Аудитор и соблюдение законодательства (ISA 250): какие нарушения он обязан учитывать

Кто отвечает за соблюдение закона

Базовый принцип ISA 250: за то, чтобы деятельность компании велась в соответствии с законами, отвечает руководство под надзором лиц, ответственных за корпоративное управление (п. 3). Аудит эту ответственность не снимает и не перекладывает на аудитора.

Узбекское законодательство об аудите исходит из той же логики: хозяйствующий субъект обязан устранять выявленные при проверке нарушения ведения бухгалтерского учёта, составления отчётности и исчисления налогов и сборов (ст. 37 ЗРУ-677). А аудиторская организация по запросу клиента сообщает требования международных стандартов аудита и нормы, на которых основаны её замечания (ст. 29).

Где проходит граница ответственности аудитора

Стандарт прямо оговаривает пределы: аудитор не отвечает за предотвращение нарушений и от него нельзя ожидать выявления нарушений всех законов (п. 4). Причины названы в стандарте: многие нормы касаются операционной стороны бизнеса и не отражаются в учётных системах; нарушение может быть скрыто; а является ли действие нарушением, в конечном счёте решает суд (п. 5).

Из этого следует практический вывод. Замечание аудитора о возможном нарушении — это не юридическая квалификация. Вопрос о том, нарушен ли закон, остаётся за судом и профильными органами (п. 5; A4).

Две группы норм и разные процедуры

ISA 250 различает два типа законов, и объём работы аудитора для них разный (п. 6–7).

Группа 1 — нормы с прямым влиянием на суммы и раскрытия в отчётности; стандарт приводит пример налоговых и пенсионных законов (п. 6(a)). Здесь аудитор обязан получить достаточные надлежащие доказательства соблюдения этих норм (п. 7, п. 13). Для узбекской компании это в первую очередь налоговый учёт и правила составления отчётности.

Группа 2 — прочие нормы, которые прямо не определяют суммы в отчётности, но важны для ведения бизнеса или избежания существенных санкций. Примеры из стандарта: условия лицензии, регуляторные требования к платёжеспособности, экологические нормы (п. 6(b)). Здесь ответственность аудитора ограничена определёнными процедурами, которые помогают выявить нарушения, способные существенно повлиять на отчётность (п. 7).

Что аудитор делает в любом случае

Независимо от наличия подозрений, аудитор выполняет минимальный набор шагов:

• получает общее понимание законодательной среды компании и отрасли и того, как компания ей следует (п. 12);
• запрашивает у руководства и, где уместно, у лиц, ответственных за корпоративное управление, информацию о соблюдении норм второй группы (п. 14);
• изучает переписку с разрешительными и регулирующими органами, если она есть (п. 14);
• запрашивает письменные заверения руководства о том, что все известные случаи нарушений или подозрений раскрыты аудитору (п. 16).
• Если нарушений и подозрений нет, аудитор не обязан проводить дополнительные процедуры сверх этого перечня (п. 17).

Что происходит при подозрении на нарушение

Если аудитор узнаёт о возможном нарушении, он выясняет природу действия и обстоятельства, оценивает влияние на отчётность и обсуждает вопрос с руководством. Когда руководство не подтверждает соблюдение закона, а влияние может быть существенным, аудитор рассматривает необходимость юридической консультации (п. 19).

О нарушениях, ставших известными в ходе аудита, аудитор сообщает лицам, ответственным за корпоративное управление, кроме явно незначительных случаев (п. 22). Закон об аудиторской деятельности добавляет письменное информирование руководства и комитета по аудиту о выявленных нарушениях законодательства о бухгалтерском учёте или признаках коррупционных правонарушений (ст. 29 ЗРУ-677).

Влияние на заключение зависит от результата. Если нарушение существенно влияет на отчётность и не отражено в ней должным образом, аудитор выражает мнение с оговоркой или отрицательное мнение (п. 25). Если руководство не даёт получить достаточные доказательства, возможны мнение с оговоркой или отказ от выражения мнения из-за ограничения объёма проверки (п. 26). Все выявленные или предполагаемые нарушения и результаты их обсуждения аудитор фиксирует в рабочей документации (п. 29).

Сообщает ли аудитор о нарушении за пределы компании

Стандарт не даёт универсального ответа. Аудитор должен определить, обязан ли он сообщать о выявленном или предполагаемом нарушении сторонам вне компании (п. 28). Профессиональный долг конфиденциальности может препятствовать такому сообщению, но обязанности зависят от юрисдикции и в ряде случаев конфиденциальность может быть преодолена законом или судом (A19).

В Узбекистане аудиторская организация обязана обеспечивать конфиденциальность информации, полученной при оказании услуг (ст. 29 ЗРУ-677). Поэтому наличие обязанности внешнего сообщения в конкретном случае определяется профильным законом, а не самим стандартом; при сомнениях аудитор вправе получить юридическую консультацию.

Что подготовить компании

Практически управляемых шагов немного, но они сокращают риск конфликта и модифицированного заключения:

• составить реестр существенных законов и разрешений по вашей отрасли (лицензии, экология, регуляторные нормативы);
• собрать переписку с налоговыми, разрешительными и регулирующими органами: проверки, предписания, ответы;
• заранее раскрыть аудитору известные нарушения и споры, а не ждать запроса: письменное заверение руководства всё равно потребуется (п. 16);
• назначить ответственного, который в течение 30 дней письменно ответит аудитору на информацию о выявленных нарушениях (ст. 37 ЗРУ-677);
• не препятствовать аудитору получать документы: действия, направленные на уклонение или воспрепятствование проверке, законом запрещены (ст. 37).