Міжнародний стандарт аудиту 315

«ІДЕНТИФІКАЦІЯ ТА ОЦІНКА РИЗИКІВ СУТТЄВИХ ВИКРИВЛЕНЬ ЧЕРЕЗ РОЗУМІННЯ СУБ'ЄКТА ГОСПОДАРЮВАННЯ І ЙОГО СЕРЕДОВИЩА»

(чинний для аудитів фінансової звітності за періоди,

що починаються з 15 грудня 2009 р. або пізніше) ЗМІСТ

Параграф

Вступ

Сфера застосування цього МСА 1

Дата набрання чинності 2

Мета 3

Визначення 4

Вимоги

Процедури оцінки ризиків та пов'язані дії 5—10

Необхідне розуміння суб'єкта господарювання та його середовища,

включаючи внутрішній контроль 11—24

Ідентифікація та оцінка ризиків суттєвого викривлення 25—31

Документація 32

Матеріали для застосування та інші пояснювальні матеріали

Процедури оцінки ризиків та пов'язані дії Д1—Д16

Необхідне розуміння суб'єкта господарювання та його

середовища, включаючи внутрішній контроль Д17—Д104

Ідентифікація та оцінка ризиків суттєвого викривлення Д105—Д130

Документація Д131—Д134

Додаток 1. Компоненти внутрішнього контролю

Додаток 2. Умови та події, які можуть вказувати на ризики суттєвого викривлення

Міжнародний стандарт аудиту (МСА) 315 «Ідентифікація та оцінка ризиків суттєвих викривлень через розуміння суб'єкта господарювання і його середовища» слід застосовувати разом із МСА 200 «Загальні цілі незалежного аудитора та проведення аудиту відповідно до Міжнародних стандартів аудиту».

МСА 315

276

Вступ

Сфера застосування цього МСА

1. Цей Міжнародний стандарт аудиту (МСА) розглядає відповідальність аудитора за ідентифікацію та оцінку ризиків суттєвих викривлень фінансової звітності через розуміння суб'єкта господарювання і його середовища, включаючи внутрішній контроль суб'єкта.

Дата набрання чинності

2. Цей МСА чинний для аудитів фінансової звітності за періоди, що починаються з 15 грудня 2009 р. або пізніше.

Мета

3. Метою аудитора є ідентифікування та оцінка ризиків суттєвого викривлення внаслідок шахрайства чи помилки на рівні фінансового звіту і тверджень через розуміння суб'єкта господарювання і його середовища, включаючи його внутрішній контроль, у такий спосіб забезпечивши основу для розробки і впровадження дій у відповідь на оцінені ризики суттєвого викривлення.

Визначення

4. Для цілей цього МСА наведені далі терміни мають такі значення:

а) твердження — твердження, надані управлінським персоналом, явні або інші, які містяться у фінансовій звітності та які використовує аудитор для розгляду потенційних викривлень різного типу, що можуть мати місце;

б) бізнес-ризик — ризик, що є наслідком значущих умов, подій, обставин, діяльності або бездіяльності, які можуть негативно вплинути на здатність суб'єкта господарювання досягти своїх цілей та реалізувати свої стратегії, а також наслідком встановлення невідповідних цілей і стратегій;

в) внутрішній контроль — процес, розроблений, запроваджений і підтримуваний тими, кого наділено найвищими повноваженнями, управлінським персоналом, а також іншими працівниками, для забезпечення обґрунтованої впевненості в досягненні цілей суб'єкта господарювання стосовно достовірності фінансової звітності, ефективності та результативності діяльності, а також дотриманні застосовних законів і нормативних актів. Термін «заходи контролю» стосується будь-яких аспектів одного чи кількох компонентів внутрішнього контролю;

277

МСА 315

г) процедури оцінки ризиків — аудиторські процедури, які виконують для отримання розуміння суб'єкта господарювання та його середовища, в тому числі внутрішнього контролю суб'єкта господарювання, визначення й оцінки ризиків суттєвого викривлення внаслідок шахрайства або помилки на рівні фінансової звітності та тверджень; ґ) значний ризик — ідентифікований та оцінений ризик суттєвого викривлення, що, за судженням аудитора, потребує спеціального розгляду аудитором.

Вимоги

Процедури оцінки ризиків та пов'язані дії

5. Аудитор повинен виконати процедури оцінки ризиків для забезпечення основи для ідентифікації й оцінки ризиків суттєвого викривлення на рівні фінансової звітності та тверджень. Однак процедури оцінки ризиків самі по собі не надають достатніх та прийнятних аудиторських доказів, на яких ґрунтується думка аудитора (див. параграфи Д1—Д5).

6. Процедури оцінки ризиків мають включати таке:

а) подання запитів до управлінського персоналу та інших працівників суб'єкта господарювання, які, на думку аудитора, можуть мати інформацію, яка, ймовірно, може допомогти при ідентифікації ризиків суттєвого викривлення внаслідок шахрайства або помилки (див. параграф Д6);

б) аналітичні процедури (див. параграфи Д7—Д10);

в) спостереження та перевірка (див. параграф Д11).

7. Аудитор повинен визначити, чи є доречною інформація, отримана під час затвердження клієнта аудитора або продовження контракту, для ідентифікації ризиків суттєвого викривлення.

8. Якщо партнер із завдання виконав інші завдання для суб'єкта господарювання, він повинен визначити, чи є отримана інформація доречною для ідентифікації ризиків суттєвого викривлення.

9. Якщо аудитор має намір використати інформацію, яку він отримав під час своєї минулої роботи із суб'єктом господарювання та під час проведення аудиторських процедур у ході попередніх аудитів, він повинен визначити, чи сталися з моменту проведення попереднього аудиту зміни, які можуть вплинути на доречність такої інформації для поточного аудиту (див. параграфи Д12—Д13).

10. Партнер із завдання та інші провідні члени аудиторської групи із завдання повинні обговорити чутливість фінансової звітності суб'єкта господарювання до суттєвого викривлення та застосування застосовної

МСА 315

278

концептуальної основи фінансової звітності до фактів і обставин суб'єкта господарювання. Партнер із завдання повинен визначити, які питання потрібно довести до відома членів аудиторської групи із завдання, які не беруть участі в обговоренні (див. параграфи Д14—Д16).

Необхідне розуміння суб'єкта господарювання та його середовища, включаючи внутрішній контроль

Суб'єкт господарювання та його середовище

11. Аудитор повинен отримати розуміння такого:

а) доречні галузеві, регуляторні та інші зовнішні чинники, включаючи застосовну концептуальну основу фінансової звітності (див. параграфи Д17—Д22);

б) характер суб'єкта господарювання, в тому числі:

1. його діяльність;

2. структуру його власності та корпоративного управління;

3. види інвестицій, які суб'єкт господарювання здійснює та планує здійснити, включаючи інвестиції у підприємства спеціального призначення; та

іу) структуру і спосіб фінансування суб'єкта господарювання, для того щоб мати розуміння класів операцій, залишків на рахунках та розкриття інформації, які можна очікувати у фінансовій звітності (див. параграфи Д23—Д27);

в) вибір і застосування суб'єктом господарювання облікової політики, включаючи причини для внесення змін до неї. Аудитор повинен оцінити, чи є облікова політика суб'єкта господарювання прийнятною для його діяльності та чи відповідає вона застосовній концептуальній основі фінансової звітності й обліковим політикам, які застосовуються у відповідній галузі (див. параграф Д28);

г) цілі та стратегії суб'єкта господарювання і пов'язані з ними бізнес-ризики, які можуть призвести до ризиків суттєвого викривлення (див. параграфи Д29—Д35);

ґ) оцінка та огляд фінансових результатів суб'єкта господарювання (див. параграфи Д36—Д41).

Внутрішній контроль суб 'єкта господарювання

12. Аудитор повинен отримати розуміння внутрішнього контролю, доречного для аудиту. Хоча більшість заходів контролю, доречних для аудиту, ймовірно, стосуються фінансової звітності, не всі заходи контролю, що стосуються фінансової звітності, є доречними для аудиту. Рішення, чи є захід контролю окремо або у поєднанні з іншими заходами доречним для аудиту, є питанням професійного судження аудитора (див. параграфи Д42—Д65).

279

МСА 315

Характер та обсяг розуміння доречних заходів контролю

13. При отриманні розуміння заходів контролю, що є доречними для аудиту, аудитор повинен оцінити їх структуру та визначити, чи були вони впроваджені, через виконання відповідних процедур на додаток до подання запиту до персоналу суб'єкта господарювання (див. параграфи Д66—Д68).

Компоненти внутрішнього контролю

Середовище контролю

14. Аудитор має отримати розуміння середовища контролю. Для цього він повинен оцінити таке:

а) чи створив та підтримує управлінський персонал під наглядом тих, кого наділено найвищими повноваженнями, культуру чесності й етичної поведінки; та

б) чи створюють у сукупності елементи середовища контролю прийнятну основу для інших компонентів внутрішнього контролю та чи справляють недоліки середовища контролю негативний вплив на ці інші компоненти (див. параграфи Д69—Д78).

Процес оцінки ризиків суб'єкта господарювання

15. Аудитор повинен отримати розуміння того, чи передбачено у суб'єкта господарювання процес для:

а) ідентифікації бізнес-ризиків, доречних для цілей фінансової звітності;

б) оцінки значущості ризиків;

в) оцінки ймовірності їх виникнення; та

г) прийняття рішень про механізми розгляду цих ризиків (див. параграф Д79).

16. Якщо суб'єкт господарювання встановив такий процес (далі у тексті — процес оцінки ризиків суб'єкта господарювання), аудитор повинен отримати розуміння такого процесу та його результатів. Якщо аудитор ідентифікує ризики суттєвого викривлення, які не вдалося ідентифікувати управлінському персоналу, він повинен оцінити, чи існує будь-який основний ризик, який, на думку аудитора, мав бути ідентифікований процесом оцінки ризиків суб'єкта господарювання. Якщо такий ризик існує, аудитор повинен отримати розуміння того, чому цей процес не зміг його ідентифікувати та оцінити, чи є цей процес прийнятним за таких обставин, або визначити, чи існують суттєві недоліки внутрішнього контролю щодо процесу оцінки ризиків суб'єкта господарювання.

17. Якщо суб'єкт господарювання не встановив такого процесу або процес є несистематичним, аудитор повинен обговорити з управлінським персоналом, чи були виявлені доречні для цілей фінансової звітності

МСА 315

280

бізнес-ризики та в який спосіб їх було розглянуто. Аудитор повинен оцінити, чи є прийнятною за таких обставин відсутність задокументованого процесу оцінки ризиків, або визначити, чи є це суттєвим недоліком внутрішнього контролю (див. параграф Д80).

Інформаційна система, включаючи пов'язані бізнес-процеси, доречні для

фінансової звітності, та повідомлення інформації

18. Аудитор повинен отримати розуміння інформаційної системи, включаючи пов'язані бізнес-процеси, доречні для фінансової звітності, включаючи такі сфери:

а) класи операцій у діяльності суб'єкта господарювання, які є значними для фінансової звітності;

б) процедури у рамках як системи інформаційних технологій (ІТ), так і ручних систем для ініціалізації, запису, обробки, коригування цих операцій, у разі потреби перенесення до головної бухгалтерської книги та відображення у фінансовій звітності;

в) відповідні облікові записи, підтверджувальна інформація та окремі рахунки у фінансовій звітності, які використовуються для ініціалізації, запису, обробки та реєстрації операцій; це включає виправлення неправильної інформації та те, як інформація переноситься до головної бухгалтерської книги. Записи можуть вестися вручну або в електронній формі;

г) як інформаційна система реєструє події та умови, які не є операціями та які є значними для фінансової звітності;

ґ) процес фінансової звітності, який застосовується для складання фінансової звітності суб'єкта господарювання, включаючи значні облікові оцінки та розкриття; і

д) заходи контролю за журнальними записами, включаючи нестандартні журнальні записи, які роблять для реєстрації разових, незвичайних операцій або коригувань (див. параграфи Д81—Д85).

19. Аудитор повинен отримати розуміння того, як суб'єкт господарювання повідомляє інформацію про ролі та відповідальність щодо фінансової звітності, та суттєві питання, пов'язані з фінансовою звітністю, включаючи (див. параграфи Д86—Д87):

а) обмін інформацією між управлінським персоналом та тими, кого наділено найвищими повноваженнями; і

б) зовнішній обмін інформацією, наприклад з регуляторними органами.

Заходи контролю, доречні для аудиту

20. Аудитор повинен отримати розуміння заходів контролю, доречних для аудиту, які, за його судженням, необхідно розуміти з метою оцінки ризиків суттєвого викривлення на рівні тверджень і розробки подальших

281

МСА 315

аудиторських процедур у відповідь на оцінені ризики. Для аудиту не потрібно розуміння всіх заходів контролю, пов'язаних з кожним суттєвим класом операцій, залишком на рахунках та розкриттям інформації у фінансовій звітності або з кожним твердженням щодо них (див. параграфи Д88—Д94).

21. Отримуючи розуміння заходів контролю суб'єкта господарювання, аудитор повинен отримати розуміння того, як суб'єкт господарювання відповів на ризики, що виникають з ІТ (див. параграфи Д95—Д97).

Моніторинг заходів контролю

22. Аудитор повинен отримати розуміння основних заходів, які суб'єкт господарювання використовує для моніторингу внутрішнього контролю за фінансовою звітністю, включаючи ті, що стосуються доречних для аудиту заходів контролю, а також те, як суб'єкт господарювання ініціює заходи з виправлення недоліків у своїх заходах контролю (див. параграфи Д98 —Д100).

23. Якщо суб'єкт господарювання має підрозділ внутрішнього аудиту¹, з метою визначення, чи є доречною для аудиту діяльність підрозділу внутрішнього аудиту, аудитор повинен отримати розуміння такого:

а) характер відповідальності підрозділу внутрішнього аудиту та як підрозділ внутрішнього аудиту вписується в організаційну структуру суб'єкта господарювання; і

б) заходи, які вживаються або яких треба вжити підрозділом внутрішнього аудиту (див. параграфи Д101—Д103).

24. Аудитор повинен отримати розуміння джерел інформації, яка застосовується у моніторинговій діяльності суб'єкта господарювання, та основу, на підставі якої управлінський персонал вважає цю інформацію достатньо достовірною для цієї мети (див. параграф Д104).

Ідентифікація та оцінка ризиків суттєвого викривлення

25. Аудитор повинен ідентифікувати та оцінити ризики суттєвого викривлення:

а) на рівні фінансової звітності (див. параграфи Д105—Д108); та

б) на рівні твердження для класів операцій, залишків на рахунках і розкриття інформації (див. параграфи Д109—Д113) для того, щоб створити основу для розробки й виконання подальших аудиторських процедур.

¹ Термін «підрозділ внутрішнього контролю» визначено у МСА 610 «Використання роботи внутрішніх аудиторів» (пункт 7а) як: «діяльність з оцінювання, яка організована як підрозділ суб'єкта господарювання або надається йому як послуга. Її функції охоплюють серед іншого перевірку, оцінку та моніторинг достатності й ефективності внутрішнього контролю».

МСА 315

282

26. З цією метою аудитор повинен:

а) ідентифікувати ризики у процесі отримання розуміння суб'єкта господарювання та його середовища, включаючи доречні заходи контролю, які стосуються ризиків, і через аналіз класів операцій, залишків на рахунках і розкриття інформації у фінансовій звітності (див. параграфи Д114—Д115);

б) оцінити ідентифіковані ризики та встановити, чи мають вони більш всеохоплюючий вплив на фінансову звітність у цілому і чи впливають вони потенційно на більшість тверджень;

в) ув'язати ідентифіковані ризики із тим, що може бути не так на рівні тверджень, ураховуючи відповідні заходи контролю, які аудитор планує тестувати (див. параграфи Д116—Д118); та

г) розглянути ймовірність викривлення, включаючи можливість численних викривлень, і встановити, чи може потенційне викривлення призвести до суттєвого викривлення.

Ризики, які потребують спеціального розгляду аудитором

27. В межах оцінки ризиків згідно з процедурою, описаною у параграфі 25, аудитор повинен встановити, чи є будь-які з ідентифікованих ризиків, за судженням аудитора, значними. При здійсненні такого судження аудитор повинен виключити вплив ідентифікованих заходів контролю, що стосуються такого ризику.

28. При здійсненні судження щодо того, які ризики є значними, аудитор повинен проаналізувати щонайменше таке:

а) чи є ризик ризиком шахрайства;

б) чи пов'язаний ризик із нещодавніми значними економічними, обліковими та іншими обставинами і, відтак, потребує особливої уваги;

в) складність операцій;

г) чи має такий ризик відношення до значних операцій з пов'язаними сторонами;

ґ) рівень суб'єктивності при здійсненні оцінки фінансової інформації, що стосується ризику, особливо таких оцінок, які пов'язані з високим рівнем невизначеності оцінки; та

д) чи включає ризик значні операції, що виходять за межі звичайної господарської діяльності суб'єкта господарювання або по-іншому є незвичайними (див. параграфи Д119—Д123).

29. Якщо аудитор установив, що існує значний ризик, він повинен отримати розуміння заходів контролю суб'єкта господарювання, включаючи заходи контролю, доречні для такого ризику (див. параграфи Д124—Д126).

283

МСА 315

Ризики, для яких лише процедури перевірки по суті не надають достатніх та

прийнятних аудиторських доказів

30. Стосовно деяких ризиків аудитор може винести судження про неможливість або недоцільність отримання достатніх та прийнятних аудиторських доказів лише за допомогою процедур перевірки по суті. Такі ризики можуть бути пов'язані із неточним або неповним відображенням звичайних та суттєвих класів операцій чи залишків на рахунках, характеристики яких часто дають змогу здійснювати їх автоматизовану обробку без або з незначною кількістю ручних операцій. У таких випадках заходи контролю суб'єкта господарювання стосовно таких ризиків є важливими для аудиту, і аудитор повинен отримати їх розуміння (див. параграфи Д127—Д129).

Перегляд оцінки ризиків

31. Оцінка аудитором ризиків суттєвого викривлення на рівні тверджень може змінюватися в ході аудиту в міру отримання додаткових аудиторських доказів. За обставин, коли аудитор отримує аудиторські докази під час проведення подальших аудиторських процедур або при отриманні нової інформації, які не відповідають аудиторським доказам, на яких ґрунтувалася первинна оцінка аудитора, аудитор повинен переглянути таку оцінку та відповідно модифікувати подальші заплановані аудиторські процедури (див. параграф Д130).

Документація

32. Аудитор повинен включити до аудиторської документації таке²:

а) обговорення з членами аудиторської групи із завдання, якщо це вимагається параграфом 10, та прийняті суттєві рішення;

б) основні елементи розуміння, отримані стосовно кожного аспекту діяльності суб'єкта господарювання та його середовища, які зазначені в параграфі 11, та кожного компонента внутрішнього контролю із зазначених у параграфах 14—24; джерела інформації, з яких було отримано розуміння, та виконані процедури оцінки ризиків;

в) ідентифіковані й оцінені ризики суттєвого викривлення на рівні фінансової звітності та на рівні тверджень згідно з параграфом 25; та

г) ідентифіковані ризики та пов'язані заходи контролю, про які аудитор отримав розуміння в результаті виконання вимог параграфів 27—30 (див. параграфи Д131— Д134).

•k "k "к

² МСА 230 «Аудиторська документація», параграфи 8—11 і параграф Д6.

МСА 315

284

Матеріали для застосування та інші пояснювальні матеріали

Процедури оцінки ризиків та пов'язані дії (див. параграф 5)

Д1. Отримання розуміння суб'єкта господарювання та його середовища, включаючи внутрішній контроль (далі у тексті — розуміння суб'єкта господарювання), є постійним і динамічним процесом збору, оновлення й аналізу інформації протягом усього аудиту. Таке розуміння формує систему критеріїв, у межах якої аудитор планує аудит та здійснює професійні судження в ході всього аудиту, наприклад при:

• оцінці ризиків суттєвого викривлення фінансової звітності;

• визначенні суттєвості відповідно до МСА 320³;

• розгляді прийнятності вибору та застосування облікових політик і достатності розкриття інформації у фінансовій звітності;

• ідентифікації сфер, які можуть вимагати спеціального розгляду аудитором, наприклад операції з пов'язаними сторонами, прийнятність використання управлінським персоналом припущення щодо безперервності або аналіз ділової мети операцій;

• формулювання очікувань для використання при виконанні аналітичних процедур;

• здійсненні дій у відповідь на оцінені ризики суттєвого викривлення, включаючи розробку та виконання подальших аудиторських процедур для отримання достатніх і прийнятних аудиторських доказів; та

• оцінці достатності та прийнятності отриманих аудиторських доказів, таких як прийнятність припущень, усних і письмових запевнень управлінського персоналу.

Д2. Інформація, отримана внаслідок виконання процедур оцінки ризиків і пов'язаних заходів, може використовуватись аудитором як аудиторські докази для підтвердження оцінок ризиків суттєвого викривлення. Крім того, аудитор може отримати аудиторські докази щодо класів операцій, залишків на рахунках або розкриття інформації та відповідних тверджень, а також щодо операційної ефективності заходів контролю, навіть якщо такі процедури не планувались окремо як процедури по суті або тести заходів контролю. Аудитор може також вирішити виконати процедури по суті або тести заходів контролю одночасно з процедурами оцінки ризиків, оскільки це буде ефективно.

Д3. Аудитор використовує професійне судження для визначення обсягу необхідного розуміння. Основну увагу при розгляді аудитор приділяє

³ МСА 320 «Суттєвість при плануванні та проведенні аудиту».

285 МСА 315

ІДЕНТИФІКАЦІЯ ТА ОЦІНКА РИЗИКІВ СУТТЄВИХ ВИКРИВЛЕНЬ ЧЕРЕЗ

РОЗУМІННЯ СУБ'ЄКТА ГОСПОДАРЮВАННЯ І ЙОГО СЕРЕДОВИЩА

Д4.

Д5.

⁴ МСА 240 «Відповідальність аудитора, що стосується шахрайства, при аудиті фінансової звітності», параграфи 12—24.

МСА 315 286

запитання, чи задовільно відреагував управлінський персонал на результати таких процедур;

• запити до працівників, які займаються ініціюванням, обробкою або реєстрацією складних чи незвичайних операцій, можуть допомогти аудитору оцінити прийнятність вибору і застосування певної облікової політики;

• запити до внутрішнього юридичного консультанта суб'єкта господарювання можуть надати інформацію з таких питань, як судові справи, дотримання законів і нормативних актів, знання про шахрайство або підозрюване шахрайство, що може вплинути на суб'єкт господарювання, гарантії, післяпродажні зобов'язання, домовленості (наприклад, про створення спільних підприємств) із діловими партнерами та значення контрактних умов;

• запити до персоналу відділу маркетингу або відділу реалізації можуть надати інформацію про зміни у маркетингових стратегіях суб'єкта господарювання, його тенденції реалізації або контрактні домовленості з його клієнтами.

Аналітичні процедури (див. параграф 6 б)

Д7. Аналітичні процедури, виконані як процедури оцінки ризиків, можуть ідентифікувати ті аспекти діяльності суб'єкта господарювання, про які аудитор не знав, і можуть допомогти при оцінці ризиків суттєвого викривлення для створення основи для розробки і впровадження дій у відповідь на такі оцінені ризики. Аналітичні процедури, виконані як процедури оцінки ризиків, можуть включати як фінансову, так і нефінансову інформацію, наприклад зв'язок між реалізацією та площею торгової точки або обсягами проданих товарів.

Д8. Аналітичні процедури можуть допомогти ідентифікувати існування незвичайних операцій або подій та сум, коефіцієнтів і тенденцій, які можуть потребувати аудиторської перевірки. Ідентифіковані незвичайні або неочікувані зв'язки можуть допомогти аудитору при виявленні ризиків суттєвого викривлення, особливо ризиків суттєвого викривлення внаслідок шахрайства.

Д9. Проте якщо в таких аналітичних процедурах використовуються дані, зібрані на високому рівні (що спостерігається в тому разі, якщо аналітичні процедури виконуються як процедури оцінки ризиків), результати таких аналітичних процедур є тільки попереднім свідченням того, чи може мати місце суттєве викривлення. Відповідно в таких випадках розгляд іншої інформації, яка була зібрана при ідентифікації ризиків суттєвого викривлення, разом із результатами таких аналітичних процедур може допомогти аудитору отримати розуміння й оцінити результати аналітичних процедур.

287 МСА 315

Міркування, характерні для малих підприємств

Д10. Деякі малі підприємства можуть не мати проміжної або місячної фінансової інформації, яка може використовуватися для аналітичних процедур. За таких обставин, незважаючи на те що аудитор може бути здатний виконати обмежені аналітичні процедури для цілей планування аудиту або отримання певної інформації через подання запитів, аудитору може бути необхідно спланувати виконання аналітичних процедур для ідентифікації та оцінки ризиків суттєвого викривлення, якщо доступним є попередній проект фінансової звітності суб'єкта господарювання.

Спостереження та перевірка (див. параграф 6 в)

Д11. Спостереження та перевірка можуть супроводжувати подання запитів до управлінського персоналу й інших осіб і можуть також надати інформацію про суб'єкт господарювання та його середовище. Приклади таких аудиторських процедур включають спостереження або перевірку такого:

• операцій суб'єкта господарювання;

• документів (наприклад, бізнес-планів та стратегій), записів та інструкцій з внутрішнього контролю;

• звітів, складених управлінським персоналом (наприклад, квартальних звітів управлінського персоналу та проміжної фінансової звітності) і тими, кого наділено найвищими повноваженнями (наприклад, протоколів засідань ради директорів);

• адміністративних та виробничих приміщень суб'єкта господарювання.

Інформація, отримана у попередніх періодах (див. параграф 9)

Д12. Попередній досвід роботи аудитора із суб'єктом господарювання та аудиторські процедури, виконані під час попередніх аудитів, можуть надати аудитору інформацію про:

• попередні викривлення та чи були вони своєчасно виправлені;

• характер діяльності суб'єкта господарювання та його середовища, а також його внутрішній контроль (включаючи недоліки внутрішнього контролю);

• суттєві зміни, яких зазнав суб'єкт господарювання або його діяльність з попереднього фінансового періоду, які можуть допомогти аудитору отримати достатнє розуміння суб'єкта господарювання для ідентифікації та оцінки ризиків суттєвого викривлення.

Д13. Аудитор повинен визначити, чи залишається доречною інформація, отримана у попередніх періодах, якщо він має намір використати її для цілей поточного аудиту. Це потрібно тому, що зміни у середовищі

МСА 315 288

контролю, наприклад, можуть вплинути на доречність інформації, отриманої в попередньому році. Для того щоб визначити, чи відбулися зміни, які можуть вплинути на доречність такої інформації, аудитор може подати запити та виконати інші відповідні аудиторські процедури, такі як наскрізні перевірки відповідних систем.

Обговорення з членами аудиторської групи із завдання (див. параграф 10)

Д14. Обговорення з членами аудиторської групи із завдання чутливості фінансової звітності суб'єкта господарювання до суттєвого викривлення:

• дає можливість більш досвідченим членам аудиторської групи із завдання, включаючи партнера із завдання, поділитися своїми думками, які ґрунтуються на їх знанні суб'єкта господарювання;

• дає змогу членам аудиторської групи із завдання обмінюватись інформацією про бізнес-ризики, яких зазнає суб'єкт господарювання, та про те, як і на якому етапі фінансова звітність може бути чутливою до суттєвого викривлення внаслідок шахрайства або помилок;

• допомагає членам аудиторської групи із завдання отримати краще розуміння можливості суттєвого викривлення фінансової звітності в окремих сферах, закріплених за ними, та отримати розуміння, як результати виконуваних ними аудиторських процедур можуть вплинути на інші аспекти аудиту, включаючи рішення щодо характеру, строків та обсягу подальших аудиторських процедур;

• створює основу для повідомлення та обміну новою інформацією, отриманою у ході всього аудиту, що може вплинути на оцінку ризиків суттєвого викривлення або на аудиторські процедури, які виконуються з метою розгляду таких ризиків між членами аудиторської групи із завдання.

У МСА 240 викладено подальші вимоги та рекомендації стосовно обговорення серед членів аудиторської групи із завдання питання ризиків шахрайства⁵.

Д15. Не завжди необхідним або доцільним для обговорення є залучення всіх членів до одного обговорення (як, наприклад, у разі аудиту, що проводиться у багатьох місцях одночасно). Не обов'язково також інформувати усіх членів аудиторської групи із завдання про всі рішення, досягнуті при обговоренні. Партнер із завдання може обговорити питання з провідними членами аудиторської групи із завдання, включаючи, якщо вважається прийнятним, осіб зі спеціальними навичками або знанням та осіб, відповідальних за аудит компонентів, і делегувати проведення обговорень з іншими особами з урахуванням рівня поінформованості членів аудиторської групи із завдання, який вважається необхідним у її

⁵ МСА 240, параграф 15.

289

МСА 315

межах. Корисним може бути план повідомлення інформації, узгоджений із партнером із завдання.

Аспекти, характерні для малих підприємств

Д16. Багато малих аудитів повністю проводиться партнером із завдання (який може бути єдиним фахівцем-практиком). У таких ситуаціях саме партнер із завдання, який особисто здійснював планування аудиту, відповідатиме за розгляд чутливості фінансової звітності суб'єкта господарювання до суттєвих викривлень внаслідок шахрайства або помилок.

Необхідне розуміння суб'єкта господарювання та його середовища, включаючи внутрішній контроль

Суб'єкт господарювання та його середовище

Галузеві, регуляторні та інші зовнішні чинники (див. параграф 11а) Галузеві чинники

Д17. Доречні галузеві чинники включають галузеві умови, такі як конкурентне середовище, відносини між постачальником та клієнтом, а також технологічні розробки. Приклади питань, які аудитор може враховувати, охоплюють:

• ринок і конкуренцію, включаючи попит, місткість ринку та цінову конкуренцію;

• циклічну або сезонну діяльність;

• виробничу технологію, пов'язану із продукцією суб'єкта господарювання;

• постачання та вартість електроенергії.

Д18. Галузь, у якій здійснює діяльність суб'єкт господарювання, може обумовлювати виникнення певних ризиків суттєвого викривлення, які виникають з характеру діяльності або рівня регулювання. Наприклад, довгострокові контракти можуть передбачати значні орієнтовні суми доходів і витрат, які призводять до виникнення ризиків суттєвого викривлення. У таких випадках важливо, щоб до складу аудиторської групи із завдання входили особи, які мають достатні відповідні знання та досвід⁶.

Регуляторні чинники

Д19. Відповідні регуляторні чинники включають регуляторне середовище. Регуляторне середовище охоплює серед іншого застосовну концептуальну основу фінансової звітності та правове і політичне середовище. Прикладами чинників, які може проаналізувати аудитор, є такі:

⁶ МСА 220 «Контроль якості аудиту фінансової звітності», параграф 14.

МСА 315

290

• облікові принципи та галузеві практики;

• нормативна база для регульованої галузі;

• законодавчі та нормативні положення, які суттєво впливають на діяльність суб'єкта господарювання, включаючи прямий нагляд;

• оподаткування (корпоративне та інше);

• урядова політика, що на даний момент впливає на ведення діяльності суб'єкта господарювання, а саме монетарна, включаючи валютний контроль, фіскальна, фінансове стимулювання (наприклад, програми урядової допомоги) і тарифна політика, або політика торгових обмежень;

• екологічні вимоги, які впливають на галузь або діяльність суб'єкта господарювання.

Д20. У МСА 250 наведено деякі конкретні вимоги, які стосуються законодавчої та нормативної бази, що застосовується до суб'єкта господарювання і галузі або сектору, в яких суб'єкт господарювання здійснює діяльність⁷.

Аспекти, характерні для суб'єктів господарювання державного сектору

Д21. При аудитах суб'єктів господарювання державного сектору закони, нормативні акти або інші керівні документи можуть впливати на діяльність суб'єкта господарювання. Такі елементи важливо враховувати при отриманні розуміння суб'єкта господарювання і його середовища.

Інші зовнішні чинники

Д22. Прикладами інших зовнішніх чинників, які впливають на суб'єкт господарювання та які аудитор може враховувати, є загальні економічні умови, відсоткові ставки та наявність фінансування, а також інфляція або ревальвація грошової одиниці.

Характер суб'єкта господарювання (див. параграф 11 б)

Д23. Розуміння характеру суб'єкта господарювання дає змогу аудитору отримати розуміння такого:

• Чи має суб'єкт господарювання складну структуру, наприклад дочірні підприємства або інші компоненти у багатьох місцях. Складна структура часто створює проблеми, які, в свою чергу, можуть спричинити виникнення ризиків суттєвого викривлення. Ці питання можуть включати таке: чи належно враховуються гудвіл, спільні підприємства, інвестиції або суб'єкти господарювання спеціального призначення.

⁷ МСА 250 «Розгляд законодавчих та нормативних актів при аудиті фінансової звітності», параграф 12.

291

МСА 315

• Форма власності та відносини між власниками і іншими фізичними особами або суб'єктами господарювання. Розуміння цих чинників допомагає при визначенні того, чи були ідентифіковані та належно відображені у звітності операції з пов'язаними сторонами. МСА 550⁸ встановлює вимоги і надає рекомендації щодо розгляду аудитором питань, які стосуються пов'язаних сторін.

Д24. Приклади питань, які аудитор може розглянути при отриманні розуміння

суб'єкта господарювання, включають:

• Бізнес-операції, такі як:

о характер джерел прибутку, продуктів або послуг і ринків, включаючи участь в електронній торгівлі, тобто Інтернет-продажах та маркетинговій діяльності;

о ведення діяльності (наприклад, етапи та методи виробництва або діяльність, що наражається на природоохоронні ризики);

о об'єднання, спільні підприємства та залучення сторонніх виконавців;

о географічне поширення і галузева сегментація;

о місцезнаходження виробничих приміщень, складів і адміністративних приміщень та місцезнаходження і кількість товарно-матеріальних запасів;

о основні клієнти та важливі постачальники товарів і послуг, трудові домовленості (включаючи існування угод із профспілками, пенсії та інші винагороди після завершення трудової діяльності, опціони на акції або заохочувальні премії та урядове регулювання трудової діяльності);

о діяльність і витрати на дослідження та розробки;

о операції з пов'язаними сторонами.

• Інвестиції та інвестиційна діяльність, а саме:

о заплановані або нещодавно здійснені придбання або відчуження; о інвестиції та розпорядження цінними паперами і позиками; о діяльність з капітального інвестування;

о інвестиції у сконсолідовані суб'єкти господарювання, включаючи партнерства, спільні підприємства та суб'єкти господарювання спеціального призначення.

• Фінансування і фінансова діяльність, а саме:

о основні дочірні та асоційовані підприємства, включаючи консолідовані та сконсолідовані структури;

⁸ МСА 550 «Пов'язані сторони».

МСА 315

292

о структура боргу та пов'язані умови, включаючи позабалансове фінансування і лізинг;

о бенефіціарні власники (місцеві, зарубіжні, ділова репутація і досвід) та пов'язані сторони;

о використання похідних фінансових інструментів. • Фінансова звітність, а саме:

о облікові принципи і галузеві практики, включаючи важливі галузеві категорії (наприклад, позики та інвестиції для банків або дослідження й розробки для фармацевтичних підприємств);

о практика визнання доходів;

о облік справедливих цін;

о валютні активи, зобов'язання й операції;

о облік незвичайних або складних операцій, включаючи операції в неоднозначних або зростаючих сферах (наприклад, облік компенсацій на основі акцій).

Д25. Значні зміни в рамках суб'єкта господарювання порівняно з попередніми періодами можуть спричинити або змінити ризики суттєвого викривлення.

Характер суб'єктів господарювання спеціального призначення

Д26. Суб'єкт господарювання спеціального призначення (іноді іменований цільовою компанією) є суб'єктом господарювання, який зазвичай створюється для вузького та чітко визначеного призначення, наприклад для здійснення оренди або сек'юритизації фінансових активів або для ведення діяльності з досліджень та розробок. Такий суб'єкт може мати форму корпорації, трасту, партнерства або некорпоративного підприємства. Суб'єкт господарювання, за дорученням якого було створене підприємство спеціального призначення, часто може передавати активи останньому (наприклад, частину операції списання з балансу фінансових активів), отримувати право використовувати активи останнього або надавати останньому послуги, тоді як інші сторони можуть надавати фінансування останньому. Як зазначено в МСА 550, за деяких обставин підприємство спеціального призначення може бути пов'язаною стороною суб'єкта господарювання⁹.

Д27. Концептуальні основи фінансової звітності часто визначають детальні умови стосовно контролю або обставини, за яких суб'єкт господарювання спеціального призначення повинен розглядатися для консолідації. Тлумачення вимог таких концептуальних основ часто

⁹ МСА 550, параграф Д7.

293

МСА 315

вимагає вичерпного знання відповідних угод із суб'єктом господарювання спеціального призначення.

Вибір і застосування облікових політик суб'єктом господарювання (див. параграф 11 в)

Д28. Розуміння вибору та застосування суб'єктом господарювання облікових політик може охоплювати такі питання:

• методи, які використовує суб'єкт господарювання для обліку важливих і незвичайних операцій;

• вплив важливих облікових політик у спірних або зростаючих сферах, стосовно яких немає офіційних керівництв або згоди;

• зміни в облікових політиках суб'єкта господарювання;

• стандарти фінансової звітності, закони та нормативні акти, які є новими для суб'єкта господарювання, і коли та як суб'єкт господарювання прийматиме такі вимоги.

Цілі і стратегії та пов'язані бізнес-ризики (див. параграф 11г)

Д29. Суб'єкт господарювання здійснює свою діяльність у контексті галузевих, регуляторних та інших внутрішніх і зовнішніх чинників. Для здійснення дій у відповідь на такі чинники управлінський персонал суб'єкта господарювання або ті, кого наділено найвищими повноваженнями, визначають цілі, які є загальними планами суб'єкта господарювання. Стратегіями слугують підходи, за допомогою яких управлінський персонал має намір досягти своїх цілей. Цілі та стратегії суб'єкта господарювання можуть змінюватись у часі.

Д30. Бізнес-ризик є ширшим, ніж ризик суттєвого викривлення фінансової звітності, хоча й включає останній. Бізнес-ризик може виникнути внаслідок зміни або складності. Невизнання необхідності у змінах також може призвести до виникнення бізнес-ризику. Бізнес-ризик може виникати, наприклад, внаслідок:

• розробки нової продукції або послуг, що можуть зазнати невдачі;

• ринку, який навіть у разі успішного розвитку є недостатнім для підтримки продукту чи послуги; або

• дефектів продукції або послуги, які можуть призвести до відповідальності та ризику погіршення репутації.

Д31. Розуміння бізнес-ризиків, на які наражається суб'єкт господарювання, збільшує ймовірність ідентифікації ризиків суттєвого викривлення, оскільки більшість бізнес-ризиків зрештою матимуть фінансові наслідки і, отже, вплив на фінансову звітність. Однак аудитор не несе відповідальності за ідентифікацію або оцінку всіх бізнес-ризиків, оскільки не всі бізнес-ризики призводять до виникнення ризиків суттєвого викривлення.

МСА 315

294

Д32. Приклади питань, які аудитор може розглянути при отриманні розуміння цілей, стратегій та пов'язаних бізнес-ризиків суб'єкта господарювання, що можуть призвести до виникнення ризику суттєвого викривлення фінансової звітності, включають:

• галузеві зміни (потенційний пов'язаний бізнес-ризик може полягати, наприклад, у відсутності у суб'єкта господарювання персоналу або досвіду для реагування на зміни в галузі);

• нові продукти та послуги (потенційний пов'язаний бізнес-ризик може полягати, наприклад, у підвищенні відповідальності за продукцію);

• розширення діяльності (потенційний пов'язаний бізнес-ризик може полягати, наприклад, у тому, що попит не був точно оцінений);

• нові вимоги до обліку (потенційний пов'язаний бізнес-ризик може полягати, наприклад, у неповному або неналежному їх впровадженні чи збільшенні витрат);

• регуляторні вимоги (потенційний пов'язаний бізнес-ризик може полягати, наприклад, у тому, що існують підвищені юридичні ризики);

• поточні та перспективні вимоги щодо фінансування (потенційний пов'язаний бізнес-ризик може полягати, наприклад, у втраті фінансування внаслідок недотримання вимог суб'єктом господарювання);

• застосування ІТ-технологій (потенційний пов'язаний бізнес-ризик може полягати, наприклад, у несумісності систем і процесів);

• вплив впровадження стратегії, зокрема будь-який вплив, що призведе до нових вимог до обліку (потенційний пов'язаний бізнес-ризик може полягати, наприклад, у неповному або неналежному впровадженні).

Д33. Бізнес-ризик може мати безпосередні наслідки для ризику суттєвого викривлення щодо класів операцій, залишків на рахунках і розкриття інформації на рівні тверджень або на рівні фінансової звітності. Наприклад, бізнес-ризик, пов'язаний зі зменшенням клієнтської бази, може збільшити ризик суттєвого викривлення, пов'язаний з оцінкою дебіторської заборгованості. Проте цей ризик, особливо у поєднанні зі скороченням економіки, може також мати довгострокові наслідки, які аудитор враховує при оцінці прийнятності припущення щодо безперервності. Питання про те, чи призведе бізнес-ризик до виникнення ризику суттєвого викривлення, розглядається з урахуванням умов, у яких перебуває суб'єкт господарювання. Приклади подій та умов, які можуть вказувати на ризики суттєвого викривлення, наведені у додатку 2.

Д34. Зазвичай управлінський персонал ідентифікує бізнес-ризики та розробляє підходи до їх розгляду. Такий процес оцінки ризиків є частиною

295 МСА 315

внутрішнього контролю і розглядається в параграфі 15 та параграфах Д79-Д80.

Аспекти, характерні для суб'єктів господарювання державного сектору

Д35. При аудитах суб'єктів господарювання державного сектору цілі управлінського персоналу можуть зазнавати впливу питань щодо відповідальності державного сектору і можуть включати цілі, обумовлені в законах, нормативних актах та інших керівних документах.

Оцінка та огляд фінансових результатів суб'єкта господарювання (див. параграф 11г)

Д36. Управлінський персонал та інші особи здійснюватимуть оцінку і огляд тих питань, які вони вважають важливими. Показники оцінки, внутрішні або зовнішні, створюють тиск на суб'єкт господарювання. Такий тиск, у свою чергу, може мотивувати управлінський персонал вжити заходів для поліпшення показників господарської діяльності або викривлення інформації у фінансовій звітності. Відповідно розуміння показників оцінки суб'єкта господарювання допомагає аудитору при розгляді того, чи може тиск у напрямі досягнення намічених завдань призвести до дій управлінського персоналу, які збільшують ризик суттєвого викривлення, включаючи викривлення внаслідок шахрайства. МСА 240 містить більш детальні вимоги та рекомендації стосовно ризику шахрайства.

Д37. Оцінка та огляд фінансових результатів не є тим самим, що й моніторинг заходів контролю (описаний як компонент внутрішнього контролю у параграфах Д98—Д104), хоча їхні цілі можуть збігатися:

• оцінка та огляд результатів спрямовані на визначення того, чи досягаються в ході господарської діяльності цілі, поставлені управлінським персоналом (або третіми сторонами);

• моніторинг заходів контролю конкретно стосується ефективної роботи внутрішнього контролю.

Однак у деяких випадках результати діяльності також надають інформацію, яка дає змогу управлінському персоналу ідентифікувати недоліки у внутрішньому контролі.

Д38. Приклади внутрішньо генерованої інформації, яка використовується управлінським персоналом для оцінки та огляду фінансових результатів і яку аудитор може розглянути, включають:

• основні показники діяльності (фінансові та нефінансові) і основні коефіцієнти, тенденції та операційну статистику;

• аналізи фінансових результатів за періодом;

• бюджети, прогнози, варіаційні аналізи, інформацію за сегментами та звіти про діяльність на рівні підрозділу, відділу або на інших рівнях;

МСА 315

296

• показники оцінки роботи працівників та політику стимулюючих компенсацій;

• порівняння оцінки діяльності суб'єкта господарювання з оцінкою конкурентів.

Д39. Зовнішні сторони також можуть здійснювати оцінку та огляд фінансових результатів суб'єкта господарювання. Наприклад, зовнішня інформація, така як звіти аналітиків і кредитно-рейтингових агенцій, може бути корисною для аудитора. Такі звіти часто можна отримати від суб'єкта господарювання, стосовно якого проводиться аудит.

Д40. Внутрішні оцінки можуть виявити неочікувані результати або тенденції, які вимагають від управлінського персоналу визначення їх причин і вжиття коригувальних заходів (включаючи в деяких випадках своєчасне виявлення та коригування викривлень). Показники оцінки також можуть вказувати аудитору на те, що ризики викривлення пов'язаної фінансової звітності дійсно існують. Наприклад, показники оцінки можуть свідчити про незвичайно швидке зростання прибутковості суб'єкта господарювання порівняно з іншими суб'єктами господарювання такої самої галузі. Така інформація, особливо у поєднанні з іншими чинниками, такими як премії за результатами роботи або стимулюючі винагороди, може свідчити про потенційний ризик упередженості управлінського персоналу при складанні фінансової звітності.

Аспекти, характерні для малих підприємств

Д41. На малих підприємствах часто не передбачено процесів оцінки та огляду фінансових результатів. Запити до управлінського персоналу можуть виявити той факт, що управлінський персонал покладається на певні основні показники оцінки фінансових результатів і вжиття відповідних заходів. Якщо результати таких запитів вказують на відсутність оцінки або огляду результатів, може мати місце підвищений ризик того, що викривлення не будуть виявлені й виправлені.

Внутрішній контроль суб'єкта господарювання (див. параграф 12)

Д42. Розуміння внутрішнього контролю допомагає аудитору при ідентифікації типів потенційних викривлень інформації та чинників, які впливають на ризики суттєвого викривлення, а також при розробці характеру, строків і обсягу подальших аудиторських процедур.

Д43. Наступний матеріал для застосування внутрішнього контролю наведено у чотирьох таких розділах:

• Загальний характер і характеристики внутрішнього контролю.

• Важливі для аудиту заходи контролю.

• Характер та обсяг розуміння важливих заходів контролю.

• Компоненти внутрішнього контролю.

297 МСА 315

Загальний характер і характеристики внутрішнього контролю

Призначення внутрішнього контролю

Д44. Внутрішній контроль розробляється, запроваджується та ведеться для реагування на виявлені бізнес-ризики, які перешкоджають досягненню будь-якої мети суб'єкта господарювання, яка стосується:

• достовірності фінансової звітності суб'єкта господарювання;

• ефективності та результативності його діяльності; і

• дотримання суб'єктом господарювання застосовних законів і нормативних актів.

Спосіб розробки, запровадження та ведення внутрішнього контролю змінюються залежно від розміру і складності суб'єкта господарювання.

Аспекти, характерні для малих підприємств

Д45. Малі підприємства можуть використовувати менш структуровані заходи та простіші процеси і процедури для досягнення своїх цілей.

Обмеження внутрішнього контролю

Д46. Внутрішній контроль незалежно від його ефективності може надати суб'єкту господарювання лише обгрунтовану впевненість щодо досягнення цілей фінансової звітності суб'єкта господарювання. На ймовірність досягнення цих цілей впливають властиві обмеження внутрішнього контролю. Ці обмеження включають реальність того, що людське судження при прийнятті рішень може бути помилковим і що збої у внутрішньому контролі можуть виникати внаслідок людської помилки. Наприклад, може бути помилка у структурі контролю або в зміні такого контролю. Так само робота контролю може не бути ефективною, як і у випадку, коли інформація, яка створюється в цілях внутрішнього контролю (наприклад, оперативний звіт про відхилення), не є ефективною, оскільки особа, відповідальна за огляд інформації, не розуміє її призначення або не вживає відповідних заходів.

Д47. Крім того, заходи контролю можуть бути обійдені внаслідок змови двох чи більше осіб або неприйнятного нехтування внутрішнім контролем з боку управлінського персоналу. Наприклад, управлінський персонал може укладати додаткові угоди з клієнтами, які змінюють умови стандартних угод купівлі-продажу суб'єкта господарювання, що може призвести до неналежного визнання прибутків. Може бути також обійдений або відключений контроль результатів редагування комп'ютерної програми, призначений для ідентифікації та реєстрації операцій, що перевищують встановлені кредитні ліміти.

Д48. Водночас при розробці та запровадженні заходів контролю управлінський персонал може здійснювати судження щодо характеру та

МСА 315

298

обсягу заходів контролю, які він обирає для запровадження, а також щодо характеру й обсягу ризиків, які він приймає.

Аспекти, характерні для малих підприємств

Д49. Малі підприємства часто мають менше працівників, що може обмежити обсяг розподілу обов'язків. Проте власник-керівник малого підприємства може бути спроможний здійснювати більш ефективний нагляд, ніж керівник більшого за розміром суб'єкта господарювання. Такий нагляд може компенсувати в цілому більш обмежені можливості для розподілу обов'язків.

Д50. З іншого боку, власник-керівник може бути більш здатним обійти заходи контролю, оскільки система внутрішнього контролю підприємства менш структурована. Цей факт бере до уваги аудитор при ідентифікації ризиків суттєвого викривлення внаслідок шахрайства.

Розподіл внутрішнього контролю на компоненти

Д51. Розподіл внутрішнього контролю на такі 5 компонентів для цілей цього МСА створює корисну базу для розгляду аудиторами того, як різні аспекти внутрішнього контролю суб'єкта господарювання можуть впливати на аудит:

а) середовище контролю;

б) процес оцінки ризиків суб'єкта господарювання;

в) інформаційна система, включаючи пов'язані бізнес-процеси, доречні для фінансової звітності, та повідомлення інформації;

г) заходи контролю; та

ґ) моніторинг заходів контролю.

Цей розподіл не обов'язково відображає те, як суб'єкт господарювання розробляє, запроваджує та веде внутрішній контроль, або те, як він може класифікувати будь-який окремий компонент. Аудитори можуть використовувати різну термінологію або концептуальні основи для описання різних аспектів внутрішнього контролю та їх впливу на аудит, які відрізняються від використаних у цьому МСА, за умови, що розглянуті та враховані всі компоненти, описані у цьому МСА.

Д52. Матеріали для застосування, які стосуються п'яти компонентів внутрішнього контролю та їх зв'язку з аудитом фінансової звітності, викладено далі в параграфах Д69—Д104. У додатку 1 викладено подальше пояснення цих компонентів внутрішнього контролю.

Характеристики ручних та автоматизованих елементів внутрішнього контролю, важливих для оцінки ризиків аудитором

Д53. Система внутрішнього контролю суб'єкта господарювання включає ручні і часто автоматизовані елементи. Характеристики ручних або

299 МСА 315

автоматизованих елементів є важливими для оцінки ризиків аудитором і подальших аудиторських процедур, які на ній грунтуються.

Д54. Використання ручних або автоматизованих елементів у внутрішньому контролі також впливає на спосіб ініціації, реєстрації, обробки та обліку операцій:

• Заходи контролю у ручній системі можуть включати такі процедури, як затвердження й огляди операцій, звірка та відстеження звірених статей. У противному разі суб'єкт господарювання може використовувати автоматизовані процедури для ініціації, реєстрації, обробки та обліку операцій; при цьому записи у електронному форматі замінюють паперові документи.

• Заходи контролю в ІТ-системах складаються з комбінації автоматизованих (наприклад, засоби контролю, вбудовані в комп'ютерні програми) і ручних засобів контролю. Крім того, ручні засоби контролю можуть бути незалежними від ІТ, можуть використовувати інформацію, створену ІТ, або можуть обмежуватися моніторингом ефективного функціонування ІТ та інших автоматизованих засобів контролю і обробкою винятків. Якщо ІТ використовується для ініціації, реєстрації, обробки чи обліку операцій або інших фінансових даних для включення у фінансову звітність, системи і програми можуть містити засоби контролю, пов'язані з відповідними твердженнями щодо матеріальних рахунків, або бути критичними для ефективного функціонування ручних засобів контролю, які залежать від ІТ.

Поєднання ручних та автоматизованих елементів у внутрішньому контролі суб'єкта господарювання варіюється залежно від характеру і складності використання ІТ суб'єктами господарювання.

Д55. Загалом ІТ сприяє внутрішньому контролю суб'єкта господарювання через надання можливості суб'єкту господарювання:

• послідовно застосовувати попередньо визначені бізнес-правила та виконувати складні розрахунки при обробці великих обсягів операцій або даних;

• поліпшувати своєчасність, доступність і точність інформації;

• спрощувати додатковий аналіз інформації;

• посилювати здатність моніторингу результатів діяльності суб'єкта господарювання та його політик і процедур;

• зменшувати ризик обходу заходів контролю; та

• посилювати здатність досягати ефективного розподілу обов'язків через запровадження засобів контролю безпеки у програмах, базах даних та операційних системах.

МСА 315

300

Д56. IT також накладає певні ризики на внутрішній контроль суб'єкта господарювання, включаючи, наприклад:

• покладання на системи або програми, які неточно обробляють дані, обробляють неточні дані, або і те, й інше;

• неавторизований доступ до даних, що може призвести до знищення даних або їх неналежної зміни, включаючи реєстрацію неавторизованих або неіснуючих операцій, або неточну реєстрацію операцій;

• окремі ризики можуть виникати у разі доступу багатьох користувачів до спільної бази даних;

• можливість отримання ІТ персоналом прав доступу, які перевищують права, необхідні для виконання ними своїх обов'язків, що порушує розподіл обов'язків;

• неавторизоване внесення змін у дані в базових файлах;

• неавторизоване внесення змін до систем або програм;

• невнесення необхідних змін до систем або програм;

• неналежне ручне втручання;

• потенційна втрата даних або неможливість доступу до даних у разі потреби.

Д57. Ручні елементи у внутрішньому контролі можуть бути більш доцільними, якщо вимагається здійснювати судження або діяти на власний розсуд щодо таких обставин:

• великі, незвичайні або разові операції;

• обставини, за яких складно визначити, передбачити або спрогнозувати помилки;

• за змінних обставин, які вимагають дій у відповідь, що виходять за межі існуючого автоматизованого контролю;

• у разі моніторингу ефективності автоматизованих засобів контролю.

Д58. Ручні елементи у внутрішньому контролі можуть бути менш надійними, ніж автоматизовані, оскільки їх можна простіше обійти, проігнорувати або відмінити, вони також є більш схильними до простих помилок і неточностей. Отже, послідовність застосування елементу ручного контролю не може бути передбачена. Елементи ручного контролю можуть бути менш доцільними для таких обставин:

• операції великого обсягу або постійні операції чи в ситуаціях, коли помилок, які можна передбачити або спрогнозувати, можна уникнути, виявити та виправити їх контрольними параметрами, які автоматизовані;

301 МСА 315

• заходи контролю, якщо особливі методи виконання контролю можуть бути належно сплановані й автоматизовані.

Д59. Обсяг і характер ризиків внутрішнього контролю варіюються залежно від характеру та характеристик інформаційної системи суб'єкта господарювання. Суб'єкт господарювання діє у відповідь на ризики, які виникають із використання ІТ або ручних елементів у внутрішньому контролі, через встановлення ефективних засобів контролю з урахуванням характеристик своєї інформаційної системи.

Важливі для аудиту заходи контролю

Д60. Існує прямий зв'язок між цілями суб'єкта господарювання та заходами контролю, які він запроваджує для забезпечення обгрунтованої впевненості їх досягнення. Цілі суб'єкта господарювання і відповідно його заходи контролю стосуються фінансової звітності, операцій та дотримання вимог; проте не всі з цих цілей та заходів контролю є важливими для оцінки ризиків аудитором.

Д61. Чинники, важливі для судження аудитора стосовно того, чи є захід контролю окремо або в комбінації з іншими заходами важливим для аудиту, можуть включати такі проблемні питання:

• суттєвість;

• значущість пов'язаного ризику;

• розмір суб'єкта господарювання;

• характер діяльності суб'єкта господарювання, включаючи його організаційну структуру та структуру власності;

• різноманітність і складність операцій суб'єкта господарювання;

• застосовні законодавчі та нормативні вимоги;

• обставини і застосовний компонент внутрішнього контролю;

• характер і складність систем, які є частиною внутрішнього контролю суб'єкта господарювання, включаючи використання організацій, що надають послуги;

• чи запобігає або виявляє та коригує певний захід контролю окремо або в комбінації з іншими заходами суттєве викривлення і якщо це так, то в який спосіб.

Д62. Заходи контролю за повнотою та точністю інформації, яка формується суб'єктом господарювання, можуть бути важливими для аудиту, якщо аудитор має намір скористатися цією інформацією при розробці та виконанні подальших процедур. Заходи контролю, які стосуються цілей діяльності та дотримання вимог, також можуть бути важливими для аудиту, якщо вони пов'язані з даними, які аудитор оцінює або використовує при застосуванні аудиторських процедур.

МСА 315

302

Д63. Внутрішній контроль за захистом активів від неавторизованого придбання, використання або розпорядження може включати заходи контролю, що стосуються цілей як фінансової звітності, так і діяльності. Розгляд таких заходів контролю аудитором зазвичай обмежується тими, що стосуються достовірності фінансової звітності.

Д64. Зазвичай суб'єкт господарювання має заходи контролю, пов'язані з цілями, які не є важливими для аудиту, тому їх не слід розглядати. Наприклад, суб'єкт господарювання може покладатися на складну систему автоматизованих засобів контролю для забезпечення ефективної та результативної роботи (наприклад, застосовна в авіакомпаніях система автоматизованих засобів контролю за дотриманням графіків рейсів), але ці засоби контролю звичайно не будуть важливими для аудиту. Крім того, хоча внутрішній контроль застосовується до всього суб'єкта господарювання або до будь-якого його операційного підрозділу чи бізнес-процесу, розуміння внутрішнього контролю, пов'язаного із кожним операційним підрозділом або бізнес-процесом суб'єкта господарювання, може не бути важливим для аудиту.

Аспекти, характерні для суб'єктів господарювання державного сектору

Д65. Аудитори державного сектору часто несуть додаткову відповідальність щодо внутрішнього контролю, наприклад вони зобов'язані звітувати про відповідність встановленому кодексу практики. Аудитори державного сектору можуть також нести відповідальність за звітування про дотримання вимог законів, нормативних актів та інших керівних документів. У результаті їх огляд внутрішнього контролю може бути ширшим і більш детальним.

Характер та обсяг розуміння відповідних заходів контролю (див. параграф 13)

Д66. Оцінка структури заходу контролю включає розгляд того, чи здатний захід контролю окремо або у поєднанні з іншими заходами контролю ефективно запобігти або виявити та виправити суттєві викривлення. Запровадження заходу контролю означає, що контроль існує і що суб'єкт господарювання його використовує. Оцінка запровадження неефективного заходу контролю навряд чи має рацію, тому насамперед розглядається структура заходу контролю. Неналежно розроблений захід контролю може відображати суттєвий недолік у внутрішньому контролі.

Д67. Процедури оцінки ризику для отримання аудиторських доказів щодо структури і запровадження відповідних засобів контролю можуть включати:

• подання запитів до персоналу суб'єкта господарювання;

• спостереження за застосуванням певних заходів контролю;

• перевірку документів і звітів;

303 МСА 315

• відстеження операцій через інформаційну систему, що стосується фінансової звітності.

Проте лише подання запитів є недостатнім для таких цілей.

Д68. Отримання розуміння заходів контролю суб'єкта господарювання є недостатнім для тестування їх операційної ефективності, якщо тільки систематична робота таких заходів контролю забезпечується автоматикою. Наприклад, отримання аудиторських доказів про запровадження ручного заходу контролю в будь-який час не надає аудиторських доказів щодо операційної ефективності заходу контролю у будь-який інший час протягом періоду аудиту. Однак у зв'язку із властивою послідовністю обробки ІТ (див. параграф Д55) виконання аудиторських процедур для того, щоб визначити, чи запроваджений автоматизований захід контролю може слугувати тестом операційної ефективності такого заходу контролю залежно від оцінки аудитора та тестування заходів контролю, таких як контроль за змінами програм. Тестування операційної ефективності заходів контролю більш детально описано в МСА 330¹⁰.

Компоненти внутрішнього контролю—середовище контролю (див. параграф 14)

Д69. Середовище контролю включає функції тих, кого наділено найвищими повноваженнями, та управлінського персоналу, відношення, інформованість і дії тих, кого наділено найвищими повноваженнями, та управлінського персоналу стосовно внутрішнього контролю суб'єкта господарювання і його важливості для суб'єкта господарювання. Середовище контролю задає тон організації, впливаючи на усвідомлення контролю її працівниками.

Д70. Елементи середовища контролю, які можуть бути доречними при отриманні розуміння середовища контролю, включають:

а) Повідомлення інформації та забезпечення дотримання професійної чесності й етичних цінностей — це основні елементи, які впливають на ефективність розробки, адміністрування та моніторингу заходів контролю.

б) Прихильність до компетентності — питання, такі як урахування управлінським персоналом рівня компетентності для певних посад та необхідних навичок і знань.

в) Участь тих, кого наділено найвищими повноваженнями — ознаки тих, кого наділено найвищими повноваженнями, такі як:

• незалежність від управлінського персоналу;

• досвід і статус;

• ступінь участі та отримуваної інформації, а також ретельний розгляд діяльності;

¹⁰МСА 330 «Дії аудитора у відповідь на оцінені ризики».

МСА 315

304

• прийнятність дій, включаючи міру, якою порушуються та відпрацьовуються з управлінським персоналом складні питання, а також взаємодія з внутрішніми та зовнішніми аудиторами.

г) Філософія та стиль роботи управлінського персоналу — характеристики управлінського персоналу, такі як:

• підхід до прийняття та управління бізнес-ризиками;

• відношення та дії стосовно фінансової звітності;

• відношення до обробки й обліку інформації та персоналу бухгалтерії.

ґ) Організаційна структура — база, в рамках якої плануються, виконуються, контролюються та перевіряються дії суб'єкта господарювання щодо досягнення своїх цілей.

д) Надання повноважень і відповідальності — питання, такі як: у який спосіб надаються повноваження та відповідальність за операційну діяльність і як встановлюються ієрархічні відносини щодо звітування та надання дозволів.

е) Кадрова політика і практика — політика і практика, що стосуються, наприклад, найму, профорієнтації, професійної підготовки, оцінки, консультування, просування по службі, компенсації та виправних дій.

Аудиторські докази щодо елементів середовища контролю

Д71. Відповідні аудиторські докази можуть бути отримані методом комбінації запитів та інших процедур оцінки ризиків, таких як доповнення запитів спостереженням або перевіркою документів. Наприклад, через подання запитів до управлінського персоналу і працівників аудитор може отримати розуміння того, як управлінський персонал доводить до відома працівників свої погляди на бізнес-практики та етичну поведінку. Після цього аудитор може встановити, чи були запроваджені відповідні заходи контролю через розгляд, наприклад, чи має управлінський персонал письмовий кодекс поведінки та чи діє він відповідно до нього.

Вплив середовища контролю на оцінку ризиків суттєвого викривлення

Д72. Деякі елементи середовища контролю суб'єкта господарювання мають всеохоплюючий вплив на оцінку ризиків суттєвого викривлення. Наприклад, на усвідомлення контролю суб'єктом господарювання значно впливають ті, кого наділено найвищими повноваженнями, оскільки однією з їх функцій є врівноваження тиску на управлінський персонал стосовно фінансової звітності, який може виникати з ринкових потреб або схем винагороди. На ефективність структури середовища контролю стосовно участі тих, кого наділено найвищими повноваженнями, впливають такі чинники:

305 МСА 315

• незалежність від управлінського персоналу та можливість оцінювати його дії;

• чи розуміють вони бізнес-операції суб'єкта господарювання;

• міра, якою вони оцінюють, чи складено фінансову звітність відповідно до застосовної концептуальної основи фінансової звітності.

Д73. Активна та незалежна рада директорів може впливати на філософію і стиль роботи вищого управлінського персоналу. Проте інші елементи можуть бути більш обмежені за своїм впливом. Наприклад, хоча кадрова політика і практика, спрямована на наймання компетентного фінансового, бухгалтерського та ІТ персоналу може допомагати зменшувати ризик помилок при обробці фінансової інформації, вона може не зменшувати сильну схильність вищого управлінського персоналу до завищення доходів.

Д74. Існування задовільного середовища контролю може бути позитивним чинником при оцінці аудитором ризиків суттєвого викривлення. Однак хоча воно й може допомогти зменшити ризик шахрайства, задовільне середовище контролю не є абсолютним стримувальним чинником для шахрайства. І навпаки, недоліки у середовищі контролю можуть знизити ефективність заходів контролю, зокрема тих, що стосуються шахрайства. Наприклад, неспроможність управлінського персоналу виділити достатні ресурси для реагування на ризики ІТ безпеки може негативно вплинути на внутрішній контроль, дозволяючи вносити неналежні зміни до комп'ютерних програм чи даних або обробляти неавторизовані операції. Як пояснюється в МСА 330, середовище контролю також впливає на характер, строки та обсяг подальших аудиторських процедур¹¹.

Д75. Саме по собі середовище контролю не запобігає, не виявляє і не виправляє суттєве викривлення. Однак воно може впливати на оцінку аудитором ефективності інших заходів контролю (наприклад, моніторинг заходів контролю та виконання окремих заходів контролю) і, отже, на оцінку аудитором ризиків суттєвого викривлення.

Аспекти, характерні для малих підприємств

Д76. Середовище контролю малих підприємств і великих суб'єктів господарювання, ймовірно, відрізняється. Наприклад, ті, кого наділено найвищими повноваженнями, на малих підприємствах можуть не включати незалежного або зовнішнього члена, і роль управління може виконувати безпосередньо власник-керівник, якщо немає інших власників. Характер середовища контролю може також впливати на значущість інших заходів контролю або на їх відсутність. Наприклад, активна участь власника-керівника може знизити окремі ризики, які

¹¹ МСА 330, параграфи Д2—Д3.

МСА 315

306

виникають з неналежного розподілу обов'язків на малому підприємстві; однак вона може збільшити інші ризики, наприклад ризик обходу заходів контролю.

Д77. Крім того, аудиторські докази щодо елементів середовища контролю на малих підприємствах можуть бути відсутніми у документарній формі, особливо якщо повідомлення інформації між управлінським та іншим персоналом може бути неофіційним, але ефективним. Наприклад, малі підприємства можуть не мати письмового кодексу поведінки, проте, натомість, розвинути культуру, яка наголошує на важливість професійної чесності та етичної поведінки через усне інформування і на власному прикладі управлінського персоналу.

Д78. Відповідно відношення, інформованість та дії управлінського персоналу або власника-керівника мають надзвичайно важливе значення для розуміння аудитором середовища контролю малого підприємства.

Компоненти внутрішнього контролю — процес оцінки ризиків суб'єкта господарювання (див. параграф 15)

Д79. Процес оцінки ризиків суб'єкта господарювання створює основу для визначення управлінським персоналом ризиків, якими слід управляти. Якщо цей процес відповідає обставинам, включаючи характер, розміри та складність суб'єкта господарювання, то він допомагає аудитору при ідентифікації ризиків суттєвого викривлення. Питання, чи є процес оцінки ризиків суб'єкта господарювання прийнятним за певних обставин, є питанням судження аудитора.

Аспекти, характерні для малих підприємств (див. параграф 17)

Д80. Малоймовірно, що мале підприємство має формальний процес оцінки ризиків. У таких випадках існує ймовірність того, що управлінський персонал буде ідентифікувати ризики через пряму участь персоналу в діяльності. Однак незалежно від обставин необхідність подання запитів щодо ідентифікованих ризиків та їх розгляду управлінським персоналом зберігається.

Компоненти внутрішнього контролю — інформаційна система, включаючи відповідні бізнес-процеси, важливі для фінансової звітності, та повідомлення інформації

Інформаційна система, включаючи відповідні бізнес-процеси, важливі для фінансової звітності (див. параграф 18)

Д81. Інформаційна система, що відповідає цілям фінансової звітності, яка включає систему обліку, складається з процедур і записів, розроблених та встановлених для того, щоб:

• ініціювати, реєструвати, обробляти та вести облік операцій суб'єкта господарювання (а також подій і умов), а також пов'язаних активів, зобов'язань і ресурсів власного капіталу;

307 МСА 315

• виправляти некоректну обробку операцій, наприклад виконання автоматизованих файлів і процедур по незавершених операціях з метою своєчасного їх завершення;

• обробляти та вести облік блокування системи або обходу заходів контролю;

• переносити інформацію із систем обробки операцій до Головної книги;

• реєструвати інформацію, важливу для фінансової звітності, щодо подій та умов, крім операцій, таких як знос та амортизація активів і зміни у можливості стягнення дебіторської заборгованості; та

• забезпечувати збір, запис, обробку, узагальнення й належне внесення до фінансової звітності інформації, яку потрібно розкривати відповідно до застосовної концептуальної основи фінансової звітності.

Журнальні записи

Д82. Інформаційна система суб'єкта господарювання зазвичай включає використання стандартних журнальних записів, які постійно потрібні для реєстрації операцій. Прикладами можуть слугувати журнальні записи для реєстрації продажів, купівель і виплат грошових коштів у Головній книзі або для реєстрації облікових оцінок, які періодично здійснюються управлінським персоналом, таких як зміни в оцінці безнадійної дебіторської заборгованості.

Д83. Процес фінансової звітності суб'єкта господарювання також включає використання нестандартних журнальних записів для реєстрації одноразових, незвичайних операцій або коригувань. Приклади таких записів включають консолідуючі коригування та записи для об'єднань бізнесу або вибуття чи одноразові оцінки, такі як зменшення корисності активів. У ручних системах Головної книги нестандартні журнальні записи можуть бути ідентифіковані через перевірки бухгалтерських книг, журналів та допоміжної документації. Якщо використовуються автоматизовані процедури для ведення Головної книги та складання фінансової звітності, такі записи можуть існувати лише в електронній формі, отже, їх легше ідентифікувати через використання комп'ютеризованих методів аудиту.

Відповідні бізнес-процеси

Д84. Бізнес-процеси суб'єкта господарювання — це дії, спрямовані на:

• розробку, придбання, виробництво, продаж і поширення продукції та послуг суб'єкта господарювання;

• забезпечення дотримання вимог законів і нормативних актів; та

• запис інформації, включаючи облікову та звітну фінансову інформацію.

МСА 315

308

Результатом бізнес-процесів є операції, які реєструються, обробляються та відображаються у звітності за допомогою інформаційної системи. Отримання розуміння бізнес-процесів суб'єкта господарювання, включаючи виникнення операцій, допомагає аудитору отримати розуміння інформаційної системи суб'єкта господарювання, яка є важливою для фінансової звітності суб'єкта господарювання за таких обставин.

Аспекти, характерні для малих підприємств

Д85. Інформаційні системи та відповідні бізнес-процеси малих підприємств, що стосуються фінансової звітності, ймовірно, менш складні, ніж на великих суб'єктах господарювання, однак їх роль є так само значною. Малі підприємства із активною участю управлінського персоналу можуть не потребувати детальних описань облікових процедур, складних облікових записів або письмової політики. Тому при аудиті малих підприємств можна легше отримати розуміння систем і процесів суб'єкта господарювання, але це може більше залежати від подання запиту, ніж від огляду документації. Проте необхідність отримання розуміння питання залишається важливою.

Повідомлення інформації (див. параграф 19)

Д86. Повідомлення суб'єктом господарювання інформації про роль та повноваження у сфері складання фінансової звітності та значних питань фінансового звітування включає надання розуміння індивідуальних ролей і відповідальності, пов'язаних із внутрішнім контролем за фінансовою звітністю. Це включає такі питання, як ступінь усвідомлення персоналом того, як його діяльність в інформаційній системі фінансової звітності пов'язана з роботою інших осіб та засобами звітування про винятки перед відповідним вищим рівнем управлінського персоналу в межах суб'єкта господарювання. Повідомлення інформації може набувати таких форм, як посібники з політики та посібники з фінансової звітності. Відкриті канали повідомлення інформації допомагають забезпечити інформування про винятки та вжиття заходів у відповідь на такі винятки.

Аспекти, характерні для малих підприємств

Д87. Повідомлення інформації на малих підприємствах може бути менш структурованим і простішим, ніж на великих суб'єктах господарювання, внаслідок меншої кількості рівнів відповідальності та кращої візуальної наявності й доступності управлінського персоналу.

Компоненти внутрішнього контролю —заходи контролю (див. параграф 20)

Д88. Заходи контролю — це політики та процедури, які допомагають забезпечити виконання директив управлінського персоналу. Заходи контролю як у рамках ІТ, так і в ручних системах мають різні цілі та

309 МСА 315

застосовуються на різних організаційних і функціональних рівнях. Приклади конкретних заходів контролю включають заходи, що стосуються:

• надання дозволів;

• оглядів результатів;

• обробки інформації;

• фізичних заходів контролю;

• розподілу обов'язків.

Д89. Заходи контролю, важливі для аудиту, включають:

• заходи, які потрібно вважати такими, тобто заходи контролю, пов'язані зі значними ризиками, та ті, що пов'язані з ризиками, щодо яких процедури перевірки по суті самі по собі не забезпечують достатніх і прийнятних аудиторських доказів, що вимагаються параграфами 29 і 30 відповідно; або

• заходи, які вважаються важливими для судження аудитора.

На судження аудитора стосовно важливості заходу контролю для аудиту впливає ідентифікований ним ризик, який може призвести до виникнення суттєвого викривлення, а також те, чи вважає аудитор, що, певно, доцільно протестувати операційну ефективність контролю при визначенні обсягу тестування по суті.

Аудитор може приділити основну увагу ідентифікації та отриманню розуміння заходів контролю, які стосуються тих сфер, де, на його думку, ризики суттєвого викривлення, ймовірно, будуть вищими. Якщо багато заходів контролю досягають однієї й тієї самої мети, необов'язково отримувати розуміння кожного заходу контролю, пов'язаного з такою метою.

Д92. Знання аудитора про наявність або відсутність заходів контролю, які він отримує з розуміння інших компонентів внутрішнього контролю, допомагає йому при визначенні того, чи потрібно приділити додаткову увагу отриманню розуміння заходів контролю.

Аспекти, характерні для малих підприємств

Д93. Концепції, які покладено в основу заходів контролю малих підприємств, ймовірно, мають бути подібні до концепцій, застосовних на великих суб'єктах господарювання, проте процедура їх застосування може відрізнятися. Крім того, малі підприємства можуть визначити, що окремі типи заходів контролю не відповідають заходам контролю, які застосовує управлінський персонал. Наприклад, виключне повноваження управлінського персоналу надавати кредити клієнтам і затверджувати значні придбання може забезпечити сильний контроль за важливими

Д90.

Д91.

МСА 315 310

залишками на рахунках та операціями, зменшуючи або усуваючи необхідність у більш детальних заходах контролю.

Д94. Заходи контролю, важливі для аудиту малого підприємства, ймовірно, пов'язані з основними операційними циклами, такими як доходи, придбання та витрати на виплату заробітної плати.

Ризики, що виникають з ІТ (див. параграф 21)

Д95. Застосування системи ІТ впливає на спосіб запровадження заходів контролю. З погляду аудитора, заходи контролю за системами ІТ є ефективними в тому разі, якщо вони забезпечують цілісність інформації та захист даних, які оброблюються такими системами, і включають ефективні загальні засоби контролю ІТ та засоби контролю прикладних програм.

Д96. Загальні засоби контролю ІТ — це політика і процедури, які пов'язані з багатьма прикладними програмами та забезпечують ефективну роботу засобів контролю прикладних програм. Вони застосовуються до середовищ великого універсального та малого комп'ютерів, а також до середовища кінцевого користувача. Загальні засоби контролю ІТ, які забезпечують цілісність інформації та захист даних, зазвичай включають засоби управління такими аспектами:

• центр обробки даних і робота мережі;

• придбання, зміна та обслуговування системного програмного забезпечення;

• зміна програми;

• безпека доступу;

• придбання, розвиток та обслуговування прикладної системи.

Вони зазвичай запроваджуються для контролю ризиків, зазначених у параграфі Д56.

Д97. Засоби контролю прикладних програм — це ручні або автоматизовані процедури, які зазвичай працюють на рівні бізнес-процесів і застосовуються для обробки операцій окремими прикладними програмами. Засоби контролю прикладних програм можуть мати превентивний характер або використовуватися для ідентифікації певних аспектів і призначені для забезпечення цілісності облікових записів. Відповідно засоби контролю прикладних програм належать до процедур, які використовуються для ініціації, реєстрації, обробки та звітування про операції й інші фінансові дані. Такі засоби контролю допомагають забезпечити авторизацію, повноту і точність реєстрації та обробки операцій, які мають місце. Приклади включають контрольне редагування вхідних даних, а також перевірку числової послідовності з ручним контролем звітів про винятки чи коригуванням при введенні даних.

311 МСА 315

Компоненти внутрішнього контролю — моніторинг заходів контролю (див.

параграф 22)

Д98. Моніторинг заходів контролю — це процес оцінки ефективності функціонування внутрішнього контролю у часі. Він включає своєчасну оцінку ефективності заходів контролю та виконання необхідних виправних дій. Управлінський персонал здійснює моніторинг заходів контролю через постійні дії, окремі оцінки або поєднання того та іншого. Постійні дії з моніторингу часто є частиною звичайної поточної діяльності суб'єкта господарювання і включають регулярні дії з управління та нагляду.

Д99. Дії управлінського персоналу з моніторингу можуть включати використання інформації від зовнішніх сторін, такої, що міститься у рекламаціях клієнтів та зауваженнях регуляторного органу, які можуть вказувати на проблеми або висвітлювати сфери, що потребують поліпшення.

Аспекти, характерні для малих підприємств

Д100. Моніторинг управлінським персоналом заходів контролю часто полягає в активній участі управлінського персоналу або власника-керівника у діяльності. Така участь часто ідентифікує значні відхилення від очікувань і неточностей у фінансових даних, призводячи до вживання виправних дій щодо таких заходів контролю.

Функції внутрішнього аудиту (див. параграф 23)

Д101. Підрозділ внутрішнього аудиту суб'єкта господарювання, ймовірно, буде важливим для аудиту, якщо характер його відповідальності та діяльності стосується фінансової звітності суб'єкта господарювання, і аудитор має намір використати роботу внутрішніх аудиторів для того, щоб модифікувати характер або строки чи зменшити обсяг запланованих для виконання аудиторських процедур. Якщо аудитор визначить, що підрозділ внутрішнього аудиту важливий для аудиту, застосовуються положення МСА 610.

Д102. Цілі підрозділу внутрішнього аудиту і, отже, характер його обов'язків та статусу в межах організації значно варіюються і залежать від розміру та структури суб'єкта господарювання і вимог управлінського персоналу, а також, якщо це застосовно, вимог тих, кого наділено найвищими повноваженнями. Відповідальність підрозділу внутрішнього аудиту може включати, наприклад, моніторинг внутрішнього контролю, управління ризиками та перевірку дотримання вимог законів і нормативних актів. З іншого боку, відповідальність підрозділу внутрішнього аудиту може обмежуватися, наприклад, оглядом економії, ефективності та результативності діяльності і відповідно може не бути пов'язана із фінансовою звітністю суб'єкта господарювання.

МСА 315

312

Д103. Якщо характер відповідальності підрозділу внутрішнього аудиту пов'язаний із фінансовою звітністю суб'єкта господарювання, розгляд зовнішнім аудитором дій, що вже виконані або мають бути виконані підрозділом внутрішнього аудиту, може включати огляд плану аудиту підрозділу внутрішнього аудиту за певний період у разі його наявності та обговорення цього плану з внутрішніми аудиторами.

Джерела інформації (див. параграф 24)

Д104. Більша частина інформації, яка використовується у моніторингу, може бути згенерована інформаційною системою суб'єкта господарювання. Якщо управлінський персонал припускає, що використані для моніторингу дані є точними, не маючи підстав для такого припущення, помилки, які можуть міститися в інформації, можуть потенційно призвести до некоректних висновків управлінського персоналу за результатами моніторингу. Відповідно розуміння:

• джерел інформації, пов'язаної з діями суб'єкта господарювання з моніторингу; та

• підстави, з якої управлінський персонал вважає інформацію достатньо достовірною для зазначеної мети, потрібне як частина розуміння аудитором дій суб'єкта господарювання з моніторингу, які є компонентом внутрішнього контролю.

Ідентифікація та оцінка ризиків суттєвого викривлення

Оцінка ризиків суттєвого викривлення на рівні фінансової звітності (див.

параграф 25 a)

Д105. Ризики суттєвого викривлення на рівні фінансової звітності належать до ризиків, які значною мірою пов'язані з фінансовою звітністю в цілому і можуть потенційно впливати на багато тверджень. Ризики такого характеру не обов'язково є ризиками, які можуть бути ідентифіковані стосовно окремих тверджень на рівні класів операцій, залишків на рахунках або розкриття інформації. Скоріше вони відображають обставини, які можуть підвищувати ризики суттєвого викривлення на рівні тверджень, наприклад через блокування управлінським персоналом внутрішнього контролю. Ризики на рівні фінансової звітності можуть бути особливо важливими для розгляду аудитором ризиків суттєвого викривлення внаслідок шахрайства.

Д106. Ризики нарівні фінансової звітності можуть виникати, зокрема, внаслідок недоліків середовища контролю (хоча ці ризики можуть бути також пов'язані з іншими чинниками, такими як погіршення економічних умов). Наприклад, недоліки, такі як недостатня компетентність управлінського персоналу, можуть мати більш всеохоплюючий вплив на фінансову звітність і вимагати загальних дій у відповідь з боку аудитора.

313 МСА 315

Д107. Розуміння аудитором внутрішнього контролю може викликати сумніви щодо придатності фінансової звітності суб'єкта господарювання до аудиту. Наприклад:

• сумніви щодо професійної чесності управлінського персоналу суб'єкта господарювання бувають такими серйозними, що можуть змусити аудитора зробити висновок, що ризик викривлення управлінським персоналом інформації у фінансовій звітності такий серйозний, що аудит не може бути проведений;

• сумніви щодо стану та достовірності записів суб'єкта господарювання можуть змусити аудитора зробити висновок про малоймовірність наявності достатніх і прийнятних аудиторських доказів на підтвердження немодифікованої думки щодо фінансової звітності.

Д108. МСА 705¹² встановлює вимоги та містить рекомендації щодо визначення необхідності для аудитора надати умовно-позитивний висновок чи відмовитися від надання висновку або, як це може бути потрібно в окремих випадках, відмовитися від завдання з аудиту, якщо така відмова не суперечить застосовному законодавству або нормативному акту.

Оцінка ризиків суттєвого викривлення на рівні тверджень (див. параграф 25 б)

Д109. Ризик суттєвого викривлення на рівні тверджень для класів операцій, залишків на рахунках і розкриття інформації мають розглядатися, оскільки такий розгляд безпосередньо допомагає при визначенні характеру, строків та обсягу подальших аудиторських процедур на рівні тверджень, необхідних для отримання достатніх і прийнятних аудиторських доказів. При ідентифікації та оцінці ризиків суттєвого викривлення на рівні тверджень аудитор може дійти висновку, що ідентифіковані ризики значною мірою стосуються фінансової звітності в цілому і можуть потенційно впливати на багато тверджень.

Використання тверджень

Д110. Запевняючи, що фінансові звіти відповідають застосовній концептуальній основі фінансової звітності, управлінський персонал прямо або опосередковано здійснює твердження щодо визнання, оцінки, подання і розкриття різних елементів фінансової звітності та матеріалів відповідного розкриття інформації.

Д111. Твердження, які аудитор використовує для розгляду різних типів потенційних викривлень, що можуть мати місце, поділяють на три такі категорії і можуть мати такі форми:

а) Твердження щодо класів операцій та подій протягом періоду аудиту:

і) настання — операції та події, які були зареєстровані, настали та пов'язані із суб'єктом господарювання;

¹² МСА 705 «Модифікації думки у звіті незалежного аудитора».

МСА 315

314

2. повнота — всі операції та події, які повинні реєструватися, були зареєстровані;

3. точність — суми та інші дані, пов'язані із зареєстрованими операціями та подіями, були записані правильно;

4. закриття реєстрів — операції та події були зареєстровані у відповідному обліковому періоді;

5. класифікація — операції та події були зареєстровані у належних рахунках.

б) Твердження щодо залишків на рахунках на кінець періоду:

1. існування — активи, зобов'язання та власний капітал наявні;

2. права та обов'язки — суб'єкт господарювання має або контролює права на активи, а зобов'язання є обов'язком суб'єкта господарювання;

3. повнота — всі активи, зобов'язання та власний капітал, які мають реєструватися, були зареєстровані;

4. оцінка та розподіл—активи, зобов'язання та власний капітал включені до фінансової звітності у відповідних сумах, усі пов'язані з цим коригування щодо оцінки або розподілу належно зареєстровані.

в) Твердження щодо подання та розкриття:

1. настання та права і обов'язки — події, операції та інші питання, інформація щодо яких була розкрита, настали і пов'язані із суб'єктом господарювання;

2. повнота — всі розкриття інформації, які мали бути включені до фінансової звітності, включені;

3. класифікація та зрозумілість — фінансова інформація належно подана та описана, розкриття інформації також чітко сформульоване;

4. точність та оцінка — фінансова та інша інформація розкрита достовірно та у відповідних сумах.

Д112. Аудитор може використовувати твердження, як описано вище, або може виражати їх у інший спосіб за умови врахування всіх описаних вище аспектів. Наприклад, аудитор може вирішити поєднати твердження щодо операцій та подій із твердженнями щодо залишків на рахунках.

Аспекти, характерні для суб'єктів господарювання державного сектору

Д113. При здійсненні тверджень щодо фінансової звітності суб'єктів господарювання державного сектору додатково до тверджень, викладених у параграфі Д111, управлінський персонал часто може стверджувати, що операції та події виконувалися відповідно до законодавства, нормативних актів та інших керівних документів. Такі твердження можуть входити до обсягу аудиту фінансової звітності.

315 МСА 315

Процес ідентифікації ризиків суттєвого викривлення (див. параграф 26 а)

Д114. Інформація, зібрана у процесі проведення процедур оцінки ризиків, включаючи аудиторські докази, отримані при оцінці структури заходів контролю та встановленні того, чи були вони запроваджені, використовується як аудиторські докази на підтримку оцінки ризиків. Оцінка ризиків визначає характер, строки та обсяг подальших аудиторських процедур, які мають бути виконані.

Д115. У додатку 2 наведені приклади умов і подій, які можуть свідчити про наявність ризиків суттєвого викривлення.

Прив'язка заходів контролю до тверджень (див. параграф 26 в)

Д116. При здійсненні оцінок ризиків аудитор може ідентифікувати заходи контролю, які можуть запобігати або виявляти та виправляти суттєві викривлення в окремих твердженнях. Зазвичай корисно отримати розуміння заходів контролю та прив'язати їх до тверджень у контексті процесів і систем, у яких вони існують, оскільки індивідуальні заходи контролю часто самі по собі не врегульовують ризиків. Часто лише комбіновані заходи контролю разом з іншими компонентами внутрішнього контролю будуть достатніми для врегулювання ризиків.

Д117. І навпаки, деякі заходи контролю можуть мати особливий вплив на окремі твердження щодо окремого класу операцій або залишків на рахунках. Наприклад, заходи контролю, які суб'єкт господарювання встановлює для забезпечення обліку та реєстрації персоналом результатів щорічної фізичної інвентаризації, пов'язані безпосередньо з існуванням і повнотою тверджень щодо залишків товарно-матеріальних запасів.

Д118. Заходи контролю можуть бути прямо або опосередковано пов'язані із твердженнями. Чим більш опосередкований зв'язок між ними, тим менш ефективний окремий захід контролю при запобіганні або виявленні та виправленні викривлень у такому твердженні. Наприклад, огляд менеджером з продажу важливих аспектів продажів окремих магазинів по регіону в більшості випадків лише опосередковано пов'язаний із твердженням щодо повноти стосовно прибутків від продажу. Відповідно він може бути менш ефективним для зменшення ризику для такого твердження, ніж ті заходи контролю, що мають більш безпосередній зв'язок із таким твердженням, як, наприклад, порівняння товарно-транспортних документів із розрахунковими документами.

Значні ризики

Ідентифікація значних ризиків (див. параграф 28)

Д119. Значні ризики часто пов'язані зі значними незвичайними операціями або суб'єктивними чинниками. Незвичайні операції — це операції, які є незвичайними за розміром або характером, тому виникають нечасто. Суб'єктивні чинники можуть включати розробку облікових оцінок,

МСА 315

316

стосовно яких існує значна невизначеність щодо оцінки. Звичайні, нескладні операції, які підлягають систематичній обробці, менш імовірно приведуть до виникнення суттєвих ризиків.

Д120. Ризики суттєвого викривлення можуть бути більшими для значних незвичайних операцій, які виникають із таких чинників:

• більше втручання управлінського персоналу для визначення порядку обліку;

• більше ручного втручання у збір та обробку даних;

• складні розрахунки або принципи обліку;

• характер незвичайних операцій, який може ускладнити для суб'єкта господарювання запровадження ефективних заходів контролю за ризиками.

Д121. Ризики суттєвого викривлення можуть бути більшими для суттєвих суб'єктивних чинників, які потребують розробки облікових оцінок, що виникають з таких чинників:

• принципи обліку облікових оцінок або визнання прибутків можуть тлумачитися по-різному;

• необхідне судження може бути суб'єктивним чи складним або потребувати припущень щодо впливу майбутніх подій, наприклад судження щодо справедливої вартості.

Д122. МСА 330 описані наслідки для подальших аудиторських процедур ідентифікації ризику як значного¹³.

Значні ризики, пов'язані з ризиками суттєвого викривлення внаслідок шахрайства

Д123. МСА 240 містить подальші вимоги та рекомендації щодо ідентифікації та оцінки ризиків суттєвого викривлення внаслідок шахрайства¹⁴.

Розуміння заходів контролю, пов'язаних зі значними ризиками (див. параграф 29)

Д124. Хоча ризики, які пов'язані із суттєвими незвичайними або суб'єктивними чинниками, часто менш імовірно підлягають звичайним заходам контролю, управлінський персонал може вчиняти інші дії у відповідь на такі ризики. Відповідно розуміння аудитором того, чи розробив суб'єкт господарювання і чи запровадив заходи контролю для значних ризиків, що виникають з незвичайних або суб'єктивних чинників, включає розуміння того, чи здійснює управлінський персонал дії у відповідь на такі ризики, і як саме. Такі дії у відповідь можуть включати:

¹³ МСА 330, параграфи 15 та 21.

¹⁴МСА 240, параграфи 25—27.

317

МСА 315

• заходи контролю, такі як перевірка припущень вищим керівництвом або експертами;

• задокументовані процеси оцінки;

• затвердження тими, кого наділено найвищими повноваженнями.

Д125. Наприклад, якщо мають місце одиничні події, такі як отримання повідомлення про значний судовий позов, розгляд дій суб'єкта господарювання у відповідь може включати, зокрема, такі питання: чи було направлене таке повідомлення відповідним експертам (наприклад, внутрішньому або зовнішньому юридичному консультанту), чи була зроблена оцінка потенційного впливу та як запропоновано розкрити такі обставини у фінансовій звітності.

Д126. У деяких випадках управлінський персонал може неналежно реагувати на значні ризики суттєвого викривлення через запровадження заходів контролю за такими суттєвими ризиками. Незапровадження управлінським персоналом таких заходів контролю є показником значних недоліків у внутрішньому контролі¹⁵.

Ризики, для яких процедури по суті самі по собі не надають достатніх і

прийнятних аудиторських доказів (див. параграф 30)

Д127. Ризики суттєвого викривлення можуть бути безпосередньо пов'язані з реєстрацією звичайних класів операцій або залишків на рахунках, а також підготовкою достовірної фінансової звітності. Такі ризики можуть включати ризики неточної або неповної обробки звичайних і значних класів операцій, таких як доходи, придбання, грошові надходження і грошові виплати суб'єкта господарювання.

Д128. Якщо такі звичайні бізнес-операції підлягають високоавтоматизованій обробці з невеликим обсягом ручного втручання або без нього, може бути неможливо виконувати лише процедури по суті стосовно ризику. Наприклад, аудитор може вирішити, що це той випадок, коли значна частина інформації суб'єкта господарювання ініціюється, реєструється, обробляється та повідомляється лише в електронній формі, такій як інтегрована система. В таких випадках:

• аудиторські докази можуть бути наявними лише в електронній формі, а їх достатність і прийнятність зазвичай залежать від ефективності заходів контролю за їх точністю та повнотою;

• можливість неналежної ініціації або зміни інформації, що може мати місце і не бути виявленою, може бути більшою, якщо відповідні заходи контролю працюють неефективно.

Д129. Наслідки для подальших аудиторських процедур ідентифікації таких ризиків описані в МСА 330¹⁶.

¹⁵ МСА 265 «Повідомлення інформації про недоліки внутрішнього контролю тим, кого наділено найвищими повноваженнями, та управлінському персоналу», параграф A7.

¹⁶МСА 330, параграф 8.

МСА 315

318

Перегляд оцінки ризиків (див. параграф 31)

Д130. Під час аудиту до уваги аудитора може потрапити інформація, яка значно відрізняється від інформації, на якій Грунтувалась оцінка ризиків. Наприклад, оцінка ризиків може Грунтуватися на очікуванні того, що певні заходи контролю працюють ефективно. При тестуванні таких заходів контролю аудитор може отримати аудиторські докази щодо їх неефективної роботи у відповідні періоди часу протягом аудиту. Аналогічно при виконанні процедур по суті аудитор може виявити викривлення у сумах та з більшою частотою, ніж та, що відповідає оцінці ризиків аудитором. За таких обставин оцінка ризику може неправильно відображати реальні обставини суб'єкта господарювання, а подальші заплановані аудиторські процедури можуть бути неефективними при виявленні суттєвих викривлень. Див. МСА 330 для отримання додаткових рекомендацій.

Документація (див. параграф 32)

Д131. Спосіб документування вимог параграфа 32 визначається аудитором за допомогою здійснення професійного судження. Наприклад, при аудитах малих підприємств документація може включатися до аудиторської документації стосовно загальної стратегії та плану аудиту¹⁷. Аналогічно, наприклад, результати оцінки ризиків можуть документуватись окремо або як частина документації аудитора стосовно подальших процедур¹⁸. На форму та обсяг документації впливає характер, розміри і складність суб'єкта господарювання та його внутрішній контроль, доступність інформації суб'єкта господарювання, а також методологія й технологія аудиту, що використовуються в ході аудиту.

Д132. У суб'єктів господарювання, в яких діяльність та процеси, що стосуються фінансової звітності, не є складними, документація може бути простою за формою та відносно короткою. Немає потреби документувати повне розуміння аудитором діяльності суб'єкта господарювання та відповідних питань. Основні елементи розуміння, задокументованого аудитором, включають такі, на яких Грунтується оцінка аудитором ризиків суттєвого викривлення.

Д133. Обсяг документації також може відображати досвід і можливості членів аудиторської групи із завдання. За умови постійного виконання вимог МСА 230 аудит, що проводиться аудиторською групою із завдання, яка складається з менш досвідчених осіб, може потребувати більш детального документування, щоб допомогти таким особам отримати відповідне розуміння діяльності, ніж у випадку з більш досвідченими членами аудиторської групи із завдання.

¹⁷МСА 300 «Планування аудиту фінансової звітності», параграфи 7 і 9.

¹⁸МСА 330, параграф 28.

319

МСА 315

Д134. При постійних аудитах окрема документація може переноситися на наступні періоди, оновлюватись у разі потреби для відображення змін у діяльності або процесах суб'єкта господарювання.

МСА 315

Додаток 1

(див. параграфи 4 в, 14—24, Д69—Д104) Компоненти внутрішнього контролю

1. Цей додаток містить детальні пояснення компонентів внутрішнього контролю, зазначених у параграфах 4 в, 14—24 та Д69—Д104, оскільки вони пов'язані з аудитом фінансової звітності.

Середовище контролю

2. Середовище контролю охоплює такі елементи:

а) Повідомлення інформації та забезпечення дотримання професійної чесності й етичних цінностей. Ефективність заходів контролю не може бути вищою за професійні та етичні цінності людей, які їх створюють, керують ними та здійснюють моніторинг. Чесна та етична поведінка є продуктом етичних стандартів і стандартів з поведінки суб'єкта господарювання, того, як вони доводяться до відома і реалізуються на практиці. Забезпечення дотримання професійної чесності та етичних цінностей включає, наприклад, дії управлінського персоналу з усунення або зменшення стимулів чи спокус, які можуть заохотити персонал до нечесних, незаконних або неетичних дій. Повідомлення інформації про політику суб'єкта господарювання щодо професійної чесності та етичних цінностей може включати повідомлення персоналу інформації про стандарти поведінки через програмні заяви та кодекси поведінки, а також за допомогою прикладів.

б) Прихильність до компетентності. Компетентність — це знання та навички, необхідні для виконання завдань, що визначають роботу окремих осіб.

в) Участь тих, кого наділено найвищими повноваженнями. На усвідомлене розуміння контролю суб'єкта господарювання суттєво впливають ті, кого наділено найвищими повноваженнями. Важливість відповідальності тих, кого наділено найвищими повноваженнями, визнається у кодексах практики та інших законах і положеннях або керівництвах, розроблених для тих, кого наділено найвищими повноваженнями. Інші аспекти відповідальності тих, кого наділено найвищими повноваженнями, охоплюють нагляд за розробкою та ефективною роботою процедур корпоративного інформування і процесом перевірки ефективності внутрішнього контролю суб'єкта господарювання.

г) Філософія та стиль роботи управлінського персоналу. Філософія та стиль роботи управлінського персоналу охоплюють широкий спектр характеристик. Наприклад, відношення та дії управлінського

321

ДОДАТОК 1 до МСА 315

персоналу щодо фінансової звітності можуть проявлятися через консервативний та/або агресивний вибір з наявних альтернативних принципів бухгалтерського обліку або свідомість і консерватизм, з якими здійснюються облікові оцінки. Г) Організаційна структура. Створення відповідної організаційної структури включає розгляд основних сфер повноважень і відповідальності, а також належних напрямів звітності. Прийнятність організаційної структури суб'єкта господарювання частково залежить від його розмірів і характеру діяльності.

д) Надання повноважень та відповідальності. Надання повноважень та відповідальності може включати політики, пов'язані з відповідними бізнес-практиками, знанням і досвідом основного персоналу, а також ресурсами, наданими для виконання обов'язків. Крім того, воно може включати політики та повідомлення інформації, спрямовані на забезпечення розуміння усім персоналом цілей суб'єкта господарювання, знання того, як їхні індивідуальні дії взаємопов'язані та сприяють досягненню цих цілей, і розуміння того, як і за що вони несуть відповідальність.

е) Кадрова політика і практика. Кадрова політика і практика часто демонструють важливі аспекти, пов'язані з усвідомленням контролю суб'єктом господарювання. Наприклад, стандарти найму найбільш кваліфікованого персоналу, коли в центрі уваги освіта, попередній досвід роботи, попередні досягнення та докази чесної й етичної поведінки, демонструють прихильність суб'єкта господарювання до компетентних і надійних людей. Політика професійної підготовки, яка інформує про перспективні ролі та відповідальність і включає практику, таку як школи професійної підготовки та семінари, ілюструє очікувані рівні ефективності роботи та поведінки. Підвищення у посаді через періодичні атестації працівників демонструють прихильність суб'єкта господарювання до просування кваліфікованого персоналу до вищих рівнів відповідальності.

Процес оцінки ризиків суб'єкта господарювання

3. Для цілей фінансової звітності процес оцінки ризиків суб'єкта господарювання включає те, як управлінський персонал ідентифікує бізнес-ризики, важливі для складання фінансової звітності відповідно до застосовної концептуальної основи фінансової звітності суб'єкта господарювання, як він оцінює їх значущість, імовірність їх настання та приймає рішення щодо дій у відповідь на ці ризики та управління ними, а також відповідні результати. Наприклад, процес оцінки ризиків суб'єкта господарювання може враховувати те, як суб'єкт господарювання розглядає можливість незареєстрованих операцій та ідентифікує й аналізує значні оцінки, які вносяться до фінансової звітності.

322 ДОДАТОК 1 до МСА 315

4. Ризики, важливі для достовірної фінансової звітності, включають зовнішні та внутрішні події, операції або обставини, які можуть наставати і негативно впливати на здатність суб'єкта господарювання ініціювати, реєструвати, обробляти та розкривати у звітах фінансові дані, що відповідають твердженням управлінського персоналу у фінансовій звітності. Управлінський персонал може ініціювати плани, програми або дії щодо розгляду певних ризиків або може ухвалити рішення про прийняття ризику в зв'язку з витратами або з інших міркувань. Ризики можуть виникати або змінюватися внаслідок таких обставин:

• Зміни в операційному середовищі. Зміни у регуляторному або операційному середовищі можуть спричиняти зміни у конкурентному тиску та в різних ризиках.

• Новий персонал. Новий персонал може приділяти основну увагу іншим аспектам або по-іншому розуміти внутрішній контроль.

• Нові або модернізовані інформаційні системи. Значні та швидкі зміни в інформаційних системах можуть змінювати ризик, пов'язаний із внутрішнім контролем.

• Швидке зростання. Значне та швидке розширення діяльності може збільшити навантаження на заходи контролю та збільшити ризик збоїв у заходах контролю.

• Нова технологія. Впровадження нових технологій у виробничі процеси або інформаційні системи може змінити ризик, пов'язаний із внутрішнім контролем.

• Нові бізнес-моделі, продукти або види діяльності. Входження в сфери діяльності або операції, в яких суб'єкт господарювання має невеликий досвід, може викликати нові ризики, пов'язані з внутрішнім контролем.

• Корпоративна реструктуризація. Реструктуризація може супроводжуватися скороченням штату та змінами у нагляді й розподілі обов'язків, що, в свою чергу, може змінити ризик, пов'язаний із внутрішнім контролем.

• Розширення закордонної діяльності. Розширення або придбання закордонних суб'єктів господарювання несе нові і часто унікальні ризики, які можуть негативно впливати на внутрішній контроль, наприклад додаткові або змінені ризики від валютних операцій.

• Нові стандарти бухгалтерського обліку. Прийняття нових або зміна принципів обліку може вплинути на ризики при підготовці фінансової звітності.

323 ДОДАТОК 1 до МСА 315

Інформаційна система, включаючи пов'язані бізнес-процеси, важливі для

фінансової звітності, та повідомлення інформації

5. Інформаційна система складається з інфраструктури (фізичні та апаратні компоненти), програмного забезпечення, людей, процедур і даних. Багато інформаційних систем використовують інформаційні технології (ІТ).

6. Інформаційна система для цілей фінансової звітності, яка включає систему фінансової звітності, охоплює такі методи та записи, що:

ДОДАТОК 1 до МСА 315

324

• Обробка інформації. Двома великими групами засобів контролю щодо інформаційних систем є засоби контролю прикладних програм, які застосовуються до обробки окремих прикладних програм, та загальні засоби контролю ІТ, які є політиками і практиками, пов'язаними з багатьма прикладними програмами та які забезпечують ефективне функціонування засобів контролю прикладних програм, допомагаючи забезпечити подальшу належну роботу інформаційних систем. Приклади засобів контролю прикладних програм включають перевірку арифметичної точності записів, ведення та огляд залишків на рахунках і перевірочних балансів, автоматизовані засоби контролю, такі як вхідна перевірка вхідних даних і числової послідовності, та ручне ведення звітів про винятки. Прикладами загальних засобів контролю ІТ є засоби контролю зміни програм, засоби контролю, які обмежують доступ до програм або даних, засоби контролю за реалізацією нових версій пакетних прикладних програм та засоби контролю за системним програмним забезпеченням, які обмежують доступ або ведуть моніторинг використання системних прикладних програм, що можуть змінити фінансові дані або записи без виходу з журналу аудиту.

• Фізичні заходи контролю. Заходи контролю, які охоплюють:

о фізичний захист активів, включаючи відповідні захисні заходи, такі як захищені від доступу до активів та записів об'єкти;

о надання дозволів на доступ до комп'ютерних програм і файлів даних;

о періодичний підрахунок та порівняння із сумами, наведеними у контрольних записах (наприклад, порівняння результатів підрахунків грошових коштів, цінних паперів і матеріальних ресурсів із обліковими записами).

Рівень важливості фізичних заходів контролю, призначених для запобігання викраденню активів, для достовірності фінансової звітності і відповідно аудиту, залежить від обставин, наприклад коли активи є дуже вразливими до незаконного заволодіння.

• Розподіл обов'язків. Призначення різних людей відповідальними за надання дозволів щодо операцій, реєстрації операцій та забезпечення збереження активів. Розподіл обов'язків призначений для зменшення можливостей, які дають змогу будь-якій особі обіймати посаду, що дозволяє їй робити та приховувати помилки або шахрайські дії у звичайному ході виконання своїх обов'язків.

10. Певні заходи контролю можуть залежати від існування відповідних політик вищого рівня, встановлених управлінським персоналом або тими, кого наділено найвищими повноваженнями. Наприклад, заходи

325 ДОДАТОК 1 до МСА 315

контролю за наданням дозволів можуть делегуватися відповідно до встановлених принципів, таких як інвестиційні критерії, визначені тими, кого наділено найвищими повноваженнями; або навпаки, незвичайні операції, такі як великі придбання або відчуження, можуть потребувати особливих дозволів вищого рівня, включаючи в деяких випадках дозволи акціонерів.

Моніторинг заходів контролю

11. Важливою функцією відповідальності управлінського персоналу є встановлення та ведення внутрішнього контролю на постійній основі. Моніторинг заходів контролю управлінським персоналом включає аналіз того, чи працюють вони відповідно до очікувань і чи модифікуються вони відповідно до наявних умов. Моніторинг заходів контролю може включати такі дії, як перевірка управлінським персоналом того, чи готується своєчасно звірка банківських виписок, оцінка внутрішніми аудиторами дотримання персоналом з продажу політики суб'єкта господарювання в частині положень про договори купівлі-продажу, а також нагляд юридичного відділу за дотриманням етичних або бізнес-норм суб'єкта господарювання. Моніторинг також здійснюється для забезпечення збереження ефективності роботи заходів контролю з плином часу. Наприклад, якщо своєчасність і точність банківських виписок не є об'єктом моніторингу, персонал швидше за все припинить готувати такі виписки.

12. Внутрішні аудитори або персонал, який виконує аналогічні функції, можуть сприяти моніторингу заходів контролю суб'єкта господарювання, здійснюючи індивідуальні оцінки. Зазвичай вони регулярно надають інформацію щодо функціонування внутрішнього контролю, приділяючи значну увагу оцінці ефективності внутрішнього контролю, а також інформацію про переваги й недоліки внутрішнього контролю і рекомендації щодо його поліпшення.

13. Дії з моніторингу можуть включати використання інформації з повідомлень зовнішніх сторін, які можуть вказувати на проблеми або виділяти сфери, які потребують поліпшення. Клієнти опосередковано підтверджують розрахункові дані, оплачуючи свої рахунки або висуваючи претензії щодо виставлених рахунків. Крім того, регуляторні органи можуть спілкуватися із суб'єктом господарювання стосовно питань, які впливають на функціонування внутрішнього контролю, наприклад обговорення перевірок органами регулювання банківських установ. Управлінський персонал також може враховувати повідомлення, пов'язані із внутрішнім контролем, що надходять від зовнішніх аудиторів при виконанні дій з моніторингу.

ДОДАТОК 1 до МСА 315

326

Додаток 2

(див. параграфи Д33, Д115)

Умови та події, які можуть вказувати на ризики суттєвого викривлення

Далі наведені приклади умов і подій, які можуть вказувати на існування ризиків суттєвого викривлення. Наведені приклади охоплюють широкий спектр умов і подій, проте не всі умови та події є важливими для кожного завдання з аудиту, і список прикладів не обов'язково є повним.

• Діяльність в економічно нестабільних регіонах, наприклад у країнах зі значною девальвацією грошової одиниці або дуже високим рівнем інфляції.

• Діяльність, чутливадо нестабільних ринків, наприклад ф'ючерсна торгівля.

• Діяльність, яка значною мірою підлягає заходам з комплексного регулювання.

• Припущення щодо безперервності діяльності та питання ліквідності, включаючи втрату значних клієнтів.

• Обмеження доступності капіталу та кредиту.

• Зміни в галузі, в якій працює суб'єкт господарювання.

• Зміни в логістичному ланцюзі.

• Розробка або пропонування нових продуктів чи послуг або започаткування нових видів діяльності.

• Розширення у нові регіони.

• Зміни у суб'єкта господарювання, такі як великі придбання чи реорганізації або інші незвичайні події.

• Ймовірний продаж суб'єктів господарювання або сегментів бізнесу.

• Існування складних альянсів і спільних підприємств.

• Використання позабалансових фінансів, підприємств спеціального призначення та інших складних фінансових угод.

• Значні операції з пов'язаними сторонами.

• Недостатня кількість персоналу з відповідними навиками бухгалтерського обліку та фінансової звітності.

• Зміни у складі основного персоналу, включаючи вихід основних керівників.

• Недоліки у внутрішньому контролі, особливо ті, на які не реагує управлінський персонал.

• Невідповідність між ІТ-стратегією суб'єкта господарювання та його бізнес-стратегіями.

327

ДОДАТОК 1 до МСА 315

• Зміни в ІТ-середовищі.

• Встановлення значних нових ІТ-систем, пов'язаних із фінансовою звітністю.

• Подання запитів щодо діяльності чи фінансових результатів суб'єкта господарювання регуляторними або урядовими органами.

• Попередні викривлення, історія помилок або суттєва кількість коригувань на кінець періоду.

• Значна кількість незвичайних або несистематичних операцій, включаючи операції між компаніями та операції зі значними прибутками на кінець періоду.

• Операції, які реєструються на основі намірів управлінського персоналу, наприклад рефінансування боргу, активи для продажу, та класифікація ринкових цінних паперів.

• Застосування нових стандартів бухгалтерського обліку.

• Облікові оцінки, які включають складні процеси.

• Події або операції, які включають значну невизначеність оцінки, включаючи облікові оцінки.

• Позови та умовні зобов'язання, наприклад гарантії продажу, фінансові гарантії та відновлення навколишнього середовища.

ДОДАТОК 2 до МСА 315