prop · H403189 · 2017-06-15 00:00:00 — 26Intervju nummer 28. R I K S R E V I S I O N E N I N T E R N R E V I S I O N E N V I D M Y N D I G H E T E R – E N F U N K T I O N S O M B E H Ö V E R S T Ä R K A S 2.3.2 fungerar inte enligt ESV:s riktlinjer Syftet med ett revisionsutskott är bl.a. att stärka internrevisionschefens oberoende genom att lämna synpunkter och vara ett stöd för internrevisionschefen. kan bestå av styrelseledamöter och internrevisionschefen. Enligt god sed kan även representanter från verksamheten bjudas in, men ett utskott ska också ha enskilda möten med internrevisionschefen. ESV anser att det kan det vara olämpligt att generaldirektören ingår i revisionsutskottet även om denna sitter i styrelsen.27 Två av de åtta styrelsemyndigheter som ingår i granskningen hade revisionsutskott. Ingen av de berörda internrevisionscheferna såg dock revisionsutskottet som en potentiell diskussionspart om det skulle uppstå svårigheter i arbetet.28 Ett av revisionsutskotten bestod av internrevisionschefen och två representanter från styrelsen samt biträdande generaldirektören som var adjungerad. ordförande ansåg att det var en fördel att ha med den biträdande generaldirektören för att konstellationen skulle tas mer på allvar samt för att styrelsen då också fick verksamhetens bild.29 Den andra styrelsemyndigheten hade valt att organisera sitt revisionsutskott på ett liknande sätt.30 bestod av två styrelserepresentanter, generaldirektören samt stabschefen som adjungerad.31 Enligt internrevisionschefen var det bra att stabschefen var med och gav sin bild av verksamheten.32 2.3.3 Internrevisorernas budget är tillräcklig men det finns avvikelser Enligt god sed behöver internrevisorerna ha en tillräcklig budget för att kunna bedriva sitt arbete självständigt och få kontinuerlig kompetensutveckling. För att säkerställa det organisatoriska oberoendet ska uppdragsgivaren godkänna internrevisionschefens budget.33 I de flesta fall fanns inga indikationer på att internrevisionens budget skulle vara otillräcklig eller ha minskat på ett sådant sätt att det hade påverkat internrevisionens arbete negativt. Tre av internrevisionscheferna hade dock ingen egen budget utan resurserna låg direkt under generaldirektören. Ingen av dessa internrevisionschefer uppfattade detta som problematiskt.34 27Ekonomistyrningsverket, 2015. En introduktion till den statliga internrevisionen, s. 12. 28Intervju nummer 34 och 37. 29Intervju nummer 31. 30Intervju nummer 37. 31Intervju nummer 35. 32Intervju nummer 37. 33The (2013). International Professional Practice Framework (IPPF), s. 17. 34Intervju nummer 13, 27 och 44. 22 R I K S R E V I S I O N E N E N G R A N S K N I N G S R A P P O R T F R Å N R I K S R E V I S I O N E N Det finns två myndigheter som delar internrevisionschef där budgeten hade skurits ned till mindre än hälften av den tidigare nivån. I en av dessa myndigheter minskade internrevisionens budget med . Detta berodde i hög utsträckning på att det inte fanns någon internrevisionschef under större delen av året och att ledningen inte anställde någon vikarie. Däremot fick konsulter i uppdrag att granska delar av verksamheten. I den andra av de två myndigheterna minskade internrevisionens budget med , vilket har medfört neddragningar vad gäller kompetensutveckling och konsultstöd. Detta sammanföll med att myndigheten beslutade att samordna sin internrevisionschef med en annan myndighet och dra ner tjänsten till en halvtid (se avsnitt 2.3.7). I ett annat fall där två myndigheter delar internrevisionschef har budgeten däremot växt den senaste femårsperioden. 2.3.4 Lönesamtal hålls inte alltid med uppdragsgivaren För att säkerställa det organisatoriska oberoendet ska, enligt god sed, uppdragsgivaren godkänna interrevisionschefens lön.35 Av praktiska skäl kan det dock ändå vara rimligt för styrelsemyndigheter att generaldirektören är involverad i lönesättningen, under förutsättning att internrevisionschefen har åtkomst till sin uppdragsgivare. Fallstudierna visar att formen för internrevisionschefens lönesamtal varierade mellan myndigheterna. I de fall där generaldirektören var uppdragsgivare var den också lönesättande i samtliga fall utom ett. I detta fall var det i stället stabschefen som satte lönen.36 I styrelsemyndigheterna genomfördes lönesamtalen sällan med uppdragsgivaren utom i tre fall där styrelseordföranden var inblandad i lönesättningen.37 Det vanliga för styrelsemyndigheter var i stället att generaldirektören hade lönesamtal med internrevisionschefen. I två av styrelsemyndigheterna hanterade generaldirektören ensam lönesättningen.38 I det ena fallet hade dessutom styrelseordförande inte kännedom om vem som satte lönen eller vem som förväntades göra det.39 I en tredje styrelsemyndighet behövde internrevisionschefen förhandla sin lön med tre personer – styrelseordförande, generaldirektör och revisionsutskottets 35The (2013). International Professional Practice Framework (IPPF), s. 17. 36Intervju nummer 20, 21 och 22. 37Intervju nummer 17, 24 och 37. 38Intervju nummer 12 och 16. 39Intervju nummer 14. R I K S R E V I S I O N E N I N T E R N R E V I S I O N E N V I D M Y N D I G H E T E R – E N F U N K T I O N S O M B E H Ö V E R S T Ä R K A S Det var för övrigt den enda gången styrelseordförande var i kontakt med internrevisionschefen.40 Det fanns också exempel på styrelsemyndigheter där lönesättningen var delegerad till förvaltningschefsnivå. Här avser dock styrelsen och internrevisionschefen att förtydliga hur lönesättningen ska ske framöver.41 2.3.5 Internrevisionen har i vissa fall bemannats via internrekrytering God sed påtalar att internrevisionens objektivitet bör värnas om internrevisionen ska fungera som en självständig granskare.42 Därför ska internrevisionen inte enbart bemannas med internt rekryterade personer. 43 Internrevisorer ska inte heller granska verksamhet som de har ansvarat för den närmast föregående . Skälet till detta är att internrevisionens objektivitet då kan vara begränsad.44 I två fall består internrevisionsfunktionen av en blandning av internt rekryterade personer och externt rekryterade personer med revisionserfarenhet.45 Men i tre andra fallstudier fanns exempel på funktioner där samtliga internrevisorer rekryterats internt från verksamheten – både fall med enmansrevisorer och fall där samtliga internrevisorer i en större internrevisionsgrupp var internrekryterade.46 I ett fall beslutade den dåvarande generaldirektören att anställa den internt tillförordnade internrevisionschefen. Internrevisionschefen fortsatte sedan att rekrytera personal från verksamheten, trots att både internrevisionschefen och medarbetarna har begränsad erfarenhet av revisionsarbete.47 Denna internrevisionschef anser att internrevisionen är ett alternativ för medarbetare som riskerar att bli av med sina arbetsuppgifter.48 Det finns även ett exempel där man hade haft en externt rekryterad enmansrevisor som internrevisionschef 2014–2015 men därefter valde att tillsätta den dåvarande ekonomichefen som tillförordnad internrevisionschef. Förordnandet blev sedan förlängt till ett chefsförordnande som löper fram till slutet av 2017.49 I ett annat exempel från en styrelsemyndighet rekryterades en person från verksamheten som internrevisionschef på deltid. 40Intervju nummer 37. 41Intervju nummer 7 och 10. 42The (2013). International Professional Practice Framework (IPPF), s. 9. 43Ekonomistyrningsverket, 2015. En introduktion till den statliga internrevisionen, s. 31. 44Ekonomistyrningsverket, Myndighetsledningens och internrevisionens ansvar. 45Intervju nummer 3 och 34. 46Intervju nummer 6, 9, och 40. 47Intervju nummer 5. 48Intervju nummer 6. 24 R I K S R E V I S I O N E N E N G R A N S K N I N G S R A P P O R T F R Å N R I K S R E V I S I O N E N konsulter för att göra själva granskningsarbetet. När interrevisionschefen gick i pension påbörjades dock ett förändringsarbete med en nyrekryterad internrevisionschef på heltidstjänst.50 2.3.6 Vissa enmansrevisorer samverkar inte ESV anser att det är särskilt angeläget att ha en samverkanspartner när internrevisionsfunktionen består av en enmansrevisor. Enligt ESV:s riktlinjer kan en internrevisor samverka med andra myndigheters internrevisorer. Sådan samverkan bör omfatta att internrevisionen gör granskningar på varandras myndigheter. Enligt ESV anses det kompetensutvecklande och ger en enmansrevisor tillfälle att kvalitetssäkra sina granskningar samt diskutera frågor närmare med en kollega.51 Under granskningsprocessen saknar många enmansrevisorer möjlighet till professionell diskussion utöver de nätverk som internrevisorerna är aktiva i (se bilaga 1). Det innebär bl.a. att internrevisorn inte har någon oberoende intern part som kan kvalitetssäkra granskningarna. En del har löst detta genom att ingå samverkansavtal med andra internrevisorer vilket framgår av riktlinjerna för internrevisionen. Det anses som värdefullt för arbetet och gör funktionen mindre sårbar för personalförändringar.52 Tre enmansrevisorer har inte ingått i något samverkansavtal med andra internrevisorer. Två av dessa uppgav att de utöver kontakt med nätverk främst vände sig till linjechefer för att diskutera granskningsrelaterade frågor.53 2.3.7 Delad internrevision kan urholka förutsättningar En myndighet får samordna (dela) sin internrevision med annan myndighet enligt 8 § internrevisionsförordningen. Med sådan samordning av internrevisionsfunktioner menas att internrevisionschefen är anställd på deltid vid två internrevisionsmyndigheter. Samordning bör inte leda till resursbrist och omställningstid för internrevisionschefen.54 Bland fallstudierna finns det två exempel på en internrevisionschef som delar på sin heltidstjänst mellan två myndigheter. I dessa fall har en heltidstjänst omvandlats till en deltidsanställning. Internrevisionschefen är anställd till vid den ena myndigheten för att sedan vara partiellt tjänstledig för en visstidsanställning vid den andra myndigheten. I det ena fallet ville båda myndigheterna ha mer internrevision än den överenskomna organisatoriska lösningen tillät. Den ena av dessa 50Intervju nummer 7. 51Ekonomistyrningsverket, 2014. Handledning Statlig internrevision för myndighetsledningar, s. 26. 52Intervju nummer 16, 23 och 27. 53Intervju nummer 13 och 22. 54Ekonomistyrningsverket, 2014. Handledning Statlig internrevision för myndighetsledningar, s. 26. R I K S R E V I S I O N E N I N T E R N R E V I S I O N E N V I D M Y N D I G H E T E R – E N F U N K T I O N S O M B E H Ö V E R S T Ä R K A S myndigheter hade fått nöja sig eftersom den andra myndigheten tillfälligt ville ha tillgång till mer än en halvtid.55 Internrevisionschefen anser inte att det är några problem med att dela sin tjänst men påtalar att det försvinner operativ tid när man är anställd vid två myndigheter på grund av närvaro vid myndighetsdagar och liknande; sådan närvaro är nödvändig för arbetet och informationsflödet men den tar tid i anspråk. Internrevisionschefen har även använt konsulter, bl.a. för att tiden inte alltid räckt till.56 I det andra fallet omvandlades internrevisionstjänsten på stabschefens initiativ till en halvtid på den enrådighetsmyndighet som internrevisionschefen administrativt tillhörde. Den ekonomiska kostnaden för internrevisionen har inte ansetts vara ett skäl för att dela internrevisor.57 Den tidigare internrevisionschefen hade tidigare rekryterats till staben. Den nyrekryterade internrevisionschefen var ny i sin roll och saknade tidigare erfarenhet av statlig verksamhet.58 Styrelseordförande i den andra myndigheten har inget emot en internrevisionschef på halvtid, men både styrelseordförande och generaldirektör anser att det är svårt för internrevisionschefen att arbeta på två myndigheter med så olika verksamhet.59 Myndigheten har i stället en konsultbudget för att täcka upp behovet av internrevisionsinsatser.60 Enligt företrädare för finns det risker med att myndigheter delar på internrevisionsfunktionen, särskilt om funktionen består av en ensam internrevisionschef. Ett personalbyte drabbar då två myndigheter. Vidare framhölls att det är önskvärt att kunskapen om den verksamhet som revideras stannar i myndigheten och därför bör inte konsulter prioriteras framför egen internrevision.61 2.4 Det finns brister i granskningsprocessen I de flesta fall svarade granskningsprocessen mot internrevisionsförordningen och god sed men i fyra av fallen saknades internrevisionens självständiga riskanalys. Om riskanalysen saknas eller är bristfällig påverkar det i stor utsträckning övriga delar av revisionsprocessen. 55Intervju nummer 26. 56Intervju nummer 27. 57Intervju nummer 21. 58Intervju nummer 21 och 23. 59Intervju nummer 24 och 25. 60Intervju nummer 25. 61Intervju vid , . 26 R I K S R E V I S I O N E N E N G R A N S K N I N G S R A P P O R T F R Å N R I K S R E V I S I O N E N 2.4.1 Vissa internrevisionschefer har inte gjort riskanalys Enligt 4 § internrevisionsförordningen ska internrevisionen självständigt granska intern styrning och kontroll samt utgå från en riskanalys som är väsentlig för myndighetens specifika verksamhet. Enligt ESV ska riskanalysen vara internrevisionens egen bedömning av risker och risknivåer men den ska, så långt möjligt, utgå från myndighetens riskanalys där myndighetens identifiering, värdering och hantering av risk framgår.62 På fyra myndigheter har inte internrevisionen gjort en dokumenterad riskanalys i form av en självständig bedömning av myndighetens riskanalys. Internrevisionen på en av styrelsemyndigheterna kunde inte presentera någon riskanalys för vare sig 2014 eller 2015. Det fanns inte heller någon synbar koppling mellan myndighetens riskanalys –2015 och internrevisionens granskningsplaner . Myndigheten presenterade också resultatet av en genomförd granskning av regelverket i en kort promemoria i stället för i granskningsplanen, och enligt internrevisionen var granskningen ett pågående bevakningsuppdrag – inte ett traditionellt revisionsuppdrag. Denna information framgick dock inte av revisionsplanen, där granskningen presenteras som ett vanligt granskningsområde för internrevisionen. Vid den andra styrelsemyndigheten kunde inte internrevisionen presentera någon riskanalys . Av revisionsplanen framgick dock hur internrevisionen hade kommit fram till granskningsområdena, och internrevisionens prioriteringar sammanföll huvudsakligen med myndighetsledningens riskprioritering. togs en riskanalys fram av den nytillträdda internrevisionschefen. Där framgick internrevisionens riskbedömning av området men inte hur riskvärderingen skulle tolkas eller vad den innebar. Styrelseordföranden vid myndigheten har uttryckt att styrelsen inte är fokuserad på risker utan att den fokuserar på frågor som rör myndighetens kärnverksamhet, och har inte internrevisionen presenterat någon tydlig riskanalys för styrelsen. Styrelsen har i stället haft en pågående diskussion om risker i verksamheten.63 I en tredje styrelsemyndigheten uppger generaldirektören att internrevisionen inte gör en självständig dokumenterad riskanalys.64 Men internrevisionschefen framhåller att riskanalysen dokumenteras underhand, och i detta arbete är generaldirektörens uppfattning den viktigaste källan för internrevisorn.65 Det fanns också riskanalyser i andra myndigheter som var bristfälliga. I en enrådighetsmyndighet har internrevisionen dokumenterat självständiga riskanalyser för de undersökta åren men de omnämnda riskerna var identiska med riskanalysen från 62Ekonomistyrningsverket, 2015. En introduktion till den statliga internrevisionen. 63Intervju nummer 7. 64Intervju nummer 29. 65Intervju nummer 27. R I K S R E V I S I O N E N I N T E R N R E V I S I O N E N V I D M Y N D I G H E T E R – E N F U N K T I O N S O M B E H Ö V E R S T Ä R K A S 2014–2015 vilket inte hade motiverats. I en annan enrådighetsmyndighet saknade internrevisionen en självständig riskanalys . I stället fanns endast ett sporadiskt underlag i form av handskrivna dokument, intervjuanteckningar och liknande, vilket gjorde det svårt att se någon röd tråd i arbetet med riskanalysen. Av dokumentanalysen framgår att enbart två myndigheter hade en bruttolista över identifierade risker. I dessa fall hade de identifierade riskerna värderats och prioriterats, vilket utmynnade i en nettorisklista. När en bruttolista saknas är det svårt att bedöma om riskerna är relevanta, eftersom det inte går att följa det urval av risker som mynnar ut i revisionsplanen. Det är även svårt att bedöma om riskanalysen har ett riskbaserat angreppssätt och om myndighetens internrevision har fångat samtliga risker. Detta kan försvåra dialogen med uppdragsgivaren om värderingen och prioriteringen av riskerna. I de myndigheter som hade en riskanalys var denna ofta tydligt kopplad till granskningsplanen. Planerna är oftast detaljerade med angivelse av granskningsområde, tidsåtgång, ansvarig person och när i tiden granskningen ska genomföras. 2.4.2 Rekommendationer och åtgärder fungerar överlag Av 3 § och 9 § internrevisionsförordningen framgår att internrevisionen ska lämna iakttagelser och rekommendationer till uppdragsgivaren för att stärka myndighetens process för intern styrning och kontroll. Internrevisionen ska enligt god sed regelbundet avrapportera genomförda granskningar med rekommendationer till styrelsen eller generaldirektören. Det ska finnas en tydlig åtgärdsplan från ledningen och ledningen ska i sin tur säkerställa att beslutade åtgärder blir genomförda.66 Enligt god sed ska internrevisionschefen antingen upprätta en uppföljningsprocess för att övervaka att ledningen implementerar åtgärder på ett effektivt sätt, eller dokumentera att ledningen accepterat risken för att åtgärden inte vidtas.67 Av dokumentanalysen och fallstudierna framgår att samtliga myndigheter hade en process för att ta hand om internrevisionens rekommendationer. Dokumentanalysen visar också att det fanns ett uttalat ansvar för att följa upp att rekommendationerna implementeras. Av dokumentanalysen framgår att internrevisionens rekommendationer utgick från granskningens iakttagelser men de var inte alltid graderade eller värderade. I dessa fall var det svårt att bedöma hur väsentlig iakttagelsen var, och i förlängningen hur väsentlig rekommendationen var för verksamheten. I en myndighet framgick att internrevisionen bedömde vilka av rekommendationerna som var av särskild vikt att hantera. 66The (2013). International Professional Practice Framework (IPPF), s. 31. 67Ekonomistyrningsverket, 2015. En introduktion till den statliga internrevisionen, s. 44. 28 R I K S R E V I S I O N E N E N G R A N S K N I N G S R A P P O R T F R Å N R I K S R E V I S I O N E N I samtliga fall utom två fanns en beslutad åtgärdsplan. Noterbart är dock att dessa var relativt övergripande och kopplade direkt till syftet med granskningen. Åtgärderna var således inte alltid nedbrutna till respektive rekommendation. En enrådighetsmyndighet hade dock en uppföljningsplan som även visade hur åtgärden vidtagits. I en styrelsemyndighet saknades tydlighet i vad myndigheten tänkte vidta för åtgärder utifrån de granskningar som ingått i underlaget. Tidshorisonten för när åtgärden skulle vara vidtagen var inte tydligt definierad och det pekades sällan ut någon ansvarig person eller funktion för åtgärden. 2.4.3 Råd och stöd ges ibland enbart till myndighetsledningen Enligt 5 § internrevisionsförordningen ska internrevisionen ge råd och stöd till styrelsen och chefen för myndigheten. Internrevisionen stärker även intern styrning och kontroll genom att överföra kunskap till verksamheten. Enligt IIA:s definition av rådgivningstjänster utförs dessa efter godkännande av uppdragsgivaren.68 De flesta internrevisionschefer gav råd och stöd men på olika sätt. Bland de internrevisionschefer som kontinuerligt gav råd och stöd uttrycktes en medvetenhet om att uppdraget inte får tangera operativt arbete. Det ansågs viktigt att skilja på dessa uppgifter, eftersom det förekom förfrågningar från verksamheten om operativ hjälp.69 I en myndighet menade internrevisionschefen att denna alltid försökte att styra förfrågningar genom ledningen och att förfrågningarna öronmärktes i revisionsplanen för att undvika otydligheter. Sammantaget betonades vikten av att kunna sätta gränser mot övrig organisation. I andra myndigheter har råd och stöd enbart getts till myndighetsledningen. Råd och stöd till övrig verksamhet har inte fungerat bra.71 I en myndighet har man historiskt sett haft problem i samspelet mellan internrevision och myndighetsledning. Därför har internrevisionen inte gett råd och stöd, och ledningen har inte heller velat ha det.72 I de andra två myndigheterna har det handlat om en osäkerhet hos internrevisorn gällande hur råd och stöd ska ges till verksamheten när området 68Ekonomistyrningsverket, 2015. En introduktion till den statliga internrevisionen, s. 21. 69Intervju nummer 3, 16, och 27. 70Intervju nummer 16. 71Intervju nummer 6, 19, 34 och 38. 72Intervju nummer 32 och 34. R I K S R E V I S I O N E N I N T E R N R E V I S I O N E N V I D M Y N D I G H E T E R – E N F U N K T I O N S O M B E H Ö V E R S T Ä R K A S sedan ska granskas.73 I det ena fallet anser internrevisionschefen att råd och stöd inte har prioriterats eftersom resurserna inte har räckt till.74 2.4.4 Extern kvalitetssäkring sker oregelbundet Enligt god sed ska den externa kvalitetssäkringen säkerställa att ett kontinuerligt förbättringsarbete finns etablerat. En extern kvalitetssäkring bör genomföras minst vart femte år.75 För att regeringen och myndighetsledningen ska få insyn i hur internrevisionen fungerar behöver internrevisionen värderas av en extern kvalificerad oberoende aktör.76 Av fallstudierna framgår att en av myndigheterna aldrig hade genomfört någon extern kvalitetssäkring av sin interrevision, samt att tre myndigheter gjorde det mer sällan än . I fyra av de undersökta fallen användes peer review vid den externa kvalitetssäkringen. I tre av dessa fall utfördes peer review av en och samma person. I det fjärde fallet genomförde myndighetens före detta internrevisionschef kvalitetssäkringen. Av fallstudierna framgår att den externa kvalitetssäkringen i flera fall var avgörande för att stärka det organisatoriska oberoendet och genomföra förändringar i granskningsprocessen.77 Exempelvis kunde det handla om att internrevisorn skulle få genomföra egna granskningar, ha en egen budget samt löneförhandla med generaldirektör eller styrelseordförande i stället för med stabschef. Det var dock inte alltid som påtalade brister togs om hand av uppdragsgivaren, bl.a. när det gäller relationsproblem, granskningskvalitet och oberoendeproblematik. 2.5Alla internrevisorer lämnar inte en bedömning om intern styrning och kontroll Enligt 4 § internrevisionsförordningen ska internrevisionen utifrån en analys av verksamhetens risker självständigt granska om ledningens interna styrning och kontroll är utformad så att myndigheten med en rimlig säkerhet fullgör de krav som framgår av 3 § myndighetsförordningen (2007:515). Myndighetsförordningen gäller samtliga myndigheter under regeringen och påtalar ledningens skyldighet att säkerställa intern styrning och kontroll. Betydelsen av att internrevisionen uttalar sig om myndighetens interna styrning och kontroll förstärks av IIA. Enligt god sed tillför internrevisionen ett värde till organisationen när den ger en objektiv och relevant försäkran till intern styrning och kontroll.78 73Intervju nummer 6. 74Intervju nummer 19. 75The (2013). International Professional Practice Framework (IPPF), s. 24–25. 76Ekonomistyrningsverket, 2015. En introduktion till den statliga internrevisionen, s. 31. 77Intervju nummer 6, 7, 10, 16, 19, 37 och 44. 78The (2013). International Professional Practice Framework (IPPF), s. 28. 30 R I K S R E V I S I O N E N E N G R A N S K N I N G S R A P P O R T F R Å N R I K S R E V I S I O N E N