Электронные документы и ЭЦП в аудите: что принимает аудитор

Юридическая сила: что говорит закон

Закон «Об электронном документообороте» определяет электронный документ как информацию в электронной форме, подтверждённую ЭЦП и имеющую другие реквизиты, позволяющие его идентифицировать. Обязательные реквизиты — подпись, наименование отправителя, его почтовый и электронный адрес и дата создания.

Главное для аудита: электронный документ приравнивается к бумажному и имеет одинаковую с ним юридическую силу. Значит, отказаться от документа только потому, что у него нет бумажного экземпляра, аудитор не вправе — но он вправе проверить, что документ действительно соответствует этим признакам.

Оригиналом электронного документа считается каждый идентичный экземпляр при условии подтверждения подлинности в установленном порядке. Поэтому файл, пересланный по почте, и тот же файл из системы ЭДО — это не «копия и оригинал», а вопрос подтверждения подлинности.

Когда ЭЦП равнозначна подписи руководителя

Закон «Об электронной цифровой подписи» ставит три условия равнозначности ЭЦП и собственноручной подписи. Они выполняются одновременно, и именно их проверяет аудитор, если подпись вызывает вопросы.

Документ, заверенный ЭЦП юридического лица, приравнивается к бумажному документу с печатью организации — при тех же условиях.

• подлинность ЭЦП подтверждена;
• сертификат ключа действовал на момент подтверждения подлинности либо на момент подписания — при наличии доказательств момента подписания;
• подпись использована в целях, указанных в сертификате.

Как аудитор оценивает электронные доказательства

Международные стандарты аудита исходят из того, что надёжность доказательства зависит от его источника и характера. Среди общих положений: доказательство надёжнее, если получено из независимых источников вне организации, и надёжнее, если существует в документальной форме — бумажной, электронной или иной.

Из этого следуют практические выводы. Электронный счёт-фактура или акт от контрагента, подписанный его ЭЦП в системе оператора, весит больше, чем файл, который бухгалтер пересохранил из таблицы. Документ, полученный аудитором напрямую из системы, надёжнее документа, присланного «в приложении к письму». А внутренний отчёт, выгруженный из учётной программы, аудитор сопоставляет с первичкой, а не принимает на веру.

Для электронных ответов стандарт отдельно предупреждает о рисках: источник и полномочия отвечающего трудно установить, а изменения — трудно заметить. Риск снижается, если процесс защищён, например за счёт шифрования и ЭЦП. Тот же подход аудитор переносит на ваши электронные документы.

ЭСФ и другие документы, которые принимают

Для налогового учёта действует прямая норма: счёт-фактура, как правило, оформляется в электронной форме в информационной системе электронных счетов-фактур. Поэтому ЭСФ — основной вид электронной первички, и аудитор сверяет данные системы с учётом, договорами и фактом получения товаров или услуг.

Обычно без возражений принимаются документы, у которых прослеживается цепочка: договор — электронный акт или накладная с ЭЦП обеих сторон — ЭСФ — платёж. Вопросы возникают, когда звенья оформлены по-разному: например, акт подписан после даты отчётного периода или ЭЦП принадлежит лицу без полномочий.

Хранение: что должна обеспечить компания

Закон требует, чтобы при хранении электронных документов сохранялся доступ к ним и возможность предоставить копии на бумажном носителе. Срок хранения электронного документа не может быть меньше, чем для бумажного документа аналогичного назначения.

Налоговый кодекс устанавливает для налоговой отчётности и приложенных к ней документов срок хранения не менее трёх лет, следующих за годом представления. Если документы нужны для подтверждения налоговой льготы или вычета, срок отсчитывается по правилам кодекса. Для аудитора это значит: к моменту проверки у компании должны быть не только PDF-образы, но и сами подписанные файлы с данными ЭЦП.

Типичные ошибки и что подготовить

Чаще всего проблемы возникают не из-за формата, а из-за хаоса в хранении. Типовые ошибки: подписанные файлы лежат только в личных почтах сотрудников; ЭЦП оформлена на уволившегося директора; сертификат использовался не по назначению; бумажная «распечатка» не совпадает с электронной версией; часть документов подписана вне периода без пояснения.

К началу аудита соберите следующее:

• реестр систем, где создаются и хранятся электронные документы, с ответственными;
• перечень лиц с ЭЦП, их полномочия и действующие сертификаты;
• подписанные файлы вместе с данными проверки подписи, а не только распечатки;
• сверку данных ЭСФ с учётом по контрагентам;
• порядок хранения и резервного копирования, подтверждающий, что документы не менялись.