Національні нормативи аудиту

35. Використовуючи результати тестів на відповідність системи внутрішнього контролю, аудитору необхідно визначити, наскільки її функціонування і структура відповідають його попередній оцінці ризику невідповідності внутрішнього контролю. Зроблена оцінка існуючих відхилень може привести аудитора до висновку про те, що визначений розмір ризику невідповідності внутрішнього контролю він повинен переглянути. У таких випадках аудиторові слід поміняти характер, строки і масштаб виконання запланованих процедур аудиту.

36. Окремі аудиторські докази можуть бути надійнішими, ніж інші. За певних обставин метод спостереження дає можливість аудитору отримати вичерпніші докази, ніж ті, що отримані шляхом опитування, вибірки і аналізу. Наприклад, аудитор може отримати свідчення правильного розподілу службових обов'язків, здійснюючи спостереження за виконанням службових обов'язків співробітників, результати праці яких безпосередньо впливають на якість системи внутрішнього контролю, або отримавши інформацію про службові обов'язки конкретних співробітників. Проте, аудиторські докази про систему внутрішнього контролю, отримані шляхом спостереження, мають тимчасовий характер. Тому аудитор може доповнити ці докази іншими тестами на відповідність системи внутрішнього контролю, котрі дадуть йому можливість отримати також докази за інші періоди перевірки.

37. При визначенні аудиторського доказу про ризики невідповідності внутрішнього контролю, аудитор може використовувати узагальнюючі висновки, одержані під час попередніх аудиторських перевірок. У такому разі аудитор має інформацію про системи, бухгалтерського обліку і внутрішнього контролю, за попередній звітний період, і йому треба визначити необхідну кількість додаткових аудиторських доказів про зміни в системі внутрішнього контролю, які могли статися на підприємстві за період між перевірками. Перш ніж покладатися в своїй роботі на результати проведених процедур аудиту минулої аудиторської перевірки, аудитору треба впевнитися у їх слушності та доцільності для використання у поточному аудиті. Аудитор дістає інформацію про кожні зміни, які відбулися в системах бухгалтерського обліку і внутрішнього контролю підприємства за період між минулою і поточною перевіркою і оцінює рівень своєї довіри до них. Аудитору необхідно враховувати те, що його впевненість у слушності та доцільності процедур аудиту минулої перевірки для використання в поточному аудиті буде чимдалі зменшуватися в міру збільшення періоду між раніше виконаними і запланованими аудиторськими процедурами.

38. Аудитору необхідно впевнитися в тому, що функціонування системи внутрішнього контролю здійснювалося протягом всього періоду аудиторської перевірки. Якщо в різних проміжках періоду аудиторської перевірки на підприємстві використовувалися різні види контролю, аудитору слід оцінити та вивчити кожну з таких процедур окремо. Якщо були випадки, коли внутрішній контроль на підприємстві деякий час був відсутній, то стосовно цього періоду аудитору треба окремо переглянути характер, термін і обсяг процедур перевірки щодо операцій та інших подій цього періоду.

39. Аудитор може виконати певні тести на визначення відповідності системи внутрішнього контролю під час поетапного проведення аудиту протягом звітного періоду. Але, аудитор не може використовувати результати таких тестів без врахування необхідності отримання додаткових доказів відповідності функціонування системи внутрішнього контролю підприємства протягом часу, який залишився між останніми проведеними тестами і закінченням звітного періоду. При цьому необхідно враховувати наступні фактори:

результати проміжних тестів;

тривалість часу, який залишився до закінчення звітного періоду;

зміни в системах бухгалтерського обліку і внутрішнього контролю протягом часу, який залишився до закінчення звітного періоду;

характер, вартість операцій та інших заходів, а також розмір залишків по рахунках;

середовище контролю, адміністративний контроль;

незалежні процедури перевірки.

40. Аудитор постійно переглядає правильність зробленої ним оцінки ризику невідповідності внутрішнього контролю до самого моменту завершення аудиторського висновку, який складається на підставі проведених незалежних процедур аудиторської перевірки та інших доказів.

41. Якщо внутрішній контроль на підприємстві послаблюється, керівництво вживає необхідних заходів щодо поліпшення структури системи внутрішнього контролю та бухгалтерського обліку, що дає йому змогу запобігти, своєчасно виявити і виправити помилки. Тому в більшості випадків властивий ризик і ризик невідповідності внутрішнього контролю мають щільний взаємозв'язок. Аудитор може зробити помилку під час оцінки ризику, якщо він буде оцінювати властивий ризик і ризик невідповідності внутрішнього контролю окремо, без урахування їх взаємозв'язку. Таким чином аудиторський ризик можна визначити значно точніше за допомогою комбінованої оцінки.

42. Ризик не виявлення безпосередньо пов'язаний з проведенням незалежних процедур перевірки. Зроблені аудитором оцінки невідповідності внутрішнього контролю і оцінка внутрішнього ризику впливає на характер, строки і обсяг аудиторських процедур, які виконуються аудитором з метою зменшення ймовірності не виявлення помилок і перекручень, і доводять ризик аудиту до сприятливого рівня. Певний ризик не виявлення помилок існує завжди, навіть коли аудитор перевірить 100 відсотків залишків по рахунках або всі види операцій, тому що більша частина аудиторських доказів має скоріше запевнюючий (аргументаційний), ніж підсумковий характер.

43. З метою зменшення аудиторського ризику до сприятливого рівня аудитор враховує зроблені ним оцінки властивого ризику і ризику невідповідності внутрішнього контролю при визначенні характеру, строків і обсягів незалежних процедур перевірки. Залежно від цього аудитор планує наступне:

характер незалежних процедур перевірки, наприклад, тести, які більше спрямовані на перевірку споріднених сторін підприємства, або тести складових частин операцій як доповнення до проведених аналітичних процедур;

строки проведення незалежних процедур, наприклад, виконання їх у кінці періоду більш бажане, ніж на початку;

обсяг незалежних процедур, наприклад, використання вибірки більшого обсягу ніж було заплановано раніше.

44. Існує взаємозв'язок між ризиком не виявлення помилок та комбінованим властивим ризиком і ризиком невідповідності внутрішнього контролю. Наприклад, якщо властивий ризик і ризик невідповідності внутрішнього контролю мають значний рівень, то необхідний рівень ризику не виявлення помилок має бути достатньо низьким, щоб забезпечити зменшення аудиторського ризику до сприятливого рівня. З іншого боку, якщо властивий ризик і ризик невідповідності внутрішнього контролю оцінюються як низькі, то аудитор може збільшити вже оцінений ризик не виявлення помилок та поміняти масштаб аудиту, розмір вибіркових перевірок, розмір суттєвості по операціях і, таким чином, зменшити аудиторський ризик до сприятливого рівня.

45. Хоча тести внутрішнього контролю і незалежних процедур перевірки мають різну мету, виконання одних процедур може сприяти досягненню мети, поставленої для інших процедур. Суттєві помилки, виявлені під час проведення незалежних процедур перевірки, можуть примусити аудитора замінити попередню оцінку ризику невідповідності внутрішнього контролю.

46. Незначні рівні властивого ризику і ризику невідповідності внутрішнього контролю не можуть підштовхнути аудитора скасувати виконання незалежних процедур перевірки. За будь-яких обставин, незважаючи на розміри властивого ризику і ризику невідповідності внутрішнього контролю, аудитору слід виконати незалежні процедури перевірки, передбачені в аудиторській програмі.

47. Оцінка аудитором розміру складових частин аудиторського ризику може змінюватися протягом проведення аудиту, тому що при виконанні незалежних процедур перевірки до відома аудитора може дійти інформація, котра значно відрізняється від тієї, на підставі якої аудитор зробив попередню оцінку властивого ризику і ризику невідповідності внутрішнього контролю. У таких випадках аудиторові необхідно поміняти заплановані незалежні процедури перевірки, виходячи з переглянутої оцінки властивого ризику і ризику невідповідності внутрішнього контролю.

48. Що більшим є властивий ризик і ризик невідповідності внутрішнього контролю, то більше аудиторських доказів необхідно отримати аудитору протягом виконання незалежних процедур перевірки. Якщо аудитор оцінив властивий ризик і ризик невідповідності системи внутрішнього контролю як значний, йому необхідно отримати докази, які підтверджують правильність прийнятого ним рішення, використовуючи для цього незалежні процедури перевірки. Ці заходи дають змогу зменшити ризик не виявлення і, як наслідок, довести аудиторський ризик до сприятливого рівня. Якщо аудитор визнає, що ризик не виявлення стосовно тверджень фінансової звітності по залишках на рахунках або категорії операцій по певних рахунках не може бути зменшений до сприятливого рівня, йому необхідно скласти негативний висновок або дати відмову від аудиторського висновку.

49. При аудиті як великих, так і малих підприємств аудиторові слід мати однакову впевненість про можливість складення позитивного висновку. Системи внутрішнього контролю, котрі використовуються на великих підприємствах*, які мають розвинену внутрішню структуру філій та дочірніх підприємств, не доцільні для використання на невеликих підприємствах. Наприклад, на невеликих підприємствах процедури бухгалтерського обліку можуть виконуватися одноосібно, як наслідок, розподіл обов'язків може бути відсутнім. Невідповідний розподіл обов'язків може в деяких випадках компенсуватися потужною системою управлінського контролю, при якому процедури внутрішнього контролю з боку власників (керівників) компенсуються їх добрим особистим знанням стану справ підприємства (бізнесу) і безпосередньою участю у веденні бухгалтерського обліку. В умовах, коли можливість розподілу обов'язків між співробітниками обмежена і тому не може існувати аудиторських доказів про систему управлінського контролю, докази, які використовуються аудитором під час складення аудиторського висновку, можуть бути отримані ним виключно шляхом виконання незалежних процедур перевірки.

50. Показником того, що аудитор отримав необхідне знання системи бухгалтерського обліку і відповідності внутрішнього контролю може бути те, що він знає про недоліки в цих системах. При виявленні істотних недоліків у структурі або функціонуванні систем бухгалтерського обліку і внутрішнього контролю аудитору слід повідомити про це керівництво відповідного рівня управління у найкоротший термін, з відповідною впевненістю та доказовістю своєї правоти. Повідомлення керівництву про істотні помилки необхідно представити у письмовому вигляді. Проте, якщо аудитор вважає за доцільне, можна надати усне повідомлення керівництву, то таке повідомлення необхідно зафіксувати в аудиторській робочій документації. У повідомленні важливо зауважити, що аудитор дає перелік тільки тих недоліків, котрі потрапили в коло його зору під час проведення аудиту, і що аудит не планувався для окремого визначення відповідності внутрішнього контролю завданням, поставленим керівництвом підприємства.

1. Аудитор повинен оцінити обсяг впливу системи електронної обробки даних (ЕОД) на процес аудиту.

2. Завдання аудиту не змінюються в середовищі ЕОД, але, обробка, зберігання і взаємозв'язок інформаційних потоків, а також система управління і внутрішнього контролю, які використовуються клієнтом, зазнають впливу комп'ютерної техніки.

3. Внаслідок цього, середовище ЕОД може впливати на: процедури, які виконуються аудитором з метою досягнення розуміння системи обліку і управління клієнта; оцінку властивого ризику і ризику управління, через котрі аудитор оцінює свій аудиторський ризик; планування аудиту і ефективність тестів управління і незалежних процедур перевірки.

4. Аудиторові необхідно знати системи ЕОД, щоб спланувати, проаналізувати, проконтролювати і, зрештою, зробити огляд і висновки по виконаній клієнтом роботі, при використанні ним автоматизованої системи обліку і управління.

Для цього аудитор повинен:

зрозуміти, в усіх суттєвих аспектах, системи обліку і внутрішнього контролю, на котрі впливає середовище ЕОД; визначити ефект від впливу середовища ЕОД на оцінку ризику; підготувати проект і виконати тести управління і виконати незалежні процедури перевірки. Якщо аудитору не вистачає спеціальних знань для всеосяжного розуміння і проведення аналізу, йому слід звернутися до фахівця, який має такі знання і вміння. В цьому випадку необхідно мати докази того, що виконана фахівцем робота відповідає меті аудиту згідно з умовами договору.

5. Під час планування етапів робіт, на котрі може впливати середовище ЕОД, аудитор повинен оцінити вплив ЕОД на доступність проміжних і вихідних даних. Значення і складність комп'ютерної обробки характеризується таким обсягом перетворень, що для користувача стає складним ідентифікувати і виправити помилки обробки автоматичною генерацією процедурами обробки інформації і зверненням безпосередньо до іншої прикладної програми, жорстким алгоритмом розрахунків, котрий неможливо поміняти або піти в обхід програми, відсутністю при роботі з програмним комплексом ручного відбору і обробки даних.

6. Необхідно оцінити вплив системи ЕОД на організаційну структуру користувача програми, оцінити також доступність даних, існування останніх у вигляді файлів, друкованого матеріалу, з'ясувати чи може система генерувати внутрішнє повідомлення, котре можна використовувати під час аудиту, з метою зняття інформації в конкретній точці. Коли існує значна автоматизація облікових процесів, необхідно визначити, як це впливає на оцінку ризику внутрішнього контролю, як змінюється характер таких ризиків.

7. Загальна характеристика ризиків:

Неясність шляху перетворення від вхідної інформації з первинних облікових документів до підсумкових показників. Побічна інформація може бути корисна для завдань контролю, але часто існує можливість прочитання інформації тільки на машинних носіях, оскільки там, де складна система виконує більшу кількість кроків та завдань, неможна простежити існування повного набору дій. Саме тому помилки, які існують у самому алгоритмі програми, дуже складно виявити без використання спеціальних програм. Випадкових помилок тут практично не виникає, але вони систематично будуть переноситися у всі розділи, які піддаються комп'ютерній обробці. Декілька процедур управління можуть бути сконцентровані в руках одного бухгалтера у випадку використання ЕОД, тоді як при веденні бухгалтерського обліку вручну вони були б звичайно розподілені між декількома співробітниками. Таким чином, цей бухгалтер, маючи вплив на всі розділи обліку, контролює сам себе. Потенціал помилок і недоліків, властивих системам ЕОД, значно вищий, ніж при веденні бухгалтерського обліку шляхом ручної обробки, а саме з причини подробиць, притаманних таким діям. Також підвищується ризик несанкціонованого доступу до даних обліку і управління. Зменшення участі людини в процесах обробки інформації приводить до того, що помилки і недоліки, які зустрічаються протягом проекту, через зміни прикладних програм або системного програмного забезпечення можуть залишатися не виявленими ними тривалий час, ЕОД може виконувати деякі типи операцій автоматично розрахунок таких процедур може не фіксуватися і не реєструватися (автоматичний перерахунок валютної вартості активів у валюту України при використанні курсів національної валюти до іноземних валют). У ситуаціях, коли така система керується і здійснюється шляхом ручної обробки, для цих операцій треба було мати письмове оформлення. Система контролю в цілому залежить від комп'ютерної обробки. В результаті роботи програми з'являються звіти і матеріали, котрі використовуються при виконанні процедур управління і контролю. Ефективність останніх залежить від завершеності і точності закладеного в програму алгоритму. В свою чергу, ефективність обробки запитів у прикладній програмі часто пов'язана з ефективністю загальних засобів управління. Системи ЕОД можуть пропонувати керівництву аналітичні засоби, котрі можуть використовуватися для контролю операцій підприємства і розширення внутрішньої структури управління. Обробка великих масивів даних в цілому дає можливість аудитору використовувати загальні або спеціальні контрольні методи і автоматизувати процес аналізу, виконання тестових процедур під час підготовки рекомендацій і висновків. І внутрішній (притаманний) ризик, і ризик невідповідності внутрішнього контролю, отримані в результаті проведення аналізу системи ЕОД - впливають на оцінку ризику аудиту, а також на характер, обсяг і тривалість аудиторських процедур.

8. Згідно з вимогами Національного нормативу N 6, аудитор повинен оцінити властивий (притаманний) ризик і ризик невідповідності внутрішньої системи контролю і управління.

9. Властивий (притаманний) ризик і ризик внутрішнього контролю в середовищі ЕОД мають окремі властивості: ризик може виникнути через неточності при розробці програми, супроводженні і підтримці програмного забезпечення системи, операцій, захисту системи ЕОД і контролю доступу до спеціальних програм управління. Розмір ризику може збільшуватися через помилки або шахрайство як у програмних модулях, так і в базах даних. Наприклад, треба вжити необхідних заходів, які попереджають виникнення помилок у системах, в яких виконується складний алгоритм розрахунків, оскільки виявити такі помилки дуже важко. Слід розуміти, що деякі системи більше піддаються впливу помилок у результаті неправильних дій оператора, а інші - навмисному перекрученню інформації, яка вводиться, залежно від вказівок вмонтованого контролю програмного комплексу.

10. Нові комп'ютерні технології, які постійно з'являються на ринку, дозволяють створювати дедалі складніші програми для користувачів і бази даних нового рівня, які дозволяють з'єднувати системи управління, діалогові системи кінцевих користувачів інформації, тобто ті, які детально моделюють процес діяльності підприємства. Такі системи вимагають спеціального їх вивчення, оскільки вплив можливих помилок на підсумкове значення ризику досить великий.

11. У відповідності з ННА N 31 "Вплив системи ЕОД на оцінку системи обліку і внутрішнього контролю" аудитор повинен врахувати вплив ризику системи ЕОД, щоб оптимально виконати процедури контролю і максимально знизити ймовірність виникнення неправильних висновків і рекомендацій.

12. Особисті завдання аудиторського контролю не змінюються від ручної або електронної обробки даних. Аудитор може використовувати будь-які методи контролю як вручну, так і за допомогою спеціальних програмних засобів - методом аналізу автоматизованої системи, а також комбінацію таких заходів. Але в деяких системах обліку, де використовується комп'ютерна обробка значної частини операцій, можуть бути складнощі в отриманні чітких результатів без допомоги спеціальних комп'ютерних програм.

1. Мета цього нормативу полягає у встановленні вимог та наданні вказівок щодо кількості та якості аудиторських доказів, які необхідно одержати аудитору при аудиті фінансової звітності підприємства, а також порядку проведення процедур одержання таких аудиторських доказів.

2. Аудитор повинен одержати таку кількість аудиторських доказів, яка б забезпечила спроможність зробити необхідні висновки, при використанні яких буде підготовлено аудиторський висновок.

3. Аудиторські докази одержуються в результаті належного поєднання тестів систем контролю та процедур перевірки на суттєвість. За деяких обставин докази можуть бути одержані тільки в результаті процедур перевірки на суттєвість.

4. Термін "Аудиторські докази" означає інформацію, одержану аудитором для вироблення думок, на яких грунтується підготовка аудиторського висновку та звіту. Аудиторські докази складаються з первинних документів та облікових записів, що кладуться в основу фінансової звітності, а також підтверджувальної інформації з інших джерел.

5. "Тести систем контролю" - це тести, що виконуються для одержання аудиторських доказів щодо відповідності структури та ефективності функціонування систем обліку та внутрішнього контролю.

6. "Процедури перевірки на суттєвість" - це перевірки, що виконуються для одержання аудиторських доказів з метою виявлення суттєвих перекручень у фінансовій звітності; такі процедури бувають двох типів: у вигляді перевірок операцій та залишків по рахунках та проведенні аналітичних процедур.

7. Критерії достатності та належності взаємно пов'язані і стосуються аудиторських доказів, одержаних як при тестуванні систем контролю, так і при проведенні процедур перевірки на суттєвість. Достатність є виміром кількості аудиторських доказів, належність є виміром їх якості та надійності, а також їх відповідності конкретному твердженню. Як правило, аудитор вважає за необхідне спиратися на аудиторські докази, що мають не тільки достатній, й переконливий характер, і часто вишукує аудиторські докази в різних джерелах інформації або різного характеру для підтвердження одного й того ж твердження.

8. Формулюючи аудиторський висновок, аудитор звичайно не здійснює суцільну перевірку всієї інформації, оскільки висновків щодо залишків по рахунку, класу операцій чи контролю можна досягти шляхом застосування процедур судження чи статистичної вибірки.

9. На аудиторську думку про достатність і належність аудиторських доказів впливають такі фактори, як: оцінка аудитором характеру та розміру ризику, притаманних як на рівні фінансової звітності, так і на рівні залишків на рахунку чи класу операцій; характер систем обліку та внутрішнього контролю і оцінка ризиків контролю; суттєвість питань, які вивчаються і розглядаються; досвід, набутий протягом попередніх аудиторських перевірок; результати аудиторських процедур, включно з можливими виявленими випадками шахрайства чи помилок; джерело та надійність наявної інформації.

10. При одержанні аудиторських доказів шляхом впровадження тестів систем контролю аудитор повинен розглянути достатність та належність аудиторських доказів для обгрунтування оцінки розміру ризику невідповідності внутрішнього контролю.

11. Аспектами систем обліку та внутрішнього контролю, щодо яких аудитор одержує аудиторські докази, є:

структура: системи обліку та внутрішнього контролю розроблені таким чином, щоб попереджати або виявляти і виправляти суттєві перекручення;

функціонування: системи існують і ефективно функціонували протягом певного періоду.

12. При одержанні аудиторських доказів процедурами перевірки на суттєвість аудитор повинен оцінити розмір достатності та належності аудиторських доказів, одержаних шляхом таких процедур, разом з будь-якими даними, одержаними в результаті тестів систем контролю, для обгрунтування тверджень фінансової звітності.

13. Твердження фінансової звітності - це твердження керівництва, чи то ясно висловлені, чи навпаки, втілені у фінансовій звітності. Вони можуть бути поділені на такі категорії:

наявність: актив чи пасив існує на конкретну дату;

права і обов'язки: актив чи пасив належить підприємству на певну дату;

факт події: факт того, що була здійснена операція чи подія, пов'язана з підприємством у конкретний період:

повнота: не існує не відображених в обліку активів, пасивів, суттєвих операцій чи подій або інших нерозкритих позицій;

оцінка: оцінка активів і пасивів зроблена правильно і вони відображені в усіх суттєвих аспектах в обліку за правильною вартістю;

вимір: операція чи інша подія в повному обсязі відображена в обліку, а надходження й видатки відображені у відповідному періоді;

представлення і розкриття: позиція фінансової звітності розкрита, класифікована і описана з правилами її підготовки.

14. Як звичайно, аудиторські докази одержуються стосовно кожного суттєвого твердження фінансової звітності. Аудиторські докази стосовно одного якогось твердження, наприклад, наявності товарно-матеріальних запасів, не можуть служити підставою для неодержання аудиторських доказів стосовно інших тверджень, наприклад, тверджень правильності їх оцінки. Характер, термін проведення та обсяг процедур перевірки на суттєвість залежать від конкретних тверджень. В результаті проведення тестів можна отримати аудиторські докази стосовно декількох тверджень, наприклад, інформація про суми дебіторської заборгованості може бути джерелом аудиторських доказів стосовно як їх наявності, так і правильності оцінки.

15. Надійність аудиторських доказів залежить від джерела їх отримання - внутрішнього чи зовнішнього, а також від їх характеру. За характером існують візуальні, документальні та усні докази. Хоча надійність аудиторських доказів залежить від конкретних обставин, допомогти оцінити надійність аудиторських доказів можуть подані нижче узагальнення:

Аудиторські докази із зовнішніх джерел (наприклад, підтвердження, одержане від третьої особи) більш надійні, ніж ті, що отримані з внутрішніх джерел.

Аудиторські докази, одержані з внутрішніх джерел інформації підприємства, яке перевіряється, надійніші в разі наявності ефективних систем обліку та внутрішнього контролю.

Аудиторські докази, одержані безпосередньо аудитором від результатів проведених тестів, надійніші, ніж ті, що одержані від працівників підприємства.

Аудиторські докази у формі документів чи письмових подань надійніші, ніж усні подання.

16. Аудиторські докази є переконливішими, якщо вони отримуються з різних джерел або джерел різного характеру і коли вони відповідають один одному. За таких обставин аудитор може отримати сумарний розмір довіри вищий, ніж той, що був би отриманий по різних позиціях аудиторських доказів, розглянутих окремо. І навпаки, коли аудиторські докази, одержані з одного джерела і не відповідають тим, що одержані з іншого, то аудитор визначає, які додаткові процедури необхідні для розв'язання цієї невідповідності.

17. Аудитору слід враховувати зв'язок між витратами на отримання аудиторських доказів і корисністю отриманої інформації. Щоправда, складності та витрати, пов'язані з цим, самі по собі не можуть бути достатньою підставою для непроведення потрібної аудитору процедури.

18. За наявності серйозних сумнівів щодо суттєвих тверджень звітності аудитору слід спробувати отримати достатні належні аудиторські докази для усунення таких сумнівів. При неможливості одержання достатніх належних аудиторських доказів аудитор має висловити позитивний висновок з застереженнями або негативний висновок.