Оценка рисков существенного искажения (ISA 315): как аудитор изучает ваш бизнес

Зачем аудитору вопросы о вашем бизнесе

Стандарт требует, чтобы аудитор разработал и выполнил процедуры оценки рисков для получения аудиторских доказательств, на которых строится выявление и оценка рисков существенного искажения и планирование дальнейших процедур (п. 13). Иными словами, без понимания бизнеса аудитор не может решить, где отчётность вероятнее всего искажена, и вынужден либо проверять всё подряд, либо рисковать пропустить главное.

Процедуры оценки рисков по п. 14 включают три вида работы:

• запросы к руководству и другим соответствующим лицам внутри организации, в том числе к службе внутреннего аудита, если она есть;
• аналитические процедуры — анализ показателей и их взаимосвязей;
• наблюдение и инспектирование — например, осмотр процессов и изучение внутренних документов.

Что спрашивают о компании и её окружении

Первый блок вопросов — о том, как устроена организация и в какой среде она работает (п. 19). Стандарт называет конкретные темы: организационная структура, структура собственности и система корпоративного управления, бизнес-модель, в том числе насколько она опирается на информационные технологии; отраслевые, регуляторные и иные внешние факторы; показатели, по которым оценивают результаты для внутренних и внешних целей.

На практике это превращается в такие вопросы:

• кто конечные собственники и есть ли связанные стороны, с которыми проходят крупные операции;
• как компания зарабатывает: основные продукты, клиенты, договоры, сезонность;
• какие отраслевые требования и проверки регуляторов влияют на отчётность;
• какие показатели руководство считает главными — выручка, маржа, остатки, дебиторка, KPI менеджеров;
• какая учётная политика применяется и почему она менялась.

Учётная политика и её изменения

Отдельно аудитор изучает применимую концепцию подготовки отчётности и учётную политику, включая причины её изменения (п. 19), а затем обязан оценить, надлежащая ли она и соответствует ли применимой концепции (п. 20). Поэтому приказ об учётной политике и обоснование любых изменений лучше положить в папку для аудитора заранее. Если политика менялась в середине года, без объяснения это почти наверняка вызовет дополнительные вопросы.

Какие вопросы задают о системе внутреннего контроля

Второй блок — о том, как компания управляет собственными рисками. Аудитор изучает компоненты системы внутреннего контроля, связанные с подготовкой отчётности:

• контрольная среда (п. 21): как руководство осуществляет надзор, в том числе формирует культуру и приверженность честности и этическим ценностям; кто и насколько независимо контролирует процесс отчётности;
• процесс оценки рисков в организации (п. 22): как компания выявляет бизнес-риски, связанные с целями подготовки отчётности, оценивает их значительность и вероятность и снижает их;
• мониторинг системы контроля (п. 24): проводятся ли систематические и отдельные оценки эффективности контролей и как устраняются выявленные недостатки; есть ли внутренний аудит.
• информационная система и коммуникации (п. 25): как операции инициируются, записываются, обрабатываются, корректируются, попадают в главную книгу и отражаются в отчётности; как информация передаётся между руководством и лицами, отвечающими за корпоративное управление, и внешним сторонам, например регуляторам.

Контрольные процедуры: что аудитор хочет увидеть

Из всего массива контролей аудитор по п. 26 обязан выявить прежде всего те, что снижают риск, определённый как значительный, контроли за бухгалтерскими записями, включая нестандартные записи для отражения необычных операций или корректировок, а также контроли, эффективность которых он собирается тестировать. Отсюда типичные вопросы: кто вправе вносить ручные проводки, как они согласуются, кто имеет доступ к учётной программе и может ли один человек провести операцию от начала до конца.

Чем лучше описаны эти процедуры (регламент, матрица полномочий, журнал согласований), тем быстрее аудитор получит понимание и тем меньше он будет просить подтверждений по каждой операции.

Как подготовиться: примерный перечень

Стандарт не содержит готовой анкеты — каждая аудиторская организация формирует её сама. Ниже ориентировочный набор материалов, который обычно закрывает перечисленные темы:

• структура группы и собственников, перечень связанных сторон;
• учётная политика и приказы о её изменении;
• схема документооборота и перечень учётных систем, включая доступы и ответственных;
• положения о полномочиях на подписание, лимиты и порядок согласования ручных проводок;
• управленческая отчётность и показатели, по которым руководство оценивает результат;
• протоколы встреч руководства или совета по вопросам отчётности и рисков;
• описание значимых нетипичных операций за год — продажа активов, реорганизация, крупные займы.

Типичные ошибки и что происходит дальше

Частая ошибка — отвечать на анкету одной строкой «контроль есть». Аудитору нужно понять, как именно он работает, и каждое неподтверждённое заявление заставляет планировать больше проверочных процедур. Вторая ошибка — передать вопросы одному бухгалтеру: информацию аудитор получает от разных людей, и источником могут быть, в частности, сотрудники, ответственные за подготовку отчётности (A22).

Перед началом работ ключевые члены аудиторской группы обсуждают подверженность отчётности существенному искажению (п. 17), а результаты понимания бизнеса и средств контроля фиксируются в документации (п. 38). Оценка не окончательна: если во время аудита появляется информация, не согласующаяся с исходной оценкой, аудитор обязан её пересмотреть (п. 37). Для небольших компаний стандарт отдельно оговаривает, что контрольная среда будет отличаться — например, функции корпоративного управления может выполнять руководитель-собственник (A99), поэтому от небольшого бизнеса не ждут того же набора контролей, что от крупной корпорации.