rir · H3B515 · 2015-06-23 00:00:00 — 3.5.1Regeringen använder inte bolagsstämman för att ge riktlinjer om risker och riskhantering Enligt aktiebolagslagen har bolagsstämman en vidsträckt beslutsrätt. Som företrädare för ägaren kan regeringen i hel- och majoritetsägda bolag bestämma dagordningen för bolagsstämman och att bolagsstämman fattar de beslut ägaren föreslagit. Det ger, enligt , regeringen som företrädare för ägaren möjlighet att se till att bolagsstämman beslutar om sådant som rör riskhantering i bolagen. Regeringen skulle exempelvis kunna se till att bolagsstämmorna fattar beslut om generella riktlinjer som tydliggör styrelsernas ansvar för riskhantering och som anger att bolagen ska ha fullgod riskhantering. Om förtydligade riktlinjer för riskhantering antas av stämman skulle riktlinjerna bli juridiskt bindande för de hel- och majoritetsägda statliga bolagen. Enligt ger aktiebolagslagen också regeringen möjlighet att se till att stämman beslutar om specifika riktlinjer om riskhantering i samband med strategiska beslut och större förändringar i enskilda bolag. Sådana specifika riktlinjer skulle kunna gälla det enskilda bolagets agerande inför större förvärv eller avyttringar eller stora investeringar. Specifika riktlinjer skulle kunna ges i form av ägaranvisningar som antas av stämman och därmed blir juridiskt bindande för bolaget. Lagstiftningen ger vidare regeringen möjlighet att avsätta styrelser om dessa inte skulle sköta sitt uppdrag avseende bolagens riskhantering. Som företrädare för ägaren kan regeringen även hålla så kallade stämmotal för att delge sin syn på styrelsens ansvar för bolagens riskhantering och riskanalyser. har i granskningen gått igenom dokumentation från bolagsstämmor i tio hel- och majoritetsägda statliga bolag avseende åren 2013 och 2014.179 Genomgången visade att stämmorna inte fattat beslut för generella riktlinjer för styrelsernas ansvar för riskhantering, riktlinjer som skulle ange att bolagen ska ha fullgod riskhantering. Stämmorna hade inte heller fattat beslut om specifika riktlinjer, exempelvis i form av ägaranvisningar, om riskhantering i samband med strategiska beslut och större förändringar i enskilda bolag. 179Aktgranskning av årsakter, där dokumentation från bolagsstämmor ingår, avseende Akademiska Hus, , , , , , , Svevia, Systembolaget och . Årsakterna var för aktgranskningen inte fullständiga. Aktgranskningen ägde rum . dokumentationen framgår inte om några stämmotal hållits som berört ägarens syn på riskhanteringen i bolagen. Det har i granskningen inte framkommit att regeringen använt möjligheten att avsätta en styrelse på grund av att styrelsen misskött sitt uppdrag vad gäller bolagets riskhantering. 3.5.2Styrelsenomineringen sker utifrån bolagens kompetensbehov Styrelsenominering är normalt inte en process där risker och riskhantering beaktas särskilt. Ledamöter tillsätts baserat på en behovsanalys och utifrån kompetens och erfarenhet och då kan erfarenheter som inbegriper olika typer av risker komma att vägas in. Detta förfarande förefaller, enligt , även gälla i nomineringen av styrelseledamöter till de hel- och majoritetsägda statliga bolagen.180 Förutom styrelseutvärderingar utgör även annan information om bolagen, som framkommer i exempelvis processen med att fastställa ekonomiska mål och genomföra hållbarhetsanalyser, också en del av underlaget vid styrelsenomineringarna.181 3.5.3Styrelsens ansvar för riskhantering inte tydligt preciserat i ägarpolicyn Styrelsen ansvarar enligt aktiebolagslagen för bolagets organisation och förvaltningen av bolagets angelägenheter. Enligt Svensk kod för bolagsstyrning, som även statliga bolag följer, ska styrelsen bland annat se till att bolaget har effektiva system för uppföljning och kontroll av bolagets verksamhet och att bolagets information präglas av öppenhet.182 I ägarpolicyn, som enligt regeringen tillämpas i hel- och majoritetsägda bolag, anges dessutom bland annat att styrelserna i de statliga bolagen ansvarar för att bolagen sköts föredömligt.183 Vidare finns i ägarpolicyn riktlinjer för extern rapportering, som bland annat anger att de statliga bolagen ska redovisa risker och riskhantering. Varken aktiebolagslagen eller Svensk kod för bolagsstyrning anger uttryckligen att styrelsen ansvarar för att bolaget har en god riskhantering och att fullgoda riskanalyser regelbundet genomförs. noterar att detta ansvar inte heller uttryckligen anges i regeringens enda skriftliga ägarstyrningsdokument, ägarpolicyn. Enligt företrädare för bolagsförvaltningen ingår riskhantering i det ansvar som styrelsen enligt aktiebolagslagen 180Regeringskansliet, Verksamhetsberättelse för bolag med statligt ägande 2013 samt intervjuer med styrelseordförande i , , , , och . 181Intervju med företrädare för bolagsförvaltningen i , . 182Bolagsstyrningskollegiet, Svensk kod för bolagsstyrning, 2010. 183Regeringskansliet, Statens ägarpolicy och riktlinjer för företag med statligt ägande 2014. REGERINGENS HANTERING AV RISKER I STATLIGA BOLAG har för bolagets organisation och förvaltningen av dess angelägenheter. Ägarpolicyn kräver också att bolagens rapportering är transparant och att bolagen agerar föredömligt inom hållbarhetsområdet, och det förutsätter, enligt bolagsförvaltningen, att bolagen arbetar för en god riskhantering. Genom att förvaltaren för respektive bolag sitter i bolagens styrelser har bolagsförvaltningen insyn i hur styrelserna arbetar med riskhantering.184 Som konstaterat i avsnitt 3.5.1 ovan antas inte ägarpolicyn av stämman i hel- och majoritetsägda statliga bolag. Därmed är ägarpolicyn inte juridiskt bindande för bolagens styrelser. kallas policy skulle kunna uppfattas som att det är frivilligt för styrelserna att följa den. Ett exempel på att styrelser och deras ordförande ändå uppfattar ägarpolicyn som styrande är de förtydliganden kring ägarens förväntningar på bolagens arbete med hållbart företagande som har gjorts i dokumentet. Dessa förtydliganden har resulterat i att de hel- och majoritetsägda bolagen nu arbetar mer aktivt med hållbarhetsfrågor och att andra typer av riskfrågor än de finansiella därmed kommit upp på styrelsernas bord.185 Även intervjuer i granskningen med sex styrelseordförande bekräftar denna bild.186 Förtydligande av styrelsen ansvar i mall för arbetsordning Ett förtydligande av styrelsens ansvar finns i den mall för arbetsordning för styrelsen som bolagsförvaltningen tagit fram och som överlämnats till styrelserna i hel- och majoritetsägda bolag . är enligt bolagsförvaltningen ett exempel på vad en arbetsordning bör innehålla. är frivillig för styrelserna att använda. Enligt kan styrelsen i sin arbetsordning skriva in följande: Styrelsen ansvarar för bolagets riskhantering och regelefterlevnad. Detta innebär att styrelsen ska se till att risker förenade med bolagets verksamhet kontinuerligt identifieras, analyseras och på lämpligt sätt hanteras. Av de styrelseordförande som svarat på skriftliga frågor uppger knappt hälften att styrelsen använder sig av vid utformningen av arbetsordningen. Flera av styrelseordförandena i bolag som använder har uppgivit att de kommer att uppdatera sina arbetsordningar enligt mallen.187 Frågan till styrelseordförande avsåg om som helhet används och gäller således inte just den specifika formuleringen om styrelsens 184Intervju med företrädare för bolagsförvaltningen i , . 185Intervju med företrädare för bolagsförvaltningen i , . 186Intervjuer med styrelseordförande i , , , , och . 18734 av 35 svarande styrelseordförande har besvarat denna fråga. ansvar för riskhantering. Det innebär att , trots att den är frivillig för styrelserna, används av relativt många styrelser i statliga bolag. 3.5.4Styrelsernas arbete med riskhantering följs sällan upp har i granskningen frågat både företrädare för bolagsförvaltningen och styrelseordförande om det sker någon uppföljning av hur styrelserna hanterar sitt ansvar för att bolagens riskhantering fungerar väl. Företrädare för bolagsförvaltningen menar att riskhantering är styrelsernas ansvar. Vidare menar företrädarna att de genom förvaltarnas styrelseuppdrag får god insyn i bolagens riskhantering.188 Därutöver följer bolagsförvaltningen i ägardialogerna upp hur bolagen uppfyller ekonomiska mål, uppdragsmål och hållbarhetsmål. Någon ytterligare uppföljning sker därför inte. I intervjuer med styrelseordförande har dessa bekräftat att riskhantering sällan är föremål för särskilda diskussioner vid ägardialogerna.189 I sina svar på skriftliga frågor uppger av styrelseordförandena att bolagens processer för riskhantering tas upp vid ägardialogerna. Ett viktigt underlag för regeringens strategiska ställningstaganden i bolagsfrågor är uppdaterad information om väsentliga risker i bolagen och konsekvenser om riskerna realiseras. Regeringen förfogar över en uppsättning verktyg för att skaffa sig sådan information. Regeringen har också möjlighet att ställa krav på bolagens riskhantering och på att styrelserna tar sitt ansvar för att se till att bolagens riskanalyser är fullgoda. har undersökt hur regeringen använder dessa verktyg och möjligheter. Risker är inte en stående punkt vid de så kallade ägardialogerna, som är återkommande möten mellan regeringens företrädare och styrelseordförande i de statliga bolagen. Ägarsamordning, som gäller större strategiska förändringar i bolagens verksamhet, sker sällan och syftar inte till att löpande samla in information om risker i de statliga bolagen. Regeringen har inte utnyttjat möjligheten att låta bolagsstämman fatta bindande beslut om riktlinjer för bolagens riskhantering. Styrelsernas ansvar för riskhanteringen i bolagen har inte tydliggjorts i regeringens ägarstyrningsdokument. 188Intervju med företrädare för bolagsförvaltningen i , . 189Intervjuer med styrelseordförande i , , , , och . REGERINGENS HANTERING AV RISKER I STATLIGA BOLAG När de ekonomiska målen slås fast analyseras vissa risker av bolagsförvaltningen i . Nya ekonomiska mål fastställs dock oftast med mellanrum, vilket innebär att denna process inte löpande fångar upp risker i bolagen. Det är oklart i vilken utsträckning bolagsförvaltningen i uppdaterar information om risker, och konsekvenser om risker skulle realiseras, i samband med att de ekonomiska målen följs upp. Att genomföra hållbarhetsanalyser i innebär att man beaktar andra risker än de som beaktas när man fastställer ekonomiska mål. Det har dock inte framgått hur ingående analyserna av dessa risker är, om exempelvis en värdering görs av konsekvenserna om riskerna skulle realiseras. Vidare har endast fyra bolag varit föremål för hållbarhetsanalyser och det kommer därmed att ta innan samtliga hel- och majoritetsägda bolag analyserats. Bolagsgrupperna i , som har till uppgift att hantera den löpande förvaltningen av de statliga bolagen, saknar en fastlagd process eller rutin för att regelbundet samla in och uppdatera information om väsentliga risker och konsekvenser om riskerna skulle realiseras. sammanställer inte information om risker och konsekvenser om risker skulle realiseras för den samlade statliga bolagsportföljen. Investor AB:s rutiner för riskhantering är ett exempel på återkommande sammanställning av en total riskkarta för hela bolagsportföljen. Sammanställningen visar sannolikheten att riskerna inträffar samt effekten i belopp om riskerna skulle infalla. 4Hur de statliga bolagsstyrelserna hanterar risker I detta kapitel redovisas resultatet av genomgång av styrelsedokumentationen i större statliga bolag. Utgångspunkterna för genomgången framgår av avsnitt 1.4.3. Syftet med genomgången har varit att få en uppfattning om hur styrelserna i större bolag arbetar med riskhantering och att utifrån detta bedöma om det finns behov av tydligare krav från regeringen på styrelsernas riskhantering. Syftet har inte varit att bedöma hur väl styrelserna i enskilda bolag sköter sitt ansvar för riskhanteringen eller hur väl riskhanteringen på operativ nivå fungerar i enskilda statliga bolag. Genomgången har endast omfattat de delar av riskhanteringen som nått styrelsen och som dokumenterats skriftligt. Det kan därmed finnas rutiner och inslag i bolagens och styrelsernas arbete med riskhantering som inte omfattats av genomgången. 4.1Riksrevisionens genomgång av styrelsedokumentationen i tio statliga bolag har i granskningen gått igenom styrelsedokumentation i tio större hel- och majoritetsägda bolag . De tio bolagen är Akademiska Hus, , , , , , , Svevia, Systembolaget och (se även avsnitt 1.5). Genomgången av styrelsedokumentationen har utförts av PwC på uppdrag. Under granskningen har också intervjuat totalt sex styrelseordförande för större hel- eller majoritetsägda statliga bolag som nämns ovan. Syftet har varit att bland annat få en översiktlig bild av hur styrelser i statliga bolag arbetar med riskhantering och riskfrågor. Intervjuerna har kompletterats med skriftliga frågor till samtliga styrelseordförande i de 42 bolag där staten är hel- och majoritetsägare. iakttagelser nedan bygger på genomgången av styrelsedokumentation i de tio bolagen, intervjuer med styrelseordförande och skriftliga frågor till styrelseordförande. REGERINGENS HANTERING AV RISKER I STATLIGA BOLAG Genomgången grundar sig på erfarenhetsbaserade utgångspunkter har bedömt att erfarenhetsbaserade utgångspunkter för bolagsstyrelsers arbete med riskhantering är en lämplig grund för att gå igenom styrelsedokumentationen. PwC har på uppdrag tagit fram sådana utgångspunkter (se avsnitt 1.4.3).190 Enligt utgångspunkterna kännetecknas strukturerat arbete med riskhantering på styrelsenivå av en röd tråd där risker som hotar verksamhetens mål identifieras och kopplas till affärsprocesserna. Kontroller som möter de identifierade riskerna är dokumenterade, och respektive kontrolls effektivitet testas regelbundet genom självutvärderingar. Resultatet återrapporteras till ledningen och styrelsen. 4.2Dokumentationen av styrelsernas riskhantering varierar I det följande redovisar sina iakttagelser från genomgången av styrelsens arbete med riskhantering utifrån de erfarenhetsbaserade utgångspunkterna. 4.2.1Rapportering av väsentliga risker till styrelsen varierar mellan bolagen Enligt utgångspunkterna bör det finnas en etablerad och av styrelsen fastställd process för att säkerställa att väsentliga risker rapporteras till styrelsen. De sex styrelseordförande som intervjuats har framfört att särskilda händelser eller betydande beslutsfrågor som medför väsentliga risker för bolaget rapporteras till styrelsen.191 genomgång av styrelsedokumentationen i tio bolag visar att i samtliga bolag får styrelsen information från bolaget om risker. Hur processen för att rapportera väsentliga risker till styrelsen ser ut varierar dock mellan bolagen. Information om risker kan nå styrelsen via flera olika rapporteringskanaler inom bolaget. Genomgången av dokumentationen visar vidare att vd rapporterar till styrelsen om bolagets risker och riskhantering i samband med affärsplaneringen. Styrelsen får också ad hoc-mässigt underlag via ärenden som tas upp i styrelsen för beslut. Det sker ofta i utskick i form av riskkartor och riskanalyser kopplade till aktuella beslutsärenden. rapporteringskanal till styrelsen är revisionsutskotten som arbetar med bolagets internrevisor eller motsvarande och får löpande rapporter om risker som delvis 190PwC, Riskhantering på bolagsstyrningsnivå, PM . 191Intervjuer med styrelseordförande i , , , , och . presenteras för styrelsen. Riskfrågorna som behandlas i revisionsutskotten är främst kopplade till finansiella risker. Genomgången av styrelsedokumentationen visar att det är svårt att utifrån dokumentationen spåra varför specifika risker rapporteras till styrelsen. Det framgår inte om det är till följd av en formaliserad process att risken tas upp eller om styrelsen aktivt har efterfrågat underlag. I många fall framgår det inte vem som är upphovsman till dokumentation som beskriver risker eller vem som presenterar ärendet för styrelsen. Det är därmed inte transparent hur väsentliga risker ska rapporteras till styrelsen. 4.2.2Styrdokument reglerar verksamhetsansvar för riskhantering på övergripande nivå Enligt utgångspunkterna bör styrelsen reglera i styrande dokument vad som är väsentliga risker och vad styrelsen ska fatta beslut om. Exempel på styrande dokument är arbetsordning för styrelsen, vd-instruktion, delegations- och attestordning, finanspolicy och investeringspolicy. De styrelseordförande som intervjuats har framfört att de anser att styrelsen ska hålla sig på strategisk nivå när det gäller information om risker i bolaget.192 En intervjuad styrelseordförande menade att det är viktigt att styrelsen har förtroende för ledningens riskhanteringsarbete i bolaget.193 Genomgången av styrelsedokumentationen visar också att i merparten av bolagen framgår det inte av arbetsordningar och instruktioner var ansvaret för riskhantering ligger, mer än på översiktlig nivå. Vanliga skrivningar i styrdokumenten är att väsentliga händelser och risker ska rapporteras till styrelsen. Däremot beskriver inte styrdokumenten till exempel hur bolagets riskfunktion ska utformas. I vd-instruktionen finns inte någon beskrivning som visar hur vd ska rapportera uppföljning av bolagens riskexponering eller riskhantering till styrelsen. Vidare visar genomgången att endast två av tio bolag har en riskhanteringspolicy som mer utförligt beskriver organisationen kring riskhantering och hur denna ska följas upp. Dessa bolag har en högre grad av transparens i sin dokumentation vad avser hur riskhanteringsprocessen fungerar. Av svaren på skriftliga frågor till styrelseordförande i bolag framkommer delvis en annan bild av hur många bolag som har en riskhanteringspolicy. Enligt svaren har nästan två tredjedelar av bolagen en riskhanteringspolicy där även roller för bolagets riskhantering är 192Intervjuer med styrelseordförande i , , , , och . 193Intervju med styrelseordförande i . REGERINGENS HANTERING AV RISKER I STATLIGA BOLAG beskrivna, liksom rutiner för uppföljning av bolagets riskhantering. Ungefär en tredjedel av de svarande har uppgett att bolaget saknar en riskhanteringspolicy men att det finns andra policyer för riskhantering. Svaren visar att riskhanteringspolicyer ofta går under andra bolagsinterna benämningar som exempelvis riskhanteringsplan, säkerhetspolicy och riktlinjer för riskhantering.194 Sammanfattningsvis regleras ansvaret för riskhantering på övergripande nivå i styrdokumenten. 4.2.3Styrelsen fastställer sällan ramar för riskaptit och risktolerans i en policy men är aktiv i bolagets riskhantering Enligt utgångspunkterna kan styrelsen fastställa ramar för riskaptit och risktolerans i en riskpolicy. Styrelsen ska också mäta och följa upp för att säkerställa att risktagandet inte kan ge onödigt stora konsekvenser. Vid intervjuer med styrelseordförande har dessa uppgett att styrelsen ska hålla sig informerad om risker i bolaget men inte ta över det operativa arbetet från ledningen.195 I en riskpolicy kan bolagets styrelse lägga fast ramar för bolagets risktagande. Styrelsedokumentationen som har gått igenom ger inte belägg för att styrelserna skulle fastställa ramar för riskaptit och risktolerans i en riskpolicy. Dokumentationsgenomgången har dock visat att några av styrelserna är aktiva i bolagens riskarbete. I hälften av bolagen är styrelsemedlemmarna själva aktiva vad gäller identifiering av risker och uppföljning av dem. fåtal bolagsstyrelser gör även egna riskanalyser. Endast i ett fåtal bolag finns spår av styrelsens delaktighet i hela riskhanteringsprocessen som omfattar riskidentifiering, analys, rapportering, integrering av riskanalys i strategi- och affärsplanearbetet samt uppföljning. I svar på skriftliga frågor till styrelseordförande i bolag anger trettio av de trettiofem svarande att styrelsen aktivt deltar i bolagets riskidentifieringsprocess, fastställer åtgärder för att hantera risker och deltar i uppföljningen av åtgärderna.196 De styrelseordförande som intervjuats i granskningen har framfört att de anser att styrelsens arbete med 194Svar på skriftliga frågor till styrelseordförande i statliga bolag, fråga 1. 195Intervjuer med styrelseordförande i , , , , och . 196Svar på skriftliga frågor till styrelseordförande i statliga bolag, fråga 4. bolagets riskhantering fungerar på ett bra sätt och att styrelsen har bra insyn i bolagets riskhanteringsarbete.197 Sammantaget ger genomgång av styrelsedokumentationen inte belägg för att styrelserna fastställer riskaptit och risktolerans, men visar att flera av styrelserna är aktiva i riskhanteringsprocessen. 4.2.4 Styrelsens uppföljning av policyefterlevnad varierar mellan bolagen Enligt utgångspunkterna bör styrelsen säkerställa att det finns en process för uppföljning av att samtliga policyer efterlevs och att uppföljningen avrapporteras till styrelsen. Av styrelsedokumentationen i de bolag som ingått i urvalet framgår inte att styrelserna har en systematisk process för att följa upp hur policyerna efterlevs. En styrelseordförande som har intervjuat framhöll att det är styrelsens uppgift att se till att system, policyer och riktlinjer finns i bolagets riskhantering. Styrelsen har ansvar för att hålla sig informerad. Ett verktyg för styrelsen är att ha en internrevision eller motsvarande funktion, som följer upp att policyer och riktlinjer efterlevs. Av skriftliga frågor till styrelseordförande i bolag har det framkommit att 15 av 35 av bolagen saknar internrevision eller motsvarande funktion (se tabell 5).198 Antal styrelseordförande som uppgett att bolaget har en internrevision eller motsvarande funktion som rapporterar direkt till styrelsen Källa: Svar på skriftliga frågor till styrelseordförande i statliga bolag, fråga 2. Ett annat verktyg är att fastställa en riskhanteringspolicy. Två av de tio bolag som ingått i urvalet har en riskhanteringspolicy, och dessa två rapporterar kontinuerligt till styrelsen. I samtliga tio bolag presenterar vd bolagets riskhanteringsprocess för styrelsen i samband med en presentation av affärsplanen. 197Intervjuer med styrelseordförande i , , , , och . 198Bolag som saknar internrevision eller motsvarande har i allmänhet lägre nettoomsättning. Merparten av bolag med internrevision har större nettoomsättning. Bolag med motsvarande funktion är främst bolag med lägre nettoomsättning. REGERINGENS HANTERING AV RISKER I STATLIGA BOLAG 4.2.5Bolagen saknar tydliga instruktioner för att rapportera förändrade risker till styrelsen Enligt utgångspunkterna kräver betydande förändringar i riskbilden eller större riskexponeringar särskild rapportering till styrelsen. Bolag arbetar under olika förutsättningar och behöver därmed anpassa sin riskhantering utifrån detta. Under genomgången av styrelsedokumentationen har det dock inte framkommit att bolagen i urvalet har tydliga instruktioner som reglerar hur betydande förändringar i riskbilden eller större riskexponeringar ska rapporteras till styrelsen. olika utsträckning, från styrelsens egna riskanalyser till ad hoc-mässiga beslutsärenden kopplade till riskanalyser. Även om genomgången av styrelsedokumentation visat att skriftliga instruktioner saknas, pekar intervjuerna med styrelseordförande på att det ändå finns rutiner i bolagen som gör att styrelserna får särskild rapportering. Flera av de styrelseordförande som har intervjuat har uttryckt att styrelsen aktivt följer vissa områden i bolagets verksamhet som kan tänkas utgöra väsentliga risker. Enligt styrelseordförande199 för två bolag har styrelsen särskild insyn i bolagens avtalssignering med samarbetspartner och övriga intressenter. Ordförandena anser att detta är viktigt eftersom långvariga avtal kan omfatta moment som utgör risker för bolaget och för ägaren. En annan intervjuad styrelseordförande har framhållit att bolagets finansiella risker hanteras på ett särskilt sätt. Styrelsens finansutskott gör en presentation av finansiella risker på varje styrelsemöte.