15. Аудитор обслуживающей организации должен определить, использовала ли обслуживающая организация соответствующие критерии при подготовке описания ее системы, при оценке надлежащего характера структуры средств контроля и, применительно к заключению второго типа, при оценке эффективности функционирования средств контроля.
16. При определении пригодности критериев для оценки подготовленного обслуживающей организацией описания ее системы аудитор обслуживающей организации должен установить, включают ли критерии как минимум следующее:
(a) отражает ли описание, каким образом была разработана и внедрена система обслуживающей организации, включая, если необходимо:
(i) виды предоставленных услуг, в том числе, если необходимо, виды обработанных операций;
(ii) процедуры, используемые в рамках как систем информационных технологий, так и неавтоматизированных систем, с помощью которых предоставляются услуги, включая, если необходимо, процедуры, посредством которых операции инициируются, учитываются, обрабатываются, корректируются по мере необходимости и переносятся в отчеты и другие информационные источники, подготавливаемые для организаций-пользователей;
(iii) соответствующие записи и подтверждающую информацию, включая, если необходимо, данные бухгалтерского учета, подтверждающую информацию и специальные счета, которые используются для инициирования, учета, обработки операций и включения их в отчеты; а также корректировку неправильных данных и процесс переноса в отчеты и другие информационные источники, подготавливаемые для организаций-пользователей;
(iv) как система обслуживающей организации учитывает значительные события и условия, не являющиеся операциями;
(v) процесс, используемый для подготовки заключения и другой информации для организаций-пользователей;
(vi) установленные цели внутреннего контроля и средства контроля, предназначенные для достижения этих целей;
(vii) дополнительные средства контроля в организации-пользователе, предусмотренные при разработке средств контроля;
(viii) другие аспекты контрольной среды обслуживающей организации, процесса оценки рисков, информационной системы (включая соответствующие бизнес-процессы) и информационного взаимодействия, контрольных действий и мониторинга средств контроля, применимые к предоставляемым услугам;
(b) применительно к заключению второго типа: содержит ли описание соответствующую информацию об изменениях в системе обслуживающей организации в течение периода, за который предоставляется описание;
(c) не содержит ли описание пропусков или искажений информации, касающейся области применения описываемой обслуживающей организацией ее системы, при этом признается, что описание готовится для целей удовлетворения общих потребностей широкого круга организаций-пользователей и их аудиторов и, следовательно, может не включать всех аспектов обслуживающей организацией ее системы, которые отдельная организация-пользователь и ее аудитор могут счесть важными в определенных условиях.
17. При определении пригодности критериев для оценки структуры средств контроля аудитор обслуживающей организации должен установить, включают ли критерии как минимум следующее:
(a) выявила ли обслуживающая организация риски, угрожающие достижению целей внутреннего контроля, которые были заявлены в описании ее системы;
(b) обеспечат ли средства контроля, указанные в описании (при их применении согласно описанию), разумную уверенность в том, что эти риски не препятствуют достижению заявленных целей внутреннего контроля.
18. При определении пригодности критериев для оценки операционной эффективности средств контроля в целях обеспечения разумной уверенности в том, что заявленные в описании цели внутреннего контроля будут достигнуты, аудитор обслуживающей организации должен установить, включают ли критерии как минимум последовательное применение средств контроля в течение всего указанного периода так, как это было предусмотрено при их разработке, а также определить, применялись ли ручные средства контроля лицами, имеющими соответствующую компетенцию и полномочия (см. пункты А13-А15).