urf · GWA5URF4 · 2009-01-01 00:00:00 — Regeringen stannade ändå för att förorda att ansvaret för internrevisionen borde ligga på fullmäktige, såsom bankens kontrollorgan. Av arbetsordning framgår att de granskningar som fullmäktiges revisionsenhet utför ska vara inriktade på efterlevnad av arbetsordningen inom , direktionsledamöternas utövande av tjänsten, granskning och analys som grund för fullmäktiges förslag till om vinstdisposition samt övriga frågor som ligger inom fullmäktiges ansvarsområde. Vidare regleras i arbetsordningen att det vid sidan av den revision som utförs av revisionsenheten görs intern revision av internrevisionsavdelningen på uppdrag av direktionen och i enlighet med en plan som fastställs av direktionen. Expertgruppens överväganden och förslag , och JO har alla krav på sig att ha en internrevision. Expertgruppen har funnit att detta är en fungerande ordning som myndigheterna anser är viktig att ha kvar. och JO omfattas förvisso inte av de kriterier som har som vägledning för 4 ANPASSNINGAR TILL INTERNREVISIONSFÖRORDNINGEN att ta ställning till om en myndighet bör ha krav på sig att ha en internrevision. Som exempel på kriterier kan nämnas att myndighetens totala kostnader (verksamhetskostnader och transfereringar) uppgår till , att totalt antal årsarbetskrafter uppgår till minst 1 000 årsanställda eller att balansomslutningen uppgår till . och verksamheter består av granskningar och i JO:s fall tillsyn av andra statliga myndigheter. I den rollen är det av största vikt att det finns en väl fungerande intern kontroll av den egna verksamheten, och internrevisionen ses som ett viktigt medel för att få en sådan kontroll. Expertgruppen finner således att det enligt nuvarande ordning finns krav på riksdagsförvaltningen, och JO att ha internrevision och att denna ordning anses viktig att ha kvar. Expertgruppen föreslår därför att denna ordning alltjämt ska gälla. Något krav på att ha en anställd internrevisor bör dock inte ställas för myndigheter då det finns goda erfarenheter av att köpa tjänsten externt för riksdagsförvaltningen och JO. Vidare finns det ett värde i att ha ett enhetligt regelverk som tar hänsyn till att myndigheterna är av varierande storlek, och det är inte rimligt att ställa krav på JO att ha en anställd internrevisor. Expertgruppen vill dock framhålla att de skäl som framförts inom regeringsområdet för att ställa krav på en anställd internrevisor även torde vara giltiga för myndigheter. Expertgruppen föreslår även att det i lag regleras att en myndighet får samordna sin internrevision med en annan myndighet, i enlighet med vad som gäller för regeringens myndigheter. Därmed kan JO:s samverkan med riksdagsförvaltningen om internrevision bestå. För del är det bara fullmäktiges revisionsenhet som är reglerad i riksbankslagen medan den väsentligt mer omfattande internrevision som lyder under direktionen inte är reglerad. Expertgruppen föreslår att bestämmelserna om fullmäktiges revisionsenhet kvarstår i riksbankslagen då fullmäktige ska ha en kontrollerande funktion. Nya bestämmelser bör dock införas som även reglerar direktionens internrevision i enlighet med den ordning som råder vid . För att tydliggöra skillnaden anges att fullmäktiges revision ska vara inriktad på frågor som ligger inom fullmäktiges ansvarsområde. I enlighet med ESV:s föreskrifter till 2 § internrevisionsförordningen ska internrevisionen bedriva en organisatoriskt och, i förhållande till den verksamhet som granskas, även en i övrigt oberoende och objektiv gransknings- och rådgivningsverksamhet. För att säkra kraven på objektivitet, oberoende och integritet ska internrevisionen vara fristående från den operativa verksamheten och administrativt placerad direkt under myndighetens chef. Med det sistnämnda avses att internrevisionen måste ha en plats i organisationen och placeras under den högste chefen. För myndigheter betyder detta att internrevisionen ska vara placerad direkt under riksdagsdirektören i riksdagsförvaltningen, under riksrevisorerna i , under chefs-JO hos JO samt direkt under direktionen i . I de fall internrevisionen upphandlas ska upphandlingen genomföras direkt under myndighetens chef. 4 ANPASSNINGAR TILL INTERNREVISIONSFÖRORDNINGEN Som närmare framgår nedan ska internrevisionen rapportera direkt till myndighetens ledning. Expertgruppens förslag innebär att nuvarande bestämmelser om internrevision i riksdagsförvaltningens, och instruktioner utgår och att det i stället görs en hänvisning till rea-lagen. En sådan hänvisning kan förefalla överflödig men bedöms av expertgruppen som viktig då instruktionerna därmed även fortsättningsvis innehåller uppgifter om internrevision. 4.2 Ledningens ansvar gentemot internrevisionen Myndighetens ledning ska besluta om riktlinjer och revisionsplan för internrevisionen samt åtgärder med anledning av internrevisionens iakttagelser och rekommendationer. Bestämmelser om detta förs in i rea-lagen respektive riksbankslagen. Kravet på att samråd ska ske med om revisionsplanen tas I 10 § internrevisionsförordningen föreskrivs vad som gäller för internrevisionens uppdragsgivare. Bestämmelsen anger att myndighetens styrelse ska besluta om 1) riktlinjer för internrevisionen, 2) revisionsplan för internrevisionen, och 3) åtgärder med anledning av internrevisionens iakttagelser och rekommendationer. Flera remissinstanser var kritiska till internrevisionsutredningens förslag att internrevisionens uppdragsgivare i myndigheter med styrelser med begränsat ansvar skulle vara generaldirektören. Remissinstanserna (bl.a. , , Statskontoret och CSN) ansåg att styrelsen alltid skulle vara uppdragsgivare. Motiven för detta var att säkerställa internrevisionens självständighet, oberoende och objektivitet gentemot myndighetens operativa ledning. CSN ansåg att utsatthet, beroende och ökad risk för otillbörlig styrning skulle bli följden om endast generaldirektören utsåg internrevisor, beslutade om revisionsplan, fattade beslut med anledning av revisionsrapporter etc. Man skulle riskera att den interna revisionen övergick till att bli den verkställande ledningens utredningsresurs. CSN menade att styrelsen utgör en garant för internrevisionens ställning och att dess slutsatser tas till vara. Regeringen beslutade i enlighet med remissynpunkterna. I och med den nya myndighetsförordningen togs sedan ledningsformen styrelser med begränsat ansvar bort. Till skillnad från internrevisionsutredningens förslag anges det inte i förordningen att styrelsen ska besluta om internrevisionens budget. Detta beslut kan således fattas på lägre nivå i organisationen. Av ESV:s allmänna råd till 10 § framgår att riktlinjer för internrevisionen bl.a. kan innehålla -syfte, befogenhet, ansvar, roll och arbetssätt för internrevisionen -internrevisionschefens ansvar och roll 4 ANPASSNINGAR TILL INTERNREVISIONSFÖRORDNINGEN -ansvar, roller och samarbetsformer mellan internrevisionen och styrelsen -former för tillsättning av internrevisionschef -formerna för rapportering till styrelsen -riktlinjer för rådgivningsuppdrag -riktlinjer för kompetensutveckling -riktlinjer för kvalitetssäkring. Enligt ESV:s föreskrifter till 8 § om samordning med annan myndighet måste varje myndighet upprätta en egen revisionsplan och lämna en egen rapportering om internrevisionens resultat. Enligt 9 § ska resultatet av internrevisionens granskning redovisas i form av iakttagelser och rekommendationer. Dessa ska rapporteras till styrelsen. Enligt ESV:s föreskrifter till 9 § ska formerna för internrevisionens rapportering beslutas av styrelsen och tas in i riktlinjerna för internrevisionen. Av beslutet ska framgå när och hur myndighetens styrelse ska informeras om pågående och avslutade granskningar. Minst en gång ska internrevisionen avge en revisionsrapport över revisionsårets iakttagelser och rekommendationer ställd till myndighetens styrelse. I denna rapportering ska också ingå en återrapportering av hur åtgärder avseende internrevisionens tidigare års iakttagelser och rekommendationer har utförts. Internrevisionens uppdragsgivare och dess ansvar vid myndigheter I riksdagsförvaltningens instruktion finns inga bestämmelser som anger vem som ska vara uppdragsgivare till internrevisionen. Avseende styrdokument för internrevisionen anges i 8 § att riksdagsförvaltningen ska fastställa en revisionsplan för sin verksamhet efter samråd med . I praktiken är det riksdagsstyrelsen som beslutar om internrevisionsplan för riksdagsförvaltningen. Samrådsförfarandet med har upphört i och med att kravet på samråd togs bort för regeringens myndigheter när internrevisionsförordningen infördes. I internrevisionsplanen står vilka granskningsinsatser som ska genomföras. En löpande rapportering av granskningsresultaten sker till controllern och till de ansvariga som berörs av ärendet. Iakttagelser av väsentlig karaktär avrapporteras även löpande till riksdagsdirektören och till riksdagsstyrelsen. Det samlade resultatet av internrevisionens arbete rapporteras till riksdagsstyrelsen i en sammanfattande rapport. Beslut om åtgärder av väsentlig karaktär fattas av styrelsen. tog styrelsen ett inriktningsbeslut för internrevisionen motsvarande ett riktlinjebeslut. Organisatoriskt har ansvaret för internrevisionen legat på controllern som har varit placerad under riksdagsdirektören. Den organisatoriska placeringen av ansvaret för internrevisionen bereds . Av instruktion framgår inte vem som ska vara internrevisionens uppdragsgivare eller vem internrevisionen ska rapportera till. Riksrevisorerna har beslutat att internrevisionen ska vara placerad under riksrevisorerna och att den ska rapportera till dessa. Riksrevisorerna fattar beslut om 4 ANPASSNINGAR TILL INTERNREVISIONSFÖRORDNINGEN riktlinjer för internrevisionen och om internrevisionsplan. Riktlinjerna innehåller de olika delar som framgår av ESV:s allmänna råd. Revisionsplanen innehåller bl.a. revisionsmål och granskningsinsatser för . I JO:s instruktion regleras att ombudsmän fastställer revisionsplan för sin verksamhet efter samråd med . I praktiken är det chefs-JO som beslutar om revisionsplanen. Av internrevisionsplanen framgår att har informerats om denna. Revisionsplanen innehåller granskningsinsatserna för . Resultatet av internrevisionens granskningar avrapporteras till kanslichefen och administrative direktören samt till den som har verksamhetsansvaret. Iakttagelser av väsentlig karaktär avrapporteras även till chefs-JO. För del är det, som tidigare redovisats, endast fullmäktiges revisionsenhet som är reglerad i riksbankslagen. Det finns även en bestämmelse som säger att fastställer revisionsplan för sin verksamhet efter samråd med . I arbetsordningen föreskrivs att fullmäktige fastställer revisionsplan för revisionsenheten och att direktionen fastställer en plan för den internrevision som bedrivs av internrevisionsavdelningen. Där framgår även att internrevisionen ska bedrivas enligt god sed på området och vara oberoende från operativ verksamhet i banken. Av instruktionen för framgår att direktionen vid behov ska besluta om åtgärder med anledning av internrevisionens förslag och rekommendationer. Direktionen har fastställt riktlinjer för den internrevision som bedrivs av internrevisionsavdelningen. De nu gällande riktlinjerna, som dock håller på att uppdateras, är och innehåller internrevisionens uppdrag, ansvar och befogenheter samt krav på objektivitet och oberoende. Den revisionsplan som direktionen fastställde omfattar beskrivning och prioritering av internrevisionsavdelningens revisionsverksamhet. Internrevisionsavdelningen lämnar en sammanfattande årsrapport över sitt arbete till direktionen. Expertgruppens överväganden och förslag Den ordning som föreskrivs i internrevisionsförordningen om att myndighetens ledning ska vara internrevisionens uppdragsgivare, vad ledningen ska besluta om och att internrevisionen ska rapportera till ledningen tillämpas redan av myndigheter. En reglering av denna ordning innebär därmed en kodifiering av praxis. Expertgruppen anser att det är viktigt att ordningen regleras på i huvudsak motsvarande sätt som för regeringens myndigheter för att klargöra ansvarsförhållandena. En ny bestämmelse föreslås därmed som anger att myndighetens ledning ska besluta om riktlinjer och revisionsplan för internrevisionen samt åtgärder med anledning av internrevisionens iakttagelser och rekommendationer. En sådan bestämmelse har förts in i förslagen till ändrade bestämmelser i rea-lagen respektive riksbankslagen. För att inte tynga rea-lagen eller riksbankslagen alltför mycket med bestämmelser om internrevision har expertgruppen valt att inte i lag reglera det förhållandet att internrevisionen ska rapportera sina granskningsresultat till myndighetens ledning. Att så ska vara fallet är naturligt då ledningen tydligt 4 ANPASSNINGAR TILL INTERNREVISIONSFÖRORDNINGEN utpekas som internrevisionens uppdragsgivare och då formerna för rapporteringen bör framgå av de riktlinjer som beslutas av ledningen. Kravet på samråd med om revisionsplanen har tagits bort för regeringens myndigheter och därmed anser expertgruppen att detta krav kan tas bort även för myndigheter. Internrevisionen ska utifrån en analys av verksamhetens risker självständigt granska om ledningens interna styrning och kontroll är utformad så att myndigheten med rimlig säkerhet fullgör sitt verksamhetsansvar. Internrevisionen ska bedrivas enligt god sed för internrevision och internrevisorer. Bestämmelser om detta förs in i rea-lagen respektive riksbankslagen. Som allmänna uppgifter för internrevisionen anges i 3 § internrevisionsförordningen att internrevisionen ska granska och lämna förslag till förbättringar av myndighetens process för intern styrning och kontroll. Bestämmelsen följer internationell standard för internrevision ([IIA] Standards, där det i Practice Advisories ges vägledning om hur bestämmelserna ska tillämpas och tolkas). Enligt ESV:s föreskrifter till 3 § ska internrevisionen stödja myndigheten genom att ur ett risk- och väsentlighetsperspektiv granska och lämna förslag till förbättringar av myndighetens process för intern styrning och kontroll. Beträffande granskningens inriktning anges i 4 § att internrevisionen utifrån en analys av verksamhetens risker självständigt ska granska om ledningens interna styrning och kontroll är utformad så att myndigheten med rimlig säkerhet fullgör de krav som framgår av 3 § myndighetsförordningen. Granskningen omfattar därmed om verksamheten bedrivs effektivt och enligt gällande rätt och de förpliktelser som följer av medlemskap i unionen, att den redovisas på ett tillförlitligt och rättvisande sätt samt att myndigheten hushållar väl med statens medel. Bestämmelsen överensstämmer med internationella normer avseende intern styrning och kontroll samt med IIA:s Standards och Practice Advisories. Enligt ESV:s föreskrifter till 4 § ska riskanalysen upprättas och omfatta all verksamhet som myndigheten bedriver eller ansvarar för. Riskanalysen ska utgå både från internrevisionens egen riskbedömning och från myndighetsledningens identifiering, värdering och hantering av risk enligt ESV:s föreskrifter till 3 § förordningen (2007:603) om intern styrning och kontroll. Utifrån riskanalysen upprättas en revisionsplan. 4 ANPASSNINGAR TILL INTERNREVISIONSFÖRORDNINGEN Enligt 5 § ska internrevisionen ge råd och stöd till styrelsen och chefen för myndigheten. Av 6 § framgår att internrevisionen ska omfatta den verksamhet som myndigheten bedriver eller ansvarar för. Enligt 7 § ska internrevision bedrivas enligt såväl god internrevisionssed som god internrevisorssed. anger att med god sed åsyftas bl.a. de obligatoriska bestämmelserna i och Code of Ethics. Dessa bestämmelser innehåller krav som ställs på internrevisionschefer och andra internrevisorer (god internrevisorssed) och internrevisionsarbetet (god internrevisionssed). Vidare gäller de kompletteringar och anpassningar av kraven till svenska myndigheter som anges i lagar, förordningar, föreskrifter eller allmänna råd samt i särskilda regeringsbeslut. ESV föreskriver att det ingår i begreppet god internrevisions- och internrevisorssed att internrevisionen ska vara oberoende och objektiv i utförandet av sitt arbete. Internrevisionens tillgång till uppgifter regleras i 11 §. Där anges att styrelsen, i den utsträckning det inte möter hinder på grund av bestämmelser om sekretess, ska se till att internrevisionen får tillgång till de uppgifter och upplysningar som den behöver för att fullgöra sitt uppdrag. Bestämmelsen innebär att internrevisionen inte får hindras att fullgöra sitt uppdrag. Internrevisionens uppgifter vid myndigheter I riksdagsförvaltningens instruktion regleras att internrevisionen ska avse självständig granskning av riksdagsförvaltningens interna styrning och kontroll och av hur förvaltningen fullgör sina ekonomiska redovisningsskyldigheter. Revisionen ska bedrivas i enlighet med god sed för internrevision. JO har motsvarande reglering av internrevisionen i sin instruktion. Av instruktion framgår inte vilka uppgifter internrevisionen ska ha eller vilken inriktning granskningen ska ha. Inga krav ställs på att god internrevisionssed eller god internrevisorssed ska följas. Riksrevisorerna har dock fattat beslut om att internrevisionen vid ska följa internrevisionsförordningen med ESV:s föreskrifter och allmänna råd. I riksbankslagen regleras att verksamheten vid fullmäktiges revisionsenhet ska avse självständig granskning av interna styrning och kontroll och av hur fullgör sina ekonomiska redovisningsskyldigheter. Revisionen ska bedrivas i enlighet med god sed för internrevision. Internrevisionsavdelningens arbete är inte reglerat i riksbankslagen. Avdelningen ansvarar för att oberoende utvärdera verksamhet. Avdelningen ska granska och bedöma om bankens riskhantering samt styrnings- och ledningsprocesser är ändamålsenliga med hänsyn till de mål som lagts fast för verksamhet. Avdelningen ska även medverka till att effektivisera och förbättra dessa delar av verksamheten. Internrevisionsavdelningen utför även internrevision på uppdrag av , , inom Europeiska centralbankssystemet, ECBS. Internrevisionen bedrivs enligt god sed på området, vilket bl.a. innebär att revisionen följer standarder upprättade av , , och Audit and , Isaca. 4 ANPASSNINGAR TILL INTERNREVISIONSFÖRORDNINGEN Expertgruppens överväganden och förslag Den reglering av internrevisionens uppgifter som finns i riksdagsförvaltningens respektive JO:s instruktion samt i riksbankslagen har vissa likheter med 4 och 7 §§ internrevisionsförordningen. En väsentlig skillnad är att det i internrevisionsförordningen finns en hänvisning till 3 § myndighetsförordningen där det är tydligt att det är utformningen av ledningens interna styrning och kontroll som ska granskas, dvs. hur processerna ser ut och huruvida det övergripande verksamhetsansvaret uppfylls i och med dessa. I och med hänvisningen till 3 § myndighetsförordningen är det tydligt att internrevisionen ska omfatta all den verksamhet som myndigheten bedriver eller ansvarar för. Beträffande god sed regleras det inte för myndigheter att även god sed för internrevisorer ska följas. Expertgruppens förslag innebär en ändring i detta avseende. Vid en anpassning av internrevisionsförordningens bestämmelser till riksdagsområdet bedömer expertgruppen att 4 och 7 §§ i internrevisionsförordningen är centrala och bör föreskrivas i lag för myndigheter. Det innebär att det i rea-lagen respektive riksbankslagen bör regleras att internrevisionen utifrån en analys av verksamhetens risker självständigt ska granska om ledningens interna styrning och kontroll är utformad så att myndigheten med rimlig säkerhet fullgör sitt verksamhetsansvar. Med verksamhetsansvar avses den föreslagna regleringen av myndighetsledningens övergripande verksamhetsansvar i 15 § första stycket lagen (2000:419) med instruktion för riksdagsförvaltningen, i 4 a § lagen (2002:1023) med instruktion för och i 12 § första stycket lagen (1986:765) med instruktion för ombudsmän. Internrevisionen ska bedrivas enligt god sed för internrevision och internrevisorer. Tillsammans med den övriga reglering i lag av internrevisionen som föreslagits i avsnitten 4.1 och 4.2 erhålls därmed en enhetlig och tydlig reglering av internrevisionen vid myndigheter. De bestämmelser i övrigt som finns i internrevisionsförordningen och i ESV:s föreskrifter och allmänna råd bör vid behov regleras i riksdagsstyrelsens föreskrifter till rea-lagen respektive i arbetsordningen eller instruktionen för . 5 Anpassningar till förordningen om intern styrning och kontroll 5.1 Bakgrund till förordningen om intern styrning och kontroll Förordningen om intern styrning och kontroll togs fram av en arbetsgrupp vid i samarbete med . Arbetet resulterade i rapporten styrning och kontroll i staten, förslag till ett gemensamt ramverk (Ds 2006:15), vilken presenterades 2006. Rapporten remitterades, och efter bearbetning av remissynpunkterna beslutade regeringen om den nya förordningen. Bakgrunden till förordningen var bl.a. oklarheter kring tolkningen av begreppet intern styrning och kontroll och internrevisionsutredningens synpunkter om att ansvaret för intern styrning och kontroll inte var tydligt reglerat och att det var otydligt på vilket sätt ledningen skulle redovisa hur den uppfyllt sitt ansvar. Avsaknaden av en fastlagd innebörd av begreppet och ett tydligt regelverk gjorde det svårt för vissa myndighetsledningar att upprätta och vidmakthålla ett system för intern styrning och kontroll. Vidare redovisade () brister i myndigheternas interna styrning och kontroll. RRV redovisade också, i rapporten i staten (RRV 2002:12), brister i beslutsfattares kunskaper om intern styrning och kontroll samt om sitt eget och andras ansvar. Utgångspunkten var att regleringen skulle avse de myndigheter som hade skyldighet att inrätta intern revision och att den skulle följa det ramverk inom området som utvecklades av (Coso). Ett argument för detta var att Cosomodellen var det internationellt mest accepterade ramverket inom området. Ett annat argument var att intern- och externrevisorerna i den svenska statsförvaltningen redan tillämpade Cosomodellen. Därmed skulle myndighetsledningarna, och internrevisionen använda sig av samma terminologi och ha en gemensam syn på innebörden av intern styrning och kontroll. Därtill skulle svensk statsförvaltning ansluta sig till det utvecklingsarbete som pågår på området. Flertalet remissinstanser delade arbetsgruppens bedömning att behov fanns av en författningsreglering av innebörden av begreppet intern styrning och kontroll. Det fanns dock även kritiska röster mot en sådan reglering. Bland annat , , , , Kammarkollegiet, Statskontoret, och några universitet ifrågasatte behovet av en reglering. Man menade att regleringen redan finns i eller bör lösas inom ramen för bestämmelserna i den nya myndighetsförordningen, förordningen om internrevision och bestämmelserna om myndigheternas årsredovisningar. och menade att förslaget innebar en 2008/09:URF4 5 ANPASSNINGAR TILL FÖRORDNINGEN OM INTERN STYRNING OCH KONTROLL reglering av hur myndigheterna ska bedriva sitt interna ledningsarbete, vilket skulle innebära ett steg tillbaka i den svenska förvaltningsmodellen. Statskontoret ansåg att förslaget skulle leda till en onödig och kostsam pappersexercis utan egentligt samband med effektivitet. och högskolor befarade att en ökad kontroll av processfrågorna riskerade att ta fokus från resultatuppfyllelsen. Flera remissinstanser ansåg att de föreslagna bestämmelserna om intern styrning och kontroll borde inarbetas i förslaget till myndighetsförordning, medan universitet och högskolor förordade att bestämmelserna inarbetades i högskolelagen eller högskoleförordningen. Enligt 1 § gäller förordningen för de förvaltningsmyndigheter under regeringen som har skyldighet att följa internrevisionsförordningen, dvs. Vissa remissinstanser riktade kritik mot denna avgränsning.