Kvalitetskontrollen:

Hva kan vi gjøre for å bli bedre?

Mye har skjedd innen revisjonsfaget og revisorbransjen. Gjør vi ting på riktig måte? Har vi forstått risikostandardene? Gjør vi nok arbeid? Dokumenterer vi godt nok? Erfaringer fra kvalitetskontrollen i 2006 kan være til hjelp for å fokusere på de riktige tingene.

Formålet med kvalitetskontrollen

Kvalitetskontrollen har til formål å kontrollere at medlemmene opptrer i overensstemmelse med revisorloven, herunder at medlemmene utfører sin virksomhet i samsvar med god revisjonsskikk, og er avgjørende for tilliten markedet har til profesjonen. Kvalitetskontrollen vil bidra til å høyne kvaliteten på arbeidet som de oppdragsansvarlige revisorene utfører, blant annet ved at kontrollørene gir veiledning og er åpne for å diskutere revisjonsfaglige spørsmål med de som kontrolleres.

Som en konsekvens av formålet, vil det også være en nødvendighet at revisorer som ikke utfører arbeidet i henhold til lov og god revisjonsskikk, blir innrapportert til Kredittilsynet.

Hva kan vi gjøre bedre?

Bakgrunnen for denne artikkelen er erfaringer fra DnR sin kvalitetskontroll for 2006 og nærmere bestemt de sakene som fikk oppfølgingskontroll (43) eller som ble rapportert inn til Kredittilsynet (4). Merk at kontrollen som ble avholdt i 2006 rettet seg mot revisjon av 2005, hvor det fortsatt var de «gamle» revisjonsstandardene som var i bruk.

De vesentlige mangler, feil og svakheter som ble funnet, kan deles inn i følgende områder:

Dokumentasjon
Planlegging (risikovurderingshandlinger)
Utført revisjon (videre revisjonshandlinger)
Revisors rapportering
Kommunikasjon
Feil og mangler i årsregnskap og årsberetning
Revisors plikter etter hvitvaskingsloven og revisorloven
Revisors egne økonomiske forhold og lovbrudd
Andre mangler

I det følgende vil jeg si litt om hvert enkelt av disse punktene. For at erfaringene fra 2006 skal ha mest mulig relevans for leserne, vil jeg forsøke å knytte kommentarene opp mot de nye risikostandardene som vil være gjeldende fra 2006-revisjonen.

Dokumentasjon

Prinsipielt er utgangspunktet at det som ikke er dokumentert, heller ikke er utført!* Finansdepartementet legger til grunn at det er bare det som er dokumentert som kan påberopes å være utført. Kredittilsynet og DnRs Kvalitetskontroll følger dette prinsippet i sine vurderinger av revisors arbeid. Dette er i tråd med hva tilsynsmyndigheter i andre land også legger til grunn.

Svak, mangelfull eller manglende dokumentasjon er hovedårsaken til at antall oppfølgingskontroller har økt de senere årene, og kvalitetskontrollen har avdekket de samme svakhetene og manglene i 2006 som i tidligere år.

Eksempler på forhold som fremgår av kontrollrapportene kan illustrere hva svakhetene og manglene dreide seg om:

Kopi i av regnskap og ligningspapirer var eneste arbeidspapir.
Eneste arbeidspapir var en bankavstemming og en kort vurdering av uavhengighet.
Ingen angivelse av art, tidspunkt, vurderinger og omfang av så vel planlagte som utførte revisjonshandlinger.
Arbeidspapirer besto av kopier av klientens bilag, uten noen beskrivelse av utførte kontrollhandlinger.
Bare en tynn beskrivelse av handling i revisjonsprogrammet og kun OK som konklusjon. Det mangler dokumentasjon på hva som er kontrollert og hvordan det er kontrollert.
Kun kopi av siste side av varetellingsliste er vedlagt som dokumentasjon av varelagerkontroll.
Manglende dokumentasjon av periodiseringskontroll av salg og varekjøp.
Dokumentasjonen mangler identifiserte:
- risikoer (RS 400)
- mislighetsrisikofaktorer, og tilhørende respons til mislighetsrisikofaktorene (RS 240)
- nærstående parter (RS 550)
Dokumentasjonen manglet vurdering av:
- hendelser etter balansedagen (RS 560)
- forutsetningen for fortsatt drift (RS 570)
- transaksjoner med nærstående parter (RS 550)
- estimat for virkelig verdi (RS 540)
- vesentlige eiendeler (RS 500)
- risiko på regnskapspåstandsnivå (RS 315)

I de mest ekstreme tilfellene har dokumentasjonen vært så svak at det ikke har vært mulig å etterprøve utført revisjon, og som eksempel kan nevnes en kontroll hvor det ikke var en eneste beskrivelse av utført arbeid.

Planlegging

Planleggingen er sentral i forhold til en god risikovurdering, og krever revisors aktsomhet. Kvalitetskontrollen har avdekket svakheter i planleggingen, særlig i forhold til misligheter, nærstående parter og analyser. Eksempler på forhold funnet vedrørende planleggingen:

Ikke rettet forespørsler til ledelsen om misligheter eller nærstående parter.
Ikke identifisert mislighetsrisikofaktorer, nærstående parter eller risiko.
Det er ingen dokumentasjon for planleggingen.
Revisor benytter standard programmer uten tilpasning til klienten.
Ingen sammenheng mellom identifisert risiko og planlagte handlinger.
Ingen sammenheng mellom planlegging, revisjonsprogram og utført revisjon.
Revisjonsprogrammer er ikke utarbeidet.
Mangelfull eller manglende kartlegging av foretakets kontrollmiljø og kontrollaktiviteter.
Det er ikke innhentet revisjonsbevis gjennom systemtester for å underbygge konklusjonen om at kontrollrisikoen ikke er høy.
Det er ikke planlagt handlinger knyttet til bokføringsreglene.

Utført revisjon, herunder revisjonsbevis

Svakheter i utført revisjon omfatter både manglende revisjonshandlinger og manglende eller mangelfulle revisjonsbevis. Det er særlig noen områder som går igjen hva angår svakheter i utført revisjon:

Revisjon av inntekter

Revisor har i mange av kontrollene godkjent inntektene uten at det forelå et grunnlag for denne godkjennelsen. For inntekter er det ofte ingen annen mulighet enn å revidere på basis av selskapets rutiner og interne kontroller. I kontrollrapportene er det blant annet avdekket at man avdekker svakheter i selskapets rutiner, men likevel bygger på disse. Et annet tilfelle er at det ikke foretas noen kartlegging og testing av intern kontroll, det er kun utført bruttofortjenesteanalyse på et overordnet nivå.

Revisjon av vesentlige regnskapsposter

Kontrollene avdekker for eksempel at det ikke kan fremskaffes bevis for eksistens, tilstand eller verdsettelse for vesentlige varebeholdninger. Revisjonen av kundefordringer er i mange tilfeller mangelfull. Her er det tilfeller hvor det ikke er sendt saldoforespørsler og tilfeller hvor saldoforespørsler er sendt, men hvor det er klienten som har sendt og mottatt. Det er også tilfeller hvor saldoforespørsler er sendt, men manglende svar er ikke fulgt opp eller det er ikke foretatt noen konklusjon over mottatte saldoforespørsler. Videre fremgår det at det ofte mangler arbeidspapirer som dokumenterer fullstendighet av gjeld.

Utvalgsbasert testing

Det er kun ved et representativt utvalg at revisor kan trekke konklusjoner om hele populasjonen. Fordi selskapets interne kontroller bidrar til at populasjonene blir representative, er det viktig at revisor kartlegger og tester at kontrollene fungerer før han bygger på et representativt utvalg. Det forekommer at revisor foretar utvalg som ikke er representative eller hvor representativiteten ikke er underbygget med testing av interne kontroller, men likevel benytter revisor utvalgene til å konkludere på hele populasjonen.

Analyser som substanskontroller

Når revisor benytter analyser, er første steg å danne seg en forventning til resultatet av analysen, videre vurdere hva som er et akseptabelt avvik mellom forventning og resultat og deretter beregne resultatet. Til slutt vurderes beregnet resultat mot forventet resultat og konklusjonen trekkes. Det er ofte mangelfull beskrivelse av revisors forventning og det uttrykkes ikke hvilket nivå som er et akseptabelt avvik.

Revisjon av fortsatt drift er et vesentlig område, og et område hvor revisor bør utvise aktsomhet. Kvalitetskontrollen har avdekket flere tilfeller hvor revisjonen er mangelfull i forhold til situasjoner med usikkerhet om fortsatt drift. Blant annet er det avlagt regnskap med negativ kapital og store underskudd mange måneder etter balansedagen, uten at hendelser etter balansedagen eller fortsatt drift er omtalt i arbeidspapirene. I situasjoner med usikkerhet om fortsatt drift er det ikke vist høyere aktsomhet ved vurdering av verdien av eiendelene. Videre er det funnet mangler vedrørende nummererte brev og revisjonsberetningen i tilfeller med usikkerhet om fortsatt drift.

Revisors rapportering

Det er en rekke forhold av alvorlig karakter som er avdekket i kontrollen og som gjelder revisors rapportering, dvs. revisjonsberetning og underskrifter på næringsoppgaven og kontrolloppstillingen. Noen eksempler fra kontrollen kan belyse dette:

Flere oppdrag var avsluttet etter fristens utløp uten at negativ beretning er avgitt.
Årsberetning og noter inneholdt flere åpenbare feil, men det var likevel avgitt en normal beretning uten at det ble gitt nærmere begrunnelse.
Revisjonsberetning var avgitt selv om kun styreleder hadde signert på årsregnskap og årsberetning.
Revisjonsberetningen var datert før dato på årsregnskap/årsberetning.
Vesentlige lovbrudd som ulovlige lån til aksjonær og lovstridige skattetrekksmidler var ikke omtalt i revisjonsberetningen.
Revisor har tatt forbehold i revisjonsberetningen vedrørende fullstendigheten av inntektene, men har likevel signert på næringsoppgaven.
Revisor har underskrevet kontrolloppstillingen til tross for lovstridig behandling av skattetrekksmidlene.
Regnskapet var avgitt etter feil oppstillingsregler uten at det var tatt forbehold i revisjonsberetningen.

Kommunikasjon med ledelsen

Generelt er revisors kommunikasjon med ledelsen for dårlig dokumentert. Revisor benytter for eksempel ikke engasjementsbrev eller innhenter ikke skriftige uttalelser fra ledelsen.

Årsregnskap og årsberetninger

Det er en rekke feil og mangler som er gjengangere i kvalitetskontrollen. Dette gjelder feil i noter eller at obligatoriske noter mangler. Pliktig informasjon i årsberetningen mangler, som for eksempel informasjon om fortsatt drift og likestilling. I tillegg forekommer det en del feil og/eller mangler i årsregnskapet knyttet til vesentlige regnskapsposter.

Revisors plikter etter revisorloven og hvitvaskingsloven

Kvalitetskontrollen avdekket flere forhold hvor revisorlovens krav ikke var etterlevd vedrørende plikten til å skrive nummererte brev, og hvor pliktig fratreden ikke var fulgt.

Det ble også avdekket mangelfull etterlevelse av hvitvaskingsloven med hensyn til legitimasjonsreglene og skriftlige interne rutiner.

Revisors egne økonomiske forhold og lovbrudd

Flere tilfeller har forekommet i denne kategorien, som er alvorlige fordi de alene kan medføre at revisor mister sin godkjenning. Sakene som er observert er:

Manglende eller for sen innlevering av årsregnskap og/eller selvangivelse.
Feil i revisors årsregnskap, årsberetning eller noter, eller feil i ligningspapirer.
Manglende eller for sen betaling av skatter og avgifter.
Revisor har ikke vært i stand til å betale sine forpliktelser til rett tid.
Drift av revisjonsvirksomhet uten å registrere selskapet som revisjonsselskap.

Andre mangler

Konklusjonen i revisjonsberetningen vedrørende overholdelse og etterlevelse av bokføringsreglene er i liten grad underbygget med revisjonsbevis. Svakheter bør i større grad tas opp i nummerert brev og det må foretas vurderinger i forhold til signering av ligningspapirene.

Det er generelt lite spor av utførte handlinger vedrørende hendelser etter balansedagen.

Kvalitetskontroll av revisjonsarbeidet er avdekket å være mangelfull. Verken dokumentasjonen eller den utførte revisjonen er kvalitetssikret i enkelte tilfeller. En annet tilfelle er manglende involvering fra oppdragsansvarlig revisor i løpet av revisjonsprosessen.

Fokus 2007

Styret i DnR har for 2007 angitt til Kredittilsynet følgende fokusområder for kvalitetskontrollen for 2007:

I et år med en del endringer i revisjonsstandardene vil Kvalitetskontrollen se på etterlevelse av nye revisjonsstandarder og SK 1.

SK1

Alle revisjonsselskaper må ha et kvalitetskontrollsystem som skal sikre at faglige standarder og reguleringsmessige og rettslige krav etterleves, samt sikre at det avgis hensiktsmessige revisjonsberetninger. Frist for opprettelse av kvalitetskontrollsystemet var 1. oktober 2006.

Kvalitetskontrollsystemet må omfatte retningslinjer og rutiner, som må dokumenteres og kommuniseres til personalet, og må inneholde følgende forhold:

Ledelsens ansvar for kvalitet i revisjonsselskapet
Etiske krav
Aksept og fortsettelse av klienter og enkeltoppdrag
Personale
Gjennomføring av revisjonsoppdraget
Overvåking

Hvor omfattende og detaljerte rutiner og retningslinjer som skal etableres, vil avhenge av faktorer som størrelsen på revisjonsselskapet, driftsmessige forhold og hvorvidt selskapet er en del av et nettverk. For revisjonsselskap som består av alenepraktiserende revisorer vil en del av elementene i kvalitetskontrollsystemet være lite relevante, som for eksempel rutiner og retningslinjer knyttet til personale. Derimot vil andre forhold i kvalitetskontrollsystemet være like relevante for alenepraktiserende revisorer som for større revisjonsselskaper, slik som Etiske krav og Aksept og fortsettelse av klienter og enkeltoppdrag. Rutiner og retningslinjer vil kunne være mye enklere beskrevet i et lite kontra i et stort revisjonsselskap.

Risikostandardene

Risikostandardene trådte i kraft fra og med 1.1.2006. I henhold til risikostandardene skal revisjonens angrepsvinkel ta utgangspunkt i en risikovurdering. De mest sentrale standardene i forhold til en angrepsvinkel basert på risiko er RS 240 - Revisors oppgaver med og plikter til å vurdere misligheter ved revisjon av regnskaper, RS 315 - Forståelse av foretaket og dets omgivelser og vurdering av risikoen for vesentlig feilinformasjon og RS 330 - Revisjonshandlinger for å håndtere anslått risiko.

I henhold til de nye standardene vil revisjonsoppdragene normalt følge denne strukturen:

Innledende revisjonshandlinger
Forretningsforståelse og risikofaktorer (iboende risiko)
Kontrollvurdering og anslått risiko (kontrollrisiko og anslått risiko)
Videre revisjonshandlinger (test av kontroller og substanskontroller)
Avsluttende revisjonshandlinger

Oppsummering

Å etterse at revisjonsselskapene har opprettet kvalitetskontrollsystemer i henhold til kravene i SK 1 er et av kvalitetskontrollens fokusområder i år. Videre vil etterlevelse av kravene i de nye standardene være i fokus.

I tillegg vil kvalitetskontrollen fokusere på områder hvor tidligere erfaringer tilsier at det er forbedringspotensialer, som blant annet:

Dokumentasjon (Handlinger, vurderinger, kilder og resultat)
Revisjonsbevis (Utvalgsbasert testing, analyser som substanskontroll)
Rapportering (Nummererte brev, revisjonsberetning, ligningspapirene)
Profesjonell skeptisk holdning (Ved utforming av revisjonshandlinger og vurdering av funn/avvik)

Bakgrunn for kvalitetskontrollen

Tilsynet med revisorene og revisjonsselskapene i Norge er tillagt Kredittilsynet, jf. kredittilsynsloven § 1. Kredittilsynet skal se til at godkjente revisorer og revisjonsselskap opptrer i samsvar med revisorlovens bestemmelser, herunder kravene til god revisjonsskikk.

Egen kontroll

Revisorforeningene (NSRF og NRRF) innførte i 1993 en obligatorisk kvalitetskontroll for alle sine medlemmer. Denne plikten ble videreført etter sammenslåingen av foreningene til dagens DnR, og vedtektenes § 1-3 pålegger alle oppdragsansvarlige medlemmer av foreningen til å delta i kvalitetskontroll-ordningen.

Samarbeid med KT

I 2000 la EU-kommisjonen frem «Commission Recommendation on quality assurance for the statutory audit in the European Union», som anga minimumskrav for blant annet innhold og frekvens for kvalitetskontrollen.

Skrivet fra kommisjonen foranlediget at Kredittilsynet og DnR innledet et samarbeid om kvalitetskontroll av oppdragsansvarlige medlemmer av DnR. Formålet med samarbeidsavtalen er at Kredittilsynet i sin kvalitetskontroll av oppdragsansvarlige revisorer som er medlemmer av DnR, kan bygge på den kvalitetskontroll som utføres av DnR.

Som et resultat av samarbeidsavtalen foretar DnR kvalitetskontroll av sine oppdragsansvarlige medlemmer, mens Kredittilsynet dekker kontrollen av øvrige revisorer. Det må dog presiseres at oppdragsansvarlige revisorer som er medlemmer av DnR likevel kan få kontroll av Kredittilsynet. Kredittilsynet foretar kontroller på bakgrunn av innrapporteringer, samt at de gjennomfører temabaserte tilsyn.