Internrevisjon er et mulig tiltak for å styrke styring og kontroll. Samtidig er det viktig å være kjent med at det eksisterer alternativ til å etablere internrevisjon som kan tenkes å dekke virksomhetens behov på kort eller lengre sikt.
Under drøftes eksempler på ulike type tiltak for å bedre styring og kontroll. Tiltakene er ikke nødvendigvis sammenlignbare med tiltaket internrevisjon, men tiltakene skal gjenspeile de behov og utfordringer virksomheten har identifisert, eksempelvis ved bruk av sjekklisten i steg 1.
Kjøpe inn objektive og uavhengige revisjoner
En internrevisjon etter kravene i kapittel 5 i rundskriv R-117, skal ha hele virksomheten som sitt virkeområde. Men en virksomhet kan tenkes å ha kjente svakheter bare på avgrensede enkeltområder. Da kan det beste være å kjøpe inn objektive og uavhengige revisjoner, gjennomganger, evalueringer, granskninger eller rådgivning på disse enkeltområdene løpende eller på ad-hoc basis.
For eksempel kan en virksomhet med særlig høy risiko knyttet til IKT-systemene inngå en rammeavtale om kjøp av uavhengig og objektiv bekreftelse knyttet til disse systemene. Tjenesten kan være relativt sammenlignbar med tjenestene en internrevisjon kan levere på dette spesifikke området.
Forbedringer i første- og andrelinjen
Andre tiltak for styrket styring og kontroll, for eksempel forbedringer i første- eller andrelinjen, vil i mindre grad kunne sammenlignes med internrevisjon. Man kan likevel tenke seg at virksomhetens utfordringer best løses ved å styrke styring og kontroll i:
- Førstelinjen (for eksempel flere ansatte, bedre opplæring av ansatte, bedre styrende dokumenter, bedre verktøy/systemstøtte mv.) eller
- Andrelinjen (for eksempel (økte)ressurser til oppfølging og kontroll i form av fagansvarlig internkontroll, «risiko-funksjon», «compliance-funksjon», controller, virksomhetsarkitekt mv.)
Det kan tenkes at en styrking av første- eller andrelinjen vil dekke virksomhetens behov en god stund fremover, og at dette er det mest aktuelle tiltaket på kort sikt, men at internrevisjon kan bli aktuelt å vurdere igjen etter at tiltak for å styrke styring og kontroll i første- eller andrelinjen er blitt gjennomført. Dette for å få objektive og uavhengige bekreftelser på om tiltakene har gitt ønsket effekt.
Avhengig av behov og utfordringer
Det trenger heller ikke være et enten eller spørsmål. Virksomheter kan ha behov både for en internrevisjon og for å styrke styring og kontroll i første- eller andrelinjen.
Det viktige er at virksomheten er seg bevisst sine behov og utfordringer når det gjelder styring og kontroll, og hva en ønsker å forbedre. Da vil det være enklere å avgjøre hvilket, eller hvilke, tiltak som er best egnet for å dekke virksomhetens behov og ivareta krav til god styring og kontroll på en tilfredsstillende måte.
Modeller for internrevisjon
Det eksisterer ulike «modeller» for internrevisjon, det vil si ulike måter å anskaffe og organisere funksjonen på. Kjennskap til alternative modeller og hvilke fordeler og ulemper de har er nyttig kunnskap for å vurdere om internrevisjon er et riktig tiltak. For noen virksomheter kan det være slik at én modell for internrevisjon skiller seg ut som den mest aktuelle. For andre virksomheter kan det være aktuelt å vurdere to eller flere modeller for internrevisjon opp mot hverandre. Vi anbefaler å ta kontakt med statlige virksomheter som allerede har etablert internrevisjon for å få ytterligere informasjon om modellene. På dfo.no om internrevisjon finner du en oversikt over hvilke statlige virksomheter som har etablert internrevisjon og hvilken modell disse har valgt.
I det ene vedlegget finner du en oppsummering av de mest sentrale fordelene og ulempene ved de alternative hovedmodellene.