Lovkravets påvirkning på redegjørelsene

Selv om selskapene i vårt utvalg har vært omfattet av tilsvarende krav om redegjørelse for intern kontroll og risikostyring knyttet til finansiell rapportering i NUES-anbefalingen, har tidligere års erfaringer vært at denne delen av selskapenes redegjørelse har vært mangelfull. Mange redegjørelser har vært lite informative og omtalen har ikke i tilstrekkelig grad vært knyttet til regnskapsrapporteringsprosessen.

Etter å ha gjennomgått årsrapportene for 2011 tør vi påstå at lovkravet har medført forbedret rapportering hos et betydelig antall selskaper i vårt utvalg.

Vi observerer at flere selskaper som i 2010 hadde tilfredsstillende redegjørelser på dette punktet ved å ha fulgt NUES-anbefalingen, har foretatt ytterligere forbedringer i 2011. Forbedringen knytter seg i hovedsak til at det er foretatt ytterligere konkretiseringer mot at det gjelder intern kontroll og risikostyring rettet mot regnskapsrapporteringsprosessen. Flere selskaper har blant annet skilt ut den delen av redegjørelsen som omhandler den interne kontrollen og risikostyringen som gjelder regnskapsrapporteringsprosessen fra den øvrige omtalen av intern kontroll og risikostyring. Dette medfører økt fokus på den delen som gjelder regnskapsrapporteringsprosessen, samtidig som at det blir lettere for leseren å skille omtalen av intern kontroll og risikostyring som gjelder regnskapsrapporteringsprosessen fra den øvrige redegjørelsen.

En rekke selskaper som i 2010 hadde relativt begrenset omtale av intern kontroll og risikostyring knyttet til regnskapsrapporteringsprosessen, har i 2011 foretatt betydelige forbedringer for å tilpasse seg lovkravet. Det gis i større grad redegjørelser som er omfangsrike og informative for leseren, og i et flertall av redegjørelsene ser vi at selskapene også har tatt begrepsapparatet fra bestemmelsen inn i sine redegjørelser.

Redegjørelsene for 2011 er fremdeles relativt sparsommelige i et mindretall av selskapene. Disse selskapene har ingen eller minimale endringer fra fjoråret. Redegjørelsene er så kortfattede og i liten grad knyttet til regnskapsprosessen at det ikke er mulig for eiere å sette seg inn i hvordan selskapet har innrettet sin interne kontroll og risikostyring knyttet til regnskapsrapporteringsprosessen. Uten på noen måte å forskuttere hva som er tilstrekkelig rapportering, fremstår det, etter vår mening, åpenbart at slike redegjørelser ikke tilfredsstiller lovens krav.

Hvilke krav stilles?

Hva kreves av redegjørelsen for at den skal tilfredsstille kravene i regnskapsloven? Da lovkravet i begrenset grad gir veiledning, vil det ikke være eksakte kriterier, men vi har i vår gjennomgang av årsrapportene observert momenter som vi mener vil være sentrale i gode redegjørelser:

En strukturert oppstilling av hovedelementene i den interne kontrollen og risikovurderingen

Omtale av hvordan arbeidet med intern kontroll og risikostyring er organisert i selskapet

Omtale av styret/revisjonsutvalget sin involvering i regnskapsrapporteringsprosessen

Omtale av sentrale elementer knyttet til identifisering av risiko og kontrollaktiviteter

Selskapene har varierende beskrivelser av hovedelementene i den interne kontrollen og risikovurderingen. De fleste strukturerer redegjørelsen etter samme struktur som COSO ERM-rammeverket, dvs. kontrollmiljø, risikovurdering, kontrollaktiviteter, informasjon og kommunikasjon og overvåkning. Denne inndelingen gir en god struktur i redegjørelsen, og vil være hensiktsmessig uavhengig av om selskapet faktisk benytter rammeverket i sin interne kontroll og risikostyring eller ikke.

Flere selskaper gir i sine redegjørelser innholdsrike beskrivelser av kontrollmiljøet knyttet til regnskapsrapporteringen. Et av momentene som er gjennomgående i gode redegjørelser, er en beskrivelse av hvordan arbeidet med intern kontroll og risikostyring er organisert i selskapet, herunder en beskrivelse av samspillet mellom styret/revisjonsutvalget og administrasjonen. Videre vil informasjon om hvordan styret/revisjonsutvalget kommuniserer med ekstern revisor og eventuelt internrevisjon være sentralt. Omtale av disse momentene gir leseren et overblikk over hvordan selskapet har innrettet sitt arbeid og har stor informasjonsverdi.

Det vil også være relevant å omtale hvordan styret, eventuelt revisjonsutvalget, engasjerer seg i regnskapsrapporteringsprosessen, og da i hovedsak knyttet til kvartals- og årsregnskaper. Dette kan eksempelvis være omtale av hvilken finansiell rapportering styret/revisjonsutvalget mottar, samt hvordan styret eller revisjonsutvalget engasjerer seg i vurderingsposter i regnskapet, transaksjoner med nærstående, vesentlige enkelttransaksjoner, endringer i regnskapsprinsipper og lignende.

Selskapenes prosess for å identifisere risiko for vesentlig feil i regnskapsrapporteringen er et naturlig hovedelement som bør omtales i redegjørelsen. Erfaringene fra vår gjennomgang viser at redegjørelsene på dette punktet er varierende. Dette henger nok i stor grad sammen med at kompleksiteten og risikoen for vesentlige feil i regnskapsrapporteringsprosessen varierer. Det som er gjennomgående i gode redegjørelser, er en beskrivelse av hvordan styret/revisjonsutvalget sammen med administrasjonen identifiserer risikoer for vesentlige feil i regnskapsrapporteringen. DNB-konsernet skriver i sin redegjørelse:

«På vegne av konserndirektør finans identifiserer, vurderer og overvåker konsernansvarlig for finansiell rapportering risiko for feil i konsernets finansielle rapportering i samarbeid med rapporterende enheter. Risikovurderingen behandles i konsernets revisjonsutvalg.»

En slik kort omtale i redegjørelsen må, etter vår mening, være tilfredsstillende.

Selskapenes omtale av kontrollaktivitetene er nært knyttet til deres omtale av risikoidentifisering. Med kontrollaktiviteter menes handlingsplaner og rutiner som skal sikre at de identifiserte risikoene håndteres på en tilfredsstillende måte. Sentrale momenter som er gjennomgående i selskapenes redegjørelser, er beskrivelser av fullmakter, arbeidsdeling, ledelsesgjennomganger av kvartals- og årsregnskaper og finansiell oppfølging av konsernenheter. For virksomheter hvor det er etablert ulike «compliance»-funksjoner rettet mot regnskapsrapporteringsprosessen, vil dette også være naturlig å omtale.

Disse kontrollaktivitetene må antas å foreligge, i større eller mindre grad, hos de fleste selskapene som omfattes av dette kravet. En kort og presis omtale av disse aktivitetene må antas å være tilstrekkelig i denne sammenhengen, eventuelt en omtale av de kontrollaktivitetene som er mest relevante for det aktuelle selskapet.

Oppsummering

Gjennom å lovfeste kravet om å redegjøre for intern kontroll og risikostyring knyttet til regnskapsrapporteringsprosessen, ønsket man at dette i seg selv ville gi bedret rapportering. Vår gjennomgang viser at dette langt på vei er tilfellet, dog med noen unntak.

Lovkravet gir begrenset veiledning i hva som kreves av redegjørelsen, samtidig som at foretakene som omfattes av denne bestemmelsen, er ulike i størrelse og kompleksitet. Dette gjør at det i mange tilfeller er vanskelig å bedømme hvorvidt de tilfredsstiller lovkravet eller ikke. Redegjørelsene som inneholder momentene nevnt i denne artikkelen vil, etter vår mening, i de fleste tilfeller bidra til at leseren får et inntrykk av hvordan dette arbeidet er innrettet i selskapet. For redegjørelser som i noen eller mindre grad omtaler disse momentene må vurderingen av redegjørelsen sees i forhold til virksomhetens størrelse og kompleksitet. Det har av den grunn ikke vært mulig å gjøre en nøyaktig inndeling mellom de redegjørelsene som tilfredsstiller lovkravet og de som ikke gjør det.