4. Дослідження й оцінювання системи внутрішнього контролю

Щоб отримати розуміння суб’єкта господарювання та його середовища, в тому числі його внутрішнього контролю, аудитор повинен виконати такі процедури оцінки ризику:

а) запити до найвищого управлінського персоналу та інших представників управлінського персоналу суб’єкту господарювання;

б) аналітичні процедури;

в) спостереження та перевірки.

Хоча значний обсяг інформації, яку аудитор одержує шляхом запитів, може бути наданий управлінським персоналом та іншими особами, які відповідають за фінансову звітність, запити, надані іншим структурам суб’єкта господарювання, таким як виробничий персонал та працівники внутрішнього аудиту, інші працівники з різним рівнем повноважень, можуть виявитися корисними і надати інший ракурс для оцінки ризиків суттєвого викривлення. При визначенні інших працівників суб’єкта господарювання, яким можна надіслати запити, а також обсягу таких запитів, аудитор розглядає, яку інформацію можна отримати для допомоги у визначенні ризиків суттєвого викривлення. Наприклад:

• Запити особам, відповідальним за управління, можуть допомогти аудитору зрозуміти середовище, в якому готуються фінансові звіти.

• Запити на адресу працівників внутрішнього аудиту можуть бути повязаны з їх діяльністю щодо побудови та ефективності системи внутрішнього контролю суб’єкта господарювання, а також стосуватися задовільності ставлення керівництва до результатів цієї діяльності.

• Запити працівникам, зайнятим в ініціюванні, обробці та відображенні в обліку складних та незвичайних операцій можуть допомогти аудитору в оцінці незалежності вибору та застосування певної облікової политики.

• Запити внутрішнім радникам з правових питаня можуть стосуватися таких аспектів, як судові процеси, дотримання законодавчих та нормативних положень, відомості про шахрайство або підозру в шахрайстві, яке стосується суб’єкта господарювання, гарантії, зобов’язання щодо обслуговування після продажу, угоди (як-то спільні підприємства) та ділові партнери і тлумачення умов контракту.

• Запити на адресу персоналу з маркетингу та продажу можуть стосуватися змін в маркетинговій стратегії, тенденциях реалізації або в конкретных угодах з клієнтами субєкта господарювання.

Аналітичні процедури можуть виявитися корисними у визначенні наявності надзвичайних операцій або подій, а також сум, показників та тенденций, які можуть свідчити про проблеми, що можуть спричинити певні наслідки для фінансових звітів або для аудиторської перевірки. В ході виконання аналітичних процедур як процедур оцінки ризику, аудитор визначає очікування щодо видимих звязків, існування яких може бути обгрунтованим. Якщо порівняння цих очікувань з відображеними в обліку сумами або з проказниками, обчисленими відповідно до зазаначених в обліку сум, свідчить про незвичайні або неочікувані зв’язки, аудитор розглядає ці результати при визначенні суттєвих викривлень. Однак, якщо в таких аналітичних процедурах використовують дані, агреговані (консолідовані на високому рівні (а саме так часто і трапляється), результати таких аналітичних процедур забезпечать лише загальну початкову уяву про можливу наявність суттєвих викривлень. Відповідно, аудитор розглядає ці результати аналітичних процедур разом з іншою інформацією, зібраною в ході визначення ризиків суттєвого викривлення.

Спостереження та перевірка можуть доповнювати запити управлінському та іншому персоналу, і також надавати інформацію щодо субєкта господарювання та його середовища. Такі процедури аудиту охоплюють наступне:

• спостереження за діяльністю та операціями суб’єкта господарювання.

• перевірка документів (таких як бізнес-плани і стратегія), бухгалтерських записів та керівництва з процедур внутрішнього контролю.

• відвідання приміщень та виробничих цехів субєкта господарювання.

• простежування операцій в інформаційній системі, повязаній з фінансовою звітністю (наскрізні перевірки).

Аудитор повинен отримати розуміння внутрішнього контролю, доречного для аудиторської перевірки.

Внутрішній контроль за збереженням активів і їх захистом несанкціанованного придбання, використання або реалізації може включати заходи контролю, пов’язані з фінансовою звітністю та з цілями виробничої діяльності. При одержані розуміння кожної складової внутрішнього контролю, аудитор, як правило, обмежує розгляд заходів контролю, спрямованих на зберігання активів, тими функціями, які мають відношення до достовірності фінансової звітності. Наприклад, використання заходів контролю за доступом, таких як пароль, обмежений доступ до даних і програм, які обробляють видачу готівкових коштов, може бути доречним для аудиторської перевірки фінансових звітів. І, навпаки, заходи контролю, спрямовані на запобігання надмірному використанню матеріалів в процессі виробництва звічайно не є доречними для аудиторської перевірки звітів.

Отримання розуміння внутрішнього контролю передбачає оцінку структури контролю і врахування її реалізації на практиці.

Оцінка структури контролю включає визначення здатності певного заходу визначення здатності певного заходу контролю (взятого окремо або у поєднанні з іншими) дефективно запобігати, або виявити і виправляти суттєві викривлення. Подальше пояснення наводяться далі при розгляді кожної складової внутрішнього контролю.

Реалізація того чи іншого заходу контроль на практиці означає, що цей контроль існує і суб’єкт господарювання використовує його. Аудитор вивчає структуру контролю і після цього визначає чи враховувати його реалізацію.

Ненадежно структурований контроль може являть собою суттєву слабкість (суттєвою слабкістю внутрішнього контролю є така слабкість, яка може мати суттєвий вплив на фінансові звіти) у внутрішньому контролі суб’єкта господарювання. В такому випадку аудитор розглядає необхідність поінформувати про це найвищий управлінський персоналта управлінський персонал (МСА 315).

Отримати розуміння внутрішнього контролю субєкта господарювання недостатньо для перевірки операційної ефективності заходов контролю, якщо немає певної автоматизації процесів, яка забезпечує відповідне застосування заходів контролю.

Аудитор повинен отримати розуміння інформаційних систем, в тому числі повязаних з нею бизнес-процесів, що стосується фінансовоїзвітності і передачі інформації, включаючи такі сфери:

• класи операцій,здійснюваних в ході діяльності субєкта господарювання, які є суттєвими для фінансових звітів;

• процедури, ручні і здійснювані за допомогою інформаційних технологий, відповідно до яких операції оцінюють, відображають в обліку, обробляють та відображають у фінансових звітах;

• відповідні бухгалтерські записи, зроблені вручну або електронним способом, які супроводжують інформацію, та конкретні рахунки у фінансових звітах щодо ініціювання, відображення в обліку,обробки та відображення у звітності операцій.

• спосіб, в який інформаційна система відображає події та умови, інші нож класи операцій, що є суттєвими для фінансових звітів.

• процес подготовки фінансових звітів субєкта господарювання, в тому числі суттєві облікові оцінки та розкриття облікової інформації.

Аудитор повинен отримати достатнє розуміння процедур контролю для оцінки ризиків суттєвого викривлення на рівні твердження і для визначення подальших процедур аудиторської перевірки відповідно до оцінених ризиків. Процедури контролю - це политика і процедури, які допомагають забезпечити виконання вказівок управлінського персоналу; наприклад, забезпечення виконання заходов, необхідних для усунення ризиків, які загрожують досягненню целей субєкта господарювання. Функції контролю в автоматизованих системах і в системах з ручним режимом мають різні цілі і здійснюється на різних організаційних та функціональних рівнях.

Прикладами конкретных видів і процедур контролю є діяльність, пов’язана з: санкціонуванням; перевіркою результатов діяльності; обробкою інформації; фізичним контролем; розмежуванням обов’язків.

Ризики, що стосуються фінансової звітності, включають зовнішні і внутрішні події та обставини, що можуть впливати на здатність суб’єкта господарювання ініцювати, відображати в обліку і в звітності фінансові дані, які відповідають твердженням управлінського персоналу. Після виявлення ризиків, управлінський персонал розглядає їх суттєвість, ймовірність і визначає належні способи управління ними. Управлінський персонал може ініціювати розробки планів, програм або заходів, спрямованих на конкретні ризики, і може вирішити прийняти ризик з міркувань витрат або з інших міркувань. Ризики можуть виникати або змінюватися відповідно до обставин, зокрема таких, як:

• зміни в середовищі, в якому проводиться діяльностіь. Зміни в регулярнторному або операційному середовищі можуть призвести до змін у конкурентному тиску і до появи суттєво відмінних ризиків;

• новий персонал. Нові працівники можуть мати інше розуміння внутрішнього контролю, або зосереджуватися на інших його аспектах;

• нові або модернізовані інформаційні системи¹. Суттєві або швидкі зміни в інформаційних системах можуть змінити ризики, пов’язані із внутрішнім контролем.

• швидкі темпи росту. Суттєве або швидке розширення діяльності може створити певне навантаження для контролю і збільшити ризик розвалу процедур контролю;

• нові технології. Впровадження нових технологий у процесвиробництва або в інформаційну систему може змінити ризик, по вязаний з внутрішнім контролем;

• нові моделі ведения бизнесу, нові продукти або види діяльності. Започаткування нового бизнесу або запровадження нових операцій, у сфері яких досвід субєкта господарювання є обмеженим, може створити нові ризики, пов’язані з внутрішнім контролем;

• корпоративна реструктуризация. Реструктурізація може супроводжуватися скороченням персоналу і змінами у функції нагляду або розмежуванням обов’язків, що в свою чергу, може змінити ризики, пов’язані з внутрішнім контролем;

• розширення закордонної діяльності. Розширення закордонної діяльності або придбання закордонних виробничих одиниць створює нові, часто унікальні ризики, які можуть вплинути на внутрішній контроль, наприклад, на появу додаткових або змінених ризиків в результаті операцій в іноземній валюті;

• нові положення бухгалтерського обліку. Прийняття нових принципов в бухобліку може вплинути на ризики, пов’язані з підготовкою фінансових звітів.

След звернути увагу, що іноді існують умови та події, які вказують на існування ризиків суттєвого викривлення. Наведені приклади охоплюють широке коло умов та подій; однак, не всі події та умови можуть мати відношення до кожного завдання з аудиторської перевірки, а перелік прикладов необов’язково має бути вичерпним.

• діяльність в економічнио нестабільність регіонах, наприклад, в країнах за значим знеціненням грошової одиниці або в країнах з гіперінфляцією.

• діяльність повязана з ризиком нестабільностних ринків, наприклад, торговля фьючерсами.

• складне і надмірне регулювання.

• проблеми безперервності діяльності підприємства та ліквідності, в тому числі втрата великих клієнтів.

• перешкоди в доступності капіталу та кредитів.

• зміни в галузі, до якої належить суб’єкт господарювання.

• зміни в ланцюгу постачання.

• розробка або пропозиція нових продуктов або послуг, або ж переход до нових видів діяльності.

• розширення в нових регіонах.

• зміни в середині субєкта господарювання, як то велике придбання або реорганізація чи інші незвичайні події.

• імовірність продажу суб’єктів господарювання або сегментів бізнесу.

• складні асоціації та спільні підприємства.

• використання позабалансовиого фінансування, спеціалізоіані суб’єкти господарювання та інші складні домовленості щодо фінансування.

• суттєві операції за звязаними сторонами.

• нестача персоналу з належим знаниям бухобліку із належимми навичками подготовки фінансових звітів.

• перестановки на ключових посадах, в тому числі серед ключових керівників.

• слабкі сторони внутрішнього контролю. Особливо ті, що не усуваються управлінським персоналом.

• невідповідність стратегії суб’єкта господарювання у сфері інформаційних технологий стратегії його бизнесу.

• зміни в середовищі інформаційних технологий.

• установка суттєвих нових систем інформаційних технологій, повязан их з фінансовою звітністю.

• перевірка фінансових результатов діяльності субєкта господарювання регуляторними та державними органами.

• викривлення в минулих периодах, дані щодо помилок або суттєвих коригувань на кінець периоду в минулому.

• суттєві суми нерегулярних або незвичайних операцій, в тому числі операцій всередені компанії та великі доходні операції на кінець периоду.

• операції.які обліковуються за вказівкою управлінського персоналу, наприклад, рефінансуванням боргу, продаж активів або класифікація цінних паперів, що легко реалізуються.

• – Застосування нових положень бухобліку.

• – Облікові оцінки, які вимагають складних підрахунків.

• – Події або операції, які передбачають суттєву неточность оценок, в тому числі облікових оценок.

• очікувані зміни в законодавстві або умовні зобов’язання, наприклад, гарантії на реалізовану прдукцію, фінансові гарантії та заходи для збереження довкілля.

У МСА №320 «Суттєвість в аудиті» відмічається, що аудитор повинен оцінювати суттєвість:

1) визначаючи характер, розрахунок часу та обсяг аудиторских процедур;

2) оцінюючи наслідки викривлень

Між суттєвістю й аудиторским ризиком є зворотний взаємозв’язок, тобто чим вище ревень суттєвості, тим ниже аудиторский ризик і навпаки.

Аудитор ураховує зворотній взаємозв’язок між суттєвістю й аудиторским ризиком при визначенні характеристику розрахунку часу та обсягу аудиторських процедур. Наприклад, якщо після планування конкретних аудиторских процедур аудитор визначає, що прийнятний ревень суттєвості нижний, аудиторський ризик підвищується.

Аудитор компенсує це:

а) знижуючи ревень оціненого ризику суттєвого викривлення, якщо це можливо, і підтверджуючи знижений ревень за допомогою проведення розширених або додаткових тестів контролю;

б) знижуючи ризик невиявлення помилки шляхом зміни характеру, розрахунку часу та обсягу запланованих процедур по суті.

Аудиторська оцінка суттєвості й аудиторського ризику на початковій стадії планування може відрізнятися від оцінки після оцінки результатов аудиторских процедур. Це можебути викликано зиіною обставин або зміною знань аудитора в результаті виконання аудиторских процедур. Наприклад, якщо аудиторські процедури виконуються до заключення періоду, аудитор може передбачити результати господарської діяльності і фінансовий стан.

Якщо ж фактичні результати діяльності і фінансовий стан суттєво відрізняються, оценка суттєвості й аудиторского ризику також може змінюватись. Крім того, плануючи аудиторську перевірку, аудитор може встановити прийнятний ревень суттєвості на рівні нижчому, ніж той, що передбачається використати для оцінки результатів аудиторської перевірки. Це може бути зроблено з метою зменшення ймовірності невиявлення викривлень, а також з метою надання аудитору певної безпеки під час оцінки наслідків викривлень, виявлених у процесі аудиторської перевірки.