frsrdg · GX04RS6 · 2010-01-01 00:00:00 — För myndigheter betyder detta att internrevisionen ska vara placerad direkt under riksdagsdirektören i riksdagsförvaltningen, under riksrevisorerna i , under chefs-JO hos JO samt direkt under direktionen i . I de fall internrevisionen upphandlas ska upphandlingen genomföras direkt under myndighetens chef. Som närmare framgår nedan ska internrevisionen rapportera direkt till myndighetens ledning. Riksdagsstyrelsen delar inte uppfattning att det finns en sådan fara med att inte ha en anställd internrevisor. Riksdagsstyrelsens förslag innebär att nuvarande bestämmelser om internrevision i riksdagsförvaltningens, och instruktioner utgår och att det i stället görs en hänvisning till REA-lagen. En sådan hänvisning kan förefalla överflödig men bedöms av riksdagsstyrelsen som viktig då instruktionerna därmed även fortsättningsvis innehåller uppgifter om internrevision. 5.2.2 Ledningens ansvar gentemot internrevisionen Riksdagsstyrelsens förslag Myndighetens ledning ska besluta om riktlinjer och revisionsplan för internrevisionen samt åtgärder med anledning av internrevisionens iakttagelser och rekommendationer. Bestämmelser om detta förs in i REA-lagen respektive riksbankslagen. Kravet på att samråd ska ske med om revisionsplanen tas bort. Expertgruppens förslag överensstämmer i huvudsak med riksdagsstyrelsens förslag. Remissinstanserna: ESV har anfört att detta att internrevisionen ska rapportera direkt till sin uppdragsgivare är det viktigaste kriteriet för att det ska vara möjligt att hävda att internrevisionen har ett organisatoriskt oberoende. Detta framgår både av internrevisionsförordningen och av IIA:s () regelverk (Standard 1110 och 1120). Av den anledningen anser ESV att det trots allt kan vara värdefullt att reglera frågan i REA- och riksbankslagarna. Remissinstanserna i övrigt har tillstyrkt förslaget. Gällande ordning I 10 § internrevisionsförordningen föreskrivs vad som gäller för internrevisionens uppdragsgivare. Bestämmelsen anger att myndighetens styrelse ska besluta om 1) riktlinjer för internrevisionen, 2) revisionsplan för internrevisionen och 3) åtgärder med anledning av internrevisionens iakttagelser och rekommendationer. Av ESV:s allmänna råd till 10 § framgår att riktlinjer för internrevisionen bl.a. kan innehålla syfte, befogenhet, ansvar, roll och arbetssätt för internrevisionen internrevisionschefens ansvar och roll ansvar, roller och samarbetsformer mellan internrevisionen och styrelsen former för tillsättning av internrevisionschef formerna för rapportering till styrelsen riktlinjer för rådgivningsuppdrag riktlinjer för kompetensutveckling riktlinjer för kvalitetssäkring. Enligt ESV:s föreskrifter till 8 § om samordning med annan myndighet måste varje myndighet upprätta en egen revisionsplan och lämna en egen rapportering om internrevisionens resultat. Av 9 § följer att resultatet av internrevisionens granskning redovisas i form av iakttagelser och rekommendationer. Dessa ska rapporteras till styrelsen. Enligt ESV:s föreskrifter till 9 § ska formerna för internrevisionens rapportering beslutas av styrelsen och tas in i riktlinjerna för internrevisionen. Av beslutet ska framgå när och hur myndighetens styrelse ska informeras om pågående och avslutade granskningar. Minst en gång ska internrevisionen avge en revisionsrapport över revisionsårets iakttagelser och rekommendationer ställd till myndighetens styrelse. I denna rapportering ska också ingå en återrapportering av hur åtgärder avseende internrevisionens tidigare års iakttagelser och rekommendationer har utförts. I riksdagsförvaltningens instruktion finns inga bestämmelser som anger vem som ska vara uppdragsgivare till internrevisionen. Avseende styrdokument för internrevisionen anges i 8 § att riksdagsförvaltningen ska fastställa en revisionsplan för sin verksamhet efter samråd med . I praktiken är det riksdagsstyrelsen som beslutar om internrevisionsplan för riksdagsförvaltningen. Samrådsförfarandet med har upphört i och med att kravet på samråd togs bort för regeringens myndigheter när internrevisionsförordningen infördes. I internrevisionsplanen står vilka granskningsinsatser som ska genomföras. En löpande rapportering av granskningsresultaten sker till internrevisionsansvarig och övriga ansvariga som berörs av ärendet. Iakttagelser av väsentlig karaktär avrapporteras även löpande till riksdagsdirektören och till riksdagsstyrelsen. Det samlade resultatet av internrevisionens arbete rapporteras till riksdagsstyrelsen i en sammanfattande rapport. Beslut om åtgärder av väsentlig karaktär fattas av styrelsen. Den internrevisionsansvarige är organisatoriskt placerad direkt under riksdagsdirektören. Av instruktion framgår inte vem som ska vara internrevisionens uppdragsgivare eller vem internrevisionen ska rapportera till. Riksrevisorerna har beslutat att internrevisionen ska vara placerad under riksrevisorerna och att den ska rapportera till dessa. Riksrevisorerna fattar beslut om riktlinjer för internrevisionen och om internrevisionsplan. Riktlinjerna innehåller de olika delar som framgår av ESV:s allmänna råd. Revisionsplanen innehåller bl.a. revisionsmål och granskningsinsatser för . I JO:s instruktion regleras att ombudsmän fastställer revisionsplan för sin verksamhet efter samråd med . I praktiken är det chefs-JO som beslutar om revisionsplanen. Av internrevisionsplanen framgår att har informerats om denna. Revisionsplanen innehåller granskningsinsatserna för . Resultatet av internrevisionens granskningar avrapporteras till kanslichefen och administrative direktören samt till den som har verksamhetsansvaret. Iakttagelser av väsentlig karaktär avrapporteras även till chefs-JO. För del är det, som tidigare redovisats, endast fullmäktiges revisionsenhet som är reglerad i riksbankslagen. Det finns även en bestämmelse som säger att fastställer revisionsplan för sin verksamhet efter samråd med . I arbetsordningen föreskrivs att fullmäktige fastställer revisionsplan för revisionsenheten och att direktionen fastställer en plan för den internrevision som bedrivs av internrevisionsavdelningen. Där framgår även att internrevisionen ska bedrivas enligt god sed på området och vara oberoende från operativ verksamhet i banken. Av instruktionen för framgår att direktionen vid behov ska besluta om åtgärder med anledning av internrevisionens förslag och rekommendationer. Direktionen har fastställt riktlinjer för den internrevision som bedrivs av internrevisionsavdelningen. De nu gällande riktlinjerna, som dock håller på att uppdateras, är och innehåller internrevisionens uppdrag, ansvar och befogenheter samt krav på objektivitet och oberoende. Den revisionsplan som direktionen fastställde omfattar beskrivning och prioritering av internrevisionsavdelningens revisionsverksamhet. Internrevisionsavdelningen lämnar en sammanfattande årsrapport över sitt arbete till direktionen. Riksdagsstyrelsens ställningstagande Den ordning som föreskrivs i internrevisionsförordningen om att myndighetens ledning ska vara internrevisionens uppdragsgivare, vad ledningen ska besluta om och att internrevisionen ska rapportera till ledningen tillämpas redan av myndigheter. En reglering av denna ordning innebär därmed en kodifiering av praxis. Riksdagsstyrelsen delar expertgruppens uppfattning att det är viktigt att ordningen regleras för att klargöra ansvarsförhållandena. En ny bestämmelse föreslås därmed som anger att myndighetens ledning ska besluta om riktlinjer och revisionsplan för internrevisionen samt åtgärder med anledning av internrevisionens iakttagelser och rekommendationer. En sådan bestämmelse har förts in i förslagen till ändrade bestämmelser i respektive riksbankslagen. Med anledning av vad ESV har anfört om att det trots allt kan vara värdefullt att reglera nu beskriven ordning i REA-lagen anser riksdagsstyrelsen att det förhållandet att internrevisionen ska rapportera sina granskningsresultat till myndighetens ledning följer naturligt av att ledningen är internrevisionens uppdragsgivare. Formerna för rapportering bör därför framgå av de riktlinjer som beslutas av ledningen. Expertgruppen har i denna fråga gjort en avvägning mellan vad som bör föreskrivas i lag och vad som bör föreskrivas i föreskrifter till lag, varför flera bestämmelser i internrevisionsförordningen inte tagits med i expertgruppens lagförslag. För att inte tynga REA-lagen eller riksbankslagen alltför mycket med bestämmelser om internrevision har riksdagsstyrelsen därför, i enlighet med expertgruppens förslag, inte föreslagit att internrevisionen ska rapportera sina granskningsresultat till myndighetens ledning. Att så ändå ska vara fallet är naturligt då ledningen tydligt utpekas som internrevisionens uppdragsgivare, men formerna för rapporteringen bör i stället framgå av de riktlinjer som beslutas av ledningen. Kravet på samråd med om revisionsplanen har tagits bort för regeringens myndigheter, och därmed anser riksdagsstyrelsen att detta krav kan tas bort även för myndigheter. 5.2.3 Internrevisionens uppgifter Riksdagsstyrelsens förslag Internrevisionen ska utifrån en analys av verksamhetens risker självständigt granska om ledningens interna styrning och kontroll är utformad så att myndigheten med rimlig säkerhet fullgör sitt verksamhetsansvar. Internrevisionen ska bedrivas enligt god sed för internrevision och internrevisorer. Bestämmelser om detta förs in i REA-lagen respektive riksbankslagen. Expertgruppens förslag överensstämmer i huvudsak med riksdagsstyrelsens förslag. Remissinstanserna: Remissinstanserna har tillstyrkt förslaget. Gällande ordning Som allmänna uppgifter för internrevisionen anges i 3 § internrevisionsförordningen att internrevisionen ska granska och lämna förslag till förbättringar av myndighetens process för intern styrning och kontroll. Bestämmelsen följer internationell standard för internrevision ([IIA] Standards, där det i Practice Advisories ges vägledning om hur bestämmelserna ska tillämpas och tolkas). Enligt ESV:s föreskrifter till 3 § ska internrevisionen stödja myndigheten genom att ur ett risk- och väsentlighetsperspektiv granska och lämna förslag till förbättringar av myndighetens process för intern styrning och kontroll. Beträffande granskningens inriktning anges i 4 § att internrevisionen utifrån en analys av verksamhetens risker självständigt ska granska om ledningens interna styrning och kontroll är utformad så att myndigheten med rimlig säkerhet fullgör de krav som framgår av 3 § myndighetsförordningen. Granskningen omfattar därmed om verksamheten bedrivs effektivt och enligt gällande rätt och de förpliktelser som följer av medlemskap i unionen, att den redovisas på ett tillförlitligt och rättvisande sätt samt att myndigheten hushållar väl med statens medel. Bestämmelsen överensstämmer med internationella normer avseende intern styrning och kontroll samt med IIA:s Standards och Practice Advisories. Enligt ESV:s föreskrifter till 4 § ska riskanalysen upprättas och omfatta all verksamhet som myndigheten bedriver eller ansvarar för. Riskanalysen ska utgå både från internrevisionens egen riskbedömning och från myndighetsledningens identifiering, värdering och hantering av risk enligt ESV:s föreskrifter till 3 § förordningen (2007:603) om intern styrning och kontroll. Utifrån riskanalysen upprättas en revisionsplan. Enligt 5 § ska internrevisionen ge råd och stöd till styrelsen och chefen för myndigheten. Av 6 § framgår att internrevisionen ska omfatta den verksamhet som myndigheten bedriver eller ansvarar för. Enligt 7 § ska internrevision bedrivas enligt såväl god internrevisionssed som god internrevisorssed. Internrevisionens tillgång till uppgifter regleras i 11 §. Där anges att styrelsen, i den utsträckning det inte möter hinder på grund av bestämmelser om sekretess, ska se till att internrevisionen får tillgång till de uppgifter och upplysningar som den behöver för att fullgöra sitt uppdrag. Bestämmelsen innebär att internrevisionen inte får hindras att fullgöra sitt uppdrag. I riksdagsförvaltningens instruktion regleras att internrevisionen ska avse självständig granskning av riksdagsförvaltningens interna styrning och kontroll och av hur förvaltningen fullgör sina ekonomiska redovisningsskyldigheter. Revisionen ska bedrivas i enlighet med god sed för internrevision. JO har motsvarande reglering av internrevisionen i sin instruktion. Av instruktion framgår inte vilka uppgifter internrevisionen ska ha eller vilken inriktning granskningen ska ha. Inga krav ställs på att god internrevisionssed eller god internrevisorssed ska följas. Riksrevisorerna har dock fattat beslut om att internrevisionen vid ska följa internrevisionsförordningen med ESV:s föreskrifter och allmänna råd. I riksbankslagen regleras att verksamheten vid fullmäktiges revisionsenhet ska avse självständig granskning av interna styrning och kontroll och av hur fullgör sina ekonomiska redovisningsskyldigheter. Revisionen ska bedrivas i enlighet med god sed för internrevision. Internrevisionsavdelningens arbete är inte reglerat i riksbankslagen. Avdelningen ansvarar för att oberoende utvärdera verksamhet. Avdelningen ska granska och bedöma om bankens riskhantering samt styrnings- och ledningsprocesser är ändamålsenliga med hänsyn till de mål som lagts fast för verksamhet. Avdelningen ska även medverka till att effektivisera och förbättra dessa delar av verksamheten. Internrevisionsavdelningen utför även internrevision på uppdrag av , , inom Europeiska centralbankssystemet, ECBS. Internrevisionen bedrivs enligt god sed på området, vilket bl.a. innebär att revisionen följer standarder upprättade av , , och Audit and , Isaca. Riksdagsstyrelsens ställningstagande Den reglering av internrevisionens uppgifter som finns i riksdagsförvaltningens respektive JO:s instruktion samt i riksbankslagen har vissa likheter med 4 och 7 §§ internrevisionsförordningen. En väsentlig skillnad är att det i internrevisionsförordningen finns en hänvisning till 3 § myndighetsförordningen där det är tydligt att det är utformningen av ledningens interna styrning och kontroll som ska granskas, dvs. hur processerna ser ut och huruvida det övergripande verksamhetsansvaret uppfylls i och med dessa. I och med hänvisningen till 3 § myndighetsförordningen är det tydligt att internrevisionen ska omfatta all den verksamhet som myndigheten bedriver eller ansvarar för. Beträffande god sed regleras det inte för myndigheter att även god sed för internrevisorer ska följas. Riksdagsstyrelsens förslag innebär en ändring i detta avseende. Vid en anpassning av internrevisionsförordningens bestämmelser till riksdagsområdet bedömer riksdagsstyrelsen, som expertgruppen, att 4 och 7 §§ i internrevisionsförordningen är centrala och bör föreskrivas i lag för myndigheter. Det innebär att det i REA-lagen respektive riksbankslagen bör regleras att internrevisionen utifrån en analys av verksamhetens risker självständigt ska granska om ledningens interna styrning och kontroll är utformad så att myndigheten med rimlig säkerhet fullgör sitt verksamhetsansvar. Med verksamhetsansvar avses den föreslagna regleringen av myndighetsledningens övergripande verksamhetsansvar i 15 § första stycket lagen (2000:419) med instruktion för riksdagsförvaltningen, i 4 b § lagen (2002:1023) med instruktion för och i 12 § första stycket lagen (1986:765) med instruktion för ombudsmän. Internrevisionen ska bedrivas enligt god sed för internrevision och internrevisorer. Tillsammans med den övriga reglering i lag av internrevisionen som föreslagits i avsnitten 4.1 och 4.2 erhålls därmed en enhetlig och tydlig reglering av internrevisionen vid myndigheter. De bestämmelser i övrigt som finns i internrevisionsförordningen och i ESV:s föreskrifter och allmänna råd bör vid behov regleras i riksdagsstyrelsens föreskrifter till REA-lagen respektive i arbetsordningen eller instruktionen för . 5.3 Intern styrning och kontroll 5.3.1 Processen intern styrning och kontroll Riksdagsstyrelsens förslag Med intern styrning och kontroll avses den process som syftar till att myndigheten med rimlig säkerhet fullgör sitt verksamhetsansvar. I denna process ska ingå momenten riskanalys, kontrollåtgärder, uppföljning och dokumentation. Bestämmelser om detta förs in i REA-lagen respektive riksbankslagen. Expertgruppens förslag överensstämmer i huvudsak med riksdagsstyrelsens förslag. Remissinstanserna: JO har anfört bl.a. följande. Att myndigheter bör ha rutiner för intern styrning och kontroll framstår som självklart. Det kan däremot finnas skäl att överväga om författningsregleringen av denna process lämpligen bör vara densamma för alla myndigheter. För myndigheter under regeringen gäller att förordningen om intern styrning och kontroll med dess ganska detaljerade krav på riskanalys, kontrollåtgärder, uppföljning och dokumentation är tillämplig hos endast 61 av de statliga myndigheterna, vilka kvalificerat sig genom antingen sin storlek eller sin ekonomiska omslutning (eller båda dessa kriterier). JO anför vidare att expertgruppen konstaterar att JO är en liten myndighet som troligen inte skulle ha haft krav på sig att följa förordningen om intern styrning och kontroll, ifall den legat under regeringen. Man torde kunna bortse från ordet troligen. JO ligger mycket långt från de kriterier som regeringen tillämpat i sammanhanget. På denna punkt gör expertgruppen ett undantag från sin huvudprincip att söka största möjliga överensstämmelse mellan regelverket för myndigheter och vad som gäller för myndigheter under regeringen. Utan att direkt avstyrka den föreslagna ordningen ställer sig JO i sitt remissyttrande tveksam till om den är ändamålsenlig. En myndighetslednings ansvar omfattar, enligt JO, rimligen att säkerställa att det finns intern styrning och kontroll som fungerar på ett tillfredsställande sätt. JO:s tveksamhet gäller graden av detaljreglering av processen. Det synes inte osannolikt att man vid en liten myndighet kan finna former för en tillfredsställande process för intern styrning och kontroll utan att den nödvändigtvis i varje skede måste innefatta en dokumentation av alla momenten riskanalys, kontrollåtgärder och uppföljning. Dessutom, uppger JO, saknar JO i expertgruppens resonemang en analys av förhållandet mellan nytta och kostnader. Ju mera resurser som satsas på den administrativa överbyggnaden, desto mindre återstår för kärnverksamheten, vilken bör prioriteras i första hand. Remissinstanserna har i övrigt tillstyrkt förslaget. Gällande ordning Enligt 1 § förordningen (2007:603) om intern styrning och kontroll gäller förordningen för de förvaltningsmyndigheter under regeringen som har skyldighet att följa internrevisionsförordningen, dvs. I 2 § anges att med intern styrning och kontroll avses den process som syftar till att myndigheten med rimlig säkerhet fullgör de krav som framgår av 3 § myndighetsförordningen, dvs. effektivt och enligt gällande rätt m.m. samt redovisas på ett tillförlitligt och rättvisande sätt. Vidare anges de moment som ska ingå i denna process, dvs. riskanalys, kontrollåtgärder, uppföljning och dokumentation. I 36 §§ regleras vilka obligatoriska moment som ska ingå i den process som utgör den interna styrningen och kontrollen. I 3 § sägs att en riskanalys ska göras i syfte att identifiera omständigheter som utgör risk för att de krav som framgår av 3 § myndighetsförordningen inte fullgörs. Enligt ESV:s föreskrifter ska myndigheten genomföra en riskanalys som är ändamålsenlig och anpassad efter myndighetens behov. Riskanalysen innebär att identifiera, värdera och besluta om hantering av riskerna för att verksamhetens mål inte uppnås. I riskanalysen relateras målen till de krav som framgår av 3 § myndighetsförordningen. I ESV:s allmänna råd till 3 § definieras begreppen identifiera, värdera och hantera ytterligare, dvs. de olika stegen i riskanalysen. Av ESV:s allmänna råd till 3 § framgår att riskanalysen inte avser den risk- och sårbarhetsanalys som ska göras enligt förordningen (2006:942) om krisberedskap och höjd beredskap eller den riskanalys som ska göras enligt förordningen (1995:1300) om riskhantering i staten. Vilka krav regeringen ställer på kontrollåtgärder regleras i 4 §. Där anges att åtgärder med ledning av riskanalysen ska vidtas som är nödvändiga för att de krav som framgår av 3 § myndighetsförordningen ska fullgöras med rimlig säkerhet. Enligt ESV:s allmänna råd till 4 § bör myndighetens ledning göra en avvägning mellan den kostnad en viss åtgärd för med sig och den förväntade nyttan av åtgärden. I 5 § ställs krav på att den interna styrningen och kontrollen systematiskt och regelbundet ska följas upp och bedömas. Vid bedömningen ska iakttagelser som lämnas vid extern revision och internrevision beaktas. Slutligen anges i 6 § att riskanalysen enligt 3 §, kontrollåtgärderna enligt 4 § samt uppföljningen och bedömningen enligt 5 § ska dokumenteras. Enligt ESV:s föreskrifter till 6 § ska dokumentationen upprättas så att det går att följa myndighetens process för intern styrning och kontroll från riskanalys till beslut om kontrollåtgärder och till uppföljning och bedömning. Dokumentationen ska ligga till grund för ledningens bedömning av den interna styrning och kontroll som ska göras i anslutning till underskriften i årsredovisningen enligt 2 kap. 8 § förordningen (2000:605) om årsredovisning och budgetunderlag. Om myndighetens ledning gjort bedömningen att det föreligger brister i den interna styrningen och kontrollen, ska skälen för denna bedömning beskrivas i dokumentationen. Det finns inga bestämmelser på riksdagsområdet som definierar intern styrning och kontroll eller hur denna process ska se ut. har i samband med verksamhetsplaneringen för både 2009 och 2010, som en del av arbetet med intern styrning och kontroll, genomfört riskanalyser för att identifiera områden där åtgärder måste prioriteras. Målsättningen är att följa den process som föreskrivs i förordningen om intern styrning och kontroll. En analys har gjorts av verksamhetsriskerna, och därefter har en uppföljning gjorts av vilka åtgärder som vidtagits. Riksrevisorerna har beslutat att i sin verksamhet ska tillämpa förordningen om intern styrning och kontroll i avvaktan på reglering för myndigheter. Detta framgår både av årsredovisningen och av verksamhetsplanen . Vid upprättades en första riskanalys, och kontrollåtgärder för de mest centrala riskerna identifierades, fastställdes och arbetades in i verksamhetsplanen. Den riskanalys som gjordes är preliminär, och analysen ska fördjupas och följas upp . Riksrevisorerna har även fastställt organisationen och tidsplanen som omfattar riskanalysarbetet, system för uppföljning och kontroll samt regler om dokumentation. Av verksamhetsplan framgår att prioriterar en utveckling av den interna styrningen och kontrollen, vilket bl.a. innefattar utveckling av arbetet med riskanalyser. ska, enligt verksamhetsplanen, följa förordningen om intern styrning och kontroll. Som ett resultat av detta har en arbetsplan för intern styrning och kontroll redovisats för direktionen. Riksdagsstyrelsens ställningstagande , och har var för sig beslutat att följa förordningen om intern styrning och kontroll. Det innebär att dessa myndigheter redan tillämpar förordningens definition av intern styrning och kontroll samt de olika moment som ska ingå i processen, dvs. riskanalys, kontrollåtgärder, uppföljning och dokumentation. En reglering för dessa tre myndigheter av intern styrning och kontroll motsvarande förordningens bestämmelser skulle därmed innebära en kodifiering av gällande ordning. En reglering skulle också innebära att tydligt markerar att dessa myndigheter ska ha krav på sig om intern styrning och kontroll. För JO:s del finns ännu ingen tydlig process för intern styrning och kontroll motsvarande den som regleras i förordningen. JO är en liten myndighet och skulle troligen inte haft krav på sig att ha vare sig internrevision eller följa förordningen om intern styrning och kontroll om den legat under regeringen.