ISA 3000 — התקשרויות מתן ביטחון שאינן ביקורות או סקירות של מידע כספי היסטורי

סקירה

ISAE 3000 (Revised) הוא התקן ה'מסגרתי' (the framework standard) למתן ביטחון על נושאים שאינם מידע כספי היסטורי — כלומר כל התקשרות מתן ביטחון שאינה נכנסת לגדר ISA (ביקורת דוחות כספיים) או ISRE 2400/2410 (סקירה של מידע כספי היסטורי). דוגמאות אופייניות: דיווח קיימות/ESG, פליטות גזי חממה (בזיקה ל-ISAE 3410), הצהרות על בקרה פנימית, עמידה ברגולציה, מדדי ביצוע (KPIs), ודוחות חברתיים. התקן נשען על 'המסגרת הבינלאומית להתקשרויות מתן ביטחון' (International Framework for Assurance Engagements) ועל אבני היסוד שלה: חמשת מרכיבי ההתקשרות — קשר תלת-צדדי (מבצע ההתקשרות, הצד האחראי, והמשתמשים המיועדים), נושא ההתקשרות (subject matter), קריטריונים (criteria), ראיות מספקות ונאותות, ודוח מתן ביטחון בכתב. הגדרות מפתח: 'ביטחון סביר' (reasonable assurance) לעומת 'ביטחון מוגבל' (limited assurance) — שתי רמות מותרות, שכל אחת מובילה לניסוח מסקנה שונה (חיובית מול שלילית); וההבחנה בין 'התקשרות אישור' (attestation) שבה צד אחראי מודד/מעריך את הנושא, לבין 'התקשרות ישירה' (direct) שבה המבצע עצמו מודד/מעריך ומדווח על התוצאה. ISAE 3000 קובע את הדרישות לכל מחזור ההתקשרות: דרישות אתיות (לרבות אי-תלות), ניהול איכות, קבלת ההתקשרות והמשכה, תכנון, הבנת הנושא והקריטריונים, הערכת התאמת הקריטריונים, איסוף ראיות, התחשבות בעבודת מומחה/גורם אחר, אירועים שלאחר תאריך הדוח, גיבוש המסקנה, וניסוח הדוח. תפקידו מרכזי: הוא 'תקן-העל' של עולם ה-assurance שמעבר לדוחות כספיים, ועל בסיסו נבנים תקנים ספציפיים יותר. בבחינה הוא נבחן בעיקר על ההבחנה בין שתי רמות הביטחון, על התאמת הקריטריונים, ועל מבנה דוח מתן הביטחון.

נקודות מפתח

• 1תחולה כשיורית (residual scope): ISAE 3000 חל על התקשרויות מתן ביטחון שאינן ביקורת או סקירה של מידע כספי היסטורי. אם קיים תקן ספציפי יותר (למשל ISAE 3400 לתחזיות, ISAE 3402 לבקרות בארגוני שירות, ISAE 3410 לגזי חממה, ISAE 3420 לדיווח פרופורמה) — חלים גם הוא וגם ISAE 3000 כמסגרת. התקן אינו חל על ייעוץ, על הליכים מוסכמים (AUP — ISRS 4400) או על עריכה (compilation).
• 2חמשת מרכיבי ההתקשרות שחייבים להתקיים: (1) קשר תלת-צדדי — מבצע ההתקשרות, הצד האחראי והמשתמשים המיועדים; (2) נושא בסיסי מתאים (subject matter) הניתן לזיהוי ולמדידה עקבית; (3) קריטריונים מתאימים שמולם נמדד הנושא; (4) ראיות מספקות ונאותות; (5) דוח מתן ביטחון בכתב. היעדר אחד מהם — אין התקשרות מתן ביטחון.
• 3שתי רמות ביטחון — סביר מול מוגבל: ב'ביטחון סביר' (reasonable) המבצע מצמצם את סיכון ההתקשרות לרמה נמוכה מקובלת ומנסח מסקנה בצורה חיובית ('לדעתנו, ... ערוך, מכל הבחינות המהותיות, בהתאם לקריטריונים'). ב'ביטחון מוגבל' (limited) רמת הסיכון אינה נמוכה דיה והמסקנה מנוסחת בצורה שלילית ('לא בא לתשומת ליבנו דבר הגורם לנו לסבור ש...'). היקף ההליכים בביטחון מוגבל מצומצם מהותית.
• 4התאמת הקריטריונים (criteria) היא תנאי-סף: על המבצע להעריך אם הקריטריונים מתאימים — רלוונטיים, שלמים, מהימנים, נייטרליים וברי-הבנה — וזמינים למשתמשים המיועדים (בין כקריטריונים שנקבעו בחקיקה/תקינה ובין כקריטריונים שפותחו במיוחד שיש לתאר בדוח). קריטריונים בלתי מתאימים מונעים מתן מסקנה תקפה ועלולים להוביל לסירוב/הסתייגות.
• 5ספקנות מקצועית, שיקול דעת ומהותיות: התקן מחייב תכנון וביצוע בספקנות מקצועית, הכרה בכך שעלולות להתקיים נסיבות שבהן הנושא מוצג שלא כהלכה באופן מהותי. יש לקבוע מהותיות לתכנון וביצוע ההתקשרות ולהעריך הצגות מוטעות (סטיות מהקריטריונים) — הן כמותית והן איכותית.
• 6תנאי קבלה והמשכת ההתקשרות: לפני קבלה על המבצע לוודא שהדרישות האתיות (לרבות אי-תלות) מתקיימות, שהקריטריונים מתאימים וזמינים, שהנושא מתאים, שיהיה היגיון לרציונל ההתקשרות (לא רק הגבלה על ההיקף), ושההנהלה/הצד האחראי מכירים באחריותם ויספקו גישה לראיות. אסור לקבל אם רמת הביטחון שמתבקשת אינה הולמת את הנסיבות.
• 7הבנה, איסוף ראיות והערכת סיכונים: על המבצע להשיג הבנה של הנושא והנסיבות, ובהתקשרות ביטחון סביר — לזהות ולהעריך סיכוני הצגה מוטעית מהותית (כולל הבנת בקרות רלוונטיות) ולתכנן הליכים מגיבים. בביטחון מוגבל ההליכים הם בעיקר בירורים ואנליטיקה, אך אם מתעורר חשד להצגה מוטעית מהותית — יש להרחיב הליכים.
• 8שימוש בעבודת מומחה/גורם אחר ואירועים מאוחרים: ניתן להסתמך על מומחה (פנימי או חיצוני) או על עבודת מבצע אחר, תוך הערכת כשירותו, יכולתו ואובייקטיביותו והתאמת עבודתו כראיה. כן יש להתחשב באירועים שלאחר תאריך הנושא/הדוח המשפיעים על המידע, עד תאריך דוח מתן הביטחון.
• 9תוכן דוח מתן הביטחון: הדוח חייב לכלול מרכיבים מחייבים — כותרת, נמען, זיהוי הנושא והקריטריונים, זיהוי הצד האחראי ואחריותו, אמירה על אחריות המבצע, רמת הביטחון (סביר/מוגבל), תיאור העבודה שבוצעה ומגבלותיה, התייחסות לתקנים שלפיהם בוצעה (ISAE 3000), הצהרת אי-תלות וניהול איכות, המסקנה (בצורה חיובית או שלילית בהתאם לרמה), חתימה, תאריך וכתובת. דעה/מסקנה מותאמת (מסויגת/שלילית/הימנעות) נדרשת כשיש סטיות מהותיות או הגבלת היקף.

תקנים קשורים