2.2 Анализ и оценка системы внутреннего контроля аудируемого лица

В ходе понимания деятельности аудируемого лица аудитор должен ознакомиться с системой внутреннего контроля. Аудитор должен получить понимание системы внутреннего контроля организации в части, значимой для проведения аудита. Несмотря на то, что большинство средств контроля, которые являются значимыми для аудита, как правило, связаны с финансовой отчетностью, не все средства контроля, связанные с финансовой отчетностью, являются значимыми для аудита. Вопрос о том, является ли средство контроля в отдельности или в сочетании с другими значимым для проводимого аудита, представляет собой предмет применения профессионального суждения аудитора.

Аудитор должен получить понимание системы внутреннего контроля организации в части, значимой для проведения аудита. Несмотря на то, что большинство средств контроля, которые являются значимыми для аудита, как правило, связаны с финансовой отчетностью, не все средства контроля, связанные с финансовой отчетностью, являются значимыми для аудита. Вопрос о том, является ли средство контроля в отдельности или в сочетании с другими значимым для проводимого аудита, представляет собой предмет применения профессионального суждения аудитора.

Характер и объем понимания соответствующих средств контроля. При получении понимания значимых для проводимого аудита средств контроля аудитор должен проанализировать их структуру и с помощью дополнительных процедур, помимо направления запросов персоналу организации, установить, внедрены ли они на практике.

Системы внутреннего контроля включает в себя следующие компоненты:

1. Контрольная среда Аудитор должен получить понимание контрольной среды. В ходе получения такого понимания контрольной среды аудитор должен оценить:

• — была ли создана и поддерживается ли руководством под надзором лиц, отвечающих за корпоративное управление, культура честности и этического поведения;
• — обеспечивают ли сильные стороны элементов контрольной среды в совокупности надлежащую основу для других компонентов внутреннего контроля, а также не оказывают ли недостатки контрольной среды негативного влияния на другие компоненты внутреннего контроля.
• 2. Процесс оценки рисков в организации

Аудитор должен получить понимание того, осуществляются ли в организации следующие процессы:

• — выявление бизнес-рисков, значимых для целей финансовой отчетности;
• — оценка значительности рисков;
• — оценка вероятности возникновения рисков;
• — принятие решений о мерах по снижению таких рисков.

Если в организации применяется такой процесс («процессом оценки рисков организации»), аудитор должен достичь понимания как самого процесса, так и результатов его применения. Если аудитор выявляет риски существенного искажения, которые не смогло выявить руководство, он должен оценить, нет ли в основе этих рисков такого типа риска, который, согласно ожиданиям аудитора, должен был быть выявлен процессом оценки рисков организации. Если такой риск существует, аудитор должен получить понимание того, почему он не был выявлен в процессе оценки рисков, и оценить, соответствуют ли процессы обстоятельствам, или определить, имеются ли в организации значительные недостатки в системе внутреннего контроля в части процесса оценки рисков.

Если такой процесс в организации не осуществляется или применяется в отношении отдельного случая, аудитор должен обсудить с руководством вопрос о том, были ли выявлены бизнес-риски, являющиеся значимыми для целей финансовой отчетности, и какие меры приняты по их устранению. Аудитор должен оценить, является ли отсутствие документально оформленного процесса оценки риска надлежащим в данных обстоятельствах или это является значительным недостатком системы внутреннего контроля (см. пункт A88).

3. Информационная система, связанная с финансовой отчетностью, в том числе соответствующие бизнес-процессы, и информационное взаимодействие Аудитор должен получить понимание информационной системы, включая соответствующие бизнес-процессы, относящиеся к подготовке финансовой отчетности, в том числе следующих аспектов:

• — виды операций в рамках деятельности организации, являющиеся значительными для финансовой отчетности;
• — процедуры, как в системе с применением информационных технологий (ИТ), так в системе ручной обработки данных, с помощью которых такие операции инициируются, записываются, обрабатываются и по мере необходимости корректируются, переносятся в основной регистр и отражаются в финансовой отчетности;
• — соответствующие данные бухгалтерского учета, подтверждающая информация и конкретные счета, которые используются для инициирования, учета, обработки и отражения в финансовой отчетности; в том числе исправление ошибочных данных и способы переноса информации в основной регистр. Записи могут выполняться как вручную, так и в электронном формате;
• — то, каким образом информационная система фиксирует события и условия, помимо операций, которые являются значимыми для финансовой отчетности;
• — процесс подготовки финансовой отчетности, в том числе значительные оценочные значения и раскрытия информации;
• — средства контроля в отношении бухгалтерских записей, включая нестандартные бухгалтерские записи, применяемые для учета разовых, необычных операций или корректировок.

Аудитор должен получить понимание того, каким образом организация сообщает информацию о функциях и обязанностях при подготовке финансовой отчетности, а также о значимых вопросах, связанных с финансовой отчетностью, включая следующие:

• — информационное взаимодействие с руководством и лицами, отвечающими за корпоративное управление;
• — сообщение информации третьим сторонам, например, регулирующим органам.
• 4. Контрольные действия, значимые для проводимого аудита

Аудитор должен получить понимание тех контрольных действий, значимых для проводимого аудита, которые, по мнению аудитора, необходимо изучить, чтобы оценить риски существенного искажения на уровне предпосылок и разработать дальнейшие аудиторские процедуры в ответ на оцененные риски. Для проведения аудита не требуется изучение всех контрольных действий, связанных с каждым значительным видом операций, остатком по счету и раскрытием в финансовой отчетности или с каждой соответствующей предпосылкой.

При изучении контрольных действий в организации аудитор должен получить понимание того, каким образом организация отвечает на риски, возникающие вследствие использования.

5. Мониторинг средств контроля Аудитор должен получить понимание основных действий, которые используются организацией для мониторинга внутреннего контроля за финансовой отчетностью, включая те действия, которые относятся к контрольным, значимым для аудита, а также понимания порядка инициирования действий по устранению недостатков в средствах контроля организации.

Если в организации есть служба внутреннего аудита, аудитор должен получить понимание обязанностей этой службы, а также ее статуса в структуре организации и характера осуществляемой или планируемой деятельности.

Аудитор должен понимать источники информации, используемые организацией для мероприятий по мониторингу, а также основания, в соответствии с которыми руководство организации делает вывод, что информация является достаточно надежной для этих целей.

В ходе оценки контрольной среды зафиксирован низкий уровень надежности по вопросам стратегического планирования. Организация недостаточно использует разделение обязанностей труда, организационная структура компании не полностью соответствует деятельности компании, так как ей требуется создание собственной бухгалтерии в качестве подразделения организации. Данные факторы снижают эффективность деятельности организации.

Из данных таблицы видно, что из 14 пунктов анализа надежности системы бухгалтерского учёта большинство получили средние оценки, а некоторые и вовсе низкие. Объясняется это тем, что отсутствуют обязательные приложения к учётной политике, такие как график документооборота, инвентаризации, рабочий план счетов. Ухудшает ситуацию тот факт, что учёт ведется кампанией аусоресом, что затрудняет обмен данными между подразделения организации и снижает качество ведения аналитического учёта. В целом, уровень действующей системы бухгалтерского учёта организации низкий.

Предварительная оценка средств контроля показала, что сведения о проведении инвентаризации в ООО «ХХХ» отсутствуют, что лишает организацию дополнительных средств контроля деятельности, а также отсутствие положения об инвентаризации является нарушение законодательства.

Для целей проведения аудиторской проверки заполнена рабочая таблица, где каждый элемент учётной политики сопровожден ответами на поставленные вопросы и примечания.

Проанализировав данные тестов, был установлен аудиторский риск на уровне 5%, неотъемлемый риск рассчитан на уровне 58%, риск средств контроля рассчитан на уровне 46%. Риск необнаружения будет равен 0,05 / (0,58×0,46) = 0,185×100% = 18,5%. Также в ходе расчётов был установлен уровень существенности, равный 184 тыс. рублей.