ISQM 1 — ניהול איכות לפירמות המבצעות ביקורת או סקירה של דוחות כספיים, או התקשרויות אחרות למתן ביטחון או שירותים נלווים

סקירה

תקן ISQM 1 (International Standard on Quality Management 1) קובע את אחריות הפירמה לעצב, ליישם ולתחזק מערכת לניהול איכות (System of Quality Management — SOQM) ברמת הפירמה כולה. התקן החליף את ISQC 1 הקודם, ומעתיק את הגישה מ"בקרת איכות" סטטית מבוססת מדיניות ונהלים ל"ניהול איכות" דינמי, מבוסס-סיכון ופרואקטיבי. המטרה (Objective) היא לספק לפירמה ביטחון סביר שהמערכת משיגה שתי תכליות: (1) הפירמה והעוסקים בה ממלאים את אחריותם בהתאם לתקנים מקצועיים ולדרישות חוק ורגולציה, ומבצעים התקשרויות בהתאם להם; (2) דוחות ההתקשרות שמונפקים מתאימים לנסיבות. ליבת התקן היא "גישה מבוססת-סיכון" (Risk-Based Approach): הפירמה קובעת יעדי איכות (Quality Objectives), מזהה ומעריכה סיכוני איכות (Quality Risks), ומעצבת ומיישמת תגובות (Responses). המערכת מורכבת משמונה רכיבים: (1) תהליך הערכת הסיכון של הפירמה; (2) ממשל ומנהיגות (Governance and Leadership); (3) דרישות אתיות רלוונטיות; (4) קבלה והמשך של קשרי לקוח והתקשרויות; (5) ביצוע ההתקשרות; (6) משאבים (אנושיים, טכנולוגיים ואינטלקטואליים, וכן ספקי שירות); (7) מידע ותקשורת; (8) תהליך הניטור והתיקון (Monitoring and Remediation). התקן דורש שהאחריות הסופית למערכת תוטל על המנכ"ל/השותף המנהל, ומחייב הערכה תקופתית (לפחות שנתית) של המערכת. בישראל אומץ התקן על-ידי לשכת רואי החשבון, ותחילתו חלה על מערכות ניהול איכות שנדרש לעצבן וליישמן עד 15 בדצמבר 2022, כאשר הערכת המערכת מבוצעת תוך שנה ממועד זה.

נקודות מפתח

• 1מטרת התקן (Objective): עיצוב, יישום ותחזוקה של מערכת לניהול איכות המספקת לפירמה ביטחון סביר שאחריות הפירמה והעוסקים בה ממולאת ושדוחות ההתקשרות שמונפקים מתאימים לנסיבות. שימו לב — מדובר ב"ביטחון סביר" (Reasonable Assurance), לא מוחלט.
• 2גישה מבוססת-סיכון בת שלושה שלבים: (א) קביעת יעדי איכות (Quality Objectives); (ב) זיהוי והערכת סיכוני איכות (Quality Risks) — סיכון בעל סבירות סבירה להתרחש ולהשפיע לרעה על השגת יעד איכות; (ג) עיצוב ויישום תגובות (Responses) לטיפול בסיכונים. זהו לב התקן ומבדיל אותו מ-ISQC 1.
• 3שמונת רכיבי המערכת: (1) תהליך הערכת הסיכון של הפירמה; (2) ממשל ומנהיגות; (3) דרישות אתיות רלוונטיות; (4) קבלה והמשך של קשרי לקוח והתקשרויות ספציפיות; (5) ביצוע ההתקשרות; (6) משאבים; (7) מידע ותקשורת; (8) ניטור ותיקון. הרכיבים שלובים ופועלים כמערכת אינטגרטיבית, לא רשימה לינארית.
• 4ממשל ומנהיגות: על הפירמה לטפח תרבות המכירה ומחזקת את האחריות לאיכות. נדרשת הטלת אחריות מפורשת — האחריות הסופית (Ultimate Responsibility) למערכת מוטלת על המנכ"ל/השותף המנהל או הגוף המקביל, ואחריות תפעולית (Operational Responsibility) על אדם/אנשים מתאימים. כן נדרשת הקצאת משאבים נאותה והערכות ביצוע התומכות באיכות.
• 5תגובות ספציפיות שהתקן מחייב ללא תלות בהערכת הסיכון (Specified Responses) — בין היתר: מדיניות לטיפול במידע מהימן על אי-עמידה בדרישות אתיות; קביעת ספי מהותיות ברמת הפירמה; דרישת התייעצות (Consultation) בנושאים קשים או שנויים במחלוקת; וביצוע סקירת איכות התקשרות (Engagement Quality Review — EQR) בהתאם ל-ISQM 2.
• 6סקירת איכות התקשרות (EQR) מנוהלת ב-ISQM 2 הנלווה: התקן דורש מהפירמה לקבוע קריטריונים שלפיהם התקשרות תחויב ב-EQR. EQR נדרשת לפחות לביקורת דוחות של ישויות הנסחרות לציבור (Listed Entities) ולכל התקשרות שהחוק/הרגולציה דורשים בה EQR, וכן לכל התקשרות אחרת שהפירמה קבעה לה זאת.
• 7תהליך הניטור והתיקון (Monitoring and Remediation): הפירמה מעצבת פעולות ניטור — שוטפות ותקופתיות, כולל פיקוח (Inspection) על התקשרויות שהושלמו — כדי לספק מידע על תכנון, יישום ותפעול המערכת. ליקויים (Deficiencies) שזוהו מוערכים לחומרתם ולמקורם (Root Cause Analysis), ומיושמות פעולות תיקון מתאימות.
• 8טיפול בכשלים: כאשר מזוהה ליקוי — הפירמה מעריכה את חומרתו והיקפו, מבצעת ניתוח שורש, מעצבת ומיישמת פעולות מתקנות, ובוחנת אם דוח התקשרות שהונפק היה בלתי-נאות או אם בוצעה עבודה שהושמטה. מצב שבו ליקוי הוא בעל השפעה מערכתית עלול לחייב טיפול חריג.
• 9הערכה תקופתית של המערכת (Evaluation): האדם/אנשים בעלי האחריות הסופית והתפעולית מבצעים, במועד נקוב ולפחות אחת לשנה, הערכה של מערכת ניהול האיכות. ההערכה מסתכמת באחת משלוש מסקנות: (א) המערכת מספקת ביטחון סביר שמטרות התקן הושגו; (ב) למעט ליקויים שאינם בעלי השפעה מערכתית; (ג) המערכת אינה מספקת ביטחון סביר. כן נדרש תיעוד מספק של המערכת.

תקנים קשורים