Organisering
R-117 pkt. 5.1 Organisering
Internrevisjonen skal organisatorisk være knyttet til og rapportere til virksomhetslederen, eller eventuelt til styret i virksomheter med dette. Plasseringen skal sikre internrevisjonens uavhengighet fra nivåene under virksomhetslederen og fra de områdene og prosessene som skal revideres.
I virksomheter med et styre, skal overordnet departement klargjøre de innbyrdes forholdene mellom departementet, styret og virksomhetslederen, jf. bestemmelsene pkt. 1.2. I departementets instruks til virksomheten skal fordeling av myndighet og ansvar beskrives. Der det i rundskrivet er brukt «virksomhetslederen», vil det kunne gjelde både virksomhetslederen og et eventuelt styre, avhengig av departementets instruks til virksomheten.
Internrevisjonens mandat skal være fastsatt i instruks fra virksomhetslederen, med mindre overordnet departement fastsetter internrevisjonsinstruksen. Internrevisjonsinstruksen skal legge til rette for funksjonens uavhengighet og avklare ansvar og myndighet.
Internrevisjonen skal ledes av en internrevisjonssjef.
Virksomhetslederen har innenfor rammene i dette rundskrivet og eventuelle instrukser fra overordnet departement, myndighet til å bestemme hvordan internrevisjonen skal organiseres.
For at internrevisjonen skal ha legitimitet i organisasjonen og overfor omgivelsene, må den tilfredsstille grunnleggende krav til uavhengighet. Nedenfor lister vi noen viktige avklaringer knyttet til organisering og uavhengighet.
Internrevisjonens plassering i virksomheten
Internrevisjonen skal være plassert direkte under den øverste myndigheten i virksomheten, og rapportere til denne. Det er øverste myndighet i virksomheten som er internrevisjonens oppdragsgiver. Departementets instruks klargjør hvem som er øverste myndighet. Dette er spesielt relevant i de virksomhetene som har styrer.
I denne veiledningen og i R-117 bruker vi «virksomhetsleder» som internrevisjonens oppdragsgiver. I noen tilfeller, og for noen virksomheter, vil dette si at vi omtaler virksomhetens styre som «virksomhetsleder».
I privat sektor vil internrevisjonen rapportere til et styre og derfor være uavhengig av virksomhetsleder. Styrer i statlige forvaltningsorgan har imidlertid ikke det samme økonomiske og juridiske ansvaret som styrer i privat virksomhet, da det er overordnet departement som er konstitusjonelt, politisk og administrativt ansvarlig for underliggende virksomhet. Flere statlige virksomheter har et styre, men i de fleste statlige virksomheter er likevel virksomhetsleder øverste myndighet. Internrevisjoner i staten som rapporterer til virksomhetslederen eller et ev. styre vil ikke oppnå full uavhengighet i virksomheten, siden oppdragsgiver er en del av virksomheten. Internrevisjonen i statlige virksomheter er imidlertid uavhengig av nivåene under virksomhetslederen og de områdene den reviderer.
Dersom virksomheten har et styre kan en vurdere å opprette et revisjonsutvalg med utvalgte representanter fra styret. Forskningsrådet har for eksempel etablert et revisjonsutvalg med representanter fra styret.
Revisjonsutvalget kan for eksempel opptre for styret i spørsmål om internrevisjonens ansvar, organisering og arbeidsoppgaver. Eksempelvis kan revisjonsutvalget uttale seg om utkast til revisjonsplaner for internrevisjonen, avvik i forhold til godkjente planer og løpende internrevisjonsrapporter. Uttalelsene kan følge som orienteringssaker til styret.
Skriftlig internrevisjonsinstruks
Internrevisjonen skal ha en skriftlig internrevisjonsinstruks, blant annet for å styrke uavhengigheten. Det er virksomhetsleder som er ansvarlig for å fastsette en slik instruks.
Internrevisjonsinstruksen skal legge til rette for funksjonens uavhengighet. Den skal blant annet angi internrevisjonens organisering, formål, ansvar og myndighet. Internrevisjonsinstruksen bør også referere til hvilke faglige standarder som gjelder for internrevisjonen i virksomheten mv. IIA Norge (tidligere Norges Interne Revisorers Forening) har utarbeidet en mal for instruks.
Håndtering av uenighet
Virksomheten bør i forbindelse med etablering av internrevisjonen tenke igjennom og eventuelt fastsette retningslinjer eller prosedyrer for hvordan virksomhetslederen og internrevisjonssjefen bør løse slik uengighet, og om departementet skal bli involvert om eventuell uenighet.
Det kan oppstå situasjoner der det er uenighet mellom virksomhetslederen og internrevisjonen, for eksempel knyttet til risikobildet, hvilke revisjonsprosjekter som skal prioriteres og uenighet knyttet til behov for tiltak for å redusere risiko på et område (internrevisjonen mener at virksomheten tar uforsvarlig høy risiko). Hvordan slik uenighet mellom internrevisjonen og virksomhetslederen skal håndteres bør man omtale i internrevisjonsinstruksen.
Ulike måter å anskaffe en internrevisjon på
Internrevisjonen skal ledes av en internrevisjonssjef, men denne trenger nødvendigvis ikke være ansatt i virksomheten. Det finnes ulike måter å anskaffe og organisere en internrevisjonsfunksjon på. Før virksomheten starter selve etableringen av internrevisjonen og fastsetter internrevisjonsinstruksen, bør den ha valgt modell for internrevisjon. Hovedmodellene som er i bruk i staten er:
- Egen organisatorisk enhet med fast ansatte revisorer
- Ansatt internrevisjonssjef med team fra egen virksomhet
- Ansatt internrevisjonssjef som kjøper eksterne tjenester
- Felles internrevisjonsfunksjon på tvers av likeartede virksomheter
- Full outsourcing
Du finner oversikten over hvilke statlige virksomheter som bruker de ulike modellene på DFØ sine nettsider. For en oversikt over ulike hovedmodeller for anskaffelse av internrevisjonsfunksjonen og fordeler og ulemper knyttet til disse viser vi til et vedlegg i veiledningen Trenger vi en internrevisjon.
Virksomhetslederen må vurdere hvilken modell som er mest hensiktsmessig ut fra virksomhetens behov og egenart. Hvis virksomheten outsourcer internrevisjonen, må den utpeke en person som er ansvarlig for innkjøp av funksjonen. Dersom virksomheten velger en intern internrevisjonsfunksjon bør den ha en viss kritisk masse for å kunne ha en tilfredsstillende robusthet og faglig bredde for å oppfylle internrevisjonens formål og ansvar. Tre til fire personer er som minimum anbefalt fra allerede etablerte internrevisjonsenheter i staten.
Hvis virksomheten har valgt en internrevisjonsmodell som innebærer at den skal ansette personell, er det en stor fordel å rekruttere leder av revisjonsenheten først, slik at denne kan være involvert i rekruttering av øvrig revisjonspersonell.