ریسک حسابرسی دقیقاً درباره چیست؟
وقتی حسابرس گزارش میدهد صورتهای مالی، از جنبههای بااهمیت، طبق چارچوب گزارشگری تهیه شدهاند، در واقع سطحی از اطمینان حرفهای ارائه میکند؛ اطمینان مطلق وعده داده نمیشود. ریسک حسابرسی احتمال آن است که اظهارنظر صادرشده با وضعیت واقعی صورتهای مالی سازگار نباشد، چون تحریفی بااهمیت وجود داشته و حسابرس آن را کشف نکرده یا واکنش مناسب نشان نداده است [۱].
این مفهوم را نباید با ریسک تجاری شرکت یکی دانست. کاهش فروش، نوسان نرخ ارز یا کمبود نقدینگی ممکن است ریسک تجاری باشند؛ اما برای حسابرس زمانی به ریسک حسابرسی تبدیل میشوند که احتمال ایجاد تحریف بااهمیت یا محدودیت در شواهد حسابرسی را بالا ببرند. در [خدمات حسابرسی صورتهای مالی قواعد](https://qavaed.ir/services/audit)، شناخت کسبوکار و ارزیابی همین ریسکها بخشی از برنامهریزی مأموریت است.
سه جزء شناختهشده ریسک حسابرسی
در آموزش حرفهای، مدل ریسک حسابرسی معمولاً بهصورت رابطهای میان ریسک تحریف بااهمیت و ریسک کشف توضیح داده میشود. ریسک تحریف بااهمیت خود از دو مؤلفه ریسک ذاتی و ریسک کنترل در سطح ادعا تشکیل میشود. این رابطه به حسابرس کمک میکند بفهمد وقتی ریسکهای مربوط به شرکت بالا هستند، باید ریسک کشف قابل قبول را پایینتر بگیرد و شواهد قانعکنندهتری به دست آورد [۱].
ریسک ذاتی، آسیبپذیری یک ادعا در برابر تحریف است؛ پیش از آنکه کنترلهای مرتبط را در نظر بگیریم. معاملات پیچیده، برآورد ارزش منصفانه، درآمدهای مبتنی بر قراردادهای چندساله یا موجودیهای قابل سرقت معمولاً عوامل افزایشدهنده آن هستند. ریسک کنترل، احتمال آن است که کنترل داخلی شرکت نتواند تحریف را بهموقع پیشگیری یا کشف و اصلاح کند. این دو، ریسکهای واحد تجاریاند و مستقل از انجام حسابرسی وجود دارند [۱].
ریسک کشف به این مربوط است که روشهای حسابرس، تحریف موجود را پیدا نکنند. انتخاب نمونه نامناسب، آزمون ناکافی، اتکا به شواهد کماعتبار یا اجرای نادرست روش میتواند آن را بالا ببرد. حسابرس با ماهیت، زمانبندی و میزان آزمونها، استفاده از متخصص و بررسی نتایج، این ریسک را مدیریت میکند؛ اما به دلیل محدودیتهای ذاتی حسابرسی، هیچگاه به صفر نمیرسد [۱].
استاندارد ۳۱۵ چگونه ریسک را شناسایی میکند؟
حسابرس برای شناسایی و ارزیابی ریسکهای تحریف بااهمیت باید شناختی از واحد تجاری، محیط فعالیت، چارچوب گزارشگری و سیستم کنترل داخلی مرتبط با حسابرسی به دست آورد. پرسوجو از مدیریت، روشهای تحلیلی، مشاهده و بازرسی، جایگزین قضاوت حرفهای نمیشوند؛ ابزارهایی هستند برای ساختن تصویری مستند از محلهای پرخطر [۲].
ارزیابی در دو سطح انجام میشود. ریسک در سطح صورتهای مالی میتواند بر بسیاری از حسابها اثر بگذارد؛ برای مثال، فشار مدیریت برای نمایش سود ممکن است چندین فرایند را درگیر کند. در سطح ادعا، حسابرس بررسی میکند یک حساب یا افشا از نظر وقوع، کاملبودن، صحت، برش زمانی، ارزشگذاری، حقوق و تعهدات یا ارائه، چگونه ممکن است تحریف شود.
فناوری اطلاعات هم بخشی از این شناخت است. اگر ثبت فروش، محاسبه استهلاک یا تعیین سطح دسترسی بهصورت خودکار انجام شود، حسابرس باید کنترلهای عمومی فناوری و کنترلهای کاربردی مرتبط را بشناسد. اتکای ظاهری به نرمافزار بدون آزمون کنترلهای تغییر برنامه و دسترسی کاربران، ارزیابی ریسک را ناقص میکند [۲].
از ارزیابی ریسک تا روشهای رسیدگی
استاندارد ۳۳۰ از حسابرس میخواهد برای ریسکهای ارزیابیشده، پاسخ مناسب طراحی و اجرا کند. پاسخ در سطح کلی میتواند شامل افزایش نظارت تیم، بهکارگیری اعضای باتجربهتر، پیشبینی غیرقابلپیشبینی در انتخاب روشها یا تأکید بیشتر بر تردید حرفهای باشد. در سطح ادعا، آزمون کنترلها و روشهای ماهوی برای کسب شواهد کافی و مناسب به کار میروند [۳].
اگر حسابرس قصد داشته باشد به اثربخشی یک کنترل اتکا کند، باید اجرای آن را آزمون کند؛ صرفاً وجود دستورالعمل یا امضا، اثربخشی عملی را ثابت نمیکند. اگر کنترل قابل اتکا نباشد، معمولاً دامنه یا زمانبندی آزمونهای ماهوی تغییر میکند. برای نمونه، ضعف در کنترل شمارش موجودی میتواند به مشاهده مستقیم بیشتر، آزمون شمارشهای مستقل و بررسی خرید و فروش نزدیک پایان سال منجر شود.
روش تحلیلی، تأییدیه، رسیدگی به اسناد، مشاهده، محاسبه مجدد و آزمون جزئیات هرکدام محدودیت دارند. حسابرس باید اعتبار منبع، ارتباط شواهد با ادعا و کفایت مقدار آنها را کنار هم ببیند. افزایش تعداد اسناد بدون توجه به کیفیت یا هدف آزمون، الزاماً ریسک کشف را به اندازه لازم پایین نمیآورد.
یک مثال از ارزیابی ریسک در عمل
فرض کنید شرکت در پایان سال، بخش بزرگی از فروش خود را در هفته آخر ثبت کرده و قراردادهای فروش شامل حق برگشت کالا هستند. ریسک ذاتیِ وقوع و برش زمانی فروش بالا میرود؛ چون معاملات فشرده و شرایط قرارداد پیچیدهاند. اگر سیستم شرکت برای ثبت برگشت و تطبیق قراردادها کنترل مؤثری نداشته باشد، ریسک کنترل نیز افزایش مییابد. حسابرس در پاسخ، قراردادها و اسناد حمل را بررسی میکند، معاملات نزدیک سال را بهصورت هدفمند نمونهگیری میکند و برگشتهای پس از تاریخ ترازنامه را میسنجد.
نتیجه این ارزیابی، الزاماً اظهارنظر مشروط نیست. اگر روشهای رسیدگی تحریف را نشان دهند، شرکت آن را اصلاح کند و شواهد کافی به دست آید، گزارش میتواند بدون تعدیل صادر شود. اگر تحریف بااهمیت اصلاح نشود یا دسترسی به شواهد کافی ممکن نباشد، استانداردهای گزارشگری اظهارنظر مناسب را بر اساس اهمیت و فراگیری موضوع تعیین میکنند.
در چرخهای مانند فروش، کنترلهای داخلی مناسب میتوانند بخشی از ریسک را کاهش دهند، اما مسئولیت تهیه صورتهای مالی و طراحی کنترلها همچنان با مدیریت است. برای بازطراحی و آزمون کنترلها، [خدمات کنترلهای داخلی قواعد](https://qavaed.ir/services/internal-controls) با هدفی متفاوت از حسابرسی مستقل ارائه میشود.
رابطه ریسک حسابرسی و اهمیت
ریسک و اهمیت به هم مرتبطاند اما یکی نیستند. اهمیت، آستانهای است که حسابرس برای ارزیابی اثر تحریفها بر تصمیم استفادهکنندگان تعیین میکند؛ ریسک، احتمال باقیماندن تحریف بااهمیت یا صدور اظهارنظر نامناسب است. یک مبلغ کوچک در حسابی با احتمال تقلب بالا ممکن است توجه بیشتری بخواهد و مجموعهای از تحریفهای کوچک نیز میتواند در مجموع بااهمیت شود.
حسابرس اهمیت را در برنامهریزی و ارزیابی تحریفهای اصلاحشده و اصلاحنشده به کار میبرد و در طول کار، اگر اطلاعات تازهای به دست آید، ارزیابیها را بازنگری میکند. بنابراین عدد اهمیت ابتدای کار، تضمین نمیکند همه آزمونها با همان دامنه تا پایان ثابت بمانند.
مدیر مالی نباید از حسابرس «عدد ریسک قابل قبول» مطالبه کند یا تصور کند هر مورد زیر اهمیت قابل اغماض است. بهتر است مغایرتها، برآوردهای حساس و معاملات غیرعادی بهموقع مستند شوند تا حسابرس بتواند اثر تجمعی و ارتباط آنها با ادعاها را ارزیابی کند.
شرکت برای کاهش ریسک چه کارهایی میتواند بکند؟
مدیریت نمیتواند ریسک حسابرسی را با درخواست گزارش بهتر یا ارائه توضیح شفاهی حذف کند. کاری که واقعاً اثر دارد، بهبود کیفیت داده و کنترل است: بستن حسابها با برنامه، مستندسازی برآوردها، تطبیق حسابهای مهم، کنترل دسترسی سامانه، شمارش قابل اتکا و پاسخگویی سریع به درخواستهای شواهد. پاسخ به نامه مدیریت حسابرس و پاسخ مستند به آن نیز باید اقدام اصلاحی مشخص داشته باشد.
پیش از شروع رسیدگی، تغییرات مهم در قراردادها، دعاوی، تأمین مالی، اشخاص وابسته و سامانههای اطلاعاتی را به حسابرس اطلاع دهید. پنهانکردن یک موضوع معمولاً ریسک را کم نمیکند؛ ممکن است دامنه آزمون و تردید حرفهای را بیشتر کند.
اگر حسابرس مستقل یا حسابرسی داخلی انتخاب میکنید، دامنه، زمانبندی و مسئولیتها را در قرارداد روشن کنید. صفحه [خدمات حسابرسی قواعد](https://qavaed.ir/services/audit) نقطه شروع بررسی نوع مأموریت است و [صفحه هزینه حسابرسی](https://qavaed.ir/audit-fee) برای برآورد اولیه دامنه و خدمات مرتبط به کار میآید.
پرسشهایی که قبل از بستن حسابها باید پاسخ دهید
برای گفتوگوی مؤثر با حسابرس، مدیر مالی میتواند این موارد را مستند کند:
- کدام حسابها و افشاها به برآورد، قرارداد پیچیده یا قضاوت مدیریت وابستهاند؟
- چه تغییر مهمی در سامانه، کارکنان کلیدی، تأمین مالی یا مدل کسبوکار رخ داده است؟
- کدام کنترلها واقعاً اجرا شده و برای اجرای آنها ردپای قابل بررسی وجود دارد؟
- آیا مغایرت، دعوا، تقلب احتمالی یا معامله با شخص وابستهای هست که هنوز ارزیابی نشده باشد؟