2.1.6 Вплив баз даних на систему бухгалтерського обліку та аудиторські процедури Вплив баз даних на систему бухгалтерського обліку та супутні заходи внутрішнього контролю

Вплив системи бази даних на систему бухгалтерського обліку й пов’язані з нею ризики залежатиме, як правило, від таких факторів:

міри використання бази даних бухгалтерськими прикладними програмами;

типу і значення оброблюваних фінансових операцій;

характеру та структури бази даних, СУБД (включаючи словник даних), завдань з адміністрування бази даних і прикладних програм (наприклад, пакетне чи онлайнове оновлення даних);

загальних заходів контролю та заходів контролю за прикладними програмами, особливо важливими в середовищі баз даних.

Системи баз даних, як правило, забезпечують можливість більшої надійності даних, ніж системи, які не є базами даних. У таких системах загальні заходи контролю набувають більшого значення, ніж заходи контролю за прикладними програмами. Вони можуть зменшити ризик шахрайства або помилок у тих системах бухгалтерського обліку, де використовують бази даних. Підвищенню надійності даних разом з адекватними заходами контролю) сприяють такі фактори:

покращання несперечливості даних досягається завдяки тому, що дані записують та оновлюють лише один раз, а не зберігають дані в кількох файлах і не оновлюють їх у різний час і різними програмами;

цілісність даних поліпшить ефективне застосування засобів, що входять до СУБД, таких як стандартні програми відновлення та повторного запуску, універсальні стандартні програми редагування й перевірки достовірності, а також засоби безпеки та контролю;

інші функції СУБД можуть полегшити процедури контролю й аудиторської перевірки. Ці функції включають генератори звітів, які можна використовувати для створення підсумкових звітів, а також мови запитів, що їх можна застосовувати для визначення суперечливості даних.

Ризик викривлення інформації може зрости, якщо системи баз даних використовуються без відповідних заходів контролю. У типовому середовищі, яке не є базою даних, заходи контролю, що їх виконують окремі користувачі, можуть компенсувати недоліки загальних заходів контролю. Проте в системі, яка є базою даних, окремі користувачі не завжди можуть компенсувати неадекватні заходи контролю за адмініструванням бази даних. Наприклад, персонал відділу дебіторської заборгованості не може ефективно контролювати дані про дебіторську заборгованість, якщо іншому персоналові дозволено модифікувати залишки дебіторської заборгованості в базі даних.

Вплив баз даних на аудиторські процедури

На аудиторські процедури в середовищі бази даних впливає переважно те, якою мірою дані баз даних використовуються бухгалтерською системою. Якщо важливі бухгалтерські прикладні програми використовують загальну базу даних, то аудитор може вважати рентабельним застосувати деякі з процедур, зазначених у наведених далі параграфах.

Щоб отримати розуміння про середовище контролю за базою даних і потік операцій для планування аудиторської перевірки, аудитор може розглянути вплив на аудиторський ризик таких факторів:

відповідні заходи контролю за доступом. Особи, до посадових обов'язків яких не входить традиційний бухгалтерський облік, можуть користуватися базами даних, а тому аудитор розглядає заходи контролю за доступом до облікових даних і за всіма, хто може мати доступ до них;

СУБД і важливі бухгалтерські прикладні програми, що використовують базу даних. Інші прикладні програми на підприємстві можуть генерувати або змінювати дані, що їх використовують бухгалтерські прикладні програми. Аудитор розглядає, як СУБД контролює ці дані;

стандарти і процедури для розробки і супроводження прикладних програм, що використовують базу даних. Бази даних, особливо на автономних комп'ютерах, часто можуть бути спроектовані та впроваджені особами, до посадових обов'язків яких не входять інформаційні технології чи бухгалтерський облік. Аудитор розглядає, як підприємство контролює розробку таких баз даних;

функція управління інформаційними ресурсами. Як зазначено в параграфах 13-19, ця функція відіграє важливу роль у підтримці цілісності даних, які зберігаються в базі даних;

описи посадових обов'язків, стандарти і процедури для відповідальних за технічну підтримку, проектування, адміністрування й експлуатацію бази даних. Імовірно, що в середовищі систем баз даних більша кількість осіб несе відповідальність за важливі дані, ніж у системах, які не є базами даних;

процедури, які застосовують для забезпечення цілісності, безпеки й повноти фінансової інформації, що міститься в базі даних;

наявність засобів аудиторської перевірки в СУБД;

процедури, які застосовують для введення в експлуатацію нових версій бази даних.

Визначаючи ступінь довіри до заходів внутрішнього контролю, пов'язаних і використанням баз даних у системі бухгалтерського обліку, аудитор може розглянути, як застосовують заходи контролю, описані в параграфах 22-27. Якщо аудитор у подальшому вирішує покладатися на ці заходи контролю, він планує й виконує відповідні тести.

Якщо аудитор вирішить виконувати тести контролю або процедури по суті, пов'язані з системою бази даних, часто ефективнішим буде їх виконання з застосуванням комп`ютеризованих методів аудиту. Той факт, що всі дані зберігаються в одному місці та послідовно організовані, робить процес добору вибірок простішим. Бази даних можуть містити й дані, створені працівниками, не пов'язаними з бухгалтерським обліком; це допоможе застосувати аналітичні процедури ефективніше.

Аудиторські процедури можуть використовувати функції СУБД для:

перевірки контролю за доступом;

створення перевірочних даних;

забезпечення аудиторського "сліду";

перевірки цілісності бази даних;

забезпечення доступу до бази даних (або до копії відповідних розділів бази даних) з метою застосування програмного забезпечення з аудиту

(див. Положення з міжнародної практики аудиту 1009 "Комп'ютеризовані методи аудиту");

одержання інформації, необхідної для аудиторської перевірки.

Перед використанням засобів СУБД аудитор розглядає, чи правильно вони функціонують.

Якщо заходи контролю за адмініструванням бази даних невідповідні, аудитор може бути неспроможний компенсувати слабкі заходи контролю будь-якою кількістю процедур по суті. Отже, якщо виявлено, що не можна покладатися на заходи контролю в системі бази даних, аудитор розглядає, чи допоможе досягненню мети аудиторської процедури виконання процедур по суті щодо всіх значних бухгалтерських прикладних програм, які використовують оазу даних. Якщо аудитор не може подолати недоліки середовища контролю навіть шляхом виконання великого обсягу перевірок по суті, щоб зменшити аудиторський ризик до прийнятне низького рівня, то МСА 700 вимагає від аудитора модифікувати свій висновок або відмовитися від надання висновку.

Характеристики систем баз даних можуть бути такими, що для аудитора буде ефективніше виконати огляд нових бухгалтерських прикладних програми не після, а до їх установлення. Така перевірка перед установленням та огляд процесу управління змінами може надати аудиторові можливість зробити запити про додаткові функції (такі, як вбудовані підпрограми з аудиту або заходи контролю при проектуванні прикладних програм). Це також може надати аудиторові достатньо часу, щоб розробити й перевірити аудиторські процедури до користування системою.