Оценка операционной эффективности (см. пункт 24)
А28. С точки зрения организации-пользователя или аудитора организации-пользователя, средство контроля функционирует эффективно, если в отдельности или в совокупности с другими средствами контроля оно обеспечивает разумную уверенность в том, что существенные искажения, вызванные недобросовестными действиями или ошибками, не допускаются или выявляются и устраняются. Обслуживающей организации или аудитору обслуживающей организации, однако, неизвестно об обстоятельствах отдельных организаций-пользователей, которые определяют, возникло ли в результате отклонения в функционировании средства контроля искажение, а если это произошло, то является ли оно существенным. Следовательно, с точки зрения аудитора обслуживающей организации, средство контроля функционирует эффективно, если в отдельности или в совокупности с другими средствами контроля оно обеспечивает разумную уверенность в том, что цели внутреннего контроля, заявленные в описании обслуживающей организации ее системы, достигнуты. Таким образом, обслуживающая организация или аудитор обслуживающей организации не в состоянии определить, приведет ли какое-либо отклонение, наблюдаемое в работе средства контроля, к существенному искажению с точки зрения отдельной организации-пользователя.
А29. Получение понимания в отношении средств контроля в объеме, достаточном для выражения мнения о надлежащем характере их структуры, не является достаточным доказательством их операционной эффективности, за исключением случаев применения автоматизированных систем, которые обеспечивают последовательное функционирование средств контроля таким образом, как предполагалось при их разработке и внедрении. Например, получение информации о внедрении ручного средства контроля на определенный момент не является доказательством его функционирования в другие периоды. Однако в силу последовательности, присущей обработке с помощью систем информационных технологий, выполнение процедур для определения структуры автоматизированных средств контроля и факта их внедрения может служить доказательством операционной эффективности таких средств контроля в зависимости от оценки и тестирования аудитором обслуживающей организации других средств контроля, например, средств контроля за внесением изменений в программы.
А30. Заключение второго типа, приемлемое для аудитора организации-пользователя, обычно охватывает период не менее шести месяцев. Если период составляет менее шести месяцев, аудитор обслуживающей организации может счесть целесообразным указать причины использования более короткого периода в заключении аудитора обслуживающей организации, обеспечивающем уверенность. Обстоятельства, которые могут привести к предоставлению заключения, охватывающего период менее шести месяцев, включают следующее: (а) аудитор обслуживающей организации был назначен незадолго до даты, на которую должно быть предоставлено заключение о системе внутреннего контроля, (b) срок работы обслуживающей организации (или определенной системы или приложения) составляет менее шести месяцев или (с) в системе внутреннего контроля были произведены значительные изменения, и нецелесообразно ждать шесть месяцев, чтобы выпустить заключение, или выпустить заключение, характеризующее систему по состоянию до и после изменений.
А31. Некоторые процедуры контроля, которые могут быть протестированы на более позднюю дату, могут не оставлять доказательств своего функционирования, и, следовательно, аудитор обслуживающей организации может счесть необходимым провести тестирование операционной эффективности таких процедур контроля в различные моменты в течение отчетного периода.
А32. Аудитор обслуживающей организации выражает мнение в отношении операционной эффективности средств контроля в течение каждого периода. Следовательно, для того, чтобы аудитор обслуживающей организации выразил свое мнение, необходимы достаточные надлежащие доказательства в отношении функционирования средств контроля в течение текущего периода. Информация об отклонениях, наблюдавшихся при выполнении предыдущих заданий, может, однако, привести к тому, что аудитор обслуживающей организации расширит объем тестирования в текущем периоде.
Тестирование средств косвенного контроля (см. пункт 25(b))
А33. В некоторых случаях может возникнуть необходимость получения доказательств в отношении эффективного функционирования средств косвенного контроля. Например, когда аудитор обслуживающей организации принимает решение провести тестирование эффективности проверки отчетов о расхождениях по продажам, превышающим установленные кредитные лимиты, такая проверка и последующие меры представляют собой средство контроля, которое имеет непосредственное значение для аудитора обслуживающей организации. Средства контроля за точностью информации, содержащейся в отчетах (например, общие средства контроля информационных технологий), квалифицируются как средства косвенного контроля.
А34. В силу последовательности, присущей обработке с помощью ИТ-систем, доказательства в отношении внедрения автоматизированного прикладного средства контроля, когда они рассматриваются в совокупности с доказательствами в отношении операционной эффективности общих средств контроля обслуживающей организации (в частности, контроля за внесением изменений), также могут представлять собой существенные доказательства их операционной эффективности.
Средства отбора элементов для тестирования (см. пункты 25(c), 27)
А35. Аудитор обслуживающей организации может использовать следующие средства отбора элементов для тестирования:
(a) выбор всех элементов (сплошная проверка). Этот способ может быть целесообразен для тестирования средств контроля, которые применяются редко, например, ежеквартально, или в случаях, когда доказательства в отношении применения средств контроля делают проверку эффективной на 100%;
(b) выбор конкретных элементов. Этот способ может быть целесообразен в случаях, когда сплошная проверка и выборка не будут эффективными, например, при тестировании средств контроля, которые не применяются достаточно часто, чтобы создать большую генеральную совокупность для выборки (например, средства контроля, которые применяются ежемесячно или еженедельно);
(c) выборка. Этот способ может быть целесообразен для тестирования средств контроля, которые применяются часто и единообразно и для которых имеются документальные доказательства их применения.
А36. Хотя выборочная проверка конкретных элементов часто является эффективным средством получения доказательств, она не представляет собой выборку. Результаты выполнения процедур в отношении выбранных таким образом элементов не могут быть распространены на всю генеральную совокупность, следовательно, выборочная проверка определенных элементов не является доказательством в отношении остальной части генеральной совокупности. Выборка же, напротив, предназначена для того, чтобы делать выводы в отношении всей генеральной совокупности на основании тестирования взятой из нее выборочной совокупности.