Аутсорсинг бухгалтерии и аудит: как проверяют отчётность при внешнем учёте (ISA 402)

Кто есть кто: компания, обслуживающая организация, аудитор

В терминах ISA 402 компания-клиент — «пользователь услуг» (user entity), бухгалтерская фирма — «обслуживающая организация» (service organization), а проверяющий — «аудитор пользователя» (user auditor). Стандарт прямо относит к услугам, значимым для аудита, ведение учётных записей клиента: в перечне примеров указано «Maintenance of the user entity’s accounting records».

Важно различать две роли. Бухгалтерская фирма, которая ведёт учёт, не может одновременно быть аудитором этой же компании: закон об аудиторской деятельности (ЗРУ-677) требует от аудиторской организации отказаться от услуг при обстоятельствах, препятствующих независимости, а постановку, восстановление и ведение учёта выводит из числа сопутствующих услуг в период, охватываемый проверкой. Поэтому аудит и внешний учёт выполняют разные организации.

Что аудитор выясняет в начале проверки

Объём работы аудитора зависит от значимости переданных функций. Стандарт требует понять, как компания использует услуги подрядчика, и перечисляет, что именно выяснить. Среди прочего это характер и существенность операций и счетов, которые затрагивает подрядчик, а также отношения сторон и договорные условия.

Практически аудитор запросит договор на бухгалтерское обслуживание, регламент взаимодействия, перечень передаваемых процессов и описание того, кто и что в компании утверждает.

• договор аутсорсинга с приложениями (перечень услуг, сроки, ответственность);
• описание процессов: первичные документы, проводки, расчёт налогов, подготовка отчётности;
• перечень программ и баз, где ведётся учёт, и кто имеет к ним доступ;
• процедуры контроля на стороне компании: кто проверяет и утверждает результаты работы подрядчика.

Откуда аудитор берёт сведения об обслуживающей организации

Если получить достаточное понимание от самой компании не удаётся, ISA 402 предлагает несколько путей: получить отчёт аудитора обслуживающей организации о системе контролей (тип 1 или тип 2), запросить сведения у подрядчика через клиента, посетить подрядчика или привлечь другого аудитора. Первый вариант в стандарте сформулирован как «Obtaining a type 1 or type 2 report, if available», второй — как обращение к обслуживающей организации «through the user entity», то есть через клиента.

Отчёт типа 1 описывает систему и пригодность дизайна контролей на определённую дату, тип 2 дополнительно охватывает эффективность их работы за период. Для небольшой бухгалтерской фирмы таких отчётов, как правило, нет, и тогда на практике остаются запросы и процедуры, которые аудитор проводит сам. Если отчёт есть, аудитор должен убедиться в профессиональной компетентности и независимости аудитора подрядчика, а также оценить, подходят ли дата или период отчёта для целей проверки.

Как аудитор отвечает на оценённые риски

Дальше работа строится от рисков. Стандарт требует определить, достаточно ли доказательств в записях, которые находятся у самой компании: аудитор устанавливает, доступны ли «sufficient appropriate audit evidence … from records held at the user entity». Поэтому первое, что даёт ускорение, — хранить у себя копии первички, регистров, выгрузки из учётной базы и расчёты налогов, а не только у подрядчика.

Если аудитор рассчитывает на эффективность контролей подрядчика, доказательства он получает одним из способов: отчёт типа 2, собственные тесты контролей у обслуживающей организации либо тесты силами другого аудитора. При использовании отчёта типа 2 оценивается и то, насколько длителен охваченный период и сколько времени прошло с момента тестирования. Если же полагаться на контроли подрядчика не планируется, аудитор проверяет остатки и операции по существу — по документам и данным, полученным от компании.

Отдельно учитываются контроли на стороне клиента, которые подрядчик считает выполняемыми самим клиентом, — например, утверждение первичных документов или сверка выгрузок. Аудитор определяет, относятся ли они к компании и внедрены ли они.

Субподрядчики, нарушения и влияние на заключение

Если подрядчик сам передаёт часть функций другой организации (например, хостинг учётной системы или расчёт зарплаты), и эти услуги значимы для аудита, аудитор применяет требования стандарта и к ним. Рекомендуем заранее выяснить у бухгалтерской фирмы, кого она привлекает.

Аудитор также спрашивает руководство, сообщал ли подрядчик о мошенничестве, нарушениях законодательства или неисправленных искажениях, затрагивающих отчётность клиента, и оценивает влияние таких сведений на дальнейшие процедуры. Если же по услугам подрядчика не удалось получить достаточных доказательств, стандарт требует модифицировать мнение в заключении в соответствии с ISA 705.

Ещё одна особенность: в заключении с немодифицированным мнением аудитор не ссылается на работу аудитора обслуживающей организации, если только закон не требует этого. Для компании это означает, что наличие отчёта подрядчика не «разделяет» ответственность за мнение.

Типичные ошибки и порядок подготовки

Чаще всего проверку затягивает не сам аутсорсинг, а отсутствие у компании собственного контура контроля. Типичные ошибки — договор без чёткого перечня услуг и ответственности, отсутствие у компании доступа к учётной базе, нет подтверждённой привязки отчётности к первичным документам, а подрядчик не готов отвечать на запросы аудитора в сроки проверки.

Рекомендуемый порядок: сначала зафиксируйте в договоре право аудитора на запросы и доступ к данным, затем выгрузите регистры и первичку в архив компании, назначьте внутреннего ответственного за приёмку результатов подрядчика и заранее согласуйте с бухгалтерской фирмой график ответов на вопросы аудитора. Объём работ и сроки определяются по итогам оценки вашей ситуации.