prop · H303162 · 2016-04-07 00:00:00 — De nya tillsynsbefogenheterna ska få användas endast vid tillsyn över revision av företag av allmänt intresse. Utredningens förslag: Överensstämmer huvudsakligen med regering- ens förslag. Utredningen uttrycker förutsättningen för att en platsunder- sökning ska få genomföras något annorlunda – enligt dess förslag krävs att åtgärden är nödvändig för tillsynen (se betänkandet s. 329 f.). Remissinstanserna: Remissinstanserna tillstyrker eller har ingen invändning mot förslagen. Skälen för regeringens förslag En förutsättning för att tillsynsverksamhet ska fung- era på bästa sätt är att nämnden har effektiva tillsynsbefogenheter. Lik- som andra tillsynsmyndigheter behöver kunna få till- gång till de uppgifter och handlingar som krävs för att nämnden ska kunna fatta väl underbyggda beslut. En omständighet som i detta avseen- de särskiljer revisorsområdet från andra områden är att stora delar av den information som behöver inte finns tillgänglig någon annanstans än hos revisorerna själva. Det är t.ex. inte möjligt att få till- gång till revisionsdokumentationen från det granskade företaget eller från någon utomstående källa. har inte innehållit någon reglering av vilka tillsyns- befogenheter som den behöriga myndigheten ska ha. Sådana regler införs nu i revisorsförordningen (artikel 23). Enligt dessa regler, som enbart gäller vid tillsyn över revision av företag av allmänt intresse, ska med- lemsstaterna se till att den behöriga myndigheten åtminstone har befog- enhet att •skaffa sig tillgång till uppgifter om revisionen eller andra dokument som innehas av revisorer eller revisionsbyråer, •få upplysningar om revisionen från varje person, •genomföra kontroller av revisorer eller revisionsbyråer på plats, •överlämna ärenden till åtal, och •utse sakkunniga att utföra kontroller eller utredningar. De uppräknade befogenheterna ska enligt förordningen endast få utnyttj- as i förhållande till •revisorer och revisionsbyråer som utför revision av företag av all- mänt intresse, •personer som deltar i verksamheten hos revisorer och revisions- byråer som utför sådan revision, •granskade företag av allmänt intresse, deras dotterföretag och när- stående tredje parter, •tredje parter till vilka revisorer och revisionsbyråer som utför revi- sion av företag av allmänt intresse delegerar uppgifter, och •andra personer som på något annat sätt har samband med revisorer och revisionsbyråer som utför revision av företag av allmänt intresse. Befogenheterna ska utövas i full överensstämmelse med nationell rätt, särskilt med principerna om respekt för privatlivet och rätten till försvar. De tillsynsbefogenheter som föreskrivs i förordningen motsvaras delvis av den hittillsvarande svenska regleringen. I det följande bedömer reger- ingen vilka tillägg och justeringar som föranleds av förordningen. Föreläggande om att lämna uppgifter Revisor, revisionsbyråer och revisorer från tredjeland är skyldiga att låta vid sin tillsyn granska akter, bokföring och övriga handlingar som hör till verksamheten och att lämna myndigheten de upp- gifter som behövs för tillsynen. Detsamma gäller vid tillsyn som Revi- 2015/16:162 sorsnämnden utför på begäran av en behörig myndighet i en annan stat (28 § revisorslagen). Vidare gäller att en revisor eller revisionsbyrå som har ett revisionsuppdrag i ett moderföretag ska låta granska dokumentation som avser sådan del av koncernrevisionen som har utförts av en revisor i ett tredjeland vars behöriga myndighet saknar samarbetsavtal med (28 a §). Dessutom ska ett företag som har en särskilt stark affärsmässig anknyt- ning till en revisionsbyrå, efter föreläggande från , lämna nämnden upplysningar om rådgivning eller annat biträde åt dem som gett revisionsbyrån eller en i byrån verksam revisor i uppdrag att utföra revisionsverksamhet (29 §). En revisionsbyrå som ingår i ett nätverk är skyldig att underrätta Revi- sorsnämnden om vilka övriga företag som ingår i nätverket (30 §). Ett föreläggande som riktar sig mot ett företag med affärsmässig anknytning till en revisionsbyrå får förenas med vite (29 §). nämndens övriga förelägganden med begäran om uppgifter får inte det. Förelägganden som riktar sig mot revisorer eller revisionsbyråer sank- tioneras i stället på så sätt att den som inte följer föreläggandet kan drabbas av disciplinära åtgärder (32–35 §§). Revisorsförordningens krav på att tillsynsmyndigheten ska ha tillgång till och kunna få kopior av handlingar som innehas av revisorer eller revisionsbyråer och få upplysningar om revisionen från dessa uppfylls enligt regeringens bedömning av gällande regler. emellertid att tillsynsmyndigheten ska kunna begära in sådana handlingar och upplysningar även från andra personer. I personkretsen ingår, som nämns ovan, bl.a. personer som deltar i revisorns eller revisionsbyråns verksamhet, granskade företag av allmänt intresse, tredje parter till vilka revisorer och revisionsbyråer delegerar uppgifter och andra personer som på något annat sätt har samband med revisorer och revisionsbyråer. Regeringen delar utredningens bedömning att förordningen kräver att möjlighet att förelägga om uppgifter utvidgas till att omfatta även dessa personer. Som utredningen anför bör den utvidgade skyldigheten att lämna upp- gifter, i enlighet med förordningens minimikrav, enbart omfatta uppgifter om revision som avser företag av allmänt intresse. Ett föreläggande bör kunna förenas med vite. sig till en person som står under tillsyn är det dock typiskt sett lämpligare för nämnden att använda sig av disciplinära åtgär- der om föreläggandet inte besvaras. Förfarandet hos är inte straffrättsligt (se avsnitt Det är dessutom fristående från de brottsutredande myndigheternas Varken förbudet mot dubbelbestraffning i det sjunde till- läggsprotokollet till den europeiska konventionen angående skydd för de mänskliga rättigheterna och de grundläggande friheterna (Europakonven- tionen) eller konventionens förbud mot att tvinga någon att lämna själv- belastande uppgifter hindrar därför att använder sig av vitesföreläggande (se t.ex. avgöranden mot Det kan påpekas att skyldigheten att lämna uppgifter inte gäller för en person som skulle bryta mot en lagreglerad tystnadsplikt om han eller hon besvarar föreläggande. Detta kan t.ex. aktualiser- as för en advokat som har anlitats av revisorn för att utföra en uppgift med anknytning till revisionen (jfr 8 kap. 4 § ). Revisorsförordningen kräver att tillsynsmyndighetens befogenheter omfattar rätten att bereda sig tillträde till de lokaler som används av revi- sorer och revisionsbyråer (artikel 23.3 första stycket c, se också skäl 22 i förordningen). En möjlighet för att genomföra plats- undersökningar hos revisorer och revisionsbyråer måste således införas i revisorslagen. Det är ovanligt att revisorer eller revisionsbyråer inte medverkar lojalt i nämndens utredningar och kvalitetskontroller. Och den revisor som inte följer ett föreläggande om att lämna upplysningar eller handlingar till nämnden riskerar att drabbas av disciplinära åtgärder – i förlängningen kan auktorisationen eller registreringen upphävas. Mot denna bakgrund är det svårt att se att det mer än sällan kan finnas skäl för att med tvång bereda sig tillträde hos en revisor för att skaffa sig upplysningar. Ett exempel på en situation där en möjlighet att utföra en platsundersökning skulle kunna vara till nytta är om nämnden vill granska en revisors eller revisionsbyrås arbetsrutiner eller datasystem. En sådan granskning kan vara lättare att utföra på plats. Regleringen av möjligheten att genomföra platsundersökningar kan, som utredningen föreslår, utformas med förebild i de motsvarande regler- na i den finansiella lagstiftningen (se 13 kap. 4 § lagen om bank- och finansieringsrörelse, 23 kap. 4 § lagen om värdepappersmarknaden och 6 kap. 8 § lagen [2014:968] om särskild tillsyn över kreditinstitut och värdepappersbolag). bör alltså ges möjlighet att i sin tillsynsverksamhet göra undersökningar på plats hos revisorer och revisionsbyråer. Som utredningen konstaterar är en sådan undersökning en ingripande åtgärd. Den bör därför bara kunna användas inom ramen för tillsyn över den del av revisorns eller revisionsbyråns verksamhet som avser revision av före- tag av allmänt intresse. För att tydliggöra att åtgärden kan genomföras även om det inte finns en konkret misstanke om att revisorn har gjort sig skyldig till en regelöverträdelse bör det emellertid inte ställas upp ett krav på att platsundersökningen ska vara nödvändig för tillsynen. I stället bör som en allmän begränsning gälla att åtgärden bara får användas om det finns skäl för det (jfr prop. 2015/16:10 s. 199). I detta ligger att en platsundersökning bara kan genomföras om andra, mindre ingripande, sätt att uppnå det eftersträvade resultatet har misslyckats eller bedömts otillräckliga. Tillämpningsområdet för åtgärden blir därmed smalt. En särskild fråga är vilka lokaler som en platsundersökning kan omfatta. I likhet med vad som gäller enligt bl.a. lagen om värdepappers- marknaden bör en platsundersökning inte kunna genomföras i en revisors eller någon annans privatbostad (se prop. 2006/07:115 s. 630). Det bör inte heller vara möjligt att utföra en platsundersökning i en lokal som revisorn har tillgång till hos det granskade företaget, om inte företaget samtycker till att undersökningen genomförs. 2015/16:162 Åtalsanmälan Revisorsförordningen slår också fast att tillsynsmyndigheten ska ha befogenhet att överlämna ärenden till åtal (artikel 23.3 första stycket d). är det en särskilt viktig uppgift att ingripa mot revisorer som medverkar till eller underlättar för ekonomisk brottslighet (se 1 § förordningen med instruktion för ). Nämnden har emellertid inte någon författningsreglerad skyldighet att anmäla miss- tänkt brottslighet till åklagare. kan inte heller anses kräva att en sådan skyldighet införs. Även utan en sådan skyldighet är det, som utredningen konstaterar, i allmänhet möjligt för att överlämna ett ärende till åtal, om nämnden bedömer att ett brott har begåtts. Regeringen instämmer därför i utredningens bedömning att svensk rätt uppfyller förordningens krav på att tillsynsmyndigheten ska kunna överlämna ärenden till åtal. Regeringens förslag: Revisionsbyråer ska ha ändamålsenliga interna rutiner för anställda som vill göra anmälningar om misstänkta över- trädelser av de bestämmelser som gäller för byråns verksamhet. Sekretess ska gälla hos i en anmälan eller en utsaga om överträdelse, om uppgiften kan avslöja anmälarens identitet och det inte står klart att uppgiften kan röjas utan att anmäl- aren eller någon närstående till honom eller henne lider skada eller men. För uppgift i en allmän handling ska sekretessen gälla i högst . Regeringens bedömning: Revisorsdirektivets bestämmelser om att ska inrätta ett särskilt förfarande för att ta emot och följa upp anmälningar om överträdelser av vad som gäller för revisor- er och registrerade revisionsbolag bör genomföras på förordnings- nivå. Svensk rätt är i övrigt förenlig med direktivets bestämmelser om rapportering av överträdelser. Den tystnadsplikt som följer av sekretessbestämmelsen bör inte ha företräde framför meddelarfriheten. Utredningens förslag och bedömning: Överensstämmer huvudsaklig- en med regeringens förslag och bedömning. Utredningen föreslår dock inte någon särskild sekretessbestämmelse (se betänkandet s. 357 f.). Remissinstanserna: De flesta av remissinstanserna tillstyrker förslaget och delar bedömningen eller har ingen invändning mot dem. Datainspek- tionen anmärker att om direktivet kräver att revisionsbyrån behandlar uppgifter om lagöverträdelser i större omfattning än vad som är tillåtet enligt inspektionens föreskrifter, bör detta komma till uttryck i revisors- lagen. () går det inte med säkerhet att säga att en arbetstagare som har vänt sig till en myndighet i syfte att påtala ett missförhållande har det skydd mot repressalier från arbetsgivaren som revisorsdirektivet kräver. TCO och anser vidare att sekretesskyddet hos för den som har anmält en överträdelse till nämnden bör stärkas, något Prop. 2015/16:162 som ställer sig tveksamt till. Skälen för regeringens förslag och bedömning Allmänt om rapportering av missförhållanden När missförhållanden uppstår inom en organisation finns det vanligtvis ett intresse från ledningens sida att komma till rätta med problemen. Missförhållandena kan dock vara dolda på grund av att enskilda personer inom organisationen döljer dessa. Det kan också förekomma situationer då ledningen är medveten om att det förekommer oegentligheter men av olika skäl underlåter att agera, eller aktivt mörklägger förhållandena. Så kallade visselblåsare kan därför ha en viktig betydelse för att avslöja olika former av oegentligheter i både offentlig och privat sektor. Interna rapporteringssystem kan möjliggöra för anställda att utan risk för repress- alier rapportera om allvarliga händelser. beslutade regeringen propositionen Ett särskilt skydd mot repressalier för arbetstagare som slår larm om allvarliga miss- förhållanden (prop. 2015/16:128). I propositionen föreslås att arbets- tagare och inhyrda som utsätts för en repressalie av arbetsgivaren i strid med den föreslagna lagstiftningen ska ha rätt till skadestånd. Lagändring- arna föreslås träda i kraft . Det finns dock ett skydd för anställda som rapporterar om missförhållanden och oegent- ligheter, bl.a. genom kravet på saklig grund för uppsägning i lagen (1982:80) om anställningsskydd. Alla arbetstagare har dessutom rätt att i viss utsträckning offentligt kritisera sin arbetsgivare och förhållandena på arbetsplatsen (den s.k. kritikrätten). Även rättsgrundsatsen om god sed på arbetsmarknaden, meddelarfriheten och ger ett visst skydd. () har utarbetat riktlinjer om skydd för visselblåsare som uppmuntrar företag att inom sina egna orga- nisationer inrätta interna visselblåsarsystem genom vilka deras anställda konfidentiellt kan anmäla misstänkta eller konstaterade oegentligheter på arbetsplatsen. , kommuner och landsting i har också valt att införa särskilda kommunikationskanaler för anställda som vill slå larm om missförhållanden inom företaget. I revisorsdirektivet finns bestämmelser om rapportering av överträdel- ser (artikel 30e). Direktivet reglerar både förfarandet vid Revisorsnämnd- en och hos revisionsbyråerna (de registrerade revisionsbolagen). Hur bör hantera anmälningar? ska enligt revisorsdirektivet ha effektiva processer för att ta emot rapporter om överträdelser av revisionspaketet och uppfölj- ning av dessa (artikel 30e.1 och 30e.2). ska ha motsvarande processer enligt EU-reglerna för finansmarknadsområdet. Det som föreskrivs enligt t.ex. kapitaltäck- ningsdirektivet har genomförts framför allt genom förordningen (2009:93) med instruktion för (5 b §). Där anges det att Finans- inspektionen ska ha effektiva och tillförlitliga rutiner för att uppmuntra 2015/16:162 rapportering och för att ta emot rapporter om överträdelser av bestäm- melser som gäller för verksamheten i vissa uppräknade lagar. Motsvarande föreskrifter bör införas även för . Det bör lämpligen ske i förordningen med instruktion för . Ett par remissinstanser anser att det är tveksamt om en arbetstagare som har vänt sig till en myndighet i syfte att påtala ett missförhållande har det skydd mot repressalier från arbetsgivaren som revisorsdirektivet kräver. Regeringen instämmer i att direktivet, om än inte lika tydligt som t.ex. kapitaltäckningsdirektivet, får anses ställa ett krav på medlemsstaterna att tillhandahålla ett skydd mot repressalier från arbetsgivaren (se skäl 17 i ändringsdirektivet). I likhet med utredningen anser regeringen att gällan- de rätt ger ett tillräckligt sådant skydd för arbetstagare, bl.a. genom lagen om anställningsskydd, jfr ovan. Även när det gäller rätten att yttra sig inför och i övrigt är svensk rätt förenlig med direktiv- ets bestämmelser om rapportering av överträdelser. Sekretess och skydd för personuppgifter För att anmälningar av överträdelser inte ska motverkas är det angeläget att anmälarens identitet ges ett tillfredsställande skydd. () och väcker frågan om inte sekretesskyddet hos som har anmält en över- trädelse till nämnden bör stärkas i enlighet med vad som har skett i fråga om anmälningar till (se prop. 2013/14:228 s. 254 f.). framför dock att sekretessnivån i den regleringen bör ändras från absolut sekretess till omvänd sekretess om bestämmelsen utvidgas till att även omfatta anmälningar till och att bestämmelsen då bör omfattas av meddelarskyddet. Enligt revisorsdirektivet ska det hos finnas ett skydd för personuppgifterna för både den person som rapporterar en misstänkt eller faktisk överträdelse och den person som misstänks eller påstås ha begått överträdelsen (artikel 30e.2 b). Personuppgifterna ska behandlas i överensstämmelse med principerna i dataskyddsdirektivet, som har genomförts i personuppgiftslagen (1998:204). är i sin verksamhet skyldig att följa bestämmelserna i personuppgiftslagen. Någon kompletterande lagstiftning för att uppfylla direktivets krav i denna del behövs inte. För att en anmälares identitet ska skyddas på ett effektivt sätt mot utlämnande till någon utomstående krävs emellertid även ett sekretesskydd. Revisorsdirektivet innehåller, till skill- nad från exempelvis kapitaltäckningsdirektivet, inget uttryckligt sekre- tesskrav. Det finns inte heller något sekretesskydd i offentlighets- och sekretesslagen (2009:400) som särskilt tar sikte på uppgifter hos som kan avslöja identiteten hos en person som har gjort en anmälan. Regeringen ser det som angeläget att skapa goda förutsättningar för att missförhållanden som uppmärksammas inom ramen för revisionsverk- samhet också anmäls. Som nämns ovan är sekretesskyddet för den som anmäler en faktor som kan påverka benägenheten att anmäla. bör därför gälla för en uppgift i en anmälan eller utsaga om en överträd- else, om uppgiften kan avslöja anmälarens identitet och det inte står klart att uppgiften kan röjas utan att anmälaren eller någon närstående till honom eller henne lider skada eller men. Med ett sådant skydd gäller en presumtion för sekretess. Uppgifter vars röjande inte riskerar att medföra skada eller men kan dock fortfarande lämnas ut. Det finns inte skäl att i detta fall föreslå en mer långtgående sekretess. Sekretessen bör gälla . Vid genomförandet av kapitaltäckningsdirektivet gjordes bedömningen att direktivets skydd för visselblåsare krävde att tystnadsplikten gavs företräde framför meddelarfriheten (prop. 2013/14:228 s. 258). Varje gång en ny sekretessbestämmelse införs behöver lagstiftaren överväga om den tystnadsplikt som följer av sekretessbestämmelsen bör ha före- träde framför rätten att meddela och offentliggöra uppgifter. En själv- ständig bedömning ska alltså göras av varje form av visselblåsnings- system eller andra anmälningssystem i förhållande till de intressen tyst- nadsplikten respektive meddelarfriheten är tänkta att skydda. Utgångspunkten är att stor återhållsamhet ska iakttas vid prövningen av om undantag från rätten att meddela och offentliggöra uppgifter bör göras i ett särskilt fall. Den nu föreslagna bestämmelsen har försetts med ett omvänt skaderekvisit, vilket begränsar möjligheterna att inskränka meddelarfriheten (se prop. 1979/80:2 Del A s. 111). Det finns inte heller övervägande skäl som talar för att den nya sekretessbestämmelsen bör ha företräde framför rätten att meddela och offentliggöra uppgifter. Någon inskränkning i meddelarfriheten föreslås därför inte. När det gäller uppgifter som kan avslöja identiteten på den fysiska per- son som påstås vara ansvarig för en överträdelse, finns det enligt regeringens mening inte samma intresse av att skydda uppgifterna i syfte att öka benägenheten att anmäla missförhållanden, som det finns för anmälarens identitet. I den mån en anmälan kan hänföras till ett ärende bör dock uppgifter om identiteten under vissa förutsättningar kunna skyddas med stöd av 30 kap. 17 § offentlighets- och sekretesslagen. Enligt denna bestämmelse gäller sekretess i bl.a. ett ärende om disciplin- ärt ingripande mot en auktoriserad revisor eller ett registrerat revisions- bolag för uppgift om revisorns eller revisionsbolagets ekonomiska ställ- ning eller om annans personliga eller ekonomiska förhållanden, om det kan antas att den som uppgiften rör lider skada eller men om uppgiften röjs. Detta skydd får anses vara tillräckligt. Interna rutiner hos revisionsbyråerna Revisionsbyråer ska enligt revisorsdirektivet ha lämpliga förfaranden för sina anställda så att de kan rapportera misstänkta eller faktiska överträd- elser av direktivet eller revisorsförordningen internt via en särskild kanal (artikel 30e.3). Direktivet ställer inte några krav i fråga om vilken typ av förfarande som byråerna ska tillhandahålla för anställda som vill rapport- era om överträdelser, mer än att dessa ska vara lämpliga. Sådana förfar- anden kan t.ex. bestå i en särskild e-postadress, telefontjänst eller webb- plats där uppgifter om misstänkta överträdelser samlas in och behandlas (se Datainspektionens vägledning för bolag: Ansvaret för personuppgift- er som hanteras i system för whistleblowing). Det finns emellertid inget 2015/16:162 krav på att det ska vara en datoriserad eller telebaserad rapporterings- kanal. Om användningen av ett visselblåsarsystem innebär en helt eller delvis automatiserad behandling av personuppgifter, måste systemet utformas i överensstämmelse med personuppgiftslagen. Om en anmälan däremot endast behandlas manuellt på exempelvis ett papper och uppgifterna varken ingår i eller är avsedda att ingå i en strukturerad samling av per- sonuppgifter, är personuppgiftslagen inte tillämplig (5 §, jfr prop. 1997/98:44 s. 39). Som Datainspektionen är inne på bör särskild uppmärksamhet riktas på det faktum att uppgifter som lämnas av personer som slår larm om oegentligheter typiskt sett innefattar uppgifter om olika former av lag- överträdelser. Enligt personuppgiftslagen är det förbjudet för andra än myndigheter att behandla bl.a. personuppgifter om lagöverträdelser som innefattar brott (21 §). En uppgift om att någon har eller kan ha begått något visst brott utgör en uppgift om lagöverträdelse, oavsett om det finns någon dom eller motsvarande avgörande av saken. Datainspektion- en har dock meddelat föreskrifter om undantag från förbudet. Av före- skrifterna framgår att även andra än myndigheter med vissa begräns- ningar får behandla uppgifter om olika former av lagöverträdelser i sär- skilt inrättade rapporteringskanaler. Detta får bl.a. ske om: 1.uppgifterna avser personer i nyckelpositioner eller ledande ställning inom det egna bolaget eller koncernen, och 2.det är sakligt motiverat att behandla uppgifterna i särskilt inrättade rapporteringskanaler för att utreda om personen i fråga varit delaktig i allvarliga oegentligheter som rör bokföring, intern bokföringskontroll, revision, bekämpande av mutor, brottslighet inom bank- och finansväsen eller andra allvarliga oegentligheter som rör organisationens vitala int- ressen (1 § f Datainspektionens föreskrifter [2010:1] om undantag från förbudet för andra än myndigheter att behandla personuppgifter om lagöverträdelser m.m.). Ett exempel på när en rapporteringskanal får användas är om den anmälda personen ingår i företagets ledning och de misstänkta oegentlig- heterna av det skälet annars riskerar att inte tas om hand på ett korrekt sätt. Rapporteringskanalen ska utgöra ett komplement till normal intern- förvaltning och måste vara frivilliga att använda. Om inget av undantagen från förbudet för andra än myndigheter att behandla personuppgifter om lagöverträdelser är tillämpligt, kan Data- inspektionen pröva om det finns tillräckliga skäl för att i ett enskilt fall besluta om undantag från förbudet. Datainspektionen har i den ovan nämnda vägledningen för bolag uttalat att för användningen av visselblåsarsystem måste följande krav vara uppfyllda: