Erfaringer fra kvalitetskontrollen 2007

I 2007 har det i tillegg vært en tendens til at de som ikke utførte tilfredsstillende revisjon ikke hadde en revisjonsmetodikk som var tilpasset de nye revisjonsstandardene.

Fokus for kontrollen 2007

Etterlevelse av de nye revisjonsstandardene (risikostandardene) og SK 1* SK 1 - Kvalitetskontroll av revisjonsselskap som utfører revisjon og begrenset revisjon av historisk økonomisk informasjon samt andre attestasjonsoppdrag og beslektede tjenester. ble angitt som fokusområder for kvalitetskontrollen 2007.

SK 1 skulle implementeres innen 1. oktober 2006 i alle revisjonsselskap, uavhengig av størrelse og selskapsform. 2007 var også det første året Kvalitetskontrollen kontrollerte etterlevelse av de såkalte risikostandardene. Kvalitetskontrollen fokuserte i den forbindelse dels på at revisjonen var risikobasert, slik de nye standardene legger opp til, og dels på at obligatoriske revisjonshandlinger ble utført, eventuelt at avvik fra å utføre pliktige handlinger ble begrunnet og dokumentert.

Fokus for kvalitetskontrollen 2008

Styret i DnR har i planen for kvalitetskontrollen for 2008 til KT angitt følgende områder:

Kvalitetskontrollen ønsker å se på revisjon av inntekter, herunder etterlevelse av kravene i RS 240 samt dokumentasjonskrav.

Videre vil kvalitetskontrollen også i 2008 fokusere på etterlevelse av de nye revisjonsstandardene og SK 1.

Generelt

Alt i alt gjør norske oppdragsansvarlige revisorer en god jobb, noe 89,4 % godkjente kontroller i 2007 bevitner. Det er dog de ikke-godkjente kontrollene vi kan ta lærdom av, og som vil bli gjennomgått i det følgende. Det var 35 ikke-godkjente kontroller i 2007, og disse har utarbeidet en handlingsplan som vil være grunnlaget for oppfølgingskontrollen nå i 2008. De ikke-godkjente kontrollene tilsvarer 10 % av alle som ble kontrollert i 2007. I tillegg ble to saker oversendt til Kredittilsynet for videre oppfølging, og kontrollene av disse to revisorene vil ikke bli gjennomgått her.

Kvalitetskontrollen skal vurdere totalkvaliteten av den utførte revisjonen, hvor dokumentasjonen er utgangspunktet for vurderingen. Prinsippet om at det som ikke er dokumentert heller ikke er gjort, blir lagt til grunn. Muntlige tilleggsopplysninger kan derfor ikke erstatte skriftlig dokumentasjon. Svak, manglende eller mangelfull dokumentasjon kjennetegner mange av oppfølgingskontrollene. I de mest ekstreme tilfellene var dokumentasjonen så mangelfull at det ikke var mulig å etterprøve utført revisjon.

De vesentlige manglene som ble funnet hos de 35 revisorene og som vil bli gjennomgått i det følgende, kan inndeles slik:

1Revisors egne forhold/lovbrudd
2SK 1
3Dokumentasjon
4Planlegging (risikovurderingshandlinger og IK)
5Utført revisjon og revisjonsbevis
6Avsluttende revisjonshandlinger
7Revisors rapportering
8Revisors øvrige plikter
9Andre mangler

Revisors egne forhold/lovbrudd

Skatte-, avgifts-, regnskaps- og selskapslovgivningen utgjør sentrale rammebetingelser for ethvert selskap. Det er grunn til å stille krav om særlig aktsomhet når det gjelder revisors eget forhold til denne lovgivningen, fordi tilliten til revisor og revisjonsinstituttet vil bli svekket dersom revisor ikke selv følger de krav i lover og forskrifter revisor skal påse at revisjonsklientene etterlever.

Kvalitetskontrollen legger også stor vekt på at revisor/revisjonsselskapet oppfyller kravene i revisorloven. Kriterier for å bli godkjent som registrert eller statsautorisert revisor eller bli godkjent revisjonsselskap, samt tilleggskravene til revisor som reviderer årsregnskap for revisjonspliktige, kontrolleres derfor spesifikt.

I kvalitetskontrollen for 2007 ble det blant annet avdekket følgende forhold:

et tilfelle av ulovlig lån i henhold til aksjeloven § 8-7,
et tilfelle av for sen betaling av egne skatter og avgifter gjennom året,
to revisorer hadde ikke sendt inn årsregnskap og ligningspapirer for revisjonsvirksomheten på kontrolltidspunktet (september/oktober),
et revisjonsselskap var eid med mer enn 50 % av et holdingsselskap som ikke var registrert som revisjonsselskap, jf. revisorloven § 3-5 første ledd nr. 2, og
et tilfelle hvor det var tvil om revisjonsselskapets evne til å oppfylle sine forpliktelser ved forfall, blant annet fordi aksjekapitalen i stor grad var tapt på grunn av betydelige underskudd.

I tillegg var det totalt 10 revisorer som ikke hadde oppfylt kravet til etterutdanning pr. 31.12.2006, hvorav fem av disse var blant revisorene som fikk oppfølgingskontroll. Kvalitetskontrollen har i ettertid fulgt opp alle 10 revisorene og påsett at kravet til etterutdanning er blitt oppfylt.

SK 1

Kvalitetskontrollen 2007 så etter om alle de kontrollerte hadde implementert SK 1, herunder at kvalitetssikringssystemet omfattet dokumenterte retningslinjer og rutiner for alle obligatoriske forhold, jf. SK 1, punkt 7 og 8.

Manglende utarbeidelse av SK 1 var ikke i seg selv tilstrekkelig til ikke å få godkjent på kvalitetskontrollen i 2007, men ble ansett som en vesentlig mangel.

Ti av revisorene som i 2007 fikk oppfølgingskontroll manglet enten et SK 1-dokument eller hadde utarbeidet et SK 1-dokument som var meget mangelfullt i henhold til kravene i standarden. I den forbindelse kan det også nevnes at ca. 10 % av alle revisjonsselskap svarte at de ikke hadde etablert retningslinjer for kvalitetskontroll (SK 1) ved Kredittilsynets dokumentbaserte tilsyn i 2007. Det kan forventes at Kvalitetskontrollen vil legge enda større vekt på manglende SK 1-dokument i årets kontroll.

Dokumentasjon

Dokumentasjonen er grunnlaget for kvalitetskontrollens konklusjoner om revisors arbeid og vurderinger, og må inneholde:

En beskrivelse av det arbeidet som er gjort (Art og omfang)
Hva revisor har kontrollert (Kilde/kontrollgrunnlag)
Eventuelle vesentlige vurderinger (Vurdering)
Hva kontrollen avdekket (Resultatet)
Konklusjon for alle vesentlige regnskapspåstander og regnskapet totalt sett

I kontrollen for 2007 ble for eksempel følgende brudd på dokumentasjonskrav avdekket:

Revisjonsmetodikken består av et dokument. Dokumentet inneholder ingen informasjon om planleggingshandlinger som er gjennomført og hvilke risikovurderinger som er foretatt.
Det finnes ikke planleggingsdokumentasjon, revisjonsprogrammer, arbeidspapirer med konklusjoner eller sjekklister. Utførte handlinger er ikke dokumentert mht. type, omfang og tidspunkt.
Manglende dokumentasjon/vurdering av kontrollmiljø, herunder beskrivelse av selskapenes interne kontroll.
Det forelå ingen dokumentasjon for utført revisjon på vesentlige poster i regnskapet (varelager, kundefordringer, salg, leverandørgjeld og varekjøp).
Ingen dokumentasjon av vurderinger av populasjon, utvalgsstørrelse, utvalgsmetode, tolererbare feil eller forventninger ved utvalgsbasert testing.
Det er ikke dokumentert forespørsler til ledelsen eller andre alternative handlinger for å skaffe kunnskap om misligheter eller nærstående parter.

Det har kommet en ny RS 230 - Revisjonsdokumentasjon som gjelder for revisjon av regnskaper for perioder som begynner 1. januar 2008 eller senere. Den nye standarden vil bli behandlet i et eget DnR-kurs i høst. Det antas at den nye standarden vil bli omtalt i en egen artikkel og vil derfor ikke omtales nærmere her.

Planlegging

Det er særlig planleggingsfasen som er endret i og med de nye revisjonsstandardene. I dette inngår krav til bestemte revisjonshandlinger som skal utføres og at det benyttes en risikobasert angrepsvinkel i revisjonen. Mange av dem som ikke fikk godkjent på kontrollen i 2007 benyttet en revisjonsmetodikk som ikke var tilpasset de nye revisjonsstandardene.

RS 300* RS 300 - Planlegging av revisjon av regnskaper. krever at det skal utarbeides en revisjonsplan og en overordnet revisjonsstrategi. Videre er det krav om at risikovurderingshandlinger skal utføres slik at revisor opparbeider seg forståelse av foretaket og dets omgivelser, herunder foretakets interne kontroll, for å kunne identifisere og vurdere risikoen for vesentlig feilinformasjon i årsregnskapet, jf. RS 315* RS 315 - Forståelse av foretaket og dets omgivelser og vurdering av risikoene for vesentlig feilinformasjon.. En del av risikovurderingshandlingene består i å innhente informasjon rettet mot å avdekke vesentlig feilinformasjon som skyldes misligheter, jf. RS 240* RS 240 - Revisors oppgaver med og plikter til å vurdere misligheter ved revisjon av regnskaper..

I kvalitetskontrollen 2007 ble det avdekket slike forhold knyttet til planleggingen:

Overordnet revisjonsstrategi manglet hos seks revisorer.
Revisjonsplan manglet hos fem revisorer.
Hos fem revisorer var ikke planlegging utført (dokumentert).
I fem tilfeller var det mangelfull dokumentasjon av kunnskap om klienten.
Risikovurderingshandlinger var ikke dokumentert utført hos syv revisorer.
Ved ti kontroller var det ikke utført analyser i planleggingen, mens i ni av kontrollene var det ikke stilt forespørsler til ledelsen om misligheter og nærstående parter.
I tolv av kontrollene var det ikke foretatt identifikasjon og/eller vurdering av risiko, eller det var dokumentert en risikovurdering som ikke var tilpasset klienten. («Glassmesteren» eller tilsvarende standardklient var benyttet).
Klientens interne kontroller var ikke beskrevet og/eller vurdert hos åtte revisorer.
I seks av oppfølgingskontrollene var det ikke innhentet og/eller vurdert kontrollsystemer og rutiner hos klientens eksterne regnskapsfører, jf. RS 402* RS 402 - Revisjon i foretak som benytter serviceorganisasjoner.. Dette er en svakhet ved planleggingen som ble avdekket i en rekke av kontrollene i 2007 - også hos revisorer som totalt sett fikk godkjent resultat på kvalitetskontrollen.

Utført revisjon og revisjonsbevis

Kvalitetskontrollen vurderer om det er innhentet tilstrekkelige og hensiktsmessige revisjonsbevis for vesentlige regnskapspåstander. Det er særlig på tre områder at utført revisjon/ innhentede bevis ikke har vært tilfredsstillende: revisjon av inntekter, varelager og kundefordringer.

1. Revisjon av inntekter

RS 240, punkt 60 sier at revisor som hovedregel skal gå ut i fra at det foreligger risikoer for misligheter ved inntektsføring og at disse skal behandles som særskilte risikoer. En gjennomgående svakhet i oppfølgingskontrollene er at inntektsføring ikke er identifisert og behandlet som en særskilt risiko. Dersom revisor mener at inntektsføring ikke er en særskilt mislighetsrisiko, skal denne begrunnelsen dokumenteres, jf. RS 240, punkt 110.

I svært mange tilfeller er det ikke innhentet tilstrekkelige og hensiktsmessige revisjonsbevis for at bokførte inntekter er fullstendige. Inntekter er som regel en vesentlig transaksjonsklasse, og består ofte av mange transaksjoner. Det er i svært mange tilfeller ikke mulig å revidere fullstendigheten av inntekter uten å bygge på selskapets interne kontroller. Det er videre et krav etter RS 315, punkt 113, at revisor skal evaluere utformingen og iverksettelsen av kontroller tilknyttet særskilte risikoer, jf. over om at inntektsføring skal antas å være beheftet med mislighetsrisiko. I flere av kontrollene foreligger det ingen beskrivelse verken av klientens rutiner eller interne kontroller knyttet til salget. Utførte revisjonshandlinger består av kontroll av for eksempel 20 utgående fakturaer i tett nummerserie, og eventuelt tett nummerserie på noen fakturajournaler. I noen tilfeller er det utelukkende foretatt en bruttofortjenesteanalyse for å bekrefte regnskapspåstander knyttet til inntektene. I en del saker er det heller ikke foretatt handlinger for å kontrollere periodisering (cut-off) av inntekter.

2. Revisjon av varelager

Manglende eller mangelfull revisjon av varelager forekommer i en betydelig andel av oppfølgingskontrollene. Den utførte revisjonen og de innhentede revisjonsbevisene er ikke tilstrekkelige eller hensiktsmessige til å kunne bekrefte eksistens, tilstand og/eller verdi av varelageret. For eksempel er det kun utført bruttofortjenesteanalyse av vesentlig varelager. Det er i flere saker ikke foretatt noen verdivurdering eller vurdering av ukurans.

RS 501 Revisjonsbevis - spesielle poster, Del A, omhandler revisors tilstedeværelse ved varetelling. Revisor må som hovedregel være til stede ved varetelling av vesentlig varelager, for å innhente revisjonsbevis for lagerets eksistens og tilstand. Dersom tilstedeværelse ikke er mulig, må alternative revisjonshandlinger vurderes. I flere kontrollerte oppdrag har ikke revisor deltatt på varetelling og det er heller ikke foretatt andre revisjonshandlinger for å bekrefte eksistens og tilstand av varelageret. I enkelte tilfeller har revisor deltatt ved varetellingen, men dokumentasjonen er mangelfull.

3. Revisjon av kundefordringer

For kundefordringer er manglende revisjonsbevis knyttet til eksistens eller verdsettelse en gjennomgående svakhet i utført revisjon. I mange tilfeller, også hos revisorer som ikke har fått oppfølgingskontroll, er det verken benyttet saldoforespørsler eller foretatt kontroll av innbetalinger fra kunder i nytt år. Gjennomgang av saldoliste gir ingen revisjonsbevis for eksistens eller verdsettelse.

Avsluttende revisjonshandlinger

Revisor må evaluere ledelsens vurdering av fortsatt drift-forutsetningen, jf. RS 570* RS 570 - Fortsatt drift.. Det er avdekket flere tilfeller hvor det ikke foreligger dokumentasjon av fortsatt drift-vurderingen.

Videre er det ingen dokumentasjon som viser at hendelser etter balansedagen er vurdert. Hendelser etter balansedagen må vurderes da de kan ha betydning for årsregnskapet og revisjonsberetningen. Kvalitetskontrollen ser alvorlig på at verken hendelser etter balansedagen eller fortsatt drift-forutsetningen er vurdert. Her kan det foreligge forhold som medfører at årsregnskapet er feil, særlig med hensyn til verdier og estimater, og konsekvensen kan være feilaktig revisjonsberetning.

I syv av oppfølgingskontrollene var det heller ikke foretatt analyser i avslutningsfasen, selv om RS 520 - Analytiske kontrollhandlinger, punkt 13 angir dette som en pliktig handling for å vurdere riktigheten av årsregnskapet som helhet.

Det var ikke innhentet uttalelser fra ledelsen i selskapet ved avslutningen av revisjonen i fjorten av oppfølgingskontrollene. Det skal blant annet innhentes skriftlig uttalelse fra ledelsen om at den erkjenner sitt ansvar for utformingen og iverksettelsen av intern kontroll for å forebygge og avdekke feil og misligheter, jf. RS 580 - Uttalelser fra ledelsen, punkt 5a og RS 240, punkt 90.

I flere av rapportene fremgår det at det mangler dokumentert kontroll av årsregnskap, årsberetning og noteopplysninger. Denne typen feil og mangler, som ofte medfører at revisjonsberetningene ikke er korrekte fordi det skulle vært gitt avvikende beretning, ses strengt på av Kvalitetskontrollen. Det anbefales at revisor benytter sjekklister for å utføre og dokumentere sine revisjonshandlinger knyttet til kontroll av årsregnskap, årsberetning og noteopplysninger.

Revisors rapportering

Revisors plikter til å sende nummererte brev følger av revisorloven § 5-2 fjerde ledd og § 5-4. Konkrete tilfeller fra kvalitetskontrollen 2007, er at det ikke er sendt nummererte brev ved avdekkede lovbrudd knyttet til behandling av skattetrekk, det er tatt forbehold i beretningen om svakheter ved selskapets interne kontroll uten at dette er tatt opp i nummerert brev. I flere tilfeller er det avgitt avvikende revisjonsberetninger uten at forholdet er tatt opp i nummerert brev.

I noen tilfeller er forhold tatt opp i revisjonsberetningen, men det tilknyttede nummererte brevet er sendt flere uker eller måneder etter avleggelse av revisjonsberetningen. Revisor må kommunisere revisjonsmessige forhold av interesse for styring og kontroll til riktig tid, slik at de som har overordnet ansvar for styring og kontroll har mulighet til å gjennomføre passende tiltak, jf. RS 260* RS 260 - Kommunikasjon om revisjonsmessige forhold med dem som har overordnet ansvar for styring og kontroll., punkt 13.

Det forekommer mange tilfeller hvor det er avgitt normal (ren) revisjonsberetning, hvor det skulle vært gitt en avvikende beretning:

årsberetningen eller årsregnskapet manglet en eller flere signaturer fra styremedlemmer/daglig leder. I slike tilfeller anses ikke årsregnskapet fastsatt, jf. regnskapsloven § 3-1 og revisor kan da ikke uttale seg om årsregnskapet og må avgi beretning om at årsregnskapet ikke bør fastsettes, jf. revisorloven § 5-6 sjette ledd.
Årsberetningen mangler obligatoriske opplysninger, jf. regnskapsloven § 3-3 (eventuelt § 3-3a).
Det er avdekket vesentlige feil eller mangler i årsregnskapet.
Det er ikke innhentet tilstrekkelige revisjonsbevis for å konkludere på regnskapspåstander.
Lovbrudd som manglede skattetrekkskonto og ulovlige lån.
Oppdrag er avsluttet etter 30. juni (ikke avgitt revisjonsberetning pr. 30. juni).
Feil i eller manglende obligatoriske noteopplysninger.

Det er også avdekket tilfeller hvor revisor tar opp forhold i nummerert brev og/eller revisjonsberetningen, men likevel er næringsoppgaven og/eller kontrolloppstillingen signert.

Revisors øvrige plikter

En del svakheter og mangler knyttet til revisors øvrige plikter i henhold til lover og standarder er funnet i kvalitetskontrollen:

Revisor har ikke dokumentert innledende handlinger knyttet til oppdragsvurdering, jf. RS 300, punkt 6.
Revisor har ikke fulgt sin plikt til å fratre når det er avdekket vesentlige lovbrudd over flere år hos klienten, jf. revisorloven § 7-1.
Etterlevelse av hvitvaskingsloven er mangelfull. Dels gjelder dette manglende identitetskontroll ved etablering av kundeforhold og dels manglende etablering av skriftlige interne kontroll- og kommunikasjonsrutiner som skal sikre oppfyllelse av pliktene som følger av hvitvaskingsloven. Se hvitvaskingsloven §§ 5 og 13.

Andre mangler

Det er også avdekket andre mangler ved oppfølgingskontrollene, som:

Ti revisorer som ikke benytter engasjementsbrev eller annen avtale/dokumentasjon som bekrefter enighet om vilkårene for revisjonsoppdraget, jf. RS 210* RS 210 - Vilkår for revisjonsoppdrag, punkt 2.
Det er ingen spor av kvalitetssikring av medarbeiders revisjonsarbeid. RS 220* RS220 - Kvalitetskontroll av revisjon av historisk økonomisk informasjon, punkt 26, pålegger oppdragsansvarlig revisor å gjennomgå revisjonsdokumentasjonen og diskutere med teamet før revisjonsberetningen avgis.
Revisor har ikke datert arbeidspapirene. Det fremgår for eksempel av RS 230, punkt 6 at arbeidspapirene skal inneholde «tidspunkt for utførelse av gjennomførte revisjonshandlinger».

I et par av kontrollene var revisors arbeidspapirer verken systematiserte eller indekserte. Dette vanskeliggjør kvalitetskontrollørens gjennomgang og det må også forventes at kontrollen tar lenger tid når det er vanskelig å finne frem i arbeidspapirene.

Oppsummering

Det er i stor grad de samme feil, svakheter og mangler som går igjen i kvalitetskontrollen fra år til år. De som ikke får godkjent på kontrollen, kjennetegnes ofte av at utført revisjon ikke dokumenteres godt nok i henhold til lov og standarder. Videre var det også en tendens i 2007 til at de som ikke utførte tilfredsstillende revisjon ikke hadde en revisjonsmetodikk som var tilpasset de nye revisjonsstandardene. Ni av de 12 revisorene som var dårligst med hensyn til utført revisjon og som fikk oppfølgingskontroll, hadde en egenutviklet revisjonsmetodikk. Når det er sagt, så var det også noen få som hadde utviklet sin egen revisjonsmetodikk som var tilfredsstillende og derfor fikk godkjent på kvalitetskontrollen. Et revisjonsverktøy vil bidra til bedre dokumentasjon og at utført revisjon blir enklere å gjennomføre i henhold til lovgivning og standarder. Bruk av et elektronisk revisjonsverktøy er imidlertid ingen garanti for at revisjonen er tilfredsstillende utført; det må revisorene selv sørge for.