Ettersom vurderingen skal gjøres etter fastsatte vurderingskriterier og foretas minimum hvert fjerde år (så lenge man ikke har etablert internrevisjon), er det viktig å dokumentere de vurderingene som gjøres. Veiledningen kan også danne grunnlag for det videre forbedringsarbeidet knyttet til styring og kontroll.

Innhold

Veiledningen består av en fremgangsmåte i fem steg som munner ut i en totalvurdering og en konklusjon av hvorvidt internrevisjon skal etableres.

Framgangsmåten¹ er skjematisk fremstilt i tabellen under. 

Formålet med steg 1 er å identifisere behov og utfordringer knyttet til styring og kontroll. Vi har en sjekkliste til hjelp i denne vurderingen. Sjekklisten har to hovedspørsmål med flere underspørsmål som gir eksempler på forhold som er relevante å vurdere, jf. rundskriv R-117 kapittel 4.

I steg 2, 3 og 4 gir vi veiledning i å vurdere om internrevisjon er et hensiktsmessig tiltak. Vi gir eksempler på mulige alternativer til å etablere internrevisjon. Hvorvidt internrevisjon er et hensiktsmessig tiltak, må sees i sammenheng med hva virksomheten, og særlig virksomhetslederen, identifiserer av behov og utfordringer utledet av steg 1.

Videre i veiledningen går vi gjennom relevante nytte- og kostnadsvirkninger og usikkerhetsfaktorer ved etablering av en internrevisjon.

I steg 5 skal virksomheten, basert på vurderinger fra steg 1–4, foreta en totalvurdering og konkludere om virksomheten skal etablere en internrevisjon etter kravene i rundskriv R-117. Den utfylte sjekklisten og totalvurderingen kan brukes som dokumentasjon på virksomhetens vurderinger.

¹ Fremgangsmåten baserer seg delvis på logikken i en forenklet analyse, jf. veileder i samfunnsøkonomiske analyser, kap. 2.2 Forenklet analyse.

Steg 1: Beskrive behov og utfordringer

Økonomiregelverket stiller krav om at alle statlige virksomheter skal ha god styring og kontroll. God styring og kontroll vil bidra til at statlige virksomheter utfører oppgavene sine i tråd med de fire grunnleggende forvaltningsverdiene demokrati, rettssikkerhet, faglig integritet og effektivitet, slik at samfunnsoppdraget blir utført på en god måte. Statlige virksomheter har svært ulik egenart, og derfor vil organiseringen og ressursbruken som må til for å oppnå god styring og kontroll, være forskjellig.

For å ta stilling til om internrevisjon er riktig tiltak, bør virksomhetslederen være seg bevisst sine egne og virksomhetens behov og utfordringer når det gjelder styring og kontroll. Til hjelp i denne bevisstgjøringen, og som dokumentasjonsverktøy i vurderingen, har vi utviklet en sjekkliste.

Åpne sjekklisten med brukerveiledning.

To hovedspørsmål

Sjekklisten består av to hovedspørsmål med en rekke tilhørende underspørsmål.

Hovedspørsmål 1 knytter seg til de mer eller mindre objektive kriteriene størrelse, kompleksitet, risiko og vesentlighet. Behovet for en internrevisjon er normalt større jo større og mer kompleks, risikoutsatt og vesentlig virksomheten er, fordi kravene og utfordringene knyttet til styring og kontroll da er betydelig høyere. Uavhengige og objektive bekreftelser og råd fra internrevisjonen vil være nyttige for virksomhetslederen i slike virksomheter. Virksomhetens størrelse vil også kunne forsvare kostnaden med å opprette en slik funksjon. Dersom virksomheten i stor grad har svart «høy» og «svært høy» på spørsmål knyttet størrelse, kompleksitet, risiko og vesentlighet, peker det i retning av at internrevisjon er et aktuelt tiltak.

Det er ingen entydig sammenheng mellom en virksomhets behov for internrevisjon og modenheten og kvaliteten på styring og kontroll. Det kan være nyttig å se svarene fra de mer objektive kriteriene i hovedspørsmål 1 i sammenheng med status på styring og kontroll. Dette for å få et bedre og mer sammensatt bilde av hvilke reelle behov og utfordringer virksomhetslederen har og om internrevisjon således er et nyttig tiltak.

For de fleste virksomheter vil sjekklisten gi støtte og en hjelp på veien for å vurdere behovet for internrevisjon, men vil trolig ikke gi virksomheten et entydig svar.

Steg 2: Identifisere relevante tiltak

Internrevisjon er et mulig tiltak for å styrke styring og kontroll. Samtidig er det viktig å være kjent med at det eksisterer alternativ til å etablere internrevisjon som kan tenkes å dekke virksomhetens behov på kort eller lengre sikt.

Under drøftes eksempler på ulike type tiltak for å bedre styring og kontroll. Tiltakene er ikke nødvendigvis sammenlignbare med tiltaket internrevisjon, men tiltakene skal gjenspeile de behov og utfordringer virksomheten har identifisert, eksempelvis ved bruk av sjekklisten i steg 1.

Kjøpe inn objektive og uavhengige revisjoner

En internrevisjon etter kravene i kapittel 5 i rundskriv R-117, skal ha hele virksomheten som sitt virkeområde. Men en virksomhet kan tenkes å ha kjente svakheter bare på avgrensede enkeltområder. Da kan det beste være å kjøpe inn objektive og uavhengige revisjoner, gjennomganger, evalueringer, granskninger eller rådgivning på disse enkeltområdene løpende eller på ad-hoc basis. 

For eksempel kan en virksomhet med særlig høy risiko knyttet til IKT-systemene inngå en rammeavtale om kjøp av uavhengig og objektiv bekreftelse knyttet til disse systemene. Tjenesten kan være relativt sammenlignbar med tjenestene en internrevisjon kan levere på dette spesifikke området.

Forbedringer i første- og andrelinjen

Andre tiltak for styrket styring og kontroll, for eksempel forbedringer i første- eller andrelinjen, vil i mindre grad kunne sammenlignes med internrevisjon. Man kan likevel tenke seg at virksomhetens utfordringer best løses ved å styrke styring og kontroll i:

1. Førstelinjen (for eksempel flere ansatte, bedre opplæring av ansatte, bedre styrende dokumenter, bedre verktøy/systemstøtte mv.) eller
2. Andrelinjen (for eksempel (økte)ressurser til oppfølging og kontroll i form av fagansvarlig internkontroll, «risiko-funksjon», «compliance-funksjon», controller, virksomhetsarkitekt mv.)

Det kan tenkes at en styrking av første- eller andrelinjen vil dekke virksomhetens behov en god stund fremover, og at dette er det mest aktuelle tiltaket på kort sikt, men at internrevisjon kan bli aktuelt å vurdere igjen etter at tiltak for å styrke styring og kontroll i første- eller andrelinjen er blitt gjennomført. Dette for å få objektive og uavhengige bekreftelser på om tiltakene har gitt ønsket effekt.

Avhengig av behov og utfordringer

Det trenger heller ikke være et enten eller spørsmål. Virksomheter kan ha behov både for en internrevisjon og for å styrke styring og kontroll i første- eller andrelinjen.

Det viktige er at virksomheten er seg bevisst sine behov og utfordringer når det gjelder styring og kontroll, og hva en ønsker å forbedre. Da vil det være enklere å avgjøre hvilket, eller hvilke, tiltak som er best egnet for å dekke virksomhetens behov og ivareta krav til god styring og kontroll på en tilfredsstillende måte.

Modeller for internrevisjon

Det eksisterer ulike «modeller» for internrevisjon, det vil si ulike måter å anskaffe og organisere funksjonen på. Kjennskap til alternative modeller og hvilke fordeler og ulemper de har er nyttig kunnskap for å vurdere om internrevisjon er et riktig tiltak. For noen virksomheter kan det være slik at én modell for internrevisjon skiller seg ut som den mest aktuelle. For andre virksomheter kan det være aktuelt å vurdere to eller flere modeller for internrevisjon opp mot hverandre. Vi anbefaler å ta kontakt med statlige virksomheter som allerede har etablert internrevisjon for å få ytterligere informasjon om modellene. På dfo.no om internrevisjon finner du en oversikt over hvilke statlige virksomheter som har etablert internrevisjon og hvilken modell disse har valgt.

I det ene vedlegget finner du en opp­summering av de mest sentrale fordelene og ulempene ved de alternative hovedmodellene.

Steg 3: Identifisere, verdsette og sammenstille nytte- og kostnadsvirkninger av tiltak

Virksomheter skal vurdere nytten ved kontrolltiltak, for eksempel etablering av en internrevisjon, i forhold til kostnader¹.

Med nytte- og kostnadsvirkninger² av et tiltak menes alle de positive og negative effektene som oppstår som følge av at tiltaket gjennomføres. Om virksomheten bør etablere internrevisjon som svar på sine behov eller utfordringer, vil blant annet avhenge av om etableringen av internrevisjon vil ha høyere netto nytte enn andre tiltak som også kan tenkes å dekke virksomhetens behov og løse dens utfordringer, for eksempel kjøp av objektive og uavhengige bekreftelser på enkeltområder.

For å få frem relevante virkninger av å etablere en internrevisjon kan det være viktig å tenke gjennom hvilke interessenter som blir berørt. Interne interessenter er virksomhetslederen, øvrig virksomhetsledelse og virksomhetens ansatte, mens eksterne interessenter kan tenkes å være overordnet departement, andre statlige virksomheter og brukere som er avhengige av virksomhetens produkter og tjenester, Riksrevisjonen og andre.

Det kan være vanskelig å kvantifisere nytte- og kostnadsvirkninger av å etablere en internrevisjon. Nyttesiden er vanskeligere å verdsette kvantitativt enn kostnadssiden. Dersom kvantitativ verdsetting er vanskelig, bør man gjøre en kvalitativ vurdering³. Vi anbefaler å innhente erfaringer og tall fra sammenlignbare virksomheter som allerede har vurdert å etablere, eller har etablert en internrevisjon⁴ for å få et best mulig beslutnings­grunnlag. Nytte- og kostnadsvirkninger av en internrevisjon vil også i stor grad avhenge av hvilken modell for internrevisjon man velger, se vedlegget som beskriver fordeler og ulemper ved de ulike hovedmodellene for internrevisjon.

Nytte og kostnader bør vurderes for hvert relevante tiltak. Denne veiledningen går ikke nærmere inn på nytte- og kostnadsvurdering knyttet til andre tiltak enn internrevisjon, eksempelvis ulike tiltak for kjøp av objektive og uavhengige bekreftelser på enkeltområder eller tiltak for å styrke første- eller andrelinjen⁵. Hovedfokuset her er å gi støtte til vurderingen av om internrevisjon etter kravene i rundskriv R-117 er et relevant tiltak.

Vi anbefaler at den enkelte virksomhet verdsetter, kvantitativt eller kvalitativt, relevante virkninger for etablering av internrevisjon så langt det er hensiktsmessig. Eventuelt kan man også sette opp nytte- og kostnadsvirkninger for de enkelte modellene for internrevisjon man vurderer som aktuelle.

Under følger en ikke-uttømmende liste med eksempler på mulige nytte- og kostnadsvirkninger av internrevisjon.

Mulige nyttevirkninger av internrevisjon

Virksomhetslederen får støtte i sin «påse-rolle» og trygghet for at ting som er bestemt blir gjennomført som forutsatt. Uavhengige bekreftelser kan bidra til:

• økt forutsigbarhet, færre overraskelser og mindre behov for «brannslukking»
• redusert risiko for at det oppstår vesentlige feil og mangler
• økt tillit og legitimitet hos virksomhetens interessenter (ansatte, departement, brukere)

Virksomhetslederen får en sparringspartner som gir råd om hvordan man kan forbedre systemet for styring og kontroll. Dette kan bidra til:

• mer systematikk og bedre prosesser for styring og kontroll på tvers i virksomheten
• større grad av målrettet og effektiv drift, pålitelig rapportering, overholdelse av lover og regler (effektiv internkontroll)
• bedre oversikt og systematikk knyttet til forbedringstiltak (eksempelvis fra Riksrevisjonen, internrevisjonen og øvrige interne og eksterne forbedringstiltak)
• tydeligere ansvarsdeling og oversikt over forhold som «faller mellom to stoler»
• bedre måloppnåelse på alle organisatoriske nivå

Mulige kostnadsvirkninger av internrevisjon

• Oppstartskostnader (ansettelser, anbudshåndtering, opplæring i virksomheten og liknende)
• Lønnskostnader
• Driftskostnader (kontor, PC/utstyr, revisjonssystem, og lignende)
• Kostnader til utvikling og vedlikehold av kompetanse (utdanning, kurs, sertifiseringer)
• Kostnader til evaluering av internrevisjonsfunksjonen (dette skal etter standardene skje hvert femte år)

Dersom de samlede nyttevirkningene overstiger de samlede kostnadsvirkningene, innebærer det at tiltaket er lønnsomt⁶. Dersom virksomheten har identifisert flere relevante tiltak som ikke alle kan prioriteres, bør det gjøres en sammenstilling hvor man ser netto nytte- og kostnadsvirkninger for hvert av de relevante tiltakene opp mot hverandre.

¹ I henhold til krav i bestemmelsene kapittel 2.4 siste avsnitt.
² En virkning er den endringen som oppstår jamført med sammenligningsgrunnlaget, som er nullalternativet (utviklingen videre dersom det ikke iverksettes noen tiltak), dvs. at det ikke opprettes internrevisjon eller gjennomføres andre tiltak for å styrke styring og kontroll, og man fortsetter som før.
³ Pluss-/minusmetoden er en metode for kvalitativ vurdering av nytte-kostnadsvirkninger, se veileder i samfunnsøkonomiske analyser side 82.
⁴ Se også publikasjoner fra Ekonomistyrningsvärket på esv.se, f.eks. Rapport Redovisning av den statliga internrevisionen 2014 som beskriver nytte og effekt av den statlige internrevisjonen i Sverige.
⁵ Dersom det er hensiktsmessig å styrke første eller andre linjen, kan disse tiltakene analyseres videre med bruk av metoden i denne veilederen på linje med tiltak for tredje linjen.
⁶ I tilfeller der sentrale nytte- og kostnadsvirkninger er beregnet i kroneverdier, kan lønnsomheten beregnes ved bruk av nåverdimetoden. I tilfeller der virkningene ikke er verdsatt i kroner, må det foretas en skjønnsmessig vurdering av om tiltaket gir positiv netto nytte. For ytterligere veiledning se veileder i samfunnsøkonomiske analyser.

Steg 4: Vurdering av usikkerhet

Det kan være viktig å synliggjøre hvilke usikkerhetsfaktorer som kan være kritiske for tiltakenes nytte- og kostnadsvirkninger. Virksomheten bør derfor vurdere usikkerhetsfaktorer knyttet til relevante tiltak, jamfør steg 2 og 3. Under følger noen typiske forhold som kan utgjøre relevante usikkerhetsfaktorer, og som påvirker nytte- og kostnadsvirkninger ved etablering av en internrevisjon. Valg av modell vil også påvirke disse forholdene til en viss grad.

Typiske forhold som kan påvirke nytten av internrevisjon

• Virksomhetens forventede evne og vilje (modenhet) til å nyttiggjøre seg av internrevisjon i henhold til hensikten og formålet med en slik funksjon. For eksempel internrevisjonens innpass i virksomheten, tildelte ressurser, personlig kjemi mellom internrevisjonssjef på den ene side og virksomhetsleder og sentrale funksjoner i virksomheten på den andre, dvs. virksomhetens forståelse av internrevisjonens rolle og mandat og ledelsens ønske om å bruke en slik funksjon.
• Virksomhetens kapasitet til å nyttiggjøre seg av internrevisjonen. Har linjen kapasitet til å ta hensyn til og innarbeide råd fra internrevisjonen på kort og lang sikt? For eksempel krever store pågående eller planlagte omstillinger eller store prosjekter i virksomheten ofte store ressurser fra linjen. Dette kan påvirke kapasiteten til å nyttiggjøre seg internrevisjon i tidsrommet da omstillingen eller prosjektene pågår. Samtidig kan det i slike situasjoner være særlig nyttig med en internrevisjon som støtter virksomhetslederen og virksomheten for øvrig.
• Internrevisjonens størrelse og kapasitet sett i forhold til virksomhetens behov og utfordringer.
• Internrevisjonens forståelse av virksomhetens egenart og internrevisjonens kompetanse sett i forhold til virksomhetens behov og utfordringer. Komplekse IKT-systemer og høy grad av digitaliserte tjenester krever for eksempel ofte kompetanse utover «normal» internrevisjonskompetanse slik som IT revisjon.
• Internrevisjonens mulighet for å ivareta sitt ansvar og formål, for eksempel å etterleve kravene som følger med opprettelse av en internrevisjonsfunksjon (bruk av anerkjente standarder mv.), jf. rundskriv R-117.

Nytten av og behovet for internrevisjon vil normalt variere med virksomhetens utviklingsstadier og risiko på ulike tidspunkter. Tidsaspektet vil i seg selv være en usikkerhetsfaktor. For eksempel vil nytten av internrevisjon muligens være minst i en oppstartsfase, siden man kan forvente at vil komme mer over tid.

Typiske forhold som kan påvirke kostnaden ved internrevisjon

• Hvor mange ansatte som er nødvendig i en internrevisjonsfunksjon for at den skal kunne ivareta sitt ansvar og formål.
• Muligheten for å reversere tiltaket (modell 1, 2, 3 og 4 kan ikke reverseres like enkelt som modell 5).
• Antall revisjonsprosjekter det er behov for, og hvor mye av kapasiteten i linjen prosjektene legger beslag på.

Steg 5: Gi en samlet totalvurdering

I den samlede totalvurderingen bør vurderingene basert på steg 1–4 sammenstilles. Det kan også være fornuftig å foreslå hvilken modell for internrevisjon som vil være mest aktuell.

Uavhengig av konklusjonen er det viktig å gi en godt dokumentert begrunnelse. Man må også legge til rette for at resultatet av vurderingen og konklusjonen kan etterprøves.

Dersom konklusjonen er at det skal etableres en internrevisjon etter kravene i rundskriv R-117, kan det være viktig for ettertiden å ha en god forklaring på dette.

Virksomheten bør også dokumentere vurderinger og begrunnelser for ikke å etablere internrevisjon, særlig om svarene på hovedspørsmål 1 og 2 i steg 1 viser utfordringer og behov for bedret styring og kontroll. Hvis virksomheten fortsetter som før (nullalternativet), bør man beskrive alternative tiltak eller en sannsynlig utvikling. Dokumentasjonen er et nyttig grunnlag for ny vurdering som minimum skal gjøres hvert fjerde år.