Ідентифікація, документування і тестування процедур контролю

58. Мса 400 «Оцінка ризиків та внутрішній контроль»4 зазначає, що заходи внутрішнього контролю, що стосуються облікової системи, спрямовані на досягнення цілей, наведених нижче:

• здійснення операцій за загальним чи спеціальним дозволом управлінського персоналу (параграфи 59—61);

• своєчасний облік усіх операцій та інших подій у правильних сумах, на відповідних рахунках і в належному звітному періоді так, щоб уможливити складання фінансової звітності відповідно до застосовної концептуальної основи фінансової звітності (параграфи 62 і 63);

• можливість доступу до активів і записів лише з дозволу управлінського персоналу (параграфи 64 і 65);

• порівняння відображених в обліку активів з наявними активами через обґрунтовані проміжки часу і вжиття відповідних заходів щодо будь-яких розбіжностей (параграфи 66 і 67).

Міркування аудитора стосовно кожної із зазначених вище цілей обговорюються далі.

У випадку банків ще однією метою заходів внутрішнього контролю е забезпечення належного виконання банком своєї відповідальності щодо нормативних і фідуціарних зобов'язань, які виникають унаслідок довірчих операцій. Аудитор не має прямого відношення до цих цілей, за винятком того, що порушення цих зобов'язань може призвести до суттєвого викривлення фінансової звітності.

МСА 400 «Оцінка ризиків та внутрішній контроль» вилучено в грудні 2004 р. після набуття чинності МСА 315 «Ідентифікація та оцінка ризиків суттєвих викривлень через розуміння суб'єкта господарювання і його середовища» та МСА 330 «Дії аудитора у відповідь на оцінені ризики» .

Здійснення операцій за загальним або спеціальним дозволом управлінського

персоналу

59. Загальну відповідальність за систему внутрішнього контролю в банку несуть ті, кого наділено найвшцими повноваженнями, які відповідають за управління діяльністю банку. Проте оскільки операції банку, як правило, різноманітні й географічно розосереджені, функції прийняття рішень потрібно децентралізувати, і повноваження з прийняття зобов'язань на проведення від імені банку суттєвих операцій також, як правило, географічно розосереджені й делегуються різним рівням управлінського персоналу та працівників. Подібне розосередження й делегування повноважень майже завжди характерне для діяльності з кредитування, казначейських операцій та переказу коштів, якщо, наприклад, інструкції з платежів пересилаються за допомогою передачі зашифрованого повідомлення. Ця відмітна риса банківської діяльності зумовлює потребу в упорядкованій системі делегування повноважень, а отже, в офіційній ідентифікації й документуванні:

а) працівників, які мають право видавати дозвіл на здійснення конкретних операцій;

б) процедур, яких слід дотримуватися при видачі дозволів;

в) обмежень сум, на які можна видавати дозвіл, на рівні окремих працівників або категорій працівників, а також будь-яких можливих вимог щодо дублювання дозволів.

Ті, кого наділено найвищими повноваженнями, також мають забезпечувати існування відповідних процедур для моніторингу рівня ризиків. Як правило, це передбачає агрегування ризиків не тільки в межах певних видів діяльності, а й за різними видами діяльності, відділеннями і філіями банку.

60. Перевірка заходів контролю за наданням дозволів буде важливою для аудитора під час розгляду того, чи здійснюються операції відповідно до політик банку. Наприклад, у разі діяльності з кредитування аудитору слід розглянути, чи піддавали кредити прийнятним процедурам оцінки кредиту перш ніж були видані кошти. Аудитор зазвичай виявляє, що обмеження рівня ризику існують стосовно різних типів операцій. При виконанні тестів контролю аудитор розглядає, чи дотримуються цих обмежень, а також чи своєчасно повідомляються відомості про будь-які перевищення таких обмежень управлінському персоналу відповідного рівня.

61. З погляду аудиту належне функціонування заходів контролю банку за видачею дозволів особливо важливе щодо операцій, проведених на дату чи близько до дати складання фінансової звітності, коли не всі аспекти операції ще виконано або немає доказів, на основі яких оцінюється вартість придбаних активів чи понесених зобов'язань. Прикладом таких операцій можуть бути зобов'язання з купівлі чи продажу певних цінних паперів після кінця періоду та позики, за якими виплати основної суми позики і відсотків позичальник ще має зробити.

Усі операції та інші події реєструють негайно в точних сумах на відповідних рахунках і в належному звітному періоді для того, щоб уможливити складання фінансової звітності відповідно до застосованої концептуальної основи фінансової звітності

62. Розглядаючи заходи контролю, які управлінський персонал використовує для забезпечення належного обліку всіх операцій та інших подій, аудитор бере до уваги низку особливо важливих у банківському середовищі чинників:

• банки здійснюють великий обсяг операцій, що можуть окремо та в сукупності залучати великі суми грошей. Відповідно банк повинен мати процедури закриття рахунків і звірки, які виконуються у строки, що дають змогу виявити помилки та розбіжності, щоб їх можна було вивчити і виправити з мінімальним збитком для банку. Такі процедури можуть виконуватися щогодини, щодня, щотижня чи щомісяця залежно від обсягу, характеру операції, рівня ризику і строків розрахунків за операціями. Часто метою таких звірок є забезпечення повноти обробки операцій у комплексних інтегрованих системах ІТ; як правило, ці системи здійснюють такі звірки автоматично;

• багато операцій, оприбуткованих банками, підлягають особливим обліковим правилам. Банкам слід мати процедури контролю для того, щоб забезпечити застосування цих правил у складанні фінансової інформації для управлінського персоналу і зовнішньої звітності. Прикладом таких процедур контролю є процедури, в результаті яких проводиться переоцінка за ринковою вартістю іноземної валюти і зобов'язань з купівлі та продажу цінних паперів, для забезпечення відображення всіх нереалізованих прибутків та збитків;

• інформація про деякі операції, що здійснюються банками, не розкривається у фінансовій звітності (наприклад, операції, які згідно з концептуальною основою обліку можна вважати позабалансовими статтями). Відповідно процедури контролю потрібні для того, щоб забезпечити облік і моніторинг цих операцій так, щоб управлінський персонал мав можливість належно контролювати їх і своєчасно визначати будь-які зміни в їх статусі, результатом чого має бути відображення прибутку чи збитку;

• банки постійно розробляють нові фінансові послуги і продукти. Аудитор розглядає, чи внесено потрібні зміни до процедур бухгалтерського обліку та до відповідних заходів внутрішнього контролю;

• залишки на кінець дня можуть відображати обсяг операцій, оброблених банківськими системами, чи максимальну можливість збитків протягом робочого дня. Особливо це характерно для здійснення й обробки операцій в іноземній валюті та з цінними паперами. Оцінюючи заходи контролю на цих ділянках, слід брати до уваги здатність забезпечувати контроль протягом періоду максимального обсягу чи максимального рівня фінансових ризиків;

• більшість банківських операцій слід реєструвати так, щоб їх можна було перевірити як усередині банку, так і зовні — за клієнтами і контрагентами. Ступінь деталізації реєстрації та ведення окремих операцій повинен давати змогу управлінському персоналу, контрагентам з операцій і клієнтам банку перевіряти точність сум і строків. Прикладом такого контролю може слугувати безперервна перевірка бланків реєстрації операцій в іноземній валюті, що здійснюється працівником, який не бере участі в операціях і звіряє бланки з підтвердженнями, що надходять від контрагентів.

63. Широке використання систем IT і ЕПК суттєво впливає на те, як аудитор оцінює облікову систему й відповідні заходи внутрішнього контролю банку. МСА 400, МСА 401 «Аудит у середовищі комп'ютерних інформаційних систем» і ПМПА 1008 «Оцінки ризику та внутрішній контроль: характеристики і особливості КІС»⁵ дають рекомендації щодо аспектів IT для таких оцінювань, так само як і інші ПМПА, які розглядають інформаційні технології. Аудиторські процедури включають оцінку тих заходів контролю, які впливають на розробку та модифікацію системи, доступ до системи і введення даних, безпеку комунікаційних мереж і планування заходів за надзвичайних обставин. Подібні підходи застосовують до операцій з ЕПК у межах банку. Тією мірою, якою ЕПК та інші системи використовуються за межами банку, аудитору слід приділити додаткову увагу оцінці цілісності заходів контролю з нагляду до моменту здійснення операції, а також процедур підтвердження і звірки після її здійснення. Тут можуть бути корисними звіти аудиторів організацій, що надають послуги; МСА 402 дає рекомендації з розгляду аудитором таких звітів.

Доступ до активів можливий тільки з дозволу управлінського персоналу

63. Часто активи банку є легко переміщуваними, мають високу вартість і перебувають у такій формі, що не можна гарантувати їх збереженість лише завдяки фізичним процедурам. Для того щоб доступ до активів

МСА 400 «Оцінка ризиків та внутрішній контроль», МСА 401 «Аудит у середовищі комп'ютерних інформаційних систем» та ПМПА 1008 «Оцінки ризику та внутрішній контроль: характеристики й особливості КІС» було вилучено в грудні 2004 р. після набрання чинності МСА 315 «Ідентифікація та оцінка ризиків суттєвих викривлень через розуміння суб'єкта господарювання і його середовища» та МСА 330 «Дії аудитора у відповідь на оцінені ризики».

відбувався лише з дозволу управлінського персоналу, банк зазвичай використовує такі заходи контролю:

• паролі та процедури спільного доступу для обмеження доступу д₀ систем ІТ і ЕПК лише уповноваженими працівниками;

• розподіл функцій, пов'язаних із веденням бухгалтерського обліку і зберіганням (включаючи використання звітів, генерованих комп'ютером, про підтвердження операцій, доступних негайно і лише працівникам, які відповідають за функції ведення обліку);

• часті підтвердження третіх сторін і звірки позицій активів незалежним працівником.

63. Аудитор розглядає, чи функціонує ефективно кожен із цих заходів контролю. Проте беручи до уваги суттєвість і можливість переміщення відповідних сум, аудитор також перевіряє процедури підтвердження і звірки, що проводяться у зв'язку зі складанням фінансової звітності на кінець року, та може сам виконати процедури підтвердження.

Порівняння відображених в обліку активів з наявними активами здійснюється через обґрунтовані проміжки часу і вжиття відповідних заходів щодо будь-яких розбіжностей

63. Великі суми активів, якими розпоряджається банк, обсяг здійснюваних операцій, можливість зміни вартості цих активів унаслідок коливань ринкових цін і важливість підтвердження безперервного функціонування заходів контролю за доступом і видачею дозволів зумовлюють потребу частого використання звірки як заходу контролю. Це особливо важливо стосовно:

а) активів, які вільно обертаються, таких як кошти, цінні папери на пред'явника та активи у вигляді депозитів і позицій із цінних паперів в інших установах, коли нездатність вчасно виявити помилки й розбіжності часто (це означає щодня, якщо проводяться операції на ринку короткострокових зобов'язань) може призвести до непоправних збитків. Процедури звірки, що здійснюються для досягнення цієї мети контролю, зазвичай ґрунтуються на фізичному підрахунку і підтвердженні третіх сторін;

б) активів, вартість яких визначається посиланням на моделі оцінки чи ціни на зовнішніх ринках, таких як цінні папери та валютні контракти;

в) активів, утримуваних за дорученням клієнтів.