5. Цель и методика оценки системы внутреннего контроля (самостоятельно).
Основная цель изучения и оценки аудитором системы внутреннего контроля клиента – подготовить основу для планирования аудита и установления вида, сроков проведения и объема аудиторских процедур.
Если аудитор убеждается, что он может положиться на соответствующие средства внутреннего контроля, он получает возможность проводить аудиторские процедуры менее детально и более выборочно, а также может внести изменения в сущность аудиторских процедур, которые будут применяться, и в запланированные затраты времени на их осуществление.
Аудитор должен убедиться, что средства контроля аудируемого предприятия достигают целей:
хозяйственные операции выполняются с согласия руководства;
все операции фиксируются в бухгалтерском учете в правильных суммах, на надлежащих балансовых счетах, в том периоде времени, в котором были осуществлены, в соответствии с принятой учетной политикой и обеспечивают возможность подготовки достоверной бухгалтерской отчетности;
доступ к активам возможен только с разрешения соответствующего управленческого работника;
соответствие зафиксированных в учете и фактически имеющихся активов определяется руководством с установленной периодичностью, а при расхождениях применяются надлежащие действия.
При определении эффективности системы внутреннего контроля учитывают много факторов:
круг работников, участвующих в формировании информации на предприятии, наличие у них ответственности за порученное дело и наличие упорядоченных взаимоотношений между ними по ведению дел и формированию информации;
наличие технических средств контроля;
наличие технологии контроля;
контролируемые параметры.
Аудитор обязан принимать во внимание, что система внутреннего контроля не может с абсолютной уверенностью, а лишь с определенной долей вероятности подтвердить, что цели ее создания достигнуты. Причиной этого являются такие неизбежные ограничения системы внутреннего контроля:
желание руководства предприятия, чтобы затраты на осуществление контрольных мероприятий были меньшими, чем экономические выгоды, которые обуславливают применение таких мероприятий;
большинство средств контроля ставят цель выявить нежелательные хозяйственные операции, а не те, которые являются непривычными;
ошибки вследствие небрежности, невнимательности, неверности суждений или непонимания инструктивных материалов сотрудниками службы;
намеренное нарушение системы контроля в результате сговора работников предприятия, как с другими работниками данного предприятия, так и с третьими лицами;
нарушения системы контроля вследствие злоупотреблений со стороны представителей руководства, ответственных за функционирование данных аспектов контроля;
распространена практика существенных изменений условий хозяйствования или правил учета, из-за чего принятые контрольные процедуры могут перестать выполнять свои функции.
Процедура изучения и оценки системы внутреннего контроля (СВК) является обязательной при проведении аудита независимо от характеристики клиента. Как правило, это осуществляется одновременно с проверкой данных бухгалтерского учета. Аудитор использует такие методы изучения СВК:
опрос персонала;
наблюдение;
запрос к предыдущему аудитору;
ознакомление с документами управления и учета;
изучение документов предыдущего исследования клиента;
изучение результатов ревизий и проверок всех проверяющих органов;
ознакомление с существующими требованиями к организации системы внутреннего контроля;
тестирование системы внутреннего контроля.
В системе внутреннего контроля значительное место занимает система бухгалтерского учета, поэтому аудитору следует выделить вопросы по ее изучению и оценке, например следующих моментов:
учетная политика и основные принципы ведения бухгалтерского учета. Аудитору следует убедиться, что избранный метод учета достоверно отображает специфику деятельности клиента;
организационная структура подразделения, ответственного за ведение бухгалтерского учета и подготовку бухгалтерской отчетности;
распределение обязанностей и полномочий между работниками, которые принимают участие в ведении учета и подготовке отчетности;
организация подготовки, обращения и хранения документов, отражающих хозяйственные операции;
порядок отражения операций в регистрах учета, формы и методы обобщения их данных;
порядок подготовки периодической бухгалтерской отчетности на основании данных бухучета;
роль и место средств вычислительной техники в ведении учета и подготовке отчетности;
критические области учета, где риск возникновения ошибок или искажений бухгалтерской отчетности особенно высок;
средства контроля, предусмотренные в отдельных областях системы учета.
Аудитор в ходе проверки должен проверить соответствие организации системы бухучета клиента нормативным документам и отразить в рабочей документации аудитора установленные нарушения.
В ходе аудиторской проверки необходимо ознакомиться с внутренними документами клиента, которые касаются организации, постановки и ведения бухгалтерского учета, и определить, насколько реальное состояние дел отвечает положениям вышеперечисленных документов. Иногда для такой сверки рекомендуется отслеживать движение информации по отдельным операциям в учете от первичных документов до их отражения в учете и отчетности.
Объем работ этого этапа зависит от того, осуществляются они для нового заказчика или постоянного. В последнем случае аудитор концентрирует внимание на изменениях, которые произошли в структуре внутреннего контроля по сравнению с предыдущим периодом, а также с учетом устранения недостатков в осуществлении контроля, высказанных при предыдущем аудите.
Аудит, проводящий внешнюю аудиторскую проверку, должен проанализировать работу внутреннего аудита и оценить ее влияние на аудит. ISA 610 «Рассмотрение работы внутреннего аудита» относит термин «внутренний аудит» к оценочной деятельности, которая ведется в организации и в том числе включает оценку эффективности внутреннего контроля.
При оценке эффективности и надежности системы внутреннего контроля в целом, контрольной среды и отдельных средств контроля аудитор может использовать следующие оценки качества внутреннего контроля: «высокая», «средняя», «низкая».
Аудитор оценивает систему внутреннего контроля клиента в три этапа:
1) общее ознакомление с системой внутреннего контроля;
2) первичная оценка надежности системы внутреннего контроля;
3) подтверждение правильности оценки системы внутреннего контроля (рис. 2).
Рис. 2. Порядок оценки системы внутреннего контроля
На стадии общего ознакомления с системой внутреннего контроля аудитору следует получить общее представление о специфике и масштабе деятельности клиента, системе его бухгалтерского учета. По итогам ознакомления аудитор должен принять решение о целесообразности опираться на систему внутреннего контроля клиента в своей работе.
Если аудитор принимает решение, что он не может полагаться на СВК, то он должен планировать аудит так, чтобы аудиторское заключение не основывалось на доверии к этой системе. Это необходимо и в случаях, если надежность системы оценивается как «низкая» или, если аудитору удобнее или экономически оправданно не опираться на эту систему.
Если по итогам общего ознакомления с системой внутреннего контроля предприятия аудитор принимает решение, что он может полагаться в своей работе на систему внутреннего контроля, ему следует провести первичную оценку надежности системы внутреннего контроля.
Первичная оценка надежности системы внутреннего контроля осуществляется на основе методики и приемов, которые аудиторские организации разрабатывают самостоятельно. В процессе первичной оценки аудитор обязан учитывать, что:
на предмет надежности нужно проверять средства контроля, бухгалтерскую и хозяйственную документацию клиента всего отчетного периода, а не только отдельных периодов времени;
при проверке необходимо уделить больше внимания тем периодам, деятельность в которых имела особенности или отличия по сравнению с деятельностью, типичной для всего периода в целом;
оценка надежности всей системы контроля и отдельных средств контроля как «низкой» не исключает возможности оценки надежности других отдельных средств контроля, таких как «средняя» или «высокая».
По итогам процедуры первичной оценки надежности аудитор может оценить надежность всей системы внутреннего контроля и отдельных средств контроля как «среднюю» или «высокую». В этом случае аудитор должен планировать аудиторские процедуры, исходя из этой оценки, но не должен доверять этой системе абсолютно.
Если по итогам процедуры первичной оценки аудитор оценит надежность системы внутреннего контроля в целом и отдельных средств контроля как «низкую», он обязан констатировать это и в дальнейшем планировать аудиторские процедуры соответствующим образом.
Аудитор, который принял по итогам процедуры первичной оценки решение о доверии системе внутреннего контроля, обязан в ходе аудиторской проверки осуществлять процедуры подтверждения достоверности этой оценки.
Процедуры подтверждения достоверности оценки системы внутреннего контроля осуществляются в период проверки на основе методики и приемов, которые разрабатываются аудиторской организацией самостоятельно.
Если аудитор в ходе подтверждения надежности придет к тому, что оценка надежности системы внутреннего контроля в целом окажется ниже той, что была получена в ходе первичной оценки, он обязан надлежащим образом скорректировать порядок осуществления других аудиторских процедур, чтобы повысить достоверность своих выводов по результатам проведения аудита.
Все этапы оценки системы внутреннего контроля должны надлежащим образом документироваться с указанием аргументов, которыми руководствовался аудитор, давая соответствующую оценку надежности всей системы или отдельным средствам контроля или принимая решение, которое повлияет на планирование аудиторских услуг.
На основе своего профессионального суждения аудитор определяет, какие направления внутреннего контроля организации-клиента необходимо исследовать для оценки рисков существенных искажений финансовой отчетности и разработки и выполнения дальнейших аудиторских процедур. При определении важных для аудита направлений внутреннего контроля аудитор учитывает:
оценку существенности;
размеры организации-клиента;
особенности организации бизнеса клиента, в частности организационную структуру и структуру собственности;
многообразие и сложность выполняемых операций;
требования нормативных актов;
характер и сложность подсистем внутреннего контроля, включая пользование услугами обслуживающих организаций.
Обычно аудитора интересует внутренний контроль подготовки финансовой отчетности. Кроме того, аудитор может посчитать необходимым исследовать и оценить контроль полноты и точности информации в организации в целом, контроль достижения целей организации и другие направления внутреннего контроля.
При исследовании внутреннего контроля аудитор должен помнить о том, что внутренний контроль обеспечивает лишь разумную уверенность в достижении целей организации. Ограничения надежности внутреннего контроля обусловлены вероятностью сговора, допущения ошибок, несовершенством применяемых информационных технологий и прочими факторами.
Достичь понимания внутреннего контроля – значит убедиться в его существовании, в использовании его организацией-клиентом, а также оценить способность контроля предотвращать, выявлять и исправлять существенные искажения. Процедуры оценки риска, используемые аудитором для исследования внутреннего контроля, обычно включают направление запросов персоналу, наблюдение за применением отдельных средств контроля, изучение документов и отслеживание информации об операциях в информационной системе организации.
Аудитор при оценке работы внутреннего аудита должен принимать во внимание:
организационный статус службы внутреннего аудита;
функции службы внутреннего аудита;
техническая компетентность, т.е. обладают ли внутренние аудиторы необходимыми техническими навыками и профессионализмом;
профессиональная тщательность.
Если внешний аудитор намерен использовать работу внутренних аудиторов, целесообразно ознакомиться с планом внутреннего аудита, а также согласовать сроки выполнения процедур, уровни существенности, способы отбора совокупностей для тестирования, порядок документирования результатов выполненных процедур и другие значимые аспекты.
Если внешний аудитор намерен использовать результаты конкретной работы внутреннего аудита, ему следует оценить эту работу и выполнить аудиторские процедуры для подтверждения ее надлежащего характера для целей внешнего аудита. При этом, как правило, выясняется:
выполнялась ли работа лицами, обладающими необходимыми техническими навыками и уровнем профессионализма, контролировалась ли должным образом работа ассистентов;
получены ли достаточные надлежащие аудиторские доказательства, на основе которых можно сделать выводы;
соответствуют ли сделанные выводы сложившимся обстоятельствам, основаны ли подготовленные отчеты на сделанных выводах;
должным ли образом внутренними аудиторами раскрыты все необычные факты.
Характер и объем аудиторских процедур, которые должны быть выполнены внешним аудитором в отношении результатов конкретной работы внутреннего аудита, определяются в зависимости от оценки риска существенных искажений, предварительной оценки работы внутреннего аудита и оценки результатов конкретной работы. Такие процедуры могут включать повторное тестирование элементов, уже проверенных внутренними аудиторами, тестирование аналогичных элементов, а также обзорную проверку работы внутренних аудиторов.
Аудитор в разумные сроки должен уведомить лиц, наделенных руководящими полномочиями, или руководство должного уровня о выявленных им существенных недостатках структуры или функционирования внутреннего контроля.
Результаты оценки конкретной работы внутреннего аудита и выполненные в отношении нее процедуры должны быть описаны в рабочих документах аудитора.
В своих рабочих документах аудитору надлежит отразить:
результаты обсуждения с членами аудиторской команды подверженности финансовой отчетности клиента существенным искажениям в результате мошенничества и ошибок;
результаты исследования всех аспектов деятельности клиента и всех компонентов внутреннего контроля в соответствии с ISA 315 «Понимание деятельности организации и оценка риска существенных искажений»; привлекаемые для этого источники информации; осуществляемые процедуры оценки рисков;
результаты выявления и оценки рисков существенных искажений на уровне финансовой отчетности и на уровне предпосылок;
результаты выявления и оценки значимых рисков и рисков, в отношении которых не представляется возможным получить достаточные надлежащие аудиторские доказательства из существующих в организации контрольных процедур;
результаты оценки внутреннего контроля в части реагирования на риски.