Audyt finansowy bardzo często kojarzony jest ze stertą papierów, segregatorów oraz niechcianą kontrolą w spółce. Kierownicy jednostek traktują audytorów jak osoby, którym zależy wyłącznie na identyfikowaniu błędów i pomyłek. Taki wizerunek audytu bardzo często zarysowuje się wśród badanych jednostek. Jednak nie można zapominać, że główną rolą audytora jest badanie sprawozdań finansowych pod kątem rzetelności i jasności przedstawionych danych, na podstawie których użytkownicy tych sprawozdań oceniają sytuację majątkową i finansową spółki. Podczas badania audytor udziela również pomocy w rozwiązywaniu problemów księgowych oraz podatkowych, ocenia efektywność kontroli wewnętrznych oraz identyfikacje ryzyka, które są nieodłącznym elementem prowadzenia działalności operacyjnej. Przy ogromnej liczbie operacji gospodarczych, które każdego dnia zachodzą w jednostce, audytor nie jest w stanie wykryć wszystkich błędów.
Czym jest CAATs
Zadaniem audytora jest zgromadzenie całości informacji, która dostarczy wystarczającego uzasadnienia wniosków i zaleceń z audytu. Informacje można podzielić na:
- mocne, na których można w pełni polegać – nie jest wymagane dodatkowe potwierdzenie;
- słabe, które wymagają dodatkowego potwierdzenia.
W zdobywaniu tych mocnych informacji mają pomóc audytorom wspomagane komputerowo techniki audytu (dalej: CAATs), które przy użyciu komputerów mają automatyzować procesy kontroli. CAATs w swojej prostocie może obejmować stosowanie podstawowego oprogramowania biurowego, takiego jak arkusze kalkulacyjne, edytory tekstu i programy do edycji tekstu oraz bardziej zaawansowane pakiety oprogramowania, jak Business Intelligence. Zadaniem audytora powinno być zaplanowanie wykorzystania CAATs w taki sposób, aby przy wykonywaniu czynności rewizji finansowej przestrzegane były zasady etyki zawodowej biegłych rewidentów, w tym w szczególności uczciwości, obiektywizmu, zawodowych kompetencji i należytej staranności oraz zachowania tajemnicy. Planując zadanie audytor powinien rozważyć odpowiednią kombinację technik ręcznych i komputerowych badania. Przy podejmowaniu decyzji o wykorzystaniu CAATs audytor musi rozpatrzyć następujące czynniki:
- jaka jest dostępność CAATs – sprawdza przede wszystkim możliwości wykorzystania narzędzi podczas badania,
- względne korzyści procedur ręcznych – należy rozważyć czy koszty prac ręcznych nie są mniejsze niż prace komputerowe,
- własne doświadczenia – analiza barier wykorzystania CAATs,
- dostępność urządzeń systemu informatycznego,
- ograniczenia czasowe,
- poziom ryzyka – profesjonalny osąd audytora co do ustalenia poziomu ryzyka na poziomie normalnym lub istotnym,
- integralność systemów informatycznych i środowiska IT.
Porównanie do tradycyjnych procedur
Tradycyjne metody badania wykorzystywane podczas audytu pozwalają na budowanie wniosków na podstawie ograniczonych próbek z często obszernej populacji, a nie na podstawie wszystkich dostępnych danych. Głównym zadaniem CAATs ma być rozwiązanie problemu ograniczającego audytora przez analizowanie dużych ilości danych w poszukiwaniu anomalii. Dobrze zaprojektowany audyt wspomagany metodami CATTs nie będzie opierał się na próbkowaniu, lecz na kompletnym przeglądzie wszystkich transakcji. Tym samym analizie podlegać będą w większej mierze wszystkie transakcje zachodzące w jednostce.
Kolejną zaletą jest to, że CAATs pozwala audytorom testować poszczególne ryzyka.
Przykład
Zakład ubezpieczeniowy posiada bardzo obszerne bazy danych, w których znajdują się m.in. te o długości życia polisy, wypłaconych odszkodowaniach itp. CAATs mogą dać audytorowi pewność, że zakład nie płaci ubezpieczonym roszczeń, gdyż polisa wygasła. Tradycyjna metoda audytorska polega na próbkowaniu, czyli wybraniu kilku polis do badania i ekstrapolowanie próby na cały system kontroli. Praca na dużych liczbach danych pozwoli wyodrębnić wszystkie polisy, które wygasły, a odszkodowanie zostało wypłacone. W tym przypadku audytor uzyskuje większe zapewnienie i mocniejsze informacje do ustalenia swoich wniosków. Taki rodzaj kontroli pozwala audytorowi zidentyfikować problem i dowiedzieć się gdzie kontrola zawodzi, a proces jest wadliwy.
Trzeba jednak pamiętać, że przegląd CAATs jest ograniczony wyłącznie do danych zawartych w plikach, które powinny być zgodne z przyjętym wzorcem systemowym. Niestety, wiele baz danych nie jest udokumentowanych w ten sposób, co utrudnia, a czasami uniemożliwia analizę. Ponadto zapisywane dane często są wybrakowane bądź źle sklasyfikowane, co utrudnia dostęp do nich i postawienia odpowiednich wniosków o ich rzetelności. Tak więc trzeba pamiętać, że CAATs muszą być uzupełnieniem tradycyjnego audytu i jego narzędzi oraz technik badania.
W każdej fazie badania
Tradycyjny audyt finansowy dzieli się, w zależności od metodologii badającego, na poszczególne procesy:
- określenie zakresu badania (scoping);
- ocena i identyfikacja ryzyka (assess and identify risk);
- zaprojektowanie badania (design audit);
- uzyskanie dowodów kontroli (obtain audit evidence);
- określenie wniosków (form opinion);
- raportowanie (reporting).
Wspomaganie komputerowo techniki audytu może być wykorzystywane w każdej z tych faz procesu audytu. Faza planowania, która obejmuje pierwsze trzy procesy, wymaga od audytora przede wszystkim określenia celów badania, rozwiązanie kwestii dostępności, zdefiniowania procedur, określenia danych wyjściowych i wymagań co do zespołów oraz udokumentowania wykorzystania CAATs.
Przed zastosowaniem
Jednak najczęściej CAATs wykorzystywane są w fazie pozyskiwania dowodów z badania do oceny sytuacji audytowanej jednostki. Przed wykorzystaniem technik komputerowych audytor powinien uzyskać racjonalne zapewnienie co do:
- integralności – właściwość polegająca na tym, że system realizuje swoją zamierzoną funkcję w nienaruszony sposób, wolny od nieautoryzowanej manipulacji, celowej lub przypadkowej. Zadaniem audytora jest możliwie precyzyjne zweryfikowanie integralności środowiska IT, z którego za pomocą CAATs pozyskano wrażliwe informacje. Priorytetowym działaniem każdego audytora musi być ochrona programu lub systemu informatycznego oraz uzyskanych danych produkcyjnych, przy jednoczesnym zapewnieniu ich poufności i bezpieczeństwa. Audytor bierze pod uwagę oczekiwania audytowanej jednostki i odpowiednie przepisy prawne;
- wiarygodności – obejmuje ona zagadnienia testowania, diagnostyki, technik tolerowania i maskowania błędów oraz analizy niezawodności;
- przydatności – czy wykorzystanie jest niezbędne;
- bezpieczeństwa.
Audytor w swojej pracy ma obowiązek udokumentować procedury dostarczające zapewnienia w wyżej wymienionych kwestiach. Przykładem może być przeprowadzenie przeglądu utrzymania i kontroli zmian zintegrowanego oprogramowania audytowego i upewnienie się, że wprowadzono jedynie autoryzowane zmiany.
W jaki sposób wykorzystać
CAATs mogą być systemowe lub transakcyjne, umożliwiające stosowanie zautomatyzowanych metod wyboru i analizy danych. Poniżej wymienione są rodzaje wspomaganych komputerowo technik audytu, które są najczęściej wykorzystywane podczas badania:
- ogólne oprogramowania audytowe wykonują zautomatyzowane funkcje. Jest przydatne przy przeprowadzaniu testów kontroli (test of controls) oraz testów wiarygodności (substantive analytical procedures);
- śledzenie i mapowanie aplikacji. CAATs można wykorzystać do śledzenia ścieżki audytu informacji wygenerowanej przez system komputerowy w trakcie przetwarzania transakcji;
- system ekspercki automatyzuje wiedzę i logikę ekspertów w pewnej dziedzinie dla ułatwienia audytorowi podjęcia decyzji i analizy ryzyka.
W najbardziej ogólnym ujęciu CAATs może odnosić się do dowolnego programu komputerowego wykorzystywanego do poprawy procesu audytu. Na ogół jest stosowany w odniesieniu do dowolnego pobierania danych oraz prostego analizowania ich treści ekonomicznej. Obejmuje to w szczególności programy, takie jak: arkusze kalkulacyjne (Excel), arkusze baz danych (Access), programy do analizy statystycznej (SAS), czy tzw. general audit software (ACL, Arbutus, business intelligence typu Crystal Reports oraz Business Objects) oraz wiele innych.
Niezależnie od stosowanego przez audytora programu „wspomagającego" jego pracę, największą korzyścią z wykorzystywanych narzędzi jest jego niezależność względem systemów komputerowych badanych jednostek. Tak przetworzone dane z badania mogą być wykorzystywane jako dokumentacja pozostająca alternatywą dla tradycyjnych papierowych dowodów kontroli.
Test lub moduł
Audytor w swojej pracy może korzystać z CAATs jako urządzenia testu zintegrowanego lub wbudowanego modułu audytowego. W pierwszym z nich audytor tworzy fikcyjny rekord w faktycznie istniejącym systemie (np. w zakładzie ubezpieczeniowym, nowa polisa w bazie danych sytemu magazynowego). Prawdziwe i fikcyjne dane są przetwarzane. Audytor może przetestować kontrole edycji zmieniając fikcyjne dane i oceniając listę błędów. Zaletą tego urządzenia jest przede wszystkim możliwość przetestowania istniejącego programu. Wadą może być fakt wprowadzania fikcyjnych transakcji do baz danych, które są raportowane wewnętrznie i zewnętrznie. Jednocześnie korzystanie z danych testowych może być bardziej skomplikowane i czasochłonne oraz skutkować zanieczyszczeniem systemu.
Natomiast wbudowany moduł audytowy jest integralną częścią aplikacji, który służy do identyfikacji i raportowania faktycznych danych. Zaletą jest możliwość ciągłego kontrolowania systemu. Konieczność zaprogramowania „punktów zaczepienia" w systemie operacyjnym, aby umożliwić wstawianie modułów audytowych, jest jednak uważana za powszechną wadę tego rodzaju CAATs. Korzystając z oprogramowania śledzącego lub mapującego audytor weryfikuje, czy oceniany kod źródłowy został wygenerowany przez program produkcyjny. Śledzenie i mapowanie nie pozwala na ocenę faktycznych danych produkcyjnych.
Możliwości ewoluują
Wspomagane komputerowo techniki audytu to narzędzie, którego katalog funkcjonalności nie jest określony. Stale rozwijające się systemy informatyczne oraz zmienność procesów gospodarczych powodują, że audytorowi stale stawiane są wyzwania dotyczące wykorzystywania narzędzi pomocnych do badania sprawozdania finansowego. Obecnie możemy podzielić CAATs ze względu na funkcje podstawowe, służące do badania oraz dodatkowe wspomagające samo badanie >patrz tabela.
Wymienione w tabeli procedury mogą uprościć pracę audytora w zakresie wybierania próby do badania, identyfikacji obszarów ryzyka oraz wykonywania pewnych procedur merytorycznych. CAATs nie jest jednak w stanie zastąpić wszystkich procedur audytorskich.
Dokumentacja robocza
Każde badanie przeprowadzone przez biegłego rewidenta, zgodnie z obowiązującymi przepisami prawa, powinno być udokumentowane w formie dokumentacji rewizyjnej. Zgodnie z obowiązującymi standardami jest to zbiór dokumentów, które umożliwiają odtworzenie i prześledzenie przebiegu badania sprawozdania finansowego przez biegłego rewidenta oraz stanowią uzasadnienie dla opinii, która została wydana o badanym sprawozdaniu finansowym.
Nie inaczej wygląda to w przypadku sprawozdania finansowego zbadanego z wykorzystaniem CAATs. Dokumentacja robocza powinna obejmować odpowiednią ewidencję zastosowania CAATs. Dokumentacja dotycząca planowania powinna określać:
- cele CAATs – czyli jak podjęte działania powinny wpływać na efekt końcowy, do którego dążymy;
- wykorzystanie techniki CAATs;
- kontrole – jakie kontrole procesów zostały zaplanowane i czy są one efektywne;
- personel – czy dysponujemy wystarczającą liczbą pracowników do wykonania wszystkich testów metodą CAATs;
- czas – czy liczba zaplanowanych testów jest możliwa do wykonania w czasie i czy nie przekracza budżetu zlecenia.
Po zakończeniu badania dokumentacja robocza powinna zawierać następujące elementy:
- przygotowanie, zaplanowane procedury testowe i kontrole – dokumentacja powinna zawierać metodę badania, dobór testów substantywnych i analitycznych, które dają nam wystarczające zapewnienie oraz dobór testów kontroli, które będę na tyle efektywne, że proces będzie można uznać za mało ryzykowny;
- szczegóły danych wejściowych i przetwarzania danych wyjściowych;
- listę odpowiednich parametrów lub kod źródłowy.
Dokumentacja dowodów audytowych powinna zawierać:
- uzyskane dane wyjściowe,
- ich analizę,
- ustalenia, wnioski, korekty lub zalecenia z audytu.
—Tomasz Diering