Rapport Redovisning över den statliga internrevisionen och myndigheternas interna styrning och kontroll Regeringsuppdrag

Transkript

1 Regeringsuppdrag Rapport Redovisning över den statliga internrevisionen och myndigheternas interna styrning och kontroll 2017 Internrevision och intern styrning och kontroll under 2016 ESV 2017:14

2 INNEHÅLL

3 INNEHÅLL Publikationen kan laddas ner från ESV:s webbplats esv.se. Datum: Dnr: /2016 ESV-nr: 2017:14 Copyright: ESV Rapportansvarig: Annika Alexandersson ESV 2017:14

4

5 FÖRORD Förord Ekonomistyrningsverket (ESV) lämnar årligen en rapport till regeringen om den statliga internrevisionen. ESV har sedan 2015 utvecklat redovisningen så att den även omfattar hur internrevisionsmyndigheterna tillämpar bestämmelserna om intern styrning och kontroll. Det här är den tionde rapporten som ESV lämnar till regeringen. Alla myndigheter ska ha en betryggande intern styrning och kontroll. Den interna styrningen och kontrollen utgör ett stöd för myndighetsledningarna att med rimlig säkerhet fullgöra ansvaret för verksamheten inför regeringen. De myndigheter som tillämpar förordningen om intern styrning och kontroll har internrevision som stöd. Internrevisionen ska granska och ge förslag till förbättringar av myndighetens interna styrning och kontroll. I detta ärende har vikarierande generaldirektör Pia Heyman beslutat. Utredare Annika Alexandersson har varit föredragande. I den slutgiltiga handläggningen har enhetschef Tina J Nilsson samt utredarna Catrin Lind Ebert, Tomas Kjerf och Patrick Freedman deltagit. ESV:s internrevisionsråd har som en del i beredningen lämnat synpunkter på ett utkast till rapporten. 3

6 INNEHÅLL Innehåll Förord... 3 Sammanfattning... 6 Myndighetsledningarna ser stor nytta med sin internrevision... 6 Myndighetsledningarnas interna styrning och kontroll... 7 Internrevisionens resurser... 7 Internrevision saknas på grund av sen rekrytering... 8 Internrevisionens resultat måste tas om hand av myndigheten... 8 Internrevisionen kan lämna omdömen om intern styrning och kontroll... 8 Extern kvalitetssäkring Inledning Varför lämnar vi en redovisning? Hur genomför vi arbetet med redovisningen? Vad redovisar ESV? Så här disponerar vi rapporten Myndigheter som inrättar internrevision Reglering av internrevision och intern styrning och kontroll Myndigheter som ska ha internrevision Säkerställd intern styrning och kontroll Myndigheternas bedömning av intern styrning och kontroll Myndigheterna informerar om risker och andra omständigheter för bedömningen Myndighetsledningen fullgör sitt ansvar för verksamheten En väl fungerande internrevision Internrevisionen organiseras fristående Internrevisionens resurser Internrevisionen granskar utifrån risker i verksamheten Internrevisionens resultat måste tas om hand av myndigheten Beredning och genomförande av beslut Internrevisionens rekommendationer används i hög grad Stöd och försäkran från internrevisionen till myndighetsledningen Av internrevisionen lämnade omdömen om intern styrning och kontroll Granskningar som bidrar till förbättringar av myndighetens interna styrning och kontroll Myndigheternas internrevision hjälper och stödjer varandra Internrevisionen utförs med kompetens Utvärderar myndigheterna sin internrevision? Intern och extern utvärdering Hur uppfattar myndighetsledningen sin internrevision? Nytta med internrevision Stöd och råd till myndighetsledningen

7 INNEHÅLL 5.3 Ändamålsenlig kommunikation och rapportering Faktisk kvalitet Kompetens Resurser Övrigt Skillnad mellan styrelsemyndigheter och enrådighetsmyndigheter Skillnader mellan myndigheter med en eller fler anställda revisorer Fortsatt utveckling av intern styrning och kontroll samt internrevision Redovisningen har drivit på utvecklingen Redovisning av intern styrning och kontroll Riksrevisionens rapport om statlig internrevision Rekommendationer till ESV Ifrågasatt nytta av intern styrning och kontroll samt internrevision Vilket stöd vill myndigheterna ha av ESV? Utvecklingstrender Trender inom statlig internrevision Internrevisionens erfarenheter och kunskaper om myndigheters arbete med effektivisering Vi utvecklar intern styrning och kontroll men inte alltid som andra Bilaga 1 Myndigheter med internrevision Bilaga 2 Myndigheter per departement Bilaga 3 Myndigheternas redovisning av intern styrning och kontroll Bilaga 4 Information från myndigheterna Bilaga 5 Granskning av förvaltnings- och kontrollsystem Bilaga 6 Revisionsutskottets roll och uppgifter Bilaga 7 Exempel på internrevisionens omdömen om myndigheternas interna styrning och kontroll Bilaga 8 Samverkan och erfarenhetsutbyte Bilaga 9 Rekommendationer i externa kvalitetssäkringar Bilaga 10 Information från Riksrevisionen Bilaga 11 Övriga kommentarer från myndighetsledningar om internrevision.. 92 Bilaga 12 Av myndigheterna önskat stöd inom internrevision och intern styrning och kontroll

8 INLEDNING Sammanfattning ESV:s samlade bedömning är att den statliga internrevisionen fungerar väl och att myndigheterna har en betryggande intern styrning och kontroll. Internrevisionen utgör, enligt ESV:s uppfattning, det stöd till myndighetsledningarna som regeringen avsett. Utifrån myndigheternas redovisning bedömer ESV att myndigheterna tillämpar bestämmelserna om statlig internrevision och intern styrning och kontroll i mycket hög utsträckning. Endast ett fåtal avvikelser från bestämmelserna har noterats. I denna redovisning redogör ESV för de myndigheter som inte genomför sin externa kvalitetssäkring, blir underkänd på den externa kvalitetssäkringen (ej aktuellt i årets rapport) eller använder en halv årsarbetskraft eller mindre för internrevision. Exempel på andra brister vi lyfter fram är om myndigheten har saknat anställd internrevisionschef eller inte har anställt en ny internrevisionschef inom rimlig tid. Myndighetsledningarna ser stor nytta med sin internrevision ESV har under hösten 2016 gjort en kartläggning av den nytta och det stöd som internrevisionen bidrar med till sin uppdragsgivare, det vill säga myndighetsledningen. Några av frågorna ingick även i den enkät till myndighetsledningar som ESV genomförde De lämnade svaren visar att myndighetsledningarna har en fortsatt mycket positiv bild av internrevision och att internrevisionens arbete är till nytta och stöd för myndighetsledningen. På frågan om myndighetsledningarna bedömer att de har nytta av internrevisionens granskningar ligger 85 procent av svaren nära det högsta värdet instämmer helt. Svaren visar också att internrevisionen bedöms vara effektiv och att den bidrar till förbättringar av både styr- och ledningsprocesser samt den interna styrningen och kontrollen på myndigheterna. Kommunikationen mellan myndighetsledningen och internrevisionen bedöms vara mycket god och även den rapportering som internrevisionen lämnar. 16 myndigheter uppgav att internrevisionens bemanning inte bygger på en analys av resursbehov utifrån myndighetens risker. ESV anser att innan myndigheten bestämmer internrevisionens dimensionering bör en analys av resursbehovet genomföras. Endast en myndighetsledning uppgav att internrevisionen inte har tillräcklig bemanning. Huvuddelen av myndigheterna uppgav att myndighetsledningen inte diskuterar frågor med anknytning till internrevisionen i samband med myndighetsdialogen. 6

9 INLEDNING ESV tycker att det är angeläget att internrevisionsfrågor tas upp vid myndighetsdialogen. Myndighetsledningarnas interna styrning och kontroll Myndighetsledningarnas bedömning av den interna styrning och kontrollen i respektive årsredovisning är att den är betryggande. Det är också fortsatt få myndigheter som redovisar brister. De vanligaste bristerna handlar om riskhantering. Exempel på brister är att all verksamhet inte omfattas av riskanalys och att åtgärder inte har genomförts som beslutat. De flesta av myndigheterna redovisar en sammanfattande beskrivning av sitt arbete med intern styrning och kontroll. Många myndigheter informerar även om risker i verksamheten och hur de hanteras. Verksamhetens risker är i de flesta fall specifika för verksamheten men det finns även risker som återkommer inom flera myndigheter. Det är till exempel risker inom kompetensförsörjning och informationsförsörjning. Risk för otillbörlig påverkan, bedrägeri eller annan oegentlighet förekommer även i redovisningarna. I enkäten om internrevision och intern styrning och kontroll har ett drygt tiotal myndigheter uppgivit att de inte genomfört någon riskvärdering som identifierar risker/riskområden för oegentligheter. För att myndigheten ska kunna förebygga risken för oegentligheter är det viktigt att myndigheten genom en riskanalys skaffar sig en bild av vilka riskerna är och inom vilka områden de finns. ESV anser att det kan finnas anledning att föra en djupare diskussion om den interna styrningen och kontrollen av it-verksamheten i myndighetsdialogerna för att poängtera vikten av att myndigheternas ledningar tar ansvar för och adresserar de krav digitaliseringen ställer på ledningen när det gäller att utveckla sin styrning av verksamheten. Internrevisionens resurser Nio myndigheter har redovisat att de har haft en halv årsarbetskraft eller mindre för internrevision under Av de nio myndigheter med den lägsta andelen årsarbetskrafter är det fem myndigheter där internrevisionschefen delar sin tid mellan två myndigheter. Vi anser att det finns en risk att tiden inte räcker till för att genomföra uppdragen på det sätt som god internrevisors- och internrevisionssed kräver. Innan myndigheten bestämmer internrevisionens dimensionering bör en analys av resursbehovet genomföras. Analysen bör utgå från myndighetens väsentliga riskområden och de formella krav som ställs av internrevisionsförordningen och IIA Standards. När de interna resurserna är otillräckliga bör de kompletteras med resurser utifrån. 7

10 INLEDNING Internrevision saknas på grund av sen rekrytering Det finns fortfarande problem med att myndigheterna inte påbörjar sin rekryteringsprocess i tid när internrevisionschefen slutar eller när myndigheten fått krav på att inrätta internrevision. Det får till följd att myndigheter under en längre period inte uppfyller internrevisionsförordningens krav på anställd internrevisionschef. ESV anser att det är särskilt viktigt när internrevisionen är en enmansfunktion att myndigheten planerar för successionen i god tid. Det bästa är om den nya internrevisionschefen kan tillträda en tid innan den tidigare internrevisionschefen slutar. Att befattningen som internrevisionschef är vakant under en längre tid är inte i enlighet med regeringens avsikt när myndigheten har ett uppdrag att ha inrättat internrevision. Hinner inte ny chef rekryteras i tid bör en internrevisionschef tillförordnas. För att förordningens krav ska upprätthållas måste även den tillförordnade internrevisionschefen vara anställd vid myndigheten. Internrevisionens resultat måste tas om hand av myndigheten Sex myndigheter uppger att de saknar en fungerande process för att bereda förslag till åtgärder inför myndighetsledningens beslut, eller har brister i denna process. Sju myndigheter har uppgett att myndigheten saknar en fungerande process för att säkerställa att myndighetsledningens beslut om åtgärder blir genomförda. ESV anser att det är viktigt att myndigheterna har en genomtänkt och dokumenterad process för hur internrevisionens iakttagelser och rekommendationer ska hanteras både vad gäller beredningen av förslagen till beslut av åtgärder men även hur åtgärderna hanteras efter det att myndighetsledningen har fattat sitt beslut. I vissa fall tar det lång tid innan myndighetsledningen fattar beslut om internrevisionens iakttagelser och rekommendationer. I en myndighet hade myndighetens ledning inte fattat några beslut om rekommendationer under I en annan myndighet hade myndighetsledningen fattat beslut om en mindre del av de rekommendationer som avlämnats under år ESV:s uppfattning är att internrevisionens iakttagelser och rekommendationer ska behandlas löpande för att myndigheten ska kunna tillgodogöra sig största möjliga nytta av sin internrevision. Internrevisionen kan lämna omdömen om intern styrning och kontroll Vi har ställt en fråga om internrevisionen har lämnat ett övergripande omdöme om den interna styrningen och kontrollen för myndighetens hela verksamhet. 1 Vi hade i anvisningen till frågan angivit att frågan avsåg ett omdöme med samma krav som framgår av Övergripande omdömen i IIA:s standards. Där framgår att den rapport som lämnas bland annat ska innehålla uppgift om vad omdömet omfattar, vilka begränsningar som gäller för omdömet och vilken tidsperiod omdömet avser. Från 1 Vi har inte begärt att få ta del av de årsrapporter/pm med omdömen som internrevisionen avlämnat. 8

11 INLEDNING 2017 ska även en summering av den information som stödjer omdömet innefattas. 14 av de 68 myndigheterna har tydligt framfört att deras avsikt är att följa IIA:s standards om Övergripande omdöme. ESV anser att internrevisionen kan lämna ett omdöme om myndighetens interna styrning och kontroll om myndighetens ledning så önskar. Det är dock under förutsättning att internrevisionen tillämpar en metod och process som leder till att Övergripande omdömen i IIA:s standards följs. Det bör även framgå av omdömet hur internrevisionen anser att omdömet bör påverka myndighetsledningens intygande i årsredovisningen. Eftersom ett omdöme ska vara tydligt och genomtänkt bör det inte lämnas muntligt. I ett muntligt omdöme framgår inte omdömets omfattning och begränsningar på ett tydligt sätt. Extern kvalitetssäkring Om ESV för regeringens räkning ska kunna bedöma om den statliga internrevisionen bedrivs enligt god sed är det viktigt att myndigheterna genomför en extern kvalitetssäkring av sin internrevision åtminstone vart femte år. 84 procent av myndigheterna har uppfyllt kravet på en extern bedömning. Ytterligare tio myndigheter borde ha genomfört en extern kvalitetssäkring av sin internrevisionsfunktion 2016 eller tidigare. Under året genomfördes 12 externa kvalitetssäkringar. Fem som genomfördes av ett konsultföretag och sju med hjälp av andra statliga internrevisionschefer, så kallad peer review. För samtliga tolv myndigheter bedömdes bedrivandet av internrevisionsfunktionen stå i överensstämmelse med Internrevisionsförordningen (med ESV:s föreskrifter och allmänna råd) samt med IIA:s riktlinjer för yrkesmässig internrevision. Det är viktigt att oberoendefrågorna beaktas när peer review genomförs. Eftersom det främst är enmansfunktioner, med sammanlagt ett drygt 30-tal internrevisionschefer, som genomför extern kvalitetssäkring via peer review åt varandra så är gruppen begränsad. Vi anser inte att peer review bör bli en ständigt återkommande metod för enmansfunktioner utan att åtminstone varannan extern kvalitetssäkring bör genomföras av professionell granskare. Vi tycker inte heller att samma internrevisionschef bör återkomma som kvalitetssäkrare för samma myndighet när en peer review genomförs. 9

12 INLEDNING 1 Inledning Ekonomistyrningsverket (ESV) ska inom uppgiften att utveckla och förvalta den ekonomiska styrningen av den statliga verksamheten: utveckla och förvalta den interna styrningen och kontrollen i staten utveckla, förvalta och samordna den statliga internrevisionen samt årligen till regeringen lämna en redovisning över den statliga internrevisionen och myndigheternas interna styrning och kontroll. 2 Vi lämnade vår första redovisning över den statliga internrevisionen I avsnitt 6.1 gör vi en återblick över vad som hänt under de här tio åren. Sedan 2013 har vi redovisat myndigheternas bedömningar av sin interna styrning och kontroll i en särskild rapport Säkerställd intern styrning och kontroll. Från och med föregående års redovisning ingår detta som ett kapitel i den här rapporten. 1.1 Varför lämnar vi en redovisning? Med redovisningen över den statliga internrevisionen och myndigheternas interna styrning och kontroll bistår ESV regeringen med underlag för att bedöma om den interna styrningen och kontrollen är betryggande. 3 Med redovisningen till regeringen ger vi ESV:s syn på hur den statliga internrevisionen har bedrivits under 2016 och hur den har utvecklats. Vi ger också en bild av myndigheternas interna styrning och kontroll. Den information vi hämtar in kan också användas av myndigheterna för systematiska jämförelser. 1.2 Hur genomför vi arbetet med redovisningen? Vi hämtar in den information vi behöver från de myndigheter som enligt sin instruktion ska tillämpa internrevisionsförordningen (2006:1228) och inrätta internrevision och därmed även tillämpa förordningen (2007:603) om intern styrning och kontroll. Vi hämtar även in information från bland annat Riksrevisionen 4 och från myndigheternas årsredovisningar. 5 2 Förordningen (2016:1023) med instruktion för Ekonomistyrningsverket, och p. förordning (2016:1023) med instruktion för Ekonomistyrningsverket. 4 Vi hämtar information från Riksrevisionens granskningsakter och riksrevisorernas rapport till Riksdagen, Ekonomistyrningsverkets rapporter från granskningen av myndigheter som förvaltar EU-medel samt Statskontorets granskningar. 5 2 kap. 2, Förordning (2000:605) om årsredovisning och budgetunderlag. 10

13 INLEDNING Uppgifterna i internrevisionsenkäten, som även omfattar frågor om intern styrning och kontroll, har lämnats till ESV via koncerninformationssystemet Hermes (modulen Internrevision) under perioden 30 januari - 17 februari Frågorna i enkäten publicerades dessförinnan på ESV:s webbsida den 5 december Frågorna e-postades även till myndigheternas registratorer den 5 december 2016 och till myndigheternas internrevisionschefer den 7 december Vi har även följt upp vilka myndigheter som saknat behörighet för att kunna besvara enkäten och påmint dem särskilt under januari En myndighet, Socialstyrelsen, har ESV beviljat undantag från att besvara enkäten. Övriga 68 myndigheter har samtliga besvarat enkäten. ESV har riktat sig till myndigheten eftersom det är myndigheten som har skyldighet att lämna informationen. Uppgiftslämnandet kan ske genom delegering till tjänsteman. I de flesta fall är det internrevisionschefen som har besvarat enkäten å myndighetens vägnar och i många fall har svar stämts av med övriga ansvariga inom myndigheten. ESV vill ge regeringen en bild av om och på vilket sätt internrevisionen skapar nytta för generaldirektörer och myndighetsstyrelser i statsförvaltningen. Uppgifterna som avser myndighetsledningens nytta av internrevisionen har ESV inhämtat via en särskild enkät, Myndighetsledningar om internrevision Frågorna i denna enkät vände sig direkt till myndighetsledningen (till generaldirektören om det är en enrådighetsmyndighet och till styrelsen ifall det är en styrelsemyndighet). Enkäten innehöll bland annat frågor om vilken nytta myndighetsledningen bedömer sig ha av sin internrevision. Enkäten har kunnat besvaras under perioden 27 september till och med den 27 oktober Läs mer om detta i kapitel 5. Information från Riksrevisionen och andra myndigheter hämtar vi in i annan ordning. ESV har i möjligaste mån kvalitetssäkrat uppgifterna som lämnats i internrevisionsenkäten genom att jämföra med andra informationskällor som är tillgängliga, exempelvis externa kvalitetssäkringar, besök som har gjorts på myndigheter och de kommentarer som myndigheterna har lämnat i enkäten. Vi har även i vissa fall ställt frågor om svaren till myndigheterna. Rimlighetsbedömningar har gjorts av lämnade uppgifter. 1.3 Vad redovisar ESV? ESV vill i den här rapporten sätta in internrevisionen i sitt sammanhang, nämligen att granska och lämna förslag till förbättringar av myndighetens interna styrning och kontroll. Det gör att vad vi mäter och redovisar berör flera samverkande bestämmelser: 11

14 INLEDNING 3 internrevisionsförordning anger att internrevision är att granska och ge förslag till förbättringar av myndighetens interna styrning och kontroll 4 4 p. myndighetsförordning (2007:515) anger att myndighetsledningen ska säkerställa en betryggande intern styrning och kontroll 2 kap. 2 2 p. högskoleförordningen (1993:100) anger att styrelsen för en högskola ska säkerställa att det vid högskolan finns en intern styrning och kontroll som fungerar betryggande 2 förordning om intern styrning och kontroll säger att intern styrning och kontroll är en process för att fullgöra kraven som ingår i ansvaret för verksamheten 2 kap. 8 förordning (2000:605) om årsredovisning och budgetunderlag säger att myndighetsledningen ska redovisa en bedömning av den interna styrningen och kontrollen. Myndigheterna får inte ett värde på sin internrevision och sin interna styrning och kontroll med den här redovisningen. Om det finns så allvarliga brister i myndighetens interna styrning och kontroll, internrevision och/eller riskhantering att det är en fråga för regeringen bör myndigheten informera om det i sin årsredovisning. 1.4 Så här disponerar vi rapporten I kapitel 2 redovisar vi hur många myndigheter som omfattas av bestämmelserna om internrevision och förordning om intern styrning och kontroll. Mer om myndigheterna som ingår i redovisningen finns i bilagorna 1 och 2. I kapitel 3 visar vi hur myndigheterna tillämpar bestämmelserna om intern styrning och kontroll. Det har betydelse för bilden av internrevisionen då statlig internrevision ska granska och föreslå förbättringar av intern styrning och kontroll. Mer om underlaget för intern styrning och kontroll finns i bilagorna 3 och 4. I kapitel 4 berättar vi hur myndigheterna tillämpar bestämmelserna om internrevision. Sammanställningar av inhämtad information via enkäterna redovisas i bilaga 4. I kapitel 5 presenterar vi myndighetsledningarnas bild av om och på vilket sätt internrevisionen skapar nytta för dem. I kapitel 6 gör vi en tillbakablick över de tio år ESV har haft uppdraget att samordna den statliga internrevisionen. Vi kommenterar även aktuella rapporter från Riksrevisionen och Statskontoret med koppling till statlig internrevision och intern styrning och kontroll. Vi ger även exempel på utvecklingstrender inom området och berättar om synpunkter från internrevisionsmyndigheterna om ESV:s arbete med att utveckla intern styrning och kontroll samt internrevision. 12

15 MYNDIGHETER SOM INRÄTTAR INTERNREVISION 2 Myndigheter som inrättar internrevision I detta kapitel redovisar vi hur många myndigheter som omfattas av bestämmelserna om internrevision och förordningen om intern styrning och kontroll. 2.1 Reglering av internrevision och intern styrning och kontroll De 69 myndigheter som har kravet att tillämpa internrevisionsförordningen i sin instruktion omfattas av ESV:s samordningsuppdrag. En stor andel av de myndigheter som ska tillämpa bestämmelserna om internrevision och intern styrning och kontroll har en omsättning över 1 mdkr. Av de 69 internrevisionsmyndigheterna tillhör 89 procent den här gruppen. Redovisningen över den statliga internrevisionen och myndigheternas interna styrning och kontroll omfattar de myndigheter som efter beslut av regeringen ska följa internrevisionsförordningen. Myndigheterna som har en internrevision 6 ska också följa bestämmelserna om intern styrning och kontroll. Det är bestämmelserna om riskhantering 7 och bedömning av intern styrning och kontroll. 8 Vid utgången av 2016 var det 69 myndigheter som skulle ha en inrättad internrevision och därmed tillämpa internrevisionsförordningen. 32 av myndigheterna utgörs av enrådighetsmyndigheter och 37 av styrelsemyndigheter. Av de 69 myndigheterna har Socialstyrelsen begärt och fått undantag från att besvara enkäten i Hermes på grund av att de inte har varit skyldiga att ha internrevision under hela Tabell 1 visar antalet myndigheter med internrevision och som ska tillämpa förordningen om intern styrning och kontroll. Tabell 1 Myndigheter med internrevision Myndigheter som ska tillämpa internrevisionsförordningen Myndigheter under regeringen anslutna till statsredovisningen Andel internrevisionsmyndigheter 32% 31% 30% Källa: Myndigheter som registrerat behörighet till modulen i Hermes eller begärt undantag. Antalet myndigheter under regeringen som är anslutna till statens centrala redovisningssystem (statsredovisningen) har minskat, från 221 myndigheter 2014 till 218 myndigheter samtidigt som antalet myndigheter med internrevision ökat något. 6 1, Internrevisionsförordning (2006:1228) Förordning (2007:603) om intern styrning och kontroll. 8 2 kap. 8. Förordning (2007:605) om årsredovisning och budgetunderlag. 9 Vid utgången av året, Statschefen och Riksdagens myndigheter är frånräknande. 13

16 MYNDIGHETER SOM INRÄTTAR INTERNREVISION Det gör att den totala andelen myndigheter med internrevision och riskhantering 10 har ökat något och uppgår till nästan en tredjedel av myndigheterna i statsredovisningen. Internrevisionsmyndigheterna vid utgången av 2016 framgår av bilaga 1 och 2. Tabell 2 visar andelen av statsredovisningens utfall som omfattas av myndigheter som ska tillämpa internrevisionsförordningen. Tabell 2 Omsättning som omfattas av riskhantering och internrevision Andel av omsättningen i årsredovisning för staten som omfattas av riskhantering och internrevision 96% 95% 96% Källa: Statsredovisningen. Andelen av omsättningen i statsredovisningen som omfattas av riskhantering och internrevision är i stort oförändrad. Internrevisionsmyndigheterna vid utgången av 2016 framgår av bilaga 1 och 2. Av internrevisionsmyndigheterna är det 56 myndigheter som har en omsättning på mer än 1 mdkr. De särskilda bestämmelserna om intern styrning och kontroll omfattande riskhantering, internrevision och bedömning av intern styrning och kontroll omfattar därmed i huvudsak myndigheterna med störst omsättning. Bestämmelserna gäller även för 13 myndigheter som inte tillhör denna grupp. Länsstyrelsen i Jämtland och Statens servicecenter tillhör de myndigheter med lägst omsättning av de myndigheter som omfattas av bestämmelserna. Redovisningen av den statliga internrevisionen och myndigheternas interna styrning och kontroll omfattar de myndigheter som ska tillämpa internrevisionsförordningen och därmed även förordningen om intern styrning och kontroll. Utanför redovisningen faller de myndigheter som regeringen har beslutat ska inrätta internrevision i andra former. Det gäller Regeringskansliet som inte ska följa internrevisionsförordningen. Sametinget ska enligt sin instruktion besluta om riktlinjer och revisionsplan för internrevision samt åtgärder med anledning av internrevision men ska inte ha någon egen internrevision. Detta samordnas med Statens Jordbruksverk som ska bedriva internrevision av EU-stöden. Det finns även exempel på myndigheter som har internrevision utan att det står i myndighetens instruktion att de ska tillämpa internrevisionsförordningen. Ett sådant exempel är Säkerhetspolisen som har internrevision från Enligt förordning (2007:603) om intern styrning och kontroll. Alla myndigheter har riskhantering enligt förordningen (1995:1300) om statliga myndigheters riskhantering. 14

17 MYNDIGHETER SOM INRÄTTAR INTERNREVISION 2.2 Myndigheter som ska ha internrevision Fem myndigheter har inte haft anställd internrevisionschef under hela eller delar av året. Det finns fortfarande problem med att myndigheterna inte påbörjar sin rekryteringsprocess i tid när internrevisionschefen slutar eller när myndigheten fått krav på att inrätta internrevision. Socialstyrelsen tillkom som internrevisionsmyndighet 1 juli 2016 men anställde ingen internvisionschef under året. E-hälsomyndigheten har saknat internrevisionschef för andra halvåret För denna period har myndigheten haft en konsult som tjänstgjort på internrevisionen. Den granskning som var upptagen i revisionsplanen har enligt uppgift även rapporterats till myndighetsledningen. Linnéuniversitetet har saknat internrevisionschef under ca 4 månader och ingen tillförordnad har utsetts under denna period. Inga av granskningarna som var upptagna i revisionsplanen för 2016 har rapporterats till ledningen. Även Länsstyrelserna i Jämtland och Västerbotten har saknat internrevisionschef under en stor del av Det finns med andra ord fortfarande problem med att myndigheterna inte påbörjar sin rekryteringsprocess i tid när internrevisionschefen slutar eller när myndigheten fått krav på att inrätta internrevision. Det får till följd att myndigheter under en längre period inte uppfyller internrevisionsförordningens krav på anställd internrevisionschef. ESV anser att det är särskilt viktigt när internrevisionen är en enmansfunktion att myndigheten planerar för successionen i god tid. Det bästa är om den nya internrevisionschefen kan tillträda en tid innan den tidigare internrevisionschefen slutar. Att befattningen som internrevisionschef är vakant under en längre tid är inte i enlighet med regeringens avsikt när myndigheten har ett uppdrag att ha inrättat internrevision. Hinner inte ny chef rekryteras i tid bör en internrevisionschef tillförordnas. För att förordningens krav ska upprätthållas måste även den tillförordnade internrevisionschefen vara anställd vid myndigheten. 15

18 SÄKERSTÄLLD INTERN STYRNING OCH KONTROLL 3 Säkerställd intern styrning och kontroll Vi redovisar i detta kapitel hur myndigheterna tillämpar bestämmelserna om intern styrning och kontroll. Statlig internrevision är att granska och föreslå förbättringar av intern styrning och kontroll. Mer om underlaget för intern styrning och kontroll finns i bilagorna 3, 4 och 5. Intern styrning och kontroll är en samlande benämning på myndighetsledningens process för analys av verksamhetens risker, åtgärder och uppföljning av risker och åtgärder. Denna process omfattas av internrevision. Inom ett system för styrning av och kontroll över verksamheten ingår även mål, arbetsordning, verksamhetsplan, samarbete med andra myndigheter och att ta till vara och utveckla medarbetarnas kompetens. Det uttrycker myndighetens etik som är grunden för myndighetens styroch kontrollmiljö. Att leva efter den statliga värdegrunden är viktig för alla statsanställda. 3.1 Myndigheternas bedömning av intern styrning och kontroll Alla internrevisionsmyndigheter har lämnat en bedömning av sin interna styrning och kontroll. Myndigheterna har med få undantag lämnat en bedömning som säger att de har säkerställt en intern styrning och kontroll som fungerar betryggande. Tabell 3 visar att alla myndigheter lämnar en bedömning och att de till övervägande del lämnar bedömningen att den interna styrning och kontroll är betryggande. Tabell 3 Bedömning i årsredovisningen Myndigheter som lämnar en bedömning i årsredovisningen i anslutning till underskriften Myndigheter som bedömer att det finns en betryggande intern styrning och kontroll Källa: Myndigheternas årsredovisningar, sammanställd i bilaga 3. Myndigheterna lämnar en bedömning av den interna styrningen och kontrollen i årsredovisningen. Huvuddelen av myndigheterna bedömer att de har en betryggande intern styrning och kontroll. De myndigheter som bedömer att det finns en brist i den interna styrningen och kontrollen redovisar bristen men uttalar sig då inte om huruvida den interna styrningen och kontrollen är betryggande eller ej. En myndighet, e-hälsomyndigheten lämnar en felaktig bedömningsmening. Ingen enskild styrelseledamot har redovisat avvikande mening. 11 Socialstyrelsen ingår i redovisningen i avsnitt 3.1 och 3.2 men inte i senare avsnitt. 16

19 SÄKERSTÄLLD INTERN STYRNING OCH KONTROLL Tabell 4 visar att det finns brister i den interna styrningen och kontrollen, bristerna anges i punktform och att bristerna åtgärdas. Tabell 4 Bedömning med brister Myndigheter med brister i den interna styrningen och kontrollen Myndigheter som anger brister i punktform och kortfattat Myndigheter som redovisar hur brister åtgärdas Myndigheter som lämnar en hänvisning i underskriftsmeningen till hur brister åtgärdas Källa: Myndigheternas årsredovisningar, sammanställd i bilaga 3. Det är fortsatt få myndigheter som har bedömt att det finns brister i den interna styrningen och kontrollen. De brister som ändå förekommer avser i första hand myndighetens riskledning: Försäkringskassan har inte förmått att tillräckligt effektivt och systematiskt hantera de risker som finns inom området informationssäkerhet med effektiva kontrollåtgärder bristande identifiering och värdering av risker inom Karolinska institutet riskanalys har inte genomförts för hela verksamheten inom Polismyndigheten brister i genomförande av beslutade åtgärder, uppföljning och dokumentation i en av de större polisregionerna strukturerade kontrollåtgärder för regelefterlevnad inom Statens fastighetsverk. Det finns även brister i myndigheternas följsamhet till åtaganden och förpliktelser: bristande systematik i kontrollarbetet för att säkerställa korrekt ärendehandläggning inom Arbetsförmedlingen implementering av regelverk mot oegentligheter inom Statens fastighetsverk tillämpning av beslutande regelverk mot oegentligheter inom Statens fastighetsverk. Det finns även brister som kan hänföras till förvaltningen inom myndigheten: bristande internkontroll i en av de större polisregionerna avseende otydlighet om vilka styrdokument regionen (i och med omorganisationen) omfattas av brister i Polismyndighetens tidredovisning. Myndigheter som redovisar brister redovisar även de åtgärder som myndigheten vidtar för att hantera bristen. Det är positivt att myndigheterna redovisar brister när de bedömer att det är befogat. En redovisad brist indikerar att myndigheten har uppmärksammat ett problem eller 17

20 SÄKERSTÄLLD INTERN STYRNING OCH KONTROLL en svaghet i den interna styrningen och kontrollen och att de vill åtgärda den. Det interna styr- och kontrollsystemet är inte statiskt utan behöver utvecklas för att följa förändringar i verksamheten och hur den leds. Det är rimligt att brister i den interna styrningen och kontrollen identifieras och åtgärdas för att en sådan utveckling ska kunna säkras. Alla identifierade bristerna behöver dock inte vara av väsentlig betydelse för regeringens prövning av verksamheten. Dessa brister behöver därför inte alltid redovisas i årsredovisningen. Det är en brist när myndigheten inte följer processen för intern styrning och kontroll enligt förordningen om intern styrning och kontroll. Det är också en brist om myndighetsledningen inte har beslutat om arbetsordning eller verksamhetsplan för myndigheten 12, direktiv och riktlinjer till myndighetschefen för att leda verksamheten 13, revisionsplan och riktlinjer för internrevision av den interna styrningen och kontrollen 14 eller åtgärder med anledning av internrevisionens iakttagelser och rekommendationer 15. Det är inte i sig en brist i den interna styrningen och kontrollen om det har blivit fel i verksamheten på grund av att en omständighet som inte har kunnat förutses har fallit ut. Det är inte heller en brist i den interna styrningen och kontrollen om beslutade kontrollåtgärder ännu inte har hunnit införas om införandet följer beslutad plan eller om kontrollåtgärderna har visat sig vara otillräckliga trots en tidigare bedömning om det motsatta. Det är inte heller en brist om en accepterad risk faller ut om den ligger i linje med myndighetens riskacceptans eller om kostnaden för ett införande av kontrollåtgärden har bedömts överstiga den tänkta nyttan av den Myndigheterna informerar om risker och andra omständigheter för bedömningen ESV kan se att två tredjedelar av myndigheterna redovisar verksamhetens risker men att färre redovisar hur riskerna åtgärdas. Myndigheterna lämnar också en sammanfattande redovisning av de omständigheter som ligger till grund för ledningens bedömning av intern styrning och kontroll Myndighetsförordning (2007:515) Myndighetsförordning (2007:515) pkt. Internrevisionsförordning (2006:1228) pkt. Internrevisionsförordning (2006:1228). 16 I ESV:s handledning Ansvaret för intern styrning och kontroll (2012:46) s.21 beskriver ESV vad som räknas som en brist och vad som inte räknas som en brist. ESV har också på sin webbsida, under Intern styrning och kontroll, lämnat ett svar på en fråga om vad som är skillnaden mellan risk och brist inom intern styrning och kontroll. 18

21 SÄKERSTÄLLD INTERN STYRNING OCH KONTROLL Tabell 5 visar att myndigheterna redovisar risker och hur riskernas hanteras. Tabell 5 Redovisar risker Myndigheter som redovisar risker Myndigheter som redovisar hur risker hanteras Källa: Myndigheternas årsredovisningar, sammanställd i bilaga 3. Det är 41 myndigheter av 69 som redovisar risker i verksamheten. De flesta av dessa myndigheter redovisar också vilka åtgärder som vidtas med anledning av riskerna. Något färre myndigheter än föregående år redovisar hur riskerna åtgärdas. Det finns dock inte något krav att redovisa men om myndigheten redovisar risker är det bra att också redovisa vilka åtgärder som vidtas. Enligt ett allmänt råd kan myndigheter lämna en redovisning av risker och hur de ska hanteras. Det strider inte mot regelverket att inte lämna en sådan redovisning. Verksamheten är att fullgöra en uppgift, genomföra ett uppdrag eller eftersträva ett mål. En risk i verksamheten är ett hot mot att fullgöra en effektiv verksamhet, följa gällande rätt, god hushållning eller rättvisande och tillförlitlig redovisning. Risker i myndigheternas årsredovisningar beskrivs i de flesta fall som en konsekvens orsakad av en omständighet, till exempel risk för otillräcklig kompetensförsörjning på grund av personalomsättning. Det är ett tydligare sätt att beskriva risk än att enbart beskriva risk som orsak eller verkan. Riskerna i verksamheten är varierande och ofta verksamhetsspecifika. Flera av riskerna avser dock kompetensförsörjning och informationsförsörjning. Risker i lokalförsörjning förekommer men är inte lika vanliga. Riskerna förknippade med kompetensförsörjning 17 och lokalförsörjningen 18 är redan uppmärksammade. Risken för otillbörlig påverkan, bedrägeri eller annan oegentlighet är aktuella risker inom flera myndigheter. Risken framgår av Karolinska institutets årsredovisning som forskningsfusk. Fusk i forskning och utbildning är en sedan tidigare känd risk som sannolikt är en väsentlig risk inom många myndigheter. 19 Statens fastighetsverk redovisar att flera medarbetare har delgivits misstanke om trolöshet mot huvudman. Trolöshet mot regeringen är ett hot mot tillit och förtroende i verksamheten kap 3 förordning (2000:605) årsredovisning och budgetunderlag förordning (1993:528) om statliga myndigheters lokalförsörjning. 19 Som exempel på risk kan nämnas att Statens skolverk informerar om att det händer att information läcker om nationella prov innan det genomförs. Det kan dock vara svårt att finna denna information då det inte finns någon sammanställd redovisning av risker tillsammans med bedömningen av intern styrning och kontroll. Informationen som lämnas innebär att risken är accepterad genom att den hanteras med säkerhetsrutiner och sekretess och att risken hanteras skyndsamt när den inträffar. Styrdokument och prov. Skolverkets årsredovisning

22 SÄKERSTÄLLD INTERN STYRNING OCH KONTROLL Risk för otillräckliga anslag är en risk som myndigheten löpande ska följa upp och bedöma. Myndigheten ska anpassa verksamheten till anslaget och när det inte är möjligt informera regeringen och föreslå en åtgärd. Någon enstaka gång anges regerings- eller riksdagsbeslut som risk. Det är inte risk, oavsett hur beslutet påverkar verksamheten. Det är mål för verksamheten. Tabell 6 visar att myndigheterna redovisar omständigheter som ligger till grund för bedömningen. Tabell 6 Sammanfattande redovisning Myndigheter som redovisar omständigheter som ligger till grund för bedömningen Källa: Myndigheternas årsredovisningar, sammanställt i bilaga 3. Alla myndigheter utom en redovisar nu omständigheter som ligger till grund för bedömningen. Det förekommer att myndigheter redovisar sin internrevision som en grund för bedömningen. Internrevisionen har till syfte att granska och ge förslag till förbättringar av myndighetsledningens interna styrning och kontroll. Att myndighetens ledning använder sig av internrevision som ett underlag för sin bedömning är därför rimligt. Även om en myndighet inte specifikt nämnt internrevision som ett underlag för bedömningen i årsredovisningen kan internrevision ha utgjort ett underlag. Att en myndighetsledning inte har beaktat internrevisionens iakttagelser och rekommendationer vid sin bedömning kan utgöra en brist i den interna styrningen och kontrollen. 20

23 SÄKERSTÄLLD INTERN STYRNING OCH KONTROLL 3.3 Myndighetsledningen fullgör sitt ansvar för verksamheten ESV finner att myndighetsledningarna ger förutsättningar för en betryggande intern styrning och kontroll genom att besluta om hur verksamheten ska bedrivas och genom fördelning av ansvar och befogenheter i organisationen. ESV finner även att myndighetscheferna fullgör arbetsgivaransvaret bland annat med interna föreskrifter. Tabell 7 visar hur myndigheterna har beslutat om hur verksamheten ska styras och kontrolleras. Tabell 7 Närmare föreskrifter för verksamheten Myndighetsledningen har beslutat en arbetsordning för myndigheten Myndighetsledningen har beslutat en verksamhetsplan för myndigheten Myndigheten har de interna föreskrifter som behövs för att fortlöpande utveckla verksamheten Myndigheten har de interna föreskrifter som behövs för att genom samarbete med myndigheter och andra ta till vara de fördelar som kan vinnas för enskilda samt för staten som helhet Myndigheten har de interna föreskrifter som behövs för att tillhandahålla information om myndighetens verksamhet Myndigheten har de interna föreskrifter som behövs för att följa sådana förhållanden utanför myndigheten som har betydelse för verksamheten Myndighetschefen har de direktiv och riktlinjer som myndighetschefen behöver för att sköta den löpande verksamheten Myndighetschefen har de direktiv och riktlinjer som behövs för att hålla styrelsen informerad om verksamheten, förse styrelsen med underlag för beslut och verkställa styrelsen beslut Myndighetschefen har de direktiv och riktlinjer som behövs för att under styrelsen svara för myndighetens arbetsgivarpolitik och företräda myndigheten som arbetsgivare Källa: Svaren på frågorna 8 a i, sammanställt i bilaga 4. Myndigheterna har de interna föreskrifter som behövs i form av arbetsordning, verksamhetsplan och vad som behövs för att: utveckla verksamheten, samarbeta med andra myndigheter, informera om verksamheten samt för att följa förhållanden av betydelse för verksamheten. Myndigheterna har även direktiv och riktlinjer till myndighetschefen från styrelsen. 20 Uppgifterna har inhämtats från 67 av de 68 internrevisionsmyndigheterna. 21 Frågan avser de 37 styrelsemyndigheterna, jakande svar från enrådighetsmyndigheter har tagits bort. 22 Frågan avser de 37 styrelsemyndigheterna, jakande svar från enrådighetsmyndigheter har tagits bort. 23 Frågan avser de 37 styrelsemyndigheterna, jakande svar från enrådighetsmyndigheter har tagits bort. 21

24 SÄKERSTÄLLD INTERN STYRNING OCH KONTROLL Tabell 8 visar hur myndigheterna använder interna föreskrifter för arbetsgivaransvaret. Tabell 8 Närmare föreskrifter för anställda i myndigheten Myndigheten har de interna föreskrifter som behövs för att se till att de anställda är väl förtrogna med målen för verksamheten Myndigheten har de interna föreskrifter som behövs för att ta till vara och utveckla de anställdas kompetens och erfarenhet Myndigheten har de interna föreskrifter som behövs för att vid anställning fästa avseende bara vid sakliga grunder Myndigheten har de interna föreskrifter som behövs för att informera den anställde om vilka slags förhållanden som kan rubba förtroendet för opartiskhet i arbetet eller som kan skada myndighetens anseende Källa: Svaren på frågorna 9 a d, sammanställt i bilaga 4. Myndigheterna har de interna föreskrifter som behövs för arbetsgivaransvaret. Det är också en liten förbättring mot föregående år då inte alla myndigheter hade tillräckliga interna förskrifter. ESV har utifrån regeringsuppdrag 25 följt upp myndigheters digitala mognad. Utifrån den uppföljningen har ESV gjort en bedömning av att den interna styrningen och kontrollen visavi it och digitalisering behöver stärkas på många myndigheter. Vi har mot bakgrund av denna bedömning önskat ta del av myndigheternas bedömning av sin interna styrning och kontroll inom dessa områden. Tabell 9 visar hur myndigheterna har kontroll över digitaliseringen. Tabell 9 Myndighetens digitalisering Myndigheten har de styr- och uppföljningsprocesser som behövs för att upprätthålla en betryggande intern styrning och kontroll av myndighetens it-verksamhet Myndigheten har de styr- och uppföljningsprocesser som behövs för att upprätthålla en betryggande intern styrning och kontroll av myndighetens arbete med att utveckla verksamhetens processer med stöd av it (digitalisering) Internrevisionen har granskat hur myndigheten upprätthåller en betryggande intern styrning och kontroll av myndighetens it-verksamhet Internrevisionen har granskat hur myndigheten upprätthåller en betryggande intern styrning och kontroll av myndighetens arbete med att utveckla verksamhetens processer med stöd av it (digitalisering) Källa: Svaren på frågorna 10 a d, sammanställt i bilaga Socialstyrelsen har undantag från att besvara enkäten. 25 Uppdrag att fördjupa arbetet med jämförelser av it-kostnader och att kartlägga it-projekt med hög risk (N2015/738/EF) och Uppdrag att följa de statliga myndigheternas användning av it och hur myndigheterna tar tillvara digitaliseringens möjligheter (N2016/01642/EF). 22

25 SÄKERSTÄLLD INTERN STYRNING OCH KONTROLL Myndigheterna har redovisat att de har de processer som behövs för att upprätthålla en betryggande intern styrning och kontroll av it-verksamheten och utveckling av processerna med stöd av digitalisering. Inom de flesta myndigheterna har internrevisionen granskat intern styrning och kontroll inom myndighetens it-verksamhet. Inom fler än hälften av myndigheterna har internrevisionen granskat intern styrning och kontroll inom arbetet att utveckla verksamhetens processer med stöd av digitalisering. I ESV:s uppdrag från regeringen att följa de statliga myndigheternas användning av it och hur myndigheterna tar tillvara digitaliseringens möjligheter bedömer ESV, till skillnad från vad som har redovisats av myndigheterna ovan, att de deltagande myndigheterna behöver stärka sin interna styrning och kontroll av verksamhetsutvecklingen med stöd av it. Skälet för detta är bland annat att alltför många myndigheter vid en bedömning av sin mognad inte uppvisar acceptabla resultat inom tre centrala områden: strategi för it försörjning, portföljhantering och nyttorealisering. ESV menar att myndigheterna behöver förbättra sin förmåga inom dessa områden för att med rimlig säkerhet kunna fånga de behov som finns för att därmed kunna genomföra ett prioriterat utvecklingsarbete. De behöver också förbättra sin förmåga att realisera de nyttor som utvecklingen medför för att på så sätt skapa utrymme för en fortsatt vidareutveckling av verksamheten. Arbetet visade också att alltför få av de myndigheter som deltog i arbetet har fullgod kontroll på sina kostnader för it och att det finns ett för stort avstånd mellan ledning, verksamhet och it i för många myndigheter. En tolkning av den diskrepans som finns mellan ESV:s bedömning och den bedömning som myndigheterna har gjort är att myndigheterna ännu inte fullt ut har tagit till sig behovet av att förstärka ledningens förmåga att styra och följa upp digitaliseringen av myndigheternas verksamhet för att säkra att den genomförs i linje med de strategier myndigheterna har för sin verksamhet. ESV anser att det kan finnas anledning att föra en djupare diskussion om den interna styrningen och kontrollen av it-verksamheten i myndighetsdialogerna för att poängtera vikten av att myndigheternas ledningar tar ansvar för och adresserar de krav digitaliseringen ställer på ledningen när det gäller att utveckla sin styrning av verksamheten. 23

26 SÄKERSTÄLLD INTERN STYRNING OCH KONTROLL 3.4 Förvaltnings- och kontrollsystemen fungerar ESV har som revisionsmyndighet bedömt att myndigheternas förvaltnings- och kontrollsystem av medel från EU med delat ansvar fungerar. ESV granskar åtta myndigheter som förvaltar medel från EU med delat ansvar mellan Sverige och EU. 26 Granskningen omfattar bland annat myndighetens förvaltnings- och kontrollsystem. ESV har bedömt att myndigheternas förvaltnings- och kontrollsystem uppfyller kriterierna för att vara förvaltningsmyndighet av medel från EU. ESV:s system- och projektrevision styrker detta. För fem myndigheter finns ett tillägg med villkor om systemstöd och för en myndighet även om resurser för förvaltningen och kompetensförsörjning. Det ändrar dock inte ställningstagandet som sådant att förvaltnings- och kontrollsystemet fungerar. Mer om bedömningen finns i bilaga Migrationsverket, Polismyndigheten, Rådet för europeiska socialfonden i Sverige, Statens Jordbruksverk, Tillväxtverket samt Länsstyrelserna i Norrbottens, Västerbottens och Jämtlands län. 24

27 EN VÄL FUNGERANDE INTERNREVISION 4 En väl fungerande internrevision I detta kapitel berättar vi bland annat om hur myndigheterna tillämpar bestämmelserna om internrevision. Mer om vilken information vi hämtar in finns att läsa i bilaga Internrevisionen organiseras fristående Socialstyrelsen, E-hälsomyndigheten, Länsstyrelsen i Västerbottens län, Länsstyrelsen i Jämtlands län och Linnéuniversitetet har saknat en anställd internrevisionschef under stora delar av Med undantag av dessa fem myndigheter kan ESV konstatera att myndigheternas internrevision organiseras fristående med en anställd chef som leder internrevisionen. Myndigheternas ledning har även beslutat om riktlinjer och revisionsplan samt sett till att internrevisionen fått tillgång till de uppgifter och upplysningar som de behöver. För de flesta myndigheterna har en genomgång skett under året av myndighetens riktlinjer vilka även beslutats av myndighetens ledning. Tabell 10 visar hur myndigheterna organiserar sin internrevision. Tabell 10 Fristående organiserad internrevision Internrevisionen leds av en chef Internrevisionschefen är anställd av myndigheten Internrevisionen är inrättad direkt under myndighetsledningen Internrevisionen är självständig i förhållande till den granskade verksamheten Källa: Svaren på frågorna 1 a d, sammanställt i bilaga 4. Samtliga myndigheter har redovisat att internrevisionen leds av en chef och att internrevisionen är fristående organiserad och självständig i sin granskning och rapportering i förhållande till den granskade verksamheten. Alla myndigheter utom E-hälsomyndigheten har uppgett att internrevisionschefen är anställd i myndigheten. 27 E-hälsomyndigheten har anlitat konsult. 25