Frågor om internrevision och intern styrning och kontroll 2019

Transkript

1 1/33 PM Datum Handläggare Annika Alexandersson ESV dnr Frågor om internrevision och intern styrning och kontroll 2019 Frågorna avser 2018.

2 2/33 Innehåll Frågor om internrevision och intern styrning och kontroll Bakgrund...4 Varför hämtar vi in information?...4 Hur hämtar vi in information?...4 Vem lämnar information?...5 När lämnas informationen?...5 Frågor om myndighetens interna styrning och kontroll Myndighetsledningens ansvar för myndigheten Myndighetsledningens ansvar för verksamheten Myndighetens allmänna uppgifter Myndighetens omvärldsbevakning Myndighetens ledarskap Myndighetens arbetsförhållanden Myndighetens kompetensförsörjning Myndighetschefens ansvar gentemot styrelsen Myndighetens riskanalys Myndighetens risker Myndighetens åtgärder med anledning av riskanalys Myndighetens uppföljning av intern styrning och kontroll Internrevisionens uppgift till myndighetsledningen Myndighetsledningens riktlinjer för Internrevision Myndighetsledningens revisionsplan till internrevision Internrevisionens rapportering till myndighetsledningen Frågor om myndighetens internrevision Frågor om följsamhet till bestämmelser Organisering av myndighetens internrevision Internrevisionens uppgift Granskningens inriktning och omfattning Råd och stöd från internrevisionen Internrevisionens bedrivande Redovisning och rapportering till myndighetsledningen Beslut av internrevisionens uppdragsgivare (myndighetsledningen) Internrevisionens tillgång till uppgifter Övriga frågor om förutsättningar, resultat m.m Internrevisionens förutsättningar Internrevisionens riktlinjer från myndighetsledningen Internrevisionens bidrag till förbättringar Förebygga otillbörlig påverkan, bedrägeri eller annan oegentlighet Genomförd granskning Rekommendationer och åtgärder med anledning av granskningen... 27

3 3/ Beredning och föredragning av beslut om åtgärder Analys av risker i verksamheten Försäkran från internrevision Samordnad internrevision Förlitat sig på granskning utförd av annan Intern och extern utvärdering av internrevision Myndighetens resurser för internrevision... 33

4 4/33 Bakgrund Varför hämtar vi in information? Ekonomistyrningsverket (ESV) hämtar in information för att kunna lämna en redovisning över den statliga internrevisionen och myndigheternas interna styrning och kontroll till regeringen. 1 Rapporten ska lämnas årligen, senast den 31 mars. Hur hämtar vi in information? Vi ställer 37 frågor som kan bestå av en eller flera delfrågor. Frågorna avser Svaren är en självdeklaration från myndigheten. Frågorna 1-12 kopplar till förordningen om intern styrning och kontroll 2. Frågorna följer en gemensam struktur med delfrågorna a-d. n a avser följsamhet till gällande rätt (förekomst) och besvaras med Ja eller Nej alternativt Et (ej tillämpligt) i vissa fall. n b avser nyttan av följsamhet till gällande rätt (kvalitet) och besvaras med ett av flera alternativ. n c avser information i fritext till alternativet instämmer inte i påståendet i fråga b om nytta. n d avser hur gällande rätt tillämpas och besvaras med inget eller flera alternativ eller med fritext. Fritexten är i båda fallen frivilligt att besvara. Delfrågorna b-d avser att fördjupa svaret i delfråga a och ger ESV möjlighet till analys. Syftet är inte att utifrån svaren mäta rätt eller fel utan att utgöra underlag för att utveckla den interna styrningen och kontrollen i staten. Frågorna kopplar till den nytta som internrevisionen ger myndighetsledningen. Frågorna följer en gemensam struktur med delfrågorna a-b. n a avser nyttan av följsamhet till gällande rätt (kvalitet) och besvaras med ett av flera alternativ. n b avser information i fritext till alternativet instämmer inte i påståendet i fråga a om nytta. Frågorna kopplar till internrevisionsförordningen 3. Utifrån svaren analyserar ESV hur internrevisionsmyndigheterna som grupp efterlever internrevisionsförordningen. Övriga frågor om internrevision återfinns i fråga Syftet med frågorna är att ge ESV underlag för att närmare kunna analysera områden som vi bedömer som viktiga för att utveckla den statliga internrevisionen, vilket är en instruktionsenlig Förordning (2016:1023) med instruktion för Ekonomistyrningsverket. 2 Förordning (2007:603) om intern styrning och kontroll. 3 Internrevisionsförordning

5 5/33 uppgift för ESV. Flera av frågorna är årligen återkommande medan andra frågor byts ut beroende på att ESV:s fokus varierar mellan åren. Frågorna bygger både på internrevisionsförordningen men även på delar av det internationella ramverket för yrkesmässig internrevision från The Institute of Internal Auditors (IIA) handlar om myndighetsledningens riktlinjer för internrevisionen. Syftet med frågan är att få en bild av vad riktlinjerna vanligtvis omfattar. Det kan i förlängningen medföra en uppdatering av det stöd som ESV ger till myndigheterna. Vem lämnar information? De myndigheter som efter beslut av regeringen inrättar internrevision enligt internrevisionsförordningen lämnar information till oss via statens centrala informationssystem (Hermes) i modulen Internrevision. Myndigheterna begär en särskild behörighet till modulen 5. En myndighet kan undantas från att lämna information om beslutet att inrätta internrevision inte har gällt för hela året eller om internrevisionen ska upphöra. Ansökan om att erhålla undantag från att lämna information, lämnas från myndigheten senast den 11 januari 2019, ställs till ESV och skickas till registrator@esv.se. Ansvaret för enkätsvaren har den myndighet som har besvarat enkäten. Om svaret/svaren är uppenbart orimliga kan ESV behöva kontakta myndigheten för att stämma av svaret/svaren. När lämnas informationen? Frågorna besvaras i Hermes under perioden januari International Professional Practice of Internal Auditing (IPPF) I Hermes användarmodul finns användaranvisningar under fliken Hjälp. Där återfinns en behörighetsblankett som ska fyllas i och skickas till ESV innan myndigheten kan registrera. (Gäller endast för nya användare.)

6 6/33 Frågor om myndighetens interna styrning och kontroll. 1. Myndighetsledningens ansvar för myndigheten. a. Har myndighetsledningen (styrelse eller, om enrådighetsmyndighet, myndighetschefen) beslutat om arbetsordning för myndigheten? 4 1 Myndighetsförordningen b. Om ja, ta ställning till följande påstående. Myndighetens arbetsordning har motsvarat myndighetens behov för styrning av och kontroll över verksamheten. instämmer i allt väsentligt instämmer till viss del instämmer inte c. Om svaret på påståendet är instämmer inte, vad är orsaken? d. Om ja på fråga a, vad omfattar arbetsordningen? 4 2 Myndighetsförordningen organisation för verksamheten arbetsfördelning mellan styrelse och myndighetschef arbetsfördelning inom myndigheten delegering av beslutanderätt former för verksamheten annat, ange vad

7 7/33 2. Myndighetsledningens ansvar för verksamheten. a. Har myndighetsledningen beslutat om verksamhetsplan för myndigheten? 4 3 Myndighetsförordningen b. Om ja, ta ställning till följande påstående. Myndighetens verksamhetsplan har motsvarat myndighetens behov för styrning av och kontroll över verksamheten. instämmer i allt väsentligt instämmer till viss del instämmer inte c. Om svaret på påståendet ovan är instämmer inte, vad är orsaken? d. Om ja på fråga a, vad omfattar myndighetens verksamhetsplan? (De föreslagna punkterna ger tänkbara exempel.) uppgifter från instruktionen eller andra regeringsbeslut uppdrag enligt regleringsbrev eller andra regeringsbeslut mål enligt regleringsbrev eller andra regeringsbeslut disponering av anslag enligt regleringsbrev eller andra regeringsbeslut myndighetsledningens prioriteringar av verksamheten fördelning av budget till verksamheten åtgärder för att hantera risker annat, ange vad Myndighetens verksamhetsplan kan utveckla myndighetens uppgift, uppdrag och mål eller disponering av anslag och budget. Förordningen ställer inte krav på årliga beslut om verksamhetsplan varför frågan inte avser årligt beslut.

8 8/33 3. Myndighetens allmänna uppgifter. a. Har myndigheten former för att fortlöpande utveckla verksamheten? 6 första stycket Myndighetsförordningen b. Om ja, ta ställning till följande påstående. Myndighetens former för att fortlöpande utveckla verksamheten har motsvarat myndighetsledningens behov för styrning av och kontroll över verksamheten. instämmer i allt väsentligt instämmer till viss del instämmer inte c. Om svaret på påståendet ovan är instämmer inte, vad är orsaken? d. Om ja på fråga a, vilka tillvägagångssätt har myndigheten för att utveckla verksamheten? 4. Myndighetens omvärldsbevakning. fråga a. Har myndigheten former för att följa sådana förhållanden utanför myndigheten som har betydelse för verksamheten? 6 tredje stycket Myndighetsförordningen b. Om ja, ta ställning till följande påstående. Myndighetens former för att följa förhållande utanför verksamheten har motsvarat myndighetsledningens behov för styrning av och kontroll över verksamheten.

9 9/33 instämmer i allt väsentligt instämmer till viss del instämmer inte c. Om svaret på påståendet ovan är instämmer inte, vad är orsaken? d. Om ja på fråga a, vad omfattar omvärldsbevakningen? 5. Myndighetens ledarskap. fråga a. Har myndigheten former för att se till att de anställda är väl förtrogna med målen för verksamheten? 8 2 Myndighetsförordningen b. Om ja, ta ställning till följande påstående. Myndighetens former för att se till att de anställda är väl förtrogna med målen i verksamheten har motsvarat myndighetens behov för styrning av och kontroll över verksamheten. instämmer i allt väsentligt instämmer till viss del instämmer inte c. Om svaret på påståendet ovan är instämmer inte, vad är orsaken? - Fritextsvar d. Om ja på fråga a, vilka mål kommunicerar myndigheten med de anställda?

10 10/33 6. Myndighetens arbetsförhållanden. fråga a. Har myndigheten former för att skapa goda arbetsförhållanden? 8 3 Myndighetsförordningen b. Om ja, ta ställning till följande påstående. Myndighetens former för att skapa goda arbetsförhållanden har motsvarat myndighetens behov för styrning av och kontroll över verksamheten. instämmer i allt väsentligt instämmer till viss del instämmer inte c. Om svaret på påståendet ovan är instämmer inte, vad är orsaken? d. Om ja på fråga a, vad omfattar formerna?

11 11/33 7. Myndighetens kompetensförsörjning. fråga a. Har myndigheten vidtagit åtgärder i syfte att säkerställa att kompetens finns för att fullgöra de uppgifter som framgår av myndighetens instruktion och till vad regeringen, i förekommande fall, har angett i regleringsbrev eller i något annat beslut? 3:3 Förordningen om årsredovisning och budgetunderlag b. Om ja, ta ställning till följande påstående. Myndighetens former för att ta tillvara och utveckla de anställdas kompetens och erfarenhet har motsvarat myndighetsledningens behov för styrning av och kontroll över verksamheten. instämmer i allt väsentligt instämmer till viss del instämmer inte c. Om svaret på påståendet ovan är instämmer inte, vad är orsaken? d. Om ja på fråga a, vad omfattar myndighetens kompetensförsörjning? 8. Myndighetschefens ansvar gentemot styrelsen. fråga a. Har myndighetsledningen lämnat direktiv och riktlinjer till myndighetschefen för att sköta verksamheten? 13 Myndighetsförordningen /Et (har ej styrelse) b. Om ja, ta ställning till följande påstående.

12 12/33 Direktiven och riktlinjerna har motsvarat myndighetens behov för styrning av och kontroll över verksamheten. instämmer i allt väsentligt instämmer till viss del instämmer inte c. Om svaret på påståendet ovan är instämmer inte, vad är orsaken? d. Om ja på fråga a, vad omfattar direktiven och riktlinjerna? 13 Myndighetsförordningen hålla styrelsen informerad om verksamheteten förse styrelsen med underlag för beslut verkställa styrelsens beslut svara för myndighetens arbetsgivarpolitik företräda myndigheten som arbetsgivare annat, ange vad n avser ledningsformen styrelsemyndighet. Direktiv och riktlinjer kan framgå av arbetsordningen. 9. Myndighetens riskanalys. a. Har myndigheten med riskanalys identifierat omständigheter som utgör risk för att de krav som följer av ansvaret för verksamheten inte fullgörs? 3 Förordning om intern styrning och kontroll b. Om ja, ta ställning till följande påstående. Myndighetens riskanalys har motsvarat myndighetens behov för styrning av och kontroll över verksamheten. instämmer i allt väsentligt instämmer till viss del instämmer inte

13 13/33 c. Om svaret på påståendet ovan är instämmer inte, vad är orsaken? d. Om ja på fråga a, vad omfattar riskanalysen? Allmänna råd till 3 Förordningen om intern styrning och kontroll den verksamhet som myndigheten bedriver eller på annat sätt ansvarar för oavsett hur den finansieras eller i vilken form verksamheten bedrivs risken för otillbörlig påverkan, bedrägeri, korruption eller annan oegentlighet i verksamheten annat, ange vad Myndighetens riskanalys innefattar samtliga riskanalyser (risk- och sårbarhetsanalys, etc.) eller motsvarande (säkerhetsanalys, hindersanalys etc.) som myndigheten genomfört för sina olika ändamål. 10. Myndighetens risker. a. Har myndigheten säkerställt att genomförd riskanalys omfattar aktuella risker? Föreskrifter till 3 Förordningen om intern styrning och kontroll b. Om ja, ta ställning till följande påstående. Myndighetens riskanalys har motsvarat myndighetens behov för styrning av och kontroll över verksamheten. instämmer i allt väsentligt instämmer till viss del instämmer inte c. Om svaret på påståendet är instämmer inte, vad är orsaken? d. Om ja på fråga a, vad avser myndighetens risker? risk för att inte fullgöra ansvaret för verksamheten 2 Förordningen om intern styrning och kontroll 9 andra stycket Förordningen om statliga myndigheters betalningar och medelsförvaltning

14 14/33 säkerheten i myndighetens betalningar risken för otillräckliga anslag risken för skada och förlust i verksamheten risker som synnerligen allvarligt kan försämra förmågan till verksamhet att säkerställa att kompetens finns för verksamhetens behov säkerhetsskydd med hänsyn till rikets säkerhet eller skyddet mot terrorism säkert och effektivt elektroniskt informationsutbyte inom den offentliga förvaltningen annat, ange vad 9 Anslagsförordningen 3 Förordningen om myndigheters riskhantering 8 Förordningen om krisberedskap och bevakningsansvariga myndigheters åtgärder vid höjd beredskap 3:3 Förordningen om årsredovisning och budgetunderlag 5 Säkerhetsskyddsförordningen 2 Förordningen om statliga myndigheters elektroniska informationsutbyte Ansvaret för verksamheten framgår av 3 myndighetsförordningen. 11. Myndighetens åtgärder med anledning av riskanalys. a. Har myndigheten vidtagit eller planerat att vidta åtgärder som är nödvändiga med anledning av genomförd riskanalys? 4 Förordningen om intern styrning och kontroll b. Om ja, ta ställning till följande påstående Myndighetens åtgärder har motsvarat myndighetsledningens behov för styrning av och kontroll över verksamheten. instämmer i allt väsentligt instämmer till viss del instämmer inte c. Om svaret på påståendet ovan är instämmer inte, vad är orsaken? d. Om ja på fråga a, vilka överväganden är gjorda för att vidta åtgärder? Allmänna råd till 3 Förordningen om intern styrning och kontroll

15 15/33 avvägning mellan den kostnad en viss åtgärd för med sig och den förväntade nyttan av åtgärden annan, ange vad 12. Myndighetens uppföljning av intern styrning och kontroll. a. Har myndigheten systematiskt och regelbundet följt upp och bedömt den interna styrningen och kontrollen? 5 Förordningen om intern styrning och kontroll b. Om ja, ta ställning till följande påstående. Den systematiska och regelbundna uppföljningen och bedömningen har motsvarat myndighetens behov för styrning av och kontroll över verksamheten. instämmer i allt väsentligt instämmer till viss del instämmer inte c. Om svaret på påståendet ovan är instämmer inte, vad är orsaken? d. Om ja på fråga a, vad avser uppföljningen? om processen för intern styrning och kontroll fungerar på avsett sätt om riskerna är aktuella om åtgärderna är vidtagna om åtgärderna är kostnadseffektiva om åtgärderna har givit önskad effekt annat, ange vad Föreskrifter till 3 Förordningen om intern styrning och kontroll 4 Förordningen om intern styrning och kontroll

16 16/33 Om myndigheten följer upp att riskerna är aktuella och åtgärderna ändamålsenliga är uppföljningen systematisk. Om uppföljningen ligger till grund för bedömningen som redovisas i årsredovisningen är uppföljningen regelbunden. 13. Internrevisionens uppgift till myndighetsledningen. a. Internrevisionens granskningar har bidragit till att förbättra myndighetens interna styrning och kontroll. 3 Internrevisionsförordningen instämmer i allt väsentligt instämmer till viss del instämmer inte b. Om svaret på påståendet är instämmer inte, vad är orsaken? 14. Myndighetsledningens riktlinjer för Internrevision. a. De riktlinjer som myndighetsledningen har beslutat om för internrevisionen har motsvarat myndighetens behov Internrevisionsförordningen instämmer i allt väsentligt instämmer till viss del instämmer inte b. Om svaret på påståendet ovan är instämmer inte, vad är orsaken?

17 17/ Myndighetsledningens revisionsplan till internrevision. a. De granskningar som internrevisionen genomfört har motsvarat den av myndighetsledningen beslutade revisionsplanen Internrevisionsförordningen instämmer i allt väsentligt instämmer till viss del instämmer inte b. Om svaret på påståendet är instämmer inte, vad är orsaken? 16. Internrevisionens rapportering till myndighetsledningen. a. De iakttagelser och rekommendationer som internrevisionen lämnat har utgjort en bra grund för att utforma de åtgärder myndighetsledningen beslutat om Internrevisionsförordningen instämmer i allt väsentligt instämmer till viss del instämmer inte. b. Om svaret på påståendet ovan är instämmer inte, vad är orsaken?

18 18/33 Frågor om myndighetens internrevision Frågor om följsamhet till bestämmelser 17. Organisering av myndighetens internrevision a. Leds internrevisionen av en chef? 2 Internrevisionsförordning b. Är internrevisionschefen anställd av myndigheten? 2 Internrevisionsförordning c. Är internrevisionen inrättad direkt under myndighetsledningen? Föreskrifter till 2 Internrevisionsförordning d. Är internrevisionen självständig i förhållande till den granskade verksamheten? Föreskrifter till 2 Internrevisionsförordning Om myndigheten har undantag från kravet på anställd internrevisionschef är svaret Et på fråga 17 b, ange då att myndigheten har undantag. Med direkt under myndighetsledningen i fråga 17 c avses att myndighetsledningen är internrevisionens uppdragsgivare och att internrevisionen rapporterar direkt till myndighetsledningen. Om myndigheten har en styrelse är det styrelsen som är internrevisionens uppdragsgivare och om myndigheten är en enrådighetsmyndighet är myndighetschefen internrevisionens uppdragsgivare. Med självständig i fråga 17 d avses att internrevisionen är organisatoriskt placerad direkt under myndighetsledningen.

19 19/ Internrevisionens uppgift a. Har internrevisionen granskat myndighetens process för intern styrning och kontroll? 3 Internrevisionsförordning b. Har internrevisionen lämnat förslag till förbättringar av myndighetens process för intern styrning och kontroll? 3 Internrevisionsförordning Med granskat myndighetens process för intern styrning och kontroll menas här att internrevisionen, utifrån en analys av myndighetens risker, granskat att de styr- och ledningsprocesser som myndighetsledningen har beslutat fullföljs på ett sådant sätt att ledningen har kontroll över verksamheten och att ledningen därmed kan fullgöra sitt ansvar för verksamheten inför regeringen. Internrevisionens granskning enligt ovan ska genomföras utifrån den revisionsplan som myndighetsledningen beslutar om. Med lämnat förslag till förbättringar av myndighetens process för intern styrning och kontroll menas här att internrevisionen självständigt utifrån rapporterade iakttagelser föreslår rekommendationer till myndighetsledningen för hur den interna styrningen och kontrollen ska förbättras på myndigheten. 19. Granskningens inriktning och omfattning a. Har internrevisionen granskat utifrån en analys av verksamhetens risker? b. Omfattar internrevisionens riskanalys den verksamhet som myndigheten bedriver eller ansvarar för? (Ny fråga) 4 Internrevisionsförordning 3 Myndighetsförordning (2007:603). 1 kap. 3 Budgetlag (2011:203). 6 Internrevisionsförordning (2006:1228)

20 20/33 c. Har internrevisionen bedömt risken för otillbörlig påverkan, bedrägeri eller annan oegentlighet i analysen av verksamhetens risker? Föreskrifter till 4 Internrevisionsförordning Om granskning genomförs av åtgärder som vidtas för att hantera de omständigheter som utgör en risk för att inte fullgöra de krav som ingår i ansvaret för verksamheten är svaret på fråga 19 a Ja. I ansvaret för verksamheten ingår att verksamheten är effektiv, bedrivs enligt gällande rätt, är rättvisande och tillförlitligt redovisad samt bedrivs med god hushållning. 20. Råd och stöd från internrevisionen a. Har internrevisionen lämnat råd och stöd till myndighetens styrelse och chef? 5 Internrevisionsförordning Med råd och stöd avses både längre uppdrag men även kortare muntliga eller skriftliga rådgivningsinsatser. Om råd och stöd inte har begärts av myndighetens styrelse och chef är svaret Ej tillämpligt. 21. Internrevisionens bedrivande a. Bedrivs internrevision enligt god internrevisions- och internrevisorssed? 7 Internrevisionsförordning Av allmänna råd till 7 framgår att för utfyllande tolkning av god internrevisionsoch internrevisorssed kan vägledning hämtas från allmänt accepterade riktlinjer för internrevision. Lagar och förordningar gäller före god sed.

21 21/ Redovisning och rapportering till myndighetsledningen a. Har internrevisionen redovisat resultatet av granskningen i form av iakttagelser och rekommendationer? 9 Internrevisionsförordning b. Har internrevisionen rapporterat sina iakttagelser och rekommendationer till myndighetsledningen? 9 Internrevisionsförordning c. Har internrevisionen rapporterat resultatet av granskningen efter varje avslutad granskning? Allmänna råd till 9 Internrevisionsförordning d. Har internrevisionschefen avgjort vilka iakttagelser som ska rapporteras till myndighetsledningen? 3 4 Internrevisionsförordning Om internrevisionen har rapporterat till någon annan än myndighetsledningen (till exempel ett revisionsutskott i stället för hela styrelsen) är svaret på fråga 22 b Nej. Om internrevisionens iakttagelser och rekommendationer enligt riktlinjer till internrevisionen inte ska rapporteras efter varje avslutad granskning är svaret på fråga 22 c Nej. Om svaret på fråga 22 c är Nej, ange även orsaken till varför iakttagelser och rekommendationer inte rapporteras efter varje avslutad granskning. Om någon annan än internrevisionen (till exempel ett revisionsutskott) har avgjort vilka iakttagelser och rekommendationer som ska redovisas är svaret på frågan 22 d Nej. Ange vem/vilka som avgjort vilka iakttagelser och rekommendationer som ska redovisas till myndighetsledningen.

22 22/ Beslut av internrevisionens uppdragsgivare (myndighetsledningen) a. Har myndighetsledningen beslutat om riktlinjer för internrevisionen? 10 1 p Internrevisionsförordning b. Har myndighetsledningen beslutat om en revisionsplan för internrevisionen? 10 2 p Internrevisionsförordning c. Har myndighetsledningen beslutat om åtgärder med anledning av de iakttagelser och rekommendationer som internrevisionen rapporterat? 10 3 p Internrevisionsförordning Myndighetsledningen är internrevisionens uppdragsgivare. Om myndigheten har en styrelse är det styrelsen som är internrevisionens uppdragsgivare och om myndigheten är en enrådighetsmyndighet är myndighetschefen internrevisionens uppdragsgivare. I fråga 23 c gäller (om myndigheten är en styrelsemyndighet) att delegering av beslutanderätt till myndighetschefen eller annan innebär att denne kan vidta de åtgärder som är nödvändiga, men att styrelsen vid något tillfälle måste godkänna åtgärderna. 24. Internrevisionens tillgång till uppgifter a. Har myndighetsledningen sett till att internrevisionen fått tillgång till de uppgifter och upplysningar som den behövt för att fullgöra sitt uppdrag? 11 internrevisionsförordning Offentlighets- och sekretesslag (2009:400).

23 23/33 Om internrevisionen på grund av sekretess (sekretessbeläggning) inte fått tillgång till den information som behövs är svaret Ej tillämpligt. Om svaret på fråga 24 a är Nej, ange orsaken till varför internrevisionen inte har fått tillgång till informationen. Ange även vad granskningen avsåg. Övriga frågor om förutsättningar, resultat m.m. 25. Internrevisionens förutsättningar 6 a. Har internrevisionschefen haft lönesamtal med sin uppdragsgivare? b. Har internrevisionen en budget för att genomföra granskning enligt revisionsplanen? c. Godkänner internrevisionens uppdragsgivare internrevisionens budget? d. Har myndigheten genomfört en analys av internrevisionens resursbehov? e. Har myndighetsledningen tagit ställning till slutsatserna i analysen av internrevisionens resursbehov? f. Godkänner internrevisionens uppdragsgivare anställning av internrevisionschefen? 6 International Standards for the Professional Practice of Internal Auditing (IPPF) 1110, 1111, 2030

24 24/33 Om myndigheten har en styrelse är det styrelsen som är internrevisionens uppdragsgivare och om myndigheten är en enrådighetsmyndighet är myndighetschefen. 26. Internrevisionens riktlinjer från myndighetsledningen 7 a. Internrevisionens riktlinjer är aktuella. b. Internrevisionens rapportering till myndighetsledningen framgår av internrevisionens riktlinjer. c. Internrevisionens rådgivning till myndighetsledning och övriga myndigheten framgår av internrevisionens riktlinjer. d. Internrevisionens roll i samband med oegentlighetsärenden framgår av internrevisionens riktlinjer. e. Internrevisionens externa kvalitetssäkring framgår av internrevisionens riktlinjer. f. Internrevisionens interna kvalitetsarbete framgår av internrevisionens riktlinjer. g. Omfattar riktlinjerna att internrevisionen ska lämna ett omdöme om den interna styrningen och kontrollen inom de områden som granskats? 7 International Standards for the Professional Practice of Internal Auditing (IPPF) 1000, 1000.A1, 1000.C1, 1300, 1310, 1311, 1312, 1320

25 25/33 h. Omfattar riktlinjerna att internrevisionen ska lämna ett övergripande omdöme om ledningens interna styrning och kontroll? i. Omfattar riktlinjerna samverkan med annan internrevisionsmyndighet? Internrevisionens riktlinjer beslutas av myndighetsledningen (myndighetschefen i enrådighetsmyndighet annars styrelsen) som är internrevisionens uppdragsgivare. Riktlinjerna reglerar samarbetet mellan myndighetsledning och internrevision. 27. Internrevisionens bidrag till förbättringar a. För vilket av de områden som internrevisionen har granskat under 2018 har iakttagelserna och rekommendationerna haft eller kan få störst betydelse för att förbättra myndighetens interna styrning och kontroll? Internrevisionsförordning (2006:1228) 3 Förordning om intern styrning och kontroll (2007:603) 5. - Fritextsvar Svaret är en bedömning av de iakttagelser och rekommendationer som är redovisade till myndighetsledningen.

26 26/ Förebygga otillbörlig påverkan, bedrägeri eller annan oegentlighet 8 a. Har internrevisionen granskat risken för otillbörlig påverkan, bedrägeri eller annan oegentlighet som en särskild granskning? b. Har internrevisionen granskat risken för otillbörlig påverkan, bedrägeri eller annan oegentlighet som en del i de granskningar som genomförts? Om internrevisionen utifrån en analys av risker i verksamheten bedömt risken för otillbörlig påverkan, bedrägeri eller annan oegentlighet (enligt fråga 19 c) och det inte medfört en granskning är svaret på fråga 28 a Nej med förklaringen att det inte är prioriterat utifrån en analys av risker i verksamheten. Internrevisionen ska enligt god sed beakta risken för oegentligheter i alla granskningar. Om internrevisionen i alla granskningar (oavsett vilken verksamhet som granskats) har bedömt risken för otillbörlig påverkan, bedrägeri eller annan oegentlighet och har genomfört granskningsåtgärder där internrevisionen har bedömt att det är befogat är svaret på fråga 28 b Ja. 29. Genomförd granskning 9 a. Ange antal granskningar som var upptagna i revisionsplanen. - Numeriskt svar 8 Internrevisionsförordning (2006:1228) föreskrifter till 4, International Standards for the Professional Practice of Internal Auditing (IPPF) 2120.A1, 2210.A2 9 Internrevisionsförordning (2006:1228) 9, International Standards for the Professional Practice of Internal Auditing (IPPF) 1110, 2060, 2440

27 27/33 b. Ange antal granskningar från revisionsplanen som är rapporterade till myndighetsledningen. - Numeriskt svar c. Om samtliga granskningar inte har rapporterats till myndighetsledningen ange vad som är orsaken till detta? - Fritextsvar Om myndighetsledningen har beslutat om ändring av revisionsplanen är det antalet granskningar efter ändringen som avses i fråga 29 a. Om en granskning i fråga 29 a är beslutad och ingår i revisionsplanen för 2018 men som ska vara pågående och avslutas i en revisionsplan för nästkommande år räknas granskningen som upptagen i den senare revisionsplanen. Om myndigheten är en styrelsemyndighet är en granskning i fråga 29 b rapporterad till myndighetsledningen när den ingår i ärendelistan till ett styrelsemöte med eller utan föredragning från internrevisionschefen. Om myndigheten är en enrådighetsmyndighet är en granskning i fråga 29 b rapporterad till myndighetsledningen när den är överlämnad till myndighetschefen med eller utan föredragning från internrevisionschefen. 30. Rekommendationer och åtgärder med anledning av granskningen a. Ange antal rekommendationer som internrevisionen har redovisat till myndighetsledningen med anledning av granskningen? - Numeriskt svar 9 Internrevisionsförordning b. Ange antal rekommendationer där myndighetsledningen har beslutat om åtgärder? 10 Internrevisionsförordning

28 28/33 - Numeriskt svar c. Om myndighetsledningen inte har beslutat om åtgärder: Vad är orsaken till det? - Fritextsvar Uppgiften om antalet rekommendationer i fråga 30 a hämtas från internrevisionens rapportering till myndighetsledningen. Antalet rekommendationer räknas så som de är redovisade till myndighetsledningen. Med beslut om åtgärder enligt fråga 30 b avses att myndigheten beslutat om åtgärder för att omhänderta iakttagelsen. Om den beslutade åtgärden i fråga 30 b ännu inte blivit genomförd ska den räknas med i antalet beslutade åtgärder. Beslut om åtgärd kan omfatta en eller flera rekommendationer. Det saknar betydelse om redovisningen av rekommendationer sker uppdelat i flera rekommendationer eller sammanhållet som en gemensam rekommendation. Det är kvoten som är av intresse för ESV:s analys. 31. Beredning och föredragning av beslut om åtgärder 10 a. Har myndigheten en fungerande process för att bereda förslag till åtgärder inför myndighetsledningens beslut om praktiska åtgärder med anledning av internrevisionens iakttagelser och rekommendationer? b. Har myndigheten en fungerande process för att säkerställa att myndighetsledningens beslut om åtgärder med anledning av internrevisionens rekommendationer blir genomförda. 10 Internrevisionsförordning (2006:1228) 10, International Standards for the Professional Practice of Internal Auditing (IPPF) 2120.A1, 2210.A2

29 29/33 c. Har internrevisionen lämnat återrapportering till myndighetsledningen om i vilken utsträckning myndigheten har hanterat tidigare års iakttagelser och rekommendationer? 32. Analys av risker i verksamheten 11 a. Har internrevisionen informerat myndighetsledningen om sin bedömning av myndighetens risker i verksamheten? b. Har internrevisionen gjort bedömningen att myndighetsledningen accepterar för stora risker i verksamheten för att kunna fullgöra ansvaret för verksamheten? Om internrevisionen enligt fråga 32 a har informerat myndighetsledningen om sin bedömning av riskerna i verksamheten inför myndighetsledningens beslut om revisionsplan eller i rapporteringen av granskningens resultat är svaret Ja. 33. Försäkran från internrevision 12 a. Lämnar internrevisionen ett omdöme om den interna styrningen och kontrollen i rapporteringen till myndighetsledningen för de områden som granskats? 11 International Standards for the Professional Practice of Internal Auditing (IPPF) 2120, International Standards for the Professional Practice of Internal Auditing (IPPF) 2450

30 30/33 b. Har internrevisionen, (utöver vad som efterfrågats ovan i 33 a), lämnat ett övergripande omdöme till myndighetsledningen om den interna styrningen och kontrollen? c. Om Ja på fråga 33 b: Ange hur det övergripande omdömet formulerats och på vilket sätt det övergripande omdömet rapporterats. Ange även till vilka områden omdömet har avgränsats till. - Fritextsvar 33 a avser omdömet om den interna styrningen och kontrollen i de enskilda granskningsrapporterna. 33 b behandlar om internrevisionen, enligt myndighetsledningens riktlinjer för internrevisionen eller på eget initiativ, har lämnat ett övergripande omdöme om myndighetens interna styrning och kontroll. 13 Som svar på fråga 33 c ska anges hur omdömet är formulerat. Är det utformat som en positiv försäkran (allt fungerar väl) eller som en negativ försäkran (ingenting negativt har uppmärksammats). Ett omdöme kan även formuleras i en mer beskrivande karaktär och innehåller då en utförlig beskrivning av olika problem/områden inom myndigheten. 34. Samordnad internrevision a. Är myndighetens internrevision samordnad med annan myndighets internrevision? Internrevisionsförordning (2006:1228) 8 13 Med övergripande omdöme avser vi samma krav och tolkning som görs i IPPF 2450 Övergripande omdömen, i IIA:s standards.

31 31/33 b. Om ja, finns en överenskommelse mellan myndigheterna? /Et c. Om Ja på fråga 34 a: Vilken/vilka myndighet/myndigheter har samordningen avsett? - Fritextsvar 35. Förlitat sig på granskning utförd av annan 14 a. Har internrevisionen förlitat sig på arbete genomfört av andra interna och externa aktörer? b. Om Ja på fråga 35 a: Ange vilka aktörer som internrevisionen förlitat sig på för att säkerställa täckning och undvika dubbelarbete. - Fritextsvar Aktörer i fråga 35 kan bland annat avses Riksrevisionen, olika tillsynsmyndigheter och/eller interna granskningsfunktioner. 36. Intern och extern utvärdering av internrevision 15 a. Har myndigheten genomfört en extern kvalitetssäkring av sin internrevision? 14 International Standards for the Professional Practice of Internal Auditing (IPPF) International Standards for the Professional Practice of Internal Auditing (IPPF) 1300, 1311, 1312, 1320

32 32/33 b. Vilket år genomfördes den senaste externa utvärderingen av internrevisionens verksamhet? - Fritextsvar c. Om det är mer än fem år sedan senaste externa utvärdering ange vad som är orsaken till att en extern utvärdering inte genomförts. - Fritextsvar d. Har internrevisionen ett internt kvalitetssäkringsprogram? e. Har resultatet av det interna kvalitetsarbetet rapporterats till myndighetsledningen? f. Har internrevisionen en åtgärdsplan för att hantera eventuella brister/utvecklingsområden som framkommit genom det interna kvalitetsarbetet? Med extern utvärdering i fråga 36 a-c menas utvärderingar som utförs som en s.k. fullständig oberoende utvärdering utförd av någon utanför myndigheten eller som en s.k. självutvärdering med oberoende validering av någon utanför myndigheten. I internrevisionens interna kvalitetsprogram, fråga 36 d, bör bland annat ingå uppföljning av att internrevisionens styrdokument 16 följs, styrning och uppföljning av egna granskningsinsatser, uppföljning och utvärdering av internrevisionens prestationer och nyckeltal samt återkoppling till myndighetsledningen och de funktioner som reviderats Handledning En introduktion till den statliga internrevisionen (ESV 2015:30), avsnitt Handledning En introduktion till den statliga internrevisionen (ESV 2015:30), Bilaga 1.

33 33/ Myndighetens resurser för internrevision 18 a. Ange antalet anställda personer vid myndighetens internrevision den 31 december Numeriskt svar b. Ange antalet årsarbetskrafter under 2018 inom myndighetens internrevision. - Numeriskt svar c. Ange arbetad tid som årsarbetskrafter under föregående år för köpta tjänster för internrevision. - Numeriskt svar d. Är myndighetens internrevisionschef även anställd som internrevisionschef vid annan myndighet? e. Om Ja på fråga 22 d: Ange vilken myndighet. - Fritextsvar Antalet årsarbetskrafter i fråga 37 b och c beräknas enligt allmänna råd till 2 kap. 4 förordning (2000:605) om årsredovisning och budgetunderlag. 18 International Standards for the Professional Practice of Internal Auditing (IPPF) 2030