3.5. Оценка рисков и уровня существенности
Аудиторский риск – это вероятность наличия в отчетности невыявленных существенных искажений после подтверждения ее достоверности либо возможность признания существенных искажений в ней, в то время как на самом деле они отсутствуют, т.е. риск выражения аудитором ошибочного мнения.
Риск-ориентированный подход к аудиту сформирован в рамках системы Международных стандартов аудита (МСА). Аудитор, проводящий аудит в соответствии с МСА, должен получить разумную уверенность в том, что финансовая отчетность, рассматриваемая в целом, не содержит существенных искажений. Разумная уверенность аудитора основывается на накоплении аудиторских доказательств, необходимых для выражения аудитором мнения о том, подготовлена ли финансовая отчетность в соответствии с применяемыми принципами подготовки финансовой отчетности.
Соответственно, аудитор не гарантирует, что финансовая отчетность не содержит существенных искажений, так как абсолютную уверенность невозможно получить. Мнение аудитора не гарантирует ни будущую жизнеспособность организации, ни эффективность руководства при управлении организацией.
Задачей аудитора при проведении риск-ориентированного аудита является получение разумной уверенности в том, что финансовая отчетность не содержит существенных искажений, ни вызванных недобросовестными действиями, ни вызванных ошибками. Выполнение данной задачи включает в себя три основных этапа:
1) оценка рисков существенных искажений в финансовой отчетности;
2) разработка и выполнение аудиторских процедур для минимизации оцененных рисков искажений;
3) выпуск аудиторского заключения, основанного на результатах аудита.
Риск существенного искажения рассматривается в МСА как компонент аудиторского риска, т.е. риска того, что аудитор выражает ненадлежащее аудиторское мнение, когда финансовая отчетность содержит существенные искажения. Причем эти искажения могут являться результатом ошибки и недобросовестных действий.
Аудиторский риск, в свою очередь, является функцией рисков существенного искажения и необнаружения. Под риском необнаружения понимается риск того, что выполняемые аудитором процедуры, имеющие целью снизить аудиторский риск до приемлемо низкого уровня, не выявят существующего искажения, которое, рассматриваемое само по себе или в совокупности, может оказаться существенным. Риск существенного искажения отчетности представляет собой совокупную оценку неотъемлемого (внутрихозяйственного) риска и риска внутреннего контроля.
Неотъемлемый (внутрихозяйственный) риск – это вероятность существования ошибки, превышающей допустимую величину, до проверки системы внутреннего контроля клиента. Этот риск отражает подверженность искажениям счетов бухгалтерского учета, статей баланса, однотипных групп хозяйственных операций и отчетности в целом при условии отсутствия необходимых средств внутреннего контроля у клиента.
При оценке неотъемлемого риска аудитор полагается на свое профессиональное суждение, чтобы учесть следующие факторы:
- опыт и знания руководства клиента, а также изменения в его составе за определенный период (неопытность руководства может повлиять на подготовку отчетности);
- необычное давление на руководство (наличие обстоятельств, когда руководство склоняется к искажению отчетности под давлением материнской компании, холдинга; в результате нехватки капитала, чтобы избежать банкротства);
- характер деятельности аудируемого лица (потенциальная возможность морального устаревания производимой продукции или оказываемых услуг, отсутствие спроса);
- факторы, влияющие в целом на отрасль, в которой работает аудируемое лицо (состояние экономики данной отрасли, конкуренция).
Как правило, аудиторы устанавливают неотъемлемый риск при самых благоприятных условиях на уровне значительно выше 50%, а если есть основания для ожидания существенных искажений – 100%.
Риск средств контроля – это вероятность того, что существующая ошибка, превышающая допустимую величину, не будет обнаружена и предотвращена в системе внутреннего контроля. Этот вид риска определяет надежность и эффективность функционирования системы бухгалтерского учета и внутреннего контроля клиента.
До установления уровня контрольного риска аудиторы должны ознакомиться с системой внутреннего контроля клиента и оценить ее работу (обычно это делается с помощью тестов). Чем эффективнее работает система внутреннего контроля, тем ниже уровень риска. Если аудитор не проводит тестирование средств контроля, то он обязан установить риск средств контроля не ниже 100%.
Для оценки риска существенного искажения, как указывается в п. А36 МСА 200, аудитор может использовать модель, которая выражает общее соотношение компонентов аудиторского риска в математических терминах в целях достижения необходимого уровня риска необнаружения.
Здесь имеется в виду следующая математическая модель:
АР = HP × РСК × РН = РСИО × РН;
РСИО = HP × РСК,
где АР — аудиторский риск (в целом);
HP — неотъемлемый риск;
РСК — риск средств внутреннего контроля (также иногда называется просто риском внутреннего контроля или контрольным риском);
РН — риск необнаружения;
РСИ — риск существенного искажения отчетности.
Аудитор может проводить оценку неотъемлемого риска и риска внутреннего контроля и по отдельности, и в совокупности, в зависимости от выбранной методологии и техник аудита и практических соображений. Оценка рисков существенного искажения может выражаться в количественных терминах, например в процентах, или не в количественных терминах, т.е. в привычной для отечественной практики качественной оценке по шкале «высокий», «средний» или «низкий». В любом случае считается, что для аудитора важнее провести надлежащую оценку рисков, чем выбрать из различных подходов тот, которым он при этом может пользоваться.
Итак, можно обобщить требования МСА в отношении рассмотрения аудиторского риска с помощью схемы 1.
В соответствии с концепцией риск-ориентированного аудита для сокращения аудиторского риска до приемлемо низкого уровня аудитор должен оценить риски существенного искажения и ограничить риск необнаружения. Этого он добивается посредством выполнения аудиторских процедур, которые являются реакцией на оцененные риски существенного искажения на уровне финансовой отчетности в целом и на уровне предпосылок ее подготовки.
Риск-ориентированный аудит предусматривает, что сначала аудиторы должны понять деятельность организации, а затем оценить риски существенного искажения в ее финансовой отчетности. На основании оцененных рисков аудиторы определяют и выполняют дальнейшие аудиторские процедуры в отношении:
возможных неточностей в информации о сальдо счетов, видах операций или раскрытиях в финансовой отчетности либо неверно представленных или отсутствующих в ней данных;
возможного обхода руководством средств контроля и манипулирования финансовой отчетностью;
других недостатков в средствах контроля, которые могут привести к существенным искажениям в финансовой отчетности.
Кратко основные особенности риск-ориентированного подхода можно свести к следующему.
Процедуры оценки рисков частично можно выполнить на более раннем этапе отчетного периода организации, в том числе на основе информации, полученной в ходе прошлых аудитов, и на этапе принятия решения об обслуживании нового клиента или продолжении сотрудничества с клиентом по конкретному аудиторскому заданию.
Усилия аудиторской группы в ходе проведения аудита должны быть сфокусированы на выявлении основных зон рисков существенного искажения, при этом аудитор должен опираться на понимание деятельности аудируемого лица.
Последующие аудиторские процедуры по оцененным рискам разрабатываются для выполнения действий в ответ на конкретные оцененные риски. Соответственно можно существенно сократить или даже исключить проверки на основе детальных тестов, которые не привязаны к конкретным рискам.
Лучшее понимание системы внутреннего контроля (СВК) может позволить аудитору определять недостатки в ней, а своевременная передача информации об этих недостатках руководству позволит последнему принять надлежащие меры по их устранению.
МСА уделяют огромное внимание необходимости тщательно документировать каждое действие в рамках аудита, что может привести к росту расходов на аудит. Тщательное документирование направлено на то, чтобы аудиторский файл мог говорить сам за себя, без необходимости каких-либо устных пояснений, о том, как проводился аудит, почему и каким образом были получены аудиторские выводы.
В свою очередь, МСА 315 (и разработанный на его основе ПСАД № 8) рассматривает вопросы оценки риска существенного искажения и устанавливает требования и руководство для аудитора по выявлению и оценке данных рисков на уровне финансовой отчетности и на уровне предпосылок руководства в финансовой отчетности.
Основные новшества в анализе системы внутреннего контроля, предусмотренные требованиями ПСАД № 8, можно свести в первую очередь к следующим:
анализ СВК аудитор должен вести в разрезе пяти компонентов, предусмотренных п. 42 ПСАД № 8;
оценка СВК должна сочетать оценку качества процедур контроля и эффективности их применения и аудитор должен вести ее на основе профессионального суждения с точки зрения риска существенного искажения финансовой отчетности;
аудитор должен учитывать специфику внутреннего контроля, осуществляемого с помощью систем, основанных на применении вычислительной техники;
аудитор должен получить достаточное понимание контрольных действий, чтобы оценить риски существенных искажений на уровне предпосылок подготовки финансовой отчетности и разработать дальнейшие процедуры аудита с учетом оцененных рисков.
При исследовании процесса оценки организацией рисков аудитор определяет, как руководство организации выявляет риски хозяйственной деятельности, относящиеся к финансовой отчетности, оценивает их значимость, вероятность появления и принимает меры по противодействию им. Построенный адекватно процесс оценки рисков помогает аудитору при определении рисков существенных искажений информации. Таким образом, ПСАД № 8 рассматривает риски существенного искажения финансовой отчетности, которые составляют предмет оценки аудитором, как подмножество рисков хозяйственной деятельности организации (см. схему 2).
В качестве признаков, которые указывают на то, что выявленный риск существенного искажения может рассматриваться как значимый, ПСАД № 8 выделяет:
связь данного риска с недобросовестными действиями;
связь риска с недавними существенными изменениями в отрасли, новыми требованиями по ведению учета и подготовке отчетности или иными подобными обстоятельствами;
повышенную сложность хозяйственных операций;
связь риска с операциями со связанными сторонами, которые имеют важное значение для отчетности;
высокую степень субъективности при расчете некоторых оценочных значений, содержащихся в финансовой (бухгалтерской) отчетности, связанную с рисками, которые сопутствуют оценке значений некоторых показателей, при отсутствии точных способов их определения;
связь риска с хозяйственными операциями, кажущимися необычными или нетипичными для деятельности аудируемого лица и имеющими важное значение для отчетности.
Стоит также обратить внимание на требования по документальному отражению в аудиторском файле соблюдения новых положений ПСАД № 8, поскольку именно на основании аудиторской документации можно оценить соблюдение стандартов в ходе аудита. Обязательному документированию подлежат следующие описанные аудиторские процедуры и полученные аудитором оценки:
обсуждения аудиторской группой подверженности финансовой отчетности предприятия существенным искажениям вследствие ошибки или мошенничества и выработанные важные решения (в аудиторских файлах должны быть подшиты соответствующие протоколы);
ключевые элементы понимания каждого аспекта предприятия и его среды, включая каждый элемент СВК, для оценки рисков существенных искажений финансовой отчетности, в том числе источники информации, используемые для достижения понимания деятельности аудируемого лица и процедуры оценки риска;
выявленные и оцененные риски существенных искажений как на уровне финансовой отчетности в целом, так и на уровне предпосылок подготовки финансовой отчетности;
выявленные значимые риски.
В каждой конкретной проверке аудитор должен установить приемлемый уровень аудиторского риска, который он готов на себя взять. При этом чем меньше будет его величина, тем к большей уверенности в достоверности отчетности будет стремиться аудитор.
На практике аудиторский риск принимается обычно равным 5% (приемлемая величина). Аудиторская фирма, позволяющая себе риск больше 5%, считается не в состоянии провести качественную аудиторскую проверку.
Для оценки значимости вопросов, раскрываемых в финансовой отчетности, аудиторами используется показатель уровня существенности. Аудиторское суждение о существенности для финансовой отчетности не измеряется в денежных единицах. Тем не менее, на практике при планировании аудита аудитор должен решить, какая сумма будет существенной для проверяемой финансовой отчетности.
В соответствии с ПСАД №4, информация считается существенной, если ее пропуск или искажение может повлиять на экономические решения заинтересованных в данной информации пользователей.
Существенность характеризуется величиной пропуска, неточности или неправильной трактовки фактов хозяйственной жизни компании, значимой для пользователей финансовой отчетности.
Существенность является высоко субъективным фактором, и аудитор должен использовать свое профессиональное суждение для оценки того, что является существенным. При этом учитывается, что существенность имеет две стороны:
количественную
качественную
Количественная составляющая существенности выражается через предельное / пороговое значение (количество) ошибки отчетности, начиная с которого пользователь с большой степенью вероятности перестанет быть в состоянии делать на ее основе правильные выводы и принимать правильные экономические решения. Т.е. уровень существенности с количественной стороны выражается конкретной суммой / значением допустимой ошибки.
Но не всегда нарушение можно оценить в денежном выражении. Качественная сторона существенности учитывает характер (качество) искажений. Примерами качественных искажений являются:
недостаточное или неадекватное описание учетной политики, когда существует вероятность того, что пользователь отчетности будет введен в заблуждение таким описанием
отсутствие раскрытия информации о нарушении нормативно-правовых требований, когда существует вероятность того, что последующее применение санкций сможет оказать значительное влияние на результаты деятельности
Информацию о таких нарушениях обязательно следует указывать в аудиторском отчете с тем, чтобы руководство аудируемого лица стремилось в кратчайшие сроки их устранить.
Существенность должна рассматриваться в два этапа:
При планировании аудиторских процедур аудитор устанавливает предварительный уровень существенности.
На завершающей стадии аудита - при формировании аудиторского мнения - проводится уточнение уровня существенности.
Формирование предварительного суждения о существенности
Выбор критерия существенности является наиболее трудным решением в профессии аудитора, поскольку стандарты аудиторской деятельности не устанавливают конкретного порядка исчисления размера существенности. Тем не менее, на практике аудитор должен решить, какая сумма будет существенной для финансовой отчетности клиента.
В общем случае для этого используются 2 принципа:
1. Принцип относительности. Абсолютная сумма, например, 500 000 рублей, для всех компаний не применима. Поэтому принципы существенности должны быть относительными на какой-то основе.
2. Принцип базового показателя. Аудитору необходимо определить некий базовый показатель, который явится основой существенности. Существенность не может определяться одновременно несколькими базовыми показателями и даже в том случае, если эти показатели в полной мере отражают деятельность компании. Критерий существенности должен быть один. Это требование содержится в МСА 320 "Существенность в аудите".
В материалах международной программы ТACIS, посвященных реформе российского аудита (г. Москва, 2002 г.), приведена методика, согласно которой, уровень существенности определяется как среднеарифметическое значение из нескольких базовых показателей. И на первый взгляд, может показаться, что эта методика противоречит сказанному. Тем не менее, методика приемлема, поскольку уровень существенности, как критерий, устанавливается один. В настоящей методике предлагается подход к расчету уровня существенности, основанный на одном базовом показателе. Принципы, лежащие в основе этого подхода, излагаются чуть ниже.
Выбор конкретных показателей зависит от характера, масштаба и условий бизнеса клиента. Также на выбор влияют результаты финансовой деятельности компании, круг возможных пользователей финансовой отчетности и другие факторы.
Базовыми показателями для расчета уровня существенности на стадии планировании аудита чаще всего являются:
прибыль до налогообложения;
объем выручки от реализации продукции (товаров, работ, услуг);
среднегодовая величина активов баланса;
среднегодовая величина собственного капитала;
сумма расходов организации.
Выбор крупных значений показателей финансовой отчетности, например, валюты баланса или совокупного дохода (выручки от продаж) в качестве сумм, существенных для финансовой отчетности в целях планирования, более предпочтителен, нежели выбор прибыли до налогообложения. Прибыль, рассчитываемая для целей налогообложения, - слишком неустойчивый показатель для того, чтобы быть полезным в качестве основы для существенности. Если аудиторы применят для расчета уровня существенности более стабильные суммы, типа выручки от продаж или валюты баланса, то это будет означать, что объем аудита больше определен размером компании, чем результатами деятельности за определенный период.
Такие показатели, как валюта баланса, общая стоимость имущества, выручка от продаж, более традиционны для действующих компаний. Для вновь созданных же компаний более предпочтительным показателем может явиться размер собственного капитала.
Выбранная основа должна обладать относительной стабильностью и предсказуемостью и характеризовать масштаб деятельности компании. При развивающемся бизнесе компании валюта баланса и выручка обычно представляют собой стабильные показатели.
Как правило, уровень существенности рассчитывается путем умножения процентной доли на значение выбранного показателя. Стандарты аудита не устанавливают прямых требований к размеру процентной доли для расчета существенности. Поэтому на практике многие аудиторы в качестве основы берут 2-10% от выбранного показателя. Конкретный процент в большей степени зависит от масштаба компании.
Процентные доли должны быть определены внутренней инструкцией аудиторской организации и применяться на постоянной основе. Чаще всего они составляют:
5% от прибыли до налогообложения
2% от выручки
2% от суммы активов
10% от собственного капитала
2% от суммы расходов