Определение и оценка рисков возникновения существенных искажений через понимание деятельности аудируемого лица и его среды

Аудитор обязан идентифицировать и оценивать риски существенных искажений в финансовой отчетности на основе знания субъекта и его среды, включая систему внутреннего контроля субъекта в соответствии с MCA 315 «Обнаружение и оценка рисков существенных искажений через понимание деятельности аудируемой компании» .

Цель аудитора состоит в том, чтобы идентифицировать и оценить риски существенных искажений, вызванных мошенничеством или ошибкой, на уровне финансовой отчетности и на уровне утверждений на основе знания субъекта и его среды, включая систему внутреннего контроля субъекта, таким образом, обеспечивая основу для разработки и осуществления ответных действий на оцененные риски существенных искажений.

Выполняя требования MCA, аудитор должен придерживаться четко определенных значений следующих терминов:

• • утверждения — представления руководства субъекта, сделанные в явной или неявной форме и воплощенные в финансовой отчетности, используемые аудитором для рассмотрения различных видов потенциальных искажений, которые могут иметь место в финансовой отчетности;
• • предпринимательский риск — риск, связанный со значительными условиями, событиями, обстоятельствами, действиями или бездействием, которые могут оказать неблагоприятное влияние на способность субъекта достичь своих целей и реализовать свои стратегии, или связанный с постановкой неадекватных целей и принятием неадекватных стратегий;
• • система внутреннего контроля — процессы, разработанные, внедренные и осуществляемые лицами, наделенными руководящими полномочиями, руководством субъекта и прочим персоналом с целью обеспечения разумной уверенности в достижении целей субъекта в контексте надежности финансовой отчетности, эффективности и производительности операций, а также соблюдения законодательства и нормативных актов. Термин «средства контроля» обозначает любые аспекты одного или нескольких компонентов системы внутреннего контроля;
• • процедуры по оценке риска — аудиторские процедуры, выполненные для получения знания субъекта и его среды, включая его систему внутреннего контроля с целью идентификации и оценки риска существенных искажений, вызванных мошенничеством или ошибкой, на уровне финансовой отчетности и на уровне утверждений;
• • значительный риск — выявленный и оцененный риск существенных искажений, который, по мнению аудитора, требует особого внимания при проведении аудита.

Рассматриваемый стандарт содержит требования в части:

• 1) процедур по оценке риска и сопутствующих действий;
• 2) необходимого знания субъекта и его среды, включая систему внутреннего контроля субъекта;
• 3) идентификации и оценки рисков существенных искажений;
• 4) составления документации.

Процедуры по оценке риска выполняются для того, чтобы обеспечить основу для идентификации и оценки рисков существенных искажений на уровне финансовой отчетности и на уровне утверждений. Данные процедуры сами по себе не обеспечивают достаточное и надлежащее аудиторское доказательство, на котором может основываться аудиторское мнение.

Получение знания субъекта и его среды, включая систему внутреннего контроля субъекта, является непрерывным, динамичным процессом сбора, обновления и анализа информации на протяжении всего аудита. Это знание устанавливает базу данных, на основе которой аудитор планирует аудит и выражает профессиональное суждение в ходе аудита. Аудитор может избрать выполнение процедур по существу или тестов средств контроля одновременно с процедурами по оценке рисков, поскольку такое сочетание является более эффективным.

Следует помнить, что глубина полного знания, которое необходимо аудитору, меньше, чем знание, которым владеет руководство субъекта в ходе управления субъектом.

Риски, которые будут оценены, включают как риски, вызванные ошибкой, так и риски, вызванные мошенничеством, которое рассматривается в MCA 240.

Параграфы А1-А5 MCA 315 содержат руководство по применению и пояснительный материал в части процедур по оценке риска и сопутствующих действий.

Аудитор должен выполнить ряд процедур по оценке рисков:

• а) запросы руководству и прочим лицам субъекта, предположительно располагающим информацией, которая может помочь при идентификации рисков существенных искажений, вызванных мошенничеством или ошибками (в соответствии с § А6 «Руководства по применению»);
• б) аналитические процедуры (в соответствии с § А7 — А10 названного документа);
• в) наблюдение и инспектирование (в соответствии с § А11).

Руководствуясь § А12-А16, аудитор и партнер по проекту должны рассмотреть вопрос о том, является ли имеющаяся у них информация значимой для идентификации рисков существенных искажений, а также обсудить предрасположенность финансовой отчетности субъекта к существенным искажениям и использование применимой основы представления финансовой отчетности по отношению к фактам и обстоятельствам субъекта.

Необходимое знание субъекта и его среды, включая систему внутреннего контроля субъекта начинается с получения общего представления о субъекте и среде, в которой он осуществляет свою хозяйственную деятельность. Исходя из § А17-А41 аудитор должен получить представление о следующем:

• — соответствующие отраслевые факторы, факторы регулирования и прочие внешние факторы, включая применимую основу представления финансовой отчетности;
• — характер субъекта (его операции; структуру собственности и управления; виды инвестиций; структуру субъекта и методы финансирования, чтобы понять классы операций, сальдо счетов, и раскрытия, которые ожидаются в финансовой отчетности);
• — выбор и применение субъектом учетной политики, включая причины внесения изменений в такую политику. Аудитор должен оценить, является ли учетная политика субъекта подходящей для его бизнеса и совместимой с применимой основой представления финансовой отчетности и учетной политикой, используемой в соответствующей отрасли;
• — цели и стратегии субъекта, а также сопутствующие предпринимательские риски, которые могут привести к рискам существенных искажений;
• — оценка и обзор финансовых результатов субъекта.

Далее аудитор приступает к формированию представления о системе внутреннего контроля, имеющей отношение к аудиту.

Система внутреннего контроля имеет следующие компоненты:

• • контрольную среду;
• • процесс оценки риска, используемый субъектом;
• • информационную систему, включая соответствующие бизнес-процессы, связанные с подготовкой и представлением финансовой отчетности, и обмен информацией;
• • действия по контролю, которые являются значимыми для аудита;
• • мониторинг средств контроля.

Контрольная среда включает в себя функции по руководству и управлению, а также отношение, осведомленность и действия лиц, наделенных руководящими полномочиями, и руководства субъекта в отношении системы внутреннего контроля субъекта и ее важности для субъекта. Контрольная среда устанавливает общую атмосферу организации, влияющую на осознание персоналом необходимости контроля.

Аудитор должен получить представление о контрольной среде и оценить:

• — создало и поддерживает ли руководство субъекта под надзором лиц, наделенных руководящими полномочиями, культуру честности и этического поведения;
• — обеспечивают ли сильные стороны элементов контрольной среды, взятые в совокупности, соответствующую основу для других компонентов внутреннего контроля, и не подрывают ли недостатки контрольной среды эффективность других компонентов.

Процесс оценки риска субъектом формирует основу для того, как руководство субъекта определяет риски, которые необходимо контролировать. Если этот процесс соответствует обстоятельствам субъекта, включая характер, размер и сложность структуры субъекта, это поможет аудитору при идентификации рисков существенных искажений.

Аудитор должен получить представление о том, имеется ли у субъекта процесс:

• — для идентификации предпринимательских рисков, являющихся значимыми для целей финансовой отчетности;
• — оценки значительности рисков;
• — оценки вероятности их возникновения;
• — принятия решений о действиях в ответ на такие риски.

В результате изучения аудитор может получить один из двух возможных вариантов.

Вариант 1. Субъект установил процесс оценки рисков. В этом случае аудитор должен получить представление о таком процессе и его результатах. Если он обнаружит риски существенных искажений, которые не смогло обнаружить руководство субъекта, то должен получить представление о том, почему процесс оказался не в состоянии идентифицировать его, и оценить, соответствует ли процесс обстоятельствам, при которых он используется, или имеются существенные недостатки в процессе оценки риска субъектом.

Вариант 2. Субъект не установил процесс оценки рисков или имеет какой-либо специальный процесс. В этом случае аудитор должен обсудить с руководством субъекта вопрос о том, были ли выявлены предпринимательские риски, являющиеся значимыми для целей финансовой отчетности, и какие действия были предприняты в ответ на такие риски.

Аудитор должен получить представление об информационной системе, включая соответствующие бизнес-процессы, связанные с подготовкой и представлением финансовой отчетности, включая следующее:

• — классы операций, являющиеся значительными для финансовой отчетности;
• — процедуры как в системе информационных технологий (ИТ), так и при ручной обработке данных, используемые для инициирования, записи, обработки и по мере необходимости корректировки операций, передачи их в главную бухгалтерскую книгу и отражения в финансовой отчетности;
• — соответствующие данные бухгалтерского учета, подтверждающая информация и специфические счета финансовой отчетности, которые используются для инициирования, записи, обработки и обобщения операций; это включает исправление некорректной информации, а также то:
  • а) как информация передается в главную бухгалтерскую книгу. Записи могут быть сделаны от руки или в электронном формате;
  • б) информационная система фиксирует события и условия, которые не попадают в рамки операций, являющихся значительными для финансовой отчетности;
• — процесс подготовки и представления финансовой отчетности, используемый для подготовки финансовой отчетности субъекта, включая значительные расчетные оценки и раскрытия;
• — средства контроля, связанные с журнальными проводками, включая нестандартные журнальные проводки, используемые для отражения неповторяющихся, необычных операций или корректировок.

Аудитор должен получить представление о том, как субъект передает информацию о ролях и обязанностях, связанных с подготовкой и представлением финансовой отчетности, а также о значительных вопросах связанных с финансовой отчетностью, включая обмен информацией между руководством субъекта и лицами, наделенными руководящими полномочиями, и с регулирующими органами.

Действия по контролю — это политика и процедуры, которые помогают гарантировать, что директивы руководства субъекта выполнены. Действия по контролю в рамках как информационных, так и ручных систем имеют различные цели и применяются на различных организационных и функциональных уровнях. Примеры конкретных действий по контролю включают действия, связанные:

• — с санкционированием;
• — обзором результатов деятельности;
• — обработкой информации;
• — физическим контролем;
• — разделением обязанностей.

Аудитор должен получить представление о действиях по контролю, которые являются значимыми для аудита и понимание которых аудитор считает необходимым, чтобы оценить риски существенных искажений на уровне утверждений и разработать дальнейшие аудиторские процедуры, отвечающие оцененным рискам. Аудит не требует знания всех действий по контролю, связанных с каждым значительным классом операций, сальдо счета и раскрытием в финансовой отчетности или с каждым утверждением, имеющим к ним отношение.

Мониторинг средств контроля — это процесс оценки эффективности функционирования системы внутреннего контроля в течение определенного периода времени. Он включает своевременную оценку эффективности средств контроля и осуществление необходимых корректирующих мероприятий. Руководство субъекта осуществляет мониторинг средств контроля посредством непрерывной деятельности, отдельных оценок или комбинации того и другого. Непрерывный мониторинг зачастую является встроенной функцией в постоянных операциях субъекта в ходе обычной деятельности и включает регулярные управленческие и надзорные действия.

Аудитор должен получить представление об основных действиях, которые используются субъектом для проведения мониторинга средств внутреннего контроля над финансовой отчетностью, а также о том, как субъект инициирует корректирующие действия в отношении недостатков средств контроля.

Идентификация и оценка рисков существенных искажений в целях обеспечения основы для разработки и выполнения дальнейших аудиторских процедур производится:

• — на уровне финансовой отчетности;
• — уровне утверждений для классов операций, сальдо счетов и раскрытий.

Руководство по применению и пояснительный материал по данным вопросам содержатся в § А105-А113 MCA 315 «Руководства по применению» .

Выполняя идентификацию и оценку рисков существенных искажений, аудитор:

• — идентифицирует риски в ходе процесса получения знания о субъекте и его среде, включая соответствующие средства контроля, которые связаны с рисками, а также посредством изучения классов операций, сальдо счетов и раскрытий в финансовой отчетности (§ А114 — А115 Руководства);
• — оценивает идентифицированные риски, а также устанавливает, связаны они более широко с финансовой отчетностью в целом и могут ли затрагивать множество утверждений;
• — соотносит идентифицированные риски с тем, что может пойти не так, как надо на уровне утверждений, принимая во внимание соответствующие средства контроля, которые аудитор намеревается протестировать (§ А116 — А118 Руководства);
• — рассматривает вероятность искажения, включая возможность множественных искажений, а также вопрос: имеет ли потенциальное искажение такую величину, которая могла бы привести к существенному искажению?

Аудитор должен определить, является ли любой из идентифицированных рисков значительным. При вынесении суждения о том, какие риски являются значительными, аудитор обязан рассмотреть как минимум следующие вопросы:

• — является ли риск риском мошенничества;
• — связан ли риск с недавними значительными событиями в области экономики, бухгалтерского учета или какими-либо иными событиями и, следовательно, требует особого внимания;
• — какова сложность операций;
• — связан ли риск со значительными операциями со связанными сторонами;
• — о степени субъективности при оценке финансовой информации, связанной с риском, особенно информации, в которой присутствует большая степень неопределенности в отношении оценки;
• — связан ли риск со значительными операциями, выходящими за рамки обычной хозяйственной деятельности субъекта, или операциями, которые являются необычными по другим причинам?

Если аудитор установил, что значительный риск существует, он должен получить представление о средствах контроля субъекта, включая действия по контролю, имеющих отношение к этому риску.

В отношении некоторых рисков аудитор может счесть, что получить достаточное и надлежащее аудиторское доказательство только на основе процедур проверки по существу невозможно или нереально. Такие риски могут быть связаны с неточным или неполным учетом обычных и значительных классов операций или сальдо счетов, особенности которых часто допускают высокоавтоматизированную обработку с небольшим ручным вмешательством или без оного. В таких случаях средства контроля субъекта над такими рисками являются значимыми для аудита, и аудитор должен получить представление о них.

Оценка рисков существенных искажений на уровне утверждений может измениться в ходе аудита в результате получения дополнительного аудиторского доказательства. В этом случае аудитор должен пересмотреть оценку и модифицировать дальнейшие запланированные аудиторские процедуры соответствующим образом.

Документация аудитора должна отражать:

• — обсуждение с командой по проекту, а также принятые значительные решения;
• — ключевые элементы знания, полученного в отношении каждого аспекта субъекта и его среды, а также в отношении каждого компонента системы внутреннего контроля;
• — источники информации, из которых было получено знание, и выполненные процедуры по оценке рисков;
• — идентифицированные и оцененные риски существенных искажений на уровне финансовой отчетности и на уровне утверждений;
• — идентифицированные риски и соответствующие средства контроля, о которых аудитор получил знание.