9789144129891

VÄRDESKAPANDE INTERNREVISION

RA K Ä TSS UPP E T LI ÖLJA A V K CH F O

E N I D R A O D O E K M SIG RODD

UTV

ECK

LIN

K ARS

ENS PET ING KOM KL C E AP UTV

G

LED

UKT

UR

OPT

IMA

L

ING CKL

S E K YR

ENS

K C I SK

PET

G D RÅ

KOM

O IN TIM

T ALI

E S H E G K I YR ICKLDD SKBETROIVARE

TR RAS RA INF K Ä R FFS TSE TRÄ INSA D ROD E BET GIVAR D RÅ

E UTV RA ENS PET SÄK KOM UPP ETS LJA RODD

T E H IG

OLOF ARWINGE

BET IVAR G D Å R A

R

Kopieringsförbud Detta verk är skyddat av upphovsrättslagen. Kopiering, utöver lärares och studenters begränsade rätt att kopiera för undervisningsändamål enligt Bonus Copyright Access kopieringsavtal, är förbjuden. För information om avtalet hänvisas till utbildningsanordnarens huvudman eller Bonus Copyright Access.

Vid utgivning av detta verk som e-bok, är e-boken kopieringsskyddad.

Den som bryter mot lagen om upphovsrätt kan åtalas av allmän åklagare och dömas till böter eller fängelse i upp till två år samt bli skyldig att erlägga ersättning till upphovsman eller rättsinnehavare.

Studentlitteratur har både digital och traditionell bok­utgivning. Studentlitteraturs trycksaker är miljöanpassade, både när det gäller papper och tryckprocess.

Art.nr 40220 ISBN 978-91-44-12989-1 Upplaga 1:1 © Författaren och Studentlitteratur 2018 studentlitteratur.se Studentlitteratur AB, Lund Omslagslayout: Jens Martin/Signalera Omslagsbild: Jens Martin/Signalera och LUMIKK5557/Shutterstock Printed by Lapaprint, Valmiera, Latvia 2019

INNEHÅLL

Förord 9 Inledning 11

Utmaningen 12 Ökande uppdragsgivar- och intressentkrav 12 Nya informations- och kommunikationsteknologier 13 Nya och komplexa risker 14 Kamp om kompetens och talang 15 Nya professioner och roller 16 Regulatoriska drivkrafter 17 Utveckling av arbetsmetoder 18 Bokens syfte, målgrupp och innehåll 18 Lästips 20 1 Ledarskap 23 Internrevisionens ledarskap 23 Ledarskapets betydelse 25 Verksamhetens prestationer 25 Kursriktningen 26 Engagemanget 26 Verksamhetens integritet 27 Intressentkraven 28 Att tänka på 29 Kommunicera vision och mål 29 Rekrytera och positionera rätt 31 Utveckla medarbetare och team 32 © F örfat taren oc h S t uden t li t t erat ur

3

Innehåll

Motivera och inspirera 35 Hantera intressentkrav 36 Lästips 39 2 Infrastruktur 41 Fundamentet i verksamheten 41 Betydelsen av infrastruktur 42 Skapar tydlighet och förutsägbarhet 43 Möjliggör högpresterande verksamheter 43 Robusta processer utifrån normgivning 44 Att tänka på 45 Positionera verksamheten rätt 46 Utforma och kommunicera arbetsmetoder 48 Utforma positioner, roller och ansvar 49 Etablera systemstöd för arbetet 50 Kalibrera infrastrukturen löpande 51 Lästips 55 3 Träffsäkra insatser 57 Betydelsen av riskanalysen 57 Fel insatser skapar inte värde 58 Blinda fläckar kan få konsekvenser 58 Kopplingen till mål och strategier avgör 59 Att tänka på 60 En ändamålsenlig planeringsprocess 60 Gör kopplingen till strategiska agendan 62 Identifiera och värdera risker 65 Strategier och prioritering kring riskområden 67 Exempel på viktiga riskområden 67 Både granskning och rådgivning 71 Koppla till kompetensbehov 71 Lästips 72

4

© F örfat taren oc h S t uden t li t t erat ur

Innehåll

4 Optimal timing 73 Betydelsen av timing 73 Ökande förändringshastighet 73 Reaktiva insatser 74 Fel timing, mindre värde 75 Att tänka på 76 Följ riskerna 76 Ha god framförhållning 77 Kommunicera med affärsverksamheten 78 Kommunicera med andra assurance providers 79 Vänta inte för länge 79 Var inte heller för tidig 80 Bli en mästare på att revidera förändring 80 Lästips 82 5 Yrkesskicklighet 83 Betydelsen av yrkesskicklighet 83 Ökat värdeskapande 84 Krav från normgivningen 84 Professionsperspektivet 85 Intressentkrav 86 Att tänka på 86 Relevant mål och omfattning för uppdrag 87 Fokus på väsentlighet 88 Utvärdera design och testa effektiviteten i styrning och kontroll 89 Beakta risk för oegentligheter, fel och brister i regelefterlevnad 91 Arbeta integrerat 92 Facilitera hållbara lösningar 93 Värdera kostnad i förhållande till nytta 94 Skapa goda relationer 95 Ha ett service mindset 97 Fokus på ständigt lärande 98 Fokus på IPPF och internrevisionskvalitet 98 Använd teknologier för dataanalys 100 Kommunikation som leder till förändring 100 Lästips 105 © F örfat taren oc h S t uden t li t t erat ur

5

Innehåll

6 Kompetensutveckling 107 Betydelsen av kompetensutveckling 107 Förmåga att möta ökande krav och förväntningar 108 Certifieringar har betydelse 109 Påverkan på strategiskt genomförande 109 En lärande kultur ger resultat 110 Att tänka på 111 Koppla till mål, strategier och behov 111 Utgå ifrån professionens kompetensutvecklingsramverk 113 Introducera nyanställda effektivt 115 Beakta professionella utvecklingskurvan 116 Bli certified internal auditor 120 Etablera utbildningsprogram 121 Rotera in internrevisorer 122 Rotera ut internrevisorer 123 Skaffa nödvändig expertis 123 Kompetens inom informations- och kommunikationsteknologier 124 Lästips 125 7 Koordinera sig med andra 127 Exempel på funktioner 129 Betydelsen av koordinering 130 Krav och förväntningar på samordning 130 Onödigt dubbelarbete 131 Gap i risktäckning 131 Effektivitet i kommunikation 132 Att tänka på 132 Kartlägg funktioner, ansvar och risktäckning 133 Etablera effektiva kommunikationsrutiner 134 Koordinera insatser 135 Kalibrera och samordna processer 136 Harmonisera begreppsbruk 138 Lästips 139

6

© F örfat taren oc h S t uden t li t t erat ur

Innehåll

8 Förlita sig på andra 141 Vilka andra? 142 Varför förlita sig på andra? 143 Begränsade resurser 144 Mer precisa och kompetenta insatser 144 Krav och förväntningar från intressenter 145 Att tänka på 145 Kommunicera om combined assurance 146 Följa kontrollfunktioners utveckling 146 Utvärdera funktioners mognad 148 Etablera en plan för att förlita sig på andra funktioner 152 Beakta önskvärt dubbelarbete 153 Lästips 154 9 Betrodd rådgivare 155 Rådgivarens egenskaper 155 Personliga egenskaper 156 Relationsmässiga egenskaper 157 Professionella egenskaper 157 Varför ska internrevisorn ge råd? 158 Granskning inte alltid optimalt 159 Rådgivning är okej 159 Rådgivning har högt värdeinnehåll 160 En betrodd rådgivare är efterfrågad 160 Att tänka på 161 Utveckla den betrodda rådgivaren 161 Ge råd och lämna bedömningar 169 Utbilda 169 Facilitera insatser 170 Kvalitetssäkra rådgivningen 170 Hantera självgranskningshotet 170 Lästips 173

© F örfat taren oc h S t uden t li t t erat ur

7

Innehåll

10 Kvalitetssäkra och följa upp 175 Betydelsen av kvalitetssäkringsprogram 175 En del av intern styrning och kontroll 175 Hantera internrevisionsverksamhetens risker 176 Kvalitetssäkringsprogram en del av IPPF 177 Bidrar till internrevisionskvalitet 178 Att tänka på 178 Utforma kvalitetssäkringsprogram baserat på IPPF 179 Anpassa kvalitetssäkringsprogrammet 179 Gör löpande kvalitetssäkring 181 Glöm inte etiska principer och tillämpningsregler 183 Följ upp värdeskapande ur ett kund- och intressentperspektiv 184 Gör en periodisk intern utvärdering 187 Gör en periodisk extern utvärdering 187 Använd mätetal för uppföljning 188 Att tänka på för mindre internrevisionsverksamheter 191 Följ internrevisionsverksamhetens mognad och utveckling 192 Använd yrkesskickliga internrevisorer 198 Kompetensutveckla mindre erfarna internrevisorer 199 Lästips 199 Avslutande reflektioner 201

Förespråka och supporta 201 Kompetensutveckla 202 Hantera kund- och intressentkrav 202 Engagera uppdragsgivaren 203 Förnya arbetsmetoder 204 Lästips 204 Referenser 205 Författarpresentation 211 Register 213

8

© F örfat taren oc h S t uden t li t t erat ur

FÖRORD

Att skapa värde utgör grunden för internrevision. Genom att utvärdera och förbättra styrning, riskhantering och kontrollprocesser i organisationer bidrar internrevisionen till det strategiska genomförandet och att organisationer når sina mål. Denna värdeskapande aspekt av internrevisionen är central och följer av internrevisions formella definition och uppdrag.

Internrevisionens värdeskapande uppgift är emellertid ingen lätt sak.

I den här boken tar jag upp tio områden av betydelse för internrevisionens förmåga att skapa värde åt uppdragsgivare och intressenter. Boken är en sammanfattning utifrån egna reflektioner och lärdomar från praktik, utbildning och studier av internrevision. Boken ger självfallet inte hela svaret. Däremot serveras pusselbitar som kan väcka tankar och idéer för de som leder och utvecklar professionell internrevision. Ett stort tack till Johan Isaksson, Hans Löfgren, Tomas Munkby, Stina Nilsson Kristiansson och Nils-Göran Olve för viktiga synpunkter på utkast till manus.

Lidingö, augusti 2018 Olof Arwinge

© F örfat taren oc h S t uden t li t t erat ur

9

KAPITEL 3

Träffsäkra insatser

Med träffsäkra insatser menas rätt insatser. Ju mer träffsäker insatsen är, desto större är potentialen för värdeskapande. Rätt insatser är de som är nära kopplade till organisationens målsättningar och strategiska agenda.

Risker uppstår endast i relation till organisationens mål och de risker som kan uppstå på vägen och som därmed måste hanteras effektivt. Mot denna bakgrund är internrevisionens uppgift grannlaga: identifiera väsentliga risker utifrån organisationens mål och strategier som sedermera ska ligga till grund för planer och insatser.

Historiskt har inte alltid internrevisionens insatser varit av väsentlig betydelse för organisationens framgång och förmåga att nå mål. Insatsernas väsentlighet har därför ibland ifrågasatts av ledande företrädare för risk­ professioner. Internrevisionens granskningsobjekt har emellertid utvecklats över årtiondena, från snäva kamerala områden och regelefterlevnad till kontroll, effektivitet i riskhantering och styrning av verksamheter. Denna utveckling har i sig bidragit på ett väsentligt positivt sätt. Internrevisionens insatser handlar därför allt mer om områden som har strategisk betydelse för företag och organisationer.

Betydelsen av riskanalysen Varför är det viktigt att internrevisionens insatser är träffsäkra? Låt oss i följande avsnitt reflektera över detta och jag väljer att lyfta fram tre anledningar till varför träffsäkerhet i riskanalys har en väsentlig betydelse. Vi börjar med kopplingen till värdeskapande.

© F örfat taren oc h S t uden t li t t erat ur

57

3 Träffsäkra insatser

Fel insatser skapar inte värde Fel insatser är de som inte skapar värde i relation till organisationens legitima mål och strategiska agenda. De må vara skickligt genomförda insatser, men sett i ljuset av organisationens strategi och vad som är väsentligt så bidrar de inte med att hjälpa organisationen att nå sina mål. Det spelar liten roll hur väl man än utvärderar styrning, riskhantering och kontroll om själva området som granskas är oväsentligt eller trivialt.

I någon mening handlar det då om meningslöst arbete som i värsta fall faktiskt kan hindra organisationen från att nå sina mål. Notera att internrevisionsinsatser förbrukar internrevisionens interna resurser, men även organisationens resurser förbrukas genom tid och aktiviteter som berörd verksamhet ägnar åt internrevisionens insats. Tid, aktiviteter och uppmärksamhet som den berörda verksamheten i annat fall skulle allokerat till annat.

En dålig träffsäkerhet i internrevisionsinsatser leder alltså inte bara till att en potential till värdeskapande går förlorad, utan även att man i slutändan faktiskt kan hindra organisationen från att nå sina mål genom att resurser ägnas åt oväsentliga saker.

Blinda fläckar kan få konsekvenser Vi har noterat att träffsäkra insatser möjliggörs av en riskanalys som utgår ifrån organisationens mål och strategier. I detta fall identifierar och adresserar internrevisionen organisationens väsentliga risker. I det motsatta fallet missar internrevisionen viktiga risker, som då förblir oadresserade. Förvisso är det ledningens ansvar att identifiera, värdera och behandla risker som uppstår i affärsverksamheten, men kvaliteten på detta arbete varierar av naturliga orsaker. Det finns ingen perfekt riskhantering, varför brister i styrning och kontroll nödvändigtvis uppstår. Mot denna bakgrund har internrevisionen en viktig roll att fylla i den tredje så kallade ansvarslinjen (Arwinge & Olve 2017; Arwinge m.fl. 2017).

Internrevisionens uppdrag handlar om att ge assurance – det vill säga försäkra uppdragsgivare och andra intressenter om huruvida styrning, riskhantering och kontroll fungerar på ett effektivt sätt. Dåliga riskanalyser medför brister i hur internrevisionen kan fullgöra detta uppdrag. Konsekvenserna kan bli betydande. Måhända missar man väsentliga risker och 58

© F örfat taren oc h S t uden t li t t erat ur

3 Träffsäkra insatser

brister som sedermera resulterar i incidenter, förluster eller till och med att verksamheten upphör genom materialiserade ryktesförluster, indragna tillstånd eller avsaknad av kapital.

Kopplingen till mål och strategier avgör I slutändan är det kopplingen till företagets mål, strategi och strategiska agenda som är avgörande. Beroende av hur väl internrevisionen lyckas åstadkomma denna koppling påverkar detta vilket värde som internrevisionen kan bidra med till organisationen. Av detta följer att en bättre och starkare koppling skapar möjlighet till mer träffsäkra insatser och därmed högre värde­skapande. En frikoppling mellan vad som är väsentligt för organisationen utifrån legitima mål samt internrevisionens insats innebär att möjligheter till värdeskapande väsentligen reduceras. Figur 3.1 illustrerar kopplingen mellan internrevisionens insats och organisationens mål och strategier samt hur detta påverkar internrevisionens värdeskapande.

Träffsäkra insatser kräver således att internrevisionens riskanalys är nära länkad till organisationens strategiska, operativa, finansiella och compliance-relaterade mål. Utgår man inte från vart organisationen är på väg samt hur den ämnar ta sig dit, kan insatser bli fel i den meningen att de saknar betydelse för organisationens möjligheter att nå framgång och därmed inte är relevanta för organisationens styrelse, ledning och väsentliga intressenter.

Koppling till mål och strategier Internrevisionens värdeskapande

Nära

Ingen

Högt

Lågt

Figur 3.1 Mål, strategier och internrevisionens värdeskapande.

© F örfat taren oc h S t uden t li t t erat ur

59

3 Träffsäkra insatser

Att tänka på Efter att ha tagit upp några viktiga skäl till varför träffsäkerhet i intern­ revisionens insatser har betydelse går jag vidare till att diskutera vad som blir viktigt för att kunna uppnå detta. Jag kommer ta upp följande områden: • • • • • • •

En ändamålsenlig planeringsprocess.

Gör kopplingen till strategiska agendan.

Identifiera och värdera risker.

Strategier och prioritering kring riskområden.

Exempel på viktiga riskområden.

Både granskning och rådgivning.

Koppla till kompetensbehov.

En ändamålsenlig planeringsprocess Låt oss börja med att prata om själva processen för att identifiera rätt internrevisionsinsatser. Arbetet med att riskanalysera och planera har en enorm betydelse, vilket innebär att processen bör vara ändamålsenligt utformad.

Det finns minst tre principer som man som internrevisionsledare kan fokusera på vid utformning av planeringsprocesser. Vi börjar med att planeringsarbetet bör vara robust.

En robust planeringsprocess Riskanalysprocessen har en avgörande betydelse för kvaliteten i intern­ revisionsverksamhetens planering och insatser. Således är det av vikt att internrevisionsverksamheter har en robust arbetsmetod för hur risker identifieras, värderas och prioriteras. Det handlar om den riskbaserade planen och om prioritering av insatser i relation till organisationens legitima målsättningar givet internrevisionsverksamhetens begränsade resurser.

Internrevisionens riskanalysarbete bör dokumenteras och input från styrelse och högre ledning måste beaktas. Internrevisionsverksamheter bör rimligtvis ta utgångspunkt i organisationens eventuella ramverk för företagsövergripande riskhantering inklusive metoder för att värdera risker. Överlag är det lämpligt att föra en dialog med styrelse och vd eller gd om vilka utgångspunkter som internrevisionsverksamheten använder i sitt 60

© F örfat taren oc h S t uden t li t t erat ur

3 Träffsäkra insatser

riskanalysarbete. Utifrån ledningens identifierade risker samt all annan väsentlig information bör internrevisionsverksamheten göra sin självständiga värdering av risker.

I planeringssammanhang nämns ofta det så kallade audit universe. Det kan då handla om de processmässiga, organisatoriska eller geografiskt indelade enheter som internrevisionsverksamheten använder som grund för sin analys över vad som potentiellt sätt kan bli föremål för granskning och rådgivning. Det finns fördelar med att använda någon form av audit ­universe.

Det kan fungera som en utgångspunkt och ankare för att över tid följa vilka delar inom audit universe som man granskat och när. Detta möjliggör i sin tur ett cykliskt angreppssätt där man kan se och följa hur ofta man har täckt och behöver täcka riskområden. Ett cykliskt angreppssätt innebär i stort att internrevisionen återkommer till området eller risken med viss periodicitet. Minst årligen kan man göra en inventering om förändringar har skett och som kan leda till att audit universe ökar, minskar eller i övrigt förändras. Det kan handla om att nya affärsverksamheter, enheter eller processer tillkommit. Ofta kombineras olika metoder för att identifiera och värdera riskområden att utvärdera och förbättra. Riskbaserade angreppsätt kan kombineras med cykliska angreppsätt medan vissa områden måste granskas på grund av regulatoriska krav.

En dynamisk planeringsprocess Riskanalysarbetet bör vara robust men inte statiskt. Motsatsen till statisk är dynamisk vilket innebär att internrevisionsverksamheter måste vara snabbfotade och anpassningsbara sett i ljuset av organisationens agenda och föränderliga riskprofil. Att följa en obsolet plan är oklokt.

Riskanalys- och planeringsprocesser bör således vara dynamiska i den meningen att de möjliggör löpande identifiering och värdering av risker i syfte att uppdatera riskbedömning och kalibrera insatser. Det är lämpligt att betrakta riskanalys- och planeringsprocesser som löpande och kontinuerliga snarare än årliga. Internrevisionsverksamheter bör därmed anpassa insatser till förändringar i riskprofiler. Detta ställer i sin tur krav på att man som internrevisor på ett systematiskt och disciplinerat sätt följer interna och externa utvecklingar i syfte att bedöma påverkan på riskanalys och insatser.

Jag återkommer till detta i nästa kapitel. © F örfat taren oc h S t uden t li t t erat ur

61

3 Träffsäkra insatser

En enkel planeringsprocess I slutet av kapitel 2 om infrastruktur tog jag upp hur viktigt det är att göra processer enkla. Detta gäller även planeringsprocesser som lätt kan bli allt för komplexa och resurskrävande (Mintzberg 1994). Litteratur finns som behandlar de dysfunktionella konsekvenser som kan uppstå som ett resultat av ett överdrivet fokus på planering. Planering är viktigt och därför bör processen vara robust. Men planering bör också ske löpande och dessutom hållas hyggligt enkel och tydlig, och alltid med fokus på uppdragsgivares och intressenters krav och behov. De frågeställningar eller principer jag tog upp mot slutet av kapitel 2 kan vara viktiga även i detta sammanhang att ha för ögonen. Planeringen bör således ständigt försöka göras allt mer resurseffektiv, enkel, snabb och värdeskapande. Det sista handlar om att man ständigt söker vägar att förstärka kopplingen mellan organisationens strategiska agenda, förändrade riskprofil samt internrevisionens insatser.

Gör kopplingen till strategiska agendan Efter att ha diskuterat process är det dags att ta upp innehållet och hur man säkerställer rätt insatser. Kanske är det enskilt viktigaste för internrevisionsverksamheter gällande träffsäkra insatser att länka riskanalys och insatser till företagets mål och strategier samt den strategiska agendan. Detta illust­ rerade jag i figur 3.1.

Alla identifierade risker och tillhörande insatser bör således ha en tydlig och nära koppling till organisationen målsättningar och strategier. Det krävs därför att man som internrevisionsledare tar utgångspunkt i organisationens affärsplaner och andra strategiska och viktiga dokument. Internrevisions­ ledare bör analysera dessa och det är ofta av vikt att även diskutera dem med organisationens styrelse, revisionsutskott, vd eller gd och övriga ansvariga i syfte att förstå innehåll, väsentliga initiativ och tillhörande risker.

Det handlar om risker kopplade till områden och mål som kan avse strategi, regelefterlevnad, operationell effektivitet, finansiell rapportering eller skydd av tillgångar. Hur man definierar olika kategorier eller typer av risker varierar och figur 3.2 illustrerar några typer som delvis baserats på internrevisionens riktlinje 2120 (IIA, 2017a). De vanligaste kategorierna är finansiella, operativa, strategiska och compliance (regelefterlevnad).

I arbetet med att länka insatser till organisationens strategiska agenda 62

© F örfat taren oc h S t uden t li t t erat ur

3 Träffsäkra insatser

Finansiella Strategiska

Operativa Compliance

Skydd av tillgångar

IT

Figur 3.2 Olika fokus i riskanalysarbetet.

bör man försöka identifiera samtliga betydande risker kopplade till organisationens olika mål.

Strategiska risker har självfallet enorm betydelse och bör därmed ägnas tillräcklig uppmärksamhet. När det handlar om potential till värdeförstörelse i företag och organisationer så är dessa risker mest väsentliga. De handlar om organisationens bristande anpassningsförmåga, dåliga strategier, dåligt strategiskt genomförande, dålig åtkomst till kapital, förändrade kundbehov obsoleta affärsmodeller samt nya produkter eller teknologier från konkurrenter.

Inte heller de operativa riskerna kopplade till mål om operationell effektivitet bör förglömmas. De handlar om risker kopplade till dåligt process­ägar­ skap och otydliga roller och ansvar, dåliga arbetsmetoder eller produkter, kvalitetsbrister, systemavbrott eller dålig arbetsmiljö. Finansiella delar kan handla om likviditet, marknadsrisker eller kreditrisker. Compliance handlar om att följa lagar och regler på ett bra sätt och dessa risker har över tid fått ökad betydelse i takt med den strida strömmen av nya regelverk. Såväl IT som skydd av tillgångar handlar om operativa risker men jag har valt att illustrera dem separat i figur 3.2 då de utgör viktiga områden.

Det handlar sammantaget om att åstadkomma en lämplig balans i planering och insatser så att alla väsentliga riskområden ges tillräcklig uppmärksamhet med utgångspunkt i organisationens målsättningar och riskprofil. Hur åstadkommer man då en stark koppling till organisationen © F örfat taren oc h S t uden t li t t erat ur

63

3 Träffsäkra insatser

mål och strategiska agenda? Nedan tar jag upp tre viktiga principer som har väsentlig betydelse i detta sammanhang. Den första handlar om att koppla internrevisionens insatser till strategiska projekt och initiativ.

Fokusera på strategiska agendan Det är ofta genom strategiska program, projekt och andra initiativ som ledningen levererar på sin strategiska agenda. Strategi- och affärsplaner blir utgångspunkten för initiativ som syftar till att skapa utveckling och förbättring. Vad som följer av detta är att internrevisionsledare noga bör följa dessa utvecklings- och förändringsarbeten i syfte att adressera dem inom ramen för granskande och rådgivande insatser.

Detta handlar därmed en del om förändring, varför internrevisionsverksamheter bör bygga sin förmåga att utvärdera, granska och förbättra program, projekt och andra initiativ. Högpresterande internrevisionsverksamheter präglas av att de på ett effektivt sätt och vid optimala tidpunkter adresserar förändringsinitiativ inom ramen för sina insatser. På så sätt maximeras värdeskapandet och organisationer kan genom detta dra stor nytta av internrevisionen genom att de olika strategiska initiativen löpande utvärderas och förbättras på ett lägligt sätt.

Fokusera på affärskritiska processer Den andra principen för att skapa robust koppling till organisationens strategiska agenda handlar om att ständigt fokusera på kärnverksamheten.

Internrevisorn bör alltid ha affärskritiska processer i fokus. Detta har en hel del med inneboende risk (eller bruttorisk) att göra. Fokus på inneboende risk innebär i stort att man utgår ifrån vad som är väsentligt, materiellt och viktigt utan att beakta kvaliteten på intern kontroll. Även om riskers sannolikhet reducerats till en acceptabel nivå kan eventuella kontrollbrister i affärskritiska processer få hela verksamheten att krackelera på grund av deras potentiella konsekvenser.

Internrevisionsledare bör fokusera på vad som är mest väsentligt för verksamheten, och vad detta är följer i praktiken av vald affärsmodell och typ av verksamhet. Internrevisorn bör således känna till affärsverksamhet och organisation samt förstå hur affärsmodell och affärsprocesser hänger 64

© F örfat taren oc h S t uden t li t t erat ur

3 Träffsäkra insatser

ihop för att skapa värde åt kunder. Att ständigt fokusera på kärnverksamhet och det som är affärskritiskt gör att internrevisionens insatser förblir relevanta och nära kopplade till vad som alltid är viktigt för organisationens möjligheter att nå mål.

Fokusera på förändring och framträdande risker Den tredje principen hänger ihop med den första, men här handlar det om förändring i ett bredare perspektiv. Om internrevisionen på riktigt ska göra skillnad krävs att man har en medveten hållning till emerging risks (framträdande risker). Vilka företagsexterna eller interna förändringar är under uppsegling eller håller på att inträffa, och vad måste gå rätt och vad kan gå fel i anslutning till dessa förändringar?

Det handlar om organisationsförändring i ett bredare perspektiv där nya regelverk samt teknologiska och makroekonomiska utvecklingar gör att riskprofilen påverkas. Detta i sig bör ofta få påverkan på internrevisionens insatser, och internrevisionsverksamheter som adresserar emerging risks på ett medvetet och effektivt sätt kan maximera sitt värdeskapande till organisationen.

Identifiera och värdera risker Tidigare i kapitlet tog jag upp betydelsen av en robust riskanalysprocess.

I detta ryms hur man som internrevisor identifierar och värderar risker. Två metoder är vanliga. Den första handlar om att man identifierar och definierar riskfaktorer som man senare använder för att värdera riskområden.

I faktaruta 3.1 följer exempel på riskfaktorer.

Definierar man varje riskfaktor samt anger tydliga kriterier för hur man kan värdera dessa kan man relativt enkelt åstadkomma en standardiserad process för att värdera och mäta risker kopplat till sitt audit universe.

En andra metod är att man som internrevisor identifierar specifika risker inom olika områden och beskriver dessa utifrån orsak, risk och konsekvens.

Genom workshops, analys av riskdata, intervjuer och andra metoder identifieras och beskrivs risker som sedermera kan värderas. Oavsett metod bör man alltid tillse att man utgår ifrån organisationens målsättningar och strategier och att risker länkas till dessa. © F örfat taren oc h S t uden t li t t erat ur

65

3 Träffsäkra insatser

Faktaruta 3.1 Riskfaktorer ■■ storlek på omsättning ■■ storlek på balansräkning ■■ omfattning av lagkrav ■■ antal anställda ■■ medieintresse ■■ höga externa förväntningar ■■ komplexitet i processen ■■ personalomsättning i processen ■■ grad av förändring i processen ■■ beroende av externa parter ■■ förekomst av målkonflikter ■■ grad av bedömningsaktiviteter.

Vanligtvis använder internrevisionsverksamheter sig av sannolikhet och konsekvens när man värderar risker. Till dessa kan även fogas ytterligare kriterier såsom värdering av hur snabbt risken kan materialiseras samt hur länge den kan kvarstå. Ofta används s.k. heat maps som illustrerar riskers väsentlighet utifrån bland annat sannolikhet och konsekvens. Notera att riskers konsekvenser oftast ges störst betydelse och således får en större vikt vid den sammantagna värderingen. Notera även att vid användande av riskfaktorer för att värdera och mäta risker så fångas sannolikhet och konsekvens som en del av dessa baserat på riskindikatorns karaktär. Bland riskfaktorerna ovan är exempelvis de sex första mer kopplade till riskernas konsekvenser medan de sex sista säger mer om deras sannolikhet.

Exempelvis är riskfaktorn grad av förändring (i processen) en riskfaktor som säger en hel del om hur sannolikt det är att risker kommer materialiseras. Hög grad av förändring, hög komplexitet eller hög personalomsättning kan helt enkelt öka sannolikheten för att risker kan materialiseras.

Ofta fokuserar internrevisorer mer på inneboende risk (eller risk före kontroll) och på konsekvenser och mindre på riskers trolighet eller sannolikhet, som bland annat beror av kvaliteten på kontroll och riskhanteringsåtgärder. Ledningen, å andra sidan, som känner väl till kontroller, gör ofta sina värderingar utifrån residualrisk, dvs. risknivå efter kontroll. Detta 66

© F örfat taren oc h S t uden t li t t erat ur

3 Träffsäkra insatser

bör man som internrevisor ha förståelse för och dessutom kunna beakta i dialog om risk.

Strategier och prioritering kring riskområden Det är ofta ändamålsenligt att utveckla strategier för hur man som internrevisionsverksamhet adresserar olika typer av risker kopplat till sitt audit universe. Vissa processer eller enheter kan vara nödvändigt att ständigt ha fokus på, bland annat på grund av deras väsentlighet eller på grund av regulatoriska krav och förväntningar. Andra risker åtgärdar man kanske riskbaserat eller genom mer cykliska angreppsätt alternativt genom en kombination av de båda metoderna. Det kan vara viktigt för internrevisionsledare att medvetet ta ställning till och dokumentera hur man över tid adresserar olika områden och risker.

Detta hänger ihop med hur internrevisionsverksamheter prioriterar områden givet deras olika risknivåer. Det handlar alltså om frekvensen på insatser. Ofta revideras högriskområden årligen eller minst inom 2 år medan risker med moderat risknivå adresseras mer sällan – kanske inom 2 till 4 år. Lågriskområden blir måhända aldrig föremål för granskning. Det är ofta av vikt att beskriva och dokumentera hur riskanalys, risknivåer och prioritering av insatser hänger ihop.

Exempel på viktiga riskområden Organisationer står inför mängder utmaningar och möter risker som beror av de företagsunika förutsättningarna samt karaktären på omgivningen.

Således är det väldigt svårt att generalisera vad gäller typiska och viktiga risker som är relevanta för de flesta företag och organisationer. Likväl är det just vad jag gör i kommande avsnitt.

Låt oss nedan ta upp några riskområden som förefaller ha stor betydelse för hur organisationer lyckas nå mål. Det är områden som diskuteras allt oftare i sammanhanget av risker och utmaningar som organisationer möter.

Därmed kan de även vara viktiga för internrevisionsledare att adressera inom ramen för riskanalys och planering av insatser. Redovisningen nedan är alltså inte fullständig, och jag är medveten om att det finns andra och variationer på dessa områden som är viktigare för många organisationer. © F örfat taren oc h S t uden t li t t erat ur

67

Olof Arwinge är ekonomie doktor från Uppsala universitet och rådgivare vid KPMG inom Governance, Risk och Compliance (GRC).

Han har skrivit flera böcker inom områdena intern styrning och kontroll, strategi och riskhantering, samt internrevision, och är även lärare vid Uppsala universitet.

VÄRDESKAPANDE INTERNREVISION Internrevision syftar till att skapa värde åt företag och organisationer. Genom att utvärdera styrning, riskhantering och kontroll i organisationer bidrar internrevisionen till det strategiska genomförandet och att organisationer når sina mål. Internrevisionens värdeskapande uppgift är emellertid ingen enkel sak. I den här boken tar författaren upp tio områden som har betydelse för att kunna skapa värde och högprestera som internrevisor och internrevisionsverksamhet. Inom varje område lämnas tips och rekommendationer om vad som är viktigt att tänka på.

Boken är skriven för dem som leder och utvecklar professionell internrevision men passar även på kurser på högskolor och universitet samt på yrkesorienterade kurser om styrning, riskhantering och kontroll av organisationer.

Art.nr 40220

studentlitteratur.se