Використання комп'ютерiв в аудитi

Змiст Параграфи

------------------------------------------------------------------

|Вступ 1-3 |

|Опис методiв аудиту за допомогою комп'ютера (МАСК) 4-6 |

|Використання МАСК 7-23 |

|Використання МАСК на невеликих пiдприємствах 24 |

------------------------------------------------------------------

Вступ

1. Мета i галузь дiяльностi аудитора не змiнюються, коли мова iде про перевiрку середовища електронної обробки даних (ЕОД). Однак, прикладна програма може поставити аудитора перед необхiднiстю використання комп'ютера як засобу контролю. Цi рiзноманiтнi варiанти використання комп'ютера вiдомi як "Методи Аудиту при Сприяннi Комп'ютера (МАСК)".

2. Метою цього нормативу є забезпечення використання керiвництвом МАСК. Цi методи можна використовувати iз залученням всiх вiдомих типiв i конфiгурацiй комп'ютерiв.

3. Необхiднiсть використання МАСК виникає з тих обставин, коли вiдсутнi вхiднi документи i неможливо простежити повний хiд операцiй (контрольний слiд), а також тодi, коли ефективнiсть аудиту можна значно полiпшити використанням спецiальної комп'ютерної аудиторської програми.

Опис методiв аудиту за допомогою комп'ютера (МАСК)

4. Цей норматив описує два найзагальнiших методи - програмне забезпечення контролю i данi тесту, якi використовуються для забезпечення завдань контролю. Вимоги цього нормативу, можна використовувати для всiх типiв МАСК.

Програмне забезпечення контролю (ПЗК)

5. ПЗК складається з комп'ютерних програм, якi використовуються аудитором як частина процедур перевiрки, котрi обробляють данi контрольних тестiв системи облiку об'єкту аудиту. ПЗК може являти собою пакет програм, або окремi програми i утилiти. Незалежно вiд джерела виникнення ПЗК, аудитор повинен довести можливiсть їх використання для проведення перевiрки. ПЗК може бути пiдготовлене безпосередньо аудитором, написане залученим до цiєї роботи програмiстом. Програми можуть використовуватися як високоефективний рахiвний iнструмент. До програм можна вносити змiни вiдповiдно до вимог, якi виникають з особливостей облiку клiєнта. При плануваннi аудиту необхiдно розглянути можливiсть комбiнування ручного аналiзу даних з обробкою на ПЗК. Утилiти використовуються для того, щоб виконати загальнi функцiї обробки даних, сортування, створення i виводу файлiв на друк.

Тестування даних

6. Перевiрка методом тестування даних використовується пiд час проведення процедур контролю, отриману вибiрку даних вводять у комп'ютерну систему клiєнта i порiвнюють з її результатами: данi тесту, якi використовуються для перевiрки специфiчних засобiв управлiння в комп'ютерних програмах щодо типу iнтерактивного паролю i доступу до даних; на шляху операцiй тесту використовується "фiктивний" модуль (наприклад вiддiл або службова особа), дiї цього модуля визначенi, результати порiвнюються з проходженням даних через аналогiчний модуль програми клiєнта. У тому випадку, коли контрольнi данi обробляються разом з реальними даними клiєнта, аудитор повинен бути впевненим, що пiсля завершення тестування всi контрольнi записи будуть вилученi з реального розрахунку клiєнта.

Використання МАСК

7. Використання ПЗК може обмежуватися тестуванням окремих роздiлiв, або прослiдкуванням шляху однiєї суми, а може включати процедури, пов'язанi з побудовою бухгалтерського балансу клiєнта. МАСК може використовуватися для виконання рiзноманiтних процедур перевiрки, включаючи:

тестування подробиць обробки iнформацiї в системi облiку клiєнта;

аналiтичний огляд процедур для виявлення незвичайних випадкiв;

доступ до файлiв даних i бiблiотек;

тести на вiдповiднiсть програмних засобiв i систем управлiння та облiку.

7.1. Ефективнiсть аудиту має пiдвищитися за допомогою МАСК з точки зору отримання найкращих доказiв.

8. Пiд час планування перевiрки аудитор мусить розглянути вiдповiдну комбiнацiю органiзацiї i методiв аудиту при сприяннi комп'ютера. Необхiдно врахувати фактори, що впливають на прийняття рiшень при використаннi комп'ютера, а саме:

знання комп'ютера, квалiфiкацiя i досвiд аудитора, сумiснiсть МАСК i технiчних засобiв, на котрих Програмне забезпечення буде функцiонувати; ефективнiсть;

синхронiзацiя у часi.

Знання комп'ютера, квалiфiкацiя i досвiд аудитора

9. Коли аудитор починає аудит у середовищi ЕОД, вiн повинен мати необхiднi навички i досвiд роботи з технiкою, яка виконує пiдрахунки, або повинен залучити до роботи спецiалiста i делегувати йому частину своїх функцiй. Аудитор повинен знати ЕОД, щоб спланувати, виконати i використувати результати МАСК. Рiвень необхiдних знань залежить вiд складностi i конфiгурацiї конкретного методу аудиту i програмного забезпечення контролю, а також системи облiку клiєнта. Аудитор мусить розумiти, що використання МАСК за конкретних обставин може вимагати вiд нього значно бiльшого рiвня знань комп'ютера i навичок роботи на ньому.

Сумiснiсть МАСК i технiчних засобiв, на котрих вони будуть функцiонувати

10. Аудитору слiд проаналiзувати вiдповiднiсть МАСК засобам обслуговування комп'ютера i необхiдним автоматизованим системам бухгалтерського облiку, а також картотекам. Аудитор може планувати використання iнших засобiв в обслуговуваннi комп'ютера в тому разi, коли виконання роботи з використанням МАСК на комп'ютернiй технiцi клiєнта буде неефективним, надто дорогим i непрактичним, наприклад, через несумiсностi з операцiйною системою.

11. Може виникнути необхiднiсть у використаннi допомоги персоналу клiєнта для забезпечення роботи технiчних засобiв в найсприятливiший для аудитора час, завантаженню i запуску пакетiв програм МАСК на комп'ютерах клiєнта, забезпеченню копiй даних у формi, яка необхiдна аудитору.

Труднощi аналiзу без використання комп'ютерiв

12. Значна бiльшiсть комп'ютеризованих систем бухгалтерського облiку виконує дiї, котрi неможливо вiзуально прослiдкувати, тобто документально засвiдчити цi дiї не має можливостi. Недолiки дослiдження системи без використання комп'ютерiв проявляються, наприклад, у випадках, коли: не iснує вхiдного документу, тобто операцiя здiйснена в дiалоговому режимi, крiм того, розрахунок сум по сплатi вiдсоткiв може бути здiйснений, виходячи з вимог алгоритму, без можливостi побачити процедуру розрахунку; система не може показати контрольний слiд операцiй, оброблених тiльки на комп'ютерi; перевiрки кредитоспроможностi клiєнта можуть бути зробленi тiльки шляхом виключення, в такiй ситуацiї не може залишитися жодного свiдчення, що всi операцiї були обробленi; вихiдна iнформацiя може складатися тiльки з пiдсумкової загальної кiлькостi, в той час як деталi зберiгаються в пам'ятi комп'ютера.

Ефективнiсть

13. Ефективнiсть аналiтичних процедур може бути полiпшена при використаннi МАСК з точки зору отримання i оцiнки контрольного доказу, наприклад, деякi операцiї можуть бути перевiренi бiльш детально i ефективно, тому що при використаннi комп'ютера можна охопити бiльший розмiр вибiрки, нiж при звичайному аналiзi; пiд час аналiтичних процедур можна проаналiзувати ефективнiше, нiж ручним методом, результати операцiй у звiтах i незвичайнi величини; використання МАСК дає можливiсть бiльш ефективного проведення додаткових незалежних процедур перевiрки для отримання необхiдної оцiнки засобiв управлiння i контролю.

14. Пiд ефективнiстю необхiдно розумiти наступне: час, який використовується для процесу планування, розробки, виконання i оцiнки МАСК, технiчний огляд i допомога в скороченнi термiнiв виконання робiт, проектування i друк форм, установка контролю доступу i перевiрка вводу даних, час роботи програми; в оцiнцi ефективностi МАСК необхiдно врахувати доцiльнiсть корисного використання ПЗК, iншими словами, наскiльки можна в подальшому зменшити витраченi кошти i час на проектування i розробку МАСК, що позитивно вплине на процес аудиту.

Синхронiзацiя

15. Деякi комп'ютернi файли зберiгаються тiльки на протязi короткого часу i не можуть бути доступнi у разi першої необхiдностi. Тому аудитор повинен вжити необхiдних заходiв для збереження в пам'ятi комп'ютера даних, якi, можливо, знадобляться йому в майбутньому, або вiн повинен буде змiнити час звернення до клiєнта для отримання тiєї, чи iншої iнформацiї.

16. У ситуацiях, коли час перевiрки обмежений, аудитору доцiльно планувати використання МАСК, оскiльки це скорочує тимчасовi витрати у порiвняннi iз звичайними методами огляду i аналiзу.

17. Основнi дiї аудитора при використаннi прикладної програми МАСК:

а) Визначення мети прикладної програми;

б) Визначення змiсту i доступностi файлiв об'єкту аудиту;

в) Визначення типiв операцiй i шляхiв, котрi необхiдно перевiрити;

г) Визначення аудиторських процедур у системi програми;

д) Визначення розподiлу обов'язкiв мiж комп'ютерним персоналом та керiвництвом;

е) Зiставлення вигiдностi вiд використання ПЗК з витратами на її впровадження;

є) Оцiнка рiвня впевненостi, що ПЗК будуть правильно оформленi i необхiдним чином зафiксованi i зареєстрованi;

ж) Визначення дефiциту в комп'ютернiй технiцi i вмiння користуватися нею;

з) Використання функцiй програми i оцiнка отриманих результатiв.

18. Аудитор повинен керувати процесом використання програми МАСК. Таке керiвництво забезпечить правильне виконання процедур програми, допоможе виключити спiвробiтникiв клiєнта в управлiннi МАСК. Специфiка роботи з прикладною програмою МАСК буде залежати вiд параметрiв i властивостей самої програми, тому аудитору необхiдно: ухвалити технiчнi моменти i виконати огляд роботи, за використанням МАСК; зробити огляд засобiв керування системою ЕОД пiдприємства, наприклад можливiсть внесення виправлень у систему програми i доступ до бази даних. Якщо аудитора не задовольняє органiзацiя робочого мiсця при використаннi комп'ютера клiєнта, вiн має право проводити обробку iнформацiї за допомогою МАСК на iншому бiльш придатному для поставленої мети комп'ютерi; слiд гарантувати вiдповiдну iнтеграцiю та iмплементацiю висновкiв аудитора в процесi контролю.

19. Процедури, якi виконуються аудитором для управлiння контрольними прикладними програмами, можуть включати:

а) Участь у проектi i тестуваннi комп'ютерних програм;

б) Отримання гарантiї того, що програма працює у вiдповiдностi з деталiзованою спецiалiзацiєю;

в) Перевiрку вiдповiдностi конфiгурацiї комп'ютера клiєнта вимогам установки ПЗК;

г) Перевiрку програми на невеликих тестових файлах перед запуском в основну роботу;

д) Перевiрку можливостi обробки ПЗК необхiдного обсягу i кiлькостi iнформацiї;

е) Перевiрку правильностi функцiонування ПЗК - адекватнiсть iнформацiї вводу-виводу;

є) Органiзацiю вiдповiдного контролю за доступом до ПЗК, який виключає несанкцiонований доступ i манiпуляцiю даними.

19.1 Необов'язкова постiйна присутнiсть аудитора пiд час управлiння програмою МАСК, однак вiн повинен гарантувати виконання необхiдних процедур аудиту. Щоправда, така присутнiсть бажана, тому що вона може забезпечити практичну вигоду, тобто можливiсть своєчасно зреагувати на несподiваний результат, змiнити данi помилкового прикладу, виправити неправильний вхiдний файл та iн.

20. Процедури, якi виконуються аудитором для управлiння прикладними програмами, можуть включати:

а) управлiння послiдовнiстю подачi тесту там, де це стосується обробки декiлькох циклiв;

б) виконання тесту спочатку на малiй кiлькостi даних, а потiм запуск програми з повним набором даних;

г) пiдтвердження того, що для обробки даних використовувалася ефективна версiя ПЗК;

д) забезпечення використання ПЗК для обробки даних у вiдповiдний термiн i в контрольних точках, якi мають суттєвий розмiр.

21. Використовуючи МАСК, аудитор може визнати за необхiдне залучення спiвробiтника клiєнта, який працює за комп'ютерним фахом. В такому випадку аудитор мусить впевнитися в тому, що не iснує можливостi втручання в роботу ПЗК з боку спiвробiтника клiєнта i як наслiдок не буде впливу на результати тестування.

Документацiя

22. Стандарти робочих документiв i процедур для МАСК повиннi вiдповiдати документам i процедурам аудиторської перевiрки в цiлому. Технiчну документацiю по МАСК необхiдно тримати окремо вiд iнших робочих документiв аудитора.

23. Робоча документацiя на ПЗК МАСК повинна включати таку кiлькiсть iнформацiї, щоб аудитор мав змогу описати свою прикладну програму, в тому числi iнформацiю про:

мету, специфiку МАСК, засоби управлiння МАСК, укомплектування персоналом, її синхронiзацiю i вартiсть; виконання, пiдготовку i проведення процедур тестування i оцiнку засобiв управлiння; деталi i подробицi тестiв, якi виконує МАСК; деталi i подробицi висновку, обробку i вивiд iнформацiї; технiчну iнформацiю стосовно системи облiку клiєнта, типу i конфiгурацiї комп'ютера; контрольний доказ висновку; опис роботи контролю програми, висновки про контроль; про внутрiшню систему контролю пiдприємством.

Крiм того, може бути корисним надання пропозицiй щодо використання ПЗК МАСК у подальших перевiрках.

Використання МАСК на невеликих пiдприємствах

24. Загальнi принципи, якi описанi в цьому нормативi, можуть використовуватися в системах ЕОД невеликих пiдприємств. Однак, необхiдно мати на увазi наступне:

а) рiвень загальних засобiв управлiння системою ЕОД може бути таким, що аудитор оцiнить ризик системи внутрiшнього контролю як високий, що потягне за собою:

бiльше акцентування на деталях операцiй i шляхiв, аналiтичних процедур, котрi збiльшують ефективнiсть МАСК, особливо в частинi перевiрки програмного забезпечення;

використання прикладної програми тестування контрольних процедур для перевiрки правильностi їх функцiонування i даних у системi облiку клiєнта.

б) При невеликих обсягах даних ефективнiшими можуть бути методи обробки даних без використання комп'ютера.

в) Можна не отримати адекватної технiчної допомоги вiд клiєнта, що зробить неефективним використання МАСК.

г) Деякi програми контролю не зможуть функцiонувати при використаннi комп'ютерiв старого поколiння, таким чином вибiр засобiв МАСК може бути обмежений. У цiй ситуацiї можна зробити копiю таких файлiв i обробити цю iнформацiю поза межами офiсу клiєнта на комп'ютерi аудитора.