-- - tanse i K Bank. Forholdet mellom ekstern. dent trer av. Risikost ORGAN NORGES INTERNE

Transkript

1 -- - Ko tanse i K Bank Forholdet mellom ekstern Risikost dent trer av ORGAN NORGES INTERNE

2 Styrets leder har ordet ) De forste 50 og de neste Foreningen star foran en merkedag av de helt store. Profesjonens planerer rn0ttes i New York for 60 <'ir siden og stiftet The Institute of Internal I Auditors, Inc. Da er dec bemerkelsesverdig at de tre nordiske foreninge 'ne nol fyller 50 <ir 8. oktober 200 I. Sa vide jeg kan finne ue aver dec bare britene sam har en tidligere "affiliation date!! i Europa.Av praktiske anaker markerer vi dagen fredag 12. oktober.yi haper mange av medlemme I ne bhr med pa arrangementet i Oslo Milit<ere Samfund. Da skal jubilani ten feires sam seg her og bor. Dec er ikke hver dag du blir invitert til Ifemtiarslag hvor dict blotte mervcer er selve gaven til jubilancen!, i i En global profesjon i end ring Dec var sikkert fremtidsrettede og visiomere menn som mlzlttes i New I York denne h0sten i 1941.lmidlertid tror jeg at de neppe hadde sett for seg hva IIA ville vrere i dag. Godt over medlemmer over hele klo~ den forteller at intern revision virkelig har utviklet seg til a bli en global profesjon. I Et parameter som ofte brukes for a avgj0re hvorvidt vi virkelig kan snak~ ke om en reel! profesjon, er internasjonale standarder for yrkesut0velsen. Som ut0ver av profesjonen kan vi gjerne mene at tla kom sent i gang 'med sin "renoveringsprosess" av standardene.lmidlertid mener j aile fall undertegnede at de kom godt! Jeg har sansen for a legge noen gode ho~ vedfundamenter pa plass f0rst. Disse har vi fatt gjennom den nye defini gjennom Code of Ethics samt gjennom de fire standardsettene Isjonen,! som pa en fin mate smelter sammen til ett integrert sett. Personlig er jeg ivel sa opptatt av det som ml er sam let og hele tiden samles i GUIDAN~! CE-delen av standardrammeverket.iia skiller mellom "practice advisori~! es" og "development & practice aids". Kjrert barn har som kjent mange! navn - skillet her gar vel mest pa om det er foreningen selv eller andre som laget dette. Veldig godt a se at IIA er trygg nok pa seg selv til a erkjenne at mange av medlemmene rundt om i verden har nytte av stan I I darder, retningslinjer, anbefalinger osv. som andre har utviklet.vare opp I dragsgivere forventer mye av sine interne revisorer. Det er akkurat slik I vi onsker det. Det Yare oppdragsgivere derimot bryr seg mindre om, er hvorvidt Yare 'beste praksis'-retningslinjer kommer fra IIA eller ikke! Jeg har store forventninger til IIA nar det gjelder a utvikle verkt0y som jeg kan bruke rett fra I Et an net viktig parameter som ofte brukes for a avgjore hvorvidt vi virkelig kan snakke om en profesjon, er utdanningsordninger for a stotte opp under kvaliteten i yrkesutlilvelsen. lias flaggskip her er selvsagt Certified Internal Auditor, eller CIA som forkortelsen blir om vi liker det eller ikke. De f0rste kandidatene m0tte til eksamen i 1972, og knappe 30 ar etter er det mer enn personer som har klart a oppna "The Manager's Best Credential" som IIA na ynder a profilere sertifiseringen. Veksten er sa sterk at vi allerede i 2004 vii passere CIAs! Selv om ikke aile disse er praktiserende internrevisorer sa er det litt av en attest thila med tanke pa at antall medlemmer om tre ar kanskje er pa verdensbasis. CIA, "The Global Mark of Excellence", pastas a ha sam me status som Certified Public Accountant (CPA) i USA. Akkurat det skal 'ikke jeg ha uttalt meg noe om, men det a synliggjlzlre var kompetanse ogsa her hjemme pa berget blir viktigere og viktigere. NIRF rna ogsa videreutvikle seg Vi har passert 60 CIAer i Norge mi. Selv om vi matte avlyse forberedel~ seskurset for novembereksamenen denne gangen grunnet for liten interesse, sa vet vi at noen av Yare kollegaer stiller med et berettiget hap om a vise sin profesjonelle kompetanse gjennom a best<'i eksamen. Var egen tittel, Diplomert Intern Revisorer, lever ogsa i beste velgaende. Yare oversikter viser at i alt 128 personer ml er Dipl.I.R.Vi har et stadig tilsig fra BI~programmet, og det blir spennende a se hvor mange nye Diplomeringsnemda godkjenner j m0tet sitt na j november. Utdanningsmodellen var er en av mange ting som det nyvalgte styret ser pa mi.vare medlemmers behov endrer seg - og det er vart ansvar a S0r~ ge for at vart tilbud endrer seg i takt med dette.vi har gjort visse justeringer allerede pa det kullet som na er i gang pa Ekeberg. Det var mer en naturlig konsekvens av at det nye standardsettet gjelder fra kommende arsskifte enn et resultat av en gjennomarbeidet analyse av end ringer i behovet. Det neste kullet vii forhapentligvis nyte godt av et slikt arbeid. BI-programmet er en hj0rnesten j var utdanningsmodell, men foreningen har ogsa andre kompetansegivende tiltak pa "menyen".vi har nye koster pa plass i mange av komiteene Yare, og styret har store forventninger til programkomiteen nar det gjelder medlemsmoter, kurser og seminarer fremover.likeledes ser vi i spenning frem mot en fornyelse av konseptet rundt Internrevisjonskonferansen. FlZIlg med pa de nye hjemmesidene yare! Styret har allerede besluttet at vi skal arbeide mot at Yare nye hjemmesider blir den naturlige portalen for var profesjon her hjemme. Det er gjort mye arbeid allerede for a "sette" sidene slik dere ser dem na. Imidlertid er det velkjent at hovedutfordringen er a holde et slikt omrade levende med relevante og interessante nyheter. PR-komiteen er var motor i dette arbeidet, men aile de 30+ personene som dette aret bidrar til at du far verdi for medlemskontingenten din, arbeider mot dette malet.ta kontakt med en av oss dersom du har meninger om hvordan vi kan Iykkes med Styret beldager at denne utgaven av Internrevisoren forst kommer ut na. Det er et resultat av mange faktorer, men resultatet er uansett at vi ikke Idarer a lage fire utgaver i 200 I som planen var. Styret vurderer na arbei~ det og amblsjonene med medlemsbladet n0ye opp mot satsingen pa in~ ternett som informasjonskanal. Denne utgaven er var mangearige redakt0r, Espen Opjordsmoen, sitt sis~ te bidrag. Styret onsker a gi Espen en stor honnor for stor innsats over mange ar i den krevende redaktlzlrstolen! Samtidig vii undertegnede benytte anledningen til a takke min forgjenger, Hans Martin Vikdal, for at han fortsatt bidrar med stor innsats til foreningens beste. Vel m(zltt til Oslo Militrere Samfund fredag 12.oktober! FrankAlvern Styrets leder epost: frank.alvern@kbank.no lntep,j<jrevjsof<en I'O!

3 NORGES INTERNE REVISORERS FORENING KONTAKTPERSONER President: Frank Alvern Nordea Postboks I 166 Sentrum. 0 I 07 Oslo J: F: I frank.alvern@~.r)o "'-OI'-d. Q:q PR-KOMITEEN Innhold 2 Ord fra styrets leder 5 Kompetanseutvikling i K-BanklNordea 8 Ekstern og intern revisjon 13 Kredittilsynet PROGRAMKOMITEEN Gunnar Juriks Oslo Kommune Byradslederens Avd. Seksjo Intern Revisjon Rc\dhuset 0037 Oslo J: II. P: I. F: Gunnar.Juriks@radhuset.oslo.komune.no KONFERANSEKOMITEEN SOlbj.. r~ -4 "') Anderse & Co - ~oks k0yen (Q1JJIOslo 06l J::' J: solbjorg.lie@no.~nder5en.com HIZIRINGSKOMITEEN I NIRFS Erik Bredeen J). Andersen & Co ""'""'" eyen 212 slo Q I~ j ", OkS ~ erik.bredo.larsen@no.~andersen.com FORENINGSSEKRET.lER VibekeArnet -') On~ Pilestredet 750 l.. '1... } 0308 Oslo ( l,v J: NIRf@revisornett.no Internrevisoren: Organ for Norges Interne Revisorers Forening, NIRF Antall utgivelser pr.;\r: 4 Opplag: 600 Nesten~ Media de3ea.b&oe.200t. Frist for innlevering av artikler. brev fra leserne m.m., er satt til 28. ~ 2DOL Arsabonnement: Kr. I sq,- r~ 15 Kursoversikt 16 "All are ~r~ed to attend" _ I1US-K. ~ '( AD-RESSJ;::. 17 Fokus pi risikovurdering og risikostyring 22 NIRF - CCSA sertifiseringen 23 En president trer av 25 "Globalization & Diversity" 28 NIRFs 50-irs jubileum 29 Foreningsnytt 31 Pi tampen Annonsepriser: III side kr: mva 1/2 side kr mva 1/4 side kr mva Grafisk produksjon: GRYTTING AS. Oslo Trykk: GRYTTING AS. Orkanger Forsideill.: Grytting INTERNREVISQREN 1' 01 1

4 s61)-i,.. lieu OtIo_.~.ow r, 'l_2ooi -. ""-1 ME r... ~4~2001 '62 "'_,_~,"III'I~ - nlxlo,""~_"'''*o\i... -_,.. INaogt... ni_.e- ". (1."_1 19'_ _O'...-., IIdg RNRE._og k IntI! p rtall ku Ik;l Ir I 1ta r_(~_~fi"'~wiii_~".""''''''',..,.. ~st.oi_ ""'-.ciportoiior~..._..._.""-oiii 011""11..._... PlO_...,...,"'g..._~IOr_,_ DeIl.,"~""'''''''poI_<l ~I01I!I~ ~ PI'...,.~Ho<..: ,...,~ _ _ :;:-...=."':'r-,# =-... _"'_11~ 0.0,,;a:o-r:,... =....., _ ,--_..-..._!I>,....._ _--, _._""'I..._J:'-_oi,..,,... '"I _... ' "")log. ~-, :D_ IUGl......",, 01.".. ",,--, <b_...,_ ""-"'--'-"'~ _...,.,..."""'... _ --""- ~-,,.. t stdr (or forfotterens egne synspunkter. og er ikke n.dvendigvis I samsvar med NIRFs offjsielle synspunkt 4 N E R VISOREN 1' 0/

5 Kompetanseutvikling i Konsernrevisjonen i K-Bank/Nordea Av Jan Kdr. Dahl I. mars 200 I var Konsernrevisjonen i K-Bank vertskap for medlemsm"te i "Progress Through Sharing"- serien var. Jan Kare ansvarlig for Konsernrevisjonens kompetanseplan.og var leder av arbeidsgruppen sam i fjor sommer la frem sin innstilling om "Konsernrevisjonens kompetansemal". I denne artikkelen redegj"r han for noen av de viktigste elementene i det som ble til Konsernrevisjonens na,vaerem,je, Kompetanse - et strategisk virkemiddel i K-Bank Urvikling av en egen kompetanseplan fo r Konsernrevisjonen ekr) var et viktig virkemiddel for a operasjonalisere avdelingens strategi. I 1998 ble det derfor nedsatt en arbeidsgruppe som fikk til oppgave a vurdere KRs organisering med tanke pa optimal ressursut- nyttelse. Dette innebar at arbeidsgruppen skulle vurdere om avdelingens ressurser og kompetanse vat tilpasset de oppgaver som KR er satt til a ivarera. I KRs strategidokument er kompetanse definert som var viktigste innsatsfaktor. Form:\.let med KRs Kompetansem:\.l er derfor a sikre at aile ansatte i KR kan: Planlegge. gjennomf0re og rapportere p:\.lagte oppgaver effektivt og pa en tilfredsstillende mate urvikle personlige egenskaper og holdninger som motiverer og skaper gode samarbeidsforhold. Balansering av kompetansekrav til de interne revisorene Et grunnleggende prinsipp i bankens ovetordnede Personal- og oppl:eringsstrategi er at den enkelte selv har hovedansvaret for sin egen urvikling. Dette prinsippet presiseres ogsa i KRs strategiplan. Basert pa tidligere erfaringer og forventninger til fremtiden, vii dette resultere i forskjellige utfordringer fo r hver enkelt ansatt. Kravene til kompetanse i KR vii endre seg i takt med urviklingen innen operasjonell revisjon og i finansmeringen generelt. Markedskreftene vii til enhver tid avgj0re hva som vii va::re av vesendig betydning for banken, mens KR selv har stor innvirkning pa hva vi innenfor grensene for operasjonell revisjon vil vekdegge. Alt vart arbeid skal imidlertid resultere i en nytteverdi for banken som er sterre enn den kostnad KR represenrerer. Utfordringen ligger spesielt i det a finne den rerte balansegangen mellom de kunnskaper, ferdigheter, holdninger og personlige egenskaper som er n0dvendig for at vi skal kunne 10se Yare oppgayer. Pa den ene siden skal vi V:Ere eksperter innen operasjonell revisjon. Pi den andre siden vet vi at for i kunne utf0re et tilfredsstillende arbeid er det like avgj0rende a ha tilstrekkelig kompetanse innen de forskjellige fagfeltene vi reviderer. Overordnede mal for kompetanse I KRs Strategiplan for , srar f0lgende: "Konsernrevisjonen b0r ha h0y generell kompetanse kombinert med spisskompetanse innen enkelte omriider. I perioder hvor manglende spisskompetanse blant de ansatte er et problem. rna man kunne hente slik kompetanse fra konsernet eller leie inn fra andre fagmilj0er. Revisjonsprosjektene rna da organiseres slik at en siluer kompetanseoverfering til de ansatte i Konsernrevisjonen. Med de arbeidsoppgaver INTERNREVISOREN 1' 01 S

6 Konsernrevisjonen har, vii kompetanse alltid vaere en knapphetsfaktor. Vi vil alltid stil. overfor utfordringen: Riktig kompetanse pa rett sted til rett tid." For at KR skal inneha den rette kompetanse fremover, skal aile nyansatte ha h0yere utdannelse (min. 3 arig utdannelse fra universitet eller h0yskole). I tillegg skal KR til enhver tid ha minimum 2 (av 20) ansatte med tilfredsstillende kompetanse pa finansiell revisjon. Kompetansemodellen KRs kompetansemodell besdr av 3 deler DEL I - Personlige egenskaper, ferdigheter og holdninger Personlige egenskaper, holdninger og ferdigheter For at medarbeiderne skal kunne utf0- re et tilfredsstillende arbeid, er det n0dvendig a ha de rette ferdigheter, holdninger og personlige egenskaper. Dette vil bidra til 0kt tillit og anseelse hos KRs oppdragsgivere og i de reviderte enheter. F01gende kompetansemal er definert a innga i denne vilctigste komponenten av kompetansemodeilen: + Lederadferd - basert pa bankens lederprinsipper + Lojalitet til banken - med vekt pa a errerleve eriske normer, arbeidsreglement og det a ta ansvar + Holdninger til andre - med veln pa a vise respekt for andre, v~re utadvendt, ha sosial intelligens, lojalitet mot kollegaer samt urvise service og hum0r + Samarbeidf selvstendighet - med veln pa vilje og evne til a samarbeide med andre, inneha prosjekt- lederevner, v~re selvstendig, v~re kreativ og I0sningsorientert, jobbe systematisk, v;;ere motivert, ta initiativ, ha analytisk legning og a v~re helhetsorientert + Fleksibilitet - med vekt pa evne og vilje til a takle forandringer, ta i bruk nye IT-verkt0Y, vaere mobil og reisevillig + Kommunikasjonfpresentasjonmed vekt pa skriftlig og muntlig norsk og engelsk samt m0teledelse + Struktur og orden med vekt pa evnen til a levere kvalitet til rett tid. DEL 2 - Revisjonskompetanse Revisjonskompetanse For at medarbeiderne skal kunne urf0- re et tilfredsstillende revisjonsarbeid, er det n0dvendig it ha god kompetanse innen operasjonell revisjon og KRs arbeidsmetodikk. Kjennskap til banken og dens regnskapssystem samt andre informasjonssystemer er ogsa viktig. I tillegg vii det vaere n0dvendig a kjenne til noen sentrale lover og regler. + Operasjonell revisjon. Her tenker vi oss kompetanse tilsvarende BIs kurs om "Operasjonell revisjon og administrativ kvalitetssikring", CISA pa ISflT-siden samt kompetanse som setter oss i stand til a gjennomf0re prosessrevisjoner. + Lover og regler. Her b0r vi kjenne til vesentlige deler av regnskapsloven, aksjeloven og finansieringsvirksomhetsloven.., 0konomiffinansflT. Forstil. bankens regnskapssystem. Prinsippene rundt bankens styringsparametere mht risikojustert 10nnsomhet, soliditetshav og CAD-regler er relevant.., KR kompetanse. Alle rna kjenne til KRs strategi og arbeidsmetodikk. + CBK kompetanse. Alle rna kjenne til CBKs strategi og konsernets handb0ker.., Informasjonssystemer. Relevant kompetanse for de fleste i KR vii v;;ere a kjenne til Kundesystemer, Infosenter og kontraktsarkiv.., Finansiell revisjon. Dette innebaerer a inneha en kompetanse som setter oss i stand til a forstil. valgt revisors arbeidsoppgaver og revisjonsansvar. K-Bank har fra 1992 outsourcet den finansielle revisjonen, og ekstern revisor bygger pa KRs arbeid. DEL 3 - Kompetanse innen konsernets virksomhetsomrader Kompetanse pa bankens kjernevirksomhet Det er lager kompetansekrav for medarbeidere som skal arbeide innen de ulike virksomhetsomrader i banken; heditt, innskudd, betalingsformidling, kapitalmarked, forsihing, treaslily, 0konomiffinans, IT. Det er ogsa laget krav til medarbeider som skal arbeide med mislighetsrevisjon, kontrollkomitesekretariat samt administrasjon. Skjematur Det er laget f01gende skjematur for st0rre i gjennomf0ringen av kompetanseprogrammet: + Kartlegging av den enkeltes kompetanse - kompetansemaling (et skjema). Status kompetanse i for hold til malene markeres med gt0nt = ok, gult = tiltak vurderes og t0dt = hever tiltak.., Kompetanseplan for den enkelte (et skjema). Kompetanseheving skjer ved deltagelse i eksterne kurs, 61NTERNREVISOREN 1 01

7 K-Skolen som er banken egen opp l",ringsfunksjon, eller imerne kurs i regi av KR. Skjemaet underskrives av leder og medarbeider errer avta Ite tiltak. + Oversiktsskjemaer for kompetanse i KR samlet (tre skjemaer). Dedikert til brule for Konsernrevisor. + Oversikt over K-Skolens tilbud (to skjemaer). Personellmessige konsekvenser I tilknytning til operasjonaliseringen av KRs strategi har utvildingen av nye kompetansekrav dannet grunnlaget for en omstillingsprosess. Instillingen fra arbeidsgruppen avdekket gap i forhold til kompetansemalene. I tillegg til at samtlige medarbeidere ble enige om sine kompetansetiltak ble det n0dvendig a rekrurrere kompetanse som KR tidligere ild,e hadde hart. Eksempler pa derre er innenfor omradene jus og matematikk. KRs strategi la opp til en flatere organisering og s(0rre ansvar for hver enkelr revisor. En forursetning for en slik strategi var at hver enkelt revisor hadde en h"yere komperanse. Konsernrevisor har da ogsa sagt at han er tilfreds med denne omfattende komperansehevingsprosessen. Vi er bedre ruster til a m0te fremridens u( fordringer errer denne runden. Fra prosjekt til operativ drift For a sikre vedlikehold og utvikling av KRs kompetanse, er det opprettet et parmanent urvalg med ansvar for komperanseutvilding i KR. Det er ogsa opprerret en permanem sryringsgruppe som har ansvaret for a sikre at KR til enhver tid har en effekriv metodikk for operasjonell revisjon i K Bank. Kontinuerlige endringskrav - ml er det NORDEA som gjelder Fra ble K-Bank en del av Nordea, det st0fste finanskonsernet i Norden. Vi nevner kort naen utfordringer vi som fagmilj0 vil m0te; + Engelsk som felles arbeidssprak. + Felles kompetansemaling over fire land - stildwrd CIA / CISA som de relevante internasjonale sertifiseringsordningene. Urarbeidelsen av en Common Competency Plan gjenstiir. + Felles arbeidsmetodikk basert pa lias og ISACAs standarder og retningslinjer. Derre er nedfelr i det nye felles Audit Charter som Nordeas sryre har vedtarr. Derre sriller igjen krav til hver enkelt revisor om a v"'re oppdatert mhp den internasjonale utviklingen i fager. + Kompetanse pa mellommenneskelige forhold blir enda viktigere nar vi skal skal treld,e det beste ur av kulturelle ulikheter i fire land. INTERNREVISOREN

8 Ekstern og intern revisjon Av Harald J.,gtnes Statsautorisert revisor HARALD JJEGTNES er konserndirekt.. r i DnB-konser-net med ansvar for den interne revisjonsfunksjonen (DnS Konsernrevisjonen). Han har ti ars praksis sam partner i et revisjons.. selskap. har vaert gjesteforeleser i revisjon ved NHH i mange ar og medlem av Regnskapsutvalget ved Oslo S.. rs i perioden lnnledning Oct er flere likhetcr eon bcrcgnelsen i en sammenlikning mclloill ekstern revisor og intern revisor. P;1 den anncn side er det mange forhold som skiller ogsa. Sagt pa en nae unyanserr mare er intern revisors hovedoppgave ofre a vurdere om driften i et selskap er under betryggende stydng og kontroll i samsvar med loverlforskrifter og vedtatte strategierlretningslinjer, mens ekstern revisors hovedoppgave er a vurdere om den samme driftcn i det vesenrlige blir presenrcrr i regnskapcr i samsvar med lov og god regnskapsskikk. Intern revisjon cr en vesentlig del av virksomhetens torale opplegg for sryring og kontroll i vid forstand (corporate governance), mens ekstern revisjon er en utenforsraende og uavhengig funksjon som skal ivareta regnskapsbrukernes interesser. Som yrke har nok den eksterne revisor hatt st0rre anseelse og bedre mulighet til rekruttering ved h0yskolene, kanskje pa grunn av utdannelseskrav og eksamenskrav for a fa bevilling, titrel og status som henholdsvis statsautorisert og registrert revisor. Den interne revisor har imidlertid en st0rre bredde i sine faste oppgaver, og yrket byr pa store faglige utfordringer og utvildingsmuligheter. Det vil ha formodningen for seg at det vii va:re bade mulig, tryggere og kostnadsbesparende for en virksomhet om de to grupper av revisorer samarbeider. Denne artikkelen vii df0fte grunnlaget for et slikr mulig samarbeid. Fordi ekstern revisors oppgaver og ansvar er lovregulert og retningslinjer for arbeidet er gitt i standarder for god revisjonskikk som rna overholdes, vii samarbeidet bli betraktet fra ekstern revisors utgangspunlet og med revisjonsstandardene som ramme. Henvisninger er fra tid til annen gjort til RS som star for Revisjonsstandarder vedtatr av Den norske Revisorforening. 2. Ulike formal for de to typer revisjon Formalet rued ekstern revisjon av et arsregnskap og en arsberetning er a gj0re ekstern revisor i stand til a avgi en utralelse om hvorvidt arsregnskapet og arsberetningen i det air vesendige er utarbeidet i overensstemmelse med loy og god regnskapsskikk (heretter ogsa benevnt finansiell revisjon). Ekstern revisors uttalelse tar sikte pa a gi arsregnskapet og arsberetningen 0kt troverdighet. I till egg shl ekstern revisor i henhold til revisorlovens 5-1 vurdere om den revisjonspliktige har innrettet regnskapsregistrering og dokumentasjon i samsvar med lov og forskrift, og se etter at formuesforvaltningen er betryggende med forsvarlig kontroll. Gjennom sitr arbeid skal ekstern revisor bidra til a forebygge og avdeld(e misligheter og feil. Formatet med intern revisjon vi! avhenge av oppdragsgiverens behov. Inrernrevisjonens hovedoppgave vii normalt v<ere operasjonell revisjon (revisjon av selskapets kontroll og styring med virksomheten i vid forstand). Noen interne revisorer har ogsa finansiell revisjon av regnskaper og arsberetning sam en av sine oppgaver, mens andre ikke har det. Det er derfor ikke en allmenngyldig beskrivelse av formal og oppgaver som passer for inrernrevisjon i aile selskaper og organisasjoner. Arbeidsutvalget i Revisjonssjef1uetsen har i en anbefalt instruks fra juni 2000 for leder for internrevisjonen i finansforetak beskrevet formaier slik: «Internrevisjonen skal pa vegne av sryret og daglig leder se etter hvorvidt det i finansforetaket er etablert og gjennomf0res en tilstreklcelig og effekriv intern kontroll. Internrevisjonen skal uavhengig og objektivt avgi uttalelser og gi rad for a bidra til forbedringer og 0ke verdiskapningen i virksomheten. Dette inneb<erer at internrevisjonen blant annet skal vurdere om risikoidentifisering og etablerte sryringsprosesser effektivt bidrar til a styrke finansforetakets evne til maloppnaelse.» Formalet med finansiell revisjon vil normalt vcere det samme for de to ryper revisorer, men bakgrunnen for oppgaven vil v<ere forskjellig. Ekstern revisor utf0rer oppgaven med utgangspunkt i et lovpalegg om at det rna velges en ekstern uavhengig revisor som skal utrale seg am arsregnskapet og arsberetningen overfor mange brukergrupper utenfor den regnskapspliktiges organisasjon. Intern revisor skal normalt bidra til a sikre at sryret og daglig leder oppfyller sitt ansvar med a avlegge kvartalsregnskap, arsregnskap og 81NTERNREVISOREN 1 01

9 arsberetning i samsvar med b0rskrav, lover ag forskrifter. Selv om bakgrunnen for oppgaven er forskjellig, vii formi'tler nas pa samme mate, og det bor ikl{e va::re grunnlag for star uenighet om kanklusjanene basert pa samme faktagrunnlag. Det vii derfar normalt va::re stare effektivitetsgevinster a heme ved en kaardinert gjennomf0fing av revisjonsarbeidet. Det er flere arbeidsoppgaver som samler, enn sam skiller de to gruppene revisorer. Sam det fremgar avenfor, har interne revisarer et spesielt ansvar far a vurdere am aktiviteter ag drift er i samsvar med gadkjente strategier og retningslinjer, nae ekstern revisor ikl{e har. Pa den annen side er det kun ekstern revisor som kan avgi revisjonsberetning. Ekstern revisor avgir en offenrlig profesjonell urralelse gjennom sin revisjonsberetning og har et profesjanelt ansvar for denne urad, mens intern revisor er ansatt og har ild{e noe sa::rskilt ansvar urad. I Danmark hvor det er lovbefalt intern revisjon i st0rre finansinstitusjoner, rna imidlertid intern revisor ogsa avgi revisjonsberetning pa Iik linje og likelydende med ekstern revisor. Synbar uayhengigher (independence in appearance) er en forskjell mellom de to revisorgruppene. Ekstern revisor velges av generalforsamlingen i aksjeselskaper, mens intern revisor ansettes av sryret euer daglig leder. Pa den annen side har intern revisor oppsige1sesvern mot usaklige oppsigelser, mens ny ekstern revisor kan velges uten begrunnelse, selv om revisor da har anledning til a redegj0re for sitt syn pa skiftet. Den reelie uavhengigheten kan, i konkrere rilfeller, y;ere lik for begge grupper. Den eksterne revisor skal vurdere om hendelser og forhold blir rapporrerr i forhold til er srandardiserr regelverk (loy og god regnskapsskikk), og maren arbeider urferes pa skal ogsa va::re i samsvar med srandarder (god revisjonsskikk). Den interne revisor har for flere av sine oppga- 3. Sammenlignende oversikt over arbeidsoppgaver (ansvarsomrader), EI<stern revisors hovedoppgaver I Intern revisors hovedoppgaver (hentet fra Revisjonssjefkretsens I 1 ~~~~~~~~~~~~~~an~b~e~fru~t=e,"i~n~st~rw~<s~)~~~~~~~_1 Vurdere arsregnskap og arsberetning II,: FinansieH revisjon ihr god revisjonskild, og i samarbeid med lovbefalt ~~ ~~ _ ~ rev!.q~ -~ Vurdere om regnskapsregistrering og [' Vurdere overholdelse av relevanre dokumentasjon er i samsvar med lov lover og forskrifter samt oppf01ging og forskrifter, av eventuehe vedtak og pihegg fra.....~ LcLet offe..rrrlige._... Se errer at det er erablert berryggende I Se etter om der er etablert og gjenformuesforvaltning med forsvarlig nomf0rt en tilsrrekkelig og effektiv kontrah intern konrrah, herunder risikoidenrifisering og effektive styrings- I p!q~esser, Bidra ril 0 forebygge og avdekke I Bidra til a forebygge og evenruelr. Inislighererogfeil avdekkeil1isligherer... i Vurdere om aktiviteter er i samsvar med vedrekter, rerningslinjer og Avgirevisjonsberetning _ Papeke feil og mangler til Iedelsen ~!_~~~<;g!_~x_ Avgi urralelser og rad for a bidra til forbedringer og oke verdiskapningen i virksomheten... ver innenfor operasjonell revisjon ikke noen formelle standarder a male sine observasjoner mot og rna derfor ta ansvar for a gj0re sine vurderinger etter beste skj0nn baserr pa kompetanse, erfacing, kunnskap om prinsipper og (ibest practice)}. Ekstern revisor har, etter hvert som revisjon er bett betraktet som en standardisert handeisvare, flyrtet mer av sitt fokus over pa a seige radgivning. Etter hvert er ogsa internrevisjon internasjonalt i bevegeise over mot 0nske om en mer radgivningsorientert funksjon. Idette ligger det en fare for at begge revisorgruppene prioriterer radgivningsfunksjonen Foran konrrollfunksjonen, fordi gode dd er mer erterspurt og verdsatt av ledelsen i seiskapene enn kritiske merknader. Kjernen i den samlede interne og eksterne revisjonsfunksjonen er imidlertid a kontrollere aktivitetene som er under ledelsens ansvar og den regnskapsmessige presentasjonen av disse aktiviteter. Myndighetene og andre interessegrupper vii kunne ha synspunkrer po om konrrollfunksjonene, po sikr, totalt sett blir godt nok ivaretatt. Typisk vii slike sp0rsmiil komme opp ril debatt etter enkeithendelser som karakteciseres som skandaler. «Hvor var revisor?» Et balansert omfang radgivning som en naturlig forlengelse av, og basert pa, revisors srasted, vii normalt alltid skape merverdi for selskapene. Det er ofte revisors personlige komperanse og innsikt, kombinerr med tilliren til revisors objekrivitet, som danner grunnlaget for ledelsens ettersp0rsel errer cad. Ekstern revisor har bade i sin revisorcolle og i sin radgivningsrolle fordelen av a ha kunnskap og innsikr fra mange bedrifrer og bransjer nar han sl(ol gi dd og veiledning til sin Iclient. Store revisjonsselskaper har en kritisk masse som gir eksrern revisor muligher til a utvikle faglig eksperrkompetanse pa mange omrader og godt urover det en intern revisor normalt har anledning til. Intern revisor har pa sin side en grundig dybdekunnskap om hvordan egen virksomhet fakrisk fungerer, og kjenner kvaliteten av bade menneskelige ressurser og systemer. I fellesskap har de to grupper revisorer et meget godt fundament for bade a kontrollere en virksomhet og a kunne gi verdifulle innspill ril styre og ledelse. INTERNflEVISOREN

10 4. Ekstern revisors innledende vurdering av internrevisjonen Uavhengig av hvilken modell for samarbeid, evenruelt ikke-samarbeid, ekstern revisor vii velge, bar han foreta en generell kardegging og vurdering av inrernrevisjonens aktiviteter. Internrevisjon forekommer hyppigst i st0rre virksomheter, og en viss karrlegging vii vrere narurlig ur fra RS Kunnskap om forerakers virksomher. Av RS Vurdering av internrevisjonens arbeid pkt 2 fremgar det: «Den eksterne revisor rna vurdere inrernrevisjonsakriviteter og hvilken effekt disse har, hvis noen, pa eksternrevisjonens handlinger.» I innledningen til RS 610 papekes det at prosedyrene i standarden kun gjelder internrevisjonsaktiviteter som er relevante for revisjon av regnskapet, men at standarden ikke omfatter de tilfeller hvor intern revisor bisrar ekstern revisor med urfarelse av eksterne revisjonshandlinger. En normal forrolkning av dette vii innebrere at standarden kun gjelder for de tilfeller ekstern revisor vii bygge pa internrevisjonen som en del av virksomhetens interne konrroll (som er relevant for regnskapet), men at standarden ild<e dekker der forhold ar interntevisjonen selv utfarer finansiell revisjon og elestern revisor velger a inldudere disse revisjonshandlinger og denne dokumentasjonen som en del av sin egen revisjon. RS 610 vil i sa fall vrere en kunstig begrenset og lite anvendelig standard. Den amerikanske standarden SAS 65 omfatter imidlertid ogsa internrevisjonens direkte assistanse til ekstern revisor og har en mer narurlig innfallsvinkel til et samarbeid. Pc;dgende forhold ved internrevisjonen bar etter min mening kartlegges og vurderes som en del av ekstern revisors vurdering av det generelle kontrollmiljoet i virksomheten: 1. FUIl/"joll og oppgaver Da ulike internrevisjoner kan ha forskjellige oppgaver, et det viktig a fastsla hvilken rolle/funksjon, atbeidsoppgaver og ansvar avde1ingen hal'. 2.!(ompetanse og ressurser Formell og reell kompetanse, erfaring og bemanning bar vurderes i forhold til arbeidsoppgavene, samt virksomhetensl konsernets smrrelse og kompleksiter. 3. Obje/,tivitet og integritet Inrernrevisjonens reelle objektivitet og lederens inregritet b0r vurderes. Organisarorisk plassering kan vrere et moment, men den faktiske ut0velse av funksjonen, og da spesielt i vanskelige situasjoner, vii v<ere mer avgj0rende. 4. Arbeidsmetodiklt, dolwmentasjon og rapportering Jo mer sannsynlig det er at ekstern revisor vii velge a tillegge internrevisjonen vcin i sin egen revisjonsplan, eventuelt a ha et mer omfattende samarbeid, dess viktigere blir det a vurdere om internrevisjonsarbeidet er profesjonelt tilrettelagt og gjennomf0rt, og hvorvidt det ogsa er i samsvar med kravene til god revisjonsskikk. 5. Ekstern revisors valg av angrepsvinl<el i forhold til internrevisjon ved revisjon av regnskap og arsberetning Basert pa sine innledende vurderinger. kan ekstern revisor velge mellom ulike modeller for sitt forhold til internrevisjon. Jeg vil i der f0lgende beskrive noen alternative modeller som kan vrere alnuelle. I ptaksis vil fotskjellige angrepsvinkler kunne velges for ulike revisjonsomrader og se1skaper i et konsern. 1. Ikke tillegge inrernrevisjonen noen betydning 2. Innhente synspunkter fra inrernrevisjonen pa risikovurderinger 3. Betrakte internrevisjonen som en del av virksomhetens totalsystem for intern konrroll 4. Direkte assistanse fra internrevisjonen ved planlegging, risikovurderinget og resting av intern konrroll 5. Fullt samarbeid med og direkte assistanse fra inrernrevisjon pa alle omrader 5.1 Ild{e tlllegge internrevisjonen noen betydning Etter a ha foretatt generelle vurderinger av internrevisjonsaktivitene, kan ekstern revisors vurdering vrere at det er mest effektivt a urf0re en normal revisjon uten hensyn til tilstedevrerelsen av inrernrevisjonen. Dette rna ekstern revisor ha full anledning til. Hvis dette valget ikke inncbrererer den mest effekrive totallasningen for selskapet, rna ekstern revisor vrere forberedt pa at andre eksterne revisorer kan bli bedt om a gi sin vurdering. 5.2 Innhente synspunkter fra internrevisjonen pa risilmvurderinger En internrevisjonsavdeling vii i de aller fleste tilfeller ha meget god innsikt i og forsraelse for den virksomhet som drives og hvilke risiki som eksisterer bade for dtiften og fot tengskapsavleggelsen. Ekstern tevisor b0t detfor i alle tilfeller gjennomga internrevisjonens risikovurderinger og planer og evenruelt be om synspunkter pa egne risikovurderinger og revisjonsplaner. 5.3 Betrakte internrevisjonen som en del av virksomhetens totalsystem for intern kontroll I henhold til RS Risikovurdering og intern kontroll- rna ekstern revisor vurdere iboende risiko og konrrollrisiko for vesenrlige regnskapsposter og transaksjonstyper og evenruelt teste effekriviteten av kontroller for a bestemme nivaet pa oppdagelsesrisikoen gitt en bestemt revisjonsrisiko. Uttrykt pa en annen mate kan vurdering og testing av en effektiv intern kontroll redusere det n0dvendige omfanget av ekstern revisors substanskontroller. Sammenhengen umykkes ofte slik: Revisjonsrisiko = Iboende risiko x kontrollrisiko x oppdagelsesrisiko Ekstern revisor rna i forhold til internrevisjonen vurdere og teste am avdelingens eksistens, funksjon og arbeid reduserer iboende risiko og kontrollrisiko. Det kan vrere mye som taler for at en slik antage1- se har noe for seg, men dette rna i tilfelle konkret vurderes og testes av ekstern revisor. Hvorvidt arbeidsmengden med a vurdere og teste effekten av inrernrevisjonen forsvarer den besparelsen som lean oppnas i om fan get av substanskontroller, er en profesjonell effektivitetsvurdering som ekstern revisor rna foreta. En gjennomgang av internrevisjonens rapporter og linjeiedelsens svar pa disse b0r uansett foretas, for a fa kunnskap om hvilke risiki og svaldleter internrevisjonen mener er til stede i virksomheten. Ekstern revisor rna vurdere om de papekte svakheter kan fa konsekvens for omfanget av hans substanskontroller. I (II INTEI',HR[VISOREN 1'01

11 5.4 Direkte assistanse fra internrevisjonen ved planlegging, risikovurderinger og testing av intern kontroll De fleste internrevisjonsavdelinger har operasjonell revisjon som en hovedoppgave. Dette innebrerer normalt at internrevisjonen blant annet foretar vurderinger av iboende risiko, konrrollrisiko og tester gjennomforingen og effektiviteten i virksomhetens internkontroll, herunder risikosryring og andre sryringssystemer. Ekstern revisor vii matte vurdere om internrevisjonens vurdering og testing ogsa omfatter omrader, systemer og prosedyrer som pavirker risikoen ved regnskapsposter og rransaksjoner. I praksis vii det vrere mer hensikrsmessig at det innledes et planmessig samarbeid mellom ekstern revisor og internrevisjon med det siktemal at internrevisjonens arbeid tilrettelegges pa en slik mate at ekstern revisor kan benytte dokumentasjonen fra dette som sitt eget arbeid. Derved vii man normalt kunne skape en effektiviseringsgevinsr. Ekstern revisor og internrevisjon bo[ da bli faglig enige om risikovurderingene, hvilke revisjonshandlinger som skal utfores, og hvordan disse skal dokumenteres. Ekstern revisor rna, for a kunne benytte denne samarbeidsmodellen, i urgangspunktet ha konkludeft positivt pa sine innledende vurderinger av inrernrevisjonens kompetanse, objektivitet, arbeidsmetodikk og dokumentasjon. Fra ekstern revisors side gjenstar det i tillegg en kvalitetssikring av det arbeid og de konkiusjoner som internrevisjonen fremkommer med. Ekstern revisor vii selv matte vurdere hvilken effekt konklusjonene kan ha for omf.: mget av substanskontroller. I finansforetak vii mange av de daglige rutinene i virksomheten som er gjenstand for operasjonell revisjon, mer eiler mindre automatisk lede til en regnskapsmessig regisrrering. Eeks.: motta et innskudd = registrere en forpliktelse i baiansen, betale ur et Ian = registrere en fordring i balansen. Internrevisjonens vurdering og testing av forretningsprosesser i slike virksomheter vii derfor i stor urstrekning kul1i1e vrere dekkende for den vurdering og testing som vii matte gjores for finansiell revisjon av regnskap i henhold til RS 400. Med Iitt planlegging og tilrettelegging kan ogsa ekstern revisors krav til dokumentasjon og indeksering tilfredsstilles. 5.5 Fullt samarbeid med og direkte assistanse fra internrevisjon pa alle omrader Som nevnt inniedningsvis har en del internrevisjonsavdelinger ogsa finansiell revisjon som en av sine oppgaver. I en undersokelse i mai 2000 blanr 14 st0rre bankerlfinanskonsern i Norden, utforte internrevisjonen finansiell revisjon i 12 av bankene. I slike tilfeller vii normalt internrevisjonen ha bade tilstrekkelig kompetanse og god nok arbeidsmerodikk til a urfore en fullverdig finansiell revisjon. Den mest profesjonelle og effekrive 10sningen vii derfor v;:ere et fullt samarbeid mellom ekstern revisor og internrevisjon. Det forutsettes da at ekstern revisor har dokumentert en positiv konklusjon pa sine innledende vurderinger av inrernrevisjonen. Der er imidlertid vikrig a merke seg at intern revisor bare er ansvarlig overfor sin interne oppdragsgiver, mens ekstern revisor har et profesjoneh ansvar urad overfor brukerne av den revisjonsberemingen som han utsteder. Ekstern revisor rna derfor ta et profesjonelt ansvar for samarbeidet med internrevisjonen, pa tilncermet samme mate som han har ansvar for arbeid urfoft av egne medarbeidere. Internrevisjonens finansielle revisjon rna SelVf01gelig ogsa urf0fes i henhold til god revisjonsskiklc nar det gjelder planlegging, vurdering og testing av intern kontroll, innhenting av revisjonsbevis, faglige konldusjoner, urarbeidelse og oppbevaring av dokumentasjon og intern kvalitetssikring av arbeider. Ekstern revisors arbeidsmengde kunne i teorien begrenses til en minimal kvalitetssikring dersom internrevisjonen i utgangspunktet hadde gjennomfort en fullt ut tilfredsstillende flnansiell revisjon i henhold til god revisjonsskikk. I det praktiske liv fungerer ikke samarbeidet slik at ekstern revisor kommer til et pent dekket bordo Ekstern revisor rna bidra berydelig i prosessen, og hans hovedprioriteringer i et fullr samarbeid vii, avhengig av de konkrete forhold, kunne v<ere: o Delta i planleggingen ved arets begynnelse og godkjenne internrevisjonens risikovurderinger og planer o Gjennomga, og i l10dvendig grad kvalitetssikre, resulratet av vurdering og testing av intern kontroll gjennom aret o Delta i revisjon av kvartalsregnskaper gjennom,ieet, med hovedvekt pa skjonnsmessig estimerte og risikofylte poster o Fastsette krav til omfang av substanskontroller innenfor ulike regnskapsposter, divisjoner og selskaper i konsernet, basert pa resultatet av vurdering av intern kontroil, revisjon av kvartaisregnskaper og ekstern revisors fastsettelse av vesentlighetsgtenser o Gjennomga og vurdere regnskapsprinsipper og toikningssp0rsmal relatert til prinsippbeskrivelsene o Delta i felies revisjonsteam med internrevisjonen i arsoppgjoret med vekt pa skjonnsmessig estimerte og risikofylte poster, eventuelt, eiler i tillegg, gj0re egne selvstendige tester o Delta i felles revisjon av konsolideringen, arsregnskap og arsbererning, eventuelt gj0re egen uavhengig revisjon o Kvalitetssikre konldusjoner og dokumenrasjon fra internrevisjonens og eget arbeid og utarbeide revisjonsberetning o Bidra til internrevisjonens, eventuelt et felles, brev tilledelsen med oppsummering av erfaringer og papekninger fra regnskapsavslutningen Hovedryngden av dokumentasjonen vii normalt oppbevares hos internrevisjonen, men ekstern revisor vii matre ha en egen dokumentasjon som viser totaliteten i revisjonsarbeidet og hvordan konldusjonene fremkommer. 6. Ekstern revisors 0vrige oppgaver Urover gjennomforing av den finansielle revisjonen og avgivelse av revisjonsberetning, har ekstern revisor gjennom Iovgivningen en del spesifikt pihagte oppgaver, blant an net a: o Vurdere om regnskapsregistrering og dokumentasjon er i samsvar med loy og forskrifter o Se etter at det er etablert betryggende formuesforvaltning med forsvarlig kontroll o Bidra til a forebygge og avdekke misligheter og feil o Papeke feil og mangler tilledelsen For aile ovennevnte oppgaver er det et generelr trekk at inrernrevisjonen har tilsvarende oppgaver i sin instruks, og disse urf0res med et omfang som lange overgar INTERNREVISOREN 1-01 II

12 det ekstern revisor normalt villegge til grunn i sitt arbeid. Jeg kan for eksempel nevne at Konsernrevisjonen i DnB i 10- pet av 1999 avga ca 130 journalf0tte formelle revisjonsrapporter og revisjonsnotater tillinjeledelsen i ulike deler av konsernet, og at konsernsjef, sryret, konrrollkomin~ og ekstern revisor fikk manedlige sammendragsoversikter over aile rapporter med konklusjoner i till egg til halvarlige totalrapporcer. Normalt vii det da for ekstern revisor v<ere lite igjen a papeke som ikke allerede er kommunisert til ledelse og sryret. Det rna derfor v<ere tilstrekkelig for ekstern revisors ivaretalcelse av sitt ansvar at han lean dokumenrere at oppgavene blir tilfredsstillende utf0tt av internrevisjonen. I de tilfeller ekstern revisor ikke er tilfreds med kvaliteten eller omfanget av internrevisjonens arbeid eller rapportering, rna han vurdere a utfere egne handlinger i tillegg. 7. Prinsipper og retningslinjer for et fullt samarbeid Jeg vil i det f0lgende beskrive de kj0reregler (prinsipper og retningslinjer) som jeg mener ber v<ere til stede for at et fuht samarbeid mellom ekstern revisor og internrevisjon skal kunne fungere best mulig. Man kan gjerne nedfelle kj0reregler pit et stykke papir, men de b0r etter min oppfatning ikke formaliseres som en avtale som kan forsras slik at det legges beskrankninger pa elestern revisors handlefrihet. Mine oppfatninger er utviklet gjennom atte ar som ieder for internrevisjonen i DnB-konsernet og i samarbeid med statsautorisert revisor Finn Berg Jacobsen i Atthur Andersen & Co. DnBkonsernet hadde ved inngangen til ar 2000 en bokf0tt balanse pit ca NOK 330 MRD og en forvaltet totalkapital (inld. forsikrings- og fondsmidler) pa ca NOK 430 MRD. Konsernrevisjonen i DnB besto pa samme tidspunkt av ca 45 ansatte, hvorav syv srarsauroriserte revisorer. 7.1 Felles oppgaver o Begge parter rna gj0re seg kjenr med og erkjenne den annen parts oppgaver og ansvar. o Begge parter rna holde en apen kommunikasjon og samarbeidslinje og st0tte hverandre sa langt som mulig. o Dec etableres enighet om revisjonsmetodikk og arbeidspapirer, en felles plan for fremdriften av revisjonsarbeidet gjen- nom aret, og det avholdes felies meter for diskusjon og klarering av faglige spersmal. o Ved faglig uenighet skal oppdtagsvansvarlige for begge patter f0rst s0ke a komme til enighet. Eventuell uenighet skal behandles pa en profesjonell miice. o I perioder med urilstrekkelige ressllfser hos den ene part vii den annen part sa langt praktisk mulig reallokl<ere andre ressurser for a deldce behovet. o Inrernrevisjonens notater og rap porter til konsernet er ogsa a anse som en del av ekstern revisors kommunikasjon med ledelsen dersom ikke annet presiseres fra ekstern revisors side. o Samordning av synspunkter og vurderinger fer meter i revisjonskomireen som skal behandle kvarcalsregnskaper og arsregnskap. 7.2 Oppgaver som spesielt pahviler internrevisjonen o Gj0te seg kjent med de lover, forsktifter og revisjonsstandarder som regulerer ekstern revisors arbeid. o S0rge for reell uavhengighet mellom interne revisorer og de som blir revidert. o Serge for at intern revisorer tar tilstrekkelig oppla::ring og kompetanse i regnskapsspersmal, skattespersmal og revisjonsstandarder. o Serge for at internr revisjonsarbeid overholder kravene til god revisjonsslcikk, herunder at det foretas tilsrrekkelig kvalitetssikring. o Sende utkast til arlige operasjonelle revisjonsplaner til ekstern revisor for uttalelse og finansielle revisjonsplaner for godkjennelse. Hensynta alle krav fra ekstern revisor. o Sende ekstern revisor manedlige oversikter over revisjonsrapporter og urkast til halvarlige revisjonsrapporter til styret og regnskapskommenrarer rilledelse/revisjonskomite for kommentarer. o Gjere aile vesentlige notater og rapporter tilgjengelig for ekstern revisor. (Spesielt viktige notater og rapporter sendes umiddelbart i kopi til ekstem revisor.) o Serge for en apen kommunikasjon og uoppfordret informere eksrern revisor om forhold som pavirker ekstern revisors oppgaver og ansvar. Spesielt skal internrevisjonen identifisere og legge frem for diskusjon med ekstern revisor alle vesentlige forhold relatert til regnskapsavleggelse. 7.3 Oppgaver som spesielt pahviler ekstern revisor o Gj0re seg kjent med de instrukser sam regulerer internrevisjonens arbeid og ansvar. D Gjennomga rapporter sam internrevisjonen avlegger. o Teste kvaliteten av internrevisjonens arbeid sam relaterer seg til eksrern revisors formal, og gi tilbakemelding pa forbedringsomrader med forslag til10sninger. Spesielt skal internrevisjonen varsles om eventuelle omrader hvor ekstern revisor finner a matte foreta utvidete tester av grunnlagsdokumentasjon. o Stille ril disposisjon merodikk og revisjonsverkt0y sam kan V<Ere relevant for internrevisjonen, og gi informasjon om inrernasjonal «Best practice» pa relevance omrader. o Bidra med tilbud om n0dvendig opphcring av internrevisjonens personale. D Konferere med internrevisjonen f0f brev skal sen des et selskap i konserner, og sende kopi av aile brev, rapporter 0.1. til internrevisjonen. o Konferere med internrevisjonen dersom man biir forespurt om spesialoppdrag/konsulentoppdtag i konsernet. 8. Internrevisjonens fordeler ved et samarbeid Denne artild<.elen har beskrevet samarbeid sett fra ekstern revisors srasted, men med en intern revisors eyne. Det ville ogsa kunne shives mye om samarbeid sett fra internrevisjonens srasted. Kort oppsummert oppfatter jeg hovedfordelene med et fullt samarbeid sett fra internrevisjonens stasted a v<ere: o Det er faglig utviklende og motiverende a samarbeide med dylnige eksterne re Visorer. o En far tilbakemeldinger og riid av bade faglig, arbeidsmessig, organisatorisk og kommunikasjonsmessig art. o Det er trygghetsskapende ii ha en lcvalitetssikringsinstans i ryggen som har noe st0rre avstand til problemstillingene enn en selv. o Ekstern revisor kan komplettere komperanse pa omrader hvor internrevisjonen ild<.e er like sterkt bemannet til alle rider, og med ekspertkompetanse som internrevisjonen ikke har tilgang til 12 INTEp.~mEVISOp.[i'l 1 01

13 Kredittilsynet: ~tsetting ay mterne revlsjonsfunksjoner til den eksterne revisor ikke lovlig Kredittilsynet er helt klar i sin oppfatning. Ett og samme revisjonsselskap kan ikke foresta sa vel ekstern som internrevisjon i samme selskap. Dette sier Kredittilsynet i brev (februar 200 I) pa tilsvar til en advokat. Dette gjelder ved full utsetting eller ved utsetting av en S[0rre andel av inrernrevisjonsarbeidet, og selv om ansvaret for internrevisjonen fansatt ivaretas av et medlem av ledelsen. Ogsil. uavhengige evalueringer og kontrollhandlinger vedt0rende den interne kontroll foreratt over tid, rammes. Kredittilsyners syn er at ursetting av internrevisjonsfunksjonen til eksrern revisor er i strid med revisorloven 4-5 annet ledd: "Revisor kan ikke yte tjenester som h0rer inn under den revisjonspliktiges egne ledelse- og kontrolloppgaver". Det er videre Kredittilsynets mening at ekstern revisors ivaretagelse av internrevisjonen er uforenelig med revisoroppgaver Ofr. revisorlovens 5-1, an net ledd) og at den diskusjonen som hat va:.rtl er i seg selv er av en karal<ter som tilsier at den generelle bestemmelsen i 4-5 f0rste ledd kommer til anvendelse (er egnet til..... il. reise tvil om revisors uavhengighet og objektivitet). Utdrag fra Kredittilsynets brev: Det vises til brev av , hvor det sp0rres om ert og samme revisjonsselskap lean Foresta sa vel ekstern som internrevisjon i en sparebank. Kredittilsynets syn er at utsetting av internrevisjonsfunksjonen til ekstern revisor er i srrid med revisorloven 4-5 annet ledd som lyder: "Revisor kan ild,e yte tjenester sam horer ill11 under den revisjollspfiktiges egne ledeises- og kontrolloppgaver". Den nye revisorloven legger st0rre vekt pa den valgte revisors uavhengighet enn tidligere lovgivning. Ifolge lovens 4-5 an net ledd kan ild<e revisor yte tjenester som 110rer inn under den revisjonspliktiges egne ledelses- og kontrolloppgaver. Intern revisjon er en slik oppgave. Bestemmelsene gjelder generelt, ild<e bare i forhold til sparebanker. Kredittilsynet legger til grunn at internrevisjon er en del av institusjonens internkontroll, og ivaretar foretakets eget behov for systematisert overvaking av rudner, systemer og produksjonsprosesser. Internrevisjon er en funksjon som 10pende forsyner led else og styre med vurderinger og analyser som gar inn sam del av premissene for ledelsens scyring og kontroll med foretaket. Videre har internrevisjon preg av a v< re en permanent funksjon som scyre ogl eller ledelse velger it etablere som ledd i sin oppf0lging av virksomheten. Det f0lger blant annet av den amerikanske utredningen om internkontroll " Internal Control - An Integrated Framework" (COSO-rapparten), at internrevisjon er en viktig del av en av internkonrrollens fern komponenter. Ekstern revisors ivareragelse av internrevisjonsoppgaver rna anses som ddgivning, da dette er tje- INTERHRtvl$OREhl

14 nester som faller menfor det som ellers er del av revisjonens innhold jfr. revisorloven 5-1 og 5-2. Det er ogsa slik at dette skiller seg fra andre typer av radgivningstjenester, fcrdi internrevisjonsfunksjonen er en permanent og integrert del av institusjonens internkontroll. Det er videre Kredittilsynets mening at eksrern revisors ivaretagelse av interllrevisjonen er uforenlig med revisors oppgaver, jfr. revisorloven 5-1 annet ledd hvor det fremgar: 4-5 f0rste ledd kommer til anvendelse: ''Revisor som reviderer arsregnsleap for revisjanspliluig kan ikl?e ut/ore rtidgivnings- eller andre tjenester for den revisjanspliktige, dersam dette er egnet til ti pavirlee ella reise wilom revisors uavhengighet ag abjektivitet". Det rna antas at ekstern revisors ivaretagelse av internrevisjonsfunksjonen n er egnet til... a reise tvil om revisors uavhengighet og objektivitet". av ekstern revisor, kan etter Kredittilsynets vurdering de samme innvendinger reises i forhold til ekstern revisors uavhengighet sam redegjorr for over, og kan av den grunn ogsa vrere egnet til a reise tvil am revisors uavhengighet. Det legges derfor til grunn at ekstern revisors bistand ikke rna va:re vesenrlig i forhold til de totale internrevisjonsressurser. Uansert rna det kunne antas, at hvis revisor srar for det meste av internrevisjonen, vii dette faktisk inneba:re at revisor ivaretar internrevisjonen og har den reelle styring og innflyrelse pa innretning og gjennomf0ringen av internrevisjonen. Kredittilsynet er siiledes av den oppfatning at ekstern revisor kan utf0re internrevisjon pa oppdrag fra den revisjonspliktiges internrevisjonsfunksjon, men ikke i stort omfang. Revisor rna selv vurdere omfanget av slike tjenester i forhold til det som f01ger av lovgivmngen. IIRevisor skat 5e etta at den l'evisjonspliktige har ardnet formuesforvaltningen pa en betryggende mate ag med forsvarlig kantrall". Bestemmelsen er innholdsmessig en videref0ring av den tidligere revisorforskrifrens 3-2 (1), og inneba:rer at revisor har plikt til a vurdere den revisjonspliktiges ordning av formuesforvalrning og kontroll i den grad det er n0dvendig for a kunne bekrefte arsregnskapet m.v, jfr. revisorloven 5-1 f0rste ledd. Det f01ger videre av god revisjonsskildc at revisor skal vurdere kvaliteten pa den interne kontroll nar han avgj0r hvilke revisjonshandlinger som skal utfmes, og i hvilket omfang. Det er etter Kredi ttilsynets vutdering problematisk at revisor, som pa objektivt grunnlag skal vurdere den interne kontroll, selv blir tilna:rmet del av den ved a utf0re internrevisjonsfunksjonen. Denne vurderingen gjelder selv om det er andre revisorer i samme selsimp som utf0rer internrevisjonen} jff. revisorlovens 4-5 fjerde ledd. Dette sp0rsmalet har va:rr mye omdiskurert} ogsa internasjonalt. Mye av diskusjonen har va:rt preger av hva internrevisjonstjenestene faktisk inneholder og hvilke villcar som skal settes for at ekstern revisor skal kunne pata seg slike funksjoner. I forhold til norsk lovgivning er det Kredittilsynets mening at ekstern revisor ildce kan pata seg slike funksjoner og at diskusjonen i seg selv er av en karakter som tilsier at ogsa den generelle bestemmelsen i Ved.f0rende ekstern revisors mulighet til a ivareta internrevisjonsoppgaver som styres av banken selv. Dette sp0rsmalet dreier seg i realitet am ekstern revisor kan yte radgivningstjenester til en eksisterende internrevisjonsfunksjon. Internrevisjonens st0rrelse og totale ressursforbruk vil da ha relevans nar det gjelder vurderingen av hvorvidt ekstern revisor har adgang til a yte rjenester til internrevisjon. I utgangspunktet apner revisorloven for at radgivning kan utf0res. Det f01ger av revisorloven 4-5 f0rste ledd. Etter Kredittilsynets vurdering inneba:rer dette at revisor har anledning til a utf0re tjenester for internrevisjonen pa lik linje med andre funksjoner og avdelinger i banken, sa lenge forutsetningen am at tjenestene ikke er n egnet til a pa virke euer reise tvil om revisor uavhengighet" er opprylt. Hvis internrevisjonene er liten og har fa egne ressurser, siik at en vesenriig del av internrevisjonsressursene faktisk tilf0res Tilsvarende vil det heller ikke va:re akseptabelt at ansvaret for internrevisjonen ivaretas av et medlem av bankens ledelse, nar ekstern revisor faktisk gjennomf0rer all internrevisjon eller velger ut og gjennomf0rer kontrollhandlinger som anses n0dvendige. Etter Kredittilsynets syn vil dette i realiteten vrere a anse som at internrevisjonen fullstendig gjennomf0res av ekstern revisor. I den grad ledelsen 0nsker uavhengige evalueringer og kontrollhandlinger vedt0rende den interne kontroll, rna dette etrer Kredittilsynets vurdering i realiteten v::ere a anse sam internrevisjon, uansett organisering og pralctisk innretning. I realireten er slike evalueringer og kontrollbehandlinger en del av ledelsens overvaking av den interne kontroli, noe sam rna anses a vrere intern revisjon nar dette foreras over tid og det ilme bare er tale om enkeltsraende tilfeller. 141NHRNREVISOREN 1 0 I

15 KU RSOVERSI KT Nedenfor har vi laget en oversikt over kurser, seminarer og konferanser sam arrangeres av NIRF og andre beslektede foreninger: listen er ikke utt0mmende. Vi har tatt med de kursene scm vi mener kan vcere av interesse I er relevante for medlemmer av NIRF. For ytterligere informasjon og p;\melding kan dere henvende dere til de respektive foreninger scm indikert. Kurs; reg; av NIRF, ECIIA og IIA: NORGES INTERNE REVISORERS FORENING (NIRF)I Kurstittel NIRFs 50-c\ rs jubileum Endringsledelse - hvordan kan intern revisor bidra Tidspunkt 12. oktober 200 I Oslo 25. oktober 200 I Oslo For ytterligere in(ormasjon, kontakt NIRF-sekretariatet; df , fax ~Ioa 055 i;"" Internetta~ nirf.orgl 0<0{ I...J... y- THE EUROPEAN INSTITUTE OF INTERNAL AUDITNG ECIIA Kurstittel Tidspunkt The European Conference on The Control and Audit of Information Technology (i samarbeid med MIS Training) 8. I I. oktober Amsterdam Internettadresse: Kurstittel Risk assessement and Control design Corporate Governance and the Aditor Audit of Projects and Projects Management Audit and Control of systems developments Advanced information systems auditing E-business, Control and security of Networks Tidspunkt desember London 12. desember London nov London nov des des For ytterligere in(ormasjon og pdmelding, kontakt The Training Officer; I 0 I, fax iia@easynetco.uk Internettadresse: London London London Conference 200 I -The Internal Auditing & The Management Complexities oktober Marocco THE INSTITUTE OF INTERNAL AUDITORS (IIA) Kurstittel The IIA/EEI Industry Audit Series :Utilities Conference Introduction to Control Self-Asessement The IIA/MIS Control and Audit of Information Technology Best Practices in Value-Added Auditing Evaluating Internal Controls: A COSO-Based Approach Value-Added Business Controls: The RightWay to Manage Risk The lias 2002 International Confe rence: A Monumental Experience Tidspunkt I oktober Oregon oktober New York oktober Massachusetts oktober Florida oktober California oktober Califo rnia juni 2002 Washington IIA arrangerer en rekke seminarer og kon(eranser i til/egg til de oven(or nevnte. For ytterfigere informasjon og pdmelding, kontakt The IIA Customer Service Center; tlf. 00 I (Ext I J, fax 00 I , custserv@theiia.org Internettadresser: W\AiW.theiia.org.htm INTERNREVISOREN 1 0 I IS

16 ,,~, -n A-U-a-re-u r-g-ed-t-o-a-tt-e n-d-. n-"""jl/pi 2"""'" Av: Frank Alvern "All are urged to attend" sea det i programmer. Na var det ikke bare innsrendigheten i oppfordringen (bare sui opp order urge sa skjemner du hva jeg mener!) som gjorde at jeg krysset i pameldingsboksen for The 2001 liaannual Business Meeting. For det f0fste var ffi0tet viselig lagt mellom den siste avsluttende lunsjen pa onsdagen og et p:'if0lgende fellesffi0te for aile medlemmer av de internasjonale komiteene. Dec viktigste var selvsagt at her korn den alief besee anledningen til a fa med seg masse tips for a gj0re yare egne generalforsamlinger mer spenstige. Sa jeg var ute i god tid og sart klar med papir og blyant for a sikre meg aue guukornene! "Menighetens" arsmate Jeg hadde lest gjennom arsm0tepapirene pa forhand. Agendaen sam la pa stolene da vi kom, inneholdt f0lgelig ingen store overraskelser. IIA hadde plukket et av de mindre m0terommene til arsm0tet. Det tok selvsagt ikke lang tid f0r jeg skj0nte at m0teromsvalget nok var basert pa tidligere erfaringer pa hvor mange medlemmer som kom! IIA har pa verdensbasis vel medlemmer. Dreyt l.loo, eller 1,5 % av disse hadde funner veien til den internasjonale konferansen. Av disse igjen m0tte et ryvetalls medlemmer opp til selve arsm0tet. Jeg tror jeg kunne telle pa en hand de av de1takerne som ildce er listet i IIA Leadership Directory, dvs. er en del av foreningens Iede1se eller har en dlknytning til en eller annen av lias mange komiteer. Styret i NIRF har nok mange ganger hapet pa et st0fre fremm0te og engasjement pa yare egne generalforsamlinger, men sammenlignet med dette synes jeg vi kommer bra lit! Jacqueline K. Wagner har fatt sin velfortjente avh21sning Jackie Wagner sto som vert for arsm0tet, men hun bel i sisre liten forhindret fra a komme til Buenos Aires. Dermed ble det Senior Vice Chairman of the Board, David A. Richards som foregrep begivenhetene til en viss grad. Richards overleverte Chairman's Report pa vegne av Jackie Wagner. Synes at det var hyggelig at norgesbes0ket hennes ble nevnt i den sammenheng. Jackie bie deretter beh0ring takket av for innsatsen f0r vi gjennomf0rte valgene i ekte amerikansk sti!. David Richards': "Envisioning Our Futu... e" Straks David Richards var vaigt, dro han salen gjennom sin tiirredelsestale. "Envisioning Our Future" har han vaigt sam sitt tema eller slagord for sin arsperiode. Var 0verSte valgre leder er definitivt en mann som setter seg klare mal. Han dro tcadene tilbake til sin egen trening for a bli en "ranger" - uten at jeg fikk helr med meg hvilken type det na var! En meget inspirerende personlighet, som ba am a bli malt pa konkrete mat. Jeg tar han pa ordet og gjengir her hans ti mat sam Chairman: 1. Develop & begin a 3-year Strategic Plan 2. Complete the construction of the new IIA headquarters building 3. Develop & implement a resolution to the North America members' concerns regarding governance 4. IdentifY a solution for the overall Global IIA governance and operational concerns 5. Issue standards on consulting auditing 6. IdentifY at least 5 activities of the IIA which are currently performed via paper and make them paperless 7. Resolve North America/Outside North America financial allocation 8. Attain a membership growth of 8% or 5,600 members 9. Increase conference attendance by 10% 10. Build at least 3 new relationships with other organizations Her skal det jobbes! Mange NIRF-medlemmer b0r ta mal av seg til a h0re Richards' avrapportering pa neste IIA Annual Business Meeting i Washington, D.C. 26. juni "The New Framework" var tittelen pa presentasjonen til Jodi Swauger, Senior Manager, Technical Services i hovedkvarteret. Jeg synes denne presentasjonen gay en veldig fin gjennomkj0ring av hele prosessen frem mot dagens nye rammeverk med Standards & Ethics, Practice Advisories og endelig Development & Practice Aids. Presentasjonen inneholder fine eksempler pa hvordan IIA bygger opp strukruren i standardverket, hvordan disse tre nivaene knyttes sammen samt hvordan web-teknologien utnyttes for a 0ke brukervennligheten. Denne presentasjonen har vi lagt ut pa hjemmesidene var ( og min vurdering er at du absolutt b0f laste ned og srudere disse 44 sidene. Fro venstre var nye 'fa Chairman of the Board, David A. Richards; deretter avtroppende International Secretary, Giovanni Grossi; sa /fa President. Wilfiam G. (Bill) Bishop III; var nye Senior Vice Chairman LeRoy Bookal og ytterst Past Chairman, Howard J. Johnson. 161NTERNREVISOREN 1'01

17 Internrevisjon med fokus pa risikovurdering og risikostyring Hvilke krav stiller dette til internrevisor? Runar Dybvik er manager i Risk Consulting i Andersen hvol han er oppdragsleder pa et oppdrag hvor en st0rre norsl< finans.institusjon hal" outsourcet sin internrevisjonsfunksjon til Andersen. Han kommer fra internrevisjonen i Storebrand, hvor han val" revisjonssjef pa livsforsikring. Runar har 8 ars erfaring fra el(stern revisjon, og er statsau torisert revisor og CIA (Certified Internal Auditor). INNlEDNING Fokus og omfang pa ut0velse av internrevisjon har v::ert relativ stabil i flere tiar etter andre verdenskrig. Stadig st0rre endringstakt i virksomhetene og st0rre fokus pa internrevisjonens nytteverdi for virksomhetene de siste arene har ledet til en omforming av hvilke aktiviteter internrevisjonen b0r fokusere pa. En f01ge av dette et en utvikling i hvilke krav som stilles til kunnskap og ferdighet hos internrevisor. Artikkelen vii belyse noen av de krav som stilles til kunnskap for ut0velse av aktiviteter innen internrevisjon etter de nye revisjonsstandardene. Det vii bli Iagt mest vekt pa de "nye" aktiviretene som er definerti Risk Management og Governance. Behov fot Iwilken rype kunnskaper som lereves vii bli vist gjennom eksempler pa hvordan vi mener viktige aktiviteter b0r tilnrermes. Vare oppdrag innen internrevisjon 10ses gjennom en tiln::erming basert pa risikosryring. Artikkelen git ingen samlet oversikt over Andersens ulike verkt0yer pa dette omradet, men som en illustrasjon har vi valgt a benytte et verkt0y, Andersens Business Risk Model. Vi vii vise hvordan vi arbeider med revisjonsoppdrag som urf0res helt eller delvis av Andersen. Hovedbudskapet i standard Nature of work er "The internal audit activity evaluates and contributes to the improvement o/risk mallagement, control and governance systems" RISK MANAGEMENT TIThe internal audit activity should assist the organization by identifying and evaluating significant exposures to risk and contributing to the improvement 0/ risl, -management and contributing to the improvement o/tisl, management and control systems. " Risikovurdering og risikostyring i norske virksomheter I standarden forutsettes gjennomf0ring av en risikovurdering og at det er etabiert et system for risikostyring i virksomhetene. Hvorvidt dette eksisterer i norske virksomheter i dag vii avhenge av hva som legges i begrepene "risikovurdering" og "system for risikostyring". Risikovurderinger gjennomf0res nok i enkelte deler av virksomheten og/eller pa enkelte ryper risikoer, f. eks. finansielle risikoer. Ambisjonene b0r, etter var oppfarning, v::ere st0rre og omfarre hele virksomheten og aile ryper av risikoer. Vart inntrykk er at det er sv::ert Ai. virksomheter i Norge som har gjennomf0rt dette. Banket og forsikringsselskaper rna gjennomf0re en risiko- og kontrollvurdering for hele virksomheten etter "internkolltrollforskriften". Vart inntrykk er at gjennomf0ringen av denne i stor grad er delegert nedover i organisasjonen, og at det Iages et sammendrag hvor de ulike fisikoer konsolideres oppovet. Vi mener en slik "bottom up" tilnrerming har Here svakheter. Viktige risilwet kan "falle mellom to stolet", strategiske risikoer og andre overordnede tisikoer kommet ikl<e tilsrrekkelig frem og det blir sjelden tilstteld<elig engasjement og forankring hos virksomhetens ledelse. Risiko- og kontrollvurdering b0r ha en "top down" tiln;etming. Med utgangspunlet i strategier og mal b0r konsernledelsen gjennomf0re en vurdering av de overordnede risikoer, samt vurdere styrken i sikringstiltakene (konttollen) for hver av risikoene. Linjens risiko- og kontrollvurdering b0r vrere avledet av de mal og risikoer som er behandlet pa overordnet niva. En slik tilnrerming INTERNREVISOREN

18 siluer et fullstendig omforent risikobilde, de mere srrategiske og overordnede risikoer blir tydeligere, det bidrar til utarbeidelse av et "felles tisikosprilk" og sist, men ikke minst, blir det et et mye st0rre engasjement has ledelsen. Risikovurderingen og risikostyringen blir 10ftet opp po. strategisk niva. En slik overordnet risikovurdering gir ogsa andre nyttige ti output", som vi vii komme til bake til nedenfor. I vurderingen av hvilke kunnskaper som kreves has intern revisor vii vi legge til grunn at det er behov for en helhetlig risikovurdering for hele virksomheren som ornfatter alle typer risikoer, og at denne ber gjennomf0res ved en "top down" tilna::rming. Et helhetlig system for risikostyring krever en helhetlig risikovurdering med et felles risikosprilk, strategi for hvilke risikoer som virksomheten vil unnga, akseptere, redusere, overfare eller nyttiggj0re seg. Det er ogsa behov for a bygge inn kontinuerlig forbedring og risikoindikatorer til prestasjonsmai. Artikkelen vil fokusere mindre pil risikostyring da dette er et omfattende terna. Gjennomforing av risikovurdering Det er fa norske virksomheter som har erablerr en risk manager funksjon som har ansvar for virksomhetens samlede risikovurdering. Oet er ingen andre fagmilj0er som har bedre kunnskap eller forutsetninger enn internrevisjonen for a va::re en padriver for a fa etablerr en helhedig overordnet risikovurdering. Etter vid fortolking av standarden, "The internal audit activity should assist the organization by identifying and evaluating significant exposures to risk... ", rna dette ogsa ligge innenfor de rammer sam internrevisjonen b0r gjennomf0re. Behovet for en slik risikovurdering rna selges inn has ledelsen. For a sikre riktig forankring og gjennomslagskraft er evnen til a kommunisere pa en gode mare en viktig egenskap for internrevisor. Gode evner i a kommunisere krever bade talent/egenskaper og trening. Ved rekruttering rna det legges vekt po. disse egenskapene. Internrevisorer har tradisjonelt pr0vd a selge inn behovet for god intern kontroll. Yare erfaringer viser at det er let [ere a kommunisere med ledelsen nar vi bruker risiko sam tilna::rming. Risiko representerer en utfordring eher et problem, mens kontroll representerer tiltak som skal talde utfordringen eller redu- Arthur Andersen's Business Risk Management Process sere/demme opp for problemet. Nar internrevisor tradisjonelt har fokusert pa kontroll og ikke alltid tatt den 0nskede gjennomslagskraft, kan dette skyldes at ledelsen ikke har forstatt risikoen (utfordringen/problemet). Pedagogisk mil det v",re riktig at ledelsen f0rst forstir utfordringen/problemet (risikoen) f0r 10sningen (kontrollen) blir presentert. Filr ledelsen et mere bevisst forhold til risikoene i virksomheten er det mye lettere a ra "solgt inn" tiltak som reduserer risikoene (kontroller). A ta kunnskap og oversikt over virksomhetens samlede risikoer kan va::re en utfordring. Internrevisor rna naturligvis kjenne virksomheten godt. I till egg kreyes kunnskap om de ulike typene av risilmer som finnes i virksomheten. Et godt hjelpemiddel er a bygge pa de erfaringene sam andre har h0stet fra tilsvarende virksomheter. I Andersen har vi, baserr pa en reldce srudier av ulike virksomheter, utviklet en Business Risk Modei. Modellen er en vesentlig del av et rammeverk for risikosryring som bidrar til a identifisere strategiske, ledelsesmessige og operasjonelle risikoer og kontroller. Oet er utviklet en generisk Business Risk Model som omfatter alle de risikoer som kan finnes i en virksomhet. I till egg er det utarbeidet bransjespesifikke Business Risk Modeller, hvor bransjespesifikke risikoer er spesielt fremhevet. Continuously Improve Risk,M.lllilgcmcrt Capabilitlc$ Mal,~glilnent Perlonnance ~C$ignlJri1plemcllt Risk anagemcnt CapabHitks 181NTERNREVISOREN 1'01

19 ArthurAndersens Business Risk Model Environment risk Competitor Customer wants Technological innovntion Sensitivity Process risk '" Shareholder relations Capital availability SovereignJpohlicai Legal Regulatory Industry Financial markets Catastrophic loss rations Empowerment Leadership FinancIal Aulhoritynimit Customer Satisfaction Outsourcing Price Interest rate Human resources Performance incentives Currency Knowledge capital Change readiness Equity Product development Commun,calions Commodity Efficiency Financial instrument Capacity Information processing' Performance gap technolonv Cycle lime Relevance Sourcing Integrity Liquidity Cash now Channel effoctlvenos$ Access Opportunity cost Partnering Availability Concentration Compliance Infrastructure Business interruption Productlservico fallure Environmental 'o',m'tv Credit Default Health and soroty Managemenl rraud Concentration TrademarkIbrand erosion EmployecJthird party fraud Settlement Illegal acts CoUateral Unauthorized use Reputation Information for decision making risk, Business reoortlna Envlronment/straton]c Product1service pricing Budget and planning Environmental scan Contract commitment AccoUntinginforma!ion Business model Measurement (operations) Financial reporting e."alualion Business portfolio Alignment Taxation Valuation Pension fund Organization struc\uf(l Investment evaluation Measurement (strategy) RegUlatory reporting Resource allocation Planning Life cycle Utarbeidelse av en risikolisre for virksomheten er f0rste steg i en risiko- og kontrollvurdering. Den kan urarbeides i workshop med Iedelsen, erfaringsmessig er imidlertid tiden revisor flir til disposisjon med toppledelsen begrenser. Alternativt kan risikolisten derfor utarbeides ved at det foretas intervjuer med urvalgre Iedere eller en representant fra hver funksjon i virksomheten. Ved intervjuene har vi strategi og mal for 0ye nar vi skal identifisere risikoene. Sam hjelpemiddel for a fa fram de ulike typer risikoer har vi Business Risk Model for den aktuelle bransjen Foran oss. Vi vii understreke betydningen av at risikoene blir formulert i henhold ril "stammespr:iket" som benyttes internt. God formulering av risikoene er krevende og vikrig. En godt utarbeidet risikoliste for hele virksomheten er f0rsre steg i etableringen av et felies risikospr:ik for virksomheten. Utkast til risikolisre b"r godkjennes av Iedergruppen f0r risikovurderingen. Vi erfarer at risikovurderingen blir gjart mest effekriv gjennom en workshop i virksomhetens Iedergruppe. I begynnelsen av workshopen blir risikolisten gjennomgatr og vi sikrer en felles forsraelse av de formulerte risikoene. I Andersen benytter vi et elektronisk stemmeverkt0y, Resolver Ballot Th1, som hjelpemiddel. For hver risiko stemmes det over konsekvensen for virksomheten dersom risikoen inntrer, sannsynligheten for at risikoen skal inntre og til slutt hvilken styrke det er i silrringstilrakene (kontrollene) som etablerr for a handtere risikoen. Etter hver avstemning blir resultatet eyeblikkelig presenrert. Ved stor spredning s"ker vi a ra igang en diskusjon om hvorfor der ble stemt sa ulikt. Skyldes det at de ulike deltakerne Ia forskjellige forhold i risikoen, eller at noen sitter med kunnskap som de 0vrige ikke har, eller rett og slett ulike vurderinger? Erfaringene viser at det blir mange interessante diskusjoner og ar det skjer en kunnskapsdeling inrernt i Iedergruppen. Utfordringen blir ofte a matte skj",re igjennom for a hoide progresjonen ut fra tilmalt tid. Evnen til a formulere risikoer og fasilitere er viktige ferdigheter som lrreves ved gjennomf0ring av risikoworkshopen. Erfaringene fra gjennomf"ring av slike risikoworkshoper er sv<ert positive. Ledergruppen blir engasjert i risikovurderingen. Mange av risikoene er sentra Ie utfordringer og problemstillinger for Iedergruppen, som de rar diskurert med en systematisk tilmerming. Vi som internrevisorer eller konsulenter tar igang en nyttig dialog med Iedergruppen. Nedenfor vii der bli gjort rede for andre nyttige "output" fra en slik risikovurdermg CONTROL "The internal audit activity should assist the organization in maintaining effitive contro/s by evaluating their effectiveness and efficiency and by promoting continous improvement" Med utgangspunkt i resulratene av risikovurderingen skal internrevisjonen evaluere tiistreld<eligheren og hensiktsmessigheten av kontraller encompassing the organization's governance, operations, and information system. Etter a ha gjennomfert en risikovurdering og vurdering i styrken av kontrolltiirakene pa aile overordnede risikoer b0r en prioritere revisjonsprosjekter hvor det er h0y risiko og Iav styrke i sikringsriirakene (kontrollene). For a ra verifisert om styrken i kontrolltiitakene er sa god som de er blitt vurdert av Iedergruppen, b"r det ogsa velges revisjonsprosjekter pa omrilder hvor det er h0y risiko og hvor styrke i kontrolltilrakene er vurdert som gode. En samlet overordnet risikovurdering i virksomheten vii bringe frem mange ulike typer risikoer, re Business Risk Model ovenfor. Risikoene blir k.:1.tegorisert innenfor hovedkategoriene omgivelsesdsikoer, prosessrisikoer og beslutningsgrunnlagsrisikoer. Prosessrisikoer er igjen kategorisert innenfor gruppene drifrs-, bemyndigelses-, IT-, integritets- og finansielle risikoer. Beslutningsgrunnlagsrisikoer blir delt inn i strategiske, finansielle og operasjonelle risikoer. Tradisjonelt hal' internrevisor fokusert INTERNREVISOREN 1'0 I 19

20 mye pi gjennomgang av rutiner og etterlevelse av lover, regler og retningslinjer. Dette er ofre forhold som er lette a iaktta, definere og forholde seg til. Tidligere ekstern revisorer, regnskapspersonale og andre ansatte i internrevisjonen har kunnet forholde seg relativt greit til slike risikoer. Kontrollen som dekker disse risikoen kaller vi "harde kontroller". Med "harde kontroller" mener vi handlinger som a kontrollere tall, [apparter, signaturer, lover, policy, etc. Resultatet av disse kontrollhandlingene er relativt lett a fastsu, f. eks. som avvik ut fra en norm eller et mai. Erfaringer viser at de st0rste gap mel- 10m risiko og styrken i kontrolltiltakene ofre er pi risikoer som ikke er sa lett a kvantifisere eller ialma, eks. risikoen for ikke a Iykkes i a rekruttere, urvilde og beholde n0kkelpersonale, renommerisiko etc. Kontrolltiltak som skal deld<e disse risikoene er ofre "myke kontroller". Dvs. at kontrollene ligger mere innbakt i kontrollmilj0et og kan va::re vanskelig a dokumentere, eks. kultur, etiske verdier, h0y fagkunnskap, god vurderingsevne etc. Slike kontrolltiltak er ikke sa lerre a teste. Det kreves en annen type kunnskap og ferdigheter for a vurdere hensiktsmessighet og effektivitet i slike kontrolltiltak. Dette krever h0y fagkunnskap, god forstaelse for mellommenneskelige forhold og kunnskaper om hvordan organisasjoner fungerer og reagerer. Og sist men ikke minst ut0velse av godt skj0nn og vurderingsevne fra intern revisor. Revisjonsmetodenel -verkt0yene for a vurdere slike kontroller er ogsa ofte annerledes. For a tilegne seg disse kunnskapene og ferdighetene kreves det at internrevisjonen rekrutterer pa en bredere basis og at det legges vekt pa a ansette medatbeidere som har kompetanse pa disse omdidene. I tiilegg ma bruken av intern og ekstern opphering dreies mer mot a urvilde kunnskaper og ferdigheter pa disse feltene. messige og effektive kontrolltiltak for disse. Det er heldigvis ild<e noe krav om at hver enkelt internrevisor skal ha denne kunnskapen, men internrevisjonen samlet b0r besitte slik kompetanse. Internrevisjonen kan ogsa benytte andre interne eller eksterne ressurser pi revisjonsprosjekter (liinsource"). Et nyttig verkt0y er kunnskapsdatabaser hvor en drar nytte av andres erfaringer og forskning pa de aktuelle risikoene. I Andersens Business Risk Model er det for hver risiko identifisert risikodrivere for risikoen, forslag til indikatorer for a male risikoen, link mot en prosessmodell hvor det angis i hvilken prosess den aktuelle risikoen oppstar og med bakenforliggende arsak til at risikoen normalt oppstiir. I kombinasjon med kjennskap til virksomheten, bransjen, internrevisjonsferdigheter og ideer fra dette verkt0yet har en gode kunnskaper og forutsetninger for i gjennomf0re revisjonsprosjekter pa en vellykket mate GOVERNANCE "The internal audit activity should contribute to the organization's governance process by evaluating and improving the process through which (1) values and goals are established and communicated, (2) the accomplishment of goals is monitored, (3) accountability is ensured, and (4) values are preserved." Forretningsmessig sryring og kontroll er et omrade som vi mener at internrevisjonen b0r ha et proalnivt forhold til. Internrevisjonen b0r ha et n~rt og tett samarbeid med enheten sam har ansvar for forretningsmessig sryring og kontroll. Begge enheter sitter med viktig kompetanse sam de sammen b0r utnytte til det beste for virksomheten. En samlet overordnet risiko- og kontrollvurdering b0r v~re en integrert del av virksomhetens forretningsmessige styring og kontroll, ikke noe som ligger pa siden av denne. Den samlede overordnede risiko- og kontrollvurderingen b0r gi nyttige innspill nar virksomheten skal operasjona- Utdrag av informasjon som ligger under risikoene i Artur Andersen's Business Risk Model Sh<>r\ d.fin~lon Ala,~ al rc<;t.i.,.te lo1owf""~ <%i1."",ic>1'''''''''ul'''''()rlg:he <>1la"",,:C/\'. ~"Yp"","",eI thi«l!om I)\(l ~'~CJI'" or,:, bu""oosmodol",,dlldt"""""ll\ dcr\\u:1 b<j1:ineei;o'j;"""""",p"<lormtll'>(:~ me.:'... I ~od p<lfformance M"""""",lp=... ro not tt'~m~"":h ~!ljted p«f:n;",noc ' ">1'''''11<'""". R".".onj$)'Stoml~ fl<lln!u"""w'!n poooimt<lc(l ",~e:wt"'."",o porlol111on"" "'.""""" Job.~," M1 d~:;o""la",pport bf.lz<m"'proc""",,~.odo:ty,!m.i"er.o:~""p"c?f" di)',(topm!)nl 'OovofoI""O'" COOII>Jwsty Impm\''''J rm\vid"oiru'ld "'li",,;z.~"".1 ""::, R... 'd Reoo-y""'""~" ml>nta:ning do,,' per!",,,,,,nol! Risk Ind[cators Internrevisjon rna ha kunnskap og ferdigheter for a kunne vurdere de ulike rypene av risiko og hva som er hensikts- 20 INTERNREVISOREN 1-01