Frågor om internrevision och intern styrning och kontroll 2018

1/15 PM Datum Handläggare 2017-11-28 Catrin Lind Ebert ESV dnr 3.2-426/2017 Frågor om internrevision och intern styrning och kontroll 2018 Enkätfrågorna avser 2017

2/15 Innehåll Frågor om internrevision och intern styrning och kontroll 2018... 1 Bakgrund... 3 Varför hämtar vi in information?...3 Hur hämtar vi in information?...3 Vad hämtar vi in information om?...3 Vem lämnar information?...4 När lämnas informationen?...4 Frågor om följsamhet till bestämmelser... 5 Internrevision...5 1. Organisering av myndighetens internrevision...5 2. Internrevisionens uppgift...5 3. Granskningens inriktning...6 4. Råd och stöd från internrevisionen...6 5. Internrevisionens bedrivande...6 6. Redovisning och rapportering till myndighetsledningen...6 7. Beslut av internrevisionens uppdragsgivare (myndighetsledningen)...7 8. Internrevisionens tillgång till uppgifter...7 Intern styrning och kontroll...8 9. Säkerställt intern styrning och kontroll...8 10. Processen för intern styrning och kontroll...8 11. Interna föreskrifter för anställda i myndigheten...9 12. Digitalisering...9 Frågor om internrevisionen, resultat m.m.... 10 13. Internrevisionens förutsättningar... 10 14. Internrevisionens bidrag till förbättringar... 10 15. Genomförd granskning... 10 16. Granskningens rekommendationer och åtgärder... 11 17. Beredning och föredragning av beslut om åtgärder... 11 18. Analys av risker i verksamheten... 12 19. Förebygga otillbörlig påverkan, bedrägeri eller annan oegentlighet... 12 20. Försäkran från internrevision... 13 21. Samordnad internrevision... 13 22. Kompetensförsörjning för internrevision... 13 23. Internrevisionens kompetens och erfarenhet... 14 24. Intern och extern utvärdering av internrevision... 14 25. Myndighetens resurser för internrevision... 15 26. Behov av stöd inom internrevision och intern styrning och kontroll... 15

3/15 Bakgrund Varför hämtar vi in information? Ekonomistyrningsverket (ESV) hämtar in information för att kunna lämna en redovisning över den statliga internrevisionen och myndigheternas interna styrning och kontroll till regeringen senast den 31 mars 2018. Hur hämtar vi in information? Vi ställer 26 frågor som kan bestå av en eller flera delfrågor. Svaren är en självdeklaration från myndigheten. Myndighetsledningen är internrevisionens uppdragsgivare. Om myndigheten har en styrelse är det styrelsen som är internrevisionens uppdragsgivare och om myndigheten är en enrådighetsmyndighet är myndighetschefen internrevisionens uppdragsgivare. Frågorna 1-8 kopplar till internrevisionsförordningen 1 och frågorna 9-12 behandlar intern styrning och kontroll 2. Frågorna har svarsalternativen: Ja, Nej eller Et (ej tillämpligt). Fråga 1-8 kan även användas av internrevisionen som en självutvärdering av tillämpningen av internrevisionsförordningen. Frågorna 13-26 har svarsalternativen: Ja, Nej, ange antal av förekomsten eller svara i berättande text. Det finns önskemål från internrevisorer att ESV:s enkät även ska vara till nytta för internrevisionsfunktioners arbete med självutvärdering enligt International Professional Practice Framework (IPPF). Utifrån en diskussion i ESV:s internrevisionsråd om möjligheten att lägga till ett antal frågor i denna enkät skapades via Internrevisorernas förening en arbetsgrupp bestående av fem statligt anställda internrevisionschefer för att ta fram kompletterande frågor. Frågorna har delvis sin utgångspunkt i Institute of Internal Auditor:s (IIA:s) bok om kvalitetsutvärderingsprogram Quality Assurance Improvement Program (QAIP). De frågor som tillkommit med anledning av detta arbete är frågorna; 15 d, 17 d, 22 a-b och 24 e-f. Vad hämtar vi in information om? Frågorna handlar om myndighetens följsamhet till bestämmelser om internrevision och intern styrning och kontroll. Frågorna handlar också om internrevisionens resultat och om dess effekter. 1 Internrevisionsförordning (2006:1228). 2 Förordning (2007:603) om intern styrning och kontroll.

4/15 Vem lämnar information? De myndigheter som efter beslut av regeringen inrättar internrevision enligt internrevisionsförordningen lämnar information till oss via statens centrala informationssystem (Hermes) i modulen Internrevision 3. Myndigheterna begär en särskild behörighet till modulen 4. En myndighet kan undantas från att lämna information om beslutet att inrätta internrevision inte har gällt för hela året eller om internrevisionen ska upphöra. Ansökan om att erhålla undantag från att lämna information lämnas från myndigheten före den 8 januari 2018, ställs till ESV och skickas till registrator@esv.se. I vår analys av svaren är det myndigheten som har svarat som ansvarar för svaren. I myndighetens interna beredning av svaren är det sannolikt att de flesta frågorna bereds av internrevisionschefen men för vissa frågor 9, 10, 11, 12 (delvis), 13 (delvis), 14(delvis), 17 (delvis), 18 a (delvis), 19 a-c, 22 c (delvis), 24 (delvis) och 26 (delvis) kan beredningen behöva göras av annan som myndighetschefen har utsett. När lämnas informationen? Frågorna besvaras i Hermes under perioden 9-26 januari 2018. 3 f.d IRE. 4 I Hermes användarmodul finns användaranvisningar under fliken Hjälp. Där återfinns en behörighetsblankett som ska fyllas i och skickas till ESV innan myndigheten kan registrera. (Gäller endast nya användare).

5/15 Frågor om följsamhet till bestämmelser Internrevision 1. Organisering av myndighetens internrevision a. Leds internrevisionen av en chef? 5 b. Är internrevisionschefen anställd av myndigheten? 6 c. Är internrevisionen inrättad direkt under myndighetsledningen? 7 d. Är internrevisionen självständig i förhållande till den granskade verksamheten? 8 Om svaret på fråga 1 a är Ja ange vem som är internrevisionschef eller i förekommande fall tillförordnad. Om myndigheten har undantag från kravet på anställd internrevisionschef är svaret Et på fråga 1 b, ange då att myndigheten har undantag. Med direkt under myndighetsledningen i fråga 1 c avses att myndighetsledningen är internrevisionens uppdragsgivare och att internrevisionen rapporterar direkt till myndighetsledningen. Med självständig i fråga 1 d avses att leda internrevisionen i granskning, råd och stöd och rapportering enligt myndighetsledningens riktlinjer för internrevisionen och av myndighetsledningen beslutad revisionsplan. Att internrevisionen följer de bestämmelser som finns för myndighetens förvaltning och som beslutas på delegation av annan inom myndigheten påverkar inte internrevisionens självständighet. 2. Internrevisionens uppgift a. Har internrevisionen granskat myndighetens process för intern styrning och kontroll? 9 b. Har internrevisionen lämnat förslag till förbättringar av myndighetens process för intern styrning och kontroll? 10 Med granskat myndighetens process för intern styrning och kontroll menas här att internrevisionen, utifrån en analys av myndighetens risker, granskat att de styr- och ledningsprocesser som myndighetsledningen har beslutat fullföljs på ett sådant sätt att ledningen har kontroll över verksamheten och att ledningen därmed kan fullgöra sitt ansvar för verksamheten inför regeringen. Internrevisionens granskning enligt 5 2 Internrevisionsförordning (2006:1228). 6 Ibid. 7 Föreskrifter till 2 Internrevisionsförordning (2006:1228). 8 Ibid. 9 3 Internrevisionsförordning (2006:1228). 10 Ibid.

6/15 ovan ska genomföras utifrån den revisionsplan som myndighetsledningen beslutar om. Med lämnat förslag till förbättringar av myndighetens process för intern styrning och kontroll menas här att internrevisionen självständigt utifrån rapporterade iakttagelser föreslår rekommendationer till myndighetsledningen för hur den interna styrningen och kontrollen ska förbättras på myndigheten. 3. Granskningens inriktning a. Har internrevisionen granskat utifrån en analys av verksamhetens risker? 11 b. Har internrevisionen bedömt risken för otillbörlig påverkan, bedrägeri eller annan oegentlighet i analysen av verksamhetens risker? 12 Om granskning sker av åtgärder som vidtas för att hantera de omständigheter som utgör en risk för att inte fullgöra de krav som ingår i ansvaret för verksamheten är svaret på fråga a Ja. I ansvaret för verksamheten ingår att verksamheten är effektiv, bedrivs enligt gällande rätt, är rättvisande och tillförlitligt redovisad samt bedrivs med god hushållning. 4. Råd och stöd från internrevisionen a. Har internrevisionen lämnat råd och stöd till myndighetens styrelse och chef? 13 b. Om internrevisionen inte har lämnat råd och stöd ange vad som är anledningen till det. Med råd och stöd avses både längre uppdrag men även kortare muntliga eller skriftliga rådgivningsinsatser. 5. Internrevisionens bedrivande a. Bedrivs internrevision enligt god internrevisions- och internrevisorssed? 14 Lagar och förordningar gäller före god sed. Om svaret på fråga 5 a är Ja, ange vilken standard som myndigheten använder som vägledning. 6. Redovisning och rapportering till myndighetsledningen a. Har internrevisionen redovisat resultatet av granskningen i form av iakttagelser och rekommendationer? 15 b. Har internrevisionen rapporterat sina iakttagelser och rekommendationer till myndighetsledningen? 16 11 4 Internrevisionsförordning (2006:1228). 3 Myndighetsförordning (2007:603). 1 kap. 3 Budgetlag (2011:203). 12 Föreskrifter till 4 Internrevisionsförordning (2006:1228). 13 5 Internrevisionsförordning (2006:1228). 14 7 Internrevisionsförordning (2006:1228). Av allmänna råd till 7 framgår att för utfyllande tolkning av god internrevisions- och internrevisorssed kan vägledning hämtas från allmänt accepterade riktlinjer för internrevision. 15 9 Internrevisionsförordning (2006:1228). 16 Ibid.

7/15 c. Har internrevisionen rapporterat resultatet av granskningen efter varje avslutad granskning? 17 d. Har internrevisionschefen avgjort vilka iakttagelser som ska rapporteras till myndighetsledningen? 18 Om internrevisionen har rapporterat till någon annan än myndighetsledningen (till exempel ett revisionsutskott) är svaret på frågan 6 b Nej. Om internrevisionens iakttagelser och rekommendationer enligt riktlinjer till internrevisionen inte ska rapporteras efter varje avslutad granskning är svaret på fråga 6 c Nej. Om svaret på fråga 6 c är Nej, ange även orsaken till varför iakttagelser och rekommendationer inte rapporteras efter varje avslutad granskning. Om någon annan än internrevisionen (till exempel ett revisionsutskott) har avgjort vilka iakttagelser och rekommendationer som ska redovisas är svaret på frågan 6 d Nej. Ange vem/vilka som avgjort vilka iakttagelser och rekommendationer som ska redovisats till myndighetsledningen. 7. Beslut av internrevisionens uppdragsgivare (myndighetsledningen) a. Har myndighetsledningen beslutat om riktlinjer för internrevisionen? 19 b. Är internrevisionens riktlinjer aktuella? 20 c. Har myndighetsledningen beslutat om en revisionsplan för internrevisionen? 21 d. Har myndighetsledningen beslutat om åtgärder med anledning av de iakttagelser och rekommendationer som internrevisionen rapporterat? 22 I fråga 7 d gäller att delegering av beslutanderätt till myndighetschefen eller annan innebär att denne kan vidta de åtgärder som är nödvändiga men styrelsen måste vid något tillfälle godkänna åtgärderna. 8. Internrevisionens tillgång till uppgifter a. Har myndighetsledningen sett till att internrevisionen fått tillgång till de uppgifter och upplysningar som den behövt för att fullgöra sitt uppdrag? 23 Om internrevisionen på grund av sekretess 24 (sekretessbeläggning) inte fått tillgång till den information som behövs är svaret Et. Om svaret på 8 a är Nej, ange orsaken till varför internrevisionen inte har fått tillgång till informationen. Ange även vad granskningen avsåg. 17 Allmänna råd till 9 Internrevisionsförordning (2006:1228). 18 3 4 Internrevisionsförordning (2006:1228). 19 10 1 p Internrevisionsförordning (2006:1228). 20 Ibid. 21 10 2 p Internrevisionsförordning (2006:1228). 22 10 3 p Internrevisionsförordning (2006:1228). 23 11 internrevisionsförordning (2006:1228). 24 Offentlighets- och sekretesslag (2009:400).

8/15 Intern styrning och kontroll 9. Säkerställt intern styrning och kontroll a. Har myndighetsledningen beslutat en arbetsordning? 25 b. Har myndigheten beslutat en verksamhetsplan? 26 c. Har myndigheten verkat för att genom samarbete med myndigheter och andra ta till vara de fördelar som kan vinnas för enskilda samt för staten som helhet? 27 d. Har myndigheten identifierat vilka risker för skador eller förluster som finns i verksamheten? 28 e. Har myndigheten vidtagit lämpliga åtgärder för att begränsa risker och förebygga skador och förluster? 29 f. Har myndigheten med säkerhetsanalys undersökt vilka uppgifter i verksamheten som ska hållas hemliga med hänsyn till rikets säkerhet och vilka anläggningar som kräver ett säkerhetsskydd med hänsyn till rikets säkerhet eller skyddet mot terrorism? 30 g. Har myndigheten i syfte att stärka sin egen och samhällets krisberedskap analyserat om det finns sådan sårbarhet eller sådana hot och risker inom myndighetens ansvarsområde som synnerligen allvarligt kan försämra förmågan till verksamhet inom området? 31 h. Har myndigheten analyserat de risker som är förknippade med myndighetens betalningar i syfte att öka säkerheten i statens betalningsmodell? 32 10. Processen för intern styrning och kontroll a. Har myndigheten identifierat omständigheter som utgör risk för att de krav som följer av ansvaret för verksamheten inte fullgörs? 33 b. Har myndigheten vidtagit åtgärder som är nödvändiga för att de krav som följer av ansvaret för verksamheten ska fullgöras med rimlig säkerhet? 34 c. Har myndigheten systematiskt och regelbundet följt upp om de identifierade riskerna är aktuella och om vidtagna åtgärder är nödvändiga för att fullgöra kraven som följer av ansvaret för verksamheten? 35 d. Har myndigheten systematiskt och regelbundet bedömt om det vid myndigheten finns en process för intern styrning och kontroll som fungerar på ett betryggande sätt? 36 Om myndigheten har identifierat risker med anledningen av andra författningar kan frågan 10 a besvaras med Ja. 25 4 1-2 myndighetsförordning (2007:515). 26 4 3 myndighetsförordning (2007:515). 27 6 andra stycket myndighetsförordning(2007:515). 28 3 första stycket förordning (1995:1300) om statliga myndigheters riskhantering 29 3 förordning andra stycket (1995:1300) om statliga myndigheters riskhantering 30 5 säkerhetsskyddsförordning (1996:633). 31 8 förordning (2015:1052) om krisberedskap och bevakningsansvariga myndigheters åtgärder vid höjd beredskap. 32 9 andra stycket förordning (2017:170) om statliga myndigheters betalningar och medelsförvaltning. 33 3 förordning (2007:603) om intern styrning och kontroll. 34 4 förordning om intern styrning och kontroll. 35 5 förordning om intern styrning och kontroll. 36 5 förordning om intern styrning och kontroll.

9/15 Om myndigheten har planerat (vad, när, hur etc.) åtgärder kan frågan 10 b besvaras med Ja. Om myndigheten inte har fullföljt planen utan att besluta om detta är svaret på frågan Nej. Om myndigheten följer upp identifierade risker och vidtagna åtgärder vid ett eller flera tillfällen under en viss period kan frågan 10 c besvaras med Ja. Om myndigheten bedömer identifierade risker och vidtagna åtgärder vid ett eller flera tillfällen under en viss period kan frågan 10 d besvaras med Ja. 11. Interna föreskrifter 37 för anställda i myndigheten a. Har myndigheten de interna föreskrifter för verksamheten som behövs för att se till att de anställda är väl förtrogna med målen för verksamheten? 38 b. Har myndigheten de interna föreskrifter för verksamheten som behövs för att ta till vara och utveckla de anställdas kompetens och erfarenhet? 39 c. Har myndigheten de interna föreskrifter för verksamheten som behövs för att vid anställning fästa avseende bara vid sakliga grunder? 40 d. Har myndigheten de interna föreskrifter för verksamheten som behövs för att göra de anställda väl förtrogna med vilka slags förhållanden som kan rubba förtroendet för opartiskhet i arbetet eller skada myndighetens anseende? 41 Om myndigheten gör de anställda förtrogna med vad som kan vara tagande av muta, otillåten bisyssla, jäv i handläggning kan frågan 11 d besvaras med Ja. 12. Digitalisering a. Har myndigheten de styr- och uppföljningsprocesser som behövs för att upprätthålla en betryggande intern styrning och kontroll av myndighetens it verksamhet? 42 b. Har myndigheten de styr- och uppföljningsprocesser som behövs för att upprätthålla en betryggande intern styrning och kontroll av myndighetens arbete med att utveckla verksamhetens processer med stöd av it (digitalisering). 43 c. Har internrevisionen granskat hur myndigheten upprätthåller en betryggande intern styrning och kontroll av myndighetens it verksamhet. d. Har internrevisionen granskat hur myndigheten upprätthåller en betryggande intern styrning och kontroll av myndighetens arbete med att utveckla verksamhetens processer med stöd av it (digitalisering). 37 De bestämmelser om verksamheten som myndigheten meddelar. Interna föreskrifter är de regler och rutiner som beskriver formerna för verksamheten. De kan uttryckas som processer. 38 8 2 pkt Myndighetsförordning (2007:515). 39 8 3 pkt myndighetsförordning (2007:515). 40 4 Lag (1994:260) om offentlig anställning. 41 7, 7a Lag (1994:260) om offentlig anställning. 42 Frågan handlar om myndigheten har processer för att försäkra sig om att myndighetens it-stöd tillhandahålls effektivt och med god hushållning samt i enlighet med gällande rätt. 43 Frågeställningen behandlar om myndigheten tar tillvara på de möjligheter till utveckling och effektivisering av verksamheten som it och digitalisering möjliggör.

10/15 Om det finns granskningar som genomförts före 2017, och som myndigheten bedömer fortfarande är relevanta, så är svaret på fråga 12 c och/eller 12 d Ja. Frågor om internrevisionen, resultat m.m. 13. Internrevisionens förutsättningar a. Har internrevisionschefen lönesamtal med sin uppdragsgivare 44? b. Har internrevisionen en budget för att genomföra granskning enligt revisionsplanen? c. Godkänner internrevisionens uppdragsgivare internrevisionens budget? d. Har myndigheten genomfört en analys av internrevisionens resursbehov (antal medarbetare)? e. Godkänner internrevisionens uppdragsgivare anställning av internrevisionschefen? f. Har internrevisionen (i styrelsemyndigheter) en given plats vid styrelsemöten när frågor om intern styrning och kontroll (inklusive riskhantering) eller strategiska frågor diskuteras? 14. Internrevisionens bidrag till förbättringar a. För vilket av de områden som internrevisionen har granskat under 2017 har iakttagelserna och rekommendationerna haft eller kan få störst betydelse för att förbättra myndighetens interna styrning och kontroll? 45 Svaret är en bedömning av de iakttagelser och rekommendationer som är redovisade till myndighetsledningen. 15. Genomförd granskning a. Ange antal granskningar som var upptagna i revisionsplanen. b. Ange antal granskningar från revisionsplanen som är rapporterade till myndighetsledningen. c. Om samtliga granskningar inte har rapporterats till myndighetsledningen ange vad som är orsaken till detta? d. Genomförs kvalitetssäkring av varje gransknings underliggande dokumentation (spårbarhet/röd tråd)? Om myndighetsledningen har beslutat om ändring av revisionsplanen är det antalet granskningar efter ändringen som avses i fråga 15 a. Om en granskning i fråga 15 a är beslutad och ingår i revisionsplanen för 2017 men som ska vara pågående och avslutas i en revisionsplan för nästkommande år räknas granskningen som upptagen i den senare revisionsplanen. 44 Med uppdragsgivare menas myndighetschefen i enrådighetsmyndigheter och styrelsens ordförande i styrelsemyndigheter. 45 5 Förordning om intern styrning och kontroll (2007:603).

11/15 Om myndigheten är en styrelsemyndighet är en granskning i fråga 15 b rapporterad till myndighetsledningen när den ingår i ärendelistan till ett styrelsemöte med eller utan föredragning från internrevisionschefen. Om myndigheten är en enrådighetsmyndighet är en granskning i fråga 15 b rapporterad till myndighetsledningen när den är överlämnad till myndighetschefen med eller utan föredragning från internrevisionschefen. Med spårbarhet/röd tråd menas i fråga 15 d att det ska vara möjligt att i efterhand se vad som granskats, när och hur granskningen genomfördes, vem eller vilka som genomförde granskningen och vilka slutsatser som dragits av den. Dokumentationen ska vara ordnad och strukturerad på ett sådant sätt att det går att hitta revisionsbevisen som underbygger de iakttagelser och slutsatser internrevisionen har redovisat i sin rapportering. 46 16. Granskningens rekommendationer och åtgärder a. Ange antal rekommendationer som internrevisionen har redovisat till myndighetsledningen med anledning av granskningen? 47 b. Ange antal rekommendationer där myndighetsledningen har beslutat om åtgärder? 48 c. Om myndighetsledningen inte har beslutat om åtgärder: Vad är orsaken till det? Uppgiften om antalet rekommendationer i fråga 16 a hämtas från internrevisionens rapportering till myndighetsledningen. Antalet rekommendationer räknas så som de är redovisade till myndighetsledningen. Om den beslutade åtgärden i fråga 16 b ännu ej blivit genomförd ska den räknas med i antalet beslutade åtgärder. Beslut om åtgärd kan omfatta en eller flera rekommendationer. Det saknar betydelse om redovisningen av rekommendationer sker uppdelat i flera rekommendationer eller sammanhållet som en gemensam rekommendation. Det är kvoten som är av intresse för ESV:s analys. 17. Beredning och föredragning av beslut om åtgärder a. Har myndigheten en fungerande process för att bereda förslag till åtgärder inför myndighetsledningens beslut om praktiska åtgärder med anledning av internrevisionens iakttagelser och rekommendationer? b. Har styrelsen en grupp av ledamöter ur styrelsen (s.k. revisionsutskott) som bereder förslag till beslut om åtgärder med anledning av internrevisionens iakttagelser och rekommendationer? c. Har myndigheten en fungerande process för att säkerställa att myndighetsledningens beslut om åtgärder med anledning av internrevisionens rekommendationer blir genomförda? 46 Handledning En introduktion till den statliga internrevisionen (ESV 2015:30). 47 9 Internrevisionsförordning (2006:1228). 48 10 Internrevisionsförordning (2006:1228).

12/15 d. Har internrevisionen lämnat återrapportering till myndighetsledningen om i vilken utsträckning myndigheten har hanterat tidigare års iakttagelser och rekommendationer? 18. Analys av risker i verksamheten a. Har internrevisionen informerat myndighetsledningen om sin bedömning av myndighetens risker i verksamheten? 49 b. Har internrevisionen gjort bedömningen att myndighetsledningen accepterar för stora risker i verksamheten för att kunna fullgöra ansvaret för verksamheten? 50 Om internrevisionen enligt fråga 18 a har informerat myndighetsledningen om sin bedömning av riskerna i verksamheten inför myndighetsledningens beslut om revisionsplan eller i rapporteringen av granskningens resultat är svaret Ja. 19. Förebygga otillbörlig påverkan, bedrägeri eller annan oegentlighet a. Har myndigheten identifierat omständigheter som utgör risk för otillbörlig påverkan, bedrägerier eller annan oegentlighet? 51 b. Om Ja på fråga 19 a: Inom vilket område har riskerna huvudsakligen identifierats? c. Har myndigheten vidtagit åtgärder för att hantera risken för otillbörlig påverkan, bedrägeri eller annan oegentlighet? 52 d. Har internrevisionen granskat risken för otillbörlig påverkan, bedrägeri eller annan oegentlighet som en särskild granskning? e. Har internrevisionen granskat risken för otillbörlig påverkan, bedrägeri eller annan oegentlighet som en del i de granskningar som genomförts? Fråga 19 a avser myndighetens riskanalys. Om internrevisionen utifrån en analys av risker i verksamheten bedömt risken för otillbörlig påverkan, bedrägeri eller annan oegentlighet (enligt fråga 3 b) och det inte medfört en granskning är svaret på fråga 19 d Nej med förklaringen att det inte är prioriterat utifrån en analys av risker i verksamheten. Internrevisionen ska enligt god sed beakta risken för oegentligheter i alla granskningar. Om internrevisionen i alla granskningar (oavsett vilken verksamhet som granskats) har bedömt risken för otillbörlig påverkan, bedrägeri eller annan oegentlighet och har genomfört granskningsåtgärder där internrevisionen har bedömt att det är befogat är svaret på fråga 19 e Ja. 49 7 Internrevisionsförordning (2006:1228). 50 Ibid. 51 Vägledning Oegentligheter och intern styrning och kontroll (ESV 2016:24) sid. 20. 52 3 Förordning om intern styrning och kontroll.

13/15 20. Försäkran från internrevision a. Lämnar internrevisionen ett omdöme om den interna styrningen och kontrollen i rapporteringen till myndighetsledningen för de områden som granskats? b. Har internrevisionen, (utöver vad som efterfrågats ovan i 20 a), lämnat ett övergripande omdöme till myndighetsledningen om den interna styrningen och kontrollen? c. Om Ja på fråga 20 b: Ange hur det övergripande omdömet formulerats och på vilket sätt det övergripande omdömet rapporterats. Ange även till vilka områden omdömet har avgränsats till. Fråga 20 a avser omdömet om den interna styrningen och kontrollen i de enskilda granskningsrapporterna. Fråga 20 b behandlar om internrevisionen, enligt myndighetsledningens riktlinjer för internrevisionen eller på eget initiativ, har lämnat ett övergripande omdöme om myndighetens interna styrning och kontroll. Med övergripande omdöme avser vi samma krav och tolkning som görs i IPPF 2450 Övergripande omdömen, i IIA:s standards. Som svar på fråga 20 c ska anges hur omdömet är formulerat. Är det utformat som en positiv försäkran (allt fungerar väl) eller som en negativ försäkran (ingenting negativt har uppmärksammats). Ett omdöme kan även formuleras i en mer beskrivande karaktär och innehåller då en utförlig beskrivning av olika problem/områden inom myndigheten. 21. Samordnad internrevision a. Har myndigheten förlitat sig på granskning som är utförd av annans myndighets internrevision? b. Om Ja på fråga 21 a: Ange vad samordningen avsett. c. Har internrevisionen förlitat sig på andra granskningsfunktioner? d. Om Ja på fråga 21 c: Ange med vilka samordning skett och vad samordningen avsett. Av fråga 21 c kan bland annat avses Riksrevisionen, olika tillsynsmyndigheter och/eller interna granskningsfunktioner. 22. Kompetensförsörjning för internrevision a. Har internrevisionschefen tagit fram en relevant kompetensförsörjningsplan för internrevisionsfunktionen? b. Har alla internrevisorer en individuell utvecklingsplan? c. Vilka hinder ser myndigheten när det gäller att trygga internrevisionens kompetensförsörjning? En kompetensförsörjningsplan enligt fråga 22 a bör visa vilka kunskaper och färdigheter som sammantaget krävs för att internrevisionen ska kunna fullgöra sina

14/15 uppgifter. Om internrevisionsfunktionen saknar vissa kunskaper eller färdigheter för planerade uppdrag behöver internrevisionen anlita annan kompetens. Av en individuell utvecklingsplan som anges i fråga 22 b bör behovet av vidareutbildning framgå samt planerad och genomförd fortbildning. 23. Internrevisionens kompetens och erfarenhet a. Ange antalet internrevisorer som vid utgången av föregående år har ett för myndigheten relevant yrkesbevis för utövande av internrevision. b. Om minst en person har ett yrkesbevis enligt fråga 23 a ange vilket/vilka yrkesbevis som avses och hur många medarbetare som innehar respektive yrkesbevis. c. Ange nedlagd tid i timmar under föregående år för internrevisionens kompetensutveckling. Med yrkesbevis i fråga 23 a menas diplom, intyg och dyl. som utfärdas av en intresseorganisation, (t.ex. Certified Internal Auditor från IIA, Diplomerad Risk Manager från SWERMA) som myndigheten bedömer är ändamålsenlig. Kompetensutveckling i fråga 23 c avser anställda som deltagit i utbildning i organiserad form som t.ex. kurs, konferens, seminarium etc. med betydelse för myndighetens internrevision. 24. Intern och extern utvärdering av internrevision a. Vilket år genomfördes den senaste externa utvärderingen av internrevisionens verksamhet? b. Om det är mer än fem år sedan senaste externa utvärdering ange vad som är orsaken till att en extern utvärdering inte genomförts. c. Har myndighetsledningen, i riktlinjerna till internrevisionen, beslutat att det ska genomföras en extern utvärdering av internrevisionens verksamhet åtminstone en gång vart femte år? d. Har internrevisionen ett internt kvalitetssäkringsprogram? 53 e. Har resultatet av det interna kvalitetsarbetet rapporterats till myndighetsledningen? f. Har internrevisionen en åtgärdsplan för att hantera eventuella brister/utvecklingsområden som framkommit genom det interna kvalitetsarbetet? Med extern utvärdering i fråga 24 a-c menas utvärderingar som utförs som en s.k. fullständig oberoende utvärdering utförd av någon utanför myndigheten eller som en s.k. självutvärdering med oberoende validering av någon utanför myndigheten. I internrevisionens interna kvalitetsprogram, fråga 24 d, bör bland annat ingå uppföljning av att internrevisionens styrdokument följs, styrning och uppföljning av egna granskningsinsatser, uppföljning och utvärdering av internrevisionens 53 Allmänna råd till 7 Internrevisionsförordning (2006:1228). IPPF 1310.

15/15 prestationer och nyckeltal samt återkoppling till myndighetsledningen och de funktioner som reviderats 54. 25. Myndighetens resurser för internrevision a. Ange antalet anställda personer vid myndighetens internrevision den 31 december 2017. b. Ange antalet årsarbetskrafter under 2017 inom myndighetens internrevision. c. Ange arbetad tid som årsarbetskrafter under föregående år för köpta tjänster för internrevision. d. Är myndighetens internrevisionschef även anställd vid annan myndighet? e. Om Ja på fråga 25 d: Ange vilken myndighet. Antalet årsarbetskrafter i fråga 25 b och c beräknas enligt allmänna råd till 2 kap. 4 förordning (2000:605) om årsredovisning och budgetunderlag. 26. Behov av stöd inom internrevision och intern styrning och kontroll a. Vilket behov av stöd har myndigheten inom områdena internrevision och intern styrning och kontroll? Stöd kan exempelvis avse metoder och riktlinjer (t.ex. handledning, vägledning, idéskrift), utredning, utbildning (t.ex. kurs, konferens, seminarium) och rådgivning (t.ex. frågor och svar). 54 Handledning En introduktion till den statliga internrevisionen (ESV 2015:30), Bilaga 1.