Получение аудитором знаний о бизнесе клиента

Получение информации аудитором о деятельности клиента и его среде, включая внутренний контроль и оценку риска существенных искажений финансовой отчетности регламентируется МСА 315 «Понимание бизнеса предприятия, его среды и оценка риска существенного искажения» .

Понимание бизнеса предприятия — это общее знание экономики и отрасли, в рамках которой действует субъект, а также более конкретные знания о том, каким образом субъект функционирует.

Целью знаний о бизнесе клиента является выявление и понимание событий, операций и методов работ, которые могут существенно повлиять на финансовую отчетность, методы аудиторской проверки и аудиторское заключение.

Получение аудитором знаний о бизнесе клиента стандартизировано и входит в круг аспектов, принимаемых во внимание аудитором при планировании аудита. Этому аспекту посвящен специальный международный стандарт аудита В МСА 315 «Понимание бизнеса предприятия, его среды и оценка риска существенного искажения» раскрывается понятие и необходимость понимания бизнеса клиента на всех стадиях аудита.

аудит финансовая отчетность клиент МСА 315 регламентирует порядок получения и применения знания о бизнесе клиента и осуществление следующих процедур по оценке рисков:

• 1) опрос должностных лиц организации, которые могут предоставить релевантную информацию о бизнесе клиента или системе внутреннего контроля, в первую очередь лиц, занимающих руководящие должности;
• 2) аналитические процедуры;
• 3) наблюдение;
• 4) инспектирование.

Задача аудитора — получить необходимые знания о субъекте, особенностях его бизнеса, среде, в которой функционирует организация, а также о системе внутреннего контроля. При этом необходимо отметить, что все процедуры по оценке риска проводятся как раз на этапе получения необходимых знаний о бизнесе клиента.

В качестве источников знаний об аудируемом лице могут использоваться: специализированные печатные издания; отчеты аналитиков, рейтинговых агентств, банков; законодательство, специфичное для отрасли клиента; опрос персонала организации разных уровней и прочие источники. В случае повторного аудита необходимо ознакомиться с информацией, собранной о клиенте в прошедшие годы, и отследить произошедшие изменения.

После завершения этапа получения знаний о клиенте и среде его деятельности специалисты аудиторской фирмы должны обсудить полученные знания с целью однозначного понимания аудиторской командой особенностей деятельности клиента, а также степени подверженности его отчетности рискам существенного искажения.

Согласно МСА 315 понимание бизнеса предприятия включает следующие составляющие:

• — внешние факторы: знание отрасли клиента, специфических требований законодательства в отношении бизнеса аудируемого лица и пр.;
• — основные характеристики клиента: форма собственности, организационная структура, стиль управления организацией, операционная, инвестиционная, финансовая деятельность и т. п. (сюда же включается учетная политика юридического лица: аудитор должен оценить ее рациональность, соответствие бизнесу, согласованность с применяемыми стандартами финансовой отчетности и деловой практикой, принятой в отрасли);
• — понимание стратегии развития предприятия и поставленных им целей, а также бизнес-рисков. Такой акцент не случаен. Например, поставленные нереалистичные для достижения цели являются риском существенного искажения отчетности, так как руководство клиента может поддаться соблазну фальсификации отчетности, дабы выдать желаемое за действительное. Необходимо отметить, что бизнес-риск — более широкое понятие, чем риск, который интересует аудитора, — риск существенного искажения отчетности;
• — оценка и обзор финансовых результатов предприятия, успешности его бизнеса (аудитором могут использоваться внутренние документы клиента, такие как документы управленческого учета, бюджеты, информация по сегментам и подразделениям, а также внешняя информация, например, содержащаяся в отчетах независимых экспертов);
• — система внутреннего контроля, в том числе:
• · контрольная среда;
• · процесс оценки рисков в организации;
• · информационная система;
• · процедуры контроля и контрольные действия;
• · мониторинг средств контроля.

Изучая информацию о бизнесе клиента и среде его деятельности, аудитору требуется знание только в той части, в которой оно необходимо для целей аудита.

МСА 315 подробно рассматривает понятие внутреннего контроля, которое является краеугольным для аудита, базирующегося на оценке рисков, то есть современной стадии развития аудита. Суть внутреннего контроля можно описать следующим образом: совокупность применяемых организацией средств и методов, позволяющих снизить бизнес-риски, угрожающие достижению таких целей организации, как соответствие данных финансовой отчетности фактическому состоянию дел, достижение эффективности и продуктивности осуществляемых операций, а также выполнение требований законодательства.

Любая, даже очень качественная, система внутреннего контроля имеет ограничения, которые при определенных обстоятельствах не позволят ей предотвратить искажения отчетности.

Невозможно создать систему, которая бы снижала риски до нуля. Например, система внутреннего контроля будет бессильна против сговора должностных лиц организации.

Охарактеризуем подробнее элементы системы внутреннего контроля.

• 1. Контрольная среда включает осведомленность, отношение и действия руководства в связи с обеспечением внутреннего контроля. При этом сама по себе контрольная среда не способна и не достаточна для предотвращения, выявления и исправления ошибок или мошенничества, влекущих за собой существенное искажение отчетности.
• 2. Процесс оценки рисков в организации — порядок выявления рисков менеджментом организации, оценки их последствий и управление рисками. Для целей финансовой отчетности процесс оценки рисков включает:
  • · выявление руководством рисков в связи с подготовкой достоверной и объективной финансовой отчетности в соответствии с принципами подготовки финансовой отчетности;
  • · оценку вероятности возникновения рисков;
  • · оценку «значимости» рисков;
  • · принятие решения по управлению рисками.

Если аудитором были обнаружены существенные недостатки процесса оценки риска руководством клиента, то необходимо сделать замечание руководителям клиента или сформулировать рекомендации по улучшению процесса оценки риска.

3. Информационная система охватывает бизнес-процессы, значимые для подготовки финансовой отчетности, а также систему коммуникаций между структурами юридического лица и непосредственно между его должностными лицами. К этой категории относится система бухгалтерского учета в организации, а именно процедуры, позволяющие инициировать хозяйственные операции, зарегистрировать и обработать их, обеспечить должный учет активов, обязательств и капитала, подготовить отчетность организации. Аудитор должен выяснить, как обеспечивается клиентом понимание сотрудниками их функций и ответственности по подготовке финансовой отчетности.

Важным для аудитора является изучение:

• · построения системы подготовки финансовой отчетности клиента;
• · распределения обязанностей и ответственности;
• · порядка принятия значимых решений, таких как определение оценочных значений или раскрытий при подготовке финансовой отчетности.
• 4. Процедуры контроля и контрольные действия должны быть направлены на организацию и поддержание таких областей внутреннего контроля, как:
  • — санкционирование операций;
  • — обзор результатов деятельности организации;
  • — обработка информации;
  • — физические средства контроля;
  • — распределение обязанностей между должностными лицами организации;
  • — другие действия.

Аудитор должен получить достаточное понимание контрольных действий, чтобы оценить риски существенных искажений на уровне предпосылок финансовой отчетности и разработать дальнейшие процедуры аудита, исходя из оцененных рисков. При этом аудитор должен анализировать только те контрольные действия, которые относятся к областям, наиболее подверженным существенным искажениям.

5. Мониторинг средств контроля — это процесс оценки качества функционирования внутреннего контроля. Аудитору важно понять, каким образом клиент осуществляет мониторинг и как при необходимости корректирует систему внутреннего контроля в части, относящейся к подготовке финансовой отчетности.

Следует отметить, что аудитору необходимо изучить систему внутреннего контроля только в той ее части, которая относится к подготовке отчетности.

Важным моментом в МСА 315 является оценка риска существенных искажений как на уровне финансовой отчетности в целом, так и на уровне предпосылок по каждому сальдо счета и классу операций.

Целью оценки рисков искажения финансовой отчетности является определение состава, объема и временных рамок дальнейших аудиторских процедур. Для этого аудитор должен выполнить следующие действия:

• — выявить риски, обусловленные особенностями среды деятельности и бизнеса клиента, его системы внутреннего контроля, а также типичными классами операций, раскрытиями, сделанными в отчетности;
• — проанализировать, как выявленные риски могут негативно повлиять на финансовую отчетность на уровне предпосылок при ее подготовке;
• — оценить значительность, вероятность и природу выявленных рисков;
• — определить, имеются ли значительные риски, требующие особого внимания со стороны аудитора (значительные риски, как правило, связаны с необычными для бизнеса клиента существенными операциями или суждениями);
• — определить рисковые области, где процедуры по существу не позволят получить достаточных надлежащих аудиторских доказательств.

В стандарте раскрывается процедура оценки выявленных рисков. В частности, проверяется, связан ли выявленный риск с риском мошенничества и внешними факторами, такими, как значительные изменения в законодательстве, экономике, стандартах бухгалтерского учета и т. п. Проверяется также значительность выявленных рисков, обусловленных сложностью операций и наличием существенных операций со связанными сторонами.

В соответствии с МСА, аудитору необходимо оценить связь риска с субъективностью оценок менеджмента при подготовке финансовой отчетности, оценить степень субъективности таких оценок (в особенности следует обратить внимание на оценки и суждения, связанные со значительной степенью неопределенности) и связан ли риск с существенными, нетипичными для бизнеса клиента операциями и т. д.

После того как аудитор выявил значительные риски, ему необходимо оценить степень надежности процедур контроля, направленных на снижение данных рисков.

В процессе аудита оценка рисков, произведенная на стадии планирования, должна пересматриваться, так как в результате аудиторских процедур будут выявляться новые факты, и полученная на стадии планирования информация будет уточняться.

В случае выявления рисков существенного искажения финансовой отчетности, которые организация не контролирует с помощью имеющихся средств контроля, а также при выявлении значительных недочетов в процессе оценки рисков организацией аудитору следует включить данные наблюдения в состав вопросов, подлежащих сообщению менеджменту организации соответствующего звена. Какая именно информация должна сообщаться и как определить, какому уровню администрации ее сообщать, посвящен МСА 260 «Сообщение аспектов аудита лицам, наделенным руководящими полномочиями» .

Информация о выявленных и оцененных рисках, основных моментах понимания бизнеса клиента, его системы внутреннего контроля, среды деятельности в обязательном порядке подлежит занесению в рабочие документы.

Отдельно документируются следующие риски и средства контроля, направленные на их снижение:

• — значительные риски;
• — риски, не позволяющие использовать только процедуры по существу, так как такие процедуры не предоставят достаточных надлежащих аудиторских доказательств.

Порядок получения аудитором информации о деятельности клиента в российской системе стандартов регламентирован ФПСАД № 15 «Понимание деятельности аудируемого лица». Российский стандарт существенно отличается от МСА 315. В частности, в нем не рассмотрены такие вопросы как:

• · характеристика внутреннего контроля и его основных элементов;
• · оценка риска существенного искажения финансовой отчетности;
• · порядок документирования проведенных процедур по получению информации о бизнесе клиента, системе внутреннего контроля и оценке рисков существенного искажения.

В целом все вышеперечисленные вопросы изложены в ФПСАД № 8 «Оценка аудиторских рисков и внутренний контроль, осуществляемый аудируемым лицом» .

Однако в российском стандарте, используется понятие «система бухгалтерского учета», в то время как в МСА 315 оно трактуется как «информационная система, связанная с целями финансовой отчетности». Понятие «риск существенного искажения» не рассматривается ни в одном российском стандарте. Основным отличием российского стандарта является и то, что система внутреннего контроля включает два компонента: контрольную среду и процедуры контроля, а в МСА — пять компонентов.