Trusselbildet

Økonomisk kriminalitet koster, både økonomisk og omdømmemessig. Den direkte kostnaden er høy. Den indirekte kostnaden kan imidlertid være betraktelig høyere. I tillegg til at en utro ansatt skal avskjediges, med de implikasjoner det har for driften i perioden, vil omdømmetapet kunne være stort og gjenopprettelseskostnadene høye. Forholdet til kunder og leverandører kan bli skadelidende. I tillegg kan selskapet risikere lange og ressurskrevende rettsprosesser, foretaksstraff og utestengelse fra offentlige anskaffelser. Den såkalte Norconsult-saken illustrerer dette:

Saken gjaldt spørsmål om ileggelse av foretaksstraff for korrupsjonshandlinger begått av ansatte i konsulentselskapet Norconsult. ØKOKRIM tok i november 2009 ut tiltale mot selskapet og tre ansatte. I tingrettsdommen avsagt i juli 2011 ble de tre ansatte dømt for korrupsjon mens selskapet ble frifunnet. Tingretten fant at vilkårene for foretaksstraff var oppfylt, men at selskapet etter en totalvurdering likevel ikke burde dømmes.

ØKOKRIM, en av de ansatte og Norconsult anket. Lagmannsretten fant i oktober 2012 at den ansatte skulle frifinnes mens Norconsult ble idømt foretaksstraff for korrupsjon på fire millioner kroner.

Norconsult anket til Høyesterett, som i juni 2013 frifant selskapet.2* Dommen er inntatt i Rt. 2013 s. 1025. Norconsult ble enstemmig frifunnet av Høyesterett, men dommerne delte seg i et flertall på tre og et mindretall på to dommere hva gjelder begrunnelse. I denne artikkelen er flertallets begrunnelse gjengitt. Høyesterett fant at vilkårene for foretaksstraff forelå, men at den «utestengelse fra det norske markedet som en foretaksstraff fører med seg, vil utløse en totalreaksjon som ikke står i noe som helst rimelig forhold til selskapets forgåelse». Samtidig gir Høyesterett klare anvisninger på at manglende rutiner for håndtering av korrupsjonsspørsmål, taler for idømmelse av foretaksstraff:

«Etter lagmannsrettens syn hadde ikke Norconsult i 2003 gjort det man kunne for å forhindre medvirkning til korrupsjon. Norconsult hadde mange oppdrag i utlandet, blant annet i Afrika, hvor det er kjent at korrupsjon har vært og fortsatt er et betydelig problem. Dette tilsier at korrupsjon burde vært tatt opp eksplisitt i de etiske retningslinjene, jf. endringen i 1999 i straffeloven § 128 om bestikkelse av offentlige tjenestemenn i utlandet. Det burde vært utarbeidet rutiner for håndtering av korrupsjonsspørsmål, herunder plikt til å ta slike forhold opp linjevei. For medarbeidere som arbeidet i land som er sterkt korrupsjonsutsatte, burde det ha vært jevnlig innskjerping og oppfriskning av rutiner hvis man møter korrupsjonsforhold i utlandet. … Dette er følgelig et moment som trekker i retning av at foretaksstraff bør ilegges. Jeg slutter meg uten videre til denne vurderingen og vil tilføye: På bakgrunn av den kjennskap til korrupsjonsproblematikken som det må forventes at et selskap som Norconsult hadde … har bevisføringen vist at den årvåkenhet som er påberopt, knapt har satt et eneste spor i noen av selskapets policyerklæringer eller rutinedokumenter fra den aktuelle perioden. Selv om korrupsjon vil være omfattet av begrepet ærlighet og redelighet som var omhandlet i firmahåndboken, har man ikke tatt tak i problematikken omkring bestikkelser i de områder selskapet opererte og der man hadde mange ansatte. Bestemmelsene satte bare forbud mot at medarbeiderne mottok økonomiske fordeler. Selv om det skulle fremstå som selvsagt, hadde Norconsult altså ingen uttrykkelige regler som forbød selskapets med­arbeidere å gi bestikkelser. Plikten til å varsle «avvik» definert som en lovstridig handling, var generell og bortgjemt og hadde ingen adresse til korrupsjon. Jeg ser det etter dette slik at selskapets manglende tiltak for å hindre korrupsjon i egne rekker, klart taler for idømmelse av foretaksstraff.»

Hvem har ansvar – og for hva?

Høyesteretts uttalelser i Norconsult-saken viser at vi står i en situasjon der overordnede føringer er gitt og formelt ansvar kan sies å være plassert. Konkret hvor mye som kreves av systemer og forebyggende handlinger før en virksomhet kan gå fri fra ansvar dersom misligheter inntreffer, er derimot ikke definert. Rettspraksis, retningslinjer gitt blant annet av amerikanske og britiske antikorrupsjonsmyndigheter, samt signaler gitt av ØKOKRIM i ulike sammenhenger, kan samlet gi et bilde av de ulike aktørenes krav og forventninger. Uansett må virksomhetene selv, ut fra en bedømmelse av risiko og risikoappetitt, bestemme hvor omfattende rammeverk de vil implementere.

Helhetlig rammeverk – Fraud Risk Management

Etter PwCs vurdering må alle virksom­heter utforme et helhetlig rammeverk for forebygging, avdekking og håndtering av misligheter. Ved implementering av en slik helhetlig rutine vil alle sentrale elementer fanges opp. Samtidig vil risikoen for misligheter reduseres og sannsynligheten for avdekking av eventuelle misligheter øke.

Vår erfaring er at mange virksomheter har implementert kontrolltiltak for å hindre misligheter på lavere nivåer. Lagertelling, mindre grad av kontanthåndtering, dualkontroll av inngående fakturaer er eksemp­ler på slike kontrolltiltak, ut fra blant annet et mislighetsperspektiv. Langt færre virksomheter har implementert forebyggende aktiviteter og avdekkende kontroller for å redusere risikoen for at ledelsen selv begår misligheter, til tross for at det er her det kan skje størst skade. Og her står utfordringen; ledelsen må selv definere risikoene og implementere rettede kontrolltiltak for blant annet å hindre at de selv begår misligheter. I dette arbeidet har vi god erfaring med å samarbeide tett med virksomhetens ledelse og sentrale ansatte for å kombinere vår erfaring med forebyggende arbeid og granskingssaker med ansattes kjennskap til virksomheten.

Nedenfor følger en kort presentasjon av hvordan vi i PwC Gransking tenker rundt det å designe og implementere et helhetlig rammeverk for å forebygge, avdekke og håndtere misligheter. Vi har strukturelt valgt å dele aktivitetene inn i fem hovedkategorier:

1. Ledelsesfokus – roller og ansvar

Roller og ansvar for misligheter må klart defineres. Ledelsen må tydelig diktere organisasjonens «tone at the top» og linjeledere må ta eierskap til sitt ansvar for forebygging og avdekking av misligheter. Ledelsesfokuset må også gi seg utslag – som vi har sett fra Norconsult-dommen – i et etisk regelverk som klart tilkjennegir et standpunkt mot misligheter og korrupsjon, samt ha prosedyrer for håndtering av saker og reaksjon ved avvik.

Dersom misligheter har inntruffet, hvordan håndteres disse? Virksomheten må ha prosedyrer for å håndtere de ansatte, media, aksjonærer og andre interessenter. Det bør foreligge en rutine for hvordan mislighetssaker skal følges opp, og gjennomføringen bør protokolleres og evalueres.

2. Risikovurdering, design og implementering av forebyggende aktiviteter

Et sentralt tiltak, hvor vi erfarer at mange virksomheter svikter, er å ha en god og dokumentert risikovurdering i bunn for de forebyggende tiltakene man iverksetter. Risikovurderingsprosesser bør inkludere innspill fra både ledelse og sentrale virksomhets- og antatte risikoområder, slik at vurderingen får en tilfredsstillende bredde og dybde. Risikovurderingsprosesser bør gjennomføres regelmessig, og man må hele tiden være oppmerksom på relevante endringer i omgivelsene.

På bakgrunn av identifiserte risikoer, må forebyggende aktiviteter defineres og innarbeides. Det aller viktigste i denne fasen er å sørge for at de mest kritiske risikoer blir redusert til et akseptabelt nivå, og ikke prøve å gape over alt på én gang.

3. Kontrollaktiviteter – avdekkende aktiviteter

Selskapet må videre implementere tilstrekkelige avdekkende system, herunder substanskontroller. Toppledelsen bør regelmessig foreta kontroller med fokus på misligheter og uregelmessigheter. Transaksjoner bør ettergås for å kontrollere risikoen for misligheter eller røde flagg.

Et klart utviklingstrekk vi i PwC har sett de seneste årene, er et større fokus på håndtering av tredjepartsrisiko, særlig leverandører. Mange mislighetssaker hvor utenforstående er involvert, begås av leverandører og andre samarbeidsparter. Å ha en risikobasert tilnærming for å avdekke og håndtere mislighetsrisiko fra disse, er derfor viktig. Bruk av avtaleklausuler, opplæring og revisjon er blant de tiltakene vi ofte anbefaler iverksatt.

4. Opplæring

Selskapet må sikre en tydelig etisk plattform der de ansatte regelmessig får opplæring og trening i etiske dilemmaer. Også i dette arbeidet er ledelsens involvering gjennom tilstedeværelse viktig for å innarbeide en åpen kultur, hvor kommunikasjon om avvik blir naturlig. Å ha en velfungerende varslingskanal er blant de tiltakene som er aller viktigst, fordi vi ser at mange saker starter med en varsling.

5. Overvåkning

Ledelsens overvåkning av at tiltakene virksomheten har iverksatt for å forebygge, avdekke og håndtere misligheter fungerer er viktig, ikke minst for å sikre nødvendige endringer av rammeverket når risikoen endrer seg eller andre grunner gjør dette nødvendig.

Bevisstgjøring – helhetlig tanke

Å få på plass tiltak for å forebygge, avdekke og håndtere misligheter innebærer ikke nødvendigvis omfattende systemendringer; for de fleste er det kun snakk om en bevisstgjøring og en mer mislighetsrettet gjennomføring av de arbeidsoppgaver som allerede utføres. Men det må foreligge en helhetlig tanke, basert på en konkret risikovurdering, tiltakene må være etablert fra toppen og innarbeides i alle ledd nedover. Først da vil man i større grad ha redusert risikoen for misligheter, økt sannsynligheten for å avdekke misligheter samt klare å håndtere eventuelle misligheter på en god måte. Man må også være forberedt på at økt bevisstgjøring og implementering av nye tiltak, vil kunne lede til at mislighetssaker dukker opp.

Med et godt innarbeidet rammeverk på plass vil selskapets styre og administrasjon unngå å bli møtt med anførsler om at det ikke i tilstrekkelig grad er implementert tiltak mot korrupsjon og annen økonomisk kriminalitet.

En fjerdedel rammet

Ifølge PwCs Global Economic Crime Survey (GECS), har mer enn ¼ av de norske virksomhetene som besvarte undersøkelsen opplevd økonomisk kriminalitet i løpet av det foregående året. Undersøkelsen viser at det er flest interne misligheter, i form av underslag og utroskap, men også regnskapsmanipulasjon og eksterne trusler treffer norske virksomheter. De interne sakene rapporteres ofte å være begått av ledere, gjerne mellomledere. Overraskende nok, rapporterte mange virksomheter at de ikke gjennomfører risikoanalyser som grunnlag for iverksetting av forebyggende og avdekkende internkontroll mot misligheter. Dette til tross for at mange av dem samtidig svarer at de forventer å bli utsatt for økonomisk kriminalitet kommende år.