Dersom en statlig virksomhet skal etablere en internrevisjonsfunksjon, må den ta hensyn til den styringsmessige sammenhengen internrevisjonen skal operere i. Et statlig forvaltningsorgan er ikke et eget rettssubjekt, men en del av staten som «juridisk person»
Statsråden har konstitusjonelt og politisk ansvar for at virksomheten drives innenfor de rammer som er satt av Stortinget innenfor vedkommende sektor. Departementet har som etatsstyrer et overordnet ansvar for at underliggende virksomheter har forsvarlig styring og kontroll. Departementet må bygge på virksomhetens interne styring og kontroll når det utøver sitt kontrollansvar. Det kan ha nytte av at underliggende virksomheter har en internrevisjonsfunksjon som kan bekrefte at virksomhetens prosesser for styring og kontroll fungerer som de skal.
Nedenfor omtaler vi sentrale forhold som man bør ta hensyn til når man skal etablere internrevisjon i staten.
Hvordan sikre internrevisjonen uavhengighet av virksomhetsleder, eventuelt styre og departement?
Virksomheter som velger å etablere en internrevisjon, må legge til rette for at internrevisjonen kan utføre sitt arbeid i tråd med rundskriv R-117, herunder kravene til organisasjonsmessig uavhengighet1. IIAs utdyping av organisasjonsmessig uavhengighet sier at man oppnår denne uavhengigheten når revisjonssjefen rapporterer funksjonelt til styret. Anbefalingen tar utgangspunkt i at styret er en organisasjons høyeste ansvarlige myndighet, slik det er i aksjeselskap.
Ordinære forvaltningsorganer har som hovedregel ikke et styre som øverste styringsnivå i virksomheten. Virksomhetslederen er normalt øverste myndighet i virksomheten og oppdragsgiver for internrevisjonen. Internrevisjonen er dermed ikke helt uavhengig, men står i et linjeforhold til virksomhetslederen. Internrevisjonen skal imidlertid være uavhengig av nivåene under virksomhetslederen og de områdene den reviderer.
Det er likevel flere statlige virksomheter, også forvaltningsorganer, som har et styre. Dette er gjerne virksomheter som har en viss grad av selvstendighet i faglige spørsmål, og som ofte er regulert gjennom lov eller forskrifter eller har økonomisk-administrativ selvstendighet gjennom unntak fra hovedprinsippene2 i bevilgningsreglementet.
Styrer i forvaltningsorganer har imidlertid ikke det samme ansvaret som styret i et aksjeselskap. På grunn av statsrådens konstitusjonelle og politiske ansvar vil styret i et forvaltningsorgan ikke ha fullt ansvar verken juridisk, økonomisk eller konstitusjonelt. Selv om en virksomhet har et styre, betyr det altså ikke nødvendigvis at internrevisjonen bør rapportere til dette. Det er departementet som fastsetter forholdet mellom departementet, et eventuelt styre og virksomhetslederen. Dette gjøres i instruksen til virksomheten, jf. bestemmelsene for økonomistyring pkt. 1.3.
Når virksomhetslederen er oppdragsgiver, og ikke styret som i et aksjeselskap, kan dette bety en svekking av internrevisjonens uavhengighet og objektivitet. For å styrke internrevisjonens uavhengighet skal virksomheten utarbeide instrukser som tydelig definerer internrevisjonens rolle og myndighet og mandatet den har til å gjennomføre egne risikovurderinger og uavhengige gjennomganger. Instruksen bør videre omtale prosedyrer som håndterer eventuelle uenigheter mellom revisjonssjefen og oppdragsgiveren.
1IIA-standard 1110 Organisasjonsmessig uavhengighet: «Revisjonssjefen må rapportere til et nivå i organisasjonen som gjør det mulig for internrevisjonen å ivareta sitt ansvar. Revisjonssjefen må bekrefte overfor styret, minst en gang årlig, at internrevisjonen er uavhengig.»
2Hovedprinsippene i bevilgningsreglementet er fullstendighets-, ettårs-, kontant- og bruttoprinsippet. Det er særlig det siste (bruttoprinsippet) det er gitt unntak fra for såkalte nettobudsjetterte virksomheter.