da
en
pt
tr
De fleste finansfunktioner har allerede et internt kontrolsystem. Problemet er sjældent, at kontrolaktiviteterne ikke eksisterer ‒ det er, at de ikke længere er afstemt med de aktuelle risici og prioriteret efter risicienes væsentlighed, samt at de ofte mister operationel effektivitet, når hverdagen presser på. I denne artikel kan du læse om, hvad der reelt afgør, om jeres kontrolsystem beskytter jer, og hvad der skal til for at forankre det i organisationen.
Årsrapportprocessen er ovre – og den gav måske et par aha-oplevelser. Fejl dukkede op, som ikke var erkendt som risici. Spørgsmålet er ikke, om revisor bemærkede dem, men om ledelsen har det fulde billede af, hvilke risici der ikke er afdækkede – og om det interne kontrolsystem fungerer som tilsigtet.
De fleste steder er svaret hverken ja eller nej: der er kontrolaktiviteter på mange områder, men ikke nødvendigvis de mest kritiske, og de eksisterende kontroller udføres ikke altid konsekvent nok til at gøre en reel forskel.
Når det interne kontrolsystem ikke følger med
Den mest udbredte misforståelse er, at interne kontrolaktiviteter primært er et revisionsanliggende, noget man vedligeholder for at bestå en revision. Det er en misforståelse, der gør meget skade, fordi den reducerer systemet til et compliance-redskab og dermed flytter ansvaret for risikostyringen væk fra ledelsen ‒ til trods for, at det er et formelt ledelsesansvar at sikre virksomhedens interne kontrol.
Resultatet er kontrolaktiviteter, der er designet korrekt – men som ikke udføres som tilsigtet i praksis.
For at der er effektiv risikoafdækning, skal begge former for effektivitet være til stede: designeffektivitet og operationel effektivitet. Mangler den sidstnævnte, opdages det sjældent – fordi kontrolaktiviteterne ikke dokumenteres systematisk, og fordi monitoreringskomponenten reelt er fraværende.
Resultatet er, at ledelsen ikke kan vurdere, om risikostyringen fungerer, fordi der ikke rapporteres på kontrolstatus.
Når kontrolsystemet primært ses som et revisionsredskab, opstår der typisk tre mønstre i praksis:
Forretningen ændrer sig ‒ kontrolsystemet følger sjældent med
Årsagen til, at interne kontrolsystemer gradvist mister relevans, er næsten altid den samme: forretningen ændrer sig, men risikovurderingen og de tilknyttede kontrolaktiviteter gør det ikke i samme takt. Nye risici opstår, andre forsvinder, og den indbyrdes væsentlighed forrykkes – som følge af ændringer i aktiviteter, organisation, systemlandskab eller regulatorisk miljø.
Resultatet er overflødige kontrolaktiviteter, der opretholdes, og nye væsentlige risici, der ikke er afdækkede – ikke fordi nogen har forsømt arbejdet, men fordi ingen har haft tid til den systematiske gennemgang.
Tegn på, at dit kontrolsystem er ved at gå fra levende praksis til formel øvelse
Der er typisk fem tegn på, at et internt kontrolsystem er ved at blive en formel øvelse frem for en levende praksis:
Kontrolaktiviteterne udføres, men ingen kigger på output, og dokumentationen opdateres kun i ugerne op til revision. Kontrolejerne kan forklare proceduren, men ikke formålet, og afvigelser registreres, men udløser ikke opfølgning. Og det tydeligste tegn ‒ ingen stiller spørgsmål, når en kontrolaktivitet ikke er udført, hvilket indikerer, at overvågningsaktiviteterne reelt er fraværende, og at ingen føler ejerskab.
Konsekvenserne: Falsk tryghed og utilstrækkelig risikoafdækning
Et kontrolsystem, der ikke holder trit med forretningen, skaber en falsk tryghed, og effekten er utilstrækkelig risikoafdækning og forkert ressourceallokering på uvæsentlige risici.
Det kunne fx se sådan her ud:
En virksomhed opdagede i forbindelse med en struktureret gennemgang af det interne kontrolsystem, at en systematisk fejl i masterdata betød, at de i årevis havde faktureret på et forkert grundlag.
Ekstern revision havde ikke identificeret forholdet, hvilket ikke er overraskende ‒ revisorer arbejder under en væsentlighedsgrænse målrettet ekstern rapportering og udfører arbejdet stikprøvevist. Manglende revisionsbemærkninger er dermed ikke en garanti for fraværet af kontrolsvagheder.
Ved at redesigne kontrolaktiviteterne i masterdata- og faktureringsprocessen, med klart ejerskab, en forebyggende systemkontrol og en periodisk afstemning, blev risikoen afdækket fremadrettet.
Gevinsten var ikke compliance. Det var operationel effektivitet og et pålideligt faktureringsgrundlag.
Uafdækkede kontrolsvagheder øger besvigelsesrisikoen
Besvigelsesrisikoen er en ofte overset dimension af et levende kontrolsetup. Desværre opfattes besvigelse ofte udelukkende som et spørgsmål om personlig integritet, og dermed et HR-anliggende – at undgå svindel ses groft sagt som et spørgsmål om at ansætte de rigtige medarbejdere.
Men selv medarbejdere med høj integritet kan under bestemte livsomstændigheder drives til at begå besvigelser, hvis muligheden er til stede.
I de fleste besvigelsessager viser en gennemgang af forløbet, at svagheder i de interne kontroller gjorde besvigelsen mulig – ikke fordi nogen forsømte deres kontrolarbejde, men fordi selve kontroldesignet ikke systematisk adresserede, hvem der kunne gøre hvad uden at blive opdaget.
Kontrolaktiviteterne skal derfor designes med det udgangspunkt, at mulighederne for væsentlige uregelmæssigheder er begrænsede ‒ uanset hvem der sidder i rollen. Fundamentet er det samme: funktionsadskillelse, adgangsstyring og kontrolaktiviteter, der reelt udføres.
Nysgerrig på mere?
Kendetegn ved et velfungerende kontrolsystem
Kontrolaktiviteterne er afstemt til den aktuelle risikovurdering
Udgangspunktet er altid en opdateret risikovurdering – ikke en, der afspejler forretningen, som den så ud, da kontrolsystemet sidst blev gennemgået.
En struktureret risikovurdering identificerer de processer med den største risikoeksponering og danner grundlaget for at skille nøglekontroller fra overflødige – og for en ressourceeffektiv tilgang, hvor indsatsen koncentreres om de 20% af kontrolaktiviteterne, der adresserer 80% af risikoen.
Der er balance mellem forebyggende og opdagende kontrolaktiviteter
Et velfungerende kontrolsystem balancerer forebyggende aktiviteter – godkendelsesflows, adgangsstyring og funktionsadskillelse – med opdagende aktiviteter som afstemninger, analytiske gennemgange og undtagelsesrapporter.
Mange systemer er uforholdsmæssigt tunge på opdagende aktiviteter, fordi de er lettere at dokumentere. Men de er kun effektive, hvis overvågningsaktiviteterne efterfølgende sikrer, at afvigelser konsekvent følges op.
Valget afhænger af risikoens karakter og en ressourcemæssig afvejning.
Automatisering styrker begge dimensioner markant: systemunderstøttede kontrolaktiviteter er mere pålidelige, fordi de ikke afhænger af menneskelig konsistens. Funktionsadskillelse bør ligeledes være systemunderstøttet, for er den det ikke, er den nem at omgå –bevidst eller ubevidst.
Ejerskab og RACI som operationelt fundament
En kontrolaktivitet uden en defineret ejer er ikke en kontrolaktivitet ‒ det er en intention.
En klar RACI-struktur, integreret i processer og onboardingforløb, er det fundament, der gør kontrolsystemet robust over for personaleskift og omstruktureringer – og forudsætningen for, at overvågningsaktiviteterne fungerer.
Kontrolmiljøet: Tonen sætter rammerne
I COSO's forstand er kontrolmiljøet, ledelsens tone, governance og organisationens risikobevidsthed fundamentet for alle øvrige komponenter.
Det afspejler sig direkte i praksis: spørger ledelsen aldrig til kontrolstatus, gør medarbejderne det heller ikke. Et kontrolmiljø, der ikke understøttes af den rette tone fra ledelsen, vil konsekvent miste operationel effektivitet over tid – uanset hvor veldokumenterede kontrolaktiviteterne er.
Fem tegn på, at dit kontrolsystem har reel operationel effektivitet
Kontrolejerne kan forklare formålet ‒ ikke bare proceduren. De ved, hvilken risiko aktiviteten adresserer, og hvad der skal ske, hvis kontrollen finder en afvigelse.
Afvigelser udløser handling – og overvågningsaktiviteterne er reelle: afvigelser registreres, eskaleres og lukkes systematisk.
Risikovurderingen er levende ‒ den revideres løbende, og kontrolaktiviteterne tilpasses i takt med ændringer i forretning, organisation og systemlandskab. Forældede aktiviteter fjernes.
Ledelsen understøtter kontrolmiljøet aktivt: den efterspørger status, tager kontrolsvagheder alvorligt og behandler det interne kontrolsystem som et styringsredskab.
Ingen kontrolaktivitet udføres proforma ‒ hvert element kan begrundes med en konkret og aktuel risiko fra risikovurderingen.
Fra kontrolsystem til kontrolkultur
Et velfungerende internt kontrolsystem er ikke primært et compliance-redskab. Det er et forretningsinstrument.
Det giver et mere pålideligt beslutningsgrundlag, reducerer fejlkorrektion og sikrer operationel effektivitet i processerne. Derudover reducerer det sårbarheden over for både kontrolsvagheder, besvigelser, personaleskift og organisationsændringer.
Når en kontrolaktivitet fejler, er det ikke en fiasko. Det er information om, præcis hvor en svaghed eksisterer.
Organisationer, der behandler kontrolfejl som læring, opbygger løbende et stærkere system; organisationer, der registrerer dem uden opfølgning, ser mønstret gentage sig.
Det leder til den forskel, der i praksis afgør, om et internt kontrolsystem holder ‒ forskellen på at have kontrolaktiviteter og en kontrolkultur. Kontrolaktiviteter er et spørgsmål om dokumentation og processer; kontrolkultur er et spørgsmål om, hvad der sker, når ingen kigger ‒ om kontrolmiljøet er forankret dybt nok i organisationen til, at aktiviteterne udføres, fordi medarbejderne forstår deres formål, og ikke bare fordi revisionen kommer om tre måneder.
Det bygger man ved at gøre kontrolsystemet synligt i hverdagen, ved at tale om afvigelser, ved at handle på kontrolsvagheder – og ved at ledelsen konsekvent understøtter den rette tone.
Vil du vide, hvor dit kontrolsystem holder – og hvor det ikke gør?
Vi arbejder med interne kontrolsystemer i finansfunktioner hver dag og ved præcis, hvilke mønstre der afslører svaghederne. På 50 minutter giver vi jer et kvalificeret billede og et konkret udgangspunkt – helt uforpligtende.
