мельянцова / аудит / Аудит / Гирина А.С. Стандарты аудита Российской Коллегии аудиторов М, 1999. 260 с

РКА: Стандарт 10. Оценка влияния системы внутреннего контроля на аудиторский риск

в банке с помощью опроса и наблюдения.

25.Если аудитор приходит к выводу, что процедуры, выполняемые с целью получения представления о системах бухгалтерского учета и внутреннего контроля, также предоставляют аудиторские доказательства соответствия методики процедур в разрезе утверждений руководства в отношении бухгалтерских (финансовых) отчетов, то аудитор может использовать эти аудиторские доказательства при условии, что они являются достаточными для подтверждения оценки риска системы внутреннего контроля, определенной менее, чем высокая.

26.Тесты системы внутреннего контроля могут включать:

•проверку документов, подтверждающих операции и другие события для получения аудиторских доказательств правильного функционирования системы внутреннего контроля, например, проверку санкционированности действий на проведение операций по счетам;

•проведение опроса и наблюдения в отношении процедур внутреннего контроля, не поддающихся аудиторской сквозной проверке, например, при определении действительного исполнителя каждой функции, а не только предполагаемого исполнителя;

•повторное выполнение процедур внутреннего контроля, например, проверка соответствия банковских счетов для подтверждения их правильного ведения экономическим субъектом.

27.Аудитору необходимо получить аудиторское доказательство с помощью тестов системы внутреннего контроля для подтверждения любой оценки риска системы внутреннего контроля, определяемой как менее чем высокая. Чем ниже оценка риска внутреннего контроля, тем больше подтверждений необходимо получить аудитору относительно того, что структура и функционирование систем бухгалтерского учета и внутреннего контроля эффективны.

28.При получении аудиторских доказательств эффективного функционирования системы внутреннего контроля аудитор учитывает способ их получения, последовательность, с которой они получены в течение определенного периода, и кем они получены. Тем не менее, принцип эффективной работы признает возможность появления отклонений. Отклонения от предписанного контроля могут вызываться такими факторами, как изменения в основном персонале, значительные сезонные колебания в масштабе операций и ошибки отдельных сотрудников. Обнаружив отклонения, аудитор наводит справки относительно данных пунктов, в частности, определения сроков замены

81

РКА: Стандарт 10. Оценка влияния системы внутреннего контроля на аудиторский риск

сотрудников, выполняющих основные функции внутреннего контроля. После этого аудитору необходимо убедиться в том, что тесты системы внутреннего контроля соответственно охватывают весь период изменений и колебаний.

29.В компьютерной среде цели тестов системы внутреннего контроля остаются теми же, что и в обычной среде, однако, некоторые аудиторские процедуры могут быть изменены.

30.Основываясь на результатах тестов системы внутреннего контроля, аудитору необходимо определить, насколько ее структура и функционирование соответствует предварительной оценке риска системы внутреннего контроля. Оценив отклонения аудитор может предоставить в итоге вывод о том, что определенный уровень риска системы внутреннего контроля должен быть пересмотрен. В таких случаях аудитору следует изменить характер, сроки и масштаб запланированных процедур проверки по существу.

Качество и своевременность получения аудиторских доказательств

31.Определенные виды аудиторских доказательств являются более надежными по сравнению с другими. Обычно, аудиторское наблюдение предоставляет более достоверное аудиторское доказательство, чем только наведение справок. Например, аудитор может получить аудиторское доказательство правильного разделения (имеется ввиду невозможность совмещения определенных функций одним и тем же сотрудником) обязанностей, наблюдая за лицами, применяющими процедуру контроля, или наводя справки о соответствующих сотрудниках. Однако аудиторское доказательство, полученное с помощью тестов системы внутреннего контроля, таких как наблюдение, имеет отношение только к моменту применения процедуры. Аудитор может посчитать необходимым дополнить эти процедуры другими тестами системы внутреннего контроля, которые могут предоставить аудиторские доказательства относительно других периодов времени.

32.При определении соответствующего аудиторского доказательства в целях подтверждения заключения о риске системы внутреннего контроля аудитор может учитывать аудиторские доказательства, полученные в ходе предыдущих проверок. В таком случае аудитор имеет сведения о системах бухгалтерского учета и внутреннего контроля, полученные ранее, но ему следует обновить полученные знания и рассмотреть вопрос о необходимости получения дополнительных аудиторских доказательств относительно любых изменений в системе внутреннего контроля. Прежде чем полагаться на процедуры, выполненные в ходе предыдущих проверок,

82

РКА: Стандарт 10. Оценка влияния системы внутреннего контроля на аудиторский риск

аудитору необходимо получить аудиторские доказательства, имеющие отношения к любым изменениям в системах бухгалтерского учета и внутреннего контроля экономического субъекта, имевшими место со времени предыдущих аудитов и оценить степень доверия к ним. Чем больше срок, истекший с момента выполнения таких процедур, тем меньше будет степень уверенности в них.

33.Аудитору необходимо учитывать, использовались ли процедуры системы внутреннего контроля в течение всего проверяемого периода. Если разные по существу процедуры контроля использовались в различные моменты этого периода, то аудитору необходимо рассматривать каждую из них в отдельности. Выход из строя системы внутреннего контроля на определенный период времени требует отдельного учета характера, сроков и масштабов процедур в отношении операций и других событий данного периода.

34.Аудитор может выполнить некоторые тесты системы внутреннего контроля во время промежуточного посещения до окончания отчетного периода. Однако, аудитор не может рассчитывать на результаты таких тестов без учета необходимости получения дополнительных доказательств в течение оставшегося времени до окончания периода. При этом аудитор должен учитывать следующие факторы:

•результаты промежуточных тестов;

•длительность оставшегося периода;

•произошли ли изменения в системах бухгалтерского учета и внутреннего контроля в течение оставшегося периода;

•характер, сумма операций и других событий, а также проверяемые статьи и сальдо счетов по ним;

•состояние контрольной среды, главным образом, наличие мероприятий по поддержанию работоспособности системы внутреннего контроля;

•результаты проведенных процедур проверки на существенность, заранее планируемых аудитором.

Конечная оценка риска системы внутреннего контроля

35. Перед составлением выводов по итогам аудита, основанных на результатах процедур проверки на существенность и других полученных доказательств, следует учесть, была ли подтверждена оценка риска системы внутреннего контроля.

83

РКА: Стандарт 10. Оценка влияния системы внутреннего контроля на аудиторский риск

Взаимозависимость между оценками внутреннего риска и риска системы внутреннего контроля

36. Руководство экономического субъекта для уменьшения внутреннего риска создает структуры систем бухгалтерского учета и внутреннего контроля, способствующие предотвращению, обнаружению и исправлению искажений, и поэтому часто внутренний риск и риск системы внутреннего контроля тесно взаимосвязаны. В таких ситуациях, при попытке аудитора оценить внутренний риск и риск системы внутреннего контроля отдельно друг от друга, оценка риска может быть неправильной. В таких случаях аудиторский риск можно определить более точно с помощью комбинированной оценки.

Риск необнаружения

37.Уровень риска необнаружения непосредственно связан с аудиторскими процедурами проверки по существу. Оценка аудитором риска системы внутреннего контроля наряду с оценкой внутреннего риска влияет на характер, сроки и масштаб процедур проверки по существу, выполняемых с целью уменьшения риска необнаружения и, следовательно, аудиторского риска до приемлемо низкого уровня. Определенный риск необнаружения, вероятно, будет присутствовать всегда, даже если аудитор сможет проверить 100 процентов сальдо счета или вида операций, потому что большая часть аудиторских доказательств носит скорее убедительный характер, чем заключительный.

38.Аудитор должен учитывать рассчитанные уровни внутреннего риска и риска системы внутреннего контроля при определении характера, сроков и масштаба процедур проверки по существу, необходимых для сокращения аудиторского риска до приемлемого уровня. В зависимости от этого аудитор планирует:

•характер процедур проверки по существу, например, процедуры тестирования, более направленные в отношении независимых сторон за пределами экономического субъекта, или использование тестов деталей операций в дополнение к аналитическим процедурам;

•сроки процедур проверки по существу, например, выполнение их в конце периода более предпочтительно, чем в начале;

•масштаб процедур проверки на существенность, например, использование выборки большего объема.

39. Существует обратная связь между риском необнаружения и комбинированным уровнем внутреннего риска и риска системы внутреннего контроля. Например, если внутренний риск и риск системы

84

РКА: Стандарт 10. Оценка влияния системы внутреннего контроля на аудиторский риск

внутреннего контроля высоки, то риск необнаружения должен быть достаточно низким, чтобы уменьшить аудиторский риск до допустимо низкого уровня. С другой стороны, если внутренний риск и риск внутреннего контроля низкие, то аудитор может установить более высокий риск необнаружения и таким образом уменьшить аудиторский риск до допустимо низкого уровня.

40.Хотя тесты внутреннего контроля и процедуры проверки по существу различаются по целям, выполнение одних процедур может способствовать достижению целей других процедур. Искажения, обнаруженные в ходе проведения процедур проверки по существу, могут заставить аудитора изменить предыдущую оценку риска системы внутреннего контроля.

41.Оцененные уровни внутреннего риска и риска системы внутреннего контроля не могут быть достаточно низкими для устранения необходимости выполнения аудитором любых процедур проверки по существу. В любом случае, несмотря на уровни внутреннего риска и риска внутреннего контроля, аудитору следует выполнить некоторые процедуры проверки по существу для статей годовой бухгалтерской (финансовой) отчетности и видов хозяйственных операций по счетам.

42.Оценка аудитором составных частей аудиторского риска может изменяться в ходе аудита, так как при выполнении процедур проверки по существу до сведения аудитора может дойти информация, которая значительно отличается от той, на основе которой аудитор сделал первоначальную оценку внутреннего риска и риска системы внутреннего контроля. В таких случаях аудитору необходимо модифицировать запланированные процедуры проверки по существу, исходя из модификации в оценке внутреннего риска и риска системы внутреннего контроля.

43.Чем выше уровень внутреннего риска и риска системы внутреннего контроля, тем больше аудиторских доказательств необходимо получить аудитору в ходе выполнения процедур проверки по существу. Если внутренний риск и риск системы внутреннего контроля оценивается как высокие, то аудитору нужно учитывать, смогут ли процедуры проверки по существу предоставить достаточные и соответствующие доказательства, чтобы уменьшить риск необнаружения и, следовательно, аудиторский риск, до допустимо низкого уровня. Если аудитор определяет, что риск необнаружения относительно утверждения бухгалтерской (финансовой) отчетности для существенных статей или видов хозяйственных операций по счету не может быть уменьшен до допустимо низкого уровня, то аудитору следует составить условно положительное аудиторское

85

РКА: Стандарт 10. Оценка влияния системы внутреннего контроля на аудиторский риск

заключение или отказаться от выражения мнения.

Аудиторский риск в малом бизнесе

44. Аудитору необходимо достижение того же уровня гарантии для составления безусловно положительного аудиторского заключения по бухгалтерской (финансовой) отчетности как в отношении больших, так и небольших экономических субъектов. Однако, многие системы внутреннего контроля, которые должны существовать на крупным предприятиях, нецелесообразны для использования на небольших предприятиях. Например, на небольших предприятиях процедуры бухгалтерского учета могут выполняться несколькими лицами, которые могут заниматься как обработкой, так и хранением документации и, следовательно, разделение обязанностей может отсутствовать или быть жестко ограниченным. Неадекватное разделение обязанностей может в некоторых случаях компенсироваться сильной системой управленческого контроля, при котором процедуры внутреннего контроля со стороны владельца/управляющего осуществляются благодаря личному знанию руководителя экономического субъекта и его непосредственному участию в бухгалтерских операциях. В условиях, когда возможность распределения обязанностей ограничена, а аудиторских доказательств в отношении управленческого контроля не существует, аудиторские доказательства, подтверждающие мнение аудитора о бухгалтерской (финансовой) отчетности, могут быть получены исключительно благодаря выполнению процедур проверки на существенность.

Сообщение о недостатках

45. Результатом получения представления о системах бухгалтерского учета и внутреннего контроля может быть то, что аудитору становится известно о недостатках в этих системах. Аудитору следует уведомить руководство соответствующего уровня, как можно раньше и с надлежащей ответственностью, о выявленных существенных недостатках в структуре или функционировании систем бухгалтерского учета и внутреннего контроля. Сообщение руководству о существенных недостатках должно быть представлено в письменном виде. Тем не менее, если аудитор находит устное сообщение более подходящим, то такое сообщение все же должно быть отражено в аудиторских рабочих документах. В сообщении руководству важно отметить, что представлены только те недостатки, которые стали известны аудитору в ходе аудита, и что аудит не планировался для определения глобального соответствия системы внутреннего контроля управленческим целям.

86

РКА: Стандарт 11. Аудит в условиях электронной обработки данных

Стандарт 11

АУДИТ В УСЛОВИЯХ ЭЛЕКТРОННОЙ ОБРАБОТКИ ДАННЫХ

Введение

1.Данный Стандарт разработан на основании Международного стандарта аудита “Проведение аудита в компьютерной среде” (ISA 401 “Auditing in a Computer Information Systems Environment”)

2.Цель данного Стандарта состоит в том, чтобы обеспечить планирование и проведение аудиторской проверки в автоматизированных системах учета и управления на предприятиях, учреждениях и организациях.

3.Аудитор должен уметь оценить степень влияния системы электронной обработки данных (ЭОД) на аудит.

4.Задачи аудита не меняются в среде ЭОД, однако, обработка, хранение и взаимосвязи информационных потоков, а также системы управления и внутреннего контроля, используемые клиентом, подвергаются воздействию компьютера. Соответственно, среда ЭОД может воздействовать на:

•процедуры, выполняемые аудитором с целью получения достаточного понимания системы учета, управления и внутреннего контроля клиента;

•оценку внутреннего риска и риска системы внутреннего контроля, через которые аудитор оценивает свой аудиторский риск;

•планирование аудита;

•эффективность применяемых тестов систем управления и планируемый объем независимых процедур.

87

РКА: Стандарт 11. Аудит в условиях электронной обработки данных

Знания, умения и компетентность

5. Аудитор должен обладать достаточными знаниями систем ЭОД, чтобы планировать, анализировать, контролировать и, в итоге, сделать обзор и выводы по выполненной работе у клиента, использующего автоматизированную систему учета и (или) управления.

Вданном случае, аудитор должен:

•в достаточной мере, во всех существенных аспектах понять систему учета и внутреннего контроля, на которые воздействует среда ЭОД;

•определить эффект от воздействия среды ЭОД на оценку аудиторского риска;

•подготовить проект заключения, выполнить тесты системы управления, осуществить независимые аналитические процедуры и процедуры проверки по существу.

Если специальных знаний аудитору окажется недостаточно для всеобъемлющего понимания и анализа, ему следует обратиться к профессионалу, обладающему необходимыми умениями и знаниями. В такой ситуации следует получить достаточное доказательство, что выполняемая работа адекватна целям проверки в соответствии с заключенными соглашениями, согласно требованиям Стандарта 25 “Использование работы экспертов в целях аудиторской проверки”.

Планирование

6. В планировании этапов работы, на которые может воздействовать среда ЭОД, аудитор должен оценить степень влияния ЭОД на доступность промежуточных и выходных данных.

Система ЭОД считается сложной, если:

•объем преобразований, осуществляемых программой таков, что пользователю затруднительно идентифицировать и исправить ошибки обработки;

•автоматически генерируются процедуры обработки информации и организованно обращение непосредственно к иной прикладной программе;

•алгоритм вычислений жесткий, и его нельзя изменить, либо пойти в обход программы;

•отсутствием при работе с программным комплексом ручного отбора и обработки данных.

Следует оценить степень влияния системы ЭОД на организационную структуру пользователя программы.

88

РКА: Стандарт 11. Аудит в условиях электронной обработки данных

Необходимо оценить уровень доступности данных, существование последних в виде файлов, распечаток. Следует определить, может ли система генерировать внутреннее сообщение, которое возможно использовать в процессе аудита, как снятие информации в контрольной точке. Возможно ли использовать методы автоматизированного аудита в данной среде, что повысит эффективность процедур проверки по счетам и операциям.

7. Когда уровень автоматизации значителен, следует определить, как это влияет на оценку риска системы внутреннего контроля и внутреннего риска, как изменяется характер этих рисков.

Оценка риска

8.Общая характеристика рисков:

•неявность пути преобразования от входящей информации с первичных учетных документов до итоговых показателей. Подобная информация может быть полезна для контрольных целей, но зачастую существует только в электронном виде, поскольку там, где сложная система выполняет большое количество шагов, не может прослеживаться в явном виде полный набор действий. Именно поэтому ошибки, “зашитые” (вложенные) в алгоритм программы очень трудно обнаружить при помощи ручных процедур. Случайных ошибок здесь практически не возникает, зато систематические будут перенесены во все разделы, подвергающиеся компьютерной обработке.

•несколько процедур управления могут быть сконцентрированы в руках одного менеджера в случае применения ЭОД, в то время при ручном методе ведения учета они были бы естественным образом разделены между несколькими сотрудниками. Таким образом, указанный менеджер, имея доступ ко всем разделам, оказывается контролирующим сам себя.

•потенциал ошибок и неисправностей личностного характера в системах ЭОД значительно выше, чем при ручном ведении учета в частности, из за уровня подробности, свойственного этим действиям. Также повышается риск несанкционированного доступа к данным учета и управления.

•уменьшение человеческого видимого участия в процессах обработки информации приводит к тому, что ошибки и неисправности, встречающиеся на протяжении проекта и изменений прикладных программ или системного программного обеспечения могут

89

РКА: Стандарт 11. Аудит в условиях электронной обработки данных

оставаться необнаруженными в течение длительного времени.

•ЭОД может инициировать или вызывать выполнение некоторых типов операций автоматически разрешение этих процедур не может быть нигде зарегистрировано. В то время, как в ручной системе для этого потребовалось бы письменное распоряжение.

•зависимость системы контроля в целом от компьютерной обработки. В результате работы программы на свет появляются отчеты и материалы, которые используются при выполнении ручных процедур управления и контроля. Эффективность последних напрямую зависит от законченности и точности заложенного в программу алгоритма. В свою очередь, эффективность обработки запросов в прикладной программе часто связана с эффективностью общих средств управления.

•системы ЭОД могут предлагать управлению ряд аналитических инструментальных средств, которые могут использоваться для контроля операций объекта и расширения внутренней структуры управления.

•обработка больших массивов данных единым образом дает возможность аудитору применить общий или специальный контрольные методы и автоматизировать процесс анализа выполнения тестовых процедур, составлении рекомендаций и выводов.

Ивнутренние риски, и контрольные риски, полученные по результатам характеристик системы ЭОД, оказывают воздействие на оценку аудиторского риска, а также на характер, объемы и продолжительность аудиторских процедур.

9.Аудитор должен оценить внутренний риск и риск системы внутреннего контроля и управления для существенных утверждений.

10.Собственные риски и риски системы внутреннего контроля в среде ЭОД могут иметь особенные стороны:

•риски могут возникать из за неточностей при разработке программы, сопровождения и поддержки программного обеспечения системы, операций, физической защиты системы ЭОД и контроля доступа к специальным управляющим программам.

•риски могут увеличиваться из за ошибок или мошеннических действий как в программных модулях, так и в базах данных. Например, следует предпринять меры, предотвращающие возникновение ошибок в системах, выполняющих сложный

90