15.3. Програмні питання

1. Поняття внутрішнього аудиту.

2. Мета та завдання внутрішнього аудиту.

3. Внутрішній аудит і система внутрішнього контролю.

4. Організація внутрішнього аудиту в процесі реформування системи обліково-економічної роботи.

5. Основні відмінності зовнішнього і внутрішнього аудиту.

6. Методика внутрішнього аудиту.

7. Робочі та підсумкові документи внутрішнього аудиту.

8. Реалізація підсумкових документів внутрішнього аудиту.

15.4. Література

1. Международные стандарты аудита и Кодекс этики профессиональных бухгалтеров. — М., 2000. — 699 с. (С. 48—80; 107—120.)

2. Національні нормативи аудиту. Кодекс професійної етики аудиторів України. — К.: Основа, 1999. — 274 с. (С. 20—40; 68—81.)

3. Аренс А., Лоббек Дж. Аудит: Пер. с англ.; Гл. редактор серии проф. Я. В. Соколов. — М.: Финансы и статистика, 1995. — 560 с. (С. 536—552.)

4. Аудит: Практ. пособие / Под ред. А. Н. Кузьминского. — К.: Учетинформ, 1996. — 283 с. (С. 64—71.)

5. Макальская А. К. Внутренний аудит: Учебно-практ. пособие. — М.: Дело и Сервис, 2000. — 80 с.

6. Савченко В. Я. Аудит: Навч. посібник. — К.: КНЕУ, 2002. — 322 с. (С. 277—291.)

Аудит у комп’ютерному середовищі

16.1. Методичні поради до вивчення теми

Вивчення теми передбачає розгляд таких питань:

• поняття аудиту в комп’ютерному середовищі;

• вимоги до аудиту в комп’ютерному середовищі та його організація;

• особливості проведення аудиту в комп’ютерному сере- довищі.

Аудит у комп’ютерному середовищі, або аудит в умовах ком­п’ютерних інформаційних систем, являє собою процес використання комп’ютерної техніки при плануванні аудиту, оцінці аудиторського ризику та виконанні аудиторських процедур і передбачає використання такої техніки клієнтом при здійсненні обліково-економічних функцій (веденні суб’єктом аудиту бухгалтерського обліку і складання фінансової звітності) [1, с. 144—150; 2, с. 216—226].

Комп’ютерне середовище може бути організовано у вигляді:

• автономних мікрокомп’ютерів;

• мікрокомп’ютерних систем;

• інформаційних комп’ютерних систем;

• систем баз даних.

Нормативне регулювання аудиту в умовах комп’ютерних інформаційних систем здійснюється шляхом використання відповідного Міжнародного нормативу аудиту [1, с. 144—150], Національних нормативів аудиту [2, с. 216—226] та Положень з міжнародної аудиторської практики [1, с. 375—408]. Для детального і глибокого розуміння питань даної теми необхідно насамперед ознайомитись зі змістом наведених нормативних документів.

Великі обсяги інформації потребують застосування сучасних комп’ютерних технологій її обробки. Але перехід до їх застосування — справа непроста. У зв’язку з цим доцільно:

— з’ясувати роль і значення вже наявної комп’ютерної техніки у здійсненні аудиту;

— оцінити з огляду на вимоги сьогодення рівень реального використання комп’ютерної техніки в середовищі, що перевіряєть- ся, та окреслити перспективні напрями її застосування. Оскільки збільшення обсягу обліково-аналітичної інформації на підприєм- ствах викликано передусім збільшенням різноманітної номенклатури матеріалів, які використовуються і вивчаються, осмислення та перевірка такого великого потоку інформації при здійсненні аудиту неможливі без впровадження сучасної комп’ютерної техніки. Упровадження комп’ютерної техніки значно підвищує ефек- тивність аудиторських послуг, аудиторська перевірка набуває якіс­но нового змісту, охоплює всі операції і процеси, які здійснюються на підприємстві.

Для використання комп’ютерної техніки в процесі аудиту необхідно розробити типові програми та передбачити рішення, що забезпечують виконання завдань аудиту. Для цього потрібні знання технології обробки інформації на комп’ютері, а технічні носії інформації мають набути юридичної сили. Для розробки нової системи комп’ютеризованого контролю потрібно не лише скласти програми дій, а й забезпечити його практичне здійснення.

При здійсненні аудиту із застосуванням комп’ютерів показники в обліково-економічній системі розглядаються на таких рівнях. Перший рівень пов’язаний із перевіркою знаків (символів), літер, чисел та іншої інформації, забезпечує глибоку перевірку змісту операції, другий ґрунтується на вивченні змістової значущості даних, на їх логічності і узгодженості, на третьому досліджуються помилки в даних, що впливають на ефективність роботи підприємства. Аудиторський контроль в умовах комп’ютери­зації дає змогу виявити недоречності в первинних бухгалтерських документах, які допущені перед уведенням даних в ком­п’ютер унаслідок неправильних дій під час попередньої обробки бухгалтерських даних, незаконності застосування окремих символів у кодуванні облікової інформації.

Для посилення аудиторського контролю за змістом фінансово-господарських операцій в умовах комп’ютеризації важливо в автоматичному режимі співвіднести такі показники: код господарських операцій зі змістом операції, типові коди для аналогічних підприємств, типову кореспонденцію рахунків бухгалтерського обліку, коди форм первинного облікового документа зі змістом і складом інформації, введеної до комп’ютера, тощо.

Великого поширення набуває використання комп’ютерної тех­ніки з виходом до каналів зв’язку. Проте використання дистанційної перевірки, незважаючи на її величезну перевагу, ще не вирішує завдань щодо посилення контрольних функцій.

Ефективності аудиту в багатьох державах світу сприяє використання сучасних комп’ютерних технологій. Комп’ютерна техніка дає можливість зробити точніші розрахунки показників ліквідності підприємств їх платоспроможності, оцінки рентабельнос­ті активів, пасивів капіталу. Автоматизований бухгалтерський об­лік на підприємствах сприяє здійсненню аудиторських послуг в короткий строк і якісно. Необхідно зазначити, що більшість аудиторів, особливо внутрішніх, використовують програмне забезпечення аудиту, тобто комп’ютерні програми для перевірки змісту файлів замовника.

Аудитори при наданні аудиторських послуг використовують комп’ютери для здійснення аналітичних, розрахункових та інших не­обхідних аудиторських процесів. В Україні аудиторам слід користуватися Рішенням АПУ 73 від 18 грудня 1998 року, яким затверджено текст Національних нормативів аудиту в Україні, і зокрема нормативом 30 [2, с. 216—222] «Використання ком­п’ютерів в аудиті».

У ньому зазначається, що мета і галузь діяльності аудитора не змінюються, коли йдеться про перевірку середовища електронної обробки даних (ЕОД). Цим самим нормативом регулюються і інші питання використання комп’ютерів в аудиті.

Однак прикладна програма може поставити аудитора пе- ред необхідністю використання комп’ютера як засобу контролю. Ці різноманітні варіанти використання комп’ютера відомі як «Методи аудиту при сприянні комп’ютера (МАСК)». Метою цього нормативу є забезпечення використання МАСК. Ці методи можна використовувати із залученням усіх відомих типів і конфігурацій комп’ютерів.

Необхідність використання МАСК виникає тоді, коли відсутні вхідні документи і неможливо простежити повний хід операцій (контрольний слід), а також тоді, коли ефективність аудиту можна значно поліпшити використовуючи спеціальні комп’ютерні аудиторські програми.

Цей норматив описує два найзагальніші методи — програмне забезпечення контролю (ПЗК) і дані тесту, які використовуються для забезпечення завдань контролю цього нормативу.

ПЗК складається з комп’ютерних програм, які використовуються аудитором як частина процедур перевірки, що обробляють дані контрольних тестів системи обліку аудиту. ПЗК може являти собою пакет програм або окремі програми і утиліти. Незалежно від джерела виникнення ПЗК аудитор пови- нен довести можливість їх використання для проведення пе- ревірки. ПЗК може бути підготовлене безпосередньо аудитором, написане залученим до цієї роботи програмістом. Програми можуть використовуватися як високоефективний лічиль­ний інструмент. До них можна вносити зміни відповідно до ви­мог, які виникають з особливостей обліку клієнта. При плануванні аудиту необхідно розглянути можливість комбінування аналізу даних без застосування ПЗК з обробкою на комп’ю­тері. Утиліти використовуються для того, щоб виконати за- гальні функції обробки даних, сортування, створення і виводу файлів на друк.

Перевірка методом тестування даних використовується під час проведення процедур контролю. Отриману вибірку даних вводять у комп’ютерну систему клієнта і порівнюють з результатами перевірки. Дані тесту використовуються для перевір- ки специфічних засобів управління в комп’ютерних програ- мах щодо типу інтерактивного паролю і доступу до даних. На шляху операцій тесту використовується «фіктивний» модуль (наприклад відділ або службова особа), дії цього модуля визначені, результати порівнюються з проходженням даних через аналогічний модуль програми клієнта. Якщо контрольні дані обробляються разом з реальними даними клієнта, ауди- тор повинен бути впевненим, що після завершення тестуван- ня всі контрольні записи будуть вилучені з реального розрахунку клієнта.

Використання ПЗК може обмежуватися тестуванням окремих розділів або простеженням шляху однієї суми, а може включати процедури, пов’язані з побудовою бухгалтерського балансу клієнта. МАСК може використовуватися для виконання різноманітних процедур перевірки:

• тестування подробиць обробки інформації в системі обліку клієнта;

• аналітичний огляд процедур для виявлення невизначених випадків;

• доступ до файлів даних і бібліотек;

• тести на відповідність програмних засобів і систем управління та обліку.

Під час планування перевірки аудитор має розглянути відповідну комбінацію організації і методів аудиту за сприяння ком­п’ютера. Необхідно врахувати чинники, що впливають на прий- няття рішень при використанні комп’ютера:

• знання комп’ютера, кваліфікація і досвід аудитора, сумісність МАСК і технічних засобів;

• ефективність;

• синхронізація у часі.

Аудитор, який здійснює аудит у середовищі ЕОД, повинен мати необхідні навики і досвід роботи з технікою, що виконує підрахунки, або залучити до роботи спеціаліста і делегувати йому частину своїх функцій. Рівень необхідних знань залежить від складності і конфігурації конкретного методу аудиту і програмного забезпечення контролю, а також системи обліку клієнта. Для застосування МАСК за конкретних обставин може виникати необхідність у використанні найсучасніших комп’ютерних технологій, якими володіють професіонали високого класу.

Проаналізувавши відповідність МАСК засобам обслуговування комп’ютера і необхідним автоматизованим системам бухгалтерського обліку, а також картотекам, аудитор може запланувати використання інших програмних засобів у тому разі, коли виконання аудиту з використанням МАСК на комп’ютерній техніці клієнта буде неефективним, надто дорогим і непрактичним, наприклад через несумісність з операційною системою.

Може виникнути необхідність у допомозі персоналу клієнта аудитору, а саме: забезпечити роботу технічних засобів у найсприятливіший час, завантажити і запустити пакети програм МАСК на комп’ютерах клієнта, забезпечити копіями даних у формі, яка необхідна аудитору.

Деякі комп’ютерні файли зберігаються протягом короткого часу і не можуть бути доступними за першої необхідності. Тому аудитор повинен вжити відповідних заходів для збереження в пам’яті комп’ютера даних, які знадобляться йому в майбутньому, або змінити час звернення до клієнта для отримання тієї чи іншої інформації.

У ситуаціях, коли час перевірки обмежений, аудитору доцільно планувати використання МАСК, оскільки це скорочує витрати часу порівняно зі звичайними методами огляду і аналізу.

Основні дії аудитора при використанні прикладної програми МАСК:

• визначення мети прикладної програми;

• визначення змісту та доступності файлів об’єкта аудиту;

• визначення типів операцій і шляхів, які необхідно перевірити;

• визначення аудиторських процедур у системі програм;

• визначення розподілу обов’язків між комп’ютерним персоналом і керівництвом;

• зіставлення зиску від використання ПЗК з витратами на його впровадження;

• оцінка рівня впевненості, що програмне забезпечення контролю буде правильно оформлено, необхідним чином зафіксовано і зареєстровано;

• визначення дефіциту в комп’ютерній техніці і вміння користуватися нею;

• використання функцій програми і оцінка отриманих результатів.

Аудитор повинен керувати процесом використання програми МАСК. Таке керівництво забезпечить правильне виконання процедур програми, допоможе виключити персонал клієнта в управлінні МАСК. Специфіка роботи з прикладною МАСК буде залежати від параметрів і властивостей самої програми, тому аудитору необхідно: ухвалити технічні моменти і виконати огляд роботи з використанням МАСК; зробити огляд засобів керування системою ЕОД підприємства, наприклад можливість внесення виправлень у систему програми і доступ до бази даних. Якщо аудитора не задовольняє організація робочого місця при використанні комп’ютера клієнта, він має право проводити обробку інформації за допомогою МАСК на іншому, більш придатному для поставленої мети комп’ютері; слід гарантувати відповідну інтеграцію та імплементацію висновків аудитора в процесі контролю.

Аудитор для керування контрольними прикладними програмами виконує такі процедури:

• проектування і тестування комп’ютерних програм;

• отримання гарантії того, що програма працює відповідно до деталізованої спеціалізації;

• перевірка відповідності конфігурації комп’ютера клієнта вимогам установки ПЗК;

• перевірка програми на великих тестових файлах перед запус­ком в основну роботу;

• перевірка можливості обробки ПЗК необхідних обсягу і кіль­кості інформації;

• перевірка правильності функціонування ПЗК — адекватність інформації введенню-виведенню;

• організація відповідного контролю за доступом до ПЗК, який виключає несанкціонований доступ і маніпуляцію даними.

Постійна присутність аудитора під час керування програмою МАСК необов’язкова, однак треба мати гарантію виконання необхідних процедур аудиту. Щоправда, така присутність бажана, тому що може забезпечити практичну вигоду, тобто можливість своєчасно зреагувати на несподіваний результат, змінити дані помилкового прикладу, виправити неправильний вхідний файл тощо.

Аудитор в процесі керування прикладними програмами здійснює:

• керування послідовністю подачі тесту, коли це стосується обробки кількох циклів;

• використання тесту спочатку на малій кількості даних, а потім запуск програми з повним набором даних;

• підтвердження того, що для обробки даних використовувалася ефективна версія ПЗК;

• забезпечення використання ПЗК для обробки даних у відповідний строк і в контрольних точках, які мають суттєвий розмір.

Використовуючи МАСК, аудитор може визнати за необхідне залучення працівника клієнта, який працює за комп’ютерним фахом. У такому разі аудитор має переконатися, що не існує можливості втручання працівника клієнта в роботу ПЗК, а відтак і впливу на результати тестування.

Стандарти робочих документів і процедур для МАСК повинні відповідати документам і процедурам аудиторської перевірки в цілому. Технічну документацію з МАСК необхідно тримати окремо від інших робочих документів аудитора.

Робоча документація на ПЗК МАСК повинна включати таку кількість інформації, щоб аудитор мав змогу описати свою прик­ладну програму, в тому числі інформацію про: мету, специфіку МАСК, засоби управління МАСК, укомплектування персоналом, її синхронізацію і вартість; виконання, підготовку і проведення процедур тестування та оцінку засобів управління; деталі і подробиці тестів, які виконують МАСК; деталі і подробиці висновку, обробку та вивід ін- формації; технічну інформацію стосовно доказів; опис роботи контролю програми, висновки про контроль тощо.