Revisor kan få mer ressurser

I Finanstilsynets årsrapport fra 2019 kunne vi lese at:

«Det ble avdekket brudd på god revisjonsskikk i samtlige tilsynssaker. De alvorligste bruddene var at revisor ikke hadde innhentet tilstrekkelige og hensiktsmessige revisjonsbevis som grunnlag for avgitt revisjonsberetning. Dette gjaldt også revisjon av foretak av allmenn interesse.»

Jeg bet meg merke i denne setningen fordi det indikerer at revisor tidvis mangler ressurser. Som tidligere revisor vet jeg at det er mye å gjøre i årsoppgjøret, tiden er dyrebar. Mer ressurser kan komme i form av ny teknologi, kompetanse eller flere revisorer.

Trippel bokføring er en ny teknologi som ennå ikke er tatt i bruk i regnskaps- og revisjonsbransjen. Det mest kjente eksempelet på praktisk bruk av trippel bokføring i stor skala er bitcoin-blokkjeden. Blokkjedeteknologi er frem til nå mest kjent for å være et spekulasjonsobjekt, men hvis vi ser litt forbi alle overskriftene, er det også et system som har vist en spesiell evne til sporbarhet og sikkerhet i over 15 år.

Hva om vi kan benytte sikkerheten og sporbarheten i blokkjedeteknologien til å skape ny teknologi for regnskaps- og revisjonsbransjen? Vi utforsker dette spørsmålet i denne artikkelen.

Nei, trippel bokføring vil ikke erstatte revisor. Men det kan automatisere mange av de rutinepregede og tidkrevende oppgavene. Revisjonsbevis fra tredjeparter kan automatisk samles inn med digitale signaturer, og i svært store mengder. Det kan heve revisjonskvaliteten og redusere kostnadene.

Trippel bokføring legger fundamentet for sømløse digitale prosesser for avstemming innen regnskap og revisjon, i stedet for å tvinge manuelle prosesser inn i digitalt format. Trippel bokføring erstatter ikke dobbel bokføring og dagens regnskapssystem – det er en utvidelse. For eksempel som en tilleggsmodul på samme måte som en bankintegrasjon i et regnskapssystem.

Kontinuerlig revisjon kan også bli mulig med trippel bokføring. Det kan avlaste og utjevne arbeidsmengden fra våren til resten av året, og gi bedre oversikt under planleggingen av revisjonen og årsoppgjøret. Det kan føre til mindre overtid og bedre uthvilte revisorer. Det kan igjen føre til at det blir enklere å holde på ansatte.

Innovasjon skjer ofte i krysningen mellom flere fag. En multidisiplinær tilnærming gir innsikt i både problemet (ressurskrevende prosesser for innsamling av tilstrekkelig og hensiktsmessig revisjonsbevis) og løsningen (hva er teknisk mulig og regulatorisk lovlig). Denne artikkelen gir derfor først en enkel konseptuell innsikt i blokkjedeteknologien. Deretter forklares konseptet trippel bokføring og hvordan det kan implementeres i praksis. Til slutt ser vi på de regulatoriske avklaringene vi fikk da vi deltok med vår proof of concept i Finanstilsynets regulatoriske sandkasse for fintech i 2021. «I den regulatoriske sandkassen får virksomheter mulighet til å lansere nye, innovative produkter, teknologier og tjenester under oppfølging av Finanstilsynet, og der virksomheten blant annet får avklart hvilke tillatelser som kreves».^{*https://www.finanstilsynet.no/tema/fintech/finanstilsynets-regulatoriske-sandkasse/#Hvaerenregulatorisksandkasse?}

Men aller først tar vi en kort reise gjennom regnskapsteknologiens historie, fra Single Entry Accounting, via Double Entry Accounting til Triple Entry Accounting.

Historisk overblikk fra Single Entry Accounting til Triple Entry Accounting

Hva er en blokkjede?

Ordet ‘blokkjede’ skaper egentlig mer forvirring enn forståelse. «Time chain» er et bedre navn. En blokkjede er en offentlig åpen datastruktur (tenk på det som et register) som er svært sikker mot manipulasjon, og designet for å være enkelt å verifisere og revidere.

Denne typen ‘register’ har hatt en økende bruk de siste årene i form av å logge transaksjoner av digitale penger som bitcoin på sikkert vis. En blokkjede frembringer et tidsmerke (time-stamp) på nye loggføringer med jevne mellomrom, noe som er en sentral del av sikkerheten til systemet og et kjennetegn ved blokkjedeteknologi helt tilbake til 1991.

Viktigst av alt benytter blokkjedeteknologi en særegen sikkerhetsmekanisme som gjør det svært vanskelig å manipulere eller endre på digitale filer. Mekanismen innebærer å gjøre en vidstrakt publisering av verifiserbare ‘fingeravtrykk’ av digitale filer. På denne måten er det kun tillatt å legge til data, ikke slette eller endre.

Tidsmerket beviser at informasjonen eksisterte på publiseringstidspunktet. Hvert tidsmerke har en kobling til det forrige tidsmerket, og dette utgjør en kjede av tidsmerker. Time chain hadde derfor vært et mer treffende navn. Navnet blokkjede stammer fra at det er en blokk med data som tidsmerkes om gangen, med jevne mellomrom. Tenk på det som at en ny seksjon med informasjon legges til i registeret (blokkjeden). Hver ny blokk inneholder et fingeravtrykk av den foregående blokken, dette danner en sikker kjede der manipulasjon enkelt kan oppdages^{*Bitcoin: A Peer-to-Peer Electronic Cash System https://papers.ssrn.com/sol3/papers.cfm?abstract_id=3440802} . En nærliggende analogi er å tenke på en ny blokk som en «ny side i hovedboken», der utgående beløp på siste linje må samsvare med inngående beløp på den første linjen i neste side.

I 1991 publiserte Haber og Stornetta metodikken for å lage den første blokkjeden ved hjelp av aviser^{*S. Haber, W.S. Stornetta, ”How to time-stamp a digital document,” In Journal of Cryptology, vol 3, no 2, pages 99-111, 1991. https://link.springer.com/content/pdf/10.1007/bf00196791.pdf} . Aviser publiseres vidstrakt og er naturlig datert (tidsmerket). En serie med påfølgende avisutgaver danner en kronologisk kjede. De beskrev selv dette som en «chain of time-stamps». Hensikten var å finne en metode for å forsikre seg om at digitale filer ikke hadde blitt manipulert eller endret. Metoden besto kort forklart av to steg;

1. Først ble de utvalgte digitale filene, f.eks. dokumenter og bilder, redusert til et ‘fingeravtrykk’. Dette fingeravtrykket besto av 40 symboler, og kalles en ‘hash’. En hash-funksjon tar store filer som input og gir små unike fingeravtrykk som output. Hvis noen har endret ett eneste symbol i filene, vil outputen gi et helt annet fingeravtrykk.

2. Deretter ble fingeravtrykket (hash) publisert i ukens «Lost and found»-seksjon i papiravisen (se https://www.vice.com/en/article/what-was-the-first-blockchain/ for bilde). Papiravisen blir publisert til et bredt publikum, inkludert arkiver og biblioteker. Konfidensialiteten til alle originalfiler er ivaretatt selv om fingeravtrykket publiseres, fordi hash-funksjonen er vanskelig å kjøre i revers.

En endring eller manipulering av de originale digitale filene vil medføre at hash-funksjonen gir et annet fingeravtrykk, som ikke matcher de originalt publiserte fingeravtrykkene. Gitt at endring og sletting ikke er tillatt i blokkjedesystemer, er det en indikasjon på misligheter.

Det vil være tilnærmet umulig å prøve å ‘hacke’ eller manipulere disse 40-symbol korte fingeravtrykkene i alle avisene som er distribuert og bevitnet av mange. Blokkjede benytter seg av den samme mekanismen, bare digitalt over internettet i stedet for gjennom aviser. Dermed kan data fra blokkjede ha svært god sikkerhet i form av integritet, autentisitet og tilgjengelighet.

Det er ikke fingeravtrykkene (hash-ene) i seg selv som gjør systemet sikkert. Det er den vidstrakte publiseringen og bevitnelsen av fingeravtrykkene som sørger for sikkerheten. Hvis fingeravtrykkene hadde blitt holdt skjult, ville ikke denne sikkerhetsmekanismen fungert.

Oppsummert er blokkjede et globalt tilgjengelig register som logger informasjon med tidsmerker som publiseres til et stort publikum. Registeret er svært sikkert mot manipulasjon, og designet for å være enkelt å verifisere og revidere. Disse egenskapene kan vi dra nytte av når vi utvikler ny teknologi for revisjon.

Hva er trippel bokføring?

Trippel bokføring kjennetegnes ved at det finnes en felles delt hovedbok et sted, for eksempel på en blokkjede (åpent register). Her kan det posteres en tredje regnskapspostering med digital signatur, i tillegg til de to debet- og kreditposteringene i vanlige regnskapssystemer. Derav navnet Trippel bokføring. Vi kaller denne tredje posteringen for et ‘Finansielt Fingeravtrykk’. Siden registeret er åpent, vil de finansielle fingeravtrykkene fortløpende bli tilgjengelig for revisor. Revisor kan bruke de finansielle fingeravtrykkene i blokkjeden (registeret) som en kilde til å verifisere posteringene i de tradisjonelle regnskapssystemene.

Det blir spennende når to eller flere handelspartnere bruker trippel bokføring, fordi de finansielle fingeravtrykkene fra to handelspartneres hovedbøker kan avstemmes mot hverandre og brukes som revisjonsbevis. Her ligger potensialet til å samle inn svært store mengder revisjonsbevis fra eksterne kilder automatisk gjennom regnskapsåret. Alle hovedbokposteringer som har en motpart, vil kunne avstemmes med trippel bokføring, for eksempel fordringer, leverandørgjeld, lån og bank.

Vi har laget en prototype for trippel bokføring. I skjermbilde 1 på venstre del vises deler av hovedbokposteringer hentet fra et regnskapssystems API-integrasjon. På høyre del vises finansielle fingeravtrykk som er generert av vår prototype. Grønne linjer indikerer en match, og kan brukes som revisjonsbevis. Revisjonsbeviset kommer fra en ekstern kilde, og viser at handelspartner har bokført det samme. Ved å klikke på hyperlenken kan man se de finansielle fingeravtrykkene direkte i blokkjeden (skjermbilde 2 og 3). Dette kan skaleres opp til å matche milliarder av posteringer.

Ian Grigg konseptualiserte Triple Entry Accounting for første gang i sin artikkel fra 2005. Jeg kom over Ian Griggs artikkel om Triple Entry Accounting da jeg jobbet som revisor i 2018. Selv om han er en pioner innen feltet, har han også uttrykt at utfordringen med trippel bokføring er avhengigheten av nettverkseffektene. Et kjent eksempel på utfordringen med nettverkseffekter er den første faksmaskinen eller sosiale medier. Hvis det ikke er noen andre på nettverket å kommunisere med, er det ingen nytteverdi.

I 2023 arrangerte Grigg den første Triple Entry Accounting-konferansen (neste konferanse er 25.04. -26.04.2025, interesserte kan kontakte undertegnede). I forkant av konferansen ble jeg invitert til å skrive en artikkel. Vi presenterte en løsning som også løste utfordringene med nettverkseffekten i artikkelen «Implementing Triple Entry Accounting as an Audit Tool—An Extension to Modern Accounting Systems» som vi fikk publisert i Journal of Risk and Financial Management^{* Sunde, T.V.; Wright, C.S. Implementing Triple Entry Accounting as an Audit Tool—An Extension to Modern Accounting Systems. J. Risk Financial Manag. 2023, 16, 478. https://doi.org/10.3390/jrfm16110478} .

Hvordan kan trippel bokføring implementeres i praksis?

Det er avgjørende at trippel bokføring skjer automatisk i bakgrunnen og ikke påvirker eksisterende regnskapsprosesser. Det betyr at det holder at daglig leder eller økonomiansvarlig godkjenner en en-gangs tilkobling til en utvidelse i regnskapsprogrammet. Når revisor senere skal revidere, kan det gis lesetilgang til et dashboard som viser hvor stor del av hovedbokposteringene som matcher mot en ekstern part, for eksempel en leverandør eller kunde, som også har signerte posteringer i blokkjeden.

Hvis det er lav nettverkseffekt, kan revisor anmode andre tredjeparter om å integrere en en-gangsutvidelse i sitt regnskapsprogram som kobler den mot blokkjeden. I starten kan det være mest aktuelt overfor de største leverandørene og kundene. Dette kan spare tid for begge sider i den pågående revisjonen og fremtidige revisjoner.

Revisor kan også foreslå bruk av trippel bokføring overfor sin egen klient, uten at det vil påvirke revisors uavhengighet. Det er ikke fare for at revisor reviderer seg selv, fordi hovedbokposteringen må ferdigstilles før den triple bokføringen kan begynne. Vi kommer tilbake til regulatoriske avklaringer rundt rollen til teknologitilbyderen av trippel bokføring lenger ned i artikkelen.

Løsningen på nettverkseffekten er tredelt.

For det første må trippel bokføring gi nytteverdi før nettverkseffekten slår inn. Ved å integrere regnskapet mot blokkjeden gjør trippel bokføring det mulig å bevise at alle tall faktisk tilhører det offisielle regnskapet. Med andre ord, hvis regnskapet dokumenteres med trippel bokføring, vil det ikke være mulig å vise frem alternative regnskaper uten å bli oppdaget. Å presentere alternative regnskaper er den eldste formen for svindel, et eksempel på dette er Bernie Madoff-investeringsskandalen.

For det andre må IT-arkitekturen utformes slik at selskaper kan onboardes uavhengig av hverandre og på forskjellig tidspunkt, men likevel få til å matche tallene sine fra foregående regnskapsår.

For det tredje er det regulatorisk avklart at revisor kan foreslå bruk av trippel bokføring overfor egne klienter og overfor tredjeparter som sitter på revisjonsbevis som revisor må innhente.

Selv en liten nettverkseffekt der kun de største handelspartnerne har integrert i Trippel bokføring, vil gi nytte for revisor i starten.

Selve implementeringen er like enkel som å sette opp en bankintegrasjon i regnskapssystemet. Løsningen genererer finansielle fingeravtrykk og integrerer dem med blokkjeden automatisk i bakgrunnen. Tidligere års hovedbøker kan integreres mot blokkjeden på onboardingstidspunktet, og fremtidige hovedbokposteringer vil integreres mot blokkjeden fortløpende. Dette legger til rette for en smidigere revisjon i etterfølgende år.

Bruk av teknologien i praksis vil ikke kreve noe av regnskapsfører eller økonomisjefer som arbeider med den daglige bokføringen. Revisor som skal bruke trippel bokføring til å innhente revisjonsbevis, må ha innsikt i verktøyet og blokkjedeteknologien som ligger til grunn, for å kunne vurdere bevisenes kvalitet.

Finanstilsynets regulatoriske sandkasse for fintech 2021 – regulatoriske avklaringer om bruk av blokkjede til å lagre og tilgjengeliggjøre revisjonsbevis

Hva om vi kan benytte sikkerheten og sporbarheten i blokkjedeteknologien til å skape ny teknologi for regnskaps- og revisjonsbransjen?

Finanstilsynet mente spørsmålet var interessant, og vi fikk delta i sandkassen med vår proof of concept. Vi møtte en nytenkende tilsynsmyndighet som så potensialet i trippel bokføring med bruk av blokkjede til å lagre og tilgjengeliggjøre revisjonsbevis i revisjonsutførelsen. Finanstilsynet fikk økt kunnskap om bruk av blokkjede, og kunne dermed gi regulatoriske avklaringer knyttet til bruk av teknologien.

Revisorer og regnskapsførere er underlagt tilsyn fra Finanstilsynet. Avklaringene er derfor viktige for nytenkende revisorer og regnskapsførere som ønsker å ta i bruk denne nye teknologien.

I det følgende kommer noen oppsummerende utdrag fra sluttrapporten. Det anbefales også å lese sluttrapporten i sin helhet, som ligger på Finanstilsynets hjemmesider^{* https://www.finanstilsynet.no/nyhetsarkiv/nyheter/2022/sluttrapport-fra-abendum-etter-deltakelse-i-finanstilsynets-regulatoriske-sandkasse/ *https://www.finanstilsynet.no/48f974/contentassets/49a4d8f284ad41bc8b3005db5bde1f57/sluttrapport-abendum.pdf} .

Revisor er egnet til å forstå blokkjede på et annet nivå enn andre yrkesgrupper

Til slutt vil jeg trekke frem at revisor har et svært godt utgangpunkt i form av utdanning og erfaring til å forstå blokkjedeteknologi anvendt i samfunnet. Dette er fordi en multidisiplinær tilnærming er nødvendig for å forstå blokkjede-systemets potensiale og begrensning. Revisor har kunnskap om både juss, økonomi, revisjon, regnskap og IT-systemer, det er en kompetanse og erfaring som tar tid og modning å tilegne seg. Med litt ekstra kunnskap om blokkjede-konsepter blir revisor i stand til å forstå blokkjede-system på et helt annet nivå enn noen som kun kan det tekniske aspektet.