Intern kontroll kan være utfordrende

Over tid har det vært en skjerpet oppmerksomhet knyttet til intern kontroll og koblingen mot risikostyring. Mange virksomheter opplever det som utfordrende å sette intern kontroll på ulike nivåer i virksomheten i sammenheng med hverandre, samt å knytte intern kontroll på en hensiktsmessig måte til eksisterende styringssystemer og virksomhetens risikoanalyser. 

Intern kontroll på et operativt nivå er ofte ikke sammenkoblet med strategiske prosesser, og fremstår ofte som svakt forankret i styringsprosesser på overordnet nivå. Det er en utfordring å avklare begrepet intern kontroll samt i neste steg å integrere dette i den ordinære styringen gjennom hele organisasjonen.

Balanse mellom kontroll og tillit

Kontrollaktiviteter utenfra og inn i virksomheten er nødvendig i en viss utstrekning. Ansvarlig departement driver kontroll gjennom rapporteringsrutiner, avviksmeldinger og tilsynsaktiviteter. Det kan skje gjennom ad hoc kontroll i tilfeller hvor departementet ønsker å se nærmere på et spesielt område, eller for eksempel vurdere opplegget for intern kontroll. 

Et ansvarlig departement har en legitim rett til å kontrollere som følger av det politiske og konstitusjonelle ansvaret statsråden har. I tillegg gjør Riksrevisjonen sine kontrollaktiviteter for å kontrollere både departementers og virksomheters aktiviteter opp mot Stortingets vedtak og forutsetninger. 

For mye kontroll vil kunne redusere virksomhetens evne til å nå de mål som ansvarlig departement har formulert. Balansegangen mellom kontroll og tillit er krevende, og det er viktig at departementet finner et nivå som er hensiktsmessig både for departement og virksomhet.

Kontroll ut fra et kost-nytteperspektiv

Opplegget for intern kontroll skal kunne dokumenteres. Dette gir også lederforankring, og definerer et avklart styringsansvar både for departement og virksomhet. Kontrollaktivitetene bør ikke dimensjoneres og styres ut fra frykten for hva media kan slå opp. Det er viktig å ha aksept for at feil kan oppstå. 

Det er samtidig viktig å etablere en kultur hvor feil rapporteres oppover i linjen. Systematisk dårlig kvalitet eller regelbrudd er derimot ikke akseptabelt. Kontrollen bør dimensjoneres ut i fra et kost-nytteperspektiv.

Intern kontroll og tiltakskontroll

Det er viktig at departementet er bevisst på at det å sikre at virksomheten har tilfredsstillende intern kontroll, ikke er det samme som tiltakskontroll. Tiltakskontroll medfører å overta ansvaret for virksomhetens måloppnåelse og innebærer en pulverising av virksomhetleders ansvar. 

En måte å finne ut hvordan virksomhetens interne kontroll fungerer på, og om departementets kontrollansvar ivaretas på en god måte, er gjennom evalueringer. Det kan også være nyttig for departementet å få årlig rapport fra underliggende virksomheter om opplegget for den interne kontrollen fungerer som planlagt, og om det er avdekket vesentlige feil og avvik i kontrollaktivitetene.

Internrevisjon som redskap

Etablering av internrevisjon er et redskap for å sikre bekreftelse på god kontroll og styring. Det er i dag relativt få statlige virksomheter som har en internrevisjonsenhet (ca. fem prosent), og det er kun de største virksomhetene som har dette. 

I tidligere SSØs (nå DFØs) undersøkelse av intern kontroll og internrevisjon i statlige virksomheter ble det vist til utfordringer knyttet til den interne revisjonens uavhengighet, blant annet fordi statlige virksomheter ikke har et ansvarlig styre som revisjonen kan rapportere til. 

For departementet er det viktig å ansvarliggjøre virksomhetens øverste ledelse. I virksomheter uten styre vil dette være direktøren. Internrevisjonen må da rapportere til virksomhetens leder.

Rapporteringsrutinene videre til departementet bør beskrives i mandatet for internrevisjonen. De positive effektene på systematikken og kvaliteten ved organisasjonens interne kontroll ble imidlertid trukket frem i undersøkelsen. Dette henger sammen med bruk av internasjonalt anerkjente standarder (IIA-standardene) og den organisatoriske avklaringen som følger med en egen enhet.

Kunnskap om den interne styringens og kontrollens kvalitet kan etableres gjennom internrevisjonens bekreftelsesfunksjon. Etablering av en internrevisjon kan være et hensiktsmessig tiltak. For mindre virksomheter kan det være en løsning å ha felles internrevisjon, eller å kjøpe internrevisjonstjenester – enten som fast ordning eller i forbindelse med konkrete undersøkelser.