Väsentligt omarbetad version av ISA 240: ”En möjlighet för revisorer att flytta fram sina positioner”

Inledning

IAASB publicerade i mars 2025 en väsentligt omarbetad version av revisionsstandarden ISA 240: Revisorns ansvar avseende oegentligheter i en revision av finansiella rapporter. Omarbetningen genomfördes parallellt med en omarbetning av ISA 570: Fortsatt drift och föregicks av ett omfattande remissarbete, baserat på ett Discussion Paper följt av ett Exposure draft (ED-240)[1]. Bakgrunden till omarbetningen är ett upplevt behov av att förtydliga revisorns roll och ansvar avseende oegentligheter. Därtill ska ändringarna uppmuntra ett konsekvent agerande hos revisorerna, understryka vikten av att revisorn utövar professionell skepticism genom hela revisionen samt öka öppenheten kring oegentlighetsrelaterade frågeställningar. Övergripande innebär omarbetningarna att kraven och förväntningarna på revisorns hantering av identifierade risker för felaktigheter på grund av oegentligheter höjs och att vägledningen i standarden utökas väsentligt[2]. Den omarbetade standarden ska tillämpas på räkenskapsår som inleds efter den 15 december 2026.

Denna artikel syftar till att beskriva huvuddragen i förändringarna av standarden och hur de förväntas påverka revisorns arbete igenom revisionsprocessen för olika typer av uppdrag, i såväl företag av allmänt intresse som i onoterade företag där ISA för LCE inte tillämpas. Dessutom till att förmedla mina reflektioner kring den praktiska tillämpningen av kraven avseende oegentligheter.

Bakgrund

Skillnaden mellan felaktigheter på grund av misstag och oegentligheter beror på avsikten (oavsiktliga respektive avsiktliga) och det är de senare fallen som behandlas i ISA 240. De oegentligheter som är av intresse för revisorn är sådana som avser bedräglig finansiell rapportering och förskingring av tillgångar[3]. Med oegentligheter avses i det här sammanhanget ”en avsiktlig handling av en eller flera personer i företagsledningen, styrelsen, personalen eller av extern part, som innefattar bedrägligt förfarande i syfte att uppnå obehöriga eller olagliga fördelar”[4]. Oegentligheter anses vara ett så pass viktigt område i revisioner, att att det behövs en särskild revisionsstandard, som publicerades första gången 2001. Detta för att felaktigheter på grund av oegentligheter, till sin natur, innebär en högre risk än misstag att de inte upptäcks. De är ofta resultatet av mycket sofistikerade och förslagna planer som involverar flera personer i maskopi, förfalskning av dokument, underlåtande att bokföra transaktioner eller att avsiktiligt felaktiga uppgifter lämnas till revisorn[5].

Anledningen till att IAASB flyttar fram positionerna, i det här fallet i form av en väsentligt omarbetad revisionsstandard, är i förstone en upplevd diskrepans mellan omvärldens förväntningar på revisorernas hantering av risker för väsentliga felaktigheter på grund av oegentligheter och revisorernas faktiska hantering. Dessutom hade ett antal företagsskandaler i närtid uppmärksammats där revisorn ansågs bort ha agerat annorlunda[6]. Förväntansgapet hänförs till brister inom framförallt tre områden:

• Förståelsen hos användarna av de finansiella rapporterna för revisorns ansvar för att upptäcka oegentligheter.
• Revisorns tillämpning av befintliga revisionsstandarder.
• Revisionsmetodiken, på grund av att den inte har utvecklats i takt med förändringar i omvärlden.

De fem företagsskandaler som IAASB hänvisar till bottnade i bland annat: avsiktligt för högt redovisade intäkter och rörelseresultat, redovisning av fiktiva och ogiltiga affärshändelser, redovisning av tillgångar som inte existerade, samt företag som kollapsade utan föregående varningssignaler från revisorn om att det fanns betydande osäkerheter kring företagets förmåga att fortleva i befintlig form.

Som motdrag har IAASB förstärkt ISA 240 på ett tiotal områden. Dessa områden är i vissa fall ganska subtila och tar sig uttryck i ett tydligare språkbruk, där syftet främst är att åstadkomma en förändring i attityder och inställning hos revisorn. Oftare handlar det dock om utförligare och tydligare vägledning för hur revisor förväntas identifiera risker för väsentliga felaktigheter på grund av oegentligheter och agera vid konstaterade eller misstänkta oegentligheter. Vidare om att tydliggöra revisorns ansvar så som det beskrivs i revisionsberättelsen.

IAASB har i Basis for Conclusions, sin motivering till de beslutade förändringarna, identifierat ett flertal olika områden som påverkas av omarbetningen, områden som vart och ett gås igenom i denna artikel[7]:

1. Revisorns ansvar för oegentligheter
2. Professionell skepticism
3. Riskidentifiering och bedömning
4. Agerande vid konstaterade och misstänkta oegentligheter
5. Krav på reflekterande självutvärdering
6. Ökad insyn i revisorns ansvar för oegentligheter i revisionen
7. Hänvisningar till andra ISA-standarder
8. Övriga frågeställningar

Genomgången nedan fokuserar på de faktiska ändringarna som omarbetningarna medför i förhållande till gällande standard. För den som är intresserad av huvuddragen i remissvaren till IAASB, vilka överväganden som gjordes samt vilka förslag som förkastades (och av vilka skäl) vill jag hänvisa till Basis for Conclusions[8].

Omarbetningen i dess huvudsakliga områden

1. Revisorns ansvar avseende oegentligheter

Revisorns ansvar avseende oegentligheter, liksom företagsledningens och styrelsens, har i och för sig lämnats oförändrade efter omarbetningen, men vissa skrivningar som har ansetts vara tvetydiga eller motsägelsefulla om revisorns ansvar har omformulerats eller flyttats fram i texten. Revisorn är fortsatt ansvarig för att med rimlig säkerhet säkerställa att de finansiella rapporterna är fria från väsentliga felaktigheter, inklusive sådana som beror på oegentligheter. Dock har förtydligats att det förvisso, ofrånkomligen, finns inneboende begränsningar i en revision som kan innebära att oegentligheter inte upptäcks, trots att den planeras och utförs i enlighet med ISA. Detta förminskar emellertid inte revisorns ansvar eller behovet av att inhämta tillräckliga och övertygande revisionsbevis.

Dessutom klargörs att det inte är revisorns uppgift att göra juridiska ställningstaganden till om oegentligheter förekommer. Viktigt att notera är att definitionen alltså inte innebär att oegentligheter utgör överträdelser av lagar och andra författningar (”non-compliance with laws and regulations”). Sådana överträdelser beaktar revisorn genom tillämpningen av ISA 250 (omarbetad) Beaktande av lagar och andra författningar vid revision av finansiella rapporter. Det skulle kunna vara så att en obehörig fördel inte är i strid med lagar och regler. Av vägledningen till standarden framgår dock att korruption, mutor och penningtvätt alltid ska anses vara olagliga handlingar (och därmed omfattas av ISA 250) eller oegentliga (och därmed omfattas av ISA 240). Huruvida sådana handlingar är i strid med lagar och förordningar beror på i vilken jurisdiktion de utförs och avgörs i slutändan av domstolar, tillsmyndigheter och andra juridiska instanser[9].

Även oegentligheter som utförs av tredjeman mot företaget som granskas omfattas fortsatt av definitionen. Utan att utöka revisorns ansvar har vägledningen kompletterats för att underlätta för revisorn att identifiera vilka tredjemän som kan vara relevanta att beakta vid bedömningen av risker för väsentliga felaktigheter som beror på oegentligheter. Dessutom införs krav på att revisionsteamet ska diskutera hur tredjeman skulle kunna förskingra företagets tillgångar[10] i syfte att klargöra revisorns ansvar för att utvärdera om det finns någon risk för felaktigheter kopplad till sådan förskingring.

2. Professionell skepticism

En viktig målsättning med omarbetningen är att understryka vikten av att revisorn förhåller sig professionellt skeptisk avseende oegentligheter under hela revisionsprocessen, utan att det drar emot misstänksamhet[11]. Det allra viktigaste är att skrivningen i punkt 14 i den nuvarande standarden, om att revisorn, såvida han eller hon inte har anledning att tro motsatsen, kan utgå ifrån att bokföring och tillhörande dokumentation är äkta, utgick[12]. På samma sätt ansågs skrivningen om revisorns tidigare erfarenheter av företagsledningens och styrelsens ärlighet och hederlighet överflödig och ströks sålunda[13]. Detta för att undvika att revisorn går in med förutfattade meningar och därmed riskerar att förringa, eller avleda uppmärksamheten ifrån, omständigheter i det specifika företaget som bör följas upp ytterligare. Istället betonas vikten av att revisorn hela tiden är uppmärksam på omständigheter och information som kan indikera att underlag eller dokument har förvanskats eller inte är vederhäftiga, vilket i sin tur borde föranleda ytterligare utredning. En sådan utredning kan medföra att revisorn drar slutsatsen att det föreligger omständigheter som indikerar (misstänkta) oegentligheter – inte bara sådana som kan ha en väsentlig påverkan på de finansiella rapporterna – och sålunda bör agera i enlighet med vad standarden föreskriver[14]. Det finns inga begränsningar i revisorns ansvar till att utreda enbart sådana oegentligheter som kan förväntas ha en ”väsentlig påverkan” på de finansiella rapporterna. Den möjliga effekten på de finansiella rapporterna kan inte utrönas med mindre än att revisorn först förstår implikationerna och omfattningen av identifierade frågeställningar och fullföljer sitt ansvar.

3. Riskidentifiering och bedömning

Kraven på revisorns riskidentifiering och bedömning avseende oegentligheter har förstärkts och utvecklats i syfte att uppnå en mer enhetlig tillämpning inom revisorskåren. Ett särskilt avsnitt, Obtaining an Understanding of the Entity and Its Environment, the Applicable Financial Reporting Framework and the Entity’s System of Internal Control, ingår i den omarbetade standarden[15]. Det innehåller omfattande och detaljerade krav på hur revisorns förståelse för komponenterna som utgör företagets system för intern kontroll (de så kallade COSO-komponenterna[16]), och de redovisningsprinciper som tillämpas, ska användas i riskbedömningen för oegentligheter. Här bör nämnas att ett uttryckligt krav på att förstå företagets visselblåsarprogram (eller motsvarande) för att identifiera risker för oegentligheter har införts [17]. Erfarenheten visar att många fall av oegentligheter identifieras genom sådana program.

Riskfaktorer för oegentligheter

Det har förtydligats att riskfaktorer för oegentligheter kan påverka revisorns bedömning av inneboende risk och kontrollrisk när denne identifierar och kalibrerar risker för väsentliga felaktigheter. Riskfaktorerna kan till exempel vara hänförliga till bristande objektivitet (”bias”) hos företagsledningen, men också andra inneboende riskfaktorer, såsom komplexitet eller osäkerhet i bedömningar och uppskattningar i den finansiella rapporteringen. Riskfaktorer kan också härröra från kontrollriskfaktorer, det vill säga, att svagheter i företagets system för intern kontroll utnyttjas i bedrägligt syfte. Annorlunda uttryckt, riskfaktorer för oegentligheter är inte en underkategori till inneboende riskfaktorer; de kan vara hänförliga till sådana inneboende riskfaktorer men också hänförliga till kontrollriskfaktorer[18], vilket har förtydligats i den omarbetade standarden.

Presumerad risk: Att ledningen åsidosätter den interna kontrollen

Risken att företagsledningen åsidosätter den interna kontrollen förblir en betydande risk på rapportnivå (”pervasive risk”), eftersom den risken ofta omfattar flera poster, transaktioner och räkenskapspåståenden. Dock införs kompletterande krav på att revisorn ska bedöma om denna betydande risk även kan påverka risker på räkenskapspåståendenivå som är kopplade till enskilda resultat- och balansposter, transaktioner eller upplysningar, och i så fall vilka, och hur[19]. Särskild vägledning har införts för att uppmuntra revisorerna att reflektera över hur åsidosättande av den interna kontrollen kommer till uttryck[20]. Det kan även finnas andra risker för oegentligheter (än den att ledningen åsidosätter den interna kontrollen) på rapportnivå som, per definition, också är betydande risker för felaktigheter. Eftersom det saknas vägledning i ISA 330 om hur sådana andra risker bör hanteras infogas förslag på åtgärder i den omarbetade standarden[21].

Presumerad risk: Att ledningen avsiktligt manipulerar intäktsredovisningen

Av kommentarerna till utkastet framkom oro för att revisorer ibland avvisar den presumerade risken för oegentligheter kopplade till intäktsredovisningen för lättvindigt eller att risken definierades för snävt (i så måtto att den ”bara” var kopplad till icke-systemgenererade bokföringsposter eller styrning av periodiseringen av inkomster). IAASB såg dock denna invändning mer som en brist i revisionens utförande och tillämpningen av standarden. Inte desto mindre har omständigheter som kan leda till att revisorn bedömer att det är lämpligt att tillbakavisa presumtionen, lagts till den utökade vägledningen[22]. Sådana omständigheter kan till exempel vara att företaget har en enda, stabil, förutsägbar intäktskälla, där intäkterna härleds från fasta eller offentligt publicerade priser eller där intäkter av någon anledning inte är ett centralt prestationsmått. I andra fall kan det handla om intäkter från affärshändelser som hanteras av en tredje part i sin helhet, eller att de genereras automatiskt i ett system utan några möjligheter för företagsledningen att manipulera dem.

Teamdiskussioner rörande riskidentifiering och -bedömning

Det har förtydligats att teamdiskussioner förväntas vara en pågående process (snarare än enbart en del av revisionsplaneringen), och vägledningen har kompletterats med omständigheter som kan föranleda ytterligare eller fördjupade diskussioner inom teamet (eller med ledning och styrelse) rörande identifiering och bedömning av risken för oegentligheter under revisionens förlopp[23]. Som exempel tas upp plötsliga förändringar företagets verksamhet eller lönsamhet eller att ledande befattningshavare slutar utan förvarning.

4. Agerande vid konstaterade eller misstänkta oegentligheter

Den omarbetade standarden innehåller en ny sektion om hur revisorn förväntas agera ifall oegentligheter konstateras eller misstänks[24]. Det handlar i förstone om att bilda sig en uppfattning om hur oegentligheten påverkar revisionsuppdraget genom förfrågningar hos lämpliga personer, beroende på var i organisationen oegentligheterna har identifierats. Därtill att utvärdera om företaget har implementerat lämpligt utformade processer för att utreda frågan tillräckligt och om företaget har vidtagit avhjälpande åtgärder på lämpligt sätt. Utvärderingen kan mynna ut i att revisorn behöver se över riskbedömningarna och utvärdera om ytterligare granskningsåtgärder är påkallade samt om det finns krav på rapportering till myndigheter.

I detta sammanhang bör noteras att IAASB har ansett det viktigt att förstärka vägledningen för tillämpning av kvalitativa begrepp som skalbarhet och proportionalitet. Ett tröskelkoncept för vad som kan anses vara uppenbart betydelselösa oegentligheter har därför introducerats för att revisorn endast ska behöva beakta frågeställningar som kan påverka den övergripande revisionsstrategin[25]. I den bedömningen kan revisorns förståelse för företagets visselblåsarprogram användas för att avgöra vad som motiverar fortsatt utredning och vad som kan lämnas därhän.

Tröskeln för vilka misstänkta oegentligheter som involverar andra än företagsledningen och personer med väsentliga roller inom företagets system för intern kontroll som revisorn ska rapportera till dem som har ansvar för företagets styrning har dock sänkts: från enbart sådana som har en betydande påverkan på de finansiella rapporterna till alla som är mer än uppenbart betydelselösa[26]. Detta för att samordna rapporteringskraven i ISA 240 med dem som gäller vid identifierade överträdelser av lagar och förordningar, som ska rapporteras enligt ISA 250 p 23. På motsvarande sätt har tröskeln sänkts för vad som ska kommuniceras från enhetsrevisorerna till koncernrevisorn avseende misstänkta oegentligheter[27].

5. Krav på reflekterande självutvärdering

IAASB har beslutat att introducera två krav för att understryka vikten av att revisorn hela tiden är uppmärksam på information som kan tyda på oegentligheter som kommer till hans eller hennes kännedom under revisionens förlopp. Det handlar om att dels utvärdera tidigare gjorda ställningstaganden i revisionen, dels bedöma om tillräckliga och ändamålsenliga revisionsbevis har inhämtats för att hantera riskerna för väsentliga felaktigheter kopplade till oegentligheter[28]. Basis for conclusions punkt 65 tar upp tre områden där kravets tillämpning bör övervägas:

• De mer komplexa delarna av revisionen.
• Särskilda betänkligheter som kräver särskild uppmärksamhet.
• Frågeställningar som är genomgripande för de finansiella rapporterna som helhet.

Kraven som introduceras understryker att revisionen är en iterativ process i termer av att riskbedömningar och ställningstaganden löpande omprövas i takt med att ny information framkommer.

6. Ökad insyn i revisorns ansvar avseende oegentligheter

Exposure Draft ED 240 efterfrågade ökad transparens kring revisorns ansvar för oegentligheter i revisionen och föreslog ganska långtgående nya krav och vägledning för beskrivningarna i revisionsberättelsen och särskilt betydelsefulla områden avseende oegentligheter. Efter noga övervägande beslöt dock IAASB att för revisioner av företag av allmänt intresse lägga till två paragrafer i ISA 701Kommunikation om särskilt betydelsefulla områden i rapport från oberoende revisor[29] om revisorns ansvar för att identifiera och kommunicera särskilt betydelsefulla områden som är hänförliga till oegentligheter och som därför kräver betydande uppmärksamhet av revisorn. Dessutom har ISA 701 omarbetats något för att förtydliga att de presumerade riskerna för oegentligheter (avseende intäktsredovisningen och företagsledningens åsidosättande av intern kontroll) i ISA 240 förvisso kan – men inte nödvändigtvis behöver – kräva betydande uppmärksamhet av revisorn[30]. Förtydligandet understryker att risker för oegentligheter inte per definition utgör särskilt betydelsefulla områden enligt ISA 701. Enligt IAASB torde det emellertid vara sällsynt att revisorn i sin revision av noterade företag inte identifierar åtminstone ett särskilt betydelsefullt område relaterat till oegentligheter[31]. Om ett särskilt betydelsefullt område är relaterat till oegentligheter ska det tydligt framgå i dess rubrik.

7. Hänvisningar till andra ISA-standarder

Ett fåtal hänvisningar till ISA 250 och ISA 315 har uppdaterats, strukits eller omformulerats för att få bort onödiga återupprepningar och vilseledande, tvetydiga formuleringar.

8. Övriga frågeställningar

I övrigt kan nämnas att kravet på att bemöta riskerna för oegentligheter genom att revisorn införlivar ett inslag av oförutsägbarhet har fått en särskild paragraf med tillhörande vägledning[32]. Detta för att understryka att kravet ska tillämpas på identifierade risker för oegentligheter på både påstående- och rapportnivå. Dessutom för att klargöra att det är upp till revisorns professionella omdöme att bedöma hur kravet tillämpas vid valet av granskningsåtgärder med avseende på karaktär, tidpunkt och omfattning. Syftet är att förmå revisorn att utforma och utföra granskningsåtgärder, och inhämta revisionsbevis, som inte bara bekräftar företagsledningens bedömningar och ställningstaganden, utan också sådana som kan vederlägga dem, vilket understryks i en särskild paragraf[33].

När det gäller granskningen av bokföringsposter har införts ett uttryckligt krav på att säkerställa fullständigheten i den population av bokföringsposter under räkenskapsperioden som ligger till grund för revisorns urval av poster att granska[34]. IAASB har förtydligat att detta krav ska tillämpas även i koncernrevisioner på sådana enheter som koncernrevisorn har bedömt ska vara föremål för fortsatta granskningsåtgärder för att hantera identifierade risker för felaktigheter[35].

Vidare har kraven på skriftliga uttalanden från företagsledningen utökats något. Ledningen ska inte bara bekräfta att de har lämnat all information om samtliga konstaterade och misstänkta oegentligheter som påverkar företaget och som inbegriper inte bara ledningen och anställda som har viktiga roller inom den interna kontrollen utan även andra personer där oegentligheten i fråga skulle kunna ha inverkan på de finansiella rapporterna[36]. Enligt Bilaga 2 till den nuvarande versionen av ISA 580 Skriftliga uttalanden är det endast oegentligheter som inbegriper andra personer som kan ha en väsentlig inverkan på de finansiella rapporterna som omfattas av uttalandet.

Mina reflektioner

En erfarenhet är att oegentligheter ofta är ett ganska känsligt ämne att förhålla sig till och som många nog kan känna sig obekväma med att lyfta med ledning och styrelse som en naturlig del av revisionen. Det finns en risk att ett sådant laddat område, där vårt ansvar kan uppfattas vara otydligt, hanteras valhänt eller överslätande. Dessutom har granskningen av oegentligheter en tendens att bli en ganska frikopplad del av revisionen, medan meningen är att den ska vara integrerad i alla dess faser. En annan erfarenhet är att eftersom risker för oegentligheter per definition alltid är betydande risker så får de ofta väldigt hög uppmärksamhet i externa och interna kvalitetskontroller. Följaktligen är kraven på lämpligt utvalda, och väl kalibrerade, riskbedömningar och granskningsåtgärder för att hantera dessa risker mycket höga.

Jag har sammanfattat mina reflektioner om vad revisorerna behöver ta med sig i den praktiska tillämpningen när standarden träder ikraft. På ett allra mest övergripande plan ser jag gärna en förflyttning av revisorns arbete med oegentligheter, så att det blir mindre av en dokumentationsövning i planeringen och mer av en levande, integrerarad och dynamisk del igenom hela revisionen. Därtill har vi ett minst lika viktigt, och desto svårare, arbete med att få till en annan, mer avvaktande och skeptisk inställning, och förändrade beteenden, under revisionen, med avseende på granskningsåtgärdernas tillräcklighet och ändamålsenlighet samt relevansen och tillförlitligheten i den informationen vi förlitar oss på. Förberedelserna inför tillämpningen av den omarbetade standarden bör vara ett ypperligt tillfälle för en sådan resa.

1. Revisorns riskbedömning

Inför ikraftträdandet av omarbetningen bör revisionsteamen ta tillfället i akt att säkerställa att riskerna för oegentligheter vävs in i den övriga revisionen på ett naturligt sätt. Det kan vara ett lämpligt tillfälle för ett omtag om riskbedömningarna så att samtliga relevanta riskfaktorer för oegentligheter beaktas, baserat på förståelsen för företaget och dess miljö, förfrågningar hos ledning och styrelse samt partnerledda teamdiskussioner. Därtill att teamet har en tillräcklig förståelse för vilka nyckeltal som kan indikera oegentligheter och för förekommande visselblåsarprogram (eller motsvarande). Slutligen att se över hur de identifierade riskerna för oegentligheter formuleras – det är viktigt med en konsekvent och tydlig riskbeskrivning och planerade åtgärder som verkligen hanterar riskerna. Teamen bör sträva mot att dokumentationen består av omständighetsanpassade och företagsspecifika risker som hanteras genom lämpliga, konkreta åtgärder. Här kan appendix 1 och 2 till den omarbetade standarden vara till stor hjälp för en lämplig avvägning mellan precision och effektivitet i revisionen.

Möjligheten för revisorn att avvisa den presumerade betydande risken för oegentligheter kopplade till intäktsredovisningen bör tas upp för förnyad utvärdering. Oaktat att möjligheten till avvisande kvarstår i den omarbetade standarden är min tolkning av den utökade vägledningen att den är ganska starkt kringskuren och begränsad. Avsikten är, så vitt jag kan bedöma, att den ska tillämpas restriktivt. I noterade företag är ofta förväntningarna väldigt uttalade på att företagsledningen ska ”leverera” vissa resultat och det kan förekomma ganska vidlyftiga incitamentprogram. Sådana omständigheter innebär starka incitament till bedräglig finansiell rapportering som gör att presumtionen svårligen kan avvisas i sådana företag. Samtidigt kan utvecklade och robusta system för intern kontroll motverka att riskerna resulterar i oegentligheter.

2. Revisionsplanen

Efter genomförd riskbedömning behöver teamen säkerställa att revisionsplanen, där riskerna för oegentligheter, planerade granskningsåtgärder och ansvarsfördelningen mellan företagsledning, styrelse och revisor beskrivs, är uppdaterade utifrån de omarbetade kraven i ISA 240. Eventuella farhågor om att det kan finnas ett förväntansgap eller missuppfattningar hos mottagarna av planen på dessa områden bör också bemötas genom utförligare riskbeskrivningar och vilka tillkommande granskningsåtgärder som aktualiseras.

3. Teamets diskussion

I den obligatoriska teamdiskussionen om riskerna för oegentligheter bör revisor ta tillfället i akt att understryka vikten av rätt inställning och mentalitet i revisionen; en medvetenhet om att oegentligheter kan förekomma, av vilka skäl, och en uppfattning om vilka uttryck de skulle kunna ta sig. Snarare än misstänksamhet handlar det om en avvaktande och försiktig inställning och en medvetenhet om att företagsledningen kan manipulera redovisningen eller dölja förskingring. Dessutom om att skapa förutsättningar för att faktiskt identifiera eventuella oegentligheter, förslagsvis genom att diskutera följande:

• Om hur tillämpningen av redovisningsprinciper skulle kunna användas för att manipulera resultatet, till exempel genom tidigare- eller senareläggande av intäkts- eller kostnadsredovisning, aktivering av utgifter istället för kostnadsföring eller bristande subjektivitet i uppskattningar (vid val av metod, antaganden och indata) och bedömningar.
• Risken att företaget belastas med rörelsefrämmande utgifter.
• Oväntade eller ovanliga förändringar i resultat- och balansposter eller väsentliga nyckeltal som har uppmärksammats i den inledande analytiska granskningen eller motsägelsefulla svar som har erhållits från ledning och styrelse.
• Om företagets system för intern kontroll har brister som begränsar dess förmåga att förebygga och upptäcka oegentligheter som bör beaktas i riskbedömningen i revisionen.
• Om tillämpningen av det nya kravet på att den betydande risken att företagsledningen sätter sig över den interna kontrollen ska härledas till risker på påståendenivån, inte bara på rapportnivå.
• Vilka tredjeparter som skulle kunna begå oegentligheter mot företaget och hur sådana skulle kunna komma till uttryck.
• Hur ofta och när teamet ska se över tidigare ställningstaganden som gjorts i revisionen, på vilka områden, och tillräckligheten och ändamålsenligheten i inhämtade revisionsbevis och om det är något som föranleder fördjupad granskning.

Självfallet behöver teamets diskussioner mynna ut i konkreta uppföljningspunkter.

4. Granskning av bokföringsposter

Jag vill också uppmärksamma den särskilda bilaga (4) i den omarbetade standarden som är en utökad vägledning om revisorns granskning av bokföringsposter. Denna granskning utgör en central del i en revision, eftersom risken att ledningen sätter sig över den interna kontrollen, genom att avsiktligt bokföra poster som inte motsvarar faktiska, godkända och vederhäftiga affärshändelser, i syfte att manipulera räkenskaperna eller dölja förskingring, alltid är en betydande risk.

Som ett led i förberedelsearbetet inför ikraftträdandet av den omarbetade standarden bör revisorn säkerställa att hans eller hennes förståelse för bokslutsprocessen är tillräcklig, med avseende på vilka bokföringsposter som förekommer och hur de bearbetas, vilka kontroller som företaget har inrättat för att motverka och identifiera oegentligheter genom registrering av bokföringsposter samt vilka påtryckningar, incitament och möjligheter företagsledningen har att göra det. Dessutom överväga om urvalsprinciperna och kriterierna för vilka bokföringsposter som stickprovsgranskas ska ses över med anledning av de skärpta kraven på riskidentifiering och hantering som standarden föreskriver.

5. Reflekterande självutvärdering

Avseende kravet på reflekterande självutvärdering bör revisorn säkerställa att revisionen inte bara handlar om insamling av tillräckliga och ändamålsenliga revisionsbevis till poster i de finansiella rapporterna utan att teamet kontinuerligt ställer sig frågorna: ”Är det här verkligen korrekt?” och ”Borde det inte vara så här istället”? Att lyfta blicken handlar också om att utmana rimligheten i de finansiella rapporterna genom att jämföra nyckeltal, trender och övrig information såsom att följa upp omständigheter såsom exempelvis:

• Omsättningen har fördubblats medan arbetsstyrkan är i princip oförändrad.
• Bruttovinsten har ökat med 20% från ett år till ett annat i företag med ganska mogen verksamhet.
• Medel som binds upp i fordringar har ökat kraftigt.
• Kundfordringars och lagers omsättningshastighet har ökat markant.
• Rimlighet i väsentliga fördelningar och allokeringar.
• Balans- och resultatposter och upplysningar skiljer sig väsentligt från jämförelsetalen.

I sådana fall handlar det om att inhämta nöjaktiga förklaringar och revisionsbevis som jävar eventuella farhågor om oegentligheter.

6. Att förhålla sig till inhämtade revisionsbevis

En mer övergripande frågeställning är hur vi ska relatera till de revisionsbevis som inhämtas, med anledning av de förändringar i revisorns förhållningssätt och inställning till riskerna för avsiktliga felaktigheter som IAASB har efterlyst vid omarbetningen av standarden. Det handlar framförallt om eventuella behov av ytterligare granskningsåtgärder för att styrka revisionsbevisens autenticitet och vilka omständigheter som i så fall föranleder det. Jag tänker bland annat på hur olika slags bekräftelser eller andra under som vi inhämtar i skriftlig, dokumenterad form, ifrån externa källor, och som vi normalt betraktar som tillförlitliga, kan manipuleras eller fabriceras i bedrägligt syfte, till exempel med hjälp av artificiell intelligens. Härvidlag kan det vara lämpligt att se över vägledningen för riskbedömningar och utvärdering av de externa bekräftelsernas tillförlitlighet kan säkerställas genom kompletterande åtgärder[37], och hur kravet på inslag av oförutsägbarhet kan tillämpas.

7. Tillämpning i små och mindre komplexa företag

Det finns också anledning att säkerställa att riskbedömningarna avseende oegentligheter är anpassade utifrån företagets storlek och komplexitet; riskfaktorerna är ofta väsentligt annorlunda i mindre, ägarledda företag i så måtto att ägaren/företagsledaren för sådana företag kan utöva en effektivare tillsyn än i större, komplexa företag, vilket (i viss mån i alla fall) kan avhjälpa begränsad, eller obefintlig, ansvarsfördelning (så kallad dualitet). Å andra sidan kan sådana omständigheter bereda ägaren/företagsledaren större möjligheter till att åsidosätta den interna kontrollen för att begå oegentligheter[38].

Överlag bör en revisor beakta att de påtryckningar och incitament, möjligheter och inställningar som utgör riskfaktorer för oegentligheter i mindre företag ofta är helt andra än de som föreligger i stora och komplexa företag. Appendix 4 i International Standard on Auditing för revisioner av finansiella rapporter för mindre komplexa företag (ISA för LCE) kan ge många goda uppslag för revisorer för identifiering och hantering av risker kopplade till manipulering av räkenskaperna och till förskingring av tillgångar i den kategorin av företag.

8. Slutliga reflektioner

Bör revisorn utvärdera om det kan finnas något förväntansgap hos användarna, ledningen, styrelsen eller rent av hos det egna teamet. Det kan vara att utveckla områden om ansvarsfördelning, riskbedömningar, vilka granskningsåtgärder som planerats (och varför) samt utfallet i revisionsplaner och skriftlig återrapportering.

Det är förvisso över ett år till den omarbetade standarden träder ikraft men med tanke på den ganska betydande förändring i mentalitet och inställning som efterfrågas av revisorn finns det desto större anledning att lyfta ett flertal frågeställningar redan nu, både inom revisionsteamen och med företagsledningar och styrelser. Det finns väl egentligen ingen anledning till att vänta med att se över riskbedömningar och granskningsåtgärder, diskutera hur vi kan bli mer professionellt skeptiska eller hur vi förhåller oss mer avvaktande till revisionsbevis tills standarden träder i kraft.

Tidigare bedömningar att den presumerade risken för oegentligheter kopplade till intäktsredovisningar inte är betydande bör kunna omprövas redan nu, liksom behovet av tillkommande särskilda betydelsefulla områden för oegentligheter; båda omständigheter som kan få väsentlig påverkan på revisionsplanerna.

Slutligen bör man redan nu analysera vilken tillkommande arbetsinsats som de ökade kraven som omarbetningarna i ISA 240 (och 570) kommer att föranleda.

Fotnoter:

[1] Den omarbetade standarden (Revised 2025), med tillhörande Exposure Draft och Basis for Conclusions, finns på IAASBs webbplats: ISA 240 (Revised), The Auditor’s Responsibilities Relating to Fraud in an Audit of Financial Statements | IAASB. Standarden finns fortfarande inte översatt till svenska.
[2] Den omarbetade standarden växer från 48 till 68 paragrafer och tillämpningsavsnittet utökas från 69 till 206 paragrafer; därtill omfattar standarden fem bilagor. I sammanhanget kan nämnas att ett halvdussin andra ISA-standarder har uppdaterats med följdändringar på grund av omarbetningen av denna ISA.
[3] Se ISA 240 paragraf 3 i den nuvarande standarden och p 5 i den omarbetade.
[4] Se ISA 240 paragraf 13 och 14 i nuvarande version av standarden och p 18 a) i den omarbetade.
[5] Se ISA 240 paragraf 6 i den nuvarande versionen av standarden.
[6] Se Fraud and Going Concern in an Audit of Financial Statements | IAASB, sidan 8, avsnittet “Background” och framåt.
[7] Se Basis for conclusions, ISA 240 (Revised), The Auditor’s Responsibilities Relating to Fraud in an Audit of Financial Statements, sidan 8 och framåt.
[8] Detta dokument berör omarbetningarna av standarden ISA 240 som IAASB enhälligt godkände i mars 2025 men är inte en del av själva standarden.
[9] Se Basis for conclusions, ISA 240 (Revised), The Auditor’s Responsibilities Relating to Fraud in an Audit of Financial Statements, sidan 10.
[10] Se paragraf 29 c) i den omarbetade standarden.
[11] IAASB avstod från starkare språkbruk som “utmana”, “ifrågasätta” och “ompröva”, för att skilja en revision av finansiella rapporter från en forensisk utredning.
[12] Det kvarstår dock i ISA 200 paragraf A24 men även där betonas att när det gäller tvivel rörande informations tillförlitlighet eller tecken på oegentligheter, så kräver ISA att revisorn utreder frågan ytterligare och bestämmer vilka ändringar eller tillägg till granskningsåtgärderna som krävs för att lösa frågan.
[13] Notera dock att det av ISA 200 paragraf A25 fortsatt framgår att: “revisorn [inte kan] förväntas bortse från tidigare erfarenheter av företagsledningens och styrelsens ärlighet och hederlighet. Trots detta innebär inte en uppfattning att företagsledningen och styrelsen är ärliga och hederliga att revisorn inte behöver förhålla sig professionellt skeptisk eller att det är tillåtet att nöja sig med revisionsbevis som inte är övertygande när han eller hon skaffar sig rimlig säkerhet.”
[14] Enligt paragraf 55 – 58 i den omarbetade standarden förväntas revisorns bilda sig en uppfattning om implikationen på revisionen genom förfrågningar hos ledning och styrelse, vilket utrednings- och uppföljningsarbete som har initierats liksom avhjälpande åtgärder. Såvida den identifierade oegentligheten inte är ”uppenbart betydelselös” förväntas revisorn se över sin riskbedömning för oegentligheter och om ytterligare granskningsåtgärder är motiverade. Dessutom om någon lagstadgad rapporteringsskyldighet kan aktualiseras. Slutligen, vid identifierade felaktigheter på grund av misstag, behöver felet utvärderas utifrån kvantitativa och kvalitativa kriterier, om det har orsakats av kontrollbrister och om företagsledningens uttalanden kan betraktas som vederhäftiga.
[15] Se ISA 240 (omarbetad 2025), paragraf 31 – 37 med tillhörande vägledning i A61 – 109.
[16] Det vill säga, de “de fem inbördes relaterade komponenter” som ett företags system för intern kontroll består av enligt ISA 315 paragraf 12 m (kontrollmiljö, företagets riskbedömningsprocess, företagets process för att övervaka systemet för intern kontroll, informationssystem och kommunikation, och kontrollaktiviteter). Revisorn ska inhämta en förståelse för detta system i sin bedömning av risker för väsentliga fel.
[17] Se ISA 240 (omarbetad 2025, paragraf 32 a) ii).
[18] Se ISA 240 (omarbetad 2025), paragraf A24. Appendix 1 innehåller omfattande exempel på riskfaktorer i samband med oegentligheter även i den omarbetade versionen av standarden. Faktorerna är fortsatt uppbyggda kring kategorierna Incitament/påtryckningar, möjligheter och Inställning/ursäkter.
[19] Se ISA 240 paragraf 40 b).
[20] Se ISA 240 (omarbetad 2025), paragraf A5.
[21] Se ISA 240 (omarbetad 2025), paragraf A128
[22] Återfinns i paragraf A123 i den omarbetade standarden.
[23] Se ISA 240 (omarbetad 2025), paragraf A43.
[24] Se avsnittet ”Fraud and Suspected Fraud” i ISA 240 (omarbetad 2025) som omfattar paragraferna 55 – 58.
[25] Se paragraf A162 i den omarbetade standarden.
[26] Se ISA 240 (omarbetad 2025) paragraf 65.
[27] Se ISA 250 paragraf 23 respektive ISA 600 p 45(h).
[28] Det handlar om hur kraven i ISA 330 paragraferna 25 – 26 och A62 – 64, om revisorns bedömning av revisionsbevisens tillräcklighet och ändamålsenlighet ska tillämpas på identifierade risker för oegentligheter.
[29] Se ISA 701 paragraf 8A och 18A
[30] Se ISA 701 paragraf A21
[31] Se ISA 240 (omarberad) paragraf A180
[32] Se ISA 240 (omarbetad) paragraf 43 och A126 – 127.
[33] Se ISA 240 (omarbetad) paragraf 42.
[34] Se ISA 240 paragraf 49 b) i den omarbetade standarden som saknas i motsvarande paragraf i den nuvarande versionen av standarden som behandlar granskning av bokföringsposter (p 33 a.)
[35] Se Basis for Conclusions paragraf 87.
[36] Se ändring i ISA 580 Written Representation, Appendix 1 Illustrative Representation Letter.
[37] Se ISA 505 Externa bekräftelser, paragraf 10 och 11, samt A11 – 17.
[38] Se avsnitt 6.2.4. i ISA för LCE.