International Auditing and Assurance Standards Board April 2009 International Standard om Revision Kommunikation om mangler i intern kontrol til den øverste ledelse og den daglige ledelse Foreningen af Statsautoriserede Revisorer
International Auditing and Assurance Standards Board International Federation of Accountants 545 Fifth Avenue, 14 th Floor New York, New York 10017 USA Denne Internationale Standard om Revision (), Kommunikation om mangler i intern kontrol til den øverste ledelse og den daglige ledelse er udarbejdet af International Auditing and Assurance Standards Board (IAASB), en uafhængig standard udstedende organisation, der indgår i International Federation of Accountants (IFAC). IAASB har til formål at udstede standarder af høj kvalitet om revision og andre erklæringer med sikkerhed samt bidrage til en større tilnærmelse af internationale og nationale standarder for på den måde at styrke kvaliteten og ensartetheden af praksis på verdensplan og styrke offentlighedens tillid til den globale revisions - og erklæringsprofession. Den originale engelsksprogede publikation kan downloades gratis fra IFAC s website: http://www.ifac.org. Den godkendte tekst er den engelsksprogede udgave. IFAC s mål er at tjene offentlighedens interesser, styrke regnskabsprofessionen på globalt plan og bidrage til udviklingen af en stærk international økonomi ved at etablere og fremme efterlevelsen af faglige standarder af høj kvalitet og den internationale ensretning af sådanne standarder samt udtale sig om forhold af interesse for offentligheden på områder, hvor professionens ekspertise er relevant. April 2009, International Federation of Accountants (IFAC). Alle rettigheder forbeholdes. Kopiering er tilladt forudsat, at sådanne kopier skal anvendes ved undervisning eller privat og hverken sælges eller formidles, og forudsat, at hver kopi bibeholder teksten: April 2009, International Federation of Accountants (IFAC). Alle rettigheder forbeholdes. Anvendes med tilladelse af IFAC. Kontakt permissions@ifac.org, dersom der ønskes tilladelse til at gengive, sælge eller videresende dette dokument. I andre situationer kræves IFAC s skriftlige tilladelse for at gengive, sælge, videresende eller gøre anden tilsvarende brug af dette dokument ud over, hvad loven tillader. Kontakt permissions@ifac.org Denne Internationale Standard om Revision (), Kommunikation om mangler i intern kontrol til den øverste ledelse og den daglige ledelseer udgivet på engelsk af International Auditing and Assurance Standard Board i International Federation for Accountants (IFAC) i april 2009 og oversat til dansk af Foreningen af Statsautoriserede Revisorer og genudgivet med tilladelse fra IFAC. IFAC har overvejet processen for oversættelsen af International Standard on Auditing oversættelsen er udført i overensstemmelse med Policy Statement Policy for Translation and Reproducing Standards Issued by IFAC. Den godkendte tekst i samtlige Internationale Standarder om Revision, der udgives af IFAC, er den originale engelske tekst. Engelsk udgave af International Standard om Revision (), Kommunikation om mangler i intern kontrol til den øverste ledelse og den daglige ledelse 2009, International Federation of Accountants (IFAC). Alle rettigheder forbeholdes. Dansk udgave af International Standard om Revision (), Kommunikation om mangler i intern kontrol til den øverste ledelse og den daglige ledelse 2011, International Federation of Accountants (IFAC). Alle rettigheder forbeholdes. Original titel: International Standard on Auditing (), Communicating Deficiencies in Internal Control to Those Charged with Governance and Management. ISBN: 978-1-934779-97-2
KOMMUNIKATION OM MANGLER I INTERN KONTROL TIL DEN ØVERSTE (Træder i kraft for revisioner af regnskaber for perioder, der begynder den 15. december 2009 eller senere*) INDHOLDSFORTEGNELSE Afsnit Indledning Omfanget af denne ISA... 1-3 Ikrafttrædelsesdato...4 Mål...5 Definitioner...6 Krav... 7-11 Vejledning og andet forklarende materiale Fastlæggelse af, om der er konstateret mangler i intern kontrol...a1-a4 Betydelige mangler i intern kontrol...a5-a11 Kommunikation af mangler i intern kontrol...a12-a30 * Ikrafttrædelse i Danmark udskudt med 12 måneder., Kommunikation om mangler i intern kontrol til den øverste ledelse og den daglige ledelse, bør læses i sammenhæng med ISA 200, Den uafhængige revisors overordnede mål og revisionens gennemførelse i overensstemmelse med Internationale Standarder om Revision
Indledning Omfanget af denne ISA 1. Denne ISA omhandler revisors ansvar for på en passende måde at kommunikere de mangler i intern kontrol 1, som revisor har konstateret under revision af regnskaber, til den øverste og daglige ledelse. Denne ISA pålægger ikke revisor et yderligere eller mere vidtgående ansvar for at opnå en forståelse af interne kontrol og for at udforme og udføre test af kontroller ud over kravene i ISA 315 og ISA 330 2. ISA 260 3 fastlægger yderligere krav og giver vejledning angående revisors ansvar for at kommunikere med den øverste ledelse i forbindelse med revisionen. 2. Revisor skal opnå en forståelse af intern kontrol, som er relevant for revisionen i forbindelse med identifikation og vurdering af risiciene for væsentlig fejlinformation 4. I forbindelse med risikovurderingerne overvejer revisor intern kontrol med henblik på at udforme revisionshandlinger, der er passende efter omstændighederne, men ikke med det formål at udtrykke en konklusion om effektiviteten af intern kontrol. Revisor kan identificere mangler i intern kontrol ikke alene under risikovurderingsprocessen, men også på ethvert andet stadie i revisionen. Denne ISA præciserer, hvilke konstaterede mangler revisor skal kommunikere til den øverste ledelse og den daglige ledelse. 3. Denne ISA udelukker ikke revisor fra at kommunikere andre forhold vedrørende intern kontrol, som revisor har identificeret under revisionen, til den øverste ledelse og den daglige ledelse. Ikrafttrædelsesdato 4. Denne ISA træder i kraft for revisioner af regnskaber for perioder, der begynder den 15. december 2009 eller senere. Mål 5. Revisors mål er på en passende måde at kommunikere til den øverste og den daglige ledelse om de mangler i intern kontrol, som revisor har konstateret under revisionen, og som efter revisors faglige vurdering er af tilstrækkelig vigtighed til at fortjene deres opmærksomhed. Definitioner 6. I ISA'erne forstås ved: (a) mangel i intern kontrol foreligger, når: i) en kontrol er udformet, implementeret eller anvendt på en sådan måde, at den ikke rettidigt kan forebygge eller opdage og korrigere fejlinformationer i regnskabet, eller 1 ISA 315, Identifikation og vurdering af risici for væsentlig fejlinformation igennem forståelse af virksomheden og dens omgivelser, afsnit 4 og 12. 2 ISA 330, Revisors reaktion på vurderede risici. 3 ISA 260, Kommunikation med den øverste ledelse. 4 ISA 315, Identifikation og vurdering af risici for væsentlig fejlinformation igennem forståelse af virksomheden og dens omgivelser, afsnit 12. Afsnit A60-A65 giver vejledning om kontroller, der er relevante for revisionen. Side 1
Krav (b) ii) der mangler en kontrol, der er nødvendig for rettidigt at forebygge eller opdage og korrigere fejlinformationer i regnskabet betydelig mangel i intern kontrol en mangel eller kombination af mangler i intern kontrol, som efter revisors faglige vurdering er af tilstrækkelig vigtighed til at fortjene den øverste ledelses opmærksomhed (jf. afsnit A5). 7. Revisor skal på grundlag af det udførte revisionsarbejde fastlægge, om der er konstateret en eller flere mangler i intern kontrol (jf. afsnit A1-A4). 8. Hvis revisor har konstateret en eller flere mangler i intern kontrol, skal revisor på grundlag af det udførte revisionsarbejde afgøre, om disse enkeltvis eller tilsammen udgør betydelige mangler (jf. afsnit A5-A11). 9. Revisor skal rettidigt og skriftligt kommunikere til den øverste ledelse om betydelige mangler i intern kontrol, der er konstateret under revisionen (jf. afsnit A12-A18, A27). 10. Revisor skal også rettidigt kommunikere til personer på et passende niveau i den daglige ledelse (jf. afsnit A19, A27): (a) (b) skriftligt om betydelige mangler i intern kontrol, som revisor har kommunikeret eller har til hensigt at kommunikere til den øverste ledelse, medmindre det efter omstændighederne ikke vil være passende at kommunikere direkte til den daglige ledelse, og (jf. afsnit A14, A20-A21) om andre mangler i intern kontrol, der er konstateret under revisionen, og som ikke er blevet kommunikeret til den daglige ledelse af andre parter, og som efter revisors faglige vurdering er af tilstrækkelig vigtighed til at fortjene den daglige ledelses opmærksomhed (jf. afsnit A22-A26). 11. Revisor skal i sin skriftlige kommunikation om betydelige mangler i den interne kontrol medtage: (a) (b) en beskrivelse af manglerne og en forklaring på deres potentielle konsekvenser (jf. afsnit A28) og tilstrækkelig information til, at den øverste og den daglige ledelse kan forstå baggrunden for kommunikationen. Revisor skal især forklare, at (jf. afsnit A29-A30): i) formålet med revisionen var, at revisor udtrykker en konklusion om regnskabet ii) iii) revisionen omfattede overvejelse af intern kontrol, der er relevant for udarbejdelsen af regnskabet, med henblik på at udforme revisionshandlinger, der er passende efter omstændighederne, men ikke med det formål at udtrykke en konklusion om effektiviteten af intern kontrol, og de forhold, der rapporteres, begrænser sig til de mangler, som revisor har konstateret under revisionen, og som ifølge revisor er af tilstrækkelig vigtighed til at blive rapporteret til den øverste ledelse. *** Vejledning og andet forklarende materiale Fastlæggelse af, om der er konstateret mangler i intern kontrol (jf. afsnit 7) Side 2
A1. Ved fastlæggelsen af, om revisor har konstateret en eller flere mangler i intern kontrol, kan revisor drøfte de relevante kendsgerninger og omstændigheder ved sine observationer med det rette niveau i den daglige ledelse. Denne drøftelse giver revisor mulighed for rettidigt at gøre den daglige ledelse opmærksom på, at der er mangler, som den daglige ledelse ikke tidligere har været opmærksom på. Niveauet i den daglige ledelse, som det er passende at drøfte observationerne med, er det niveau, der er bekendt med det pågældende interne kontrolområde og har bemyndigelse til at udbedre enhver konstateret mangel i intern kontrol. I visse tilfælde vil det ikke være passende for revisor at drøfte sine observationer direkte med den daglige ledelse, f.eks. hvis observationerne synes at så tvivl om den daglige ledelses integritet eller kompetence (jf. afsnit A20). A2. Når revisor drøfter kendsgerninger og omstændigheder ved revisors observationer med den daglige ledelse, kan revisor opnå anden relevant information til yderligere overvejelse, f.eks.: den daglige ledelses forståelse af de faktiske eller formodede årsager til manglerne afvigelser, som den daglige ledelse kan have konstateret, og som er opstået på grund af manglerne, f.eks. fejlinformation, der ikke blev forebygget af de relevante it-kontroller den daglige ledelses foreløbige tilkendegivelse af sin reaktion på observationerne. Særlige overvejelser vedrørende mindre virksomheder A3. Selv om de principper, der ligger til grund for kontrolaktiviteter i mindre virksomheder, sandsynligvis er de samme som i større virksomheder, kan de være mere eller mindre formaliserede. Mindre virksomheder kan endvidere finde, at visse typer kontrolaktiviteter ikke er nødvendige som følge af de kontroller, der udføres af den daglige ledelse. Eksempelvis kan den daglige ledelses enebemyndigelse til at yde kunder kredit og godkende betydelige varekøb medføre en effektiv kontrol med vigtige balanceposter og transaktioner og dermed mindske eller fjerne behovet for mere detaljerede kontrolaktiviteter. A4. Mindre virksomheder har desuden ofte færre ansatte, hvilket i praksis kan begrænse omfanget af funktionsadskillelse. I en lille ejerledet virksomhed kan ejerlederen imidlertid være i stand til at udøve et mere effektivt tilsyn end i en større virksomhed. Dette højere niveau af tilsyn fra den daglige ledelses side må afvejes mod den øgede mulighed for, at den daglige ledelse tilsidesætter kontroller. Betydelige mangler i intern kontrol (jf. afsnit 6(b), 8) A5. Betydeligheden af en mangel eller en kombination af mangler i intern kontrol afhænger ikke blot af, om en fejlinformation faktisk er opstået, men også af sandsynligheden for, at en fejlinformation kan opstå og af fejlinformationens potentielle omfang. Der kan derfor eksistere betydelige mangler, selv om revisor ikke har fundet fejlinformationer under revisionen. A6. Eksempler på forhold, som revisor kan overveje for at fastslå, om en mangel eller kombination af mangler i intern kontrol udgør en betydelig mangel, kan blandt andet være: sandsynligheden for, at manglerne i fremtiden vil føre til væsentlige fejlinformationer i regnskabet Side 3
eksponeringen for tab eller besvigelser forbundet med det tilhørende aktiv eller den tilhørende forpligtelse subjektivitet og kompleksitet ved fastlæggelsen af skønsmæssige beløb, såsom regnskabsmæssige skøn over dagsværdier de beløb i regnskabet, som er eksponeret for manglerne omfanget af aktivitet, der har fundet sted eller kunne finde sted på balanceposten eller i grupper af transaktioner, som er eksponeret for manglen eller manglerne kontrollernes vigtighed for regnskabsaflæggelsesprocessen, f.eks.: o generelle overvågningskontroller (såsom tilsyn med den daglige ledelse) o kontroller for forebyggelse og opdagelse af besvigelser o kontroller for udvælgelse og anvendelse af anvendt regnskabspraksis o kontroller for betydelige transaktioner med nærtstående parter o kontroller for betydelige transaktioner uden for virksomhedens normale drift o kontroller for regnskabsaflæggelsen ved afslutning af en periode (såsom kontroller med ikke-tilbagevendende posteringer) årsagen til og hyppigheden af de konstaterede afvigelser som følge af manglerne i kontrollerne manglens samspil med andre mangler i intern kontrol. A7. Indikationer på betydelige mangler i intern kontrol kan f.eks. være følgende: Bevis på ineffektive aspekter i kontrolmiljøet, såsom: o tegn på, at betydelige transaktioner, som den daglige ledelse er økonomisk interesseret i, ikke undersøges på passende vis af den øverste ledelse o identifikation af væsentlige såvel som uvæsentlige ledelsesbesvigelser, som ikke blev forebygget af virksomhedens interne kontrol o den daglige ledelse undladelse af at udbedre betydelige mangler, som tidligere er kommunikeret mangel på en risikovurderingsproces i virksomheden, hvor en sådan proces normalt ville være forventet etableret bevis for en ineffektiv risikovurderingsproces i virksomheden, f.eks. når den daglige ledelse ikke har identificeret en risiko for væsentlig fejlinformation, som revisor ville have forventet identificeret gennem virksomhedens risikovurderingsproces bevis for, at reaktionen på identificerede betydelige risici ikke har været effektiv (f.eks. manglende kontroller med en sådan risiko) fejlinformationer opdaget ved revisors revisionshandlinger, der ikke blev forebygget eller opdaget og korrigeret af virksomhedens interne kontrol, ændring af et tidligere offentliggjort regnskab for at afspejle korrektionen af en væsentlig fejlinformation som følge af fejl eller besvigelser Side 4
bevis for den daglige ledelses manglende evne til at føre tilsyn med regnskabsudarbejdelsen. A8. Kontroller kan være udformet til at fungere enkeltvis eller sammen for effektivt at forebygge eller opdage og korrigere fejlinformationer 5. Kontrol af tilgodehavender kan f.eks. bestå af både programmerede og manuelle kontroller, som er udformet til fungere sammen for at forebygge eller opdage og korrigere fejlinformation i balanceposten. En mangel i intern kontrol er muligvis ikke i sig selv tilstrækkeligt vigtig til at udgøre en betydelig mangel. En kombination af mangler, som påvirker samme balancepost eller oplysning, samme relevante revisionsmål eller samme del af intern kontrol, kan derimod øge risiciene for fejlinformation i en sådan grad, at den udgør en betydelig mangel. A9. I henhold til lov eller øvrig regulering i nogle jurisdiktioner skal revisor (særligt ved revision af børsnoterede selskaber) kommunikere til den øverste ledelse eller andre relevante parter (såsom tilsynsmyndigheder) om en eller flere specifikke typer mangler i den interne kontrol, som revisor har konstateret under revisionen. Hvor der i lov eller øvrig regulering er fastsat specifikke begreber og definitioner for disse typer mangler, og det kræves, at revisor anvender disse begreber og definitioner i kommunikationen, skal revisor benytte disse begreber og definitioner, når revisor kommunikerer i henhold til kravene i lov eller øvrig regulering. A10. Når jurisdiktionen har fastsat specifikke begreber for de typer mangler i intern kontrol, som skal kommunikeres, men ikke har defineret sådanne begreber, kan det være nødvendigt for revisor at bruge sin dømmekraft til at afgøre, hvilke forhold der skal kommunikeres i henhold til kravet i lov eller øvrig regulering. Revisor kan i den forbindelse overveje, om kravene og vejledningen i denne ISA er relevante. Hvis f.eks. formålet med kravet i lov eller øvrig regulering er at gøre den øverste ledelse opmærksom på visse interne kontrolforhold, som den øverste ledelse bør have kendskab til, kan det være hensigtsmæssigt generelt at ligestille disse forhold med de betydelige mangler, som ifølge denne ISA skal kommunikeres til den øverste ledelse. A11. Kravene i denne ISA er gældende, uanset om lov eller øvrig regulering måtte kræve, at revisor skal anvende specifikke begreber eller definitioner. Kommunikation af mangler i intern kontrol Kommunikation af betydelige mangler i intern kontrol til den øverste ledelse (jf. afsnit 9) A12. Den skriftlige kommunikation af betydelige mangler til den øverste ledelse afspejler vigtigheden af disse forhold og hjælper den øverste ledelse med at opfylde sit tilsynsansvar. ISA 260 opstiller relevante overvejelser i forbindelse med kommunikationen med den øverste ledelse, når hele den øverste ledelse deltager i den daglige ledelse af virksomheden 6. A13. Ved fastlæggelse af, hvornår den skriftlige kommunikation skal finde sted, kan revisor overveje, om det vil være vigtigt for den øverste ledelse at modtage denne kommunikation for at opfylde sit tilsynsansvar. Derudover kan det for børsnoterede selskaber i visse jurisdiktioner være nødvendigt for den øverste ledelse at modtage revisors skriftlige 5 ISA 315, Identifikation og vurdering af risici for væsentlig fejlinformation igennem forståelse af virksomheden og dens omgivelser, afsnit A66. 6 ISA 260, Kommunikation med den øverste ledelse, afsnit 13. Side 5
kommunikation før datoen for godkendelsen af regnskabet for at kunne opfylde sit specifikke ansvar vedrørende reguleringsmæssige eller andre formål i relation til intern kontrol. For andre virksomheders vedkommende kan revisor udsende den skriftlige kommunikation på et senere tidspunkt. Her er den skriftlige kommunikation dog underlagt det overordnede krav 7 om, at revisor skal afslutte samlingen af det endelige revisionsarkiv rettidigt, da revisors skriftlige kommunikation af betydelige mangler udgør en del af det endelige revisionsarkiv. ISA 230 fastsætter, at en passende tidsfrist for afslutning af samlingen af det endelige revisionsarkiv normalt er senest 60 dage efter datoen på revisors erklæring 8. A14. Uanset den tidsmæssige placering af den skriftlige kommunikation af betydelige mangler kan revisor i første omgang kommunikere disse mundtligt til den daglige ledelse og, når det er passende, den øverste ledelse for at hjælpe disse til rettidigt at træffe udbedrende foranstaltninger for at minimere risiciene for væsentlig fejlinformation. Det fritager dog ikke revisor for ansvaret for skriftligt at kommunikere de betydelige mangler, som krævet i denne ISA. A15. Det er revisors faglige dømmekraft, der i de konkrete tilfælde tager stilling til, hvor detaljeret kommunikationen om betydelige mangler skal være. De faktorer, som revisor kan overveje med henblik herpå, kan f.eks. omfatte følgende: virksomhedens art. Den kommunikation, der kræves for en virksomhed af offentlig interesse, kan f.eks. være forskellig fra den, der kræves for virksomheder uden offentlig interesse virksomhedens størrelse og kompleksitet. Den kommunikation, der kræves for en kompleks virksomhed, kan f.eks. være forskellig fra den, der kræves for en virksomhed, der udøver en enkel forretning arten af de betydelige mangler, som revisor har identificeret virksomhedens ledelsessammensætning. Det kan f.eks. være nødvendigt med mere detaljerede oplysninger, hvis den øverste ledelse omfatter medlemmer, som ikke har stor erfaring med den branche, som virksomheden opererer i, eller med de berørte områder krav i lov eller øvrig regulering vedrørende kommunikationen af specifikke typer mangler i intern kontrol. A16. Den daglige og den øverste ledelse er muligvis allerede opmærksomme på betydelige mangler, som revisor har fundet under revisionen, og kan have valgt ikke at udbedre dem af omkostningshensyn eller andre hensyn. Den daglige og øverste ledelse har ansvaret for at vurdere omkostningerne og fordelene ved at træffe udbedrende foranstaltninger. Kravet i afsnit 9 gælder uanset de omkostningshensyn eller andre hensyn, som den daglige og den øverste ledelse finder relevante, når de skal vurdere, om sådanne mangler skal udbedres. A17. Selv om revisor har kommunikeret en betydelig mangel til den øverste og daglige ledelse i forbindelse med en tidligere revision, fjerner det ikke behovet for, at revisor genta- 7 ISA 230, Revisionsdokumentation, afsnit 14. 8 ISA 230, Revisionsdokumentation, afsnit A21. Side 6
ger kommunikationen, hvis der endnu ikke er truffet udbedrende foranstaltninger. Hvis en tidligere kommunikeret betydelig mangel fortsat eksisterer, kan beskrivelsen fra den tidligere kommunikation gentages i det aktuelle års kommunikation, eller der kan blot henvises til den tidligere kommunikation. Revisor kan anmode den daglige ledelse eller, hvor det er passende, den øverste ledelse om svar på, hvorfor den betydelige mangel endnu ikke er udbedret. Manglende handling kan, medmindre der foreligger en fornuftig forklaring, i sig selv udgøre en betydelig mangel. Særlige overvejelser vedrørende mindre virksomheder A18. Ved revision af mindre virksomheder kan revisor kommunikere på en mindre struktureret måde med den øverste ledelse end ved revision af større virksomheder. Kommunikation til den daglige ledelse af mangler i intern kontrol (jf. afsnit 10) A19. Det rette ledelsesniveau vil normalt være det niveau, som har ansvaret for og bemyndigelsen til at vurdere manglerne i intern kontrol og træffe de nødvendige udbedrende foranstaltninger. I relation til betydelige mangler vil det rette niveau sandsynligvis være den administrerende direktør eller økonomidirektøren (eller tilsvarende), da disse forhold også skal kommunikeres til den øverste ledelse. For andre mangler i intern kontrol kan det rette niveau være funktionsledelsen med en mere direkte involvering i de berørte kontrolområder og med bemyndigelse til at træffe de passende udbedrende foranstaltninger. Kommunikation om betydelige mangler i intern kontrol til den daglige ledelse (jf. afsnit 10(a)) A20. Visse konstaterede betydelige mangler i intern kontrol kan rejse tvivl om den daglige ledelses integritet eller kompetence. Der kan f.eks. foreligge bevis på besvigelser eller bevidst manglende overholdelse af love og øvrig regulering fra den daglige ledelses side, eller den daglige ledelse kan udvise manglende evne til at føre tilsyn med udarbejdelsen af et fyldestgørende regnskab, hvilket kan rejse tvivl om den daglige ledelses kompetence. Det er derfor ikke nødvendigvis hensigtsmæssigt at kommunikere sådanne mangler direkte til den daglige ledelse. A21. ISA 250 fastlægger krav og giver vejledning om rapportering af manglende eller formodet manglende overholdelse af love og øvrig regulering, herunder når den øverste ledelse selv er involveret i den manglende overholdelse 9. ISA 240 fastlægger krav og giver vejledning om kommunikation med den øverste ledelse, når revisor har konstateret besvigelser eller formodede besvigelser, som involverer den daglige ledelse 10. Kommunikation af andre mangler i intern kontrol til den daglige ledelse (jf. afsnit 10(b)) A22. Revisor kan under revisionen konstatere andre mangler i intern kontrol, der er ikke betydelige mangler, men som kan være af tilstrækkelig vigtighed til at fortjene den daglige ledelses opmærksomhed. Fastlæggelsen af, hvilke andre mangler i intern kontrol, der fortjener den daglige ledelses opmærksomhed, er et spørgsmål om faglig vurdering efter omstændighederne, hvor sandsynligheden for og det mulige omfang af den fejlinformation, der kan opstå i et regnskab som følge af disse mangler, tages i betragtning. 9 ISA 250, Overvejelser vedrørende love og øvrig regulering ved revision af regnskaber, afsnit 22-28. 10 ISA 240, Revisors ansvar vedrørende besvigelser ved revision af regnskaber, afsnit 41. Side 7
A23. Kommunikationen af andre mangler i den interne kontrol, der fortjener den daglige ledelses opmærksomhed, behøver ikke at være skriftlig, men kan være mundtlig. Hvor revisor har drøftet fakta og omstændigheder ved revisors observationer med den daglige ledelse, kan revisor anse en mundtlig kommunikation til den daglige ledelse af de andre mangler for at have fundet sted på tidspunktet for disse drøftelser. En efterfølgende formel kommunikation er derfor ikke påkrævet. A24. Hvis revisor i en tidligere periode har kommunikeret mangler i intern kontrol ud over betydelige mangler til den daglige ledelse, og den daglige ledelse har valgt ikke at korrigere disse af omkostningsmæssige eller andre årsager, er det ikke nødvendigt, at revisor gentager kommunikationen i den aktuelle periode. Revisor skal heller ikke gentage information om sådanne mangler, hvis disse tidligere er kommunikeret til den daglige ledelse af andre parter, såsom interne revisorer eller tilsynsmyndigheder. Det kan dog være hensigtsmæssigt for revisor at kommunikere disse andre mangler på ny, hvis der er sket udskiftninger i den daglige ledelse, eller hvis revisor har fået kendskab til ny information, der ændrer revisors og den daglige ledelses forståelse af manglerne. Den daglige ledelses manglende udbedring af andre mangler i den interne kontrol, som blev kommunikeret tidligere, kan imidlertid udvikle sig til en betydelig mangel, som fortjener kommunikation med den øverste ledelse. Hvorvidt dette er tilfældet, afhænger af revisors bedømmelse i det konkrete tilfælde. A25. I visse tilfælde kan den øverste ledelse ønske at modtage mere detaljerede oplysninger om andre mangler i intern kontrol, som revisor har kommunikeret til den daglige ledelse, eller at blive orienteret kort om arten af de andre mangler. Omvendt kan revisor finde det passende at kommunikere til den øverste ledelse om kommunikationen af de andre mangler til den daglige ledelse. I begge tilfælde kan revisor rapportere mundtligt eller skriftligt til den øverste ledelse alt efter hvad revisor finder passende. A26. ISA 260 fastsætter relevante overvejelser i forhold til kommunikationen med den øverste ledelse, når hele den øverste ledelse deltager i den daglige ledelse af virksomheden 11. Særlige overvejelser vedrørende offentlige virksomheder (jf. afsnit 9-10) A27. Der kan påhvile revisorer for offentlige virksomheder et yderligere ansvar for at kommunikere mangler i intern kontrol, som revisor har konstateret under revisionen, på måder, i detaljeringsgrader og til parter, som ikke er forudset i denne ISA. Betydelige mangler kan f.eks. skulle kommunikeres til lovgiver eller et andet regulerende organ. Lov, øvrig regulering eller anden myndighed kan også pålægge revisor for offentlige virksomheder at rapportere mangler i intern kontrol, uansat hvor stor en betydning de mulige indvirkninger af manglerne måtte have. Lovgivningen kan desuden stille krav om, at revisorer for offentlige virksomheder skal rapportere om bredere forhold vedrørende intern kontrol end de mangler i intern kontrol, som denne ISA kræver kommunikeret, f.eks. kontroller knyttet til overholdelse af instrukser fra de lovgivende myndigheder, øvrig regulering, kontraktvilkår eller tilskudsaftaler. Indhold af skriftlig kommunikation vedrørende betydelige mangler i intern kontrol (jf. afsnit 11) 11 ISA 260, Kommunikation med den øverste ledelse, afsnit 9. Side 8
A28. For at forklare de mulige indvirkninger af betydelige mangler behøver revisor ikke at kvantificere disse. De betydelige mangler kan grupperes til brug for rapporteringen, hvor det er passende. Revisors skriftlige kommunikation kan også omfatte forslag til udbedring af manglerne, en beskrivelse af den daglige ledelses faktiske eller foreslåede reaktion samt en udtalelse om, hvorvidt revisor har taget skridt til at verificere, om foranstaltningerne truffet af den daglige ledelse er blevet implementeret. A29. Revisor kan finde det passende at medtage følgende baggrundsoplysninger i kommunikationen: en tilkendegivelse af, at såfremt revisor havde udført mere omfattende handlinger vedrørende intern kontrol, ville revisor måske have konstateret flere mangler, der skulle rapporteres, eller konkluderet, at det faktisk ikke havde været nødvendigt at rapportere nogle af de rapporterede mangler en tilkendegivelse af, at kommunikationen er afgivet med henblik på den øverste ledelses formål og muligvis ikke er egnet til andre formål. A30. Der kan ved lov eller øvrig regulering være stillet krav om, at revisor eller den daglige ledelse skal aflevere en kopi af revisors skriftlige kommunikation om betydelige mangler til passende regulerende myndigheder. I så fald kan revisors skriftlige kommunikation identificere disse tilsynsmyndigheder. Side 9