Oppdragskontroll av revisjonsoppdrag
I 2017 gjennomførte Finanstilsynet et tematilsyn rettet mot kvaliteten på oppdragskontroller. Rapporten oppsummerer at det er forskjeller i retningslinjer og rutiner fra de fem største til de øvrige revisjonsselskapene. I det følgende vil jeg forsøke å gi en praktisk tilnærming til hva som forventes i en kvalitetskontroll.
Finanstilsynet undersøkte revisorer som reviderer foretak av allmenn interesse. I 2017 var det 13 revisjonsforetak som reviderte foretak av allmenn interesse, ni av disse fikk et stedlig tilsyn.
Etter ISQC 1 skal det gjennomføres oppdragskontroll på alle foretak som er notert på et regulert marked. Finanstilsynet mener at også banker, kredittforetak og forsikringsforetak bør ha oppdragskontroll. Ved ikrafttredelse av ny revisorlov vil en slik anbefaling også bli pliktig etter loven.
Oppdragskontroll
Oppdragskontroll skal som utgangspunkt gjøres ved revisjon av alle noterte enheter samt de revisjonene som krever oppdragskontroll etter revisjonsselskapets egne kriterier. Disse kriteriene må minst omfatte foretak som er notert på et regulert marked, og de Finanstilsynet i tillegg har bestemt det for.
At et revisjonsoppdrag ikke gjennomføres i samsvar med kravene i revisorloven, er en vesentlig risiko i et revisjonsselskap. For å redusere denne risikoen, er det et lovkrav at revisjonsselskapene etablerer et system for intern kvalitetskontroll, jf. revisorloven § 5b-1. Nevnte bestemmelse utfylles av ISQC 1, som er den bransjefastsatte internasjonale standarden for kvalitetskontroll.
ISQC 1 inneholder en rekke risikoreduserende tiltak som revisjonsselskapene må iverksette. Ett av disse tiltakene er å legge til rette for og gjennomføre forsvarlige oppdragskontroller, blant annet ved å fastsette retningslinjer og rutiner. Selskapene må se til at kontrollene virker etter sin hensikt.
Revisoren som selskapet utnevner som oppdragskontrollør på et revisjonsoppdrag, har et selvstendig ansvar for å gjennomføre oppdragskontrollen og at arbeidet blir dokumentert, jf. ISA 220 punkt 20 og 25.
Obligatorisk oppdragskontroll
Alle noterte enheter må ha oppdragskontroll, det følger av ISQC 1 35 a. En notert enhet vil være en enhet hvis aksjer, andeler eller gjeld er notert på en anerkjent børs eller omsettes i samsvar med reglene til en anerkjent børs eller et tilsvarende organ. Oslo Axess og Oslo børs vil være slike markeder i Norge, mens Merkur Market ikke er det.
Når det gjelder egne kriterier som definerer hvilke andre oppdrag som skal underlegges en oppdragskontroll, bør de blant annet omfatte:
Oppdragets type, herunder i hvilken grad det omfatter et forhold som er i allmennhetens interesse.
Identifisering av uvanlige omstendigheter eller risikoer for et oppdrag eller en gruppe av oppdrag.
Alle foretak av allmenn interesse skal underlegges oppdragskontroll. Ifølge Finanstilsynet bør revisjonsselskapene ha retningslinjer som fastsetter krav om oppdragskontroll når revisjonsklienten er bank, kredittforetak eller forsikringsforetak, selv om foretaket ikke er børsnotert. Om et revisjonsselskap ikke har utnevnt oppdragskontrollør for revisjon av et foretak av allmenn interesse og Finanstilsynet avdekker vesentlige svakheter i revisjonen, vil dette forholdet bli tillagt vekt, ifølge rapporten om tematilsynet.
I de minste revisjonsfirmaene, inkludert enepraktiserende revisorer, vil det oftest ikke være behov for det som ISQC 1 kaller «oppdragskontroll». Oppdragskontroll kreves i utgangspunktet kun på kompliserte revisjonsoppdrag. Dersom revisor ikke finner behov for «oppdragskontroll» i sitt revisjonsfirma, bør det av firmaets ISQC 1-dokument fremgå at revisor ikke skal påta seg oppdrag for klienter som overstiger nærmere definerte størrelses- eller kompleksitetskriterier, og at revisor skal fratre dersom en klient utvikler seg til å bli for stor/komplisert, dvs. overstiger de definerte grensene. Hva som gjør at en klient er for kompleks til at revisor vil påta seg revisjonen, må revisor tenke gjennom og beskrive etter beste skjønn. I tillegg til rent kvantitative grenser, kan det for eksempel bestemmes at revisor ikke skal påta seg revisjon av foretak som er under offentlig tilsyn, foretak som forvalter betrodde midler, foretak som har virksomhet utenfor Norges grenser etc.
Alle foretak av allmenn interesse skal underlegges oppdragskontroll.
Om oppdragskontrolløren
Selskapet må selv lage retningslinjer for utnevnelse av oppdragskontrollør. Disse retningslinjene bør beskrive utnevnelse av oppdragskontrollør og oppdragskontrollørs kompetanse, kapasitet og objektivitet. Den utnevnte oppdragskontrollør har også et ansvar for å vurdere sin egen kompetanse, kapasitet og objektivitet.
I utgangspunktet bør ikke den oppdragsansvarlige selv være involvert i utvelgelsen av oppdragskontrollør. I revisjonsfirmaer med få partnere er det ikke alltid praktisk mulig at oppdragsansvarlig revisor ikke er involvert i utvelgelsen. Alternativt kan enkelte alenepraktiserende revisorer eller små revisjonsfirmaer i noen tilfeller i stedet inngå avtaler med andre revisjonsfirmaer for å få hjelp med å gjennomføre oppdragskontroller. Ofte er det styret eller partnermøtet i revisjonsselskapet som utnevner oppdragskontrolløren.
Oppdragskontrollens innhold
Formålet med kontrollen er å sikre en objektiv evaluering av de vesentlige skjønnsmessige vurderingene som er foretatt av oppdragsteamet og konklusjonene som er trukket ved utarbeidelsen av uttalelsen. Som et minimum skal dette omfatte, ifølge ISQC 1 pkt. 37:
Diskusjon av vesentlige forhold med oppdragsansvarlig revisor,
Gjennomgåelse av regnskapet eller andre opplysninger om saksforholdet og den foreslåtte uttalelsen,
Gjennomgåelse av utvalgt oppdragsdokumentasjon knyttet til de vesentlige skjønnsmessige vurderingene som oppdragsteamet har foretatt og konklusjonene de har trukket, og
Evaluering av konklusjonene som er trukket ved utarbeidelsen av uttalelsen og vurdering av hvorvidt den foreslåtte uttalelsen er hensiktsmessig.
Selve omfanget vil blant annet variere som følge av oppdragets størrelse og kompleksitet. Revisoren som selskapet utnevner som oppdragskontrollør på et revisjonsoppdrag, har et selvstendig ansvar for å gjennomføre oppdragskontrollen og at arbeidet blir dokumentert.
For selskaper notert på en anerkjent børs som Oslo Axess og Oslo Børs må i tillegg gjennomgangen omfatte, ISQC 1 pkt. 38:
Revisjonsteamets evaluering av revisjonsselskapets uavhengighet i forbindelse med revisjonsoppdraget;
Hvorvidt hensiktsmessig konsultasjon har funnet sted ved spørsmål det er uenighet om, eller ved andre vanskelige eller omstridte spørsmål, og konklusjonene fra disse konsultasjonene; og
Hvorvidt den utvalgte revisjonsdokumentasjonen som er gjennomgått, gjenspeiler arbeidet som er utført i forbindelse med de betydelige skjønnsmessige vurderingene som er foretatt og underbygger konklusjonene som er trukket.
Fra et praktisk perspektiv bør revisjonsforetakene vurdere å inkludere kravene til oppdragskontrollen av de børsnoterte enhetene i samtlige oppdragskontroller. Det vil sikre en mer konsistent oppdragskontroll. Uansett skal omfanget skaleres etter oppdragets kompleksitet.
