4. Організація аудиту в комп’ютерному середовищі

Сучасний розвиток комп’ютерної техніки і програмного забезпе­чення дає змогу значно розширити сферу застосування ЕОМ у процесах бухгалтерського обліку, залучити комп’ютер до виконання будь-яких логічних, аналітичних, розрахункових чи інших процедур. Викори­стання комп’ютерів впливає на організацію фінансового й управлін­ського обліку, методику і техніку внутрішньогосподар­ського контролю суб’єкта господарювання.

Мета й обсяг аудиторської перевірки не залежать від того, обробляються облікові дані вручну чи за допомогою комп’ютерної техніки. Проте способи комп’ютерної обробки можуть вплинути на способи застосування аудиторських процедур з метою збору аудиторських доказів. Аудитор може застосовувати ручні або комп’ютеризовані методи аудиту в середовищі комп’ютерних інформаційних систем, або поєднання обох методів з метою одержання достатніх доказів. У випадках застосування суб’єктом господарювання складних комп’ютерних систем обробки даних збір аудиторських доказів може бути неможливим без використання аудитором комп’ютерної техніки.

Таким чином, розглядати організацію аудиту в середовищі комп’ютерних інформаційних систем необхідно у двох аспектах:

• організація аудиту в умовах ведення бухгалтерського обліку та складання фінансової звітності суб’єктом господарювання за допомогою ЕОМ;

• організація аудиту в комп’ютерному середовищі з використанням ЕОМ.

Проведення аудиторської перевірки в середовищі комп’ютерних інформаційних систем (КІС) регламентовано МСА 401 «Аудит у середовищі комп’ютерних інформаційних систем». Відповідно до стандарту вважається, що середовище КІС існує, якщо суб’єкт господарювання застосовує комп’ютер будь-якого типу або розміру для обробки фінансової інформації, важливої для аудиторської перевірки. Застосування комп’ютерів змінює процес обробки, збереження і передачі фінансової інформації. Це може впливати, як вже зазначалося, на систему бухгалтерського обліку і внутрішнього контролю суб’єкта господарювання.

Використання КІС для обробки даних пов’язане з можливими властивими ризиками та ризиками контролю суттєвих викривлень фінансової інформації. Причинами ризиків в середовищі КІС можуть бути:

• недоліки розробки та експлуатації прикладних програм і систем;

• дії людського фактора при обслуговуванні та експлуатації КІС.

До можливих недоліків розробки та експлуатації прикладних програм і систем можна віднести:

а) можливість помилок в логіці прикладних програм;

б) можливість алгоритмічних помилок програмування та інших систематичних помилок в технічних засобах або програмному забезпеченні, що призводять до неправильної обробки всіх операцій;

в) несумісність системного програмного забезпечення.

Можливість зловживань та здійснення помилок в КІС унаслідок дії людського фактора зумовлені такими причинами:

а) відсутністю поділу функцій контролю. Багато процедур контролю, які виконуються окремими особами при ручній обробці даних, можуть бути сконцентровані в КІС. Отже, особа, що має доступ до комп’ютерних програм процесу обробки даних, може виконувати несумісні для неї функції;

б) можливістю несанкціонованого доступу до даних та їх зміни без видимих свідчень;

в) можливістю здійснення несанкціонованих підсумкових, розрахункових та інших операцій. Дозвіл на такі операції та процедури може не документуватися так, як при ручній системі обробки, а дозвіл управлінського персоналу на такі операції може бути наданий самим фактом використання КІС.

Плануючи аудиторську перевірку в середовищі КІС, аудитору необхідно розробити ефективний аудиторський підхід, який би забезпечив отримання аудиторських доказів щодо наявності внутрішнього контролю за комп’ютерною обробкою даних. Варіанти аудиторського підходу до вирішення такого завдання можуть бути наступними:

• аудитору необхідно особисто отримати достатні спеціальні знання й навички щодо КІС суб’єкта господарювання;

• аудитор може звернутися по допомогу до фахівця, що має відповідну кваліфікацію;

• провести тестування КІС суб’єкта господарювання на предмет виявлення ризиків, пов’язаних з недоліками прикладних програм і систем.

Перші два підходи направлені на виявлення ризиків, пов’язаних з дією людського фактора.

Вище наведені аудиторські підходи можуть застосовуватись як окремо, так і в поєднанні між собою.

Як правило, суб’єкти господарювання для цілей обробки фінансової інформації та ведення бухгалтерського обліку використовують готові пакети прикладних програм. Кваліфікація і компетентність аудитора часто може бути достатньою для знання КІС суб’єкта господарювання. В такому випадку він може самостійно провести оцінку середовища КІС та тестування прикладних програм на предмет виявлення ризиків, пов’язаних з їх можливими недоліками.

При відсутності знань та навичок, неможливості зрозуміти функціонування КІС, а також недоступності даних для використання під час аудиторської перевірки аудитору слід звернутися по допомогу до фахівця, що має відповідну кваліфікацію. Таким фахівцем може бути працівник аудиторської фірми або запрошений експерт. Залучення фахівця для аудиторської перевірки має відбуватися згідно МСА 620 «Використання роботи експерта».

Для тестування КІС суб’єкта господарювання на предмет виявлення ризиків, пов’язаних з недоліками розробки та експлуатації прикладних програм і систем, слід використовувати контрольні тести. Схему тестування наведено на рис. 5.

Контрольні тести являють собою вхідне завдання для обробки комп’ютерною інформаційною системою суб’єкта господарювання з відомим вихідним результатом. Наприклад, розрахунок заробітної плати, складання оборотно-сальдової відомості, складання фінансових звітів тощо. Порівнюючи вихідну інформацію, отриману в результаті обробки КІС вхідного завдання, з контрольною інформацією аудитор отримує необхідні аудиторські докази наявності ризиків.

Вхідна інформація Вихідна інформація

(контрольний тест) (оборотно-сальдова відомість,

КІС фінансові звіти тощо)

Рис. 5. Схема тестування КІС суб’єкта господарювання на предмет виявлення ризиків

Для отримання аудиторських доказів наявності внутрішнього контролю за обробкою даних з метою недопущення ризиків, пов’язаних з дією людського фактора, аудитору необхідно оцінити процедури внутрішнього контролю суб’єкта господарювання в середовищі КІС. Для цього аудитору необхідно пересвідчитись у виконанні суб’єктом господарювання заходів внутрішнього контролю. При цьому слід керуватись рекомендаціями Положення з міжнародної практики аудиту 1008 «Оцінки ризиків та внутрішній контроль: характеристики та особливості КІС», що є складовою частиною МСА.

Процедури контролю в КІС, які здійснюються суб’єктом господарювання, складають:

• загальні заходи контролю, що впливають на середовище КІС;

• заходи контролю прикладних програм з бухгалтерського обліку.

Загальні заходи контролю можуть охоплювати:

а) заходи організаційного та управлінського контролю (розподіл функцій контролю за підготовкою вхідних даних, програмуванням, комп’ютерними операціями);

б) заходи контролю за розробкою і технічним обслуговуванням прикладних систем;

в) заходи контролю за комп’ютерними операціями (використання систем тільки для санкціонованих цілей, обмеженість доступу до комп’ютерних операцій тільки уповноваженому персоналу, використання лише авторизованих програм, порядок виявлення і виправлення помилок);

г) заходи контролю за системним програмним забезпеченням (обмеження доступу до системного програмного забезпечення і документації);

д) заходи контролю за введенням даних і програмами (обмеження доступу до даних і програм).

Метою заходів контролю прикладних програм з бухгалтерського обліку є забезпечення санкціонування, реєстрації, повноти і своєчасності обробки облікових операцій. Заходи контролю прикладних бухгалтерських програм у КІС охоплюють контроль:

а) за введенням облікових операцій;

б) за обробкою облікових операцій;

в) за комп’ютерними файлами даних;

г) за вихідними даними.

Оцінка властивих ризиків й ризиків контролю в середовищі КІС у підсумку дозволить аудитору визначити характер, строки та обсяг аудиторських процедур, виконання яких зменшить аудиторський ризик до допустимо низького рівня.

Організація аудиту в умовах застосування ЕОМ передбачає використання:

• ауди­торських комп’ютерних засобів;

• комп’ютеризованих методів аудиту.

Аудиторські комп’ютерні засоби – універсальний інструментарій аудитора, який він вико­ристовує для інформаційного забезпечення аудиту, безпосередньо для збору аудиторських доказів та застосування комп’ютеризованих методів аудиту.

Аудиторські комп’ютерні засоби включають спеціальне технічне, програмне, інформаційне та лінгвістичне забезпечення.

При використанні комп’ютеризованих методів аудиту комп’ютер використовується як засіб аудиту.

Мета комп’ютеризованих методів аудиту (КМА) – поліпшення ефективності і дієвості аудиторських процедур для одержання аудиторських доказів.

Використовуючи прийоми КМА для аудиторських процедур, необхідно керуватися рекомендаціями Положення з міжнародної практики аудиту 1009 «Комп’ютеризовані методи аудиту».

Комп’ютеризовані методи аудиту – прийоми обробки даних, призначених для аудиторських процедур, які перебувають в інформаційних системах суб’єкта господарювання і є важливими для аудиторської перевірки, за допомогою комп’ютерних програм та інформації.

Аудитор може використовувати різні прийоми КМА для обробки даних, залежно від характеру аудиторських процедур, стану і характеристик конкретних об'єктів аудиту, зокрема:

• вилучення рахунків-фактур, накладних та інших документів з певною сумою з комп’ютерних засобів суб’єкта господарювання;

• формування вибірки даних, призначеної для аудиторської перевірки, безпосередньо з КІС суб’єкта господарювання;

• відстеження шляху проходження окремих господарських операцій в КІС суб’єкта господарювання та формування на їх основі облікових регістрів (звітних даних);

• перевірка структури чи конфігурації операційної системи, процедур доступу до баз даних КІС суб’єкта господарювання;

• сортування, створення та роздрукування файлів.

Для обробки даних в КМА застосовуються такі засоби:

• пакет програм;

• програми спеціального призначення;

• програми-утиліти;

• програми управління системою;

• вбудовані аудиторські стандартні програми;

• методи тестування даних.

Пакет програм являє собою набір стандартних або розроблених аудиторською фірмою комп’ютерних програм аналітичного характеру для виконання функцій з обробки даних – зчитування, вибір та аналіз, проведення обчислень, створення файлів з функціями автоматичного підрахунку записів або контролю підсумків.

Програми спеціального призначення використовуються аудиторами для виконання завдань, індивідуалізованих для конкретного суб’єкта господарювання. Такі програми може розробити аудиторська фірма, суб’єкт господарювання, де здійснюється аудиторська перевірка, або залучений фахівець-програміст.

Програми-утиліти мають допоміжний характер і, як правило, не призначені безпосередньо для аудиторських цілей. Вони призначені для здійснення загальних функцій обробки даних – сортування, створення та роздрукування файлів.

Програми управління системою призначені, в основному, для пошуку даних по заданих параметрах.

Вбудовані аудиторські стандартні програми являють собою вмонтовані програмні модулі в комп’ютерну систему суб’єкта господарювання. Вони забезпечують аудитора інформацією щодо шляху проходження конкретної фінансово-господарської операції через різні етапи обробки.

Методи тестування даних використовуються для виявлення ризиків, пов’язаних з недоліками розробки та експлуатації прикладних програм і систем суб’єкта господарювання, перевірки дотримання ним заходів контролю за паролями та доступом до даних.

З наслідками використання КМА аудитором складаються робочі документи, зміст і форма яких мають відповідати МСА 230 «Документація».