Deloitte AS

Revisor gjennomførte en triangulerings-/dataanalyse av hele transaksjonspopulasjonen mot kassesystem (POS) og bank, men banktransaksjonslisten som lå til grunn for avstemmingen ble hentet fra klienten selv — ikke direkte fra banken. Revisor bekreftet kun bankens saldo per 31.12.2024 og sammenlignet med saldo per august 2024, men verifiserte aldri selve transaksjonslisten mot en bankutstedt kilde. De to testede dagsoppgjørene ble også avstemt mot klientens liste. Dette undergraver testkonstruksjonens uavhengige bevisverdi.

Revisor baserte avstemmingen mellom kassasystemet (POS) og bank på den banktransaksjonslisten den reviderte selv hadde lagt til grunn, uten å innhente listen direkte fra banken eller foreta en selvstendig verifikasjon mot bankens registrerte transaksjoner. [...] Etter Finanstilsynets oppfatning skulle transaksjonslisten vært innhentet direkte fra banken, bekreftet av banken, eller verifisert ved en direkte utvalgsbasert test av transaksjoner fra liste til bank og omvendt.

Revisor opprettholdt lav risikovurdering for eksistens av varelager i butikk til tross for at substanstesting avdekket multiple avvik mellom revisors egne tellinger og den revidertes tellelister. Telleutvalget var dimensjonert etter den opprinnelige risikovurderingen og tok ikke hensyn til identifiserte svakheter: brede tilgangsrettigheter/IT-kontrollsvakheter, mange butikker med ulike butikksjefer, kommentarer om mulige systematiske feil, og revisjonsteamets korte erfaring på oppdraget.

Revisor har opprettholdt risikovurderingen som lav, men har som følge av de identifiserte svakheter økt omfanget av revisjonshandlinger. [...] Revisors kontrolltellinger er gjort med utgangspunkt i den dokumenterte risikovurderingen, men har ikke tatt hensyn til de ovenfor beskrevne avvik og svakheter.

Revisor identifiserte selv at IT-svakheter (tilgangsrettigheter) medførte at varelagersystemet ikke kunne bekrefte at hele lageret ble telt gjennom året. Mesteparten av lageret ble telt under plukking fremfor gjennom strukturerte opptellinger. Revisjonsdokumentasjonen av syklisk telling var mangelfull og usammenhengende. Revisor benyttet likevel minimumsutvalg i sine kontrolltellinger. Oppdragsansvarlig revisor gjennomgikk ikke disse manglene i sine kvalitetsgjennomganger, i strid med ISA 220 punkt 31.

Finanstilsynet mener at revisor ikke har telt et tilstrekkelig antall enheter på en tilfredsstillende måte for å dekke inn den risikoen revisor selv har identifisert knyttet til eksistenspåstanden. De identifiserte svakhetene knyttet til tilgangsrettighetene med de potensielle konsekvensene for varelagerets eksistens, innebærer etter Finanstilsynets mening at revisor uansett ikke kan legge "minimumsutvalg" til grunn for sine kontrolltellinger.

Revisor gjennomførte en triangulerings-/dataanalyse av hele transaksjonspopulasjonen mot kassesystem (POS) og bank, men banktransaksjonslisten som lå til grunn for avstemmingen ble hentet fra klienten selv — ikke direkte fra banken. Revisor bekreftet kun bankens saldo per 31.12.2024 og sammenlignet med saldo per august 2024, men verifiserte aldri selve transaksjonslisten mot en bankutstedt kilde. De to testede dagsoppgjørene ble også avstemt mot klientens liste. Dette undergraver testkonstruksjonens uavhengige bevisverdi.

Revisor baserte avstemmingen mellom kassasystemet (POS) og bank på den banktransaksjonslisten den reviderte selv hadde lagt til grunn, uten å innhente listen direkte fra banken eller foreta en selvstendig verifikasjon mot bankens registrerte transaksjoner. [...] Etter Finanstilsynets oppfatning skulle transaksjonslisten vært innhentet direkte fra banken, bekreftet av banken, eller verifisert ved en direkte utvalgsbasert test av transaksjoner fra liste til bank og omvendt.

Revisor opprettholdt lav risikovurdering for eksistens av varelager i butikk til tross for at substanstesting avdekket multiple avvik mellom revisors egne tellinger og den revidertes tellelister. Telleutvalget var dimensjonert etter den opprinnelige risikovurderingen og tok ikke hensyn til identifiserte svakheter: brede tilgangsrettigheter/IT-kontrollsvakheter, mange butikker med ulike butikksjefer, kommentarer om mulige systematiske feil, og revisjonsteamets korte erfaring på oppdraget.

Revisor har opprettholdt risikovurderingen som lav, men har som følge av de identifiserte svakheter økt omfanget av revisjonshandlinger. [...] Revisors kontrolltellinger er gjort med utgangspunkt i den dokumenterte risikovurderingen, men har ikke tatt hensyn til de ovenfor beskrevne avvik og svakheter.

Revisor identifiserte selv at IT-svakheter (tilgangsrettigheter) medførte at varelagersystemet ikke kunne bekrefte at hele lageret ble telt gjennom året. Mesteparten av lageret ble telt under plukking fremfor gjennom strukturerte opptellinger. Revisjonsdokumentasjonen av syklisk telling var mangelfull og usammenhengende. Revisor benyttet likevel minimumsutvalg i sine kontrolltellinger. Oppdragsansvarlig revisor gjennomgikk ikke disse manglene i sine kvalitetsgjennomganger, i strid med ISA 220 punkt 31.

Finanstilsynet mener at revisor ikke har telt et tilstrekkelig antall enheter på en tilfredsstillende måte for å dekke inn den risikoen revisor selv har identifisert knyttet til eksistenspåstanden. De identifiserte svakhetene knyttet til tilgangsrettighetene med de potensielle konsekvensene for varelagerets eksistens, innebærer etter Finanstilsynets mening at revisor uansett ikke kan legge "minimumsutvalg" til grunn for sine kontrolltellinger.