Тесты средств контроля и ответные процедуры (ISA 330)

Два вида ответных процедур

Тест средств контроля — это процедура, цель которой оценить операционную эффективность контролей: предотвращают ли они существенные искажения на уровне предпосылок либо выявляют и исправляют их. Проверка по существу — процедура, направленная на выявление существенных искажений; она включает тесты деталей (по классам операций, остаткам и раскрытиям) и аналитические процедуры по существу.

Проще говоря: тест контроля отвечает на вопрос «работает ли система», проверка по существу — «верна ли сумма». Типичный пример контроля — согласование платежа вторым сотрудником перед отправкой в банк. Тест контроля покажет, согласовывалась ли выборка платежей в течение года; проверка по существу сверит конкретные платежи с договорами и выписками.

Когда аудитор обязан тестировать контроли

Стандарт называет два случая. Первый — аудитор в оценке рисков рассчитывает, что контроли работают эффективно, и хочет опереться на это при определении характера, сроков и объёма проверки по существу. Второй — одних проверок по существу недостаточно для получения достаточных надлежащих доказательств.

Решение об опоре на контроли принимается на этапе планирования, поэтому заранее обсудите с аудитором, какие процессы у вас отлажены и подтверждены документально.

• Контроли хорошо налажены и повторяются изо дня в день — аудитор может сократить проверку по существу, если подтвердит их работу.
• Операции идут в основном автоматически, документальный след минимален: проверить сумму выборкой недостаточно, нужно проверять контроль.
• Если опираться на контроли аудитор не планирует, тесты контролей не проводятся, и основной объём работы приходится на проверку по существу.

Как проверяют, что контроль работает

Опроса сотрудников для этого недостаточно. Опрос сочетают с инспектированием документов, наблюдением или повторным выполнением контроля: наблюдение подтверждает работу контроля лишь в момент, когда оно проводится, поэтому опрос с инспектированием или повторным выполнением даёт больше уверенности.

Аудитор выясняет, как контроль применялся в течение проверяемого периода, насколько последовательно и кем или с помощью чего. Также он определяет, не зависит ли тестируемый контроль от других (косвенных) контролей, и нужны ли доказательства их работы. Чем больше аудитор опирается на контроль, тем более убедительные доказательства ему нужны.

• Подготовьте подтверждения исполнения контроля: подписи, визы, журналы согласований, логи систем с датами.
• Заранее определите, кто выполняет контроль и кто его замещает на время отпусков.
• Покажите, как ограничены права доступа в учётной программе: для автоматизированных контролей это основа проверки.

Сроки: промежуточный период и прошлые аудиты

Контроль тестируют на тот момент или в течение того периода, на который аудитор собирается на него опираться. Если доказательства получены в промежуточный период, аудитор должен выяснить значимые изменения контролей после этой даты и определить, какие дополнительные доказательства нужны на оставшийся период.

Доказательства прошлых аудитов можно использовать не всегда. Если контроль не менялся и не связан со значимым риском, его нужно тестировать не реже одного раза в три аудита, при этом часть контролей тестируется ежегодно. Контроли, на которые аудитор опирается при значимом риске, тестируются в текущем периоде. Если контроль изменился, прежних доказательств недостаточно.

Проверка по существу обязательна всегда

Даже если контроли признаны эффективными, аудитор выполняет проверку по существу в отношении каждого существенного класса операций, остатка и раскрытия, независимо от оценённых рисков. Стандарт объясняет причины: оценка риска носит субъективный характер, а у внутреннего контроля есть неустранимые ограничения, включая обход контролей руководством.

Аналитические процедуры по существу обычно применимы к большим объёмам предсказуемых операций, например к выручке по типовым продажам или расходам на связь. Для значимых рисков, где ответом служит одна лишь проверка по существу, она должна включать тесты деталей. В любом случае проверка по существу включает процедуры по закрытию периода: изучение существенных проводок и корректировок, сделанных при подготовке отчётности.

Что делать, если контроль дал сбой

Отклонения от контролей, на которые аудитор рассчитывал, не проходят незамеченными: он задаёт конкретные вопросы, чтобы понять суть и возможные последствия. После этого он решает, достаточно ли проведённых тестов для опоры, нужны ли дополнительные тесты либо риск искажения придётся закрывать проверкой по существу. На практике это означает расширение выборок и дополнительные запросы к компании.

Обратная ситуация тоже важна: отсутствие искажений, найденных при проверке по существу, не служит доказательством эффективности контролей. Поэтому «ошибок не нашли» не равно «контроль работает».

Практический вывод для компании: чем лучше задокументированы контроли и чем стабильнее они выполняются в течение года, тем у аудитора больше оснований опираться на них; если же подтверждений нет, аудитор не может считать контроль работающим и переносит нагрузку на проверку по существу, то есть на больше запросов первичных документов.