Riskhantering viktigast i bankers internrevisionsarbete?

Transkript

1 Uppsala Universitet Företagsekonomiska institutionen C -uppsats Examensarbete C Ht - 06 Handledare: Niklas Ström Riskhantering viktigast i bankers internrevisionsarbete? Grupp 2 Marta Goczkowska Stefan Håkansson

2 Sammandrag Då vi lever i en föränderlig värld är det alltmer viktigt att ha en väl fungerande internrevision. Då författarna förväntar sig att riskhanteringen bör utgöra en central del för kommersiella banker anser de det vara av intresse att undersöka om bankerna följer branschorganisationen The Institute of Internal Auditors riktlinjer. Det främsta syftet med uppsatsen blir därmed att undersöka om bankerna lägger större tonvikt vid riskhanteringen i internrevisionsarbetet. Vidare har författarna även för avsikt att diskutera hur internrevisionen påverkas av regleringar och förordningar samt om den bör utgöra en intern funktion eller en extern. Ytterligare en frågeställning är huruvida internrevisionen sker koncernmässigt eller om den tillämpas olika inom olika geografiska områden. För att besvara frågeställningarna har författarna förutom teoretiska fakta även använt sig av intervjuer med representanter från bankerna samt genomfört en intervju med en väl insatt och oberoende person. Resultatet visar att riskhanteringen utgör en kritisk del av internrevisionsarbetet men slutsatsen att det skulle utgöra den mest centrala delen kan inte tas. Vidare menar författarna att bankerna inte har så stort val vad gäller tillämpandet av diverse regleringar samt att internrevisionen bör utgöra en intern funktion. Slutligen visar undersökningen att bankerna i så stor utsträckning som möjligt försöker tillämpa internrevisionen ur ett koncernmässigt perspektiv. 2

3 Abstract Since we are living in a changeable world, having a functioning internal auditing is getting more important. Because of the authors belief that risk management is the most central part of internal auditing they think it would be of great interest to look into whether the commercial banks are following the guidelines of The Institute of Internal Auditor which is a business organisation dedicated to internal auditing. Therefore the main purpose of the investigation will be to examine if the banks are putting more effort into risk management. Other further aims with the investigation are to discuss how different regulations are affecting the internal auditing and whether it should be an internal or external function. A final purpose is to investigate if the internal auditing is applied in the same way across the organization or if it is applied differently in different countries. To be able to answer these questions the authors have done some interviews with representatives from the banks and an individual with great knowledge of the subject, and have considered theoretical research. The results of the investigation show that risk management is a very critical part of internal auditing, but the authors cannot make the conclusion that it would be the most critical part. Furthermore the authors think that the banks do not have a big influence on implementing different regulations and that internal auditing should be an internal function. Finally the investigation shows that the banks, to a great extent, are trying to apply the processes of the internal auditing similarly across the organization. 3

4 Innehållsförteckning 1. Inledning Bakgrund Problemformulering Syfte Metod Fortsatt disposition av uppsatsen Teori Internrevision Vad är internrevision? Internkontroll Analysmodell Riskhantering Styrning och kontroll Ledningsprocesser Visuell bild av analysmodellen Metod Metodval och genomförande Val av metod Datainsamling Tillvägagångssätt av undersökningen Kritik av metodval, datainsamling samt tillvägagångssätt av undersökningen Urval Urval av företag Urval av respondenter Kritik av urval Källkritik Validitet och Reliabilitet Validitet Reliabilitet

5 4. Empiri Regleringar som styr internrevision Svensk kod för bolagsstyrning COSO I och II Basel I och II Finansinspektionen Data från informantintervjun Internrevision inom de kommersiella bankerna Internrevisionens framställning i årsredovisningarna Analys Riskhantering inom bankerna Internrevision en intern funktion eller inte? Olika definitioner av internrevision Regleringarnas påverkan på internrevisionsarbetet Internrevisionen från ett koncernmässigt perspektiv Slutsatser...40 Vidare reflektioner Källförteckning...43 Tryckta källor...43 Elektroniska källor...44 Muntliga källor Bilagor...47 Bilaga Bilaga Bilaga Bilaga Bilaga Bilaga Bilaga

6 1. Inledning I det inledande avsnittet av uppsatsen presenterar författarna kortfattat bakgrunden, problemformuleringen, syftet samt metoden för läsaren så att denne ska kunna få en snabb inblick i vad undersökningen avser att behandla. Slutligen följer även en presentation av den fortsatta dispositionen av uppsatsen. 1.1 Bakgrund Genom diverse historiska företagsskandaler såsom Enron, WorldCom och Tyco förstärktes insikten om behovet av en välfungerande internrevision samt dess positiva påverkan. Därför uppkom Sarbanes- Oxley Act (SOX) som är en amerikansk reglering med hårdare krav på ansvarskyldighet samt hårdare straff vid felaktigheter. SOX har även bidragit till framtagandet av den svenska Koden för Bolagsstyrning (koden) som har stor påverkan på de svenska bankerna. 1 Då vi lever i en värld som snabbt förändras och som blir alltmer global genom multinationella företag och joint ventures som verkar under olika kulturella och statliga influenser, genom nya internationella marknader samt genom ett ökat intresse av att investera i så väl utländska som inhemska företag har behovet av internationella samt nationella regleringar avseende internrevision fått en större betydelse. 2 Vad gäller dessa regleringar och den globala utvecklingen av ägarstyrning, riskhantering och intern kontroll spelar The Institute of Internal Auditors (IIA), som är en global professionell branschorganisation som grundades 1941, en avgörande roll. Området riskhantering som författarna kommer att fokusera mycket på är en viktig del i internrevisionsarbetet där diverse regleringar spelar en betydelsefull roll (se riskhanterings- respektive regleringsavsnittet). Vidare har internrevisionen enligt IIA till uppgift att tillföra värde till en organisations verksamhet samt att förbättra den genom att utgöra en oberoende, objektiv säkrings- och konsultaktivitet. 3 IIA leder även utvecklingen av internrevision som profession genom utbildning, utveckling, forskning samt teknisk rådgivning för internrevisorer över hela världen. 4,5 Den har även ett eget certifieringsprogram 1 ( ) 2 ltextarticle/pdf/ pdf ( ) 3 ( ) 4 ( ) 5 Thornhill, W. T., sid 143 ff. 6

7 för yrkesverksamma internrevisorer; Certified Internal Auditor. 6 Denna certifiering är den enda som är globalt accepterad för internrevisorer och utgör således standarden för de yrkesverksammas kompetens och professionalism inom yrket. Efter att ha genomgått certifieringen förväntas deltagarna ha berikats med kunskap och information inom ämnet samt erhållit affärsmässiga verktyg som kan tillämpas i vilken organisation eller i vilket affärsområde som helst. 7 En svensk avgrening av IIA som bör omnämnas är Internrevisorernas Förening (IRF) som grundades IRF arbetar enligt mottot: framsteg genom samverkan. I enlighet med föreningens verksamhetsidé är dess huvudsakliga målsättning att vara den ledande branschorganisationen inom Sverige och att den ska finnas till som stöd vid utvecklandet av internrevisionen i så väl teori som praktik. Internrevision behandlar många olika ämnesområden, bland annat granskar den att en organisations information är tillförlitlig och har integritet. Den ska även kontrollera att gällande lagar och regler följs samt att företagets mål och syften uppnås samtidigt som företaget utnyttjar sina resurser effektivt. För att uppfylla denna kontrollfunktion är det av stor vikt att internrevisionen är oberoende och objektiv gentemot bolagets ledning samt att den ger organisationen en bättre förståelse för de problem som uppkommit samt kommer att infinna sig i verksamheten i framtiden. Med oberoende menas att internrevisionens utfall inte styrs av ledningen inom organisationen utan att koncernrevisionschefen i samråd med styrelsen kommer fram till hur arbetet ska läggas upp. Organisationen skall genom internrevisionen förses med en systematisk och strukturell värderingsmetod som förhoppningsvis förbättrar effektiviteten i riskhanteringen, styrningen och kontrollen. 9,10 Internrevisorer har som uppdrag att granska säkerheten och effektiviteten i rutinerna för ekonomistyrningen inom företaget. Tidigare granskade de bara redovisningen men nu har de börjat spela en större roll i företaget genom att de får genomföra bedömningar av om 6 ( ) 7 ( ) 8 ( )

8 resursanvändningen är ändamålsenlig. Deras uppgift lägger viktig grund för den externa revisionen och därmed planeras arbetet oftast i samråd med externrevisorn. 11 Intresset för det här ämnet har författarna fått då det här området har blivit allt mer populärt och relevant i och med diverse företagsskandaler. Internrevisionen utgör en viktig del av organisationen för att kunna uppnå sina mål, utnyttja sina resurser på ett effektivt sätt samt etablera en väl fungerande riskhantering. Författarna anser det vara intressant att undersöka om internrevision tillämpas i enlighet med IIAs beskrivning. Då författarna förväntar sig att bankerna lägger större vikt vid riskhantering vid internrevisionsarbetet än andra företag, då de antas vara riskkänsliga frångår de därmed delvis den ursprungliga beskrivningen på internrevision något och utgör därmed ett intressant område för författarna. 1.2 Problemformulering Författarna kommer i uppsatsen att utgå från en modell som bygger på IIAs syn på vad internrevision bör innefatta för att utifrån denna undersöka hur fallet är hos de olika kommersiella bankerna. En mer utförlig beskrivning av modellen följer i teoriavsnittet. Med utgångspunkt från vad internrevisionen innefattar har författarna kommit fram till följande huvudfråga som de avser att behandla i detta arbete: Är internrevisionen inom de kommersiella bankerna mer inriktad på riskhanteringen eller implementeras arbetet i enlighet med IIAs uppfattning om vilka aspekter som internrevisionen bör innehålla? Vidare anser författarna det vara intressant att samtidigt undersöka om arbetet med internrevision påverkas i stor grad av gällande regleringar och förordningar. En annan intressant frågeställning är om det förekommer skillnader globalt sett beträffande den utarbetade arbetsprocessen som finns inom organisationen då samtliga banker agerar på en global marknad. Följer bankerna koncernmässigt en gemensam plan vad gäller internrevisionen och hur kontrolleras detta?

9 1.3 Syfte Syftet med uppsatsen är att undersöka om bankerna lägger större tonvikt vid riskhanteringen i internrevisionsarbetet. Vidare kommer även att undersökas huruvida internrevisionsarbetet påverkas av yttre faktorer såsom regleringar som rör själva tillvägagångssättet både i Sverige och utomlands. 1.4 Metod Författarna har valt att behandla detta ämne genom att genomföra en kvalitativ undersökning genom att hålla intervjuer med företrädare för samtliga banker som populationen består av. Dessa intervjuer har genomförts med så öppna frågor som möjligt. För att ytterligare bredda inblicken av hur internrevisionen fungerar inom bankerna har en intervju med en utomstående expert även genomförts. Syftet med denna intervju har även varit att få ta del av mer oberoende information än den som kommit fram från de andra respondenterna. Denna intervju har innefattat strukturerade och mer riktade frågor för att säkerhetsställa att författarna fått ta del av väsentlig information för undersökningen. Förutom att datainsamlingen har skett genom intervjuer har författarna även sökt information i tryckt material och på Internet. 1.5 Fortsatt disposition av uppsatsen Kapitel 2: Teori författarna ger läsaren en djupare inblick i ämnet samt presenterar modellen som undersökningen bygger på. Kapitel 3: Metod detta avsnitt presenterar valet av metod, urvalet och hur författarna har gått tillväga i sin undersökning samt en kritisk diskussion av diverse moment som uppsatsarbetet omfattar. Kapitel 4: Empiri i detta kapitel presenterar författarna de data som framkommit i den kvalitativa undersökningen. Kapitel 5: Analys skribenterna analyserar det empiriska resultatet jämförelsevis med den teoretiska grunden. Kapitel 6: Slutsatser författarna presenterar sina slutsatser utifrån den analys som gjorts och avslutar detta avsnitt med vidare reflektioner. 9

10 2. Teori Det här kapitlet kommer att behandla den teoretiska grunden för uppsatsen. Aktuella områden som presenteras är internrevision, internkontroll samt undersökningens analysmodell. 2.1 Internrevision I det här avsnittet presenterar författarna internrevision som ämne närmare samt går in mer djupare på vad den interna kontrollen innebär Vad är internrevision? Då ämnet revision diskuteras är det viktigt att tänka på att det förekommer två professioner inom området, nämligen intern- och externrevision. De skiljer sig åt på så sätt att de interna revisorerna har en väsentlig roll inom företaget med att bistå med en fortlöpande bevakning och utvärdering av organisationens aktiviteter. Genom att ta hänsyn till dels finansiella och dels icke-finansiella fakta skall internrevisorerna komma fram med användbara lösningar för företaget vad gäller bland annat organisationens måluppfyllelse och dess förbättring av verksamheten, riskhanteringen och den interna kontrollen. De externa revisorerna som har en helt oberoende ställning till företaget har som främsta uppgift att ta fram en årlig rapport grundad på den finansiella informationen samt att se till att resultatet för verksamheten för den givna tiden har blivit framställt på ett rimligt sätt. För att företaget ska kunna uppnå en optimal inre och yttre effektivitet borde de interna och de externa revisorernas arbete koordineras. 12 IRF tar upp skillnaden av pådrivare professionerna emellan. Det är viktigt att tänka på att de externa revisorerna styrs av externa lagstadgade krav som har för avsikt att oberoende kvalitetssäkra den finansiella informationen medan de interna revisorerna främst drivs av ledningens önskan om att ha en intern resurs som fokuserar på olika delar av organisationens verksamhet som beskrivs ovan. IRF nämner också vikten av en samverkan mellan de två professionerna då båda har en avgörande roll inom corporate governance. Samverkans betydelse är av stor vikt vad gäller att förbättra allmänhetens förtroende för näringslivet samt förtroendet aktörerna emellan ( ) 13 ( ) 10

11 Internrevision beskrivs med vissa skillnader beroende på vilken informationskälla som nyttjas. Författarna har valt att lyfta fram två beskrivningar av internrevision för att läsaren snabbt ska få en god inblick i ämnet. Den första är hämtad från Nationalencyklopedin och beskriver internrevision på följande vis: funktion i vissa större företag och förvaltningar som på den verkställande ledningens uppdrag granskar säkerheten och effektiviteten i rutinerna för ekonomistyrning. Från att tidigare ha varit begränsad till granskning av redovisning har funktionen breddats till att även innefatta bedömning av om resursanvändningen är ändamålsenlig. Resultatet av internrevisionen utgör ett viktigt underlag för den externa revisionen, och arbetet planeras ofta i samråd med externrevisorerna. 14 IIA menar att internrevisionen har till uppgift att tillföra värde och förbättra verksamheten i en organisation genom att utgöra en oberoende, objektiv säkrings- och konsultaktivitet. 15 Internrevisionen fungerar vidare även som ett viktigt redskap vid granskningen utifall en organisations finansiella och operationella information är tillförlitlig och har integritet, om resurserna inom bolaget används på ett effektivt sätt, om tillgångarna skyddas samt att organisationen följer gällande lagar och regelverk. 16 För organisationen är det även av stor vikt att dess fastställda syften och mål uppnås vilket internrevisionen ska bidra med genom att tillföra ett systematiskt, strukturerat sätt att värdera och förbättra effektiviteten i riskhantering, styrning och kontroll samt ledningsprocesserna. 17 Vidare tar IIA även upp att skillnader i internrevision kan uppstå med anledning av bland annat olika organisationers struktur, syfte och storlek. Det som däremot bör vara lika för alla organisationer är att riktlinjerna för god internrevisionssed bör efterlevas för att internrevisorerna ska kunna uppfylla sina åtaganden. Syftet med god internrevisionssed utgörs av de riktlinjer som IIA presenterar och dessa går ut på att beskriva grundprinciperna för korrekt utförd internrevision, fungera som ett ramverk för ett brett område värdeskapande internrevisionsaktiviteter, fastställa hur internrevisionen ska mätas, effektivisera organisatoriska processer och rutiner. 18 Det är av yttersta vikt att internrevisionen kan upprätthålla sitt oberoende och sin objektivitet. Vad gäller oberoendet innebär det att internrevisionsavdelningen med koncernrevisionschefen 14 ( ) 15 ( ) 16 ( ) 17 ( ) 18 ( ) 11

12 i spetsen ska inneha en oberoendeställning gentemot organisationens ledning. Det innebär enligt praxis att koncernrevisionschefen rapporterar till revisionsutskottet eller liknande i första hand. Vidare så är det upp till styrelsen att tillsätta, avskeda och bestämma eventuella förmåner för koncernrevisionschefen. När det kommer till objektivitet är det viktigt att koncernrevisionschefen och hans personal upprätthåller en opartisk ställning i sitt jobb, vilket innebär att de ska undvika att hamna i en jävsituation eller i egna intressekonflikter Internkontroll Enligt Öhrlings PricewaterhouseCoopers (ÖPWC) anses definitionen av internkontroll som är framtagen i enlighet med COSO-ramverket (The Committee of the Sponsoring Organizations of the Treadway Commission) vara den mest vedertagna; Intern kontroll är en process som påverkas av styrelsen, bolagsledningen och annan personal, och som utformats för att ge en rimlig försäkran om att bolagets mål uppnås inom följande kategorier: Ändamålsenlig och effektiv verksamhet Tillförlitlig finansiell rapportering Efterlevnad av tillämpliga lagar och förordningar 20 Förutom dessa punkter som COSO-ramverket tar upp anser ÖPWC att internkontrollen även bör innehålla komponenten god kontrollmiljö och utifrån denna komponent följer andra subkomponenter som riskbedömning, kontrollaktiviteter, system för informationsspridning och uppföljning. Det är av stor vikt att göra en bedömning av vad som kan gå fel. Kontrollaktiviteterna bidrar till att förebygga, upptäcka samt korrigera eventuella fel eller avvikelser. För att organisationen ska följa gällande policys och kontrollaktiviteter behövs ett väl fungerande system för informationsspridning och slutligen är det viktigt att styrelsen följer upp diverse problem för att säkerhetsställa kvaliteten i processerna. 21 Det är styrelsens ansvar att se till att bolagets interna kontroll fungerar bra samt att hålla sig informerad och utvärdera systemet som bolaget tillämpar för intern kontroll. 22 Detta tas även 19 ( ) 20 ( ) 21 Ibid 22 Balans, nr 3; Intern kontroll och internrevision, sid

13 upp i Aktiebolagslagens åttonde kapital under paragraf fyra; Styrelsen skall se till att bolagets organisation är utformad så att bokföringen, medelsförvaltningen och bolagets ekonomiska förhållanden i övrigt kontrolleras på ett betryggande sätt. 23 Haglund diskuterar att utvecklingen av den interna kontrollen alltmer går från att vara ett kontrollsystem till ett riskhanteringssystem. Han menar även att den utgör ett underlag för den strategiska planeringen. Då intern kontroll i allra högsta grad handlar om styrning och utgör en ledningsfråga menar han vidare att intern kontroll handlar om att styra mot effektivitet, ha grepp över både verksamhet och ekonomi, att ha ordning och reda samt skapa trygghet Analysmodell Författarna har valt att tillämpa en modell som bygger på IIAs syn av vad internrevision innebär. Efter att ha utgått från IIA har författarna ritat upp modellen. Genom valet av denna modell avser skribenterna att kunna jämföra de resultat som framkommer vid undersökningen av de kommersiella bankernas population med modellens utgångspunkt. Modellen som författarna skapat utgår från att internrevision omfattar de tre kritiska områdena; riskhantering, styrning och kontroll samt ledningsprocesser. Dessa områden är viktiga ur en organisations synvinkel för att kunna förbättra verksamheten samt för att på ett tillfredsställande vis kunna uppfylla bolagets fastställda syften och mål. 25 Förutom dessa områden tar IIA även upp vikten med att internrevisionen bör vara oberoende och objektiv samt följa god revisionssed. Författarna har med andra ord valt att i det här fallet begränsa sig till att bara inkludera faktorer som direkt har att göra med arbetets beskaffenhet i sin analysmodell. 26 Då författarna dessutom anser det vara en självklarhet att internrevisionen inom bankerna bör vara oberoende, objektiv och följa god revisionssed så menar de att det är av större intresse att undersöka de olika tillämpningsområdena Riskhantering Alla sorters organisationer utsätts för risk av olika slag och den stora utmaningen för ledningen är att bestämma hur mycket osäkerhet, som riskerna för med sig, som är acceptabelt inom bolaget. Då alla bolag enligt dokumentet Enterprise Risk Management Integrated Framework (COSO II) strävar efter att skapa ett värde för sina aktieägare är det viktigt att 23 Aktiebolagslagen 8:4 24 Haglund, A., sid. 15 ff ( ) 26 d_o_adress_stavfelskorr1_2.pdf ( ) 13

14 finna en bra balans mellan risken och den möjlighet till ett ökat värde den kan bidra med. Definitionen av riskhantering som detta dokument tillämpar lyder på följande vis: Riskhantering är en process, som påverkas av ett bolags styrelse, ledning och annan personal, som används vid bestämmandet av strategier, till att identifiera potentiella händelser som kan påverka företaget och hantera risken så att den befinner sig inom gränsen för vad som är accepterat samt till att tillhandahålla en viss garanti att företaget når sina mål. Vidare presenteras även olika komponenter som samverkar och som styr arbetet med riskhanteringen till exempel spelar företagskulturen stor roll i hur bolaget betraktar risker. Dessutom måste organisationen ha en klar målsättning för att kunna identifiera vad som kan utgöra en risk. Sedan är det även av stor vikt att företaget har väl fungerande kontrollaktiviteter samt att informationen och kommunikationen är tillfredsställande så att enheterna inom verksamheten kan sköta sitt arbete. 27 Enligt IIA utgörs ändamålet med riskhanteringen att hjälpa organisationen genom att identifiera och analysera den riskexponering som organisationen utsätts för och på så vis bidra med en förbättring av kontrollsystemet men även av själva riskhanteringen. Det är internrevisionens uppgift att granska och utvärdera om företaget har en effektiv riskhantering. En annan uppgift utgörs av att kontrollera den riskexponering som organisationens ledning, informationssystem och verksamhet utsätts för vad gäller att den finansiella informationen ska vara tillförlitlig och fullständig, att verksamheten ska vara effektiv, att tillgångarna ska skyddas samt att organisationen verkar i överensstämmelse med gällande lagar och förordningar. 28 William T. Thornhill tar upp den traditionella metodiken för internrevisionsarbetet där risk spelar en väsentlig roll, arbetet kännetecknas av att riskerna först identifieras, sedan delas riskerna in i olika grupper beroende av hur kritiska de är, vidare arbetar internrevisionen fram olika tillvägagångssätt för att ta itu med respektive risk så att denna kan elimineras eller reduceras ner till en acceptabel nivå. Slutligen är det viktigt att efteråt utvärdera internrevisionsarbetet och se om bearbetningen av respektive risk har nått den önskvärda 27 Enterprise Risk Management Integrated Framework 28 d_o_adress_stavfelskorr1_2.pdf ( ) 14

15 effekten och om arbetet inte har varit tillfredsställande måste andra åtgärder bestämmas så att organisationens mål kan uppfyllas. 29 Förutom mål som att identifiera riskerna och de andra målen som IIA tar upp så nämner Thornhill även vikten av att utvärdera systemen som organisationerna har för sin interna kontroll för att undersöka dess styrkor och svagheter. Det är även av stor vikt för organisationen att försäkra sig om att allt arbete sker med stor integritet samt att policys, processer och standarder följs på ett tillfredsställande vis Styrning och kontroll Meningen med kontroll är att den skall utvärdera effektiviteten i de olika kontroller som organisationen upprätthåller samt att den skall bidra med en strävan efter kontinuerliga förbättringar. Med utgångspunkt ifrån vad riskbedömningen har resulterat i skall internrevisionen utvärdera hur effektiva och lämpliga kontrollerna är med avseende på organisationens ledning, verksamhet och informationssystem. Denna utvärdering skall innefatta samma punkter som gäller för riskhanteringen. Det är även av stor vikt att internrevision granskar om organisationens mål ligger i linje med de fastställda verksamhetsoch programmål som bolaget har formulerat. Vidare skall även internrevisorn kontrollera olika aktiviteter inom organisationen för att se om dessa är i linje med de uppsatta målen. Det är även av stor vikt att granska om aktiviteterna implementerats och realiserats som det varit planerat. Slutligen är det även viktigt att internrevisorn ser över de kriterier som ledningen upprättat vad gäller utvärdering av styrning och kontroll för att se ifall de har varit lämpliga i linje med organisationens mål Ledningsprocesser Den sista viktiga delen som författarnas modell anser att internrevisionen bör innefatta är internrevisionsverksamhetens granskning av ledningsprocesserna. Genom att förbättra dessa genom granskning samt lämpliga rekommendationer till förädling skall det medverka till att olika målsättningar inom organisationen förbättras. Olika sorters målsättningar som ledningsprocesserna behandlar är att lämplig etik och passande värderingar skall eftersträvas, att ledningen av organisationen skall vara effektiv och ansvarstagande, kommunikationen av 29 Thornhill, William T., sid 85 ff. 30 Ibid, sid 91 ff d_o_adress_stavfelskorr1_2.pdf ( ) 15

16 risk- och styrinformationen skall vara effektiv inom olika delar av organisationen samt att distribution och koordination av information till berörda parter skall vara effektiv inom organisationen. Vidare är det även av stor vikt att internrevisionsavdelningen utvärderar den form, det utförande samt effektiviteten av organisationens etikrelaterade mål, program och aktiviteter Visuell bild av analysmodellen Nedan följer en visuell presentation av författarnas valda modell i undersökningen. Internrevision Riskhantering Ledningsprocesser Styrning och Kontroll Förbättrar en organisations verksamhet samt hjälper den att uppfylla sina fastställda syften samt mål. 32 Ibid 16

17 3. Metod Detta kapitel inleds med valet av metod och utförandet av undersökningen samt ett kritiskt förhållningssätt till detta. Sedan följer en beskrivning av urvalet av både företag samt respondenter. Sist presenteras källkritiken och huruvida uppsatsen uppfyller kraven på validitet och reliabilitet. 3.1 Metodval och genomförande Författarna har beslutat att nyttja ett kvalitativt förhållningssätt vid valda undersökning. För att komma åt relevant information för ämnesområdet har författarna valt att intervjua en oberoende person med stor branschkännedom samt en person som arbetar med internrevision inom respektive bank som tagits fram genom vårt urval. Med oberoende person menas att denna inte för tillfället arbetar inom en av dessa fyra kommersiella banker och därmed kan ge oss en bättre bakgrund till ämnet helt oberoende utifrån vad varje enskild bank kan tänkas vilja lyfta fram Val av metod Holme & Krohn Solvang menar att både det kvalitativa och det kvantitativa angreppssättet av ett problem har som syfte att ge en bättre förståelse av det samhälle vi lever i samt hur enskilda individer, grupper och institutioner beter sig och påverkar varandra. 33 Trost anser att en kvalitativ studie är lämpad då frågeställningen handlar om att förstå eller att hitta ett mönster 34. Då författarna har för avsikt att gå på djupet i sin undersökning för att kunna få en större förståelse för sin valda problemformulering anser de att den kvalitativa metoden är bäst lämpad. Författarna har valt att tillämpa denna metod genom att utföra respondentintervjuer (se Bilaga 2) med sina valda intervjupersoner och på så vis genom osystematiska och icke standardiserade frågor uppnå ett vidare perspektiv. 35 Med respondentintervju menas att personen ifråga som intervjuas är delaktig inom den företeelse som studeras och därför kan antas ha en god kunskap om det behandlade ämnet. Förutom respondentintervjuerna har författarna även valt att använda sig av en informantintervju (se Bilaga 1) för att bredda kunskaperna inom internrevision vad gäller kommersiella banker. Med informantintervju 33 Holme & Krohn Solvang, sid Trost, sid Holme & Krohn Solvang, sid

18 avses att den intervjuade personen står utanför den företeelse som studeras men av annan orsak ändå kan bidra med kompetens inom det valda undersökningsområdet Datainsamling I undersökningen har författarna använt sig av såväl primärdata som sekundärdata. Skribenternas primärdata är hämtade från intervjutillfällena medan de sekundärdata som har brukats har erhållits från olika slags litteratur. De primära källorna utgörs av de respondenter som deltagit i intervjuerna. Författarna hade för avsikt att inledningsvis intervjua en person med stor branschvana samt ämneskännedom när det gäller den kommersiella bankbranschen men även internrevision som verksamhetsområde. Informanten som uppfyller följande krav är Bernt Gyllenswärd som tidigare har arbetat som koncernrevisionschef inom Skandinaviska Enskilda Banken och som numera verkar som fristående konsult åt ÖPWC. Författarna kom i kontakt med honom genom IRF där de blivit varskodda om Gyllensvärds kompetens och nytta för sin undersökning. Resterande respondenter utgörs av: Nordea Vegard Østlien, Chief Internal Auditor och ansvarig för kompetens och utveckling inom Group Internal Audit. Skandinaviska Enskilda Banken denna person valde att vara anonym. Svenska Handelsbanken Tord Jonerot, koncernrevisionschef. Swedbank Håkan Berg, koncernrevisionschef Författarna har använt sig av litteratur i form av tryckta böcker i så stor utsträckning som möjligt men till största delen har elektroniska källor såsom forskningsartiklar samt branschens egna hemsidor på Internet exempelvis Internrevisorernas Förening samt The Institute of Internal Auditors brukats. Då författarna har sökt efter material via databaserna Business Source Premier, Managerial Auditing Journal, Scopus, Libris och DISA har följande sökord använts; intern revision, internrevision, internal audit, internal auditing, intern revision svenska företag, intern* audit* modell, intern kontroll och svensk kod för bolagsstyrning. 36 Ibid, sid

19 3.1.3 Tillvägagångssätt av undersökningen Till att börja med har författarna vid utformandet av intervjuguiden till respondentintervjuerna varit noga med att få frågorna så öppna som möjligt för att inte styra in respondenten på önskade svar. Skribenterna har som Gustavsson tar upp tillämpat cirkelansatsen vilket innebär att de har cirklat med frågorna kring ämnet och undvikit alltför direkta frågor. Intagandet av en öppen hållning i frågandet kan bidra till att respondenten lyfter fram oväntade data som annars inte hade kommit fram. 37 Även Trost tar upp vikten av enkla och raka frågor vid ett intervjutillfälle för att komma åt komplexa och innehållsrika svar. 38 Vid informantintervjun har författarna valt att använda sig av mer strukturerade och styrda frågor för att säkerställa att få ta del av den information som författarna sökt. Inför varje intervju har intervjupersonerna emottagit frågorna i förväg för att kunna förbereda sina svar. Författarna har förberett sig själva genom att gå igenom respektive banks årsredovisning. Vidare har intervjupersonerna vid intervjun tillfrågats om de önskat att vara anonyma samt utifall att samtalet kunnat spelas in. Den första respondentintervjun hölls med koncernrevisionschefen på Handelsbanken. Detta var en personlig intervju och intervjuarna anser sig ha fått en bra personlig kontakt med respondenten och är av den uppfattningen att denne kände sig trygg att uttrycka sina åsikter. Dessutom tillät intervjuguidens frågor att respondenten fick tala fritt vilket minskade effekten av en eventuell styrning av frågorna. Resterande respondentintervjuer har genomförts via telefon. Då alla respondenter har god kunskap av internrevisionen inom respektive bank anser författarna att deras information är trovärdig. Författarna är vidare även av den åsikten att alla respondenter känt sig trygga att obehindrat och ärligt uttrycka sin åsikt oavsett om de valt att vara anonyma eller inte. Den fjärde intervjun som författarna höll genomfördes med Gyllenswärd. Hav var väl förberedd i sina svar och författarna kunde tydligt märka att han tänkt igenom dessa. Dessutom är respondenten väl insatt inom ämnet och i bankbranschen både som aktiv inom IRF och då han har ett förflutet som koncernrevisionschef inom SEB. Författarna sätter därför stor tillit till hans information. Denna intervju hölls över telefon och även denna spelades in 37 Gustavsson, sid Trost, sid. 7 19

20 och författarna blev även erbjudna till en fortsatt kontakt för att kunna reda ut eventuella frågor och funderingar. Vid alla respondentintervjuer var det en och samma författare som ställde frågorna och vid informantintervjun var den andra författaren huvudansvarig för frågorna. Den av författarna som inte ställt frågorna har haft huvudansvaret för anteckningarna, men båda författarna har antecknat vid samtliga intervjuer. Sammanställandet av intervjuerna har skett på så vis att en av författarna har avlyssnat inspelningen och tillsammans med sina anteckningar skrivit ner väsentliga data från intervjutillfället. Sedan har den andra författaren läst igenom sammanställningen och jämfört med sina anteckningar för att säkerställa att viktig information har kommit med samt för att minimera risken för feltolkningar. Vid intervjun som hölls på norska har båda författarna lyssnat igenom intervjun igen vid sammanställningen Kritik av metodval, datainsamling samt tillvägagångssätt av undersökningen Fördelen med användandet av ett kvalitativt angreppssätt är att det präglas av flexibilitet. Detta ger sig uttryck på två olika sätt; dels genom att intervjuaren ges en möjlighet att anpassa respektive intervju efter respondenten och dels att det under arbetets gång kan komma fram nya fakta som gör att problemformulering eller frågeställning måste ändras. Detta kan komplicera hela jämförelseaspekten av undersökningen. 39 Den kvalitativa metoden torde med sitt nära förhållande till informationskällan bidra med relevanta tolkningar av informationen. Värt att notera är dock att kunskapen hos intervjuaren förbättras under tiden vilket kan leda till att det framkommer bättre information vid den sista intervjun än vid den första. 40 Vid insamlingen av data i form av intervjuer är det viktigt att som intervjuare tänka på att respondenten kan påverkas av ens egen närvaro vid personliga intervjuer. Därmed kan den medverkande svara på frågorna som denne tror att det förväntas av honom. 41 En annan viktig aspekt är att intervjuaren vid intervjutillfället ska vara väl insatt i ämnet för att på bästa sätt kunna ställa följdfrågor. 39 Holme & Krohn Solvang, sid Ibid, sid Ibid, sid

21 På grund av tidsbrist och för att göra det enkelt för båda parter har intervjuerna först och främst genomförts via telefon. Författarna anser att det har fungerat bra att utföra intervjuerna på det viset eftersom det har varit möjligt att nyttja en högtalartelefon så båda kunnat delta vid intervjun. En stor nackdel med telefonintervjuer är att skribenterna förlorar en viss närhet till respondenten genom att inte fysiskt träffa denne. Dessutom går författarna miste om respondentens ansiktsuttryck 42. Men författarna anser inte att det utgör något större problem, särskilt då respondenten redan haft chansen att förbereda sig på frågorna genom att i förtid ha fått ta del av intervjuguiden. Alla intervjuer har bandats efter att skribenterna först frågat respondenten om lov. Författarna anser att bandningen av intervjuerna enbart har varit positiv då de inte uppfattat att någon av respondenterna skulle ha känt sig trängd av en sådan situation. Dessutom möjliggör en inspelning att informationen framställs på ett mer korrekt sätt genom att författarna kan lyssna på delar av intervjun som kan ha varit svåra att ta in. En tredje aspekt som är värd att ta upp i samband med en kritisk diskussion angående genomförandet av intervjuerna är det faktum att de data som framkommer kan tolkas annorlunda av författarna än vad respondenten menat. Intervjuarna har i synnerhet den telefonintervju som genomfördes med den norska respondenten i åtanke, då meningar kan uppfattas olika på grund av feltolkningar av norskan eller att författarnas frågor kan ha tolkats annorlunda utav deltagaren. 3.2 Urval I detta avsnitt kommer författarna att redogöra närmare för hur urvalet av företag samt urvalet av respondenter har gått till Urval av företag Urvalet av företag har skett genom Stockholmsbörsens Global Industry Classification Standard (GICS) som är en branschindelning som används för att klassificera olika noterade företag. Denna klassificering bistår med mer tydligt definierade jämförelsegrupper vilket leder till en bättre översikt av deras verksamheter. Detta branschindelningsverktyg är uppdelat i fyra nivåer; sektorer, branschgrupper, branscher och delbranscher. 43 Författarna har valt att koncentrera urvalet till branschnivån och då enbart fyra banker förekom inom denna 42 Bryman, A & Bell, E., sid. 120 ff ( ) 21

22 population har författarna valt att ta kontakt med samtliga det vill säga Nordea, Svenska Enskilda Banken, Svenska Handelsbanken och Swedbank Urval av respondenter Valet av respondenter har varit medvetet från författarnas sida då de har haft i åtanke att dessa ska kunna uppfylla syftet med kvalitativa intervjuer. Med detta menas att intervjupersonerna ska kunna öka informationsvärdet samt skapa en grund som kan leda till djupare och mer kompletta uppfattningar om den företeelse som studeras. 44 Med anledning av detta tillfrågades respektive koncernrevisionschef först då denne genom sin position har en unik överblick av hela organisationen. Om denne inte hade tid att ställa upp vände författarna sig till någon annan person inom organisationen som rekommenderats av koncernrevisionschefen. Valet av medverkande vid informantintervjun var även det ett medvetet val då skribenterna blivit rekommenderade att ta kontakt med denna person Kritik av urval Det huvudsakliga problemet med urvalet är att det inom GICS endast förekommer fyra kommersiella banker, vilket kan leda till svårigheter vid bortfall av en eller flera respondenter. I synnerhet då det inte finns några andra kommersiella banker att välja mellan inom samma bransch. En annan synpunkt med antalet kommersiella banker i urvalet är att en viss vetenskaplig noggrannhet kan gå förlorad då det inte finns en bredare basgrupp att utgå från 45. Det problem som skulle kunna uppmärksammas vid valet av respondenter är de tillfällen då någon annan än koncernrevisionschefen har intervjuats då författarna fått förlitat sig på att personen som blivit rekommenderad har tillräckligt med kompetens inom området. Men å andra sidan anser skribenterna att det inte utgör något större problem då det samtidigt ligger i koncernrevisionschefens intresse att rekommendera en kunnig person då uppsatsen är offentlig och andra personer kan läsa om just dennes bank. Vad gäller Gyllenswärds oberoende kan det naturligtvis diskuteras om han verkligen inte påverkas av sin tidigare anställning inom SEB, men med tanke på sitt tidigare yrke där oberoende är väldigt kritiskt anser författarna att respondenten bör anses vara trovärdig. 44 Holme & Krohn Solvang, sid Lindgren & Lindgren, sid

23 3.3 Källkritik Internetsidor är bland de huvudsakliga källor som har nyttjats och där bör det tas i beaktande att sidor som finns på Internet inte behöver vara lika korrekta som de som finns i tryckt form. För att minimera felaktigheter av Internetkällorna har författarna kontrollerat att informationen endast kommit från välkända institutioner, detta behöver dock inte betyda att dessa källor är helt korrekta. 46 Det andra problemet som uppstår inträder vid valet av metodansats där kvalitativa intervjuer har valts. Problemet blir en tolkningsfråga som behandlar utifall att författarna kommer att tolka det material som erhålls vid intervjutillfällena på det sätt som informanterna menar 47. Tre kriterier som undersökaren bör ha i beaktande när denne tar till sig information från källor är samtidskrav, tendenskritik och beroendekritik. Med samtidskrav menas att fakta skrivs ner vid den tid som den ges till skribenten. För att detta kriterium skall vara uppfyllt så kan inte informationen skrivas ner lång tid efter att den har överlämnats. Tendenskritik är till för att besvara frågor som, vad för egenintressen uppgiftslämnaren har? Om det ter sig så att uppgiftslämnaren har stort intresse till att rapporten skall visa en sak kan en annan källa med rak motsatt tendens användas för att få till en balans mellan svaren. Med beroendekritik kontrolleras om källorna är beroende av varandra Validitet och Reliabilitet I detta avsnitt redogörs för huruvida undersökningen uppfyller kraven för giltighet och tillförlitlighet som gäller vid utredningar Validitet Det största problemet vid kvalitativa undersökningar är att säkerställa att informationen blir giltig samt att se över utifall att det som mäts är det författarna har för avsikt att mäta. 49 Viktigt för intervjuaren för att kunna möjliggöra att informationen blir valid är att på bästa sätt försöka förstå de signaler och motiv respondenten uttrycker samt att ha i beaktande att intervjupersonen kan komma att bete sig som intervjuaren förväntar sig. 50 Författarna anser att det råder en god giltighet av de data som har framkommit vid undersökningen. Då 46 Eriksson & Wiedersheim-Paul, sid. 153 ff. 47 Holme & Krohn Solvang, sid Eriksson & Wiedersheim-Paul, sid Holme & Krohn Solvang, sid Ibid, sid

24 skribenterna var väl inlästa på ämnet före intervjuerna anser de sig ha god förståelse i de svar som mottagits. Dessutom formades intervjuguiderna utifrån författarnas behov av information, frågorna till respondentintervjuerna formades till exempel till att vara öppna och oriktade för att få en så giltig information som möjligt. Frågeställningarna vid informantintervjun var istället mer riktade då författarna var ute efter vissa svar som skulle bidra till en ökad förståelse av ämnet. Då respondenterna har varit så pass trygga i sin yrkesroll och inte haft något att vinna på att anpassa svaren efter vad författarna önskat att få höra anses informationen vara giltig även från den synvinkeln. Författarna anser sig även mäta det som från början utgjort utgångspunkten för frågorna. Vid utformandet av intervjuguiden har frågorna bearbetats noga för att säkerställa att dessa hade relevans för mätningen Reliabilitet Då en avhandling undersöks utifrån ett reliabilitetsperspektiv menas att tillförlitligheten ses över. Det är viktigt att undersökningen utgörs av en stabil mätning som inte utsätts för diverse slumpmässiga influenser. Det är även av yttersta vikt att intervjuaren ställer frågorna på samma vis och att situation är den samma för alla respondenter. Något som här kan leda till ett tillförlitlighetsproblem är att intervjuaren under arbetets gång erhåller mer kunskap inom området vilket kan leda till att denne ställer frågorna annorlunda. 51 Då författarna har använt sig av samma intervjuguide under arbetets gång anses undersökningen ha god reliabilitet. Skribenterna har även säkerställt att frågorna ställs på liknande vis vid de olika intervjutillfällena. Speciellt en av de avgörande frågorna behandlades på ett aktsamt vis genom att en och samma textrad (se bilaga 1 och 2) lästes upp för respondenten strax före frågan så att denne inte skulle uppfatta att intervjuaren tryckte på något speciellt i frågeställningen. 51 Trost, sid

25 4. Empiri I det här kapitlet redogör författarna för regleringar inom internrevision samt den information som kommit fram i samband med intervjuerna och författarna för även en diskussion angående vad respektive banks årsredovisning tar upp inom ämnet internrevision. 4.1 Regleringar som styr internrevision Många nya regleringar har uppkommit till följd av att Sverige liksom många andra länder drabbats av diverse företagsskandaler. Anledningen till att det förekommer en blandning mellan internationella samt svenska regleringar är för att alla dessa berör de svenska bankerna och påverkar till stor del bankernas sätt att arbeta med internrevisionen Svensk kod för bolagsstyrning Svensk kod för bolagsstyrning (koden) förespråkar att det är av yttersta vikt att bolagen styrs på ett sådant sätt att de uppfyller ägarnas krav på avkastning på det investerade kapitalet och därigenom bidrar till samhällsekonomins effektivitet och tillväxt då stor del av svenska folket påverkas av hur det går för olika bolag. 52 Koden är ett regelverk som utgår från aktiebolagslagen och den anses även ha som utgångspunkt att följa den traditionella självregleringen som ur flera perspektiv anses ligga långt fram i tiden vid en internationell jämförelse. 53 Det övergripande syftet med koden är att ytterligare förbättra bolagsstyrningen i svenska företag. Kodgruppen som framställt koden hoppas på att koden uppnår en bred förankring i det svenska näringslivet trots att den inte är tvingande. 54 Målgruppen för koden utgörs av aktiemarknadsbolag, det vill säga bolag som är noterade på börsen eller på en annan auktoriserad marknadsplats men även andra företag rekommenderas att implementera koden. 55 Vad gäller kodens föreskrifter för internrevision samt bolagens interna kontroll behandlas sådant som att styrelsens övergripande ändamål är att skydda ägarnas investering och bolagets tillgångar samt att styrelsen är ansvarig för den interna kontrollen inom bolaget Svensk kod för bolagsstyrning, sid Ibid, sid. 2 ff. 54 Ibid, sid Ibid, sid. 4 ff. 56 Ibid, sid

26 4.1.2 COSO I och II COSO är en frivillig organisation inom den privata sektorn som är dedikerade till att förbättra kvalitén på finansiell rapportering genom att sätta tydliga mål för affärsetiken, den interna kontrollen samt bolagsledningen. 57 För att den interna kontrollen skall fungera bra krävs det att kommunikationen och informationen samverkat på ett bra sätt inom de olika nivåerna inom organisationen. Detta för att ledningen måste få den information för att styra, följa upp samt rapportera om hur det gått. 58 Den interna kontrollen bör övervakas för att få en god inblick i att kvalitén för systemets utförande sker på ett korrekt sätt. Detta sker genom att ständiga övervakningar av aktiviteterna, separata utvärderingar eller en kombination av dessa tillvägagångssätt genomförs. 59 Det som skiljer sig mellan COSO I och II är att den senare nämnda fokuserar mer på att identifiera och hantera risker över hela verksamheten. 60 Detta genom att tre nya segment har tillkommit i COSO metodiken, nämligen en målsättningsram där organisationens mål tydligt skall framkomma, händelseidentifikation där eventuella risker identifieras, och svar på uppkomna risker där tillvägagångssätt för att bemöta risken bestäms. 61 Trots att COSO utgör en frivillig metodik används den av bankerna för att få en ökad kontroll över hur riskhanteringen skall ske Basel I och II Baselkommittén bildades 1974 av centralbankernas ledare från tio länder, däribland Sverige. Ett av de viktigaste objekten som kommittén har arbetat med är att minska skillnaderna mellan den övervakande täckningen för att inga utländska banker ska undkomma tillsyn samt att denna är tillfredsställande. För att uppnå detta har kommittén utgivit en del dokument sedan 1975 bland annat Basel I och II. 63 Basel I infördes 1988 och har genom implementerandet lett till att bankerna idag har ett kapitaltäckningskrav som enligt kapitaltäckningsreglerna ligger på åtta procent av det totala riskvägda beloppet. Dessa regler har inte bara antagits utav medlemsländerna utan även i näst intill alla länder med internationellt aktiva banker. 64 Basel II infördes inom EU årsskiftet 2006/2007 och den är till för att bidra till stabiliteten i bankernas finansiella system, öka transparensen samt att bidra till 57 ( ) 58 Haglund, A,, sid ( ) 60 ( ) 61 Enterprise Risk Management Integrated Framework 62 Swedbank Årsredovisning ( ) 64 Ibid 26