intern revisoren Nr 2 / VINTER årgang Forandring er bra!

Transkript

1 intern revisoren Nr 2 / VINTER årgang Forandring er bra!

2 REDAKTØRENS SPALTE I de to siste utgavene av Internrevisoren har redaksjonen satt fokus på miljøutfordringene og finanskrisen. I begynnelsen av inneværende år opplevde vi et betydelig engasjement rundt miljøspørsmål. Ettersom finanskrisen utviklet seg og for alvor skjøt kraft i høst, har vi dessverre registrert at oppmerksomheten rundt miljøproblemene er skjøvet i bakgrunnen. Ledende politikere fra venstre til høyre oppfordrer oss nå til å kjøpe så det svir. Klarer vi ikke å arbeide mot to mål samtidig? Må finanskrisen løses med unyansert satsing på høyere forbruk? Er det i det hele tatt mulig å produsere og forbruke seg ut av denne krisen? Og hvis det er mulig - er det ønskelig? Et av de største problemene som finanskrisen fører med seg er økt arbeidsledighet. Dette kommer som en konsekvens av at bedrifter går konkurs eller nedbemanner. Samtidig er det vanskelig å etablere nye virksomheter, blant annet fordi bankene ikke vil gi lån. Men arbeidsledigheten kan løses. Et mulig svar er arbeidsdeling. Kortere arbeidstid gir arbeid til flere, og samtidig rom til mer tid med familie, barn og venner. Er ikke dette nok til å redde arbeidsplassene, kan man redusere lønnen til de som tjener mest. De fleste greier seg bra hvis de har et arbeid å gå til, selv om lønnen blir lavere enn før. Så kunne forbruket gå ned, og tiden med familie og venner gå opp. Det er ingen krise å redusere forbruket ned til det nivået vi hadde for eksempel i år Vi hadde det bra da også. Hvis sysselsettingen fordeles på flere slik at vi unngår høy arbeidsløshet, ville dette ha mange positive sider. Samtidig med at forbruket går ned - og ikke opp- må det vris i miljøvennlig retning. Her er det viktig å passe godt på nå! For den økonomiske krisen vi er på vei inn i vil bremse trenden i retning av stadig høyere utslipp av klimagasser. Noen sier at utslippene vil reduseres med så mye som 35%! Av denne grunn, og fordi det blir hard kamp om hvilke tiltak som skal prioriteres i kampen mot den arbeidsløsheten som truer, vil langsiktig satsing på miljøvern lett tape. Men når den nåværende krisen er over, vil utslippene igjen øke. Og vi har ikke råd til å miste verdifull tid i kampen for å redde miljøet. Derfor må arbeidet med miljøspørsmålene fortsette med full kraft, også under finanskrisen. Men det er ikke slik at alle miljøtiltakene er kostbare og kompliserte. Det er mange enkle grep som kan gjøres - hvis politikerne har mot til å gjøre det. Er det for eksempel virkelig nødvendig å reise til alle disse møtene hele tiden? Hva med å gi tredobbelt skattefradrag til kjøp av videokonferanseutstyr, og ta bort tax-free salget på flyplassene? Tør politikerne å gjøre det som trengs? Vi trenger endringer. Andre måter å tenke på. Hvis vi vil, kan vi bruke finanskrisen til å innføre vesentlige endringer til det bedre i samfunnet. Men da må vi være forandringsvillige. Dette bringer oss til hovedtemaet i denne utgaven av Internrevisoren; forandringsprosesser og hvilke krav stadige og raske endringer stiller til oss. Det skulle jo passe bra. Tusen takk til alle dere som har bidratt til å fylle denne utgaven av bladet med interessante artikler. Jeg ønsker alle våre lesere en riktig fredfylt jul. Bruk julen til refleksjoner. Og husk å gjøre noe for miljøet - helst hver dag! Sverre Bjertnes REDAKSJONS KOMITEEN Sverre Bjertnes - Leder (valgt for ) KPMG AS Postboks 7000 Majorstuen 0306 Oslo M: sverre.bjertnes@kpmg.no Mazhar Ahmad (valgt for ) Gjensidige Forsikring Drammensveien 288, Oslo Postboks Lysaker M: mazhar-bashir.ahmad@gjensidige.no Sveinung Svanberg (valgt for ) Universitetet i Oslo Postboks 1154 Blindern 0318 Oslo J: s.k.svanberg@admin.uio.no Se mer info på Unni Leivestad (valgt for ) Arbeids- og velferdsdirektoratet Postboks 5 St. Olavs plass, 0130 Oslo J: , M: unni.leivestad@nav.no Kristin Reichborn-Kjennerud (valgt for ) Arbeidsforskningsinstituttet Stensberggt. 25, Boks 6954 St. Olavs plass, 0130 OSLO J: kristin.reichborn-kjennerud@afi-wri.no Bjarne Tveit (valgt for ) Sparebanken Pluss Postboks 200, 4662 Kristiansand J: M: bjarne.tveit@sparebankenpluss.no Toril Dale Ohrstrand - styrets representant StatoilHydro ASA 4035 Stavanger J: , M: tdo@statoilhydro.com 2 intern

3 Innhold 2 Redaktørens spalte 4 Styrets leder har ordet Endringsprosesser 6 Psykologisk kompetanse ved forandringsprosesser 8 Change Champions 11 In search of Greater Knowledge 14 Intervju med Odd Anders Borgen i Nordea om internrevisors rolle i endringsprosesser 16 Internrevisjonens rolle i prosjekter 18 Revisjon av prosjekter i Statsbygg 22 Prosjekteierrollen må styrkes! 26 Ny arbeids- og velferdsforvaltning internrevisjonens rolle i integrasjonsprosessen 30 Styringen med integrering av IT-systemer ved fusjoner og oppkjøp 34 Den risikable risikomatrisen 36 Due diligence også et område for intern revisor Forenings- og profesjonsnytt 37 Good is the enemy of great 38 Ekstern kvalitetskontroll - eksterne evalueringer 40 International Professional Practices Framework 42 Engasjerte tillitsvalgte markerte NIRF s styrke 44 Årets tillitsvalgtsamling med besøk fra IIA Sverige 45 Offentlig revisjon blant samfunnets voktere i følge riksrevisor Jørgen Kosmo 46 ECIIA konferanse 2008, Berlin NORGES INTERNE REVISORERS FORENING President Solbjørg Lie NAV internrevisjon M: Solbjorg.Lie@nav.no Informasjons- og kommunikasjonskomiteen Bård Bosløven - Leder DnB NOR J: , M: bard.bosloven@dnbnor.no Konferansekomiteen Even Nilsen Leder Fagforbundet J: , M: even.nilsen@fagforbundet.no Programkomiteen Helge Benum Leder ICAAS J: , M: helge.benum@ica.no Redaksjonskomiteen Sverre Bjertnes - Leder KPMG M: sverre.bjertnes@kpmg.no Høringskomiteen Magne Pedersen - Leder Nordea Bank Norge ASA M: magne.pedersen@nordea.com Nominasjonskomiteen Ellen C Braathen Leder Oslo Kommune, Seksjon IR J: , M: ellencecilie.braathen@ radhuset.oslo.kommune.no Foreningssekretariat Ellen Brataas Generasekretær Tlf.: ellen.brataas@nirf.org Svein Stabekk Foreningssekretær Tlf.: svein.stabekk@nirf.org Postadresse: Norges Interne Revisorers Forening Postboks 1417 Vika 0115 Oslo Faks: post@nirf.org Besøksadresse: Munkedamsveien 3b, 3. etg Oslo Internrevisoren: Organ for Norges Interne Revisorers Forening, NIRF Antall utgivelser pr år: 2 Opplag: 1000 Meninger og påstander som fremkommer i artikler eller innlegg er ikke nødvendigvis sammenfallende med NIRFs syn. Neste utgave: Juni 2009 Har du bidrag til bladet? Ta kontakt med redaksjonens leder for frister m.v. Årsabonnement: Kr 150,- Annonsepriser: Kr 5000,- for en helside, kr 3000,- for en halvside (mva tilkommer). Grafisk produksjon: Pr.info DM Hamar Forsidefoto: Scanstock foto

4 Styrets leder har ordet Kjære leser Adventstid betyr mørketid og forventninger til julehøytid, til nytt år og til lysere dager med de muligheter det bringer til bruk av vår flotte natur. Siden sommerutgaven av Internrevisoren har utviklingen i verdensøkonomien gått fra vondt til dramatisk verre. Vi i Norge med vår åpne økonomi blir selvfølgelig også rammet. Verden er inne i en økonomisk mørketid som sammenlignes med det økonomiske krakket i verdensøkonomien i 1929, en hendelse de fleste av oss bare har lest om i historiebøkene. Myndighetene i flere land har iverksatt ulike tiltak for å redusere effekten av det økonomiske tilbakeslaget, i første rekke redningstiltak rettet mot finansindustrien, dernest mot øvrige bransjer som naturlig nok rammes i neste omgang gjennom kredittskvis, manglende etterspørsel og fornyelse av ordrereserven med påfølgende permitteringer og nedbemanning og i verste fall konkurser. På samfunnsnivå fryktes stigende arbeidsledighet og de negative konsekvenser for både individ og samfunn dette medfører. Samtidig er verdens økonomer opptatt av å analysere hvorfor man ikke har forstått at en krise var på gang når man i ettertidens skarpe lys ser at varsellampene har blinket i minst 1-2 år. Jeg skal ikke begi meg inn på noen analyse, men referere litt av de spørsmål og analyser som har vært gitt i profesjonens regi internasjonalt det siste halve året. Årets globale konferanse i San Francisco adresserte krisen slik den så ut i juli. Flere foredragsholdere forklarte krisen med dårlig bankhåndverk kombinert med svak risikostyring og usunne lederlønninger. Utvikling av kompliserte investeringsprodukter der risikoen ble pakket inn og eksportert worldwide gjennom finansindustrien, gjorde at krisen rammet tilliten til hele det finansielle system på global basis. Årets europeiske IIA konferanse og generalforsamling i ECIIA i Berlin november var sterkt preget av utviklingen på finansmarkedet og følgene av krisen som nå var blitt meget synlig på børser verden over. Karakteristisk nok, hadde mange av foredragsholderne unnlatt å sende sine foredrag inn på forhånd av frykt for at innholdet ville være utdatert på forelesningstidspunktet. Dette sier litt om turbulensen i markedet og den usikkerheten som fortsatt preger utviklingen. Noen spåmenn vurderte at den negative utviklingen vil forverres i 2009 og at den globale økonomien ville slite i mange år fremover. Tungvektere innen corporate governance som professor Jaap Winter hevdet i et overbevisende foredrag at krisen ikke skyldes verken systemet eller de andre, men at vi i våre samfunn har belønnet menneskenes grådighet uten å stille de nødvendige krav til etikk og integritet i forretningsutøvelsen. Det vil derfor ikke hjelpe med flere regler og mer compliance, så lenge man ikke makter å gjøre noe med de grunnleggende årsaker med utgangspunkt i etikk og kultur i det enkelte foretak spesielt og i samfunnet generelt. Generalforsamlingen i ECIIA ble også preget av finanskrisen. Det ble etterlyst en mer aktiv holdning fra IIA Global enn den websiden som hittil er opprettet. Mange mente at IIA som profesjon burde benytte den mulighet til profilering som krisen gir -. IIA bør innhente opplysninger om hva våre kolleger i internrevisjonsavdelingene i aktuelle finansinstitusjoner vet og hva de har gjort før krisen oppsto. Er risikoen avdekket innenfor det enkelte foretak, er risikoen avdekket, men tiltak neglisjert så lenge foretaket profiterte på virksomheten, eller er risikoreduserende tiltak iverksatt med mer eller mindre suksess? Mange av deltakerne mente at det ville være viktig for IIA globalt å innta en proaktiv rolle og derved bidra til avklaring, læring og oppmerksomhet på internrevisjonens kjerneområder og rolle. IIA som profesjon må ikke innta en passiv holdning og bare avvente eventuelle overnasjonale tiltak, men bør aktivt gå ut og profilere sin kunnskap og kompetanse på profesjonens vegne. Gjennom en proaktiv holdning kan profesjonen markere seg som en naturlig deltaker i de utvalg/fora som skal vurdere tiltak for å forebygge og hindre gjentakelse av en så omfattende krise som den vi er inne i. Det var således liten tvil om at profesjonen vil bli berørt av de tiltak som iverksettes. Høstens aktiviteter i NIRF NIRF har i løpet av høsten avholdt 5 kurs og samarbeidet om avholdelse av 1 kurs, alt i henhold til kurskatalogen for 2. halvår Alle kurs er avviklet med forholdsvis god deltakelse. Noen kurs avholdes med innleide krefter, men en stor del avholdes med krefter fra praktiserende medlemmer som stiller opp og bidrar med egne kunnskaper og erfaringer. Vi vet at vi har mange fler godt kvalifiserte medlemmer som kan bidra med teori og/eller praktiske gode måter å revidere på som kan være av nytte og interesse for andre. Jeg oppfordrer alle som føler at de har erfaringer som de vil dele med kolleger om å melde sin interesse til generalsekretær Ellen. Årets tillitsmannssamling fant sted om ettermiddagen den 16. oktober i PWCs lokaler. PWC bidro i år som i fjor med lokaliteter og en matbit ved oppstart. Samlingen er etter hvert blitt en hyggelig tradisjon i foreningen og en effektiv måte for våre nye tillitsvalgte å få en innføring i foreningens indre liv gjennom presentasjon av de ulike komiteer og nettverk, deres oppgaver og utfordringer, samt bygge nettverk med andre tillitsvalgte. I år presenterte styrets leder innledningsvis nylig vedtatt strategi for perioden I tillegg hadde styret invitert Klas Schøldstrøm, som er generalsekretær i det svenske IIA, for å fortelle litt om tillitsmannsarbeidet i Sverige. Kvelden ble avsluttet med en sen middag i restaurant Sanguine i den nye Operaen. Årets tillitsmannssamling viste igjen at foreningens tillitsvalgte er engasjert og at mange legger ned betydelig ressurser på foreningen. Det er også avholdt medlemsmøter og nettverksmøter av betydelig omfang i løpet av høsten. Jeg syns vi kan være fornøyd med en aktiv foreningshøst med et bredt engasjement. Jeg vil til slutt minne om neste års konferanse som finner sted i Fredrikstad. Reserver tidspunktet allerede nå, juni og gled deg til et spennende og aktuelt program i sommerbyen Fredrikstad. Med ønske om en god jul og et lysere nytt år! Solbjørg 4 intern

5 intern 5

6 Intervju med Paul Moxnes av Bjarne Tveit (redaksjonskomiteen) IIA gjennomførte i 2006 en internasjonal studie om internrevisjonspraksis kalt Common Body of Knowledge (CBOK). Totalt kom det svar fra over interne revisorer fra 91 land og mer enn 89 IIA-partnerorganisasjoner. Når det gjelder krav til internrevisors kompetanse, ble følgende fremhevet: forståelse av bedriftens forretningsmål/drift, risikoanalyse, ledelse, kommunikasjon og evne til å fremme aktiviteten til internrevisjonen innen bedriften. På NIRFs Internrevisjonskonferanse 2008 i Molde påpekte professor Flemming Ruud endringer i internrevisors rolle fra tradisjonelle kontroll til å assistere ledelsen i å holde kontroll samt å fokusere på risiko og risikostyring. Internrevisjonen legitimeres ved å tilføre bedriften merverdi (value added). Endringsprosesser Psykologisk kompetanse ved forandringsprosesser Samfunnet er i dag preget av raske og omfattende endringer - globalisering, fusjoner/fisjoner, teknologi, internasjonalisering av regelverk, fokus på risk management mv. Dette stiller nye krav til intern revisors kompetanse, personlige egenkaper og rolle. Paul Moxnes Professor Institutt for ledelse og organisasjon, BI. Født i Trondheim Psykolog Forsker ved Univ. i Oslo , psykolog i Forsvaret , amanuensis ved Universitetet i Tromsø , dr. philos. 1979, førsteamanuensis Universitetet i Oslo , professor ved Handelshøyskolen BI fra ved Handelshøyskolen BI. Han har gjennom en årrekke forsket og undervist i følelsenes vitenskap. Bl.a. er han programansvarlig for et erfaringsbasert kurs i Samspill og ledelse; anvendt organisasjonspsykologi som inngår i Master of Management programmet på BI. Hvordan vil du beskrive følelser? Følelser er avhengig av to faktorer en kroppslig uro og en kognitiv fortolkning av denne uroen. Følelser blir det først når tanken har fortolket kroppssignalet. Det betyr at kroppen vår kan koke av opphisselse og uro, men dette blir det ingen følelse av før tanken er koblet inn og kan fortelle oss hva vi føler. Det innebærer at samme kroppslige reaksjon kan gi helt ulike følelser. Det betyr videre at dersom noen på en overbevisende måte forteller oss hva vi føler, er vi rede til å akseptere det! Å fortolke andre følelser er en svært viktig lederegenskap. Når den kropplige uroen knyttes til et mentalt bilde, skapes altså en følelse. Når minner, tidligere erfaringer eller fremtidsdrømmer kombineres med kroppslig opprømthet, da blir det samtidig lettere å ta beslutninger, forfekte meninger og velge standpunkt. ølelser er avhengig av to faktorer en kroppslig uro og en kognitiv Ffortolkning av denne uroen. Ved forandringsprosesser i bedriften kan internrevisor bli trukket inn i ulike roller: bekreftelsesoppdrag (proaktiv, retroaktiv), rådgivningsoppdrag (konsulent) eller ikke bli involvert i det hele tatt. Type og grad av involvering har trolig sammenheng med vurdering av om og i tilfelle på hvilken måte internrevisor kan tilføre merverdi. Denne vurderingen avhenger igjen av et sett av faktorer hvor bl.a. internrevisors kompetanse, profilering og status er viktig. Forandringsprosesser har 2 dimensjoner den rasjonelle og den psykologiske. En god forståelse av forandringsprosesser krever kompetanse når det gjelder begge dimensjonene. I de fleste artikler og forelesninger som omhandler internrevisors rolle i forandringsprosseser, blir det oftest fokusert på den rasjonelle dimensjonen. For å få et lite innblikk i den psykologiske dimensjonen, har jeg hatt en samtale med Paul Moxnes, professor i psykologi Ifølge noen forskere har mennesket 6 grunnfølelser: angst og trygghet, aggresjon, depresjon, glad, overraskelse og avsky. Den viktigste følelsen er angst og trygghet. Si litt om angst og usikkerhet i forandringsprosesser? Forandringer skaper usikkerhet og angst. Det er viktig å skille mellom to typer angst kald angst og varm angst. Den kalde angsten får oss til å bli stiv av skrekk. Den varme angsten kjennetegnes derimot av rastløs uro og søvnløs energi. Mens kald angst lammer oss, så driver den varme angsten oss til handling og mestring. Å mestre angsten kan skje på flere måter. Det er for det første viktig å erkjenne angsten ikke skyve følelsenes bort. Dernest dele angsten gjennom samtaler (dele erfaringer). Tilslutt handle legge følelsene i bunnen av beslutninger. Angst kan ikke skilles fra trygghet. Suksesskriteriet i dag er å ha angst i tryggheten og trygghet i angsten. 6 intern

7 Angstens paradoks er at den blir borte når den farefulle situasjonen er mer reell enn noensinne. Fra det øyeblikk det ikke lenger er noen mulighet for å unnslippe, finnes det ingen annen redning enn enn gjennom maksimal ytelse. Angst er alltid redsel for noe fremtidig. Når det farlige er her, oppleves kroppens uro ikke lenger som angst, men som energi, motivasjon, prestasjonsevne og trygghet. Det er varm angst jeg snakker om. Betingelsen er at en ikke er redd for å være redd, hvilket er kjennetegn på kald angst. Angst og trygghet er en viktig del av vår psykologiske kapital. For at prestasjonsnivået skal bli størst mulig, trenger vi toppskåringer på både angst og trygghet på samme tid. I arbeidslivet skal ikke angsten fjernes, men erkjennes og mestres. Opplevelse av usikkerhet og angst - personlige egenskaper og yrke Toleransen for å oppleve usikkerhet og angst har med ens personlighet å gjøre, selv om den utvilsomt også er kontekstavhengig. Jeg gjennomførte en psykologisk analyse av forrige bankkrise, og fant at en del banker så ingen risiko, opplevde ingen usikkerhet. Sannsynligvis unngikk ellerr unnvek de denne usikkerhetsopplevelsen ut fra et dyperliggende karaktertrekk som kjennetegner kulturer som psykologen Hofstede beskriver som unnvikelseskulturer. I disse kulturene har man lav toleranse for usikkerhet. Hofstede mener det er forskningsmessig belegg for å påstå at folk som har tallbehandling, regnskap, planlegging og kontroll som yrke, også er mindre fantasirike og legger større vekt på å være mer pertentlige (clean and responsible) enn andre. Dette, mener han, tyder på at de har et større behov for å unnvike usikkerhet enn hva andre har, og at deres behov i så måte gjør at de velger seg til slike yrker. Jeg understreker at jeg kjenner få internrevisorer, og har ikke forsket på denne yrkesgruppen. En kan imidlertid stille spørsmål om internrevisorer kjennetegnes ved høy rasjonalitet, og hvordan de takler den psykologiske dimensjonen ved forandringsprosesser? Psykologisk kompetanse Lik andre yrkesgrupper vil jeg tro at det er viktig for internrevisorer å ha god selvinnsikt og kunnskaper om mennesker, samspill, grupper og organisasjon. Psykologisk kompetanse fører til større forståelse av forandringsprosesser, og internrevisor kan tilføre bedriften merverdi. Jeg vil også anta at psykologisk kompetanse kan bidra til bedre profilering av internrevisjonen i bedriften. Hittil har få internrevisorer deltatt på det erfaringsbaserte kurset Samspill og ledelse; anvendt organisasjonspsykologi. Kurset er et godt tilbud til for dem som ønsker styrket psykologisk kompetanse. NYE GODKJENTE DIPL.I.R. HØSTEN 2008 Navn: Ahmad, Mazhar Bashir Anderssen, Espen Benum, Helge Billing, Ann-Kathrin Chiodera, Even Digranes,Tor Halvorsen,Terje Karlsen, Cecilie Sannes, Morten Olaf Svenne, Lene Vannebo, Ole Marius Verket, Karen-Inger Arbeidssted: Gjensidige Forsikring PwC ICA Statens landbruksforvaltning ICA Riksrevisjonen Rikshospitalet Oslo kommunerevisjon Forsvaret Forsvaret PwC Oslo kommune Vi ønsker våre lesere en riktig god jul og et godt nyttår! intern 7

8 This article was reprintet with permission from the April 2006 issue of Internal Auditor, published by The Institute of Internal Auditors, Inc., By looking for ways to improve business processes, auditors can add value beyond controlling risks to their organization. CHANGE CHAMPIONS IN RECENT YEARS, the business environment has led auditors down a path that emphasizes increased internal controls, primarily because of the U.S. Sarbanes-Oxley Act of However, internal audit departments must balance controls and process efficiencies to ensure that implementing stronger controls does not harm the operational efficiency of business processes.the agility and timeliness within a process may also be impacted negatively by increased controls.to be value-added advisers to the business, today s internal auditors need skills that go beyond risk management. Auditors who review the efficiency and effectiveness of business processes can help process owners optimize those processes to improve cycle times, productivity, quality, employee turnover, customersatisfaction, and financial results. Using process-improvement methodologies and performance measures can help auditors become catalysts for changing inefficient and ineffective business processes. Jeffrey A Berk, CPA As change champions, auditors should be sensitive to the process owner s financial, physical, and human resource constraints by building a quantifiable action plan for their process improvements that links back to the key business results important to the process or organizational strategy. Auditors must ensure their suggestions provide the appropriate cost/benefit analysis that will sell their ideas to management. ADOPT A METHODOLOGY Internal auditors acting as change agents should follow a methodology that guides them toward process improvement. One approach they can take is to follow a sixstep model that highlights the need for process improvement to management. 1. DEFINE THE PROBLEM AND DETERMINE NEEDS. Basic diagnostic tools, such as questionnaires and checklists, can help auditors determine where redundancies, bottlenecks, manual tasks, and risk points exist within the organization. This approach is similar to a doctor examining the patient before ordering more detailed tests. 2. DOCUMENT THE AS IS PROCESS. Adetailed understanding of the inputs, activities, and outputs of the existing processes can enable auditors to identify ineffective or inefficient processes, areas for automation, and unmitigated risks. 3. DETERMINE THE SHOULD BE PROCESS. Auditors can benchmark and identify best practices within and outside the organization by conducting primary research, such as interviews with customers, partners, and suppliers, or by participating in an industry best practice initiative. Secondary research, such as reviewing online databases or white papers, also can also generate ideas that could optimize a business process. 4. IDENTIFY AND PRIORITIZE GAPS. Auditors should review the as is process versus the should be process to locate deficiencies in the current process. Once they understand the financial, physical, and human resource constraints to changing an existing process, auditors should prioritize their recommended improvements. 5. DEVELOP ACTION PLANS AND COMMUNICATE RESULTS. An action plan gives auditors a formal approach to convert ideas into organized game plans for implementation. Auditors should use an action plan template to convey prioritized ideas that they recommend putting into action. A typical template may state the problem and audit recommendation, identify key parties responsible for implementation, detail key action steps needed to implement the change and the time when each step should be completed, list rewards for completing the change on time and within budget, and define performance measures to monitor the recommendation s progress. Auditors also should advise process owners on implementing changes and quantify the impact of each change in a way that links to business results. For example, if auditors suggest automating standard, recurring journal entries in the general ledger consolidation process, they should first identify the business results this change will improve, such as increased revenue, quality, customer satisfaction, and productivity, as well as decreased Adopting a process-improvement methodology won t make an auditor a change champion, but it will assist the auditor in conducting a complete and value-added costs, employee turnover, cycle time, and risk. Next, auditors should estimate the quantified impact of the change to give the process owner a better sense of the possible outcome of an action. Process owners can make a more informed decisi- 8 intern

9 on about an action if the auditor can demonstrate that it will cut cycle time by 30 percent and save the company US $10, MEASURE AND MONITOR. After recommended changes are put in place, auditors should check periodically to determine whether processes are functioning as designed and work with process owners to deploy a performance measurement system that can monitor and control problems. Adopting a process-improvement methodology won t make an auditor a change champion, but it will assist the auditor in conducting a complete and value-added process review. As with any methodology, the audit team should customize the methodology to best fit its audit approach. APPLY AN IMPROVEMENT SYSTEM As change agents, internal auditors should become familiar with continuous improvement initiatives that many organizations have adopted, such as the Baldrige National Quality Program, International Organization for Standardization (ISO), and Six Sigma. Each of these programs has standards and guidelines that auditors can reference when reviewing a business process. The U.S. National Institute of Standards and Technology s (NIST s) Baldrige award provides a rigorous set of standards and guidelines for world-class business processes. The Baldrige principles give internal auditors an effective blueprint to bring to the table when working with process owners to create an optimal business process. Information about the Baldrige requirements is available on the NIST Web site at In addition to helping internal auditors understand process-improvement concepts, ISO standards have a global scope for multinational operations. Although ISO relies heavily on documenting policies and procedures, it instills a sense of quality within the process. Auditors should be careful not to create inefficiencies with excessive documentation. The key is to make sure that each process is right for the business and operates according to its documentation. For more information on ISO, visit The most popular process-improvement initiative, Six Sigma, was born out of reliability engineering and was popularized by executives like Jack Welch, the former chief executive officer of General Electric Co. Six Sigma s Define, Measure, Analyze, Improve, and Control (DMAIC) model integrates a deep sense of quality within the organization, centered around identifying defects. Many companies adapt DMAIC for much broader process initiatives that meet their specific needs, and do not necessarily aspire to reach Six Sigma status, the highest level. Information about Six Sigma is available at MAP THE PROCESS To help their organizations improve business processes, internal auditors should be familiar with tools such as process flowcharts, historic data analysis, cause and effect diagrams, Pareto charts showing frequency distribution, control charts, histograms, matrix diagrams, activity analysis, staffing profiles, and scatter diagrams. The goal of using process-improvement tools is to create a process map of the as is process that provides a thorough understanding of process inputs, activities, and outputs. A good process map is more than a flowchart; it should identify bottlenecks, redundancies, and manual tasks. Process maps also help auditors identify the root cause of process issues, which can be classified into broad categories to pinpoint opportunities for improvement. One approach to performing a mapping exercise is to categorize process issues into six changes that could lead to a process problem: People changes, including the appropriateness of staff and management, as well as any turnover in the department. Cultural changes, such as collaborative versus competitive work styles. Process changes, including reviews of the organization s policies, procedures, and process flow. Technology changes to computer hardware and software systems. Measurement changes involving key performance indicators used to monitor the process and provide incentives to individuals within the process. External shifts to outside factors that could affect a process, such as competition, regulation, economic, or political changes. Internal auditors can use diagnostic tools, such as questionnaires, to probe changes to these six areas that could indicate a process that needs change or that raises a business risk. For example, auditors can ask clients to provide information summarizing if, and to what extent, change has occurred in each area, which can help them better understand the as is process. BALANCE BEST PRACTICES AND CONTROLS An internal auditor once said, I never met an internal control I didn t like. Although this statement may be risk averse, it also works against efficiency, because implementing controls can involve more resources, higher costs, and less agile processes. A change champion walks a delicate line between looking for best practices to improve process efficiency and effectiveness and reviewing internal controls that mitigate business risk. Suppose an organization wants to streamline the time and work involved in purchase transactions, which currently intern 9

10 go through a formal requisition and order process that is time consuming and costly. The internal auditor surmises that a procurement card program could save time and money, but these cards raise business risks, such as unauthorized purchases or purchases for unauthorized amounts. To mitigate these risks, the auditor might suggest that the cards be issued only to authorized individuals and that the card vendor only allow the card to accept certain types of transactions, based on item or value. For existing controls, a change champion should ask, Is the strength of the control justified given the likelihood of risk? If not, relaxing controls may be a wise decision. In reviewing process changes, the auditor should ask, Does this streamlined process expose the organization to significant business risk, if not controlled? If so, the change might not be advised without also recommending a baseline set of controls to accompany it. MEASURE PERFORMANCE Performance measures are the key indicators of whether a process is on track or derailed. When reviewing a process, a change champion should first look at the performance measures used to monitor the process. If no measures exist, there are opportunities for improvement. Second, auditors should ensure the existing performance metrics are small in number, yet well-balanced. Having 50 metrics is excessive. Five or 10 metrics may be a good number for a typical process. The metrics should be balanced across key elements of cost, quality, time, and productivity. Performance measures that might be useful for the procurement process include: Cost: Procurement process cost as a percentage of revenue. Quality: Procurement transaction errors as a percentage of total transactions. Time: Average time from purchase requisition to order. Productivity: Procurement transactions per full-time equivalent, which is a head count based on a 40-hour work week. Auditors should provide the process owner with a short list of key performance indicators that can be used to track the health of the process continuously. Quantified metrics can be benchmarked 10 intern over time, against goals, and compared to external sources to help determine when a process is in or out of control. MANAGE CHANGES Internal auditors often overlook managing change associated with a process improvement during reviews. Auditors can use change management surveys and other tools to assess the readiness for change among those who will be most affected by it. People are likely to have less resistance if they are aware of the change and can provide input into the process. Their involvement also may reduce anxiety and stress. Further, identifying a respected and trusted person to serve as a visible champion of change can help convert that person s peers. TRAIN PERSONNEL Training those affected by a change is another way to reduce anxiety associated with change and to ensure the new process will function as designed. Many organizations fail to budget for and plan training sufficiently. However, training can significantly improve on-the-job performance associated with a process change. In general, an internal auditor should assess the need for training whenever changes occur involving: people (new management or high turnover in the department), process (a new way of executing tasks), technology (new tools to perform steps in the process), culture (a new management philosophy), external shifts (new regulations), or measurement (new incentives or mechanisms for determining success). ESTIMATE ROI To put the exclamation point on a change suggestion, auditors should quantify its value and estimate the organization s potential return on investment (ROI). Such measures give management another perspective for determining whether or not to adopt a process change. Although difficult at times, it is much better to say Implementing a procurement card process will save our organization US $25,000 per year and 500 hours in productivity, rather than saying Implementing a procurement card process will save us a lot of money and hours of lost productivity. If the cards implementation cost is US $5,000, the ROI is positive. Auditors can follow three easy steps to assess ROI: 1. Estimate the change in performance by determining a current baseline and a forecasted improvement if the change is done correctly. 2. Isolate the performance change to focus on the specific process improvement recommendation that can influence that change, rather than all the other factors that may influence it. For example, if an organization proposes a new leadership training program that could help achieve half of its goal of reducing employee turnover by 20 percent, the isolation point would be 50 percent. 3. Adjust the ROI estimate for confidence and conservatism in the analysis. No analysis is perfect, and organizations rarely have the luxury of unlimited resources to ensure such analyses are exact. Business decisions based on reasonable assumptions should be adjusted downward to reflect the auditor s lack of confidence in the assumptions included in ROI analyses. Accountability is the driver behind ROI. As a process auditor, accountability comes from making recommendations that have been prioritized, quantified, linked to a business result, and have a reasonable ROI attached to them to help the process owner make a more informed decision. BECOMING A CHANGE CHAMPION By following these practices, internal auditors can contribute to their organization s process-improvement efforts, while balancing their focus on controlling risk with an interest in improving process efficiency and effectiveness. As change champions, internal auditors can act as business process consultants who have a holistic view of the business. Although Sarbanes-Oxley and other regulations have turned auditors focus toward controls and documenting policies and procedures to mitigate risks, they must also be mindful of the impact these measures will have on the efficiency of business processes. Business process owners welcome auditors who also make value-added suggestions to improve processes. An audit team that develops a healthy and collaborative relationship with process owners to mitigate risks and improve processes can help build quality into the organization without decreasing operational performance.

11 In Search of Endringsprosesser Greater Knowledge A Global Study of the Profession This article was reprintet with permission from the December 2007 issue of Internal Auditor, published by The Institute of Internal Auditors, Inc., FROM ITS ROOTS as a mere checking function, the internal audit profession has grown significantly in both sophistication and scope. Gone are the days of tick and tie, solitary auditing that defi ned professional activity years ago, replaced largely by risk-based assessment, assurance, and consulting services. DAVID SALIERNO MANAGING EDITOR Spurred on by challenges consulting services. Spurred on by from management and heightened governance requirements, internal auditors have become much more visible and infl uential in their organizations, working with clients to add continuous value to the business. Moreover, practitioners are now much greater in number and present in more areas of the world than ever before. In light of auditing s rapid growth and redefined purpose, The IIA Research Foundation recently conducted a broadreaching study to assess the current state of the profession. The Common Body of Knowledge (CBOK), in fact, is the most comprehensive study of internal auditing in The Institute s history, reflecting input from approximately 9,300 respondents in 89 countries. Written by CBOK Research Teams researchers Priscilla Burnaby, Mohammad Abdolmohammadi, and Susan Hass, the study assesses internal auditing across numerous areas of practice, including governance, compliance, fi nance, information security, and operational efficiency. CBOK offers a snapshot of auditing s collective knowledge and skills, day-to-day practices, and role in the organization, as well as a glimpse of what the profession may look like over the next few years. Overall, the results show a healthy, maturing profession with consistent core tenets globally. More than 80 percent of CBOK respondents, for example, say they follow, in whole or in part, The IIA s International Standards for the Professional Practice of Internal Auditing (Standards). Results point to a vibrant, dynamic profession that is valued by its clients and responding well to organizational challenges. GENERAL AREAS OF RESPONSIBILITY TEAMS Lead Team Priscilla Burnaby, professor of accountancy, Bentley College, United States Project Coordinator and Team Coordinator Mohammad Abdolmohammadi, professor of accounting, Bentley College, United States Susan Hass, professor, Simmons College, United States Audrey A. Gramling, educator, Kennesaw State University, United States Consultant Rob Melville, educator, Cass Business School, United Kingdom Europe and Africa Team Coordinator Marco Allegrini, professor, and Giuseppe Donza, professor, University of Pisa, Italy Leen Paape, professor, Nyenrode Business University and executive director, Protiviti Independent Risk Consulting? Gerrit Sarens, professor, University of Ghent, Belgium Marinda Marais, professor, and Elmarie Sadler, professor, University of South Africa Houdini Fourie, lecturer, Tshwane University of Technology, South Africa Barry Cooper, professor of accounting education, Deakin Asia and Pacific University, Australia Team Coordinator Philomena Leung, professor of accounting, Deakin University, Australia North, Central, and South America and the Caribbean GLOBAL ALIGNMENT Despite differences in location, culture, and operational environments, internal auditors have a lot in common when it comes to performing their work. Significant alignment can be found across the globe along several dimensions of professional practice, particularly with regard to the nature of audit engagements. Across all countries surveyed, operational audits, investigations of fraud and irregularities, financial audits, management effectiveness audits, and ethics audits were conducted by most respondents. Similar alignment exists with regard to practitioners creation of the audit plan. Periodic audit planning, for example, is an almost universal practice, with 96 percent reporting that they plan their audit activity at least annually. Moreover, 87 percent use a risk-based methodology in creating the plan, and 73 percent include requests from management. Global consistency of practice also exists with regard to the use of audit tools and techniques. CBOK s researchers note signifi cant alignment of audit tool usage data, whether tools were used frequently or very little, across auditors in different geographic regions. Electronic communications, such as e- mail and the Internet, receive the most use, followed by risk-based audit planning and analytical review. Continuous/ real time auditing, total quality management techniques, and process modeling software, on the other hand, ranked among the least used tools. Moreover, nearly one-fourth of respondents do not use benchmarking or computerassisted audit techniques. According to the study, an unusually high number of tools and techniques, including balanced scorecard frameworks and The IIA s quality assessment review tools, intern 11

12 are not being used at all by many of the participants. When asked about The IIA s professional standards, another area of global convergence, respondents reported the highest levels of full compliance with Standards 1000: Purpose, Authority, and Responsibility, 1100: Independence and Objectivity, 1200: Profi ciency and Due Professional Care, and 2400: Communicating Results. Standard 1300: Quality Assurance and Improvement Program shows the least compliance, with only one-third of respondents indicating they have instituted a quality program in their organization, and nearly 25 percent reporting that they have no plans to implement one at all. In many instances, however, lack of compliance may be beyond internal auditing s control. According to the survey, common reasons for not adhering to the Standards include lack of management support, conflicts with local/government regulations or standards, and inadequate audit staffing. GEOGRAPHY AND GOVERNANCE In addition to working from a common set of standards, auditors global consistency of practices may be explained by the geographic scope of their organizations. Nearly 40 percent of respondents say their employer operates on an international/multinational scale. The reach of company operations, therefore, may provide opportunities for, or even necessitate, cross-border exchange of ideas and practices. In addition, companies that span multiple nations may have a greater need for consistency and welldefined procedural standards. Audit practice, as well as the profession s growth, have also been infl uenced by increased attention to governance worldwide. In the United States, the Sarbanes-Oxley Act of 2002 has had a profound impact on the profession, increasing the demand for auditors risk and control expertise. Practitioners in most other parts of the world face governance requirements as well, according to the survey. More than three-fourths of IIA institutes around the globe say their country s publicly listed firms are subject to legal or regulatory requirements that affect internal auditing. Moreover, in the majority of these countries, the researchers note, financial entities, banks, and insurance companies are subject to legislation that prescribes the establishment, or 12 intern the role of, internal auditing in the organization. The researchers also point out that almost one-third of respondents work for internal audit activities that have existed for fi ve years or fewer, suggesting that this could be a reflection of the increased governance issues and regulatory developments in recent years. EXTERNAL PERCEPTIONS Respondents perceptions of auditing s status within the organization provide another key indicator of the profession s current state. CBOK participants were asked to rate their level of agreement with several statements aimed at assessing the relationship between the audit function and its clients. Responses indicate that practitioners are appreciated by the organization and that their services constitute a valued resource. When presented with the statement, Your internal audit function is credible within your organization, participants mean responses ranked above 4 on a 1 to 5 scale where 4 equals agree and 5 equals strongly agree. Similar agreement was found in response to the statement, Your internal audit function is an integral part of the governance process by providing reliable information to management. In most instances, mean responses exceeded 4.2 on questions regarding internal auditing s independence, objectivity, ability to add value, and internal control evaluation effectiveness. According to the study s authors, the respondents perceptions provide a very positive view of the audit function and its standing in the organization. AN EVER-EXPANDING AUDIT UNIVERSE The increased pressure of regulatory obligations, growing complexity of business environments, and rapid advances in information technology have fueled significant change in the audit profession, as well as demand for its services. Audit work has become more complex and demanding, both for the chief audit executive running the department and those at the audit management and staff levels. CBOK provides a unique look at how audit departments are meeting these challenges; what skills, competencies, and knowledge practitioners currently possess and how the profession is expected to evolve over the next few years. In 2009, The IIA plans to conduct a follow-up CBOK survey, followed by additional surveys every three years thereafter. These surveys will build on the baseline data from the 2006 effort, enabling multiyear comparisons, analysis, and trending. The Institute will use its current and future research findings to help support internal audit practitioners worldwide and shape its products, services, and strategic thinking. Based on the 2006 survey results, internal auditing seems to comprise a well-established, global community of practitioners that align signifi cantly along professional practices. Auditors services are important to helping the organization achieve its objectives, and their contributions are appreciated. With its high level of perceived value and vast body of likeminded practitioners, internal auditing appears well positioned to tackle the ever-evolving business environments of the organizations it serves. Global Representation Internal auditors from around the world responded to the CBOK survey. Of the 91 countries that participated, those with 50 or more respondents include: COUNTRY RESPONSES United States 3,569 South Africa 464 Italy 456 United Kingdom & Ireland 271 Spain 249 Chinese Taiwan 239 France 235 Australia 177 Czech Republic 166 Germany 131 Russia 129 Netherlands 112 Belgium 102 Brazil 97 Colombia 94 Mexico 91 Austria 84 Portugal 84 Greece 80 Turkey 80 Singapore 74 Peru 72 Bulgaria 71 Poland 69 Japan 66 China 62 Malaysia 60

13 Nytt perspektiv?* PricewaterhouseCoopers hjelper deg å møte fremtidens krav til internrevisor. Vi tilbyr tjenester innen: Bistand til utvikling av revisjonsmetodikk og maler Bistå med ressurser til (komplekse) revisjonsprosjekter Ekstern kvalitetssikring Gjennom vår systematiske metodikk, våre tverrfaglige team og vårt revisjonsverktøy, kan vi bidra til at internrevisjonen når sine målsettinger om å tilføre merverdi og forbedre organisasjonens drift. For mer informasjon, kontakt ansvarlig partner Petra Liset, , *connectedthinking 2008 PricewaterhouseCoopers. PricewaterhouseCoopers-navnet refererer til individuelle medlemsfirmaer tilknyttet den verdensomspennende PricewaterhouseCoopersorganisasjonen. *connectedthinking er et registrert varemerke for PricewaterhouseCoopers. intern 13

14 Intervju med Odd Anders Borgen i Nordea om internrevisors rolle i endringsprosesser Av Sverre Bjertnes (redaksjonskomiteen) Odd Anders Borgen (CIA, Dipl.IR) er Chief Internal Auditor for revisjon av kreditt og Nordic Banking virksomheten i Nordea konsernet. Han er også ansvarlig for internrevisjonen av Nordea Bank Norge ASA. Etter endt studium ved University of Warwick (BSc, MSc), arbeidet han i tre år som ekstern revisor i Ernst & Young i Luton, England. Han har 15 års erfaring som internrevisor i Nordea. Hvordan har endringene i bank og finans sektoren påvirket Nordeakonsernet? Nordea har vært gjenstand for stadige organisasjonsmessige endringer siden Nordea ble etablert i januar De fleste endringer er styrt av forretningsmessige behov, men også regulatoriske krav i det siste spesielt gjennom Basel II og MiFID - har vært en katalysator for bankens organisering. Gjennom de senere år har det stadig blitt stilt krav til avkastning på kapitalen (altså økt effektivitet og lønnsomhet), og dette har i sterk grad bidratt til at bankene kontinuerlig har sett etter muligheter til å effektivisere driften gjennom å vurdere inntjeningsmuligheter og kostnadseffektiviseringer. Dette påvirker igjen måten virksomheten organiseres. Bankfilialene er blitt mer rettet mot salgsaktiviteter, mens den overordnede risikostyringen er blitt mer sentralisert til toppledelsen og til sentrale risikostyringsfunksjoner. Samtidig skal regionene/filialene ha store nok fullmakter til å kunne ta beslutninger raskt og effektivt. Disse endringsprosessene har spesielt påvirket kravet til kompetanse til bankens medarbeidere på ulike nivåer og i ulike funksjoner. For eksempel stilles det mye høyere krav til rådgivningsrollen til bankens medarbeidere i dag enn hva som var tilfellet for kun noen få år siden. Den pågående finanskrisen har ikke til nå påvirket bankens organisering direkte, men det er klart at banken forbereder seg på en mulig nedgangsperiode i økonomien. Dette vil igjen medføre endringsprosesser i banken. Hvordan har endringene påvirket internrevisjonen sitt arbeid med risikoanalyser? Internrevisjonen må selvsagt tilpasse seg de endringer som banken for øvrig er utsatt for. Det er helt avgjørende at internrevisjonen oppdaterer sine risikoanalyser hyppig slik at vi til enhver har en hensiktsmessig ressursutnyttelse. I Nordea har vi vurdert hva den senere tids finansuro har hatt å si for Nordeakonsernet og for våre revisjonsprioriteringer. Vi er spesielt opptatt av at situasjonen i banken er transparent, og at det er tilstrekkelig rapportering til styret. Har dere tatt i bruk endrede risikoanalysemetodikker eller verktøy? Nordea s internrevisjon (GIA Group Internal Audit) har gått til anskaffelse av revisjonsverktøyet TeamMate, og har hatt dette under implementering gjennom Samtidig som dette verktøyet er tatt i bruk, har vi også endret vår risikoanalyse- og planleggingsprosess. Tidligere gjennomførte vi en årlig risikoanalyse (dog med fortløpende evalueringer gjennom året), mens vi for fremtiden vil gjennomføre mer formaliserte og dyptgående risikoanalyser på mer kontinuerlig basis. Ellers erfarer vi hvor viktig det er med god kontakt mellom internrevisjonsavdelingen og bankens ledelse på mange nivåer. Dette er viktig for at vi skal få den best mulige forståelse av hva som foregår i banken, og hvilke utfordringer de ansatte står overfor. Dette bidrar også til å bygge viktige relasjoner mellom internrevisjonen og de operative avdelingene i banken. Har ressurser og fokus endret seg mot mer av noe, mindre av noe annet? Det er klart at med en sannsynlig nedgangskonjunktur etter en lang periode med vekst vil det være viktig å revidere verdivurderingene av bankens eiendeler. Det vil bli spesielt viktig å evaluere utlånsporteføljen og investeringsporteføljer, men det vil også være interessant å evaluere hvordan bankens verdivurderingsmodeller knyttet til finansielle instrumenter påvirkes av den volatilitet vi ser i markedet i dag. Er modellene vår gode nok også for nedgangstider? Det er alltid vanskelig å si hva som blir revisjonsmessig nedprioritert, men vi tilpasser oss de kontrollsystemer som er etablert i banken. Der hvor risikostyringen og internkontrollen vurderes å være sterk, kan vi selvsagt vurdere å redusere revisjonsinnsatsen noe. Har dere gjennomført endringer i bemanning i internrevisjonen; flere eller færre inn mot de forskjellige regionene /segmentene i banken? Bemanningen i GIA er nå relativt stabil. I perioden var vi gjennom en prosess hvor revisjonsbemanningen ble redusert fra ca. 200 til 110 ansatte. Vi er nå i en situasjon hvor vi fordeler ressursene på best mulig måte ut i fra hva som er det gjeldende risikobildet. Gjennom de siste par årene er det for eksempel satt inn flere ressurser for å revidere bankens prosesser rundt kapitaldekningsregelverket, spesielt oppbyggingen og bruken av bankens riskomodeller for beregning av økonomisk kapital. Men det er klart at bemanningsspørsmålet regelmessig er oppe til diskusjon, og det er til syvende og sist styret gjennom revsjonsutvalget som har det siste ordet. Hvilke konsekvenser har endringene i bank og finanssektoren hatt for kompetansebehovet i avdelingen og hvordan er dette håndtert? Det er helt klart at også internrevisjonens kompetansebehov er endret. Vi er avhengige av at hver enkelt medarbeider er selvgående og er i stand til å lede og gjennomføre prosjekter på egen hånd eller som en del av et team. Dette stiller krav til medarbeidernes evne til å sette seg inn i relativt kompliserte prosesser, og ikke minst stilles det krav til gode kommunikasjonsevner. Revisjonsmedarbeideren skal kunne føre en god dialog med både ledere og medarbeidere i linjen, og det er også svært viktig at revisjonsmedarbeideren klarer å utarbeide en rapport med høy kvalitet. 14 intern

15 I GIA har vi et sterkt fokus på å utvikle den enkelte medarbeider. Vi har tidligere i Nordea hatt behov for mange fellesaktiviteter når det gjelder opplæring. Vi må huske på at vi har revisjonsavdelinger i 8-9 land (selv om de fire nordiske avdelingene er dominerende i denne sammenhengen), og det har vært en stor utfordring å samordne vår revisjonsmetodikk. For å få til dette har vi hatt et sentralt miljø som har koordinert og gjennomført en stor del av de felles opplæringsaktivitetene. I tiden fremover vil vi understreke at kompetanseutviklingen skal tilpasses den enkelte medarbeiders behov. Men det er klart at vi først og fremst sørger for at den samlede kompetansen til GIAs ansatte er tilstrekkelig for å kunne gjennomføre en kvalitetsmessig god revisjon av Nordea, slik at medarbeiderne må tilpasse seg GIAs kompetansebehov. Jeg kan også nevne at vi i GIA har lagt stor vekt på at medarbeiderne tar forskjellige typer sertifiseringer (CIA, CISA, CCSA, CFSA), og vi måler til og med dette gjennom KPIer. Hensikten har vært å bygge opp en felles forståelse for hva internrevisjonens oppgaver er, og hvordan våre oppgaver skal utføres. Dette har i stor grad også bidratt til å bygge opp en felles kultur over landegrensene. Har internrevisjonen vært involvert i endringsprosesser i Nordeakonsernet mens de gjennomføres? Innenfor f eks IT systemer, omorganiseringer eller oppkjøp av andre finansinstitusjoner? Generelt er ikke internrevisjonen direkte involvert i selve endringsprosessene. Men vi er selvsagt pådrivere for å få til endringsprosesser der vi mener vi ser et behov for dette. Dette gjelder innenfor alle bankens virksomhetsområder, også for bankens IT systemer. Men det er klart vi har spesielt gjennomslag i forhold til regulatoriske krav, så som MiFID, Basel II og hvitvaskingsloven. I arbeidet med disse prosjektene har GIA vær representert som observatører i styringsgruppene. I denne rollen har vi lagt vekt på å gi innspill til ivaretagelse av vesentlige internkontrollaspekter, samt sikre at det skjer en god rapportering fra prosjektet til bankens ledelse og til styret. Det er viktig at vår rolle i slike prosjekter kommuniseres klart og at det er forstått og akseptert at internrevisjonen ikke er med i prosjektet for å ta beslutninger. Denne prosjektrollen stiller store krav til oss, men utøvet på en god måte kan vi tilføre betydelig verdi. Vi mener at vi bør være med der GIA har vesentlig kompetanse som er viktig å få innarbeidet i et prosjekt. I tillegg vil vi for slike prosjekter typisk foreta en revisjon av prosjektets fremdrift og evaluere konsekvensanalyser, kost/ nytte analyser og hvordan det er tenkt å møte regulatoriske krav. Har dere anvendt noen spesiell metodikk for internrevisjonens arbeid med disse prosjektene, som skiller seg fra den metodikken som anvendes på andre intern revisjonsprosjekter? Vi har ikke etablert en spesiell metodikk for å dekke endringsprosesser i banken. Revisjonens innfallsvinkel tilpasses den enkelte oppgave. Det ligger jo i internrevisjonens natur at den vil måtte operere i virksomheter som til stadighet er gjenstand for endringsprosesser, så dette er noe vi hele tiden må forholde oss til. Vi må alltid finne meningsfylte kriterier å revidere mot. Vi kan i mindre grad enn tidligere benytte oss av standardiserte revisjonsprogrammer, og vi ser derfor at planleggingsfasen er mer krevende, både på overordnet plan og i de enkelte revisjonsprosjektene. Dette er en av grunnene til at internrevisjonens medarbeidere hele tiden må ha evnen til å operere i nye miljøer og de må være selvgående, kreative og tilpasningsdyktige. Således stilles det store krav til medarbeidernes kompetanser og ferdigheter. I GIA har vi over tid bygget opp en kultur hvor medarbeiderne har en positiv innstilling til endringsprosesser, og vi oppfatter dette faktisk å være en styrke i avdelingen. Hvilke erfaringer har internrevisjonen gjort mht sin rolle i disse prosjektene? Jeg vil understreke at internrevisjonens medarbeidere har en rolle å spille, ikke bare i revisjonsprosjektene, men også i den løpende kommunikasjonen med bankens ledelse. Jeg tror det er spesielt viktig at revisjonsmedarbeiderne opprettholder en høy grad av møtefrekvens med ledere på forskjellige nivåer, både i forhold til hierarkisk plassering og faglig plassering. Internrevisjonen har en helt unik plassering i konsernet, og har mulighet til å vurdere organisasjonen fra forskjellige perspektiver. Det er dog svært viktig at internrevisjonen også er en respektert enhet blant bankens ledere. Kun da vil den få gjennomslag for sine synspunkter, spesielt når det gjelder å kunne være en pådriver for nødvendige endringsprosesser. Hvordan har organisasjonen oppfattet internrevisjonens bidrag i disse prosjektene? Jeg vil si at internrevisjonen oppfattes å være en god samtalepartner med bankens ledelse for å få til endringer som medfører mer hensiktsmessig og effektiv drift. Bidraget i hvert enkelt prosjekt er svært viktig, men det er spesielt gjennom dialogen med ledelsen at vi oppnår de ønskede resultater. eg vil si at internrevisjonen oppfattes å være en god samtalepartner med bankens ledelse for å få til endringer som medfører mer hensiktsmessig og Jeffektiv drift. Når det gjelder omorganiseringer er dette et området som selvsagt først og fremst er ledelsens domene. Men internrevisjonen vil ha synspunkter på hvordan banken er organisert, spesielt i forhold til hvordan roller og ansvar er fordelt. I så måte er dialogen vi har med bankens ledelse vel så viktig som konkrete revisjonsrapporter som utstedes. I forbindelse med oppkjøp har internrevisjonen i begrenset grad vært involvert i selve oppkjøpsprosessen. Men oppkjøpte virksomheter inngår selvsagt som en viktig del av vårt revisjonsunivers, og prioriteres i forhold til den risikoen vi identifiserer. Har du noen andre erfaringer rundt disse temaene som du vil dele med Internrevisoren s lesere? I en verden med mange og raske endringer er det hele tiden behov for at bankens prosesser vurderes i forhold til hensiktsmessighet og kostnadseffektivitet, og det er selvsagt viktig at de ledende organer føler seg trygge på at dette er godt ivaretatt. Vår tilbakemelding fra styret er at de setter stor pris på den jobben vi gjør, nemlig to provide assurance on the governance, risk management and control processes. intern 15

16 Internrevisjonens rolle i prosjekter Av Kristin Reichborn-Kjennerud Kristin Reichborn-Kjennerud er utdannet Cand.polit med hovedfag i sosiologi Hun er også Diplomert internrevisor og Høyskolekandidat i Merkantil Fransk og Internasjonal Handel. Hun har bakgrunn både fra Arbeidsdirektoratet, Riksrevisjonen og Kommunerevisjonen i Oslo. Nå jobber hun som forsker ved Arbeidsforskningsinstituttet. I Riksrevisjonen har hun blant annet ledet et prosjekt om realisering av nytteeffekter fra IT-prosjekter i trygdeetaten og et prosjekt om elektronisk informasjonsutveksling og tjenesteutvikling i offentlig sektor. Hun er medlem av redaksjonskomitéen i Internrevisoren. Revisjon og revisjonsfaget blir gjerne oppfattet som tilbakeskuende. I de tilfellene der internrevisor for eksempel reviderer prosjekter og ikke den ordinære driften vil det oftest være etter prosjekters avslutning. Men er det slik i realiteten, eller trenger det å være sånn? Sett i et nytteperspektiv ville det i mange tilfeller vært hensiktsmessig om revisor kunne sett på prosjekter underveis i forløpet. Det finnes flere eksempler på prosjekter som aldri nådde målet. Tress 90 ble avbrutt på midten av 90-tallet uten at trygdeetaten hadde fått noe nytt IT-system. Hva hvis revisor hadde kommet inn og evaluert denne typen prosjekter tidligere? Kunne det ha bidratt til at politikere og styrende myndigheter hadde blitt realitetsorientert og iverksatt tiltak eller stoppet prosjektene på et tidligere tidspunkt? Utfordringene med slike underveisevalueringer er flere. Oppmerksomhet fra revisors side kan skape uro i organisasjoner, noe som kan virke kontraproduktivt på samarbeidsklimaet. Det kan også være risiko for at aktører vil forsøke å gjøre revisor til talerør for egen sak. I store prosjekter er det ofte at ulike interessenter har ulike delmål som de jobber for å fremme. I tilfeller der hovedtyngden av dataene i undersøkelsen stammer fra intervjuer må derfor revisor være nøye med å balansere utsagnene som kommer. I slike tilfeller blir det viktig å løfte fram utfordringene disse uenighetene evt. representerer. I et prosjekt som enda ikke er avsluttet kan det også bli vanskelig å vurdere om mål er nådd ettersom man fremdeles er underveis i prosessen. Til tross for de nevnte utfordringene ville det gi store gevinster hvis problemområder i endringsprosjekter kunne løftes frem på et tidlig tidspunkt og tas tak i stedet for at prosjektet kjører seg fast i et negativt spor. Ved enkeltmilepæler i prosjektforløpet kunne internrevisor kommet inn for å vurdere framdrift og evt. belyst eventuelle utfordringer som hindrer planlagt framdrift og oppgaveløsning eller vurdere om organisering og samarbeid fungerer effektivt. Det er alltid utfordringer og muligheter for læring og forbedring. 16 intern Revisjon av IT-endringsprosjekter Selve definisjonen på et prosjekt innebærer at det har en begynnelse og en slutt. Det er en aktivitet som ligger utenfor den ordinære driften. Prosjekter kan romme alle aktiviteter som er tidsavgrensede med et resultatmål og et effektmål som skal nås. Mange prosjekter innebærer både en organisasjonsendringskomponent og en teknologisk komponent. Det typiske eksempelet er utvikling og innføring av et nytt IT-system i en organisasjon. Hva skulle internrevisor hatt fokus på ved revisjon av endringsprosjekter som IT-prosjekter ofte er? Typiske problemstillinger er at ansatte opplever nye systemer som mer tungrodde og tidkrevende enn det gamle og at effektiviseringsgevinsten som var forespeilet dem ikke kom. Dette har gjerne igjen sammenheng med urealistisk planlegging, manglende omstilling, lite opplæring, dårlig oppfølging, feilvurdering av kompetansen i organisasjonen og feil eller mangelfull bruk av systemet. I tillegg kan årsaker være knyttet til aspekter ved systemet som at det er lite brukervennlig, lite driftssikkert, tregt og at det er dårlig testet og uferdig osv. Med utgangspunkt i risikovurderinger som speiler noen av disse typiske problemene for denne typen prosjekter kan internrevisor vurdere prosjekter på ulike stadier. På planleggings- og utviklingsstadiet kan revisor vurdere om det foreligger gode, realistiske og gjennomførbare planer, om de er godt begrunnet og om prosjektorganisasjonen er ryddig og følger anerkjent prosjektmetodikk og praksis for dokumentasjon. Internrevisor kan også vurdere samhandlingen og oppgaveløsningen i prosjektet. Nås delmilepælene? Har leveransene det avtalte innhold eller er deler av oppgavene skjøvet inn i neste leveranse? Hvordan oppfattes samspillet mellom leverandør og kundeorganisasjon, brukere og utviklere? Har man fått på plass hensiktsmessige arenaer og former for samarbeid? I en implementeringsfase kan internrevisor vurdere om det finnes gode nok opplegg for overlevering og utrulling av systemet samt planer for opplæring og oppfølging ved implementeringen. Det bør også vurderes om det er en bevissthet omkring endring av arbeidsprosesser som er nødvendig i organisasjonen for å dra nytte av de potensielle nytteeffektene ved et nytt IT-system. I større organisasjoner er det ofte visse frihetsgrader nedover i organisasjoner ift. hvordan endringer implementeres. Det bør derfor være et apparat for å bistå kontorer og avdelinger i endringsprosessene og det bør gå ut klare direktiver og forventninger knyttet til hvilke endringer som bør gjøres for å dra nytte av systemet. Etter prosjektets avslutning kan internrevisor gjennomføre brukerundersøkelser hos ansatte i alt fra et halvt til ett og et halvt år etter innføringen, gjerne i flere omganger, for å finne ut hvordan de ansatte jobber etter endringene, hvordan de bruker ITsystemet og om prosjektet har gitt de forventede effektene.

17 Er internrevisjonen en naturlig aktør å trekke med i større endringsprosesser i en virksomhet? Sett ut fra målsettingen for internrevisjonen fra IIA standardene ville internrevisor kunne opptre som en rådgivende instans ved å evaluere prosessen underveis. Gjennom at internrevisjonen både kjenner virksomheten godt og har kompetanse på rådgivning og evaluering kunne den vært en viktig medspiller gjennom å følge prosessen og bidra i et løpende forbedringsarbeid. Dette forutsetter at internrevisjonen har posisjonert seg, synliggjort sin kompetanse og sin rolle gjennom formuleringen og utøvelsen av sitt mandat. Riksrevisjonens revisjon av IT-prosjekter i trygdeetaten. I sin undersøkelse om realisering av nytteeffekter fra IT-prosjekter i trygdeetaten fra 2005 gjennomgikk Riksrevisjonen fire IT-prosjekter. Ett av disse var i gjennomføringsfasen. Dette gjaldt et prosjekt som utviklet og implementerte et nytt IT-system for hjelpemiddelsentralene i fylkene. Det finnes en hjelpemiddelsentral i hvert fylke som har som formål å bistå funksjonshemmede med tekniske og fysiske hjelpemidler. Hjelpemiddelsentralenes nye system ble implementert i Det hadde blant annet funksjonalitet for lagerhold, ledelsesinformasjon og elektronisk samhandling med leverandører og kommuner. Dette prosjektet var i en implementeringsfase og var rullet ut til 7 pilotkontorer. Det var i utgangspunktet anslått store kvantitative gevinster ved dette systemet. Det kom imidlertid fram gjennom undersøkelsen at slike effektiviseringsgevinster forutsatte omorganiseringer. I hvilken grad hjelpemiddelkontorene ble omorganisert var imidlertid opp til det enkelte kontor. Hjelpemiddelsentralene selv opplevde at de hadde fått liten eller ingen rådgivning fra Rikstrygdeverket om hvordan de burde omorganisere seg for å kunne effektivisere driften av hjelpemiddelsentralene. Under gjennomføringen av Riksrevisjonens undersøkelse var det store medieoppslag om at brukerne av hjelpemiddelsentralene måtte vente uforholdsmessig lenge for å få hjelpemidlene de var avhengige av i sitt daglige liv. Det var flere utfordringer som bidro til hjelpemiddelsentralenes vanskeligheter med å levere. Det var problemer med responstiden og systemet ble opplevd som mer tungrodd av de ansatte. Det nye systemet styrte dem mer slik at de måtte gjennom flere skjermbilder, noe som tok lenger tid. I tillegg hadde enkelte ansatte svakere data- og lagerstyringskompetanse enn forutsatt av Rikstrygdeverket. I undersøkelsen konkluderte Riksrevisjonen med at det hadde vært mangler ved arbeidet med risikohåndtering, kommunikasjon og oppfølging av gevinster i IT-prosjektene som var gjennomgått i undersøkelsen. Andre IT-prosjekter Dette er nok ikke et enestående eksempel på utfordringer ved utvikling og innføring av IT-systemer i organisasjoner. Det er bare å nevne billettsystemet i Oslo kommune der organisasjonsmessige uenigheter og dårlige rutiner for test av leverandørens produkt er noen av forklaringene på hvorfor ting har gått galt. Det førte til direktør Trond Bjørgans avgang nå i høst. Utfordringer i det nye felles IT-systemet for hele Oslo kommune har også bidratt til at hoder har rullet. Oslo kommune har tapt millioner på sin omstridte IKT-reform. I forbindelse med avslutningen av regnskapet for 2007 ble det avdekket et overforbruk på 74,4 millioner knyttet til reformen. Det var ikke satt opp budsjett for prosjektet fordi prosjektet skulle finansiere seg selv. Kostnadene skulle dekkes inn av gevinstene i prosjektet. Fire sentrale personer tilknyttet IKT-reformen i Oslo kommune har gått av som følge av disse problemene, blant dem kommunaldirektør for finans og utvikling, Merete Johnson, og direktør for Undervisnings- og kompetanseetaten, Wenche Hagan. Et spørsmål det er fristende å stille i en slik sammenheng er om de kanskje kunne grepet inn tidligere hadde de vært bedre informert av en uavhengig instans. intern 17

18 Revisjon av prosjekter i Statsbygg Av Alf Martin Hansen og Sverre G. Elingsen Intern revisjon foretar hvert halvår en ajourføring av sin risikovurdering som grunnlag for revisjonsplanen. Ut fra størrelsen fremstår revisjon av byggeprosjekter og eiendomsforvaltning naturlig nok som relativt faste poster i planen. Hvilke prosjekter og hvilke eiendommer som skal revideres og revisjonsmålsettingene den enkelte gang vil likevel variere. 3. Økonomisk risiko Statsbygg gjennomfører byggeprosjekter etter skriftlig oppdrag fra vedkommende fagdepartement. Kostnadsrammer basert på usikkerhetsanalyser fastsettes enten av Finansdepartementet eller etter uttrykkelig fullmakt. De bygg som går over i Statsbyggs forvaltning inngår i leieordningen i staten. Oppdragsgiver eller bruker er da leietakere, og det inngås leiekontrakt med Statsbygg. Internrevisjonen i Statsbygg fulgte Operaprosjektet nøye. Fra venstre ser vi Roar Kristiansen, samt artikkelforfatterne Sverre G. Ellingsen og Alf M Hanssen. 1. Statsbygg Statsbygg er Norges største statlige eiendomsaktør i sivil sektor med en eiendomsportefølje på rundt 2,3 millioner kvadratmeter til en verdi av ca. 20 milliarder kroner. Statsbygg har en årlig inntekt på om lag 2,5 milliarder kroner og investerer for nær 3 milliarder kroner i nye bygg. Statsbygg driver arealplanlegging, byggfaglig rådgivning, eiendomsforvaltning og styring av byggeprosjekter. Statsbygg er en forvaltningsbedrift med 720 ansatte, hovedkontor i Oslo og fem regionkontor. Utgiftene til investeringene bevilges av Stortinget. Statsbygg har driftsutgifter som omfatter drift og vedlikehold av de eiendommene som forvaltes samt til egen administrasjon. Statsbygg har driftsinntekter i form av husleie fra brukerne av de eiendommer som Statsbygg forvalter. 2. Intern revisjon i Statsbygg Intern revisjon i Statsbygg består av tre faste stillinger. Dette er en god grunnbemanning, men likevel for beskjedent til at revisjonsvirksomheten kan bli heldekkende. Foruten årlig prioritering ut fra risiko må det foretas en viss rullering mellom de forskjellige områdene. Leder av Intern revisjon i Statsbygg er avdelingsdirektør Sverre G. Ellingsen, som er sivilingeniør med erfaring bl.a. fra offshore prosjektledelse og kvalitetsarbeid (ISO). Underdirektør Alf M. Hanssen er jurist og master of management med erfaring fra bl.a. økonomi og administrasjon. Rådgiver Roar Kristiansen er registrert finansiell revisor med erfaring bl.a. fra økonomi og bruk av datasystemer. Ellingsen er medlem i NIRF s programkomité. Hanssen er leder av NIRF s IT-nettverk. Til sammen har vi tre betydelig fartstid i Statsbygg og bra spredning i grunnkompetansen. I tillegg kjøpes det spisskompetanse etter behov. For bygg som overlates til forvaltning av andre må Statsbygg som regel bære kostnaden dersom bygget blir dyrere enn fastsatt, mens oppdragsgiver drar fordelen dersom bygget blir billigere. For bygg som inngår i leieordningen i staten blir leien lavere dersom bygget blir billigere enn planlagt, mens leien blir stående uendret dersom bygget blir dyrere. Byggeprosjekter innebærer derfor betydelig økonomisk risiko for Statsbygg. 4. Oppdragsgiver og bruker Hva byggeprosjektet skal inneholde (omfang og kvalitet) og hva som skal inngå i leiekontrakten fastsettes i avtaler mellom oppdragsgivende departement og fremtidig leietaker på den ene siden og Statsbygg på den andre gjennom en trinnvis prosess. Medvirkningen fra oppdragsgiver og framtidig bruker er hele tiden stor. Hovedpoenget er at alle forhold skal være avklaret og avtalt før byggingen starter. Fra og med byggestart skal oppdragsgiver og bruker få det som er avtalt, og ikke mer. Eventuelle endringer etter denne dato må oppdragsgiver betale særskilt for. Å justere ned brukermedvirkningen på rett tidspunkt uten å være vanskelig er en krevende øvelse. Særlig kan dette være krevende dersom det er blitt bestemt at bygget skal være mindre i omfang og utstyr enn det man opprinnelig ønsket seg. Bruker kan fortsatt ønske seg ting selv om oppdragsgivende departement har sagt nei. Som revisorer er vi derfor interessert i hvordan brukermedvirkningen fungerer, særlig sett i sammenheng med detaljprosjektering og endringshåndtering. 5. Kjøp av varer og tjenester Statsbyggs produksjon skjer i all hovedsak gjennom kjøp av varer og tjenester. For byggeprosjektene er andelen kjøpte varer og tjenester 96,5 %. Prosentsatsen i eiendomsforvaltningen er etter hvert blitt nesten like stor. Avtaleinngåelse (kjøp) er derfor en dominerende side ved Statsbyggs virksomhet og med høy risiko. 18 intern

19 De største avtalene både absolutt og i sum gjelder byggeprosjektene. Innenfor eiendomsforvaltningen utgjør vedlikeholdsavtaler den største delen. Vedlikeholdsavtalene er temmelig like de avtalene som gjelder byggeprosjektene. Driftsavtaler får en litt annen karakter fordi de gjerne løper over lengre tid og er knyttet til eksisterende anlegg. Byggeleder og rådgivere er nøkkelpersoner i prosjektet. Etableringen av leveranseavtalene med disse kan også være viktig å sjekke. Ved all revisjon, og særlig ved avtalerevisjon, har vi et sideblikk på muligheten for misligheter. Det er derfor naturlig at revisjon av avtaler er helt grunnleggende for vår virksomhet som interne revisorer i Statsbygg. Intern revisjon ser da på avtaleinngåelse som hele løpet fra behovet oppstår og fram til at avtalen er ferdig oppfylt. 1. Behovsvurdering 2. Konkurranse 3. Utlysning 4. Tilbud 5. Utvelgelse 6. Bestilling 7. Oppfølging og tildeling Vi har utarbeidet et standard revisjonsprogram for avtalerevisjon som regner opp et stort antall mulige revisjonshandlinger. Flytdiagram med stikkord for punkter som kan gi grunnlag for revisjonshandlinger følger som vedlegg. Det foreligger forklaring til hvert enkelt av disse stikkordene. Ved den enkelte revisjon haker vi av hvilke revisjonshandlinger som antas å være mest aktuelle denne gangen. Den som leter finner, heter det. Finner vi interessante ting av avtalen må kanskje flere poster undersøkes nærmere. Ved revisjon av avtaler i et prosjekt ser vi på disponering av prosjektbudsjettet og sammenholder dette med inngåtte avtaler, utvidelse av disse og planlagt, ikke bestilt. Avtaler omfatter bruk av mange datasystemer: Budsjettsystem, bestillingssystem, regnskapssystem og arkivsystem. Budsjett - Artemis Alt på én side - Artemis Avtaleoversikt Planlegging - styringsramme og budsjett Avtaler - budsjett, avtalt og betalt Forventet sluttkostnad - pr. avtale og totalt Registrert avtale/ bestilling og regnskapsført - Oracle Avtale/bestilling - DocuLive Økonomireglementet i staten og lov og forskrift om anskaffelser i det offentlig sektor setter store formelle krav til sporbarhet mellom disposisjon (budsjett, avtale/bestilling) og regnskap. Også prosjektenes eget behov for styring og kontroll mht avtaler og økonomi går langt på vei ut på å kunne triangulere i forhold til dette. I Statsbyggs prosjekter fremgår alle tall på øverste nivå på én side og med detaljerte rapporter som drill down, jfr. figur. Som revisorer ser vi på utvidelser som kritiske: Utvidelser av budsjett, utvidelser av avtaler, overskridelser av inngåtte avtaler. Også tidsrekkefølgen mellom bestilling og faktura er viktig: Dersom fakturaer kommer før bestilling er gjort, viser dette avvik i en eller annen prosess: Produseres det først og vi bestiller etterpå, eller bestiller man i tide men venter med å registrere bestillingene til etter at faktura er kommet? Samme rapporterte avvik kan peke tilbake på avvik i veldig forskjellige prosesser. 6. Styring og kontroll Ved revisjonen ser vi etter hvordan styring og kontroll i prosjektet er etablert og følges opp. Foruten status for avtaler, budsjett, regnskap og sporbarhet ser vi rutinemessig på prosjektets styrende dokumenter, herunder oppdrag samt leie- og leveranseavtaler, fram driftstyring, endringsog avvikshåndtering og HMS/SHA. Statsbygg har egen kvalitetsrevisor som sjekker forholdet til ISO 9001 og miljørevisorer som sjekker mot ISO Her drar vi som interne revisorer nytte av det som allerede er gjort og avtaler koordinerte gjennomganger der det er hensiktsmessig. Antallet aktører i et byggeprosjekt kan være betydelig: - Statsbyggs egen prosjektorganisasjon, med forankring i Statsbyggs linjeledelse - Byggeleder, Statsbyggs representant på byggeplass, men som i de fleste tilfeller er innleid - Rådgivergruppen (arkitekt, VVS, elektro, bygningsmessig osv.), som oftest innleid gjennom en gruppekontrakt, ofte med egen gruppeleder i tillegg - Entreprenørene, hvor avtalene ofte er inngått pr fag, mer eller mindre oppdelt - Kvalitetssikring i forbindelse med avtaleinngåelse og senere produksjon ivaretas av egne faggrupper i Statsbygg, hvor ressurspersoner tildeles spesifiserte oppdrag - Framtidig forvalter av bygget, som i Statsbygg-sammenheng betyr stedlige representanter organisert i en egen avdeling - Oppdragsgiver, som har innflytelse gjennom særskilte fora - Bruker, som har egne representanter med i arbeidet Er byggeprosjektet stort og komplisert kan flere parter komme til: - På byggeplass kan det være behov for særskilte tekniske byggeledere for å følge opp kompliserte anlegg - Øverst i styringspyramiden kan prosjektet bli skjøtt på med en forsterket styringsgruppe med representanter fra oppdragsgivende departement, bruker foruten Statsbygg Som interne revisorer ser vi etter at hver av partene oppfyller sine kontraktsforpliktelser og for øvrig gjør den jobben de er satt intern 19

20 til, herunder at de ikke tiltar seg en innflytelse de ikke skal ha. Er beskrevet arbeidsmønster og faktisk arbeidsmønster i overensstemmelse med hverandre? Ekstrakostnadene begynner raskt å løpe dersom avgjørelser tas for sent eller dersom man bygger noe annet eller mer enn det som er bestemt. Henger styringspyramiden sammen? Som revisorer forventer vi at styringssignaler fra toppen finnes igjen som ordninger og tiltak ned gjennom prosjektorganisasjonen. Tilsvarende forventer vi at viktige aktiviteter nede i organisasjonen er styrt og kontrollert ovenfra. Eventuelle brudd i styringskjeden kan bety at man henviser styring og kontroll til å oppstå spontant nede i organisasjonen. Og i verste fall kan tiltak som er forutsatt iverksatt dø ut uten at noen vet om det. 7. Prosjekter Valg av prosjekter som skal revideres skjer ut fra en risikovurdering. Ønsker og risikovurdering fra direktør for byggeprosjekter etterkommes der dette er mulig. Der har man mer oppdatert kunnskap om det enkelte prosjekt enn det vi har, og forslagene har i praksis vist seg å treffe godt. Vi har også en mer interaktiv kilde for oppsjekk av byggeprosjekter. Hver måned kjører vi røde flagg- rapporter hvor vi får fram opplysninger om bl. a. - faktura som ikke har noen bestilling eller er bestilt etter at faktura er utstedt - store utvidelser på avtaler - Kjøp uten konkurranse, direktekjøp Som regel gir dette bare grunnlag for å ta opp enkeltstående spørsmål. Andre ganger gis her indikasjoner på at et prosjekt er i ferd med å bevege seg i feil retning slik at nærmere undersøkelser bør foretas. Revisjon av prosjekter innebærer i noen tilfeller enkel oppsjekk av at budsjett, regnskap, registrerte avtaler og det som er arkivert henger sammen. I andre tilfeller er det nødvendig med dyptpløyende gjennomganger av prosjektets virkemåte og hvordan prosjektdata blir til. Vi har utarbeidet standard revisjonsprogram for revisjon av prosjekter hvor vi kan hake av de revisjonshandlinger som er aktuelle. Prosjekt nytt operahus i Oslo er det største byggeprosjektet som Statsbygg har gjennomført de siste årene. Prosjektet hadde en kostnadsramme på 3,3 milliarder kroner. Huset har nærmere 1100 rom, fordelt over kvadratmeter og er arbeidsplass for ca. 600 personer. Operahuset har tre saler, hovedscenen med 1356 sitteplasser, scene 2 med 440 sitteplasser og én prøvesal med 200 sitteplasser. Omdømmerisikoen for Statsbygg var stor, bl.a. på grunn av prosjektets høye profil i offentligheten. Prosjektet hadde en forsterket prosjektorganisasjon med en styringsgruppe bestående av representanter fra Kultur- og kirkedepartementet, Fornyings- og administrasjonsdepartementet, Den Norske Opera og Statsbygg. Et prosjekt som bygging av ny opera inneholder potensielt de fleste av de problemstillinger som er nevnt i denne artikkelen. Her kan nevnes at en tidligere administrerende direktør i Statsbygg ble leid inn av oppdragsgivende departement som aktiv rådgiver i prosjektet. Dette understreker behovet for profesjonell oppfølging av brukergrensesnittet fra Statsbyggs side. Det er ikke mulig å gi dekkende revisjon av et så stort prosjekt. Revisjon og rådgivning har prinsipielt ligget på følgende nivåer: - Overordnet styring og kontroll av byggeprosjektet - Inngåelse og gjennomføring av avtaler - Oppfølging i større detalj av noen utvalgte områder - Rapportering og oppfølging fra prosjektet. Det må nevnes at prosjektet selv dessuten hadde en egen kvalitetsenhet som reviderte underleverandører med hensyn på framdrift og kvalitet. De viktigste aktivitetene Intern revisjon har hatt overfor prosjektet har vært: - To komplette gjennomganger av styringssystemet, som omfattende alle styrende dokumenter og samarbeidsmønsteret mellom alle parter - Revisjonene ble startpunktet for møteserie hvor vi gjennomdrøftet hvert av de særskilte emnene som framkom - Føring av prosjektregnskapet, herunder ivaretakelse av sporing - Revisjon av utvalgte grupper avtaler, herunder prosess for tildeling av visse avtaler og prosess rund utvidelse av andre - Avviksrapportering mht økonomi og annet - Oppfølging av månedsrapportering, herunder hvilke typer avvik som burde rapporteres - Halvårlige statusmøter med fokus på nye risikoer Revisjon av Prosjekt nytt operahus i Oslo har vært en positiv prosess som både prosjektet og intern revisjon har lært mye av og hvor både revisjon og rådgivning har blitt benyttet aktivt til det beste for prosjektet. 20 intern