Методика проведення аудиту в умовах застосування комп'ю­терних облікових систем

Загальна послідовність процедур при аудиті в умовах застосування комп’ютерних облікових систем наведено на рис. 1.3.

Рис. 1.3. Послідовність проведення аудиту в комп’ютерному середовищі

Організація аудиту в умовах комп'ютерної обробки да­них потребує перевірки функціонування самої автомати­зованої інформаційної системи шляхом тестування засобів контролю, які діють у цій системі.

Міжнародні стандарти аудиту виділяють два поняття, пов'язані із використанням інформаційних технологій на підприємствах — середовище комп'ютерних інформацій­них систем і середовище комп'ютерних інформаційних технологій.

Середовище комп'ютерних інформаційних систем наявне тоді, коли комп'ютер будь-якого типу або розміру використо­вується суб'єктом господарювання для обробки фінансової інформації, суттєвої для аудиторської перевірки, незалеж­но від того, чи цей комп'ютер використовується самим суб'єктом господарювання або третьою стороною.

Середовище інформаційних технологій — це політика і процедури, які застосовує суб'єкт господарю­вання і ІТ-інфраструктура (технічні засоби, операційні системи тощо), а також прикладне програмне забезпечен­ня, що він використовує для забезпечення господарської діяльності й досягнення стратегічних цілей бізнесу³. Оче­видно, перше стосується КСБО, друге — КІСП.

В умовах застосування КІСП і КСБО організація і ме­тодика проведення аудиту суттєво змінюється, оскільки здійснення її за методиками, орієнтованими на паперо­вий облік, не дає необхідного результату. Застосування КІСП впливає:

• на процедури, які використовує аудитор в процесі отримання достатнього уявлення про системи бухгалтер­ського обліку і внутрішнього контролю підприємства;

• на процес оцінки властивого ризикуі ризику системи засобів контролю;

• на розробку і здійснення аудитором тестів системи контролю і процедур перевірки по суті, необхідних для досягнення мети аудиту — формування аудиторського висновку.

Далі аудитор вивчає структуру КІСП клієнта, зокрема ступінь концентрації або розподілу комп'ютерної обробки даних в рамках суб'єкта господарювання, її вплив на роз­поділ обов'язків виконавців і доступність комп'ютерних даних для безпосереднього вивчення. Первинні документи, комп'ютерні файли й інша інформація, необхідна для скла­дання аудиторських доказів, можуть існувати тільки про­тягом короткого періоду або у форматі, доступному тільки для перегляду на комп'ютері. У цьому випадку аудитор за­стосовує спеціальні методи дослідження інформації.

Під час перевірки аудитору слід вивчити й оцінити си­стему документообігу економічного об'єкта, порядок фор­мування, реєстрації, збереження, обробки документів і трансформації первинних документів у систему записів на бухгалтерських рахунках. Варто з'ясувати місця виник­нення первинної інформації і ступінь автоматизації її збо­ру і реєстрації. При використанні спеціальних засобів ав­томатизації збору і реєстрації інформації (датчиків, лічиль­ників, ваг, сканерів штрихових кодів тощо) аудитор по­винний переконатися в тому, що тестування цих пристроїв фахівцями проводиться регулярно, при виявленні відхи­лень результати належним чином оформлюють і вжива­ють відповідних заходів.

Перше уявлення про рівень автоматизації складання первинних документів аудитор може отримати і при зна­йомстві зі схемою розташування автоматизованих робочих місць (АРМ) на підприємстві: якщо АРМ, розташовані в місцях виникнення первинної інформації (на складах, у цехах), це свідчить про високий рівень залучення КІСП в облікову систему підприємства. Відсутність АРМ у виробничих підрозділах підприємства свідчить або про ручний спосіб складання документів з подальшою передачею їх у бухгалтерію, або про те, що документи формуються в самій бухгалтерії. Тобто рівень автоматизації на такому підприємстві може бути низьким, за виключенням підприємств із невеликим обсягом доку­ментів.

Також аудитор зобов'язаний оцінити, наскільки модель доку­ментообігу, реалізована програмним забезпеченням КІСП, раціональна і ефективна для об'єкта, який перевіряють. Великі підприємства звичайно працюють із застосуванням моделі повного документообігу. Для них важливо проана­лізувати розподіл функцій між службами оперативного управління і бухгалтерією, інформаційні зв'язки різних підрозділів з бухгалтерією, простежити рух окремих до­кументів і їх взаємозв'язок, зрозуміти, як підтримується система між документальних зв'язків, де зберігаються еле­ктронні копії документів, і як забезпечений до них доступ облікових працівників.

На підприємствах, які автоматизують тільки бухгал­терський облік, аудитору необхідно звернути увагу на такі моменти:

• дотримання часового інтервалу між виписуванням документа, здійсненням операції і відображенням її в об­ліку;

• можливість збереження документів в системі після їх роздрукування;

• зв'язок документів і сформованих бухгалтерських проводок.

Аудитор повинен дати характеристику способам введен­ня даних і формування записів про господарські операції. Автоматизована й автоматична генерація бухгалтерських записів і проводок на основі типових операцій і електрон­них форм документів часто дозволяє уникнути багатьох помилок, що неминучі при ручному веденні й формуванні проводок. Слід вивчити організацію збереження інформації про господарські операції, можливість швидкого одержан­ня інформації про господарські операції, документи і ви­ведення її на друк.

З іншого боку, у комп'ютерному обліку ряд операцій, таких як нарахування відсотків, закриття рахунків, ви­значення фінансового результату, може ініціюватися самою програмою. Отже, за такими операціями може не бути будь-яких організаційно-розпорядчих або виправдовувальних документів. У такому разі обов'язок аудитора — ретельно перевірити правильність алгоритмів розрахунків. Помил­ка, закладена в алгоритм розрахунку і повторена багато разів в повторюваних господарських операціях, може спо­творити результат господарської діяльності. У процесі пе­ревірки алгоритмів розрахунку сум при веденні господар­ських операцій контролюється також правильність форму­вання проводок. Особливо ретельно перевіряються алгорит­ми операцій, що ініціюються самою програмою.

Аудитору слід перевірити алгоритм на відповідність чинному законодавству і обліковій політиці підприємства і з'ясувати можливість коригування алгоритму

В обов'язки аудитора входить оцінка можливостей си­стеми, що використовується клієнтом щодо створення і формування нових форм внутрішньої або зовнішньої звітності: розгляд механізмів роботи з первинною інфор­мацією, можливостей її розшифровки і швидкого виявлен­ня і виправлення помилок; проведення тестування резуль­татів обробки, щоб знайти, наприклад, неправильно розраховане сальдо на рахунках; тестування перенесення об­лікових даних в звітність, особливо в тому випадку, якщо показники форми звітності в системі заповнюються "вруч­ну" перенесенням зі сформованих програмою стандартних звітів (облікових регістрів).

Особлива увага приділяється перевірці надійності за­собів внутрішнього контролю в середовищі комп'ютерної обробки даних. Облікова політика, що орієнтується на ав­томатизовану інформаційну систему бухгалтерського об­ліку, має обов'язково передбачати елементи внутрішнього контролю. Аудитор повинен виявити слабкі місця стосов­но контролю системи комп'ютерного обліку — розглянути як апаратні, так і програмні засоби контролю, а також організаційні заходи перевірки цілісності даних і відсут­ності комп'ютерних вірусів.

Засоби і методи контролю в КІСП (докладніше див. Параграф 1.3.) значно відрізняються один від одного: деякі з них покликані запобігати помил­кам, а призначення інших — виявляти та ви­правляти їх.

Відповідно до Міжнародних стандартів аудиту[13]. кла­сифікація засобів і методів контролю КІС може бути уза­гальнена за допомогою такої матриці (рис. 1.4).

 

	Загальні засоби контролю	Засоби контролю прикладних програм
Засоби контролю доступу і безпеки	Адміністративні засоби контролю (обмеження фізичного доступу до комп'ютерних засо­бів, стандарти функціо­нування комп'ютерних систем, розробка заходів на випадок стихійних-лих, пожеж тощо, організація відділу ІТ, організація резервного копіювання інформації)	Засоби контролю доступу (обмеження доступу на рівні паро­лів, іншої ідентифі­кації користувача тощо, архівне копію­вання даних), конт­роль цілісності даних
Засоби, контролю обробки інформації	Надійність сервісного обслуговування інформаційної системи, засобів контролю розробки і модифікації програм	Засоби контролю фун­кціонування інформа­ційної системи (кон­тролю введення, контролю обробки та контролю виведен­ня інформації)

Рис.1.4. Матриця засобів контролю КІС відповідно до Між народних стандартів аудиту

 

Таким чином, загальні засоби ІТ-контролю — це методи­ки і процедури, які стосуються багатьох прикладних про­грам і забезпечують ефективне функціонування засобів контролю прикладних програм, допомагаючи гарантувати постійне належне функціонування інформаційних си­стем Загальні засоби ІТ-контролю звичайно включають засоби контролю над центрами даних і мережевими опера­ціями; придбання системного програмного забезпечення, його зміну і підтримку; безпеку доступу; а також придбан­ня прикладних програм, їх розвиток і підтримку.

Натомість, засоби контролю прикладних програм алгоритмічно реалізованих механізмів контролю в конкретному програмному забезпеченні.

Іншим способом тестування програмних засобів конт­ролю системи може бути перевірка програмної логіки. Зав­дання цього тестування — переконатись, що система ро­бить те і тільки те, що закладено в документації і що вона робить це правильно. Проте воно висуває високі вимоги до комп'ютерної підготовки аудитора. Бажано, щоб він ро­зумів мову програмування конкретної програми. Це дасть йому змогу не тільки протестувати алгоритм на конкрет­них даних, а й розібратися в правильності його налаго­дження, наприклад при використанні шаблонів для введення типових операцій, доступ до зміни яких має непрофе­сійний користувач — наприклад, бухгалтер "1С: Бухгалтерія". Процес дещо полегшується, якщо програма правильно розроблена та до неї наявна документація, в якій показано відповідні блок-схеми із зображенням всього процесу обробки даних.

Прикладом вбудованих засобів контролю вихідних да­них може бути приклад обмеження перегляду інформації за рахунками для різних користувачів, яку можна впровадити у конфігура­ціях програми "1С:Предприятие 7.7, 8.0,8.2"

Тестові дані — це бухгалтерські доку­менти, операції і проводки, що не відображають реальних фактів господарського життя, а спеціально підготов­лені аудитором для перевірки програмних алгоритмів, ре­алізованих в обліковій системі підприємства-клієнта. Тестові дані вводять в КІСП і порівнюють фактичні ре­зультати з прогнозом аудитора. Якщо контрольні підсум­ки дорівнюють фактичним, правильність роботи програ­ми визнається доведеною. Аудитор може застосовувати спеціальне програмне забезпечення, що створює тестові дані (генератор тестових даних). Звичайно частину таких уявних тестових господарських операцій та документів аудитор навмисне робить некоректними з погляду зако­нодавства та загальноприйнятої бухгалтерської практи­ки. При цьому аудитор знає, який саме результат має видати програма. Наприклад, для перевірки правильності нарахування податку на доходи фізичних осіб аудитор може ввести в комп'ютер клієнта значення певної суми заробітної пла­ти та переконатися в правильності отриманого результа­ту. Якщо результат, який на виході надає програмна си­стема клієнта, не збігається з розрахунками аудитора, це є підставою для проведення ретельного дослідження при­чин та з'ясування можливих наслідків таких розходжень, включно з вивченням алгоритмів щодо конкретної ділян­ки обліку.

Метод тестових (контрольних) даних може бути ефек­тивним у наступних ситуаціях аудиту:

1) при тестуванні засобів контролю вхідних даних, вклю­чаючи процедури підтвердження даних;

2) при тестуванні логіки обробки даних та засобів конт­ролю з метою підтвердження правильності головних фай­лів;

3)при тестуванні розрахунків, здійснених всередині програм, зокрема: визначення відсоткових ставок, знижок, комісій, підрахунків зарплати чи амортизації;

4) при тестуванні ручних процедур чи засобів контро­лю, що стосуються комп'ютерної системи, особливо проце­дур з вхідними та вихідними даними.

У всіх випадках аудиторські процедури слід проводити не з оригінальними файлами суб'єкта перевірки, а з копія­ми цих файлів, оскільки будь-які їх зміни, що здійснюють­ся аудитором, та можливе пошкодження не мають вплива­ти на інформацію в системах комп'ютерної обробки даних. У тому випадку, коли контрольні дані обробляються в рам­ках звичайного процесу обробки інформації суб'єкта, ауди­тор повинен пересвідчитись в тому, що контрольні госпо­дарські операції вилучені з облікових записів підприємства.