Forretningsanalyse, intern kontroll og IT-revisjon
Hva prøven tester
Denne delen tester forretningsforståelse og intern kontroll etter ISA 315: hvordan virksomheten tjenes, hvilke prosesser som er kritiske, og hvordan IT-systemer og generelle IT-kontroller påvirker revisjonsrisikoen.
Kjernekrav
- Forståelsen skal dekke bransje, regulatoriske forhold, forretningsmodell og interne kontroller.
- COSO-rammeverket brukes til å vurdere kontrollmiljø, risikovurdering, kontrollaktiviteter, informasjon og kommunikasjon samt oppfølging.
- Automatiserte kontroller kan ikke testes isolert; ITGC-er for tilgangsstyring, endringshåndtering og drift må vurderes.
- Dataanalyser gir bredere dekning, men krever validering av fullstendighet og nøyaktighet i datagrunnlaget.
Arbeidseksempel
Et selskap bokfører 90 % av omsetningen automatisk fra ordresystemet. Revisor vil teste at fakturering er fullstendig, men oppdager at utviklere har direkte tilgang til produksjonsdatabasen. Da kan ikke den automatiserte kontrollen alene gi bevis; revisor må utvide testingen av endringshåndtering og tilgang, og eventuelt teste dataintegriteten manuelt. Resonnementet er at en automatisert kontroll bare er pålitelig når ITGC-ene rundt den er effektive.
Fallgruver
- Å teste en automatisert kontroll uten å vurdere ITGC.
- Å bruke dataanalyse uten å kontrollere at dataene er komplette.
- Å beskrive forretningsmodellen som generell tekst uten å koble den til risiko.