Недобросовестные действия в аудите (ISA 240): что аудитор спросит у руководства

Почему ISA 240 применяется в Узбекистане

Закон «Об аудиторской деятельности» (ЗРУ-677) относит к стандартам аудиторской деятельности международные стандарты аудита, а аудит проводится по тем из них, которые не противоречат законодательству республики. Компания вправе запросить у аудитора информацию о требованиях МСА к проверке — поэтому вопросы о мошенничестве можно попросить обосновать конкретным пунктом ISA 240.

Что считается мошенничеством в аудите

Стандарт различает мошенничество и ошибку по одному признаку: действие, приведшее к искажению отчётности, совершено умышленно или неумышленно. Для аудитора значимы два вида умышленных искажений: недостоверная финансовая отчётность и присвоение активов.

Важная оговорка: аудитор может заподозрить или, в редких случаях, выявить мошенничество, но не даёт правовой оценки того, произошло ли оно на самом деле. Квалификацию — дело юристов и компетентных органов, а не аудиторского заключения.

Чья это ответственность

Основная ответственность за предупреждение и выявление мошенничества лежит на руководстве и тех, кто отвечает за корпоративное управление. Аудитор не заменяет внутренний контроль: он оценивает риск того, что отчётность искажена из-за мошенничества, и строит процедуры под этот риск. Поэтому руководство подтверждает письменно, что осознаёт свою ответственность за систему внутреннего контроля, предупреждающую и выявляющую мошенничество.

Что аудитор спросит у руководства

Опрос руководства обязателен, а не факультативен. Стандарт требует выяснить:

• как руководство оценивает риск существенного искажения отчётности из-за мошенничества, включая характер, масштаб и частоту такой оценки;
• как компания выявляет риски мошенничества и реагирует на них, в том числе какие операции, остатки или раскрытия считаются уязвимыми;
• сообщает ли руководство о своих процессах реагирования на мошенничество тем, кто отвечает за корпоративное управление;
• доводит ли руководство до работников свою позицию по деловой практике и этике;
• известны ли руководству и другим сотрудникам фактические, предполагаемые или заявленные случаи мошенничества.

Кого ещё опрашивает аудитор

Если в компании есть служба внутреннего аудита, аудитор опрашивает её представителей о том, знают ли они о фактических, предполагаемых или заявленных случаях мошенничества, и узнаёт их взгляд на риски. Если не все лица, отвечающие за корпоративное управление, участвуют в управлении, аудитор выясняет, как они надзирают за процессами руководства, и задаёт им аналогичные вопросы — отчасти чтобы сверить ответы руководства.

Если ответы разных людей противоречат друг другу, аудитор обязан разобраться в расхождениях. Поэтому заранее согласуйте позицию внутри компании на фактах: расхождения порождают дополнительные процедуры.

Риск мошенничества и что аудитор делает с ним

Выявленные риски искажений из-за мошенничества аудитор относит к значительным рискам и поэтому изучает связанные с ними средства контроля. Отдельное правило касается выручки: стандарт исходит из презумпции, что в признании выручки есть риск мошенничества, и аудитор оценивает, какие виды выручки и операций его порождают.

Независимо от оценки, всегда проверяется риск обхода контроля руководством: он присутствует в любой организации. Для этого аудитор тестирует проводки в главной книге и корректировки при подготовке отчётности (с упором на проводки на конец периода), проверяет оценочные значения на предвзятость и обсуждает с командой, где и как отчётность может быть искажена мошенничеством. Профессиональный скептицизм сохраняется, даже если раньше руководство казалось добросовестным.

Как подготовиться компании

Практический минимум к началу аудита:

• задокументируйте, как вы оцениваете риски мошенничества и кто за это отвечает, пусть даже в виде короткой записки;
• подготовьте перечень известных случаев и жалоб, включая обращения работников и бывших работников, и решения по ним;
• обозначьте, кто утверждает ручные проводки и корректировки в конце периода, и сохраняйте обоснования;
• доведите до работников правила поведения и порядок сообщения о нарушениях;
• заранее определите, кто из руководства подпишет письменные заявления аудитору.

Письменные заявления и сообщения аудитора

В конце аудита аудитор получает письменные заявления руководства о том, что оно знает и раскрыло ему: результаты собственной оценки риска мошенничества, известные или подозреваемые случаи с участием руководства, сотрудников с значимой ролью в контроле и иных лиц, если это существенно для отчётности. Если аудитор выявил или заподозрил мошенничество, он своевременно сообщает об этом руководству соответствующего уровня, а при подозрении в участии руководства — лицам, отвечающим за корпоративное управление, и обсуждает с ними, какие процедуры нужны для завершения аудита.