Tilsynsrapport - Din Revisor AS
Finanstilsynet gjennomgikk fire revisjonsoppdrag (A–D) for regnskapsåret 2019 hos Din Revisor AS, etter innrapportering fra DnR som mente det kunne være grunnlag for tilbakekall av revisorgodkjenningen. Tilsynet avdekket systematiske svakheter innen risikovurdering, stikkprøvemetodikk, analytiske substanshandlinger, revisjonsbevis for andre driftskostnader og oppbevaring av hvitvaskingsinformasjon. Ingen sanksjoner ble ilagt, men foretaket ble forutsatt å rette opp manglene.
Revisor hadde ikke begrunnet valg av utvalgsstørrelse, utvalgsmetode eller populasjonsdekning. Ved skjønnsmessige utvalg manglet vurdering av hvilken del av populasjonen kontrollen ga utsagnskraft for. Funnet gjaldt flere av de kontrollerte oppdragene.
Beskrivelse av populasjon som skal testes, og begrunnelser for utvalgsmetoder og stikkprøvestørrelser, har mangler.
For oppdrag C hadde revisor angitt at man forventet «en mindre økning fra forrige år» uten å kvantifisere forventningen som beløp eller forholdstall. Akseptabelt avvik var heller ikke tallfestet. ISA 520 krever eksplisitt at forventning og akseptabelt avvik fastsettes på forhånd. Revisor hadde heller ikke dokumentert hvilke kontroller som underbygget konklusjonen om at avvikene var innenfor det akseptable.
Det er imidlertid ikke tilstrekkelig når revisor angir som forventning at det ventes en mindre økning fra forrige år. Denne forventningen må tallfestes.
Revisor hadde ikke dokumentert sammenhengen mellom identifiserte risikoer og intern kontroll hos kundene tilstrekkelig. For oppdrag A var dette særlig tydelig på inntektsområdet – ordresystem, fravær av kontantbetaling og insentivbasert lønn var ikke reflektert i revisjonsdokumentasjonen som risikoreduserende kontroller.
Finanstilsynet mener at revisors vurdering av sammenhenger mellom risiko og den interne kontroll hos oppdragsgiverne er mangelfull, jf. revisorloven § 5-2 annet ledd, jf. ISA 315 punkt 25-30.
Revisor rullerte stikkprøver for andre driftskostnader i oppdrag C, slik at ikke alle kontoer inngikk i populasjonen hvert år. Samlet oversteg beløpene på de utelatte kontoene arbeidsvesentlighetsgrensen, selv om enkeltkontoene lå under grensen. Kompenserende revisjonshandlinger for de utelatte kontoene var ikke gjennomført.
Samlet overstiger beløpene på disse kontoene revisors fastsatte vesentlighetsgrense, selv om beløpene per enkeltkonto er mindre enn revisors arbeidsvesentlighet. Finanstilsynet kan ikke se at revisor i nødvendig utstrekning hadde dekket disse kontoene med andre revisjonshandlinger.
Revisors dokumentasjon for planlegging og utførte kontroller, herunder ved bruk av analyse og stikkprøver, oppfylte ikke kravene etter revisorloven § 5-3 første ledd. Dokumentasjonen var ikke tilstrekkelig til å underbygge og etterprøve revisors konklusjoner, jf. ISA 230 punkt 8 bokstav a.
Revisors dokumentasjon for planleggingen av revisjonen og utførte kontroller, herunder ved bruk av analyse og stikkprøver, oppfyller ikke fullt ut kravene etter revisorloven.
Informasjon innhentet som ledd i kundekontroller etter hvitvaskingsloven kunne være lagret både i revisjonsfilen for det aktuelle regnskapsåret og i selskapets kundebehandlingssystem. Desentralisert lagring øker risikoen for manglende sletting til rett tid og inkonsistent behandling. Finanstilsynet anbefalte at informasjonen samles på ett sted. Revisjonsselskapet bekreftet i tilsvaret at informasjonen fremover kun lagres i kundebehandlingssystemet.
For å medvirke til å sikre etterlevelse av krav til oppbevaring og sletting antar Finanstilsynet at slik informasjon bør oppbevares samlet og kun på ett sted.
Informasjon innhentet som ledd i kundekontroller etter hvitvaskingsloven kunne være lagret både i revisjonsfilen for det aktuelle regnskapsåret og i selskapets kundebehandlingssystem. Desentralisert lagring øker risikoen for manglende sletting til rett tid og inkonsistent behandling. Finanstilsynet anbefalte at informasjonen samles på ett sted. Revisjonsselskapet bekreftet i tilsvaret at informasjonen fremover kun lagres i kundebehandlingssystemet.
For å medvirke til å sikre etterlevelse av krav til oppbevaring og sletting antar Finanstilsynet at slik informasjon bør oppbevares samlet og kun på ett sted.
Revisor hadde ikke begrunnet valg av utvalgsstørrelse, utvalgsmetode eller populasjonsdekning. Ved skjønnsmessige utvalg manglet vurdering av hvilken del av populasjonen kontrollen ga utsagnskraft for. Funnet gjaldt flere av de kontrollerte oppdragene.
Beskrivelse av populasjon som skal testes, og begrunnelser for utvalgsmetoder og stikkprøvestørrelser, har mangler.
For oppdrag C hadde revisor angitt at man forventet «en mindre økning fra forrige år» uten å kvantifisere forventningen som beløp eller forholdstall. Akseptabelt avvik var heller ikke tallfestet. ISA 520 krever eksplisitt at forventning og akseptabelt avvik fastsettes på forhånd. Revisor hadde heller ikke dokumentert hvilke kontroller som underbygget konklusjonen om at avvikene var innenfor det akseptable.
Det er imidlertid ikke tilstrekkelig når revisor angir som forventning at det ventes en mindre økning fra forrige år. Denne forventningen må tallfestes.
Revisor hadde ikke dokumentert sammenhengen mellom identifiserte risikoer og intern kontroll hos kundene tilstrekkelig. For oppdrag A var dette særlig tydelig på inntektsområdet – ordresystem, fravær av kontantbetaling og insentivbasert lønn var ikke reflektert i revisjonsdokumentasjonen som risikoreduserende kontroller.
Finanstilsynet mener at revisors vurdering av sammenhenger mellom risiko og den interne kontroll hos oppdragsgiverne er mangelfull, jf. revisorloven § 5-2 annet ledd, jf. ISA 315 punkt 25-30.
Revisor rullerte stikkprøver for andre driftskostnader i oppdrag C, slik at ikke alle kontoer inngikk i populasjonen hvert år. Samlet oversteg beløpene på de utelatte kontoene arbeidsvesentlighetsgrensen, selv om enkeltkontoene lå under grensen. Kompenserende revisjonshandlinger for de utelatte kontoene var ikke gjennomført.
Samlet overstiger beløpene på disse kontoene revisors fastsatte vesentlighetsgrense, selv om beløpene per enkeltkonto er mindre enn revisors arbeidsvesentlighet. Finanstilsynet kan ikke se at revisor i nødvendig utstrekning hadde dekket disse kontoene med andre revisjonshandlinger.
Informasjon innhentet som ledd i kundekontroller etter hvitvaskingsloven kunne være lagret både i revisjonsfilen for det aktuelle regnskapsåret og i selskapets kundebehandlingssystem. Desentralisert lagring øker risikoen for manglende sletting til rett tid og inkonsistent behandling. Finanstilsynet anbefalte at informasjonen samles på ett sted. Revisjonsselskapet bekreftet i tilsvaret at informasjonen fremover kun lagres i kundebehandlingssystemet.
For å medvirke til å sikre etterlevelse av krav til oppbevaring og sletting antar Finanstilsynet at slik informasjon bør oppbevares samlet og kun på ett sted.