2.2 Методика проведення аудиту в середовищі інформаційних систем

Проведення аудиту в умовах використання комп’ютерних систем регламентується як міжнародними, так і національними нормативами, зокрема Міжнародним стандартом № 401 “Аудит в умовах комп’ютерних інформаційних систем”. Діє також положення про міжнародну аудиторську практику, присвячені питанням проведення аудиту в середовищі різних комп’ютерних інформаційних систем і водночас оцінці аудиторських ризиків, а також вимогам до спеціальних знань аудиторів про комп’ютерні інформаційні системи.

В Україні діє Національний норматив аудиту № 13 “Аудит в умовах електронної обробки даних”, який регламентує дії аудиторської організації при здійсненні аудиту в умовах комп’ютерної інформаційної системи, що функціонує на підприємстві, яке перевіряють, а також нормативи № 30 “Використання комп’ютерів у галузі аудиту” та № 31 “Вплив системи електронної обробки даних на оцінку систем бухгалтерського обліку та внутрішнього контролю” [42, с. 54].

Застосування підприємствами комп’ютерних інформаційних мереж та різних видів обчислювальної техніки у процесі збору й узагальнення інформації вимагає зміни підходу до системи контролю за результатами їх діяльності.

Водночас комп’ютерна обробка даних впливає на процес вивчення аудитором системи обліку і внутрішнього контролю підприємства, що перевіряється.

В організаційному аспекті проф. B.I. Подольський розглядає комп’ютерний аудит як використання комп’ютерів і сучасних інформаційних технологій для організації аудиторської діяльності, включаючи аудиторські перевірки фінансової звітності й підготовку аудиторського висновку, а також надання супутніх аудиту послуг [56, 12]. А С. Менсон та С. Мак Картні під автоматизацією аудиту (audit automation) мають на увазі використання інформаційної технології в плануванні, контролі та документуванні аудиторської роботи [39]:

- у плануванні: створення бюджетів часу та розподіл функцій між учасниками (creation of time budgets, allocation of staff to functions), розрахунок фінансових та статистичних показників при здійсненні аналітичних процедур (calculation of financial ratios for analytical review);

- у контролі: підготовка стандартної документації (standard documentation), підсумовування результатів (summary of results), складання блок-схем (flowcharting);

- у документуванні: облік часу та витрат в аудиторському проекті (recording of time and costs).

Р. Вебер розглядає аудит власне інформаційних систем (information systems auditing), який ним визначається як процес збирання та оцінювання доказів з метою визначення, чи комп’ютерна система зберігає цілісність даних, забезпечує ефективне виконання цілей організації та ефективне використання її ресурсів. Такий підхід він пояснює тим, що з переходом від ручних до комп’ютерних інформаційних систем внутрішні засоби контролю, на які в основному спирається у своїй роботі аудитор, стають більш комплексними, а тому процес їх оцінювання – більш складним. Тестування комп’ютерних систем клієнта він розглядає як дуже важливий і необхідний процес при проведенні аудиту фінансової звітності.

На ТОВ “Карпатнафтохім” немає окремого відділу внутрішнього аудиту, проте обов’язки проведення аудиту покладені на окремих працівників бухгалтерії. Аудит на підприємстві проводиться з використанням комп’ютерних інформаційних систем.

В умовах функціонування автоматизованих інформаційних систем зазнають певних змін основні принципи аудиту. Відповідно застосування КІСП може вплинути на:

- процедури, яких дотримується аудитор у процесі одержання достатнього уявлення про системи бухгалтерського обліку і внутрішнього контролю;

- аналіз властивого ризику і ризику системи контролю, за допомогою чого аудитор проводить оцінку ризику;

- розробку і здійснення аудитором тестів системи контролю і процедур перевірки по суті, необхідних для досягнення цілей аудиту.

Застосування комп’ютерної техніки вносить певні зміни до організації бухгалтерського обліку, при чому обчислювальна техніка з допоміжного засобу перетворюється на визначний фактор організації обліку, змінюючи не тільки форму обліку, але й зміст. Ці зміни зумовлені тим, що змінюються способи обробки інформації, за яких забезпечується різна швидкість надання звітної інформації. Вона забезпечується, як правило, раціональною організацією облікових даних, одноразовим їх отриманням та передачею по всіх напрямках.

Комп’ютеризація принципово не змінює елементів методу бухгалтерського обліку. Найбільші зміни відбуваються в технології обробки облікової інформації, що виражається в порядку побудови комп’ютерних форм бухгалтерського обліку. Натомість методика аудиту підприємств, на яких використовуються комп’ютерні інформаційні системи підприємства та комп’ютерні системи бухгалтерського обліку, котрі мають значний вплив на ведення бізнесу та бухгалтерського обліку, зазнає значних суттєвих змін, хоча загальна мета і обсяг аудиту не змінюються. Зберігаються його завдання, діють основні елементи його методології [36, с. 289].

Основними завданнями аудиту праці та зарплати на ТОВ “Карпатнафтохім” є перевірка правильності визначення виробітку робітника і часу, затраченого на виконання робіт, отримання відомостей про виконання норм кожним працівником, точне й своєчасне нарахування заробітку кожного робітника, систематичний контроль за правильністю використання фондів заробітної плати та ін.

Основними передумовами автоматизації цієї ділянки бухгалтерського обліку є велика різноманітність форм вхідних та вихідних документів, висока трудомісткість збору, реєстрації та обробки інформації, багатогранність розв’язуваних задач та їх значимість, масовість вхідної інформації для нарахування заробітної плати та утримань‚ складність виконуваних розрахунків.

Для автоматизованої обробки інформації по обліку праці та зарплати на ТОВ “Карпатнафтохім”використовуються три групи первинних документів: довідкові, оперативні та документи для внесення змін. Довідкові документи містять дані про працівника, систему оплат праці та інші відомості, потрібні для повного автоматизованого розрахунку заробітної плати. До основних довідкових документів відносяться особовий рахунок працівника, наказ про прийняття на роботу, наказ про звільнення з роботи, накази про переміщення, виконавчі листи та ін.

Оперативні документи служать для відображення поточної інформації. Основними носіями вхідної інформації з обліку праці і заробітної плати є первинні документи [20, с.189]:

- табель обліку робочого часу і нарахування заробітної плати (форма № 13.1) - ведеться для працівників із погодинною оплатою праці;

• наряд на відрядну роботу (форма № 13.2) відображає склад виробничого завдання для виконання кожним робочим визначеної роботи на протязі розрахункового періоду;

• єдиний наряд бригади (форма № 13.3) використовується при бригадній формі організації праці. Зворотна сторона документа відображає склад бригади та її виробіток;

• листок тимчасової непрацездатності;

• наказ про надання чергової відпустки.

Документи про внесення змін необхідні для здійснення корекції масивів машинних носіїв, створених на основі документів перших двох груп. Якщо документи перших двох груп є в основному типовими формами, то документи третьої групи мають індивідуальний (внутрішній) характер і розробляються кожним підприємством, організацією чи установою.

При використанні інформаційних систем обліку праці й зарплати на ТОВ “Карпатнафтохім” передбачено використання кодів: категорій та професій робітників, режимів роботи робочих і службовців, видів оплат та утримань, синтетичних рахунків та субрахунків аналітичного обліку та ін.

У роботі зі спеціальним аудиторським програмним продуктом поетапно виконують такі процедури.

На першому етапі аудитор визначає завдання, які необхідно вирішити під час перевірки за допомогою спеціального програмного забезпечення.

На другому етапі складають план виконання поставлених завдань і роблять оцінку реальності застосування аудиторських програмних засобів. З цією метою здійснюють аналіз форми і методів застосовуваного на підприємстві бухгалтерського обліку й оцінюють можливість застосування спеціального аудиторського програмного забезпечення. При цьому встановлюють обсяг облікової інформації, обсяг роботи аудитора, кількість часу, необхідні для проведення аудиторської перевірки. На цьому етапі визначають потрібну потужність обчислювальної техніки і складають графік виконання аудиторських робіт із зазначенням обсягів виконуваних робіт, термінів виконання, конкретних виконавців та форми завершення.

На третьому етапі здійснюють налагодження стандартних програмних засобів, розробку нових засобів, необхідних для цієї аудиторської перевірки. Наявні програмні засоби адаптуються для фактичних облікових даних.

На четвертому етапі здійснюють перевірку сформованих на електронних носіях даних з метою підтвердження їхньої незмінності, оцінюють стан підприємства, яке перевіряють, проводять тестування й обробку за графіком, аналіз отриманої інформації, її оцінювання за допомогою бази знань і формують комп'ютерний висновок за позиціями, котрі перевіряють.

У створенні аудиторських систем є дві базові стратегії:

- мінімізація витрат на введення початкових даних;

- мінімізація ризику пропуску помилкових даних у фінансовій документації.

Вибираючи першу стратегію, можна використовувати введення інформації на зразок “так – ні”, яку задають набором тестів, або частково відмовитись від уведення бухгалтерської інформації клієнта. Цей шлях може призвести до значного ризику допущення помилок. Друга стратегія потребує значних витрат на введення початкових даних. Для скорочення цих витрат можна орієнтуватися на первинну інформацію клієнта, у якій відбито всі фінансово-господарські операції на аналітичному і синтетичному рівнях. З цією метою можна використовувати конвертацію даних бухгалтерської системи клієнта в програмне середовище аудиторської системи чи адаптацію аудиторської системи до структури інформаційної бази клієнта.

Вітчизняний ринок спеціальних інформаційних систем аудиту лише починає розвиватися. На світовому ринку представлені аудиторські програми трьох типів:

- спеціальні програмні засоби комп’ютерного аудиту;

- програмні засоби підтримки аудиторських процедур;

- пакети прикладних програм загального і проблемно-орієнтованого призначення.

Перший тип програм – спеціальні програмні засоби комп'ютерного аудиту – призначений для проведення аудиту безпосередньо комп'ютерної системи клієнта шляхом її тестування з використанням різноманітних методів. Результатом є висновок про фактичну працездатність процедур контролю та захисту даних у системі, що дозволяє оцінити ризик неефективності контролю і визначити можливість використання бази даних клієнта в проведенні аудиторської перевірки.

Другий тип програм – програмні засоби підтримки аудиторських процедур – забезпечує роботу з великими масивами даних, що перевіряються, при виконанні аудиторських процедур (наприклад, перевірка й аналіз записів, зіставлення даних різних файлів, розмітка і роздрукування вибірок, генерація звітів тощо).

Програмні засоби підтримки аудиторських процедур допускають виконання певних тестів на фактичних даних. За допомогою таких програмних засобів здійснюють аудиторську перевірку й аналіз записів на основі визначених критеріїв з метою визначення їхньої якості, повноти і правильності. Для цього також використовують базу знань, що допомагає визначити невідповідності і прийняти необхідні рішення. Таке програмне забезпечення дозволяє робити тестування розрахунків, виконувати необхідні перерахунки і зіставляти отримані результати з нормативними, кошторисними, попередніми даними.

Здебільшого комп’ютерний аудит інформаційних систем потрібний, якщо автоматизована система призначена для обробки конфіденційної чи секретної інформації. Але саме до таких належать комп’ютерні системи бухгалтерського обліку. Проведення комп’ютерного аудиту корисно також після побудови автоматизованої системи та її підсистеми безпеки на етапі прийому в експлуатацію для оцінки ступеня дотримання висунутих до неї вимог.