Использование отчета 2-го типа в качестве аудиторских доказательств операционной эффективности средств контроля в обслуживающей организации

A31. Отчет 2-го типа может предназначаться для удовлетворения потребностей нескольких разных аудиторов организации-пользователя; поэтому тесты средств контроля и результаты, представленные в отчете аудитора обслуживающей организации, могут не иметь отношения к предпосылкам, которые являются значительными в финансовой отчетности организации-пользователя. Применяемые тесты средств контроля и результаты оцениваются на предмет того, обеспечивает ли аудиторский отчет аудитора обслуживающей организации достаточными надлежащими аудиторскими доказательствами в отношении операционной эффективности средств контроля, подтверждающими оценку рисков аудитором организации-пользователя. При этом аудитор организации-пользователя может принять во внимание следующие факторы:

(a) период, охватываемый тестами средств контроля, и время, прошедшее после проведения этих тестов средств контроля;

(b) объем работ аудитора обслуживающей организации и охваченные услуги и процессы, протестированные средства контроля и тесты, которые были выполнены, а также то, каким образом протестированные средства контроля взаимодействуют со средствами контроля организации-пользователя;

(c) результаты этих тестов средств контроля и мнение аудитора обслуживающей организации об операционной эффективности этих средств контроля.

A32. В отношении некоторых предпосылок чем короче период, охваченный конкретным тестом, и чем больше времени прошло с момента его проведения, тем меньше аудиторских доказательств может дать этот тест. При сравнении периода, охваченного отчетом 2-го типа, с периодом финансовой отчетности организации-пользователя аудитор организации-пользователя может прийти к выводу, что этот отчет 2-го типа дает меньше аудиторских доказательств, если существует лишь небольшое пересечение периода, охваченного отчетом 2-го типа, и периода, в отношении которого аудитор организации-пользователя намерен полагаться на этот отчет. В таком случае дополнительные аудиторские доказательства могут представляться в отчете 2-го типа, охватывающем предшествующий или последующий период. В других случаях аудитор организации-пользователя может определить, что необходимо провести тесты средств контроля обслуживающей организации или использовать другого аудитора для проведения таких тестов с целью сбора достаточных надлежащих аудиторских доказательств операционной эффективности этих средств контроля.

A33. Аудитору организации-пользователя может также понадобиться собрать дополнительные доказательства о существенных изменениях в средствах контроля обслуживающей организации за пределами периода, охваченного отчетом 2-го типа, или определить перечень дополнительных аудиторских процедур, которые необходимо провести. Значимые факторы при определении того, какие дополнительные аудиторские доказательства необходимо получить о средствах контроля обслуживающей организации, которые действовали за пределами периода времени, охваченного отчетом аудитора обслуживающей организации, могут включать:

- значительность оцененных рисков существенного искажения на уровне предпосылок;

- конкретные средства контроля, которые тестировались в течение промежуточного периода, и значительные изменения в них, имевшие место после тестирования, включая изменения в информационной системе, процессах и персонале;

- мера, в которой были получены аудиторские доказательства в отношении операционной эффективности этих средств контроля;

- продолжительность оставшегося периода;

- степень, до которой аудитор организации-пользователя намерен сократить объем дальнейших процедур проверки по существу, полагаясь на средства контроля;

- эффективность контрольной среды и процедуры, применяемые организацией-пользователем по мониторингу системы внутреннего контроля.

A34. Дополнительные аудиторские доказательства могут быть получены, например, за счет распространения тестов средств контроля на оставшийся период или за счет тестирования процедур, применяемые организацией-пользователем по мониторингу системы внутреннего контроля.

A35. Если период, охватываемый тестами аудитора обслуживающей организации, полностью выходит за рамки финансового отчетного периода организации-пользователя, аудитор организации-пользователя не сможет полагаться на такие тесты для того, чтобы прийти к заключению, что средства контроля организации-пользователя работают эффективно, потому что эти тесты не дают доказательств эффективности средств контроля в текущем аудируемом периоде, если только не будут проведены другие процедуры.

A36. В определенных обстоятельствах услуга, предоставляемая обслуживающей организацией, может разрабатываться исходя из допущения, что организация-пользователь реализует определенные средства контроля. Например, эта услуга может быть разработана исходя из предположения, что организация-пользователь будет использовать средства контроля для авторизации операций перед тем, как они будут направлены в обслуживающую организацию для обработки. В такой ситуации описание обслуживающей организацией средств контроля может включать описание этих дополнительных средств контроля организации-пользователя. Аудитор организации-пользователя принимает решение о том, являются ли значимыми эти дополнительные средства контроля организации-пользователя для услуги, предоставляемой организации-пользователю.

A37. Если аудитор организации-пользователя считает, что отчет аудитора обслуживающей организации не может обеспечить достаточные надлежащие аудиторские доказательства, например, если отчет аудитора обслуживающей организации не содержит описания проведенных им тестов средств контроля и их результатов, аудитор организации-пользователя может расширить свое понимание процедур и выводов аудитора обслуживающей организации, связавшись с обслуживающей организацией через организацию-пользователя и запросив о возможности обсудить с аудитором обслуживающей организации объем и результаты работы этого аудитора обслуживающей организации. Кроме того, если аудитор организации-пользователя сочтет необходимым, он может связаться с обслуживающей организацией через организацию-пользователя и запросить о проведении аудитором обслуживающей организации процедур в обслуживающей организации. В качестве альтернативы такие процедуры могут проводиться аудитором организации-пользователя или другим аудитором по запросу аудитора организации-пользователя.

A38. Отчет 2-го типа аудитора обслуживающей организации содержит результаты тестов, включая расхождения, и прочую информацию, которая может оказывать влияние на выводы аудитора организации-пользователя. Расхождения, отмеченные аудитором обслуживающей организации, или модифицированное мнение в отчете 2-го типа аудитора обслуживающей организации автоматически не означают, что такой отчет 2-го типа аудитора обслуживающей организации не будет полезен для аудита финансовой отчетности организации-пользователя в плане оценки рисков существенного искажения. Скорее, эти расхождения и вопросы, которые привели к выражению модифицированного мнения в отчете 2-го типа аудитора обслуживающей организации, учитываются аудитором организации-пользователя при оценке тестов средств контроля, проведенных аудитором обслуживающей организации. При изучении этих расхождений и вопросов, которые привели к модифицированному мнению, аудитор организации-пользователя может обсудить такие вопросы с аудитором обслуживающей организации. Такое информационное взаимодействие зависит от участия организации-пользователя, которая должна связаться с обслуживающей организацией и получить ее согласие на организацию информационного взаимодействия аудиторов.