Merknader etter selskapstilsyn Atlantic Revisjon AS

1. Innledning

Finanstilsynet viser til stedlig tilsyn hos Atlantic Revisjon AS (heretter kalt selskapet) i perioden 18. til 19. oktober 2016. Det vises også til foreløpige merknader, datert 3. november 2016, og selskapets svar på disse, datert 5. desember 2016.

Bakgrunnen for tilsynet var at selskapet ikke er medlem i Den norske Revisorforening (DnR) og er følgelig underlagt tilsyn fra Finanstilsynet.

Som ledd i det stedlige tilsynet valgte Finanstilsynet ut tre revisjonsoppdrag for nærmere gjennomgang av utvalgte deler av revisjonsutførelsen.

2. Selskapet organisering, retningslinjer og rutiner

2.1 Kvalitetssikring 
Det følger av revisorloven § 5b-1 at revisjonsselskapet skal etablere et forsvarlig system for intern kvalitetskontroll. Jf. også Internasjonal standard for kvalitetskontroll ISQC1.

Etter ISQC1 punkt 48 skal selskapet etablere en overvåkingsprosess som er utformet for å gi revisjonsfirmaet rimelig sikkerhet for at retningslinjene og rutinene knyttet til kvalitetskontrollsystemet er relevante, tilstrekkelige og fungerer effektivt. Prosessen skal omfatte løpende vurdering og evaluering av revisjonsfirmaets kvalitetskontrollsystem, herunder en syklisk inspeksjon av minst ett fullført oppdrag per oppdragsansvarlig revisor.

Selskapet har inngått avtale om gjensidig kvalitetskontroll av avsluttede oppdrag med en annen revisor. Finanstilsynet har gjennomgått resultatet av en gjennomført kontroll. Kvalitetskontrollen avdekket ingen svakheter i to kontrollerte oppdrag. Ut fra de svakheter som Finanstilsynet har funnet ved revisjonen av andre oppdrag, synes ikke kontrollen å ha vært reell, eller i alle fall ikke tilstrekkelig kritisk. Oppdragsansvarlig revisor får da ingen korrektiver, og mye av hensikten med kontrollen blir følgelig borte.

For øvrig har Finanstilsynet ingen særlige merknader til selskapets retningslinjer, men vil presisere at det er viktig at kvalitetskontrollsystemet fungerer etter hensikten og at det gjennomføres overvåkingskontroller i samsvar med kravene i ISQC1.

2.2 Sikring av data, herunder oppdrags- og regnskapsdokumentasjon
Atlantic Revisjon AS har inngått avtale med ekstern dataleverandør om drift av IT-løsninger (outsourcing). Avtalen innebærer at all programvare og alle data lagres i datasystemer hos dataleverandøren, og selskapet har tilgang gjennom en oppkobling via internett. Vedlikehold/service på programvare samt back-up av data ivaretas av dataleverandøren. Avtalen er en IKT Norge standardavtale for drift av IT-systemer, og inneholder standardbestemmelser om beskyttelse av konfidensiell informasjon. Revisorloven setter strenge krav til revisors taushetsplikt, jf. revisorloven § 6-1. Dette synes ikke å være hensyntatt i avtalen. Det vises til avtalens punkt 12.1 siste ledd og punkt 12.4, siste setning; begge disse bestemmelsene er i strid med revisorloven. Avtalen må derfor endres på disse punktene, og det bør tas inn en henvisning til revisorlovens bestemmelse om taushetsplikt. Finanstilsynet anbefaler også at ansatte hos dataleverandøren signerer egne avtaler om taushetsplikt i samsvar med revisorlovens bestemmelser. I tilsvar til de foreløpige merknadene oppgir revisjonsselskapet at denne problemstillingen er tatt opp med dataleverandøren.

3. Kontroll av individuelle revisjonsoppdrag 
Finanstilsynet valgte ut tre revisjonsoppdrag for gjennomgang:

• Oppdrag A, som er et regnskapsførerforetak.
• Oppdrag B, som er en leverandør av gravetjenester.
• Oppdrag C, som driver med utleie av lokaler.

Finanstilsynet beskriver de deler av revisjonen som ikke anses gjennomført i samsvar med revisorloven, herunder god revisjonsskikk, jf. revisorloven § 5-2 annet ledd.

3.1 Forståelse av enheten og dets omgivelser, herunder interne kontroller 
Oppdrag A gjelder revisjon av regnskapsførerforetak. I revisjonsfilen kommer det ikke frem at revisor har gjort seg kjent med at foretaket er underlagt særlovgivning, herunder risikostyringsforskriften, finanstilsynsloven og kravet om dokumentasjon av medgått tid i bokføringsforskriften § 8-4-1. Revisor har imidlertid utstedt erklæring i henhold til risikostyringsforskriften. Etter Finanstilsynets syn har revisor for oppdrag A følgelig ikke dokumentert en tilstrekkelig forståelse for det regelverket som gjelder for foretakenes virksomhet. God kunnskap om revisjonsklientens virksomhet er avgjørende for å kunne gjennomføre en tilfredsstillende revisjon. Det vises til revisorloven § 5-2 første ledd, jf ISA 315 punkt 11.  Det vises også til Finanstilsynets rapport fra tematilsyn i 2012 om inntektsrevisjon og virksomhetsforståelse, som er å finne på Finanstilsynets hjemmeside, under området "Revisjon" og "Tematilsyn".

3.2 Bruk av revisjonspåstander i revisjonen 
For testing av kontroller og de fleste substanshandlingene for både oppdrag A og B har revisor skrevet at de relevante handlingene dekker alle revisjonspåstander, uten å forklare hvordan de relevante handlingene klarer dette. Etter samtale med revisor ble det klart at revisor ikke har gjort en vurdering av hvilke revisjonshandlinger som dekker hvilke revisjonspåstander, men har for vane å krysse av for alle påstander i de aller fleste tilfellene. Det at revisor ikke har gjort en vurdering svekker tilliten til at revisor har tilstrekkelig forståelse for risikoene ved oppdraget og hva som er egnede handlinger for å dekke hvilke risikoer. Det vises til revisorloven § 5-2 annet ledd, ISA 315 punkt 25 og ISA 330 punkt 6-9.

3.3 Bruk av standardtekst i revisjonsfilen 
For oppdrag A og B har Finanstilsynet enkelte steder i revisjonsfilen funnet beskrivelser som åpenbart ikke angår dette oppdraget. Etter samtale med revisor om forholdet ble det klart at dette skyldes at revisor ikke har fjernet "standardtekst" som fulgte med revisjonsverktøyet som eksempler. Standardtekstene gjelder primært beskrivelse av enkelte av foretakenes rutiner og intern kontroller. Dette medfører at tilliten oppdragets dokumentasjon blir svekket, og skaper usikkerhet om revisor har beskrevet foretakenes rutiner og internkontroll korrekt.  Det vises i denne sammenheng til revisorloven § 5-3, 1. ledd. 

3.4 Inntekter og kundefordringer 
For oppdrag A har revisor ikke dokumentert sin forståelse for foretakets inntektsprosess, herunder timeføring av arbeidede timer. Det eneste revisor har skrevet er at foretaket "bruker et standard regnskapssystem som forenkler risikoen for feil i regnskapet", uten noen nærmere forklaring. Revisor har ikke kartlagt eller utført tilstrekkelig testing av foretakets interne kontroller for inntektsprosessen. Revisors planlagte og gjennomførte substanshandlinger er heller ikke egnet til å gi revisjonsbevis for fullstendigheten av inntektene, til tross for at revisor skriver at handlingene også skal dekke fullstendighet. Revisjonsdokumentasjonen viser ikke revisors vurdering av foretakets avsetning til tap på fordringer. Revisor har følgelig ikke innhentet tilstrekkelig og hensiktsmessig revisjonsbevis for fullstendigheten av inntektene og verdsettelsen av kundefordringene. Finanstilsynet ser på dette som en alvorlig mangel. Det vises til revisorloven § 5-2 annet ledd.

3.5 Overholdelse av bokføringsregelverket 
Revisor har ikke for noen av oppdragene benyttet tilgjengelig sjekkliste for bokføringsloven. Finanstilsynet anbefaler at dette blir gjort, ettersom det dokumenterer at revisor har foretatt en vurdering av hvorvidt et foretak overholder kravene i bokføringsloven og – forskriften, herunder eventuelle særregler for enkelte næringer i bokføringsforskriften kapittel 8.  Det vises til revisorloven § 5-3 første ledd og ISA 230 punkt 7-13. 
I tilsvar til de foreløpige merknadene oppgir revisjonsselskapet at dette er iverksatt for revisjonen for 2016.

4. Foreløpig vurdering og konklusjon 
Det er konstatert enkelte alvorlige svakheter i revisjonsutførelsen. Flere av de samme svakhetene ble også avdekket under det forrige stedlige tilsynet hos selskapet, som fant sted 13. juni 2012. Selskapet ble da pålagt umiddelbart å foreta utbedringer for å hindre at svakhetene skulle gjenta seg. Det at flere av de samme svakhetene igjen avdekkes, er både svært alvorlig og bekymringsfullt. Revisjonsselskapet må derfor forvente at det kan bli gjennomført oppfølgingstilsyn.

For Finanstilsynet

Anders Grini
tilsynsrådgiver  

Damir Bratic
seniorrådgiver