SIRK 2 - 2012

Transcription

SIRK 2 - 2012

SIRK
Styring – Internrevisjon
Risiko – Kontroll
Nummer 2, vinter 2012, 20. årgang
Fokus på compliance
Manglende hodelykt,
vernebriller og hørselsvern for å beskytte mot
støy fra passerende fly.
,
elm
j
h
nde er og
e
l
g
ll
n
Ma rnebri sbelte.
ve erhet
sikk
Gaver er ikke
tilbørlig sikret.
Manglende airbag.
Manglende vernesko
med piggsåler.
Kjære julenissen
Vi har identifisert en rekke brudd og mangler etter vår
hms-revisjon. Vennligst korriger disse snarest.
Etikkundersøkelse
Prosjektrevisjon
Informasjonssikkerhet
Samarbeid med
tredjeparter
Risiko – fra budskap
til erkjennelse
Julen nærmer seg med stormskritt, og
nisser, juletrær og pepperkakehus er i
ferd med å innta både kontorlandskap
og hjem. Vi må imidlertid til en annen
del av bibelen for å finne tidenes
første registrerte compliance-brudd;
nemlig scenen der Adam tar en bit av
det forbudte eplet. Avisforskrifter de
siste tiår vitner om at det ikke var det
siste…
REDAKTØRENS
Internrevisjonsstandardene definerer
compliance som ”adherence to
policies, plans, procedures, laws,
regulations, contracts and other
requirements”. Ordet compliance kommer fra det latinske
complere som betyr å fylle opp. Hva rollen fylles med og
ikke minst hvem som fyller rollen som compliance officer
varierer fra virksomhet til virksomhet. Compliance kan
begrense seg til etterlevelse av et utvalg lover og forskrifter,
via fokus på utvalgte risikoområder som korrupsjon til å
dekke etterlevelse av interne og eksterne lover og regler for
alle virksomhetens prosesser.
SPALTE
For noen bransjer krever lovgiver at selskapene har en
compliance-funksjon, mens man i andre bransjer står fritt til å
velge. I dette nummeret ser vi nærmere på bakgrunnen for
utviklingstrekk og trender innenfor compliance, og vi møter
compliance officers fra en rekke ulike bransjer. Intervjuene
viser bredden i både bakgrunn og fokusområder.
WorldCom sett en gryende tendens til å straffeforfølge
virksomheter og individer for handlinger som vurderes
som uetiske og ulovlige først i etterpåklokskapens lys.
Compliance-brudd kan koste virksomhetene dyrt, enten i
form av bøter, tap av omdømme eller til og med fengselsstraff. I tillegg til god risikohåndtering og internkontroll,
trekkes kultur og en felles etisk plattform frem av intervjuobjektene som elementer som bidrar til å redusere risiko
for compliance-brudd. Artikkelen om etikkundersøkelser gir
oss verdifull innsikt i hvordan Oslo Børs i samarbeid med
Ernst & Young har valgt å måle kjennskap til og etterlevelse
av bedriftens etiske retningslinjer, og ansattes oppfatning
av ulike etiske dilemmaer som de kan møte i sin
arbeidshverdag.
Et fellestrekk som er vel verdt å merke seg fra intervjuene er
at compliance-miljøet beskriver samarbeidet med internrevisjonen som godt. I tillegg nevner flere at de savner et
forum for diskusjon og mulighet til å dele erfaringer med
andre compliance-officers. Dette er gode nyheter for et
fremtidig nettverk for compliance, som foreningen arbeider
med i disse dager.
Redaksjonskomiteen ønsker å takke alle bidragsytere til dette
nummeret, og samtidig oppfordre leserne til å ta kontakt
dersom dere har innspill til temaer dere ønsker å lese eller
skrive om.
På vegne av redaksjonskomiteen ønsker jeg dere alle en
fredelig adventstid og et riktig god nytt år.
Virksomheter står i dag overfor et sett av stadig mer
komplekse lover og regler. I tillegg har vi siden Enron og
REDAKSJONS
KOMITEEN
Ansvarlig for
dette nummeret av
SIRK
Mari Vonen
PricewaterhouseCoopers AS
Postboks 748, Sentrum,
0106 Oslo,
M: 95 26 01 60
mari.vonen@no.pwc.com
Reidar Døli
Oslo Børs
Tollbugata 2
0152 Oslo
reidar.doli@oslobors.no
Esa Leporanta
Forsvarsdepartementet
Glacisgata 1
0151 Oslo
esa.leporanta@fd.dep.no
Randi Almås
Norges Bank
Postboks 1179 Sentrum
0107 Oslo
M: 95 76 02 88
randi.almas@norges-bank.no
Se mer info på www.iia.no
2
SIRK nr 2. 2012
Kristoffer Igdun
C. J. Hambros plass 2
0164 Oslo
Kristoffer.igdun@nav.no
Janne Britt Saltkjel
Styrets representant
Deloitte AS
Postboks 347 Skøyen
0213 Oslo
M: 99 12 01 95
jsaltkjel@deloitte.no
Innhold
2
4
6
8
12
16
18
20
22
24
26
29
31
33
34
37
42
46
48
50
51
Redaktørens spalte
Styrets leder har ordet
Fokus på Compliance
Compliance starts at the top
Trender innenfor complianceområdet
Compliance officer for antikorrupsjon i Multiconsult
Intervju med Compliance officer Thales
Intervju med Carine Smith Ihenacho
Intervju med Compliance funksjonen i DNB Markets
Intervju med Frede Aas Rognlien
Opprettelse av et Compliance Forum
Informasjonssikkerhet underbygger god intern kontroll – og motsatt!
Samarbeid med tredjeparter – en helhetlig og praktisk tilnærming der risikoen er størst
Etikkundersøkelse
Øvrig stoff
Nettverk risikostyring
Referat fra halvdagsseminar i regi av Nettverk risikostyring
Prosjektrevisjon
Internrevisjon av utkontrakterte sentrale prosesser
Kvinner i økonomisk kriminalitet
Kritikk av Riksrevisjonen – riktig eller galt?
Bokomtale: Huset Rothschild
Bokomtale: Omgitt av løgnere
Foreningsnytt
52
53
54
58
63
Noen inntrykk fra European Conference i Amsterdam
Noen inntrykk fra The IIA 2012 International Conference i Boston, USA
Tillitsvalgsamlingen 2012
Nyheter fra sekretariatet, IIA og andre samarbeidspartnere
På tampen
NORGES INTERNE REVISORERS FORENING
President
Martin W. Stevens
Gjensidige Forsikring
Postboks 276
1326 Lysaker
M: 95 75 01 92
martin.stevens@gjensidige.no
Programkomitéen
Karl Ludvig Mauland
BDO AS
Postboks 1704 Vika
0121 OSLO
M: 902 40 488
karl-ludvig.mauland@bdo.no
Informasjons- og
promoteringskomitéen
Alf Martin Hanssen
Statsbygg
Postboks 8106 Dep
0032 Oslo
J: 22 95 40 10 M: 92 21 44 66
amh@statsbygg.no
Redaksjonskomitéen
Mari Vonen
0106 OSLO
M: 952 60 160
mari.vonen@no.pwc.com
Konferansekomitéen
Carl Gunnar Lunde
SG Finans AS
Postboks 105
1325 Lysaker
M: 416 09 245
carl.gunnar.lunde@sgfinans.no
Nominasjonskomitéen
Petra Liset
0106 OSLO
M: 952 60 152
petra.liset@no.pwc.com
Foreningsekretariat
Ellen M. Brataas
Generalsekretær
M: 97 62 05 65
ellen.brataas@iia.no
Svein Stabekk
Foreningssekretær
M: 93 23 79 12
svein.stabekk@iia.no
Postadresse:
Norges Interne Revisorers Forening
Postboks 1417 Vika,
0115 Oslo
post@iia.no
Besøksadresse:
Munkedamsveien 3 B, 3. etg.
0161 Oslo
SIRK: Publikasjon fra Norges Interne
Revisorers Forening, NIRF
Antall utgivelser pr. år: 2
Opplag: 1.300
Meninger og påstander som fremkommer i artikler eller innlegg er
ikke nødvendigvis sammenfallende
med NIRFs syn.
Neste utgave:
Juni 2013
Har du bidrag til bladet?
Ta kontakt med redaksjonens leder
for frister m.m.
Årsabonnement: Kr. 150
Annonsepriser:
Kr. 5.000 for en helside
Kr. 3.000 for en halvside
(mva. tilkommer)
Grafisk produksjon:
Dalby Grafisk
Forsidebilde: iStockphoto
Styrets leder
HAR ORDET
Lederen har ordet
Jeg hadde gleden av å delta på seminaret Risiko – fra
budskap til erkjennelse som ble arrangert av nettverk
risikostyring. Det var en fornøyelse å skue utover den
fullsatte salen. Det var tydelig at dette var et tema som
fenget både de som har tittel som inneholder ordet
risikostyring og andre av oss som bærer internrevisjonstittel, men er levende opptatt av kvaliteten i virksomhetens risikostyring. Dette er et synlig bevis på vårt
formål om å være en forening som er opptatt av alle
aspekter ved risiko- og virksomhetsstyring. For meg
ville det virket dumt om vi som bor i et relativt lite land
om vi som forening ikke skulle ta i mot utfordringen om
å gi faglig støtte til alle de som arbeider innenfor det
utvidede fagfeltet risiko- og virksomhetsstyring. I tråd
med denne tankegangen opprettet NIRF i fjor nettverk
risikostyring og den har til de grader nettopp vist sin
eksistensberettigelse. Men i tillegg til dette har vi også
hatt et oppstartsmøte med medlemmer som arbeider
innenfor området compliance eller som av andre grunner
er opptatt av videreutvikling av dette fagområdet.
Oppstartsmøtet resulterte i nedsettelse av en arbeidsgruppe som skal fremme forslag til styret om videreutvikling
av nettopp dette fagområdet. Ikke for å foregripe begivenhetene, men det er mitt håp at Generalforsamling i
2013 kan fremme et forslag om å godkjenne opprettelse
av et nettverk compliance innenfor NIRF.
NIRF går foran i utviklingen, men vi ser etter hvert at
andre deler av den internasjonale virksomheten til IIA
også begynner å diskutere i samme baner. Det er klart at
på sikt må en forening som appellerer også til andre viktige kontrollinstanser som risikostyring og compliance, ta
inn over seg konsekvensene dette kan ha for foreningens
struktur og organisering. Dette er også noe vi allerede nå
begynner å diskutere på styrenivå. På den ene siden
kjenner man en viss uro for å endre den gjeldende tilstanden. Man vet hva man har og ikke hva man får.
4
SIRK nr 2. 2012
På den andre siden mener jeg at en forening som
insisterer på å beholde og bevare et snevert interessefelt
risikerer å gå ut på dato på samme måten som middelalderens lauger. Selvfølgelig skal man passe på at man
ikke på veien ødelegger de gode verdier som finnes i
foreningen i dag, men dette er noe jeg personlig ikke er
redd for skal skje når det er kloke internrevisjonshoder
som skal styre og overvåke utviklingen!
For meg er utviklingen et steg videre på veien der internrevisorer trer frem fra skyggene og synliggjør det som
opptar oss, nemlig god risiko- og virksomhetsstyring i de
virksomhetene vi jobber i. Derfor gledet det meg også da
jeg kunne konstatere at både NIRF sin webside og websiden til Styreinstituttet annonserer en felles konferanse i
Brussel om hvordan styremedlemmer kan få nytte av
internrevisjon. På samme konferanse skal det også
presenteres en uttalelse om arbeidet våre respektive europeiske foreninger ECIIA og EcoDa har gjennomført om
nettopp dette temaet. Det neste må være at dette dokumentet skal være mer kjent i Norge og jeg kan love at vi
allerede nå arbeider med planer for dette.
Som President for en høyst levende og fremtidsrettet forening er det min glede å ønske dere alle en god jul og et
godt nyttår!
Hvordan sikre måloppnåelse?
Deloitte Internrevisjon
Helhetlig forretningsforståelse og proaktiv risikostyring er avgjørende for virksomheters
måloppnåelse. Deloitte kobler strategisk innsikt, bransjeerfaring og spisskompetanse innen
risikostyring og internkontroll. Vi vektlegger et fremoverskuende perspektiv og nært samarbeid
med våre klienter.
Ta gjerne kontakt med våre eksperter for å finne ut hva vi kan gjøre for din bedrift.
Kontakt:
Eivind Skaug
partner
+47 915 18 997
eskaug@deloitte.no
Karenslyst allé 20
0213 Oslo
Tlf: 23 27 90 00
www.deloitte.no
© 2012 Deloitte AS
SIRK nr 2. 2012
5
Compliance starts at the top
ved Izabella Salicath, KPMG
Hvordan ble den såkalte compliance officer så etterspurt og så viktig på så få år?
Det er ikke lenge siden begrepet ”compliance officer” dukket opp i norske stillingsannonser, og fortsatt er det få i samfunnet som vet hva en compliance officer egentlig er.
Ikke minst sliter mange organisasjoner selv med å definere oppgavene til en compliance
officer, og hva en slik funksjon skal ha ansvaret for. Behovet for en compliancefunksjon
er der, spørsmålet er hvordan en compliancefunksjon skal finne sin rolle i en organisasjon. Finnes det en fasit på hvordan en compliance officer bør arbeide, rapportere, og
hvordan samspillet bør være med øvrige funksjoner i organisasjonen?
Historisk tilbakeblikk – FCPA og SOX
I USA har compliancefunksjonen eksistert lenge, gjerne i svært
regulerte industriforetak, for eksempel farmasøytisk industri og
innen finans. For andre bransjer kom funksjonen seilende inn
som en direkte konsekvens av 2000-tallets regnskapsskandaler,
med Enron som muligens det største skrekkeksempelet. For å
forhindre lignende fadeser innførte amerikanske myndigheter
Sarbanes–Oxley Act av 2002 (SOX) og behovet for compliancefolk ble prekært. Som et resultat av SOX, måtte toppledelsen personlig bekrefte nøyaktigheten av finansiell
rapportering. Scott Cohen, redaktør og utgiver av Compliance
Week, daterer starten av utbredelsen av compliancefunksjonen
til år 2002 da en tale ble holdt av SEC (U.S. Securities and
Exchange Commission) kommisjonær Cynthia Glassman. Der
oppfordret hun bedrifter til å utpeke en "offiser for samfunnsansvar." Ansvarsområdene til funksjonen skulle inkludere etterlevelse, design og implementering av interne kontroller,
retningslinjer og prosedyrer for å sikre etterlevelse av lover og
regler. Fra hennes tale kan man lese: ”While the CEO cannot
delegate his or her ultimate responsibility, to fully carry out the
mandate of Sarbanes-Oxley and the Commission's rules, a
company should have an officer with ownership of corporate
compliance and ethics issues, and of what Title III of SarbanesOxley broadly refers to as "Corporate Responsibility."
Sarbanes–Oxley alene er ikke ansvarlig for amerikansk fokus
på compliance. Som nevnt har andre strenge amerikanske
lovreguleringer også vært drivkreftene bak compliancefunksjonene. Som et eksempel kan nevnes Foreign Corrupt
Practices Act av 1977 (FCPA). Som et resultat av US Securities
and Exchange Commission undersøkelser på midten av 1970tallet, innrømmet over 400 amerikanske selskaper å ha utført
tvilsomme eller ulovlige utbetalinger i overkant av $ 300
millioner til utenlandske offentlige tjenestemenn, politikere og
politiske partier. Ett eksempel var bestikkelser foretatt av
Lockheed-ansatte, der tjenestemenn fra luftfartsselskapet
Lockheed betalte utenlandske tjenestemenn for å favorisere
selskapets produkter. Et annet var Bananagate-skandalen der
Chiquita Brands hadde bestukket presidenten i Honduras for å
innføre lavere skatter. Kongressen vedtok FCPA for å hindre
videre bestikkelser av utenlandske tjenestemenn og for å
gjenopprette tilliten til integriteten til amerikanske virksomheter og måten disse virksomhetene drev business på.
6
SIRK nr 2. 2012
Kort fortalt er FCPA et regelverk som sammen med SOXregimet er svært utfordrende å etterleve og som gjelder for alle
selskaper som er børsnotert i USA, samt deres datterselskaper.
Derfor er dette også blitt relevant for norske organisasjoner.
Mange selskaper i Norge er omfattet av regelverkene og har
håndtert disse i mange år, for eksempel legemiddelindustri.
Nå venter man også på implementeringen av UK Bribary Act,
som i stor grad er like utfordrende å etterleve som FCPA, om
ikke mer.
Med blikket mot Europa – først bank så forsikring
Baselkommittén (The Basel Committe on Banking
Supervision) for banktillsyn setter standarder, retningslinjerer
og anbefalinger som er normgivende for de fleste tilsynsmyndigheter. Komitéen utgjør et globalt nettverk for tilsynsmyndigheter og kvalitetssikrer det lokale tilsynssamarbeidet
gjenom regionale kommitéer. 29. april 2005 publiserte
komitèen en veiledning for compliancefunksjonen i banker.
Ved hjelp av et sett med prinsipper, illustrerer veiledningen
hvordan etterlevelse av lover, regler og standarder som styrer
bankvirksomhet bidrar til å opprettholde bankenes tillit hos
aksjonærer, kunder, ansatte og markedet generelt. Dokumentet
inkorporerer god praksis for å kunne bistå banker i designet og
implementeringen av en effektiv compliancefunksjon. Samtidig
understreket komitéen at rammeverket er veiledende og ikke
begrenser den enkelte bank til å selv definere den organisatoriske eller operasjonelle tilnærming. Kravet er dog at enhver
bank må være forberedt på å vise at metoden som ble valgt er
effektiv i arbeidet med bankens særskilte utfordringer.
Professor Arnold Schilder, medlem av komitèen forklarte
bakgrunnen for et veiledende dokument: “When the Basel
Committee issued a first draft of this paper in October 2003, it
made a conscious choice to issue a principles-based rather than
a prescriptive document. Thanks to the many constructive
comments received, we have further refined and clarified this
approach, in particular the operational implications for smaller
banks that cannot – and do not need to – put in place the same
structure and processes necessary in larger or more complex
institutions. The Committee expects continuing evolution in
compliance risk management and will be monitoring future
trends and developments with great interest.”
På forsikringsområdet har Solvency II Direktivet som beskriver
kommende regler for forsikringsbransjen, presisert rollen til
compliancefunksjonen ytterliggere. Målet med det nye regelverket er økt beskyttelse for forsikringstakerne, samt å bedre
stabiliteten i finansmarkedene. Kravene til styring og kontroll
vil også øke med det nye regelverket, herunder kravene til å
formalisere og dokumentere styrings- og kontrollprosessene.
Direktivets artikkel 46 hjemler kravene til en compliancefunksjon:
Privat sektor
Eier
Ekstern revisjon
Revisjonsutvalget
Styret
Konsernledelsen
Virksomhetsområde
Støttefunksjoner
Intern revisjon
STABER
RISIKOSTYRING
INTERNKONTROLL
Article 46 - Internal control
COMPLIANCE
1. Insurance and reinsurance undertakings shall have in place
an effective internal control system.
That system shall at least include administrative and
accounting procedures, an internal control framework,
appropriate reporting arrangements at all levels of the
undertaking and a compliance function.
2. The compliance function shall include advising the administrative, management or supervisory body on compliance
with the laws, regulations and administrative provisions
adopted pursuant to this Directive. It shall also include an
assessment of the possible impact of any changes in the
legal environment on the operations of the undertaking
concerned and the identification and assessment of
compliance risk.
Compliance i norsk regelverk og funksjonens plass i
forhold til risikohåndtering, overvåkning og internrevisjon
Bortsett fra særskilt lovhjemmel for compliance i verdipapirfondforskriften, er risikostyringsforskriften av 22. september
2008 det nærmeste vi kommer en generell hjemmel for
compliancefunksjon innen finans i Norge. Merk at begrepet
”compliance” ikke nevnes i forskriften. Formålet med forskriften er å bedre foretakenes risikostyring og internkontroll
gjennom å utdype styrets og ledelsens ansvar utover det som
følger av selskapsrettslige regler og regler i særlovgivningen.
Akkurat som Baselkomitèens tilnærming, er forskriften
generelt utformet og presiserer at foretakenes risikostyring og
internkontroll skal tilpasses virksomhetens art, omfang og
kompleksitet, jf. § 2.
Det er lett å se at vi beveger oss mot koblingen mellom risikostyring og internkontroll og compliancefunksjonen. Vi må
heller ikke glemme internrevisjonen. For mange er det en
utfordring å finne compliancefunksjonens plass i et virvar av
ulike funksjoner og finne en hensiktsmessig organisering for å
sikre en effektiv arbeidsfordeling. Tabellen som viser de tre
forsvarslinjene er flittig brukt. Kort oppsummert skal risikoene
selskapet møter håndteres av de operative ansatte.
Støttefunksjonene, deriblant compliance, skal sørge for overvåkning/monitorering. I tillegg kommer internrevisjon på siden
for å sørge for en uavhengig bekreftelse til styret. Det er viktig
å huske på at disse prinsippene er på god vei inn i statlig virksomhet, særlig gjennom implementeringen av rammeverk for
risikostyring. På den måten kan man argumentere for at
”compliance” også finnes i statlig virksomhet.
1
Førstelinje forsvaret
Daglig risikohåndtering
2
Andrelinje forsvaret
Risiko overvåking
3
Tredjelinje forsvaret
Uavhengig bekreftelse
Stat
Stortinget
Riksrevisjonen
Regjeringen
v/dep
Ledelsen i virksomheten
Virksomhetsområder
Støttefunksjoner
Intern revisjon
STABER
RISIKOSTYRING
INTERNKONTROLL
1
Førstelinje forsvaret
Daglig risikohåndtering
2
Andrelinje forsvaret
Risiko overvåking
3
Tredjelinje forsvaret
Uavhengig bekreftelse
Selv om det er fint med billedlige oversikter, viser erfaringene
at mange fortsatt har problemer med å finne en god arbeidsdeling mellom de ulike forsvarslinjene. Et eksempel til illustrasjon kan være Finanstilsynets kommentarer i forbindelse med
tilsyn av et verdipapirforetak: «Finanstilsynet vil presisere at
det er Foretakets Compliance som har ansvaret for kontroll av
etterlevelse. Dette er imidlertid ikke til hinder for at også andre
i Foretaket eller Konsernet selv har et ansvar for å sørge for
etterlevelse av lover og regler. Konsernets internrevisjon kan
bistå Compliance, men internrevisjonens hovedoppgave er bl.a.
å vurdere om Foretakets compliancefunksjon er tilstrekkelig og
effektiv, jf. vpf. § 9-10, og slik at ansvaret for kontroll av etterlevelse ligger hos Compliance og ikke internrevisjon»
Oppsummering - ulike bransjer, ulik fokus, ulik
organisering
Det finnes compliancefunksjoner i ulike bransjer i Norge og
disse funksjonene har ulik fokus og ulik måte å arbeide på.
Noen arbeider med korrupsjon, samfunnsansvar og etikk, andre
med konkurranserett. Fokusområdene deres skyldes utvilsomt
en mer eller mindre bevisst risikoevaluering av hva de største
risikoene for deres bransje er. Det som imidlertid er det aller
viktigste for en compliance officer er:
”Compliance starts at the top. It will be most effective in a
corporate culture that emphasises standards of honesty and
integrity and in which the board of directors and senior
management lead by example.” (Basel Committee on Banking
Supervision).
SIRK nr 2. 2012
7
Trender innefor complianceområdet
Av Eli Moe-Helgesen, PwC
PwC har de siste to årene gjennomført en studie sammen med tidsskriftet Compliance Week rettet mot
ledere av compliance-funksjoner, primært i USA. I årets undersøkelse deltok compliance-ledere fra 119
selskap. Undersøkelsen har til hensikt å kartlegge trender innenfor compliance-området, og retter fokus mot
temaer som innhold i compliance-funksjonen, hvordan funksjonen legger mål og evaluerer måloppnåelse, bruk
av teknologi og organisering. Selv om undersøkelsen retter seg mot amerikanske foretak, ser vi likevel trekk
og endringer som er av interesse for norsk næringsliv.
I denne artikkelen har vi oppsummert de viktigste funnene fra årets compliance-studie, og snakket med noen
norske ledere for compliance-funksjoner for å høre om de kjenner seg igjen i funnene fra studien.
Compliance-funksjonen er i ferd
med å bli ”fastlege”
Årets undersøkelse viser at compliancefunksjonens rolle stadig mer ligner
fastlegens. Fastlegen gjør helsesjekk,
setter mål sammen med pasienten, overvåker symptomer og indikasjoner på
problemer, og sender deg videre til
spesialist ved behov.
Chief Compliance Officer overvåker
og leder virksomhetens arbeid med å
håndtere etterlevelsesrisikoer, mens det
endelige ansvaret for disse oppgavene
fortsatt ligger - og bør ligge – i de staber
og forretningsenheter som har ressurser
og kompetanse til å løse den aktuelle
risikoen.
veiledning om ulike regulatoriske risikoer
og spørsmål.
Undersøkelsen viser at scopet og omfanget av compliance-ansvarliges
oppgaver utvides. For nesten alle risikoer
vi har spurt om, herunder anti-korrupsjon,
konkurranserett, etikk, import/eksport,
leverandørkjedeutfordringer, bruk av
sosiale medier, etiske retningslinjer er nå
compliancefunksjonen involvert på en
eller annen måte. Compliancefunksjonen
jobber stadig tetter sammen med andre
interne funksjoner som IT, juridisk
avdeling, internrevisjon, finansfunksjon
og helse/miljø/sikkerhetsfunksjon, og gir
Utfordringer for compliancefunksjonene
18
Undersøkelsen viser at det er fortsatt er
hindringer som gjenstår før complianceansvarlig kan sies å lede en effektiv,
proaktiv funksjon. De utfordringene som
oftest nevnes er fragmenterte IT-systemer,
stramme budsjetter, skiftende og økende
regulatoriske krav, og ikke minst utfordringer med løpende å dokumentere
overfor ledelse og styre at complianceområdet er viktig, og at funksjonenes
oppgaver løses på en effektiv måte.
2
17
1
14
4
10 14
15
15
5 0
2 0
19
2
7
11
1
8
SIRK nr 2. 2012
2
3
2 0
En problemstilling som tydelig fremkommer er utfordringer relatert til
måling av effektiviteten av complianceaktivitetene, eller mer presist, hvordan en
forsikrer seg om at de ansatte i organisasjonen virkelig etterlever viktige lover og
retningslinjer. Undersøkelsen viser at det
er med god grunn – man forventer økt
behov fra interessentene for bekreftelse
for at organisasjonen følger lover og
regler. Man forventer særlig økte forventninger fra regulatører, revisjonsutvalg og
virksomhetens viktigste eksterne
forretningspartnere.
Bruk av teknologi
Undersøkelsen viser en generell utfordring knyttet til bruk av teknologi. Et
overveiende flertall av virksomhetenes
governance/risk/compliance (GRC)relaterte oppgaver løses ved hjelp av desk
top-programmer som Word, Excel og
SharePoint. Bare for en håndfull konkrete
oppgaver, som ved compliance relatert til
finansiell rapportering, etikktrening,
medarbeiderundersøkelser og i saksbehandling sier flertallet at de benytter
teknologi.
Undersøkelsen viser også at de interne
funksjonene som vanligvis samarbeider
om GRC-relaterte oppgaver, i mindre
grad enn forventet deler IT-verktøy.
Eksempelvis svarer 47 prosent av respondentene at internrevisjonen bruker ITverktøy som ikke deles med andre funksjoner. Bare 20 prosent har felles verktøy
med internrevisjonen.
Ad hoc-tilnærming til bruk av teknologi
er foruroligende seg selv, ettersom det
øker risikoen for silotenkning. Manglende
deling kan føre til lite effektiv datafangst,
duplisert informasjon eller inkompatible
data. Mange forteller at de ikke anvender
historiske data eller henter ut effekter fra
allerede gjennomførte IT-investeringer.
Dette, kombinert med nye utfordringer
som cloud computing, bruk av sosiale
medier og større datamengder på mobiltelefoner gjør det utfordrende for
compliancefunksjonene å få tilgang til
relevante data for å evaluere risiko.
Hva er erfaringer fra norske
compliance-funksjoner
Vi har snakket med 6 som jobber med
compliance i norske bedrifter. Et klart
trekk som kommer frem i våre samtaler
er utviklingen mot en mer helhetlig
tenkning. De store selskapene tenker ikke
bare på utfordringer som antikorrupsjon
for seg, hvitvasking for seg, konkurranserett for seg. Stadig flere erkjenner at dette
er temaer som griper i hverandre og at
virkemidlene for å skape en god intern
kultur er å etablere gode ledelseskontroller, god tone fra toppen, robuste etiske
retningslinjer, god opplæring og felles
system for monitorering av etterlevelse.
Noen forteller imidlertid at de fortsatt har
et stykke igjen å gå før man kan si at
interne funksjoner som har ett eller annet
complianceansvar kan sies å jobbe
sammen. Det pekes av noen på at særlig
risikovurderinger kan samordnes bedre,
eksempelvis mellom internrevisjonen og
compliancefunksjonen, og at revisjoner
og monitorering også bør gjøres mer
enhetlig.
Organisering oppleves av noen som utfordrende. Flere peker på utfordringen i at
det i dag ikke er noen definert standard
eller modell for hva som er ”godt
compliance-arbeid”. Alle er enige om at
compliance handler om å skreddersy
organisering, tiltak og prioriteringer til
den enkelte virksomhet, slik man sikrer
etterlevelse og god etisk atferd tilpasset
den enkelte virksomhets rammebetingelser og risiko.
☞
SIRK nr 2. 2012
9
Ellen-Katrine Thrap-Meyer,
Telenor
Cecilie Wetlesen Borge,
Norske skog
Lene Svenne,
Kongsberg Gruppen
Ellen-Katrine Thrap-Meyer er Group
Compliance Officer i Telenor
Cecilie Wetlesen Borge,
Compliance Officer and Company
Secretary i Norske Skog
Lene Svenne, Corporate Compliance
Officer Kongsberg Gruppen
”Arbeidet med å etablere en Code of
Conduct for Telenor startet i 2003. I starten
handlet dette om å sette en standard for
konsernet, i dag har konsernet kommet langt
i å ha en Code of Conduct som er fullt
integrert i selskapets strategi og daglige
drift”, forteller Ellen-Katrine.
Etter den første implementeringen har
Telenor videreutviklet standarden slik at
den inkluderer flere temaer og er stadig
tydeligere på hva slags etisk atferd som er
viktig for konsernet. Ellen-Katrine forteller
at det i Telenor er flere funksjoner som
jobber med ulike elementer av compliancearbeidet. Governance-ansvaret har gjennom
årene vært forvaltet av juridisk funksjon.
Funksjonene som jobber med ulike deler av
de interne regelsettene har hele veien
jobbet tett, med en felles prosess for ajourhold, publisering og strømlinjeforming. I tillegg har konsernet etter hvert fått på plass et
felles regelsett for hvordan man håndterer
brudd på interne regelsett og reaksjon på
avvik. På konsernnivå er ellers samarbeid på
kryss og tvers nå ett av tre særlig prioriterte
områder, hvor det gjøres evalueringer og
settes opp korresponderende tiltak.
Telenor har vært opptatt av viktigheten av at
de etiske retningslinjene er eid av og forankret i styret, og Ellen-Kathrine mener at
dette er avgjørende for at regelsettet skal få
den oppmerksomhet som kreves for at den
virkelig skal etterleves i organisasjonen.
”Ellers er en klar trend at der Code of
Conduct og etisk atferd tidligere kunne
presenteres som noe spesielt, så forventes det
i dag rett og slett at dette er på plass”, sier
Ellen-Kathrine. ”Det å ha en ansvarlig holdning reflektert gjennom de aksjoner selskapet
iverksetter er i dag en forutsetning. Et godt
etisk regelverk gir selskapene en tydeligere
identitet. For hvem er du hvis du ikke har en
Code of Conduct?” avslutter hun.
10
SIRK nr 2. 2012
Norske Skog det siste halvåret gjort
organisatoriske endringer på området
for internkontroll. Den tidligere internrevisjonen med selvstendig rapportering
til revisjonsutvalget er omdannet til en
Business Control Function (BCF).
Denne skal rapportere til CFO, og dessuten ha rådgivning og beslutningsstøtte
som sentrale oppgaver, til forskjell fra
den mer avgrensede revisjonsrollen
som internrevisjonen tidligere hadde.
Compliancefunksjonen ligger i juridisk
avdeling, og samarbeider med både
BCF, HMS og IT om compliancerelaterte tema innen deres arbeidsområder. ”Organisering er vanskelig,
men det må ikke ta oppmerksomheten
bort fra formålet. Det viktige er at alle
tenker helhetlig og unngår siloer, slik at
vi holder kontroll over våre verdikjeder
og den samlede internkontrollen gjør
konsernet mer robust i prosesser,
beslutninger og aktiviteter. På denne
måten utnytter vi ressursene best
mulig”, sier Cecilie.
Cecilie viser til at compliance er et
område der folks bevissthet har utviklet
og utvidet seg gjennom de siste 10-15
årene, og bruker følgende bilde: ”Dette
er omtrent som når vi kaster aviser og
glassflasker,” sier hun. ”Til å begynne
med var det uvant å kildesortere, men
nå kunne det ikke falle oss inn å kaste
dette i den vanlige søpla. Og nå kildesorterer vi også lignende søppel, som
andre typer glass og papir. På samme
måte er det med compliance. Det som
var kunstig og strengt for noen år siden
er naturlig i dag. Denne økte bevisstheten er selvforsterkende, og kolleger
ser selv nye complianceproblemstillinger i gamle vaner.”
Lene Svenne forteller at Kongsberg
Gruppen etablerte sin Code of Ethics i
2004. I 2009 besluttet konsernet å etablere
en Compliance-funksjon som har fokus på
vedlikehold og implementering av konsernets etiske regler. Compliance-funksjonen
speiler den operative organisasjonen med
en ansvarlig for hvert av konsernets 4
forretningsområder. Corporate Compliance
Officer rapporterer direkte til CEO, og på
hans vegne til revisjonsutvalg og styret.
"Vi er en forholdsvis operativ compliancefunksjon", forteller Lene. Compliancefunksjonen jobber etter en handlingsplan
som baserer seg på en risikovurdering.
Handlingsplanen favner en rekke aktiviteter, som vedlikehold av retningslinjer,
etikk-opplæring for alle ansatte i konsernet, samt spesialtilpasset opplæring ut i fra
risiko og den aktuelle ansattes rolle og
behov. En sentral aktivitet av implementeringen av compliance har vært innføring
av rapportering fra forretningsområdene til
konsernledelsen, hvor den enkelte leder
bekrefter at de etiske retningslinjer er
implementert, beskriver risikoområder og
forbedringsplaner mm. Aggregert statusrapport legges deretter frem for styret.
Dette har vist seg som en effektiv måte å
bevisstgjøre lederne og skape eierskap og
involvering fra hele virksomheten.
Konsernet har ikke en egen internrevisjon,
men compliance-funksjonen gjennomfører
et begrenset omfang av evalueringer og
monitorering for å påse etterlevelse av
interne og eksterne regler. Med bred
erfaring fra internrevisjon har Lene en
gjennomtenkt strategi for hvordan revisjoner
gjennomføres på en effektiv måte, og ser
generelt fordelen med at compliance og
internrevisjon jobber nært hverandre. For å
sikre armlengdes avstand og uavhengighet
benytter compliance-funsjonen eksterne
co-souringspartnere til enkelte av disse
internrevisjonene.
ET BEVISST VALG
BDO har over 40 rådgivere som leverer og utvikler tjenester innen internrevisjon
risikostyring, internkontroll, IT-revisjon, informasjonssikkerhet og gransking.
Lokal forankring og nærhet til kundene er viktig for oss. Kundene våre liker det.
Vi er levende opptatt av faget vårt, og målet er å gi den beste kundeopplevelsen.
For mer informasjon om hva vi kan hjelpe deg med, ta kontakt med:
Anders Lausund
Internrevisjon, risikostyring
og internkontroll
anders.lausund@bdo.no
Erling Grimstad
Gransking og forebygging av
misligheter
erling.grimstad@bdo.no
Rune Waage
Bank og finans
rune.waage@bdo.no
Kent M. E. Kvalvik
IT-revisjon og -sikkerhet
kent.kvalvik@bdo.no
Morten Thuve
Offentlig sektor
morten.thuve@bdo.no
Karl-Ludvig Mauland
Tjenesteansvarlig
karl-ludvig.mauland@bdo.no
www.bdo.no
BDO er et av Norges største revisjons- og rådgivningsselskap med 1.200 ansatte ved
kontorer over hele landet. Vi tilbyr tjenester innenfor hovedområdene; revisjon, rådgivning,
skatt og avgift samt foretaksservice som regnskap og lønn.
SIRK nr 2. 2012
11
Intervju med compliance officer for
antikorrupsjon i Multiconsult
Multiconsult er et av Norges og Nordens ledende miljøer innenfor rådgivning og prosjektering. Selskapet
har mer enn 1400 ansatte som jobber innenfor fagdisiplinene olje og gass, bygg og eiendom, industri,
samferdsel, energi og miljø. I tillegg til oppdrag i samtlige deler av Norge, utfører Multiconsult oppdrag
internasjonalt, bl.a. i utviklingsland. Multiconsults virksomhet stiller store krav til samfunnsansvar og
etisk standard.
Med bakgrunn i skjerpede lovkrav mot
korrupsjon og Multiconsults satsing i
utlandet, har selskapet de siste par årene
jobbet med å styrke selskapets håndtering av korrupsjonsrisiko. Som følge
av dette arbeidet besluttet Multiconsult å
etablere en rendyrket Compliance
officer-funksjon med ansvar for virksomhetens antikorrupsjonsprogram.
Janne Britt Saltkjel har
fra i sommer innehatt
rollen som Compliance
officer, først som innleid
konsulent fra Deloitte og
fra 10. desember som
fast ansatt. Funksjonen er underlagt leder
for Kvalitetsstyring, Trond Kristensen,
som inntil Janne Britt ble ansatt, også
hadde rollen som Compliance manager.
Kan du si litt om bakgrunnen for etablering av denne compliance-funksjonen?
Trond: Korrupsjon er en av
Multiconsults mest alvorlige risikoer.
Vi har oppdrag i regioner med høy
korrupsjonsrisiko, og tilfelle eller
mistanke om korrupsjon kan i verste fall
stenge selskapet ute av markedet. For å
sikre etterlevelse av både skjerpede
internasjonale lovkrav og intern nulltoleranse mot korrupsjon, er det nedlagt
et betydelig arbeid i videreutvikling av
policier og prosedyrer samt opplæring.
Vi erfarte underveis at vi hadde et behov
for både tilførsel av kompetanse og
kapasitet på området. Deloitte ble
januar 2012 engasjert som rådgivere,
representert ved Janne Britt Saltkjel
som prosjektleder og Albert Wolders
som fagspesialist, for å bidra til å
operasjonalisere Multiconsults antikorrupsjonsprogram. Antikorrupsjon er
12
SIRK nr 2. 2012
imidlertid ikke en engangsjobb, men et
kontinuerlig arbeid som innebærer
løpende risikovurderinger, integritetsundersøkelser, dilemmahåndtering,
opplæring m.v. Det ble i løpet av våren
besluttet å etablere en egen compliance
funksjon med ansvar for den videre
implementeringen og forvaltningen av
det nye antikorrupsjonsprogrammet.
Hva er Compliance officers mandat og
hvordan er funksjonen organisert?
Trond: I Multiconsult er compliance en
del av avdeling for Kvalitetsstyring, noe
som ikke er uvanlig i virksomheter innen
rådgivning og prosjektering.
Kvalitetsstyringsfunksjonen forvalter
Multiconsults styringssystem, herunder
system for kvalitetsplaner og usikkerhetsstyring i oppdrag, revisjoner for monitorering av etterlevelse av lover og
forskrifter og interne retnignslinjer inkludert antikorrupsjon. Nyansatt
Compliance officer er gitt mandat å
forvalte Multiconsults antikorrupsjonsprogram, herunder gjennomføre og følge
opp risikovurderinger og implementering
av kontrolltiltak, integritetsundersøkelser
og opplæring, oppfølging og overvåking.
Mandatet er gitt av administrerende
direktør. Arbeidet skal dekke både
Multiconsult og datterselskaper.
I tillegg er Compliance officer leder av
Multiconsults Etikkråd som håndterer
etiske dilemmaer av ulik karakter.
Compliance officer rapporterer både
faglig og administrativt til leder for
Kvalitetsstyring, men har rapporteringslinje til administrerende direktør og til
styret for å sikre uavhengighet.
Hvilke krav stilles til rapporteringsinnholdet og er det foretatt noen revisjon
av compliance-funksjonen?
Trond: Inntil nå har arbeidet vært
organisert som et prosjekt med
rapportering av fremdrift og
risikoer til en styringsgruppe, i
tillegg til løpende rapportering
til leder for Kvalitetsstyring.
Det blir også rapportert fra
prosjektgruppen med Compliance officer
i spissen til administrerende direktør
eller seksjonsledere når det er nødvendig. Den endelige rapporteringsformen
er under utvikling, men det er klart at
fokuset vil være på de områdene der
risikoen er størst. Den rendyrkede
compliance funksjonen er for øvrig
såpass ny at den ikke har vært gjenstand
for egen revisjon.
Hvilken faglig bakgrunn var aktuell for
Compliance officer og hva er de viktigste
kvalifikasjonen?
Trond: Da vi utformet Compliance
officer-stillingen, var vi åpne for at
vedkommende kunne være en ingeniør,
økonom eller jurist. Det var videre en
forutsetning at Compliance officer hadde
minst 10 års fartstid i yrkeslivet etter
masterstudier, hvorav mer enn fem måtte
være fra risikostyring og internkontroll.
De øvrige ansatte i Kvalitetsstyring er
enten ingeniører eller økonomer med
mange års relevant arbeidserfaring.
Compliance officer i denne rollen vil
dessuten ha en stor kontaktflate, og skal
man lykkes med implementeringsprosjekter som omfatter mange – eller
alle – medarbeiderne, må man kunne
kommunisere på en konstruktiv måte.
For Multiconsult var det viktig med en
løsningsorientert person med gode
kommunikasjonsferdigheter både på
norsk og engelsk.
Janne Britt: Jeg er selv utdannet siviløkonom, og har sertifisering som CIA og
CRMA. Min yrkesbakgrunn er bl.a. fra
kredittrisiko og finans, virksomhetsstyring, internrevisjon samt rådgivning
innen risikostyring og internkontroll.
Det siste året har jeg også jobbet med
antikorrupsjon bl.a. for Multiconsult.
Etter hvert som prosjektet skred frem ble
det tydelig at rollen i Multiconsult ikke
bare ville være en overvåkende funksjon,
men også kreve betydelig operasjonell
involvering med både linjen (oppdragslederne) og andre deler av organisasjonen. Dette passet meg bra og var medvirkende til at jeg meldte min interesse
for stillingen.
Hvilke verktøy og metoder benytter dere
i compliance-arbeidet?
Janne Britt: Compliance-arbeidet i
Multiconsult bruker ulike verktøy for
risikovurdering – et for en overordnet
vurdering av risikoen for korrupsjon i
oppdrag - en slags screening - og et
annet verktøy for et dypdykk dersom den
overordnede risikovurderingen tilsier
dette. Et slikt dypdykk tar for seg ulike
risikoelementer som skal dekkes av et
adekvat antikorrupsjonsprogram, bl.a.
tiltak for å unngå bestikkelser og
smøring, for å håndtere gaver og invitasjoner, innkjøp, tredjeparter osv. Denne
risikovurderingen danner fundamentet
for arbeidet som gjøres for å håndtere
korrupsjonsrisiko i de enkelte oppdragene.
Et annet sentralt element i antikorrupsjonsprogrammet er integritetsundersøkelse av tredjeparter. Vi har her etablert
en metode som identifiserer «røde flagg»
basert på diverse faktaopplysninger om
tredjeparten. I tillegg gis opplæring der
dilemmatrening er et hovedelement.
Risikovurderingene, kontrolltiltak,
integritetsundersøkelsene og hvem
som har gjennomført opplæring, føres i
registre og danner grunnlag for
rapportering og oppfølging.
Kan du si litt mer om hva antikorrupsjonsprogrammet og complianceoppgavene innebærer i praksis?
Janne Britt: I praksis innebærer
antikorrupsjonsprogrammet at
korrupsjonsrisiko vurderes både i salg
og tilbudsfasen og i gjennomføringen av
oppdrag. Tilbudsteamene skal foreta
risikoscreening ved vurdering av om
man skal levere tilbud. Dersom risikoen
for korrupsjon er lav, er Multiconsults
vanlige rutiner for styring av oppdrag
ansett for tilstrekkelige. Hvis vurderinger
konkluderer med moderat eller høy
risiko, skal det foretas en grundigere
vurdering av risiko for korrupsjon og
mulige kontrolltiltak. Hensikten er å
sikre at Multiconsult kan iverksette
nødvendige og egnede tiltak for å få
korrupsjonsrisikoen til et akseptabelt
nivå. Slike tiltak kan for eksempel være
bruk av spesielt erfarne oppdragsledere,
at ansatte og innleide konsulenter i
oppdraget er kjent med og aksepterer
Multiconsults etiske retningslinjer, at
nøkkelpersoner sikres antikorrupsjonsopplæring, at det gjennomføres
integritetsundersøkelser, at det er robuste
rutiner for innkjøp og fakturering i
oppdraget osv. Der det ikke er mulig å
få risikoen ned på et akseptabelt nivå, vil
det være grunn til ikke å gi tilbud.
Det er viktig med tidlige overordnede
risikovurderinger, slik at man kan
bruke ressursene der risikoen er størst
og sette inn forebyggende tiltak tidligst
mulig.
Dersom Multiconsult går videre og
vinner oppdraget, og risikoen anses å
være moderat eller høy, vil Compliance
officer bistå oppdragsteamet med å få
gjennomført en oppdatert og mer
detaljert risikovurdering og implementerte tiltak for å ta «rest»-risikoen
(iboende risiko redusert med kontrolltiltak) ned til et akseptabelt nivå.
For at tilbudsteam og oppdragsteam skal
kunne vurdere korrupsjonsrisiko, skal
Compliance officer gi opplæring i antikorrupsjon for nyansatte og for ledere,
samt innføring i verktøyene som
benyttes.
Compliance officer vil i samarbeid med
Kvalitetsstyring gjennomføre revisjoner
og stikkprøver rettet mot korrupsjonsrisiko, for å påse at verktøyene er riktig
brukt og risikoene fornuftig vurdert og at
egnede internkontrolltiltak er besluttet og
utøves.
Dette innebærer at Compliance Officer
samarbeider med flere funksjoner:
- Linjed, herunder tilbudsteam og
oppdragsteam, for identifisering og
håndtering av risikoer
☞
SIRK nr 2. 2012
13
- Kvalitetsstyring i etablering av
retningslinjer og oppfølging gjennom
revisjoner
- HR med hensyn til periodisk opplæring, samt særskilt opplæring av
nyansatte og ledere
- Økonomi for overvåking
I sum betyr dette at Compliance officer
vil ha utstrakt kontaktflate i virksomheten.
Hvilke erfaringer har dere gjort dere så
langt, mht utfordringer og suksesskriterier?
Trond: Det tar tid å endre arbeidsvaner
og holdninger. Multiconsult har mer enn
1400 ansatte hvorav flere hundre i
rollene som oppdragsledere og oppdragsansvarlige for krevende oppdrag
innen energi, olje & gass, samferdsel &
infrastruktur, bygg og anlegg.
For en vellykket implementering av
Multiconsults antikorrupsjonsprogram,
er det helt nødvendig med en compliancefunksjon som kan bistå med spiss-
kompetanse på risikostyring og internkontroll rettet mot korrupsjonsrisiko, og
som kan se oppdragsmengden på tvers
og slik bidra til en helhetlig styring av
korrupsjonsrisiko og riktig ressursbruk.
I tillegg til organisatorisk synlighet, er
det avgjørende med klar støtte fra toppledelsen. Det er bred forståelse og
erkjennelse i organisasjonen av at
korrupsjon er en alvorlig risiko som
Multiconsult i høyeste grad må forholde
seg til og håndtere. Det er likevel helt
avgjørende at administrerende direktør
Christian Nørgaard Madsen, som tiltrådte primo september, har vært og er
utvetydig og klar med hensyn til viktigheten av dette arbeidet. I Multiconsult er
det nulltoleranse for korrupsjon.
Janne Britt: Det er jo slik at noen oppfatter min rolle som Compliance officer
som en politi-rolle som først og fremst
skal overvåke andre, eller fange opp
svikt. Rollen er imidlertid mer operativ
og forebyggende. Jeg opplever på mange
måter at jeg jobber i grensesnittet
mellom risikostyring, internkontroll og
internrevisjon. Utfordringen for meg i
tiden fremover blir å utvikle en funksjon
og rolle som gjør det naturlig for medarbeidere å trekke på Compliance
Officer som en rådgiver og naturlig
bidragsyter i tilbuds- og oppdragsprosessen der korrupsjonsrisikoen krever
spesiell håndtering.
Hva kunne dere som jobber med
compliance ønske var mer tilgjengelig
på den faglig siden?
Janne Britt: Jeg skulle gjerne utvekslet
erfaringer med andre complianceenheter, både om antikorrupsjon spesielt
og compliance generelt. Det vil være
interessant å få mer innsikt via kurs,
seminarer, nettverkssamlinger eller
artikler, hvordan den enkelte funksjonen
har strukturert arbeidet, hvilke oppgaver
de definerer innenfor compliancefunksjonen, metoder, opplegg for
rapportering, årshjul og avgrensning mot
andre kontrollfunksjoner.
Vi ønsker våre
lesere en riktig
god jul og et
godt nytt år!
14
SIRK nr 2. 2012
www
.pwc.no/gransking
www.pwc.no/gransking
Hvor
godt
kjenner
du
H
vor go
g
odt kj
enner d
u
egentlig
dine
forretningse
gentlig d
ine ffo
orretnings fforbindelser?
orbindelser?
PwC Gransking er Norrge
ges
ledende ffagmil
agmil
g ljjø innen
inne
foreb
bygging, avdekking og
gransking av økonomisk
kriminalitet
Samfunnet sstiller
tiller sstadig
tadig hø
yere kr
avv ttil
il ttransparens
ransparens og eetikk
tikk i nær
ingslivet. Samt
idig øk
er
Samfunnet
høyere
krav
næringslivet.
Samtidig
øker
sponering ffor
or rrisiko
isiko som følg
ffølge
ølge a
næringslivets ek
ende g
lobalisering, ent
en gjennom
næringslivets
eksponering
avv øk
økende
globalisering,
enten
re
egulatoriske kr
avv el
ler ul
ike ttyper
yper for
fforretningsforbindelser.
orreetningsfforbind
or
elser.
regulatoriske
krav
eller
ulike
PwC tilbyr en strukturert og risik
kobasert tilnærming som gir trygghet til at dinee ffor
orretningsforbindelser har en transpareent strukturr, etisk for
forretningsatferd
erd og at de ikke forbind
forbind
o
es med
ulovlige eller uetisk
sk
ke handlinger.
Vi har lokale og dedikerte eksperter i Norge og tilgang til et verdensomspennende nettverk
k
med nasjonale og regionale team verden over.
Mads
M
ads B
Blomfeldt
lomffeldt
Direktør
952 60 652
mads.blomffeldt@no.pw
eldt@n
no.pw
wc.com
K
Kristian
ristian W
Wey
Weydahl
eydahl Thaysen
ey
Th
Thaysen
Direktør
952 60 172
kristian.thayyssen@no.pwcc.com
E
Erik
rik Arvnes
Arvnes
Senior Manager
952 60 551
erik.ar vnes@no.pwc.com
enerett.
denne
© 2012 PwC. Med ener
ett.
e I den
nne sammenheng rrefererer
eferere
er “PwC” seg til PricewaterhouseCoopers AS, Advokatfirmaet PricewaterhouseCoopers AS, PricewaterhouseCoopers
Skatterådgivere
uavhengige
International
Accounting AS og PricewaterhouseCoopers
useCoopers Skatterådgiver
e AS som alle er separate juridiske enheter og uavhengig
e medlemsfirmaer i PricewaterhouseCoopers Inter
national
Limited.
Bård
Foto: Bår
d Gudim
SIRK nr 2. 2012
15
Intervju med Compliance officer Thales
Thales Group er et fransk forsvar- og elektronikkselskap med 67 000 ansatte i over 50 land.
Selskapet er en sentral aktør innen forsvar, luftfart, transport og sikkerhetssystemer verden over.
Erik Normann Warberg er juridisk direktør og compliance officer i Thales Norge. Han er blant annet
leder for foreningen Bedriftsjuristene under Norges Juristforbund, og er medlem av Fagutvalget for God
Virksomhetsstyring Juristenes Utdanningssenter (tilknyttet Norges Juristforbund og advokatforeningen).
1. Hvem gir mandatet til compliancefunksjonen?
Styret i Thales S.A. (det franske morselskapet) som eier 100 % av Thales
Norge gir mandatet til compliancefunksjonen på globalt og lokalt nivå.
2. Har styret/revisjonsutvalget/ledelsen i
din virksomhet aktivt fokus på
compliance?
Ja – compliance er et viktig fokus helt
ifra toppledelsen i gruppen og gjennom
organisasjonen. Compliance-rollen er
tett knyttet til toppledelsen i selskapene i
gruppen: De største landene har egne
compliance direktører som rapporterer til
juridisk direktør, mens i mellomstore
land dekkes rollen av juridisk direktør
selv. I de minste landene (med mindre
enn 150 ansatte) fyller som regel
administrerende direktør compliancerollen. Det er verdt å merke seg at
Thales S.A. sin administrerende direktør
også er selskapets styreformann i
henhold til mellomeuropeisk praksis.
sikre at selskapet operer trygt og sikkert,
og på betryggende avstand fra gråsoner.
Thales ønsker at alle ansatte skal ha
gode etiske ryggmargsreflekser og
kompetanse. For å sikre dette gjennomføres det omfattende e-læringsprogram,
og obligatorisk samtale med Compliance
Officer. En viktig del av compliancearbeidet er å tilrettelegge for at informasjon tilgjengeliggjøres og kan fremskaffes. Selskapet har utviklet en
plattform med linker til relevant
informasjon, som kontinuerlig holdes
oppdatert. Godt trente ansatte skaper
trygghet for at det tas riktige valg på
alle nivåer i organisasjonen.
Selskapet følger en rekke frivillige
standarder som Common Industry
Standards for European Aerospace and
Defense og IFBEC (International Forum
on Business Ethical Conduct for the
Aerospace and Defence Industry).
4. Hvordan avgrensens compliancefunksjonens oppgaver?
Thales har gått fra et lovperspektiv til et
ERM-perspektiv. Selskapet har definert
”risk owners” som har hovedansvar for
at de ulike prosessene i selskapet er
compliant. Compliance-funkjonen
samarbeider med risikoeierne, og er en
koordinator og tilrettelegger som bidrar
til at risikoeierne - med den spesifikke
3. Hva er mandatet/formålet med
compliance-funksjonen?
Å bidra til at lover/ regler/retningslinjer
etc. overholdes i tråd med vårt samfunnsansvar. I praksis betyr dette å
kjenne til hva vi skal være compliant i
forhold til, ha tett samarbeid med
prosesseiere i de ulike fagområdene,
sørge for at medarbeidere
får opplæring innen området
ormålet til
og for så vidt sentralt ifra
funksjonen
ved internkontroller osv.
eksterne lover, regler og retningslinjer.
Opplæring og kunnskap er alfa og omega
for å forhindre compliance-brudd.
5. Hvem rapporterer compliancefunksjonen til?
Compliance Officer i Norge rapporter til
administrerende direktør for den norske
virksomheten, samt til Corporate
Compliance Director i Paris.
6. Hvilke krav stilles til rapporteringsinnholdet?
En rekke krav til flere dokumenter og
rutiner skal tilfredsstilles, både i dybde
og bredde; compliance medarbeidere
som sådan har sine rapporteringer som i
stor grad ivaretar bredde og så er det en
rekke rapportering og målinger/
kontroller i de ulike fagaksene. Dette for
å ivareta helheten i vårt compliance
regime. Prosesseiernes rapportering
oppsummeres på landnivå av den lokale
compliance-ansvarlig og rapporteres til
Corporate Compliance Director. I tillegg
identifiseres konkrete compliance-mål
på prosessnivå basert på compliancerapporteringen.
7. Hvilke verktøy og metoder benytter
dere i compliance-arbeidet?
En kombinasjon av ”selvangivelse”
innenfor hvert domene, samt felles
gjennomgang av svar på flere nivåer.
Der det passer har vi også
kvantitative målinger.
complianceCompliance-ansvarlig
innebærer derfor
gjennomgår ”selvangivelsen” og stiller spørsmål
å bidra til å skape en kultur
Formålet til compliancetil prosesseier for å sikre
som hensyntar mer enn
funksjonen innebærer
kvalitet i svarene. Videre er
derfor å bidra til å skape
det utstrakt samarbeid med
lover og regler.
en kultur som hensyntar
Corporate i denne fasen.
mer enn lover og regler. For Thales er
kompetansen de besitter innen sine
For å sikre compliance i forhold til lover
etikk et viktig element; det er viktig å
fagfelt – er compliant med interne og
og regler abonnerer vi på Lovdata. Vi
F
16
SIRK nr 2. 2012
mottar ukentlige oppdatereringer innenfor relevante områder, og oppdaterer
interne prosesser ved behov.
8. Har avdelingen forutsetninger
(kompetanse/ressurser/tilgang til
informasjon) for å tilfredsstille de krav
som stilles i mandatet?
Absolutt – globalt sett er også dette en
funksjon som er styrket de senere år i
forhold til tilføring av ressurser. Som en
aktør i forsvarsindustrien, og med hovedkunder fra offentlig virksomhet er det
viktig for Thales å ha orden i eget hus.
9. Hvilken fagbakgrunn har de ansatte i
Ca 80-90 % av Compliance Officers i
Thales har juridisk bakgrunn, resterende
er sivilingeniører og økonomer. Risk
Owners som har ansvar for compliance i
prosessene har fagbakgrunn i forhold til
det angjeldende fagfelt. Compliance
Officers trekker på ulike fageksperter
ved behov.
10. Hva er de viktigste kvalifikasjonene
som trengs for å jobbe med compliance?
Bred og god erfaring med virksomhetens
område, kundens omgivelser og spilleregler. Evne til å se ting på tvers og i
sammenheng, samt vurdere reell risiko.
Hos Thales er compliance integrert i
forretningsprosessene og compliancerollen skal ligge så tett opp mot toppledelsen som mulig, og utføres av enten
administrerende direktør,
finansdirektør eller juridisk
direktør. Det er med andre en
rolle som ikke kan fylles av en
nyutdannet eller personer som
ikke har kjennskap til virksomhetsområdet.
G
11. Hvordan samarbeider man med
andre fagområder i selskapet og spesielt
funksjonene innenfor andre og tredje
forsvarslinje?
Vi har et tett samarbeid både vertikalt og
med andre Thales selskaper om de
forskjellige aspekter som vedrører
Compliance, herunder etikk og samfunnsansvar.
12. Er det noe fagmiljø som man kan
dra nytte av i Norge/internasjonalt?
For Thales har vi et omfattende internasjonalt nettverk med 200 jurister og
advokater som de lokale Compliance
officers benytter seg av. Som Compliance
Officer for Thales Norge benytter jeg
stort sett interne ressurser. Det er viktig å
skille prosess- og fagspørsmål innenfor
hvert domene. Eksempelvis ved nasjonale spørsmål knyttet til selskapsrett
søker jeg råd hos mitt norske nettverk
som har ekspertise innenfor dette
området.
på fokusområder og rapporteringskrav.
Bedriftsjuristene favner bredden av ulike
bransjer og industrier.
14. Hva er de viktigste utviklingstrekkene i compliance-funksjonen de
siste tre årene?
Funksjonen har utviklet seg fra det
selvsagte - ren overholdelse av lover og
forskrifter - til å ta større hensyn til
samfunnsansvar og ta
od governance er god business, inn over seg bedriftens
omdømme. Fokuset
og dette synet reflekteres i
har med andre ord gått
fra shareholder value
virksomhetens fokus.
til stakeholder value.
God governance er
god business, og dette synet reflekteres i
13. Hva kunne dere som jobber med
virksomhetens fokus.
15. Har compliance-funksjonen vært
Som leder for Bedriftsjuristene i Norges
gjenstand for revisjon?
Juristforbund, har vi fokusert på dette i
Vi er kontinuerlig gjenstand for revisjon,
flere år, og vi er blant annet ansvarlig for både internt og eksternt. Corporate
fagdelen etikk og antikorrupsjon i neste
Internal Audit fra Paris gjennomfører
ukes store Juristkongress. I tillegg har vi
flere revisjoner, og selskapet gjenstand
omrettet en egen CRS-gruppe på
for ekstern revisjon innenfor flere ISOLinked-in. Sammenlignet med andre
standarder. I tillegg kommer revisjoner
fra forsvaret knyttet til kostnadskontrollland er fagmiljøet i Norge er fremdeles
regimet og nasjonal sikkerhet.
lite og til dels fragmentert.
Compliance-funksjonen påvirkes av
bransje- og industri, både med tanke
SIRK nr 2. 2012
17
Intervju med Carine Smith Ihenacho
Carine leder Statoils Compliance & Ethics team
Compliance advdelingen i Statoil er en
del av Statoils legal team. Avdelingen
består av ca 20 personer, og ledes av
Statoils Chief Compliance Officer.
Mandatet til funksjonen er forankret i
Statoils styrende dokumentasjon, og
særlig Statoils etiske retningslinjer, som
er godkjent av Statoils styre.
2. Har styret/revisjonsutvalget/ledelsen
i din virksomhet aktivt fokus på
compliance?
Både Statoils styre og ledelse har aktivt
fokus på compliance. Styret har en egen
HSE og etikk-komite som møter jevnlig,
og hvor etikk og compliance er en del av
agendaen. Statoils konsernledelse og de
forskjellige forretningsområdene har i
tillegg egne etikk-komiteer, hvor
compliance og etiske problemstillinger
relatert til Statoils virksomhet blir
diskutert. Etikk og compliance er også
temaer som er sentralt i Statoils
beslutningsprosesser og forretningsvirksomhet.
som blant annet gir rådgivning på
Statoils ansvar i forhold til UNs Guiding
Principles for Business & Human
Rights.
Compliance arbeidet og ansvar har klare
grensesnitt mot andre funksjoner
innenfor Statoil, som resten av legal,
avdelingen for samfunnsansvar,
internrevisjonen og corporate risk. Rent
formelt er oppgavene til de respektive
avdelingene klart beskrevet og avgrenset
i Statoils styrende dokumentasjon, hvor
compliance har et overordnet ansvar for
etikk og anti-korrupsjonsprogrammet og
Lederen for compliance advdelingen,
Statoils Chief Compliance Officer,
rapporterer daglig til Statoils General
Counsel. Chief Compliance Officer
rapporterer i tillegg jevnlig til styrets
HSE og etikk komite og årlig til Statoils
styre. Chief Compliance Officer har i
særlige tilfelle også anledning til å
rapportere direkte til Statoils CEO,
styrets revisjons komite eller styrets
formann.
Rapporteringen fra compliance
avdelingen skal både gi en oversikt
over de forskjellige elementene av
Statoils compliance program, som
trening, due diligence , saker fra den
etiske hjelpelinjen og oppdatering av
policies, men den skal også gi innsyn i
viktige eller vanskelige enkeltsaker.
Detaljeringsgraden på rapporteringen vil
være avhengig av om det er til styret
eller annet sted i organisasjonen.
Formålet med compliance avdelingen er
Vårt anti-korrupsjons compliance
først og fremst å arbeide for å redusere
program består av flere elementer.
risikoen for korrupsjon i
Sentrale områder er
Statoils virksomhet. Men vi
kommunikasjon og oppormålet med compliance
har i tillegg til gruppen for
læring, due diligence,
etikk & anti-korrupsjon
risiko-vurderinger,
avdelingen er først og fremst
også to andre grupper i
monitorering, utarbeiå arbeide for å redusere risikoen delse av prosedyrer og
compliance avdelingen.
Den ene er gruppen for
policies, involvering av
for korrupsjon i Statoils
Integrity Due Diligence
ledelsen og aktiv deltavirksomhet
(IDD), hvor formålet er å
gelse i prosjektarbeid.
utføre due diligence på
I tillegg har vi Statoils
Statoils potensielle business partnere,
ellers et rådgivende ansvar, men i
etiske retningslinjer, som gjelder for alle
for å sikre at Statoil ikke inngår forretpraksis er det en flytende overgang hvor
ansatte, og Statoils etiske hjelpelinje,
ningsforhold med selskaper som kan
personer fra de forskjellige avdelingene
hvor ansatte kan ringe eller sende epost
skade Statoils omdømme eller utsette
jobber tett ammen på ulke prosjekter.
for å få råd eller rapportere om
Statoil for annen risiko. Vi har også en
Dette er både en styrke for compliance
eventuelle misligheter eller brudd på de
gruppe som dekker hvitvasking,
arbeidet i Statoil og gjør arbeidet for oss etiske retningslinjene.
sanksjoner og menneskerettigheter, og
i compliance mer interessant.
F
18
SIRK nr 2. 2012
Ja. Vi har en kvalifisert avdelingen, med
dedikerte ansatte, med ulik bakgrunn,
som til sammen har den kompetanse vi
mener er nødvendig for å sikre et tilfredsstillende compliance-arbeid i
Statoil.
9. Hvilken fagbakgrunn har de ansatte i
Det er mange advokater i compliance
avdelingen, som er spesialister innenfor
relevant lovgivning på anti-kosrrupsjon
og andre rettsområder som omfattes av
avdelingens mandat, som sanksjoner,
hvitvasking, konkurranse og menneskerettigheter. Vi har i tillegg analysepersonell innenfor vår IDD
avdeling, med bakgrunn i innkjøp, finans og kontroll. Vi
har også en gruppe av etikk
eksperter, som følger opp våre
etiske retningslinjer og hjelpelinje.
V
10. Hva er de viktigste kvalifikasjonene
som trengs for å jobbe med compliance?
Det er selvsagt viktig å ha en god forståelse av gjeldende lovgivning innenfor
anti-korrupsjon og annen relevant lovgiving. Men det er også utrolig viktig å
ha en god forståelse for den virksomheten selskapet driver, inkludert hele
verdikjeden, og generelt forståelse for
business. I tillegg så er en del av
arbeidet til compliance å gi opplæring og
veiledning, og da er det alltid en fordel å
være tålmodig, lyttende og ha evne til å
omgås andre personer.
andre fagområder i selskapet og spesielt
funksjonene innenfor andre og tredje
forsvarslinje?
Vi samarbeider tett med mange andre
fagområder i Statoil. Vi har blant annet
et nært samarbeid med internrevisjonen
på flere områder, som for eksempel
granskning. Vi har også godt samarbeid
med resten av juridisk avdeling, andre
stabs funksjoner som finans og kontroll,
men ikke minst med de forskjellige
forretningsområdene, og da særlig i de
landene vi opplever som mest risikoutsatt.
Det samme gjelder til dels også publiseringer. Et område som kanskje kan utvikles bedre er tilbudet om ekstern sertifisering av compliance funksjoner.
siste tre årene?
Den viktigste utviklingen vi har sett de
tre siste årene er de stadig økende
kravene til hva som skal omfattes av et
«best practice» anti-korrupsjons
compliance program. For noen år siden
Ja, absolutt. Vi arbeider tett på eksterne
var det kanskje tilstrekkelig for et
rådgivere, og da særlig advokater som er
selskap å vedta en Code of Conduct,
eksperter innenfor anti-korrupsjon. Vår
men vi ser nå at kravene til et godt
erfaring er at de strengeste kravene til et
implementert compliance program
anti-korrupsjons program følger av
inneholder elementer som due diligence
engelsk og amerikansk lovgivning, så vi
av alle potensielle forretningspartnere,
har god kontakt med advokatkontore
systematisk opplæring av ansatte,
compliance som en del
av risikovurdering i alle
i arbeider tett på eksterne
prosjekter, jevnlig
monitorering av
rådgivere, og da særlig
prosesser og ikke
advokater som er eksperter
minst et aktivt
engasjement fra
innenfor anti-korrupsjon.
ledelsen.
som dekker disse områdene. I tillegg så
ønsker vi å sikre at vi til enhver tid har
en compliance avdeling som følger «best gjenstand for revisjon?
practice» på området, og vi har derfor
Ja, compliance avdelingen var gjenstand
også flere nettverk med compliance
for en intern revisjon i år, hvor formålet
avdelinger til andre selskaper, både i
var å se på effektiviteten til compliance
Norge og internasjonalt. Vi følger i
avdelingen og hvorvidt den opererer i
tillegg opp internasjonale initiativer på
henhold til styrende dokumentasjon. Vi
anti-korrupsjon, som Global Compact
har i tillegg i år hatt en gjennomgang av
og PACI.
hele vårt anti-korrupsjons compliance
program av våre eksterne rådgivere for å
sikre at det er i overensstemmelse med
krav og forventinger ikke bare etter
norsk lov, men også UK Bribery Act og
Vi mener at det i utgangspunktet er mye
US Foreign Corrupt Practices Act.
tilgjengelige ressurser på den faglige
siden. Når det gjelder kurs og seminarer
innenfor anti-korrupsjon, er problemet
heller å velge i skogen av tilbud.
Korreksjon fra forrige nummer:
Det var Jurgita Petkevičiūtė fra SEB Norge som sto for intervjuet i 2012-1 «Audrius Šapola – sikkerhet
og risikostyring i SEB Bank i Litauen. Artikkelforfatterens navn var dessverre falt ut.
SIRK nr 2. 2012
19
Intervju med Compliance funksjonen i
DNB Markets, Hanne Leirbukt Pedersen
Hanne Leirbukt Pedersen er leder av Compliance i DNB
Markets. DNB Markets er et forretningsområde i DNB Bank
og teller 740 medarbeidere. Compliancefunksjonen
disponerer 9 årsverk inklusive lederen. Verdipapirhandelloven med forskrift setter spesifikke krav til funksjonen.
Konsernpolicy for Compliance og
konsernets utdypende retningslinjer for
Compliance er vedtatt av konsernstyret i
DNB. I tillegg er det utarbeidet en
skriftlig retningslinje for innholdet i
DNB Markets’ compliancefunksjon.
compliance?
Ja. Group Compliance Officer (GCO) i
DNB lager en årlig rapport til styret.
Compliance Officer i DNB Markets
lager en kvartalsvis rapport til ledelsen i
DNB Markets, med kopi til Group
Compliance Officer og til konsernrevisjonen i DNB. Det er lagt til rette for
at alvorlige hendelser skal rapporteres
fortløpende til Group Compliance
Officer, som rapporterer videre til
aktuelle interessenter. Ellers får leder av
Markets løpende informasjon om små og
store hendelser. Compliance i DNB
Markets har opplevd en økt interesse og
fokus de siste årene.
Compliancefunksjonen er en uavhengig
funksjon som identifiserer, vurderer,
gir råd om, tester og rapporterer
compliancerisiko. Dette innebærer i
praksis:
• Rådgivning, veiledning og opplæring
• Overvåking av endringer i rammebetingelser
• Risikovurdering og plan for
compliancearbeidet
• Utarbeidelse av rapporter
• Dokumentasjon
20
SIRK nr 2. 2012
Compliancefunksjonen har i løpet av de
siste årene opplevd en sterkere grad av
formalisering med tiltagende dokumentasjonskrav til det arbeidet som utføres.
Finanstilsynet uttalte i 2010 følgende i
sine endelige merknader etter tilsyn i
DNB Markets:
Foretaket plikter å ha en effektiv og
uavhengig kontrollfunksjon med nødvendig autoritet, ekspertise og ressurser.
Kontrollfunksjonen skal gjennom
løpende kontroll, regelmessige vurderinger og iverksetting av eventuelle tiltak
sikre at foretaket oppfyller sine forpliktelser.
Det forventes fra Finanstilsynets side
gjennomføring av risikovurderinger og
etablering av tiltak, kontroller, logging
av hendelser og formell rapportering av
compliancesituasjonen.
4. Hvordan avgrenses compliancefunksjonens oppgaver i forhold til
andre funksjoner (interne kontroll
funksjoner, intern revisjon)
Compliance sitter nærmere Forretningsområdet enn Internrevisjonen, og
Compliance ønsker også i større grad å
jobbe forebyggende. Når det gjelder
avgrensingen mot andre interne kontrollfunksjoner kan det sies at disse jobber
mer mot kontroll av transaksjoner og
eksponering, mens Compliance jobber
mer mot oppfølging av megleratferd og
etterlevelse av god forretningsskikk.
Avgrensning til andre funksjoner oppleves ikke som en stor utfordring for
Compliance i DNB Markets.
I DNB har GCO det overordnede ansvar
for compliancefunksjonen. Det er
etablert en complianceansvarlig i hvert
forretningsområde, hvor Compliance i
DNB Markets er en av disse. Leder for
Compliance i DNB Markets rapporterer
til leder av en stabsdivisjon, som igjen
rapporterer til Konserndirektør. Leder av
Compliance har også en parallell rapporteringslinje til GCO.
6. Hvilke krav stilles til rapportinnholdet?
Den kvartalsvise compliancerapporten
inneholder en vurdering av compliancesituasjonen og beskriver eventuelle
trender. Spesielle hendelser, kontroller
eller aktiviteter omtales, og eventuelle
større klagesaker beskrives nærmere.
Aktiviteter mot DNB Markets’ internasjonale enheter omtales. Videre
kommenteres foreslåtte og vedtatte
endringer i rammebetingelser.
Compliancefunksjonen i DNB Markets
mottar også kopi av rapporteringen fra
de tilsvarende funksjonene i en rekke
utenlandsenheter, som alle har lokale
Compliance Officers.
Compliancefunksjonen gjennomfører
egne, halvårlige risikovurderinger som
ender opp i en tiltaksplan som beskriver
risikoreduserende aktiviteter og kontroller. Forut for risikovurderingene
intervjues ledere for de ulike divisjonene
om utvikling og risiko innenfor eget
ansvarsområde. Vi benytter oss også av
andre kilder når vi vurderer risiko:
Strategidokumenter, forslag til nye
rammebetingelser, medieoppslag, tilsynsrapporter, revisjonsrapporter, klagesaker,
hendelser, mv. Vi prioriterer tiltak og
aktiviteter etter hvilke områder som har
høyest risiko.
Verktøyene er ellers først og fremst
egenutviklede logger for aktiviteter,
kontroller, hendelser, klagesaker,
operasjonelle feil etc. Compliance har
tilgang til alle relevante systemer, og det
gjennomføres daglige kontroller knyttet
til transaksjoner. Det gjøres også ad hockontroller i tilknytning til enkeltoppdrag.
Ja, avdelingen har de rette forutsetninger.
Sammensetningen av strategisk-, systemog forretningsmessig kompetanse gir
gode forutsetninger for en vellykket
gjennomføring av arbeidet. Evnen til å
forstå risiko og til å prioritere mellom
oppgaver er viktige forutsetninger for å
lykkes.
9. Hvilken fagbakgrunn har de
ansatte i compliance-funksjonen?
De fleste ansatte i avdelingen har økonomi-utdannelse. Noen har revisjonsutdannelse og -bakgrunn. Det er ingen
jurister i avdelingen, men funksjonen
jobber tett sammen med DNBs juridiske
avdeling, som har en gruppe som er
spesielt allokert til forretningsområdet.
Det aller viktigste er at de som jobber
med compliance i DNB Markets forstår
forretningsvirksomheten og de største
risikodriverne.
Compliance må kunne samarbeide og
kommunisere med ledere og ansatte og
må kjenne og forstå virksomheten – det
er det viktigste.
andre fagområder i selskapet og
spesielt intern kontroll funksjoner/
intern revisjon?
Compliancefunksjonen har et godt
samarbeid med Internrevisjonen. Vi
diskuterer risiko, utvikling, risikovurderinger og bruker hverandres arbeid.
Det er også et utstrakt samarbeid med
Konsernjuridisk som har syv jurister som
er dedikert til forretningsområdet.
miljø. Det finnes dog ikke så mange
kursmuligheter. Det finnes mye på faglig
oppdatering og på nye lover og rammebetingelser, men det finnes ikke mye på
fagområdet compliance som sådan. Det
kom imidlertid nye guidelines fra ESMA
nå i sommer som gir mye input på den
faglige siden. Sertifiseringsordninger for
compliance officers finnes ikke i Norge.
I UK er vi kjent med at det er etablert en
form for sertifiseringsordning i regi av
FSA.
siste tre årene?
Det har skjedd mye i løpet av de 5 siste
årene. Arbeidet til compliance funkdra nytte av i Norge/internasjonalt?
sjonen har blitt stadig mer formalisert og
Det er etablert et eget nettverk i regi av
kravet til den prosessen som compliance
Norges Fondsmeglerforbund hvor det
følger fra risikovurdering og planarrangeres møter jevnlig. Nettverket er
legging, til gjennomføring og
rapportering med tilhørende
dokumentasjonskrav, nærmer
10. Hva er de viktigste
ompliancefunksjonen i
seg de kravene som gjelder
kvalifikasjonene som
innen
intern revisjon.
DNB Markets nyter godt av
trengs for å jobbe med
Compliancefunksjonen i
compliance?
et relativt stort internt miljø. DnB Markets har økt fra
Det aller viktigste er å
6 til 9 medarbeidere i løpet
holde på integriteten,
først og fremst opptatt av gode rammeav disse årene.
samtidig som compliance må opptre på
betingelser for virksomhetene, og
en slik måte at de blir brukt også som
compliance er et område som verdirådgivere. En compliance officer må
papirforetakene kan diskutere og
kunne spille på lag samtidig som
samarbeide på.
Ja, compliance funksjonen er revidert av
hun/han må ha evne til klart å si fra der
Konsernrevisjonen i DNB, med tilfredsdet er nødvendig. Compliance må ut i
stillende resultat! Funksjonen ble også
forretningsområdet og oppsøke de
vurdert av Finanstilsynet i et tilsyn i
enkelte miljøene for å holde seg opppå den faglig siden?
2010.
datert. Dette er spesielt viktig i og med
Compliancefunksjonen i DNB Markets
at en av rollene for Compliance er å
nyter godt av et relativt stort internt
jobbe forebyggende.
C
SIRK nr 2. 2012
21
Intervju med Frede Aas Rognlien
Frede er Head of Group Compliance Norway i SEB Norge
For SEB er dette enkelt: SEB opererer i
Norge som filial og faller inn under
kravene i MiFID som jo er tilsvarende
som lovkravene etter verdipapirhandelloven. Det er således et lovbestemt om
at vi skal ha en compliance-funksjon.
Mandatet til funksjonen er gitt av styret
gjennom instruks.
Den norske filialen har ikke noe eget
styre, men det er fastsatt en lokal
compliance instruks med bakgrunn i en
instruks fastsatt av styret i banken. I tillegg er det inngått diverse konserninterne
avtaler mv angående styring og fordeling
av oppgaver.
compliance?
Ja absolutt. SEB har også en egen Audit
and Compliance Committee som er en
undergruppe i styret. Totalt sett er vi ca
70 stykker som jobber med compliance
på gruppenivå, hvorav 5 i Norge. Jeg
oppfatter at vårt arbeid er etterspurt og
verdsatt av både styret og ledelse sentralt
og lokalt.
Mandatet er i stor grad hjemlet i lov og
forskrift. Hovedoppgaven er å bidra til å
sikre at vi som selskap opererer innenfor
lovens rammer, nærmere bestemt de
regler som er spesifikke for vår virksomhet, så som finanslovgivningsloven,
verdipapirhandelloven, med andre ord
rammene som følger av konsesjonsbelagt
virksomhet. Compliance-funksjonen
fokuserer i all hovedsak på overholdelse
av disse lovene og regelverk/instrukser
utledet av dette. Annen lovgivning som
for eksempel skatteloven og arbeidsmiljølovgivning mv faller etter min oppfatning utenfor mandatet til compliance,
og håndteres av andre i konsernet. Det er
verdt å merke seg at oppfølging av også
konkurranserett og personopplysnings-
22
SIRK nr 2. 2012
loven ligger innenfor ansvarsområdet til
compliance hos SEB. Hvordan dette er i
andre selskaper kjenner jeg ikke til i
detalj.
Grensene mellom compliancefunksjonen og risk management (første
linje), risk kontroll (herunder operational
risk control) (annen linje), internrevisjonen (tredje linje) og juridisk avdeling
skal være tilpasset virksomhetens art og
omfang. Det som i utgangspunktet kan
ansees som uklare grenser med glidende
overganger basert på kompetanse og
erfaring tydeliggjøres gjennom instruksverk og det årlige planarbeidet.
Det sentrale prinsippet er at compliance
ikke skal ha en aktiv rolle i forretningsmessige beslutninger, men det forhindrer
ikek at vi f eks kan være en premissleverandør (rådgiver) til de kommersielle
prosesser. Vårt fokus er å gi råd og
anbefalinger knyttet til compliancerelaterte forhold, men funksjonen har
ingen vetorett. Eksempelvis vil vi i
kommersielle prosesser fokusere på f eks
den faktiske etterlevelse av informasjonssperrer og interessekonflikter, men
ikke ta stilling til de kommersielle
betingelser i mandater.
Arbeidet til compliance-funksjonen kan
kanskje også sammenlignes med kvalitetskontrollfunksjoner i produksjonsselskap som jo har som en sentral jobb å
bidra til at selskapet oppfyller lov- og
forskriftskrav knyttet til produksjon og
produkter.
Compliance-funksjonen rapporterer
kvartalsvis til styret. I tillegg rapporteres
det til leder av virksomheten i Norge og
en gruppe ledere innenfor filialen i Oslo.
Tradisjonelt sett hadde compliancefunksjonen fokus på rapportering om nye
eller kommende regler, lovendringer og
korrespondanse med myndigheter. Fra
dette har vi beveget oss mot et mer
operasjonelt fokus der vi rapporterer på
hva vi har gjort med hensyn til monitorering, undersøkelser og kontroll. På
mange måter kan dette sammenlignes
med et comfort/assurance view tilvarende
det internrevisorene gjør. I tillegg rapporterer vi funn fra konkrete undersøkelser,
eksempelvis av rådgivning, transaksjoner,
AML eller markedsmisbruk. Denne
rapporteringen er ment å være et verktøy
for ledelsen å se hva som skjer, forstå
risiko og trender slik at de kan iverksette
de nødvendige tiltak endringer.
Compliance-avdelingen har etablert et
automatisert markedsovervåkningssystem som gir alarmer i forhold til
handler, og et tilsvarende system på
hvitevaskning. Disse systemene benyttes
i stor grad som et alternativ til ansattes
innrapportering av hendelser.
I tillegg benytter vi oss av informasjon
fra front- og back office systemer samt
kommunikasjon (f eks lydlogger).
Per i dag har avdelingen ikke noe eget
støttesystem for compliance funksjonen,
men det arbeides sentralt med dette.
Ja, basert på avdelingens definerte oppgaver har vi det. Vi har tilgang til all
informasjon, noe som også er fastsatt i
instruksen. Enkelte systemer har vi selv
valgt å ikke ha direkte tilgang til, men
får den nødvendige tilgang til informasjon ved behov.
9. Hvilken fagbakgrunn har de ansatte
i compliance-funksjonen?
I Oslofilialen har vi tre jurister, samt en
person med bankfaglig bakgrunn. I tillegg er den compliance-ansvarlige i SEB
Kort også jurist. Juridisk kompetanse og
forståelse er viktig, da vårt arbeid jo i
veldig stor grad består i å vurdere etterlevelse av regler.
10. Hva er de viktigste kvalifikasjonene som trengs for å jobbe med
compliance?
I tillegg til de kvalifikasjonene som følger med en juridisk bakgrunn er
kompetanse om og forståelse av
virksomheten helt sentralt.
Videre fordrer det en trygghet på
det rammeverket virksomheten
operer innenfor; her en praktisk
og pragmatisk forståelse sentralt
- vi ønsker ikke å bli oppfattet
som paragrafryttere. I tillegg
kreves en god porsjon erfaring,
man må være trygg på seg selv
og ha høy grad av integritet.
derimot bør det være slik at avlønning av
ansatte i compliance-avdelingene skal
være uavhengig av inntjeningen i selskapet, med mindre slike bonusordninger
er helt generelle og ikke knyttet opp til
subjektive vurderinger fra forretningssiden.
andre fagområder i selskapet og
spesielt funksjonene innenfor andre og
tredje forsvarslinje?
Vi samarbeider tett med både andre og
tredje forsvarslinje, i tillegg til juridisk
avdeling. Fysisk sitter vi tett på både risk
control og internrevisjonen. Vi avholder
felles møter med linjen i forbindelse med
risikovurderinger for å redusere belastningen på linjen. Videre søker vi å
Personlig tror jeg ikke at flere seminarer
eller sertifiseringer er løsningen. Det
som derimot gir stor verdi er workshops
der vi kan utveksle erfaringer på et
dypere nivå. Hva gjelder sertifisering
knytter det seg en rekke utfordringer til
slike ordninger, blant annet i forhold til
sanksjonering. Det aller viktigste er å
sikre kompetanse hos de om jobber med
compliance.
siste tre årene?
Myndighetene forventer dokumenterte
kontrollaktiviteter, noe som kan
gå på bekostning
av complianceyndighetene forventer
funksjonens rådgivende
dokumenterte kontrolloppgaver. Compliancefunksjonen er, etter min
aktiviteter, noe som kan
oppfatning, mer
gå på bekostning av
verdiskapende i en
pro
aktiv rolle der man
compliance-funksjonenes
bidrar til å sikre
rådgivene oppgaver.
etterlevelse gjennom økt
forståelse av rammene for
hva virksomheten kan og ikke kan gjøre.
fordele oppgaver for å forhindre dobbelt- Vi vil ikke være internpoliti, men ønsker
arbeid, og sikre at vi ikke ser på de
å bli oppfattet som en medspiller.
samme områdene. Planleggingen koordi- For at compliance-funksjonen skal
neres med andre ord slik at vi kan bygge fungere optimalt er vi avhengige av en
på hverandres arbeid og kompetanse.
god og åpen dialog med linjen.
”Compliance by walking around” der vi
bidrar til å bygge en kultur med færre
negative hendelser, brudd og tap er
Det norske fagmiljøet har vært relativt
derfor en sentral del i vår tilnærming.
spredt. Vi i finansbransjen har tilgang på
seminarer og informasjon fra
Fondsmeglerforbundet, i tillegg til
seminarer i regi av Finanstilsynet og
Ja, Group Internal Audit har revidert
Børsen. Fagmiljøet har blitt mer aktivt
compliance-funksjonen.
etter innføringen av formelle krav i 2007.
M
Arbeid med compliance krever at man
står opp for sine standpunkter og kan
underbygge disse og man må da også , til
en viss grad, være økonomisk uavhengig
og kunne tåle konsekvenser av en eventuell konflikt. Jeg må skynde meg å
understreke at jeg vil tro at et slikt
konfliktnivå vil høre med til de absolutt
sjeldenheter og jeg har selv ikke vært i
nærheten av å oppleve det. Jeg har sett at
enkelte vil gå så langt som å fastsette
regler om krav til etterlønnsavtaler, men
det tror jeg ikke er noen nødvendig eller
god løsning. Dette er diskutabelt, men
Ny sertifisering – les mer på s. 60
eller www.iia.no
CRMA
Certification in Risk Management Assurance
SIRK nr 2. 2012
23
Opprettelse av et Compliance Forum
Av Ellen Brataas, generalsekretær
Mange NIRF-medlemmer jobber innen compliance eller reviderer compliance-området og i tråd med foreningens
strategi om å samle forskjellige fagmiljøer, inviterte presidenten og generalsekretæren til diskusjon for å lufte
interessen for å etablere nettverk/forum innen compliance. 26 personer syntes initiativet var bra og selv om ikke
alle hadde anledning til å møte denne dagen, var 12 personer tilstede første gang.
Det finnes flere uformelle compliance-grupper i Norge på
forskjellige nivåer samt bransjespesifikke miljøer, men det
finnes ingen egen forening for compliance. I Sverige har man
til eksempel en ideell, upolitisk og nasjonal yrkesorganisasjon
for Compliance Officers, www.complianceforum.se. Dette
forumet ble opprettet for å gi Compliance Officers muligheten
til å treffes og diskutere utfordringer man møter i hverdagen i
rollen som Compliance Officer. Interessen for nettverket er stor
og utbyttet av å dele erfaringer verdifullt. I Sverige finnes det i
dag 150 medlemmer fra alle typer av finansielle virksomheter,
forsikringsselskaper, kredittinstitusjoner, verdipapirforetak,
betalingsinstitutter og børser. Grunntanken til forumet er at
rollen som Compliance Officer er den samme i ulike
virksomheter, selv om spesifikke regelverk styrer den enkelte
virksomhet.
Mye gjøres på compliance-området internasjonalt. Blant annet
finnes det en global sertifisering «Certified Compliance &
Ethics Professional, CCEP» som kanskje NIRF kunne være
formidler av i Norge. Sertifiseringen administreres av den
amerikanske organisasjonen The Society of Corporate
Compliance and Ethics (SCCE); som er “a non-profit, member
based organization for compliance professionals.”
Vi tok en runde rundt bordet blant de fremmøtte hos NIRF og
ikke overraskende har mange av våre medlemmer de samme
utfordringene knyttet til compliance. Utfordringene har to ulike
vinklinger:
1. Den ene utfordringen kan vinkles mot relasjonen internrevisjon – compliance, eksempelvis: hvordan finne de
riktige kriteriene ved revisjon av compliance-funksjonen,
bedre klarhet av grensesnittet internrevisjon/compliance,
hvordan samkjøre arbeidet mellom forskjellige kontrollfunksjoner.
2. Den andre vinklingen som ble identifisert rundt bordet er et
felles behov for en bedre forståelse av hva som inngår i
compliance-begrepet, eksempelvis: en tydelig definisjon av
compliance, hva omfattes av scopet (compliance dekker
mer enn etikk og antikorrupsjon), ønske om maler, et
rammeverk og beste praksis å se hen til, hva inngår i rollen
som compliance officer og hvordan best organisere funksjonen, konkrete og praktiske kurs og erfaringsutveksling.
Om forumet skal være et generelt nettverk, eller om det er
hensiktsmessig å dele inn i bransjer er pt. et åpent spørsmål.
Kanskje vil det være mulig å fornorske mye av det arbeidet som
24
SIRK nr 2. 2012
er gjort internasjonalt. Under møtet ble det foreslått å gjennomføre en undersøkelse for å kartlegge behov og klargjøre status i
Norge. Hvordan compliance er organisert i ulike bransjer og
hvordan funksjonen arbeider i forhold til internrevisjon og risikostyringsfunksjonen kan også være en oppgave for studenter
på Master of Management studiet i internrevisjon på BI.
Medlemmene må selv konkretiserer nærmere hva forumet/
nettverket skal stå for, så som formål, avgrensning og hva som
skal gjøres videre. Et nettverk skal formelt godkjennes av
generalforsamlingen, men det er ingenting i veien for å
etablere et mer uformelt forum i en oppstartsfase. Under møtet
ble det konstituert et foreløpig arbeidsutvalg som skal
konkretisere struktur og innhold nærmere:
– Anders Lausund, BDO
– Eli Moe-Helgesen, PwC
– Kathrine Stang-Ottersen, Norges Bank
– Erik Andersson, DNB
– Janne Britt Saltkjel, Deloitte (styrets representant)
Det blir spennende å følge med på hva arbeidsutvalget velger å
prioritere og hvilke aktiviteter vi kan se frem i mot i 2013.
Komplekse utfordringer
- tydelige løsninger
Virksomheter står stadig overfor krav til gjennomføring
av nye regulatoriske krav. Økt kompleksitet på dette feltet
tvinger frem endrede bedriftskulturer, organisasjonsstrukturer og ledelsesfokus. KPMG leverer et bredt sett av
tjenester innen for compliance-området som sikrer våre
kunders evne til å navigere fleksibelt i et dynamisk
regulatorisk farvann.
Våre tjenester inkluderer:
• Helsesjekk Compliance- egenevalueringsverktøy
• GAP-analyser i forhold til etterlevelse av spesifikke
lover og regler
• Fasilitere utvikling av og implementering av
prosesser, rutiner og retningslinjer som
reduserer compliance-risiko
• Etablering av compliance-funksjon
For ytterligere informasjon kontakt:
Sverre Lunde, Director
e-post: sverre.lunde@kpmg.no
Helge Brynestad, Senior Manager
e-post: helge.brynestad@kpmg.no
Beate Brovig Auke, Senior Associate
e-post: beate.auke@kpmg.no
Les mer om våre tjenester innenfor
Compliance Services på kpmg.no
SIRK nr 2. 2012
25
Informasjonssikkerhet underbygger god intern
kontroll – og motsatt!
Informasjon er en kritisk viktig, immateriell og uoversiktlig ressurs, og samtidig en
forutsetning for verdiskapning. Flere virksomheter opplever det imidlertid som svært
utfordrende å definere prislappen på informasjonen. Hva er den egentlig verdt?
Informasjonssikkerhet har etter en rekke hendelser de siste årene, fått økt fokus. Det er
nå viktig å se på hvordan fageksperter innen henholdsvis intern revisjon, intern kontroll,
risikostyring og informasjonssikkerhet kan samarbeide om effektive styringsprosesser.
Av Roger Ølstad, PwC
Informasjonssikkerhet handler om å
identifisere og beskytte informasjon som
er av betydning for virksomheten.
Tradisjonelt snakker vi om at informasjon:
- Ikke skal komme uvedkommende i
hende (konfidensialitet)
- Ikke manipuleres av uvedkommende
(integritet)
- Er tilgjengelig på oppfordring (tilgjengelighet)
I dagens marked er Internettsikkerhet
(Cyber security) ett av de hyppigste temaene knyttet til informasjonssikkerhet.
Dette bekreftet blant annet World
Economic Forum (www.weforum.org) i
fjor, da de i sin Global Risks report 20111
trakk Internettrusselen (Cyber threat) frem
som en av de 5 viktigste truslene virksomheter bør ha et øye med. Informasjonssikkerhet ved tjenesteutsetting/offshoring
(cloud computing), eller ved en stadig forventning om å få alle nødvendige tjenester
tilgjengelig på egne enheter (consumerization, bring your own device), anerkjennes
i årets Global Risks report2 som viktige
bidragsytere til et stadig økende trusselbilde. Det å kunne være online overalt til
enhver tid anses i dag som en selvfølge,
og vi forventer på samme måte at sikkerheten er ivaretatt.
Tidligere kunne det se ut som om mange
sidestilte informasjonssikkerhet med ITsikkerhet - hvordan vi kunne få kontroll
over og sikre informasjon i mer komplekse systemer samtidig som at trusselbildet
og angrepsvektorene i IT-verden blir
stadig mer sofistikerte. Stadig flere
virksomheter ser imidlertid ut til å
erkjenne at ikke teknologien eller IT-
avdelingen alene kan sørge for den motstandsdyktighet som er nødvendig for å
beskytte informasjon som er av betydning
for virksomheten. Ofte sporer man sikkerhetsbrudd tilbake til at ansatte har gjort
noe de ikke skulle ha gjort, enten tilsiktet
eller utilsiktet. Det er ikke mulig å konfigurere et IT-system til å forhindre alle
mulige uønskede gjerninger fra våre
betrodde ansatte og samarbeidspartnere.
Hvem har for eksempel fullstendig
kontroll på hva slags informasjon som
fyker ut via e-post daglig? Hvordan vet vi
at sensitiv informasjon ikke lekker til
uvedkommende? Med dette dukker opplæring og bevisstgjøring (awareness) opp
som meget relevante temaer innen informasjonssikkerhet.
Verdien av virksomhetskritisk
informasjon
Informasjonssikkerhetstiltak baseres som
regel på et risikoperspektiv, hvilket innebærer at de bygger på en kartlegging av
både trusler og sårbarheter som kan føre
til brudd på enten konfidensialitet,
integritet eller tilgjengelighet. Informasjonssikkerhetsrisiko formuleres som en
bestemt (uønsket) hendelse og hvilken
konsekvens denne hendelsen har for forretningen. Vi prater gjerne om informasjonsrisikostyring. Hva skjer dersom en
bestemt type informasjon kommer i gale
hender? Hva skjer dersom viktig styringsinformasjon ikke er tilgjengelig når den
trengs? Et helhetlig perspektiv på risikostyring krever at vi involverer forretningssiden, først for å forsikre at akseptansekriterier for risiko er etablert, deretter for
å formulere forretningsmessige konsekvenser ved gitte hendelser, som regel
forbundet med enten økonomisk tap eller
http://www3.weforum.org/docs/WEF_GlobalRisks_Report_2011.pdf
http://www3.weforum.org/docs/WEF_GlobalRisks_Report_2012.pdf
3
http://www.idg.no/computerworld/article258207.ece
1
2
26
SIRK nr 2. 2012
negativt omdømme. Dette er erfaringsmessig kompliserte øvelser. Forretningen
sliter med å estimere hvor stort økonomisk tap en gitt informasjonssikkerhetshendelse kan ha, eller vil få? Det samme
gjelder omdømmerisiko. Hvordan skal
forretningen vite i hvilken grad en
sikkerhetshendelse vil eskalere til
omkringliggende miljø eller media?
Disse utfordringene fører i mange tilfeller
til en symptomatisk umodenhet i risikovurderinger forbundet med informasjonssikkerhet, i form av at de ikke baseres på
en felles plattform av konsistente finansielle betraktninger, eller at de ikke forholder seg til reelle forretningsmessige
akseptansekriterier. I andre omgang kan
dette gjøre risikovurderingen til en kostbar skrivebordsøvelse som ikke tilfører
forventet verdi.
Risikovurderingene ville styrkes dersom
fagekspertise innen både intern revisjon,
intern kontroll, risikostyring og informasjonssikkerhet konsolideres i enda sterkere grad for å trekke frem de forretningsmessige verdiene av virksomhetskritisk
informasjon. Fokus bør rettes mot
sammenhengen mellom forretningsmessig
strategi og målsettinger, og virksomhetens
krav til informasjonssikkerhet.
Infonomi – et springbrett videre?
Med hensyn til verdien av virksomhetskritisk informasjon leser jeg med stor
interesse Peter Hidas’ artikkel i Computerworld fredag 26. oktober3, om forskjellen
mellom hvordan toppledelsen omtaler
virksomhetens informasjon (eller beslutningsgrunnlag), og hvordan informasjonen
faktisk håndteres. Svært ofte mangler
informasjon både verdsetting og en
bevisst forvaltning og distribusjon som
andre tradisjonelle aktiva.
Gartner er i ferd med å skissere et fag som
heter infonomi. Det sies at vi lever i informasjonsalderen, men informasjon regnes
ikke som aktiva selv om den i mange
sammenhenger omtales som et immaterielt aktivum (som copyrights og patenter).
Hvorfor er ikke dataenes verdi inkludert i
årsberetningen? Hidas begrunner i sin
artikkel dette med at informasjon betraktes som biprodukter av forretningsprosesser og forretningstransaksjoner, og at det
er nettopp her feilen ligger: Informasjon
er ofte hovedproduktet i prosesser og
transaksjoner. Hvorfor tenker ikke regnskapsførere og økonomidirektører på
samme måte? International Accounting
Standards Board definerer et aktivum som
en ressurs som organisasjonen har kontroll
over, som er resultatet av tidligere hendelser, og som høyst sannsynligvis vil
kunne bidra til at økonomiske fordeler vil
tilflyte organisasjonen. Det er vanskelig å
forstå informasjon og datagrunnlag på en
annen måte enn at det faller inn under
denne definisjonen.
I et intervju med Financial Times4 mener
Gartners Doug Laney at infonomi vil
være et godt verktøy for toppledelsen:
- For CEO fordi det vil understøtte
muligheten til å beramme en hensiktsmessig diskusjon om informasjonsverdier og understøtte en kultur som
innebærer økt bevissthet rundt hvordan
informasjon forvaltes som et viktig
element for forretningsmessig ytelse og
transformasjon.
- For CFO vil infonomi kunne gjøre det
enklere å tydeliggjøre dataenes potensiale og faktiske verdi for organisasjonen. I annen rekke vil dette kunne
være meget verdifullt i forbindelse med
investeringer og kontraktering.
- For CIO kan infonomi bidra til å forsterke rollen som forvalter av denne
stadig mer strategisk viktige ressursen.
De fleste initiativer forbundet med IT
handler om å levere informasjon inn til
ulike forretningsprosesser, og ikke om
teknologien i seg selv. Teknologien
representerer en kostnad som må veies
opp mot verdien av informasjonen som
tilgjengeliggjøres for forretningen.
Dette er kritiske betraktninger for plan4
legging og rettferdiggjøring av investeringer innen IT. Med dette som
utgangspunkt kan infonomi føre til
gode argumenter for at CIO bør ha en
fast plass rundt bordet ved etableringen
av virksomhetens overordnede strategi.
I tilfelle informasjonsverdien var inkludert
i balanse og årsberetning ville det åpenbart være enklere å si noe om det konkrete
økonomiske tapet dersom et gitt sett med
data kom på avveie eller ble forringet som
en følge av manipulasjon. Utfordringen
med å vurdere omdømmekonsekvensen
vil sannsynligvis være den samme, men
kanskje ikke lenger like relevant? Dersom
man har et bevisst forhold til hvor mye
informasjonen er verdt, bør det egentlig
ikke være særlig interessant å snakke om
omdømmekonsekvens ved informasjonssikkerhetsbrudd. Dette ville i de fleste
tilfeller ligge implisitt som en følge av
verdien av dataene.
I risikovurderinger knyttet til informasjonssikkerhet kunne vi da ha fokusert
100 % på verdien av informasjon, og forhåpentligvis rapportert et mer konsistent
og anvendelig beslutningsgrunnlag. Også
her tror jeg fagekspertise innen intern
kontroll, intern revisjon, risikostyring og
informasjonssikkerhet kan ha mye å hente
på tettere samarbeid og kommunikasjon.
Hvor er hvilken informasjon?
En informasjonssikkerhetsmessig risikovurdering skal resultere i et beslutningsgrunnlag som muliggjør optimalisert
ressursbruk på beskyttelse av informasjon.
Tradisjonelle IT risikovurderinger retter
ofte oppmerksomheten typisk mot
forretningsmessige sikkerhetskrav i ulike
deler av infrastrukturen; systemer, servere
eller applikasjoner.
En åpenbar fordel ved denne tilnærmingen er at den har klare avgrensninger med
hensyn til prosess eller system. Den gir
imidlertid begrenset kontroll på informasjon fordi den kun belyser risiko i en
enkelt prosess eller et enkelt system.
Dersom den samme informasjonen flyter
igjennom andre prosesser eller systemer,
vil risikoen bare være delvis adressert.
Tatt i betraktning dagsaktuelle temaer som
outsourcing og offshoring vet vi at store
deler av virksomhetens beskyttelsesverdige informasjon befinner seg andre
plasser enn bare innen organisasjonen
eller på organisasjonens IT aktiva. For
eksempel sendes det daglig mengder med
informasjon via e-post, eller mobile
enheter benyttes til overføring eller
lagring.
Bevisst implementering av beskyttelsesmekanismer i teknologien som benyttes er
viktig, men ikke tilstrekkelig. Et mer helhetlig perspektiv på informasjonssikkerhet
oppnås gjennom et bevisst forhold til
informasjonsverdienes fullstendige livssyklus – fra tilvirkning til destruksjon.
Virksomheten bør prioritere å få oversikt
over:
- hvor informasjonen opprettes
- på hvilke måter informasjonen kan
være gjenstand for behandling eller
endring, og hvor
- via hvilke kanaler informasjonen kan
deles/distribueres
- på hvilke måter informasjonen tilintetgjøres
En slik tilnærming handler om erkjennelsen av at informasjonstyper i løpet av
sin levetid kan passere en rekke ulike
systemer, forretningsprosesser eller lagringsmedier. Risikonivået for en bestemt
informasjonstype vil variere avhengig av
både system, prosess og medium.
Økt risiko kan for eksempel forekomme
ved berikelse (verdiøkning) i forbindelse
med behandling, eller når vi velger å lagre
data på en ukryptert minnepinne.
Figur 1. Informasjonslivssyklus
De to tilnærmingene kompletterer hverandre. Livssyklustankegangen følger en
spesifikk informasjonstype fra vugge til
grav, mens system-/prosesstankegangen
kan ta for seg mange informasjonstyper
samtidig, dog kun innenfor et gitt system
eller en gitt prosess. Tilnærming bør
velges ut i fra interesse: Eier av en
☞
http://www.ft.com/intl/cms/s/0/27476ad4-a6a5-11e1-968b-00144feabdc0.html#axzz2BpDuRtbs
SIRK nr 2. 2012
27
informasjonstype vil høyst sannsynlig
være interessert i livssyklusen, og kan
hente støtte fra risikovurderinger som går
spesifikt på systemene som inngår i
denne. Eier av et system eller en forretningsprosess ønsker antakeligvis først og
fremst et bilde av hvordan systemet er
rustet sikkerhetsmessig for å tilfredsstille
de forretningsmessige krav og målsettinger som nettopp dette systemet er tiltenkt å
skulle oppfylle.
Finansiell rapportering – et eksempel
Figuren nedenfor illustrerer prosessen
hvordan informasjon om virksomhetens
finansielle resultater tilvirkes og behandles, samt hvordan risikoen knyttet til konfidensialitet, integritet eller tilgjengelighet
kan vurderes ulikt underveis.
Informasjonen fanges først opp fra ulike
handelssystemer inn i en database, og
konsolideres deretter i et rapporteringsverktøy. Fra rapporteringsverktøyet kan vi
hente ut rapporter som grunnlag for presentasjoner, skriftlige dokumenter eller for
publisering på web. Resultatene kan frigis
når alt er forberedt og utarbeidet.
administrasjons- og kirkedepartementet
(FAD) meddelt i tildelingsbrev at informasjonssikkerhet skal være høyt prioritert og
en kontinuerlig oppgave med sterk forankring. For å gjøre innrapporteringen på
informasjonssikkerhet fra virksomheter
enhetlig og enklere, forbereder FAD innføring av et rapporteringssystem basert på
ISO/IEC 27001. For effektiv etterlevelse
av føringene fra FAD bør internrevisorer
og informasjonssikkerhetseksperter i det
offentlige etablere et samarbeid som dyrker felles forståelse for hvordan et ISMS
kan integreres med øvrige styringssystemer.
Flere virker å ha en oppfattelse av at et
ISMS er etablert og ivaretatt så lenge
virksomheten har etablert en god struktur
for styringsdokumentasjon. Dette er en
misforståelse som legger betydelige
begrensninger for en vellykket investering. Tidligere var det altså slik at man
anså denne styringsdokumentasjonen som
relevant utelukkende for IT-prosessene,
men her har det som nevnt vært en positiv
utvikling i løpet av de siste årene.
Figur 2. Informasjonssikkerhetsrisiko under finansiell rapportering.
Styringssystem for informasjonssikkerhet (ISMS)
ISO/IEC 27000-serien gir gode føringer
på hvordan man skal etablere et styringssystem for informasjonssikkerhet (ISMS,
Information Security Management
System). ISO/IEC 27001 og standardens
omkringliggende veiledninger og standarder benyttes av virksomheter ofte som en
strategisk tilnærming til informasjonssikkerhet. I offentlig sektor har Fornyings-,
28
SIRK nr 2. 2012
Risikovurderingen er det mest sentrale
elementet i et styringssystem basert på
ISO/IEC 27001. Med utgangspunkt i
denne skal det gjennomføres en bevisst
prosess for etablering av kontrolltiltak og
måleparametere som skal forsikre effektiv
deteksjon og håndtering av avvik. I tillegg
skal det etableres konkrete rutiner for
læring etter et avvik, slik at virksomheten
kan dokumentere kontinuerlig forbedring
av informasjonssikkerhetsinitiativene.
En god operasjonalisering av kontinuerlig
forbedring virker ofte å være en av de
største utfordringene ved å få et ISMS til
å fungere. Mange virksomheter baserer
denne ”kontinuerlig forbedringen” på at
ansatte oppfordres til å melde i fra dersom
de ser forbedringspotensialer. Dette er en
for enkel løsning på et fundamentalt
element i et ISMS, som undergraver
potensialet i styringssystemet. Konkrete
rutiner for kontinuerlig forbedring
kompletterer risikovurderingen. Dette
handler om oppfølging og måling av
veldefinerte kontrollaktiviteter, som en
forsikring om at disse fungerer som de
skal.
Kort fortalt ligger selve gevinstrealiseringen i et ISMS i nettopp disse rutinene.
Dette betyr at den store investeringen det
uansett vil være å implementere, drifte og
vedlikeholde et ISMS, vil være langt fra
optimalisert dersom det ikke legges vekt
på å etablere slike rutiner.
Sentrale karakteristika ved et vellykket
ISMS er dermed:
1. At det finnes en realistisk sammenheng
mellom sikkerhetspolicy, scope for
styringssystemet, bevisst utforming av
kontrollaktiviteter og risikohåndteringsplan
2. At verdien av informasjonen som
forvaltes er definert i den totale livssyklusen for informasjonen
3. At det er etablert gode rutiner for
kontinuerlig forbedring
Informasjonssikkerhet er først og fremst
et forretningsanliggende der eier av
verdiene stiller krav til sikringen av disse.
Videre har de samme eierne ansvar for å
følge opp et effektivt og fungerende
styringssystem for informasjonssikkerhet.
Selve kontrollutførelsen vil fortsatt i stor
grad være realisert gjennom ITavdelingen.
Samarbeid for god styring og kontroll
Etablering av intern kontroll tilknyttet
informasjonssikkerhet, samt revisjon av
dette, handler ikke bare om å utarbeide
eller verifisere dokumentasjon. Minst like
viktig er det å få på plass verdiskapende
prosesser for styring og kontroll over
informasjonsverdier, noe som krever et
nært samarbeid mellom fagekspertise
innen internrevisjon, intern kontroll,
risikostyring og informasjonssikkerhet.
Samarbeid med tredjeparter – en helhetlig og
praktisk tilnærming der risikoen er størst
Av Kristian Thaysen, Erik Arvnes, Mads
Blomfeldt – PwC Forensic Services
Integritetsrisikoen ved samarbeid med
eksterne parter kan være betydelig. Det
går knapt en dag uten at man i dagspressen kan lese om norske selskaper
som gjennom samarbeid med andre
parter, har blitt eksponert for uheldige
omstendigheter. Eksempler på dette er
bruk av agenter eller joint venture-partnere med tette relasjoner til offentlige
beslutningstagere, bruk av underleverandører som benytter seg av barnearbeid,
eller partnere innblandet i korrupsjon.
Det er et økende fokus på risikoen
knyttet til eksterne parter, og mange
norske virksomheter må forholde seg til
regulatoriske krav på området.
Uavhengig av regulatoriske og formelle
krav finnes også klare forventninger fra
ulike hold, eksempelvis Nærings- og
handelsdepartementet.
Et helhetlig program for å håndtere
risikoen ved samarbeid med tredjeparter
handler om å identifisere, vurdere og
håndtere risikoen knyttet til virksomhetens tredjeparter. Med tredjeparter i
denne sammenheng forstås leverandører,
kunder, distributører, rådgivere, agenter,
joint venture-partnere og andre man forholder seg til eller støtter seg til for å
utøve sin virksomhet.
Vi vil se nærmere på hvordan man kan
implementere et helhetlig program for å
håndtere denne risikoen. Et viktig element i et slikt program er gjennomføring
av integrity due diligence av potensielle
samarbeidspartnere der risikoen er
betydelig. Dette går vi også nærmere inn
på i artikkelen.
Helhetlig program for håndtering av
tredjeparter
Å lykkes med implementeringen av et
helhetlig program handler om å forstå
både hvilken risiko og hvilke muligheter
tredjeparter representerer for din virksomhet. Enten det handler om risikoen
for økonomiske tap, eller risikoen for
ikke å etterleve regulatoriske krav, ligger
nøkkelen i en risikobasert tilnærming. Ikke
minst er en slik tilnærming nødvendig for
å gjøre implementeringen overkommelig
for virksomheten, både med tanke på kostnader, kapasitet og kompetanse.
Den risikobaserte tilnærmingen bør være
styrende for både utformingen av pro-
grammet og for de løpende prosessene
under programmet.
Vi har laget en liste over 20 punkter vi
mener at gir et godt utgangspunkt for å
bygge et helhetlig program. Listen er naturlig nok generisk og må leses med utgangspunkt i forståelse av egen virksomhet.
20 punkter til hjelp ved implementering
av tredjepartsprogram
1) Et helhetlig program for håndtering av tredjepartsrisiko må ha støtte fra selskapets ledelse, og
viktigheten av programmet må kommuniseres tydelig.
2) Programmet må dekke hele virksomheten, og noen grunnleggende nøkkelfaktorer er:
a) Å identifisere hvilke typer tredjeparter som skal inngå i programmet.
b) Å implementere et system for risikoklassifisering av tredjepartene.
c) Å gi veiledning som beskriver hvilket minimumsnivå for due diligence som skal gjelde for de ulike
nivåene, og hva som er typiske risikomomenter man bør være oppmerksom på (”røde flagg”).
3) De som er ansvarlig for programmet må bygge forståelse i organisasjonen for hvorfor man har et
tredjepartsprogram. Man må få fram at det handler om helhetlig risikostyring, og ikke bare
etterlevelse av regulatoriske krav.
4) Programmet må sikre at nivået på due diligence er tilpasset løpende kunnskap om risiko.
En sjekklistebasert ”one size fits all”-tilnærming er ikke tilstrekkelig.
5) Programmet må sørge for at risikoen vurderes og relevant due diligence gjennomføres, før man
inngår nye avtaler.
6) Formålet med programmet og selskapets forventninger til tredjeparter må kommuniseres tydelig
internt og eksternt.
7) Kostnader knyttet til etterlevelse av programmet må være forhåndsgodkjent, og kostnadsallokeringen må være tydelig avtalt internt.
8) Due diligence-prosesser bør være sentralt koordinert.
9) Det må stilles entydige og ufravikelige krav til at alle tredjeparter gir tilstrekkelig informasjon og
bidrar gjennom due diligence-prosessen. Due diligence-prosessen må være risikobasert med
hovedfokus på relasjoner som innebærer særlig risiko. Eksempelvis bør man sørge for å få
kunnskap om:
a) Den reelle eierskapsstrukturen.
b) Tredjepartens historie, aktiviteter og struktur.
c) Bakgrunnen til nøkkelpersoner.
d) Hvorvidt selskapet eller nøkkelpersoner har vært involvert i ulovlige eller uetiske aktiviteter.
e) Hvilke rettslige prosesser eller andre tvister tredjeparten har vært involvert i.
f) Omdømmet til tredeparten og nøkkelpersoner og eventuelt andre risikofaktorer som er relevant
for relasjonen.
10) Informasjon gitt av tredjeparter bør verifiseres gjennom andre kilder, og ”røde flagg” må
identifiseres og håndteres.
11) Godkjenning av tredjeparter forbundet med særlig risiko bør løftes til et høyere nivå i
organisasjonen enn normalt.
12) Undersøkelser med utgangspunkt i ulike risikoområder må koordineres (integritet, insolvens,
operasjonelt mv.) for å unngå dobbeltarbeid og for å sikre en koordinert tilnærming til tredjeparten.
13) Due diligence-prosessen, herunder risikovurderinger, må dokumenteres grundig.
14) Informasjon fra due diligence-prosessen bør lagres sentralt i virksomheten.
15) De som er ansvarlig for programmet må ha tilstrekkelig kapasitet og kompetanse til å gi støtte til
organisasjonen gjennom prosessen. Om nødvendig bør man velge en eller flere eksterne rådgivere
som kan bidra ved behov, og om nødvendig sikre uavhengige vurderinger.
16) Kontrakter med tredjeparter må reflektere selskapets krav og forventninger til tredjeparten, og
inneholde relevante bestemmelser knyttet til etikk, anti-korrupsjon, revisjonsrett mv.
17) Selskapet bør etablere retningslinjer for når og hvordan man skal benytte en eventuell revisjonsrett.
Dersom man velger å benytte dette som en forebyggende aktivitet, bør det kommuniseres til de
tredjepartene det gjelder så tidlig som mulig.
18) Informasjon om tredjeparter må vedlikeholdes og oppdateres. Risikovurderinger bør gjentas
regelmessig med en frekvens tilpasset risikoen.
19) Informasjon knyttet til due diligence-prosessen bør lagres i et hensiktsmessig system som sikrer
nødvendig informasjonsflyt både internt og eksternt.
20) Due diligence-programmet må være gjenstand for løpende evaluering og forbedringer basert på
selskapets erfaringer og eventuelle endringer i rammebetingelser og krav.
SIRK nr 2. 2012
☞
29
Integrity due diligence prosessen
Formålet med å gjennomføre integrity
due diligence er på rett tidspunkt å
identifisere risiko som følger av en
eksisterende eller potensiell relasjon med
en tredjepart.
Innsatsen i hvert enkelt tilfelle må være
tilpasset iboende risiko, og ikke minst
eventuell risiko som avdekkes gjennom
prosessen. Due diligence handler om å
skaffe seg tilstrekkelig og presis
beslutningsinformasjon.
Due diligence-prosessen kan forenklet
illustreres slik:
Praktisk tilnærming knyttet til tredjeparter forbundet med særlig risiko
Særlig risiko krever særlige forholdsregler og særlige tiltak for å overvåke
risikoen. I noen tilfeller vil det ikke være
tilstrekkelig å stille spørsmål til tredjeparten og å gjennomføre eksterne
undersøkelser, men nødvendig å
gjennomføre en målrettet revisjon.
Et slikt behov oppstår unntaksvis, og må
være forbeholdt spesielle grupper av
tredjeparter som for eksempel
agenter/markedsrepresentanter eller joint
venture-partnere.
Hvis det er snakk om en eksisterende
partner kan man ha sikret seg revisjonsrett gjennom kontrakten med tredjeparten. For enkelte grupper tredjeparter
bør en vurdere å stille vilkår om slik
revisjonsrett samt faktisk gjennomføring
av slik revisjon før avtalen inngås.
En revisjon av en tredjepart har mange
fellestrekk med en spesialrevisjon i egen
virksomhet, men likevel med noen
avgjørende forskjeller, herunder:
30
SIRK nr 2. 2012
• Tredjeparten er ofte ikke vant til å bli
revidert på denne måten
• Kontaktpersoner og organisasjonen er
ikke kjent på forhånd
• Tredjeparten er ofte underlagt lover og
regler som fraviker fra det man er
vant til
• Tredjeparten opererer ofte i land med
ulik kultur, forretningspraksis og
forretningsetikk enn det man er vant til
• Tredjepartens styrende dokumenter og
prosesser er ikke kjent på forhånd
• Tredjepartens it-systemer, herunder
regnskapssystem er ikke kjent på
forhånd
Planlegging og fastsetting av
revisjonskriterier
Informasjonsinnhentingen bør starte så
tidlig som mulig, og innhentet informasjon bør løpende danne grunnlag for
detaljplanleggingen. Revisjonsprogrammet og revisjonskriteriene må
tilpasses risikoen og formålet med
revisjonen, og dessuten være dynamisk
med tanke på hvilken informasjon som er
tilgjengelig. I planleggingen kan det være
hensiktsmessig å ta utgangspunkt i
hvilken kunnskap man ønsker å oppnå
fremfor hvilken dokumentasjon man
ønsker å gjennomgå.
• Relevant og tilgjengelig dokumentasjon
kan være på fremmed språk
• Dokumentasjon kan i mindre grad
være tilgjengelig
• Tredjeparten får ikke nødvendigvis
fullt innsyn i rapporten
Disse forskjellene, og omstendighetene
rundt en tredjepartsrevisjon, innebærer at
tilnærmingen må være noe annerledes.
Basert på våre erfaringer fra slike
revisjoner, vil vi særlig nevne følgende:
Kommunikasjon
Kommunikasjonen med tredjeparten bør
skje i regi av de som normalt håndterer
relasjonen. Virksomhetens krav og forventninger, herunder bruk av revisjon
som et virkemiddel, må kommuniseres
tydelig. Det er avgjørende at tredjeparten
forstår formålet med revisjonen.
Når revisjonen er gjennomført, bør
observasjonene forelegges tredjeparten
for kommentarer før rapporten ferdigstilles. Tredjeparten bør også få se
observasjonene slik de fremkommer i
den endelige rapporten.
Gjennomføring
Revisjonen bør inkludere et besøk til
tredjeparten, men denne delen bør være
spisset og behovsstyrt. En stedlig revisjon
binder opp ressurser hos tredjeparten og
kan oppleves som utfordrende med tanke
på behov for konfidensialitet. Det er
viktig å vise hensyn til dette og diskutere
praktiske løsninger, som anonymisering
av informasjon, bruk av uavhengige
revisorer og tydelig avgrensning av
omfang. Det kan være hensiktsmessig å
bruke kjente transaksjoner (med egen
virksomhet) som utgangspunkt for å
vurdere hvorvidt regnskapet reflekterer
faktiske transaksjoner, om selskapet har
grunnleggende interne kontroller på
plass mv.
Etikkundersøkelse
Av Hanne Oppen Bieker og Elin Thrane, Ernst & Young, og Reidar Døli, Oslo Børs VPS
Bieker
Thrane
Døli
1. Formål
Spørreundersøkelser kan være nyttige verktøy for ledelsen i en
bedrift til å fange opp det som rører seg i organisasjonen, samt
bekrefte eller avkrefte et inntrykk. Undersøkelser kan også
benyttes for å måle etterlevelse av ulike retningslinjer og
rutiner på. Forutsetningen er at undersøkelsen er utformet med
basis i klare mål, at den er tilstrekkelig kvalitetssikret og forankret i organisasjonen, samt at resultatene tas hånd om på en
korrekt og løsningsorientert måte. Oppnås dette, har man et
svært godt verktøy til å iverksette tiltak der de trengs mest,
samt måle utvikling over tid.
Denne artikkelen tar utgangspunkt i gjennomføringen av en
etikkundersøkelse i Oslo Børs VPS-konsernet (OBVPS) i
oktober 2012. Konsernet består av Oslo Børs, VPS, Oslo
Clearing og Oslo Market Solutions. Internrevisjonen i OBVPS
har en co-sourcingsavtale med Ernst & Young og etikkundersøkelsen er resultatet av et samarbeidsprosjekt.
Undersøkelser med fokus på etikk kan måle alt fra kjennskap
til og etterlevelse av bedriftens etiske retningslinjer, til ansattes
oppfatning av ulike etiske dilemmaer som de kan møte i sin
arbeidshverdag. Når man utarbeider en etikkundersøkelse, er
det viktig at man først tar stilling til hva man ønsker å oppnå,
eksempelvis:
• Har alle i organisasjonen har lest de etiske retningslinjene
og konsulterer disse ved tvil?
• Brytes bedriftens etiske retningslinjer eller lover og regler
regelmessig og i så fall hvorfor?
• Har ansatte opplevd trakassering og diskriminering, og i så
fall om de har varslet om dette? Blir varslene fulgt opp tilfredsstillende?
I vårt tilfelle ønsket vi å favne alt dette uten at undersøkelsen
ble for lang og da med risiko for lav svarprosent.
I tillegg tok vi stilling til mer tekniske spørsmål:
• Ønsker man å åpne for innspill fra de ansatte i kommentarfelt?
• Skal undersøkelsen være anonym? Dette er ofte en forutsetning for å få mer oppriktige svar og høy svarprosent.
• Ønsker man å kunne skille mellom svarene med hensyn til
kjønn, alder, geografi og avdelingstilhørighet? Dette gir et
godt grunnlag for målrettede tiltak, proaktive eller reaktive,
da man enkelt kan identifisere hvor skoen trykker mest. På
den annen side kan enkelte la være å svare ærlig, eller ikke
svare i det hele tatt, da undersøkelsen mister noe av sitt
anonyme tilsnitt jo flere demografiske detaljer det bes om.
• Legger tidligere undersøkelser som man skal måle årets
resultater opp mot, føringer for utformingen?
Etikkundersøkelser som gjentas som hos OBVPS, er svært
treffsikre med hensyn til å måle trend i en organisasjon, både
på overordnet nivå og avdelingsvis. I tillegg kan effekten av
iverksatte tiltak måles og justeres dersom tiltakene ikke virker
som planlagt. Skal man måle trend kreves det at de ansatte i
stor grad tar stilling til de samme spørsmålene og problemstillingene hver gang. Det innebærer at man alt fra første
undersøkelse sørger for at innholdet er gjennomtenkt, forankret
og testet, samt at man har et mottaksapparat og en analyse- og
rapporteringsfunksjon som fungerer.
2. Forankring
Oslo Børs VPS er avhengig av høy etisk bevissthet hos sine
ansatte og en tillit i markedet for å eksistere. Noen sider ved
bevissthet om etikk lar seg måle ved registrering av hendelser,
avvik og oppnåelse av kvalitetsmål. Konsernet har likevel
funnet det nødvendig å gjennomføre etikkundersøkelser for å
måle kunnskap og bevissthet om etikk hos de ansatte. Det ble
gjennomført en undersøkelse i selskapene i 2009 med en
oppfølging av enkelte spørsmål i 2010. I mellomtiden har etikk
vært tema i avdelings- og allmøter, det er gjennomført etikkquiz, dilemmatreninger og det er lagt ut informasjon på
intranettet, men i 2012 var tiden inne for å måle tilstanden
igjen. Formelt sett er undersøkelsen gjennomført som en
internrevisjon, og forankret i de enkelte styrer ved at
revisjonsplanene er godkjent der.
3. Planlegging, utarbeidelse av spørsmål og utsendelse av
test
Det heter seg at som man spør, får man svar. Dette tilsier at
nytteverdien av undersøkelsen er avhengig av at det er lagt ned
et grunding arbeid i forbindelse med utforming av spørsmålene. Forutsetningen for gode spørsmål henger igjen sammen
med klargjøring av formålet med undersøkelsen. Hvis formålet
ikke er klart nok, har spørsmålene en tendens til å bli upresise.
Resultatet kan bli for mange spørsmål, svak kvalitet og lav
☞
SIRK nr 2. 2012
31
svarprosent og at man ender opp med en undersøkelse som gir
begrenset verdi. I den aktuelle undersøkelsen ble det tatt
utgangspunkt i spørsmålene fra undersøkelsen i 2009.
Kommentarer til spørsmålene den gang bidro til enkelte justeringer i spørsmålene og/eller svaralternativene i 2012. Vi valgte
også å bygge ut undersøkelsen med enkelte tillegg der resultatet av forrige undersøkelse tilsa at dette burde undersøkes noe
nærmere. Enkelte spørsmål og svaralternativer kom det lite ut
av sist og disse ble utelatt denne gang. Vi sto til slutt igjen med
15 spørsmål hvorav 12 var de samme som ved forrige undersøkelse og 3 var nye spørsmål. Det var dessuten gjennomført
en medarbeidertilfredshetsundersøkelse tidligere i 2012.
Ett tilleggsspørsmål tilkom som resultat av denne da et avdekket forhold egnet seg til oppfølging i etikkundersøkelsen.
Respondenter i spørreundersøkelser bruker gjerne et ”Vet
ikke”- eller ”ikke aktuelt”-alternativ hvis det er mulig. Dersom
det ikke åpnes for dette, tvinges respondentene til å ta stilling
til noe som de ikke kan svare. Dette kan forringe kvaliteten av
undersøkelsen, og bedriften kan gå glipp av verdifull styringsinformasjon om at mange ansatte som faktisk ikke har tilstrekkelig informasjon til å svare på det aktuelle spørsmålet.
I OBVSP valgte vi å bruke ”Ikke aktuelt” dersom vi vurderte
dette som et reelt svaralternativ. For spørsmål der man ønsker
at de ansatte eksempelvis skal ta stilling til en påstand, ble
alternativet hvor respondenten ikke skulle gjøre seg opp en
mening fjernet. I analysefasen er det viktig å være seg bevisst
disse valgene, da de har stor betydning for tolkning og senere
rapportering.
Grundig vurdering og formulering av svaralternativene er en
viktig del av å utarbeide en profesjonell spørreundersøkelse,
og vi jobbet mye med formulering av svaralternativene for å
sikre at resultatene skulle bli så presise som mulig. De nye
spørsmålene med svaralternativer ble deretter testet ut på 8
medarbeidere i konsernet, noen fra hvert selskap. Denne testen
resulterte i nyttige tilbakemeldinger som ble innarbeidet før
undersøkelsen ble sluppet til samtlige medarbeidere.
4. Informasjon til de ansatte og utsendelse
Utsendelsen av spørreundersøkelsen foregikk ved at
Internrevisor la ut informasjon på hjemmesiden til selskapene.
Det ble opplyst at de ansatte om kort tid ville motta en forespørsel om å delta i spørreundersøkelsen. Hver enkelt mottok
deretter en e-post fra Internrevisor med link til spørreundersøkelsen hos Ernst & Young. De ansatte visste dermed at det
var en autorisert undersøkelse de deltok i og man trengte heller
ikke oppgi e-postadressen til hver enkelt ansatt. De fikk en uke
på seg til å svare. Vår erfaring tilsier at hvis ikke ansatte svarer
på slike undersøkelser ganske raskt etter at de mottatt dem, går
hele undersøkelsen i ”glemmeboken”. Det ble derfor gjennomførte Internrevisor en purrerunde etter en uke før undersøkelsen ble stengt etter ca 14 dager.
32
SIRK nr 2. 2012
5. Rapportering
Som tidligere omtalt øker mulighetene for treffsikker måling
og rapportering ved å skille respondentene med hensyn til
eksempelvis avdelingstilhørighet, kjønn og alder. Utarbeidelse
av én rapport på selskapsnivå, for så å bryte denne ned
avdelingsvis, ga i OBVPS et godt grunnlag for å iverksette
målrettede og effektive tiltak.
Det har vært viktig å vurdere hensiktsmessighet og anonymitet
i oppsplittingen vi valgte for konsernet. Små avdelinger kan gi
et feilaktig bilde av resultatene ettersom hver ansatts svar har
langt større vekting enn for en stor avdeling. Lav svarprosent
kan gi samme skjeve bilde. Kanskje er det kun de som har tid
til å besvare som har gjort det, eller de som er spesielt engasjert eller opprørt over noe? I slike tilfeller har vi slått flere
små avdelinger sammen for å få et mer representativt utvalg.
Etter at resultatene har blitt analysert har Internrevisor
involvert relevante nøkkelpersoner og ledere for å diskutere
resultatene samt identifisere aktuelle tiltak. Generelt er det
hensiktsmessig å integrere tiltakene i en konkret handlingsplan
eller selskapets årshjul, samt fordele ansvar og tidsfrister.
Av og til kan det være hensiktsmessig å nedsette arbeidsgrupper basert på enkelte resultater, eksempelvis bekymringsfulle resultater på områder som mobbing og trakassering, eller
manglende kjennskap til varslingskanal. OBVPS har benyttet
seg av arbeidsgrupper for oppfølging av enkelte resultater.
De ansatte har krav på å få vite hvilken informasjon undersøkelsen ga, men hvordan resultatene kommuniseres bør være
gjennomtenkt. Tiltakene bør være identifisert og avklart når
resultatene presenteres for de ansatte slik at respondentene tas
på alvor.
Sist, men ikke minst, er det viktig å evaluere gjennomføringen
av undersøkelsen slik at man kan gjøre justeringer til neste
gang. Hos OBVPS har vi blant annet diskutert:
• Hvorvidt vi oppnådde ønsket svarprosent.
• Om noen avdelinger eller selskap var under- eller overrepresentert i svarprosent, og hva forklaringen kunne være
på dette.
• Resultater og tilbakemeldinger som indikerte at de ansatte
ikke hadde en omforent forståelse av spørsmålet.
• Hvordan rapporteringen av undersøkelsen ble mottatt.
• Hvorvidt tidligere implementerte tiltak så ut til å gi
resultater eller om justeringer eller en helt ny tankegang var
påkrevet.
Ulike svar og reaksjoner kan skyldes at de ansatte ser ulike
sider av organisasjonen, men også at de har ulike referansepunkter og standarder. Dette er spesielt aktuelt i et konsern
som OBVPS. Kontinuerlig arbeid med felles begreper og
kultur sikrer en mer omforent oppfatning av hva som skal være
standarden. Repeterende undersøkelser indikerer om vi er på
rett vei.
Ø v ri g s t o f f
Nettverk risikostyring
19. juni 2012 formaliserte NIRFs generalforsamling opprettelsen av et nytt nettverk for risikostyring. Dette utfyller
NIRF-nettverkene som allerede er opprettet på andre fagområder, herunder finans, statlig sektor, misligheter og
ledere (ansatte internrevisjonsledere og revisjonsledere i finans). Allerede i april ble det første møtet med tema
”Risikokultur” avholdt, dette ble en formidabel suksess med stort oppmøte og god tilbakemelding. Temaet som
beskrives nedenfor, ”Risiko – fra budskap til erkjennelse”, er det andre møtet i nettverkets historie.
Nettverk risikostyring administreres av NIRF og
koordineres av et bredt sammensatt arbeidsutvalg som
består av NIRF medlemmer fra offentlig og privat sektor.
Disse tillitsvalgte, som ble formelt valgt på NIRFs
generalforsamling for perioden 2012-2014, er:
•
•
•
•
•
•
Erik Wisløff (leder) – Telenor
Rune Johannessen - Nordea
Unni Kristine Rognlien – Helsedirektoratet
Inger Wraamann – konsulentselskapet A-2
Kari Øvsthus – Sparebanken Vest
Rune Waage - BDO
Nettverket, som er åpent for alle, har som formål å øke
deltakernes kompetanse gjennom å dele kunnskap og
erfaring knyttet til risikostyring, både til bruk i virksomheter
og i internrevisjon. Målsettingen er at nettverket skal bli en
møteplass for alle som arbeider med eller har interesse av
fagområdet. Det er ønskelig at nettverkets medlemmer vil
være pådrivere og bidragsytere til NIRFs seminarer og kurs,
og planen er å gjennomføre 1-2 medlemsmøter i semesteret.
Det er også etablert en rekke andre risikomiljøer i Norge og
det tas sikte på å kontakte noen av disse for å undersøke
muligheten for å samordne satsingen og kunne tilby
aktiviteter på tvers av medlemsmassen.
Ved oppstart av nettverket ble det sendt ut en spørreundersøkelse (Questback) til foreningens medlemmer for å
klargjøre hvilke temaer som deltakerne ønsket fordypning i.
Hele 346 svar ble mottatt, dette betyr at det er stor interesse
og entusiasme for nettverket. Når det gjelder fokus ble det
utrykt interesse for de fleste risikotyper, men strategisk,
finansiell, misligheter, anskaffelser/ outsourcing, IKT og
prosjektrisiko ble fremhevet som særskilt interesante. Når
det gjelder kommunikasjonsform ble forelesninger/kurs
fremhevet, tett etterfulgt av praktisk orienterte innlegg fra
virksomheter og diskusjoner/rundbordsmøter. Når det
gjelder bruk i virksomheter var det ønskelig at det fokuseres
både på risikoanalyse som verktøy og risikostyring for måloppnåelse, mens det for internrevisjon ble ønsket fokus på
internrevisors bruk av risikostyring i årsplanlegging/
oppfølgning så vel som revisjon av risikostyring i virksom-
heten. Det ble også mottatt en rekke nyttige kommentarer
og gode råd til det videre arbeidet.
Det tas i første omgang sikte på å kommunisere aktiviteten i
nettverket gjennom nyhetsbrev, artikler, samt informasjon
på NIRFs nettsider. Det vil etterhvert bli opprettet en
mailingliste over nettverkets medlemmer.
SIRK nr 2. 2012
33
Ø v ri g s t o f f
«Risiko – fra budskap til erkjennelse. Hva kjennetegner
virksomheter som har en god erkjennelse av risiko og
risikostyring?» Referat fra halvdagsseminar i regi av Nettverk risikostyring
Av arbeidsutvalget i Nettverk risikostyring v/Kari Øvsthus, senior risikoanalytiker i Sparebanken Vest og Rune Waage,
partner i BDO Risk Advisory Services
Om foredragsholderne/
paneldeltakerne:
Bård Olesen er divisjonsdirektør i
Administrasjonsdivisjonen i
Helsedirektoratet, og innehar en
sentral funksjon i Helsedirektoratets
beredskaps- og krisearbeid. Helseog omsorgsdepartementet delegerer
operativ ledelse av helseberedskapen
til Helse-direktoratet.
Jørgen Kosmo ble høsten 2005
utnevnt til riksrevisor. Han har siden
2006 vært leder for Riksrevisjonen.
Kosmo var vararepresentant på
Stortinget i perioden 1981 til 1985,
før han ble fast representant. Kosmo
var forsvarsminister i perioden
1993–1997, arbeids- og administrasjonminister i perioden 2000–2001
og stortingspresident i perioden 2001
til 2005.
Alexandra Bech Gjørv er advokat
og næringslivsleder. Hun ledet
22. juli-kommisjonen som utredet
erfaringer fra terrorangrepet mot
Regjeringskvartalet og Utøya.
Rapporten fra 22. juli-kommisjonen,
ble overlevert statsministeren
13. august 2012. Bech Gjørv er har
vært ansatt i Norsk Hydro ASA og
Statoil ASA, og har innehatt en rekke
styreverv. Fra 2010 har Bech Gjørv
vært partner i Advokatfirmaet Hjort.
Underdirektør Dagfinn Buset leder
seksjon for sikkerhetsvurdering i
Nasjonal Sikkerhetsmyndighet
(NSM). Han har ansvar for strategisk
analyse av den nasjonale sikkerhetstilstanden og implementering av
objektssikkerhets-regelverket
(installasjoner, anlegg, bygninger
med mer som er av strategisk
betydning for samfunnet).
34
SIRK nr 2. 2012
Det var en entusiastisk president i NIRF,
Martin Stevens, som ønsket velkommen
til fagseminar i regi av det siste skuddet
på stammen av nettverk under NIRF –
Nettverk risikostyring. Han innledet med
å si at risikostyring er et område hvor
NIRF tar mål av seg til å være ledende
nasjonalt, og at dette var en av årsakene
til at nettverket ble etablert. Han viste
videre til den nære sammenhengen
mellom risikostyring og internrevisjon,
samt at risikostyring er viktig for virksomheter, samfunn, liv og helse.
Presidenten uttrykte også at han gledet
seg til arrangementet, noe han ikke var
alene om. En fullsatt sal – et resultat av
rekordstor påmelding – bar bud om stor
interesse for seminarets tema og foredragsholdere.
«Risikovurderinger ved store og vanskelige beslutninger i Helsedirektoratets
helseberedskaps- og krisearbeid» var
overskriften på dagens første foredrag
som ble holdt av Bård Olesen, divisjonsdirektør i Helsedirektoratet.
Potensielle alvorlige hendelser stiller
krav til samfunnssikkerhet og beredskap.
Helsedirektoratet har vært involvert i
mange av de store krisehendelsene som
har berørt Norge i nyere tid, for eksempel flodbølgekatastrofen i 2004, svineinfluensaen i 2009/2010 og terrorangrepene i Oslo og på Utøya i 2011.
Denne typen kriser gir øvelse i håndtering, og Helsedirektoratet har foretatt
evalueringer i etterkant for å vurdere hva
som gikk bra og hva som kunne vært
gjort bedre, for deretter å jobbe målrettet
med de tiltak som ble identifisert.
Olesen valgte i sin fremstilling å skille
mellom risikostyring på ”en vanlig dag”
på den ene siden, og risikostyring ved
kriser på den andre. Han poengterte at de
to likevel henger sammen, ved at god
kontroll på risiko på en vanlig dag fører
til bedre beredskap når krisene kommer.
Hvis du har god kontroll på
risiko på en vanlig dag,
er du bedre forberedt på
overraskelsene.
Ø v ri g s t o f f
Som et verktøy for den løpende risikostyringen har direktoratet utviklet en
måltavle etter modell av balansert
målstyring. Informasjonen aggregeres
opp for ulike nivå og dersom måltallene
tilsier det, blir tiltak iverksatt. Systemet
reflekterer hvor risikoen er størst, og gir
lederne mulighet til å fokusere på det
som er viktigst.
Sentralt i Helsedirektoratets styring
under kriser står en overordnet nasjonal
helseog sosialberedskapsplan. Behovet
for en slik plan ble avdekket etter
tsunamikatastrofen. Planen definerer
blant annet ansvar og roller, og skal
bidra til samordning av krisehåndteringen. Kriseplanen er, ifølge Olesen,
et godt eksempel på læring etter håndtering av en katastrofe, noe direktoratet
er svært opptatt av. Også etter terrorangrepene 22. juli har Helsedirektoratet
gjennomført en evaluering for å identifisere hva som kan gjøres bedre, til tross
for at helsevesenet fikk skryt i ettertid
for hvordan det håndterte krisen.
Et punkt som Olesen poengterte, er at
mediebildet gjerne blir ubalansert i
forbindelse med kriser, og at dette kan
utfordre forestillingen om at man har
kontroll på risikobildet.
Helseberedskapsloven stiller krav om
utforming av risiko- og sårbarhetsanalyser (ROS). I risikovurderingene er
det ikke fokus på enkeltscenarioer, men
på det å ha en robust krisehåndteringsorganisasjon som kan møte ulike typer
av trusler, ettersom det, i følge Olesen,
er krisens natur at den blir annerledes
enn det som kan forutses.
Det er krisens natur at den
blir annerledes enn det som
kan forutses.
Når det gjelder terrorhandlingene 22. juli
2011, delte Olesen noen av sine personlige erfaringer med tilhørerne. Da han i
all hast kom seg til arbeidsplassen sin
etter å ha fått avbrutt ferien, var folk
godt i gang med oppgavene sine. Helseog omsorgsdepartetmentet hadde mistet
lokalene i bombeangrepet. Det fantes
planer for reservelokaler, som man aldri
hadde trodd man skulle få bruk for. HOD
ble innlosjert hos Helsedirektoratet og
var de første som fikk nye lokaler.
Olesen uttrykte tilfredshet med at de
hadde klart å løse situasjonen.
ressursene uten god risikostyring.
Viktigheten av at beslutningstakere har
et godt beslutningsgrunnlag når de skal
foreta valg, ble trukket frem. Dette er et
sentralt element i risikostyringen.
Olesen brukte en del tid på å snakke om
betydningen av samarbeid, både i relasjon til hendelsene 22. juli og generelt.
Samarbeid på tvers av ulike enheter kan
være vanskelig, og han filosoferte litt
rundt spørsmålet om vi som nasjon har
en utfordring med dette. Han påpekte
viktigheten av slikt samarbeid når det
gjelder krisehåndtering.
Kravene i samfunnet er store og hvis
man skulle dekke alle behov som beskrives, ville statsbudsjettet blitt ”dobbelt så
stort”. Prioritering må derfor til, og det
må være balanse mellom det vi skaper
og det vi bruker. Her har Finansdepartementet og Økonomireglementet viktige
roller. Kosmo fremholdt at det er mulig å
forene effektivitet og kontroll, og nevnte
forenkling som et stikkord i denne forbindelse.
Et annet viktig poeng som sto sentralt i
foredraget, var at evaluering handler om
å lære. Og at læring handler om å endre
atferd.
Dagens neste innleder, Jørgen Kosmo,
Riksrevisor i Riksrevisjonen, hadde fått i
oppdrag å snakke om «Hvordan
Riksrevisjonens budskap innvirker på
den offentlige sektors tilnærming til
risiko».
Kosmo tok utgangspunkt i innføringen
av mål- og resultatstyring i offentlig
sektor. Forvaltningen skulle styre prioriteringen og tildele midler i henhold til
budsjett gjennom tildelingsbrev. Noen av
utfordringene med mål- og resultatstyringen har vært tendenser til ”silotenkning”, og at målene blir stadig flere
og at tildelingsbrevene blir mer ønskelister enn prioriteringer.
Her har risikostyringen en viktig rolle.
Risikostyring er å finne ut hva som er
viktigst og styre ressursene dit hvor
risikoen er størst, i stedet for å styre
stykkevis og delt.
Risikostyring er å finne ut
hva som er viktigst og styre
ressursene dit hvor risikoen
er størst.
Foredragsholderen fokuserte mye på
lederansvaret i denne forbindelse.
Lederne må sørge for at man jobber
med de viktigste tingene, og ikke skyve
ansvaret over på andre. Han mente at det
er vanskelig for en leder å prioritere
Riksrevisoren trakk også frem risikostyringens betydning i planleggingsprosesser. I et samfunn vil det alltid være
ønsker om å bevege seg fremover, og
Riksrevisjonen må være i samme
bevegelse som resten av samfunnet.
For å unngå feilinvesteringer, må vi se
fremover, selv om det kan være vanskelig. Vi må ha et godt bilde av hvor vi
skal, og hvilke risikoer som kan hindre
oss i å komme dit. Dersom dette ikke er
på plass, ligger det i lederansvaret å si
fra om dette.
Kosmo oppsummerte med å si at han
ønsket å synliggjøre at risikostyring er et
verktøy for effektiv drift og riktige
prioriteringer, i en virksomhet som er i
bevegelse.
Risikostyring er et verktøy
for effektiv drift og riktige
prioriteringer, i en virksomhet
som er i bevegelse.
Hendelsene 22. juli 2011 satte sitt preg
på seminaret. Dette ble, naturlig nok,
spesielt tydelig under foredraget til
Alexandra Bech Gjørv, leder for 22.
juli-kommisjonen, som bar tittelen
«Erkjennelse av risiko som grunnlag
for god risikostyring – med bakgrunn i
erfaring og arbeidet i 22. juli-kommisjonen». Som foredragsholderen selv
uttrykte det, ”å bruke den vinden man
har i seilet når noe har skjedd”.
☞
SIRK nr 2. 2012
35
Ø v ri g s t o f f
Gjørv delte med tilhørerne de refleksjoner
hun hadde gjort seg i forbindelse med at
hun ble forespurt av statsministeren om å
lede 22. juli-kommisjonen. Det første
valget var om hun skulle ta på seg oppdraget overhodet og bli en del av den bredt
sammensatte gruppen som ble oppnevnt.
Deretter skulle det velges fremgangsmåte
og metodikk for å løse oppdraget på best
mulig måte. Når det gjaldt sistnevnte,
gjorde kommisjonen seg nytte av
rapportene som ble laget i USA etter
11. september, etter angrepene i London i
2005, etter BPs utslipp i Mexico-gulfen
samt rapport fra undersøkelseskommisjonen av 1945!
En beskrivelse av deler av 22. julihendelsene ble gitt, herunder gjennomføringen av politi- og redningsarbeidet i
ulike faser.
Fra rapportens hovedkonklusjoner fremhevet Gjørv en del punkter for læring
som var spesielt relevante for seminarets
tema:
•
•
•
•
Metodikken omfattet blant annet
befaringer og besøk, gjennomgang av
dokumentasjon, innsamling av tekniske
og andre data som foto, video, lydlogger
og teledata, samt formelle forklaringer
og andre samtaler. Her var det elementer
i arbeidsmåter som kunne fremkalle en
viss gjenkjennelse hos en internrevisor,
selv om oppdraget det her var snakk om
hadde et annet omfang og en annen
alvorlighetsgrad enn det en internrevisor
vanligvis kommer borti.
Når det gjelder den mye omtalte saken
om sikring av Regjeringskvartalet, kan
en internrevisor også her nikke gjenkjennende, til noen av komponentene fra
COSO-rammeverket. Risikovurdering,
risikohåndtering og vurdering av kontrollaktiviteter var til stede ”etter boka”,
men de viktige kontrollaktivitetene ble
aldri gjennomført til tross for at kritisk
risiko var identifisert og krevde tiltak.
Foredragsholderen delte noen observasjoner angående hva som hadde forårsaket dette. Sikringssaken var blitt
overført fra prosjekt hvor en hadde
”streng” metodikk for risikoanalyse,
ansvar og tidsfrister for gjennomføring,
til vanlig drift. Et sted på veien hadde
risikoforståelsen forvitret. Det var aldri
politisk uenighet, men ingen ”eide”
prosjektet. Videre ble det unnlatt å føre
tilsyn og kontroll.
Et sted på veien hadde
risikoforståelsen forvitret.
Det var aldri politisk uenighet,
men ingen ”eide” prosjektet.
36
SIRK nr 2. 2012
•
å erkjenne risiko og ta lærdom av
øvelser
å gjennomføre det man har bestemt
seg for, bruke planene som finnes
koordinering og samhandling er
viktig
å utnytte potensialet som finnes i
IKT-systemer
betydningen av ledelsens evne og
vilje til å klargjøre ansvar, etablere
mål og treffe tiltak for å oppnå
resultater
Med innledernes foredrag som bakteppe,
startet paneldebatten med tema «Hva
kjennetegner virksomheter som har en
god erkjennelse av risiko og risikostyring?».
Bård Olesen og Alexandra Bech Gjørv
utgjorde, sammen med Dagfinn Buset,
deltakerne i debatten som ble ledet av
Knut Grotli, viseadministrerende
direktør og partner i BDO.
Debatten var sentrert rundt tre tema, der
det første var risikoforståelse og risikokultur. Spørsmålet om hva slags risikokultur vi har i Norge ble reist. I denne
forbindelse ble det påpekt at en ikke
nødvendigvis kan overføre risikovurderinger fra andre land direkte til Norge.
Vurderingene må tilpasses situasjonen vi
har i Norge. De land som har mest
erfaring med krisehendelser, fremstår
gjerne som bedre til å håndtere dem.
Norge har så langt vært et fredelig
hjørne, men når trusselnivået øker uten
at tiltakene holder følge, får vi økt risiko
som resultat.
Når trusselnivået øker uten
at tiltakene holder følge,
får vi økt risiko som resultat.
Et annet viktig tema som ble debattert
var risikoappetitt. Her ble det trukket
frem at det kan kreve politisk mot å
kommunisere noe annet enn nulltoleranse. Risikotoleransen synes å
bli stadig mindre, og dette gjør det
vanskelig å ta prioriteringsdebatter, for
eksempel knyttet til risiko i trafikken
eller hvilken behandling som skal tilbys
eldre pasienter. Men som det ble påpekt:
den absolutte sikkerhet finnes ikke!
Vi må kunne forholde oss til kalkulert
risiko. Lederes ansvar i forhold til dette
ble påpekt; ikke alle ledere med ansvar
har erkjent at de ved ikke å gjøre noe
faktisk har akseptert risiko.
Ikke alle ledere med ansvar
har erkjent at de ved ikke å
gjøre noe faktisk har akseptert
risiko.
Debatten berørte den potensielle svakheten ved å vurdere risiko ut fra sannsynlighet og konsekvens, der risikoer med
høy konsekvens kan bli nedprioritert hvis
de har lav sannsynlighet. En alternativ
tilnærming hvor det blir lagt større vekt
på identifisering av verdier og vurdering
av sårbarhet og truslene mot disse ble
nevnt av Dagfinn Buset fra NSM.
Passende nok var dagens siste tema
”veien videre”. Noen av synspunktene
som kom frem her kunne tyde på en viss
pessimisme med hensyn til fremtiden,
mens andre ga et mer optimistisk inntrykk.
Det synes klart at trusselbildet har blitt
mer alvorlig, og at mer avansert teknologi er tilgjengelig også for dem som truer
sikkerheten. Spørsmålet er om vi klarer å
holde tritt med utviklingen og beskytte
våre verdier.
Eksplisitte anbefalinger er gitt i rapporten fra 22. juli-kommisjonen, som vil
kunne utvikle læringskulturen i etatene.
Justisdepartementet har gitt kort høringsfrist på rapporten – det er et signal om at
det haster!
Det var enighet om at det er viktig at
kritikerne sier fra ”høyt og tydelig”, at
en er fremadskuende, og at det settes
fokus på tiltak og forbedring. Hvis dette
kommer på plass, kan vi tillate oss en
forsiktig optimisme for fremtiden.
Ø v ri g s t o f f
Prosjektrevisjon
–
Hvordan kan prosjektrevisjon øke mulighetene for at prosjektet
lykkes i å nå sine målsettinger?
Arve Rafteseth,
partner, Deloitte
Janne Britt Saltkjel,
senior manager,
Deloitte
Prosjekter er ofte forbundet med nybrottsarbeid, utvikling, endring og ny
læring, og krever således spesielle ferdigheter eller kompetanse. I motsetning til løpende kjerneprosesser, som utvikles og forbedres over tid,
skal prosjekter lykkes «på første forsøk». Dette medfører en betydelig
risiko; undersøkelser viser at over 2/3 av større prosjekter ikke lykkes
i å nå målsettinger eller møte forventninger. Hvordan kan revisjon av
prosjektet bidra til vellykkede prosjekter?
«Prosjekt» er et svært vidt begrep, men
betegner typisk midlertidige, planmessige aktiviteter for å gjennomføre
en vurdering eller endring, med klare
målsettinger, tidsplaner og organisering.
De fleste virksomheter har flere
prosjekter gående på samme tid.
Risikoen korrelerer med prosjektets
størrelse og kompleksitet, og kan også få
negative konsekvenser for interessenter,
områder og målkategorier utenfor prosjektet. Mislykkede prosjekter og dårlig
styrte prosjektporteføljer, kan således
koste virksomheten dyrt, i form av feilslått ressursbruk, ineffektivitet, dårlig
kvalitet i leveranser til kundene, stress
og friksjon mellom medarbeidere samt
tap av renommé. Ut i fra et risikoståsted
bør derfor prosjektrevisjon inngå i
internrevisjonens årsplan og utføres i
tråd med IIAs standarder for internrevisjon.
Risikoer i prosjekter og hvordan
revidere dem
Selv om prosjekter kan være av svært
forskjellig karakter og størrelse, er det
noen grunnleggende elementer ved
prosjektstyringen som er felles for alle.
Disse kan danne et utgangspunkt for
risikovurdering og definisjon av
revisjonskriterier.
•
•
•
1. Overordnet organisering og prosjektstyringsstruktur
En effektiv prosjektstyringsstruktur er
ryggraden i et vellykket prosjekt.
Fundamentalt for god prosjektstyring er
prosjektets mandat – en realistisk tidsplan med hensiktsmessig detaljnivå, samt
klar organisering med prosjektleder,
eventuelle delprosjektledere, deltakere,
styringsgruppe og ev. spesialistgruppe og
referansegruppe. Etter vår erfaring er de
vanligste prosjektstyringsrisikoene:
• Utilfredsstillende definisjon av
prosjektets formål/scope, krav og
forventninger, som kan medføre at
prosjektet ikke klarer å realisere
ønskede resultater og mål.
• Utilstrekkelig kommunikasjon med
interessenter, som kan føre til
manglende engasjement, og påvirke
prosjektleveransen negativt.
Utilstrekkelig definisjon av tidsramme, ressursbehov og avhengigheter, som kan resultere i forsinkelser
og budsjettoverskridelser.
Svak styring av tredjeparter og
underleverandører og uklar definisjon
av roller og ansvar, som kan føre til
tvister, uenigheter og forsinkelser.
Manglende kontroll på endringer i
rammebetingelser og forretningsmessig utvikling, som kan føre til at
prosjektet eller programmet leverer
en utdatert løsning.
For å avdekke svakheter eller bekrefte
styrker i prosjektstyringen, kan en egnet
tilnærming være å gjennomgå prosjektets
- formål
- tidsramme og tidsplan
- kostnadsestimat
- ressurstilgang
- kommunikasjon
- anskaffelser
- metode for styring av risikoer
- metode for kvalitetssikring
Både risikobildet og andre forhold ved
virksomheten eller rammebetingelsene
som kan påvirke prosjektets risikoer, bør
vurderes kontinuerlig gjennom hele
prosjektsyklusen. Dette kan dreie seg om
f.eks. viktig prosjektstøtte, samarbeid
med eller hensyn til interessenter, tilpasning til den øvrige prosjektporteføljen,
samt virksomhetens forretningsrisiko og
bedriftskultur. En tidlig gjennomgang av
styringsstrukturen kan gi klare indikatorer
på potensiell prosjektrisiko.
☞
SIRK nr 2. 2012
37
Ø v ri g s t o f f
2. Økonomi: Kostnadskontroll og
fremdrift
Økonomisk styring er kritisk for mange
prosjekter. Et svakt definert business
case og urealistisk estimering av kostnader og gevinster kan ødelegge for et
prosjekt fra starten, mens svak budsjettkontroll kan føre til galopperende
kostnader gjennom prosjektets levetid.
Revisjon av de økonomiske styringsparameterne kan identifisere forhold som
potensielt kan ødelegge et prosjekt.
Vanlige prosjektstyringsrisikoer er etter
vår erfaring:
• Dårlig definerte business cases med
ufullstendige eller urealistiske kostnader og verdivurderinger, som fører
til uriktige investeringsbeslutninger
av ledelsen.
• Uklar eller unøyaktig kalkulering av
gevinster, som fører til suboptimale
investeringer og et prosjekt som
verken vil nå sine mål eller få anerkjennelse for oppnådde resultater.
• Begrenset forståelse for prosjektets
helhetlige, finansielle risiko, og/eller
de ulike tilnærmingene til styring av
disse, som igjen kan føre til mangelfullt beslutningsgrunnlag, misforstått
risikotoleranse, feildimensjonerte
avsetninger og uventede kostnader.
• Dårlig budsjettstyring og svak
kobling til ressursstyring og endringsledelse, som fører til galopperende
kostnader og store overskridelser.
For å fange opp risikoene og forbedre økonomisk styring, kan prosjektrevisjonen:
• Vurdere om business case har
realistiske og fullstendige kostnadsog verdivurderinger, og hvorvidt
erklærte gevinster er oppnåelige.
• Vurdere prosjektets eksisterende
prosesser og kontroller for økonomisk styring, og gi pragmatiske
anbefalinger for hvordan styrke
kostnadskontroll, transparens og
sammenheng med andre disipliner i
prosjektstyringsstrukturen.
• Analysere prosjektets budsjett og
resultat, for å vurdere hvordan man
ligger an i målsetting eventuelt
identifisere forhold som bør håndteres
• Bruke kvantitative analyser til å
estimere prosjektets finansielle
eksponering og gevinstene ved
risikoreduserende tiltak, for å sikre at
viktige interessenter har pålitelig
informasjon om potensielle kostnader.
38
SIRK nr 2. 2012
3. Testing/feilsøking/kvalitetssikring
Testing er en kritisk fase for mange
prosjekter; dette kan gjelde software og
IT-systemer, så vel som prosesser og
verktøy. Utilstrekkelig testing kan medføre vesentlige feil i ferdig utviklet produkt eller tjeneste, uhensiktsmessige og
ineffektive prosesser eller verktøy som
ikke lar seg implementere. Resultatet er
prosjekter som ikke oppfyller sitt mandat
og heller fører til slitasje på organisasjonen. Gjennomgang av de kritiske
testfasene i god tid kan identifisere
mulige problemer før det er for sent og
bidra til å sikre at prosjektet skaper verdi.
Etter vår erfaring er de mest vanlige
prosjektstyringsrisikoene at:
• Brukere blir for lite eller for sent
involvert i testprosessene, som kan
føre til at systemet ikke møter
brukernes behov.
• Testfasene er komprimert, kombinert
eller overlappende med utvikling
eller utrulling.
• Ikke-spesialisert personell styrer
testingen og gjennomfører uformelle
testprosesser. Dette kan resultere i at
systemet tas i bruk med vesentlige
svakheter.
• Testdata er utilstrekkelig, og kvaliteten i selve testingen blir for dårlig,
slik at systemet settes i drift med
signifikante svakheter.
Alle de ovennevnte prosjektstyringsrisikoene kan resultere i at systemer
settes i drift med betydelige svakheter.
En prosjektrevisjon bør ta utgangspunkt i
anerkjente metoder og rammeverk for
testing, planlegging, gjennomføring,
implementering, rapportering og oppfølging. Denne metodikken kan anvendes
helt eller delvis, avhengig av prosjektets
karakter og prosjektrevisjonens formål.
4. Prosesser
Prosjekter kan medføre store endringer i
en virksomhets prosesser, enten midlertidig, i overgangsfaser, eller mer
permanent som et direkte resultat av
effektiviseringsprosjekter. Ved å revidere
prosessene kan utfordringer eller
kontrollsvakheter identifiseres og rettes
opp før prosessene rulles ut.
Etter vår erfaring, er typiske risikoer i
forbindelse med utforming og implementering av nye forretningsprosesser at:
•
•
•
•
Midlertidige og/eller manuelle tilpasninger og løsninger, ment for
overgangsfaser, blir værende tross
manglende egnethet og kontroll.
Mangel på hensyn til oppstrømseller nedstrømsprosesser, kan føre til
problemer eller sammenbrudd i
prosessflyten.
Mangel på hensyn til konsekvensene
for nye prosesser og kontrollrammeverket, kan føre til brudd på lover og
regler, samt økt risiko for misligheter.
Mangel på ledelsens forståelse av
støtte til transformasjonsprosjekter,
kan føre til at eventuell motstand mot
endring ikke håndteres på en konstruktiv måte.
En prosjektrevisjon kan f.eks. innebære:
• Vurdering av hvorvidt forslag til nye
eller endrede prosesser er egnet for
formålet. Vurderingen kan også ha
spesielle fokus, f.eks. om prosessens
utforming bidrar til å sikre etterlevelse av regulatoriske krav.
• Gjennomgang av kommende eller
gjeldende overgangsfaser for å
identifisere mulige svakheter og
pragmatiske løsninger.
• Bekreftelse på at prosessendringene
er forankret i virksomhetens strategiske mål og bidrar til at disse nås.
5. Implementering/operasjonalisering/
lansering
Endringer har en iboende risiko for å
feile, og konsekvensene av at det går galt
øker i takt med størrelsen på prosjektet
og kompleksiteten i å iverksette det (“Go
Live”). En gjennomgang før iverksetting
kan gi bekreftelse og således trygghet for
at overgangen/cutover er tilfredsstillende
planlagt, og identifisere risikoer som kan
true en vellykket implementering.
Det er en rekke kritiske risikoer i lanseringsfasen:
• Utilstrekkelig eller mangelfull testing
av en tilbaketrekningsstrategi, i tilfelle det blir nødvendig, kan føre til
at forretningskritiske prosesser bryter
sammen, med direkte konsekvenser
for kunder, brukere, ansatte eller
andre interessenter.
• Mangel på koordinering av testing i
forretningsprosessene kan resultere i
følgefeil forårsaket av avhengigheter
mellom teknologi, personer og prosesser, som gjør at forretningsprosessene
risikerer å bryte sammen ved lansering.
Ø v ri g s t o f f
•
•
Utilstrekkelig testing eller generalprøve (dry run) ved
datamigrasjon/overføring kan påvirke
datakvalitet og -integritet, med
konsekvenser for forretningskritiske
prosesser, samt inntekter og
resultater.
Mangel på komplette overgangsplaner fra prosjekt til støtteaktiviteter
for vanlig drift, er forbundet med
risiko for brist i prosessene etter
lansering selv om lanseringen i seg
selv var vellykket.
Bekreftelse på at klargjørings- og overgangsplaner (operational readiness plan)
er robuste før lansering og cutoff
reduserer risikoen betydelig. Det kan
f.eks. være aktuelt å innhente teknisk
bistand etter behov for å oppnå en slik
bekreftelse. Ut i fra denne fasens kritiske
betydning, vil vi anbefale en koordinert
tilnærming ved revisjon av denne.
Fokusområder kan være gjennomgang
og evaluering av:
• Prosedyrer for tilbaketrekning og
krisehåndtering ved feilet lansering.
• Styring av cutover-prosessene,
inkludert egnetheten ved MI,
kommunikasjonsstrategien og
beslutningsprosessen for lansering.
• Egnetheten i prosjektets metode for
klargjøring, datamigrasjon og
lansering.
• Opplegg for ledelse og opplæring av
medarbeidere gjennom overgangsfasen.
Gitt viktigheten av “Dag 1”, kan det
være aktuelt å søke sterkere bekreftelse
enn vanlig, som å:
• Foreta sanntidsøvelser av forretningsprosesser i et «offline»-modus, for å
sikre at virksomheten er klar.
• Simulere realistiske scenarier med
flere hendelser som inntreffer
samtidig, inkludert sjokktest (uforutsigbare risikoer uten kriseplaner).
til menneskelige faktorer, i store
prosjekter kan være:
• Ineffektiv kommunikasjonsstrategi
som verken engasjerer eller mobiliserer de ansatte. Dette kan føre til
demotiverte og utrygge ansatte.
• At ulikheter i arbeidskulturer eller
arbeidsformer når enheter eller
organisasjoner blir slått sammen ikke
blir vurdert, hensyntatt eller tilfredsstillende håndtert. Dette kan medføre
vedvarende «de og oss» holdninger
og konflikter mellom to leire
• Mangel på strukturert kartlegging av
kompetanse- og kapasitetskrav for
nye enheter eller miljøer, som kan
føre til at ledelsen undervurderer
ressurs- og innsatsbehovet for opplæring og tilpasning til nye forhold.
• Manglende hensyn til lover og
forskrifter, som kan føre til brudd på
f.eks. arbeidsmiljøloven, med fare for
rettslige konsekvenser og skade på
omdømme.
Der gjennomføring av et prosjekt
avhenger av aksept og involvering av
medarbeidere, bør revisjonen fokusere på
prosjektets endringsledelse, og revisjonsteamet anbefales å fokusere på kritiske
konsekvenser for ansatte, brukere og
kunder.
7. Datamigrasjon
Datamigrasjon er ofte en kritisk del av et
prosjekt; spesielt ved systemimplementeringer. En omfattende evaluering av
denne fasen kan avdekke kritiske forhold
før en migrasjon, og bidra til at man
unngår krevende og kostbart arbeid med
å gjenopprette eller korrigere ubrukelige
eller ufullstendige data. De vanligste
risikoene etter vår erfaring, er:
•
•
•
•
En teknisk drevet tilnærming som
ikke i tilstrekkelig grad hensyntar
forretningsprosessenes behov og krav
til kvaliteten i dataene som migreres.
Dette kan gjøre dataene ubrukelige
for virksomheten.
Manglende vasking av data før
migrasjon, som kan ramme datakvaliteten.
Tidspress ødelegger muligheten for å
kjøre full migrasjonstesting i forkant,
og kan føre til mislykket migrasjon.
Rutiner for avstemming og kvalitetssikring er mangelfulle, og fører til
dårlig datakvalitet.
Datamigrasjon er et delprosjekt, og når
det skal revideres kan revisjonsteamet ta
utgangspunkt i datamigrasjonsstrategi,
og planlegging, metoder og ressurser for
risikokartlegging. Det vil også være
naturlig å gjennomgå virksomhetens
klargjøring for lansering/cutover.
Eksempel
En prosjektrevisjon kan vektlegge alle
eller noen av ovenstående punkter,
avhengig av hvilke risikoer som anses
som mest vesentlig og hvor i syklusen
prosjektet er. En anerkjent tilnærming er
å speile prosjektets egen struktur.
Dette gir gjennomganger tilpasset
prosjektets egen livssyklus, raskt fokus
på de enkelte nøkkelområdene og
fordypning i underliggende risikoer.
Figuren under viser hvor det kan være
aktuelt å undersøke og teste de ulike
elementene.
☞
Prosjektrevisjon
6. Menneskelige faktorer – ansatte,
brukere eller kunder
Prosjekter kan ofte ha stor betydning for
vanlig drift og stab, men påfølgende
endringer og reaksjoner blir ofte
ignorert. Negative reaksjoner til et
prosjekt kan påvirke prosjektets muligheter for å lykkes, men en tidlig plan for
endringsledelse kan avdekke risikoer før
det er for sent. Vanlige risikoer, knyttet
SIRK nr 2. 2012
39
Ø v ri g s t o f f
Suksessfaktorer for hensiktsmessig og
effektiv prosjektrevisjon
Til forskjell fra revisjon av vanlige
driftsprosesser, er tidsbruk helt kritisk
for prosjektrevisjon. Risikobildet endrer
seg med prosjektets fremdrift, og en
standard rapporteringssyklus kan fort gi
utdaterte observasjoner og anbefalinger,
som da ikke kommer til nytte. Det har
ofte vært en utfordring for internrevisjoner å balansere kravet til hurtighet mot
kravet til grundighet og etterlevelse av
standardene. Enda vanskeligere blir det
når prosjektrevisjon misoppfattes, og
gjennomføres over samme lest som
internrevisjon av vanlige driftsprosesser.
Internrevisorer har lang erfaring med
standard internrevisjoner og metodikk
tilpasset slike, men gjerne liten erfaring
med prosjekter og ingen metodikk tilpasset prosjektrevisjoner. For å takle disse
utfordringene og håndtere prosjektrisikoer, må internrevisjonen vektlegge:
• Kompetansesammensetning
• Hurtighet
• Fleksibilitet
For tilfredsstillende prosjektrevisjon bør
internrevisjonen vurdere behovet for
spisskompetanse i det enkelte prosjekt i
henhold til IIAs STD 1210. Generelt bør
prosjektrevisjonsteamet ha:
• Erfaring med prosjekt- og/eller programledelse (gjerne erfaring med
standard prosjektmetodikk som
Prince 2, PMI og PMBok)
• Kompetanse på risikostyring og
internkontroll
• Bransjeerfaring er en fordel
• Gode kommunikasjonsferdigheter
• Evne til holistisk tilnærming
En teamsammensetning som inneholder
både medlemmer med tung og relevant
prosjektledererfaring og medlemmer
med kompetanse på risiko, kontroll og
internrevisjon, gir det beste utgangspunktet for en nyttig prosjektrevisjon.
Som nevnt kan det også være aktuelt å
benytte spisskompetanse innen spesielle
områder, f.eks. teknisk ekspertise ved
evaluering av plan for datamigrasjon,
eksperter på endringsledelse ved implementering og involvering av ansatte mv.
Mangel på prosjekterfaring i internrevisjonen kan kompenseres ved innleie av
ekstern ekspertise, opplæring eller mobilisering av eksperter fra andre deler av
organisasjonen, som ikke selv er delaktig
i prosjektet som revideres.
Hurtighet og fleksibilitet kan innarbeides
i prosjektrevisjonsspesifikk metodikk.
Eksempelvis bør rapporteringen tilpasses
prosjektets syklus for å sikre at observasjoner og forbedringsforslag raskt kommuniseres til interessenter, og før nøkkelbeslutninger treffes. Forkortede rapporteringslinjer, f.eks. ved direkte dialog
med prosjektleder istedenfor via linjeleder, der fokuset holdes på svakheter og
pragmatiske anbefalinger, kan bidra til
endring før kritiske beslutninger er truffet og prosjektets leveranse er rammet.
God prosjektrevisjon kan således spare
virksomheten for store tap.
Innføring i internrevisjon
På denne dagen vil du få en innføring i internrevisors roller og ansvar, begrepsavklaringer og
definisjoner, samt hvilke etiske regler og hvilke krav som ligger i internrevisjonens standarder.
Formål med kurset:
Vedlikeholdspoeng (CPE):
Gi deltagerne de nødvendige grunnkunnskaper i internrevisjon
gjennom introduksjon til internrevisjonens rammeverk, spesielt
rettet mot de obligatoriske delene. Innholdet i kurset er nødvendig basiskunnskaper for øvrige kurs.
Gjennomføring av kurset gir 8 CPE-poeng for CIA, CCSA,
CGAP, CFSA, CRMA og Diplomert Intern Revisor.
Kurset dekker følgende:
- Internrevisjon – roller og ansvar, definisjoner og avgrensninger, eksempler
- Governance: Hva ligger i begrepet og hvorfor er dette
relevant for oss
- Internkontroll
- Risikostyring
- De etiske reglene
- De faglige standardene
- Veien videre; utdanning, diplomering og sertifisering
Hvem kurset er beregnet på:
Nyutdannede, personer som er nye i internrevisjonen, internrevisorer som ønsker oppfriskning av basiskunnskaper, ansatte i
stabsfunksjoner eller andre som ønsker mer informasjon om
hvilken nytteverdi internrevisjonen kan bidra med.
Krav til forkunnskaper:
Ingen.
40
SIRK nr 2. 2012
Pris:
Medlemmer kr 3 500
Ikke-medlemmer kr 3 800
Tid: 6. februar 2013, 09.00 – 17.00
Sted: Bjørvika Konferansesenter, Oslo
Forelesere:
Ellen Brataas (CIA, CRMA, CISA), generalsekretær i NIRF
Karl-Ludvig Mauland (siviløkonom), direktør BDO
Påmelding:
www.iia.no eller telefon 932 37 912
Intervjuteknikk
www.iia.no
Hvordan få de beskjedne til å snakke? Hvordan få menn
med makt til å svare ærlig? Hvordan få svar med innhold
som kan brukes? Dette og mer får du svar på i kurset
INTERVJUTEKNIKK som gjennom en kombinasjon av
teori, eksempler, analyser og flere praktiske øvelser fra
deltakernes virkelighet skal bevisstgjøre intervjuere.
Kurset holdes av den erfarne kompetansesjefen og
programutvikleren i NRK, Brynjulf Handgaard.
Formål med kurset:
Forberedelser:
Målet er enkelt sagt å vise hvordan man kan bli
bedre til å intervjue mennesker. Gjennom kurset
får deltakerne en forståelse for hva som skal til for
å beherske intervjusituasjonen, forberede og ta
kontroll over intervjuet og på den måten tilegne
seg relevant viten på en effektiv og formålstjenlig
måte i en revisjon. Det finnes ingen fasit på hvordan man gjennomfører et godt intervju, men kurset
gir deltakerne innsikt i en utprøvd metodikk og
hvordan den kan anvendes i praksis. Kurset tar for
seg intervjuet som sjanger, hvordan en stiller de
gode enkeltspørsmålene, hvordan en hindrer
avsporinger eller ufrivillige sporskifter og hvordan
en bestemmer mål og strategi for intervjuet.
For at kurset skal oppleves som praktisk og reelt vil casene
være basert på deltakernes anonymiserte eksempler og
opplevde situasjoner. Kontroversielle enkeltspørsmål som
opptar deltakerne for tiden, temaer som alle har et forhold til
vil også være utgangspunkt for øvelser.
Kurset dekker:
Gjennomføring av kurset gir 14 CPE-poeng for CIA, CCSA,
CGAP, CFSA og Diplomert Intern Revisor.
Intervjuet er et håndverk som kan læres. Ved å
tilegne seg den metodikken og de verktøyene som
blir presentert, har de fleste gode muligheter til å
bli mer bevisste intervjuere, Hvis metoden og
rådene systematisk følges opp i praksis, er det også
store muligheter for at kursdeltakerne blir bedre
intervjuere.
Hvem kurset egner seg for:
Alle som til tider befinner seg i en intervjusituasjon.
Krav til forkunnskaper:
Ingen, men det er en fordel å ha vært igjennom intervjusituasjon tidligere.
Vedlikeholdspoeng:
Pris:
Medlemmer: kr 6 900
Ikke-medlemmer: kr. 7 500
Tid: 3. og 4. april 2013, 09.00 – 16.00 begge dager
Sted: Bjørvika Konferansesenter, Oslo
Dag 1:
Intervjuet som arbeidsverktøy
Aktører, ressurser, ferdigheter og faser
Enkeltspørsmålene
- feiltrinn du bør unngå
- fem sikre steg i dansen
Dag 2:
Foreleser:
Brynjulf Handgaard, kompetansesjef og programutvikler i
NRK
Påmelding:
www.iia.no eller telefon 932 37 912
Strategi
Lytting, fokusering og oppfølging
Målformuleringer og planlegging
SIRK nr 2. 2012
41
Ø v ri g s t o f f
Internrevisjon av utkontrakterte
sentrale prosesser
– Med utgangspunkt i eksempel fra forsikringsbransjen
Av Olesya Makarova, Kristian Dekke Loeberg og Eivind Skaug, Deloitte
Makarova
Dekke Loeberg
Skaug
RISIKOSTYRING OG INTERNKONTROLL VED UTKONTRAKTERING
AV DELER AV VIRKSOMHET
Styret og daglig leder i forsikringsselskap
har ansvar for å etablere god risikostyring
og internkontroll i foretaket i følge aksjeloven/allmennaksjeloven og Forskrift om
risikostyring og internkontroll. Jamfør § 5
av forskriften gjelder ansvaret også der
deler av virksomheten er utkontraktert.
Utkontraktering av deler av en virksomhet fratar derfor ikke styret og daglig
leder for ansvaret med å påse at internkontroll knyttet til de utkontrakterte
prosessene er hensiktsmessig og fungerer
måleffektivt.
Det er flere fordeler med utkontraktering,
for eksempel gir det en god arbeidsdeling
og uavhengighet mellom funksjoner
samtidig som man får tilgang til spesialkompetanse. Videre reduserer utkontraktering risikoen på noen områder. Men
utkontraktering gir også noen nye
operasjonelle risikoer. Det er blant annet
risiko for uklare ansvarsgrenser og man
blir direkte eksponert for kvaliteten i den
interne styring og kontroll hos serviceorganisasjonen.
Eksempler på funksjoner som er vanlig å
utkontraktere i forsikringsselskaper og
pensjonsforetak er salgsavdeling, saksbehandlingsavdeling, administrasjon av
pensjons inn- og utbetalinger, kapitalforvaltning, aktuartjenester, regnskapstjenester, drift og vedlikehold av IT systemer.
1
2
42
Utkontraktering innebærer å overføre deler av eller hele prosesser til en
serviceorganisasjon. Dette får konsekvenser for risikostyring og kontroll
hos selskapet og denne artikkelen tar for seg problemstillinger som internrevisor må forholde seg til dersom et forsikringsselskap har utkontraktert
deler av sine prosesser til serviceorganisasjoner. Problemstillinger og
eksempler som presenteres i denne artikkelen vil derfor primært være
relatert til forsikringsbransjen, men problemstillingene som belyses har
også overføringsverdi til andre bransjer.
Ved beslutning om utkontraktering, har
ledelsen i forsikringsforetaket ansvaret
for utkontrakteringsprosessen. De vurderinger som må gjøres kan oppsummeres i
følgende figur:
Serviceorganisasjon
Risiko
Ledelsen bør ha identifisert hvilke
risikoer som overføres til serviceorganisasjonen. Disse risikoene er
ofte de samme risikoene som ville
vært tilstede dersom prosessen var
utført av selskapet selv.
Ledelsen bør identifisere hvilke
nye risikoer selskapet blir eksponert for ved å utkontraktere en
funksjon eller prosess.
Tiltak
Det bør fremgå av avtalen mellom
forsikringsselskapet og serviceorganisasjonen hvordan overførte
risikoer skal håndteres. De kontrollene
som identifiseres som viktige for å
sikre en korrekt leveranse er det
naturlig at også forankres i avtalen.
Det bør implementeres rutiner og
kontroller hos forsikringsselskapet for å håndtere risikoene ved
utkontraktering.
Ledelsen må videre sørge for at det i
avtaleverket fremgår at forsikringsselskapet skal motta rapportering som
viser at implementerte kontroller er
etterlevd.
Når et forsikringsselskap har utkontraktert deler av sine prosesser til en eller
flere serviceorganisasjoner har dette også
innvirkning på internrevisjon og kan reise
en rekke problemstillinger og praktiske
utfordringer for revisor.
Serviceorganisasjonen som forsikringsselskaper utkontrakterer deler av sin
ISAE - International Standard on Assurance Engagements
SSAE - Statements on Standards for Attestation Engagements
SIRK nr 2. 2012
virksomhet til, kan velge å utarbeide
revisorbekreftede internkontrollrapporter
av type ISAE1 3402 «Attestasjonsuttalelser om kontroller hos en serviceorganisasjon» eller SSAE2 16 «Reporting
on controls at a serviceorganization».
Forsikringsselskap
Det bør videre implementeres
oppfølgingsprosedyrer og kontroller av serviceorganisasjonens
leveranse hos forsikringsselskapet for å kontrollere at
denne er i henhold til avtalen.
Omfang og angrepsvinkel i internrevisjon
av prosesser som er utkontraktert vil variere avhengig av om serviceorganisasjon
har utarbeidet ISAE 3402 / SSAE 16
rapportering eller ikke. Også forsikringsselskapets oppfølgingsprosedyrer vil
avhenge av hvorvidt en slik rapport
foreligger eller ikke.
Ø v ri g s t o f f
KVALITETEN PÅ UTKONTRAKTERINGSPROSESSER - hva internrevisjonen bør ha fokus på
God praksis for virksomhetsstyring og
internkontroll tilsier at det skal utarbeides
en egen policy for utkontraktering.
En slik policy dekker blant annet:
• Innholdet i de ulike delprosessene i en
utkontraktering,
• Prosedyrer for risikoanalyse før
utkontrakteringen gjøres samt løpende
risikoanalyse,
• Prosedyrer for due dilligence
(kvalitetskontroll),
• Innholdet i avtalen med serviceorganisasjonen,
• Hvordan implementeringen, oppfølgingen og styringen av utkontrakteringen skal gjennomføres
Internrevisor bør påse at risikoanalyse og
oppfølgingsprosedyrer er gjennomført,
samt vurdere om risikoanalyser og
oppfølgingsprosedyrer er tilstrekkelige,
hensiktsmessige og måleffektive.
Internrevisors oppgaver vil være å påse at
en slik policy foreligger, samt å vurdere
kvaliteten til innholdet i denne policyen.
Videre bør internrevisor kontrollere at
etterlevelse av denne policyen dokumenteres av selskapets ledelse.
1.
2.
3.
4.
5.
Forsikringsselskap er underlagt Forskrift
om risikostyring og intern kontroll og i
følge § 5 av forskriften skal det foreligge
en skriftlig avtale med serviceorganisasjonen for å sikre god risikostyring og
internkontroll i utkontrakterte deler av
virksomheten. Det understrekes også i
forskriften at avtalen må sikre at foretaket
gis rett til innsyn i og kontroll av den
utkontrakterte virksomheten. Disse
avtalene kalles ofte for «Service Level
Agreement» - eller SLA - og det er viktig
at disse er tilstrekkelig detaljert for å
forhindre misforståelser vedrørende
viktige kontrollaktiviteter, ansvar og
dokumentasjon.
Internrevisor bør kontrollere at det
foreligger SLA mellom selskapet og alle
serviceorganisasjoner som forsikringsselskapet har utkontraktert en del av sine
prosesser til. Det inngår også i internrevisors oppgave å vurdere innholdet i
disse avtalene.
Ledelsen i forsikringsselskapet skal
gjennomføre risikoanalyse før utkontraktering og oppdatere den løpende, minst en
gang per år. Det bør også være beskrevet
hvordan oppfølgingen og styringen av
utkontrakteringen skal gjennomføres.
Videre bør oppfølgingsprosesser
dokumenteres ved gjennomføring.
PRAKTISK TILNÆRMING –
RISIKOANALYSE, RAPPORTERING
OG OPPFØLGING VED UTKONTRAKTERING AV PROSESSER
Intern revisor bør vurdere selskapets
risikoanalyse av utkontrakterte deler av
virksomhet, rapportering fra serviceorganisasjon, samt selskapets oppfølging
av utkontrakterte prosesser. Vi vil nedenfor komme med eksempler på risikoer,
krav til rapportering og ledelsens oppfølgingsprosedyrer ved utkontraktering av
følgende prosesser:
salgsavdeling
saksbehandlingsavdeling
regnskapstjenester
kapitalforvaltning
aktuarfunksjon
1. Salgsavdeling
Salgsprosessen er en av de viktigste
prosessene i et forsikringsselskap og er
ofte utkontraktert. Ikke alle prosessene
innenfor salg kan utkontrakteres.
Ledelsen i forsikringsselskapet skal eie
alle viktige beslutninger knyttet til
produkt og premie, mens rent teknisk
salgsarbeid kan utkontrakteres. Det er
viktig at forsikringsselskapet har tydelige
retningslinjer for serviceorganisasjonen
for de oppgaver som er utkontraktert og
de krav som stilles til leveransen.
Risikoer og Rapportering
I tråd med standardene skal internrevisor
vurdere hvilke risikoer som er dekket av
selskapets risikoanalyse ved utkontraktering av salgsprosessen. Identifiserte
risikoer vil variere avhengig av om
serviceorganisasjonen har tilgang til
selskapets forsikringssystem eller bruker
sitt eget forsikringssystem. Følgende
risikoer kan være aktuelle:
• risiko for at serviceorganisasjonen ved
salg av poliser overstyrer premier
mottatt fra forsikringsselskapet
• risiko for at serviceorganisasjonen
ikke følger forsikringsselskapets retningslinjer for kundeseleksjon
• risiko for manglende kompetanse hos
serviceorganisasjonen om premier og
produkter
•
•
risiko for at serviceorganisasjonen ikke
følger opp innbetalinger fra kunde
risiko for uautorisert tilgang til forsikringssystem hos serviceorganisasjon
Internrevisor bør innhente rapportering
fra serviceorganisasjon og kontrollere at
den er egnet for å dekke forhold i risikoanalysen til forsikringsselskapet.
Oppfølgingsprosedyrer
Internrevisor bør kontrollere at forsikringsselskapet har etablert prosedyrer for
oppfølging av arbeid i salgsavdelingen
som er utkontraktert.
Løpende analyser av utvikling i bestand
som presenteres til ledelsen i forsikringsselskapet kan være et effektivt verktøy for
oppfølging av salgsarbeid. Internrevisors
oppgave er å forstå selskapets analyser og
påse om disse analysene er måleffektive.
Det er viktig at analysene er detaljerte og
ikke begrenset til en enkel utvikling i
total bestand fra måned til måned.
Utvikling i bestand bør minst følges opp
på produktnivå. Ut fra sine retningslinjer
for kundeseleksjon og premier har forsikringsselskapet en forventning til hvordan
dets kundeportefølje skal se ut. Hvis
faktisk kundeportefølje avviker fra
selskapets forventninger vil det slå ut i
bestandsanalyser og kreve nærmere
undersøkelse.
Ledelsen i forsikringsselskapet bør også
utføre løpende vurderinger av kompetansen i salgsleddene og dokumentere
disse vurderingene skriftlig.
Videre bør forsikringsselskapet for
eksempel etablere overordnede oppfølgingsrutiner av forfalt, ikke betalte
premier, utsendelse av purringer og eventuell kansellering av polise. Overordnede
analyser av misligholdsportefølje kan
være et godt eksempel på selskapets
oppfølgingstiltak.
2. Saksbehandlingsavdeling
For saksbehandlingsavdeling ser vi ofte
at pensjonskasser utkontrakterer hele
pensjonsadministrasjon, inkludert utbetalinger av pensjoner. Utenlandske forsikringsselskaper som selger forsikringer
i det norske markedet gjennom forsikringsagenter, kan også ha behov for
utkontraktering av skadeoppgjør knyttet
til norske poliser.
☞
SIRK nr 2. 2012
43
Ø v ri g s t o f f
Internrevisor bør gjennomgå selskapets
risikoanalyse knyttet til utkontraktering
av saksbehandlingsavdeling.
Risikoanalyse vil ofte omfatte risiko for
at serviceorganisasjon gjør feil utbetalinger på vegne av forsikringsselskap (feil
beløp, feil mottaker, feil dekning) og
risiko for at serviceorganisasjonen gjør
feil i RBNS-avsetning3.
Internrevisor velger ofte å foreta stikkprøvekontroll av utbetalinger og RBNSavsetninger i forsikringsselskap. Revisjon
av utbetalinger bør gjennomføres i like
stor grad når prosessen er utkontraktert.
Avtalen med serviceorganisasjonen bør
være utformet slik at internrevisor får
adgang til å utføre revisjon av utbetalinger og RBNS-avsetninger i serviceorganisasjonen.
Internrevisor bør innhente rapportering
fra serviceorganisasjonen og vurdere
hvorvidt rapporteringen dekker de identifiserte risikoene i ledelsens risikoanalyse.
3. Regnskapstjenester
Flere forsikringsselskaper velger å utkontraktere regnskapsfunksjon til et autorisert regnskapsførerselskap.
Rapporteringen kan inneholde følgende:
• bekreftelse på at serviceorganisasjonen
følger avtalte dokumentasjonskrav i
saksbehandlingsmapper
• bekreftelse på at forsikringsselskapets
retningslinjer for verdivurdering av
skader følges
• rapport fra serviceorganisasjon på
utført revisjon av behandlede saker
• bekreftelse på utførte reguleringer
• rapport for saksbehandlingstid og lister
over saker under behandling
• beskrivelse av fullmaktsnivåer for
godkjenning av utbetalinger
• bekreftelse på at forsikringsselskapets
retningslinjer for beregning av RBNSavsetninger følges, samt dato for siste
gjennomgang av disse.
I følge IIAs utøvelsesstandard 2110 og
2120 skal internrevisor evaluere selskapets risikoeksponering, samt tilstrekkeligheten, effektiviteten og hensiktsmessigheten av styrings- og kontrolltiltak
knyttet til påliteligheten og integriteten av
økonomisk og driftsmessig informasjon.
Ekstern revisor ser på prosesser og
kontroller knyttet til årsavslutningsrapporteringen. Internrevisor bør vurdere
prosesser og kontroller knyttet til regnskapsrapporteringen gjennom hele året.
Internrevisors kartlegging og vurdering av
oppfølgingstiltak som forsikringsselskapet
har etablert for å sikre at instrukser og
fullmakter etterleves i serviceorganisasjon, bør først og fremst påse at ledelsen i
forsikringsselskapet analyserer løpende
utvikling i sine utbetalinger og RBNSavsetninger. Igjen er det viktig at disse
analysene er detaljerte nok. Gode analyser
vil avdekke eventuelle systematiske feil i
saksbehandling. Internrevisor vil også
vurdere kvaliteten i ledelsens analyser.
Selskapets oppfølging av RBNSavsetninger med serviceorganisasjonen er
like viktig. Her kan forsikringsselskapet
etablere løpende (minst kvartalsvis) møter
med serviceorganisasjonen hvor man
gjennomgår RBNS-avsetningene.
Internrevisor vil kontrollere at møteplasser mellom forsikringsselskap og
serviceorganisasjon er fastsatt, og at
møtearbeidet er dokumentert.
Internrevisor vil igjen vurdere kvalitet av
selskapets risikoanalyse ved utkontraktering av regnskapstjenester. Mange risikoer forbindes med regnskapsprosess, men
de kan oppsummeres som risiko for feil
eller mangelfull rapportering til forsikringsselskapet, Finanstilsynet, regnskapsregister eller skattemyndigheter.
Forsikringsselskap, i samarbeid med
regnskapsbyrået, bør etablere retningslinjer for ansvarsfordeling og løpende
rapportering. Internrevisor må vurdere
om arbeidsdeling og ansvarsfordeling er
tilstrekkelig og om det vil bidra til
produksjon av pålitelig økonomisk informasjon gjennom året. Videre bør intern
revisor vurdere kvalitet i rapportering fra
serviceorganisasjonen til forsikringsselskapet og offentlige organer.
Er rapportering tidsriktig og ajour?
Når ledelsens risikoanalyse og rapportering fra serviceorganisasjon er vurdert,
kan internrevisor gå over til neste spørsmål om selskapets oppfølging av regnskapsbyrået. Analyse av regnskapstall er
et effektivt verktøy for å følge opp regn-
3
RBNS-avsetning (reported, but not settled) er et estimat for skader som er meldt inn,
men ikke gjort opp enda.
44
SIRK nr 2. 2012
skapsførerselskapet. Vesentlige feil i
regnskapet vil slå ut i månedlige analyser
til ledelsen i forsikringsselskapet og vil
kreve nærmere undersøkelse.
Internrevisor vil også vurdere tilstrekkeligheten av ledelsens analyser.
Internrevisor vil også påse at forsikringsselskapet har innført rutiner for å kontrollere at serviceorganisasjonen utfører
rapportering til offentlige organer tidsriktig, samt at forsikringsselskapet
gjennomgår kvaliteten av rapporter.
4. Kapitalforvaltning
Forvaltning av investeringer er en av
kjerneprosessene i et forsikringsselskap.
For et forsikringsselskap er det en egen
forskrift selskapet må forholde seg til;
enten «Forskrift om skadeforsikringsselskapers kapitalforvaltning» eller
«Forskrift om livsforsikringsselskapers og
pensjonsforetaks kapitalforvaltning».
Disse forskriftene gir retningslinjer for
kapitalforvaltningen i et forsikringsselskap med blant annet organisering og
ansvarsforhold, styre- og ledelsesrapportering, samt uavhengig kontroll. Selskapet
har ansvaret for å etterleve disse og en
sentral oppgave for internrevisor vil være
å overvåke at selskapet har hensiktsmessige retningslinjer og rapporteringslinjer for å sikre dette. Ved utkontraktering kan dette medføre noen utfordringer
med tanke på at internrevisor vil ha
begrenset tilgang til informasjon, systemer og ansatte hos serviceorganisasjonen.
For å redusere risiko for at kapitalforvaltninger ikke utøves i tråd med
strategi og øvrige retningslinjer for forvaltningen, som også er utformet for å
sikre etterlevelse av forskrifter, bør
forsikringsselskapet motta rapportering på
etterlevelse. Rapporteringen bør være av
en slik art at det er mulig for forsikringsselskapet å etterprøve informasjonen.
Eksempler på dette kan være lister som
viser eksponering innenfor ulike aktiva
klasser, mandatoverholdelse, verdsettelser,
risikoanalyser og avkastningsmåling. Det
er naturlig at disse er forankret i avtalen
(SLA) med serviceorganisasjonen, og
internrevisor bør derfor gjennomgå avtalen
for å kontrollere at denne dekker de risikoer som styret og ledelsen har identifisert.
Videre bør internrevisor påse at det
finnes mekanismer i avtalen som sikrer
Ø v ri g s t o f f
rapportering av at retningslinjene er fulgt
og at eventuelle brudd rapporteres tidsriktig. Internrevisor bør vurdere hvorvidt
informasjonen som rapporteres er tilstrekkelig for å evaluere tjenesten eller det
er nødvendig å utføre kontroller, eller
revisjoner, hos serviceorganisasjonen.
Eksempler på kontroller det er naturlig å
rapportere, er etterlevelse av mandat,
beholdningsavstemning, verdsettelse,
risikoanalyser, skatt, grunnlag for kapitaldekning mv. Internrevisor bør vurdere,
som en del av kontrollen, å gjøre egne
tester på denne rapporteringen for å kunne
rapportere til styret at denne er riktig og
kan brukes som beslutningsgrunnlag for
forvalter, compliance eller regnskap.
og § 17. For mindre forsikringsselskap,
og spesielt pensjonskasser, er det vanlig å
utkontraktere denne funksjonen.
Aktuarens beregninger er til dels svært
komplekse og er delvis preget av skjønn.
Dette gjør kontrollen av aktuars leveranser krevende. Likevel bør selskapet og
internrevisor ha et forhold til denne informasjonen på lik linje med annen informasjon som brukes som grunnlag for styrets
og ledelsens beslutninger.
Selskapet bør i tråd med god governance,
ha retningslinjer for aktuars ansvarsområder som er nedfelt i avtalen med ansvarshavende aktuar. Avtale med ekstern aktuar bør blant annet inneholde retningslinjer
for å håndtere risikoen knyttet til uklar
ansvarsdeling, feilaktig bruk av prinsipper
for reservering og beregninger, feilaktig
bruk av tariffer og manglende etterlevelse
av lovpålagte krav etter forsikringsvirksomhetsloven. Avtalen bør inkludere forventet kvalitet på leveranse, samarbeidsmodell og type rapportering. Internrevisor
må evaluere og vurdere selskapets kontroller for å sikre at aktuars leveranse er i
henhold til avtalen. Dette bør være en del
av rapporteringen fra aktuar og som selskapet bør ha en jevnlig gjennomgang av.
Selskapet bør ha hensiktsmessige kontroller som sikrer at aktuar får all nødvendig
informasjon og at den er kvalitetssikret.
Selskapet er selv ansvarlig for å sikre at
aktuars beregninger er foretatt på riktig
grunnlag. Dette gjelder blant annet informasjon om tariffer, produkter og bestand.
Internrevisor bør derfor påse at det er
implementert kontroller underveis i hele
prosessen fra overlevering av grunnlagsdata til ferdig reservering mottas fra
aktuar. Det bør være et spesielt fokus på
områder hvor det er skjønnsmessige
vurderinger, slik som RBNS og IBNR,
og at disse er foretatt i samsvar med
retningslinjene fra styret og ledelsen. Det
bør også foreligge dokumentasjon som
beskriver vurderingene. Internrevisor må
Internrevisor må vurdere om oppfølgingen av aktuarfunksjonen er effektiv og
hensiktsmessig og at den dekker de identifiserte risikoer. Selskapet bør gjøre egne
analyser og vurderinger knyttet til aktuarens leveranse. Som en del av oppfølgingen bør selskapet også ha analyser som
dokumenterer at aktuarens beregning er
utført på korrekt og fullstendig grunnlag.
Internrevisor bør også påse at selskapet
har rutiner for å gjennomgå og følge opp
aktuarens rapportering til Finanstilsynet.
HVORDAN ISAE 3402 / SSAE 16 VIL
PÅVIRKE INTERN REVISJON AV
UTKONTAKTERTE PROSESSER
– naturlige fokusområder for internrevisjonen dersom slik rapport
Internrevisor må videre påse at selskapet
foreligger
og serviceorganisasjonen har nødvendig
En serviceorganisasjon kan velge å utdokumentasjon for å etterleve reglene i forstede en rapport om foretakets tjenester.
skrift knyttet til risikostyring og kontroll.
En slik ISAE 3402 / SSAE 16-rapport er
en revisorbekreftet rapport som inneOppfølgingsprosedyrer
holder en beskrivelse av foretaket samt
Internrevisor bør kontrollere at rapportedets etablerte interne styring og kontroll.
ringen fra serviceorganisasjonen løpende
Beskrivelsen av den etablerte interne
følges opp av selskapet og at dette dokustyringen og kontrollen inneholder de
menteres. Oppfølgingen bør inkludere
overordnede målsetninger, samt de ulike
egne kontroller for å kvalitetssikre inforkontrollaktivitetene som utføres i foremasjonen som leveres. Dette kan gjøres
taket for å sikre at kontrollmålsetningene
ved å avstemme mottatt informasjon mot
overholdes. Foreligger en slik rapport må
informasjon fra tredjepart. Internrevisor
selskapet ha et forhold til om rapporten
bør vurdere om selskapet har tilstrekkedekker de tjenester som leveres og
lige rutiner for å sikre påliteligheten av
hvilken periode rapporten dekker. Finner
informasjonen samt at lover og regler
selskapet at rapporten dekker kontrolletterleves. Internrevisor må også evaluere
formålene så kan det medføre et mindre
om selskapets rapporteringslinjer av
behov for særskilt rapportering om foreinformasjon fra serviceorganisasjon til
takets kontroller knyttet til leveransen
styret er hensiktsmessige.
siden dette da er dekket av rapporten.
Internrevisor bør påse at selskapet har
Til slutt må internrevisor evaluere og
implementert kontroller og rutiner for å
rapportere til styret om selskapets system
vurdere om rapporten er hensiktsmessig å
for risikostyring knyttet til kapitalforvaltbruke for kontrollformål og at eventuelle
ningen er effektiv og hensiktsmessig.
avvik som fremkommer fra rapporten
følges opp. Internrevisor bør også påse at
5. Aktuarfunksjon
selskapet har prosedyrer på plass for å
Forsikringsselskap er pliktige til å ha
vurdere innholdet i rapporten og retningsaktuar, som har en svært sentral rolle i
linjer for hvordan avvik skal følges opp
selskapet. Aktuars ansvarsområder fremmot serviceorgakommer av «Forskrift om
ppsummert kan en slik rapport gjøre
nisasjonen.
aktuar». Det skilles
Internrevisor kan
mellom aktuar i skade- og
kontrollene med serviceorganisasjonen
også benytte
livsforsikringsselskap,
lettere, men den stiller krav til forsikrings- rapporten i sitt
men kort oppsummert har
selskapet om oppfølging av rapporten.
arbeid og
aktuar et selvstendig
dermed redusere
ansvar for de forsikringsbehovet for å
tekniske beregninger og at selskapet
gjøre særskilte kontroller hos
drives forsvarlig i tråd med
vurdere om det er behov for å gjøre
serviceorganisasjonen. Oppsummert kan
Forsikringsvirksomhetsloven.
kontroller hos aktuar for å få tilstrekkelig
en slik rapport gjøre kontrollene med
sikkerhet for at rapporteringen til selserviceorganisasjonen lettere, men den
Et forsikringsselskap kan velge om de
skapet blir korrekt. En del av denne
stiller samtidig krav til forsikringsansetter en egen aktuar eller om de vil
vurderingen bør inkludere aktuarens
selskapet om oppfølging av rapporten.
utkontraktere dette til et selskap jf. § 10
kompetanse og kontrollmiljø.
O
SIRK nr 2. 2012
45
Ø v ri g s t o f f
Kvinner i økonomisk kriminalitet
Av Petter Gottschalk, professor ved
Handelshøyskolen BI, tidligere administrerende direktør i ABB Datakabel og Norsk
Regnesentral
Vil du som internrevisor slå ned på økonomisk kriminalitet,
kan det være lurt å interessere seg mer for den kriminelle enn
for kriminaliteten. Den kriminelle kan ha atferd og motiver
som setter deg på sporet for en avsløring. Bevis skaffer du
underveis. Den kriminelle kan være både kvinne og mann, ofte
i ledelsen.
Siden 2009 har jeg registrert alle hvitsnippforbrytere som
omtales i Dagens Næringsliv, Finansavisen, Kapital og
Aftenposten. Databasen min vokser hver uke. Personvernombudet for forskning har konkludert med at samfunnsnytten
av min forskning overstiger personvernulempen for de
registrerte.
Nå har jeg kommet til 287 hvitsnippdømte. Det er 25 kvinner
og 262 menn. Altså mer enn 9 av 10 er menn. Om det gjenspeiler kriminalitetsfordelingen mellom kjønn, er slett ikke
sikkert. Andelen kvinner er over tid økende, etter hvert som
kvinner inntar posisjoner hvor hvitsnippkriminalitet er mulig.
Men oppdagelsesrisikoen for kvinner kan være lavere enn for
menn. Derfor har jeg laget en beregningsmodell som viser
overgangen fra 50 prosent kvinner i den norske befolkning til 6
prosent kvinner i norske fengsler. Modellen går fra behov, via
mulighet, motivasjon og rettferdiggjøring, til domsandel og
fengselsandel.
Motivasjon, mulighet og rettferdiggjøring/nøytralisering utgjør
den såkalte mislighetstrekanten.
Mulighet
Motivasjon
Rettferdiggjøring
Mislighetstrekanten for faktorer som påvirker hvitsnippkriminalitet
46
SIRK nr 2. 2012
Her er det klare kjønnsforskjeller, men hvilke er likevel uklart.
Født sånn eller blitt sånn, for eksempel. Kvinner har ikke
samme mulighet som menn til å begå hvitsnippkriminalitet,
dvs. kriminalitet i kraft av posisjon, tillit og nettverk. Når det
gjelder motivasjon, har det vært en gjengs oppfatning at nød
og omsorg er motivasjon hos kvinner, mens grådighet og status
er motivasjon hos menn. Denne oppfatningen går ut på at
kvinners vinningskriminalitet handler om typisk fattigdomskriminalitet som simpelt tyveri, naskeri, trygdemisbruk og
annen type tradisjonell overlevelseskriminalitet.
Rettferdiggjøring handler om å overbevise seg selv og andre at
man ikke har gjort noe galt.
Rettferdiggjøring kan handle om å benytte nøytraliseringsteknikker for å unngå skyldfølelse hos seg selv og for å unngå
beskyldninger fra andre. Nøytraliseringsteknikker i følge
nøytraliseringsteori handler om hvordan den kriminelle
bagatelliserer sin kriminalitet. I følge denne teorien anvender
potensielle kriminelle og faktiske kriminelle fem grunnleggende teknikker for å nøytralisere sin egen skyldfølelse:
fraskrivelse av ansvar (’denial of responsibility’), nekter for at
det er noe offer eller skade (’denial of victim’ og ‘denial of
injury’), hevder at det var nødvendig (‘defense of necessity’),
fordømmer de som fremfører kritikk mot ham eller henne
(’condemnation of the condemners’) og henvisning til lojalitet
til overordnede hensyn (’appeal to higher loyalties’). Disse fem
teknikkene representerer de opprinnelige elementene i nøytraliseringsteorien. Senere kom det inn nye elementer, som metaforen om kompensasjon og teknikken med nødvendighetens
forsvar. Metaforen om kompensasjon dreier seg om at kritikkverdige og kriminelle handlinger kan bli oppveiet og kompensert med gode handlinger, mens teknikken med nødvendighetens forsvar innebærer at en kritikkverdig og kriminell
handling kan bli begrunnet med at den var absolutt nødvendig
i den oppståtte situasjonen.
Det har lenge vært spekulert i om menn og kvinner har ulik
grad av skyldfølelse ved samme kriminalitet. Dersom de har
forskjellig grad av skyldfølelse, vil de trolig også benytte
nøytraliseringsteknikker på ulikt vis. En forsker undersøkte
hvordan kvinner og menn som hadde vært involvert i hvitsnippkriminalitet, beskrev seg selv og sine handlinger i
ettertid. De fant at kvinner fremhevet feminine trekk som er
akseptable i samfunnet, mens menn fremhevet maskuline trekk
som er akseptable i samfunnet. Felles for menn og kvinner var
at de fremhevet støtte til familie, venner og fellesskap som
unnskyldning for kriminaliteten. For både menn og kvinner var
det å ta vare på sin familie og venner sentralt for kjønnsidentitet, som en familieforsørger (mann) og som pleier (kvinne).
Familie som nøytraliseringsargument blir i større grad benyttet
av kvinner enn av menn i følge en studie gjennomført av en
Ø v ri g s t o f f
annen forsker. Studien viser at kvinnelige forbrytere prøver i
større grad å rettferdiggjøre forbrytelsen ved å henvise til
behovene i familien, mens menn oftere er dømt på forretningsmessig grunnlag. Imidlertid viser den første forskeren som
nevnt at behovene for familien og nære venner er den vanligste
årsaken til hvitsnippkriminalitet uansett om forbryteren er en
mann eller en kvinne.
En forskningsrapport fra Storbritannia viser at dømte kvinnelige hvitsnippforbrytere i mindre grad enn menn benyttet seg
av nøytraliseringsteknikkene da flere følte lettelse over å ha
blitt avslørt. De slapp da å bære på hemmeligheten om hva de
hadde gjort og de økonomiske problemene de var i alene. De
kunne nå dele dette med partneren sin.
motivasjon og svakere rasjonalisering/rettferdiggjøring. Dette
er de tre elementene eller hjørnene i mislighetstrekanten. Min
gjennomgang viser imidlertid at mislighetstrekanten ikke er
helt optimal i å illustrere transformasjonen fra et behov til en
handling. Ett problem er risiko, der risiko ble et element som
delvis er med i motivasjon og delvis med i mulighet, og kanskje også delvis med i rettferdiggjøring. Siden risikoaspektet
synes å være en klar indikator på kjønnsforskjell, fortjener
risiko en selvstendig plass på linje med mulighet, motivasjon
og rasjonalisering. Et annet problem med mislighetstrekanten
er rasjonalisering. Det begrepet kan med fordel erstattes med
begrepet nøytralisering, som har fått mye oppmerksomhet de
siste årene.
Mulighet
Kvinner benytter ansvarsfraskrivelse ved å skylde på at de ikke
hadde kontroll eller full viten om detaljer, slik at de kan legge
skylden på andre og innta rollen som offer. Kvinner benytter
trolig lojalitet som nøytraliseringsteknikk i stor grad. Dersom
de begår kriminalitet sammen med andre, er det ofte utfra
lojalitet overfor de andre eller bedriften.
Noen knytter nøytraliseringsteori til moralsk dissonans og
moralsk nøytralisering. Moralsk nøytralisering går ut på å
rense kriminelle handlinger for moralsk innhold og betydning,
gjerne i forkant av handlingen. Den moralske nøytraliseringen
senker terskelen for å begå handlingen og får eventuelle moralske betenkeligheter til å forsvinne. Det gjør man ved å benytte
nøytraliseringstekninkker. Legger man til et kjønnsperspektiv
på moralsk nøytralisering, og knytter det til hvitsnippkriminalitet, kan det være at det for kvinner ikke er så mange å
sammenligne seg med i lignende maktposisjoner. Dette tilsier
at moralsk nøytralisering i større grad passer for menn, fordi
menn lettere kan forsvare at de vil utføre handlinger eller har
utført handlinger som flere rundt seg gjør.
At kvinner kan være mindre i stand til å rettferdiggjøre hvitsnippkriminalitet og dermed unngår kriminaliteten i større grad
enn menn, kan forklares med moralteori kombinert med
glidningsteori. Glidningsteori innebærer at en person eller en
organisasjon glir fra det lovlige til det ulovlige. På engelsk
kalles dette slippery slope theory. Det handler om hvorfor gode
mennesker gjør dårlige ting. Mange uetiske og straffbare handlinger skjer uten at involverte personer er seg bevisst at de gjør
noe galt. Kriminell atferd kan følge en glatt nedoverbakke,
hvor man glir nedover, uten at det er en bestemt hendelse som
forårsaker forfallet i organisasjonen. Det er en utvikling, en
trend, et forløp, som fører galt av sted. Kjønnsforskjellene kan
her finnes i at menn ser gråsoner, mens kvinner ser saker mer
som svart/hvitt. Derfor vil kanskje kvinner i mindre grad være
i stand til å rettferdiggjøre handlinger på den gale siden av
loven.
Mislighetstrekanten er benyttet i min beregningsmodell for
kvinneandeler til å belyse reduksjonen fra behovsandel til
handlingsandel. Kvinners behov for økonomisk kriminalitet
reduseres i forhold til menn gjennom mindre mulighet, lavere
Nøytralisering
Motivasjon
Risiko
Krimstjernen for faktorer som påvirker hvitsnippkriminalitet
Derfor blir det her bli foreslått et alternativ til mislighetstrekanten som kalles krimstjernen for kvinner. Den inneholder de
to kjente elementene mulighet og motivasjon, det nye elementet risiko og det omskrevne elementet nøytralisering, som vist i
figuren.
Avslutningsvis kan nevnes at på engelsk kalles kvinnelige hvitsnippkriminelle for pink-collar criminals, der den tradisjonelle
kriminaliteten er underslag (embezzlement) og bedrageri
(Dodge, 2009). Det passer nok ikke så bra med rosasnippkriminelle eller rosakragekriminelle eller bare rosasnipper på
norsk. Men kanskje det kunne passe med Gucci-kriminelle
eller Louis Vitton-kriminelle, eller kanskje kriminelle gullskjørt, for det er en sterk gruppe kvinner i samfunnet som
kalles gullskjørtene (Skarsgård, 2012). Enda et forslag er
kriminelle i høyhelte sko, eller kriminelle på høye hæler.
Kanskje det kan bli tittelen på en bok: Kriminelle på høye
hæler – Kvinner i hvitsnippkriminalitet. Eller kanskje bedre:
Kriminelle på høye hæler – Kvinner i økonomisk kriminalitet,
om da ikke: Kriminelle på høyhelte sko – Kvinner i hvitsnippkriminalitet, eller: Høyhelte kriminelle – Kvinner i økonomisk
kriminalitet. Dermed er jeg tilbake på tittelen for denne
artikkelen.
Kilde: Petter Gottschalk. 2012. Økonomisk kriminalitet i
ledelsen. Unipub forlag, Universitetet i Oslo.
SIRK nr 2. 2012
47
Ø v ri g s t o f f
Kritikk av Riksrevisjonen – riktig eller galt?
Av Einar Døssland
Det normale er at Riksrevisjonen er den autoriserte til å gi en
objektiv og saklig vurdering av departementenes forvaltning og
ledernes arbeid. Gjennom sommeren og høsten er det riktig
nok fra en filosof, flere byråkrater og politisk hold blitt slått
hardt tilbake med mange kritiske røster mot Riksrevisjonens
arbeid, og ikke minst mot den beskrivelse som Riksrevisjonen
har gitt av forvaltningen og ledelsen i sine rapporter gjennom
mange år. I hovedoppslaget til E24 den 7. september kunne vi
lese «Flere politikere vil vingeklippe Riksrevisjonen. Flere
tidligere statsråder mener at riksrevisor Jørgen Kosmo skaper
vansker for statsråder som vil utrette noe politisk. Nå vil de
strippe Riksrevisjonen for makt.» Det er ikke min påstand at
Riksrevisjonen ikke kan bli bedre, men at de er noen engler
som kan vingeklippes, er nok ikke tilfelle.
Da tidligere forsvarssjef Sverre Disen uttalte i Aftenposten
12. juni at «Riksrevisjonen gjorde det med andre ord til et
problem at Marinen ble modernisert», måtte jeg spørre
meg selv om den tidligere forsvarssjefen har tatt i bruk
«angrep som beste forsvar». Eller er det jeg som har
misforstått Riksrevisjonens rolle, og misforstod verdien av
Riksrevisjonens budskap den gangen de avla sin rapport om
forsvarets arbeid med fregatt- og missiltorpedobåtklassene.
Fra mitt ståsted, som gjennom tiden har lest og fulgt litt med i
Riksrevisjonens rapporter, var det ikke mulig å kjenne seg
igjen i den omtale som Disen og andre byråkrater ga til
Riksrevisjonens rapporter.
NIRFs rolle
Ingen kan benekte at en gjennom god styring og kontroll vil
oppnå en bedre forvaltning med positiv effekt for samfunnet
og for den enkelte. På samme måte vil også en forbedret og
god Riksrevisjon kunne bidra med en positiv effekt på forvaltningen, virksomhetsstyringen og Stortingets behov for kontroll.
En viktig premiss i denne debatten må være riktig kompetanse
og rett informasjon, og at aktørene forstår og respekterer hverandres roller og rammebetingelser.
Vi går mot et viktig stortingsvalg i 2013. Hva er berettiget,
og hva er faglig feil i den kritikken som er rettet mot
Riksrevisjonen? – Finnes det flere politikere og politiske
partier som vil vingeklippe og sette Riksrevisjonen i bånd etter
stortingsvalget i 2013? Om det skal skje eller ikke, må vi være
med å bestemme!
Er den «Beinharde kritikken av Riksrevisjonen», som var
hovedoppslaget til Aftenposten i juni, riktig og berettiget? Det
er helt sikkert noe som kan bli bedre, selv hos Riksrevisjonen.
Vi må likevel ikke gå i den fellen og bare tro at dette bare var
utspill fra slitne og frustrerte eks politikere og byråkrater med
manglende innsikt i forvaltningsrevisjonens formål og verdi.
Min oppfordring er at NIRF i 2013 stiller sin møteplass til
disposisjon for å invitere til debatten og forhåpentligvis bidrar
til å gi gode og riktige svar på de faglige motforestillingene
som er reist gjennom kritikken.
Litt mer om kritikken
NIRF har gjennom sine aktiviteter og faglige arbeid i flere år
rettet et betydelig fokus mot hvordan utføre revisjon og forbedre virksomhetsstyring i private og offentlige virksomheter
og forvaltning generelt. Ikke minst står NIRF bak et Master of
Management Program på Handelshøyskolen BI som siden
1992 har utdannet en rekke revisorer innen intern- og offentlig
revisjon. Gjennom årene har Riksrevisjonen sendt flere hundre
av sine revisorer gjennom nettopp dette programmet. Derfor er
NIRF og vårt fagmiljø også «medansvarlig» for kvaliteten på
den offentlige revisjonen. NIRF er en av landets viktigste
arenaer hvor denne kompetansen finnes, og hvor vi regelmessig møtes til faglige diskusjoner. I vårt fagmiljø kan vi
forhåpentligvis finne noen av de kloke svarene til den
kritikken som er reist mot Riksrevisjonen og forvaltningsrevisjon som metode.
48
SIRK nr 2. 2012
Aftenposten bygde sitt oppslag i sommer på en kronikk av
filosof og jurist Morten Kinander, supplert med sitater fra
tidligere ledere og en statsråd.
Kontradiksjon – en kilde til rett faktum
Det er viktig at den som opplever kritikk og en uriktig faktabeskrivelse gjennom Riksrevisjonens forvaltningsrevisjon, får
uttale seg og korrigert det som måtte være feil. Likevel må
dette skje mens «slaget» står og før endelig rapport blir
utarbeidet. Det var vanskelig som en av Aftenpostens lesere å
danne seg et balansert bilde, eller å imøtegå de presenterte
uttalelsene når de fremlegges mange år etter at rapport ble
utarbeidet. Som leser var det umulig å balansere uttalelsene
mot det som faktisk var Riksrevisjonens beskrivelse av faktum
og eventuelle kritikk på rapporteringspunktet.
Ø v ri g s t o f f
Riksrevisjonen er gjennom revisjonsstandardene forpliktet til å
gi den reviderte virksomheten en betryggende kontradiksjon,
med rett til å påpeke feil og mangler, samt å få innarbeidet sine
kommentarer og eventuelle innsigelser i rapporten. Det er
opplagt at Riksrevisjonen gjennom sine undersøkelser kan
gjøre feil og feiltolke faktum. Likevel skal de metodene og
standardene som Riksrevisjonen etterlever, sammen med deres
beste evne og intensjon, bidra til at feil og mangler i faktagrunnlaget blir oppdaget og korrigert før endelig konkusjoner
utarbeides og rapporteres.
Derfor er det av stor betydning at de berørte parter tar til
motmæle og bruker kontradiksjonen aktivt. Men hvorfor kom
ikke de sterke innvendingene til uttrykk da Riksrevisjonen
sendte rapportens faktabeskrivelse til kontradiksjon?
Det er ikke uvanlig, verken i privat eller offentlig sektor, at den
reviderte har en helt annen beskrivelse og vurdering av faktum
enn hva revisor har. Her er det viktig å huske – at slik skal det
også være! Vi er her på mange måter ved sakens kjerne – hva
slags Riksrevisjon og forvaltningsrevisjon vil vi ha? Den
reviderte skal også få si sin mening. Det avgjørende er likevel
hvordan omverden sikres tillit til Riksrevisjons arbeid og
rapporter. Det er ikke den offentlige, uavhengige og kritiske
forvaltningsrevisjon som noen gang har vært årsak til revisjonsskandalene her hjemme eller internasjonalt.
Formålet med en forvaltningsrevisjon
Ut fra min vurdering manglet kronikken i Aftenposten en
forståelse av hva som er den fundamentale hensikten med en
forvaltningsrevisjon. Hensikten er å se på tingene på nytt – med
andre ord en revisjon - med uavhengige og objektive øyne.
Det er vanskelig å forstå filosof og jurist Morten Kinander når
det pekes på at Riksrevisjonen opererer som ei «vaktbikkje
uten bånd?» Utsagnene og metaforene i kronikken var sterke,
og det er ikke tvil om at utsagnene var seriøst ment. Hva vil
det innebære å sette Riksrevisjonen i bånd, slik det gjøres med
alle andre «vaktbikkjer»?. Er det et ønske om å begrense hva
Riksrevisjonen skal kunne gjøre og skrive?
Det avgjørende er at Riksrevisjon er trygg på egne vurderinger,
og ikke så opptatt av å prate den reviderte etter munnen. Det er
nettopp det som kan gi oss merverdi med demokratiske muligheter for å tenke nytt, og sikre oss enda mer demokrati mot en
ønsket og styrt samfunnsutvikling. En meningsutveksling i
båndtvang kan ikke være veien å gå for å sikre forbedringer i
forvaltning og et styrket demokrati.
Poenget er ikke at Riksrevisjonen alltid vet best, eller har rett i
sine vurderinger. Det viktige er at funnene og innspillene vi
mottar i større grad brukes konstruktivt av statsråder og
departement til å generere nytekning og enda bedre løsninger
enn hva Riksrevisjonen foreslår.
Det er menneskelig og forståelig at de som «rammes» av
Riksrevisjonens kritikk kan sitte med et noe annet bilde av
virkeligheten og sannheten. Derfor er det nødvendig at
Riksrevisjonens rapporter er balanserte og bygger på et
dokumentert faktagrunnlag. Forvaltningsrevisjonen kan
gjennom åpenhet og god kunnskap om den utførte forvalt-
ningen, være et viktig grep for å forbedre vår velferd og
velfungerende demokrati.
Alle forstår hvorfor bevilgningene til politiet har økt de seneste
år. Når det i kronikken reises spørsmål til hvorfor
Riksrevisjonen vokser seg stadig større, og på egenhånd har
tiltatt seg sin rolle, må det være tillatt å sette foten i bakken for
reise spørsmålet om hvor problemet egentlig er? Uttalelser som
«Riksrevisjonen har blitt politikkens overdommer på eget politisk grunnlag», er grunnløs og udokumentert. Kinander bygger
sine uttalelser på en feil forståelse og tolkning av forvaltningsrevisjons grunnprinsipper og verdier. Det pekes på at «man i
det minste må ha definert hvilke kriterier det skal revideres
etter og vise så klart som mulig hva som er Stortingets forventninger». Videre at «Riksrevisjonen antar en selvstendig
politisk synsefunksjon uten et klart mandat fra Stortinget».
I kronikken gjøres det en sammenblanding av kriteriene for en
forvaltningsrevisjon og kriteriene for Stortingets bevilgninger.
Formålet og herunder kriteriene for Riksrevisjonens arbeid med
forvaltningsrevisjon er nedfelt i lov, instruks, standarder ol., og
står helt på egne ben. Det er selvfølgelig ikke Riksrevisjonens
oppgave å definere kriteriene som ligger til grunn for bevilgningene. Kriteriene er et resultat av politisk håndverk.
Riksrevisjonen rolle er å kartlegge og vurdere om bevilgningene er disponert med hjemmel i Stortingets vedtak og i tråd
med formål og Reglement for økonomistyring og
Bestemmelser om økonomistyring. Oppgavene og formålene
for forvaltningen ligger fast på de fleste områdene fra år til år,
mens målene for det enkelte år fastsettes gjennom Stortingets
vedtak, budsjett og departementenes tildelingsbrev.
Det er en misforståelse når det hevdes at en forvaltning med
utydelige formål og mål (revisjonskriteriene), ikke kan være
gjenstand for en forvaltningsrevisjon. Det er Stortingets ansvar
å definere tydelige formål og mål. Kriteriene blir videreformidlet og konkretisert fra departement og forvaltning.
Det er et paradoks når toppdiplomat Tore Eriksen i Aftenposten
kan uttale: «I min tid i departementet opplevde vi det som et
problem at vi ikke visste hvilke kriterier vi ble revidert etter.»
Er dette en erkjennelse om at virksomheten ble ledet og styrt
med bind for øynene? Dersom forvaltningens kriterier, dvs.
formål og mål, er ukjent for lederne, er behovet for forvaltningsrevisjon desto større.
Det blir vanskelig å gi en rettferdig karakteristikk når en eks.
statsråd og flere tidligere ledere fra forvaltningen kan hevde at
deres virksomheter var for komplisert og vanskelig for at
Riksrevisjonen hadde faglige forutsetninger for å utføre en
forvaltningsrevisjon. Betyr dette at forvaltningsrevisjon bør
avvikles, eller at vi bør innføre en ny forvaltningsrevisjon i tråd
med deres ønsker? Min oppfordring er at NIRF må invitere til
debatt. For her har vi enten noe å lære, eller noe å dele
gjennom vår fortsatt levende visjon om «Progress Through
Sharing»! – La det bli NIRFs julegave for en bedre forvaltning
og tryggere demokrati i 2013.
God jul til alle!
SIRK nr 2. 2012
49
B o ko m t a l e
Huset Rothschild
Av Reidar Døli
For en tid tilbake kom jeg over denne
boken. Den er skrevet av Frederic
Morton og ble utgitt på Gyldendal
Forlag i 1963. Det er med andre ord
ikke en anmeldelse av en ny bok jeg
kommer med, men snarere en deling
av en fin bokopplevelse. Temaet i
boken er imidlertid høyst relevant for
de av oss som er opptatt av risikostyring, intern kontroll, virksomhetsstyring og finans.
Familien som boken handler om var sagt
å være verdens rikeste gjennom hele det
nittende århundre og langt utover i det
tjuende. Til sammenligning så ble
dronning Victoria regnet for å være en
svært holden dame med sin anslåtte
formue på 5 mill GBP. Klanen
Rothschild representerte på samme tid
en formue på den gang ufattelige 400
mill GBP. Boken beskriver veien til
rikdom og alle de knep som ble tatt i
bruk i en tid der det meste var lov og
lenge før noen hadde tenkt ut regler for
god virksomhetsstyring.
Historien starter med en jødisk, foreldreløs gutt med navnet Mayer. Han var født
i 1744. Siden jødene i Frankfurt ikke var
forunt å bære familienavn tok de gjerne
husskiltene til sitt etternavn. Mayers
familie hadde en gang bodd i et hus med
rødt skilt, derved tok han navnet
Rothschild.
Han startet opp med handel blant annet i
tekstiler i Jødegaten i Frankfurt, utvidet
snart med handel i gamle mynter og kom
derigjennom i kontakt med pengesterke
fyrster. Snart drev han også en primitiv
bank, en vekslestue for alle de forskjellige
myntene som eksisterte i Tyskland på den
tid. I 1789 startet han en uhyre lønnsom
virksomhet som var grunnlagt på fyrst
Wilhelm av Hessen-Cassels rikdom. Han
ble tilrettelegger og mellommann for
obligasjonslån. Et eksempel på en slik
forretning er hentet fra 1804 da den
danske statskassen var tom. Siden den
danske monarken var Wilhelms onkel, og
at lån dem imellom lett kunne utvikle seg
til å bli en gave, ble det store lånet gitt
inkognito gjennom Rothschild, som
selvfølgelig tok sin del av fortjenesten.
50
SIRK nr 2. 2012
Etter okkupasjonen fra Napoleon overtok
Rothschild forvaltningen av rikdommen
til Wilhelm. Dette skaffet Rothschild
forbindelser, kunnskaper og myndighet i
hele Europa. Mens Wilhelm satt i eksil
ble Rothschild en gang betrodd å
investere for 550.000 GBP i engelske
statsobligasjoner. Kursen skulle
gjennomsnittlig være på 72. Rothschild
investerte pengene først for egen regning
i en periode og fikk en god profitt ut av
det. Deretter kjøpte han statsobligasjonene til en kurs på 62 og oppnådde da også
der en stor fortjeneste som han også
stakk til seg selv.
Rothschild hadde innsett verdien av
informasjon. Han etablerte tidlig sin
egen nyhetstjeneste som omfattet egne
vogner, båter og brevduer(!). Dette
gjorde han stor nytte av i forbindelse
med slaget ved Waterloo i 1815. Det
som skjedde ble på den tid betegnet som
”kupet over alle kup”. Det hadde seg slik
at hvis Napoleon vant dette slaget ville
engelske statsobligasjoner synke til
bunns. Det motsatte ville skje hvis han
tapte. Ved hjelp av sin nyhetstjeneste og
sin sønn Nathan som var plassert i
London, fikk Rothschild raskere enn
noen annen vite at Napoleon var knust.
Nathan dro rett til børsen. Han startet
med å selge og selge statsobligasjoner og
prisene sank. Alle trodde da nemlig at
Rothschild hadde mer informasjon enn
de selv, og at England hadde tapt ved
Waterloo. Kursen sank til bunns. Da, i
rette øyeblikk, snudde Nathan seg rundt
og kjøpte en stor bunke med statsobligasjoner, for så å si ingenting. Det ble snart
allment kjent at England hadde vunnet
og obligasjonene steg til himmels. Dette
ble en svært god historie, men som et PS
er det flere historikere som stiller spørsmål ved troverdigheten og heller kaller
den en myte.
Familien etablerte et europeisk dynasti.
Mayer hadde fem sønner. Han hadde for
øvrig også fem døtre, men det var
sønnene han sørget for at etablerte seg i
London, Østerrike, Italia og Paris, i
tillegg til i Frankfurt. Spesielt for
familien var at av 12 ekteskap som ble
inngått av disse 5 brødrenes sønner, så
var hele 9 med døtre av farbrødre. Man
hadde en sterk motvilje i familien mot å
dele navnet med andre.
Salomon som etablerte seg i Østerrike,
møtte sterkest motstand til å begynne
med på grunn av antisemittisme og at
”skikken med korrupsjon ikke hadde så
mange tilhengere der”. Salomon
behersket kunsten å smigre og han var
den fødte diplomat. Han fikk lagt ut
lotteriobligasjoner som han ved hjelp av
et publisitetsapparat tjente svært godt på.
Senere, og ved hjelp av enorme veldedige gaver fikk han sin status som
fullverdig borger. Han ble en de største
godseiere i landet. Carl ble keiserlig
tilrettelegger av lån fra Østerrike til
kongen av Napoli. Han oppnådde pavens
anerkjennelse. Amchel arvet banken i
Frankfurt og ble familiens nye overhode.
Han ble skattmester, en slags finansminister for den tyske konføderasjonen.
James, den yngste etablerte seg og slo
seg voldsomt opp i Paris. Brødrene
etablerte også det som er betegnet som
verdens førte clearingsentral mellom de
fem Rothschildske bankene. Skiping av
gull ble derved erstattet med debet og
kredit. Familien rådde over krig og fred i
Europa i det nittende århundre. De var
avhengige av fred for å bevare sin
formue.
Familien involverte seg også stort i
jernbaneutbyggingen i Østerrike og
Frankrike. De hadde stadig fiender som
lurte og ble utsatt for utro tjenere mer
enn en gang. En betrodd hovedbokholder
i Paris, Carpentier, stakk i 1856 av til
Amerika med hele kassebeholdningen på
6 mill franc og aksjer for 26 mill franc.
Han ble aldri tatt. En annen, Pereire, var
sjef for Rothschilds jernbaneutbygging
mellom Paris og Versailles. Han gikk
over til fienden, Fould, og de etablerte et
selskap sammen med det eneste formål å
slå Rothschild. De grunnla en folkebank,
Credit Mobiliere, men de klarte ikke å
slå kjempen.
B o ko m t a l e
Boken er full av underholdende anekdoter. En av disse handler om sønnen til
Salomon, Anselm het han. Han ble en
gang nektet adgang til en spilleklubb
utenfor Wien. Årsaken var den vanlige,
antisemittiske. Anselm skjenket da den
nærliggende landsbyen et moderne
søppelforbrenningsanlegg og la det slik
til at det både var godt synlig og luktlig i
kasinoet. Et medlemskort ble da øyeblikkelig sendt han, men kortet ble
returnert neste dag, duftende av den
dyreste parfyme.
Historiene er mange. I 1875 ble familien
involvert i en særdeles begivenhetsrik
affære. Statsminister Disraeli ble kjent
med at Khediven av Egypt var i pengevansker. Ved hjelp av Rothschilds raske
finansiering av 4 mill GBP utmanøvrerte
han den franske regjeringen og kjøpte
aksjemajoriteten i Suezkanalen.
Transaksjonen ga en umåtelig gunstig
avkastning for engelskmennene. En
annen historie er fra 1886 da Rothschild
bidro til å redde Baring. Banken hadde
satt inn alle sine ressurser, og vel så det,
på mislykket nybygging i Argentina.
Fortellingen tar oss videre frem i
medgang og motgang over i det tyvende
århundre og to krevende verdenskriger.
Familiens historie er hele veien tett
flettet sammen med Europas historie.
For den som er interessert i historie,
bankvirksomhet og virksomhetsstyring
er denne boken et funn. Det vanskeligste
er imidlertid å få tak i den - men det er
verdt å prøve i et antikvariat. Ellers, i
dag er det mye interessant å finne på
nettet, også om familien Rothschild.
Omgitt av løgnere - Arne Selvik
En kompleks og kaotisk verden medfører
at de fleste toppledere omgir seg med
ledergrupper og bygger team. Lederen
skal fatte beslutninger på grunnlag av et
virvar av informasjon og ærlige tilbakemeldinger vil ofte ha et innhold som
øker kompleksiteten i lederens beslutningsgrunnlag. For å forenkle hverdagen
til sjefen forenkles verden av de som
jobber rundt han/ henne og ubehagelige
og negative detaljer siles bort. Forholdet
mellom lederen og hans nærmeste er i
mange tilfeller preget av taushet og
fortielse. For å endre dette bør ledere
trene på situasjoner som krever relasjonelt mot slik at utfordrende budskap kan
formidles med respekt og forstand.
Av Esa Leporanta
Både ledere og bedrifter som ikke
får direkte og ærlige tilbakemeldinger svikter før eller siden, men det er
vanskelig å være dønn ærlig med
sjefen. Det er egenskaper ved ledere
samt prosesser og mekanismer som
leder til innsnevring av kunnskap og
innsikt som er hovedtema for boken
til Selvik.
Enkelte ledere kan signalisere et sterkt
behov for anerkjennelse enten bevisst
eller ubevisst uten å vite at de avskjærer
seg fra vital informasjon. Noen ganger
blir det for tette forhold mellom ledere og
medarbeidere til at kritikk og ærlighet
kommer til lederen. Omfanget av arbeidstakeres løgn til sjefer ble kvantifisert i
Storbritannia til 1,4 milliarder løgner i
2004. De fleste dekker over handlinger
som man tror vil skade karrieren.
Selvik viser oss videre hvilke sosiologiske og psykologiske fenomen som
særpreger ledernes situasjon. Er det
grådighet, dumskap eller fornuftig
griskhet som forklarer at ledere tar
beslutninger som bekrefter sviktende
dømmekraft?
Når ledere omgis av taushet og løgnere,
blir de ofte selv – ufrivillig – løgnere
som preges av mer eller mindre utviklede former for selvbedrag. Ofte har ledere
selv, gjennom sine holdninger og personlighetstrekk, sørget for at de som skulle
sørge for gode korrektiver og kritiske
spørsmål, ikke ser seg tjent med å
fortelle sjefen hele sannheten. I stedet
for ærlige tilbakemeldinger får lederen
noen ganger speilbilder som minner om
de man ser på tivoli.
De som tør å være helt ærlig med en
leder, er de som genuint vil ham eller
henne vel. Felles for slike relasjoner er at
de er bygget over tid. Et annet er at de
som tør å være direkte også må tåle
ubehag, smerte og noen ganger straff.
Selvik synliggjør hva som kan gå galt
om ledere har bestemte atferdsmessige
særegenheter. Han ser også nærmere på
hvilke personlighetstyper man finner hos
toppledere. Videre viser Selvik at det
fins en incentivstruktur som gir menneskene rundt lederen sterke motiver for å
underbygge sjefens selvbedrag.
Hoveddelen av boken handler om hvordan ledere faktisk skaffer seg ærlige
tilbakemeldinger, slik at de kan fatte
kloke beslutninger til beste for den
virksomheten de er satt til å lede, og til
beste for sin egen helse og karriere.
Denne delen av boken handler også om å
utvikle og bygge sosiale og nettverksorienterte kontekster som gjør det
mindre risikofylt å være leder.
Det som gjør boken særdeles interessant
for internrevisorer er Selviks budskap
om uavhengige rådgivere. Slik Selvik
sier, bør en god hjelper ha tilstrekkelig
nærhet til lederen til å kunne gjøre
presise observasjoner. Samtidig må
hjelperen ha tilstrekkelig avstand til å
kunne være helt oppriktig. Som et
eksempel bruker Selvik dronning
Elisabet I (1533-1603) som skal ha
innsett hvor vanskelig det kan være for
en rådgiver å gi råd som de antar (eller
vet) går imot sjefens vilje. For det andre
skal Elisabeth I ha forstått at det kan
være vanskelig å få ærlige råd og
tilbake-meldinger, med mindre man
sikrer budbringeren full konfidensialitet
og tillit.
Fagbokforlaget 2005 ISBN 82-450-0279-8
SIRK nr 2. 2012
51
F o re n i n g s n y t t
”Internal audit à la carte”
Noen inntrykk fra European Conference i Amsterdam
Konferansen ble gjennomført i Amsterdam, 12. – 14. september 2012. Den samlet ca 500 deltakere fra 41
land, hvorav 16 norske. SIRK har bedt en av deltakerne om å oppsummere sine inntrykk fra konferansen.
Solbjørg Lie,
revisjonsdirektør
i NAV, Oslo
Hva synes du var høydepunktene på
konferansen?
For meg var det spesielt interessent å
høre nærmere om Basel-komiteens 20
prinsipper for internrevisjon i banker
som ble publisert i juni 2012. Baselkomiteen har valgt å unngå IIAs
definisjon av internrevisjon fordi:
1. Nåværende definisjon er oppe til
revisjon i IIA
2. Basel-komiteen liker ikke ordet
«consulting»
Basel-komiteen er absolutt i favør av
internrevisjon. Omlegging av internrevisjonens rapporteringslinjer fra
toppledelsen til styret ble fremhevet som
en vesentlig endring. Basel-komiteen
vurderer videre leder av internrevisjonen
som en del av styret med ansvar for
oppfølging av både ekstern og intern
revisjon. Siden Basel-komiteen ofte har
vært tidlig ute mht. utvikling av kontroll
i banker, er det nyttig for oss som ikke
jobber innenfor finanssektoren å høre
nærmere om nye krav til internrevisjon i
banker.
Videre deltok jeg på et foredrag om
risikostyring i nederlandske Shell som
har en internrevisjonsavdeling på hele
52
SIRK nr 2. 2012
220 revisorer globalt. Shell har ingen
egen organisatorisk risikostyringsenhet.
Denne funksjonen ble ivaretatt av internrevisjonen som med sine 220 revisorer
hadde kunnskap om alle risikoer i
virksomheten. Ett av målene for internrevisjonen var å sikre at risikostyringen
alltid var en integrert del av forretningsplanleggingen. Forretningsområdene eier
egne risikoer og har selv ansvar for å
håndtere de. I tillegg ble noen felles
risikoer håndtert i en egen risikostyringskomite der alle forretningsledere var
representert sammen med controllere og
internrevisorer. Foredraget var strukturert og lærerikt og ga god input til
inndeling av risikouniverset i et av
verdens største oljeselskaper.
Er det noen tydelige trender i de foredrag/temaer som ble presentert?
Ja, fokus på etikk og kulturens betydning
for sunn forretningsførsel. Konferansen
hadde flere foredrag om kontrollers
begrensning og viktigheten av de myke
verdier/kontroller som kultur og etikk.
Det nytter ikke å utvikle flere systemer
og kontroller og samtidig øke incentivbruken i virksomheten. Incentiver korrumperer og flere incentiver korrumperer
mer og ødelegger vår moral var budskapet fra Jaap Winter.
Richard Chambers fulgte opp med å
fokusere på etikk for internrevisorer og
poengterte at revisorer må ha et robust
etisk kompass. Dessverre ble det referert
økt antall tilfeller der internrevisor
bevisst hadde unnlatt å gjøre jobben sin
godt nok til skade både for sin virksomhet, for seg selv og for profesjonen.
Fikk du noen gode ideer som du kan
omsette til praktisk nytte?
Fokus på viktigheten av god, kort og
presis kommunikasjon – både skriftlig og
muntlig ble fremhevet. Rapporter over
5-6 sider blir ikke lest, og innholdet på de
5-6 sidene må bekrefte revisors innsikt og
forståelse for fremtidige utfordringer på
området. Videre at dersom et kontrollregime skal fungere godt er det en
forutsetning at de myke kontrollene som
kultur, holdninger og etikk må være
etablert og forstått.
Så til slutt, litt om gjennomføringen av
konferansen:
Konferanseopplegget var uvanlig og
spennende. I tillegg til vanlige forelesninger, var temaene lagt opp som
workshops, diskusjoner eller kunnskapsdeling med gode fasilitatorer. Opplegget
ga mulighet for større interaksjon mellom
deltakerne og fasilitator og muligheter for
å lære av hverandre. Ulempene er at med
deltakere fra så mange land så har nesten
alle ulike aksenter i sin engelsk og det gir
tidvis utfordringer i erfaringsdelingen.
Konferansen fant sted i den gamle børsen
i Amsterdam. En ærverdig bygning mer
enn 400 år gammel lokalisert midt i byen.
Det var satt av god tid til å mingle og
diskutere med gamle og nye kolleger. En
hyggelig middag i West Indian House på
dag 2 ga oss smak og innblikk i mange
lands kjøkken samt god øvelse i å balansere i trange bratte trapper i et gammelt
sjarmerende hus.
Neste års konferanse går i
Wien 2. – 4. oktober 2013.
REVOLUTONIZE INTERNAL AUDITING Noen inntrykk fra The IIA 2012 International Conference i Boston, USA
Konferansen ble gjennomført i Boston, USA 8. – 11. Juli 2012. Den samlet
ca 2500 deltakere, hvorav 15 norske. SIRK har bedt to av deltakerne om å
oppsummere sine inntrykk fra konferansen
Thomas Hager, Internrevisjonen i Statoil, Oslo
Vi spør først Thomas om hva han synes var
høydepunktene på konferansen?
Konferansen bestod av både fellesforedrag og
av foredrag innen forskjellige spor der man
selv kunne velge hvilke man ville gå på. Fellesforedragene var ikke
alle direkte relatert til internrevisjon, mens foredragene på de forskjellige sporene hadde en mer faglig karakter. Det var tydelig at de
hadde lagt seg i selen når det gjaldt foredragsholdere til fellesforedragene. Her var det blant annet en astronaut fra NASA som
fortalte om hvor viktig det er for dem å ha god internkontroll.
Og når han i tillegg viser en filmsnutt fra en av deres ferder ut i
verdensrommet, så blir det jo minneverdig. Et annet av fellesforedragene ble holdt av en profesjonell foredragsholder og gikk på at
en sentral utfordring for ledere i dag er å skape en modighetskultur i
bedriften. Verden endrer seg hele tiden, for eksempel med tanke på
ny teknologi som stadig blir introdusert. Man blir nødt til å være en
del av utviklingen. Mot trengs for å skape godt kompaniskap, for å
bygge en merkevare, for å bli en utmerket kommunikator var andre
eksempler. I pausene er ”minglingen” sentral og det var forskjellige
stands der hvor man kan oppdatere seg på bøker innenfor faget,
relevant software til bruk for internrevisjonsavdelinger, hvilke
tjenester eksterne leverandører har spesialisert seg på, og så videre.
Var det noen tydelige trender i de foredrag/temaer som ble
presentert?
Konferansen hadde hele 11 forskjellige spor med totalt 77 foredrag.
Så spennet og variasjonen i foredragene var imponerende stort.
Selv gikk jeg på en del foredrag innenfor IT-området. Av temaer
som ble tatt opp her var hvordan man kan revidere nye trender som
nettskyen og bruk av smarttelefoner som begge har en voldsomt
raskt økende utbredelse. Det var også flere foredrag som omhandlet
’continious auditing’ - hva som ligger i dette og eksempler på hvordan bedrifter har tatt konseptet i bruk. Ellers så er jo noe av det
som gjør det interessant å delta på en konferanse som dette at man
får et godt innblikk i hva som for tiden er aktuelle temaer innen
internrevisjon ved å studere programmet.
Fikk du noen gode ideer som du kan omsette til praktisk nytte?
Både når det gjelder gjennomføring av enkelte revisjoner og
innspill til temaer/revisjoner i forbindelse med fremtidige revisjonsplaner, var det nyttig å delta på konferansen. Man får med seg
eksempler på risikoer innen gitte områder, og ideer om hvordan
forskjellige temaer kan revideres. Med en økt forståelse for risiko,
er det også lettere å se hvorfor enkelte temaer bør bli gjenstand for
revisjon og å lage et godt revisjonsprogram.
Tom Alm, Internrevisjonen i DNB,
New York Branch
Så gir vi ordet til Tom som oppsummerer
sine erfaringer fra konferansen slik:
På en konferanse som samler så mange
mennesker kan foredragene lett bli veldig generelle og lite matnyttig, så det er jo med en viss spenning man besøker foredrag
om temaer man håper skal gi noe tilbake. Siden jeg jobber som
revisor ved DNB’s New York kontor, og således må forholde
meg både til amerikanske og norske myndighetskrav og forventninger, ga IIA- konferansen flere nyttige innspill som allerede er
omsatt til praktisk nytte i form av justerte revisjonsprogrammer
og oppdaterte risikoanalyser. I det regulatoriske miljøet som
råder i USA forventer tilsynsmyndighetene at internrevisjonen
hele tiden følger business best practise og at dette også gjenspeiles i det arbeidet som utføres. Det er derfor viktig å kunne
dokumentere at man både deltar på faglige konferanser og at
man omsetter det man lærer i praktiske handlinger. For meg var
et av høydepunktene på IIA-konferansen et foredrag som ble gitt
i konferansens Pre-conference Session på søndagen. I foredraget
”Key Topics for the Future of Financial Institutions Compliance”
ble tilsynsmyndighetenes forventninger til internrevisjon og
utfordringene innenfor compliance presentert på en nyttig og
inngående måte. I tillegg til dette foredraget var det også interessant å se det økede fokuset som denne gangen var lagt på tema
som Foreign Corruption Protection Act, Ethical Environment og
Cultural diversity and cross-cultural communication.
Så til slutt noen kommentarer fra Thomas:
Det er spennende å få anledning til å komme på en internasjonal
konferanse og se litt hva som rører seg innenfor internrevisjonsprofesjonen. Jeg synes IIA her arrangerte en konferanse med et
variert og godt program. Bruken av teknologi i forbindelse med
konferansen var imponerende. Det var tilgjengelig en egen
mobilapp der man kunne få oversikt over konferanseprogrammet og de foredragene man hadde meldt seg på. Under fellesforedragene kunne tilhørerne bruke sms for å stille spørsmål til
foredragsholderen. Og så er det jo en del utenomfaglig program
på en konferanse som dette som bidrar til å gjøre det til en
minnerik opplevelse. Vi hadde en Boston-aften med kulturelle
innslag og med servering av mat som er typisk for byen, for å
nevne noe. En kommer jo heller ikke utenom at det var
spennende å få besøke byen Boston. Selv fikk jeg frisket opp
litt rusten historiekunnskap om the Boston tea party, som
innledet USAs uavhengighetskamp, med et besøk til
’The Boston tea party Museum’.
Neste års konferanse går i Orlando, USA 14. – 17. juli 2013. Det er ventet 3000 deltakere
til konferansen som denne gangen blir arrangert av IIA`s Global Headquarters`staff.
Konferansens motto: One World - One Profession - One Destination.
SIRK nr 2. 2012
53
Tillitsvalgsamlingen 2012
Av Ellen Brataas, generalsekretær
Hver høst inviterer NIRF sine tillitsvalgte og andre bidragsytere gjennom året inn til en ettermiddag hvor vi
utveksler informasjon om hva som skjer og planlagte aktiviteter på tvers av alle komiteer og nettverk i foreningen.
Onsdag 7. november samlet vi 43 NIRF-medlemmer hos Deloitte på Skøyen (tusen takk for lånet av lokalene!).
Foruten å være et godt tiltak for å få bedre oversikt over hva som skjer på tvers av foreningen, er samlingen også et
egnet sted for å bli kjent med andre medlemmer.
Vår president, Martin Stevens, ønsket velkommen og gav en
kort orientering om foreningens strategi rundt det å samle fagmiljøer i Norge. Vår nyeste ambisjon er å se om foreningen
kan bidra til å samle compliance-miljøer i Norge. Foreningen
har avholdt et oppstartsmøte blant interesserte medlemmer og
konstituert et midlertidig arbeidsutvalg som får i oppgave å
konkretisere tiltaket nærmere.
At det er stor aktivitet i foreningen gav alle innleggene fra
komiteer og nettverk et bevis på. Vi er fornøyd med at det produseres promoteringsmateriale, høringssvar og et bredt tilbud
av medlems- og nettverksmøter til alle medlemmer. Det ligger
mye frivillig arbeid bak hvert eneste tiltak og foreningen er
heldig som har så mange dedikerte og engasjerte medlemmer –
takk til alle tillitsvalgte som står på!
Foreningen har siden forrige tillitsvalgsamling fått to nye nettverk, nettverk risikostyring og nettverk revisjonsledere i finans
(tidligere Revisjonssjefkretsen). I takt med at foreningen vokser erfarer vi et behov for en sterkere samkjøring og koordinering av kurs, medlems- og nettverksmøter. Foreningen holder
også på å lage en markedsføringsstrategi hvor prioritering av
aktiviteter vil komme tydelig frem samtidig som den vil være
et hjelpemiddel for promotering av kurs og møter.
54
SIRK nr 2. 2012
Presentasjoner fra alle komiteer og nettverk finner du på
www.iia.no.
For å gi alle tillitsvalgte noe tilbake
hadde NIRF denne ettermiddagen
hentet inn Live Landmark til å
inspirere oss med foredraget «Hvis
det ikke er umulig, så må det være
mulig". Live er tidligere journalist i
VG, en energisk tobarnsmor som
plutselig fikk diagnosen ME.
Hennes historie om sykdommen og
kampen for å komme tilbake, får
enhver til å tenke over egen helse,
stress og hvordan vi som mennesker
har makt til å påvirke egne tanker.
Det var et annerledes og tankevekkende foredrag hvor vi som tilhørere
fikk noe å ta med tilbake til jobb og
hjem.
ONE DAY SEMINAR
OPERATIONAL RISK by JOHN THIRLWELL
Operational risk is involved in every activity a business undertakes and affects every employee. It
arises when a business first opens its doors and forms part of all the risks it faces. Intelligent
operational risk management can deliver real financial benefits and starts at the top. The Board
needs first to be clear about its strategy and objectives and communicate them throughout the
firm. Without clear strategy and objectives, there can be no context for effective risk management
or an understanding of what is meant in a particular firm by excellent behaviours. Without an
understanding of what is meant by excellent behaviours, there will be little coherence in staff
selection, appraisal, promotion or, importantly, remuneration. Nor will it be risk-based.
Course description:
Operational risk – what it is and why it matters
• What it is
• Why it is different from other risks
• The boundary issue
• Measuring and managing
• Challenges of operational risk
management
Building an operational risk framework
• Governance - 3 lines of defence:
* Board
* Risk oversight
* Risk assurance
• Roles and responsibilities:
* CRO
* Operational risk function
* Relationship with other areas
• The framework
Making the framework work
• Issues with:
* Risk and control assessments
* Events and losses
* Indicators
* Scenarios and stress tests
* Modelling – a qualitative approach
The crisis and operational risk
• People risk management
• Embedding a risk culture
Lecturer: JOHN THIRLWELL
John is a well-known speaker and
writer on risk, regulatory and
governance issues, particularly
business and operational risk. His
book Mastering Operational Risk,
co-authored with Tony Blunden,
was published by Financial Times
Prentice Hall in August 2010.
Until March 2003, he was a
director at the British Bankers’ Association, which
he joined in December 1996 from Hill Samuel
Bank, where he had been a director and Chief
Risk Officer. In BBA he was heavily involved, on
behalf of the banking industry, in discussions with
regulators concerning the new Basel Capital
Accord and the EU Capital Requirements
Directive. He continues to be a member of
advisory committees on risk and regulatory
matters at the FSA.
Since leaving the BBA, he has served as a nonexecutive director on a number of boards in the
City, including Novae Syndicates Limited and CX
Reinsurance Company Limited. He is nonexecutive Chairman of the Bankside Gallery and a
Director of the Institute of Operational Risk.
Time: May 30st, 2013, 09.00 – 17.00
Place: Bjørvika
Oslo
Konferansesenter, Oslo
Price: Members of IIA, ISACA and NFKR: NOK 3 500/Non-members: NOK 3 800
CPE: 8 Continual Professional Education points for CIA, CCSA, CGAP, CFSA and Dipl. IR.
Registration: www.iia.no or call (+47) 932 37 912.
SIRK nr 2. 2012
55
Medlemsmøte 7. februar 2013, kl. 14.00-16.00
Rapportering etter revisjoner
– det handler om kommunikasjon!
Internrevisjonen gjennomfører i løpet av et år en
rekke revisjoner. For hvert oppdrag skal det
rapporteres til oppdragsgiver, styre, revisjonsutvalg
m.m. Det er mange måter å rapportere på, og i
dette møtet vil vi komme med praktiske erfaringer
fra to virksomheter.
Hva sier standardene?
I følge standard 2400 må internrevisor rapportere resultater
fra oppdragene. Rapporteringen må omfatte oppdragets målsetninger og omfang samt relevante konklusjoner, anbefalinger
og handlingsplaner, jf. 2410.
Rapporteringen skal være nøyaktig, objektiv, klar, konsis,
konstruktiv, fullstendig og rettidig, og resultatene må
rapporteres til relevante parter, jfr. 2420 og 2440.
Ingunn Valvatne er revisjonsdirektør i Norges Bank og
Frithjof Røer er Chief Internal Auditor i Orkla ASA.
De vil fortelle hvordan rapporteringen skjer i sine virksomheter, og hvilke verktøy og maler de benytter, presentasjon av
funn, og eventuelle ønsker fra ledelsen i forbindelse med
rapporteringen.
Etter medlemsmøtet inviteres NIRFs medlemmer ut på byen
for å spise pizza. Vi håper alle som kan benytter muligheten til
litt uformell erfaringsutveksling over pizza og noe godt å
drikke etterpå.
Deltakelse gir 2 CPE-poeng.
Dato: 7. februar 2013
Klokken: 14.00 – 16.00, registrering og kaffe fra kl.13.30
Sted: PwC, Dronning Eufemiasgate 8, Oslo
Påmelding: www.iia.no
Sett av rom i kalenderen den 19. april, kl. 09.00 – 11.00 til
neste medlemsmøte.
Da vil Richard Chambers, president og CEO i IIA komme til
Norge og innlede på medlemsmøtet. BI-studentene i internrevisjon vil også være til stede.
56
SIRK nr 2. 2012
Certification in Risk Management Assurance
(CRMA)
Fra medio 2013 lanserer IIA en ny sertifisering: Certification in Risk Management Assurance.
Som med de andre globale sertifiseringene må du bestå eksamen og krav til praksis for å
oppnå tittelen. I USA er det ikke uvanlig å praktisere en såkalt «grandfathering» ordning
(CRMA-PER) i forbindelse med lansering av nye sertifiseringer. Det vil si at man på bakgrunn av en kombinasjon av utdanning, andre sertifiseringer og praksis i en kort periode
kan oppnå tittelen, uten å avlegge eksamen. Denne muligheten vil være åpen frem til
31.12.2012. Hvis du vil slippe eksamen og har tilstrekkelig med poeng er det ingen grunn til ikke å søke med
det samme! Nitten av NIRFs medlemmer har benyttet seg av muligheten så langt.
Krav:
Du må oppnå minst 155 poeng til sammen for de tre kategoriene under for å tilfredsstille kravene til CRMA-PER:
Education - Maximum of 25 points
• Associates Degree (2 year post-secondary degree from
a University) - 15 points
• Bachelors Degree (4 year post-secondary degree from
• Masters Degree (6 year post-secondary degree from
Current, Active Certifications Held - Maximum
of 30 points
• CIA or CCSA with The IIA - 30 points
• Other Currently Active Certification - 20 points
Professional Experience in CRMA Domains Maximum of 140 points
CRMA Domains:
Domain 1: Assessing / Assurance of Risk Management
Activities
Domain 2: Risk management Fundamentals
Domain 3: Elements of Risk Management
Domain 4: Control Theory and Application
Domain 5: Business Objectives and Organizational
Performance
Man må ha erfaring fra domain 1 og ytterligere to andre
for å være kvalifisert.
Pris:
Medlemmer
CIA/CCSA
Ingen sertifiseringer
kr 3.500
kr 4.600
Ikke-medlemmer
kr 5.800
kr 7.000
Søknaden sendes via NIRF til IIA som forestår den
endelige godkjennelsen. Mer informasjon og søknadsskjema finner du på www.iia.no.
• Less than 120 Months Experience - 100 points
• Between 120 and 300 Months Experience - 120 points
• More than 300 Months Experience - 140 points
SIRK nr 2. 2012
57
Nyheter fra sekretariatet, IIA
og andre samarbeidspartnere
Endringer i standardene fra 1. januar 2013
Som du kanskje har lagt merke til fulgte det med en ny
oppdatert utgave av standardene med dette nummeret av SIRK.
De oppdaterte standardene trår i kraft 1. januar 2013.
Oppdateringen innebærer ingen omfattende endringer, men er i
vesentlig grad ment å gjøre nåværende standarder tydeligere.
Internrevisorer i offentlig sektor kan merke seg at definisjon av
styret nå lyder som følger: «Den øverste myndighet med
ansvar for styring og/eller overvåking av organisasjonens
virksomhet og ledelse. Dette vil typisk inkludere en uavhengig
gruppe medlemmer (eksempelvis et styre, et tilsynsstyre, "board
of governors or trustees"). Hvis en slik gruppe ikke eksisterer,
kan "styret" vise til virksomhetsleder. "Styret" kan også
referere til et revisjonsutvalg eller til andre funksjoner de med
styringsansvaret har delegert visse funksjoner til.» Vi håper
dette vil være klargjørende for internrevisjoner som ikke har et
styre, men kun rapporterer til virksomhetsleder.
Internrevisor skal nå vurdere risikohåndtering og kontroller i
forhold til håndteringen av risikoer i organisasjonens prosesser
for governance, drift og informasjonssystemer, i forhold til
oppnåelse av organisasjonens strategiske målsettinger. Dette
kommer i tillegg til de målsettingene vi er kjent med fra
COSO: påliteligheten og integriteten av finansiell og operasjonell informasjon, hensiktsmessig og effektiv drift og
programmer, sikring av eiendeler og etterlevelse av lover,
forskrifter, retningslinjer, prosedyrer og kontrakter.
Den nye utgaven av standarden er også nedlastbar fra
www.iia.no, hvor du også finner den engelske versjonen der
hvilke endringer som er foretatt fremgår.
Høringskommentarer til NOU 2012:14
Rapport fra 22. juli-kommisjonen
Statlig nettverk har på vegne av NIRF svart på høringen til
rapporten fra 22. juli-kommisjonen. Rapportens analyse av
årsaker til svikt er av stor interesse for internrevisjonsprofesjonen og mange av årsakene til at ting sviktet faller sammen
med de mest sentrale oppgavene en profesjonell internrevisjon
skal ivareta. Hele høringssvaret finner du på www.iia.no og på
nettsidene til Justis- og beredskapsdepartementet.
Regionale/Lokale nettverk Selv om mesteparten av
våre medlemmer befinner seg i og rundt Oslo, har vi likevel
mange medlemmer i de øvrige deler av landet. For å bedre
kunne serve medlemmer andre steder i landet har vi initiert et
initiativ til å starte lokale nettverk utenfor Oslo. Stian Pedersen
fra BDO som er en av initiativtakerne til en sterkere nettverks-
58
SIRK nr 2. 2012
bygging utenfor Oslo, har meldt seg som kontaktperson for å
starte opp i region Sør-Vest landet (Rogaland, Vest-Agder og
Aust-Agder.) Det må jo være mulig å overføre noen av
medlems- og nettverksmøtene som finner sted til andre steder
av landet, og å skape lokale nettverk for erfaringsutveksling.
Programkomiteen drodler også med ideen om å overføre neste
medlemsmøte 7. februar 2013 som en telefonkonferanse fra
PwC Oslo til eksempelvis PwC Stavanger for at medlemmer i
dette området skal kunne møtes over det samme temaet som er
«Rapportering etter revisjoner». Om du har ideer om hvordan
regionale nettverk kan utvikles, innspill til lokale aktiviteter
eller selv ønsker å være en lokal node som får ting til å skje, ta
kontakt med ellen.brataas@iia.no.
Nordiske (og Baltiske) bransjenettverk
Det finnes bransjenettverk for internrevisorer mellom de
nordiske landene, eksempelvis innen strømforsyning, hvor
deltakerne har stort utbytte av å dele bransjeerfaringer på tvers
av landegrensene. NIRF og IIA Sverige vil i løpet av 2013
legge til rette for flere bransjespesifikke nettverk i Norden og
Baltikum. På arbeidsbenken ligger i dag flere tanker, eksempelvis å samle de forskjellige bransjenettverkene til en dag
hvor halvparten av tiden dedikeres til generelle temaer i
plenum, mens resterende tid vil medgå til å diskusjon bransjevis. Avslutningsvis ville det vært hyggelig med en middag hvor
det gis anledning til å knytte nærmere bekjentskap med
Nordiske og Baltiske kollegaer i en avslappet og sosial
atmosfære.
Ledernettverk - Audit Executive Centre –
Audit Director Roundtable
Er du ansatt internrevisjonsleder, uansett om det er en stor eller
liten internrevisjonsfunksjon, er du hjertelig velkommen til å
delta i nettverk for ansatte internrevisjonslederes fire halvdagsmøter hvor erfaringsutveksling og nettverksbygging på ledernivå
står høyt på agendaen.
IIA Nord-Amerika utviklet for et par år siden et eget tilbud til
ledere av internrevisjoner, «Audit Executive Center». Tjenesten
er hovedsakelig en web-portal hvor ledere kan:
• Share, compare, and validate their internal audit activities.
• Learn from the challenges and solutions of their peers.
• Enhance their operational effectiveness and efficiency.
• Webinars – Access to archived library of webinars on key
issues and discussions on the latest topics, issues, and trends
affecting the profession.
Tips: Du kan laste ned standardene og alle veiledninger ved å
logge deg på medlemssiden.
IIAs globale hjemmeside: www.globaliia.org
Vi minner om at IIAs hjemmeside har byttet navn til
globaliia.org. Her har IIA samlet all informasjon som er av
interesse for alle institutter, uavhengig av land. Du finner også
direkte linker til alle verdens institutter. Dersom du logger deg
på tidligere adressen www.theiia.org, vil du nå komme direkte
inn på siden til de nord-amerikanske instituttene hvor mye av
informasjonen ikke lenger er relevant.
Tjenesten er differensiert og man får tilgang til forskjellige
tjenester etter hvilket nivå man betaler for. Det er mulig å kjøpe
tilgang slik at hele revisjonsavdelingen får tilgang til web-portalen. En globalisering av innholdet er under oppbygging slik at
IIA også tilbyr tjenesten på globalt nivå, se www.globaliia.org.
I forlengelsen av å utvikle tjenester til globale ledere av internrevisjoner ble et europeisk Audit Director Roundtable arrangert i
Amsterdam i september. Der møttes 20 ledere fra de største virksomhetene fra privat sektor for å diskutere European Directives
and Regulations, Audit Committee Role and Expectations og
Staffing & Organisational Structures for Global Coverage. Fra
Norge deltok DNB og Orkla. Diskusjonene ble vel mottatt og
neste ADR vil bli arrangert våren 2013 i Berlin eller Frankfurt.
Det er formålstjenlig å legge arrangementet til en sentral by slik
at deltakerne kan reise frem og tilbake på samme dag.
Audit Channel.tv
Konferanser verdt å merke seg i 2013
NIRFs årskonferanse, 26. – 28. mai, Bodø
IIAs International Conference, 14. – 17. juli, Orlando, USA
ECIIA Conference, 2. – 4. oktober, Wien, Østerrike
I tråd med mottoet “Fremskritt gjennom deling av kunnskap”
har IIA laget en videoside som publiserer videosnutter fra hele
verden med relevant innhold for internrevisorer og andre.
Såkalte “videokanaler” fokuserer på områder som misligheter,
compliance, goveranance, risk, etikk og mye mer. Gå til
www.auditchannel.tv og vurder innholdet selv.
Nye veiledninger siden forrige nummer
av SIRK:
PG Integrated Auditing (juli 2012)
PG Auditing Privacy Risks (juli 2012) Erstatter GTAG 5!
PG Developing the Internal Audit Strategic Plan (juli 2012)
PG Evaluating Ethics-Related Programs and Activities (juni 2012)
GTAG 17: Auditing IT Governance (juli 2012)
GTAG 7: Information Technology Outsourcing, 2nd Edition
(juni 2012)
Supplemental Guidance:
Optimizing Public Sector Audit Activities (juli 2012)
Red Book-Yellow Book Comparison, 2nd Edtiton (juni 2012)
SIRK nr 2. 2012
59
Foreningen gratulerer følgende
medlemmer med ny tittel siden
forrige nummer av SIRK:
60
Diplomert Intern Revisor (Dipl IR)
Certified Internal Auditor (CIA)
Nadeem Akthtar, Statens vegvesen
Sidsel Skappel, Statsbygg
Inger Faller, Fet kommune
Hege Antonsen, Helse Nord
Rune Botnevik, Statoil
Ola B. Saxvik, Riksrevisjonen
Linda Asp, Statens vegvesen
Odd Nilsen, Riksrevisjonen
Karin Jensen, Nets Norway
Heidi Garberg Gule, Oslo kommune
Alf Uldal, Pasientreiser
Anna Ræder, Riksrevisjonen
Mari Repstad, Riksrevisjonen
Natalia Ulstein, LHL
Eirin Fremstad, Riksrevisjonen
Mette S. Fasting, Sintef
Mette Rolen Offstad, Riksrevisjonen
Beate Seim Midtlien, Riksrevisjonen
Åsbjørn Ueland, Statoil
Venill Schei, Deloitte
Hilde K. Olsen, DNB
Jørn Olav Nyhus, Toll- og avgiftsdirektoratet
Morten Jespersen, KLP
Karoline Flåten, PwC
Geir Anders Fagerheim, Forsvarssjefen
Bård Olsen, Aker Solutions
Liss J. Vallestrand, Miljøverndepartementet
Hilde K. Olsen, DNB
Rune Botnevik, Statoil
SIRK nr 2. 2012
Certification in Risk Management
Assurance (CRMA)
Ann Kristin Flaa, Gjensidige
Harald Bergh, Gjensidige
Hilde Øiseth Nordlid, Gjensidige
Nils Hjelle, Toll- og avgiftsdirektoratet
Albert Wolders, Deloitte
Erik Andersson, DNB
Endre Jo Reite, Sparebank 1
Rune Johannessen, Nordea
Linda Lillestøl, Forsvarsdepartementet
Tatjana Bachem, Norsk Hydro ASA
Janne Britt Saltkjel, Deloitte
Bård Olsen, Aker Solutions
Europeisk akademisk konferanse innen intern revisjon
og corporate governance (virksomhetsstyring)
i Oslo fra 24-26 april 2013
I samarbeid med Cass Business School i London,
The University of Pisa i Italia, The Catholic
University of Louvain i Belgia The University of the
Aegean i Hellas, og The University of Verona i Italia,
arrangerer Handelshøyskolen BI;
The 11th European Academic
Conference on Internal Audit and
Corporate Governance
i Oslo fra 24 til 26 april 2013.
Konferansen er en mulighet for den med interesse
for forskning innenfor intern revisjon og virksomhetsstyring til å få et innblikk i hva som rører seg på
den internasjonale forskningsarenaen innenfor disse
områdene. Konferansen gjennomføres over 3 dager,
hvor den første dagen gjennomføres som en workshop for doktorgradsstudenter. Her får de muligheten til å presentere sitt doktorgradsprosjekt for
erfarne forskere innenfor området. Få tips og ideer
til arbeidet videre.
Hovedkonferansen (25-26 april) gjennomføres også
som en slags workshop, hvor artikkel presenteres og
diskuteres i plenum.
Selv om konferansen defineres som akademisk, vil
artiklene som presenteres ofte omhandle praktiske
problemstillinger som kan være av interesse også for
de som definerer seg selv som praktikere.
En hovedfordel med denne konferansen er at den
ikke er så stor når det gjelder antall mennesker.
Vanligvis vil det være mellom 50 og 70 mennesker til
stede. Dette gjør konferansen til en arena som gir
god mulighet til interaksjon mellom deltakerne.
Konferanseavgiften er ikke helt fastsatt ennå, men vi
lligge på ca 3000- 3500 NOK. Dette inkluderer
mulighet til å være med på alle 3 dagene, lunch, samt
konferansemiddag.
Sjekk ut nettsiden til konferansen hvor informasjon
agående påmelding, program etc vil bli lagt ut
etterhvert.
Dersom du har spørsmål angående konferansen, så
ta gjerne kontakt med undertegnede!
Velkommen!
Janicke L. Rasmussen, PhD (Conference Chair)
BI Norwegian Business School
Department of Accounting - Auditing and Law
PB N-0442 OSLO - NORWAY
http://bi.no
Tlf: +4746410433
http://event.bi.no/iacgconference2013/
SIRK nr 2. 2012
61
Forbedringpotensial.
Kanskje det mest
undervurderte
aspektet ved
internrevisjon.
Vi vet at du vil ha mer
ut av internrevisjonen.
N]\a\]flaÕk]j]
forbedringsområder,
kan vi hjelpe deg på
veien fra god til best.
Les mer på ey.no/advisory
62
SIRK nr 2. 2012
På t a m p e n
På tampen
En risk manager, en compliance officer og en intern
revisor skal ta en tur i en varmluftsballong. Før
ballongen tar av studerer risk manageren værkartet,
måler gassen i beholderen og gjør sine beregninger.
Compliance officer tar for seg sikkerhetsmanualen og
sjekke at alle tauer og sandsekker i ballasten er med.
Internrevisoren ser at alle de andre er opptatt med
sine respektive oppgaver og deler ut kaffe fra kannen.
Ballongen letter seg fra bakken og turen begynner.
Solen skinner og utsikten nytes. Etter hvert fortæres
forfriskninger og nytes en kald øl i høyden. Men dessverre skifter været brått og det er tydelig en mørk
storm på vei. Alle er de enige om at det fremste målet
er nå å komme ned på bakken. Risk manageren
sjekker vindretningen, slår av gassen for en planlagt
landing på et mer åpent lende, compliance officeren
firer ned et tau med krok på og med hjelp fra risk
manageren får han festet kroken på en busk og langsomt når de bakken. Mens dette pågår sitter internrevisoren med oppslått notisblokk og noterer.
Omsider er de kommet seg ned på bakken og i mangel
på andre alternativer snur de kurven til varmlufts-
ballongen opp ned, og søker ly under den. Nå som
faren er over, puster de lettet ut og begynner å slappe
av. Både risk manageren og compliance officeren
hadde gått med en gryende frustrasjon over at
internrevisoren hadde bare sittet med nesen opp i
notisblokken sin mens de hadde kjempet for å få
ballongen ned.
Til slutt kunne ikke risk manageren dy seg lenger og
sa til internrevisoren ”Hvorfor kunne ikke du hjelpe
til mens vi kjempet for å ballongen ned ? Og hva er
det du sitter å skriver på?”
Da svarer revisoren ”Jeg skjønner ikke helt hvorfor du
tar den tonen. Jeg satt der og var bare så imponert
over hvordan dere tok tak i situasjonen og reddet oss
ned i tide. Det jeg noterte i boken var måten dere
gjorde dette på. Jeg er ikke så sikker på at om jeg en
annen gang skulle ta en ballongtur at jeg er så heldig å
få sitte på med så flinke folk som dere. Da blir det
kanskje opptil meg å instruere de andre om å følge
beste praksis… Forresten har jeg også identifisert en
anbefaling til dere også: Neste gang bør det tas med en
presenning i kurven for nå begynner jeg å bli våt…”
SIRK nr 2. 2012
63
Returadresse: NIRF, Postboks 1417 Vika, 0115 Oslo
Internrevisjonen i Forsvarsdepartementet styrker laget ytterligere
FD Led Internrevisjonen styrker laget med to nyopprettede stillinger. Besøk www.iia.no i dag og les om de
spennende og utfordrende stillingene. Vi søker personer som har god forståelse og interesse for internrevisjon.
Stillingene er opprettet for å styrke vår revisjonsinnsats i hele forsvarssektoren, og enheten vil da bestå av 9
medarbeidere. Kontakt avdelingsdirektør Frank Alvern på telefon 909 800 63 eller epost frank.alvern@fd.dep.no
Søknadsfristen er 7. januar 2013.
Forsvarsdepartementet er et regjeringskontor med ansvar for utforming og
iverksetting av norsk sikkerhets- og
forsvarspolitikk, og er ansvarlig for
overordnet styring og kontroll av de fire
underlagte etaters virksomhet;
Forsvaret, Forsvarsbygg (FB),
Forsvarets forskningsinstitutt (FFI) og
Nasjonal sikkerhetsmyndighet (NSM).
Internrevisjonen, som er direkte
underlagt departementsråden i
Forsvarsdepartementet, er en objektiv
bekreftelses- og rådgivningsfunksjon
som har til formål å tilføre merverdi og
forbedre driften i hele forsvarssektoren.
I tillegg til å være departementets egen
internrevisjonsenhet som dekker hele
sektoren, så leverer vi etter avtaler en
selvstendig internrevisjonsfunksjon til
FB, FFI og NSM i tillegg til at vi
samarbeider med Forsvarssjefens
internrevisjon.
Illustrasjonen til venstre er hentet fra NIRFs
siste brosjyre: STYRING OG KONTROLL
for å sikre måloppnåelse.
ISSN 1892-9370

SIRK 2 - 2012

Transcription

Similar documents

Presentasjon BDO - Ole Martin Kjørstad

SIRK nr 2. 2011

Forbedret risikostyring og kontroll

INTERNREVISJON

Skattekurs - Knut Olsen - Global Tax Consultants

HVOR GODT KJENNER DU DIN KONTRAKTSPART?

Protokollen kan du lese her. - Norsk forening for cystisk fibrose

Hvordan ivareta teknikk gjennom organisasjon og mennesker?