8.2 Revisjonstyper og revisjonsprosessen

Mer enn å bla i bilag

Mange tror at en revisor bare sitter og blar gjennom bunker med bilag. Sannheten er at revisjon er en gjennomtenkt, systematisk prosess som starter lenge før det første bilaget åpnes. Den begynner med å forstå virksomheten og dens risikoer, og ender med en velbegrunnet konklusjon om regnskapets pålitelighet.

Ulike typer revisjon har ulike formål – noen kontrollerer regnskapet, andre om ressurser forvaltes klokt, og atter andre om IT-systemene er sikre. Men selve metodikken følger ofte de samme stegene.

I denne fortellingen skal vi skille mellom de ulike revisjonstypene, gå gjennom de fire fasene i revisjonsprosessen, og forstå hvordan begrepene vesentlighet og revisjonsbevis styrer hvor mye arbeid revisoren faktisk gjør.

Fire typer, fire faser

Det finnes flere typer revisjon. Finansiell revisjon, også kalt regnskapsrevisjon, er den vanligste og lovpålagte: en uavhengig kontroll av om årsregnskapet gir et rettvisende bilde, basert på de internasjonale revisjonsstandardene ISA. Forvaltningsrevisjon vurderer i stedet om ressurser forvaltes forsvarlig og effektivt – «får vi nok igjen for pengene?» – og er vanlig i offentlig sektor, utført av Riksrevisjonen og kommunerevisorer. Intern revisjon utføres av virksomhetens egne ansatte for å forbedre internkontroll og risikostyring, og rapporterer til styret. Og IT-revisjon kontrollerer IT-systemenes sikkerhet og dataintegritet, stadig viktigere når regnskapet er heldigitalt.

Selve revisjonsprosessen følger fire faser. I fase 1, planlegging, setter revisor seg inn i virksomheten og bransjen, identifiserer risikoer for vesentlige feil, fastsetter en vesentlighetsgrense, lager revisjonsplan og vurderer den interne kontrollen. I fase 2, gjennomføring – feltarbeidet – testes kontrollene, det gjøres substanshandlinger som detaljtest av transaksjoner og saldoer, analytiske rimelighetsvurderinger, innhenting av bekreftelser fra banker, kunder og leverandører, og observasjon av varetelling. I fase 3, avslutning, vurderes de samlede funnene, hendelser etter balansedagen gjennomgås, og det innhentes en fullstendighetserklæring fra ledelsen. Og i fase 4, rapportering, avgis revisjonsberetningen, sammen med et nummerert brev til ledelsen med detaljerte funn og anbefalinger.

Vesentlighet og bevis

Når revisoren skal avgjøre hvor mye den skal kontrollere, kommer to begreper i sentrum: vesentlighet og revisjonsbevis. Vesentlighet er en beløpsgrense som revisor fastsetter for å avgjøre om en feil er stor nok til å påvirke regnskapsbrukernes beslutninger. Feil under grensen regnes som uvesentlige og trenger ikke nødvendigvis å korrigeres. Grensen settes ved profesjonelt skjønn, ofte som en prosent av omsetning, resultat før skatt eller totalkapital.

La oss gjøre det konkret. Nordfjord AS har en omsetning på 50 millioner og et resultat før skatt på 5 millioner. Setter revisor vesentlighetsgrensen til 2 prosent av omsetningen, blir den $0{,}02 \times 50\,000\,000 = 1\,000\,000$ kroner. Det betyr at feil over én million regnes som vesentlige og må korrigeres eller omtales, mens mindre feil kan aksepteres enkeltvis – men revisor vurderer alltid summen av alle feil. Ofte settes en lavere arbeidsvesentlighet, for eksempel 75 prosent, altså 750 000, for å fange opp flere feil. Vanlige referansepunkter er 0,5–1 prosent av omsetning, 5–10 prosent av resultat før skatt, eller 1–2 prosent av totalkapital.

Konklusjonen må bygge på tilstrekkelig og hensiktsmessig revisjonsbevis. Jo høyere risiko for feil, desto mer bevis kreves. Bevis kan samles inn på mange måter: inspeksjon av dokumenter og eiendeler, observasjon av prosesser som varetelling, bekreftelser fra tredjeparter, etterberegning av matematikk, ny gjennomføring av kontroller, analytiske handlinger og forespørsler til ledelsen. Men ikke alt bevis er like sterkt. Et grunnleggende prinsipp er at ekstern bekreftelse er mer pålitelig enn intern dokumentasjon, og originalbilag er mer pålitelig enn kopier. En skriftlig bankbekreftelse fra en uavhengig tredjepart er derfor langt sterkere bevis enn en muntlig opplysning fra daglig leder, som jo kan være farget av egeninteresse. Hele dette arbeidet utføres etter de internasjonale ISA-standardene, fra ISA 315 om risikovurdering til ISA 700 om selve revisjonsberetningen.

Oppsummering

Vi har sett at revisjon er langt mer enn å bla i bilag. Det finnes flere typer: finansiell revisjon av regnskapet, forvaltningsrevisjon av ressursbruken, intern revisjon av internkontrollen, og IT-revisjon av systemene. Selve prosessen følger fire faser – planlegging, gjennomføring, avslutning og rapportering – fra å forstå virksomheten til å avgi revisjonsberetningen.

To begreper styrer arbeidsmengden. Vesentlighet er beløpsgrensen for når en feil betyr noe, slik vi regnet 1 million kroner for Nordfjord. Og revisjonsbevis må være tilstrekkelig og hensiktsmessig, der ekstern bekreftelse slår intern dokumentasjon og originaler slår kopier. Alt utføres etter de internasjonale ISA-standardene, slik at revisjonen blir like grundig og etterprøvbar overalt.