Organisering og ansvarsforhold

Foretakene skal tilpasse risikostyringen og internkontrollen etter arten, omfanget av og kompleksiteten i virksomheten. Risikostyringen skal være tilstrekkelig til at svakheter og avvik av et visst omfang blir avdekket og fulgt opp på en adekvat måte. Dette er et ledelsesansvar i foretaket, og kan ikke overlates til den enkelte oppdragsansvarlige partner eller til medarbeidere.

Styret har et overordnet ansvar for å påse at revisjonsselskapet har hensiktsmessige systemer for risikostyring og internkontroll. Som del av dette må styret blant annet fastsette instrukser for styret og daglig leder som sikrer en klar ansvarsdeling og fastsette mål og strategi for foretaket som tar hensyn til risikoene i virksomheten. Styret skal fastsette prinsippene som skal følges og påse at risikostyring og internkontroll blir etablert, gjennomført og overvåket i tråd med dette.

Daglig leder har ansvaret for at dette gjennomføres og dokumenteres. Daglig leder skal følge opp at etablerte systemer ivaretar risikoene i foretaket på en forsvarlig måte i tråd med styrets retningslinjer, og vurdere om avdekkede svakheter eller endringer i virksomheten tilsier at det er behov for endringer av systemene. Ved behov må styret informeres. Dette er et løpende ansvar.

Det understrekes i forskriften at foretaket har ansvaret også når virksomhet er utkontraktert til eksterne leverandører. Dette må sikres gjennom skriftlige avtaler, som blant annet må gi mulighet for innsyn og kontroll fra foretaket selv og for Finanstilsynet. Finanstilsynet har nylig utgitt et nytt rundskriv om utkontraktering, som ansvarlige i revisjonsforetak bør sette seg inn i.*Veiledning om utkontraktering – rundskriv 3/2020 fra Finanstilsynet. Det kan være verdt å merke seg i denne sammenheng at utkontraktering kan være et egnet og kanskje nødvendig tiltak for å håndtere risiko forsvarlig, typisk drift av IKT-systemer over nett, ekstern datalagring og bruk av innleide eksperter.

Identifisering av vesentlige risikoer

Det heter i forskriften at foretaket løpende skal vurdere hvilke vesentlige risikoer som er knyttet til virksomheten. Ved endringer eller etablering av produkter og rutiner av vesentlig betydning skal en slik risikovurdering foreligge før virksomheten igangsettes.

Det finnes ikke et fasitsvar på hvordan dette skal gjøres. Relevante risikoområder kan beskrives på ulike måter og med ulikt detaljeringsnivå. Hvert foretak bør velge en tilnærming som er tilpasset virksomheten og hvordan det legges opp til å håndtere de risikoene som er identifisert. Selv om det er store forskjeller mellom revisjonsforetak både når det gjelder størrelse, intern organisering og tjenestespekter, er det også mange fellestrekk. Alle leverer revisjonstjenester og er underlagt den samme lovgivningen.

Ut fra dette har jeg trukket frem noen risikoområder som jeg tenker at det normalt vil være nødvendig å vurdere særskilt:

• Revisjonskvalitet. Overholdelse av revisorloven og revisjonsforordningen. Kvalitet i gjennomføringen av revisjonsoppdrag og oppdrag om revisorbekreftelser.

• Hvitvaskingsrisiko. Overholdelse av hvitvaskingsloven og risikoen for å bli misbrukt til å legitimere hvitvasking eller terrorfinansiering.

• Regnskap og skatt. Overholdelse av regnskaps- og skattelovgivningen.

• Arbeidsmiljø og HMS. Overholdelse av arbeidstidsbestemmelser og annen lovgivning om behandling av ansatte.

• Informasjonssikring. Forsvarlig registrering, gjenfinning, lagring og tilgangssikring av data (oppdragsdokumentasjon, klientopplysninger, regnskapssystem, mv). Overholdelse av lovkrav om dokumentasjon, taushetsplikt og personvern.

• Erstatningsrisiko. Forsikringsbehov.

• Kompetanse. Rekruttering. Kompetanseutvikling/opplæring.

• Kapasitet. Sikre at oppdrag kan håndteres med tilgjengelige ressurser. Beredskap for å håndtere uventede kapasitetsproblemer.

• Kunderisiko. Risiko for kundeflukt og dårlig tilgang på nye oppdrag. Svikt i inntektene.

• Annen forretningsmessig risiko som foretaket vurderer at er vesentlig for virksomheten.

Håndtering av risikoene

Lovgivningen som er nevnt i punktene ovenfor, inneholder krav til rutiner og systemer som skal sikre at regelverket blir overholdt. Disse risikoområdene håndteres i samsvar med de mer detaljerte kravene til retningslinjer, rutiner og systemer som stilles i dette regelverket.

Revisjonskvalitet håndteres i samsvar med kravene til kvalitetsstyring i revisorloven kapittel 7. Hvitvaskingsrisiko håndteres i samsvar med kravene til risikovurdering og hvitvaskingsrutiner i hvitvaskingsloven. Arbeidsmiljø og HMS håndteres i samsvar med kravene i internkontrollforskriften til arbeidsmiljøloven. Når det gjelder informasjonssikkerhet, stiller GDPR krav til rutiner for å sikre personvern, og for skatt og avgift stiller bokføringsloven krav til forsvarlige systemer.

Forsvarlig håndtering av risiko fordrer en god vurdering av sannsynligheten for negative hendelser og det mulige skadeomfanget, de forholdene som påvirker risikoen og den muligheten foretaket har til å påvirke disse forholdene. Styret og ledelsen i revisjonsforetaket må ha et bevisst forhold til hvilken risiko de kan og ønsker å ta, og ut fra det iverksette nødvendige risikoreduserende tiltak.

Typiske risikoreduserende tiltak vil være å fastsette, retningslinjer, etablere rutiner, fastsette beredskapsplaner, bruke sjekklister for utførte handlinger på sentrale områder, håndtere prosesser med bruk av gode IKT-systemer, back-up-løsninger, osv.

Intern kontroll

Ifølge Finanstilsynets veiledning til forskrift om risikostyring og internkontroll, er intern kontroll en prosess, utført av styre, ledelse og ansatte, utformet for å gi rimelig grad av sikkerhet for å oppnå foretakets mål. Mer konkret dreier dette seg i hovedsak om å iverksette rimelige kontrolltiltak som er egnet til å sikre at de risikoreduserende tiltakene blir gjennomført og at det kan bli fanget opp om de svikter.

Interne kontroller i regnskapsprosessen er noe revisorer har inngående kompetanse på. Denne kompetansen har klar overføringsverdi til andre risikoområder. Revisorer står derfor godt rustet til å håndtere dette.

Overvåking

Ledelsen i virksomheten skal løpende vurdere gjennomføringen av internkontrollen. Minst én gang i året skal det foretas en oppsummerende vurdering, som det heter i forskriften, av om internkontrollen har vært gjennomført på en tilfredsstillende måte. Hensikten er å kunne gripe inn når kontrollene svikter eller risikoreduserende tiltak viser seg å være for svake.

Finanstilsynet skriver i sin veiledning at forskriften ikke stiller særlige krav til hvordan overvåkingen skal skje, men at stikkord kan være personlig nærvær, forespørsler i møter med medarbeidere, stikkprøver og andre spesielle undersøkelser, gjennomgang av nøkkeltall, avviksmåling i IT-systemer og oppfølging av revisorrapporter. Det skal ifølge Finanstilsynet foreligge et systematisk opplegg for overvåkingen, og opplegget skal jevnlig revurderes. Daglig leder må være forberedt på at styret, ekstern revisor eller Finanstilsynet ber om å bli orientert.

Små foretak kan ha enklere rutiner enn større foretak.

Dokumentasjon

Risikovurderingene og vurderinger av gjennomføringen av internkontrollen (overvåkingen) skal dokumenteres. Det skal foreligge et sammendrag med konklusjoner om risikosituasjonen og om det er behov for nye tiltak. Daglig leder skal, minst én gang årlig, utarbeide en samlet vurdering av risikosituasjonen som skal forelegges styret til behandling.

En form for skjematisk oppsett vil være mest hensiktsmessig for de fleste. Et slikt oppsett vil vise de identifiserte risikoområdene, risikovurderingen, tiltakene som er iverksatt for å håndtere risikoen og de interne kontrollene som gjennomføres. Samme oppsett vil også kunne brukes for å dokumentere overvåkingen og den årlige vurderingen til styret.

I praksis må det også foreligge skriftlig dokumentasjon av de risikoreduserende tiltakene. For eksempel må retningslinjer, rutiner og beredskapsplaner være skriftlige. Der hvor foretaket bruker IKT-systemer for å håndtere risiko, kan systemet selv gi tilstrekkelig dokumentasjon.

Revisjonsforetakets revisor skal avgi en årlig bekreftelse til styret om at de nødvendige vurderingene er foretatt og at de bygger på de risikovurderingene som er foretatt.

God kvalitetsstyring bidrar til at oppdragene utføres forsvarlig

Revisjonsforetak skal ha et system for å sikre kvaliteten på revisjonsoppdrag og oppdrag om revisorbekreftelser. De nye lovbestemmelsene om kvalitetsstyring skal bidra til at revisjonsforetakene organiserer virksomheten på en måte som sikrer at lover og regler overholdes og at revisjonsoppdrag og oppdrag om revisorbekreftelser utføres forsvarlig og til rett tid. God kvalitetsstyring gir økt sikkerhet for at dette blir gjennomført på en konsistent måte i foretaket.

Den nye revisorloven konkretiserer nærmere krav til kvalitetsstyringen. Revisorloven av 1999 inneholder kun en overordnet bestemmelse om at revisjonsselskaper skal etablere forsvarlige systemer for intern kvalitetskontroll av revisjonsvirksomheten.

De ansvarlige i revisjonsforetakene må sikre at disse lovkravene blir overholdt. For å få god effekt av kvalitetsarbeidet, bør ikke dette bare ses på som en pliktøvelse for å overholde lovkravene. Ledelsen i revisjonsforetakene må anerkjenne betydningen av et systematisk kvalitetsarbeid. De enkelte partnerne og medarbeiderne må akseptere at de utsettes for denne kontrollen internt og at det må settes av tid og ressurser til dette.

Krav til kvalitetsstyring følger også av den internasjonale kvalitetsstandarden ISQC 1. Denne standarden er i ferd med å bli erstattet av nye internasjonale standarder for kvalitetsstyring ISQM 1 og ISQM 2.* International Standard for Quality Management – ISQM 1: Generell standard for kvalitetsstyring i revisjonsforetak. ISQM 2: Standard for gjennomføring av oppdragskontroller. De nye standardene skal senest anvendes fra desember 2022. Det vil være en klar fordel å ta utgangspunkt i de nye standardene når det eksisterende systemet for kvalitetsstyring skal tilpasses de nye lovreglene.

Det kan være verdt å merke seg at begrepsbruken er endret fra «intern kvalitetskontroll» i revisorloven av 1999 til «kvalitetsstyring» i ny revisorlov. Endringen reflekterer en mer risikobasert tilnærming til oppdragskvalitet. Dette finner vi også igjen i de internasjonale standardene, som endrer navn fra «quality control» til «quality management».

Områder som skal dekkes av kvalitetsstyringen

Revisjonsforetakets kvalitetsstyring må dekke alle de elementene som er nødvendig for at revisjonsoppdrag og oppdrag om revisorbekreftelser kan gjennomføres i samsvar med gjeldende lovkrav og god revisjonsskikk.

Kvalitetsstyringen må minst omfatte skriftlig dokumenterte retningslinjer og rutiner på følgende områder:

• Oppdragsutførelsen

  • Aksept og fortsettelse av revisjonsoppdrag. Retningslinjer og rutiner på dette området skal blant annet bidra til at uavhengighetsreglene blir overholdt og at revisjonsforetaket fratrer i tide når det er nødvendig.

  • Oppfølging av arbeidet til medarbeidere. Foretaket må ha retningslinjer og rutiner for veiledning, kontroll og gjennomgang av arbeidet til medarbeiderne.

  • Konsultasjon om vanskelige eller omstridte forhold.

  • Håndtering av uenigheter som oppstår i teamet, med oppdragskontrollør eller kvalitetsansvarlig.

  • Oppdragskontroll. Hvilke oppdrag som skal ha oppdragskontroll og hvordan dette skal gjennomføres.

  • Oppdragsdokumentasjon. Det må fastsettes retningslinjer og rutiner for å sikre oppdragsdokumentasjon i samsvar med de kravene som gjelder for dette.

• Uavhengighet. Foretaket må ha retningslinjer og rutiner som sikrer at forhold som kan true uavhengigheten, blir håndtert forsvarlig. Rutinene må gi rimelig sikkerhet for at slike forhold blir fanget opp og vurdert, inkludert brudd på uavhengighetsreglene.

• Nødvendig kompetanse og erfaring hos oppdragsansvarlige, medarbeidere og andre som deltar i utførelsen av revisjonsoppdrag og oppdrag om revisorbekreftelser. Foretakene må ha en opplæringsplan for kompetanseutvikling av partnere og medarbeidere.

• Tilstrekkelig kapasitet. Revisjonsforetakene må sikre at de har systemer, rutiner og tilgang på ressurser som gir kontinuerlig og rettidig utførelse av revisjonsoppdrag.

• Håndtering av alvorlige hendelser/avvik. Foretakets rutiner skal sikre at hendelser som har eller kan få alvorlige konsekvenser for revisjonsoppdrag håndteres og at dette blir dokumentert.

• Utkontraktering. Rutinene må sikre at utkontraktering av funksjoner ikke svekker kvalitetsstyringen eller muligheten til å føre tilsyn med virksomheten.

• Lønn og overskuddsdeling. Revisjonsselskaper skal ha retningslinjer for fastsettelse av lønn, annen godtgjørelse og overskuddsdeling som er tilstrekkelige til å sikre kvalitet ved utførelsen av revisjonsoppdrag.

Kvalitetsstyringen må omfatte et system for å sikre kvaliteten på lovfestet revisjon og oppdrag om revisorbekreftelser. Revisjonsforetakets revisjonsverktøy vil være det sentrale i et slikt system. Revisjonsverktøyet må inneholde en metodikk som er egnet til å ivareta alle elementene i en revisjon og oppdrag om revisorbekreftelser på en forsvarlig måte. Metodikken må kunne tilpasses endrede behov, spesielt knyttet til håndtering av svakheter som avdekkes i utførelsen av oppdrag. Systemet og endringer som gjøres i systemet må dokumenteres. Foretakets retningslinjer og rutiner for oppdragsutførelsen skal inkluderes i systemet.

Styret, daglig leder og kvalitetsansvarlig

Ansvaret for kvalitetsstyringen i et revisjonsselskap ligger hos styret og daglig leder. Partnerfellesskapet kan ha en rolle i tråd med måten dette er organisert mellom partnerne, men dette kan ikke overstyre eller komme til erstatning for at det reelle ansvaret og beslutningsmyndigheten skal følge selskapets organer.

Revisjonsselskapene skal utpeke en kvalitetsansvarlig. Dette skal være en statsautorisert revisor. Kvalitetsansvarlig skal ha et operativt ansvar for systemet som skal sikre kvalitet i oppdragsutførelsen. Ivaretakelsen av et slikt ansvar forutsetter at den kvalitetsansvarlige har en sentral posisjon i ledelsen hos revisjonsselskapet. For mange vil det være mest hensiktsmessig at ansvaret legges til daglig leder. Denne funksjonen kan også samordnes med funksjonen som hvitvaskingsansvarlig etter hvitvaskingsloven.

Informasjon til oppdragsansvarlige og medarbeidere

Revisjonsforetakene må sikre at de oppdragsansvarlige og medarbeiderne er kjent med og kan bruke foretakets retningslinjer, rutiner og systemer for oppdragskvalitet.

Registrering av overtredelser og klager

Det innføres et eget lovkrav om registrering av overtredelser av bestemmelser i revisorloven eller revisjonsforordningen, og de tiltakene som er gjennomført i den forbindelse. Registreringsplikten gjelder overtredelser av en viss betydning. Det er ikke nødvendig å registrere enhver mindre overtredelse. Foretakene skal også registrere skriftlige klager på utførelsen av revisjonsoppdrag.

Dette er en form for avviks- eller hendelsesrapportering som vi blant annet kjenner fra transport- og oljebransjen. Registreringen skal bidra til systematisk oppfølging og forbedring for å hindre at samme feil gjentar seg.

Overvåking av kvalitetsstyringen

Revisjonsforetak skal se til at de systemene, rutinene og retningslinjene som er etablert, virker etter hensikten og gjennomføre tiltak for å utbedre eventuelle svakheter. Dette er helt parallelt til overvåkingen etter risikostyringsforskriften som er omtalt ovenfor.

Revisjonsforetaket må etablere overvåkingshandlinger som er tilpasset virksomheten. Dette er oppfølgingspunkter som skal kunne fange opp svakheter i kvalitetsstyringen og sørge for nødvendige forbedringer. Foretaket skal jevnlig revurdere hvilke handlinger som skal gjennomføres og hvor ofte. Nødvendige oppfølgingspunkter/overvåkingshandlinger, inkluderer:

• Syklisk inspeksjon av oppdrag for hver av de oppdragsansvarlige i foretaket i tråd med ISQC 1 og ISQM 1

• Oppfølging av endringer i revisjonsverktøyet og foretakets retningslinjer og rutiner. Slike endringer kan også være et nødvendig resultat av at svakheter er avdekket

• Oppfølging av resultatet fra ekstern kvalitetskontroll og tilsyn

• Oppfølging av klager, beskyldninger og forhold som er tatt opp av foretakets revisor