Revidert RS 240:

Revisor og misligheter

RS 240 i revidert versjon omhandler bare misligheter, i motsetning til dagens standard, som også tar for seg utilsiktede feil. Den nye versjonen samkjøres med de nye «risikostandardene». Det har medført en del justeringer, blant annet av hvilken tekst som er uthevet.*Artikkelen er skrevet med utgangspunkt i høringsutkastet slik det foreligger ultimo oktober 2005. Det antas at eventuelle endringer i den endelige standarden vil være begrenset til mindre språklige korreksjoner.

Så kommer en revidert utgave av RS 240, den tredje versjonen siden standarder for revisjon og beslektede tjenester overtok for NSRFs normer og anbefalinger til god revisjonsskikk i 1998. Utviklingen har vært bemerkelsesverdig. Første versjon av RS 240 besto av 26 punkter og et kort vedlegg og beslagla beskjedne 4,5 sider i Revisors Håndbok i 1998. Neste versjon, som kom i 2003 og ennå er i kraft, inneholder 76 punkter, et kort tillegg for offentlig sektor og tre vedlegg, i alt 20,5 sider. Tredje versjon, som skal gjelde for revisjon av regnskap avsluttet 1. januar 2006 eller senere, omfatter 111 punkter, et kort tillegg for offentlig sektor og tre vedlegg, og brer seg over 30 sider. Samtidig har det skjedd en utvikling i titlene:

Første versjon: Misligheter og feil
Annen versjon: Revisors oppgaver med og plikter til å vurdere misligheter og feil ved revisjon av regnskaper
Tredje versjon: Revisors oppgaver med og plikter til å vurdere misligheter ved revisjon av regnskaper

RS 240 (annen versjon - gjeldende)		RS 240 (tredje versjon - fra 1. jan. 2006)
INNHOLD	Punkt	INNHOLD	Punkt
Innledning	1-2	Innledning	1-3
Karakteristiske trekk ved misligheter og feil	3-9	Karakteristiske trekk ved misligheter	4-12
Oppgaver og plikter for ledelsen og de som har overordnet ansvar for styring og kontroll	10-12	Oppgaver og plikter for ledelsen og dem som har overordnet ansvar for styring og kontroll	13-16
Revisors oppgaver og plikter	13-41	Iboende begrensninger ved revisjonen når det gjelder misligheter	17-20
		Revisors oppgaver og plikter for å oppdage vesentlig feilinformasjon som skyldes misligheter	21-22
		Profesjonell skepsis	23-26
		Diskusjon i revisjonsteamet	27-32
		Risikovurderingshandlinger	33-56
		Identifisering og vurdering av risikoene for vesentlig feilinformasjon som skyldes misligheter	57-60
Revisjonshandlinger når omstendighetene indikerer mulig feilinformasjon	42-45	Handlinger for å håndtere risikoene for vesentlig feilinformasjon som skyldes misligheter	61-82
Vurdering av om identifisert feilinformasjon kan være indikasjon på misligheter	46-47	Vurdering av revisjonsbevis	83-89
Evaluering og behandling av feilinformasjon og betydningen for revisjonsberetningen	48	Vurdering av revisjonsbevis	83-89
Uttalelser fra ledelsen	51-55	Uttalelser fra ledelsen	90-92
Kommunikasjon	56-68a	Kommunikasjon med ledelsen og dem som har overordnet ansvar for styring og kontroll	93-101
Kommunikasjon	56-68a	Kommunikasjon til regulerings-, kontroll- og påtalemyndigheter	102
Revisor ikke i stand til å fullføre oppdraget	69-75	Revisor ikke i stand til å fullføre oppdraget	103-106
Dokumentasjon	49-50	Dokumentasjon	107-111
(Ikrafttredelsesdato)	76	(Ikrafttredelsesdato)	112
Tillegg for offentlig sektor		Tillegg for offentlig sektor

Vedlegg 1: Eksempler på risikofaktorer vedrørende feilinformasjon som skyldes misligheter		Vedlegg 1: Eksempler på mislighetsrisikofaktorer
Vedlegg 2: Eksempler på modifikasjon av revisjonshandlinger som følge av vurderingen av mislighetsrisikofaktorer i samsvar med punktene 39-41		Vedlegg 2: Eksempler på mulige revisjonshandlinger for å håndtere de vurderte risikoene for vesentlig feilinformasjon som skyldes misligheter
Vedlegg 3: Eksempler på omstendigheter som tyder på mulige misligheter eller feil		Vedlegg 3: Eksempler på omstendigheter som indikerer muligheten for misligheter

Som titlene viser, har området som reguleres i tredje versjon krympet fra «misligheter og feil» til «misligheter». Endringen er til det bedre - det er mildt sagt forvirrende når RS 240 i første og annen versjon snakker om misligheter og feil og benytter «feil» i betydningen «utilsiktede (feil)handlinger», «misligheter» i betydningen «tilsiktede (feil)handlinger» og «feilinformasjon» om regnskapsmessig konsekvens av «feil» eller «misligheter». Man skal også holde hodet kaldt for å følge med i nyanserte handlingsregler i situasjoner der det enten forekommer feil eller misligheter. Lange ord gjør ikke livet lettere for leseren - som alle vet, er «bygningsindustriarbeiderforbundet» verdens lengste ord, men «mislighetsrisikofaktorer», som ble introdusert i annen versjon av RS 240, havnet godt oppe på listen.* «Mislighetsrisikofaktorer» benyttes også i tredje versjon, sammen med det enda lengre «risikovurderingshandlinger». Sistnevnte ord introduseres i den nye standarden RS 315 Forståelse av foretaket og dets omgivelser og vurdering av risikoene for vesentlig feilinformasjon, som er ment å tre i kraft samtidig med den nye versjonen av RS 240.

Tabell 1 sammenholder avsnittsoverskriftene i annen og tredje versjon av RS 240 og kan gi et første inntrykk både av hva som reguleres og av endringene.* I god regnskapsånd har jeg flyttet et avsnitt i annen versjon for å bedre sammenlignbarheten. Som tabellen viser, dekker de to versjonene i stor grad de samme områdene, men alt som har med utilsiktede feil å gjøre, er fjernet i tredje versjon.

Med betegnelsen «RS 240» i drøftelsen nedenfor mener jeg den nye, reviderte versjonen av standarden. Noen steder sammenholder jeg denne versjonen med andre versjon, som gjelder i dag. Da anvender jeg «RS 240 (revidert)» som betegnelse for den nye versjonen. Jeg håper og tror at det ikke vil oppstå tvil eller misforståelser om hvilken versjon som omtales til enhver tid.

Standardene angir overordnede mål, prinsipper og krav med uthevet skrift, mens veiledning om hvordan målene kan nås er gjengitt med ordinær skrift. Selv om all tekst i en standard må ses i sammenheng, behandler jeg for det meste punkter i RS 240 med uthevet skrift, og jeg har ikke hatt noen ambisjoner om å drøfte alle deler av teksten som ikke er uthevet. Når jeg viser til punkter i standarden med uthevet skrift, angir jeg det i referansen.

RS 240 er en beskrivelse av et revisjonsteoretisk mikrokosmos, ved at den redegjør relativt fullstendig for en revisjonsprosess rettet mot feilinformasjon som skyldes én type hendelse, misligheter.*RS 240 p. 1 refererer til de nye «risikostandardene», RS 315 Forståelse av foretaket og dets omgivelser og vurdering av risikoene for vesentlig feilinformasjon og RS 330 Revisjonshandlinger for å håndtere anslåtte risikoer. Grunntanken er velkjent: Revisor må vurdere risikoen for vesentlig feilinformasjon og planlegge og gjennomføre revisjonshandlinger som begrenser revisjonsrisikoen til et akseptabelt nivå.

Revisjonsprosessen kan fremstilles som et enkelt styringskretsløp, som vist i figur 1.

RS 240 tar for seg alle fasene i styringskretsløpet, med hovedvekt på planlegging og rapportering, i tillegg til at den drøfter relevante sider ved og rundt misligheter som sådan. Videre i artikkelen benytter jeg faseinndelingen i figur 1, etter først å ha sett nærmere på mislighetsbegrepet, ledelsesnivåer og ledelsens ansvar, revisors grunnholdning og iboende begrensninger for revisjon.

Begrepsavklaring

RS 240 benytter en del ord og uttrykk som leseren må være fortrolig med. Noen av begrepene er hentet fra andre standarder, for eksempel de nye «risikostandardene», og noen introduseres i en eller annen versjon av RS 240. Nedenfor kommenterer jeg mislighetsbegrepet og begreper som brukes for å betegne ulike ledelsesnivåer i et foretak.

Begrepet «mislighet»

«Mislighet» defineres som en tilsiktet, uredelig handling som noen gjennomfører i den hensikt å oppnå urettmessig eller ulovlig fordel for seg selv, for foretaket eller for andre (jf. RS 240 p. 6).*RS 240 p. 6 omtaler ikke hvem handlingen skal være til fordel for.

Noen misligheter medfører, eller kan medføre, vesentlig* RS 240 drøfter ikke vesentlighetsbegrepet særskilt. Av RS 320 Vesentlighet fremgår det at feilinformasjon i regnskapet er vesentlig hvis, og bare hvis, en rimelig regnskapsbruker ville endret sine disposisjoner hvis informasjonen var kjent. Definisjonen kan uten videre anvendes for situasjoner der det foreligger feilinformasjon som skyldes mislighet. feilinformasjon i regnskapet, andre ikke.*Ordlisten som følger standardsettet definerer «feilinformasjon» som en uriktighet i årsregnskapet som skyldes feil eller mislighet. Ordlisten har en snevrere definisjon av «mislighet» enn RS 240 p. 6, ved at den begrenser begrepet til «tilsiktede handlinger ... som medfører feilinformasjon i årsregnskapet». I denne artikkelen holder jeg meg til definisjonen i RS 240 p. 6. RS 240 er for det meste konsentrert om misligheter som kan ha betydning for regnskapet.

Det er to typer misligheter som opptar revisor:

Uredelig regnskapsrapportering («fraudulent financial reporting»), det vil si at det introduseres feilinformasjon i regnskapet i den hensikt å villede regnskapsbrukerne. Her består misligheten i selve det å feilinformere. Motivet for å feilinformere er gjerne at det tjener regnskapsavleggerens interesser, for eksempel gjennom resultatavhengig bonus, opsjonsordninger, egen eierinteresse i foretaket e.l. Et annet motiv kan være å sikre foretakets eller eiernes interesser ved refinansiering, emisjoner, fusjon/oppkjøp e.l. Uredelig regnskapsrapportering omfatter manipulering (inkludert dokumentforfalskning), endringer av regnskapsregistreringer og endringer av grunnlagsdokumenter, uriktig inkludering eller ekskludering av hendelser, transaksjoner eller annen informasjon, bevisst feilaktig anvendelse av regnskapsprinsipper etc. (se p. 8 - p.10). Uredelig regnskapsrapportering fører ofte til massiv feilinformasjon i regnskapet. Som ek-sempler kan nevnes Enron, WorldCom, Parmalat, Ahold og Finance Credit.

Underslag («misappropriation of assets»), for eksempel urettmessig tilegnelse av inn- eller utbetalinger, tyveri av fysiske eiendeler, at foretaket betaler for varer og tjenester det ikke har mottatt eller privat bruk av foretakets eiendeler. I slike tilfeller består ikke misligheten primært i det å feilinformere, men et uavdekket underslag medfører feilinformasjon i regnskapet. Et underslag som ikke forsøkes skjult i regnskapet forårsaker for eksempel at balansen viser eiendeler som ikke eksisterer, at gjelden i balansen er ufullstendig og/eller at inntekter eller kostnader er feil presentert eller klassifisert i resultatregnskapet. Hvis underslaget skjules i regnskapet, skjer det ved at det introduseres feilinformasjon ved hjelp av forfalsket eller misvisende dokumentasjon. Underslag begått av ansatte på lavt nivå i foretaket avdekkes som regel mens det er av beskjedent omfang og medfører i så fall ubetydelig feilinformasjon. Faren for vesentlig feilinformasjon er større når personer i ledelsen er involvert, fordi ledelsen ofte kan holde underslag skjult i regnskapet slik at det ikke avdekkes før det er blitt betydelig (se p. 11).

RS 240 filosoferer over grunnene til at det begås misligheter og røper standardsetternes nokså pessimistiske og muligens realistiske menneskesyn: at noen har liten evne til å motstå fristelser, at noen klarer å rettferdiggjøre uredelige handlinger i egne øyne, at personer som i utgangspunktet er ærlige, kan begå misligheter hvis de blir utsatt for tilstrekkelig press, etc. (se p. 12). En betimelig påminnelse, men jeg er usikker på om denne typen betraktninger har en naturlig plass i en revisjonsstandard.

Begreper som betegner ulike ledelsesnivåer i et foretak

I norsk selskapslovgivning brukes begrepet «ledelse» som en samlebetegnelse for styrende organer i et foretak, for eksempel styret og daglig leder i et aksjeselskap (jf. kapittel 6 i aksjelovene). I noen sammenhenger er det hensiktsmessig med generelle betegnelser som skiller mellom ledelsesnivåene. DnR lanserte begrepet «de som har overordnet ansvar for styring og kontroll»*Med dette begrepet har Revisjonskomiteen spent opp en grammatikalsk snubletråd. Konstruksjonen formelig innbyr til de/dem-feil, og det vrimler av dem i den versjonen av RS 240 jeg har tilgjengelig. i RS 260 Kommunikasjon om revisjonsmessige forhold til dem som har overordnet ansvar for styring og kontroll. Begrepet er en oversettelse av «those charged with governance» (se ISA 260) og benyttes i flere standarder, blant annet i RS 240. I aksjeselskaper og allmennaksjeselskaper er det styret som innehar denne rollen. Det samme gjelder i andre foretak med styre, med mindre annet følger av særbestemmelser. Standardene benytter ordet «ledelse» som betegnelse for dem som står for den daglige, operative ledelsen i foretaket. Begrepet er en oversettelse av «management» (se ISA 260). I aksjeselskaper og allmennaksjeselskaper er dette først og fremst daglig leder, men betegnelsen brukes ofte med bredere betydning. Videre i artikkelen benytter jeg for enkelthets skyld «styret» for «those charged with governance» og «ledelsen» for «management». Leseren får selv konvertere begrepene der det er snakk om foretaksTyper med andre betegnelser på styringsorganene.*Lovbestemmelser om styringsstrukturer kan bli endret i løpet av relativt kort tid, som følge av internasjonale påvirkninger og forpliktelser, for eksempel gjennom the Sarbanes-Oxley Act og EUs nye åttende direktiv.

Det er styret og ledelsen i foretaket som har hovedansvaret for å forhindre og for å avdekke misligheter. Etter å ha konstatert dette (se p. 13), reflekterer RS 240 over hvilken betydning ærlighet og etisk atferd har for bedriftskulturen i et foretak (se p. 14) og over styrets og ledelsens ansvar for kontrollmiljøet og for intern kontroll. Ledelsen bør, hevder standarden, under styrets tilsyn, legge stor vekt på forebyggende tiltak mot misligheter, på avdekking av misligheter og på sanksjonering mot misdedere, for å få kyniske, egoistiske nyttemaksimerere til å innse at forbrytelse ikke lønner seg. Betraktningene stemmer bra overens med prinsippene som ligger til grunn for norske selskapsrettslige regler om formuesforvalting.

Iboende begrensninger ved revisjon

Det er ikke mulig for revisor å oppnå full sikkerhet for at all vesentlig feilinformasjon i regnskapet avdekkes av revisjonen. Revisor forsøker heller ikke å redusere oppdagelsesrisikoen, og derved revisjonsrisikoen, til null - det er akseptert at det er en viss risiko for at et årsregnskap med ren revisjonsberetning inneholder vesentlig feilinformasjon.

Feilinformasjon kan være en konsekvens av utilsiktede handlinger eller av misligheter. Det er generelt større risiko for at revisor ikke har avdekket feilinformasjon som skyldes misligheter, enn feilinformasjon som skyldes utilsiktede handlinger. Grunnen er at en som begår misligheter som oftest treffer tiltak for å forhindre at mislighetene og feilinformasjonen avdekkes. Tiltakene kan være svært avanserte og nøye planlagt og gjennomført. Ofte er det også større risiko for ikke å avdekke misligheter begått av personer i ledelsen, enn misligheter begått av ansatte lenger nede i organisasjonen. Det skyldes at ledelsen som regel har bedre mulighet enn andre til å forhindre at misligheter og feilinformasjon avdekkes, ved manipulering av dokumentasjon, overstyring av kontrollrutiner, misbruk av instruksjonsmyndighet overfor regnskapspersonalet, etc. Det er spesielt stor risiko for at revisjon ikke avdekker mislighet begått ved samarbeid mellom personer innen foretaket, eller mellom personer i foretaket og utenfor foretaket.

At det i etterhånd avdekkes at et revidert regnskap inneholder vesentlig feilinformasjon som skyldes misligheter, er selvsagt ikke i seg selv bevis for at revisjonen ikke har vært gjennomført i henhold til god revisjonsskikk. For å avgjøre det spørsmålet, må man se på hva revisjonen har omfattet og om den har vært forsvarlig etter omstendighetene.

Disse poengene er diskutert i p. 17 - p. 20, som implisitt sier at regnskapsbrukerne må være klar over at det er høyere revisjonsrisiko knyttet til feilinformasjon som skyldes misligheter enn til feilinformasjon som skyldes for eksempel slurv og inkompetanse. Noen regnskapsbrukere lever nok i den villfarelse at det er omvendt - at revisor har et spesielt ansvar for å avdekke misligheter og feilinformasjon som skyldes misligheter, og at revisjonsrisikoen for denne Typen feilinformasjon derfor er lavere enn for annen feilinformasjon.

Profesjonell skepsis

Revisor må ha en profesjonelt skeptisk holdning under hele revisjonsprosessen. Litt upresist vil det si at revisor ikke skal anta at personer i styret og ledelsen eller andre ansatte er skurker, men ha et åpent sinn og innse at de kan være det. Når noe ser underlig ut, skal revisor være klar over at det kan være indikasjon på misligheter, og da må forholdet følges opp og avklares.

Det kan være at revisor har gode erfaringer fra før med ledelsens og styrets ærlighet og integritet. Revisor må likevel være innforstått med at regnskapet kan inneholde vesentlig feilinformasjon som skyldes misligheter, uten å ta hensyn til disse erfaringene (p. 24, uthevet skrift). Revisor kan med andre ord ikke unnlate å følge opp når noe skurrer, med den begrunnelse at ledelsen tidligere har vist seg å være til å stole på. Standarden trekker særlig frem at revisor nøye må vurdere uttalelser og informasjon fra styret, i lys av øvrige revisjonsbevis.

Standarden pålegger ikke revisor å vurdere autentisiteten av foretakets dokumentasjon i normale tilfeller, og den nevner at revisor verken har opplæring i eller forventes å ha ekspertise til å foreta en slik vurdering. Standarden påpeker også at det ikke kan forventes at revisor avdekker en sideavtale som endrer vilkårene i et dokument, så lenge ingen av partene opplyser revisor om avtalen. Med mindre omstendighetene tilsier noe annet, bygger revisor altså på at dokumenter og registreringer er ekte. Hvis revisjonen avdekker forhold som gir revisor grunn til mistanke om at et dokument kan være forfalsket eller at vilkårene i et dokument kan være modifisert, må forholdet avklares. Det kan for eksempel gjøres ved å innhente bekreftelse fra en ekstern avtalepart, eller ved å få autentisiteten bekreftet av en ekspert.* Jf. RS 620 Bruk av en eksperts arbeid.

Revisjonsprosessen rettet mot feilinformasjon som skyldes misligheter

RS 240 inneholder som nevnt en tilnærmet fullstendig beskrivelse av en revisjonsprosess rettet mot feilinformasjon som skyldes én type hendelse, misligheter. Nedenfor drøftes de fire fasene i revisjonsprosessen hver for seg, i tillegg til dokumentasjon, under følgende avsnittsoverskrifter:

Formål
Planlegging
Utførelse
Konklusjon / rapportering
Dokumentasjon

Standarden omhandler først og fremst planlegging, rapportering og dokumentasjon, mens formål for og utførelse av revisjonen er viet mindre oppmerksomhet.

Som nevnt: Noen misligheter medfører eller kan medføre vesentlig feilinformasjon i regnskapet, andre ikke. Formålet og planleggingen dreier seg først og fremst om at revisor må finne et sett revisjonshandlinger som antas å ville frembringe tilstrekkelig og hensiktsmessig bevis for at regnskapet i det alt vesentlige er korrekt. Derfor er omtalen av disse fasene konsentrert om misligheter som fører til eller kan ha ført til vesentlig feilinformasjon i regnskapet. I omtalen av utførelsesfasen og konklusjons-/rapporteringsfasen drøftes også misligheter som ikke har medført og/eller ikke kan medføre vesentlig feilinformasjon.

Formålet for revisjon av et årsregnskap er at den skal gi revisor tilstrekkelig grunnlag for å uttale seg om hvorvidt årsregnskapet i det alt vesentlige er utarbeidet i overensstemmelse med det gjeldende rammeverket for økonomisk rapportering.* Se RS 200 Formål og generelle prinsipper for revisjon av regnskaper og høringsforslaget til RS 200 (revidert), begges p. 2, uthevet skrift.

RS 240 inneholder ikke noen direkte definisjon av formålet med revisjon rettet mot misligheter og feilinformasjon som skyldes misligheter. En mulig formålsdefinisjon kan være at revisor må planlegge og gjennomføre revisjonen av årsregnskapet slik at det oppnås betryggende sikkerhet for at regnskapet ikke inneholder vesentlig feilinformasjon som skyldes misligheter.

Planleggingen omfatter:

aInformasjonsutveksling i revisjonsteamet
bOpparbeidelse av nødvendig forståelse
cIdentifisering og vurdering av risiko
dRisikohåndtering

Mye av standarden dreier seg naturlig nok om planlegging av revisjonen. Først omtales informasjonsutveksling innen revisjonsteamet, deretter behovet for forståelse av foretaket og dets omgivelser og hvordan revisor kan opparbeide seg nødvendig forståelse. Til slutt omtales revisors arbeid med å identifisere risiko og med å håndtere identifisert risiko. Risiko omtales hele tiden med bakgrunn i vesentlighet, men vesentlighet drøftes som nevnt ikke i denne standarden. Vesentlighet er som alltid basert på antakelser om hva som ville fått den mest sensitive, rimelige regnskapsbrukeren til å endre sine disposisjoner (se over).

a) Informasjonsutveksling i revisjonsteamet

For å kunne håndtere risiko på tilfredsstillende måte, må alle som deltar i planleggingen og utførelsen av revisjonen være tilstrekkelig oppdatert med hensyn til risikosituasjonen. RS 315 Forståelse av foretaket og dets omgivelser og vurdering av risikoene for vesentlig feilinformasjon (en av de nye «risikostandardene») krever en diskusjon i revisjonsteamet om i hvilken grad regnskapet er eksponert for vesentlig feilinformasjon, uansett årsak (p. 14, uthevet skrift). Denne diskusjonen skal omfatte eksponering for vesentlig feilinformasjon som skyldes misligheter (se RS 240 p. 27, uthevet skrift). Det er vanligvis de mer erfarne medlemmene i revisjonsteamet som deltar i diskusjonen, foruten oppdragsansvarlig revisor. Oppdragsansvarlig revisor må vurdere hva som skal bringes videre til medlemmer av revisjonsteamet som ikke deltar i diskusjonen (se p. 29, uthevet skrift). Diskusjonen skal bestå i en åpen meningsutveksling om relevante forhold. RS 240 p. 30 inneholder en oversikt over temaer som kan være aktuelle, og den kan tjene som utgangspunkt for en sjekkliste for slike diskusjoner. Forøvrig nevnes det at kommunikasjon og utveksling av informasjon i revisjonsteamet om forhold av betydning for risikovurderingen må foregå gjennom hele revisjonsprosessen.

Organ/ person:	Ledelsen	Styret	Ledelsen, internrevisjonen og andre
Hva forespørselen skal dreie seg om:	Alltid: Om ledelsens vurdering av risiko for feilinformasjon som skyldes misligheter Om hvilke prosesser som eksisterer for å identifisere og håndtere risikoene Om hvilken rapportering som skjer til styret om prosessene Om hvordan forretningspraksis og etisk atferd kommuniseres til de ansatte Etter behov: Om ledelsens kjennskap til faktiske, mistenkte eller påståtte misligheter	Alltid: Om styrets kjennskap til faktiske, mistenkte eller påståtte misligheter som påvirker foretaket Om nødvendig:* Om styrets tilsyn med ledelsens prosesser for identifisering og håndtering av risiko og med iversksatt intern kontroll på området * bare nødvendig hvis det ikke finnes andre måter for å få forståelse av dette	Etter behov: Om vedkommendes kjennskap til faktiske, mistenkte eller påståtte misligheter

Organ/ person:

Ledelsen

Styret

Ledelsen, internrevisjonen og andre

Hva forespørselen skal dreie seg om:

Alltid:

Om ledelsens vurdering av risiko for feilinformasjon som skyldes misligheter
Om hvilke prosesser som eksisterer for å identifisere og håndtere risikoene
Om hvilken rapportering som skjer til styret om prosessene
Om hvordan forretningspraksis og etisk atferd kommuniseres til de ansatte

Etter behov:

Om ledelsens kjennskap til faktiske, mistenkte eller påståtte misligheter

Alltid:

Om styrets kjennskap til faktiske, mistenkte eller påståtte misligheter som påvirker foretaket
Om nødvendig:*
Om styrets tilsyn med ledelsens prosesser for identifisering og håndtering av risiko og med iversksatt intern kontroll på området

* bare nødvendig hvis det ikke finnes andre måter for å få forståelse av dette

Etter behov:

Om vedkommendes kjennskap til faktiske, mistenkte eller påståtte misligheter

Tabell 2: Krav vedrørende forespørsler til organer/personer i foretaket

b) Opparbeidelse av nødvendig forståelse

For å kunne vurdere risiko for feilinformasjon som skyldes misligheter, må revisor opparbeide seg nødvendig forståelse av foretaket, inkludert dets interne kontroll, og foretakets omgivelser. Revisor skaffer seg forståelsen ved å (se p. 33)

rette forespørsler til styret og ledelsen, og til andre i foretaket etter behov
vurdere om det foreligger «mislighetsrisikofaktorer»
utføre analytiske kontrollhandlinger og identifisere uvanlige eller uventede sammenhenger
vurdere annen informasjon som kan være nyttig for å identifisere risikoene for vesentlig feilinformasjon som skyldes misligheter

Standarden drøfter disse momentene ett for ett i p. 34 - p. 56. Mye av kjernen i standarden ligger her. Jeg omtaler bare de poengene som er angitt med uthevet skrift og knytter korte kommentarer til dem.

Forespørsler om misligheter, risikosituasjonen, intern kontroll mv.

Revisor må rette forespørsler om en rekke forhold til flere organer/personer i foretaket. Tabell 2 sammenfatter kravene, og hvert av kravene er drøftet nedenfor.

Revisor skal alltid rette forespørsler til ledelsen om dens vurdering av risikoen for feilinformasjon som skyldes misligheter, om hvilke prosesser som eksisterer for å identifisere og håndtere risikoene, om eventuell rapportering til styret om disse prosessene og om kommunikasjon av forretningspraksis og etisk atferd til de ansatte (p. 34, uthevet skrift). Hvilke forventninger revisor kan ha til ledelsen, varierer fra foretak til foretak, men hvis ledelsen for eksempel ikke har gjennomført en risikovurdering, kan det tyde på at ledelsen nedprioriterer intern kontroll som skal forhindre og/eller avdekke misligheter.

Revisor skal alltid rette forespørsel til styret om hvorvidt styret har kjennskap til faktiske, mistenkte eller påståtte misligheter som påvirker foretaket (p. 46, uthevet skrift). Hvis svaret ikke stemmer med ledelsens svar (se nedenfor), innhentes ytterligere revisjonsbevis for å avklare forholdet.

Revisor skal alltid «skaffe seg forståelse av» styrets tilsyn med ledelsens prosesser for risikoidentifisering og -håndtering og hva ledelsen har iverksatt av intern kontroll for å redusere risikoene for misligheter (p. 43, uthevet skrift). Slik forståelse kan gi revisor grunnlag for vurdering av i hvilken grad foretaket er eksponert for ledelsesmisligheter, om den interne kontrollen er tilstrekkelig og av ledelsens kompetanse og integritet. Revisor kan skaffe seg forståelsen ved for eksempel å delta på styremøter der risiko for misligheter er diskusjonstema, lese referater fra møtene eller ved å rette forespørsler til styret.

Revisor skal, etter behov, spørre ledelsen om den har kjennskap til faktiske, mistenkte eller påståtte misligheter (som nevnt over skal styret alltid stilles dette spørsmålet). Ved å spørre ledelsen, kan revisor få informasjon om risiko for feilinformasjon som skyldes ansattemisligheter, men kanskje ikke om ledelsesmisligheter.* RS 240 p. 6 definerer «ledelsesmislighet» som mislighet som involverer ett eller flere medlemmer av ledelsen eller personer som har overordnet ansvar for styring og kontroll, og «ansattmislighet» som mislighet som kun involverer andre ansatte i foretaket. Derfor retter revisor også, etter behov, forespørsler til andre som kan ha verdifull informasjon, for eksempel internrevisjonen, driftspersonale, ansatte på ulike myndighetsnivåer, ansatte som initierer, behandler eller registrerer komplekse og/eller uvanlige transaksjoner, personer som overvåker disse ansatte, foretakets juridiske avdeling, den som er ansvarlig for at foretaket ivaretar etiske og moralske krav og den/de som er tildelt ansvaret for å håndtere påstander om misligheter. Revisor må evaluere svarene skjønnsmessig, med en profesjonelt skeptisk holdning. Se p. 38, uthevet skrift.

RS 240 inneholder krav om dokumentasjon av blant annet de forespørslene som er rettet til organer og personer i foretaket og de svarene som mottas (se om dokumentasjon nedenfor), men det stilles ikke krav om at det skal innhentes skriftlige uttalelser på disse punktene.

Vurdering av mislighetsrisikofaktorer

Revisor må vurdere innhentet informasjon om foretaket, dets interne kontroll og dets omgivelser og vurdere om det finnes forhold i eller omkring foretaket som utgjør incentiver, press eller muligheter til å begå misligheter (se p. 48, uthevet skrift). Slike forhold betegnes «mislighetsrisikofaktorer». Eksempler er eksterne krav til egenkapitalandel, bonusordninger basert på oppnåelse av urealistiske resultater, svakt kontrollmiljø, svak intern kontroll over verdifulle eiendeler, etc.

Vedlegg 1 lister opp et stort antall eksempler på mislighetsrisikofaktorer, kategorisert på følgende måte:

Mislighetsrisikofaktorer relatert til feil-informasjon som skyldes uredelig regnskapsrapportering

Incentiver/press
Muligheter
Holdninger/rettferdiggjørelse

Mislighetsrisikofaktorer relatert til feilinformasjon som skyldes underslag

Incentiver/press
Muligheter
Holdninger/rettferdiggjørelse

Vedlegg 1 er kanskje den mest interessante delen av hele RS 240 og også den mest matnyttige. Stoffet er greit og oversiktlig strukturert, og momentene er svært direkte og konkret formulert. Enhver med kjennskap til tilfeller der det er avdekket misligheter, både store «management fraud»-saker som Enron, WorldCom og Finance Credit, og små underslag, vil nikke gjenkjennende til et stort antall av momentene.

Opplistingen av mislighetsrisikofaktorer er selvsagt ikke fullstendig og er ikke ment å være det, men vedlegget skriker etter å bli bearbeidet til en sjekkliste som kan (og bør!) benyttes i planleggingen av revisjonen av alle klienter. En revisor som ikke har overskudd til å sette seg ned og lese hele RS 240, bør i det minste lese igjennom og reflektere over innholdet i vedlegg 1.

Vurdering av uvanlige eller uventede handlinger

I planleggingsfasen må revisor gjennomføre en analytisk vurdering av tilgjengelig regnskapsmateriale, som en del av arbeidet med å bygge opp og vedlikeholde nødvendig forståelse av foretaket, dets interne kontroll og dets omgivelser. RS 520 Analytiske kontrollhandlinger krever dette (se p. 8, dels uthevet skrift, og p. 9). RS 240 sier at revisor må vurdere om uvanlige eller uventede resultater av analysen kan indikere risiko for feilinformasjon som skyldes misligheter (se p. 53, uthevet skrift).

Vurdering av annen informasjon

I arbeidet med å skaffe seg forståelse av foretaket, dets interne kontroll og dets omgivelser, må revisor vurdere om annen innhentet informasjon (enn den som benyttes for analyseformål, se over) tyder på at det eksisterer risiko for vesentlig feilinformasjon som skyldes misligheter (se p. 55, uthevet skrift).

c) Identifisering og vurdering av risiko

I planleggingsfasen må revisor alltid vurdere risikoen for at regnskapet inneholder vesentlig feilinformasjon, uansett årsaken til feilinformasjonen. Vurderingen gjelder risiko på flere nivåer:

risiko på regnskapsnivå
risiko på regnskapspåstandsnivå for
- transaksjonsklasser
- kontosaldoer
- tilleggsopplysninger

I dette arbeidet inngår vurdering av risikoen for vesentlig feilinformasjon som skyldes misligheter. RS 240 p. 3, uthevet skrift, lyder:

«Ved planlegging og gjennomføring av revisjon, for å redusere revisjonsrisikoen til et akseptabelt lavt nivå, må revisor vurdere risikoene for vesentlig feilinformasjon i regnskapet som skyldes misligheter.»

Revisor har allerede skaffet seg den forståelsen av foretaket, dets interne kontroll og dets omgivelser som er nødvendig for å vurdere risikoen (se over). Nå anvender revisor sitt profesjonelle skjønn og identifiserer risikoen for misligheter, knytter risikoene opp mot hva som kan gå galt på regnskapspåstandsnivå og vurderer den sannsynlige betydningen av mulig feilinformasjon. Identifisert risiko for misligheter anses som alvorlig, og revisor må vurdere utformingen av relevante interne kontroller og fastslå om de er iverksatt (hvis dette ikke allerede er gjort tidligere i revisjonen) (se p. 57, uthevet skrift).

Uredelig regnskapsføring dreier seg ofte om manipulering av driftsinntektene i resultatregnskapet, for eksempel feilperiodisering, registrering av fiktive inntekter eller utelatelse av inntekter. Revisors utgangspunkt for risikovurderingen i alle klientforetak skal derfor være at det foreligger risiko for vesentlig feilinformasjon som skyldes misligheter knyttet til inntektsføring.* «Inntektsføring» er en oversettelse av «revenue recognition», som i IFRS-standardene er oversatt med «innregning av driftsinntekter» - det hadde vært greit om begrepsapparatet i revisjonsstandardene og regnskapsstandardene var harmonisert. Hvis revisor mener at det ikke er tilfellet i et gitt foretak, må grunnlaget for denne konklusjonen dokumenteres (se p. 60, vanlig skrift, og p. 110, uthevet skrift).* P. 110 burde vært innledet slik: «Forsøk på å forstå følgende medfører alvorlig helserisiko». Den som hopper rett inn i p. 110 uten først å ha lest og skjønt p. 60, har svært liten sjanse til å oppfatte hva som menes. På dette punktet snur derved standarden utgangspunktet for risikovurderingen:

Generelt er revisors utgangspunkt at det vanligvis ikke er risiko for feilinformasjon som skyldes misligheter, men revisor må bruke sin ervervede kunnskap for å vurdere om det er risiko.
Med hensyn til inntektsføring er revisors utgangspunkt at det vanligvis er risiko for feilinformasjon som skyldes misligheter, og revisor bruker sin ervervede kunnskap for å vurdere om det ikke er risiko.

Snodig sak, som sikkert har sin bakgrunn i dårlige erfaringer i tilfeller der uredelig regnskapsrapportering knyttet til inntektsføring har stått sentralt (for eksempel WorldCom).

d) Risikohåndtering

Revisor har nå skaffet seg nødvendig forståelse og har identifisert og vurdert risikoene for at årsregnskapet skal inneholde vesentlig feilinformasjon som skyldes misligheter. Det neste blir å planlegge hvordan risikoene, hvis de er tilstede, skal håndteres - med andre ord å planlegge revisjonshandlingene.

P. 61, uthevet skrift, krever at revisor må

bestemme* Standarden benytter uttrykket «fastsette overordnede handlinger», men det blir nokså meningsløst når man leser videre. ISA 240 benytter uttrykket «determine overall responses». hvordan risiko for vesentlig feilinformasjon som skyldes misligheter på regnskapsnivå skal håndteres, og
utforme (og utføre) revisjonshandlinger som er tilpasset den vurderte risikoen på regnskapspåstandsnivå.

I veiledende tekst påpekes det at revisor vurderer om det er behov for å tilpasse måten foretaket revideres på, at revisor tilpasser typen, tidspunktet for utførelse og omfanget av revisjonshandlingene etter behov og at revisor planlegger handlinger for å avdekke om ledelsen har overstyrt intern kontroll. Hvert av disse tre punktene er utdypet videre i standarden og omtales nedenfor. Revisors profesjonelle skepsis kan bli skjerpet på to måter: Skjerpet aktsomhet med hensyn til kriteriene for utvelgelse og omfanget av den dokumentasjonen som må granskes, og økt erkjennelse av behovet for å innhente revisjonsbevis som bekrefter eller avkrefter forklaringer eller uttalelser fra ledelsen.

Tilpassing av måten foretaket revideres på

Revisor vurderer hvordan revisjonen skal gjennomføres for å håndtere risikoen for vesentlige feil som skyldes misligheter. Revisor må i den forbindelse vurdere hvordan oppdraget skal bemannes (for eksempel om det må benyttes spesielt erfarne medarbeidere og/eller medarbeidere med spesialkompetanse) og hvordan medarbeiderne skal følges opp, og hvilket overordnet syn foretaket har lagt til grunn for regnskapet. Revisor må også introdusere et element av uforutsigbarhet i revisjonen, både med hensyn til type revisjonshandlinger, når de skal utføres og omfanget av handlingene (se p. 66, uthevet skrift).

Tilpassing av type, tidspunkt for utførelse og omfang av revisjonshandlingene

Revisjonsstandardene omtaler alltid revisjonshandlinger ved tre parametre: Type handling, tidspunkt for utførelse og omfang av handlingen. Alle parametrene må tilpasses risikosituasjonen. For eksempel kan situasjonen kreve at det utføres revisjonshandlinger som vanligvis ikke er kostnadseffektive, at en handling som normalt utføres før avslutningsdatoen for regnskapet må flyttes til avslutningsdatoen eller perioden like etter, og/eller at større utvalg enn vanlig må kontrolleres før det trekkes en konklusjon for en populasjon.

Vedlegg 2 til standarden inneholder en lang rekke eksempler på revisjonshandlinger som kan være relevante når det er konstatert risiko for vesentlig feilinformasjon som skyldes misligheter. Handlingene er kategorisert etter:

vurderinger på regnskapspåstandsnivå
revisjonshandlinger rettet mot å avdekke uredelig regnskapsrapportering
revisjonshandlinger rettet mot å avdekke underslag

På samme måte som vedlegg 1 (mislighetsrisikofaktorer) kan være til nytte ved vurderingen av risiko, kan vedlegg 2 være en meget god kilde til inspirasjon for revisor når revisjonsprogrammet skal utformes.

Revisjonshandlinger for å avdekke om ledelsen har overstyrt intern kontroll

Ledelsen har ofte mulighet til å overstyre den interne kontrollen med regnskapsføringen og å introdusere feilinformasjon, for å villede regnskapsbrukerne og/eller for å skjule misligheter. Standarden hevder at overstyringsmuligheter eksisterer i alle foretak, i varierende grad, og at den i utgangspunktet må antas å utgjøre en vesentlig risiko. I tillegg til de tiltak revisor iverksetter på overordnet nivå og de revisjonshandlinger revisor planlegger og utfører på regnskapspåstandsnivå (se over), må revisor derfor gjennomføre revisjonshandlinger for å håndtere risikoen for at ledelsen overstyrer intern kontroll. Standarden omtaler disse revisjonshandlingene innenfor tre kategorier (se p. 76, uthevet skrift):

Revisor må teste hensiktsmessigheten av posteringer i hovedboken og andre justeringer som er gjort når regnskapet utarbeides
Revisor må kontrollere regnskapsestimater for å se om de inneholder skjevheter som kan resultere i vesentlig feilinformasjon
Revisor må skaffe seg forståelse av den forretningsmessige begrunnelsen for uvanlige og vesentlige transaksjoner

Hver av de tre kategoriene er utførlig omtalt og eksemplifisert i veiledende tekst (p. 77 - p. 82). Det fører for langt med en gjennomgåelse i denne artikkelen, og jeg nøyer meg med å vise til standarden. Dessverre er fremstillingen ikke den klareste, men med noe tålmodighet, og ved å konsultere den engelske teksten fra tid til annen, kan revisor finne inspirasjon til god og effektiv revisjon i denne delen av standarden.

Revisor gjennomfører de planlagte revisjonshandlingene som er rettet mot å avdekke vesentlig feilinformasjon som skyldes misligheter. Underveis kan revisor få ny informasjon eller endre sitt syn på betydningen av tidligere informasjon. Dette kan medføre endringer i opprinnelig plan, men til slutt skal revisor ha fremskaffet tilstrekkelig og hensiktsmessig revisjonsbevis på området. Vedlegg 3 beskriver en del forhold som revisor kan støte på og som kan indikere at det foreligger misligheter. Som de andre vedleggene, er vedlegg 3 svært konkret og derfor også matnyttig. Det er mulig å videreutvikle vedlegg 3 til en god og praktisk sjekkliste for anvendelse ved vurderingen av situasjonen når revisjonshandlingene er utført. Eksemplene som gjengis er inndelt i følgende kategorier:

Uoverensstemmelser i regnskapsmaterialet
Motstridende eller manglende bevis
Problematisk eller uvanlig forhold mellom revisor og ledelsen
Andre eksempler

Hvis revisjonen avdekker feilinformasjon, må revisor vurdere om det kan være en indikasjon på at det foreligger misligheter. I så fall må revisor vurdere om det kan ha betydning for andre sider ved revisjonen, spesielt for påliteligheten av uttalelser fra ledelsen (se p. 86, uthevet skrift). Revisor kan ikke anta at et avdekket tilfelle av mislighet er en isolert hendelse, og han må for eksempel vurdere om det kan være et symptom på dypereliggende problemer i foretaket. Revisor må revurdere risikoen for misligheter og, på grunnlag av dette, innhente ytterligere revisjonsbevis. Situasjonen vil også føre til at revisor revurderer påliteligheten av allerede innhentede bevis. For eksempel kan det oppstå tvil om riktigheten og fullstendigheten av uttalelser fra ledelsen og de ansatte, og om autentisiteten av regnskapsmateriale og annen dokumentasjon. Revisor vurderer også muligheten for at det foreligger fordekt samarbeid mellom personer innen foretaket eller mellom personer i og utenfor foretaket.

På alle revisjonsoppdrag må revisor innhente skriftlig uttalelse fra ledelsen om at den:

erkjenner sitt ansvar for utformingen og gjennomføringen av intern kontroll for å forhindre og avdekke misligheter,
har opplyst revisor om resultatene av sin vurdering av risikoen for at regnskapet inneholder feilinformasjon som skyldes misligheter (ikke begrenset til vesentlig feilinformasjon),
har opplyst revisor om sitt kjennskap til misligheter eller mistanke om misligheter som påvirker foretaket og som omfatter
ledelsen,
ansatte som utfører betydelige oppgaver i den interne kontrollen, eller
andre, der misligheter vil ha en vesentlig innvirkning på regnskapet, og
har opplyst revisor om sitt kjennskap til eventuelle påstander om misligheter eller mistanke om misligheter som påvirker foretakets regnskap og som er kommunisert av ansatte, analytikere, tilsynsmyndigheter eller andre.

Standarden viser til RS 580 Uttalelser fra ledelsen for mer veiledning. RS 580 krever ikke at revisor skal innhente en generell skriftlig «fullstendighetserklæring», men RS 240 krever at uttalelsen fra ledelsen vedrørende misligheter alltid skal være skriftlig (p. 90, uthevet skrift).

Revisor må alltid gjennomføre en analytisk kontroll av regnskapet ved eller nær avslutningen av revisjonen (RS 520 Analytiske kontrollhandlinger p. 13, uthevet skrift). Hensikten er å få bekreftet at regnskapet til slutt stemmer med det revisor mener er rimelig - et siste overblikk før revisjonsberetningen avgis. Revisor må vurdere om analysen indikerer risiko for vesentlig feilinformasjon som skyldes misligheter og som det ikke er tatt hensyn til tidligere (se RS 240 p. 85, uthevet skrift).

Konklusjon/rapportering omfatter:

aRapportering til fortaket av misligheter eller mistanke om misligheter
bRapportering til foretaket av svakheter i relevant intern kontroll
cRapportering til foretaket av andre forhold knyttet til misligheter
dRapportering til myndighetene

a) Rapportering til foretaket av misligheter eller mistanke om misligheter

Hvordan rapportering til foretaket skal skje, avhenger blant annet av om det er avdekket misligheter eller om det bare foreligger mistanke om misligheter, hvem som antas å være involvert og om mislighetene kan resultere i vesentlig feilinformasjon i regnskapet.

Hvis revisor har avdekket misligheter eller har informasjon som tyder på at det kan foreligge misligheter, må forholdene rapporteres «så snart som praktisk mulig» til «riktig ledelsesnivå» (p. 93, uthevet skrift). Standarden sier ikke noe om hva som menes med «så snart som praktisk mulig», men det bør sannsynligvis oppfattes som at rapportering skal skje straks det er fremskaffet tilstrekkelig bevis for forholdet til at rapporteringen vil skje i aktsom god tro. Med «riktig ledelsesnivå» menes vanligvis en person som innehar en stilling minst ett nivå over den eller de som antas å være involvert i mislighetene. Forøvrig anvender revisor skjønn på dette området, idet det tas hensyn til slikt som vesentligheten av forholdet og sannsynligheten for at det foreligger fordekt samarbeid. Vesentlighet av forholdet, og om det har ført til eller kunne ført til vesentlig feilinformasjon i regnskapet, spiller ingen rolle for om det skal rapporteres til foretaket - for eksempel rapporterer revisor begrunnet mistanke om selv et ubetydelig underslag begått av en ansatt på lavt nivå i foretaket.

Hvis revisor har identifisert misligheter som involverer ledelsen, ansatte som utfører betydelige oppgaver knyttet til intern kontroll eller andre personer der misligheten fører til vesentlig feilinformasjon i regnskapet, rapporteres forholdet så snart som praktisk mulig til styret (p. 95, uthevet skrift).

Hvis revisor er i tvil om ledelsens eller styrets ærlighet eller integritet, må det vurderes å søke juridisk bistand (p. 97). Dette er en formulering som standardene benytter når det ikke finnes noen opplagt adekvat reaksjonsform - som regel menes det da at revisor bør vurdere å trekke seg fra oppdraget. Revisor har anledning til det i slike situasjoner - det er snakk om en vesentlig tillitssvikt, og det antas å utgjøre en «særlig grunn» som gir revisor rett til å fratre uten at foretaket har valgt ny revisor, jf. revl. § 7-1 annet ledd.

Avdekkede misligheter skal rapporteres skriftlig til «ledelsen»* Revisorloven bruker betegnelsen «ledelse» som en samlebetegnelse for personer og organer som har ansvaret for den daglige driften og overordnet ansvar for styring og kontroll i foretaket, for eksempel daglig leder og styret i et aksjeselskap. i foretaket, i nummerert brevserie (revl. § 5-2 fjerde ledd nr. 3, jf. § 5-4).* Se Kjelløkken, R: Kommunikasjon om revisjonsmessige forhold i Revisjon og Regnskap nr. 8 2003, s. 37 ff. Kjelløkken hevder at alle misligheter, og også uavkreftet mistanke om mislighet, skal rapporteres i den nummererte breveserien, uansett vesentlighet, og at rapporteringen skal skje til styret. Utilsiktet feil kreves derimot rapportert i brevserien bare hvis feilen kan medføre feilinformasjon i regnskapet. Lovteksten er langt fra klar på dette punktet. RS 240 p. 96 viser til RS 260 Kommunikasjon om revisjonsmessige forhold til dem som har overordnet ansvar for styring og kontroll, som diskuterer rapporteringsformer i p. 15 - p. 17. Se også RS 260 p. 21a, uthevet skrift.

b) Rapportering til foretaket av svakheter i relevant intern kontroll

Hvis revisjonen har avdekket vesentlige svakheter i utformingen og/eller gjennomføringen av intern kontroll som skal forhindre eller avdekke misligheter, må det rapporteres til foretaket. Rapportering må skje så snart det er praktisk mulig og til riktig ansvarsnivå (se p. 99, uthevet skrift). Revl. § 5-2 fjerde ledd nr. 1 og nr. 2, jf. § 5-4, krever skriftlig rapportering til «ledelsen», i den nummererte brevserien, av hhv. «mangler ved plikten (sic!) til å sørge for ordentlig og oversiktlig registrering og dokumentasjon av regnskapsopplysninger» og av «feil og mangler ved organiseringen av og kontrollen med formuesforvaltningen». Se også RS 260 p. 21a, uthevet skrift.

c) Rapportering til foretaket av andre forhold knyttet til misligheter

Det kan være at revisor finner forhold som er betenkelige, uten at det verken foreligger mistanke om eller er avdekket misligheter. Revisor mener for eksempel at ledelsen ikke gjør det som kan forventes med hensyn til å forhindre eller avdekke misligheter, at ledelsen ikke håndterer identifiserte svakheter i den interne kontrollen på en formålstjenlig måte eller at den ikke reagerer slik den burde på identifiserte misligheter. Revisor kan også finne at kontrollmiljøet er utilfredsstillende og/eller at det kan stilles spørsmål ved ledelsens kompetanse eller integritet. Det kan også være at revisor avdekker at ledelsen har, eller har forsøkt, å pynte på informasjon for å villede regnskapsbrukerne, eller at det er mangler ved godkjennelsen av uvanlige transaksjoner.

P. 101, uthevet skrift, krever at revisor må vurdere om det foreligger slike eller lignende forhold som bør drøftes med styret. Standarden stiller ikke krav til skriftlighet, men av dokumentasjonshensyn er det vel naturlig at mer alvorlige forhold som nevnt over blir meddelt styret i den nummererte brevserien.

d) Rapportering til myndighetene

Revisor har rapporteringsplikt til Økokrim etter hvvl. § 7, hvis det oppstår mistanke om at en transaksjon har tilknytning til utbytte av en straffbar handling, til terrorhandling (jf. strfl. § 147a) eller finansiering av terrorhandling (jf. strfl. § 147b). Brudd på hvitvaskingsloven er ikke nødvendigvis forbundet med misligheter, men en mislighet kan bestå i forhold som utløser rapporteringsplikt. (Uthevet skrift i RS 240 p. 106a).

Tilsl. § 3a («BCCI-bestemmelsen») krever at revisor i et foretak som er under tilsyn av Kredittilsynet (en «institusjon»), rapporterer visse forhold som kan ha betydning for foretakets videre drift, til Kredittilsynet. Rapportering skal også skje når et slikt forhold avdekkes i et foretak som institusjonen har «nær forbindelse» med. Som for brudd på hvitvaskingsloven, er ikke brudd på tilsl. § 3a nødvendigvis forbundet med misligheter, men en mislighet kan bestå i forhold som utløser rapporteringsplikt. (Uthevet skrift i RS 240 p. 106a).

Revisor har rett til å rapportere mistanke om at det er begått en straffbar handling til politiet, jf. revl. § 6-1 fjerde ledd. (Vanlig skrift i p. 106a).

RS 240 omhandler ikke rapportering i revisjonsberetningen. Bestemmelsene i RS 700 Revisjonsberetningen dekker mislighetssituasjoner, men jeg savner en påminnelse i RS 240 om at revl. § 5-6 sjette ledd krever at revisor «gjør merknad» i revisjonsberetningen om forhold som kan føre til ansvar for medlem av styret, bedriftsforsamlingen, representantskapet eller daglig leder. Bestemmelsen er oppfattet som å gjelde erstatningsansvar eller annet sivilrettslig ansvar. Misligheter begått av personer i disse posisjonene er trolig ofte av en karakter som betinger en merknad i beretningen. En merknad gis i form av presisering.

Revisor må dokumentere følgende i tilknytning til risikovurdering og revisjon, med hensyn til misligheter:

Om risikovurderingen:
- Beslutninger av betydning som er tatt på grunnlag av diskusjoner blant medlemmene i revisjonsteamet, om i hvilken grad regnskapet er eksponert for vesentlig feilinformasjon som skyldes misligheter
- De identifiserte og vurderte risikoene for vesentlig feilinformasjon som skyldes misligheter på regnskapsnivå og påstandsnivå
Planlagte revisjonshandlinger:
- Revisjonshandlingene som planlegges for å håndtere risikoen for vesentlig feilinformasjon som skyldes misligheter, både overordnede handlinger/tiltak (regnskapsnivå) og type, tidspunkt for utførelse og omfang av revisjonshandlinger på påstandsnivå og disses tilknytning til de vurderte risikoene på påstandsnivå
Resultatet av utførte revisjonshandlinger:
- Utfallet av revisjonshandlingene, også de handlingene som tar sikte på å håndtere risikoen for at ledelsen overstyrer intern kontroll
Rapportering: Hvordan misligheter er kommunisert til ledelsen, til styret, til regulatoriske myndigheter og til andre

Som nevnt skal utgangspunktet for risikovurderingen alltid være at det er risiko for vesentlig feilinformasjon knyttet til misligheter vedrørende inntektsføring («revenue recognition»). Hvis revisor konkluderer med at dette ikke er tilfellet i et gitt foretak, må grunnlaget for konklusjonen dokumenteres (se over).

Alle bestemmelsene i RS 240 om hva som skal dokumenteres, det vil si p. 107 - p. 110, er med uthevet skrift. Med vanlig skrift påpeker p. 111 at omfanget av dokumentasjonen avgjøres av revisor, ved anvendelse av skjønn. Bestemmelsene i RS 230 Dokumentasjon gjelder selvsagt også for det arbeidet som utføres i forbindelse med misligheter og feilinformasjon som skyldes misligheter. Hovedprinsippene i RS 230 er at revisor må dokumentere forhold som er viktige som bevis for å underbygge revisjonsberetningen og bevis for at revisjonen er utført i henhold til god revisjonsskikk (p. 2, uthevet skrift), at arbeidspapirene må være tilstrekkelig fullstendige og detaljerte til å gi en totalforståelse av revisjonen (p. 5, uthevet skrift) og at arbeidspapirene må inneholde informasjon om planleggingen av revisjonen, Type, tidspunkt for utførelse og omfang av gjennomførte revisjonshandlinger, resultatene av revisjonen og konklusjonene basert på innhentede revisjonsbevis (p. 6, uthevet skrift).

Revisor er i tvil om revisjonsoppdraget kan fullføres

Det kan være at avdekkede forhold i forbindelse med misligheter eller mistanke om misligheter skaper tvil hos revisor om det er mulig å fullføre revisjonsoppdraget.* I punkt 103 og andre steder i standarden er «ability» oversatt med «evne». Når den engelske teksten snakker om «the auditor’s ability to complete the audit», blir «evne» galt. Hvis revisor ikke har evne til å fullføre revisjonsoppdraget, bør Kredittilsynet vurdere å tilbakekalle revisors godkjennelse. Eksempler på dette er nevnt i RS 240 p. 104:

Revisor er kjent med eller har mistanke om misligheter, og foretaket unnlater å iverksette nødvendige tiltak. Dette gjelder selv om forholdet ikke har eller kunne ha medført vesentlig feilinformasjon i regnskapet
Revisors risikovurdering og kontroll tilsier at det er betydelig risiko for vesentlige og omfattende misligheter
Revisor finner at det er betydelig tvil om ledelsens og/eller styrets kompetanse eller integritet

Hvis det oppstår tvil om det er mulig å fullføre oppdraget, må revisor vurdere hvilke juridiske forpliktelser som gjelder og vurdere muligheten for å trekke seg fra oppdraget. Hvis revisor trekker seg, må fratredelsen drøftes med styret, og revisor må vurdere om det foreligger yrkesmessig eller juridisk forpliktelse til å rapportere fratredelsen og årsaken til fratredelsen til de(n) som velger revisor eller til myndighetene* Artikkel 36 nr. 2 i nytt åttende EU-direktiv vil kreve at både revisor og foretaket rapporterer revisors fratredelse og årsaken til den til tilsynsmyndighetene (i Norge: Kredittilsynet). EUs frist for nasjonal tilpasning medfører at krav om dette skal være på plass i norsk lovgivning 1. januar 2008. (p. 103, uthevet skrift).

P. 103 - p. 106 er direkte oversettelse av bestemmelser som er formulert så generelt at de skal ha gyldighet i alle land, uavhengig av nasjonal lovgivning. Den norske versjonen bringer det ned på jorden i p. 105a, uthevet skrift. Dette er et «særnorsk» punkt som viser til revisors fratredelsesplikt etter revl. § 7-1 første ledd. Jeg savner en omtale av revisors rett til å fratre, med henvisning til revl. § 7-1 annet ledd, og litt om prosedyren for fratredelse (rimelig forhåndsvarsel, melding av årsak til «ledelsen» i den nummererte brevserien, egen melding om fratreden til Foretaksregisteret og kommunikasjon med en revisor som er forespurt om å påta seg oppdraget).

Om endringer fra gjeldende RS 240 til RS 240 (revidert)

Den mest iøynefallende forskjellen mellom gjeldende RS 240 og RS 240 (revidert) er at man fjerner «alt» som har å gjøre med revisors forhold til utilsiktede feilhandlinger og den feilinformasjonen de kan medføre. Endringen indikeres allerede i tittelen på standardene. Jeg synes dette er en stor forbedring. Hele standardsettet forøvrig dreier seg om hvordan revisor skal revidere for å kunne oppnå betryggende sikkerhet for at regnskapet ikke inneholder vesentlig feilinformasjon, uansett årsaken til feilinformasjonen. RS 240 (revidert) handler bare om de særlige hensyn revisor må ta for å avdekke misligheter og vesentlig feilinformasjon som skyldes misligheter.

Forøvrig er det skjedd en del endringer for å samkjøre RS 240 med de nye «risikostandardene» RS 300 (revidert) Planlegging av revisjon av regnskaper, RS 315 Forståelse av foretaket og dets omgivelser og vurdering av risikoene for vesentlig feilinformasjon, RS 330 Revisjonshandlinger for å håndtere anslått risiko og RS 500 (revidert) Revisjonsbevis. Disse standardene er ment å tre i kraft samtidig med RS 240 (revidert). Grunntanken i standardene er som den alltid har vært: revisor må skaffe seg tilstrekkelig forståelse av foretaket og dets omgivelser, vurdere risiko, planlegge revisjonshandlinger i tråd med risikovurderingen, utføre revisjonshandlingene og rapportere i henhold til resultatet av granskingen. Samkjøringen har blant annet ført til at noen momenter som står med vanlig skrift i gjeldende RS 240, er skrevet med uthevet skrift i RS 240 (revidert). Andre steder er momenter i gjeldende RS 240 splittet opp og gjort til gjenstand for mer detaljert behandling - det gjelder både krav og veiledning. Det er dette som har ført til den betydelige volumøkningen i standarden.

En del endringer fra gjeldende RS 240 til RS 240 (revidert) kan fremheves:

RS 240 (revidert) omtaler «profesjonell skepsis» mer inngående enn gjeldende RS 240 og krever blant annet at revisor må opprettholde en profesjonelt skeptisk holdning gjennom hele revisjonen (p. 24, uthevet skrift). Kravet går ikke lenger enn det som følger av RS 200 Formål og generelle prinsipper for revisjon av regnskaper (p. 6, uthevet skrift) og RS 200 (revidert) (p. 2, uthevet skrift), men RS 240 (revidert) understreker at revisor ikke kan redusere sin skepsis på grunnlag av tidligere erfaringer med ledelsens og styrets ærlighet og integritet.
Avsnittet om diskusjon i revisjonsteamet i RS 240 (revidert) inneholder et nytt krav til oppdragsansvarlig revisor om å vurdere hvilke forhold som må kommuniseres til medlemmer av revisjonsteamet som ikke deltar i teamdiskusjoner om misligheter (p. 29, uthevet skrift).
I omtalen av hvordan revisor går frem for å skaffe seg nødvendig forståelse av foretaket, dets interne kontroll og dets omgivelser er RS 240 (revidert) langt mer utfyllende enn gjeldende RS 240. Blant annet kreves det at revisor forespør ledelsen om en rekke forhold (p. 34, uthevet skrift), og omfanget av forespørselen er utvidet. RS 240 (revidert) krever også at revisor forespør internrevisjonen og andre personer i foretaket, etter behov, og styret, om de har kjennskap til faktiske, mistenkte eller påståtte misligheter (p. 38 og p. 46, begge med uthevet skrift). Dessuten krever RS 240 (revidert) at revisor må skaffe seg forståelse av hvordan styret fører tilsyn med ledelsens risikovurdering, risikohåndtering og den interne kontrollen ledelsen har opprettet på området (p. 43, uthevet skrift). Mye av dette er uttrykt som veiledende tekst i gjeldende RS 240. Omtalen av mislighetsrisikofaktorer er utvidet i RS 240 (revidert), som også uttrykker som et krav at revisor må vurdere om det foreligger mislighetsfaktorer (p. 48, uthevet skrift). Det samme gjelder revisors vurdering av resultatet av den analytiske kontrollen som gjennomføres i planleggingsfasen (p. 53, uthevet skrift) og vurdering av annen innhentet informasjon (p. 55, uthevet skrift).
Revisor må identifisere og vurdere risikoene for vesentlig feilinformasjon som skyldes misligheter. Hvis det er identifisert risiko, må revisor evaluere utformingen av relevant intern kontroll og fastslå om den er iverksatt. Dette uttrykkes som et krav i RS 240 (revidert), p. 57, uthevet skrift.
RS 240 (revidert) er noe klarere enn gjeldende RS 240 angående revisors plikt til å fastsette revisjonshandlinger på både overordnet nivå og regnskapspost/-påstandsnivå (p. 61, uthevet skrift). Det er også tatt inn et krav vedrørende «overordnede handlinger for å håndtere risiko» (p. 66, uthevet skrift).
RS 240 (revidert), p. 74 - p. 82, fremhever problemet med at ledelsen kan overstyre intern kontroll og drøfter hvordan revisor tar hensyn til dette i revisjonen. P. 76, uthevet skrift, krever at revisor må utforme og gjennomføre revisjonshandlinger rettet mot muligheten for overstyring. Substansen i bestemmelsene kan sies å være dekket implisitt i gjeldende RS 240, men nå er problemene rundt overstyring trukket frem og drøftet separat.
I omtalen av revisors vurdering av revisjonsbevis krever RS 240 (revidert) at revisor må se på om resultatet av den avsluttende analysen av regnskapet indikerer risiko for feilinformasjon som skyldes misligheter (p. 85, uthevet skrift).
RS 240 (revidert) p. 89, dels uthevet skrift, omtaler betydningen for revisjonsberetningen av feilinformasjon som skyldes misligheter. Gjeldende RS 240 dekker dette i p. 48. Begge versjonene er svært summariske og viser til RS 320 Vesentlighet og RS 700 Revisjonsberetningen. Eneste forskjell er at mens gjeldende RS 240 bare nevner situasjonen der revisor finner at regnskapet inneholder vesentlig feilinformasjon, nevner RS 240 (revidert) også situasjonen der det foreligger uakseptabel risiko for vesentlig feilinformasjon. Jeg oppfatter dette som en korreksjon av en inkurie i gjeldende RS 240.
RS 240 (revidert) angir revisors plikt til å fratre (revl. 7-1 første ledd) som et krav (p. 105a, uthevet skrift). Gjeldende RS 240 angir plikten med vanlig skrift (p. 72a). Tilsvarende angir RS 240 (revidert) revisors rapporteringsplikter overfor myndighetene som krav (p. 106a), mens gjeldende RS 240 angir dem med vanlig skrift (p. 68a). På den annen side er omtalen om kommunikasjon med foreslått ny revisor (jf. DnRs etiske regler, som ikke lenger er i kraft, og revl. § 7-2) «degradert» til en fotnote i RS 240 (revidert).
RS 240 (revidert) uttrykker alle bestemmelser om dokumentasjon av forståelse, risikovurdering, planlagte revisjonshandlinger, utfallet av revisjonen, kommunikasjon med ledelsen, styret og myndigheter m.v. som krav (p. 107 - p. 110, alle med uthevet skrift). Gjeldende RS 240 omtaler dokumentasjon mer generelt og med vanlig skrift (p. 49 - p. 50).

Denne omtalen av endringene fra gjeldende RS 240 til RS 240 (revidert) er ikke ment å være fullstendig, men jeg håper den kan være til hjelp for revisorer som forsøker å orientere seg i den floraen av nye og reviderte standarder som er ment å gjelde for revisjon av regnskaper som avsluttes 1. januar 2006 eller senere.