Конфиденциальность и аудиторская тайна: кому аудитор может раскрыть данные

Общее правило: только с письменного согласия заказчика

Конфиденциальность названа в законе одним из основных принципов аудиторской деятельности (ст. 4). Статья 8 формулирует запрет прямо: аудиторы и работники аудиторской организации не вправе разглашать и передавать сведения, ставшие им известными при оказании услуг, без письменного согласия заказчика.

Обратите внимание на слово «письменного». Устная договорённость, переписка в мессенджере «без протокола» или молчаливое согласие не заменяют документ. Для компании это защита, для аудитора — условие, при котором передача сведений третьему лицу вообще возможна.

Обязанность распространяется не только на подписанта заключения. Помощник аудитора, участвующий в проверке, тоже не вправе разглашать полученные сведения (ст. 17), а обеспечение конфиденциальности отнесено к обязанностям самой аудиторской организации (ст. 29).

Когда закон допускает раскрытие без вашего согласия

Статья 8 называет два исключения: случаи, предусмотренные законодательством о противодействии коррупции, и законодательством о противодействии легализации доходов, полученных от преступной деятельности, финансированию терроризма и финансированию распространения оружия массового уничтожения. Других «широких» исключений в тексте нет.

Закон о противодействии легализации доходов добавляет важное уточнение: предоставление в установленном порядке информации об операциях и иных сведений в специально уполномоченный государственный орган не считается нарушением коммерческой, банковской или иной охраняемой законом тайны (ст. 18). При этом работники организаций и органов, участвующих в противодействии легализации, не вправе информировать лиц о проводящемся в отношении них контроле (ст. 19). Практический вывод: если такое сообщение будет сделано, аудитор не обязан и не вправе предупреждать вас об этом.

Международные стандарты аудита описывают ту же логику. Стандарт ISA 250 отмечает, что обязанность сохранять конфиденциальность может быть отменена законом или судом, а ISA 240 — что юридические обязанности аудитора в ряде случаев перевешивают конфиденциальность. Стандарт ISA 260 добавляет, что закон может запрещать сообщать некоторые вопросы даже руководству, если это помешает расследованию уполномоченного органа.

Кто и что может увидеть при обычной проверке

• руководство и собственники заказчика — они получают аудиторское заключение и вправе требовать разъяснения по выраженному мнению и информацию о нормативных актах, на которых оно основано (ст. 37);
• команда аудитора и помощники — доступ в пределах задания, с тем же запретом на разглашение (ст. 17);
• привлечённые эксперты — по ISA 620 требования конфиденциальности этических норм должны распространяться и на эксперта аудитора, а заказчик вправе попросить закрепить отдельные условия в договоре;
• уполномоченный государственный орган при внешнем контроле качества — проверяется работа аудиторской организации совместно с республиканскими общественными объединениями аудиторов (ст. 46);
• неограниченный круг лиц — только то, что закон требует опубликовать: сведения о проведённых обязательных проверках с идентифицирующими данными хозяйствующего субъекта и аудиторским заключением на сайте аудиторской организации или общественного объединения (ст. 29).

Внешний контроль качества и публикация заключения: что это значит для тайны

Эти два канала часто путают с «утечкой». На деле публикуется заключение и идентифицирующие данные, но не рабочие документы проверки. Закон обязывает хранить экземпляры аудиторских заключений не менее пяти лет (ст. 29), а при внешнем контроле качества аудиторская организация обязана представлять уполномоченному органу необходимую документацию и информацию: отказ от этого — основание для исключения из Реестра аудиторских организаций (ст. 43).

Поэтому договор с аудитором разумно читать с учётом этих обязанностей: он не может запретить аудитору показать документацию на внешней проверке качества, но вправе регулировать порядок и круг лиц. Если в проверке используются государственные секреты или иная охраняемая законом тайна, работа возможна только после принятия мер по их защите (ст. 32).

Что сделать компании до подписания договора

• запросить у аудиторской организации перечень лиц, которые будут допущены к материалам, включая экспертов и помощников;
• зафиксировать в договоре, что любая передача сведений третьим лицам требует вашего письменного согласия, и указать, кто в компании вправе его дать;
• заранее определить, какие документы содержат особо чувствительные данные (условия с ключевыми контрагентами, ведомости), и согласовать формат доступа к ним;
• уточнить порядок хранения и возврата копий документов после завершения проверки;
• не просить аудитора промолчать о выявленных нарушениях: конфиденциальность не позволяет скрывать факты нарушений учёта и отчётности, найденные при проверке.

Что грозит аудитору за нарушение и почему это в интересах заказчика

Разглашение конфиденциальной информации без разрешения заказчика отнесено к однократным грубым нарушениям закона и влечёт прекращение действия квалификационного сертификата аудитора (ст. 26). Для аудиторской организации разглашение — самостоятельное основание исключения из Реестра аудиторских организаций (ст. 43).

Та же статья 26 называет грубым нарушением и сокрытие аудитором фактов нарушений учёта и отчётности, выявленных при проверке. То есть тайна защищает вашу коммерческую информацию, но не превращает аудитора в соучастника: нарушение придётся устранять, а не скрывать. Давление на аудиторскую организацию в любой форме закон отдельно запрещает (ст. 16).

Типичные ошибки

• считать, что согласие на проверку автоматически означает согласие на передачу данных банку, инвестору или материнской компании — для этого нужно отдельное письменное согласие;
• присылать аудитору документы в общих чатах, где есть посторонние участники;
• ждать, что аудитор предупредит о запросе уполномоченного органа по вопросам противодействия легализации, — закон этого не допускает;
• путать публикацию аудиторского заключения с раскрытием рабочих материалов.