mediafresh

Cyfrowa ewolucja środowiska rachunkowości 

Cyfryzacja rachunkowości, powszechne wdrażanie niezwykle złożonych systemów klasy ERP (Enterprise Resource Planning) oraz szybki rozwój systemów AI sprawiają, że audyt środowiska informatycznego nie jest już jedynie technicznym wsparciem dla głównego zespołu badającego, ale staje się integralnym i absolutnie kluczowym elementem całej procedury rewizyjnej. Biegły rewident stoi dziś przed koniecznością nie tylko formalnej oceny poprawności agregowanych danych liczbowych, ale przede wszystkim musi głęboko zrozumieć i przetestować mechanizmy systemowe, które te dane generują, na bieżąco przetwarzają, a ostatecznie raportują w księgach głównych i zestawieniach finansowych. Złożoność tych środowisk wymaga interdyscyplinarnego podejścia i włączenia do zespołów ekspertów posiadających specjalistyczną wiedzę.

KSB 315 (Zmieniony) jako odpowiedź na cyfrowe zmiany

Znaczenie audytu IT zostało mocno usankcjonowane poprzez zmieniony Krajowy Standard Badania 315. Standard ten, szeroko analizowany i promowany przez Polską Izbę Biegłych Rewidentów, wprowadził istotne zmiany w procedurach badania. Zgodnie z jego rygorystycznymi wytycznymi, na zespole badającym spoczywa obowiązek wnikliwej identyfikacji wszelkich aplikacji informatycznych, baz danych oraz powiązanej z nimi infrastruktury sprzętowej i sieciowej, które mają bezpośrednie lub pośrednie znaczenie dla szeroko pojętej sprawozdawczości finansowej podmiotu. Proces ten wymaga precyzyjnego mapowania kluczowych procesów biznesowych i identyfikacji tzw. ryzyk IT, czyli zagrożeń wynikających z samego faktu wykorzystywania zaawansowanych technologii. Błędne rozpoznanie tych ryzyk na wczesnym etapie planowania badania rodzi ryzyko błędnego oszacowania ogólnego ryzyka audytu. W praktyce oznacza to, że audytorzy muszą uzyskać przekonanie co do tego, czy środowisko IT klienta jest na tyle stabilne, bezpieczne i przewidywalne, aby można było bez obaw polegać na generowanych przez nie raportach, logach systemowych oraz wbudowanych automatycznych mechanizmach kontrolnych. 

Procedury badania środowiska IT

W metodyce audytu IT jako część procesu badania sprawozdań finansowych, rozróżniamy dwa główne obszary: ogólnych kontroli IT oraz kontroli aplikacyjnych. Ogólne kontrole IT to zbiór polityk, procedur i praktyk zarządczych, które mają zastosowanie do całego przekroju infrastruktury informatycznej organizacji. Obejmują one obszar zarządzania dostępami, gdzie audytorzy weryfikują architekturę uprawnień w systemach stosowanych przez badaną jednostkę, upewniając się, że nie dochodzi do konfliktu w przydzielonych uprawnieniach, a dostęp posiadają wyłącznie osoby do tego upoważnione. Drugim istotnym elementem jest zarządzanie zmianą, aby upewnić, że ryzyko wprowadzania nieautoryzowanych korekt jest zmniejszone do akceptowalnego poziomu. Istotne jest także zarządzanie operacjami IT, w tym polityki tworzenia kopii zapasowych i gwarantowania ciągłości działania. Skuteczność ogólnych kontroli IT jest warunkiem wstępnym, pozwalającym audytorowi na oparcie się na kontrolach aplikacyjnych. Te z kolei są zautomatyzowanymi algorytmami wbudowanymi w same systemy biznesowe, które autonomicznie weryfikują poprawność danych, na przykład wymuszając odpowiedni format wprowadzanych kwot czy dokonując wielostronnych uzgodnień dokumentów kosztowych bez ingerencji człowieka.

Wewnętrzne standardy jakości i wytyczne nadzorcze

Niezawodność procesu audytu informatycznego jest ściśle uzależniona od wewnętrznych regulacji obowiązujących w samych firmach audytorskich w postaci systemu zarządzania jakością. Taki system kompleksowo reguluje wykorzystanie zasobów technologicznych własnych firmy audytorskiej. Narzędzia informatyczne służące do przeprowadzania procedur analitycznych, takie jak zaawansowane oprogramowanie do ekstrakcji i analizy dużych zbiorów danych (Big Data Analytics), muszą podlegać ciągłej walidacji. Metodologie przeprowadzania badań zgodnie z obowiązującymi standardami powinny być adekwatne do złożoności systemów informatycznych badanych jednostek. Często skutkuje to zaangażowaniem certyfikowanych audytorów IT w celu minimalizacji ryzyka niewykrycia istotnych błędów ukrytych głęboko w systemach informatycznych.

Biegły rewident jako niezależny administrator danych osobowych

W dobie rygorystycznych przepisów o ochronie prywatności, przetwarzanie ogromnych wolumenów wrażliwych informacji z systemów IT klienta stanowi istotny obszar, w którym procesy badania powinny być odpowiednio dostosowane. Rola jaką spełnia biegły rewident nie pozwalała do końca określić jego statusu w świetle ustawy o ochronie danych osobowych. Zgodnie z interpretacją Urzędu Ochrony Danych Osobowych w odpowiedzi na intensywne starania Polskiej Izby Biegłych Rewidentów, biegli rewidenci oraz firmy audytorskie działają jako samodzielni administratorzy danych. Decyzja ta opierała się na niezależności biegłych rewidentów w stosunku do podmiotów badanych, braku związania poleceniami klienta w zakresie doboru metod badania oraz na ciążącym na nich obowiązku zachowania bezterminowej tajemnicy zawodowej i realizowania ustawowych obowiązków, w tym tych związanych z prawem do oceny celów i sposobów przetwarzania informacji.

Wyzwania w zakresie zabezpieczeń technicznych i organizacyjnych

Biegły rewident ponosi pełną odpowiedzialność za odpowiednie zarządzanie i chronienie dokumentacji pozyskiwanej w toku weryfikacji systemów finansowych. Stosowane są adekwatne zabezpieczeń chroniące przed nadużyciami. Bezpieczeństwo IT powinno obejmować obszary t.j. dopuszczanie do systemów wyłącznie uprawnionych osób, zapewnianie bezpiecznej komunikacji w sieciach teleinformatycznych, obronę przed nieuprawnionym dostępem do systemów informatycznych oraz integralność tychże systemów i zapisanych w nich danych.  Nakreślone ścisłe ramy prawne dają mocne podstawy do zachowania bezpieczeństwa danych co stanowi wyzwanie dla firm audytorskich, aby ujednolicić stosowane systemy i wprowadzić jasne wytyczne dla zespołów badających sprawozdania finansowe. Z tego powodu niezbędne jest współpraca ze specjalistami IT nie tylko pod kątem spełnienia wymogów określonych w standardach badania, lecz także w zakresie pozyskania przetwarzania i zabezpieczania danych dla celów wewnętrznych. W szczególności wynika to także z przepisów dotyczących tajemnicy zawodowej, która nakazuje biegłym rewidentom oraz firmom audytorskim zachowanie bezwzględnej i bezterminowej poufności w stosunki do wszelkich informacji zdobytych podczas realizacji usług. 

Wprowadzenie Krajowego Systemu e-Faktur to moment zwrotny dla polskich przedsiębiorców.

KSeF docelowo uporządkuje obieg faktur, które w momencie wysyłki są weryfikowane zarówno przez systemy Spółek, jak również przez sam KSeF. Poprzez automatyzację, redukuje on błędy i oszustwa oraz ułatwia prowadzenie biznesu.

Wdrażanie nowego systemu oznacza jednak pojawienie się wielu wyzwań dla Spółek.

Największym pozostaje element nowości, czyli spięcia swoich systemów z KSeF oraz zapoznania się z jego niuansami. Kolejną trudnością jest okres przejściowy trwający do końca 2026 roku. Zapewni on moment na przygotowanie się do pełnego funkcjonowania na nowym systemie. Będzie też okresem wzmożonej czujności, gdyż oznacza funkcjonowanie systemu na którym w pełni nie można będzie oprzeć obiegu dokumentów, mając na względzie fakt, iż niektóre podmioty wciąż będą na etapie wdrażania.

KSeF – system szybszy niż kurier

Jednym z największych pozytywów, które wprowadzić ma KSeF, jest szybkość obiegu faktur. Specyficzna procedura przesyłania danych związana z fakturami ustrukturyzowanymi, stanowi w swojej istocie znaczne przyspieszenia obiegu informacji, w szczególności w małych podmiotach, których obieg faktur nie jest do końca ujęty w formalne ramy. Zarządy firm będą mieć podgląd praktycznie w czasie rzeczywistym pod powstające zobowiązania wynikające z wcześniej zawartych kontraktów. Czas pokaże jak takie rozwiązanie wpłynie na realizację zasady memoriału oraz kompletności. Wykorzystanie KSeF może znacznie ułatwić zarówno prowadzenie jak i badanie ksiąg w tych właśnie aspektach.

Automatyzm a bezpieczeństwo obrotu gospodarczego

KSeF nie chroni przed fakturami wystawionymi w celu wyłudzenia środków od firm niemających odpowiednich procedur kontroli. Największym zagrożeniem pozostaje automatyzm importu danych z KSeF bez odpowiednich zabezpieczeń proceduralnych – istnieje ryzyko ujęcia w księgach rachunkowych celowo błędnie wystawionych dokumentów. Miesiąc po wprowadzeniu widzimy, że nawet największe firmy odkładają moment przejścia na KSeF i właśnie jednym z elementów hamulcowych jest wpięcie importu faktur nie w system księgowy lecz w system kontroli, tak, aby wykluczyć ujęcie w księgach rachunkowych dokumentu przed odpowiednią akceptacją.

Integralność ksiąg rachunkowych a nowe wymogi audytorskie

Z perspektywy audytorskiej, integralność ksiąg rachunkowych w dobie KSeF wymaga dostosowania procesów kontroli wewnętrznej. Tradycyjna weryfikacja faktur „post factum” jest już niewystarczająca. Przedsiębiorstwa muszą wdrożyć mechanizmy ciągłego monitorowania i uzgadniania (reconciliation) danych wewnętrznych z danymi dostępnymi bezpośrednio na serwerach Ministerstwa Finansów. Wszelkie rozbieżności między rejestrem zakupów a zasobami KSeF muszą być wyjaśniane w czasie rzeczywistym, aby uniknąć błędów w bilansie. Warto pamiętać, że zgodnie z wytycznymi dotyczącymi badania sprawozdań finansowych, luki w dokumentacji mogą zostać uznane za istotną słabość systemu kontroli, co bezpośrednio wpływa na ocenę ryzyka badania przez biegłego rewidenta.