Externí audit účetní závěrky

Definice, účel a přidaná hodnota externího auditu

Externí audit je nezávislé ujištění poskytované kvalifikovaným auditorem o tom, že účetní závěrka a související informace věrně a poctivě zobrazují finanční situaci a výsledky hospodaření účetní jednotky v souladu s uplatněným rámcem finančního výkaznictví. Základním úkolem je zvýšit důvěryhodnost informací pro akcionáře, věřitele, regulátory a širší kapitálový trh, avšak audit zároveň přináší sekundární užitky v podobě zlepšení procesů, vnitřních kontrol a kvality dat.

Rámec a principy: standardy, etika a nezávislost

• Mezinárodní standardy auditu (ISA): definují postupy plánování, provedení a vykazování auditu (např. ISA 200 – celkové cíle, ISA 315 – identifikace a posouzení rizik, ISA 330 – reakce auditora na rizika, ISA 700 – zpráva auditora).
• Etika a nezávislost: etický kodex pro účetní a auditory (IESBA) vyžaduje integritu, objektivitu, profesionální způsobilost, mlčenlivost a profesionální chování. V praxi se řídí hrozbami (vlastnický zájem, sebekontrola, advokace, familiárnost, zastrašování) a přiměřenými zárukami (rotace partnera, oddělení týmů, přehledy nezávislosti).
• Řízení kvality: požadavky systémů řízení kvality v auditorských firmách (např. ISQM 1/2) – řízení rizik kvality, dohled a inspekce spisů (EQCR).

Rozsah a typy auditů

• Audit individuální účetní závěrky: základní mandát na úrovni jednotky.
• Audit konsolidované skupiny: koordinace práce komponentních auditorů, sladění významnosti a rizik (ISA 600).
• Zvláštní zakázky ujišťování: přehledné ujištění, dohodnuté postupy, ujišťování nefinančních informací (ISAE 3000, např. udržitelnost/ESG, skleníkové plyny – ISAE 3410).
• Forenzní a vyšetřovací práce: specifické na podezření z podvodu, nejsou náhradou finančního auditu.

Fáze externího auditu: od přijetí klienta po uzavření spisu

1. Přijetí a pokračování spolupráce: hodnocení integrity managementu, rizik angažovanosti, konfliktů zájmů a nezávislosti.
2. Plánování: porozumění podnikání, prostředí a vnitřnímu kontrolnímu systému; stanovení významnosti; identifikace a posouzení rizik významných zkreslení.
3. Návrh strategie a programu auditu: kombinace testů kontrol a věcných postupů (substantivní testy a analytika).
4. Realizace testů: shromažďování přiměřených a dostatečných důkazů, průběžná komunikace s vedením a orgány správy.
5. Uzávěr a vykazování: celkové vyhodnocení zkreslení, závěr o going concern, následné události, písemná vyjádření vedení, zpráva auditora a dopis pro management.

Významnost (materialita) a tolerovaná úroveň zkreslení

Významnost je práh, nad kterým by rozumný uživatel považoval zkreslení za důležité pro své rozhodování. Stanovuje se pro účely účetní závěrky jako celku a alokuje se na jednotlivé oblasti (výkonná významnost). Orientační benchmarky (příklad): 5–10 % zisku před zdaněním, 0,5–1 % tržeb, 1–2 % aktiv nebo vlastního kapitálu – dle kontextu a stability výsledků. Kromě kvantitativních faktorů se zohledňují i kvalitativní (porušení kovenantů, podvod, dopad na trendy).

Posuzování rizik a vnitřní kontrolní systém

• Model rizika auditu: AR = IR × CR × DR (inherentní × kontrolní × detekční riziko). Auditor upravuje detekční riziko rozsahem a povahou testů.
• Komponenty kontrol podle rámce COSO: kontrolní prostředí, posuzování rizik, kontrolní činnosti, informace a komunikace, monitoring.
• Kritické procesy: výnosy, zásoby, dlouhodobý majetek (odpisy/impairment), finanční nástroje (oceňování), rezervy a závazky, příjmy a hotovost.

Podvod a neúmyslné chyby: profesionální skepticismus

Auditor plánuje a provádí audit s vědomím, že existuje riziko podvodu (ISA 240). Hodnotí trojúhelník podvodu (motivace, příležitost, racionalizace), provádí brainstorming rizik, zaměřuje postupy na manipulaci výnosů, fiktivní obchodní případy, management override a zneužití odhadů. Profesionální skepticismus znamená kritické hodnocení důkazů, nikoli nedůvěru za každou cenu.

Auditorské důkazy: povaha, zdroj, spolehlivost

Analytické postupy a data analytics

• V plánování: high-level analýza trendů, poměrů, sezónnosti a anomálií.
• Substantivní analytika: přesně formulovaná očekávání (např. výnosy = počet jednotek × průměrná cena), kvantifikace přijatelných odchylek a test přesnosti.
• Pokročilá analytika: testy integrity dat, vizualizace populací, Benford, shlukování, odhalení řetězců transakcí, process mining v ERP, sledování schvalovacích vzorů.

Vzorkování a selekce položek

Auditor často testuje reprezentativní vzorek populace. Při statistickém vzorkování se používají pravděpodobnostní výběry a intervaly spolehlivosti; nestatistické vychází z profesionálního úsudku. Metody zahrnují MUS (monetary-unit sampling) zaměřené na nadhodnocení, stratifikaci podle rizika a cílený výběr položek (cut-off, neobvyklé zápisy, velké a rizikové transakce).

Testování kontrol a věcné postupy

• Testy kontrol: vhodné, pokud se auditor spoléhá na účinnost kontrol (např. trojité schválení plateb, three-way match, automatizované IT kontroly, segregace povinností).
• Věcné testy detailů: soulad dokladů, potvrzení, fyzické inventury, přepočty odpisů a rezerv, revize smluv, cut-off testy.
• Substantivní analytika: jako doplněk nebo alternativa k testům detailů při předvídatelných vztazích.

Oceňování, odhady a manažerský úsudek

Největší rizika se soustředí v účetních odhadech (očekávané kreditní ztráty, impairment goodwillu, oceňování derivátů, rezervy na spory). Auditor hodnotí metody, předpoklady a vstupní údaje, provádí back-testing, citlivostní analýzy a v případě potřeby využívá odborníků (ISA 620).

IT prostředí a reliance na systémy

Posouzení IT obecných kontrol (přístupy, změny, provoz) je předpokladem pro spoléhání se na aplikační kontroly a automatizované reporty. V digitálním prostředí auditor ověřuje integritu rozhraní, logiku pravidel, parametry ERP a rizika kybernetických incidentů s dopadem na integritu finančních dat.

Audit skupiny a práce jiných

• Komponentní auditoři: komunikace rozsahu, významnosti a rizik, přezkum jejich práce a konsolidačních úprav.
• Využití interního auditu: koordinace a vhodné využití jejich práce (ISA 610) bez narušení nezávislosti.
• Odborníci: oceňování, právní posudky, aktuárské výpočty; auditor hodnotí kompetence, schopnosti a objektivitu.

Going concern, následné události a příbuzné strany

• Schopnost pokračovat v činnosti: analýza likvidity, kovenantů, refinančních rizik, objednávkového portfolia; pokud existuje materiální nejistota, požaduje se zveřejnění a případně odstavec zdůrazňující skutečnost (ISA 570).
• Následné události: události po rozvahovém dni až do data zprávy auditora (ISA 560), úprava nebo zveřejnění dle povahy.
• Příbuzné strany: identifikace transakcí, přiměřenost podmínek a zveřejnění (ISA 550).

Zpráva auditora a komunikace s orgány správy

• Druhy názorů: bez výhrad, s výhradou, záporný názor, odmítnutí vyjádřit názor (limity rozsahu, pervazivní zkreslení).
• Kritické auditorské záležitosti (KAM): oblasti s nejvyšší významností vyžadující zásadní auditorský úsudek (ISA 701) ve zprávě pro veřejný zájem.
• Komunikace s orgány správy: významná zjištění o kontrolách, odhadech, úpravách a neopravovaných zkresleních, nezávislost (ISA 260), dopis managementu s doporučeními.

Compliance, regulace a specifika sektorů

V regulovaných sektorech (bankovnictví, pojišťovnictví, energetika) se audit rozšiřuje o zvláštní požadavky dohledu, reporting dle sektorových rámců a testy souladu (např. kapitálová přiměřenost, solventnost, regulační výkazy). Auditor zvažuje i zákonné povinnosti oznamovat určitá zjištění regulačním orgánům.

ESG ujišťování a integrované výkaznictví

Roste poptávka po ujišťování nefinančních informací (klima, lidská práva, řízení dodavatelského řetězce). Uplatňuje se rámec ISAE 3000 s důrazem na kritéria (standardy udržitelnosti), připravenost dat, sledovatelnost (traceability) a testy emisních dat včetně třetích stran. Klíčová je konzistence s finančními dopady (impairment, rezervy, CapEx).

Typické chyby a slabá místa, která audit odhaluje

• Nedostatečné oddělení povinností a slabé schvalovací procesy v nákupu a platbách.
• Chybné cut-off výnosů a nákladů, agresivní kapitalizace nákladů.
• Zastaralé rezervy a odhady (právní spory, záruky, pohledávky), chybějící impairment.
• Slabá IT bezpečnost ovlivňující integritu finančních dat.
• Nekonzistentní zveřejnění a porušení kovenantů bez adekvátní komunikace.

Řízení spolupráce: harmonogram, deliverables a komunikace

1. Kick-off a PBC seznam: „Prepared by Client“ soupis dokumentů a reportů, dohoda o datech a přístupech.
2. Interim práce: testy kontrol, předběžná analytika, inventury.
3. Year-end práce: substantivní testy, potvrzení, odhady, zveřejnění.
4. Uzávěr: vyjádření vedení, zpráva auditora, dopis managementu, závěrečné jednání.

Matice rizik a reakcí auditora (ilustrace)