Kiedy ryzyko IT zmienia zakres audytu sprawozdań finansowych

W dużych przedsiębiorstwach ryzyko informatyczne kształtuje wiarygodność danych finansowych w równym stopniu co błędy stricte księgowe. Złożone systemy przetwarzają tysiące transakcji, generują zaawansowane raporty i przechowują zapisy, z których bezpośrednio powstaje roczne sprawozdanie finansowe. Współczesny audytor nie sprawdza już wyłącznie papierowych faktur, ale wchodzi głęboko w logikę działania aplikacji biznesowych. W naszej praktyce audytorskiej w EXCO A2A Polska obserwujemy, że bez dogłębnego zrozumienia środowiska cyfrowego nie da się prawidłowo ocenić ryzyka zniekształcenia wyników. Właściwa weryfikacja tych mechanizmów to podstawa ochrony interesariuszy, dla których istota rynku kapitałowego opiera się na pełnym zaufaniu do publikowanych liczb.

Elementy środowiska IT przenoszące ryzyko do sprawozdań

Główne wektory ryzyka w sprawozdawczości koncentrują się wokół systemów klasy ERP, uprawnień użytkowników, integracji oraz kopii zapasowych. Aplikacje zarządzające zasobami automatyzują księgowanie skomplikowanych operacji gospodarczych. Wszelkie wady w początkowej konfiguracji systemu uderzają bezpośrednio w kompletność i dokładność codziennych zapisów. Kluczowym czynnikiem decyzyjnym pozostają uprawnienia poszczególnych pracowników. Decydują one ściśle o tym, kto ma techniczne prawo modyfikować wrażliwe dane lub zatwierdzać wielomilionowe płatności.

Wymiana informacji między oddzielnymi modułami finansowymi, magazynowymi oraz kadrowo-płacowymi stanowi kolejny wrażliwy obszar. Brak technicznej synchronizacji na stykach tych rozwiązań natychmiast generuje rozbieżności w ewidencji głównej. Niezwykle ważna z perspektywy ciągłości działania okazuje się również twarda polityka archiwizacji. Odpowiednie procedury przywracania baz danych po awarii warunkują fizyczną możliwość odtworzenia historii operacji w razie poważnego incydentu.

Słabe kontrole dostępu lub całkowity brak śladu audytowego radykalnie utrudniają potwierdzenie niezmienności ksiąg rachunkowych. Brak chronologicznego i niemodyfikowalnego rejestru zdarzeń w aplikacji zamyka badającemu drogę do prześledzenia szczegółowej historii zmian. Kiedy pracownicy dysponują nadmiernymi przywilejami administracyjnymi, rośnie prawdopodobieństwo nieautoryzowanych modyfikacji. Zespół weryfikujący nie polega w pełni na wygenerowanych zestawieniach, jeśli nie potrafi określić, kto i w jakim momencie ingerował w strukturę bazy. Zgodnie z wytycznymi standardu KSB 315, oceniający systematycznie identyfikuje te słabości przed zaplanowaniem dalszych procedur.

Wpływ oceny kontroli na zakres testów szczegółowych

Metodyka badania wymaga od zespołu weryfikującego przeprowadzenia testów kontroli, przeglądu ścieżek danych i sprawdzenia wiarygodności raportów. Testowanie wdrożonych mechanizmów bezpieczeństwa sprawdza przede wszystkim prawidłowy podział obowiązków, proces zatwierdzania zmian deweloperskich oraz systematyczne monitorowanie logów. Przegląd ścieżki audytowej polega na wyodrębnieniu pojedynczej transakcji i śledzeniu jej losów od momentu wprowadzenia do ostatecznego ujęcia w księdze głównej. Ocenie podlega także wewnętrzna spójność raportów, którą potwierdza się przez bezpośrednie porównanie z dokumentami źródłowymi.

Słabe wyniki analizy ryzyka informatycznego natychmiast poszerzają zakres badania i wymuszają zastosowanie dodatkowych procedur. Kiedy ogólne kontrole IT funkcjonują w sposób nieskuteczny, audytor odrzuca wiarę w automatyczne wyliczenia i systemowe blokady. Biegły rewident musi wtedy radykalnie zwiększyć wolumen zaplanowanych testów szczegółowych. Wiąże się to z poszerzeniem próby transakcji pobieranych do żmudnej, ręcznej weryfikacji. Oznacza to również konieczność wysyłania znacznie większej liczby zewnętrznych potwierdzeń sald do kontrahentów i banków. Działania te służą zrekompensowaniu niskiego poziomu zaufania do wewnętrznego oprogramowania.

Specyficzne luki między fizycznym obiegiem dokumentów a wartościami w systemie ujawniają się najczęściej podczas standardowego badania księgowego lub procesów due diligence. Zjawisko to narasta, gdy istotna część faktur kosztowych rejestruje się wyłącznie poza głównym oprogramowaniem operacyjnym. Podobny problem występuje w sytuacji opierania raportowania zarządczego na niezabezpieczonych arkuszach kalkulacyjnych. Historyczne zbiory informacji oraz skomplikowane rozrachunki między podmiotami powiązanymi bywają wówczas wysoce podatne na manipulacje.

Kontrola nad informacją jako fundament bezpieczeństwa

Sama obecność nowoczesnych rozwiązań technologicznych w firmie nie gwarantuje jeszcze rzetelności prowadzonej ewidencji księgowej. Dla zarządu, rady nadzorczej oraz komitetu audytu liczy się wyłączna kontrola nad surowymi danymi, które docelowo tworzą zatwierdzany wynik finansowy. Wdrażanie zaawansowanych systemów informatycznych przynosi korzyści biznesowe dopiero w połączeniu ze szczelną architekturą uprawnień i w pełni transparentną polityką bezpieczeństwa.

Prawidłowo skonfigurowane środowisko operacyjne pozwala firmom skutecznie ograniczyć ryzyko powstawania istotnych zniekształceń w sprawozdawczości. Daje to kierownictwu pewność, że podejmowane strategiczne decyzje mają twarde oparcie w sprawdzonych i kompletnych liczbach. Każde wyeliminowanie zidentyfikowanej luki w obszarze cyfrowym podnosi ogólną wiarygodność dostarczanej informacji rynkowej. Obiektywna weryfikacja procesów technologicznych pozostaje nadrzędnym obowiązkiem dojrzałego biznesu wobec akcjonariuszy, inwestorów i instytucji regulacyjnych.