Utdrag ur protokoll Högskolestyrelsen 2013-12-02 Möte nr 4:2013 MDH 1.2.2-588/13 150 Utvärdering av internrevisionen med anledning av Transcendent Groups slutrapport Beslut Högskolestyrelsen beslutar att - uppdra till ordföranden och rektor att med utgångspunkt från rapporten, diskussion med internrevisionen och med beaktande av högskolans minskade uppdrag, lämna förslag på åtgärder för högskolans internrevision. Ärendets behandling Chefen för internrevisionen Ulla Andersson, föredrar ärendet varefter styrelsen under ordförandens ledning fortsätter med egna överläggningar i ärendet. Underlag i ärendet - Bilaga 10.1 i kallelsen, Transcendent groups rapport Extern kvalitetsutvärdering av internrevisionsfunktionen 30 september 2013 (Dnr. MDH 1.2.2-588/13). - Bilaga 10.2 i kallelsen, Internrevisionens svar på rapporten, 2013-11-22 (Dnr. MDH 1.2.2-588/13)
Ärende 10 Bilaga 1 Extern kvalitetsutvärdering av internrevisionsfunktionen Mälardalens högskola 30 september 2013
Ärende 10 Bilaga 1 Sammanfattning I enlighet med föreskrifterna till 7 Internrevisionsförordningen (2006:1228) ska en internrevisionsfunktion utvärderas minst vart femte år av en kvalificerad och oberoende part. Transcendent Group har, som oberoende part, på uppdrag av Mälardalens högskolas (Mdh:s) internrevisionschef genomfört en kvalitetsbedömning av internrevisionens strukturer och aktiviteter. Mdh:s internrevision bedöms som fungerande baserat på den kvalitetsbedömning som genomförts i enlighet Internrevisionsförordning 2006:1228, ESV:s föreskrifter och allmänna råd till förordningen samt the Institute of Internal Auditors (IIA:s) Quality Assessment Manual. Vår utvärdering har inte utvisat några betydande svagheter eller brister i Internrevisionens arbete eller dokumentationen av detta. Förbättringsmöjligheter har dock identifierats, främst avseende internrevisionens förväntade uppdrag, resursutnyttjande och rapportering. Nedan följer en sammanfattande bedömning av Internrevisionens efterlevnad av god Internrevisionssed - IIA:s riktlinjer och Yrkesetiska kod: Riktlinjer Omdöme (bilaga 2) Riktlinjer för egenskaper Internrevisionsfunktionen och de individer som utför Internrevisionen Riktlinjer för utförande av Internrevisionens uppdrag Internrevisionstjänsten och de kvalitetskriterier mot vilka Internrevisionens utförande mäts mot Yrkesetiska koden Uppfyller generellt riktlinjerna1 Uppfyller generellt riktlinjerna Uppfyller generellt riktlinjerna 2013-09-30 Niklas Vangstad Utbildad kvalitetssäkrare, IIA 1 Innebär att den allmänna målsättningen för riktlinjen är uppfylld. Att en standard har erhållit omdömet uppfyller riktlinjerna är dock inte att likställa med att det inte finns förbättringsmöjligheter Extern kvalitetsutvärdering av internrevision Transcendent Group 2 (14)
Ärende 10 Bilaga 1 Innehåll 1. Inledning 4 1.1. Bakgrund 4 1.2. Syfte och omfattning 4 2. Resultat 5 2.1. Sammanfattande bedömning 5 2.2. Iakttagelser och rekommendationer riktade till ledning och styrelse 6 2.3. Iakttagelser och rekommendationer riktade till Internrevisionen 8 Bilaga 1 Utfört arbete och angreppssätt 12 Bilaga 2 Utvärderingskriterier 13 Extern kvalitetsutvärdering av internrevisionsfunktionen Transcendent Group 3 (14)
Ärende 10 Bilaga 1 1. Inledning 1.1. Bakgrund I enlighet med Internrevisionsförordningen (2006:1228) skall en Internrevisionsfunktion utvärderas minst vart femte år av en kvalificerad och oberoende part. Transcendent Group har på uppdrag av Mdh:s internrevisionschef genomfört en kvalitetsbedömning av internrevisionens strukturer och aktiviteter i enlighet med Internrevisionsförordning 2006:1228, ESV:s därtill hörande föreskrifter och allmänna råd (senast ändrad genom ESV:s cirkulär 2009:5), samt the Institute of Internal Auditors s (IIA) standarder; IPPF; (International Standards for the Professional Practice of Internal Auditing). 1.2. Syfte och omfattning Syftet med den externa kvalitetsutvärderingen har varit att: Utvärdera i vilken omfattning som Internrevisionen bedriver sin verksamhet i överensstämmelse med god internrevisions- och internrevisorssed. Identifiera förbättringsområden för Internrevisionen samt lämna råd vilka kan bidra till att utveckla och stärka värdet av Internrevisionen. För beskrivning av utfört arbete samt arbetssätt se bilaga 1. Extern kvalitetsutvärdering av internrevisionsfunktionen Transcendent Group 4 (14)
Ärende 10 Bilaga 1 2. Resultat 2.1. Sammanfattande bedömning I tabellen nedan presenteras resultatet av den externa kvalitetsutvärderingen i form av efterlevnad i förhållande till god Internrevisionssed - IIA:s riktlinjer och Yrkesetiska kod Riktlinjer Riktlinjer avser Omdöme (bilaga 2) Riktlinjer för Internrevisionens egenskaper Uppfyller generellt riktlinjerna 1000 Syfte, befogenhet och ansvar Uppfyller delvis riktlinjerna 1100 Oberoende och objektivitet Uppfyller generellt riktlinjerna 1200 Kompetens och yrkesskicklighet Uppfyller delvis riktlinjerna 1300 Kvalitetssäkring och kvalitetsförbättringsprogram Riktlinjer för utförande av Internrevisionsuppdraget Uppfyller generellt riktlinjerna Uppfyller generellt riktlinjerna 2000 Leda Uppfyller delvis riktlinjerna internrevisionsverksamheten 2100 Arbetets beskaffenhet Uppfyller delvis riktlinjerna 2200 Planering av uppdraget Uppfyller generellt riktlinjerna 2300 Genomföra uppdraget Uppfyller generellt riktlinjerna 2400 Rapportera resultat Uppfyller generellt riktlinjerna 2500 Övervaka process och resultat Uppfyller delvis riktlinjerna 2600 Uttalande rörande ledningens riskacceptans Uppfyller generellt riktlinjerna Yrkesetiska koden Uppfyller generellt riktlinjerna Extern kvalitetsutvärdering av internrevisionsfunktionen Transcendent Group 5 (14)
Ärende 10 Bilaga 1 2.2. Iakttagelser och rekommendationer riktade till ledning och styrelse Nedan presenteras resultatet av den externa kvalitetsbedömningen i form av ett antal iakttagelser och rekommendationer. 2.2.1. Syfte som återspeglas i riktlinjer (std#1000) Riktlinjer för internrevisionen är senast uppdaterade i december 2010. Riktlinjerna fastställer att internrevisionen kan ge rådgivning samt att funktionen ska vara administrativt placerad direkt under rektor, vilket är i linje med ESV:s föreskrifter. Idag rapporterar internrevisionen administrativt till rektor, förvaltningschef och ekonomichef och rådgivningstjänster erbjuds i väldigt begränsad omfattning. Internrevisionen har dock en direkt samverkan med styrelsen samt har en individuell objektivitet, vilket gör att kraven på oberoende och objektivitet generellt anses uppfyllas. Den externa kvalitetssäkringen av internrevisionsfunktionen har även påvisat att det finns ett nuvarande förväntansgap mellan styrelse/ledning och internrevision gällande ambitionsnivå, tidsåtgång och planering i internrevisionsuppdragen. REKOMMENDATION Beakta att internrevision ska vara fristående från den operativa verksamheten och administrativt placerad direkt under rektor för att säkra kraven på objektivitet, oberoende och integritet, samt för att uppfylla ESV:s föreskrifter. Skapa en samsyn mellan styrelse, ledning och revisionschefen gällande internrevisionens syfte, uppdrag, omfattning och organisatoriska placering när Riktlinjer för internrevisionen uppdateras och godkänns. Riktlinjerna bör formalisera och tydliggöra dessa delar, för att möta styrelsens förväntningar och kravställningar på internrevisionen. En översyn ska regelbundet genomföras, dels utifrån om internrevisionen de facto följer riktlinjerna inkluderande orsaker till eventuella avvikelser och dels om det skett förändringar som innebär att riktlinjerna bör uppdateras. Beakta möjligheten att använda internrevisionen i större utstäckning för interna rådgivningstjänster. Samordning inom områden som intern styrning och kontroll; riskanalyser, åtgärdsplaner, verksamhetsuppföljning och kvalitetssäkring av bokslut kan frigöra och förbättra användningen av tillgängliga resurser. Beakta hur ett effektivt informationsutbyte mellan styrelse, ledningsgrupp och dekangrupp bör ske. Detta gäller speciellt information gällande riskhanteringsplan, iakttagelser, uppföljning av åtgärder samt generell verksamhetsinformation. Extern kvalitetsutvärdering av internrevisionsfunktionen Transcendent Group 6 (14)
Ärende 10 Bilaga 1 2.2.2. Kompetent extern rådgivning och stöd (std #1210.A1) Internrevisionen består av en person, vilket gör det svårt att inneha alla de kunskaper, färdigheter eller kompetens som behövs för att med bibehållen kvalitet genomföra hela åtagandet. Internrevisionsgranskningarna är inte sällan inom områden som kräver tidigare erfarenhet och expertiskunskap, t.ex. granskningar rörande IT-tekniska nyckelrisker och kontroller. När detta inte innehas krävs inläsning inom området och/eller att verksamheten erbjuder kunskapsdelning för att internrevisionen ska kunna utföra utvärderingen effektivt. Frågeställningarna är även ofta komplexa vilket ökar behovet av bollplank vid planering, genomförande och rapportering av uppdrag. REKOMMENDATION Beakta möjligheten att använda extern rådgivning för effektivare uppdrag och kompetensdelning till internrevisionsfunktion. Exempel kan vara kvalitetssäkring av projekt och utförande av specifika granskningar eller rådgivningstjänster. Extern kvalitetsutvärdering av internrevisionsfunktionen Transcendent Group 7 (14)
Ärende 10 Bilaga 1 2.3. Iakttagelser och rekommendationer riktade till Internrevisionen 2.3.1. Effektivt utnyttjande av resurser (std #2030) Tre granskningar utförs per år, alla med en budget om över 200 timmar. Av den årligt tillgängliga tiden hos internrevisionsfunktionen är cirka 50 % avsatt till faktiska granskningar. Vid uppföljning mot plan framgår det att faktisk nerlagd tid på granskningarna är i snitt 35 % högre, ofta över 100 timmar ytterligare per granskning. Denna tidsfördelning är inte optimal, men heller inte väsentligt avvikande gentemot motsvarande lärosäten REKOMMENDATION Verka för att bli mer träffsäkerhet i resursestimering samt att fokusera på att leverera i enlighet med fastställd uppdragsbudget. Beakta möjligheten att utföra flera revisioner parallellt, samt minska rapportomfattningen och kartläggningsdokumentation (se separat iakttagelse) Upprätta en detaljerad tidplan för respektive granskningsuppdrag, vilken bör innehålla information om när uppstartsmöte, fältarbete/intervjuer, faktagranskning, slutlig rapport och muntlig presentation kommer att ske. Projektplan och tidplan ska kommuniceras till berörda intressenter i god tid inför respektive granskning. Extern kvalitetsutvärdering av internrevisionsfunktionen Transcendent Group 8 (14)
Ärende 10 Bilaga 1 2.3.2. Utvärdera och bidra till processen för intern styrning och kontroll (std #2010, 2120 & 2130) Verksamhetens arbete med att identifiera, värdera och hantera risker enligt Förordning 2007:603 om intern styrning och kontroll är till stor del skild från internrevisionens arbete kopplat till planering, granskningar och riskbedömningar. Internrevisionen utgår visserligen från verksamhetsens upprättade riskanalys och det finns en informell kommunikation avseende aktuella verksamhetsrisker. Enligt internrevisionsförordning 2006:1228 åligger det internrevisionen att löpande granska och lämna förslag till förbättringar av myndighetens process för intern styrning och kontroll. Någon utvärdering eller rådgivning avseende hela myndighetens process kopplat till intern styrning och kontroll i enlighet med kraven som ställs i förordning 2007:603 har inte utförts. REKOMMENDATION Ta ytterligare hänsyn till organisationens ramverk för riskhantering inklusive användandet av ledningens och styrelsens riskplan för olika områden och delar av organisationen. Att internrevisionen utgår från ledningens riskanalys och använder samma struktur underlättar såväl genomförande som samordning. Sträva efter att internrevisionens arbete och myndighetens ISK-process har ett gemensamt tillvägagångssätt. Initialt rörande riskanalys och bedömningskriterier. Vid en myndighet av Mdh:s storlek kan arbetet, strukturerna och metodiken kring arbetet med intern styrning och kontroll vara väl samordnade mellan internrevisionen och verksamheten. Detta för att minimera dubbelarbete och ineffektivitet samt för att optimera resursallokering och möjligöra en effektiv och aktuell informationsinsamling och kommunikation gällande risknivå från verksamhet och ledning till styrelsen. Överväg granskning och/eller rådgivning avseende Mdh:s hela riskhanteringsprocess och processen för intern styrning och kontroll (ISK). Granskningen kan innefatta att validera de kontrollåtgärder och uppföljningsaktiviteter som verksamheten anser vara effektiva samt huruvida kontrollåtgärderna är lämpliga och effektiva för att hanterar identifierade risker. Detta för att möjligöra en samlad bedömning av riskexponeringen avseende bl.a. efterlevnad av lagar, förordningar, policyer, rutiner och kontrakt risken för att bedrägerier inträffar och hur verksamheten hanterar bedrägeririsker Extern kvalitetsutvärdering av internrevisionsfunktionen Transcendent Group 9 (14)
Ärende 10 Bilaga 1 2.3.3. Tydlig och koncis kommunikation vid rapportering (std #2060 & #2420) Enligt god revisionssed ställs ett antal krav på kvaliteten i internrevisionens rapporter, i form av att de ska vara korrekta, objektiva, klara, koncisa, konstruktiva och levereras i tid. Mdh:s internrevisionsrapporter bedöms vara korrekta, fria från fel samt bedöms överensstämma med underliggande fakta. De anses objektiva då resultatet är rättvist med en balanserad bedömning av relevanta fakta. Rapporterna är även lämnade i enlighet med revisionsplan, oftast diarieförs de månaden innan styrelserapportering. Internrevisionens rapporter har förbättringsmöjligheter, då de har ett behov av att förbättras med avseende på att vara klara, koncisa och konstruktiva. Rapporterna som lämnas till styrelsen är i dagsläget omfattande, normalt över 15 sidor, och kvalitetsutvärderingen har påvisat att rapporterna innehåller upprepningar samt att de är tidskrävande att faktagranska och ta till sig informationen. Rapporterna är inte endast avvikelserapportering med iakttagelser och rekommendationer, utan innehåller till viss del kartläggningsinformation som främst är riktad till verksamheten. Det används inte heller som någon samlad bedömning av det granskade området eller bedömningsskala av iakttagelser och risker, vilket har efterfrågats i intervjuerna. Att inte göra en bedömning av vilka nettorisker som identifierade iakttagelser innebär för verksamheten kan göra det svårt för verksamheten att planera och prioritera åtgärder på ett effektivt och ändamålsenligt sätt. Kvalitetsutvärderingen har även påvisat att den muntliga presentationen av rapporterna på styrelsemötena inte tillför något ytterligare information eller dimension. REKOMMENDATION IR bör arbeta för att tydliggöra kommunikation till ledning och styrelse så att informationen blir lättare att förstå samt fokuserar på viktig och relevant information. Rapporteringen kan med fördel göras mer koncis. Det är möjligt att göra rapporterna kortare och mer kärnfulla, speciellt till styrelsen. IR bör överväga att endast göra en avvikelserapportering till styrelsen, för att göra informationen mer koncis. Övrig information, vilken kan ge ett mervärde till den granskade verksamheten, kan med fördel lämnas muntligen, alternativt som en bilaga till rapporten. I syfte att ytterligare tydliggöra internrevisionens rapportering och göra den mer konstruktiv bör IR överväga att gradera de identifierade iakttagelserna mot bakgrund av hur stor den bedömda nettorisken kopplad till iakttagelsen bedöms vara. Extern kvalitetsutvärdering av internrevisionsfunktionen Transcendent Group 10 (14)
Ärende 10 Bilaga 1 2.3.4. Uppföljning av revisioner och åtgärder (std #2500) I revisionsplanen finns tid avsatt för uppföljning av tidigare revisioner, och separata uppföljningsrapporter ges ut. Löpande uppföljning av tidigare granskningar görs således, men med väsentlig fördröjning, någon avrapportering för uppföljningar för åren 2010-2011 har ej fastställts. Avseende uppföljning för 2012 hänvisas till internrevisionens årsrapport. Uppföljning sker idag per revisionsgranskning, snarare än per riskområde och relaterade iakttagelser och rekommendationer. Av de beslut som fastställs av styrelsen, till exempel revisionsåtgärder, noterar vi dock att det finns en separat uppföljningsprocess som rektorskansliet ansvarar för. REKOMMENDATION Internrevisionen ska tillse att den upprättar och underhåller en uppföljningsprocess för att övervaka identifierad risker och för att säkerställa att ledningen implementerar åtgärder på ett effektvit sätt eller att ledningen accepterat eventuella risker kopplade till att åtgärder inte vidtas. Extern kvalitetsutvärdering av internrevisionsfunktionen Transcendent Group 11 (14)
Ärende 10 Bilaga 1 Bilaga 1 Utfört arbete och angreppssätt Utvärderingen är genomförd med stöd av IIA:s metod och verktyg för kvalitetsutvärderingar. Planering Inläsning & intervjuer Analys Rapportering Planering Planering av projektet genomfördes inledningsvis med Mdh:s internrevision. Syftet med planeringen var att bestämma hur projektet skulle genomföras, vilka personer som skulle intervjuas och vilka projekt som skulle granskas. Inläsning och intervjuer Information samlades in och lästes parallellt med att intervjuer genomfördes med befattningshavare med professionell kontakt med internrevisionen. Analys Analys och utvärdering genomfördes för att bedöma överensstämmelse med Internrevisionsförordningen och IIA:s Standards, samt identifiering av förbättringsområden för internrevisionen. Rapport Framtagande, samt avstämning, av slutrapport. Presentation av resultatet för Internrevisionen. Intervjuade personer Madeleine Ceasar Ordförande Karin Röding Rektor Marie Eriksson Förvaltningschef Björn Magnusson Ekonomichef Katarina Thorsell Administrativ chef UKK-akademin Tommy Strid IT chef Jonas Lostelius ISK-ansvarig Per Flodman Externrevisor Riksrevisionen Ulla Andersson Internrevisionschef Extern kvalitetsutvärdering av internrevisionsfunktionen Transcendent Group 12 (14)
Ärende 10 Bilaga 1 Bilaga 2 Utvärderingskriterier I enlighet med IIA:s ramverk för extern kvalitetsutvärdering av Internrevisioner har respektive standard utvärderats utifrån en tregradig skala. Innebörden av de olika omdömena beskrivs nedan: Uppfyller generellt riktlinjerna Internrevisionens struktur, principer, rutiner och processer är i allt väsentligt i enlighet med de krav som finns fastställda för respektive riktlinjer. Att en standard har erhållit omdömet Uppfyller generellt riktlinjerna är inte att likställa med att det inte finns förbättringsmöjligheter. Dock innebär det att den allmänna målsättningen för riktlinjen är uppfylld. Uppfyller delvis riktlinjerna Internrevisionen bedriver verksamheten i linje med de krav som finns för respektive standard. Dock uppfyller Internrevisionen inte vissa av de huvudmålsättningar som finns specificerade för respektive standard. Omdömet Uppfyller delvis riktlinjerna innebär att det finns signifikanta förbättringsmöjligheter. Det bör även uppmärksammas att en del av de iakttagna bristerna kan avse ledningen av organisationen snarare än Internrevisionen. Uppfyller inte riktlinjerna Internrevisionen uppfyller inte flera, eller samtliga, av respektive standards målsättningar. I de fall en Internrevision erhåller detta omdöme är det sannolikt att bristen kommer att ha en väsentlig inverkan på Internrevisionens arbete. Vidare finns signifikanta förbättringsområden. Det bör även uppmärksammas att en del av de iakttagna bristerna kan avse ledningen av organisationen snarare än Internrevisionen. Extern kvalitetsutvärdering av internrevisionsfunktionen Transcendent Group 13 (14)
Transcendent Group Sverige AB Kungsgatan 42, 1 tr. 111 35 Stockholm Telefon 08-611 67 40 Fax 08-611 67 42 www.transcendentgroup.com Ärende 10 Bilaga 1
Ärende 10 Bilaga 2
Ärende 10 Bilaga 2
Ärende 10 Bilaga 2
Ärende 10 Bilaga 2
Ärende 10 Bilaga 2
Ärende 10 Bilaga 2
Ärende 10 Bilaga 2
Ärende 10 Bilaga 2
Ärende 10 Bilaga 2
Ärende 10 Bilaga 2
Ärende 10 Bilaga 2
Ärende 10 Bilaga 2