№9(2012)

В даній статті ми розкриємо питання про проведення основних аудиторських процедур перед прийняттям завдання та визначимо, які дії повинен вжити аудитор до моменту прийняття завдання.
Отож, спочатку з’ясуємо, що є аудиторськими процедурами. Аудиторські процедури — це система методичних дій аудитора, спрямованих на отримання достатніх і надійних доказів щодо об’єктів аудиту. Тобто метою проведення аудиторських процедур є саме отримання достатніх та прийнятних аудиторських доказів для висловлення аудитором думки щодо фінансової звітності.
Перед тим як прийняти завдання від клієнта, погодити умови та підписати договір на надання послуг, аудитору необхідно оцінити:

• ризики, пов’язані з цим клієнтом і з майбутнім аудиторським завданням;
• можливість і здатність аудиторської фірми виконати аудиторське завдання.

На жаль, сьогодні більшість українських аудиторських компаній формально підходять до визначення аудиторського ризику або тільки на папері визначають прийнятний аудиторський ризик на рівні 5%, не проводячи жодних процедур щодо його розрахунку.
Хотілось би зазначити, що оцінка ризику аудитора є однією з найважливіших умов подальшої роботи з клієнтом, обов’язковою передумовою прийняття відповідного рішення щодо кожного нового завдання. Адже аудитор несе відповідальність за висловлення думки щодо фінансової звітності клієнта, і саме на основі аудиторської думки в подальшому користувачами фінансової інформації приймаються відповідні управлінські рішення.
Згідно з МСА 2001, аудиторський ризик – це ризик того, що аудитор висловить невідповідну аудиторську думку, якщо фінансова звітність суттєво викривлена. Оцінка ризику ґрунтується на аудиторських процедурах для отримання необхідної інформації протягом аудиту і є питанням професійного судження та не піддається точній оцінці.
Питання самої оцінки аудиторського ризику регулюється МСА 3152, відповідно до якого метою аудитора є:
ідентифікація та оцінка ризиків суттєвого викривлення внаслідок шахрайства чи помилки на рівні фінансової звітності і тверджень,
через розуміння суб’єкта господарювання і його середовища, включаючи його внут­рішній контроль,
забезпечивши у такий спосіб основу для розробки і впровадження дій у відповідь на оцінені ризики суттєвого викривлення.
Оцінка ризику повинна проводитись аудитором як мінімум двічі:
1. Перед прийняттям завдання – під час отримання розуміння діяльності суб’єкта господарювання.
2. На завершальному етапі аудиту – під час проведення аудиту необхідно сформувати кінцеву оцінку ризику.

Процес оцінки ризиків суб’єкта господарювання складається з наступних етапів:
I. Ідентифікація бізнес-ризиків, доречних для цілей фінансової звітності.
II. Оцінка значущості ризиків.
III. Оцінка ймовірності їх виникнення.
IV. Прийняття рішень про механізми розгляду цих ризиків.

Аудитор повинен ідентифікувати ризики суттєвого викривлення на рівні:
Фінансової звітності
– ті, що значною мірою пов’язані з фінансовою звітністю;
– ті, що можуть потенційно впливати на багато тверджень.
Твердження щодо класів операцій, залишків на рахунках і розкриття інформації
– ті, що пов’язані з класами операцій, залишками на рахунках, розкриттям інформації;
– такий розгляд допомагає аудитору при визначенні характеру, строків та обсягу подальших аудиторських процедур.
Твердження, які використовує аудитор під час ідентифікації ризиків, поділяють на три типи:
щодо класів операцій (настання, повнота, точність, закриття реєстрів, класифікація);
щодо залишків на рахунках на кінець періоду (існування, права і обов’язки, повнота, оцінка та розподіл);
щодо подання та розкриття (настання та права і обов’язки, повнота, класифікація та зрозумілість, точність та оцінка).

При здійсненні судження щодо того, які ризики є значними, аудитор повинен проаналізувати:

• чи є ризик ризиком шахрайства;
• чи пов’язаний ризик з нещодавніми значними економічними, обліковими та іншими обставинами, які потребують особливої уваги;
• складність проведених операцій;
• чи має такий ризик відношення до значних операцій з пов’язаними сторонами;
• рівень суб’єктивності при здійсненні оцінки фінансової інформації, що стосується ризику, особливо таких оцінок, які пов’язані з високим рівнем невизначеності оцінки;
• чи включає ризик значні операції, що виходять за межі звичайної господарської діяльності суб’єкта господарювання, або є незвичайними.

Процедури оцінки ризиків, які повинен виконати аудитор, включають:

• подання запитів до управлінського персоналу, інших працівників суб’єкта господарювання, які можуть надати необхідну інформацію при ідентифікації ризиків суттєвого викривлення внаслідок шахрайства або помилки;
• аналітичні процедури;
• спостереження і перевірка.

Під час оцінки аудиторського ризику необхідно враховувати:

• ризик помилки або зловживання суб’єктом господарювання (ризик суттєвого викривлення);
• ризик помилки аудитора (ризик невиявлення).

Тобто загальний аудиторський ризик можна представити наступним чином:

Перші два ризики: властивий ризик та ризик контролю є ризиками помилки клієнта і включають в себе як об’єктивні, так і суб’єктивні фактори, що наявні в діяльності клієнта.
Ризик невиявлення є ризиком помилки аудитора і полягає в тому, що застосовані аудитором процедури перевірки не дозволять виявити суттєві викривлення.
Як правило, спочатку аудитором аналізується та оцінюється властивий ризик та ризик контролю, а вже потім, на основі отриманих даних, - ризик невиявлення.

Властивий ризик виникає в умовах, не пов’язаних з особливостями контролю на підприємстві. На нього впливають як внутрішні, так і зовнішні фактори, наприклад:
– внутрішні :
загальна організація і структура підприємства;
політика управління та господарювання;
кадрова політика;
кваліфікація працівників і неналежне виконання ними своїх обов’язків;
маркетингова стратегія.

– зовнішні:
зміни в діючому законодавстві;
втрата клієнтів;
поява значної конкуренції;
зміна умов договорів постачання;
зміна інших обставин, пов’язаних з веденням бізнесу.
Оскільки вітчизняні підприємства перебувають у нелегких умовах функціонування, пов’язаних із загальною економічною ситуацією в країні, аудитору необхідно звернути особливу увагу щодо впливу зовнішніх чинників під час оцінки рівня властивого ризику, зазвичай він досить високий.

Ризик контролю – це ступінь довіри аудитора до внутрішнього контролю суб’єкта господарювання. Тобто це ризик неефективності системи внутрішнього контролю підприємства, який полягає в невиявленні існуючих помилок системою внутрішнього контролю, які не були своєчасно попереджені, виявлені та виправлені відповідальним персоналом підприємства.
Форми і методи оцінки ризику внутрішнього контролю повинні визначатися аудитором, виходячи з розміру підприємства, його діяльності, організаційної структури.
Ризик контролю складається з двох компонентів:
ризик внутрішнього контролю;
ризик бухгалтерського обліку (помилки внаслідок невідповідного документування господарських операцій, неправильного відображення їх у регістрах бухгалтерського обліку та під час складання фінансової звітності).

Внутрішній контроль суб’єкта господарювання складається з наступних компонентів:
середовище контролю;
процес оцінки ризиків суб’єкта господарювання;
інформаційна система, включаючи бізнес-процеси, доречні для фінансової звітності та повідомлення інформації;
встановлені заходи контролю;
моніторинг заходів контролю.

Аудитору необхідно отримати розуміння про середовище суб’єкта господарювання, а саме:

• галузеві, регуляторні та інші зовнішні чинники, включаючи застосовну концептуальну основу фінансової звітності суб’єкта господарювання;
• характер суб’єкта господарю­вання:
• його діяльність;
• структуру його власності та корпоративного управління;
• види інвестицій, які суб’єкт господарювання здійснює чи планує здійснити;
• структуру і спосіб фінансування суб’єкта господарювання (для розуміння класів операцій, залишків на рахунках, розкриття іншої інформації);
• вибір і застосування суб’єктом господарювання облікової політики (та причини внесення змін до неї);
• цілі та стратегії суб’єкта господарювання і пов’язані з ними бізнес-ризики, які можуть призвести до ризиків суттєвого викривлення;
• оцінка та огляд фінансових результатів суб’єкта господарювання.

Розуміння аудитором процесу оцінки ризиків включає з’ясування, чи передбачено суб’єктом господарювання:

• ідентифікація бізнес-ризиків;
• оцінка значущості ризиків;
• оцінка ймовірності виникнення ризиків;
• прийняття рішень та механізми розгляду цих ризиків.

Аудитор повинен отримати розуміння інформаційної системи, включаючи такі сфери:

• класи операцій, які є значними для фінансової звітності;
• процедури у рамках системи ІТ та ручних систем для ініціалізації, запису, обробки, коригування операцій;
• відповідні облікові записи, підтверджувальна інформація та окремі рахунки у фінансовій звітності, які використовуються для ініціалізації, запису, обробки, коригування операцій;
• спосіб реєстрації системою подій та умов;
• процес складання фінансової звітності;
• заходи контролю за журнальними записами.

Розуміння аудитором заходів контролю полягає у вивченні політики і процедур суб’єкта господарювання, які допомагають забезпечити виконання директив управлінського персоналу:

• надання дозволів;
• перевірку результатів діяльності;
• перевірку обробки інформації;
• здійснення фізичних заходів контролю;
• розмежування обов’язків персоналу.

Моніторинг заходів контролю – це процес оцінки ефективності функціонування внутрішнього контролю. Аудитору необхідно отримати розуміння того, чи здійснює управлінський персонал постійні дії з моніторингу, чи впроваджені та застосовуються відповідні заходи з виправлення недоліків.

Етапами оцінки ризику контролю аудитором можна визначити наступні:
1. Ознайомлення із системою внутрішнього контролю і бухгалтерського обліку.
2. Попередня оцінка ризику контролю.
3. Тестування системи контролю, якщо є така необхідність.
4. Уточнення розміру ризику згідно з результатами тестування.
5. Додаткове тестування контролю або проведення тестів по суті.

Величина ризику внутрішнього контролю визначається аудитором за допомогою його тестування, яке включає:

• перевірку документів, що підтверджують функціонування внутрішнього контролю;
• опитування та нагляд за контрольними процедурами, що не знаходять письмового підтвердження, з метою визначення їх фактичного існування і виявлення осіб, які їх проводять;
• повторення процедур контролю, наприклад, порівняння аудитором записів по банківському рахунку з виписками банку.

Попередня оцінка ризику засобів контролю є визначенням дієвості систем бухгалтерського обліку та внутрішнього контролю стосовно попередження, виявлення та виправлення суттєвих відхилень. Чим вище рівень надійності системи внутрішнього контролю, тим нижче ризик аудитора. Водночас аудитор ніколи не повинен повною мірою покладатися на систему внутрішнього контролю клієнта. Необхідно пам’ятати, що помилки в бухгалтерському обліку завжди можливі, оскільки жодна система контролю не може бути ефективною на 100%.
Необхідно зазначити, що під час аудиту як великих, так і малих підприємств, де існують абсолютно різні системи внутрішнього контролю, аудитор повинен мати однакову впевненість у можливості надання якісного позитивного висновку.
Ризик невиявлення означає ризик того, що аудиторські процедури по суті не дозволяють виявити наявних викривлень залишків по рахунках бухгалтерського обліку або груп операцій, які можуть бути суттєвими окремо або в сукупності.
Оцінка ризику контролю разом з оцінкою властивого ризику впливає на характер та обсяг аудиторських процедур по суті, які проводяться з метою зниження ризику невиявлення і зменшення аудиторського ризику до прийнятно низького рівня.
Чим вище ризик контролю, тим нижчим повинен бути ризик невиявлення. Це означає, що аудитору необхідно збільшити кількість аудиторських процедур по суті для отримання більше аудиторських доказів.
Також у разі якщо властивий ризик і ризик контролю оцінюються як високі, то аудитору необхідно визначити, чи зможуть процедури перевірки по суті надати достатні належні аудиторські докази, щоб знизити ризик невиявлення до прийнятно низького рівня.
У тому випадку, коли аудитор встановлює, що ризик невиявлення не може бути знижений до прийнятно низького рівня, йому слід висловити умовно-позитивну думку або відмовитися від висловлення думки.
Схематично оцінку ризику невиявлення можна представити наступним чином:

Наприклад, аудитором оцінено ризик контролю та властивий ризик як високі. Це означає, що прийнятний рівень ризику невиявлення повинен бути низьким, у зв’язку з чим аудитору необхідно збільшити кількість процедур по суті. А у випадку, коли властивий ризик та ризик контролю оцінені як низькі, аудитор може прийняти більш високий ризик невиявлення, та все одно повинен зменшити його до прийнятно низького рівня.
Взагалі, оцінка ризику невиявлення впливає на подальші дії аудитора: на визначення розміру та виду аудиторської вибірки, на кількість і види аналітичних процедур, детальних тестів, а також на критерії оцінки аудиторських доказів.

Джерелами інформації для оцінки аудиторського ризику можуть бути наступні:
обговорення питань в ході переговорів із клієнтом;
фінансова звітність компанії, річні звіти, розміщені в мережі Інтернет;
обговорення з попереднім аудитором (якщо він був) попереднього аудиторського висновку чи звіту;
інформація з мережі Інтернет про клієнта, його управлінський персонал, вищий склад менеджменту та власників, про бізнес, галузь діяльності;
запити клієнту;
інша інформація.
Ідентифікацію ризиків та їх оцінку повинен провести керівник групи з завдання.
У випадках, коли аудитором виявлені відхилення в розмірі прийнятного аудиторського ризику в ході виконання аудиту, документи планування підлягають коригуванню в частині збільшення обсягу аналітичних процедур, щоб забезпечити відповідний рівень ризику невиявлення, який є прийнятним для виконання аудиту.

Під час коригування аудиторського ризику його зменшення досягається двома способами:
1. Зниження ризику контролю (збільшення тестів контролю).
2. Зниження ризику невиявлення (збільшення аудиторських процедур по суті).

Для зменшення аудиторського ризику до прийнятного рівня аудитору необхідно керуватися наступними принципами:
оцінка аудиторського ризику та його складових повинна проводитися раціонально (не слід оцінювати і мінімізувати аудиторський ризик в сегменті при проведенні суцільної перевірки цього сегмента);
оцінка і визначення аудиторського ризику не повинні мати на меті скорочення обсягу перевірки;
завжди краще по можливості знизити підсумкове значення аудиторського ризику, ніж скоротити обсяг вибіркової перевірки.

Далі наводимо форми робочих документів аудитора, які можуть бути корисними для документування процесу оцінки аудиторського ризику та використані в роботі.