Styrelsens rapport om intern kontroll avseende den finansiella rapporteringen Vägledning till Svensk kod för bolagsstyrning FAR är föreningen för revisionsbyråbranschen
Styrelsens rapport om intern kontroll avseende den finansiella rapporteringen Vägledning till Svensk kod för bolagsstyrning Utgiven av arbetsgrupper från Svenskt Näringsliv respektive FAR 17 oktober 2005
Innehåll 1. Bakgrund och syfte 5 2. Intern kontroll 5 2.1 Styrelsens ansvar enligt den svenska aktiebolagslagen 5 2.2 Styrelsens ansvar enligt Svensk kod för bolagsstyrning 6 2.3 Definition av intern kontroll 6 2.4 Intern kontroll avseende den finansiella rapporteringen 7 3. Styrelsens rapport om intern kontroll avseende den finansiella rapporteringen 8 3.1 Allmänna principer 8 3.2 Utformning av styrelsens rapport 8 3.2.1 Inledning 8 3.2.2 Beskrivning 9 3.2.3 Uttalande 9 Bilagor: 1 Exempel på disposition av styrelsens rapport 11 2 Ramverk för intern kontroll samt väsentliga områden relaterade till intern kontroll avseende den finansiella rapporteringen 12 3 Arbetsgrupper och arbetsprocess 15 3
4
Styrelsens rapport om intern kontroll avseende den finansiella rapporteringen Vägledning till Svensk kod för bolagsstyrning 1. Bakgrund och syfte Den s.k. Kodgruppen avlämnade i december 2004 Svensk kod för bolagsstyrning, SOU 2004:130, (koden). I koden anges bl.a. att styrelsen årligen skall avge en rapport om hur den interna kontrollen till den del den avser den finansiella rapporteringen är organiserad och hur väl den har fungerat under det senaste räkenskapsåret (i koden benämnd rapport om intern kontroll). Rapporten skall granskas av bolagets revisor. I koden anges också att styrelsen skall avge en särskild rapport om bolagsstyrningsfrågor (bolagsstyrningsrapport) och att det av denna skall framgå om den är granskad av bolagets revisor. Båda rapporterna samt revisorns granskningsberättelse(-r) skall fogas till bolagets årsredovisning men utgör inte del av de formella årsredovisningshandlingarna. Denna vägledning avser styrelsens rapport om intern kontroll avseende den finansiella rapporteringen och syftar till att underlätta styrelsens arbete med denna. Väsentliga utgångspunkter för vägledningen har varit de normer som formulerats i koden, utan att införa mera långtgående krav. Vägledningen skall inte ses som en statisk produkt. Behov och erfarenheter ändras över tiden liksom vad som betraktas som god sed inom området. Vägledningen förväntas därför bli föremål för översyn i takt med vunna erfarenheter och fortsatt utveckling av praxis både i Sverige och internationellt. Vägledningen har tagits fram av arbetsgrupper från Svenskt Näringsliv respektive FAR, föreningen för revisionsbyråbranschen, se bilaga 3. 2. Intern kontroll 2.1 Styrelsens ansvar enligt den svenska aktiebolagslagen Enligt den svenska aktiebolagslagen (8 kap.) svarar styrelsen för bolagets organisation och förvaltningen av bolagets angelägenheter. Styrelsen skall se till att bolagets organisation är utformad så att bokföringen, medelsförvaltningen och bolagets ekonomiska förhållanden i övrigt kontrolleras på ett betryggande sätt. Styrelsen skall vidare i skriftliga instruktioner ange arbetsfördelningen mellan å ena sidan styrelsen och å andra sidan den verkställande direktören och de andra organ som styrelsen inrättar. Styrelsens ansvar och tillsynsskyldighet kan inte överlåtas på någon annan. Styrelsen skall fortlöpande bedöma bolagets och, om bolaget är moderbolag i en koncern, koncernens ekonomiska situation. 5
2.2 Styrelsens ansvar enligt Svensk kod för bolagsstyrning Styrelsens övergripande uppgift är enligt koden att för ägarnas räkning förvalta bolagets angelägenheter på ett sådant sätt att ägarnas intresse av långsiktigt god kapitalavkastning tillgodoses på bästa möjliga sätt. Styrelsen ansvarar också för att bolagets finansiella rapportering är upprättad i överensstämmelse med lag, tillämpliga redovisningsstandarder och övriga krav på noterade bolag. Vidare ansvarar styrelsen för bolagets interna kontroll, vars övergripande syfte är att skydda ägarnas investering och bolagets tillgångar. Följande anges i koden beträffande intern kontroll: 3.7.1 Styrelsen skall se till att bolaget har god intern kontroll och fortlöpande hålla sig informerad om och utvärdera hur bolagets system för intern kontroll fungerar. 3.7.2 Styrelsen skall årligen avge en rapport över hur den interna kontrollen till den del den avser den finansiella rapporteringen är organiserad och hur väl den har fungerat under det senaste räkenskapsåret. Rapporten skall granskas av bolagets revisor. 3.7.3 I bolag som inte har en särskild granskningsfunktion (internrevision) skall styrelsen årligen utvärdera behovet av en sådan funktion och i sin rapport över den interna kontrollen motivera sitt ställningstagande. 2.3 Definition av intern kontroll Intern kontroll definieras vanligen enligt följande* ) : Intern kontroll är en process som påverkas av styrelsen, bolagsledningen och annan personal, och som utformats för att ge en rimlig försäkran om att bolagets mål uppnås inom följande kategorier: Ändamålsenlig och effektiv verksamhet Tillförlitlig finansiell rapportering Efterlevnad av tillämpliga lagar och förordningar Basen för intern kontroll är kontrollmiljön, som innefattar den kultur som styrelse och bolagsledning kommunicerar och verkar utifrån och som skapar disciplin och struktur för övriga komponenter i processen. Dessa komponenter innefattar riskbedömning inom de ramar styrelsen och bolagsledningen fastställt, kontrollaktiviteter inkluderande både övergripande och mer detaljerade kontroller som syftar till att förebygga, upptäcka och korrigera fel och avvikelser, system för intern och extern information och kommunikation samt uppföljning från styrelsen och bolagsledningen och vidare nedåt i organisationen för att säkerställa kvalitet i processen. I bilaga 2 kommenteras ramverk för intern kontroll. * ) COSO, 1992, se bilaga 2. 6
2.4 Intern kontroll avseende den finansiella rapporteringen Enligt koden är styrelsens rapport om intern kontroll avgränsad till den finansiella rapporteringen. Intern kontroll avseende finansiell rapportering är en process som utformats, antingen direkt eller genom överinseende, av styrelsen och bolagsledningen i syfte att ge rimlig säkerhet avseende tillförlitligheten i den externa finansiella rapporteringen och huruvida de finansiella rapporterna är framtagna i överensstämmelse med god redovisningssed, tillämpliga lagar och förordningar samt övriga krav på noterade bolag. Processen innefattar åtgärder som innebär att räkenskapsmaterial tas fram i en sådan omfattning och på ett sådant sätt att det ger en rättvisande bild av bolagets affärstransaktioner och nyttjandet av bolagets tillgångar, ger en rimlig säkerhet vad avser dels att affärstransaktioner är bokförda för att medge framtagande av finansiella rapporter i enlighet med god redovisningssed, tillämpliga lagar och förordningar samt övriga krav på noterade bolag, dels att endast vederbörligen godkända utgifter och inkomster belastat respektive kommit bolaget till del, ger en rimlig säkerhet vad gäller att förebygga eller i tid upptäcka icke godkända köp eller obehörig användning av bolagets tillgångar som kan ha väsentlig påverkan på bolagets finansiella rapporter. Begreppet rimlig säkerhet refererar till det faktum att interna kontroller, även om de är ändamålsenligt utformade och väl implementerade, inte kan ge fullständig säkerhet om att inga väsentliga fel uppstår. Det finns inneboende begränsningar i interna kontroller som kan hänföras till exempelvis mänskliga fel, bedrägerier och medvetna avsteg från beslutade kontroller. Begreppet väsentlighet tar sin utgångspunkt i att information brukar anses vara väsentlig om ett utelämnande eller ett fel kan påverka de beslut som användaren fattar på basis av informationen i de finansiella rapporterna. Graden av väsentlighet beror på postens eller felets storlek och på omständigheterna kring utelämnandet eller felet. Den interna kontrollen i det enskilda bolaget och utvärderingen av denna anpassas till den riskbedömning som styrelsen och bolagsledningen gör, med beaktande av att kontrollaktiviteterna säkerställer att grundläggande krav på de finansiella rapporterna uppfylls, s.k. räkenskapspåståenden, se bilaga 2. 7
3. Styrelsens rapport om intern kontroll avseende den finansiella rapporteringen I koden föreskrivs inte obligatorisk tillämpning av något etablerat ramverk för intern kontroll. I syfte att få en enhetlig nomenklatur och struktur i vägledningen tar denna sin utgångspunkt i ett etablerat ramverk, se bilaga 2. Denna nomenklatur och struktur bör enkelt kunna relateras till respektive bolags egna förhållanden. Styrelsen skall enligt koden i sin rapport uttala sig om hur väl den interna kontrollen avseende den finansiella rapporteringen fungerat under det senaste räkenskapsåret. I koden berörs inte kriterier för att underbygga detta uttalande, exempelvis begreppet väsentlighet* ). I denna vägledning föreskrivs inte användning av ett etablerat ramverk och ovan nämnda kriterier för att underbygga styrelsens uttalande. Beslut härom är en fråga för styrelse och bolagsledning. Detta innebär bl.a. att vägledningen inte omfattar standardiserade uttalanden för hur väl den interna kontrollen avseende den finansiella rapporteringen fungerat. I det följande beskrivs vägledande principer för utformningen av styrelsens rapport om intern kontroll avseende den finansiella rapporteringen** ). 3.1 Allmänna principer Styrelsens rapport utformas med utgångspunkt i övergripande krav på att informationen på ett rättvisande och väsentlighetsorienterat sätt beskriver förhållanden av betydelse vid bedömningen av hur den interna kontrollen avseende den finansiella rapporteringen är organiserad och hur väl denna fungerat. Styrelsens rapport utformas utifrån bolagets förhållanden och karaktäriseras av öppenhet. Styrelsens rapport omfattar det senaste räkenskapsåret. Styrelsens rapport utformas så att den kan läsas som ett publikt, fristående dokument utan korsreferenser. Vid utformningen av beskrivning och uttalande beaktas att rapporten har en juridisk innebörd såväl i Sverige som i andra tillämpliga jurisdiktioner. 3.2 Utformning av styrelsens rapport 3.2.1 Inledning Styrelsen anger i inledningen till rapporten att styrelsen enligt den svenska aktiebolagslagen och Svensk kod för bolagsstyrning ansvarar för den interna kontrollen samt att styrelsens rapport har upprättats i enlighet med avsnitt 3.7.2 och 3.7.3 i Svensk kod för bolagsstyrning och därmed är avgränsad till intern kontroll avseende den finansiella rapporteringen. Vidare anger styrelsen att rapporten inte utgör del av de formella årsredovisningshandlingarna. I bilaga 1 visas ett exempel på inledande text. * ) Kriterier för väsentlighet används exempelvis för riskbedömning, för etablering av kontrollnivåer, för omfattning av eventuell testning av kontroller, för utvärdering av brister och för erforderliga åtgärder vid eventuella brister. ** ) Styrelsens rapport om intern kontroll avser finansiell rapportering i form av kvartalsrapporter, bokslutskommuniké och lagstadgad årsredovisning. 8
3.2.2 Beskrivning Styrelsen beskriver övergripande hur den interna kontrollen avseende den finansiella rapporteringen är organiserad med beaktande av bolagets specifika verksamhet och förhållanden. Beskrivningen relateras till väsentliga områden gällande den interna kontrollen avseende den finansiella rapporteringen, se bilaga 2: Kontrollmiljö Riskbedömning Kontrollaktiviteter Information och kommunikation Uppföljning Om bolaget tillämpar ett etablerat ramverk för intern kontroll anges detta. Styrelsen beaktar i sin beskrivning även väsentliga förändringar i förhållande till föregående räkenskapsår. Om det finns en särskild granskningsfunktion (internrevision) vars arbete innefattar granskning av intern kontroll avseende den finansiella rapporteringen, inkluderas en beskrivning av funktionens arbetsområden som en del av bolagets uppföljning, hur beslut tas om inriktningen på funktionens arbete, liksom till vem funktionen rapporterar. 3.2.3 Uttalande Styrelsen uttalar sin slutsats från utvärderingen av hur väl den interna kontrollen avseende den finansiella rapporteringen fungerat under det senaste räkenskapsåret. Om väsentliga brister noterats redovisas dessa liksom eventuella konsekvenser för den finansiella rapporteringen samt vilka åtgärder som vidtagits eller planerats för att hantera bristerna. I bolag som inte har en särskild granskningsfunktion (internrevision) vars arbete innefattar granskning av intern kontroll avseende den finansiella rapporteringen, gör styrelsen en årlig utvärdering av behovet av en sådan funktion. Styrelsen uttalar sin slutsats från utvärderingen och motiverar sitt ställningstagande. I bilaga 1 visas exempel på disposition av styrelsens rapport. 9
10
Bilaga 1 Exempel på disposition av styrelsens rapport Styrelsens rapport om intern kontroll avseende den finansiella rapporteringen för räkenskapsåret 20XX Inledning Styrelsen ansvarar enligt den svenska aktiebolagslagen och Svensk kod för bolagsstyrning för den interna kontrollen. Denna rapport har upprättats i enlighet med Svensk kod för bolagsstyrning, avsnitt 3.7.2 och 3.7.3, och är därmed avgränsad till intern kontroll avseende den finansiella rapporteringen. Denna rapport utgör inte del av de formella årsredovisningshandlingarna. Beskrivning [Kontrollmiljö* ) xxx... xxx] [Riskbedömning* ) xxx... xxx] [Kontrollaktiviteter* ) xxx... xxx] [Information och kommunikation* ) xxx... xxx] [Uppföljning* ) xxx... xxx]. Uttalande [Styrelsen uttalar sin slutsats från utvärderingen av hur väl den interna kontrollen avseende den finansiella rapporteringen fungerat under räkenskapsåret 20XX.] [I bolag som inte har en särskild granskningsfunktion (internrevision) uttalar styrelsen sin slutsats från utvärderingen av behovet av en sådan funktion och motiverar sitt ställningstagande.] A-stad 20XY-MM-DD N.N. N.N. N.N. * ) Benämningen på de väsentliga områden den interna kontrollen innefattar behöver inte användas som rubriker, utan används i denna vägledning för att visa områden som rapporten förväntas innefatta. 11
Bilaga 2 Ramverk för intern kontroll samt väsentliga områden relaterade till intern kontroll avseende den finansiella rapporteringen Ramverk för intern kontroll Ramverk för intern kontroll tillhandahåller en gemensam nomenklatur och struktur för viktiga delar i det praktiska arbetet med intern kontroll och utvärderingen av denna i enlighet med styrelsens och bolagsledningens intentioner. Ett ramverk underlättar vid kommunikation internt och externt och kan användas i tillämpliga delar, inte minst för att möjliggöra slutsatser om ändamålsenlighet, effektivitet och funktionalitet. Beslut om tillvägagångssätt och åtgärder i det enskilda bolaget är och förblir dock en fråga för styrelse och bolagsledning. Det ramverk som fått den största spridningen, är internationellt etablerat och intar en särskild position, är Internal Control Integrated Framework, COSO, lanserat 1992 av The Committee of Sponsoring Organizations of the Treadway Commission (COSO). I denna kommitté var olika intressentkategorier företrädda, inklusive näringslivet, vilket bidragit till en bred förankring av COSO som ramverk. Även the Turnbull Guidance från England bygger på COSO. Turnbull är en vägledning från 1999 avseende intern kontroll kopplad till the Combined Code, utgiven av ICAEW (The Institute of Chartered Accountants in England & Wales). COSO beskriver den interna kontrollen som uppdelad på fem s.k. komponenter: Kontrollmiljö (Control Environment) Riskbedömning (Risk Assessment) Kontrollaktiviteter (Control Activities) Information och kommunikation (Information & Communication) Uppföljning (Monitoring) Nedan lämnas övergripande beskrivningar av väsentliga områden inom respektive komponent gällande den interna kontrollen avseende den finansiella rapporteringen. Beskrivningarna stödjer målkategorierna tillförlitlig finansiell rapportering och efterlevnad av tillämpliga lagar och förordningar kopplade till den finansiella rapporteringen. För fördjupad vägledning hänvisas till www.coso.org. Väsentliga områden Kontrollmiljö Kontrollmiljön utgör basen för bolagets interna kontroll. Kontrollmiljön innefattar den kultur som styrelse och bolagsledning kommunicerar och verkar utifrån och omfattar i huvudsak integritet och etiska värderingar, kompetens, ledningsfilosofi och stil, organisationsstruktur, ansvar och befogenheter, personalpolicies och rutiner samt skapar disciplin och struktur för övriga komponenter. 12
Bilaga 2 En viktig del av kontrollmiljön är att beslutsvägar, befogenheter och ansvar är tydligt definierade och kommunicerade mellan olika nivåer i organisationen samt att styrande dokument i form av interna policies, riktlinjer, manualer och koder omfattar alla identifierade väsentliga områden och att dessa ger erforderlig vägledning till olika befattningshavare inom bolaget. Riskbedömning En strukturerad riskbedömning möjliggör identifiering av de väsentliga riskerna som påverkar den interna kontrollen avseende den finansiella rapporteringen samt identifiering av var dessa risker finns på såväl bolags-, affärsenhets-, funktions- som på processnivå. Vid riskbedömningen tas särskild hänsyn till risken för oegentligheter och otillbörligt gynnande av annan part på bolagets bekostnad samt risk för förlust eller förskingring av tillgångar. Riskbedömningen resulterar i kontrollmål som stödjer att de grundläggande kraven på de finansiella rapporterna uppfylls, s.k. räkenskapspåståenden. Exempel på sådana ges nedan. Existens: en tillgång eller skuld existerar vid ett givet datum Inträffande: en affärstransaktion eller händelse har ägt rum under perioden och hänför sig till bolaget Fullständighet: det finns inga tillgångar, skulder, affärstransaktioner som inte är bokförda eller poster för vilka erforderliga upplysningar saknas Värdering: en tillgång eller skuld är bokförd och värderad enligt god redovisningssed samt tillämpliga lagar och förordningar Mätning: affärstransaktioner är bokförda till rätt belopp och en intäkt eller kostnad är hänförd till rätt period Rättigheter och förpliktelser: en tillgång eller skuld hänför sig till bolaget vid ett givet datum Presentation och upplysning: en post är klassificerad och beskriven enligt god redovisningssed, tillämpliga lagar och förordningar, samt krav på noterade bolag. Verksamheten arbetar utifrån kontrollmålen för att hantera riskerna inom de ramar styrelsen och bolagsledningen fastställt. Riskbedömningen uppdateras löpande för att omfatta förändringar som väsentligen påverkar den interna kontrollen avseende den finansiella rapporteringen. Kontrollaktiviteter Kontrollaktiviteter som lever upp till de fastställda kontrollmålen utformas för att hantera väsentliga risker avseende den finansiella rapporteringen inklusive väsentliga redovisningsprinciper som identifierats under riskbedömningen. Ändamålsenliga kontrollaktiviteter utformas och dokumenteras på såväl bolags-, affärsenhets-, funktions- som på processnivå och inkluderar både övergripande och mer detaljerade kontroller som syftar till att förebygga, upptäcka och korrigera fel och avvikelser. Vid utformning av kontrollaktiviteterna säkerställs att de utförs på rätt sätt och i rätt tid. Generella IT-kontroller är ändamålsenligt utformade för de system som stödjer de processer som påverkar intern kontroll avseende den finansiella rapporteringen. För verksamhet som utförs för bolagets räkning av tredje part har ändamålsenliga kontrollaktiviteter utformats. 13
Bilaga 2 Områden som omfattas av kontrollaktiviteter är exempelvis: behörigt godkännande av affärstransaktioner affärssystem som påverkar den finansiella rapporteringen inklusive verifikationshantering redovisningsprocessen inklusive bokslut och eventuell koncernredovisning och dess överensstämmelse med tillämpliga regelverk i form av god redovisningssed, tillämpliga lagar och förordningar samt krav på noterade bolag väsentliga och ovanliga eller komplicerade affärstransaktioner samt affärstransaktioner eller värderingar av tillgångar eller skulder som inrymmer väsentliga element av bedömning. Information och kommunikation Bolagets informations- och kommunikationsvägar, till den del de omfattar intern kontroll avseende den finansiella rapporteringen, är ändamålsenliga och kända samt möjliggör rapportering och återkoppling från verksamheten till styrelse och bolagsledning. Interna policies, riktlinjer, manualer och koder är kommunicerade till rätt personer i verksamheten och såväl innebörden som konsekvenser vid avsteg förstås. Uppföljning En ändamålsenlig process finns för löpande uppföljning och årlig utvärdering av efterlevnaden av interna policies, riktlinjer, manualer och koder samt av ändamålsenlighet och funktionalitet i etablerade kontrollaktiviteter. En särskild process finns för uppföljning av att rapporterade brister åtgärdas. Erforderlig information finns som underlag för den årliga utvärderingen av hur väl den interna kontrollen avseende den finansiella rapporteringen fungerat under det senaste räkenskapsåret. Finns särskild granskningsfunktion (internrevision) kan rapporter från denna funktion utgöra del av underlaget. Andra underlag kan exempelvis utgöras av självutvärderingar, rapporter från löpande uppföljning eller särskilda utredningar. 14
Bilaga 3 Arbetsgrupper och arbetsprocess Arbetsgrupper från Svenskt Näringsliv respektive FAR, föreningen för revisionsbyråbranschen, har tillsammans arbetat fram föreliggande vägledning för styrelsens rapport om intern kontroll avseende den finansiella rapporteringen. Arbetet utfördes i ett första steg under våren 2005 varefter ett utkast 2005-06-17 remissbehandlades. Remisstiden gick ut 2005-09-15 och härefter togs den slutliga vägledningen fram. Utfallet av remissbehandlingen och de överväganden som detta föranledde redovisas i ett separat dokument, Remissbehandling, styrelsens rapport om intern kontroll avseende den finansiella rapporteringen,. Grupp från Svenskt Näringsliv Carl-Gustaf Burén, Svenskt Näringsliv (samordnare) Heléne Bergquist, Electrolux Anders Bergstrand, Nordea Torbjörn Boije, Scania Kjell Falkenström, JM Tomas Hedström, SCA Lars Jacobsson, Ericsson Gun-Britt Larsson, Volvo Anna Ohlsson-Leijon, Electrolux Torbjörn Spector, Svenskt Näringsliv Elisabeth Styf, Skandia Monalotte Theorell Christofferson, Investor Grupp från FAR Anders Malmeby, KPMG (samordnare) Anders Hult, Deloitte Anders Lundin, Öhrlings PricewaterhouseCoopers Håkan Molin, Ernst & Young Gruppen från FAR har biträtts av Katja Severin Danielsson, ÖPwC, Helene Strid, KPMG, Ingemar Lock, E&Y samt Michael Bernhardtz, Deloitte. Deltagarna i arbetsgrupperna bidrar med sina personliga erfarenheter och representerar således inte respektive företag och organisation. 15
FAR är föreningen för revisionsbyråbranschen