intern revisoren Nr 1 / SOMMER årgang

Transkript

1 intern Nr 1 / SOMMER årgang

2 REDAKTØRENS SPALTE Dermed er det gjort. Krisen er et faktum. Hvordan lager man en finanskrise? Det er enklere enn man skulle tro. Man bruker kredittverdigheten til en førsteklasses bank til å skaffe seg rimelige innlån. Så etablerer man et avlønningssystem som gir de ansatte incitamenter til å investere bankens penger i risikable papirer med høy avkastning. Utbetaling av bonuser til de ansatte skjer løpende, uten hensyn til den langsiktige avkastningen på investeringen. Bankens toppledelse får ekstra store incitamenter til å kun tenke kortsiktig. Internasjonale banker og finanshus har tapt enorme beløp i 2007 og 2008, i etterkant av krisen i det amerikanske boliglånmarkedet. Tapene estimeres til mange hundre milliarder dollar. Eiendomsmarkedet faller, og vi leser om tvangssalg av boliger. Her hjemme har Terra Securities gått konkurs og en rekke kommuner har pådratt seg tap i hundre millioner kroner klassen. Økonomiprofessor og nobelprisvinner Joseph Stiglitz oppsummerte det på følgende måte på årets World Economic Forum: Mange av oss har i flere år uttrykkelig advart mot det truende problemet. Det eneste punktet vi tok feil på, var hvor dårlig bankenes utlånspraksis var, hvor vanskelig det var å få innsyn i bankenes posisjoner og hvor utilstrekkelig deres systemer for risikostyring var. I norsk og internasjonal presse er det reist mange spørsmål omkring problemene i finanssektoren. Har finansmarkedene blitt deregulert for raskt, med for stor tro på at institusjonene selv tar ansvar og driver betryggende virksomhet? Driver forventningene om at myndighetene rydder opp bankene til å ta enda høyere risiko enn de ellers ville gjort? Burde bankene hatt høyere krav til egenkapital? Bør det lovreguleres begrensninger på incitamenter som kan føre til at ledende ansatte pådrar finansinstitusjonene for stor risiko? Er det i det hele tatt mulig å regulere denne næringen til å sikre forsvarlig drift? Og hva med kommunene - kan man tiltro kommunene å forvalte sine egne midler, eller må dette overlates til profesjonelle forvaltere? Men hvem er profesjonelle forvaltere - når man ikke kunne stole på Terra Securities? Vi synes spørsmålene er så viktige at en stor del av denne utgaven av Intern er viet til beskrivelser av ulike sider av problemene i finanssektoren. Internrevisjonsprofesjonen har en viktig rolle å spille i diskusjonen om utforming av regelverk og gjennomføring og oppfølging av forbedringer. Ta til orde i denne viktige debatten og la ditt syn bli hørt! Tusen takk til alle dere som har bidratt til denne utgaven av Intern. Takk også til de avtroppende medlemmer av Redaksjonskomiteen for flott innsats. Jeg ønsker alle våre lesere en riktig god sommer! Sverre Bjertnes REDAKSJONS KOMITEEN Sverre Bjertnes - Leder (valgt for ) KPMG AS Postboks 7000 Majorstuen 0306 Oslo M: sverre.bjertnes@kpmg.no Mazhar Ahmad (valgt for ) Gjensidige Forsikring Drammensveien 288, Oslo Postboks Lysaker M: mazhar-bashir.ahmad@gjensidige.no Sveinung Svanberg (nomineres for ) Universitetet i Oslo Postboks 1154 Blindern 0318 Oslo J: s.k.svanberg@admin.uio.no Se mer info på Unni Leivestad (nomineres for ) Arbeids- og velferdsdirektoratet Postboks 5 St. Olavs plass, 0130 Oslo J: , M: unni.leivestad@nav.no Kristin Reichborn-Kjennerud (nomineres for ) Oslo Kommune, Kommunerevisjonen Fredriks Selmers vei 2, 0663 Oslo J: kristin.reichborn.kjennerud@krv.oslo.kommune.no Bjarne Tveit (nomineres for ) Sparebanken Pluss Postboks 200, 4662 Kristiansand J: M: bjarne.tveit@sparebankenpluss.no Toril Dale Ohrstrand - styrets representant Statoil Hydro ASA 4035 Stavanger J: , M: tdo@statoilhydro.com 2 intern

3 Innhold 2 Redaktørens spalte 4 Styrets leder har ordet Finansmarkedene 6 Crash, Burn & Learn 12 Kommunesektorens overordnede styringsmodell 16 Er det bukken som passer havresekken i kommunesektoren? 18 Kredittilsynet intervjues om Terra-saken 22 Misligheter i kommunene er internrevisjon riktig medisin? Intervju med Helge Kvamme, PwC 24 Vurdering av Terrasaken. Intervju med Dag Eidsvik, KPMG 27 Sensitiv informasjon skaper utfordringer NIRFs nettverk og komiteer 29 Nettverk Misligheter 30 Finansnettverket 32 IT-nettverket 34 Nettverket for saklig sektor 36 Konferansekomiteen 36 Høringskomiteen 37 Informasjons- og kommunikasjonskomiteen 38 Programkomiteen Forenings- og profesjonsnytt 42 NIRFs foreningssekretær Svein Stabekk 44 Internrevisjonskonferansen Vind i seilet 47 Stort og smått fra IIA - familien NORGES INTERNE REVISORERS FORENING President Solbjørg Lie NAV internrevisjon M: Solbjorg.Lie@nav.no Informasjons- og kommunikasjonskomiteen Bård Bosløven - Leder DnB NOR J: , M: bard.bosloven@dnbnor.no Konferansekomiteen Even Nilsen Leder Fagforbundet J: , M: even.nilsen@fagforbundet.no Programkomiteen Helge Benum Leder ICAAS J: , M: helge.benum@ica.no Redaksjonskomiteen Sverre Bjertnes - Leder KPMG M: sverre.bjertnes@kpmg.no Høringskomiteen Magne Pedersen - Leder Nordea Bank Norge ASA M: magne.pedersen@nordea.com Nominasjonskomiteen Ellen C Braathen Leder Oslo Kommune, Seksjon IR J: , M: ellencecilie.braathen@ radhuset.oslo.kommune.no Foreningssekretariat Ellen Brataas Generasekretær Tlf.: ellen.brataas@nirf.org Svein Stabekk Foreningssekretær Tlf.: svein.stabekk@nirf.org Postadresse: Norges Interne Revisorers Forening Postboks 1417 Vika 0115 Oslo Faks: post@nirf.org Besøksadresse: Munkedamsveien 3b, 3. etg Oslo Intern: Organ for Norges Interne Revisorers Forening, NIRF Antall utgivelser pr år: 2 Opplag: 1000 Meninger og påstander som fremkommer i artikler eller innlegg er ikke nødvendigvis sammenfallende med NIRFs syn. Neste utgave: Desember 2008 Har du bidrag til bladet? Ta kontakt med redaksjonens leder for frister m.v. Årsabonnement: Kr 150,- Annonsepriser: Kr 5000,- for en helside, kr 3000,- for en halvside (mva tilkommer). Grafisk produksjon: Pr.info DM Hamar Forsidefoto: Scanstock foto

4 Styrets leder har ordet Jeg vil denne gang skrive litt om IIAs globale strategi og de føringer den legger for den nasjonale strategien i foreninger over hele verden samt hvordan NIRF har startet sin tilpasning. Strategiprosessen IIA har det siste året arbeidet med å lage en strategi for perioden Utkastet til strategi ble lagt frem for Global Council i Amsterdam sommeren 2007 og diskutert i work-shops. Styret i NIRF diskuterte ny strategi for NIRF for perioden med utgangspunkt i diskusjoner og føringer gitt i ovennevnte forum. På tillitsvalgtsamlingen høsten 2007 ble både den globale og det nasjonale strategiutkastet presentert. Styret valgte imidlertid å avvente sluttbehandlingen av den nasjonale strategien inntil den globale strategien var vedtatt, hvilket skulle finne sted i april 2008 på møte i Global Council, denne gang i Costa Rica. NIRF valgte å ikke delta i Global Council denne gang, men avtalte med IIA Sverige å få en oppdatering i Stockholm i mai. President og generalsekretær besøkte IIA Sverige i slutten av mai og diskuterte endelig global strategi og hvilke utfordringer den ville reise for de nasjonale foreningene. Endelig strategi for NIRF vil bli vedtatt av det nyvalgte styret i løpet av tidlig høst 2008 og vil bygge på det strategiutkastet som ble presentert høsten Global strategi hovedtrekk 1) Internrevisjon anerkjennes som en egen profesjon. 2) IIA definerer profesjonens prinsipper og forsikre seg om at de er tilgjengelig over hele verden. 3) IIA garanterer profesjonens etterlevelse av profesjonens standarder. 4) IIA er den foretrukne leverandør av forskning, utvikling og distribusjon av kunnskap om profesjonen. 5) IIA er synlig for medlemmene gjennom å operere som en global organisasjon Strategiske føringer Strategien setter fokus på anerkjennelse av internrevisjon som en egen profesjon. For å oppnå slik anerkjennelse er det en forutsetning at prinsipper og standarder er like og tilgjengelige over hele verden og at IIA har mulighet for å sikre medlemmenes etterlevelse av globale standarder. Det blir likeledes viktig å sikre at det etableres gode utdanningstilbud for profesjonen. Kvalitetssikring blir således et viktig verktøy i realisering av den globale strategien. Som kjent er kravet til ekstern kvalitetssikring (standard 1312) minimum hvert 5. år. Global Council har diskutert om kravet burde senkes til hvert 3. år. Den store undersøkelsen publisert gjennom CBOK viser imidlertid at IIA har store utfordringer i relasjon til kravet om ekstern kvalitetssikring hvert 5. år. Det vil således være behov for å foreta både kvalitetsmessige og administrative tiltak både hos de enkelte medlemmer og i de nasjonale foreninger for å oppfylle dette kravet i strategien. Dette er erkjent i IIA og man har startet en prosess for å bistå og oppmuntre de nasjonale foreningene til å forplikte seg gjennom avtaler og iverksette tiltak. Styret i NIRF har iverksatt tiltak som skal føre til at foreningen fra 2009 kan tilby en ekstern kvalitetskontrolltjeneste til sine medlemmer. Det vil bli nærmere informasjon om konseptet i neste nummer av Intern. Internrevisjon i statlig sektor NIRF har i løpet av det siste året blitt oppmerksom på at det innenfor statlig sektor er etablert internrevisjonsordninger i ulike statlige virksomheter med til dels ulike mandat, organisasjonsmessig plassering og rapportering. Dette har resultert i at NIRF våren 2008 tok et initiativ og skrev et brev til Finansdepartementet der vi etterlyser en utredning om internrevisjon i statlig sektor, først og fremst ut fra et kvalitetsmessig synspunkt, men også ut fra at statlig sektor i Norge er stor og mangeartet. Det er også et faktum at mange land Norge liker å sammenligne seg med har innført internrevisjon i statlig sektor. Det foreligger pt. ikke svar på vår henvendelse. Nordisk samarbeid NIRF er fortsatt den største internrevisjonsforeningen i Norden med ca. 740 medlemmer. Sverige har ca. 650 og Danmark er i samme størrelsesorden, til sammen utgjør vi ca medlemmer av totalt på global basis. Vi har erkjent mange felles problemstillinger relatert til de utfordringer den nye strategien reiser. Imidlertid kan vår likhet i språk, og kultur samt vårt relativt høye utdanningsnivå i forhold til mange andre land, utnyttes i forhold til aktiviteten i den globale organisasjonen. Tilnærming til våre nordiske søsterforeninger er kjent fra tidligere bankrevisorforeningen, ble videreført av vår forrige generalsekretær, Frank Alvern og av nåværende generalsekretær Ellen Brataas. Vår utveksling av tanker og ideer omkring strategi er nevnt, likeså har vi diskutert kvalitetskontroll da særlig med tanke på kvalitetsteamenes uavhengighet og konkurrentfokus i relasjon til bransje. Styrene i IIA Sverige og IIA Norge har også vurdert muligheten for å arrangere den europeiske internrevisjonskonferansen i Norden i 2011 eventuelt sammen med Danmark, men det gjenstår mye før vi har et konsept for et slikt arrangement. Da gjenstår det å takke for god oppslutning om internrevisjonskonferansen i Molde, takke alle tillitsmenn som går av vakt og ønske alle nye tillitsmenn velkommen til en spennende foreningshøst. God sommer! Solbjørg 4 intern

5 intern 5

6 Crash, Burn & Learn Mary Kane, freelance writer Finansmarkedene As lenders and borrowers pick up the pieces from the U.S. mortgage crisis, internal auditors say heeding the warning signs may deter companies from future high-risk ventures. With the continuing meltdown of the subprime mortgage market and the prospect of home foreclosures and more pain to come, the inevitable next step of finger-pointing is well underway in financial circles. U.S. foreclosure filings doubled in the third quarter of 2007 compared with a year earlier, prompting Wall Street and policymakers to fear a wave of foreclosures not seen in decades as adjustable rate mortgages begin to reset to higher rates. Losses from risky mortgages could reach US $225 billion, according to estimates from investment rating company Moody s Corp.Who s to blame: the executives who were behind the move to lower credit standards and push untested mortgage products, or the employees who failed to blow the whistle when loans first began to deteriorate? Why did so many banks and mortgage firms refuse to see the risks involved in expanding the subprime market? For internal auditors, these are questions worth probing, even when management alone clearly chose to change a company s focus or lending philosophy and dive headfirst into subprime securitizations. The rating agencies that gave risky pools sterling assessments have some explaining to do as well, but auditors aren t under fire this time around. Yet breathing a sigh of relief and moving on won t serve the profession well. As heads roll on Wall Street, the blame game will give companies and their internal auditors substantial motivation to derive lessons from the current debacle and it will offer them opportunities as well. Just as the Enron and WorldCom scandals prompted extensive reforms, this crisis could change the internal audit profession in ways both subtle and profound, say auditors who work in the lending industry. In the past, we have been too transactionally focused, says Bruce Caplain, senior vice president at First Marblehead Corp., a student loan facilitator and bank owner in Boston. Now we need to look at broader, strategic risks and include a summary of those risks as a regular part of our report to the board. chance for managers and audit committees to make better use of their audit departments by viewing auditors as partners who can help spot and avoid future pitfalls. Some auditors see a rethinking of their responsibilities that moves beyond merely auditing to detecting changes in a firm s business model and revising ways to assess Srisk as a result. A CHANGE OF THINKING To the list of an auditor s traditional risk targets operational, compliance, and financial reporting First Marblehead s Caplain adds a change in thinking about risks throughout the company. But what kind of change? Caplain cites Fair, Isaac, and Co. (FICO) scores that determine a borrower s creditworthiness as an example. Say company X always had a cutoff of 640 for mortgage loans, but auditors begin to notice a gradual decline in the numbers, as numerous loans with lower scores started getting approved. It s not enough anymore to sit back and continue performing audits as usual; something is different about company X s business model, and it s the internal auditor s job to let management know that the way the company looks at risk also must change. No one expects a slew of new regulations similar to the U.S. Sarbanes-Oxley Act of Instead, some auditors see a rethinking of their responsibilities that moves beyond merely auditing to detecting changes in a firm s business model and revising ways to assess risks as a result. They also sense a The housing market collapse makes this an imperative, Caplain stresses. Simply performing audits as in the past only allows problems like those that have occurred in the mortgage industry to fester and blow up as internal auditors watch from the sidelines. Another focus for auditors needs to be risk 6 intern

7 Finansmarkedene management, he says. Is there a risk management function in the company? Is it identifying the changing risk tolerances? Has the board been informed of the changes? And are the auditors looking at the potential risks appropriately? Caplain says auditors can test to see if loans are underwritten according to guidelines and never have an issue, as one way of doing their jobs, or they can look at the bigger picture by determining whether the lending guidelines were approved by management, the impact of the changes to risk tolerance are being monitored, the risks associated with the changes have been identified and quantified, and the changes are reported to management, or if warranted, to the board. A RENEWED FOCUS ON RISK A year ago, First Marblehead began considering ways other departments that deal with risk, such as compliance, could work more closely with internal auditing. That kind of interest is spreading throughout the industry, notes Jackie Dreyer, managing director at The Prieston Group, a consultancy in Novato, Calif., that offers mortgage fraud insurance, training, and loss mitigation services. In the same way the 9/11 crisis changed the way U.S. emergency responders communicate, the housing fallout may open the door for companies to encourage more cooperation among internal auditing, compliance, and other functions. They re asking, How are we finding and controlling weaknesses and communicating that throughout our organization? says Dreyer, a former internal auditor. It s an acknowledgement that at this point there needs to be more communication among these departments. The complex nature of mortgage securitization and the problems that have resulted from it are spurring some of these changes. As the mortgage market churned out profits, any questions raised by internal auditors usually were met by the argument that companies were following the guidelines of investors who purchased the loans on the secondary market, Dreyer explains. If investors didn t have questions about loans with no documentation or mortgages for more than the value of the house, what were the auditors worried about? Regardless of warnings by regulators and complaints from consumer groups about risky subprime loans, their popularity grew. Securitization the practice of packaging the loans and selling them on Wall Street was seen as a way to mitigate the risks of the loans by spreading them among many investors. Things have changed, of course, and now secondary market investors have good reason to insist on more financial information about loan originators. Previously, they looked at pools of mortgages rather than at individual loans or loan originators. Investors aren t the only interested parties either. We re going to have, from the inside and from the outside, demands for better monitoring and reporting of risk, Dreyer says. Boards of directors have liability; shareholders want accountability. Is the enterprise risk really being managed? will become the question they ll be asking, Dreyer notes. On the outside, regulators have plenty of incentive to rely on internal auditors and even more questions for them. Remember, this is the environment of everyone looking around to point the finger, Dreyer says. WARNING SIGNS At Union Bankshares Corp. in Ruther Glen, Va., internal auditors raised red flags early in 2006 over problems with a The Rise and Fall of Subprime Loans Until recently, most mortgage loans in the United States were sold by banks, thrifts, credit unions, or other traditional fi nancial institutions to prime borrowers those with good credit, adequate documented income, and other characteristics and kept in their portfolios. But over the last decade, subprime lending grew from a niche product to the fastest-growing segment of the mortgage market. Subprime mortgages were sold to people with weak or blemished credit at higher rates than prime mortgage loans. Subprime loans also carried features not usually found in the prime market, such as adjustable rate mortgages with low teaser rates that soon reset to much higher rates, prepayment penalties, interest-only loans, loans for more than the value of the house, and stated income loans that required no income or asset verification. The market s growth was aided by mortgage securitization, in which subprime loans were pooled together and sold on Wall Street to pension funds, insurance companies, and hedge funds. The loans were sliced into pieces of risk known as tranches, with some investors buying riskier pieces than others. Rating agencies generally gave the pools high marks. By 2006, 75 percent of subprime loans were sold through securitization, according to Inside Mortgage Finance, a publication that follows the subprime market. From 2001 to 2006, with home prices continually increasing, some borrowers with expensive subprime loans were able to refinance them at a lower rate. But trouble was on the way. Low interest rates that helped fuel the housing boom began steadily rising in 2005; borrowers with adjustable rate mortgages soon found themselves facing steep increases in monthly payments. And, as home prices began to fall, borrowers couldn t refinance their way out of the loans. Inflated appraisals and outright fraud added to the problems, as did loosened underwriting standards without regard to a borrower s ability to repay. Some borrowers owed more than their homes were worth. Delinquencies and foreclosures began to rise. The end result was that mortgage companies could no longer sell subprime loans on Wall Street, forcing dozens of lenders out of business as investors fled. A credit crisis grew as banks grew wary of lending to each other because of uncertainties over the extent of losses tied to subprime lending on their books. By the end of 2007, the subprime market was all but nonexistent. intern 7

8 Finansmarkedene A COSO-compatible risk assessment tool that allows you to generate audit plans as well as graphical representations of risk across your organization. TeamCentral A powerful, web-based issues tracking database of every audit finding and key statistic for all projects undertaken. Facilitates issue followup, trend analysis, prior audit review and committee repporting. TeamRisk A powerful documentation system that enables auditors to spend less time documenting and reviewing and more time providing value-added services. TeamMate EWP TeamSchedule A comprehensive tool for scheduling your staff and audits. Displays your schedule by department member or by project. TeamMate TEC The TeamStore is a companion tool that houses your team members details, best practice work programs and workpaper templates, and standard reporting issues, all of which can easily be imported into any project file. A time & expense capture and reporting tool, the power of which is accelerated when used with Team Schedule. proliferation of new products that began to flood the mortgage market, such as stated income loans, which don t require income or asset verification from a borrower, and 80/20 loans consisting of two loans that make up 100 percent of the purchase price, with no mortgage insurance or down payment, notes Ley Watson, director of Internal Audit. House flipping buying homes and selling quickly to take advantage of price appreciation taking out multiple 80/20 loans on nonowner occupied homes using stated incomes, and manipulating FICO scores by closing an account or paying off a borrower s loan had become commonplace in mortgage lending. Some 40 to 50 mortgage products existed in 2004; by 2006 that number had increased to 300. We started looking at the products and that was starting to scare us, Watson says. So we wrote a management letter that said we didn t know what we were getting into, and we needed to look at the risk. One of those risks was early payment defaults, a consequence of all the house flipping. Watson s department wasn t operating in a vacuum, and the warnings carried more weight because of it. The department also had established a vital presence in the bank. We need to be consultants, just as much as we are internal auditors, Watson explains. The tagline, We re here to help, appears on all the department s and other correspondence. The idea is to encourage other departments to pick up the phone and call internal auditing when they see problems and not to view auditors as merely punitive. This outreach to the organization led the bank s management to meet with the audit committee, shore up reserves for early payment defaults, and invest in state-of-the-art digital extraction software to comb through each loan.to Watson, internal auditors can be successful when the audit committee is willing to listen and understand risk, and when management takes the moral high ground rather than focusing on making as much money as possible. Unfortunately, for many auditors, the frenzied mortgage market of the past few years didn t provide for much high ground. News stories abound of mortgage mills that were more like high-pressure boiler rooms, with parking lots full of luxury cars and unlicensed brokers on the loose. Plenty of loans never passed the reasonableness test. Some firms, of course, didn t use internal auditors, so no one raised red flags. Among some firms that did, however, red Foreclosure Mitigation JIM JORGENSEN VICE PRESIDENT, OFFICE DEVELOPMENT JEFFERSON WELLS Long before the subprime collapse, U.S. banking regulators were warning lenders about potential trouble. In January 2001, the Federal Deposit Insurance Corp. (FDIC) advised financial institutions about the elevated risk levels posed by sub-prime lending programs and the need for enhanced risk management standards. The FDIC issued further guidance in October 2005 to address the risk associated with underwriting nontraditional mortgage loan products and provide consumers with clear and balanced information before they make a product or payment choice. The FDIC was concerned that the credit risk management practices for home equity lenders were not keeping pace with the subprime market s rapid growth and eased underwriting standards. Failure to heed these warnings has resulted in U.S. financial institutions holding hundreds of thousands of subprime loans they originated or purchased that may result in foreclosure. To avoid foreclosure, the FDIC is encouraging lenders to implement loan mitigation strategies for working out solutions that enable homeowners to keep their homes. Financial institutions in this situation must assess the risks involved in these loss mitigation strategies. Internal auditing should review the process to determine if procedures are in place to: Determine the number and amount of subprime loans at risk of default. Address how borrowers should be contacted and by whom. Document the work-out strategy, limits, and approvals. Assure that the work-out programs are implemented fairly and consistently. Assign responsibility for managing the work-out process and quality review. Determine the financial reporting and tax issues. Assess the legal, financial, and reputation risks involved. Moving forward, the U.S. Congress and the Federal Reserve Board have enacted legislation and regulation aimed at protecting borrowers from taking on loans that they cannot afford. More than ever, it is important for internal auditors at lending institutions and organizations with mortgage investments to understand how their organization may be affected by the subprime mortgage collapse and the steps that should be taken to prevent it from happening again. At the same time, auditors must continue to educate management about how excessive risk could harm the organization. 8 intern

9 Finansmarkedene flags clearly were ignored, if not mowed down outright. In this sort of situation, the choices for auditors come down to appealing to the audit committee, calling the chief executive officer, and if all else fails, walking away. To auditors like Watson, who spent many years in public accounting, it s no choice at all. You can t be afraid to do your job right, he says. Otherwise you re going to be a passive internal auditor who is more worried about being fired than doing the right thing. MARKET LESSONS Credit unions, nonprofit housing corporations, and governmentsupported housing authorities weren t immune to the housing boom s risks and rewards, but their experiences differed from traditional financial institutions. Mostly free of investor or stockholder pressures, they offer some models of effective ways to handle risks. We actually have a very conservative approach, even in good times, says James Alexander, chief internal auditor with the Unitus Community Credit Union in Portland, Ore. It hasn t been easy. In times of heavy volume, the biggest problem can be that controls tend to weaken. A good thing for auditors to keep in mind is that although times are good, that doesn t mean you can let down your guard, he says.in his audit work, Alexander keeps in mind lessons learned from the roller coaster mortgage market: MORE INTENSIVE LOAN UNDERWRITING Borrowers can obtain a first mortgage from one lender and a home equity line from another. The lender in the equity position might not know if a big adjustment or rate reset is scheduled for the first mortgage. Auditors should ensure that controls exist in which underwriters consider repayment terms of a first mortgage before approving the equity line; this hasn t always been practiced in the past. CLOSE MONITORING OF APPRAISALS AND LOAN OFFICERS Audit groups, especially in larger organizations, should look closely at appraisals, making sure that a loan officer is not influencing appraisers to produce certain values so that they continue to receive repeat business. Auditors should confirm that the loan officer isn t in a position to direct the appraisers on home values. REGULAR LOAN REVIEWS This process should be continuous, not performed just once every one or two years. At Alexander s credit union, someone conducts quarterly reviews of loans now being originated. ADEQUATE LOAN SAMPLING Auditors should include all different loan types in their review to make sure they are seeing a representative sample and not overlooking a product that might carry higher risks. Sampling also would identify whether a particular loan officer might be originating riskier products. Sampling should be thorough and frequent, Alexander adds. Each organization will have different risk levels that they are willing to accept,alexander explains. If you re working with an organization that has a high risk tolerance, it can be especially challenging. The key is to convince the management team that times won t always be like this. It is also important to ensure that the audit committee understands and is comfortable with the existing levels of risk, he says. TESTING FOR TROUBLE The question of risk is not an abstract one for financial firms. Some 7.2 million U.S.families hold a subprime mortgage, and the proportion of subprime mortgages in default has reached 14 percent, according to the Center for Responsible Lending (CRL), a nonpartisan research group in Durham, N.C. The ven the most updated technology and processes can t do much for internal auditors if their hands remain tied for other reasons being isolated in the company or Eoutright ignored. CRL projects that one in five subprime mortgages made in will end up in foreclosure. Not all lenders have to worry, though. Foreclosures aren t a problem at the Colorado Housing and Finance Authority intern 9

10 Finansmarkedene (CHFA) in Denver because the organization never went into exotic loans in the first place, explains internal auditor Dana Pearce. With a mission to help low and medium income families purchase homes and stay in them, subprime products didn t make sense. Some subprime loans, such as interest-only loans in which the payment never is applied to the principal, aren t suitable products for borrowers looking to establish home ownership, she notes. The authority does purchase from lenders but on its own terms. Lenders have to be licensed and go through a training program. To sell a loan, they must provide the authority with an extensive package of data that includes a borrower s income price limits, qualification for home ownership loan programs, and loan details. The CHFA confirms this information against a computerized checklist, and if it isn t there, it doesn t buy the loan. The authority also conducts reviews afterward. In addition, Pearce uses a newer approach she calls fraud flags a list of 16 items regarding a loan, marked yes or no. If the list contains more than the maximum number of yes answers, it goes for a full review. It s been very helpful, she says. We re actually finding more borrower fraud than lender fraud. Pearce modeled her fraud flag approach after a bank process used to catch check kiting. She also instituted CHFA s internal audit processes when she arrived three years ago in 2005 and had some input into the agency s computerized system to log loan documents, which had been done manually in the past. The most crucial changes she has made are bringing in a compliance manager and taking quality assurance out of the production line. You shouldn t try to report to the person who is keeping production up, Pearce says. It should be separate. Pearce recommends convincing management to get compliance, security, and internal auditing in on the design phase of any loan acquisition or review system. AUDITING AS SOLUTION Even the most updated technology and processes, however, can t do much for internal auditors if their hands remain tied for other reasons being isolated in the company or outright ignored. That s why the biggest and most overlooked risk auditors may face is failing to promote opportunities to keep their company out of the blame game. The best solution may be the simplest one as well: stepping up to the plate and promoting internal auditing as a tool to react to risks that changing business models can present. 10 intern

11 intern 11

12 Finansmarkedene Kommunesektorens overordnede styringsmodell I denne artikkelen beskrives kommunenes overordnede styringsmodell med en særlig vektlegging av kontrollutvalgets rolle som kommunestyrets redskap for uavhengig innsyn og kontroll. Artikkelen redegjør også kort for forvaltningsrevisjon og selskapskontroll. Sentrale begreper som risiko og vesentlighet omtales med særlig vekt på hvordan disse begrepene anvendes i forvaltningsrevisjon. Avslutningsvis berøres også regelverket for kommunenes finansforvaltning. Bodhild Laastad er seniorrådgiver i Norges Kommunerevisorforbund med forvaltningsrevisjon og selskapskontroll som spesialfelt. Hun er registrert revisor og er dessuten i disse dager i ferd med å avslutte en mastergrad i sosiologi. Hun har arbeidet med kommunal revisjon i snart 10 år. Innledning Ett av temaene i denne utgaven av Intern er Terraskandalen som har rystet et samlet kommune-norge. Når en skal forsøke å forstå hvordan det kunne skje, må en trekke inn mange ulike faktorer som hver på sin måte kan ha vært medvirkende til det som skjedde. I denne artikkelen er Norges Kommunerevisorforbund invitert til til å beskrive den overordnede styrings- og ansvarsmodellen i kommunene som danner et viktig referansepunkt eller bakteppe for forståelsen av kommunenes virksomhet. Overordnet styringsmodell i kommunene Kommunenes formelle styringssystem er hjemlet i kommuneloven fra Det som særlig særpreger offentlig sektor er at den har et folkevalgt organ som øverste myndighet. I kommunene er dette kommunestyret. Det kommunale styringssystemet bygger på et prinsipielt skille mellom politikk og administrasjon. Politikernes oppgave er å fastsette mål mens det er administrasjonssjefens oppgave å omsette de politiske vedtakene i handling. Kommunestyret har totalansvaret for den kommunale virksomheten. Dette ansvaret ivaretas i prinsippet gjennom to styringslinjer som begge utgår fra kommunestyret. Den ene styringslinjen går til administrasjonssjefen som har ansvaret for gjennomføringen av kommunens tjenesteproduksjon, planlegging og myndighetsutøvelse. Administrasjonssjefen skal blant annet sørge for at administrasjonen drives i samsvar med lover, forskrifter og overordnede instrukser, og at den er gjenstand for betryggende kontroll. Den andre styringslinjen representerer en uavhengig og ekstern kontroll som går gjennom kontrollutvalget. Kontrollutvalget velges av kommunestyret og skal bestå av minst tre medlemmer, hvorav minst ett skal være medlem av kommunestyret. Kontrollutvalgets oppgave er å forestå det løpende tilsynet med den kommunale forvaltningen på kommunestyrets vegne. I hovedsak bygger kontrollutvalget sitt tilsyn på de kontrollaktiviteter som blir utført og rapportert av revisor. Noen av tilsynsoppgavene kan også utføres av kontrollutvalgets eget sekretariat. Kommunestyrets to styringslinjer er illustrert i figuren under. Figur 1: Prinsippskisse over styringssystemet i kommunene. Nærmere om kontrollutvalgets rolle Som det framgår av figur 1, er kontrollutvalget kommunestyrets redskap til å få innsyn i og føre tilsyn med hvordan administrasjonssjefen løser sine oppgaver. Tilsynsansvaret omfatter også politiske utvalg under kommunestyret, men det er viktig å presisere at kontrollutvalget ikke skal overprøve politiske prioriteringer som er foretatt av kommunens folkevalgte organer. La meg også presisere at kontrollutvalget og revisor står for en ekstern kontroll og revisjon. For at kontrollutvalget skal kunne ivareta sin kritiske og uavhengige rolle, har kommune- 12 intern

13 Finansmarkedene loven svært strenge valgbarhetsregler for medlemmer til kontrollutvalg. Enkelt sagt kan medlemmene ikke ha andre verv enn verv som kontrollutvalgsmedlem og som medlem av kommunestyret. Kommuneloven har selvsagt også egne bestemmelser om revisors uavhengighet. Kommuneloven gir kontrollutvalget et vidtgående mandat. Kontrollutvalget kan hos kommunen, uten hinder av taushetsplikt, kreve enhver opplysning, redegjørelse eller ethvert dokument og foreta de undersøkelser som det finner nødvendig for å gjennomføre sine oppgaver. Innsynsretten gjelder også heleide kommunale selskaper. Rapporter om gjennomførte kontroller legges fram for kommunestyret. Kontrollutvalget har ingen myndighet til å fatte vedtak som forplikter administrasjonen eller andre instanser. Men gjennom sin rapportering kan kontrollutvalget gi tilrådning til kommunestyret om å fatte vedtak som pålegger administrasjonssjefen å rette opp avdekkede avvik og svakheter. I den forbindelse pålegger kommuneloven kontrollutvalget å følge opp at kommunestyrets vedtak blir iverksatt og etterlevd. Kontrollutvalget utøver sin virksomhet primært ved å påse at kommunens virksomhet kontrolleres ved at det utføres: regnskapsrevisjon forvaltningsrevisjon selskapskontroll Kommunestyret velger selv hvilken revisjonsordning kommunen skal ha. Etter lovendringen fra 2004 kan kommunestyret velge mellom å: ansette egne revisorer delta i interkommunalt samarbeid inngå avtale med annen revisor Det er også kommunestyret som velger revisor. Kommunestyrets vedtak i saker som gjelder valg av revisjonsordning og valg av revisor, skal treffes på grunnlag av innstilling fra kontrollutvalget. Dette betyr at kontrollutvalget skal spille en aktiv og sentral rolle i saksforberedelsen. Regnskapsrevisjon Ved utføring av regnskapsrevisjonen sikres etterlevelse av den rettslige standarden god kommunal revisjonsskikk ved at man følger rammeverket i Standarder for revisjon og beslektede tjenester med offentlige tillegg. Disse standardene er basert på IAASBs 1 International Standards on Auditing. Forvaltningsrevisjon Forvaltningsrevisjon er en særegen revisjonsform for offentlig virksomhet. Kommuneloven definerer forvaltningsrevisjon som systematiske vurderinger av økonomi, produktivitet, måloppnåelse og virkninger ut fra kommunestyrets vedtak og forutsetninger. Litt forenklet kan man si at vurderinger av økonomi og produktivitet gir svar på spørsmålet: Gjør man tingene riktig?, mens vurderinger av måloppnåelse og virkninger gir svar på spørsmålet: Gjør man de riktige tingene? Her inngår også vurderinger av om regelverket etterleves, om styringsverktøy og virkemidler er hensiktsmessige, og om beslutningsgrunnlaget fra administrasjonen til de politiske organer samsvarer med offentlige utredningskrav. Styret i Norges Kommunerevisorforbund har fastsatt en egen revisjonsstandard for forvaltningsrevisjon (RSK 001) som består av grunnleggende prinsipper og revisjonshandlinger i forvaltningsrevisjon. Regelverket pålegger kontrollutvalget å utarbeide en plan for forvaltningsrevisjon som skal vedtas av kommunestyret. Planen skal baseres på en overordnet analyse av kommunens virksomhet ut fra risiko- og vesentlighetsvurderinger. De enkelte prosjekter gjennomføres med utgangspunkt i planen etter bestilling fra kontrollutvalget. Dersom det skulle dukke opp spesielle saker som ikke ligger i planen, gir kontrollutvalgets vidtgående mandat det myndighet til å foreta de undersøkelser det finner nødvendig uavhengig av planen. Kommunestyret kan også av eget initiativ gi instrukser om hvilke prosjekter som skal iverksettes. Selskapskontroll Selskapskontroll innebærer å kontrollere forvaltningen av kommunens eierinteresser i selskaper. Dette innbefatter også å kontrollere om den som utøver kommunens eierinteresser, gjør dette i samsvar med kommunestyrets vedtak og forutsetninger. Selskapskontrollen kan også omfatte forvaltningsrevisjon. Kontrollutvalget skal utarbeide en plan for gjennomføring av selskapskontroll som skal vedtas av kommunestyret. Rapporter om gjennomførte selskapskontroller legges fram for kommunestyret. Om risiko Kommuneloven inneholder ingen eksplisitte bestemmelser som pålegger kommunen å drive bevisst risikostyring utover det at administrasjonssjefen skal påse at kommunens administrasjon er gjenstand for betryggende kontroll. Gjennom denne bestemmelsen pålegges administrasjonssjefen ansvaret for den interne kontrollen. Men lovverket inneholder ingen bestemmelser som pålegger kommunen å følge et bestemt system. Til nå er det få kommuner som har etablert en egen intern revisjon. Oslo er en av dem. Regelverket pålegger revisor å se etter at kommunen har ordnet den interne økonomiske kontrollen på en betryggende måte og med forsvarlig kontroll. Revisor skal påpeke skriftlig 1 International Auditing and Assurance Standards Board. intern 13

14 Finansmarkedene overfor kontrollutvalget med kopi til administrasjonsjefen blant annet om feil og mangler ved organiseringen av den interne kontrollen. Det er kommunestyret som pålegger administrasjonssjefen å følge opp revisors merknader iht punktene over, men det er kontrollutvalgets ansvar å påse at revisors påpekninger blir fulgt opp, og utvalget skal også avgi rapport til kommunestyret om hvordan merknadene er blitt fulgt opp. Gjennomføringen av regnskapsrevisjonen bygger selvsagt på risiko- og vesentlighetsvurderinger på vanlig måte. Fokus her er de risikoene som vedrører utarbeidelsen av årsregnskapet. Når revisjonen vurderer kommunens system for intern kontroll, støtter man seg gjerne til COSO-rammeverket som en autoritativ kilde for beste praksis. Gjeldende revisjonsstandarder tar også utgangspunkt i COSO-rammeverket når de beskriver kravene til revisors vurdering av kommunens interne kontroll. Som tidligere nevnt, pålegger regelverket kontrollutvalget å utarbeide en plan for gjennomføring av forvaltningsrevisjon med utgangspunkt i en overordnet analyse av kommunens virksomhet. Den overordnede analysen skal bygge på risikoog vesentlighetsvurderinger for å avdekke indikasjoner på avvik eller svakheter i forvaltningen. Planen skal vedtas av kommunestyret. Kontrollutvalget bestiller så forvaltningsrevisjonsprosjekter med utgangspunkt i planen. Kontrollutvalget har ansvar for at de vedtak kommunestyret gjør etter gjennomførte forvaltningsrevisjoner, følges opp av administrasjonen. I forbindelse med forvaltningsrevisjon er det ikke gitt hva som ligger i begrepet vesentlighet. Dette vil kunne variere etter hvilket perspektiv man legger til grunn. En sak som fra et økonomisk perspektiv vurderes som uvesentlig, kan fra et brukerperspektiv oppfattes som svært vesentlig. I og med at kommunene er et politisk styrt system, er det naturlig at det i siste instans overlates til de folkevalgte å ta stilling til hva som skal regnes som vesentlig. Norges Kommunerevisorforbund har utarbeidet en veileder i hvordan en overordnet analyse av kommunens virksomhet kan utføres. Veilederen tar utgangspunkt i følgende sentrale elementer fra COSO ERM: Mål for den kommunale virksomheten Risikofaktorer som kan medføre uønskede hendelser som kan hindre måloppnåelsen Risikovurdering o Konsekvensene dersom hendelsen inntreffer o Sannsynlighet for at hendelsen inntreffer Risikoreduserende tiltak Vesentlighetsvurdering Elementene er satt inn i et skjema som kan brukes som en mal for selve gjennomføringen av analysen, se nederst på siden. Målene for den kommunale virksomheten kan deles inn i tre kategorier: Mål og resultatkrav fastsatt av kommunestyret eller avledet av kommunestyrets vedtak Overholdelse av lover og regler Pålitelig regnskapsrapportering og økonomiforvaltning Kommunenes finansforvalting I disse dager er kommunenes finansforvaltning naturlig nok et hett tema. Forhold rundt kommunenes låneopptak, garantier, pantsetting og finansforvaltning er regulert i et eget kapittel i kommuneloven. Her blir kommunen pålagt å utarbeide regler for kommunens finansforvaltning. Kommuneloven pålegger kommunene å forvalte sine midler slik at tilfredsstillende avkastning kan oppnås uten at det innebærer vesentlig finansiell risiko. Regelverket er utdypet i en egen forskrift om kommunenes finansforvaltning med bl.a. nærmere regler om reglement for finansforvaltning som innebærer at kommunestyret gjennom reglementet skal ta stilling til formålet med forvaltningen, generelle rammer og begrensninger, finansiell risiko, risikospredning og rutiner for rapportering om utviklingen i disse forholdene. Reglementet skal også inneholde rutiner for rapportering fra uavhengig instans som skal vurdere om forvalter følger opp de fastlagte reglene for forvaltning. Forskriften pålegger kommunestyret å påse at kommunen har etablert betryggende rutiner for å vurdere finansiell risiko og å håndtere slik risiko. Dessuten pålegges kommunestyret å la uavhengig faglig kompetanse på finansiell risiko vurdere rutinene som er etablert. Mål for Risikofaktorer Risikovurdering Risikoreduserende Vesentlighet Kontrollutvalgets virksomheten tiltak prioritering Konsekvens (H/M/L) Sannsynlighet (H/M/L) Sektor 1 Målsetting 1 Målsetting 2 osv. Tabell 1: Skjema for overordnet analyse. 14 intern

15 Finansmarkedene Fylkesmennenes lovlighetskontroll av Terra-kommunenes disposisjoner har konkludert med at kommunene har brutt kommuneloven ved å ta vesentlig finansiell risiko og ved å overdra framtidige krav på skatt og avgift. Avslutning La meg avslutningsvis presentere tabellen under som oppsummerer aktørene og deres roller og ansvar: Aktør Ansvarlig for: Kommunestyret Koml 76 Det øverste tilsyn med den kommunale forvaltningen Velger kontrollutvalg Administrasjonssjefen At saker er forsvarlig utredet Koml 23 At vedtak blir iverksatt At administrasjonen drives i samsvar med lov, forskrift, instruks At administrasjonen er gjenstand for betryggende kontroll Kontrollutvalget Det løpende tilsynet med den kommunale forvaltningen. Skal påse at det utføres: Koml 77 regnskapsrevisjon forvaltningsrevisjon selskapskontroll Kontrollutvalgets At saker til kontrollutvalget er forsvarlig utredet sekretariat At vedtak fattet av kontrollutvalget blir iverksatt Forskrift om kontrollutvalg 20 Revisjonen Utfører og rapporterer regnskapsrevisjon og forvaltningsrevisjon iht god Koml 78 kommunal revisjonsskikk Tabell 2: Aktørene og deres ansvar. FORENINGSNYTT: Intensjonsavtale om faglig samarbeid mellom ISACA og NIRF ISACA er en verdensomfattende forening for IT-Governance, IT-sikkerhet og IT-revisjon av informasjonsteknologi med over medlemmer. Over 300 av medlemmene tilhører det norske Chapteret. The Institute of Internal Auditors har i dag medlemmer hvorav 740 tilhører innunder NIRF. Det er spesielt NIRFs nettverk for IT-revisjon som har samsvarende interessefelt som medlemmene fra ISACA, og mange er sågar medlem av begge foreninger. Foreningene ønsker i fellesskap å være et faglig forum for personer som er interessert i governance, sikkerhet, risikostyring og revisjon av IT. Man vil blant annet arbeide for å utvikle felles forståelse for begrepene IT-governance og Enterprise Risk Management (COSO ERM), samt bruke hverandres webportaler for å gi informasjon om saker av felles interesse. Avtalen gir medlemmene i respektive foreninger tilgang til hverandres tilbud (kurs, konferanser, seminarer, medlemsmøter, litteratur og andre fordeler) til medlemspris. Avtalen ble formelt signert av foreningenes presidenter den 5. juni og er inngått for en periode på to år. ISACAs president Frank Robert Berg og NIRFs president Solbjørg Lie. intern 15

16 Finansmarkedene Er det bukken som passer havresekken i kommunesektoren? Mye gikk galt i Terra-saken og årsaksforholdene er komplekse. Som internrevisor spør man seg unektelig hvordan kunne slikt skje? Hva var det som gikk galt? Er systemet for den interne kontrollen i kommunene god nok eller er det for tette bånd mellom utøver og kontrollør, dvs mellom kommunestyre og kontrollutvalg. Og hva med revisjonens uavhengige rolle? Unni Leivestad er cand.jur og Dipl. IR. og er nå i NAV internrevisjon. Hun har tidligere vært revisjonssjef i Tollvesenet. Hun har 9 års erfaring fra Oslo kommune hvor hun blant annet var sentral i arbeidet med korrupsjonssakene tidlig på 90-tallet, som førte til opprettelsen av en internrevisjon hvor hun var med i startfasen. Hun har 5 års erfaring som tolldistriktssjef. Bodhild Laastad har i en artikkel i denne utgaven av Intern gitt en omfattende fremstilling av den kommunale styringsmodellen. Her vil jeg gi noen kommentarer i et forsøk på kanskje å gi noe av forklaringen på hvorfor det gikk som det gikk i det kommunale systemet. Ansvaret for den interne kontrollen i kommunen. Det overordnete ansvaret for kommunenes internkontroll (egenkontroll) er tillagt kommunestyret. Herfra går det to interne linjer som begge er underlagt og rapporterer til kommunestyret. Det er henholdsvis kontrollutvalget og administrasjonssjefen. Administrasjonssjefen er øverste administrative leder og har ansvaret for at virksomheten etablerer de rutiner og systemer som er nødvendig for å sikre den interne kontrollen. I kommunelovens kap.12 defineres både kontrollutvalget og revisjonen som Internt tilsyn og kontroll. Kontrollutvalget rolle. Kontrollutvalget er oppnevnt av kommunestyret og skal føre løpende kontroll og tilsyn med kommunen. Det skal bestå av minst tre medlemmer, hvorav minst ett skal være medlem av kommunestyret. I praksis kan alle medlemmene i kontrollutvalget også være representanter i kommunestyret. Allerede her ser man den nære tilknytningen mellom det utøvende og det kontrollerende organ. Tilsynsansvaret innebærer blant annet at det er kontrollutvalget som skal utarbeide en plan for forvaltningsrevisjoner. Kontrollutvalget bestiller deretter oppdragene gjennomført av revisjonen. I bladet Kommunal økonomi nr.3/2008 refererer Jan Petter Jørgensen fra en konferanse for kommunale kontrollutvalg. Med 400 mennesker til stede i salen, var det ikke én hånd som kom i været på spørsmålet om hvor mange som hadde gjennomført forvaltningsrevisjon av finansforvaltningen i sin kommune. Dette sier en del om innstillingen til overvåking og kontroll av finanssektoren i kommunesektoren Den kommunale revisjonen. Kommunestyret velger hva slags revisjonsordning den enkelte kommune skal ha; kommunal, interkommunal eller privat, mens muligheten for å initiere revisjoner ligger hos kontrollutvalget. Revisjonen kan derfor ikke lenger initiere forvaltningsrevisjoner på eget initiativ. Det innebærer at kommunerevisjonen ikke synes å ha den uavhengige stillingen som den hadde før kommuneloven ble endret på dette punkt. Revisors kompetanse til å vurdere risiko og vesentlighet, herunder risiko for misligheter eller andre uheldige forhold, blir nødvendigvis ikke lenger hensyntatt. Kontrollutvalgets prioriteringer vil dermed kunne være på områder med andre formål og hensikter enn de som revisor ville anbefalt ut fra sin faglige vurdering og sine erfaringer innen revisjon. Til sammenligning kan nevnes at i statlig sektor er Riksrevisjonen en uavhengig ekstern kontrollfunksjon som gjør sine egne vurderinger basert på risiko og vesentlighet, herunder også risiko for misligheter. På dette grunnlag lages den endelig revisjonsplan som blir initiert og iverksatt helt uavhengig av den reviderte enhet. Spørsmålet som det er naturlig å stille er om mangelen på bruk av revisors kompetanse i utvelgelsen av oppdrag, samt manglende ekstern uavhengig kontroll i kommunesektoren, er en svakhet i kontrollsystemet som bør sikres bedre i kommuneloven. Med den tette bindingen mellom kommunestyret og kontrollutvalget som påpekt foran, kan det lett bli politikken og de nære relasjoner som kan bli avgjørende for valg av revisjonsobjekter. Statlig tilsyn med kommunene. Systemet innen kommunesektoren i dag er at hver enkelt kommune har et selvstendig ansvar for den interne kontrollen uten tilsyn eller kontroll av en ekstern kontrollfunksjon. En viss form for ekstern tilsyn er imidlertid tillagt departementet. Paradoksalt nok ble denne funksjonen nedtonet kommuneloven i 2006 ved at kontroll-begrepet ble tatt ut slik at det nå kun er statlig tilsyn. Tilsynet foregår i form av såkalt lovlighetskontroll, en vurdering av om en avgjørelse i kommunen er lovlig. Departementet/fylkesmannen kan selv initiere en slik lovlighetskontroll, i tillegg til at tre eller flere kommunestyremedlemmer sammen kan kreve en slik lovlighetskontroll. Det vil si at det kreves et eget initiativ i enkeltavgjørelser. Oftest vil det være i forbindelse med en konkret hendelse som indikerer at noe kan være galt, ikke som et forebyggende kontrolltiltak. Det var en slik lovlighetskontroll som ble foretatt av fylkesmennene/departementet etter at Terra-saken ble kjent i media. 16 intern

17 Finansmarkedene Fylkesmenn/departementet kom til at de berørte forholdene var i strid med flere av bestemmelser i kommuneloven. Paradoksalt nok var det en kommunerevisor som allerede i 2001 i revisjonsberetningen for Vik kommune, reagerte fordi han mente at de midlene som ble benyttet til å investere i utenlandske verdipapirer var å likestille med lån, jfr kommunelovens 50. Saken ble den gangen brakt inn både for fylkesmannen i Sogn og Fjordane og Kommunal- og regionaldepartementet. Departementets konklusjon var at avtalen ikke kan likestilles med lån. Dette standpunktet ble presisert av departementet i et rundskriv så sent som i 2003, og det var dette standpunktet Terra Securities markedsførte til andre kommuner. I 2007 kom altså departementet til det motsatte resultatet. Det er vel lite sannsynlig at en revisor som skal utføre oppdrag for kontrollutvalget i dagens system ville tatt opp et så kontroversielt spørsmål i forhold til sine oppdragsgivere. Etter endringen av kommuneloven i 2004, hvor kommunestyret selv kan velge revisjonsordning og kontrollutvalget fikk en bestillerfunksjon i revisjonssammenheng, er ikke uavhengigheten hva den engang var. Et annet punkt i fylkesmennene/departementets lovlighetskontroll var om kravet, jfr finansforvaltningsforskriftens 5, om kvalitetsikring av finansforvaltningsreglementet var oppfylt ved å la uavhengig kompetanse vurdere at det er etablert betryggende rutiner i henhold til forskriftens 4. Det ble av fylkesmennene nevnt at en slik uavhengig kompetanse kunne være kommunerevisjonen. Ingen av de fire sakene jeg gjennomgikk hadde fått foretatt en slik uavhengig kvalitetssikring. For øvrig ble det påtalt svakheter i finansreglementets for manglende rutiner for rapportering fra forvalter og uavhengig instans, dvs at oppfølgingen var mangelfull. Oppsummering. Terra-saken har vært en lærepenge for mange. Skattebetalerne må i mange år fremover betale dyrt for politikernes og kommuneadministrasjonens dumhet og manglende kompetanse. Men spørsmålet nå er hva de ansvarlige, dvs Kommunal- og regionaldepartementet, gjør for at slikt ikke skjer igjen. Kommunenes autonomi, eller det kommunale sjølstyre som det også omtales som, har kanskje gått for langt når man ikke lenger har en revisjon som er uavhengig av de folkevalgte organer. Når bukken skal passe havresekken er risikoen stor for at havren blir spist opp i stedet for å bli passet på. Redaksjonen i Intern ba Kommunal- og regionaldepartementet (KRD) om en kommentar. Svaret vi fikk fra KRD var at de ikke ønsker å gi noen kommentarer til denne artikkelen. Dette er temaer som departementet arbeider med og dette arbeidet er ikke sluttført. KRD ga oss imidlertid følgende generelle kommentarer: Behovet for å styrke egenkontrollen i kommunesektoren har blitt synliggjort blant annet i departementets arbeid med etikk i kommunesektoren og i sammenheng med vurderingen av tiltak i opppfølgingen av Terra-saken. Det er viktig at kommunenes egenkontroll utvikler seg i takt med utfordringene i kommesektoreren. Kommunalministeren har derfor besluttet at det skal nedsettes en arbeidsgruppe som skal komme med forslag til tiltak lokalt og nasjonalt for å styrke denne kontrollen, dvs. forslag til hvordan arbeidet i kontrollutvalgene, revisjonen og administrasjonssjefens internkontroll kan gis større effekt, tyngde og gjennomslagskraft. Arbeidsgruppen vil bli bredt sammensatt med representanter fra bl.a. KS, Norges kommunerevisorforbund, og Forum for kontroll og tilsyn. Mandatet vil bli utarbeidet i samarbeid med KS og Forum for etikk i kommunesektoren. Arbeidsgruppen planlegges nedsatt høsten intern 17

18 Finansmarkedene Eystein Kleven og Erik V. Pedersen i Kredittilsynet om Terra-saken og utviklingen i finansmarkedene Intervju med Sverre Bjertnes (redaksjonskomiteen) I Kredittilsynets brev til Terra Securities den 27. november 2007 ble det forhåndsvarslet om tilbakekalling av selskapets tillatelser med henvisning til flere brudd på gjeldende regelverk.vi spurte Kredittilsynet om regelverket er tilstrekkelig, om oppfølgingen er god nok, hva som gikk galt internt i Terra Securities, og om de generelle utviklingstrekkene bak denne type saker. Eystein Kleven Seksjonssjef i Kredittilsynet, juridisk embedseksamen i Erik V. Pedersen Tilsynsrådgiver. Ansatt i Kredittilsynet mai 1988 cand. oecon Århus Universitet 1975 mastergrad i finans Er regelverket om markedsføring og salg av kompliserte spareprodukter godt nok? Ja, regelverket er godt nok. Det er klart beskrevet hvordan aktørene skal forholde seg. Selgernes informasjonsplikt og krav til god forretningsskikk gir de nødvendige føringer. I Terrasaken var det helt klart at Terra sin presentasjon fremsto som mangelfull og villedende, da sentrale elementer som muligheten for potensielle tilleggsutbetalinger og tap var utelatt. Terra Securities brøt også bestemmelsen om god forretningsskikk i verdipapirhandel - loven. Overtredelsene var foretatt systematisk ved at Terra Securities hadde tilbudt disse produktene over tid til ulike kunder. Terra-saken er et eksempel på at regelverket gir Kredittilsynet de mulighetene som tilsynet trenger til å gripe inn i dette markedet. Kunne Kredittilsynet gått inn i Terra-saken og bidratt til en avvikling av disse investeringene på et tidligere tidspunkt? Det er viktig å være klar over at Kredittilsynet ikke driver med forhåndskontroll av transaksjoner. Vi driver heller ikke med forhåndsgodkjennelser av produkter. Vi mener at vi kom inn i Terra-saken på et rimelig tidlig tidspunkt. Burde Kredittilsynet drive med forhåndsgodkjennelse av produkter? Loven sier at produktet skal passe til kunden. Dette er et hensiktsmessig system, tilsvarende det som gjelder i EU. Har Kredittilsynet tilstrekkelig med ressurser til å følge opp lovverket? Man kan alltid bruke mer ressurser, men det er begrenset tilgang på folk med erfaring i å kunne etterspore transaksjoner. Vi mener at vi har de ressursene og den kompetansen som vi har behov for. Som illustrasjon på dette kan vi vise til flere tilsynssaker som er omtalt i pressen etter Terra-saken. I disse tilfellene har Kredittilsynet særlig sett på om opplysningsplikten er overholdt i forbindelse med markedsføringen av komplekse produkter til et bredt publikum, der det er store kostnader og mulighet for at selger kan ta ut en superprofitt. Et selskap har fått inndratt sin konsesjon som følge av vår gjennomgang av disse sakene. Hva sviktet internt i Terra Securities? Vi har ikke foretatt noen gjennomgang av den interne saksgangen i Terra Securities. Kredittilsynet har imidlertid ikke kommet over dokumentasjon på at produktene ble grundig gjennomgått og godkjent av ledelsen, eller at det i det hele tatt fantes rutiner som tilsa at en slik godkjennelsesprosess eksisterte. Selskapet hadde store inntekter fra dette segmentet. I en slik situasjon vil vi normalt forvente at styret og ledelsen har vært involvert og stilt de nødvendige spørsmål. Hadde selgeren kompetanse på det han solgte? Kredittilsynet har ingen formening om Terra Securities hadde nødvendig kunnskap om produktets risiko, men mener at denne risikoen uansett ikke ble formidlet til kommunene. Terrakommunene er ikke profesjonelle investorer og selger hadde en betydelig opplysningsplikt. Er økonomiske incitamenter for ledende ansatte i finansinstitusjoner til å ta stor risiko, en vesentlig medvirkende årsak til de problemene som Terra-saken er et eksempel på? KT: Dette er en meget aktuell problemstilling. Norsk lovgivning krever at det skal være et rimelig forhold mellom risiko og gevinst hos alle aktørene i denne type transaksjoner. Dessuten er det krav om åpenhet om hvem som tjener hva, og hvem som tar hvilken risiko. Men så må dette håndheves og der har Kredittilsynet en viktig oppgave. oven sier at produktet skal passe til kunden. Dette er et hensiktsmessig system, til- Lsvarende det som gjelder i EU. Kan dere si litt om de generelle utviklingstrekkene som forårsaket Terra-saken? Her viser Kredittilsynet til et foredrag for Norges Fondsmeglerforbund av Eystein Kleven om utviklingen i sparemarkedene fra april Vi har tatt med et utdrag av dette foredraget: 18 intern

19 Utviklingstrekk i sparemarkedene Innledning Sentralt i Kredittilsynets overvåking og tilsyn med verdipapirmarkedene er investorvernet. I den seinere tid er det en rekke forhold i markedene av faktisk og juridisk art, som har utviklet seg slik at Kredittilsynet nødvendigvis må legge økt vekt på investorvernet. Av juridisk art er ny verdipapirhandellov som følge av gjennomføringen av nytt EU-direktiv med mer konkrete regler om verdipapirforetakenes plikter i handteringen av investorenes interesser. Av faktisk art angir lederen i The Economist 22. mars i år, noen sentrale forhold: Finansmarkedene Det begynte i 1980 årene med et historisk bull market i aksjer og obligasjoner, drevet fram av fallende renter, ny informasjonsteknologi, og omorganisering av selskaper. Da oppsvinget opphørte kort etter århundreskiftet, begynte finanshusene som hadde vokst seg rike på oppsvinget å søke etter ny profitt. Takket være billige penger kunne de ta inn mer gjeld som gjorde investeringene mer profitable og mer risikable. Takket være informasjonsteknologien, kunne de konstruere utall komplekse derivater, noen av dem knyttet til pantegjeld. Ved å kombinere gjeld og derivater, skapte bankene en ny maskin som kunne gi opphav til og distribuere veldige mengder med risiko til desorienterte grupper av motparter. Dette systemet fungerte; faktisk gjør det fortsatt det i sin enkleste form, det sprer risiko, befordrer økonomisk effektivitet og skaffer billig kapital. (akkurat som junk bonds, et annet i sin tid misbrukt finansielt instrument, vil mange av de nye derivatene bli igjen for ikke annet formål enn at de er nyttige.) Likevel har dette sammenfiltrede systemet over det siste årtiet også likefram levd på seg sjøl. Etter som balansene vokste, kunne du låne mer på dem, kjøpe mer aktiva og beundre din gode fornuft mens verdiene økte. I 2007 skapte finansiell tjenesteyting 40 % av Amerikas selskapsprofitt men sysselsatte bare 5 % av ansatte i privat sektor. I mellomtida er finansiell sektors gjeld, som bare var en tiendedel av størrelsen av ikke-finansiell sektors gjeld i 1980, nå halvparten så stor. Det finansielle systemet, eller en stor del av det, begynte å miste kontakten med sitt formål: utstede, forvalte, og handle fordringer på framtidige pengestrømmer for den resterende økonomien. Det ble i økende grad et spill for honorarer og spekulasjon, og viss favorittrekk var å slå reguleringsmyndigheten. (The Economist March 22nd 2008, page 15.) Et spørsmål er hva som er US. spesifikke forhold, og hva som er mer allmenne. Hvor mye av finansiell produksjon i dagens norske sparemarked er spill for honorarer og spekulasjon? Kan erfaringer så langt om avkastning i forhold til investert kapital i sparemarkedet gi veiledning med hensyn til et svar? Massemarkedet (ikke-profesjonelle kunder) Over det siste tiåret er det et sentralt trekk at massemarkedet, dvs. husholdningenes og små- og mellomstore bedrifters sparing, i økende grad har blitt forflyttet fra tradisjonell banksparing til sparing i finansielle instrumenter. Denne forflytningen av midler har sitt grunnlag i større formuer på husholdningenes og bedriftenes hand og tilrettelegging for mer individuelt basert pensjonssparing, og er befordret av finansinstitusjonenes markedsføring og finansielle rådgiveres aktive framstøt overfor enkeltpersoner. Imidlertid kan det legges til grunn at finansinstitusjonenes overflod av penger og behov for risikoavlastning i tillegg har vært et insitament for disse til å kombinere plasseringsmuligheter for massemarkedet med opplåning og derivater. Dette er hva Kredittilsynets undersøkelse av den såkalte Terra-saken datert entralt i Kredittilsynets overvåking og tilsyn med verdipapirmarkedene er Sinvestorvernet. 27. november 2007, undersøkelser av sammensatte produkter datert 2. januar 2008, og seinere undersøkelser av rådgiving og salg i markedet, har avdekket. I rapporten om sammensatte produkter skriver Kredittilsynet at: Investeringer i sammensatte produkter økte betydelig etter årtusenskiftet og nådde en foreløpig topp ved utgangen av 2. kvartal 2006, da utestående investeringer i disse produktene i norske banker utgjorde om lang 50 milliarder kroner. Ved årsskiftet 2006/2007 var volumet sunket til 48 milliarder kroner. Produktene har ofte blitt giret opp gjennom lånefinansiering for å øke avkastningspotensialet. Ved årsskiftet 2006/2007 hadde norske banker lånt ut over 34 milliarder til investeringer i sammensatte produkter. De siste tallene viser at i februar var volumet sunket til 38 milliarder, og utlån lå på 28 milliarder kroner. Strukturerte produkter Derivater Opplåning Det er et sentralt trekk i utviklingen over det siste tiåret at salget til massemarkedet beveger seg fra plain vanilla, dvs. mer enkle, forståelige finansielle instrumenter som reine aksjer og obligasjoner, til produkter hvor ulike finansielle instrumenter med ulik risiko er satt sammen med felles forfallstid. Av de mer enkle er aksjeindekserte obligasjoner. Av de mer komplekse er produkter hvor det er kombinasjoner av alt fra ordinære obligasjonsinvesteringer, terminer, misligholdsgarantier, solgte opsjoner og annen opplåning. Noen produkter har underliggende hedge-fond strategier. Men i tillegg selges det isolert opsjoner i form av f eks warrants. Gjennomgående er det at utstedere, rådgivere og selgere benevner produktet ut fra et tilfeldig trekk ved dette, ikke ved dets spesifikke og vesentlige egenskap. Typisk er å omtale derivatinvesteringen i et sammensatt produkt som avkastning på obligasjonen, eller en opsjon med måten det er utstedt på f eks warrants. Denne gjennomgående unøyaktigheten i beskrivelsen av produktene er egnet til å tilsløre de spesifikke risikoene med det enkelte instrument. Hva er det som motiverer salg av produkter som her skissert? Oppsummert ligger det i forflytting av risiko, tilsløring av honorarer og dels nye mellommenn på jakt etter superprofitt. La oss se nærmere på disse tre elementene: intern 19

20 20 intern Finansmarkedene Risiko forflyttes Nye produkter i Norge er gjerne resultat av innovasjoner i de internasjonale markedene. En spesiell utfordring knytter seg til salg av produkter som i det vesentlige er utviklet i utlandet og der det norske verdipapirforetaket bare har rein rådgivings- og salgsfunksjon. Det er for eksempel karakteristisk for verdipapiriserte innretninger og hedge-fond, at de primært involverer utenlandske utstedere og mellommenn med eventuelt en norsk mellommann som i siste ledd fronter kunden. I og med at utstedere og mellommenn med unntak av det norske selgerleddet ikke er under tilsyn i Norge, er tendenser i markedet med hensyn til hvilke produkter investorene anbefales og investerer i og dermed den direkte forflytning av risiko mindre synbar for offentligheten. Det siste er følgelig et annet uttrykk for globaliseringen av økonomien enn når norske utstedere sjøl utvikler finansielle produkter, sjøl om dette ofte skjer gjennom kopiering av internasjonale produkter slik som aksjeindekserte obligasjoner ol. De internasjonale finansinstitusjonene, særlig de som er basert i USA, har de siste årene utviklet nye finansielle instrumenter for å avlaste motpartsrisiko. Salg av slike produkter har økt sannsynligheten for at norske ikkeprofesjonelle investorer i økt grad kjøper internasjonal motpartsrisiko. Det var nettopp hva kommunene i den såkalte Terra-saken i 2007 gjorde. På førstesiden av New York Times 2.desember i fjor kom følgende betraktninger om Terra-saken: U.S. kredittkrise bidrar til formørkelse av lange netter i det arktiske Norge ( ) Hvor all dårlig gjeld endte opp gjenstår som noe av et mysterium, men for de som ble rammet av svekkede sikkerheter har det neppe betydning. Som ørliten flekk på kartet, utgjør disse norske byer lenker i en kjede av misere, som strekker seg fra insolvente huseiere i California til Mains statskasse, og regionale banker i Tyskland til de mektigste navn i Wall Street. Citigroup blant de hardest rammede, framkalte investeringene kjøpt av byene gjennom en norsk mekler. (New York Times, December 2, 2007 page 1.). En viktig motor i en rekke nye produkter er finansinstitusjonenes utvikling av innretninger og metoder for å forflytte risiko fra egen balanse. Motivasjonen er lavere kapitaldekningskrav og dermed lavere kostnader. Risikoen blir i en viss utstrekning dermed forflyttet geografisk, endog til dels helt ut av det finansielle systemet, som resulterer i at et markedsfall på finansaktiva rammer ikke-profesjonelle investorer, ikke minst dersom sistnevnte i tillegg har utstedt misligholdsgarantier. Skjulte inntekter Det skal ikke utelukkes at dels produksjon og i enda større grad distribusjon av strukturerte produkter er ensidig motivert av at inntjeningen for mellomleddene skjules for investor. Kredittilsynet har i en rekke tilsynssaker presisert og handhevet lovkrav om synliggjøring av kostnadene. I Rundskriv 4/2004 datert 16.februar 2004 om sammensatte produkter uttalte Kredittilsynet at kostnadene for kunden skulle komme klart fram. Dette ble gjentatt i Rundskriv nr 15/2006 datert 25.september 2006, og nå sist i Rundskriv 4/2008 datert 12.februar Kredittilsynets pågående undersøkelser tyder på at distributørleddet, forflytter seg fra produkt til produkt for å komme seg unna, hva de i så fall uriktig tror, krav om innsyn for investorene i kostnadselementene. Hva Kredittilsynet kan slå fast, er at en rekke verdipapirforetak har vært innrettet mot å selge produkter med høyest mulig inntjening som ikke sammenfaller med kundenes interesser når gjelder den risiko kunden tar i forhold til forventet avkastning og praktisk mulighet for å selge seg ut av investeringen før forfall; særlig sett hen til kostnadselementet i kundens investering, dvs. hvor stor del av kundens investering som tas av verdipapirforetaket og produsent i form av vederlag og hvor mye som faktisk investeres. e internasjonale finansinstitusjonene, særlig de som er basert i USA, har de siste årene utviklet nye finansielle instrumenter for å avlaste mot- Dpartsrisiko. Når det gjelder massemarkedet er det et spørsmål om åpenhet om kostnader er tilstrekkelig; om investorene likevel forstår når det er et misforhold mellom størrelsen på hans investering og hva produsent og distributør tar av denne i forhold til den merverdi de tilfører investeringen. Betydningen av nye aktører Som rådgivere og selgere i massemarkedet, er det en betydelig inntreden av nye aktører som i løpet av siste året har fått tillatelser til å yte investeringstjenester. Deres tilnærming til investorenes interesser er sterkt påvirket av på den ene side kamp om markedsandeler og inntjening; og på den annen side av fravær av mellommannskultur hvor en hjørnestein er at kundens interesser skal settes foran foretakets. Samtidigheten mellom de nye aktørenes kamp for tilværelsen eller plass i solen, med inntoget av nye finansielle produkter og vekst i massemarkedet, utfordrer ikke bare den alminnelige moraloppfatning, men framfor alt lovgivingen. Kredittilsynet er opptatt av at inntoget av nye verdipapirforetak med manglende forståelse og respekt for regelverk, ikke setter standard i den øvrige etablerte del av bransjen. Men omvendt at de seriøse deler av den etablerte bransjen slår gjennom med sin normforståelse. Imidlertid er det så store inntjeningsmuligheter, at uten tilsynsmyndighetens handhevelse av regelverket kan det snarere være den etablerte del som innretter seg etter den nye. Det skal her ikke ses bort fra at bankenes salg av sammensatte produkter har hatt negativ innflytelse på salgsleddenes normoppfatning. Mange av de til dels store salgsorganisasjonene som i dag opptrer i markedet bygde seg opp på nettopp salg av sammensatte produkter utstedt av norske banker.