PCAOB QC 1000 a AICPA SQMS č. 1: Čo musia malé CPA firmy zaviesť do decembra 2026

Ak vediete malú CPA firmu a posledné desaťročie ste si vystačili so strohou príručkou kontroly kvality na zdieľanom disku, nasledujúcich osemnásť mesiacov sa vám bude zdať ako úplne iná profesia. Dvaja samostatní regulátori – PCAOB a AICPA – nahradili starý reaktívny režim kontroly kvality proaktívnym modelom „riadenia kvality“ založeným na rizikách, ktorý si vyžaduje písomné ciele, identifikované riziká, navrhnuté reakcie, priebežné monitorovanie a zdokumentované dôkazy o tom, že celý mechanizmus skutočne funguje. Vyhlásenie o štandardoch riadenia kvality č. 1 (SQMS č. 1) od AICPA nadobudlo účinnosť 15. decembra 2025 a štandard QC 1000 od PCAOB ho nasleduje 15. decembra 2026. Samostatní audítori a firmy s desiatimi zamestnancami nie sú oslobodení; štandardy sú škálovateľné, ale vzťahujú sa na každého.

Tento sprievodca prechádza tým, čo sa mení, ôsmimi komponentmi a štyrmi rolami, ktoré musíte definovať, harmonogramom do decembra 2026, očakávaniami v oblasti dokumentácie, ktoré prekvapili prvých používateľov, a fázovým plánom implementácie, ktorý môžete začať už tento štvrťrok.

Dva štandardy v jasných pojmoch

V súčasnosti existujú dva samostatné režimy kvality, ktoré možno budete musieť dodržiavať v závislosti od toho, čo vaša firma audituje.

AICPA SQMS č. 1 sa vzťahuje na každú firmu, ktorá vykonáva audity, uisťovacie služby, previerky alebo kompilácie podľa štandardov AICPA. Ak podpíšete čo i len jednu správu o previerke finančných výkazov súkromnej spoločnosti, tento štandard sa na vás vzťahuje. Účinnosť nadobudol 15. decembra 2025, takže implementačné okno je už uzavreté; firmy, ktoré si nevybudovali systém, sú dnes v nesúlade.

PCAOB QC 1000 sa vzťahuje na každú firmu registrovanú v PCAOB, dokonca aj na firmy, ktoré v súčasnosti nevykonávajú zákazky pre emitentov alebo obchodníkov s cennými papiermi, ale mohli by ich vykonávať v budúcnosti. Účinnosť nadobúda 15. decembra 2026. Prvé vykazovacie obdobie pre formulár QC trvá od 15. decembra 2026 do 30. septembra 2027, pričom prvé podanie formulára QC na PCAOB je splatné do 30. novembra 2027.

Tieto dva štandardy zdieľajú spoločnú DNA – oba sú modelované podľa medzinárodného rámca ISQM 1 – ale nie sú identické. Firmy registrované v PCAOB, ktoré zároveň vykonávajú zákazky AICPA, musia prevádzkovať jeden systém, ktorý spĺňa oboje. To je tá náročná časť. Väčšina firiem navrhuje jeden integrovaný systém riadenia kvality (SOQM) a k nemu pridáva dodatočné požiadavky špecifické pre PCAOB.

Prečo sa štandardy zmenili

Staré štandardy kontroly kvality (QC 20, QC 30, QC 40 na strane PCAOB a sekcia QC 10 od AICPA) pristupovali ku kvalite ako k zoznamu úloh: zodpovedný partner, písomná príručka, pravidelná kontrola. Zistenia z inšpekcií opakovane ukazovali, že súlad s príručkou nie vždy viedol ku kvalitnému auditu. Firmy mohli prejsť previerkou kvality (peer review) a stále vydávať chybné stanoviská, pretože systém v skutočnosti nereagoval na riziká prítomné v danej firme v danom roku.

Nové štandardy menia logiku. Namiesto toho, aby vám hovorili, aké postupy máte zapísať, ukladajú vám:

1. Stanoviť ciele kvality – ako vyzerá vysokokvalitná zákazka vo vašej firme?
2. Identifikovať riziká kvality – čo by sa mohlo reálne pokaziť na ceste k týmto cieľom?
3. Navrhnúť reakcie – aké kontroly, školenia, technológie alebo dohľad použijete na riešenie každého rizika?
4. Monitorovať a naprávať – ako zistíte, že to funguje, a ako opravíte to, čo nefunguje?

Ide o zásadný kultúrny posun. Štandard nie je splnený vypracovaním príručky kontroly kvality; vyžaduje si systém, ktorý je navrhnutý, implementovaný, funkčný a efektívne monitorovaný. Viaceré firmy, ktoré už prešli tvorbou podľa SQMS č. 1, uvádzajú, že tímy partnerov a manažérov strávili na tejto práci stovky hodín.

Osem komponentov, ktoré musíte pokryť

QC 1000 aj SQMS č. 1 organizujú systém okolo ôsmich komponentov. Dva sú procesné; šesť sú prevádzkové oblasti firmy.

Procesné komponenty

1. Proces posudzovania rizík. Firma stanovuje ciele kvality, identifikuje riziká a navrhuje reakcie, pričom cyklus udržiava v chode podľa meniacich sa podmienok.
2. Proces monitorovania a nápravy. Firma priebežne testuje, či reakcie fungujú, identifikuje nedostatky, vykonáva analýzu koreňových príčin a vykonáva nápravu.

Prevádzkové komponenty

3. Správa a riadenie a vedenie. „Tón zhora“, štruktúra zodpovednosti a kultúra, ktorá poháňa rozhodovanie.
4. Etika a nezávislosť. Súlad s pravidlami nezávislosti AICPA a SEC, kontroly konfliktov záujmov a osobné finančné vzťahy.
5. Prijímanie a pokračovanie v vzťahoch s klientmi a zákazkách. Kontroly pozadia, integrity, schopností a kapacity pred prijatím alebo obnovením klienta.
6. Vykonávanie zákaziek. Usmerňovanie, dohľad, previerka, konzultácie, rozdiely v názoroch, previerky kvality zákaziek a dokumentácia zákaziek.
7. Zdroje. Ľudské zdroje (školenia, hodnotenie, povyšovanie partnerov), technológie, intelektuálne zdroje (metodika auditu, šablóny) a poskytovatelia služieb.
8. Informácie a komunikácia. Interná komunikácia o kvalite a komunikácia s výbormi pre audit, regulátormi a externými zainteresovanými stranami.

Pre každý komponent napíšete ciele kvality, identifikujete riziká kvality, ktoré ohrozujú tieto ciele konkrétne vo vašej firme, a navrhnete reakcie. Riziko je konkrétna udalosť, ktorá by mohla primerane nastať a nepriaznivo ovplyvniť dosiahnutie cieľa – nie všeobecné vyhlásenie typu „audit by mohol zlyhať“.

Štyri roly, ktoré musíte prideliť

SQMS č. 1 vyžaduje, aby bola zodpovednosť rozdelená medzi štyri definované roly. V menších firmách môže jedna osoba zastávať viacero funkcií, ale každá rola musí byť jasne pomenovaná a zdokumentovaná.

1. Konečná zodpovednosť za systém riadenia kvality. Zvyčajne riadiaci partner alebo generálny riaditeľ. Táto osoba vlastní systém; nemôže delegovať zodpovednosť za výsledky.
2. Prevádzková zodpovednosť za systém ako celok. Osoba riadiaca každodenný návrh, implementáciu, prevádzku a monitorovanie SRK (SOQM). V samostatnej praxi ide o tú istú osobu ako v bode č. 1.
3. Prevádzková zodpovednosť za súlad s etickými požiadavkami a požiadavkami na nezávislosť. Zodpovedá za kontrolu konfliktov záujmov, potvrdenia o nezávislosti, zoznam subjektov s obmedzením pre firmu a osobné finančné výkazníctvo.
4. Prevádzková zodpovednosť za proces monitorovania a nápravy. Navrhuje a riadi priebežné a následné monitorovanie, vykonáva analýzu koreňových príčin a sleduje nápravu.

QC 1000 pridáva podobné roly pre firmy registrované v PCAOB, s dodatočným háčikom: firmy, ktoré ročne auditujú viac ako 100 emitentov, musia zriadiť externú funkciu kontroly kvality (EQCF), zloženú z jednej alebo viacerých osôb, ktoré sú nezávislé od firmy a môžu vykonávať nezávislý úsudok nad systémom kontroly kvality. Členovia EQCF nesmú byť spoločníkmi ani zamestnancami firmy. Táto požiadavka sa netýka väčšiny malých firiem, ale ak váš zoznam klientov rastie, sledujte tento limit.

Pasca dokumentácie

Najväčším prekvapením pri implementácii pre malé firmy je objem dokumentácie, ktorú „škálovateľnosť“ stále produkuje. Musíte dokumentovať:

• Ciele kvality pre každý z ôsmich komponentov.
• Riziká kvality identifikované pre každý cieľ.
• Reakcie na každé riziko vrátane konkrétnych kontrolných činností, frekvencie a vlastníka.
• Základ pre váš záver, že tieto reakcie v kombinácii riešia dané riziko.
• Dôkazy o tom, že reakcie boli počas obdobia funkčné (záznamy, schválenia, zoznamy školení, konfigurácie technológií, súbory partnerského preskúmania atď.).
• Každoročné vyhodnotenie SRK s klasifikáciou závažnosti prípadných nedostatkov.
• Analýzu koreňových príčin a plán nápravy pre každý nedostatok.
• Komunikáciu smerom k tímom zákaziek, výborom pre audit a regulátorom.

Štandard nevyžaduje konkrétny formát. Tabuľky a dokumenty vo Worde sú prijateľným východiskovým bodom. Nástroje ako Caseware, TeamMate od Wolters Kluwer, AuditDashboard a vlastná metodická pomôcka AICPA môžu urýchliť proces tvorby. Ide o to, aby regulátor dokázal sledovať vašu úvahu od cieľa cez riziko a reakciu až po dôkaz v jednom súvislom vlákne.

Preskúmanie kvality zákazky a monitorovanie

Preskúmania kvality zákaziek (EQR) nie sú novinkou, ale QC 1000 sprísňuje pravidlá. Revízor musí mať dostatočnú kompetenciu, spôsobilosť, objektivitu a autoritu na vyhodnotenie významných úsudkov urobených tímom zákazky. Menšie firmy často zadávajú funkciu EQR externému zmluvnému revízorovi; to je povolené, ale SRK firmy musí výslovne riešiť, ako potvrdzuje nezávislosť a spôsobilosť dodávateľa.

Monitorovanie je teraz nepretržité, nie ročné. Zákazky na kontrolu vyberáte na základe rizika – nielen rotácie – a program kontroly musí zahŕňať priebežné previerky, nielen dokončené zákazky. Ak zistíte nedostatok, štandardy očakávajú zdokumentovanú analýzu koreňových príčin a plán nápravy s vlastníkom a termínom. „Rozprávali sme sa o tom na stretnutí partnerov“ nestačí.

Formulár QC a vyhodnotenie k 30. septembru 2027

Pre firmy registrované v PCAOB zavádza QC 1000 novú požiadavku na ročné podávanie správ: Formulár QC. Prvý Formulár QC pokrýva obdobie od 15. decembra 2026 do 30. septembra 2027 a musí byť doručený PCAOB do 30. novembra 2027. Formulár vyžaduje vyhodnotenie firmy, či jej systém kontroly kvality poskytuje primerané uistenie, že firma a jej personál dodržiavajú príslušné odborné štandardy, plus zverejnenie neodstránených nedostatkov a plánu nápravy.

Pre firmy, ktoré momentálne nevykonávajú zákazky pre emitentov, ale sú registrované v PCAOB, QC 1000 stále vyžaduje navrhnutý systém; prevádzkové a ohlasovacie povinnosti vznikajú až vtedy, keď začnete zákazku pre emitenta. Ak zvažujete, či si ponechať registráciu v PCAOB, toto je rok na prijatie tohto rozhodnutia – a na zrušenie registrácie pred dátumom účinnosti v decembri 2026, ak neplánujete vykonávať audity emitentov alebo obchodníkov s cennými papiermi.

Fázovaný plán implementácie pre malé firmy

Ak ste stále v počiatočných fázach, tu je realistický päťfázový plán, ako dosiahnuť súlad do 15. decembra 2026.

Fáza 1 (teraz): Definujte roly a riaďte projekt. Pomenujte štyri (alebo viac) zodpovedné osoby, spíšte stanovy, nastavte kadenciu stretnutí a vyčleňte hodiny partnerov a manažérov. Väčšina firiem podceňuje časovú náročnosť – počítajte s niekoľkými stovkami hodín do konca roka 2026.

Fáza 2 (2. štvrťrok 2026): Vyberte si nástroj a knižnicu šablón. Rozhodnite sa, či budete používať tabuľky, metodickú pomôcku AICPA alebo špecializovanú platformu. Predplaťte si knižnicu rizík a reakcií, ktorá zodpovedá veľkosti vašej firmy; budovať ju od nuly sa málokedy oplatí.

Fáza 3 (2. – 3. štvrťrok 2026): Vykonajte posúdenie rizík. Po jednotlivých komponentoch zdokumentujte ciele kvality, identifikujte riziká špecifické pre klientov a prax vašej firmy a navrhnite reakcie. Buďte úprimní ohľadom medzier. Štandard odmeňuje firmy, ktoré nájdu svoje vlastné slabiny; trestá firmy, ktoré sa tvária, že žiadne nemajú.

Fáza 4 (3. štvrťrok 2026): Implementujte reakcie a zhromažďujte dôkazy. Zaveďte nové politiky, školenia, konfigurácie technológií a šablóny. Začnite zbierať dôkazy, ktoré budete potrebovať v čase vyhodnotenia: zoznamy školení, potvrdenia o nezávislosti, schválenia EQR, pracovné dokumenty z monitorovacích kontrol.

Fáza 5 (od 4. štvrťroka 2026): Prevádzkujte, monitorujte, vyhodnocujte. Od 15. decembra 2026 musí byť systém v prevádzke. Spustite program monitorovania, vykonajte analýzu koreňových príčin zistení, zdokumentujte nápravu a pripravte sa na dátum vyhodnotenia 30. septembra 2027.

Pre SQMS č. 1 platia ekvivalentné dátumy o dvanásť mesiacov skôr; ak ich vaša firma ešte nedohnala, uprednostnite najskôr túto prácu.

Časté chyby, ktorých sa dopúšťajú prví používatelia

U firiem, ktoré začali skoro, sa objavilo niekoľko vzorcov.

• Zámena cieľov s reakciami. „Budeme vykonávať previerky kvality zákazky“ je reakcia, nie cieľ. Cieľom je stav – „tímy vykonávajúce zákazku dosahujú primerané závery v dôležitých záležitostiach“ – a previerka kvality zákazky (EQR) je jednou z viacerých reakcií.
• Všeobecný jazyk rizík. „Existuje riziko nedodržania požiadaviek na nezávislosť“ nie je riziko, ale kategória. Riziko musí opisovať konkrétny scenár vo vašej firme: „Partner zodpovedný za zákazku prijme osobnú pôžičku od vedúceho pracovníka klienta auditu počas trvania zákazky.“
• Reakcie typu „kopírovať a prilepiť“. Prevzatie manuálu od konkurenta alebo odvetvovej šablóny a zmena názvu firmy vytvorí systém, ktorý nezodpovedá skutočnému rizikovému profilu firmy. Kontroly tento nesúlad odhalia.
• Považovanie monitorovania za druhoradú záležitosť. Firmy, ktoré vybudujú systém riadenia kvality (SOQM), ale vynechajú monitorovanie, zistia, že pri hodnotení v septembri 2027 nebudú mať čo hodnotiť. Spustite program monitorovania od prvého dňa.
• Vynechanie analýzy príčin. Keď zistíte nedostatok, je lákavé odstrániť len príznak a pokračovať ďalej. Štandard vyžaduje, aby ste sa pýtali, prečo k tomu došlo, zdokumentovali analýzu a odstránili základnú príčinu.

Nezabúdajte na vlastné účtovníctvo

Štandardy riadenia kvality sa vzťahujú na vašu audítorskú prax – rovnaká disciplína sa však vypláca aj pri riadení vlastných financií vašej firmy. Čistá hlavná kniha, záznamy s verziovaním a transparentné sledovanie výdavkov sú presne to, čo by ste vyžadovali od klienta auditu. Nástroje na plain-text účtovníctvo uľahčujú vedenie účtovníctva vašej firmy vo formáte, ktorý je auditovateľný, automatizovateľný a odolný voči závislosti od konkrétneho dodávateľa. Ak dokážete interne preukázať príkladné vedenie záznamov, váš systém kontroly kvality získa na dôveryhodnosti, čo si všimnú aj vaši overovatelia.

Udržujte financie svojej firmy pripravené na audit od prvého dňa

Pri budovaní systému podľa QC 1000 a SQMS č. 1 patria tie isté princípy – transparentné záznamy, zdokumentované kontroly, nepretržité monitorovanie – aj do vášho vlastného zázemia. Beancount.io poskytuje plain-text účtovníctvo, ktoré vám dáva úplnú transparentnosť a kontrolu nad finančnými údajmi vašej firmy, s kompletnou históriou verzií založenou na Gite a exportmi pripravenými pre AI. Začnite zadarmo a zistite, prečo vývojári, účtovníci a finanční odborníci prechádzajú na plain-text účtovníctvo.