Аудиторский риск: модель риска и как он влияет на объём проверки

Модель аудиторского риска

МСА 200 определяет три понятия (п. 13):

• аудиторский риск — риск ошибочного мнения при существенно искажённой отчётности; он является функцией рисков существенного искажения и риска необнаружения;
• риск существенного искажения — риск того, что существенное искажение уже есть в отчётности до начала аудита; на уровне предпосылок он состоит из неотъемлемого риска и риска средств контроля;
• риск необнаружения — риск того, что процедуры аудитора не обнаружат существующее существенное искажение.

Неотъемлемый риск и риск средств контроля — риски компании

Неотъемлемый риск — подверженность статьи отчётности искажению до учёта средств контроля. Он выше, например, для сложных расчётов и для оценочных значений с высокой неопределённостью (МСА 200, п. A38). Риск средств контроля — риск того, что внутренний контроль компании вовремя не предотвратит или не выявит искажение (п. 13).

Важно: оба этих риска — риски самой организации, они существуют независимо от аудита (п. A37). Аудитор их не создаёт, а оценивает. Даже хорошо выстроенный внутренний контроль может лишь снизить, но не устранить риск существенного искажения (п. A39).

Как оценивается риск по МСА 315 (пересмотренный, 2019 г.)

• МСА 315 требует раздельной оценки неотъемлемого риска и риска средств контроля на уровне предпосылок (п. 5).
• Неотъемлемый риск оценивается через вероятность и величину искажения с учётом факторов неотъемлемого риска (п. 31): сложность, субъективность, изменчивость, неопределённость, подверженность предвзятости руководства или недобросовестным действиям (приложение 2).
• Степень неотъемлемого риска стандарт описывает как «диапазон неотъемлемого риска» (п. 5).
• Значительный риск — тот, у которого оценка неотъемлемого риска близка к верхней границе диапазона, или риск, который другие МСА прямо требуют считать значительным (п. 12); аудитор обязан определить такие риски (п. 32).
• Если аудитор не планирует тестировать операционную эффективность средств контроля, риск существенного искажения приравнивается к неотъемлемому (п. 34).

Почему от оценки риска зависит объём работ

Для заданного уровня аудиторского риска допустимый риск необнаружения обратно связан с оценённым риском существенного искажения: чем выше риск искажения, тем ниже допустимый риск необнаружения и тем более убедительные доказательства нужны аудитору (МСА 200, п. A42). Риск необнаружения регулируется характером, сроками и объёмом процедур (п. A43).

Отсюда разница в объёме работ у внешне похожих компаний. У компании со сложной выручкой, крупными оценочными резервами, сменой учётной системы или слабым контролем неотъемлемый риск и риск средств контроля выше — аудитор расширяет выборки, проводит больше процедур по существу, переносит часть работ на дату отчётности. Там, где контроль работает и его эффективность можно протестировать, часть доказательств аудитор получает из тестов контроля.

Пример: две компании с одинаковой выручкой

Первая компания торгует стандартным товаром, продаёт по предоплате, выручка отражается автоматически из учётной системы, а сверки с банком и складом выполняются ежемесячно. Вторая заключает долгосрочные договоры с поэтапной сдачей работ, начисляет крупные резервы и в отчётном году перешла на новую программу учёта.

У второй компании выше неотъемлемый риск по выручке и оценочным значениям — сложность, субъективность и изменения прямо названы факторами неотъемлемого риска в МСА 315. Поэтому при той же существенности аудитору придётся собрать по ней больше доказательств, и объём проверки будет заметно больше.

Чего модель риска не обещает

• Аудитор не может снизить аудиторский риск до нуля: аудиторские доказательства носят скорее убедительный, чем неопровержимый характер (МСА 200, п. A45).
• Риск необнаружения можно лишь снизить, но не устранить — какой-то риск необнаружения существует всегда (п. A44).
• Аудиторский риск — техническое понятие: он не включает бизнес-риски аудитора, например судебные разбирательства (п. A33).
• Оценка рисков — предмет профессионального суждения, а не точного измерения (п. A32); МСА допускают как количественное, так и качественное выражение оценки (п. A40).

Процедуры оценки рисков

Чтобы оценить риски, аудитор выполняет процедуры оценки рисков (МСА 315, п. 14):

• запросы руководству и другим лицам в организации, включая внутренний аудит, если он есть;
• аналитические процедуры;
• наблюдение и инспектирование.
• При получении новой информации, противоречащей первоначальной оценке, аудитор пересматривает выявление и оценку рисков (п. 37).

Что может сделать компания до аудита

• задокументировать ключевые процессы и средства контроля — выручку, закупки, зарплату, оценочные резервы;
• подготовить расчёты по оценочным значениям с допущениями и источниками данных;
• заранее сообщить аудитору о сделках со связанными сторонами, нестандартных операциях и смене учётной системы;
• обеспечить доступ к первичным документам и данным учётной системы для аналитических процедур.