NN 61/24 (21.05.2024.), Međunarodni revizijski standard 402, Revizijska razmatranja u vezi sa subjektom koji koristi rad uslužnih organizacija

HRVATSKA REVIZORSKA KOMORA

Na temelju članka 106. stavka 2. točke 6. i članka 108. stavka 1. točke 2. Zakona o reviziji (»Narodne novine«, broj 127/17 i 27/24) i članka 17. točke 6. Statuta Hrvatske revizorske komore (»Narodne novine«, broj 58/18, 147/20 i 77/21), Upravno vijeće Hrvatske revizorske komore na sjednici održanoj 9. travnja 2024., donijelo je

 

ODLUKU O OBJAVLJIVANJU MEĐUNARODNIH STANDARDA KONTROLE KVALITETE, REVIDIRANJA, UVIDA, OSTALIH USLUGA S IZRAŽAVANJEM UVJERENJA I POVEZANIH USLUGA

I.

Objavljuju se sljedeći Međunarodni standardi kontrole kvalitete, revidiranja, uvida, ostalih usluga s izražavanjem uvjerenja i povezanih usluga, izdanje 2020., koje je pripremio Međunarodni odbor za standarde revidiranja i izražavanja uvjerenja (International Auditing and Assurance Standards Board, IAASB) i u izvorniku objavila Međunarodna federacija računovođa (International Federation of Accountants, IFAC), a Hrvatska revizorska komora, uz odobrenje IFAC-a, prevela na hrvatski jezik:

1. Međunarodni standard kontrole kvalitete 1, Kontrola kvalitete za društva koja obavljaju revizije i uvide u financijske izvještaje i ostale angažmane s izražavanjem uvjerenja i povezane usluge (na snazi od 15. prosinca 2009.)

2. Međunarodni revizijski standard 200, Opći ciljevi neovisnog revizora i obavljanje revizije u skladu s Međunarodnim revizijskim standardima (na snazi za revizije financijskih izvještaja za razdoblja započeta na 15. prosinca 2009. ili nakon tog datuma)

3. Međunarodni revizijski standard 210, Dogovaranje uvjeta revizijskih angažmana (na snazi za revizije financijskih izvještaja za razdoblja započeta na 15. prosinca 2009. ili nakon tog datuma ili nakon tog datuma)

4. Međunarodni revizijski standard 220, Kontrola kvalitete za reviziju financijskih izvještaja (na snazi za revizije financijskih izvještaja za razdoblja započeta na 15. prosinca 2009. ili nakon tog datuma)

5. Međunarodni revizijski standard 230, Revizijska dokumentacija (na snazi za revizije financijskih izvještaja za razdoblja započeta na 15. prosinca 2009. ili nakon tog datuma)

6. Međunarodni revizijski standard 240, Revizorove odgovornosti u vezi s prijevarama u reviziji financijskih izvještaja (na snazi za revizije financijskih izvještaja za razdoblja započeta na 15. prosinca 2009. ili nakon tog datuma)

7. Međunarodni revizijski standard 250 (izmijenjen), Razmatranje zakona i regulativa u reviziji financijskih izvještaja (na snazi za revizije financijskih izvještaja za razdoblja započeta na 15. prosinca 2017. ili nakon tog datuma)

8. Međunarodni revizijski standard 260 (izmijenjen), Komuniciranje s onima koji su zaduženi za upravljanje (na snazi za revizije financijskih izvještaja za razdoblja koja završavaju na 15. prosinca 2016. ili nakon tog datuma)

9. Međunarodni revizijski standard 265, Priopćavanje nedostataka u internim kontrolama onima koji su zaduženi za upravljanje i menadžmentu (na snazi za revizije financijskih izvještaja za razdoblja započeta na 15. prosinca 2009. ili nakon tog datuma)

10. Međunarodni revizijski standard 300, Planiranje revizije financijskih izvještaja (na snazi za revizije financijskih izvještaja za razdoblja započeta na 15. prosinca 2009. ili nakon tog datuma)

11. Međunarodni revizijski standard 315 (izmijenjen), Identificiranje i procjenjivanje rizika značajnih pogrešnih prikazivanja kroz stjecanje razumijevanja subjekta i njegovog okruženja (na snazi za revizije financijskih izvještaja za razdoblja koja završavaju na 15. prosinca 2013. ili nakon tog datuma)

12. Međunarodni revizijski standard 320, Značajnost u planiranju i obavljanju revizije (na snazi za revizije financijskih izvještaja za razdoblja započeta na 15. prosinca 2009. ili nakon tog datuma)

13. Međunarodni revizijski standard 330, Revizorove reakcije na procijenjene rizike (na snazi za revizije financijskih izvještaja za razdoblja započeta na 15. prosinca 2009. ili nakon tog datuma)

14. Međunarodni revizijski standard 402, Revizijska razmatranja u vezi sa subjektom koji koristi rad uslužnih organizacija (na snazi za revizije financijskih izvještaja za razdoblja započeta na 15. prosinca 2009. ili nakon tog datuma)

15. Međunarodni revizijski standard 450, Ocjenjivanje pogrešnih prikaza ustanovljenih tijekom revizije (na snazi za revizije financijskih izvještaja za razdoblja započeta na 15. prosinca 2009. ili nakon tog datuma)

16. Međunarodni revizijski standard 500, Revizijski dokazi (na snazi za revizije financijskih izvještaja za razdoblja započeta na 15. prosinca 2009. ili nakon tog datuma)

17. Međunarodni revizijski standard 501, Revizijski dokazi – posebna razmatranja za odabrane stavke (na snazi za revizije financijskih izvještaja za razdoblja započeta na 15. prosinca 2009. ili nakon tog datuma)

18. Međunarodni revizijski standard 505, Eksterne konfirmacije (na snazi za revizije financijskih izvještaja za razdoblja započeta na 15. prosinca 2009. ili nakon tog datuma)

19. Međunarodni revizijski standard 510, Početni revizijski angažmani – početna stanja (na snazi za revizije financijskih izvještaja za razdoblja započeta na 15. prosinca 2009. ili nakon tog datuma)

20. Međunarodni revizijski standard 520, Analitički postupci (na snazi za revizije financijskih izvještaja za razdoblja započeta na 15. prosinca 2009. ili nakon tog datuma)

21. Međunarodni revizijski standard 530, Revizijsko uzorkovanje (na snazi za revizije financijskih izvještaja za razdoblja započeta na 15. prosinca 2009. ili nakon tog datuma)

22. Međunarodni revizijski standard 540 (izmijenjen), Revidiranje računovodstvenih procjena i povezanih objava (na snazi za revizije financijskih izvještaja za razdoblja započeta na ili nakon 15. prosinca 2019.)

23. Međunarodni revizijski standard 550, Povezane strane (na snazi za revizije financijskih izvještaja za razdoblja započeta na 15. prosinca 2009. ili nakon tog datuma)

24. Međunarodni revizijski standard 560, Naknadni događaji (na snazi za revizije financijskih izvještaja za razdoblja započeta na 15. prosinca 2009. ili nakon tog datuma)

25. Međunarodni revizijski standard 570 (izmijenjen), Vremenska neograničenost poslovanja (na snazi za revizije financijskih izvještaja za razdoblja koja završavaju na 15. prosinca 2016. ili nakon tog datuma)

26. Međunarodni revizijski standard 580, Pisane izjave (na snazi za revizije financijskih izvještaja za razdoblja započeta na 15. prosinca 2009. ili nakon tog datuma)

27. Međunarodni revizijski standard 600, Posebna razmatranja – revizije financijskih izvještaja grupe (uključujući rad revizora komponente) (na snazi za revizije financijskih izvještaja za razdoblja započeta na 15. prosinca 2009. ili nakon tog datuma)

28. Međunarodni revizijski standard 610 (izmijenjen 2013.), Korištenje radom internih revizora (na snazi za revizije financijskih izvještaja za razdoblja započeta na 15. prosinca 2014. ili nakon tog datuma)

29. Međunarodni revizijski standard 620, Korištenje radom revizorovog stručnjaka (na snazi za revizije financijskih izvještaja za razdoblja započeta na 15. prosinca 2009. ili nakon tog datuma)

30. Međunarodni revizijski standard 700 (izmijenjen), Formiranje mišljenja i izvješćivanje o financijskim izvještajima (na snazi za revizije financijskih izvještaja za razdoblja koja završavaju na 15. prosinca 2016. ili nakon tog datuma)

31. Međunarodni revizijski standard 701, Priopćavanje ključnih revizijskih pitanja u izvješću neovisnog revizora (na snazi za revizije financijskih izvještaja za razdoblja koja završavaju na 15. prosinca 2016. ili nakon tog datuma)

32. Međunarodni revizijski standard 705 (izmijenjen), Modifikacije mišljenja u izvješću neovisnog revizora(na snazi za revizije financijskih izvještaja za razdoblja koja završavaju na 15. prosinca 2016. ili nakon tog datuma)

33. Međunarodni revizijski standard 706 (izmijenjen), Odjeljci za isticanje pitanja i odjeljci za ostala pitanja u izvješću neovisnog revizora (na snazi za revizije financijskih izvještaja za razdoblja koja završavaju na 15. prosinca 2016. ili nakon tog datuma)

34. Međunarodni revizijski standard 710, Usporedne informacije – usporedni iznosi i usporedni financijski izvještaji (na snazi za financijske izvještaje za razdoblja započeta na 15. prosinca 2009. ili nakon tog datuma)

35. Međunarodni revizijski standard 720 (izmijenjen), Revizorove odgovornosti u vezi s ostalim informacijama (na snazi za revizije financijskih izvještaja za razdoblja koja završavaju na 15. prosinca 2016. ili nakon tog datuma)

36. Međunarodni revizijski standard 800 (izmijenjen), Posebna razmatranja – revizije financijskih izvještaja sastavljenih u skladu s okvirima posebne namjene (na snazi za revizije financijskih izvještaja za razdoblja završena na 15. prosinca 2016. ili nakon tog datuma)

37. Međunarodni revizijski standard 805 (izmijenjen), Posebna razmatranja – revizije pojedinačnih financijskih izvještaja i određenih elemenata, računa ili stavaka financijskih izvještaja (na snazi za revizije za razdoblja završena na 15. prosinca 2016. ili nakon tog datuma)

38. Međunarodni revizijski standard 810 (izmijenjen), Angažmani radi izvješćivanja o sažetim financijskim izvještajima (na snazi za angažmane radi izvješćivanja o sažetim financijskim izvještajima za razdoblja završena na 15. prosinca 2016. ili nakon tog datuma)

39. Međunarodna smjernica revizijske prakse 1000, Posebna razmatranja u revidiranju financijskih instrumenata

40. Međunarodni revizijski standard 315 (izmijenjen 2019.), Identificiranje i procjenjivanje rizika značajnih pogrešnih prikazivanja (na snazi za revizije financijskih izvještaja za razdoblja koja započinju na 15. prosinca 2021. ili nakon tog datuma) Usklađujuće i posljedične izmjene i dopune drugih međunarodnih standarda koje proizlaze iz MRevS-a 315 (izmijenjen 2019.)

41. Međunarodni standard upravljanja kvalitetom 1, Upravljanje kvalitetom za društva koja obavljaju reviziju ili uvide u financijske izvještaje ili druge angažmane za izražavanje uvjerenja ili povezane usluge (na snazi od 15. prosinca 2022.)

42. Međunarodni standard upravljanja kvalitetom 2, Pregledi kvalitete angažmana (na snazi za revizije i uvide u financijske izvještaje za razdoblja koja počinju 15. prosinca 2022. ili nakon tog datuma, a za druge angažmane za izražavanje uvjerenja i povezane usluge na snazi je za usluge koje počinju 15. prosinca 2022. ili nakon tog datuma)

43. Međunarodni revizijski standard 220 (izmijenjen), Upravljanje kvalitetom za reviziju financijskih izvještaja (na snazi za revizije financijskih izvještaja za razdoblja koja počinju 15. prosinca 2022. ili nakon tog datuma)

Usklađujuće izmjene Međunarodnih revizijskih standarda (MRevS) i povezanih materijala koje proizlaze iz projekata upravljanja kvalitetom.

 

II.

Ovom Odlukom stavljanju se izvan snage:

– Odluka o objavljivanju Međunarodnih revizijskih standarda, Međunarodnih standarda kontrole kvalitete i Međunarodnih smjernica revizijske prakse (»Narodne novine«, broj 49/10)

– Odluka o objavljivanju Međunarodnog revizijskog standarda 315 (izmijenjen), Međunarodnog revizijskog standarda 610 (izmijenjen 2013.), Međunarodnog standarda za angažmane uvida 2400 (izmijenjen) (»Narodne novine«, broj 33/16), u dijelu objavljivanja Međunarodnog revizijskog standarda 315 (izmijenjen) i Međunarodnog revizijskog standarda 610 (izmijenjen 2013.)

– Odluka o objavljivanju Međunarodnog revizijskog standarda 260 (izmijenjen), Međunarodnog revizijskog standarda 570 (izmijenjen), Međunarodnog revizijskog standarda 700 (izmijenjen), Međunarodnog revizijskog standarda 701, Međunarodnog revizijskog standarda 705 (izmijenjen), Međunarodnog revizijskog standarda 706 (izmijenjen), Međunarodnog revizijskog standarda 720 (izmijenjen) (»Narodne novine«, broj 107/16)

– Odluka o objavljivanju Međunarodnog revizijskog standarda 250 (izmijenjen), Međunarodnog revizijskog standarda 800 (izmijenjen), Međunarodnog revizijskog standarda 805 (izmijenjen), Međunarodnog revizijskog standarda 810 (izmijenjen) (»Narodne novine«, broj 3/19)

– Odluka o objavljivanju Međunarodnog standarda za angažmane s izražavanjem uvjerenja 3000 (izmijenjen), Međunarodnog revizijskog standarda 540 (izmijenjen) (»Narodne novine«, broj 71/19), u dijelu objavljivanja Međunarodnog revizijskog standarda 540 (izmijenjen)

– Odluka o objavljivanju Međunarodnog revizijskog standarda 315 (izmijenjen 2019.) i usklađujuće i posljedične izmjene i dopune drugih međunarodnih standarda koje proizlaze iz Međunarodnog revizijskog standarda 315 i Međunarodnog standarda za povezane usluge 4400 (izmijenjen) (»Narodne novine«, broj 82/21), u dijelu objavljivanja Međunarodnog revizijskog standarda 315 (izmijenjen 2019.)

– Odluka o objavljivanju Međunarodne smjernice revizijske prakse 1000, Međunarodnog standarda za angažmane s izražavanjem uvjerenja 3410, Međunarodnog standarda za angažmane s izražavanjem uvjerenja 3420, Međunarodnog standarda za povezane usluge 4410 (izmijenjen) (»Narodne novine«, broj 17/22), u dijelu objavljivanja Međunarodne smjernice revizijske prakse 1000

– Odluka o objavljivanju Međunarodnog revizijskog standarda 220 (izmijenjen), Međunarodnog standarda upravljanja kvalitetom 1, Međunarodnog standarda upravljanja kvalitetom 2 (»Narodne novine«, broj 105/22).

Klasa: 011-01/24-01/1

Urbroj: 251-442-01-24-01

Zagreb, 9. travnja 2024.

Predsjednik

Hrvatske revizorske komore

Berislav Horvat, v. r.

 

MEĐUNARODNI STANDARDI KONTROLE KVALITETE, REVIDIRANJA, UVIDA, OSTALIH USLUGA S IZRAŽAVANJEM UVJERENJA I POVEZANIH, IZDANJE 2020.

MEĐUNARODNI REVIZIJSKI STANDARD 402

REVIZIJSKA RAZMATRANJA U VEZI SA SUBJEKTOM KOJI KORISTI RAD USLUŽNIH ORGANIZACIJA

(Stupa na snagu za revizije financijskih izvještaja za razdoblja započeta na 15. prosinca 2009. ili nakon tog datuma.)

SADRŽAJ

 

 

 

Uvod

Područje koje uređuje ovaj MRevS

1. Ovaj MRevS uređuje odgovornost korisnikovog revizora za stjecanje dostatnih i primjerenih revizijskih dokaza kad subjekt korisnik koristi usluge jedne ili više uslužnih organizacija. To se osobito odnosi na način na koji revizor primjenjuje MRevS 315(izmijenjen) i MRevS 330 u stjecanju razumijevanja subjekta korisnika, uključujući interne kontrole koje su relevantne za reviziju, u mjeri koja je dostatna za identificiranje i procjenjivanje rizika značajnih pogrešnih prikazivanja te za oblikovanje i obavljanje daljnjih revizijskih postupaka kao reakcija na to.

2. Mnogi subjekti određene aspekte svog poslovanja povjeravaju vanjskim uslužnim organizacijama (eng. outsourcing), koje pružaju usluge u rasponu od obavljanja određene zadaće pod nadzorom subjekta do zamjene čitavih poslovnih jedinica ili funkcija, kao što je funkcija za usklađenost s poreznim propisima. Mnoge usluge pružene od strane takvih uslužnih organizacija predstavljaju sastavni dio poslovnih aktivnosti subjekta. Međutim, sve te usluge ne moraju biti relevantne za reviziju.

3. Usluge obavljene od strane uslužne organizacije relevantne su za reviziju financijskih izvještaja subjekta kad su te usluge i kontrole nad njima dio informacijskog sustava subjekta, uključujući povezane poslovne procese relevantne za financijsko izvještavanje. Premda se većina kontrola u uslužnim organizacijama vjerojatno odnosi na financijsko izvještavanje, mogu postojati i druge kontrole koje mogu biti značajne za reviziju kao što su kontrole vezane uz sigurnost imovine. Usluge uslužne organizacije su dio informacijskog sustava subjekta, uključujući povezane poslovne procese, relevantne za financijsko izvještavanje, ako takve usluge utječu na sljedeće:

(a) klase transakcija u subjektovom poslovanju koje su značajne za njegovo financijsko izvještavanje;

(b) postupke, kako u okviru informacijske tehnologije (IT) tako i u okviru ručne obrade, pomoću kojih su transakcije inicirane, zabilježene, obrađene, korigirane po potrebi, prenesene u glavnu knjigu i iskazane u financijskim izvještajima;

(c) poslovne knjige, bilo u elektroničkom ili materijalnom obliku, koje podržavaju informacije i specifične pozicije financijskih izvještaja subjekta koje su korištene za iniciranje, evidentiranje, obradu i izvještavanje o transakcijama subjekta. To uključuje ispravke pogrešnih zapisa i način na koji su informacije transferirane u glavnu knjigu;

(d) način na koji informacijski sustav subjekta obuhvaća događaje i uvjete, osim transakcija, koji su značajni za financijske izvještaje;

(e) proces financijskog izvještavanja koji je korišten u svrhu pripreme financijskih izvještaja subjekta, uključujući značajne računovodstvene procjene i objavljivanja; i

(f) kontrole dnevnika, uključujući nestandardne unose u dnevnik koji su korišteni za evidentiranje jednokratnih, neuobičajenih transakcija ili usklađivanja.

4. Vrsta i opseg rada koji treba obaviti korisnikov revizora u pogledu usluga obavljenih od strane servisne organizacije ovisi o vrstama i značajnosti tih usluga za subjekt, kao i o značajnosti tih usluga za reviziju.

5. Odredbe ovog MRevS-a se ne odnose na usluge koje pružaju financijske institucije i koje su ograničene na obradu, za račune subjekta koji se vode u financijskoj instituciji, transakcije koje je subjekt izričito autorizirao kao što je, na primjer, obrada transakcija na poslovnim računima kod banke ili obrada transakcija s vrijednosnim papirima od strane brokera. Povrh toga, ovaj MRevS se ne odnosi na reviziju transakcija proizašlih iz vlasničkih financijskih interesa u drugim subjektima kao što su, na primjer, partnerstvo, korporacije, zajednička ulaganja, kad se o vlasničkom interesu vode računi i izvještava držatelju interesa.

Datum stupanja na snagu

6. Međunarodni revizijski standard (MRevS) stupa na snagu za revizije financijskih izvještaja za razdoblja započeta na 15. prosinca 2009. ili nakon tog datuma.

Ciljevi

7. Ciljevi revizora subjekta korisnika, u slučaju kad subjekt koristi usluge servisne organizacije, su:

(a) steći razumijevanje sadržaja i značajnosti usluga isporučenih od strane uslužne organizacije i njihov utjecaj na interne kontrole subjekta koje su relevantne za reviziju i dostatne za identificiranje i procjenu rizika značajnih pogrešnih prikazivanja; i

(b) oblikovati i obaviti revizorske postupke koji odgovaraju tim rizicima.

Definicije

8. Za svrhe ovog MRevS-a, sljedeći pojmovi imaju niže navedena značenja:

(a) Komplementarne kontrole subjekta korisnika – kontrole za koje servisna organizacija prilikom oblikovanja svojih usluga pretpostavlja da će biti implementirane od strane subjekta korisnika i koje su, ako je to potrebno radi ostvarenja ciljeva kontrole, navedene u opisu njezinog sustava.

(b) Izvješće o opisu i oblikovanosti kontrola uslužne organizacije – (koje se u ovom MRevS-u naziva – izvješće tipa 1) – izvješće koje obuhvaća:

(i) opis sustava uslužne organizacije, kontrolnih ciljeva i povezanih kontrola koje su bile oblikovane i implementirane na određeni datum; sastavlja ga menadž­ment uslužne organizacije; i

(ii) izvješće revizora uslužne organizacije s ciljem davanja razumnog uvjerenja koje uključuje mišljenje revizora uslužne organizacije o opisu sustava uslužne organizacije, kontrolnim ciljevima i povezanim kontrolama i prikladnosti oblikovanosti kontrola za postizanje određenih kontrolnih ciljeva.

(c) Izvješće o opisu, oblikovanosti i operativnoj učinkovitosti kontrola uslužne organizacije (koje se u ovom MRevS-u naziva – izvješće tipa 2) – izvješće koje obuhvaća:

(i) opis sustava uslužne organizacije, kontrolnih ciljeva i povezanih kontrola koje su bile oblikovane i implementirane na određeni datum ili tijekom određenog razdoblja i u nekim slučajevima, njihove operativne učinkovitosti tijekom određenog razdoblja; sastavlja ga menadžment uslužne organizacije; i

(ii) izvješće revizora uslužne organizacije s ciljem davanja razumnog uvjerenja koje uključuje:

a.     mišljenje revizora uslužne organizacije o opisu sustava uslužne organizacije, kontrolnim ciljevima i povezanim kontrolama, prikladnosti dizajna kontrola za postizanje određenih kontrolnih ciljeva i operativnoj učinkovitosti kontrola; i

b.     opis testova kontrola, koje je obavio revizor uslužne organizacije, i njihovih rezultata.

(d) Revizor uslužne organizacije – revizor koji na zahtjev uslužne organizacije sastavlja izvješće s izražavanjem uvjerenja o kontrolama uslužne organizacije.

(e) Uslužna organizacija – organizacija koja je treća strana (ili segment takve organizacije) i koja pruža usluge subjektima korisnicima koje su dio informacijskog sustava tih subjekata relevantan za financijsko izvještavanje.

(f) Sustav uslužne organizacije – politike i postupci koje je oblikovala, implementirala i koje održava uslužna organizacija radi pružanja usluga subjektima korisnicima koje su obuhvaćene izvješćem revizora uslužne organizacije.

(g) Poduslužne organizacije – uslužne organizacije čije usluge koriste druge uslužne organizacije kako bi svojim korisnicima pružile određene usluge koje čine sastavni dio informacijskog sustava subjekta korisnika koji je relevantan za financijsko izvještavanje.

(h) Revizor subjekta korisnika – revizor koji revidira i izvještava o financijskim izvještajima subjekta korisnika.

(i) Subjekt korisnik – subjekt koji koristi usluge uslužne organizacije i čiji se financijski izvještaji revidiraju.

Zahtjevi

Razumijevanje sadržaja usluga koje pruža uslužna organizacija, uključujući i interne kontrole

9. Kad stječe razumijevanje subjekta korisnika, u skladu s odredbama MRevS-a 315 (izmijenjen)[263](MRevS 315 (izmijenjen), točka 11.), revizor mora steći razumijevanje načina na koji subjekt koristi usluge uslužne organizacije, uključujući: (Vidjeti točke A1-A2)

(a) vrste usluge koju je pružila uslužna organizacija i značajnost tih usluga za subjekta korisnika, uključujući i njihov utjecaj na interne kontrole subjekta; (Vidjeti točke A3-A5)

(b) vrste i značajnost obrađenih transakcija ili računa ili procesa financijskog izvještavanja na koje je utjecala uslužna organizacija; (Vidjeti točku A6)

(c) stupanj interakcija između aktivnosti uslužne organizacije i aktivnosti subjekta korisnika; (Vidjeti točku A7)

(d) vrsta odnosa između subjekta korisnika i uslužne organizacije, uključujući relevantne uvjete ugovora za aktivnosti koje poduzima uslužna organizacija. (Vidjeti točke A8-A11.)

10. Pri stjecanju razumijevanja o internim kontrolama relevantnim za reviziju, sukladno MRevS-u 315 (izmijenjen) [264](MRevS 315 (izmijenjen), točka 12.), revizor subjekta mora ocijeniti način oblikovanja i implementaciju relevantnih kontrola koje se odnose na usluge primljene od uslužne organizacije, uključujući i one koje su vezane uz transakcije koje je obavila uslužna organizacija. (Vidjeti točke A12-A14.)

11. Revizor subjekta korisnika mora, u svrhu utvrđivanja i procjene rizika značajnih pogrešnih prikazivanja, odrediti je li dobio dostatna saznanja potrebna za razumijevanje sadržaja i značajnosti usluge izvršene od strane uslužne organizacije, kao i za razumijevanje utjecaja te usluge na interne kontrole subjekta.

12. Ako revizor korisnika ne može steći dostatno razumijevanje od subjekta korisnika, revizor korisnika mora steći to razumijevanje iz jednog ili više sljedećih postupaka:

(a) upotrebom izvješća tipa 1 ili izvješća tipa 2, ako je raspoloživo;

(b) kontaktiranjem uslužne organizacije, putem subjekta korisnika, s ciljem dobivanja specifičnih informacija;

(c) posjetom uslužnoj organizaciji i obavljanjem postupaka koji će osigurati potrebne informacije o relevantnim kontrolama u uslužnoj organizaciji; i

(d) korištenjem drugog revizora za obavljanje postupaka koji će osigurati potrebne informacije o relevantnim kontrolama u uslužnoj organizaciji. (Vidjeti točke A15-A20.)

Korištenje izvješća tipa 1 ili tipa 2 za podršku razumijevanju uslužne organizacije od strane revizora korisnika

13. Prilikom utvrđivanja dostatnosti i primjerenosti revizijskih dokaza na osnovi izvješća tipa 1 ili izvješća tipa 2, revizor se mora uvjeriti u postojanje:

(a) kompetentnosti i neovisnosti revizora uslužne organizacije; i

(b) adekvatnosti standarda temeljem kojih je izdano izvješće tipa 1 ili izvješće tipa 2. (Vidjeti točku A21.)

14. Ako revizor namjerava kao revizijski dokaz koristiti izvješće tipa 1 ili izvješće tipa 2, kako bi podržao svoje razumijevanje internih kontrola u uslužnoj organizaciji, revizor mora:

(a) ocijeniti je li opisivanje i oblikovanje kontrola u uslužnoj organizaciji prikazano na određeni datum ili za određeno razdoblje koje odgovara svrsi revizora korisnika;

(b) ocijeniti dostatnost i primjerenost dokaza iz izvješća za razumijevanje internih kontrola subjekta korisnika koje su relevantne za reviziju; i

(c) utvrditi jesu li komplementarne kontrole, identificirane od strane uslužne organizacije, relevantne za subjekta korisnika i, ako jesu, saznati je li subjekt korisnik oblikovao i implementirao takve kontrole. (Vidjeti točke A22-A23.)

Revizorova reakcija na procijenjeni rizik materijalno značajnih pogrešnih prikazivanja

15. Revizor mora kao odgovor na procijenjeni rizik, sukladno MRevS-u 330, učiniti sljedeće:

(a) utvrditi jesu li dostupni dostatni i primjereni revizijski dokazi u pogledu relevantnih tvrdnji iz financijskih izvještaja u evidencijama koje vodi korisnički subjekt; te ako nisu,

(b) obaviti daljnje revizijske postupke kako bi pribavio dostatne i primjerene revizijske dokaze ili koristiti rad drugog revizora da u njegovo ime obavi te postupke u uslužnoj organizaciji. (Vidjeti točke A24-A28.)

Testovi kontrola

16. Kad revizorova procjena rizika uključuje očekivanja da kontrole u uslužnoj organizaciji funkcioniraju učinkovito, revizor mora dokaze o učinkovitosti djelovanja tih kontrola pribaviti temeljem jednog ili više sljedećih postupaka:

(a) korištenjem izvješća tipa 2, ako je raspoloživ;

(b) izvođenjem primjerenih testova kontrola u uslužnoj organizaciji; ili

(c) angažiranjem drugog revizora koji će u njegovo ime provesti testove kontrola u uslužnoj organizaciji. (Vidjeti točke A29 – A30.)

Uporaba izvješća tipa 2 kao dokaza da su kontrole u uslužnoj organizaciji učinkovite

17. Ako, u skladu s točkom 16(a), revizor planira koristiti izvješće tipa 2 kao dokaz da su kontrole u uslužnoj organizaciji učinkovite, revizor mora u svrhu potvrde svoje procjene rizika utvrditi osigurava li izvještaj revizora uslužne organizacije dostatne i primjerene revizijske dokaze o učinkovitosti djelovanja tih kontrola:

(a) ocjenjivanjem jesu li opis, oblikovanje i učinkovitost djelovanja kontrola u uslužnoj organizaciji određeni na datum ili za razdoblje koje je prikladno za svrhu revizije;

(b) utvrđivanjem jesu li komplementarne kontrole subjekta korisnika, koje su identificirane od strane uslužne organizacije, relevantne za subjekta korisnika i ako jesu, stjecanjem razumijevanja o tome je li subjekt implementirao takve kontrole i ako je, testiranjem učinkovitosti njihova djelovanja;

(c) ocjenjivanjem adekvatnosti razdoblja pokrivenog testovima kontrola, kao i vremena proteklog od izvođenja testova kontrola; i

(d) ocjenjivanjem jesu li testovi kontrola provedeni od strane revizora uslužne organizacije, kao i nalazi navedeni u njegovom izvješću, relevantni za tvrdnje u financijskim izvještajima subjekta korisnika i osiguravaju li dostatne i primjerene revizijske dokaze koji podržavaju revizorovu procjenu rizika. (Vidjeti točke A31-A39.)

Izvješće tipa 1 i izvješće tipa 2 koja isključuju usluge poduslužnih organizacija

18. Ako revizor namjerava koristiti izvješće tipa 1 ili izvješće tipa 2 koje isključuje usluge izvršene od strane poduslužnih organizacija i ako su te usluge relevantne za reviziju financijskih izvještaja subjekta, revizor mora primijeniti odredbe ovog MRevS-a na usluge izvršene od strane poduslužne organizacije. (Vidjeti točku A40.)

Prijevare, neusklađenost sa zakonima i neispravljena pogrešna prikazivanja u odnosu na aktivnosti uslužne organizacije

19. Revizor mora postaviti upit menadžmentu o tome je li ih uslužna organizacija izvijestila, odnosno jesu li na neki drugi način postali svjesni postojanja prijevara, neusklađenosti sa zakonima ili postojanja značajnih pogrešnih prikazivanja koji utječu na financijske izvještaje subjekta – korisnika. U takvim situacijama revizor mora ocijeniti kako takve situacije utječu na vrste, vremenski raspored i opseg daljnjih revizijskih postupaka, uključujući utjecaj na revizorove zaključke i izvještaj. (Vidjeti točku A41.)

Izvješćivanje od strane korisnikovog revizora

20. Ako korisnikov revizor nije mogao pribaviti dostatne i primjerene revizijske dokaze vezane uz usluge primljene od uslužne organizacije, a koji su relevantni za reviziju financijskih izvještaja subjekta, korisnikov revizor mora u revizorskom izvješću iskazati modificirano mišljenje sukladno odredbama MRevS-a 705 (izmijenjen)[265](MRevS 705, Modifikacije mišljenja u izvješću neovisnog revizora, točka 6.). (Vidjeti točku A42.)

21. Prilikom izražavanja nemodificiranog mišljenja, korisnikov revizor ne smije se pozivati na rad revizora uslužne organizacije, osim ako je to zahtijevano zakonskim propisima ili regulativom. Ako je takvo pozivanje zakonom ili regulativom ipak zahtijevano, u izvješću korisnikovog revizora mora se navesti da to ne umanjuje njegovu odgovornost za izraženo mišljenje. (Vidjeti točku A43.)

22. Ako je pozivanje na rad revizora uslužne organizacije relevantno za razumijevanje modificiranog mišljenja korisnikovog revizora, u izvješću korisnikovog revizora mora se navesti da to ne umanjuje njegovu odgovornost za izraženo mišljenje. (Vidjeti točku A44.)

* * *

Materijal za primjenu i ostali materijali s objašnjenjima

Razumijevanje sadržaja usluga koje pruža uslužna organizacija, uključujući i interne kontrole

Izvori informacija (Vidjeti točku 9)

A1. Informacije o sadržaju usluga pruženih od strane uslužne organizacije mogu se dobiti iz raznih izvora kao što su, primjerice:

•     različiti priručnici;

•     prikazi sustava;

•     tehničke upute;

•     uvjeti ugovora ili sporazum o uslugama između subjekta korisnika i uslužne organizacije;

•     izvještaji uslužne organizacije, izvještaji službe interne revizije ili izvještaji regulativnog tijela o kontrolama u uslužnoj organizaciji; i

•     izvještaji revizora uslužne organizacije, uključujući pisma menadžmentu, ako su dostupni.

A2. Saznanja stečena iskustvom i suradnjom s uslužnom organizacijom, primjerice iskustva iz drugih revizijskih angažmana, također mogu pomoći u stjecanju razumijevanja sadržaja primljene usluge. To može osobito pomoći ako su usluge i kontrole takvih usluga u uslužnoj organizaciji visoko standardizirane.

Vrste usluga koje pruža uslužna organizacija (Vidjeti točku 9(a))

A3. Subjekt može koristiti rad uslužne organizacije kao što su to, primjerice, usluge vezane uz izvođenje određenih transakcija, održavanje i s tim povezane odgovornosti ili usluge bilježenja transakcija i obrade podataka. Uslužne organizacije koje osiguravaju takve usluge uključuju, na primjer, bankovne zaklade koje investiraju sredstva mirovinskog osiguranja, usluge vezane uz hipotekarne poslove, kao i aplikacije različitih servisnih providera koje osiguravaju softverske pakete za potrebe elektroničkog poslovanja.

A4. Primjeri usluga koje su relevantne za reviziju uključuju:

•     vođenje poslovnih knjiga;

•     upravljanje imovinom; i

•     iniciranje, bilježenje ili obradu transakcija u svojstvu agenta subjekta korisnika.

Razmatranja specifična za male poslovne subjekte

A5. Mali poduzetnici mogu koristiti vanjske knjigovodstvene usluge u rasponu od obrade određenih transakcija (na primjer, plaćanje poreza na plaće) i vođenja poslovnih knjiga do izrade financijskih izvještaja. Korištenje takvih usluga uslužne organizacije ne umanjuje odgovornost menadžmenta za sastavljanje financijskih izvještaja.[266](MRevS 200, Opći ciljevi neovisnog revizora i obavljanje revizije u skladu s Međunarodnim revizijskim standardima, točka 4 i točke A4-A5.)

Vrste i značajnost transakcija obavljenih od strane uslužne organizacije (Vidjeti točku 9(b))

A6. Uslužna organizacija može uspostaviti politike i postupke koji utječu na interne kontrole subjekta korisnika. Takve politike i postupci su fizički i operativno odvojeni od subjekta. Značajnost kontrola kod uslužne organizacije za kontrole subjekta korisnika ovisi o vrstama usluge koje pruža uslužna organizacija te o vrsti i značajnosti obrađene transakcije za subjekt. U određenim situacijama, obavljene transakcije od strane uslužne organizacije kao i račun na koji utječu, ne moraju biti značajni za financijske izvještaje subjekta, no vrsta obavljene transakcije može biti značajna. U takvim okolnostima korisnikov revizor može odrediti da je potrebno razumijevanje tih kontrola.

Stupanj interakcije između aktivnosti uslužne organizacije i aktivnosti subjekta (Vidjeti točku 9(c))

A7. Značajnost kontrola uslužne organizacije za kontrole subjekta korisnika također ovisi o stupnju interakcija između aktivnosti subjekta i aktivnosti uslužne organizacije. Stupanj interakcije odnosi se na opseg u kojem subjekt korisnik može izabrati i implementirati učinkovite kontrole nad uslugama uslužne organizacije. Na primjer, visoki stupanj interakcije između aktivnosti subjekta i aktivnosti uslužne organizacije postoji kad subjekt korisnik autorizira transakcije, a uslužna organizacija ih izvršava i za te transakcije vodi računovodstvo. U tim okolnostima, može biti praktično da subjekt korisnik implementira učinkovite kontrole nad tim transakcijama. S druge strane, kad uslužna organizacija inicira ili inicijalno bilježi, izvršava i vodi računovodstvo za transakcije subjekta, postoji manji stupanj interakcija između ove dvije organizacije. U tim okolnostima subjekt korisnik možda neće moći ili može odlučiti ne implementirati učinkovite kontrole nad tim transakcijama te će se pouzdati u kontrole u uslužnoj organizaciji.

Sadržaj odnosa između subjekta i uslužne organizacije (Vidjeti točku 9(d))

A8. Ugovor ili sporazum o uslugama između subjekta i uslužne organizacije može pokrivati pitanja kao što su:

•     informacije koje će biti pružene subjektu korisniku i odgovornost za iniciranje transakcija koje se odnose na aktivnosti koje poduzima uslužna organizacija;

•     primjena zahtjeva regulativnih tijela u pogledu načina održavanja i čuvanja zapisa ili pristupa njima;

•     naknada štete, ako postoji, koje pripada subjektu korisniku ako izvršenje posla ne uspije;

•     hoće li uslužna organizacija osigurati izvještaj o svojim kontrolama, i ako da, hoće li će to biti izvješće tipa 1 ili izvješće tipa 2;

•     ima li korisnikov revizor pravo pristupa poslovnim knjigama subjekta korisnika koje vodi i održava uslužna organizacija, kao i drugim informacijama potrebnim za obavljanje revizije; i

•     dopušta li sporazum izravnu komunikaciju između revizora subjekta korisnika i revizora uslužne organizacije.

A9. Postoji izravni odnos između uslužne organizacije i subjekta korisnika, kao i između uslužne organizacije i revizora uslužne organizacije. Taj odnos ne znači nužno postojanje izravnog odnosa između revizora subjekta i revizora uslužne organizacije. Kad ne postoji izravan odnos između ova dva revizora, komunikacija između revizora subjekta korisnika i revizora uslužne organizacije uobičajeno se obavlja uz pomoć subjekta korisnika i uslužne organizacije. Izravan odnos između revizora subjekta korisnika i revizora uslužne organizacije također može biti uspostavljen, uzimajući u obzir relevantna razmatranja vezana uz etiku i povjerljivost. Revizor uslužne organizacije može po ovlaštenju revizora subjekta korisnika obavljati postupke kao što su, na primjer:

(a) testovi kontrola u uslužnoj organizaciji; i

(b) dokazni postupci na prometima i stanjima u financijskim izvještajima subjekta koje je obradila uslužna organizacija.

Razmatranja specifična za subjekte javnog sektora

A10. Revizori javnog sektora uobičajeno imaju zakonom utvrđena veća prava pristupa. Međutim, mogu postojati i situacije gdje takva prava pristupa ne postoje, na primjer, kad se uslužna organizacija nalazi u drugoj jurisdikciji. U takvim slučajevima, revizor javnog sektora mora provjeriti može li sukladno toj jurisdikciji dobiti pravo pristupa. Revizor javnog sektora također može pribaviti pravo pristupa ili zatražiti od subjekta da u ugovor između subjekta korisnika i uslužne organizacije unese odredbu o pravu pristupa.

A11. Revizor javnog sektora također može koristiti rad drugog revizora radi obavljanja testova kontrola ili dokaznih postupaka vezano uz pitanja usklađenosti sa zakonom ili drugom regulativom.

Razumijevanje kontrola povezanih s uslugama koje pruža uslužna organizacija (Vidjeti točku 10)

A12. Subjekt korisnik može uspostaviti kontrole nad uslugama koje pruža uslužna organizacija koje mogu biti testirane od strane revizora subjekta korisnika što može omogućiti subjektu korisniku donošenje zaključka o tome da kontrole subjekta korisnika djeluju učinkovito za neke ili za sve odnosne tvrdnje, bez obzira na kontrole kod uslužne organizacije. Ako subjekt korisnik, primjerice, koristi uslužnu organizaciju za izvršenje usluga plaćanja, subjekt može uspostaviti kontrole nad podnošenjem i primitkom informacija koje se odnose na plaće radnika koje mogu spriječiti ili detektirati značajna pogrešna prikazivanja. Te kontrole mogu uključiti:

•     usporedbu podataka podnesenih uslužnoj organizaciji s izvješćima o informacijama primljenim od uslužne organizacije; i

•     ponovno izračunavanje iznosa plaća na određenom uzorku radi provjere njihove točnosti, kao i pregled ukupnog iznosa plaća radi utvrđivanja razumnosti.

A13. U ovoj situaciji, revizor može obaviti testove kontrola nad obradom plaća radnika koji onda mogu osigurati osnovu za zaključivanje da kontrole subjekta korisnika djeluju učinkovito za tvrdnje koje su povezane s transakcijama plaća radnika.

A14. Kao što je navedeno u MRevS-u 315 (izmijenjen) [267](MRevS 315 (izmijenjen), točka 30.), u odnosu na određene rizike, revizor može prosuditi da nije moguće dobiti dostatne i primjerene revizijske dokaze samo kroz dokazne postupke. Takvi rizici mogu biti povezani s netočnim ili nepotpunim bilježenjem rutinskih i značajnih klasa transakcija i stanja računa, čija obilježja dopuštaju visoko automatizirano obrađivanje bez udjela ili s vrlo malim udjelom ručnih radnji. Takva obilježja automatiziranih procesa mogu osobito postojati kad subjekt korisnik koristi usluge uslužne organizacije. U takvim slučajevima, kontrole subjekta korisnika vezane uz takav rizik su relevantne za reviziju i stoga se od revizora zahtijeva pribavljanje razumijevanja o tome te ocjena takvih kontrole u skladu s točkama 9 i 10 ovog MRevS-a.

Daljnji postupci koje je potrebno obaviti kad se od subjekta korisnika ne može steći dostatno razumijevanje (Vidjeti točku 12)

A15. Na odluku korisnikovog revizora o daljnjim postupcima, pojedinačno ili u kombinaciji s odredbama iz točke 12, koji su potrebni za identificiranje i procjenu rizika značajnih pogrešnih prikazivanja vezano uz usluge uslužne organizacije, može utjecati:

•     veličina subjekta, kao i veličina uslužne organizacije;

•     kompleksnost transakcija subjekta korisnika i kompleksnost usluga izvršenih od strane uslužne organizacije;

•     lokacija uslužne organizacije (na primjer, revizor može odlučiti koristiti rad drugog revizora za obavljanje postupaka u uslužnoj organizaciji ako je ta organizacija na udaljenoj lokaciji);

•     očekuje li se od postupaka omogućavanje učinkovitog pribavljanja dostatnih i primjerenih revizijskih dokaza; i

•     vrsta odnosa između subjekta korisnika i uslužne organizacije

A16. Uslužna organizacija može angažirati svog revizora kako bi izvijestio o opisu i oblikovanju njezinih kontrola (izvješće tipa 1) ili o opisu i oblikovanju tih kontrola i učinkovitosti njihovog djelovanja (izvješće tipa 2). Izvješće tipa 1 ili izvješće tipa 2 može biti izdano prema Međunarodnim standardima o angažmanima s izražavanjem uvjerenja – MSIU 3402[268](MSIU 3402, Izvješća s mišljenjem o kontrolama kod uslužne organizacije) ili prema standardima donesenim od strane nadležnih i priznatih tijela koja donose standarde (koja ih mogu nazvati različitim nazivima kao, na primjer, izvješće tipa A ili izvješće tipa B).

A17. Raspoloživost izvješća tipa 1 ili izvješća tipa 2 općenito će ovisiti o tome postoji li u ugovoru između subjekta i uslužne organizacije odredba o dostupnosti takvih izvješća. Uslužna organizacija također može iz praktičnih razloga odlučiti za svoje klijente sastaviti izvješće tipa 1 ili izvješće tipa 2. Međutim, u određenim slučajevima, takva izvješća ne moraju biti raspoloživa.

A18. U određenim okolnostima, subjekt korisnik može uslužnim organizacijama povjeriti izvođenje jedne ili više poslovnih funkcija kao što su to, na primjer, računovodstvo i financije, aktivnosti vezane uz poreze ili kontrolnu funkciju. Budući da izvješće o kontrolama u uslužnoj organizaciji ne mora biti raspoloživo u tim okolnostima, posjet uslužnoj organizaciji može za revizora biti najučinkovitiji način stjecanja potrebnih znanja o kontrolama u toj organizaciji jer će vjerojatno doći do izravne interakcije između menadžmenta subjekta korisnika s menadžmentom u uslužnoj organizaciji.

A19. Drugi revizor može biti korišten za obavljanje postupaka koji će osigurati potrebne informacije o relevantnim kontrolama u uslužnoj organizaciji. Ako je izdano izvješće tipa 1 ili izvješće tipa 2, revizor može koristiti rad revizora uslužne organizacije za obavljanje tih postupaka budući da revizor uslužne organizacije ima već uspostavljen odnos s uslužnom organizacijom. Revizor korisnika koji koristi rad drugog revizora može smatrati smjernice u MRevS-u 600[269](MRevS 600, Posebna razmatranja – Revizije financijskih izvještaja grupe (uključujući rad revizora komponente), točka 2, navodi: »Revizor može smatrati ovaj MRevS, prilagođen po potrebi u danim okolnostima, korisnim kad revizor uključuje druge revizora u reviziju financijskih izvještaja koji nisu financijski izvještaji grupe…« Vidjeti također točku 19 MRevS-a 600.) korisnima jer se odnose na razumijevanje angažmana drugog revizora (uključujući njegovu neovisnost i kompetentnost), na uključenost u rad drugog revizora prilikom planiranja vrste, vremenskog rasporeda i opsega takvog rada i ocjenjivanje dostatnosti i primjerenosti pribavljenih revizijskih dokaza.

A20. Subjekt korisnik može koristiti rad uslužne organizacije koja pak za usluge koje pruža subjektu (a koje su dio informacijskog sustava subjekta i koje su relevantne za reviziju) dalje koristi rad poduslužnih organizacija. Poduslužna organizacija može biti zasebni subjekt ili može biti povezana s uslužnom organizacijom. Revizor korisnika može trebati razmotriti kontrole u poduslužnoj organizaciji. U situacijama gdje su korištene usluge jedne ili više poduslužnih organizacija, interakcija između aktivnosti subjekta korisnika i uslužne organizacije proširuje se na interakciju između subjekta, uslužne i poduslužne organizacije. Stupanj te interakcije, kao i vrste i značajnost transakcija izvršenih od strane uslužne i poduslužne organizacije, su za revizora najvažniji čimbenici koje mora uzeti u obzir prilikom određivanja značajnosti kontrola uslužne i poduslužne organizacije za kontrole subjekta korisnika.

Korištenje izvješća tipa 1 i izvješća tipa 2 u svrhu razumijevanja uslužne organizacije (Vidjeti točke 13-14)

A21. Korisnikov revizor se o revizoru uslužne organizacije može raspitati kod njegove nadležne strukovne organizacije ili drugih stručnjaka te ispitati je li on podložan regulatornom nadzoru. Revizor uslužne organizacije može djelovati u jurisdikciji koja primjenjuje drugačije standarde za izvješća o kontrolama u uslužnoj organizaciji. U takvim slučajevima informacije o tim standardima korisnikov revizor može dobiti od organizacija, odnosno tijela koja takve standarde donose.

A22. Izvješće tipa 1 i izvješće tipa 2, zajedno s informacijama o subjektu, mogu pomoći korisnikovom revizoru u dobivanju spoznaja o:

(a) aspektima kontrole u uslužnoj organizaciji koji mogu utjecati na obradu transakcija subjekta, uključujući usluge poduslužnih organizacija;

(b) protoku značajnih transakcija kroz uslužnu organizaciju koji služi za određivanje točaka protoka transakcija gdje mogu nastati značajna pogrešna prikazivanja u financijskim izvještajima subjekta korisnika;

(c) kontrolnim ciljevima u uslužnoj organizaciji koji su relevantni za tvrdnje u financijskim izvještajima subjekta:

(d) o tome jesu li kontrole u uslužnoj organizaciji primjereno oblikovane i implementirane u svrhu sprječavanja i otkrivanja pogrešaka u obradi koje mogu rezultirati značajna pogrešna prikazivanja u financijskim izvještajima subjekta korisnika.

Izvješće tipa 1 ili izvješće tipa 2 može pomoći korisnikovom revizoru u stjecanju dostatnog razumijevanja za identificiranje i procjenu rizika značajnih pogrešnih prikazivanja. Izvješće tipa 1, međutim, ne osigurava dokaze o učinkovitosti djelovanja relevantnih kontrola.

A23. Izvješće tipa 1 ili izvješće tipa 2 sastavljeno na dan ili za razdoblje koje je drugačije od izvještajnog razdoblja subjekta može revizoru pomoći u dobivanju preliminarnih saznanja o implementiranim kontrolama u uslužnoj organizaciji, ako je to izvješće nadopunjeno ažuriranim informacijama iz drugih izvora. Ako je opis kontrola uslužne organizacije prikazan na datum ili za razdoblje koje prethodi početku razdoblja revizije, korisnikov revizor može obaviti postupke za ažuriranje informacija iz tih izvješća na način da:

•     raspravi o promjenama u uslužnoj organizaciji sa zaposlenicima subjekta koji mogu imati takva saznanja;

•     pregleda tekuću dokumentaciju ili korespondenciju koju je izdala uslužna organizacija; ili

•     raspravi promjene s osobljem uslužne organizacije.

Reakcija na procijenjeni rizik značajno pogrešnih prikazivanja (Vidjeti točku 15)

A24. U kojoj mjeri usluge uslužne organizacije povećavaju rizik značajnih pogrešnih prikazivanja ovisi o vrstama primljenih usluga i kontrolama nad tim uslugama. U određenim slučajevima, angažiranje uslužne organizacije može smanjiti rizik nastanka značajnih pogrešnih prikazivanja, osobito u situacijama kad subjekt ne posjeduje potrebno znanje za poduzimanje određenih aktivnosti, kao što su započinjanje, obrađivanje i evidentiranje transakcija ili nema prikladne resurse (na primjer, IT sustav).

A25. Kad uslužna organizacija brine o značajnim elementima poslovnih knjiga subjekta, korisnikovom revizoru može biti potreban izravan pristup tim knjigama kako bi prikupio dostatne i primjerene revizijske dokaze u pogledu djelovanja kontrola nad tim knjigama ili za podupiranje značajnih transakcija i stanja zabilježenih u njima ili oboje. Takav pristup može uključivati ili fizičku provjeru zapisa u poslovnom prostoru uslužne organizacije ili ispitivanje elektroničkih zapisa održavanih kod korisnika ili s druge lokacije ili oboje. U situacijama gdje je elektronički omogućen izravan pristup, revizor uslužne organizacije može time dobiti dokaze o prikladnosti kontrola koje je uslužna organizacija primijenila radi osiguranja potpunosti i osiguranja integriteta podataka subjekta korisnika za koje je ona odgovorna.

A26. Prilikom određivanja vrste i opsega revizijskih dokaza koje treba pribaviti u pogledu stanja koja predstavljaju imovinu kojom u ime subjekta gospodari uslužna organizacija ili transakcija koje je uslužna organizacija poduzela u ime subjekta, korisnikov revizor treba razmotriti primjenu sljedećih postupaka:

(a) Provjeravanje zapisa i dokumentacije koju subjekta korisnika; pouzdanost tih izvora dokaza određena je vrstom i opsegom poslovnih knjiga i pripadajućom dokumentacijom čuvanom od strane subjekta korisnika. U nekim slučajevima, subjekt ne mora voditi neovisne detaljne zapise ili dokumentaciju o specifičnim transakcijama poduzetim u njegovo ime.

(b) Provjeravanje zapisa i dokumenata uslužne organizacije; revizorov pristup poslovnim knjigama uslužne organizacije može biti uspostavljen ugovorom između subjekta korisnika i uslužne organizacije. Korisnikov revizor također može koristiti rad drugog revizora, koji će u njegovo ime dobiti pristup poslovnim knjigama subjekta korisnika koje vodi uslužna organizacija.

(c) Dobivanje konfirmacija o stanjima i transakcijama od uslužne organizacije; ako subjekt korisnik vodi evidenciju salda i transakcija, konfirmacija od strane uslužne organizacije koja potvrđuje te zapise subjekta može predstavljati pouzdan revizijski dokaz za postojanje odnosne imovine i transakcija. Na primjer, kad se koristi više usluga uslužnih organizacija kao, primjerice, usluge investicijskih menadžera i skrbnika, i kad te uslužne organizacije vode neovisne evidencije, revizor može potvrditi salda s tim organizacijama u cilju usporedbe informacija sa neovisnim evidencijama subjekta korisnika.

Ako subjekt korisnik ne vodi neovisne evidencije, informacije dobivene u konfirmaciji od uslužne organizacije samo su izvješće o tome što se nalazi u knjigama koje vodi uslužna organizacija. Zato takve konfirmacije, ako se ne uzimaju same za sebe, mogu činiti pouzdan revizijski dokaz. U takvim okolnostima, korisnikov revizor može razmotriti mogu li se naći alternativni izvori neovisnih dokaza.

(d) Izvođenje analitičkih postupaka nad knjigama koje vodi subjekt korisnik ili na izvješćima dobivenim od uslužne organizacije; učinkovitost analitičkih postupaka će vjerojatno varirati od tvrdnje do tvrdnje i na nju će utjecati opseg i detalji raspoloživih informacija.

A27. Drugi revizor može provesti dokazne postupke za revizora subjekta korisnika. Takav angažman može uključivati obavljanje postupaka od strane drugog revizora koji su dogovoreni od strane subjekta korisnika i njegovog revizora te s druge strane uslužne organizacije i njezinog revizora. Nalaze koji proizlaze iz postupaka koje je obavio drugi revizor treba pregledati revizor subjekta korisnika kako bi utvrdio sadrže li oni dostatne i primjerene revizijske dokaze. Povrh toga, mogu postojati zahtjevi koji su nametnuti od strane državnih tijela ili kroz ugovorne odredbe gdje revizor uslužne organizacije obavlja postupke koji su dokaznog karaktera. Rezultate primjene zahtijevanih postupaka na stanja i transakcije koje su obrađene od strane uslužne organizacije revizori korisnika mogu koristiti kao dio dokaza za argumentaciju svog mišljenja. U takvim okolnostima, za revizora subjekta korisnika, kao i za revizora uslužne organizacije, može biti korisno dogovoriti se, prije obavljanja tih postupaka, o revizijskoj dokumentaciji, odnosno pristupu dokumentaciji koja će biti dana revizoru korisnika.

A28. U određenim okolnostima, osobito kad subjekt korisnik povjerava izvođenje dijela ili svih svojih financijskih funkcija vanjskoj uslužnoj organizaciji, korisnikov revizor se može suočiti sa situacijom u kojoj se značajni dio revizijskih dokaza nalazi u uslužnoj organizaciji. Stoga će korisnikov revizor ili drugi revizor u njegovo ime možda trebati obaviti dokazne postupke u uslužnoj organizaciji. Revizor uslužne organizacije može osigurati izvješće tipa 2 ili dodatno, može izvesti dokazne postupke u ime revizora korisnika. Uključenost drugog revizora ne mijenja odgovornost revizora korisnika za pribavljanje dostatnih i primjerenih revizijskih dokaza koji će mu pružiti razumnu osnovu za podržavanje mišljenja korisnikovog revizora. U skladu s time, razmatranja korisnikovog revizora o tome jesu li pribavljeni dostatni i primjereni revizijski dokazi te treba li provesti daljnje dokazne postupke vezana su za uključenost tog revizora, ili dokaze o tome, u usmjeravanje, nadziranje i obavljanje dokaznih postupaka koje je obavio drugi revizor.

Testovi kontrola (Vidjeti točku 16)

A29. Od korisnikovog revizora MRevS 330[270](MRevS 330, točka 8.) zahtijeva oblikovanje i obavljanje testova kontrola radi dobivanja dostatnih i primjerenih revizijskih dokaza o učinkovitosti djelovanja relevantnih kontrola u određenim okolnostima. U kontekstu uslužne organizacije, taj se zahtjev primjenjuje kad:

(a) revizorova procjena rizika značajnih pogrešnih prikazivanja uključuje očekivanja da kontrole u uslužnoj organizaciji djeluju učinkovito (tj. revizor se namjerava osloniti na učinkovitost djelovanja kontrola u uslužnoj organizaciji u određivanju vrste, vremenskog rasporeda i opsega dokaznih postupaka); ili

(b) dokazni postupci sami za sebe ili u kombinaciji s testovima učinkovitosti djelovanja kontrola kod subjekta, ne mogu osigurati dostatne i primjerene revizijske dokaze na razini tvrdnje.

A30. Ako izvješće tipa 2 nije raspoloživo, korisnikov revizor može kontaktirati uslužnu organizaciju putem subjekta korisnika, kako bi zatražio da revizor uslužne organizacije bude angažiran za izdavanje izvješća tipa 2 koje uključuje testove učinkovitosti djelovanja relevantnih kontrola ili korisnikov revizor može koristiti rad drugog revizora za obavljanje postupaka u uslužnoj organizaciji koji testiraju učinkovitost djelovanja tih kontrola. Korisnikov revizor također može posjetiti uslužnu organizaciju i obaviti testove relevantnih kontrola ako se uslužna organizacija s time slaže. Procjena rizika korisnikovog revizora temelji se na kombinaciji dokaza osiguranih radom drugog revizora i njegovih vlastitih postupaka.

Uporaba izvješća tipa 2 kao revizijskog dokaza da su kontrole u uslužnoj organizaciji učinkovite (Vidjeti točku 17)

A31. Izvješće tipa 2 ima za cilj zadovoljiti potrebe više različitih revizora; zbog toga testovi kontrola opisani u izvještaju revizora uslužne organizacije ne moraju biti relevantni za tvrdnje značajne za financijske izvještaje subjekta. Relevantni testovi kontrola i rezultati se ocjenjuju kako bi se utvrdilo da izvješće revizora uslužne organizacije osigurava dostatne i primjerene revizijske dokaze o učinkovitosti djelovanja kontrola koji potkrjepljuju procjenu korisnikovog revizora. Pri tome korisnikov revizor može razmotriti sljedeće:

(a) razdoblje koje pokriva testove kontrola i vrijeme proteklo od provođenja testova kontrola;

(b) djelokrug rada revizora uslužne organizacije i pokrivenih usluga i procesa, testirane kontrole i testove koji su provedeni te način na koji su te kontrole povezane s kontrolama subjekta; i

(c) rezultate testova kontrola i mišljenje revizora uslužne organizacije o učinkovitosti djelovanja tih kontrola.

A32. Za potrebe određenih tvrdnji, kraći period pokriven specifičnim testovima i duže vrijeme proteklo od provođenja testova znače da testovi mogu osigurati manje revizijskih dokaza. Prilikom uspoređivanja razdoblja sadržanog u izvješću tipa 2 i izvještajnog razdoblja korisničkog subjekta, korisnikov revizor može zaključiti da izvješće tipa 2 nudi manje revizijskih dokaza ako postoji manje preklapanje između razdoblja prikazanog u izvješću tipa 2 i razdoblja na koje se korisnikov revizor namjerava osloniti u svom izvješću. Kad se pojavi takav slučaj, izvješće tipa 2 koje pokriva prethodni ili sljedeći period može osigurati dodatne revizijske dokaze. U drugim slučajevima, korisnikov revizor može utvrditi da je potrebno provesti testove kontrola u uslužnoj organizaciji radi dobivanja dostatnih i primjerenih revizijskih dokaza o učinkovitosti djelovanja tih kontrola. Revizor se pri tome može koristiti i radom drugog revizora.

A33. Također, može biti potrebno da korisnikov revizor dobije dodatne dokaze o značajnim promjenama relevantnih kontrola u uslužnoj organizaciji izvan razdoblja pokrivenog u izvješću tipa 2 ili da odredi dodatne revizijske postupke koje treba obaviti. Čimbenici koje treba uzeti u obzir prilikom određivanja dodatnih revizijskih dokaza o kontrolama u uslužnoj organizaciji, koje su se dogodile izvan razdoblja pokrivenog izvješćem tipa 2, uključuju:

•     značajnost procijenjenog rizika značajnih pogrešnih prikazivanja na razini tvrdnje;

•     specifične kontrole koje su testirane za vrijeme privremenih razdoblja i značajne promjene koje su se dogodile od vremena testiranja, uključujući promjene informacijskog sustava, procesa i osoblja;

•     stupanj u kojem su dobiveni revizijski dokazi o učinkovitosti djelovanja tih kontrola;

•     dužinu preostalog razdoblja;

•     opseg u kojem korisnikov revizor namjerava reducirati daljnje dokazne postupke temeljene na pouzdanosti kontrola; i

•     učinkovitost kontrolnog okruženja i monitoring kontrola kod subjekta.

A34. Dodatni revizijski dokazi mogu biti pribavljeni, na primjer, proširenim testovima kontrola nad preostalim razdobljima ili testiranjem monitoringa kontrola subjekta.

A35. Ako je razdoblje testiranja revizora uslužne organizacije potpuno izvan razdoblja financijskog izvještavanja korisničkog subjekta, korisnikov revizor se neće moći osloniti na takve testove kako bi donio zaključke o učinkovitosti djelovanja kontrola subjekta budući da one ne osiguravaju dokaz tekućeg revizijskog razdoblja, osim ako su provedene neke druge kontrole.

A36. U određenim okolnostima, usluge koje pruža uslužna organizacija mogu biti oblikovane uz pretpostavku da će subjekt implementirati određene kontrole. Na primjer, usluga može biti oblikovana uz pretpostavku da će korisnički subjekt imati kontrole za autorizaciju transakcija prije nego što budu proslijeđene uslužnoj organizaciji na daljnju obradu. U takvim situacijama, opis kontrola uslužne organizacije može uključivati opis takvih komplementarnih kontrola koje su postavljene od strane korisničkog subjekta. Korisnikov revizor razmatra jesu li te komplementarne kontrole relevantne za usluge koje su pružene korisničkom subjektu.

A37. Ako korisnikov revizor vjeruje da izvješće revizora uslužne organizacije ne osigurava dostatne i primjerene revizijske dokaze, na primjer, da izvješće ne sadrži opis testova kontrola revizora uslužne organizacije, kao ni nalaze tih testova, korisnikov revizor može dopuniti svoje razumijevanje postupaka i zaključaka revizora uslužne organizacije kontaktiranjem uslužne organizacije i postavljanjem zahtjeva za razgovorom s revizorom uslužne organizacije o djelokrugu i rezultatima rada revizora uslužne organizacije. Također, ako korisnikov revizor vjeruje da je potrebno, on može, putem subjekta, kontaktirati uslužnu organizaciju i postaviti zahtjev da revizor uslužne organizacije provede postupke u samoj uslužnoj organizaciji. Alternativno, revizor korisničkog subjekta ili neki drugi revizor na zahtjev korisnikovog revizora može provesti takve postupke.

A38. Izvješće revizora uslužne organizacije tipa 2 navodi rezultate testova, uključujući izuzetke i druge informacije koji mogu utjecati na zaključke korisnikovog revizora. Iznimke zabilježene od strane revizora uslužne organizacije ili modificirano mišljenje u izvješću tipa 2 ne znače automatski da to izvješće neće biti korisno za reviziju financijskih izvještaja subjekta u procjenjivanju rizika značajnih pogrešnih prikazivanja. Štoviše, korisnikov revizor u procjeni testova kontrola obavljenih od strane revizora uslužne organizacije razmatra i iznimke i pitanja koji uzrokuju modificirano mišljenje u izvješću tipa 2. Prilikom razmatranja iznimaka i pitanja koji uzrokuju modificirano mišljenje, korisnikov revizor može raspraviti ta pitanja s revizorom uslužne organizacije. Ta komunikacija ovisi o kontaktu korisničkog subjekta i uslužne organizacije, kao i odobrenju uslužne organizacije za takav način komunikacije.

Izvještavanje o nedostacima internih kontrola utvrđenih revizijom

A39. Od korisnikovog revizora se zahtijeva da pravovremeno[271](MRevS 265, Priopćavanje nedostataka u internim kontrolama onima koji su zaduženi za upravljanje i menadžmentu, točke 9-10.) izvještava pismeno o značajnim nedostacima utvrđenim za vrijeme obavljanja revizije kako menadžmentu, tako i onima koji su zaduženi za upravljanje. Od revizora se također zahtijeva da pravovremeno izvještava menadžment o ostalim nedostacima internih kontrola koji su uočeni za vrijeme obavljanja revizije i koji zahtijevaju pozornost menadžmenta[272](MRevS 265, točka 10.) sukladno profesionalnoj prosudbi revizora. Pitanja koja korisnikov revizor može utvrditi u procesu revizije i o kojima može komunicirati s upravom i menadžmentom uključuju:

•     monitoring kontrola koje bi mogle biti implementirane od strane korisničkog subjekta, uključujući one prepoznate kao rezultat dobivanja izvješća tipa 1 ili izvješća tipa 2;

•     primjere komplementarnih kontrola subjekta koje su zabilježene u izvješću tipa 1 ili izvješću tipa 2, ali nisu implementirane u korisničkom subjektu; i

•     kontrole koje mogu biti potrebne u uslužnoj organizaciji, a koje do sada nisu postojale ili koje nisu specifično pokrivene izvješćem tipa 2.

Izvješće tipa 1 i izvješće tipa 2 koji isključuju usluge poduslužne organizacije (Vidjeti točku 18)

A40. Ako uslužna organizacija koristi usluge poduslužne organizacije, izvješće revizora uslužne organizacije može ili uključiti ili isključiti relevantne kontrolne ciljeve i kontrole poduslužne organizacije u opisu sustava uslužne organizacije i područja rada revizora uslužne organizacije. Te dvije metode izvješćivanja poznate su kao metoda uključivanja i metoda isključivanja (op. prev. eng. inclusive method; carve-out method). Ako izvješće tipa 1 ili tipa 2 isključuje kontrole u poduslužnoj organizaciji, a usluge poduslužne organizacije su relevantne za reviziju financijskih izvještaja subjekta, od korisnikovog revizora se zahtijeva da primjeni zahtjeve ovog MRevS-a i na poduslužne organizacije. Vrsta i opseg posla koji će revizor obaviti u pogledu usluga primljenih od strane poduslužne organizacije ovise o sadržaju i značajnosti tih usluga za poslovanje korisničkog subjekta, kao i o relevantnosti tih usluga za reviziju. Primjena zahtjeva iz točke 9 pomaže korisnikovom revizoru u određivanju učinka poduslužne organizacije te vrste i opsega posla koji treba obaviti.

Prijevara, neusklađenost sa zakonima i drugom regulativom i neispravljene značajne pogreške u vezi s aktivnostima u uslužnoj organizaciji (Vidjeti točku 19)

A41. Od uslužne se organizacije može zahtijevati da, sukladno uvjetima ugovora, objavi uključenost subjekta u bilo kakve prijevare, neusklađenost sa zakonima i drugom regulativom ili postojanje neispravljenih pogrešnih prikazivanja koja se mogu pripisati menadžmentu ili zaposlenicima uslužne organizacije. Kao što je zahtijevano u točki 19, korisnikov revizor postavlja upite menadžmentu subjekta o tome je li uslužna organizacija izvijestila o postojanju bilo kakvih takvih slučajeva i procjenjuje utječe li to na vrstu, vremenski raspored i opseg daljnjih revizijskih postupaka korisnikovog revizora. U određenim okolnostima, korisnikov revizor može zahtijevati dodatne informacije za obavljanje te ocjene te može tražiti od subjekta da kontaktira uslužnu organizaciju radi dobivanja potrebnih informacija.

Izvješćivanje korisnikovog revizora (Vidjeti točku 20)

A42. Ograničenje opsega revizije postoji u slučaju kad korisnikov revizor ne može dobiti dostatne i primjerene revizijske dokaze u pogledu usluga koje je izvršila uslužna organizacija, a koji su relevantni za reviziju financijskih izvještaja korisničkog subjekta. To može biti u sljedećim slučajevima:

•     korisnikov revizor ne može steći dostatno razumijevanja o uslugama koje je pružila uslužna organizacija te nema osnova za identificiranje i procjenu rizika značajnih pogrešnih prikazivanja;

•     procjena rizika korisnikovog revizora uključuje očekivanja da su kontrole u uslužnoj organizaciji učinkovite, a korisnikov revizor nije u mogućnosti pribaviti dostatne i primjerene revizijske dokaze o učinkovitosti djelovanja tih kontrola ili

•     dostatni i primjereni revizijski dokazi su raspoloživi jedino iz evidencija koje vodi uslužna organizacija, a korisnikov revizor nije u mogućnosti dobiti izravan pristup tim evidencijama.

Hoće li korisnikov revizor izraziti mišljenje s rezervom ili će se suzdržati od mišljenja po ovoj osnovi ovisit će o njegovom zaključku o tome jesu li mogući učinci na financijske izvještaje značajni ili prožimajući.

Pozivanje na rad revizora uslužne organizacije (Vidjeti točke 21-22)

A43. U određenim okolnostima, zakon ili druga regulativa može zahtijevati da se u izvješću korisnikovog revizora poziva na rad revizora uslužne organizacije, na primjer, za svrhu transparentnosti u javnom sektoru. U takvim okolnostima, korisnikov revizor može trebati pristanak revizora uslužne organizacije prije no što se pozove na njegov rad.

A44. Činjenica da subjekt korisnik koristi usluge uslužne organizacije ne mijenja odgovornost korisnikovog revizora definiranu u ovom MRevS-u da pribavi dostatne i primjerene revizijske dokaze koji mu mogu pružiti razumnu osnovu za izražavanje mišljenja. Zbog toga se korisnikov revizor prilikom izražavanja svog mišljenja ne poziva na izvješće revizora uslužne organizacije. Međutim, kad korisnikov revizor izražava modificirano mišljenje zbog modificiranog mišljenja u izvješću revizora uslužne organizacije, tada se, ako to pomaže u razumijevanju modificiranog mišljenja, korisnikov revizor može pozvati na izvješće revizora uslužne organizacije. U takvim okolnostima, prije uključivanja takve reference, korisnikov revizor može trebati pristanak revizora uslužne organizacije.