MediStore AS – ERP-migrering, SOC 1-rapport og internkontroll

Vurdering etter ISA 402. Vi kan bare basere oss på tjenesteorganisasjonens kontroller dersom kontrollene er relevante for revisjonen, rapporten dekker hele den perioden vi legger til grunn, og brukerorganisasjonens egne kompenserende kontroller fungerer. Her svikter alle tre forholdene delvis:

• Rapporten dekker til 30.09.2025. For oktober til desember må vi innhente en «bridge letter» fra tjenesteorganisasjonen selv, ikke fra ledelsen, eller utføre egne handlinger hos leverandøren.
• Unntaket i endringshåndteringen innebærer at kontrollen ikke har virket i hele perioden. Vi kan derfor ikke legge endringskontrollen til grunn, og må i stedet teste endringene manuelt, herunder endringene knyttet til migreringen og til deaktiveringen av treveisavstemmingen.
• CUEC-ene er ikke oppfylt: tilgangsgjennomgang ble bare gjort i Q1, og den daglige avstemmingen av grensesnittet er ikke dokumentert. Vi kan derfor ikke konkludere med at tilgangsstyringen eller grensesnittet har virket i perioden.

Konsekvens for revisjonsopplegget. Vi må øke omfanget av substanshandlinger: utvide stikkprøvene i innkjøp og salg, teste tilgangsrettigheter direkte i systemet, avstemme grensesnittet mot lagerbeholdning og regnskap, og kontrollere at det ikke er gjort uautoriserte endringer i masterdata. Vi bør også vurdere om tjenesteorganisasjonens revisor er uavhengig og kompetent, om beskrivelsen er fullstendig, og om det er andre kontroller vi må utføre selv. Konklusjonen og begrunnelsen for å ikke legge SOC 1-rapporten til grunn på enkelte områder må dokumenteres utførlig, slik at den er sporbar ved en senere tilsynskontroll.

Risikobilde. Uten treveisavstemming er det ingen kontroll som sikrer at betaling bare skjer mot mottatt vare og gyldig bestilling. Risikoen omfatter betaling for varer som ikke er mottatt, fiktive leverandører, duplikatbetalinger, endringer i leverandørens bankkontonummer og bevisste brudd på innkjøpsfullmaktene. Siden deaktiveringen skjedde i forbindelse med en systemmigrering og ble utført av ledelsen selv, må vi også vurdere risikoen for tilsidesettelse av interne kontroller etter ISA 240.

Revisjonshandlinger med dataanalyse. Vi bør analysere hele populasjonen på 1 900 fakturaer (84 MNOK) i stedet for et utvalg:

• identifisere duplikater på leverandør, beløp, fakturanummer og dato,
• finne fakturaer der bestiller og godkjenner er samme person,
• finne leverandører som er opprettet eller endret i perioden, og bankkontonummer som er endret like før betaling,
• identifisere runde beløp og fakturaer like under godkjenningsgrensen,
• avstemme betalingene mot mottaksregistreringer og lagerbevegelser.

I tillegg bør vi intervjue innkjøpssjef og økonomisjef, gjennomgå e-post om deaktiveringen for å forstå begrunnelsen, og kontrollere om det er gitt ettergodkjenning i ettertid.

Rapportering. Forholdet er en betydelig svakhet i internkontrollen og skal rapporteres skriftlig til styret etter ISA 265, med en konkret beskrivelse av risikoen, hvilke testresultater vi har, og anbefalte tiltak. Dersom analysene avdekker indikasjoner på misligheter, må vi utvide revisjonen, vurdere å trekke oss og vurdere rapporteringsplikt etter hvitvaskingsloven. Funnene må dokumenteres med populasjonsstørrelse, analyseteknikk og vurdering av hvilken betydning de har for revisjonskonklusjonen.

Varelager. Varelageret er normalt vesentlig for en netthandelsaktør, og manglende tellingsobservasjon er en klassisk utfordring etter ISA 501. Vi var ikke til stede ved 3PL-tellingen 31.12.2025, og selskapets egen telling ble gjort 28.12.2025 med 34 MNOK i bevegelser frem til årsskiftet. Vi må derfor:

• innhente skriftlig bekreftelse fra 3PL om beholdning per 31.12.2025, oppbevaringsvilkår og ansvar,
• vurdere om 3PLs kontroller er tilstrekkelige, eventuelt ved å innhente en rapport om interne kontroller,
• teste bevegelsene på 34 MNOK ved å avstemme innkjøp, salg og returer mot ordredata og lagerbevegelser,
• gjennomføre en kontrolltelling på et alternativt tidspunkt dersom vi fortsatt ikke har tilstrekkelig bevis.

Dersom vi ikke klarer å skaffe tilstrekkelig revisjonsbevis, må vi vurdere forbehold etter ISA 705. Er lageret vesentlig, kan begrensningen bli gjennomgripende.

Manuelle bilag. At 61 bilag er ført etter årsskiftet med dato 31.12.2025, er et rødt flagg for både avskjæring og tilsidesettelse av kontroller. Vi må teste alle 61 mot underliggende dokumentasjon og vurdere om de representerer reelle periodiseringer eller etterfølgende tilpasninger av resultatet. Vi bør også undersøke hvem som har ført dem, og om det er samme personer som godkjenner.

Konklusjon og dokumentasjon. Funnene må veies sammen: svekket kontrollmiljø, manglende tellingsobservasjon og etterfølgende manuelle bilag. Dersom vi ikke får tilstrekkelig bevis på vesentlige områder, må konklusjonen modifiseres. Arbeidspapirene må vise hvilke handlinger som er utført, hvilke bevis som er innhentet, og hvorfor bevisene er vurdert som tilstrekkelige eller ikke, slik at vurderingen er etterprøvbar i en senere kvalitetskontroll.