ISAE 3402

OVĚŘOVACÍ ZPRÁVY O KONTROLÁCH V SERVISNÍ ORGANIZACI
Identifikace rizik (viz odstavec 13(b)(iv))
A10. Jak je uvedeno v odstavci 9(c), kontrolní cíle se vztahují k rizikům, která by tyto kontroly
měly omezovat. Například riziko, že transakce bude zaúčtována v nesprávné výši nebo do
nesprávného období, může být vyjádřeno kontrolním cílem, že transakce jsou zaúčtovány
ve správné výši a do správného období. Servisní organizace je odpovědná za identifikaci
rizik, která ohrožují dosažení kontrolních cílů uvedených v popisu jejího systému.
Servisní organizace může používat formální i neformální postupy pro identifikaci
příslušných rizik. Formální postupy mohou zahrnovat odhad významnosti
identifikovaných rizik, hodnocení pravděpodobnosti jejich výskytu a rozhodování o
krocích cílených na tato rizika. Protože se však kontrolní cíle vztahují k rizikům, která by
tyto kontroly měly omezovat, pozorná identifikace kontrolních cílů při navrhování a
implementaci systému servisní organizace může sama o sobě obsahovat neformální
postup identifikace příslušných rizik.
Přijetí změny podmínek zakázky (viz odstavec 14)
A11. Požadavek na změnu rozsahu zakázky může být nepřiměřeně zdůvodněn například
v případě, kdy je požadováno vyloučení některých kontrolních cílů z rozsahu zakázky,
neboť je pravděpodobné, že by byl výrok auditora servisní organizace modifikován; nebo
v případě, že servisní organizace neposkytne auditorovi tvrzení v písemné podobě a je
požadováno provést zakázku dle ISAE 3000.
A12. Požadavek na změnu rozsahu zakázky může být přiměřeně zdůvodněn například
v případě, kdy je požadováno vyloučení subservisní organizace, když servisní organizace
nemůže zajistit přístup pro auditora a metoda přístupu ke službám subservisní organizace
se změnila z metody zahrnutí na metodu vynětí.
Hodnocení vhodnosti kritérií (viz odstavec 15–18)
A13. Kritéria musí být k dispozici předpokládaným uživatelům, aby mohli porozumět
základům pro tvrzení servisní organizace o věrném zobrazení popisu jejího systému,
vhodnosti návrhu kontrol a v případě zprávy typu 2 provozní účinnosti kontrol
vztahujících se ke kontrolním cílům.
A14. ISAE 3000 požaduje, aby auditor servisní organizace mimo jiné posoudil vhodnost kritérií
a vhodnost předmětu zakázky. 12 Předmět zakázky je základní podmínkou zájmu
předpokládaných uživatelů o zprávu o ověření. Následující tabulka popisuje předmět
zakázky a minimální kritéria pro každý výrok ve zprávě typu 2 i typu 1.
12 ISAE 3000, odstavce 18 – 19.
20
ISAE 3402