"Аудиторские ведомости", 2007, N 2

СИСТЕМА ВНУТРЕННЕГО КОНТРОЛЯ И ОЦЕНКА РИСКОВ

В статье анализируются положения МСА N 400 (ISA 400 "Risk Assessments and Internal Control"). Приводятся виды рисков, их взаимосвязь и способы оценки на основе проверки системы внутреннего контроля в организации.

Приступая к проверке, аудитору необходимо получить представление о системах бухгалтерского учета и внутреннего контроля, достаточное для планирования аудита и разработки эффективного подхода к проведению аудита. Ему следует использовать свое профессиональное суждение в целях проведения оценки аудиторского риска и разработки аудиторских процедур, необходимых для снижения данного риска до приемлемо низкого уровня. Эти вопросы отражены в международном стандарте аудита N 400 "Оценка рисков и внутренний контроль" (далее - Стандарт).

В Стандарте дается определение таких понятий, как аудиторский риск, неотъемлемый риск, риск системы контроля, риск необнаружения, система бухгалтерского учета, система внутреннего контроля.

Согласно Стандарту факторы, отражаемые в контрольной среде, включают:

деятельность совета директоров и его комитетов;

философию руководства и стиль его работы;

организационную структуру субъекта, а также методы наделения полномочиями и ответственностью;

систему контроля со стороны руководства, включая подразделение внутреннего аудита, кадровую политику и процедуры, а также разделение обязанностей.

В качестве процедур контроля перечислены:

отчеты, проверка и утверждение проведенных сверок;

проверка арифметической точности записей;

осуществление контроля над прикладными программами и средой компьютерных информационных систем, например посредством установления форм контроля над изменениями компьютерных программ и доступом к файлам данных;

ведение и проверка аналитических счетов и оборотных ведомостей;

утверждение документов и осуществление контроля над документами;

сравнение данных, полученных из внутренних и внешних источников информации;

сравнение результатов расчета денежных средств, стоимости ценных бумаг и товарно-материальных запасов с бухгалтерскими записями;

ограничение прямого физического доступа к активам и записям;

сравнение и анализ финансовых результатов с расходами, предусмотренными сметой.

Понимание соответствующих аспектов систем бухгалтерского учета и внутреннего контроля наряду с оценкой неотъемлемого риска и риска системы контроля и анализом иных факторов позволит аудитору:

определить виды потенциальных существенных искажений, которые могут встретиться в финансовой отчетности;

учесть факторы, влияющие на риск появления существенных искажений;

разработать соответствующие аудиторские процедуры.

При разработке подхода к проведению аудита аудитор принимает во внимание предварительную оценку риска системы контроля (а также оценку неотъемлемого риска), чтобы определить уровень риска необнаружения, который может быть допущен в отношении утверждений, на основе которых подготовлена финансовая отчетность, а также установить характер, сроки и объем процедур проверки данных утверждений по существу.

Рассмотрим основные положения Стандарта.

Рубрика "Неотъемлемый риск" обязывает аудитора при разработке общего плана аудита провести оценку неотъемлемого риска на уровне финансовой отчетности. При разработке программы аудита аудитору рекомендуется соотнести проведенную оценку с существенными сальдо счетов и основными операциями для конкретного утверждения или предположить, что неотъемлемый риск в отношении данного утверждения является высоким.

В рубрике "Системы бухгалтерского учета и внутреннего контроля" указано, что средства внутреннего контроля способствуют достижению таких целей, как:

осуществление операций по общему или специальному разрешению руководства;

своевременный учет всех операций и прочих событий в точных суммах, на соответствующих счетах и в должные отчетные периоды, с тем чтобы сделать возможной подготовку финансовой отчетности согласно установленным правилам составления финансовой отчетности;

сопоставление учтенных активов с активами, имеющимися в наличии, через равные промежутки времени и принятие соответствующих мер в отношении любых расхождений.

Заметим, что доступ к активам и записям возможен только по разрешению руководства.

Средствам внутреннего контроля присущи некоторые ограничения, в частности:

ориентация большей части средств внутреннего контроля на текущие, а не редкие операции;

потенциальная возможность ошибок вследствие человеческого фактора, т.е. из-за небрежности, рассеянности, ошибок в суждении и неправильного понимания инструкции;

возможность обойти процедуры внутреннего контроля путем сговора представителя руководства или сотрудника с внешними или внутренними по отношению к субъекту лицами.

Чтобы получить представление о системе бухгалтерского учета, аудитор должен проанализировать:

основные классы операций, осуществляемых субъектом;

способы инициирования таких операций;

значимые бухгалтерские записи, подтверждающие документы и счета финансовой отчетности;

процесс ведения бухгалтерского учета и составления финансовой отчетности - от момента инициирования важных операций и прочих событий до момента их включения в финансовую отчетность.

Аудитору необходимо получить представление о контрольной среде, достаточное для оценки отношения директоров и руководства, их осведомленности и принимаемых действий относительно средств внутреннего контроля и их значимости для субъекта. Для разработки плана аудиторской проверки аудитор должен иметь представление о процедурах контроля.

В рубрике "Риск средств контроля" нашла отражение информация о предварительной оценке риска средств контроля, представляющей собой процесс определения эффективности систем бухгалтерского учета и внутреннего контроля субъекта с точки зрения предотвращения или обнаружения исправления существенных искажений. Отмечено, что предварительная оценка риска системы контроля в отношении утверждений, на основе которых подготовлена финансовая отчетность, должна быть высокой, за исключением случаев, когда аудитор может выделить соотносимые с утверждением средства внутреннего контроля, которые с определенной вероятностью будут предотвращать и исправлять существенные искажения, или планирует проводить тесты контроля для подтверждения оценки.

Стандарт обязывает аудитора документировать полученное представление о системах бухгалтерского учета и внутреннего контроля субъекта, оценить риск системы контроля, а также получить аудиторское доказательство посредством проведения тестов контроля для подтверждения любой оценки риска системы контроля, которая ниже высокой. Чем выше оценка риска системы контроля, тем больше подтверждений аудитору необходимо получить относительно надлежащей структуры и эффективного функционирования систем бухгалтерского учета и внутреннего контроля. Основываясь на результатах тестов контроля, аудитор должен определить, были ли разработаны или применялись ли средства внутреннего контроля в соответствии с тем, что было заранее предусмотрено при предварительной оценке риска системы контроля. До того, как закончить аудиторскую проверку, основываясь на результатах процедур проверки по существу и других полученных аудиторских доказательствах, аудитор должен проанализировать, была ли подтверждена оценка риска системы контроля.

В рубрике "Взаимосвязь между оценками неотъемлемого риска и риска средств контроля" говорится о том, что в ответ на ситуации, связанные с неотъемлемым риском, руководство часто разрабатывает системы бухгалтерского учета и внутреннего контроля, направленные на предотвращение или обнаружение и исправление искажений, поэтому в большинстве случаев неотъемлемый риск и риск системы контроля тесно взаимосвязаны. Поэтому аудитору рекомендуется в таких ситуациях во избежание неадекватной оценки риска определять аудиторский риск путем комбинированной оценки.

Рубрика "Риск необнаружения" обязывает аудитора при определении характера, сроков и объема процедур проверки по существу, необходимых для снижения аудиторского риска до приемлемо низкого уровня, учитывать оцененные уровни неотъемлемого риска и риска системы контроля. В связи с этим ему рекомендуется рассмотреть:

характер процедур проверки по существу;

сроки выполнения процедур проверки по существу;

объем процедур проверки по существу.

Между компонентами аудиторского риска существует взаимосвязь (рис. 1).

     
   ————————————————————————————————T————————————————————————————————¬
   |                               | Оценка аудиторской организацией|
   |                               |      риска средств контроля    |
   |                               +———————————T—————————T——————————+
   |                               |  Высокий  | Средний |  Низкий  |
   |                               +———————————+—————————+——————————+
   |                               |  Уровень риска необнаружения,  |
   |                               |который при этом можно допустить|
   +———————————————————————T———————+———————————T—————————T——————————+
   |Оценка аудиторской     |Высокий| Наинизший |   Ниже  |  Средний |
   |организацией           |       |           | среднего|          |
   |неотъемлемого          +———————+———————————+—————————+——————————+
   |(внутрихозяйственного) |Средний|    Ниже   | Средний |   Выше   |
   |риска                  |       |  среднего |         | среднего |
   |                       +———————+———————————+—————————+——————————+
   |                       | Низкий|  Средний  |   Выше  | Наивысший|
   |                       |       |           | среднего|          |
   L———————————————————————+———————+———————————+—————————+———————————
   

Рис 1. Взаимосвязь между компонентами аудиторского риска

Независимо от оцененных уровней неотъемлемого риска и риска системы контроля аудитору следует провести некоторые процедуры проверки по существу в отношении существенных сальдо счетов и основных классов операций. В случае, когда аудитор устанавливает, что риск необнаружения в отношении утверждения, на основе которого подготовлена финансовая отчетность, применительно к существенному сальдо счета или классу операций не может быть снижен до приемлемо низкого уровня, ему следует выразить условно-положительное мнение или отказаться от выражения мнения.

В рубрике "Аудиторский риск в малом бизнесе" рассматривается специфика вопроса применительно к аудиту малых экономических субъектов. В тех случаях, когда возможность разделения обязанностей ограничена и отсутствуют аудиторские доказательства, подтверждающие мнение аудитора о финансовой отчетности, оценки могут быть получены только путем проведения процедур по существу.

Рубрика "Сообщение информации о недостатках" обязывает аудитора в возможно короткие сроки уведомить руководство соответствующего административного уровня о выявленных им существенных недостатках структуры или функционирования систем бухгалтерского учета и внутреннего контроля. Обычно руководство информируют о существенных недостатках в письменном виде. Возможно информирование и в устной форме, при этом данная форма уведомления должна быть отражена в рабочих документах аудитора. В уведомлении важно отметить, что представлены только те недостатки, которые стали известны аудитору в ходе аудиторской проверки, а также то, что проверка не предназначена для ответа на вопрос, соответствует ли внутренний контроль управленческим целям.

В соответствии с рубрикой "Перспективы государственного сектора" аудитор должен учитывать, что на управленческие цели субъектов государственного сектора могут оказывать влияние интересы общества. При оценке эффективности процедур внутреннего контроля с точки зрения аудита аудитору необходимо принимать во внимание источник и характер таких целей. При аудите финансовой отчетности аудитор учитывает только ту политику и процедуры в рамках систем бухгалтерского учета и внутреннего контроля, которые имеют отношение к утверждениям, лежащим в основе финансовой отчетности. Аудиторы государственного сектора даже при проведении аудиторской проверки финансовой отчетности зачастую выполняют дополнительные обязанности в отношении средств внутреннего контроля. Проверка средств внутреннего контроля, проводимая ими, может быть шире и подробнее по сравнению с аудитом финансовой отчетности в частном секторе. Для аудиторов государственного сектора могут предусматриваться дополнительные требования в отношении информирования руководства о недостатках. Например, аудитору может быть необходимо сообщить законодательным или другим правительственным органам о недостатках системы внутреннего контроля, обнаруженных в ходе аудита финансовой отчетности или другого аудита.

Российским аналогом данного Стандарта является Правило (стандарт) аудиторской деятельности N 8 "Оценка аудиторских рисков и внутренний контроль, осуществляемый аудируемым лицом" (утв. Постановлением Правительства Российской Федерации от 04.07.2003 N 405), которое также устанавливает единые требования к пониманию систем бухгалтерского учета и внутреннего контроля, а также аудиторского риска и его составных частей. Предполагается, что дальнейшему более широкому применению этого правила (стандарта) в практике отечественной аудиторской деятельности будут способствовать меры по укреплению системы внутреннего контроля в организациях, а также повышение уровня компетентности в этих вопросах аудиторов.

Определение соответствующих терминов в российском правиле (стандарте) полностью соответствует изложенному в его международном аналоге.

Термин "аудиторский риск" означает риск выражения аудитором ошибочного аудиторского мнения в случае, когда в финансовой (бухгалтерской) отчетности содержатся существенные искажения. Аудиторский риск (АР) включает три составные части: неотъемлемый (внутрихозяйственный) риск, риск средств контроля и риск необнаружения и выражается формулой:

АР = ВХР х РСК х РНО,

где ВХР - неотъемлемый (внутрихозяйственный) риск,

РСК - риск средств контроля,

РНО - риск необнаружения.

Отметим, что, как и вероятность, риск измеряется в процентах или долях единиц.

Термин "неотъемлемый (внутрихозяйственный) риск" характеризует подверженность остатка средств на счетах бухгалтерского учета или в группах однотипных операций искажениям, которые могут быть существенными (по отдельности или в совокупности с искажениями остатков средств на других счетах бухгалтерского учета или в группах однотипных операций), при допущении отсутствия необходимых средств внутреннего контроля.

Термин "риск средств контроля" относится к тому, что искажение остатков средств на счетах бухгалтерского учета или в группах однотипных операций в случае его существенности не будет своевременно предотвращено или обнаружено и исправлено с помощью систем бухгалтерского учета и внутреннего контроля.

Термин "риск необнаружения" означает риск того, что аудиторские процедуры по существу не позволяют обнаружить существенное искажение остатков средств по счетам бухгалтерского учета или в группах однотипных операций.

Термин "система бухгалтерского учета" определяет упорядоченную систему сбора, регистрации и обобщения информации в денежном выражении об имуществе и обязательствах организаций и их движении путем сплошного, непрерывного и документального учета всех хозяйственных операций.

Термин "система внутреннего контроля" включает совокупность организационных мер, методик и процедур, используемых руководством аудируемого лица в качестве средств для упорядоченного и эффективного ведения финансово-хозяйственной деятельности, обеспечения сохранности активов, выявления, исправления и предотвращения ошибок и искажения информации, а также своевременной подготовки достоверной финансовой (бухгалтерской) отчетности. Система внутреннего контроля может быть представлена в виде схемы (рис. 2).

     
                     —————————————————————————————¬
                     |Система внутреннего контроля|
                     L—————————————T———————————————
   

-----------------------+---------------------¬

\¦/ \¦/ \¦/

     
   ————————————————————¬ ————————————————————¬ —————————————————————¬
   |      Система      | | Контрольная среда | |  Средства контроля |
   |   бухгалтерского  | |                   | |                    |
   |       учета       | |                   | |                    |
   L————————T——————————— L—————————T—————————— L—————————T———————————
   

\¦/ \¦/ \¦/

     
   ————————————————————¬ ————————————————————¬ —————————————————————¬
   |Совокупность форм и| |Совокупность знаний| |     Конкретные     |
   |      методов,     | |    руководства    | |     процедуры,     |
   |    применяемых    | |   экономического  | |     применяемые    |
   |   экономическим   | |  субъекта и мер,  | |    экономическим   |
   |   субъектом для   | |  направленных на  | |    субъектом на    |
   |   организации и   | |    организацию,   | |      отдельных     |
   |      ведения      | |   поддержание и   | |   направлениях и   |
   |   бухгалтерского  | |  развитие системы | |      участках      |
   | учета имущества и | |    внутреннего    | |    хозяйственной   |
   |  обязательств, а  | |      контроля     | |  деятельности для  |
   |  также подготовки | |                   | |     обеспечения    |
   |   бухгалтерской   | |                   | |   эффективного и   |
   |     отчетности    | |                   | |надежного управления|
   |                   | |                   | |         ею         |
   L———————————————————— L———————————————————— L—————————————————————
   

Рис 2. Система внутреннего контроля В заключительной части аудиторской проверки аудитор должен проанализировать, подтверждается ли оценка риска средств контроля. Полученные в ходе процедур более низкие по сравнению с первоначальной оценкой значения надежности системы внутреннего контроля или отдельных ее элементов должны послужить для аудитора сигналом к корректировке проводимых аудиторских процедур в целях повышения общего уровня достоверности формируемых по результатам аудита выводов (например, могут быть направлены запросы для получения дополнительных сведений). Если аудитор пытается оценить неотъемлемый риск и риск средств контроля по отдельности, то возникает вероятность ненадлежащей оценки риска. Поэтому аудиторский риск можно более надежно определить путем комбинированной оценки. При оценке надежности системы внутреннего контроля аудиторские организации обязаны использовать не менее трех градаций: высокая, средняя и низкая. Для повышения объективности оценки надежности системы внутреннего контроля аудиторские организации могут применять и большее число градаций. Многие аудиторские организации оценивают надежность по пяти- или десятибалльной системе, а некоторые измеряют надежность в процентах (от 0 до 100). Однако применение детальных оценок требует и более сложных исследований системы внутреннего контроля - разработки различных тестовых процедур, перечней типовых вопросов; анализа полученных результатов с применением шкал баллов, коэффициентов и формул для получения надежных оценок. В большинстве случаев аудиторы на практике используют в основном три способа определения аудиторского риска. Первый способ. На этапе планирования аудитор оценивает, например, неотъемлемый (внутрихозяйственный) риск в 80%, риск средств контроля - в 50%, риск необнаружения - в 10%. На основании этих значений аудитор может получить величину аудиторского риска 4% (0,8 х 0,5 х 0,1). Второй способ. Акцент переносится на расчет значения риска необнаружения и соответствующего количества подлежащих получению аудиторских доказательств. Это более эффективный способ. Риск необнаружения определяется по формуле: РНО = АР : (ВХР х РСК). Допустим, что аудитор устанавливает аудиторский риск на уровне 5%, неотъемлемый (внутрихозяйственный) риск - на уровне 80%, риск средств контроля - на уровне 50%. В этом случае риск необнаружения составляет 12,5%. Требуемое количество аудиторских доказательств обратно пропорционально уровню риска необнаружения. Третий способ. Наиболее общий способ модели аудиторского риска опирается на взаимосвязи между компонентами аудиторского риска, количеством и качеством необходимых аудиторских доказательств. Применение модели аудиторского риска требует от аудитора глубокого понимания таких взаимосвязей и содержания каждого из компонентов аудиторского риска. Литература 1. Адамс Р. Основы аудита: Пер. с англ. / Под ред. Я.В. Соколова. - М.: Аудит. ЮНИТИ, 1995. 2. Додж Р. Краткое руководство по стандартам и нормам аудита. - М: Финансы и статистика, ЮНИТИ, 1992. 3. Лабынцев Н.Т., Иосипчук В.А. Планирование аудита в условиях банкротства // "Аудиторские ведомости". N 3, 2005. С. 39 - 44. 4. Макарова Л.Г. Некоторые федеральные правила (стандарты) аудиторской деятельности: терминологический аспект // "Аудиторские ведомости". N 3, 2005. С. 33 - 38. 5. Мельник М.В., Когденко В.Г. "Методология аудита". N 10, 2005. С. 3 - 14. 6. Панкова С.В. Международные стандарты аудита: учебное пособие. - М.: Юристъ, 2003. 7. Подольский В.А., Савин А.А., Сотникова Л.В. и др. Аудит. Издание третье, перераб. и доп. - М.: ЮНИТИ-ДАНА, Аудит, 2004. Б.Т.Жарылгасова Профессор кафедры анализа и аудита Российского государственного аграрного заочного университета Подписано в печать 19.01.2007 ————