پیوست 1: اجزای کنترلهای داخلی
1 . در این پیوست، توضیحات بیشتری درباره اجزای کنترلهای داخلی مرتبط با حسابرسی صورتهای مالی، که در بندهای 4ـپ، 14 تا 24، و تـ76 تا تـ117 مطرح شده است، ارائه میشود.
محیط کنترلی
2 . محیط کنترلی شامل عناصر زیر است:
الف ـ اشاعه و تقویت درستکاری و ارزشهای اخلاقی. اثربخشی کنترلها نمیتواند فراتر از درستکاری و ارزشهای اخلاقی افرادی باشد که آنها را ایجاد و اداره نموده و بر آنها نظارت میکنند. درستکاری و ارزشهای اخلاقی محصول استانداردهای رفتاری و اخلاقی واحد تجاری، نحوه اطلاعرسانی آنها، و نحوه تقویت آنها در عمل است. تقویت درستکاری و ارزشهای اخلاقی، برای مثال، شامل اقدامات مدیران اجرایی برای حذف یا کاهش انگیزهها و وسوسههایی است که میتواند کارکنان را به انجام اقدامات نادرست، غیرقانونی، یا غیراخلاقی ترغیب کند. اطلاعرسانی سیاستهای واحد تجاری در مورد درستکاری و ارزشهای اخلاقی میتواند شامل اطلاعرسانی استانداردهای رفتاری به کارکنان، از طریق بخشنامهها، آییننامه رفتاری و الگوسازی باشد.
ب ـ پایبندی به صلاحیت. صلاحیت یعنی داشتن دانش و تجربه لازم برای انجام وظایفی که برای شغل فرد تعریف شده است.
پ ـ مشارکت ارکان راهبری. هشیاری کنترلی واحد تجاری به شدت تحت تأثیر ارکان راهبری آن است. اهمیت مسئولیتهای ارکان راهبری در اساسنامه واحد تجاری و یا سایر قوانین و مقررات یا رهنمودهای مربوط که برای ارکان راهبری تهیه شده است، مشخص میشود. سایر مسئولیتهای ارکان راهبری شامل نظارت کلی بر طراحی و کارکرد اثربخش روشهای خبررسانی و فرایند بررسی اثربخشی کنترلهای داخلی واحد تجاری است.
ت ـ دیدگاهها و سبک عمل مدیران اجرایی. دیدگاهها و سبک عمل اجرایی مدیران اجرایی دامنه وسیعی از ویژگیها را دربرمیگیرد. برای مثال، دیدگاهها و اقدامات مدیران اجرایی نسبت به گزارشگری مالی ممکن است به صورت انتخاب محافظهکارانه یا جسورانه از بین روشهای حسابداری مختلف و هشیاری و محافظهکاری در انجام براوردهای حسابداری نمود پیدا کند.
ث ـ ساختار سازمانی. برای ایجاد یک ساختار سازمانی مناسب، توجه به حیطههای اصلی اختیار و مسئولیت و مرزهای مناسب گزارشگری، ضروری است. مناسب بودن ساختار سازمانی واحد تجاری، به اندازه و ماهیت فعالیتهای آن بستگی دارد.
ج ـ تعیین اختیار و مسئولیت. تعیین اختیار و مسئولیت ممکن است شامل سیاستهای مربوط به انجام عملیات تجاری مناسب، دانش و تجربه کارکنان اصلی، و منابع فراهم شده برای انجام وظایف باشد. به علاوه، عامل یاد شده میتواند شامل سیاستها و اطلاعرسانیهای لازم برای اطمینان یافتن از این موضوع باشد که همه کارکنان، اهداف واحد تجاری را درک میکنند، چگونگی ارتباط متقابل وظایف خود با دیگران و تأثیر آن در دستیابی به اهداف واحد تجاری را میدانند، و تشخیص میدهند که چگونه و در چه مواردی پاسخگو خواهند بود.
چ ـ سیاستها و روشهای مدیریت منابع انسانی. سیاستها و روشهای مدیریت منابع انسانی، اغلب موضوعات مهمی را در رابطه با هشیاری کنترلی واحد تجاری مشخص میکند. برای مثال، استانداردهای استخدام واجد شرایطترین افراد (با تأکید بر سابقه تحصیلی، تجربه کاری قبلی، عملکرد گذشته و شواهد درستکاری و ارزشهای اخلاقی)، پایبندی واحد تجاری به استخدام کارکنان با صلاحیت و قابل اعتماد را نشان میدهد. سیاستهای آموزشی که وظایف و مسئولیتهای مورد انتظار را تبیین میکند و شامل اقداماتی مانند برگزاری دورههای آموزشی و همایشهاست، عملکرد و رفتار مورد انتظار را تشریح میکند. ارتقا برمبنای ارزیابی دورهای عملکرد، پایبندی واحد تجاری به ارتقای کارکنان واجد شرایط به سطوح بالاتر مسئولیت را نشان میدهد.
فرایند ارزیابی خطر توسط واحد تجاری
3 . برای مقاصد گزارشگری مالی، فرایند ارزیابی خطر توسط واحد تجاری شامل نحوه تشخیص خطرهای مربوط به تهیه صورتهای مالی، طبق چارچوب گزارشگری مالی مربوط، براورد اهمیت آنها، ارزیابی احتمال وقوع آنها، تعیین اقدامات لازم برای برخورد و مدیریت آنها و نتایج این اقدامات است. برای مثال، فرایند ارزیابی خطر توسط واحد تجاری ممکن است نشاندهنده نحوه ارزیابی احتمال وجود معاملات ثبت نشده یا چگونگی تشخیص و تحلیل براوردهای عمده منعکس در صورتهای مالی توسط واحد تجاری باشد.
4 . خطرهای مرتبط با گزارشگری مالی شامل رویدادها، معاملات یا شرایط برونسازمانی و درونسازمانی است که امکان دارد روی دهد و بر توانایی واحد تجاری برای انجام، ثبت، پردازش و گزارش اطلاعات مالی منطبق با ادعاهای مدیران اجرایی در صورتهای مالی اثر منفی داشته باشد. مدیران اجرایی ممکن است طرحها، برنامهها یا اقداماتی را برای برخورد با برخی خطرها انجام دهند یا ممکن است خطری را به دلیل ملاحظات هزینهای یا ملاحظات دیگر بپذیرند. خطرها ممکن است در شرایطی مانند موارد زیر ایجاد شوند یا در اثر آنها تغییر یابند:
- تغییر در محیط عملیاتی. تغییر در محیط مقرراتی یا عملیاتی میتواند به تغییر در فشارهای رقابتی و خطرهای نسبتاً متفاوتی بینجامد.
- کارکنان جدید. کارکنان جدید ممکن است دیدگاه یا شناخت متفاوتی نسبت به کنترلهای داخلی داشته باشند.
- سیستمهای اطلاعاتی جدید یا ارتقا یافته. تغییرات عمده و سریع در سیستمهای اطلاعاتی میتواند خطر مرتبط با کنترلهای داخلی را تغییر دهد.
- رشد سریع. توسعه عمده و سریع عملیات میتواند به کنترلها آسیب برساند و خطر از کار افتادن آنها را افزایش دهد.
- فناوری جدید. بکارگیری فناوری جدید در فرایند تولید یا سیستمهای اطلاعاتی ممکن است خطر مرتبط با کنترلهای داخلی را تغییر دهد.
- مدلها، محصولات یا فعالیتهای تجاری جدید. انجام فعالیتهای اقتصادی یا معاملاتی که واحد تجاری در آن تجربه اندکی دارد، ممکن است خطرهای جدیدی را در ارتباط با کنترلهای داخلی ایجاد نماید.
- تجدید ساختار واحد تجاری. تجدید ساختار ممکن است همراه با کاهش کارکنان و تغییرات در سرپرستی و تفکیک وظایف باشد که ممکن است خطر مرتبط با کنترلهای داخلی را تغییر دهد.
- توسعه عملیات خارجی. توسعه یا تحصیل عملیات خارجی با خطرهای جدید و اغلب کمنظیری همراه است که ممکن است بر کنترلهای داخلی اثر گذارد، برای مثال، خطرهای اضافی یا تغییر خطرهای ناشی از معاملات ارزی.
- استانداردهای حسابداری جدید. بکارگیری استانداردهای حسابداری جدید یا تجدیدنظر شده ممکن است خطرهای مربوط به تهیه صورتهای مالی را تحت تأثیر قرار دهد.
سیستم اطلاعاتی، شامل فرایندهای تجاری مربوط، مرتبط با گزارشگری مالی و اطلاعرسانی
5 . یک سیستم اطلاعاتی از سختافزار، نرمافزار، کارکنان، روشها و دادهها تشکیل میشود. بیشتر سیستمهای اطلاعاتی به طور گستردهای از فناوری اطلاعات استفاده میکنند.
6 . سیستم اطلاعاتی مرتبط با اهداف گزارشگری مالی که شامل سیستم گزارشگری مالی است، روشها و مستنداتی را دربرمیگیرد که:
- همه معاملات معتبر را مشخص و ثبت میکنند.
- معاملات را به موقع و با جزئیات کافی توصیف میکنند به گونهای که طبقهبندی مناسب معاملات برای گزارشگری مالی میسر شود.
- ارزش معاملات را به نحوی اندازهگیری میکنند که ثبت ارزش پولی صحیح آنها در صورتهای مالی میسر شود.
- دوره زمانی وقوع معاملات را تشخیص میدهند تا ثبت معاملات در دوره مالی مربوط میسر گردد.
- معاملات و موارد افشای مربوط را به درستی در صورتهای مالی ارائه دهد.
7 . کیفیت اطلاعات تولید شده توسط سیستمهای اطلاعاتی، بر توانایی مدیران اجرایی برای اتخاذ تصمیمات مناسب جهت اداره و کنترل فعالیتهای واحد تجاری و تهیه گزارشهای مالی قابل اتکا اثر میگذارد.
8 . اطلاعرسانی که مستلزم کسب شناخت از وظایف و مسئولیتهای افراد در ارتباط با کنترلهای داخلی حاکم بر گزارشگری مالی است، ممکن است به اشکالی مانند بخشنامهها و دستورالعملهای حسابداری و گزارشگری مالی صورت پذیرد. اطلاعرسانی همچنین میتواند به صورت الکترونیکی، شفاهی و از طریق اقدامات مدیران اجرایی انجام شود.
فعالیتهای کنترلی
9 . عموماً فعالیتهای کنترلی که ممکن است به حسابرسی مربوط شود را میتوان در قالب سیاستها و روشهای مرتبط با موارد زیر طبقهبندی کرد:
- بررسی عملکرد. این فعالیتهای کنترلی شامل بررسی و تحلیل عملکرد واقعی در مقایسه با بودجه، پیشبینی و عملکرد دوره قبل، ارتباط دادن مجموعههای متفاوت دادههای عملیاتی یا مالی با یکدیگر، همراه با تحلیل روابط و انجام اقدامات پیجویانه و اصلاحی، مقایسه دادههای درونسازمانی با اطلاعات حاصل از منابع برونسازمانی، و بررسی عملکرد بخشها یا فعالیتها است.
- پردازش اطلاعات. دو گروه عمده فعالیتهای کنترلی سیستمهای اطلاعاتی شامل کنترلهای کاربردی و کنترلهای عمومی فناوری اطلاعات است. کنترلهای کاربردی به هر یک از سیستمهای کاربردی مربوط میشود. کنترلهای عمومی فناوری اطلاعات شامل سیاستها و روشهایی است که به سیستمهای کاربردی متعددی مربوط میشود و با کمک به اطمینان یافتن از عملکرد مناسب و مستمر فناوری اطلاعات، از کارکرد مؤثر کنترلهای کاربردی پشتیبانی میکند. نمونههایی از کنترلهای کاربردی شامل بازبینی صحت محاسبات مستندات، نگهداری و بررسی حسابها و تراز حسابها، کنترلهای خودکار مانند بازبینی ویرایشی دادههای وارد شده و کنترل شماره سریال و پیگیری موارد استثناست. نمونههایی از کنترلهای عمومی فناوری اطلاعات شامل کنترلهای تغییر برنامهها، کنترلهای محدودکننده دسترسی به برنامهها یا دادهها، کنترلهای مربوط به استفاده از ویرایش جدید بستههای نرمافزاری و کنترلهای محدودکننده دسترسی به سیستم یا نظارت بر استفاده از امکانات سیستم است که میتواند دادهها یا سوابق مالی را بدون جاگذاشتن اثر برای حسابرسی تغییر دهد.
- کنترلهای فیزیکی. این کنترلها شامل موارد زیر است:
- امنیت فیزیکی داراییها، شامل تمهیدات حفاظتی مناسب مانند تجهیزات امنیتی مربوط به دسترسی افراد قابل اعتماد به داراییها و سوابق.
- صدور مجوز برای دسترسی به برنامههای رایانهای و پروندههای اطلاعاتی.
- شمارش ادواری و مقایسه نتایج آن با مبالغ مندرج در سوابق مربوط (برای مثال، مقایسه شمارش نتایج وجوه نقد، اوراق بهادار و موجودی مواد و کالا با سوابق حسابداری).
میزان ارتباط کنترلهای فیزیکی طراحی شده برای پیشگیری از سرقت داراییها، با قابل اتکا بودن صورتهای مالی و در نتیجه با حسابرسی، به شرایطی نظیر آسیبپذیری بالای داراییها در مقابل سوء استفاده بستگی دارد.
- تفکیک وظایف. تفویض مسئولیتهای تصویب معاملات، ثبت معاملات و حفاظت از داراییها، به افراد مختلف. هدف تفکیک وظایف، کاهش فرصت ارتکاب اشتباه یا تقلب و کتمان آن توسط یک فرد در جریان عادی انجام وظایف خود است.
10 . برخی فعالیتهای کنترلی ممکن است به وجود سیاستهای مناسب برقرار شده توسط مدیران اجرایی یا ارکان راهبری بستگی داشته باشد. برای مثال، مسئولیت تصویب معاملات ممکن است طبق آییننامههایی مانند ضوابط سرمایهگذاری تعیین شده توسط ارکان راهبری، تفویض شود. از سوی دیگر، معاملات غیرمتداولی مانند تحصیل یا واگذاری عمده داراییها ممکن است مستلزم تصویب ارکان خاصی، مانند هیئت مدیره و بعضاً مجمع عمومی صاحبان سرمایه، باشد.
نظارت بر کنترلها
11. یکی از مسئولیتهای مهم مدیران اجرایی، برقراری و حفظ کنترلهای داخلی مناسب به گونهای مستمر است. نظارت مدیران اجرایی بر کنترلها شامل توجه به این موضوع است که آیا کنترلها به صورت مورد نظر اعمال و بر حسب تغییر شرایط، به نحو مناسب تعدیل میشود یا خیر. نظارت بر کنترلها ممکن است شامل فعالیتهایی مانند بررسی تهیه به موقع صورت مغایرتهای بانکی توسط مدیران اجرایی، ارزیابی حسابرسان داخلی از رعایت سیاستهای واحد تجاری در تنظیم قراردادهای فروش توسط کارکنان واحد فروش، و نظارت واحد حقوقی بر رعایت سیاستهای اخلاقی یا تجاری واحد تجاری باشد. نظارت بر کنترلها همچنین فرایندی برای حصول اطمینان از کارکرد اثربخش کنترلهای داخلی در طول زمان است. برای مثال، چنانچه بر تهیه به موقع و صحیح صورت مغایرتهای بانکی نظارت نشود، احتمال میرود کارکنان تهیه آن را متوقف کنند.
12 . حسابرسان داخلی یا کارکنان مجری وظایف مشابه، ممکن است از طریق ارزیابیهای جداگانه، در نظارت بر کنترلهای واحد تجاری مشارکت کنند. معمولاً آنان با ارزیابی طراحی و اجرای کنترلهای داخلی، اطلاعاتی را به طور مرتب درباره کارکرد کنترلهای داخلی فراهم میکنند و نقاط قوت و ضعف کنترلهای داخلی و پیشنهادات اصلاحی مربوط را گزارش میکنند.
13 . فعالیتهای نظارتی میتواند شامل استفاده از اطلاعات به دست آمده از اشخاص برونسازمانی باشد که ممکن است بیانگر وجود مشکلات یا حوزههای مشخص مستلزم اصلاح باشد. مشتریان با پرداخت صورتحساب یا اعتراض درباره آن، اطلاعات آن را به طور ضمنی تأیید یا رد میکنند. افزون بر این، برخی مراجع نظارتی ممکن است درباره موضوعات مؤثر بر کارکرد کنترلهای داخلی با واحد تجاری مکاتبه کنند، نظیر مکاتبات مربوط به بازرسیهای بانک مرکزی. همچنین، مدیران اجرایی ممکن است به منظور انجام فعالیتهای نظارتی، مکاتبات با حسابرسان مستقل درباره کنترلهای داخلی را مورد توجه قرار دهند.
