Merknader etter selskapstilsyn - Nordmøre Revisjon AS
Finanstilsynet gjennomførte stedlig selskapstilsyn med Nordmøre Revisjon AS i september 2017. Det ble avdekket svakheter i selskapets interne kvalitetssystem (manglende sanksjonssystem, uavhengighetsrutiner, hvitvaskingsrutiner) samt i revisjonsutførelsen for flere oppdrag (risikovurdering, angrepsvinkel, analytiske substanshandlinger, varelager og dokumentasjon). Selskapet erkjente merknadene og varslet tiltak. Ingen formelle sanksjoner ble ilagt.
Selskapets eksisterende rutiner var ikke tilstrekkelig koblet til kvalitetskontrolldokumentet, noe som skapte risiko for at ansatte ikke fant frem til gjeldende prosedyrer og svekket etterlevelsen i praksis.
Det er mulig å knytte en del av rutinene som skal medvirke til etterlevelsen av revisjonsselskapets retningslinjer, tydeligere sammen med kvalitetskontrolldokumentet og retningslinjer som fremgår der.
Selskapets rutiner manglet anvisninger om dokumentasjon av at kundekontroll er gjennomført før etablering av kundeforholdet, samt krav til dokumentasjon ved identitetskontroll uten personlig fremmøte.
Da det ikke fremgikk av selskapets rutiner at det må dokumenteres at kontrollen er utført før etablering av kundeforholdet, må dette innskjerpes.
Rutinen for varsling av ledende ansatte ved nye revisjonsoppdrag var ikke formalisert med tanke på dokumentasjon. I tillegg manglet formalisert rutine for forhåndsvurdering av om tilleggstjenester til revisjonskunder kan true uavhengigheten.
For at uavhengighetsvurderingene skal være etterprøvbare, er det etter Finanstilsynets syn behov for å formalisere hvordan varsling skal skje, hvordan svar skal gis, og hvordan dette skal dokumenteres.
Kontrollen av utførte revisjonshandlinger avdekket gjennomgående svakheter i revisjonsdokumentasjonen som gjorde det vanskelig å underbygge og etterprøve revisors konklusjoner.
Finanstilsynet viser derfor til revisorloven § 5-3 første ledd, om at revisor skal kunne dokumentere hvordan revisjonen er gjennomført samt resultatet av revisjonen på en måte som er tilstrekkelig til å kunne underbygge og etterprøve revisors konklusjoner.
For ett oppdrag ble det ikke dokumentert tilstrekkelig vurdering av påliteligheten til dataene benyttet i analytiske substanshandlinger, herunder hvordan enheten sikrer fullstendighet, nøyaktighet og gyldighet av registrerte data.
Revisor har i det aktuelle tilfellet dokumentert relevante systemer og rutiner, men har ikke vurdert påliteligheten av dataene.
For ett oppdrag benyttet revisjonsklienten rullerende tellinger integrert med kassasystemet. Revisor hadde utført et begrenset antall kontrolltellinger uten selvstendig vurdering eller testing av tellerutinene.
Revisor har innhentet dokumentasjon for tellerutinene, men har ingen egen vurdering eller testing av disse. Det vises til IAS 315, spesielt punkt 20 og 21.
For ett oppdrag var angrepsvinkelen for revisjon av inntekt dokumentert som substanskontroller alene, mens den faktiske revisjonen kombinerte substanshandlinger og test av kontroller.
For ett av de kontrollerte revisjonsoppdragene var angrepsvinkelen for revisjonen av inntekt angitt til substanskontroller alene. En gjennomgang av dokumentasjonen for utført revisjon viste at revisjonen av inntekt var bygd på en kombinasjon av substanshandlinger og test av enhetens kontroller.
For de gjennomgåtte revisjonsoppdragene ble det avdekket svakheter i revisors forståelse av enheten og dens omgivelser, samt i vurderingen av vesentlig feilinformasjonsrisiko.
For de vurderte revisjonsoppdragene er det avdekket svakheter. Det omfatter både kunnskap om enhetene, risikovurdering og internkontroll.
Selskapets rutiner manglet anvisninger om dokumentasjon av at kundekontroll er gjennomført før etablering av kundeforholdet, samt krav til dokumentasjon ved identitetskontroll uten personlig fremmøte.
Da det ikke fremgikk av selskapets rutiner at det må dokumenteres at kontrollen er utført før etablering av kundeforholdet, må dette innskjerpes.
Selskapets eksisterende rutiner var ikke tilstrekkelig koblet til kvalitetskontrolldokumentet, noe som skapte risiko for at ansatte ikke fant frem til gjeldende prosedyrer og svekket etterlevelsen i praksis.
Det er mulig å knytte en del av rutinene som skal medvirke til etterlevelsen av revisjonsselskapets retningslinjer, tydeligere sammen med kvalitetskontrolldokumentet og retningslinjer som fremgår der.
Rutinen for varsling av ledende ansatte ved nye revisjonsoppdrag var ikke formalisert med tanke på dokumentasjon. I tillegg manglet formalisert rutine for forhåndsvurdering av om tilleggstjenester til revisjonskunder kan true uavhengigheten.
For at uavhengighetsvurderingene skal være etterprøvbare, er det etter Finanstilsynets syn behov for å formalisere hvordan varsling skal skje, hvordan svar skal gis, og hvordan dette skal dokumenteres.
Revisjonsselskapet hadde ikke definert konsekvenser ved brudd på interne retningslinjer og rutiner. Uten klare disiplinærtiltak mangler kvalitetssystemet reell tannkraft og undergraver kvalitetskulturen.
Finanstilsynet mener kvalitetskontrollsystemet bør angi nærmere hvilke sanksjoner som er aktuelle ved brudd på selskapets rutiner og retningslinjer.
Selskapets rutiner manglet anvisninger om dokumentasjon av at kundekontroll er gjennomført før etablering av kundeforholdet, samt krav til dokumentasjon ved identitetskontroll uten personlig fremmøte.
Da det ikke fremgikk av selskapets rutiner at det må dokumenteres at kontrollen er utført før etablering av kundeforholdet, må dette innskjerpes.
For de gjennomgåtte revisjonsoppdragene ble det avdekket svakheter i revisors forståelse av enheten og dens omgivelser, samt i vurderingen av vesentlig feilinformasjonsrisiko.
For de vurderte revisjonsoppdragene er det avdekket svakheter. Det omfatter både kunnskap om enhetene, risikovurdering og internkontroll.