S ohledem na rozšíření nabídky konfirmací bankami prostřednictvím jejich vlastního internetového bankovnictví bylo aktualizováno stanovisko k dotazu, zda je možné považovat takto obdrženou bankovní konfirmaci za externí konfirmaci v souladu s ISA 505 Externí konfirmace.
Dne 21. prosince 2023 byl odpovězen metodický dotaz, zdali lze za externí konfirmaci v souladu s ISA 505 považovat bankovní konfirmaci s těmito parametry:
- Klient si o bankovní konfirmaci zažádá prostřednictvím online formuláře ve svém internetovém bankovnictví.
- Rozsah bankou poskytnutých informací je předem dán a klient jej nemůže ovlivnit.
- Bankovní konfirmace bude doručena klientovi elektronicky do jeho internetového bankovnictví.
Odpovědí na metodický dotaz bylo, že v takovém případě se o externí konfirmaci nejedná.
Aktualizace: Rozesílání konfirmací z internetového bankovnictví
Dotaz
S ohledem na rozšíření nabídky konfirmací bankami prostřednictvím jejich vlastního internetového bankovnictví je výše uvedený dotaz upraven následovně:
- Klient si o bankovní konfirmaci zažádá prostřednictvím online formuláře ve svém internetovém bankovnictví.
- Informace obsažené v žádosti o bankovní konfirmaci jsou bankou jasně definované a z žádosti je zřejmé, že pokrývá nejen všechny debetní a kreditní zůstatky účtů, ale i další informace jako např. účty zrušené v daném období, výše úroků, podrobnosti o veškerém zastaveném majetku, majetek klienta v držení banky, potenciální aktiva a závazky, deriváty a jiné finanční nástroje a další možné vztahy mezi klientem a bankou.
- Bankovní konfirmace bude bankou doručena auditorovi do jeho datové schránky.
Je možné považovat takto obdrženou bankovní konfirmaci za externí konfirmaci v souladu s ISA505 Externí konfirmace (dále jen „ISA 505“)?
Odpověď (15. dubna 2026)
ISA 505 v článku 7 požaduje, aby si auditor podržel kontrolu nad externími konfirmačními žádostmi, včetně:
a) určení informací, které mají být potvrzeny nebo vyžádány,
b) výběru vhodné potvrzující strany,
c) navrhování konfirmačních žádostí, včetně rozhodnutí, zda jsou žádosti náležitě adresovány a obsahují informace nezbytné k tomu, aby odpovědi byly zaslány přímo auditorovi, a
d) rozeslání žádostí, včetně případných doplňujících žádostí, potvrzující straně.
Pro splnění výše uvedených podmínek je potřeba, aby konfirmační proces prováděný s pomocí klientova internetového bankovnictví splňoval tyto podmínky:
Ad a) Určení informací, které mají být potvrzeny nebo vyžádány
Je třeba si uvědomit, že bankovní konfirmace obvykle neslouží auditorovi pouze k ověření zůstatků na bankovních účtech klienta, ale využívá se také k ověření existence dalších smluvních vztahů s bankou (deriváty, bankovní záruky, zástavy apod.) podstatných pro uživatele účetní závěrky. Pokud banka používá svůj formulář žádosti o bankovní konfirmaci, rozsah informací obsažených v této žádosti musí být jasně definován a transparentně zveřejněn, například na internetových stránkách banky.
Auditor je povinen vyhodnotit, jestli žádost o bankovní konfirmaci používaná a zveřejněná bankou obsahuje všechny informace potřebné pro daný audit. Tím naplní svoji povinnost podržet si kontrolu nad určením informací, které mají být potvrzeny nebo vyžádány. Pokud ze žádosti o bankovní konfirmaci vyplývá, že banka potvrdí veškeré vztahy mezi bankou a klientem, schopnost auditora určit potřebné informace je zajištěna automaticky.
Ad b) Výběr vhodné potvrzující strany
Na tuto podmínku nemá skutečnost, zda žádost o bankovní konfirmaci bude odeslána prostřednictvím internetového bankovnictví nebo jiným způsobem, žádný vliv.
Ad c) Navrhování konfirmačních žádostí
Podobně jako v bodě a) je nutné, aby banka transparentně prezentovala vzor konfirmační žádosti a auditor jej vyhodnotil jako vhodný. Správnost adresování je automaticky zajištěna použitím internetového bankovnictví daného klienta u příslušné banky. Dále je nezbytné, aby žádost o konfirmaci v rámci internetového bankovnictví vyžadovala určení auditora, kterému má být odpověď na konfirmaci bankou přímo zaslána. Pokud banka zasílá konfirmaci přímo do datové schránky auditora, je zajištěno, že daná odpověď je dostatečně autentická a věrohodná. Při splnění výše uvedených podmínek je naplněna povinnost auditora podržet si kontrolu nad návrhem konfirmační žádosti.
Ad d) Rozeslání žádostí
Požadavek na podržení si kontroly nad rozesíláním žádostí potvrzující straně, včetně případných doplňujících žádostí, slouží ke snížení rizika, že auditor nezíská dostatečné, vhodné a spolehlivé externí důkazní informace. Pokud by kontrolu nad rozesíláním žádostí držel klient, existuje riziko, že žádost (1) nebude odeslána, resp. nebude odeslána včas, nebo (2) dojde k možné manipulaci obsahu příslušné žádosti vedením klienta.
Ad (1) Riziko včasného neodeslání
Vzhledem k tomu, že banka auditorovi zašle bankovní konfirmaci během několika pracovních dní od obdržení žádosti, celý proces se zásadně zrychluje. Pokud auditor požádá klienta o podání žádosti o konfirmaci prostřednictvím internetového bankovnictví v adekvátním předstihu, obdrží příslušnou odpověď v řádu dnů. Skutečnost, že odpověď obdržel, je jasným důkazem, že žádost byla odeslána. V případě, že by odpověď neobdržel, má auditor možnost operativně zjistit důvody a případně zvolit jiný způsob získání příslušných informací od banky. Použití internetového bankovnictví pro bankovní konfirmaci tudíž dostatečně eliminuje riziko, že by auditor nezískal dostatečné důkazní informace z důvodu neodeslání příslušné žádosti.
Ad (2) Riziko manipulace ze strany vedení klienta
Tím, že je rozsah bankovní konfirmace jasně vydefinovaný samotnou bankou a klient není schopen jej ovlivnit, a dále také banka zasílá bankovní konfirmaci přímo do datové schránky auditora, je zcela eliminováno riziko, že by byl klient schopen obsah žádosti ovlivnit. Z výše uvedeného tudíž vyplývá, že bankovní konfirmace prostřednictvím internetového bankovnictví naplňuje požadavek na podržení si kontroly nad rozesláním žádostí, včetně případných doplňujících žádostí, potvrzující straně.
Postup v případě neobdržení odpovědi do datové schránky
Lze předpokládat, že na podanou žádost o konfirmaci prostřednictvím elektronického bankovnictví banka odpoví (tj. zašle odpověď do datové schránky auditora) v souladu se svými standardními procesy. Pokud by auditor navzdory očekávání odpověď banky v přiměřené době do své datové schránky neobdržel, lze se oprávněně domnívat, že nedošlo k patřičnému podání žádosti skrze internetové bankovnictví. V takové situaci by se auditor měl pokusit o získání bankovní konfirmace jinou cestou, protože bankovní konfirmace představuje spolehlivou důkazní informaci. Tato cesta bude obvykle pomocí tradiční žádosti o konfirmaci odeslanou přímo auditorem na adresu banky. Důvodem je to, že pokud v rámci původního plánování auditor usoudil, že je nutná konfirmace, měl by v této strategii konzistentně pokračovat. Proto by auditor v situaci, kdy zřejmě nedošlo k úspěšnému odeslání žádosti přes elektronické bankovnictví (dovozované z absence odpovědi banky přes datovou schránku auditora) měl odeslat žádost o konfirmaci jiným vhodným způsobem.
Auditor by mohl zvažovat, že nebude opakovaně o konfirmaci žádat a zvolí alternativní postup. K takovému rozhodnutí je potřeba přistupovat s obezřetností. Pokud by se totiž auditor při neobdržení odpovědi do své datové schránky rozhodl žádnou další žádost o konfirmaci neposílat a namísto toho volil alternativní postup (například by se rozhodl spoléhat pouze na údaje z bankovních výpisů, smluv o půjčce a další obdobné dokumentace), jednalo by se o podstatnou změnu strategie. Taková změna by musela být patřičně popsána ve spisu auditora, přičemž by z popisu muselo být zřejmé, proč auditor považuje tyto alternativní postupy za dostatečné a vhodné. Samotná skutečnost, že nedošlo k obdržení odpovědi banky do datové schránky auditora, obvykle nebude dostatečným argumentem pro změnu strategie a volbu alternativních postupů.
Doplňující souhrnný komentář
Konfirmace jako nástroj pro získávání důkazních informací jsou používány od nepaměti. Standard ISA 505 byl přijat již v devadesátých letech, jeho současná verze byla přijata v roce 2008 (čili téměř před dvaceti lety). Z tohoto faktu jakož i formulace standardu je zřejmé, že byl tvořen v kontextu tradičních konfirmací zasílaných v psané podobě, typicky formou dopisu odesílaného prostřednictvím pošty či obdobného média. Požadavky standardu jsou tudíž formulovány primárně s cílem reflektovat rizika spojená s tímto druhem konfirmací.
V dnešní době jsou informace přenášeny prostřednictvím digitálních technologií. Tyto technologie (jakkoliv nejsou prosty jiných rizik) umožňují zásadně vyšší míru spolehlivosti a autentičnosti přenášených informací. Je zřejmé, že žádost o bankovní konfirmaci podaná prostřednictvím zabezpečeného internetového bankovnictví a následná odpověď zaslaná do datové schránky má pro auditora podstatně vyšší spolehlivost, než konfirmace obdržená v podobě papírového dopisu s ručním (často těžko identifikovatelným) podpisem.
Požadavky standardu je tudíž nutno interpretovat v kontextu dnešní doby charakteristické používáním výše zmíněných digitálních technologií. Mezinárodní auditorské standardy jsou filozoficky postavené „na principech“. Proto každý standard stanovuje cíl, který je nadřazen jednotlivým dílčím požadavkům, které je vždy nutno interpretovat v kontextu daného cíle. ISA 505 stanoví, že „cílem auditora při využití externích konfirmací je navrhnout a provést takové postupy, aby získal relevantní a spolehlivé důkazní informace“. Jak je detailně rozebráno výše, při splnění popsaných podmínek je nepochybné, že bankovní konfirmace prostřednictvím internetového bankovnictví klienta s následným odesláním odpovědi do datové schránky auditora naplňuje tento cíl (pravděpodobně mnohem robustněji, než tradiční papírová konfirmace). Tudíž se jeví jako naprosto přiměřené, aby tento způsob získání konfirmace byl vnímán jako v plném souladu se standardem (má-li být vnímán jako moderní a plně aktuální nástroj pro řízení kvalitního auditu v 21. století). Opačná interpretace (tedy že tento standard takový způsob konfirmace nedovoluje) by byl těžko srozumitelný jak odborné, tak laické veřejnosti.
Závěr
Při splnění všech výše uvedených podmínek lze bankovní konfirmaci iniciovanou v klientově internetovém bankovnictví považovat za externí konfirmaci v souladu s ISA 505. Je pravděpodobné, že proces bankovních konfirmací iniciovaných prostřednictvím elektronického bankovnictví se u jednotlivých bank může lišit. Požadavky sepsané výše lze ale považovat za minimální k tomu, aby dokument, který od banky auditor obdrží, bylo možné považovat za externí konfirmaci v souladu s ISA 505.
Upozorňujeme, že v souvislosti se zaváděním konfirmačních žádostí prostřednictvím internetového bankovnictví klienta může vyvstat potřeba revize vnitřních metodik auditora. Pokud má auditor konfirmační proces pevně ukotven ve svých interních předpisech bez využití datové schránky auditora a internetového bankovnictví klienta, může si nová forma komunikace vyžádat jejich aktualizaci.
Dodržení výše uvedených postupů je důležité pro naplnění obecného požadavku ISA 230, Dokumentace auditu, podle kterého je auditor povinen vypracovat dokumentaci auditu tak, aby zkušený auditor, který se předtím daným auditem nezabýval, pochopil (a) povahu, načasování a rozsah auditorských postupů, (b) výsledky provedených auditorských postupů a získané důkazní informace a (c) významné záležitosti, které vyplynuly z auditu, dosažené závěry týkající se těchto záležitostí a významné odborné úsudky učiněné při tvoření těchto závěrů.
Upozorňujeme, že odpověď Komory auditorů ČR (KA ČR) na výše uvedený dotaz je založena na současném znění právních předpisů a jejich převažujících interpretacích, které se mohou v budoucnosti změnit. Doporučujeme proto ověřit si závěry uvedené v této odpovědi.
Dále upozorňujeme, že KA ČR nemůže vydávat závazná stanoviska a nemůže suplovat funkci regulátora účetnictví a auditu. Závazná stanoviska může vydávat pouze soud. KA ČR tedy žádným způsobem neodpovídá za jakoukoli škodu, která by vznikla třetím osobám v souvislosti s využíváním názoru prezentovaného v této odpovědi. Při zpracování odpovědi jsme vycházeli ze skutečností popsaných v dotazu.
