4.2. Понимание бизнеса предприятия, его среды и оценка риска существенного искажения.

Порядок получения информации о деятельности предприятия и его среде, включая внутренний контроль, а также оценки риска су­щественных искажений финансовой отчетности регламентируются Международным стандартом аудита № 315 «Понимание бизнеса предприятия, его среды и оценка риска существенного искажения».

Аудитор должен обладать знаниями о деятельности предприятия и его среде, включая внутренний контроль, достаточными для выявле­ния и оценки риска существенных искажений финансовой отчетности, которые являются результатом мошенничества или ошибок, а также для разработки и выполнения дальнейших аудиторских процедур.

Полученное представление о деятельности предприятия и его среде является основой, в рамках которой планируется аудит и вы­ражается профессиональное суждение в отношении оценки риска су­щественных искажений финансовой отчетности и ответных действий на оцененные риски.

На всех стадиях аудиторской проверки аудитор выражает про­фессиональное суждение по вопросам, для решения которых важно знание бизнеса:

• определение уровня существенности и оценка того, насколько выбранный уровень существенности остается адекватным в течение всей аудиторской проверки; анализ соответствия выбора и применения учетной политики и адекватности сведений, раскрываемых в финансовой отчетности;

• определение областей, где может потребоваться специальное аудиторское рассмотрение;

• разработка прогнозных значений, используемых при выполне­нии аналитических процедур;

• разработка и выполнение дальнейших аудиторских процедур, необходимых для снижения аудиторского риска до приемлемо низ­кого уровня;

• оценка достаточности и уместности полученных аудиторских доказательств.

Процедуры оценки риска и источники информации о бизнесе предприятия и его среде, включая внутренний контроль. С целью получения представления о бизнесе фирмы-клиента и его среде, включая внутренний контроль, аудитор должен выполнить следую­щие процедуры оценки риска:

а) направление запросов руководству и другим сотрудникам фирмы-клиента;

б) аналитические процедуры;

в) наблюдение и инспектирование.

Кроме того, информация, полученная при проведении других ау­диторских процедур, также может быть полезна при выявлении рис­ков существенных искажений. Например:

• направление запросов внешнему юрисконсульту или эксперту по оценке, который был привлечен фирмой-клиентом.

• обзор информации, полученной из внешних источников, таких как отчеты аналитиков, банков или рейтинговых агентств, публика­ции торговых и экономических журналов, публикации регулирую­щих и финансовых органов.

Хотя большая часть информации может быть получена аудито­ром за счет запросов, направленных руководству фирмы-клиента и лицам, ответственным за подготовку финансовой отчетности, за­просы, адресованные сотрудникам других подразделений", например, производственного, службы внутреннего аудита, прочим служащим различного уровнях организационной структуры фирмы-клиента так­же могут предоставить сведения, полезные для выявления рисков существенных искажений. При определении других сотрудников, ко­торым могут быть направлены прямые запросы, аудитор должен рас­смотреть, какая информация будет полезной для выявления рисков существенных искажений. Например:

• запросы, адресованные лицам, отвечающим за управление, мо­гут помочь понять условия, в которых осуществляется подготовка финансовой отчетности (внешние факторы, оказывающие воздейст­вие на руководство в процессе подготовки финансовой отчетности);

• запросы, адресованные персоналу службы внутреннего аудита, могут предоставить сведения об организации и эффективности функционирования системы внутреннего контроля, а также действи­ях руководства по отношению к службе внутреннего аудита;

• запросы, адресованные персоналу, ответственному за сбор, об­работку и регистрацию сложных или необычных хозяйственных опе­раций, могут помочь аудитору в оценке соответствия выбора и при­менения учетной политики;

• запросы, адресованные юридической службе субъекта, 'могут предоставить информацию о судебных делах и претензиях, соответ­ствии законам и инструкциям, об имеющихся или предполагаемых фактах мошенничества, сделках с деловыми партнерами и условиях договоров;

• запросы, адресованные персоналу службы маркетинга, могут предоставить сведения об изменениях в маркетинговых планах субъ­екта, тенденциях в бизнесе, договорных условиях с клиентами.

Аналитические процедуры проводятся с целью выявления не­обычных операций, событий, значений, показателей и тенденций, ко­торые оказывают влияние на финансовую отчетность. При примене­нии аналитических процедур в качестве процедур оценки риска ау­дитор разрабатывает прогнозы о вероятных взаимосвязях, которые, как предполагается, будут существовать. Если в ходе сравнения про­гнозных значений с зарегистрированными показателями были выяв­лены отклонения, аудитор полагает, что существует риск существен­ного искажения финансовой отчетности.

Наблюдение и инспектирование проводится с целью подтвержде­ния информации, полученной в результате запросов руководству и другим сотрудникам фирмы-клиента и получения информации о деятельности предприятия и его окружающей среде. Эти процеду­ры обычно включают:

• наблюдение за деятельностью и хозяйственными операциями фирмы-клиента;

• проверку документов, отчетов и инструкций внутреннего кон­троля;

• рассмотрение отчетов, подготовленных руководством и лицами, осуществляющими управление;

• посещение помещений и производственных зданий субъекта;

• прослеживание операций по информационной системе соответ­ствующей финансовой отчетности (сквозной тест).

Если аудитор предполагает использовать информацию о деятель­ности предприятия и его среде, полученную при предыдущих про­верках, он должен определить, произошли ли изменения в деятель­ности предприятия, которые могут повлиять на актуальность такой информации для текущего аудита. Для проведения текущего ауди­торского задания предыдущий опыт аудитора в отношении проверяе­мой фирмы-клиента помогает понять его состояние. Например, про­цедуры аудита, проведенные во время предыдущей проверки, обычно предоставляют аудиторские доказательства об организационной структуре фирмы-клиента, его бизнесе и средствах контроля, а также информацию о прошлых искажениях и своевременности их исправ­ления. Это помогает аудитору при оценке рисков существенных ис­кажений в ходе текущего аудита. Однако такая информация может перестать быть актуальной для текущего аудита по причине измене­ний в деятельности фирмы-клиента и его среде. В этом случае ауди­тор должен сделать запросы и провести другие соответствующие процедуры, например сквозные тесты, для выявления произошедших изменений, которые могли бы актуализировать информацию.

При разработке процедур оценки риска необходимо обсудить сре­ди членов аудиторской группы вопрос о степени подверженности финансовой отчетности фирмы-клиента существенным искажениям. Такое обсуждение способствует достижению лучшего понимания членами аудиторской группы вероятности возникновения существен­ных искажений финансовой отчетности в результате мошенничества или ошибок и того, как результаты проведения аудиторских проце­дур могут повлиять на прочие аспекты аудита, включая решение о характере, сроках и объеме дальнейших аудиторских процедур. Проведение обсуждения в группе аудиторов дает возможность более опытным членам группы (включая партнера по заданию) поделиться своими соображениями, основанными на знании деятельности фир­мы-клиента, обменяться информацией о бизнес-рисках, которым под­вержена фирма-клиент, и о том, какие разделы финансовой отчетно­сти могут быть подвержены существенным искажениям. При опреде­лении состава участвующих в обсуждении членов аудиторской группы, порядка и времени его проведения, масштаба обсуждений следует руководствоваться профессиональным суждением. Ключевые члены аудиторской группы обычно участвуют в обсуждении, однако необязательно, чтобы все члены группы обладали глубокими знания­ми по всем аспектам аудита. На масштаб обсуждения оказывают влияние роль, опыт и потребность в информации членов аудитор­ской группы. При многообъектном аудите могут проводиться не­сколько обсуждений, в которых будут участвовать ключевые члены аудиторских групп по отдельным направлениям. При планировании обсуждения следует решить вопрос о вовлечении в обсуждение при необходимости экспертов.

Понимание деятельности предприятия и его среды, включая внутренний контроль. Понимание аудитором деятельности предпри­ятия и его среды включает знание следующих вопросов:

1. Отраслевые, экономические и другие внешние факторы, вклю­чая применимые принципы подготовки финансовой отчетности, в том числе:

• рынок и конкуренция;

• важные поставщики товаров и услуг;

• изменения в технологии производства;

• нормативно-правовая среда;

• применяемые принципы подготовки финансовой отчетности;

• экологические требования и проблемы;

• общие экономические факторы.

2. Характер деятельности субъекта, включая выбор и применение учетной политики, в том числе:

• корпоративная структура;

• собственники;

• структура капитала;

• организационная структура;

• источники и методы финансирования;

• соответствие выбранной учетной политики деятельности фир­мы-клиента и применяемым основам финансовой отчетности.

3. Задачи, стратегические планы руководства и связанные с ними деловые риски, которые могут оказать влияние на возможность воз­никновения существенных искажений в финансовой отчетности, в том числе:

• причины возникновения деловых рисков;

• последствия влияния деловых рисков на финансовую отчет­ность фирмы-клиента.

4. Финансовая деятельность фирмы-клиента, в том числе:

• основные показатели и статистика;

• тенденции.

5. Система внутреннего контроля, в том числе:

• контрольная среда;

• процесс оценки риска фирмой-клиентом;

• информационная система, связанная с целями финансовой от­четности;

• процедуры контроля;

• мониторинг средств контроля.

Внутренний контроль. Аудитор должен получить представление о внутреннем контроле фирмы-клиента, соответствующее условиям аудиторского задания. Внутренний контроль — процесс, который осу­ществляют лица, отвечающие за управление, руководство, и другой персонал. Их цель — обеспечение разумной уверенности, с точки зре­ния обеспечения надежности финансовой отчетности, эффективности и результативности операций и соответствия их применяемым зако­нам и нормативным актам.

Внутренний контроль включает следующие элементы:

а) контрольная среда;

б) оценка уровня риска субъектом;

в) информационная система, включая соответствующие биз­нес-процессы, имеющие отношение к подготовке финансовой отчет­ности и коммуникации;

г) контрольные действия;

д) мониторинг средств контроля.

Разделение внутреннего контроля на пять элементов обеспечива­ет такую структуру, которая позволяет аудитору рассмотреть, каким образом различные аспекты внутреннего контроля оказывают влия­ние на процесс аудита.

Контрольная среда

Контрольная среда включает осведомленность и действия руково­дства и лиц, отвечающих за управление, относительно деятельности внутреннего контроля организации и его значения для этой органи­зации. Контрольная среда также включает управленческие и руково­дящие функции и формирует внутреннюю культуру организации, оказывая влияние на сознательность сотрудников. Контрольная сре­да является основой для эффективного внутреннего контроля, обес­печивая дисциплину и структурированность.

Контрольная среда включает следующие элементы:

• сообщение и требование о соблюдении принципа честности и этических норм;

• обязательство по оценке компетентности;

• участие в работе лиц, отвечающих за управление;

• философия руководства и стиль его работы;

• организационная структура субъекта;

• делегирование полномочий и ответственности;

• политика и практика в отношении трудовых ресурсов.

При оценке того, была ли создана контрольная среда и внедрена ли она на практике, аудитор должен понять, каким образом лица, отвечающие за управление, создают и поддерживают честное и этич­ное поведение и устанавливают соответствующие средства контроля для предотвращения и обнаружения мошенничества и ошибок.

При изучении элементов контрольной среды аудитор должен по­лучить достаточные и уместные доказательства (путем направления запросов и проведения других процедур оценки риска). На основе информации, полученной из запросов руководству и «сотрудникам предприятия, аудитор может понять, каким образом руководство до­водит до сотрудников свои взгляды на практическую деятельность и этичное поведение. Далее аудитор определяет, применяются ли средства контроля, например, установило ли руководство формаль­ный кодекс поведения, следует ли оно его нормам или допускает на­рушения и отступления от установленных в кодексе норм.

Процесс оценки риска фирмой-клиентом

Процесс оценки риска представляет собой процесс выявления рисков бизнеса и оценки их последствий. Для целей финансовой от­четности процесс оценки рисков включает:

• выявление руководством рисков в связи с подготовкой досто­верной и объективной финансовой отчетности (или объективной во всех существенных аспектах) в соответствии с принципами подго­товки финансовой отчетности;

• оценку «значимости» рисков;

• оценку вероятности возникновения рисков;

• принятие решений по управлению рисками.

Причинами возникновения или изменения характера рисков мо­гут быть:

• изменения в функционировании среды;

• принятие новых сотрудников;

• применение новых или модернизированных информационных систем;

• быстрый экономический рост;

• внедрение новых технологий;

• освоение новых бизнес-моделей, продуктов или операций;

• реструктуризация корпорации;

• увеличение объема иностранных операций;

• принятие новых положений по бухгалтерскому учету.

Аудитор должен достигнуть понимания того, каким образом осу­ществляется процесс выявления и устранения бизнес-рисков для це­лей подготовки финансовой отчетности и к каким это приводит ре­зультатам. Если процесс оценки рисков соответствует обстоятельствам задания, то это помогает аудитору определить риски существенных искажений. Если аудитором были выявлены существенные недостатки процесса оценки рисков руководством фирмы-клиента, то аудитор должен сделать руководителям фирмы-клиента замечания или реко­мендации по улучшению. В случае если руководитель не реагирует должным образом на пожелания, аудитор может сделать соответст­вующее сообщение лицам, отвечающим за управление.

Информационная система (включая соответствующие бизнес-про­цессы, имеющие отношение к подготовке финансовой отчетности и коммуникации)

Информационные системы состоят из инфраструктуры (физиче­ских и аппаратных компонентов), программного обеспечения, людей, процедур и данных. Информационная система, отвечающая целям финансовой отчетности, включает систему финансовой отчетности и состоит из процедур и записей, установленных для инициирова­ния, регистрации, обработки и обобщения операций предприятия (а также событий и условий) и обеспечения возможности учета ак­тивов, обязательств и капитала. Качество произведенной системой информации влияет на возможность принятия руководством пра­вильных решений по управлению и контролю над подготовкой на­дежной финансовой отчетности.

Аудитор должен достигнуть понимания информационной систе­мы, имеющей отношение к подготовке финансовой отчетности, в том Числе в следующих областях:

• классы операций, существенные для финансовой отчетности;

• процедуры в компьютерных или ручных системах учета, с по­мощью которых операции инициируются, регистрируются, обрабаты­ваются и обобщаются в финансовой отчетности;

• бухгалтерские записи как в электронном, так и в бумажном ви­де и конкретные счета в финансовой отчетности, относящиеся к инициированию, регистрации, обработке и обобщению операций;

• сбор информационной системой данных о событиях и услови­ях — иных, нежели классы операций, существенные для финансовой отчетности;

• подготовка финансовой отчетности, включая существенные оце­ночные значения и раскрываемые сведения.

Аудитор должен понять, как обеспечивается предприятием пони­мание сотрудниками:

• их функций и ответственности по внутреннему контролю в процессе подготовки финансовой отчетности;

• существенных вопросов, имеющих отношение к подготовке фи­нансовой отчетности;

• способов сообщения о нестандартных операциях руководству соответствующего уровня.

Коммуникационные процессы могут осуществляться в форме ру­ководства политикой, руководства по бухгалтерскому учету и финан­совой отчетности, а также докладных записок. Сообщение информа­ции может иметь электронный или устный вид. Понимание аудито­ром процессов обмена информацией включает понимание характера общения руководства и лиц, отвечающих за управление внешними организациями.

Контрольные действия

Контрольные действия — это политика и процедуры, которые по­могают удостовериться в том, что распоряжения руководства испол­няются, например, в том, что все необходимые действия по элимини­рованию рисков, угрожающих достижению целей предприятия, были осуществлены. Контрольные действия с использованием компьютер­ных или ручных систем обработки имеют различные цели и применя­ются на разных организационных и функциональных уровнях.

Контрольные действия могут быть представлены в виде политики и процедур, имеющих отношение к обзору выполненной работы, об­работке информации, физическому контролю, распределению обязан­ностей.

Аудитор должен получить достаточное понимание контрольных действий, чтобы оценить риски существенных искажений на уровне предпосылок подготовки финансовой отчетности и разработать даль­нейшие процедуры аудита, исходя из оцененных рисков. При этом сле­дует анализировать только те контрольные действия, которые относят­ся к областям, наиболее подверженным существенным искажениям.

Мониторинг средств контроля

Мониторинг средств контроля представляет собой процесс оцен­ки качества функционирования внутреннего контроля. Это предпола­гает своевременную оценку разработки и оперативности средств кон­троля и выполнение необходимых корректирующих действий.

Аудитор должен понимать основные виды мероприятий, которые предприятие проводит для мониторинга внутреннего контроля фи­нансовой отчетности, включая мероприятия, относящиеся к аудиту, и то, как предприятие инициирует действия относительно средств контроля.

Оценка рисков существенного искажения. Аудитор должен вы­явить и оценить риски существенных искажений — как на уровне финансовой отчетности в целом, так и на уровне предпосылок по каждому сальдо счета и классу операций. С этой целью аудитор:

• выявляет риски в процессе получения знаний о деятельности предприятия и его среде, включая соответствующие средства контро­ля, которые относятся к рискам;

• устанавливает взаимосвязь выявленных рисков с искажениями на уровне предпосылок;

• определяет, превышает ли уровень риска величину, которая могла бы привести к существенным искажениям в финансовой от­четности;

• анализирует вероятность того, могут ли риски привести к су­щественным искажениям в финансовой отчетности.

Оцененный уровень риска аудитор должен учитывать при опреде­лении характера, сроков и объема дальнейших аудиторских процедур.

Аудитор должен определить, относятся ли оцененные риски су­щественных искажений к определенным классам операций, сальдо по счетам, раскрытиям и связанным с ними утверждениям, или они в большей степени относятся к финансовой отчетности в целом. Риски, относящиеся к финансовой отчетности в целом, могут воз­никнуть в результате недостатков функционирования системы внут­реннего контроля.

При оценке риска аудитор может определить средства контроля, которые с определенной вероятностью будут предотвращать или об­наруживать и исправлять существенные искажения и соотнести их с определенными предпосылками. Это связано с тем, что отдельные средства контроля не включают оценку риска.

Кроме того, аудитор, используя свое профессиональное суждение, Должен определить, какие из выявленных рисков являются значимы­ми и требуют специального рассмотрения, а также риски, в отноше­нии которых процедуры проверки по существу не обеспечивают дос­таточные и уместные аудиторские доказательства. В отношении дан­ных рисков следует проанализировать, были ли разработаны и применялись ли фирмой-клиентом средства контроля, включая со­ответствующие контрольные действия, с тем чтобы уменьшить риск ественного искажения на уровне предпосылок подготовки финан­совой отчетности до приемлемо низкого уровня.

Понимание используемых предприятием средств контроля рисков необходимо для того, чтобы обеспечить аудитора адекватной инфор­мацией для разработки эффективного подхода к проведению аудита.

Пересмотр оценки риска. Аудиторская оценка рисков существен­ных искажений на уровне предпосылок основывается на доступных аудиторских доказательствах и может изменяться в течение всего процесса аудита по мере получения дополнительных аудиторских до­казательств. В частности, оценка риска может быть основана на ожи­дании того, что средства контроля функционируют эффективно, пре­дотвращая, обнаруживая и исправляя существенные искажения на уровне предпосылок подготовки финансовой отчетности. При прове­дении тестов контроля для получения аудиторских доказательств в отношении операционной эффективности аудитор может получить аудиторские доказательства того, что средства контроля функциони­руют неэффективно. Аналогично при выполнении процедур провер­ки по существу: аудитор может обнаружить существенные искаже­ния, количество и частота возникновения которых противоречат предполагаемой оценке риска. При обстоятельствах, когда аудитор в результате проведения дальнейших аудиторских процедур получает аудиторское доказательство, противоречащее тому, на котором ауди­тор первоначально основывал свою оценку, он пересматривает оцен­ку и соответствующим образом модифицирует дальнейшие заплани­рованные аудиторские процедуры.

Сообщение информации лицам, отвечающим за управление, и руководству субъекта. Аудитор должен в возможно короткий срок уведомить лиц, отвечающих за управление, или руководство со­ответствующего административного уровня о существенных недос­татках в разработке или внедрении внутреннего контроля, которые привлекли внимание аудитора в ходе аудиторской проверки.

Документирование. Аудитор должен документировать процесс приобретения знаний о деятельности предприятия и оценке риска существенного искажения. В рабочих документах аудитора должны быть отражены:

• обсуждение членами аудиторской группы вопроса о степени под­верженности финансовой отчетности фирмы-клиента существенным ис­кажениям, являющимся результатом мошенничества или ошибок, и принятые важные решения в результате проведения обсуждений;

• ключевые элементы понимания каждого аспекта бизнеса пред­приятия и его среды, включая каждый компонент внутреннего кон­троля, в том числе источники информации, используемые для пони­мания деятельности фирмы-клиента и процедуры оценки риска;

• выявленные и оцененные риски существенного искажения — как на уровне финансовой отчетности в целом, так и на уровне предпосылок подготовки финансовой отчетности;

• выявленные «значимые риски» и риски, в отношении которых выполненные процедуры проверки по существу не обеспечили доста­точных и уместных аудиторских доказательств, а также оцененные средства контроля.

Способы документирования данных вопросов являются предме­том профессионального суждения аудитора (могут быть использова­ны проверочные листы, анкеты, блок-схемы, комментарии и т.д). На форму и объем документации оказывают влияние характер и размер деятельности предприятия, структура предприятия и его внутреннего контроля, доступность информации, специфическая аудиторская ме­тодика и технология, используемые в ходе проведения аудита. На­пример, описание сложной информационной системы, в которой в электронном виде формируется, регистрируется, обрабатывается и обобщается большой объем операций, может включать блок-схемы, опросные листы и таблицу принятия решений. В информационных системах, в которых почти (или совсем) не используются информа­ционные технологии или обрабатывается небольшое количество опе­раций (например, долгосрочные задолженности), достаточно удоб­ным способом документирования могут быть пояснительные запис­ки. Обычно чем сложнее структура предприятия, тем более детальной бывает документация

Аудит государственного сектора. При получении знаний о дея­тельности предприятий государственного сектора аудитору следует учитывать, что:

• управленческие цели предприятий государственного сектора подчинены требованиям законов, нормативных актов, постановлений правительства и директив министерств;

• существуют дополнительные обязанности в отношении средств внутреннего контроля;

• информация о недостатках системы внутреннего контроля, об­наруженных в ходе аудита финансовой отчетности, должна быть со­общена органам регулирования или правоохранительным органам.