INTERNASJONAL STANDARD FOR ATTESTASJONSOPPDRAG (ISAE) 3402 ATTESTASJONSUTTALELSER OM KONTROLLER HOS EN SERVICEORGANISASJON. ISAE-ens virkeområde...

Transkript

1 INTERNASJONAL STANDARD FOR ATTESTASJONSOPPDRAG (ISAE) 3402 ATTESTASJONSUTTALELSER OM KONTROLLER HOS EN SERVICEORGANISASJON (Gjelder for attestasjonsuttalelser avgitt av revisorer engasjert av serviceorganisasjoner for perioder som avsluttes 15. desember 2015 eller senere) INNHOLD Punkt Innledning ISAE-en s virkeområde Ikrafttredelsesdato... 7 Mål... 8 Definisjoner... 9 Krav ISAE 3000 (Revidert) Etiske krav Ledelsen og de som har overordnet ansvar for styring og kontroll Aksept og fortsettelse av oppdrag Fastslå kriterienes egnethet Vesentlighet Opparbeidelse av en forståelse av serviceorganisasjonens system Innhenting av bevis knyttet til beskrivelsen Innhenting av bevis knyttet til utformingen av kontroller Innhenting av bevis knyttet til effektiviteten av kontroller Arbeidet til en internrevisjonsfunksjon Skriftlige uttalelser Andre opplysninger Etterfølgende hendelser Dokumentasjon Utarbeidelse av attestasjonsuttalelsen til revisor engasjert av serviceorganisasjonen Andre kommunikasjonsansvar Veiledning og utfyllende forklaringer ISAE-ens virkeområde... A1-A2 1

2 ISAE 3402 Definisjoner... Etiske krav... Ledelsen og de som har overordnet ansvar for styring og kontroll... Aksept og fortsettelse av oppdrag... Fastslå kriterienes egnethet... Vesentlighet... Opparbeidelse av en forståelse av serviceorganisasjonens system... Innhenting av bevis knyttet til beskrivelsen... Innhenting av bevis knyttet til utformingen av kontroller... Innhenting av bevis knyttet til effektiviteten av kontroller... Arbeidet til en internrevisjonsfunksjon... Skriftlige uttalelser... Andre opplysninger... Dokumentasjon... Utarbeidelse av attestasjonsuttalelsen til revisor engasjert av serviceorganisasjonen. Andre kommunikasjonsansvar... Vedlegg 1: Eksempler på påstander fra en serviceorganisasjon Vedlegg 2: Eksempler på attestasjonsuttalelser avgitt av revisor engasjert av serviceorganisasjonen Vedlegg 3: Eksempler på modifiserte attestasjonsuttalelser avgitt av revisor engasjert av serviceorganisasjonen A3-A4 A5 A6 A7-A12 A13-A15 A16-A18 A19-A20 A21-A24 A25-A27 A28-A36 A37-A41 A42-A43 A44-A45 A46 A47-A52 A53 Internasjonal standard for attestasjonsoppdrag (ISAE) 3402 «Attestasjonsuttalelser om kontroller hos en serviceorganisasjon» må leses i sammenheng med «Forord til standarder for kvalitetskontroll, revisjon, forenklet revisorkontroll, andre attestasjons- og beslektede tjenester». 2

3 Innledning ISAE-ens virkeområde SA Denne internasjonale standarden for attestasjonsoppdrag (ISAE-en) omhandler attestasjonsoppdrag utført av en praktiserende revisor 1 for å avgi en uttalelse til brukerenheter og deres revisorer om kontrollene hos en serviceorganisasjon som utfører en tjeneste for brukerenheter som kan være relevant for brukerenheters interne kontroll knyttet til finansiell rapportering. Den kompletterer ISA i den forstand at uttalelser utarbeidet i samsvar med denne ISAE-en kan gi hensiktsmessig bevis innenfor rammen av ISA 402. (Jf. punkt A1) 2. «Rammeverk for attestasjonsoppdrag» fastsetter at et attestasjonsoppdrag kan være et oppdrag som skal gi «betryggende sikkerhet» eller et oppdrag som skal gi «moderat sikkerhet» og at et soppdrag kan være enten et attestasjonsoppdrag eller et direkte oppdrag. 3 Denne ISAE-en omhandler oppdrag som skal gi betryggende sikkerhet. 3. Denne ISAE-en gjelder kun når serviceorganisasjonen er ansvarlig for, eller på annet vis i stand til å avgi en påstand om, at utformingen av kontroller er hensiktsmessig. Denne ISAE-en omhandler ikke attestasjonsoppdrag: Hvor det skal avgis en uttalelse utelukkende om hvorvidt kontroller hos en serviceorganisasjon fungerte som beskrevet, eller Hvor det skal avgis en uttalelse om andre kontroller hos en serviceorganisasjon enn dem som er knyttet til en tjeneste som kan være relevant for brukerenheters interne kontroll knyttet til finansiell rapportering (for eksempel kontroller som vedrører brukerenheters produksjon eller kvalitetskontroll). Denne ISAE-en gir imidlertid en viss veiledning for slike oppdrag som er utført innenfor rammen av ISAE 3000 (revidert). (Jf. punkt A2) 4. I tillegg til å avgi en attestasjonsuttalelse om kontroller kan revisor engasjert av serviceorganisasjonen også bli engasjert for å avgi uttalelser om det følgende, som ikke er omtalt i denne ISAE-en : En uttalelse om en brukerenhets transaksjoner eller saldoer som er registrert og ajourholdt av en serviceorganisasjon; eller En uttalelse om kontroller hos en serviceorganisasjon basert på avtalte kontrollhandlinger. Forhold til andre faglige uttalelser og andre krav 5. Det kreves at revisor som er engasjert av serviceorganisasjoner overholder ISAE 3000 (revidert) og denne ISAE når det utføres attestasjonsoppdrag på kontroller hos en 1 ISAE 3000(revidert), Attestasjonsoppdrag som ikke er revisjon eller forenklet revisorkontroll av historisk finansiell informasjon, punkt 12 (r). 2 ISA 402 «Særlige hensyn ved revisjon av en enhet som bruker en serviceorganisasjon». 3 ISAE 3000 (revidert), punkt 12 3

4 ISAE 3402 serviceorganisasjon. Denne ISAE-en supplerer, men erstatter ikke, ISAE 3000 (revidert), og utdyper hvordan ISAE 3000 (revidert) skal anvendes ved et oppdrag som skal gi betryggende sikkerhet og som går ut på å avgi en uttalelse om kontroller hos en serviceorganisasjon. 6. Etterlevelse av ISAE 3000 (revidert) krever blant annet overholdelse av del A og B i "Code of Ethics for Professional Accountants" utstedt av International Ethics Standards Board for Accountants (IESBAs etikkregler) knyttet til attestasjonsoppdrag, eller andre profesjonelle krav, eller krav som følger av lov eller forskrift, som er minst like strenge 4. Det kreves også at oppdragsansvarlig revisor er medlem av et firma som følger ISQC 1, 5 eller andre profesjonelle krav, eller krav i lov eller forskrift, som er minst like krevende som ISQC 1. Ikrafttredelsesdato 7. Denne ISAE-en gjelder for attestasjonsuttalelser avgitt av revisorer engasjert av serviceorganisasjoner for perioder som avsluttes 30. juni 2011 eller senere. Mål 8. Revisor engasjert av serviceorganisasjonen har som mål å: Oppnå betryggende sikkerhet for at, i det alt vesentlige og basert på egnede kriterier,: (i) (ii) Definisjoner Serviceorganisasjonens beskrivelse av sitt system gir en dekkende fremstilling av systemet slik det er utformet og implementert i den spesifiserte perioden (eller når det gjelder en type 1-rapport, per en spesifisert dato); Kontrollene knyttet til kontrollmålene fastsatt i serviceorganisasjonens beskrivelse av sitt system var hensiktsmessig utformet i den spesifiserte perioden (eller når det gjelder en type 1-rapport, per en spesifisert dato); (iii) Kontrollene, dersom inkludert i oppdragets innhold, fungerte effektivt for å gi betryggende sikkerhet for at kontrollmålene fastsatt i serviceorganisasjonens beskrivelse av sitt system ble nådd i den spesifiserte perioden. Avgi en uttalelse om forholdene i ovenfor i samsvar med funnene til revisor engasjert av serviceorganisasjonen. 9. For ISAE-ens formål har følgende begreper den betydning som er beskrevet nedenfor: Ekskluderende metode Metode for rapportering av tjenestene som er utført av en underserviceorganisasjon, hvor serviceorganisasjonens beskrivelse av sitt system inkluderer typen tjenester som er utført av en underserviceorganisasjon, men hvor underserviceorganisasjonens relevante kontrollmål og tilhørende kontroller er 4 ISAE 3000 (revidert), punkt 3, 20 og 34 5 ISAE 3000 (revidert), punkt 3 og 31. Internasjonal standard for kvalitetskontroll (ISQC 1), Kvalitetskontroll for revisjonsfirmaer som utfører revisjon og forenklet revisorkontroll av regnskaper samt andre attestasjonsoppdrag og beslektede tjenester 4

5 (c) (d) (e) (f) (g) (h) (j) SA 3402 ekskludert fra serviceorganisasjonens beskrivelse av sitt system og fra innholdet i oppdraget til revisor engasjert av serviceorganisasjonen. Serviceorganisasjonens beskrivelse av sitt system og innholdet i oppdraget til revisor engasjert av serviceorganisasjonen inkluderer kontroller hos serviceorganisasjonen for å overvåke effektiviteten av kontroller hos underserviceorganisasjonen, som kan inkludere serviceorganisasjonens gjennomgåelse av en attestasjonsuttalelse om kontroller hos underserviceorganisasjonen. Komplementære brukerenhetskontroller Kontroller som serviceorganisasjonen ved utformingen av sin tjeneste forventer vil bli implementert av brukerenheter, og som, dersom det anses nødvendig for å nå kontrollmål fastsatt i serviceorganisasjonens beskrivelse av sitt system, er identifisert i denne beskrivelsen. Kontrollmål Målet eller formålet med et bestemt aspekt ved kontroller. Kontrollmål er knyttet til risikoer som kontroller søker å redusere. Kontroller hos serviceorganisasjonen Kontroller knyttet til oppnåelsen av et kontrollmål som dekkes av attestasjonsuttalelsen til revisor engasjert av serviceorganisasjonen. (Jf. punkt A3) Kontroller hos en underserviceorganisasjon Kontroller hos en underserviceorganisasjon for å gi betryggende sikkerhet for at et kontrollmål er nådd. Kriterier De målestokkene som brukes til å måle eller evaluere det underliggende saksforholdet. «Gjeldende kriterier» er de kriteriene som brukes på et bestemt oppdrag. Inkluderende metode Metode for rapportering av tjenestene som er utført av en underserviceorganisasjon, hvor serviceorganisasjonens beskrivelse av sitt system inkluderer typen tjenester som er utført av en underserviceorganisasjon, og hvor underserviceorganisasjonens relevante kontrollmål og tilhørende kontroller er inkludert i serviceorganisasjonens beskrivelse av sitt system og i innholdet i oppdraget til revisor engasjert av serviceorganisasjonen. (Jf. punkt A4) Internrevisjonsfunksjon En enhets funksjon som utfører aktiviteter for å kunne avgi attestasjoner og yte rådgivning, som er utformet for å evaluere og forbedre effektiviteten av enhetens prosesser for overordnet styring og kontroll, risikohåndtering og intern kontroll.(i) Interne revisorer De personene som utfører aktivitetene til internrevisjonsfunksjonen. Interne revisorer kan tilhøre en internrevisjonsavdeling eller tilsvarende funksjon. Uttalelse om beskrivelsen og utformingen av kontroller hos en serviceorganisasjon (i denne ISAE-en kalt «type 1-rapport») En uttalelse som omfatter: (i) (ii) Serviceorganisasjonens beskrivelse av sitt system; En skriftlig påstand fra serviceorganisasjonen om at, i det alt vesentlige og basert på egnede kriterier,: 5

6 (k) (l) ISAE 3402 a. gir beskrivelsen en dekkende fremstilling av serviceorganisasjonens system slik det er utformet og implementert per den spesifiserte datoen; b. var kontrollene knyttet til kontrollmålene fastsatt i serviceorganisasjonens beskrivelse av sitt system hensiktsmessig utformet per den spesifiserte datoen; og (iii) En attestasjonsuttalelse avgitt av revisor engasjert av serviceorganisasjonen som gir en konklusjon med betryggende sikkerhet for forholdene i (ii)a.-b. ovenfor. Uttalelse om beskrivelsen, utformingen og effektiviteten av kontroller hos en serviceorganisasjon (i denne ISAE-en kalt «type 2-rapport») En uttalelse som omfatter: (i) (ii) Serviceorganisasjonens beskrivelse av sitt system; En skriftlig påstand fra serviceorganisasjonen om at, i det alt vesentlige og basert på egnede kriterier,: a. gir beskrivelsen en dekkende fremstilling av serviceorganisasjonens system slik det er utformet og implementert i den spesifiserte perioden; b. var kontrollene knyttet til kontrollmålene fastsatt i serviceorganisasjonens beskrivelse av sitt system hensiktsmessig utformet i den spesifiserte perioden; og c. fungerte kontrollene knyttet til kontrollmålene fastsatt i serviceorganisasjonens beskrivelse av sitt system effektivt i den spesifiserte perioden; og (iii) En attestasjonsuttalelse avgitt av revisor engasjert av serviceorganisasjonen som: a. Gir konklusjon med betryggende sikkerhet for forholdene i (ii)a.-c. ovenfor; og b. Inneholder en beskrivelse av testene av kontroller og resultatene av disse. Revisor engasjert av serviceorganisasjonen En praktiserende revisor som på anmodning fra serviceorganisasjonen avgir en attestasjonsuttalelse om kontroller hos en serviceorganisasjon. (m) Serviceorganisasjon En tredjepart organisasjon (eller et segment i en tredjepart organisasjon) som utfører tjenester for brukerenheter som kan være relevante for brukerenheters interne kontroll knyttet til finansiell rapportering. (n) Serviceorganisasjonens system (eller systemet) De policyene og prosedyrene som er utformet og implementert av serviceorganisasjonen for å utføre de tjenestene for brukerenheter som dekkes av attestasjonsuttalelsen til revisor engasjert av serviceorganisasjonen. Serviceorganisasjonens beskrivelse av sitt system inkluderer identifikasjon av: de tjenestene som dekkes; perioden, eller når det gjelder en type 1-rapport, datoen, som beskrivelsen er knyttet til; kontrollmål; og tilhørende kontroller. 6

7 (o) (p) (q) (r) (s) SA 3402 Serviceorganisasjonens påstand Den skriftlige påstanden om forholdene nevnt i punkt 9(k)(ii) (eller punkt 9(j)(ii) når det gjelder en type 1-rapport). Underserviceorganisasjon En serviceorganisasjon som brukes av en annen serviceorganisasjon til å utføre noen av de tjenestene for brukerenheter som kan være relevante for brukerenheters interne kontroll knyttet til finansiell rapportering. Test av kontroller En prosedyre som er utformet for å evaluere effektiviteten av kontroller i forbindelse med oppnåelsen av kontrollmålene fastsatt i serviceorganisasjonens beskrivelse av sitt system. Brukerrevisor En revisor som reviderer og uttaler seg om regnskapet til en brukerenhet. 6 Brukerenhet En enhet som bruker en serviceorganisasjon. Krav ISAE 3000 (revidert) 10. Revisor engasjert av serviceorganisasjonen skal ikke gi uttrykk for etterlevelse av denne ISAE-en med mindre revisor har overholdt kravene i denne ISAE-en og ISAE 3000 (revidert). Etiske krav 11. Revisor engasjert av serviceorganisasjonen skal overholde del A og B i IFACs etiske regler. som er relevante for attestasjonsoppdrag, eller andre profesjonelle krav, eller krav i lov eller forskrift, som er minst like omfattende. (Jf. punkt A5) Ledelsen og de som har overordnet ansvar for styring og kontroll 12. Når denne ISAE-en krever at revisor engasjert av serviceorganisasjonen skal rette en forespørsel til, anmode om uttalelser fra, kommunisere med, eller på annet vis interagere med serviceorganisasjonen, skal revisor fastsette hvem i serviceorganisasjonens ledelseseller styringsstruktur revisor skal interagere med. Dette skal omfatte en vurdering av hvilke personer som har det relevante ansvar for og kunnskap om de berørte forholdene. (Jf. punkt A6) Aksept og fortsettelse av oppdrag 13. Før revisor engasjert av serviceorganisasjonen samtykker i å akseptere, eller fortsette, et oppdrag, skal revisor: Fastsette hvorvidt: (i) Revisor engasjert av serviceorganisasjonen har de nødvendige ferdigheter og kompetanse til å utføre oppdraget; (Jf. punkt A7) 6 Når det gjelder en underserviceorganisasjon, er revisor engasjert av en serviceorganisasjon som bruker tjenestene til underserviceorganisasjonen også en brukerrevisor. 7

8 (ii) ISAE 3402 Kriteriene som den praktiserende revisor forventer skal anvendes av serviceorganisasjonen for å utarbeide beskrivelsen av sitt system er egnet og vil være tilgjengelige for brukerenheter og deres revisorer; og (iii) Innholdet i oppdraget og serviceorganisasjonens beskrivelse av sitt system ikke vil være så begrenset at det med stor sannsynlighet ikke vil være nyttig for brukerenheter og deres revisorer. Innhente en bekreftelse fra serviceorganisasjonen på at den erkjenner og forstår sitt ansvar: (i) (ii) (ii) For utarbeidelsen av beskrivelsen av sitt system, og serviceorganisasjonens påstand som er vedlagt, herunder fullstendigheten og nøyaktigheten av presentasjonen av beskrivelsen og påstanden ; (Jf. punkt A8) For å ha et rimelig grunnlag for serviceorganisasjonens påstand som er vedlagt beskrivelsen av dens system; (Jf. punkt A9) For å fastslå i serviceorganisasjonens påstand hvilke kriterier den brukte for å utarbeide beskrivelsen av dens system; (iii) For å fastslå i beskrivelsen av sitt system: a. Kontrollmålene; og b. Når de er spesifisert i lov eller forskrift, eller av en annen part (for eksempel en brukergruppe eller et faglig organ), den parten som spesifiserte dem; (iv) For å identifisere risikoene som truer oppnåelsen av kontrollmålene fastsatt i beskrivelsen av dens system, og utforme og implementere kontroller for å gi betryggende sikkerhet for at disse risikoene ikke vil hindre oppnåelsen av kontrollmålene fastsatt i beskrivelsen av dens system, og derfor at de fastsatte kontrollmålene vil bli nådd; og (Jf. punkt A10) (v) For å gi revisor engasjert av serviceorganisasjonen: a. Tilgang til all informasjon, for eksempel regnskapsmateriale, dokumentasjon og andre forhold, herunder servicenivå-avtaler, som serviceorganisasjonen er kjent med og som er relevant for beskrivelsen av serviceorganisasjonens system og serviceorganisasjonens påstand som er vedlagt; b. Ytterligere informasjon som revisor engasjert av serviceorganisasjonen kan be serviceorganisasjonen om i forbindelse med attestasjonsoppdraget; og c. Ubegrenset tilgang til personer i serviceorganisasjonen som revisor engasjert av serviceorganisasjonen finner det nødvendig å innhente bevis fra. Aksept av en endring i vilkårene for oppdraget 8

9 SA Dersom serviceorganisasjonen ber om å endre oppdragets innhold før oppdraget er avsluttet, skal revisor engasjert av serviceorganisasjonen forsikre seg om at det foreligger en rimelig begrunnelse for endringen. (Jf. punkt A11-A12) Fastslå kriterienes egnethet 15. Revisor engasjert av serviceorganisasjonen skal fastslå hvorvidt serviceorganisasjonen har brukt egnede kriterier ved utarbeidelsen av beskrivelsen av sitt system, ved evalueringen av hvorvidt kontroller er hensiktsmessig utformet, og, når det gjelder en type 2-rapport, ved evalueringen av hvorvidt kontroller fungerer effektivt. 16. Ved fastsettelsen av kriterienes egnethet for å evaluere serviceorganisasjonens beskrivelse av sitt system, skal revisor engasjert av serviceorganisasjonen avgjøre om kriteriene som et minimum omfatter: Hvorvidt beskrivelsen presenterer hvordan serviceorganisasjonens system var utformet og implementert, herunder, der det er relevant; (i) (ii) Typen tjenester som er utført, herunder, der det er relevant, transaksjonsklasser som er prosessert; De prosedyrene, innenfor både IT-systemer og manuelle systemer, som brukes til å utføre tjenester, herunder, der det er relevant, prosedyrer som initierer, registrerer, prosesserer og eventuelt korrigerer transaksjoner, samt overfører dem til rapportene og andre opplysninger utarbeidet for brukerenheter; (iii) Det tilknyttede regnskapsmaterialet og underbyggende informasjon, herunder, der det er relevant, regnskapsopplysninger, underbyggende informasjon og spesifikke kontoer som brukes til å initiere, registrere, prosessere og rapportere transaksjoner, herunder korrigering av feilaktig informasjon og hvordan informasjon overføres til rapportene og andre opplysninger utarbeidet for brukerenheter; (iv) Hvordan serviceorganisasjonens system håndterer viktige hendelser og forhold ut over transaksjoner; (v) Prosessen som er brukt til å utarbeide rapporter og andre opplysninger for brukerenheter; (vi) De spesifiserte kontrollmålene og kontrollene som er utformet for å nå disse målene; (vii) Komplementære brukerenhetskontroller som er vurdert i forbindelse med utformingen av kontrollene; og (viii) Andre aspekter ved serviceorganisasjonens kontrollmiljø, risikovurderingsprosess, informasjonssystem (herunder de tilhørende forretningsprosessene) og kommunikasjon, kontrollaktiviteter og overvåkingskontroller som er relevante for tjenestene som er utført. Når det gjelder en type 2-rapport, hvorvidt beskrivelsen inkluderer relevante detaljer om endringer i serviceorganisasjonens system i perioden som dekkes av beskrivelsen. 9

10 (c) ISAE 3402 Hvorvidt beskrivelsen utelater eller forvrenger informasjon som er relevant for omfanget av serviceorganisasjonens beskrevne system, samtidig som det erkjennes at beskrivelsen er utarbeidet for å oppfylle de behovene som er felles for et vidt spekter av brukerenheter og deres revisorer og derfor ikke nødvendigvis kan inkludere alle aspekter ved serviceorganisasjonens system som hver enkelt brukerenhet og dennes revisor kan vurdere som viktig i sine spesifikke omgivelser. 17. Ved fastsettelsen av kriterienes egnethet for å evaluere utformingen av kontroller, skal revisor engasjert av serviceorganisasjonen avgjøre om kriteriene som et minimum omfatter hvorvidt: Serviceorganisasjonen har identifisert risikoene som truer oppnåelsen av kontrollmålene fastsatt i beskrivelsen av sitt system; og Kontrollene identifisert i beskrivelsen, dersom de fungerer som beskrevet, vil gi betryggende sikkerhet for at disse risikoene ikke forhindrer at de fastsatte kontrollmålene nås. 18. Ved fastsettelsen av kriterienes egnethet for å evaluere effektiviteten av kontroller for å gi betryggende sikkerhet for at de fastsatte kontrollmålene identifisert i beskrivelsen vil bli nådd, skal revisor engasjert av serviceorganisasjonen avgjøre om kriteriene som et minimum omfatter hvorvidt kontrollene ble konsistent anvendt slik de var utformet i den spesifiserte perioden. Dette omfatter hvorvidt manuelle kontroller ble anvendt av personer som har relevant kompetanse og myndighet. (Jf. punkt A13-A15) Vesentlighet 19. Ved planlegging og gjennomføring av oppdraget skal revisor engasjert av serviceorganisasjonen vurdere vesentlighet med hensyn til beskrivelsens dekkende fremstilling, den hensiktsmessige utformingen av kontroller og, når det gjelder type en 2- rapport, effektiviteten av kontroller. (Jf. punkt A16-A18) Opparbeidelse av en forståelse av serviceorganisasjonens system 20. Revisor engasjert av serviceorganisasjonen skal opparbeide seg en forståelse av serviceorganisasjonens system, herunder kontroller som er inkludert i oppdragets innhold. (Jf. punkt A19-A20) Innhenting av bevis knyttet til beskrivelsen 21. Revisor engasjert av serviceorganisasjonen skal innhente og lese serviceorganisasjonens beskrivelse av sitt system, og skal vurdere hvorvidt de aspektene ved beskrivelsen som er inkludert i oppdragets innhold gir en dekkende fremstilling, herunder hvorvidt: (Jf. punkt A21-A22) Kontrollmål fastsatt i serviceorganisasjonens beskrivelse av sitt system er rimelige ut fra omstendighetene; (Jf. punkt A23) Kontroller identifisert i denne beskrivelsen var implementert; 10

11 (c) (d) SA 3402 Eventuelle komplementære brukerenhetskontroller er tilfredsstillende beskrevet; og Eventuelle tjenester utført av en underserviceorganisasjon er tilfredsstillende beskrevet, herunder hvorvidt den inkluderende metoden eller den ikke inkluderende metoden er blitt brukt i forhold til dem. 22. Revisor engasjert av serviceorganisasjonen skal fastsette, gjennom andre handlinger i kombinasjon med forespørsler, hvorvidt serviceorganisasjonens system er blitt implementert. Disse andre handlingene skal omfatte observasjon av måten serviceorganisasjonens system fungerer og kontroller anvendes, og inspeksjon av regnskapsmateriale og annen dokumentasjon. (Jf. punkt A24) Innhenting av bevis knyttet til utformingen av kontroller 23. Revisor engasjert av serviceorganisasjonen skal fastsette hvilke av kontrollene hos serviceorganisasjonen som er nødvendige for å nå kontrollmålene fastsatt i serviceorganisasjonens beskrivelse av sitt system, og skal vurdere hvorvidt disse kontrollene var hensiktsmessig utformet. Denne vurderingen skal omfatte: (Jf. punkt A25- A27) Identifikasjon av risikoene som truer oppnåelsen av kontrollmålene fastsatt i serviceorganisasjonens beskrivelse av sitt system; og Evaluering av forbindelsen mellom kontroller identifisert i serviceorganisasjonens beskrivelse av sitt system og disse risikoene. Innhenting av bevis knyttet til effektiviteten av kontroller 24. Ved avgivelse av en type 2-rapport skal revisor engasjert av serviceorganisasjonen teste de kontrollene revisor finner nødvendige for å nå kontrollmålene fastsatt i serviceorganisasjonens beskrivelse av sitt system, og vurdere deres effektivitet i perioden. Bevis innhentet i tidligere oppdrag om den tilfredsstillende utførelsen av kontroller i tidligere perioder utgjør ikke et grunnlag for å redusere testing, selv om de suppleres av bevis innhentet i inneværende periode. (Jf. punkt A28-A32) 25. Ved utforming og gjennomføring av tester av kontroller skal revisor engasjert av serviceorganisasjonen: (c) Utføre andre handlinger i kombinasjon med forespørsler for å innhente bevis for: (i) (ii) Hvordan kontrollen ble anvendt; Med hvilken konsistens kontrollen ble anvendt; og (iii) Av hvem eller med hvilke midler kontrollen ble anvendt; Fastsette hvorvidt kontroller som skal testes avhenger av andre kontroller (indirekte kontroller) og, i så fall, hvorvidt det er nødvendig å innhente bevis som underbygger effektiviteten av disse indirekte kontrollene; og (Jf. punkt A33-A34) Fastsette metoder for utvelgelse av enheter for testing som effektivt oppfyller målene med handlingen. (Jf. punkt A35-A36) 11

12 ISAE Ved fastsettelse av omfanget av tester av kontroller skal revisor engasjert av serviceorganisasjonen vurdere forhold som blant annet egenskapene ved populasjonen som skal testes, som omfatter typen kontroller, hvor ofte de anvendes (for eksempel månedlig, daglig, flere ganger om dagen) og den forventede avvikshyppigheten. Stikkprøver 27. Når revisor engasjert av serviceorganisasjonen bruker stikkprøver, skal revisor: (Jf. punkt A35-A36) (c) (d) (e) Type og årsak til avvik Vurdere formålet med handlingen og egenskapene ved populasjonen som utvalget skal trekkes fra ved utformingen av utvalget; Fastsette en utvalgsstørrelse som er tilstrekkelig for å redusere utvalgsrisikoen til et akseptabelt lavt nivå; Velge ut enheter til utvalget på en slik måte at hver utvalgsenhet i populasjonen har en mulighet for å bli valgt; Dersom en utformet handling ikke kan anvendes på en utvalgt enhet, gjennomføre handlingen på en erstatningsenhet; og Dersom det ikke er mulig å anvende de utformede handlingene, eller egnede alternative handlinger, på en utvalgt enhet, behandle enheten som et avvik. 28. Revisor engasjert av serviceorganisasjonen skal undersøke typen og årsaken til eventuelle avvik som er identifisert, og skal fastsette hvorvidt: (c) Identifiserte avvik er innenfor den forventede avvikshyppigheten og er akseptable. Testingen som er utført gir derfor tilstrekkelig grunnlag til å konkludere med at kontrollen fungerer effektivt i den spesifiserte perioden; Ytterligere testing av kontrollen eller av andre kontroller er nødvendig for å kunne trekke en konklusjon om hvorvidt kontrollene knyttet til et bestemt kontrollmål fungerer effektivt i den spesifiserte perioden; eller (Jf. punkt A25) Testingen som er utført gir tilstrekkelig grunnlag til å konkludere med at kontrollen ikke fungerte effektivt i den spesifiserte perioden. 29. I de svært sjeldne tilfellene hvor revisor engasjert av serviceorganisasjonen betrakter et avvik avdekket i et utvalg som enkeltstående og ingen andre kontroller er blitt identifisert som gjør det mulig for revisor å konkludere med at det relevante kontrollmålet fungerer effektivt i den spesifiserte perioden, skal revisor oppnå en høy grad av sikkerhet for at et slikt avvik ikke er representativt for populasjonen. Revisor engasjert av serviceorganisasjonen skal oppnå denne graden av sikkerhet ved å gjennomføre ytterligere handlinger for å innhente tilstrekkelig og hensiktsmessig bevis for at avviket ikke påvirker resten av populasjonen. 12

13 Arbeidet til en internrevisjonsfunksjon 7 SA 3402 Opparbeidelse av en forståelse av internrevisjonsfunksjonen 30. Dersom serviceorganisasjonen har en internrevisjonsfunksjon, skal revisor engasjert av serviceorganisasjonen opparbeide en forståelse av typen oppgaver og plikter som hører inn under internrevisjonsfunksjonen og av de utførte aktivitetene for å fastsette hvorvidt internrevisjonsfunksjonen kan være relevant for oppdraget. (Jf. punkt A37) Fastsettelse av hvorvidt og i hvilken grad revisor engasjert av serviceorganisasjonen skal bruke interne revisorers arbeid 31. Revisor engasjert av serviceorganisasjonen skal fastsette: Sannsynligheten for at arbeidet utført av interne revisorer er relevant for formålet med oppdraget; og I så fall, den planlagte virkningen av interne revisorers arbeid på typen, tidspunktet og omfanget av handlingene til revisor engasjert av serviceorganisasjonen. 32. Ved fastsettelse av sannsynligheten for at arbeidet utført av interne revisorer er relevant for formålet med oppdraget, skal revisor engasjert av serviceorganisasjonen vurdere: (c) (d) Internrevisjonsfunksjonens objektivitet; Interne revisorers faglige kompetanse; Sannsynligheten for at interne revisorers arbeid er utført med tilbørlig profesjonell aktsomhet; og Sannsynligheten for at kommunikasjonen mellom interne revisorer og revisor engasjert av serviceorganisasjonen vil være effektiv. 33. Ved fastsettelse av den planlagte virkningen av interne revisorers arbeid på typen, tidspunktet og omfanget av handlingene til revisor engasjert av serviceorganisasjonen, skal revisor vurdere: (Jf. punkt A38) (c) Typen og omfanget av spesifikt arbeid som er utført, eller skal utføres, av interne revisorer; Betydningen av dette arbeidet for konklusjonene til revisor engasjert av serviceorganisasjonen; og Graden av subjektivitet som er utvist ved vurderingen av beviset som er innhentet for å underbygge disse konklusjonene. Bruk av arbeidet til internrevisjonsfunksjonen 34. For at revisor engasjert av serviceorganisasjonen skal kunne bruke spesifikt arbeid utført av interne revisorer, skal revisor vurdere og utføre handlinger på arbeidet for å fastsette dets relevans i forhold til revisors mål. (Jf. punkt A39) 7 Denne ISAE-en ISAE-en omhandler ikke situasjoner hvor individuelle interne revisorer yter direkte assistanse til revisor engasjert av serviceorganisasjonen i forbindelse med gjennomføringen av revisjonshandlinger. 13

14 ISAE For å fastsette relevansen av spesifikt arbeid utført av interne revisorer i forhold til målene til revisor engasjert av serviceorganisasjonen, skal revisor vurdere hvorvidt: (c) (d) (e) Arbeidet er utført av interne revisorer som har relevant faglig opplæring og ferdigheter; Arbeidet er overvåket, gjennomgått og dokumentert på en tilfredsstillende måte; Det er innhentet tilstrekkelig bevis til at interne revisorer kan trekke betryggende konklusjoner; Konklusjonene er hensiktsmessige etter omstendighetene og eventuelle rapporter utarbeidet av interne revisorer er i samsvar med resultatene av det utførte arbeidet; og Avvik som er relevante for oppdraget eller uvanlige forhold som er avdekket av interne revisorer er tatt hånd om på en tilfredsstillende måte. Virkning på attestasjonsuttalelsen til revisor engasjert av serviceorganisasjonen 36. Dersom revisor engasjert av serviceorganisasjonen har brukt arbeidet til internrevisjonsfunksjonen, skal revisor ikke henvise til dette arbeidet i avsnittet i attestasjonsuttalelsen som inneholder revisors konklusjon. (Jf. punkt A40) 37. Dersom det dreier seg om en type 2-rapport og arbeidet til internrevisjonsfunksjonen er blitt brukt i forbindelse med gjennomføring av tester av kontroller, skal den delen av attestasjonsuttalelsen til revisor engasjert av serviceorganisasjonen som beskriver revisors tester av kontroller og resultatene av disse, inneholde en beskrivelse av den interne revisors arbeid og av handlingene utført av revisor engasjert av serviceorganisasjonen med hensyn til dette arbeidet. (Jf. punkt A41) Skriftlige uttalelser 38. Revisor engasjert av serviceorganisasjonen skal be serviceorganisasjonen om å avgi skriftlige uttalelser: (Jf. punkt A42) (c) Som bekrefter påstanden som er vedlagt beskrivelsen av systemet; Om at den har gitt revisor engasjert av serviceorganisasjonen all relevant informasjon og tilgang som avtalt; 8 og Om at den har opplyst revisor engasjert av serviceorganisasjonen om en eller flere av de følgende forholdene som den er kjent med: (i) (ii) Manglende etterlevelse av lover og forskrifter, misligheter eller ikkekorrigerte avvik som kan henføres til serviceorganisasjonen og som kan påvirke en eller flere brukerenheter; Mangler i utformingen av kontroller; (iii) Tilfeller hvor kontroller ikke har fungert som beskrevet; og 8 Punkt 13 (v) i denne ISAE-en. 14

15 SA 3402 (iv) Eventuelle hendelser etter perioden som dekkes av serviceorganisasjonens beskrivelse av sitt system og frem til datoen for attestasjonsuttalelsen avgitt av revisor engasjert av serviceorganisasjonen som kan ha betydelig innvirkning på revisors attestasjonsuttalelse. 39. Skriftlige uttalelser skal foreligge i form av et uttalelsesbrev stilet til revisor engasjert av serviceorganisasjonen. Datoen for skriftlige uttalelser skal være så nær opptil datoen for attestasjonsuttalelsen avgitt av revisor engasjert av serviceorganisasjonen som praktisk mulig, men ikke etter. 40. Dersom serviceorganisasjonen, etter å ha diskutert forholdet med revisor engasjert av serviceorganisasjonen, ikke avgir en eller flere av de skriftlige uttalelsene revisor har bedt om i samsvar med punkt 38 og i denne ISAE-en, skal revisor engasjert av serviceorganisasjonen avgi en konklusjon der det gis uttrykk for at revisor ikke kan uttale seg. (Jf. punkt A43) Andre opplysninger 41. Revisor engasjert av serviceorganisasjonen skal lese eventuelle andre opplysninger som er inkludert i et dokument som inneholder serviceorganisasjonens beskrivelse av sitt system og attestasjonsuttalelsen til revisor engasjert av serviceorganisasjonen, for å identifisere eventuelle vesentlige inkonsistenser med beskrivelsen. Når revisor engasjert av serviceorganisasjonen leser de andre opplysningene for å identifisere vesentlige inkonsistenser, kan revisor blir oppmerksom på en tilsynelatende vesentlig faktisk feil i de andre opplysningene. 42. Dersom revisor engasjert av serviceorganisasjonen identifiserer en vesentlig inkonsistens eller blir oppmerksom på en tilsynelatende vesentlig faktisk feil i de andre opplysningene, skal revisor diskutere forholdet med serviceorganisasjonen. Dersom revisor engasjert av serviceorganisasjonen konkluderer med at det er en vesentlig konsistens eller en tilsynelatende vesentlig faktisk feil i de andre opplysningene som serviceorganisasjonen nekter å korrigere, skal revisor iverksette ytterligere tiltak, avhengig av situasjonen. (Jf. punkt A44-A45) Etterfølgende hendelser 43. Revisor engasjert av serviceorganisasjonen skal forespørre serviceorganisasjonen om hvorvidt den er kjent med eventuelle hendelser etter perioden som dekkes av serviceorganisasjonens beskrivelse av sitt system og frem til datoen for attestasjonsuttalelsen avgitt av revisor engasjert av serviceorganisasjonen som kunne ha ført til at revisor endret attestasjonsuttalelse. Dersom revisor engasjert av serviceorganisasjonen er kjent med en slik hendelse, og informasjon om denne hendelsen ikke gis av serviceorganisasjonen, skal revisor engasjert av serviceorganisasjonen opplyse om den i revisors attestasjonsuttalelse. 44. Revisor engasjert av serviceorganisasjonen er ikke forpliktet til å utføre noen handlinger knyttet til beskrivelsen av serviceorganisasjonens system, eller den hensiktsmessige utformingen eller effektiviteten av kontroller, etter datoen for revisors attestasjonsuttalelse. Dokumentasjon 15

16 ISAE Revisor engasjert av serviceorganisasjonen skal i rett tid utarbeide dokumentasjon som i tilstrekkelig grad ig på en hensiktsmessig måte dokumenterer grunnlaget for attestasjonsuttalelsen slik at en erfaren revisor engasjert av serviceorganisasjonen uten tidligere tilknytning til oppdraget kan forstå: (c) Typen, tidspunktet og omfanget av handlingene som er utført for å etterleve denne ISAE-en ISAE-en og gjeldende krav i lover og forskrifter; Resultatene av handlingene som er utført, og beviset som er innhentet; og Viktige forhold som er avdekket i løpet av oppdraget, og konklusjonene på dem, og viktig profesjonelt skjønn som er anvendt for å komme frem til disse konklusjonene. 46. Ved dokumentasjon av typen, tidspunktet og omfanget av utførte handlinger skal revisor engasjert av serviceorganisasjonen registrere: (c) De identifiserende egenskapene ved de spesielle postene eller forholdene som testes; Hvem som utførte arbeidet og datoen arbeidet var ferdig; og Hvem som gjennomgikk det utførte arbeidet og datoen for og omfanget av denne gjennomgåelsen. 47. Dersom revisor engasjert av serviceorganisasjonen bruker spesifikt arbeid utført av interne revisorer, skal revisor dokumentere konklusjonene som er trukket med hensyn til evalueringen av relevansen av arbeidet utført av interne revisorer, og handlingene som er utført av revisor engasjert av serviceorganisasjonen på dette arbeidet. 48. Revisor engasjert av serviceorganisasjonen skal dokumentere diskusjoner av viktige forhold med serviceorganisasjonen og andre, herunder typen viktige forhold som er diskutert, og når og med hvem diskusjonene fant sted. 49. Dersom revisor engasjert av serviceorganisasjonen har identifisert informasjon som er inkonsistent med revisors endelige konklusjon om et viktig forhold, skal revisor dokumentere hvordan revisor håndterte inkonsistensen. 50. Revisor engasjert av serviceorganisasjonen skal sammenstille dokumentasjonen i et oppdragsarkiv og fullføre den administrative prosessen for sammenstilling av det endelige oppdragsarkivet innen rimelig tid etter datoen for avgivelse av attestasjonsuttalelsen Etter at sammenstillingen av det endelige oppdragsarkivet er fullført, skal revisor engasjert av serviceorganisasjonen verken slette eller fjerne dokumentasjon før oppbevaringsperioden er utløpt. (Jf. punkt A46) 52. Dersom revisor engasjert av serviceorganisasjonen finner det nødvendig å modifisere oppdragsdokumentasjon eller tilføye ny dokumentasjon etter at sammenstillingen av det endelige oppdragsarkivet er fullført, og denne dokumentasjonen ikke påvirker uttalelsen 9 Punkt A54-A55, i ISQC 1, gir ytterligere veiledning. 16

17 SA 3402 til revisor engasjert av serviceorganisasjonen, skal revisor, uavhengig av typen modifikasjoner eller tilføyelser, dokumentere: De spesifikke årsakene til at de ble foretatt; og Når og av hvem de ble foretatt og gjennomgått. Utarbeidelse av attestasjonsuttalelsen til revisor engasjert av serviceorganisasjonen Innhold i attestasjonsuttalelsen til revisor engasjert av serviceorganisasjonen 53. Attestasjonsuttalelsen til revisor engasjert av serviceorganisasjonen skal, som et minimum, inkludere følgende grunnleggende elementer: (Jf. punkt A47) (c) En overskrift som tydelig indikerer at det er en attestasjonsuttalelse avgitt av en uavhengig revisor engasjert av serviceorganisasjonen. En adressat. Identifikasjon av: (i) (ii) Serviceorganisasjonens beskrivelse av sitt system, og serviceorganisasjonens påstand, som omfatter forholdene beskrevet i punkt 9(k)(ii) for en type 2- rapport, eller punkt 9(j)(ii) for en type 1-rapport. De delene av serviceorganisasjonens beskrivelse av sitt system som eventuelt ikke dekkes av konklusjonen avgitt av revisor engasjert av serviceorganisasjonen. (iii) Dersom beskrivelsen henviser til behovet for komplementære brukerenhetskontroller, et utsagn om at revisor engasjert av serviceorganisasjonen ikke har vurdert den hensiktsmessige utformingen eller effektiviteten av komplementære brukerenhetskontroller, og at kontrollmålene fastsatt i serviceorganisasjonens beskrivelse av sitt system utelukkende kan nås dersom komplementære brukerenhetskontroller er hensiktsmessig utformet eller fungerer effektivt, sammen med kontrollene hos serviceorganisasjonen. (iv) Dersom tjenester er utført av en underserviceorganisasjon, typen aktiviteter utført av underserviceorganisasjonen som beskrevet i serviceorganisasjonens beskrivelse av sitt system, og hvorvidt den inkluderende metoden eller den ikke inkluderende metoden er blitt brukt i forhold til dem. Når den ikke inkluderende metoden er blitt brukt, et utsagn om at serviceorganisasjonens beskrivelse av sitt system ekskluderer kontrollmålene og tilhørende kontroller hos relevante underserviceorganisasjoner, og at handlingene utført av revisor engasjert av serviceorganisasjonen ikke omfatter kontroller hos underserviceorganisasjonen. Når den inkluderende metoden er blitt brukt, et utsagn om at serviceorganisasjonens beskrivelse av sitt system inkluderer kontrollmålene og tilhørende kontroller hos underserviceorganisasjonen, og at handlingene utført av revisor engasjert av serviceorganisasjonen omfattet kontroller hos underserviceorganisasjonen. 17

18 (d) (e) (f) (g) (h) (i) ISAE 3402 Identifikasjon av de gjeldende kriteriene, og den parten som spesifiserer kontrollmålene. Et utsagn om at uttalelsen og, når det gjelder en type 2-rapport, beskrivelsen av tester av kontroller kun er beregnet for brukerenheter og deres revisorer, som har tilstrekkelig forståelse til å vurdere den, sammen med andre opplysninger, herunder opplysninger om kontroller utført av brukerenheter selv, i forbindelse med vurderingen av risikoene for vesentlig feilinformasjon i brukerenhetenes regnskap. (Jf. punkt A48) Et utsagn om at serviceorganisasjonen er ansvarlig: (i) (ii) For utarbeidelsen av beskrivelsen av sitt system, og den vedlagte påstanden, herunder fullstendigheten og nøyaktigheten av beskrivelsen og påstanden samt presentasjonsmetoden; For å utføre de tjenestene som dekkes av serviceorganisasjonens beskrivelse av sitt system; (iii) For å angi kontrollmålene (når de ikke er identifisert ved lov eller forskrift, eller av en annen part, for eksempel en brukergruppe eller et faglig organ); og (iv) For å utforme og implementere kontroller for å nå kontrollmålene fastsatt i serviceorganisasjonens beskrivelse av sitt system. Et utsagn om at revisor engasjert av serviceorganisasjonen er ansvarlig for å gi uttrykk for en mening om serviceorganisasjonens beskrivelse, om utformingen av kontroller knyttet til kontrollmålene fastsatt i denne beskrivelsen og, når det gjelder en type 2-rapport, om effektiviteten av disse kontrollene, basert på handlingene utført av revisor engasjert av serviceorganisasjonen. En uttalelse om at revisjonsfirmaet som praktiserende revisor er tilsluttet, anvender ISQC 1, eller andre profesjonelle krav, eller krav i lov eller forskrift, som er minst like omfattende som ISQC 1. Hvis den praktiserende revisoren ikke er en profesjonell revisor, skal uttalelsen identifisere anvendte profesjonelle krav, eller anvendte krav i lov eller forskrift, som er minst like omfattende som ISQC 1. En uttalelse om at den praktiserende revisoren etterlever kravet til uavhengighet og andre etiske krav i IESBAs etikkregler, eller andre profesjonelle krav, eller krav pålagt ved lov eller forskrift, som er minst like omfattende som Del A og B i IESBAs etikkregler som gjelder attestasjonsoppdrag. Hvis den praktiserende revisoren ikke er en profesjonell revisor, skal uttalelsen identifisere anvendte profesjonelle krav, eller anvendte krav pålagt ved lov eller forskrift, som er minst like omfattende som Del A og B i IESBAs etikkregler som gjelder attestasjonsoppdrag.(j) Et utsagn om at oppdraget er utført i samsvar med SA 3402 «Attestasjonsuttalelser om kontroller hos en serviceorganisasjon», som krever at revisor engasjert av serviceorganisasjonen planlegger og utfører handlinger for å oppnå betryggende sikkerhet for at, i det alt vesentlige, serviceorganisasjonens beskrivelse av sitt system gir en dekkende fremstilling og kontrollene er hensiktsmessig utformet og, når det gjelder en type 2-rapport, fungerer effektivt. 18

19 (k) (l) SA 3402 Et sammendrag av handlingene utført av revisor engasjert av serviceorganisasjonen for å oppnå betryggende sikkerhet og et utsagn om at det etter revisors mening er innhentet tilstrekkelig og hensiktsmessig bevis til å danne grunnlag for revisors konklusjon, og, når det gjelder en type 1-rapport, et utsagn om at revisor engasjert av serviceorganisasjonen ikke har utført noen handlinger knyttet til effektiviteten av kontroller og derfor ikke gir uttrykk for en mening om disse. Et utsagn om kontrollers begrensninger og, når det gjelder en type 2-rapport, om risikoen for å projisere enhver evaluering av effektiviteten av kontroller på fremtidige perioder. (m) Konklusjonen avgitt av revisor engasjert av serviceorganisasjonen, uttrykt i en positiv form, om hvorvidt, i det alt vesentlige og basert på egnede kriterier: (n) (o) (i) (ii) Når det gjelder en type 2-rapport: a. Beskrivelsen gir en dekkende fremstilling av serviceorganisasjonens system som var utformet og implementert i den spesifiserte perioden; b. Kontrollene knyttet til kontrollmålene fastsatt i serviceorganisasjonens beskrivelse av sitt system var hensiktsmessig utformet i den spesifiserte perioden; og c. Kontrollene som ble testet, som var de kontrollene som var nødvendige for å gi betryggende sikkerhet for at kontrollmålene fastsatt i beskrivelsen ble nådd, fungerte effektivt i den spesifiserte perioden. Når det gjelder en type 1-rapport: a. Beskrivelsen gir en dekkende fremstilling av serviceorganisasjonens system som var utformet og implementert per den spesifiserte datoen; og b. Kontrollene knyttet til kontrollmålene fastsatt i serviceorganisasjonens beskrivelse av sitt system var hensiktsmessig utformet per den spesifiserte datoen. Datoen for attestasjonsuttalelsen avgitt av revisor engasjert av serviceorganisasjonen, som ikke skal være tidligere enn datoen hvor revisor har innhentet bevisene som revisor engasjert av serviceorganisasjon baserer sin konklusjon på. Navnet på revisor engasjert av serviceorganisasjonen, og stedet i jurisdiksjonen hvor revisor har sitt kontor. 54. Når det gjelder en type 2-rapport, skal attestasjonsuttalelsen til revisor engasjert av serviceorganisasjonen inkludere et eget avsnitt etter konklusjonen, eller et vedlegg, som beskriver testene av kontroller som ble utført og resultatene av disse testene. Ved beskrivelse av testene av kontroller skal revisor engasjert av serviceorganisasjonen tydelig angi hvilke kontroller som ble testet, identifisere hvorvidt de testede enhetene utgjør alle eller et utvalg av enhetene i en populasjon, og angi typen tester tilstrekkelig i detalj til at brukerrevisorer kan fastsette virkningen av slike tester på sine risikovurderinger. Dersom avvik er blitt identifisert, skal revisor engasjert av serviceorganisasjonen inkludere omfanget av utført testing som førte til identifikasjonen 19

20 ISAE 3402 av avvikene (herunder utvalgsstørrelsen når stikkprøver ble brukt), og antallet og typen avvik som ble notert. Revisor engasjert av serviceorganisasjonen skal rapportere avvik selv om revisor, på bakgrunn av de utførte testene, har konkludert med at det tilhørende kontrollmålet ble nådd. (Jf. punkt A18 og A49) Modifiserte konklusjoner 55. Dersom revisor engasjert av serviceorganisasjonen konkluderer med at: (Jf. punkt A50-A52) (c) (d) Serviceorganisasjonens beskrivelse i det alt vesentlige ikke gir en dekkende fremstilling av systemet slik det var utformet og implementert; Kontrollene knyttet til kontrollmålene fastsatt i beskrivelsen i det alt vesentlige ikke var hensiktsmessig utformet; Når det gjelder en type 2-rapport, kontrollene som ble testet, som var de kontrollene som var nødvendige for å gi betryggende sikkerhet for at kontrollmålene fastsatt i serviceorganisasjonens beskrivelse av sitt system ble nådd, i det alt vesentlige ikke fungerte effektivt; eller Revisor engasjert av serviceorganisasjonen ikke er i stand til å innhente tilstrekkelig og hensiktsmessig bevis, skal revisor engasjert av serviceorganisasjonen avgi en modifisert konklusjon, og revisors attestasjonsuttalelse skal inkluder en tydelig beskrivelse av alle begrunnelsene for modifikasjonen. Andre kommunikasjonsansvar 56. Dersom revisor engasjert av serviceorganisasjonen blir oppmerksom på manglende etterlevelse av lov og forskrifter, misligheter eller ikke-korrigert feilinformasjon som kan henføres til serviceorganisasjonen, som ikke er klart ubetydelig og kan påvirke en eller flere brukerenheter, skal revisor fastsette hvorvidt forholdet er tilfredsstillende kommunisert til berørte brukerenheter. Dersom forholdet ikke er blitt tilfredsstillende kommunisert og serviceorganisasjonen ikke er villig til å gjøre det, skal revisor engasjert av serviceorganisasjonen iverksette nødvendige tiltak. (Jf. punkt A53) *** Veiledning og utfyllende forklaringer ISAE-en s virkeområde (Jf. punkt 1 og 3) A1. Intern kontroll er en prosess som er utformet for å gi betryggende sikkerhet for at enheter når sine mål med hensyn til pålitelig finansiell rapportering, effektiv drift og etterlevelse av gjeldende lov og forskrift. Kontroller knyttet til en serviceorganisasjons drifts- og etterlevelsesmål kan være relevante for en brukerenhets interne kontroll knyttet til finansiell rapportering. Slike kontroller kan være forbundet med påstander om presentasjon og opplysning knyttet til kontosaldoer, transaksjonsklasser eller opplysninger, eller kan være forbundet med bevis som brukerrevisor evaluerer eller bruker i forbindelse med anvendelsen av revisjonshandlinger. For eksempel kan en 20

21 SA 3402 serviceorganisasjon som foretar lønnsbehandling ha kontroller knyttet til den rettidige betalingen av fradrag i lønn til offentlige myndigheter som kan være relevante for en brukerenhet, ettersom forsinket betaling kan medføre rente- og straffegebyrer som kan resultere i en forpliktelse for brukerenheten. Likeledes kan en serviceorganisasjons kontroller av hvorvidt investeringstransaksjoner er akseptable fra et regulatorisk perspektiv anses å være relevante for en brukerenhets presentasjon av og opplysning om transaksjoner og kontosaldoer i regnskapet. Fastsettelsen av sannsynligheten for at kontroller hos en serviceorganisasjon knyttet til drift og etterlevelse er relevante for brukerenheters interne kontroll knyttet til finansiell rapportering, er gjenstand for profesjonelt skjønn på bakgrunn av kontrollmålene fastsatt av serviceorganisasjonen og kriterienes egnethet. A2. Serviceorganisasjonen er ikke nødvendigvis i stand til å påstå at systemet er hensiktsmessig utformet når for eksempel serviceorganisasjonen drifter et system som er utformet av en brukerenhet eller er stipulert i en kontrakt mellom en brukerenhet og serviceorganisasjonen. På grunn av den uløselige forbindelsen mellom den hensiktsmessige utformingen av kontroller og deres effektivitet, vil fraværet av en påstand knyttet til utformingens hensiktsmessighet sannsynligvis hindre revisor engasjert av serviceorganisasjonen i å konkludere med at kontrollene gir betryggende sikkerhet for at kontrollmålene er nådd, og således i å avgi en konklusjon om effektiviteten av kontroller. Som et alternativ kan praktiserende revisor velge å akseptere et oppdrag som går ut på å utføre avtalte kontrollhandlinger for å utføre tester av kontroller, eller et attestasjonsoppdrag innenfor rammen av ISAE 3000 for å konkludere med hvorvidt, basert på tester av kontroller, kontrollene har fungert som beskrevet. Definisjoner (Jf. punkt 9(d) og 9(g)) A3. Definisjonen av «kontroller hos serviceorganisasjonen» omfatter aspekter ved brukerenheters informasjonssystemer som er oppdatert av serviceorganisasjonen, og kan også omfatte aspekter ved en eller flere av de andre komponentene i intern kontroll hos en serviceorganisasjon. Den kan for eksempel omfatte aspekter ved en tjenesteorganisasjons kontrollmiljø, overvåking og kontrollaktiviteter når de er knyttet til de utførte tjenestene. Den omfatter imidlertid ikke kontroller hos en serviceorganisasjon som ikke er knyttet til oppnåelsen av kontrollmålene fastsatt i serviceorganisasjonens beskrivelse av sitt system, for eksempel kontroller knyttet til utarbeidelsen av serviceorganisasjonens eget regnskap. A4. Når den inkluderende metoden er brukt, gjelder kravene i denne ISAE-en ISAE-en også for tjenestene som er utført av underserviceorganisasjonen, herunder innhenting av bekreftelse på forholdene i punkt 13(i)-(v) som anvendt på underserviceorganisasjonen i stedet for serviceorganisasjonen. Gjennomføring av handlinger hos underserviceorganisasjonen medfører koordinering og kommunikasjon mellom serviceorganisasjonen, underserviceorganisasjonen og revisor engasjert av serviceorganisasjonen. Den inkluderende metoden er generelt kun gjennomførbar dersom serviceorganisasjonen og underserviceorganisasjonen er nærstående, eller dersom kontrakten mellom serviceorganisasjonen og underserviceorganisasjonen forutsetter at den skal brukes. Etiske krav (Jf. punkt 11) 21