Sjekklisten er delt inn i to hovedspørsmål

Hovedspørsmål 1 er knyttet til mer eller mindre objektive kriterier og kjennetegn ved virksomhetens størrelse, kompleksitet, risiko og vesentlighet.

Hovedspørsmål 2 handler om modenheten og kvaliteten på styring og kontroll.

Hvert av de to hovedspørsmålene avsluttes med et felt for «Samlet vurdering», der virksomheten bør gi en sammenstilt vurdering og ev. begrunnelse knyttet til det enkelte hovedspørsmål.

• Innledningsvis får du tips om hvilke dokumenter som kan være aktuelle å gjennomgå, og hvilke aktiviteter som kan gjennomføres for å besvare spørsmålene i sjekklisten.
• For hvert underspørsmål kan virksomheten vurdere ulike graderinger, for eksempel medium / høy / svært høy eller ja/nei.
• I kolonne for vurdering/kommentar kan virksomheten gi utfyllende forklaring i fritekst.

Slik kan du gå frem for å få et bedre grunnlag for å besvare spørsmålene i sjekklisten:

1. Identifisere og gjennomgå relevant dokumentasjon som belyser virksomhetens egenart, risiko og vesentlighet. 

Slike dokumenter kan eksempelvis være

• Prop. 1 S (statsbudsjettet, fagproposisjonen)
• instruks, tildelingsbrev, budsjett og årsrapport
• virksomhetens risikovurderinger og eventuelt SWOT-analyse (stryker, svakheter, muligheter og trusler)
• organisasjonsmodell
• styringsmodell

2. Identifisere og gjennomgå relevant dokumentasjon og benytte relevante verktøy som belyser virksomhetens kvalitet og modenhet på styring og kontroll. 

I arbeidet med å utarbeide årsrapport vil virksomheten allerede ha vurdert og dokumentert status på styring og kontroll. Relevante dokumenter eller verktøy benyttet i dette arbeidet kan for eksempel være

• dokumentasjon eller beskrivelse av virksomhetens styrings- og kontrollsystem (vedtatte dokumenter som beskriver systemer og strukturer, styringsmodell, etiske retningslinjer e.l.)
• styringsdokumenter med mål og resultatkrav, eksempelvis Prop. 1 S, strategi, resultatindikatorer, tildelingsbrev, årsrapport mv.
• dokumentasjon på gjennomført oppfølging knyttet til styrings- og kontrollsystemet, for eksempel oppfølging av virksomhetsplan, avdelingsplaner, aktivitetsplaner, styringsparameterer, resultatrapporter og rapporterte avvik (effekt og etterlevelse)
• virksomhetens risikovurderinger
• rapporter fra Riksrevisjonen, tilsyn, resultat av evalueringer og granskninger
• relevante referat fra styringsdialogen med departementet eller andre møtereferat eller dokumentasjon som inneholder informasjon om ledelsens oppfølging og vurdering av internkontrollen, for eksempel lederbekreftelser. Link til DFØs verktøy for lederbekreftelser. 
• dokumentasjon på gjennomført egenevaluering av internkontrollen, modenhetsvurdering av internkontrollen e.l. Link til DFØs verktøy for egenevaluering av internkontrollen.
• dokumentasjon på gjennomført egenevaluering ved bruk av Common assessment framework (CAF) (link til rammeverk)

3. Identifisere og gjennomføre samtaler med interne og eksterne interessenter etter behov. 

Dette kan være medarbeidere som har god kjennskap til virksomheten, for eksempel personer som er sentrale i oppfølgingen av virksomhetens styring og kontroll. Det kan også være eksterne som personer i overordnet departement eller sentrale representanter for brukere av virksomhetens produkter/tjenester, for eksempel

• virksomhetsleder
• ledere i linje og stab
• controller og sentrale økonomi-/regnskapsmedarbeidere
• fagansvarlig internkontroll, leder risikostyring eller andre 2.linjefunksjoner
• systemansvarlige
• juridisk ansvarlige
• prosessansvarlige
• personer med særlig ansvar for sikkerhet og beredskap
• etatsstyrer
• Riksrevisjonen
• representanter for sentrale brukergrupper

Vi foreslår å bruke tall fra siste årsrapport. Dette er entydige og endelig tall som er sammenlignbare over tid, og de er lett tilgjengelige.

Det er noe overlapping mellom forholdene som er omtalt i sjekklisten. Med størrelse følger også kompleksitet. Både størrelse, kompleksitet og vesentlighet påvirker risiko, og med størrelse og kompleksitet følger for eksempel betydelige krav og utfordringer knyttet til styring og kontroll. Videre er det ingen entydig sammenheng mellom en virksomhets behov for internrevisjon og kvaliteten på styring og kontroll, som vurderes under hovedspørsmål 2. Vurderingen i tilknytning til dette hovedspørsmålet bør derfor settes i sammenheng med hovedspørsmål 1 og sees i forhold til hvor krevende det er for virksomhetslederen å skaffe seg tilstrekkelig oversikt og informasjon om tilstanden på styring og kontroll og hva som må til for å sikre forsvarlig styring og kontroll.

Vi understreker at sjekklisten ikke er ment å være en uttømmende liste over elementer dere bør vurdere, og at heller ikke alle spørsmål vil være relevante for virksomheten å vurdere. Sjekklisten er kun ment som en veiledning og inspirasjon i arbeidet med å vurdere og dokumentere denne vurderingen.