Merknader etter stedlig tilsyn Probus Revisjon AS

Saksbehandler: Harald Rivrud
Dir. tlf: 22 93 97 14
Vår referanse: 16/497
Dato: 23.08.2016 

Revisjonsselskapet ble varslet om stedlig revisortilsyn i brev fra Finanstilsynet datert 14. januar 2016. Tilsynet ble avholdt 15. februar 2016.

1. Bakgrunn og avgrensninger
Bakgrunn for tilsynet er at skatteetaten har innrapportert oppdragsansvarlig revisor (navn fjernet av Finanstilsynet (revisor) og Probus Revisjon AS til Finanstilsynet. 

Revisor er medlem av Den norske Revisorforening (DnR/Revisorforeningen) og underlagt DnRs kvalitetskontroll. Revisor hadde periodisk kvalitetskontroll fra Revisorforeningen høsten 2012, uten merknader som ga grunnlag for videre oppfølgning. Ny kontroll fra DnR skal da gjennomføres innen utløpet av 2018.

Formålet med tilsynet har vært å undersøke om det er behov for å sette i verk særlige tiltak utover ordinær kvalitetskontroll. Under tilsynet ble innrapporteringen diskutert med revisor, men forholdene som er omhandlet der gjaldt utført revisjon en del tilbake i tid. To andre revisjonsoppdrag ble derfor gjennomgått for å vurdere om revisjonen nå blir utført i samsvar med revisorlovens krav, herunder god revisjonsskikk. Gjennomgangen har vært konsentrert om vesentlige og risikofylte forhold.

I stedlige revisortilsyn inngår normalt vurdering av revisjonsforetakets retningslinjer og rutiner for organisering og intern kvalitetskontroll. Finanstilsynet har som ledd i dette, også sett på selskapets rutiner for å etterleve revisors plikter etter hvitvaskingsloven.

Ved stedlige tilsyn kontrollerer Finanstilsynet at oppdragsansvarlige revisorer oppfyller vilkårene revisorloven stiller for å ha godkjenning som revisor og være oppdragsansvarlig revisor, og om revisjonsselskaper oppfyller kravene for å ha godkjenning som revisjonsselskap. Kontrollene viste ingen mangler, og kommenteres derfor ikke nærmere i det videre.

2. Intern kvalitetskontroll i revisjonsselskapet
Probus Revisjon AS har autorisasjon som regnskapsførerselskap og faller derfor inn under forskrift 22.9.2008 nr. 1080 om risikostyring og internkontroll (risikostyringsforskriften). Finanstilsynet har lagt til grunn at der foretaket utøver både regnskapsfører- og revisjonsvirksomhet, gjelder forskriften for den samlede virksomheten.

Revisorloven § 5b-1 krever at revisjonsselskap skal etablere forsvarlige systemer for intern kvalitetskontroll. Finanstilsynet legger til grunn at kvalitetskontrollsystemer som er i samsvar med ISQC 1, normalt vil tilfredsstille dette lovkravet. Kvalitetskontrollsystemet skal bidra til å sikre oppfyllelsen av lovkrav.

Finanstilsynet vurdering er at revisjonsvirksomhetens retningslinjer og rutiner for intern kvalitetskontroll har mangler og svakheter som må rettes. Finanstilsynet bemerker spesielt: 

1. Revisjonsselskapet har inngått avtale for å gjennomføre årlig kvalitetskontroll av minst et fullført revisjonsoppdrag. Kvalitetskontrollen omfatter ikke gjennomgang av alle retningslinjer og rutiner i kvalitetskontrollsystemet, slik ISQC 1 punkt 48 krever. Det vises også til punktene 49 til og med 55 i samme standard.
   
   Det bør også fremgå at daglig leder og styret minst årlig skal vurdere retningslinjene og rutinene, samt at evalueringen skal dokumenteres. Så lenge foretaket skal etterleve risikostyringsforskriften, skal kvalitetskontrollsystemene i alle fall gjennomgås i forbindelse med rapporteringen daglig leder skal gjøre til selskapets styre i den sammenheng.
2. Selskapet hadde ikke retningslinjer om konsultasjoner ved utførelsen av revisjonsoppdrag og for tilfeller med uenighet i revisjonsteamet, jf. ISQC1 punkt 34 og punktene 43-44. Statusmøter som er beskrevet i retningslinjene, behandler ikke viktige forhold som konsultasjon og uenighet. Dette er sentrale elementer i revisjonsutførelsen. Finanstilsynet mener kvalitetskontrollsystemet må gjenspeile det.
3. Selskapets retningslinjer hadde ikke bestemmelser om oppdragskontroll, jf. ISQC1 punkt 35-42. Selv om dette bare er obligatorisk ved revisjon av foretak av allmenn interesse, kan det også for revisorer som ikke reviderer foretak av allmenn interesse være hensiktsmessig å ha retningslinjer og rutiner for oppdragskontroll. Normalt vil det gjelde oppdrag som vurderes som særlig kompliserte, risikofylte eller omfattende.
4. Selskapets retningslinjer og rutiner behandler ikke hvordan eventuelle klager og beskyldninger skal håndteres. Klager og beskyldninger kan indikere at revisjonen ikke er utført i samsvar med revisorlovens krav, herunder god revisjonsskikk, og hensiktsmessig behandling er derfor viktig. Det vises til ISQC1 punkt 55-56.
5. Selskapets retningslinjer og rutiner omhandler forhold som hvordan å dokumentere revisjonen og hvilke systemer/verktøy som skal benyttes for dette. Kravene til konfidensialitet og taushetsplikt, sikring av data og tidsriktig fullføring av oppdragsdokumentasjon, er ikke omtalt nærmere. Det vises til ISQC1 punkt 45-47 og punkt 57-59. Retningslinjene og fastsatte rutiner må sikre at revisorlovens krav til taushetsplikt, opplysningsplikt og dokumentasjon overholdes. Det vises til revisorloven §§ 5-3, 5-5, 6-1 og 6-2.

Det er ikke tilstrekkelig at det i selskapets "grunnlagsdokument for revisjonsarbeidet" blir henvist til at ISQC1 gjelder i den utstrekning grunnlagsdokumentet ikke er dekkende. Den interne kvalitetskontrollen må tilpasses virksomheten som utøves, og omfatter retningslinjer og rutiner som skal bidra til å sikre at virksomheten utføres på en forsvarlig måte og i samsvar med fastsatte krav.

Selskapet må sørge for at det foreligger taushetserklæring fra alle med uhindret tilgang til lokalene, herunder rengjøringspersonell. At dette skal foreligge, bør fremgå klart av retningslinjene.

3. Hvitvasking
Selskapets interne kontroll- og kommunikasjonsrutiner for å sikre oppfyllelse av revisors plikter (både den enkelte godkjente revisor og revisjonsselskapet) etter hvitvaskingslovgivningen, er svært kortfattede. Det opplyses bare hvem som er hvitvaskingsansvarlig og at forhold som er aktuelle for innrapportering, skal tas opp med hvitvaskingsansvarlig.

Revisjonsselskapet må utarbeide og implementere rutiner som ivaretar revisors og regnskapsførers plikter etter hvitvaskingsloven. Finanstilsynets mener det må foreligge dokumenterte rutiner som i det minste i tillegg behandler følgende (hvitvaskingsloven - hvvl./hvitvaskingsforskriften - hvvf.):

1. Hvitvaskingsrutinene skal behandles av selskapets styre (hvvl. § 23 annet ledd).
2. Årlig evaluering av hvitvaskingsrutinene for å vurdere om det er behov for endringer, basert på både praktiske erfaringer og eventuelt endrede krav i lovgivningen (hvvl. § 23 første ledd, med krav om forsvarlige rutiner som også innebærer at disse oppdateres/tilpasses endringer).
3. At utpeking av hvitvaskingsansvarlig skal foretas av selskapets styre og at denne beslutningen protokolleres (hvvl. § 23 annet ledd).
4. At opplæringstiltak i hvitvaskingslovgivningen skal gjennomføres, og at det også omfatter den hvitvaskingsansvarlige (hvvl. § 23 tredje ledd).
5. Krav om og til gjennomføringen av kundekontroll (hvvl. §§ 5 - 15 og hvvf. §§ 2 - 11).
6. Risikovurdering og løpende oppfølgning (hvvl. §§ 5 og 14), både ved aksept av oppdraget og minst ved årlig oppdatering av risikovurderingen. Undersøkelsesplikt (hvvl. § 17 og hvvf. §§12) hvor det fremgår at terskelen for mistanke er lav, for at plikten til videre undersøkelser skal foreligge.
7. Rapporteringsplikt (hvvl. §§ 18 og 19 og hvvf. § 13).
8. Taushetsplikt (hvvl. §§ 20 og 21 og hvvf. § 14). 
9. Dokumentasjon, herunder oppbevarings- og makuleringsplikt (hvvl. §§ 23 og 25 og hvvf. § 17).

Også regnskapsførervirksomheten omfattes av kravene, selv om innholdet i disse kan variere noe ut fra virksomhetsområde.

4. Innrapportering fra Skatteetaten
Saken går tilbake i tid (2009-2011) og revisjonsselskapet opplyste å ha vurdert denne og satt i verk nødvendige tiltak. Under tilsynet ble det derfor ikke foretatt noen detaljert gjennomgang av innrapporteringen. Finanstilsynet har i stedet lagt vekt på å kontrollere hvordan revisjonen planlegges og utøves i dag.

Finanstilsynet finner likevel å bemerke at revisjonsselskapet ikke kan ha utført revisjonen på en, ut fra forholdene, tilfredsstillende måte og i samsvar med revisors plikter etter revisorloven, herunder god revisjonsskikk. Finanstilsynet kan kort vise til følgende:

- Regnskapene lider av flere formelle og materielle mangler. Revisors beretninger tar ikke opp verken formelle eller materielle mangler ved bokføring og årsregnskaper.
- Mangler ved bokføring og årsregnskap er heller ikke tatt opp i nummerert brev på tilfredsstillende måte.
- Sist innsendte årsregnskap for selskapet var for regnskapsåret 2012 og selv om det ble åpnet konkurs i selskapet 13.2.2014, sa revisor først fra seg oppdraget 30.3.2015.

Revisor har også foretatt en vesentlig tilleggspostering av inntekter. Bakgrunnen skal ha vært lav bruttofortjeneste på en varegruppe. Men det skal ikke foreligge nærmere dokumentasjon for posteringen og at tilleggsposteringen er avklart med selskapets ledelse. Revisor har heller ikke fulgt opp forholdet og vurdert hvilke konsekvenser dette får for revisjonen og fortsettelsen av revisjonsoppdraget. Forholdet fremstår som bokføring utført av revisor, og er i så tilfelle i strid med revisorloven.

5. Kontroll av individuelle revisjonsoppdrag

5.1 Planlegging av revisjonen
De kontrollerte oppdragene gjelder regnskapsåret 2014. Det ene oppdraget er et konsulentfirma som leverer tjenester hovedsakelig basert på arbeidede timer. Revisor hadde ikke omtalt de særlige kravene til bokføring som gjelder bokføringspliktige som utfører tjenester hvor vederlaget er basert på tidsforbruk, jf. bokføringsforskriften § 5-14 i dokumentasjonen.

Det andre oppdraget er en handelsvirksomhet med et bredt spekter av ulike produkter.

For begge oppdragene fremstår det som at revisor har god forståelse av selskapenes virksomhet og risikoområder. Hva som er vesentlige og risikofylte områder på påstandsnivå, var likevel i liten grad beskrevet og vurdert.  Revisor har gjort en overordnet vurdering av foretakenes interne kontroller på selskapsnivå, men ikke konkretisert hva som har betydning for regnskapsavleggelsen. Revisor ga i samtaler under tilsynet nærmere opplysninger om viktige prosesser for regnskapsrapporteringen. For begge oppdrag har revisor konkludert med at ledelseskontrollene er tilfredsstillende ut fra virksomhetens størrelse.

Finanstilsynet mener at revisor som ledd i planleggingen av revisjonsoppdrag må foreta en målrettet kartlegging og vurdering av oppdragsgivers virksomhet, og dokumentere dette.  Revisorloven § 5-2 annet ledd krever at revisor skal utføre sin virksomhet i samsvar med god revisjonsskikk. I den sammenheng vises spesielt til ISA 300 og ISA 315, som omhandler revisjonsstrategi og risikovurderingshandlinger. Det vises videre til dokumentasjonskravet i revisorloven § 5-3 og dokumentasjonskravene som blir beskrevet i de omtalte revisjonsstandardene.

5.2 Videre revisjonshandlinger 
På det ene oppdraget har revisor angitt at det knytter seg risiko til opptjente salgsinntekter, men det er ikke spesifisert nærmere hvilke regnskapspåstander det knytter seg risiko til. Revisor har beskrevet prosesser på salg og innkjøp, og gjort en test fra "vugge til grav". Revisor har imidlertid ikke angitt konkrete kontroller i rutinene og hvilken risiko disse er ment å dekke på påstandsnivå. Revisor har konkludert med at rutinene fungerer som beskrevet, men har ikke angitt noe om hva dette betyr for revisjonen. Det er ikke foretatt noen tester av kontroller, for å vurdere om disse har fungert som forutsatt gjennom regnskapsperioden. Den videre revisjonen er basert på substanskontroller.
Revisor har utført flere substanshandlinger knyttet til inntektene, blant annet en rekke beregninger og analyser av data fra foretakets timesystem. Det fremgår ikke at revisor har evaluert hvorvidt denne informasjonen er fullstendig og tilstrekkelig nøyaktig til å være pålitelig for revisors formål. Det er heller ikke angitt hvilken revisjonsmålsetting de ulike revisjonshandlingene er ment å dekke, eller konkludert direkte på om det er innhentet tilstrekkelig og hensiktsmessig revisjonsbevis.

På det andre oppdraget har revisor angitt at angrepsvinkelen for revisjonen bygger på substanshandlinger alene. Revisors handlinger knyttet til inntektsområdet fremstår likevel ut fra det som er dokumentert i arbeidspapirene, å legge til grunn at systemene knyttet til rapportering av inntekter fungerer som forutsatt og at rutinene etterleves. Etter Finanstilsynets vurdering er det tvilsomt om en angrepsvinkel basert på substans alene er egnet til å gi tilstrekkelige revisjonsbevis i denne typen virksomhet.

Revisor har benyttet analyse av bruttofortjeneste som en vesentlig substanshandling. Det fremgår imidlertid ikke av dokumentasjonen om revisor har vurdert om datagrunnlaget pålitelig og innrettet slik at kontrollene vil gi tilstrekkelig revisjonsbevis for aktuelle påstander. For eksempel burde revisors vurdering av sammensetningen av produkter og de enkelte produktenes kalkulerte bruttofortjeneste og hva dette betyr for analysen vært dokumentert. Videre skulle revisor ha angitt forventet resultat og akseptabelt avvik (ISA 520 punkt 5).

Revisor har vært til stede og foretatt kontrolltelling av foretakets varelager. Det fremgår ikke klart av dokumentasjonen at revisor har vurdert foretakets varetellingsrutine og om revisors kontrolltelling også er test av selskapet interne kontroll, men det kan synes som om revisors tester fungerer som kombinert system- og substanstest. Som ren substanskontroll fremstår stikkprøveutvalget for lite til å gi tilstrekkelig beløpsmessig dekning. Utvalget synes å være gjort på tilfeldig måte, men dette fremgår ikke klart av dokumentasjonen. Ved bruk av stikkprøver må utvalgskriterier og omfang sikre at alle enheter i populasjonen vil ha en mulighet for å bli trukket ut og til å ha nødvendig utsagnskraft (ISA 530).

Selv om revisjonshandlingene er relevante og gir mye grunnlagsinformasjon, skal det være mulig å etterprøve revisors vurderinger og konklusjoner for at dokumentasjonen skal utgjøre et tilfredsstillende revisjonsbevis. Det vises til revisorloven § 5-2 annet ledd og ISA 500, spesielt punkt 9. Det vises videre til ISA 330, og særlig punkt 6, 7 og 28. Revisor må dokumentere formålet med handlingene som utføres og vurderinger og konklusjoner som trekkes basert på de beregninger og analyser mv. som gjøres. Det vises igjen også til dokumentasjonskravet i revisorloven § 5-3.

6. Oppsummering

Finanstilsynets vurdering er at det er avdekket betydelig svakheter i revisjonsutførelsen, men at det likevel ikke er forhold som tilsier at Finanstilsynet iverksetter særlige tiltak nå. 

Finanstilsynet forutsetter imidlertid at revisjonsselskapet og dets oppdragsansvarlige revisorer i den videre revisjonsutførelsen tar hensyn til merknadene. Revisjonsselskapet har, i tilsvar til de foreløpige merknadene, redegjort for en tiltaksplan for å utbedre de påpekte svakhetene.

For Finanstilsynet

Anders Grini 
tilsynsrådgiver 

Harald Rivrud
 tilsynsrådgiver