Sådan designer du et compliance-rettet kontrolmiljø

I en tid med stigende lovgivningsmæssig kompleksitet er et effektivt kontrolmiljø afgørende. Denne artikel guider dig gennem designet af et kontrolmiljø, der hjælper din virksomhed med at håndtere de centrale finance-relaterede lovkrav inden for regnskab og skatter. 

Udfordringen med at etablere et effektivt kontrolmiljø er en kompleks opgave. Det skyldes en øget regulatorisk kompleksitet – at reglerne simpelthen bliver mere omfattende og komplicerede – samt ændringer i virksomhedens aktiviteter af fx konkurrencemæssige årsager eller som følge af geopolitik og makroøkonomiske forhold, som fører til, at virksomhedens compliance-landskab ændrer sig.  

Du kender måske udfordringen med, at kontrolmiljøet løbende skal opdateres for effektivt at håndtere et ændret risikobillede; nye risici opstår, andre forsvinder, og de aktuelle risicis indbyrdes væsentlighed forrykkes. Og det bliver ikke mindre udfordrende af, at din organisation også ændrer sig jævnligt. Det betyder nemlig alt sammen, at også kontrolopgaverne skal overvåges nøje, så de udføres af rette medarbejdere af hensyn til at sikre de nødvendige kompetencer og med en omkostningseffektiv organisering af roller og ansvar. 

Når vi taler om risici, kan de defineres bredt som de omstændigheder og vilkår, der truer opfyldelsen af virksomhedens opsatte mål, hvad end de er operationelle, rapporterings- eller compliancerelaterede. Mange risici er generelle, mens nogle kan være meget branchespecifikke, drevet enten af de forretningsmæssige aktiviteter eller de regulatoriske forhold.  

Du vil i denne artikel blive klogere på finance-relaterede compliance-risici – især dem, der handler om regnskab og skatter – og hvordan du kan risikostyre dem med et effektivt kontrolmiljø.  

Det er nemlig et emne, der kræver enorm fokus og grundighed. For overholder din finansafdeling ikke lovkravene, kan det medføre ressourcekrævende korrektioner, behov for omkostningstung rådgiverbistand og skade på virksomhedens omdømme.  

Financial Controlling & Compliance framework 

Figuren illustrerer, at Financial Controlling er fundamentet for finansfunktionens ansvarsområder Reporting og Compliance, som består af en række kerneopgaver. For at opnå et højt kvalitets- og effektivitetsniveau skal disse tilpasses virksomhedens særlige forhold samt rammebetingelserne, du kan se i cirklens yderste ring.  

Vi har her fremhævet området Control Environment i figuren. Det skyldes, at det netop er de opgaver, du kan blive klogere på i denne artikel. 

Basico kan bidrage med rådgivning og assistance indenfor alle områder i modellen. 

En forudsætning for, at du kan designe et effektivt kontrolmiljø, er en dyb indsigt i virksomhedens forretningsaktiviteter – både kommercielle og interne. Det er vigtigt at forstå aktiviteterne på entitetsniveau – dels fordi lovkravene, som entiteterne er underlagt, varierer afhængig af hjemstedet, og dels da transaktionerne inden for koncernen og med nærtstående parter også er underlagt regulatoriske krav. Et yderligere hensyn er, at risiciene skal præciseres så meget, som det er praktisk muligt, for at undgå, at du implementerer unødvendige kontroller. Fx kan der være specifikke risici forbundet med et kunde- eller produktsegment, som ikke skal have afsmittende virkning på andre omsætningssegmenter med et andet risikobillede. 

Når alle virksomhedens aktiviteter er kortlagt, kan du begynde at identificere de relevante lovkrav. Her er udfordringen ofte, at du skal kende reglerne for at stille de rigtige spørgsmål i ”forretningen”, og omvendt skal du kende til aktiviteterne for at vide, hvilke regler som er relevante at forholde sig til.  

Arbejdsprocessen bliver derfor ofte iterativ, hvor du først kortlægger aktiviteterne overordnet og dernæst undersøger den relevante lovgivning med nysgerrighed på ”randområderne”. Med yderligere regelindsigt genoptager du nemlig forståelsen af aktiviteterne for at forstå detaljerne. Afhængig af, hvorvidt du bevæger dig i gråzonen, fx fordi konklusionen skal støttes af retspraksis eller andre inputs til regelfortolkning, skal du gentage den iterative proces.  

For at du sikrer den nødvendige kvalitet og en effektiv ressourceanvendelse, kan det være hensigtsmæssigt at involvere specialister på lovgivningsområdet, som hurtigere kan identificere de relevante risici. Det kan fx give dig en detaljeret forståelse af, hvordan lovgivning skal omsættes i en praktisk kontekst, og åbne dine øjne for potentielle faldgruber.  

Når du har fået et godt overblik over virksomhedens aktiviteter og compliance-landskab, er næste skridt at identificere væsentlige risici for alle dine forskellige transaktioner. Herefter skal du vurdere dem ud fra kvantitativ og kvalitativ væsentlighed og ud fra sandsynlighed.  

Det vil være oplagt at koble dine risici til fx de respektive regnskabsposter, til selvangivelsen og til moms-/afgiftsindberetningerne i de respektive oplysningsfelter, men faktisk opstår langt hovedparten af risiciene på transaktionsniveau. Derfor skal du afdække risiciene med kontroller integreret i de underliggende finansprocesser som fx Order-to-Cash, Procure-to-Pay og Record-to-Report. Afhængigheder til fx ikke-finansielle stamdata og kunde-/leverandørstamdata skal du også identificere. 

En god måde at gribe det an på er at mappe dine risici på proceskæder, der registrerer data hele vejen fra oprindelsen i fx produktionssystemer til bogføringen og senere i rapporteringen. Dette indebærer, at du identificerer alle procesflows. Fx kan omsætning måske opdeles i salgskanaler, produkter og geografi, mens varebeholdninger kan opdeles efter råvarer og færdigvarer, ligesom lønprocesser kan opdeles mellem timelønnede og funktionærer. Dette af hensyn til at præcisere og afgrænse risikoen, så kontrollerne også er målrettede ud fra et effektivitetshensyn. 

Når risikolandskabet er kortlagt – gerne ved hjælp af velbeskrevne procesflows – kan du identificere og kvantificere de unikke risici efter karakteristika, hvilket gør det muligt at designe et effektivt kontrollandskab. 

Når du har identificeret og vurderet risiciene, kan du designe passende interne kontroller. Her er det væsentligt at overveje, om de skal designes omkring forebyggende eller opdagende kontroller, som groft betegnet hhv. undgår og opdager fejlene, ligesom du skal overveje, om kontrollerne skal være automatiske eller manuelle. Om det skal være det ene eller andet, kan afhænge af risicienes karakter, transaktionsmængden og afvejningen mellem ressourceforbrug og risikotolerance. 

Funktionsadskillelse er en central kontrolforanstaltning, som skal sikre, at den samme person ikke både udarbejder og kontrollerer. Her er det afgørende, at funktionsadskillelsen er systemunderstøttet, hvor brugerroller og adgangsrettigheder bliver administreret omhyggeligt for at undgå overlap og utilsigtede rettigheder. 

Kontroldesignet skal afspejle lovkravene og specifikt afdække de identificerede risici. Hvis de fx relaterer til omsætningens forekomst, bør du lade designet af kontrollen understøtte en afstemning af bogføringstransaktionen med underliggende dokumentation som fx aftaler og fragtdokumenter.  

Din kontoplan bør ligeledes indrettes på en måde, hvor de manuelle tilretninger bliver minimeret. Det vil sikre dig et direkte transaktionsspor fra rapporteringerne til myndighederne og videre til bogføringen.  

Desuden kan du mindske risici ved brug af regnskabsmanualer, arbejdsinstruktioner og intern træning, som øger sandsynligheden for en korrekt registrering. 

En vigtig komponent i dit kontrolmiljø er løbende overvågning. På den måde sikrer du, at kontrolaktiviteterne udføres korrekt, og det giver dig mulighed for at sætte ind, hvis der er brug for korrigerende handlinger.  

Gennem overvågningen kan du også løbende vurdere, om kontrollerne effektivt afdækker dine aktuelle risici. Det kan være nødvendigt at redesigne kontroller, hvis du identificerer nye eller øgede risici, ligesom nye kontroller kan være nødvendige ved ændringer i forretningsaktiviteter eller lovgrundlag. Vi oplever ofte, at nye risici ikke er afdækkede, samt at virksomheder udfører overflødige kontrolhandlinger, fordi de ikke løbende har revurderet det risikobillede, de anvender til at tilpasse kontrolaktiviteterne.   

Det er en omfattende opgave at etablere et kontrolmiljø, der effektivt afdækker alle risici for manglende overholdelse af finansiel lovgivning. I praksis kan opgaven formentligt aldrig løses uden enkelte svagheder i kontrolmiljøet. Men ved at følge fremgangsmåden i denne artikel er du i hvert fald sikret et robust og compliance-venligt miljø, der reducerer de mest kritiske risici og styrker overholdelsen af lovgivningen.