Veiledning om revisors attestasjon av registrering og dokumentasjon av enhetens regnskapsopplysninger i samsvar med ISAE 3000 1 Innhold Punkt Innledning.....1-8 Sammenheng med revisjon av regnskapet. 9-12 Planlegging og gjennomføring..13-20 Konklusjon og rapportering..21-31 Særlige hensyn knyttet til offentlig sektor 32-34 Innledning 1. Denne veiledningen omhandler revisors oppgaver og plikter knyttet til attestasjon av at ledelsen har oppfylt sin plikt til å sørge for ordentlig og oversiktlig registrering og dokumentasjon av enhetens regnskapsopplysninger. Revisorloven krever at revisor skal vurdere om ledelsen har oppfylt sin plikt til å sørge for ordentlig og oversiktlig registrering og dokumentasjon av enhetens regnskapsopplysninger i samsvar med lov og forskrifter. Revisor skal gi uttrykk for en mening om dette i revisjonsberetningen. Når revisor gir uttrykk for en mening ved en uttalelse i positiv form, er det en uttalelse som faller inn under definisjonen av et attestasjonsoppdrag i Internasjonalt rammeverk for attestasjonsoppdrag. I dette tilfellet gjelder ikke uttalelsen revisjon eller forenklet revisorkontroll av historisk finansiell informasjon. 2. Denne veiledningen omhandler avgrensning, planlegging, gjennomføring og konklusjon knyttet til den ovennevnte attestasjonsoppgaven. 3. Formålet med attestasjonen er å gi brukere av revisjonsberetningen betryggende sikkerhet for at ledelsen for den aktuelle perioden har oppfylt sine plikter med sikte på: a. å frembringe et grunnlag for utarbeidelse av årsregnskapet og annen pliktig regnskapsrapportering, b. å muliggjøre kontroll av grunnlaget for pliktig regnskapsrapportering. 4. Attestasjonen omfatter ikke ledelsens utforming, implementering og gjennomføring av intern kontroll. 5. Saksforholdet attestasjonen knytter seg til, er utformingen og gjennomføringen av enhetens prosess for dokumentasjon, bokføring, spesifikasjon og oppbevaring av regnskapsopplysninger. Kriteriene saksforholdet måles mot, er bokføringsloven og 1 ISAE 3000 «Attestasjonsoppdrag som ikke er revisjon eller forenklet revisorkontroll av historisk finansiell informasjon».
bokføringsforskriften, herunder god bokføringsskikk (bokføringsreglene). Dette er blant annet regler om: Bokføring ajourhold og sporbarhet Dokumentasjon bokførte opplysninger, balansen, evt. regnskapssystemet Spesifikasjon type og frekvens Oppbevaring og sikring oppbevaringspliktig regnskapsmateriale og sikring av regnskapsmaterialet. 6. Attestasjonen omfatter utarbeidelse av pliktig regnskapsrapportering til rett tid, men ikke hvorvidt økonomiske disposisjoner ellers kan kontrolleres løpende, noe som i forarbeidene er angitt som ett av formålene med bokføringsloven. Attestasjonen dekker heller ikke alle bestemmelsene i bokføringsreglene. Den omfatter blant annet ikke forhold som gjelder registrering og dokumentasjon for tidligere regnskapsår, herunder oppbevaring av oppbevaringspliktig regnskapsmateriale for tidligere regnskapsår. 7. I det etterfølgende benyttes begrepet «kontrollhandlinger» om handlinger som utføres for å få sikkerhet for at ledelsen har oppfylt sin plikt til å sørge for ordentlig og oversiktlig registrering og dokumentasjon av regnskapsopplysninger. Årsaken er at dette ikke dreier seg om revisjon av historisk finansiell informasjon. Begrepet «revisjonshandlinger» brukes om handlinger som utføres for å få sikkerhet for at regnskapet er i samsvar med det aktuelle rammeverket for finansiell rapportering og om handlinger som dekker begge formål. Konsernforhold 8. I konsernforhold vil både konsernledelsen og ledelsen i det enkelte datterselskap i konsernet ha et ansvar for registrering og dokumentasjon. Dette ansvaret vil imidlertid være forskjellig for konsernledelsen og ledelsen i de enkelte datterselskapene. Ansvaret for at de detaljerte kravene i det aktuelle regelverket overholdes, vil ligge hos ledelsen i morselskapet og i datterselskapene. Konsernledelsens ansvar vil i hovedsak være rettet mot prosessen med å rapportere tilstrekkelig og hensiktsmessig informasjon til riktig tid som grunnlag for utarbeidelse av konsernregnskapet. 9. Når det etter normal norsk praksis avgis revisjonsberetning for morselskapet som også omfatter konsernet, vil attestasjonen knyttet til registrering og dokumentasjon, være rettet mot plikten som påhviler ledelsen i morselskapet og konsernledelsen. Plikten som påhviler ledelsen i datterselskapene, vil ikke være dekket av attestasjonen i denne revisjonsberetningen. Det betyr at revisor kan avgi revisjonsberetning med forbehold for vesentlige datterselskaper, uten at dette nødvendigvis medfører tilsvarende forbehold i revisjonsberetningen for konsernet. I revisjonsberetningen for morselskapet bør konklusjonen derfor formuleres ved bruk av selskapets regnskapsopplysninger eller tilsvarende. Sammenheng med revisjon av regnskapet 10. Å vurdere om den revisjonspliktiges ledelse har oppfylt sin plikt til å sørge for ordentlig og oversiktlig registrering og dokumentasjon av enhetens regnskapsopplysninger i samsvar med lov og forskrifter, er en oppgave som revisor er pålagt å utføre i tillegg til revisjon av årsregnskapet. Aksept av et revisjonsoppdrag innebærer samtidig aksept av denne oppgaven. Både nødvendige revisjonshandlinger for å kunne konkludere på regnskapet og nødvendige kontrollhandlinger for å kunne konkludere på hvorvidt den revisjonspliktiges ledelse har
oppfylt sin plikt til å sørge for ordentlig og oversiktlig registrering og dokumentasjon av enhetens regnskapsopplysninger i samsvar med lov og forskrifter, må utføres for at revisjonen skal være gjennomført i tråd med god revisjonsskikk, jf. revisorloven 5-2 annet ledd. 11. I tilknytning til diskusjonene som gjennomføres i overensstemmelse med RS 315 pkt 27, bør revisor diskutere risikoen for mangler knyttet til denne attestasjonen med revisjonstemaet. Planlegging og gjennomføring 12. Ettersom attestasjonen er en del av revisors lovpålagte oppgaver etter revisorloven, vil det være hensiktsmessig å innarbeide den overordnede strategien for attestasjonen i tilsvarende dokumenter som utarbeides for revisjonsoppdraget, jf ISA 300 Planlegging av revisjon av et regnskap pkt 7 og 9, som skal angi omfang, tidspunkt og angrepsvinkel for gjennomføring av attestasjonen. Tilsvarende vil gjelde for revisors utarbeidelse av en oppdragsplan/revisjonsplan som detaljert angir typen, tidspunktet for og omfanget av kontrollhandlinger som skal gjennomføres for å innhente bevis, samt årsakene til at disse kontrollhandlingene ble valgt. 13. Revisor må vurdere om planlagte revisjonshandlinger rettet mot uttalelsen om regnskapet, vil gi hensiktsmessig og tilstrekkelig bevis for attestasjonen av registrering og dokumentasjon av regnskapsopplysninger. Når revisor vurderer at innhentet bevis ikke er tilstrekkelig og hensiktsmessig for denne attestasjonen, må revisor innhente ytterligere bevis ved kontrollhandlinger rettet spesielt mot denne attestasjonen. 14. En vanlig strategi for denne attestasjonen vil være å kartlegge hvordan virksomhetene har håndtert de aktuelle kravene, for eksempel ved bruk av sjekklister. Revisor utfører videre kontrollhandlinger for å få bekreftet at prosessen i perioden har fungert som beskrevet, basert på vurderinger av risiko og vesentlighet. Vesentlighetsvurderingen vil være mer av kvalitativ enn av kvantitativ art, jf pkt. 21. 15. De nødvendige kontrollhandlingene vil ofte i stor grad være sammenfallende med de revisjonshandlinger som er nødvendige for å kunne danne seg en mening om årsregnskapet. En teknikk for å avgjøre eventuelle nødvendige tilleggshandlinger utover de planlagte revisjonshandlingene, kan være å gå gjennom sjekklisten (se pkt. 14) for å vurdere på hvilke punkter revisor får nok bevis gjennom de planlagte revisjonshandlingene. Følgende er eksempler på områder der revisor får bevis for attestasjonen av prosessen for registrering og dokumentasjon av enhetens regnskapsopplysninger ved gjennomføring av revisjonshandlinger rettet mot uttalelsen om regnskapet (ikke uttømmende): Ved kartlegging av virksomhetens interne kontroll generelt og informasjonssystemet spesielt, vil revisor få bevis knyttet til hvordan transaksjoner, herunder tilknyttet merverdiavgift, dokumenteres, inkluderes i spesifikasjoner og eventuelt korrigeres. I tillegg vil revisor få bevis knyttet til dokumentasjon av regnskapssystemet i de tilfellene det er aktuelt. Ved revisjonshandlinger rettet mot gyldighet av kostnader vil revisor få bevis knyttet til kvaliteten av dokumentasjon av kostnadene, arkiveringen av denne dokumentasjonen og kontrollsporet fra bokføring til dokumentasjon. Ved revisjonshandlinger rettet mot salgstransaksjoner vil revisor få bevis knyttet til dokumentasjon og arkivering av disse transaksjonene, herunder hvordan
merverdiavgift dokumenteres, og for kontrollsporet fra dokumentasjon til bokføring. Ved revisjonshandlinger rettet mot lønnsrelaterte poster og rutiner knyttet til lønnsinnberetning, vil revisor få bevis knyttet til dokumentasjon og spesifikasjon av lønnsrelaterte regnskapsposter. Ved revisjonshandlinger rettet mot avslutningsposteringer og lignende, vil revisor få bevis knyttet til bilagskvalitet for slike posteringer. Ved revisjonshandlinger rettet mot balanseposter per avslutningsdato, vil revisor få bevis knyttet til dokumentasjon av balansen. 16. Områder der revisor eksempelvis kan ha behov for å utføre videre kontrollhandlinger utelukkende rettet mot attestasjonen av ledelsens plikt til å sørge for ordentlig og oversiktlig registrering og dokumentasjon av enhetens regnskapsopplysninger er (ikke uttømmende): - Sikring av regnskapsmateriale for perioden attestasjonen omfatter - Overføring av regnskapsmateriale for oppbevaring i Norge ved regnskapsføring i utlandet - Elektronisk tilgjengelighet av bokførte opplysninger - Innhold mv. i salgsdokumentasjon. - Innhold mv. i spesifikasjoner - Dokumentasjon av timeregistrering på tilstrekkelig nivå. 17. For klienter som er underlagt bransjebestemmelsene i bokføringsforskriften, må revisor vurdere om revisjons- og kontrollhandlingene er tilstrekkelige til at revisor kan danne seg en mening om hvorvidt disse reglene er oppfylt. Hendelser etter balansedagen 18. Hendelser etter balansedagen vil normalt ha liten betydning for denne attestasjonen. Det kan imidlertid være relevant i situasjoner hvor det er påpekt svakheter, og ledelsen har brakt forholdet i orden før revisjonsberetningen avgis. Erklæringer fra ledelsen 19. Revisor må innhente erklæring fra ledelsen i tilknytning til denne attestasjonsoppgaven. Erklæringen innhentes vanligvis i tilknytning til erklæringen der revisor innhenter bevis for at ledelsen erkjenner sitt ansvar for årsregnskapet. I erklæringen må ledelsen erkjenne sitt ansvar for og bekrefte at de har oppfylt sin plikt til å sørge for ordentlig og oversiktlig registrering og dokumentasjon av enhetens regnskapsopplysninger i samsvar med lov og forskrifter. Konklusjon og rapportering 20. Revisor må fastslå hvorvidt det er innhentet tilstrekkelig og hensiktsmessig bevis til å kunne konkludere med at risikoen for at det er vesentlige, uavdekkede mangler ved registrering og dokumentasjon av enhetens regnskapsopplysninger, og at ledelsen således ikke har oppfylt sin plikt, er redusert til et akseptabelt lavt nivå. Hvis revisor konkluderer med at dette ikke er tilfellet, må revisor utføre ytterligere kontrollhandlinger. 21. Når revisor kommer til at det er vesentlige avvik fra kriteriene, kan dette komme til uttrykk ved konklusjon med forbehold eller ved negativ konklusjon. Hvorvidt et avvik er vesentlig, og om revisor tar forbehold eller konkluderer negativt, avhenger av en rekke forhold bl.a.:
Om forholdet har medført feil i regnskapet Om forholdet er av formell karakter og er rettet opp i ettertid Omfanget av transaksjoner og disposisjoner som omfattes av forholdet Involverte beløp Varigheten av avviket. 22. Revisor må vurdere vesentlighet i forhold til kriteriene prosessen vurderes mot. Klare, gjennomgående brudd på lov eller forskrift vil normalt være vesentlige avvik, selv om de ikke har medført feil i regnskapet, eller feilen er blitt rettet. Når et avvik har ført til slike feil, indikerer det i tillegg at det er en reell svakhet i prosessen. 23. Hvorvidt et avvik er vesentlig og vil medføre omtale i revisjonsberetningen, må vurderes opp mot informasjonsbehovet til brukerne av revisjonsberetningen. Ved vesentlighetsvurderingen må revisor ta hensyn til at den primære kommunikasjonskanalen med dem som har overordnet ansvar for styring og kontroll (normalt styret) er nummererte brev, jf revisorloven 5-2 2. Den primære kommunikasjonskanalen til skattemyndighetene er attestasjonene på oppgaver til det offentlige, jf SA 3801 Revisors kontroll av og rapportering om grunnlag for skatter og avgifter. 24. I de tilfellene mangler knyttet til registrering og dokumentasjon er den direkte årsaken til at revisor tar forbehold, ikke kan uttale seg eller konkluderer negativt om årsregnskapet, må revisor konkludere negativt vedrørende ledelsens plikt til å sørge for ordentlig og oversiktlig registrering og dokumentasjon av enhetens regnskapsopplysninger eller dokumentere hvorfor det i slike situasjoner bare er tatt forbehold. 25. Når revisor tar forbehold eller konkluderer negativt, må revisor beskrive årsaken i et eget avsnitt før konklusjonsavsnittet i tillegg til å modifisere den uttrykte meningen i konklusjonsavsnittet. 26. Det er bare i svært sjeldne tilfeller det vil være aktuelt for revisor å konkludere med at revisor ikke kan uttale seg om hvorvidt ledelsen har oppfylt sin plikt til å sørge for ordentlig og oversiktlig registrering og dokumentasjon i samsvar med lov og forskrifter. 27. Presisering benyttes når revisor ønsker å henlede brukernes oppmerksomhet på spesielle forhold som er tilstrekkelig omtalt i regnskapet eller årsberetningen. Det er normalt ingen eksplisitt omtale av prosessen med registrering og dokumentasjon i regnskap eller årsberetning. Vesentlige forhold revisor ønsker å omtale på dette området, vil i de aller fleste tilfeller være mangler ved prosessen og vil enten medføre forbehold eller negativ konklusjon. Det er derfor normalt ikke aktuelt med presisering knyttet til ledelsens plikt til å sørge for ordentlig og oversiktlig registrering og dokumentasjon av regnskapsopplysninger. I revisjonsberetning for konsern kan det være aktuelt å presisere at det er tatt forbehold i tilsvarende attestasjon i revisjonsberetning for vesentlige datterselskaper. 28. Revisor må kommunisere identifiserte mangler ved plikten til å sørge for ordentlig og oversiktelig registrering og dokumentasjon av enhetens regnskapsopplysninger i nummerert brev, uavhengig av om det får konsekvenser for revisjonsberetningen. Rapporteringsplikten omfatter ikke forhold som er av triviell art. 2 For vesentlighet knyttet til revisors attestasjon av registrering og dokumentasjon av enhetens regnskapsopplysninger som inngår i attestasjonen av næringsoppgaven, se SA 3801 pkt. 15 19 og pkt. 25
29. Revisorloven krever at konklusjonen på attestasjonen av ledelsens plikt til å sørge for ordentlig og oversiktlig registrering og dokumentasjon av regnskapsopplysninger gis i revisjonsberetningen. Som det fremgår av ISA 700, vil denne konklusjonen komme i den delen av revisjonsberetningen som omhandler rapporteringskrav etter norsk lov. De elementene av en attestasjonsrapport i henhold til ISAE 3000 som er sammenfallende med revisjonen av årsregnskapet, dekkes ved en henvisning til beskrivelsen i den delen av revisjonsberetningen som omhandler uttalelsen om årsregnskapet. Konklusjonen knyttet til. ordentlig og oversiktlig registrering og dokumentasjon av regnskapsopplysninger gis derfor som en kort konklusjon med referanse til utført revisjon av årsregnskapet og til ISAE 3000 slik det fremkommer i vedlegg til ISA 700. Dokumentasjon 30. Revisor må dokumentere forhold som er viktige for å underbygge uttalelsen og at oppdraget er gjennomført i overensstemmelse med denne veiledningen. Dette omfatter normalt de vurderinger revisor gjør for å fastsette en overordnet strategi, de utførte kontrollhandlinger og resultatet av dem, og de vurderinger som gjøres i denne sammenheng. De konklusjonene revisor trekker på grunnlag av vurderinger som beskrevet i pkt 18, må fremgå av dokumentasjonen. 31. Veiledningen er vedtatt av DnRs styre 26. januar 2010. Særlige hensyn knyttet til offentlig sektor 32. Der revisjonen skjer med hjemmel i andre revisjonsbestemmelser enn revisorlovens, vil krav og forventninger til revisor måtte baseres på disse andre bestemmelsene. 33. Der bokføringsloven ikke gjelder, må saksforholdet måles mot andre autoritative bestemmelser om registrering og dokumentasjon av regnskapsopplysninger. 34. Ved revisjon av kommuner og fylkeskommuner skal nummererte brev sendes kontrollutvalget med kopi til administrasjonssjefen, jf 4 i forskrift om revisjon i kommuner og fylkeskommuner mv.