Аудит в среде компьютерных информационных систем (401)

Целью данного Международного стандарта аудита (МСА) является установление стандартов и предоставление руководства в отношении процедур, которые необходимо соблюдать при проведении аудита в среде компьютерных информационных систем (КИС). Для целей данного МСА, среда КИС существует, когда субъект применяет компьютер любой модели или размера для обработки финансовой информации, значимой для аудита, независимо от того, используется ли компьютер данным субъектом или третьей стороной.

Аудитор должен рассмотреть, каким образом среда КИС влияет на аудит.

Общая цель и масштаб аудита не меняются в среде КИС. Тем не менее, применение компьютеров вносит изменения в процесс обработки, хранения и сообщения финансовой информации и может влиять на системы бухгалтерского учета и внутреннего контроля, используемые субъектом. Соответственно, применение среды КИС может оказать влияние на:

• процедуры, соблюдаемые аудитором в процессе получения достаточного понимания о системах бухгалтерского учета и внутреннего контроля;

• рассмотрение неотъемлемого риска и риска средств контроля, посредством чего аудитор приходит к оценке риска;

• разработку и осуществление аудитором тестов средств контроля и процедур проверки по существу, необходимых для достижения целей аудита.

Аудитор должен обладать достаточным знанием КИС для того, чтобы планировать, направлять, осуществлять надзор и обзорную проверку выполненной работы. Аудитор должен рассмотреть вопрос о необходимости специализированных умений в области КИС для проведения аудита. Такие умения могут понадобиться для:

• получения достаточного понимания систем бухгалтерского учета и внутреннего контроля, на которые оказывает влияние среда КИС;

• определения влияния среды КИС на оценку общего риска и риска на уровне сальдо счетов и класса операций;

• разработки и проведения надлежащих тестов средств контроля и процедур проверки по существу.

Если необходимы специализированные умения, аудитор может обратиться за помощью к специалисту, обладающему такими умениями и являющемуся либо работником аудиторской фирмы, либо приглашенным профессионалом. Если планируется привлечение такого специалиста, аудитор должен получить достаточные надлежащие аудиторские доказательства того, что работа эксперта адекватна целям аудита согласно МСА 620 "Использование работы эксперта".

В соответствии с МСА 400 "Оценка рисков и внутренний контроль" аудитор должен получить понимание систем бухгалтерского учета и внутреннего контроля, достаточное для планирования аудита и разработки действенного подхода к его проведению.

При планировании стадий аудита, на которые может повлиять среда КИС субъекта, аудитор должен получить представление о значимости и сложности процессов функционирования КИС, а также о доступности данных для использования при аудите.

Если КИС играют значительную роль, аудитор должен получить представление о среде КИС и возможности ее влияния на оценку неотъемлемого риска и риска средств контроля.

В соответствии с МСА 400 "Оценка рисков и внутренний контроль" аудитор должен производить оценку неотъемлемого риска и риска средств контроля в отношении существенных предпосылок подготовки финансовой отчётности.

Неотъемлемые риски и риски средств контроля в среде КИС могут оказывать как обобщенное, так и специфическое для конкретных счетов влияние на вероятность существенных искажений информации. Например:

• риски могут являться следствием недостатка таких функций КИС, как разработка и эксплуатация программы, поддержание системного программного обеспечения, операции, обеспечение физической защиты КИС, а также контроль над доступом к специализированным обслуживающим программам. Эти недостатки оказывают обобщенное влияние на все прикладные системы, подвергающиеся компьютерной обработке;

• риски могут увеличить вероятность ошибок или мошеннической деятельности в конкретных прикладных программах, базах данных или главных файлах, а также при специфических случаях компьютерной обработки.

В соответствии с МСА 400 "Оценка рисков и внутренний контроль" аудитор должен учитывать среду КИС при разработке аудиторских процедур с целью снижения аудиторского риска до приемлемо низкого уровня.

Конкретные цели аудита не зависят от того, обрабатываются ли учетные данные вручную или на компьютере. Тем не менее, на способы применения аудиторских процедур с тем, чтобы собирать аудиторские доказательства, могут оказывать влияние способы компьютерной обработки данных. Аудитор может применять либо методы ручной обработки данных, либо применять методы аудита с помощью компьютеров, либо комбинировать оба метода с целью получения достаточного доказательственного материала. Однако в некоторых системах бухгалтерского учета, которые использую компьютеры для работы крупных прикладных программ, аудитору невозможно или нелегко получить определенные данные для инспектирования, запроса или подтверждения без помощи компьютера.