ISA 265 Kommunikasjon av internkontrollmangler
ISA 265 er en ryddig kokebok for kommunikasjon av mangler i internkontroll. Først vurderer revisor manglenes betydning, deretter beskriver standarden hva som skal kommuniseres til hvem, når og på hvilken måte.
ISA 265 gjelder for revisjon av regnskaper for perioder som begynner 1. januar 2010 eller senere. Kommunikasjon av internkontrollmangler som avdekkes i 2010-revisjonen, skal således kommuniseres i henhold til standardens krav.
Ifølge standarden er «revisors mål å sikre hensiktsmessig kommunikasjon til dem som har overordnet ansvar for styring og kontroll samt ledelsen av mangler i intern kontroll som revisor har identifisert under revisjonen og som, etter revisors profesjonelle skjønn, er av en slik betydning at de fortjener deres oppmerksomhet.»
Revisor avdekker mangler i internkontroll blant annet gjennom vurdering av virksomhetens kontrollutforming (ISA 315) og/eller gjennom testing av kontrollgjennomføringen (ISA 330). Basert på dette arbeidet sitter revisor igjen med en liste med mangler i internkontroll.
Hva som er en (vesentlig) mangel i internkontroll
Standarden definerer en mangel i internkontroll som (1) en kontroll som er utformet, implementert eller gjennomført på en slik måte at den ikke er i stand til å forhindre, eller avdekke og korrigere, feilinformasjon i regnskapet i rett tid, eller (2) en kontroll som er nødvendig for å forhindre, eller avdekke og korrigere, feilinformasjon i regnskapet i rett tid, mangler. Definisjonen inneholder ingen substansielle endringer fra nåværende praksis: Hvis en kontroll mangler, er feil utformet, eller er feil gjennomført, så er det en mangel.
Mangler kan enten være vesentlige eller ikke. Revisor skal bruke profesjonelt skjønn til å vurdere hva som er en vesentlig mangel. Vurderingen har betydning for påfølgende krav til kommunikasjon, da det kreves at vesentlige mangler kommuniseres skriftlig til dem som har et overordnet ansvar for styring og kontroll (heretter styret).
En vesentlig mangel i internkontroll defineres som «en mangel eller kombinasjon av mangler i intern kontroll som, etter revisors profesjonelle skjønn, er tilstrekkelig viktig til at den fortjener oppmerksomhet fra dem som har overordnet ansvar for styring og kontroll.»
Jeg synes dette er en utmerket definisjon. Revisor kan i praksis vurdere betydningen av mangler gjennom en omvendt konsekvenslogikk: Hvis revisor mener at en mangel må kommuniseres til styret, så er det pr. definisjon en vesentlig mangel. Dette er mye enklere enn å vurdere vesentlighet ut fra en rekke innviklede kriterier, og det fremhever betydningen av revisors profesjonelle skjønn i motsetning til mer mekaniske metoder. Standarden inneholder utfyllende veiledning til hva som typisk er vesentlige mangler, og hva revisor typisk bør vurdere. Et av de viktigste kriteriene er selvfølgelig potensiell effekt på regnskapet.
Husk at mangler i internkontroll kan forekomme selv om revisor ikke har identifisert feilinformasjon under revisjonen. Det sentrale er den potensielle risikoen for feil som mangelen medfører. Man kan også spørre seg om regnskapsfeil kan forekomme selv om det ikke er mangler i internkontrollen. Eksempelvis kan et optimalt kontrollnivå være å forhindre 95 % av feilene. Dersom kontrollen fungerer som forutsatt, må man forvente noen feil uten at kontrollen dermed er mangelfull. Revisjon er i seg selv en slik type kontroll.
Husk også at det i mindre virksomheter sjeldent er behov for omfattende formalisering, da ledelsen selv utfører en rekke kontrollaktiviteter og har dyp, direkte innsikt i virksomheten. Selv om formalisering gjør revisjonen lettere, så er ikke det i seg selv et tilstrekkelig argument for at virksomheten bør øke formaliseringsgraden. Manglende formalisering er muligens dermed ikke en mangel, eventuelt ikke en vesentlig mangel? Tilsvarende problemstillinger kan også oppstå rundt arbeidsdeling. Jeg viser til Finanstilsynets veiledning til Forskrift for Risikostyring og Internkontroll for interessante tanker rundt hva som er god kontroll i mindre virksomheter.
