Egenevaluering av internkontrollen Veiledning - egenevalueringsverktøy internkontroll Bakgrunn God praksis for internkontroll er beskrevet i flere rammeverk. COSO (Committee of Sponsoring Organizations of The Treadway Commission) har utviklet et rammeverk som for de aller fleste virksomheter både er formålstjenlig og tilstrekkelig. Det finnes også andre aktuelle rammeverk som er godt dekkende, og som statlige virksomheter kan ta utgangspunkt i og tilpasse ut fra sin størrelse, kompleksitet og egenart (bl.a. CoCo og ISO 9001). Denne egenevalueringen bygger på COSO rammeverket og Økonomiregelverkets krav til internkontroll. Gjennomføringen av en evaluering kan bidra til å bevisstgjøre virksomheten og deltagere i evalueringen på hva god internkontroll innebærer, og hvilke områder virksomheten er sterke på eller hvilke områder virksomheten bør videreutvikle. Evaluering av virksomhetenes internkontroll mot god praksis kan også gi et grunnlag for å rapportere status på internkontroll til eksterne eller interne interessenter. Formålet med verktøyet Formålet med å gjennomføre egenevaluering av internkontrollen er å vurdere om virksomheten har etablert internkontroll som er i samsvar med Økonomiregelverket og god praksis for internkontroll. Med internkontroll menes her alle prosesser, herunder tiltak og kontroller, ledelsen har vedtatt og iverksatt for å bidra til målerettet og effektiv drift, pålitelig rapportering og overholdelse av lover og regler. Verktøyet kan brukes av alle ledere (seksjonsledere, avdelingsledere, ledergrupper, virksomhetsledere, etc.) i virksomheten som f.eks. ønsker å få oversikt over hva som bør prioriteres i arbeidet med å forbedre internkontrollen innenfor sitt ansvarsområde. Ansatte med et spesifikt oppfølgingsansvar for internkontrollen (som f.eks. en internrevisjon, internkontrollfunksjon) kan også bruke verktøyet til å evaluere effektene av iverksatte tiltak over tid. Informasjonen du får ved å benytte evalueringsverktøyet kan eksempelvis benyttes på flere måter: - Benyttes til å vurdere hva som bør være prioriterte områder i arbeidet med å forbedre internkontrollen, dvs. innspill til planleggingsfasen som beskrevet i veilederen i internkontroll - Benyttes til å vurdere utviklingen over tid. Virksomheten kan da sette ambisjonsnivået for forbedringsarbeidet, som f.eks. at virksomheten skal oppnå god praksis, dvs. skår 6 innen tre år Hvordan bruke verktøyet Verktøyet er bygget opp med spørsmål knyttet til syv kjennetegn på god internkontroll: - Ledelsesforankret - Tydeliggjort ansvar, myndighet og roller - Tilpasset virksomhetens egenart, risiko og vesentlighet - Integrert i virksomhetens styring, prosesser og aktiviteter - Formalisert og dokumentert, kommunisert og tilgjengeliggjort - Enhetlig og helhetlig - Etterlevd og systematisk fulgt opp Hvert enkelt kjennetegn har en arkfane med tilhørende kontrollområder, prinsipper og spørsmål. Disse arkfanene er markert grønne. Hensikten med denne inndelingen er å gjøre det enklere å vurdere systematisk hvilke områder og hva virksomheten bør vurdere å forbedre. Spørsmålene besvares ved å gi en skår mellom 1-6, hvor 1 er i svært liten grad og 6 er i svært stor grad. For at modellen skal fungere må det besvares minst ett spørsmål pr. kontrollområde. Dvs. alle spørsmål må ikke besvares hvis virksomheten ikke anser de som aktuelle. Ved å besvare spørsmålene knyttet til de enkelte områdene vil man få opp et diagram i form av en figur som illustrert i eksempelet i figuren ovenfor. Denne figuren vil vises under arkfanen "Oppsummert egenevaluering". Den blå linjen illustrerer god praksis, dvs. skår på 6 for alle områdene. Det grå området illustrerer resultatet av den faktiske snittskåren per område. Til sammen illustrerer dette på en enkel måte hvilket område som ligger nærmest eller lengst unna god praksis knyttet til de syv kjennetegnene på god internkontroll.
Virksomhetens egenevaluering av internkontrollen Ledelsesforankret Etterlevd og systematisk fulgt opp 6 5 4 3 2 1 0 Tydeliggjort ansvar, myndighet og roller Enhetlig og helhetlig Tilpasset virksomhetens egenart, risiko og vesentlighet Formalisert og dokumentert, kommunisert og tilgjengeliggjort Integrert i virksomhetens styring, prosesser og aktiviteter Virksomhet: Dato: Utført av: Kort beskrivelse av kjennetegn på god internkontroll Ledelsesforankret Ledelsen viser et tydelig engasjement og ansvar for styring og kontroll gjennom å prioritere ressurser og fastsette ambisjoner og rammer for internkontrollen som understøtter behovet for og kravene til internkontroll tilpasset virksomheten. Ledelsen bidrar til å utvikle et godt styrings- og kontrollmiljø ved å gå foran som et godt eksempel. Tydeliggjort ansvar, myndighet og roller Ansvar, myndighet og roller er tydelig definert slik at alle ledere og medarbeidere kjenner og forstår sine ansvars- og myndighetsområder. Det er tydelig hvem som har ansvaret for hva og når. Tilpasset virksomhetens egenart, risiko og vesentlighet Omfang av og innretning på internkontrollen baseres på en vurdering av risiko og vesentlighet og tilpasses virksomhetens egenart. Internkontrollen dimensjoneres utfra en vurdering av kost-nytte. Integrert i virksomhetens styring, prosesser og aktiviteter Internkontrollen integreres i virksomhetens styring og drift og er i størst mulig grad innebygd i prosesser og aktiviteter. Formalisert og dokumentert, tilgjengeliggjort og kommunisert Innretning på, omfang av og krav til utførelsen av internkontrollen er fastsatt, og dette er dokumentert, tilgjengeliggjort og kommunisert. Gjennomførte tiltak dokumenteres i nødvendig grad og på en måte som gjør det mulig og følge opp og etterprøve tiltakene. Enhetlig og helhetlig Internkontrollen standardiseres og har samme struktur og utforming på tvers av virksomheten der det er mulig (like ting gjøres likt). Internkontrollen på ulike områder og nivåer ses i sammenheng og utgjør en helhet. Etterlevd og systematisk fulgt opp Fastsatt internkontroll blir etterlevd og systematisk fulgt opp, vedlikeholdt og videreutviklet slik at den gir ønsket effekt.
Ledelsesforankret A Kontrollområde Prinsipp Spørsmål: Svar: Kommentar: Snitt: A1 A2 Ledelsens ansvar for internkontroll Med ledelsen menes både virksomhetsleder, toppledergruppen og ledere på lavere nivå Ledelsens holdning til internkontroll Ledelsen tar ansvar for arbeidet med internkontrollen (planlegging, risikovurdering, utforming og oppdatering, implementering, oppfølging og rapportering av internkontrollen) Ledelsen gjør virksomhetens policyer og prosedyrer godt kjent i hele organisasjonen slik at det legges til rette for et godt styrings- og kontrollmiljø. Ledelsen går selv foran som et godt eksempel A1.1 A1.2 I hvilken grad prioriterer ledelsen ressurser til arbeidet med internkontroll? I hvilken grad sørger ledelsen for at virksomheten har en oversikt over status på internkontrollen? Eksempelvis områder hvor internkontrollen bør forbedres? I hvilken grad følger ledelsen opp at internkontrollen fungerer A1.3 som tiltenkt? I hvilken grad sørger ledelsen for at resultater fra A1.4 oppfølgingen av internkontrollen blir brukt til videreutvikling av internkontrollen og læring og forbedring generelt? A2.1 A2.2 A2.3 I hvilken grad er ledelsen en pådriver for arbeidet med internkontroll? Ledelsen viser eksempelvis gjennom både ord og handling at kontroll og oppfølging knyttet til vesentlige områder er prioritert I hvilken grad er ledelsen en pådriver i å formidle om virksomhetens vedtatte policyer, prosedyrer etc.? Eksempelvis etisk standarder og verdier virksomheten ønsker de ansatte skal ha I hvilken grad etterlever ledelsens selv virksomhetens vedtatte policyer, prosedyrer etc.? Det er "likhetstegn" mellom ord og handling
Tydeliggjort ansvar, myndighet og roller B Kontrollområde Prinsipp Spørsmål: Svar: Kommentar: Snitt: I hvilken grad er administrative og økonomiske fullmakter B1.1 dokumentert? B1.2 I hvilken grad er fagfullmakter dokumentert? B1 Dokumentert og formalisert Ansvar, myndighet og roller er formalisert og dokumentert B1.3 I hvilken grad er roller og ansvar formalisert og dokumentert (i instruks, delegasjonsdokumenter, lederavtaler, arbeidsavtaler, stillingsbeskrivelser og liknende)? I hvilken grad gjenspeiler myndigheten som ligger i B1.4 fullmaktene ansvar knyttet til stillingen? I hvilken grad er det formalisert prosesseiere med et tydelig B1.5 ansvar for virksomhetens prosesser? I hvilken grad er det etablert et formalisert ansvar til B1.6 identifiserte risikoer i virksomheten (risikoeiere)? I hvilken grad er ansvar, myndighet og roller knyttet til mål og B1.7 krav tydelig formalisert og dokumentert?
Tilpasset virksomhetens egenart, risiko og vesentlighet tilbake C Kontrollområde Prinsipp Spørsmål: Svar: Kommentar: Snitt: C1 Tilpasset egenart C2 Tilpasset risiko og vesentlighet Internkontrollen er tilpasset virksomhetens mål og krav, prosesser og utfordringer (størrelse, kompleksitet o.l.) Omfang og utforming av tiltak og kontroller er basert på risiko og vesentlighet C1.1 I hvilken grad er det formulert mål for virksomhetens viktigste prosesser (kjerne-, støtte- og styringsprosesser)? I hvilken grad har virksomheten oversikt over relevante lover C1.2 og regler og hvordan disse påvirker virksomheten? I hvilken grad har virksomheten tilpasset internkontrollen i C1.3 forhold til størrelse og kompleksitet? I hvilken grad har ledelsen vurdert hvilken risiko man er villig til å utsette virksomheten for (risikotoleranse)? C2.1 Eksempelvis diskutert i styringsdialogen, ledergruppen og lignende. I hvilken grad gjennomføres det regelmessige C2.2 risikovurderinger knyttet til virksomhetens mål og krav? I hvilken grad sikrer man at risikovurderinger oppdateres ved C2.3 vesentlige endringer i virksomheten?
Integrert i virksomhetens styring, prosesser og aktiviteter D Kontrollområde Prinsipp Spørsmål: Svar: Kommentar Snitt: D1.1 I hvilken grad har virksomheten et bevisst forhold til bruk av manuelle kontroller vs. automatiske/ikt baserte kontroller? D1 Integrert i aktiviteter og prosesser Internkontroll gjennomføres som en del av daglige arbeidsoppgaver D1.2 I hvilken grad er løpende oppfølging en integrert del av det daglige arbeidet til den enkelte ansatte? Slik at det ikke er stort behov for frittståede oppfølging og evaluering D1.3 I hvilken grad har virksomheten et bevisst forhold til bruk av etterkontroller/avdekkende kontroller vs. forebyggende/preventive kontroller ("bygge inn" kontroller i aktiviteter og prosesser kontra, "legge til")? D2.1 I hvilken grad blir risikovurderinger gjennomført i forbindelse med plan- og budsjettprosessen? D2.2 I hvilken grad vurderes og diskuteres internkontrollen regelmessig i den allerede etablerte styringsdialogen (risiko, utforming av tiltak, status implementering, etterlevelse etc.)? D2 Integrert i styring Internkontroll er ikke noe som skjer "på siden", men er integrert i virksomhetens styring D2.3 Eksempelvis i møter med departement, divisjonsmøter, avdelingsmøter, seksjonsmøter etc. I hvilken grad rapporteres det internt regelmessig på at internkontrollen etterleves og fungerer som forutsatt? Eksempelvis årlig eller kvartalsvis i form av en rapportering på status på internkontrollen til ledernivå over. D2.4 I hvilken grad blir rapportering av status på internkontrollen benyttet som styringsinformasjon?
Formalisert og dokumentert, kommunisert og tilgjengeliggjort E Kontrollområde Prinsipp Spørsmål: Svar: Kommentar Snitt: I hvilken grad foreligger det policyer eller prosedyrer for E1.1 hvordan (hvor, hvordan, når, frekvens etc.) risikovurderinger skal gjennomføres? I hvilken grad er det tydelig hvilke dokumenter i E1.2 virksomheten som beskriver hvem som har ansvaret for hva ("hvem og hva" dokumenter, eksempelvis policyer)? E1 Internkontrollen er formalisert og dokumentert Internkontrollen (i form av innretning, omfang og krav) er vedtatt av virksomhetens ledelse og tilstrekkelig dokumentert I hvilken grad er det tydelig hvilke dokumenter i virksomheten som beskriver hvordan og når E1.3 aktiviteter/kontroller/oppgaver skal utføres ("gjennomførende" dokumenter eksempelvis prosedyrer/rutiner etc.)? I hvilken grad dokumenteres det at tiltak og kontroller er E1.4 gjennomført og av hvem? I hvilken grad er virksomhetens dokumentasjon utformet slik E1.5 at viktige vurderinger, avgjørelser, kontroller ol. kan etterprøves? I hvilken grad er det vedtatt hvordan (av hvem, hvor ofte etc.) E1.6 kontroller skal vedlikeholdes og oppdateres? I hvilken grad oppleves virksomhetens policyer og E2.1 prosedyrer o.l. som tydelige? E2 Internkontrollen er kommunisert og tilgjengeliggjort Vedtatte krav til internkontroll tydelig kommunisert og tilgjengeliggjort til alle ansatte E2.2 E2.3 I hvilken grad er vedtatte tiltak og kontroller kommunisert til de medarbeiderne som har ansvar for utførelse på en slik måte at de har forstått sitt kontrollansvar? I hvilken grad får ansatte opplæring og veiledning i vedtatt internkontroll? For eksempel knyttet til vedtatte policyer, prosedyrer, dokumentering av utførte kontroller, testing av etterlevelse, rapportering på avvik etc. I hvilken grad er fastsatte policyer og prosedyrer og lignende gjort tilgjengelig for de ansatte? Med "gjort tilgjengelig" menes bl.a. gjennom: E2.4 - Informasjonsmøter - Intranett - Veiledningsmateriale - Kurs I hvilken grad er internkontroll tema i møter og samtaler med de ansatte? E2.5 Eksempelvis i medarbeidersamtaler, seksjonsmøter, avdelingsmøter o.l. I hvilken grad er de ansatte gjort kjent med hvilket risikonivå ledelsen aksepterer på kritiske områder? E2.6 For eksempel kan ledelsen ha definert områder hvor det "nulltoleranse" for feil
Enhetlig og helhetlig F Kontrollområde Prinsipp Spørsmål: Kommentar: Snitt: F1.1 I hvilken grad er det tydelige sammenhenger mellom ulike dokumentnivåer i virksomheten slik at de henger sammen i en helhetlig struktur? Med ulike dokumentnivåer menes et skille mellom ulike nivåer av dokumenter. Eksempelvis dokumenter som er gjeldene for alle (eksempelvis prinsipp/policy dokumenter), og dokumenter som beskriver hvordan aktiviteter og kontroller skal utføres (eksempelvis prosedyrer/rutiner/sjekklister etc.) F1 Helhetlig utforming Det er etablert et helhetlig system for arbeidet med internkontroll hvor metodikk, prosesser og dokumenter henger sammen på tvers i hele virksomheten F1.2 I hvilken grad har virksomheten en helhetlig systematisk metode for arbeidet med internkontroll som bidrar til forbedring av internkontrollen i virksomheten? Eksempelvis i form av en helhetlig struktur på planlegging, risikovurderinger, utforming og oppdateringer av tiltak, oppfølging og rapportering på ulike nivå i virksomheten. "Helhetlig vs. stykkvis og delt" og "satt i system" vs. "tilfeldig og ad hoc". I hvilken grad har ledelsen lykkes i å skape et godt og F1.3 helhetlig styrings - og kontrollmiljø, herunder kultur i virksomheten? I hvilken grad er det etablert en helhetlig informasjons- og kommunikasjonsflyt tilpasset virksomhetens styrings- og kontrollbehov? F1.4 Slik at ledere og ansatte blir kjent med og forstår hvilket ansvar de har, hva de skal gjøre og hvordan de skal gjøre det. I hvilken grad er internkontrollen utformet likt på tvers av virksomheten der det er hensiktsmessig? F2 Enhetlig utforming Internkontrollen standardiseres og har samme struktur og utforming på tvers av virksomheten der det er hensiktsmessig ( like ting gjøres likt ) F2.1 F2.2 F2.3 Eksempelvis skjer internkontrollprosessen (i form av planlegging, risikovurderinger, utforming og oppdateringer av tiltak og kontroller, implementering, oppfølging og rapportering) likt i ulike divisjoner/enheter. Like metoder, prosesser og maler benyttes der det er hensiktsmessig slik at struktur og utforming av internkontrollen ikke er personavhengig. I hvilken grad benyttes standardiserte maler for utarbeidelse av virksomhetens policyer, prosedyrer o.l.? I hvilken grad er det tydelig hvem som tar beslutningen om utarbeides og endringer av policyer, prosedyrer o.l.?
Etterlevd og systematisk fulgt opp G Kontrollområde Prinsipp Spørsmål: Svar: Kommentar: Snitt: G1 Etterlevelse Alle ansatte i virksomheten etterlever de krav og føringer til internkontroll som er vedtatt av ledelsen G1.1 I hvilken grad etterleves vedtatte internkontroll krav? G2 Systematisk oppfølging Internkontrollen følges opp både gjennom løpende oppfølging og frittstående oppfølging/evalueringer G2.1 G2.2 G2.3 I hvilken grad er det utpekt hovedansvarlig(e) for å påse at internkontrollsystemet vedlikeholdes? Eksempelvis i form av en egen internkontrollfunksjon eller en rolle/funksjon med fagansvar for internkontroll I hvilken grad er det vurdert hvilke kontroller som er så viktig at de krever særskilt oppfølging? Eksempelvis kontroller som er definert som "nøkkelkontroller" og som er gjenstand for regelmessig testing/etterkontroll I hvilken grad er det vurdert hvilke risikoer og kontroller som bør følges opp av en objektiv og uavhengig tredjepart i form av frittstående oppfølging/evalueringer? G2.4 I hvilken grad er det utarbeidet styringsparametere som måler utviklingen på områder med vesentlige risikoer?
Egenevaluering internkontrollen Ledelsesforankret 6 #DIV/0! Tydeliggjort ansvar, myndighet og roller 6 #DIV/0! Tilpasset virksomhetens egenart, risiko og vesentlighet 6 #DIV/0! Integrert i virksomhetens styring, prosesser og aktiviteter 6 #DIV/0! Formalisert og dokumentert, kommunisert og tilgjengeliggjort 6 #DIV/0! Enhetlig og helhetlig 6 #DIV/0! Etterlevd og systematisk fulgt opp 6 #DIV/0! Ledelsesforankret Ledelsens ansvar for arbeidet med internkontroll 6 Ledelsens holdning til internkontroll 6 Tydeliggjort ansvar, myndighet og roller Dokumentert og formalisert 6 Tilpasset virksomhetens egenart, risiko og vesentlighet Tilpasset egenart 6 Tilpasset risiko og vesentlighet 6 Integrert i virksomhetens styring, prosesser og aktiviteter Integrert i aktiviteter og prosesser 6 Integrert i styring 6 Formalisert og dokumentert, kommunisert og tilgjengeliggjort Internkontrollen er formalisert og dokumentert 6 Internkontrollen er kommunisert og tilgjengeliggjort 6 Enhetlig og helhetlig Enhetlig utforming 6 Helhetlig utforming 6 Etterlevd og systematisk fulgt opp Etterlevelse 6 Systematisk oppfølging 6