Правило (стандарт) аудиторской деятельности "Оценка риска и внутренний контроль. Характеристика и учет среды компьютерной и информационной систем" (одобрено Комиссией по аудиторской деятельности при Президенте РФ 11 июля 2000 г., протокол N 1) (прекратило действие)

Правило (стандарт) аудиторской деятельности
"Оценка риска и внутренний контроль. Характеристика и учет среды компьютерной и информационной систем"
(одобрено Комиссией по аудиторской деятельности при Президенте РФ 11 июля 2000 г., протокол N 1)

ГАРАНТ:

Настоящее Правило (стандарт) фактически прекратило действие

См. Правило (стандарт) N 8 "Понимание деятельности аудируемого лица, среды, в которой она осуществляется, и оценка рисков существенного искажения аудируемой финансовой (бухгалтерской) отчетности", утвержденное постановлением Правительства РФ от 23 сентября 2002 г. N 696

Согласно постановлению Правительства РФ от 6 февраля 2002 г. N 80 до утверждения Правительством Российской Федерации федеральных правил (стандартов) аудиторской деятельности аудиторским организациям и индивидуальным аудиторам следует руководствоваться правилами (стандартами) аудиторской деятельности, одобренными Комиссией по аудиторской деятельности при Президенте Российской Федерации

О Правилах (стандартах) аудиторской деятельности см. справку

1. Общие положения

1.1. Настоящее правило (стандарт) подготовлено для регламентации аудиторской деятельности и соответствует Временным правилам аудиторской деятельности в Российской Федерации, утвержденным Указом Президента Российской Федерации N 2263 от 22 декабря 1993 г.

ГАРАНТ:

См. Федеральный закон от 30 декабря 2008 г. N 307-ФЗ "Об аудиторской деятельности"

1.2. Цель правила (стандарта) заключается в определении рисков аудитора, возникающих при проведении аудита бухгалтерской отчетности, обусловленных влиянием систем компьютерной обработки данных (КОД).

1.3. Задачи правила (стандарта) заключаются в описании:

а) дополнительных рисков, появляющихся вследствие использования экономическим субъектом системы КОД;

б) системы внутреннего контроля в условиях КОД;

в) различных процедур проверки аудиторской фирмой или аудитором, работающим самостоятельно в качестве индивидуального предпринимателя*(1), надежности внутреннего контроля за системой КОД.

1.4. Требования данного правила (стандарта) являются обязательными для всех аудиторских организаций при осуществлении аудита, предусматривающего подготовку официального аудиторского заключения.

1.5. Требования данного правила (стандарта) носят рекомендательный характер при проведении аудита, не предусматривающего подготовку по его результатам официального аудиторского заключения, а также при оказании сопутствующих аудиту услуг. В случае отклонения при выполнении конкретного задания от обязательных требований данного правила (стандарта) аудитор в обязательном порядке должен отметить это в своей рабочей документации и в письменном отчете руководству экономического субъекта, заказавшего аудит и (или) сопутствующие ему услуги.

2. Риски в системе компьютерной обработки данных

2.1. Применение системы КОД существенно влияет на организационную структуру экономического субъекта, внося следующие риски в систему бухгалтерского учета и внутреннего контроля.

а) концентрация функций управления;

б) концентрация данных и программ для их обработки.

2.1.1. Внедрение системы КОД, как правило, предполагает существенное сокращение управленческого и контрольного персонала путем передачи его функций персоналу, обслуживающему систему КОД. В результате происходит концентрация исполнительских и контрольных функций за системой КОД в руках ограниченного числа лиц. Разделение обязанностей, необходимое для эффективного функционирования системы учета и контроля, может быть утрачено.

2.1.2. Концентрация (сосредоточение) базы данных в одном или нескольких местах, где она обычно хранится вместе с программами, обеспечивающими доступ к ней, повышает риск утери информации и несанкционированного доступа к ней.

2.2. Использование системы КОД изменяет процедуры записи учетных данных и расширяет круг лиц, которые получают доступ к бухгалтерским записям. Это может привести к появлению следующих рисков:

а) отсутствие первичных документов;

б) отсутствие возможности наблюдения за разноской учетных данных по регистрам, их закрытием и составлением отчетности;

в) отсутствие регистров учета;

г) доступ к базе данных и программам системы КОД несанкционированных пользователей.

2.2.1. В условиях КОД данные могут вводиться непосредственно в компьютер без составления соответствующих первичных документов. Разрешения на совершение тех или иных операций, их визирование могут также проводиться внутри системы КОД без составления специальных документов на бумажных носителях.

2.2.2. Учетные данные могут храниться исключительно в электронной форме, а бумажные регистры, содержащие последовательные записи всех операций, отсутствовать, что приводит к отсутствию возможности наблюдения за разноской учетных данных по регистрам, их закрытием и составлением отчетности. Кроме того, ряд информационных систем не предусматривает архивирование промежуточных записей, и текущая информация в них постоянно обновляется.

2.2.3. В системе КОД могут формироваться только сводные регистры и формы отчетности, а не промежуточные регистры учета. Отсутствие регистров может приводить к тому, что доступ к данным становится возможным только через систему КОД. Тем самым существенно снижаются возможности контроля и анализа учетной информации.

2.2.4. Базы данных и программы системы КОД становятся доступными как с компьютеров, которые их обрабатывают, так и с других компьютеров, подключенных к сети. В отсутствие специальных процедур контроля легкость доступа к системе КОД или широкий круг лиц, которые могут его получить, увеличивают риск несанкционированных бухгалтерских записей и изменений данных.

2.3. Система КОД существенно влияет как на организацию бухгалтерского учета в целом, так и на отдельные процедуры учета. Системам КОД присущи следующие специфические черты:

а) заданность;

б) автоматический контроль;

в) однократный ввод информации в несколько файлов одновременно;

г) операции внутри системы КОД или автоматические записи;

д) трудности в обеспечении сохранности записей.

2.3.1. Системы КОД не допускают технических и счетных ошибок, и в этом смысле они значительно "аккуратнее", чем ручные системы, однако их работа "задана", они лишены возможности гибкого реагирования на изменения правил учета и условий деятельности экономического субъекта, а надежность информации, обработанной в системах КОД, полностью зависит от их построения и программного обеспечения.

2.3.2. Система КОД позволяет автоматизировать многие контрольные процедуры с помощью специальных программ, которые не прослеживаются (в отличие от процедур ручного контроля). Например, заменяющая разрешительные надписи система паролей ведет к отказу от составления специальных документов, заявлений, журналов и т.п., которые нужно визировать. Контроль за ошибками и их исправлением путем составления справок, ведомостей (сличительных, оборотных) заменяется автоматической печатью отчета о найденных программой ошибках.

2.3.3. В условиях КОД ввод данных об одной операции может одновременно изменить несколько связанных с ней счетов*(2). Данная особенность систем КОД значительно увеличивает влияние ошибки ввода на бухгалтерскую информацию, так как неверная сумма будет проведена не по одному, как при ручной обработке данных, а сразу по нескольким счетам.

2.3.4. Некоторые проводки могут генерироваться системой КОД самостоятельно, без участия специалистов и без составления первичных документов. Это ведет к появлению несанкционированных записей и расчетов, которые к тому же сложно обнаружить из-за отсутствия специальных регистров или документов. Например, автоматическое начисление процентов на задолженность покупателей или по займам.

2.3.5. Многие базы данных могут храниться только в электронной форме, что увеличивает риск их утраты вследствие порчи компьютеров и электронных носителей информации, заражения их компьютерными вирусами, несанкционированного проникновения в информационные системы.

3. Система внутреннего контроля в условиях КОД

3.1. Внутренний контроль в условиях применения системы КОД должен сочетать обычные методы контроля, применимые в отсутствие системы КОД, и специальные программные средства контроля. Все используемые средства контроля за системой КОД можно разделить на общие и специальные.

3.2. Общие средства контроля представляют собой процедуры проверки правил системы КОД, а также надежности функционирования системы КОД. Они включают в себя следующие процедуры:

а) организационный и управленческий контроль, который предусматривает создание инструкций и правил для различных контрольных функций и системы разделения полномочий при их выполнении, например правил ввода информации;

б) контроль за поддержанием и развитием системы КОД, который состоит в проверке того, что все изменения, вносимые в систему, и операции с ней надлежащим образом разрешены (применение такого контроля необходимо в случаях тестирования, внесения изменений, внедрения новых систем КОД, предоставления доступа к их документации);

в) операционный контроль, который предполагает проверку того, что система КОД выполняет только авторизованные операции, доступ к ней имеют только лица, обладающие на это разрешением, и ошибки в обработке данных определяются и исправляются;

г) контроль за программным обеспечением, который предполагает проверку того, что используется только разрешенное и эффективное программное обеспечение (с этой целью анализируется система визирования, тестирования, проверки, внедрения и документирования новых систем и модификаций уже действующих, а также ограничения на доступ к документации о них только лицам, имеющим специальное разрешение);

д) контроль за вводом и обработкой данных, который заключается в проверке того, что существует система предварительного визирования операций до их ввода в систему КОД, и ввод информации возможен только теми лицами, которые имеют на это соответствующие разрешения;

е) возможны также иные приемы общего контроля, среди которых можно назвать анализ правил копирования программ и баз данных в специальные архивы и процедур восстановления информации или извлечения ее из архивов при утрате данных.

3.3. Специальный контроль за применением системы КОД в системе бухгалтерского учета экономического субъекта предусматривает специальные проверочные процедуры, позволяющие удостовериться, что все бухгалтерские операции должным образом авторизуются и отражаются в учете своевременно и без ошибок. К проверочным процедурам относят:

а) контроль за вводом информации;

б) контроль за обработкой и хранением информации;

в) контроль за выводом информации.

3.3.1. Процедуры контроля ввода информации состоят из проверки выполнения системой следующих требований:

а) вся информация, вводимая в систему, предварительно визируется;

б) информация вводится в базу данных аккуратно, без ошибок и повторов;

в) ошибки ввода обнаруживаются, отвергаются и, по возможности, исправляются системой.

3.3.2. Контроль за обработкой и хранением информации заключается в проверке того, что:

а) операции, включая те, которые проводятся системой самостоятельно, выполняются верно;

б) операции проводятся без ошибок и повторов;

в) ошибки в обработке данных обнаруживаются и своевременно исправляются.

3.3.3. Контроль за выводом информации предполагает проверку того, что:

а) результаты операций предоставляются авторизированным пользователям должным образом и в установленные сроки;

б) доступ к предоставляемой информации разрешен только ограниченному кругу лиц.

3.4. Все виды контроля, перечисленные в п.3.3, могут осуществляться пользователями системы КОД или отделом внутреннего контроля экономического субъекта, а также автоматически с помощью специальных программ.

4. Проверка аудиторской организацией надежности системы внутреннего контроля за системой КОД

4.1. Аудиторская организация тестирует систему внутреннего контроля за системой КОД, если она полагает, что без проверки системы КОД она не сможет получить достаточную уверенность в том, что бухгалтерская отчетность проверяемого предприятия не содержит существенных искажений. При проверке аудиторская организация руководствуется положениями правила (стандарта) "Аудит в условиях компьютерной обработки данных".

4.2. Аудиторская организация вправе не проводить проверку системы внутреннего контроля за системой КОД, если объем деятельности проверяемого экономического субъекта невелик или влияние системы КОД на деятельность экономического субъекта и составление отчетности незначительно. Аудиторская организация также вправе отказаться от проверки системы внутреннего контроля за системой КОД, если обработка данных ведется не проверяемым экономическим субъектом, а третьей стороной, и доступ к системам внутреннего контроля из-за этого невозможен.

4.3. В начале проверки аудиторская организация должна оценить, насколько существенно влияние общего контроля за компьютерной и информационной системами на их применение в бухгалтерском учете экономического субъекта. Если процедуры общего контроля прямо относятся к применению системы КОД в бухгалтерском учете, то целесообразно проверить их, прежде чем рассматривать специальный контроль, если нет, то достаточно ограничиться оценкой общего контроля. Если общий контроль эффективен, то аудиторская организация переходит к тестированию специального контроля за системой КОД бухгалтерского учета. Если же аудиторская организация сочтет, что общий контроль неэффективен, то риск необнаружения ошибок на уровне специального контроля за применением системы КОД в бухгалтерском учете возрастает до неприемлемого уровня. Аудиторская организация в такой ситуации обязана провести тестирование процедур общего контроля, кроме случая, когда проверяемое предприятие обладает надежным ручным контролем пользователей за системой КОД.

4.4. Если специальный контроль за применением системы КОД в бухгалтерском учете систематически ведется персоналом проверяемого экономического субъекта, аудиторская организация может ограничить тестирование такого контроля проведением следующих процедур:

а) тестирование ручного контроля, проводимого персоналом экономического субъекта;

б) тестирование контроля за выводом информации;

в) тестирование программного обеспечения.

4.4.1. Если персонал экономического субъекта регулярно и с должной тщательностью проверяет, что получаемая из системы КОД информация авторизована, полна, арифметически верна, то аудиторская организация вправе ограничить проверку системы КОД анализом выполнения персоналом экономического субъекта контрольных процедур*(3).

4.4.2. Помимо проверки ручного контроля, осуществляемого персоналом экономического субъекта, аудиторская организация может тестировать контроль за выводом информации, которая может представляться как на бумажном, так и на электронном носителях. Если аудиторская организация проверяет контроль путем изучения информации, представленной на бумажном носителе, она проводит свои тесты вручную. Если изучается контроль экономического субъекта за информацией в электронной форме, то аудиторской организации для проверки целесообразно прибегнуть к использованию вспомогательных компьютерных программ проверки*(4).

4.4.3. В случае, если тестирование ручного контроля или контроля за выводом информации невозможно или неэффективно, аудиторская организация может проверить контроль за системой КОД, используя специальные компьютерные программы, которые будут пересчитывать данные, полученные системой КОД экономического субъекта или повторять процесс их обработки, или вводить заведомо неверную информацию и определять, насколько надежно система КОД отвергает такую информацию. Аудиторская организация может также проверить программный код или проводить другие процедуры контроля за работой программ КОД.

______________________________

*(1) В дальнейшем аудиторские фирмы и аудиторы, работающие самостоятельно в качестве индивидуальных предпринимателей, именуются "аудиторские организации".

*(2) Например, отгрузка готовой продукции обуславливает одновременные записи по счетам 60 "Расчеты с покупателями и заказчиками", 46 "Реализация продукции (работ, услуг)" и 40 "Готовая продукция".

*(3) Например, если бухгалтер, ответственный за расчет амортизации, систематически проверяет ввод данных о нормах или шифрах амортизации вновь поступающих основных средств, верность расчета ежемесячной суммы амортизационных отчислений по данным объектам, коды затрат, на которые их амортизация относится, то аудиторская организация может ограничить проверку данной части системы наблюдением за тем, чтобы эти операции выполнялись.

*(4) Например, аудиторская организация проверяет, как предприятие контролирует сверку итогов синтетического и аналитического учетов (так, для счета 60 "Расчеты с поставщиками и подрядчиками" проверяется равенство итогов суммы задолженности по каждому поставщику, а внутри этих сумм - по счетам и сальдо по счету). Если данная процедура выполняется бухгалтером вручную, то аудиторская организация также вручную может проверить, что контроль осуществлялся. Если же экономический субъект делает такую сверку с помощью программы автоматически, то аудиторская организация может с помощью имеющихся у него программных средств протестировать действие системы внутреннего контроля за системой КОД.