Svensk kod för bolagsstyrning

Transkript

1 Företagsekonomiska institutionen Kandidatuppsats 15hp VT 2009 Svensk kod för bolagsstyrning -Vilka konsekvenser innebär koden för små börsnoterade företag? Författare: Ida Westerman Jenny Lassis Handledare: Robert Joachimsson

2 SAMMANFATTNING Efter företagsskandaler runt millennieskiftet i bland annat USA och Sverige så har lagar och regler skärpts kring bolagsstyrning. I Sverige har ett nytt regelverk införts för bolagsstyrning, Svensk kod för Bolagsstyrning. Den ursprungliga koden började gälla 1 juli 2005, då gällde den bara börsnoterade bolag i Sverige med ett marknadsvärde på över tre miljarder kronor. 1 juli 2008 kom den reviderade koden för bolagsstyrning ut, som omfattar samtliga bolag på den svenska börsen. Den reviderade koden har omarbetats för att passa de mindre såväl som de större företagen på börsen. Syftet med den här uppsatsen är att undersöka hur de företag som börjat följa den reviderade koden har påverkats av den, om företagen har fått ökade kostnader på grund av koden samt om koden har medfört förändringar för dem. Den metod som används för att undersöka syftet är kvalitativa studier genom intervjuer med VD eller ekonomichef på företag, eftersom de har god kunskap om företagets bolagsstyrning. Företagen som kontaktades för intervju var slumpmässigt utvalda företag i Uppsala- och Stockholmsområdet, 10 företag kontaktades och fem tackade ja. Efter en avbokning blev det slutligen fyra intervjuer. De intervjuade företagen ser ingen direkt fördel med koden för deras eget företag, däremot kan de se att den är bra ur aktieägarnas synpunkt. Koden har inte medfört några direkta kostnader för de intervjuade företagen, inte heller några stora förändringar då mycket efterföljdes innan. Implementeringen av koden handlade mest om att dokumentera det som redan gjordes i företagen och innebar därför inte några direkta förändringar för företagen. De förändringar som gjorts av den ursprungliga koden har gjort att den nya reviderade koden har blivit urvattnad och inte så meningsfull. Kanske borde det finnas någon organisation som efterser om koden efterföljs, och att brott mot koden beläggs med sanktioner. 2

3 INNEHÅLLSFÖRTECKNING 1 INLEDNING BAKGRUND PROBLEMFORMULERING SYFTE TEORI DEN SVENSKA ÄGARMODELLEN Bolagsstämma Styrelse Verkställande direktör Revisor AGENTTEORIN Agentkostnad Agentteori och Bolagsstyrning BOLAGSSTYRNING Svensk bolagsstyrning Kostnad och nytta av bolagsstyrning Bolagsstyrning i mindre företag SVENSK KOD FÖR BOLAGSSTYRNING Den reviderade koden Kodens regler Bolagsstyrningsrapporten INTERNKONTROLL OCH COSO-MODELLEN Riskvärdering Kontrollmiljön Kontrollaktiviteter Information och Kommunikation Övervakning inklusive uppföljning och utvärdering METOD INSAMLING AV PRIMÄR DATA INSAMLING AV SEKUNDÄR DATA OPERATIONALISERING TILLFÖRLITLIGHET RELEVANS KÄLLKRITIK EMPIRI IMPLEMENTERING AV KODEN INTERNKONTROLL FÖRE OCH EFTER KODEN DEN VIKTIGASTE KOMPONENTEN MED INTERN KONTROLL KOSTNADER SOM KODEN GETT UPPHOV TILL FÖRDELAR OCH NACKDELAR MED KODEN AVVIKELSER FRÅN KODEN ANALYS IMPLEMENTERING AV KODEN INTERNKONTROLL FÖRE OCH EFTER KODEN KOSTNADER SOM KODEN GETT UPPHOV TILL FÖRDELAR OCH NACKDELAR MED KODEN FYLLER KODEN SITT SYFTE? SLUTSATS FÖRSLAG TILL FORTSATT FORSKNING KÄLLFÖRTECKNING...33 BILAGA 1 Intervjufrågor

4 1 INLEDNING Följande avsnitt ger en bakgrund till uppsatsens ämne samt en redogörelse för författarnas problemformulering och syfte. 1.1 BAKGRUND Under början av 2000-talet uppdagades ett flertal skandaler inom näringslivet, den mest kända gällande Enron i USA. Detta fall handlade om att företagets ledning använde nuvärdesberäkningar för att ta fram marknadsvärden på tillgångar och skulder så att redovisningen visade bättre siffror än verkligheten. Denna skandal, tillsammans med liknande i bland annat WorldCom, anses vara den huvudsakliga orsaken till införandet av den omfattande bolagsstyrningslagen Sarbanes-Oxley Act i USA. (Sevenius, 2007 s.41-43) Även i Sverige uppdagades skandaler, bland annat den så kallade Skandia-affären. Kortfattat handlade det om att försäkringsbolaget Skandia betalat ut åtskilliga miljarder i bonus till chefer inom bolaget, på pensionssparares bekostnad. (Sevenius, 2007 s ) Andra skandaler handlade om redovisningsfusk, dålig intern kontroll och förskingring, som då de uppdagades väsentligt skadade förtroendet för näringslivet och orsakade en allvarlig nedgång för aktiehandeln. (Falkman & Gavel, 2005) Till en följd av detta ansågs regleringen av företagens ledningar behöva skärpas. Sedan tidigare var det framför allt Aktiebolagsslagen som reglerade detta. I september 2003 tillsattes den så kallade Kodgruppen, med representanter från den statliga Förtroendekommissionen och ett antal privata organisationer, med syfte att utarbeta en svensk kod för bolagsstyrning. Det slutgiltiga förslaget trädde i kraft 1 juli 2005 och gällde då för ett 70-tal stora, börsnoterade företag. (Kollegiet för svensk bolagsstyrning, 2009a) Svensk kod för bolagsstyrning ( Koden ) behandlar bland annat bolagsstämman, hur styrelsen ska utformas och dess uppgifter samt hur finansiell rapportering och intern kontroll ska användas och redogöras för i bolaget. (Kollegiet för svensk bolagsstyrning, 2009b) Syftet med koden är att stärka förtroendet för svenska börsnoterade företag och den utgör ett komplement till Aktiebolagslagen. (Kollegiet för svensk bolagsstyrning, 2009c) Koden är inte tvingande, men den följer principen Följ eller förklara, vilket innebär att företag som faller under kodens tillämpningsområde antingen skall följa dess regler eller motivera i årsredovisningen varför de valt att avvika från den. (Kollegiet för svensk bolagsstyrning, 2009d) Det är Kollegiet för svensk bolagsstyrning som ansvarar för att följa upp och analysera tillämpningen av koden och därefter göra eventuella modifieringar. År 2008 beslöt Kollegiet att göra om koden för att bättre passa även mindre företag. Den 1 juli 2008 infördes den reviderade koden som gäller för alla svenska bolag noterade på OMX Nordic Exchange och NGM Equity, 4

5 vilket innebär cirka 300 bolag. (Kollegiet för svensk bolagsstyrning, 2009a) Koden, i sin reviderade form, innehåller regler som bland annat handlar om bolagsstämman, styrelsen och dess uppgifter samt intern kontroll. Där står också att bolaget årligen ska sammanställa en så kallad bolagsstyrningsrapport där de anger hur deras bolagsstyrning ser ut och i vilken utsträckning de följer alternativt avviker från koden. (Kollegiet för svensk bolagsstyrning, 2008a) En viktig del av bolagsstyrning handlar om intern kontroll, det vill säga hur bolaget internt kontrollerar att allting går rätt till. (The Institute of Internal Auditors, 2009) Att implementera ett internt kontrollsystem och att tillämpa koden medför sannolikt merarbete och merkostnader för företag. Det kan tänkas rimligt att till exempel revisionskostnaderna blir dyrare då företaget hyr in hjälp från revisorn för att tillse att de tillämpar koden på rätt sätt. Samtidigt finns det kritiker som menar att kostnaderna för att implementera och följa detta regelsystem överstiger dess nytta, speciellt för mindre företag. 1.2 PROBLEMFORMULERING Det har gjorts få studier om konsekvenserna av Svensk kod för bolagsstyrning för mindre bolag, det vill säga de företag som har ett marknadsvärde på under tre miljarder. Det kan därför vara intressant att undersöka vilka förändringar som implementeringen av koden har medfört för denna typ av företag gällande deras bolagsstyrning och internkontroll. Ambitionen är därför att söka svar på följande frågor: Hur såg företagens bolagsstyrning och internkontroll ut innan 1 juli 2008, det vill säga då den reviderade koden började gälla? Vilka förändringar har implementeringen av koden medfört, alltså hur ser bolagsstyrning och internkontroll ut idag? Vilka kostnader hänger samman med bolagsstyrning och internkontroll och hur har dessa påverkats av implementeringen av koden? Vilka är fördelarna och nackdelarna med detta regelsystem? 1.3 SYFTE Syftet med denna uppsats är undersöka vad företag som nu omfattas av den reviderade koden anser om koden och dess nytta, hur stor förändring den inneburit för företagen och vilka eventuella merkostnader som uppstått. Ett sekundärt syfte är att undersöka hur noga företagen följer koden och hur de redogör för eventuella avvikelser. 5

6 2 TEORI I detta kapitel redogörs för de teoretiska modeller som ligger till grund för den empiriska framställningen och den efterföljande analysen. Den första teori som tas upp är Den svenska ägarmodellen, därefter följer avsnitt som handlar om Agentteorin och om Bolagsstyrning. Dessa avsnitt är till för att ge läsaren förståelse för de efterföljande teoretiska avsnitten, Svensk kod för bolagsstyrning samt COSO-modellen, som är uppsatsens huvudsakliga teoretiska modeller. 2.1 DEN SVENSKA ÄGARMODELLEN Enligt vad som sägs i Aktiebolagslagen ska det i svenska bolag finnas tre beslutande organ. Dessa organ är bolagsstämma, styrelse och verkställande direktör. Dessutom ska det finnas ett kontrollorgan, en revisor, som utses av bolagsstämman. (Kollegiet för svensk bolagsstyrning, 2009f) Figur 1. Den svenska ägarmodellen. Källa: Kollegiet för svensk bolagsstyrning, 2009f Bolagsstämma Bolagsstämman är aktiebolagets högsta beslutande organ, vilket innebär att den är överordnad styrelsen och VD:n. Det är i bolagsstämman som aktieägarna kan utöva sitt inflytande. Varje aktieägare har rätt att delta på och utöva sin rösträtt vid bolagsstämman, som ska hållas årligen. 6

7 (Kollegiet för svensk bolagsstyrning, 2009g) Bolagsstämman har som huvudsaklig uppgift att utse styrelse och revisor samt att fatta viktiga beslut. Den får dock inte inkräkta på de uppgifter som tillhör styrelsen eller VD:n, vilket innebär att beslut som rör den dagliga verksamheten inte fattas på bolagsstämman. (Sevenius, 2007 s ) Styrelse Styrelsen ansvarar för det strategiska arbetet i bolaget genom utformning av bolagets organisation och förvaltning av dess angelägenheter, bland annat att utse en verkställande direktör. (Kollegiet för svensk bolagsstyrning, 2009h) Styrelsen är ett kollegialt organ vilket innebär att alla ledamöter har ett gemensamt ansvar för alla beslut som fattas. Om en ledamot har en avvikande åsikt kan han reservera sig mot beslutet för att slippa ansvar för beslutet i fråga. (Stattin, 2008 s.47-48) Bolagsstämman har rätt att ge styrelsen föreskrifter som de måste följa förutsatt att de inte strider mot aktiebolagslagen eller bolagsordningen. Styrelsen ska bestå av minst tre ledamöter varav en utses till ordförande. Ordföranden ansvarar för att styrelsen utför sina uppgifter. För börsnoterade bolag gäller att minst hälften av styrelseledamöterna ska vara oberoende i förhållande till bolaget och dess ledning. (Kollegiet för svensk bolagsstyrning, 2009h) Verkställande direktör Det är den verkställande direktören (VD) som ska sköta den löpande förvaltningen av bolaget, det vill säga dagliga händelser i bolaget. (Stattin, 2008 s.59) VD:n är underordnad styrelsen. Styrelsen kan ge VD anvisningar som denne måste följa såvida de inte avviker från aktiebolagslagen eller bolagsordningen. Den verkställande direktören kan ingå i bolagets styrelse, men inte som ordförande. (Kollegiet för svensk bolagsstyrning, 2009i) Revisor Revisorn är ett kontrollerande organ med uppgift att granska bolagets årsredovisning och bokföring samt styrelsens och VD:ns arbete. (Sevenius, 2007 s.135) Revisorn rapporterar till bolagsstämman årligen genom revisionsberättelsen som ska ange om årsredovisningen upprättats enligt Årsredovisningslagen och om den ger en rättvisande bild av företagets resultat och ställning. Revisorn ska också rapportera om en styrelseledamot eller VD:n gjort någonting som kan leda till ersättningsskyldighet, till exempel något försumligt. (Kollegiet för svensk bolagsstyrning, 2009j) 2.2 AGENTTEORIN Agentteorin är en gammal teori som beskriver relationen mellan uppdragsgivare och uppdragstagare, och dilemman som kan uppstå där emellan. Uppdragsgivaren är principalen som 7

8 anställer agenten att utföra ett jobb åt honom. Det dilemma som uppstår för agenten är att det kan inträffa saker som han inte kan påverka, som i sin tur påverkar hans utförande. Principalen däremot har ett eget dilemma mellan att delegera uppgifter till agenten och sedan inte kunna kontrollera att agenten utför uppgifterna korrekt. Agentteorin förutsätter att varje part agerar i eget intresse och således att det finns en intressekonflikt mellan agent och principal. (Grinblatt & Titman, 2002 s ) Agentkostnad Det är det senare dilemmat som har legat till grund för teorier om agentkostnad. Principalen kommer att vilja kontrollera agentens agerande i uppdraget och för att göra det krävs information och insikt i agentens arbete. Principalen kan omöjligt få denna insikt gratis utan detta kommer att leda till en kostnad för principalen. Detta är vad agentkostnad innebär. (Jensen & Meckling, 1976 s ) Agentteori kan appliceras på förhållandet mellan aktieägare och ledningen för ett publikt aktiebolag. Aktieägarna är då principalen och ledningen är agenten. Aktieägarna kan av många skäl vilja ha insyn i ledningens agerande samt företagets ekonomi och vad som sker på företaget. Aktieägare kan känna en oro att ledningen inte har samma mål och intressen som aktieägarna har för företaget. (Hart, 1995 s.679) Agentteori och Bolagsstyrning Bolagsstyrning behövs endast då det finns ett agent-principalförhållande och de problem som medföljer. Bolagsstyrning skulle inte behövas om det inte fanns en intressekonflikt mellan principalen och agenten. (Hart, 1995 s ) Lagar och regler som reglerar företagens bolagsstyrning är en konsekvens av agentprincipalförhållandet och problemen som uppstår där emellan. Bolagsstyrningsrapporten kan således vara ett exempel på en agent kostnad. Bolagsstyrningen blir ett sätt för aktieägarna att få insyn i företaget och att hålla ledningen ansvarig för den dagliga verksamheten. Det är också ett sätt för aktieägarna att försäkra sig om att ledningen agerar i deras intresse. (Hart, 1995 s ) 2.3 BOLAGSSTYRNING Bolagsstyrning syftar till att säkerställa att bolag som inte leds av sina ägare drivs med ägarnas intresse för ögonen. (Kollegiet för svensk bolagsstyrning, 2009e) I samband med att fler och fler företag blir börsnoterade ökar företagens ägargrupp väsentligt. De 8

9 som äger aktier i ett bolag har som huvudsakligt syfte att få avkastning på sitt satsade kapital och de flesta ägare har ingenting att göra med skötseln eller styrningen av bolaget. (Kollegiet för svensk bolagsstyrning, 2009e) Det är i stället företagsledningen, med VD:n i toppen, som ansvarar för detta. Det handlar således om en separation av ägande och kontroll. (Stattin, 2008 s.35) Ledningen kan till viss del ha andra intressen än ägarna, till exempel vad gäller avkastningskrav, risktagande och ersättning. Det är därför viktigt att det finns regler som säkerställer att ägarnas intressen inte förbises av de som i realiteten sköter bolaget. (Kollegiet för svensk bolagsstyrning, 2009e) För en enskild ägare i ett företag med många ägare är möjligheten att påverka beslut minimal. Ägaren har rätt att rösta i enskilda frågor men då beslut fattas med minst enkel majoritet, det vill säga med minst hälften av rösterna, så är det omöjligt för en enskild person att få igenom sin röst om den avviker från majoriteten. Mindre beslut delegeras till styrelsen som i sin tur delegerar operationellt ansvar till ledningen, då i första hand VD:n, som alltså har kontroll över den dagliga verksamheten. Det finns en risk för att bolagets ledning driver företaget med sina egna mål i sikte, vilket anses vara vinst och marknadsvärde, i stället för ägarnas avkastningskrav. En viktig del av ett företags bolagsstyrningssystem handlar följaktligen om att balansera företagsledningens agerande. (Hart, 1995 s ) Ett problem inom bolagsstyrning handlar om övervakning och kontroll av bolagsledningen. Ofta kan denna kontroll vara bristfällig, eftersom det är för tidskrävande och kostsamt för de enskilda ägarna att utöva någon kontroll och det är troligt att de väljer att förlita sig på att någon annan ägare utför kontrollen i stället, vilket kanske inte blir gjort om alla resonerar på samma sätt. (Hart, 1995 s ) Ett indirekt sätt att kontrollera bolagets ledning är genom bolagets finansiella struktur, framför allt dess skuldstruktur. När ett företag tar skulder ger detta ett krav på ledningens effektivitet, eftersom de har en skuld som de måste betala av. Vetskapen om detta kan ge ägarna en viss trygghet i att ledningen inte återinvesterar bolagets vinst på ett ogenomtänkt sätt. Detta på grund av risken för konkurs eller betalningsobestånd om skulden ej kan återbetalas. (Hart, 1995 s ) Svensk bolagsstyrning Svensk bolagsstyrning har många likheter med internationell bolagsstyrning, men skiljer sig också åt på ett fåtal punkter. Det gäller bland annat synen på ägarrollen, fördelning av ansvar och befogenheter mellan de olika bolagsorganen, styrelsens sammansättning och revisorns roll. (Kollegiet för svensk bolagsstyrning, 2009k) I Sverige regleras bolagsstyrningen av en kombination av skrivna regler och praxis. Grunden 9

10 är Aktiebolagslagen, som kompletteras av de krav börserna ställer för notering samt uttalanden av Aktiemarknadsstyrelsen. Svensk kod för bolagsstyrning ( koden ) är ytterligare ett kompletterande regelverk. Aktiebolagslagen innehåller regler om bolagets organisation, bland annat vilka organ som ska finnas och vilka uppgifter dessa har. Koden kompletterar detta med högre krav, men som är icke-tvingande. (Kollegiet för svensk bolagsstyrning, 2009f) Kostnad och nytta av bolagsstyrning I samband med att det tvingande regelverket Sarbanes-Oxley Act i USA infördes riktades mycket uppmärksamhet mot de merkostnader som följde med kraven på implementering. Mindre intresse lades på dess nytta. Det är visserligen svårt att mäta nytta, men man måste ändå ta hänsyn till den vid en utvärdering av kostnaderna. De reaktioner som uppstår på en marknad då felaktigheter uppdagas tyder på att investerare inte tolererar oriktig rapportering. Ett internt kontrollsystem som följer accepterade normer förstärker därmed företagets förmåga att locka till sig investerare och därmed trygga kapital. Andra nyttoaspekter är att ett internt kontrollsystem genom att skapa normer för standardiserad hantering av transaktioner inom företaget leder till ökad trygghet och i många fall också tidsbesparingar. (Committee of Sponsoring Organizations of the Treadway Commission, 2006) Bolagsstyrning i mindre företag Det är många aspekter som skiljer små och stora företag åt bortsett från enbart storleken. Detta gör att utformningen av bolagsstyrning ser annorlunda ut beroende på typ av företag. Många mindre företag domineras av att en enskild företagsledare, ofta grundaren, har en betydande roll och personligen ger direktiv till anställda. Denna person har sannolikt djup kunskap om företaget och dess omgivning, vilket gör att han eller hon kan tillse en effektiv intern kontroll över den finansiella rapporteringen. Ledaren vet vad som förväntas av rapporterna och kan lätt upptäcka och följa upp avvikelser. En nackdel med denna struktur är att den enskilda ledaren har en möjlighet att köra över etablerade kontrollrutiner. En annan egenskap som särskiljer mindre företag är att de ofta har relativt okomplicerade verksamheter och affärsstrukturer. De ledamöter som ingår i styrelsen har ofta varit involverade i bolaget under dess utveckling och har en djup och aktiv kunskap om företagets aktiviteter, vilket gör att de ofta är mer effektiva än styrelser i stora företag. (Committee of Sponsoring Organizations of the Treadway Commission, 2006) 2.4 SVENSK KOD FÖR BOLAGSSTYRNING Svensk kod för bolagsstyrning är ett allmänt formulerat regelsystem som anger vad som anses vara 10

11 god bolagsstyrning, det vill säga hur bolaget ska skötas så att aktieägarnas nytta maximeras. (Nationalencyklopedin, 2009c) Koden bygger i mångt och mycket på redan befintlig, allmän praxis bland stora och medelstora företag. (Carlsson, 2007 s.1054) Tanken är att koden ska utgöra ett kvalitetsmärke för företagen som följer den. (Sevenius, 2007 s. 148) Ett bolag kan välja att följa koden till fullo eller att avvika på enskilda punkter under förutsättning att de öppet redogör för hur de gör i stället och motiverar varför, vad som kallas Följ eller förklara. (Kollegiet för svensk bolagsstyrning, 2009d) Den ursprungliga koden trädde i kraft 1 juli 2005 och omfattade då cirka 70 företag. (Kollegiet för svensk bolagsstyrning, 2009l) Den reviderade koden Sverige var tidigare ett av få länder vars bolagsstyrningskod inte omfattade alla börsnoterade bolag. Detta, tillsammans med det faktum att bolagsstyrning är lika viktigt i små bolag som i stora, gjorde att Kollegiet för svensk bolagsstyrning under hösten 2007 började omarbeta koden för att införa en reviderad variant gällande för alla börsnoterade bolag. Den reviderade koden gäller sedan 1 juli 2008 och omfattar nu alla svenska bolag på OMX Nordic Exchange Stockholm och NGM Equity, vilket utgör cirka 300 bolag. (Kollegiet för svensk bolagsstyrning, 2008b s.7-8) Svensk kod för bolagsstyrning, i sin reviderade form från 2008, innehåller liksom tidigare normer för hur företag ska skötas, med fokus på styrelsens roll i bolagsstyrningen. I den reviderade koden har Kollegiet för Svensk Bolagsstyrning tagit bort delar som ansetts oväsentliga eller som införts i lag. (Kollegiet för svensk bolagsstyrning, 2009b) Antal regler har minskat från 69 till 42 och flera av de kvarvarande punkterna har förenklats. (Kollegiet för svensk bolagsstyrning, 2008b s.8) Detta för att underlätta för även mindre företag att anpassa sig efter koden. De bolag som omfattas av Koden kan, liksom tidigare, välja att avvika från dessa normer om de bedömer att en annan lösning svarar bättre mot de omständigheter som råder. Kravet är då att de öppet redovisar för hur de valt att göra i stället samt varför. (Kollegiet för svensk bolagsstyrning, 2009b) Kodens regler Svensk kod för bolasgsstyrning består av ett antal numrerade regler uppdelade på elva olika kapitel. Det första kapitlet behandlar bolagsstämman och består bland annat av normer för hur och när en kallelse till bolagsstämma ska offentliggöras och vilka personer som måste delta. Kapitel två behandlar val och arvodering av styrelse och revisor och anger vilka som väljer styrelse och revisor samt hur denna så kallade valberedning utses. De följande fem kapitlen reglerar styrelsen och inkluderar regler om styrelsens uppgifter, dess storlek och sammansättning, samt hur dess ordförande utses. Kapitel åtta behandlar styrelsens utvärdering av sitt eget och VD:ns arbete. I 11

12 kapital nio finns regler som behandlar ersättning till ledande befattningshavare, som bland annat reglerar hur bolagsstämman ska besluta om incitamentsprogram till bolagsledningen. Det tionde kapitlet behandlar revisionsutskott, finansiell rapportering och intern kontroll. Kodens sista kapitel behandlar information om bolagsstyrning och hur avvikelser från koden ska redovisas. (Kollegiet för svensk bolagsstyrning, 2008a) Bolagsstyrningsrapporten Bolaget ska årligen sammanställa en bolagsstyrningsrapport som ska medfölja årsredovisningen. I rapporten ska bolaget redogöra för vilka punkter i Koden som de avvikit från, ange varför och beskriva hur de valt att göra i stället. Övriga upplysningar som ska lämnas i rapporten är bland annat arbetsfördelningen i styrelsen, hur styrelsens arbete fortskridit under året, hur ofta styrelsen sammanträtt och vilka ledamöter som närvarat vid dessa sammanträden. Vidare ska VD:n beskrivas med ålder, övriga väsentliga uppdrag samt dennes eller närståendes aktieinnehav i bolaget eller företag som bolaget har viktiga förbindelser med. Dessutom ska styrelsen i ett särskilt avsnitt redogöra för bolagets interna kontroll och riskhantering avseende den finansiella rapporteringen. Bolagsstyrningsrapporten ska finnas tillgänglig på bolagets hemsida tillsammans med den information som enligt Koden ska finnas tillgänglig på hemsidan. (Kollegiet för svensk bolagsstyrning, 2008a) Detta är uppgifter som utan dröjsmål ska lämnas på bolagets hemsida, så att ägarna och andra intressenter alltid har tillgång till aktuell information. Denna information är tid och plats för bolagsstämma, protokoll från senaste årsstämman, namnet på ledamöterna i valberedningen, hur aktieägarna kan lämna förslag till valberedningen samt valberedningens förslag till styrelse med motivering till denna. (Kollegiet för svensk bolagsstyrning, 2009b) 2.5 INTERNKONTROLL OCH COSO-MODELLEN The Committee of Sponsoring Organizations (COSO) är en organisation som syftar till att vägleda företag vad gäller bolagsstyrning för att leda till ökad effektivitet. De fokuserar främst på internkontroll och har utformat en modell som brukar omnämnas som COSO-modellen. (Committee of Sponsoring Organizations of the Treadway Commission, 2009) COSO-modellen är utvecklad för att skapa en definition av internkontroll samt sätta en standard för företag och andra organisationer att mäta sig mot. (Internrevisorerna, 2006) Vad är då internkontroll? Svaret kan variera beroende på vem man frågar. Det är viktigt att definiera internkontroll för att undvika förvirring för dem som tillämpar och granskar det interna kontrollsystemet i ett företag. (Internrevisorerna, 2006) Internkontroll är en ständigt pågående process som handlar om att säkerställa transaktioner genom att skapa rutiner för att utvärdera och 12

13 förbättra riskhantering, kontroll och bolagsstyrning. (The Institute of Internal Auditors, 2009) Den är till för att styrelse, ledning och andra intressenter ska känna sig trygga angående verksamhetens effektivitet, den ekonomiska rapportens tillförlitlighet samt att lagar och förordningar efterföljs. (Falkman & Gavel, 2005) Att implementera internkontroll är en process som enligt COSO-modellen består av fem komponenter som verkar för att förhindra och upptäcka väsentliga fel (Committee of Sponsoring Organizations of the Treadway Commission, 2006). Dessa komponenter skall kunna tillämpas av alla företag oavsett storlek, dock kan medelstora och mindre företag tillämpa dem på ett annat sätt än stora företag. Det interna kontrollsystemet bör vara inbyggt i företagets infrastruktur och vara en del av den dagliga verksamheten. Om det ingår som en del av de vanliga arbetsuppgifterna förhindrar det att onödiga kostnader uppstår. Den interna kontrollen bör utvärderas löpande. De fem komponenterna enligt COSO-modellen är riskvärdering, kontrollmiljön, kontrollaktiviteter, information och övervakning. (Internrevisorerna, 2006) Figur 2. De fem komponenterna i COSO-modellen. Källa: Committee of Sponsoring Organizations of the Treadway Commission, (översatt till svenska av uppsatsförfattarna) Riskvärdering Alla företag möter risker och ställs inför situationer där de måste värdera dessa risker. En förutsättning för att företaget skall kunna möta risker på ett effektivt sätt, är att de har interna mål knutna till olika nivåer. Företagets risker kommer även att förändras med tiden och för att företaget 13

14 skall kunna möta riskerna på ett bra sätt måste de ha resurser för det och vara förberedda. Riskvärdering handlar därför om att identifiera och analysera risker i företaget och dess omgivning. (Internrevisorerna, 2006) Kontrollmiljön Kontrollmiljön är viktig för den interna kontrollen eftersom den påverkar kontrollmedvetandet hos medarbetarna på företaget som är grunden för den interna kontrollen. Kontrollmiljön handlar om företagets organisationsstruktur och kan beskrivas genom faktorer som: integritet, etiska värderingar, kompetens hos medarbetare, ledningens ledarstil och hur de delegerar till de anställda. (Internrevisorerna, 2006) Kontrollaktiviteter Kontrollaktiviteter måste finnas på ett företag för att kontrollera att ledningens direktiv efterföljs. De finns på alla nivåer i ett företag och i alla funktioner. Det är också en försäkring om att företaget är beredd på de risker som de kan utsättas för. Exempel på kontrollaktiviteter kan vara godkännanden, avstämningar samt verifikationer. Det är viktigt att dessa aktiviteter integreras med riskvärderingen, så att åtgärder för att hantera dessa risker fastställs. (Internrevisorerna, 2006) Information och Kommunikation Informationssystem används för att hitta och tillvarata den information som är viktig för att de anställda ska kunna utföra sina jobb. Den information som är viktig för företaget består inte enbart av intern information, utan även extern information från omvärlden. Kommunikation är viktig för att skapa förståelse för och genomförande av kontrollmål, processer och de anställdas ansvarsuppgifter. Den måste vara effektiv och tydlig, både uppifrån och ned och nedifrån och upp. Det måste framgå tydligt att ledningen tar den interna kontrollen på allvar och att alla medarbetare är viktiga i arbetet med intern kontroll, samt att deras agerande är viktigt och påverkar de övriga anställda. (Internrevisorerna, 2006) Övervakning inklusive uppföljning och utvärdering Den interna kontrollen måste övervakas och följas upp löpande. Dessa övervakningsåtgärder sker löpande och inkluderar de vanliga lednings- och övervakningsuppgifter som utförs i det dagliga arbetet för samtliga anställda. Den interna kontrollen måste utvärderas regelbundet så att ledningen kan hantera eventuella avvikelser och avgöra om det är ett fungerande system. (Internrevisorerna, 2006) 14

15 3 METOD Vi har, för stöd av vårt metodval samt för att trygga undersökningens kvalitet, tagit hjälp av metodboken Business Research Methods av Bryman & Bell. Utifrån vårt syfte samt denna bok har vi valt att göra en kvalitativ undersökning genom semi-strukturerade intervjuer. 3.1 INSAMLING AV PRIMÄR DATA Vi har valt att göra vår undersökning med en kvalitativ metod genom intervjuer. På Nasdaq OMX hemsida har vi hämtat en lista på börsnoterade företag med ett marknadsvärde understigande tre miljarder kronor. Utifrån denna lista letade vi upp företag som är geografiskt belägna i Uppsalaeller Stockholmsområdet för att därefter helt slumpmässigt kontakta cirka tio av dessa för intervjuförfrågan. Utifrån dessa företags hemsidor valde vi ut de personer inom bolaget som bäst skulle kunna besvara våra frågor, vilket i praktiken innebar VD eller CFO. Vår ambition var att få fem intervjuer, vilket vi ansåg vara tillräckligt många för att kunna dra slutsatser av svaren men samtidigt inte för många för vår tidsplan. På grund av en avbokning blev det till slut fyra genomförda intervjuer, vilket vi ändå anser tillräckligt för vårt syfte. De personer vi intervjuade var Mats Påhlson på Poolia, Jan Blomén på Beijer Alma, Jan Bengtsson på Uniflex samt Magnus Teeling och Katarina Hallqvist på Tilgin. Intervjuerna gjordes på plats hos företagen. Vi valde att ställa så öppna frågor som möjligt och vid behov få mer specifika svar genom följdfrågor. Detta för att undvika att ställa ledande frågor. För att vidhålla respondenternas integritet erbjöds möjligheten att vara anonyma, trots att detta skulle göra vår data mindre tillförlitlig. Inga av de intervjuade personerna valde dock att vara anonym. Intervjuerna spelades in, med respondenternas godkännande, för att säkerställa att vi inte gick miste om någon viktig information. Efteråt sammanställde vi svaren och skickade till respondenten för godkännande. Magnus Teeling på Tilgin återkom med kommentarer, huvudsakligen gällande formuleringar som han ansåg var något missvisande. Jan Bengtsson på Uniflex godkände vår sammanställning av intervjun. Varken Jan Blomén på Beijer Alma eller Mats Påhlson på Poolia svarade på mailet vi skickade med sammanställningen, vilket vi tolkar som att de inte hade några synpunkter. 3.2 INSAMLING AV SEKUNDÄR DATA För insamling av sekundär data använde vi oss av ett flertal källor. Den källa vi använt oss mest av är Kollegiet för svensk bolagsstyrnings utgivna skrift Svensk kod för bolagsstyrning från Till teori och bakgrundsinformation hittade vi fakta genom sökningar i databaserna Business source 15

16 premier och Affärsdata. Vi har använt oss av sökord som corporate governance, bolagsstyrning, svensk kod för bolagsstyrning, COSO och agentteorin. Grundläggande faktaböcker som vi använt är Bolagsstyrning av Robert Sevenius och Bolagsorgan och bolagsstyrning av Daniel Stattin. En viktig hemsida för vår insamling av bakgrundsfakta är Kollegiet för svensk bolagsstyrnings sida, som innehåller mycket information både om koden i sig och om bolagsstyrning i allmänhet. Vi har dessutom kompletterat informationen från intervjuerna med uppgifter från respektive företags årsredovisning. 3.3 OPERATIONALISERING För att få fram svar till vår frågeställning om konsekvenser av koden valde vi att ställa frågor som dels handlade om företagets bolagsstyrning innan respektive efter att koden infördes samt vilka förändringar personerna på företagen själva märkt i sitt arbetssätt. Gällande den antagna kostnadsökningen till följd av koden frågade vi om företagen märkt några ökade kostnader och om de gjort någon bedömning av dessa eventuella kostnader i jämförelse med nyttan av koden. För vår frågeställning gällande intern kontroll utgick vi från COSO-modellens fem komponenter. Vi gick igenom några av de viktigaste punkterna inom varje delkomponent för att undersöka hur företagets interna kontroll är uppbyggd och fungerar. Vi ställde dessutom frågor om hur internkontrollen såg ut innan koden infördes och om koden lett till någon förändring i den, med anledning av att en viktig del i koden handlar om just internkontroll. Vårt syfte att undersöka avvikelser från koden samt hur dessa redogörs för fick vi fram information om direkt i företagens årsredovisningar. 3.4 TILLFÖRLITLIGHET Vår empiri och därmed våra resultat grundar sig på den kvalitativa studie vi gjort genom våra intervjuer. De personer vi intervjuat har alla en roll i sina respektive företag som innebär att de har en aktiv roll i implementeringen och i arbetet med bolagsstyrning, kod och intern kontroll. De har en god kunskap inom dessa ämnen och om sina företags specifika egenskaper. Vissa av de svar vi fått är dock baserade på personliga åsikter och uppfattningar om verkligheten, vilket vi har full förståelse för. Vår frågeställning är dessutom i vissa aspekter utformad så att det är en subjektiv åsikt som är det intressanta. 3.5 RELEVANS Den reviderade koden trädde i kraft 1 juli 2008 och de företag som började tillämpa den då har snart arbetat med koden i ett år. Oavsett om företagen har haft en väl utvecklad bolagsstyrning sedan innan eller om de började med detta i samband med att koden reviderades anser vi att det är 16

17 intressant att undersöka hur stor påverkan koden har på små företag och hur stor nytta företagen anser att den har. Vi har kontaktat personer inom de utvalda företagen som har kunskap om koden och som aktivt arbetat med den för att få fram så relevant data som möjligt. 3.6 KÄLLKRITIK De personer vi intervjuat arbetar alla på respektive företag och de vill naturligt framställa bolaget i gott ljus. Om det finns negativa aspekter på de områden vi ställt frågor om finns en risk att korrespondenten utelämnat denna information. Vi är medvetna om denna risk, men anser att vår frågeställning inte är direkt känslig och är bolaget sämre på någon viss del inom bolagsstyrning eller avviker från koden på något sätt så är ju detta ändå tillåtet så vi ser ingen direkt anledning till att företagen skulle undanhålla information om detta. Det borde inte ha någon större, negativ effekt för företagens del. Den hemsida som vi använt oss av mest är bolagsstyrning.se vilket är Kollegiet för svensk bolagsstyrnings sida. Det finns mycket viktig bakgrundsfakta där och vi har använt oss av den i hög utsträckning. Vi har dock försökt komplettera och jämföra informationen där med den från andra källor för att säkerställa att informationen inte är vinklad. Vi anser dock att hemsidan är gjord för att vara informativ och i all enkelhet klargöra vad koden och bolagsstyrning handlar om för så många som möjligt och att Kollegiet har all anledning att skriva så ovinklad information som möjlig. Den övriga litteratur vi använt oss av har varit kurslitteratur om bolagsstyrning samt artiklar från välrenommerade företagsekonomiska tidsskrifter, som till exempel The Economic Journal. Vi har försökt läsa denna litteratur så kritiskt som möjligt och har även här kompletterat och jämfört informationen med olika källor. 17

18 4 EMPIRI De empiriska data som följer har samlats in genom kvalitativa intervjuer med fyra olika företag. Dessa företag är noterade på OMX Nordic Exchange (Nasdaq OMX Nordic) och har alla ett marknadsvärde understigande tre miljarder, vilket innebär att de inte omfattades av den ursprungliga koden från 2005 utan enbart av den reviderade koden från Inledningsvis följer nedan en kort presentation av vart och ett av dessa företag. Poolia Poolia AB är ett svenskt företag med verksamhet inom bemanningsbranschen, specialiserade på rekrytering och uthyrning av kvalificerade tjänstemän. Företaget grundades 1989 som Ekonompoolen och är börsnoterat sedan Namnet Poolia bytte de till Förutom i Sverige, så har de även verksamhet i Danmark, Finland, Tyskland och Storbritannien. Av koncernens totalt 2108 anställda är 1387 anställda i det svenska bolaget. Mats Påhlson är CFO i Poolia AB och anställd i bolaget sedan (Poolia, 2009) Beijer Alma Beijer Alma AB är en industrigrupp med internationell verksamhet. Deras verksamhet riktar sig mot branscher som mobil telekom och försvarsindustri. Företaget grundades 1983 som Alma Invest AB och är börsnoterat sedan Sitt nuvarande namn tog de Koncernen har 1220 anställda, varav cirka 530 arbetar i Sverige. Jan Blomén är ekonomichef på Beijer Alma och anställd där sedan (Beijer Alma, 2009) Uniflex AB Uniflex AB är ett bemanningsföretag inriktat på yrkesområden som industri, bygg och städ. Företaget etablerades 2002 som ett självständigt dotterbolag i Poolia-koncernen, men är sedan 2004 utskiftat från dem. Företaget har 2258 anställda i Sverige. Under 2008 etablerade de sig i Storbritannien, som ett första steg i en geografisk expansion. Uniflex är börsnoterade sedan Jan Bengtsson är sedan 2002 VD i Uniflex. (Uniflex bemanning, 2009) Tilgin Tilgin AB är ett företag som utvecklar och levererar system och programvaror för bredbandstjänster. Företaget grundades 1997 och har nu 60 anställda. Företaget är börsnoterat sedan Magnus Teeling är ekonomi- och finanschef på Tilgin och anställdes på bolaget (Tilgin AB, 2009) 18

19 Katarina Hallqvist arbetar som bolagsjurist på Tilgin. (Teeling & Hallqvist, 2009) 4.1 IMPLEMENTERING AV KODEN Alla fyra intervjuade företag började följa koden den 1 juli 2008, när den reviderade koden infördes. Dock säger flera av företagen att de redan tidigare började följa koden till viss del. Poolia började tillämpa delar av koden 2006, vilket de motiverar med att de vill vara så transparenta och tydliga som möjligt (Poolia, 2007). När de sedan skulle tillämpa koden fullt ut diskuterade de tillvägagångssättet för detta i styrelsen, som kom fram till att de inte behövde utföra några stora åtgärder för implementeringen. Ingen omstrukturering behövdes och de rutiner de hade följde koden och var redan tillräckliga. Den stora delen med koden handlade, för dem, om internkontrollen och då främst om att införa bättre rutiner. (Påhlson, 2009) När diskussionen om koden togs i styrelsen så gick de först igenom vad de redan följde samt inte följde. Gällande det de inte följde hade de valet att följa eller förklara. De valde att följa koden i dessa fall, eftersom det inte innebar några större kostnader eller förändringar utan mest handlade om att anpassa dokument. Dock avviker Poolia från koden på en punkt, nämligen 4.2, som behandlar suppleanter till styrelseledamöter. Denna avvikelse anges och förklaras i bolagsstyrningsrapporten. (Påhlson, 2009) För Beijer Alma var det internkontrollen som var mest komplicerad vid implementeringen av koden. Gällande de enklare delarna, som regler för styrelse och valberedning, anser Jan Blomén att koden tillhandahåller en checklista. De var inte tvungna att ändra några rutiner kring detta eftersom det redan efterföljdes. Vid implementeringen utgick de inte från några modeller utan tog hjälp av revisorer som gav dem en checklista på vad som skulle göras. Redan innan den reviderade koden infördes försökte de ändå följa koden i så stor mån som möjligt, detta för att säkerställa att de hade en fullgod bolagsstyrning. (Blomén, 2009) Även Uniflex följde koden till stor del redan innan de var tvungna att göra det. Vissa punkter följde de redan för två år sedan. Redan i årsredovisningen för 2006 fanns en bolagsstyrningsrapport med. (Uniflex bemanning, 2007) Styrelsen i Uniflex består av fyra personer och av dessa är två mycket kunniga på Koden. Därutöver är det företagets ekonomiavdelning som ansvarar för rapporterna. De har inte tagit in någon extern hjälp specifikt för att implementera koden, men de har märkt att revisorsarvodena ökat, vilket till viss del beror på det ytterligare arbete som koden medfört. Jan Bengtsson anser att koden är ren formalia och inte tillför någon affärsnytta, och påpekar att den uppkommit enbart på grund av oärlig verksamhet som ett fåtal företaget bedrivit och att detta nu drabbar alla företag. Han tycker att den är alltför omständlig på många punkter och att det ger merarbete men inte tillför någon nytta till företaget. (Bengtsson, 2009) 19

20 Tilgin följde koden till stor del redan innan den började omfatta dem i juli Det enda de inte gjorde då var att samla informationen i en bolagsstyrningsrapport. När koden skulle implementeras till fullo 2008 upptäckte de att deras tidigare arbetssätt inte behövde förändras. På detaljnivån var det vissa mindre förändringar som de införde, bland annat att redogöra för vissa uppgifter på hemsidan. De använde sig inte av någon extern konsult för att göra utredningar om detta. Däremot studerade de andra bolag, framför allt när det gällde utformningen av bolagsstyrningsrapporten. Då de är ett relativt litet bolag ansåg de att det var onödigt att lägga alltför mycket pengar på att implementera och följa koden, men för att säkerställa att de ändå gör allt rätt så undersökte de alltså hur andra företag gör. Magnus Teeling och Katarina Hallqvist menar att de på grund av sin kunskap om deras specifika företagsstruktur ändå kunde göra detta själva på bästa sätt. De ville ha en enkel och tydlig bolagsstyrning och rapport om detta. Då de dessutom redan hade en bra bolagsstyrning och kontroll innebar koden i praktiken bara att de skulle dokumentera detta i en bolagsstyrningsrapport. Själva arbetssättet med bolagsstyrning och intern kontroll har inte förändrats till följd av koden. Det var ingen specifik punkt i koden som var svår att tillämpa och eftersom de inte gjort några direkta förändringar i sitt arbetssätt så har de inte lagt ner särskilt mycket arbete på implementeringen. (Teeling & Hallqvist, 2009) 4.2 INTERNKONTROLL FÖRE OCH EFTER KODEN För några år sedan införde Poolia ett bättre system för internkontroll och informationsuppsamling som innebär ett mer standardiserat sätt att jobba med information internt. Detta skedde innan koden började implementeras. Mats Påhlson påpekar att det dock var drivet av samma syfte som koden, det vill säga bättre rutiner för intern kontroll. Han anser att deras finansiella rapport har blivit mer tillförlitlig genom att de säkrat informationen genom det standardiserade sättet att jobba med dokumentation som kom med systembytet. En förbättring är att de nu har samma regler gällande dokumentationen i hela koncernen. (Påhlson, 2009) När sedan koden infördes krävdes inga stora förändringar för Poolia, enligt Mats Påhlson. Ett exempel på vad de förändrade var att de införde bättre rutinkontroller. De införde också en form av internrevision som innebär att Påhlson själv åker ut till dotterbolagen och kontrollerar att allt går rätt till. (Påhlson, 2009) Poolia använder sig av COSO-modellen i sin internkontroll. I bolagsstyrningsrapporten beskriver de hur de förhåller sig till de fem komponenterna. De skriver att ett effektivt styrelsearbete utgör grunden för god intern kontroll och de har därför strukturerade arbetsprocesser och en tydlig arbetsordning för styrelsen. De har också riktlinjer för koncernchef och VD för dotterbolag samt finanspolicy och informationspolicy med mera. De har tydliga rutiner för riskbedömning, och utifrån vissa kritiska processer bygger de upp en kontrollstruktur med flera 20

21 kontrollaktiviteter. Detta för att upptäcka fel och avvikelser. De riktlinjer och regler de har gällande den finansiella rapporteringen hålls uppdaterad och kommuniceras internt inom bolaget. De har även riktlinjer gällande extern kommunikation som anger vad som ska kommuniceras, av vem samt hur. Uppföljningen av den interna kontrollen är en del av den löpande verksamheten. Styrelsen gör regelbundet uppföljningar, men även ledning och övrig personal uppmuntras att övervaka och rapportera eventuella felaktigheter. (Poolia, 2009) Poolia använde även COSO-modellen när de implementerade koden, men de ansåg att de följde COSO-modellens komponenter väl och inga större förändringar behövdes. (Påhlson, 2009) Hos Beijer Alma har inga förändringar av den interna kontrollen skett efter implementeringen av koden. Styrelsen ansåg att den interna kontrollen redan följde koden, till exempel att de rutiner och system de hade för produktionen samt uppföljning av dem var tillräckliga redan. Det svåra för dem var att dokumentera det som gjordes inom internkontroll. Jan Blomén anser att dokumentationen har blivit bättre efter implementeringen av koden. Under arbetet med koden delades frågeformulär ut till anställda på Beijer Alma där de fick svara på frågor om hur arbetet med den interna kontrollen såg ut samt om vad de själva ansåg om den interna kontrollen på företaget. Dessa frågeformulär låg sedan som grund till dokumentationen av den interna kontrollen. Den tidigare kravet på en intern revisionsberättelse är borttaget i den reviderade koden, vilket Blomén menar är bra för deras del. Detta eftersom de inte har någon internrevision och inte anser sig ha behov av en på grund av sin storlek. Han anser också att uppföljningen av den interna kontrollen kan ha blivit mer fokuserad, men att detta inte har något direkt samband med koden. (Blomén, 2009) Beijer Alma använder sig inte av COSO-modellen. (Beijer Alma, 2009) Jan Bengtsson anser inte att den interna kontrollen på Uniflex har förändrats i och med koden. (Bengtsson, 2009) De har väl utvecklade rutiner som är till för att den finansiella rapporteringen upprättas i enlighet med lag, tillämpliga redovisningsstandarder och övriga krav på börsnoterade bolag. Organisationen har väl fungerande och inarbetade styr- och kontrollsystem som omfattar alla delar av verksamheten. Med anledning av den begränsade storleken på bolaget och deras väl utarbetade rutiner har de valt att inte ha någon internrevision. (Uniflex, 2009) På detta sätt såg det ut redan i årsredovisningen för De externa revisorerna granskar regelbundet internkontrollen och redogör för detta i sin rapport. En skillnad som Bengtsson kan se efter att koden infördes är att det är mer byråkratiskt nu, till exempel att fler dokument ska gå genom styrelsen för godkännande. (Bengtsson, 2009) Uniflex tillämpar inte COSO-modellen i sin internkontroll. (Uniflex, 2009) Tilgins interna kontroll har sett likadan ut under de senaste tre till fyra åren. De har bland annat utförliga policies om finans, information och kundkredit. Det var i samband med deras 21

22 börsnotering 2006 som denna utformning infördes på grund av noteringskrav. Det har med andra ord inte skett någon förändring till följd av koden. Koden innebar dock att det skrevs ner och redogjordes tydligare för denna internkontroll. Magnus Teeling och Katarina Hallqvist tycker att det kan vara bra att det finns utförligt nedskrivet om kontrollsystemet i fall något skulle gå fel, men att det i regel känns lite onödigt att det måste redovisas så noggrant. (Teeling & Hallqvist, 2009) Tilgin har ingen internrevision utan det är bolagets externa revisorer som regelbundet granskar internkontrollen. De gör bland annat kontroller av pengaflöden och fakturor samt att inköp godkänts av personer auktoriserade att göra detta. För att utvärdera internkontrollens effektivitet förlitar de sig på de externa revisorernas uttalande. De gör inga egna stickprov, utan litar på att den interna kontroll finns på plats och fungerar. Teeling och Hallqvist anser att deras kontrollsystem är väl utarbetat, bland annat genom att vissa saker endast får göras av två personer i förening, till exempel externa betalningar. En risk att två personer samarbetar för att bedra bolaget finns alltid, men detta gäller för alla bolag. De anser ändå att deras internkontroll är utformad för att på bästa sätt förhindra att något sådant händer. (Teeling & Hallqvist, 2009) I bolagsstyrningsrapporten finns en beskrivning av Tilgins interna kontrollsystem och riskhantering avseende den finansiella rapporteringen. De utgår då från de fem komponenterna i COSO-modellen. Vad gäller kontrollmiljön har de interna policies, riktlinjer, manualer och koder som ligger till grund för den interna kontrollen. Detta gällande bland annat arbetsfördelningen mellan VD:n och de andra organen som styrelsen inrättar samt instruktioner gällande redovisning och rapportering. Gällande riskbedömning är bolagets främsta områden att hantera operationell och legal risk. Det är styrelsen som godkänner principer och riktlinjer för riskhantering. VD och ledning har det operativa ansvaret. VD och ekonomichef gör löpande riskbedömningar och vid behov åtgärder mot dessa. Årligen görs en genomgång av rutinerna för att förhindra felaktigheter. Utifrån riskbedömningen finns kontrollaktiviteter som utförs regelbundet. Utifrån bolagets mest kritiska processer skapas en kontrollstruktur med syfte att förebygga, upptäcka och korrigera fel och avvikelser i den finansiella rapporten. Till exempel krävs beslut av styrelsen för ovanliga transaktioner. Policies, riktlinjer och manualer uppdateras och kommuniceras regelbundet internt i företaget. Funktioner som omfattas av internt rapporteringsansvar informeras löpande. Det är styrelsen som ansvarar för att upprätthålla aktuella dokument och kommunicera dessa. Varje månad erhåller styrelsen ekonomiska rapporter och bolagets ekonomiska situation behandlas vid varje styrelsesammanträde. (Tilgin, 2009) 22