Tilintarkastus ja riskien hallinta – ISA 315, tilintarkastuslaki ja liiketoiminnan riskit tilintarkastajan näkökulmasta

Lakitoimisto KPF:n henkilöstöllä on monen eri tieteen ja oikeudenalan sekä ammattikunnan osaamista. Henkilöstön osaamista ylläpidetään ja laajennetaan toimiston sisällä mm. siten, että henkilöstölle järjestetään sisäisiä koulutuspäiviä yhtiön liiketoiminnan eri osa-alueista. Kuluvan vuoden alussa KHT-tilintarkastajamme Eelis Paukku piti tilintarkastukseen osallistuville henkilöille koulutuspäivän riskien arvioinnista tilintarkastuksessa. Tässä kirjoituksessa käyn läpi näitä riskejä ja mitä ne oikein ovat tilintarkastuksen näkökulmasta.

Kirjanpidon, tilinpäätöksen ja hallinnon arviointi – Patentti- ja rekisterihallituksen hyväksymä tilintarkastaja ja liiketoiminnan riskit

Tilintarkastuksen kannalta liiketoiminnan riskit voivat vaikuttaa merkittävästi siihen, miten tilintarkastaja suunnittelee ja kohdentaa tarkastustoimenpiteet. Tilintarkastaja arvioi kirjanpidon, tilinpäätöksen ja hallinnon sekä sitä, antaako tilinpäätös oikean ja riittävän kuvan yrityksen tuloksesta ja taloudellisesta asemasta. Riskien tunnistaminen ja arviointi ovat keskeinen osa tilintarkastusta, ja ISA 315 -standardin mukaisesti tilintarkastaja muodostaa käsityksen yhteisön toiminnasta, toimintaympäristöstä ja sisäisistä kontrolleista ennen tarkastuksen toteuttamista.

Tilintarkastuslain mukaisesti tilintarkastajan tulee toimia riippumattomasti ja hankkia riittävä määrä tarkoitukseen soveltuvaa evidenssiä. Tilintarkastajan valinta tehdään yhtiökokouksessa, ja tilintarkastaja tai tilintarkastusyhteisö on oltava hyväksytty ja merkitty Patentti- ja rekisterihallituksen rekisteriin. Käytännössä tunnistetut riskit voivat vaikuttaa siihen, miten laajasti tilintarkastus tehdään, mitä osa-alueita painotetaan ja millä tavalla tarkastus kohdistetaan eri liiketoiminnan osa-alueisiin.

Tilintarkastus ja sääntely – ISA-standardit, tilintarkastuslaki ja oikea ja riittävä kuva tuloksesta ja taloudellisesta asemasta

Tilintarkastajan tulee lakisääteisessä tilintarkastuksessa tarkastaa ja ottaa kantaa siihen, antaako tilinpäätös oikean ja riittävän kuvan tarkastettavan yhteisön toiminnasta ja tuloksesta. Tilintarkastusta ohjaa erityisesti kansallinen lainsäädäntö kuten tilintarkastuslaki, mutta myös kansainväliset tilintarkastusalan standardit eli International Standards on Auditing (ISA-standardit). ISA-standardeissa on yksityiskohtaiset säännökset mm. siitä, kuinka tilintarkastajan tulee dokumentoida suoritettu tarkastus, mitkä ovat väärinkäytöksiin liittyvät tilintarkastajan velvollisuudet ja kuinka tilintarkastaja suunnittelee tarkastuksen. 

Vuonna 2019 uudistettu ISA 315-standardi sääntelee olennaisen virheellisyyden riskien tunnistamista ja arvioimista. Standardin mukaan tilintarkastajalla on velvollisuus tunnistaa ja arvioida tilinpäätöksessä olevat virheellisyyden riskit. Tilintarkastajan tunnistamat ja arvioimat olennaisen virheellisyyden riskit pitävät sisällään sekä virheellisyydestä että väärinkäytöksestä johtuvat riskit. Tunnistaakseen olennaisen virheellisyyden riskit, tilintarkastajan tulee muodostaa käsitys tarkastettavasta yhteisöstä ja sen toimintaympäristöstä, sovellettavasta tilinpäätösnormistosta ja yhteisön sisäisen valvonnan toimintaympäristöstä. 

Tilintarkastajan tavoitteena on tunnistaa olennaisen virheellisyyden riskit, jonka myötä tilintarkastaja voi muodostaa perustan tarkastustoimenpiteiden suunnittelulle ja toteuttamiselle. Tarkastustoimenpiteillä on tarkoitus vastata tilintarkastajan tunnistamiin olennaisen virheellisyyden riskeihin. ISA 200-standardin mukaan tilintarkastajan tulee hankkia tarpeellinen määrä tarkoitukseen soveltuvaa tilintarkastusevidenssiä alentaakseen tilintarkastusriskiä hyväksyttävän alhaiselle tasolle.

Olennaisen virheellisyyden riskejä voi esiintyä koko tilinpäätöksen tasolla ja kannanottotasolla liiketapahtumien lajien, tilien saldojen ja tilinpäätöksessä esitettävien tietojen osalta. Tilinpäätöstasolla riskit kohdistuvat tilinpäätökseen laaja-alaisesti kokonaisuutena ja ne voivat vaikuttaa useisiin kannanottoihin. Kannanottotason olennaisen virheellisyyden riskit koostuvat kahdesta komponentista, ominaisriskistä ja kontrolliriskistä. 

Ominaisriski tilintarkastuksessa – miten liiketoiminnan riskit vaikuttavat tilinpäätökseen

ISA 200-standardin mukaan ominaisriskillä tarkoitetaan liiketapahtumien lajia, kirjanpitotilin saldoa tai tilinpäätöksessä esitettävää tietoa koskevan kannanoton alttiutta virheellisyydelle, joka voisi olla olennainen yksin tai muihin virheellisyyksiin yhdistettynä ennen kontrollien huomioimista. Vuonna 2019 uudistetun ISA 315-standardin mukaan ominaisriskitekijä voi olla laadullinen tai määrällinen ja niihin voi kuulua monimutkaisuutta, subjektiivisuutta, muutoksia, epävarmuutta tai muita väärinkäytöksen riskitekijöistä johtuvaa alttiutta virheellisyydelle. 

Käytännössä kohonnut ominaisriski voi olla esimerkiksi rakennusalan yrityksen liikevaihdossa, jos liikevaihto tuloutetaan osatulouttamalla. Tällöin liikevaihto tuloutetaan tyypillisesti ainakin pienyrityksissä johdon tekemän arvion perusteella rakennushankkeen valmistusasteesta. Tällaiseen erään koostuu tyypillisesti kohonnut epävarmuus siitä, onko liikevaihto tuloutettu tosiasiassa oikeassa valmistusasteessa. Varmimman tarkastusevidenssin tilintarkastaja saisi tällaisessa tapauksessa menemällä rakennushankkeen työmaalle ja arvioimalla, onko esimerkiksi rakennettava kerrostalo tosiasiassa melkein valmis, jos tuloutuslaskelmien mukaan näin olisi. Usein tilintarkastajalla ei kuitenkaan ole tällaisissa tilanteissa mahdollisuutta mennä tarkastamaan työmaata, vaan tilintarkastaja hankkii riittävän evidenssin muulla tavalla, kuten tarkastamalla laskelmat ja suorittamalla muita aineistotarkastustoimenpiteitä.

Kontrolliriski ja riskien hallinta tilintarkastuksessa – miten tilintarkastaja arvioi sisäiset kontrollit

Vuonna 2019 uudistetun ISA 315-standardin mukaan kontrollilla tarkoitetaan toimintaperiaatetta tai menettelytapaa, jonka yhteisö on luonut johdon tai hallintoelinten valvontatavoitteiden saavuttamiseksi. ISA 200-standardin mukaan kontrolliriskillä tarkoitetaan riskiä siitä, että yhteisön kontrollit eivät estä tai havaitse ja korjaa riittävän ajoissa jotakin liiketapahtumien lajia, tilin saldoa tai tilinpäätöksessä esitettävän tiedon mahdollista virhettä, joka voisi olla olennainen yksin tai yhdessä muiden virheellisyyksien kanssa. 

Käytännössä kontrolli voi olla esimerkiksi tietyn euromäärän ylittävien ostolaskujen pakollinen hyväksyntä useamman henkilön toimesta tai se, että samalla henkilöllä ei ole oikeuksia tehdä ostoja ja maksaa tilaamiaan tavaroita. Pienyrityksissä kontrollinen luominen ja toteuttaminen tehokkaasti sekä järkevästi on kuitenkin haaste, koska tyypillisesti tehtäviä ei ole mahdollista eriyttää usealle henkilölle. Tämän vuoksi käytännössä pienyrityksissä ainoana kontrollina on kirjanpitäjä, joka muodostaa tilinpäätöksen ja toteuttaa kirjanpidon yhteisöstä ulkopuolisena tahona. Kontrollien puute ei kuitenkaan poista tilintarkastajan velvollisuutta tunnistaa ja arvioida olennaisen virheellisyyden riskejä. Tilintarkastajan tulee vähintään todeta, että kontrolleja ei ole ja millaisen riskin niiden puuttuminen synnyttää.  

Suuremmissa yhteisöissä on usein luotu erilaisia kontrolleja ja tilintarkastaja voi testata omilla tarkastustoimillaan niiden toimivuutta. Käytännössä tämä tarkoittaa sitä, että tilintarkastaja on muodostanut käsityksen johdon kanssa käytyjen keskustelujen perusteella, että esimerkiksi yhteisön toimitusjohtajan tulee hyväksyä kaikki yli 60 000 euroa ylittävät ostolaskut. Tilintarkastaja voi suorittaa tarkastustoimenpiteitä, jotta hän saa evidenssiä kontrollin toimivuudesta. Esimerkiksi tässä tapauksessa hän tarkastaa hyväksyykö toimitusjohtaja tosiasiassa nämä tietyn euromäärän ylittävät ostolaskut. Jos kontrollit toimivat tehokkaasti ja luotettavasti, tilintarkastaja voi vähentää aineistotarkastuksen määrää.

Yhteenveto: tilintarkastus, riskien hallinta ja tilintarkastajan merkitys yritykselle

Vuonna 2019 uudistetun ISA 315-standardin mukaan tilintarkastajalla on velvollisuus tunnistaa ja arvioida tilinpäätöksessä olevat virheellisyyden riskit. Käytännössä tämä tarkoittaa sitä, että tilintarkastaja muodostaa käsityksen tilintarkastettavasta yhteisöstä, sen tilinpäätökseen sisältyvistä olennaisista omaisuuseristä ja tunnistaa niihin liittyvät riskit. Riski voi olla kohonnut esimerkiksi silloin, jos yhteisö toimii monimutkaisessa toimintaympäristössä tai pienyrityksissä voi olla paljon automatisoituja toimintoja eli ihminen ei tarkasta omaisuuserää ennen kuin se päätyy tilinpäätökseen. Yhteisöllä ei näin ollen ole kontrollia estämässä tilinpäätöserään kohdistuvaa olennaista virheellisyyttä. 

Kiinnostaako yrityksen toimintaan liittyvät keskeiset kysymykset laajemmin? Tutustu myös aiempaan blogikirjoitukseemme “Startup-juridiikka osa 1”.

Marjaana Korhonen

HTM (finanssioikeus), kauppatieteen ylioppilas

Veroasiantuntija

Tilintarkastusassistentti

Lakitoimisto KPF

050 533 8295

marjaana.korhonen@kpflaki.com