ОЦІНКА СИСТЕМИ ВНУТРІШНЬОГО КОНТРОЛЮ
ПРИ ПРОВЕДЕННІ АУДИТОРСЬКОЇ ПЕРЕВІРКИ
У статті аналізуються головні принципи, покладені в основу здійснюваної аудитором системи внутрішнього контролю аудируемого об'єкта. Наводяться прийоми і методи цієї оцінки.
Підвищення вимог до фінансової звітності, які сформувалися на початку 2000-х років, змінили підходи до аналізу системи внутрішнього контролю (далі - СВК). Спостерігається загальна тенденція до посилення заходів з підготовки достовірної звітності. З'явилося прагнення зобов'язати аудиторів давати у своїх звітах оцінку СВК. Це виразилося в розробці стандартів, що забезпечують облік якості контролю аудіруемих осіб. З'явилися нові стандарти ISA 315, ISA 330, які пов'язують оцінку аудиторських ризиків і аудиторські процедури по оціненим ризикам з аналізом надійності СВК аудіруемих осіб з точки зору можливого викривлення фінансової звітності, що призвело до внесення доповнень і поправок практично в усі МСА.
У колишніх стандартах СВК визначалася як сукупність заходів, в яких зацікавлені насамперед аудіруемих особи. У новій редакції зроблений акцент на надійність фінансової звітності, а також на можливість керівників підприємств знижувати ризик за допомогою системи внутрішнього контролю.
МСА вимагають проводити аналіз СВК постійно. Починаючи з 2006 р. вноситься зміна, яка вводить відповідальність керівництва аудируемого особи за розробку, впровадження та використання СВК, яка забезпечила б правдиве уявлення про фінансову звітність.
В останні роки в суб'єктах господарювання успішно формуються системи внутрішнього контролю та аудиту, результати діяльності яких враховуються при проведенні аудиторських перевірок. Питання про організацію СВК органічно пов'язаний з управлінською структурою суб'єкта господарювання, його стратегією і постановкою управлінського і фінансового обліку, порядком складання внутрішньовиробничої (управлінської) звітності.
Відповідно до стандартів аудиту СВК представляє систему, що складається з п'яти складових. Перша складова - контрольне середовище - включає позицію, обізнаність та дії керівництва. У складі контрольної середовища позначені положення про те, щоб керівники підприємств в явному вигляді повідомляли своїм підлеглим вимоги щодо чесності і поваги етичних норм. Важливо також приділяти увагу компетентності. Керівництво зобов'язане аналізувати, які якості потрібні для виконання тих чи інших робіт. Інші фактори контрольної середовища, такі, як філософія керівництва, організаційна структура, повноваження і відповідальність, практика і політика щодо людських ресурсів, залишилися колишніми або зазнали виключно редакційні зміни.
Розуміння аудитором контрольної середовища має особливе значення при вивченні питань, пов'язаних із загрозою шахрайства. Аудитор повинен зрозуміти, яким чином керівництво аудируемого особи створює атмосферу чесного, етичного поведінки і встановлює відповідні засоби контролю для запобігання та захисту від помилок і шахрайства. Аудитор повинен враховувати, як застосовувалися елементи контрольної середовища, і визначити, чи використовуються засоби контролю на практиці.
Друга складова СВК - оцінка бізнес-ризику аудіруемим особою як процес виявлення ризиків, їх можливих наслідків та реагування на них. У нових МСА з'явилася вимога до керівників аудируемого особи самостійно оцінювати пов'язані з роботою своєї організації ризики. Аудитор повинен зрозуміти, яким чином організація виявляє і усуває бізнес-ризики, пов'язані з цілями фінансової звітності, і до яких наслідків це призводить.
Третя складова СВК - інформаційна система, пов'язана з цілями фінансової звітності та складається з процедур та записів. Аудитор повинен розуміти, як організація доносить інформацію про ролі та обов'язки конкретних співробітників, а також істотних питаннях, що мають відношення до фінансової звітності. У бухгалтерії має бути чітко розписано, хто що робить і хто за що відповідає. Аудитору слід перевірити, наскільки добре підготовлені службові інструкції і наскільки сумлінно вони виконуються.
Четверта складова СВК - контрольні дії. Під ними розуміються політика та процедури, які допомагають упевнитися, що розпорядження керівництва виконуються. До них відносяться процедури та заходи, що проводяться аудіруемим особою і що виходять за межі безпосереднього ведення обліку та складання звітності.
П'ята складова СВК - моніторинг засобів контролю. Під ним розуміється процес оцінки якості функціонування СВК. Він виконується за допомогою постійного спостереження, окремих оцінок надійності засобів і дозволяє переконатися, що засоби контролю функціонують ефективно. Аудитор повинен розуміти основні види заходів, які проводить організація для моніторингу внутрішнього контролю фінансової діяльності.
Що стосується оцінки ризику істотних спотворень, то аудитор повинен встановити, чи доречно при оцінці ризиків суттєвих викривлень даний засіб контролю. Треба взяти до уваги оцінку рівня суттєвості, розмір аудируемого особи, природу його бізнесу, складність систем, складових СВК. Найпростіший, але найменш надійний спосіб отримання аудиторських доказів про СВК - розпитування співробітників клієнта, а найнадійнішим - спостереження аудитора за контрольними процедурами. На жаль, аудитор фізично не в змозі особисто простежити за ними. Внутрішній контроль може забезпечити тільки часткову впевненість у досягненні мети. Якщо в результаті проведених процедур з оцінки ризику не виявлено яких-небудь ефективних засобів контролю, то аудитор виключає ефект контролю з відповідних оцінок ризиків. Аудитор повинен планувати і здійснювати процедури перевірок по суті для кожної суттєвої операції.
Перевірка процедур контролю проходить дві стадії. На першій стадії аудитор з'ясовує, чи існує дана процедура у аудируемого особи. На другій стадії він встановлює, чи виконують процедури контролю передбачувані функції. Тести застосовуються тільки для тих складових СВК, які були визнані аудитором належними для запобігання, виявлення та виправлення. Тимчасові рамки тестів - це період часу, з яким пов'язано проведення аудиторських процедур. Масштаб аудиторських тестів засобів контролю безпосередньо пов'язаний з оцінкою ризику аудитором. Всі описані дії аудитора мають бути відображені в робочій документації.
Відповідно до Федерального правилом (стандартом) "Оцінка аудиторських ризиків і внутрішній контроль, здійснюваний аудіруемим обличчям" основу внутрішнього контролю економічного суб'єкта становлять контрольне середовище, система бухгалтерського обліку та засоби контролю. На нашу думку, доцільно в складі елементів внутрішнього контролю розглядати і систему податкового обліку, що представляє собою впорядковану систему реєстрації та узагальнення інформації про факти господарської діяльності, опосередковуючи виникнення доходів і витрат, що підлягають обліку відповідно до норм НК РФ, для формування повної та достовірної податкової інформації.
Аудитор в ході планування повинен оцінити адекватність внутрішнього контролю масштабами, специфіці діяльності економічного суб'єкта і досягти розуміння закономірностей його функціонування в тій частині, яка забезпечує регулювання та моніторинг процесу збору, обробки та узагальнення інформації, необхідної для підготовки достовірної бухгалтерської та податкової звітності.
Аудитор вивчає СВК суб'єкта, для того щоб спланувати аудиторську перевірку і визначити природу, ступінь і час проведення необхідних процедур. У кінцевому рахунку таке вивчення дає можливість оцінити ризик спотворення у фінансовій звітності. При цьому аудитор повинен більше приділяти уваги засобам контролю, які мають відношення до фінансової інформації, доречною при обгрунтуванні тверджень щодо фінансової звітності. Засоби контролю, які не впливають на фінансову інформацію, не є суттєвими для аудитора, якщо тільки вони опосередковано не зачіпають фінансову звітність.
При плануванні аудиту аудитор вивчає всі п'ять компонентів СВК суб'єкта, щоб:
- Визначити тип можливих суттєвих перекручень;
- Розглянути чинники, що призводять до появи істотних викривлень;
- Розробити тести системи контролю;
- Визначити форми тестування по суті, якщо це можливо.
Практика показує, що на стадії планування навряд чи вдається детально вивчити діяльність економічного суб'єкта стосовно до всього обсягу скоєних господарських операцій, тому доцільно вибрати найсуттєвіші з них. При вибірці можна керуватися суттєвістю оборотів і залишків по рахунках. За результатами оцінки бухгалтерського обліку і внутрішнього контролю цих рахунків і ділянок аудитор формує свою думку про систему бухгалтерського обліку і внутрішнього контролю економічного суб'єкта.
Оцінка, проведена за такий короткий термін, досить суб'єктивна, і вводити на цій стадії велика кількість градацій не має сенсу. Тому тут застосовуються три градації оцінки систем бухгалтерського обліку і внутрішнього контролю. Свідоцтва, отримані за результатами експертизи бізнесу, впливають на формування думки аудитора щодо рівня невід'ємного ризику та доцільності застосування в ході аудиту знань про внутрішній контроль економічного суб'єкта.
Для раціональної організації перевірки аудитор повинен, виходячи з оцінки невід'ємного і контрольного ризику та беручи до уваги попереднє судження про суттєвість, визначити допустимий ризик невиявлення і з урахуванням мінімізації останнього спланувати відповідні аудиторські процедури.
Діагностика внутрішнього контролю економічного суб'єкта здійснюється з метою попередньої оцінки ступеня надійності СВК і передбачає вивчення, аналіз, оцінку:
- Відносини керівництва до необхідності підтримки адекватного внутрішнього контролю;
- Порядку делегування повноважень і розподілу відповідальності;
- Порядку авторизації господарських операцій на всіх рівнях ієрархії управління;
- Порядку забезпечення схоронності активів та конфіденційної інформації економічного суб'єкта;
- Облікової і податкової політики економічного суб'єкта, її організаційно-технічних та методологічних аспектів;
- Організаційної структури бухгалтерії;
- Порядку документального оформлення фактів господарської діяльності і організації документообігу;
- Ролі і місця засобів обчислювальної техніки у веденні бухгалтерського та податкового обліку;
- Порядку систематизації даних в регістрах бухгалтерського та податкового обліку;
- Процесу підготовки бухгалтерської та податкової звітності.
Для попередньої оцінки ефективності СВК використовуються такі градації: висока, середня, низька. Свою оцінку аудитор формує в результаті:
- Бесід з компетентними працівниками економічного суб'єкта;
- Перевірки документів;
- Спостереження за використанням конкретних заходів і процедур;
- Аналітичних процедур.
Розглянемо більш детально процес вивчення та оцінки СВК, який складається з розуміння та документування цієї системи, оцінки контрольного ризику, тестування засобів контролю, оцінки результатів тестування та їх документування, тестування по суті.
Для аналізу СВК аудитору слід:
- Спиратися на власний досвід роботи з суб'єктом;
- Запитувати необхідну інформацію у керівництва, контролерів та персоналу;
- Дослідити документи і записи;
- Вивчати характер і види діяльності;
- Задокументувати отримане розуміння.
Поточні кошти внутрішнього контролю досліджуються аудитором на основі даних з декількох джерел - як минулих, так і справжніх. Аудитор повинен проаналізувати робочі документи з попередньої аудиторської перевірки, запитати додаткову інформацію у персоналу клієнта і внутрішніх аудиторів, вивчити керівництва за процедурами і поспостерігати діяльність компанії. Проте слід враховувати, що структура засобів внутрішнього контролю попередніх періодів може не відповідати цьому періоду.
Документування розуміння СВК може бути зроблено аудитором шляхом підготовки блок-схем, заповнення анкет, описів і складання древа-рішень і таблиць. Такі форми документування доводять, що достатнє розуміння і оцінка СВК були фактично здійснені.
Блок-схеми являють собою символічні діаграми, що відображають послідовний процес системи управління, обробки та документування. Блок-схеми можуть використовуватися, по-перше, для оцінки СВК, по-друге, - як засобу документування в електронному вигляді при програмуванні.
Блок-схема, яка використовується для оцінки системи, показує походження кожного документа в системі, його подальшу обробку і кінцеве місце розташування. Крім цього схеми корисні для аудитора тим, що документують всі кроки в процесі перевірки.
Електронні блок-схеми, що використовуються в якості документації, спочатку створюються для документування логіки та існуючих потоків електронної інформації. Аудитор може використовувати такі схеми для оцінки як роботи програми, так і коштів внутрішнього контролю, що відносяться до функції обробки даних в общем.
Для підготовки блок-схем слід:
- Скласти схему документообігу та інформаційних потоків;
- Починати з верхньої частини сторінки і рухатися зверху вниз і зліва направо;
- Використовувати опис для кращого розуміння користувачем;
- Уникати поділяють ліній, якщо це можливо;
- При необхідності прочитати заново схему з точки зору читача і усунути невизначеності.
Анкета по СВК зазвичай містить питання, які припускають відповіді "так" або "ні". Негативні відповіді спрямовані на загострення уваги на можливі недоліки цієї системи. За негативним відповідей необхідно написати пояснення. Анкети також мають додатковий простір, для того щоб опитуваний співробітник міг розмістити там свої пояснення. Питання повинні бути орієнтовані на конкретні засоби внутрішнього контролю, що відповідають за певний елемент, рахунок або процес. Вони повинні ставитися до кожної процедури доречного засобу.
Описи є письмовій версією блок-схеми. Аудитор описує те, як він уявляє собі СВК. Виклад фактів проводиться в послідовності походження подій за певної операції.
Блок-схеми підходять для документування більш складних структур контролю, а письмове виклад фактів - для менш складних.
Древо рішень є графічною ілюстрацією, яка показує логіку операції або процесу. При цьому в основному використовуються питання, на які повинні слідувати відповіді "так", "ні", направляючі користувача до логічно наступного питання. Таблиці показують логічний зв'язок компонентів системи в табличній формі. За допомогою цих двох методів аудитор документує розуміння процесу.
Наступним етапом у вивченні й оцінки СВК є оцінка контрольного ризику, тестування засобів контролю.
Оцінка ризику контролю - визначення того, наскільки ефективні засоби внутрішнього контролю при попередженні або виявленні суттєвих перекручень у фінансовій звітності. Засоби контролю можуть мати значний ефект у відношенні багатьох, одного або декількох тверджень.
Засоби контролю можуть прямо або побічно ставитися до тверджень. У першому випадку кошти контролю більш ефективні, тому аудитор може оцінити ризик контролю нижче, ніж у другому.
Аудитор може прийняти одну або декілька різних стратегій аудиту тверджень.
Оцінка ризику контролю як максимальна (або трохи нижче) означає, що аудитор планує застосувати в основному підхід перевірки по суті. У цьому випадку засоби контролю не тестуються, так як аудитор не має наміру на них покладатися. Максимальний рівень оцінки ризику контролю свідчить про те, що процедура контролю:
- Недоречна або неефективна;
- Співвідношення витрати - вигоди заважає проведенню тестування;
- Неефективна для тестування засобу контролю;
- Являє собою слабко розроблене засіб контролю.
Оцінка ризику контролю нижче максимального означає, що аудитор має намір покладатися на подібні засоби внутрішнього контролю. Оцінка ризику нижче максимального рівня зачіпає:
- Ідентифікацію певних доречних засобів контролю, які, швидше за все, виявлять і усунуть суттєві викривлення;
- Проведення тестування даних засобів контролю;
- Висновок за оціненого рівня ризику контролю.
Яка стратегія не була б вибрана, вона визначає:
- Ступінь розуміння СВК, яку аудитор повинен досягти;
- Природу, ступінь, час для виконання процедур для отримання такого розуміння;
- Документування висновків щодо оціненого рівня ризику контролю;
- Природу, час і рівень проведення процедур по суті, які повинні бути виконані.
Оцінка ризику контролю повинна бути оформлена документально, так як будь-яка оцінка ризику контролю нижче максимальної повинна бути обгрунтована доказами, отриманими в результаті тестування засобів контролю.
Якщо далі аудитор передбачає знизити ризик контролю до бажаного рівня, то необхідно виконати додаткове тестування засобів контролю. В основному додаткове тестування проводиться, якщо є необхідність отримати додаткові докази або аудитор вважає це досить ефективним. Аудитор оцінює, виправдають чи зусилля, необхідні для проведення додаткового тестування засобів контролю, очікуване скорочення тестування по суті.
Про надійність СВК свідчать:
- Нумерація документів, яка дозволяє переконатися в тому, що всі операції відображені в обліку (повнота); всі операції відображені в обліку тільки один раз (існування);
- Дозвіл на проведення операції, яке повинне здійснюватися до передачі ресурсів (існування);
- Незалежні перевірки, що включають перевірку роботи, виконаної іншими особами (оцінка), - звірку банківських виписок, порівняння субрахунків з синтетичними рахунками головної книги, порівняння даних проведеної інвентаризації з даними бухгалтерського обліку;
- Документування, яке надає докази по зроблених операціях, а також є основою для визначення відповідальності за виконання і відображення операцій (існування та оцінка);
- Розподіл обов'язків, що дає впевненість у тому, що окремі особи не виконують не сумісні з їх роботою службові обов'язки. З точки зору контролю службові обов'язки вважаються несумісними, коли, наприклад, конкретну особу має можливість вкрасти актив і в той же час приховати цю крадіжку (існування і походження);
- Фізичні засоби контролю, які передбачають застосування охоронних пристроїв і засобів, а також обмеження доступу до заборонених ділянок з використанням певних засобів і комп'ютерних програм.
Оцінка ризику якості аудиту базується на зворотному взаємозв'язку ризику невиявлення і комбінації невід'ємного і контрольного ризику. Високий рівень невід'ємного ризику і ризику засобів контролю зобов'язує організувати перевірку таким чином, щоб мінімізувати величину ризику невиявлення і тим самим звести аудиторський ризик до прийнятного значення. Низький рівень невід'ємного і контрольного ризику дозволяє допустити в ході аудиту більш високий ризик невиявлення (за допомогою застосування менш трудомістких методів отримання аудиторських доказів) і досягти прийнятного значення аудиторського ризику.
О. В. Нестерова
Кафедра оподаткування та аудиту
Самарського державного
економічного університету