Internrevision hos en statlig myndighet

Transkript

1 UPPSALA UNIVERSITET Företagsekonomiska institutionen Magisteruppsats VT 2009 Internrevision hos en statlig myndighet - finns det ett förväntningsgap? Författare Anja Kugelberg Linnéa Wessén Handledare Mats Karén

2 Sammandrag Uppsatsen behandlar ämnet internrevision vilket är en process som granskar organisationer inifrån i syfte att förbättra och effektivisera den interna styrningen och kontrollen. Sveriges regering har nyligen beslutat att öka kraven på denna. Dessutom är det lagfört vilka myndigheter som måste upprätta och använda internrevision. Detta på grund av att fusk och andra oegentligheter inom organisationer och företag upptäckts. Eftersom att myndigheter hanterar stora monetära flöden som utgör en stor del av stadsbudgeten anser regeringen att det är mycket viktigt att ha en fungerande intern styrning och kontroll. Syftet med uppsatsen är att undersöka huruvida det finns något förväntningsgap mellan den reviderade och den externa revisorn vad gäller internrevision. För att undersöka ämnet och se om ett förväntningsgap existerar baseras uppsatsen på en fallstudie rörande Sida och Riksrevisionens syn på internrevision. Undersökningen utgår från gällande lagar och förordningar som berör internrevision samt teorier som intern styrning och kontroll bygger på. För att undersöka synen på internrevision har kvalitativa intervjuer genomförts med respondenter som varit berörda och insatta i ämnet. De slutsatser som uppsatsen har kommit fram är att det finns ett förväntningsgap vad gäller synen på internrevision mellan den externa revisorn och den statliga myndigheten. Samtidigt har uppsatsen funnit att myndigheten har utvecklat intern styrning och kontroll inom verksamheten genom införandet av en ny förordning vid namn FISK. Nyckelord: Internrevision, Internrevisionsförordningen, Statlig myndighet, Förordningen om Intern Styrning och Kontroll (FISK), COSO, Förväntningsgap. 2

3 Författarna vill rikta ett stort tack till: Vår handledare Mats Karén Våra respondenter Magnus Nehard, Sida Nils-Olof Malmer, Sida William Stannervik, Sida Karin Holmerin, Riksrevisionen Kent Gustafsson, Riksrevisionen Staffan Nyström, Riksrevisionen Våra Opponenter Erik Åberg Frida Clausén Frida Siwe Pontus Löngren Övriga Christina Löfqvist Jan Wessén Margareta Wessén Sophie Hallkvist Uppsala juni 2009 Anja Kugelberg Linnéa Wessén 3

4 Innehållsförteckning 1. Inledning Problemdiskussion Syfte Teori Bakgrund Internrevision Internrevisionsförordningen 2006: God internrevisionssed samt god internrevisorssed COSO FISK 2007:603 Förordningen om Intern Styrning och Kontroll Förväntningsgap Teorimodell samt teoridiskussion Metod Val av uppsatsämne Forskningsstrategi Val av metod Tillvägagångssätt vid insamling av sekundärdata Tillvägagångssätt vid insamling av primärdata Respondenterna Intervjumall Intervjusituation Kritik till vald metod Kritik till sekundärdata Kritik till primärdata Empiri Sidas bakgrund Intervjuer med Sida Allmän syn på internrevision Funktionen med internrevisionen Vilka förväntningar finns på internrevisionen? COSO FISK Riksrevisionens bakgrund Intervjuer med Riksrevisionen Allmän syn på internrevision Funktionen med internrevision Vilka förväntningar finns på internrevisionen? COSO FISK Analys Internrevision Begreppet internrevision Funktionen med internrevision Vilka förväntningar finns på internrevisionen? COSO FISK Förväntningsgapet Slutsatser

5 6.1 Förslag till fortsatt forskning...40 Källförteckning...41 Bilaga Bilaga

6 1. Inledning Internrevisionen har flyttat fram sina positioner, framför allt genom det intresse för intern kontroll och revision som nu visas av styrelser och ledningar i spåren av det senaste årtiondets stora företagsskandaler (Ernst & Young, 2007:4). Internrevisionen har under de senaste åren fått en mer betydande roll. Skandaler såsom Enron, Skandia och Barings Bank där ledningens ageranden har ifrågasatts har resulterat i att kontrollen måste skärpas. Internrevision har blivit mer reglerad i lag och utvecklats mycket på grund av dessa skandaler som skapat större press från samhällets intressenter. (Ds, 2006:15.) Arbetet med internrevision har gått i vågor. Under 1980-talet ifrågasattes det vad den bidrog med men trenden vände under 1990-talet då begreppet controller blev aktuellt. Under talet har internrevisionen återigen uppmärksammats och utgör en viktig funktion i organisationens verksamhet. (Nyström, 2009.) Den interna revisionen har medverkat till att flera statliga myndigheter och privata företag upptäckt fusk och slarv i den interna styrningen och kontrollen. I en undersökning gjord av revisionsbyrån KPMG ansåg alla de tillfrågade myndighetscheferna att en mer reglerad internrevision är någonting positivt. De ansåg däremot att själva arbetet med detta skulle vara mycket svårt att utföra samt vissa svårigheter i att skapa engagemang hos ledningen och de som arbetar med uppgifterna. Internrevisionens syfte är att den ska leda till att organisationen uppnår sina mål genom att införa ett systematiskt och strukturerat sätt för att värdera och förbättra effektiviteten i riskhantering, styrning och kontroll. (Ds, 2006:15.) Den 1 januari 2007 inrättades en Internrevisionsförordning (Ds, 2006:1228) som innebär att all statlig internrevision ska bedrivas enligt denna förordning. Enligt 4 : ska internrevisionen utifrån en analys av verksamhetens risker självständigt granska om ledningens interna styrning och kontroll är utformad så att myndigheten med en rimlig säkerhet fullgör de krav som framgår av 3 myndighetsförordningen (2007:515). Förordning (2007:1283). (Ds, 2006:1228.) Internrevisionsförordningen ställer krav på statliga myndigheter att anställa en internrevisionschef vid myndigheten och att de bedriver internrevisionen enligt god internrevisionssed samt god internrevisorssed (ESV, 2009a). 6

7 1.1 Problemdiskussion Myndigheternas finansiella revision består även av externrevision vilket utförs av Riksrevisionen. Den externa revisionen återspeglar det som händer mellan myndigheten och dess omvärld. Riksrevisionen vars främsta uppgift är att bedriva externrevision gentemot statliga myndigheter tar även del av den framtagna internrevisionen när de granskar redovisningar. Den statliga myndigheten Sida (Swedish International Development Cooperation Agency, Styrelsen för internationellt utvecklingssamarbete) blev nyligen granskad av Riksrevisionen och brister presenterades och detta följdes snabbt upp av media. Sida hade sedan tidigare presenterat att det fanns brister i sin interna styrning och kontroll och att åtgärder hade vidtagits. I och med den årliga granskningen från Riksrevisionen påpekades det att dessa brister fortfarande existerade. Riksrevisionen ser allvarligt på detta då det klart visar att de vidtagna åtgärderna inte uppnått önskat resultat och att de statliga resurserna fortfarande inte används på det mest effektiva sättet. (Riksrevisionen, 2009a.) De myndigheter som är berörda av Internrevisionsförordningen är tvingade att upprätta internrevision och därför vill uppsatsen utreda huruvida myndigheter har andra åsikter om internrevision jämfört med Riksrevisionen. Kan det finnas ett förväntningsgap vid synen på internrevision? 1.2 Syfte Syftet med uppsatsen är att undersöka om en statlig myndighet och dess externa revisorer har olika syn och förväntningar på internrevisionen och därmed avgöra om det föreligger ett förväntningsgap. 7

8 2. Teori Riksdagen har lagreglerat internrevision i statliga myndigheter genom Internrevisionsförordningen 2006:1228, det vill säga förordningen bygger på teorier om internrevision. Internrevision handlar till stor del om att granska intern styrning och kontroll, i myndigheter är baserad och utvecklad av det internationella ramverket COSO (The Comittee of Sponsoring Organizations of the Treadway Commission) och dess fem hörnstenar. Intern styrning och kontroll finns lagstadgat hos myndigheter i förordningen FISK (Förordningen om Intern Styrning och Kontroll). 2.1 Bakgrund Regeringen utredde behovet av internrevision år 2003 och ansåg att den behövde förbättras då de statliga myndigheternas interna kontroll och styrning är viktig. Regeringen ansåg att många myndigheter hade brister i deras hantering av internrevisionen då de inte åtgärdade de felaktigheter som de upptäckte genom den. Problemet år 2003 var att internrevisionen inte utgjorde en tydlig profession i staten och att ansvaret för den interna styrningen och kontrollen samt internrevisionen inom staten var otydlig. År 2003 fanns det inte någon gemensam referensram vad gäller metoder, kompetens eller övriga kvalitetsfrågor. (SOU, 2003:93.) Från statens sida är det viktigt att dess verksamhet kontinuerligt utvärderas för att kunna möta de förväntningar som finns från medborgarna, näringslivet samt andra intressenter (Ds, 2006:15). Inom staten tillämpas olika typer av ledningsformer. Det är ledningen som har förvaltningsansvar och det är de som förfogar över utformningen av den interna styrningen och kontrollen. Intern styrning och kontroll är ledningens instrument för att ansvara över att bedriva en effektiv och författningsenlig verksamhet samt ansvara för en tillförlitlig rapportering. (SOU 2003:93.) Den interna styrningen och kontrollen hos myndigheter ligger till grund för att förtroende och legitimitet hos myndigheterna existerar, så att de förmår genomföra politiska beslut samt åtaganden med god hushållning av statens medel och samtidigt att de kan leva upp till förväntningarna (Ds, 2006:15). Förslagen om den interna styrningen och kontrollen i staten är utformad och föreslagen från internationella standarder som till exempel COSO. Intern- och externrevisorer i statsförvaltningen tillämpar COSO-modellen i samband med granskningen av den interna styrningen och kontrollen. I och med ökade krav från EU så behöver internrevisionen skärpas inom statliga myndigheter. Tidigare skandaler har påverkat 8

9 förtroendet för ledningar och styrelser av både privata och offentliga organisationer, detta har satt press på ansvaret samt styrningen av organisationerna. För att återfå förtroende och för att svara på marknadens påtryckningar över säkrare organisationer har det implementerats bättre rutiner, tydligare ansvarsfördelningar och ett uppföljningssystem som underlättar arbetet med styrning och kontroll. (Ds, 2006:15.) Enligt internrevisorernas dokument Intern styrning och kontroll ett sammanhållet ramverk kan den interna styrningen och kontrollen inom en organisation bidra till att organisationen uppnår sina resultat- och lönsamhetsmål och förhindra resursförluster. Den kan även bidra till att säkerställa tillförlitligheten i den finansiella rapporteringen samt hjälpa organisationen att följa lagar och förordningar och på så sätt kan till exempel förtroendeskador undvikas. (Internrevisorerna, 2007.) 2.2 Internrevision För att förtydliga vad begreppet internrevision innebär använder denna uppsats IIA:s (The Institute of Internal Audits) definition: Internrevision är en oberoende, objektiv säkringsoch rådgivningsverksamhet med uppgift att tillföra värde och förbättra verksamheten i olika organisationer. Internrevisionen hjälper organisationen att nå sina mål genom att systematiskt och strukturerat värdera och öka effektiviteten i riskhantering, styrning och kontroll samt ledningsprocesser. (Internrevisorerna, 2006.) Utifrån denna definition kan det sägas att internrevisionens främsta uppgift är att se till att informationen som organisationen lämnar ifrån sig är sanningsenlig samt att uppsatta lagar och regelverk efterföljs. Internrevisionen skall samtidigt se till så att de mål och syften som ligger till grund för verksamheten följs och att detta sker på ett effektivt sätt. Genom arbetet med internrevision skall verktyg tas fram som kan förbättra organisationens verksamhet i framtiden. För att internrevisionen skall kunna skapa värde för organisationen är det viktigt att internrevisorn är oberoende och objektiv. (Internrevisorerna, 2009.) Internrevision är orienterad mot en mer grundlig och detaljerad granskning av rutiner och förvaltning inom specifika områden, som till exempel den interna styrfunktionens effektivitet och säkerhet, än vad externrevisionen är. Granskningen sker i samråd med ledningen genom att internrevisorerna rapporterar deras resultat till denna och ledningen kan även ge uppdrag åt internrevisorerna. Rapporteringen av revisionen ges även till dem som är berörda av det som 9

10 granskats. Internrevision kan både påbörjas och avslutas när som helst under året, dock sker rapporteringen oftast i samband med organisationens verksamhetsår. För att önskvärda åtgärder skall vidtagas efter en granskningsinsats bör det ske en uppföljning och ett utredningsarbete med avseende på iakttagelserna från granskningen. (Hult, 1994.) Internrevision utförs av anställda inom organisationen eftersom den då behåller närheten och kunskapen om det som finns inom organisationen. För en externrevisor kan det vara till en stor fördel att internrevisorn existerar inom organisationen. Internrevisorn kan verka för att rutiner och liknande åtgärder inom organisationen följer de minimikrav som finns på intern styrning och kontroll och sker ändamålsenligt innan den externa granskningen påbörjas. Men internrevision får inte detaljstyras av externrevisionen men dock kan viss planering kring gemensamma områden vara nödvändigt eller av värde. (Hult, 1994.) Internrevisionens trovärdighet är förknippad med kvalitén av principer, organisationens struktur, interna ledningssystem, riskhantering, målöverensstämmelse och internrevisionssystem. Alla dessa hörnstenar är även delar som externrevisionen granskar, därför är externrevisionens försäkran viktig för trovärdigheten i internrevisorernas rapportering. (Adams & Evans, 2004.) 2.3 Internrevisionsförordningen 2006:1228 Den 1 januari 2007 infördes en ny förordning om internrevision 2006:1228 och syftet med denna nya förordning var att den interna styrningen vid statliga myndigheter skulle stärkas gentemot regeringen samtidigt som kraven ökade på myndigheterna att de fullgjorde sitt förvaltningsansvar. (Ds, 2006:15.) Syftet med internrevision enligt förordningen är att internrevisionen skall granska den interna styrningen och kontrollen vid en myndighet. Efter granskningen skall förslag på förbättringar samt råd och stöd ges till ledningen för myndigheten. (ESV, 2008.) Internrevisionsförordningen ställer krav på statliga myndigheter att de bedriver internrevisionen enligt god internrevisionssed samt god internrevisorssed (ESV, 2009a). Anledningen till att den statliga internrevisionen är reglerad av en förordning är för att det ur regeringens perspektiv är ett absolut krav att den interna styrningen och kontrollen fungerar i de statliga myndigheterna. (Ds, 2006:15.) Vad som skiljer den nya förordningen 2006:1228 gentemot den gamla förordningen 1995:686 är främst att den är mer tydlig med vilka myndigheter som omfattas av denna förordning, att internrevisionen leds av en chef som skall vara anställd i myndigheten, att internrevisionen skall bidra med stöd och 10

11 råd till myndighetens styrelse och chef samt att revisionsplanen inte skall beslutas i samråd med Riksrevisionen. (ESV, 2007.) I dagsläget är det cirka 60 stycken myndigheter som har till skyldighet att inrätta internrevision (Riksrevisionen, 2009b), de svarar sammanlagt för cirka 90 procent av de samlade utgifterna i statsbudgeten (Ds, 2006:15). Det finns utfärdade kriterier som ligger till grund för vilka myndigheter som skall omfattas av förordningen. Det främsta kriteriet är att myndigheten administrerar stora betalningsflöden om minst en miljard eller att myndigheten har en stark decentraliserad eller diversifierad verksamhet (Ds, 2006:15) God internrevisionssed samt god internrevisorssed Enligt internrevisionsförordningens 7 skall internrevisionen bedrivas enligt såväl god internrevisionssed som god internrevisorssed (Ds, 2006:1228). Begreppen god internrevisionssed samt god internrevisorssed inom staten finns i de allmänna accepterade riktlinjerna som finns uppsatta för yrkesmässig internrevision, IIA:s samt även andra internationella och nationella rekommendationer (ESV, 2009b). Begreppet god internrevisionssed innebär flera definierade aktiviteter såsom att internrevisorerna granskar integriteten och tillförlitligheten i organisationens information samt att de kontrollerar huruvida organisationen följer de bestämmelser och riktlinjer som finns uppsatta. Internrevisorerna skall även kontrollera att organisationen skyddar sina tillgångar och att de använder sina resurser på ett effektivt vis. Slutligen skall de se till så att organisationen lever upp till de mål och syften som finns för organisationen. (Ernst & Young, 2007:6.) 2.4 COSO COSO utvecklade år 1992 rapporten Internal Control Integrated Framework (FAR, 2006:7) som definierar intern styrning och kontroll som en process, påverkad av en enhets styrelse, ledning och annan personal, utvecklad och anpassad för att ge lämplig bekräftelse när det gäller att förverkliga målen i de följande kategorierna; effektivitet och inre effektivitet i verksamheten samt att det finns reliabilitet i den finansiella rapporteringen och att det råder överensstämmelse med tillämpliga lagar och regler (COSO, 2004:4). Rapporten har blivit ett internationellt erkänt ramverk för intern styrning och kontroll (FAR, 2006:9). Med denna generella definition av intern styrning och kontroll använder COSO en tredimensionell modell för att beskriva det interna kontrollsystemet inom organisationer. Modellen (se figur 1) är uppbyggd av fem stycken hörnstenar och till dessa är det utvecklat ett antal faktorer. Det finns 11

12 en nyare COSO-modell för Enterprise risk management och den bygger på åtta stycken hörnstenar. Men då uppsatsen undersöker intern styrning och kontroll inom staten används den äldre modellen. De fem hörnstenarna är; övervakning inklusive uppföljning och utvärdering, information och kommunikation, kontrollaktiviteter, riskbedömning samt kontrollmiljö. (COSO, 2004.) Figur 1 Illustration av COSO-modellen (Big4guy 2009`) Övervakning inklusive uppföljning och utvärdering En viktig del i den interna styrningen och kontrollen är att övervaka, följa upp och utvärdera den, detta påverkar kvalitén av systemet. Övervakningsåtgärder och uppföljningar kan ske löpande eller separat som utvärderingar eller som en kombination av dessa. (Internrevisorerna, 2007.) Uppföljning bör ske kontinuerligt och som naturliga inslag i verksamheten enligt FAR SRS:s rekommendationer (FAR, 2006:13). Information och Kommunikation I en organisation behöver kommunikation kunna flöda uppifrån och ned och överallt inom organisationen. Den information som behövs för att upprätthålla den interna kontrollen måste kunna identifieras, registreras, bearbetas och kommuniceras i rätt form vid rätt tid och detta kan stödjas av informationssystem, intranät och utbildning. (FAR, 2006:13.) Informationssystem formar rapporter som innehåller dels verksamhetsmässig och dels finansiell information och uppgifter om regelefterlevnad som påverkar och gör det möjligt för organisationen att driva och styra sin verksamhet (COSO, 2004:67f). 12

13 Kontrollaktiviteter Kontrollaktiviteter består av olika slags mått och steg som har till funktion att ledningens direktiv och de uppsatta målen inte ska äventyras med hänsyn tagen till de identifierade riskerna (FAR, 2006:13). Riskbedömning Riskbedömning påverkar organisationens förmåga att utföra sina uppgifter och hur de bemöter de externa och interna riskerna samt hur dessa värderas. I organisationens övergripande interna kontrollstruktur bör de ha med en process som kan utvärdera de potentiella riskerna som påverkar och förverkligar de olika interna kontrollobjekten. Riskbedömning är en framåtblickande process och finns på alla nivåer och under planering av nästan alla aktiviteter. (COSO, 2004:22.) Kontrollmiljö Kontrollmiljön är grunden till de övriga hörnstenarna för intern styrning och kontroll och erbjuder på så sätt ordning och struktur (COSO, 2004:6). Den påverkar även den övergripande attityden, kontrollmedvetenheten och handlingar hos medarbetarna. Exempel på faktorer som finns inom kontrollmiljön innefattar integritet, etiska värden, kompetensen hos medarbetarna, ledningens filosofi och ledarstil. (Internrevisorerna, 2007.) 2.5 FISK 2007:603 Förordningen om Intern Styrning och Kontroll Den 1 januari 2008 trädde en ny förordning i kraft, vars syfte är att hjälpa till att stärka den interna styrningen och kontrollen vid förvaltningsmyndigheter som lyder under regeringen. Förordningen benämns som FISK 2007:603 och bygger på fyra äldre förordningar där bland annat Internrevisionsförordningen 2006:1228 ingår. FISK har påverkats av och bygger på den internationella rekommendationen COSO och dess fem hörnstenar. FISK kan ses som en utökad reglering som skall hjälpa till att tydliggöra ansvarsfördelningen, öka trovärdigheten samt att hjälpa till att skapa effektivare rutiner. Syftet med FISK är att organisationen med hjälp av formaliseringar skall kunna bemöta olika verksamhetskrav genom ett effektivare tillvägagångssätt. Förordningen innebär inte någon ny syn på begreppen intern styrning eller kontroll utan de beskrivs fortfarande som en process. (ESV, 2008:23.) Det är viktigt att belysa att denna process inte skall särskiljas från övrig verksamhet utan den skall vara integrerad i hela myndighetens sätt att bedriva sin verksamhet. Den interna styrningen och kontrollen skall 13

14 ingå i myndighetens alla aktiviteter eller processer som ingår i dess syfte. Den bakomliggande tanken med FISK är att hela myndighetens verksamhet skall planeras, styras och följas upp med beaktande av de grundläggande momenten riskanalys, kontrollåtgärder, uppföljning och dokumentation. (ESV, 2008:9.) Den interna styrningen och kontrollen anses vara integrerad när dessa ovannämnda faktorer är uppfyllda. När detta stadium är uppfyllt kan ledningen för myndigheten använda detta som ett verktyg för fortsatt styrning och inte enbart som en kontroll av verksamheten. (ESV, 2008.) 2.6 Förväntningsgap År 1974 definierade Liggio, som en av de första, begreppet förväntningsgap inom revision (Chambers, 2006:43). Han definierade det som en skillnad mellan vad revisorerna och användarna av redovisningsinformationen förväntar sig att en oberoende revisor ska uträtta (Öhman, 2007:130). Det vill säga, det är den avvikelse som kan råda mellan såväl allmänhetens som samhällets förväntningar på revisorn och vad denne egentligen utför i och med revisionen. (Troberg & Viitanen, 1999). Av Liggios definition av förväntningsgapet har det gjorts flertaliga försök till att utveckla beskrivningen. De olika varianterna av begreppet förväntningsgap skiljer sig åt i betydelse men utgår alla ifrån samma kärna, nämligen att de redovisningsberättigade intressenternas uppfattningar om revisionen inte stämmer överens med de uppfattningar som revisorerna har (Öhman, 2007:130). Den allmänna definitionen som Liggio använde utvecklades sedan av Cohen Commission som menade att förväntningsgapet handlar om förväntningarna som finns hos allmänheten angående revisorn och vad de skäligt kan anse att revisorn faktiskt skall utföra. (Öhman, 2007:130.) De ovan beskrivna teorierna om förväntningsgapet gäller främst vid externrevision, men Chambers (2006) hävdar att det finns ett liknande förväntningsgap för den interna revisionen likväl (Chambers, 2006:43). Även Hult (1994) ansåg att förväntningsgapet kunde existera inom den interna revisionen, han utvecklade teorin om förväntningsgapet ytterligare genom att tillägga att en tredje man kunde vara berörd. Det vill säga att det kunde uppkomma skillnader i vad en revisor skall göra och vad en tredje man uppfattade som uppgiften för en revisor. (Hult, 1994.) Förväntningsgapet inom internrevision kan handla om att uppdragsgivarna samt användarna av den anser att internrevisorn skall förbättra organisationens prestation i bland annat riskhantering (Hack, 2008.) 14

15 Förväntningsgapet knyts an till skillnaden mellan samhällets syn på revisorns roll och revisorns föreställningar på sin roll. Orsaken till förväntningsgapet kan även bero på att de regler och bevekelsegrunder för yrkesrevision inte är tillräckligt kända. Detta är speciellt gällande inom den interna revisionen där formella krav på teoretisk utbildning eller praktisk erfarenhet för internrevisorn inte existerar. Detta leder till att det för vissa variabler blir mycket svårare att beskriva och uppskatta eventuella förväntningsgap. (Hult, 1994.) Förväntningsgapet kan påverka hur revisorer upptäcker fusk, revisorns självständighet, innehållet i revisionen som arbetet med risk och osäkerhet och vilket ansvar som de har mot tredjeparten. Den bristande kunskapen om revisionen har bidragit till att det även blivit svårt för yrkesrevisorerna att nå ett beslut om företagets huvudsakliga mål med revisionen och det meddelande som skall kommuniceras ut till intressenterna. (Koh & Woo, 1998.) 15

16 2.7 Teorimodell samt teoridiskussion Internrevisionsförordningen Externrevisor Förväntningsgap Reviderad Internrevision COSO FISK Figur 2 Illustration av analysmodell, egen konstruktion. Figur 2 är baserad på de presenterade teorierna och utgör grunden för uppsatsens analysavsnitt. Internrevisionsförordningen leder till att externrevisorn och den reviderade kommer i kontakt med varandra, eftersom internrevisionsförordningen är tvingande för myndigheten samt att externrevisorn tar del av den vid sin granskning. Modellen kommer att användas då det skall undersökas om det finns något förväntningsgap mellan dessa två. För att analysera och mäta detta finns teorierna kring internrevision, COSO och dess hörnstenar samt FISK som alla påverkas av internrevisionsförordningen. Teorin rörande förväntningsgapet kommer att tillämpas inom området internrevision och användas för att utreda huruvida det finns ett sådant mellan Riksrevisionen och den valda myndigheten. Uppsatsen har därmed valt att använda Chambers, Hack och Hults teorier om att förväntningsgapet existerar inom internrevision. Uppsatsen kommer använda teorierna rörande förväntningsgapet för att se vad revisorerna anser och har för förväntningar på internrevision samt vad myndigheten anser och har för förväntningar på internrevision. 16

17 Internrevisionen granskar främst intern styrning och kontroll och därför beskrivs teorierna om COSO samt FISK då de formar och reglerar den interna styrningen och kontrollen i myndigheter. Den senaste COSO-modellen baseras på totalt åtta hörnstenar och är utvecklad för Enterprise risk management därför används den äldre versionen med fem hörnstenar som är mer applicerbar på intern styrning och kontroll. Dessutom är de statliga myndigheternas interna styrning och kontroll baserad på den äldre versionen av COSO-modellen. FISK är även den utvecklad av och baseras på den äldre versionen av COSO-modellen och reglerar myndigheternas interna styrning och kontroll i lagen. 17

18 3. Metod 3.1 Val av uppsatsämne Då det fanns ett intresse av att skriva en magisteruppsats inom ämnet revision gjordes ett val att fördjupa sig i ämnet och söka efter tänkbara problem angående det. Ämnet kan delas in i två olika slags kategorier, extern- samt internrevision (NE, 2009). Det fanns en medvetenhet om att det redan existerade mycket material kring ämnet externrevision så därför valdes en fördjupning inom ämnet internrevision. Valet att studera myndigheten Sida gjordes då Riksrevisionen nyligen granskat myndigheten och funnit diverse brister i den interna styrningen och kontrollen (Sida, 2009b). Det ansågs intressant att gå vidare med detta och se om synen på internrevisionen skilde sig mellan Riksrevisionen och Sida då det inte är första gången som Sida får en anmärkning på den interna styrningen och kontrollen. Uppsatsen fokuserar på att se till Sidas och Riksrevisionens åsikter om internrevision. I och med att internrevisionen inte har lyckats uppnå önskad effekt är det intressant att undersöka huruvida det kan bero på ett förväntningsgap som då kan bidra till att den motarbetas eller inte används på det tänkta sättet. Då författarnas kunskaper inom ämnet inte var specialiserade gjordes valet att börja med en öppen fråga. Det vill säga uppsatsen bygger på en utforskande undersökning som inte haft några klara hypoteser. 3.2 Forskningsstrategi Det föll sig naturligt att uppsatsen skulle baseras på en fallstudie utifrån den statliga myndigheten Sida samt Riksrevisionens perspektiv på internrevision. Då studien ämnar tillföra en djupare förståelse av Sidas och Riksrevisionens syn och inte generalisera fallet till övriga myndigheter så lämpar sig en fallstudie av ämnet sig bäst (Jacobsen, 2002:97f). Tidigare forskning kring detta specifika ämne har tidigare inte publicerats. Ambitionen och målet med uppsatsen är att den skall kunna bidra med ökad kunskap och förståelse inom området. 18

19 3.3 Val av metod Uppsatsen baseras på en kvalitativ undersökning då syftet med uppsatsen var att få en djupare insyn i ämnet och detta skulle den bäst få om det gjordes en kvalitativ studie där empirisk data samlades in genom personliga intervjuer och sedan analyserades. Genom den kvalitativa undersökningen önskades det att få veta hur respondenterna tolkade begreppet internrevision samt deras åsikter kring detta. I denna undersökning har sex intervjuer genomförts där samtliga respondenter fått besvara frågor utifrån en intervjumall men även fått möjligheten att framföra sina eventuella uppfattningar kring begreppet och innebörden av internrevision. På grund av syftet ansågs det vara av stor relevans och betydelse att få respondenternas syn på internrevision. Detta för att se om det fanns likheter och olikheter i synen kring internrevisionen. Önskan var därför att uppnå flexibilitet i intervjuerna och att det fanns möjlighet till att ställa följdfrågor samt få in mer personliga svar (Jacobsen, 2002:39). Genom öppna frågor som börjar med vad, hur och varför låter uppsatsen respondenten definiera och beskriva situationen och händelsen. Målet med de öppna frågorna var att erhålla omfattande och utvecklande svar som skulle avslöja attityder och fakta. (Saunders, Lewis & Thornhill, 2007:329.) 3.4 Tillvägagångssätt vid insamling av sekundärdata Den sekundära informationen som samlats in har varit av stor betydelse för att få kunskap om det undersökta ämnet. Sekundärdatan är framtagen genom att söka i de databaser, tidskrifter samt bibliotek som Uppsala Universitet erbjuder. De sökord som använts vid sökningar i databaserna är: Internrevision, Sida, Riksrevisionen, Förväntningsgap, Statlig myndighet, Internal audit och Expectation gap. Redan publicerade uppsatser har även funnits i beaktande men dessa har främst använts för att se om det redan funnits framtagna undersökningar kring det valda syftet men även för att finna inspiration. Annan sekundärdata som varit till grund för denna uppsats var främst olika relevanta hemsidor. Följande hemsidor har använts: Sida, ESV (Ekonomistyrningsverket), Internrevisorerna samt Riksrevisionen. 19

20 3.5 Tillvägagångssätt vid insamling av primärdata Den primärdata som varit till grund för denna uppsats har samlats in genom intervjuer och från dokumentet Riktlinjer för internrevisionen vid Sida. Uppsatsens primärdata bygger främst på semistrukturerade intervjuer. Det vill säga att under intervjun fick respondenterna besvara en rad fastställda frågor utifrån en intervjumall men dessa besvarades inte i någon specifik ordningsföljd (Bryman, 2006:127). Frågorna var allmänt formulerade och anpassade efter respondentens arbetsuppgifter. Tanken med intervjuerna var att fånga respondentens subjektiva värderingar kring ämnet, samtidigt som svaren skulle vara så utförliga och tillförlitliga som möjligt. (Teorell & Svensson, 2007:88). Det fanns även utrymme för bägge parter att komma med uppföljningsfrågor. För att ge stöd åt respondenternas svar har dokumentet Riktlinjer för internrevisionen vid Sida använts som även kontaktade personer som inte kunnat ställa upp på intervju hänvisat till. Totalt valdes det att genomföra sex intervjuer. För att få en så jämn fördelning mellan de båda parterna valdes det att genomföra tre intervjuer med respondenter från Sida och tre intervjuer med utvalda respondenter ifrån Riksrevisionen. Processen med att få kontakt med tänkbara respondenter startades med att ta kontakt via e-post där en kort bakgrund och syfte med uppsatsen beskrevs. Valet att genomföra individuella intervjuer var för att de bäst mäter de individuella och personliga synpunkterna som kan finnas angående ämnet (Jacobsen, 2002:190). En respondent från Sida hade inte mer tid att bidraga med än 20 minuter, då det respondenten sade var av betydelse för uppsatsen valdes det att ändå ta med denna korta intervju. Uppsatsen fick ett bortfall då en respondent från Sida valde att tacka nej till att genomföra en intervju. Beslutet baserades på att respondenten hade tilldelats intervjufrågorna i förväg och efter att ha granskat dessa insett att den inte var lämplig att besvara frågorna. Dock uppgav den tänkta respondenten ett flertal namn som denne ansågs vara mer lämpade för att besvara de tänkta frågorna. Personerna kontaktades och en ersättare hittades. För att få kontakt med Riksrevisionen kontaktades de via e-post men då inget svar erhölls kontaktades de sedan per telefon. Då tanken var att genomföra fler intervjuer med anställda på Riksrevisionen fördes en dialog med den förste respondenten och ett så kallat snöbollsurval genomfördes (Jacobsen, 2002:201). Flera namn på kontaktpersoner på Riksrevisionen i Uppsala erhölls samt ett namn på en anställd i Jönköping som granskar Sidas redovisning presenterades. Valet att genomföra 20

21 ett snöbollsurval föll sig naturligt då det ansågs tillförlitligt att följa upp de namn vi erhållit av den förste respondenten som var insatt i ämnet som undersökningen baseras på Respondenterna Respondenterna benämns som A-F i uppsatsen då författarna inte önskade att ge läsarna en personlig relation till namnen när de läste empirin. Respondent A arbetar sedan ett år tillbaka som internrevisor på Sida och har cirka tio års erfarenhet som revisor på Riksrevisionen. Respondent B är controller på Sida och har arbetat inom organisationen sedan 1997 och som chefscontroller sedan omorganisationen i september. Personen har ett förflutet som civilingenjör och har arbetat med företag i utvecklingsländer. Respondent C arbetar som internrevisorchef på Sida. Respondent D har under tretton år arbetat som metodansvarig för den årliga revisionen på Riksrevisionen i Stockholm. Respondent E arbetar som ansvarig revisor på Riksrevisionen i Jönköping vilket betyder att denne är delegerad att besluta om revisionsrapporter och revisionsberättelser. Respondent F arbetar sedan år 2003 på Riksrevisionen i Uppsala. Denne är utbildad civilekonom och är auktoriserad revisor Intervjumall Enligt Teorell et al. (2007) är det viktigt att ha en disposition över intervjun därför konstruerade två stycken intervjumallar som låg till grund för intervjuerna med de utvalda respondenterna (se bilaga 1 och 2). Valet att konstruera två intervjumallar ansågs bäst lämpat då en konstruerades och anpassades för Sida och en togs specifikt fram för Riksrevisionen. Intervjumallarna byggde på varandra och tanken med dem var att det under intervjuerna skulle finnas en vägledning att stödja sig på. Intervjumallarna byggde på en operationalisering av variabler hämtade från använda teorier. Respondenterna fick inte i förväg se intervjumallen. Valet att inte visa respondenten intervjumallen i förväg gjordes för att det inte skulle kunna bli någon påverkan på svaren. Dock fanns en medvetenhet om att ifall frågorna hade skickats innan intervjun gjordes så hade respondenterna hunnit förbereda sig och eventuellt se över publicerat material tillhörande frågorna. Det ansågs dock att frågorna som ställdes inte krävde någon vidare förberedelse av respondenterna. 21

22 Operationalisering av intervjuvariabler Den operationalisering av intervjuvariabler som finns för denna uppsats kan bäst ses i bilaga 1 och 2. Operationaliseringen bygger på att valda teoriområden har omformulerats till begrepp med underliggande frågor som sedan kom att utgöra grunden för intervjumallen. Begreppen: Internrevision, COSO och FISK har skalats ner till fler och mer detaljerade frågor som är lättare för respondenten att svara på samt enklare att uppfatta deras mening av. Svaren på frågorna har sedan sammanfattats och respondenternas åsikter har lästs av. Internrevision bröts ned till frågor som berörde aktuella lagar, vilken funktion den fyller samt vad respondenten har för erfarenheter och allmänna förväntningar på den. Sedan bröts COSO modellen ned till frågor om dess fem hörnstenar som myndigheternas interna styrning och kontroll bygger på. FISK bröts ned till hur respondenten kommit i kontakt med förordningen och hur den påverkat internrevisionen. Intervjumallen hade även generella frågor om hur internrevisionen påverkat intern styrning och kontroll, för att se sambanden mellan begreppen Intervjusituation Intervjuerna med Sida genomfördes på plats i Stockholm på deras huvudkontor tillika respondenternas arbetsplats. Intervjun med Riksrevisionen genomfördes även den i Stockholm där respondenten hade sin arbetsplats. Det fanns en möjlighet att utföra intervjun per telefon men det ansågs att kvalitén på intervjun skulle bli bättre om den genomfördes direkt på plats. Den främsta orsaken var att det inte fanns någon tillräckligt avancerad teknisk utrustning för att kunna genomföra intervjun per telefon. (Bryman, 2006:128.) Den andra intervjun med Riksrevisionen genomfördes på Riksrevisionens kontor i Uppsala. Den tredje intervjun med Riksrevisionen skedde via e-post då avståndet mellan Uppsala och Jönköping ansågs vara för långt. Telefonintervjuer utan inspelningsmöjligheter är svåra att genomföra och därför valdes det att utföra en intervju med hjälp av e-post. Intervjuer via e-post blir dels dokumenterade och dels så får respondenten samt intervjuaren mer tid att tänka igenom och reflektera över svaren och följdfrågor. (Saunders et al., 2007:344.) Intervjuerna inleddes med att respektive respondent fick redogöra för sin bakgrund och vilken position denne hade på sin arbetsplats. Intervjuerna avslutades med att respondenterna fick möjlighet att tillägga någonting till intervjun. Intervjuerna tog cirka en timme. Medan frågorna ställdes och respondenten svarade antecknades stödord. Vid eventuella frågetecken kring respondentens svar upprepades svaret och respondenten hade möjlighet att förklara samt bekräfta om det uppfattats korrekt. Efter intervjuerna skrevs svaren rent direkt av de två 22

23 författarna som utfört intervjuerna och sedan gjordes en jämförelse mellan de två renskrivna dokumenten för att undvika misstolkningar och observations fel (Saunders et al., 2007:149). 3.6 Kritik till vald metod Informationen som samlades in innan valt syfte handlade mycket om kritik som Sida har fått av Riksrevisionen angående den interna styrningen och kontrollen. Detta har påverkat de förväntningar som författarna haft som funnits på Sidas syn på internrevision. Under intervjuer samt letandet efter lämpliga teorier och material har en öppenhet och objektivitet beaktats. Detta har utförts genom att samla material kring internrevision i myndigheter från olika källor samt försöka ställa öppna frågor Kritik till sekundärdata Den sekundärdata som samlats in och använts till uppsatsen anses vara trovärdig. Det bör dock finnas i medvetandet att författarna bakom det publicerade materialet kan besitta olika åsikter, värderingar och påtryckningar vilket gör att författarna ibland tvingats vara försiktig med materialet. För att inte påverkas för mycket och för att inte få ett alltför smalt intryck användes flera sekundära källor. I vissa fall har det varit svårt att finna aktuellt och nypublicerat material angående undersökningsområdet då det under senare tid skett många förändringar. Alltför föråldrade källor vad gäller lagar och förordningar har därför förkastats. Vad gäller den övriga informationen som samlats in genom Internet finns en medvetenhet om tillförlitligheten. De hemsidor som uppsatsen använt sig av bör anses ha en hög trovärdighet då de främst härstammar från myndigheter men kan anses vara subjektiva för respektive ändamål Kritik till primärdata Det finns en medvetenhet om att intervjua sex personer kan medföra en avsmalnad bild av verkligheten. Den empiriska data som är framtagen genom dessa intervjuer skulle kunna se annorlunda ut vid en större population. Vidare går det att ställa sig frågande till valet av att enbart genomföra personliga intervjuer samt en intervju där respondenten fick besvara frågorna per e-post. Valet av att genomföra en intervju per e-post baserades på det geografiska avståndet och bristen på avancerad tekniska hjälpmedel för att genomföra en intervju per telefon. Intervjuerna spelades inte in utan respondenternas svar antecknades på papper. Anledningen till att intervjuerna inte spelades in var för att teknisk utrustning inte fanns 23

24 tillgänglig vid tidpunkten. Dessutom fanns en önskan om att få en mer generell bild av deras syn på internrevision. Då frågor där respondenterna fått definiera och uttrycka vad de själva anser fanns en vetskap i undersökningen om att uppfattningar hos en människa kan skilja sig mycket från en annan människas uppfattningar och värderingar. För att undgå misstolkningar och för att få en samlad bild istället för att fokusera vad den enskilda individen anser intervjuades fler personer. Frågorna har försökts anpassats så att de inte kräver allt för mycket uppskattade svar. (Teorell et al., 2007:65.) Det finns en medvetenhet om att olika intervjuförutsättningar kan påverka intervjun och att respondenterna kunnat reagera eller givit andra svar vid mer lika förutsättningar. Författarna har försökt att skapa liknande förutsättningar vid alla sex intervjutillfällena men på grund utav distans och tidsbrist hos respondenterna har detta inte varit möjligt. Valda respondenter från Riksrevisionen har inte alla reviderat Sida och är då inte insatta i det specifika fallet av Sidas internrevision. Då de revisorer som arbetar med Sida fanns tillgängliga på Jönköpingskontoret ansågs avståndet långt. Studien fick dock en rättvisande bild med hjälp av en intervju via e-post med en revisor som arbetar med Sida, samt personliga intervjuer med två andra revisorer som var väl insatta i ämnet internrevision. Studien baseras på Riksrevisionens syn på internrevision och inte den specifika synen på Sidas internrevision och Sidas internrevisorer. Syftet vid valet av respondenter från Sida var att intervjua en respondent i ledningen, men då berörda personer tackat nej på grund av tidsbrist fick uppsatsen kontakt med chefscontrollern istället. 24

25 4. Empiri 4.1 Sidas bakgrund Den statliga myndigheten Sidas mål är att arbeta med att försöka skapa förutsättningar för förbättra fattiga människors levnadsvillkor. Myndighetens verksamhet är global men huvudkontoret återfinns i Stockholm. Sida lyder under UD (Utrikesdepartementet) men arbetar relativt självständigt men dock inom de ramar som regeringen och riksdagen satt upp. Dessa ramar kan exempelvis vara att de självständig beslutar om de ekonomiska förutsättningarna, vilka länder som de skall samarbeta med och vilken typ av inriktning samarbetet skall ha. Genom en omorganisation år 2008 har Sida inte längre någon styrelse utan istället leds myndigheten av en generaldirektör som är tillsatt av regeringen, samt en ledning som består av generaldirektören, en ställföreträdande generaldirektör samt två biträdande generaldirektörer. (Sida, 2009c.) 4.2 Intervjuer med Sida Respondenterna från Sida benämns A, B och C, för närmare förklaring se avsnitt Allmän syn på internrevision Enligt dokumentet Riktlinjer för internrevision vid Sida skall internrevisionen på Sida ske på uppdrag av styrelsen och de beslutar om riktlinjer, revisionsplan och åtgärder med anledning av internrevisionens iakttagelser. Själva internrevisionen utgår från en analys av organisationens risker och skall självständigt granska så att ledningens interna styrning och kontroll är utformad så att myndigheten med rimlig säkerhet uppnår en effektiv verksamhet, följer lagar och förordningar och lämnar en tillförlitlig redovisning och rättvisande rapportering. (Sida, 2009a.) Respondent A berättar att internrevisorerna på Sida inte granskar speciellt mycket finansiell information och använder heller inte finansiell revidering i någon större utsträckning. Detta beror på att Sida är en statlig biståndsorganisation och då är det de icke-finansiella målen och uppgifterna som Sida fokuserar på och därmed mäter. Internrevisorerna på Sida granskar processer och system vilket respondenten anser är mer effektivt än kontroll av siffror och stickprov. Respondent C anser att internrevisionen har en rådgivande roll till ledningen men är samtidigt oberoende. Syftet med den interna revisionen, enligt respondenten, är att den skall granska organisationen samt ge rekommendationer som sedan följs upp. Respondent B 25

26 utvecklar begreppet internrevision och menar att syftet med denna även innebär att den skall hantera externa påtryckningar på ett hedersfullt vis, det vill säga att den skall ha en skyddande funktion gentemot medarbetarna. Den skall inte bara granska organisationen utan även se till att det finns en intern struktur så att medarbetarna kan stå emot diverse påtryckningar. Respondenten berättar att internrevisorerna rapporterar till ett insynsråd där generaldirektören är ordförande. Respondent A menar att internrevisionen granskar processer för intern styrning och kontroll, vilket täcker in stora delar av verksamheten. Internrevisorn arbetar för ledningen och generaldirektören men skall vara självständig och oberoende. Den granskar utifrån dels uppdrag av generaldirektören men tar även egna initiativ till riskanalyser. I och med att den är anställd under generaldirektören finns en risk att den inte är tillräckligt oberoende, detta är inte ett problem på Sida enligt respondenten Funktionen med internrevisionen Enligt dokumentet Riktlinjer för internrevision vid Sida ansvarar internrevisorn över att granska den interna styrningen och kontrollen i en process som leder fram till finansiell rapportering. De ska kunna ge råd till styrelsen och chefer inom Sida inom områdena riskhantering, styrning, kontroll och ledningsprocesser. All personal på Sida kan använda internrevisorns kunskap och har rätt att vända sig till denna. (Sida, 2009a.) Respondent B anser att internrevisionen står för den skarpa biten av granskningen. Som controller kan denne inte själv tillkalla internrevisionen formellt då det inte finns någon organisatorisk koppling mellan internrevisorerna och controllerenheten, det är generaldirektören som tillkallar. Dock kan respondenten rapportera till generaldirektören som sedan kan kontakta internrevisorerna. Respondenten anser dock att det finns en informell kontakt mellan controllerenheten och internrevisorerna då de ibland diskuterar arbetsformer. Internrevisorerna kan inte dirigera ut i organisationen hur de skall uppföra sig utan avger istället rapporter och kan göra bedömningar som sedan generaldirektören tar ställning till. Respondent A berättar om det samarbete som ibland kan uppstå mellan Riksrevisionen och de interna revisorerna. Denne menar att det finns en viss kontakt men att de arbetar mer parallellt och granskar ofta olika områden eller har annorlunda syften med granskningarna. Men respondenten menar att ifall de interna revisorerna granskar årsredovisningen med liknande utgångspunkt eller syfte som den externa revisionen så kan externrevisorerna använda internrevisionens rapport om den förväntas inneha en hög kvalité. Respondenten anser att det kan uppstå komplikationer i att ha en för nära kontakt med Riksrevisionen men de bör dra 26

27 nytta av varandra till en viss gräns. Respondenten vill påpeka att internrevisorerna inte går in automatiskt och kontrollerar särskilt vid anmärkning från Riksrevisionen, de granskar inte för att de externa revisorerna tycker så, det är inte meningen att de externa revisorerna skall styra och ställa. Respondent C håller med A och anser att samspelet mellan Riksrevisionen och interna revisorerna på Sida är fungerande. Respondent C utvecklar och menar att Sida håller dock inte alltid med vad de externa revisorerna på Riksrevisionen kommer fram till. Internrevisorerna på Sida har regelbundna möten med Riksrevisionen då de har möjlighet att ifrågasätta Riksrevisionens råmanus till granskningsrapporterna enligt respondenten. Respondent A berättar att då Riksrevisionen vill använda internrevisorerna på Sidas granskningsrapporter måste de kontrollera kvalitén på internrevisorernas arbete Vilka förväntningar finns på internrevisionen? Respondent B:s förväntningar på internrevision är att den skall vara oberoende för myndigheten för att den skall bli tillförlitlig. Respondenten förväntar sig även att de använder sig av fairplay vilket innebär öppna kort, kollegial öppenhet, är prestigelös samt att det finns en ärlighet. Respondent B vill ha möjligheten att kommunicera med internrevisorerna utan att de tycker att denne lägger sig i, de skall kunna ge varandra tips om eventuella granskningar. Respondenten anser att internrevisionen fungerar mycket bra inom Sida i dagsläget och berättar om flera exempel då de samarbetat. Controllerenheten har en strategisk roll medan internrevisionen granskar, undersöker och samlar information och genom ett slags informellt samarbeta kan de ge underlag för viktiga beslut. Det finns dock ingen beskrivning över hur de skall arbeta tillsammans utan det existerar bara ett slags ryggrad som redogör för basen, så det är personerna inom controllerenheten och internrevisorernas goda viljor som styr COSO Respondent A anser att COSO används som ett ramverk för att tänka och angripa intern styrning och kontroll. Dock anser respondenten att COSO inte ger så mycket stöd i hur exakt de skall gå tillväga när de granskar den interna styrningen och kontrollen. Enligt Sidas riktlinjer för internrevisionen skall internrevisorn årligen utföra en riskanalys som omfattar hela Sidas verksamhet. Analysen skall dels utgå från myndighetsledningens identifiering av risk och dels internrevisionens egen riskbedömning. Utifrån riskanalysen upprättas sedan en revisionsplan där internrevisionens mål och inriktning för året fastställs. Utöver detta avsätts 27