7.2 Аудиторские риски

АУДИТОРСКИЙ РИСК – это оценка неэффективности аудиторской проверки, которая базируется на оценке риска неэффективности системы учета клиента, неэффективности внутреннего контроля клиента и невыявленных ошибок клиента аудиторами.

Существует 2 метода оценки аудиторского риска:

1. оценочный (интуитивный) – широко применяется российскими аудиторами. Аудиторы исходя из собственного опыта и знания клиента, определяют аудиторский риск на основании отчетности в целом как высокую вероятность и малую, а в дальнейшем используют эту оценку при планировании аудита;

2. количественный – предполагает количественный расчет моделей аудиторского риска.

Рассмотрим одну из моделей:

Ар = Чр*Кр*Пр

Ар – риск неэффективности аудиторской проверки, он отражает суждение аудитора о том, что вероятнее всего в финансовой отчетности может оказаться невыявленные ошибки после проведения аудита;

Чр – чистый риск связан со спецификой проверяемой фирмы, т.е. нахождение в финансовой отчетности ошибок, превосходящих дополнительную величину до рассмотрения эффективности системы внутреннего контроля;

Кр – контрольный, т.е. риск неэффективности внутреннего контроля. Это вероятность того, что после внутреннего контроля финансовой отчетности была не замечена ошибка, превышающая дополнительную величину;

Пр – процедурный, т.е. риск неэффективности процедурного тестирования, т.е. приемлемая для аудитора вероятность, невыявленная в процессе тестирования ошибок, которые превосходят дополнительную величину.

Эта формула является основой планирования аудита. Она позволяет оценить величину составляющих аудиторского риска и определить объем тестирования.

Внедрение риск-ориентированных подходов в аудит. В настоящее время имеются следующие новые элементы риск-ориентированного подхода к аудиту.

Постановлением Правительства РФ от 19 ноября 2008 г. N 863 в действующие федеральные правила (стандарты) аудиторской деятельности внесены новые редакции ряда стандартов аудита, а именно ПСАД N 7 "Контроль качества выполнения заданий по аудиту", ПСАД N 8 "Понимание деятельности аудируемого лица, среды, в которой она осуществляется, и оценка рисков существенного искажения аудируемой финансовой (бухгалтерской) отчетности".

Новая редакция Правила (стандарта) аудиторской деятельности (ПСАД) N 8 вводит в систему федеральных стандартов аудита элементы риск-ориентированного подхода к аудиту, реализованного в действующих МСА. Этот подход связан с новой концепцией аудиторского риска, которая введена в действующие в настоящее время международные стандарты. Концепция включает в себя новые подходы:

– к определению аудиторских рисков (см. МСА 200 "Общие цели независимого аудитора и проведение аудита в соответствии с международными стандартами аудита";

– путям их оценки на основании новых подходов к анализу системы внутреннего контроля аудируемой организации в рамках оценки риска существенного искажения (см. МСА 315);

– использованию оцененных рисков при определении характера, сроков применения и объемов дальнейших аудиторских процедур (см. МСА 330 "Аудиторские процедуры по оцененным рискам".

Связь основных понятий, содержащихся в ПСАД N 8, с общей концепцией рисков в системе риск-ориентированного аудита. Как видно уже из названия стандарта, в ПСАД N 8 вводится понятие риска существенного искажения отчетности, характеризующего вероятность того, что в финансовой отчетности содержатся подобные искажения. В самом стандарте не дается формальное определение данного риска, поэтому поясним, каким образом в МСА определяются соотношения между компонентами аудиторского риска и что понимается под риском существенного искажения.

В рамках развития системы международных стандартов аудита после 2004 г. сформировался риск-ориентированный подход к аудиту. Этот подход основывается на определении общей цели аудита (п. 11 МСА 200), состоящей, во-первых, в получении разумной уверенности в том, что финансовая отчетность в целом не содержит существенных искажений, вызванных ошибкой или недобросовестными действиями. Это позволит аудитору выразить мнение о том, подготовлена ли финансовая отчетность во всех существенных отношениях в соответствии с применяемыми принципами подготовки финансовой отчетности. Во-вторых, общая цель аудита состоит в подготовке аудиторского заключения по финансовой отчетности и сообщении информации о результатах, полученных аудитором, согласно требованиям МСА.

Таким образом, задача аудитора при проведении риск-ориентированного аудита - получить разумную уверенность в том, что в финансовой отчетности не имеется никаких существенных искажений, ни вызванных недобросовестными действиями, ни вызванных ошибками. Выполнение этой задачи включает в себя три основных этапа:

– оценку рисков существенных искажений в финансовой отчетности;

– разработку и выполнение последующих процедур аудита в ответ на оцененные риски, которые сокращают риски существенных искажений в финансовой отчетности до приемлемо низкого уровня;

– выпуск надлежащим образом сформулированного аудиторского заключения, основанного на результатах аудита.

Следует учитывать, что риск существенного искажения рассматривается в МСА как компонент аудиторского риска, т.е. риска того, что аудитор выражает ненадлежащее аудиторское мнение, когда финансовая отчетность содержит существенные искажения. Причем эти искажения могут являться результатом ошибки и недобросовестных действий. Значит, аудиторский риск - это риск того, что аудитор выражает безусловно положительное мнение по финансовой отчетности, содержащей существенные искажения.

Аудиторский риск, в свою очередь, является функцией рисков существенного искажения и необнаружения (п. 13 МСА 200). Под риском необнаружения понимается риск того, что выполняемые аудитором процедуры, имеющие целью снизить аудиторский риск до приемлемо низкого уровня, не выявят существующего искажения, которое, рассматриваемое само по себе или в совокупности, может оказаться существенным т.е вероятность пропуска существенных ошибок в учете и отчетности аудитором.

Риск существенного искажения отчетности представляет собой совокупную оценку неотъемлемого риска и риска внутреннего контроля (п. А37 МСА 200). Для оценки риска существенного искажения, как указывается в п. А36 МСА 200, аудитор может использовать модель, которая выражает общее соотношение компонентов аудиторского риска в математических терминах в целях достижения необходимого уровня риска необнаружения.

Здесь имеется в виду следующая широко известная математическая модель:

АР = НР х РСК х РН; (1)

АР = РСИО х РН; (2)

РСИО = НР х РСК, (3)

где АР - аудиторский риск (в целом);

НР - неотъемлемый риск;

РСК - риск средств внутреннего контроля (также иногда называется просто риском внутреннего контроля или контрольным риском);

РН - риск необнаружения;

РСИО - риск существенного искажения отчетности.

Аудитор может проводить оценку неотъемлемого риска и риска внутреннего контроля и по отдельности, и в совокупности, в зависимости от выбранной методологии и техник аудита и практических соображений (п. А40 МСА 200). Оценка рисков существенного искажения может выражаться в количественных терминах, например в процентах, или не в количественных терминах, т.е. в привычной для отечественной практики качественной оценке по шкале "высокий", "средний" или "низкий". В любом случае считается, что для аудитора важнее провести надлежащую оценку рисков, чем выбрать из различных подходов тот, которым он при этом может пользоваться.

Это можно обобщить в отношении рассмотрения аудиторского риска с помощью схемы на рис.7.1.

В соответствии с концепцией риск-ориентированного аудита для сокращения аудиторского риска до приемлемо низкого уровня аудитор должен оценить риски существенного искажения и ограничить риск необнаружения. Этого он добивается посредством выполнения аудиторских процедур, которые являются реакцией на оцененные риски существенного искажения на уровне финансовой отчетности в целом и на уровне предпосылок ее подготовки.

┌──────┐ ┌──────────────────────┐ ┌─────────────────────────┐

│Ошибки├────►─┤Искажения в отчетности├─◄─────┤Недобросовестные действия│

└──────┘ └───────────┬──────────┘ └─────────────────────────┘

▼

┌───────┴────────┐

│Аудиторский риск│

└───────┬────────┘

┌───────────┴───────────────────┐

▼ ▼

┌─────────────┴──────────────┐ ┌───────┴──────────┐

│Риск существенного искажения│ │Риск необнаружения│

└─────────────┬──────────────┘ └──────────────────┘

┌───────┴──────────────────────────┐

▼ ▼

┌─────┴───────────────────┐ ┌───────┴─────────┐

│Риск внутреннего контроля│ │ Неотъемлемый риск │

└─────────────────────────┘ └─────────────────┘

Рис.7.1 Компоненты аудиторского риска

Риск-ориентированный аудит предусматривает, что сначала аудиторы должны понять деятельность организации, а затем оценить риски существенного искажения в ее финансовой отчетности. На основании оцененных рисков аудиторы определяют и выполняют дальнейшие аудиторские процедуры в отношении:

– возможных неточностей в информации о сальдо счетов, видах операций или раскрытиях в финансовой отчетности либо неверно представленных или отсутствующих в ней данных;- возможного обхода руководством средств контроля и манипулирования финансовой отчетностью;

– других недостатков в средствах контроля, которые могут привести к существенным искажениям в финансовой отчетности.

Очень кратко основные особенности риск-ориентированного подхода можно свести к следующему.

1. Процедуры оценки рисков частично можно выполнить на более раннем этапе отчетного периода организации, в том числе на основе информации, полученной в ходе прошлых аудитов, и на этапе принятия решения об обслуживании нового клиента или продолжении сотрудничества с клиентом по конкретному аудиторскому заданию (данная возможность предоставляется аудитору и федеральными стандартами аудита - см. п. 12 ПСАД N 7 в новой редакции).

2. Усилия аудиторской группы в ходе проведения аудита должны быть сфокусированы на выявлении основных зон рисков существенного искажения, при этом аудитор должен опираться на понимание деятельности аудируемого лица.

3. Последующие аудиторские процедуры по оцененным рискам разрабатываются для выполнения действий в ответ на конкретные оцененные риски. Соответственно можно существенно сократить или даже исключить проверки на основе детальных тестов, которые не привязаны к конкретным рискам.

4. Лучшее понимание системы внутреннего контроля (СВК) может позволить аудитору определять недостатки в ней, а своевременная передача информации об этих недостатках руководству позволит последнему принять надлежащие меры по их устранению.

5. МСА уделяют огромное внимание необходимости тщательно документировать каждое действие в рамках аудита, что может привести к росту расходов на аудит. Тщательное документирование направлено на то, чтобы аудиторский файл мог говорить сам за себя, без необходимости каких-либо устных пояснений, о том, как проводился аудит, почему и каким образом были получены аудиторские выводы.

В свою очередь, МСА 315 (и разработанный на его основе ПСАД N 8) рассматривает вопросы оценки риска существенного искажения и устанавливает требования и руководство для аудитора по выявлению и оценке данных рисков на уровне финансовой отчетности и на уровне предпосылок руководства в финансовой отчетности (п. А41 МСА 200). Рассмотрим подробнее, каковы же обязанности аудитора в отношении оценки риска существенного искажения на основании проведенных им процедур, установленные новой редакцией ПСАД N 8.

Прежде всего в соответствии с п. 6 ПСАД N 8 в целях ознакомления с деятельностью аудируемого лица и со средой, в которой она ведется, включая СВК, аудитор должен выполнить следующие процедуры: "...запросы в адрес руководства или других сотрудников аудируемого лица; аналитические процедуры; наблюдение и инспектирование" (рис. 7.2).

Запросы в адрес руководства или других сотрудников
Наблюдение	Инспектирование	Аналитические процедуры

Рис. 7.2. Три процедуры оценки рисков

Далее устанавливается обязательная процедура обсуждения в аудиторской группе подверженности финансовой отчетности аудируемого лица существенным искажениям. В рамках этого обсуждения (см. п. 13-15 ПСАД N 8) рассматривается риск возможного искажения финансовой отчетности в силу недобросовестных действий или ошибок и в силу иных рисков хозяйственной деятельности аудируемого лица.

Те аспекты деятельности организации, на которых основывается ее понимание аудитором и которые, таким образом, должны обязательно им рассматриваться, также определены в стандарте. Это "характер деятельности аудируемого лица, включая выбор и применение учетной политики; цели и стратегические планы аудируемого лица, связанные с ними риски хозяйственной деятельности, указывающие на возможное существенное искажение финансовой (бухгалтерской) отчетности; основные показатели деятельности аудируемого лица и тенденции их изменения; система внутреннего контроля" (п. 19 ПСАД N 8).

Новшества стандарта связаны с особенностями требований к рассмотрению СВК, под которой в соответствии с п. 41 ПСАД N 8 понимается "процесс, организованный и осуществляемый представителями собственника, руководством, а также другими сотрудниками аудируемого лица для того, чтобы обеспечить достаточную уверенность в достижении целей с точки зрения надежности финансовой (бухгалтерской) отчетности, эффективности и результативности хозяйственных операций и соответствия деятельности аудируемого лица нормативным правовым актам. Это означает, что организация системы внутреннего контроля и ее функционирование направлены на устранение каких-либо рисков хозяйственной деятельности, которые угрожают достижению любой из этих целей".

Основные новшества в анализе системы внутреннего контроля, предусмотренные требованиями ПСАД N 8, можно свести в первую очередь к следующим:

- анализ СВК аудитор должен вести в разрезе пяти компонентов, предусмотренных п. 42 ПСАД N 8;

- оценка СВК должна сочетать оценку качества процедур контроля и эффективности их применения и аудитор должен вести ее на основе профессионального суждения с точки зрения риска существенного искажения финансовой отчетности;

- аудитор должен учитывать специфику внутреннего контроля, осуществляемого с помощью систем, основанных на применении вычислительной техники;

- аудитор должен получить достаточное понимание контрольных действий, чтобы оценить риски существенных искажений на уровне предпосылок подготовки финансовой отчетности и разработать дальнейшие процедуры аудита с учетом оцененных рисков.

Каковы же пять компонентов СВК, которые должен обязательно рассмотреть аудитор? Это:

- контрольная среда;

- процесс оценки рисков аудируемым лицом;

- информационная система, в том числе связанная с подготовкой финансовой (бухгалтерской) отчетности;

- контрольные действия;

- мониторинг средств контроля (рис. 2). ПСАД N 8 требует, чтобы независимо от используемой терминологии и принципов описания анализ внутреннего контроля велся в разрезе приведенных в п. 42 компонентов внутреннего контроля, хотя при этом аудитору не возбраняется использовать иную классификацию и подходы, лишь бы они покрывали все установленные стандартом аспекты.

Также стандартом предусмотрено, чтобы аудитор получал понимание того, каким образом аудируемая организация выявляет и устраняет свои риски хозяйственной деятельности, связанные с целями финансовой отчетности, и к каким это приводит результатам (п. 74, 75 ПСАД N 8).

При исследовании процесса оценки организацией рисков аудитор определяет следующие моменты: как руководство организации выявляет риски хозяйственной деятельности, относящиеся к финансовой отчетности, оценивает их значимость, вероятность появления и принимает меры по противодействию им. Построенный адекватно процесс оценки рисков помогает аудитору при определении рисков существенных искажений информации.

Таким образом, ПСАД N 8 рассматривает риски существенного искажения финансовой отчетности, которые составляют предмет оценки аудитором, как подмножество рисков хозяйственной деятельности организации ( рис. 7.3).

Задачи финансовой отчетности	Контрольная среда	Оценка риска
		Информационная система
	Мониторинг	Контрольные действия

Рис.7.3 Компоненты системы внутреннего контроля аудита

Понимание деятельности: отрасль; природа организации; учетная политика; цели и стратегии организации; измерения и обзор финансового состояния.

Внутренний контроль: контрольная среда; процесс управления рисками; информационная среда; контрольные средства; мониторинг.

Риск существенных искажений в отчетности аудитор должен оценивать на двух уровнях (п. 98 ПСАД N 8):

- финансовой отчетности в целом;

- предпосылок подготовки финансовой отчетности на уровне классов операций, сальдо счетов и раскрытий информации в финансовой отчетности.

Часть оценки аудитором рисков заключается в определении того, какие из выявленных рисков, по его мнению, требуют специальных аудиторских действий (такие риски определяются как значимые, и к ним в первую очередь относятся риски, связанные с недобросовестным искажением отчетности, - см. п. 106 ПСАД N 8). В стандарте указывается, что значимые риски, которые появляются при проведении большинства аудиторских проверок, аудитор определяет на основе профессионального суждения.

В качестве признаков, которые указывают на то, что выявленный риск существенного искажения может рассматриваться как значимый, ПСАД N 8 выделяет:

- связь данного риска с недобросовестны ми действиями;

- связь риска с недавними существенными изменениями в отрасли, новыми требованиями по ведению учета и подготовке отчетности или иными подобными обстоятельствами;

- повышенную сложность хозяйственных операций;

- связь риска с операциями со связанными сторонами, которые имеют важное значение для отчетности;

- высокую степень субъективности при расчете некоторых оценочных значений, содержащихся в финансовой (бухгалтерской) отчетности, связанную с рисками, которые сопутствуют оценке значений некоторых показателей, при отсутствии точных способов их определения;

- связь риска с хозяйственными операциями, кажущимися необычными или нетипичными для деятельности аудируемого лица и имеющими важное значение для отчетности.

Применительно к значимым рискам в п. 111 ПСАД N 8 установлена обязанность аудитора "оценить организацию установленных в отношении этих рисков средств контроля, включая контрольные действия, и определить, выполнялись ли они". Причем в отсутствии надлежащих средств контроля в отношении значимых рисков в соответствии с п. 112 стандарта аудитор обязан проинформировать об этих обстоятельствах представителей собственника.

Аналогичная обязанность установлена в п. 113 ПСАД N 8 в отношении рисков, для которых, по мнению аудитора, невозможно или бесполезно сокращать риски возможного присутствия существенных искажений информации на уровне предпосылок подготовки финансовой (бухгалтерской) отчетности до приемлемо низкого уровня при помощи сбора аудиторских доказательств, выполняя только процедуры проверки по существу.

К примерам ситуаций, для которых не могут быть разработаны процедуры проверки по существу, в ПСАД N 8 относятся следующие случаи (см. п. 116):

"а) аудируемое лицо в своей деятельности использует информационную систему для заказов и доставки товаров в соответствии с ранее согласованными правилами (никакая другая документация относительно размещенных заказов или полученных товаров не готовится и не хранится, кроме той, которая проходит через информационные системы);

б) аудируемое лицо предоставляет услуги пользователям электронных средств связи и информации (например, провайдер услуг сети Интернет или компания, действующая в сфере мобильных телефонных систем) и использует информационные системы для регистрации услуг, предоставляемых своим клиентам, создает и обрабатывает счета на оплату оказанных услуг и автоматически регистрирует суммы операций в электронных бухгалтерских файлах, являющихся частью системы, используемой для подготовки финансовой (бухгалтерской) отчетности аудируемого лица".

Аудитор также обязан в ходе дальнейших аудиторских процедур по оцененным рискам существенного искажения пересматривать оценку рисков, если он получает аудиторские доказательства, противоречащие первоначально собранным, в соответствии с которыми он производил первоначальную оценку рисков существенного искажения (см. п. 117 ПСАД N 8).

В стандарте (п. 118, 119) установлены обязанности по информированию руководства и представителей собственника о существенных недостатках в СВК, ставших известными в ходе аудита, а также о недостатках в процессе оценки рисков аудируемым лицом.

Стоит также обратить внимание на требования по документальному отражению в аудиторском файле соблюдения новых положений ПСАД N 8, поскольку именно на основании аудиторской документации можно оценить соблюдение стандартов в ходе аудита. Обязательному документированию подлежат следующие описанные аудиторские процедуры и полученные аудитором оценки (п. 120):

- обсуждения аудиторской группой подверженности финансовой отчетности предприятия существенным искажениям вследствие ошибки или мошенничества и выработанные важные решения (в аудиторских файлах должны быть подшиты соответствующие протоколы);

- ключевые элементы понимания каждого аспекта предприятия и его среды, включая каждый элемент СВК, для оценки рисков существенных искажений финансовой отчетности, в том числе источники информации, используемые для достижения понимания деятельности аудируемого лица и процедуры оценки риска;

- выявленные и оцененные риски существенных искажений как на уровне финансовой отчетности в целом, так и на уровне предпосылок подготовки финансовой отчетности;

- выявленные значимые риски, риски, предусмотренные п. 113 ПСАД N 8, и соответствующие им средства контроля.