Справочник - Сборник международных стандартов аудита
Подождите немного. Документ загружается.
ЗНАНИЕ СУБЪЕКТА И ЕГО СРЕДЫ, ОЦЕНКА РИСКОВ
СУЩЕСТВЕННЫХ ИСКАЖЕНИЙ
461 МСА 315
использовании информации, представленной ИТ. Например,
автоматизированный контроль может быть разработан для
подготовки отчетности по операциям свыше определенной суммы
для обзора руководством, но лица, ответственные за проведение
обзора могут не понять цели такого отчета и, соответственно, не
смогут проверить его или исследовать необычные статьи.
65. Кроме того, контроли могут быть обойдены путем сговора одного
или нескольких лиц или игнорирования руководством внутреннего
контроля. Например, руководство может подписать дополнительное
соглашение с клиентом, изменяющее условия стандартных
контрактов субъекта по продаже, которое может привести к
несоответствующем признанию доходов. Также контрольные
проверки в программном обеспечении, разработанные для
определения и подготовки
отчетности по операциям, превышающих
определенные кредитные лимиты, могут быть проигнорированы
или блокированы.
66. Небольшие субъекты часто имеют небольшое количество
персонала, которые могут ограничить приемлемость распределения
обязанностей. Однако, по ключевым статьям, даже если в очень
небольшом субъекте, необходимо применить определенное
распределение обязанностей или другую форму несложного, но
эффективного контроля. Возможность игнорирования контролей
владельцем-руководителем зависит в большей степени от
контрольной среды и, в частности
, от отношения владельца-
руководителя к важности внутреннего контроля.
Контрольная среда
67. Аудитор должен получить знание контрольной среды.
Контрольная среда включает в себя функции руководства и
управления, а также отношение, знание и действия лиц, наделенных
руководящими полномочиями, и руководства субъекта в отношении
внутреннего контроля субъекта и его важности в субъекте.
Контрольная среда устанавливает общую атмосферу организации,
влияющую на контроль сознания внутреннего
персонала. Это
является базой для эффективного внутреннего контроля,
разрабатывающей дисциплину и структуру.
68. Лица, наделенные руководящими полномочиями, и руководство
субъекта несут основную ответственность за предотвращение и
обнаружение мошенничества и ошибок. При оценке разработки
контрольной среды и определении была ли внедрена контрольная
ЗНАНИЕ СУБЪЕКТА И ЕГО СРЕДЫ, ОЦЕНКА РИСКОВ
СУЩЕСТВЕННЫХ ИСКАЖЕНИЙ
МСА 315 462
система, аудитор изучает как руководство при надзоре со стороны
лиц, наделенных руководящими полномочиями, создало и
поддерживало культуру честности и этического поведения,
установило надлежащие контроли для предотвращения и
обнаружения мошенничества и ошибок внутри субъекта.
69. При оценке разработки контрольной среды субъекта аудитор
рассматривает следующие элементы и то, как они были внедрены в
процесс субъекта:
(а) Информирование и внедрение честности и этических ценностей
– основные элементы, влияющие на эффективность разработки,
администрирования и мониторинга контролей.
(б) Обязательства по профессиональной компетентности –
рассмотрение руководством уровней профессиональной
компетентности для определенных должностей и как эти
уровни трансформируются в требуемые навыки и знания.
(в) Участие лиц, наделенных руководящими полномочиями –
независимость от руководства субъекта, их опыта и статуса,
масштаб их участия и наблюдение за деятельностью,
информация, которую они получают, как определяются и
рассматриваются сложные вопросы руководством и их
взаимодействие с внутренними и внешними аудиторами.
(г) Философия и стиль руководства субъекта – подход руководства
субъекта к определению и управлению бизнес рисками,
отношение и действия руководства субъекта по финансовой
отчетности, обработке информации, бухгалтерской
деятельности и персоналу.
(д) Организационная структура – основа, в рамках которой
планируется, выполняется, контролируется и проверяется
деятельность субъекта.
(е) Делегирование полномочий и обязательств – метод
делегирования полномочий и обязательств по деятельности,
установления отношений по отчетности и иерархии
санкционирования.
(ж) Политика и практика в отношении человеческих ресурсов –
рекрутинг, ориентирование, обучение, оценка, консультации,
повышение, компенсации и оздоровительные меры.
ЗНАНИЕ СУБЪЕКТА И ЕГО СРЕДЫ, ОЦЕНКА РИСКОВ
СУЩЕСТВЕННЫХ ИСКАЖЕНИЙ
463 МСА 315
70. При изучении элементов контрольной среды, аудитор также
рассматривает, были ли они внедрены. Обычно аудитор получает
надлежащие аудиторские доказательства путем сочетания запросов
и прочих процедур по оценке рисков, например, подтверждение
запросов наблюдением или проверкой документов. Также, путем
опросов руководства субъекта и сотрудников аудитор может
получить знание о том, как
руководство сообщает своим
сотрудникам свое видение деловой практики и этического
поведения. Аудитор определяет, были ли внедрены контроли путем
изучения, например, разработало ли руководство формальный
кодекс поведения и осуществляет ли оно свою деятельность в
соответствии с кодексом или потворствует нарушениям кодекса или
санкционирует исключения к кодексу.
71. Аудиторские доказательства по элементам контрольной среды
могут быть недоступны в документарной форме, в частности в
небольших субъектах, где контакты руководства субъекта с
персоналом могут носить неформальный, но в тоже время
эффективный характер. Например, взгляды руководства субъекта в
отношении этических требований и профессиональной
компетентности часто внедряются через поведение и отношение,
которое
они демонстрируют при управлении субъектом вместо
разработки письменного кодекса поведения. Следовательно,
отношение руководства субъекта, знание и действия имеют
определенную важность при разработке контрольной среды
небольшого субъекта. Кроме того, роль лиц, наделенных
руководящими полномочиями, часто выполняется владельцем-
руководителем, если не имеется других владельцев.
72. Общая ответственность лиц, наделенных руководящими
полномочиями, признается в процессуальном кодексе и прочем
регулировании или руководствах, разработанных для лиц,
наделенных руководящими полномочиями. Одной из функций лиц
наделенных руководящими полномочиями, является
уравновешивание давления на руководство субъекта в отношении
финансовой отчетности. Например, база для вознаграждения
руководства субъекта может оказывать влияние на руководство из
-
за конфликта необходимости справедливого представления
отчетности и реальных выгод от более лучших результатов. При
изучении разработки контрольной среды аудитор рассматривает
такие вопросы как независимость директоров и их способность
оценивать действия руководства субъекта. Аудитор также
ЗНАНИЕ СУБЪЕКТА И ЕГО СРЕДЫ, ОЦЕНКА РИСКОВ
СУЩЕСТВЕННЫХ ИСКАЖЕНИЙ
МСА 315 464
рассматривает наличие аудиторского комитета, знакомого с
деятельностью субъекта и оценивающего финансовую отчетность
на предмет достоверного и справедливого взгляда (или
справедливого представления во всех существенных аспектах) в
соответствии с применяемой основой представления финансовой
отчетности.
73. Характер контрольной среды субъекта таков, что он оказывает
сильное влияние на оценку рисков существенных искажений.
Например, владелец-руководитель может смягчить риск
недостаточного распределения обязанностей в небольших
субъектах, или активный и независимый совет директоров может
повлиять на философию и стиль старшего руководства субъекта в
крупных субъектах. Оценка аудитором разработки контрольной
среды
субъекта, включает рассмотрение представляют ли сильные
стороны в элементах контрольной среды в совокупности
надлежащую базу для других компонентов внутреннего контроля и
не ослаблены ли они слабыми сторонами контрольной среды.
Например, политика и практика в отношении человеческих
ресурсов, предназначенная для найма профессионально
компетентного финансового, бухгалтерского и ИТ персонала,
может и не
смягчить риск сговора высшего руководства субъекта по
завышению доходов. Изменения в контрольной среде могут
повлиять на соответствие информации, полученной при
предыдущем аудите. Например, решение руководства субъекта по
использованию дополнительных ресурсов для проведения обучения
и изучения процесса подготовки финансовой отчетности может
снизить риски ошибок при обработке финансовой информации.
Невозможность обеспечения достаточных источников
для
реагирования на риски безопасности, выявленные ИТ, могут
негативно повлиять на внутренний контроль путем внедрения
неправильных изменений в компьютерную программу или в данные
или в обработки несанкционированной операции.
74. Существование удовлетворительной контрольной среды может
являться позитивным фактором при оценке аудитором рисков
существенных искажений и в соответствии с параграфом 5 МСА
330, повлиять на характер, сроки и масштаб аудиторских процедур.
В частности это может помочь снизить риск мошенничества, хотя
удовлетворительная контрольная среда не является абсолютной
защитой против мошенничества. И наоборот, слабые
стороны в
контрольной среде могут уменьшить эффективность контролей и,
ЗНАНИЕ СУБЪЕКТА И ЕГО СРЕДЫ, ОЦЕНКА РИСКОВ
СУЩЕСТВЕННЫХ ИСКАЖЕНИЙ
465 МСА 315
соответственно, являться негативным фактором при оценке
аудитором рисков существенных искажений, в частности в
отношении мошенничества.
75. Контрольная среда сама по себе не предотвращает, не обнаруживает
и не исправляет существенные искажения в классе операций, сальдо
счетов, раскрытиях и связанных утверждениях. Аудитор обычно
рассматривает влияние прочих компонентов вместе с контрольной
средой при оценке рисков существенных искажений; например,
мониторинг контролей и функционирование определенных
контролей.
Процесс оценки рисков субъектом
76. Аудитор должен получить знание о процессе, используемом
субъектом для определения бизнес рисков, относящихся к
целям финансовой отчетности, и определения действий в
отношении этих рисков и полученных результатов. Процесс
определяется как «процесс оценки рисков субъектом» и формирует
базу, на основе которой руководство определяет риски.
77. При оценке разработки и внедрения процесса оценки рисков
субъектом, аудитор определяет как руководство выявляет бизнес
риски, относящиеся к финансовой отчетности, оценивает
значительность этих рисков и вероятность их возникновения, а
также определяет действия, которые необходимо предпринять в
отношении этих рисков. Если процесс оценки рисков субъектом
соответствует обстоятельствам, он помогает аудитору при
определении рисков существенных искажений.
78. Аудитор проводит опрос руководства субъекта в отношении бизнес
рисков, выявленных руководством и изучает могут ли они вызвать
риск существенных искажений. В ходе аудита аудитор может
определить риск существенного искажения, который не смогло
обнаружить руководство. В таких случаях аудитор должен
определить является ли такой риск основополагающим риском,
который должен был быть
обнаружен в процессе оценки риска
субъектом, и если да, то почему этот процесс не обнаружил этот
риск и соответствует ли процесс обстоятельствам. Если в
результате аудитор заключает, что имеются существенные
недостатки в процессе оценки риска субъектом, то аудитор
сообщает об этом лицам, наделенным руководящими
полномочиями, в соответствии с параграфом 120.
ЗНАНИЕ СУБЪЕКТА И ЕГО СРЕДЫ, ОЦЕНКА РИСКОВ
СУЩЕСТВЕННЫХ ИСКАЖЕНИЙ
МСА 315 466
79. В небольших субъектах руководство может и не иметь формального
процесса по оценке рисков в соответствии с параграфом 76. В
отношении таких субъектов аудитор должен обсудить с
руководством как определяются бизнес риски и как они
устраняются.
Информационная система, включающая связанные бизнес процессы,
относящаяся к финансовой отчетности и процессу информирования
80. Информационная система, связанная с целями финансовой
отчетности, и включающая в себя бухгалтерскую систему, состоит
из процедур и записей, разработанных для инициирования,
отражения, записи, обработки операций и процесса подготовки
отчетности по операциям (а также, событиям и условиям) и ведения
учета соответствующих активов, обязательств и капитала.
81. Аудитор должен получить знание об информационной системе,
включая связанные бизнес процессы, относящиеся к
финансовой отчетности, включая следующее:
•
Классы операций, являющиеся значительными для
финансовой отчетности.
•
Процедуры, и в ручной, и в автоматизированной системе,
посредством которых операции инициируются,
отражаются, обрабатываются и предоставляются в
финансовой отчетности.
•
Как информационная система фиксирует события и
условия, отличные от класса операций, являющихся
значительными для финансовой отчетности.
•
Соответствующие учетные записи, в электронной форме
или на бумажных носителях, подтверждающую
информацию, и специфические счета финансовой
отчетности, с точки зрения инициирования, отражения,
обработки и представления информации об операциях.
•
Процесс подготовки финансовой отчетности, используемый
для подготовки финансовой отчетности субъекта, включая
значительные расчетные оценки и раскрытия.
82. При получении этого знания аудитор учитывает процедуры,
используемые для передачи информации из системы обработки
информации в главную книгу или систему подготовки финансовой
отчетности. Аудитор также изучает процедуры, используемые
ЗНАНИЕ СУБЪЕКТА И ЕГО СРЕДЫ, ОЦЕНКА РИСКОВ
СУЩЕСТВЕННЫХ ИСКАЖЕНИЙ
467 МСА 315
субъектом для получения информации, относящейся к финансовой
отчетности, т.е. события и условия, отличные от операций, такие
как амортизация и износ активов и изменения в погашаемости
дебиторской задолженности.
83. Информационная система субъекта обычно включает
использование стандартных журнальных проводок, применяемых
на постоянной основе для отражения в главной книге операций
таких как продажи, закуп, выплата наличных или для отражения
расчетных оценок, периодически производимых руководством,
например, изменения в оценке безнадежно задолженности.
84. Процесс подготовки финансовой отчетности субъекта также
включает использование нестандартных журнальных проводок для
отражения редких, необычных операций или корректировок.
Примерами таких проводок являются корректировки при
консолидации и проводки по слиянию бизнеса, выбытия или
периодически проводимые оценки, такие как обесценение активов.
В ручной системе, основанной на документах в бумажном формате,
нестандартные журнальные
проводки могут определяться путем
проверки главных книг, журналов и подтверждающей
документации. Однако, при использовании автоматизированных
процедур в отношении главной книги и подготовке финансовой
отчетности, такие проводки могут существовать только в
электронной форме и их легче определить с помощью
компьютеризированных приемов аудита (КПА).
85. Подготовка финансовой отчетности субъекта включает в себя
процедуры, разработанные для обеспечения сбора, отражения,
обработки, обобщения и соответствующего признания в
финансовой отчетности информации, которая должна быть
раскрыта в соответствии с применяемой основой предоставления
финансовой отчетности.
86. При получении знания, аудитор рассматривает риски существенных
искажений, связанных с игнорированием контролей над
журнальными проводками и контролями над нестандартными
журнальными проводками. Например, автоматизированные
процессы и контроли могут снизить риск игнорирования
автоматизированных процессов, путем изменения сумм
автоматически переходящих в главную книгу или систему
финансовой отчетности. Более того, аудитор поддерживает, что при
использовании ИТ для автоматической передачи информации,
ЗНАНИЕ СУБЪЕКТА И ЕГО СРЕДЫ, ОЦЕНКА РИСКОВ
СУЩЕСТВЕННЫХ ИСКАЖЕНИЙ
МСА 315 468
видимы доказательства вмешательства в информационную систему
или их нет вообще, или они незначительны.
87. Аудитор также, изучает как исправляется неправильная обработка
операций, например, воздаются ли в автоматическом режиме файлы
с реестром операций вызывающими сомнения и как они
используются субъектом для подтверждения своевременного
рассмотрения таких файлов реестров, а так же как обрабатывается и
учитывается игнорирование или обход системы.
88. Аудитор должен получить знание об информационной системе
субъекта, связанной с финансовой отчетности соответствующей
внутренним обстоятельствам. Такие знания включают знание того,
как операции возникают в бизнес процессе субъекта. Бизнес
процесс субъекта трактуется как деятельность, направленная на
разработку, покупку, производство, продажу и распределение
продукции и услуг субъекта; на обеспечение соответствия законам
и
регулированию; на отражение информации, включая
бухгалтерскую и финансовую информацию.
89. Аудитор должен изучить как субъект сообщает об
ответственности за подготовку финансовой отчетности, а также
о значительных вопросах, связанных с финансовой
отчетностью. Процесс информирования включает изучение
отдельных ролей и ответственности, имеющих отношение к
внутреннему контролю над финансовой отчетностью и может быть
представлен в форме руководства субъекта по политике и
финансовой отчетности
. Он также включает степень знания
персонала о том, как их деятельность в разрезе информационной
системы по подготовке финансовой отчетности связана с работой
других сотрудников и о способах информирования об исключениях
руководству более высокого уровня. Отрытые каналы
информирования помогают обеспечить подготовку
соответствующей отчетности и совершить последующие действия
по ней. Знание аудитора
о процессе информирования, имеющего
отношение к вопросам финансовой отчетности, также включает
коммуникации между руководством субъекта и лицами,
наделенными руководящими полномочиями, в частности
аудиторским комитетом, а также внешние способы
информирования, например, с регулирующими органами.
ЗНАНИЕ СУБЪЕКТА И ЕГО СРЕДЫ, ОЦЕНКА РИСКОВ
СУЩЕСТВЕННЫХ ИСКАЖЕНИЙ
469 МСА 315
Контроли
90. Аудитор должен получить достаточное знание контролей для
оценки рисков существенных искажений на уровне
утверждений и разработки аудиторских процедур по оцененным
рискам. Контроли представляют собой политику и процедуры,
помогающие выполнение директив руководства субъекта,
например, что были предприняты необходимые действия в
отношении рисков, которые могут помешать в достижении
субъектом своих целей. Контроли
, в рамках автоматизированной
или ручной системы, имеют разные цели и применяются на разном
организационном и функциональном уровне. Примерами
специфических контролей являются следующие контроли:
•
Санкционирование;
•
Выполнение обзора;
•
Обработка информации;
•
Физический контроль;
•
Распределение обязанностей.
91. При получении знаний о контролях, аудитор основное внимание
уделяет тому, могут ли специфические контроли, в отдельности или в
совокупности с другими, предотвратить, или обнаружить и исправить
существенные искажения в классах операций, сальдо счетов или
раскрытиях и как они это делают. Контроли, относящиеся к аудиту,
это те контроли, по которым аудитор
считает необходимым получить
знание для оценки рисков существенных искажений на уровне
утверждений и для разработки и выполнения аудиторских процедур
по оцененным рискам. Аудит не требует знания всех контролей,
связанных с каждым значительным классом операций, сальдо счетов
и раскрытиям в финансовой отчетности или со связанными
утверждениями. Особое внимание должно уделяться определению
и
получению знания о контролях, относящихся к тем областям, в
которых вероятность возникновения существенных искажений
наиболее высока в соответствии с суждением аудитора. Если
несколько контролей преследуют одни и те же цели, необходимо
получить знания о каждом контроле, связанном с такой целью.
92. Аудитор рассматривает знание о наличии или отсутствии контроле,
полученных в ходе изучения других компонентов внутреннего
контроля при определении необходимости получения
дополнительных знаний о контролях. При изучении того, относятся
ЗНАНИЕ СУБЪЕКТА И ЕГО СРЕДЫ, ОЦЕНКА РИСКОВ
СУЩЕСТВЕННЫХ ИСКАЖЕНИЙ
МСА 315 470
ли контроли к аудиту, аудитор рассматривает выявленные им риски,
которые могут вызвать риски существенных искажений. Также,
контроли относятся к аудиту, если аудитор должен оценить их в
соответствии с параграфами 113 и 115.
93. Аудитор должен получить знание о том, как субъект реагирует на
риски, возникающие в связи с использованием ИТ. Использование
ИТ влияет на способ внедрения контроля. Аудитор должен изучить
правильно ли субъект реагирует на риски, возникающие из ИТ, путем
установления эффективных общих средств контроля в
информационных технологиях и контролей над приложениями.
С
точки зрения аудитора, контроли над ИТ системами, являются
эффективными если они поддерживают целостность информации и
безопасность данных, которые данная система обрабатывает.
94. Общие средства контроля в информационных технологиях
представляют собой политику и процедуры, связанные со многими
приложениями и поддерживающими эффективное функционирование
контролей над приложениями путем содействия обеспечению
надлежащей работы информационной системы. Общие средства
контроля в информационных технологиях, поддерживающие
целостность информации и безопасность данных обычно включают
контроли над следующим:
•
Информационными центрами и сетями.
•
Приобретением, изменением и обслуживанием системного
программного обеспечения.
•
Безопасностью доступа.
•
Приобретением, разработкой и обслуживанием прикладных
систем.
Обычно они внедряются для решения проблем с рисками, описанными
в параграфе 60.
95. Контроли над приложениями представляют собой ручные или
автоматизированные процедуры, которые обычно применяются на
уровне бизнес процессов. Контроли над приложениями могут быть
предупредительными и обнаружительными по характеру и
разработаны для обеспечения целостности бухгалтерских записей.
Соответственно, контроли над приложениями относятся к процедурам,
используемым для инициации, отражения, обработки и подготовки
отчетности по операциям
или прочей финансовой информации. Эти
контроли уверяют, что возникшая операция санкционирована,