sou · GRB393 · 2004-01-01 00:00:00 — Bokföringen i staten skall ske på ett sätt som stämmer överens med god redovisnings- sed. Redovisningen skall ge en rättvisande bild av verksamheten, det ekonomiska resultatet och ställningen samt förvaltningen av statens medel och övriga tillgångar. Statliga myndigheters verksamhet styrs i betydande utsträckning av lagar och förordningar (normer). Normgivningsmakten är enligt regeringsformen fördelad mellan riksdag och regering så att riks- dagen ensam kan stifta grundlag och lag, medan regeringen med tillstånd kan besluta om förordningar. Regeringen kan i vissa fall delvis ytterligare delegera denna normgivning till myndig- heter i form av en rätt att utfärda föreskrifter till förordningar. Därtill kommer att en svensk myndighet är skyldig att följa tillämpliga bestämmelser från Europeiska unionen (EU) i och med medlemskapet i EU. Regeringens styrning av statliga myndigheter utövas också genom att regeringen beslutar om ledningsform och utser ledningar för myndigheterna (utnämningsmakten). Till myndighetsledningarna har regeringen delegerat förvaltningsuppgifter och befogenheter som riksdag och regering har angett för respektive verksamhet. Vissa konsekvenser av bildandet av har bl.a. enligt första kapitlet fjärde paragrafen RF till uppgift att granska rikets styrelse och förvaltning. I lagen (1996:1059) om statsbudgeten finns grundläggande föreskrifter om redovisning och revision av den statliga verksamheten. I 46 § före- skrivs att statens verksamhet skall granskas genom revision. Vad är intern styrning och kontroll respektive internrevision? detta följer emellertid inte entydigt i vilken organisatorisk form granskningen bör ske3. utfördes externrevision av statlig verksamhet i huvudsak av () och Riks- dagens revisorer (). Myndigheterna har avvecklats och fr.o.m. är det som ansvarar för externrevision i staten. I rapporten och styrning av statlig verksamhet4 görs antagandet att regeringens och verksamhet, i och med bildandet av , kommer att hamna i fokus för revisionens granskning på ett helt annat sätt än . Av 3 och 5 §§ lag (2002:1022) om revision av statlig verksamhet m.m. framgår att den årliga revisionen skall granska årsredovis- ningen för staten och för . Denna granskning är dock begränsad till att avse om redovisningen och underliggande redovisning är tillförlitlig och räkenskaperna rättvisande och skall inte omfatta en granskning av om ledningens förvaltning följer tillämpliga föreskrifter och särskilda beslut. Effektivitetsrevisionen får däremot, enligt 2 och 4 §§, granska den verksamhet som regeringen och bedriver. Till stor del samman- faller uppdrag att granska regeringen och med de granskningsuppdrag som RRV och RR hade tidigare. En skillnad är att ansvarar för att granska årsredovisningen för staten. Vi kan konstatera att de lagändringar som genomförts med anledning av bildande delvis avser roll i förhållande till externrevisionen. Det är dock ännu för tidigt att bedöma på vilket sätt bildandet av i praktiken kommer att påverka behandling av revisionens iakttagel- ser och rekommendationer och hur belysningen av regeringens och verksamhet kommer att påverkas. 1994/95:220 Lag om statsbudgeten. 4Regeringskansliets kontroll och styrning av statlig verksamhet. Vad är intern styrning och kontroll respektive internrevision? 2.1.2Myndighetsledningens förvaltningsansvar och ansvaret för intern styrning och kontroll För myndigheter finns i huvudsak fyra olika ledningsformer5. Styrelse med fullt ansvar Styrelsen är myndighetens högsta ledning och är kollektivt ansvarig för hela verksamheten inför regeringen. Myndighetens chef, som utses av regeringen, ansvarar för den löpande verk- samheten i enlighet med styrelsens direktiv. Enligt regeringen6 bör denna ledningsform övervägas främst för myndigheter som arbetar under affärsliknande förhållanden eller har en verk- samhet som innebär stort finansiellt och självständigt ansvar. Styrelse med begränsat ansvar Myndigheten leds av en chef med ansvar inför regeringen. Vid sin sida har chefen en styrelse med begränsat ansvar, ibland kallad lekmannastyrelse. Styrelsen har i huvudsak en rådgivande funktion, men beslutar i frågor om årsredovisning, delårs- rapport, budgetunderlag, revisionsärenden och föreskrifter. Enligt regeringen7 är denna ledningsform att föredra i flera sammanhang, bl.a. där bredd och mångfald är önskvärd i verksamheten eller där samsyn och samordning med andra myndigheter är av särskild vikt. Myndigheten leds av en chef som inför regeringen bär ansvaret för myndighetens verksamhet. Vanligen finns en rådgivande instans vid chefens sida, ett insynsråd. Rådet kan i princip fylla samma funktion som en styrelse med begränsat ansvar, men har inga beslutsbefogenheter. Ledningsformen bör enligt reger- ingen8 övervägas där det finns behov av en mer direkt och tyd- lig styrning av myndigheten och där politiska beslut måste genomföras utan fördröjning. Nämnden, som utses på samma sätt som en styrelse, är myn- dighetens ledning och ansvarar inför regeringen för verksam- heten. Myndighetens direktör eller kanslichef svarar för den löpande verksamheten enligt nämndens direktiv. 5www.finans.regeringen.se/styrelseprogram/myndighetsstyrelser.htm. 6Prop.1997/98:136, bet. 1997/98:KU31, rskr. 1997/98:295. 9Prop.1997/98:136, bet. 1997/98:KU31, rskr. 1997/98:295. Vad är intern styrning och kontroll respektive internrevision? anser att denna ledningsform bör användas endast i begränsad omfattning. Antalet nämndmyndigheter bör minska och när det är möjligt bör särskilda beslutsfunktioner inom vanliga myndigheter användas i stället för nämndmyndighetsformen. För de statliga myndigheterna regleras förvaltningsansvaret bl.a. i förordning med instruktion eller i särskild förordning för respek- tive myndighet och verksförordningen (1995:1322). Av 7 § verks- förordningen framgår att myndighetens chef ansvarar för att verk- samheten bedrivs författningsenligt och effektivt och att myn- dighetens organisation är utformad så att redovisning, medels- förvaltning och övriga tillgångar samt myndighetens verksamhet i övrigt kontrolleras på ett betryggande sätt. Denna bestämmelse är normalt tillämplig på myndigheterna (se respektive myndighets- instruktion eller i särskild förordning). Dessa författningar inne- håller inte något uttryckligt krav på att ledningen också skall ansvara för att utforma den interna styrningen och kontrollen för att klara dessa krav. Begreppet intern styrning och kontroll åter- finns inte i författningstext. Enligt de internationella normer som refereras i inledningen till detta kapitel är ledningens instrument för att uppfylla sitt förvalt- ningsansvar en tillförlitlig intern styrning och kontroll av verk- samheten. Eftersom ledningen har ansvaret för verksamheten bör ledningen också själv förfoga över utformningen av den interna styrningen och kontrollen så att ansvar och befogenhet följs åt. I arbetet med att utforma en effektiv intern styrning och kontroll skall ledningen om den tillämpar den s.k. COSO-modellen10 bl.a. göra en bedömning av riskerna i verksamheten, utforma kontroller för att täcka dessa risker samt följa upp och utvärdera den interna styrningen och kontrollen för att kunna utveckla och förbättra denna. Internrevisionen är ett av ledningens verktyg för att följa upp och värdera den interna styrningen och kontrollen, men är inte en del av denna. RRV har i sin årliga rapport till regeringen föreslagit att regeringen skall se över formuleringarna i verksförordningen i syfte att tydliggöra ledningens ansvar för intern styrning och kontroll i enlighet med internationell standard på området. 10 COSO – . Kommittén sponsras av (), (), (), () och (). 11 Uppdrag för översyn av verksförordningen. Dir 2001:117, Ju 2001:12. Vad är intern styrning och kontroll respektive internrevision? till Utredningen om en översyn av verksförordningen, i det föl- jande omnämnd som , skall utredaren göra en bedömning av RRV:s förslag samt, mot bakgrund av sina överväganden, lämna förslag till förändringar av verksförordningen. Syftet med översynen av verksförordningen är huvudsakligen att skapa en större tydlighet när det gäller dels de förvaltningspolitiska kraven på myndigheterna, dels myndighetsledningens ansvar och uppgifter. De olika ledningsformerna skall enligt direktivet tydligt framgå av verksförordningen. Regeringen skulle kunna välja att utforma regleringen av intern styrning och kontroll i staten enligt internationella normer. Regle- ringen skulle då avse myndighetsledningens förvaltningsansvar samt ansvaret för intern styrning och kontroll på en övergripande nivå. Med en sådan reglering skulle myndighetsledningen ansvara för att, med utgångspunkt i egna bedömningar, utforma en effektiv styrning och kontroll som säkerställer att myndigheten arbetar för att nå målen i enlighet med uppdraget i regleringsbrevet och andra styrdokument. De myndighetsledningar som fann behov av att bedriva internrevision skulle ha möjlighet att göra det på eget initiativ. Vissa omständigheter försvårar dock en renodlad tillämpning av internationella normer. En omständighet är att ansvaret för myn- dighetens ledning i sig inte är tydligt reglerat. Denna fråga behand- las som tidigare nämnts i översynen av verksförordningen. En annan omständighet är att ansvar och befogenheter för ledningen i en myndighet är begränsat, åtminstone jämfört med vad som gäller för en bolagsstyrelse. med fullt ansvar har t.ex. inte befogenhet att utse generaldirektören. Vidare finns det i staten inte några regler om ekonomiskt ansvar för styrelseleda- möter motsvarande aktiebolagslagens regler12. Dessa omständigheter medför att regeringen som ledning för statens verksamhet i sin helhet har intresse av att i viss utsträckning mer i detalj styra myndigheternas ledningar för att säkerställa en god styrning och kontroll i statsförvaltningen. Ett exempel på detta är reglering av organisationsfrågor i vissa myndigheters instruktion. Ett annat exempel är reglering av formerna för internrevisionen i myndigheterna genom internrevisionsförordningen. Ytterligare exempel finns i olika ekonomiadministrativa förordningar som innehåller mer eller mindre detaljerade bestämmelser om utform- 12 , Vägledning för statliga myndighetsstyrelser, Statskontoret. Vad är intern styrning och kontroll respektive internrevision? ning av myndigheternas interna styrning och kontroll i vissa avse- enden. 2.2.1Nationella bestämmelser för internrevision Förordning (1995:686) om internrevision vid statliga myndigheter m.fl. Nuvarande bestämmelser för internrevision i statliga myndigheter finns i förordningen (1995:686) om internrevision vid statliga myndigheter m.fl. med tillhörande föreskrifter och allmänna råd. Enligt förordningen meddelar RRV de föreskrifter som behövs för verkställighet av förordningen. Av förordningen framgår att revisionen skall bedrivas i enlighet med god sed för internrevision. Att internrevisionen skall bedrivas enligt god sed innebär enligt föreskrifterna bl.a. att internrevisionen skall arbeta objektivt, oberoende, professionellt, med stor integritet och tillämpa veder- tagna arbetsmetoder. I god sed ingår att internrevisorn skall doku- mentera sin granskning. Innan styrelsen beslutar om revisionsplan skall samråd ske med RRV. Med hänsyn till kravet på oberoende skall arbetet som intern- revisor inte förenas med operativt deltagande i den verksamhet som revideras. Revisorn skall beakta etiska grundregler för intern- revisorer. Verksförordningen (1995:1322) Av 13 § 3 verksförordningen (1995:1322) framgår att styrelsen skall besluta om revisionsplan och åtgärder med anledning av redovisning enligt 6 § internrevisionsförordningen. Lagen (2002:1022) om revision av statlig verksamhet m.m. Enligt lagen (2002:1022) om revision av statlig verksamhet m.m. får , i den utsträckning det är förenligt med god revi- sionssed, samverka med anställda vid en granskad myndighet med Vad är intern styrning och kontroll respektive internrevision? uppgift att uteslutande eller huvudsakligen sköta den interna revi- sionen. Det finns flera internationella organisationer som reglerar frågor rörande internrevision som är relevanta för svenska myndigheter. Den viktigaste av dessa är IIA som bildades och är en världs- omspännande organisation för internrevisorer. Utöver IIA finns flera internationella organisationer som antagit riktlinjer som påverkar internrevisionen eller som avser funktioner som intern- revisionen ibland utför som en s.k. konsulttjänst eller som en del av internrevisionen, men där expertkunskap är nödvändig. Ett exempel är ISACA (Audit and ) som är en världsomspännande intresseorganisation för styrning, säkerhet, kvalitet, revision och kontroll inom informationssystem- och informationsteknologiområdet. Denna typ av specialistorganisationer och deras normer berörs inte ytter- ligare i detta betänkande då de inte är ett uttryck för god intern- revisionssed utan rör olika specialistinriktningar. IIA har över 80 000 medlemmar i fler än 120 länder. Huvud- uppgifterna är att certifiera, utbilda, utforska och ge vägledning för professionen internrevision. () är en nationell branschorganisation för internrevisorer som verkar inom bolag, organisationer samt inom offentlig förvaltning i . IRF grundades under namnet och verkade då endast som en intresseförening för intern- revisorer. IRF företräder IIA i . Föreningen är ideell och har som mål att: verka för en kompetent och ändamålsenlig internrevision i , utveckla internrevision i såväl teori som praktik, verka för en ökad användning av internrevision i näringsliv och förvaltning, samt vara en samlingspunkt för alla internrevisorer. Vad är intern styrning och kontroll respektive internrevision? Föreningen verkar bl.a. genom att arrangera kurser, konferenser, seminarier och tematräffar samt genom att ge ut publikationer och sprida information om internrevision. God internrevisions- och internrevisorssed Hierarkiska nivåer inom Professional Practices Frame- work Standards Code of Ethics Development and Practice Aids beslutade om en ny definition av intern- revision (se inledningen till kapitel 2) och en uppsättning med normer för internrevisionsyrket, the Professional Practices Frame- work (PPF). PPF består av tre kategorier av vägledning. Den första kategorin, som är obligatorisk för alla medlemmar i att följa, består av Standards for the Professional Practice of Internal Auditing (Standards) och Code of Ethics. De övriga kategorierna Practice Advisories respektive Development and Practice Aids ger vägledning för att tolka och tillämpa Code of Ethics och Standards. Det är inte obligatoriskt att följa Practice Advisories, men det rekommenderas starkt av IIA. I Practice Advisories redovisas för- utom uttolkning, även utveckling av god sed som sedan ligger till grund för kommande ändringar i Standards. Development and Practice Aids består av ett antal olika dokument etc. som utvecklats av och/eller som förespråkas av IIA. Development and Practice Aids är inte av den karaktären att de är obligatoriska eller ens starkt rekommenderade av IIA. De obligatoriska Standards respektive Code of Ethics kan enligt uppgift från IRF sägas motsvara externrevisionens begrepp god Vad är intern styrning och kontroll respektive internrevision? revisionssed respektive god revisorssed. Vi kommer därför att i det följande att betrakta Standards som god internrevisionssed och Code of Ethics som god internrevisorssed. I den utsträckning beskrivningen avser innehållet i Practice Advisories kommer det att framgå särskilt av texten. Internrevision genomförs inom olika juridiska och kulturella miljöer, dvs. organisationer som skiljer sig åt i fråga om syfte, stor- lek och struktur. Revisionen kan utföras av personer inom eller utanför organisationen. Dessa skillnader påverkar hur internrevi- sion i praktiken utövas. PPF är dock utformad för att bestämmel- serna och rekommendationerna inte skall komma i konflikt med nationella lagar och regler gällande internrevision. Om sådana konflikter uppmärksammas uppmanar IIA internrevisorn att kon- takta IIA eller juridisk expertis för att få vägledning. Standards består av tre grupper. Attribute Standards inriktar sig på egenskaper hos organisationer och hos de individer som genom- för internrevision. Performance Standards beskriver internrevisio- nens aktiviteter och tillhandahåller kvalitetskriterier gentemot vilka genomförandet av dessa kan mätas. Implementation Standards tillämpas på Attribute och Performance Standards inom specifika typer av åtaganden (till exempel en revision av regelefterlevnad eller en bedrägeriutredning). Syftet med Code of Ethics är att främja en etisk kultur i intern- revisionens yrkesutövning. Etiska regler är nödvändiga och lämp- liga för yrket internrevision eftersom det baseras på förtroendet i internrevisionens objektiva försäkran om risk, kontroll och led- ning. Code of Ethics används av både individer och enheter som erbjuder internrevisionstjänster. I det följande beskrivs översiktligt innehållet i Attribute Standards, Performance Standards och Code of Ethics. I bilaga 3 redovisas en mer detaljerad bild av vad som motsvarar god intern- revisions- och internrevisorssed inom de problemområden som behandlas i betänkandet. Inom IRF pågår ett arbete med att översätta Standards och Code of Ethics till svenska. Den nedanstående beskrivningen av inne- hållet baseras på en egen översättning som kan komma att avvika från den kommande officiella översättningen. Vad är intern styrning och kontroll respektive internrevision? Syfte, befogenhet och ansvar Syfte, befogenhet och ansvar för internrevisionen skall vara for- mellt definierade i ett s.k. charter (kontrakt), i överensstäm- melse med Standards och godkänt av ledningen. Internrevisionen skall vara oberoende och internrevisorn skall vara objektiv i sitt genomförande av arbetet. Internrevisionschefen skall rapportera till en nivå inom organi- sationen som gör det möjligt för internrevisionen att infria sina skyldigheter. Kompetens och tillbörlig professionell omsorg Åtaganden skall genomföras med kompetens och tillbörlig professionell omsorg. Kvalitetssäkrings- och förbättringsprogram Internrevisionschefen skall utveckla och bibehålla en kvalitets- säkring och ett förbättringsprogram som täcker alla aspekter av internrevisionen och ständigt övervaka dess effektivitet. Pro- grammet skall utformas för att hjälpa internrevisionen att till- föra värde och förbättra organisationens verksamhet, samt för att tillhandahålla en försäkran om att internrevisionen är i överensstämmelse med Standards och Code of Ethics. Internrevisionschefen skall effektivt leda internrevisionen för att säkerställa att den tillför värde till organisationen. Internrevisionen utvärderar och bidrar till förbättring av risk- hanterings-, kontroll- och ledningssystem. Internrevisorn skall utveckla och dokumentera en plan för varje åtagande. Internrevisorn skall identifiera tillräcklig, tillförlitlig, relevant och användbar information för att uppnå målet med åtagandet. Vad är intern styrning och kontroll respektive internrevision? Internrevisorn skall omgående informera om resultatet av åtagandet. Internrevisionschefen skall fastställa och upprätthålla ett system för att övervaka de resultat som kommuniceras till led- ningen. När en internrevisionschef bedömer att den verkställande ledningen har accepterat en nivå av kvarstående risk som är oacceptabel för organisationen skall internrevisionschefen diskutera ärendet med verkställande ledning. Om beslutet beträffande kvarstående risk inte blir återkallat skall intern- revisionschefen och den verkställande ledningen rapportera ärendet till styrelsen. Integritet hos internrevisorer påverkar förtroendet och ger därför en bas för tilltro till internrevisionens professionella utlåtande. Internrevisorer skall visa den högsta nivå av professionell objektivitet i insamlandet, utvärderandet och kommunicerandet av information om den verksamhet eller process som under- söks. Internrevisorer skall göra en balanserad bedömning av alla relevanta omständigheter och är inte otillbörligt påverkad av sina egna eller andras intressen när de utformar utlåtanden. Internrevisorer respekterar värdet av och äganderätten till den information de mottar och avslöjar inte information utan att ha befogenhet till det. Internrevisorer använder den kunskap, de färdigheter och de erfarenheter som behövs i genomförandet av internrevision. Vad är intern styrning och kontroll respektive internrevision? 2.3Internrevision i förhållande till andra professioner 2.3.1Internrevisionen i förhållande till externrevisionen Intern- och externrevisionen har olika uppdragsgivare och olika roller. Externrevisionen genomför granskning på uppdrag av en organisations uppdragsgivare och skall vara oberoende i förhållande till den granskade organisationen. Internrevisionen granskar verk- samheten i en organisation på uppdrag av dess ledning. Intern- revisionen skall vara objektiv i sin granskning och organisatoriskt oberoende i förhållande till den granskade verksamheten. I relation till ledningen kan internrevisionen däremot inte vara oberoende. Externrevisionen uttalar sig i en revisionsberättelse. Uttalandet skall enligt god externrevisionssed avse om organisa- tionens årsredovisning i allt väsentligt ger en rättvisande bild av organisationens resultat och ställning. Revisionsberättelsen inne- håller också ett uttalande om ledningens förvaltning. För att kunna utföra granskningen på ett effektivt sätt behöver externrevisorn kunskap om ledningens interna styrning och kontroll. Extern- revisionen lämnar, liksom internrevisionen, rekommendationer till förbättringar avseende intern styrning och kontroll. Det följer av såväl Revisionsstandard i Sverige13 som är fastställd av styrelsen för Föreningen revisorer och Vägledning för årlig revision. Internrevisionen granskar också den interna styrningen och kontrollen. Internrevisionen gör det emellertid i syfte att lämna förslag till förbättringar till den egna ledningen och inte i syfte att uttala sig om årsredovisningen. I internrevisionens verksamhets- område ingår dock i normalfallet att granska om myndighetens interna styrning och kontroll är utformad för att ge en rimlig säker- het om att uppgifterna i årsredovisningen och annan intern och extern rapportering är korrekt. I kapitel 7 behandlas frågan om behov av och former för sam- verkan mellan intern- och externrevisionen. 13 Revisionsstandard i skall tillämpas fr.o.m. det räkenskapsår som börjar . Vad är intern styrning och kontroll respektive internrevision? 2.3.2Internrevisionen i förhållande till controllerfunktionen Controllerfunktionens roll varierar i mycket hög grad mellan olika organisationer och mellan branscher. Enligt Controllerhandboken14 har en controller i sin egenskap av stabsfunktion huvudansvar för en organisations ekonomistyrning. I staten finns ingen definition av controllerfunktionens roll. En gemensam nämnare för många controllerfunktioner är dock att de är ledningens organ för att utforma den interna styrningen och kontrollen. Funktionen är därmed ansvarig för att ta fram, utföra och följa upp processer och rutiner som syftar till att skapa en god intern styrning och kontroll i organisationen. En avgörande skillnad mellan internrevision och controller- funktion är normalt att internrevisionen värderar och ger råd vad gäller utformning av processer för intern styrning och kontroll, medan controllerfunktionen ansvarar för att utveckla och förvalta dessa. Internrevisorn skall enligt IIA:s Code of Ethics respektera värdet och äganderätten till den information de får tillgång till. Revisorn skall därtill inte lämna ut information om det inte finns en legal skyldighet att göra det.