Финансовый аудит (Financial Audit)

Финансовый аудит — независимая проверка того, что финансовая отчётность организации во всех существенных аспектах достоверно отражает её положение и результаты в соответствии с применимыми правилами учёта. Он регулярен (обычно раз в год) и адресован пользователям отчётности: владельцам, кредиторам, инвесторам, регуляторам — в отличие от финансовой Due Diligence, которая проводится один раз перед конкретной сделкой и отвечает на вопрос покупателя. Центральное понятие аудита — существенность (materiality): аудитор не ищет каждую ошибку, а стремится получить разумную уверенность, что отчётность не содержит искажений, способных повлиять на решения пользователей.

Аудит не гарантирует, что отчётность абсолютно точна. Он даёт разумную уверенность, что она не искажена существенно, — и только если проверка была спланирована, выполнена и оценена по правилам.

Материал разбирает: как устроены международные стандарты аудита и как они определяют существенность; из чего состоит проверка (оценка рисков, тестирование контролей, процедуры по существу, оценка найденных искажений, заключение); что показывают громкие провалы (Enron и Arthur Andersen, Wirecard и EY) и позиция регулятора о качественной существенности; как руководителю подготовить компанию и читать заключение; типовые ошибки; и что делает и чего не делает фрейм OrgDevTools.

Происхождение и исследовательская база

Современная практика опирается на Международные стандарты аудита (ISA), которые выпускает Совет по международным стандартам аудита и заверения (IAASB) при Международной федерации бухгалтеров (IFAC). Аудиторы в России применяют международные стандарты аудита, введённые для российской практики с 2017 года (актуальные требования и редакции уточняйте в нормативных документах Минфина и в законе об аудиторской деятельности). Для отчётности публичных компаний США действуют собственные стандарты Совета по надзору за аудиторской деятельностью (PCAOB), для непубличных — стандарты Американского института дипломированных бухгалтеров (AICPA), которые называют GAAS. Все эти своды строятся на одних идеях: разумная уверенность, риск-ориентированный подход, существенность, профессиональный скептицизм, независимость.

Ключевые стандарты ISA, полезные руководителю: ISA 200 (общие цели аудитора; объясняет, что аудит даёт разумную, но не абсолютную уверенность из-за пределов аудита, таких как выборочность и возможность сговора); ISA 315 (выявление и оценка рисков существенного искажения); ISA 320 (существенность при планировании и проведении аудита); ISA 330 (действия в ответ на оценённые риски); ISA 450 (оценка выявленных искажений); ISA 240 (ответственность аудитора в отношении мошенничества); ISA 550 (связанные стороны); ISA 570 (непрерывность деятельности); ISA 700 (формирование мнения). В зависимости от результатов аудитор выражает немодифицированное мнение (отчётность достоверна во всех существенных аспектах), мнение с оговоркой, отрицательное мнение или отказывается от выражения мнения.

Существенность по ISA 320 — это порог, определяемый профессиональным суждением; на практике он рассчитывается как процент от выбранной базы (для коммерческих компаний — обычно прибыль до налогообложения, а при её нестабильности — выручка, валюта баланса или иная база; для некоммерческих — расходы или активы). В пояснениях к стандарту в качестве примеров приводятся 5 % прибыли до налога и 1 % выручки; крупные аудиторские фирмы используют внутренние методики и диапазоны (в обиходе называют интервал порядка 0,5–5 % в зависимости от базы и характера компании). Точный процент — это не формула, а профессиональное суждение, и он закрепляется в плане аудита. Кроме общей существенности, аудитор определяет существенность для выполнения аудиторских процедур (performance materiality) — меньшую величину, чтобы сумма невыявленных и неисправленных искажений не превысила общий порог, и порог явно незначительных сумм, ниже которого искажения не накапливаются (ISA 450).

Существенность бывает количественной и качественной. Комиссия по ценным бумагам США в бюллетене SAB 99 (1999) прямо указала, что нельзя опираться только на процентные правила: искажение может быть существенным независимо от размера, если оно, например, скрывает изменение тенденции прибыли, превращает убыток в прибыль, помогает выполнить ковенант или прогноз аналитиков, затрагивает сделки с руководством или нарушает закон. Это принципиальный момент для интерпретации любого «калькулятора существенности».

Аудит следует отличать от смежных практик: внутренний аудит проводится сотрудниками организации и подчиняется совету директоров или комитету по аудиту; обзорная проверка даёт ограниченную уверенность; сопутствующие услуги и консалтинг не выражают мнения о достоверности; аудит дебиторской задолженности и аудит кредиторской задолженности — управленческие проверки отдельных участков; аудит финансовой устойчивости контрагента оценивает риск партнёра. Общий контекст — управленческий учёт и анализ операционных рисков.

Документированные кейсы

Кейс 1. Enron и Arthur Andersen (2001–2002): внебалансовые структуры и независимость аудитора

Энергетическая компания Enron подала на банкротство в декабре 2001 года. Расследования показали, что она использовала «структуры специального назначения» (special purpose entities), чтобы вывести обязательства и убыточные активы за баланс и улучшить видимость финансового положения; в сделках участвовал финансовый директор Эндрю Фастоу. Аудитором Enron была Arthur Andersen, которая, кроме аудита, оказывала клиенту значительный объём консультационных услуг. Когда началось расследование Комиссии по ценным бумагам, сотрудники Andersen в хьюстонском офисе уничтожали документы, связанные с Enron; 15 июня 2002 года присяжные признали фирму виновной в воспрепятствовании правосудию, после чего она фактически прекратила работу. В 2005 году Верховный суд США отменил приговор, но фирма к тому времени уже перестала существовать. Закон Сарбейнса — Оксли (2002) создал PCAOB и ограничил оказание аудиторами неаудиторских услуг клиентам.

Как читать. Кейс показывает три типичных зоны риска, которые перекрываются с содержанием проверки: полнота и оценка обязательств (внебалансовые структуры), сделки со связанными сторонами и независимость аудитора (доход от консалтинга у того же клиента). Оговорка: это громкий, но нетипичный случай умышленной схемы с участием руководства; вывод не «аудит бесполезен», а «результат аудита зависит от независимости, скептицизма и доступа к информации».

Кейс 2. Wirecard (2020): деньги, которых не было

Немецкая платёжная компания Wirecard 18 июня 2020 года получила от аудитора Ernst & Young сообщение, что подтвердить наличие 1,9 млрд евро, якобы находившихся на счетах в банках Филиппин, невозможно; в течение нескольких дней компания признала, что денег, вероятно, не существовало, а 25 июня 2020 года подала на банкротство. Эта сумма составляла около четверти баланса. EY на протяжении около десяти лет выдавала немодифицированные заключения, несмотря на публикации Financial Times с 2015 года, ставившие под сомнение отчётность. Немецкий надзор за аудиторами (APAS) и парламентское расследование отмечали серьёзные и повторяющиеся недостатки в проверках; Германия впоследствии усилила регулирование отчётности и аудита.

Как читать. Кейс иллюстрирует практический вывод: подтверждение остатков денежных средств — базовая процедура (запрос подтверждения непосредственно у банка), а профессиональный скептицизм должен усиливаться при сигналах мошенничества (публикации, короткие продавцы, сложные структуры и сторонние платёжные агенты). Оговорка: обстоятельства и ответственность разных сторон (менеджмент, аудитор, регуляторы) продолжали устанавливаться расследованиями и судами; здесь использованы факты, широко зафиксированные в публикациях и решениях надзорных органов.

Кейс 3. Материальность в цифрах и по существу: позиция SEC (SAB 99)

В 1999 году Комиссия по ценным бумагам США опубликовала бюллетень SAB 99, в котором указала, что 5 % от базы может служить лишь предварительной ориентировкой, а исключительная опора на любой процент или числовой порог не имеет основания в учётной литературе: искажение меньше 5 % не может автоматически считаться несущественным. Среди примеров качественных факторов, которые делают малое искажение существенным: скрытие тенденции роста или падения прибыли, превращение убытка в прибыль, влияние на выполнение обязательств по кредитным договорам, на вознаграждение руководства, на соблюдение законов. Практическое следствие: любой расчёт порога — лишь начало; каждое найденное искажение нужно оценивать также по качественным признакам. Оговорка: SAB 99 адресован эмитентам, зарегистрированным в США; для других юрисдикций подход аналогичен по смыслу (ISA 320 и ISA 450), но применяется в рамках местных правил.

Ключевые идеи и принципы

1. Принцип: существенно только то, что влияет на решения пользователей

   Абсолютная точность отчётности недостижима и не является целью. Цель — чтобы отчётность была свободна от существенных искажений, то есть таких, которые могли бы повлиять на экономические решения разумного пользователя. Поэтому обсуждение любой находки начинается с вопроса: что изменилось бы в решении инвестора, кредитора, собственника, если бы он знал правду.

2. Принцип: порог рассчитывается от базы и закрепляется заранее

   Порог существенности определяют до выполнения процедур: выбирают базу, соответствующую тому, что важно пользователям (прибыль, выручка, активы, расходы), применяют процент, обоснованный профессиональным суждением и характером организации, затем определяют существенность для выполнения процедур и порог явно незначительных сумм. Назначенный «на глаз» порог не защищён от манипуляций: порог, подобранный после того, как искажения найдены, теряет смысл.

3. Принцип: искажения накапливаются

   Оценивать каждое искажение отдельно недостаточно: несколько малых искажений в одну сторону могут в сумме превысить порог. ISA 450 требует накапливать выявленные искажения (кроме явно незначительных) и сопоставлять сумму с существенностью; руководство обычно исправляет выявленные искажения, а неисправленные суммируются в специальной ведомости.

4. Принцип: аудит проверяет и процессы, и остатки

   Проверка итоговых цифр без понимания процессов их формирования не даёт устойчивой уверенности. Аудитор оценивает риски и внутренний контроль организации (ISA 315), тестирует эффективность контролей, если планирует на них полагаться, и выполняет процедуры по существу: подтверждения от третьих лиц, пересчёт, инспекцию документов, аналитические процедуры. Слабый контроль означает больший объём проверки и больший риск ошибок в будущем.

5. Принцип: полнота обязательств — зона повышенного риска

   Завышение выручки и активов проще обнаружить, чем занижение или сокрытие обязательств, особенно условных (гарантии, судебные иски, штрафы по договорам) и внебалансовых. Поэтому проверка полноты обязательств, подтверждение у юристов и банков, анализ событий после отчётной даты и сделок со связанными сторонами — обязательные элементы (ISA 550).

6. Принцип: независимость и профессиональный скептицизм

   Мнение аудитора ценно ровно настолько, насколько он независим и критичен. Практики защиты: ротация партнёров, ограничение неаудиторских услуг, работа комитета по аудиту, прямой доступ аудитора к совету директоров, письменные заявления руководства, обсуждение вопросов, вызывающих сомнения. Для руководителя это означает: не «договариваться» с аудитором, а создавать условия для его работы.

7. Принцип: подготовка компании к аудиту

   Практический порядок: закрытие периода по графику; сверки счетов и подтверждающие документы; реестр связанных сторон и сделок с ними; реестр условных обязательств и судебных дел; политика оценки и резервов; описание процессов и контролей; инвентаризация и подтверждения остатков; лист вопросов, оставшихся с прошлого аудита; коммуникация с комитетом по аудиту. Хорошая подготовка сокращает объём корректировок и стоимость аудита.

8. Принцип: метрики качества отчётности и аудита

   Для руководителя полезны показатели: число и сумма корректировок, предложенных аудитором, в динамике; сумма неисправленных искажений в отношении порога; число выявленных недостатков внутреннего контроля и доля закрытых в срок; сроки закрытия периода и подготовки отчётности; число пересчётов и исправлений ранее опубликованной отчётности; доля неаудиторских услуг в общих вознаграждениях аудитора; срок работы аудитора и ротация партнёра; результаты оценки качества аудита комитетом по аудиту. Рост корректировок из года в год — сигнал слабых контролей, а не только «придирчивого» аудитора.

9. Принцип: как читать аудиторское заключение

   Обратите внимание не только на тип мнения, но и на ключевые вопросы аудита (описание областей повышенного риска и подхода к ним), параграф о непрерывности деятельности, обращение внимания на вопросы, отмеченные аудитором, и пояснения к отчётности. «Чистое» заключение подтверждает соответствие отчётности правилам учёта, но не является инвестиционной рекомендацией и не гарантирует платёжеспособность.

Ограничения, слепые зоны и критика

Типовые ошибки

1. Ошибка 1: порог существенности назначается «на глаз».

   Значимость искажения определяют без опоры на процент от базы и не фиксируют заранее; порог подгоняется под результат.

   Как избежать

   рассчитывать порог от обоснованной базы до начала процедур, документировать выбор базы и процента, определять существенность для выполнения процедур и порог явно незначительных сумм.

2. Ошибка 2: проверяют только цифры, но не процессы.

   Итоговые показатели сверены, а надёжность процессов их формирования не проверена; ошибки повторяются в следующих периодах.

   Как избежать

   включать оценку и тестирование внутренних контролей, фиксировать недостатки и сроки их устранения.

3. Ошибка 3: обязательства проверяются только в пределах баланса.

   Условные и внебалансовые обязательства (гарантии, иски, штрафы, структуры вне консолидации) остаются непроверенными, потому что не отражены в отчётности.

   Как избежать

   системно проверять полноту обязательств: письма юристам, подтверждения банков, договоры, события после отчётной даты, внебалансовые структуры.

4. Ошибка 4: найденные искажения не сопоставляются с порогом и не накапливаются.

   Каждое отклонение обсуждают отдельно; несколько «малых» в одну сторону в сумме превышают порог, но этого никто не видит.

   Как избежать

   вести ведомость неисправленных искажений и сравнивать сумму с порогом, а не только отдельные позиции.

5. Ошибка 5: сделки со связанными сторонами не выделяют.

   Операции с аффилированными лицами смешаны с обычными; условия не раскрыты, конфликт интересов маскируется (Enron).

   Как избежать

   вести реестр связанных сторон и сделок, проверять условия и раскрытие отдельно.

6. Ошибка 6: оценивают существенность только количественно.

   Малое по сумме искажение, скрывающее нарушение ковенанта или превращающее убыток в прибыль, признаётся несущественным.

   Как избежать

   проверять качественные признаки (SAB 99): тенденции, ковенанты, вознаграждение руководства, нарушения закона, сделки с руководством.

7. Ошибка 7: считают «чистое» заключение гарантией.

   Собственник или инвестор принимает решение, ориентируясь только на тип мнения, не читая ключевые вопросы и пояснения; аудит не оценивает платёжеспособность и не гарантирует отсутствие мошенничества.

   Как избежать

   читать заключение целиком и дополнять его анализом финансовой устойчивости и рисков.

8. Ошибка 8: ограничивают доступ или «согласуют» выводы.

   Руководство задерживает документы, давит на аудитора, обсуждает выводы вне комитета по аудиту; это снижает качество и независимость аудита.

   Как избежать

   обеспечить доступ, работу комитета по аудиту и прямой канал между аудитором и советом; не предлагать аудитору неаудиторские услуги в конфликтных областях.

План внедрения

1. Недели 1–2: определить охват и порог существенности

   Определить области проверки (признание выручки, классификация расходов, оценка активов, полнота обязательств, сделки со связанными сторонами, внутренний контроль), выбрать базу и процент существенности, определить существенность для выполнения процедур и порог явно незначительных сумм; зафиксировать выбор в плане.

2. Недели 3–5: проверка по областям

   Последовательно проверить каждую область: оценка рисков, тесты контролей, процедуры по существу, подтверждения третьих лиц; отдельно — полнота обязательств и связанные стороны; фиксировать выявленные искажения и недостатки контроля.

3. Неделя 6: оценка искажений и заключение

   Накопить искажения, сопоставить сумму с порогом и оценить качественные факторы; согласовать исправления с руководством; подготовить заключение и письмо руководству с недостатками контроля.

4. Далее: регулярность и пересмотр

   Проводить аудит регулярно (обычно ежегодно), пересчитывать существенность при изменении масштаба и структуры компании, отслеживать закрытие недостатков контроля, оценивать качество аудита комитетом по аудиту.

Как реализовать этот план с помощью фрейма «Финансовый аудит» в OrgDevTools

Фрейм «Финансовый аудит» в OrgDevTools — единая страница без вкладок, состоящая из вердикта и трёх блоков: «Охват аудита», «Порог существенности (materiality)» и «Найденные искажения».

• Охват аудита — шесть переключателей-областей: «Признание выручки», «Классификация расходов», «Оценка активов», «Полнота обязательств», «Сделки со связанными сторонами» и «Внутренний контроль протестирован»; у каждой — подсказка, а рядом счётчик покрытия (например, 4/6). Отметка ставится вручную.

• Порог существенности — два поля: «База (выручка/прибыль до налогов)» и «Порог существенности, %» (по умолчанию 5); ниже показывается порог в валюте = база × процент ÷ 100.

• Найденные искажения — таблица со столбцами «Статья», «Сумма» и «Существенно?»: для каждой строки фрейм по модулю суммы сравнивает её с порогом и показывает «Существенно» (сумма не меньше порога) или «Не существенно»; строки добавляются кнопкой «+ добавить искажение» и удаляются крестиком.

• Вердикт (вверху страницы): если база не указана — просит указать базу и процент; если охват меньше шести областей — предупреждает о неполном охвате и советует закрыть оставшиеся области, прежде чем делать выводы; если охват полный и есть строки с названием статьи и суммой не меньше порога — сообщает число существенных искажений и что отчётность требует корректировки; иначе — что охват полный и ни одно искажение не превышает порог, «отчётность может считаться достоверной».

• Чего фрейм не делает — не выбирает базу и процент существенности за вас и не проверяет их обоснованность (процент по умолчанию 5 — только стартовое значение; прежнее утверждение, что фрейм «устраняет возможность назначения порога на глаз», неверно); сравнивает каждое искажение с порогом отдельно и не накапливает их (несколько малых искажений в сумме не покажут превышения); не считает существенность для выполнения процедур и порог явно незначительных сумм; не учитывает качественные факторы (ковенанты, тренды прибыли, связанные стороны); не проверяет содержание охвата (отметка — самооценка); вердикт «отчётность может считаться достоверной» — упрощение: достоверность подтверждает аудитор по всему объёму процедур, а не сравнение строк с порогом. В отличие от других фреймов каталога, здесь нет вкладок и кнопки создания задачи. Используйте фрейм как рабочую таблицу подготовки и обсуждения, а накопление искажений и качественную оценку ведите отдельно.

Книги по теме

IAASB — «International Standards on Auditing (ISA)» (действующая редакция). Официальный свод международных стандартов аудита: цели, риски, существенность (ISA 320), оценка искажений (ISA 450), мошенничество (ISA 240) и формирование мнения (ISA 700).

SEC — «Staff Accounting Bulletin No. 99: Materiality» (1999). Позиция регулятора о количественной и качественной существенности.

Алвин Аренс, Рэнделл Элдер, Марк Бисли — «Auditing and Assurance Services». Классический учебник по аудиту и заверению: планирование, риски, существенность, свидетельства и заключение.

Дэн Маккрам — «Money Men» (2022). Рассказ журналиста Financial Times о расследовании дела Wirecard.