1.4.Тестування програмного забезпечення.

У цьому випадку аудитори використовують різноманітні способи тестування програмного забезпечення, при яких сукупність програмних алгоритмів розглядається як "чор­ний ящик". Окремі такі методи наводяться у Міжнародно­му положенні про аудиторську практику № 1009 "Ком­п'ютеризовані методи аудиту"16 (в англомовній редакції 2005 р. скасоване). У ньому зазначається, що методи тесто­вих даних використовуються під час аудиторської пере­вірки шляхом введення даних (наприклад, набору госпо­дарських операцій) в комп'ютерну систему суб'єкта і по­рівняння отриманих результатів із заздалегідь визначени­ми. Аудитор може використовувати тестові дані:

• для тестування конкретних засобів контролю в ком­п'ютерних програмах, таких як інтерактивний пароль і контроль доступу до даних;

• тестування господарських операцій, відібраних з ра­ніше оброблених операцій, або сформульованих аудитором для перевірки окремих характеристик процесу обробки, що здійснюється комп'ютерною системою суб'єкта;

• тестування господарських операцій, які використо­вуються в інтегрованих тестових підсистемах, де застосо­вується фіктивний модуль (наприклад, відділ або службо­ва особа), через який вони проходять під час звичайного циклу обробки.

На практиці українські аудитори, спираючись на свій досвід, складають набір облікових задач з різних галузей господарської діяльності, що містять десятки певних уяв­них господарських операцій, які подаються на вхід про­грамної системи, що перевіряється (рис. 1.7).

Тестові дані (test data — TD) — це бухгалтерські доку­менти, операції і проводки, що не відображають реальних фактів господарського життя, а спеціально підготов­лені аудитором для перевірки програмних алгоритмів, ре­алізованих в обліковій системі підприємства-клієнта.

Рис. 1.7. Загальний підхід до тестування програмного забезпечення

Тестові дані вводять в КІСП і порівнюють фактичні ре­зультати з прогнозом аудитора. Якщо контрольні підсум­ки дорівнюють фактичним, правильність роботи програ­ми визнається доведеною. Аудитор може застосовувати спеціальне програмне забезпечення, що створює тестові дані (генератор тестових даних). Звичайно частину таких уявних тестових господарських операцій та документів аудитор навмисне робить некоректними з погляду зако­нодавства та загальноприйнятої бухгалтерської практи­ки. При цьому аудитор знає, який саме результат має видати програма. Наприклад, для перевірки правильності нарахування прибуткового податку аудитор може ввести в комп'ютер клієнта значення певної суми заробітної пла­ти та переконатися в правильності отриманого результа­ту. Якщо результат, який на виході надає програмна си­стема клієнта, не збігається з розрахунками аудитора, це є підставою для проведення ретельного дослідження при­чин та з'ясування можливих наслідків таких розходжень, включно з вивченням алгоритмів щодо конкретної ділян­ки обліку.

Метод тестових (контрольних) даних може бути ефек­тивним у наступних ситуаціях аудиту:

1. при тестуванні засобів контролю вхідних даних, вклю­чаючи процедури підтвердження даних;

2. при тестуванні логіки обробки даних та засобів конт­ролю з метою підтвердження правильності головних фай­лів;

3)при тестуванні розрахунків, здійснених всередині програм, зокрема: визначення відсоткових ставок, знижок, комісій, підрахунків зарплати чи амортизації;

4) при тестуванні ручних процедур чи засобів контро­лю, що стосуються комп'ютерної системи, особливо проце­дур з вхідними та вихідними даними.

Наведена вище технологія тестування в цілому відпо­відає методиці, описаній в Міжнародних положеннях про аудиторську практику, хоча у світовій практиці аудиту ширше використовується комплексний підхід до тестуван­ня (Integrated test facility approach — ITF), який включає я-к використання тестових операцій, так і створення пев­них уявних об'єктів аналітичного обліку (дебіторів, кре­диторів, працівників, матеріальних цінностей тощо)¹⁷. При цьому звичайно в програму вводять набір даних, що містить як реальні, так і уявні записи (рис. 1.8).

Рис. 1.8. Послідовність здійснення комплексного підходу до тестування облікового програмного забезпечення

У всіх випадках аудиторські процедури слід проводити не з оригінальними файлами суб'єкта перевірки, а з копія­ми цих файлів, оскільки будь-які їх зміни, що здійснюють­ся аудитором, та можливе пошкодження не мають вплива­ти на інформацію в системах комп'ютерної обробки даних. У тому випадку, коли контрольні дані обробляються в рам­ках звичайного процесу обробки інформації суб'єкта, ауди­тор повинен пересвідчитись в тому, що контрольні госпо­дарські операції вилучені з облікових записів підприємства.

Положення про міжнародну аудиторську практику ви­діляють особливості роботи з різними комп'ютерними си­стемами при проведенні аудиту. Це положення № 1001 "Се­редовище IT — автономні персональні комп'ютери", № 1002 "Середовище IT — інтерактивні комп'ютерні сис­теми", № 1003 "Середовище IT — системи баз даних"18 (в англомовній редакції 2005 року всі скасовані).

Міжнародне положення № 1001 "Середовище IT — ав­тономні персональні комп'ютери" регламентує особливості проведення аудиту на підприємствах, які використовують окремі персональні комп'ютери. Застарілі бухгалтерські системи 1970—1980-х років (іноді їх називають успадко­ваними), як правило, складаються з автономних підси­стем (зарплата, постачання), які виводять дані на друк. З підсистем бухгалтери беруть підсумкові цифри для прово­док в Головній книзі. Потім система Головної книги готує фінансові звіти. Такі комплекси працюють в пакетному режимі: дані збираються у файлі транзакцій і періодично вводяться в головний файл. Порядок розрахунку і звірки контрольних сум за групами такий: введення — обробка — висновок. Подібна схема досі застосовується на багатьох підприємствах і в бюджетних організаціях. Особливість застосування персональних комп'ютерів і окремих АРМ полягає в тому, що для керівництва підприємства-клієнта може бути неможливим або недоцільним з погляду спів­відношення витрат і результатів впровадити належні засо­би контролю з метою зменшення ризику не виявлення по­милок до мінімального рівня. Тому аудитор вправі припу­стити, що в таких системах ризик системи контролю висо­кий. Рівень же централізації обробки і збереження даних може бути різним і залежить від чисельності бухгалтерії, оснащеності її комп'ютерами, розподілу робіт між персо­налом і багатьох інших факторів. На малих підприємствах, де обробка даних виконується одним бухгалтером, програм­не забезпечення КСБО й інформаційна база зосереджені на одному комп'ютері. Однак за більш численної бухгалтерії мова йде вже про багатокористувацькі системи, що реалі­зують роботу декількох користувачів з інформаційною ба­зою обліку.

У цілому, КСБО, в яких використовуються тільки окре­мі персональні комп'ютери, є менш складними, ніж мережеві КСБО. У першому випадку прикладні програми можуть бути легко розроблені користувачами, що володі­ють основними навичками обробки даних. У таких випад­ках контроль за процесом системної розробки (наприклад, адекватна документація) і операціями (наприклад, доступ до контрольних процедур), що суттєві для ефективного кон­тролю у великому комп'ютерному середовищі, не може роз­глядатися розробником, користувачем або керівниками як настільки ж важливий або ефективний з погляду співвідно­шення витрат і результатів. Проте оскільки дані були об­роблені комп'ютером, користувачі такої інформації можуть без відповідних на те підстав надмірно покладатися на облі­кову інформацію. Оскільки персональні комп'ютери орієн­товані на індивідуальних кінцевих користувачів, точність і вірогідність підготовленої фінансової інформації буде за­лежати від засобів внутрішнього контролю, встановлених керівництвом і прийнятих користувачем. Наприклад, якщо комп'ютером користуються декілька людей без на­лежного контролю, то програми і дані одного користувача, що зберігаються на вбудованому носії інформації, можуть стати предметом недозволеного користування, зміни або шахрайства з боку інших користувачів.

Міжнародне положення № 1002 "Середовище IT — інте­рактивні комп'ютерні системи" регламентує особливості проведення аудиту на підприємствах, які використовують КІСП з модулями оперативного обліку господарських опе­рацій в реальному режимі часу. Це актуально насамперед для таких сфер бізнесу, як банки, мобільна телефонія, електронна комерція тощо.

Особливістю таких систем є розвинені вбудовані засоби контролю (controls) під час здійснення господарських опе­рацій. При введенні даних в інтерактивному режимі вони звичайно піддаються негайній перевірці. Непідтверджені дані не будуть прийняті, і на екрані термінала висвітиться повідомлення, що дає можливість користувачу виправити дані та відразу ж ввести їх повторно. Наприклад, якщо користувач вводить неправильний порядковий номер то­варно-матеріальних цінностей, буде виведено повідомлен­ня про помилку, що надасть користувачу можливість вве­сти правильний номер.

Аудиторські процедури, виконувані одночасно з інте­рактивною обробкою, можуть включати перевірку відпо­відності засобів контролю за інтерактивними прикладними програмами. Наприклад, це може бути зроблено за допо­могою введення тестових операцій через пристрій терміна­ла або за допомогою аудиторського програмного забезпе­чення. Аудитор може використовувати такі тести для того, щоб підтвердити своє розуміння системи або для перевірки засобів контролю, таких як паролі та інші засоби контро­лю доступу.

Є певні особливості систем, що працюють у реальному масштабі часу, які створюють труднощі як для користува­ча, так і для аудитора. В американських публікаціях за­значається, що із системами, що працюють у реальному масштабі часу, пов'язані чотири фактори, що створюють додаткові труднощі для контролю.

• введені дані звичайно не згруповані, тому комп'ютер­ на система сприймає невпорядковані дані різних видів, що вводяться;

• на комп'ютері здійснюється швидка перевірка доку­ментів. Наприклад, засоби контролю обробки даних систе­ми, що працює у реальному масштабі часу, можуть функ­ціонувати без будь-якої документації. Подібно до цього робочі програми, команди можуть бути представлені у формі візуального зображення без роздруковування резуль­татів і стандартної форми;

• системи, що працюють у реальному масштабі часу, збільшують і ускладнюють взаємозв'язок секцій системи;

• висока продуктивність систем, що працюють у реаль­ному масштабі часу, значно збільшує швидкість обробки інформації, що ускладнює процес контролю.

Особливості інтерактивних комп'ютерних систем об­умовлюють велику ефективність проведення аудитором аналізу нових інтерактивних бухгалтерських прикладних програм до, а не після початку експлуатації. Такий попе­редній аналіз дасть аудитору можливість перевірити до­даткові функції, наприклад, детальні списки операцій або функції контролю в межах самої програми. Це також може дати аудитору достатньо часу для того, щоб розробити і випробувати аудиторські процедури до їх проведення.

У Міжнародному Положенні № 1003 "Середовище IT — системи баз даних" зазначаються особливості функціону­вання комплексних КІСП, які ґрунтуються на єдиній базі (сховищі) даних (data warehouse), дані з якої використову­ються різними службами підприємства.

База даних є сукупністю даних, що використовуються багатьма користувачами для різних цілей. Кожен користу­вач може не знати всіх даних, що зберігаються в базі даних, і способів використання даних для різних цілей. У цілому, індивідуальні користувачі знають тільки про дані, якими вони користуються, і можуть розглядати дані як комп'ютерні файли, що використовуються прикладними програмами.

Системи баз даних складаються, переважно, з двох основ­них компонентів — бази даних і системи управління базою даних (СУБД). Бази даних взаємодіють з іншими технічни­ми і програмними засобами всієї комп'ютерної системи. Си­стеми баз даних відрізняються двома важливими характери­стиками: спільним користуванням даними і незалежністю даних. Оскільки інфраструктура безпеки підприємства відіграє важливу роль у забезпеченні цілісності виробленої інформації, аудитору необхідно розглянути цю інфраструктуру перед перевіркою контрольних засобів. Загалом внутрішній контроль у середовищі баз даних потребує ефек­тивної системи контролю за базою даних, СУБД і приклад­ними програмами. Ефективність системи внутрішнього кон­тролю залежить великою мірою від характеру завдань адмі­ністрування бази даних і того, як вони виконуються.

Отже, ми з'ясували, які є засоби контролю КІСП та ви­значили способи перевірки їх ефективності. Таке тестуван­ня засобів контролю проводиться для того, щоб визначити ступінь ризику, який потенційно може виникнути при складанні фінансової звітності. Після тестування засобів контролю ризик може бути оцінений як низький, середній та високий, що матиме значний вплив на проведення де­тальної перевірки.

Питання для перевірки

1.Середовище комп’ютерних систем.

2.Аудит в умовах КІСП і КСБО.

3.Методи перевірки в інформаційних системах.

4.Фактори впливу на проведення КА в умовах АСО

5.Планування аудиторських процедур у середовищі КІСП

6.Особливості аудиторської перевірки в умовах функціонування КІСП.

7.Засоби і методи контролю в умовах КІСП.

8. Засоби контролю модифікації

9. Засоби контролю доступу

10. Засоби контролю фізичної безпеки

11.Тестування програмного забезпечення.

12.Суть методу тестових даних.

13.Основні положення МСА №1001 «Середовище ІТ—автономні персональні комп’ютери».

14.Основні положення МСА №1002 «Середовище ІТ—інтерактивні комп’ютерні системи».

15.Основні положення МСА №1003 «Середовище ІТ—системи баз даних».

16.Основні положення МСА №1009 «Комп’ютеризовані методи аудиту».

17. Основні положення МСА №401 «Аудит в Середовищі комп’ютерних інформаційних систем»

Тема 2. Методологія комп'ютерного аудиту.

2.1.Особливості зміни методології аудиту при застосуванні комп’ютерної техніки.

2.2.Мета і основні елементи методології комп’ютерного аудиту.

2.3.Послідовність проведення аудиту в комп’ютерному середовищі

2.4.Оцінка аудиторського ризику при проведені комп’ютерного аудиту.

2.5.Вимоги до безпеки інформаційного забезпечення при проведені аудиторських перевірок.

2.6.Фактори впливу на рівень аудиторського висновку при застосуванні комп’ютерних технологій.

2.1.Особливості зміни методології аудиту при застосуванні комп’ютерної техніки.

Впровадження комп'ютерів в обліковий процес суттєво вплинуло на проведення аудиту. При цьому велике значення мають власні характеристики системи обробки даних, тому що вони впливають на характеристику внутрішнього конт­ролю, вибір виду перевірок, на основі яких можна визначити характер, тривалість і обсяги аудиторських процедур.

Питання зміни методології аудиту при застосуванні ком­п'ютерної техніки досліджувалося багатьма авторами. Проф. В.П. Завгородній, зокрема, зазначав, що "в умовах функ­ціонування інформаційних систем основні принципи аудиту зазнають деяких змін". Проф. Ф.Ф. Бутинець дещо кон­кретизував це питання, зазначаючи, що аудитору необхідно визначити, як саме впливають на організацію та проведен­ня аудиту використання системи комп'ютерної обробки да­них у суб'єкта господарюючого. При цьому всі автори єдині в тому, що сама мета аудиту не змінюється.

Методологія аудиту значною мірою залежить від спосо­бу обробки облікової інформації. Всі способи обробки об­лікової інформації в системі бухгалтерського обліку мож­на поділити на три види: паперовий, механізований, ком­п'ютеризований (автоматизований) залежно від виду обчис­лювальної техніки, що застосовується. При цьому перші два методи можна об'єднати під загальною назвою "без-комп'ютерний спосіб", який об'єднує паперовий та меха­нізований, маючи на увазі не перелік технічних засобів, а саме спосіб їх використання.

При "механізації" обчислювальна техніка є допоміж­ним засобом для обробки інформації, а при комп'ютери­зації технічні засоби стають основним засобом ведення обліку: суттєві зміни відбуваються в процесі збирання, накопичення облікової інформації, її передачі та одержан­ня підсумкових даних. На відміну від "механізації" ком­п'ютеризація обліку базується на системному вирішенні облікових завдань за допомогою комп'ютерів.

Відповідно до способів обробки облікової інформації аудит теж можна умовно поділити на паперовий, "механі­зований" та комп'ютерний. При цьому спосіб обробки об­лікової інформації суттєво впливає на вид аудиту, який проводиться чи міг би проводитися в процесі перевірки фінансової звітності підприємства (рис. 2.1).

Безкомп'ютерний спосіб обробки облікової інформації (паперовий та механізований) пов'язаний з відображенням даних про об'єкти аудиту в первинних документах та об­лікових регістрах, що отримуються в результаті ручної обробки інформації або обробки за допомогою певної техніки. При цьому дані фіксуються на певних носіях, а інформація, що зафіксована в документах, сприймається візуально.

В умовах паперового обліку при перевірці операцій ауди­тор проводить суцільну або вибіркову перевірку. Для цьо­го дані з первинних документів порівнюються із записами в звітах, залишки на кінець попереднього періоду — із залишками на початок наступного. Тут аудитор проводить так званий "паперовий" аудит, де комп'ютерна техніка не використовується взагалі

Рис. 2.1. Види аудиту, що використовуються за різних способів обробки облікової інформації

Під механізованим аудитом будемо розуміти викори­стання аудиторами комп'ютера винятково як допоміжного інструмента — наприклад, для оформлення текстів та таб­лиць в стандартних текстових і табличних редакторах. Як видно з рис. 2.1., паперовий та механізований аудит є ха­рактерними для безкомп'ютерного способу обробки облікової інформації, тоді як комп'ютерний аудит — для автома­тизованого.

Для виявлення можливих відхилень аудитор складає різні групувальні таблиці, на що витрачає багато часу. Все це потребує застосування комп'ютерної техніки та програм­ного забезпечення для полегшення роботи аудитора. У та­кому випадку аудитор проводить механізований аудит, в процесі якого обчислювальна техніка є допоміжним засо­бом для обробки інформації.

У зарубіжній літературі часто аудит в умовах автомати­зованої обробки облікової інформації поділяють на 3 типи: аудит "навколо комп'ютера" (auditing around the computer), аудит "через комп'ютер" (auditing through the coputer) і аудит з використанням комп'ютера (auditing with the computer) (рис. 2.2.).

Рис. 2.2. Аудит "навколо" та "через" комп'ютер

Паперовий аудит, механізований аудит і аудит "навко­ло" комп'ютера певною мірою ігнорують факт використан­ня комп'ютера для обробки облікової інформації. Проте, оскільки аудиторські методи передбачають простеження шляху формування підсумкової (звітної) облікової інфор­мації від первинних документів до залишків на рахунках і звітів і навпаки, то таке "обминання" комп'ютера можливе без втрати ефективності перевірки тільки за таких умов:

1. наявність очевидних аудиторських слідів (audit trail), тоб­то якщо для кожної господарської операції наявні належним чином оформлені паперові первинні документи, а також є роздруковані детальні журнали операцій з чіткими посиланнями на первинні документи і на відповідні показники в звітах;

2. операції, які обробляються, достатньо зрозумілі, про­сті, і взагалі обсяг оброблюваних даних порівняно невели­кий;

3. до комп'ютерних програм є детальна документація, в якій є чіткі схеми документообігу і формування підсумко­вої інформації.

Звичайно ці умови можуть виконуватись, коли бухгал­терський облік ведеться за допомогою окремих автомати­зованих робочих місць (АРМ) за ділянками обліку, не з'єднаними між собою (механізований облік). В умовах використання комплексних КІСП усі наведені вище момен­ти не є такими очевидними.