Styrelsens beskrivning av intern kontroll avseende den finansiella rapporteringen Vägledning till Svensk kod för bolagsstyrning Utgiven av arbetsgrupper från Svenskt Näringsliv respektive FAR, numera FAR SRS 17 oktober 2005 Version anpassad till Svensk kod för bolagsstyrning gällande från 1 juli 2008 8 september 2008
Innehåll 1. Bakgrund och syfte 3 2. Intern kontroll 3 2.1 Styrelsens ansvar enligt den svenska aktiebolagslagen 3 2.2 Styrelsens ansvar enligt Svensk kod för bolagsstyrning 4 2.3 Definition av intern kontroll 4 2.4 Intern kontroll avseende den finansiella rapporteringen 5 3. Styrelsens beskrivning av intern kontroll avseende den finansiella rapporteringen 6 3.1 Allmänna principer 6 3.2 Utformning av styrelsens beskrivning 6 3.2.1 Inledning 6 3.2.2 Beskrivning 7 3.2.3 Uttalande 7 Bilagor: 1 Exempel på disposition av styrelsens beskrivning 8 2 Ramverk för intern kontroll samt väsentliga områden relaterade till intern kontroll avseende den finansiella rapporteringen 9 3 Arbetsgrupper och arbetsprocess 12 4 Förändringar jämfört med tidigare version av vägledningen 13
Styrelsens beskrivning av intern kontroll avseende den finansiella rapporteringen Vägledning till Svensk kod för bolagsstyrning 1. Bakgrund och syfte Den s.k. Kodgruppen avlämnade i december 2004 Svensk kod för bolagsstyrning, SOU 2004:130, (koden). Koden har härefter förvaltats av Kollegiet för svensk bolagsstyrning (kollegiet) varvid koden i några avseenden vidareutvecklats genom uttalanden från kollegiet. Denna vägledning avser styrelsens beskrivning av intern kontroll avseende den finansiella rapporteringen och syftar till att underlätta styrelsens arbete med denna. Väsentliga utgångspunkter för vägledningen har varit de normer som formulerats i koden, utan att införa mera långtgående krav. Vägledningen skall inte ses som en statisk produkt. Behov och erfarenheter ändras över tiden liksom vad som betraktas som god sed inom området. Vägledningen förväntas därför bli föremål för översyn i takt med vunna erfarenheter och fortsatt utveckling av praxis både i Sverige och internationellt. Vägledningen har tagits fram av arbetsgrupper från Svenskt Näringsliv respektive FAR, numera FAR SRS, branschorganisationen för revisorer och rådgivare, se bilaga 3. Vägledningen har i september 2008 anpassats till den nya version av koden som gäller fr o m den 1 juli 2008, i övrigt har inga förändringar gjorts av det sakliga innehållet. Anpassningarna beskrivs i bilaga 4. 2. Intern kontroll 2.1 Styrelsens ansvar enligt den svenska aktiebolagslagen Enligt den svenska aktiebolagslagen (8 kap.) svarar styrelsen för bolagets organisation och förvaltningen av bolagets angelägenheter. Styrelsen skall se till att bolagets organisation är utformad så att bokföringen, medelsförvaltningen och bolagets ekonomiska förhållanden i övrigt kontrolleras på ett betryggande sätt. Styrelsen skall vidare i skriftliga instruktioner ange arbetsfördelningen mellan å ena sidan styrelsen och å andra sidan den verkställande direktören och de andra organ som styrelsen inrättar. Styrelsens ansvar och tillsynsskyldighet kan inte överlåtas på någon annan. Styrelsen skall fortlöpande bedöma bolagets och, om bolaget är moderbolag i en koncern, koncernens ekonomiska situation. 3
2.2 Styrelsens ansvar enligt Svensk kod för bolagsstyrning Styrelsen ansvarar för att bolaget har god intern kontroll och formaliserade rutiner som säkerställer att fastlagda principer för finansiell rapportering och intern kontroll efterlevs samt att bolagets finansiella rapportering är upprättad i överensstämmelse med lag, tillämpliga redovisningsstandarder och övriga krav på noterade bolag. Följande anges i koden beträffande rapportering om intern kontroll: 10.5 Styrelsen ska årligen lämna en beskrivning av de viktigaste inslagen i bolagets system för intern kontroll och riskhantering avseende den finansiella rapporteringen. 10.6 I bolag som inte har en särskild granskningsfunktion (internrevision) ska styrelsen årligen utvärdera behovet av en sådan funktion och i beskrivningen av den interna kontrollen motivera sitt ställningstagande. 11.2 Följande uppgifter ska lämnas i bolagsstyrningsrapporten, om de inte framgår av årsredovisningen:... * i ett särskilt avsnitt, styrelsens beskrivning av intern kontroll och riskhantering avseende den finansiella rapporteringen enligt 10.5. 2.3 Definition av intern kontroll Intern kontroll definieras vanligen enligt följande*): Intern kontroll är en process som påverkas av styrelsen, bolagsledningen och annan personal, och som utformats för att ge en rimlig försäkran om att bolagets mål uppnås inom följande kategorier: Ändamålsenlig och effektiv verksamhet Tillförlitlig finansiell rapportering Efterlevnad av tillämpliga lagar och förordningar Basen för intern kontroll är kontrollmiljön, som innefattar den kultur som styrelse och bolagsledning kommunicerar och verkar utifrån och som skapar disciplin och struktur för övriga komponenter i processen. Dessa komponenter innefattar riskbedömning inom de ramar styrelsen och bolagsledningen fastställt, kontrollaktiviteter inkluderande både övergripande och mer detaljerade kontroller som syftar till att förebygga, upptäcka och korrigera fel och avvikelser, system för intern och extern information och kommunikation samt uppföljning från styrelsen och bolagsledningen och vidare nedåt i organisationen för att säkerställa kvalitet i processen. I bilaga 2 kommenteras ramverk för intern kontroll. * ) COSO, 1992, se bilaga 2. 4
2.4 Intern kontroll avseende den finansiella rapporteringen Enligt koden är styrelsens beskrivning av intern kontroll avgränsad till den finansiella rapporteringen. Intern kontroll avseende finansiell rapportering är en process som utformats, antingen direkt eller genom överinseende, av styrelsen och bolagsledningen i syfte att ge rimlig säkerhet avseende tillförlitligheten i den externa finansiella rapporteringen och huruvida de finansiella rapporterna är framtagna i överensstämmelse med god redovisningssed, tillämpliga lagar och förordningar samt övriga krav på noterade bolag. Processen innefattar åtgärder som innebär att räkenskapsmaterial tas fram i en sådan omfattning och på ett sådant sätt att det ger en rättvisande bild av bolagets affärstransaktioner och nyttjandet av bolagets tillgångar, ger en rimlig säkerhet vad avser dels att affärstransaktioner är bokförda för att medge framtagande av finansiella rapporter i enlighet med god redovisningssed, tillämpliga lagar och förordningar samt övriga krav på noterade bolag, dels att endast vederbörligen godkända utgifter och inkomster belastat respektive kommit bolaget till del, ger en rimlig säkerhet vad gäller att förebygga eller i tid upptäcka icke godkända köp eller obehörig användning av bolagets tillgångar som kan ha väsentlig påverkan på bolagets finansiella rapporter. Begreppet rimlig säkerhet refererar till det faktum att interna kontroller, även om de är ändamålsenligt utformade och väl implementerade, inte kan ge fullständig säkerhet om att inga väsentliga fel uppstår. Det finns inneboende begränsningar i interna kontroller som kan hänföras till exempelvis mänskliga fel, bedrägerier och medvetna avsteg från beslutade kontroller. Begreppet väsentlighet tar sin utgångspunkt i att information brukar anses vara väsentlig om ett utelämnande eller ett fel kan påverka de beslut som användaren fattar på basis av informationen i de finansiella rapporterna. Graden av väsentlighet beror på postens eller felets storlek och på omständigheterna kring utelämnandet eller felet. Den interna kontrollen i det enskilda bolaget och utvärderingen av denna anpassas till den riskbedömning som styrelsen och bolagsledningen gör, med beaktande av att kontrollaktiviteterna säkerställer att grundläggande krav på de finansiella rapporterna uppfylls, s.k. räkenskapspåståenden, se bilaga 2. 5
3. Styrelsens beskrivning av intern kontroll avseende den finansiella rapporteringen I koden föreskrivs inte obligatorisk tillämpning av något etablerat ramverk för intern kontroll. I syfte att få en enhetlig nomenklatur och struktur i vägledningen tar denna sin utgångspunkt i ett etablerat ramverk, se bilaga 2. Denna nomenklatur och struktur bör enkelt kunna relateras till respektive bolags egna förhållanden. Koden eller vägledningen omfattar inte frågor som rör allmänna kriterier för det praktiska arbetet inom området intern kontroll, exempelvis beträffande väsentlighet*). I det följande beskrivs vägledande principer för utformningen av styrelsens beskrivning av intern kontroll avseende den finansiella rapporteringen**). 3.1 Allmänna principer Styrelsens beskrivning utformas med utgångspunkt i övergripande krav på att informationen på ett rättvisande och väsentlighetsorienterat sätt beskriver förhållanden av betydelse vid bedömningen av hur den interna kontrollen avseende den finansiella rapporteringen är organiserad. Styrelsens beskrivning utformas utifrån bolagets förhållanden och karaktäriseras av öppenhet. Styrelsens beskrivning omfattar det senaste räkenskapsåret. 3.2 Utformning av styrelsens beskrivning 3.2.1 Inledning Styrelsen anger i inledningen till beskrivningen att styrelsen enligt den svenska aktiebolagslagen och Svensk kod för bolagsstyrning ansvarar för den interna kontrollen samt att styrelsens beskrivning har upprättats i enlighet med avsnitt 10.5 och 10.6 i Svensk kod för bolagsstyrning och därmed är avgränsad till intern kontroll avseende den finansiella rapporteringen. Vidare anger styrelsen att beskrivningen inte utgör del av de formella årsredovisningshandlingarna. I bilaga 1 visas ett exempel på inledande text. * ) Kriterier för väsentlighet används exempelvis för riskbedömning, för etablering av kontrollnivåer, för omfattning av eventuell testning av kontroller, för utvärdering av brister och för erforderliga åtgärder vid eventuella brister. ** ) Styrelsens beskrivning av intern kontroll avser finansiell rapportering i form av kvartalsrapporter, bokslutskommuniké och lagstadgad årsredovisning. 6
3.2.2 Beskrivning Styrelsen beskriver övergripande hur den interna kontrollen avseende den finansiella rapporteringen är organiserad med beaktande av bolagets specifika verksamhet och förhållanden. Beskrivningen relateras till väsentliga områden gällande den interna kontrollen avseende den finansiella rapporteringen, se bilaga 2: Kontrollmiljö Riskbedömning Kontrollaktiviteter Information och kommunikation Uppföljning Om bolaget tillämpar ett etablerat ramverk för intern kontroll anges detta. Styrelsen beaktar i sin beskrivning även väsentliga förändringar i förhållande till föregående räkenskapsår. Om det finns en särskild granskningsfunktion (internrevision) vars arbete innefattar granskning av intern kontroll avseende den finansiella rapporteringen, inkluderas en beskrivning av funktionens arbetsområden som en del av bolagets uppföljning, hur beslut tas om inriktningen på funktionens arbete, liksom till vem funktionen rapporterar. 3.2.3 Uttalande I bolag som inte har en särskild granskningsfunktion (internrevision) vars arbete innefattar granskning av intern kontroll avseende den finansiella rapporteringen, gör styrelsen en årlig utvärdering av behovet av en sådan funktion. Styrelsen uttalar sin slutsats från utvärderingen och motiverar sitt ställningstagande. I bilaga 1 visas exempel på disposition av avsnittet med styrelsens beskrivning. 7
Exempel på disposition av styrelsens beskrivning Bilaga 1 Styrelsens beskrivning av intern kontroll avseende den finansiella rapporteringen för räkenskapsåret 20XX Inledning Styrelsen ansvarar enligt den svenska aktiebolagslagen och Svensk kod för bolagsstyrning för den interna kontrollen. Denna beskrivning har upprättats i enlighet med Svensk kod för bolagsstyrning, avsnitt 10.5 och 10.6, och är därmed avgränsad till intern kontroll avseende den finansiella rapporteringen. Denna beskrivning utgör inte del av de formella årsredovisningshandlingarna. Beskrivning [Kontrollmiljö* ) xxx... xxx] [Riskbedömning* ) xxx... xxx] [Kontrollaktiviteter* ) xxx... xxx] [Information och kommunikation* ) xxx... xxx] [Uppföljning* ) xxx... xxx]. [Uttalande] [I bolag som inte har en särskild granskningsfunktion (internrevision) uttalar styrelsen sin slutsats från utvärderingen av behovet av en sådan funktion och motiverar sitt ställningstagande]. [A-stad 20XY-MM-DD ** ) N.N. N.N. N.N] * ) Benämningen på de väsentliga områden den interna kontrollen innefattar behöver inte användas som rubriker, utan används i denna vägledning för att visa områden som rapporten förväntas innefatta. ** ) Behov av styrelsens underskrift föreligger normalt endast i de fall då styrelsen valt att låta revisor översiktligt granska beskrivningen. 8
Bilaga 2 Ramverk för intern kontroll samt väsentliga områden relaterade till intern kontroll avseende den finansiella rapporteringen Ramverk för intern kontroll Ramverk för intern kontroll tillhandahåller en gemensam nomenklatur och struktur för viktiga delar i det praktiska arbetet med intern kontroll och utvärderingen av denna i enlighet med styrelsens och bolagsledningens intentioner. Ett ramverk underlättar vid kommunikation internt och externt och kan användas i tillämpliga delar, inte minst för att möjliggöra slutsatser om ändamålsenlighet, effektivitet och funktionalitet. Beslut om tillvägagångssätt och åtgärder i det enskilda bolaget är och förblir dock en fråga för styrelse och bolagsledning. Det ramverk som fått den största spridningen, är internationellt etablerat och intar en särskild position, är Internal Control - Integrated Framework, COSO, lanserat 1992 av The Committee of Sponsoring Organizations of the Treadway Commission (COSO). I denna kommitté var olika intressentkategorier företrädda, inklusive näringslivet, vilket bidragit till en bred förankring av COSO som ramverk. Även the Turnbull Guidance från England bygger på COSO. Turnbull är en vägledning från 1999 avseende intern kontroll kopplad till the Combined Code, utgiven av ICAEW (The Institute of Chartered Accountants in England & Wales). COSO beskriver den interna kontrollen som uppdelad på fem s.k. komponenter: Kontrollmiljö (Control Environment) Riskbedömning (Risk Assessment) Kontrollaktiviteter (Control Activities) Information och kommunikation (Information & Communication) Uppföljning (Monitoring) Nedan lämnas övergripande beskrivningar av väsentliga områden inom respektive komponent gällande den interna kontrollen avseende den finansiella rapporteringen. Beskrivningarna stödjer målkategorierna tillförlitlig finansiell rapportering och efterlevnad av tillämpliga lagar och förordningar kopplade till den finansiella rapporteringen. För fördjupad vägledning hänvisas till www.coso.org. Väsentliga områden Kontrollmiljö Kontrollmiljön utgör basen för bolagets interna kontroll. Kontrollmiljön innefattar den kultur som styrelse och bolagsledning kommunicerar och verkar utifrån och omfattar i huvudsak integritet och etiska värderingar, kompetens, ledningsfilosofi och stil, organisationsstruktur, ansvar och befogenheter, personalpolicies och rutiner samt skapar disciplin och struktur för övriga komponenter. 9
Bilaga 2 En viktig del av kontrollmiljön är att beslutsvägar, befogenheter och ansvar är tydligt definierade och kommunicerade mellan olika nivåer i organisationen samt att styrande dokument i form av interna policies, riktlinjer, manualer och koder omfattar alla identifierade väsentliga områden och att dessa ger erforderlig vägledning till olika befattningshavare inom bolaget. Riskbedömning En strukturerad riskbedömning möjliggör identifiering av de väsentliga riskerna som påverkar den interna kontrollen avseende den finansiella rapporteringen samt identifiering av var dessa risker finns på såväl bolags-, affärsenhets-, funktions- som på processnivå. Vid riskbedömningen tas särskild hänsyn till risken för oegentligheter och otillbörligt gynnande av annan part på bolagets bekostnad samt risk för förlust eller förskingring av tillgångar. Riskbedömningen resulterar i kontrollmål som stödjer att de grundläggande kraven på de finansiella rapporterna uppfylls, s.k. räkenskapspåståenden. Exempel på sådana ges nedan. Existens: en tillgång eller skuld existerar vid ett givet datum Inträffande: en affärstransaktion eller händelse har ägt rum under perioden och hänför sig till bolaget Fullständighet: det finns inga tillgångar, skulder, affärstransaktioner som inte är bokförda eller poster för vilka erforderliga upplysningar saknas Värdering: en tillgång eller skuld är bokförd och värderad enligt god redovisningssed samt tillämpliga lagar och förordningar Mätning: affärstransaktioner är bokförda till rätt belopp och en intäkt eller kostnad är hänförd till rätt period Rättigheter och förpliktelser: en tillgång eller skuld hänför sig till bolaget vid ett givet datum Presentation och upplysning: en post är klassificerad och beskriven enligt god redovisningssed, tillämpliga lagar och förordningar, samt krav på noterade bolag. Verksamheten arbetar utifrån kontrollmålen för att hantera riskerna inom de ramar styrelsen och bolagsledningen fastställt. Riskbedömningen uppdateras löpande för att omfatta förändringar som väsentligen påverkar den interna kontrollen avseende den finansiella rapporteringen. Kontrollaktiviteter Kontrollaktiviteter som lever upp till de fastställda kontrollmålen utformas för att hantera väsentliga risker avseende den finansiella rapporteringen inklusive väsentliga redovisningsprinciper som identifierats under riskbedömningen. Ändamålsenliga kontrollaktiviteter utformas och dokumenteras på såväl bolags-, affärsenhets-, funktions- som på processnivå och inkluderar både övergripande och mer detaljerade kontroller som syftar till att förebygga, upptäcka och korrigera fel och avvikelser. Vid utformning av kontrollaktiviteterna säkerställs att de utförs på rätt sätt och i rätt tid. Generella IT-kontroller är ändamålsenligt utformade för de system som stödjer de processer som påverkar intern kontroll avseende den finansiella rapporteringen. För verksamhet som utförs för bolagets räkning av tredje part har ändamålsenliga kontrollaktiviteter utformats. 10
Bilaga 2 Områden som omfattas av kontrollaktiviteter är exempelvis: behörigt godkännande av affärstransaktioner affärssystem som påverkar den finansiella rapporteringen inklusive verifikationshantering redovisningsprocessen inklusive bokslut och eventuell koncernredovisning och dess överensstämmelse med tillämpliga regelverk i form av god redovisningssed, tillämpliga lagar och förordningar samt krav på noterade bolag väsentliga och ovanliga eller komplicerade affärstransaktioner samt affärstransaktioner eller värderingar av tillgångar eller skulder som inrymmer väsentliga element av bedömning. Information och kommunikation Bolagets informations- och kommunikationsvägar, till den del de omfattar intern kontroll avseende den finansiella rapporteringen, är ändamålsenliga och kända samt möjliggör rapportering och återkoppling från verksamheten till styrelse och bolagsledning. Interna policies, riktlinjer, manualer och koder är kommunicerade till rätt personer i verksamheten och såväl innebörden som konsekvenser vid avsteg förstås. Uppföljning En ändamålsenlig process finns för löpande uppföljning och årlig utvärdering av efterlevnaden av interna policies, riktlinjer, manualer och koder samt av ändamålsenlighet och funktionalitet i etablerade kontrollaktiviteter. En särskild process finns för uppföljning av att rapporterade brister åtgärdas. 11
Bilaga 3 Arbetsgrupper och arbetsprocess Arbetsgrupper från Svenskt Näringsliv respektive FAR, numera FAR SRS, branschorganisationen för revisorer och rådgivare, har tillsammans arbetat fram vägledningen för styrelsens beskrivning av intern kontroll avseende den finansiella rapporteringen. Arbetet utfördes i ett första steg under våren 2005 varefter ett utkast 2005-06-17 remissbehandlades. Remisstiden gick ut 2005-09-15 och härefter togs den slutliga vägledningen fram. Utfallet av remissbehandlingen och de överväganden som detta föranledde redovisas i ett separat dokument, Remissbehandling, styrelsens rapport om intern kontroll avseende den finansiella rapporteringen, 2005-10-17. Grupp från Svenskt Näringsliv Carl-Gustaf Burén, Svenskt Näringsliv (samordnare) Heléne Bergquist, Electrolux Anders Bergstrand, Nordea Torbjörn Boije, Scania Kjell Falkenström, JM Tomas Hedström, SCA Lars Jacobsson, Ericsson Gun-Britt Larsson, Volvo Anna Ohlsson-Leijon, Electrolux Torbjörn Spector, Svenskt Näringsliv Elisabeth Styf, Skandia Monalotte Theorell Christofferson, Investor Grupp från FAR, numera FAR SRS Anders Malmeby, KPMG (samordnare) Anders Hult, Deloitte Anders Lundin, Öhrlings PricewaterhouseCoopers Håkan Molin, Ernst & Young Gruppen från FAR, numera FAR SRS, har biträtts av Katja Severin Danielsson, ÖPwC, Helene Strid, KPMG, Ingemar Lock, E&Y samt Michael Bernhardtz, Deloitte. Deltagarna i arbetsgrupperna bidrar med sina personliga erfarenheter och representerar således inte respektive företag och organisation. Vägledningen har i september 2008 anpassats till den nya version av koden som gäller fr o m den 1 juli 2008, i övrigt har inga förändringar gjorts av det sakliga innehållet. Mot bakgrund av det senare har justeringarna behandlats av respektive samordnare enligt ovan. Anpassningarna beskrivs i bilaga 4. 12
Bilaga 4 Förändringar jämfört med tidigare version av vägledningen Föreliggande ny version av vägledningen utgör en anpassning av vägledningen till den nya versionen av Svensk kod för bolagsstyrning som publicerades av Kollegiet för svensk bolagsstyrning i maj 2008 att gälla fr o m den 1 juli 2008. Vägledningens sakliga innehåll i övrigt har inte förändrats. Det bör noteras att styrelsens rapport om intern kontroll enligt koden i ursprunglig version numera utgörs av ett särskilt avsnitt i styrelsens bolagsstyrningsrapport. Vidare kan noteras att i den nu gällande koden används begreppet styrelsens beskrivning av intern kontroll och riskhantering avseende den finansiella rapporteringen. I vägledningen används språkbruket styrelsens beskrivning av intern kontroll avseende den finansiella rapporteringen alternativt det kortare begreppet med motsvarande syftning, styrelsens beskrivning av intern kontroll. Vägledningens språkbruk betingas av att intern kontroll innefattar riskhantering. I vägledningen har referensen till FAR justerats med hänsyn till att organisationen bytt namn till FAR SRS. Referenserna nedan till koden avser den nya kodversionen. Avsnitt Ändring 1 Första stycket har modifierats, vidare har ett nytt sista stycke lagts till. I det senare kommenteras den nya vägledningsversionen. 2.2 Tidigare ingress har ersatts med ingress hämtad från avsnitt 10 i koden. Kodreglerna 10.5 och 10.6 har ersatt reglerna 3.7.1 3.7.3 i tidigare kod. Vidare har sista punkten i regel 11.2 lagts in. 3 Tidigare stycke två och tre hänförde sig till ursprungligt krav i koden på särskilt uttalande från styrelsen om hur väl den interna kontrollen har fungerat. Har ersatts med ett nytt stycke två. 3.1 Fjärde punkten har utgått mot bakgrund av kodens stadganden i regel 11.2. 3.2.1 Referensen till reglerna 3.7.2 och 3.7.3 har ersatts med referens till reglerna 10.5 och 10.6. 3.2.3 Den tidigare punkten 1 har tagits bort mot bakgrund av att koden ändrats. Bilaga 1 I inledningsavsnittet har referenserna till reglerna 3.7.2 och 3.7.3 ersatts med en referens till reglerna 10.5 och 10.6. I avsnittet Uttalande har det första stycket tagits bort mot bakgrund av att koden ändrats. Bilaga 2 Bilaga 3 Sista stycket har tagits bort mot bakgrund av att koden ändrats. Anpassningsarbetet har kommenterats i ett nytt sista stycke. 13