Med doktorgrad i revisjon
Jonas Gaudernack (PwC) ble sommeren 2006 tildelt Revisorforeningens doktorgradsstipend innen revisjon og internkontroll. Nedenfor forteller Jonas om hvordan arbeidet med doktorgraden har artet seg samtidig som han sammenfatter hovedfunnene.
Etter intens innsats og en spennende tid på NHH og i Atlanta (USA) har Gaudernack gjennomført kursdelen av studiet, samt levert og forsvart en skriftlig avhandling om optimal beslutningsprosess ved vurdering av internkontroll. Historien nedenfor gjør kanskje at noen flere lar seg friste til å ta en doktorgrad innen revisjon?
Hva avhandlingen handler om
Avhandlingen handler om internkontrollvurderinger. Selve tittelen er «Cue Combination in Auditor’s Internal Control Judgments». I praksis er det ofte slik at to eller flere internkontroller samhandler i forhold til hvordan de påvirker risiko. Dette bør revisor ta hensyn til i sine risikovurderinger (se ISA 315.44 og 315.54). Imidlertid har tidligere forskning vist at revisor sjelden klarer dette. Mitt utgangspunkt er derimot at tidligere forskning er utdatert og ufullstendig på området, særlig grunnet den siste tids fokus på internkontroll gjennom SOX-404 og revisjonsstandardene.
Gjennom mitt arbeid har jeg identifisert de fem generiske variantene av kontrollsamhandling som jeg mener eksisterer og laget et rammeverk for å klassifisere dem. Deretter har jeg utviklet teori om hvordan revisor normativt bør vurdere de ulike formene for kontrollsamhandling når han fastsetter kontrollrisiko og/eller vurderer om kontrollene er tilstrekkelige eller ikke. Til slutt har jeg gjennomført et eksperiment som testet om revisor klarte å ta hensyn til kontrollsamhandlingen i sin vurderingsprosess. Eksperimentet ble gjennomført ved å la revisorer svare på 40 case hvor informasjonen de ble gitt var systematisk manipulert i forhold til kontrollsamhandling.
Resultatene viser at revisor er flinkere enn man tidligere har trodd. De klarte å håndtere fire av de fem typene av kontrollsamhandling på rett måte. Unntaket var kontroller som virker delvis forsterkende på hverandre (for eksempel den forsterkende effekten av «entity-level controls» på transaksjonskontroller). Det klarer ikke revisor i tilstrekkelig grad å ta hensyn til, og det er litt skremmende. For revisjonspraksis tror jeg at rammeverket og tilhørende teori om hvordan kontrollsamhandling bør påvirke risikovurderinger kan være nyttig for kurs/opplæring av revisorer. Forskningsmessig er konsekvensen at jeg har ryddet i begrepsapparatet knyttet til internkontroll, samt fremskaffet oppdatert og utvidet bevis for at revisor er bedre til å ta hensyn til kontrollsamhandling enn det man tidligere har trodd. Det blir nå spennende å få dette publisert internasjonalt og forske videre på problemområdet.
.gif)
