Аудиторская деятельность в среде компьютерной системы

Отечественные программы  основываются на общепринятых в мире методиках инвестиционного анализа, однако позволяют учитывать специфику  российской системы бухгалтерского учета, налогообложения, законодательства и формирования финансовых результатов. Наиболее известны «Project Expert» (компания «Про-Инвест-ИТ») и «Альт-Инвест» (исследовательско-консультационная фирма «АЛЬТ»). Обе программы позволяют в диалоговом режиме решать следующие задачи: детально описать текущее состояние предприятия с учетом изменения параметров внешней среды (инфляция, налоги, валютные курсы); разработать план реализации инвестиционного проекта, стратегии сбыта и производства, обеспечивающие рациональное использование материальных, трудовых и финансовых ресурсов; определить схему финансирования проекта (собственный капитал, заемные средства, лизинг); проиграть различные сценарии реализации проекта, варьируя значения факторов, способных повлиять на его финансовые результаты; автоматически сформировать все необходимые виды отчетности (баланс, отчет о прибылях и убытках, прогноз потоков наличности и т.д.) и проектной документации в соответствии с требованиями международных стандартов на русском и английском языках; провести всесторонний анализ чувствительности и эффективности проекта в разрезе его участников (предприятия, инвесторов, банков и т.п.); осуществить последующий мониторинг и контроль реализации различных стадий проекта с автоматическим выявлением отклонений фактических показателей от запланированных⁶.

Рассмотрим специальное  программное обеспечение (ПО) аудиторской  деятельности. Его можно разделить  на две группы:

ПО аудита, принадлежащее  компаниям-разработчикам;

ПО аудита массового тиражирования.

Фирма Ernst & Young разработала  ряд программных продуктов: EY/AWS, EY/BPP, RiskWeb. EY/AWS (Ernst & Young Auditor's WorkStation) - комплекс программных инструментов, который облегчает важные стороны  аудиторского процесса: управление проектом, организацию аудиторских доказательств, сбор и анализ данных, доступ к знаниям, поддержку связи аудиторских  команд, находящихся на больших расстояниях  друг от друга и в разных часовых  поясах.

EY/ BPP (Ernst & Young Business Process Profiler) - программный инструмент, воплощающий  подход компании Ernst & Young к оценке  аудиторского риска и планированию  внутреннего аудита. EY/BPP осуществляет  документирование аудиторских бизнес-процессов,  оценку рисков, их контроль и  анализ, разработку аудиторских  планов. EY/BPP упрощает подготовку  графических и текстовых отчетов.  Мультипользовательские возможности  EY/BPP облегчают коллективное использование  информации членами аудиторских  команд.

Аудиторская фирма Deloitte Touche Tohmatsu International в сотрудничестве с  компанией Microsoft и другими ведущими производителями ПО разработала Audit System/2 - второе поколение аудиторского ПО.

К ПО аудита массового тиражирования  относятся программы «Эффект Аудитор» (компании «ГАРАНТ Интернэшнл» и «Метроном Аудит», Санкт-Петербург), «Ассистент аудитора», «Ассистент внутреннего аудитора» (ЗАО «Аудиторская фирма «Сервис-Аудит»», Москва), «Помощник аудитора» (фирмы «ДИЦ» и «Гольдберг Аудит», Москва), «ЭкспрессАудит: ПРОФ» (консалтинговая группа «ТЕРМИКА»).

ГЛАВА 3. ВЛИЯНИЕ  ПРИМЕНЕНИЯ ИНФОРМАЦИОННЫХ ТЕХНОЛОГИЙ НА АУДИТОРСКУЮ ДЕЯТЕЛЬНОСТЬ

3.1 Оценка возможностей учета с помощью информационной системы

В рамках аудита информационных систем аудитор должен проверить:

- принципы функционирования  компьютерной информационной системы  (способы организации, ввода, настройки,  обновления данных);

- обеспечение архивирования  и хранения данных;

- наличие специальных  контрольных процедур для мониторинга  функционирования среды компьютерной  обработки данных;

- уровень программного  обеспечения и наличие лицензий;

- соответствие применяемых  алгоритмов требованиям нормативной  документации по ведению учета  и состоянию отчетности по  основным автоматизированным расчетам (бизнес-процессам);

- возможности настройки  (обновления) программного обеспечения  для гибкого реагирования на  изменения законодательства;

- возможности расширения  функций имеющихся систем;

- степень информационной  безопасности (ограничение несанкционированного  доступа);

- общую информационную  политику компании и ее планы  по развитию системы информационных  технологий.

Аспектам планирования аудита в среде компьютерных информационных систем посвящен раздел «Планирование». В нем отмечено, что аудитор должен получить представление о системах бухгалтерского учета и внутреннего контроля, достаточное для планирования аудита и разработки эффективного подхода к его проведению, руководствуясь МСА 400 «Оценка рисков и внутренний контроль». В данном разделе указаны условия, обусловливающие уровень сложности прикладной программы, которая предопределяет представление аудитора о значимости и сложности процессов функционирования информационных систем, а также о доступности данных для использования при аудите.

В соответствии с МСА 400 аудитору следует использовать свое профессиональное суждение для оценки аудиторского риска  и разработки аудиторских процедур, способствующих снижению этого риска  до приемлемо низкого уровня.

В качестве процедур контроля названы:

- отчеты, проверка и утверждение  проведенных сверок;

- проверка арифметической  точности записей;

- осуществление контроля  над прикладными программами  и средой компьютерных информационных  систем, например, посредством контроля  над изменениями компьютерных  программ и доступа к файлам  данных;

- ведение и проверка  аналитических счетов и оборотных  ведомостей;

- утверждение документов  и контроль над ними;

- сравнение данных, полученных  из внутренних источников, с данными  внешних источников информации;

- сравнение результатов  подсчета денежных средств, ценных  бумаг и товарно-материальных  запасов с бухгалтерскими записями;

- ограничение прямого  физического доступа к активам  и записям;

- анализ финансовых результатов  и их сравнение с расходами,  предусмотренными сметой.

При планировании стадий аудита, на которые могут повлиять информационные системы субъекта, аудитор должен получить представление о значимости и сложности процессов функционирования этих систем, а также о доступности  данных для использования при  аудите. Прикладная программа считается  сложной, если, например:

- объем операций таков,  что пользователям трудно выявить  и исправить ошибки, допущенные  в процессе обработки;

- компьютер автоматически  генерирует существенные операции  или проводки непосредственно  в другой прикладной программе;

- компьютер выполняет  сложные расчеты по финансовой  информации и (или) автоматически  генерирует существенные операции  или проводки, которые не могут  быть подтверждены либо не  подтверждаются отдельно;

- обмен операциями с  другими организациями осуществляется  электронным способом и при  этом не проводится физической  проверки на предмет их правильности  или приемлемости;

- невозможно отследить  ответственность пользователя, производившего  те или иные изменения в  финансовой отчетности.

На степень риска также  влияет факт незащищенности систем, контролирующих денежные расходы или другие ликвидные  активы от мошеннических действий со стороны пользователей либо операторов компьютерных систем.

В данном случае аудитор  может рекомендовать проанализировать, существует ли производственная необходимость  в неограниченных правах сотрудников, обслуживающих информационную систему, и как организовать процесс управления изменениями и доступом. Он может  порекомендовать протоколировать  все действия пользователей, обладающих расширенными полномочиями, организовать аудит событий, чтобы была возможность  однозначно установить ответственность  сотрудника за действия в системе, и  установить хронологию внесения изменений⁷.

3.2 Оценка влияния информационной системы на аудит в целом

Если информационные системы  играют значительную роль, аудитор  должен получить представление о  них и о возможности их влияния  на оценку неотъемлемого риска и  риска системы контроля. Согласно разделу «Оценка риска» аудитор должен оценивать неотъемлемый риск и риск системы контроля в отношении существенных утверждений, содержащихся в финансовой отчетности.

Это обусловлено тем, что  неотъемлемые риски системы контроля в информационных системах могут  оказывать как общее, так и  локальное влияние на вероятность существенных искажений информации. Риски могут быть связаны с такими факторами в функционировании компьютерных систем, как разработка и эксплуатация программы, поддержка системного программного обеспечения, обеспечение физической защиты информационных систем, а также контроль над доступом к специализированным обслуживающим программам. Риски могут увеличить вероятность ошибок или мошенничества в конкретных прикладных программах, базах данных или главных файлах, а также при компьютерной обработке.

Несмотря на то что общая  цель и объем аудита в IT-сфере  не меняются, применение компьютеров  может оказать влияние на характер аудиторских процедур, оценку аудиторских  рисков, тесты контроля и процедуры  проверки по существу. В связи с  этим аудитор прежде всего должен рассмотреть, каким образом компьютер  влияет на аудит.

В разделе «Процедуры аудита» отмечается, что аудитор должен учитывать компьютерные информационные системы при разработке аудиторских процедур с целью снижения аудиторского риска до приемлемо низкого уровня. Подчеркивается, что конкретные цели аудита не зависят от того, обрабатываются учетные данные вручную или на компьютере. Тем не менее на аудиторские процедуры могут оказывать влияние способы компьютерной обработки данных. Для получения достаточного количества доказательств аудитор может либо применять методы ручной обработки данных, либо обрабатывать данные на компьютере, либо использовать и то и другое. Однако в некоторых системах бухгалтерского учета аудитору невозможно или нелегко получить определенные данные для проверки, запроса или подтверждения без помощи компьютера.

Отдельного внимания заслуживает  ситуация, когда в организации  внедряется новая информационная система, это требует значительных средств  и должно быть соответствующим образом  отражено в отчетности. В таком  случае в числе задач службы внутреннего  аудита могут быть анализ результатов внедрения информационной системы, оценка эффективности различных этапов внедрения, степень соответствия ожиданиям руководства.

Самым сложным, длительным и  трудоемким этапом проверки является сквозное тестирование внедренной учетной  системы. Группе аудиторов необходимо не только проверить, насколько работа системы соответствует заданным алгоритмам, полноту и корректность учетных данных, но и оценить уровень  программного контроля подтверждения (согласования) документов в системе, определяющего иерархию ответственности  и адекватное разграничение полномочий. Кроме того, необходимо определить степень автоматизации учетных  процессов, чтобы минимизировать дополнительные трудозатраты, связанные с ручным контролем. В процессе тестирования службой внутреннего аудита оценивается  также совершенство системы автоматического  контроля некорректных действий в учетной  системе (неподтвержденных, фальсифицированных данных, ошибок ручного ввода), что  позволяет снизить финансовые риски. В системе должны быть организованы периодические сверки, анализы данных и отчетов, чтобы выявить возможные  отклонения.

Вопросам надежности и  безопасности системы в ходе проверки также уделяется значительное внимание. Недостатки в организации контроля доступа к системе выявляются посредством специализированных аудиторских  процедур - периодического анализа  прав пользователей на предмет их избыточности, системного подхода к  разделению полномочий с помощью  ограничения доступа к бизнес-функциям.

На заключительном этапе  проверяются пользовательская документация и процесс управления документацией, неактуальность которой, особенно в  случае внедрения новой системы, может привести к снижению эффективности  и оперативности работы пользователей⁸.

 

ЗАКЛЮЧЕНИЕ

Сегодня сложно представить  успешную компанию, которая не использовала бы в своей деятельности информационные технологии. И компьютер может  заключать в себе одновременно несколько  активов: основное средство, нематериальные активы в виде программного обеспечения, систему управления, инструмент подготовки финансовой отчетности, риск и т.д. А  потому аудит компьютерных систем в  соответствии с международными стандартами  является одним из наиболее сложных  случаев аудита.

Основные процедуры, которые  необходимо соблюдать при проведении аудита в условиях использования  компьютерных информационных систем, раскрыты в МСА 401 «Аудит в среде компьютерных информационных систем».

Объектом применения данного  МСА компьютерные информационные системы  являются, когда организация применяет  компьютер любой модели или размера  для обработки финансовой информации, существенной для аудита, независимо от того, используется ли компьютер  этой организацией или третьей стороной. Общая цель и объем аудита в  среде таких систем не меняются, однако их применение может повлиять на: