8.3 Intern kontroll

Hvem passer på pengene?

Forestill deg en butikk der én og samme person bestiller varene, tar imot leveransen, registrerer fakturaen og betaler den. Hva hindrer denne personen i å bestille varer til seg selv og betale med butikkens penger? Svaret er nedslående: ingenting. Og det er nettopp her god intern kontroll kommer inn.

Intern kontroll handler om å ha orden i eget hus – om de rutinene og systemene som sørger for at ting går riktig for seg, at regnskapet blir pålitelig, og at ingen kan svindle ubemerket. Det er ikke revisorens ansvar; det er ledelsens.

I denne fortellingen skal vi forstå hva intern kontroll er, lære COSO-rammeverkets fem komponenter, se hvordan arbeidsdeling og risikovurdering fungerer i praksis, og forstå hvorfor selv den beste kontrollen bare gir rimelig sikkerhet.

COSO-rammeverkets fem komponenter

Intern kontroll er en prosess iverksatt av styret, ledelsen og ansatte, utformet for å gi rimelig sikkerhet for tre mål: pålitelig finansiell rapportering, effektiv drift, og etterlevelse av lover og regler. Det viktige er at det er ledelsens ansvar å etablere og opprettholde den – ikke revisorens.

Det mest brukte rammeverket for intern kontroll er COSO-rammeverket, utviklet i 1992 og oppdatert i 2013. Det beskriver fem komponenter som henger sammen. Den første er kontrollmiljøet, ofte kalt «tonen fra toppen» – ledelsens holdninger, integritet og etiske verdier, samt organisasjonsstrukturen. Hvis ledelsen ikke tar intern kontroll seriøst, gjør ikke de ansatte det heller. Den andre er risikovurdering: å identifisere og analysere risikoer som truer måloppnåelsen. Den tredje er kontrollaktiviteter – de konkrete tiltakene som godkjenningsrutiner, arbeidsdeling, fysisk sikring og avstemming. Den fjerde er informasjon og kommunikasjon, som sikrer at relevant informasjon identifiseres og formidles. Og den femte er overvåking – løpende vurdering av om kontrollen fungerer, med oppfølging av svakheter.

La oss zoome inn på den viktigste kontrollaktiviteten: arbeidsdeling. Tenk på Fjordkraft AS med tre ansatte i økonomiavdelingen. I innkjøpsprosessen kan person A sende bestillinger, person B bekrefte varemottak, person C kontrollere og godkjenne fakturaer, og betalingen kreve godkjenning fra en annen enn den som bestilte. Hvorfor fungerer dette? Fordi ingen enkeltperson kontrollerer hele kjeden. B bekrefter at varene faktisk kom, C sjekker at fakturaen stemmer med bestilling og mottak. Uten denne delingen kunne person A bestilt varer til privat bruk og betalt dem uten at noen oppdaget det – akkurat som i butikkeksemplet vi startet med.

Risikovurdering, kontrolltyper og grensene

En sentral del av intern kontroll er risikovurdering – å identifisere hva som kan gå galt, hvor sannsynlig det er, og hvilke konsekvenser det kan ha. Prosessen går gjennom å definere mål, identifisere trusler, vurdere sannsynlighet og konsekvens (lav, middels, høy), og velge tiltak: redusere, akseptere, overføre eller unngå risikoen. En risikomatrise hjelper med å prioritere – høy sannsynlighet og høy konsekvens gir kritisk risiko, mens lav på begge gir noe man trygt kan leve med. Typiske regnskapsrisikoer er feil inntektsføring, undervurderte forpliktelser, overvurderte eiendeler, manglende periodisering og rene misligheter.

Kontrollaktivitetene deles gjerne i tre typer etter når de virker. Forebyggende kontroller hindrer at feil oppstår – godkjenningsrutiner, tilgangskontroll i IT-systemer, arbeidsdeling og fullmaktsstruktur med beløpsgrenser. Avdekkende kontroller oppdager feil som har oppstått – bankavstemminger, varetelling og budsjettavviksanalyser. Og korrigerende kontroller retter opp feil i ettertid. Forskjellen mellom de to første er viktig: forebyggende stopper feilen før den skjer, avdekkende fanger den opp etterpå. Begge trengs, fordi ingen forebyggende kontroll er perfekt. I tillegg kommer egne IT-kontroller som passordkrav, logging av transaksjoner, sikkerhetskopiering og rollebasert tilgangsstyring.

Men her er den ydmyke sannheten: intern kontroll gir bare rimelig sikkerhet, aldri absolutt. Hvorfor? For det første gjør mennesker feil – ansatte glemmer rutiner eller gjør ubevisste tabber. For det andre kan to eller flere ansatte samarbeide for å omgå kontrollene, det vi kaller kollusjon. For det tredje kan ledelsen overstyre kontrollene – de som har mest makt kan sette dem til side. For det fjerde må kostnaden ved kontroll veies mot nytten; det lønner seg ikke å kontrollere absolutt alt. Og for det femte kan nye, ukjente risikoer dukke opp som kontrollene ikke var laget for. Selv den beste internkontrollen kan altså ikke forhindre alt – men den reduserer risikoen dramatisk.

Oppsummering

Vi startet i butikken der én person både bestilte, mottok og betalte – og forsto hvorfor intern kontroll er avgjørende. Det er ledelsens ansvar å gi rimelig sikkerhet for pålitelig rapportering, effektiv drift og etterlevelse av lover. COSO-rammeverkets fem komponenter – kontrollmiljø, risikovurdering, kontrollaktiviteter, informasjon og kommunikasjon, og overvåking – strukturerer dette arbeidet.

Den viktigste enkeltkontrollen er arbeidsdeling, slik vi så hos Fjordkraft, der ingen alene kontrollerer hele innkjøpskjeden. Risikovurdering prioriterer truslene, og kontroller deles i forebyggende, avdekkende og korrigerende. Men intern kontroll gir bare rimelig sikkerhet – menneskelige feil, kollusjon, ledelsens overstyring, kost-nytte-hensyn og nye risikoer gjør at den aldri kan garantere alt. Likevel reduserer den risikoen kraftig, og er selve grunnmuren i en sunn virksomhet.