Текст очень длинный, поэтому разбит на части. Часть 2 из 5.
Средства контроля, предназначенные для снижения рисков существенного искажения на уровне предпосылок, которые, как предполагается, должны быть выявлены в рамках всех проверок, - это средства контроля за бухгалтерскими записями, так как способ внесения информации организацией в результате обработки операций в основной регистр, как правило, подразумевает использование бухгалтерских записей, будь то стандартные или нестандартные записи, автоматизированные записи или записи, осуществляемые вручную. Объем выявления других средств контроля может варьироваться в зависимости от характера организации и планируемого аудитором подхода к проведению дальнейших аудиторских процедур.
Пример
При проведении аудита организаций с менее сложной структурой информационная система организации может быть несложной и аудитор может не планировать полагаться на операционную эффективность средств контроля. Более того, возможно, аудитор не выявит значительных рисков или иных рисков существенного искажения, в отношении которых ему необходимо оценить структуру средств контроля и определить, были ли они внедрены. При проведении такого аудита аудитор может установить, что выявленные средства контроля в организации отсутствуют, за исключением средств контроля за бухгалтерскими записями.
Автоматизированные инструменты и методы
А161. В системах, в которых основной регистр ведется вручную, нестандартные бухгалтерские записи могут быть выявлены в результате инспектирования регистров, журналов и подтверждающей документации. В тех случаях, когда для ведения основного регистра и подготовки финансовой отчетности используются автоматизированные процедуры, такие записи могут существовать только в электронной форме, а следовательно, их легче выявить за счет использования автоматизированных методов.
Пример
При проведении аудита организации с менее сложной структурой аудитор, возможно, получит общий перечень всех бухгалтерских записей в форме простой электронной таблицы. Следовательно, он может отсортировать бухгалтерские записи с применением самых разных фильтров, таких как сумма в валюте, имя исполнителя или проверяющего, бухгалтерские записи, которые только суммируют показатели в бухгалтерском балансе или отчете о прибылях и убытках, или может посмотреть перечень по дате отражения бухгалтерской записи в основном регистре для облегчения себе задачи по разработке процедур в ответ на выявленные риски, связанные с бухгалтерскими записями.
______________________________
41 МСА 240, пункты 28 и А33.
Средства контроля, в отношении которых аудитор планирует протестировать операционную эффективность (см. пункт 26(a)(iii))
A162. Аудитор устанавливает, имеются ли риски существенного искажения на уровне предпосылок, для которых невозможно получить достаточные надлежащие аудиторские доказательства только путем выполнения процедур проверки по существу. В соответствии с МСА 330.42 аудитор должен разработать и выполнить тесты средств контроля, предназначенные для снижения таких рисков существенного искажения, если одни только процедуры проверки по существу не обеспечивают получение достаточных аудиторских доказательств на уровне предпосылок. В результате в тех случаях, когда существуют такие средства контроля, которые снижают данные риски, их необходимо выявить и оценить.
______________________________
42 МСА 330, пункт 8(b).
А163.
В других случаях, когда аудитор планирует принять во внимание операционную эффективность средств контроля при определении характера, сроков и объема процедур проверки по существу в соответствии с МСА 330, такие средства контроля также необходимо выявить, потому что в соответствии с МСА 330.43 аудитор должен разработать и выполнить тесты в отношении данных средств контроля.
______________________________
43 МСА 330, пункт 8(a).
Примеры
Аудитор может запланировать проведение теста операционной эффективности средств контроля:
в отношении стандартных видов операций, потому что такое тестирование может быть результативнее и эффективнее в случае больших объемов однородных операций;
в отношении полноты и точности информации, формируемой организацией (например, средства контроля за подготовкой отчетов, формируемых системой), чтобы определить надежность данной информации в тех случаях, когда аудитор намерен принимать во внимание операционную эффективность данных средств контроля при разработке и выполнении дальнейших аудиторских процедур;
в отношении целей операционной деятельности и соблюдения законов и нормативных актов, когда эти средства контроля относятся к данным, которые аудитор оценивает или использует при выполнении аудиторских процедур.
А164. На планы аудитора протестировать операционную эффективность средств контроля могут также повлиять выявленные риски существенного искажения на уровне финансовой отчетности. Например, выявление недостатков, связанных с контрольной средой, может повлиять на общие ожидания аудитора относительно операционной эффективности прямых средств контроля.
Прочие средства контроля, которые аудитор считает надлежащими (см. пункт 26(a)(iv))
A165. К прочим средствам контроля, которые, по мнению аудитора, необходимо выявить, оценив их структуру и определив, были ли они внедрены, можно отнести следующие:
средства контроля, предназначенные для снижения рисков, которые оценены как повышенные в диапазоне значений неотъемлемого риска, но которые не были определены как значительные риски;
средства контроля, связанные со сверкой детализированных записей с основным регистром, или
дополнительные средства контроля организации-пользователя в случае использования услуг обслуживающей организации44.
______________________________
44 МСА 402 "Особенности аудита организации, пользующейся услугами обслуживающей организации".
Выявление ИТ-приложений и других аспектов ИТ-среды, рисков, возникающих вследствие использования информационных технологий и общих средств IT-контроля (см. пункты 26(b)-(с))
В Приложении 5 приведены примеры характеристик ИТ-приложений и других аспектов ИТ-среды, а также рекомендаций в отношении данных характеристик, которые могут иметь значение при выявлении ИТ-приложений и прочих аспектов ИТ-среды, подверженных рискам в связи с использованием информационных технологий.
Выявление ИТ-приложений и других аспектов ИТ-среды (см. пункт 26(b))
Почему аудитор выявляет риски, возникающие вследствие использования информационных технологий, и общие средства ИТ-контроля, относящиеся к выявленным ИТ-приложениям и прочим аспектам ИТ-среды
А166. Понимание рисков, возникающих вследствие использования информационных технологий, и общих средств ИТ-контроля, внедренных в организации для управления данными рисками, может влиять на:
решение аудитора в отношении того, тестировать ли операционную эффективность средств контроля, предназначенных для снижения рисков существенного искажения на уровне предпосылок;
Пример
Когда общие средства ИТ-контроля не разработаны эффективно или не внедрены надлежащим образом с целью снижения рисков, возникающих вследствие использования информационных технологий (например, средства контроля не предотвращают или не обнаруживают надлежащим образом неавторизованные изменения в программе или несанкционированный доступ к ИТ-приложениям), этот факт может оказать влияние на решение аудитора полагаться на автоматизированные средства контроля в рамках рассматриваемых ИТ-приложений.
оценку аудитором риска средств контроля на уровне предпосылок;
Пример
Непрерывное эффективное функционирование средства контроля обработки информации может зависеть от определенных общих средств ИТ-контроля, которые предотвращают или обнаруживают неавторизованные программные изменения в средствах контроля обработки ИТ-информации (то есть средства контроля за изменениями программного обеспечения в отношении соответствующего ИТ-приложения). В таких обстоятельствах ожидаемая операционная эффективность (или ее отсутствие) общих средств ИТ-контроля может влиять на оценку аудитором риска средств контроля (например, риск средств контроля может быть выше, если ожидается, что такие общие средства ИТ-контроля будут неэффективными, или если аудитор не планирует тестировать общие средства ИТ-контроля).
стратегию аудитора в отношении тестирования предоставленной организацией информации, которая сформирована в ИТ-приложениях организации или включает информацию из этих приложений;
Пример
Если предоставленная организацией информация, которая будет использована в качестве аудиторских доказательств, сформирована ИТ-приложениями, аудитор может принять решение о тестировании средств контроля за отчетами, сформированными системой, включая выявление и тестирование общих средств ИТ- контроля, которые предназначены для снижения рисков ненадлежащих или неавторизованных программных изменений или изменений непосредственно в данных отчета.
оценку аудитором неотъемлемого риска на уровне предпосылок или
Пример
Внесение значительных или многочисленных программных изменений в ИТ-приложения с учетом новых или пересмотренных требований к отчетности применимой концепции подготовки финансовой отчетности может указывать на сложность новых требований и их влияние на финансовую отчетность организации. Когда происходят такие многочисленные изменения в программе или данных, ИТ-приложение тоже, скорее всего, будет подвергаться рискам, возникающим в связи с использованием информационных технологий.
разработку дальнейших аудиторских процедур.
Пример
Если средства контроля обработки информации полагаются на общие средства ИТ-контроля, аудитор может принять решение о тестировании операционной эффективности общих средств ИТ-контроля, в результате потребуется разработать тестирование средств контроля для таких общих средств ИТ-контроля. Если при таких же обстоятельствах аудитор принимает решение не проводить тестирование операционной эффективности общих средств ИТ-контроля или предполагается, что общие средства ИТ-контроля неэффективны, возможно, потребуется снизить соответствующие риски, возникающие вследствие использования ИТ, посредством разработки процедур проверки по существу. Однако риски, возникающие вследствие использования ИТ, невозможно снизить, если они относятся к рискам, для которых одни только процедуры проверки по существу не обеспечивают достаточные надлежащие аудиторские доказательства. В таких случаях аудитору может потребоваться рассмотреть последствия для аудиторского мнения.
Выявление ИТ-приложений, которые подвержены рискам, возникающим вследствие использования ИТ
А167. Для ИТ-приложений, связанных с информационной системой, понимание характера и сложности конкретных ИТ-процессов и общих средств ИТ-контроля, внедренных организацией, может облегчить аудитору задачу определения, на какие ИТ-приложения полагается организация в части точной обработки и сохранения целостности информации в информационной системе организации. Такие ИТ-приложения могут быть подвержены рискам, возникающим вследствие использования ИТ.
А168. При выявлении ИТ-приложений, которые подвержены рискам, возникающим вследствие использования ИТ, учитываются средства контроля, выявленные аудитором, потому что данные средства контроля могут использовать ИТ или полагаться на ИТ. Аудитор может сконцентрировать внимание на том, включает ли ИТ-приложение автоматизированные средства контроля, на которые полагается руководство и которые выявил аудитор, в том числе средства контроля, снижающие риски, для которых одни только процедуры проверки по существу не обеспечивают достаточных надлежащих аудиторских доказательств. Кроме того, аудитор может рассмотреть порядок хранения и обработки информации в информационной системе в части значительных видов операций, остатков по счетам и раскрытия информации. Аудитор может также рассмотреть вопрос о том, полагается ли руководство на общие средства ИТ-контроля с целью сохранения целостности данной информации.
А169. Средства контроля, выявленные аудитором, могут зависеть от отчетов, сформированных системой. В таком случае ИТ-приложения, которые формируют данные отчеты, могут быть подвержены рискам, возникающим вследствие использования ИТ. В других случаях аудитор может не планировать, что он будет полагаться на средства контроля в отношении отчетов, сформированных системой, и планировать тестирование непосредственно исходных данных и результатов, представленных в данных отчетах. В таком случае аудитор может не выявить соответствующие ИТ- приложения как приложения, подверженные рискам, которые возникают вследствие использования ИТ.
Масштабируемость
А170. Степень понимания аудитором ИТ-процессов, в том числе объема внедрения организацией общих средств ИТ- контроля, будет различаться в зависимости от характера и обстоятельств организации и ее ИТ-среды, а также в зависимости от характера и объема средств контроля, выявленных аудитором. Количество ИТ-приложений, которые подвержены рискам, возникающим вследствие использования ИТ, также будет варьироваться в зависимости от данных факторов.
Примеры
Маловероятно, чтобы в организации, которая использует коммерческое программное обеспечение и не располагает доступом к исходному коду для внесения каких-либо программных изменений, имелся процесс для внесения программных изменений, однако может существовать процесс или процедуры для конфигурации программного обеспечения (например, план счетов, параметры отчетности или пороговые значения). Кроме того, в организации может иметься процесс или процедуры управления доступом к приложению (например, назначенное лицо, имеющее административный доступ к коммерческому программному обеспечению). При таких обстоятельствах маловероятно, чтобы у организации были (или чтобы ей требовались) формализованные общие средства ИТ-контроля.
В отличие от этого, более крупные организации могут полагаться в значительной степени на информационные технологии, и ИТ-среда может включать многочисленные ИТ-приложения, а ИТ-процессы для управления ИТ-средой могут быть сложными (например, существует специально сформированный ИТ- отдел, который разрабатывает и внедряет программные изменения и управляет правами доступа), включая то, что организация внедрила формализованные общие средства ИТ-контроля в отношении ИТ-процессов.
Если руководство не полагается на автоматизированные средства контроля или общие средства ИТ-контроля для обработки операций или хранения данных и аудитор не выявил каких-либо автоматизированных средств контроля или иных средств контроля обработки информации (или каких-либо средств контроля, которые полагаются на общие средства ИТ-контроля), аудитор может планировать непосредственное тестирование информации, подготовленной организацией с использованием ИТ, и может не выявить какие-либо ИТ-приложения, которые подвергаются рискам, возникающим вследствие использования ИТ.
Если руководство полагается на ИТ-приложение для обработки или хранения данных и объем данных является значительным, при этом руководство полагается на ИТ-приложение для осуществления автоматизированных средств контроля, которые аудитор также выявил, ИТ-приложение с большой вероятностью будет подвержено рискам, возникающим вследствие использования ИТ.
А171. Если в организации более сложная ИТ-среда, для выявления ИТ-приложений и других аспектов ИТ-среды, определения связанных рисков, возникающих вследствие использования ИТ, и выявления общих средств ИТ-контроля, скорее всего, потребуется участие членов аудиторской группы, обладающих специальной квалификацией в области ИТ. Такое участие с большой вероятностью будет необходимым и в условиях сложной среды информационных технологий, возможно, будет значительным.
Выявление прочих аспектов ИТ-среды, которые подвержены рискам, возникающим вследствие использования ИТ
А172. Другие аспекты ИТ-среды, которые могут быть подвержены рискам, возникающим вследствие использования ИТ, включают сеть, операционную систему и базы данных, а также при определенных обстоятельствах интерфейсы между ИТ-приложениями. Другие аспекты ИТ-среды, как правило, не идентифицируются, если аудитор не выявляет ИТ-приложения, которые подвержены рискам, возникающим вследствие использования ИТ. Если аудитор выявил ИТ-приложения, которые подвержены рискам, возникающим вследствие использования ИТ, другие аспекты ИТ-среды (например, база данных, операционная система, сеть), скорее всего, будут выявлены, потому что данные аспекты являются вспомогательными для выявленных ИТ- приложений и взаимодействуют с ними.
Выявление рисков, возникающих вследствие использования ИТ, и общих средств ИТ-контроля (см. пункт 26(c))
В Приложении 6 приводятся вопросы, которые следует рассмотреть при изучении общих средств ИТ-контроля.
А173. При выявлении рисков, возникающих вследствие использования ИТ, аудитор может рассмотреть характер выявленного ИТ-приложения или иного аспекта ИТ-среды, а также причины, по которым они подвержены рискам, возникающим вследствие использования ИТ.
По некоторым выявленным ИТ-приложениям и другим аспектам ИТ-среды аудитор может выявить применимые риски, возникающие вследствие использования ИТ и относящиеся в основном к несанкционированному доступу или неавторизованным программным изменениям, а также риски, связанные с ненадлежащими изменениями данных (например, риск внесения ненадлежащих изменений в данные посредством получения прямого доступа к базам данных или возможности непосредственного манипулирования информацией).
А174. Объем и характер применимых рисков, возникающих вследствие использования ИТ, различны в зависимости от характера и характеристик выявленных ИТ-приложений и других аспектов ИТ-среды. Применимые ИТ-риски могут возникать в тех случаях, когда организация привлекает внешних или внутренних поставщиков услуг для поддержки выявленных аспектов своей ИТ-среды (например, передает на аутсорсинг третьей стороне хостинг своей ИТ-среды или использует общий центр обслуживания для централизованного управления ИТ-процессами в группе). Применимые риски, возникающие вследствие использования ИТ, также могут быть выявлены в части кибербезопасности. Скорее всего, при использовании ИТ возникает больше рисков в тех случаях, когда объем автоматизированных прикладных средств контроля больше или уровень их сложности выше и руководство в большей степени полагается на эти средства контроля для эффективной обработки операций или эффективного обеспечения целостности базовой информации.
Оценка структуры и определение внедрения выявленных средств контроля в компоненте контрольных процедур (см. пункт 26(d))
А175. Оценка структуры выявленного средства контроля включает рассмотрение аудитором вопроса о том, способно ли средство контроля в отдельности или в сочетании с другими средствами контроля эффективно предотвратить либо обнаружить и исправить существенные искажения (то есть цель контроля).
А176. Аудитор определяет, что выявленное средство контроля внедрено, если устанавливает, что данное средство контроля имеется в наличии и что организация его применяет. Едва ли аудитору целесообразно оценивать внедрение средства контроля, если оно разработано неэффективно. Следовательно, аудитор сначала оценивает структуру средства контроля. Разработанное ненадлежащим образом средство контроля может представлять собой недостаток средства контроля.
А177. Процедуры оценки рисков, направленные на получение аудиторских доказательств в отношении структуры и внедрения выявленных средств контроля в компоненте контрольных процедур, могут включать следующее:
направление запросов сотрудникам организации;
наблюдение за применением конкретных средств контроля;
инспектирование документов и отчетов.
Однако одних только запросов недостаточно для достижения указанных целей.
А178. Аудитор может предположить, основываясь на опыте проведения предыдущего аудита или на результатах процедур оценки рисков в текущем периоде, что руководство не обеспечило эффективную разработку и не внедрило средства контроля, предназначенные для снижения значительного риска. В таких случаях выполненные процедуры в части требования, содержащегося в пункте 26(d), могут состоять в определении того, что данные средства контроля не были эффективно разработаны или внедрены. Если результаты процедур указывают на то, что средства контроля были разработаны или внедрены недавно, аудитор обязан выполнить процедуры, указанные в пунктах 26(b) - (d), в отношении только что разработанных или внедренных средств контроля.
А179.
Аудитор может прийти к выводу о том, что тестирование средства контроля, которое эффективно разработано и внедрено, вероятно, будет необходимо для того, чтобы учесть его операционную эффективность при разработке процедур проверки по существу. Однако, если средство контроля не разработано или не внедрено эффективно, его тестирование нецелесообразно. Если аудитор планирует тестировать средство контроля, полученные данные о том, насколько средство контроля снижает риск (риски) существенного искажения, представляют собой исходные данные для оценки аудитором риска средств контроля на уровне предпосылок.
А180. Оценки структуры и определения внедрения выявленных средств контроля в компоненте контрольных процедур недостаточно для тестирования их операционной эффективности. Однако для автоматизированных средств контроля аудитор может запланировать тестирование их операционной эффективности посредством выявления и тестирования общих средств ИТ-контроля, которые обеспечивают последовательное функционирование автоматизированного средства контроля, вместо выполнения тестирования операционной эффективности непосредственно автоматизированных средств контроля. Получение аудиторских доказательств в отношении внедрения в определенный момент времени средства контроля, применяемого вручную, не является аудиторским доказательством операционной эффективности средства контроля в другие моменты в течение периода, в отношении которого проводится аудит. Более детальная информация о тестах операционной эффективности средств контроля, включая тесты косвенных средств контроля, содержится в МСА 330.45.
______________________________
45 МСА 330, пункты 8 - 11.
А181. Если аудитор не планирует тестировать операционную эффективность выявленных средств контроля, их понимание, тем не менее, может помочь ему при разработке характера, сроков и объема аудиторских процедур проверки по существу, которые выполняются в ответ на соответствующие риски существенного искажения.
Пример
Результаты данных процедур оценки рисков могут лечь в основу рассмотрения аудитором возможных отклонений в совокупности при формировании аудиторской выборки.
Недостатки средств контроля в системе внутреннего контроля организации (см. пункт 27)
А182. При выполнении оценки каждого компонента системы внутреннего контроля организации46 аудитор может определить, что отдельные положения политики организации в компоненте являются ненадлежащими с учетом характера и обстоятельств организации. Такое заключение может служить признаком, который помогает аудитору в выявлении недостатков системы контроля. Если аудитор выявил один или более недостатков системы контроля, он может рассмотреть их влияние на разработку дальнейших аудиторских процедур, в соответствии с МСА 330.
А183. Если аудитор выявил один или более недостаток системы контроля, в соответствии с МСА 265.47 требуется, чтобы он определил, представляют ли собой недостатки, как каждый в отдельности, так и в сочетании с другими, значительный недостаток.
Для того чтобы определить, является ли недостаток средств контроля значительным недостатком, аудитор применяет профессиональное суждение48.
______________________________
46 Пункты 21(b), 22(b), 24(c), 25(c) и 26(d).
47 МСА 265 "Информирование лиц, отвечающих за корпоративное управление, и руководства о недостатках в системе внутреннего контроля", пункт 8.
48 В МСА 265 в пунктах А6-А7 установлены признаки значительных недостатков и вопросы, которые необходимо рассмотреть для определения, является ли недостаток или сочетание недостатков системы внутреннего контроля значительным недостатком.
Примеры
Обстоятельства, которые могут указывать на наличие значительного недостатка средств контроля, включают такие вопросы, как:
выявление недобросовестных действий любого масштаба с участием высшего руководства;
выявление внутренних процессов, которые являются недостаточно эффективными в отношении подготовки отчетности и информирования о недостатках, отмеченных внутренними аудиторами;
недостатки, о которых сообщалось ранее и которые не были своевременно устранены руководством;
неспособность руководства принять надлежащие меры в ответ на значительные риски, например неспособность внедрить средства контроля в отношении значительных рисков;
пересчет ранее выпущенной финансовой отчетности.
Выявление и оценка рисков существенного искажения (см. пункты 28-37)
Почему аудитор выявляет и оценивает риски существенного искажения
А184. Аудитор выявляет и оценивает риски существенного искажения для определения характера, сроков проведения и объема дальнейших аудиторских процедур, которые необходимы для получения достаточных надлежащих аудиторских доказательств. Эти доказательства позволяют аудитору выразить мнение о финансовой отчетности при приемлемо низком уровне аудиторского риска.
А185. Информация, собранная при выполнении процедур оценки рисков, используется в качестве аудиторских доказательств с целью обеспечения основы для выявления и оценки рисков существенного искажения. Например, аудиторские доказательства, полученные при оценке структуры выявленных средств контроля и определении того, были ли данные средства контроля внедрены в компоненте контрольных процедур, используются в качестве аудиторских доказательств для подтверждения оценки рисков. Кроме того, данные доказательства обеспечивают основу для разработки аудитором аудиторских процедур общего характера в ответ на оцененные риски существенного искажения на уровне финансовой отчетности, а также для разработки и выполнения дальнейших аудиторских процедур, которые по своему характеру, срокам и объемам представляют собой процедуры в ответ на оцененные риски существенного искажения на уровне предпосылок, согласно МСА 330.
Выявление рисков существенного искажения (см. пункт 28)
A186. Выявление рисков существенного искажения осуществляется до рассмотрения каких-либо связанных средств контроля (например, неотъемлемого риска) и основывается на предварительном рассмотрении аудитором искажений, у которых есть обоснованная возможность как реализоваться, так и оказаться существенными, если они реализуются49.
______________________________
49 МСА 200, пункт А15а.
А187. Кроме того, выявление рисков существенного искажения обеспечивает основу для определения аудитором соответствующих предпосылок составления финансовой отчетности, что облегчает аудитору задачу определения значительных видов операций, остатков по счетам и раскрытия информации.
Предпосылки составления финансовой отчетности
Почему аудитор использует предпосылки составления финансовой отчетности
А188. При выявлении и оценке рисков существенного искажения аудитор использует предпосылки составления финансовой отчетности для рассмотрения разных видов искажений, которые гипотетически могут иметься. Предпосылки, для которых аудитор выявил соответствующие риски существенного искажения, являются соответствующими предпосылками составления финансовой отчетности.
Использование предпосылок составления финансовой отчетности
А189.
При выявлении и оценке рисков существенного искажения аудитор может использовать категории предпосылок, описанные в пунктах А190(а)-(b) ниже, или сформулировать их другим способом при условии, что все описанные ниже аспекты охвачены. Аудитор может принять решение использовать сочетание предпосылок в отношении видов операций и событий и соответствующего раскрытия информации с предпосылками в отношении остатков по счетам и соответствующего раскрытия информации.
А190. Предпосылки, используемые аудитором при рассмотрении разных видов искажений, которые гипотетически могут иметься, подразделяются на следующие категории:
(a) предпосылки в отношении видов операций и событий, а также соответствующего раскрытия информации за аудируемый период:
(i) наличие - операции и события, отраженные в учете и раскрытые в отчетности, имели место, и данные операции и события имеют отношение к организации;
(ii) полнота - все операции и события, которые должны быть учтены, были учтены, и всё соответствующее раскрытие информации, которое должно быть включено в финансовую отчетность, включено;
(iii) точность - суммы и прочие данные, касающиеся учтенных операций и событий, отражены надлежащим образом, и соответствующее раскрытие информации правильно оценено и описано;
(iv) своевременность признания - операции и события отражены в надлежащем отчетном периоде;
(v) классификация - операции и события отражены на надлежащих счетах;
(vi) представление - операции и события должным образом сгруппированы или разгруппированы и ясно описаны, а соответствующее раскрытие информации является надлежащим и понятным в контексте требований применимой концепции подготовки финансовой отчетности;
(b) предпосылки в отношении остатков по счетам и соответствующего раскрытия информации на конец периода:
(i) существование - активы, обязательства и доли участия в капитале действительно существуют;
(ii) права и обязанности - организация владеет правами на активы или контролирует их, а обязательства представляют собой законные обязательства организации;
(iii) полнота - все активы, обязательства и доли участия в капитале, которые необходимо было учесть, учтены, и всё соответствующее раскрытие информации, которое должно быть включено в финансовую отчетность, включено;
(iv) точность, оценка и распределение - активы, обязательства и доли участия в капитале включены в финансовую отчетность в соответствующих суммах, надлежащим образом отражены все соответствующие корректировки в связи с оценкой и распределением, и правильно оценено или описано соответствующее раскрытие информации;
(v) классификация - активы, обязательства и доли участия в капитале отражены на соответствующих счетах;
(vi) представление - активы, обязательства и доли участия в капитале должным образом сгруппированы или разгруппированы и ясно описаны, и связанное раскрытие информации является уместным и понятным в контексте требований применимой концепции подготовки финансовой отчетности.
А191. Примененные надлежащим образом предпосылки, описанные в пунктах А190(а)-(b) выше, могут также быть использованы аудитором при рассмотрении различных видов искажений, которые гипотетически могут иметься в раскрытии информации, не относящемся напрямую к отраженным видам операций, событиям или остаткам по счетам.
Пример
Примером такого раскрытия информации может быть ситуация, когда в соответствии с применимой концепцией подготовки финансовой отчетности от организации может потребоваться описание ее подверженности рискам, возникающим по финансовым инструментам, в том числе описание того, как данные риски возникают, описание целей, политики и процессов управления рисками, а также методов, используемых для оценки рисков.
Особенности организаций государственного сектора
А192. При формулировании предпосылок составления финансовой отчетности в организациях государственного сектора в дополнение к предпосылкам, указанным в пунктах А190(а)-(b), руководство может нередко исходить из того, что операции и события соответствовали требованиям, установленным законом, нормативным актом или иным регламентирующим документом. Данные предпосылки могут включаться в объем аудита финансовой отчетности.
Риски существенного искажения на уровне финансовой отчетности (см. пункты 28(a) и 30)
Почему аудитор выявляет и оценивает риски существенного искажения на уровне финансовой отчетности
А193. Аудитор выявляет риски существенного искажения на уровне финансовой отчетности, чтобы определить, оказывают ли риски всеобъемлющее влияние на финансовую отчетность, а следовательно, потребуют ли они принятия ответных мер общего характера в соответствии с МСА 330.50.
______________________________
50 МСА 330, пункт 5.
А194. Кроме того, риски существенного искажения на уровне финансовой отчетности могут повлиять на отдельные предпосылки и выявление данных рисков может облегчить аудитору задачу оценки рисков существенного искажения на уровне предпосылок и задачу разработки дальнейших аудиторских процедур для снижения выявленных рисков.
Выявление и оценка рисков существенного искажения на уровне финансовой отчетности
А195. Риски существенного искажения на уровне финансовой отчетности относятся к рискам, которые всеобъемлющим образом распространяются на финансовую отчетность в целом и потенциально затрагивают целый ряд предпосылок. Риски такого характера не обязательно являются рисками, которые можно выявить по определенным предпосылкам на уровне вида операций, остатка по счету или раскрытия информации (например, риск обхода средств контроля руководством). Они, вероятнее всего, отражают обстоятельства, которые могут увеличивать риски существенного искажения на уровне предпосылок, и такое увеличение носит всеобъемлющий характер. Оценка аудитором того, носит ли влияние выявленных рисков на финансовую отчетность всеобъемлющий характер, подтверждает оценку аудитором рисков существенного искажения на уровне финансовой отчетности. В других случаях также может быть выявлен ряд предпосылок, которые подвержены риску, а следовательно, могут повлиять на выявление и оценку аудитором рисков существенного искажения на уровне предпосылок.
Пример
Организация сталкивается с операционными убытками и проблемами с ликвидностью, полагаясь на финансирование, которое еще не было обеспечено. С учетом таких обстоятельств аудитор может установить, что в результате использования допущения о непрерывности деятельности возникает риск существенного искажения на уровне финансовой отчетности. В этой ситуации, возможно, требуется применить принципы бухгалтерского учета с учетом перспективы ликвидации, что, скорее всего, окажет всеобъемлющее влияние на все предпосылки составления финансовой отчетности.
А196.
На выявление и оценку аудитором рисков существенного искажения на уровне финансовой отчетности влияет понимание аудитором системы внутреннего контроля организации, особенно понимание аудитором контрольной среды, процесса оценки рисков в организации и внедренного в ней процесса мониторинга системы внутреннего контроля, а также:
результаты соответствующей оценки, требуемой в соответствии с пунктами 21(b), 22(b), 24(c) и 25(c);
любые недостатки системы контроля, выявленные в соответствии с пунктом 27.
В частности, риски на уровне финансовой отчетности могут возникать в связи с недостатками в контрольной среде или в связи с внешними событиями или условиями, такими как ухудшение экономической ситуации.
А197. Риски существенного искажения вследствие недобросовестных действий могут иметь особое значение при рассмотрении аудитором рисков существенного искажения на уровне финансовой отчетности.
Пример
Аудитор получил понимание по результатам опроса руководства, что финансовая отчетность организации будет использоваться при проведении обсуждений с кредиторами для обеспечения дальнейшего финансирования с целью поддержания определенного уровня оборотного капитала. Следовательно, аудитор может установить, что имеется повышенный уровень подверженности искажению в результате действия факторов риска недобросовестных действий, которые оказывают влияние на неотъемлемый риск (то есть подверженности финансовой отчетности существенному искажению в связи с риском недобросовестного составления финансовой отчетности, например завышения стоимости активов и выручки и занижения обязательств и расходов для того, чтобы обеспечить получение финансирования).
А198. Понимание, включая соответствующую оценку, аудитором контрольной среды и других компонентов системы внутреннего контроля может вызвать у него сомнение относительно возможности получить аудиторские доказательства, на основании которых он может сформировать аудиторское мнение, или стать причиной отказа от выполнения задания в случаях, если это возможно в соответствии с применимыми законами или нормативными актами.
Примеры
В результате оценки контрольной среды организации у аудитора возникла обеспокоенность в отношении честности руководства организации, которая может носить столь серьезный характер, что аудитор может прийти к выводу о том, что риск умышленного представления руководством неверных данных в финансовой отчетности настолько высок, что проведение аудита невозможно.
В результате оценки информационной системы и информационного взаимодействия в организации аудитор установил, что управление значительными изменениями в ИТ-среде было неэффективным, так как руководство и лица, отвечающие за корпоративное управление, почти не осуществляли надзор за этими изменениями. Аудитор приходит к выводу о том, что имеется значительная обеспокоенность в отношении состояния и надежности данных бухгалтерского учета организации. С учетом данных обстоятельств аудитор может установить, что существует низкая вероятность того, что будут получены достаточные надлежащие аудиторские доказательства для подтверждения немодифицированного мнения о финансовой отчетности.
А199. В МСА 705 (пересмотренном)51 устанавливаются требования и предоставляются рекомендации, касающиеся определения необходимости выразить мнение с оговоркой, или отказаться от выражения мнения, или (что может требоваться в некоторых случаях) отказаться от выполнения задания, если это разрешено применимыми законами или нормативными актами.
______________________________
51 МСА 705 (пересмотренный) "Модифицированное мнение в аудиторском заключении".
Особенности организаций государственного сектора
А200. Для организаций государственного сектора выявление рисков на уровне финансовой отчетности может включать рассмотрение вопросов, связанных с их подверженностью рискам в связи с политическим климатом, общественными интересами или государственной программой.
Риски существенного искажения на уровне предпосылок (см. пункт 28(b))
В Примечании 2 приведены примеры (в контексте факторов неотъемлемого риска) событий или условий, способных указывать на подверженность искажению, которое может оказаться существенным.
А201. Риски существенного искажения, которые не носят всеобъемлющий характер для финансовой отчетности, являются рисками существенного искажения на уровне предпосылок.
Соответствующие предпосылки составления финансовой отчетности и значительные виды операций, остатки по счетам и раскрытие информации (см. пункт 29)
Почему необходимо определять соответствующие предпосылки составления финансовой отчетности и значительные виды операций, остатки по счетам и раскрытие информации
А202. Определение соответствующих предпосылок составления финансовой отчетности и значительных видов операций, остатков по счетам и раскрытия информации обеспечивает основу для определения объема, в котором аудитору необходимо получить понимание информационной системы организации в соответствии с пунктом 25(a). Такое понимание может в дальнейшем помочь аудитору выявить и оценить риски существенного искажения (см. пункт А86).
Автоматизированные инструменты и методы
А203. Аудитор может применять автоматизированные методы, которые облегчают выявление значительных видов операций, остатков по счетам и раскрытия информации.
Примеры
Всю совокупность операций можно проанализировать с использованием автоматизированных инструментов и методов, чтобы понять характер, источник, сумму и объем операций. Например, благодаря применению автоматизированных методов аудитор может выявить, что по счету с нулевым остатком на конец периода было проведено большое количество операций по взаимозачету в течение периода, что указывает на то, что остаток по счету или вид операций могут быть значительными (например, по счету расчета заработной платы). Тот же самый счет расчета заработной платы может также выявить компенсацию расходов руководству (и прочим сотрудникам), что может представлять собой раскрытие значимой информации, так как данные выплаты произведены в пользу связанных сторон.
С помощью анализа потоков всей совокупности операций по признанию выручки аудитор может легче выявить значительный вид операций, который не был выявлен ранее.
Раскрытие информации, которая может оказаться значимой
А204. Раскрытие значимой информации может включать раскрытие информации как количественного, так и качественного характера, к которой могут относиться одна или несколько соответствующих предпосылок. Примеры раскрытия информации, которая имеет качественные аспекты и к которой могут относиться соответствующие предпосылки, а следовательно, которая может рассматриваться аудитором как значимая, включают раскрытие информации в отношении следующих вопросов:
ликвидности и ограничительных условий кредитных договоров организации, которая находится в тяжелом финансовом положении;
событий и обстоятельств, которые привели к признанию убытка от обесценения;
ключевых источников неопределенности оценки, включая допущения относительно будущих событий;
характера изменения учетной политики и прочей соответствующей информации, раскрытие которой требуется в соответствии с применимой концепцией подготовки финансовой отчетности, например, если предполагается, что новые требования к подготовке финансовой отчетности окажут значительное влияние на финансовое положение и финансовые результаты организации;
соглашений о выплатах на основе акций, включая информацию о том, как были рассчитаны те или иные суммы, признанные в бухгалтерском учете, и прочее соответствующее раскрытие информации;
связанных сторон и операций со связанными сторонами;
анализа чувствительности, включая влияние изменений в допущениях, используемых организацией в моделях оценки, направленных на удовлетворение интересов пользователей в понимании неопределенности, связанной с оценками сумм, отраженных или раскрытых в отчетности.
Оценка рисков существенного искажения на уровне предпосылок
Оценка неотъемлемого риска (см. пункты 31-33)
Оценка вероятности и величины искажения (см. пункт 31)
Почему аудитор оценивает вероятность и величину искажения
А205. Аудитор оценивает вероятность и величину искажения по выявленным рискам существенного искажения, так как от того, насколько значимым будет сочетание вероятности наличия искажения и величины потенциального искажения, если искажение будет иметь место, зависит, где в диапазоне значений неотъемлемого риска будет находиться оцененный выявленный риск, в результате чего аудитор получит необходимую информацию для разработки дальнейших аудиторских процедур в ответ на риск.
А206. Кроме того, оценка неотъемлемого риска существенного искажения помогает аудитору определить значительные риски. Аудитор определяет значительные риски, потому что согласно требованиям МСА 330 и других МСА аудитор должен разработать конкретные процедуры в ответ на значительные риски.
А207. Факторы неотъемлемого риска влияют на оценку аудитором вероятности и величины искажения по выявленным рискам существенного искажения на уровне предпосылок. Чем больше вид операций, остаток по счету или раскрытие информации подвержены риску существенного искажения, тем, вероятно, выше будет оценка неотъемлемого риска. Рассмотрение вопроса о том, в какой степени факторы неотъемлемого риска влияют на подверженность предпосылки искажению, помогает аудитору надлежащим образом оценить неотъемлемый риск в части рисков существенного искажения на уровне предпосылок и более точно разработать процедуры в ответ на такой риск.
Диапазон значений неотъемлемого риска
А208. При оценке неотъемлемого риска аудитор применяет профессиональное суждение для определения значимости сочетания вероятности и величины искажения.
А209. Оцененный неотъемлемый риск, относящийся к конкретному риску существенного искажения на уровне предпосылок, представляет собой профессиональное суждение в рамках диапазона значений неотъемлемого риска - от более низкого значения к более высокому. Суждение в отношении того, где в диапазоне значений неотъемлемого риска находится оцененный риск, может разниться в зависимости от характера, размера и сложности деятельности организации. При этом учитывается оценка вероятности и величины искажения, а также факторы неотъемлемого риска.
А210. При оценке вероятности искажения аудитор оценивает вероятность того, что искажение имеется, исходя из факторов неотъемлемого риска.
А211.
При оценке величины искажения аудитор рассматривает качественные и количественные аспекты возможного искажения (то есть искажения в предпосылках, касающихся видов операций, остатков по счетам и раскрытия информации, можно оценить как существенные из-за их суммы, характера или конкретных обстоятельств).
А212. Для того чтобы установить, где в диапазоне значений неотъемлемого риска будет находиться неотъемлемый риск, аудитор учитывает, насколько значимым является сочетание вероятности и величины возможного искажения. Чем значительнее сочетание вероятности и величины, тем выше оценка неотъемлемого риска; чем незначительнее сочетание вероятности и величины, тем ниже оценка неотъемлемого риска.
А213. Для того чтобы оценка неотъемлемого риска была ближе к верхнему значению диапазона, необязательно, чтобы и величина, и вероятность были оценены как высокие. Скорее, для того чтобы установить, находится ли оцененный неотъемлемый риск выше или ниже в диапазоне значений неотъемлемого риска, определяется расположение точки пересечения величины и вероятности существенного искажения в диапазоне неотъемлемого риска. Повышенная оценка неотъемлемого риска может возникать и вследствие различных сочетаний вероятности и величины, например, повышенная оценка неотъемлемого риска может быть получена при более низкой вероятности и очень высокой величине.
А214. Для разработки надлежащих стратегий действий в ответ на риски существенного искажения аудитор может распределить риски существенного искажения по категориям в рамках диапазона неотъемлемого риска на основе оценки неотъемлемого риска. Эти категории могут быть описаны по-разному. Вне зависимости от используемого метода разделения на категории оценка аудитором неотъемлемого риска является надлежащей, если разработка и внедрение дальнейших аудиторских процедур для снижения выявленных рисков существенного искажения на уровне предпосылок надлежащим образом учитывает оценку неотъемлемого риска и причины, по которым данная оценка проводится.
Всеобъемлющие риски существенного искажения на уровне предпосылок (см. пункт 31(b))
А215. При оценке выявленных рисков существенного искажения на уровне предпосылок аудитор может сделать вывод о том, что некоторые риски существенного искажения носят более всеобъемлющий характер для финансовой отчетности в целом и потенциально оказывают влияние на многие предпосылки. В таком случае аудитор может уточнить идентификацию рисков существенного искажения на уровне финансовой отчетности.
А216. В тех случаях, когда риски существенного искажения выявлены как риски на уровне финансовой отчетности в связи с их всеобъемлющим влиянием на целый ряд предпосылок и эти риски выявляются по конкретным предпосылкам, аудитору необходимо принять во внимание данные риски при оценке неотъемлемого риска в отношении рисков существенного искажения на уровне предпосылок.
Особенности организаций государственного сектора
А217. При применении профессионального суждения в отношении оценки риска существенного искажения аудиторы организаций государственного сектора могут рассмотреть степень сложности нормативных актов и директив, а также риски несоблюдения требований уполномоченных органов.
Значительные риски (см. пункт 32)
Для чего определять значительные риски и каково их влияние на аудит
А218. Определение значительных рисков позволяет аудитору уделить больше внимания тем рискам, которые расположены в верхней части диапазона значений неотъемлемого риска, с помощью выполнения определенных необходимых ответных действий, включая указанные ниже:
Средства контроля, предназначенные для снижения значительных рисков, должны быть выявлены в соответствии с требованиями пункта 26(a)(i), а оценку эффективной разработки и внедрения средства контроля требуется провести в соответствии с пунктом 26(d).
Согласно требованиям МСА 330 средства контроля, предназначенные для снижения значительных рисков, необходимо протестировать в текущем периоде (если аудитор планирует полагаться на операционную эффективность данных средств контроля), а также необходимо запланировать и выполнить процедуры проверки по существу непосредственно в ответ на выявленный значительный риск52.
Согласно требованиям МСА 330, чем выше аудитор оценивает риск, тем более убедительные аудиторские доказательства он должен получить53.
Согласно требованиям МСА 260 (пересмотренного) аудитор должен информировать лиц, отвечающих за корпоративное управление, о выявленных им значительных рисках54.
В соответствии с МСА 701 аудитор обязан учитывать значительные риски при определении вопросов, требующих его значительного внимания, которые могут оказаться ключевыми вопросами аудита55.
Своевременная проверка аудиторской документации руководителем задания на соответствующих этапах аудита позволяет своевременно разрешать значимые вопросы, в том числе вопросы значительных рисков, давая возможность руководителю задания убедиться в этом не позднее даты аудиторского заключения56.
В соответствии с МСА 600, если значительный риск относится к компоненту при аудите группы, требуется большее участие руководителя задания группы, а команда аудитора группы должна направлять работу, которую должен выполнить аудитор компонента на уровне компонента57.
______________________________
52 МСА 330, пункты 15 и 21.
53 МСА 330, пункт 7(b).
54 МСА 260 (пересмотренный), пункт 15.
55 МСА 701 "Информирование о ключевых вопросах аудита в аудиторском заключении", пункт 9.
56 МСА 220, пункты 17 и А19.
57 МСА 600, пункты 30 и 31.
Определение значительных рисков
А219. При определении значительных рисков аудитор может сначала выявить те риски существенного искажения, которые были оценены как повышенные в диапазоне значений неотъемлемого риска, чтобы понять, какие из них могут оказаться ближе к верхней границе диапазона. Расположение ближе к верхней границе диапазона неотъемлемого риска у разных организаций будет разным и не всегда будет совпадать у одной организации в разные периоды. Оно может зависеть от характера и обстоятельств организации, для которой проводится оценка риска.
А220. Определение того, какие из оцененных рисков существенного искажения расположены близко к верхней границе диапазона значений неотъемлемого риска, а следовательно, относятся к значительным рискам, является предметом профессионального суждения, за исключением случаев, когда риск относится к определенному виду, который необходимо рассматривать как значительный риск, в соответствии с требованиями другого МСА. В МСА 240 содержатся дополнительные требования и рекомендации относительно выявления и оценки рисков существенного искажения вследствие недобросовестных действий58.
______________________________
58 МСА 240, пункты 26-28.
Пример
Как правило, в отношении денежных средств в организации розничной торговли - супермаркете устанавливается высокая вероятность потенциального искажения (что связано с риском незаконного присвоения денежных средств), однако его величина обычно очень незначительна (что связано с малым объемом денежных средств, физически поступающих в такие магазины).
Сочетание данных двух факторов в диапазоне значений неотъемлемого риска, скорее всего, не приведет к тому, что существование денежных средств будет определено как значительный риск.
Организация проводит переговоры о продаже бизнес-сегмента. Аудитор рассматривает влияние на обесценение гудвила и может установить, что существует более высокая вероятность и большая величина потенциального искажения вследствие влияния таких факторов неотъемлемого риска, как субъективность, неопределенность и подверженность риску предвзятости руководства, а также других факторов риска недобросовестных действий. В результате обесценение гудвила может быть оценено как значительный риск.
А221. Кроме того, при оценке неотъемлемого риска аудитор принимает во внимание относительное влияние факторов неотъемлемого риска. Чем ниже уровень влияния факторов неотъемлемого риска, тем, вероятно, ниже будет величина оцененного риска. Риски существенного искажения, которые могут быть оценены как риски с более высоким значением неотъемлемого риска, а следовательно, могут быть отнесены к категории значительных рисков, могут возникать в результате следующих причин:
операции, которые могут учитываются с использованием разных методов, а следовательно, учет которых связан с субъективными оценками;
оценочные значения, которые имеют высокую степень неопределенности оценки или для определения которых используются сложные модели расчета;
трудности, связанные со сбором и обработкой данных для подтверждения остатков по счетам;
остатки по счетам или раскрытие количественной информации, подразумевающие сложные расчеты;
принципы бухгалтерского учета, которые могут быть истолкованы по-разному;
изменения в деятельности организации, подразумевающие изменения в порядке бухгалтерского учета, например слияния и поглощения.
Риски, по которым процедуры проверки по существу в отдельности не обеспечивают достаточные надлежащие аудиторские доказательства (см. пункт 33)
Почему необходимо выявлять риски, по которым сами по себе процедуры проверки по существу не обеспечивают достаточные надлежащие аудиторские доказательства
А222. В связи с характером риска существенного искажения и контрольных процедур в отношении данного риска в некоторых ситуациях единственным способом получения достаточных надлежащих аудиторских доказательств является тестирование операционной эффективности средств контроля. Следовательно, аудитору необходимо выявить все риски такого рода в связи с их влиянием на разработку и выполнение дальнейших аудиторских процедур в соответствии с МСА 330 для снижения рисков существенного искажения на уровне предпосылок.
А223. Кроме того, в соответствии с пунктом 26(a)(iii) требуется выявить средства контроля, предназначенные для снижения рисков, для которых выполнение одних только процедур проверки по существу не может обеспечить достаточные надлежащие аудиторские доказательства, так как в соответствии с МСА 330.59 аудитор обязан разработать и выполнить тестирование данных средств контроля.
______________________________
59 МСА 330, пункт 8.
Определение рисков, для которых проведение одних только процедур проверки по существу не может обеспечить достаточные надлежащие аудиторские доказательства
А224 Если при проведении обычных видов операций допускается высокоавтоматизированная обработка с незначительным ручным вмешательством или без него, то не всегда бывает возможно выполнить одни только процедуры проверки по существу в отношении риска.
Такая ситуация может иметь место в том случае, если значительный объем информации организации инициируется, записывается, обрабатывается или обобщается только в электронной форме, например в информационной системе, предполагающей высокую степень интеграции всех ИТ-приложений. В таких случаях:
аудиторские доказательства могут быть доступны только в электронной форме, а их достаточность и надлежащий характер обычно зависят от эффективности средств контроля за их точностью и полнотой;
вероятность неправомерного инициирования или изменения информации и его необнаружения может оказаться выше, если соответствующие средства контроля неэффективны.
Пример
Как правило, невозможно получить достаточные надлежащие аудиторские доказательства в отношении выручки для организации сферы телекоммуникаций на основе одних только процедур проверки по существу. Это происходит потому, что доказательства совершения звонков или передачи данных не существуют в наблюдаемой форме. Вместо этого, как правило, выполняется тестирование средств контроля в значительном объеме, чтобы установить, что информация о вызове и его прекращении, а также о передаче данных правильно собрана (например, протоколы звонков или объем загрузки) и корректно отражена в системе выставления счетов организации.
А225. В МСА 540 (пересмотренном) представлены дополнительные рекомендации, связанные с оценочными значениями в отношении рисков, для которых сами по себе процедуры проверки по существу не обеспечивают достаточные надлежащие аудиторские доказательства60. В части оценочных значений это может быть справедливо не только для автоматизированной обработки, а может применяться и к сложным моделям.
______________________________
60 МСА 540 (пересмотренный), пункты А87-А89.
Оценка риска средств контроля (см. пункт 34)
А226. При планировании тестирования операционной эффективности средств контроля аудитор исходит из того, что средства контроля работают эффективно и это предположение ляжет в основу оценки аудитором риска средств контроля. Первоначальное ожидание относительно операционной эффективности средств контроля основано на оценке аудитором структуры выявленных средств контроля в компоненте контрольных процедур и установлении факта их внедрения. После того как аудитор протестирует операционную эффективность средств контроля в соответствии с МСА 330, он сможет подтвердить свое первоначальное ожидание относительно операционной эффективности средств контроля. В том случае, если средства контроля не работают эффективно, как ожидалось, аудитору потребуется пересмотреть оценку риска средств контроля согласно пункту 37.
А227. Оценка аудитором риска средств контроля может быть выполнена разными способами в зависимости от его предпочтений в области методов или методологии проведения аудита и может быть выражена по-разному.
А228. Если аудитор планирует протестировать операционную эффективность средств контроля, ему может потребоваться тестирование комбинации средств контроля, чтобы подтвердить свое ожидание относительно того, что средства контроля работают эффективно. Аудитор может запланировать тестирование как прямых, так и косвенных средств контроля, включая общие средства ИТ-контроля, и в таком случае при оценке риска средств контроля принять во внимание ожидаемое совокупное влияние средств контроля. Если средство контроля, которое планируется протестировать, не в полной мере отвечает на оцененный неотъемлемый риск, аудитор устанавливает, какие последствия это имеет для разработки дальнейших аудиторских процедур с целью снижения аудиторского риска до приемлемо низкого уровня.
А229.
Если аудитор планирует протестировать операционную эффективность автоматизированного средства контроля, он может также запланировать тестирование операционной эффективности соответствующих общих средств ИТ-контроля, которые обеспечивают непрерывное функционирование данного автоматизированного средства контроля в ответ на риски, возникающие вследствие использования ИТ, и на этой основе сформировать свое ожидание в отношении того, что автоматизированное средство контроля работало эффективно на протяжении всего периода. Если, согласно ожиданиям аудитора, соответствующие общие средства ИТ-контроля неэффективны, установление данного факта может повлиять на оценку аудитором риска средств контроля на уровне предпосылок, и, возможно, в дальнейшие аудиторские процедуры аудитору потребуется включить процедуры проверки по существу, снижающие применимые риски, возникающие вследствие использования ИТ. Более детальные рекомендации в отношении процедур, которые может выполнить аудитор в данных обстоятельствах, приведены в МСА 330.61.
______________________________
61 МСА 330, пункты А29-А30.
Оценка аудиторских доказательств, полученных в результате выполнения процедур оценки рисков (см. пункт 35)
Почему аудитор проводит оценку аудиторских доказательств, полученных в результате выполнения процедур оценки рисков
А230. Аудиторские доказательства, полученные в результате выполнения процедур оценки рисков, обеспечивают основу для выявления и оценки рисков существенного искажения. На этой основе аудитор определяет характер, сроки и объем дальнейших аудиторских процедур в ответ на оцененные риски существенного искажения на уровне предпосылок, в соответствии с МСА 330. Таким образом, аудиторские доказательства, полученные в результате выполнения процедур оценки рисков, обеспечивают основу для выявления и оценки рисков существенного искажения вследствие недобросовестных действий или ошибок на уровне финансовой отчетности и на уровне предпосылок.
Оценка аудиторских доказательств
А231. Аудиторские доказательства, полученные в результате выполнения процедур оценки рисков, включают как информацию, которая подтверждает и подкрепляет предпосылки руководства, так и информацию, которая противоречит таким предпосылкам62.
______________________________
62 МСА 500, пункт А1.
63 МСА 320, пункт А1.
Профессиональный скептицизм
А232. При оценке аудиторских доказательств, полученных в результате выполнения процедур оценки рисков, аудитор учитывает, получил ли он достаточное понимание деятельности организации и ее окружения, применимой концепции подготовки финансовой отчетности и системы внутреннего контроля организации для возможности выявления рисков существенного искажения. Аудитор также оценивает, имеются ли какие-либо противоречивые доказательства, которые могут указывать на наличие риска существенного искажения.
Виды операций, остатки по счетам и раскрытие информации, которые не считаются значительными, но являются существенными (см. пункт 36)
А233. Как указано в МСА 32063, существенность и аудиторский риск рассматриваются при выявлении и оценке рисков существенного искажения по видам операций, остаткам по счетам и раскрытию информации. Определение существенности аудитором является предметом профессионального суждения и зависит от понимания аудитором того, какая финансовая информация требуется пользователям финансовой отчетности64.
Для целей данного МСА и пункта 18 МСА 330 виды операций, остатки по счетам или раскрытие информации являются существенными, если можно обоснованно предположить, что их пропуск, искажение или затруднение понимания информации по ним могут повлиять на экономические решения пользователей, принимаемые на основе финансовой отчетности в целом.
______________________________
64 МСА 320, пункт 4.
А234. Возможно наличие видов операций, остатков по счетам или раскрытия информации, которые являются существенными, хотя не были определены как значительные (то есть отсутствуют выявленные соответствующие предпосылки составления финансовой отчетности).
Пример
Организация может раскрыть в финансовой отчетности информацию о вознаграждении высшего руководства, в отношении которой аудитор не выявил риска существенного искажения. Однако аудитор может установить, что раскрытие данной информации является существенным с учетом аспектов, указанных в пункте А233.
А235. Аудиторские процедуры в отношении видов операций, остатков по счетам или раскрытия информации, которые являются существенными, хотя не было установлено, что они являются значительными, рассматриваются в МСА 330.65. Если было установлено, что какой-либо вид операций, остаток по счету или какое-либо раскрытие информации являются значительными в соответствии с требованиями пункта 29, то такой вид операций, остаток по счету или такое раскрытие информации являются также существенными для целей пункта 18 МСА 330.
______________________________
65 МСА 330, пункт 18.
Пересмотр оценки рисков (см. пункт 37)
А236. В ходе аудита аудитор может обратить внимание на новую или прочую информацию, которая значительно отличается от той информации, на основе которой проводилась оценка рисков.
Пример
Оценка рисков организации может основываться на ожидании эффективного функционирования определенных средств контроля. При выполнении тестирования этих средств контроля аудитор может получить аудиторские доказательства, свидетельствующие о том, что данные средства контроля не функционировали эффективно в соответствующие периоды в ходе аудита. Также при выполнении процедур проверки по существу аудитор может обнаружить искажения в суммах или периодичности, которые превышают значения, установленные им в результате оценки рисков. В таких случаях оценка риска может не отражать надлежащим образом реальные обстоятельства организации и дальнейшие запланированные аудиторские процедуры, возможно, не будут эффективными для обнаружения существенных искажений. В пунктах 16 и 17 МСА 330 представлены дальнейшие рекомендации в отношении оценки операционной эффективности средств контроля.
Документация (см. пункт 38)
А237. При повторном аудиторском задании определенную документацию можно переносить на следующие периоды и обновлять по мере необходимости для отражения изменений в деятельности и процессах организации.
А238. В МСА 230 отмечается, в частности, что может и не существовать единого способа документирования профессионального скептицизма, однако аудиторская документация может обеспечить доказательства проявления аудитором профессионального скептицизма66.
Например, если полученные в результате выполнения процедур оценки рисков аудиторские доказательства включают как доказательства, которые подтверждают предпосылки руководства, так и доказательства, которые противоречат им, документация может включать то, как аудитор оценивал эти доказательства, в том числе профессиональные суждения, примененные при оценке того, обеспечивают ли аудиторские доказательства надлежащую основу для выявления и оценки аудитором рисков существенного искажения. Примеры других требований настоящего МСА, для которых документация может дать доказательства проявления аудитором профессионального скептицизма:
______________________________
66 МСА 230, пункт А7.
пункт 13, согласно которому аудитор обязан разработать и выполнить процедуры оценки рисков таким образом, чтобы избежать предвзятости в отношении получения аудиторских доказательств, которые могут подтверждать существование рисков, или исключения аудиторских доказательств, которые могут отрицать наличие рисков;
пункт 17, согласно которому требуется обсуждение ключевыми членами аудиторской группы использования применимой концепции подготовки финансовой отчетности и подверженности финансовой отчетности организации риску существенного искажения;
пункты 19(b) и 20, согласно которым аудитор обязан получить понимание причин, вызвавших изменения в учетной политике организации, и оценить, является ли надлежащей учетная политика организации и соответствует ли она применимой концепции подготовки финансовой отчетности;
пункты 21(b), 22(b), 23(b), 24(c), 25(c), 26(d) и 27, согласно которым аудитор обязан на основе полученного необходимого понимания оценить, являются ли компоненты системы внутреннего контроля организации надлежащими с учетом обстоятельств организации, а также характера и степени сложности ее деятельности, и определить, были ли выявлены какие-либо недостатки системы контроля;
пункт 35, согласно которому аудитор обязан принимать во внимание все аудиторские доказательства, полученные в результате выполнения процедур оценки рисков, независимо от того, подтверждают ли они предпосылки руководства или противоречат им. Аудитор также обязан оценить, обеспечивают ли аудиторские доказательства, полученные в результате выполнения процедур оценки рисков, надлежащую основу для выявления и оценки рисков существенного искажения;
пункт 36, согласно которому аудитор обязан оценить, если применимо, остается ли актуальным его вывод об отсутствии рисков существенного искажения по какому-либо существенному виду операций, остатку по счету или раскрытию информации.
Масштабируемость
А239. Аудитор самостоятельно на основе профессионального суждения определяет порядок документального оформления информации в соответствии с требованиями пункта 38.
А240. Для подтверждения обоснования примененных суждений по сложным вопросам может потребоваться более детальная документация, которой будет достаточно для того, чтобы опытный аудитор, ранее не связанный с данным аудитом, мог понять характер, сроки и объем выполненных аудиторских процедур.
А241. При аудите менее сложных организаций документация может быть простой по форме и относительно краткой по содержанию. На форму и содержание аудиторской документации влияет характер, размер и уровень сложности организации и ее системы внутреннего контроля, доступность предоставляемой организацией информации, а также методология аудита и технологии, используемые в процессе проведения аудита. Нет необходимости документально оформлять в полном объеме понимание аудитором организации и связанных с ней вопросов. Ключевые элементы67 понимания, задокументированные аудитором, могут включать те элементы, на основе которых аудитор провел оценку рисков существенного искажения. Тем не менее аудитор не обязан документировать каждый фактор неотъемлемого риска, который был принят во внимание в ходе выявления и оценки рисков существенного искажения на уровне предпосылок.
______________________________
67 67 МСА 230, пункт 8.
Пример
При аудите менее сложных организаций аудиторская документация может быть включена в документальное оформление аудитором в виде общей стратегии и плана аудита68. Также, например, результаты оценки риска могут быть задокументированы отдельно или в рамках документального оформления аудитором дальнейших аудиторских процедур69.
______________________________
68 МСА 300 "Планирование аудита финансовой отчетности", пункты 7, 9 и A11.
69 МСА 330, пункт 28.
Приложение 1 (См. пункты А61-А67)
Вопросы для рассмотрения при получении понимания организации и ее бизнес-модели
В настоящем приложении объясняются цели и область применения бизнес-модели организации и приведены примеры вопросов, которые может рассмотреть аудитор при изучении деятельности организации, которую может охватывать бизнес-модель. Понимание аудитором бизнес-модели организации, а также понимание того, как на бизнес-модель влияют стратегия и цели бизнеса организации, может облегчить аудитору задачу выявления бизнес-рисков, которые могут оказывать воздействие на финансовую отчетность. Кроме того, такое понимание будет полезным аудитору при выявлении им рисков существенного искажения финансовой отчетности.
Цели и область применения бизнес-модели организации
1. Бизнес-модель организации описывает, как организация рассматривает, например, свою организационную структуру, деятельность или масштаб деятельности, направления деятельности (включая конкурентов и клиентов по ним), процессы, возможности расширения деятельности, глобализацию, нормативные требования и технологии. Бизнес-модель организации описывает, как организация создает, сохраняет и обеспечивает финансовые выгоды или ценность в более широком смысле для своих заинтересованных сторон.
2. Стратегии - это подходы, с использованием которых руководство планирует обеспечить достижение целей организации, в том числе планируемые подходы организации к рискам, с которыми она сталкивается, и возможностям, которые перед ней открываются. С течением времени руководство меняет стратегии с учетом изменения целей организации, а также внутренних и внешних условий, в которых организация осуществляет свою деятельность.
3. Как правило, описание бизнес-модели включает следующие позиции:
сфера деятельности организации и цели, с которыми она осуществляет данную деятельность;
структура организации и масштаб ее деятельности;
рынки сбыта или географическая либо демографическая сфера, а также элементы цепочки создания стоимости, в которых она работает, как осуществляется ее взаимодействие с участниками этих рынков или сфер (основные виды продукции, сегментация клиентов и методы сбыта) и на какой основе она ведет конкурентную борьбу;
бизнес-процессы и операционные процессы организации (например, процессы инвестиционной, финансовой и операционной деятельности), используемые при осуществлении ее деятельности, с акцентом на тех элементах бизнес-процессов, которые важны для создания и сохранения ценности и получения выгод;
ресурсы (например, финансовые, человеческие, интеллектуальные, экологические и технологические), а также другие факторы производства и взаимоотношения (например, клиенты, конкуренты, поставщики и работники), которые необходимы или важны для ведения успешной деятельности организацией;
то, как посредством ИТ-интерфейсов и использования других технологий в бизнес-модель организации интегрировано применение ИТ в рамках взаимодействия организации с клиентами, поставщиками, кредиторами и прочими заинтересованными сторонами.
4. Бизнес-риск может незамедлительно отразиться на риске существенного искажения для видов операций, остатков по счетам и раскрытия информации на уровне предпосылок или на уровне финансовой отчетности. Например, бизнес-риск, возникающий в результате значительного снижения рыночной стоимости недвижимости, может привести к повышению риска существенного искажения, связанного с предпосылками в отношении оценки, для кредитора, предоставляющего среднесрочные ипотечные кредиты. Однако тот же самый риск, особенно в сочетании с серьезным экономическим спадом, который одновременно повышает соответствующий риск кредитных убытков за весь срок по его кредитам, может иметь последствия и в долгосрочной перспективе. В результате чистая подверженность риску кредитных убытков может поставить под сомнение возможность организации продолжать непрерывно свою деятельность. В таком случае эти факторы будут иметь последствия для вывода руководства, а впоследствии - аудитора о правомерности применения допущения о непрерывности деятельности и для оценки наличия или отсутствия существенной неопределенности. Следовательно, вопрос о том, может ли бизнес-риск привести к риску существенного искажения финансовой отчетности, рассматривается с учетом конкретных обстоятельств в организации. Примеры событий и условий, которые могут приводить к рискам существенного искажения, представлены в Приложении 2.
Деятельность организации
5. Ниже приведены примерные вопросы, которые аудитор может рассмотреть при получении понимания деятельности организации (охватываемой бизнес-моделью).
(a) Коммерческая деятельность, например:
характер источников формирования выручки, продуктов и услуг, а также рынков, включая использование продаж через интернет и деятельность по продвижению товара на рынок;
способы ведения деятельности (например, стадии или методы производства или деятельность, подверженная рискам, связанным с охраной окружающей среды);
альянсы, совместные предприятия или передача выполнения определенных функций субподрядчикам;
географическое рассредоточение и отраслевая сегментация;
место нахождения производственных мощностей, складов и офисов, место нахождения и количество запасов;
основные клиенты и важные поставщики товаров и услуг, трудовые отношения (включая наличие коллективных договоров, пенсионных и прочих выплат после окончания трудовой деятельности, опционных программ или механизмов поощрительных вознаграждений, государственного регулирования вопросов трудоустройства);
деятельность и расходы на НИОКР;
значительные операции со связанными сторонами.
(b) Инвестиции и инвестиционная деятельность, например:
запланированные или недавно проведенные сделки приобретения или продажи;
инвестиции или продажа ценных бумаг и кредиты;
осуществление капитальных вложений.
инвестиции в неконсолидируемые организации, включая неконтролируемые партнерства, совместные предприятия и организации специального назначения.
(c) Финансирование и финансовая деятельность, например:
структура собственности крупных дочерних и ассоциированных организаций, включая консолидируемые и неконсолидируемые структуры;
структура задолженности и соответствующие условия, включая забалансовые схемы финансирования и арендные договоренности;
бенефициарные собственники (например, местные, зарубежные, деловая репутация и опыт) и связанные стороны;
использование производных финансовых инструментов.
Характер организаций специального назначения
6. Организация специального назначения - это организация, созданная, как правило, для конкретной, четко определенной цели, например для передачи в аренду или секьюритизации финансовых активов либо для проведения исследований и разработок. Такие организации могут быть созданы в форме корпорации, траста, товарищества или организации без образования юридического лица. Организация, в интересах которой была создана организации специального назначения, нередко может передавать последней активы (например, в рамках прекращения признания операции с финансовыми активами), получать право использования активов последней или оказывать услуги последней, при этом другие стороны могут обеспечивать финансирование последней. Как указано в МСА 550, в некоторых случаях организация специального назначения может быть связанной стороной организации70.
______________________________
70 МСА 550, пункт А7.
7. Концепции подготовки финансовой отчетности нередко предусматривают детальные условия, которые определяют наличие контроля, или обстоятельства, при которых необходимо рассмотреть вопрос о включении организации специального назначения в консолидированную финансовую отчетность. Толкование требований таких концепций часто предписывает тщательно изучать соответствующие соглашения, стороной которых выступает организация специального назначения.
Приложение 2 (см. пункты 12(f), 19(c), А7-А8, А85-А89)
Получение понимания в отношении факторов неотъемлемого риска
В данном приложении приводятся дополнительные разъяснения в отношении факторов неотъемлемого риска, а также сведений, которые аудитор может учитывать при изучении и применении факторов неотъемлемого риска в процессе выявления и оценки рисков существенного искажения на уровне предпосылок.
Факторы неотъемлемого риска
1. Факторы неотъемлемого риска - характеристики событий или условий, влияющих на подверженность предпосылки в отношении вида операций, остатка по счету или раскрытия информации искажению вследствие недобросовестных действий или ошибок, до рассмотрения средств контроля. Такие факторы могут иметь качественный или количественный характер и включать сложность, субъективность, изменчивость, неопределенность или подверженность искажению в силу предвзятости руководства или иных факторов риска недобросовестных действий71 в той части, в которой они влияют на неотъемлемый риск. При получении понимания организации и ее окружения, применимой концепции подготовки финансовой отчетности и учетной политики организации в соответствии с пунктами 19(а)-(b) аудитор также изучает, как факторы неотъемлемого риска влияют на подверженность предпосылок искажению при подготовке финансовой отчетности.
______________________________
71 МСА 240, пункты А24-А27.
2. Факторы неотъемлемого риска, относящиеся к подготовке информации, которая требуется применимой концепцией подготовки финансовой отчетности (именуемой в данном пункте "необходимая информация"), включают:
сложность, которая возникает в связи с характером сведений или процессом подготовки необходимой информации, в том числе в случаях, когда такие процессы подготовки могут быть связаны с неизбежными трудностями в их применении. Например, сложности могут возникать:
при расчете резервов под возвратные скидки поставщиков, так как при этом может быть необходимо учитывать разные коммерческие условия множества различных поставщиков или множество взаимосвязанных коммерческих условий, которые имеют значение для расчета выплачиваемых возвратных скидок, или
в том случае, когда имеется много потенциальных источников данных с разными характеристиками, используемых при расчете оценочных значений, и обработка таких данных включает много взаимосвязанных этапов, а следовательно, такие данные по определению сложнее идентифицировать, собрать, получить к ним доступ, а также понять их или обработать;
субъективность, которая возникает в результате неотъемлемых ограничений возможности объективной подготовки необходимой информации в силу ограниченности имеющихся знаний или сведений, которые могут потребоваться руководству для осуществления выбора или вынесения субъективного суждения в отношении применения надлежащего подхода и включения полученной информации в финансовую отчетность. В силу различий в подходах к подготовке необходимой информации надлежащее применение требований применимой концепции подготовки финансовой отчетности может привести к разным результатам. По мере повышения уровня ограниченности знаний или данных субъективность суждений, которые могут быть вынесены достаточно сведущими и независимыми лицами, а также расхождения между возможными результатами таких суждений также будут возрастать;
изменчивость, которая является результатом событий или условий, влияющих на деятельность организации или экономические, бухгалтерские, регуляторные, отраслевые или иные аспекты среды, в которой она осуществляет свою деятельность, когда последствия таких событий или условий отражаются в необходимой информации. Такие события или условия могут иметь место в течение отчетных периодов или в интервале между ними. Например, изменчивость может быть результатом обновления требований применимой концепции подготовки финансовой отчетности или изменений в организации и ее бизнес-модели, или в среде, в которой организация осуществляет свою деятельность. Такая изменчивость может повлиять на допущения и суждения руководства, в том числе в отношении того, как руководство выбирает учетную политику или рассчитывает оценочные значения, или определяет соответствующую информацию для раскрытия;
неопределенность возникает, когда необходимая информация не может быть подготовлена на основе одних только достаточно точных и исчерпывающих данных, которые можно подтвердить путем непосредственного наблюдения. В таких обстоятельствах может потребоваться подход с применением имеющихся знаний для подготовки информации на основе достаточно точных и исчерпывающих наблюдаемых данных, насколько это возможно, и разумных допущений, подтверждаемых наиболее уместными имеющимися данными, когда наблюдаемые данные отсутствуют. Ограниченность имеющихся знаний или данных, которая не контролируется руководством (при условии ограничений на затраты, если они предусмотрены), является источником неопределенности, и ее влияние на подготовку необходимой информации нельзя исключать. Например, неопределенность оценки возникает в случаях, когда необходимую сумму нельзя точно определить в денежном выражении и результат оценки остается неизвестным до даты окончательного составления финансовой отчетности;
подверженность искажению вследствие предвзятости руководства или иных факторов риска недобросовестных действий в той части, в которой они влияют на неотъемлемый риск - подверженность предвзятости руководства является результатом обстоятельств, которые обусловливают чувствительность к неспособности руководства сохранять объективность при подготовке информации, будь то умышленно или неумышленно. Предвзятость руководства во многих случаях связана с определенными обстоятельствами, которые потенциально могут стать причиной необъективности руководства при вынесении суждений (признаки возможной предвзятости руководства), что может привести к существенному искажению информации, которая являлась бы фиктивной в случае умышленных действий. Такие признаки включают побуждение или давление в той мере, в которой они влияют на неотъемлемый риск (например, в результате мотивации к достижению желательного результата, такого как плановая норма прибыли или коэффициент достаточности капитала), а также возможность не придерживаться объективности. Факторы, относящиеся к подверженности искажению вследствие недобросовестных действий в форме недобросовестного составления финансовой отчетности или неправомерного присвоения активов, указаны в пунктах А1-А5 МСА 240.
3. Когда сложность является фактором неотъемлемого риска, может возникать естественная необходимость использовать более сложные процессы при подготовке информации, и такие процессы могут быть связаны с неизбежными трудностями в их применении. Как следствие, их применение может потребовать специальных знаний или навыков и привлечения эксперта руководства.
4. Подверженность искажению вследствие предвзятости руководства, будь то умышленно или неумышленно, может также возрасти в случае, когда суждение руководства носит более субъективный характер. Например, в расчете оценочных значений, которые были определены как характеризующиеся высокой неопределенностью оценки, могут использоваться значимые суждения руководства, и выводы в отношении методов, данных и допущений могут отражать умышленную или неумышленную предвзятость руководства.
Примеры событий или условий, которые могут быть причиной наличия рисков существенного искажения
5. Ниже приводятся примеры событий (включая операции) и условий, которые могут свидетельствовать о наличии рисков существенного искажения в финансовой отчетности на уровне финансовой отчетности или на уровне предпосылок. Примеры, представленные по факторам неотъемлемого риска, охватывают широкий круг событий или условий, однако не все они применимы к каждому аудиторскому заданию, и перечень примеров необязательно является полным. События и условия были разделены на категории по факторам неотъемлемого риска, которые могут оказывать наибольшее влияние в конкретных обстоятельствах. Важно отметить, что в силу взаимосвязи факторов неотъемлемого риска события и условия в примерах также, по всей вероятности, будут зависеть от других факторов неотъемлемого риска или подвергаться их влиянию в той или иной степени.
Соответствующий фактор неотъемлемого риска Примеры событий или условий, которые могут свидетельствовать о наличии рисков существенного искажения на уровне предпосылок
Сложность Регулирование:
операции, которые являются объектом регулирования, отличающегося высоким уровнем сложности.
Бизнес-модель:
наличие сложных объединений и совместных предприятий.
Применимая концепция подготовки финансовой отчетности:
бухгалтерские оценки, требующие использования сложных процессов.
Операции:
использование забалансового финансирования, организаций специального назначения и других сложных финансовых механизмов.
Субъективность Применимая концепция подготовки финансовой отчетности:
широкий диапазон возможных критериев расчета оценочного значения. Например, признание руководством амортизации основных средств или доходов и расходов в отношении строительства;
выбор руководством метода или модели оценки для внеоборотного актива, такого как инвестиционная недвижимость.
Изменчивость Экономические условия:
операции в экономически нестабильных регионах, например в странах, экономика которых характеризуется высокой инфляцией и значительным обесценением валюты.
Рынки:
операции, осуществляемые на нестабильных рынках, например торговля фьючерсами.
Потеря клиентов:
вопросы непрерывности деятельности и ликвидности, включая потерю значительных клиентов.
Отраслевая модель:
изменения в отрасли, в которой организация осуществляет свою деятельность.
Бизнес-модель:
изменения в цепочке поставок;
разработка или предложение новых продуктов или услуг или открытие новых направлений бизнеса.
География:
расширение с охватом новых территорий.
Структура организации:
изменения в организации, такие как крупные приобретения, реорганизация или иные необычные события;
вероятность продажи организаций или бизнес-сегментов.
Компетентность кадровых ресурсов:
изменения в составе ключевого персонала, включая уход основных руководителей.
ИТ:
изменения в ИТ-среде;
внедрение новых крупных ИТ-систем, имеющих значение для составления финансовой отчетности.
Применимая концепция подготовки финансовой отчетности:
применение новых требований бухгалтерского учета.
Капитал:
новые ограничения в отношении наличия капитала и доступности кредита.
Регулирование:
начало расследования в отношении деятельности или финансовых результатов организации регулирующими или государственными органами;
влияние нового законодательства о защите окружающей среды.
Неопределенность Составление отчетности:
события или операции, связанные со значительной неопределенностью оценки, включая оценочные значения, и соответствующее раскрытие информации;
текущие судебные разбирательства и условные обязательства, например гарантии по продажам, финансовые гарантии и восстановление окружающей среды.
Подверженность искажению в результате предвзятости руководства или иных факторов риска недобросовестных действий в той части, в которой они влияют на неотъемлемый риск
Составление отчетности:
возможности участия руководства и сотрудников в недобросовестном составлении финансовой отчетности, включая пропуск или вуалирование значимой информации при раскрытии.
Операции:
значительные операции со связанными сторонами;
значительный объем нестандартных или случайных операций, включая внутрифирменные операции и крупные операции по признанию выручки в конце периода;
операции, отражаемые исходя из намерений руководства, например рефинансирование долга, активы, предназначенные для продажи, и классификация ценных бумаг, обращающихся на рынке.
Прочие события или условия, которые могут свидетельствовать о рисках существенного искажения на уровне финансовой отчетности:
недостаточное количество сотрудников, имеющих надлежащую квалификацию в области бухгалтерского учета и составления финансовой отчетности;
недостатки системы контроля, в частности в контрольной среде, в процессе оценки рисков и в процессе осуществления мониторинга, особенно те, в отношении которых руководством не были приняты меры;
искажения, которые имелись в прошлых периодах, история ошибок или значительное количество корректировок в конце периода.
Приложение 3 (см. пункты 12(т), 21 - 26, А90-А181)
Получение понимания системы внутреннего контроля организации
1. Организация системы внутреннего контроля может быть отражена в руководствах по политике и процедурам в области внутреннего контроля, в соответствующих системах и формах, в том числе в содержащейся в них информации. Функционирование системы обеспечивается персоналом организации. Система внутреннего контроля организации внедряется руководством, лицами, отвечающими за корпоративное управление, и прочими сотрудниками в соответствии со структурой организации. Система внутреннего контроля может применяться к операционной модели организации, структуре юридического лица или к их совокупности на основании решений руководства, лиц, отвечающих за корпоративное управление, и прочих сотрудников, а также в контексте законодательных или нормативных требований.
2. В настоящем приложении представлены дополнительные разъяснения в отношении компонентов и ограничений системы внутреннего контроля организации, указанных в пунктах 12(m), 21 - 26 и А90-А181, применительно к аудиту финансовой отчетности.
3. В систему внутреннего контроля организации входят аспекты, которые относятся к целям отчетности организации, включая цели финансовой отчетности, а также могут входить аспекты, относящиеся к целям ее деятельности или соблюдению законов и нормативных актов, когда такие аспекты имеют значение для составления финансовой отчетности.
Пример
Средства контроля за соблюдением законов и нормативных актов могут иметь значение для составления финансовой отчетности, когда такие средства контроля применимы к подготовке организацией информации об условных обязательствах, раскрываемой в финансовой отчетности.
Компоненты системы внутреннего контроля организации
Контрольная среда
4. Контрольная среда включает функции административного и корпоративного управления, отношение руководства и лиц, отвечающих за корпоративное управление, к системе внутреннего контроля организации, их осведомленность в этой области и соответствующие действия, а также значение, придаваемое организацией системе внутреннего контроля. Контрольная среда задает тон в организации, влияя на осознание сотрудниками необходимости контроля, и обеспечивает общую основу для функционирования других компонентов ее системы внутреннего контроля.
5. На осознание организацией необходимости контроля оказывают влияние лица, отвечающие за корпоративное управление, так как одной из их функций является нейтрализация давления, оказываемого на руководство в связи с составлением финансовой отчетности, которое может возникать в результате требований рынка или реализации программ вознаграждения. Следовательно, на эффективность структуры контрольной среды применительно к участию лиц, отвечающих за корпоративное управление, влияют такие вопросы, как:
их независимость от руководства и способность оценивать действия руководства;
понимание ими деятельности организации;
то, насколько они могут оценить, подготовлена ли финансовая отчетность в соответствии с применимой концепцией подготовки финансовой отчетности, в том числе раскрыта ли в ней надлежащая информация.
6. Контрольная среда охватывает следующие элементы:
(a) как выполняются функции руководства, например, в части формирования и поддержания культуры организации и демонстрации приверженности руководства принципам честности и этическим ценностям. Эффективность средств контроля определяется уровнем честности и этическими ценностями людей, которые разрабатывают, применяют и осуществляют их мониторинг. Честность и этическое поведение являются результатом этических и поведенческих стандартов организации, способов их доведения до сведения персонала (например, с помощью положений политики) и продвижения на практике (например, посредством действий руководства по исключению или снижению стимулов или соблазнов, которые могут подтолкнуть сотрудников к участию в нечестной, незаконной или неэтичной деятельности). Информирование о политике организации в отношении честности и этических ценностей может включать доведение до сотрудников стандартов поведения с помощью сформулированных положений политики, кодексов поведения и личного примера;
(b) как лица, отвечающие за корпоративное управление, демонстрируют независимость от руководства и осуществляют надзор за системой внутреннего контроля организации в случаях, когда они не входят в состав руководства. Лица, отвечающие за корпоративное управление, оказывают влияние на осознание организацией необходимости контроля. Факторы, которые необходимо учитывать, могут включать наличие достаточного числа лиц, независимых от руководства, и цель их оценок и принятия решений, а также то, как лица, отвечающие за корпоративное управление, определяют и принимают на себя обязанности по осуществлению надзора и выполняют ли они свои обязанности по надзору в отношении разработки и внедрения руководством системы внутреннего контроля и управления ею. Важность обязанностей лиц, отвечающих за корпоративное управление, признается в корпоративных кодексах и других законах и нормативных актах или руководствах, разработанных для лиц, отвечающих за корпоративное управление. Прочие обязанности лиц, отвечающих за корпоративное управление, включают надзор за разработкой и эффективным функционированием процедур информирования сотрудниками о нарушениях;
(c) как организация распределяет полномочия и ответственность, чтобы обеспечить достижение своих целей. Это может включать следующие аспекты:
основные области полномочий и ответственности и соответствующий порядок подотчетности;
политика в отношении надлежащей практики ведения бизнеса, знаний и опыта ключевого персонала и ресурсов, предоставляемых для выполнения обязанностей;
политика и информирование, призванные обеспечить понимание всеми сотрудниками целей организации, того, как их действия взаимосвязаны и способствуют достижению этих целей, а также осознание ими того, как и за что они будут нести ответственность;
(d) как организация привлекает, развивает и удерживает компетентных сотрудников в соответствии со своими целями. Это включает то, как она обеспечивает наличие у сотрудников знаний и навыков, необходимых для выполнения задач, определяющих должностные обязанности сотрудника, например:
стандарты по набору наиболее квалифицированного персонала с особым вниманием к образованию, предыдущему опыту работы, прошлым достижениям и доказательствам честности и этического поведения;
политика по обучению, которая информирует о будущих функциях и ответственности, включая практические занятия, такие как тренинги и семинары, которые иллюстрируют ожидаемый уровень результатов работы и поведения;
повышение в должности на основе периодической оценки результатов работы, что демонстрирует приверженность организации принципу продвижения квалифицированных сотрудников на более высокие уровни ответственности;
(е) как организация требует от работников отчета о выполнении своих обязанностей в рамках задач ее системы внутреннего контроля. Это может быть реализовано, например, посредством:
механизмов информирования и требования от сотрудников отчета о выполнении обязанностей по осуществлению контроля, а также принятия необходимых мер для исправления ситуации;
установления показателей деятельности, стимулов и вознаграждений лицам, ответственным за систему внутреннего контроля организации, включая механизм оценки и поддержания актуальности этих показателей;
влияния давления, связанного с необходимостью достижения целей контроля, на обязанности и показатели деятельности сотрудников;
применения дисциплинарных мер к сотрудникам по мере необходимости.
Вышеуказанные сведения будут в разной степени применимы к каждой организации в зависимости от ее размера, сложности структуры и характера деятельности.
Процесс оценки рисков в организации
7. Процесс оценки рисков организации является итеративным процессом выявления и анализа рисков для достижения целей организации и служит основой для определения руководством и лицами, отвечающими за корпоративное управление, рисков, которыми необходимо управлять.
8. Для целей составления финансовой отчетности процесс оценки рисков организации включает то, каким образом руководство определяет бизнес-риски, связанные с составлением финансовой отчетности в соответствии с применимой концепцией подготовки финансовой отчетности, оценивает их значительность и вероятность возникновения, а также принимает решения в отношении действий по управлению ими и полученных результатов. Например, процесс оценки рисков в организации может быть направлен на рассмотрение того, как организация учитывает возможность существования не отраженных в учете операций или определяет и анализирует оценочные значения, отраженные в финансовой отчетности.
9. Риски, связанные с заслуживающей доверия финансовой отчетностью, относятся к внешним и внутренним событиям, операциям или обстоятельствам, которые могут возникать и отрицательно влиять на способность организации инициировать, учитывать, обрабатывать и включать в отчетность финансовую информацию, соответствующую предпосылкам руководства, использованным при составлении финансовой отчетности. Руководство может разрабатывать планы, программы или действия в ответ на отдельные риски или может решить принять риск в силу возможных издержек или по иным соображениям. Риски могут возникать или изменяться как следствие ряда обстоятельств:
изменения в операционной среде. Изменения в нормативном регулировании, экономических условиях или операционной среде могут привести к изменениям давления со стороны конкурентов и значительно изменить риски;
новый персонал. Новый персонал может относиться иначе к системе внутреннего контроля или иметь другое ее понимание;
новая или обновленная информационная система. Значительные и быстрые изменения в информационных системах могут изменить риски, связанные с системой внутреннего контроля организации;
быстрый рост. Значительное и быстрое расширение деятельности организации может перегрузить средства контроля и увеличить риск сбоев в системе контроля;
новые технологии. Внедрение новых технологий в производственный процесс или информационные системы может изменить риск, связанный с системой внутреннего контроля организации;
новые бизнес-модели, продукты и виды деятельности. Расширение деятельности организации на новые сферы бизнеса или появление операций, в которых у организации мало опыта, может вызвать новые риски, связанные с системой внутреннего контроля;
корпоративная реструктуризация. Реструктуризация может сопровождаться сокращением штата и изменениями в порядке осуществления надзора и разделения должностных обязанностей, что может изменить риск, связанный с системой внутреннего контроля организации;
расширение зарубежных операций. Расширение деятельности или приобретение подразделений за рубежом создает новые и во многих случаях уникальные риски, которые могут повлиять на систему внутреннего контроля, например дополнительные или измененные риски, связанные с операциями в иностранной валюте;
новые стандарты и разъяснения в сфере бухгалтерского учета. Принятие новых принципов бухгалтерского учета или изменение бухгалтерских принципов может повлиять на риски, связанные с подготовкой финансовой отчетности;
использование информационных технологий. Риски, связанные с:
сохранением целостности данных и обработкой информации;
рисками для бизнес-стратегии организации, которые возникают в случае, если ИТ-стратегия организации неэффективно поддерживает ее бизнес-стратегию, или
изменениями или сбоями в ИТ-среде организации, или текучестью сотрудников ИТ-отдела, или случаями, когда организация не проводит необходимых обновлений своей ИТ-среды или проводит их несвоевременно.
Процесс мониторинга системы внутреннего контроля организации
10. Процесс мониторинга системы внутреннего контроля является непрерывным процессом оценки эффективности системы внутреннего контроля организации и своевременного принятия необходимых корректирующих действий. Процесс мониторинга системы внутреннего контроля организации может включать непрерывную деятельность, отдельные оценки (проводимые на периодической основе) или какое-то их сочетание. Во многих случаях непрерывный мониторинг является частью обычной текущей деятельности организации и может включать регулярные управленческие и надзорные действия. По всей вероятности, масштаб и регулярность процесса, используемого организацией, будут варьироваться в зависимости от ее оценки рисков.
11. Цели и объемы функций службы внутреннего аудита обычно включают действия, направленные на оценку или мониторинг эффективности системы внутреннего контроля организации72. Процесс мониторинга организацией своей системы внутреннего контроля может включать такие действия, как проверка руководством своевременной подготовки банковских сверок, оценка внутренними аудиторами соблюдения сотрудниками службы продаж политики организации в отношении условий договоров купли-продажи, а также надзор, осуществляемый юридической службой, за соблюдением политики организации в отношении этики и практики ведения бизнеса. Мониторинг также проводится для непрерывного обеспечения долгосрочного эффективного функционирования средств контроля. Например, если мониторинг своевременности и точности банковских сверок не осуществляется, персонал может прекратить их подготовку.
______________________________
72 МСА 610 (пересмотренный, 2013 г.) и Приложение 4 к настоящему стандарту содержат дополнительные указания в отношении внутреннего аудита.
12. Средства контроля, относящиеся к процессу мониторинга организацией ее системы внутреннего контроля, включая те, которые осуществляют мониторинг базовых автоматизированных средств контроля, могут быть автоматизированными или применяться вручную, или представлять собой комбинированный вариант. Например, организация может использовать автоматизированные средства контроля мониторинга доступа к определенной технологии с автоматизированной подготовкой отчетов о необычных действиях для руководства, которое вручную проводит расследование выявленных аномалий.
13. При разграничении действий по мониторингу и контролю в отношении информационной системы учитывается базовая информация о действиях, особенно в случаях, когда такие действия включают надзорную проверку того или иного уровня. Надзорные проверки автоматически не классифицируются как действия по мониторингу, и классификация проверки как средства контроля в отношении информационной системы или действия по мониторингу может потребовать применения суждения. Например, целью ежемесячного контроля полноты было бы выявление и исправление ошибок, тогда как действия по мониторингу изучали бы причины возникновения ошибок и обязывали бы руководство скорректировать процесс так, чтобы предотвратить возникновение ошибок в будущем. В самом общем виде средство контроля, относящееся к информационной системе, реагирует на конкретный риск, тогда как действия по мониторингу оценивают, функционируют ли средства контроля в рамках каждого из пяти компонентов системы внутреннего контроля организации надлежащим образом.
14. Действия по мониторингу могут включать использование информации из сообщений внешних сторон, которые могут указывать на наличие проблем или областей, где требуются улучшения. Клиенты косвенно подтверждают данные биллинга, оплачивая свои счета или выражая недовольство по поводу начислений. Кроме того, регулирующие органы могут информировать организацию о вопросах, которые влияют на функционирование ее системы внутреннего контроля, например, путем уведомления о проверках банковскими регулирующими органами. Руководство также может учитывать в своих действиях по мониторингу всю информацию о системе внутреннего контроля организации, предоставленную внешними аудиторами.
Информационная система и информационное взаимодействие
15. Информационная система, связанная с подготовкой финансовой отчетности, включает действия и политику, а также данные бухгалтерского учета и подтверждающие записи, предназначенные для того, чтобы:
инициировать, отражать и обрабатывать операции организации (а также собирать, обрабатывать и раскрывать информацию о событиях и условиях, отличных от операций) и обеспечивать учет соответствующих активов, обязательств и собственного капитала;
своевременно исправлять результаты некорректной обработки операций, например автоматически созданные промежуточные файлы и последующее закрытие промежуточных счетов;
обрабатывать и учитывать факты обхода систем или преодоления средств контроля;
передавать информацию из систем обработки операций в основной регистр (например, передача накопленных операций из вспомогательной ведомости);
собирать и обрабатывать информацию, имеющую значение для подготовки финансовой отчетности, в отношении событий и условий, не являющихся операциями, таких как амортизация основных средств и нематериальных активов и изменения в возмещаемости активов;
обеспечивать сбор, учет, обработку, обобщение и надлежащее отражение в финансовой отчетности информации, подлежащей раскрытию в соответствии с применимой концепцией подготовки финансовой отчетности.
16. Бизнес-процессы организации включают действия, направленные на то, чтобы:
разрабатывать, закупать, производить, продавать и распространять продукцию и услуги организации;
обеспечивать соблюдение законов и нормативных актов;
отражать информацию, включая информацию по бухгалтерскому учету и финансовой отчетности.
Результатом бизнес-процессов являются операции, которые записаны, обработаны и отражены в информационной системе.
17. Качество информации влияет на способность руководства принимать надлежащие решения по управлению и контролю деятельности организации и подготовке заслуживающих доверия финансовых отчетов.
18. Информирование, которое обеспечивает понимание отдельных функций и обязанностей в рамках системы внутреннего контроля организации, может иметь такие формы, как внутренние регламенты, руководство по бухгалтерскому учету и составлению финансовой отчетности и меморандумы. Информирование может также осуществляться в электронной или устной форме или посредством действий руководства.
19. Информирование организацией о функциях и обязанностях по составлению финансовой отчетности и о значительных вопросах, касающихся финансовой отчетности, предполагает передачу информации о функциях и обязанностях отдельных сотрудников в отношении системы внутреннего контроля за составлением финансовой отчетности. Оно может охватывать такие вопросы, как степень понимания персоналом связи своих действий в информационной системе с работой других лиц, а также способы доведения информации о расхождениях до сведения соответствующих руководителей более высокого уровня в организации.
Контрольные действия
20. Средства контроля в компоненте контрольных процедур определяются в соответствии с пунктом 26. Такие средства контроля включают средства контроля обработки информации и общие средства ИТ-контроля, притом что те и другие по своему характеру могут применяться вручную или автоматизированно. Чем больше руководство использует автоматизированные средства контроля или средства контроля с автоматизированными аспектами и полагается на них при составлении финансовой отчетности, тем важнее становится для организации внедрение общих средств ИТ-контроля, которые призваны обеспечить непрерывное функционирование автоматизированных аспектов средств контроля обработки информации. Средства контроля в компоненте контрольных процедур могут относиться к следующим действиям.
Санкционирование и утверждение. Санкционирование подтверждает обоснованность сделки (то есть то, что она отражает фактическое экономическое событие или осуществляется в рамках политики организации). Санкционирование обычно имеет форму утверждения руководством более высокого уровня или проверки и определения факта обоснованности операции. Например, ответственный руководитель утверждает авансовый отчет после проверки расходов с точки зрения их разумности и соответствия политике. Примером автоматизированного утверждения является ситуация, когда стоимость единицы товара по счету автоматически сопоставляется с соответствующей стоимостью единицы товара в заказе на закупку в рамках предварительного установленного допустимого уровня. Счета в пределах допустимого уровня автоматически утверждаются для оплаты. Счета, выходящие за допустимый уровень, помечаются для дополнительного изучения.
Сверки обеспечивают сопоставление двух или больше элементов данных. При выявлении расхождений предпринимаются действия по приведению данных в соответствие. Сверки обычно проверяют полноту или точность обработки операций.
Проверки предусматривают сравнение двух или больше статей друг с другом или сопоставление статьи с политикой и, по всей вероятности, будут включать последующие действия, если две статьи не совпадают или статья не соответствует политике. Проверки обычно направлены на обеспечение полноты, точности или правильности обработки операций.
Физические или логические средства контроля, в том числе обеспечивающие защиту активов от несанкционированного доступа, приобретения, использования или продажи. Средства контроля охватывают:
физическую безопасность активов, включая надлежащие меры предосторожности, такие как устройства, регламентирующие доступ к активам и записям;
санкционирование доступа к компьютерным программам и файлам данных (то есть логический доступ);
периодический пересчет и сравнение с суммами, указанными в контрольных записях (например, сравнение результатов инвентаризации денежных средств, ценных бумаг и запасов с данными бухгалтерского учета).
Степень значимости физических средств контроля, призванных предотвратить хищение активов, для надежности подготовки финансовой отчетности зависит от такого обстоятельства, как высокая подверженность активов угрозе незаконного присвоения.
Разделение должностных обязанностей. Назначение разных лиц для выполнения обязанностей по санкционированию операций, записи операций, обеспечению сохранности активов. Разделение должностных обязанностей направлено на снижение возможностей любого лица совершить или скрыть ошибки или недобросовестные действия в процессе выполнения им своих обязанностей.
Например, менеджер, санкционирующий продажи в кредит, не отвечает за ведение записей дебиторской задолженности или обработку поступлений денежных средств. Если один сотрудник может выполнять все эти действия, он может, например, осуществить фиктивную продажу, которая может остаться незамеченной. Аналогичным образом сотрудники службы продаж не должны иметь возможности вносить изменения в файлы с ценами на продукцию или ставки комиссионных.
В некоторых случаях разделение обязанностей не является целесообразным, экономически эффективным или возможным. Например, у малых организаций и менее сложных организаций могут отсутствовать достаточные ресурсы для обеспечения идеального разделения обязанностей, а стоимость привлечения дополнительного персонала может быть чрезмерно высокой. В таких ситуациях руководство может ввести альтернативные средства контроля. В приведенном выше примере, если сотрудник службы продаж может вносить изменения в файлы с ценами на продукцию, можно применить обнаруживающие контрольные действия, чтобы сотрудники, не связанные со службой продаж, периодически проверяли, изменял ли сотрудник службы продаж цены и при каких обстоятельствах.
21. Некоторые средства контроля могут зависеть от наличия надлежащих надзорных средств контроля, установленных руководством или лицами, отвечающими за корпоративное управление. Например, контроль за санкционированием операций может быть делегирован согласно установленным директивам (принципам), в частности, установление инвестиционных критериев может быть делегировано лицам, отвечающим за корпоративное управление; в свою очередь нестандартные операции, такие как крупные приобретения или изъятие инвестиций, могут потребовать утверждения на более высоком уровне, в том числе в некоторых случаях - утверждения акционерами.
Ограничения системы внутреннего контроля
22. Независимо от степени эффективности система внутреннего контроля организации может обеспечить лишь разумную уверенность в достижении организацией целей финансовой отчетности. На вероятность их достижения влияют присущие системе внутреннего контроля ограничения. Они связаны с тем, что суждение человека при принятии решения может оказаться неверным и что в системе внутреннего контроля могут возникнуть сбои из-за влияния человеческого фактора. Например, ошибка может быть допущена при разработке средства контроля или при внесении в него изменений. Также функционирование того или иного средства контроля может оказаться неэффективным, в частности, когда информация, полученная для целей внутреннего контроля (например, отчет об отклонениях), используется недостаточно эффективно, поскольку лицо, ответственное за анализ такой информации, не понимает ее назначения или не в состоянии предпринять соответствующие действия.
23. Кроме того, средства контроля можно обойти посредством сговора двух или более лиц или за счет неправомерных действий руководства в обход действующей системы внутреннего контроля. Например, руководство может заключить с покупателями дополнительные соглашения, изменяющие условия типовых договоров купли-продажи организации, что может привести к неправомерному признанию выручки. Кроме того, контрольные проверки в ИТ-приложении, разработанные для выявления и получения отчетов об операциях, превышающих определенные кредитные лимиты, можно обойти или заблокировать.
24. Более того, при разработке и внедрении средств контроля руководство может формировать суждения о характере или объеме средств контроля, которые оно намерено внедрить, а также о характере и объеме рисков, которые оно готово принять.
Приложение 4 (см. пункты 14(a), 24(a)(ii), А25-А28, A118)
Вопросы для рассмотрения при получении представления о работе службы внутреннего аудита организации
В настоящем приложении представлены дополнительные вопросы, которые необходимо рассмотреть при получении представления о работе службы внутреннего аудита организации, если она имеется.
Цели и объем работы службы внутреннего аудита
1. Цели и объем работы службы внутреннего аудита, характер ее обязанностей и ее статус в организации, в том числе полномочия и подчиненность, сильно различаются и зависят от размера, сложности операций и структуры организации, а также требований руководства и, в соответствующих случаях, лиц, отвечающих за корпоративное управление. Эти вопросы могут регулироваться положением о службе внутреннего аудита или установленным заданием.
2. В обязанности службы внутреннего аудита может входить выполнение процедур и оценка их результатов с целью обеспечения уверенности как руководства, так и лиц, отвечающих за корпоративное управление, в отношении структуры и эффективности управления рисками, системы внутреннего контроля и процессов корпоративного управления в организации. В таком случае служба внутреннего аудита может играть важную роль в процессе мониторинга системы внутреннего контроля организации. Однако обязанности службы внутреннего аудита могут быть сосредоточены на оценке экономичности, эффективности и результативности операций, и в этом случае работа службы внутреннего аудитора может быть напрямую не связана с составлением финансовой отчетности организации.
Направление запросов службе внутреннего аудита
3. Если у организации имеется служба внутреннего аудита, направление запросов соответствующим сотрудникам службы может обеспечить предоставление информации, которая будет полезна аудитору в получении понимания деятельности организации и ее окружения, применимой концепции подготовки финансовой отчетности и системы внутреннего контроля организации, а также в выявлении и оценке рисков существенного искажения на уровне финансовой отчетности и на уровне предпосылок. При выполнении своей работы служба внутреннего аудита, по всей вероятности, глубоко изучила деятельность и бизнес-риски организации и могла получить результаты по итогам проделанной работы, такие как выявленные недостатки системы контроля или риски, которые могут быть значимы для получения аудитором понимания деятельности организации и ее окружения, применимой концепции финансовой отчетности и системы внутреннего контроля организации, а также для оценки аудитором рисков и других аспектов аудита. Следовательно, запросы аудитора направляются независимо от того, предполагает ли он использовать работу службы внутреннего аудита с целью изменения характера или сроков проведения или сокращения объема планируемых аудиторских процедур77. Особое значение могут иметь запросы в отношении вопросов, которые служба внутреннего аудита обсуждала с лицами, отвечающими за корпоративное управление, и результатов процесса собственной оценки рисков внутреннего аудита.
______________________________
77 Соответствующие требования содержатся в МСА 610 (пересмотренном, 2013 г).
4. Если с учетом ответов на запросы аудитора становится очевидно, что есть результаты, которые могут иметь отношение к составлению финансовой отчетности организации и аудиту финансовой отчетности, аудитор может счесть целесообразным ознакомиться с соответствующими отчетами службы внутреннего аудита. Примеры отчетов службы внутреннего аудита, которые могут иметь значение, включают документы по планированию и стратегии деятельности службы и отчеты, подготовленные для руководства или лиц, отвечающих за корпоративное управление, с описанием результатов проверок, проведенных службой внутреннего аудита.
5. Кроме того, в соответствии с МСА 240.78, если служба внутреннего аудита предоставляет аудитору информацию о фактических, потенциальных или предполагаемых недобросовестных действиях, аудитор учитывает ее при выявлении риска существенных искажений вследствие недобросовестных действий.
______________________________
78 МСА 240, пункт 19.
6. Соответствующие сотрудники службы внутреннего аудита, которым направляются запросы, являются лицами, которые, согласно суждению аудитора, имеют надлежащие знания, опыт и полномочия, например руководитель службы внутреннего аудита или, в зависимости от обстоятельств, иные сотрудники службы. Аудитор также может счесть целесообразным проводить периодически встречи с этими сотрудниками.
Рассмотрение функций службы внутреннего аудита в процессе получения понимания в отношении контрольной среды
7. В процессе получения понимания в отношении контрольной среды аудитор может рассмотреть вопрос о том, какие меры были приняты руководством в ответ на результаты работы и рекомендации службы внутреннего аудита в отношении выявленных недостатков системы контроля, относящихся к подготовке финансовой отчетности, в частности, были ли такие меры реализованы и каким образом, а также проводилась ли их последующая оценка службой внутреннего аудита.
Рассмотрение роли службы внутреннего аудита в процессе мониторинга системы внутреннего контроля организации
8. Если обязанности службы внутреннего аудита и ее деятельность по обеспечению уверенности по своему характеру связаны с составлением финансовой отчетности организации, аудитор может также использовать работу службы внутреннего аудита, чтобы изменить характер, сроки или сократить объем аудиторских процедур, которые должны быть выполнены непосредственно аудитором для получения аудиторских доказательств. Использование аудиторами результатов работы службы внутреннего аудита организации более вероятно, когда, например, опыт проведения предыдущего аудита или выполненные аудитором процедуры оценки рисков свидетельствуют, что служба внутреннего аудита обладает достаточными и надлежащими ресурсами, соответствующими сложности структуры организации и характеру ее деятельности, и подотчетна непосредственно лицам, отвечающим за корпоративное управление.
9. Если, основываясь на предварительном понимании деятельности службы внутреннего аудита, аудитор планирует использовать ее работу для изменения характера, сроков или сокращения объема планируемых аудиторских процедур, применяется МСА 610 (пересмотренный, 2013 г.).
10. Как более подробно рассматривается в МСА 610 (пересмотренном, 2013 г.), деятельность службы внутреннего аудита отлична от других средств контроля по мониторингу, которые могут иметь отношение к составлению финансовой отчетности, таких как проверки данных управленческой отчетности, проводимые с целью определить, каким образом организация предотвращает или выявляет искажения.
11. Установление информационного взаимодействия с соответствующими сотрудниками службы внутреннего аудита на ранних этапах выполнения задания и поддержание такого взаимодействия в течение всего аудита способствует эффективному обмену информацией. Это создает среду, в которой аудитор может быть проинформирован о значимых вопросах, которые могли привлечь внимание службы внутреннего аудита, если они могут повлиять на работу аудитора. Важность планирования и проведения аудита с профессиональным скептицизмом79, включая сохранение бдительности в отношении информации, которая ставит под вопрос надежность документов и ответов на запросы, которые предполагается использовать в качестве аудиторских доказательств, рассматривается в МСА 200. Следовательно, информационное взаимодействие со службой внутреннего аудита в течение всего аудита может предоставить внутренним аудиторам возможность довести такую информацию до сведения аудитора. После чего аудитор может принять во внимание эту информацию при выявлении и оценке рисков существенного искажения.
______________________________
79 МСА 200, пункт 7.
Приложение 5 (см. пункты 25(a), 26(b)-(c), А94, А166-А172)
Вопросы для рассмотрения при получении понимания в отношении информационных технологий (ИТ)
В настоящем приложении представлены дополнительные вопросы, которые аудитор может рассмотреть при получении понимания того, как организация использует ИТ в своей системе внутреннего контроля.
Изучение использования организацией информационных технологий в компонентах системы внутреннего контроля
1. Система внутреннего контроля организации содержит осуществляемые вручную и автоматизированные элементы (то есть применяемые вручную и автоматизированные средства контроля и другие ресурсы, используемые в системе внутреннего контроля организации). Сочетание осуществляемых вручную и автоматизированных элементов в организации зависит от характера и сложности используемых организацией ИТ. Использование организацией ИТ влияет на то, как обрабатывается, хранится и передается информация, имеющая значение для составления финансовой отчетности в соответствии с применимой концепцией подготовки финансовой отчетности, и, следовательно, оказывает воздействие на разработку и внедрение системы внутреннего контроля организации. ИТ могут в той или иной степени использоваться в каждом компоненте системы внутреннего контроля организации.
В целом ИТ обеспечивают преимущества системе внутреннего контроля, позволяя организации:
последовательно применять заранее определенные правила ведения деятельности и выполнять сложные расчеты при обработке больших объемов операций или данных;
повышать точность, доступность и своевременность предоставления информации;
обеспечивать проведение дополнительного анализа информации;
расширять возможности по мониторингу ее деятельности и выполнения политики и процедур;
снижать риск обхода средств контроля;
расширять возможности достижения эффективного разделения должностных обязанностей путем внедрения средств контроля безопасности в ИТ-приложения, базы данных и операционные системы.
2. Характеристики осуществляемых вручную или автоматизированных элементов имеют значение для выявления и оценки аудитором рисков существенного искажения и проведения на их основе дальнейших аудиторских процедур. Автоматизированные средства контроля могут быть надежнее, чем средства контроля, осуществляемые вручную, так как их нельзя легко обойти, оставить без внимания или преодолеть, кроме того, они менее подвержены простым ошибкам и погрешностям. Автоматизированные средства контроля могут быть эффективнее, чем средства контроля, применяемые вручную, в следующих обстоятельствах:
при наличии большого объема повторяющихся операций или в ситуациях, когда ошибки, которые можно ожидать или прогнозировать, могут быть предотвращены или выявлены и исправлены за счет автоматизации;
при наличии средств контроля, когда определенный порядок осуществления контроля может быть соответствующим образом организован и автоматизирован.
Получение понимания в отношении использования организацией информационных технологий в информационной системе (см. пункт 25(a))
3. Информационная система организации может предусматривать использование осуществляемых вручную и автоматизированных элементов, которые также влияют на то, как операции инициируются, учитываются, обрабатываются и отражаются в отчетности. В частности, процедуры инициирования, учета, обработки и отражения операций в отчетности могут регламентироваться ИТ-приложениями, используемыми организацией, и тем, каким образом организация настроила эти приложения. Кроме того, записи в форме цифровой информации могут заменять или дополнять записи, выполненные в форме документов на бумажном носителе.
4. При получении понимания ИТ-среды, относящейся к потокам операций и обработке информации в информационной системе, аудитор собирает информацию о характере и характеристиках используемых ИТ-приложений, а также вспомогательной ИТ-инфраструктуры и информационных технологий. В таблицу ниже включены примеры вопросов, которые аудитор может рассмотреть при изучении среды информационных технологий, и примеры типичных характеристик среды информационных технологий, учитывающие сложность ИТ-приложений, используемых в информационной системе организации. Однако такие характеристики являются ориентировочными и могут различаться в зависимости от характера определенных ИТ-приложений, используемых организацией.
Примеры типичных характеристик
Несложное коммерческое программное обеспечениеУмеренно сложное коммерческое программное обеспечение или ИТ- приложения среднего размера Большие или сложные ИТ-приложения (например, система
управления предприятием)
Вопросы, относящиеся к уровню автоматизации и использованию данных
Объем автоматизированных процедур обработки и сложность этих процедур, в том числе в случае высокоавтоматизированных средств, безбумажной обработки НеприменимоНеприменимо Расширенные и
зачастую сложные
автоматизированные процедуры
Уровень использования организацией сформированных системой отчетов при обработке информации Логика простого автоматизированного отчетаЛогика применимого простого автоматизированного отчета Логика сложного автоматизированного отчета; программное обеспечение генератора отчетов
Как осуществляется ввод данных (то есть ввод вручную, ввод клиентом или продавцом или загрузка файла) Ввод данных вручную Ввод небольшого количества данных или простые интерфейсы Ввод большого
количества данных или сложные интерфейсы
Несложное коммерческое программное обеспечениеУмеренно сложное коммерческое программное обеспечение или ИТ- приложения среднего размера Большие или сложные ИТ-приложения (например, система
управления предприятием)
Как ИТ обеспечивают взаимодействие между приложениями, базами данных или другими аспектами ИТ-среды через интерфейсы системы внутри и вне организации в зависимости от обстоятельств Автоматизированные интерфейсы отсутствуют (ввод только вручную) Ввод небольшого количества данных или простые интерфейсы
Ввод большого
количества данных или сложные интерфейсы
Объем и сложность данных в цифровой форме, обрабатываемых информационной системой, в том числе хранятся ли данные бухгалтерского учета и другая информация в цифровой форме, и место хранения данных Небольшой объем данных или простые данные, которые можно проверить вручную; наличие данных на
локальном уровне Небольшой объем данных или простые данные Большой объем данных или сложные данные; хранилища данных80, использование внутренних или
внешних провайдеров ИТ-услуг (например, хранение или хостинг данных сторонними
организациями)
Вопросы, относящиеся к ИТ-приложениям и ИТ-инфраструктуре
Тип приложения (например, коммерческое приложение с небольшой адаптацией или без нее или значительно адаптированное или высокоинтегрированное приложение, которое может быть приобретено и адаптировано или разработано самостоятельно Приобретенное приложение с небольшой адаптацией или без нее Приобретенное приложение или простые приложения системы управления предприятием прежних версий или начального уровня с небольшой адаптацией или без нее
Специально разработанные приложения или более сложные системы управления предприятием со значительной адаптацией
Несложное коммерческое программное обеспечениеУмеренно сложное коммерческое программное обеспечение или ИТ-приложения среднего размера Большие или сложные ИТ-приложения (например, система
управления предприятием)
Сложный характер ИТ-приложений и базовой ИТ-инфраструктуры Небольшой простой портативный компьютер или решение на основе модели клиент-
сервер Эффективный и стабильный базовый компьютер, небольшой или
простой клиентский сервер, программное обеспечение в форме сервисного облака
Сложный базовый
компьютер, большой или сложный
клиентский сервер с выходом в интернет, инфраструктура в
форме сервисного
облака
Используется ли сторонний хостинг или аутсорсинг ИТ При передаче в аутсорсинг привлекается компетентный, опытный, надежный провайдер (например, провайдер облачных вычислений)При передаче в аутсорсинг привлекается компетентный, опытный, надежный провайдер (например, провайдер облачных вычислений) Компетентный, опытный, надежный
провайдер для
некоторых приложений и новый или вновь созданный провайдер для других приложений
Использует ли организация новые технологии, которые влияют на составление ее финансовой отчетности Новые технологии не используются Новые технологии используются в
ограниченном объеме в некоторых приложениях
Комплексное использование новых технологий на разных платформах
Вопросы, относящиеся к ИТ-процессам
Персонал, участвующий в обслуживании ИТ-среды
(численность и уровень квалификации ресурсов по ИТ-поддержке, которые
обеспечивают безопасность и внесение изменений в ИТ- среду) Несколько сотрудников с ограниченным знанием ИТ для обработки обновлений поставщика и
управления доступом Ограниченное число сотрудников с навыками использования ИТ / специализирующихся в области ИТ
Специальные ИТ-
отделы с
квалифицированным персоналом, включая программистов
Сложность процессов по управлению правами доступа Один сотрудник, имеющий доступ с правами администратора, для управления
правами доступа Несколько сотрудников, имеющих доступ с правами администратора, для управления правами доступа
Сложные процессы
управления правами
доступа, регламентируемые ИТ- отделом
Сложность системы безопасности ИТ-среды, Простой локальный доступ без внешнихНесколько приложений на основе веб-
технологий с
Большое число
платформ с доступом на основе веб-
технологий
Несложное коммерческое программное обеспечениеУмеренно сложное коммерческое программное обеспечение или ИТ- приложения среднего размера Большие или сложные ИТ-приложения (например, система
управления предприятием)
Включая чувствительность ИТ-приложений, баз данных и других аспектов ИТ-среды к киберрискам, особенно в случаях, когда проводятся операции с использованием веб-технологий или внешних интерфейсов элементов с выходом в интернет преимущественно простой системой безопасности, построенной на
основе ролей
и сложные модели безопасности
Вносились ли изменения в программы в отношении метода обработки информации, и объем таких изменений в течение периода Коммерческое программное обеспечение без установки исходного кода
программы Некоторые коммерческие приложения без исходного кода и другие более
совершенные приложения с
несколькими или
простыми изменениями, традиционный жизненный цикл
разработки систем
Новые изменения, их большое количество или высокая
сложность, несколько циклов разработки в течение каждого года
Объем изменений в ИТ-среде(например, новые аспекты ИТ-среды или значительные изменения в ИТ-приложениях или базовой ИТ-инфраструктуре) Изменения ограничиваются обновлением версий коммерческого программного обеспеченияИзменения включают обновление коммерческого программного обеспечения, версий системы управления предприятием или доработку существующих программ
Новые изменения, их большое количество или высокая сложность, несколько циклов разработки в течение каждого года, значительная адаптация системы управления предприятием
Проводилось ли значительное преобразование данных в течение периода и, если это так, каковы характер и значение внесенных изменений и способ проведения преобразования Обновления программного обеспечения, предоставляемые поставщиком; отсутствие функционала по преобразованию данных для
обновления Небольшие обновления версии коммерческих программных приложений с ограниченным преобразованием данных
Значительное обновление версий, выпуск новых версий, изменение платформ
______________________________
76 Хранилище данных обычно определяется как центральный репозиторий интегрированных данных из одного или нескольких различных источников (например, большого количества баз данных), на основе которых могут формироваться отчеты или которые могут использоваться организацией для осуществления другой деятельности по анализу данных. Генератор отчетов - это ИТ-приложение, которое используется для извлечения данных из одного или нескольких источников (таких как хранилище данных, база данных или ИТ-приложение) и представления данных в определенном формате.
Новые технологии
5. Организации могут использовать новые технологии (например, блокчейн, робототехнику или искусственный интеллект), так как такие технологии могут открывать определенные возможности для повышения операционной эффективности или усовершенствования процесса составления финансовой отчетности. При использовании новых технологий в информационной системе организации, относящейся к подготовке финансовой отчетности, аудитор может рассматривать такие технологии в процессе выявления ИТ-приложений и других аспектов ИТ-среды, которые подвергаются рискам, возникающим в связи с использованием информационных технологий. Хотя новые технологии могут считаться более сложными или более совершенными по сравнению с существующими технологиями, обязанности аудитора в отношении ИТ-приложений и выявленных общих средств ИТ-контроля согласно пунктам 26(b)-(с) остаются неизменными.
Масштабируемость
6. Получение понимания ИТ-среды организации может требовать меньше усилий в случае менее сложной организации, которая использует коммерческое программное обеспечение, когда у организации нет доступа к исходному коду программы для внесения в нее изменений. Такие организации могут не иметь специальных ИТ-ресурсов, но у них может быть сотрудник, выполняющий функции администратора, для целей предоставления персоналу доступа или установки обновлений ИТ-приложений, предоставляемых поставщиком. Конкретные вопросы, которые аудитор может рассмотреть в рамках изучения характера пакета коммерческого программного обеспечения по бухгалтерскому учету, который может представлять собой одно ИТ-приложение, используемое в информационной системе менее сложной организации, могут включать следующие:
насколько общепризнанным является программное обеспечение и имеет ли оно репутацию надежного;
насколько возможно изменение исходного кода программного обеспечения организацией для включения дополнительных модулей (то есть дополнительных компонентов) в базовое программное обеспечение или для внесения непосредственных изменений в данные;
характер и объем изменений, внесенных в программное обеспечение. Хотя организация может не иметь возможности изменять исходный код программного обеспечения, многие пакеты программного обеспечения предусматривают возможность их конфигурации (то есть установки или изменения параметров отчетов). Это обычно не предполагает внесения изменений в исходный код, однако аудитор может рассмотреть вопрос о том, в какой мере организация может конфигурировать программное обеспечение при рассмотрении полноты и точности информации, предоставляемой программным обеспечением, которая используется в качестве аудиторских доказательств;
в какой мере возможен непосредственный доступ к данным, относящимся к подготовке финансовой отчетности (то есть непосредственный доступ к базе данных без использования ИТ-приложения), и каков объем обрабатываемых данных. Чем больше объем данных, тем выше вероятность того, что организации могут потребоваться средства контроля для обеспечения целостности данных, которые могут включать общие средства ИТ-контроля за несанкционированным доступом и внесением изменений в данные.
7. Сложные ИТ-среды могут включать в значительной степени адаптированные или высокоинтегрированные ИТ-приложения и, следовательно, могут требовать больше усилий при их изучении. Процессы или ИТ-приложения для составления финансовой отчетности могут быть интегрированы с другими ИТ-приложениями. Такая интеграция может включать ИТ-приложения, используемые в хозяйственной деятельности организации, которые предоставляют данные ИТ-приложениям в отношении потоков операций и обработки информации в информационной системе организации. В такой ситуации некоторые ИТ-приложения, используемые в хозяйственной деятельности организации, также могут иметь значение для подготовки финансовой отчетности. Сложные ИТ-среды также могут требовать наличия специальных ИТ-отделов со структурированными ИТ-процессами, поддерживаемыми персоналом, обладающим навыками разработки программного обеспечения и обслуживания ИТ-среды. В других случаях организация может использовать внутренних или внешних поставщиков услуг для управления определенными аспектами или ИТ-процессами своей ИТ-среды (например, сторонний хостинг).
Выявление ИТ-приложений, которые подвержены рискам, возникающим вследствие использования ИТ
8. Изучая характер и сложность ИТ-среды, включая характер и уровень средств контроля обработки информации, аудитор может определить, на какие ИТ-приложения полагается организация в части точной обработки и сохранения целостности финансовой информации. Выявление ИТ-приложений, на которые полагается организация, может повлиять на решение аудитора по тестированию автоматизированных средств контроля, используемых в таких ИТ-приложениях, с учетом того, что такие автоматизированные средства контроля реагируют на выявленные риски существенного искажения. Напротив, если организация не полагается на ИТ-приложение, автоматизированные средства контроля, используемые в таком ИТ-приложении, вряд ли являются надлежащими или достаточно точными для целей тестирования операционной эффективности. Автоматизированные средства контроля, которые могут быть выявлены согласно пункту 26(b), могут включать, например, автоматизированные расчеты или средства контроля за вводом, обработкой и выводом данных, такие как тройное сопоставление заказа на закупки, грузового документа поставщика и счета поставщика. Когда аудитор выявляет автоматизированные средства контроля и определяет путем изучения ИТ-среды, что организация полагается на ИТ-приложение, которое включает такие автоматизированные средства контроля, аудитор с большей вероятностью будет рассматривать это ИТ-приложение как подверженное рискам, возникающим вследствие использования ИТ.
9. При определении подверженности ИТ-приложений, для которых аудитор выявил автоматизированные средства контроля, рискам, возникающим вследствие использования ИТ, аудитор, по всей вероятности, рассмотрит вопрос о том, может ли организация иметь доступ к исходному коду, позволяющему руководству вносить изменения в программу в отношении таких средств контроля или ИТ-приложений, и в каком объеме. Также может быть уместно рассмотреть объем изменений, которые организация вносит в программу или конфигурацию, а также то, насколько формализованы ИТ-процессы в отношении таких изменений. Аудитор также, по всей вероятности, рассмотрит риск ненадлежащего доступа к данным или внесения в них ненадлежащих изменений.
10. Сформированные системой отчеты, которые аудитор может планировать использовать в качестве аудиторских доказательств, могут включать, например, отчет об анализе торговой дебиторской задолженности по срокам возникновения или отчет об оценке запасов. Для таких отчетов аудитор может получить аудиторские доказательства в отношении полноты и точности отчетов путем тестирования по существу входных и выходных данных отчета. В иных случаях аудитор может планировать тестирование операционной эффективности средств контроля за подготовкой и корректировкой отчета, и тогда ИТ-приложение, с помощью которого он был сформирован, по всей вероятности, будет подвержено рискам, возникающим вследствие использования ИТ. В дополнение к тестированию полноты и точности отчета, аудитор может планировать тестирование операционной эффективности общих средств ИТ-контроля, которые реагируют на риски, связанные с внесением ненадлежащих или несанкционированных изменений в программу или данных в отчет.
11. Некоторые ИТ-приложения могут иметь функционал генератора отчетов, тогда как некоторые организации также могут использовать отдельные приложения, создающие отчеты (то есть генераторы отчетов). В таких случаях аудитору может потребоваться определить источники отчетов, формируемых системой (то есть приложение, которое подготавливает отчет, и источники данных, используемые в отчете), чтобы решить, подвержены ли ИТ-приложения рискам, возникающим вследствие использования ИТ.
12. Источники данных, используемые ИТ-приложениями, могут представлять собой базы данных, которые, например, доступны только через ИТ-приложение или для сотрудников ИТ-отдела, имеющих права администратора базы данных. В иных случаях источником данных может быть хранилище данных, которое может само рассматриваться как ИТ-приложение, подверженное рискам, возникающим вследствие использования ИТ.
13. Аудитор мог выявить риск, для которого выполнение только процедур проверки по существу недостаточно по причине использования организацией высокоавтоматизированной и безбумажной обработки операций, которая может требовать применения большого числа интегрированных ИТ-приложений. В таких обстоятельствах средства контроля, выявленные аудитором, по всей вероятности, будут включать автоматизированные средства контроля. Кроме того, организация может полагаться на общие средства ИТ-контроля в целях обеспечения целостности обрабатываемых операций и иной информации, используемой в процессе обработки. В таких случаях ИТ-приложения, применяемые для обработки и хранения информации, по всей вероятности, будут подвергаться рискам, возникающим вследствие использования ИТ.
Вычисления конечного пользователя
14. Хотя аудиторские доказательства также могут быть получены в форме созданных системой выходных данных, которые используются в расчетах, осуществляемых инструментом для вычислений конечного пользователя (например, программой для работы с электронными таблицами или простыми базами данных), такие инструменты обычно не определяются как ИТ-приложения в контексте пункта 26(b). Разработка и внедрение средств контроля за доступом к инструментам для вычислений конечного пользователя и внесением в них изменений могут быть затруднительными, и такие средства контроля в редких случаях являются эквивалентными общим средствам ИТ-контроля или столь же эффективными. Скорее всего, аудитор может рассмотреть комбинацию средств контроля обработки информации с учетом целей и сложности применяемых вычислений конечного пользователя, таких как:
средства контроля обработки информации в отношении инициирования и обработки исходных данных, включая соответствующие автоматизированные или интерфейсные средства контроля до момента извлечения данных (то есть хранилища данных);
средства контроля, которые проверяют надлежащее функционирование логической схемы, например средства контроля, которые "подтверждают" извлечение данных, такие как сверка отчета с данными, на основании которых он был составлен, сравнение отдельных данных отчета с источником и наоборот, а также средства контроля, которые проверяют формулы или макроэлементы, или
использование инструментов подтверждения соответствия программного обеспечения, которые проверяют формулы или макроэлементы на систематической основе, например инструменты проверки целостности электронных таблиц.
Масштабируемость
15. Способность организации обеспечивать целостность информации, которая хранится и обрабатывается в информационной системе, может зависеть от сложности и объема соответствующих операций и прочей информации. Чем выше уровень сложности и чем больше объем данных, которые лежат в основе значительного вида операций, остатка по счету или раскрытия информации, тем меньше будет вероятность того, что организация сможет обеспечить целостность этой информации только за счет средств контроля обработки информации (например, средств контроля за вводом и выводом данных или средств контроля за осуществлением проверки). Также снижается вероятность того, что аудитор сможет получить аудиторские доказательства в отношении полноты и точности такой информации только посредством тестирования по существу в случаях, когда такая информация используется в качестве аудиторских доказательств. В некоторых обстоятельствах, при меньших объемах и более низком уровне сложности операций, руководство может иметь средство контроля обработки информации, которое является достаточным для проверки точности и полноты данных (например, отдельные заказы на продажу, которые обрабатываются и по которым выставляются счета, могут сверяться с печатной копией, данные которой были первоначально введены в ИТ-приложение). Когда организация полагается на общие средства ИТ-контроля в целях обеспечения целостности определенной информации, используемой в ИТ-приложениях, аудитор может определить, что ИТ-приложения, которые поддерживают такую информацию, подвергаются рискам, возникающим вследствие использования ИТ.
Примеры характеристик ИТ-приложения, которое, по всей вероятности, не подвергается рискам, возникающим вследствие
использования ИТ
Примеры характеристик ИТ-приложения, которое, по всей вероятности, подвергается рискам, возникающим
вследствие использования ИТ
Отдельные приложения.
Объем данных (операций) не является значительным.
Функционал приложения не является сложным.
Каждая операция подтверждается
оригиналом документа на бумажном носителе.
ИТ-приложение, по всей вероятности, не подвергается рискам, возникающим вследствие использования ИТ, так как:
объем данных не является значительным и, следовательно, руководство не полагается на общие средства ИТ-контроля при обработке или обновлении данных;
руководство не полагается на автоматизированные средства контроля или иной автоматизированный функционал. Аудитор не выявил автоматизированных средств контроля в соответствии с пунктом 26(a);
хотя в своих средствах контроля руководство использует отчеты, сформированные системой, оно не полагается на эти отчеты. Вместо этого оно проводит сверку отчетов с документами на бумажном носителе и проверяет расчеты в отчетах;
аудитор будет непосредственно тестировать информацию, подготовленную организацией, которая используется в качестве аудиторских доказательств.
Приложения связаны с помощью интерфейса.
Объем данных (операций) является значительным.
Функционал приложения является сложным, так как:
приложение автоматически инициирует операции;
в основе автоматизированных бухгалтерских записей лежит большое количество сложных вычислений.
ИТ-приложение, по всей вероятности, подвергается рискам, возникающим вследствие использования ИТ, так как:
руководство полагается на прикладную систему при обработке или обновлении данных, так как объем данных значителен;
руководство полагается на прикладную систему при использовании определенных автоматизированных средств контроля, которые также были выявлены аудитором.
Прочие аспекты ИТ-среды, которые подвержены рискам, возникающим вследствие использования ИТ