Nyheter inom internrevision.

Transkript

1 Nyheter inom internrevision. Hans Löfgren & Ann-Katrin Harringer

2 Internrevisionsdagarna 2013 Presentation av Nyheter inom internrevision Ann-Katrin Harringer Hans Löfgren

3 Disposition Uppdaterade Standards 2013 Nyutkomna guidelines 2013 Nyheter på kvalitetsområdet Kommande revidering av IPPF COSO Internal Control - Integrated Framework 2013 Vad händer?

4 Uppdaterade Standards (Riktlinjer) 2013

5 Riktlinjerna Obligatoriska delen av INTERNATIONELLT RAMVERK FÖR UTÖVANDE AV INTERNREVISIONSYRKET (IPPF) IPPF = Obligatorisk Inte obligatorisk Starkt rekommenderad PwC 5

6 Översikt av IIA:s Riktlinjer Riktlinjer för utmärkande egenskaper: 1000 Syfte, befogenhet och ansvar 1100 Oberoende och objektivitet 1200 Kompetens och yrkesskicklighet 1300 Kvalitetssäkring och kvalitetsförbättringsprogram Riktlinjer för genomförande: 2000 Leda internrevisionsverksamhet 2100 Arbetets beskaffenhet 2200 Uppdragsplanering 2300 Genomföra uppdraget 2400 Rapportera resultat 2500 Övervaka framsteg (och resultat) 2600 Rapportering om ledningens riskacceptans

7 Summering av de viktigaste förändringarna Förtydligande vad gäller ansvar för att följa Riktlinjerna Ökad fokus på kvalitetsutvärderingar och kvalitetsförbättringar Tydliggör krav på tidsmässigt lämpliga uppdateringar av revisionsplanen Poängtera täckning av risker kopplade till de strategiska målen Spridning av resultat av granskning Klargörande vad gäller revisionschefens roll att rapportera oacceptabel risk Revidering av definitioner 7

8 Förtydligande vad gäller ansvar för att följa Riktlinjerna Introduktionen till Riktlinjerna har fått följande tillägg: Riktlinjerna är tillämpbara såväl för enskilda internrevisorer som för internrevisionsaktiviteter. Alla internrevisorer har ett ansvar för att följa Riktlinjerna vad avser individuell objektivitet, kompetens och yrkesskicklighet. Dessutom har internrevisorer ett ansvar för att rätta sig efter de Riktlinjer som är relevanta för deras specifika arbetsbeskrivningar. Internrevisionschefer har ett övergripande ansvar för att följa Riktlinjerna. 8

9 1110 Organisatoriskt oberoende Revisionschefen ska rapportera till en nivå inom organisationen som gör det möjligt för internrevisionsverksamheten att fullgöra sina skyldigheter. Internrevisionschefen ska åtminstone årligen till styrelsen bekräfta internrevisionsverksamhetens organisatoriska oberoende. Tolkning: Organisatoriskt oberoende uppnås fullt ut när revisionschefen rapporterar funktionellt till styrelsen. Exempel på funktionell rapportering till styrelsen är när styrelsen: Godkänner internrevisionens instruktion; Godkänner den riskbaserade internrevisionsplanen; Godkänner internrevisionsbudgeten och resursplanen; Tar emot internrevisionschefens rapportering avseende internrevisionens genomförande av sin plan och andra frågor; Godkänner beslut om anställning och avsättning av internrevisionschefen; Godkänner internrevisionschefens ersättningar, och Genomför lämpliga förfrågningar hos ledningen och internrevisionschefen om huruvida det finns begränsningar vad avser inriktning eller resurser. 9

10 Ökad fokus på kvalitetsutvärderingar och kvalitetsförbättringar Externa bedömningar Externa bedömningar ska genomföras åtminstone en gång vart femte år och ska genomföras av en kvalificerad oberoende utvärderare eller utvärderingsteam fristående från organisationen. Internrevisionschefen ska diskutera med styrelsen: Sättet att utföra utvärderingen och frekvensen; den externa utvärderarens eller utvärderingsteamets kvalifikationer och oberoende, även eventuella intressekonflikter. Tolkning: Externa utvärderingar kan antingen utföras som en fullständig extern utvärdering eller som en självutvärdering med oberoende extern validering.

11 Tolkning till 1312, forts. En kvalificerad utvärderare eller utvärderingsteam uppvisar kompetens inom två områden: det yrkesmässiga utförandet av internrevision samt den externa utvärderingsprocessen. Kompetens kan styrkas genom en blandning av erfarenhet och teoretisk kunskap. Erfarenhet som har inhämtats från organisationer av liknande storlek, komplexitet, sektor eller näringsgren samt tekniska spörsmål är mer värdefull än mindre relevant erfarenhet. För ett utvärderingsteam behöver inte samtliga teammedlemmar uppvisa all kompetens, det är teamet som en helhet som är kvalificerad. Revisionschefen ska använda sitt professionella omdöme vid utvärdering av huruvida utvärderaren eller utvärderingsteamet kan uppvisa tillräcklig kompetens för att kunna anses som kvalificerade. Oberoende utvärderare eller utvärderingsteam innebär att det inte finns någon reell eller synbar intressekonflikt och att inte vara en del av eller vara under kontroll av den organisation där den utvärderande internrevisionsaktiviteten ingår.

12 Tydliggör krav på tidsmässigt lämpliga uppdateringar av revisionsplanen 2010 Planering Internrevisionschefen skall upprätta en riskbaserad plan för att fastställa internrevisionsverksamhetens prioriteringar i överensstämmelse med organisationens mål. Tolkning: Internrevisionschefen är ansvarig för att utarbeta en riskbaserad plan. Internrevisionschefen ska ta hänsyn till organisationens ramverk för riskhantering inklusive användande av ledningens uppställda riskacceptansnivåer för olika aktiviteter eller delar av organisationen. I de fall det inte finns ett sådant ramverk ska internrevisionschefen använda sig av sin egen bedömning av risker efter beaktande av information från ledning och styrelse. Revisionschefen måste granska och justera planen om det är nödvändigt i förhållande till förändringar i organisationens affär, risker, verksamhet, program, system och kontroller.

13 Poängtera täckning av risker kopplade till de strategiska målen 2120.A A1 Internrevisionsverksamheten ska utvärdera riskexponering vad gäller organisationens ledning, verksamhet och informationssystem med avseende på: Uppnåendet av organisationens strategiska mål, Tillförlitlighet och fullständighet i finansiell och verksamhetsrelaterad information, Ändamålsenlighet och effektivitet i verksamhet och program, Skydd av tillgångar, och Efterlevnad av lagar, förordningar, policyer, rutiner och kontrakt.

14 Poängtera täckning av risker kopplade till de strategiska målen 2130.A1 Internrevisionsverksamheten ska utvärdera lämpligheten och effektiviteten av styrning och kontroll med hänsyn till riskerna inom organisationens ledning, operativa verksamhet och informationssystem med avseende på: Uppnåendet av organisationens strategiska mål, Tillförlitlighet och fullständighet i finansiell och verksamhetsrelaterad information, Ändamålsenlighet och effektivitet i verksamheten och i program, Skydd av tillgångar, och Efterlevnad av lagar, förordningar, policys, rutiner och kontrakt.

15 Spridning av resultat av granskning 2440 Spridning av resultat IR-chefen ska sprida resultaten till lämpliga parter. Tolkning: Internrevisionschefen är ansvarig för att granska och godkänna slutrapporten innan den avges och besluta om till vilka och på vilket sätt den ska spridas. När internrevisionschefen delegerar dessa uppgifter ska han eller hon behålla det övergripande ansvaret.

16 Klargörande vad gäller revisionschefens roll att rapportera oacceptabel risk 2600 Rapportering om ledningens riskacceptans Om internrevisionschefen kommer till slutsatsen att ledningen accepterat en risknivå (genom otillräckliga kontrollåtgärder eller genom att acceptera risken) som kan vara oacceptabel för organisationen, ska internrevisionschefen ta upp frågan med ledningen. Om internrevisionschefen kommer fram till att frågan inte lösts ska internrevisionschefen rapportera frågan till styrelsen. Tolkning: Den risk som har accepterats av ledningen kan ha observerats genom ett säkringsuppdrag eller genom ett rådgivningsuppdrag, genom revisorns granskning av ledningens vidtagna åtgärder med anledning av tidigare granskningar eller genom andra åtgärder. Det är inte internrevisionschefens ansvar att åtgärda risken.

17 Revidering av definitioner Styrelse Den högsta styrande nivån i organisationen som har ansvar för att leda och/eller övervaka organisationens ledning och verksamhet. Vanligtvis ingår i denna konstellation oberoende ledamöter (t.ex. en styrelse, ett övervakande organ, direktion eller förtroenderåd). Om en sådan konstellation inte finns så kan styrelse referera till organisationens operativa chef. Styrelse kan också referera till en revisionskommitté/ett revisionsutskott till vilket styrelsen har delegerat vissa uppgifter. Uttalande från uppdraget Klassificering, slutsats och/eller annan beskrivning av resultatet från ett enskilt granskningsprojekt som utgår från granskningens fastslagna mål och omfattning. Övergripande omdöme Klassificering, slutsats och/eller andra beskrivningar av slutsatser från granskningen, avgivna av internrevisionschefen och som adresserar på en övergripande nivå en bedömning av organisationens lednings-, riskhanterings-, samt styrning och kontrollprocesser. Ett övergripande omdöme är internrevisionschefens professionella bedömning baserad på ett antal granskningsprojekt samt andra aktiviteter för en specifik tidsperiod.

18 18

19 Nyutkomna guidelines 2013

20 IIA Position Papers Ställningstaganden (Position Paper) hjälper ett brett urval av intressenter, inkluderande de som inte kan anses tillhöra professionen att förstå väsentliga lednings- risk eller kontrollfrågeställningar samt beskriva roller och ansvar som hänför sig till internrevision. The Three Lines of Defense in Effective Risk Management and Control, Jan-13

21 IIA Practice Advisories Praktiska Råd (Practice Advisory) inriktas på tillvägagångssätt, metoder och överväganden, dock inte detaljerade processer och rutiner. De är vägledningar avsedda att stödja internrevisorer i tillämpningen av den Yrkesetiska Koden och Riktlinjerna samt att främja god sed. De inkluderar praxis som hänför sig till: internationella, landsspecifika eller industrispecifika frågeställningar; speciella typer av uppdrag samt legala eller regulatoriska frågeställningar. PA Internal Audit Coverage of Risks to Achieving Strategic Objectives, June-13 PA Audit Sampling, May-13 PA Continuous Assurance, June-13

22 IIA Practice Guides Praktisk Vägledning (Practice Guide) är detaljerad vägledning för utförandet av internrevisionsaktiviteter. Dessa inkluderar detaljerade processer och rutiner såsom verktyg och tekniker program samt tillvägagångssätt steg för steg innefattande exempel på slutresultat. Practice Guides General Selecting, Using, and Creating Maturity Models: A Tool for Assurance and Consulting Engagements, July-13 Practice Guides Public Sector Coming soon: Assessing Organizational Governance in the Public Sector Coming Soon: How to Build a Strategic Competency Plan in the Public Sector

23 IIA Practice Guides, forts. Practice Guides Global Technology Audit Guides (GTAG) GTAG 4: Management of IT Auditing, Jan-13 GTAG 3: Update coming soon: Continuous Auditing, Implications for Assurance, Monitoring, and Risk Assessment

24 Nyheter på kvalitetsområdet

25 Nyheter på kvalitetsområdet Quality Assessment Manual for the Internal Audit Activity, 7th version Anpassning till IPPF, 2013 Ökad acceptans för self-assessment with independent validation Vi ser ett ökat intresse för certifieringar Ökat behov av att genomföra benchmarking

26 Revidering av IPPF

27 Förestående revidering av IPPF En task force upprättas för att utarbeta riktlinjer för en revidering av IPPF Målet för revideringen är att anpassa IPPF till utvecklingen inom internrevision Arbetsgruppen kommer att ha en bred geografisk förankring Merparten av arbetet kommer att läggas ut på konsulter Avrapportering i december 2013

28 Revidering av COSO Internal Control Integrated Framework

29 Ramverket 1992 Internal Control uppdaterat Finansiell rapportering ska särbehandlas Målet Finansiell rapportering blir Rapportering Flera avsnitt moderniseras (främst IT-utvecklingen och outsourcing) Roller och ansvarsfördelning preciseras

30 Internal Control uppdateras! Förändringar i nivåerna innehåll: Nivå 1: Samma komponenter Nivå 2: Bakom komponenterna finns 17 principer (inte faktorer en lite annorlunda beskrivning) Nivå 3: Bakom varje princip finns attribut (samanlagt 81 attribut)

31 Vad kommer? Finansiell sektor Implementeringen av GL44 genom Finansinspektionens remiss om föreskrifter och allmänna råd om styrning, riskhantering och kontroll i kreditinstitut; samt följdförändringar i Finansinspektionens föreskrifter om värdepappersrörelse; Finansinspektionens allmänna råd om styrning och kontroll av finansiella företag Statlig sektor Översyn av föreskrifter och allmänna råd till internrevisionsförordningen Arbetet med en ny handledning

32