Вопрос №40

Проведение аудиторской проверки в специфических условиях

1.1. Аудит в условиях компьютерной обработки данных

В современных условиях у большинства организаций осуществление хозяйственных операций, учета, контроля и отчетности происходит в условиях компьютерной обработки данных (КОД), что не может не оказывать существенного влияния на формы и методы проведения аудита.

Современный аудит очень тесно связан с информационными технологиями. Во-первых, это выражается в использовании са­мими аудиторами специализированных программных средств, что позволяет повысить эффективность аудиторских проверок, улучшить качество обслуживания клиентов и расширить пере­чень предоставляемых услуг. Во-вторых, возрастает степень ав­томатизации учетного процесса на российских предприятиях и, следовательно, повышается влияние компьютеризирован­ной системы бухгалтерского учета на достоверность и полноту формирования данных бухгалтерского учета и показателей от­четности, подлежащих аудиторской проверке. В-третьих, воз­никает необходимость оценки надежности функционирования информационной системы аудируемого экономического субъ­екта как неотъемлемой составляющей его системы внутреннего контроля.

Основные направления использования IT-технологий при проведении проверки бухгалтерской (финансовой) отчетности можно сформулировать следующим образом:

1) использование программного обеспечения аудируемого лица при тестировании системы внутреннего контроля и получение необходимых данных для аудиторского ана­лиза и аудиторских доказательств;

2) использование общего и специального программного обеспечения для оказания соответствующих дополни­тельных аудиторских услуг по постановке, восстановле­нию и ведению бухгалтерского учета, анализу финансо­во-хозяйственной деятельности;

3) использование общего и специального программного обеспечения аудиторами в целях автоматизации своих аудиторских и управленческих процедур;

4) использование специального программного обеспечения для проведения аудита информационных систем.

Что касается автоматизации бухгалтерского учета как одно­го из бизнес-процессов организации, здесь ситуация следую­щая. Создание единой информационной системы, всесторонне и всеобъемлюще охватывающей деятельность экономическо­го субъекта — процесс, касающийся всех уровней управления и оперативного функционирования экономического субъекта. В этом случае информационная система включает в себя все потоки информации на предприятии. Упрощение и ускорение процесса формирования единой информационной системы возможно путем применения информационных технологий, в частности, компьютеризированной техники. Информацион­ная система в более узком понимании может быть рассмотрена как конкретное программное и аппаратное обеспечение, ис­пользуемое предприятием. Программное обеспечение может быть использовано для разных целей, а значит, проверяемое предприятие может использовать несколько разных информа­ционных систем одновременно.

Выбор информационной системы для ведения бухгалтер­ского учета проводится по различным признакам и правилам. Существенные признаки классификации программных ком­плексов — размер предприятия, на который они рассчитаны, масштаб задач бухгалтерского учета, а также определенная спе­циализация некоторых бухгалтерских программ. С учетом мас­штаба задач разделяют программы для малых, средних и круп­ных предприятий.

Информационные системы на предприятиях малого бизнеса характерны тем, что бухучет на них ведется на одном компью­тере, или сетевой вариант — от двух до четырех мест. Функции ведения синтетического и стоимостного аналитического уче­та позволяют вводить и обрабатывать бухгалтерские записи, оформлять небольшой набор первичных документов и форми­ровать отчетность. Для таких предприятий существует широкий спектр бухгалтерских тиражных программ, таких как: «1С:Бух-галтерия», «Инфо-Бухгалтер», «Инфин-Бухгалтерия», «БЭСТ-Офис», «Турбо-Бухгалтер», «Парус-Бухгалтерия», «СБИС», «Инотек», «Контур», «ИП: Бухгалтерия», «Финансы без про­блем», «Бухгалтерия малого предприятия» и т. д.

Для бухгалтерских информационных систем средних пред­приятий типично наличие сетевой программы автоматизации бухгалтерии на пять — десять мест, которые относятся к классу интегрированных бухгалтерских систем. Эти программы объ­единяют и поддерживают ведение всех основных учетных функ­ций и разделов. Они работают в системе «файл — сервер» или «клиент — сервер». На таких предприятиях бухгалтерский учет обычно организован по основным участкам бухучета. К такому классу можно отнести следующие бухгалтерские программы: «1С: Бухгалтерия», «БЭСТ-4», «Фин-Эко», «Abacus», «Парус-4», «Компас+SQL», «Инфорсофт», «Инотек», «Турбо-Бухгалтер», «ПК Суперменеджер», «Партнер бухгалтера» и т. д.

Компьютерную обработку данных для целей управления крупными фирмами, как правило, отличает использование сис­тем управления баз данных, например, SQL, Oracle, Atlantis и других. Для такого класса фирм характерно ведение бухгалтер­ской отчетности в составе холдинга. Кроме того, должна быть предусмотрена возможность настройки бухгалтерской инфор­мационной системы на специфику конкретного предприятия. В данном случае информационная система бухгалтерского учета рассматривается как функциональная подсистема, встроенная в автоматизированную систему управления крупной корпора­тивной фирмы со сложной организационно-производственной структурой. Корпорация объединяет различные управленче­ские, производственные, финансовые и другие структуры, име­ет несколько территориально удаленных филиалов, предпри­ятий с разнообразными видами деятельности. Обмен обычно выполняется по схеме «клиент-сервер». Более того, в качестве компонентов системы также могут присутствовать различные функциональные подсистемы бухучета с возможностью ис­пользования международных стандартов, а также подсистемы оперативного учета, учета кадров, планирования и прогнозиро­вания, анализа и принятия решений, контроля, анализа и опти­мизации финансово-хозяйственной деятельности и т. д. В этом случае подсистема бухучета не имеет главенствующего положе­ния, здесь важна гармонизация всех подсистем для достижения наивысшего эффекта от управления компанией в целом. Для таких целей программный комплекс должен иметь гибко на­страиваемую бизнес-логику, позволяющую настраивать систе­му на работу в самых разных областях предприятия. Крупные организации, как правило, используют программные продукты фирм «Галактика», «Росэкспертиза», «Парус», «Бизнес-Кон­соль», «Информконтакт», «Инфорсофт», «Интеллект-Сервис», «БЭСТ-Про», «АйТи» и т. д.

Действия аудитора при осуществлении аудита в условиях компьютерной обработки данных, существующей у проверяе­мого экономического субъекта, определены правилом (стан­дартом) «Аудит в условиях компьютерной обработки данных», одобренным Комиссией по аудиторской деятельности при Президенте РФ 22 января 1998 г. (протокол № 2). Указанный стандарт является аналогом Международного стандарта ауди­та (МСА) № 401 «Аудит в условиях компьютерной обработки данных (КОД)».

В соответствии с данными стандартами под компьютерной обработкой понимается «окружение, в котором компьютер лю­бого типа и размера вовлечен в процесс обработки экономиче­ским субъектом финансовой информации, существенной для аудита, независимо от того, кто работает на этом компьюте­ре, — сотрудник фирмы или третье лицо». Финансовая инфор­мация оценивается как с позиций качества, так и с позиций количества.

Компьютерная обработка данных экономического субъекта имеет место в случаях, когда с помощью компьютерной техни­ки осуществляется обработка значительных объемов учетной информации независимо от следующих факторов:

а) компьютер используется экономическим субъектом са­мостоятельно или по договору с третьей стороной;

б) компьютер используется экономическим субъектом для обработки экономической информации во всех аспектах хозяйственной деятельности и ее учета или только для автоматизации обработки информации по отдельным видам фактов хозяйственной жизни, отдельным участкам учета.

Использование технических средств приводит к изменению отдельных элементов организации бухгалтерского учета и внут­реннего контроля:

✓ для проверки хозяйственных операций наряду с традици­онными первичными учетными документами использу­ются и первичные учетные документы на машиночитае­мом носителе;

✓ постоянные нормативно-справочные показатели могут быть проверены поданным, хранящимся в памяти компь­ютера, или на машиночитаемых носителях информации;

✓ вместо традиционных ручных форм счетоводства может применяться форма учета, ориентированная на прогрес­сивные методы формирования выходной информации и обеспечения ее достоверности, совмещение синте­тического учета с аналитическим и систематического с хронологическим, а также повышение оперативности и удобства использования учетной и отчетной инфор­мации.

При проведении аудита в системе КОД сохраняются цель аудита и основные элементы его методологии. Тем не менее, использование компьютерной техники оказывает влияние на обработку, хранение, поиск и передачу финансовой информа­ции, а также может оказать существенное влияние на систему внутреннего контроля (СВК) и бухгалтерскую информацион­ную систему, применяемую экономическим субъектом. Таким образом, использование аудируемым лицом среды КОД воз­действует на:

• суть процедур, осуществляемых аудитором в ходе провер­ки и направленных на глубокое понимание бухгалтерской информационной системы и СВК;

• оценку аудиторского риска (через влияние на неотъем­лемый риск и риск СВК как составляющих частей ауди­торского риска);

• выбор процедур, направленных на тестирование СВК, а также детальных и аналитических процедур в рамках тестов по существу, используемых для подтверждения исходной цели аудита.

При оценке среды КОД аудитор должен охарактеризовать:

• соответствие применяемой формы учета используемой системе обработки данных;

• соответствие алгоритмов обработки бухгалтерских дан­ных действующему законодательству и возможность их изменения в случае изменения порядка ведения бухгал­терского учета, хозяйственного, налогового и иного за­конодательства;

• способ организации, хранения и обновления данных;

• обеспечение контроля ввода данных;

• возможность настройки внешней отчетности на измене­ние ее форм;

• возможность вывода на печать данных о хозяйственных операциях.

Аудитор обязан проверять соответствие применяемых алго­ритмов требованиям нормативной документации по ведению бухгалтерского учета и составлению бухгалтерской отчетности по основным автоматизированным расчетам экономического субъекта. Аудитору необходимо убедиться в том, что инфор­мационная база внутри компьютера обеспечивает сохранность информации, ее архивирование, простоту доступа, кодирование и декодирование информации, ограничение несанкциониро­ванного доступа к ней. Актуальность данных (т. е. их соответ­ствие изменившимся условиям хозяйственной жизни) обес­печивается регламентированием источников и потребителей информации, периодичностью и условиями ее обновления.

Считается, что КОД экономического субъекта имеет место в случаях, когда при помощи компьютерной техники обрабаты­ваются значительные объемы учетной информации. На практи­ке часто возникает вопрос: как определить, значительные или незначительные объемы учетной информации обрабатываются, если значительные — то насколько. А соответственно — как этот фактор повлияет на содержание программы аудиторской про­верки и необходима ли помощь специалиста по компьютерному аудиту. Поэтому на этапе планирования аудиторской проверки обычно определяют так называемую степень использования компьютерной техники и программных средств клиентом (или другими словами — степень автоматизации учетного процесса на предприятии).

Для того чтобы определить степень использования компью­терной техники и программного обеспечения на предприятии, рассматриваются следующие моменты:

1) степень использования компьютерной техники и про­граммного обеспечения в финансово-хозяйственной дея­тельности предприятия;

2) сложность компьютерной среды;

3) значение используемой автоматизированной информа­ционной системы в деятельности организации.

Классификация организаций по степени использования компьютерной техники и программного обеспечения не долж­на занимать много времени, это, скорее, общая оценка влияния компьютерных систем на процесс бухгалтерского учета. Опи­раясь на знания о специфике финансово-хозяйственной дея­тельности предприятия, полученные в ходе предварительного планирования, определяются основные ее направления (или иными словами — важнейшие элементы системы бухгалтер­ского учета и внутреннего контроля). К ним могут относиться: приобретение и контроль ТМЦ, контроль за производством, реализация и формирование финансового результата, контроль за сохранностью активов предприятия, работа с дебиторами и кредиторами, с персоналом и т. д. Затем выясняется, исполь­зуются ли в каждой из данных областей компьютеры или ком­пьютерная информация для осуществления их деятельности и контроля. Далее оцениваются масштабы, в которых компь­ютеры и полученная с их помощью информация используются в каждом из этих сегментов. ^%

К факторам, которые должны быть учтены на данном этапе проверки, относятся:

• объем операций в данном сегменте, обрабатываемых с по­мощью компьютерной техники и программного обеспе­чения;

• процент работников в данном сегменте, регулярно ис­пользующих компьютерную технику и программное обес­печение;

• количество ключевых деловых решений, принимаемых в данном сегменте, и источники компьютерной инфор­мации, на которой основываются принятые решения.

На практике можно обнаружить, что большое количество подразделений в рамках организации использует компьюте­ры ежедневно, но пределы, в которых большая часть отделов использует компьютеры, ограничены, а какая-то часть инфор­мации обрабатывается вручную. Или наоборот — компьютеры применяются в ограниченном количестве подразделений, но они в максимальной степени используются в их деятельности. Опираясь на эту информацию, можно поместить клиента на шкале степени применения, которая варьируется от ограничен­ного до максимального использования (см. рис. 6)

Максимальная	Степень использования	Ограниченная
Сложная	Сложность	Простая
Очень важная	Значение	Ограниченная
	Классификация
Преобладающая	Значительная	Незначительная

Рис. 6. Классификация степени автоматизации предприятия

При определении степени сложности компьютерной среды в различных сегментах аудита необходимо принять во внимание характер обработки информации, осуществляемой информаци­онными системами в данных сегментах. К факторам, которые необходимо проанализировать для каждой информационной системы, относятся:

• степень сложности расчетов, осуществляемых данной системой;

• обрабатывает ли система несколько видов хозяйственных операций;

• наличие электронного обмена данными с клиентами, по­ставщиками, банками, биржами и т. д. (в том числе и че­рез Internet);

• характер и количество каналов связи между системами внутри предприятия.

Необходимо также проанализировать состояние среды об­работки данных, в которой работают системы. К факторам, ко­торые обычно рассматриваются, относятся:

• использование сложных систем баз данных, обслуживаю­щих многие области деятельности предприятия;

• характер и размер сетей передачи данных;

• применение сложных программ контроля для ограниче­ния доступа к информационным ресурсам клиента;

• размеры аппаратного обеспечения и численность обслу­живающего его персонала.

По степени сложности применение компьютеров может варьироваться от простого до очень сложного. У клиента мо­жет быть одна сложная система и несколько систем, действую­щих в относительно простой среде. И наоборот, может иметься несколько относительно простых систем, действующих в уме­ренно сложной среде.

Система может считаться сложной, когда:

• большой объем обрабатываемых операций не позволяет специалистам-пользователям самостоятельно выявлять ошибки в ходе обработки информации;

• информационная система автоматически создает бух­галтерские проводки на суммы, индивидуально превы­шающие расчетный уровень существенности аудита, и сохраняет и/или использует их в работе отдельной под­системы;

• информационная система автоматически проводит слож­ные расчеты с использованием финансовой информации и/или автоматически создает бухгалтерские проводки, ин­дивидуально превышающие расчетный уровень существенности аудита, достоверность которых невозможно про­верить независимо от всей информационной системы;

• существуют автоматические расчеты с другими организа­циями с помощью систем электронного обмена данными (electronic data interchange (EDI) systems) без повторной проверки целей и условий осуществления операции, ее обоснования.

Последним критерием, который необходимо проанализи­ровать, является роль (важность) компьютерных систем в дея­тельности организации. К факторам, которые необходимо учи­тывать, относятся:

• степень ущерба, который будет нанесен в случае, если клиенту пришлось бы работать в отсутствие своих ком­пьютерных систем в течение какого-либо периода вре­мени;

• непосредственные и долгосрочные последствия для пред­приятия крупной ошибки в обработке данных (например, усилия, которые необходимо приложить для исправления ошибки, сохранения репутации и доверия клиентов).

Используя вышеупомянутые критерии, можно выделить сле­дующие три степени автоматизации учетного процесса.

1. Преобладающая — если компьютерная техника и про­граммное обеспечение используются в большинстве сегментов деятельности, компьютерная среда является сложной и компь­ютерные системы очень важны для бизнеса (т. е. способность клиента действовать в значительной степени зависит от ком­пьютеров, или руководство в значительной степени полага­ется на компьютерную информацию при контроле бизнеса). Многие банки, биржи, компании по производству или сбыту массовой продукции (в том числе так называемые Internet-магазины), компании, оказывающие услуги сотовой связи, ком­пании Internet-провайдеры и другие — с высоким уровнем авто­матизации могут служить примером клиентов с преобладающим использованием компьютерной техники и программного обес­печения. Сейчас процент клиентов с преобладающей степенью автоматизации растет.

2. Незначительное — если использование компьютеров в биз­несе сводится к относительно простым задачам с ограниченным значением. Клиенты попадают под эту категорию, если, напри­мер, они используют всего одну или две относительно простые компьютерные программы (например, платежные ведомости и Главная книга, реализованные в Excel).

3. Значительное — когда компьютеры используются в мень­шей степени, чем в первом случае, но больше, чем во втором. Такие клиенты часто имеют одну или две сложные системы, которые используются интенсивно и очень важны для бизне­са, но в целом степень использования компьютеров не является преобладающей. Обычно большинство клиентов попадает под эту категорию.

При аудите клиентов, классифицируемых как клиенты с преобладающим или незначительным использованием ком­пьютеров, аудиторы должны исследовать, как функционируют учетные системы, структуры компьютерного контроля и ком­пьютерная среда. Так, при аудите клиентов с незначительным использованием компьютеров нет необходимости вникать в структуры компьютерного контроля или компьютерной сре­ды. При аудите клиентов с преобладающим использованием компьютеров обычно привлекаются специалисты по компь­ютерному аудиту в соответствующих сферах при изучении учетного процесса, подготовке плана аудита и тестов системы контроля. Для клиентов со значительным использованием компьютеров не исключается возможность привлечения спе­циалистов по компьютерному аудиту или других специали­стов с аналогичной квалификацией, особенно если одна или несколько систем или компьютерная среда являются слож­ными.

Аудитор должен обладать достаточным уровнем знаний для того, чтобы проводить аудит информационных систем в среде компьютерной обработки данных, и использовать экспертов в том случае, если это необходимо для понимания среды КОД экономического субъекта. Экспертная оценка может потребо­ваться для того, чтобы:

• получить необходимое и достоверное понимание бухгал­терской и внутренней контрольной систем, на которые оказывает влияние среда КОД. Например, понимание правовой среды в отношении информационных техноло­гий, в которой работает экономический субъект; подход к обеспечению информационной безопасности; общие контрольные процедуры, закрепленные во внутренних регламентах предприятия, и неформально действующие правила пользования информационной системы;

• определить влияние информационных систем в среде КОД на общий уровень аудиторского риска в отноше­нии существенных статей баланса и групп операций, отраженных в отчете о прибылях и убытках. Например, в случае замены экономическим субъектом ИС в течение года риск системы внутреннего контроля увеличивается в силу того, что при переносе данных из одной системы в другую некоторые данные могут быть потеряны или искажены;

• определить содержание аудиторских процедур. Принимая во внимание международный и российский опыт,

привлечение экспертов в области информационных технологий лучше проводить в обязательном порядке в отношении эконо­мических субъектов с организационно-правовой формой в виде акционерных обществ, экономических субъектов, ценные бу­маги которых котируются на биржах, финансово-кредитных институтов, а также применительно к экономическим субъек­там, операционная деятельность которых критическим образом завязана на использование информационных систем.

Основными задачами эксперта (специалиста) является ока­зание помощи аудитору при проведении проверки с использо­ванием компьютера в части:

• конвертирования данных экономического субъекта в форму, доступную для обработки в компьютерной и про­граммной системе, используемой аудитором;

• выполнения нестандартных процедур анализа;

• тестирования системы, применяемой аудитором;

• формирования на компьютере необходимых аудитору ра­бочих аудиторских документов.