ISAE 3402

OVĚŘOVACÍ ZPRÁVY O KONTROLÁCH V SERVISNÍ ORGANIZACI
(c) Doplňkové kontroly v uživatelské účetní jednotce jsou adekvátně popsány, pokud
existují; a
(d) Služby poskytované subservisní organizací, pokud takové existují, jsou adekvátně
popsány, včetně toho, zda byla ve vztahu k nim použita metoda zahrnutí nebo metoda
vynětí.
22. Auditor servisní organizace je povinen zjistit, kombinací dotazování a ostatních postupů,
zda systém servisní organizace byl implementován. Tyto ostatní postupy musí zahrnovat
pozorování, inspekci záznamů a ostatní dokumentace, v závislosti na způsobu, jak systém
servisní organizace funguje a jak fungují kontroly. (viz odstavec A24)
Získávání důkazních informací ohledně návrhu kontrol
23. Auditor servisní organizace je povinen zjistit, které z kontrol v servisní organizaci jsou
nutné pro dosažení kontrolních cílů uvedených v popisu systému servisní organizace, a je
povinen vyhodnotit, zda byly tyto kontroly vhodně navrženy. Toto zjištění musí
zahrnovat: (viz odstavec A25–A27)
(a) Identifikaci rizik, která ohrožují dosažení kontrolních cílů uvedených v popisu
systému servisní organizace; a
(b) Zhodnocení vazby kontrol identifikovaných v popisu systému servisní organizace a
těchto rizik.
Získávání důkazních informací ohledně provozní účinnosti kontrol
24. Pokud auditor servisní organizace vydává zprávu typu 2, je povinen provést testy kontrol,
u nichž stanovil, že jsou nezbytné pro dosažení kontrolních cílů uvedených v popisu
systému servisní organizace, a zhodnotit jejich provozní účinnost v průběhu období.
Důkazní informace o vyhovující provozní účinnosti získané v minulých obdobích zakázky
neposkytují základ pro snížení rozsahu testování, i kdyby byly doplněny důkazními
informacemi získanými v běžném období. (viz odstavec A28–A32)
25. Při navrhování a provádění testů kontrol je auditor servisní organizace povinen:
(a) Provést dotazování a ostatní postupy za účelem získání důkazních informací:
(i)
(ii)
O tom, zda kontrola byla prováděna;
O konzistentnosti provádění kontroly;
(iii) Kým nebo jakým způsobem byla kontrola prováděna;
(b) Zjistit, zda kontroly, které má testovat, jsou závislé na jiných kontrolách (nepřímých
kontrolách), a pokud tomu tak je, zda je nezbytné získat důkazní informace o
provozní účinnosti těchto nepřímých kontrol; a (viz odstavec A33–A34)
(c) Určit způsob výběru položek pro testování, který umožní splnění cíle tohoto
postupu. (viz odstavec A35–A36)
26. Při určování rozsahu testování kontrol auditor servisní organizace musí brát v úvahu
záležitosti, jako je charakteristika základního souboru, který se má testovat, což zahrnuje
povahu kontrol, frekvenci jejich provádění (např. měsíčně, denně, vícekrát denně) a
očekávaný počet odchylek.
10
ISAE 3402