4.6. Комп'ютерне шахрайство: визначення та ознаки

Аудитор повинен виявити слабкі місця контролю системи ком­п'ютерного обліку, а також організаційні заходи перевірки цілісності даних і відсутності комп'ютерних вірусів.

У процесі аудиту необхідно проаналізувати систему контролю підготовки бухгалтерських даних, перевірити, які заходи вживає клі­єнт, щоб запобігти появі помилок і фальсифікацій.

Аудитору необхідно враховувати, що застосування програмного забезпечення господарюючим суб'єктом значно впливає на ризик появи помилок і відхилень в обліку (рис. 1.23).

90

Рис. 1.23. Класифікація помилок в автоматизованій системі бухгалтерського обліку

На підставі вивчення спеціальної зарубіжної і вітвизняної літера­тури (А. Романов, Б. Одінцов, С. Івахненко, В. Вирганенко, Ю. Михайлов) можна подати найбільш загальну характеристику за­ходів конторолю в автоматизованому режимі опрацювання інфор­мації. При виконанні операцій автоматизованої системи бухгал­терського обліку в автоматичному режимі заходи можуть бути на­ступними.

Заходи контролю за доступом - це процедури, призначені для обмеження доступу до онлайнових терміналів, програм і даних. За­ходи контролю за доступом складаються з "розпізнавання користу­вача" та "санкціонування користувача". "Розпізнавання користува­ча", як правило, ідентифікує користувача за допомогою засобів іден­тифікації користувача при вході в систему, паролів, карток доступу або біометричних даних. "Санкціонування користувача" складається з правил доступу для визначення того, до яких з ресурсів комп'ютера кожен користувач має право доступу. Зокрема, такі процедури призначені для унеможливлення або виявлення:

91

• несанкціонованого доступу до онлайнових терміналів, про­грам та даних;

• проводки несанкціонованої операції;

• несанкціонованих змін файлів даних;

• використання комп'ютерних програм несанкціонованим пер­соналом;

• використання несанкціонованих комп'ютерних програм. Заходи контролю за змінами програм - це процедури,

призначені для унеможливлення або виявлення некоректних змін до комп'ютерних програм, доступ до яких здійснюється через онлайнові термінали. Доступ можна обмежити такими заходами контролю, як використання окремих операційних бібліотек, бібліотек розробки програм та застосування спеціалізованого про­грамного забезпечення бібліотеки програм. Важливо належним чи­ном документувати й контролювати онлайнові зміни до програм, а також управляти ними.

Заходи контролю прикладних програм у комп'ютерних інформаційних системах - це конкретні заходи контролю за відповідними бухгалтерськими комп'ютерними прикладними про­грамами. Призначення контролю прикладних програм - запровадити конкретні заходи контролю за бухгалтерськими прикладними про­грамами для забезпечення обгрунтованої впевненості в тому, що всі операції санкціоновані, відображені та оброблені в повному обсязі, точно та своєчасно.

У більшість бухгалтерських програм контрольна діагностика об­межена і неадекватна вимогам відносно дієвості і надійності внутрішнього комп'ютерного контролю.

Достатньо проблем виникає, коли бухгалтерські програми мають розвітлении аппарат автоматичного ініціювання деяких операцій (наприклад формування показників фінансової звітності). Тому ви­никає необхідність з'ясувати адекватність розмежування контроль­них функцій між посадовими особами (бухгалтерами, менеджерами, фахівцями за комп'ютерними системами), ступінь виконання обов'язків програмістів по наладці програм з метою виключення можливостей перевищення прав під час внесення змін у програмне забезпечення обліку.

Наслідком невирішення цих проблем є зростання випадків комп'ютерного шахрайства. Відома достатня кількість способів зло­вживання типу: "підміна даних", "прибирання сміття", "троянський

92

кінь", "люк", "асинхронна атака", "комп'ютерний вірус" тощо. Так, "люк" - це прийом, який передбачає необхідність "розірвати" про­граму в будь-якому місці і вставити туди додатково одну або декіль­ка команд, які дозволять їй здійснювати нові, незаплановані розроб­ником функції, але одночасно зберігати і минулу роботоздатність. "Асинхронна атака" -прийом, заснований на

можливості змішати команди двох або декількох користувачів, чиї програми комп'ютер виконує одночасно.

Щоб локалізувати і встановити джерело і механізм комп'ютерних зловживань, необхідно знати умови які їм сприяють, а саме:

• доступ безпосередньо до комп'ютера або терміналу, до файлів даних, до комп'ютерних програм, до системної інформації;

• наявність часу і можливостей для використання комп'ютерних засобів в особистих цілях.

В МСА 315 "Розуміння суб'єкта господарювання та його сере­довища та оцінювання ризиків суттєвого викривлення" опису­ються загальні заходи контролю в системі інформаційних техноло­гій, які спрямовані на підтримку ефективного функціонування про­цедур контролю за прикладними програмами шляхом забезпечення безперервної і належної роботи інформаційних систем. Такі проце­дури контролю стосуються головного комп 'ютера, міні-машин та середовища кінцевого користувача. Прикладами таких загальних заходів є: контроль за змінами в програмі; процедури контролю, що обмежують доступ до програм і даних; за впровадженням нових версій пакетів прикладного програмного забезпечення, за систем­ним програмним забезпеченням, яке обмежує доступ або контро­лює використання утиліт систем, які можуть внести зміни до фі­нансової інформації, не залшиаючи можливість їх відстеження в ході аудиторської перевірки.

ЗАПАМ'ЯТАЙТЕ

Брандмауер (апаратно-програмні засоби міжмережевого за­хисту) - комбінація апаратного та програмного забезпечення, яка захищає глобальну та локальні мережі або персональний комп 'ютер від несанкціонованого доступу через інтернет, а та­кож від установлення несанкціонованого або руйнівного програм­ного забезпечення, даних або іншого матеріалу в електронній фо­рмі. Глосарій термінів з аудиту [6, С.234].

93

ЗАКРІПЛЕННЯ ГОЛОВНОГО

ЧИ ЗАСВОЇЛИ ВИ ОСНОВНІ ПОНЯТТЯ ?

1. Що таке аудиторський ризик та його складові?

2. Які фоктори характеризують середовище внутрішнього контро­лю на підприємстві?

3. Яка різниця між звичайною помилкою та шахрайством?

4. Які фактори характеризують суттєвість інформації?

5. Як впливають істотність помилок та шахрайства на аудиторські висновки?

ЗАВДАННЯ

l.Проаналізуйте ситуацію. 2.Визначте невідповідності нормативним актам. 3.Сформулюйте суть невідповідностей.

Ситуація 1.6

Акціонерне товариство "Кондитерська фабрика "Золотий клю­чик" розірвало договір зі звоїми аудиторами і запросило вашу фірму бути його аудитором.

Що ви зробите в цьому випадку?

Рішення ситуації 1.6

Незважаючи на те, що тут є легка можливість отримати нового клієнта, ваша фірма не може приступити до роботи без проведення деяких запобіжних заходів. Чесність фірми і довіра до неї значною мірою залежать від чесності її клієнтів.

У зв'язку з цим ваша фірма може, наприклад, з'ясувати, чому фа­брика розірвала договір зі своїми аудиторами. Відповідь може бути вирішальним фактором для прийняття вашого рішення. Наприклад, фабрика могла розірвати договір зі своїми аудиторами, тому що ті розкрили махінації менеджерів (реалізація великих обсягів неврахо­ваної продукції в особистих цілях тощо).

Аудиторська фірма повинна зробити свою власну оцінку того, обрати їй цього клієнта чи ні. З цією метою необхідно:

94

• отримати фінансову звітність за попередній період для озна­йомлення з фінансовим становищем фабрики;

• провести оцінку того, наскільки прийняття клієнта вплине на незалежність аудиторської фірми;

• провести аналіз можливого виникнення конфлікту інтересів {наприклад, найбільший конкурент фабрики вже є клієнтом вашої фірми);

• отримати інформацію від третіх сторін для оцінювання репу­тації можливого клієнта і чесності менеджерів.

(МСА 315 "Розуміння суб'єкта господарювання та його середовища та оцінка ризиків суттєвих викривлень " [6])

Ситуація 1.7

Розглядаючи залишки на бухгалтерському рохунку "Розрахунки з оплати праці" та відображення конкретних операцій на ньому, ау­дитор встановив деякі невідповідності та порушення законів і регу­ляторних вимог.

Для цього аудитором проведена комп'ютеризована перевірка платіжних відомостей по заробітній платі для ідентифікації повто­рюваних адрес, ідентифікаційних податкових кодів отримувачів, ідентифікаційних номерів працівників, банківських рахунків.

Яку саме мету переслідував аудитор виконуючи вказану проце­дуру:

• з'ясувати факт шахрайства, пов'язаний з викривленням пока­зників фінансової звітності?

• з'ясувати факт шахрайства, пов'язаний з привласненням ак­тивів?

• з'ясувати факт шахрайства, пов'язаний з оцінкою відповіда­льності управлінського персоналу?

Ситуація 1.8

Під час проведення аудиторської перевірки один із працівників клієнта, натякав аудиторові про факти шахрайства на підприємстві; інший скаржився аудиторові з тієї самої причини.

Чи може аудитор ці обставини сприймати як свідчення про мож­ливість того, що фінансові звіти містять суттєві викривлення внаслі­док шахрайства?

95

ВИВЧАЄМО МІЖНАРОДНІ СТАНДАРТИ

АУДИТУ, НАДАННЯ ВПЕВНЕНОСТІ

ТА ЕТИКИ

(Витяг)

МСА 320 «Суттєвість в аудиті» Взаємозв'язок між суттєвістю й аудиторським ризиком

9. Плануючи аудиторську перевірку, аудитор розглядає питання про те, що могло б спричинити суттєве викривлення фінансових звітів. Розуміння аудитором суб 'єкту господарювання та його середовища створюють для ного систему координат, на основі якої аудитор розробляє план аудиту та застосовує професійне судження щодо оцінки ризиків суттєвих викривлень фінансових звітів та дій у відповідь на ці ризики на протязі аудиторської перевірки. Це також допомогає аудиторові встановити суттєвість та оцінити, чи його судження щодо суттєвості залишається відповідним на протязі аудиторської перевірки, аудиторська оцінка суттєвості, що від­ носиться до сальдо окремих рахунків, класів операцій та розкриттів, до­ помагає аудиторові вирішити, наприклад, питання про те, які статті досліджувати, а такоус те, чи варто використовувати вибірку й аналіти­ чні процедури по суті. Це дає аудиторові змогу відібрати аудиторські процедури, котрі, як передбачається, в сукупності зменшать аудиторсь­ кий ризик до прийнятно низького рівня.

10. Між суттєвістю й аудиторським ризиком є зворотній зв'язок, тобто, чим вище рівень суттєвості, тим нижче аудиторський ризик, і навпаки. Аудитор ураховує зворотній взаємозв 'язок між суттєвістю й аудиторським ризиком при визначенні характеру, розрахунку часу та обся­ гу аудиторських процедур. Наприклад, якщо після планування конкретних аудиторських процедур аудитор визначає, що прийнятний рівень суттєво­ сті нижчий, аудиторський ризик підвищується. Аудитор компенсує це:

а) знижуючи рівень оціненого ризику суттєвого викривлення, якщо це можливо, і підтверджуючи знижений рівень за допомогою проведення роз­ ширених або додаткових тестів контролю; або

б) знижуючи ризик невиявлення помилки шляхом зміни характеру, роз­ рахунку часу та обсягу запланованих процедур по суті.

96