ISAE 3402 Bestyrkanderapporter om kontroller på en servicebyrå

1.Denna International Standard on Assurance Engagements (ISAE) behandlar bestyrkandeuppdrag som utförs av en revisor1 med syfte att lämna en rapport, som ska användas av användarföretag och deras revisorer, om kontrollerna på en servicebyrå som levererar en tjänst till användarföretag som sannolikt är relevant för användarföretags interna kontroll med avseende på finansiell rapportering. Den kompletterar ISA 4022 eftersom rapporter som upprättas enligt denna ISAE kan ge ändamålsenliga bevis enligt ISA 402. (Se punkt A 1.)

2.Enligt Internationellt ramverk för bestyrkandeuppdrag kan ett bestyrkandeuppdrag vara ett uppdrag där uttalandet lämnas med ”rimlig säkerhet” eller ett uppdrag där uttalandet lämnas med ”begränsad säkerhet”, ett bestyrkandeuppdrag kan vara antingen ett attestuppdrag eller ett direkt uppdrag.3 Denna ISAE behandlar enbart attestuppdrag där uttalandet lämnas med rimlig säkerhet.4

3.Denna ISAE gäller endast när servicebyrån är ansvarig för, eller på annat sätt kan lämna ett uttalande om, den lämpliga utformningen på kontrollerna. Denna ISAE behandlar inte bestyrkandeuppdrag avseende

1. uttalande om huruvida kontroller på en servicebyrå fungerar enligt beskrivning, eller

2. uttalande om andra kontroller på en servicebyrå än dem som har koppling till en tjänst som sannolikt är relevant för användarföretags interna kontroll med avseende på finansiell rapportering (t.ex. kontroller som påverkar användarföretags produktions- eller kvalitetskontroll).

Men denna ISAE ger viss vägledning för uppdrag som genomförs enligt ISAE 3000 (omarbetad). (Se punkt A 2.)

4.Utöver att lämna en bestyrkanderapport om kontroller kan en servicebyrås revisor även få i uppdrag att avge rapporter enligt följande, vilket inte behandlas i denna ISAE:

1. En rapport om ett användarföretags transaktioner eller konton som handhas av en servicebyrå.

2. En rapport om ett uppdrag att utföra granskning enligt särskild överenskommelse.

Förhållande till ISAE 3000 (omarbetad), andra uttalanden från yrkesorganisationer och andra krav

10.Servicebyråns revisor ska inte ange att han eller hon har följt denna ISAE såvida revisorn inte har följt kraven i denna ISAE och ISAE 3000 (omarbetad).

11.Servicebyråns revisor ska följa bestämmelserna i Etikkoden, avseende bestyrkandeuppdrag, eller andra yrkesmässiga krav eller krav enligt lagar eller andra författningar som är minst lika stränga. (Se punkt A 5.)

12.I de fall denna ISAE kräver att servicebyråns revisor gör förfrågningar om, begär uttalanden av, kommunicerar med eller på annat sätt interagerar med servicebyrån, ska servicebyråns revisor bestämma vilken eller vilka lämpliga personer inom servicebyråns företagsledning eller ledningsstruktur som han eller hon ska kommunicera med. Detta ska innefatta övervägande av vilken eller vilka personer som har lämpligt ansvar för och kunskap om de berörda förhållandena. (Se punkt A 6.)

13.Innan en servicebyrås revisor accepterar eller behåller ett uppdrag ska han eller hon:

1. fastställa om

   1. han eller hon har den förmåga och kompetens som krävs för att utföra uppdraget (se punkt A 7),

   2. de kriterier som revisorn förväntar sig ska användas av servicebyrån för att upprätta systembeskrivningen är lämpliga och kommer att vara tillgängliga för användarföretag och deras revisorer,

   3. uppdragets omfattning och inriktning samt servicebyråns systembeskrivning inte är så begränsade att de sannolikt inte är av nytta för användarföretag och deras revisorer.

2. Inhämta servicebyråns bekräftelse på att den är medveten om och förstår sitt ansvar för att:

   1. upprätta systembeskrivningen, och bifogat uttalande från servicebyrån, inklusive fullständighet, exakthet och uppställningsmetod för beskrivningen och uttalandet (se punkt A 8),

   2. ha rimlig grund för servicebyråns uttalande som bifogas systembeskrivningen (se punkt A 9),

   3. ange i servicebyråns uttalande de kriterier servicebyrån använde för att upprätta systembeskrivningen,

   4. i systembeskrivningen ange

      1. kontrollmålen, och

      2. i de fall de anges i lagar och andra författningar, eller av annan part (t.ex. en användargrupp eller ett yrkesorgan), den part som har angett dem.

   5. identifiera riskerna för att de angivna kontrollmålen i systembeskrivningen inte uppnås, och för att utforma och införa kontroller som ger rimlig säkerhet att dessa risker inte förhindrar de angivna kontrollmålen i systembeskrivningen från att uppnås och att de angivna kontrollmålen därför kommer att uppnås (se punkt A 10),

   6. ge servicebyråns revisor

      1. åtkomst till information, t.ex. bokföring, dokumentation och andra förhållanden, inklusive servicenivåavtal, när servicebyrån känner till att den är relevant för servicebyråns systembeskrivning och medföljande uttalande från servicebyrån,

      2. ytterligare information som servicebyråns revisor kan begära från servicebyrån för bestyrkandeuppdragets syfte,

      3. obegränsad tillgång till personer på servicebyrån som servicebyråns revisor bedömer det som nödvändigt att inhämta bevis från.

Godkännande av en ändring i villkoren för uppdraget

15.Servicebyråns revisor ska avgöra om servicebyrån har använt lämpliga kriterier vid upprättande av systembeskrivningen, vid utvärdering av om kontroller har lämplig utformning och, i fråga om en typ 2-rapport, vid utvärdering av om kontroller fungerar effektivt.

16.Vid avgörandet av lämpligheten i kriterierna som används för att utvärdera servicebyråns systembeskrivning ska servicebyråns revisor bestämma om kriterierna minst omfattar:

1. Om beskrivningen beskriver hur servicebyråns system var utformat och infört, inklusive, i tillämpliga fall:

   1. De typer av tjänster som tillhandahålls, inklusive, i tillämpliga fall, bearbetade transaktionsslag.

   2. De rutiner, både vad beträffar informationstekniksystem och manuella system, genom vilka tjänster tillhandahålls, inklusive, i tillämpliga fall, rutiner genom vilka transaktioner initieras, registreras, bearbetas, i förekommande fall rättas, och överförs till rapporterna och annan information som upprättas för användarföretag.

   3. Tillhörande material och underlag, inklusive, i tillämpliga fall, räkenskapsmaterial, underlag och särskilda konton som används för att initiera, registrera, bearbeta och redovisa transaktioner. I detta ingår rättelse av felaktig information och hur information överförs till rapporterna och annan information som upprättas till användarföretag.

   4. Hur servicebyråns system hanterar andra betydelsefulla händelser och villkor än transaktioner.

   5. Den process som används för att upprätta rapporter och annan information åt användarföretag.

   6. De angivna kontrollmålen och kontroller avsedda att uppnå dessa mål.

   7. Kompletterande kontroller på användarföretag, som övervägts vid utformningen av kontrollerna.

   8. Andra aspekter av servicebyråns kontrollmiljö, riskbedömningsprocess, informationssystem (inklusive näraliggande affärsprocesser) och kommunikation, kontrollaktiviteter och övervakningskontroller som är relevanta för de tillhandahållna tjänsterna.

2. I fråga om en typ 2-rapport, om beskrivningen innefattar relevanta uppgifter om ändringar i servicebyråns system under den period som beskrivningen omfattar.

3. Om beskrivningen utelämnar eller förvränger information som är relevant för omfattningen av servicebyråns beskrivna system, men bekräftar att beskrivningen är upprättad för att tillgodose gemensamma behov hos många olika slags användarföretag och deras revisorer, och därför inte kan innefatta alla aspekter av servicebyråns system som varje enskilt användarföretag och dess revisor kan anse vara viktiga i deras särskilda miljö.

17.Vid avgörandet av lämpligheten i kriterierna som används för att utvärdera kontrollernas utformning, ska servicebyråns revisor avgöra om kriterierna minst omfattar:

1. om servicebyrån har identifierat riskerna för att de angivna kontrollmålen i servicebyråns systembeskrivning inte uppnås, och

2. om de kontroller som är identifierade i beskrivningen skulle, om de fungerade enligt beskrivning, ge rimlig säkerhet att dessa risker inte förhindrar de angivna kontrollmålen från att uppnås.

18.Vid avgörandet av lämpligheten i kriterierna som används för att utvärdera effektiviteten i kontrollers funktion när det gäller att ge rimlig säkerhet att de angivna kontrollmålen i beskrivningen kommer att uppnås, ska servicebyråns revisor bestämma om kriterierna minst omfattar huruvida kontrollerna var konsekvent använda enligt utformningen under hela den angivna perioden. Detta innefattar huruvida manuella kontroller användes av enskilda personer med lämplig kompetens och befogenhet. (Se punkterna A 13–A 15.)

19.Vid planering och utförande av uppdraget ska servicebyrån överväga väsentlighet med avseende på den rättvisande bilden av beskrivningen, lämpligheten i utformningen av kontroller och, i fråga om en typ 2-rapport, effektiviteten i kontrollers funktion. (Se punkterna A 16–A 18.)

20.Servicebyråns revisor ska inhämta en förståelse av servicebyråns system, inklusive kontroller som innefattas i uppdragets inriktning och omfattning. (Se punkterna A 19–A 20.)

21.Servicebyråns revisor ska inhämta och läsa servicebyråns systembeskrivning och ska utvärdera om de aspekter av beskrivningen som innefattas i uppdragets inriktning och omfattning ger en rättvisande bild, inklusive om: (Se punkterna A 21–A 22.)

1. De angivna kontrollmålen i servicebyråns systembeskrivning är rimliga med hänsyn till omständigheterna. (Se punkt A 23.)

2. Kontroller som identifierades i beskrivningen infördes.

3. Eventuella kompletterande kontroller för användarföretaget är adekvat beskrivna.

4. Eventuella tjänster som utförs av en underservicebyrå är adekvat beskrivna, inklusive om den s.k. ”inclusive”-metoden eller den s.k. ”carve-out”-metoden har använts avseende dem.

22.Servicebyråns revisor ska fastställa, genom andra åtgärder i kombination med förfrågningar, om servicebyråns system har införts. Dessa andra åtgärder ska innefatta observation samt inspektion av bokföring och annan dokumentation av hur servicebyråns system fungerar och kontroller används. (Se punkt A 24.)

23.Servicebyrån ska bestämma vilka av kontrollerna på servicebyrån som behövs för att uppnå kontrollmålen i servicebyråns systembeskrivning, och ska bedöma om dessa kontroller var lämpligt utformade. Denna bestämning ska innefatta att: (Se punkterna A 25–A 27.)

1. identifiera riskerna för att de angivna kontrollmålen i servicebyråns systembeskrivning inte uppnås, och

2. utvärdera dessa riskers koppling till de kontroller som är identifierade i servicebyråns systembeskrivning.

24.När servicebyråns revisor lämnar en typ 2-rapport ska han eller hon granska de kontroller som servicebyråns revisor har bedömt som nödvändiga för att uppnå de angivna kontrollmålen i servicebyråns systembeskrivning, och bedöma hur de har fungerat under hela perioden. Bevis som har inhämtats vid tidigare uppdrag för den tillfredsställande funktionen hos kontroller under tidigare perioder utgör inte en grund för att minska granskningen, även om den kompletteras med bevis som inhämtats under den aktuella perioden. (Se punkterna A 28–A 32.)

25.När servicebyråns revisor utformar och utför granskning av kontroller ska han eller hon:

1. utföra andra åtgärder i kombination med förfrågning för att inhämta bevis om

   1. hur kontrollen användes,

   2. hur konsekvent kontrollen användes,

   3. av vem eller på vilket sätt kontrollen användes,

2. fastställa om kontroller som ska granskas är beroende av andra kontroller (indirekta kontroller) och, om så är fallet, avgöra om det krävs ytterligare bevis för att de indirekta kontrollerna fungerar, (se punkterna A 33–A 34)

3. fastställa metoder för val av poster som ska granskas som är effektiva när det gäller att uppfylla åtgärdens syften. (Se punkterna A 35–A 36.)

26.När omfattningen av granskningen av kontroller fastställs ska servicebyrån överväga förhållanden inkluderande egenskaper hos den population som ska granskas, vilket innefattar karaktären på kontroller, hur ofta de används (t.ex. varje månad eller dag, ett antal gånger per dag) och den förväntade avvikelsefrekvensen.

Urval

Avvikelsers karaktär och orsak

Inhämta en förståelse av internrevisionsavdelningen

Avgöra om och i vilken utsträckning internrevisionens arbete ska användas

Använda internrevisionsavdelningens arbete

Påverkan på servicebyråns revisors bestyrkanderapport

38.Servicebyråns revisor ska begära skriftliga uttalanden av servicebyrån: (Se punkt A 42.)

1. som bekräftar uttalandet som bifogas systembeskrivningen,

2. om att den har gett servicebyråns revisor tillgång till all relevant information och åtkomst enligt överenskommelser9,

3. om att den har upplyst servicebyråns revisor om de faktorer av följande som den känner till

   1. överträdelser av lagar och andra författningar, oegentligheter, eller orättade avvikelser som kan hänföras till servicebyrån och som kan påverka ett eller flera användarföretag,

   2. brister i kontrollernas utformning,

   3. tillfällen när kontroller inte har fungerat enligt beskrivning,

   4. händelser efter perioden som omfattas av servicebyråns systembeskrivning fram till datumet för servicebyråns revisors bestyrkanderapport som skulle kunna ha en betydande påverkan på servicebyråns revisors bestyrkanderapport.

39.De skriftliga uttalandena ska ha formen av ett brev adresserat till servicebyråns revisor. Datumet för de skriftliga uttalandena ska vara så nära datumet för servicebyråns revisors bestyrkanderapport som det är praktiskt möjligt, dock inte efter det datumet.

40.Om servicebyrån, efter att ha diskuterat frågan med servicebyråns revisor, inte lämnar ett eller flera begärda skriftliga uttalanden enligt punkt 38 a och b i denna ISAE ska servicebyråns revisor avstå från uttalande. (Se punkt A 43.)

41.Servicebyråns revisor ska läsa eventuell annan information i dokument med servicebyråns systembeskrivning och servicebyråns revisors bestyrkanderapport, för att identifiera eventuella väsentliga oförenligheter med beskrivningen. När servicebyråns revisor läser den andra informationen med syftet att identifiera väsentliga oförenligheter, kan han eller hon bli medveten om uppenbara felaktigheter i faktaåtergivningen i denna andra information.

42.Om servicebyråns revisor under läsningen av den andra informationen identifierar en väsentlig oförenlighet eller uppmärksammar en uppenbar väsentlig felaktighet i faktaåtergivningen, ska han eller hon diskutera frågan med servicebyrån. Om servicebyråns revisor drar slutsatsen att det finns en väsentlig oförenlighet eller en felaktig återgivning av fakta i den andra informationen som servicebyrån vägrar att rätta till ska han eller hon vidta de ytterligare åtgärder som är lämpliga. (Se punkterna A 44–A 45.)

43.Servicebyråns revisor ska göra en förfrågan om huruvida servicebyrån känner till händelser efter perioden som omfattas av servicebyråns systembeskrivning fram till datumet för servicebyråns revisors bestyrkanderapport som skulle kunna få revisorn att ändra rapporten. Om servicebyråns revisor känner till en sådan händelse och information om den inte har lämnats ut av servicebyrån, ska revisorn upplysa om händelsen i sin bestyrkanderapport.

44.Servicebyråns revisor har ingen förpliktelse att utföra åtgärder avseende servicebyråns systembeskrivning eller lämpligheten i kontrollers utformning eller effektiviteten i kontrollers funktion, efter datumet för rapporten.

45.Servicebyråns revisor ska utan onödigt dröjsmål upprätta dokumentation som utgör en redovisning av grunden för bestyrkanderapporten som är tillräckligt uttömmande och ändamålsenlig för att en erfaren servicebyrås revisor, som tidigare inte har varit inblandad i uppdraget, ska kunna förstå följande:

1. karaktären på, tidpunkten för och omfattningen av de åtgärder som har utförts för att uppfylla denna ISAE och tillämpliga krav i lagar och andra författningar,

2. resultaten av åtgärderna och vilka bevis som har inhämtats,

3. betydelsefulla frågor som har uppstått under uppdraget, vilka slutsatser som har dragits från dessa samt betydelsefulla professionella bedömningar som har gjorts till följd av dessa slutsatser.

46.Vid dokumentation av åtgärdernas karaktär, tidpunkt och omfattning ska servicebyråns revisor dokumentera:

1. identifikationsfaktorer för de särskilda poster eller förhållanden som har granskats,

2. vem som utförde arbetet och datumet då arbetet slutfördes,

3. vem som gick igenom det utförda arbetet, när detta gjordes och genomgångens omfattning.

47.Om servicebyråns revisor använder arbete som har utförts av internrevisionen ska han eller hon dokumentera slutsatser avseende utvärderingen av huruvida internrevisionens arbete är tillräckligt, och de åtgärder som servicebyråns revisor har utfört avseende det arbetet.

48.Servicebyråns revisor ska dokumentera diskussioner om betydelsefulla frågor med servicebyrån och andra, inklusive frågornas karaktär samt när och med vem diskussionerna ägde rum.

49.Om servicebyråns revisor har identifierat information som är oförenlig med hans eller hennes slutsats i en betydelsefull fråga, ska han eller hon dokumentera hur oförenligheten har hanterats.

50.Servicebyråns revisor ska sammanställa uppdragsdokumentationen och utan onödigt dröjsmål efter datumet för bestyrkanderapporten slutföra den administrativa processen avseende den slutliga sammanställningen.10

51.Efter det att den slutliga uppdragsdokumentationen har sammanställts får servicebyråns revisor inte radera eller kassera någon dokumentation förrän arkiveringstiden har upphört. (Se punkt A 46.)

52.Servicebyråns revisor ska, om han eller hon finner det nödvändigt att ändra den befintliga dokumentationen eller lägga till ny dokumentation efter det att den slutliga uppdragsdokumentationen har sammanställts, och den dokumentationen inte påverkar servicebyråns revisors rapport, oavsett ändringarnas eller tilläggens karaktär dokumentera följande:

1. de särskilda skälen till att ändringarna eller tilläggen har gjorts,

2. när och av vem de gjordes respektive gicks igenom.

Innehåll i servicebyråns revisors bestyrkanderapport

Modifierade uttalanden

56.Om servicebyråns revisor får kännedom om överträdelser av lagar och andra författningar, oegentligheter eller orättade misstag hänförliga till servicebyrån, som inte är uppenbart betydelselösa och som kan påverka ett eller flera användarföretag, ska servicebyråns revisor avgöra om frågan har kommunicerats på lämpligt sätt till berörda användarföretag. Om frågan inte har kommunicerats på lämpligt sätt och servicebyrån inte vill göra det, ska servicebyråns revisor vidta tillämpliga åtgärder. (Se punkt A 53.)

A 1.Intern kontroll är en process avsedd att ge rimlig säkerhet om uppnåendet av mål avseende tillförlitligheten i finansiell rapportering, effektivitet och ändamålsenlighet i verksamhet och efterlevnad av tillämpliga lagar och andra författningar. Kontroller avseende en servicebyrås verksamhets- och efterlevnadsmål kan vara relevanta för ett användarföretags interna kontroll med avseende på finansiell rapportering. Sådana kontroller kan avse påståenden om klassificering och upplysningar avseende konton, transaktionsslag eller upplysningar, eller kan avse bevis som användarföretagets revisor utvärderar eller använder när han eller hon utför granskningsåtgärder. Exempel: kontrollerna hos en servicebyrå som bearbetar löner avseende vidarebefordran utan dröjsmål av löneavdrag till myndigheter kan vara relevanta för ett användarföretag eftersom sen vidarebefordran kan ge upphov till ränta och avgifter som skulle leda till en skuld för användarföretaget. På motsvarande sätt kan en servicebyrås kontroller över godtagbarheten i investeringstransaktioner enligt lag betraktas som relevanta för ett användarföretags klassificering och upplysningar om transaktioner och konton i dess finansiella rapporter. Att avgöra om kontroller på en servicebyrå avseende verksamhet och efterlevnad sannolikt är relevanta för användarföretags interna kontroll med avseende på finansiell rapportering är en fråga om professionell bedömning, med hänsyn till servicebyråns angivna kontrollmål och kriteriernas lämplighet.

A 2.Servicebyrån kanske inte kan påstå att systemet är lämpligt utformat om servicebyrån t.ex. använder ett system som har utformats av ett användarföretag eller är stipulerat i ett kontrakt mellan ett användarföretag och servicebyrån. På grund av den ofrånkomliga kopplingen mellan lämplig utformning på kontroller och effektiviteten i kontrollers funktion, kommer avsaknaden av ett uttalande avseende lämpligheten i utformning sannolikt att förhindra servicebyråns revisor från att dra slutsatsen att kontrollerna ger rimlig säkerhet att kontrollmålen har uppnåtts och därmed från att lämna ett uttalande om effektiviteten i kontrollers funktion. Alternativt kan revisorn välja att acceptera ett uppdrag enligt särskild överenskommelse för att granska kontrollerna, eller ett bestyrkandeutdrag enligt ISAE 3000 för att dra slutsatsen om huruvida, baserat på granskningen av kontroller, kontrollerna har fungerat som beskrivet.

A 3.Definitionen av ”kontroller på servicebyrån” innefattar aspekter av användarföretags informationssystem som upprätthålls av servicebyrån, och kan också innefatta aspekter av en eller flera av de andra komponenterna i intern kontroll på servicebyrån. Exempel: den kan innefatta aspekter av en servicebyrås kontrollmiljö, övervakning och kontrollaktiviteter när de avser de levererade tjänsterna. Men den innefattar inte kontroller på en servicebyrå som inte handlar om att uppnå de kontrollmål servicebyrån har angett i systembeskrivningen, t.ex. kontroller avseende upprättandet av servicebyråns egna finansiella rapporter.

A 4.När den s.k. ”inclusive”-metoden används gäller kraven i denna ISAE även de tjänster som levereras av underservicebyrån, inklusive att inhämta samtycke avseende förhållandena i punkt 13 b i–v enligt vad som gäller underservicebyrån snarare än servicebyrån. Utförandet av åtgärder på underservicebyrån medför samordning och kommunikation mellan servicebyrån, underservicebyrån och servicebyråns revisor. Den s.k. ”inclusive”-metoden är endast genomförbar om servicebyrån och underservicebyrån är närstående företag, eller om kontraktet mellan servicebyrån och underservicebyrån medger att den ska användas.

A 5.Servicebyråns revisor omfattas av relevanta oberoendekrav, som vanligen utgörs av Internationella standarder för oberoende i Etikkoden tillsammans med nationella krav som är mer restriktiva. När ett uppdrag utförs enligt denna ISAE kräver inte Etikkoden att servicebyråns revisor är oberoende i förhållande till varje användarföretag.

A 6.Lednings- och styrstrukturer varierar mellan jurisdiktioner och företag, och avspeglar faktorer som olika kulturella och juridiska bakgrunder samt storleks- och ägarstruktur. Sådan variation innebär att det i denna ISAE inte går att ange för alla uppdrag vilka frågor som servicebyråns revisor tar upp med vilken eller vilka personer. Exempel: servicebyrån kan vara ett segment i en extern organisation och inte en separat juridisk person. I sådana fall kan det krävas professionell bedömning för att identifiera lämplig ledningspersonal eller styrelsemedlemmar att begära skriftliga uttalanden av.

Förmåga och kompetens att utföra uppdraget (se punkt 13 a i)

Servicebyråns uttalande (se punkt 13 b i)

Rimlig grund för servicebyråns uttalande (se punkt 13 b ii)

Identifiera risker (se punkt 13 b iv)

Godkännande av en ändring i villkoren för uppdraget (se punkt 14)

A 13.Det måste finnas kriterier tillgängliga för de avsedda användarna för att ge dem möjlighet att förstå grunden för servicebyråns uttalande om en rättvisande bild av systembeskrivningen, lämpligheten hos kontrollers utformning och, i fråga om en typ 2-rapport, effektiviteten i kontrollers funktion i förhållande till kontrollmålen.

A 14.ISAE 3000 (omarbetad) kräver att servicebyråns revisor bland annat avgör om de kriterier som ska användas är lämpliga samt avgör det underliggande granskningsobjektets lämplighet.11 Det underliggande granskningsobjektet är det underliggande förhållandet av intresse för en bestyrkanderapports avsedda användare. I följande tabell identifieras granskningsobjektet och minimikriterier för vart och ett av uttalandena i typ 2- och typ 1-rapporter.

A 15.Punkt 16 a identifierar ett antal delar som ingår i servicebyråns systembeskrivning efter vad som är tillämpligt. Dessa delar kanske inte är tillämpliga om det beskrivna systemet inte bearbetar transaktioner, t.ex. om systemet avser allmänna kontroller över värdtjänster för ett IT-program men inte kontrollerna som finns inbäddade i själva programmet.

A 16.I ett uppdrag att uttala sig om kontroller på en servicebyrå avser väsentlighetsprincipen det system rapporten gäller, inte användarföretags finansiella rapporter. Servicebyråns revisor planerar och utför åtgärder för att avgöra om servicebyråns systembeskrivning ger en rättvisande bild i alla väsentliga avseenden, om kontroller på servicebyrån är lämpligt utformade i alla väsentliga avseenden och, i fråga om en typ 2-rapport, om kontroller på servicebyrån fungerar effektivt i alla väsentliga avseenden. Väsentlighetsprincipen beaktar att servicebyråns revisors bestyrkanderapport ger information om servicebyråns system för att tillgodose de gemensamma informationsbehoven hos många olika slags användarföretag och deras revisorer som har en förståelse av hur det systemet har använts.

A 17.Väsentlighet med avseende på den rättvisande bilden av servicebyråns systembeskrivning, och med avseende på utformningen av kontroller, innefattar främst övervägande av kvalitativa faktorer, t.ex.: om beskrivningen innefattar de betydelsefulla aspekterna av att bearbeta betydande transaktioner, om beskrivningen utelämnar eller förvränger relevant information, och förmågan hos kontroller, enligt utformning, att ge rimlig säkerhet att kontrollmålen skulle uppnås. Väsentlighet med avseende på servicebyråns revisors uttalande om effektiviteten i kontrollers funktion innefattar övervägande av både kvantitativa och kvalitativa faktorer, t.ex. acceptabel avvikelsefrekvens och observerad avvikelsefrekvens (en kvantitativ fråga), och karaktären på och orsaken till eventuell observerad avvikelse (en kvalitativ fråga).

A 18.Väsentlighetsprincipen används inte vid upplysning om resultaten av granskningarna där avvikelser har identifierats, i beskrivningen av granskningen av kontroller. Detta beror på att en avvikelse, i de särskilda omständigheterna för ett visst användarföretag eller ett visst användarföretags revisor, kan ha betydelse utöver huruvida den, enligt servicebyråns revisors åsikt, förhindrar att en kontroll fungerar effektivt. Exempel: den kontroll som avvikelsen gäller kan vara särskilt betydelsefull för att förhindra en viss typ av misstag som kan vara väsentligt i de särskilda omständigheterna för ett användarföretags finansiella rapporter.

A 19.Inhämta en förståelse av servicebyråns system, inklusive kontroller, som innefattas i uppdragets inriktning och omfattning, hjälper servicebyråns revisor att:

• Identifiera gränserna i systemet och dess gränssnitt mot andra system.

• Bedöma om servicebyråns beskrivning ger en rättvisande bild av det system som har utformats och införts.

• Inhämta en förståelse av intern kontroll över upprättandet av servicebyråns uttalande.

• Avgöra vilka kontroller som behövs för att uppnå de angivna kontrollmålen i servicebyråns systembeskrivning.

• Bedöma om huruvida kontrollerna var lämpligt utformade.

• Bedöma, i fråga om en typ 2-rapport, om kontroller fungerade effektivt.

A 20.Servicebyråns revisors åtgärder för att skaffa sig denna förståelse kan innefatta att:

• Fråga personer på servicebyrån som enligt servicebyråns revisors bedömning kan ha relevant information.

• Observera verksamheter och inspektera dokument, rapporter, tryckta och elektroniska underlag för transaktionsbearbetning.

• Inspektera ett urval av avtal mellan servicebyrån och användarföretag för att identifiera de gemensamma villkoren.

• Upprepa kontrollåtgärder.

A 21.Att överväga följande frågor kan hjälpa servicebyråns revisor att avgöra om de aspekter av beskrivningen som innefattas i uppdragets inriktning och omfattning ger en i alla väsentliga avseenden rättvisande bild:

• Tar beskrivningen upp de viktigaste aspekterna av den tillhandahållna tjänsten (inom uppdragets inriktning och omfattning) som rimligen skulle kunna väntas vara relevanta för de gemensamma behoven hos många olika slags användarföretags revisorer i deras planering av revisioner av användarföretags finansiella rapporter?

• Har beskrivningen upprättats på en detaljnivå som rimligen skulle kunna förväntas ge många olika slags användarföretags revisorer tillräckligt med information för att skaffa en förståelse av intern kontroll enligt ISA 315 (omarbetad)?13 Beskrivningen behöver inte ta upp alla aspekter av servicebyråns bearbetning eller de tjänster som tillhandahålls till användarföretag, och behöver inte vara så detaljerade att det potentiellt kan innebära att en läsare äventyrar säkerheten eller andra kontroller på servicebyrån.

• Har beskrivningen upprättats på ett sätt som inte utelämnar eller förvränger information som kan påverka de gemensamma behoven hos många olika slags användarföretags revisorers beslut, t.ex. om beskrivningen innehåller eventuella betydelsefulla utelämnanden eller felaktigheter i bearbetningen som servicebyråns revisor känner till?

• I de fall några av de angivna kontrollmålen i servicebyråns beskrivning har undantagits från uppdragets inriktning och omfattning, identifierar beskrivningen tydligt de undantagna målen?

• Har de kontroller som identifierats i beskrivningen införts?

• Är kompletterande kontroller för användarföretaget, om sådana finns, adekvat beskrivna? I de flesta fall är beskrivningen av kontrollmålen formulerad på ett sätt så att kontrollmålen kan uppnås om de kontroller som servicebyrån har infört fungerar. Men i vissa fall kan inte de angivna kontrollmålen i servicebyråns systembeskrivning uppnås av enbart servicebyrån eftersom uppnåendet av målen kräver att vissa kontroller införs av användarföretag. Detta kan vara fallet när kontrollmålen t.ex. är angivna av en tillsynsmyndighet. När beskrivningen innefattar kompletterande kontroller på användarföretag identifieras dessa kontroller separat i beskrivningen tillsammans med de särskilda kontrollmålen som inte kan uppnås av enbart servicebyrån?

• Om den s.k. ”inclusive”-metoden har använts, identifierar beskrivningen separat kontroller på servicebyrån och kontroller på underservicebyrån? Om den s.k. ”carve-out”-metoden används, identifierar beskrivningen de funktioner som utförs av underservicebyrån? När den s.k. ”carve-out”-metoden används behöver inte beskrivningen beskriva den detaljerade bearbetningen eller kontroller på underservicebyrån?

A 22.Servicebyråns revisors åtgärder för att utvärdera hur rättvisande bild beskrivningen ger kan innefatta att:

• Överväga karaktären på användarföretag och hur tjänsterna som tillhandahålls av servicebyrån sannolikt kommer att påverka dem, t.ex. om användarföretag är från en viss bransch och om de regleras av myndigheter.

• Läsa standardavtal, eller standardvillkor i avtal, (i tillämpliga fall) med användarföretag för att skaffa sig en förståelse av servicebyråns avtalsförpliktelser.

• Observera åtgärder som utförs av servicebyråns personal.

• Gå igenom servicebyråns handböcker med riktlinjer och rutiner samt annan systemdokumentation, t.ex. flödesdiagram och beskrivningar.

A 23.Punkt 21 a kräver att servicebyråns revisor utvärderar om de angivna kontrollmålen i servicebyråns systembeskrivning är rimliga med hänsyn till omständigheterna. Att överväga följande frågor kan vara till hjälp när servicebyråns revisor gör sin utvärdering:

• Har de angivna kontrollmålen utformats av servicebyrån eller av utomstående parter, t.ex. en tillsynsmyndighet, en användargrupp eller ett yrkesorgan som tillämpar en transparent förankringsprocess?

• I de fall de angivna kontrollmålen har preciserats av servicebyrån, avser de i så fall de typer av påståenden som vanligen är förknippade med olika användarföretags finansiella rapporter som servicebyråns kontroller rimligen kan väntas avse? Även om servicebyråns revisor vanligen inte kommer att kunna avgöra hur kontroller på en servicebyrå särskilt avser de påståenden som är förknippade med enskilda användarföretags finansiella rapporter, används servicebyråns förståelse av karaktären på servicebyråns system, inklusive kontroller, och tjänster som tillhandahålls för att identifiera de typer av påståenden som dessa kontroller sannolikt avser.

• I de fall de angivna kontrollmålen har preciserats av servicebyrån, är de fullständiga? En fullständig uppsättning kontrollmål kan ge många olika användarföretags revisorer ett ramverk för att bedöma effekten av servicebyråns kontroller på de påståenden som vanligen förknippas med användarföretags finansiella rapporter.

A 24.Servicebyråns revisors åtgärder för att avgöra om servicebyråns system har införts kan likna, och utföras tillsammans med, åtgärder för att skaffa en förståelse av systemet. De kan också innefatta att spåra poster/transaktioner, spåra poster i servicebyråns system och, i fråga om en typ 2-rapport, särskilda frågor om ändringar i kontroller som infördes under perioden. Ändringar som är betydelsefulla för användarföretag eller deras revisorer ingår i servicebyråns systembeskrivning.

A 25.Ur ett användarföretags eller ett användarföretags revisors synvinkel är en kontroll lämpligt utformad om den, enskilt eller i kombination med andra kontroller, när den följs tillfredsställande, skulle ge rimlig säkerhet att väsentliga felaktigheter förhindras, eller upptäcks och rättas. Men en servicebyrå eller en servicebyrås revisor känner inte till omständigheterna hos enskilda användarföretag som skulle avgöra huruvida en felaktighet, som är följden av kontrollavvikelse, är väsentlig för dessa användarföretag. Därför, ur en servicebyrås revisors synvinkel, är en kontroll lämpligt utformad om den, enskilt eller i kombination med andra kontroller, när den följs tillfredsställande, skulle ge rimlig säkerhet att de angivna kontrollmålen i servicebyråns systembeskrivning har uppnåtts.

A 26.En servicebyrås revisor kan överväga att använda flödesdiagram, frågeformulär eller beslutstabeller för att underlätta förståelsen av kontrollernas utformning.

A 27.Kontroller kan bestå av ett antal aktiviteter med syfte att uppnå ett kontrollmål. Följden är att om servicebyråns revisor bedömer vissa aktiviteter som ineffektiva i att uppnå ett visst kontrollmål kan förekomsten av andra aktiviteter ge servicebyråns revisor möjlighet att dra slutsatsen att kontroller som avser kontrollmålet är lämpligt utformade.

Bedöma effektiv funktion (se punkt 24)

Granskning av indirekta kontroller (se punkt 25 b)

Metoder för att välja poster att granska (se punkt 25 c och 27)

Inhämta en förståelse av internrevisionsavdelningen (se punkt 30)

Avgöra om och i vilken utsträckning internrevisionens arbete ska användas (se punkt 33)

Använda internrevisionsavdelningens arbete (se punkt 34)

Påverkan på servicebyråns revisors bestyrkanderapport (se punkterna 36–37)

A 42.De skriftliga uttalanden som krävs enligt punkt 38 är skilda från, och tillkommer till, servicebyråns uttalande, enligt definition i punkt 9 o.

A 43.Om servicebyrån inte lämnar de skriftliga uttalanden som begärs enligt punkt 38 c i denna ISAE, kan det vara ändamålsenligt att servicebyråns revisor modifierar sitt uttalande enligt punkt 55 d i denna ISAE.

A 44.Etikkoden kräver att servicebyråns revisor inte har någon anknytning till information där servicebyråns revisor tror att informationen:

1. innehåller ett i stora delar falskt eller vilseledande uttalande,

2. innehåller uttalanden eller information som tillhandahållits vårdslöst,

3. utelämnar eller döljer nödvändig information, i de fall där det skulle vara vilseledande att utelämna eller dölja den.14

Om ett dokument med servicebyråns systembeskrivning och servicebyråns revisors bestyrkanderapport även innehåller framåtriktad information som t.ex. återställnings- eller beredskapsplaner, eller planer för ändringar i systemet som hanterar identifierade avvikelser i servicebyråns revisors bestyrkanderapport, eller påstående av säljfrämjande karaktär som inte rimligen kan styrkas, måste servicebyråns revisor begära att informationen tas bort eller formuleras om.

A 45.Om servicebyrån vägrar att ta bort eller formulera om den andra informationen kan ytterligare lämpliga åtgärder vara t.ex. att:

• begära att servicebyrån rådfrågar sin juridiska rådgivare om lämpliga åtgärder,

• beskriva den väsentliga oförenligheten eller väsentliga felaktigheten i bestyrkanderapporten,

• inte lämna bestyrkanderapporten förrän frågan är löst,

• avgå från uppdraget.

A 46.ISQM 1 (eller andra yrkesmässiga krav, eller krav i lagar eller andra författningar, som är minst lika höga som i ISQM 1) kräver att företag fastställer ett kvalitetsmål om att den slutliga uppdragsdokumentationen sammanställs i tid efter datumet för revisors rapport.15 En lämplig tidsgräns för färdigställandet av den slutliga uppdragsdokumentationen är normalt senast 60 dagar efter datumet för servicebyråns revisors rapport.16

Innehåll i servicebyråns revisors bestyrkanderapport (se punkt 53)

Avsedda användare och syfte med servicebyråns revisors bestyrkanderapport (se punkt 53 e)

Beskrivning av granskning av kontroller (se punkt 54)

Modifierade uttalanden (se punkt 55)

A 53.Lämpliga åtgärder för att hantera de omständigheter som identifieras i punkt 56, såvida detta inte är förbjudet enligt lag eller annan författning, kan innefatta att

• rådfråga en jurist om följderna av olika åtgärder,

• kommunicera med dem som har ansvar för servicebyråns styrning,

• fastställa huruvida kommunikation ska ske till externa parter (t.ex. kan lag, annan författning eller relevanta yrkesetiska krav kräva att servicebyråns revisor rapporterar till vederbördig myndighet utanför företaget eller till den externa revisorn i servicebyrån,17 eller införa ansvarsområden enligt vilka sådan rapportering kan vara lämplig med hänsyn till omständigheterna),

• modifiera servicebyråns revisors uttalande, eller lägga till ett stycke med upplysningar av särskild betydelse,

• avgå från uppdraget.

Uttalande av servicebyrån

Den bifogade beskrivningen har upprättats för kunder som har använt [typ eller namn på] system och deras revisorer som har en tillräcklig förståelse för att bedöma beskrivningen, tillsammans med annan information inklusive information om kontroller som kunder själva utför, vid bedömning av riskerna för väsentliga felaktigheter i kunders finansiella rapporter. [Företags namn] bekräftar att:

1. Den bifogade beskrivningen, på sidorna [bb–cc] ger en rättvisande bild av [typ eller namn på] systemet för bearbetning av kunders transaktioner under hela perioden [datum] till [datum]. Kriterierna som har använts för att lämna detta uttalande var att den bifogade beskrivningen:

   1. Beskriver systemet som det var utformat och infört, inklusive:

      • De typer av tjänster som tillhandahålls, inklusive, i tillämpliga fall, bearbetade transaktionsslag.

      • De processer, både vad beträffar informationstekniksystem (IT) och manuella system, genom vilka dessa transaktioner har initierats, bokförts, bearbetats, i förekommande fall rättats, och överförts till de rapporter som upprättas åt kunder.

      • Tillhörande räkenskapsmaterial, underlag och särskilda konton i de finansiella rapporterna, som har använts för att initiera, registrera, bearbeta och redovisa transaktioner. I detta ingår rättelse av felaktig information och hur information överförs till de rapporter som upprättas åt kunden.

      • Hur systemet hanterar andra betydelsefulla händelser och villkor än transaktioner.

      • Den process som används för att upprätta rapporter åt kunder.

      • Relevanta kontrollmål och kontroller utformade för att uppnå dessa mål.

      • Kontroller som vi förutsatte, i utformningen av systemet, skulle införas av användarföretag, och vilka, om detta krävs för att uppnå de angivna kontrollmålen i den bifogade beskrivningen, är identifierade i beskrivningen tillsammans med de särskilda kontrollmål som vi inte kan uppnå ensamma.

      • Andra aspekter av servicebyråns kontrollmiljö, riskbedömningsprocess, informationssystem (inklusive näraliggande affärsprocesser) och kommunikation, kontrollaktiviteter och övervakningskontroller som är relevanta för bearbetning och rapportering av kunders transaktioner.

   2. Innehåller relevanta uppgifter om ändringar i servicebyråns system under perioden [datum] till [datum].

   3. Utelämnar eller förvränger inte information som är relevant för det beskrivna systemets omfattning, utan bekräftar att beskrivningen är upprättad för att tillgodose gemensamma behov hos många olika slags kunder och deras revisorer, och kanske därför inte innefattar alla aspekter av system som varje enskild kund och dess revisor kan anse vara viktiga i deras särskilda miljö.

2. De kontroller som avser de angivna kontrollmålen i den bifogade beskrivningen var lämpligt utformade och fungerade effektivt under perioden [datum] till [datum]. Kriterierna som har använts för att lämna detta uttalande var att:

   1. riskerna för att de angivna kontrollmålen i beskrivningen inte skulle kunna uppnås identifierades,

   2. de identifierade kontrollerna skulle, om de fungerade enligt beskrivning, ge rimlig säkerhet att dessa risker inte förhindrar de angivna kontrollmålen från att uppnås,

   3. kontrollerna användes konsekvent utifrån deras utformning, inklusive att manuella kontroller hade använts av personer med lämplig kompetens och befogenhet, under hela perioden [datum] till [datum].