Analitika dnevnika i segregacija dužnosti u ERP sustavu
Maloprodaja d.o.o. ima 12 poslovnica i koristi ERP sustav s 15.000 stavki dnevnika za 2024. Revizor je izvukao sve stavke i primijenio analitiku: 420 stavki knjiženo je izvan radnog vremena (22:00–05:00) od strane tri korisnika; jedan korisnik ima ovlasti za šifriranje dobavljača i odobravanje plaćanja; 12 stavki ima okrugle iznose (50.000, 100.000, 200.000 HRK); 8 stavki je knjiženo s datumom 31. prosinca 2024., ali je u sustav uneseno 15. siječnja 2025. Izvještaj o izuzecima generirao je IT odjel, a parametri nisu dokumentirani; ukupna kontrola zbroja nije napravljena. Glavni računovođa otišao je u kolovozu, a kontrolni okvir je slab. Revizor planira koristiti izvještaj kao dokaz i proširiti testiranje na račune prihoda i rashoda.
1. Osmislite dodatne CAAT analitike i testove za ispitivanje rizika prijevare u dnevniku.
Read the worked answer
Testovi: (1) Potpunost i točnost ekstrakcije: usporediti broj zapisa i kontrolne zbrojeve s glavnom knjigom, provjeriti hash totale i rekonstruirati saldo. (2) Analiza korisnika: za svakog korisnika izračunati broj i vrijednost stavki, vrijeme knjiženja, tipove konta i kombinacije s dobavljačima; identificirati korisnika koji je mijenjao dobavljače i odobravao plaćanja. (3) Test 'vendor master to payment': pronaći dobavljače koje je kreirao taj korisnik i provjeriti je li ih isti korisnik odobrio za plaćanje; testirati bankovne račune i promjene. (4) Analiza okruglih iznosa i ponavljanja: izdvojiti okrugle iznose, duplikate faktura, iste iznose na različitim dobavljačima i stavke bez očitog poslovnog događaja. (5) Cut-off: za 8 stavki unesenih 15. siječnja s datumom 31. prosinca provjeriti izvorne dokumente i razdoblje nastanka; proširiti na sve stavke unesene nakon godine s datumom unutar godine. (6) Benfordova analiza na prihodima i rashodima može ukazati na anomalije, ali nije dokaz prijevare. Svaki izuzetak treba povezati s izvornim dokumentom i ispitati s osobom koja ga je knjižila.
2. Može li revizor koristiti izvještaj IT odjela kao dokaz? Koje postupke validacije mora provesti?
Read the worked answer
Analiza: Izvještaj je informacija koju je proizveo sustav (IPE). Prema ISA 500, revizor mora ocijeniti njegovu pouzdanost, odnosno potpunost i točnost. Parametri nisu dokumentirani, a kontrolni zbroj nije napravljen, što povećava rizik da izvještaj nije potpun ili da je filtriran. Postupci: (1) Pregledati upit ili logiku izvještaja i dokumentirati parametre (razdoblje, društva, konta, isključenja). (2) Reperforirati izvještaj iz izvornih podataka ili neovisnog izvora. (3) Usporediti ukupne iznose s glavnom knjigom i probnom bilansom. (4) Promatrati generiranje izvještaja ili ga generirati pod nadzorom revizora. (5) Provjeriti prava pristupa i mogućnost izmjene podataka. Ako pouzdanost nije zadovoljena, revizor ne smije koristiti izvještaj kao jedini dokaz; mora provesti alternativne postupke, npr. ponovno izvući podatke iz baze ili testirati izvorne dokumente. Zaključak se dokumentira.
3. Kako segregacija dužnosti i IT opće kontrole utječu na procjenu rizika i strategiju revizije?
Read the worked answer
Analiza: Korisnik koji može šifrirati dobavljača i odobriti plaćanje ima mogućnost kreirati fiktivnog dobavljača i isplatiti sredstva. To je kritičan nedostatak segregacije dužnosti i povećava rizik prijevare. Slab kontrolni okvir, odlazak glavnog računovođe i nedokumentirani parametri dodatno smanjuju pouzdanost kontrola. Procjena: kontrola rizik je visok; revizor se ne oslanja na kontrole. Strategija: povećati substantive testiranje, proširiti uzorke na plaćanja i nabavu, testirati promjene dobavljača i bankovnih računa, analizirati ručne dnevnike i provesti postupke prema ISA 240. Ako revizor otkrije prijevaru, mora je procijeniti i izvijestiti upravu i osobe zadužene za upravljanje. Preporuke upravi uključuju razdvajanje dužnosti, ograničenje prava, dokumentiranje parametara i uvođenje kontrolnih zbrojeva.