Niedługo pojawią się pierwsze raporty po kontrolach firm audytorskich. Niewykluczone, że w niektórych przypadkach czynności mogą zakończyć się postępowaniami, m.in. dyscyplinarnymi - mówi dr Agnieszka Baklarz, dyrektor departamentu kontroli w Polskiej Agencji Nadzoru Audytowego
Polska Agencja Nadzoru Audytowego przejęła w tym roku kontrole firm audytorskich. Co więcej, w czasie epidemii mogą być prowadzone zdalnie. Jak można podsumować te kilka miesięcy kontroli zdalnych?
Kontrole zdalne powoli stają się dla nas pewnym standardem działania, bo są one zarówno bardziej efektywne dla nas, jak i bardziej przyjazne i bezpieczne dla kontrolowanych firm, które przecież również zdalnie badają teraz sprawozdania. Stąd znaczna większość firm godzi się na kontrole w trybie zdalnym – na kontrolę w siedzibie PANA nie zgodziła się na razie tylko jedna z 12 firm audytorskich badająca jednostki zaufania publicznego (np. spółki giełdowe).
Dlaczego firmy mogą mieć obiekcje co do zdalnej formy kontroli?
Istnieją dwa główne powody. Pierwszy, technologiczny, czyli brak odpowiedniej infrastruktury technicznej i umiejętności. Drugi powód jest mentalny. Kontrolowani wolą współpracować z żywym człowiekiem. O ile ten pierwszy powód jest rzeczywistą barierą, o tyle ta druga przeszkoda jest nieco iluzoryczna. W czasie kontroli naprawdę bardzo chcemy rozmawiać z firmą audytorską i tych rozmów jest bardzo dużo. Prowadzimy rozmowy na każdym etapie kontroli, tylko że przy wykorzystaniu narzędzi do komunikacji na odległość. W trakcie zdalnej kontroli firma może też swobodnie zadawać pytania o kwestie, które są nie do końca dla niej jasne. Bo przecież kontrole pełnią też funkcję edukacyjną.
Czy teraz, kiedy zostały zaostrzone obostrzenia ze względu na epidemię, kontrole tradycyjne będą przekładane?
Nie, kontrole nie będą przekładane. Mamy ustalony plan kontroli i powinniśmy go zrealizować do końca czerwca 2021 r..
W tym roku ma być skontrolowanych 248 podmiotów. Każdy z nich z pewnością chciałby wiedzieć, jak będzie przebiegał zdalny kontakt z PANA. Od czego zaczynacie?
Najpierw, zgodnie z art. 111 ust. 3 ustawy o 11 maja 2017r. o biegłych rewidentach, firmach audytorskich oraz nadzorze publicznym (tj. Dz.U. z 2020 r. poz. 1415), prosimy o przygotowanie i przesłanie dokumentów, które pozwalają nam zaplanować kontrolę. Cała ich lista jest podana na stronie agencji (www.pana.gov.pl w zakładce: Zadania nadzorcze PANA/kontrole). Wśród nich są m.in. procedery niezależności, informacje o firmie – m.in. liczbie pracowników i biegłych rewidentów – oraz o jej funkcjonowaniu. Dokładny katalog zależy od wielkości podmiotu audytorskiego i badanych przez niego jednostek.
Każda firma otrzymuje pismo z wyszczególnionymi dokumentami, które musi nam dostarczyć. Robimy to w formie pisemnej, bo na tym etapie nie mamy zgody na komunikację zdalną. Wtedy też pytamy o możliwość komunikacji drogą elektroniczną. Sama spółka może się z nami kontaktować w ten sposób od samego początku, jeżeli tylko posługuje się podpisem kwalifikowanym.
Warto podkreślić, że już na tym etapie pokazujemy, jakie obszary działalności firmy audytorskiej nas interesują i o co będziemy pytać podczas kontroli. Dzięki temu może się ona do tego przygotować i przemyśleć swoje odpowiedzi.
Jak te informacje wpływają na dalsze postępowanie PANA?
Celem tego etapu jest zapoznanie się z podmiotem i ustalenie, w jakich obszarach może on mieć problemy. Sprawdzamy też, w jakich badaniach dany podmiot się specjalizuje i dobieramy kontrolerów, którzy mają odpowiednie doświadczenie w tym zakresie. Sprawdzamy wówczas ich dostępność i możemy zaplanować termin dalszych działań.
Następnie wysyłamy do firmy audytorskiej kolejne pismo, w którym informujemy o zamiarze rozpoczęcia kontroli w okresie między 7 a 30 dniem od otrzymania tego zawiadomienia. Jednocześnie prosimy o zgodę na przeprowadzenie jej w siedzibie PANA, czyli zdalnie, oraz na dalszą komunikację w formie elektronicznej.
Jeżeli firma wie, czym będzie się interesował kontroler i jakie pytania zada, to czy nie zmniejsza to szans wykrycia istniejących nieprawidłowości?
Nie, bo podmiot audytorski wie tylko, że będziemy rozmawiać m.in. o systemie kontroli jakości i o niezależności, ale nie wie, o które akta z badania poprosimy, żeby potwierdzić sprawność działania systemu kontroli jakości.
Informację o wyborze akt do kontroli przekazujemy pierwszego dnia kontroli. W tym celu na podstawie informacji dostarczonych przez firmy audytorskie oraz innych informacji, jakie mamy z rynku, przeprowadzamy analizę ryzyka. Należy pamiętać, że wytyczne w tym zakresie są umieszczone w ustawie o biegłych rewidentach oraz w rozporządzeniu 537/2014.
Staramy się też tak dobrać akta, aby zweryfikować pracę jak największej liczby biegłych rewidentów pracujących w danej firmie lub z nią współpracujących. Jeżeli to się nie uda, bo czas kontroli jest ograniczony (w zależności od wielkości podmiotu od 12 do 48 dni robocze), to trzeba będzie to zrobić następnym razem, tak aby ostatecznie skontrolować pracę każdego audytora.
Jak PANA sobie radzi z problemem krótkiego czasu kontroli?
Zazwyczaj rozpoczynamy ją pod koniec tygodnia, głównie w piątek. Dzięki temu kontrolowana firma ma czas na przygotowanie dokumentów. Czasami prosimy bowiem o akta sprzed kilku lat, a te zazwyczaj nie są dostępne w formie elektronicznej. Trzeba dopiero je zdigitalizować.
Dokumenty trzeba jednak wysłać w bezpieczny sposób, aby nie dostały się w niepowołane ręce. Jak to jest zabezpieczone?
Na potrzeby kontroli PANA zabezpiecza specjalne dyski. Każda kontrolowana firma audytorska otrzymuje własny dostęp oraz własny szyfrowany kanał do przekazywania danych. Do takich informacji mają dostęp jedynie upoważnione osoby.
Oczywiście jeśli firma audytorska sobie życzy, może po prostu udostępnić nam własne dyski zabezpieczone przez siebie i wówczas my pobierzemy dokumentację na wydzielone do kontroli serwery.
Zdarzają się nieliczne przypadki, kiedy elementy dokumentacji są przekazywane po prostu na wydzielony do kontroli adres mailowy. Prosimy wówczas o szyfrowanie takich plików przed przesłaniem, zgodnie z instrukcją na naszej stronie, bądź w inny wybrany przez firmę audytorską sposób.
Wróćmy jednak do momentu, gdy kontrola się rozpoczyna. Gdy jest ona prowadzona stacjonarnie, nie ma wątpliwości, że spotykają się upoważnione do kontaktów osoby. Jak to jest w przypadku kontroli zdalnej?
Jednym z kanałów komunikacji zdalnej, często wykorzystywanym podczas kontroli online, są telekonferencje. Sprawdzany podmiot dostaje upoważnienie do przeprowadzenia kontroli podpisane przez prezesa PANA drogą mailową. Na upoważnieniu wskazane są wszystkie osoby, które ze strony PANA mogą przeprowadzić kontrolę. Na pierwszym zdalnym spotkaniu muszą się więc wylegitymować zarówno kontrolerzy, jak i osoby, które reprezentują badany podmiot.
Na samym początku ustalany jest też harmonogram spotkań na określone z góry tematy. Czasami osoba, która ma jakieś wątpliwości do przeczytanej dokumentacji, przesyła konkretne pytania przed taką telekonferencją lub – jeśli coś nie było jasne – również po spotkaniu.
Takie spotkania są nagrywane?
Tak, o ile kontrolowany podmiot się na to zgodzi. Wówczas takie nagrania są udostępniane badanemu podmiotowi.
Czy dotychczas któryś odmówił takiej zgody?
Tak, jedna firma audytorska odmówiła. Ale generalnie firmy wiedzą, że dzięki takiemu nagraniu kontrolowany podmiot ma taki sam komplet informacji z całego postępowania, jak ma PANA. Natomiast w przypadku zaistnienia jakichś wątpliwości, można wrócić do właściwych momentów na nagraniu.
Jak wygląda koniec kontroli?
Zanim wyślemy oficjalne zawiadomienie o zakończeniu kontroli, omawiamy z podmiotem, co stwierdziliśmy i co może się znaleźć w protokole. To jest jeszcze moment, w którym spółka może przedstawić wyjaśnienia, które mogą zmienić zdanie kontrolera.
Oczywiście nie jest tak, że w trakcie każdej kontroli wykrywamy jakieś nieprawidłowości.
Sporządzaliśmy już protokoły, w których wskazywaliśmy, że nie znaleźliśmy nieprawidłowości i nie mamy zastrzeżeń. Bywa jednak i tak, że uwag jest sporo.
Jakie problemy pojawiają się najczęściej?
Nie wszystkie czynności, które biegły rewident powinien wykonać w czasie badania sprawozdania finansowego, są właściwie udokumentowane. Czasami w ogóle brakuje potwierdzenia, że zostały one wykonane. Czasami z tego też powodu nie wiadomo, dlaczego audytor wydał taką, a nie inną opinię.
Wielokrotnie mieliśmy problemy z poziomami wyznaczanych istotności przez biegłego rewidenta. To determinuje dokładność, z jaką biegły będzie przeprowadzał badanie. Jeśli poziom istotności jest zbyt wysoki, to biegły uzna część błędów za nieistotną, a co za tym idzie, nie musi wystąpić o ich korektę.
Szczególnie teraz, ze względu na wysokie ryzyko oszustwa, zwracamy uwagę na poprawne udokumentowanie procedur potwierdzeń zewnętrznych. Tutaj też zauważamy pewne nieprawidłowości i brak zawodowego sceptycyzmu.
Czy w wyniku kontroli PANA jakaś firma audytorska została już ukarana?
Jeszcze jest na to za wcześnie. Ten etap bowiem następuje, gdy powstanie już raport z kontroli, czyli po sporządzeniu protokołu (na co mamy 30 dni roboczych), a kontrolowany podmiot odniesie się do zastrzeżeń w nim zawartych (na co ma 20 dni roboczych). PANA natomiast dopiero tworzy pierwsze raporty. W zależności od wagi nieprawidłowości, na jakie trafią kontrolerzy, raporty będą zawierały zalecenia pokontrolne, czyli informacje co firma powinna wdrożyć lub poprawić. Ale może się okazać, że w najbliższym czasie pojawią się także takie, w których wskażemy na konieczność rozpoczęcia postępowań, m.in. dyscyplinarnych lub administracyjnych. ©℗
