Взаимодействие внешних и внутренних аудиторов

Обзор положений Международных стандартов аудита

МСА 260: Уровень взаимодействия

Взаимодействие внешних и внутренних аудиторов начинается уже на стадиях согласования условий, планирования аудита.

В соответствии с Прикладными рекомендациями к Международному стандарту аудита (МСА) 260 «Сообщение аспектов аудита лицам, наделенным руководящими полномочиями», в перечень вопросов, обсуждаемых с лицами, наделенными руководящими полномочиями, в частности, входит обсуждение того, в какой степени внешний аудитор может пользоваться результатами работы внутренних аудиторов в тех случаях, когда в организации имеется служба внутреннего аудита, и каким образом внешние и внутренние аудиторы могут организовать работу конструктивным и взаимодополняющим образом.

ISA260.А14: Other planning matters that it may be appropriate to discuss with those charged with governance include: where the entity has an internal audit function, the extent to which the auditor will use the work of internal audit, and how the external and internal auditors can best work together in a constructive and complementary manner.

Здесь же подчеркивается, что уровень взаимодействия лиц, наделенных руководящими полномочиями, с внешними и внутренними аудиторами является одним из элементов среды контроля, а также что внешний аудитор не обязан повторно сообщать о выявленных недостатках, если они ранее были доведены до сведения руководства внутренними аудиторами.

ISA260.A24: The auditor is also not required to repeat information about such deficiencies if it has been previously communicated to management by other parties, such as internal auditors or regulators.

Также в Прикладных рекомендациях подчеркивается, что внешние аудиторы могут обсуждать вопросы с внутренними аудиторами прежде, чем доводить информацию до лиц, наделенных руководящими полномочиями, поскольку это позволяет внешним аудиторам получить дополнительную необходимую информацию.

ISA260.А33: The auditor may discuss matters with the internal auditor before communicating with those charged with governance.

МСА 315: Изучение плана работы внутреннего аудита

Взаимодействие внешних и внутренних аудиторов осуществляется и на следующих стадиях выполнения аудиторского проекта.

Использование результатов работы внутренних аудиторов будет уместно для целей внешнего аудита в том случае, если характер обязанностей и функций внутреннего аудита связан с финансовой отчетностью организации, и внешний аудитор намерен использовать работу внутренних аудиторов с тем, чтобы изменить характер или сроки или масштабы выполняемых аудиторских процедур.

Цели внутреннего аудита, а, следовательно, и характер обязанностей и статус в организации, различаются в зависимости от масштабов и структуры организации, требований руководства и в ряде случаев лиц, наделенных руководящими полномочиями. Обязанности службы внутреннего аудита могут включать, к примеру, мониторинг системы внутреннего контроля, управление рисками и проверку соответствия требованиям законодательства. С другой стороны, обязанности внутреннего аудита могут ограничиваться проверкой экономии, эффективности и результативности деятельности, и соответственно, могут быть не связаны с финансовой отчетностью.

Если характер обязанностей внутреннего аудита связан с финансовой отчетностью, внешний аудитор может изучить план работы службы внутреннего аудита за период, если таковой имеется, и обсудить этот план с внутренними аудиторами, чтобы понять задачи, выполняемые внутренними аудиторами.

ISA315: The entity’s internal audit function is likely to be relevant to the audit if the nature of the internal audit function’s responsibilities and activities are related to the entity’s financial reporting, and the auditor expects to use the work of the internal auditors to modify the nature or timing, or reduce the extent, of audit procedures to be performed….

Изучая аудируемую организацию, внешний аудитор направляет запросы в службу внутреннего аудита, если таковая имеется, об аудиторских процедурах, выполненных в течение года в отношении дизайна и эффективности внутреннего контроля, а также о том, насколько удовлетворительно реагировало руководство на результаты выполненных процедур.

ISA315.A6: Inquiries directed toward internal audit personnel may provide information about internal audit procedures performed during the year relating to the design and effectiveness of the entity’s internal control and whether management has satisfactorily responded to findings from those procedures.

Внешний аудитор должен понять «характер обязанностей службы внутреннего аудита и то, каким образом служба внутреннего аудита встроена в организационную структуру; а также работу, которая выполняется или должна выполняться службой внутреннего аудита».

ISA315.23: The auditor shall obtain an understanding of … (a) the nature of the internal audit function’s responsibilities and how the internal audit function fits in the entity’s organizational structure; and (b) the activities performed, or to be performed, by the internal audit function.

МСА 610: Использование результатов работы внутреннего аудита

Если внешний аудитор решает, что работа внутренних аудиторов релевантна для целей внешнего аудита, он обязан применять МСА 610 «Использование работы внутренних аудиторов».

Этот стандарт посвящен вопросам использования внешними аудиторами результатов работы внутренних аудиторов. Внешние аудиторы обязаны применять его в тех случаях, когда они определили, что будут пользоваться в своей работе результатами работы внутреннего аудитора. При этом следует отметить, что использование работы внутреннего аудитора позволяет сократить затраты на проведение внешнего аудита за счет пересмотра сроков и графика аудита, изменения характера, а также сокращения объема выполняемых аудиторских процедур. Это достигается за счет того, что, как признает МСА610, «хотя цели внутреннего аудита и внешнего аудита различны, ряд способов, с помощью которых внутренний аудит и внешний аудит достигают собственных целей, аналогичны».

ISA610.3: While the objectives of the internal audit function and the external auditor are different, some of the ways in which the internal audit function and the external auditor achieve their respective objectives may be similar.

Поскольку внешний аудитор несет ответственность за выдаваемое аудиторское заключение, и использование результатов работы внутреннего аудита не снимает с него этой ответственности, МСА 610 регламентирует, что именно должен сделать внешний аудитор, чтобы полагаться на результаты работы внутреннего аудитора. В тех случаях, когда в организации имеется служба внутреннего аудита, внешний аудитор должен определить:
(a) будет ли работа внутренних аудиторов адекватна для целей аудита; и
(b) если да, каков предполагаемый эффект от работы внутренних аудиторов на характер, сроки или масштабы процедур, выполняемых внешними аудиторами.

ISA610.8:
(a) Whether the work of the internal auditors is likely to be adequate for purposes of the audit; and
(b) If so, the planned effect of the work of the internal auditors on the nature, timing or extent of the external auditor’s procedures.

При определении того, будет ли работа внутренних аудиторов адекватна для целей внешнего аудита, внешний аудитор должен оценить:
(a) объективность службы внутреннего аудита;
(b) техническую компетентность внутренних аудиторов;
(c) выполняется ли работа внутренних аудиторов с должным профессионализмом; и
(d) насколько эффективно построено взаимодействие между внутренними и внешними аудиторами.

ISA610.9: In determining whether the work of the internal auditors is likely to be adequate for purposes of the audit, the external auditor shall evaluate:
(a) The objectivity of the internal audit function;
(b) The technical competence of the internal auditors;
(c) Whether the work of the internal auditors is likely to be carried out with due professional care; and
(d) Whether there is likely to be effective communication between the internal auditors and the external auditor.

При определении планируемого влияния работы внутренних аудиторов на характер, сроки и масштабы аудиторских процедур, внешний аудитор должен учитывать:
(a) Характер и рамки конкретной работы, выполняемой внутренними аудиторами;
(b) Оценку риска существенного искажения по конкретным классам операций, остаткам и раскрытию информации; и
(c) Степень субъективности в оценке аудиторских доказательств, собранных внутренними аудиторами.

ISA610.10: In determining the planned effect of the work of the internal auditors on the nature, timing or extent of the external auditor’s procedures, the external auditor shall consider:
(a) The nature and scope of specific work performed, or to be performed, by the internal auditors;
(b) The assessed risks of material misstatement at the assertion level for particular classes of transactions, account balances, and disclosures; and
(c) The degree of subjectivity involved in the evaluation of the audit evidence gathered by the internal auditors in support of the relevant assertions.

Внешний аудитор также может воспользоваться результатами выполнения внутренними аудиторами конкретных заданий. Для этого внешний аудитор должен оценить и выполнить аудиторские процедуры в отношении этих заданий, чтобы определить их адекватность для целей внешнего аудита.

ISA610.11: In order for the external auditor to use specific work of the internal auditors, the external auditor shall evaluate and perform audit procedures on that work to determine its adequacy for the external auditor’s purposes.

Чтобы определить адекватность конкретных заданий, выполненных внутренними аудиторами, для целей внешнего аудита, аудитор должен оценить:
(a) Выполнялась ли эта работа внутренними аудиторами, прошедшими адекватное обучение и обладающими надлежащим профессионализмом;
(b) Надлежащим ли образом контролировалась, проверялась и документировалась работа;
(c) Насколько адекватные аудиторские доказательства были получены для подтверждения выводов внутренних аудиторов;
(d) Насколько выводы, сделанные в конкретных обстоятельствах, и отчеты внутренних аудиторов согласуются с результатами выполненной работы; и
(e) Насколько удовлетворительна была реакция на отклонения, выявленные внутренними аудиторами.

ISA610.12: To determine the adequacy of specific work performed by the internal auditors for the external auditor’s purposes, the external auditor shall evaluate whether:
(a) The work was performed by internal auditors having adequate technical training and proficiency;
(b) The work was properly supervised, reviewed and documented;
(c) Adequate audit evidence has been obtained to enable the internal auditors to draw reasonable conclusions;
(d) Conclusions reached are appropriate in the circumstances and any reports prepared by the internal auditors are consistent with the results of the work performed; and
(e) Any exceptions or unusual matters disclosed by the internal auditors are properly resolved.

Если внешний аудитор пользуется результатами конкретных заданий, выполненных внутренними аудиторами, он должен включить в аудиторскую документацию выводы в отношении оценки адекватности работы внутренних аудиторов и описание аудиторских процедур, выполненных им в отношении этой работы.

ISA610.13. If the external auditor uses specific work of the internal auditors, the external auditor shall include in the audit documentation the conclusions reached regarding the evaluation of the adequacy of the work of the internal auditors, and the audit procedures performed by the external auditor on that work.

О целях внутреннего аудита

Цели службы внутреннего аудита могут быть различными и зависят от масштабов и структуры организации, а также требований руководства и в ряде случаев лиц, наделенных руководящими полномочиями. Функции службы внутреннего аудита могут включать следующее:

• Мониторинг системы внутреннего контроля. На внутренних аудиторов может быть возложена ответственность за обзор средств контроля, мониторинг их функционирования и выдачу рекомендаций по их совершенствованию.
• Изучение финансовой и операционной информации. На внутренних аудиторов может быть возложена ответственность за обзор инструментов, используемых для выявления, измерения, классификации и отражения финансовой и операционной информации, а также за детальное изучение отдельных статей, включая детальное тестирование операций, остатков и выполняемых процессов.
• Обзор операционной деятельности. На внутренних аудиторов может быть возложена ответственность за обзор экономичности, эффективности и результативности операционной деятельности, включая нефинансовые аспекты деятельности организации.
• Обзор соблюдения законодательства. На внутренних аудиторов может быть возложена ответственность за проверку соблюдения законодательства и прочих внешних требований, а также требований политик и указаний руководства и прочих внутренних требований организации.
• Управление рисками. Внутренние аудиторы могут помогать организации выявлять и оценивать значительные риски и способствовать совершенствованию систем управления рисками и внутреннего контроля.
• Корпоративное управление. Внутренние аудиторы могут участвовать в процессе корпоративного управления, способствуя достижению целей в области корпоративной этики и ценностей, управления результатами деятельности и подотчетности, доведения информации о рисках и контролях до сведения соответствующих функций в организации, а также установления эффективного взаимодействия между лицами, наделенными руководящими полномочиями, внешними и внутренними аудиторами и руководством.

ISA610.A3: The objectives of internal audit functions vary widely and depend on the size and structure of the entity and the requirements of management and, where applicable, those charged with governance. The activities of the internal audit function may include one or more of the following:

• Monitoring of internal control.
• Examination of financial and operating information.
• Review of operating activities.
• Review of compliance with laws and regulations.
• Risk management.
• Governance.

Факторы для определения уровня доверия внутреннему аудиту

При проведении оценки уровня доверия внутреннему аудиту рекомендуется учитывать следующие факторы:

Объективность

• Статус службы внутреннего аудита в организации, и каким образом это влияет на объективность внутренних аудиторов.
• Подотчетна ли служба внутреннего аудита лицам, наделенным руководящими полномочиями, или другому лицу, обладающему надлежащими полномочиями, и имеют ли внутренние аудиторы непосредственный контакт с лицами, наделенными руководящими полномочиями.
• Не возложены ли на внутреннего аудитора конфликтующие обязанности.
• Отслеживают ли лица, наделенные руководящими полномочиями, решения, связанные с приемом на работу внутренних аудиторов.
• Устанавливало ли руководство или лица, наделенные руководящими полномочиями, какие-либо ограничения на работу внутренних аудиторов.
• Следует ли руководство рекомендациям внутренних аудиторов, и как это подтверждается.

Техническая компетентность

• Являются ли внутренние аудиторы членами профессиональных организаций.
• Проходят ли внутренние аудиторы адекватные технические тренинги и насколько они профессиональны как внутренние аудиторы.
• Имеется ли политика найма и обучения внутренних аудиторов.

Должный профессионализм

• Надлежащим ли образом планируется, контролируется, проверяется и документируется работа внутренних аудиторов.
• Наличие и достаточность руководств по аудиту и прочих документов, программ работы и документации в отношении внутреннего аудита.

Коммуникации
Коммуникации между внешними и внутренними аудиторами может быть наиболее эффективной, когда внутренние аудиторы могут свободно общаться с внешними и:

• Встречи проводятся достаточно регулярно;
• Внешний аудитор получает информацию и имеет доступ к отчетам внутренних аудиторов и информируется обо всех существенных моментах, которые были отмечены внутренними аудиторами и могут повлиять на работу внешних аудиторов; и
• Внешний аудитор информирует внутренних аудиторов обо всех существенных моментах, которые могут оказать влияние на работу внутренних аудиторов.

ISA610.A4:

Objectivity

• The status of the internal audit function within the entity and the effect such status has on the ability of the internal auditors to be objective.
• Whether the internal audit function reports to those charged with governance or an officer with appropriate authority, and whether the internal auditors have direct access to those charged with governance.
• Whether the internal auditors are free of any conflicting responsibilities.
• Whether those charged with governance oversee employment decisions related to the internal audit function.
• Whether there are any constraints or restrictions placed on the internal audit function by management or those charged with governance.
• Whether, and to what extent, management acts on the recommendations of the internal audit function, and how such action is evidenced.

Technical competence

• Whether the internal auditors are members of relevant professional bodies.
• Whether the internal auditors have adequate technical training and proficiency as internal auditors.
• Whether there are established policies for hiring and training internal auditors.

Due professional care

• Whether activities of the internal audit function are properly planned, supervised, reviewed and documented.
• The existence and adequacy of audit manuals or other similar documents, work programs and internal audit documentation.

Communication
Communication between the external auditor and the internal auditors may be most effective when the internal auditors are free to communicate openly with the external auditors, and:

• Meetings are held at appropriate intervals throughout the period;
• The external auditor is advised of and has access to relevant internal audit reports and is informed of any significant matters that come to the attention of the internal auditors when such matters may affect the work of the external auditor; and
• The external auditor informs the internal auditors of any significant matters that may affect the internal audit function.

Планирование работы

Когда работа внутренних аудиторов учитывается при определении характера, сроков или масштабов аудиторских процедур, полезно заранее согласовать с внутренними аудиторами следующие вопросы:

• Сроки выполнения работы;
• Масштабы аудита;
• Уровень существенности для финансовой отчетности в целом (и если необходимо, уровень существенности по конкретным классам операций, остаткам или раскрытию информации);
• Предлагаемые методы выборки;
• Документирование выполненной работы; и
• Процедуры проверки и составления отчетов.

ISA610.A5: Where the work of the internal auditors is to be a factor in determining the nature, timing or extent of the external auditor’s procedures, it may be useful to agree in advance the following matters with the internal auditors:

• The timing of such work;
• The extent of audit coverage;
• Materiality for the financial statements as a whole (and, if applicable, materiality level or levels for particular classes of transactions, account balances or disclosures), and performance materiality;
• Proposed methods of item selection;
• Documentation of the work performed; and
• Review and reporting procedures.

Характер, сроки и масштабы аудиторских процедур, выполняемых в отношении конкретных заданий внутренних аудиторов, будут зависеть от оценки внешними аудиторами риска существенных искажений, оценки службы внутреннего аудита и оценки конкретных заданий внутренних аудиторов. Эти аудиторские процедуры могут включать:

• Проверка того, что уже проверялось внутренними аудиторами;
• Проведение аналогичной проверки; и
• Наблюдение за выполнением процедур внутренними аудиторами.

ISA610.A6: The nature, timing and extent of the audit procedures performed on specific work of the internal auditors will depend on the external auditor’s assessment of the risk of material misstatement, the evaluation of the internal audit function, and the evaluation of the specific work of the internal auditors. Such audit procedures may include:

• Examination of items already examined by the internal auditors;
• Examination of other similar items; and
• Observation of procedures performed by the internal auditors.

МСА 240: Противодействие мошенничеству

Упоминания о возможности совместной взаимовыгодной работы внешних и внутренних аудиторов содержатся и в других международных стандартах аудита. Особо следует упомянуть МСА 240, в котором содержится указание на то, что «в тех случаях, когда в организации имеется служба внутреннего аудита, аудитор должен направить запросы внутренним аудиторам, чтобы определить, известно ли им о фактически совершенных недобросовестных действиях, подозрениях или обвинениях в совершении недобросовестных действий, а также чтобы запросить мнение внутренних аудиторов о риске недобросовестных действий».

ISA240.19: For those entities that have an internal audit function, the auditor shall make inquiries of internal audit to determine whether it has knowledge of any actual, suspected or alleged fraud affecting the entity, and to obtain its views about the risks of fraud.

Как отмечалось ранее, МСА 315 и МСА 610 определяют требования и содержат указания в отношении аудита тех организаций, в которых имеется служба внутреннего аудита. Применяя требования этих стандартов в контексте недобросовестных действий, внешний аудитор может направить запросы о конкретных действиях внутренних аудиторов, к примеру:

• Процедурах, выполненных внутренними аудиторами, если таковые выполнялись в течение года для выявления фактов недобросовестных действий;
• Насколько удовлетворительно реагировало руководство на выводы, сделанные в результаты выполнения таких процедур.

ISA240.A18: ISA 315 and ISA 610 establish requirements and provide guidance in audits of those entities that have an internal audit function.15 In carrying out the requirements of those ISAs in the context of fraud, the auditor may inquire about specific internal audit activities including, for example:

• The procedures performed, if any, by the internal auditors during the year to detect fraud.
• Whether management has satisfactorily responded to any findings resulting from those procedures.

Также заслуживает упоминание то, что наличие эффективной службы внутреннего аудита рассматривается международными стандартами аудита как один из факторов, которые могут ограничить риск недобросовестных действий со стороны руководства, а высокая текучесть кадров в сфере внутреннего аудита являются одним из недостатков внутреннего контроля.

ISA240.A26: there may be factors that generally constrain improper conduct by management, such as: an effective internal audit function and ISA240.Appendix1: Internal control components are deficient as a result of the following: High turnover rates or employment of accounting, internal audit, or information technology staff that are not effective.

МСА 600: Работа в группе организаций

Безусловно важное значение служба внутреннего аудита играет и при аудите финансовой отчетности группы организаций, где внутренний аудит рассматривается как часть контролей на уровне группы в целом в случаях, когда служба внутреннего аудита централизована.

ISA600.Appendix2: Internal audit may be regarded as part of group-wide controls, for example, when the internal audit function is centralized.

Источник: Институт внутренних аудиторов