Virksomhetsforståelse

I oppdragene der Finanstilsynet fant at revisor ikke hadde satt seg tilstrekkelig inn i virksomheten til å kunne identifisere og vurdere risiko for vesentlig feilinformasjon i regnskapet, ble dette synliggjort ved manglende eller mangelfulle beskrivelser og oppfølging av:

• Forretningsgrunnlaget til foretaket, solgte varer og tjenester samt øvrige særtrekk ved virksomheten.

• Særlige lovkrav som regulerer virksomheten.

• De ulike virksomhetsområdene og inntektstypene, der det var flere virksomhetsområder.

• Avtaler av vesentlig betydning for inntektsgrunnlaget.

• Anvendelse av regnskapsreglene for små versus øvrige foretak.

Særlig om vurdering av prinsipper for inntektsføring

Mangler knyttet til revisors vurdering og kontroll av foretakets inntektsføringsprinsipper som ble funnet var:

• Manglende dokumentasjon for at foretakets presenterte inntektsføringsprinsipper var vurdert, både med hensyn til overensstemmelse med regnskapsreglene og med hensyn til foretakets faktiske anvendelse av presenterte prinsipper.

• Flere foretak hadde i noter til årsregnskapet oppgitt prinsipper for inntektsføring som ikke gjaldt for virksom­heten eller var irrelevante, uten at avvikene var identifisert eller fulgt opp av revisor.

• Mange revisjonsklienter som fulgte regnskapsreglene for små foretak, hadde ikke gitt informasjon om sine inntektsføringsprinsipper, uten at dette var vurdert eller påtalt av revisor.

Vurdering av risiko og intern­kontroll

Svakheter knyttet til revisors risikovurderinger på inntektsområdet som ble funnet var:

• Manglende identifikasjon, beskrivelse og vurdering av risikoer som kan medføre vesentlig feilinformasjon, jf. ISA 315 punktene 25 og 26. Revisor hadde dermed ikke grunnlag for å kunne vurdere om foretaket hadde etablert hensiktsmessige kontroller.

• Identifiserte risikoer var i liten grad knyttet opp mot transaksjonsklasser, kontosaldoer, tilleggsopplysninger og regnskapspåstander, jf. ISA 315 punkt 26. De regnskapspåstandene revisor valgte å innhente revisjonsbevis for, fremstod dermed som tilfeldige eller ikke dekkende.

• Det var utført regnskapsanalyser (analytiske risikovurderingshandlinger), uten at det fremgikk av dokumentasjonen hvorvidt revisor hadde identifisert og fulgt opp de vesentlige forhold og utviklingstrekk som analysen indikerte.

Vurdering av mislighetsrisiko

Svakheter knyttet til revisors mislighets­risikovurderinger på inntektsområdet var:

• Revisor hadde fastslått at det forelå mislighetsrisiko på inntektsområdet, uten at risikoen var spesifisert eller fulgt opp i det videre revisjonsarbeidet.

• Det forelå mislighetsrisikofaktorer som ikke var vurdert eller fulgt opp av revisor, jf. ISA 240 punkt 24.

• Revisor hadde anslått risiko for vesentlig feilinformasjon som følge av misligheter som lav, med henvisning til at foretaket hadde internkontroll som skulle dekke risikoen. Internkontrollen var imidlertid ikke nærmere spesifisert, og risikoen ble dermed mangelfullt fulgt opp.

• Revisor konkluderte med at det ikke var risiko for misligheter på inntektsområdet, men det manglet en begrunnelse for konklusjonen, jf. ISA 240 punkt 26.

Kartlegging av prosesser og intern­kontroll

Identifiserte svakheter knyttet til revisors kartlegging av foretakets prosesser og kontroller på inntektsområdet var:

• Kartleggingen av foretakets inntektsprosesser var mangelfull og i enkelte tilfeller fraværende, jf. ISA 315 punkt 18. En særlig svakhet ved kartleggingen av foretakets inntektsprosesser var manglende skille mellom ulike inntektstyper som kan ha ulik risiko (kontantsalg, kredittsalg, salg av varer, salg av tjenester, avtaleregulerte inntekter etc.). Når revisjonstilnærmingen ikke er tilpasset ulike inntektstyper, med­fører dette en risiko for at vesentlige feil ikke oppdages.

• Mangelfull beskrivelse av foretakets interne kontroller var mangelfull, ofte uten en angivelse av hvilke risikoer kontrollene var ment å dekke, jf. ISA 315 punkt 12. Dette gjaldt i flere tilfeller også for de kontrollene revisor hadde valgt å teste. Det forelå derfor ikke en vurdering av om de utvalgte kontrollene var hensiktsmessig utformet.

• Utformingen og iverksettelsen av interne kontroller som var ment å dekke særskilte risikoer, var ikke vurdert, jf. ISA 315 punktene 29 og 13.

• Foretakets kontrollmiljø var ikke vurdert i tilstrekkelig grad, jf. ISA 315 punkt 14.

• Benyttede serviceorganisasjoner og betydningen av deres tjenesteleveranser for internkontrollen i foretaket var ikke beskrevet, jf. ISA 315 punkt 18 og ISA 402.

Som følge av mangler ved identifikasjonen av iboende risikoer og mangler i kart­leggingen og vurderingen av foretakets internkontroll, var konklusjonene på kombinerte risikovurderinger og anslått risiko for feil i regnskapet ikke underbygget. Følgelig var grunnlaget for valg av revisjonsmessig angrepsvinkel og videre planlegging av revisjonshandlinger mangelfullt.

Valg av angrepsvinkel

Når det gjelder hensiktsmessigheten av valgt angrepsvinkel, samt hvordan resultatet av risikovurderingshandlingene og valgt angrepsvinkel er reflektert i planlagte revisjonshandlinger, ble følgende svakheter avdekket:

• Valgt angrepsvinkel fremgikk ikke av dokumentasjonen eller fremsto som uklar, jf. ISA 330 punkt 6.

• Revisor var usikker i sitt valg av revisjonsmessig angrepsvinkel på inntektsområdet, og i flere tilfeller var de utførte revisjonshandlingene ikke konsistente med den angrepsvinkelen revisor hadde valgt i planleggingen.

• Revisjonen var basert på substanshandlinger alene, selv om dette ikke var egnet til å gi tilstrekkelig og hensiktsmessig revisjonsbevis for fullstendighet av inntekter, jf. ISA 330 punkt 8(b).

  • Revisor hadde lagt til grunn redusert kontrollrisiko uten at:

• relevante kontroller var identifisert, planlagt testet eller testet

• relevante kontroller var knyttet opp mot iboende risikoer eller regnskapspåstander

• utformingen av relevante kontroller var vurdert

• relevante kontroller var bekreftet iverksatt

• vurdering av kontrollmiljøet var dokumentert

Gjennomføring og revisors konklusjon

Det ble avdekket følgende svakheter ved flere revisjonsoppdrag:

• Analytiske revisjonshandlinger for å innhente revisjonsbevis for inntekter var utført uten at revisor hadde definert forventninger, forholdstall og grenser for avvik fra forventet resultat som kunne aksepteres uten videre undersøkelser, jf. ISA 520 punkt 5. Mange hadde heller ikke vurdert egnetheten av utførte analyser og påliteligheten av informasjonen analysene bygget på. Bruttofortjenesteanalyser var utført uten at revisor hadde vurdert hva som var normal bruttofortjeneste, og uten at avvik fra normal eller forventet bruttofortjeneste var undersøkt nærmere. I tilfeller hvor revisor innhentet forklaringer fra ledelsen, var disse ofte lagt til grunn av revisor uten at det ble innhentet underbyggende revisjonsbevis. Ofte var bruttofortjenesteanalysen gjort på et så høyt aggregeringsnivå at analysen ikke kunne legges til grunn som revisjonsbevis. Typisk skjedde dette ved at flere virksomhetsområder eller ulike produkt­kategorier inngikk i samme beregning.

• Test av kontroller var ikke gjennomført til tross for at revisor hadde lagt til grunn en antakelse om redusert kontrollrisiko. Gjennomføringen av planlagte tester av kontroller var i mange tilfeller mangelfull. Kontroller valgt ut for testing var mangelfullt beskrevet, og utførte testhandlinger var mangelfullt dokumentert. Det samme gjaldt revisors vurdering og konklusjon på hvorvidt antatt kontrollrisiko var bekreftet. Revisor hadde i enkelte tilfeller konkludert med at iboende risikoer ikke medførte risiko for feilinformasjon som følge av god internkontroll, uten at revisor hadde vurdert hvorvidt internkontrollen var hensiktsmessig utformet eller iverksatt, jf. ISA 315 punkt 13. «Vugge-til-grav-tester» av prosesser og kontroller ble likestilt med tester av kontroller, til tross for at de ikke omfatter test av at kontrollenes effektivitet og derfor ikke kunne bekrefte revisors antakelse om redusert kontrollrisiko.

• Utførte substanshandlinger ga ikke tilstrekkelige og hensiktsmessige revisjonsbevis for inntektene. Revisor hadde kun utført substansrevisjon av inntektsområdet, til tross for at substanskontroller alene ikke kunne gi revisjonsbevis for fullstendighet av inntekter. Manglende revisjonsbevis for fullstendighet av inntekter skyldtes ofte manglende testing av kontroller for å få bekreftet antakelsen om redusert kontrollrisiko. I andre tilfeller var de utførte substanshandlingene feil utformet, for eksempel ved at det kun ble utført kontroll fra hovedbok til fakturagrunnlag.

• Dokumentasjonen av utførte revisjonshandlinger var mangelfull. Postene eller forholdene som ble testet, var ikke tilstrekkelig beskrevet, og utførte revisjonshandlinger var derfor ikke etterprøvbare. Arbeidspapirene var heller ikke signert og datert. Det vises til revisorloven §?5–3 og ISA 230 punkt 9.

• Utvelgelsen av kontroller og/eller detaljer for testing var mangelfullt begrunnet og dokumentert. Dermed fremgikk det ikke alltid hvorvidt utvalget som ble testet, oppfylte formålet med revisjonshandlingen. Det vises til revisorloven §?5–1 første og andre ledd, jf. ISA 5008 punkt 10.

Viktigheten av «den røde tråden»

Finanstilsynet påpeker viktigheten av at det må være en logisk sammenheng fra revisors virksomhetsforståelse og risikovurderingshandlinger via planlegging og valg av revisjonsmessig angrepsvinkel til gjennomføring og endelig konklusjon. Tematilsynet avdekket at denne sammenhengen noen ganger manglet. I revisors oppdragsdokumentasjon må sammenhengen mellom de ulike fasene i revisjonsprosessen, «den røde tråden», komme tydelig frem.

Sammendraget er basert på Finanstilsynets rapport Inntektsrevisjon og virksomhetsforståelse med undertittelen Tematilsyn 2012, publisert 22. mars i år.