Ведение дел при помощи компьютеров привело к появлению двух новых понятий, которые связаны с содержанием аудита применительно к компьютерным системам. Одно из них — “аудиторская проверка в среде, окружающей компьютер”, — используют в тех случаях, когда аудиторы “изолируют” компьютер, т.е. представляют его в виде черного ящика и пытаются связать выходные данные с исходными документами, а также проследить движение данных от исходных документов к выходным отчетам. Пока компьютер выступает только в роли быстродействующего калькулятора, такой метод можно рассматривать в общем плане как адекватный. Фактически он дает удовлетворительные результаты, если компьютерная система служит только для вычислений и вывода данных на печать. Применение этого метода также оправдано при наличии удовлетворительной структуры контроля и достаточного количества доступных аудиторам фактических материалов. В то же время совершенно недопустимо использование метода аудиторской проверки в среде, окружающей компьютер, вместо экспертной оценки процесса компьютерной обработки данных.
Второе понятие — “аудиторская проверка собственно компьютерной системы” — применяют при оценке аппаратных и программных средств с целью определения надежности процесса выполнения операций, не воспринимаемых человеком визуально. Проверка собственно компьютерной системы наиболее распространена в практике аудита, поскольку большинство компьютерных систем выполняет не только вычисления, но и существенные процедуры контроля. В этой ситуации представление компьютера вместе с заложенной в него системой контроля в виде черного ящика ведет к игнорированию важных элементов внутреннего контроля.
Относительно недавно в практику компьютерного аудита вошли два новых понятия: “аудиторская проверка без использования компьютерной техники” и “аудиторская проверка с использованием компьютера”. Аудиторский подход в соответствии с первым понятием базируется на воспринимаемом визуально фактическом материале, таком как исходные данные, распечатки отчетов об ошибках, сведения по этапам контроля (например, контрольные суммы пакетов) и подробные распечатки выходных данных. Второе понятие связано с аудиторской проверкой простых компьютерных систем, при которой используют аппаратные и программные средства проверяемой фирмы для выполнения реальных или смоделированных операций, а также применение специальных аудиторских программ для достижения целей проверки.
Тестирование процедур компьютерного контроля в простых системах с пакетной обработкой данных
Задавайте вопросы нашему консультанту, он ждет вас внизу экрана и всегда онлайн специально для Вас. Не стесняемся, мы работаем совершенно бесплатно!!!
Также оказываем консультации по телефону: 8 (800) 600-76-83, звонок по России бесплатный!
В простых системах с пакетной обработкой данных необходимые фактические материалы зачастую существуют в виде распечаток выходных данных и книг учета, что, в принципе, делает возможной аудиторскую проверку в среде, окружающей компьютер. Например, отчеты об ошибках во входных данных за несколько дней обычно содержат ошибок и тех типов, на обнаружение которых ориентированы встроенные процедуры редактирования. Ошибки каждого типа можно связать с соответствующими журналами регистрации, которые ведет группа контроля, и с документами, подтверждающими исправление входных данных и их повторный ввод. Аналогично могут существовать распечатанные документы, свидетельствующие о выполнении процедур санкционирования операций или изменения главных файлов.
Вместе с тем, в некоторых случаях внешние аудиторы должны использовать компьютер в качестве средства тестирования процедур контроля в прикладных программах даже в простых системах. (Внутренние аудиторы пользуются такими методами чаще.) Сказанное выше, таким образом, позволяет перейти к рассмотрению возможностей использования компьютерной техники в качестве “помощника аудитора” при тестировании процедур контроля.
Общие подходы к использованию компьютерной техники для тестирования процедур контроля
Существуют три подхода к компьютерному тестированию, которыми могут воспользоваться аудиторы:
1) отбор при помощи компьютера определенных операций для их последующей проверки вручную;
2) проверка системы встроенного контроля при помощи имитационных данных;
3) проверка системы встроенного контроля при помощи реальных данных, обработанных аудиторскими программными средствами.
Компьютер может проводить выборку (обычно статистическую) операций для их последующего подтверждения и прослеживания вручную. На основе рассмотренных ниже программных средств общего назначения могут быть также созданы специальные аудиторские программы, позволяющие сопоставить файлы различных операций. Например, файлы открытых счетов-фактур поставщика можно сравнить с файлами заказов на поставку. Компьютер может произвести выборку информации по автоматическому санкционированию операций для проверки вручную, например, файлов автоматического определения предельных размеров кредита по дебиторской задолженности или предельного уровня запасов для повторения заказа. Аудиторское тестирование автоматизированных процедур контроля при помощи имитационных данных обычно называют методом контрольных данных, а использование процесса обработки реальных данных для тестирования этих процедур — методом параллельного моделирования.
Метод контрольных данных
Этот метод основан на том, что компьютер, запрограммированный на обработку операции по определенному алгоритму, выполняет ее без изменения каждый раз и, следовательно, ограниченный набор имитационных операций с ошибками и без них достаточен для определения соответствия процедур контроля их описанию в документации по компьютерной системе.
Выборку всех возможных комбинаций полей данных, проходящих обработку в реальной системе, называют контрольным пакетом. Этот термин связан с прошлым компьютерных систем, когда входные данные представляли в виде пакетов перфокарт. В настоящее время контрольные данные вводят в компьютер с магнитной ленты, дисков или непосредственно через терминал в диалоговой системе. Цель ввода контрольных данных заключается в определении соответствия процедур контроля описанию в документации. Контрольные операции могут содержать абстрактные данные, вводимые по усмотрению аудитора. Предварительно следует подготовить таблицу с перечнем входных данных по всем операциям и предположительных значений выходных данных, определенных на основе документации по программным средствам. Данные по операциям затем преобразуют в машиночитаемую форму и вводят для обработки с использованием реально действующих программ.
Аудитор должен хорошо представлять себе характер хозяйственной деятельности фирмы и логику программ, чтобы предвидеть все возможные комбинации данных, которые могут составлять входную и выходную информацию. Он должен также уметь определять важность каждого из методов контроля для аудита. Кроме того, необходимо принять меры, предотвращающие смешивание контрольных данных с реальными, а также изменение реальных файлов.
Разберем пример обработки данных по торговым операциям. Предположим, что целью тестирования является проверка контроля точности входных данных. Задача при этом будет заключаться в формировании группы операций с ошибочными положениями, что должно обеспечить проверку надежности процедур контроля входных данных и их обработки.
Так, можно сгруппировать гипотетические операции, в которых:
1) отсутствует идентификационный код клиента;
2) неправильно дано значение идентификационного кода клиента (неправильный контрольный разряд);
3) не введен номер товарно-транспортной накладной;
4) объем продаж превышает 20 000 дол.;
5) объем продаж равен нулю;
6) объем продаж меньше нуля.
Приведенные положения позволяют сгруппировать множество возможных вариантов операций. Известно, что при отсутствии номеров клиента и товарно-транспортной накладной (тест контроля потери данных), при ошибке в идентификационном коде клиента (тест контроля чисел с разрядами самоконтроля), при объеме продаж более 20 000 дол. (тест контроля по диапазону значений), при объеме продаж, равном нулю (тест контроля потери данных) или при объеме продаж меньше нуля (тест контроля знака) система должна генерировать сообщение об ошибке. Выполнение операций с правильными данными не приводит к появлению сообщения об ошибке. Выполнение имитирующих операций в проверяемой компьютерной системе, таким образом, показывает работоспособность автоматизированных процедур контроля.
Обработку контрольных данных проводят однократно для той программы, которую используют в течение всего периода проверки. На основе анализа выходных данных по результатам тестирования руководитель аудиторской проверки должен принять решение о необходимости повторного контроля процесса обработки в ходе работы. Для этого также, анализируя документацию, следует убедиться в том, что любые изменения вносятся в программы должным образом с соответствующим разрешением. Иногда аудиторы проводят в течение года неожиданное тестирование при помощи контрольных данных.
Метод параллельного моделирования
Для параллельного моделирования аудиторы готовят специальную программу (на основе уже опоминавшихся программных средств общего назначения), которая имитирует логику и процедуры контроля программы проверяемой фирмы. Результаты обработки реальных данных при помощи аудиторской программы сравнивают затем с результатами обработки этих данных в реальной прикладной системе.
Существуют три сценария проведения процедур тестирования системы контроля, заложенной в компьютерные программы:
1) тестирование с использованием реальной программы проверяемой фирмы;
2) тестирование с использованием специальных аудиторских программ, подготовленных персоналом проверяемой фирмы;
3) тестирование с использованием специальных программ, подготовленных аудиторами.
Первый сценарий тестирования, выполняемый в сочетании с методом контрольных данных, описан выше. Квотирование по второму сценарию требует тщательного контроля правильности разработки аудиторских программ персоналом проверяемой фирмы. Непременными условиями осуществления третьего сценария являются глубокие познания аудиторов в области программирования или привлечение к работе независимых программистов.
Появление в середине 60х годов аудиторских программных средств общего назначения значительно повысило привлекательность третьего сценария. В состав этих средств входят объединенные в пакеты стандартные подпрограммы, которые обеспечивают выполнение большей части задач аудита. Все, что требуется от аудитора при работе с программными средствами общего назначения, — это вписать в стандартную форму (или ввести в диалоговом режиме через терминал) простые команды, которые вызывают одну или несколько необходимых подпрограмм. Таким образом, отпадает необходимость создания полных комплексных программ, а для приобретения опыта работы с программными средствами общего назначения достаточна лишь недельная тренировка. (Более подробная информация об этих средствах приведена ниже.)
Программные средства общего назначения дают аудиторам возможность создать систему обработки данных со структурой, аналогичной структуре реальной программы, и провести обработку, используя одни и те же файлы данных. В подобную имитирующую систему аудитор может включить все необходимые с его точки зрения процедуры контроля, причем алгоритм их отбора схож с алгоритмом подготовки контрольных данных. Полученные в имитирующей системе выходные данные сравнивают затем с выходными данными реальной системы, что, в принципе, идентично процессу тестирования при помощи контрольных данных, на основе чего дают заключение о работоспособности процедур обнаружения ошибок в реальной системе.
Применение метода параллельного моделирования вначале может потребовать довольно больших затрат, однако его эффективность значительно выше эффективности аудиторской проверки без использования компьютерной техники, а также эффективности метода контрольных данных. Реальная экономия становится очевидной при последующих проверках одной и той же фирмы.
Аудиторы должны проследить за тем, чтобы отобранные для обработки данных по операциям были представительными. Это требует определенного навыка случайного отбора и идентификации важных операций. Ниже приведен наглядный пример с системой обработки счетов к получению по торговым сделкам.
Пример. Параллельное моделирование системы обработки счетов-фактур и счетов к получению по торговым сделкам Kngston Company показало, что счета-фактуры без ссылок на товарно-транспортные накладные относились на счета клиентов с зачислением соответствующего кредита. Аудиторская проверка обнаруженных отклонений выявила отсутствие процедуры контроля потери данных в реальной программе, которая не генерировала сообщение об ошибке при отсутствии ссылок на товарно-транспортные накладные.
Выявление этого недостатка повлекло за собой:
1) более глубокую проверку счетов-фактур и их сопоставление с транспортной документацией;
2) более глубокую аудиторскую проверку выставленных клиентам счетов по этим сделкам,
Окончательной целью применения компьютерных методов аудиторского тестирования системы контроля является формирование заключения о фактической работоспособности процедур контроля в компьютерной системе. Такое заключение позволяет руководителю аудиторской проверки оценить риск неэффективности контроля и определить содержание, распределение во времени и глубину процедур аудита для проверки сальдо по счетам. Оценка риска неэффективности контроля имеет решающее значение, особенно для компьютерных систем, поскольку она определяет возможность дальнейшего выполнения аудиторской проверки с использованием файлов на магнитном носителе. Вовлечение этих файлов в процесс компьютерного аудита повышает важность контроля обработки данных.
Аудиторское тестирование процедур контроля в сложной компьютерной системе
Как было продемонстрировано, цели внутреннего контроля и аудиторской проверки не меняются при переходе от неавтоматизированной обработки данных к компьютерной или от простой компьютерной системы к сложной. В то же время, изменение среды обработки данных оказывает сильное влияние на методы контроля, приводя к появлению новых методов и процедур. Ниже рассмотрены особенности контроля в среде сложных компьютерных систем.
Средства и методы аудита
Аудиторская проверка сложных компьютерных систем обычно требует привлечения высококвалифицированных специалистов по компьютерному аудиту. Тем не менее, так называемые аудиторы “общего профиля” также должны в определенной мере владеть доступными средствами и методами контроля, что необходимо при координировании работы специалистов для достижения целей аудиторской проверки. Знание методов нужно также для консультирования компаний-клиентов. Большинство рассматриваемых ниже средств контроля встраивается непосредственно в компьютерные системы, что
обусловливает все более активное участие аудиторов в их разработке с целью обеспечения адекватности контроля и доступности этих средств аудиторским процедурам.
Средства и методы, применяемые для аудиторской проверки сложных компьютерных систем, можно разделить на четыре группы, работающие:
1) с реальными данными в режиме онлайн и реальном масштабе времени;
2) со статистическими данными;
3) с имитационными данными;
4) на основе анализа программ.
Методы контроля с использованием фактических данных. Чаще всего эти методы требуют создания специальных аудиторских модулей, которые встраивают в программы на этапе их разработки. Такие добавочные аудиторские блоки программ позволяют перед обработкой или после ее завершения отобрать данные об операциях, представляющих интерес с точки зрения проверки, и сохранить их для последующего изучения. (Добавочными аудиторскими блоками считаются те модули программ, которые выполняют только аудиторские функции или функции сопровождения. Аналогичные модули, предназначенные для предотвращения компьютерного мошенничества, называют ловушками.)
Размотка операций. Отобранные аудитором данные по операциям метят при помощи специальных индикаторов при вводе. Контрольные записи всех этапов обработки этих данных прикладной программой можно хранить в виде распечаток или файлов для последующей оценки.
Аудиторские файлы. Меченые данные по операциям группируют в специальные файлы для последующей проверки. При формировании аудиторских файлов применяются два метода, один из которых, известный как “аудиторский файл систематического контроля” (АФСК), предполагает включение в программы обработки тестов контроля по диапазону значений, разумности данных и т.п. Отчеты, генерируемые на основе тестирования отобранных по определенным критериям данных, поступают непосредственно к аудитору для анализа и учета. Метод АФСК особенно привлекателен с точки зрения внутреннего аудита. Второй метод — “аудиторский файл выборочного контроля” (АФВК) — сходен с предыдущим, с тем лишь отличием, что для разметки данных по операциям в программу вводят не критерии систематического отбора, а модуль случайной выборки. Отчеты об отобранных данных доступны для аудиторского анализа после каждого рабочего прогона программы. Метод АФВК эффективен при формировании представительных выборок данных по операциям, прошедшим компьютерную обработку за какой-либо период.
Моментальный снимок. Применение этого метода позволяет получить “картину” состояния операций и элементов БД в оперативной памяти компьютера до начала обработки и после нее. Распечатанный снимок представляют аудиторам для анализа. Например, данные по остаткам счетов дебиторов сохраняют перед внесением в файл и после их внесения. Эти остатки вместе с данными по торговым операциям являются средством контроля правильности процедуры обновления записей. Аудиторы могут в этом случае проследить и проверить процесс обработки, основываясь на его результатах.
Текущий контроль функционирования системы. С целью анализа функционирования аппаратных и программных средств в компьютер обычно встраивают специальные элементы, назначение которых заключается в определении эффективности его работы. Эти элементы можно использовать также и для аудита, поскольку они позволяют определить, кто занимает модули системы и для каких операций. Например, зарегистрированные пароли, необходимые для выполнения операций, можно сопоставить со списками лиц, имеющих соответствующее разрешение.
Расширенные записи. Специальные программы формируют контрольные записи по отдельным операциям, объединяя результаты всех прикладных программ, которые используются для обработки операции. Полученные сводные данные хранят в дополнительных полях записей или в отдельном аудиторском файле. Так, моментальные снимки данных об остатках на счетах дебиторов до и после обновления можно объединить с данными о торговых операциях и, таким образом, сформировать расширенную запись, которая позволяет выполнить аудиторский анализ без просмотра множества файлов на разных этапах обработки данных.
Методы контроля с использованием систематических данных. Эти методы, в широком смысле, дают аудиторам доступ к машиночитаемым файлам. К ним относятся, в частности, описанный ранее метод параллельного моделирования, а также аудиторские программные средства общего назначения, которые будут рассмотрены в настоящей статье.
Методы контроля с использованием имитационных данных. В эту группу методов входит, в частности, рассмотренный выше метод контрольных данных, хотя он применяется в основном в простых компьютерных системах с пакетной обработкой информации. Модификация этого метода, адаптированная для сложных компьютерных систем, получила название “интегрированные средства тестирования” (ИСТ).
Интегрированные средства тестирования. Такими средствами, обычно применяемыми при сопровождении программ, могут воспользоваться аудиторы в своих целях. Использование ИСТ предполагает создание макета отдела или целого филиала с полными списками работников, клиентов, поставщиков, дебиторов, кредиторов и т. п. В реальные записи главных файлов или БД включают меченные специальным кодом (например, 99) записи, а в реальные операции вводят имитационные (т. е. контрольные) данные, которые обрабатывают с использованием одних и тех же программ. Известный заранее выходной результат для ИСТ позволяет проконтролировать результаты реальной обработки (выходные отчеты, отчеты об ошибках) и определить работоспособность элементов контроля прикладных программ.
Применение ИСТ требует особой осторожности, поскольку они связаны с включением фиктивных записей, операций и отчетов в реальную систему бухгалтерского учета. Необходимо гарантировать удаление фиктивных выходных данных из финансовой отчетности. Следует также принять меры, предотвращающие повреждение или искажение реальных записей главных файлов и остатков по счетам.
Методы контроля, основанные на анализе программ. Существует множество пакетов программ, которые позволяют персоналу, занятому обслуживанием вычислительной техники, осуществлять процессы документирования, отладки и анализа. В определенных случаях аналогичными средствами могут пользоваться и аудиторы. Так, некоторые средства дают возможность на основе исходного пакета программ (написанного, например, на языке КОБОЛ) воспроизвести блок-схемы или таблицы решений, помогающие понять логику прикладных программ. Программы выявления перекрестных ссылок выводят на печать сведения обо всех именах или файлах, которые включены в прикладную программу или систему. Такие распечатки помогают представить поток операций и идентифицировать файлы существенных данных. Средства анализа программ полезны также для выявления потенциальных модулей-ловушек, созданных с целью защиты от компьютерного мошенничества.
Аудиторам следует тщательно изучить предложенные средства и методы, особенно в плане их назначения, преимуществ и недостатков. Следующий раздел статьи посвящен возможностям использования вычислительной техники для аудиторского контроля статистических данных и, прежде всего, для выполнения процедур сбора фактических данных об остатках по счетам.
Аудиторские программные средства общего назначения
Аудиторские программные средства общего назначения (АПС) представляют собой набор процедур, которые позволяют производить различные манипуляции (считывание, вычисление и т.п.) с машиночитаемыми записями. АПС, таким образом, обеспечивают аудиторам получение недоступных другим образом фактических данных. Настоящий раздел построен согласно связанным с компьютерной технологией концепциям и терминологии, а также выше в данной статье. В то же время, акцент этого раздела смещен от оценки риска неэффективности контроля в сторону техники применения компьютеров для сбора представительного фактического материала о деталях операций и остатках по счетам.
Изучение АПС необходимо, поскольку аудиторы привлекают их в большинстве случаев для проверки бухгалтерских записей, хранящихся в виде файлов или БД. Предлагаемый материал не рассчитан на подготовку к конкретному применению АПС, ибо каждая аудиторская фирма использует свою версию этих средств и самостоятельно организует соответствующее обучение. Вместе с тем, ниже раскрыты возможности АПС и, что наиболее важно, подходы к их применению.
Аудиторская проверка с использованием компьютера
Вслед за оценкой риска неэффективности контроля в среде компьютерной системы возникает проблема получения доступа к машиночитаемым записям в целях их отбора для выполнения неавтоматизированных или компьютерных аудиторских процедур, выполнения расчетов и анализа данных для всех файлов, а также формирования рабочей аудиторской документации. Первые пакеты АПС, созданные аудиторскими фирмами в значительно усовершенствованы и адаптированы к компьютерной технологии высокого уровня.
АПС имеют следующие достоинства:
- Не требуют создания уникальных программ. Пакет АПС включает в себя комплект готовых подпрограмм редактирования, управления и вывода данных.
- Простота процедуры программирования. Простой ограниченный набор команд, вносимых в стандартные бланки, используют для вызова подпрограмм пакета.
- Небольшое время освоения пользователями. Приблизительно недельного интенсивного обучения достаточно для освоения конкретного пакета АПС.
Применение АПС для анализа файлов данных более эффективно по сравнению со специальными программами в результате быстрого вызова необходимых подпрограмм при помощи определенных команд. Кроме того, одни и те же АПС пригодны для использования в различных компьютерных системах, причем аудитор посредством процедур программирования может самостоятельно адаптировать аудиторский пакет к различным задачам. В настоящее время существует множество пакетов АПС, разработанных аудиторскими и консалтинговыми фирмами.
Выполнение аудиторских процедур при помощи АПС
Выполнение бухгалтерских операций в компьютерной системе приводит к сбору и генерированию больших массивов данных, существующих обычно только в машиночитаемой форме. В этом случае АПС обеспечивают доступ к данным и их преобразование в формат, необходимый для проверки.
АПС можно использовать для выполнения аудиторских задач шести основных типов:
1. Проверка и анализ записей на основе аудиторских критериев с целью определения качества, полноты, состоятельности и правильности. Эта процедура представляет собой компьютерную версию операции сканирования записей на предмет выявления случаев их несоответствия аудиторским критериям.
Например, можно выполнить сканирование:
а) остатков по счетам дебиторов для обнаружения случаев превышения предельного размера кредита;
б) данных о запасах для обнаружения отрицательных или неоправданно больших остатков;
в) файлов сумм выплаченной заработной платы для обнаружения случаев начисления заработной платы уволенным работникам.
2. Тестирование расчетов и выполнение перерасчета. Эту операцию компьютер выполняет быстрее и с более высокой точностью, чем расчет вручную. АПС можно использовать для тестирования точности расчетов и выполнения аналитических процедур оценки разумности сальдо счетов.
В качестве примеров можно привести:
а) перерасчет сумм стоимости по каждой статье запасов;
б) расчет контрольных сумм файла;
в) сопоставление сметных, нормативных данных и данных за предшествующий год с данными текущего года.
3. Сопоставление данных различных файлов для определения согласованности совместимых данных. В случаях расхождения данные можно вывести на печать для изучения и сверки.
Сопоставляют, например:
а) записи сумм выплаченной заработной платы с записями по учету работников;
б) данные о запасах текущего и предыдущего периодов с данными об операциях купли-продажи;
в) данные по оплаченным счетам-фактурам с данными об издержках.
4. Разметка и распечатка аудиторских выборок с использованием статистических или оценочных критериев для выполнения немашинных аудиторских процедур. Большинство пакетов АПС содержит подпрограммы количественного анализа статистических выборок. Отдельные данные выборок можно распечатать для включения в рабочую аудиторскую документацию или распечатать в специальном формате, например, в виде запросов на подтверждение.
Процедуру выборки выполняют, в частности;
а) для документального подтверждения остатков по счетам дебиторов;
б) для документального подтверждения прироста основных средств или их продажи;
в) для контроля запасов.
5. Суммирование, повторное упорядочение и переформатирование данных, выполняемые по-разному с привлечением АПС.
Так, можно:
а) подготовить пробные балансы Главной книги;
б) для облегчения контроля изменить последовательность размещения в учетном регистре статей запасов;
в) просуммировать данные об оборачиваемости запасов для анализа их старения.
6. Сопоставление фактических данных немашинных аудиторских процедур с записями в системе бухгалтерского учета более эффективно при использовании АПС. Фактические данные преобразуют в машиночитаемую форму, а затем сравнивают с существующими записями в файлах проверяемой фирмы или аудиторских файлах.
В частности, сопоставляют:
а) данные контрольного подсчета запасов с данными регистров непрерывного учета;
б) скорректированные остатки по счетам дебиторов с аудиторским файлом остатков по бухгалтерским книгам.
Применение АПС
Большинство из получивших распространение пакетов АПС имеет сходную технологию применения.
Несмотря на некоторые различия конкретных пакетов в общем плане в технологии их применения можно выделить пять этапов:
1) определение задач аудиторской проверки;
2) оценка возможности применения АПС и планирование;
3) проектирование прикладной системы;
4) создание программы и тестирование прикладной системы;
5) выполнение процесса обработки данных и оценка результатов.
1. Определение задач аудиторской проверки. На первом этапе применения АПС определяют конкретные задачи аудиторской проверки. АПС следует при этом рассматривать в качестве особого инструмента, который обеспечивает выполнение задач аудиторской проверки. Так, общей задачей аудита может быть проверка утверждения администрации о том, являются ли остатки по счетам дебиторов полными и оценены ли они правильно. Исходя из общих задач, в аудиторские процедуры можно включить ввод служебной пост информации в главный файл аналитического учета счетов, выборку счетов для документального подтверждения, подготовку пробного баланса по срокам платежа и исследование просроченных счетов.
2. Оценка возможности применения АПС и планирование.
Возможность применения АПС оценивают по трем направлениям:
1) технические аспекты применимости АПС;
2) альтернативные пути решения аудиторской задачи;
3) оптимальный с точки зрения практики и экономики вариант. При отсутствии технических препятствий для применения АПС следует оценить следующие факторы.
АПС могут оказаться наиболее эффективным инструментом решения задачи аудиторской проверки, однако на практике они редко являются единственным средством. Для эффективного достижения реальных результатов необходимо четкое распределение аудиторских ресурсов (квалифицированных специалистов и их времени). Использование АПС требует значительных затрат времени и труда и иногда дает эффект только в случае повторных проверок. Очевидным является условие доступности данных. Необходимые файлы, в частности файлы с детальной информацией по операциям, зачастую существуют лишь непродолжительное время. Доступность файлов данных и объем помощи, предоставляемой проверяемой фирмой, обычно определяют в ходе анализа организации общей и прикладной системы контроля.
После оценки применимости АПС руководитель аудиторской проверки определяет конкретные пути их использования, выбирает процедуры контроля для всех последующих этапов и разрабатывает с сотрудниками вычислительного центра план работы. Некоторые этапы планирования перечислены ниже.
На стадии планирования определяют также, какие рабочие материалы необходимы для документирования результатов использования АПС. На руководителя аудиторской проверки (а не на специалиста по компьютерному аудиту) возлагается, кроме того, задача отбора выходных данных (программ и результатов тестирования), которые войдут в рабочие материалы. (Выходные данные могут быть представлены в форме машиночитаемых документов, например аудиторских файлов на магнитной ленте.)
3. Проектирование прикладной системы. Процесс создания прикладной системы, обеспечивающей использование АПС, сходен в общих чертах с процессом разработки компьютерной системы для решения новой задачи. Этапы процесса разработки прикладной системы и документация сохраняют в целом свое содержание и для случая применения АПС. Подробное описание этапа практического использования АПС выходит за рамки настоящей книги и обычно выполняется специально подготовленными аудиторами. В целом, проектирование прикладной системы связано с развитием идей, сформулированных на этапе оценки возможности применения АПС и планирования, и подготовкой детальных описаний, которые необходимы для составления программ с машинными командами. Документация включает в себя блок-схему прикладной системы, описание логической структуры, макеты подробных отчетов, перечень точек и процедур контроля, описание форматов записей и план тестирования. Часто для обеспечения точности информации, включаемой в программы, аудиторы используют записи, отобранные из всех файлов проверяемой фирмы. Созданную прикладную систему тестируют на выборках реальных или имитационных данных до тех пор, пока руководитель аудиторской проверки не получит полной уверенности в ее надежности. Не рекомендуется использовать реальные файлы проверяемой фирмы для тестирования, в этих целях аудиторам следует воспользоваться копиями. План тестирования составляют на этапе проектирования прикладной системы (а не после создания программы).
4. Создание программы и тестирование прикладной системы. Большинство пакетов АПС содержит широкий набор средств обработки файлов данных и под готовки аудиторских выходных отчетов. Программу создают на специальных бланках (или экранных формах — в случае программирования в диалоговом режиме). В процессе программирования фактически происходит представление проекта прикладной системы в виде конкретных требований (на машинном языке) к использованию пакета АПС. В ходе создания программы следует еще раз рассмотреть и проанализировать последовательность действий и логическую структуру. Текст программы преобразуют затем в машиночитаемую форму и исправляют синтаксические ошибки (нарушения правил синтаксиса языка текста). После этого введенные в программу команды необходимо транслировать, т.е. перевести на язык аппаратных средств. За удалением ошибок следует тестирование логики программы, которое во многом сходно с тестированием по методу контрольных данных, рассмотренному в статье ранее. План тестирования, составленный на этапе проектирования, должен быть достаточно распространенным для учета всех возможных логических путей и разброса фактических данных.
5. Выполнение процесса обработки данных и оценка результатов. Предыдущие этапы обычно выполняют в ходе промежуточных работ до завершения отчетного года таким образом, чтобы все необходимые программы были протестированы и подготовлены к контрольной обработке годовых балансов.
Процесс обработки включает в себя следующие фазы:
1) подтверждение неизменности состояния файлов проверяемой фирмы;
2) копирование файлов проверяемой фирмы;
3) обработку скопированных файлов при помощи прикладной системы на основе АПС;
4) анализ результатов, корректировку рабочей документации и сохранение аудиторских файлов.
Аудиторы должны обеспечить тщательный контроль реального процесса обработки и вывода данных. Необходимо выполнить все процедуры контроля, заложенные в плане на этапе проектирования. Намеченные контрольные суммы следует сверить с результатами, включенными в рабочую документацию. Вслед за этим руководитель аудиторской проверки анализирует выходные данные с целью определить их разумность и ясность. На основании полученных результатов заполняют рабочую документацию. Следует обратить особое внимание на то, чтобы в документацию была включена адекватная информация для последующего использования в повторных проверках. (В этом плане документация должна представлять собой “контрольную запись выполненной аудиторской проверки”.) Рабочую документацию часто дополняют перечнем изменений, предлагаемых для аудиторской проверки на следующий год.
Итак, за этапом оценки возможности применения АПС и планирования идет этап проектирования прикладной системы на базе АПС, которая обеспечивает решение задач аудиторской проверки. Далее оценивают общую систему компьютерного контроля, доступность файлов данных, вычислительных ресурсов и технической помощи, ориентировочные затраты и наличие специально обученных аудиторов. В определении задач проверки и подготовке плана должны также участвовать и аудиторы, не имеющие специальных знаний в области компьютерной технологии. Специалисты в области компьютерного аудита, используя спроектированную прикладную систему на базе АПС, обеспечивают на этапе создания программы и тестирования координацию работ в соответствии с планом. Анализ результатов тестирования входит в обязанности руководителя аудиторской проверки. И, наконец, на заключительном этапе копии реальных файлов подвергают обработке в созданной прикладной системе под контролем специалистов по компьютерному аудиту и генерируют аудиторские выходные данные.
Ключевыми этапами процесса применения АПС являются планирование и тестирование. Если подготовленный план неадекватен, задачи проверки могут остаться невыполненными, а решение проблем на последующих этапах может потребовать значительных затрат времени и средств для его корректировки. Неадекватность тестирования ведет к резкому снижению вероятности успешного выполнения задач проверки. Выполнение обработки данных после завершения отчетного года крайне затрудняет исправление ошибок и устранение недостатков.
Не все пакеты АПС рассчитаны на работу в среде БД, а изучение методов их адаптирования к СУБД выходит за рамки настоящей книги. Наиболее простым выходом из такой ситуации может считаться подготовка специального файла, воспринимаемого АПС, который формируют из заданных элементов данных, скопированных в определенные моменты времени.
Многие крупные фирмы располагают штатом внутренних аудиторов, имеющих большой опыт работы с АПС, которых можно привлечь к разработке и эксплуатации прикладной системы под надзором руководителя аудиторской проверки.
Границы применимости АПС
Несмотря на большие возможности вычислительной техники, она не в состоянии выполнить ряд аудиторских процедур общего характера. Компьютер, в частности, не может измерить и подсчитать физические предметы (запасы например), но он может сверить данные аудитора с существующими записями.
Компьютер не может проанализировать внешнюю и внутреннюю документацию и, следовательно, подтвердить выходные данные бухгалтерского учета данными исходных документов. Исключение составляют, пожалуй, лишь компьютерные системы высокого уровня, в которых исходные документы хранятся на магнитном носителе. В этом случае не остается ничего другого, как протестировать систему контроля формирования файлов, а затем использовать эти файлы в качестве источника исходных “документов”.
При выполнении документального подтверждения данных вручную компьютерный отбор проверяемых данных значительно повышает эффективность работы. И, наконец, компьютер не в состоянии провести расследование, поскольку эта процедура предполагает применение вопросников и собеседования.
Микрокомпьютер как средство аудиторской проверки
Использование микрокомпьютерной техники членами аудиторской группы привело к настоящей революции в области аудита. В связи с этим уместно рассмотреть возможности микрокомпьютеров в качестве инструмента аудиторов как внешних, так и внутренних. Многие читатели, вероятно, уже имеют опыт использования микрокомпьютерных программ для подготовки бухгалтерских электронных таблиц и обработки текстов. Эти же программные средства можно с успехом применять для составления рабочей аудиторской документации, аудиторских программ и письменных аудиторских справок.
Микрокомпьютеры достаточно широко используют мелкие и крупные независимые аудиторские фирмы для подготовки, например, пробных балансов, отправки входных сообщений о корректировке данных, группировки учетных записей по рубрикам финансового отчета в электронных таблицах, составления сравнительных таблиц финансовых отчетов за ряд лет и расчета относительных показателей для анализа, а также составления проектов финансовых отчетов. Многие крупные фирмы применяют микрокомпьютеры для оценки риска неэффективности контроля, выполнения сложных аналитических функций, получения доступа к государственным и частным БД в случаях решения нестандартных проблем аудита и бухгалтерского учета и, кроме того, для программной поддержки процесса принятия решений в ходе комплексной оценки.
В дополнение следует сказать, что в настоящее время можно ожидать появления мощных высоко интегрированных аудиторских систем на базе микрокомпьютеров, которые позволят в будущем проводить и документировать аудиторские проверки, начиная со стадии подготовки письма с обязательствами и кончая аудиторским заключением с сопровождающей его финансовой отчетностью. Так, генерирование предварительной аудиторской программы будет происходить автоматически после ответа на пункты вопросников внутреннего контроля и ввода дополнительных запрограммированных критериев оценки аудиторского риска. Данные бухгалтерского учета для составления пробного баланса можно будет сбросить непосредственно в рабочую документацию, находящуюся в микрокомпьютере, и получить в ответ электронные таблицы вместе с сопровождающими документами. Отчеты об аналитических процедурах будут формироваться с использованием не только данных проверяемой фирмы, но также данных по соответствующей области хозяйственной деятельности, с автоматической выдачей рекомендаций по совершенствованию предварительной аудиторской программы. Разрабатываемые элементы интегрированной микрокомпьютерной аудиторской системы все еще остаются разрозненными. Именно степень интеграции и уровень сложности этих элементов определят в будущем основные отличия перспективных систем от существующих.
Злоупотребления в компьютеризированной среде
Одним из предметов беспокойства для администрации, вкладчиков и аудиторов является компьютерное мошенничество, как частный случай злоумышленного использования компьютерной техники. Под этими преступлениями понимают любые связанные с компьютерной технологией инциденты, в результате которых жертва несет или может понести ущерб, а злоумышленник преднамеренно получает или может получить выгоду.
Это, в частности, преднамеренное повреждение и разрушение компьютерной техники, использование компьютеров в качестве орудия мошенничества, а также для незаконного содействия в осуществлении коммерческих операций. В настоящее время известны документально подтвержденные факты, связанные с актами вандализма по отношению к компьютерам. Наиболее действенным способом предотвращения вандализма является физическая защита компьютера. При помощи компьютерной системы фирмы “Equty undng” злоумышленники смогли напечатать тысячи фиктивных учетных документов, что при отсутствии вычислительной техники потребовало бы усилий сотен служащих. Некоторые виды услуг, например компьютерное датирование документов, использовались при оформлении коммерческих операций, когда на самом деле компьютерные системы не применялись.
В сфере бизнеса, однако, особого внимания заслуживают лишь те виды компьютерных злоупотреблений, которые могут привести к хищению и растрате средств или искажению финансовой отчетности.
Злоупотребления возможны при одном из следующих условий:
- доступ непосредственно к компьютеру или терминалу;
- доступ к файлам данных;
- доступ к компьютерным программам;
- доступ к системной информации;
- наличие времени и возможностей для использования средств в личных целях.
В качестве наиболее существенных мер, предотвращающих компьютерные злоупотребления, следует рассматривать те меры, которые направлены на максимальное ограничение доступа к компьютеру, файлам данных, программам и документации по системе. К ним относятся четкое определение служебных обязанностей, разделение функций, допуск к компьютеру персонала парами, физическая защита и электронные средства защиты (например, система паролей).
Эксперты в области компьютерной технологии сходятся в том, что высококвалифицированный программист может совершить хищение или растрату, которые трудно, а порой и невозможно обнаружить. С другой стороны, такие злоупотребления обычно приводят к появлению необеспеченных дебетовых сальдо на счетах. Так, злоумышленник может посредством компьютерных манипуляций направить приобретенный товар на свой собственный склад, но это, скорее всего, станет причиной появления завышенных остатков запасов. Один банковский служащий зачислял плату за услуги по ведению текущих счетов на собственный счет вместо соответствующего счета доходов. Эта операция приводила к занижению сальдо счета доходов по сравнению с суммой выплат клиентов за ведение текущих счетов. Тщательная аудиторская проверка выходных записей бухгалтерского учета позволяет выявить подобные случаи компьютерного мошенничества.
Для обнаружения компьютерных злоупотреблений могут быть использованы методы как неавтоматизированного, так и компьютерного аудита. Непосредственное подтверждение данных независимой третьей стороной, анализ выходной информации системы с целью выявления типовых взаимосвязей, а также сопоставление выходных данных с данными независимо формируемых файлов помогут отыскать ошибки и несоответствия в компьютерных записях бухгалтерского учета. Вместе с тем, довольно часто аудиторы и администрация узнают о случаях компьютерных злоупотреблений от пришедших с повинной соучастников, из анонимных телефонных звонков, сообщений о трагических самоубийствах и т.п. От аудитора, соприкасающегося с компьютеризированной средой, требуется определить слабые места системы компьютерного контроля. При малейшем подозрении на существование таких мест лучше всего воспользоваться услугами специалиста в области компьютерной технологии, который поможет спланировать и выполнить процедуры, необходимые для дальнейшего исследования и оценки системы компьютерного контроля.
Несмотря на то, что на первые полосы газет попадают обычно сведения о компьютерных злоупотреблениях, которые, благодаря этому, получают широкую огласку, основными проблемами компьютерной обработки данных бухгалтерского учета, прежде всего, остаются ошибки необнаруженные и, следовательно, не откорректированные.
Статью подготовил категорийный менеджер по работе с ключевыми клиентами Умберг Эмиль Дмитриевич. 
