Bengt Carnö, som arbetar på ett statligt revisionskontor med uppgift att bl a svara för den interna revisionen hos riksförsäkringsverket, framhåller i denna artikel att man bör vidga perspektivet på kontrollarbetet och knyta det till planeringen och styrningen av verksamheten.
Det är naturligt, att allteftersom ADB-system används för applikationer som är väsentliga för verksamheten, frågan ställs, hur man vet att dessa ADB-system är riktiga. Det blir viktigt för ledningen för verksamheten att ha kontroll över viktiga ADB-system. Genom organisationen för utveckling och drift av ADB-system erhålles en planering, styrning och kontroll av arbetet med ADB-system, som ger effekter på verksamheten utanför själva ADB-enheten. En uppföljning av ADB-systemen blir ett nödvändigt hjälpmedel för att styra och kontrollera verksamheten.
ORGANISATIONEN AV KONTROLLEN AV ADB-SYSTEM
I princip kan man tänka sig att organisera kontrollen av ADB-system på två sätt:
som en enhet under chefen för ADB-enheten. En datasäkerhetschef kan vara chef för enheten.
som en utvidgad arbetsuppgift för den interna revisionen, utöver arbetsuppgiften med redovisningsrevision.
Den interna revisionen är ett självständigt kontrollorgan för att garantera en rättvisande och riktig redovisning. Den interna revisionen är i princip en förlängning av den externa revisionen, som dock skall vara helt självständig, till skillnad från den interna revisionen, som lyder under verksledning.
Troligen spelar det ingen roll vilken organisation man väljer, då det viktigaste är, att separata resurser avdelas för uppföljningen av ADB-systemen. En kvalitetsmässig bra kontroll av ADB-system vidgar möjligheten att använda ADB i verksamheten. Kunskapen att revidera och följa upp ADB-system bör därför byggas upp parallellt med uppbyggnaden av en ADB-enhet. Vid utvecklingen av ADB-system bör man samtidigt utveckla ett kontrollsystem, den interna kontrollstrukturen, för att ha ADB-systemet under kontroll vid tillämpningen. I princip fordras samma typ av kunskap för att fastställa, att ett ADB-system är riktigt, som för att utforma ADB-systemet och dess interna kontrollstruktur. Systemansvarig och tillämpningsansvarig personal utgör troligen den effektivaste arbetsgruppen för uppföljning av ett ADB-system. Eftersom dessa personer ej på heltid kan syssla med uppföljning av ADB-system, behövs några personer, som kan fungera som projektledare vid uppföljningsprojekt, samordna arbetet samt utveckla metodiken, allteftersom erfarenheter byggs upp. Det är viktigare, att enheten för revision/uppföljning av ADB-system har bra kontakt med system- och tillämpningsansvariga enheter, än att enheten för revision/uppföljning är självständig och oberoende. Genom att metodiken för revision av ADB-system utvecklas och standardiseras, kommer det inte att vara avgörande vem som är ansvarig för uppföljningen.
INVESTERINGAR I ADB-SYSTEM
Verksamhetens målsättning ligger i botten på en investeringskalkyl och behövs för att värdera positiva och negativa effekter av en investering. ADB-system är en administrativ investering, ett hjälpmedel för att driva en verksamhet. Till syvende och sist är det verksamhetens resultat och måluppfyllelse, som berättar om hur pass effektiva hjälpmedlen har varit.
Att förväntade effekter av en investering i ett ADB-system och det faktiska utfallet stämmer överens, kan anses vara ett kontrollmål för verksledningen. Genom att kräva, att avvikelser skall kunna mätas och förklaras, läggs grunden för ett kontroll- och mätsystem på olika nivåer i organisationen.
Vid revision/uppföljning av ett ADB-system behövs en uppfattning, vad ett riktigt ADB-system är för något. Den första utgångspunkten är, precis som vid konstruktionen av ADB-systemet, vilka behov och krav som finns utifrån verksamhetens art och omfattning. Hur bidrar ADB-systemet till verksamhetens måluppfyllelse och kan ADB-systemet förbättras utifrån erfarenheter från dess tillämpning? Den andra utgångspunkten är de förväntade effekter, som har redovisats i en investeringskalkyl vid konstruktionen av systemet. ADB-systemet ger dels upphov till kostnader för driften av ADB-systemet och dels upphov till intäkter, både kalkylmässiga och reella. Stämmer dessa förväntade effekter med det faktiska utfallet? Störningar och olika fel i ADB-systemet kan helt ha ändrat lönsamheten av ett ADB-system, om inte olika typer av skydd har byggts in i systemet. Den interna kontrollstrukturen är i sig en följdinvestering, där kostnaden för skyddet skall uppvägas av värdet av ett säkert system för verksamheten, t ex kostnaden för fel, rättningskostnader och extra manuella system för att skydda sig mot fel i ADB-systemet.
KONTROLL AV UTFORMNINGEN AV ETT ADB-SYSTEM
Verksamhetens behov och krav är utgångspunkten vid konstruktion av ett administrativt hjälpmedel. Vid uppföljningen/revisionen av ett ADB-system måste man undersöka, om ADB-systemet innehåller alla väsentliga funktioner, att informationssystemet täcker in verksamhetens behov och att problemet har avbildats på ett riktigt sätt i den modell, som har använts vid konstruktionen av ADB-lösningen. Modellriktigheten och informationsriktigheten i en ADB-lösning är de viktigaste aspekterna vid uppföljning av ett ADB-system. T ex den försäkringsmässiga riktigheten i ADB-systemen för den allmänna försäkringen måste först kontrolleras mot lagar och förordningar. Därefter bör bedömas, om informationen i ADB-systemet är riktig, t ex att informationen ändras i enlighet med ändrade förhållanden. Vid automatiskt beslutsfattande, t ex månadsvisa pensionsutbetalningar, kan fel beslutsregler eller missbruk inom systemets och lagens normala ramar vara ett allvarligare fel än slumpmässiga, oavsiktliga fel.
KONTROLL AV UTFORMNINGEN AV ETT KONTROLLSYSTEM
Vid utveckling av ett ADB-system bör ett kontrollsystem utvecklas som ett integrerat delsystem. Ett kontrollsystem är till för att skydda mot fel och för att förebygga fel. Kontrollsystemet står i ett utbytesförhållande till de problemorienterade funktionerna i ett ADB-system, eftersom felbenägenheten och konsekvenserna av fel är beroende av ADB-systemets utformning. Ett kontrollsystem skall skydda mot brister i systemets utformning, men grunden för ett bra kontrollsystem är dock, att kontrollbehovet har minimerats genom en bra och säker utformning av själva ADB-systemet.
Ett kontrollsystem består av flera nivåer; interna kontroller integrerade i systemet, avstämningspunkter i handläggningen som verifierar delresultaten, oberoende kontroller av handläggningen i form av stickprov, administrativa kontroller under handläggningen att fastställda rutiner följs och att personalen har rätt behörighet för att lämna input och behandla output, periodiska revisioner att dataprocesser och databaser är riktiga samt till slut periodiska uppföljningar, att
ADB-systemet har avsedda effekter på verksamheten och att kontrollsystemet fungerar som avsett och är tillräckligt i den driftsmiljö som finns. Till de löpande kontrollerna hör således sådana, som avser att verifiera datas riktighet, dataprocessernas riktighet, handläggningens riktighet och att rutinerna har tillämpats på avsett sätt. Till de periodiska kontrollerna hör sådana, som avser att kontrollera, att de tidigare nämnda löpande kontrollerna utföres och ger avsedd effekt, samt att bedöma utifrån verksamhetens krav och behov om kontrollerna fortfarande är tillräckliga. En kunskap om verksamheten behövs i detta fall för att inrikta arbetet mot riskfyllda och väsentliga funktioner i ett ADB-system.
Utformningen av ett kontrollsystem är både en teknisk och en organisatorisk fråga. Ansvariga inom verksamheten måste först ställa krav på att riktigheten av ADB-system i olika avseenden skall kunna verifieras. En ansvars- och arbetsfördelning behöver sedan fastställas för kontrollarbetet, t ex vilka som skall utföra den interna kontrollen i handläggningen och vilka som skall bedöma, att den interna kontrollen utföres som avsett och ger avsedda effekter. Ett kontrollsystem kommer att ta olika resurser i anspråk. Kontroller hör ihop med planering och styrning av verksamheten och utformningen av ett kontrollsystem är därför i högsta grad en fråga för verksledningen.
KONTROLL AV TILLÄMPNINGEN AV ETT KONTROLLSYSTEM SAMT AV DRIFTEN AV ETT ADB-SYSTEM
Vid revisionen av ett ADB-system skall bl a prövas, om kontrollsystemet är bra utformat och fungerar som avsett. Den interna revisionen utgör också en del av kontrollsystemet. Utvärdering av den interna revisionens resultat och effektivitet bör också göras periodiskt, både av verksledningen och av den externa revisionen.
Driftsmiljön kring ett ADB-system omfattar t ex förekomsten av personal, handböcker, systemdokumentation som möjliggör systemunderhåll, ansvars- och arbetsfördelning för olika arbetsuppgifter kring ADB-systemet etc. Det torde vara svårt att helt skydda sig mot alla möjliga fel i och omkring driften, både oavsiktliga och avsiktliga. Personalens ansvarskänsla och lojalitet torde fortfarande i hög grad erfordras, för att ett ADB-system skall kunna anses som tillförlitligt. Kontroll av driften och av tillämpningen av olika interna kontroller syftar till att fastställa, om fel eller felmöjligheter fortfarande finns kvar, som ej bör accepteras i en viss driftsmiljö. I stället för att rekommendera skärpta kontroller bör alternativet också prövas att förbättra driftsmiljön direkt, t ex genom utbildning, dokumentation eller systemändringar, som minskar systemets risker eller minskar vinsten vid eventuella oegentligheter.
Vid installationen av ett ADB-system borde det genom erfarenhet vara helt klart, att felfria ADB-system i praktiken ej finns. Allteftersom fel upptäcks och rättas kommer felfrekvensen att minska, tills den på nytt ökar efter programändringar. Det löpande kontrollsystemet skall upptäcka sådana fel. Kontroll att kontrollsystemet verkligen upptäcker alla felen bör periodiskt bedömas genom en revisions/uppföljningsutredning. Stickprov kan t ex tas av utförda kontroller, egna oberoende stickprov av data kan tas och prövas mot ett facit, för rapporterade fel kan gås igenom, hur felen har upptäckts och vilka åtgärder som har vidtagits för att förhindra nya fel av samma typ. Till sist kan man göra en skrivbordsanalys av kontrollernas utformning och testa denna mot en risk- och väsentlighetsbedömning av verksamheten. Effektiviteten hos revisionen/uppföljningen är beroende av att hjälpmedel finns framtagna, t ex beskrivning av befintliga interna kontroller, program för urval av stickprov, beskrivning av systemflöden etc. I annat fall måste revisionen startas med att göra sådana beskrivningar och ta fram analysprogram för dataregister. Den första bristen i kontrollsystemet är, att det ej finns beskrivet och därför försvårar kontroll.
KONTROLLSYSTEMET SOM ETT JUSTERINGS- OCH ANPASSNINGSSYSTEM (FEEDBACKSYSTEM)
En verksledning, som ej tar fram eller får information om ADB-systemens status, har berövat sig ett effektivt hjälpmedel för styrningen och planeringen av systemen. Kontroller måste ses som ett sätt att täcka informationsbehovet för planering och styrning av verksamheten. Målstyrning innebär, att information behövs om avvikelser i förhållande till ett styrmål och att anpassningsmekanismer finns för att återställa uppkomna avvikelser. Målstyrning är lämplig, främst då man kan förvänta sig att omgivningen och miljön ej är helt förutsägbar, utan man måste utnyttja successiv information för att styra enligt ett antal i förväg utformade alternativ. Vid systemutformningen försöker man att utforma ”alla broar i taget” som kan förutses (dvs en strategi). Vid driften av systemet ”tar man en bro i taget”, dvs utnyttjar den senaste tillgängliga informationen för styrningen av verksamheten. Programstyrning innebär, att man vid driften följer en i förväg utformad rutin till punkt och pricka. Detta är delvis nödvändigt vid komplicerade tekniska processer, men i sådana fall måste ett periodiskt kontrollsystem ändå finnas, för att ge den nödvändiga flexibiliteten och anpassningsförmågan till det faktiska utfallet i förhållande till det förväntade utfallet.
Kontrollsystemets viktigaste uppgift är således att ge information om hur systemet fungerar i praktiken och om avvikelser mot det förväntade resultatet. Fel kan ses som en positiv tillgång i ett system, eftersom mätningar av avvikelser kan användas som en viktig information vid målstyrning. Att undertrycka eller ej ta fram sådan information leder till ett stelbent system och en onödig fördröjning av anpassningen till verksamhetens behov och krav, allteftersom driftsmiljön och systemets omgivning förändras. Att kräva att ett system skall vara ”felfritt” kan kväva systemet i för mycket kontroller. En direkt negativ effekt av för mycket kontroller erhålles troligen från personalen. Fel bör därför accepteras och krav bör i stället finnas, att felen upptäcks och att dessa integreras genom ändringar i systemet. Inträffade fel bör vara input i det informationssystem, som bör ligga i botten på varje kontrollsystem. Genom att delegera upptäckten av fel och åtgärderna av fel, sprides samtidigt i organisationen kunskap om verksamhetens mål, eftersom målen behövs för att avgöra, vad som är fel och rätt.
Kontrollsystemet är först och främst ett informationssystem, inte bara om hur ett system fungerar, men också om möjligheter till förbättringar och anpassningar i systemet. Att kräva ett ”perfekt system” ger inget utrymme för utveckling, då information om störningar ej användes till att ompröva systemet, utan endast ses som något negativt, vilket beror på ”brister i systemet”, trots att omgivningen och andra faktorer som ligger utanför systemets kontroll har förändrats. I sådana fall behövs anpassning i stället för givna rutiner, ansvarskänsla och strävan mot måluppfyllelse i stället för programstyrning och fixa instruktioner.
Till varje system hör således metoder för att förändra systemet och metoder för att upptäcka behovet av förändringar och möjligheten att nå ökad måluppfyllelse genom systemändringar.
Bengt Carnö arbetar på ett statligt revisionskontor med uppgift att bl a svara för den interna revisionen hos riksförsäkringsverket.