Процедуры аудита НДС в среде КОД

№ п/п.

Рассматриваемые вопросы.

Комментарий.

Аппаратное и программное обеспечение.

Тип и возраст используемого оборудования.

Применение устаревшего оборудования повышает риск системных сбоев и утери информации.

Количество компьютеров, используемых в обработке финансовой информации.

Увеличение числа компьютеров при отсутствии должного сонтроля может способствовать повышению риска.

3.

Структура компьютерной среды:

• — компьютерная среда централизована;
• — компьютерная среда децентрализована.

Децентрализованная среда увеличивает аудиторский риск. При необходимости можно составить схему привязки блоков обработки информации к конкретным рабочим местам и исполнителям.

4.

Наличие компьютерной сети.

Использование сети повышает риск потери информации при ее передаче и заражения компьютеров сетевыми вирусами.

5.

Использование работниками дискет, CD-дисков.

Использование гибких носителей повышает вероятность распространения компьютерных вирусов. Оптимальным вариантом защиты является изъятие на рабочих местах устройств, позволяющих работать со съемными носителями. Необходимое программное обеспечение устанавливается по сети.

6.

Работа с Internet и e-mail.

Работа с Internet и e-mail требует наличия специальных средств защиты информации от несанкционированного доступа.

7.

Наличие в штате аудируемого лица специалистов:

• — по обслуживанию вычислительной техники;
• — сетевых администраторов.

8.

Наличие необходимой квалификации данных специалистов.

9.

Наличие договоров с организациями, обслуживающими вычислительную технику (при отсутствии соответствующих штатных работников).

10.

Наличие лиц, ответственных за эксплуатацию системы КОД.

11.

Тип применяемого программного обеспечения:

• — программный продукт относится к числу широко распространенных;
• — программный продукт относится к числу малораспространенных;
• — организация — изготовитель программного продукта прекратила свою деятельность;
• — программный продукт разработан силами специалистов аудируемого лица.

У аудируемого лица может применяться как единый пакетный программный продукт, так и различные программные продукты для разных разделов и участков учета.

При описании программного обеспечения нужно указать разработчиков программы и дату ее внедрения.

Следует обратить внимание на то, что — при использовании программ, созданных организациями-разработчиками, которые прекратили свое существование, невозможно обновление программы, ее адаптация к изменениям действующего законодательства;

• — при использовании программ, не получивших широкого распространения на рынке, есть вероятность того, что у разработчиков таких программ мало информации о практике эксплуатации изделия. По этой причине имеющиеся ошибки могут длительное время не устраняться;
• — при использовании программных продуктов собственного производства есть вероятность того, что их разработчики могут не располагать необходимыми навыками и знаниями в области бухгалтерского учета. В то же время работники бухгалтерии не обладают необходимыми знаниями для того, чтобы квалифицированно поставить задачи и определить требования к программе.

12.

Уровень комплексности автоматизации бухгалтерского учета:

• — комплексная автоматизация применяется на всех участках бухгалтерского учета;
• — автоматизированы отдельные участки бухгалтерского учета.

Следует указать, какие именно разделы и участки бухгалтерского учета функционируют в среде КОД.

Целесообразно описать последовательность обработки учетной информации.

13.

Наличие лицензионного программного обеспечения:

• — имеется сертификат на применяемый программный продукт;
• — используется контрафактная продукция.

Применение лицензионного программного обеспечения повышает достоверность результатов, тем самым, снижая аудиторский риск.

Одной из задач аудита является проверка соблюдения аудируемым лицом законодательства, куда входит и выполнение требований по проверке авторских прав на программные продукты.

14.

Организация обслуживания применяемого программного продукта:

• — обслуживание проводится специалистами аудируемого лица;
• — обслуживание проводится организацией — разработчиком;
• — обслуживание проводится специалистами аудируемого лица и организацией-разработчиком.

Все изменения в прикладных программах должны осуществляться с разрешения работников, ответственных за систему КОД, с надлежащим документированием.

15.

Регулярность обновления версий программного продукта, отчетных форм и документов, входящих в его состав:

• — обновляются регулярно;
• — обновляются нерегулярно или не обновляются.

Необходимо указать частоту и метод обновления программного продукта по мере изменения законодательства. Очень важно оценить, насколько оперативно можно адекватно настроить программу.

Следует помнить, что в организациях, где существует несколько рабочих мест бухгалтера, любые изменения в программах должны производиться централизованно, с разрешения работников, ответственных за систему КОД.

16.

Наличие соответствующей технической документации на используемое аппаратное и программное обеспечение.

Квалификация персонала, занятого ведением бухгалтерского учета на компьютерах

1.

Организация учета в среде КОД:

• — ввод данных осуществляется одним работником;
• — ввод данных осуществляется несколькими работниками;
• — компьютерная обработка данных производится специализированной организацией на основании заключенного договора.

В случае, если ввод информации осуществляется не одним работником, то следует указать количество таких работников и, при подготовке схемы организационной структуры системы КОД, указать, с каких рабочих мест производится ввод данных.

При обработке данных сторонней организацией необходимо привести сведения об этой организации и важнейшие условия договора.

2.

Наличие требований, предъявляемых администрацией при приеме работников на работу в части их квалификации.

Примерами таких требований могут служить наличие специального образования, прохождение курса обучения в области информационных технологий, самостоятельное изучение систем КОД.

3.

Наличие инструкций для лиц, работающих в среде КОД.

Необходимо наличие подписей работников, свидетельствующих об их ознакомлении с инструкцией.

4.

Организация повышения квалификации работников:

• — наличие оформленного организационно-распорядительным документом плана повышения квалификации;
• — повышение квалификации осуществляется силами организации — разработчика программного продукта;
• — повышение квалификации проводится силами специалистов аудируемого лица;
• — обучение проводится путем самостоятельного изучения технической документации.

Работники аудируемого лица так же могут принимать участие в специализированных выставках и семинарах по изучению особенностей практического применения наиболее распространенных программ.

Меры обеспечения сохранности программ и данных компьютерного учета.

1.

Наличие сертифицированного программного обеспечения для компьютерной сети (при ее наличии).

Применение сетевого сертифицированного программного обеспечения уменьшает вероятность потери данных при их передаче по сети.

2.

Наличие источников бесперебойного питания.

Временные нарушения подачи электроэнергии могут привести к частичной потере данных. Применение источников бесперебойного питания позволяет в случае отключения электроэнергии обеспечить нормальное завершение сеанса работы с программой.

3.

Наличие программ по проверке жесткого диска на целостность.

Данные программы предназначены для выявления поврежденных участков жесткого диска. Они могут работать в автоматическом режиме либо запускаться по желанию пользователя.

4.

Наличие антивирусных программ:

• — имеются сертифицированные антивирусные программы;
• — имеются не сертифицированные антивирусные программы;
• — антивирусные программы регулярно обновляются.

По возможности следует указать наименование программ и периодичность их обновления.

5.

Наличие организационно — распорядительных документов:

• — определяющих перечень лиц, имеющих доступ к компьютерам, задействованным в ведении бухгалтерского чета;
• — устанавливающих уровень доступа пользователей к программам и данным в соответствии с их должностными инструкциями;
• — ограничивающих перечень работ, выполняемых на данных компьютерах;
• — устанавливающих перечень и периодичность вывода на печать отдельных отчетных форм;
• — устанавливающих периодичность резервного копирования данных;
• — устанавливающих лиц, ответственных за осуществление резервного копирования.

Не во …

• — алгоритмы расчетов разрабатываются самостоятельно;
• — алгоритмы расчетов не используются.

9.

Разработка алгоритмов расчетов отдельных операций осуществляется:

• — исполнителем по необходимости;
• — специалистом аудируемого лица, обслуживающим программное обеспечение;
• — специалистом аудируемого лица с санкции уполномоченного работника бухгалтерии. Тестирование проводится при его участии;
• — организацией-разработчиком на основании договора на обслуживание.

Необходимо указать важные особенности разработки алгоритмов расчета операций, которые не предусмотрены данным перечнем вопросов.

10.

В случае использования программного продукта, разработанного самостоятельно:

• — существует контакт с разработчиками программного продукта;
• — имеется техническое задание на разработку программного продукта;
• — имеются техническая документация и руководство пользователя;
• — имеется возможность вносить необходимые изменения в программный продукт, корректировать отчетные формы;
• — необходимые изменения вносятся с санкции уполномоченного работника бухгалтерии.

Необходимо указать иные важные особенности, связанные с разработкой и эксплуатацией программного продукта.

11.

Наличие возможности вывода данных о хозяйственных операциях (на печать или в файлы):

• — выводятся только сводные регистры и формы отчетности;
• — имеется возможность вывода промежуточных данных.

Как правило, все современные системы КОД позволяют распечатать промежуточные данные или вывести их в компьютерный файл.

Да.

Нет.

Подтверждающий документ.

Политика (стратегия) в сфере компьютерной обработки данных.

Имеется ли у аудируемого лица формальная (неформальная) политика (стратегия)?

Рассмотрело ли аудируемое лицо текущие (перспективные) требования к возможностям своей системы компьютерной обработки данных?

Существует ли план инвестиций в эту область?

Координируются ли (или утверждаются ли централизованно) приобретения (закупки)?

Соблюдается ли последовательность в приобретениях (закупках) — одна и та же марка продукции, один поставщик?

Имеется ли какое-либо специальное соглашение с поставщиками (например, об авторских правах, о параллельной работе машин на случай сбоя системы электронной обработки данных)?

Существуют ли планы производственного обучения персонала?

Организационные условия.

Имеется ли действующий отдел, отвечающий за системы компьютерной обработки данных?

Имеется ли должностное лицо, отвечающее за системы компьютерной обработки данных?

— Если ответ «да», укажите его Ф.И.О. и должность.

Входят ли в обязанности должностного лица, ответственного за системы компьютерной обработки данных, следующие области (если не входят, укажите, кто занимается этим):

• — закупки (приобретение);
• — документальное оформление (описание) систем;
• — обслуживание аппаратного оборудования;
• — обслуживание программного обеспечения;
• — установление контроля за допуском (пароли);
• — использование программ;
• — разработка новых программ;
• — копирование в целях безопасности (создание резервных копий)?

Все ли резервные копии хранятся у лиц, ответственных за функционирование систем компьютерной обработки данных?

Имеются ли у аудируемого лица внутренние правила, регулирующие установку и использование программ, на которые не было получено разрешения, включая «пиратские» копии таких программ и игры?

Имеется ли у аудируемого лица разделение обязанностей между лицами, отвечающими за платежи, и кассирами?

Имеется ли у аудируемого лица разделение обязанностей между лицами, занятыми бухучетом, и работниками, осуществляющими ввод первичной информации?

Развитие и обслуживание систем.

Используются ли у аудируемого лица только стандартные системы?

Если используются стандартные системы, — были ли эти системы модифицированы (скорректированы)?

Если используются специальные системы,.

• — проводилось ли программирование систем внештатными программистами?
• — имеются ли в пользовании системы, созданные самим аудируемым лицом?
• — кто разрабатывал (проектировал) эти системы?
• — имеются ли какие-либо документы по этим системам (планы разработки, данные испытаний, документация)?
• — каков порядок тестирования (утверждения к использованию) таких новых систем, прежде чем они будут внедрены?
• — каков порядок тестирования (утверждения к использованию) систем, подвергшихся изменениям, прежде чем они будут внедрены?

Производственные операции — безопасность при доступе.

Существует ли защита от хищений, например, сигнализация, закрепление (фиксация) аппаратуры на рабочих местах и т. п.

Используются ли пароли при запуске соответствующих программ?

Имеется ли система электронной записи, регистрирующая попытки получить доступ?

Меняются ли пароли систематически?

Знают ли пользователи о важности паролей (понимают ли их значение)?

Держатся ли пароли в памяти или записываются на бумаге?

Всегда ли производится отключение от компьютерной сети, когда персонал покидает рабочее помещение?

Имеется ли компьютерная сеть? Если да,.

• — какого типа?
• — имеют ли доступ пользователи к иным файлам, кроме своих собственных?
• — предусмотрен ли порядок персонального подключения к серверу?
• — внедрен ли в сеть контроль доступа на уровне файлов?
• — кто несет ответственность за этот контроль и какие иные функции выполняет это лицо?

Производственные операции — безопасность на уровне файлов.

Имеется ли несколько жестких дисков?

Разделены ли жесткие диски на несколько логических дисков?

Разделены ли программы и данные?

Имеются ли какие-либо файлы с защитными атрибутами (типа «скрытый файл»)?

Позволяет ли «вызов меню» осуществлять копирование (перемещение) файлов и форматирование?

Защищена ли функция «форматирование» против ошибочного использования?

Имеется ли какая-нибудь контрольная программа, которая отслеживает, какие пользователи работают в сети, какие файлы используются?

Производственные операции — безопасность текущих операций.

Запускаются ли программы из меню, структурированных должным образом?

Имеется ли какая-либо установившаяся практика борьбы против внедрившегося вируса, например, поиска антивирусной программы?

Производственные операции — безопасность внешних связей.

Имеются ли у аудируемого лица один или несколько модемов?

Существует ли защита паролем при пользовании модемом?

Меняются ли периодически эти пароли?

Имеются ли у аудируемого лица коммутационные модемы (модемы для коммутируемых линий)?

Используются ли для коммутируемого модема две телефонные линии?

Происходит коммуникация в обычной телефонной сети или в закрытой телефонной сети?

Имеются ли у аудируемого лица особо важные (секретные) данные?

Документальное оформление настройки систем.

Имеется ли какая-либо документация на особые установки или схемы используемого аппаратного оборудования или программного обеспечения, например, особые шрифты, наладку принтеров, формат счетов-фактур, характеристики других отчетных документов?

Имеется ли документальное оформление изменений в отдельных программах?

Имеется ли краткий обзор всех действующих инструкций для пользователей?

Имеется ли документация на программное обеспечение, разработанное самостоятельно, на образцы таблиц и. т. п.

Разрабатывала ли аудируемое лицо собственные инструкции для пользователей?

Физическая безопасность.

Используются ли стандартные программы, которые легко купить заново?

Имеет ли аудируемое лицо договор на обслуживание системы компьютерной обработки данных?

Имеется ли потребность в договоре на обслуживание системы компьютерной обработки данных?

Принимаются ли какие-либо меры против хищений, вандализма, пожара и пр.

Используются ли системы бесперебойного электропитания на случай аварийных ситуаций?

Имеется ли специальное заземление для системы компьютерной обработки информации?

Копирование в целях безопасности (создание резервных копий) и планы на случай чрезвычайной ситуации.

Разработаны ли надлежащие планы действий на случай чрезвычайных ситуаций?

Ведется ли электронная запись случаев, когда зарегистрировано отклонение от обычных производственных операций (от нормального функционирования)?

Какой носитель используется для записи и сохранения резервных копий (дискеты, накопитель на ленте, съемные жесткие диски, «зеркальный» диск для копирования и т. п.)?

Какое время требуется для создания резервной копии?

Защищается ли носитель информации от физического и морального износа путем периодической замены?

Как часто делаются резервные копии, и является ли это достаточным?

Сколько версий (поколений) резервных копий имеется?

Делаются ли периодически резервные копии программ и установок (параметров) наладки?

Имеется ли гарантия того, что все данные попадут в резервную копию?

Имеются ли «скрытые» файлы, которые не включаются в резервные копии?

Включена ли в меню опция «создание резервной копии»?

Обновляется ли меню, когда происходит смена системы?

Имеется ли в сети какая-либо гарантия, что открытые (находящиеся в работе) файлы будут включены в резервную копию?

Где хранятся резервные копии?

Хранятся ли резервные копии где-то вне аудируемого лица?

Может ли аудируемое лицо распечатать в читабельном виде данные, которые были созданы несколько лет назад?

Понимают ли пользователи важность создания резервных копий?

Ведется ли регулярный контроль за тем, чтобы резервные копии были читаемыми и могли при необходимости использоваться?