Аудиторський ризик та його експертно-аналітична оцінка

     Розвиток  аудиту за останніх двадцять-тридцять років обумовив виникнення нового підходу до проведення аудиторських перевірок. Цей підхід передбачає планування, розрахунок, уточнення й оцінку такого показника, як аудиторський ризик.

     Це  питання є дуже важливим у теорії аудиту, оскільки його окремо не розглядають і не виділяють в інших видах фінансово-господарського контролю.

     Про аудиторський ризик варто говорити тому, що висновки аудитора щодо достовірності фінансової звітності можуть бути помилковими. Завжди існує ймовірність того, що помилки або неточності, які суттєво можуть вплинути на господарську діяльність, у перевірених документах не знайдено і вчасно не виправлено. Як правило, ці помилки виявляють згодом персонал клієнта, інший аудитор або один із зовнішніх контрольних органів (податковий інспектор, контрольно-ревізійна служба та ін.).

     У зарубіжній науковій літературі з аудиту, яка сьогодні є основним джерелом інформації для вітчизняних аудиторів, використовують кілька термінів і понять, пов'язаних з різними аспектами ризику.

     Одним із найпопулярніших визначень суті сучасного аудиту є таке: «Аудит — це процес зменшення до прийнятного рівня інформаційного ризику для користувачів фінансових звітів» [9]. Це визначення містить одне з ключових понять - інформаційний ризик.

     Інформаційний ризик передбачає собою ймовірність  того, що у публічній фінансовій звітності підприємства (організації) містяться істотні помилки чи неточності. Цей ризик існує не для аудиторів, а для користувачів фінансової звітності — акціонерів, інвесторів, кредиторів, державних органів тощо, яких може ввести в оману недостовірна інформація. Інформаційний ризик не можна ототожнювати з аудиторським, бо він є лише стимулом для замовників аудиторських послуг, адже висновок аудиторів — це певна гарантія достовірності фінансових звітів підприємств.

     На  інформаційний ризик у ринкових умовах прямо впливає ризик підприємницької діяльності, який залежить від багатьох факторів: від законодавчої системи, податкової політики, конкуренції тощо. Цей ризик також прямо не пов'язаний з аудиторським і стосується конкретного підприємства чи організації.

     Тісніший  зв'язок з аудиторським ризиком має  ризик бізнесу аудитора (аудиторської фірми) — ймовірність того, що аудиторська фірма може зазнати збитків у процесі взаємодії з клієнтом, навіть якщо аудиторський висновок складено правильно. На ризик бізнесу впливають зовнішні щодо до суб'єкта перевірки фактори: недосконалість чинного законодавства, непорядність замовника, недостатня компетентність судових органів у господарському праві, фінансах та обліку.

     Таким чином, види ризиків, які розглянули беруть до уваги аудитори, але прямого  функціонального зв'язку з показником аудиторського ризику згадані види ризиків не мають.

     Аудиторський  ризик — це наслідок двох чинників: ризику того, що можуть бути суттєві помилки, а також того, що цих істотних помилок не виявлять [1]. У науковій економічній літературі згадані фактори поділяють на окремі складові частини, які утворюють загальну модель аудиторського ризику.

     Аналіз економічної літератури показує, що у зарубіжних і українських авторів нема єдиного підходу до визначення термінів, якими називають окремі елементи аудиторського ризику [8]. На мій погляд, доцільно дотримуватися однієї термінології, яка є найбільш уживаною і популярною у світі, а не знаходити нові назви для відомих понять.

     Переважна більшість зарубіжних економістів  погоджується з моделлю аудиторського  ризику, яку запропонувала AICPA (American Institute of Certified Public Accountants) , і описує її у такому вигляді:

     DAR=IRxCRxDR, де

     DAR — прийнятний аудиторський ризик  (Desired audit risk); IR — внутрішньогосподарський  ризик (Inherent risk); CR — ризик контролю (Control risk); DR — ризик невиявлення  (Detection risk).

     Прийнятний  аудиторський ризик (DAR) виражає міру готовності аудитора надати позитивний висновок без застережень за умови, що ймовірність існування суттєвих помилок у фінансовій звітності клієнта після проведення аудиту не перевищує величини DAR, яка може коливатися в межах від 0 до 1 (або від 0% до 100%). Практично аудитор завжди прагне мінімізувати значення DAR, оскільки високе значення цього показника загрожує фінансовими втратами у випадку конфлікту з клієнтом, а також падінням іміджу аудитора (аудиторської фірми).

     З прийнятним аудиторським ризиком тісно пов'язане поняття суттєвості (матеріальності) можливої помилки. В цьому питанні аудитори звичайно не використовують точних оцінок. Найчастіше вважають, що відхилення до 5% є незначним, а більше 10% — матеріальним [9].

     Внутрішньогосподарський ризик (IR) — це ризик того, що в реєстрах бухгалтерського обліку і відповідно у фінансовій звітності клієнта міститься недостовірна інформація.

     Ризик контролю (CR) — це ризик того, що система  внутрішнього контролю клієнта не може вчасно запобігти помилкам або знайти їх у обліку і звітності.

     Внутрішньогосподарський ризик і ризик контролю залежать насамперед від адміністрації і  персоналу клієнта. Тому аудитор  не може прямо впливати на рівень цих  показників і регулювати його через  використання тих чи інших аудиторських процедур та організаційних заходів під час перевірки.

     Американські  економісти Е.А. Аренс і Дж.К.Лоббек визначають чотири основні концепції, на яких базуються вивчення системи  внутрішнього контролю й оцінка ризику:

     1. Адміністрація, а не аудитор, повинна встановлювати систему контролю і забезпечувати її функціонування на підприємстві.

     2. Підприємство має розробити таку  систему внутрішнього контролю, яка б забезпечувала достатню  впевненість у тому, що фінансову  звітність представлено об'єктивно.

     3. Систему внутрішнього контролю  не можна розглядати як повністю  ефективну, якщо під час її  створення не було враховано  умови розробки й особливості майбутнього практичного застосування.

     4. Мета і завдання внутрішнього контролю не залежать від методів обробки інформації (автоматизованих чи ручних) [3].

     На  мою думку, перелічені вище концепції дають можливість зробити деякі висновки щодо основних правил, яких доцільно дотримуватися при вивченні системи внутрішнього контролю. По-перше, аудитор не відповідає за неточності, що виникають в обліку клієнта через помилки персоналу і недосконалість внутрішнього контролю. По-друге, аудитор повинен використовувати необхідні процедури, спрямовані на глибоке вивчення системи внутрішнього контролю незалежно від форми обліку і способів обробки інформації.

     Знання  цих правил дозволяє аудиторові правильно  планувати і спрямовувати свою роботу та чітко розподіляти сфери відповідальності аудиторської фірми й адміністрації підприємства-клієнта.

     Безпосередньо від аудитора залежить лише ризик невиявлення (DR), який є ризиком того, що помилки в обліку і звітності клієнта аудитор під час перевірки не виявить. Зменшення цього ризику можливе у разі отримання більшої кількості аудиторських доказів і ретельнішого дослідження обраних для перевірки джерел інформації.

     Деякі аудиторські фірми й окремі зарубіжні  автори ризик невиявлення поділяють  на два компоненти: ризик аналітичного огляду та ризик тестів оборотів [7]. Такий поділ обумовлено використанням у зарубіжній аудиторській практиці двох основних категорій тестів — аналітичного огляду і тестів оборотів. Але для вітчизняної практики такий підхід навряд чи є доцільним через те, що небагато вітчизняних аудиторів широко застосовують аналітичний огляд чи окремо виділяють його з інших дослідних процедур.

     Таким чином, завданнями аудитора в процесі  визначення аудиторського ризику є  правильна оцінка величини внутрішньогосподарського ризику і ризику контролю, а також  регулювання і вплив на цю величину ризику невиявлення.

     Якщо  розрахований рівень аудиторського ризику надто високий порівняно з припустимим, аудитор може відмовитися від подання аудиторського висновку або розробити комплекс заходів, спрямованих на зниження цього рівня. Такими заходами можуть бути відновлення обліку, детальне дослідження господарських операцій тощо.

     Для оцінки ризику зовнішнього контролю важливим є визначення факторів, що впливають на цей вид ризику. До таких факторів можна віднести час проведення зовнішнього контролю; зміну законодавства та інших нормативних актів; перелік перевірених показників; кваліфікацію (професійність) працівників зовнішнього контролю; види об'єктів обліку, що підлягали зовнішньому контролю тощо.

     Якщо  на підприємстві до проведення аудиту здійснювали зовнішній контроль, то очікуваний аудиторський ризик буде меншим, ніж у випадках, коли суб'єкт аудиту не підлягав таким перевіркам.

     Таким чином, змінивши позначення окремих  складників, модель аудиторського ризику можна подати у такому вигляді:

де: РН — ризик невиявлення;

АР —  загальний аудиторський ризик;

ВР —  внутрішньогосподарський ризик;

РВК— ризик внутрішнього контролю;

РЗК—  ризик зовнішнього контролю.

     Варто зауважити, що для наступних розрахунків  і аналізу значення загального аудиторського ризику розглядатиметься як константа і дорівнюватиме 1%, 5% або 10% (АР = 0.01; 0.05; 0.1). Запропонована методика розрахунку значень елементів аудиторського ризику, визначення тісноти зв'язку між елементами у моделі, а також впливу на результативний показник (РН) включає ряд етапів.

     Алгоритм  дослідження:

     1. Проведення анкетного опитування  експертів (аудиторів, ревізорів,  бухгалтерів тощо) з метою визначення переліку чинників, що можуть справляти суттєвий вплив на такі елементи моделі: на внутрішньогосподарський ризик (ВР), ризик внутрішнього контролю (РВК), ризик зовнішнього контролю. Уніфікація (лінгвістичне і змістове узгодження), об'єднання близьких за змістом 
факторів в один і виключення дублювання чинників. Ранжування вибраних факторів за кількістю поданих голосів експертів і відбір найсуттєвіших.

     2. Проведення експертної оцінки  вагомості кожного чинника у  часткових моделях оцінки ВР, РВК і РЗК (у відсотках, балах).

     3. Складання робочих таблиць-анкет  із внутрішньогосподарського ризику, ризиків внутрішнього і зовнішнього контролю.

     4. Заповнення робочих таблиць у  процесі аудиторського обстеження 
об'єкта перевірки і розрахування фактичної величини ВР, РВК, РЗК.

     5.Підставляння  розрахованих значень ВР, РВК,  РЗК у формулу (3.3) і визначення величини ризику невиявлення РН (за значення АР = 0.01; 0.05; 0.1 або інших).

     На  першому етапі було спеціально відібрано  групу з 20 експертів. Методом «мозкової атаки» визначено групи факторів, які справляють найбільший вплив на внутрішньогосподарський ризик, ризики внутрішнього і зовнішнього контролю. Варто зауважити, що на практиці вибір основних факторів часто здійснюють суб'єктивно, тобто на основі досвіду одного аудитора без застосування кількісних та якісних критеріїв оцінки. Під час проведення «мозкової атаки» бажано виділяти тільки суттєві чинники, а також однозначно формулювати близькі за змістом назви. Коли окремі фактори впливають на два чи три ризики водночас (наприклад, кваліфікація персоналу), їх варто розрізняти, оскільки це може бути кваліфікація різних працівників із різних підрозділів і служб - працівників бухгалтерії, внутрішнього аудиту тощо.

     Отриманий перелік факторів систематизуємо у  спеціальних таблицях за видами ризику, після визначення кількості поданих  експертами голосів за кожен чинник.

     Таким чином, для того, щоб визначити, які  фактори можна визнати суттєвими, а які — ні, кількість голосів експертів, поданих за той чи інший фактор порівнюють з мінімальною кількістю голосів, що їх повинен був набрати певний фактор для позитивної оцінки.

     Наступний етап включає дослідження і експертну  оцінку вагомості обраних факторів, яку здійснюємо за кожним фактором у балах таким чином, щоб сума балів усіх факторів дорівнювала 100. Потім розраховуємо середню оцінку (в балах) і визначаємо коефіцієнт вагомості Кв(і) для кожного фактора, що впливає на ВР, РВК і РЗК. Підсумки узагальнюємо у таблицях.

     На  основі експертної оцінки вибраних факторів впливу на ВР, РВК і РЗК було отримано такі результати.

     Експертне дослідження показало, що найважливішими факторами, які впливають на внутрішньогосподарський ризик (ВР) є: система оподаткування і можливість проникнення нелегального бізнесу (17.1%); професійність і чесність адміністрації (12.3%); законодавчі й нормативні акти, що регулюють основні види діяльності клієнта (11.6%); характер бізнесу клієнта (10.4%); економічна ситуація на підприємстві і в галузі (9.3%).