Hvilke kriterier skal inngå i vurderingen?
Hvor stort behov en virksomhet og lederen av virksomheten har for en internrevisjon vil variere. Det finnes alternativer til å etablere en internrevisjon for å styrke virksomhetens styring og kontroll. Dette kan være tiltak som styrker linjeorganisasjonens kapasitet og kompetanse (førstelinjen og/eller andrelinjen), eller enkeltstående kjøp av evalueringer, granskninger og andre gjennomganger av områder som oppleves som spesielt utfordrende eller problematiske. Slike tiltak tilfredsstiller ikke kravene som er stilt i rundskriv R-117, og kan derfor ikke kalles en internrevisjon, men kan likevel være et alternativ til å etablere en internrevisjon.
Det er viktig å merke seg at Økonomiregelverket stiller krav til at virksomheten skal ha god styring og kontroll, uavhengig av om virksomheten etablerer en internrevisjon eller ikke. Det er som tidligere nevnt opp til virksomhetslederen å vurdere hvor og hvordan eventuelle ekstra ressurser til styring og kontroll kan gi størst nytte.
Relevante kriterier
Nedenfor beskriver vi relevante kriterier som virksomheten skal vurdere når den tar stilling til om den skal etablere en internrevisjon. Kriteriene gir indikasjoner på behov og utfordringer knyttet til styring og kontroll. Listen er ikke komplett, og det er også en viss overlapping mellom forholdene.
Relevante kriterier
Størrelse
En internrevisjon kan være et godt virkemiddel for store virksomheter. Med størrelse følger krav og utfordringer knyttet til styring og kontroll. Virksomhetens størrelse måles blant annet i budsjett, antall årsverk, balanse og omfanget av verdier som forvaltes.
Kompleksitet
Med størrelse følger også kompleksitet. Kompleksitet kan både være måten virksomheten er organisert på og sammensetningen av de produkter og tjenester den leverer. Kompleksitet kan også være høye kvalitetskrav, regelverk og oppgaveproduksjonen, IKT-systemer og så videre.
I en virksomhet med flere styringsnivåer, desentralisert beslutningsmyndighet, stor geografisk spredning eller stort spenn i oppgaver vil det være krevende for virksomhetslederen og ledere på lavere nivå å få tilstrekkelig oversikt og kontroll med sine ansvarsoppgaver. Det kan også være krevende å få til gode systemer og rutiner som sikrer at «like ting gjøres likt», og at kvaliteten er tilstrekkelig til enhver tid. Kompleksitet kan også gjenspeiles i store omstillinger og endringer i virksomheten. I slike situasjoner vil det for virksomhetslederen være mer utfordrende å ha god styring og kontroll enn i en situasjon der virksomheten har stabil og ordinær drift.
Risiko
Både størrelse og kompleksitet virker inn på hvor krevende det er å ha god styring og kontroll, og på risikoen for at man ikke når sine mål. Andre forhold som kan påvirke risikoen, er hyppige endringer i virksomhetens omgivelser, stor grad av skjønnsmessige vurderinger i virksomhetens prosesser, store transaksjonsvolum (inn- og utbetalinger) med eventuell tilhørende høy risiko knyttet til IKT-systemer, misligheter og så videre.
Vesentlighet
Vesentlighet kan bety at virksomheten ivaretar samfunnskritiske oppgaver og beredskapsoppgaver med fare for liv og helse. Siden toleransen for feil er svært lav i slike virksomheter, stilles det strengere krav til styring og kontroll. Vesentlighet kan også bety at virksomheten har mange eller utsatte brukere, at ansvarsområdet har stor politisk oppmerksomhet, at virksomheten er omdømmesensitiv og så videre.
Kvaliteten og modenheten på virksomhetens styring og kontroll
Kvaliteten på virksomhetens styring og kontroll kan bedømmes etter i hvilken grad virksomhetens mål og resultatkrav oppnås, og om de oppnås på en målrettet og effektiv måte, ved pålitelig rapportering og overholdelse av lover og regler. Hvor moden virksomhetens styring og kontroll er, kan også gjenspeiles i hvorvidt virksomheten har et dokumentert system for styring og kontroll. Og videre hvor godt den etterlever, følger opp og forbedrer dette systemet. Modenheten kan også vises i om virksomheten har en kultur som gjenspeiler fastsatte etiske verdier, om den får gode tilbakemeldinger i etatsstyringsdialogen og unngår negative medieoppslag og så videre.
Kvaliteten på styring og kontroll
Det er ingen entydig sammenheng mellom behovet for internrevisjon og modenheten og kvaliteten på styring og kontroll. I en virksomhet med svak styring og kontroll vil internrevisjonen kunne avdekke hvor det er størst risiko for at styringssvikt, feil og mangler oppstår. Internrevisjonen kan gi råd og støtte som bidrar til å forebygge negative hendelser og hjelpe til med å bygge opp en sterkere første- og andrelinje. Nytteverdien av internrevisjon vil imidlertid avhenge av at ledelsen og linjen har evne og vilje i form av kapasitet, ressurser og motivasjon til å følge opp internrevisjonens råd og benytte seg av internrevisjonens tjenester. Mange kan også oppleve at internrevisjonen «slår inn åpne dører» ved at den bekrefter svakheter som allerede er godt kjent.
I en virksomhet med slike kjente utfordringer vil internrevisjonen trolig gi størst verdi gjennom rådgivningsoppdrag for å bidra til å modne virksomhetens system for styring og kontroll. En virksomhet som vurderer kvaliteten og modenheten på styring og kontroll som utilfredstillende, ønsker kanskje å gjennomføre forbedringstiltak for så å vurdere å etablere internrevisjon når man ser effekten av disse tiltakene. Én måte å organisere forbedringsarbeidet på, er å etablere en rolle med et særskilt ansvar for å bistå ledelsen i arbeidet med å forbedre styring og kontroll. Andre virksomheter kan anta at virksomhetens utfordringer og behov best kan møtes ved å etablere en internrevisjon som kan gi råd og støtte i oppbyggingen av en sterk første- og andrelinje.
I en virksomhet med god styring og kontroll kan behovet for internrevisjonstjenester i utgangspunktet virke mindre. Internrevisjonen kan imidlertid bidra til kontinuerlig videreutvikling av styring og kontroll ved at temaet løpende blir satt på dagsordenen. Virksomhetslederen vil også fortløpende få uavhengige bekreftelser på at systemet for styring og kontroll fungerer over tid, eksempelvis også etter vesentlige endringer i oppgaver, teknologisk utvikling og så videre. Virksomheter som leverer produkter og tjenester som er vesentlige og samfunnskritiske, for eksempel virksomheter som forvalter store pengesummer eller leverer produkter eller tjenester som har stor betydning for liv eller helse, kan ha god nytte av en internrevisjon selv om de har god styring og kontroll.
Det er altså ingen entydig sammenheng mellom kvaliteten og modenheten på virksomhetens styring og kontroll og behovet for internrevisjonstjenester. Det som er viktig for å ta stilling til behovet for internrevisjon er om virksomhetslederen, og virksomheten for øvrig, er kjent med sine utfordringer og således har tilstrekkelig trygghet for at disse utfordringene blir håndtert på en tilfredsstillende måte. I motsatt fall kan virksomheten ha nytte av en internrevisjon som kan hjelpe virksomhetslederen til å få oversikt og identifisere hvor det er behov for bedre styring og kontroll.
Virksomhetslederen har det overordnede ansvaret for at vurderingen blir gjennomført, og er den som fatter den endelige beslutningen. Siden man skal foreta vurderingen etter fastsatte kriterier minimum hvert fjerde år, er det nødvendig å dokumentere vurderingen og benytte en strukturert metode.
Vi viser til del 2 for en konkretisering av kriteriene vi har omtalt over, i form av en sjekkliste og veiledning i hvordan man praktisk kan gjennomføre og dokumentere en vurdering.