Postup a standardy auditu

Cíl externího auditu a význam auditorských standardů

Externí audit poskytuje přiměřenou jistotu, že účetní závěrka jako celek neobsahuje významné nesprávnosti způsobené podvodem nebo chybou. Přiměřená jistota znamená vysokou, nikoli absolutní míru jistoty, která odráží inherentní limity auditu (testování na vzorku, omezení vnitřních kontrol, profesionální úsudek, časová a nákladová omezení). Základním vodítkem auditora jsou mezinárodní auditorské standardy ISA (International Standards on Auditing), systém řízení kvality podle ISQM 1/2 a etické požadavky dle IESBA Code, zejména nezávislost, integrita, objektivita a profesionální péče (due care).

Normativní rámec: ISA, ISQM a etické standardy

ISA: upravují plánování, posouzení rizik, získávání důkazů, dokumentaci a reportování. Klíčové jsou ISA 200 (cíl a obecné principy), 230 (dokumentace), 315/330 (rizika a reakce), 240 (podvod), 320 (významnost), 500+ (důkazy), 540 (odhady), 570 (going concern), 700/705/706 (závěr a modifikace), 701 (klíčové auditorské záležitosti – KAM), 600 (audit skupiny), 620 (experti) a další.
ISQM 1/2: systém řízení kvality na úrovni firmy a engagement quality review (EQR) pro vybrané zakázky s vysokým rizikem. Zaměřuje se na řízení rizik kvality v oblastech řízení, zdrojů, etiky, přijetí klienta, realizace zakázek a monitoringu.
IESBA Code: nezávislost jak ve smyslu myšlení, tak i vzhledem k vnějšímu vnímání; požadavky na identifikaci a zmírnění hrozeb (self-review, advocacy, familiarity, intimidation, self-interest).

Akceptace a pokračování spolupráce s klientem

Předběžný screening: integrita managementu a vlastníků, reputační rizika, střety zájmů, právní a sankční prověření (AML/CFT).
Nezávislost a kapacita: posouzení hrozeb nezávislosti, personální a odborné zdroje, dostupnost nezbytných expertíz.
Engagement letter: formální potvrzení cíle, rozsahu, odpovědností managementu (příprava účetní závěrky, vnitřní kontroly, poskytování informací) a auditora (poskytnutí přiměřené jistoty a zpráva).

Plánování auditu a strategie zakázky

Celková strategie: stanovení rozsahu, časového harmonogramu a směru auditu, přidělení seniority a specialistů (IT, daně, oceňování).
Auditorský plán: podrobný seznam postupů pro rizikové oblasti, včetně testů kontrol a substanciačních testů podle ISA 330.
Materialita: stanovení overall materiality, performance materiality a mezních hodnot pro trivial errors s odůvodněním a vazbou na metriky (zisk, tržby, aktiva, vlastní kapitál).

Pochopení subjektu a jeho prostředí (ISA 315)

Auditor získává porozumění obchodnímu modelu, odvětví, regulatornímu rámci, cílům a strategiím, měření výkonnosti, informačním systémům a vnitřním kontrolám (včetně kontrolního prostředí, procesů hodnocení rizik, kontrolních aktivit, informačních toků a monitorování). Výstupem je identifikace a mapování rizik významných nesprávností (IR, CR) na úrovni účetní závěrky i tvrzení (assertions).

Významnost (ISA 320): kalibrace prahů a přehodnocování

Volba benchmarku: zohledňuje stabilitu zisků, cykličnost a kapitálovou strukturu; kombinované benchmarky jsou vhodné při volatilitě.
Performance materiality: snižuje riziko, že nezachycené a neoprávněné chyby překročí celkovou významnost.
Přehodnocování: během auditu jsou prahy revidovány při změnách předběžných výsledků nebo zjištění.

Analytické postupy a identifikace neobvyklostí

Na úrovni plánování auditor využívá preliminary analytics (poměry, horizontální/vertikální analýzy, trendové a regresní testy) k identifikaci neobvyklých vzorců. Na závěr se používají jako celkové analytické postupy k vyhodnocení přiměřenosti vykázaných výsledků vůči očekáváním.

Testy kontrol vs. substanciační testy (ISA 330)

Testy kontrol: vhodné, pokud auditor hodlá spoléhat na efektivitu klíčových kontrol (např. trojstupňová autorizace plateb, přístupová práva v ERP, automatizované párování).
Substanciační testy: podrobné testování transakcí a zůstatků (výběr vzorků, cut-off, existence/occurrence, valuation, rights & obligations, presentation & disclosure).
Mix přístupů: u vysokého rizika významné nesprávnosti (significant risks) ISA vyžaduje substantive procedures bez ohledu na výsledky testů kontrol.

Vzorkování a kvantifikace rizika výběru

Statistické vs. nestatistické: attribute sampling pro kontroly, monetary unit sampling (MUS) pro zůstatky; určení tolerovatelné chyby, očekávané odchylky a úrovně důvěry.
Výběr souboru: definování population, stratifikace, náhodné a systematické výběry; dokumentace zahrnutí a vyloučení položek.
Projektování zjištění: extrapolace chyb na populaci, kvalitatívní faktory (podvod vs. chyba, systematičnost).

Auditorské důkazy (ISA 500): dostatečnost a vhodnost

Externí konfirmace (ISA 505): bankovní potvrzení, pohledávky, závazky, právní dopisy (ISA 501), inventury zásob, fyzické obhlídky aktiv.
Odhady a manažerské úsudky (ISA 540): diskontní sazby, opravné položky, impairment, rezervy; testování modelů, vstupů a citlivostí (CCE – challenging, corroborating, evaluating).
Tržby (revenue): často významné riziko – testy cut-off, smluv, incoterms, návratů, dobropisů; analytické a detailní postupy.

IT audit a nástroje na podporu auditorských procedur

General IT Controls (GITC): správa změn, přístupy, vývoj a provoz; spolehlivost automatizovaných kontrol a reportů.
CAATs a data analytics: úplnopopulační testy (duplicitní platby, Benford analýzy, detekce odlehlých hodnot), opakované výpočty, digitální stopy v ERP.
Persistent audit file: skripty a knihovny testů s opakovaným využitím, auditní stopa a verzování.

Podvod a neetické jednání (ISA 240)

Profesionální skepticizmus: hledání protikladných důkazů, auditorský „brainstorming“, analytika pro detekci neobvyklostí.
Oblasti zranitelné vůči podvodu: závěrkové zápisy, uznávání výnosů, zásoby, propojené strany, nestandardní smlouvy a side letters.
Komunikace: s vedením a výborem pro audit o rizicích podvodu, nálezech a vnitřních kontrolách.

Going concern (ISA 570) a následné události (ISA 560)

Schopnost pokračovat: hodnocení obchodního plánu, cash-flow prognóz, covenantů, dostupnosti financování; citlivostní analýzy a zmírňující opatření.
Upozornění ve zprávě: v případě existence material uncertainties odstavec zdůraznění nebo modifikované stanovisko.
Následné události: události po dni účetní závěrky do data zprávy; získávání písemných potvrzení a doplňkových důkazů.

Prověřování právních sporů, zásob a fyzických aktiv (ISA 501)

Inventury: pozorování inventarizace, testy počtů, cut-off, snížení hodnoty (NRV testy), zásoby v konsignaci.
Právní dopisy: komunikace s právníky ohledně sporů, sankcí a kontingenčních závazků.
Hmotný a nehmotný majetek: existence, práva, indikátory impairmentu, kapitálové projekty v rozpracovanosti.

Práce ostatních: interní audit (ISA 610) a experti (ISA 620)

Interní audit: posouzení objektivity, kompetence a přístupu; rozsah využití jejich práce a koordinace.
Experti: znalci pro oceňování, aktuárské výpočty, IT; definování cíle, rozsahu a odpovědností, hodnocení adekvátnosti jejich výstupu.

Audit skupiny a komponent (ISA 600)

Strategie skupiny: určení významných komponent, rizikových oblastí a rozsahu práce komponentních auditorů (plnohodnotný audit, specifické postupy, analytické postupy).
Komunikace a kontrola kvality: pokyny, mezní hodnoty, materiálová báze, review pracovních podkladů, zohlednění regulačních rozdílů.

Písemná vyjádření managementu a kumulace chyb

Management representation letter: potvrzení o odpovědnosti za závěrku, úplnosti informací, podvodech, soudních sporech, propojených stranách.
Souhrn neopravovaných nesprávností: kvantifikace a kvalitativní posouzení neopravených chyb vzhledem k materialitě.

Auditorská zpráva (ISA 700/705/706/701)

Druhy výroků: bez výhrad, s výhradou, odmítnutí výroku, odmítnutí vyjádřit názor (disclaimer).
Odstavce: Basis for Opinion, Key Audit Matters (KAM) pro kótované subjekty, odstavce zdůraznění a další záležitosti.
Konzistence a transparentnost: jasný popis KAM: proč je významná záležitost, jaké postupy auditor provedl a zohlednění rovnováhy mezi srozumitelností a důvěrností.

Komunikace s výborem pro audit (ISA 260)

Obsah: plán a strategie, významná rizika, slabiny kontrol, nesrovnalosti, nezávislost, honoráře a neauditorské služby.
Časování: průběžně (interim) i na závěr; dokumentace diskuze a závazků k nápravě.

Dokumentace a archivace (ISA 230)

Požadavky: taková úroveň detailu, aby zkušený auditor bez předchozí účasti pochopil povahu, načasování, rozsah a výsledky postupů a závěry.
Finalizace: uzavření spisu v předepsané lhůtě, kontrola změn po datu zprávy, politika retence a důvěrnosti.

Řízení kvality zakázky: EQR a „hot/cold“ review

EQR (ISQM 2): povinný pro vysoce rizikové zakázky; nezávislé přehodnocení klíčových úsudků (KAM, going concern, významné nesprávnosti).
Interní inspekce: periodický monitoring kvality, korektivní opatření, školení a sdílení poznatků.

Audity menších subjektů a proporcionalita

U malých a středních podniků je důležitý princip proporcionality: méně formální, avšak dostatečně zdokumentované postupy; důraz na přímé substanciální testy, procesy majitele-manažera, peněžní toky, propojené strany a jednodušší IT prostředí. Současně nesmí dojít ke snížení úrovně jistoty.

Specifika podle rámce vykazování a odvětví

IFRS vs. národní GAAP: rozdíly v uznávání výnosů, leasingů (IFRS 16), impairmentů (IAS 36), finančních nástrojů (IFRS 9) a zveřejněních.
Regulovaná odvětví: banky (očekávané ztráty, kapitálové požadavky), pojišťovny (rezervy), veřejný sektor (specifické rámce).

Typický postup auditora: praktická osnova

Akceptace zakázky, posouzení nezávislosti, podpis engagement letter.
Plánování: materialita, celková strategie, auditorský plán, alokace zdrojů.
Pochopení a riziková analýza: proces mapování toků, walkthrough, identifikace významných rizik.
Testy kontrol (pokud relevantní) a návrh substanciačních postupů.
Provedení testů: konfirmace, inventury, právní dopisy, analytika a detailní testy.
Vyhodnocení odhadů, going concern, následné události, propojené strany.
Kumulace chyb, diskuse s managementem, požadavky na opravy.
Písemná vyjádření, fin