ISA 315 — זיהוי והערכת הסיכונים להצגה מוטעית מהותית באמצעות הבנת הישות וסביבתה

סקירה

תקן ISA 315 (במהדורתו המעודכנת) הוא אבן היסוד של שלב הערכת הסיכונים בביקורת ומהווה את הבסיס לכל הגישה מבוססת-הסיכון. מטרת התקן היא שהמבקר יזהה ויעריך את הסיכונים להצגה מוטעית מהותית — בין אם מקורם בתרמית ובין אם בטעות — ברמת הדוחות הכספיים בכללותם וברמת המצג (assertion level), וזאת באמצעות השגת הבנה של הישות, סביבתה, המסגרת הדיווחית החלה עליה ומערכת הבקרה הפנימית שלה. הבנה זו מספקת בסיס לתכנון וביצוע נהלי ביקורת מותאמים בתגובה לסיכונים שזוהו (בהמשך ל-ISA 330). התקן דורש ביצוע נהלי הערכת סיכונים (risk assessment procedures) הכוללים בירורים מההנהלה ומגורמים אחרים, נהלים אנליטיים, וכן התבוננות (observation) ובדיקה (inspection). המבקר נדרש להבין חמישה רכיבים של בקרה פנימית: סביבת הבקרה, תהליך הערכת הסיכונים של הישות, התהליך לניטור מערכת הבקרה, מערכת המידע והתקשורת, ופעילויות הבקרה. המהדורה המעודכנת מדגישה גישה איטרטיבית ודינמית, דרישה להפעלת ספקנות מקצועית, התייחסות לסיכונים הנובעים משימוש בטכנולוגיית מידע (IT), והגדרה של 'סיכונים משמעותיים' (significant risks) המחייבים התייחסות מיוחדת. התקן מחייב את המבקר לתעד את ההבנה שהושגה, את הסיכונים שזוהו ואת ההיגיון מאחורי הערכתם. בכך התקן ממקד את משאבי הביקורת באזורים בעלי סיכון גבוה ומבטיח שתכנית הביקורת תהיה מותאמת לנסיבות הספציפיות של הישות המבוקרת.

נקודות מפתח

• 1נהלי הערכת סיכונים (risk assessment procedures): המבקר חייב לבצע נהלים לזיהוי והערכת סיכונים — בירורים מההנהלה, מהמבקר הפנימי וגורמים נוספים; נהלים אנליטיים; התבוננות; ובדיקת מסמכים. נהלים אלו כשלעצמם אינם מספקים ראיות ביקורת מספקות ונאותות לביסוס חוות הדעת, אלא בסיס לתכנון נהלים נוספים.
• 2הבנת הישות וסביבתה והמסגרת הדיווחית: על המבקר להבין גורמים רלוונטיים מהענף, הרגולציה והסביבה החיצונית, את אופי הישות (תפעול, מבנה בעלות וממשל, השקעות ומימון), את מדיניותה החשבונאית ואת המסגרת הדיווחית החלה (IFRS / כללי חשבונאות מקובלים) ויישומה.
• 3הבנת מערכת הבקרה הפנימית — חמישה רכיבים: סביבת הבקרה (control environment); תהליך הערכת הסיכונים של הישות; התהליך לניטור מערכת הבקרה הפנימית; מערכת המידע, התקשורת ותהליכים עסקיים רלוונטיים לדיווח הכספי; ופעילויות הבקרה (control activities). על המבקר להעריך אם הבקרות תוכננו כראוי (design) ויושמו בפועל (implementation).
• 4זיהוי והערכה בשתי רמות: סיכונים מוערכים ברמת הדוחות הכספיים בכללותם (pervasive — נוגעים לדוחות כולם, כגון חולשה בסביבת הבקרה או חשש לעקיפת בקרות בידי ההנהלה) וברמת המצג עבור סוגי עסקאות, יתרות ומצגי גילוי.
• 5פירוק הסיכון לרכיבים — סיכון מובנה וסיכון בקרה: המהדורה המעודכנת דורשת הערכה נפרדת של סיכון מובנה (inherent risk) ושל סיכון הבקרה (control risk). הערכת סיכון הבקרה כנמוך מ'מקסימלי' מחייבת בחינת אפקטיביות תפעולית של הבקרות בהמשך הביקורת.
• 6גורמים המשפיעים על סיכון מובנה (inherent risk factors): מורכבות, סובייקטיביות, שינוי, אי-ודאות, נטייה להטיה של ההנהלה או לתרמית. המבקר משבץ סיכונים על 'ספקטרום סיכון מובנה' (spectrum of inherent risk) לפי הסבירות והעוצמה של ההצגה המוטעית האפשרית.
• 7סיכונים משמעותיים (significant risks): סיכונים הממוקמים בקצה הגבוה של ספקטרום הסיכון המובנה, המחייבים התייחסות ביקורתית מיוחדת. עסקאות חריגות/לא שגרתיות וסוגיות הדורשות שיקול דעת מהותי (אומדנים) מהוות מועמדות טבעיות. לגבי כל סיכון משמעותי על המבקר להבין את הבקרות הרלוונטיות אליו.
• 8התייחסות לטכנולוגיית מידע (IT): המבקר נדרש להבין את אופן השימוש של הישות ב-IT, לזהות סיכונים הנובעים מ-IT (risks arising from the use of IT) ולהבין את הבקרות הכלליות על מערכות המידע (general IT controls) הרלוונטיות.
• 9תיעוד וספקנות מקצועית: יש לתעד את הדיון בצוות הביקורת, ההבנה שהושגה לגבי כל רכיב, הסיכונים שזוהו והערכתם, וכן את הבקרות שהוערכו. המבקר מפעיל ספקנות מקצועית לאורך התהליך, וההערכה היא דינמית — מתעדכנת ככל שמתקבל מידע חדש במהלך הביקורת.

תקנים קשורים