Hvorfor årlig evaluering

Det fremgår av revisorloven og ISQM 1 at det er revisjonsforetakets plikt å utforme og gjennomføre et system for kvalitetsstyring som gir betryggende sikkerhet for at foretaket oppfyller sine kvalitetsmål. I dette ligger også at foretaket må sikre at det etableres tilstrekkelig interne kontroller som håndterer de anslåtte risikoene. Videre skal systemet evalueres årlig. Årlig evaluering har både til formål å trekke en konklusjon om periodens kvalitetsstyringssystem, og danne grunnlaget for nødvendige endringer i kvalitetsstyringssystemet. Årlig evaluering gjennomføres uavhengig av om overvåkingsaktivitetene har identifisert svakheter eller ikke.

Justering og oppdatering av kvalitetsstyringssystemet bør gjøres løpende slik at det sikres at svakheter/mangler blir rettet, og ikke avventes til tidspunktet for årlig evaluering. Foretakets rutine bør følgelig være at justeringer og oppdatering foretas løpende når svakheter er identifisert, bekymringsmeldinger mottatt internt eller eksternt, resultatene fra interne og eksterne kvalitetskontroller er analysert, med mer. Gjennomgang av avdekkede svakheter og gjennomførte endringer er en naturlig del av grunnlaget til årlig evaluering for å sikre at alle forhold blir evaluert, og gjennomførte endringer er kjent.

Tidspunkt for årlig evaluering

Det antas at de fleste revisjonsforetak har en definert årsperiode som enten følger revisjonssyklusen, som for majoriteten er 1. juli til 30. juni eller kalenderåret. Uavhengig av periode foretaket legger til grunn, er det fornuftig for å sikre en god prosess ved å gjennomføre evalueringene, og beslutte oppdateringer i god tid før periodestart. Dette vil kunne bidra til at foretaket har god tid til å underlegge oppdateringer av prosesser, rutiner og maler en kvalitetsmessig god prosess, omdisponering av ressurser kan gjennomføres før periodestart, opplæring og kommunikasjon kan gis i forkant, tidsriktig planlegging av overvåkingsprosessen som dermed kan begynne tidsriktig, med mer.

Grunnlag og gjennomføring av årlig evaluering

Den årlige evalueringen bør ha fokus på nødvendige endringer og oppdateringer av kvalitetsstyringssystemet. Det er vesentlig å være konstruktivt kritisk til det eksisterende kvalitetsstyringssystemet, slik at den årlige evalueringen blir en reell evaluering, og ikke kun en aksept og videreføring av fjorårets system.

Avhengig av størrelsen og kompleksiteten i revisjonsforetaket vil det variere hvor mange som er involvert i evalueringen av kvalitetsstyringssystemet. For et enkelt til middels stort og komplekst revisjonsforetak vil det kunne være tilstrekkelig at det gjennomføres ett eller flere evalueringsmøter. Deltagere i møtene vil naturlig være ledelsen og ansvarlig for kvalitetsstyringssystemet, overvåkings- og utbedringsprosessen, og andre som innehar sentrale interne roller som for eksempel uavhengighetsansvarlig og ansvarlig(-e) for overvåkings- og utbedringsprosessen. Formålet med møtene er å analysere, vurdere og diskutere tilgjengelig informasjon for å kunne ta beslutninger om nødvendige oppdateringer og endringer av kvalitetsstyringssystemet. Dette vil også kunne inkludere endringer i roller og ansvar.

Vurderingene bør ta utgangspunkt i informasjon som danner grunnlaget for kvalitetsmål, risikovurderinger og tiltak i kvalitetsstyringssystemet. Relevant informasjon vil kunne være:

• Resultatene fra overvåkings- og utbedringsprosessene fra forrige periode

• Resultatene fra oppdragskontroller

• Resultatene fra sykliske inspeksjoner

• Resultatene fra eksterne inspeksjoner/kontroller

• Offentlig tilgjengelige rapporter fra aktuelle tilsynsmyndigheter

• Innmeldte saker fra kunder og eksterne

• Innmeldte forhold til foretakets «hot line»

• Årlig rapport (utkast eller endelig) for kvalitetsstyringssystemet inneværende/siste periode

• Årlig rapport iht. internkontrollforskriften, sist tilgjengelige

• Foretakets strategiske og driftsmessige beslutninger, samt foretakets kompleksitet og driftsmessige særtrekk, herunder oversikt/analyse over vesentlige endringer fra forrige periode

• Oversikt kundeportefølje, herunder oversikt/analyse over endringer fra forrige periode

• Oversikt tjenestespekter med mer, herunder oversikt/analyse over endringer fra forrige periode

• Oversikt over ressurser (alle typer ressurser), herunder oversikt/analyse over endringer fra forrige periode

• Oversikt over prosesser/rutiner/retninger, herunder oversikt over vesentlige endringer fra forrige periode

• Oversikt over endringer i ledelsen, herunder om det har gitt vesentlige endringer i ledelsens særtrekk og lederstil

• Oversikt over endringer i lover, forskrifter og profesjonsstandardene

• Oversikt over endringer i trender, konkurransesituasjonen med mer

Evalueringene og konklusjonene fra møtene/prosessene skal dokumenteres og oppbevares, jf. revisorloven § 7-1 annet ledd siste setning.

Kvalitetsstyringssystemet oppdateres basert på konklusjonene fra evalueringen. Dette vil kunne omfatte oppdatering av kvalitetsmål, risikoer og tiltak. Inkludert i dette ligger også, alt etter behov som følge av oppdateringene, kommunikasjon av roller og forventninger, oppdatering av maler og eksempler som foretaket benyttet, fastsettelse av opplæringsplan med mer. Ansvaret for tidsriktig oppdatering av kvalitetsstyringssystemet hører naturlig hjemme hos kvalitetsstyringsansvarlig, som etter revisorloven skal være en statsautorisert revisor.

Evalueringen bør, som sagt, også dekke roller og personer involvert i kvalitetsstyringssystemet med fokus på om personene som er involvert, har tilstrekkelig med tid og besitter den nødvendige kompetanse. Det kan også for noen roller være nødvendig å vurdere om personene har tilstrekkelig myndighet, eller om det kan foreligge interessekonflikter, herunder om foretaket har for uklare rollebeskrivelser, eller et fåtall personer bekler mange roller. Ved uklare rollebeskrivelser kan ansvar bli utvannet eller oppgaver blir ikke utført. Ved at et fåtall personer bekler mange roller, kan det være risiko for ulike interessekonflikter både mht. prioriteringer og at man innehar roller som kommer i konflikt i noen situasjoner.

Som en del av evalueringsprosessen kan foretaket med fordel også sette en årsplan, og kalle inn aktuelle personer til møter. På den måten vil foretaket kunne oppnå at nødvendig fokus og tilgjengelighet er sikret allerede tidlig i prosessen. Ad hoc- møter/vurderinger vil kunne være nødvendig hvis vesentlige hendelser dukker opp. Tidspunktet for årlig evaluering og styremøter for behandling av årlig vurdering etter revisorloven og årlig rapport etter internkontrollforskriften kan med fordel være en del av planen og møtene som fastsettes.

Overvåkingsprosessen

Overvåkingsprosessen er en kritisk prosess for å sikre at kvalitetsstyringssystemet fungerer etter hensikten ved at svakheter identifiseres rettidig, og håndteres som del av den påfølgende utbedringsprosessen. Overvåkingsprosessen evalueres og oppdateres som en del av evalueringen av kvalitetsstyringssystemet for å sikre at oppdateringer i kvalitetsstyringssystemet blir hensyntatt, og at prosessen i seg selv fungerer optimalt og hensiktsmessig.

Fjorårets overvåkingsprosess er antageligvis et godt grunnlag for en vurdering av hva som fungerte bra, og hva som fungerte mindre bra. Konklusjonene fra denne vurderingen og oppdateringene av kvalitetsstyringssystemet er to av elementene for endringer til årets prosess. Det tredje elementet er å ta stilling til hvilken teststrategi foretaket vil følge; om alle tiltak/kontroller skal testes, om det skal være en ren risikotilnærming, eller om den ev. skal suppleres med noen tilfeldige tester. Det kan også være tiltak som vurderes så kritiske at de bør testes hvert år. Om ikke alle tiltak testes, bør det legges en plan som sikrer at alle tiltak testes innenfor en bestemt periode, f.eks. innenfor tre år.

En systematisk oversikt over alle tiltak er kritisk for å kunne ha løpende kontroll over overvåkingsprosessen. Oversikten er nødvendig i forhold til fullstendighet, frekvensen til aktivitetene (daglige, ukentlige, månedlige og årlige), om de er nye, teststrategi, utvalgsstørrelser, status på overvåkingsaktivitetene og resultat av testingen med mer, alt etter behov, størrelse og kompleksitet.

Noen eksempler på mulige aktiviteter og tilhørende testing:

1. Retningslinjer for aksept- og fortsettelsesvurderingEtt av tiltakene i foretakets kvalitetsstyringssystem er at retningslinjene for aksept- og fortsettelsesvurdering skal gjennomgås og godkjennes av foretakets ledergruppe innen utgangen av mai. Det fremgår videre at dette også gjelder de tilhørende maldokumentene, og at det er daglig leder som har ansvaret for å forberede grunnlaget til ledergruppen. Overvåkingsaktiviteter vil kunne være å:

   • gjennomgå agenda og materiale som dokumenterer daglig leders forberedelser til ledergruppemøtet,

   • gjennomgå referat fra møtet eller annet som dokumenterer ledergruppens behandling og beslutning,

   • gjennomgå foretakets kommunikasjon og tilgjengeliggjøring av endringene som er gjort i retningslinjer og maldokumenter og

   • sjekke at forrige versjon av rutiner og maldokumenter ikke lenger er tilgjengelig.

2. Syklisk inspeksjonRevisjonsforetak som gjennomfører sykliske inspeksjoner av de oppdragsansvarlige revisorene i foretaket, må oppnevne en eier av prosessen «syklisk inspeksjon», og etablere en dokumentert prosess som omhandler syklisk inspeksjon som eier av prosessen kontrollerer og godkjenner. Denne prosessen bør blant annet dekke følgende:

   • Hvem/hvilket organ i foretaket har myndighet til å fastsette retningslinjene for syklisk inspeksjon

   • Når skal syklisk inspeksjon foretas

   • Hvem skal være gjenstand for syklisk inspeksjon

   • Utvalgskriterier av oppdrag til syklisk inspeksjon

   • Utnevne hvem som er prosess-/kontrolleier, og som har ansvaret for at syklisk inspeksjon gjennomføres iht. godkjent prosess

   • Hvordan skal kontrollører velges, hvilke kompetanser skal de ha med mer, alternativt hvem skal det inngås avtale med

   • Hva som skal gjennomgås, herunder om spesifikke sjekklister skal brukes, og i så fall hvem som oppdaterer og godkjenner disse

   • Hvem og når skal årets prosess være godkjent

   Den/de som godkjenner prosessen, vil være ansvarlige for at den dokumenterte prosessen inneholder det den skal, blant annet punktene angitt over. Overvåkingen vil blant annet være å teste at:

   • prosessen er etablert og godkjent,

   • det er utpekt en kompetent kontroll-/prosesseier,

   • sjekklister er evaluert og godkjent iht. prosessen når aktuelt,

   • inspektørene innehar kvalifikasjonene og er valgt iht. godkjent prosess og

   • syklisk inspeksjon er gjennomført iht. utvalgskriteriene både mht. oppdragsansvarlig og oppdrag

   • inspeksjonen er gjennomført tidsriktig

3. Revisjonsdokumentasjon låses for endring

   Revisjonsforetak følger enten lovens 60 dagers frist for arkivering av revisjonsdokumentasjon eller har kortere interne frister. I alle tilfeller må foretaket ha etablert aktiviteter for å påse at revisjonsdokumentasjonen ikke endres etter arkivering, som så kan overvåkes ved å teste at aktivitetene er gjennomført som besluttet. Sekvensen på aktiviteten må tilpasses foretakets størrelse, jo flere oppdrag, jo oftere bør aktiviteten gjennomføres.

I de antageligvis få tilfellene dokumentasjonen er endret, må testingen utvides til også å omfatte at endringene er foretatt iht. foretakets prosesser mht. godkjennelse av endringene, autorisasjon for å åpne filen, at dokumentasjonen er iht. prosessene og annet. Sekvensene på overvåking vil avhenge av hvor ofte aktiviteten gjennomføres.

Ovennevnte er kun tre eksempler på aktiviteter som foretaket må ha etablert, og som vil være gjenstand for overvåking i form av testing. Oppdatering av retningslinjer for aksept- og fortsettelsesvurdering og syklisk inspeksjon foregår antageligvis de fleste steder en gang i året, noe som medfører at testing/overvåking blir foretatt en gang i året. Oppfølging av at revisjonsdokumentasjon ikke endres, kan det være hensiktsmessig å foreta flere ganger i året hvis oppdragsmengden er stor. Overvåkingsaktiviteter tilpasses da dette, f.eks. med testing av dokumentasjonen for to eller tre tilfeldige måneder hvis kontrollen er månedlig.

Om foretaket vurderer én eller flere av disse eksemplene som kritiske aktiviteter selv om risikoen for funn er lav, vil det være en skjønnsmessig vurdering fra ledelsen om aktivitetene skal testes også når foretaket har valgt en risikotilnærming.

Avsluttende oppgaver

Oppdatert kvalitetsstyringssystem legges frem for styret til behandling og godkjenning. Styret og daglig leder gjennomfører periodisk evaluering av arbeidet til den kvalitetsansvarlige.

Et par påminnelser avslutningsvis: Revisorloven stiller krav om at den ansvarlige for kvalitetsstyringssystemet er en statsautorisert revisor. Systemet, rutinene og retningslinjene må være dokumentert, inkludert arbeidet fra overvåkings- og utbedringsprosessen.

Om det er behov for mer dybdekunnskap om enkeltelementer eller hele kvalitetsstyringssystemet, er et halvdagskurs tilgjengelig som eKurs «Kvalitetsstyring i et revisjonsforetak»: https://www.revisorforeningen.no/kurs/kursliste/kvalitetsstyring-i-et-revisjonsforetak/.