Kvalitetskontrollen av revisorer uppmärksammar brister i tillämpning av ISA och ISQM 1

Om en struktur uppfyller något av kriterierna i revisorslagen kan den anses utgöra ett nätverk. Bedömningen av om ett nätverk föreligger får betydelse för revisorns oberoende och för tillämpningen av byråjävsreglerna.  

Även andra affärsintressen, såsom styrelseuppdrag eller aktieinnehav, kan påverka revisorns möjlighet att bedriva revisionsverksamhet i enlighet med revisorslagen. I samband med 2025 års kontroller har det, liksom tidigare år, förekommit revisorer med styrelseuppdrag eller aktieinnehav som inte är förenliga med revisorslagen. Av bestämmelsen följer att en revisor endast får bedriva revisionsverksamhet eller verksamhet som har ett naturligt samband med revision. Begränsningen gäller såväl revisionsföretaget som dess eventuella dotterföretag. Vad som utgör verksamhet med naturligt samband behandlas i FAR:s EtikU 5 Revisorers verksamhet. Syftet med regleringen är att revisorn så långt som möjligt ska vara fri från ovidkommande affärsintressen som kan komma i konflikt med revisionsverksamheten.

I flera fall har revisionsföretag själva testat sina motåtgärder utan att tillräckligt beakta kravet på objektivitet hos den som utför övervakningen av kvalitetsstyrningssystemet. Enligt ISQM 1 ska den som utför övervakningen ha den kompetens och kapacitet som krävs samt vara objektiv enligt relevanta yrkesetiska krav. I mindre revisionsföretag kan det därför vara nödvändigt att anlita en extern tjänsteleverantör, exempelvis en annan revisionsbyrå, för att genomföra övervakningen.

Resultatet av genomförda övervakningsaktiviteter ska ligga till grund för ledningens dokumenterade årliga utvärdering av kvalitetsstyrningssystemet. Enligt ISQM 1 ska utvärderingen göras varje år och bland annat baseras på genomförda övervakningsaktiviteter, identifierade brister och de åtgärder som har vidtagits för att hantera dessa. Vägledning om flera av de frågor som har uppkommit vid tillämpningen av ISQM 1 finns i FAR:s frågor och svar om ISQM 1

Arbetet ska enligt ISA 315 omfatta en förståelse av företaget och dess miljö vilket tillsammans med ISA 330 Revisorns hantering av bedömda risker är centralt för planeringen av ändamålsenliga granskningsåtgärder. Revisorn ska samtidigt förhålla sig professionellt skeptisk och vara uppmärksam på förhållanden som kan tyda på felaktigheter, oavsett om dessa beror på oegentligheter eller misstag. En bristfällig riskbedömning kan leda till att väsentliga risker förbises, att granskningsåtgärderna inte träffar rätt och att revisorns slutsatser därmed får ett svagare stöd.

Analysmodellen är ett viktigt verktyg för att dokumentera hot mot revisorns oberoende och säkerställa att dessa hanteras på ett adekvat sätt. Den behöver därför användas konsekvent, och relevant information ska beaktas i riskbedömningen. En väl genomförd riskbedömning gör det möjligt för revisorn att fokusera granskningen på de områden där risken är störst och bidrar därmed till en mer effektiv revision enligt god revisionssed.

Dokumentationen av uppdraget ska upprättas utan onödigt dröjsmål, vara samlad och strukturerad samt så tydlig att en erfaren revisor som inte tidigare varit inblandad i revisionen kan förstå det utförda arbetet, de inhämtade revisionsbevisen och revisorns slutsatser. Även externa parter ska vid behov kunna följa dokumentationen, medan muntliga förklaringar endast kan användas för att förtydliga redan dokumenterad information.

När den slutliga dokumentationen har sammanställts ska akten låsas, och revisorn får därefter inte radera eller kassera revisionsdokumentation förrän arkiveringstiden har upphört. Om revisionen dokumenteras i en fysisk akt behöver bland annat planering, tidpunkt, utförare, utförda granskningsåtgärder, revisionsbevis, berörda räkenskapspåståenden och slutsatser framgå tydligt.

En tydlig röd tråd innebär att revisionens olika delar hänger ihop: revisorns förståelse av företaget, identifierade risker, valda granskningsåtgärder, inhämtade revisionsbevis och de slutsatser som ligger till grund för rapporteringen. Dokumentationen ska göra det möjligt att följa detta samband och förstå varför revisorn har kommit fram till sina slutsatser.

Av tidigare RI-ärenden framgår att brister i dokumentationsskyldigheten kan bedömas som allvarliga, eftersom de försvårar möjligheten att i efterhand analysera och bedöma det utförda arbetet. Revisorn behöver därför dokumentera granskningen så att det framstår som sannolikt att de angivna åtgärderna har utförts och haft sådan inriktning och omfattning att de kunnat ligga till grund för välgrundade slutsatser.

Analytiska åtgärder kan användas i olika delar av revisionsprocessen och fyller olika funktion beroende på när de utförs. I riskbedömningen används de enligt ISA 315 Identifiera och bedöma riskerna för väsentliga felaktigheter för att identifiera ovanliga relationer och risker för väsentliga fel. I revisionens slutfas används de enligt ISA 520 Analytisk granskning som stöd för revisorns övergripande slutsats om huruvida de finansiella rapporterna överensstämmer med revisorns förståelse av företaget.

Analytisk granskning är en viktig del av revisionsprocessen, men är normalt inte tillräcklig som enda åtgärd när väsentliga poster eller identifierade risker ska hanteras. Revisorn behöver därför, när så krävs, komplettera med exempelvis substansgranskning eller granskning av kontroller för att inhämta tillräckliga och ändamålsenliga revisionsbevis.

Revisorn bör även dokumentera sina förväntningar, hur dessa har fastställts, vilka avvikelser som identifierats och hur de har hanterats. Sammantaget behöver dokumentationen visa hur den analytiska granskningen har bidragit till revisorns slutsatser.

Enligt ISA 330 ska granskningsåtgärder svara mot de bedömda riskerna. Om en betydande risk på påståendenivå hanteras genom substansgranskning ska arbetet omfatta detaljgranskning. I de fall substansgranskning har utförts har brister bland annat noterats genom alltför begränsade urval eller underlag som inte varit relevanta för det aktuella revisionsmålet.

Revisorn behöver därför säkerställa att granskningen av intäkter har en sådan omfattning och inriktning att den ger tillräckliga och ändamålsenliga revisionsbevis för de identifierade riskerna och relevanta räkenskapspåståendena.

Av ISA 550 Närståendeförhållanden framgår att revisorn ska beakta närståenderelationer och närståendetransaktioner vid revision av finansiella rapporter. Det innebär bland annat att revisorn ska ställa frågor till företagsledningen, men också vara uppmärksam på information som kan tyda på relationer eller transaktioner som inte har kommit fram genom ledningens upplysningar. En tillräcklig förståelse är central för att kunna bedöma risker, identifiera faktorer som kan tyda på oegentligheter och dra slutsatser om huruvida de finansiella rapporterna ger en rättvisande bild. Det gäller särskilt när sådana förhållanden kan påverka rapporteringen.

Mot den bakgrunden bör dessa frågor normalt följas upp särskilt i revisorns riskbedömning och granskning, inte minst ur ett oegentlighetsperspektiv. Dokumentationen behöver visa vilka närstående parter som har identifierats, vilka transaktioner som har förekommit och hur revisorn har bedömt och granskat dem.

Enligt ISA 700 Bilda sig en uppfattning och uttala sig om finansiella rapporter får revisionsberättelsen dateras tidigast den dag då revisorn har inhämtat tillräckliga och ändamålsenliga revisionsbevis som grund för sitt uttalande. Dateringen ska därför ske i omedelbar eller nära anslutning till att granskningsarbetet har avslutats. Det innebär att alla väsentliga granskningsåtgärder ska vara utförda senast det datum som anges i revisionsberättelsen och att revisorn inte kan lämna revisionsberättelsen med avsikt att slutföra granskningen i efterhand. Om revisionen av någon anledning har begränsats ska detta framgå av revisionsberättelsen. I annat fall riskerar rapporteringen att bli ofullständig eller missvisande.