Handledning En introduktion till den statliga internrevisionen ESV 2015:30

Transkript

1 Handledning En introduktion till den statliga internrevisionen ESV 2015:30

2 ESV:s handledningar ska vara ett stöd vid tolkning av föreskrifter och allmänna råd inom områden där ESV är normerande. Publikationen kan laddas ner som PDF. Datum: Dnr: /2014 Copyright: ESV Författare: Catrin Lind Ebert Omslag: Matton/fotograf Fotosearch Value

3 Förord Regeringen avgör vilka myndigheter som får i uppdrag att inrätta en internrevision. Syftet med att inrätta internrevision är att internrevisionen ska ge uppdragsgivaren en oberoende och objektiv gransknings- och rådgivningsverksamhet. Internrevisionens uppgift är att tillföra värde och förbättra verksamheten för myndigheten. Regleringen av internrevision och stöd för hur dessa regler kan tolkas finns i: Internrevisionsförordningen med Ekonomistyrningsverkets (ESV:s) föreskrifter och allmänna råd ESV:s handledningar Frågor och svar på ESV:s webbplats samt Institute of Internal Auditors (IIA:s) internationella riktlinjer och yrkesetiska kod. Informationen ovan hittar du på ESV:s webbplats. Utöver dessa regler och riktlinjer finns ofta även myndighetsinterna dokument som styr internrevisionens arbete. Utifrån ESV:s uppdrag att utveckla, förvalta och samordna den statliga internrevisionen har vi tidigare publicerat handledningen om statlig internrevision för myndighetsledningar (2014:1). Den ger en övergripande kunskap om statlig internrevision. Den här handledningen vänder sig i första hand till statliga internrevisorer men även till andra som är intresserade att ta del av hur den statliga internrevisionen fungerar, exempelvis internrevisionens uppdragsgivare och myndighetshandläggare i Regeringskansliet. Syftet med handledningen är att ge en introduktion till statlig internrevision med redogörelse över de viktigaste regelverken, vissa specifikt statliga företeelser samt internrevisionsprocessen. I första delen av handledningen beskriver vi de regelverk som styr internrevisionen inom staten samt ger vägledning i frågor som är relevanta för den statliga sektorn. Den andra delen behandlar översiktligt delarna i internrevisionsprocessen med utgångspunkt från de styrande regelverken och riktlinjerna. Delar av ESV:s Handledning om internt kvalitetsarbete för statliga internrevisorer (2010:34) har blivit inaktuell och har därmed reviderats och inarbetats i denna handledning. Under arbetets gång är det många statliga internrevisorer som bidragit med värdefulla synpunkter utifrån sina kunskaper och erfarenheter om internrevision. Vi vill tacka för er insats samt till Skatteverkets internrevision som bidragit med mallar till stöd för internrevisionsarbetet. Avdelningschef Eva Lindblom har beslutat om handledningen och utredaren Catrin Lind Ebert har varit föredragande. I beredningen har också enhetschefen

4 Tina J Nilsson samt utredarna Annika Alexandersson, Patrick Freedman och Tomas Kjerf deltagit. Frågor om denna handledning kan du skicka till internrevision@esv.se

5 Innehåll 1 Inledning och handledningens upplägg Internrevision i staten Målgrupp och handledningens upplägg 8 2 Bestämmelser om den statliga internrevisionen Tillämpning av regelverken och begreppet god sed Regler för internrevisionen enligt internrevisionsförordningen Myndighetens ledning är internrevisionens uppdragsgivare Internrevisionen ska vara placerad under myndighetens ledning Internrevisionen ska rapportera till styrelsen eller myndighetens chef Internrevisionens omfattning Granskningens inriktning är intern styrning och kontroll Att samordna en internrevision med en annan myndighets internrevision _ Internrevisionen ska ge råd och stöd _ Internrevisionen behöver tillgång till uppgifter Regler för internrevisionen enligt myndighetsförordningen Myndigheten ska ha föreskrifter om internrevision i arbetsordningen och i riktlinjerna Myndigheter ansvarar för att utveckla internrevisionen Begränsa kostnaderna för att hämta in uppgifter Internrevisionen hos värdmyndigheter kan granska allt som myndighetsledningen ansvarar för Att säkerställa intern styrning och kontroll med internrevision 18 3 Rådgivning Vem får internrevisionen ge stöd till? Vad är råd och stöd? Rådgivning kräver kompetens och resurser 21 4 Offentlighet och sekretess samt arkivering Internrevisionens granskningar blir offentliga Internrevision är ingen sekretessgrund Arkivering av internrevisionens handlingar 25 5 Kvalitetsarbete, kompetens och kompetensutveckling Vad det interna kvalitetsarbetet ska omfatta Följ regelbundet upp ert arbete och era styrdokument Internrevisionens riktlinjer Internrevisionschefen bör besluta om internrevisionens arbetssätt och processer Återkoppling från uppdragsgivare och de granskade Återkoppling från uppdragsgivaren Återkoppling från de granskade Uppföljning och utvärdering av internrevisionens prestationer och nyckeltal Externt kvalitetsarbete 31 en introduktion till den statliga internrevisionen 5

6 5.5 Kompetens och kompetensutveckling 31 6 Internrevisionsprocessen Riskanalys Utformning av riskanalysen Prioritera vilka risker som ska med i revisionsplanen Att ta fram en revisionsplan Myndighetsledningen fattar beslut om förslaget till revisionsplan Att genomföra revisionen Planering av revisionsaktiviteterna Genomför revisionen i enlighet med granskningsplanen Internrevisionen granskar myndighetens olika processer Granskningen ska dokumenteras Lämna rapportering Lämna rapporter till myndighetens ledning Vad ska internrevisionsrapporten innehålla? Myndighetsledningens fattar beslut om åtgärder utifrån internrevisionens rekommendationer Uppföljning av tidigare rekommendationer Myndigheten måste hantera internrevisionens iakttagelser och rekommendationer Lämna återrapportering minst en gång per år Löpande kvalitetsarbete Regelbundna utvärderingar av egna revisioner 45 Referenser 49 Bilaga 1 51 Checklista för internrevisionens interna kvalitetsarbete 51 Bilaga 2 53 Exempel på enkätfrågor om internrevisionens granskning 53 Bilaga 3 Exempel från Skatteverket 56 Processbeskrivning Löpande hantering 56 Bilaga 4 Exempel från Skatteverket 57 Processbeskrivning Riskanalysprocessen 57 Bilaga 5 Exempel från Skatteverket 58 Processbeskrivning Genomförande av en revision 58 Bilaga 6 Exempel från Skatteverket 59 Processbeskrivning Uppföljningsprocessen 59 Bilaga 7 Exempel från Skatteverket Övergripande fråga att hantera under revisionens gång Planering Genomförande Rapportering Avslutande aktiviteter färdigställa granskningsakt för arkivering m.m Uppföljning av tid- och resursplanering (internrevisionschefen) 63 Ordlista 65 6 en introduktion till den statliga internrevisionen

7 inledning och handledningens upplägg 1 Inledning och handledningens upplägg 1.1 Internrevision i staten Myndigheter som har fått i uppdrag att inrätta internrevision ska följa Internrevisionsförordningen (2006:1228). Internrevision definieras av IIA 1 enligt följande: Internrevision är en oberoende, objektiv säkrings- och rådgivningsverksamhet med uppgift att tillföra värde och förbättra verksamheten i olika organisationer. Internrevisionen hjälper organisationen att nå sina mål genom att systematiskt och strukturerat värdera och öka effektiviteten i riskhantering, styrning och kontroll samt ledningsprocesser. Myndighetens ledning är internrevisionens uppdragsgivare. Om myndigheten har en styrelse är det styrelsen som är internrevisionens uppdragsgivare. Om myndigheten är en enrådighetsmyndighet, och alltså saknar styrelse, är myndighetschefen internrevisionens uppdragsgivare. För att säkra internrevisionens organisatoriska oberoende är det nödvändigt att internrevisionen är fristående från de verksamheter som ska granskas. För att internrevisionens oberoende gentemot organisationen ska upprätthållas ska internrevisionsfunktionen organisatoriskt placeras direkt under myndighetens ledning. Det finns en modell som definierar en organisations tre nivåer av ansvar. Modellen kan användas för att beskriva roller och ansvar i organisationens styrning och kontroll. Av modellen framgår de tre ansvarslinjerna 2 inom myndigheten. Ansvarslinjerna kan användas för att beskriva vilka som ansvarar för vad inom riskhantering och intern styrning och kontroll. Tredje ansvarslinjen Internrevisionens granskning och bedömning av att den interna kontrollen och uppföljningen i myndigheten har fungerat på avsett vis. Andra ansvarslinjen Myndighetens egen uppföljning av den operativa verksamheten. Första ansvarslinjen Den interna kontrollen i myndighetens operativa verksamhet. Den första ansvarslinjen är myndighetens dagliga verksamhet och processer. I myndigheten ska det finnas en god intern kontroll i samtliga delar av den operativa verksamheten. Ansvar och befogenheter ska vara tydliga. Någon tar fram 1 International Professional Practice Framework (IPPF) Modellen som beskriver de tre ansvarslinjerna används både inom privat och statlig sektor. I IIA:s position paper Three lines of defense används ordet försvarslinje. Detaljerna i modellen kan se olika ut beroende på hur användarna av modellen har anpassat den till sin verksamhet. en introduktion till den statliga internrevisionen 7

8 inledning och handledningens upplägg beslutsunderlaget och någon annan kontrollerar. Den interna kontrollen ska förebygga fel, avsiktliga eller oavsiktliga, i det som myndigheten gör. Handläggare och chefer är en del i den här ansvarslinjen. I den andra ansvarslinjen ligger myndighetens regelbundet återkommande uppföljning och efterkontroller. Det kan vara manuella eller maskinella efterkontroller. Det kan till exempel vara att någon kontrollerar att månadsavstämningarna är gjorda eller att utfallet ser rimligt ut. Chefer, controllers och funktioner som arbetar med risker är en del i den här ansvarslinjen. Uppföljning och efterkontroller görs även av andra funktioner och i olika sammanhang med andra ord kan många personer ingå i andra ansvarslinjen. Exempelvis personer i stödverksamheten som arbetar med uppföljningar och utvärderingar i ett bredare perspektiv. Den tredje ansvarslinjen är internrevisionen. Internrevisionen har ingen del i myndighetens dagliga arbete, uppföljning eller efterkontroller. Internrevisionen ska fungera oberoende i förhållande till de två första ansvarslinjerna. Internrevisionen granskar och gör en bedömning av om de första två ansvarslinjerna har fungerat som det var tänkt att de skulle fungera. Om internrevisionen upptäcker att det finns områden som inte fungerar på ett optimalt sätt, och att det kan medföra risker för myndigheten, rapporterar internrevision det till myndighetens ledning och kommer med förslag till hur myndigheten kan förbättra sin verksamhet. Man brukar även ibland tala om en fjärde ansvarslinje externrevisionen. Riksrevisionen granskar myndighetens verksamhet utifrån ett årsredovisningsperspektiv 3 men det kan även förekomma att myndighetens verksamhet blir granskad av Riksrevisionen ur ett effektivitetsperspektiv 4. Internrevisionen ska följa såväl god internrevisionssed som god internrevisorssed och ska vara en oberoende granskare av myndighetens verksamhet. Vi vill framhålla att internrevisionen inte är oberoende gentemot sin uppdragsgivare, myndighetsledningen, men ska däremot vara oberoende i förhållande till den verksamhet som granskas och även i sin rapportering. 1.2 Målgrupp och handledningens upplägg Denna handledning redogör för de förutsättningar som gäller för internrevisionen inom staten och ska ge vägledning för er som statliga internrevisorer. ESV bedömer att handledningen framförallt kan ge stöd till nyanställda statliga internrevisorer med varierande bakgrund och erfarenhet men även till internrevisorer som är internt rekryterade och som saknar tidigare revisionsbakgrund. Handledningen hänvisar endast i några fall till enskilda riktlinjer i enlighet med 3 I den årliga revisionen granskar och bedömer Riksrevisionen om de statliga myndigheternas årsredovisningar är tillförlitliga och korrekta, om räkenskaperna är rättvisande och om myndigheterna följer aktuella regler och beslut. Den årliga revisionen granskar även myndigheternas delårsrapporter i de fall de är skyldiga att lämna sådana. 4 Effektivitetsrevision innebär att Riksrevisionen granskar hur effektiv den statliga verksamheten är. Granskningarna utgår från riksdagens beslut och omfattar regeringens genomförande, styrning, uppföljning och rapportering till riksdagen. Riksrevisionen granskar också myndigheternas genomförande och rapportering till regeringen. 8 en introduktion till den statliga internrevisionen

9 inledning och handledningens upplägg International Professional Practice Framework (IPPF) vilket är i de fall då det förekommer större avvikelser från internrevisionsförordningen. Efter det inledande kapitlet om internrevisionen i staten beskriver vi de regelverk och förutsättningar som gäller för statlig internrevision. Vi redogör för internrevisionsförordningen, myndighetsförordningen och förordningen om intern styrning och kontroll. Sedan följer en beskrivning i kapitel 3 av vad rådgivning är och olika aspekter på rådgivning. Kapitel 4 redogör för principerna för offentlighet, sekretess och arkivering. Kapitel 5 behandlar internrevisionens interna och externa kvalitetsarbete samt kompetens och kompetensutveckling. Den delen som handlar om det interna och externa kvalitetsarbetet ersätter den tidigare handledningen Internt kvalitetsarbete för statliga internrevisorer 5 som till vissa delar blivit inaktuell. Därefter behandlar vi ESV:s syn på internrevisorernas kompetens och kompetensutveckling. Avslutningsvis beskrivs internrevisionsprocessen i kapitel 6. Beskrivningen tar sin utgångspunkt i både internrevisionsförordningen och god sed. I bilagor finns även mallar som kan vara ett stöd i internrevisionsarbetet. Vi vill betona vikten av att ni gör en egen bedömning av vilka mallar som kan vara relevanta att använda och i vilken omfattning. 5 ESV 2010:34, Handledning Internt kvalitetsarbete för statliga internrevisorer. en introduktion till den statliga internrevisionen 9

10 10 en introduktion till den statliga internrevisionen

11 bestämmelser om den statliga internrevisionen 2 Bestämmelser om den statliga internrevisionen Den statliga internrevisionen regleras av lagar och förordningar men påverkas av internationella regelverk och utvecklas i handledningar vilka tillsammans ger uttryck för god internrevisionssed och god internrevisorssed. 2.1 Tillämpning av regelverken och begreppet god sed I den svenska rättsordningen gäller att lagar och förordningar, med föreskifter och allmänna råd, tillämpas i första hand. Därefter kommer handledningar och god sed som den kommer till uttryck i internationella regelverk. Detta finns uttryckt i ESV:s allmänna råd till 7 internrevisionsförordningen där det står att för utfyllande tolkning av god internrevisions- och internrevisorssed kan du hämta vägledning från allmänt accepterade riktlinjer för yrkesmässig internrevision. Det innebär att om det inte går att få svar på en fråga i internrevisionsförordningen med föreskrifter och allmänna råd, i ESV:s handledningar eller under frågor och svar på ESV:s hemsida bör du gå vidare till the Institute of Internal Auditors (IIA:s) internationella riktlinjer 6 för yrkesmässig internrevision för att få vägledning. Dessa riktlinjer består av Yrkesetisk kod, Riktlinjer för utmärkande egenskaper och Riktlinjer för utförande. Riktlinjerna använder huvudsakligen ordet ska men i några undantagsfall används ordet bör. Vägledning för god internrevisorssed hämtas från IIA:s beskrivning av yrkesetisk kod. Med god internrevisorssed menas att internrevisorn följer de grundläggande värderingar och principer som utgår från etiska och yrkesmässiga krav. Den yrkesetiska koden ska verka för ett etiskt förhållningssätt inom internrevisionsyrket. Den omfattar ett antal principer som är relevanta för internrevisorsyrket samt tilllämpningsregler som beskriver normer för hur en internrevisor förväntas uppträda. 2.2 Regler för internrevisionen enligt internrevisionsförordningen I första avsnittet redogörs för internrevisionens uppdragsgivare och hur ledningsformerna i myndigheten inverkar på internrevisionens oberoende. Vi redogör även för revisionsutskott och vad de kan bidra med. Därefter redogörs för internrevisionens placering, rapportering, omfattning och granskning utifrån internrevisionsförordningen. Avslutningsvis beskriver vi innebörden av samordning och uppdraget att ge råd och stöd Myndighetens ledning är internrevisionens uppdragsgivare Myndighetens ledning är internrevisionens uppdragsgivare, det framgår av 10 internrevisionsförordningen. Om myndigheten har en styrelse (styrelse- 6 International Professional Practice Framework (IPPF) Svensk översättning. en introduktion till den statliga internrevisionen 11

12 bestämmelser om den statliga internrevisionen myndighet) är det styrelsen som leder myndigheten och är internrevisionens uppdragsgivare. En styrelsemyndighet har alltid en myndighetschef som är ansvarig för det löpande arbetet. Myndighetschefen ingår alltid i styrelsen men fungerar inte som styrelsens ordförande. Om myndigheten saknar styrelse och därmed är en enrådighetsmyndighet är myndighetschefen den som leder myndigheten och är er uppdragsgivare, se 12 internrevisionsförordningen. Internrevisionen är inte oberoende gentemot myndighetsledningen (uppdragsgivaren) men ska vara oberoende i förhållande till den verksamhet som granskas. Om myndigheten leds av en styrelse kan styrelsen besluta att utse ett revisionsutskott. Ett revisionsutskott består av personer ur styrelsen, som oftast är externa ledamöter. Det kan vara olämpligt att ha med generaldirektören i revisionsutskottet, även om denne är styrelsemedlem, eftersom en av anledningarna till att ha ett revisionsutskott är att stärka internrevisionens oberoende och att revisionsutskottet ska lämna synpunkter och vara ett stöd för internrevisionen. Ett revisionsutskott förbereder ärenden inför styrelsens beslut men kan inte fatta beslut i styrelsens namn, eftersom beslut i en myndighetsstyrelse ska fattas kollektivt. Ett revisionsutskott kan bidra till att ge internrevisionen ett ledningsperspektiv på revisionsfrågorna samt bidra till ett större internt oberoende för internrevisionen. Revisionsutskottet kan även ge stöd till det interna och externa revisionsarbetet samt ge ett ökat fokus inom myndigheten på styrning, riskhantering och effektiva kontroller. Exempel på uppgifter som ett revisionsutskott kan utföra är att lämna synpunkter på revisionsplanen, internrevisionens budget och internrevisionens rapporter. Revisionsutskottet kan även vara delaktigt vid rekrytering av internrevisionschef, vara en diskussionspartner i internrevisionens riskanalysprocess samt förbereda styrelsens beslut om åtgärder med anledning av Riksrevisionens rapporter. Myndighetens ledning ska besluta om riktlinjer, revisionsplan samt åtgärder med anledning av internrevisionens iakttagelser och rekommendationer enligt 10 internrevisionsförordningen. Syftet med riktlinjerna är att tydliggöra hur samarbetet mellan myndighetens ledning och internrevisionen bör gå till Internrevisionen ska vara placerad under myndighetens ledning Ett oberoende i förhållande till den verksamhet som granskas ställer också krav på hur internrevisionen är organisatoriskt inplacerad och till vem internrevisionen rapporterar. Kravet på anställd internrevisionschef regleras i 2 internrevisionsförordningen. För att säkra internrevisionens oberoende bör ni vara organisatoriskt fristående från de verksamheter som ingår i ert granskningsområde. För att internrevisionens oberoende ska begränsas så lite som möjligt ska internrevisions- 7 I handledning Statlig internrevision för myndighetsledningar (2004:1) framgår mer om riktlinjerna och vad de kan innehålla. 12 en introduktion till den statliga internrevisionen

13 bestämmelser om den statliga internrevisionen funktionen vara organisatoriskt placerad direkt under myndighetens ledning och vara självständig i förhållande till den granskade verksamheten vilket framgår av föreskrifterna till 2 internrevisionsförordningen. Om myndigheten är en enrådighetsmyndighet ska internrevisionen i organisationsplanen vara inplacerad direkt under myndighetens chef och vid styrelsemyndighet direkt under styrelsen. Rent organisatoriskt kan inte styrelsen ha anställd personal direkt under sig utan internrevisionschefen bör arbetsrättsligt placeras under myndighetens chef. Myndighetens chef har ingen beslutanderätt över internrevisionens verksamhet utan endast ett administrativt ansvar för internrevisionen Internrevisionen ska rapportera till styrelsen eller myndighetens chef Internrevisionens rapportering regleras i 9 internrevisionsförordningen där det framgår att internrevisionen ska rapportera sina iakttagelser och rekommendationer till styrelsen eller, om det inte finns en styrelse, till myndighetens chef. Det innebär att det inte finns något egentligt stöd i internrevisionsförordningen att rikta rapporteringen till olika nivåer inom myndigheten. Hur rapporteringen ska utföras bör framgå av internrevisionens riktlinjer. Observera dock att ärenden av större vikt eller av principiell natur alltid ska behandlas av myndighetens ledning i enlighet med 4 punkten 5 myndighetsförordningen. Enligt IPPF 8 ska internrevisionschefen kommunicera och interagera direkt med styrelsen. En viktig del i detta är rapporteringen. IPPF 9 anger även att internrevisionen ska rapportera till en nivå inom organisationen som gör det möjligt för er att fullgöra era skyldigheter som internrevision. Det innebär att det inte behöver vara styrelsen som är mottagare av alla revisionsrapporter, utan det beror på nivån på iakttagelserna. En mottagare kan till exempel vara ansvarig avdelnings- eller enhetschef på den nivå där granskningen genomförts. Den slutliga avrapporteringen ska enligt god revisionssed göras skriftligt Internrevisionens omfattning Internrevisionen ska omfatta den verksamhet som myndigheten bedriver eller ansvarar för vilket framgår av 6 internrevisionsförordningen. Det är myndighetsledningens ansvar för verksamheten som sätter gränsen för omfattningen av internrevisionens uppdrag. Ansvaret för verksamheten kvarstår hos myndighetsledningen även för den del av myndighetens verksamhet som utförs av en annan myndighet. Exempelvis ansvarar myndighetens ledning för de uppgifter som Statens servicecenter hanterar för myndigheten. 8 IIA Practice Advisory IIA Practice Advisory Vägledning kan erhållas av IPPF 2410 som behandlar kriterier för rapportering och i Practice Advisory : Communication Criteria förtydligas frågan om rapportering ytterligare. Här framgår att den slutliga rapporteringen alltid ska ske i form av en skriftlig rapport men att preliminära rapporter kan behandlas mer informellt. Revisionsresultaten ska dock alltid dokumenteras skriftligt. en introduktion till den statliga internrevisionen 13

14 bestämmelser om den statliga internrevisionen Internrevisionens granskning omfattar även generaldirektören i de myndigheter som har en styrelse. I en enrådighetsmyndighet kan möjligheten till granskning av generaldirektörens lön och förmåner vara begränsad eftersom generaldirektören är internrevisionens uppdragsgivare. Internrevisionen kan därmed inte vara oberoende gentemot sin uppdragsgivare. I dessa fall kan det vara lämpligt att anlita en konsult för att genomföra uppdraget. Däremot ingår alltid granskning av genomförande och effekter av generaldirektörens beslut i internrevisionens mandat. Om generaldirektören i en enrådighetsmyndighet vill ha sina förmåner och utgifter granskade av internrevisionen, kan ni genomföra detta som ett rådgivningsuppdrag. Om en myndighet genomför administrativa tjänster åt en annan myndighet, till exempel Statens servicecenter, har ni inom internrevisionen rätt att få tillgång till allmänna handlingar på myndigheten som utför tjänsterna. Myndigheterna behöver vara överens om att internrevisionen även får tillgång till den personal och de system med mera som behövs när granskningen utförs på annan myndighet. Varje myndighet ska också lämna andra myndigheter hjälp inom ramen för den egna verksamheten enligt 6 förvaltningslagen (1986:223) Granskningens inriktning är intern styrning och kontroll Internrevisionen ska enligt internrevisionsförordningens 4 granska om ledningens interna styrning och kontroll är utformad så att myndigheten med en rimlig säkerhet fullgör de krav som framgår av 3 myndighetsförordningen. Intern styrning och kontroll syftar till att myndigheten ska fullgöra kraven i 3 myndighetsförordningen, vilket framgår av 2 förordningen om intern styrning och kontroll (2007:603). Till den paragrafen har ESV i ett allmänt råd förtydligat att processen för intern styrning och kontroll syftar till att myndighetens ledning fullgör ansvaret för verksamheten. Verksamheten definieras utifrån uppgifter och mål i instruktion, regleringsbrev eller genom beslut givna i en annan ordning från regeringen. ESV har i handledning 11 förtydligat att: myndighetsledningen har ansvar för att verksamheten genomförs inom vissa förutsättningar. [ ]. Myndighetens ledning ansvarar inför regeringen för verksamheten och ska se till att den bedrivs effektivt och enligt gällande rätt och de förpliktelser som följer av Sveriges medlemskap i Europeiska unionen, att den redovisas på ett tillförlitligt och rättvisande sätt samt att myndigheten hushållar väl med statens medel. 12 I handledningen skriver ESV att dessa krav kan kallas för generella mål för verksamheten till skillnad mot specifika mål för en viss verksamhet eller egenskap i 11 Ansvaret för intern styrning och kontroll, (ESV 2012:46), s myndighetsförordningen (2007:515). 14 en introduktion till den statliga internrevisionen

15 bestämmelser om den statliga internrevisionen verksamheten. De specifika målen finns angivna i instruktionen, regleringsbrev eller genom beslut givna i en annan ordning från regeringen. Processen för den interna styrningen och kontrollen syftar alltså till att tillförsäkra att ledningen kan ta ansvaret för verksamheten så att verksamheten med rimlig säkerhet fullgör sina uppgifter och uppnår sina mål. Målen innefattar både de specifika och generella målen. Med internrevisionens granskning av myndighetens process för intern styrning och kontroll menas att ni, utifrån en analys av myndighetens risker, ska granska att de styr- och ledningsprocesser som ledningen har beslutat fullföljs på ett sådant sätt att ledningen har kontroll över verksamheten och att ledningen därmed kan fullgöra sitt ansvar för verksamheten inför regeringen. Bedömer ni att det finns brister i de styr- och ledningsprocesser som finns upprättade på myndigheten som innebär att den interna styrningen och kontrollen inte är betryggande ska ni lämna förslag till förbättringar av myndighetens process för intern styrning och kontroll, det framgår av 3 internrevisionsförordningen. Internrevisionens granskning ska genomföras utifrån den revisionsplan myndighetens ledning beslutar om. Ni ska utifrån det givna uppdraget självständigt granska och rapportera era iakttagelser och rekommendationer till myndighetens ledning. Granskningen enligt 4 internrevisionsförordningen omfattar hur myndighetschefen sköter verksamheten enligt de direktiv och riktlinjer som styrelsen beslutat om för myndighetschefen enligt 13 myndighetsförordningen (2007:515). När myndigheten har en styrelse där myndighetschefen ingår behöver det inte innebära att internrevisionen inte är självständig i sin granskning av hur myndighetschefen sköter den löpande verksamheten. Granskningen sker enligt de av styrelsen beslutade riktlinjerna och den beslutade revisionsplanen. Ni granskar och rapporterar resultatet till styrelsen. Man måste här skilja på myndighetschefens roll som ledamot i styrelsen och som chef för myndigheten. Uppstår en konflikt mellan de två rollerna kan myndighetschefen avstå från att delta i styrelsens arbete i denna situation Att samordna en internrevision med en annan myndighets internrevision Myndigheten får samordna sin internrevision med annan myndighet enligt 8 internrevisionsförordningen. Med samordning menas att myndigheternas internrevision inordnas under en gemensam ledning eller internrevisionschef. När internrevisionen är samordnad med en annan myndighet kan myndigheten använda internrevisorer som är anställda vid eller arbetar på uppdrag för annan myndighet för att utföra internrevisionsuppdrag. en introduktion till den statliga internrevisionen 15

16 bestämmelser om den statliga internrevisionen Internrevisionen ska ge råd och stöd Internrevisionen ska ge råd och stöd till styrelsen och chefen för myndigheten 13 enligt 5 internrevisionsförordningen. Ni får även ge råd och stöd till andra än styrelse och generaldirektör utan att uppdraget är medtaget i revisionsplanen. Om ni ska kunna ge råd till andra än myndighetsledningen bör det framgå av internrevisionens riktlinjer. Innan rådgivningsuppdraget antas bör ni bedöma om: internrevisionen har kompetens inom det aktuella området, risken för eventuella begränsningar av oberoendet i framtida granskningar av det aktuella området samt internrevisorn är oberoende och objektiv gentemot den aktuella verksamheten. Om råd och stöd påverkar ert oberoende ska ni redovisa det i rapporteringen av råd och stöd och i den framtida granskningen, om det blir aktuellt. Rådgivning kan vara ett problem för enmansrevisorer just med hänsyn till framtida granskningar. För att undvika risken för självgranskning kan ni anlita konsulter Internrevisionen behöver tillgång till uppgifter Myndighetsledningen ska se till att internrevisionen får tillgång till de uppgifter och upplysningar som ni behöver för att fullgöra ert uppdrag i den utsträckning det inte möter hinder på grund av bestämmelse om sekretess, vilket framgår av 11 internrevisionsförordningen. Om ni inte får tillgång till de uppgifter ni behöver ska ni redovisa detta för myndighetsledningen. 2.3 Regler för internrevisionen enligt myndighetsförordningen Det ansvar en myndighetsledning har gentemot regeringen regleras i 3 myndighetsförordningen. Där framgår att myndighetsledningen är ansvarig för verksamheten och ska se till att den bedrivs och redovisas inom vissa ramar. I 4 internrevisionsförordningen framgår att internrevisionen utifrån en analys av verksamhetens risker ska granska om ledningens interna styrning och kontroll är utformad så att myndigheten med en rimlig säkerhet fullgör de krav som framgår av 3 myndighetsförordningen. Ramen för er granskning är den verksamhet som myndigheten bedriver och som myndighetsledningen ansvarar för (se avsnitt 2.2.4). En granskning kan genomföras med olika utgångspunkter och med olika perspektiv. All granskning bör dock beakta aspekterna av att verksamheten ska ske författningsenligt och att den ska bedrivas effektivt och med god hushållning samt att redovisningen av verksamheten ska vara tillförlitlig och rättvisande. 13 Med chefen för myndigheten avses här myndighetschef i både enrådighetsmyndighet och styrelsemyndighet. 16 en introduktion till den statliga internrevisionen

17 bestämmelser om den statliga internrevisionen Myndigheten ska ha föreskrifter om internrevision i arbetsordningen och i riktlinjerna Myndighetens ledning ska besluta om riktlinjer för internrevisionen enligt 10 internrevisionsförordningen. En myndighetsledning ska i en arbetsordning besluta om de närmare föreskrifter som behövs för: myndighetens organisation, arbetsfördelning mellan styrelse och myndighetschef, delegering av beslutanderätt inom myndigheten, handläggning av ärenden och formerna i övrigt för verksamheten. Dessa uppgifter framgår av 4 2 p myndighetsförordningen. Det som ska regleras i de två stadgarna kan delvis vara överlappande men är inte identiskt. Vissa aspekter av internrevision ska regleras i arbetsordningen, bland annat frågan om organisation och delegering av beslutanderätt Myndigheter ansvarar för att utveckla internrevisionen Myndigheter har ansvar att utveckla sin verksamhet, samarbeta, stödja regeringen med verksamheten inom EU, utveckla arbetsgivarpolitiken med mera. Det innefattar och omfattar internrevisionen precis i samma omfattning som övrig verksamhet på en myndighet. Internrevisionen ska inom ramen för sitt uppdrag beakta innehållet i dessa paragrafer Begränsa kostnaderna för att hämta in uppgifter En myndighet ska begränsa de kostnadsmässiga konsekvenserna för uppgifter som hämtas in till myndigheten, enligt 19 myndighetsförordningen. Normalt bedriver internrevisionen sitt arbete inom myndigheten och berörs då inte av stadgandet. Om internrevisionen begär in uppgifter från någon verksamhet utanför myndigheten blir paragrafen tillämplig och det finns då ett krav att begränsa de kostnadsmässiga konsekvenserna för den andra verksamheten. Kraven i 3 myndighetsförordningen gäller även för verksamhet inom myndigheten vilket innebär att även internrevisionen ska eftersträva effektivitet och god hushållning i sin verksamhet Internrevisionen hos värdmyndigheter kan granska allt som myndighetsledningen ansvarar för För de myndigheter som är värdmyndighet till en nämndmyndighet 14 sträcker sig internrevisionens granskningsområde precis lika långt som myndighetsledningens ansvar. Har myndigheten i en överenskommelse med nämndmyndigheten påtagit 14 En myndighet som leds av en nämnd. Myndighetens ledningsform anges i myndighetens instruktion eller i någon annan författning (2 Myndighetsförordning 2007:515). en introduktion till den statliga internrevisionen 17

18 bestämmelser om den statliga internrevisionen sig ett ansvar för verksamhet och uppgifter den ska sköta, ligger det inom ramen för vad internrevisionen kan granska. Den verksamhet som däremot exklusivt ligger inom nämndmyndighetens ansvarsområde ligger inte inom ramen för vad ni kan granska hos värdmyndigheten. 2.4 Att säkerställa intern styrning och kontroll med internrevision En myndighet definieras genom sin instruktion. Myndigheten får bedriva verksamhet inom de ramar som regeringen har ställt upp. I myndighetsförordningen 15 framgår att myndighetsledningen är ansvarig för sin verksamhet inför regeringen. Det framgår vidare att myndighetsledningen ska säkerställa att det på myndigheten finns en intern styrning och kontroll som fungerar betryggande. Den interna styrningen och kontrollen utgörs, enligt förordningen om intern styrning och kontroll, av den process som syftar till att myndighetsledningen med rimlig säkerhet kan upprätthålla sitt ansvar för verksamheten och säkerställa att den bedrivs effektivt, med god hushållning av statens medel, enligt gällande rätt och att verksamheten redovisas på ett tillförligt och rättvisande sätt. ESV har beskrivit myndighetsledningens ansvar för den interna styrningen och kontrollen i handledningen Ansvaret för intern styrning och kontroll (ESV 2012:46). Där framgår att ledningen kan säkerställa att styrningen och kontrollen är betryggande med ett flertal olika aktiviteter. Först och främst ska myndighetsledningen tydligt delegera ansvar och befogenheter till chefer och medarbetare för verksamheten, enligt budget och plan. Därefter följer ansvaret att upprätta regler och rutiner för verksamheten. Myndighetsledningen ska även upprätta en ändamålsenlig arbetsfördelning inom myndighetens organisation i stab och linje. Till sitt stöd för att säkerställa en betryggande intern styrning och kontroll har vissa myndigheter internrevision. Internrevisionen arbetar enligt myndighetsledningens riktlinjer och revisionsplan och lämnar förslag till förbättringar av den interna styrningen och kontrollen. Internrevisionen är vid sidan av myndighetsledningen grundläggande för en betryggande intern styrning och kontroll, men det är viktigt att notera att ni inom internrevisionen inte är ansvariga för myndighetens interna kontroll utan ni ansvarar för att granska och utvärdera den interna kontrollen. Ni ska utifrån en analys av verksamhetens risker självständigt granska om ledningens interna styrning och kontroll är utformad så att ledningen kan upprätthålla sitt ansvar för verksamheten. I en sådan granskning ingår att följa upp de aktiviteter som ledningen har initierat för en betryggande intern styrning och kontroll. Granskningen innefattar både att bedöma ändamålsenligheten i dessa aktiviteter och föreslå förbättringar om ni uppfattar att de inte är ändamålsenliga och upprätthåller kraven i 3 myndighetsförordningen. Internrevisionen bör 15 3 myndighetsförordning (2007:515). 18 en introduktion till den statliga internrevisionen

19 bestämmelser om den statliga internrevisionen därutöver också granska att aktiviteterna har implementerats och efterlevs av verksamheten. De myndigheter som har internrevision ska i samband med årsredovisningen lämna en bedömning om den interna styrningen och kontrollen är betryggande eller redovisa de brister i den interna styrningen och kontrollen som ledningen bedömer föreligger. De granskningar som ni har genomfört under året kan vara ett stöd vid ledningens ställningstagande om den interna styrningen och kontrollen är betryggande. Ledningen använder sig inte enbart av era granskningar, utan ska göra sin bedömning utifrån all tillgänglig information om hur den interna styrningen och kontrollen fungerar på myndigheten. Detta betyder inte med automatik att internrevisionen granskar myndighetens process för att ta fram underlag för uttalandet i årsredovisningen varje år. Ni genomför era granskningar efter en bedömning av myndighetens risker. Om ni tidigare har gjort bedömningen att processen fungerar väl väljer ni kanske istället att inrikta er på granskningsområden där ni bedömer att en granskning kan bidra till en större nytta för myndigheten. Däremot förekommer det att myndighetens ledning begär att internrevisionen ska granska hela eller delar av processen varje år. Det är i så fall att se som ett rådgivningsuppdrag. en introduktion till den statliga internrevisionen 19

20 20 en introduktion till den statliga internrevisionen

21 rådgivning 3 Rådgivning Utöver internrevisionens uppgift att granska och lämna förslag till förbättringar av myndighetens processer för intern styrning och kontroll ska internrevisionen även ge råd och stöd till styrelsen och chefen för myndigheten inom områden som ligger inom internrevisionens kompetensområde. Nedan framgår IIA:s definition på rådgivning enligt IPPF. Rådgivningstjänster är rådgivande till sin natur och utförs allmänt på förfrågan från en uppdragsgivare. Karaktären eller omfattningen av ett rådgivningsuppdrag är föremål för en överenskommelse med uppdragsgivaren. 3.1 Vem får internrevisionen ge stöd till? Internrevisionen ska ge råd och stöd till styrelsen och chefen för myndigheten vilket framgår av avsnitt Om ni ska kunna ge råd och stöd till andra än myndighetsledningen bör det framgå av internrevisionens riktlinjer. Av internrevisionens riktlinjer bör det framgå om och under vilka omständigheter internrevisionen ska ha möjlighet att säga ja eller nej till råd och stöd. Det bör även framgå under vilka premisser som ni får åta er uppdrag från andra än myndighetens ledning. Vilken omfattning får uppdragen ha? Får de här uppdragen inkräkta på redan planerade granskningar? Ska myndighetens ledning ge sitt tillstånd när uppdraget överstiger en viss tidsram? Om det finns accepterade uppdrag när revisionsplanen fastställs ska de framgå av revisionsplanen. 3.2 Vad är råd och stöd? Vad är då skillnaden mellan råd och stöd och granskning? Den största skillnaden är att de granskningsaktiviteter som finns upptagna i revisionsplanen bygger på internrevisionens riskanalys medan råd och stöd inte behöver ha en sådan utgångspunkt. Råd och stöd kan bestå av många olika saker. Det kan vara fråga om aktiviteter som är granskningsliknande, det kan vara fråga om utredningar, råd och stöd i samband med att myndigheten startar, avvecklas eller ska bygga upp nya verksamheter. Det kan vara att internrevisionen får en begäran att ta fram fakta inom olika ämnesområden. Internrevisionschefen har också till uppgift att informera myndighetsledningen om vad som gäller enligt god sed, regelverk med mera. 3.3 Rådgivning kräver kompetens och resurser Det finns inte tydligt uttalat i internrevisionsförordningen eller i IIA:s standarder vilken typ av rådgivning det är lämpligt att internrevisionen ger. En grundförutsättning för att ni ska kunna lämna råd och stöd är att ni har kompetens inom en introduktion till den statliga internrevisionen 21

22 rådgivning området. Har ni inte det ska ni informera uppdragsgivaren om att den kompetens som krävs för att ge råd saknas. Ni kan då föreslå att myndigheten tar in extern kompetens för att genomföra uppdraget. En annan viktig aspekt är om internrevisionen har tillräckliga resurser att genomföra uppdraget utan att övriga aktiviteter som finns inplanerade i revisionsplanen påverkas. Ni bör även i dessa fall ta upp frågan med myndighetens ledning. Lösningen kan vara att göra omprioriteringar i revisionsplanen eller att tillföra internrevisionen extra resurser. I vissa fall kan internrevisionens rådgivning vara särskilt värdefull för myndigheten. Det kan handla om att myndigheten befinner sig i ett uppstartsskede eller bedriver projekt av strategisk betydelse. Ni måste då vara tydliga med att ni inte kan delta i myndighetens beslut och att er roll endast är rådgivande. Om ni som internrevisorer bedömer att rådgivningsuppdraget har inneburit att ni deltagit operativt i myndighetens verksamhet behöver ni utvärdera hur det kommer begränsa er objektivitet i eventuella framtida granskningar inom det aktuella området. Det här förhållandet kan medföra problem för internrevisionen när det inte finns flera medarbetare att fördela framtida granskningsuppdrag på. Om internrevisionens objektivitet inte kan säkerställas i samband med ett rådgivningsuppdrag bör ni meddela detta förhållande till myndighetsledningen. Lösningen kan istället vara att ta in externa resurser för de rådgivningsuppdrag där internrevisionen saknar lämpliga resurser. 22 en introduktion till den statliga internrevisionen

23 offentlighet och sekretess samt arkivering 4 Offentlighet och sekretess samt arkivering Myndighetens arkiv, allmänna handlingar och sekretess är företeelser där den goda seden inte alltid överensstämmer med eller ger ledning för hur internrevisionen i staten ska hantera dokumentation och där lag och förordning gäller i första hand. Nedan följer en redogörelse för vad offentlighetsprincipen innebär och hur den påverkar internrevisionens dokumentation. Därefter beskriver vi arbetet med att avsluta revisionsakten innan ni arkiverar och avslutar den i diariet. 4.1 Internrevisionens granskningar blir offentliga I Sverige har vi offentlighetsprincipen som innebär att myndigheters handlingar ska vara tillgängliga för allmänheten 16. Huvudregeln är att alla handlingar som är upprättade hos myndigheten eller som har inkommit till myndigheten är allmänna handlingar. Allmänna handlingar är offentliga förutom när de omfattas av sekretess. För att en handling ska omfattas av sekretess krävs lagstöd. Hela eller delar av en handling kan sekretessbeläggas 17. Nedan beskriver vi hur en handling bedöms ur ett offentlighetsperspektiv. Handling Allmän handling Ej allmän handling (ingen insynsrätt) Offentlig handling (insynsrätt) Hemlig handling (sekretess) Alla handlingar från internrevisionen som är upprättade hos myndigheten eller som har inkommit till myndigheten är enligt huvudregeln allmänna handlingar oavsett om handlingarna är i papper eller elektronisk form. En handling kan även vara ett inspelat meddelande eller bandupptagning med mera. En handling som enligt huvudregeln är allmän handling blir det genom att den är inkommen, upprättad eller expedierad. Handlingar som enligt huvudregeln inte är allmänna kan bli det genom att de ändå tillförs ärendet eller expedieras, till exempel arkiveras 16 2 kap. Tryckfrihetsförordningen, TF. 17 Offentlighets- och sekretesslag (2009:400), OSL. en introduktion till den statliga internrevisionen 23

24 offentlighet och sekretess samt arkivering med akten. Några exempel på handlingar från internrevisionen som typiskt sett inte är allmänna handlingar är utkast eller koncept eller minnesanteckningar och annan dokumentation som inte tillför ärendet någon sakuppgift. En handling behöver inte tillhöra en viss granskning för att vara allmän handling, den kan vara det redan genom att vara upprättad inom myndigheten eller inkommen, exempelvis genom e-post. Den dokumentation som uppstår under internrevisionens granskning blir, som ovan nämnts, allmän handling när dokumentationen är inkommen, upprättad, expedierad eller arkiverad. Det kan till exempel vara granskningsprogram som visar granskningens inriktning och omfattning, arbetspapper som innehåller iakttagelser från granskningen samt minnesanteckningar från intervjuer och möten. Det är därför oftast inte möjligt att utlova uppgiftslämnare anonymitet. Detsamma gäller för handlingar som uppkommer vid råd och stöd enligt 5 internrevisionsförordningen. Innan samtliga handlingar i ärendet blir offentliga (vissa handlingar kan vara allmänna offentliga handlingar redan från början, se ovan) bör ni som internrevisorer ha tagit ställning till vilka dokument som ska finnas i revisionsakten och därefter se till att akten avslutas. De handlingar som är allmänna ska tillföras akten. Observera att arbetsmaterial som tillförs ärendet och läggs i akten i ett avslutat ärende blir allmänna handlingar. Vid avslutning av en revisionsakt bör ni vidta följande åtgärder: 1. Rensa akten från dubbletter, utkast eller koncept, minnesanteckningar och andra dokument som inte tillför ärendet något i sak. Revisionsbevisen ska däremot inte rensas bort. Det ska vara möjligt att följa utvecklingen (den röda tråden) från iakttagelserna i internrevisionsrapporten tillbaka till revisionsbevisen i årsakten. 2. Ta ställning till om någon del eller hela akten bör omfattas av sekretess. 3. Gallra akten på information utifrån myndighetens beslut om gallring. 18 Beslutet om gallring kan antingen vara allmänt eller enskilt. Även myndighetens internrevision omfattas av offentlighetsprincipen. Var och en kan vända sig till myndigheten och begära ut en allmän offentlig handling från er verksamhet, till exempel era revisionsrapporter och granskningsakter. Även internrevisionens riktlinjer och revisionsplan är allmänna offentliga handlingar, samt åtgärderna med anledning av era iakttagelser och rekommendationer enligt 10 internrevisionsförordningen. Dessa handlingar är beslutade av myndighetsledningen och lämnas ut på begäran. Den version av riskanalysen som är underlag till den beslutade revisionsplanen blir sannolikt offentlig med beslutet om revisionsplan. Den statliga internrevisionen omfattas av samma regler om handlingars offentlighet och sekretess som all annan statlig verksamhet. En statlig internrevisor 18 Riksarkivets föreskrifter och allmänna råd om gallring och utlån av räkenskapshandlingar (RA-FS 2004:3). 24 en introduktion till den statliga internrevisionen

25 offentlighet och sekretess samt arkivering följer därmed inte den grundläggande principen som gäller för extern och intern revision inom det privata näringslivet, nämligen att en internrevisor alltid har tystnadsplikt. IIA:s yrkesetiska kod tar upp vikten av att internrevisorn hanterar information konfidentiellt men säger också att det kan finnas legala skäl som gör att det inte alltid är möjligt att följa alla delar av standarderna. 4.2 Internrevision är ingen sekretessgrund Sekretess gäller för uppgift om planläggning av revision, om det kan antas att syftet med granskningsverksamheten motverkas om uppgiften röjs i enlighet med 17 kap 1 OSL. Sekretess hindrar inte att en uppgift lämnas till en myndighet, om uppgiften behövs där för revision hos den myndighet där uppgiften förekommer, i enlighet med 10 kap 17 OSL. Internrevision är ingen sekretessgrund men bestämmelser om sekretess för skydd av det allmänna intresset eller enskildas personliga eller ekonomiska förhållanden kan tillämpas även för internrevision. Internrevision kan inte ge löfte om anonymitet som inte har stöd i offentlighets- och sekretesslagen. Detta gäller även material från konsulter vilket lämpligen klarläggs i avtal med konsulterna. Minnesanteckningar från intervjuer, i likhet med andra handlingar, anses vara en allmän handling under förutsättning att minnesanteckningarna tillför ett sakinnehåll och inte överförts till en slutrapport. Det är i första hand den som har handlingen i sin vård som ska pröva om en handling ska lämnas ut enligt 6 kap. 3 OSL. I andra hand är det myndigheten som ska göra denna prövning. Utlämning av handlingar ska ske på stället om inte betydande hinder finns enligt 2 kap. 12 TF. Myndigheternas interna rutiner för detta kan dock variera. 4.3 Arkivering av internrevisionens handlingar Internrevisionens handlingar ingår i det nationella kulturarvet och tillgänglighet till handlingarna är ett uttryck för en demokratisk förvaltning. Det innebär att handlingarna omfattas av höga krav på att bevaras, hållas ordnade och vårdas. Bestämmelserna om arkiv finns bland annat i arkivlagen (1990:782) och Riksarkivets föreskrifter (RA-FS) och bestämmelser om allmänna handlingar finns i tryckfrihetsförordningen (1949:105). Internrevision omfattas av myndighetens arkivredovisning. För den ska det finnas en arkivplan med gallringsbestämmelser. Ni bör vid uppstart av en revision (i planeringsfasen) ta fram ett diarienummer. Ärendet avslutas när myndighetens ledning har beslutat om åtgärder med anledning av revisionen. Därefter lämnas akten, efter att den rensats (se avsnitt 4.1), för arkivering. När akten är klar att arkiveras brukar den bland annat innehålla granskningsplan, granskningsprogram där syfte, utfört arbete och resultat framgår, revisionsbevis samt slutrapport. Kopior på räkenskapsmaterial, protokoll, rutiner etc. behöver normalt inte tillföras internrevisionens arkiv om de inte har en introduktion till den statliga internrevisionen 25