Utvalgsbasert testing

Revisorer bygger sine konklusjoner på bakgrunn av utvalg fra en populasjon. Revisorene har tradisjonelt ikke vært så opptatte av statistiske metoder og har lagt en utstrakt bruk av skjønn til grunn. Det ligger i revisjonens natur at det utøves skjønn og at det ikke er hensiktsmessig å teste alle transaksjoner i et regnskap. I og med at revisor bygger sine konklusjoner på utvalg, må skjønnet være basert på prinsipper som gir tilstrekkelig sikkerhet for å avgi uttalelse om regnskapet med høy, men ikke absolutt sikkerhet. Kravene til utvalgsbasert testing er nedfelt i RS 530 Representativ testing og andre utvalgsbaserte kontrollmetoder. Denne standarden angir tre utvalgsmetoder som revisor kan benytte:

1. Utvelgelse av alle enheter

2. Utvelgelse av særskilte enheter

3. Representativ testing

For metode nr. 1 og 2 vil revisor kun kunne konkludere for det utvalget som er testet. Testen har med andre ord ikke bevisverdi for den delen av populasjonen som ikke er testet. Dette tilsier et stort omfang av tester og er dårlig egnet ved testing av store transaksjonsvolumer.

Metode nr. 3 om representativ testing er en metode hvor det kan konkluderes for hele populasjonen på bakgrunn av et utvalg. Metoden kan benyttes uavhengig av om en bruker statistisk eller ikke-statistisk testing. Vilkåret for å benytte metoden er at det finnes bestemte egenskaper i populasjonen som testes. Egenskapene som kreves, kan noe forenklet sies å være ensartet behandling som sikrer en eller flere regnskapspåstander. Disse egenskapene finnes i en populasjon uavhengig av testmetode. Revisor må derfor skaffe seg kjennskap til om disse egenskapene finnes i populasjonen.

Intern kontroll-vurderinger

Dagens revisjonsstandarder stiller bestemte krav til revisor vedrørende kartlegging og eventuelt testing av den delen av intern kontroll som vedrører pålitelig regnskapsrapportering. Den mest sentrale standarden er RS 400 Risikovurdering og intern kontroll. Det stilles dessuten krav i RS 250 Vurdering av lover og forskrifter ved revisjon av regnskaper, RS 501 Revisjonsbevis - spesielle poster, RS 540 Revisjon av regnskapsestimater, RS 550 Nærstående parter, RS 560 Hendelser etter balansedag og RS 570 Fortsatt drift som berører dette. Det er den interne kontrollen som sikrer ensartet behandling av transaksjonsklasser.

Kontrollene bidrar til de egenskapene som gjør at revisor kan utføre representativ testing. Revisor må forstå hvilke kontroller som sikrer de ulike regnskapspåstandene og for hvilket tidsrom disse er ment å fungere. Revisors vurdering av den interne kontrollen er dermed ikke bare for at han skal teste kontroller og få bekreftet/avkreftet sin risikovurdering, men også skaffe bevis for hvilke egenskaper som finnes i den populasjonen som skal testes.

Tankesettet med å forstå egenskapene i populasjonen er en helt nødvendig forutsetning ved bruk av rotasjonsplaner eller revisjon av fellesfunksjoner. Utvalgsbasert testing og intern kontroll-vurderinger har derfor stor betydning for revisors bevisvurderinger og konklusjoner. Når revisor ikke kartlegger og tester internkontrollen, kan han heller ikke benytte seg av representativ testing, og revisor kan bare uttale seg om den delen av populasjonen som han har testet. Dette taler for et større omfang av substanskontroller.

Dersom revisor kan benytte seg av representativ testing i sin revisjon, vil dette påvirke revisors avviksvurderinger. En feil i en kontroll vil ha betydning for gjeldende regnskapspåstand for alle transaksjoner som berøres av kontrollen. Revisor må vurdere om avviket er systematisk, et enkelttilfelle eller skyldes misligheter. Profesjonell skeptisk holdning tilsier at revisor skal ha gode bevis for at feilen kan isoleres til et enkelttilfelle når revisor bygger på selskapets kontroller.

Analyser som substanskontroll

Kvalitetskontrollen erfarer at revisor i stor utstrekning bygger revisjonen på analyser. Det er svært positivt at revisorene ser de muligheter som ligger i bruken av analyser. Det stilles imidlertid strenge krav i RS 520 Analytiske kontrollhandlinger for at analysene kan tillegges verdi som revisjonsbevis. Kravet er at revisor har etablert en forventning som revisor i analysen måler mot regnskapsførte verdier. Avvik fra forventning må ligge innenfor akseptabelt avvik. Verdien av beviset avhenger av hvor mye beviskraft som skal hentes fra analysen. Jo større beviskraft som hentes fra analysen, desto mindre aksepteres som avvik fra forventningen. Graden av bevis (beviskraften) avhenger av revisors angrepsvinkel for den aktuelle regnskapspåstand.

Hentes hoveddelen av revisjonsbevisene på den interne kontrollen, kan mindre beviskraft hentes fra analysen. Bygger revisor ikke på den interne kontrollen, men kun benytter en analyse som revisjonsbevis, hentes alle bevis fra analysen. Sammenhengen kan oppsummeres som vist nedenfor. Dette stiller store krav til revisors oppbygging av forventning, nivået på akseptabelt avvik og revisors vurdering av differansen.

Videre vil verdien av en analyse påvirkes av kvaliteten på grunnlagsdataene som benyttes. Kvaliteten på grunnlagsdataene avhenger igjen av selskapets interne kontroll. Dersom revisor velger å ikke bygge på intern kontroll for den aktuelle regnskapspåstanden, må revisor ta hensyn til dette i sin vurdering av hvor sterk beviskraft som kan hentes fra analysen og nivået på akseptabelt avvik. Svakheter i den interne kontrollen tilsier større usikkerhet, med andre ord større risiko for vesentlige feil i regnskapet. Dette kan utledes fra kravet om profesjonell skeptisk holdning og kravet om tilstrekkelig og hensiktsmessige revisjonsbevis.

Revisjonsbevis

Kvalitetskontrollen ønsker å bidra til mer fokus på verdien av et revisjonsbevis for en regnskapspåstand og om revisor har innhentet de mest hensiktsmessige og tilstrekkelige bevisene. Pålitelighetshierarkiet i RS 500 Revisjonsbevis bygger på grunnleggende kontrollprinsipper og anvendelse av profesjonell skeptisk holdning. Kontrollprinsippene og pålitelighetshierarkiet ligger til grunn for det skjønn som revisor skal utøve både når revisjonshandlinger skal planlegges og utføres, og for de vurderinger revisor skal gjøre av de forhold som avdekkes gjennom revisjonen.

Kvalitetskontrollens erfaring er at verdien av revisjonsbevisene ofte overvurderes. Fullstendighet av salgsinntekter dekkes ikke ved å teste tett nummerserie av 5 til 25 utgående fakturaer og foreta en overordnet bruttofortjenesteanalyse. Når man i tillegg setter kontrollrisikoen til høy uten å skaffe seg kjennskap til og foreta vurderinger av den interne kontrollen for denne regnskapspåstanden, har revisor ikke tilstrekkelig revisjonsbevis for å kunne konkludere positivt på fullstendighet av salgsinntektene.

Klientlister fra Foretaksregisteret

Kvalitetskontrollen har opplevd å bli forelagt klientlister som er ufullstendige eller ikke tilstrekkelig oppdatert. Det har også forekommet tilfeller hvor revisor er registrert i Foretaksregisteret som revisor, men hvor revisor ikke var forespurt eller ikke hadde akseptert oppdraget. Sett i lys av dette mener kvalitetskontrollen at det er i både revisors egen og bransjens interesse at det jevnlig (minst en gang pr. år) innhentes oppdatert klientliste fra Foretaksregisteret. Listen bør avstemmes med egne klientlister før en oppdatert og fullstendig klientliste fremlegges for kvalitetskontrollen. Kontrolløren vil bruke listen ved utvelgelse av oppdrag for kontroll. For de revisjonsselskapene som gjør dette som en del av sin interne kontroll, vil kvalitetskontrollen bygge på dette om ikke listen er eldre enn 12 måneder på tidspunktet for kontroll.

Økonomisk vederheftighet

Viktigheten av revisorlovens krav til økonomisk vederheftighet, herunder at skatter og avgifter rapporteres og betales rettidig er omtalt ovenfor. Kvalitetskontrollen vil for kontrollene i 2005 be om at oppdatert skatteattest fremlegges for kontrolløren. Kvalitetskontrollen vil også presisere at den kontrollerte revisoren har plikt til å gi kontrollørene den informasjon som de mener er nødvendig for å gjennomføre kontroll av den økonomiske situasjonen, herunder om det er foretatt utleggsforretninger hos revisjonsselskapet og/eller hos revisor personlig. Fremlagt dokumentasjon ved kontrollbesøk vil ikke bli kopiert eller oppbevart av kvalitetskontrollen. Dersom forholdet medfører oppfølgingskontroll, vil skatteattest som den kontrollerte revisor oversender kvalitetskontrollen bli oppbevart til saken er avsluttet.

Forståelse av transaksjonsklasser

Revisors ansvar for vurdering av klientens interne kontroll fremgår av revisjonsstandardene. Som nevnt over, har revisors kunnskap om den interne kontrollen stor betydning for revisors risikovurdering og bevisvurderinger. RS 400.18 Risiko og intern kontroll krever at revisor må ha tilstrekkelig kjennskap til regnskapssystemet, så han kan identifisere vesentlige transaksjonstyper («classes of transactions».) og forstå hvordan disse oppstår, registreres, behandles og rapporteres, herunder kontrollsporet frem til årsregnskapet. Kvalitetskontrollen erfarer at dette kravet ikke etterleves i tilstrekkelig grad. Dette kravet gjelder for alle revisjoner uansett størrelse på foretaket som revideres.

Det er sentralt for revisors risikoidentifisering og risikovurdering at dette punktet etterleves. Det gir også revisor en forståelse av hvilke transaksjonsklasser som er vanlige og dermed også hvilke som er uvanlige og derfor trenger ytterligere revisjonsmessig oppmerksomhet. Dette er også vektlagt i de nye risikostandardene. Kvalitetskontrollen for 2005 vil med utgangspunkt i revisors dokumentasjon vurdere hvilken kjennskap revisor har til transaksjonsklassene.

Denne kjennskapen har også stor betydning for de handlinger og vurderinger som revisor foretar knyttet til konklusjonen om ledelsens etterlevelse av bokføringsreglene i revisjonsberetning.

Krav til kvalitetskontrollopplegg som DnRs kvalitetskontroll kan bygge på

Kvalitetskontrollen ser en utvikling hvor flere revisorer går sammen i nettverk eller kjeder for å samarbeide om faglig utvikling og kvalitetskontroll. Dette er positivt sett fra kvalitetskontrollens side og vi setter pris på at nettverkene og kjedene bruker vårt detaljerte opplegg som utgangspunkt for kontrollen. Vi ønsker imidlertid å informere om at det ikke er tilstrekkelig å benytte vårt detaljerte opplegg og forvente at man dermed automatisk har et kvalitetskontrollsystem som medfører begrenset kvalitetskontroll fra vår kvalitetskontroll.

Opplegget bør bygge på kontroll av at felles revisjonsmetodikk anvendes riktig, krav til kompetanse på kontrollører og at det er et felles organ som har ansvaret for gjennomføring av opplegget, herunder gjennomføre oppfølging og sanksjoner. Opplegget må minimum være tilsvarende DnRs opplegg. De som har felles internt kontroll-opplegg får meldeplikt og må legge frem opplegget for leder av kvalitetskontrollen for vurdering og godkjenning. Dette betyr også at hele gruppen kalles inn til kontrollen og får et eget kontrollør-team.

Nummererte brev til ledelsen

Bruken av nummererte brev på forhold som omtalt i revisorloven, er en av revisors plikter som får stor oppmerksomhet i media, rettssaker og fra Kredittilsynet. Revisors rolle er å være samfunnets tillitsmann og påpeke forhold som avdekkes gjennom revisjonen. Revisor har en kontrollrolle ovenfor ledelsen på de områder som vedrører regnskapet og internkontrollen knyttet til regnskapsavleggelsen. Ledelsen blir oppmerksom på forholdene og kan gjøre tiltak for å rette på disse. Brevene har betydning for skattemyndigheter og øvrige offentlige myndigheter når revisor ikke underskriver på offentlige oppgaver. Brevene har også betydning i de tilfellene revisor avdekker lovbrudd. Sammenhengen mellom lovbrudd, nummererte brev og plikt til å fratre er åpenbar. Det har vært avgjørelser i Finansdepartement på slike saker som har endt med tilbakekalling av godkjenningen som revisor.

Skifte av revisor

Revisorskifter er et tema som får stort fokus fremover. Revisorene må for det første innse at vesentlighet knyttet til lovbrudd ikke kan sammenlignes med vesentlighetsvurderinger av feil i regnskapet. Når en revisor fratrer på grunn av vesentlige lovbrudd, må den forespurte revisoren utvise aktsomhet. Forespurt revisor bør ikke påta seg oppdraget før lovbruddet er brakt i orden. Noe annet vil kunne anses å undergrave formålet med regelen om plikt til å fratre og den rolle revisor er gitt av lovgiver. Videre er det sentralt at revisorer ved revisorskifter informerer hverandre om de klientene som medfører høy risiko både for revisorerklæringer og revisors virksomhet og omdømme.