Stora brister i intern styrning och kontroll

Riskanalyserna är ofullständiga

För drygt två tredjedelar av de myndigheter som fått revisionsrapport finns brister i riskanalysen. Ett vanligt problem är att den utförda riskanalysen inte är fullständig. I vissa fall saknas delar av myndighetens verksamhet i analysen, till exempel riskanalys för administrativa stödprocesser. I andra fall har inte alla organisatoriska delar av myndigheten kommit med. Vid flera myndigheter har riskanalysen enbart genomförts på en övergripande nivå. Att vissa delar av myndigheten inte tas med i riskanalysen eller att analysen bara sker på ett övergripande plan är allvarligt eftersom det kan innebära att alla väsentliga risker inte har identifierats. Ett vanligt problem är bristande koppling mellan myndighetens mål och den utförda riskanalysen, vilket kan innebära att man inte identifierar och tar hand om samtliga risker för att verksamhetsmålen inte ska nås. Ytterligare ett problem som gör att riskbilden kan bli ofullständig är att många myndigheter i sin riskanalys endast tagit med risker där kontrollåtgärder saknas, det vill säga risker som inte hanteras av den befintliga styrningen och kontrollen. Detta synsätt förutsätter att de befintliga kontrollåtgärderna fungerar och att riskerna därför redan är omhändertagna. Men flera av myndigheterna har inte aktivt prövat om de beslutade kontrollerna fungerar som avsett. På så sätt kan riskbilden bli för snäv om det visar sig att beslutade kontroller inte fungerar. Myndigheterna bör analysera samtliga risker och koppla denna analys till beslutade kontroller för att få en helhetsuppfattning av riskerna.

Uppföljningen är otillräcklig

Tanken med processen för riskhantering är att riskanalysen ska identifiera de risker myndigheten är utsatt för. Analysen ska leda till beslut om lämpliga kontrollåtgärder, detta för att motverka riskerna i de fall ledningen bedömt att risken behöver hanteras. I flera myndigheter är kopplingen mellan identifierade risker och beslutade kontrollåtgärder svag, vilket kan leda till att viktiga risker inte hanteras på rätt sätt. Myndighetens ledning bör tydligt ta ställning till hur identifierade risker ska hanteras, om de ska accepteras, begränsas eller undvikas. Denna typ av tydliga ställningstaganden saknas hos vissa av de granskade myndigheterna. Knappt hälften av de myndigheter som fått revisionsrapport följer inte upp att beslutade kontrollåtgärder fungerar, vilket kan leda till dels en felaktig riskuppfattning, dels att redan beslutade kontrollåtgärder inte kommer till stånd. Det är även otydligt hur uppföljningen ska göras och vem som har det operativa ansvaret att utföra den.

Brister i dokumentation

Över hälften av de myndigheter som fått revisionsrapport följer inte de krav på dokumentation som förordningen ställer. Dokumentationen är här inte tillräckligt tydlig för att man ska kunna följa hela processen, det vill säga från riskanalys via kontrollåtgärder och uppföljning till underlag för ledningens bedömning av intern styrning och kontroll. Det framgår inte heller av dokumentationen i vilken omfattning uppföljning och utvärdering av kontrollåtgärder faktiskt har utförts.

Det är också viktigt att dokumentationen sker så att ledningen får bättre möjlighet till överblick än vad den har i dag. För flera myndigheter är inte myndighetens struktur för intern styrning och kontroll beskriven på ett tydligt sätt, vilket gör det svårt för ledningen att få överblick över den befintliga kontrollstrukturen. Det är av stor vikt att dokumentation om riskhanteringen ingår i myndighetens helhetsbild av den interna styrningen och kontrollen. En sådan komplett bild gör att ledningen på ett enklare sätt kan förhålla sig till informationen som då blir det levande och relevanta stöd till ledningen som det är tänkt.

Otillräckliga förutsättningar för arbetet

För en majoritet av de myndigheter som fått revisionsrapport finns brister i förutsättningarna för arbetet med förordningen om intern styrning och kontroll. Vid flera myndigheter är det inte tydligt reglerat hur det operativa arbetet med förordningen ska bedrivas eller av vem, och tilldelade resurser för arbetet är ibland otillräckliga. Styrande dokument för arbetet saknas ofta eller är otydliga. Hos vissa myndigheter är kunskapen om processen samlad hos alltför få personer. En annan viktig förutsättning för arbetet är att myndigheternas ledningar är engagerade i frågan. Engagemanget har i flera fall varit för litet, för otydligt eller kommit för sent. Ledningen bör, för att säkerställa att underlaget är tillräckligt, vara tydligare i sin beställning av underlag från verksamheten. Ledningen bör också i ett tidigare skede ta ställning till vilket underlag den behöver.

Inneboende utmaningar i förordningen

Det är för tidigt att dra mer långtgående slutsatser om huruvida den nya förordningen kommer att leda till förbättrad intern styrning och kontroll. Vi kan dock konstatera att de brister som vi så här långt har kunnat konstatera överensstämmer med inneboende svagheter i förordningen.

Vi anser att en försäkran från ledningen om den interna styrningen och kontrollen kräver att ledningens ansvar i en statlig myndighet är tydligt reglerat. Även om den nya myndighetsförordningen har tydliggjort ledningsansvaret finns det fortfarande oklarheter. Bland annat menar vi att det saknas en etablerad norm att värdera den interna styrningen och kontrollen mot. Förordningen om intern styrning och kontroll utgår från COSO (Committee of Sponsering Organizations of the Treadway Cornmission), ett internationellt ramverk för att utvärdera organisationers interna styrning och kontroll, men alla delar av detta ramverk ingår inte, utan endast de som kan dokumenteras. Avsaknaden av normer och ett etablerat ramverk som täcker samtliga delar i den interna styrningen och kontrollen innebär risk för subjektiva bedömningar och en olikartad tillämpning av förordningen.

Det har varit svårt att dra gränsen för vilken nivå den interna styrningen och kontrollen ska ha för att anses betryggande. Vi har endast i ett fall kunnat visa på att bedömningen inte varit rättvisande, övriga revisionsberättelser har varit standardutformade i detta avseende.

Inför resultaten av 2009 års revision räknar vi med att myndigheterna generellt sett ska ha kommit mycket längre. Vi ser dock en viss risk för att frågan inte längre bedöms akut och att fokus i stället läggs på andra frågor.

Karin Holmerin är metodansvarig för årlig revision vid Riksrevisionen.