Hva er et attestasjonsoppdrag

Rammeverket har følgende definisjon av attestasjonsoppdrag:

«.. et oppdrag der en praktiserende revisor gir uttrykk for en konklusjon som er ment å øke graden av tillit hos de tiltenkte brukerne som ikke er ansvarlig part vedrørende vurderingen av eller målingen av saksforholdet mot kriterier»

Et attestasjonsoppdrag vil i tillegg alltid inneholde følgende elementer:

• Et trepartsforhold

• Et saksforhold

• Egnede kriterier

• Tilstrekkelig og hensiktsmessig bevis

• En skriftlig attestasjonsuttalelse

Disse elementene drøftes nærmere i en egen del av artikkelen.

Et attestasjonsoppdrag kan ha to former. Den ene er der den parten som er ansvarlig for informasjonen eksplisitt avgir en påstand om et saksforhold. Dette er for eksempel tilfelle ved avleggelse av årsregnskapet. Her kommer styre og daglig leder med en påstand om at det fremlagte årsregnskapet gir et rettvisende bilde i samsvar med det aktuelle rammeverket for finansiell rapportering. Regnskapspåstandene slik de eksempelvis er formulert i RS 500 konkretiserer hvilke påstander som konkret fremmes ved regnskapsavleggelsen. Denne typen oppdrag benevnes «påstandsbasert oppdrag».

Den andre formen for attestasjonsoppdrag er der den ansvarlige parten ikke eksplisitt gir uttrykk for noen påstand, men hvor revisor likevel avgir en attestasjon. Et eksempel på dette er attestasjonen av at ledelsen har oppfylt sin plikt til å sørge for ordentlig og oversiktlig registrering og dokumentasjon av regnskapsopplysninger. Ved at det fremlegges et regnskap gir de ansvarlige implisitt uttrykk for at det er foretatt registrering og dokumentasjon av opplysningene. I revisjonsberetningen attesterer revisor at dette er gjort i henhold til angitte kriterier - bokføringsreglene. Denne formen for attestasjonsoppdrag benevnes «direkte rapporteringsoppdrag».

Når revisor avgir attestasjonsuttalelsen, konkluderes det med moderat eller høy/betryggende sikkerhet. En konklusjon med moderat sikkerhet angis i negativ form («vi har ikke kommet over forhold som tilsier at saksforholdet ikke er i samsvar med kriteriene»), og en konklusjon med høy sikkerhet gis i positiv form («vi mener at saksforholdet er i samsvar med kriteriene»). Dette er i slik det lenge har vært praktisert ved henholdsvis begrenset revisjon og revisjon av regnskaper.

Når et oppdrag faller inn under definisjonen av et attestasjonsoppdrag, må det gjennomføres i tråd med prinsippene som beskrives i rammeverket. Rammeverket er imidlertid ikke en standard, og det er derfor få konkrete normer for gjennomføringen. Uthevet tekst er derfor ikke benyttet her. Revisor vil imidlertid utføre mange oppdrag som ikke omfattes av definisjonen ovenfor og dermed ikke faller inn under rammeverket. Avtalte kontrollhandlinger og rådgivning, herunder teknisk utarbeidelse av årsregnskap og ligningspapirer er eksempler på oppdrag som ikke er attestasjonsoppdrag. Slike oppdrag må naturlig nok ikke utføres i samsvar med rammeverket. Det er også et sentralt poeng at uttalelser knyttet til slike oppdrag ikke gis en utforming som kan indikere at det er et attestasjonsoppdrag. Følgende bør bl.a. unngås ved utforming av uttalelser knyttet til oppdrag som ikke er attestasjonsoppdrag:

• Referanse til rammeverket for attestasjonstjenester eller andre standarder innen attestasjonsområdet (RS’er, SBR’er, SA’er)

• Bruk av uttrykk som «attestasjon», «revisjon» eller «begrenset revisjon»

• Formulering av konklusjoner som kan forveksles med attestasjoner - typisk: «Vi mener at et saksforhold er i samsvar med angitte kriterier»

Aksept av attestasjonsoppdrag

Før revisor påtar seg et attestasjonsoppdrag må det gjennomføres vurderinger som ligger tett opptil de som gjøres i forbindelse med at revisor påtar seg revisjonsoppdrag. De relevante etiske kravene må være oppfylt, og revisor må ha tilstrekkelig kapasitet og kompetanse. Ved vurderingen av kompetanse må det legges vekt på det konkrete saksforholdet. Vurderingene her blir spesielt viktige når saksforholdet ikke er regnskapsinformasjon eller beslektede områder. I tillegg må oppdraget oppfylle følgende:

• Et hensiktsmessig saksforhold

• Tilgjengelige og egnede kriterier for brukerne

• Tilgang til tilstrekkelig og hensiktsmessig bevis

• Formidling av konklusjon i en skriftlig attestasjonsuttalelse

• Et rasjonelt formål

I kravet til et rasjonelt formål ligger at revisor ikke skal «selge sitt gode navn og rykte» ved å la seg assosiere med informasjon som isolert sett kan være riktig, men som likevel ikke gir verdi til brukerne.

Hvis et oppdrag ikke tilfredsstiller disse kriteriene, kan det likevel i noen tilfeller endres av oppdragsgiver slik at kriteriene oppfylles. For eksempel kan kriterier gjøres mer egnet ved å identifisere et annet aspekt ved saksforholdet som kriteriene er egnet for eller det utarbeides alternative kriterier for det opprinnelige saksforholdet. Formålet med oppdraget må imidlertid fortsatt være rasjonelt.

Elementene i et attestasjonsoppdrag

Trepartsforholdet

De tre partene i et attestasjonsoppdrag er:

• En ansvarlig part som fremsetter påstanden om saksforholdet

• En eller flere tiltenkte brukere som skal benytte informasjonen som beslutningsgrunnlag

• En praktiserende revisor som attesterer at saksforholdet er i samsvar med kriteriene

Standarden bruker også begrepet «engasjerende part» om den parten som har engasjert revisoren til å attestere saksforholdet. Den engasjerende parten vil som regel være enten den ansvarlige parten eller de tiltenkte brukere av informasjonen.

Den ansvarlige parten kan også være en av de tiltenkte brukerne, men ikke den eneste da det i tilfelle ikke lenger er tale om et trepartsforhold. Den ansvarlige parten vil også som regel gi revisor en skriftlig uttalelse om saksforholdet uansett om det er tale om et påstandsbasert oppdrag eller et direkte rapporteringsoppdrag. De tiltenkte brukerne av revisors attestasjon kan være tilknyttet samme juridiske person som den ansvarlige part, men i de fleste tilfeller vil det være tale om forskjellige juridiske personer.

Bruken av begrepet «praktiserende revisor» betyr at rammeverket gjelder for revisorer som utfører attestasjonsoppdrag, ikke for revisorer eksempelvis ansatt i økonomi- eller regnskapsfunksjoner. Revisorer i slike stillinger utfører normalt ikke attestasjonsoppdrag, og dersom de skulle begynne med det, vil de per definisjon bli «praktiserende». Forskjellen i begrepsbruk har derfor liten praktisk betydning. En praktiserende revisor er imidlertid i denne sammenhengen ikke begrenset til revisorer som reviderer regnskaper. En revisor som utelukkende attesterer andre saksforhold, for eksempel intern kontroll, omfattes også av begrepet i rammeverket.

Nedenfor er en illustrasjon av trepartsforholdet i et attestasjonsoppdrag:

Basis for attestasjonsoppdrag etter SA 3000

Som basis for å påta seg et attestasjonsoppdrag av denne typen, må revisor vurdere flere forhold. Mange av forholdene er tilnærmet identiske med de som vurderes i forbindelse med revisjonsoppdrag. Standarden nevner i den forbindelse følgende:

• Etiske krav. De etiske kravene må være oppfylt på samme måte som ved revisjonsoppdrag. Det betyr at bl.a. kravene til uavhengighet må være oppfylt også når revisor attesterer annen informasjon enn regnskapsinformasjon.

• Kvalitetskontroll. Kvalitetskontroll av oppdraget må gjennomføres etter de samme prinsippene som ved revisjon av regnskaper. Tidligere nevnte standard for kvalitetskontroll (SK) 1 som omhandler kvalitetskontroll på firmanivå, vil også komme til anvendelse ved attestasjonsoppdrag etter SA 3000.

• Aksept av oppdraget. Revisor må gjennomføre mye av de samme prosedyrene som ved aksept av revisjonsoppdrag. Det betyr bl.a. vurdering av om revisor har tilstrekkelig kapasitet og kompetanse til å påta seg oppdraget. Vurderingen av kompetanse kan være spesielt viktig i forbindelse med denne typen oppdrag. Saksforholdet kan i utgangspunktet ligge utenfor det som normalt er revisors spisskompetanse, og revisor må sørge for at teamet som skal gjennomføre oppdraget kollektivt har tilstrekkelig kompetanse til å kunne gjøre det i henhold til standarden. Som en del av akseptvurderingene må revisor også vurdere om oppdraget kvalifiserer til et attestasjonsoppdrag. Det betyr at det må fastslås at det faktisk er et trepartsforhold og hvem som er de tre partene. Videre må det vurderes om saksforholdet er målbart og om det finnes egnede kriterier å måle det mot.

• Vilkår for oppdraget. Revisor må avtale vilkårene for oppdraget, og dette bør gjøres skriftlig, for eksempel i et engasjementsbrev. Standarden angir at vilkårene ikke skal endres uten at det er en saklig grunn til det. Det gis liten veiledning i hva som er en saklig grunn. Det må antas at eksempelvis å endre fra høy til moderat sikkerhet fordi det viser seg å være vanskelig å få tilstrekkelig bevis for en slik konklusjon, vil være en saklig grunn. Å endre oppdraget til å bli attestasjon av et annet saksforhold fordi konklusjonen vil bli negativ og «det viktigste er bare at revisor attesterer noe», vil derimot neppe kunne karakteriseres som saklig.

Planlegging og gjennomføring av oppdraget

Standarden krever at attestasjonsoppdraget skal planlegges slik at formålet med oppdraget oppfylles. Formålet vil være å oppnå høy eller moderat sikkerhet for at informasjonen om saksforholdet er i samsvar med de definerte kriteriene. Som for revisjon, skal oppdraget gjennomføres med en profesjonelt skeptisk holdning.

Revisor må opparbeide seg en tilstrekkelig forståelse av saksforholdet til å kunne identifisere og vurdere risikoen for feilinformasjon. Som det fremgår av beskrivelsen av rammeverket, dekker mulige saksforhold i denne sammenhengen et vidt spekter. Det er ikke naturgitt at revisor har dybdekompetanse på alle disse områdene, og det kan derfor være naturlig for revisor å knytte til seg annen ekspertise ved gjennomføringen av oppdraget. I slike tilfeller må revisor påse at revisor og eksperten totalt sett har den nødvendige kompetansen til å utføre oppdraget. Videre må revisor selv være involvert i tilstrekkelig grad til å kunne ta ansvaret for konklusjonene slik det fremkommer av signaturen på uttalelsen.

Vurdering av identifiserte risikoer må knyttes opp mot vurderinger av vesentlighet. Som nevnt i forbindelse med rammeverket, vil det i mange tilfeller ikke kunne gjennomføres beregning av en kvantitativ vesentlighetsgrense. Attestasjon av intern kontroll er et område der dette sjelden vil være hensiktsmessig. Revisor må likevel vurdere vesentlighet, men ut fra kvalitative forhold.

Risikovurderingen er basis for fastsettelse av type, tidspunkt og omfang av kontrollhandlinger revisor utfører. Revisor må så konkludere på om risikoen for feilinformasjon er redusert til et akseptabelt lavt nivå basert på resultatene av de gjennomførte kontrollhandlingene.

Bevis og dokumentasjon

Prinsippene for innhenting og vurdering av bevis følger av retningslinjene som er gitt i rammeverket, dvs. at revisor må vurdere om det er innhentet tilstrekkelig, hensiktsmessig bevis som grunnlag for konklusjonen. Som beskrevet ovenfor, vil målet være om de identifiserte og vurderte risikoene er håndtert ved videre handlinger, slik at risikoen er redusert til et akseptabelt lavt nivå.

Standarden krever at det skal innhentes en uttalelse fra den ansvarlige parten om informasjonen om saksforholdet. En slik uttalelse vil utformes etter de samme prinsippene som benyttes for fullstendighetserklæringen i revisjon. Standarden krever videre at det skal tas hensyn til etterfølgende hendelser, dvs. hendelser som har funnet sted etter perioden informasjonen om saksforholdet dekker, men før revisor avgir sin uttalelse. I mange tilfeller vil det ikke være tale om en «balansedag» slik det er ved revisjon av regnskaper. Saksforholdet kan dekke en periode eller et tidspunkt. Hva som omfattes av etterfølgende hendelser, kan derfor variere fra oppdrag til oppdrag.

Standarden har et generelt dokumentasjonskrav. Alle forhold av betydning for å underbygge konklusjonen og for å bevise at oppdraget er utført i samsvar med aktuelle standarder, må dokumenteres.

Rapportering

Standarden benytter begrepet uttalelse om dokumentet der revisor gir uttrykk for sin konklusjon. Revisjonsberetningen vil således være en form for attestasjonsuttalelse. Attestasjonsuttalelser skal avgis skriftlig og inneholde følgende:

• Tittel og mottaker

• Identifikasjon og beskrivelse av saksforholdet

• Identifikasjon av kriteriene

• Eventuelt beskrivelse av vesentlige iboende begrensninger knyttet til evalueringen og målingen av saksforholdet mot kriteriene

• Hvem som kan bruke uttalelsen hvis det er begrensinger

• Identifikasjon av den ansvarlige parten og beskrivelse av denne partens og revisors ansvar

• Bekreftelse av at oppdraget er utført i samsvar med aktuelle standarder

• Kort beskrivelse av det utførte arbeidet

• Konklusjon med eventuelle presiseringer/forbehold som må være klart grunngitt

  • Begrensninger i gjennomføringen

  • Vesentlige feil

  • Uhensiktsmessig saksforhold eller uegnede kriterier

• Dato

• Sted og navnet på revisor

Forhold som ikke er aktuelle kan naturligvis utelates. Hvis det ikke er begrensninger knyttet til bruk av uttalelsen, vil revisor ikke ha dette med i uttalelsen. Hvis det dreier seg om et påstandsbasert oppdrag vil revisor vise til hvor påstanden fra den ansvarlige parten er kommet til uttrykk. Ved direkte rapportering er dette ikke relevant. Konklusjoner med høy sikkerhet avgis i positiv form - «vi mener at....». Konklusjoner med moderat sikkerhet avgis i negativ form - «vi har ikke fått kjennskap til noe som tyder på at informasjonen om saksforholdet ikke er i samsvar ....».