Международный стандарт аудита (МСА) 265 «Информирование лиц, отвечающих за корпоративное управление, и руководства о недостатках в системе внутреннего контроля» следует рассматривать вместе с МСА 200 «Основные цели независимого аудитора и проведение аудита в соответствии с Международными стандартами аудита».

Введение

Сфера применения настоящего стандарта

1. Настоящий Международный стандарт аудита (МСА) обязывает аудитора надлежащим образом информировать лиц, отвечающих за корпоративное управление, и руководство о недостатках в системе внутреннего контроля1, которые выявил аудитор при проведении аудита финансовой отчетности. Настоящий стандарт не накладывает дополнительных обязанностей на аудитора в отношении обеспечения понимания системы внутреннего контроля и разработки и проведения тестов средств контроля сверх того, что уже входит в требования стандартов МСА 315 (пересмотренного) и МСА 3302. МСА 260 (пересмотренный)3 устанавливает дополнительные требования и содержит рекомендации в отношении обязанностей аудитора по информированию лиц, отвечающих за корпоративное управление, в отношении проводимого аудита.

2. При выявлении и оценке рисков существенного искажения от аудитора требуется получение понимания системы внутреннего контроля в части, касающейся проводимого аудита4. При выполнении оценки рисков аудитор анализирует средства внутреннего контроля с целью разработки аудиторских процедур, соответствующих сложившимся обстоятельствам, но не с целью выражения мнения об эффективности системы внутреннего контроля. Аудитор может выявить недостатки в системе внутреннего контроля не только в ходе выполнения процедуры оценки риска, но также на любом другом этапе аудита. Настоящий стандарт определяет, о каких именно из выявленных недостатков аудитор должен сообщать лицам, отвечающим за корпоративное управление, и руководству.

3. Никакие положения настоящего стандарта не препятствуют аудитору сообщать лицам, отвечающим за корпоративное управление, и руководству о любых иных вопросах, связанных с внутренним контролем, которые аудитор выявил в ходе аудита.

Дата вступления в силу

4. Настоящий стандарт вступает в силу в отношении аудита финансовой отчетности за периоды, начинающиеся 15 декабря 2009 года или после этой даты.*

Цель

5. Цель аудитора состоит в надлежащем информировании лиц, отвечающих за корпоративное управление, и руководства о недостатках в системе внутреннего контроля, которые он выявил в ходе аудита, и которые, в соответствии с суждением аудитора, являются достаточно важными, чтобы привлечь их внимание.

Определения

6. Для целей Международных стандартов аудита следующие термины имеют приведенные ниже значения:

(a) недостаток системы внутреннего контроля - недостаток, который имеет место в том случае, если:

(i) средство контроля разработано, внедрено и функционирует таким образом, что оно не в состоянии предотвратить или своевременно обнаружить и устранить искажения в финансовой отчетности, или;

(ii) отсутствует необходимое средство контроля для предотвращения или своевременного обнаружения и устранения искажений в финансовой отчетности.

(b) значительный недостаток системы внутреннего контроля - недостаток или сочетание недостатков в системе внутреннего контроля, которые, согласно профессиональному суждению аудитора, являются достаточно важными и поэтому заслуживают внимания со стороны лиц, отвечающих за корпоративное управление (см. пункт А5).

Требования

7. Аудитор должен, основываясь на выполненной аудиторской работе, определить, выявил ли он один недостаток или более в системе внутреннего контроля (см. пункты А1-А4).

8. Если аудитор выявил один недостаток или более в системе внутреннего контроля, он должен, основываясь на выполненной аудиторской работе, определить, являются ли они в отдельности или в совокупности значительными (см. пункты А5-А11).

9. Аудитор должен в письменной форме сообщить своевременно о значительных недостатках в системе внутреннего контроля, выявленных в ходе аудита, лицам, отвечающим за корпоративное управление (см. пункты А12-А18, А27).

10. Аудитор должен также своевременно сообщить руководству с соответствующим уровнем ответственности следующее (см. пункты А19, А27):

(a) о значительных недостатках в системе внутреннего контроля, о которых аудитор сообщил или намеревается сообщить лицам, отвечающим за корпоративное управление, за исключением случаев, когда в сложившихся обстоятельствах сообщать об этом напрямую руководству было бы неуместным, - в письменной форме (см. пункты А14, А20-А21);

(b) о прочих недостатках в системе внутреннего контроля, выявленных в ходе аудита, о которых не сообщалось руководству иными лицами и которые, в соответствии с суждением аудитора, являются достаточно важными, чтобы привлечь внимание руководства (см. пункты А22-А26).

11. Аудитор должен включить в письменное сообщение о значительных недостатках в системе внутреннего контроля:

(a) описание недостатков и пояснение их возможного воздействия (см. пункт А28);

(b) достаточную информацию, позволяющую лицам, отвечающим за корпоративное управление, и руководству понять контекст сообщения. В частности, аудитор должен пояснить следующее (см. пункты А29-А30):

(i) цель аудита состояла в том, чтобы аудитор выразил мнение о финансовой отчетности;

(ii) проводимый аудит включал анализ системы внутреннего контроля, имеющей отношение к подготовке финансовой отчетности, с целью определения аудиторских процедур, соответствующих сложившимся обстоятельствам, но не с целью выражения мнения об эффективности системы внутреннего контроля;

(iii) вопросы, о которых сообщается, ограничиваются недостатками, которые аудитор выявил в ходе аудита и в отношении которых аудитор пришел к выводу, что эти недостатки являются достаточно важными, чтобы привлечь внимание к ним лиц, отвечающих за корпоративное управление.

***

Руководство по применению и прочие пояснительные материалы

Определение того, выявлены ли недостатки в системе внутреннего контроля (см. пункт 7)

А1. При определении того, выявил ли аудитор один недостаток или более в системе внутреннего контроля, он может обсудить соответствующие факты и те обстоятельства, которые легли в основу выводов аудитора, с руководством соответствующего уровня. Такое обсуждение дает возможность аудитору оповестить руководство своевременно о наличии недостатков, о которых руководству ранее могло быть неизвестно. Уровень руководства, с которым надлежит обсуждать эти выводы, - это руководитель, хорошо знакомый с затронутой областью внутреннего контроля и имеющий полномочия по принятию соответствующих мер по исправлению ситуации в отношении любого из выявленных недостатков в системе внутреннего контроля. В некоторых обстоятельствах для аудитора может оказаться неуместным обсуждать свои выводы непосредственно с руководством, например, если эти выводы могут поставить под сомнение честность или уровень подготовки руководства (см. пункт А20).

А2. При обсуждении фактов и обстоятельств, упоминаемых в выводах аудитора, с руководством аудитор может собрать дополнительную относящуюся к делу информацию для дальнейшего изучения, такую как:

- понимание руководством реальных или предполагаемых причин недостатков;

- исключения, возникающие в связи с недостатками, которые руководство, возможно, отметило, например, искажения, которые не были предотвращены путем применения соответствующих средств контроля в сфере информационных технологий (ИТ);

- предварительные указания руководства в ответ на выводы аудитора.

Особенности малых организаций

A3. В то время как понятия, лежащие в основе контрольных действий в малых организациях, скорее всего, окажутся сходными с аналогичными в крупных организациях, степень формализации, свойственная их выполнению, будет отличаться. Кроме того, малые организации могут не испытывать необходимости в некоторых видах контрольных действий вследствие средств контроля, применяемых руководством. Например, единоличные полномочия руководства по предоставлению товарного кредита потребителям и утверждению значительных закупок могут обеспечить эффективный контроль за важными остатками по счетам и операциями, уменьшая или устраняя необходимость в более развернутых контрольных действиях.

А4. Кроме того, малые организации во многих случаях имеют меньше наемных работников, что может ограничивать степень, до которой разделение должностных обязанностей является достижимым. Однако в малой организации с руководителем-собственником надзор может быть даже более эффективным, чем в крупной организации. Этот более высокий уровень надзора со стороны руководства должен быть уравновешен расширением возможностей руководства для обхода средств контроля.

Значительные недостатки в системе внутреннего контроля (см. пункты 6(b), 8)

А5. Значительность недостатка или сочетания недостатков в системе внутреннего контроля зависит не только от того, имело ли место искажение, но и от вероятности того, что искажение может иметь место, а также от возможного размера этого искажения. Значительные недостатки, таким образом, могут существовать, даже если аудитор не выявил случаев искажения в ходе аудита.

А6. Примеры вопросов, которые может рассмотреть аудитор при определении того, является ли значительным недостаток или сочетание недостатков в системе внутреннего контроля, включают следующие:

- вероятность недостатков, приводящих к существенным искажениям в финансовой отчетности в будущем;

- подверженность соответствующего актива или обязательства потерям или недобросовестным действиям;

- субъективность и сложность определения оценочных величин, таких как оценочные значения справедливой стоимости;

- суммы в финансовой отчетности, подверженные воздействию соответствующих недостатков;

- объем деятельности, который имел место или может иметь место с остатком по счету или виду операций, подверженных воздействию соответствующего недостатка (недостатков);

- важность средств контроля для процесса подготовки финансовой отчетности; например:

- общие средства контроля и мониторинга (такие как надзор за руководством);

- средства контроля по предотвращению и обнаружению недобросовестных действий;

- средства контроля выбора и применения значимых аспектов учетной политики;

- средства контроля значительных операций со связанными сторонами;

- средства контроля значительных операций, выходящих за рамки обычной деятельности организации;

- средства контроля процесса подготовки финансовой отчетности в конце периода (такие как средства контроля нетипичных бухгалтерских записей);

- причина и частота обнаруженных исключений в результате недостатков в средствах контроля;

- взаимодействие того или иного недостатка с другими недостатками в системе внутреннего контроля.

А7. Признаки значительных недостатков в системе внутреннего контроля, например, следующие:

- свидетельства наличия неэффективных аспектов контрольной среды, такие как:

- признаки того, что значительные операции, в которых руководство финансово заинтересовано, должным образом не контролируются лицами, отвечающими за корпоративное управление;

- выявление недобросовестных действий руководства, независимо от их существенности, которые не были предотвращены средствами внутреннего контроля организации;

- неспособность руководства принять соответствующие меры по исправлению ситуации по ранее доведенным до его сведения значительным недостаткам;

- отсутствие процедур оценки риска внутри организации, где обычно можно было бы ожидать их наличие;

- свидетельства неэффективных процедур оценки риска организации, такие как неспособность руководства выявить риск существенного искажения, который, как того ожидает аудитор, должен был быть выявлен процедурами оценки рисков в организации;

- свидетельства неэффективности ответных мер по поводу выявленных значительных рисков (например, отсутствие средств контроля за такими рисками);

- искажения, обнаруженные в ходе аудиторских процедур, которые не были предотвращены или обнаружены и исправлены средствами внутреннего контроля организации;

- исправление ранее выпущенной финансовой отчетности, отражающее исправление существенного искажения по причине ошибки или недобросовестных действий;

- свидетельства неспособности руководства осуществлять надзор за подготовкой финансовой отчетности.

A8. Для эффективного предотвращения или обнаружения и исправления искажений схема использования средств контроля может предполагать, что они задействуются в отдельности или в сочетании друг с другом.5 Например, средства контроля дебиторской задолженности для предотвращения или обнаружения и исправления искажений остатков по счету могут состоять из автоматизированных средств контроля и средств контроля с ручной обработкой данных, работающих вместе. Недостаток системы внутреннего контроля сам по себе может не быть настолько важным, чтобы представлять собой значительный недостаток. Однако сочетание недостатков, воздействующих на один и тот же остаток по счету или на одно и то же раскрытие информации, предпосылку или компонент системы внутреннего контроля, может повысить риски искажения до такой степени, которая влечет за собой значительные недостатки.

А9. В некоторых юрисдикциях законом или нормативным актом могут устанавливаться (особенно при проведении аудита организаций, ценные бумаги которых допущены к организованным торгам) требования к аудитору сообщать лицам, отвечающим за корпоративное управление, или иным заинтересованным лицам (таким как регулирующие органы) об одном или более конкретных типах недостатков системы внутреннего контроля, которые аудитор выявил в ходе аудита. В тех случаях, когда законом или нормативным актом установлены конкретные термины и даны их определения в отношении этих недостатков для целей сообщения о них, аудитор пользуется этими терминами и определениями для подготовки сообщений в соответствии с требованиями законов и нормативных актов.

А10. Если в той или иной юрисдикции разработаны соответствующие термины для видов недостатков системы внутреннего контроля, о которых следует проинформировать, но при этом отсутствуют определения этих терминов, аудитору может оказаться необходимым прибегнуть к выработке суждения для установления круга тех вопросов, о которых следует сообщить в соответствии с законодательными или нормативными требованиями. При этом аудитор может счесть целесообразным принять во внимание требования и рекомендации настоящего стандарта. Например, если назначение соответствующего требования закона или нормативного акта состоит в доведении до сведения лиц, отвечающих за корпоративное управление, тех или иных вопросов внутреннего контроля, о которых они должны быть осведомлены, может оказаться целесообразным принять такие вопросы как в целом аналогичные значительным недостаткам, описанным в требованиях настоящего стандарта, которые подлежат сообщению лицам, отвечающим за корпоративное управление.

А11. Требования настоящего стандарта остаются в силе, независимо от того, что законы или нормативные акты могут требовать от аудитора пользоваться конкретными требованиями или определениями.

Информирование о недостатках в системе внутреннего контроля

Сообщение о значительных недостатках в системе внутреннего контроля лицам, отвечающим за корпоративное управление (см. пункт 9)

А12. Сообщение о значительных недостатках в письменной форме лицам, отвечающим за корпоративное управление, отражает важность этих вопросов и оказывает помощь лицам, отвечающим за корпоративное управление, в выполнении их обязанностей по надзору. В МСА 2606 (пересмотренном) приводятся соответствующие соображения в отношении информационного взаимодействия с лицами, отвечающими за корпоративное управление, для тех случаев, когда все они участвуют в управлении организацией.

А13. При определении того, когда следует составлять письменное сообщение, аудитор может рассмотреть вопрос о том, явится ли получение такого сообщения важным фактором для выполнения лицами, отвечающими за корпоративное управление, их обязанностей по надзору. Кроме того, в некоторых юрисдикциях в отношении организаций, ценные бумаги которых допущены к организованным торгам, лица, отвечающие за корпоративное управление, могут иметь потребность в получении соответствующего письменного сообщения от аудитора до даты утверждения финансовой отчетности к выпуску для того, чтобы выполнить те или иные конкретные обязанности в отношении средств внутреннего контроля для целей соблюдения требований регулирования или для иных целей. Для прочих организаций аудитор может составить письменное сообщение в более поздние сроки. Тем не менее в последнем случае, поскольку соответствующее письменное сообщение аудитора о значительных недостатках составляет часть аудиторского файла, к этому письменному сообщению применяется безусловное требование7, в соответствии с которым аудитор должен своевременно завершить окончательное формирование аудиторского файла. В МСА 2308 устанавливается, что надлежащий предельный срок для завершения окончательного формирования аудиторского файла обычно не превышает 60 дней после даты аудиторского заключения.

А14. Независимо от сроков соответствующего письменного сообщения о значительных недостатках, аудитор может прежде всего сообщить о них устно руководству и, если целесообразно, лицам, отвечающим за корпоративное управление, для оказания им помощи в принятии своевременных мер для исправления ситуации, чтобы снизить риски существенного искажения. Эти действия, однако, не освобождают аудитора от обязанности сообщать о значительных недостатках в письменной форме, как это требуется настоящим стандартом.

А15. Уровень детализации при составлении сообщения о значительных недостатках является предметом суждения аудитора в сложившихся обстоятельствах. Факторы, которые аудитор может принять во внимание при определении надлежащего уровня детализации в сообщении, включают, например:

- характер организации. Например, сообщение, которое потребуется для общественно значимой организации, может отличаться от сообщения для организации, не имеющей общественной значимости;

- размер и сложность организации. Например, сообщение для организации, осуществляющей многообразные виды деятельности, может отличаться от сообщения для организации, ведущей простые виды деятельности;

- характер значительных недостатков, которые выявил аудитор;

- структура и состав корпоративного управления организации. Например, более высокая степень детализации может потребоваться в случаях, если в состав лиц, отвечающих за корпоративное управление, входят лица, обладающие значительным опытом в отрасли данной организации или в затронутых областях;

- требования законов или нормативных актов в отношении информирования о тех или иных видах недостатков системы внутреннего контроля.

А16. Руководство и лица, отвечающие за корпоративное управление, могут уже быть осведомлены о значительных недостатках, которые выявил аудитор в ходе аудита, и, возможно, решили не применять никаких мер по их устранению по причине высоких затрат или по иным соображениям. Ответственность за оценку затрат и выгод от принятия мер для исправления ситуации возлагается на руководство и лиц, отвечающих за корпоративное управление. Следовательно, независимо от затрат или иных соображений, которые руководство и лица, отвечающие за корпоративное управление, могут счесть уместными при решении вопроса об устранении недостатков, применяется требование пункта 9.

А17. Тот факт, что аудитор уже сообщал о том или ином значительном недостатке лицам, отвечающим за корпоративное управление, и руководству в ходе предыдущего аудита, не отменяет для аудитора необходимости повторить данное сообщение, если соответствующие меры так и не были приняты. Если значительный недостаток, информация о котором была доведена до сведения ранее, сохраняется, в соответствующем сообщении за текущий год может повторяться описание из предыдущего сообщения либо просто может содержаться указание на предыдущее сообщение. Аудитор может запросить у руководства или, если уместно, у лиц, отвечающих за корпоративное управление, пояснение причин, по которым данный значительный недостаток так и не был устранен. Непринятие мер в отсутствие обоснованных пояснений может само по себе представлять значительный недостаток.

Особенности малых организаций

А18. В случае аудита малых организаций аудитор может общаться с лицами, отвечающими за корпоративное управление, менее формально, чем в случае аудита крупных организаций или организаций, ценные бумаги которых допущены к организованным торгам.

Информирование руководства о недостатках в системе внутреннего контроля (см. пункт 10)

А19. Обычно соответствующий уровень руководства - это руководитель, обладающий ответственностью и полномочиями для того, чтобы оценивать недостатки в системе внутреннего контроля и принимать необходимые меры для их устранения. В отношении значительных недостатков соответствующим, вероятно, будет уровень генерального директора или финансового директора (или аналогичный ему), поскольку эти вопросы также требуется сообщать лицам, отвечающим за корпоративное управление. В отношении прочих недостатков в системе внутреннего контроля соответствующий уровень может быть уровнем операционного руководства с более непосредственным доступом к затронутым сферам внутреннего контроля и с необходимыми полномочиями по принятию надлежащих мер для устранения недостатков.

Информирование руководства о значительных недостатках в системе внутреннего контроля (см. пункт 10(a))

А20. Некоторые выявленные значительные недостатки в системе внутреннего контроля могут поставить под сомнение честность или уровень подготовки руководства. Например, могут иметь место свидетельства недобросовестных действий или намеренного несоблюдения законов и нормативных актов руководством, или руководство может проявить неспособность осуществлять надзор за надлежащей подготовкой финансовой отчетности, что может поставить под сомнение уровень его подготовки. Следовательно, может оказаться неуместно докладывать о таких недостатках непосредственно руководству.

А21. MCA 2509 устанавливает требования и содержит рекомендации по информированию о выявленном несоблюдении или подозрении в несоблюдении законов и нормативных актов, включая случаи, когда лица, отвечающие за корпоративное управление, сами оказываются причастны к такому несоблюдению. MCA 24010 устанавливает требования и содержит рекомендации в отношении сообщения лицам, отвечающим за корпоративное управление, о ситуациях, когда аудитор выявил недобросовестные действия или подозрения в недобросовестных действиях с участием руководства.

Информирование руководства о прочих недостатках в системе внутреннего контроля (см. пункт 10(b))

А22. В ходе аудита аудитор может выявить прочие недостатки в системе внутреннего контроля, которые не являются значительными недостатками, но могут обладать достаточной важностью, чтобы заслужить внимание руководства. Определение того, какие именно прочие недостатки в системе внутреннего контроля заслуживают внимания руководства, составляет предмет суждения аудитора с учетом сложившихся обстоятельств, принимая во внимание вероятность и возможный размер искажений, которые могут возникать в финансовой отчетности в результате этих недостатков.

А23. Информирование о прочих недостатках в системе внутреннего контроля, которые заслуживают внимание руководства, не обязательно выполняется в письменной форме, оно может быть устным. Если аудитор обсуждает факты и обстоятельства выводов аудитора с руководством, аудитор может рассмотреть возможность устного сообщения о прочих недостатках руководству в ходе таких обсуждений. Следовательно, впоследствии нет необходимости отправлять формальное сообщение.

А24. Если аудитор в один из предыдущих периодов уже информировал руководство о недостатках в системе внутреннего контроля, не являющихся значительными недостатками, и руководство решило не применять никаких мер по их устранению по причине высоких затрат или по иным причинам, аудитор не обязан повторять данное сообщение в текущем периоде. Аудитор также не обязан повторять информацию о таких недостатках, если она уже сообщалась руководству иными лицами, такими как служба внутреннего аудита или регулирующие органы. Однако может оказаться целесообразным заново сообщить об этих прочих недостатках, если имело место изменение состава руководства, или аудитору стала известна новая информация, меняющая прежние представления аудитора и руководства об этих недостатках. Однако неспособность руководства устранить прочие недостатки в системе внутреннего контроля, о которых сообщалось ранее, может сама стать значительным недостатком, требующим

------------------------------

1 МСА 315 (пересмотренный) "Выявление и оценка рисков существенного искажения посредством изучения организации и ее окружения", пункты 4 и 12.

2 МСА 330 "Аудиторские процедуры в ответ на оцененные риски".

3 МСА 260 (пересмотренный) "Информационное взаимодействие с лицами, отвечающими за корпоративное управление".

4 МСА 315 (пересмотренный), пункт 12. Пункты А68-А73 дают рекомендации в отношении средств контроля, имеющих отношение к проводимому аудиту.

5 МСА 315, пункт А74.

6 МСА 260 (пересмотренный), пункт 13.

7 МСА 230 "Аудиторская документация", пункт 14.

8 МСА 230, пункт А21.

9 МСА 250 "Рассмотрение законов и нормативных актов в ходе аудита финансовой отчетности", пункты 22-28.

10 МСА 240 "Обязанности аудитора в отношении недобросовестных действий при проведении аудита финансовой отчетности", пункт 41.