Erfaringer fra NIRF`s kvalitetskontroll

Transkript

1 Erfaringer fra NIRF`s kvalitetskontroll Jørgen Bock Kvalitetskomitemedlem NIRF Nestleder styret Statsautorisert revisor

2 Krav til ekstern kvalitetskontroll Iht internrevisjonens standarder skal det gjennomføres ekstern kvalitetskontroll minst hvert 5. år. NIRF er en uavhengig aktør på markedet NIRF har siden oppstarten i 2008 gjennomført 2-3 kvalitetskontroller hvert år NIRFs kvalitetskontroller har vært basert på modellen bekreftelse av egenevaluering [2]

3 Kvalitetskontroller utført av NIRF Norges Bank Statsbygg NAV Skatteetaten Kvalitetskontroller i privat sektor [3]

4 Likheter og ulikheter i konsept Eksternrevisor Har enheten har organisert revisjonsvirksomheten slik det er foreskrevet i kommuneloven? Er revisjonen er utført etter gjeldende standarder? Internrevisjon Om enheten følger standardene for internrevisjon Egenskapsstandardene Utøvelsesstandardene Forventninger fra interessenter, fokus på virksomhetsstyring og om IR gjennom bekreftelse og rådgivning bidrar til merverdi og forbedring av organisasjonens drift Er det er funnet avvik fra gjeldende regler fra god kommunal regnskapsskikk som ikke er kommet til uttrykk i revisjonsberetningen Virksomhetens kontrollmiljø Kvalitetskontrollrapporten kan omfatte forhold og anbefalinger både for internrevisjonen men også hos virksomheten som internrevisjonen reviderer [4]

5 Omfang NIRFs kvalitetskontroll Metodikk og verktøy 1. Planlegging 2. Innhente informasjon om virksomheten og internrevisjonen 3. Forberedelser for revisjonsdirektør 4. Kundeundersøkelse om internrevisjonen 5. Undersøkelse internrevisjonsmedarbeidere 6. Intervjuguide styret/departement 7. Intervjuguide administrerende direktør 8. Intervjuguide øvrig ledelse 9. Intervju revisjonsdirektør 10. Intervju medarbeidere internrevisjonen [5]

6 Omfang NIRFs kvalitetskontroll Metodikk og verktøy 11. Intervju med eksternrevisor 12. Vurdering av kvalitetssikringsprogram, organisering og instruks 13. Vurdering av IR`s risikovurderingsprosesser ifm revisjonsplan 14. Internrevisjonens ressurser og kompetanseutviklingsplaner 15. Vurdering av internrevisjonen og IKT 16. Vurdering av internrevisjonens produksjon og leveranser 17. Vurdering av revisjonsprosjekter, rapporter og oppfølging av tiltak 18. Observasjoner fra kvalitetsgjennomgangen 19. Vurderinger pr standard 20. Rapport [6]

7 Erfaringer hovedkonklusjon Kvalitetssikringen har stor verdi for internrevisjonsfunksjonen og virksomheten [7]

8 Erfaringer hovedkonklusjoner Ekstern evaluering er en fin måte å informere styret/departement og/eller ledelsen om kravene i standardene og promotere internrevisjonen En fin måte å promotere betydningen av risikostyring, internkontroll og virksomhetsstyring Nyttig innblikk i hvordan det er å sitte på andre siden av bordet Erfaringsutveksling mellom NIRF-medlemmer gir nye innspill og forslag til forbedringsområder til internrevisjonen God læringsprosess for alle Interessante diskusjoner og drøftelser Ekstern evaluering er ingen trussel, men en mulighet for forbedring! [8]

9 Erfaringer hovedkonklusjoner Generally conforms Partially conforms Does not conform Relevante strukturer, internrevisjonens regelverk og prosedyrer og hvordan disse blir gjennomført er i overenstemmelse med kravene i standarden og de etiske reglene i det alt vesentligste Internrevisjonen forsøker etter beste evne og mulighet å være i overenstemmelse med kravene i standarden og de etiske reglene, men lykkes ikke i forhold til noen områder Internrevisjonen er ikke klar over eller ikke etter beste evne forsøker å være i overenstemmelse, eller lykkes ikke med å være i overenstemmelse med mange eller alle kravene i standarden og de etiske reglene. [9]

10 Erfaringer hovedkonklusjoner Flest virksomheter er på GC Utvikling Kravene skjerpes [10]

11 Erfaringer hovedkonklusjoner Noen avvik mellom ekstern evaluering og den interne evalueringen Internrevisjoner er ulikt organisert og forankret Oppfyllelse av kravene i standardene varierer [11]

12 Globale funn Instruksen gjennomgås ikke jevnlig Et formelt kvalitets- og forbedringsprogram finnes ikke/er ikke dokumentert Mangler modell for vurdering av risiko i planleggingsprosessen Selv om risikouniverset er identifisert blir ikke alle deler inkludert i planleggingen Ingen formell revisjonsmetodikk Ingen kompetansekartlegging eller planlegging Virksomhetsstyring er et vanskelig område [12]

13 NIRF-funn Varierende kvalitet og innhold i IR-instruks (mandat) Risikovurderinger ifm utarbeidelse av revisjonsplan Sammenhengen overordnet risikovurdering mot revisjonsoppdrag Kvalitets- og forbedringsprogrammet: for eksempel mangelfulle interne periodiske evalueringer Har IR tilstrekkelig ressurser? Manglende dokumentasjon (skomakerns barn): dokumentasjonen av risikovurderinger og revisjonstilnærming i planleggingen den røde tråden fra målsetting og plan for et oppdrag, kriterier, testing og rapporten ikke alltid like klar Kompetansekartlegging hos IR opp mot virksomhetens strategiske satsningsområder (bemanningsstrategi) Vurdering av risiko for misligheter ikke dokumentert (kanskje heller ikke vurdert) Ikke tilstrekkelig formalisert metodikk Bruk av IT verktøy [13]

14 Erfaringer og utsagn fra de som har vært igjennom en ekstern evaluering: Egenevalueringen tar ofte lenger tid enn antatt!! Mye jobb i forberedelsen (verktøy 2 innhente informasjon) Egen-evaluering er nyttig og god læring. «Tvinger» ledelsen/styret til å uttale seg om internkontroll, risikostyring og virksomhetsstyring. NIRF er en objektiv og uavhengig kontrollør Mottar anbefalinger til beste praksis fra erfarne internrevisorer fra andre virksomheter. QA-manualen er en normativ og objektiv guide for måling Avdekker at ikke alle rutiner eller praksis for utøvelse er kjent eller følges av de ansatte. Avdekker mindre avvik som kan forbedres. [14]

15 Oppsummering Fordeler ved NIRFs eksterne kvalitetskontroll Fordeler for IR funksjonen Bekreftelse på overholdelse av standardene Uavhengig evaluering av hensiktsmessig og effektiv drift Beste praksis og benchmarking Bekreftelser på måloppnåelser Bekreftelse på kvalitet, kompetanse og profesjonalitet Klarhet organisering, roller og ansvar Kontinuerlig forbedring Fordeler for virksomheten Økt oppmerksomhet og forståelse av IRs rolle Uavhengig bekreftelse av internrevisjonsfunksjonens arbeid Økt tillitt og troverdighet til IR Forbedringsforslag også til virksomheten Økt oppmerksomhet rundt risikostyring, virksomhetsstyring og internkontroll Mulighet til å gi anonym tilbakemelding [15]