Аудиторский риск и его взаимосвязь с существенностью и адуиторской выборкой. Идентификация и оценка рисков существеного искажения Аудиторский риск состоит из

Теория рисков и внутреннего контроля является, пожалуй, одной из самых проблемных областей в аудите. Считается, что данная теория была разработана на Западе в конце 1980-х — начале 1990-х гг.

В то же время в нашей стране параллельно и независимо от зарубежных проводились свои исследования и была разработана отечественная теория внутрихозяйственного контроля. Среди фундаментальных трудов отечественных ученых новейшей истории следует отметить работу В.П. Суйца «Внутрипроизводственный контроль» . Заметим, что оценка организации внутрихозяйственного контроля на предприятии всегда была важнейшим элементом программы каждой ревизии.

После событий, произошедших на рубеже XX–XXI вв., связанных с возникновением кризиса доверия пользователей финансовой отчетности (Enron и др.), требования, предъявляемые аудиторам по оценке системы контроля клиента, существенно возросли, и вместо одного стандарта в настоящее время применяются уже два самостоятельных регламентирующих документа, в достаточной степени объемных по содержанию.

Рассмотрим основные понятия, относящиеся к данной проблематике, нашедшие отражение в международных стандартах аудита.

Компоненты аудиторского риска

Напомним цель аудита. В соответствии с МСА № 200 целью аудита финансовой отчетности является достижение аудитором разумной уверенности в том, что финансовая отчетность в целом не содержит существенных ошибок и искажений (как случайных, так и преднамеренных), и тем самым предоставление возможности аудитору выразить мнение в отношении того, подготовлена ли финансовая отчетность (по всем существенным аспектам) в соответствии с установленной системой (т.е. принципами подготовки финансовой отчетности), а также сообщение, в случае необходимости, о выявленных нарушениях. Следовательно, основная цель, стоящая перед аудитором, состоит в том, чтобы подготовить правильное аудиторское заключение. К сожалению, далеко не всегда по результатам аудиторской проверки удается вскрыть все существенные нарушения. Причины этого могут быть объективными (выборочность аудита и др.) и субъективными (уровень квалификации и компетентности аудитора и т.д.).

Таким образом, аудиторский риск (AR — Audit risk) — это риск выражения аудитором несоответствующего (неправильного) мнения в случаях, когда в финансовой отчетности содержатся существенные искажения.

Аудиторский риск включает:

• риск существенного искажения (в свою очередь, подразделяется на неотъемлемый риск и риск системы контроля);
• риск необнаружения (рис. 1).

Рис. 1. Аудиторский риск: основные компоненты

Риск существенного искажения (Risk of material misstatement) — риск того, что финансовая отчетность содержит существенные искажения, выявляемые на стадиях, предшествующих внешнему аудиту.

Неотъемлемый (внутрихозяйственный) риск (IR — Inherent risk) — подверженность класса операций, сальдо счетов или раскрываемых статей искажениям, которые могут быть существенными по отдельности или в совокупности с другими искажениями, при допущении отсутствия средств контроля. (Под сальдо счетов в России понимаются конкретные статьи бухгалтерского баланса на отчетную дату; под классом операций — дебетовые и кредитовые обороты по счетам бухгалтерского учета за отчетный (проверяемый) период.)

Риск системы контроля (CR — Control risk) — риск того, что искажение, которое может иметь место в отношении класса операций, сальдо счета или раскрываемых статей и которое может быть существенным по отдельности или в совокупности с другими искажениями, не будет предотвращено, обнаружено и исправлено с помощью системы внутреннего контроля аудируемого лица.

Риск необнаружения (DR — Detection risk) — риск того, что аудиторские процедуры, направленные на уменьшение аудиторского риска до приемлемо низкого уровня, не позволят обнаружить существующее искажение, которое может быть существенным по отдельности или в совокупности с другими искажениями.

Связь между компонентами аудиторского риска выражается формулой:

AR = IR × CR × DR (правило умножения вероятностей). (1)

Мировая практика показывает, что допустимое значение совокупного аудиторского риска не должно превышать 5%:

Аналогичное правило в профессиональной формулировке звучит следующим образом: уровень доверия или доверительный интервал должен быть не меньше 95% (пять из ста подписанных аудитором заключений неверны по спорным вопросам). Это «магическая цифра аудиторского риска» .

Величину IR×CR иногда называют риском бизнеса (не зависящим от аудитора), тогда как DR — собственно аудиторским риском (не следует смешивать с AR). Чаще всего в практических ситуациях бывает необходимо определить именно величину риска необнаружения:

DR = AR / (IR × CR). (3)

Пример 1 . Имеем компанию-клиента с низким уровнем риска.

Величина внутрихозяйственного риска составляет 80% (высокая норма рентабельности; стабильная отрасль). Риск системы контроля 30% (четкая система контроля и отсутствие замечаний со стороны аудиторов по результатам предыдущих проверок).

Находим предельную величину риска необнаружения (при условии допустимого уровня совокупного аудиторского риска 5%): 0,05 / (0,8×0,3) ≈ 0,2083 (или 20,83%).

Это означает, что в двадцати одном случае из ста аудитору допустимо не выявить искажения отчетности, когда такое искажение в действительности существует, при этом он не выйдет за рамки минимального доверительного интервала совокупного аудиторского риска.

Пример 2. Имеем компанию-клиента с высоким уровнем риска.

Величина внутрихозяйственного риска составляет 100% (новый клиент, компания недавно вышла на рынок). Риск системы контроля 70% (предварительная оценка обнаружила слабость системы внутреннего контроля).

Находим предельную величину риска необнаружения (при условии допустимого уровня совокупного аудиторского риска 5%): 0,05 / (1,0×0,7) ≈ 0,0714 (или 7,14%).

Таким образом, только в семи случаях из ста аудитору допустимо не выявить искажения отчетности, когда такое искажение в действительности существует, при этом он также не выйдет за рамки минимального доверительного интервала совокупного аудиторского риска. Соответственно, повышаются требования к качеству аудиторской проверки (например, увеличение размера выборки), что, без сомнения, приведет к удорожанию стоимости аудиторских услуг.

Исходя из вышеизложенного, можно выявить следующую закономерность: чем выше величина внутрихозяйственного риска и риска системы контроля компании, тем меньше должна быть величина риска необнаружения, и наоборот.

Подобные расчеты по оценке собственно аудиторского риска целесообразно отражать в рабочей документации аудитора (первоначально — в ходе планирования аудита; уточнения и корректировки — в ходе проведения проверки).

Классификация рисков

В зависимости от источников все риски могут быть разделены на внешние и внутренние.

К внешним рискам относятся:

• законодательные, вызванные ужесточением действующих положений нормативных актов (законов, постановлений Правительства и т.д.) в области финансов, налогов, экологии, таможенного права и т.п.;
• политические — например, военные действия, непредвиденные ранее ограничения экспорта;
• макроэкономические, связанные с развитием экономических процессов в мире и стране. Это инфляционные, валютные, процентные и т.п. риски. Например, резкое повышение курса иностранной валюты по отношению к национальной может привести к убыткам компании в случае заключения контракта с зарубежным поставщиком материалов;
• природные — возможные стихийные бедствия (пожары, землетрясения и т.д.) и загрязнение окружающей среды;
• региональные, связанные с состоянием отдельных регионов, местным законодательством и т.д.;
• отраслевые, зависящие от тенденций развития отрасли, в т.ч. общественного мнения. Например, может произойти отказ от потребления продуктов, производимых организацией, в составе которых содержится повышенный уровень холестерина.

В числе внутренних рисков выделены следующие:

• инвестиционные риски, которые несут потенциальную угрозу неполучения запланированного результата. Например, неверно сформулированные цели и задачи, встречающиеся при разработке стратегических, а также краткосрочных планов компании, могут стать причиной неполучения запланированной прибыли;
• коммерческие риски, обусловленные изменением ситуации на рынке. Так, например, конкуренты представляют постоянную угрозу сокращения объемов продаж и в целом потери бизнеса; покупатели и заказчики представляют угрозу несвоевременной оплаты за отгруженную и реализованную продукцию, а также могут не выполнить иные условия заключенных договоров и др.;
• производственные риски, связанные с особенностями организации производства на конкретном предприятии. Источниками данного вида рисков могут быть работники (человеку свойственно ошибаться, периодически страдать заболеваниями, организовывать забастовки, совершать дисциплинарные проступки, в т.ч. недобросовестно относиться к исполнению своих должностных обязанностей; нечестные работники могут совершить подлог, хищение, иные экономические преступления), машины и оборудование (при повышенной загрузке производственных мощностей могут выйти из строя), поставщики и подрядчики (могут недопоставить необходимое количество товарно-материальных ценностей или затребовать необоснованно высокую цену по договору) и др.

Измерение риска

Исследователями в области рисков разработана также их классификация в зависимости от степени влияния их последствий на организацию. Согласно данной концепции, риск равен произведению вероятности наступления неблагоприятных событий и суммарной оценки негативных последствий от них:

Риск = последствия × вероятность. (4)

Рис. 2. «Карта» рисков организации

Исходя из представленной классификации, все риски организации можно разделить на четыре основных типа (рис. 2):

1) риски с относительно небольшими негативными последствиями и низкой степенью вероятности их наступления;

2) риски, которые могут вызвать значительные негативные последствия для организации, но имеющие небольшую вероятность наступления неблагоприятных событий;

3) риски с относительно небольшими негативными последствиями, но имеющими высокую вероятность их наступления;

4) наиболее опасные риски — те, вероятность наступления неблагоприятных событий от которых велика при значительном размере последствий.

Применение на практике предложенного подхода позволяет выделить из общей совокупности рисков те из них, которые имеют первоочередное значение для обеспечения нормального функционирования организации (четвертый тип рисков), и уделить им повышенное внимание.

Например, риск ужесточения положений действующих нормативных актов может иметь для организации значительные последствия, при этом вероятность таких событий может оцениваться как невысокая (рис. 2, блок 2).

Деятельность работников организации (особенно это относится к категории менеджеров среднего и высшего уровня) может представлять потенциальную угрозу стабильности организации (т.к. от ключевых управленческих решений во многом зависит ее будущее), при этом вероятность принятия ошибочных решений и иных неблагоприятных событий в определенных условиях может быть высокой (рис. 2, блок 4). Исходя из этого, вытекает вывод, что изучению вопросов кадровой политики при проведении аудиторской проверки необходимо уделять повышенное внимание.

Риски в деятельности организации в соответствии с МСА

Исходя из вышеизложенного, попытаемся оформить наше представление о рисках, присущих деятельности любой организации, и их оценке в ходе аудиторской проверки графически.

В ряде публикаций предприятие рассматривают в виде закрытой системы — своеобразного «черного ящика», в рамках которого происходит движение и преобразование ресурсов, поступивших извне, в готовую продукцию, получаемую на выходе (рис. 3) .

Рис. 3. Представление предприятия в виде «черного ящика»

Попробуем видоизменить данную схему. Будем считать, что рассматриваемую организацию («черный ящик») в ходе осуществления ее финансово-хозяйственной деятельности «пронизывает» множество рисков — самых разнообразных (по виду, степени неблагоприятного воздействия или вероятности наступления). Как мы уже понимаем, во всем своем многообразии риски измеряются определенной вероятностью их наступления. Иными словами, это еще не те свершившиеся события, которые нельзя было предотвратить. Это лишь те неблагоприятные события, которые с определенной степенью вероятности могут наступить, но еще не произошли (рис. 4а ).

Рис. 4. Организация как «черный ящик» и присущие ей риски:
а — при отсутствии барьеров, препятствующих воздействию рисков;
б — с учетом влияния первого барьера — деятельности должностных лиц организации, непосредственно отвечающих за выполнение вверенных им функций;
в — с учетом влияния первого, а также второго барьера — системы контроля клиента;
г — с учетом влияния первого, второго, а также третьего барьера — профессиональной деятельности аудиторов.

Первым барьером можно считать деятельность должностных лиц организации, непосредственно отвечающих за выполнение вверенных им функций (например, кассир осуществляет прием и выдачу денежных средств; кладовщик принимает и отпускает товарно-материальные ценности и т.д.) в отсутствие системы контроля.

Представим себе ситуацию, когда материально ответственных и иных должностных лиц, выполняющих те или иные хозяйственные операции, никто не контролирует! Понятно, что в рамках той или иной компании это невозможно. Но отчасти ситуация, при которой контроль недостаточен либо отсутствует вообще, возможна. Например, главный бухгалтер доверяет кассиру и не осуществляет контроль за его работой; склад товарно-материальных ценностей находится в территориальном удалении от головной организации и поэтому не инвентаризируется. В этих случаях вероятность возникновения случайных или преднамеренных искажений будет зависеть от того, насколько сотрудники, которым непосредственно вверено осуществление конкретных функций, добросовестно и честно будут подходить к выполнению своих обязанностей.

Представим себе, что в жизни людей, которые ответственны за совершение тех или иных операций и которых никто не проверяет, произошел «сбой»: кто-то из них не вышел на работу, кому-то в силу тяжелой жизненной ситуации понадобились денежные средства… Понятно, что «человеческий фактор» может стать причиной возникновения самых негативных последствий для компании. Так или иначе, вероятность реализации рисков на первом этапе (до первого барьера) напрямую зависит только от самого персонала, непосредственно занятого в осуществлении тех или иных функций (в особенности в тех случаях, когда речь идет о движении активов и (или) обязательств). В определенной степени на этот персонал можно полагаться, но вот в какой степени — аудитор решает самостоятельно на основе своего профессионального суждения в ходе проведения проверки.

Будем считать, что определенная часть рисков первым барьером будет «удержана», тогда в качестве внутрихозяйственного риска будут выступать те риски, которые смогли беспрепятственно преодолеть этот барьер (I на рис. 4б ). Из ранее изложенного становится более понятным содержание рассмотренного выше определения внутрихозяйственного (неотъемлемого) риска, в котором присутствует выражение «…при допущении отсутствия средств контроля» .

Вторым барьером является система контроля клиента, в рамках которой осуществляется перманентный контроль деятельности всех сфер деятельности компании, в т.ч. персонала, непосредственно выполняющего те или иные функции.

Важность данного барьера в ходе управления рисками трудно переоценить. Именно он является тем сдерживающим фактором, который не позволяет реализовываться тем или иным рискам. И именно на его оценку обращают особое внимание аудиторы при проведении проверок, а сам процесс оценки системы контроля зачастую называют тестированием системы контроля. В ходе тестирования (осуществляемого зачастую в форме достаточно традиционных методов — анкетирования, опроса, наблюдения и др.) проверяющие оценивают работоспособность данной системы, отвечающей за предотвращение, обнаружение и исправление существенных искажений в финансовой отчетности.

Будем считать, что определенная часть рисков, прошедшая через первый барьер, устраняется при прохождении второго препятствия. При этом в качестве риска системы контроля будет выступать количественная оценка тех рисков, которые смогли преодолеть и первый, и второй барьеры (II на рис. 4в ).

Что же представляет собой третий барьер? Нетрудно догадаться — это аудиторы, которые в ходе своей работы не просто проверяют достоверность финансовой отчетности аудируемого лица, а в рамках возложенных на них задач оценивают эффективность первых двух барьеров — должностных лиц, осуществляющих хозяйственные операции, а также системы контроля. И в этом есть логика, заключающаяся в том, что в результате аудиторской проверки выявляются те замечания, которые до аудиторов не были сформулированы и устранены материально ответственными лицами, а также лицами, ответственными за осуществление контроля.

Но и аудиторы в силу ограничений аудита (выборочный характер проверки и др.) не всегда могут выявить всю совокупность рисков, присущих деятельности компании. Аудиторы выражают совсем не абсолютную, а лишь позитивную разумную уверенность в достоверности финансовой отчетности организации. В этом и заключается проявление собственно аудиторского риска (риска необнаружения).

Будем считать, что еще часть рисков, прошедших первый и второй барьеры, будет устранена в ходе преодоления третьего барьера. При этом в качестве риска необнаружения будет выступать количественная оценка тех рисков, которые смогли пройти все три барьера (III на рис. 4г ).

Отметим, что все составляющие совокупного аудиторского риска формируются на основе профессионального суждения аудитора.

Изучение и оценка внутреннего контроля клиента

Понятие внутреннего контроля является одним из важнейших понятий в современном международном аудите. Определение внутреннего контроля дается в МСА № 315 (п. 4).

Внутренний контроль (Internal control) — процесс, осуществляемый лицами, допущенными к управлению компанией (those charged with governance), менеджментом и др., призванный обеспечить разумную уверенность в том, что решены следующие задачи: по достижению надежности финансовой отчетности, эффективности операций и их соответствию применимому законодательству и иным нормативным актам. При этом термин «контрольные действия» (controls) имеет отношение к самым различным аспектам и компонентам внутреннего контроля .

Внутренний контроль включает в себя:

• контрольную среду (Control environment);
• процесс оценки риска клиента (The entity’s risk assessment process);
• информационную систему, включая связанные с нею бизнес-процессы, относящиеся к подготовке финансовой отчетности и передаче информации (The information system, including related business processes, relevant to financial reporting, and communication);
• (Control activities relevant to the audit);
• мониторинг контрольных действий (Monitoring of controls).

Существуют и другие определения внутреннего контроля организации. Например, В.В. Бурцев дает следующее обобщающее определение:

«Внутренний контроль организации — это осуществление субъектами организации, наделенными соответствующими полномочиями (субъекты внутреннего контроля), либо в автоматическом режиме, заданном указанными субъектами и под их управлением, следующих действий:

а) определение фактического состояния или действия управляемого звена системы управления организацией (объекта контроля);

б) сравнение фактических данных с требуемыми, т.е. с базой для сравнения, принятой в организации, заданной извне либо основанной на рациональности;

в) оценка отклонений, превышающих предельно допустимый уровень, и степени их влияния на аспекты функционирования организации;

г) выявление причин данных отклонений» .

Важно отметить, что определению внутреннего контроля В.В. Бурцева свойственен кибернетический подход, общий для любого процесса управления. Данная точка зрения отчасти подтверждается тем, что целью внутреннего контроля, согласно В.В. Бурцеву, является «информационная прозрачность объекта управления для возможности принятия эффективных решений» . При этом В.В. Бурцев выделяет две формы внутреннего контроля:

• внутренний аудит;
• структурно-функциональная форма внутреннего контроля, которая «отражает необходимые взаимодействия единиц организационной структуры (линейно-функциональной, дивизионной, матричной), соответствующие их контрольным функциям» , и применяется, в отличие от внутреннего аудита, всеми организациями. Под данной формой внутреннего контроля понимается осуществление контроля как непременной должностной обязанности всех ответственных лиц .

Таблица. Элементы внутреннего контроля

В случае, если в структуре аудируемого лица есть служба внутреннего аудита, аудитор должен достичь понимания следующих аспектов:

• функций внутреннего аудита и того, каким образом последние соответствуют организационной структуре предприятия;
• действий, которые должны осуществляться или осуществляются службой внутреннего аудита.

Важно отметить, что процесс, связанный с оценкой внутреннего контроля клиента, осуществляется на перманентной основе на протяжении всей аудиторской проверки. В результате получения отдельных аудиторских доказательств ранее принятые оценки внутреннего контроля могут быть скорректированы. Это, в свою очередь, может стать причиной изменения ранее запланированных аудиторских процедур. Как первоначальные, так и последующие оценки внутреннего контроля клиента, включая выявленные риски, источники информации и др., подлежат отражению в рабочей документации аудитора.

Как было отмечено выше, составной частью внутреннего контроля в соответствии с определением, изложенным в МСА, является контрольная среда. Контрольная среда оказывает прямое воздействие на степень эффективности остальных элементов внутреннего контроля. Например, сильная (организованная, устойчивая) контрольная среда, рассматриваемая в совокупности с системой бюджетирования и эффективно функционирующим внутренним аудитом, может существенно усилить определенные контрольные процедуры. Тем не менее, в стандарте акцентируется внимание на том, что сильная контрольная среда сама по себе не является гарантом эффективности системы внутреннего контроля.

Важнейшими элементами контрольной среды являются:

• функциональные возможности совета директоров компании и его комитетов;
• философия менеджмента и стиль операционной деятельности организации;
• организационная структура компании и способы наделения властью и ответственностью менеджмента и иных должностных лиц компании;
• система контроля менеджмента, включая функцию внутреннего аудита, политики и процедуры в отношении персонала и распределение обязанностей.

В.В. Бурцев к элементам контрольной среды относит также:

• организационный статус отдела (подразделения) внутреннего аудита;
• принятый организацией курс действий (ее ориентиры), цели и стратегии;
• виды и масштаб деятельности организации;
• налаженность системы коммуникаций и системы информационного обеспечения управления;
• адекватность системы документации и документооборота организации ее размерам и структуре;
• внешние влияния — уровень развития экономики, экономическая и политическая устойчивость рынка, развитие законодательной базы рыночного типа, налоговая политика государства и т.д. .

Важно отметить, что степень эффективности функционирования хозяйственной системы заключается в отношении администрации организации к контролю . Действительно, если высшее руководство компании полагает, что контроль необходим, то и остальной ее персонал будет стремиться к выполнению установленных нормативных требований. Саму администрацию можно охарактеризовать или как «бюрократическую», или как «энергичную», т.е. медленно или быстро реагирующую на любые изменения рыночной конъюнктуры. Аудитор должен установить отношение руководства организации к коммерческим, финансовым и внутрифирменным рискам, убедиться в правильном понимании ими роли внутреннего контроля в управлении организацией и проанализировать конкретные действия управляющих в плане организации внутреннего контроля. Именно в этом и заключается один из важнейших элементов, составляющих среду контроля, — философия менеджмента и стиль операционной деятельности организации.

Следующий элемент внутреннего контроля — организационная структура — определяет формы власти и подчинения, а также каналы информационной связи внутри организации. В ходе изучения организационной структуры проверяемой организации аудитору необходимо проанализировать управленческие и функциональные связи в ней, установить степень соответствия организационной структуры размерам и степени сложности организации, а также механизм реализации внутреннего контроля.

При этом организационная структура организации, обеспечивающая эффективно работающий внутренний контроль, основана на принципе разграничения функций и наделения разных работников следующими компетенциями:

• ответственность за принятие управленческих решений;
• материальная ответственность за обеспечение сохранности имущества (денежных средств, товарно-материальных ценностей и т.д.);
• ответственность за ведение бухгалтерского учета.

Рассмотрим названный принцип на примере кассовых операций. Все первичные документы по движению денежных средств (приходные и расходные кассовые ордера) должны подписываться лицами, ответственными за принятие управленческих решений (приходные документы — главным бухгалтером; расходные — кроме него, также и руководителем организации), т.е. каждая хозяйственная операция внутри организации должна санкционироваться уполномоченными на то должностными лицами.

Непосредственно операции с денежными средствами (физические действия) совершает лицо, ответственное за обеспечение их сохранности , — кассир.

Оформление приходных и расходных кассовых ордеров, своевременную их регистрацию, отражение хозяйственных операций по движению денежных средств на счетах бухгалтерского учета, а также текущий контроль соответствия совершенных хозяйственных операций установленным требованиям нормативных актов в организации обеспечивает бухгалтер по учету кассовых операций.

Такая «тройственная» система, закрепленная в организационной структуре предприятия для всех видов активов, будет свидетельствовать о сильной контрольной среде. И, наоборот, в случае, когда определенные обязанности из перечня, отмеченного выше, выполняются (по совместительству) одним должностным лицом (очень часто такие ситуации встречаются на предприятиях малого бизнеса), это может служить основанием для повышенного внимания аудитора к соответствующим классам хозяйственных операций.

Среди остальных элементов внутреннего контроля важно отметить политику и процедуры в отношении персонала компании. Персонал предприятия, как уже отмечалось выше, — важнейший аспект любой системы контроля . Если работники обладают такими качествами, как высокая компетентность, честность, заслуживают доверия, при этом они удовлетворены существующими системами оплаты труда, стимулов и поощрений за результаты их деятельности, то даже при наличии других недостатков внутреннего контроля (например, в случае отсутствия подразделения внутреннего аудита в организации) в любом случае существует относительно низкая вероятность наличия искажений в финансовой отчетности. Очевидно, что в противоположной ситуации некомпетентные, нечестные, а также морально «не удовлетворенные жизнью» работники могут свести на нет эффективность внутреннего контроля.

Контрольные действия, имеющие отношение к аудиту

Как было отмечено в предыдущем разделе, контрольные действия (процедуры, средства) — это политики и процедуры, которые позволяют достичь уверенности в том, что решения менеджмента выполняются. Примерами контрольных действий являются:

• арифметический контроль правильности произведенных записей;
• осуществление контроля использования среды компьютерных информационных систем, в частности, путем установления ограничения круга лиц для внесения изменений в информационные ресурсы компьютерных программ или самого допуска к базам данных;
• контроль составления первичных документов, отражающих хозяйственные операции, включая процедуры их одобрения (согласования и санкционирования);
• сопоставление внутренних данных с внешними источниками информации;
• сравнение фактического наличия имущества (денежных средств, ценных бумаг и пр.) с данными бухгалтерского учета путем проведения инвентаризаций;
• установление ограничений прямого физического доступа к имуществу и информации;
• проведение регулярного сравнительного анализа фактических и запланированных результатов финансово-хозяйственной деятельности.

Так, действенный контроль составления первичных документов характеризуется следующими признаками:

• документы имеют непрерывную сплошную нумерацию с целью выявления в необходимых случаях отсутствующих документов, а также быстрого поиска самих документов;
• документы составляются в момент совершения хозяйственной операции или сразу по ее окончании (следует отметить, что данное положение предусмотрено ст. 9 Федерального закона «О бухгалтерском учете»);
• документы достаточно просты и доступны для понимания (требование «прозрачности» к финансовой информации);
• применяются унифицированные формы первичных учетных документов (данное положение предусмотрено Федеральным законом «О бухгалтерском учете»);
• разработаны, утверждены руководством и соблюдаются работниками организации график документооборота, структура самих документов, рабочий план счетов бухгалтерского учета;
• хозяйственные операции, отраженные в документах, выполняются с одобрения руководства организации.

Такому средству контроля, как ограничение прямого физического доступа к имуществу и информации организации , свойственно наличие оборудованных кассовых помещений, складов для хранения товарно-материальных ценностей, охранной и пожарной сигнализации, сейфов для хранения документов на бумажных носителях, паролей доступа к компьютерным базам данных и т.д.

Одной из важнейших процедур контроля, рассмотренных выше, является инвентаризация имущества и обязательств организации. В ходе ее проведения устанавливаются и устраняются расхождения между фактическим наличием имущества (или обязательств) и данными бухгалтерского учета. Посредством проведения инвентаризаций производится оценка степени реальности аудируемой финансовой отчетности (чаще говорят, что те или иные статьи бухгалтерской отчетности подтверждены или не подтверждены проверкой наличия их в натуре — инвентаризацией). При этом аудитор обращает внимание на то, как в аудируемой организации за проверяемый период проводились инвентаризации, или может сам организовать ее проведение (в ходе аудиторской проверки).

Оценка надежности внутреннего контроля клиента

Оценка внутреннего контроля служит аудитору основой для планирования проверки. Каждый из элементов системы внутреннего контроля необходимо изучить и понять.

Изучение и оценку среды контроля и отдельных средств контроля рекомендуется проводить последовательно в три этапа:

1) общее знакомство с системой внутреннего контроля;

2) оценка надежности отдельных элементов внутреннего контроля;

3) подтверждение оценки надежности отдельных элементов внутреннего контроля.

Для оценки степени надежности внутреннего контроля обычно используется следующая градация:

• высокая степень надежности;
• средняя степень надежности;
• низкая степень надежности.

Оценка надежности внутреннего контроля является одним из важнейших факторов, который следует учитывать при определении величины аудиторского риска. Она может оказывать воздействие на внутрихозяйственный риск и риск системы контроля, а также на выбор тех или иных процедур, применяемых аудитором в ходе проверки.

В случае если аудитор оценивает надежность внутреннего контроля клиента как «низкую» , то это означает невозможность для него опереться на отдельные средства контроля аудируемой организации и, соответственно, требует увеличения объема аудиторских процедур, что закономерно приводит к росту издержек аудиторской организации на осуществление всей проверки в целом.

И наоборот, если надежность внутреннего контроля оценивается аудитором как «высокая», то представляется возможным уменьшить объем применяемых аудиторских процедур, а значит, сократить расходы на проведение аудиторской проверки.

Как было отмечено выше, по результатам изучения внутреннего контроля определяется риск средств контроля клиента, т.е. вероятность того, что разработанные и применяемые в организации средства внутреннего контроля не будут своевременно обнаруживать и исправлять существенные нарушения и (или) препятствовать возникновению таких нарушений.

Между степенью риска средств контроля клиента и степенью надежности внутреннего контроля имеется обратная зависимость: высокой степени надежности соответствует низкий уровень риска и наоборот.

Следует заметить, что оценка надежности внутреннего контроля субъектов малого бизнеса несколько отличается от общих правил, изложенных выше. Общим допущением является то, что доверие аудитора к системе внутреннего контроля субъектов малого бизнеса обычно должно быть ниже, чем для средних и крупных организаций.

Важнейшей характеристикой внутреннего контроля организации является ее результативность (R), рассчитываемая как разница между возможными убытками (ущербом) до и после прогнозируемого воздействия системы внутреннего контроля :

R = U 1 × P 1 — U 2 × P 2 , (5)

где U 1 , U 2 — размер прогнозируемых убытков (ущерба) соответственно до и после прогнозируемого воздействия внутреннего контроля;

P 1 , P 2 — вероятность возникновения неблагоприятного события в виде U 1 и U 2 .

Добавив в выражение (5) коэффициент изменения риска (γ ), равный отношению U 1 × P 1 / U 2 × P 2 , получим новую формулу: R = U 1 × P 1 — U 1 × P 1 / γ = U 1 × P 1 × (1 — 1 / γ). (6)

Выражения (5) и (6) определяют абсолютную результативность внутреннего контроля. Для получения относительного показателя результативности внутреннего контроля (R отн) необходимо соотнести полученный результат (R ) с затратами (Z ) на создание (внедрение) данной системы:

R отн = R / Z . (7)

Пример (числа условные). Организацией предполагается заключение договоров поставки с контрагентами на условиях частичной предоплаты (аванса) в размере 40% стоимости отгруженной продукции. Предполагаемый годовой объем отгруженной и реализованной готовой продукции составляет 20 млн руб., ее полная себестоимость — 16 млн руб.

В этой же организации также рассматривается вопрос о необходимости создания специального отдела по контролю за организациями-дебиторами, функциями которого могут быть следующие:

• анализ и оценка финансового состояния потенциальных покупателей;
• мониторинг (ежедневный текущий контроль) состояния расчетов за отгруженную продукцию и соблюдения лимитов дебиторской задолженности;
• претензионно-исковая работа по взысканию (в т.ч. в суде) сумм дебиторской задолженности с контрагентов, нарушивших обязательства, предусмотренные договорами поставки и т.д.

В случае, если в организации такое подразделение не будет создано, то вероятность того, что оставшаяся часть денежных средств за реализованную продукцию не будет получена с организаций-дебиторов, оценивается экспертами в размере 50%.

Если такой отдел будет создан, то вероятность убытков, по мнению специалистов, можно уменьшить до 10%. Затраты на содержание отдела составляют 0,6 млн руб. в год.

С помощью экономических расчетов необходимо определить целесообразность создания специального отдела по контролю за организациями-дебиторами.

Решение. Потенциальный ущерб, который может быть нанесен организации, равен себестоимости отгруженной, но неоплаченной продукции:

U 1 = U 2 = 16 млн руб. × 60% / 100% = 9,6 млн руб.

Согласно условию задачи, P 1 = 0,5, а P 2 = 0,1, т.е. абсолютный результат от предлагаемых процедур контроля составит:

R = 9,6 × 0,5 — 9,6 × 0,1 = 3,84 млн руб.

Если соотнести полученный результат с суммой затрат на содержание службы контроля, то получим:

R отн = 3,84 / 0,5 ≈ 7,7.

Таким образом, предполагаемая экономическая выгода (в виде уменьшения суммы убытков от списания безнадежной дебиторской задолженности) от деятельности службы внутреннего контроля в 7,7 раза превысит сумму затрат на ее содержание, т.е. создание такой службы целесообразно.

При этом коэффициент уменьшения риска (γ) составит значение, равное:

(9,6 × 0,5) / (9,6 × 0,1) = 5.

Предлагаемый метод имеет существенный недостаток, а именно — субъективность оценок, полученных экспертным путем. Так, если суммы предполагаемых убытков еще можно оценить с определенной степенью точности, то значения вероятности наступления неблагоприятных событий определить достоверно на практике очень сложно, поскольку на последние оказывают воздействие многие (внутренние и внешние) факторы.

Тем не менее, данный метод может быть использован в практической деятельности для оценки результативности (и как следствие, необходимости разработки и внедрения) того или иного элемента внутреннего контроля.

Список литературы

1. Суйц В.П. Внутрипроизводственный контроль / В.П. Суйц. − М.: Финансы и статистика, 1987. — 127 с.

2. Бычкова С.М. Доказательства в аудите / С.М. Бычкова. — М.: Финансы и статистика, 1998. − 176 с.

3. Бурцев В.В. Организация системы внутреннего контроля коммерческой организации / В.В. Бурцев. — М.: Экзамен, 2000. — 320 с.

4. Аренс А. Аудит/А. Аренс, Дж. Лоббек; пер. с англ. — М.: Финансы и статистика, 1995. — 560 с.

5. Handbook of International Quality Control, Auditing, Review, Other Assurance, and Related Services Pronouncements. 2010 edition. Parts I and II/International Federation of Accountants. URL: http://www.ifac.org .

См., например, Принцип клиентоориентированности при продвижении услуг и товаров. Консалтинг (часть 1) // URL: http://www.rbp.ru/4/1/365.

Ранее в МСА упоминалось понятие «система внутреннего контроля». — Прим. авт.

Понятие those charged with governance является комплексным и не имеет простого (дословного) перевода на русский язык. В соответствии с «Глоссарием терминов» (Glossary of Terms) данное понятие означает лицо (например, доверительного управляющего в рамках траста — института управления доверительной собственностью) или организацию, наделенную полномочиями по стратегическому управлению предприятием и обязательствами, имеющими отношение к данному предприятию. В некоторых юрисдикциях эти функции могут быть возложены на менеджмент компании, например, на исполнительных членов совета директоров, либо на собственника, являющегося менеджером компании. Такие функции могут возлагаться и на вышестоящие органы управления — собрание акционеров, совет директоров и т.д. В настоящей статье употребляется эквивалентный термин «лица, допущенные к управлению компанией». — Прим. авт.

Аудит. Шпаргалки Самсонов Николай Александрович

41. Аудиторский риск

41. Аудиторский риск

Проведение аудита всегда сопровождается определенным риском. Аудитор должен четко уяснить себе, в чем заключается аудиторский риск, его сущность, составные части, как его определить, его максимально допустимый уровень.

Аудиторский риск – риск, который берет на себя аудитор, давая заключение о полной достоверности данных внешней отчетности, в то время как там возможны ошибки и пропуски, не попавшие в поле зрения аудитора.

Степень риска – вероятность потерь, а также размер возможного ущерба. Степень риска напрямую связана с качеством аудиторской проверки, поэтому оценка аудиторского риска очень важна.

Общий аудиторский риск включает:

1. Собственный риск.

2. Риск контроля.

3. Риск необнаружения (риск системы бухгалтерского учета).

Собственный риск – это всевозможные риски, связанные с функционированием предприятия, т. е. это все ошибки, неточности, которые могут быть допущены в результате деятельности предприятия.

Собственный риск оценивается аудитором на подготовительной (начальной) стадии аудита, когда он только знакомится с деятельностью предприятия, условиями его работы и другими вопросами.

Риск контроля – это опасность того, что недостоверная информация, которая может возникнуть и быть существенной отдельно или вместе с другой недостоверной информацией, не будет выявлена или своевременно предупреждена системой внутреннего контроля.

Риск необнаружения означает вероятность того, что бухгалтерская отчетность экономического субъекта может содержать не выявленные существенные ошибки и (или) искажения после подтверждения ее достоверности, или признание, что она содержит существенные искажения, когда на самом деле таких искажений в отчетности нет.

Аудитор обязан изучать риски в ходе работы, оценивать их и документировать результаты оценки. При оценке рисков аудитор обязан использовать не менее трех следующих градаций: а) высокий; б) средний; в) низкий.

Аудиторские организации могут принять решение о применении большего количества градаций при оценке рисков.