prop · H30360 · 2015-12-03 00:00:00 — 183Regeringskansliet, Statens ägarpolicy och riktlinjer för företag med statligt ägande 2014. REGERINGENS HANTERING AV RISKER I STATLIGA BOLAG har för bolagets organisation och förvaltningen av dess angelägenheter. Ägarpolicyn kräver också att bolagens rapportering är transparant och att bolagen agerar föredömligt inom hållbarhetsområdet, och det förutsätter, enligt bolagsförvaltningen, att bolagen arbetar för en god riskhantering. Genom att förvaltaren för respektive bolag sitter i bolagens styrelser har bolagsförvaltningen insyn i hur styrelserna arbetar med riskhantering.184 Som konstaterat i avsnitt 3.5.1 ovan antas inte ägarpolicyn av stämman i hel- och majoritetsägda statliga bolag. Därmed är ägarpolicyn inte juridiskt bindande för bolagens styrelser. kallas policy skulle kunna uppfattas som att det är frivilligt för styrelserna att följa den. Ett exempel på att styrelser och deras ordförande ändå uppfattar ägarpolicyn som styrande är de förtydliganden kring ägarens förväntningar på bolagens arbete med hållbart företagande som har gjorts i dokumentet. Dessa förtydliganden har resulterat i att de hel- och majoritetsägda bolagen nu arbetar mer aktivt med hållbarhetsfrågor och att andra typer av riskfrågor än de finansiella därmed kommit upp på styrelsernas bord.185 Även intervjuer i granskningen med sex styrelseordförande bekräftar denna bild.186 Förtydligande av styrelsen ansvar i mall för arbetsordning Ett förtydligande av styrelsens ansvar finns i den mall för arbetsordning för styrelsen som bolagsförvaltningen tagit fram och som överlämnats till styrelserna i hel- och majoritetsägda bolag . är enligt bolagsförvaltningen ett exempel på vad en arbetsordning bör innehålla. är frivillig för styrelserna att använda. Enligt kan styrelsen i sin arbetsordning skriva in följande: Styrelsen ansvarar för bolagets riskhantering och regelefterlevnad. Detta innebär att styrelsen ska se till att risker förenade med bolagets verksamhet kontinuerligt identifieras, analyseras och på lämpligt sätt hanteras. Av de styrelseordförande som svarat på skriftliga frågor uppger knappt hälften att styrelsen använder sig av vid utformningen av arbetsordningen. Flera av styrelseordförandena i bolag som använder har uppgivit att de kommer att uppdatera sina arbetsordningar enligt mallen.187 Frågan till styrelseordförande avsåg om som helhet används och gäller således inte just den specifika formuleringen om styrelsens 184Intervju med företrädare för bolagsförvaltningen i , . 185Intervju med företrädare för bolagsförvaltningen i , . 186Intervjuer med styrelseordförande i , , , , och . 18734 av 35 svarande styrelseordförande har besvarat denna fråga. ansvar för riskhantering. Det innebär att , trots att den är frivillig för styrelserna, används av relativt många styrelser i statliga bolag. 3.5.4Styrelsernas arbete med riskhantering följs sällan upp har i granskningen frågat både företrädare för bolagsförvaltningen och styrelseordförande om det sker någon uppföljning av hur styrelserna hanterar sitt ansvar för att bolagens riskhantering fungerar väl. Företrädare för bolagsförvaltningen menar att riskhantering är styrelsernas ansvar. Vidare menar företrädarna att de genom förvaltarnas styrelseuppdrag får god insyn i bolagens riskhantering.188 Därutöver följer bolagsförvaltningen i ägardialogerna upp hur bolagen uppfyller ekonomiska mål, uppdragsmål och hållbarhetsmål. Någon ytterligare uppföljning sker därför inte. I intervjuer med styrelseordförande har dessa bekräftat att riskhantering sällan är föremål för särskilda diskussioner vid ägardialogerna.189 I sina svar på skriftliga frågor uppger av styrelseordförandena att bolagens processer för riskhantering tas upp vid ägardialogerna. Ett viktigt underlag för regeringens strategiska ställningstaganden i bolagsfrågor är uppdaterad information om väsentliga risker i bolagen och konsekvenser om riskerna realiseras. Regeringen förfogar över en uppsättning verktyg för att skaffa sig sådan information. Regeringen har också möjlighet att ställa krav på bolagens riskhantering och på att styrelserna tar sitt ansvar för att se till att bolagens riskanalyser är fullgoda. har undersökt hur regeringen använder dessa verktyg och möjligheter. Risker är inte en stående punkt vid de så kallade ägardialogerna, som är återkommande möten mellan regeringens företrädare och styrelseordförande i de statliga bolagen. Ägarsamordning, som gäller större strategiska förändringar i bolagens verksamhet, sker sällan och syftar inte till att löpande samla in information om risker i de statliga bolagen. Regeringen har inte utnyttjat möjligheten att låta bolagsstämman fatta bindande beslut om riktlinjer för bolagens riskhantering. Styrelsernas ansvar för riskhanteringen i bolagen har inte tydliggjorts i regeringens ägarstyrningsdokument. 188Intervju med företrädare för bolagsförvaltningen i , . 189Intervjuer med styrelseordförande i , , , , och . REGERINGENS HANTERING AV RISKER I STATLIGA BOLAG När de ekonomiska målen slås fast analyseras vissa risker av bolagsförvaltningen i . Nya ekonomiska mål fastställs dock oftast med mellanrum, vilket innebär att denna process inte löpande fångar upp risker i bolagen. Det är oklart i vilken utsträckning bolagsförvaltningen i uppdaterar information om risker, och konsekvenser om risker skulle realiseras, i samband med att de ekonomiska målen följs upp. Att genomföra hållbarhetsanalyser i innebär att man beaktar andra risker än de som beaktas när man fastställer ekonomiska mål. Det har dock inte framgått hur ingående analyserna av dessa risker är, om exempelvis en värdering görs av konsekvenserna om riskerna skulle realiseras. Vidare har endast fyra bolag varit föremål för hållbarhetsanalyser och det kommer därmed att ta innan samtliga hel- och majoritetsägda bolag analyserats. Bolagsgrupperna i , som har till uppgift att hantera den löpande förvaltningen av de statliga bolagen, saknar en fastlagd process eller rutin för att regelbundet samla in och uppdatera information om väsentliga risker och konsekvenser om riskerna skulle realiseras. sammanställer inte information om risker och konsekvenser om risker skulle realiseras för den samlade statliga bolagsportföljen. Investor AB:s rutiner för riskhantering är ett exempel på återkommande sammanställning av en total riskkarta för hela bolagsportföljen. Sammanställningen visar sannolikheten att riskerna inträffar samt effekten i belopp om riskerna skulle infalla. 4Hur de statliga bolagsstyrelserna hanterar risker I detta kapitel redovisas resultatet av genomgång av styrelsedokumentationen i större statliga bolag. Utgångspunkterna för genomgången framgår av avsnitt 1.4.3. Syftet med genomgången har varit att få en uppfattning om hur styrelserna i större bolag arbetar med riskhantering och att utifrån detta bedöma om det finns behov av tydligare krav från regeringen på styrelsernas riskhantering. Syftet har inte varit att bedöma hur väl styrelserna i enskilda bolag sköter sitt ansvar för riskhanteringen eller hur väl riskhanteringen på operativ nivå fungerar i enskilda statliga bolag. Genomgången har endast omfattat de delar av riskhanteringen som nått styrelsen och som dokumenterats skriftligt. Det kan därmed finnas rutiner och inslag i bolagens och styrelsernas arbete med riskhantering som inte omfattats av genomgången. 4.1Riksrevisionens genomgång av styrelsedokumentationen i tio statliga bolag har i granskningen gått igenom styrelsedokumentation i tio större hel- och majoritetsägda bolag . De tio bolagen är Akademiska Hus, , , , , , , Svevia, Systembolaget och (se även avsnitt 1.5). Genomgången av styrelsedokumentationen har utförts av PwC på uppdrag. Under granskningen har också intervjuat totalt sex styrelseordförande för större hel- eller majoritetsägda statliga bolag som nämns ovan. Syftet har varit att bland annat få en översiktlig bild av hur styrelser i statliga bolag arbetar med riskhantering och riskfrågor. Intervjuerna har kompletterats med skriftliga frågor till samtliga styrelseordförande i de 42 bolag där staten är hel- och majoritetsägare. iakttagelser nedan bygger på genomgången av styrelsedokumentation i de tio bolagen, intervjuer med styrelseordförande och skriftliga frågor till styrelseordförande. REGERINGENS HANTERING AV RISKER I STATLIGA BOLAG Genomgången grundar sig på erfarenhetsbaserade utgångspunkter har bedömt att erfarenhetsbaserade utgångspunkter för bolagsstyrelsers arbete med riskhantering är en lämplig grund för att gå igenom styrelsedokumentationen. PwC har på uppdrag tagit fram sådana utgångspunkter (se avsnitt 1.4.3).190 Enligt utgångspunkterna kännetecknas strukturerat arbete med riskhantering på styrelsenivå av en röd tråd där risker som hotar verksamhetens mål identifieras och kopplas till affärsprocesserna. Kontroller som möter de identifierade riskerna är dokumenterade, och respektive kontrolls effektivitet testas regelbundet genom självutvärderingar. Resultatet återrapporteras till ledningen och styrelsen. 4.2Dokumentationen av styrelsernas riskhantering varierar I det följande redovisar sina iakttagelser från genomgången av styrelsens arbete med riskhantering utifrån de erfarenhetsbaserade utgångspunkterna. 4.2.1Rapportering av väsentliga risker till styrelsen varierar mellan bolagen Enligt utgångspunkterna bör det finnas en etablerad och av styrelsen fastställd process för att säkerställa att väsentliga risker rapporteras till styrelsen. De sex styrelseordförande som intervjuats har framfört att särskilda händelser eller betydande beslutsfrågor som medför väsentliga risker för bolaget rapporteras till styrelsen.191 genomgång av styrelsedokumentationen i tio bolag visar att i samtliga bolag får styrelsen information från bolaget om risker. Hur processen för att rapportera väsentliga risker till styrelsen ser ut varierar dock mellan bolagen. Information om risker kan nå styrelsen via flera olika rapporteringskanaler inom bolaget. Genomgången av dokumentationen visar vidare att vd rapporterar till styrelsen om bolagets risker och riskhantering i samband med affärsplaneringen. Styrelsen får också ad hoc-mässigt underlag via ärenden som tas upp i styrelsen för beslut. Det sker ofta i utskick i form av riskkartor och riskanalyser kopplade till aktuella beslutsärenden. rapporteringskanal till styrelsen är revisionsutskotten som arbetar med bolagets internrevisor eller motsvarande och får löpande rapporter om risker som delvis 190PwC, Riskhantering på bolagsstyrningsnivå, PM . 191Intervjuer med styrelseordförande i , , , , och . presenteras för styrelsen. Riskfrågorna som behandlas i revisionsutskotten är främst kopplade till finansiella risker. Genomgången av styrelsedokumentationen visar att det är svårt att utifrån dokumentationen spåra varför specifika risker rapporteras till styrelsen. Det framgår inte om det är till följd av en formaliserad process att risken tas upp eller om styrelsen aktivt har efterfrågat underlag. I många fall framgår det inte vem som är upphovsman till dokumentation som beskriver risker eller vem som presenterar ärendet för styrelsen. Det är därmed inte transparent hur väsentliga risker ska rapporteras till styrelsen. 4.2.2Styrdokument reglerar verksamhetsansvar för riskhantering på övergripande nivå Enligt utgångspunkterna bör styrelsen reglera i styrande dokument vad som är väsentliga risker och vad styrelsen ska fatta beslut om. Exempel på styrande dokument är arbetsordning för styrelsen, vd-instruktion, delegations- och attestordning, finanspolicy och investeringspolicy. De styrelseordförande som intervjuats har framfört att de anser att styrelsen ska hålla sig på strategisk nivå när det gäller information om risker i bolaget.192 En intervjuad styrelseordförande menade att det är viktigt att styrelsen har förtroende för ledningens riskhanteringsarbete i bolaget.193 Genomgången av styrelsedokumentationen visar också att i merparten av bolagen framgår det inte av arbetsordningar och instruktioner var ansvaret för riskhantering ligger, mer än på översiktlig nivå. Vanliga skrivningar i styrdokumenten är att väsentliga händelser och risker ska rapporteras till styrelsen. Däremot beskriver inte styrdokumenten till exempel hur bolagets riskfunktion ska utformas. I vd-instruktionen finns inte någon beskrivning som visar hur vd ska rapportera uppföljning av bolagens riskexponering eller riskhantering till styrelsen. Vidare visar genomgången att endast två av tio bolag har en riskhanteringspolicy som mer utförligt beskriver organisationen kring riskhantering och hur denna ska följas upp. Dessa bolag har en högre grad av transparens i sin dokumentation vad avser hur riskhanteringsprocessen fungerar. Av svaren på skriftliga frågor till styrelseordförande i bolag framkommer delvis en annan bild av hur många bolag som har en riskhanteringspolicy. Enligt svaren har nästan två tredjedelar av bolagen en riskhanteringspolicy där även roller för bolagets riskhantering är 192Intervjuer med styrelseordförande i , , , , och . 193Intervju med styrelseordförande i . REGERINGENS HANTERING AV RISKER I STATLIGA BOLAG beskrivna, liksom rutiner för uppföljning av bolagets riskhantering. Ungefär en tredjedel av de svarande har uppgett att bolaget saknar en riskhanteringspolicy men att det finns andra policyer för riskhantering. Svaren visar att riskhanteringspolicyer ofta går under andra bolagsinterna benämningar som exempelvis riskhanteringsplan, säkerhetspolicy och riktlinjer för riskhantering.194 Sammanfattningsvis regleras ansvaret för riskhantering på övergripande nivå i styrdokumenten. 4.2.3Styrelsen fastställer sällan ramar för riskaptit och risktolerans i en policy men är aktiv i bolagets riskhantering Enligt utgångspunkterna kan styrelsen fastställa ramar för riskaptit och risktolerans i en riskpolicy. Styrelsen ska också mäta och följa upp för att säkerställa att risktagandet inte kan ge onödigt stora konsekvenser. Vid intervjuer med styrelseordförande har dessa uppgett att styrelsen ska hålla sig informerad om risker i bolaget men inte ta över det operativa arbetet från ledningen.195 I en riskpolicy kan bolagets styrelse lägga fast ramar för bolagets risktagande. Styrelsedokumentationen som har gått igenom ger inte belägg för att styrelserna skulle fastställa ramar för riskaptit och risktolerans i en riskpolicy. Dokumentationsgenomgången har dock visat att några av styrelserna är aktiva i bolagens riskarbete. I hälften av bolagen är styrelsemedlemmarna själva aktiva vad gäller identifiering av risker och uppföljning av dem. fåtal bolagsstyrelser gör även egna riskanalyser. Endast i ett fåtal bolag finns spår av styrelsens delaktighet i hela riskhanteringsprocessen som omfattar riskidentifiering, analys, rapportering, integrering av riskanalys i strategi- och affärsplanearbetet samt uppföljning. I svar på skriftliga frågor till styrelseordförande i bolag anger trettio av de trettiofem svarande att styrelsen aktivt deltar i bolagets riskidentifieringsprocess, fastställer åtgärder för att hantera risker och deltar i uppföljningen av åtgärderna.196 De styrelseordförande som intervjuats i granskningen har framfört att de anser att styrelsens arbete med 194Svar på skriftliga frågor till styrelseordförande i statliga bolag, fråga 1. 195Intervjuer med styrelseordförande i , , , , och . 196Svar på skriftliga frågor till styrelseordförande i statliga bolag, fråga 4. bolagets riskhantering fungerar på ett bra sätt och att styrelsen har bra insyn i bolagets riskhanteringsarbete.197 Sammantaget ger genomgång av styrelsedokumentationen inte belägg för att styrelserna fastställer riskaptit och risktolerans, men visar att flera av styrelserna är aktiva i riskhanteringsprocessen. 4.2.4 Styrelsens uppföljning av policyefterlevnad varierar mellan bolagen Enligt utgångspunkterna bör styrelsen säkerställa att det finns en process för uppföljning av att samtliga policyer efterlevs och att uppföljningen avrapporteras till styrelsen. Av styrelsedokumentationen i de bolag som ingått i urvalet framgår inte att styrelserna har en systematisk process för att följa upp hur policyerna efterlevs. En styrelseordförande som har intervjuat framhöll att det är styrelsens uppgift att se till att system, policyer och riktlinjer finns i bolagets riskhantering. Styrelsen har ansvar för att hålla sig informerad. Ett verktyg för styrelsen är att ha en internrevision eller motsvarande funktion, som följer upp att policyer och riktlinjer efterlevs. Av skriftliga frågor till styrelseordförande i bolag har det framkommit att 15 av 35 av bolagen saknar internrevision eller motsvarande funktion (se tabell 5).198 Antal styrelseordförande som uppgett att bolaget har en internrevision eller motsvarande funktion som rapporterar direkt till styrelsen Källa: Svar på skriftliga frågor till styrelseordförande i statliga bolag, fråga 2. Ett annat verktyg är att fastställa en riskhanteringspolicy. Två av de tio bolag som ingått i urvalet har en riskhanteringspolicy, och dessa två rapporterar kontinuerligt till styrelsen. I samtliga tio bolag presenterar vd bolagets riskhanteringsprocess för styrelsen i samband med en presentation av affärsplanen. 197Intervjuer med styrelseordförande i , , , , och . 198Bolag som saknar internrevision eller motsvarande har i allmänhet lägre nettoomsättning. Merparten av bolag med internrevision har större nettoomsättning. Bolag med motsvarande funktion är främst bolag med lägre nettoomsättning. REGERINGENS HANTERING AV RISKER I STATLIGA BOLAG 4.2.5Bolagen saknar tydliga instruktioner för att rapportera förändrade risker till styrelsen Enligt utgångspunkterna kräver betydande förändringar i riskbilden eller större riskexponeringar särskild rapportering till styrelsen. Bolag arbetar under olika förutsättningar och behöver därmed anpassa sin riskhantering utifrån detta. Under genomgången av styrelsedokumentationen har det dock inte framkommit att bolagen i urvalet har tydliga instruktioner som reglerar hur betydande förändringar i riskbilden eller större riskexponeringar ska rapporteras till styrelsen. olika utsträckning, från styrelsens egna riskanalyser till ad hoc-mässiga beslutsärenden kopplade till riskanalyser. Även om genomgången av styrelsedokumentation visat att skriftliga instruktioner saknas, pekar intervjuerna med styrelseordförande på att det ändå finns rutiner i bolagen som gör att styrelserna får särskild rapportering. Flera av de styrelseordförande som har intervjuat har uttryckt att styrelsen aktivt följer vissa områden i bolagets verksamhet som kan tänkas utgöra väsentliga risker. Enligt styrelseordförande199 för två bolag har styrelsen särskild insyn i bolagens avtalssignering med samarbetspartner och övriga intressenter. Ordförandena anser att detta är viktigt eftersom långvariga avtal kan omfatta moment som utgör risker för bolaget och för ägaren. En annan intervjuad styrelseordförande har framhållit att bolagets finansiella risker hanteras på ett särskilt sätt. Styrelsens finansutskott gör en presentation av finansiella risker på varje styrelsemöte. Utöver detta har bolagets riskfunktion i uppgift att se till att väsentliga finansiella risker och övriga väsentliga risker rapporteras till styrelsen vid behov.200 Sammanfattningsvis visar genomgången att det saknas tydliga instruktioner om hur betydande förändringar i riskbilden eller större riskexponeringar ska rapporteras till styrelsen, men det förefaller ändå finnas rutiner i flera bolag som säkerställer sådan rapportering. 4.2.6 Styrelsernas roll i bolagens arbete med riskanalys varierar Enligt utgångspunkterna bör styrelsen säkerställa att verksamheten genomför en övergripande riskanalys i samband med affärs- eller Riskanalys möjliggör för styrelsen att avgöra vilka riskfrågor den behöver ta ställning till. Riskanalysen kan utgöras av en sammanslagen bild av riskanalyser inom verksamheten eller genomföras i workshopform. 199Intervju med styrelseordförande i och SJ. 200Intervju med styrelseordförande i . intervjuer med sex styrelseordförande bekräftar att styrelserna får riskanalyser från bolagens ledningar. Hur ofta riskanalyser presenteras för styrelsen varierar. Fyra bolag201 presenterar övergripande riskanalyser till styrelsen , två bolag202 gör det . Av genomgång av styrelsedokumentationen framgår det att styrelsens arbete med riskhantering och riskanalys skiljer sig åt mellan bolagen. I hälften av bolagen som ingått i urvalet arbetar styrelserna aktivt med riskanalyser integrerat i processen med att ta fram strategi och affärsplan. Några bolagsstyrelser tar aktiv del i att identifiera risker i samband med bolagets strategiarbete, och följer när bolaget tar fram sin affärsplan samt ger återkoppling på riskanalysen. Hälften av styrelserna är också involverade i så kallade riskworkshoppar. Sammantaget tyder genomgången på att styrelsernas roll i bolagens arbete med riskanalys varierar. 4.2.7Styrelserna får riskanalyser och riskkartor Enligt utgångspunkterna bör riskanalysen ge styrelsen underlag om sannolikheten för att olika risker inträffar och effekter på verksamheten om riskerna inträffar. De sex styrelseordförande som intervjuats i granskningen har framfört att styrelsen får riskanalyser av ledningen som visar hur sannolik en viss risk är och effekterna på bolaget om risken utlöses.203 genomgång av styrelsedokumentationen visar att samtliga bolagsledningar lämnar över riskkartor och riskanalyser till styrelserna för beslut. Styrelserna får också riskkartor inför flera styrelsemöten. Föredragande är olika befattningar inom bolagen. I ett fåtal bolag gör styrelsen egna riskanalyser och riskkartor. I flera bolag finns riskkartor även i affärsplanen. 4.2.8Styrelsernas uppföljning av riskhantering är inte dokumenterad på ett transparent sätt Enligt utgångspunkterna bör styrelsen säkerställa att det finns en process för att löpande följa upp bolagets riskhantering på verksamhetsnivå. Resultaten av uppföljningen ska rapporteras till styrelsen. Av intervjuer med sex styrelseordförande har det framkommit att de anser att styrelsen får bra avrapportering från ledningen om utfallet 201Intervju med styrelseordförande i , , och . 202Intervju med styrelseordförande i och . 203Intervjuer med styrelseordförande i , , , , och . REGERINGENS HANTERING AV RISKER I STATLIGA BOLAG av bolagets riskhantering. Samtliga anser sig vara nöjda med ledningens rapportering av bolagets riskhanteringsarbete.204 genomgång av styrelsedokumentationen visar dock att det i den är svårt att spåra styrelsens åtgärder och uppföljning med anledning av bolagens riskhantering. Det framgår oftast inte vilken typ av information styrelsen efterfrågar från bolaget vad gäller uppföljning av riskhantering. vissa fall framgår av styrelsedokumentationen att styrelsen haft önskemål om kompletteringar i ärenden kopplade till risk. Utifrån dokumentationen är det dock svårt att avgöra i vilken utsträckning styrelsen tar del av underlag som har att göra med riskhantering. Styrelsernas revisionsutskott arbetar aktivt med bolagens internrevisor eller motsvarande funktion och får löpande rapporter som delvis presenteras för övriga i styrelsen. Graden av återkoppling mellan revisionsutskottet och styrelsen varierar i bolagen. Bolag med en internrevisorfunktion har en mer aktiv diskussion i utskotten kring riskhantering. revisionsplan antas av styrelsen. Internrevisorns rapporter är baserade på en riskanalys. Rapporterna behandlas i revisionsutskotten och delges styrelsen i vissa fall. Dokumentationen visar att riskhanteringsfrågor oftare hamnar i revisionsutskotten än i styrelserna. En intervjuad styrelseordförande har framhållit att eftersom revisionsutskott endast bereder riskfrågor kan inte styrelsen dra sig tillbaka och sluta ta ansvar. Det är alltid hela styrelsen som är ansvarig och fattar besluten.205 Sammanfattningsvis är merparten av styrelsernas uppföljning av riskhantering inte dokumenterad på ett transparent sätt. 4.2.9 Dokumentationen av ansvarsfördelningen varierar