2.4. Сбор аудиторских доказательств - обеспечение качества и достоверности информационной базы операционного аудита

Необходимость в указанном этапе заключается в том, что любая информация, как правило, содержит те или иные искажения вызываемые целым рядом причин как объективного, так и субъективного характера [35].

Использование такой, по сути, искаженной или не подтвержденной информации при любых исследованиях, а также выработка на ее основе тех или иных управленческих решений приводит чаще всего к нежелательным последствиям для любого хозяйствующего субъекта.

Аудиторская проверка исходной информационной базы в целях выявления существующих искажений при выполнении операционного аудирования предполагает, прежде всего, оценку качества информации, так как качество последующих операционных исследований напрямую зависит от того, насколько адекватно имеющаяся информация отражает реальную картину текущей деятельности аудируемого экономического субъекта.

Как и при выполнении финансового аудита, операционный аудит предполагает сбор вещественных (материальных), документальных, свидетельских и аналитических аудиторских доказательств [79, 140].

Аудиторские доказательства должны подкреплять саму логику аудиторского операционного исследования, а также выводы и рекомендации, на основе которых будут приниматься дальнейшие управленческие решения.

Источниками аудиторских доказательств может быть, значительное их разнообразие, включая:

нормативно-правовые акты, регулирующие деятельность аудируемого экономического субъекта;

результаты инвентаризации материальных активов и обязательств;

базы данных исследуемого экономического субъекта;

результаты аналитических и прогнозных исследований,

проводимых аудируемым экономическим субъектом, оценки и

допущения, на основе которых они осуществлялись;

результаты деятельности и выводы службы внутреннего контроля

(в частности, внутреннего аудита) этого субъекта;

результаты предыдущих операционных и финансовых аудитов;

бизнес-планы;

анкетирование и интервьюирование заинтересованных в операционных исследованиях и наиболее компетентных в аудируемой предметной области лиц и пр.

Приведенный перечень источников сбора аудиторских доказательств, подтверждающих или расширяющих исходную информационную базу операционного аудирования, не является полным и исчерпывающим, так как практика показывает, что в процессе аудиторского исследования аудирующий субъект может обнаружить и использовать и иные, не перечисленные выше, источники.

выбора источников, как сбора исходной информации, так и подтверждающих ее достоверность и качество аудиторских доказательств, аудирующий субъект должен руководствоваться своими профессиональными суждениями, основанными на своем опыте и компетентности в исследуемой предметной области.

Все полученные доказательства должны быть тщательным образом оформлены в рабочих документах аудирующего субъекта связанных именно с той информационной составляющей, к которым они относятся, так как указанные доказательства служат не только основанием для подготовки и обоснования выводов, сделанных по итогам аудирования, но и основой для оценки самого процесса аудиторского исследования. В указанных рабочих документах необходимо отразить и сами источники получения как проверяемой, так и подтверждающей информации.

Как уже отмечалось ранее, операционная эффективность присуща различным предметным областям, что, в свою очередь, требует от аудирующего субъекта исследований разнонаправленной и порой весьма специфической информации, которая позволяет ему аудировать бизнес- процессы и составляющие их бизнес-операции, взаимосвязи, потенциальные возможности и пути решения тех или иных проблем. Поэтому, при обосновании выводов и тем более управленческих рекомендаций вырабатываемых на их основе, аудирующий субъект должен стремиться к получению аудиторских доказательств подтверждающих указанную информационную базу различного характера и из различных источников.

В свою очередь, аудиторские мероприятия по сбору указанных аудиторских доказательств представляют собой процесс, предполагающий стройную систему последовательно выполняемых аудиторских процедур по заранее выработанной методике.

Однако, при этом, как и при выполнении финансового аудита,

операционные аудиторские исследования предполагают необходимость проверки действенности и эффективности системы внутреннего контроля аудируемого экономического субъекта, направленной именно на исследуемую предметную область, проблему или бизнес-процесс, то есть операционной эффективности этой системы.

В этой связи аудирующему субъекту при сборе аудиторских доказательств подтверждающих достоверность исходной информационной базы необходимо запланировать и провести аудиторские процедуры, направленные на проверку существующей системы внутреннего контроля (контрольной среды и контрольных процедур, выполняемых в рамках этой системы), охватывающей исследуемые направления предстоящего аудирования.

В общем понимании операционный аудит требует от аудирующего субъекта наличия достаточного и надлежащего понимания и компетенции во всех системах аудируемого экономического субъекта сопряженных с исследуемой предметной областью, целевой направленностью и задачами, стоящими перед ним.

Общепризнано [51, 79, 140, 144 и др.], что система внутреннего контроля тестируется с целью признания ее действенности и эффективности, при отсутствии которых аудирующий субъект должен предусмотреть широкий спектр аудиторских процедур, направленных на подтверждение и обоснование достоверности и надлежащего характера исходной информационной базы подготовленной им для операционного аудирования по существу предстоящего аудиторского задания.

Таким образом, приступая к исследованию существующей у аудируемого экономического субъекта системы внутреннего контроля, аудирующий субъект должен оценить не только саму организацию этой системы, то есть степень ее разработки и отношения к ней, но и степень ее непосредственного функционирования, то есть действительное существование и эффективное применение всех контрольных мероприятий и процедур на всем протяжении

исследуемого периода.

С этой целью аудирующему субъекту необходимо исследовать:

информационную систему, связанную с целями аудируемой предметной области или объекта; контрольную среду;

контрольные процедуры, выполняемые сотрудниками аудируемого экономического субъекта, их качество и эффективность; процесс оценки бизнес-рисков самим хозяйствующим субъектом.

При этом весь анализ указанных подсистем и элементов системы внутреннего контроля должен осуществляться на основе профессионального суждения самого аудирующего субъекта.

В то же время следует отметить, что аудирующий субъект особым образом должен учитывать всю специфику системы внутреннего контроля, осуществляемого с помощью подсистем, основанных на применении современных информационных технологий.

В теории и на практике, как правило, выделяют:

предметные технологии, реализуемые для решения производственных, экономических и управленческих задач и которые существовали еще до появления компьютерной обработки информации;

обеспечивающие информационные технологии, представляющие собой совокупность аппаратных и программных средств, а также

набор правил и ограничений по их использованию; функциональные информационные технологии, представляющие собой синтез одной или нескольких обеспечивающих и предметную технологии, реализуемый по некоторым установленным правилам.

Аудирующему субъекту следует учитывать, что технология вообще, и информационная, в частности - это не просто комплекс инженерных знаний [86], и «свод правил, регламентирующих выполнение технологических процедур» [184, с. 143], но и выполнение весьма сложных контрольных мероприятий связанных с их реализацией на практике. Поэтому ему необходимо получить достаточные и надлежащие знания обо всей информационной системе аудируемого экономического субъекта, ее роли в обработке его информационных потоков и особенно той ее части, которая непосредственно относится к исследуемой предметной области или объекту аудирования.

В этой связи аудирующему субъекту необходимо использовать в своей работе как внутренних, так и внешних (независимых) специалистов-экспертов, обладающих достаточными и надлежащими знаниями в области указанных выше технологий.

При планировании использования работы указанных специалистов- экспертов аудирующий субъект должен, прежде всего, получить представление:

о сложности и значимости для аудируемого экономического субъекта компьютерной информационной системы; об организационной структуре этой системы и степени концентрации или распределения в рамках этого субъекта, свою очередь, компьютерную информационную систему следует считать сложной, если:

объем процедур, проводимых с ее помощью, затрудняет выявление и исправление тех или иных искажений, возникающих в процессе обработки информационных потоков;

производится автоматическое генерирование существенных процедур;

система выполняет сложные расчеты и автоматически генерирует выводы, которые не могут быть подтверждены; обмен информацией между заинтересованными пользователями осуществляется электронным способом, и при этом не проводится ее физическая проверка на предмет обоснованности.

Следующим, не менее важным компонентом, который необходимо оценить аудирующему субъекту, является контрольная среда, в которой функционирует система внутреннего контроля.

В общем понимании контрольная среда это не только отношение высшего звена системы управления хозяйствующего субъекта к контролю за бизнес-процессами, объектами, бизнес-операциями, управленческими функциями и пр., не только четкое распределение обязанностей, полномочий и ответственности, но и понимание своей роли в этой системе всеми сотрудниками этого субъекта. Кроме того, контрольная среда формирует внутреннюю культуру хозяйствующего субъекта и представляет собой основу для эффективного внутреннего контроля, обеспечивая при этом дисциплину и структурированность.

Исходя из этого, аудирующему субъекту необходимо исследовать и оценить:

организационную структуру аудируемого экономического субъекта;

философию руководства этого субъекта и стиль его работы; наличие четкого разделения управленческих функций, делегирования полномочий и ответственности на каждом уровне системы управления;

каким образом внедряются и реализуются на практике принципы этических ценностей, а также, какие применяются меры по их обеспечению;

существующие у субъекта системы измерения, отчетности и мониторинга всей его деятельности и пр.

Иными словами, аудирующий субъект должен получить достаточное и надлежащее понимание контрольной среды аудируемого экономического субъекта.

Наряду с рассмотренными компонентами системы внутреннего контроля аудируемого экономического субъекта не менее важным для оценки ее действенности и эффективности является анализ выполняемых в ее рамках контрольных процедур. При этом следует учитывать, что, как правило, контрольные процедуры у любого хозяйствующего субъекта, как с использованием компьютерных информационных систем, так и при ручной обработке той или иной информации, имеют порой различную целевую направленность и применяются на различных организационных и функциональных уровнях.

Аудирующий субъект должен достичь достаточного понимания всех контрольных процедур аудируемого экономического субъекта, чтобы иметь возможность разработки именно тех дополнительных аудиторских процедур, которые необходимы для подтверждения той или иной релевантной для проводимого операционного исследования информации.

При вынесении профессионального суждения относительно контрольных процедур аудирующему субъекту необходимо принимать во внимание: размеры аудируемого экономического субъекта; характер его деятельности, структуры управления, управленческих функций, бизнес-процессов и даже отдельных бизнес-операций; сложность элементов, образующих всю исследуемую систему внутреннего контроля;

цель и задачи операционного аудиторского исследования.

Для получения достаточных и надлежащих аудиторских доказательств относительно формы и эффективности применения контрольных процедур аудирующий субъект может проводить следующие аудиторские процедуры:

осуществить интервьюирование и анкетирование соответствующих, наделенных определенными полномочиями, сотрудников аудируемого экономического субъекта;

провести наблюдение за выполнением конкретных (проверяемых) контрольных процедур;

проверить соответствующие документы и отчеты;

провести отслеживание информационных потоков с помощью

информационной системы этого субъекта и пр.

В то же время, необходимо учитывать, что система внутреннего контроля любого хозяйствующего субъекта, в силу существующих (присущих внутреннему контролю) ограничений, не позволяет обеспечить полную уверенность в достижении целей, стоящих перед системой управления аудируемым экономическим субъектом. Поэтому, независимо от того, какие бы не были сделаны выводы о действенности и эффективности всей системы внутреннего контроля, аудирующий субъект должен предусмотреть и осуществить аудиторские процедуры проверки информационной базы подготовленной для предстоящего операционного аудиторского исследования.

В завершении исследования системы внутреннего контроля аудирующий субъект должен получить достаточное и надлежащее понимание того, каким образом аудируемый экономический субъект выявляет и реагирует на бизнес- риски, связанные с целевой направленностью его деятельности и к какому результату приводят его действия. С этой целью необходимо определить и оценить:

процесс выявления системой управления аудируемым экономическим субъектом бизнес-рисков; значимость этих рисков;

вероятность возникновения рисков и степень их возможного проявления;

предпринимаемые меры по противодействию им.

В случае надлежащего подхода к построению процесса оценки бизнес-

рисков со стороны аудируемого экономического субъекта аудирующий субъект может использовать его для определения рисков существенных искажений информационной базы предстоящего операционного аудиторского исследования. В противном случае, если указанный подход не позволяет выявлять и противостоять бизнес-рискам, то аудирующий субъект может разработать и предложить высшему звену системы управления аудируемого экономического субъекта рекомендации по улучшению этого процесса.

Если аудирующий субъект, в силу своего профессионального суждения, посчитал, что вся система внутреннего контроля аудируемого субъекта действенна и эффективна, то он может решить принять информацию, получаемую от этого субъекта в качестве надлежащей исходной базы для дальнейших операционных аудиторских исследований. Однако это возможно, если указанная информация будет одновременно подтверждена аудирующим субъектом посредством иных аудиторских процедур, выполняемых в ходе аудирования.

Кроме того, аудирующему субъекту необходимо помнить, что, исследуя и оценивая операционную эффективность системы внутреннего контроля, обеспечивающую надежность той или иной информации, он должен учитывать способы и последовательность ее фактического функционирования в течение всего аудируемого периода, а также вероятность ее действенности и эффективности на долгосрочную перспективу.

Одновременно с этим следует учитывать, что понятие «действенное эффективное функционирование системы внутреннего контроля» все-таки допускает некоторую вероятность тех или иных отклонений и возникновение искажений в информации, подтверждаемой этой системой.

Обычно отклонения и искажения возникают в следствие:

изменения в составе сотрудников, выполняющих основные функции внутреннего контроля;

значительных сезонных колебаний в объеме осуществляемых аудируемым субъектом бизнес-операций;

ошибок, связанных с постоянно присутствующим в реальной действительности человеческим фактором.

Обнаружив отклонения, аудирующий субъект должен сделать специальные запросы в отношении указанных аспектов и убедиться, что система внутреннего контроля была действенна и эффективна в тот период, в котором произошли указанные отклонения.

Кроме сведений, полученных в ходе исследования и оценки операционной эффективности системы внутреннего контроля, как было отмечено ранее, аудирующему субъекту необходимо проверить и оценить фактическую информацию, входящую в информационную базу предстоящего операционного аудирования по существу принятого им задания. При этом он должен опираться на свое профессиональное суждение и принцип профессионального скептицизма.

Общепризнанно, что аудиторские процедуры, применяемые для получения аудиторских доказательств надлежащего характера релевантной аудиторскому заданию информации должны осуществляться одновременно с исследованием операционной эффективности системы внутреннего контроля [147]. Исходя из этого, целями проведения аудиторских процедур по исследованию фактической информации, входящей в исходную информационную базу предстоящего операционного исследования, являются: достижение понимания деятельности аудируемого экономического субъекта, включая его систему внутреннего контроля; проведение тестирования операционной эффективности этой системы;

обнаружение существенных искажений в указанной фактической информации.

Как уже отмечалось ранее, при выборе методики и соответствующих процедур аудирующий субъект должен принимать во внимание надежность и качество получаемых при этом аудиторских доказательств. Поэтому в процессе их сбора он должен понимать, что не вся информация может быть использована

в качестве этих доказательств. К указанной информации следует отнести такую информацию, которая получена при условии, что:

сами аудиторские доказательства имеют только единственный источник;

существуют лишь устные утверждения, не подтвержденные документально или иными доказательствами;

источники как проверяемой информации, так и подтверждающих аудиторских доказательств заинтересованы в их использовании; затраты на получение этой информации в значительной степени превышают ее полезность;

аудиторская выборка, направленная на получение указанной информации, нерепрезентативна;

информация относится только к единичному проявлению фактов или событий;

информация, полученная из разных источников противоречива; отсутствует полнота как фактической, так и подтверждающей информации и пр.

На основе результатов, полученных в ходе реализации процесса сбора, оценки и проверки как фактической, так и подтверждающей информации, аудирующий субъект подготавливает отчет, обобщающий проделанную им работу. Указанный отчет является основой для использования исходной информационной базы для предстоящего углубленного операционного аудиторского исследования, направленного на подготовку релевантных управленческих рекомендаций.