Hvordan etablere internkontroll?

Økonomiregelverkets krav til internkontroll i statlige virksomheter innebærer at det samlede styrings- og kontrollopplegget skal tilpasses risiko, vesentlighet og egenart. Dette innebærer at ledelsen må vurdere virksomhetens behov og ambisjoner for internkontroll. En effektiv internkontroll forutsetter at virksomheten har etablert et fundament for internkontroll som understøtter de ambisjonene virksomheten har.

Virksomhetens styrings- og kontrollmiljø, samt informasjon og kommunikasjon, inngår i dette fundamentet. Videre forutsetter en effektiv internkontroll en strukturert tilnærming som legger til rette for kontinuerlig forbedring og tilpasning til endrede forutsetninger og risikoer. Samlet utgjør disse dimensjonene det som i denne veilederen omtales som virksomhetens internkontrollsystem. Figuren nedenfor illustrerer elementene som inngår i internkontrollsystemet.

Trekanten i midten av figuren representerer virksomheten. Virksomhetens samfunnsoppdrag skal utføres på en slik måte at de tre internkontrollmålsettingene målrettet og effektiv drift, pålitelig rapportering og overholdelse av lover og regler oppfylles. Virksomhetens evne til å oppfylle mål og krav påvirkes av virksomhetens styrings- og kontrollmiljø og av hvordan informasjons- og kommunikasjonsflyten fungerer i virksomheten.

Disse to elementene ligger som et fundament for virksomhetens internkontroll og inngår som en del av trekanten i figuren. Fundamentet utgjør en viktig premiss for hvordan internkontrollen etterleves og fungerer i praksis. Dette omtales nærmere i kapittel 4.

Metode – internkontrollprosess i seks steg

Metoden i figuren viser en mulig måte å arbeide med internkontroll på. Metoden består av en kontinuerlig prosess i seks steg, heretter omtalt som internkontrollprosessen. En systematisk gjennomføring av disse seks stegene vil bidra til å oppfylle de tre internkontrollmålsettingene og kontinuerlig forbedre virksomheten.

Selv for virksomheter som har arbeidet mye med internkontroll, kan det være behov for en mer enhetlig og helhetlig tilnærming og en mer strukturert prosess, noe denne metoden legger til rette for. Metoden vil være egnet både ved etablering og ved forbedring av internkontrollen. Dette omtales nærmere i kapittel 5.

Internkontroll som årlig prosess i virksomheten

Det er virksomhetens ledelse som har ansvaret for å initiere og legge til rette for prosessen med å utvikle internkontrollen i virksomheten. Dette innebærer at virksomhetsledelsen bør etablere en årlig prosess på virksomhetsnivå for arbeidet med internkontroll. For at internkontrollprosessen skal gi merverdi i styringen, bør den integreres i virksomhetens øvrige styringsprosesser.

Tidspunktet for gjennomføringen av stegene planlegging, risikovurdering og rapportering i metoden bør derfor tilpasses virksomhetens årlige styringshjul. Eksempelvis bør risikovurdering og planlegging gjøres i forbindelse med innspill til og mottak av tildelingsbrev. Tilsvarende bør virksomhetens rapportering med hensyn til internkontroll tilpasses slik at den gir merverdi til neste års planlegging og arbeidet med virksomhetens årsrapport.

I internkontrollarbeidet vil virksomhetsledelsen støttes av ledere på ulike nivåer og medarbeidere med ulike roller og ansvar, blant annet prosesseiere, en eventuell støttefunksjon for arbeidet med internkontroll, mv. Internkontrollprosessens seks steg kan brukes på alle nivåer i virksomheten.

I gjennomgangen av fundamentet i kapittel 4 og metoden i kapittel 5 henvises det også til relevante verktøy og maler. Disse verktøyene og malene er ment som inspirasjon og hjelp i det konkrete arbeidet med internkontroll og må tilpasses den enkelte virksomhets behov.