготовкой финансовой отчетности организации, он может дополнительно ознакомиться с проведенными или планируемыми службой внутреннего аудита мероприятиями путем анализа плана аудита на конкретный период (при наличии такого плана) и путем его обсуждения с соответствующими сотрудниками службы. Такое понимание в сочетании с информацией, полученной с помощью направления запросов аудитором, может также предоставить информацию, непосредственно касающуюся выявления и оценки аудитором рисков существенного искажения. Если на основании предварительно полученного аудитором понимания службы внутреннего аудита аудитор предполагает использовать работу службы внутреннего аудита для изменения характера или сроков проведения или сокращения объема планируемых аудиторских процедур, применяется МСА 610 (пересмотренный, 2013 г.)37.
______________________________
37 МСА 610 (пересмотренный, 2013 г.) "Использование работы внутренних аудиторов".
Прочие источники информации, используемые в рамках внедренного в организации процесса мониторинга системы внутреннего контроля
Изучение источников информации (см. пункт 24(b))
А119. При осуществлении действий по мониторингу руководство может использовать информацию, содержащуюся в сообщениях от внешних сторон, например жалобы клиентов или замечания регулирующих органов. Такая информация может указывать на наличие проблем или областей, где требуются улучшения.
Почему аудитору необходимо понять, какие источники информации используются для целей мониторинга организацией системы внутреннего контроля
А120. Понимание аудитором источников информации, используемых организацией для целей мониторинга системы внутреннего контроля, в том числе понимание того, является ли используемая информация уместной и надежной, помогает аудитору оценить, является ли внедренный в организации процесс мониторинга системы внутреннего контроля организации надлежащим.
Если руководство исходит из того, что информация, используемая для целей мониторинга, является уместной и надежной при отсутствии оснований для такого допущения, то ошибки, которые, возможно, существуют в данной информации, могли бы потенциально привести руководство к неправильным выводам в результате проведения своих мероприятий по мониторингу.
Оценка внедренного в организации процесса мониторинга системы внутреннего контроля (см. пункт 24(c))
Почему аудитор оценивает, является ли внедренный в организации процесс мониторинга системы внутреннего контроля организации надлежащим
А121. Оценка аудитором того, как организация проводит текущие и отдельные оценки с целью мониторинга эффективности средств контроля, помогает аудитору понять, имеются ли и функционируют ли другие компоненты системы внутреннего контроля организации, а следовательно, помогает ему понять другие компоненты системы внутреннего контроля организации. Кроме того, данная оценка поможет аудитору выявить и оценить риски существенного искажения на уровне финансовой отчетности и на уровне предпосылок (см. пункт А86).
Оценка того, является ли внедренный в организации процесс мониторинга системы внутреннего контроля организации надлежащим (см. пункт 24(c))
А122. Оценка аудитором надлежащего характера внедренного в организации процесса мониторинга системы внутреннего контроля основывается на понимании аудитором внедренного в организации процесса мониторинга системы внутреннего контроля.
Информационная система, информационное взаимодействие и контрольные процедуры (см. пункты 25-26)
А123. Средства контроля в таких компонентах, как информационная система, информационное взаимодействие и контрольные процедуры, в основном являются прямыми средствами контроля (то есть средствами контроля, которые достаточно точны для предотвращения, обнаружения или исправления искажений на уровне предпосылок).
Почему аудитору необходимо получить понимание об информационной системе и информационном взаимодействии, а также средствах контроля в компоненте контрольных процедур
А124. Аудитору необходимо получить понимание об информационной системе и информационном взаимодействии в организации, потому что понимание политики организации, определяющей потоки операций и другие аспекты деятельности организации по обработке информации, которые являются значимыми для подготовки финансовой отчетности, и оценка того, облегчает ли данный компонент подготовку финансовой отчетности организации, помогают аудитору выявить и оценить риски существенного искажения на уровне предпосылки. Кроме того, такое понимание и такая оценка могут привести к выявлению рисков существенного искажения на уровне финансовой отчетности в тех случаях, когда результаты процедур, выполненных аудитором, не соответствуют ожиданиям относительно системы внутреннего контроля в организации, которые были определены на основании информации, полученной в процессе принятия решения о начале и (или) продолжении работы по данному заданию (см. пункт А86).
А125. Аудитору необходимо выявить конкретные средства контроля в компоненте контрольных процедур и оценить их структуру, а также определить, были ли средства контроля внедрены. Такие действия помогают аудитору понять, какой подход применяет руководство к снижению определенных рисков, а следовательно, обеспечивают основу для разработки и выполнения дальнейших аудиторских процедур в ответ на эти риски, в соответствии с требованиями МСА 330. Чем выше значение оцененного риска в диапазоне значений неотъемлемого риска, тем более всеобъемлющими должны быть аудиторские доказательства.
Даже если аудитор не планирует тестировать операционную эффективность выявленных средств контроля, понимание аудитора, тем не менее, может повлиять на определение характера, сроков и объема аудиторских процедур проверки по существу, которые выполняются в ответ на соответствующие риски существенного искажения.
Итеративный характер изучения и оценки аудитором информационной системы, информационного взаимодействия и контрольных процедур
А126. Как поясняется в пункте А49, понимание аудитором деятельности организации и ее окружения, а также применимой концепции подготовки финансовой отчетности помогает аудитору сформировать первоначальные ожидания в отношении того, какие виды операций, остатки по счетам и раскрытие информации могут оказаться значительными. При получении понимания в отношении информационной системы и информационного взаимодействия в соответствии с пунктом 25(a), аудитор может использовать эти первоначальные ожидания для целей определения той степени понимания деятельности организации по обработке информации, которой необходимо добиться.
А127. Понимание аудитором информационной системы включает понимание политики, определяющей потоки информации, относящейся к значительным видам операций, остаткам по счетам и раскрытию информации, а также иным связанным аспектам деятельности организации по обработке информации. Данная информация, а также информация, полученная в результате проведения аудитором оценки информационной системы, могут подтвердить или оказать дальнейшее влияние на ожидания аудитора в отношении первоначально выявленных значительных видов операций, остатков по счетам и раскрытия информации (см. пункт А126).
А128. При изучении того, как информация, относящаяся к значительным видам операций, остаткам по счетам и раскрытию информации, попадает в информационную систему организации, как происходит ее перемещение внутри системы и выход из системы, аудитор может также выявить средства контроля в компоненте контрольных процедур, которые требуется выявить согласно пункту 26(a). Выявление и оценка аудитором средств контроля в компоненте контрольных процедур могут быть сначала сконцентрированы на средствах контроля бухгалтерских записей и средствах контроля, операционную эффективность которых аудитор планирует протестировать при разработке характера, сроков и объема процедур проверки по существу.
А129. Кроме того, оценка аудитором неотъемлемого риска может влиять на выявление средств контроля в компоненте контрольных процедур. Например, выявление аудитором средств контроля, относящихся к значительным рискам, возможно только в том случае, если аудитор оценил неотъемлемый риск на уровне предпосылок в соответствии с пунктом 31. Кроме того, средства контроля, снижающие риски в отношении которых аудитор установил, что одни только процедуры проверки по существу не обеспечивают достаточные надлежащие аудиторские доказательства (в соответствии с пунктом 33), также могут быть выявлены только в том случае, если аудитор провел оценку неотъемлемого риска.
А130. На выявление и оценку аудитором рисков существенного искажения на уровне предпосылок влияют оба фактора:
понимание аудитором политики организации в отношении деятельности по обработке информации в компоненте информационной системы и информационного взаимодействия и
выявление и оценка аудитором средств контроля в компоненте контрольных процедур.
Получение понимания в отношении информационной системы и информационного взаимодействия (см. пункт 25)
В Приложении 3 в пунктах 15 - 19 представлены дополнительные вопросы, которые необходимо рассмотреть в отношении информационной системы и информационного взаимодействия.
Масштабируемость
А131. Информационная система и соответствующие бизнес-процессы в менее сложных организациях, как правило, не такие усложненные, как в более крупных организациях, и, как правило, предполагают менее сложную ИТ-среду; однако это не умаляет роли информационной системы. Менее сложным организациям, в управлении которыми руководство принимает непосредственное участие, возможно, не требуются подробные описания процедур бухгалтерского учета, сложных данных бухгалтерского учета или документально оформленной политики. Следовательно, при аудите организаций с менее сложной структурой изучение соответствующих аспектов информационной системы организации может требоваться в меньшем объеме и подразумевать больше запросов, чем наблюдений или инспектирования документации. Однако необходимость получения понимания в отношении информационной системы остается актуальной, потому что оно служит основой для разработки дальнейших аудиторских процедур в соответствии с МСА 330 и может еще больше облегчить аудитору задачу выявления и оценки рисков существенного искажения (см. пункт А86).
Получение понимания в отношении информационной системы (см. пункт 25(a))
А132. В систему внутреннего контроля организации входят аспекты, которые относятся к целям отчетности организации, включая цели финансовой отчетности, но также могут входить аспекты, связанные с целями ее операционной деятельности или соблюдением законов и нормативных актов, если такие аспекты относятся к подготовке финансовой отчетности. В рамках изучения аудитором информационной системы понимание им порядка инициирования операций и сбора информации организацией может включать информацию о системах организации (ее политику), предназначенных для обеспечения соблюдения законов и нормативных актов и достижения целей операционной деятельности, поскольку данная информация является значимой для подготовки финансовой отчетности. Кроме того, в некоторых организациях могут быть высоко интегрированные информационные системы, когда средства контроля разработаны таким образом, чтобы параллельно обеспечить достижение целей финансовой отчетности, соблюдение законов и нормативных актов, достижение целей операционной деятельности, а также эти задачи могут выполняться в сочетании друг с другом.
А133. Изучение информационной системы организации включает также изучение ресурсов, которые будут использоваться в процессе обработки информации в организации. Информация о привлекаемых кадровых ресурсах, которая может быть важной для понимания рисков нарушения целостности информационной системы, охватывает следующее:
какова компетентность лиц, выполняющих работу;
имеются ли достаточные ресурсы;
имеется ли надлежащее разделение должностных обязанностей.
А134. Вопросы, которые может рассмотреть аудитор при изучении политики, которая определяет потоки информации, относящиеся к значительным видам операций, остаткам по счетам и раскрытию информации в составе информационной системы и информационного взаимодействия, включают характер следующей информации и процессов:
(a) подлежащих обработке данных или информации, относящейся к операциям, прочим событиям и условиям;
(b) обработки информации для сохранения целостности указанных данных или информации;
(c) информационных процессов, персонала и прочих ресурсов, используемых в процессе обработки информации.
А135.
Получение понимания бизнес-процессов организации, в том числе порядка их инициирования, помогает аудитору получить понимание в отношении информационной системы организации способом, соответствующим обстоятельствам организации.
А136. Аудитор может получить понимание в отношении информационной системы разными способами, включая следующие:
направление запросов соответствующему персоналу относительно процедур, которые используются для инициирования, отражения, обработки и представления в отчетности операций, или относительно процесса подготовки финансовой отчетности организации;
инспектирование регламентов по соблюдению политики или процедур или иной документации по информационной системе организации;
наблюдение за выполнением политики или процедур персоналом организации;
выбор операций и их отслеживание в рамках применимого процесса в информационной системе (то есть выполнение сквозной проверки).
Автоматизированные инструменты и методы
А137. Кроме того, аудитор может использовать автоматизированные методы для получения прямого доступа к базам данных в информационной системе, в которых хранятся данные бухгалтерского учета операций, или для выгрузки цифровых данных из таких баз. С применением к данной информации автоматизированных инструментов или методов аудитор может подтвердить свое понимание в отношении потока операций в информационной системе, отследив бухгалтерские записи или иные цифровые записи, относящиеся к конкретной операции, либо всю совокупность операций с момента ввода в состав данных бухгалтерского учета и до момента отражения в основном регистре. Анализ полных или больших групп операций тоже может привести к выявлению отклонений от обычных или ожидаемых процедур обработки этих операций, в результате чего могут быть выявлены риски существенного искажения.
Информация, полученная не из основного регистра и вспомогательных ведомостей
А138. Финансовая отчетность может содержать информацию, которая получена не из основного регистра и вспомогательных ведомостей. Примеры такой информации, которую может рассмотреть аудитор:
информация, полученная из договоров аренды, которые важны для раскрытия информации в финансовой отчетности;
информация, раскрытая в финансовой отчетности, которую предоставляет система управления рисками организации;
информация о справедливой стоимости, предоставляемая экспертами руководства и раскрытая в финансовой отчетности;
информация, раскрытая в финансовой отчетности, которая получена на основе моделирования или иным расчетным способом и используется для формирования оценочных значений, признанных или раскрытых в финансовой отчетности, включая информацию, которая относится к базовым данным и допущениям, используемым при таком моделировании, например:
принятые внутри организации допущения, способные повлиять на срок полезного использования актива;
информация, такая как процентные ставки, которая подвержена влиянию факторов, находящихся вне сферы контроля организации;
информация, раскрытая в финансовой отчетности, касающаяся анализа чувствительности, выполненного на основе финансовых моделей, которые показывают использование руководством альтернативных допущений;
информация, признанная или раскрытая в финансовой отчетности, которая получена из налоговых деклараций или налогового учета организации;
информация, раскрытая в финансовой отчетности, которая получена на основе аналитических данных, подготовленных для подтверждения сделанной руководством оценки в отношении способности организации продолжать непрерывно свою деятельность, такая как раскрытие информации (если имеется), относящееся к событиям или условиям, которые были идентифицированы и могут вызвать значительные сомнения относительно способности организации непрерывно продолжать свою деятельность38.
______________________________
38 МСА 570 (пересмотренный), пункты 19 - 20.
А139. Некоторые суммы или раскрытие информации в финансовой отчетности организации (такие как раскрытие информации о кредитном риске, риске ликвидности и рыночном риске) могут быть основаны на информации, полученной из системы управления рисками организации. Однако от аудитора не требуется понимания всех аспектов системы управления рисками, и он использует профессиональные суждения для определения тех областей, которые требуют понимания.
Использование организацией информационных технологий в информационной системе
Почему аудитору необходимо понимать ИТ-среду, относящуюся к информационной системе
А140. Получение понимания аудитором информационной системы охватывает ИТ-среду, относящуюся к потокам операций и обработке информации в информационной системе организации, так как в результате использования организацией ИТ-приложений или других аспектов ИТ-среды могут возникнуть риски, связанные с использованием ИТ.
А141. Изучение бизнес-модели организации и того, как в ней интегрировано использование ИТ, тоже может быть полезным для понимания ожидаемого характера и объема ИТ в информационной системе.
Понимание использования ИТ в организации
А142. При изучении ИТ-среды аудитор может сконцентрировать внимание на выявлении и изучении характера и количества конкретных ИТ-приложений и других аспектов ИТ-среды, относящихся к потокам операций и обработке информации в информационной системе. Изменения в потоке операций или информации в информационной системе могут произойти в результате программных изменений в ИТ-приложениях или изменений непосредственно в данных, содержащихся в базах данных, которые задействованы в обработке или хранении данных по операциям или иной информации.
А143. Аудитор может выявить ИТ-приложения и поддерживающую ИТ-инфраструктуру одновременно с изучением того, как информация, относящаяся к значительным видам операций, остаткам по счетам и раскрытию информации, попадает в информационную систему организации, как происходит ее перемещение внутри системы и что получается на выходе из системы.
Получение понимания информационного взаимодействия в организации (см. пункт 25(b))
Масштабируемость
А144. В более крупных, более сложных организациях, информация, которую аудитор может рассмотреть при изучении информационного взаимодействия в организации, может содержаться во внутренних регламентах, касающихся политики и подготовки финансовой отчетности.
А145. У менее сложной организации информационное взаимодействие может быть менее структурированным (например, могут не использоваться официальные руководства) в связи с меньшим количеством уровней ответственности и более высокой степенью прозрачности, а также большей близостью и доступностью руководства. Независимо от размера организации открытые каналы информационного взаимодействия помогают сообщать об исключительных ситуациях и обеспечивают принятие соответствующих мер.
Оценка того, поддерживают ли соответствующие аспекты информационной системы подготовку финансовой отчетности организации (см. пункт 25(c))
А146.
Оценка аудитором того, поддерживает ли информационная система организации надлежащим образом подготовку финансовой отчетности, основывается на понимании, полученном в соответствии с пунктами 25(а)-(b).
Контрольные процедуры (см. пункт 26)
Средства контроля в компоненте контрольных процедур
В Приложении 3 в пунктах 20 и 21 представлены дополнительные вопросы, которые необходимо рассмотреть в отношении контрольных процедур.
А147. К компоненту контрольных процедур относятся средства контроля, разработанные для обеспечения надлежащего применения политики (которая тоже является средством контроля) во всех остальных компонентах системы внутреннего контроля организации. Данные средства контроля включают как прямые, так и косвенные средства контроля.
Пример
Средства контроля, установленные организацией для надлежащего учета и отражения персоналом запасов при ежегодной инвентаризации, относятся непосредственно к рискам существенного искажения, связанным с такими предпосылками, как существование и полнота остатка по счету запасов.
А148. При выявлении и оценке аудитором средств контроля в компоненте контрольных процедур аудитор уделяет особо пристальное внимание средствам контроля обработки информации, которые представляют собой средства контроля, применяемые при обработке информации в информационной системе организации, и которые непосредственно снижают риски, связанные с целостностью информации (то есть полнотой, точностью и достоверностью операций и прочей информации). Однако аудитор не обязан выявлять и оценивать все средства контроля обработки информации, относящиеся к политике организации, которая определяет потоки операций и другие аспекты ее деятельности по обработке информации в отношении значительных видов операций, остатков по счетам или раскрытия информации.
А149. Возможно также наличие прямых средств контроля, которые существуют в контрольной среде, процессе оценки рисков в организации или во внедренном в организации процессе мониторинга системы внутреннего контроля и которые могут быть выявлены в соответствии с пунктом 26. Однако чем более опосредована связь между средствами контроля, которые являются вспомогательными для других средств контроля, и рассматриваемым средством контроля, тем менее эффективным может оказаться это средство контроля в предотвращении или обнаружении и исправлении соответствующих искажений.
Пример
Анализ менеджером по продажам отчетов о продажах в определенных магазинах по регионам, как правило, лишь косвенно связан с рисками существенного искажения, относящимися к предпосылке о полноте отражения выручки от продаж. Следовательно, такое средство контроля может оказаться менее эффективным для снижения данных рисков, чем те, которые более непосредственно связаны с этой предпосылкой, такие как сверка отгрузочных документов с документами на оплату.
А150. В соответствии с пунктом 26 аудитору требуется выявить и оценить общие средства ИТ-контроля для ИТ-приложений и другие аспекты ИТ-среды, которые, как установил аудитор, подвержены рискам, возникающим вследствие использования ИТ, так как общие средства ИТ-контроля поддерживают непрерывное эффективное функционирование средств контроля обработки информации. Одного только общего средства ИТ-контроля, как правило, недостаточно для управления риском существенного искажения на уровне предпосылок.
А151. Средства контроля, которые аудитор обязан выявить, оценив их структуру и определив, были ли они внедрены в соответствии с пунктом 26, - это средства контроля, в отношении которых:
аудитор планирует протестировать операционную эффективность при определении характера, сроков и объема процедур проверки по существу. Оценка таких средств контроля обеспечивает основу для разработки аудитором тестирования процедур контроля в соответствии с МСА 330. Данные средства контроля также включают средства контроля, снижающие риски, для которых одни только процедуры проверки по существу не обеспечивают достаточные надлежащие аудиторские доказательства;
средства контроля включают средства контроля, снижающие значительные риски, и средства контроля в отношении бухгалтерских записей. Выявление и оценка аудитором таких средств контроля могут также влиять на понимание аудитором рисков существенного искажения, в том числе выявление дополнительных рисков существенного искажения (см. пункт А95). На основе данного понимания аудитор определяет характер, сроки и объем процедур проверки по существу в ответ на связанные с ними оцененные риски существенного искажения;
прочие средства контроля, которые аудитор считает надлежащими для того, чтобы он мог выполнить задачи, указанные в пункте 13, в отношении рисков на уровне предпосылок, основываясь на своем профессиональном суждении.
А152. Средства контроля в компоненте контрольных процедур необходимо выявить в том случае, если данные средства контроля удовлетворяют одному или нескольким критериям, указанным в пункте 26(a). Однако, если каждое из разных средств контроля направлено на достижение одной и той же цели, тогда нет необходимости выявлять каждое из этих средств контроля, относящихся к такой цели.
Виды средств контроля в компоненте контрольных процедур (см. пункт 26)
А153. Примеры средств контроля в компоненте контрольных процедур включают санкционирование и утверждение, сверку, верификацию (например, проверку внесения изменения и подтверждения правильности или автоматизированный расчет), разделение должностных обязанностей и средства физического и логического контроля, включая средства контроля, связанные с обеспечением сохранности активов.
А154. Кроме того, средства контроля в компоненте контрольных процедур могут включать установленные руководством средства контроля, снижающие риски существенного искажения, связанные с раскрытием информации, подготовленной не в соответствии с применимой концепцией подготовки финансовой отчетности. Такие средства контроля могут относиться к включенной в финансовую отчетность информации, которая получена не из основного регистра и вспомогательных ведомостей.
А155. Независимо от того, функционируют ли средства контроля в рамках ИТ-среды или систем, в которых операции осуществляются вручную, у средств контроля могут быть различные цели и они могут применяться на разных организационных и функциональных уровнях.
Масштабируемость (см. пункт 26)
А156. Средства контроля в компоненте контрольных процедур в менее сложных организациях с большой вероятностью будут теми же, что и в более крупных организациях, однако степень документального оформления порядка их функционирования может разниться. Кроме того, в менее сложных организациях возможно применение большего числа средств контроля непосредственно руководством.
Пример
Единоличные полномочия руководства по предоставлению кредита клиентам и утверждению значительных приобретений могут обеспечивать строгий контроль остатков по важным счетам и операциям.
А157. Возможно, вводить разделение должностных обязанностей в менее сложных организациях с меньшим штатом сотрудников менее целесообразно.
Однако в организациях, которыми руководит собственник, он может осуществлять более эффективный надзор за счет своей непосредственной вовлеченности, что может компенсировать наличие в целом более ограниченных возможностей для разделения должностных обязанностей. В то же время, как разъясняется также в МСА 240, доминирование в руководстве одного человека может считаться потенциальным недостатком средства контроля, поскольку руководство может действовать в обход средств контроля39.
______________________________
39 МСА 240, пункт А28.
Средства контроля, предназначенные для снижения рисков существенного искажения на уровне предпосылок (см. пункт 26(a))
Средства контроля, предназначенные для снижения рисков, которые определены как значительные риски (см. пункт 26(a)(1))
А158. Вне зависимости от того, планирует ли аудитор тестировать операционную эффективность средств контроля, предназначенных для снижения значительных рисков, полученное понимание подхода, который применяется руководством для снижения данных рисков, может обеспечить основу для разработки и выполнения процедур проверки по существу в ответ на значительные риски, в соответствии с требованиями МСА 330.40. Несмотря на то, что риски, связанные со значимыми нестандартными вопросами или вопросами, требующими суждения, с меньшей вероятностью попадают в сферу действия стандартных средств контроля, руководство может применить другие меры в ответ на такие риски. Следовательно, представление аудитора о том, разработала и внедрила ли организация средства контроля в отношении значительных рисков, возникающих в связи с нестандартными вопросами или вопросами, требующими суждения, может включать понимание того, принимает ли руководство какие-либо меры в ответ на эти риски, и если да, то какие. Такие меры могут включать следующее:
______________________________
40 МСА 330, пункт 21.
средства контроля, такие как проверка допущений высшим руководством или экспертами;
документально оформленные процессы учета оценочных значений;
подтверждение лицами, отвечающими за корпоративное управление.
Пример
При возникновении событий разового характера, таких как получение уведомления о значительном судебном иске, рассмотрение ответных действий организации может включать и рассмотрение вопросов о том, было ли такое уведомление передано соответствующим экспертам (например, внутренним юристам организации или внешним юристам), была ли выполнена оценка возможных последствий и какое раскрытие информации об этих обстоятельствах предлагается дать в финансовой отчетности.
А159. В соответствии с требованиями МСА 240.41 аудитор обязан изучить средства контроля, связанные с оцененными рисками существенного искажения вследствие недобросовестных действий (которые считаются значительными рисками). Далее в стандарте поясняется, что аудитору важно получить понимание, какие средства контроля разработаны, внедрены и поддерживаются руководством для предотвращения и обнаружения недобросовестных действий.
______________________________
41 МСА 240, пункты 28 и А33.
Средства контроля за бухгалтерскими записями (см. пункт 26(a)(ii))
А160.