6.2. Аудиторские процедуры, выполняемые на основе оценки рисков

Рассмотрим требования к действиям аудитора при планировании и к последующему выполнению аудиторских процедур на основе оценки рисков существенного искажения информации как на уровне бухгалтерской (финансовой) отчетности в целом, так и на уровне конкретных предпосылок подготовки бухгалтерской (финансовой) отчетности.

При этом можно выделить:

1) основные действия, выполняемые на основе оцененных рисков (требования к аудитору в части разработки основных ответных действий на выявленные риски существенного искажения информации на уровне бухгалтерской (финансовой) отчетности и указания в отношении характера ответных действий);

2) аудиторские процедуры, выполняемые на основе оценки рисков существенного искажения информации на уровне предпосылок подготовки бухгалтерской (финансовой) отчетности:

• требования к аудитору в части разработки и выполнения таких аудиторских процедур, как тесты операционной эффективности средств контроля, если это уместно и необходимо;

• требования к аудитору в части разработки и выполнения аудиторских процедур проверки по существу, характер, временные рамки и объем которых соответствуют оцененным рискам существенного искажения информации на уровне предпосылок подготовки бухгалтерской (финансовой) отчетности;

• проблемы, с которыми аудитор сталкивается при определении характера, временных рамок и объема аудиторских процедур;

3) оценка достаточности и надлежащего характера полученных аудиторских доказательств (требования к аудитору в отношении определения верности сделанных ранее оценок рисков, а также основы выводов аудитора относительно достаточности и надлежащего характера полученных аудиторских доказательств);

4) документирование (требования, предъявляемые к подготовке рабочей документации аудитора).

Чтобы снизить аудиторский риск до приемлемо низкого уровня, аудитор должен определить основные действия, выполняемые на основе оценки рисков на уровне бухгалтерской (финансовой) отчетности в целом и разработать и в дальнейшем выполнить аудиторские процедуры на основе оцененных, рисков на уровне предпосылок подготовки бухгалтерской (финансовой) отчетности. Основные действия, выполняемые в ответ, а также характер, временные рамки и объем аудиторских процедур являются вопросом профессионального суждения аудитора. Основные действия, выполняемые на основе оценки рисков:

1) концентрация участников аудиторской группы на необходимости соблюдения принципа профессионального скептицизма при сборе и оценке аудиторских доказательств;

2) привлечение к аудиторскому заданию более опытного персонала или персонала со специальными знаниями, использование работы экспертов (привлечение конкретных сотрудников к заданию отражает оценку аудитором рисков, основанную на полученном аудитором знании и понимании деятельности аудируемого лица);

3) усиление надзора и контроля за членами аудиторской группы в ходе выполнения аудиторского задания;

4) планирование аудиторских процедур, учитывающих возможность наличия труднопредсказуемых и неопределенных особенностей аудируемого лица.

Кроме того, аудитор в качестве ответных действий может внести изменения в характер, временные рамки и объем аудиторских процедур, например, выполнить процедуры проверки по существу по отношению к учетным данным на конец отчетного периода, а не на промежуточные даты.

Понимание аудитором контрольной среды оказывает влияние на оценку рисков существенного искажения информации на уровне бухгалтерской отчетности в целом. Наличие эффективной контрольной среды может позволить аудитору больше полагаться на внутренний контроль и надежность аудиторских доказательств, предоставленных аудируемым лицом, и, соответственно, предоставить аудитору возможность выполнить отдельные аудиторские процедуры по отношению к данным на промежуточные даты, а не на конец отчетного периода.

Если контрольной среде присущи недостатки, то аудитор обычно выполняет больший объем аудиторских процедур по отношению к данным на конец отчетного периода, а не на промежуточные даты, ищет более убедительные аудиторские доказательства с помощью процедур проверки по существу, изменяет для этого характер аудиторских процедур или расширяет диапазон областей, включаемых в объем аудита.

Характер аудиторских процедур, которые будут выполняться в дальнейшем, зависит от их разновидности (тесты средств контроля или процедуры проверки по существу) и типа (инспектирование, наблюдение, запрос, подтверждение, пересчет и аналитические процедуры). В отношении определенных предпосылок подготовки бухгалтерской (финансовой) отчетности одни аудиторские процедуры могут быть более уместными, чем другие.

Например, в отношении оцененных аудитором рисков искажения предпосылки полноты для статьи доходов тесты средств контроля могут быть наиболее уместными, в то же время в отношении оцененных рисков предпосылки возникновения для статьи доходов более уместными будут процедуры проверки по существу.

Чем выше аудиторская оценка рисков, тем более надежными и уместными должны быть аудиторские доказательства, получаемые аудитором в результате процедур по существу. Это может оказать влияние как на вид аудиторских процедур, которые необходимо выполнить, так и на их сочетание. Например, аудитор, проверяя операцию, может в дополнение к инспектированию документа как такового попробовать подтвердить полноту условий контракта с третьей стороной.

При разработке аудиторских процедур аудитор принимает во внимание аргументы, которые явились основанием для оценки риска существенного искажения информации на уровне предпосылок подготовки бухгалтерской (финансовой) отчетности для каждой группы однотипных операций, сальдо счета бухгалтерского учета и случая раскрытия информации. Это включает рассмотрение как отдельных характеристик каждой группы однотипных операций, сальдо счета бухгалтерского учета или случая раскрытия информации (то есть неотъемлемые риски), так и вопроса о том, учтены ли аудитором средства контроля аудируемого лица (то есть риск средств контроля) при оценке рисков.

Например, если аудитор считает, что группе однотипных операций в силу их характеристик присущ низкий риск существенного искажения, без учета соответствующих средств контроля, то он может определить, что лишь аналитические процедуры проверки по существу могут обеспечить достаточные надлежащие аудиторские доказательства. С другой стороны, если аудитор ожидает, что существует низкий риск существенного искажения, потому что аудируемое лицо применяет эффективные средства контроля, причем сам аудитор намерен разработать процедуры проверки по существу, основываясь на операционной эффективности этих средств контроля, то ему следует выполнить тесты средств контроля для получения аудиторских доказательств их операционной эффективности. Такая ситуация может сложиться, например, для группы однотипных операций, обладающих достаточно однородными, несложными характеристиками, которые повседневно обрабатываются в информационной системе аудируемого лица.

Аудитор обязан получить аудиторские доказательства относительно точности и полноты информации, генерируемой информационными системами аудируемого лица, когда эта информация используется при выполнении аудиторских процедур.

Например, если аудитор использует нефинансовую информацию или сметные данные, генерируемые информационными системами аудируемого лица, при выполнении аудиторских процедур, таких как аналитические процедуры проверки по существу или тесты средств контроля, то следует получить аудиторские доказательства относительно точности и полноты такой информации (ФПСАД № 5 «Аудиторские доказательства»).

Временные рамки аудиторских процедур указывают на время выполнения аудиторских процедур, период или дату, к которым относятся аудиторские доказательства.

Рассматривая вопрос о том, когда выполнять аудиторские процедуры, аудитор принимает во внимание следующие аспекты:

1) контрольная среда;

2) момент, когда уместная информация доступна аудитору (например, в электронные файлы можно впоследствии внести изменения, переписав их, или существуют процессы, за которыми аудитору необходимо наблюдать, а они осуществляются только в определенные моменты времени);

3) характер риска (например, если существует риск завышения доходов с целью отражения в отчетности увеличенной прибыли с последующим отражением в отчетности фиктивных продаж, то аудитору следует проверить договоры, существующие на конец отчетного периода);

4) период или дата, к которой относятся аудиторские доказательства.

Некоторые аудиторские процедуры могут быть выполнены только в конце отчетного периода или после его окончания, например проверка соответствия данных бухгалтерской отчетности данным бухгалтерских регистров, а также проверка корректировок, сделанных в процессе подготовки бухгалтерской отчетности. Если существует риск того, что в деятельности аудируемого лица могут присутствовать мнимые сделки или имевшие место хозяйственные операции не были завершены до конца отчетного периода, то аудитор выполняет процедуры на основе каждого конкретного риска.

Аудитор должен выполнять тесты средств контроля, если аудиторская оценка рисков предполагает операционную эффективность средств контроля или если выполнение одних лишь процедур проверки по существу не обеспечивает достаточных надлежащих аудиторских доказательств на уровне предпосылок подготовки бухгалтерской (финансовой) отчетности.

Аудиторская оценка рисков существенного искажения информации на уровне предпосылок подготовки бухгалтерской (финансовой) отчетности может быть определена исходя из предположения о том, что средства контроля аудируемого лица функционируют эффективно. В этом случае аудитор выполняет тесты средств контроля для получения аудиторских доказательств их эффективного функционирования. Тесты операционной эффективности выполняются только и отношении тех средств контроля, которые, как определил аудитор, специально разработаны для того, чтобы предотвращать или обнаруживать и исправлять существенные искажения информации на уровне предпосылок подготовки бухгалтерской (финансовой) отчетности. Аудитор может посчитать невозможным разработку эффективных процедур проверки по существу, которые сами по себе обеспечили бы достаточные надлежащие аудиторские доказательства, когда аудируемое лицо осуществляет свою деятельность, используя информационные системы, и не ведет или не хранит в необходимом объеме документации в отношении совершенных хозяйственных операций, кроме той, что содержится в информационных системах.

Процесс тестирования операционной эффективности средств контроля отличается от процесса получения аудиторских доказательств, свидетельствующих о том, что средства контроля были внедрены.

Выполняя тестирование операционной эффективности средств контроля, аудитор получает аудиторские доказательства того, что средства контроля эффективно функционируют. Этот процесс включает получение аудиторских доказательств того, как применялись средства контроля в те моменты времени в течение аудируемого отчетного периода, когда они должны были применяться, подтверждения постоянства, с которым они применялись, а также кем и каким образом.

Если в различные моменты времени в течение аудируемого отчетного периода применялись существенно отличающиеся средства контроля, то аудитор рассматривает каждое из них в отдельности. Аудитор может принять решение о том, необходимо ли для целей аудита осуществлять тестирование операционной эффективности средств контроля одновременно с оценкой их организации и получением аудиторских доказательств их внедрения.

Аудитор может сделать запрос и наблюдать процедуры аудируемого лица в отношении получения банковских документов и обработки поступлений денежных средств, чтобы протестировать операционную эффективность средств контроля в отношении поступлений денежных средств. Поскольку наблюдение является уместным только в тот момент, когда оно ведется, аудитор обычно дополняет наблюдение опросом персонала аудируемого лица. Он может также проинспектировать документацию о работе таких средств контроля в другие моменты времени в течение аудируемого периода, чтобы получить достаточные надлежащие аудиторские доказательства.

Аудитор может ознакомиться с результатами осуществляемого аудируемым лицом контроля вручную, например, на основе сформированного в соответствующей информационной системе отчета о случаях отступлений от установленных аудируемым лицом требований по продаже товаров в рассрочку, что относится к средствам прямого контроля, имеющим отношение к предпосылкам подготовки бухгалтерской (финансовой) отчетности. В таких случаях аудитор анализирует как эффективность действий счетных работников по проверке сведений, отраженных в отчете, так и средств контроля, касающихся точности данных, включенных в отчет (например общие средства контроля информационных систем).

Поскольку обработке бухгалтерских данных с помощью компьютерных информационных систем присуще постоянство, аудиторские доказательства о внедрении конкретных средств контроля в совокупности с аудиторскими доказательствами об операционной эффективности общих средств контроля аудируемого лица (в особенности контроля за внесением изменений в программное обеспечение информационной системы) могут обеспечить весомые аудиторские доказательства об операционной эффективности прикладных средств контроля в течение соответствующего периода.

Аудитор может проверить какой-либо полученный счет на предмет его акцепта, а также для получения аудиторских доказательств по существу относительно достоверности данной хозяйственной операции. Аудитор следует тщательно обдумывать содержание и оценку таких тестов, позволяющих достичь одновременно двух целей.

При рассмотрении вопроса о том, надлежит ли использовать аудиторские доказательства операционной эффективности средств контроля, полученные в результате предыдущих аудитов, и, если да, то какова продолжительность периода времени до повторного тестирования средства контроля, аудитор принимает в расчет следующие факторы:

1) эффективность других элементов системы внутреннего контроля, включая контрольную среду, мониторинг средств контроля, осуществляемого аудируемым лицом, и процесс оценки рисков аудируемым лицом;

2) риски, связанные с особенностями средств контроля, включая наличие или отсутствие их автоматизации (ФПСАД № 34 «Понимание деятельности аудируемого лица и оценка рисков существенного искажения информации»);

3) эффективность общих средств контроля в информационных системах;

4) меры контроля, применяемые аудируемым лицом, включая характер и диапазон отклонений, выявленных при тестировании операционной эффективности, осуществленном в ходе предыдущих аудитов;

5) наличие или отсутствие дополнительного риска в связи с тем, что каким-то образом поменялись некоторые обстоятельства деятельности аудируемого лица, а соответствующие средства контроля не корректировались или изменились недостаточно;

6) риск существенного искажения информации и степень

зависимости такого искажения от средств контроля.