Система внутреннего контроля: 5 компонентов и как аудитор её изучает (МСА 315, пересмотренный в 2019 году)
Пять компонентов системы внутреннего контроля на примере небольшого кафе, разница между дизайном, внедрением и операционной эффективностью контроля, таблица частых недостатков и то, как найденный недостаток меняет подход к аудиту.
«Lochin kafe» семейный бизнес с двумя филиалами. Его владелец Сардор впервые встретился с аудитором, когда банк попросил для кредита отчётность, прошедшую аудит. В первый день аудитор Гульнора не попросила ни счетов-фактур, ни баланса. Её вопросы были другими: "Кто может отменить чек в кассе? Если мясо подорожает, кто и когда это обсуждает? Когда вы в последний раз неожиданно пересчитывали кассу?" Сардор удивился: какое отношение эти вопросы имеют к аудиту?
Ответ такой: не изучив систему внутреннего контроля предприятия, аудитор не может правильно оценить, где в отчётности может скрываться ошибка. В этой статье разберём пять компонентов системы и то, что аудитор с ними делает.
Условия: кафе, имена и примеры условные, составлены автором.
В Узбекистане международные стандарты аудита являются стандартами аудиторской деятельности (Закон «Об аудиторской деятельности», статья 9). Выявлению и оценке рисков существенного искажения посвящён МСА 315; его редакция, пересмотренная в 2019 году, применяется к аудиту финансовой отчётности за периоды, начинающиеся 15 декабря 2021 года или позже.
Из каких компонентов состоит система внутреннего контроля?
МСА 315 (пересмотренный в 2019 году) делит систему внутреннего контроля предприятия на пять компонентов. Рассмотрим их на примере «Lochin kafe»:
| Компонент | Содержание (простыми словами) | Как это выглядит в «Lochin kafe» | О чём спрашивает аудитор |
|---|---|---|---|
| 1. Контрольная среда | отношение руководителя к честности и порядку, у кого какая ответственность | Сардор не пропускает недостачу в кассе со словами "ладно, в следующий раз", каждая смена сдаёт отчёт | Соблюдает ли руководитель правила сам? |
| 2. Процесс оценки рисков на предприятии | выявление рисков, угрожающих бизнесу, и принятие по ним решений | перед открытием нового филиала обсуждались риски цен на продукты и аренды | Кто и как регулярно рассматривает риски? |
| 3. Процесс мониторинга системы внутреннего контроля | отслеживание того, что средства контроля действительно работают | раз в месяц Сардор без предупреждения пересчитывает кассу филиала и записывает результат | Кто и как заметит, если контроль перестал работать? |
| 4. Информационная система и коммуникация | как операция начинается, записывается, обрабатывается и попадает в отчётность; как обязанности доводятся до сотрудников | заказ вводится в кассовую программу, отчёт за день автоматически уходит бухгалтеру | Каким путём данные проходят от продажи до отчётности? |
| 5. Контрольные действия | конкретные правила и процедуры, которые предотвращают или выявляют ошибки и несанкционированные действия | отмена чека только с паролем менеджера, ключ от склада только у повара | Какое правило предотвращает какую ошибку? |
Пятый компонент самый заметный, но первый влияет глубже всего: если руководитель сам нарушает правила, даже лучшее контрольное действие остаётся на бумаге.
Дизайн, внедрение и операционная эффективность: в чём разница?
Одному средству контроля задают три разных вопроса. Их смешение самое частое недоразумение в аудите:
| Понятие | Вопрос | Пример из кафе | В каком стандарте |
|---|---|---|---|
| Дизайн (design) | Если контроль применяется правильно, предотвращает ли он ошибку или выявляет её? | Отмена чека с паролем менеджера логичное правило. Если пароль известен всем официантам, дизайн слабый | МСА 315 |
| Внедрение (implementation) | Существует ли контроль на самом деле и применяется ли он? | Гульнора просит попробовать отменить чек в кассе: требует ли программа пароль? | МСА 315 |
| Операционная эффективность (operating effectiveness) | Работал ли контроль последовательно в течение всего периода? | Из отменённых за год чеков делается выборка и проверяется, есть ли по каждому подтверждение менеджера | МСА 330 (тесты средств контроля) |
Важный момент: то, что контроль работает сегодня, не доказывает, что он работал в марте. Если нужен вывод за весь год, нужен тест средств контроля.
МСА 330, пункт 8: аудитор обязательно выполняет тесты средств контроля в двух случаях: (1) если при оценке рисков он ожидает, что контроль работает эффективно, то есть хочет на него полагаться; (2) если одни процедуры проверки по существу не могут дать достаточных надлежащих доказательств.
Какие недостатки встречаются чаще всего?
| Недостаток | Какой риск создаёт | Как отвечает аудитор |
|---|---|---|
| Один сотрудник получает деньги, записывает и сам закрывает кассу | недостача или присвоение остаются скрытыми | ежедневные кассовые отчёты детально сверяются с инкассацией банка |
| Все официанты могут отменить чек | выручка может быть занижена | отчёт об отменённых чеках за год анализируется полностью |
| Ключ от склада у многих | недостача продуктов | наблюдение за инвентаризацией на конец года, число пересчитываемых позиций увеличивается |
| Выписка банка не сверяется с учётом | ошибка или несанкционированный платёж обнаруживаются поздно | остаток на конец года получается через внешнее подтверждение банка |
| Не фиксируется, кто изменил прайс-лист | несанкционированная скидка, снижение выручки | запрашивается журнал изменений цен в программе, цены продаж выборочно сверяются |
| Руководитель сам обходит правила | ослабевает вся система | особое внимание уделяется ручным записям и необычным операциям |
Как найденное меняет подход к аудиту?
| Ситуация | Что делает аудитор |
|---|---|
| Контроль хорошо спроектирован, внедрён, и аудитор хочет на него полагаться | выполняются тесты средств контроля; если они положительны, объём детальной проверки может быть меньше |
| Контроль слабый или его нет | аудитор не полагается на контроль: больше детальной проверки, ближе к отчётной дате, с большей выборкой |
В обоих случаях действует МСА 330, пункт 18: независимо от оценённого риска по каждому существенному виду операций, остатку по счёту и раскрытию информации выполняются процедуры проверки по существу. То есть даже самый сильный контроль не отменяет проверку по существу полностью.
Недостатки, найденные в ходе аудита, доводятся и до предприятия. По МСА 265 значительные недостатки сообщаются лицам, отвечающим за корпоративное управление, в письменной форме и своевременно. Для «Lochin kafe» Гульнора письменно указала два недостатка: пароль для отмены чека известен всем, а выписка банка не сверяется. Сардор исправил оба за неделю: пароль сменили, а бухгалтер стал в конце каждого месяца составлять акт сверки.
Вывод для руководителя
Вопросы аудитора о внутреннем контроле не допрос. Предприятие, которое даёт на них чёткие ответы, выигрывает дважды: аудит проходит быстрее, а недостатки находятся до того, как превратятся в крупные потери.
Проверьте себя
5 вопросов по этой теме: выберите вариант или откройте ответ.
Из скольких компонентов состоит система внутреннего контроля предприятия согласно пересмотренной в 2019 году редакции МСА 315?
Какие три основных фактора неотъемлемого риска выделяет МСА 540 (аудит оценочных значений, пересмотренный) при оценке рисков по оценочным значениям?
Внутренний контроль «Gulobod sut» очень сильный, аудитор выполнил тесты средств контроля и подтвердил их эффективную работу. Что по МСА 330 происходит с процедурами проверки по существу по существенным остаткам на счетах (например, по дебиторской задолженности)?
Согласно кодексу этики IESBA, к какому основному принципу относится обязанность аудитора принимать меры, чтобы работающие под его руководством сотрудники имели надлежащую подготовку и работали под надзором?
При аудите «Mirzacho'l agro» аудитор хочет убедиться, что контроль утверждения менеджером аннулированных чеков последовательно работал с января по декабрь. Какой аспект этого контроля проверяется и в рамках какого МСА?
Отвечено: 0 / 5Верно 0 из 5
Все тесты →Смотрите также
Источники
- Закон Республики Узбекистан «Об аудиторской деятельности» (25 февраля 2021 года, № ЗРУ-677), статья 9 · международные стандарты аудита являются стандартами аудиторской деятельности
- ISA 315 (Revised 2019) «Identifying and Assessing the Risks of Material Misstatement», копия издания IFAC (на сайте Малайзийского института бухгалтеров) · текст стандарта; компоненты системы внутреннего контроля
- KPMG: Accounting and Auditing Update (январь 2020 года), обзор ISA 315 (Revised 2019) · пять компонентов: контрольная среда, процесс оценки рисков, процесс мониторинга, информационная система и коммуникация, контрольные действия
- ICAEW: Revised ISA 315 for 2022 audits · стандарт применяется к аудиту периодов, начинающихся 15 декабря 2021 года или позже
- Chartered Accountants Ireland: ISA (UK and Ireland) 330, пункт 8 · когда тесты средств контроля обязательны: если аудитор рассчитывает полагаться на контроль или если одни процедуры проверки по существу не дают достаточных надлежащих доказательств
- Chartered Accountants Ireland: ISA (UK and Ireland) 330, пункт 18 · независимо от оценённого риска по каждому существенному виду операций, остатку по счёту и раскрытию выполняются процедуры проверки по существу
- IAASA: ISA 265 «Communicating Deficiencies in Internal Control» · значительные недостатки своевременно сообщаются в письменной форме лицам, отвечающим за корпоративное управление
- Кафе, имена, примеры и таблицы · составлено автором, условно