Ryzyko a badanie sprawozdania finansowego zgodnie z MSB

Biegli rewidenci zobowiązani są do przeprowadzania zgodnie z MSB badania wszystkich sprawozdań finansowych (sf) jednostek, których rok obrotowy kończy się 31.12.2017 r., bez względu na to, czy badanie jest przeprowadzane w imieniu firmy audytorskiej wykonującej badania lub przeglądy sf jzp, czy też na rzecz innych niż jzp jednostek[1].

Wymogi MSB w wielu przypadkach nie różnią się od regulacji dotychczas obowiązującego KSRF 1, jednak wiele zagadnień uregulowano w MSB odmiennie

i bardziej szczegółowo.

Jedną z głównych różnic jest podejście do identyfikacji i oceny ryzyka. Podejście przyjęte w KSRF 1, bazujące na starszej wersji MSRF, polegało na tzw. klasycznym podejściu do ryzyka badania, podczas gdy punktem wyjścia do jego oceny było sf. Natomiast przy badaniu przeprowadzanym wg MSB identyfikacja ryzyk rozpoczyna się wcześniej, tj. od rozpoznania ryzyk gospodarczych, na jakie narażona jest badana jednostka. W tym podejściu punkt wyjścia do oceny ryzyka stanowi poznanie środowiska, w jakim działa jednostka. Dodatkowo biegły rewident musi oddzielnie identyfikować i oceniać wpływ ryzyka oszustwa na badane sf (w KSRF 1 nacisk był położony głównie na wykrywanie nieprawidłowości spowodowanych błędami).

Ponadto MSB wymagają oceny ryzyka (a następnie reakcji na nie) na 2 poziomach – sf jako całości oraz poszczególnych stwierdzeń. W KSRF 1 przywiązywano mniejszą wagę do formalnego zaplanowania i udokumentowania ogólnej reakcji na ryzyko.

KSRF 1 nie zawierał też pojęcia tzw. ryzyka znaczącego, natomiast MSB przewidują szczególną reakcję na tego typu ryzyko. Wskazują też, że w przypadku każdego badania ryzykiem znaczącym może się okazać możliwość oszustwa w zakresie przychodów oraz obejście systemu kontroli wewnętrznej przez kierownictwo badanej jednostki.

Kolejna różnica między KSRF 1 a MSB to wstępne założenie o poziomie ryzyka istotnego zniekształcenia (dalej RIZ). Zgodnie z KSRF 1 wstępnie przyjmuje się, że poziomy ryzyka nieodłącznego i ryzyka kontroli są wysokie, co nie pozwala uznać systemu księgowości i kontroli wewnętrznej jednostki za godne zaufania. Ocena tego ryzyka jako średniego lub niskiego wymaga przekonania się, na podstawie badań zgodności, że pogląd taki jest uzasadniony. MSB nie zawierają wstępnego założenia/warunku co do wysokości poziomu ryzyka. Jednak wstępnie przyjęte inne poziomy ryzyka niż wysokie wymagają weryfikacji i udokumentowania jej wyników w trakcie dalszych prac rewizyjnych.

Istotna różnica między KSRF 1 a MSB dotyczy wreszcie relacji między istotnością a ryzykiem. KSRF 1 wskazuje, że istotność jest odwrotnie proporcjonalna do poziomu ryzyka badania. Zapis ten nie precyzuje, jakiego rodzaju istotności to dotyczy, można więc domniemywać, że chodzi o każdą istotność. Natomiast w myśl MSB istotność (ogólna) nie zależy od zmian poziomu ryzyka badania ani od oczekiwanego poziomu pewności opinii biegłego rewidenta wyrażanej w wyniku usługi atestacyjnej.

Badanie oparte na ryzyku i jego stosowanie w praktyce

Metoda badania przewidziana w MSB zakłada podejście oparte na identyfikacji i oszacowaniu ryzyk (że „coś mogło pójść źle”), a następnie dostosowaniu reakcji rewizyjnej do wyników szacunków, tzn. sprawdzeniu, czy rzeczywiście, do dnia zakończenia badania, ryzyka się zrealizowały i na skutek tego nastąpiło zniekształcenie sf.

W syntetyczny sposób przedstawia to model ORS[2] (Oszacowanie – Reakcja – Sprawozdawczość), zaproponowany przez Komitet Małych i Średnich Firm Audytorskich[3] i powszechnie przyjęty w polskiej praktyce rewizyjnej (wykres 1 na następnej stronie).

Model ten bywa także prezentowany w wersji rozbudowanej (wykres 2 na następnej stronie), zawierającej dodatkowe informacje o czynnościach i dokumentach wymaganych na każdym z przedstawionych etapów[4].

Wiele z tych działań przebiega równocześnie lub w sposób ciągły (np. czynności planowania powinny się rozpocząć na etapie podejmowania decyzji co do wykonania danego badania, natomiast aktualizacja planu badania następuje, w razie potrzeby, na dowolnym etapie badania). Niektóre działania mogą mieć charakter jednorazowy lub mogą nie wystąpić w przypadku badanej jednostki.

Identyfikacja i ocena ryzyka

Przy identyfikacji i ocenie ryzyka biegły rewident stosuje różne kategorie ryzyka szczegółowo przedstawione w MSB 200 Ogólne cele niezależnego biegłego rewidenta oraz przeprowadzanie badania zgodnie z Międzynarodowymi Standardami Badania oraz MSB 315 Identyfikacja i ocena ryzyka istotnego zniekształcenia dzięki zrozumieniu jednostki i jej otoczenia[5].

„Ryzyko gospodarcze” definiowane jest w MSB 315.4 jako wynikające z warunków, zdarzeń, okoliczności, działań lub zaniechań, które mogą znacząco ujemnie wpływać na zdolność jednostki do osiągania celów i realizowania jej strategii lub na niewłaściwe określenie celów i strategii. Pojęcie to jest szersze niż pojęcie „ryzyka wystąpienia istotnego zniekształcenia w badanym sf”.

Natomiast RIZ w myśl MSB 200.13 oznacza ryzyko, że sf uległo istotnym zniekształceniom przed badaniem. Składa się na nie ryzyko nieodłączne i ryzyko kontroli. Ryzyko to może występować na 2 poziomach – sf oraz stwierdzeń dotyczących grup transakcji, sald i ujawnień informacji.

Ryzyko nieodłączne (MSB 200.13) to podatność danego stwierdzenia, dotyczącego grupy transakcji, salda lub ujawnienia, na zniekształcenie, które osobno lub w powiązaniu z innymi zniekształceniami może być istotne, zanim uwzględni się jakiekolwiek działanie kontroli wewnętrznej.

Ten sam standard wskazuje, że ryzyko kontroli oznacza ryzyko wynikające z niemożności zapobiegnięcia bądź wykrycia i skorygowania na czas przez kontrolę wewnętrzną jednostki zniekształcenia mogącego wystąpić w stwierdzeniu dotyczącym grupy transakcji, salda lub ujawnienia, które osobno lub w powiązaniu z innymi zniekształceniami może być istotne.

MSB 315.4 objaśnia z kolei, że przez pojęcie „ryzyka znaczącego” rozumie się zidentyfikowane i ocenione RIZ, które wg osądu biegłego rewidenta wymaga szczególnego uwzględnienia podczas badania.

Oszacowanie ryzyka rozpoczyna się od identyfikacji ryzyk, na jakie narażona jest badana jednostka. Oddzielnej obserwacji wymagają czynniki ryzyka działalności gospodarczej i ryzyka oszustwa. Oszacowanie ryzyka działalności gospodarczej i reakcja na nie mogą się znacząco różnić od oszacowania ryzyka oszustwa i reakcji na nie[6].

Dalsze badanie powinno być ukierunkowane na obszary największego ryzyka i wykorzystywać koncepcję istotności, opartą na użyteczności informacji dla użytkownika sf.

Biegli rewidenci zazwyczaj rozpoczynają badanie od zapoznania się z sf jednostki. Pozwala to co prawda na poznanie skutków ryzyka, które może dotyczyć praktycznie każdej jednostki (np. ryzyko błędnej wyceny zapasów, niekompletności lub zawyżenia sprzedaży czy dokładności szacunków), może jednak prowadzić do nieprawidłowych wniosków w przypadku większego i bardziej rozległego ryzyka specyficznego dla danej jednostki. Takimi źródłami ryzyka mogą być np. niekorzystne tendencje rozwoju branży lub możliwość popełnienia błędu przez służby finansowo-księgowe – a więc czynniki, które mogą wpływać na wiele pozycji (obszarów) sf[7].

Dlatego też badanie w myśl MSB rozpoczyna rozpoznanie źródeł ryzyka, po czym w kolejnym etapie następuje kojarzenie tych źródeł z ich potencjalnymi skutkami dla sf. Przykładowo źródłem ryzyka może być spadek popytu na produkty badanej jednostki. Oczywistym zniekształceniem (efektem) w sf byłaby wycena zapasów. Błędem byłoby jednak poprzestanie na tym. Z tego źródła ryzyka mogą bowiem wynikać także inne potencjalne zniekształcenia, np. spadająca sprzedaż może doprowadzić do utraty premii przez dyrektora handlowego, zawarte w umowie o kredyt zobowiązania (tzw. kowenanty) mogą zostać naruszone lub pojawi się zagrożenie dla kontynuacji działalności.

Co więcej – to, co pozornie wydaje się zwykłym ryzykiem gospodarczym, może dla kogoś stanowić okazję lub bodziec do popełnienia oszustwa lub nadużycia (np. dla dyrektora handlowego, który nie otrzyma premii z powodu nieosiągnięcia planowanego poziomu sprzedaży).

Szerzej o rozpoznaniu i ocenie RIZ traktuje MSB 315. Już sam tytuł tego standardu (Identyfikacja i ocena ryzyka istotnego zniekształcenia dzięki zrozumieniu jednostki i jej otoczenia) wskazuje, że rozpoznanie ryzyka powinno nastąpić nie tylko dzięki zapoznaniu się z sf badanej jednostki, lecz także wymaga poznania jednostki jako całości i „filozofii” jej postępowania.

Sposób poznania jednostki jako całości i jej otoczenia, ułatwiający zidentyfikowanie potencjalnych źródeł ryzyka, przedstawia wykres 3.

Identyfikacja i ocena ryzyka obejmuje:

• poznanie i zrozumienie jednostki oraz środowiska, w którym działa, co pozwala na identyfikację źródeł (przyczyny, ryzyka), a następnie przeprowadzenie procedur oszacowania ryzyka,
• określenie możliwego wpływu zidentyfikowanych źródeł ryzyka na sf, w tym także możliwości oszustwa,
• ustalenie związków czynników ryzyka z obszarami sf i zawartymi w nim stwierdzeniami lub też ustalenie, że ryzyko to ma charakter ogólny i wpływa na sf jako całość oraz może wpływać na wiele stwierdzeń.

Poznanie badanej jednostki i środowiska, w jakim ona działa, jest podstawą opracowania strategii i planu badania. Wymaga to jednak uprzedniego przeprowadzenia procedur oceny ryzyka. Są one niezbędne dla identyfikacji i oceny ryzyka wystąpienia istotnego zniekształcenia w sf oraz odpowiedniego zaprojektowania i przeprowadzenia dalszych procedur badania. Nie wystarczają jednak do tego, aby zgromadzić dowody uzasadniające opinię biegłego rewidenta i wymagają uzupełnienia badaniami zgodności i wiarygodności. Niektóre z procedur muszą być obowiązkowo stosowane w toku każdego badania przeprowadzanego zgodnie z MSB (wykres 4).

Biegły rewident, kierując się zawodowym osądem oraz uwzględniając specyfikę badanej jednostki, samodzielnie określa najbardziej odpowiedni zestaw procedur wymagających zastosowania w danych okolicznościach.

Warto pamiętać, że w trakcie szacowania zidentyfikowanego ryzyka i określania jego znaczenia dla badania nie bierze się pod uwagę żadnych elementów kontroli wewnętrznej, które mogłyby minimalizować skutki ziszczenia się ryzyka.

Szczegółowe wskazówki i wytyczne dotyczące m.in. ryzyka badania, RIZ oraz ryzyka przeoczenia zawiera MSB 200.A32–A.43.

Ocena ryzyka a istotność

MSB wymagają uwzględnienia oraz udokumentowania – w toku badania – istotności oraz jej związku z ryzykiem badania. Znajomość tej wzajemnej relacji jest niezbędna do prawidłowego zaplanowania badania. Wpływa też na późniejsze czynności (w ramach reakcji na oszacowane ryzyko), kiedy to badaniem obejmowane są np. pozycje nietypowe lub przekraczające ustalone poziomy istotności[8]. Ważne jest przy tym, aby przy ustalaniu istotności uwzględnić nie tylko czynniki ilościowe (wyrażone kwotowo), ale także o charakterze jakościowym.

Odwrotna zależność między istotnością a ryzykiem nie dotyczy każdego rodzaju istotności[9]. Przykładowo biegły rewident nie powinien obniżać poziomu istotności (ogólnej), gdy chce utrzymać ryzyko badania na ustalonym wcześniej bezpiecznym poziomie. Istotność ta rzadko ulega zmianom, gdyż jest ustalana na podstawie oczekiwań użytkowników sf. Nie ulega więc zmianie w wyniku ujawnienia w trakcie badania zniekształceń czy też zmiany[10] wstępnie oszacowanych poziomów ryzyka. MSB wskazują jednak na potrzebę uwzględniania ryzyka i jego zmiany przy ustalaniu innych kategorii istotności. W odniesieniu do nich istotność i poziom ryzyka badania pozostają wobec siebie w zależności odwrotnej, tj. im wyższe RIZ, tym niższa istotność. Oznacza to, że biegły rewident, chcąc utrzymać ryzyko badania na niskim poziomie, musi ustalić niższy poziom istotności wykonawczej[11], a także dodatkowo ograniczyć ryzyko przeoczenia dzięki przeprowadzeniu dodatkowych testów zgodności lub modyfikacji rodzaju, czasu oraz rozszerzeniu zakresu planowanych badań wiarygodności.

Reakcja na oszacowane ryzyko

W celu utrzymania ryzyka badania na możliwym do zaakceptowania, niskim poziomie biegły rewident powinien określić swoją ogólną reakcję na ocenione przez siebie ryzyko badania sf, a następnie zaprojektować i przeprowadzić dalsze procedury badania, odpowiednie do ryzyka oszacowanego na poziomie stwierdzeń.

Przeprowadzając te działania, stosuje się następujące zasady[12]:

• każdorazowo wykonuje się procedury umożliwiające uzyskanie podstawy do oceny ryzyka (nieodłącznego i kontroli) na poziomie sf jako całości i poszczególnych zawartych w nim stwierdzeń,
• ogólne reakcje na ryzyko są skutkiem oszacowanego ryzyka istotnych zniekształceń na poziomie sf (wymagają one udokumentowania); do przykładowych procedur, będących reakcją na podwyższony poziom tego ryzyka, należą włączenie do badania większej liczby bardziej doświadczonych lub mających specjalne umiejętności pracowników czy skorzystanie z usług ekspertów (np. rzeczoznawcy majątkowego, aktuariusza, audytorów systemów informatycznych),
• reakcje szczegółowe na określone rodzaje ryzyka obejmują zastosowanie takich procedur, jak badania szczegółowe, procedury analityczne oraz ew. testy kontroli; wysiłek powinien być skierowany na obszary, które zdaniem biegłego rewidenta są obarczone największym ryzykiem; kluczowe znaczenie ma zaprojektowanie, a następnie przeprowadzenie kolejnych procedur badania, które zapewnią wyraźne powiązanie między ich rodzajem, czasem przeprowadzenia i zakresem a oszacowanym RIZ stwierdzeń,
• czas przeprowadzania procedur rewizyjnych i ich zakres mają istotne znaczenie dla skuteczności badania, jednak kluczowe znaczenie przy reagowaniu na oszacowane RIZ stwierdzeń ma rodzaj procedur; rodzaj procedur określa ich cel (bezpośrednie lub pośrednie zbadanie wiarygodności stwierdzeń, czyli inaczej badania wiarygodności lub badania zgodności) oraz sposób uzyskiwania dowodów rewizyjnych (np. inspekcja zapisów i dokumentów, inspekcja składników aktywów, obserwacja, zapytania, potwierdzenia, ponowne przeliczenie, ponowne przeprowadzenie procedur lub procedury analityczne),
• wykonanie testów kontroli (zgodności) jest obowiązkowe w przypadku, gdy same procedury badania wiarygodności nie umożliwiają uzyskania wystarczających i odpowiednich dowodów badania; może to np. dotyczyć kompletności przychodów ze sprzedaży, na którą składają się tysiące indywidualnie nieistotnych transakcji; podobnie dzieje się wówczas, gdy są stosowane wysoce zautomatyzowane procesy przetwarzania transakcji (np. sprzedaż internetowa), przy braku lub ograniczeniu procedur ręcznych; w praktyce testy kontroli są też nieodzowne dla rozpoznania obszarów, do których badania biegły rewident zamierza zastosować wyrywkową metodę wyboru pozycji do badania i uogólnić (tj. ekstrapolować) wyniki uzyskane tą drogą na cały zbiór,
• często biegły rewident łączy badania wiarygodności z wynikami badań zgodności (o ile w danym obszarze może skutecznie działać kontrola odpowiednia do oszacowanego ryzyka),
• przy każdym badaniu trzeba także przewidzieć pewne dodatkowe procedury wymagane przez MSB, jak np. MSB 240 Odpowiedzialność biegłego rewidenta podczas badania sprawozdań finansowych dotycząca oszustw lub MSB 250 Uwzględnienie prawa i regulacji podczas badania sprawozdań finansowych; nie wolno także pominąć procedur będących reakcją na „znaczące ryzyko”.