prop · H403189 · 2017-06-15 00:00:00 — Ett sådant krav skulle kunna tjäna som utgångspunkt för vad som kan betraktas som tillräckliga resurser för internrevisionen. •Regeringen bör överväga att förtydliga huruvida internrevisionen ska lämna en årlig bedömning av myndighetens interna styrning och kontroll till myndighetsledningen. Ett sådant förtydligande skulle klargöra internrevisionens uppdrag för såväl myndighetsledning som internrevisor samt förtydliga innehållet i god sed så att denna tillämpas likvärdigt i den statliga internrevisionen. •Regeringen bör ge i uppdrag att samordna den externa kvalitetssäkringen av myndigheternas internrevision. Vidare bör regeringen ställa krav på att extern kvalitetssäkring genomförs minst . •Ekonomistyrningsverket bör aktivt arbeta för att enmansrevisorer ska ingå samverkansavtal med andra internrevisorer för att öka enmansrevisorernas möjlighet att diskutera och kvalitetssäkra sitt revisionsarbete på ett strukturerat sätt. •Ekonomistyrningsverket bör utveckla sin återrapportering om internrevisionen till regeringen. Återrapporteringen bör inkludera uppgifter om enskilda myndigheter. R I K S R E V I S I O N E N I N T E R N R E V I S I O N E N V I D M Y N D I G H E T E R – E N F U N K T I O N S O M B E H Ö V E R S T Ä R K A S Tabell 1 Definition av hur begrepp och yrkestitlar vid myndigheter används i granskningen Internrevisorernas internationella professionsförening. Auditors (IIA) utvecklar standarder och yrkescertifieringar samt utbildar och informerar om utvecklingen av god internrevisionssed och god I företräds IIA av Internrevisorernas Med god internrevisionssed menas enligt IIA att internrevisorn utifrån yrkesmässiga revisionsmetoder har skaffat sig tillräckliga underlag för iakttagelser och rekommendationer. Med god internrevisorssed menas att internrevisorn följer de grundläggande värderingar och principer som utgår från yrkesetiska och yrkesmässiga krav. En globalt accepterad IIA-certifiering för internrevisorer och den standard som används för att visa att revisorn innehar kompetens och professionalism inom internrevisionsyrket. CIA-certifiering gäller räknat från den dag när För att behålla en CIA-certifiering ska 40 CPE-poäng (Continuing Professional Education) Den utvärdering av internrevisionsfunktionen som genomförs av kvalificerade och oberoende kollegor från andra statliga En myndighet som styrs av en generaldirektör. En myndighet som styrs av en styrelse. I rapporten inkluderar benämningen även länsöverdirektör, universitetsdirektör och kanslichef. I rapporten inkluderar benämningen även rektor och I en styrelsemyndighet är styrelsen uppdragsgivare. enrådighetsmyndigheter är generaldirektören uppdragsgivare. Internrevisionsfunktionen består av en ensam internrevisor. 10 R I K S R E V I S I O N E N E N G R A N S K N I N G S R A P P O R T F R Å N R I K S R E V I S I O N E N Internrevisionen i staten regleras i internrevisionsförordningen (2006:1228). Internrevisionens uppgift är att analysera verksamhetens risker och självständigt granska om myndighetsledningens interna styrning och kontroll är utformad så att myndigheten med rimlig säkerhet kan fullgöra det ansvar som framgår av myndighetsförordningen.1 Enligt 10 § i internrevisionsförordningen ska myndighetens ledning besluta om riktlinjer och revisionsplan för internrevisionen samt åtgärder med anledning av internrevisionens iakttagelser och rekommendationer. Myndigheter med internrevision omfattas av förordningen (2007:603) om intern styrning och kontroll, vilken kräver bl.a. att myndigheterna gör strukturerade riskanalyser och genomför kontroller och uppföljning utifrån detta. Att så sker granskas av internrevisionen. Regeringens risk- och väsentlighetskriterier avgör vilka myndigheter som ska ha internrevision (se bilaga 1). Ungefär hälften av myndigheterna med internrevision är enrådighetsmyndigheter och ungefär hälften är styrelsemyndigheter. Myndigheter som omfattas av internrevisionsförordningen ska ha en internrevisionschef. Vid några större myndigheter består internrevisionsfunktionen av fler än en heltidstjänst men i fler än hälften av fallen är internrevisionschefen den enda internrevisorn på myndigheten. 1.1 Motiv till granskning Internrevisionsförordningen gäller myndigheter med omfattande intern delegering av ansvar och befogenheter och administration av stora pengaflöden. Tillsammans omfattar internrevisionsmyndigheter av statens budget. Det är angeläget att regeringen kan förvissa sig om att myndigheternas interna styrning och kontroll fungerar väl. Den statliga internrevisionen har i detta sammanhang en central uppgift.2 Det är viktigt att internrevisionen har förutsättningar att bedriva sitt uppdrag självständigt utifrån ett organisatoriskt oberoende. finns det faktorer som försvårar för internrevisionen att bedriva självständig granskning för att stärka intern styrning och kontroll.3 Mot den bakgrunden har valt att 13 § Internrevisionsförordningen (2006:1228). 2006/07:1, s. 268. Budgetpropositionen Förslag till statsbudget , finansplan, skattefrågor och tilläggsbudget m.m. 3Se exempelvis , 2012. Om internrevision, s. 46 och , 2016. Redovisning över den statliga internrevisionen 2016, s. 8 och s. 37. R I K S R E V I S I O N E N I N T E R N R E V I S I O N E N V I D M Y N D I G H E T E R – E N F U N K T I O N S O M B E H Ö V E R S T Ä R K A S granska internrevisionens förutsättningar och i vilken utsträckning () uppdrag4 och samordning främjar internrevisionens förutsättningar att bedriva självständig granskning. 1.2 Syfte och frågeställningar Granskningens syfte är att bedöma om internrevisionen har ändamålsenliga förutsättningar att stärka myndigheternas interna styrning och kontroll. I detta ingår att analysera hur ESV hanterar sitt uppdrag om internrevision samt regeringens interna samordning. Granskningen utgår från följande frågor: 1.Är internrevisionens förutsättningar ändamålsenliga för att stärka myndigheternas interna styrning och kontroll? 2.Bedriver ESV sitt uppdrag om den statliga internrevisionen på ett ändamålsenligt sätt? 3.Är interna samordning av internrevisionen effektiv? Granskningen fokuserar på internrevisionens arbete och organisering samt ESV:s uppdrag att utveckla, förvalta och samordna internrevisionen. I granskningen ingår inte att bedöma ramverket för intern styrning och kontroll, så som Förordningen (2000:605) om årsredovisning och budgetunderlag, Myndighetsförordningen (2007:515 SFS) och Förordningen (2007:603) om intern styrning och kontroll. Den statliga internrevisionen regleras i första hand av internrevisionsförordningen (2006:1228) tillsammans med ESV:s föreskrifter och allmänna råd. Av 7 § internrevisionsförordningen framgår att internrevisionen ska bedömas enligt såväl god internrevisionssed som god internrevisorssed (hädanefter benämnda god sed). Enligt ESV:s allmänna råd gällande 7 § kan vägledning hämtas från allmänt accepterade riktlinjer för yrkesmässig internrevision, och inom den statliga internrevisionen är det allmänt accepterat att hämta stöd och söka vägledning för god sed i internationella standarder och vägledningar från () samt handledningar från ESV. har i sina bedömningsgrunder i första hand utgått från internrevisionsförordningen och god sed, vilket i första hand beskrivs i Se exempelvis Statskontoret, 2015. Myndighetsanalys av , s. 64. R I K S R E V I S I O N E N E N G R A N S K N I N G S R A P P O R T F R Å N R I K S R E V I S I O N E N Professional Practice Framework (IPPF),5 samt ESV:s handledningar för internrevisionen.6 har utifrån ovan beskrivna föreskrifter och standarder valt ut ett antal grundläggande utgångspunkter för att internrevisionen ska kunna utföra sitt uppdrag, vilket innebär att granskningen inte omfattar samtliga utgångspunkter för god sed. Exempelvis har inte granskningen fokuserat på internrevisionens interna kontinuerliga kvalitetsarbete.7 Stöd har också tagits i och (2015) som har lyft fram ett antal risker för internrevisionens oberoende och viktiga förutsättningar att utföra sitt uppdrag.8 fokus har varit att undersöka följande: •samspelet mellan internrevisor och myndighetsledning och tillgång till information •åtkomst till uppdragsgivaren, bl.a. vad gäller tid för möten och revisionsutskottets form •internrevisionens bemanning, budget och lönesättning •internrevisionens granskningsprocess och uppföljning av åtgärder •extern kvalitetssäkring av internrevisionen •internrevisionens förmåga att lämna en bedömning om myndighetens interna styrning och kontroll samt hur råd och stöd fungerar. I anslutning till iakttagelser i kapitlen 2 och 3 redovisas relevanta delar av regelverket och de bedömningsgrunder som utgår från. I kapitel 2 redovisas bedömningsgrunderna i faktarutor. Det empiriska underlaget för granskningen består i huvudsak av fallstudier vid 14 myndigheter samt dokumentstudier och intervjuer vid ESV och . 1.4.1 Fallstudier i två omgångar För att bedöma internrevisionens förutsättningar har fallstudier genomförts i två omgångar. I urvalet ingår 14 av 69 myndigheter med internrevision. Fallstudierna fokuserat främst på 2014 och 2015 men i vissa fall har det varit nödvändigt att även inkludera för att bättre förstå hur funktionen har utvecklats. 5The (2013). International Professional Practice Framework (IPPF). 6Ekonomistyrningsverket, 2015. En introduktion till den statliga internrevisionen; , 2014. Statlig internrevision för myndighetsledningar. 7Detta finns beskrivet i , 2015. En introduktion till den statliga internrevisionen, s. 27–28. 8Miller P och Rittenberg L (2015). The politics of internal auditing, s. 7. R I K S R E V I S I O N E N I N T E R N R E V I S I O N E N V I D M Y N D I G H E T E R – E N F U N K T I O N S O M B E H Ö V E R S T Ä R K A S De myndigheter som ingått i fallstudierna är av olika karaktär och har organiserat sin internrevision på olika sätt. I urvalet ingår såväl enrådighetsmyndigheter som styrelsemyndigheter med respektive utan revisionsutskott. Vidare ingår myndigheter där internrevisionen består av en eller flera internrevisorer samt myndigheter som har egen internrevisionschef respektive delar internrevisionschefens heltidstjänst med en annan myndighet. Majoriteten av internrevisionsmyndigheterna har enmansrevisorer. Därför ingår fler myndigheter med enmansrevisorer i urvalet. Hänsyn har tagits till myndigheternas geografiska spridning samt olika departementstillhörighet. Tabell 2 presenterar val av fallstudier med tillhörande bakgrundsfaktorer, där varje fall motsvarar en myndighet. D1a och D1b samt D2a och D2b är de myndigheter som har samordnat sin internrevision, dvs. de delar en internrevisionschefs heltidstjänst med en annan myndighet. Tabell 2 Val av fallstudier Myndighet* Ledningsform** revisionsutskott (1995) revisionsutskott (1995) R I K S R E V I S I O N E N E N G R A N S K N I N G S R A P P O R T F R Å N R I K S R E V I S I O N E N *) Siffran 1 innebär att myndigheten ingick i första urvalet av fallstudier och siffran 2 att myndigheten ingick i det andra urvalet. **) Årtalet inom parentes anger när internrevisionsfunktionen inrättades. Intervjuer har varit den främsta informationskällan. För att triangulera informationen från intervjuerna och komplettera den information som framkommit har följande källor använts: •senast gjorda externa kvalitetssäkring •myndigheternas enkätsvar till ESV avseende 2015. Första omgången omfattade sju fallstudier Intervjuer har genomförts med respektive internrevisionschef. I sex av de sju myndigheter som undersökts har nuvarande internrevisionschef tillträtt under eller efter den period som undersökningen omfattar. I de fall internrevisionschefen nyanställdes 2016 har även tidigare internrevisionschef inkluderats i urvalet. Intervjuer har även genomförts med myndighetsledningen, styrelseordförande eller generaldirektör samt den person i myndighetsledningen – stabschef, biträdande generaldirektör, överdirektör eller förvaltningschef – som internrevisionschefen främst har kontakt med. I första omgången genomfördes totalt 25 intervjuer. Samtliga respondenter har fått möjlighet att faktagranska minnesanteckningarna från intervjuerna. I den första omgången har respondenterna intervjuats med frågor som utgår från bedömningsgrunder. Frågorna har varit öppna, vilket har inbjudit respondenten till att utveckla sina svar. En dokumentanalys har därefter gjorts för att värdera kvaliteten av internrevisionens arbete och granskningsprocessen. (PwC), med specialistkompetens inom internrevision, har på uppdrag genomfört en dokumentanalys (se checklista i bilaga 3), där man bedömde internrevisionens arbete 2014 och 2015 vad gäller 9De närmare föreskrifter som behövs om myndighetens internrevision och om hur myndigheten försäkrar sig om att internrevisionen följer god sed. R I K S R E V I S I O N E N I N T E R N R E V I S I O N E N V I D M Y N D I G H E T E R – E N F U N K T I O N S O M B E H Ö V E R S T Ä R K A S effektivitet och relevans för den specifika verksamheten samt kvaliteten i internrevisionens arbete och granskningsprocess utifrån internrevisionsförordningen och god sed. PwC har gått igenom totalt sju myndigheter och undersökt internrevisionens riskanalys, revisionsplan, årsrapporter samt två granskningar per myndighet,10 och man har analyserat kvalitet, relevans och koppling mellan riskanalys, revisionsplan och genomförda granskningar. En bedömning har också gjorts av hur väl internrevisionen har kopplat sina rekommendationer till iakttagelserna i granskningarna. Slutligen har PwC genomfört kompletterande telefonintervjuer med respektive internrevisionschef för att få en ökad förståelse samt hantera uppkomna frågor. Samtliga myndigheter har fått möjlighet att faktagranska dokumentanalysen. Andra omgången prövade iakttagelserna De iakttagelser som gjordes i första omgången fallstudier prövades i en andra omgång. I denna grupp valdes myndigheterna ut så att de i så många avseenden som möjligt matchade myndigheterna i det första urvalet. Det innebär att de har samma organisationsform och verksamhetsområde som motsvarande myndighet i första omgången. I ett fall tillhörde myndigheterna olika departement men de hade liknande verksamhetsrisker vid hantering av stora pengaflöden och bådas verksamhet var medborgarnära. De matchande myndigheterna hade i majoriteten av fallen haft internrevisionen som myndigheterna i den första omgången. I den andra omgången genomfördes strukturerade intervjuer med internrevisionschef och styrelseordförande eller generaldirektör alternativt enbart generaldirektör; i vissa fall intervjuades även stabschef, överdirektör och avdelningschef. Totalt genomfördes 19 intervjuer i andra omgången. Samtliga respondenter fick möjlighet att faktagranska minnesanteckningarna. I den andra omgången genomfördes ingen dokumentanalys men iakttagelserna från dokumentanalysen i den första omgången stämdes av i intervjuerna. 1.4.2 Semistrukturerade intervjuer med berörda tjänstemän har också genomfört semistrukturerade intervjuer med berörda tjänstemän för att bedöma hur ESV utför sitt uppdrag samt värdera samordning av internrevisionen. har intervjuer genomförts med tre tjänstemän vid ESV som arbetar med internrevisionen. Syftet har varit att samla in information om hur ESV arbetar utifrån sitt uppdrag med att dels säkerställa att internrevisionen i myndigheterna 10I en av myndigheterna valdes inte två projekt ut eftersom PwC självt har bedrivit granskningar på myndigheten de aktuella åren. 16 R I K S R E V I S I O N E N E N G R A N S K N I N G S R A P P O R T F R Å N R I K S R E V I S I O N E N arbetar enligt internrevisionsförordningen, dels stödja internrevisionen och ESV:s kontakt med regeringen. Vidare genomfördes en intervju med de två tjänstemän vid som ansvarar för internrevisionen. Syftet var att samla in information för att bedöma hur departementet samordnar internrevisionen internt inom och hur kontakten med ESV fungerar. Även myndighetshandläggare vid de myndigheter som har ingått i urvalet har intervjuats. Dessa myndighetshandläggare är kontaktpersoner för både myndigheterna och regeringen, och syftet har varit att undersöka deras tillgång till information om internrevisionen och hur samordningen fungerar mellan handläggarna och . Sex myndighetshandläggarna för de myndigheter som ingick i den första omgången fallstudier intervjuades i mötesform. En av myndighetshandläggarna avböjde ett möte och har därför svarat via e-post. De resterande sju myndighetshandläggarna som ingick i fallstudiernas andra omgång ombads enbart att lämna skriftliga svar på intervjufrågorna via e-post. Under granskningsprocessen har anlitat två referenspersoner som läst och kommenterat rapportutkastet: •Gunilla Eklöv , ekonomie doktor och lektor vid . •Charlotta , certifierad internrevisor och vice ordförande för . är dock ensamt ansvarig för rapportens slutsatser R I K S R E V I S I O N E N I N T E R N R E V I S I O N E N V I D M Y N D I G H E T E R – E N F U N K T I O N S O M B E H Ö V E R S T Ä R K A S I detta kapitel behandlas internrevisionens förutsättningar att stärka myndigheternas interna styrning och kontroll. Förutsättningarna bedöms utifrån hur samspelet mellan internrevisor och myndighetsledning fungerar, hur internrevisionen är organiserad och hur granskningsprocessen fungerar. Kapitlet bygger på fallstudier vid 14 myndigheter samt kompletterande dokumentstudier avseende 2014 och 2015. Sammantaget varierar internrevisorernas förutsättningar mellan olika myndigheter. Bland annat finns det myndigheter där internrevisionen inte har gjort någon självständig riskanalys baserad på myndighetens riskanalys trots att detta är grundläggande för att internrevisionen fortsatta granskningsarbete ska fungera. Det finns även internrevisorer som saknar direkt åtkomst till sin uppdragsgivare dvs. aldrig träffar sin uppdragsgivare ensam. I Tabell 3 redovisas hur respektive fallstudie svarar mot granskningens första revisionsfråga om internrevisionens förutsättningar. I tabellen redovisas de aspekter som ingår i bedömningen av revisionsfrågan. Se bilaga 4 för en närmare beskrivning av hur kvalitetskriterierna har operationaliserats. Varje fallstudie värderas i tabellen och kriterierna presenteras enligt följande: •gul = finns brister •röd = inte ändamålsenligt. Samtliga problem som iakttogs i omgång ett återfanns också i omgång två. I några fall hittades problem i hälften eller fler av de 14 undersökta fallen. Det indikerar att dessa problem är relativt utbredda i en större krets av myndigheter. I den andra omgången har dock varken riskanalys, granskning och rekommendationer eller åtgärder bedömts i en dokumentanalys. I stället har dessa områden bedömts utifrån hur respektive respondent beskriver dem i de genomförda intervjuerna. 18 R I K S R E V I S I O N E N E N G R A N S K N I N G S R A P P O R T F R Å N R I K S R E V I S I O N E N Tabell 3 Internrevisionens förutsättningar att stärka intern styrning och kontroll, sammanställning av fallstudierna och 2015 Ingår inte i urvalet R I K S R E V I S I O N E N I N T E R N R E V I S I O N E N V I D M Y N D I G H E T E R – E N F U N K T I O N S O M B E H Ö V E R S T Ä R K A S 2.2 Samspelet fungerar inte alltid 11 § Internrevisionsförordningen och god sed påtalar att internrevisionen måste ha tillgång till uppgifter och information för att kunna lösa sitt uppdrag. 11 anser därför att det är viktigt att myndighetsledningen förstår och kommunicerar internrevisionens roll och uppgifter till verksamheten. Enligt ESV är förtroende mellan internrevisionen och myndighetsledningen en förutsättning för att internrevisionens arbete ska kunna fungera väl.12 Ett fungerande arbete baseras också på en ömsesidig respekt för den professionella integriteten. Professionell integritet handlar om att stå för sin åsikt men också om att kunna diskutera och omvärdera denna.13 Några av fallstudierna visar att samspelet mellan internrevisionen, uppdragsgivare och övrig verksamhet inte fungerade. Problem med samarbetet beskrevs även i några myndigheters externa kvalitetssäkring. Problemen såg dock olika ut. I vissa fall fanns det problem i relationen mellan internrevisionschef och myndighetsledning/övrig organisation. 14 I ett av fallen upplevdes att internrevisionschefen övervakade verksamheten, vilket försvårade relationerna.15 En konsekvens av problem i samspelet är att internrevisionschefer kan hamna utanför informationsflödet och därmed få svårare att få tag på relevant information.16 I en av de studerade myndigheterna beskrevs situationen i den externa kvalitetssäkringen som att internrevisionen hade svårt att få information, eftersom funktionen inte var en del av den verkställande ledningen. Enligt styrelseordföranden handlade det emellertid om ett enstaka tillfälle.17 Vid ett annat tillfälle hade generaldirektören enligt interrevisionschefen motsatt sig att internrevisionschefen anställde en vikarie för en tjänstledig medarbetare. Det resulterade i en konflikt mellan internrevisionschefen och generaldirektören, vilken sedermera löstes med fackligt stöd.18 Bland fallstudierna finns också exempel på en myndighet där brister i samspelet hade lett till ett dåligt arbetsklimat och en ökad sjukfrånvaro för internrevisionen. Detta påverkade i sin tur revisionsarbetet som inte bedrevs enligt god sed. var därtill missnöjd med internrevisionens granskningar,19 och både internrevision och ledning fick kritik i den externa kvalitetssäkringen. 11The (2013). International Professional Practice Framework (IPPF), s. 19. 12Ekonomistyrningsverket, 2014. Statlig internrevision för myndighetsledningar, s. 15 och 19. 13Artikel på Statens medicinsk etiska råds webbplats, hämtad : Integritet. 14Intervju nummer 19, 30, 32, 38 och 39. 15Intervju nummer 38. 16Intervju nummer 19, 34 och 37. 17Intervju nummer 17. 18Intervju nummer 19. 19Intervju nummer 31, 33 och 34. 20 R I K S R E V I S I O N E N E N G R A N S K N I N G S R A P P O R T F R Å N R I K S R E V I S I O N E N för internrevisionen har dock gradvis förbättrats . Myndigheten har anställt en ny internrevisionschef och vidtagit åtgärder för att höja revisionsarbetets status internt.20 2.3 Det finns brister i internrevisionens organisering Fallstudierna visar att det fanns flera brister i hur internrevisionsfunktioner hade organiserats. 2.3.1 Internrevisionschefen saknar ofta åtkomst till uppdragsgivaren I god sed framhålls vikten av att internrevisionschefen har åtkomst till sin uppdragsgivare. Detta är viktigt för internrevisorns objektivitet och för att arbetet ska kunna bedrivas effektivt.21 I fallstudierna var det enbart vid tre av åtta styrelsemyndigheterna som internrevisionschefen hade möjlighet att träffa sin styrelseordförande ensam.22 Vid fyra styrelsemyndigheter träffade däremot internrevisionschefen inte styrelseordförande ensam.23 I tre av dessa ansåg ordföranden att det inte var nödvändigt att ha någon kontakt med internrevisionschefen. Styrelseordförandens inställning bekräftades även av myndigheternas generaldirektörer samt av de externa kvalitetssäkringarna.24 Enligt internrevisionschefen i en av de tre styrelsemyndigheterna fanns inget större behov av kontakt med styrelseordföranden eftersom relationen med generaldirektören fungerade så väl.25 Denna uppfattning delades av styrelseordföranden som också uppgav att det aldrig skulle vara aktuellt för denna att kringgå generaldirektören i frågor som rör internrevisionen.26 Fallstudierna visar också att det i styrelsemyndigheterna uppfattas som naturligare för internrevisionschefen att diskutera problem med generaldirektören i stället för med styrelseordföranden. Generaldirektören var också den person som styrelseordföranden främst uppgav att denna skulle diskutera eventuella problem i internrevisionen med. 20Intervju nummer 34. 21The (2013). International Professional Practice Framework (IPPF), s. 16. 22Intervju nummer 7, 17, 19, 22, 24 och 25. 23Intervju nummer 13, 16, 27 och 37. 24Intervju nummer 12, 13, 27, 28, 36 och 37. 25Intervju nummer 27.