разработать внутренние методики, регламентирующие элементы и процедуры контрольной среды, необходимые локальные нормативные акты (в частности, должностные инструкции, положение о бухгалтерской службе и др.);

обеспечить должный контроль за соблюдением элементов системы контроля;

установить персональную ответственность за соблюдением ее элементов.

4.9. Оценка системы компьютерной обработки данных

Компьютерная обработка данных экономического субъекта имеет место в случаях, когда с помощью компьютерной техники ведется обработка зна- чительных объемов учетной информации независимо от того, что:

компьютер используется экономическим субъектом самостоятельно или по договору с третьей стороной;

компьютер используется экономическим субъектом для обработки экономической информации во всех аспектах хозяйственной деятельности и ее учета или только для автоматиза-

ции обработки информации по отдельным видам фактов хозяйственной жизни, отдельным участкам учета.

При проведении аудита в системе КОД сохраняются цель аудита и основные элементы его методологии.

Экономический субъект обязан предоставить аудиторам необходимый доступ к системе КОД. Невыполнение (частичное выполнение) этого условия является ограничением объема аудита в системе КОД, вследствие чего аудитор может потребовать представления необходимых ему документов на бумажных носителях.

Компетентность аудитора в вопросах КОД и использование работы эксперта. Аудитору желательно иметь представление о

техническом, программном, математическом и других видах обеспечения компьютерной техники, а также о системах обработки экономической информации. В случае отсутствия у аудитора указанных знаний следует использовать работу эксперта в области информационных технологий.

Аудитор должен быть способен определить, какое влияние на организацию, планирование и проведение аудита оказывают условия использования системы компьютерной обработки данных у проверяемого экономического субъекта, в том числе на изучение систем бухгалтерского учета и внутреннего контроля, на оценку рисков, связанных с проведением аудита.

Основной задачей эксперта является оказание помощи аудитору при проведении проверки в части:

оценки надежности системы КОД в целом;

оценки законности приобретения и лицензионной чистоты бухгалтерского программного обеспечения, функционирующего в системе КОД проверяемого экономического субъекта;

проверки алгоритмов расчетов;

формирования на компьютере необходимых аудитору регист-

ров аналитического, синтетического учета и отчетности.

Эти и другие конкретные вопросы, в отношении которых аудиторская организация ожидает получить заключение и помощь эксперта, должны быть указаны в договоре оказания услуг эксперта в соответствии с внутрифирменным стандартом «Использование работы эксперта».

Действия аудитора в среде КОД. Аудитор должен изучить и

оформить в виде рабочего документа все существенные вопросы организации обработки учетных данных в системе КОД экономиче- ского субъекта, отразив в нем такие положения, как:

организационная форма обработки данных, т.е. осуществляет ли обработку специальное подразделение (вычислительный центр, информационно-вычислительный центр, отдел автоматизированной системы управления предприятием), или компьютеры установлены на рабочих местах бухгалтерского персонала, следовательно, обработка данных осуществляется непосредственно бухгалтерами;

ведется ли обработка данных экономическим субъектом самостоятельно или по договору с третьей стороной;

форма бухгалтерского учета;

разделы и участки учета, функционирующие в среде КОД;

системы КОД, размещение на одном или на нескольких компьютерах;

обработка учетных данных локальная на каждом компьютере или применяется сетевой вариант;

обеспечение архивирования и хранения данных;

организация передачи данных с использованием каналов связи через внешние носители (например, дискеты) или путем ввода данных через клавиатуру.

Кроме того, аудитору необходимо изучить и оформить рабочим документом следующие моменты:

уровень обеспечения КОД техническими средствами;

программное обеспечение КОД (составляется краткая характеристика, в частности кем разработано, когда внедрено программное обеспечение КОД, частота и метод его обновления в соответствии с изменениями действующего законодательства);

технологическое обеспечение; рекомендуется оформлять в виде схемы, состоящей из отдельных блоков технологического процесса обработки данных (ввод данных, их верификация и т.д.);

другие виды обеспечения КОД (следует дать краткое описа-

ние иных видов обеспечения).

Аудитор должен оценить и оформить рабочим документом возможности компьютерной системы в части:

гибкого реагирования на изменения хозяйственного, налогового или иного законодательства с точки зрения настройки программного обеспечения;

формирования бухгалтерской и внутренней управленческой отчетности;

осуществления аналитических процедур;

расширения функций компьютерной системы.

Аудитор должен оценить квалификацию бухгалтерского персонала в области КОД, в частности: имеют ли специалисты соответствующее высшее или среднее специальное образование, или прошли курс обучения в области информационных технологий, или изуче- ние системы КОД происходило самостоятельно.

При составлении общего плана аудиторской проверки в соответствии со стандартом ¹ 3 «Планирование аудита» каждый этап планирования должен быть уточнен с учетом влияния на процесс аудита применяемых экономическим субъектом информационных технологий и системы КОД. Уровень автоматизации обработки учетной информации должен быть учтен при определении объема и характера аудиторских процедур. При этом должны быть отражены следующие вопросы:

характер выполнения аудиторских процедур с использованием КОД (вывод подготовленных в среде КОД документов на печать, работа в среде КОД экономического субъекта);

привлечение независимого эксперта в целях изучения компьютерной системы экономического субъекта, описание вынесенных для оценки экспертом вопросов;

дата начала аудиторской проверки должна соответствовать дате представления аудитору данных в виде, согласованном с

экономическим субъектом в договоре на проведение аудита. Организация данных бухгалтерского учета у клиента в среде

КОД оказывает влияние на профессиональный риск аудитора. Риск аудитора повышается в случае, если:

компьютеризованная среда децентрализована, внутренний контроль за функционированием среды КОД отсутствует, а необходимые меры по несанкционированному доступу в систему КОД не приняты;

уровень знаний бухгалтерского персонала в области информационных технологий недостаточен.

Риск аудитора снижается, если:

системы автоматизации являются лицензированными;

существует специальный контроль программного обеспечения (возможности некоторых видов которого можно углубить благодаря программному обеспечению, специально разработанному для аудиторов);

информационная политика экономического субъекта квалифицированно определяется его руководством, согласована с основными пользователями системы КОД, и все подразделения, филиалы и другие обособленные подразделения, дочерние общества работают в единой среде КОД, применяют еди-

ное современное программное обеспечение.

Одним из важнейших элементов аудиторской проверки является оценка аудитором надежности СВК проверяемого экономического субъекта в соответствии с внутрифирменным стандартом аудиторской деятельности «Изучение и оценка систем бухгалтерского учета и внутреннего контроля в ходе аудита» и влияния на эту надежность функционирующей системы КОД, с помощью которой осуществляется:

контроль подготовки данных как на уровне пользователя, так и на уровне компьютерной службы;

контроль предотвращения ошибок и фальсификаций во время работы;

контроль работы с данными (доступ, правильность, полнота), особенно с данными постоянного (нормативно-справочного) характера;

изменения программного обеспечения, особенно в части методов регистрации первичной информации;

координация и взаимодействие между службой информатиза-

ции и пользователями системы КОД.

При оценке среды КОД аудитор должен охарактеризовать:

соответствие применяемой формы учета используемой системе обработки данных;

соответствие алгоритмов обработки бухгалтерских данных действующему законодательству и возможность их изменения в случае изменения порядка ведения бухгалтерского учета, хозяйственного, налогового и иного законодательства;

способ организации, хранения и обновления данных;

обеспечение контроля над вводом данных;

возможность настройки внешней отчетности на изменение ее форм;

возможность вывода на печать данных о хозяйственных операциях.

Аудитору необходимо убедиться в том, что информационная база внутри компьютера обеспечивает сохранность информации, ее архивирование, простоту доступа, кодирование и декодирование информации, ограничение несанкционированного доступа к ней. Актуальность данных обеспечивается регламентированием источников и потребителей информации, периодичностью и условиями ее обновления.

Требования к системе внутреннего контроля аудируемого лица.

Оценка системы внутреннего контроля и оценка системы бухгалтерского учета может быть как комплексной, так и проводимой для каждого объекта аудита. Если аудитор оценивает СВК в целом, то ему необходимо оценить эффективность работы такой системы. СВК является эффективной при соблюдении следующих положений:

1)подконтрольность всех элементов системы внутреннего контроля. Для реализации данного пункта необходимо проанализировать структуру службы внутреннего аудита (контроля), должностные инструкции сотрудников;

2)подотчетность службы внутреннего аудита (контроля) исклю- чительно высшему руководству. Система внутреннего контроля может быть эффективной, только если высшее руководство заинтересовано в функционировании такой системы. При этом лица, отве- чающие за организацию и внедрение отдельных положений СВК, должны быть подотчетны только высшему руководству;

3)рациональное соотношение затраты — выгоды. Необходимо проанализировать, не превышают ли затраты на создание СВК выгоды от ее функционирования. В данном случае следует руководствоваться принципом МСФО: выгоды от внедрения элементов СВК не должны быть меньше понесенных затрат, т.е. аудитор оценивает рациональное использование элементов СВК и акцентирование внимания на ключевых и важных аспектах деятельности;

4)соответствие организационной структуры службе внутреннего контроля, масштабу, характеру и специфике деятельности предприятия;

5)персональная ответственность. Каждая функция в рамках СВК должна быть закреплена за одним центром ответственности;

6)распределение прав и обязанностей. Эффективность системы внутреннего контроля напрямую зависит от детального и четкого регламентирования прав и обязанностей каждого сотрудника;

7)документальное оформление результатов работы службы внутреннего контроля. Каждое должностное лицо, исполняющее важные контрольные функции, должно регулярно отчитываться в письменной форме и ставить подпись, подтверждающую, что эти функции исполняются;

8)непрерывное функционирование.