INTERN REVISION #4/07. Sida-revisorer [sid 14] Svenskar i IIA [sid 18] Inför internrevisionsdagarna [sid 19] AMSTERDAM KONFERENS MED FLYT

Transkript

1 INTERN REVISION #4/07 Sida-revisorer [sid 14] Svenskar i IIA [sid 18] Inför internrevisionsdagarna [sid 19] AMSTERDAM 2007 KONFERENS MED FLYT

2 INTERN REVISION Tidskrift om internrevision utgiven av Internrevisorerna. Material för publicering skickas direkt till tidningens e- mailadress Du kan också kontaktapeter Strandh eller Åsa Wallberg, adresser se nedan. Redaktionskommittén består av följande personer: PETER STRANDH, REDAKTÖR Ernst & Young AB, Box 7850, Stockholm. Tel , fax , e-post: YVONNE ALNEBJER KPMG, Box 49, Västerås, Tel , mobil: , fax , e-post: INGA ASTORSDOTTER Uppsala universitet, Box 256, Uppsala Tel , mobil: e-post: URBAN EKLUND Ericsson, Torshamnsgatan 23, Stockholm Tel GUNILLA LILJEROTH PPM, Box 1605, Stockholm Tel , mobil , e-post: ÅSA WALLBERG Group Internal Audit, R 552, Nordea, Stockholm Tel , mobil: , e-post: asa.wallberg@nordea.com LEIF ZETTERBERG, REDIGERING OCH LAYOUT Tel , e-post: leif.z@comhem.se NÄSTA NUMMER: Manusstopp den 5 oktober PRENUMERATION: 300 kronor per år för icke medlem. ANSVARIG UTGIVARE: Guidon Berggren ISSN: TRYCK: Westerås Media Produktion, Västerås, 2007 Omslaget: Styrelseledamöterna Lotta Löfstrand Hjelm, Carina Petersén-Malmström och Ann-Charlotte Klingberg på Amsterdams kanaler. Foto: Guidon Berggren. INNEHÅLL NR Från redaktören 04 Från ordföranden AMSTERDAM 2007: Konferens med fart och flyt Internationellt forskningssymposium Reflexioner om etik, bedrägerier, manipulationer och psykopater. 12 Frank Alvern ny BOR-ordförande 13 Veronica du Preez, IIA Sydafrika 14 Sida-revisorer i Zimbabwe 16 CSO-möte i Shanghai 18 Svenskar får nya IIA-uppdrag 19 Inför Internrevisionsdagarna 20 Doktorera i internrevision 21 CIA-spalten 22 XBRL 23 Nätverksträff om MiFID 25 Från styrelsen 26 Nya medlemmar 27 Kontaktpersoner INTERNREVISION 2007 Manusstopp Utgivningsdag Nr 5 5 oktober 25 oktober Nr 6 28 november 17 december Artiklar för publicering skickas till: yvonne@internrevisorerna.se ANNONSERA I INTERNREVISION Baksida: kronor. Helsida: kronor Halvsida: kronor. Annonserar du flera gånger så bjuder vi på 10 procent rabatt. Alla priser exkl moms. Önskar du annonsera i InternreVision eller på föreningens hemsida, kontakta Yvonne Alnebjer eller Görel Hamilton på kansliet, tel INTERNREVISION 4/2007

3 FRÅN REDAKTÖREN: EN ROMANFIGUR, IT-SÄKERHET OCH VÄRDEPAPPERSRÖRELSER Då är vi tillbaka efter en sommar som blandat sol med regn. Själv har jag i likhet med många andra läst Stieg Larssons tre böcker i Millenniumserien om Mikael Blomkvist och Lisbeth Salander. Böcker som är mycket läsvärda och varmt kan rekommenderas. Det finns några saker i böckerna som man även kan reflektera över som internrevisor och det är IT-säkerhet generellt och nätverkssäkerhet speciellt. Det Lisbeth Salander klarar av med hjälp av en dator känns som om det balanserar på gränsen till vad som kan vara möjligt idag. Det handlar om att ta kommandot över andras datorer genom att använda svagheter i Internet och nätverk. Jag har förhört mig hos ett par kunniga IT-kollegor som dock menade att det som görs i böckerna definitivt ligger inom det möjligas område. I sommar har vi även kunna läsa om en systemutvecklare på Skatteverket som avskedats sedan han medvetet saboterat myndighetens IT-system. Nätövervakningen har slagits ut sedan mannen raderat kod och filer. Genom direkt tillgång till kritiska IT-system har mannen haft möjlighet att slå ut viktiga funktioner. Skatteverket menar att kostnaden för att bygga upp de förstörda systemen uppgår till flera miljoner kronor. Flera års utvecklingsarbete har gått förlorad, något som förvärras av att de flesta av Skatteverkets IT-system är egenutvecklade. Internrevisionen i organisationer med stort IT-beroende såsom banker med flera måste säkerställa att de har rätt kompetens för att tackla frågor som rör intern kontroll inom IT. Vi vet alla som inte är specialister inom området att IT är väldigt komplext att sätta tänderna i. En bra början för alla internrevisorer i såväl små som stora organisationer är att genomföra en första analys av det vi kallar för de generella ITkontrollerna med fokus på behörighet, systemförändringar och drift. FINANSINSPEKTIONEN GAV i somras ut nya föreskrifter om värdepappersrörelse, vilket är värt att notera. Där framgår att ett värdepapppersföretag ska ha en funktion för internrevision, om det är lämpligt och rimligt med hänsyn till verksamhetens art, omfattning och komplexitet, och arten på och omfattningen av dess investeringstjänster och investeringsverksamhet. Funktionen ska vara oberoende av företagets övriga funktioner och verksamhet. Internrevision skall vidare ha en aktuell revisionsplan för att undersöka och bedöma om värdepappersföretagets system, interna kontrollmekanismer och rutiner är lämpliga och effektiva. Den skall utfärda rekommendationer på grundval av det arbete som utförts, kontrollera att dessa rekommendationer följs, och rapportera vad gäller internrevisionsfrågor så att företagsledningen får regelbundna, åtminstone årliga, skriftliga rapporter. Rapporterna ska bland annat innehålla uppgifter om vilka lämpliga åtgärder som har vidtagits vid eventuella brister. Jag tar upp detta därför att Finansinspektionen nu lämnar över ansvaret till företagen att bedöma huruvida en internrevisionsorganisation behövs på ungefär samma sätt som den svenska bolagskoden redan gör. Vi internrevisorer får alltså inget gratis utan måste långsiktigt kunna visa på behovet av våra tjänster. Återigen måste vi lita på att vi själva kan leverera sådant värde att organisationer verkligen vill ha en funktion för internrevision. ANNONSER ÄR VIKTIGA för föreningens ekonomi och jag hoppas verkligen att det finns fler intresserade företag, myndigheter, konsulter eller organisationer som vill annonsera i vår tidning utöver Big Four. I övrigt hoppas jag att ni uppskattar detta nummer av tidningen där vi bland annat rappporterar från årets stora internationella begivenhet nämligen IIA-mötet i Amsterdam som gick av stapeln i somras. SIST MEN INTE MINST: Ett citat av okänt ursprung: Förändring är kreativitetens moder. Peter Strandh Certified Internal Auditor och auktoriserad revisor INTERNREVISION 4/2007 3

4 FRÅN ORDFÖRANDEN: AMSTERDAM 2007 OCH KONSTEN ATT BÄST ANVÄNDA TIDSKONTOT Hej, har du kommit hem från Amsterdam? Det var trädgårdsmästaren som ringde och han lät nästan lite spydig som om det inte var bra att jag varit borta. Hej själv, jag kom hem i början av juli så jag har varit hemma ett tag, svarade jag raskt. Var det väl använd tid? undrade han, jag var där förra året på en tulpanodlarkongress och det var bortkastad tid. Inget nytt kom fram, bara gammal skåpmat som jag redan kände till och du, dundrade han vidare, tänk igenom dina uttag på tidskontot. Det var väl använd tid, svarade jag honom. Vi i Sverige ligger väl framme och det fick vi bekräftat. Bara att veta att vi är på rätt väg var värt tiden. VET DU, NU VAR HAN IVRIG, att varje morgon får du en insättning på ungefär tusen minuter på ditt tidskonto. Men till skillnad från ett vanligt konto kan du varken spara eller övertrassera, allt du kan göra är att investera tiden på ett bra sätt. Då kommer avkastningen i form av lycka, hälsa och framgång. Det har du inte tänkt på? Tiden är det mest demokratiska som finns. Vi har alla lika av den tills den tar slut och den är dessutom mätbar. Om du vaknar på morgonen så har någon satt in 17,5 nya timmar, 1050 minuter eller sekunder beroende på hur du vill räkna på ditt tidskonto. Denna gåva har du att förvalta under din nya dag. Om du inte har den dåliga smaken att bli överkörd av en buss innan den är slut, förstås, tillade han skämtsamt. Tidskontot är intressant eftersom det, per dygn räknat, varken kan användas med sparsamhet eller övertrasseras. Du som jobbar med banker, lek med tanken att någon av obegripliga skäl hade satt in kronor på ditt konto varje morgon, med en instruktion om att du måste göra av med pengarna före midnatt om de inte skulle gå förlorade. Vad hade du gjort? Förmodligen hade du använt alla pengarna under dagen. Inte hade du velat förlora en del för att du inte använt dem, inte ens om du visste att du skulle få nya nästa morgon. Men det som nu sätts in på ditt konto varje morgon är viktigare och vackrare än alla pengar i världen, förklarade han. För tid är något vackert och en ofattbar rikedom om du har disciplin och mod att förfoga över den på rätt sätt. Varje natt töms ditt konto på alla minuter du inte utnyttjade. Inte en sekund blir överförd till nästa dag. Du får inga krediter, kan inte låna en sekund någonstans. Det konstiga med vårt tidskonto är att det sägs upp när vi minst anar det och utan förvarning. ÄR DU KLAR med din tidsstudie, frågade jag. Du måste väl planera din tid i trädgården väldigt noga så att allt blir planterat och skördat i rätt tid. Vi internrevisorer planerar också vår tid noga så att vi fokuserar på väsentlighet och risk. I Amsterdam använde vi våt tid internationellt och för första gången har vi fått in några svenskar i de internationella kommittéerna vid sidan om Sten Bjelke. Sten har varit med hur länge som helst och nu upphöjs han till medlem i IIA Research Foundation Board of Trustees. Finare kan det inte bli. Han ersätts i International Relations Committee av Larry Ribbeklint som ju har stor internationell erfarenhet och redan har börjat göra sig ett namn i kommittén. I Academic Relations Committee, som är en stor och viktig kommitté där amerikanarna lagt beslag på de flesta platser och endast släppt åtta platser till övriga världen, har Lars Agerberg lagt beslag på en av dessa platser. Det är väl att använda tiden på ett bra sätt, inte bara för de personligt invalda utanför för hela IIA Sweden. Vår förening kommer att låta höra talas om sig i hela världen. JAG TROR DIG och kom ihåg att du får en ny insättning vid midnatt säger han uppmuntrande friska minuter på tidskontot väntar på att få ge dig glädje, spänning, livslust. Har du en uttagsblankett redo? Signerat Guidon 4 INTERNREVISION 4/2007

5 AMSTERDAM 2007: Under fyra dagar i juli samlades internrevisorer från hela världen i Amsterdam. Inga Astorsdotter och Gunilla Liljeroth rapporterar om en konferens med flyt, om forskning, om bedrägerier och psykopater. Gunilla hinner också med ett besök i Kristiansand i Norge. Konferens med fartfyllt flyt IIA:s stora internationella konferens i Amsterdam gick under devisen Get into the flow. Men de 2000 internrevisorerna från 97 länderna snarare forsade än flöt mellan olika seminarier. Programmet var fullmatat med gemensam frukost halv åtta på morgonen, föredrag fram till halv sex på kvällen och hela elva lockande spår att följa. Inte ens luncherna var fria från föredrag. Varje sekund hände något intressant. Bland spåren kan nämnas, förutom det populära bedrägerispåret som redovisas längre fram, revision i offentlig sektor, verksamhetsstyrning, teknik, att leda internrevision, hållbar utveckling, risk management och best practice med mera. Nordens egen mr Internrevision, Flemming Ruud, drog många intresserade åhörare. Foto: Inga Astorsdotter. STOLTA INTERNREVISORER På salig William G Bishop III:s tid fick alla på IIA:s internationella konferens resa sig upp och med hög röst säga: I'm proud to be an internal auditor. Även om vi i Amsterdam inte erkände detta högt och ljudligt präglades konferensen av stoltheten över den bredd vad gäller inriktning och global spridning samt det ständiga nytänkande som präglar internrevisionen. Den så omtalade mr Coso, Larry Rittenberg, fyllde arenan och var précis så inspirerande och underhållande som alla hoppades. Foto: Inga Astorsdotter. LARRY RITTENBERG Ett av de stora namnen på programmet var COSO:s ordförande Larry Rittenberg. Han inledde med att fastslå att effektiv intern kontroll och riskhantering är bra för affärerna. Därefter fastslog han med samma emfas att effektiv internrevision är ett huvudelement både när det gäller effektiv intern kontroll och riskhantering. Rittenberg menar, med stöd från ett antal forskningsrapporter, att brister i den interna kontrollen både minskar förtroendet för olika organisationer och ökar kapitalkostnaden. En ständigt förbättrad intern kontroll, riskhantering och verksamhetsstyrning är en nödvändighet för att en organisation ska fortleva. På samma sätt som COSO är i ständig utveckling och förnyelse påpekar Rittenberg att internrevisionen måste utvecklas och förnyas: Do not let the profession be defined by the Moment! FLEMMING RUUD Från Universitetet i Zurich och Handelshögskolan i Oslo kom den för svenskar så bekante professorn Flemming Ruud. Hans tema på konferensen var huruvida riktlinjerna för revision ska byggas på principer eller regler. Ruud menar att trenden och fokus de senaste åren har varit allt mer inriktad på regler istället för principer och på kontroll istället för ansvar. Han menar att det bara är genom att tillämpa sunda principer i såväl redovisning som styrning som dagens företag bättre kan hantera de nya utmaningarna i ett affärsliv som präglas av ökad komplexitet, turbulens och snabba förändringar. Alltför stort fokus på detaljerade regler istället för sunda principer är, enligt Ruud, rentav ett av skälen till de senaste årens skandaler. Det finns inget som tyder på att SOX och andra nya regler som skapats till följd av enstaka händelser har någon som helst effekt på framtida maktmissbruk. FORTS PÅ NÄSTA SIDA INTERNREVISION 4/2007 5

6 AMSTERDAM 2007 Internationellt forskningssymposium om IT-revision Men tyvärr fanns ingen svensk forskning på plats Isamband med konferensen i Amsterdam anordnade IIA:s Forskningsstiftelse det andra internationella symposiet med inriktning på forskning om ITrevision. Sex konsulter, forskare och forskargrupper var utvalda att presentera och diskutera sina projekt. Mer än 60 personer verksamma inom området informationsteknik och internrevision deltog. Syftet var bland annat att skapa en portfölj med olika ämnen inom området ITrevision och att hitta ämnen som ska finansieras av IIA:s forskningsfond. Symposiet syftade även till att sprida kunskap om behoven som finns inom IT-revisionsforskningen och att sprida kunskap om forskningsresultat till yrkesverksamma. Svensk forskning var tyvärr inte representerad, förmodligen beroende på att revisionsforskning är ett försummat forskningsområde i Sverige. Däremot saknade symposiet inte svenska forskare. Från Erasmus University i Rotterdam kom svenskan Anna Nöteberg, disputerad forskare och lärare. Anna Nöteberg, svensk forskare i Rotterdam och Glen Gray från Californien, ett nytt team i samarbetet om it-forskning. FRÅN FÖREGÅENDE SIDA Ruud slutade med att citera Mervyn King: I think principles are more effective than rules, simply because it s easier to get around a rule than to get around a principle. MÅNGA SVENSKAR Sverige var bättre representerad än vid någon tidigare IIA konferens. Vi var mer än 40 svenska kollegor som passade på när den hölls på europeisk mark. Nästa år hålls konferensen i San Fransisco och då kommer kanske inte lika många. Men många av oss fick mersmak och vem vet? Även om det är långt till Kalifornien så kommer IIA 2008 inte bara vara större än Amsterdam, utan även billigare. Vi hade även glädjen att träffa en mängd representanter från Sydafrika som gjorde sitt bästa för att locka oss till IIA:s internationella konferens 2009, som går av stapeln i Johannesburg. INGA ASTORSDOTTER VILL DU VETA MER? Gå in på klicka på Program. Alla presentationer finns tillgängliga under resten av året. Anna Nöteberg presenterade tillsammans med den i IIA-forskning mycket namnkunnige Glen Gray, California State University, ett av symposiets mer intressanta projektförslag. Projektet har titeln: The Role of the Internal Auditor in the Control of System Development Projects to Reduce Failures. IT-historien är kantad av misslyckad systemutveckling, exempelvis gav McDonald s upp ett projekt efter två år sedan det kostat 170 miljoner dollar. Genom att utarbeta bättre verktyg för att medverka i projekten kan internrevisionen förhindra misslyckade utvecklingsprojekt och stärka sin ställning inom organisationen. Övriga projekt hade följande titlar: Why Does Information Technology Cost So Much? Bernice Lemaire, Lemaire Consulting, USA Using IT Maturity Concept for Evaluating Internal Control Effectiveness of Outsourcing and Co-sourcing Business Processes; János Ivanyos, Memolux Ltd. (H), Hungary Continuous Auditing Lessons For Internal Auditors From Two Decades of Putting Theory into Practice; Michael Alles, Rutgers Business School, USA Information Technology Security Securing Behavior; Walter O. Baggett, Manhattan College, USA Development of Continuous Privacy Monitoring (CPM) Software based on the AICPA/CICAs GAPP; Marilyn Prosch, Arizona State University, USA Symposiet avlutades med att forskare och deltagare diskuterade de olika förslagen till forskningsämnen. Deltagarna fick möjlighet att ge sina uppfattningar om hur projekten skulle kunna förbättras innan de färdigställs för definitiv ansökan. INGA ASTORSDOTTER IIA RESEARCH FOUNDATION IIA:s forskningsstiftelse grundades Stiftelsen tar fram riktlinjer för internrevision och delar bland annat ut medel till forskning inom internrevisionsområdet. Den har även en egen bokhandel med egenutvecklat material som exempelvis CBOK. Donationer för att främja kvaliteten inom forskning och undervisning inom internrevision välkomnas varmt. 6 INTERNREVISION 4/2007

7 AMSTERDAM 2007 Reflexioner om etik, bedrägerier, manipulationer och psykopater Gunilla Liljeroth om konferenserna i Kristiansand och Amsterdam KRISTIANSAND Den 3-6 juni i år höll vår systerförening i Norge, NIRF, sin årliga konferens i Kristiansand på norska sydkusten. I Norge har man tagit för vana att alltid ha konferensen i olika norska städer och alltid starta med en byvandring i syfte att ge deltagarna en känsla för var de befinner sig. Konferensen inleds sedan med ett välkomsttal och en kort föredragning av kommunstyrelsen om kommunen. Något att ta efter i Sverige också? Temat för den norska konferensen var Etikk. De etiska värderingar och den interna moral som råder i en organisation är ibland både en förutsättning för den goda interna kontrollen, och samtidigt ett sista skydd mot bedrägerier och oegentligheter. Programmet bjöd på en hel serie intressanta etiska frågeställningar från olika infallsvinklar. Deltagarna fick bland annat ta del av professor Heidi von Weltzien Höiviks jämförelse mellan etik och ekonomisk rationalitet i näringslivet och det stora gap föredragshållaren tycker sig se mellan den rationella människosynen i den teoretiska världen och den känsloladdade, reflekterande och irrationella etiska synen. Den teoretiska människosynens målsättning kan oftast beskrivas som någon form av nytta där medlet att nå fram är rationalitet och metoderna bygger på vetenskapliga processer. Den etiska målsättningen däremot, är oftast självförståelse och det goda livet, där medlet att nå dit är reflexion och hänsyn och metoden en kvalitativ process. Det är en grannlaga uppgift för företagsledarna att närma sig detta i sin vardagliga styrning av bolagen. Verkligheten visar också att vi människor går tillväga på olika vis. I USA styr lagstiftaren, medan vi i Europa i högre grad försöker låta värderingar och sunt förnuft styra. Etisk placering av pensionen? Hilde Jervan från norska Statens pensionsfond Utland, berättade om dilemmat i att placera norska folkets pensionspengar på ett etiskt riktigt sätt. Fonden är en av världens största och ägs av kommande generationer till vilka man vill lämna över både en god förräntning och ett ekologiskt hållbart handlingssätt. Att fondens pengar bygger på oljeinkomsterna ger också ett strakt incitament att på sätt och vis betala av på den ekologiska skulden kan man anta (min egen anm). Norska Finansdepartementets ansvarar för förvaltningen av fonden men det operativa ansvaret har överlämnats till Norges Bank som placerar medlen efter instruktioner från departementet. Vad som är en oetisk placering avgörs enligt en flerhövdad strategi. Dels tillämpas något man kallar negativ filtrering. Det innebär att man märker ut vad som betraktas som oetisk verksamhet. Detta är fondens etikråds uppgift, se En långsiktig, kontinuerlig utvärdering av hur företagen arbetar är också ett av kriterierna i bedömningen. Själva produkten och dess korta livscykel spelar mindre roll. Ett annat kriterium för etisk bedömning är något som på norska kallas ad-hoc uttrekk, innebärande att om bara misstanke finns om kränkningar av mänskliga rättigheter, miljöskador, korruption eller grunda etiska normer hos företagen så bannlyses de i placeringsinstruktionen. Det räcker med en uppskattad risk för att företagen ska uteslutas. Man behöver inte kunna bevisa misstankarna eller risken. Varsleren i Siemens Konferensens klo, om man får uttrycka sig så, var nog berättelsen från en så kallad whistleblower inom norska Siemens. Incidenten, som inte är helt utredd än, hade sin grund i att Siemens vann ett ramavtal med norska försvaret år Kontraktet gav sedan inte riktigt det Siemens hade förväntat sig. Tyska moderbolaget krävde mer och det var antagligen orsaken till att ett antal anställda mycket högt upp i organisationen började gå över sina befogenheter. Vår whistleblower, som arbetade inom ekonomisektionen, upptäckte felaktiga belopp i bokföringen avseende dessa kontrakt. Han tog upp problemet med ekonomichefen men överfaktureringen fortsatte. Han informerade vidare i organisationen om detta, skriftligen, men utan resultat. När årsredovisningen innehöll, enligt honom, kraftigt felaktiga uppgifter ville han inte längre vara en del av skeendet utan skickade då ett anonymt brev till styrelsen i Siemens Business Services i Norge. Han tog då inte med i beräkningen att hans egen ekonomichef satt i styrelsen! Det är svårt att vara anonym i en fråga som så ytterst få känner till. Skillnaden mellan anonymitet och konfidentialitet påpekades av en annan föredragshållare på konferensen. För att stimulera personalen att våga lämna känsliga uppgifter om oriktigt beteende ska konfidentialitetsbegreppet uppmuntras. Det betyder att uppgiftslämnaren måste uppge sitt namn men att mottagaren inte får avslöja namnet. Anonymitet är mycket svårare att garantera. Därför vidtog en lång och besvärlig period för uppgiftslämnaren i Siemens. Han hade inte räknat med den här utvecklingen och hade inte heller försett sig med bevis av eftersom han till att börja med antog att omedvetna fel begåtts. Han beskrev mycket målande hur han skaffade fram belägg för sina påståenden och hur stämningen omkring honom tätnade till att bli näst intill hatisk bland gamla kollegor. Han skickade då information till ledningen i Tyskland som kallade dit honom eftersom han tydligen inte hade begripit tidigare förklaringar. Enligt vår whistleblower, eller varslare som man säger i Norge, var kontrakten nu plötsligt försvunna. Under perioden sades han sedan upp på grund av arbetsbrist! Då gick han ut i tidningarna med sina uppgif- INTERNREVISION 4/2007 7

8 AMSTERDAM 2007 ter. Försvaret tillsatte en utredning som inte resulterade i någonting. Nästan ruinerad med höga lån på huset och en hustru som börjat tröttna på hela situationen och honom också, fann han sig utlämnad till ett kallt mörker. Efter regeringsskiftet i Norge tillsatte den nya försvarsministern till all lycka en ny utredning som resulterade i att Siemens erkände en del av felfaktureringen. Varslaren fick en offentlig ursäkt och ekonomisk ersättning. Ringar på vattnet har även spritt sig till Tyskland där huvuden också har rullat. Det är dock en annan historia. Från internrevisionsperspektiv finns det mycket att lära av den här historien men en mycket viktig lärdom, som jag ser det, är hur oerhört viktigt det är att ha så vattentäta bevis som möjligt tillgängliga innan man vidtar några åtgärder. En tydlig, spårbar dokumentation som är väl underbyggd kan innebära oerhört mycket. I det här fallet fanns det inte tid att vänta med dokumentationen tills utredningen var avslutad. Vår teknik att dokumentera på ett snabbt och effektivt sätt är i behov av renovering! AMSTERDAM Årets internationella konferens i Amsterdam innehöll ett helt spår om bedrägerier och oetiskt uppträdande. Över hela världen upptäcks allt fler bedrägerier i en allt snabbare takt. Vad är orsaken till ökningen, vilka begår brott, vilken typ av bedrägerier är vanligast, vilka tecken ska man leta efter och vem upptäcker oftast bedrägerierna? Dessa frågor försökte ett antal föredragshållare ge vägledning i under dagarna i Holland. Etik och integritet Vilka begår då brotten? I fallet i Norge föreföll det som om orealistiska krav på ledningspersonal har varit upptakten. Konferensvärdinnan från 2006 års konferens i Houston, Dianne Sullivan, höll ett mycket inlevelsefullt anförande om varför människor turn to the dark side. Hon ville peka på skillnader mellan etik och integritet. Etik, menade Deanna Sullivan, är något som ligger förbestämt i oss, ett inbyggt regelsystem vi vuxit upp med och lärt in. För att bryta mot vår inbyggda etik som vuxna krävs mycket starka skäl. Integriteten definieras som vår jämförelse med normen, och här menar Sullivan, här har vi alla ett pris! Det förutsätter tre saker: påtryckning, tillfälle och legalisering. Om vi utsätts för hot eller påtryckningar på grund av egen eller andras finansiella kriser, om vi själva eller oss närstående utvecklar alkoholproblem eller spelberoende, lever över våra medel av någon anledning eller kanske känner inte oss uppskattade på arbetet kan vem som helst bli en brottsling även om vår integritet var hög från början. Därutöver måste också ett lämpligt tillfälle yppa sig genom svagheter i kontrollstrukturen. En egen legalisering av den utförda handlingen är också viktig; alla gör så, företaget behöver inte detta, jag bara lånar ska snart betala tillbaka, företaget är skyldig mig detta eftersom de betalar så uselt, det är i ett ädelt syfte. Incitament från bolagsledningen kan också mer eller mindre omedvetet bidra till att den norm personalen jämför sig med ändras och att bedrägerierna ökar. Det kan till exempel vara: att ledningen faktiskt premierar olämpligt uppträdande, orealistiska mål och förväntningar, bonusar och ersättningar är inte kopplade till ett etiskt riktigt beteende, en otydlig ansvarsfördelning i organisationen, ett alltför stort fokus på Corner menar att vissa organisationer inbjuder till bedrägerier genom att till exempel ta ut för höga avgifter eller räntor så att kunden tycker sig ha rätt att uppföra sig lika obarmhärtigt tillbaka. sista raden i resultaträkningen, en kortsiktig planeringshorisont, personal som fokuserar på egen målsättning och inte företagets. Genom en enkel frågetävling visade hon att åtminstone hälften av församling ganska lätt skulle kunna hemfalla år bedrägerier! Överbefolkning svält ät upp din granne! Mike Corner, VD i Cobasco Group Ltd i USA, talade, på ett mycket personligt sätt, om hur bedrägerier kan bekämpas. Enligt honom är de flesta av de metoder vi använder idag, upptäckande och preventiva kontroller, enbart kosmetiska slag i luften. Enligt Mike Corners erfarenhet behöver motivet för att begå brott inte alls vara betingat av något slags behov eller trångmål. Vissa stora bedragare motiverade sitt handlande med att hade inte jag tagit pengarna hade någon annan gjort det. Corner menar att vissa organisationer till och med inbjuder till bedrägerier genom att till exempel ta ut för höga avgifter eller räntor så att kunden tycker sig ha rätt att uppföra sig lika obarmhärtigt tillbaka eller genom att ledare för företagen själva synbarligen skor sig på företagets bekostnad. Mike Corner förespråkade så kallade reaktiva kontroller eller vad han kallade reconstructive controls. Vi måste vara mer innovativa i vårt sätt att bekämpa bedrägligt beteende. Vi behöver fokusera på de verktyg bedragaren använder sig av och neutralisera dem. Om verktyget tillhandahålls genom orealistiska förväntningar från ledningen ska kontrollerna inte sättas in för att verifiera att förväntningarna uppfylls. Förväntningarna ska i stället ändras till realistiska sådana. Om företaget verkar inom en bransch där det är svårt att undvika mutor och andra illegala aktiviteter så ska man helt enkelt byta bransch och alltså inte försöka förebygga genom fina etiska policys och preventiva eller upptäckande kontroller. Corner gick till och med så långt i sitt resonemang att han rekommenderade att på ett kontrollerat sätt låta en mullvad begå brott inom organisationen för att på det viset rensa ut de anställda som eventuellt skulle kunna känna sig frestade att begå brott; kanske inte helt möjligt i vår del av världen! 8 INTERNREVISION 4/2007

9 AMSTERDAM 2007 Rebecca S Busch, sjuksköterska, internrevisor och bedrägeriexpert med sin dotter i gala-vimlet: Det finns absolut inga bättre internrevisorer än de som jobbat som akutsjuksköterskor. Han rekommenderade också starkt automatiserade kontroller innebärande att aktiviteter eller processer där risk för bedrägeri finns särskilt ska märkas ut och bevakas maskinellt. Alla avvikande betalningar inom en process till exempel, flaggas automatiskt upp av systemet som också kräver en motaktivitet av någon form. Möjligheterna till bedrägerier är så oerhört många i stora organisationer att Mike Corner anser att tekniska hjälpmedel behövs. Därutöver behövs också en stor portion tur, avslutade han sin föredragning med! På sitt eget vis berör egentligen Mike Corner samma ämne som hela den norska konferensen; alltså den goda etiken som enda räddningsplanka om man vill driva företag i en värld av ohederlighet och bedrägligt beteende. Vissa människor, människor med en naturligt god moral och hög integritet, ger inte efter utan står på sig och rapporterar oegentligheter när de ser sådana. Vilka är dessa människor och under vilka förutsättningar kan de verka? We are just ordinary people placed in some extraordinary situations and did the right thing Rebecca S Busch från Medical Business Associates berättade i Amsterdam om några andra kända whistleblowers inom Enron, FBI med flera, vilka de är och hur har deras liv egentligen tett sig. Visslarens liv är oftast föga glamoröst. Isolering på arbetsplatsen, trakasserier, avsked utan anledning, arbetslöshet, offentlig förnedring, dagliga hot mm kan vara en visslares vardag. För att en whistleblowingfunktion ska kunna fungera krävs enligt Rebecca Busch: ledare som föregår med gott exempel, en företagskultur som uppmuntrar integritet och kritik, ett personligt ansvarskännande hos alla anställda som går utanför den egna arbetsbeskrivningen, riktiga och öppna kommunikationskanaler, en miljö där man talar med varandra. Vilka är då dessa människor som offrar så mycket och upppenbarligen får så lite tillbaka? En amerikansk whistleblower svarade att we are just ordinary people placed in some extraordinary situations and did the right thing as all should do. Erfarenheten visar också just detta. Det är vanliga människor av alla kategorier och yrkesroller med hög etik och integritet vars beteende ger oss alla andra hopp om framtiden. Rebecca S Busch gav också sin syn på vilka som inte håller måttet och blir bedragare. Dessa personer behöver oftast ett motiv, tillfälle och ett rättfärdigande av handlingen inför sig själva precis som Deanna Sullivan också konstaterade. Men en viss sorts personlighetstyper behöver inte ens det enligt Busch som menar att ungeför 4 procent av befolkningen lider av någon sorts antisocial personlighetsstörning, APD. Det skulle i runda tal innebära att drygt 6 miljarder individer runt om i världen begår brott helt utan motiv. Om någon besitter minst tre av följande sju egenskaper menar Busch att det finns fara för att personen lider APD: svårighet att anpassa sig till normala sociala normer, opålitlighet, impulsivitet, aggressivitet, okänslighet inför andras situation samt oförmåga att känna ånger. Psykopaten på arbetsplatsen Ovanliga och farliga personligheter var också temat för Dr John P. Clarkes mycket uppskattade föredrag om psykopater på arbetsplatsen. Dr Clark, förhållandevis ung jämfört med resten av talarna, är professor i psykologi i Sydney med kriminalpsykologi, seriesexmord och organisationspsykopati som specialområden. Psykopaten nöjer sig inte INTERNREVISION 4/2007 9

10 AMSTERDAM 2007 Psykopaten skapar gärna relationer med användbara personer högre upp i organisationen och sprider sedan rykten om tidigare medarbetare som hjälpt psykopaten att klättra på karriärstegen. Målet är att skaffa sig makt över och oskadliggöra dem. med att bedra arbetsgivare och kollegor. Psykopaten drivs av sin önskan efter total makt och ödelägger både individer och företag på sin väg genom livet. De är dock svåra att identifiera eftersom deras initiala uppträdande ofta är mycket socialt och trevligt. De är charmiga och intelligenta, men besitter en djup insikt i hur man tränger in i en annan människas personlighet för att skaffa sig makt över denne. Psykopaterna återfinns ganska ofta i våra fängelser även om de flesta antagligen befinner sig på fri fot och är oerhört svåra att få fast. Den forskning som bedrivits på psykopater är baserad på sådana som sitter i fängelse eller som på annat vis tydligt har identifierat sig. Detta kan kanske ge en viss snedhet i forskningen om psykopaterna Förutom fängelserna är politiken, penningmarknaden och affärsvärlden branscher där psykopaternas egenskaper till viss del premieras varför de tenderar att vara fler i dessa yrkesgrupper än i andra. Andra yrkesgrupper där psykopater har identifierats är polisväsendet, vaktpersonal i fängelser, specialstyrkor inom det militära, säkerhetspersonal, försäljning och även inom revisorsyrket menade Dr Clark. Å andra sidan är revisorer något som psykopaten vanligtvis avskyr, eftersom risk för avslöjanden kan finnas, varför vi revisorer kanske kan räkna med särskild uppmärksamhet från den här kategorin under vårt yrkesutövande! Clark delar in psykopaterna i olika typer, men gemensamt för dem alla är att de saknar samvete. Psykopati är något som endast kan diagnostiseras hos vuxna även om läggningen, i efterhand, kan spåras redan i barndomen. Den är vanligare bland män än bland kvinnor. Bland egenskaperna utmärker sig förutom charm och starkt maktbehov även egocentricitet, starkt impulsiv läggning, starkt behov av spänning, att lätt bli uttråkad, patologisk lögnaktighet, avsaknad av ansvarskänsla, manipulativ läggning, aggressivitet, dålig självkontroll, en parasitisk levnadsstil, ansvarslöshet, ett stort antal relationer med det andra könet, ofta en promiskuös sexuell läggning och flera andra ganska otrevliga egenskaper. Psykopaten på arbetsplatsen drivs av en stark önskan att nå högt på karriärstegen och skaffa sig makt. Om han eller hon på vägen lyckas ödelägga ett antal människors liv så ses detta som en extra bonus på vägen, menar Clark. Precis som för en spelberoende ses själva handlandet, alltså jakten efter makt, som lika viktigt som målet. Psykopaten söker sig ofta till företag under stark omvandling. I ett föränderligt skede märks inte manipulationer lika mycket. Väl på arbetsplatsen börjar psykopaten analysera sin omgivning i syfte att identifiera svaga länkar i organisationen och de personer som har någon svaghet psykopaten kan utnyttja. Hur väl psykopaten kan utnyttja sina medarbetare beror bland annat på deras organisatoriska position, den tekniska kompetensen, deras närhet till viktig och känslig information och vilken kontroll över företagets tillgångar de har. Psykopaten börjar sedan medvetet skapa oreda och konflikter mellan medarbetarna i syfte att sedan själv lösa konflikterna och komma i bättre dager hos ledningen. Han eller hon skapar gärna relationer med användbara personer högre upp i organisationen och sprider sedan rykten om tidigare medarbetare som hjälpt psykopaten att klättra på karriärstegen. Målet är att skaffa sig makt över och oskadliggöra dem. Psykopaten behandlar inte alla illa; bara de personer som står i vägen för honom eller henne eller kan vara användbara. Offren, däremot, behandlas till en början med intensiv uppmärksamhet så de känner sig uppskattade och behövda. Offret fås att tycka om och beundra psykopaten. Offret isoleras på sätt och vis från kollegor och kanske till och med familjen genom övertidsarbete. Psykopaten engagerar sig i offrets privatliv, spelar golf med offret och stärker på många vis offrets bild av psykopaten som en hyvens kille. Han eller hon tillfredsställer också offrets och offrets familjs behov av pengar, makt, lyxartiklar med mera. Därefter startar processen när psykopaten börjar skapa dåligt samvete hos offret för att öka beroendet; till exempel att offret inte är tillräckligt tacksamt och vad som kan hända om inte tillräcklig tacksamhet visas. Offret manipuleras till att tro att han eller hon egentligen inte förtjänar psykopatens uppmärksamhet. Det får oftast offret att anstränga sig ännu mer och till exempel låna ut pengar till psykopaten eller jobba över ännu mer. Så småningom har inte offret någon självkänsla kvar alls. Då är det dags för själva slakten, som Dr Clark formulerade det. Offret oskadliggörs genom att han eller hon blir sjuk, byter jobb, avskedas eller kanske till och med tar sitt liv. Dr Clark visade en lista över ett trettiotal olika sjukdomssymptom som kan härledas till en psykopatisk medarbetare eller chef. Offret själv sätter inte alltid symptomen i samband med psykopaten. Hjälplösheten blir i stället total. Vad kan man då göra åt situationen och psykopaten? Det är mer eller mindre omöjligt att identifiera en psykopat vid anställningsintervjun. Där är han eller hon i sitt esse. Om inte tillräckligt bra betyg eller referenser finns så har psykopaten ordnat det i alla fall. Intervjusituationen är en önskesituation för psykopaten! I förebyggande syfte kan till exempel utbildning i stresshantering, team-buildingkurser med mera vara värdefulla. Mentorskap och coaching kan också hjälpa en enskild medarbetare att inse vad som håller på att hända. Expertisen inom området är annars inte så stor. Enligt forskningen lär sig inte psykopaten nödvändigtvis av, eller svarar inte på, social 10 INTERNREVISION 4/2007

11 AMSTERDAM 2007 eller fysisk bestraffning. Det enda de reagerar på är inskränkning av de behov de så starkt arbetar för. Förflyttning till en position utan makt kan vara ett sätt att begränsa psykopatens frammarsch menar Dr Clark. Han varnar också för att psykopatiskt beteende inte går att bota. Försök aldrig att ändra på en psykopats beteende säger han. Det är omöjligt och kommer bara att gå ut över dig själv. Det bästa sättet för en enskild individ att hantera en uppkommen situation kan vara att helt enkelt flytta, byta arbete eller att på annat sätt helt bryta kontakten med den skadliga personen. Bättre fly än illa fäkta, som ordspråket säger även om det måste vara mycket förtretligt att bara ge upp. Det är nästan omöjligt att i skrift återge med vilken inlevelse och engagemang Clark beskrev dessa, som han kallar det, mycket farliga människor som vi alla behöver vara på vår vakt mot. År 2002 utgav han en bok, Touched by the Devil, som kan rekommenderas till alla intresserade! GUNILLA LILJEROTH Kollegor från olika håll i världen möttes i Amsterdam. Här Klas Schöldström som hade glädjen att återse sina kinesiska kollegor. Sydafrika var välrepresenterat i Amsterdam och marknadsförde sig med glädje och färg inför IIA:s internationella konferens i Johannesburg 2009, för att inte tala om fotbolls VM Nyanlända svenska kollegor i förväntasfullt samspråk på välkomstmottagningen. Foto: Inga Astorsdotter och Larry Ribbeklint. NÅGRA BOKTIPS: The Tipping Point av Malcolm Gladwell rekommenderades av Mike Corner Deception at Work Investigating and Countering Lies and Fraud Strategies av Michael Corner och Timothy Stephens, konkret och ganska festlig fraudhandbok. Conflict Management and Negotiation Skills for Internal Auditors av Joan Pastor som talade på förra årets konferens, men boken i samma ämne har publicerats först nu. INTERNREVISION 4/

12 Helt såld på att IIA är en global förening Nordeas Frank Alvern är ny ordförande för IIA:s Board of Regents På kongressen i Amsterdam i juli valdes Frank Alvern, Nordea, till ordförande för Board of Regents och är därmed en av 37 ledamöter i IIAs styrelse. Utbildningsfrågor ligger varmt om hjärtat för Frank Alvern som själv har både CIA, CCSA och som tidigare IT-revisor också CISA-examen. Utbildning inbegripet certifiering är viktigt för att synliggöra kompetensen hos internrevisorer, säger Frank. Vi är idag cirka med CIA-examen, vilket är en symbol för kompetens, likadan över hela världen. Som ordförande för BOR har Frank satt samman en grupp bestående av 14 ledamöter: Fyra från USA, en vardera från Canada, Argentina, Norge (Frank själv som är bosatt i Oslo), Tyskland, Frankrike, Österrike, Syd-Afrika, Kina, Japan och Taiwan. Tillsammans ska de definiera vad The Common Body of Knowledge for Certfied Internal Auditors, CBOK, står för när det gäller certifieringsfrågor. Det handlar till exempel hur certifieringarna ska se ut i framtiden, frågornas innehåll och vilken typ av certifiering som behövs inom respektive område. Inte minst viktigt är att upprätthålla kvaliteten och säkerhetsfrågorna runt examinationerna. Foto: Åsa Wallberg ETT EXEMPEL ÄR CBT, Computer Based Testing, som innebär att CIA-provet från februari 2008 görs direkt på en datorskärm i ett testcenter. Svaret på om du lyckats eller ej får du direkt efter avslutat prov. CBT förkortar därmed svarstiden för de kandidater som enligt statistik från 2006 skrev närmare delprov av CIA. Säkerheten och integriteten kring själva examenstillfället har varit svårast att lösa, säjer Frank Alvern som varit med och tagit fram CBT. Men kandidaterna uppskattar säkert flexibiliteten i att kunna ta provet när det passar dem. BOR tillsattes 1973 i samband med att CIA-certifieringen skapades och sammanträder tre eller fyra gånger per år. Frank Alvern menar att BOR är den mest globala kommittén inom IIA och måste vara det då certifieringarna är internationella produkter. Fler och fler länder skriver certifieringsavtal med IIA. Exempelvis Kina som har starkt växande IIA-föreningar och nu blivit en viktig del för IIA varför BOR hade sitt höstmöte år 2006 i Bejing. Jag är helt såld på att IIA är en global förening och vad IIA kan göra för utvecklingen av internrevision, säger Frank Alvern. Från att ha varit en nordamerikansk förening har vi nu över medlemmar världen över. Men det gäller att medlemsföreningarna också engagerar sig i det internationella arbetet. Frank är förutom BOR även med i Volunteer Structure Task Force och var under tre år tidigare engagerad i Advanced Technology-kommittén inom IIA. Med hustru och fyra barn mellan 5 och 15 år i Oslo och halva arbetstiden för Nordea förlagd i Stockholm är det svårt att förstå hur han hinner med alltihop. En förstående fru och arbetsgivare är förstås en förutsättning, säger Frank, men samtidigt befrämjar IIA-uppdragen och arbetet varandra. FRANK HAR SOM Head of Business Support Audit i Nordea alltid verkat för att utbildning och möjlighet till certifiering ska vara en självklar support till Nordeas internrevisorer liksom andra typer av stöd som revisionsverktyg, arkiv för revisionsrapporter eller IT-support. En medarbetare arbetar enbart med utbildningsfrågor och informationshantering av detsamma och är aktiv inom Internrevisorerna i Sverige. Det internationella arbetet med BOR och IIA är både fackligt och personligt givande, säjer Frank som menar att han lärt känna många spännande människor som alla har det gemensamma att de vill utveckla internrevisionsprofessionen. Ta därför chansen och engagera Dig i Internrevisorerna i Sverige det kan bli roligare än Du trott! ÅSA WALLBERG Beteckningen Board of Regent är hämtat från den amerikanska akademiska världen och kan uttydas som "del av (universitets-)styrelsen". The Common Body of Knowledge (CBOK) kallas resultatet av en undersökning år 2006 översatt till 17 språk och besvarad av respondenter i 91 länder varav 89 är IIA-föreningar. Resultatet samlades i en databas som nu tjänar som underlag för frågor kring internrevisionsyrkets framtid, utbildning och utveckling. Certifieringsavtalet mellan ett land och IIA förtydligar ansvarsområden och uppgifter mellan IIA och landet avseende certifieringar men också intäktsfördelningen och annan typ av administration. CBT innebär att under perioderna februari mars, maj juni, augusti september och november december från och med år 2008 är det möjligt för kandidaterna att göra CIA-, CGAP-, CFSA- och CCSA-provet på dator i testcentra anordnade av en samarbetspartner till IIA. Leverantören av CBT, Pearson Vue, genomför över 40 miljoner datorstödda examineringar i 145 länder på en mängd olika språk årligen. 12 INTERNREVISION 4/2007

13 IIA Sydafrika fokuserar på kompetensutveckling Sverigeaktuella Veronica du Preez om en livaktig IIA-förening med många medlemmar Sedan år 2001 har Chief Executive Officer Veronica du Preez fokuserat på kompetensutveckling och skicklighetsträning av de mer än 5000 medlemmarna i IIA Sydafrika (IIA SA). När den sydafrikanska regeringen skapade The Public Finance Management Act i början på år 2000 ökade behovet av internrevision, säger Veronica du Preez. Strax efteråt lanserades The King Report om ägarkontroll och detta viktiga dokument spädde på efterfrågan på internrevisorer. IIA SA har startat en unik form för integrerad träning som kallas Lärande-program. Det finns två nivåer i programmet: Först kommer Internal Audit Technician (IAT)-nivån där deltagaren utvecklar sin förmåga att kommunicera revisionsresultatet. Sedan följer General Internal Auditor (GIA)-nivån som fördjupar och utvecklar deltagarens revisionskunskaper. IAT-programmet består av 21 dagars fokuserad träning där deltagarna arbetar i smågrupper över en tvåårsperiod. Sammanlagt 600 personer från olika sektorer har deltagit i programmet. Programmet har fått ett mycket gott mottagande och nuförtiden rekommenderar HR-avdelningarna sina anställda att delta, säjer Veronica du Preez. Alla deltagare måste på sina arbetsplatser visa vad de lär sig i programmet och i en Loggbok skriva ner sina kunskaper och få dem bekräftade av sina kollegor. Deltagarna är vid programmets slut förhoppningsvis också bättre förberedda för att ta CIA-certfikatet. IIA SA ERBJUDER sina medlemmar 53 kurser i år. Kurserna är anpassade efter den nya lagstiftningen i Sydafrika och är fördelade på fem områden: Teknisk färdighet/skicklighet, exempelvis Riskbaserad revision, offentlig sektor som Granskning inom den offentliga sektorn utifrån COSOmodellen, aktuella ämnen (ett av dem är kännedom om bedrägeri ), skicklighet i yrkesutförande där bland annat kursen Konsten att förenkla erbjuds), Veronica du Preez tillsammans med Carina Petersén-Malmström. Kanske de talar om Veronicas kommande besök i Sverige under Internrevisionsdagarna. området Informationssystem med kurser inom IT-revision. För att ytterligare uppmuntra medlemmarna att gå kurser har avgiften varit densamma de senaste fem åren. Revisorer inom den statliga sektorn får också en gratis träningsdag i grundläggande revision. Därutöver samarbetar IIA SA med andra akademiska institutioner såsom IAEP inom Pretorias Universitet som handhar revisionsutbildning på filosofie kandidat-, magister- och honours degreenivå. Den sistnämnda är en kvalificerad examen med tre bedömningsnivåer. Veronica du Preez har också medverkat till att starta IIA-föreningar i Kenya (med FAKTA OM IIA SA IIA SA är den tredje största IIA-föreningen i världen. IIA SA har vuxit från 1000 medlemmar år 2001 till över 5000 år 2007, både från privat och offentlig sektor. IIA SA:s huvudkontor ligger i Johannesburg och har 21 anställda. I landets nio provinser finns en kommitté som ger service åt medlemmarna inom sitt område. IIA SA:s hemsida: över 700 medlemmar efter endast ett år) i samarbete med IIA och Världsbanken, liksom i Moçambique och Uganda. VERONICA INITIERADE The Governance Imperative Conference i mars 2007 som ett samarbete mellan IIA SA, The South African Institute of Chartered Accountants (SAICA) och The Institute of Directors och The Institute of Risk Management South Africa. Över 400 Senior Executives, Audit Committeemedlemmar, Risk Managers och internrevisorer gavs möjligheten att diskutera internrevisionsrollen och behovet av internrevision, Audit Committee-arbetet, externrevisorernas roll och mycket annat. Den sydafrikanska regeringen stödjer helhjärtat IIA SA och vårt fokus på riskbaserad revision. Revisionsarbetet har helt klart rört sig från finansiell revision till att fokusera på var riskerna inom en organisation föreligger som exempelvis i rekryteringsprocessen, säger Veronica. Därför måste internrevisionsarbetet ha ett mycket proaktivt fokus. Ta chansen att träffa Veronica du Preez då hon är en av våra gästföreläsare på Internrevisionsdagarna i november! ÅSA WALLBERG INTERNREVISION 4/

14 Peter Ambroson och William Stannervik, i februari i år. En granskning förlagd till svenska ambassadens trädgård i Harare, Zimbabwe. KULTURELLA KAMELEONTER MED KOLERADRINKAR Internrevisionen på Sida är redo för allt. Att arbeta som internrevisor på Sida ställer krav och ger erfarenheter utöver det vanliga. De båda kulturella kameleonterna och internrevisorerna Peter Ambroson och William Stannervik gör höghöjdsrevisioner. De trivs i en internationell organisation bland goda människor som vill skapa en bättre värld. William Stannervik har tidigare arbetat på SAS och Röda korset. Peter Ambroson kommer närmast från Försäkringskassan och RFV. Ni har varit internrevisorer i andra organisationer tidigare, hur är det att arbeta på Sida? Det roligaste är den internationella miljön, berättar Peter och William, och att det är så många verkligt goda människor både på Sida och bland våra samarbetspartner. Dessutom får vi många nya intressanta perspektiv, exempelvis att få träffa bolivianer och höra om deras syn på riskreducering. Även om Peter och William reser en del sker det mesta av arbetet på Sidas huvudkontor i Stockholm. De menar att det är på huvudkontoret som internrevisionen kan göra mest nytta. SIDAS STÖRSTA STRATEGISKA risk är att pengarna inte används effektivt eller till fel saker. Det är väldigt viktigt att en så påpassad myndighet som Sida ser till att pengarna används rätt, betonar Peter och William. Minst lika viktigt är det att vi får in begreppet risk och internkontrollen i hela organisationen, inte minst i den operativa verksamheten. Och det är här på huvudkontoret i Sverige vi kan påverka utvecklingen av risktänkandet. Internrevisionen rapporterar till styrelsen, men är inte en egen enhet utan ingår i avdelningen Utvärdering och internrevision. Det är stora förändringar på gång för Sida med ny regering, ny generaldirektör och en pågående organisationsöversyn. Från årsskiftet kommer det även att bli en ny typ av styrelse eftersom Sidas nuvarande styrelseform styrelse med begränsat ansvar försvinner. En femtedel av revisionens tid går åt till att granska utlandsuppdrag i någon av de cirka 50 ambassader och sektionskontor där Sida är verksam. William och Peter klarar jobbet med svenska och engelska. Om de ute i fält behöver mer språkkunskaper tar de hjälp av lokala revisorer från någon av de stora byråerna. Det fungerar väldigt bra! Internrevisionerna granskar hur utlandsmyndigheterna identifierar risker, 14 INTERNREVISION 4/2007

15 vilken intern kontroll de har och att kontrollerna fungerar. William berättar att inställningen till internrevisionen är positiv när de kommer ut i fält: När vi kommer ut och säger att vi kommer från huvudkontoret och är där för att hjälpa, då tror de faktiskt på oss. DET VI ANMÄRKER PÅ kallar vi inte för brister utan förbättringsområden. En kvinna från forna Sovjetunionen blev riktigt förvånad. Hon berättade att enligt hennes tidigare erfarenheter ledde ett besök av internrevisionen alltid till att någon fick sparken. Hon blev glatt överraskad över att det inte var så på Sida. Ibland får Peter och William göra akututryckningar. Som internrevisor på Sida får man vara beredd på att snabbt kunna åka iväg till något avlägset land. Det gäller att alltid vara vaccinerad mot allt och alltid ha malariatabletter och koleradrinkar i beredskap. FAKTA OM SIDA Swedish International Development Cooperation Agency eller Styrelsen för internationellt utvecklingssamarbete. Omsättning: 15 mdr kr (2006) Anställda: Cirka 800, varav 188 som arbetar i fält vid ett femtiotal ambassader och sektionskontor. Mål: Att bidra till att skapa förutsättningar för fattiga människor att förbättra sina levnadsvillkor. Departement: UD Internrevision: Tre tjänster, varav en under ställning. Väl ute kan vad som helst kan hända. Man åker pansarbil och FN-plan till oroliga platser. Man kan bli kroppsvisiterad. Det senaste året har vi varit i Zimbabwe, Afghanistan, Rwanda, Moldavien och Bolivia. I Bolivia arbetade vi i La Paz som ligger meter över havet. Dessutom räknar vi alltid med att bagaget kommer bort på vägen. Så arbetsmaterial och kalsonger finns alltid med i handbagaget Dessutom måste man givetvis ha tålamod allt tar tid. En internrevisor på Sida måste ha kompetens utöver det vanliga. Det är en fördel om man inte är rädd för sprutor, att man kan sova på flygplan, att klara tidsomställningar och att man kan göra höghöjdsrevisioner. Dessutom ska man inte bara vara social kameleont som vilken revisor som helst, utan helst vara kulturell kameleont också. DET GÄLLER ATT VETA om man ska behålla skorna på eller inte, om man ska skaka hand eller inte, om man ska se kvinnor i ögonen eller inte. Eller om man ska ducka! Ibland är det bra att regelmässigt söka av omgivningarna för att inte riskera att bli rånad. Till slut blir man så van att söka av omgivningarna att man fortfarande gör det när man kommer hem och hämtar barnen på dagis. INGA ASTORSDOTTER INTERNREVISION 4/

16 Strategi och kvalitetssäkring Klas Schöldström rapporterar från CSO-mötet i Shanghai Jag har varit i Shanghai på ett Chief Staff Officermöte, men innan jag berättar om mötet litet bakgrund. CHIEF STAFF OFFICERS En grupp av så kallade Chief Staff Officers (CSO) ansvariga för IIA:s verksamhet i länder där IIA har betalda anställda samlades första gången i september 2003 på IIA:s huvudkontor i Orlando, Florida. Syftet var att informera CSO-gruppen om vad som sker på huvudkontoret. Sedan dess har möten hållits på europeisk och global basis en par gånger per år. CSO-gruppen består idag av 22 represententanter från Argentina, Finland, Korea, Nederländerna, Sydafrika, Australien, Frankrike, Malaysia, Spanien, Storbritannien, Irland, Österrike, Tyskland, Norge, Sverige, Belgien, Italien, Filippinerna, Taiwan, Kina, Japan, Singapore ochthailand. Vi arbetar med att genomföra väl fungerande tjänster på kvalitetsområdet, Computer Based Testing för CIA, en enhetlig global innebörd av vårt varumärke IIA, medverkan i framtagande av strategin för med mera. Att utveckla en effektiv grupp av CSO:s är ett led i genomförandet av IIA:s strategiska plan för Som ett konkret bevis för det betalar IIA resa och uppehälle vid våra möten. Syftet med CSO-gruppen är att koordinera initiativ på global, regional och lokal nivå så att IIA fungerar som en sant global organisation och att vi lär av varandras erfarenheter. Dave Richards, IIA:s ordförande är också ordförande vid möten i CSO-gruppen och det är mycket värdefullt att få direkt kontakt med honom ansikte mot ansikte. CSOgruppen har många fördelar. Den ger oss till exempel mer och tidigare information, nätverksbyggande som ger möjligheter till benchmarking och diskussion om akuta problem dyker upp. Gruppen är också mycket viktig för Dave och huvudkontoret genom att de får direkt information om vad som sker ute i affiliates så att de inte sitter och beslutar i ett elfenbenstorn, i huvudsak baserat på vad som sker i USA. STRATEGIPROCESSEN Mötet i Shanghai handlade bland annat om vikten av att IIA har en koordinerad strategiprocess över hela världen så att det vi gör inte blir summan av vad man råkar vara intresserad av i olika delar av världen för tillfället vilket skulle kunna resultera att vi drar åt olika håll. Vi befinner oss i det sista året av den strategiska planeringen för och börjar nu ta fram den strategiska planen för Det betonades att den strategiska planeringen är kontinuerlig, alltså att vi löpande anpassar oss till förändringar i omvärlden och studerar hur framgångsrika olika projekt och aktiviteter är, så att vi inte lägger upp en strategi och verksamhetsplan och sedan bara följer den utan att fundera över om den fortfarande är rätt väg mot målet. Å andra sidan kan vi naturligtvis inte ändra riktning varje dag, det vore ju ineffektivt. CSO:s synpunkter på den strategiska planeringen har inhämtats. 21 affiliates tillfrågades, Sverige var en av 11 som svarade (utförligt), tillsammans med Argentina, Australien, Österrike, Belgien, Finland, Japan, Norge, Singapore, Sydafrika och Spanien. Det konstaterades att vi är långt ifrån global consensus om vision, strategi och vilken typ av organisation vi egentligen är. Troligen är vi på väg mot en tydligare professionalisering av IIA. Vi är till exempel inte ens klara över något så grundläggande som om vi är en professionell organisation (som till exempel AICPA), en organisation som sysslar med marknadsföring av professionen (advocate), en konferensoch utbildningsorganisation, eller om vi är något som mer liknar en fackförening för att värna varje enskild medlems intressen eller någont annat. De flesta är nog överens om att vi skall vara globala, men det är inte så lätt att nå koncensus om vad det egentligen innebär. Vi befinner oss ännu väldigt tydligt i en mognadsprocess och delar inte en gemensam vision och strategi. Det pågår en utveckling från att vara en organisation som helt drivs av ideella krafter i de mindre utvecklade länderna, via en kombination av ideella och betalda krafter (till exempel i Sverige) till i huvudsak drivna av betalda krafter i de mer mogna, större och ekonomiskt starkare organisationerna. VI MÅSTE TILLFÖRSÄKRA ATT VÅRA MEDLEMMAR FÖLJER STANDARDS För att kunna kalla oss en profession måste vi kunna tillförsäkra att våra medlemmar följer Standards compliance monitoring. Det är i dag oklart om vi vill leverera kvalitetssäkringstjänster på global basis eller om vi vill förlita oss helt eller delvis på Big 4 och andra internrevisionskonsulter. Mer mogna organisationer, till exempel ACCA, har väsentligt högre medlemsavgifter, inte bara serviceavgifter, som täcker teknisk personal och ger möjligheter att leverera extern kvalitetssäkring som en del av medlemsavgiften. Då vi inte är klara över det mer grundläggande resonemanget om vi är en professionell-, marknadsförings-, konferens och utbildnings- eller facklig organisation så är det svårt att enas om vision och strategi. Vi har inte plattformen för en strategi, vi vet inte vilken typ av organisation vi är. Idag accepterar vi vem som helst som medlem som lovar att arbeta för Standards. Dave förde fram tanken att vi i framtiden kanske bara skulle acceptera professionals det vill säga personer som tar en examen och som fortsätter att underhålla den genom utbildningsinsatser under hela sin karriär. Om man är i en profession på längre sikt, så bör man vara utbildad för den. Från olika håll framfördes att det är pinsamt att en organisation för internrevisorer har så svårt att på bred front få accept för kraven i Standards på genomförande av extern kvalitetssäkring och att det inte alls är bra för vår trovärdighet som profession. Dominique Vincenti som är litet av Daves högra hand sade: Vi är litet som reklamen för Canada Dry We look like, taste like (alcohol) but we are not. Vi gör allt möjligt för att se ut som en profession, men det är vi inte. Vi kan bli bittra och frustrerade över situationen på kvalitetssäkringsområdet, men den är bara beviset för att vi inte är en professionell organisation. 16 INTERNREVISION 4/2007

17 Från CSO-gruppens besök i Kina. Foto Klas Schöldström Man kan undra varför medlemmarna inte genomför externa kvalitetssäkringar i större utsträckning. Dave Richards sade att våra medlemmar inte har sagt att de inte har för avsikt att följa kraven på extern kvalitetssäkring, alltför många av dem bara gör det inte. Tror de inte på Standards och på värdet av kvalitetssäkring? Tror vi inte på vår egen tjänst? Det fungerar olika bra i olika länder. I Frankrike har man erfarenhet av att när man väl kommer igång med externa kvalitetssäkringstjänster så blir det en ketchupeffekt. IIA Malaysia som har ungefär samma storlek som Norden har två personer anställda på heltid som bara arbetar med externa kvalitetssäkringar. För mig känns det självklart att vi för att vara trovärdiga på marknaden måste vara en global professionell organisation och det innebär att vi måste genomföra externa kvalitetssäkringar i alla medlemsorganisationer i enlighet med Standards. NYTT AVTAL MED IIA Vi diskuterade mycket annat, till exempel det nya avtalet med IIA som kommer att resultera i att Affiliates blir Institutes att vi närmar oss IIA i en mer sammanhållen global organisation där vi tydligt representerar IIA och inte bara är löst kopplade till IIA. COMMON BODY OF KNOWLEDGE Den mycket omfattande enkäten om internrevision, Common Body Of Knowledge, CBOK, med svar från hela världen kommer snart ut i bokform. CBOK är en mycket viktig källa, bland annat för planeringen av vår utbildning. REGIONALISERING IIA har delat upp 96 affiliates i världen i tre regioner med personer som tillsatts för att få en närmare kontakt mellan huvudkontoret och affiliates. Vår regionansvarige heter Denis Bergevin och han besökte vårt årsmöte och informerade bland annat om hur IIA intensivt arbetar för att bli en sant global organisation, inte så dominerad av Nordamerika som man ibland blir kritiserad för att vara. Man har för närvarande inga planer på att etablera regionala centra, till exempel för Europa. Den viktigaste regionen för vår tillväxt är Kina och Indien men att verkligen satsa så att det märks i denna del av världen skulle kräva finansiella resurser som vi helt enkelt inte har. OFFENTLIG SEKTOR IIA gör för närvarande en särskild satsning på offentlig sektor, bland annat är man i färd med att skapa en europeisk Certified Government Auditor Professional (CGAP). NANJING AUDIT UNIVERSITY HAR STUDENTER! Den tredje dagen besökte vi Nanjing Audit University. IIA Sweden bildades 1951 och är visserligen bara en medelstor affiliate, men ändå hyfsat väl utvecklad i ett internationellt perspektiv. Ändå har vi ännu inte, trots många försök, lyckats etablera internrevision som ett ämne på våra universitet. Att kineserna redan har ett universitet med studenter som inte gör något annat än studerar intern och extern revision, ägarstyrning, riskhantering och kontroll är oerhört imponerande! KLAS SCHÖLDSTRÖM INTERNREVISION 4/

18 Fler svenskar i IIA:s internationella arbete! Vi är mycket glada över att Lars Agerberg, Skandia, och Larry Ribbeklint, KPMG, blivit invalda i IIA:s internationella kommittéarbete. Lars är invald i Academic Relations Committee som arbetar med att etablera internrevision som ett akademiskt ämne. Lars har sedan ett antal månader arbetat med ett svenskt projekt i den riktningen tillsammans med Linköpings Universitet. Larry Ribbeklint, KPMG är invald i International Relations Committee som arbetar med att etablera IIA affiliates i olika länder och att undersöka vad de tycker om IIA:s centrala service till affiliates. Det kan även hända att kommittén avvecklar affiliates, till exempel i Kirgisistan nyligen på grund av dålig kontakt med ledningen. Medlemmarna är dock kvar inom IIA. Larry arbetar med att undersöka servicen från IIA centralt, ett av fyra delprojekt inom kommittén. Han är rätt person för kommittén han har erfarenhet från arbete i 50 länder! Larry Ribbeklint, KPMG, som till föreningens stolthet blivit utsedd till ledamot i IIA:s kommitté för internationella relationer, här med sin hustru Claudia Lara Ribbeklint. Foto: Inga Astorsdotter. VÅR NESTOR INOM IIA:s internationella arbete, Sten Bjelke, klättrar upp några pinnhål och är nu invald i det allra heligaste IIA Research Foundation Board of Trustees en mycket viktig och ansvarsfull position. IIA Research Foundation är en självständig stiftelse för forskning med egen styrelse, helägd av IIA. Sten kommer att medverka i beslut om vilka utvecklingsprojekt som bör finansieras av IIA och vilken inriktning de skall ha. Elisabeth Styf, Riksgälden, har valts till vice ordförande inom The European Confederation of Institutes of Internal Auditing (ECIIA) som representerar 29 IIA affiliates i ett utvidgat Europa. ECIIA:s målsättning är att stödja ställningen för yrkesutövande inom internkontroll och att befordra IIA Standards and Code of Ethics inom all internrevisionsaktivitet inom offentlig sektor och privat näringsliv. Sverige har länge varit aktiva internationellt inom IIA. Utöver Sten Bjelkes insatser under många år så har Hans Löfgren, Pricewaterhouse- Coopers också varit med i det internationella arbetet i många år, inom International Relations Committee och som North & Central Europe Region District Representative. Jag har själv innan jag anställdes hos Internrevisorerna i flera år varit aktiv inom IIA Professional Issues Committee vars uppgift är att kommentera och utfärda vägledningar till medlemmarna om grundläggande koncept, metodik och tekniker för internrevision samt annat som påverkar vår profession. Alla ovan nämnda, och Charlotta Löfstrand Hjelm är medlemmar i Internrevisorernas Internationella Kommitté som har till uppgift att, för styrelsens räkning, bevaka utvecklingen av internationell internrevision samt ge god information till medlemmar om internationell yrkesutveckling genom att aktivt följa, utveckla, påverka, samarbeta, översätta och rapportera om internationell internrevision. FÖRENINGEN SKALL bedriva både nationellt och internationellt kontaktarbete. Goda kontakter medverkar till att skapa framgång för föreningen på olika sätt. Internationella kommittén skall: Aktivt följa utvecklingen inom IIA och i största möjliga mån engagera sig i de internationella frågor som diskuteras. Medverka till att så många som möjligt av medlemmarna medverkar i det internationella arbetet, såväl inom ramen för IIA, som inom ECIIA. IIA Sweden har ett sedan länge väl etablerat mycket gott anseende inom IIA och det är glädjande att vi nu blir fler som bidrar. Det är verkligen roligt och utvecklande att engagera sig i IIA:s internationella arbete och jag vill uppmana alla som har möjlighet och är intresserade att höra av sig till mig eller någon i styrelsen. Arbetet förutsätter att man har godkännande av sin arbetsgivare av en viss budget för tid och resekostnader. KLAS SCHÖLDSTRÖM Generalsekreterare och ordförande i Internationella Kommittén. 18 INTERNREVISION 4/2007

19 INFÖR INTERNREVISIONSDAGARNA: Näringslivets toppar visar stort intresse för Internrevisorerna Snart är det dags för årets stora begivenhet Internrevisionsdagarna. Jag tycker att det viktigaste med dagarna är att umgås och utbyta erfarenheter med kollegor. Det finns ingen annan mötesplats för oss internrevisorer som går upp mot Internrevisionsdagarna. Därför blir årets konferens en tvådagars kurs/seminarium med övernattning för att vi ska kunna umgås även under lediga former på kvällen. Naturligtvis har vi bjudit in Ackes Revisionsorkester som spelar upp till dans efter att vi roats över Matias Golds färdigheter. Det blir verkligen en kväll att se fram emot. Att näringslivets toppar visar intresse för oss har vi fått många bevis på. Inte minst genom att Marcus Wallenberg kommer till oss och berättar om sin syn på Corporate Governance, revisionskommittéer och delar med sig av sin erfarenhet som företagsledare. Förre riksbankschefen och numera ledamoten i den Europeiska Revisionsrätten Lars Heikensten inledningstalar om revisionsrättens uppdrag att vara Europeiska unionens ekonomiska samvete och hur de gör en oberoende granskning av hur EU:s medel uppbärs och används. Att lyckas som entreprenör är inte helt lätt i Sverige men en som verkligen lyckats är Jens Spendrup. Hur det är att bygga upp ett familjeföretag i drycker i ett land med monopol och regler och bestämmelser och som gör allt för att motverka en uppbyggnad, kommer Jens att berätta för oss samtidigt som vi tar en öl eller dricker en Lokavatten med honom. Vår kollega och FAR-SRS generalsekretare Dan Brännström kommer att ge sin syn på hur vi inom revisionsskrået ska kunna samverka med varandra och med gemensamma krafter påverka näringslivet till en förbättrad intern kontroll. I år kommer vi att ha hela fem spår att välja emellan. Spåren har rubrikerna: Corporate Governance som innehåller ledningsfrågor för internrevisorer, Risk Management med olika trender och riskbaserade verktyg, IT med bland annat den nya IT-handboken, Metod med många nyheter inom COSO, Solvency och PPF men också metoder för intervjuteknik och den ensamme revisorns möjligheter. Vi avslutar med ett Globalt spår om internrevisionens utveckling i världen. Det finns något som passar alla och vi har lyckats få många bra och intressanta talare till de olika spåren. Hela programmet finns på Föreningens hemsida så det är bara att anmäla sig och kryssa i vad som är intressant just för Dig. Vi ses i Upplands Väsby i november. Guidon Berggren, ordförande INTERNREVISION 4/

20 Vore det inte trevligt att doktorera i internrevision? Elisabeth Styf berättar hur det ska bli verklighet Hösten 2005 fick jag kontakt med professorerna Fredrik Nilsson och Nils- Göran Olve från Linköpings Universitet. Lars Agerberg och Olof Arwinge (tidigare kollegor) hade under en tid talat sig varma för att det fanns en möjlighet att få ansluta sig till ett licentiatprogram vid Linköpings Universitet (RAC) som är anpassat till revisorer och konsulter. Till en början var jag lite skeptisk, jag hade precis avslutat mina CIA-studier som krävt ganska mycket energi och frustration. Jag tillhör inte kategori som läst in min CIA under några helger och sedan gick upp och tentade av alla fyra vid ett tillfälle. I vilket fall som helst så träffade Lars, Olof och jag Fredrik och Nils-Göran. Efter deras presentation av RACutbildningen bestämde jag och Olof oss för att ansluta oss till programmet medan Lars ännu avvaktar. KORT OM UTBILDNINGEN RAC (the Research programme for Auditors and Consultants) är en forskarskola med inriktning mot redovisning och revision som bedrivs vid ämnesområdet Ekonomiska informationssystem. Ämnesområdet ingår sedan januari 2007 i Institutionen för ekonomisk och industriell utveckling som är den största institutionen vid Linköpings universitet. Professor Fredrik Nilsson ingår i institutionsledningen. Inom RAC kombineras forskarkurser och licentiatarbete med det egna arbetet. Programmet beräknas ta cirka tre år om man samtidigt har ett ordinarie arbete att sköta. För att få en licentiatexamen krävs sammanlagt 80 poäng (enligt det gamla poängsystemet), varav hälften utgörs av en akademisk avhandling och hälften av genomförda och godkända doktorandkurser. Vill du få en doktorsexamen krävs ytterligare 80 poäng. Man har möjlighet läsa lämpliga kurser inom redovisning, revision, ekonomistyrning, informationssystem med mera även vid andra universitet i Sverige. För att utföra ett avhandlingsarbete krävs närvaro vid de forskarseminarier som anordnas vid Linköpings Universitet. Licentiatavhandlingen genomförs som ett självständigt arbete, inom områden som anknyter till redovisning, revision eller ekonomistyrning. Intressant att notera är också att ämnesområdet Ekonomiska informationssystem planerar att under 2008 ge en grundutbildningskurs i intern revision och corporate governance. Ämnesområdet har även många andra intressanta kurser såsom exempelvis strategisk ekonomistyrning och strategisk IT-användning. Om du är intresserad av att ansluta dig till RAC eller läsa en enstaka kurs tag gärna kontakt med mig eller Fredrik Nilsson, fredrik.nilsson@liu.se, tel ) MIN FORSKNING Jag har de senaste åren i likhet med många andra internrevisorer intresserat mig för Corporate Governance-frågor. Under min tid som revisionschef på såväl TeliaSonera som Skandia funderade jag en del över det så kallade paradigmskifte som skett när ägare, lagstiftare, börser med flera de senaste åren har fokuserat på att få en bra styrning och kontroll av företag och organisationer. När många svenska företag blev berörda av SOX-lagstiftningen och när den svenska koden för bolagsstyrning började gälla 1 juli 2005 blev dessa frågor mycket aktuella. DEN HÄR FISKEBÅTEN har absolut inget att göra med akademiska studier i internrevision. Den är med stor sannolikhet inte heller på väg till konferensen i Amsterdam. Men det är en fin bild, därför publicerar vi den här. Ulf Törnblom heter fotografen. Till vardags är han IT-revisor på Group Internal Audit, Nordea. De som i första hand berörs av det förändrade synsättet är naturligtvis företagsledningar och styrelser med dess revisionskommitté. De ska utvärdera den interna kontrollen och riskerna relaterat till den finansiella rapporteringen. Det kommer emellertid även att få konsekvenser för såväl externa som interna revisorer. Min forskning kommer att fokusera på 3.7 i den svenska bolagsstyrningskoden som behandlar intern kontroll och revision. Enligt denna paragraf skall styrelsen se till att den interna kontrollen är god och att bolaget har en internrevision. Jag funderar på om detta har och kommer att resultera i en reell förändring av styrelsens syn på sitt ansvar och på sin relation till internrevisionen. Den svenska koden har i likhet med övriga koder ingen tydlig instruktion om hur styrelse och företagsledning praktiskt kan ta detta ansvar. Vägledning till svensk kod för bolagsstyrning (utgiven av FAR och Svenskt Näringsliv) refererar till COSO som ett användbart ramverk. Men COSO är endast ett ramverk som ska anpassas till varje företags unika förhållanden. En styrelsemedlem har även om han eller hon sitter i en revisionskommitté begränsad tid till sitt förfogande och inte alltid den kunskap som krävs för att sätta sig in i och ta ställning till företagets risker, i synnerhet de som är förknippade med den finansiella rapporteringen. Internrevisionen är styrelsens naturliga övervakningsfunktion och vi som yrkesgrupp anser att ingen annan kan tjäna detta syfte. Det som skiljer oss internrevisorer ifrån 20 INTERNREVISION 4/2007