Институт внутренних аудиторов

Коллеги, у меня практический вопрос на соответствие стандартам ИВА.
Есть стандарт 2320 — Анализ и оценка
"Внутренние аудиторы должны формулировать выводы и представлять результаты задания на основе соответствующего анализа и оценки информации".
Предположим,
Я описываю бизнес-процесса, например, прием товаров на склад, и проверяю наличие и оценку внутренних контролей в этом процессе
Ситуация 1. Я в полной мере применяю методологию к анализу информации, как это изложено в настоятельно рекомендуемом Практическом указаний к Стандарту (величина выборки, риск необнаружения и т.д.).
Ясно, что здесь моя деятельность Стандарту соответствует.
Ситуация 2. Я делаю вывод с потолка - "Вот чувствую, нет разделения контрольной функции пересчета товара и функции внесения информации в учет. Это катастрофа!" Здесь я стандарт нарушаю. Делаю вывод без ссылки на анализ и оценку информации.
Ситуация 3. Я произвольным образом выбрала из стопки актов приема в количестве 3000 штук , собранных в течение полного месяца, 10 штук и обнаружила ,что акты о приеме товара подписаны тем же сотрудником, который делает учетную запись. В отчете я пишу: Аудитором произвольно выбраны 10 актов приема из 3000 шт за октябрь и проверены на предмет разделения функции приема товара и учета товара. В трех случая прием товара и запись о приходе сделаны одним человеком, что говорит о нарушении требования о разделении функций приема тмц и их учета , как предписывает п.2 регламента....
Вопрос. Можно ли считать, что в ситуации 3 моя деятельность не соответствует стандарту 2320? ( не в полной мере использована методология оценки из практического указания) Или все же я не нарушила стандарт, так как произвела анализ и оценку информации в подтверждение вывода?
[b]

В трех случаях из 10 выбранных обнаружены нарушения контроля. С большой вероятностью можно сделать вывод, что в 3000-ной популяции число нарушений превышает комфортный уровень. Как вероятность, так и допустимый уровень нарушений задаются заранее. Т.е. если берется выборка 10 из 3000, то в случае:
- отсутствия нарушений с вероятностью 70% (?) можно утверждать, что в популяции не более 1%(?) нарушений.
- при 1 нарушении вероятностью 80% (?) можно утверждать, что в популяции не более 10%(?) нарушений
- при 3 и более нарушениях с вероятностью 90% (?) можно утверждать, что в популяции более 20%(?) нарушений.
Короче, теория вероятностей.
Более интересны дальнейшие выводы: "что говорит о нарушении требования о разделении функций приема тмц и их учета , как предписывает п.2 регламента...."
Какой тут заложен риск? Есть ли компенсирующие контроли?
Риски понятны: сотрудник, принявший ТМЦ, его приватизирует, и не отражает приход в учете. Или отразит фиктивный приход от дружественного поставщика, чтобы он получил деньги. Оценка риска зависит от ликвидности ТМЦ, порядка на складе и в бухучете и много еще чего. По хорошему, ВА должен эти факторы тоже рассмотреть.