Ikrafttredelse

RS 240 «Revisors oppgaver med og plikter til å vurdere misligheter ved revisjon av regnskaper» er nå på høring. Det forventes at standarden vil tre i kraft med virkning for regnskapsperioder som begynner 1.1.2006 eller senere.

Revisorloven om revisors ansvar for misligheter

Revisorloven § 5-1 tredje ledd inneholder følgende bestemmelse:

Revisor skal gjennom revisjonen bidra til å forebygge og avdekke misligheter og feil.

Utgangspunktet for bestemmelsen var lovutvalgets forslag om en bestemmelse om at revisjonens formål skal være å bekrefte hvorvidt regnskapet er utarbeidet og avlagt i samsvar med lov, forskrift og god regnskapsskikk, herunder om regnskapsføringen er utført i samsvar med lov, forskrift og god regnskapsskikk og om regnskapsføringen er innrettet på en måte som sikrer grunnlaget for foretakets pålagte rapportering. Det ble videre foreslått å presisere at revisjonen ved dette skal bidra til å forebygge misligheter og feil.

Lovutvalget foreslo en nærmere spesifisering av hvordan revisor skal gjennomføre revisjonen med hensyn til å bidra til å forebygge misligheter og feil. I denne spesifikasjonen fremgår det at revisor skal planlegge og gjennomføre revisjonen med en profesjonelt skeptisk holdning, herunder vurdere risikoen for at det kan foreligge vesentlig feilinformasjon i regnskapet som følge av misligheter og feil.

ØKOKRIM og Skattedirektoratetmente i høringen at revisor i tillegg til å bidra til å forebygge misligheter og feil, også bør ha en plikt til å avdekke slike forhold. Departementet støttet dette. I den politiske behandlingen sluttet Finanskomiteen seg også til dette slik at det i loven ble tatt inn en bestemmelse om at revisor gjennom revisjonen skal bidra til å forebygge og avdekke misligheter og feil. Finanskomiteen understreker at forslaget mer representerer en presisering av gjeldende rett enn innføring av et nytt prinsipp.

Etter dette kan vi konstatere at revisor har en plikt til å planlegge og gjennomføre revisjonen med en profesjonelt skeptisk holdning, herunder vurdere risikoen for at det kan foreligge vesentlig feilinformasjon i regnskapet som følge av misligheter. Loven setter rammene for revisors arbeid med misligheter. Den praktiske gjennomføringen av denne delen av revisjonen er nærmere omtalt i den reviderte utgaven av RS 240 som omtales her.

Tilsiktet feilinformasjon i regnskapet

RS 240 behandler i likhet med revisorloven misligheter som kan føre til feilinformasjon i regnskapet. Det som skiller misligheter fra feil, er hvorvidt den underliggende handlingen som fører til feilinformasjonen i regnskapet, er tilsiktet eller utilsiktet. To typer tilsiktet feilinformasjon er relevante for revisor. Feilinformasjon som resultat av uredelig regnskapsrapportering og feilinformasjon som resultat av underslag av eiendeler. I den reviderte versjonen av standarden er det særlig lagt vekt på revisjonshandlinger som skal avdekke tilsiktet uredelig regnskapsrapportering.

Ledelsens og styrets ansvar

Det er styrets ansvar å sørge for, gjennom tilsyn med ledelsen, at foretaket oppretter og vedlikeholder interne kontroller for å gi rimelig sikkerhet for at regnskapsrapporteringen er pålitelig, at forretningsdriften fungerer effektivt og at gjeldende lover og forskrifter overholdes. Ledelsen er de som iverksetter de interne kontrollene og som derfor i første rekke bidrar til at misligheter forhindres, og dersom de likevel skjer, avdekkes. Det praktiske ansvaret for å forebygge og avdekke misligheter ligger derfor fortsatt hos ledelsen.

Iboende begrensninger i revisjonen

Misligheter er vanskelig å avdekke da de kan omfatte avanserte og nøye planlagte opplegg for å skjule dem. Slike forsøk på å skjule misligheter kan ledsages av fordekt samarbeid. Fordekt samarbeid kan føre til at revisor tror at revisjonsbevis er troverdig når det i virkeligheten er falskt. Ledelsen er ofte på grunn av sin posisjon i stand til direkte eller indirekte å manipulere registreringer og presentere uriktig økonomisk informasjon. Ledelsesmisligheter er derfor vanskeligere å avdekke enn misligheter begått av de øvrige ansatte.

Det er ikke mulig å oppnå absolutt sikkerhet for at vesentlig feilinformasjon i regnskapet som har oppstått på grunn av feil eller misligheter, avdekkes av revisor. Dette skyldes blant annet anvendelsen av skjønn, utførelsen av utvalgsbasert testing, den interne kontrollens iboende begrensninger og det faktum at mange av de revisjonsbevis som er tilgjengelige for revisor, er mer underbyggende enn absolutte.

Profesjonell skepsis

En profesjonelt skeptisk holdning er særlig viktig ved vurdering av risikoene for vesentlig feilinformasjon som skyldes misligheter. En profesjonelt skeptisk holdning omfatter en spørrende holdning og en kritisk vurdering av revisjonsbevis. En profesjonelt skeptisk holdning krever løpende evaluering av hvorvidt informasjonen og revisjonsbevisene som innhentes, tyder på at vesentlig feilinformasjon som skyldes misligheter foreligger. Revisor må opprettholde en profesjonelt skeptisk holdning gjennom hele revisjonen.

Standarden understreker at revisor må forsøke å se bort fra tidligere erfaringer med ærligheten og integriteten til ledelsen og styret i foretaket. Selv om revisor ikke kan forventes å se helt bort fra tidligere erfaringer med foretaket med hensyn til ærligheten og integriteten til ledelsen og styret, må revisor være oppmerksom på at omstendighetene kan ha endret seg.

En revisjon omfatter sjelden granskning av om dokumentasjonen er autentisk. Det forventes heller ikke at revisor er ekspert på slike vurderinger. Under revisjonen vurderer revisor påliteligheten av informasjon som skal anvendes som revisjonsbevis. Med mindre revisor har grunn til å tro noe annet, går revisor vanligvis ut fra at registreringer og dokumenter er ekte. Dersom forhold som identifiseres under revisjonen, medfører at revisor tror at et dokument ikke er autentisk eller at vilkår i et dokument kan ha blitt endret, foretas ytterligere undersøkelser.

Tilpasning til de nye risikostandardene

I september sendte revisjonskomiteen tre nye revisjonsstandarder om revisjonsrisiko på høring. Standardene forventes vedtatt i løpet av 2005 med samme virkningstidspunkt som den reviderte RS 240. Den reviderte RS 240 om misligheter er tilpasset systemet i de nye risikostandardene. Standardene gir uttrykk for at følgende skritt må gjennomføres:

• Gjennomføring av risikovurderingshandlinger

  • Diskutere i revisjonsteamet

  • Rette forespørsler til ledelsen og evt. andre

  • Opparbeide seg en forståelse av hvordan styret fører tilsyn med ledelsens prosesser for å identifisere og håndtere risikoene for misligheter

  • Rette forespørsler til styret

  • Vurdere om det foreligger mislighetsrisikofaktorer

  • Vurdere uvanlige eller uventede sammenhenger

• Identifisere og vurdere risikoene for vesentlig feilinformasjon som skyldes misligheter

  • Vurdere risikoer for misligheter ved inntektsføring

• Fastsette revisjonshandlinger

  • Revisjonshandlinger for å håndtere risiko på regnskapsnivå

  • Revisjonshandlinger for å håndtere risikoer på påstandsnivå

  • Revisjonshandlinger for å håndtere ledelsens overstyring av kontroller

    • Posteringer og andre justeringer

    • Regnskapsestimater

    • Forretningsmessig begrunnelse for betydelige transaksjoner

• Vurdere revisjonsbevis

• Innhente skriftlig uttalelse fra ledelsen

• Kommunikasjon med ledelsen og styret

• Kommunikasjon til regulerings-, kontroll- og påtalemyndigheter

• Dokumentasjon

Revisors arbeid med misligheter er integrert i det løpende revisjonsarbeidet. Standarden spesifiserer likevel enkelte obligatoriske handlinger. Dersom det er mistanke om eller det avdekkes misligheter, økes omfanget av revisors arbeid.

Identifisere og vurdere risikoene for vesentlig feilinformasjon som skyldes misligheter

RS 315 krever at revisor vurderer og identifiserer risiko for feilinformasjon på regnskapsnivå og på regnskapspåstandsnivå for transaksjonsklasser, kontosaldoer og tilleggsopplysninger. RS 240 punkt 57 krever at revisor gjør tilsvarende når det gjelder risikoene for vesentlig feilinformasjon som skyldes misligheter. I praksis gjøres dette samtidig.

Dersom revisor kommer til at enkelte risikoer kan føre til vesentlig feilinformasjon, skal disse risikoene behandles som særskilte risikoer. Dette innebærer at revisor, i den grad dette ikke allerede er gjort, må evaluere utformingen av foretakets tilknyttede kontroller, herunder relevante kontrollaktiviteter, og fastslå hvorvidt de er iverksatt. Se nærmere om dette i RS 315 punktene 108 til 114.

Fastsette revisjonshandlinger

RS 240 krever at revisor utformer og utfører revisjonshandlinger hvis art, tidspunkt og omfang er tilpasset de vurderte risikoene for misligheter. Standarden inneholder mye konkret veiledning for hvilke revisjonshandlinger som kan gjennomføres dersom konkrete risikoer er til stede.

I takt med økende risiko for misligheter skal revisors profesjonelle skepsis skjerpes. Det må da utvises økt følsomhet ved utvelgelse av arten og omfanget av den dokumentasjonen som undersøkes for å underbygge vesentlige transaksjoner. Videre må revisor erkjenne behovet for å underbygge ledelsens forklaringer eller uttalelser vedrørende vesentlige forhold.

Vurdere revisjonsbevis

Det kreves at revisor, med utgangspunkt i de gjennomførte revisjonshandlingene og de innhentede revisjonsbevisene, vurderer hvorvidt de anslåtte risikoene for vesentlig feilinformasjon på regnskapspåstandsnivå fortsatt er hensiktsmessige. Hensikten med vurderingen er å vurdere om det er innhentet tilstrekkelig revisjonsbevis, og om det er behov for å utføre ytterligere revisjonshandlinger.

I denne vurderingen inngår en vurdering av om analytiske kontrollhandlinger som er utført ved eller nær revisjonens avslutning, indikerer en risiko for misligheter som det ikke er tatt hensyn til tidligere. Revisor kan ikke gå ut fra at et tilfelle av misligheter er en isolert hendelse. Når revisor identifiserer feilinformasjon, må revisor alltid vurdere hvorvidt denne feilinformasjonen kan tyde på misligheter.

Innhente skriftlig uttalelse fra ledelsen

På grunn av de karakteristiske trekkene ved misligheter og fordi det er vanskelig for revisor å oppdage vesentlig feilinformasjon i regnskap som skyldes misligheter, er det viktig at revisor innhenter en skriftlig uttalelse fra ledelsen. Ledelsen må i den skriftlige uttalelsen som et minimum:

• erkjenne sitt ansvar for utformingen og gjennomføringen av intern kontroll for å forhindre og avdekke misligheter,

• opplyse om at revisor er blitt gjort kjent med resultatene av ledelsens vurdering av risikoen for at regnskapet inneholder feilinformasjon som skyldes misligheter,

• opplyse om at revisor er blitt gjort kjent med ledelsens kjennskap til misligheter eller mistanke om misligheter som påvirker foretaket og som omfatter:

  • ledelsen,

  • ansatte som utfører betydelige oppgaver i den interne kontrollen eller

  • andre der misligheter vil ha en vesentlig innvirkning på regnskapet og

• at ledelsen har opplyst revisor om sin kjennskap til eventuelle påstander om misligheter eller mistanke om misligheter som påvirker foretakets regnskap som er kommunisert av ansatte, tidligere ansatte, analytikere, tilsynsmyndigheter eller andre.

Å innhente en uttalelse med dette innholdet er obligatorisk. RS 580 «Uttalelser fra ledelsen» gir veiledning om innhenting av hensiktsmessige uttalelser fra ledelsen under revisjonen.

Kommunikasjon med ledelsen og styret

Hvis revisor har identifisert misligheter eller har innhentet informasjon som tyder på at misligheter kan foreligge, må revisor kommunisere disse forholdene til ledelsen og styret. Revisorloven § 5-4 jf. § 5-2 fjerde ledd tilsier at avdekkede misligheter og svakheter i intern kontroll normalt skal kommuniseres i nummerert brev til styret. Der hvor kontrollkomiteer eller revisjonskomiteer er etablert, kan det være mer naturlig at revisor kommuniserer til disse. Revisor må forsikre seg om at styret har mottatt og behandlet brevet. I små selskaper hvor styret og adm. direktør er samme person, vil det normalt være «styrefunksjonen» brevet sendes til.

RS 260 «Kommunikasjon om revisjonsmessige forhold til dem som har overordnet ansvar for styring og kontroll» gir veiledning om hvilke forhold revisor normalt kommuniserer til foretakets styre. I tillegg krever RS 240 i punkt 101 at revisor må vurdere hvorvidt det foreligger andre forhold knyttet til misligheter som bør drøftes med foretakets styre. Disse forholdene kan blant annet omfatte revisors vurdering av ledelsens evne til å håndtere risikoer for misligheter, ledelsens integritet samt foretakets kontrollmiljø. Det er grunn til å merke seg at det er et dokumentasjonskrav knyttet til kommunikasjon med ledelsen og styret.

Kommunikasjon til regulerings-, kontroll- og påtalemyndigheter

I Norge må revisor rapportere følgende forhold til regulatoriske myndigheter:

1. (hvitvaskingsloven § 7) mistanke om at en transaksjon har tilknytning til utbytte av en straffbar handling eller til forhold som rammes av straffeloven § 147 a eller § 147 b

2. (kredittilsynslovens § 3a som gjelder ved revisjon av selskaper som er underlagt kredittilsynet) ethvert forhold vedrørende virksomheten som revisor får kjennskap til under utøvelsen av sin revisjonsvirksomhet som kan:

   1. innebære en overtredelse av bestemmelser som regulerer institusjonens (kredittilsynslovens § 1) virksomhet, dersom overtredelsen kan medføre tilbakekall av institusjonens tillatelse til å drive virksomhet,

   2. skade den fortsatte drift av institusjonen, eller

   3. medføre at regnskapene ikke godkjennes eller at det tas forbehold.

Rapporteringsplikten etter (b) gjelder tilsvarende for forhold som revisor får kjennskap til under utøvelse av sin revisjonsvirksomhet for foretak som institusjonen har nære forbindelser med.

Revisor har dessuten en rett til å underrette politiet (revisorloven § 6-1 fjerde ledd) dersom det i forbindelse med revisjonsoppdrag eller andre tjenester fremkommer forhold som gir grunn til mistanke om at det er foretatt en straffbar handling. Det er knyttet et dokumentasjonskrav til kommunikasjon med regulatoriske myndigheter.

Dokumentasjon

Punktene 107 til 111 i den reviderte RS 240 omhandler dokumentasjon. I eksisterende RS 240 er dokumentasjonskravene i hovedsak knyttet til de avdekkede mislighetsrisikofaktorene og hvordan revisor har håndtert dem. I den reviderte versjonen av RS 240 er dokumentasjonskravene knyttet til de mislighetsrisikofaktorer som avdekkes i risikovurderingsprosessen, hvordan revisor har tenkt til å håndtere risikoene med revisjonshandlinger, resultatet av revisjonshandlingene og den kommunikasjon som har vært med selskapets styre, ledelse og regulatoriske myndigheter. Et spesielt dokumentasjonskrav er knyttet til revisors vurdering av risikoen for misligheter ved inntektsføring.

Avslutning

Den reviderte RS 240 utvider kravene til revisors arbeid i forbindelse med misligheter. Standardens system er i overensstemmelse med de nye risikostandardene fra IAASB. Kravene til revisor er ikke bare mer presist beskrevet i den uthevede teksten, det er også flere krav enn i den eksisterende standarden. Dessuten gis vesentlig mer veiledning i den ikke-uthevede teksten til hvordan kravene i den uthevede teksten kan praktiseres enn i den eksisterende standarden. Hensikten med de økte kravene er først og fremst å redusere risikoen for at revisor ikke oppdager misligheter som innebærer at regnskapet inneholder vesentlige feil.

Kilder:

Knut Olav Berg, Misligheter og feil ved revisjon av regnskaper, RR 4/2003

RS 240 (revidert) Revisors oppgaver med og plikter til å vurdere misligheter ved revisjon av regnskaper

Hans Cordt-Hansen, Kommentarutgave til revisorloven andre utgave, DnR Forlaget 2003

Roger Kjelløkken, Kommunikasjon om revisjonsmessige forhold, RR 5/2003