Sporządzanie e-sprawozdań finansowych oraz e-sprawozdań biegłego rewidenta z badania – wybrane zagadnienia

Od 1.10.2018 r. obowiązuje wymóg sporządzania sprawozdania finansowego (sf)[1] w postaci elektronicznej oraz jego składania drogą elektroniczną do KRS. Zmianie uległa także uobr, obligując firmy audytorskie do wydawania sprawozdania z badania (szb) w postaci elektronicznej. Są to zmiany idące z duchem czasu, mogące się przyczynić do bardziej efektywnego wykorzystania sf i szb przez ich użytkowników. Jednak wiążą się z nimi nowe, niewystępujące dotychczas ryzyka.

Odpowiedzią biegłego rewidenta na te ryzyka powinno być m.in. odpowiednie dostosowanie do nich procedur badania, a także przygotowanie narzędzi pomocnych w pracach rewizyjnych w nowych warunkach. Może to być trudne, gdyż stosowanie nowo wprowadzonych regulacji budzi wątpliwości, powodujące dodatkowe ryzyko po stronie biegłego rewidenta badającego sf.

W artykule przedstawiono niektóre zagadnienia i ryzyka związane z badaniem sf oraz wydawaniem przez biegłego rewidenta szb w postaci elektronicznej.

Podpis elektroniczny i podpis zaufany

Sporządzone w formie elektronicznej sf opatruje się kwalifikowanymi podpisami elektronicznymi lub podpisami zaufanymi (dawniej ePUAP) osoby sporządzającej sf i kierownika jednostki (wszystkich członków zarządu). Natomiast wymaganą prawnie formą podpisu szb przez biegłego rewidenta jest wyłącznie kwalifikowany podpis elektroniczny – nie ma możliwości stosowania podpisu zaufanego.

Kwalifikowany podpis elektroniczny można nabyć u jednego z 5 dostawców krajowych (ich lista znajduje się na stronie internetowej Narodowego Centrum Certyfikacji[2]), jak również u innego dostawcy z UE, pod warunkiem że podpis ten spełnia wymogi rozporządzenia eIDAS[3].

Kwalifikowany podpis elektroniczny zawiera dane identyfikujące jego właściciela. Przeważnie jest to PESEL, najczęściej sugerowany przez dostawców, a więc informacja co do zasady „wrażliwa” (zawiera także dane o dacie urodzenia). Może być on odczytany podczas weryfikacji podpisu kwalifikowanego przez użytkowników sf lub szb, a jest to w zasadzie nieograniczony krąg osób, biorąc pod uwagę powszechną dostępność sf i szb zamieszczonych w repozytorium dokumentów finansowych KRS.

Nabywca podpisu kwalifikowanego może jednak zamiast PESEL wybrać NIP (należy wtedy przedstawić potwierdzenie z US nadania takiego numeru) lub numer dowodu osobistego. W razie zmiany dowodu będzie konieczny zakup nowego podpisu kwalifikowanego.

Trzeba przy tym odróżnić podpisywanie sf od podpisywania zgłoszenia sf[4] i innych towarzyszących mu dokumentów finansowych do repozytorium dokumentów finansowych w KRS. Złożenie tych dokumentów w KRS wymaga uwierzytelnienia podpisem kwalifikowanym (tylko z identyfikatorem subskrybenta zawierającym PESEL), zaufanym bądź osobistym, przez co najmniej jedną osobę uprawnioną do reprezentacji podmiotu[6].

Jeśli chodzi o podpis zaufany, to do jego uzyskania w każdym przypadku wymagany jest PESEL. Profil zaufany zawiera dane osobowe, takie jak imię, drugie imię, nazwisko oraz PESEL. W razie jakiejkolwiek zmiany tych danych profil zaufany i podpisy, które składa się za jego pomocą, są nieważne. Oznacza to, że gdy dane te się zmieniły, należy każdorazowo unieważnić swój obecny profil i złożyć wniosek o nowy z aktualnymi danymi[6].

Z uwagi na brak szczegółowych regulacji ustawowych, w praktyce mogą się pojawić wątpliwości, jakie skutki prawne wywołuje podpisanie sf lub odpowiednio szb:

• podpisem elektronicznym niespełniającym wymogów rozporządzenia eIDAS,
• podpisem zaufanym, zawierającym nieaktualne dane.

Podpisywanie sf i szb podpisem kwalifikowanym a znakowanie czasem

U or wymaga podpisywania sf i szb podpisem elektronicznym. W przypadku podpisywania sf – zarówno podpisami zaufanymi, jak i kwalifikowanymi – ważna jest kolejność składania podpisów. Podpis zaufany (ePUAP) zapisywany jest wewnątrz pliku XML, zmieniając tym samym jego strukturę. Dlatego najpierw składa się podpisy zaufane (modyfikujące strukturę pliku), a następnie kwalifikowane (niepowodujące modyfikacji pliku). W przypadku odwrotnej kolejności weryfikacja prawidłowości złożonego podpisu kwalifikowanego da wynik negatywny.

Nie ma natomiast wymogu, aby sf i szd były znakowane czasem, co polega na elektronicznym potwierdzeniu, wiążącym dany dokument z datą. Czas wskazany w znaczniku czasu pochodzi z wiarygodnego źródła, gdyż nie da się go modyfikować, a dodatkowo potwierdza istnienie dokumentu we wskazanym momencie.

W przypadku składania samego podpisu elektronicznego, bez znacznika czasu, data podpisu jest pobierana z ustawień systemowych komputera, na którym jest on składany. Stwarza to dla biegłego rewidenta ryzyko – przy weryfikacji kompletności podpisów – że np. wskazana data podpisania sf przez kierownika jednostki może być wcześniejsza niż data utworzenia podpisywanego pliku. Informacje te mogą być zawarte w tzw. metadanych pliku, a tym samym wskazywać na możliwe naruszenie prawa, co zobowiązuje biegłego rewidenta do działań opisanych w KSB, np. KSB 240 Odpowiedzialność biegłego rewidenta podczas badania sprawozdań finansowych dotycząca oszustw.

Weryfikacja prawidłowości podpisów złożonych na sf i szb

Do składania podpisu elektronicznego na sf lub szb stosuje się specjalistyczne programy, dostarczane przeważnie wraz z zestawem do składania podpisu kwalifikowanego. Zawierają one także funkcje pozwalające na zweryfikowanie poprawności złożonego podpisu, np. przez kierownika badanej jednostki – na sf, lub przez kluczowego biegłego rewidenta – na szb. Prawidłowość i kompletność podpisów na sf oraz szb jest bardzo ważna, bo warunkuje m.in. moc prawną tych dokumentów. Dlatego procedury badania powinny obejmować także to zagadnienie. Kwestia jest jednak złożona.

Weryfikację prawidłowości złożonego podpisu powinien, co do zasady, umożliwiać każdy program do składania podpisów kwalifikowanych, niezależnie od tego, czy jest on udostępniony przez dostawcę podpisu elektronicznego, którym podpisano dane sf, czy przez innego dostawcę. W praktyce jednak niekiedy się zdarza, że podpis elektroniczny zakupiony u jednego dostawcy zostaje bezzasadnie zweryfikowany jako nieprawidłowy w programie innego[7]. Dlatego wydaje się wskazane, aby od badanej jednostki uzyskiwać nie tylko sf w postaci elektronicznej, lecz także tzw. raport złożonych podpisów, zwłaszcza że każdy program do składania podpisów elektronicznych umożliwia sporządzenie i zapisanie takiego raportu w formie pliku. W dokumencie tym jest m.in. zamieszczona informacja o programie, w którym zostały złożone podpisy elektroniczne, co umożliwia biegłemu rewidentowi samodzielne zweryfikowanie prawidłowości podpisów złożonych na sf.

Sytuacja się komplikuje, gdy część podpisów na sf zostaje złożona za pomocą podpisu kwalifikowanego, a część – zaufanego. Programy do weryfikacji podpisów kwalifikowanych nie pozwalają na weryfikację poprawności podpisu zaufanego (i odwrotnie). Weryfikacja podpisów zaufanych jest możliwa za pomocą specjalnie opracowanego i udostępnionego walidatora[8], a podpisów kwalifikowanych – za pomocą programu do składania podpisu elektronicznego. Można też skorzystać ze stron internetowych przeznaczonych do weryfikacji podpisów kwalifikowanych i zaufanych. Usługi te świadczą nieodpłatnie dostawcy usług zaufania, wpisani na listę NBP[9].

Choć struktury logiczne takiego wymogu nie zawierają, zasadne wydaje się też wskazanie w informacji dodatkowej (np. w dodatkowych informacjach i objaśnieniach) osób, które podpisały sf, tj. danych osób wchodzących w skład zarządu jednostki, oraz osoby, której powierzono prowadzenie ksiąg rachunkowych. Informacja o podpisujących sf jest szczególnie istotna, gdy prowadzenie ksiąg powierzono osobie będącej członkiem zarządu. Podpis na sf jest wtedy składany przez tę osobę tylko raz, co może być błędnie uznane za niekompletność złożonych na sf podpisów.

Sporządzanie i podpisywanie szb

Sprawozdania z badania sf sporządzonych przez jednostki wpisane do rejestru przedsiębiorców KRS sporządza się obecnie i przekazuje w postaci elektronicznej badanej jednostce[10]. Papierowy wydruk szb sporządzonego w postaci elektronicznej jest tylko jego kopią, nie zaś oryginałem. Od badanej jednostki zależy natomiast, czy swoim organom (np. radzie nadzorczej, zgromadzeniu wspólników) przekaże szb zarówno w formie elektronicznej, jak i – dodatkowo – papierowej.

W przepisach nie wskazano formatu pliku, w jakim powinny być sporządzane szb, a zatem może to być dowolny format (np. DOCX, PDF). Najlepszym rozwiązaniem wydaje się stosowanie formatu PDF, umożliwia bowiem podpisanie szb podpisem elektronicznym w formacie PAdES. Dzięki temu można m.in. dodawać tzw. graficzny symbol podpisu (np. na końcu szb), co powoduje, że w dokumencie podpis elektroniczny jest widoczny w formie prostokąta z danymi o osobie składającej oraz dacie i czasie jego złożenia[11], informując czytelnika w sposób jasny i czytelny o tożsamości kluczowego biegłego rewidenta oraz dacie podpisania szb. Podpisanie pliku o in-nym formacie, np. DOCX, nie umożliwia takiej wizualizacji podpisu elektronicznego.

Ważnym zagadnieniem jest odpowiedzialność kluczowego biegłego rewidenta za tożsamość zbadanego sf, upublicznionego przez badaną jednostkę. Dotychczas powszechnie stosowanym rozwiązaniem przy sporządzaniu szb w formie papierowej było dołączanie do niego – jako jednego z załączników – sf badanej jednostki. Rozwiązanie to jest możliwe również w odniesieniu do szb sporządzonego w pliku w formacie PDF (wiodące programy komputerowe do tworzenia i modyfikacji dokumentów PDF umożliwiają dodawanie załączników, np. podpisanego elektronicznie sf czy sprawozdania z działalności jednostki)[12].

Wydaje się jednak, że kluczowy biegły rewident nie ma obowiązku ani możliwości technicznych, aby podejmować nadzwyczajne kroki w tym zakresie. Bezwzględnie w aktach badania powinien posiadać ostateczne (i prawidłowo podpisane elektronicznie) sf w formie pliku. Biegły może także zażądać zamieszczenia odpowiedniego akapitu w oświadczeniu kierownika badanej jednostki, wskazującego aktualny skład osobowy jej zarządu, datę i czas złożonych przez nich na sf podpisów elektronicznych oraz stwierdzenie, że jest to ostateczna wersja sf. Zasadne wydaje się również podanie w oświadczeniu kierownika jednostki danych osoby odpowiedzialnej za prowadzenie ksiąg rachunkowych.

Data sporządzenia sf

Kolejne wątpliwości budzi wymóg podawania w sf daty jego sporządzenia. Uor wymaga wyłącznie podania daty podpisania sf przez kierownika jednostki (poszczególnych członków zarządu) oraz osobę, której powierzono prowadzenie ksiąg rachunkowych. Jednak struktury logiczne, zamieszczone w BIP na stronie internetowej Ministerstwa Finansów, zawierają obligatoryjne pole „DataSporzadzenia”[13].

Wątpliwości pojawiają się, gdy data sporządzenia sf oraz daty jego podpisania przez poszczególnych członków zarządu i osobę sporządzającą sf się różnią. Moim zdaniem sf do czasu jego podpisania przez wszystkie zobowiązane do tego osoby stanowi wewnętrzny dokument jednostki.

Na marginesie: jest to tylko jeden z przykładów, gdy wymogi w zakresie ujawnień, określone w strukturach logicznych, przez wskazane pola obowiązkowe, są szersze od przewidzianych w uor (pomijam tu pola fakultatywne – opcjonalne).

Następna wątpliwość: kiedy sf uznaje się za podpisane – po złożeniu przez członka zarządu pierwszego czy ostatniego podpisu[14]? Z ogólnych zasad wynika, że ostatniego.

Wątpliwości budzi też wykładnia art. 52 uor, która nakłada na kierownika jednostki obowiązek zapewnienia terminowego sporządzenia sf i przedstawienia go właściwym organom w formie prawnie obowiązującej, tj. w postaci elektronicznej, opatrzonej podpisami elektronicznymi osoby, której powierzono prowadzenie ksiąg rachunkowych, i kierownika jednostki (całego zarządu). Niedopełnienie tego obowiązku grozi odpowiedzialnością karną (art. 77 pkt 2 i art. 79 uor). Kierownik jednostki jest bowiem odpowiedzialny za stworzenie właściwych warunków organizacyjnych, by sf zostało sporządzone nie później niż w ciągu 3 mies. od dnia bilansowego.

Jeżeli w trakcie badania sf zostaną ujawnione zdarzenia mające istotny wpływ na nie, jednostka – na mocy art. 54 ust. 1 uor – ma obowiązek odpowiednio zmienić sf, dokonując jednocześnie odpowiednich zapisów w księgach rachunkowych roku obrotowego, którego sf dotyczy. Oznacza to, że musi ponownie sporządzić roczne sf, tzw. jego drugą wersję. Jeżeli badanie sf zostało przeprowadzone np. w kwietniu, to druga wersja sf za dany rok obrotowy, uwzględniająca korekty zgłoszone przez biegłego rewidenta badającego roczne sf jednostki, powinna mieć datę okresu, w którym to badanie zakończono (i oczywiście nie późniejszą od daty szb).

Oświadczenie o odmowie podpisania sf

Członek zarządu – jak wiadomo – ma prawo odmówić podpisania sf. Jednak regulacje obowiązujące od 1.10.2018 r. nie wymagają elektronicznej formy złożenia odmowy podpisu sf, o której mowa w art. 52 ust. 2 uor (odmowa podpisu wymaga pisemnego uzasadnienia dołączonego do sf). Z uwagi na fakt, że sf ma postać elektroniczną, odmowa podpisu powinna również mieć formę elektroniczną[15], w szczególności w celu jej przekazania do KRS wraz z sf. Byłaby więc przekazywana do KRS w takim samym formacie jak dodatkowe informacje i objaśnienia lub sprawozdanie z działalności.

Sporządzanie sf za lata wcześniejsze

Może się zdarzyć, że sf za lata wcześniejsze nie zostało sporządzone wskutek różnych zdarzeń losowych. Chodzi o zdarzenia niezależne od woli osób nimi dotkniętych (pomijam przypadki patologiczne, np. celowe zniszczenie dowodów i ksiąg rachunkowych, uniemożliwiające sporządzenie stosownych sprawozdań czy innych dokumentów)[16].

Tymczasem złożenie e-sprawozdań finansowych w formie ustrukturyzowanej za 2015 r. i lata wcześniejsze nie jest możliwe. Wszystkie daty w schematach XSD mają bowiem obecnie wpisane dolne ograniczenie – nie mogą być wcześniejsze niż 1.01.2016 r. Powoduje to, że jednostki, które zostały zobowiązane do złożenia wstecznie sf za lata wcześniejsze, znalazły się w trudnej sytuacji – będą zobowiązane do złożenia sf do repozytorium dokumentów finansowych, a KRS ich nie przyjmie, bo akceptuje tylko sf w formie elektronicznej, które odpowiadają schematom XSD.

Sporządzanie skonsolidowanego sf w formie ustrukturyzowanej

Z godnie ze schematem XSD struktura skonsolidowanego sf w wariancie „SkonsolidowanaJednostkaInna” zawiera na końcu co najmniej 1 element o nazwie . Może to być więcej niż jedna sekcja, a ponadto w każdej z nich znajduje się pole . Rodzi to wątpliwość: czy ustawodawca wymaga, aby dodatkowe informacje i objaśnienia w skonsolidowanym sf w formie ustrukturyzowanej były przedstawiane odrębnie dla każdej jednostki z grupy kapitałowej? (Wskazywałoby na to pole oraz dopuszczenie wielokrotnego występowania tej sekcji).

Interpretacja taka jest jednak nie do przyjęcia zarówno z uwagi na niezgodność z obowiązującymi przepisami, jak i ze względów logicznych. Pozostałe elementy skonsolidowanego sf (np. skonsolidowany bilans, skonsolidowany rachunek zysków i strat) są prezentowane dla grupy kapitałowej. Ponadto dane liczbowe poszczególnych jednostek grupy kapitałowej, zawarte w ich dodatkowych informacjach i objaśnieniach, nie będą się bilansować z uwagi na wyłączenia dokonywane podczas konsolidacji sf. Wydaje się, że jest to błąd w opracowanym schemacie XSD, wymagający korekty.

Badanie i weryfikacja prawidłowości sf

O bowiązek sporządzania sf w postaci elektronicznej wpływa na zmianę dotychczasowego sposobu współpracy biegłego rewidenta z badaną jednostką (np. przedkładanie do badania wersji drukowanej, a następnie w końcowym etapie pliku XML podpisanego elektronicznie) oraz stosowane procedury badania. Na wzrost ryzyka badania[17] wpływa m.in. fakt, że księgowi, sporządzający sf, mogą mieć problemy ze sporządzeniem go w formie elektronicznej, gdyż:

• brak jest oficjalnie aprobowanego narzędzia do wykonania tych czynności[18],
• struktura plików XML jest nieczytelna, ponieważ stanowi język programistyczny – dopiero odpowiednie narzędzie (program) pozwala na jej usystematyzowanie (zwizualizowanie), a tym samym możliwość odczytania i analizę.

W przypadku sf sporządzanych w formie nieustrukturyzowanej, co dotyczy np. sf sporządzanych wg MSR/MSSF, lub sf sporządzanych przez osoby prawne niewpisane do rejestru przedsiębiorców KRS, sprawa jest stosunkowo prosta, gdyż mają one przeważnie postać zwizualizowaną (np. plik PDF, w którym są widoczne wszystkie pola/dane).

Analiza danych zawartych w sf sporządzanych w formie ustrukturyzowanej wymaga tymczasem zastosowania tzw. edytora plików XML[19]. Dlatego niezwykle istotną kwestią badania stała się obecnie weryfikacja przez biegłego rewidenta prawidłowości i kompletności ostatecznej wersji sf sporządzonego w formie elektronicznej, w tym złożonych podpisów.

Ponadto w samym pliku XML – zawierającym sf – są zamieszczone, oprócz pól tekstowych, noty dodatkowe, mające postać plików o różnym formacie[20]. Powoduje to, że analiza takiego sf w pliku XML przebiega 2-etapowo – odrębnie dla not dodatkowych, mających postać załączanych plików[21], oraz pozostałych danych (informacji tekstowych). Łączą się z tym 2 istotne ryzyka[22] związane z ostateczną weryfikacją sf przez biegłego rewidenta przed wydaniem szb, mianowicie ryzyko, że:

• stosowany przez biegłego rewidenta program komputerowy, służący wizualizacji danych w pliku XML, może mieć ograniczoną liczbę funkcji i np. nie wyświetlać wszystkich pól fakultatywnych zawartych w danym pliku XML przedłożonym do badania przez jednostkę (np. pól uszczegóławiających daną pozycję bilansową, pól z danymi porównywalnymi); tym samym cześć danych sf nie zostanie przez biegłego zweryfikowana,
• do zweryfikowanego i zaakceptowanego przez biegłego rewidenta sf w pliku XML zostaną wprowadzone dodatkowe dane w postaci wypełnionych dodatkowych pól fakultatywnych lub zmodyfikowanych kwot w dotychczasowych polach, a następnie to sf zostanie podpisane elektronicznie i przedłożone biegłemu bez poinformowania go o dokonanych zmianach.

Wymaga to od biegłego rewidenta dostosowania do nowych ryzyk, wynikających ze zmiany postaci sf na elektroniczną, zarówno narzędzi audytorskich, np. w postaci odpowiednio przygotowanego lub zautomatyzowanego arkusza kalkulacyjnego lub innej aplikacji, jak i procedur badania, polegających np. na potwierdzeniu: prawidłowości i kompletności podpisów złożonych na sf, zasadności zastosowania formy nieustrukturyzowanej przez badaną jednostkę, kompletności wypełnionych pól obowiązkowych w sf, prawidłowości informacji dodatkowej i ew. sprawozdania z działalności załączonych do sf, poprawności technicznej pliku XML (walidacja).

Zakończenie

Jak wynika z rozważań, wprowadzone od 1.10. 2018 r. wymogi:

• do uor – sporządzania sf oraz składania go do KRS i US w formie elektronicznej,
• do uobr – sporządzania szb w postaci elektronicznej, powodują powstanie zupełnie nowych ryzyk badania, zarówno o charakterze technologicznym, jak i prawnym. Odpowiedzią na te ryzyka powinno być – z jednej strony – odpowiednie uzupełnienie narzędzi oraz procedur stosowanych przez biegłego rewidenta podczas badania, z drugiej zaś – wyczulenie na możliwe nieprawidłowości. Pożądane jest uzupełnienie wiedzy i/lub zapewnienie sobie profesjonalnej pomocy w zakresie technicznych aspektów sporządzania sf i szb w formie elektronicznej.

Wprowadzone przepisy poświęcone elektronicznej postaci sf i szb wymagają uściślenia w niektórych obszarach[23]. Jest to częściowo realizowane przez Ministerstwo Finansów oraz PIBR – w formie wyjaśnień[24]. Wydaje się jednak, że ze względu na wagę zagadnień kwestie te powinny zostać jednoznacznie uregulowane w przepisach.

Pozostaje mieć nadzieję, że pomimo różnych wątpliwości zarówno jednostki, jak i biegli rewidenci podołają wyzwaniom wynikającym z obowiązku zastosowania, bez okresu przejściowego i bez akcji edukacyjnej, nowych technologii informatycznych.