1. Hva er internrevisjon?
2. Hva er spesielt med internrevisjon i staten?
3. Hvilke krav stilles til internrevisjon i statlige virksomheter?
4. Hvilke kriterier skal inngå i vurderingen?

Hva er internrevisjon?

Definisjon av internrevisjon

Internrevisjon¹ er en organisatorisk enhet i virksomheten, eller en enhet som kjøpes fra eksterne fagmiljøer, som skal rapportere til øverste ledelse og være objektiv og uavhengig av resten av organisasjonen og områdene den reviderer. Internrevisjonen er primært virksomhetslederens redskap.

Internrevisjonsfunksjonen har hele virksomheten som virkeområde. Den utarbeider en årlig risikobasert revisjonsplan for å fastsette sine prioriteringer. Den arbeider etter anerkjente standarder og benytter en systematisk metode for å gjennomgå og vurdere sentrale dokumenter, systemer og praksis. 

Internrevisjonen skal ledes av en internrevisjonssjef. Med god kompetanse, en uavhengig rolle og et helhetlig perspektiv på virksomheten skal internrevisjonen fungere som støtte for virksomhetslederen og linjeorganisasjonen for øvrig, og den skal være en katalysator for forbedringer i virksomheten. Internrevisjonen gir virksomhetslederen trygghet for at ting som er bestemt, blir gjennomført som forutsatt.

Bekreftelsestjenester og rådgivningstjenester

Internrevisjonens oppgave er både å gi uavhengige vurderinger og råd, såkalte bekreftelsestjenester og rådgivningstjenester. Standardsettere har ønsket å forsterke internrevisjonens bekreftelsesrolle i forhold til rådgiverrollen. Den som blir revidert, ser ofte størst verdi i bidragene fra internrevisjonen når det gjelder å forbedre prosessene for styring og kontroll (rådgivningstjenester). Virksomhetsleder, departement eller andre eksterne ser størst verdi i den objektive og uavhengige bekreftelsen internrevisjonen kan gi (bekreftelsestjenester) innenfor området som revideres.

Internkontroll i internrevisjonen

Et hovedområde i internrevisjonens arbeid er å vurdere om den etablerte internkontrollen er hensiktsmessig. Begrepet internkontroll² dreier seg om langt mer enn bare kontrollaktiviteter. Internkontrollen omfatter blant annet forhold som fordeling av roller og ansvar, kompetanse, etiske retningslinjer, kultur, holdninger, informasjon og kommunikasjon. 

Internkontroll skal etableres og gjennomføres på alle nivåer, og i alle funksjoner i virksomheten. Virksomhetens ledelse har ansvaret for å påse at systemer og rutiner er tilpasset risiko og vesentlighet, at den fungerer tilfredsstillende, og at den kan dokumenteres (jf. bestemmelsene pkt. 2.4). Bruk av internrevisjon til å vurdere om systemer og rutiner er gode nok, er ett mulig tiltak virksomhetslederen kan benytte i en slik tilpasning. Derfor er det viktig å merke seg at en internrevisjon ikke er en erstatning for virksomhetens internkontroll.

Internkontroll er bare ett av tre hovedområder som inngår i internrevisjonens arbeid. Definisjonen av internrevisjon sier at internrevisjonen i tillegg til å vurdere og bidra til forbedring knyttet til virksomhetens internkontroll også skal vurdere og bidra til forbedring av prosessene for risikostyring³ og governance⁴. Videre i veiledningen benytter vi samlebegrepet «styring og kontroll» synonymt med begrepene risikostyring, internkontroll og governance.

Revisjon på operasjonelt og strategisk nivå

Internrevisjonen kan utføre revisjon på både operasjonelt og strategisk nivå i virksomheten. I tillegg til å revidere styring og kontroll med vekt på produktivitet og det operasjonelle, det vil si «å gjøre tingene riktig», har internrevisjonen med tiden også gått inn på det strategiske området og revisjon av formålseffektivitet også kalt effekter, det vil si «å gjøre de riktige tingene». Fordelingen av revisjoner på det ene eller andre området vil avhenge av virksomhetens modenhet med hensyn til prosessene for styring og kontroll, og dermed variere i tid og etter behov. 

Det er viktig å være oppmerksom på at en stor andel rådgivningsoppdrag kan bidra til utfordringer med objektivitet og uavhengighet når internrevisjonen skal gjennomføre bekreftelsestjenester på områder hvor det tidligere er gitt råd. Revisjon av strategiske forhold stiller høye krav til kompetanse, kjennskap til virksomheten, modenhet og integritet hos internrevisjonen for å gi tilstrekkelig merverdi.

Internrevisjonens rolle og plassering i virksomheten

Internrevisjonen skal organisatorisk være knyttet til og rapportere til virksomhetslederen, eventuelt også til styret i virksomheter som har dette. Internrevisjonen skal være objektiv og uavhengig av resten av organisasjonen og de oppgavene som revideres. Derfor skal internrevisjonen for eksempel ikke pålegges oppgaver som innebærer at den får ansvar for etablering, gjennomføring og implementering av tiltak knyttet til styring og kontroll. Dette fordi internrevisjonen fort kan ende opp med å revidere noe den selv har vært med på å etablere eller implementere. 

Internrevisjonen er det ytterste leddet i virksomhetens interne styrings- og kontrollsystem. Virksomhetens samlede systemer for styring og kontroll skal bidra til å redusere iboende risiko⁵ i virksomheten til et nivå ledelsen har bestemt at er akseptabelt. Forskjellige kontrollnivåer i virksomheten er illustrert i figuren under.

Førstelinjekontroll

Førstelinjen omfatter medarbeidere i linjen som har et ansvar for å gjennomføre etablert styring og kontroll gjennom sine daglige arbeidsoppgaver. Førstelinjen omfatter også ledelsen, som har ansvar for å utforme, gjennomføre og følge opp ulike tiltak for å oppnå god styring og kontroll innenfor sitt ansvars­område. Tiltak for å redusere risiko i førstelinjen kan for eksempel være tiltak som fullmakter, arbeidsdeling, opplæring, policyer og prosedyrer, ulike typer manuelle kontroller, kontroller innebygd i IT-systemene, oppfølging av styringsparametrer, kvalitetssikring med mer. Dette kaller vi førstelinjekontroller.

Andrelinjekontroll

Andrelinjen omfatter ulike typer stabs- og linjeenheter som legger til rette for, bistår i og følger opp styring og kontroll på vegne av én eller flere ledere. Dette kan for eksempel være regnskaps- eller rapporteringsenheter, controllere og kvalitetsrådgivere, eller fagansvarlige for internkontroll. Slike enheter kan bidra med faglig veiledning, analyser av risiko og resultater, kvalitetsgjennomganger, evalueringer og oppfølging av hvorvidt policyer, prosedyrer, lover og regler etterleves. Dette kaller vi andrelinjekontroller.

Tredjelinjekontroll

I tillegg kan virksomheten etablere internrevisjon som en ekstra sikkerhet. Denne tredjelinjen er det ytterste laget med kontroll og skiller seg fra kontrollene som gjennomføres i første- og andrelinjen, ettersom internrevisjonen på objektivt og uavhengig grunnlag vurderer hvor effektiv og hensiktsmessig den etablerte og gjennomførte styringen og kontrollen i første- og andrelinjen er. Dette kaller vi tredjelinjekontroll.

Fjerdelinjekontroll

I tillegg til de tre interne kontrollinjene kan man også synliggjøre eksternrevisors eller Riksrevisjonens og andre eksterne kontrollorganers⁶ plass som en «fjerdelinje» i figuren. Tredjelinjen og fjerdelinjen bør samarbeide og koordinere sine innsatser og arbeidsfelt slik at ressursene samlet sett blir best mulig utnyttet. Internrevisjonen kan fungere som en forebyggende funksjon som bidrar til at virksomhetene får bedre styring og kontroll og blir oppmerksomme på svakheter før de eventuelt blir påpekt av fjerdelinjen.

Standarder for internrevisjon

For at internrevisjonen skal kunne utøve rollen sin på en god måte, er det avgjørende at den har tillit og troverdighet både hos styre, virksomhetsleder og øvrige ansatte, og hos departement og Riksrevisjonen. Krav til bruk av anerkjente standarder for internrevisjon er viktig for å sikre kvalitet og profesjonalitet og for å styrke internrevisjonens legitimitet overfor omgivelsene. Dette skaper forutsigbarhet og trygghet for at arbeidet er gjennomført på en strukturert og metodisk måte. 

Når internrevisjonen arbeider etter anerkjente standarder, tilfører det en kvalitetsdimensjon og en rolleavklaring som bidrar til å sikre at revisjonsoppdrag gjennomføres i samsvar med profesjonens krav til objektivitet, faglig dyktighet og aktsomhet. Standardene til The Institute of Internal Auditors (IIA) vil være et godt valg for de fleste statlige virksomheter.

Ulike modeller for internrevisjon

Dersom virksomheten beslutter å etablere en internrevisjon, må den ta stilling til hvilken modell som vil være best egnet gitt virksomhetens egenart og behov. Det er nyttig å kjenne til at internrevisjon kan anskaffes og dekkes på ulike måter. Innenfor rammene av rundskriv R-117 og eventuelle instrukser fra overordnet instans kan virksomhetslederen bestemme hvordan internrevisjonen skal organiseres. Nedenfor finner du en oversikt over mulige «modeller» for internrevisjon.

I tillegg til de fem modellene som er beskrevet ovenfor kan man etablere en kombinasjon av modellene, for eksempel modell 1 og 2 eller 2 og 3. Det er også mulig å inngå rammeavtaler og ha budsjett for kjøp av ekstra revisjonstjenester for alle modellene (unntatt modell 5 – full outsourcing, der dette ligger i hovedmodellen). Dette er svært vanlig blant de internrevisjonene som allerede er etablert i staten. En slik «co-sourcing» er særlig vanlig når det gjelder kjøp av spisskompetanse på ett eller flere områder som internrevisjonen mangler, for eksempel IKT-revisjonstjenester.

På dfo.no om internrevisjon ligger det en oversikt over hvilke statlige virksomheter som har internrevisjon og hvilken modell som er valgt.

¹ Definisjonen er hentet fra Standard & Guidance – International Professional Practices Frameword (IPPF).
² Internkontroll defineres som: «… en prosess, gjennomført av foretakets styre, ledelse og ansatte som er utformet for å gi rimelig sikkerhet vedrørende måloppnåelse innen følgende områder: Målrettet og effektiv drift, Pålitelig rapportering, Overholdelse av lover og regler». For nærmer omtale om internkontroll se veileder i internkontroll.
³ For nærmere omtale av risikostyring se risikostyring i staten – håntering av risiko i mål- og resultatstyringen.
⁴ IIA definerer governance som en kombinasjon av prosesser og strukturer som er implementert for å informere, lede, styre og overvåke organisasjonens aktiviteter rettet mot måloppnåelse.
⁵ Gjenværende risiko er nivået på risikoen når man tar hensyn til de tiltakene og kontrollaktivitetene som er iverksatt når man vurderer risiko (jf. Risikostyring i staten – håndtering av risiko i mål- og resultatstyringen). Iboende risiko er nivået på risikoen når man ikke tar hensyn til de ulike tiltakene og kontrollaktivitetene som er etablert for å redusere den.
⁶ Eksempler på andre eksterne kontrollorgan utover Riksrevisjonen kan være statlige tilsyn som Arbeidstilsynet eller Helsetilsynet og europeiske tilsyn- og kontrollorgan.

Hva er spesielt med internrevisjon i staten?

Dersom en statlig virksomhet skal etablere en internrevisjonsfunksjon, må den ta hensyn til den styringsmessige sammenhengen internrevisjonen skal operere i. Et statlig forvaltningsorgan er ikke et eget rettssubjekt, men en del av staten som «juridisk person»

Statsråden har konstitusjonelt og politisk ansvar for at virksomheten drives innenfor de rammer som er satt av Stortinget innenfor vedkommende sektor. Departementet har som etatsstyrer et overordnet ansvar for at underliggende virksomheter har forsvarlig styring og kontroll. Departementet må bygge på virksomhetens interne styring og kontroll når det utøver sitt kontrollansvar. Det kan ha nytte av at underliggende virksomheter har en internrevisjonsfunksjon som kan bekrefte at virksomhetens prosesser for styring og kontroll fungerer som de skal.

Nedenfor omtaler vi sentrale forhold som man bør ta hensyn til når man skal etablere internrevisjon i staten.

Hvordan sikre internrevisjonen uavhengighet av virksomhetsleder, eventuelt styre og departement?

Virksomheter som velger å etablere en internrevisjon, må legge til rette for at internrevisjonen kan utføre sitt arbeid i tråd med rundskriv R-117, herunder kravene til organisasjonsmessig uavhengighet¹. IIAs utdyping av organisasjonsmessig uavhengighet sier at man oppnår denne uavhengigheten når revisjonssjefen rapporterer funksjonelt til styret. Anbefalingen tar utgangspunkt i at styret er en organisasjons høyeste ansvarlige myndighet, slik det er i aksjeselskap.

Ordinære forvaltningsorganer har som hovedregel ikke et styre som øverste styringsnivå i virksomheten. Virksomhetslederen er normalt øverste myndighet i virksomheten og oppdragsgiver for internrevisjonen. Internrevisjonen er dermed ikke helt uavhengig, men står i et linjeforhold til virksomhetslederen. Internrevisjonen skal imidlertid være uavhengig av nivåene under virksomhetslederen og de områdene den reviderer.

Det er likevel flere statlige virksomheter, også forvaltningsorganer, som har et styre. Dette er gjerne virksomheter som har en viss grad av selvstendighet i faglige spørsmål, og som ofte er regulert gjennom lov eller forskrifter eller har økonomisk-administrativ selvstendighet gjennom unntak fra hovedprinsippene² i bevilgningsreglementet.

Styrer i forvaltningsorganer har imidlertid ikke det samme ansvaret som styret i et aksjeselskap. På grunn av statsrådens konstitusjonelle og politiske ansvar vil styret i et forvaltningsorgan ikke ha fullt ansvar verken juridisk, økonomisk eller konstitusjonelt. Selv om en virksomhet har et styre, betyr det altså ikke nødvendigvis at internrevisjonen bør rapportere til dette. Det er departementet som fastsetter forholdet mellom departementet, et eventuelt styre og virksomhetslederen. Dette gjøres i instruksen til virksomheten, jf. bestemmelsene for økonomistyring pkt. 1.3.

Når virksomhetslederen er oppdragsgiver, og ikke styret som i et aksjeselskap, kan dette bety en svekking av internrevisjonens uavhengighet og objektivitet. For å styrke internrevisjonens uavhengighet skal virksomheten utarbeide instrukser som tydelig definerer internrevisjonens rolle og myndighet og mandatet den har til å gjennomføre egne risikovurderinger og uavhengige gjennomganger. Instruksen bør videre omtale prosedyrer som håndterer eventuelle uenigheter mellom revisjonssjefen og oppdragsgiveren.

¹IIA-standard 1110 Organisasjonsmessig uavhengighet: «Revisjonssjefen må rapportere til et nivå i organisasjonen som gjør det mulig for internrevisjonen å ivareta sitt ansvar. Revisjonssjefen må bekrefte overfor styret, minst en gang årlig, at internrevisjonen er uavhengig.»
²Hovedprinsippene i bevilgningsreglementet er fullstendighets-, ettårs-, kontant- og bruttoprinsippet. Det er særlig det siste (bruttoprinsippet) det er gitt unntak fra for såkalte nettobudsjetterte virksomheter.

Hvilke krav stilles til internrevisjon i statlige virksomheter?

Rundskriv R-117 stiller krav både til vurdering av bruk av internrevisjon (kapittel 4 i rundskrivet) og innretning for de virksomhetene som har etablert internrevisjon, eller velger å etablere en internrevisjon etter å ha gjennomført en vurdering (kapittel 5 i rundskrivet).

Krav om å vurdere bruk av internrevisjon

Statlige forvaltningsorganer¹ som har samlede utgifter eller samlede inntekter over 300 millioner kroner², skal vurdere om de bør etablere en internrevisjon. Kravet gjelder for virksomheter som ikke allerede har etablert, eller besluttet å etablere, en internrevisjon. Kravet om å vurdere internrevisjon gjelder ikke for departementene, jf. rundskriv R-117.

Selv om kravet gjelder for forvaltningsorganer som har samlede utgifter eller inntekter over 300 millioner kroner, er ikke dette til hinder for at forvaltningsorganer som faller under denne grensen, eller departementer, også kan gjennomføre en vurdering av om de bør etablere en internrevisjon.

Virksomhetene skal vurdere behovet regelmessig og minimum hvert fjerde år. Ved vesentlige endringer i risikobildet eller i virksomheten for øvrig skal en ny vurdering gjøres. Omfattende endringer i lover eller regelverk, større omorganiseringer eller store endringer i IKT-systemer er eksempler på vesentlige endringer som kan tilsi at en ny vurdering av behovet for internrevisjon bør gjennomføres.

Samlede utgifter eller inntekter er utslagsgivende for om virksomheten omfattes av kravet om å vurdere, men det er også andre kriterier som er viktige å ta hensyn til i vurderingen. Disse er ytterligere forklart i kapitlet «Hvilke kriterier skal inngå i vurderingen?».

Virksomheten skal vurdere nytten og fordelene ved å etablere en internrevisjon opp mot kostnadene ved tiltaket. Virksomhetslederen har myndighet til å bestemme om virksomheten skal bruke internrevisjon, med mindre overordnet departement har gitt instrukser som pålegger noe annet. Virksomhetens vurdering skal dokumenteres og sendes overordnet departement til orientering, med kopi til Riksrevisjonen og Direktoratet for forvaltning og økonomistyring (DFØ).

Krav til innretning av internrevisjon i statlige virksomheter

Dersom virksomheten konkluderer med at den vil etablere en internrevisjon, stiller rundskriv R-117 krav til innretningen av internrevisjonen. Disse kravene omfatter følgende hovedområder:

• Organisering
• Kompetanse og revisjonsplaner
• Bruk av anerkjente standarder
• Informasjon fra virksomheten

¹ Forvaltningsorganer omfatter ordinære statlige forvaltningsorganer («bruttobudsjetterte virksomheter»), forvaltningsorganer med særskilte fullmakter til bruttoføring utenfor statsbudsjettet («nettobudsjetterte virksomheter») og statens forvaltningsbedrifter.
² I henhold til siste publiserte årsrapport. Bruttobudsjetterte virksomheter skal ta utgangspunkt i oppstillingen av bevilgningsrapporteringen. Nettobudsjetterte virksomheter skal ta utgangpunkt i oppstillingen av virksomhetsregnskapet.

Hvilke kriterier skal inngå i vurderingen?

Hvor stort behov en virksomhet og lederen av virksomheten har for en internrevisjon vil variere. Det finnes alternativer til å etablere en internrevisjon for å styrke virksomhetens styring og kontroll. Dette kan være tiltak som styrker linjeorganisasjonens kapasitet og kompetanse (førstelinjen og/eller andrelinjen), eller enkeltstående kjøp av evalueringer, granskninger og andre gjennomganger av områder som oppleves som spesielt utfordrende eller problematiske. Slike tiltak tilfredsstiller ikke kravene som er stilt i rundskriv R-117, og kan derfor ikke kalles en internrevisjon, men kan likevel være et alternativ til å etablere en internrevisjon. 

Det er viktig å merke seg at Økonomiregelverket stiller krav til at virksomheten skal ha god styring og kontroll, uavhengig av om virksomheten etablerer en internrevisjon eller ikke. Det er som tidligere nevnt opp til virksomhetslederen å vurdere hvor og hvordan eventuelle ekstra ressurser til styring og kontroll kan gi størst nytte.

Relevante kriterier

Nedenfor beskriver vi relevante kriterier som virksomheten skal vurdere når den tar stilling til om den skal etablere en intern­revisjon. Kriteriene gir indikasjoner på behov og utfordringer knyttet til styring og kontroll. Listen er ikke komplett, og det er også en viss overlapping mellom forholdene.

Kvaliteten på styring og kontroll

Det er ingen entydig sammenheng mellom behovet for internrevisjon og modenheten og kvaliteten på styring og kontroll. I en virksomhet med svak styring og kontroll vil internrevisjonen kunne avdekke hvor det er størst risiko for at styringssvikt, feil og mangler oppstår. Internrevisjonen kan gi råd og støtte som bidrar til å forebygge negative hendelser og hjelpe til med å bygge opp en sterkere første- og andrelinje. Nytteverdien av internrevisjon vil imidlertid avhenge av at ledelsen og linjen har evne og vilje i form av kapasitet, ressurser og motivasjon til å følge opp internrevisjonens råd og benytte seg av internrevisjonens tjenester. Mange kan også oppleve at internrevisjonen «slår inn åpne dører» ved at den bekrefter svakheter som allerede er godt kjent. 

I en virksomhet med slike kjente utfordringer vil internrevisjonen trolig gi størst verdi gjennom rådgivningsoppdrag for å bidra til å modne virksomhetens system for styring og kontroll. En virksomhet som vurderer kvaliteten og modenheten på styring og kontroll som utilfredstillende, ønsker kanskje å gjennomføre forbedringstiltak for så å vurdere å etablere internrevisjon når man ser effekten av disse tiltakene. Én måte å organisere forbedringsarbeidet på, er å etablere en rolle med et særskilt ansvar for å bistå ledelsen i arbeidet med å forbedre styring og kontroll. Andre virksomheter kan anta at virksomhetens utfordringer og behov best kan møtes ved å etablere en internrevisjon som kan gi råd og støtte i oppbyggingen av en sterk første- og andrelinje.

I en virksomhet med god styring og kontroll kan behovet for internrevisjonstjenester i utgangspunktet virke mindre. Internrevisjonen kan imidlertid bidra til kontinuerlig videreutvikling av styring og kontroll ved at temaet løpende blir satt på dagsordenen. Virksomhetslederen vil også fortløpende få uavhengige bekreftelser på at systemet for styring og kontroll fungerer over tid, eksempelvis også etter vesentlige endringer i oppgaver, teknologisk utvikling og så videre. Virksomheter som leverer produkter og tjenester som er vesentlige og samfunnskritiske, for eksempel virksomheter som forvalter store pengesummer eller leverer produkter eller tjenester som har stor betydning for liv eller helse, kan ha god nytte av en internrevisjon selv om de har god styring og kontroll.

Det er altså ingen entydig sammenheng mellom kvaliteten og modenheten på virksomhetens styring og kontroll og behovet for internrevisjonstjenester. Det som er viktig for å ta stilling til behovet for internrevisjon er om virksomhetslederen, og virksomheten for øvrig, er kjent med sine utfordringer og således har tilstrekkelig trygghet for at disse utfordringene blir håndtert på en tilfredsstillende måte. I motsatt fall kan virksomheten ha nytte av en internrevisjon som kan hjelpe virksomhetslederen til å få oversikt og identifisere hvor det er behov for bedre styring og kontroll.

Virksomhetslederen har det overordnede ansvaret for at vurderingen blir gjennomført, og er den som fatter den endelige beslutningen. Siden man skal foreta vurderingen etter fastsatte kriterier minimum hvert fjerde år, er det nødvendig å dokumentere vurderingen og benytte en strukturert metode.

Vi viser til del 2 for en konkretisering av kriteriene vi har omtalt over, i form av en sjekkliste og veiledning i hvordan man praktisk kan gjennomføre og dokumentere en vurdering.