По материалам: IAASB
В новости по соседству мы кратко рассказали о новом руководстве от Совета по международным стандартам аудита и подтверждения достоверности отчетности (IAASB). Это уже не первое руководство такого рода, посвященное особенностям международной практики аудита с использованием так называемых “automated tools and techniques” (“ATT”) – автоматизированных инструментов и техник. Тема очень актуальна с учетом того, как привычная работа аудиторов все более автоматизируется. Следует считать это положительными изменениями, ведь тем самым у специалистов освобождается свободное время на то, чтобы посвятить его другим вещам, создающим большую стоимость. Но это не значит, что полагаться на технологические инструменты можно бездумно, поэтому данная тема остается в зоне повышенного внимания разработчиков международных стандартов аудита. Сегодня мы поговорим про такой важный этап как планирование аудита – подразумевая стандарт МСА (ISA) 300 “Планирование аудита финансовой отчетности”.
Ключевое понятие “ATT”
Итак, напомним, что различные аудиторские процедуры можно выполнять с использованием различных инструментов и техник - полностью автоматизированных, реализуемых в ручном режиме, либо же представляющих собой комбинацию и того, и другого. Называть этот процесс можно как угодно - собственно, даже такой часто использующийся термин как “анализ данных” вполне может обозначать именно это, поскольку подразумевает использование аудитором специальных программ в аналитических процедурах в целях оценки рисков. Но в то же самое время “анализ данных” для обозначения применения “ATT” - автоматизированных инструментов и техник - не очень подходит, поскольку это довольно узкое понятие само по себе и не может охватить собой всего спектра возможностей использования технологических инструментов в аудиторской работе. Не стоит забывать и про эволюцию самого инструментария (постепенно все активнее начинают привлекаться технологии ИИ и машинного обучения), так что IAASB вынужден использовать более общий термин.
В своей работе аудитору разрешено использовать любые технологические инструменты, лишь бы это способствовало повышению эффективности. В каких-то обстоятельствах, как он или она может решить на основе профессионального суждения, получение аудиторских доказательств лучше осуществить с помощью автоматизированных инструментов, тогда как в других обстоятельствах, может оказаться, намного эффективнее все получится сделать вручную. Само собой разумеется, аудитор при этом обязан по-прежнему выполнять все актуальные требования международных стандартов аудита.
“ATT” в контексте применения МСА 300
Применение МСА 300 подразумевает определение общей аудиторской стратегии и разработку плана аудита. В этой связи использование автоматизированных инструментов и техник может встречаться:
- На этапе предварительного согласования;
- При определении характера, времени проведения и охвата запланированных процедур оценки рисков согласно МСА 315 “Выявление и оценка рисков существенного искажения посредством изучения организации и ее окружения”;
- При определении характера, времени проведения и охвата дальнейших аудиторских процедур на уровне предпосылок согласно МСА 330 “ Аудиторские процедуры в ответ на оцененные риски”;
- При определении характера, времени проведения и охвата привлечения ресурсов (включая работу стороннего эксперта) для выполнения аудиторского задания;
- При определении прочих плановых аудиторских процедур, необходимых для выполнения требований МСА;
- При планировании характера, времени и охвата контрольно-надзорных процедур за деятельностью команды на аудиторском задании, а также обзорной проверки выполненной работы.
Каким образом возможное использование автоматизированных инструментов и техник в аудиторском задании влияет на планирование?
На этапе предварительного согласования
Данный этап может включать в себя предварительные обсуждения с менеджерами компании по таким вопросам как:
- Виды данных, которые могут использоваться вместе с автоматизированными инструментами и техниками, и способы работы с ними;
- Качество и надежность данных, в том числе меры обеспечения целостности данных, связанных с ними процессов и контролей, применяемые самими менеджерами компании, а также кто имеет доступ к данным;
- Когда именно данные станут доступными для анализа в целях проведения аудиторских процедур;
- Где именно будут находиться данные до и после проведения аудиторских процедур.
Эти обсуждения могут также затрагивать любые меры регулирования, актуальные для национальных требований по работе с данными той или иной страны. Эти вопрос могут дополнительно оговариваться в письме-обязательстве.
При определении характера и охвата процедур
Если есть возможность использовать автоматизированные инструменты и техники, полезно сначала посмотреть, как именно они будут использоваться, в отношении каких именно предпосылок, и какие вообще инструменты находятся у аудитора в зоне доступности. С предварительным анализом может помочь прошлый опыт проведения аудиторских проверок с привлечением “ATT” (той же самой компании, или той же самой формы отчетности), либо просто накопленные ранее знания о повторяющихся элементах аудиторских процедур, которые хорошо изучены и могут быть эффективно автоматизированы.
Кроме того, насколько в данной ситуации подойдет использование “ATT”, также будет зависеть от бизнеса самого клиента и проведенных транзакций. Для примера, если бизнес связан с проведением множества идентичных или схожих по своей сути транзакций, учет которых сам по себе автоматизирован, здесь привлечение дополнительных технологических инструментов будет более чем оправдано. Тем более что под таковыми часто будут подразумеваться технологические средства самого клиента - хотя это и не обязательно, поскольку аудитор может прийти к выводу, что в конкретной ситуации более подойдут какие-то другие “ATT”, если компания-клиент даст на это свое согласие.
Стоит также напомнить, что новый стандарт по управлению качеством аудита ISQM 1, который вступает в силу с 15 декабря следующего года, оговаривает ответственность аудиторской организации, в том числе, в отношении технологических ресурсов у нее в наличии. Это подразумевает изучение того, какие автоматизированные инструменты и техники имеются в данный момент в наличии, использование каких из них подразумевается согласованными политиками и процедурами, и есть ли какие-то альтернативные инструменты и техники, которые еще можно использовать.
При определении времени проведения процедур
На время использования автоматизированных инструментов и техник может повлиять множество фактов и обстоятельств, например:
- Порядок получения и подготовки данных. Поэтому любой план аудита при должной детализации может оговаривать даже такие этапы как извлечение и очистка данных в целях их дальнейшего использования автоматизированными системами. Необходимо оставить достаточно времени для проведения процедур. Кроме того, не стоит забывать, что в каких-то обстоятельствах могут быть ограниченные периоды времени, когда данные по факту доступны для извлечения, либо когда они по факту понадобятся для проведения аудиторской процедуры, и это все также следует по возможности отразить в плане аудита.
- Оценка того, в какой мере информация подходит для проведения аудиторской процедуры, ее полнота и точность. В случае больших объемов данных проверка данного фактора может занять больше времени.
- Необходимо оставить достаточно времени на то, чтобы оценить результаты уже проведенной процедуры. В отдельных случаях аудитору может потребоваться пересмотреть свое представление об организации и запланированном порядке проведения процедуры (обновив какие-то параметры или размер выборки, как пример). Кроме того, применение автоматизированных средств часто приводит к появлению аномалий, которые иногда необходимо изучить отдельно, поскольку потенциально они могут сигнализировать о существенном искажении.
При оценке компетенций и способностей
В соответствии с требованиями обновленного МСА 220 “Контроль качества при проведении аудита финансовой отчетности” (пересмотренная версия стандарта вступает в силу с 15 декабря 2022 г., вместе с ISQM 1-2), руководитель задания должен убедиться, что все члены аудиторской группы, а также эксперты аудитора, которые в нее не входят, коллективно обладают достаточными для выполнения аудиторского задания компетенциями и способностями.
Присутствие “ATT” в качестве переменной несколько усложняет эту обязанность, поскольку руководителю нужно убедиться в наличии необходимых технических знаний и опыта для применения автоматизированных инструментов и техник. При этом руководитель обязан учитывать сложность самого “ATT”, равно как и сложности с получением данных, необходимых для использования данным технологическим инструментом. В оценке иногда может помочь привлечение сторонних, внешних или внутренних ресурсов - специалистов по работе с данными, способных быстро оценить их полноту и точность.
Кроме того, внутренняя политика всей аудиторской организации может оговаривать наличие специализированных ресурсов (например, постоянной группы IT-специалистов), в случае если к этому вынуждают обстоятельства - например, применение “ATT” в аудите встречается очень часто.
Кто может участвовать в планировании деятельности, в рамках которой могут использоваться автоматизированные инструменты и техники?
Если обстоятельства позволяют использовать “ATT” в аудите, полезным будет привлекать к планированию аудиторских процедур поставщиков специализированных услуг, IT-специалистов, либо просто потенциальных членов аудиторской группы с технической подготовкой. Благодаря этому удастся специфицировать правильные технические инструменты для тех или иных аудиторских процедур.
Привлечение специалистов с технической подготовкой поможет:
- Оценить, насколько выбранный технический инструмент подходит для использования с учетом обстоятельств, и будет ли это эффективным;
- Понять и согласовать охват и задачи процедур, которые будут выполняться с помощью автоматизированных инструментов и техник;
- Определить, какие данные необходимы для проведения процедур с использованием “ATT”;
- Понять результаты использования автоматизированных инструментов и то, какой дальнейший анализ и оценка потребуются в их отношении далее, чтобы сделать правильный вывод по итогам проведения аудиторской процедуры и получения аудиторских доказательств;
- Определить характер, время и охват контрольно-надзорных процедур за членами аудиторской группы, а также оценки выполненной ими работы. Это подразумевает оценку навыков и знаний лиц, которые отвечают на проведение контрольно-надзорных процедур и оценку выполненной работы.
В общем случае, если автоматизированные инструменты и техники пока что вообще не используются в аудиторских заданиях, периодическое включение в аудиторскую группу специалистов по “ATT” может быть правильным выбором альтернативного курса в плане расширения перспектив аудиторского планирования.