Rola biegłego rewidenta w kontroli systemów IT w audycie

Współczesny audyt finansowy obejmuje analizę środowiska informatycznego jednostki już na etapie planowania i oceny ryzyka. Wynika to z wymogów Krajowego Standardu Badania (KSB) 315, zgodnie z którym biegły rewident musi dogłębnie poznać jednostkę i jej otoczenie, w tym systemy IT, aby prawidłowo zidentyfikować ryzyka istotnych zniekształceń sprawozdania finansowego.

Obecnie niemal wszystkie operacje gospodarcze i procesy sprawozdawcze są wspierane przez technologie informatyczne. Standardy audytu podkreślają, że skutecznego badania sprawozdania nie da się przeprowadzić bez zrozumienia roli środowiska IT i wpływu systemów IT na działalność jednostki oraz jej sprawozdawczość.

Kiedy biegły rewident analizuje środowisko IT

Analiza środowiska IT rozpoczyna się na wczesnym etapie badania, podczas procedur oceny ryzyka i planowania audytu. Audytor zbiera informacje o wykorzystywanych systemach finansowo-księgowych (FK), infrastrukturze IT, zabezpieczeniach i politykach bezpieczeństwa, a nawet o lokalizacji serwerów (czy dane przetwarzane są lokalnie czy w zewnętrznym centrum danych lub chmurze).

KSB 315 (zmieniony), obowiązujący dla badań 2023 r. i późniejszych, wyszczególnia wymagania dotyczące uzyskania gruntownego zrozumienia środowiska IT, identyfikacji kluczowych aplikacji IT wpływających na sprawozdawczość, zrozumienia kontroli w tych aplikacjach oraz rozpoznania ogólnych ryzyk IT i tzw. ogólnych kontroli IT w jednostce.

Innymi słowy, audytor ustala, jakie systemy i technologie są kluczowe dla ksiąg rachunkowych, jak przetwarzane są transakcje oraz jakie mechanizmy kontrolne (np. automatyczne zabezpieczenia w systemach) działają w IT.

Korzystanie przez jednostkę z IT może generować specyficzne ryzyka błędów lub oszustw, np. ryzyko utraty danych, nieautoryzowanych modyfikacji zapisów, błędów w automatycznym przetwarzaniu czy ataków cybernetycznych. Audytor musi ocenić, na ile środowisko IT jest wiarygodne i bezpieczne, ponieważ od tego zależy wiarygodność danych finansowych. Jeśli systemy informatyczne są dobrze kontrolowane, audytor może bardziej polegać na generowanych przez nie raportach i prowadzić bardziej efektywny audyt. Natomiast słabe lub niesprawdzone środowisko IT oznacza, że biegły rewident musi założyć większe ryzyko błędów, co zwykle skutkuje szerszym zakresem testów szczegółowych.