Dnr 2025-1518

4.1 Planering och riskbedömning

Av dokumentationen framgår att A-son bestämde den övergripande väsentligheten till 743 tkr och arbetsväsentligheten till 557 tkr.

Bolaget använde totalt elva huvudbokskonton för att bokföra olika slags intäkter. Intäkterna på respektive konto benämndes bl.a. Licenser, Försäljning av tjänster utanför EG momsfri, Advisory, Bokad årskontraktsvärde, Bokad Advisoryförsäljning och Bokad Upsellförsäljning.

I dokumentationen av förståelse av bolaget och dess miljö finns en anteckning om att A-son ansåg sig ha tillräcklig kunskap om verksamheten för att kunna identifiera och förstå händelser, transaktioner och andra förhållanden som enligt hans bedömning skulle kunna ha en betydande påverkan på årsredovisningen, bokföringen och företagsledningens förvaltning eller på granskningen eller revisionsberättelsen. Han ansåg också att han hade en bra grund för bedömningen av inneboende risk, kontrollrisk och granskningsåtgärdernas inriktning.

När det gäller förståelsen för bolagets kunder och försäljning antecknade A-son i dokumentationen att bolaget erbjöd molnbaserade mjukvaror för bemanningsvärdering, lönekartläggning och medarbetarinnovation. I dokumentationen finns en rutinbeskrivning av bolagets försäljning, vilken utgörs av anteckningar om att fakturering skedde löpande i ett IT-system efter nedlagda timmar, att beställningar gjordes vie e-post och att det var bolagets styrelseordförande, tillika majoritetsägare, som skötte faktureringen. Själva utskicket av fakturor till kunder och kravhantering sköttes av ett annat bolag. Förutom dessa anteckningar finns ingen dokumentation som beskriver bolagets principer för intäktsredovisning eller vilka rutiner och kontroller som var kopplade till bolagets försäljning.

Av dokumentationen av riskbedömningen framgår att A-son bedömde att posten Nettoomsättning var en väsentlig post att granska och att den inneboende risken var hög. Intäktsredovisningen bedömdes dessutom vara förknippad med en betydande risk med anledning av förekomsten av risk för väsentliga felaktigheter som berodde på oegentligheter. Det fanns enligt dokumentationen en risk att incitament eller tryck skulle kunna leda till att bolaget inte redovisade korrekta intäkter. Det går dock inte av dokumentationen att utläsa hur förekomsten av denna risk påverkade inriktningen på och omfattningen av granskningen.

4.2 Granskningen

Av arbetsprogrammet för posten Nettoomsättning framgår att en medarbetare till A-son efter jämförelse med föregående år bedömde posten som rimlig, att en periodiseringskontroll utfördes och att det kontrollerades att det inte fanns något glapp i nummerserien för kundfakturor som hade ställts ut i december det aktuella räkenskapsåret. Det finns också en anteckning om att försäljningstransaktioner ”totalt överstigande 2 mnkr” hade granskats mot faktura. Vid den anteckningen finns dock inga hänvisningar till några revisionsbevis. I underlaget för genomförda stickprov finns endast en försäljningsfaktura. På denna finns inga anteckningar eller annat som visar hur den användes i granskningen. Slutsatsen av åtgärden var att inga misstag eller oegentligheter hade hittats och att intäkterna framstod som korrekt redovisade. I dokumentationen finns också handlingar från bolaget i form av huvudbokskontoutdrag från fem av intäktskontona i bokföringen. Av utdragen framgår att flera bokföringsposter är benämnda ”ombokning”. Inte heller på dessa handlingar finns några anteckningar eller annat som visar hur de användes i granskningen. Det finns inte heller några hänvisningar till handlingarna från arbetsprogrammet för posten.

När det gäller granskningen av posten Kundfordringar framgår av arbetsprogrammet att posten var avstämd mot kundreskontra, att en rimlighetsbedömning av posten gjordes, att genomsnittlig kredittid beräknades, att kundreskontran hade lästs igenom, att betalningsuppföljning utfördes, att det inte fanns några kundförluster och att inga kreditfakturor hade ställts ut på det efterföljande räkenskapsåret.

I arbetsprogrammet för posten Förutbetalda kostnader och upplupna intäkter, där upplupna licensintäkter ingick med 770 tkr, finns en anteckning om att en medarbetare till A-son hade stämt av denna delpost mot en sammanställning över periodiserade fakturor. I dokumentationen finns en bokslutsbilaga från bolaget där de upptagna delposterna framgår. För vissa delposter finns en referens till fakturanummer men för andra finns bara en referens till kundnamn. Det finns inga anteckningar från någon granskning vare sig på bilagan eller på några andra underlag till de upptagna delposterna.

4.3 Revisorns uppgifter

A-son har uppgett följande.

De tjänster som bolaget sålde var i princip av två olika slag, dels licensrättigheter att använda bolagets programvara, dels rådgivning i lönekartläggningsfrågor och lönetransparens m.m. Dessa typer av tjänster såldes i huvudsak var för sig. Rådgivning såldes normalt på löpande räkning baserat på faktisk tidsåtgång, men inte till kunder som inte också var intresserade av bolagets programvara. Själva programvaran såldes som abonnemang i form av en licensrättighet att utnyttja programvaran under den avtalade perioden. Förutom rätten att utnyttja programvaran ingick teknisk support, introduktionsutbildning och tekniska uppdateringar. Enligt uppgift från bolaget var supportdelen en mycket begränsad del av prestationen och detta stämde även med erfarenheter som han hade från andra kunder med likartad verksamhet. Det förekom att bolaget offererade både programvara och rådgivning som ett paket. Hans bedömning var att det då var fråga om två separata tjänster.

Från början redovisades all försäljning på ett huvudbokskonto men efterhand delades försäljningen upp på flera konton. Under år 2023 var den principiella uppdelningen återkommande licensförsäljning, nyförsäljning av licenser, försäljning där bolagets programvara var integrerad i andra leverantörers tjänster och rådgivningstjänster.

Hans och revisionsteamets förståelse för bolagets olika tjänster hade byggts upp successivt över tid genom intervjuer med företagsledningen och bolagets redovisningskonsult. Genom de olika granskningsåtgärder som hade vidtagits under tidigare år hade de testat hur rutinerna och de kontroller som funnits genom arbetsfördelning mellan framför allt företagsledaren och redovisningskonsulten hade fungerat. De hade inte identifierat några avvikelser vid dessa kontroller. Han hade lång erfarenhet av bolaget, eftersom han hade varit dess revisor sedan starten år 2012. Han hade verkat nära bolaget och följt utvecklingen steg för steg. Hans bedömning var att verksamheten fungerade väl, att företagsledaren var mån om att göra rätt och att kontrollmiljön därmed var god.

Personal hos bolaget hade goda kunskaper i redovisningsfrågor. Han hade dessutom från några andra revisionsuppdrag tidigare erfarenhet av den redovisningskonsult som bolaget anlitade och hade då uppmärksammat att hon hade hög integritet och var mån om att allt skulle bli rätt. Hon var dessutom noggrann och utredde verkligen eventuella oklarheter. Bolagets principer för intäktsredovisning hade varit konsekventa och oförändrade över tid. Några tveksamheter om hur intäkterna skulle redovisas hade aldrig förelegat hos bolaget.

Bolaget hade ett sidoordnat system för att hantera licenser. Systemet byggde på upprättandet av offerter som kunde leda till att avtal togs fram. Informationen från offertmodulen i systemet ingick i avtalen och det fanns funktioner där det noterades från vilken dag som kunden skulle ges tillgång till bolagets programvara, från vilken tidpunkt som fakturering skulle ske, genomförda aktiviteter såsom introduktionsutbildning och tidpunkt för förnyelse. Detta innebar att det genom avtalen var möjligt att granska såväl intäkternas storlek som tidpunkt för fakturering och avtalsperiod. Rådgivning hanterades genom ett sedvanligt tidredovisningssystem.

Riskbedömningen vad gällde risker för oegentligheter i intäktsredovisningen var en följd av presumtionen kring detta i International Standard on Auditing (ISA) 240 Revisorns ansvar avseende oegentligheter i en revision av finansiella rapporter. Mot bakgrund av de tjänster som bolaget tillhandahöll och den typ av kunder som det hade bedömde han och revisionsteamet risken för oegentligheter, utifrån kriteriet förskingring av tillgångar, som i princip obefintlig. Den risk som fanns var snarare knuten till kriteriet bedräglig finansiell rapportering, främst genom att intäkter inte redovisades i rätt period. Denna risk minskade dock genom redovisningskonsultens kontroller och medverkan. Risken fång-ades upp genom granskning mot avtal, granskning av förekomst av kreditfakturor och analytisk granskning. Risken för oegentligheter fanns, enligt hans och revisionsteamets bedömning, därför främst på kostnadssidan, närmast i form av risken att bolaget belastades med kostnader av privat karaktär.

Slutsatsen från föregående års granskning var att det inte hade framkommit några brister i intäktsredovisningen eller förekommit några andra oegentligheter. Det året utfördes en fördjupad granskning som tog sikte på risker för oegentligheter. Resultatet av denna granskning var att några oegentligheter inte identifierades.

Granskningen av intäktsredovisningen utfördes av en medarbetare som själv var auktoriserad revisor. Denne rapporterade resultatet av granskningen till honom och han tog del av genomförd granskning och slutsatserna i revisionsverktyget. Efter genomgången drog han själv slutsatsen att det inte fanns några kvarstående oklarheter kring fullständighet i intäktsredovisningen och att intäkterna var korrekt periodiserade.

De vidtagna granskningsåtgärderna är kortfattat beskrivna i dokumentationen och han vill därför komplettera med mer information om vad som utfördes och resultatet av de olika granskningsåtgärderna.

Granskning av fakturor bestod av dels ett urval av fakturor med större belopp, dels ett slumpmässigt urval av samtliga fakturor. Granskningen omfattade samtliga intäktskonton och totalt granskades tio procent av försäljningen mot faktura. Urvalet skedde utifrån de huvudbokskontoutdrag som finns i dokumentationen. Hans minnesbild är att granskningen omfattade cirka 30 fakturor och att det framgick vilka fakturor som hade granskats genom att de hade markerats med överstrykningspenna. Han ser dock att denna uppgift inte finns med i den elektroniska revisionsakten. Granskningen gick till så att hans medarbetare tog fram fakturorna och kontrollerade att de hade bokförts korrekt och att intäkten hade redovisats i rätt period utifrån de redovisningsprinciper som bolaget tillämpade. Några avvikelser hittades inte. Att enbart en faktura finns i dokumentationen beror på att den sparades som bevis för att en uppdatering av den programvara som tillhandahölls kunderna var klar och att tilläggsfakturering hade skett för den modulen i programvaran, något som var nytt för året.

De ombokningar i bokföringen som gjordes var inget som påverkade den redovisade nettoomsättningen i årsredovisningen utan de var enbart en fördelning av bolagets intäkter på de olika huvudbokskontona i bokföringen för intern uppföljning.

Periodiseringskontroll, granskning av nummerserie samt analytisk granskning skedde utöver den ovan beskrivna granskningen av fakturor. Vidare skedde granskning mot avtal och betalningar för de cirka 30 fakturor som granskades som ett led i en genomgång, s.k. walk through, för att följa upp bolagets rutiner. Inga avvikelser uppmärksammades vid dessa åtgärder. Några fel hade inte heller noterats vid granskning under tidigare år.

4.4 Revisorsinspektionens bedömning

Intäktsredovisningen är normalt ett väsentligt granskningsområde som revisorn har anledning att ägna särskild uppmärksamhet. Av A-sons dokumentation framgår att han bedömde att nettoomsättningen var en väsentlig post att granska och att det fanns betydande risker kopplade till posten.

Enligt ISA 240 p. 27 ska en revisor, när han eller hon identifierar och bedömer riskerna för väsentliga felaktigheter som beror på oegentligheter, på grundval av ett grundantagande om att det finns risker för oegentligheter i intäktsredovisningen, utvärdera vilka intäkter, intäktstransaktioner eller påståenden som ger upphov till sådana risker. Om grundantagandet inte avfärdas, ska risken behandlas som en betydande risk i enlighet med ISA 315 p. 12 l. ii. Detta innebär enligt ISA 315 p. A218 bl.a. att revisorn måste identifiera sådana kontroller i bolaget som hanterar risken. Revisorn måste då också utvärdera bl.a. om kontrollerna har utformats på ett ändamålsenligt sätt enligt p. 26 a i samma ISA och om de har införts i enlighet med p. 26 d.

Som framgår av utredningen avfärdade A-son inte grundantagandet om risken för väsentliga felaktigheter i intäktsredovisningen som beror på oegentligheter. Det ålåg honom därför att, i enlighet med kraven i ISA 315, behandla detta som en betydande risk och vidta de åtgärder när det gäller bolagets kontroller som följer av standarden.

Frånsett några korta anteckningar om aktiviteter kring faktureringen och vem som skötte utskicket av fakturorna saknas det i dokumentationen underlag som ger vid handen att A-son försökte skaffa sig den nödvändiga förståelsen av bolagets kontroller rörande intäktsredovisningen som ISA 315 kräver. I hans yttranden till Revisorsinspektionen lämnas inga uppgifter om några ytterligare granskningsåtgärder under räkenskapsåret. De uppgifter som han har lämnat om tidigare års granskningar är allmänt hållna och innehåller inte någon detaljerad beskrivning av kontroller i bolaget eller granskningsåtgärder kopplade till dessa. Revisorsinspektionen drar därför – med tillämpning av den i avsnitt 2 beskrivna bevisbörderegeln – slutsatsen att A-son inte vidtog tillräckliga åtgärder i enlighet med ISA 315 för att skapa sig en förståelse för de kontroller som var förknippade med bolagets intäktsredovisning.

Dokumentationen visar inte heller att A-son skaffade sig en tillräcklig förståelse för och bedömde bolagets principer för intäktsredovisningen för de olika intäktsslagen. De uppgifter som han har lämnat till Revisorsinspektionen i denna del är allmänt hållna. Uppgifterna ger i och för sig stöd för att han inhämtade viss förståelse för bolagets redovisningsprinciper. Genom uppgifterna kan han emellertid inte anses ha gjort sannolikt att han skaffade sig tillräcklig förståelse för hur bolaget bearbetade och redovisade de olika intäktsslagen, inklusive hur bolagets licensintäkter skulle periodiseras över avtalsperioderna

Sammantaget gör Revisorsinspektionen – med tillämpning av den i avsnitt 2 beskrivna bevisbörderegeln – bedömningen att de vidtagna åtgärderna inte var tillräckliga för att ge A-son grund att förlita sig på rutinerna och kontrollerna vid utformningen av granskningen. Han var därför tvungen att helt förlita sig på substansgranskning. Nästa fråga blir därför om hans substansgranskningsåtgärder gav honom grund att godta fullständigheten och riktigheten i den samlade intäktsredovisningen för de olika intäktsslagen i bolaget.

De substansgranskningsåtgärder som framgår av A-sons dokumentation när det gäller intäktsredovisningen begränsar sig till en rimlighetsbedömning, en periodiseringskontroll i anslutning till balansdagen och en kontroll av att det inte förekom något glapp i nummerserien för kundfakturor som hade ställts ut i december månad. Därutöver gjordes en kontroll av fakturor. Omfattningen av fakturakontrollen framgår inte av dokumentationen, men enligt A-sons uppgifter till Revisorsinspektionen motsvarade fakturorna tio procent av de totala intäkterna. Enligt inspektionens uppfattning var denna åtgärd inte tillräcklig för att ge underlag för en bedömning av fullständigheten och riktigheten i den samlade intäktsredovisningen. Detta gäller i synnerhet som A-son inte hade grund för att förlita sig på bolagets rutiner och kontroller.

De granskningsåtgärder som A-son utförde av posterna Kundfordringar och Förutbetalda kostnader och upplupna intäkter tog främst sikte på balansräkningen och transaktioner kring balansdagen. Dessa åtgärder gav honom därför inte grund att uttala sig om den samlade intäktsredovisningen. Vad gäller posten Förutbetalda kostnader och upplupna intäkter går det dessutom inte av dokumentationen att utläsa något annat än att en medarbetare till A-son stämde av huvudbokssaldot mot en specifikation. Några andra åtgärder är inte dokumenterade och framgår inte heller av A-sons uppgifter till Revisorsinspektionen.

Inspektionen anser mot denna bakgrund att A-sons åtgärder för att granska fullständigheten och riktigheten i intäktsredovisningen inte var tillräckliga. Bristerna vid granskningen var sådana att han – med hänsyn till intäkternas betydelse i bolaget – saknade grund för att tillstyrka ett fastställande av bolagets resultat- och balansräkningar. Genom att likväl göra det har han åsidosatt god revisionssed.

5.1 Revisionsdokumentationen

I grundakten finns utdrag från Bolagsverkets register över verkliga huvudmän, uttagna den 9 november 2018, den 5 december 2019 och den 11 november 2020. Alla tre utdragen visar uppgifter som registrerades den 19 januari 2018. Enligt de registrerade uppgifterna i utdragen fanns tre verkliga huvudmän; A och B som vardera kontrollerade mer än 0 procent men inte mer än 25 procent och C som kontrollerade mer än 75 procent men mindre än 100 procent.

Grundakten innehåller också ett utdrag från ett kreditupplysningsföretag, daterat den 3 november 2018. Av utdraget kan utläsas att C var ensam styrelseledamot. I grundakten finns också en kopia av en aktiebok med införingar från den 2 januari 2012 till den 10 juli 2019. Enligt aktiebokens senaste införingar, gjorda i april och juli 2019, hade bolaget totalt 13 aktieägare, varav C ägde 80 procent, B 3,3 procent samt resterande elva aktieägare sammanlagt 16,7 procent.

Vidare innehåller akten en odaterad och ej vidimerad kopia av en identitetshandling avseende C.

I dokumentet Uppdragsbedömning som finns i revisionsdokumentationen för räkenskapsåret 2023 har angetts att det inte fanns något i klientens verksamhet som indikerade penningtvätt. Ett påstående i granskningsverktyget om att aktuella uppgifter om verklig huvudman hade kontrollerats och att inget tydde på att inte rätt person/er var registrerade hos Bolagsverket har besvarats med ja. Detsamma gäller påståendet om att varken kunden, kundens verkliga huvudman eller närstående var en person i politiskt utsatt ställning (PEP).

I checklistan Penningtvätt har angetts att identitetskontroll gjordes i samband med antagande av uppdraget, att inget hade framkommit som indikerade att inte rätt person/er var registrerade som verklig huvudman hos Bolagsverket, att någon PEP inte förekom, samt att inga transaktioner hade upptäckts som kunde misstänkas härröra från en straffbar handling. Det finns inga uppgifter om vilka åtgärder som låg till grund för dessa slutsatser.

I checklistan Utvärdering av befintligt uppdrag har samtliga frågor under rubriken Penningtvättslagen besvarats med nej. Frågorna avser om det finns indikationer på penningtvätt, om verklig huvudman är registrerad hos Bolagsverket och något tyder på att det är fel person/er som är registrerade samt om det förekommer PEP.

5.2 Revisorns uppgifter

A-son har lämnat följande uppgifter.

Identitetskontrollen utfördes ursprungligen när han antog uppdraget år 2012 och när det förnyades år 2019. Kontrollen skedde vid fysiska möten. Det var vid uppdateringen år 2019 som han tog den kopia av en identitetshandling som finns i grundakten. Det mötet ägde rum den 15 november 2019.

Uppgifterna i Bolagsverkets register över verkliga huvudmän återger ägarförhållandena såsom de var vid registreringstillfället år 2018. Av uppgifterna framgår att C kontrollerade mer än 75 procent av aktierna och att övriga registrerade verkliga huvudmän både var för sig och tillsammans kontrollerade ett innehav som understeg 25 procent. Enligt hans bedömning var det därför enbart C som var verklig huvudman i lagens mening och därför kontrollerade han endast dennes identitet.

Eftersom de övriga två (A och B) kontrollerade en ägarandel som understeg 25 procent, behövde de enligt hans mening inte ha registrerat i registret över verkliga huvudmän. Frågan är därför hur allvarligt det är att registret i och för sig innehåller korrekta uppgifter, men där två personer som anges som verklig huvudman inte är det i lagens mening. Diskrepansen ledde till att han följde upp frågan med bolaget, som sedermera kom att avregistrera dessa två personer från registret över verkliga huvudmän.

Hans erfarenhet är att det är sällsynt att få träff på personer i PEP-register i mindre företag. Han ställde frågor om C och dennes närstående när han åtog sig uppdraget. Han fick nekande svar och varken registerkontroller via ett kreditupplysningsföretag eller hans kunskap om företaget och dess verksamhet tydde på motsatsen. Han drog därför slutsatsen att det inte fanns någon person som var PEP. Det har inte därefter skett några förändringar som gett honom anledning att ompröva den bedömningen.

5.3 Revisorsinspektionens bedömning