Kvalitetsstyrning enligt ISQM 1 – vad innebär det i praktiken?

ISQM 1 kräver att revisionsföretaget tillämpar en riskbaserad metod för att utforma, implementera och tillämpa komponenterna i ett kvalitetsstyrningssystem på ett sammankopplat och samordnat sätt så att revisionsföretaget proaktivt hanterar kvaliteten på de uppdrag som utförs av revisionsföretaget.

Syftet med att implementera ett kvalitetsstyrningssystem är att:

• Revisionsföretaget och dess personal fullgör sitt ansvar i enlighet med standarder för yrkesutövningen och tillämpliga krav i lag och annan författning och utför uppdrag i enlighet med sådana standarder och krav

• Rapporter som utfärdas av revisionsföretaget eller en uppdragsansvarig är lämpliga under omständigheterna

Revisionsföretaget måste etablera de kvalitetsmål som specificeras i ISQM 1 och alla eventuella ytterligare kvalitetsmål som anses nödvändiga av revisionsföretaget för att uppnå målen med kvalitetsstyrningssystemet. Kvalitetsmålen ska bland annat avse områdena styrning och ledarskap, relevanta yrkesetiska krav, acceptera och behålla kundrelationer och uppdrag, uppdragets utförande, resurser samt information och kommunikation.

Motåtgärder ska utformas och implementeras av revisionsföretaget för att hantera kvalitetsriskerna på ett sätt som grundar sig på, och är lyhört för, skälen till bedömningarna av kvalitetsriskerna.

Revisionsföretaget ska även etablera en övervaknings- och åtgärdsprocess för att tillhandahålla relevant och tillförlitlig information gällande utformningen, implementeringen och användningen av kvalitetsstyrningssystemet samt vidta lämpliga åtgärder för att hantera identifierade brister så att dessa åtgärdas i rätt tid.

Iakttagelser rörande kvalitetsstyrningsarbetet ska utvärderas för att avgöra huruvida det föreligger brister i övervaknings- och åtgärdsprocessen. Revisionsföretaget ska utvärdera hur allvarliga och genomgripande de identifierade bristerna är och vidta nödvändiga åtgärder.

Enligt ISQM 1 är det revisionsföretaget som ansvarar för att utforma, införa och driva kvalitetsstyrningssystemet för revisioner eller översiktliga granskningar av finansiella rapporter, eller andra bestyrkandeuppdrag eller näraliggande tjänster som revisionsföretaget utför.

Det yttersta ansvaret för kvalitetsstyrningssystemet tilldelas av revisionsföretaget till en eller flera personer, exempelvis till revisionsföretagets VD eller affärsledande delägare. Även en operativt ansvarig för kvalitetsstyrningssystemet eller för specifika aspekter i kvalitetsstyrningssystemet ska utses för exempelvis efterlevnad av krav på oberoende samt övervaknings- och åtgärdsprocessen.

Övervakning ska ske av någon som är opartisk (för att hantera självgranskningshot) vilket kan vara en utmaning för många mindre byråer.

I ett mindre revisionsföretag kan det därför vara nödvändigt att använda sig av en tjänsteleverantör (till exempel en annan revisionsbyrå) för att utföra övervakningsaktiviteterna. När det gäller kvalitetskontroll av uppdrag så har detta krav funnits sedan tidigare och därför finns sannolikt den processen redan på plats. Det som kan vara nytt är att även övriga övervakningsaktiviteter kan behöva ske av en extern part i ett mindre företag. Det kan noteras att Revisorsinspektionen i sitt avgörande Dnr 2024-0075 trycker på vikten av att övervakningsaktiviteterna utförs med den objektivitet som krävs enligt standarden, vilket kan innebära en skyldighet att, där det behövs, ta hjälp av extern part.

När en person utanför revisionsföretaget anlitas gäller de bestämmelser i ISQM 1 som omfattar nätverkskrav, nätverkstjänster eller tjänsteleverantörer.

Som en del av riskbedömningsprocessen ska företaget utforma och implementera motåtgärder för att hantera kvalitetsriskerna. Vid utformningen av motåtgärder behöver företaget beakta skälen till att en viss specifik risk bedöms existera. Därutöver måste företaget beakta motåtgärdens karaktär, tidpunkter och omfattning.

ISQM 1 innehåller några specifika motåtgärder som företaget måste utforma och implementera. Dessa obligatoriska motåtgärder är inte tillräckliga för att hantera alla kvalitetsrisker. Företaget behöver därför utforma och implementera ytterligare motåtgärder utöver de som finns omnämnda i standarden.

Dokumentationen av motåtgärderna består ofta av policyer, som utgör grunden (ramarna) för motåtgärden, vilka sedan kompletteras med checklistor, mallar och formulär, exempel på brev och liknande. I större företag är skriftliga processbeskrivningar ofta en del av dokumentationen av motåtgärderna, detta då flera personer är involverade och att det sker rotation av de personer som är involverade i motåtgärderna.

Företag måste beskriva hur motåtgärderna adresserar kvalitetsriskerna, vilket sker genom övervakningsaktiviteter. Syftet med övervakningsaktiviteterna är bland annat att möjliggöra utvärdering av kvalitetsstyrningssystemet men det underlättar också en proaktiv och fortlöpande förbättring av uppdragens kvalitet och kvalitetsstyrningssystemet.

Övervakning ska ske av någon som är oberoende till den som utfört motåtgärden, med andra ord kan en revisor i mindre byrå eller i enmansbyrå inte utföra övervakningen själv av sitt företag.

Revisionsföretagets övervakningsaktiviteter kan utgöras av en kombination av löpande övervakningsaktiviteter (rutinaktiviteter som är inbyggda i revisionsföretagets processer) och periodiska övervakningsaktiviteter (övervakningsaktiviteter som utförs med särskilda intervaller).

Övervakningsåtgärder måste ske för att ge input till utvärderingen som ska ske minst en gång om året av den eller de person(er) som ges det yttersta ansvaret för kvalitetsstyrningssystemet, för att kunna avgöra om målen med kvalitetsstyrningssystemet uppnås.

Revisionsföretaget ska vidare utföra regelbundna utvärderingar av prestationer av den eller de person(er) som har tilldelats det yttersta ansvaret för kvalitetsstyrningssystemet och den eller de person(er) som har tilldelats det operativa ansvaret för kvalitetsstyrningssystemet. Utvärderingen av kvalitetsstyrningssystemet ska beaktas i denna utvärdering.