INTERNREVISOREN. Offentlige anskaffelser fra et risikoperspektiv

Transkript

1 INTERNREVISOREN Nr. 1 VÅR årgang Offentlige anskaffelser fra et risikoperspektiv Corporate Governance - internrevisjonens perspektiv Virksomheter og økonomisk kriminalitet Etikk

2 Styrets leder har ordet NIRF i vinden Først vil jeg som nyvalgt president takke for tilliten. Jeg vil gjøre mitt beste for foreningen og har stor tro på at vi beveger oss fremover ved å dele kunnskap og erfaring. Til det trenger vi en sterk og slagkraftig forening. NIRF's visjon er å være en interesseorganisasjon for alle som arbeider med eller har interesse for fagområdene intern revisjon, risikostyring samt styring og kontroll. Ut fra denne visjonen er det i strategien definert en rekke satsningsområder. Disse kan grovt sett deles i to: satsningsområder rettet mot medlemmene satsningsområder rettet mot å skape forståelse for viktigheten av intern revisjon for å bedre rammevilkårene for profesjonen Tiltakene rettet mot medlemmene er i stor grad på plass med vår veldrevne komitéstruktur og vårt tillitsmannsapparat. Sekretariatsfunksjonen har i en lang periode vært en utfordring for styret. Svein Stabekk er nå ansatt som foreningssekretær og er på plass i lokaler i Munkedamsveien 3B. Det er inngått en intensjonsavtale med NKRF om et langsiktig samarbeid om administrative funksjoner. Så langt har det vært mye å gripe fatt i for Svein, men utsiktene til varig god medlemsservice er nå etablert. På andre områder har vi ikke kommet fullt så langt til tross for gjentatte høye score på våre strategisamlinger. Arbeidet med å skape forståelse for viktigheten av internrevisjon og arbeidet med å etablere en støtte- og pådriverrolle i forhold til komiteene og de nyetablerte nettverkene er ressurskrevende. Til nå har våre ressurser vært for knappe. Det arbeides med konkrete løsninger mot realisering av denne delen av strategien. ha intern revisjon. Pendelen har de siste årene svingt kraftig som følge av de velkjente store skandalene, hvor hovedårsaken er identifisert til styrings- eller kontrollmessige svakheter. Interne revisorer har markedet med seg. Vi er dog advart vi må ikke bli hovmodige det er ikke sikkert at dette vil vedvare. Det har kommet reaksjoner på hva Sarbanes Oxley kommer til å koste. Det er grunn til å spørre om disse reaksjonene kommer fra foretakenes ledelse som blir gjenstand for mer oppfølging eller om de kommer fra eiere, styrer og revisjonskomiteer som vil oppleve økt sikkerhet, men også en økning i kostnader. Når det gjelder intern revisor og samfunnsansvar kan det sies at vårt ansvar først og fremst er å ha en uavhengig, objektiv bekreftelsesog rådgivningsfunksjon som skal tilføre merverdi og optimalisere organisasjonens drift. Vi skal fremlegge fakta slik de er. Det er et stort samfunnsansvar å utøve funksjonen slik den er definert. I Tromsø ble vi utfordret til å utrede vårt samfunnsansvar. Det ble blant annet fokusert på håndtering og rapportering av lovbrudd og at det i Norge ikke er en plikt for revisor til å rapportere alle typer lovbrudd. Jeg ser at et tiltak vi kan gjennomføre for å synliggjøre vårt samfunnsansvar er å fokusere på de policies og retningslinjer for samfunnsansvar som er etablert hos våre arbeidsgivere. Vi kan revidere om det er etablert en ansvarlig forretningsdrift med vekt på miljø, etikk og sosiale forhold. Den ikke-faglige delen av programmet i Tromsø var en svært interessant reise i byens historie med flere foredrag med tema fra byhistorien, mat- og drikkekultur og et møte med "den munnrappe nordlendingen". Internrevisjonskonferansen i Tromsø juni fokuserte på profesjonalisering av intern revisjon og samfunnsansvar. All honnør til konferansekomiteen for et vellykket arrangement. Jeg har refleksjoner rundt noen av temaene på konferansen. I det store bildet finnes det et optimalt nivå med intern revisjon hvor den siste kronen lagt ned matcher den siste kronen spart eller vunnet ved å Vi har mottatt noen innspill fra medlemmene på forbedringsområder spesielt når det gjelder generalforsamlingen. Disse innspillene er vi både avhengig av og glade for slik at vi kan forbedre oss til neste anledning. Til slutt vil jeg si lykke til med arbeidet fremover til alle tillitsvalgte og medlemmer og ønske alle en riktig solrik sommerferie! 2 INTERNREVISOREN 1 05

3 NORGES INTERNE REVISORERS FORENING President Reidar Døli DnBNOR J: M: reidar.doli@dnbnor.no Informasjons- og kommunikasjonskomiteen i NIRFS Reidar Døli leder DnBNOR J: M: reidar.doli@dnbnor.no Konferansekomiteen i NIRFS Even Nilsen leder Fagforbundet J: / even.nilsen@fagforbundet.no Programkomiteen i NIRFS Mari-Anne Teigum leder Internal Audit Activity, Nordea Bank Norge ASA J: mari-anne.teigum@nordea.com Redaksjonskomiteen i NIRFS Alf Eldar Bergset leder KPMG AS J: M: alf.bergset@kpmg.no Høringskomiteen i NIRFS Einar Døssland leder Edbo risk management J: einar@edbo.no Professional Practice Committee PPC Espen Uvholt leder Norsk Hydro J: espen.uvholt@hydro.com Nominasjonskomiteen i NIRF og NIRFS Einar Døssland leder Edbo risk management J: einar@edbo.no Foreningssekretariat NIRF og NIRFS Svein Stabekk, foreningssekretær M: Fax: post@nirf.org Postadresse: Norges Interne Revisorers Forening Postboks 1427 Vika 0115 Oslo Besøksadresse: Munkedamsveien 3B, 4. etg. Internrevisoren: Organ for Norges Interne Revisorers Forening, NIRF Antall utgivelser pr år: 2 Opplag: 600 Meninger og påstander som fremkommer i artikler eller innlegg er ikke nødvendigvis sammenfallende med NIRFs syn. Neste utgave: Vinteren 2005 Har du bidrag til bladet? Ta kontakt med redaksjonens leder for frister m.v. Abonnementspris: Årsabonnement: Kr 150,- Annonsepriser: Helside: kr 2500,- eks. mva 1/2 side: kr 1500,- eks. mva 1/4 side: kr 750 eks. mva Grafisk produksjon: Pr.info DM Hamar Forsidefoto: Scanpix Creative Innhold 2 Styrets leder har ordet 4 Redaktørens spalte 6 Offentlige anskaffelser fra et risikoperspektiv 10 IIA med faglige retningslinjer innenfor IS/IT med og uten ISACAs hjelp 13 Fakta om styreansvar 15 Corporate Governance og intern revisjon 19 Virksomheter og økonomisk kriminalitet: Varehandel, hotell og restaurant mest utsatt 23 Medlemsnytt 24 The Role of Internal Auditing in the Assessment of Corporate Ethical Culture INTERNREVISOREN

4 Redaktørens spalte Redaksjonen har denne gang valgt ut fem ulike tema som vi håper når ut til bredden av medlemmene i NIRF: Offentlige anskaffelser IIAs faglige retningslinjer innenfor IS/IT Corporate Governance Økonomisk kriminalitet Etikk Offentlige anskaffelser Offentlig sektor brukte i 2003 om lag 240 milliarder kroner på vare- og tjenestekjøp. Effektiv bruk av det offentliges ressurser er viktig for å fremme verdiskapning, sysselsetting og velferd. Lov og forskrift om offentlige anskaffelser regulerer måten det offentlige skal foreta innkjøp på. Regelverket er relativt komplisert og innehar flere fallgruver for de som skal gjennomføre anskaffelsene. Redaksjonen har vært så heldig å få advokatene Marianne Dragsten og Esther Lindalen i advokatfirmaet Haavind Vislie AS til å presentere reglene og vise oss hvor utfordringene ligger. IIAs faglige retningslinjer innenfor IS/IT Redaksjonen har gleden av å bringe en artikkel fra Frank Alvern, Nordea, hvor han omtaler IIAs viktigste initiativer for å få ut relevante faglige retningslinjer til medlemmene. I artikkelen viser Alvern hvordan NIRF har til hensikt å møte denne utfordringen gjennom etableringen av Nettverket for IT-revisjon. Corporate Governance Internrevisjoner står overfor flere utfordringer når det gjelder revisjon av virksomhetsstyring. Redaksjonen bringer i denne utgaven en kort redegjørelse for styrets ansvar etter aksjeloven som er utformet av senioradvokat Elin Sætre Løfsgaard i advokatfirmaet Haavind Vislie. Videre har vi gleden av å presentere en artikkel av Henrik Niels Olsen i Ernst & Young, som tar for seg Corporate Governance og intern revisjon. Økonomisk kriminalitet I relasjon til Corporate Governance brakte Internrevisoren i 2003 flere artikler om økonomisk kriminalitet. Vel vitende om temaets aktualitet, har redaksjonen sporet opp en ny interessant artikkel utformet av Dag Ellingsen og Vibeke Sky i Statistisk sentralbyrå. I artikkelen oppsummeres funnene fra en intervjuundersøkelse mot virksomheter med fem eller flere ansatte. Undersøkelsen er gjennomført av Statistisk sentralbyrå på oppdrag av Justisdepartementet, som et ledd i regjeringens arbeid med å bekjempe økonomisk kriminalitet. Artikkelen bygger på en større rapport fra Statistisk sentralbyrå fra 2005 (Dag Ellingsen og Vibeke Sky "Virksomheter som ofre for økonomisk kriminalitet. Rapport 2005/14, Statistisk sentralbyrå). Etikk De ulike rollene som en internrevisjon kan ha når det gjelder sine respektive, virksomheters arbeid med etiske spørsmål, var tema da Johan M. Andersen og Torbjørn Brown i Statoil skrev sin prosjektoppgave til Master of management-programmet Intern revisjon, risikostyring og Corporate Governance ved BI, våren Vi har gleden av å presentere forfatternes forkortede utgave av oppgaven. Ny redaksjon overtar Med denne utgivelsen avslutter den gamle redaksjonens sitt arbeid. En stamme fra den gamle redaksjonen vil fortsette, men ledertrøya gis nå tilbake til Alf Eldar Bergset. Som styrets representant vil Hans Conrad Hansen erstatte Solbjørg Lie. Vi gleder oss til å se resultatene fra det nye mannskapets arbeid inn mot jul! Ikke glem at du finner nyheter på NIRFs webportal! På vegne av den avtroppende redaksjonen ønsker jeg dere alle en god sommer! Redaksjonskomiteen Alf Eldar Bergset - leder KPMG AS J: M: alf.bergset@kpmg.no Karl-Helge S. Storhaug Sjøfartsdirektoratet J: M: karl-helge.storhaug@sjofartsdir.no Jens Arve Hansen Norsk Hydro J: jens.arve.hansen@hydro.com Martin W. Stevens The Mobile Media Company J: martin.stevens@mobilemedia.com Sveinung Svanberg Universitetet i Oslo J: s.k.svanberg@admin.uio.no Harald Bergh SEB, Oslo Branch J: harald.bergh@seb.se Lars Espen Tøsse Universitetet i Oslo J: l.e.tosse@admin.uio.no Hans Conrad Hansen - styrets representant Riksrevisjonen J: M: hans.conrad.hansen@riksrevisjonen.no Natalie Duchesne Yara International ASA J: nathalie.duchesne@yara.com 4 INTERNREVISOREN 1 05

5 KPMGs Strategic Performance Review and Internal Audit (K SPRint) hjelper deg til en strukturert tilnærming til de tre kritiske suksessfaktorene for intern revisjon: posisjonen, menneskene og prosessene. INTERNREVISOREN

6 Offentlige anskaffelser Offentlige anskaffelser fra et risikoperspektiv Esther Lindalen og Marianne H. Dragsten er begge advokater i advokatfirmaet Haavind Vislie hvor de i hovedsak har oppdrag innenfor offentlige anskaffelser både for offentlige oppdragsgivere og leverandører. De er forfattere av kommentarutgaven Offentlige anskaffelser i to bind utgitt på Universitetsforlaget. Kommentarutgaven gir utførlige kommentarer til hver enkelt bestemmelse i anskaffelsesloven og anskaffelsesforskriften. Kommentarutgaven omtaler også mange av endringene som vil komme i regelverket for offentlige anskaffelser fra 1. januar Lindalen og Dragsten holder i tillegg jevnlig ulike kurs innen offentlige anskaffelser. Av advokat Esther Lindalen og advokat Marianne H. Dragsten Offentlig sektor etterspør varer og tjenester i et meget stort omfang. Hvordan disse ressursene benyttes har stor betydning for samfunnsøkonomien i vid forstand. I 2003 ble det benyttet 239,6 milliarder kroner på offentlige anskaffelser i Norge. Dette utgjør 15,3% av BNP. Ved en effektiv bruk av det offentliges ressurser vil det derfor oppnås større verdiskapning, sysselsetting og velferd. Regelverket for offentlige anskaffelser har til formål å bidra til at det offentlige foretar effektive anskaffelser og skal hindre korrupsjon. Regelverket består av anskaffelsesloven, anskaffelsesforskriften og forsyningsforskriften. Sistnevnte forskrift vil ikke bli behandlet i denne artikkelen. Det er et komplisert regelverk det offentlige må forholde seg til når det foretar sine innkjøp. Dette fører igjen til at det er mange fallgruver å gå i. I denne artikkelen vil vi fokusere på noen av de mest vanlige fallgruvene og konsekvensene av å bryte regelverket. Først vil vi imidlertid si noe om regelverkets omfang og bakgrunn. Hvilke oppdragsgivere som er omfattet Regelverket regulerer det offentliges anskaffelser. Det offentlige er i første rekke kommuner, fylkeskommuner og statlige etater. Begrepet offentlig oppdragsgiver er imidlertid videre enn dette da det også omfatter offentligrettslige organer. Offentligrettslige organer er kort fortalt organer som har en sterk tilknytning til andre offentlige organer gjennom eierskap, kontroll, styreverv osv. Begrunnelsen for at slike organer er bundet av regelverket er å inkludere virksomheter som har en sammenlignbar stilling som det offentlige. Slike organer kan styres av andre hensyn enn de rent forretningsmessige som for eksempel politiske hensyn, hensyn til lokalt næringsliv osv., når de foretar sine anskaffelser. Regelverket for offentlige anskaffelser skal tvinge disse organene til å tenke forretningsmessig i forbindelse med innkjøp. Kort om bakgrunnen for regelverket Reglene om offentlige anskaffelser har bakgrunn i EUs direktiver om offentlige anskaffelser. Disse er Norge gjennom EØSavtalen forpliktet til å gjennomføre. Nasjonalt har imidlertid Norge i mange år også hatt regler for statens anskaffelser (REFSA) og enkelte kommuner har også hatt egne regler for sine anskaffelser. Det var imidlertid først ved anskaffelsesloven av 1992 at vi fikk et nasjonalt regelverk for hvordan det offentlige skulle foreta sine anskaffelser. Formålet med regelverket er å medvirke til mest mulig effektive anskaffelser for det offentlige gjennom å fremme konkurranse. Gjennom dette antas regelverket å ville medføre en prisreduksjon ved det offentliges anskaffelser. I tillegg kan det offentlige oppnå en gevinst som følge av bedre planlegging og rutiner i forbindelse med anskaffelser. God planlegging og gode rutiner fører til bedre kvalitet på tilbudene, færre dobbeltkjøp og feilinvesteringer. Et annet formål med regelverket er å hindre korrupsjon og forskjellbehandling av leverandører, med andre ord sikre en etisk opptreden. Ved å ha en regelstyrt anskaffelsesprosess der leverandørene kan etterprøve oppdragsgivers beslutninger, vil dette medvirke til å nå dette målet. Regelverkets omfang Regelverket regulerer innkjøp det offentlige foretar. Regelverket har bestemmelser både om hvilke oppdragsgivere som må følge regelverket samt hvilke anskaffelser som er omfattet. Hvilke anskaffelser som er omfattet Utgangspunktet er at samtlige anskaffelser en offentlig oppdragsgiver foretar, er omfattet av regelverket for offentlige anskaffelser. Hvilke regler som kommer til anvendelse er imidlertid avhengig av anskaffelsens verdi. Anskaffelser under kr ekskl. mva. følger i utgangspunktet kun reglene i anskaffelsesloven samt de generelle reglene i anskaffelsesforskriften del I. Denne terskelverdien er nå foreslått hevet til kr Anskaffelser mellom kr og EU s terskelverdier har noe mindre formelle regler enn anskaffelser over EU s terskelverdier. EU s terskelverdier er i dag kr. 1,8 millioner ekskl. mva ( kr. 1,15 millioner ekskl. mva. for statlige organer) for varer og tjenester og kr. 38,55 millioner ekskl. mva. for bygge- og anleggskontrakter. Den største forskjellen mellom anskaffelser over og under EU s terskelverdier er at opp- 6 INTERNREVISOREN 1 05

7 Offentlige anskaffelser dragsgiver ved anskaffelser under EU s terskelverdier står fritt til å bruke konkurranse med forhandling. Over EU s terskelverdier er hovedregelen at det skal benyttes anbudskonkurranse. Enkelte anskaffelser er eksplisitt unntatt fra anskaffelsesforskriftens anvendelsesområde. Vi vil her kun nevne noen av disse. De fleste av anskaffelsene som er unntatt fra anskaffelsesforskriften, omfattes imidlertid av anskaffelseslovens regler. Dette innebærer at de grunnleggende kravene til likebehandling, konkurranse, forutberegnlighet, gjennomsiktighet og etterprøvbarhet gjelder for disse anskaffelsene. Anskaffelser som er unntatt fra anskaffelsesforskriftens anvendelsesområde er blant annet kontrakter som er erklært hemmelige eller underlagt særskilte sikkerhetstiltak. Her menes typisk informasjon som må holdes hemmelig på grunn av nasjonale interesser. Kontrakter om erverv og leie av fast eiendom og eksisterende bygninger er også unntatt fra anskaffelsesforskriftens anvendelsesområde. I forhold til dette unntaket oppstår det en rekke grenseproblemstillinger. Det er blant annet uklart hvilke tjenester som kan inkluderes i en leiekontrakt uten at anskaffelsesforskriften kommer til anvendelse på tjenestene. I praksis har vi også sett at grensen mellom leie av eksisterende bygg som er unntatt fra anskaffelsesforskriften, og kontrakter som forutsetter at eksisterende bygg skal bygges om slik at man i realiteten kan stå ovenfor en bygge- og anleggskontrakt som er omfattet av regelverket, kan være vanskelig å forholde seg til. Ansettelseskontrakter faller utenfor anskaffelsesforskriften. Her må det trekkes en grense mot konsulentoppdrag og andre tjenester fra selvstendig næringsdrivende. Forsknings- og utviklingstjenester hvor oppdragsgiver ikke fullt ut betaler for tjenesten eller den ikke fullt ut tilfaller oppdragsgiver i hans virksomhet faller videre utenfor anskaffelsesforskriften. Forsknings- og utviklingskontrakter om varer og bygg- og anlegg er imidlertid omfattet av anskaffelsesforskriften. Hva må offentlige oppdragsgivere ha kontroll på for å sikre at regelverket etterleves Kjennskap til regelverket Den viktigste måten å forebygge brudd på regelverket om offentlige anskaffelser er å sørge for at ansatte har kjennskap til regelverket og hvordan dette skal benyttes. Dette forutsetter at ansatte som foretar anskaffelser får opplæring i hvilke regler som gjelder og hvordan anskaffelsesprosedyrene praktisk skal gjennomføres. Regelverket om offentlige anskaffelser er nå under revisjon. Ny anskaffelsesforskrift antas å bli innført fra 1. januar Det nye regelverket vil gi nye muligheter for offentlige oppdragsgivere gjennom blant annet nye anskaffelsesprosedyrer. Det er i denne sammenhengen viktig for offentlige oppdragsgivere å påse at ansatte får opplæring i endringene slik at de er klare til å anvende de nye reglene fra endringene trår i kraft. Kvalitetssikring av anskaffelser underveis Det er viktig at det offentlige kvalitetssikrer sine anskaffelser underveis for å sikre at feil blir avdekket. Dette vil i tillegg til å avdekke feil også være med på å gi det offentlige bedre kjennskap til regelverket og hindre at samme feilen blir begått flere ganger. Siden regelverket er komplisert, vil ikke alle ansatte som har med anskaffelser å gjøre alltid kunne ha full oversikt over hvilke regler som gjelder. Det er derfor ofte å anbefale at oppdragsgiver gir noen ansatte særlig god opplæring i regelverket. Disse ansatte bør da ha en kontrollfunksjon ved at alle anskaffelser kvalitetssikres av disse. Har oppdragsgiver ikke ressurser til å ha egne ansatte med denne kompetansen, anbefales det at konkurransemateriell, beslutninger osv. kvalitetssikres av ekstern ekspertise. Trår oppdragsgiver feil i forhold til regelverket, kan dette bli dyrt for oppdragsgiver. Det vil derfor være effektiv ressursbruk å ha en slik kontrollfunksjon. Selv om oppdragsgiver overlater kontrollansvaret til enkelte ansatte eller eksterne ressurser, er det likevel svært viktig at alle som har med oppdragsgivers anskaffelser å gjøre, har en viss minimumskunnskap om hvilke regler som gjelder for det offentliges anskaffelser. Utarbeidelse av gode rutiner Det er viktig for det offentlige å ha gode rutiner innenfor området for offentlige anskaffelser. Utarbeidelse av gode rutiner vil svekke risikoen for at det begås feil. Rutinene bør innarbeides gjennom for eksempel kurs for de ansatte i praktisk gjennomføring av anskaffelser og egne håndbøker i hvordan de ansatte skal forholde seg i ulike situasjoner. Oppdragsgiver bør også ha maler på konkurransegrunnlag og andre dokumenter som må utarbeides ved den enkelte anskaffelse. Slike rutiner kan utarbeides enten internt eller ved hjelp av ekstern ekspertise. Samarbeid med andre avdelinger eller andre offentlige organer Utveksling av informasjon mellom offentlige oppdragsgivere kan være nyttig for å hindre at det begås feil i forbindelse med anskaffelser. Dette kan gi kunnskap om de vanligste feilene som begås, samt gi økt kunnskap om regelverket. Vi ser blant annet en god nytteeffekt av at offentlige oppdragsgivere har jevnlige møter med hverandre hvor aktuelle problemstillinger diskuteres. Hvilke fallgruver finnes? Innledning Det gjøres svært mange feil i forbindelse med offentlige anskaffelser. Dette viser blant annet saksomfanget til klagenemnda for offentlige anskaffelser. En årsak til dette er selvfølgelig at regelverket er komplisert, men etter vår oppfatning er kunnskapen om regelverket i offentlig sektor generelt for dårlig sett i betraktning av at regelverket har vært gjeldende forholdsvis lenge. Vi ser imidlertid en økt bevisstgjøring om regelverket de siste par årene. Det finnes mange fallgruver det offentlige kan gå i ved sine anskaffelser. Vi vil her kun ta opp noen av disse. Dårlig planlegging ved utforming av konkurransegrunnlaget For at en anskaffelse skal bli effektiv er det svært viktig å legge ressurser i planleggingsfasen. Det er her grunnlaget for en vellykket anskaffelse ligger. Det er gjennom planleggingen av anskaffelsen at det offentlige definere sitt behov. En god oversikt over eget behov er en forutsetning for å kunne utforme konkurransegrunnlaget slik at leverandørene kan inngi tilbud som best mulig dekker dette behovet på en økonomisk mest fordelaktig måte. Vi ser ikke sjelden at dårlig planlegging fører til at det offentlige ikke får den ytelse eller den kvaliteten på anskaffelsen som ønskes. Planleggingen av anskaffelsen starter ofte på et stadium hvor det begynner å haste å få satt i gang anskaffelsen og dermed nedprioritere oppdragsgiver arbeidet med utarbeidelsen av konkurransematerialet. Dette kan bli dyrt for oppdragsgiver enten ved at behovet ikke blir godt nok dekket eller at oppdragsgiver tvinges til å velge et tilbud som reelt sett ikke er det beste ut fra oppdragsgivers behov. Særlig viktig er det å bruke ressurser på å utarbeide en god kravspesifikasjon og å fastsette tilde- INTERNREVISOREN

8 Offentlige anskaffelser lingskriterier som kan identifisere det beste tilbudet for oppdragsgiver. Utformingen og anvendelsen av tildelingskriteriene Utformingen av tildelingskriteriene er ofte kritisk både i forhold til at det offentlige skal få den ytelse de ønsker og i forhold til hvorvidt anskaffelsen er i henhold til regelverket. Tildelingskriterienes funksjon er å angi hvilke forhold ved tilbudet som vil bli vurdert ved tildelingen av oppdraget. I hovedtrekk er det to feil som går igjen. For det første er ofte tildelingskriteriene ikke gjennomtenkte nok slik at oppdragsgiver når tilbudene skal evalueres ikke kan legge vekt på forhold som kan ha betydning for tilbudenes verdi. Det er svært viktig å være klar over at tildelingskriteriene ikke kan endres underveis. Det er heller ikke tillatt å legge vekt på andre forhold enn de angitte tildelingskriteriene. Videre er oppdragsgiver forpliktet til å legge vekt på samtlige tildelingskriterier som er oppgitt selv om oppdragsgiver finner ut at et kriterium ikke var hensiktsmessig likevel. Den andre feilen som ofte begås, er at oppdragsgiver benytter ulovlige tildelingskriterier. Mange oppdragsgivere er av den oppfating at man står helt fritt i å angi tildelingskriterier. Dette er ikke riktig. Selv om oppdragsgiver har et forholdsvis vidt innkjøpsfaglig skjønn ved fastsettelsen av tildelingskriteriene, finnes det noen rammer man må holde seg innenfor. Kort fortalt må tildelingskriteriene ha en tilknytning til det som skal anskaffes, være relevant for kontraktens verdi, ikke gi oppdragsgiver et ubetinget fritt valg, være i samsvar med de grunnleggende kravene i anskaffelsesloven, herunder kravet til likebehandling og fremgå av kunngjøringen eller konkurransegrunnlaget. Selv om det offentlige har benyttet lovlige kriterier i konkurransegrunnlaget ser vi ofte at det foretas feil ved den konkrete vurderingen av tilbudene opp mot tildelingskriteriene. Det er som nevnt ovenfor slik at tilbudene skal vurderes opp mot alle de angitte tildelingskriteriene. I mange tilfeller skjer ikke dette. En annen feil vi ser er at det legges vekt på forhold som ikke går inn under noen av de oppgitte tildelingskriteriene. Evalueringen av tilbudene Selve evalueringen av tilbudene er meget sentralt. Det er denne vurderingen som legger grunnlag for avgjørelsen om hvem som skal vinne konkurransen. Feil i denne vurderingen vil derfor kunne medføre at kontrakten tildeles feil leverandør. I en anbudskonkurranse er det et absolutt forbud mot forhandlinger i den perioden tilbudene evalueres, dvs. fra tilbudsfristens utløp. Dette innebærer at oppdragsgiver ikke kan ta kontakt med en leverandør dersom dette gir leverandøren muligheten til å endre sitt tilbud. Oppdragsgiver har imidlertid en snever adgang til å avklare uklarheter i et tilbud. I praksis ser vi ofte at ulovlige forhandlinger kamufleres som lovlige avklaringer. Leverandører tar ofte forbehold i tilbudene. Oppdragsgiver har da plikt til å evaluere den økonomiske betydningen av leverandørens forbehold. I praksis ser vi ofte at dette ikke gjøres. Begrunnelsen fra oppdragsgiver er gjerne at det ikke er mulig å prissette forbeholdet. Regelverket forutsetter imidlertid at alle forbehold skal prissettes. Er ikke dette mulig, skal tilbudet avvises. Gjennomføring av konkurranse med forhandling Mange oppdragsgivere tar for lett på selve gjennomføringen av forhandlingene i en konkurranse med forhandling. Regelverket har ikke detaljerte regler om gjennomføringen av forhandlingene. Dette betyr imidlertid ikke at oppdragsgiver står fritt når det gjelder hvordan forhandlingene skal gjennomføres. Generelt skal gjennomføringen av forhandlingene være i samsvar med de grunnleggende kravene til likebehandling, god forretningsskikk, forutberegnlighet, gjennomsiktighet og etterprøvbarhet. Oppdragsgiver plikter blant annet å føre reelle forhandlinger med samtlige leverandører som har reell mulighet til å få kontrakten. En god tommelfingerregel er at alle leverandører minst får en mulighet til å forbedre tilbudet sitt. Det er også viktig å påse at forhandlingene ikke gjennomføres sli at noen leverandører får en konkurransefordel på grunn av måten forhandlingene gjennomføres på. En vanlig feil er at kravet til etterprøvbarhet ikke blir ivaretatt. Kravet om etterprøvbarhet innebærer at oppdragsgiver skal kunne dokumentere hva som har funnet sted under forhandlingene. Dette forutsetter blant annet at det føres skriftlig referat fra alle forhandlinger og at alle viktige beslutninger som fattes protokolleres. Det er også sterke begrensninger på oppdragsgivers adgang til å gi informasjon om de øvrige leverandørenes tilbud. Oppdragsgiver kan for eksempel ikke oppgi øvrige leverandørers priser eller konkrete forhold i tilbudene. Disse begrensningene går lengre enn oppdragsgivers generelle taushetsplikt. Vi ser også at mange oppdragsgivere ikke er klar over at endringer som foretas i tilbudene gjennom forhandlingene, må gis skriftlig fra leverandøren. Dette følger av anskaffelsesforskriftens krav til at alle endringer av tilbud skal foretas skriftlig. Uriktig anvendelse av avvisningsreglene Det er svært viktig å håndtere avvisningsreglene riktig. Feil i forhold til disse reglene kan få store konsekvenser for oppdragsgiver både i form av krav om stansing av anskaffelsesprosessen gjennom en midlertidig forføyning og høye erstatningskrav. Vi ser ofte at oppdragsgivere unnlater å avvise tilbud som skulle vært avvist. Årsaken ligger muligens i oppdragsgivers frykt for konflikt med leverandøren som blir avvist. Typiske forhold som skulle ha ført til avvisning uten at dette skjer, er at leverandøren har tatt forbehold som ikke kan prissettes. Dette fører til at tilbudet ikke kan sammenlignes med øvrige tilbud og da skal det avvises. Unnlater oppdragsgiver å avvise en leverandør som skulle ha vært avvist og denne får tildelt oppdraget, vil leverandøren som ble nummer to i konkurransen, kunne kreve erstatning basert på at han egentlig skulle hatt kontrakten. Dette kan bli svært dyrt for oppdragsgiver. Selv om det er noe mer uvanlig, ser vi også at oppdragsgivere avviser tilbud som ikke skulle vært avvist. Dette vil også kunne medføre erstatningsansvar for oppdragsgiver. Særlig omfattende vil ansvaret kunne bli dersom leverandøren som ble avvist, ville har vunnet konkurransen om ikke tilbudt var blitt avvist. Konsekvenser av ikke å følge regelverket Målet med regelverket om offentlige anskaffelser er som nevnt, å effektivisere innkjøpene til det offentlige gjennom blant annet økt konkurranse. For å oppnå dette er det viktig at leverandørene har tillit til at oppdragsgiver overholder regelverket, herunder likebehandler alle leverandørene og foretar en forsvarlig evaluering av tilbudene. Opplever leverandørene gjentatte ganger at 8 INTERNREVISOREN 1 05

9 Offentlige anskaffelser oppdragsgivere ikke forholder seg til regelverket, vil dette kunne medføre at leverandørene ikke ønsker å være med i konkurranser. Dette vil svekke konkurransen og dermed målet om mest mulig effektive anskaffelser. Brudd på regelverket kan medføre at leverandører klager oppdragsgiver inn for KOFA. Kommer KOFA til at oppdragsgiver har begått feil, vil dette bli publisert på KOFAs hjemmesider og være tilgjengelig for de som ønsker det. Selv om KOFAs avgjørelser ikke er bindende vil det å bli dømt av KOFA ofte være ubehagelig for en oppdragsgiver. Får leverandøren medhold i KOFA, ser vi også at terskelen får senere å anlegge erstatningssak for domstolen, er relativ lav. Mener en leverandør at det er begått feil i anskaffelsesprosessen, kan han begjære midlertidig forføyning ved domstolen. Får han medhold i den midlertidige forføyningen, er konsekvensen av dette at anskaffelsesprosessen stanses enten inntil partene blir enige, feilen er rettet eller spørsmålet avgjort av domstolen ved sivilt søksmål. En midlertidig forføyning kan derfor føre til store forsinkelser i anskaffelsesprosessen. Begås det feil i en konkurranse vil dette kunne medføre erstatningsansvar for oppdragsgiver. Det er to mulige ansvarsformer som er aktuelle; den negative kontraktsinteresse og den positive kontraktsinteresse. Med den negative kontraktsinteresse menes at leverandøren får erstattet utgiftene han har hatt ved å delta i konkurranse typisk utgiftene ved å utarbeide tilbudet. Slik erstatning kan kreves der oppdragsgiver har begått feil som gjør at leverandøren ikke ville ha deltatt om han på forhånd visse om at disse feilene ville bli begått. Med den positive kontraktsinteressen menes tilfeller der leverandøren får erstattet fortjenesten han ville hatt dersom han hadde fått oppdraget. Erstatning for den positive kontraktsinteresse kan således komme opp i betydelige beløp. Slik erstatning kan kreves der oppdragsgiver har begått vesentlige feil i forbindelse med anskaffelsesprosessen og dette har medført at det er klart at leverandøren skulle ha fått oppdraget dersom feilen ikke var begått. KOFA saksbehandling og oppbygging Klagenemnda for offentlige anskaffelser (KOFA) er et rådgivende organ som behandler brudd på anskaffelsesloven og forskrifter med hjemmel i denne. KOFA virksomhet startet 1. januar Antall saker brakt inn for KOFA viser at det har vært et stort behov for et særskilt klageorgan ved siden av de ordinære domstolene. Enhver som har saklig interesse, kan inngi klage til KOFA. Klageberettigede vil i første rekke være leverandører som har deltatt i en konkurranse arrangert av en offentlig oppdragsgiver. Det samme gjelder leverandører som ønsker/ønsket å delta i en konkurranse, men som på grunn av oppdragsgivers handlemåte ikke har fått mulighet til dette. Klage må fremsettes skriftlig senest seks måneder etter at kontrakt ble inngått av oppdragsgiver. Kontrakt anses inngått når kontrakten er underskrevet av begge parter. Klagen inngis til KOFAs sekretariat. I klagen må det fremgå hvem klager er, herunder klagers adresse, hvilken anskaffelse det gjelder, hvem som er oppdragsgiver og oppdragsgivers adresse. Videre må det angis de faktiske og rettslige forholdene som er grunnlaget for klagen. De relevante dokumentbevisene må dessuten vedlegges. Det må innbetales ett rettsgebyr før saken tas til behandling. Klagen sendes til oppdragsgiver som får en kort tilsvarsfrist (helst ikke over 14 dager). Oppdragsgivers tilsvar sendes deretter klager med en kort frist for ytterligere kommentarer (helst ikke over 10 dager). Det kan gis anledning til ytterligere kommentarer dersom saken ikke anses tilstrekkelig opplyst etter dette. Overholdes ikke fristene for å komme med kommentarer, anses saksforberedelsene avsluttet. Klagenemnda avviser imidlertid ikke kommentarer som inngis etter den fastsatte fristen. Oppdragsgiver har plikt til å delta i klagebehandlingen. Dette innebærer blant annet at oppdragsgiver må inngi tilsvar og stille nødvendige opplysninger til disposisjon for KOFA. Det er klagenemndas sekretariat som forbereder saken. Sekretariatet skal ifølge klagenemndas interne retningslinjer for saksbehandlingen, bidra til at partenes anførsler blir så klare som mulig. Saken legges deretter frem for KOFA som behandler saken skriftlig. I den enkelte sak settes klagenemnda med tre medlemmer. Beslutningen om uttalelsens innhold treffes med simpelt flertall. Uttalelsen avgis skriftlig og skal begrunnes. KOFAs uttalelse gjelder kun spørsmålet om hvorvidt oppdragsgiver har brutt anskaffelsesloven med forskrifter. Klagenemnda tar ikke stilling til forhold som faller inn under oppdragsgivers frie skjønn, herunder om oppdragsgiver har opptrådt hensiktsmessig, rimelig eller økonomisk fornuftig utover rammene som følger av regelverket. KOFA uttaler seg heller ikke om de rettslige konsekvensene av brudd, men kan, dersom den finner grunn til det, uttale seg om hvorvidt vilkårene for erstatning er oppfylt. KOFA tar imidlertid ikke stilling til størrelsen på et eventuelt økonomisk tap. Klagenemndas uttalelser er offentlige og publiseres på klagenemndas hjemmeside, INTERNREVISOREN

10 IIA-retningslinjer IIA med faglige retningslinjer innenfor IS/IT med og uten ISACAs hjelp Frank Alverns formelle tittel er Head of Competence & Development Centre, Nordea Internal Audit Activity. Her er han medlem av ledergruppen og har spesifikt ansvar for kompetanse og metode for en internrevisjonsavdeling som teller omlag 125 personer lokalisert i 8 land. Frank er tidligere president i NIRF, og var sentral i arbeidet som resulterte i fusjonen med NFRF i Nå senest har han vært en av "fødselshjelperne" til den nye Nettverksgruppen for IT. Frank har vært engasjert i internasjonalt komitearbeide i The Institute of Internal Auditors (IIA) siden 2001, og ble i 2004 valgt inn for en treårsperiode i IIA's Board of Regents som har det globale ansvaret for foreningens sertifiseringsprogram. Av Frank Alvern, Nordea I slutten av april dukket det opp en liten melding på The Institute of Internal Auditors (IIA) sine hjemmesider. Tittelen var uskyldig nok: The IIA s new practice advisories adopted from ISACA guidance. Men det er i høyeste grad mye historie bak dette, og mye fremtid også skal vi tro ISACAs egen omtale av den samme begivenheten. I denne artikkelen vil jeg omtale to av IIAs viktigste initiativer for å få ut relevante faglige retningslinjer til medlemmene: 1) Felles retningslinjer med ISACA og 2) GTAG. Endelig vil jeg kort beskrive hvordan NIRF møter denne utfordringen gjennom etableringen av Nettverket for IT-revisjon. Historiske Practice Advisories (PA) fra IIA nå i april 22. april 2005 er den formelle datoen på syv historiske PAs fra vår moderorganisasjon. For første gang har IIA nå endorsed som det formelt heter, rettledninger fra ISACA. Her er de syv første som er godkjent i Fase I og opptatt som fullverdige Practice Advisories: ISACAs nummer * Tittel på IIAs Practice Advisories Fase I G3 Computer Assisted Audit Techniques (CAATS) G14 Application Systems Review G10 Audit Sampling G11 Effect of Pervasive IS Controls G16 Effect on 3rd Parties on an Organization s IT Controls G2 Audit Evidence Requirement G4 Outsourcing of IS Activities * G = IS Auditing Guidelines (nivå to i ISACAs guidance-struktur tolker IS Auditing Standards som er nivå en) Det har vært en lang ferd frem mot denne begivenheten! Jeg var selv med på å gjennomgå flere av disse tilbake Guidelines som ISACA kaller dem, i IIA s Advanced Technology Committee for 3-4 år siden. Konklusjonen fra vår komite den gangen var at dette var måten å gjøre det på: hvorfor skulle IIA finne opp kruttet igjen når det allerede var utarbeidet utmerkede rettledninger fra våre kollegaer i ISACA? Lang og felles prosess IIA nedsatte en ISACA Guidance Task Force tilbake i I tillegg til medlemmer fra Advanced Technology Committee var også medlemmer fra Internal Auditing Standards Board og Professional Issues Committee med fra IIAs side, og så fikk man med medlemmer fra ISACAs eget Standards Board. Det offisielle formålet for denne Task Force n var to examine ISACA guidance to assess which ISACA guidelines and procedures were appropriate for adoption by IIA, after minor modifications. To nye bølger av ISACA-baserte PAer kommer ISACA omtalte denne begivenheten i sitt elektroniske medlemsblad Global Communique (Volume 5, 2005). Her informeres at det om IIAs ISACA Guidance Task Force har godkjent mye mer av ISACAs guidance. Man arbeider nå med å få pakket inn disse i en PA-drakt. Gruppen planlegger å presentere disse i to fasene slik illustrasjon på neste side viser: 10 INTERNREVISOREN 1 05

11 IIA-retningslinjer ISACAs nummer * Arbeidstittel Fase II G21 Enterprise Resource Planning (ERP) Systems Review G23 System Development Life Cycle (SDLC) Review G24 Internet Banking P3 Intrusion Detection P4 Viruses and Other Malicious Code P6 Firewalls Fase III G22 Business-to-consumer (B2C) E-commerce Review G26 Business Process Reengineering (BPR) Project Reviews G27 Mobile Computing G25 Review of Virtual Private Networks G28 Computer Forensics P8 Security Assessment Penetration Testing and Vulnerability Analysis P9 Evaluation of Management Controls Over Encryption Methodologies * G = IS Auditing Guidelines (nivå to i ISACAs guidance-struktur tolker IS Auditing Standards som er nivå en) * P = IS Auditing Procedures (nivå tre gir eksempler på prosedyrerer en IS-revisor bør følge) ISACAs egen omtale av dette ISACA omtalte denne begivenheten i sitt elektroniske medlemsblad Global Communique (Volume 5, 2005). Innledningsvis konkluderer ISACA med at: This approach will streamline the development effort for IIA and ensure that the significant number of auditing professionals who are members of both ISACA and IIA have a single, compatible set of guidance from which to work. Amen! Og slik avsluttes artikkelen: GLOBALE VEILEDNINGER FOR TEKNOLOGIREVISJONER INFORMASJON TEKNOLOGI KONTROLL This joint effort between ISACA and IIA recognizes the value of ISACA s standards, guidelines and procedures, and takes a big step toward establishing a common set of IS auditing guidance. The IIA s ISACA Guidance Task Force will continue to review published and future ISACA guidance to identify additional guidance for adoption by the IIA as practice advisories. Global Technology Audit Guide (GTAG) en realitet Stig Sunde og Rune Johannessen i Riksrevisjonen samt undertegnede, bidro i begynnelsen av året med innspill til IIA på det som 1. april ble publisert som GTAG # 1: Information Technology Controls. Når dette leses foreligger også den norske oversettelsen av denne første guiden i en serie av mange, mer om det nedenfor. GTAG # 2: Change and Patch Management Controls: Critical for Organizational Success er allerede ute på høring, og vil etter planen foreligge i endelig versjon i juli Begge lastes gratis ned på orginalspråket fra IIAs hjemmesider: Cutting through the jargon GTAG ble lansert gjennom en pressemelding som inneholdt et sitat fra IT-revisjonssjefen i General Motors, som oppsummerer det IIA vil oppnå gjennom denne storsatsingen på en bra måte: What s lacking is good, non-technical guidance including practices for assessing and maintaining internal controls that meet effectiveness, efficiency, and regulatory and best-practice requirements of INTERNREVISOREN

12 IIA-retningslinjer any organization, said Jay R. Taylor, general director of Information Technology Audit at General Motors Corporation. GTAG helps by cutting through the jargon associated with IT audits and explaining the risks and key controls in business language. I feel this is really something that has not been available to CAEs and audit committees in the past - good, solid IT material in management s language. Så får hver enkelt av oss vurdere hvor godt man lykkes. Jeg har notert meg at Jay Taylor står som en av forfatterene av GTAG # 2! Mange tunge partnere men ikke ISACA IIA og ISACA har altså funnet hverandre når det gjelder faglige revisjonsretningslinjer. Imidlertid glimrer ISACA ved sitt fravær under den imponerende partnerlisten til GTAG: American Institute of Certified Public Accountants (AICPA) Center for Internet Security (CIS) Canadian Institute of Chartered Accountants (CICA) Carnegie Melon University Software Engineering Institute (CMU SEI) International Federation of Accountants (IFAC) Information Systems Security Association (ISSA) National Association of Corporate Directors (NACD) SANS Institute. Nettverket for IT-revisjon er nå en realitet i NIRF På foreningens generalforsamling i Tromsø den 5. juni, så de tre første faglige nettverkene sitt lys. Nettverket for IT-revisjon er allerede godt i gang med sitt arbeide. IT-revisjon var ett av hovedtemaene på den påfølgende todagerskonferansen, hvor arbeidsutvalget med leder Stig Sunde i spissen hadde forberedt tre plenumsforedrag. Som en del av det første foredraget, som var en felles presentasjon mellom Gerry Cox fra IIAs internasjonale styre og Stig Sunde, ble den norske oversettelsen av GTAG # 1: Teknologi Informasjon Kontroll formelt lansert av foreningen. Viktigheten av å ha en norsk utgave av det som på mange måter er moderdokumentet i GTAG-serien, og som de senere guider vil referere til og utdype, kan etter arbeidesutvalgets mening ikke overvurderes. GTAG nr 3 og 4 kommer etter planen også i år Gerry Cox sin kalte sin presentasjon i Tromsø for What is The IIA Doing Regarding Technology?. GTAG er selve flaggskipet i denne satsingen, og den gode engelskmannen kunne fortelle at ytterligere to veiledninger er planlagt sluppet i Nummer 3 kommer i september og har tittelen Continuous Monitoring. Utrolig nok var det også tittelen på en av IT-nettverkets fellespresentasjoner i Tromsø! Helge Aam fra Deloitte og Stig Sunde selv holdt denne, og kan i alle fall ikke anklages for å ikke være tidsaktuell Den fjerde veiledningen heter Privacy, og her ba Cox spesifikt om å få norsk input. Stig deltar i sitt første møte som nyvalgt medlem i Advanced Technology Committee i Chicago i juli, og er selvsagt mannen å kontakte dersom du har interesse av å bidra i så måte. Samarbeidet mellom NIRF og ISACA i Norge NIRF har i mange år hatt et godt samarbeide med ISACA i Norge. Tilbud rundt CobiT-rammeverket er et godt eksempel på dette. Vi har mange felles medlemmer, og felles interesser i å hjelpe disse til å gjøre en god jobb som internrevisor, rådgiver, controller eller hva den formelle tittelen på visittkortet nå skulle være. Personlig synes jeg er det er svært gledelig at begge foreningene nå altså går mot ett felles sett av faglige retningslinjer. Her ligger selvsagt en riktig fin mulighet for et praktisk samarbeide for oss i Norge. En prioritert oppgave for det nyvalgte arbeidsutvalget for NIRFs nye nettverk, vil være å arbeide for at vi får en best mulig utnyttelse av knappe frivillige ressurser som begge foreningene er avhengig av. NIRF har igangsatt oversettelse av COSO ERM Oversatt utgave skal være ferdig og i salg fra september Hele boksettet vil koste NOK 600,00 og kan bestilles fra sekretariatet allerede nå. Norsk utgivelse vil publiseres på nirf.org 12 INTERNREVISOREN 1 05

13 Fakta om styreansvar Fakta om styreansvar Elin Sætre Løfsgaard er senioradvokat i advokatfirmaet Haavind Vislie, med skatterett, selskapsrett og transaksjoner som hovedarbeidsområder. Løfsgaard har lang erfaring fra ulike stillinger i Finansdepartementet. Hun er forfatter av Personalopsjoner, en håndbok, utgitt av Teknologibedriftenes Landsforening i Av senioradvokat Elin Sætre Løfsgaard, advokatfirmaet Haavind Vislie Et vesentlig kjennetegn ved aksjeselskapsformen at aksjeeierne ikke har økonomisk ansvar for selskapets forpliktelser utover den kapital som er skutt inn. Til gjengjeld skal aksjeselskaper etableres med et styre som har ansvar for å lede selskapets virksomhet innenfor lovens rammer. Styret påtar seg ikke et personlig ansvar for de forpliktelser selskapet måtte påta seg. Styrets medlemmer kan imidlertid pådra seg erstatningsansvar overfor den eller de som lider tap ved at styret ikke utfører sine oppgaver på en tilfredsstillende måte, dvs. dersom styremedlemmet opptrer uaktsomt. Med uaktsomhet menes her et brudd på en handlingsnorm knyttet til utøvelsen av rollen som styremedlem. For at erstatningsansvar skal være aktuelt, må det i tillegg foreligge et erstatningsmessig tap og dessuten årsakssammenheng mellom tapet og den uaktsomheten som er utvist. Styret er et kollegialt organ. Styreansvaret er imidlertid individuelt, og spørsmålet om det foreligger uaktsomhet vurderes derfor individuelt for det enkelte styremedlem, med utgangspunkt i de beslutninger som vedkommende har tatt del i. Det er generelt en fordel for arbeidet i et kollegialt organ som styret at det søkes konsensus i de saker som behandles, slik at styrets medlemmer kan stå sammen om de beslutninger som treffes. Dersom et styremedlem er uenig med flertallet i en sak, kan vedkommende imidlertid fri seg for eventuelt ansvar i tilknytning til den aktuelle beslutning ved å stemme mot beslutningen, noe som også skal fremgå av styreprotokollen. Styremedlemmet har videre rett til å kreve sin oppfatning av det aktuelle spørsmålet inntatt i protokollen. Dersom uenigheten gjelder potensielt ansvarsbetingende beslutninger, vil bruken av denne retten være av avgjørende betydning i forhold til det individuelle styremedlemmets ansvar. Manglende konsensus om avgjørende spørsmål kan imidlertid forstyrre arbeidet i et kollegialt organ som styret, og man kan derfor også komme dit at man bør vurdere å trekke seg som styremedlem når man ser at det foreligger uenighet om grunnleggende spørsmål, ettersom styrets videre arbeid nødvendigvis vil måtte bygge videre på flertallets beslutning. Ansvar overfor kreditorene Styret kan blant annet pådra seg økonomiske forpliktelser overfor selskapets kreditorer (leverandører, ansatte, långivere, offentlige myndigheter m.fl.) i forbindelse med håndteringen av selskapets økonomi. Styrets forpliktelser på dette området er kommet til uttrykk i aksjeloven ved at det settes krav til at selskapet til enhver tid har en forsvarlig egenkapital ut fra risikoen ved og omfanget av selskapets virksomhet, jfr. aksjeloven 3-4. Dersom selskapets egenkapital er lavere, eller mer enn 50 % av aksjekapitalen er tapt, er styret pålagt straks å behandle saken og innen rimelig tid innkalle generalforsamlingen for å drøfte tiltak for å bedre egenkapitalsituasjonen, eller alternativt oppløsning av selskapet, jer aksjeloven 3-5. Dersom forpliktelsen til å behandle saken og foreslå nødvendige tiltak overfor generalforsamlingen ikke overholdes, kan det reise seg spørsmål om økonomisk ansvar. Det økonomiske ansvaret omfatter i så fall bare tap som skyldes at handleplikten ikke er overholdt, noe som ikke nødvendigvis svarer til det tap selskapet eller andre lider som følge av en negativ utvikling i selskapet. Blant de vanskelige spørsmålene som det må tas stilling til for å avgjøre om handleplikten er overholdt, er hva som utgjør forsvarlig egenkapital. Det fremgår ikke direkte av loven hva som er forsvarlig egenkapital for det enkelte selskap dette er et skjønnsmessig spørsmål som styret må ta stilling til. I denne sammenheng er styrets øvrige handleplikter etter aksjeloven vesentlig. I henhold til aksjeloven 6-12 skal styret sørge for forsvarlig organisering av virksomheten, fastsette planer, budsjetter og andre retningslinjer for virksomheten i nødvendig utstrekning og påse at virksomheten, regnskapet og formuesforvaltningen er under betryggende kontroll. Det er også fastsatt eksplisitt at styret skal iverksettes de undersøkelser som er nødvendige for å kunne utføre disse oppgavene. I tillegg er daglig leder forpliktet til å gi styret underretning om selskapets virksomhet, stilling og resultatutvikling hver 3. måned. Derved innhentes det faktiske grunnlag for de vurderinger som skal foretas. Styret må på grunnlag av denne informasjonen vurdere følgende: - Kan en forutsetning om fortsatt drift legges til grunn? Dette forutsetter normalt evne til fortsatt drift i minst ett år. - Hvilke mer- og mindreverdier knytter til de enkelte regnskapsposter på vurderingstidspunktet. - Hvilken risiko knytter det seg til budsjettforutsetningene som legges til grunn, jfr. at egenkapitalen skal stå i forhold til virksomhetens omfang og risiko forbundet med virksomheten. INTERNREVISOREN

14 Fakta om styreansvar - Selskapets finansiering, tatt i betraktning den løpende likviditeten, jfr. at kreditorer i utgangspunktet skal betales etter hvert som kravene forfaller. Kravet er at det foretas en vurdering, og at vurderingene er forsvarlige. Den vurderingen som foretas bør protokolleres, særlig dersom selskapets situasjon er vanskelig. At vurdering foretas hver 3 måned er et minstekrav; i vanskelige situasjoner må den foretas oftere. En feilvurdering vil ikke medføre ansvar. Derimot kan det medføre ansvar dersom vurderingene ikke foretas, eller dersom vurderingene som er gjort ikke kan anses som forsvarlige, tatt i betraktning de fakta man hadde på bordet da vurderingen ble foretatt. Dersom man kommer dit at egenkapitalen er tapt som følge av uforutsette omstendigheter, må styret foreta vanskelige avveininger av hva som tjener hhv. kreditorene, bedriften og de ansatte, der det vil være et spillerom for skjønnsutøvelse ved valg av handlemåte. Ansvar overfor det offentlige, ansatte mm Styret skal påse at virksomheten tilfredsstiller de krav som lovgivningen setter, så som miljømessige krav, krav til arbeidsmiljøet og andre offentlige reguleringer. Det kreves at styret gjør det som etter omstendighetene kan forventes mht. å etablere kontrollrutiner for hindre at lovbrudd skjer. Ansvar overfor investorer Ved kapitalforhøyelser skal styret skal blant annet sørge for verdsettelse av eventuelle tingsinnskudd, lage forslag til generalforsamlingsbeslutning, og eventuelt tilrettelegge tegningsinnbydelse. Styret kan pådra seg økonomisk ansvar overfor tredjemann, dersom tredjemann lider tap som følge av at det gis uriktige eller villedende opplysninger om selskapet i forbindelse med innbydelse til tegning av aksjer i selskapet (prospektansvaret). Videre kan styret pådra seg økonomisk ansvar overfor investorer for tap disse pådrar seg som følge av at den løpende informasjonsplikten ihht. børsreglene ikke overholdes. Først og fremst et ansvar overfor eierne, dvs. selskapsinteressen Styret må avveie mange kryssende hensyn og interesser i forvaltningen av selskapet. I denne avveiningen er det viktig å være oppmerksom på at det først og fremst er selskapets interesser styret er satt til å ivareta. Utover at styret skal sørge for at selskapet overholder de forpliktelser selskapet har i henhold til inngåtte kontrakter og lovpålegg, må styret i sine beslutninger være forsiktig med å sette andre interesser foran selskapets interesser. Styreansvarsforsikring Styrets medlemmer kan til en viss grad forsikres mot det økonomiske ansvaret ved at det tas ut styreforsikring. Slike poliser vil normalt dekke uaktsomme forhold, men ikke grovt uaktsomme eller forsettlige forhold. Nettverk for finanssektoren Etter Generalforsamlingen i Tromsø ledes arbeidsutvalget av Ketil Wikdahl som også er styrets representant. De øvrige medlemmene er Morten Breili, Odd Arild Faugstad, Tellef Myrvold, Jan Kåre Dahl, Astrid Lehre og Randi Almås. Et flertall av medlemmene satt i det siste styret i Norges Finansrevisorers forening før fusjonen med NIRF. Arbeidsutvalgets medlemmer arbeider til daglig i finansinstitusjonene Norges Bank, Nordea, Sparebanken Pluss, Sparebanken Vest og DnB NOR. I sum er dette et arbeidsutvalg med en bred og omfattende kompetanse og erfaring innen finanssektoren. Konstituerende møte planlegges avholdt i august hvor arbeidsoppgaver skal kartlegges og prioriteres. Selv om kartlegging ikke er gjennomført så er nok nytt kapitaldekningsregime (Basel II) med krav til internrevisjonen, COSO ERM og autorisasjonsordning for finansrevisorer blant de sakene det må arbeides med. Videre vil vi nok vie resultatene fra inspeksjonsrunden til Kredittilsynet i internrevisjonsavdelingene oppmerksomhet. 14 INTERNREVISOREN 1 05

15 Internrevisjonens perspektiv Corporate Governance og intern revisjon Henrik Niels Olsen er diplomert intern revisor fra BI samt siviløkonom fra henholdsvis Aalborg Universitetscenter med spesialisering innen bedriftsjuss og organisasjon og fra Københavns Handelshøjskole med spesialisering innen regnskap og økonomi. Henrik er senior manager i Ernst & Youngs rådgivningsavdeling (EY Advisory) med fagansvar for rådgivning innen Eierstyring og Selskapsledelse (Corporate Governance) overfor kunder i offentlig og privat sektor. Henrik har vært ansatt i Ernst & Young (tidligere Arthur Andersen & Co) siden Før han kom til Arthur Andersen har han bl.a. flere års erfaring fra både finansiell revisjon og intern revisjon. Nyhetsbildet har de senere år vært preget av flere kritikkverdige hendelser i næringslivet, både internasjonalt og i Norge. Store virksomheter har vist seg mindre solide enn man trodde, med bl.a. tap av arbeidsplasser og investerte midler som konsekvens. Manglende åpenhet svekker virksomheters og ledelsens troverdighet, og dermed selskapets verdi. For børsnoterte selskaper vil manglende troverdighet vanskeliggjøre tilstrømming av nødvendig risikovillig kapital både fra nasjonale og internasjonale investorer og det er ingen grunn til å tro at Oslo Børs vil være unntatt denne utviklingen. Dagens hurtig skiftende forretningsverden bringer med seg både muligheter og trusler. Undersøkelser viser at eiere og investorer i stadig større grad vil basere sine investeringsbeslutninger på virksomhetenes omdømme, dokumenterte risikostyringssystemer, samt gode etisk- og miljømessige holdninger. God Corporate Governance er således nær kjernen i investeringsbeslutningen. Derfor kan de virksomheter som setter god Corporate Governance på dagsorden 1 tiltrekke seg flere investorer. Bakgrunn Corporate Governance i den betydningen vi i dag legger i begrepet, har eksistert siden midt på 1970 tallet. I kjølvannet av Watergateskandalen i 1974 vedtok USA i 1977 "The Foreign and Corrupt Practices Act of 1977", som bl.a. består av forskrifter om etablering, vedlikehold og gjennomgang av internkontroll. Et av de første og mest kjente rammeverk innenfor Corporate Governance var Cadbury rapporten (1992), som primært retter seg mot styrets funksjoner og ansvarsområder. Rapporten hadde som formål å heve standarden på det samlede styret ved å avklare ansvar og forventninger. Dette skulle skape økt tillit bl.a. til den finansielle rapporteringen fra virksomhetene. Jaap Winters utvalget 2 har kommet med en rapport som omhandler temaet og som antakelig vil danne bakgrunn for EU-kommisjonens holdning og stilling innen området Corporate Governance. Parallelt med Cadbury rapporten, kom COSO 3, et rammeverk for internkontroll og risikostyring. COSO er et faglig utgangspunkt for å sikre at de interne kontroll strukturer som er utviklet i virksomheten ivaretar alle relevante elementer og dimensjoner knyttet til den interne kontrollen. COSOmodellen er innarbeidet som et begrep og en standard i de fleste fagmiljøer i Norge og internasjonalt. Formålet med COSO-modellen er å beskrive et rammeverk for helhetlig risikostyring og intern kontroll. Man kan si at COSO retter seg mot det interne som skjer i en virksomhet. Hvis man velger denne noe enkle fortolkningen er det lett å dra en analog over til siste internasjonale utvikling og se på Sarbanes Oxley Act fra juli Sarbanes Oxley lovens seksjon 404 er den del som vedrører intern kontroll evalueringer og rapportering som skal bidra til å sikre mot økonomiske skandaler. Seksjon 404 krever at foretaket har implementert fornuftige kontrolltiltak for å sikre verdier og pålitelig finansiell rapportering i henhold til anerkjente regnskapsstandarder. Svært forenklet kan man si at COSO retter seg mot foretaket som helhet, herunder interne prosesser samt overholdelse av lover og regler, mens Sarbanes Oxley utdyper målsettingene mot den delen som omhandler rapportering av finansielle transaksjoner. Begge regelverk er i høy grad en del av foretakets Corporate Governance prosesser. Siste utvikling på området Corporate Governance i Norge er Norsk anbefaling for eierstyring og selskapsledelse utgitt av en bredt sammensatt arbeidsgruppe. Anbefalingen kom 7. desember 2004, og består av 14 punkter som selskaper notert på Oslo Børs 4 må forholde seg til i sine årsrapporter. Norsk anbefaling for eierstyring og selskapsledelse 1. Redegjørelse for eierstyring og selskapsledelse 2. Virksomhet 3. Selskapskapital og utbytte 4. Likebehandling av aksjeeiere og transaksjoner med nærstående 5. Fri omsettelighet 6. Generalforsamling 7. Valgkomité 8. Bedriftsforsamling og styre, sammensetning og uavhengighet 9. Styrets arbeid 10. Godtgjørelse til styret 11. Godtgjørelse til ledende ansatte 12. Informasjon og kommunikasjon 13. Overtakelse 14. Revisor Ernst & Youngs rammeverk for Corporate Governance Ernst & Young har utviklet et rammeverk 5 for Corporate Governance som setter de ulike hovedelementene i Corporate Governance inn i en sammenheng. 1 International Strategy and Investment, Portfolio Strategy Report, march , "Corporate Governance as an Investable Theme" 2 Jaap Winters rapporten med anbefalinger til EU-kommisjonen om god Corporate Governance, Report of the high level group of company law experts on a modern regulatory framework for company law in Europe, Brussels, 4 November 02 3 COSO, The Committee of Sponsoring Organizations of the Treadway Commission. 4 Ref 5 The Effective Governance Modell, Ernst & Young INTERNREVISOREN

16 Internrevisjonens perspektiv Rammeverket er bygget rundt virksomhetsstrukturen, der eierne utnevner et styre som igjen ansetter en administrerende direktør. Administrerende direktør etablerer en toppledelse som har ansvar for implementering og oppfølging av etiske retningslinjer, rutiner og prosedyrer, rammeverk for intern kontroll og styring av risiko. Til sammen utgjør dette de virkemidlene som toppledelsen har til rådighet for å etablere en god Corporate Governance. Virkemidlene skal til sammen sørge for åpenhet, effektiv kommunikasjon, ansvarliggjøring og måling av om tiltak blir gjennomført og virksomheten når sine mål. I tillegg inkluderer modellen forholdet til andre interessegrupper som ansatte, kunder, leverandører, investorer, långivere, lokalsamfunnet, offentlige myndigheter og andre som virksomheten har et forhold til. Hvert av elementene i modellen er viktige for å oppnå god Corporate Governance, men ingen av dem er tilstrekkelige alene. Modellen viser den gjensidige avhengigheten mellom de ulike faktorene. Rammeverket beskriver Corporate Governance som et overordnet og strategisk verktøy for styret og ledelsen. Ved å bruke rammeverket kan styret og ledelsen bedre forstå, planlegge og utføre aktiviteter, for å møte de utfordringer og risikoer som oppstår som følge av raske endringer i markedet, finansmiljøet, lovgivningen og virksomhetens øvrige omgivelser. 1. Etiske retningslinjer 2. Rutiner og prosedyrer 3. Rammeverk for intern kontroll 4. Risikostyring Disse 4 elementene kaller vi Corporate Governance i praksis. Internrevisjonens rolle i forhold til Corporate Governance Som modellen over viser, blir styrets ansvar å føre tilsyn med ledelsens arbeid, her representert gjennom de 4 ovennevnte elementer. Internrevisjonens rolle i denne forbindelse vil være å bistå styret ved å evaluere organisasjonens etterlevelse av god eierstyring og selskapsledelse herunder intern kontroll. Dette gjøres nettopp gjennom internrevisjonens daglige arbeid som består av følgende oppgaver: Vurdere virksomhetens risikosituasjon Se etter at internkontroll er forsvarlig etablert Teste om internkontrollen etterleves Melde fra til daglig leder og styret om resultatet av revisjoner herunder gi daglig leder og styret sin vurdering av internkontrollens kvalitet Med andre ord; for at premissene om åpenhet, effektiv kommunikasjon, ansvarliggjøring og måling som danner fundamentet for god Corporate Governance skal bli effektive og reelle må styret ha en kompetent, uavhengig og troverdig kontrollinstans internt i virksomheten. Internrevisjon vil være et naturlig verktøy for styret til å sikre evaluering og etterlevelse av de grunnleggende elementer i god Gorporate Covernance. Internrevisjonens rolle i forhold til SOA 404 Det er nylig gjort en undersøkelse i USA som illustrerer hvordan amerikanske selskaper ser for seg Internrevisjonens rolle relatert til fremtidig SOA 404 arbeid. Kort oppsummert sier undersøkelsen at i SOA s initiale faser vil mye av arbeidet utføres av dedikert Sarbanes Oxley kompetanse. Men etter hvert som rammeverket tilfredsstiller formelle krav og er etablert, vil Internrevisjonen overta en økende grad av oppfølgningen. Se figurene under: The Effective Governance Modell. All rights reserved Ernst & Young. Med referanse til Ernst & Youngs Corporate Governance modell (trekanten), kan man på ledernivå evaluere den operative kvaliteten på Corporate Governance, ut fra toppledelsens håndtering og fokusering på: 16 INTERNREVISOREN 1 05

17 Internrevisjonens perspektiv Dette indikerer at Sarbanes Oxley s inntreden i næringslivet gjør intern- revisjonsfunksjonen enda viktigere for fremtidens virksomheter. Siste nytt fra EU I flere år har vi i Norge via internkontrollforskriften hatt krav om etablering av intern revisjon i finansinstitusjoner. Siste nytt fra EU er Forslag til ny artikkel (39) i 8 direktivet revisjon som bl.a. beskriver krav om revisjonskomité i børsnoterte selskaper. Jeg tror at dette er første steg i en prosess om krav til etablering av en internrevisjonsfunksjon i større selskaper. I det følgende gir jeg en kort redegjørelse for hva som legges i de ulike elementene fra EY s Corporate Governance modell, og dermed hva som blir internrevisjonens kontrollansvar i forhold til god Corporate Governance: 1 Etiske retningslinjer For å utvikle og kontinuerlig forbedre en virksomhets etiske rammeverk, er første steg etablering av kjerneverdier som passer for virksomheten; Verdigrunnlag Kjøreregler Interessent hensyn Tilbakemeldingssystemer Etisk ansvar og trening Hensyn til etiske kriterier i belønningsstruktur Et etisk rammeverk kan være både internt verdidrevet og eksternt drevet. Dette siste innebærer at omgivelsenes oppfatning er det som driver etikkfokuset. En kombinasjon av disse to drivkreftene er nødvendig for å oppnå en optimal implementering. Selve utfordringen blir å få operasjonalisert et etisk rammeverk- at dette blir verdier og holdninger i det daglige arbeid som gjennomsyrer og praktiseres i HELE virksomheten, og ikke bare pene ord på papiret. Oppfatning av at etisk oppførsel blir belønnet 2 Rutiner og prosedyrer Rutiner og prosedyrer kan ses på som aktiviteter og metoder til gjennomføring av ledelsens ønsker og direktiver. Rutiner og prosedyrer legger føring for at de handlinger som er nødvendige for å sikre virksomhetens målsettinger faktisk gjennomføres på ønsket måte. Rutiner og prosedyrer finnes i hele organisasjonen, på alle nivåer og i alle funksjoner. De omfatter en rekke aktiviteter, bl.a. godkjennelser, anvisninger, verifikasjoner, avstemminger, driftsgjennomgåelse, sikring av ressurser og ansvarsfordeling, fullmakter, budsjetter, kalkyler etc. etc. Rutiner og prosedyrer skal støtte ledelsens styring og kontroll av virksomheten. I forhold til god Corporate Governance er det spesielt viktig at de støtter ledelsessystemet og rammeverket for internkontroll, og sikrer effektiv og tilstrekkelig intern- og ekstern rapportering. De må være kjent, forstås og etterleves av alle ansatte i selskapet. 3 Rammeverk for intern kontroll Styring og kontroll er en prosess igangsatt og gjennomført av selskapets styre, ledelse og ansatte. Internkontrollen må utformes slik at den gir rimelig grad av sikkerhet for måloppfyllelse innen følgende områder (ref. COSO); Målrettet og kostnadseffektiv drift Pålitelig ekstern regnskapsrapportering Overholdelse av gjeldende lover og regler God intern kontroll skal oppnås på enhetsfunksjons- og aktivitets nivå. 4 Risikostyring Systematisk risikovurdering skal bidra til å fokusere på vesentlige risikoer, som i neste runde vil danne grunnlaget for en generell bedring av kontrollmiljøet og risikostyringen. Et rammeverk for risikostyring vil være et verktøy for implementering samt sikre at arbeidet foregår strukturert og vil dessuten fungere som en kvalitetssikring av hele prosessen. Risikostyring må gjøres med utgangspunkt i det etablerte etiske rammeverk, og ved hjelp av rutiner og prosedyrer som sikrer effektiv gjennomføring i forhold til de muligheter virksomheten står overfor. Derved oppnås at det interne kontroll systemet støtter den valgte risikoprofil og integreres i risikostyringen på en dynamisk måte. Avslutning Corporate Governance innebærer å gi eiere og interessenter innflytelse og innsikt i virksomhetens forhold og består i praksis av de fire elementer som er beskrevet ovenfor. Å implementere et etisk rammeverk er ikke lovpålagt. Men investorers og interessenters fokus på Corporate Governance vil bidra til at stadig flere selskaper vil tilpasse seg gjennom etablering og implementering av etiske retningslinjer, rammeverk for internkontroll med tilhørende rutiner og prosedyrer for en effektiv risikostyring. Imidlertid er implementering av ulike regelverk og prosesser ingen garanti for praktisk etterlevelse. Virksomheten må i tillegg sørge for kontinuerlig testing av praktisering med tilhørende rapportering av status til daglig leder og styret. Daglig leder og styret er til syvende og sist ansvarlig både internt og eksternt for virksomhetens omdømme. For å oppnå dette er det nødvendig med: Etisk lederskap, de ansatte må føle at etikk betyr like mye for ledelsen som bunnlinjen Konsistens mellom ord og handling Rettferdighet - oppfattelse av likebehandling Åpen diskusjon rundt aktuelle problemstillinger INTERNREVISOREN

18 Intern revisjon, risikostyring og Corporate Governance Master of Management programmet Intern revisjon, risikostyring og Corporate Governance gir deltakerne inngående forståelse for samspillet mellom virksomheters etablerte strategier og mål, og hvordan de kan arbeide for å sikre at målene nås på en kostnadseffektiv måte. Herunder hvordan intern revisjon, aktiv risikostyring og god intern kontroll kan bidra til effektiv corporate governance. Med utgangspunkt i aktuelle corporate governance aspekter, får deltakerne grundig innsikt i "assurance services" som kan bidra til at toppledelsen og styret får relevant informasjon om organisasjonens situasjon. Etablering og organisering av intern revisjon, definisjon av arbeidsområder, forståelse av arbeidsmetodikk samt hvordan revisor rapporterer til rett nivå i organisasjonen er også sentrale temaer. Etter spesifiserte vilkår kan man søke NIRF om godkjennelse som Diplomert Intern Revisor (Dilp.I.R.). Programmet er en god forberedelse for å avlegge eksamener for de internasjonale sertifiseringene Certified Internal Auditor (CIA), Certification for Control Self Assessment (CCSA) og Certified Financial Services Auditor (CFSA). Studiestart 13. september Programmet er utviklet og blir gjennomført i samarbeid med Norges Interne Revisorers Forening GJØR NOE MED AMBISJONENE DINE For mer informasjon kontakt: BI LEDERUTDANNING Telefon: E-post: lederutdanning@bi.no eller jo-inge.mandt@bi.no 18 INTERNREVISOREN 1 05

19 Økonomisk kriminalitet Virksomheter og økonomisk kriminalitet Varehandel, hotell og restaurant mest utsatt Dag Ellingsen er seniorrådgiver i Statistisk Sentralbyrå hvor han til daglig arbeider med økonomisk kriminalitet. Han er redaktør for Samfunnsspeilet og har utgitt en rekke arbeider innenfor økonomisk kriminalitet. Vibeke Sky er rådgiver i Statistisk Sentralbyrå med kriminalstatistikk som hovedarbeidsområde. Artikkelen er basert på en større rapport fra Statistisk sentralbyrå. (Dag Ellingsen og Vibeke Sky "Virksomheter som ofre for økonomisk kriminalitet." Rapporter 2005/14, Statistisk sentralbyrå). Av seniorrådgiver Dag Ellingsen og rådgiver Vibeke Sky, Statistisk Sentralbyrå Om lag hver femte virksomhet med fem eller flere ansatte ble i 2003 utsatt for en eller flere tilfeller av økonomisk kriminalitet. Det er mer vanlig for private og offentlige virksomheter å bli ofre for økonomisk kriminalitet enn det er for privatpersoner å bli utsatt for vinnings- og voldskriminalitet. Virksomheter i varehandelen, hoteller og restauranter er mest utsatt. Dette viser en intervjuundersøkelse rettet mot et representativt utvalg av private og offentlige virksomheter med fem eller flere ansatte. Undersøkelsen er gjennomført av Statistisk sentralbyrå på oppdrag av Justisdepartementet, som et ledd i regjeringens arbeid med å bekjempe økonomisk kriminalitet. For å bestemme omfanget av den økonomiske kriminaliteten, er det viktig å ha flere datakilder enn de politiregistrerte lovbruddene, idet man har grunn til å anta at mørketallet er stort også for denne typen lovbrudd. For mer tradisjonell vinnings- og voldskriminalitet har det, som en del av levekårsundersøkelsene, lenge vært utført undersøkelser for å kartlegge offererfaringer. Å kartlegge virksomheter som ofre for økonomisk kriminalitet er uvanlig og nytt. Tradisjonelt har det særlig blitt fokusert på det offentlige, eller allmennheten, som den store taperen ved slik kriminalitet. Typisk skjer dette ved tap av skatteinntekter. Vår undersøkelse rettet seg mot et utvalg på virksomheter offentlige og private med fem eller flere ansatte. Svarprosenten var svært høy, 92 prosent (Se for øvrig boks 1 og 2). Undersøkelsen ble innledet med noen generelle spørsmål om kriminalitetssituasjonen i de enkelte bransjene som virksomhetene opererer innenfor. Nokså uvanlig for egen bransje De som ble spurt i virksomhetene, fikk seg forelagt et utvalg med økonomiske lovbrudd (se figur 1 og boks 3), og ble spurt hvor vanlig det var at man i deres bransje ble utsatt for Boks 1: Om undersøkelsen Utvalget for hovedundersøkelsen består av virksomheter med fem eller flere ansatte trukket på bedriftsnivå fra SSBs bedrifts- og foretaksregister (BoF). Trekkgrunnlaget utgjøres av i alt bedrifter. Kun enbedriftsforetak og flerbedriftsforetak som registerenhetstype var med i trekkgrunnlaget. Virksomhetene er stratifisert i fire strata på antall ansatte. Utvalget ble redusert til virksomheter fordelt på de fire strataene. Det foreligger dokumentasjon av undersøkelsesopplegget som ble benyttet i hovedundersøkelsen (Flåte, Lagerstrøm og Gulbrandsen 2005). Se også rapporten fra prosjektet (Ellingsen og Sky 2005). slike lovbrudd. Svaralternativene var; svært uvanlig, ganske uvanlig, verken vanlig eller uvanlig, ganske vanlig eller svært vanlig. Langt de fleste, fra rundt 70 til drøyt 80 prosent, mener det er svært eller ganske uvanlig å bli utsatt for de forskjellige kategoriene lovbrudd i deres bransje. Mest vanlig mener man det er å bli utsatt for grove bedragerier, pris- og anbudssamarbeid og underslag. Minst vanlig mener man det er å bli utsatt for forbrytelser i gjeldsforhold (konkurskriminalitet), skatt- og avgiftsunndragelser og regnskapsovertredelser. Flest respondenter i hotell, restaurant og varehandel mener det er ganske eller svært vanlig å bli utsatt for lovbrudd. Boks 2: Vekting av resultatene Da utvalget for undersøkelsen ble trukket, ble store bedrifter overrepresentert. Dette ble gjort for å garantere at vi fikk med noen store bedrifter i utvalget. Konsekvensen av dette ble at de store bedriftenes besvarelser fikk større tyngde i utvalget enn i populasjonen, på bekostning av besvarelsene til de små bedriftene. Vi ønsker at bedriftene i undersøkelsen skal være representative for bedriftene i populasjonen. Bedriftenes størrelse er en faktor som antas å ha stor betydning når det gjelder utsatthet for økonomisk kriminalitet. For å rette opp skjevheten i utvalget i forbindelse med analysen av resultatene, ble utvalget vektet med hensyn til antall ansatte. Vektingen av resultatene for antall ansatte, kan medføre skjevheter for andre variabler ved oppblåsning. Næring er en av de viktigste kjennemerkene ved bedriftene som kan antas å ha sammenheng med økonomisk kriminalitet. Derfor er det vektet for næring i tillegg til antall ansatte, noe som for øvrig er vanlig praksis i forbindelse med bedriftsundersøkelser. Frafall Hele 92 prosent av de som ble kontaktet, deltok i undersøkelsen. Dette gir et frafall på 8 prosent, noe som er eksepsjonelt lavt. I rapporten (Ellingsen og Sky 2005) diskuterer vi mulige årsaker til dette lave frafallet. Her nøyer vi oss med å peke på at undersøkelsens nettoutvalg og bruttoutvalg er svært like med hensyn til sammensetningen av næringer, virksomhetsstørrelse og geografisk fordeling. Det er altså ingen slike fordelingsskjevheter av betydning i vårt utvalg. INTERNREVISOREN

20 Økonomisk kriminalitet På samme måte spurte vi om hva man trodde om lovbruddene begått i deres egen bransje. Respondentene mener det er enda mindre vanlig at virksomheter i deres bransje selv begår lovbrudd. Det vanligste er å begå regnskapsovertredelser, pris- og anbudssamarbeid og unndragelse av skatter og avgifter. Minst vanlig mener man det er å begå forbrytelser i gjeldsforhold, grovt bedrageri og utroskap, korrupsjon eller bestikkelser. Representanter for hotell, restaurant og varehandel rapporterer også her de høyeste forekomstene. Etter disse innledende spørsmålene, spurte man representantene for virksomhetene om deres virksomhet i 2003 hadde vært utsatt for en liste av økonomiske lovbrudd (se boks 3). Boks 3: Lovbruddskategoriene (definisjonen av økonomisk kriminalitet) a) Grovt bedrageri, som trygdemisbruk, subsidie- eller fakturabedrageri (stilles til offentlig virksomhet). Grovt bedrageri, som faktura-, kreditteller investeringsbedrageri (stilles til privat virksomhet). b) Utroskap, korrupsjon eller bestikkelser. c) Underslag, som uberettiget vinning eller tillitsbrudd, ikke nasking. d) Forbrytelser i gjeldsforhold/konkurs. Dette kan være ulovlig uttak av utbytte eller manglende begjæring. e) Regnskapsovertredelser, som manglende regnskap og manipulasjon. f) Skatt, merverdiavgift, toll. g) Pris- og anbudssamarbeid. h) Annen økonomisk kriminalitet. Rundt hver femte utsatt Drøyt 22 prosent av virksomhetene hadde selv vært utsatt for ett eller flere tilfeller av økonomisk kriminalitet i løpet av det siste året. Her har vi inkludert også de som svarte at de hadde vært utsatt for "andre former" for økonomisk kriminalitet. Det er en mulighet for at noen av disse lovbruddene ikke er det vi vil kalle økonomisk kriminalitet (se boks 3), mens mange lovbrudd innen denne kategorien åpenbart er økonomisk kriminalitet. Holder vi de som har rapportert at de bare har vært utsatt for lovbrudd i kategorien "andre former for økonomisk kriminalitet" utenfor, synker andelen utsatte til 18,5 prosent. Tar vi hensyn til at dette er et for lavt anslag, og at vi også har statistiske usikkerhetsmarginer knyttet til en slik utvalgsundersøkelse, er det rimelig å anslå at rundt hver femte virksomhet i Norge med fem eller flere ansatte, årlig er utsatt for økonomisk kriminalitet. Er dette et høyt eller lavt tall? Det er vanskelig å ha noen eksakt formening om dette. Men sammenlikner vi med privatpersoners utsatthet for vold, trusler om vold og vinningslovbrudd, finner vi at virksomhetene er vesentlig mer utsatt for økonomisk kriminalitet enn det privatpersoner er for disse tradisjonelle lovbruddene. I Levekårsundersøkelsen 2001 fant man at rundt 14 prosent av den voksne befolkningen ble utsatt for ett eller flere tilfeller av vold, trusler, tyveri eller skadeverk i løpet av ett år (Stene 2004). Har vi grunnlag for å si at denne typen kriminalitet har økt? Eller blitt redusert? Det er vanskelig å uttale seg om utviklingen i utsatthet i forhold til tidligere undersøkelser på feltet (Ellingsen 1995, Price Waterhouse Coopers 2003) på grunn av vesentlige forskjeller i undersøkelsesdesign. Vår undersøkelse har et langt lavere frafall enn tidligere undersøkelser, vi har valgt en lovbruddsdefinisjon som er tilnærmet lik den man finner i kriminalstatistikken og tilhørende lovtekster, og vi har en kortere erindringshorisont enn for eksempel Ellingsens undersøkelser fra 1988, 1992 og 1994 (se Ellingsen 1995). Det synes imidlertid vanskelig å ta undersøkelsen til inntekt for en nedgang i omfanget av økonomisk kriminalitet som rammer private og offentlige virksomheter. Flest grove bedragerier og underslag Flest virksomheter er utsatt for grovt bedrageri eller underslag, færrest er utsatt for unndragelser av skatter og avgifter eller regnskapsovertredelser. Et resultat som stemmer godt med hva vi fant da vi spurte om utsatthet i egen bransje. Mange av de utsatte er utsatt for få lovbrudd, noen veldig få er utsatt for svært mange lovbrudd. Rundt 36 prosent av de utsatte virksomhetene har vært utsatt for ett lovbrudd, mens ytterligere 36 prosent av de samme virksomhetene har vært utsatt for 2 til 5 lovbrudd i I den andre enden av skalaen har vi 21 virksomheter (dvs. drøyt 5 prosent av de utsatte) som har vært utsatt for over 50 lovbrudd. Blant dem har 7 vært utsatt for over 100 lovbrudd. Totalt har de 406 utsatte bedriftene i vår undersøkelse vært utsatt for til sammen drøyt lovbrudd. Av disse er det 10 bedrifter som har vært utsatt for totalt lovbrudd, det vil si at 2,5 prosent av de utsatte bedriftene står for om lag 60 prosent av alle lovbruddene. Hotell, restaurant og varehandel mest utsatt Det er flest utsatte virksomheter innen varehandel, hotell- og restaurantbransjen (se tabell 1). Dette er et resultat som forventet ut fra hva vi fant når vi spurte representanter for virksomhetene hvor vanlig det var å bli utsatt for økonomiske lovbrudd i deres bransje. Figur 1. Andelen som mener det er ganske eller svært vanlig i deres bransje å bli utsatt for lovbrudd eller selv å begå lovbrudd, etter lovbruddskategori. Prosent Denne bransjen er gjennomsnittlig eller over gjennomsnittlig utsatt for de fleste kategorier økonomiske lovbrudd, med unntak av pris- og anbudssamarbeid. Når det gjelder pris- og anbudssamarbeid, er bransjene fiske, industri, bygg og anlegg mest utsatt. Her er det noe overraskende ikke bygg- og anleggsbransjen som trekker tallene opp. Offentlig forvaltning er hyppigst utsatt for grove bedragerier, men her er grunnlagstallene små. De utsatte i privat og offentlig tjenesteyting samt i offentlig forvaltning, er de som er utsatt for flest lovbrudd i forhold til antall utsatte i næringen. Også her er det noen få bedrifter som trekker gjennomsnittet kraftig opp. De befinner seg gjennomgående i bransjer der man i stor grad eksponerer seg for lovbrudd, så som finans- og forsikringsbransjen, samt offentlige etater som administrerer sosiale ytelser. De største virksomheter (med 100 ansatte eller flere) er, ikke overraskende, mest utsatt, men sammenhengen er ikke entydig. Vi finner også flere av de minste virksomheter som er svært utsatte. Flest utsatte i Oslo og Hordaland Andelen utsatte, inkludert ofre for "andre former for økonomisk kriminalitet", er høyest i Oslo (snaut 31 prosent) og Hordaland (drøyt 28 prosent). Både Sogn og Fjordane, Telemark, Aust-Agder, Nord-Trøndelag og Finnmark har andeler godt under gjennomsnittet, men her er tallgrunnlaget for hvert enkelt fylke til gjengjeld lite. Underslag og utroskap begås ikke overras- 20 INTERNREVISOREN 1 05