Hver fjerde er usikker på rapportering av betydelige svakheter

Et av de mest alvorlige funnene i undersøkelsen er at hvert fjerde revisjonsutvalgsmedlem ikke tror at betydelige svakheter i selskapets internkontroll rapporteres løpende til dem. Totalt er hele åtte av ti selskaper i noen grad usikre om betydelige svakheter i selskapets internkontroll rapporteres til dem. Vår erfaring er at hvis disse rapporteringsrutinene hadde vært på plass, ville vi sannsynligvis sluppet flere av selskapsskandalene vi har sett de siste årene. Vi mener nesten samtlige styrer bør ta en mer aktiv rolle i selve utformingen av systemet for risikostyring og internkontroll, gjennom arbeidet i revisjonsutvalgene og være tydeligere i sine forventninger til ledelsen i hva de forventer levert. En rekke av utvalgene bør styrke integrering av internkontroll og risikostyring med ledelsesoppfølgning og toppledernes målekort.

Undersøkelsen viser at en rekke av utvalgene i denne sammenheng bør styrke integrering av internkontroll og risikostyring, med ledelsesoppfølgning og toppledernes målekort (se figur). Undersøkelsen viste at de som i stor grad integrerte internkontroll og risikostyring med ledelsesoppfølgning ikke har usikkerhet tilknyttet om vesentlige svakheter rapporteres og rapporterer generelt langt bedre resultater i sin helhet.

Organisering og møtehyppighet

I 15 prosent av styrene er alle medlemmene med i revisjonsutvalget. Både i forhold til kravet om uavhengighet som NUES stiller, tidsbruk og for å sikre at revisjonsutvalgets oppgaver får tilstrekkelig oppmerksomhet, er dette ut fra vår vurdering ikke beste praksis. 85 prosent av styrene har etablert et utvalg bestående av styremedlemmene. 30 prosent av utvalgene har i dag i beste fall en minimumsfrekvens på sine møter. Tre av ti utvalg møtes fire ganger eller sjeldnere i løpet av et år. I forhold til kvartalsrapportering er det avgjørende at utvalget møtes i forbindelse med disse. Utvalg som møtes mindre enn fire ganger i året, skårer også signifikant dårligere negativ effekt på alle sine arbeidsområder.

Minst 30 timer i året

Hvert tredje utvalgsmedlem jobber mellom 0 og 29 timer i året med utvalgsarbeid. Både i forhold til land, som Danmarks gjennomsnitt på 55 timer og Storbritannias på 98, og selskapenes vurdering av eget arbeid, er dette for lavt. I overkant av halvparten av medlemmene bruker mellom 30 og 49 timer på arbeidet, mens 15 prosent av medlemmene bruker fra 50 til 99 timer på utvalgsjobbing. Undersøkelsen viser at det er lite variasjon i kvaliteten revisjonsutvalget opplever levert og antall timer investert, når man passerer 30 timer i året pr. medlem. Den største kvalitetsforbedringen ved bruk av mer enn 50 timer i året, er relatert til lover og regnskapsrapporteringsprosess, som begge er meget sentrale elementer i utvalgets lovpålagte oppgaver.

Opptatt av regnskapsprinsipper

Effekten av etableringen av utvalgene på selskapets totale styring og ledelse spriker betydelig. Fra de som mener at den har hatt svært positiv effekt, 12 prosent, til dem som mener utvalget har svært liten effekt, 6 prosent. Snittet ligger på 4,5 på en skala fra 1 til 6. Revisjonsutvalgene er i stor grad opptatt av valg av anvendte regnskapsprinsipper for selskapene. 79 prosent av de spurte sier at deres utvalg i stor eller svært stor grad er opptatt av dette. Globalt har bare 21 prosent av revisjonsutvalgene en sentral rolle i å følge opp strategisk risiko. Vi antar at strategi er et kjerneområde. Derfor er ikke dette overlatt til revisjonsutvalget. Når det gjelder konkrete oppgaver, har utvalget mindre betydning. For eksempel på å øke tryggheten for riktigheten av regnskapet. Nær 90 prosent sier at de i noen eller større grad øker tryggheten, mens kun tre prosent mener at utvalget i svært stor grad gjør det. Det kan stilles spørsmål om i hvilken grad utvalget skal sikre data eller systemer og på hvilke områder de skal utøve sin kontrollvirksomhet.

Regnskapsrapporteringen er avklart

I stor eller svært stor grad oppfylles revisjonsutvalgets forventninger når det gjelder gjennomføringen av prosessen for regnskapsrapportering, over 90 prosent av utvalgsmedlemmene mener det. Alle utvalgsmedlemmene mener i stor eller svær stor grad at regnskapene som leveres er korrekte. Derfor kan vi konkludere med at det er på prosessen for regnskapsrapportering at de børsnoterte selskapenes revisjonsutvalg har kommet lengst.

En av fem er meget aktive

Kun hvert femte styre tar en aktiv rolle i risiko- og internkontroll-utformingen, seks av ti en delvis aktiv rolle, mens de siste to av ti er lite aktive. Denne vurderingen deles av finansdirektørene. Det som kjennetegner det aktive styret, er blant annet at den finansielle rapporteringen oppleves som helhetlig og strukturert for samtlige av disse styrene, der bare halvparten er fornøyd når de ikke har vært aktive.

Halvparten av styrene som tar en aktiv rolle i utformingen, mener at de avdekker effektiviseringsmuligheter gjennom risikostyringsoppfølgning. Denne gruppen svarer også at utvalgene deres setter av tilstrekkelig med ressurser til oppfølgning av risiko og internkontroll i virksomheten.

Sentralisering av risiko- og internkontroll-rapportering har stor effekt på kvaliteten

Kvaliteten på sentrale ansvarsområder for revisjonsutvalget er vesentlig bedre med en sentralisert funksjon for risikostyring og internkontroll. 65 prosent har sentralisert funksjon for risiko og internkontroll. Styret og revisjonsutvalg engasjerer seg mer i risikostyring når den er sentralisert. Beste praksis er at linjen er ansvarlig, men at det finnes en sentralisert funksjon som stiller med metoder og verktøy, driver støtte og oppfølging og sikrer en god ledelses- og styrerapportering.

Styret bør i denne sammenheng stille krav til helhetlig tenkning og styring på dette området, for å sikre at eget ansvar ivaretas på en helhetlig og betryggende måte. Basert på den responsen vi har mottatt i undersøkelsen, konkluderer vi med at helhetlig og sentralisert arbeid er en forutsetning for godt utvalgsarbeid.

Usikre om lover og regler er godt nok kontrollert

Det er større sprik nå det gjelderhvorvidt det settes av nok ressurser til å sikre god internkontroll i forhold til nye lover og regler. Kun 12 prosent svarer at dette skjer i svært stor grad, mens 45,5 prosent sier det skjer i stor grad. 12,1 prosent mener at det i liten eller mindre grad blir satt av tilstrekkelig med ressurser til denne kontrollen. Styrene som har vurdert dette området til under 5, opplever også usikkerhet rundt styring og kontroll, samt om revisjonsutvalgene har gitt økt kvalitet rundt regnskap og revisoroppfølgning. Dette er på linje med den internasjonale KPMG-undersøkelsen, der fire av ti er usikre på om det er satt av nok ressurser til risk og internkontroll.

Fra kontroll til strategi

Vi mener at en viktig oppgave for selskapets kontrollfunksjon, er å sikre forsvarlighet i akselererte prosesser. På samme måte som man har bremser på en bil for å kunne kjøre raskere, er godt utviklede kontroll- og styringssystemer til for at selskaper skal kunne utvikle seg raskere, endre seg raskere og utnytte muligheter som kommer raskt. I dette bildet er selskapets internkontroll og risikostyring viktig for selskapets måloppnåelse og strategi. Mer enn hvert femte utvalgsmedlem sier at det gjelder i meget stor grad for deres selskap, mens kun seks prosent mener at dette er tilfelle i liten eller mindre grad. 4,7 var gjennomsnittet på dette spørsmålet i undersøkelsen. Globalt mener 21 prosent at revisjonsutvalgene har en sentral rolle i å følge opp strategisk risiko.

Kommuniserer bra, men har ikke avklart ansvaret og rollefordeling

Kommunikasjonen mellom revisjonsutvalgene og de respektive finansdirektørene oppleves som meget god. Den gjennomsnittlige skåren på en skala fra 1 til 6 er 5,36 og ingen svar ligger under 5. Globalt er 85 prosent av styremedlemmene fornøyde med dialogen med finansdirektørene. Revisjonsutvalgene i Norge er gjennomgående mer fornøyd med kommunikasjonen med finansdirektørene enn finansdirektøren med utvalget, viser våre to norske undersøkelsene.

Når det kommer til en klar rollefordeling mellom finansdirektøren og utvalgsmedlemmene, er det fortsatt rom for forbedring. Det handler blant annet om struktur på arbeidet. En del selskaper svarer at de har en klar ansvarsfordeling på de sentrale områdene, mens andre i langt mindre grad har arbeidet frem en enighet om hvem som gjør hva. Utvalgene og finansdirektørene har kommet lengst når det gjelder ansvaret for kontakt med revisor om revisjon av årsregnskapet og vurdering av dennes uavhengighet. Dette er også et område der hvert femte medlem mener at utvalget i liten eller mindre grad øker kvaliteten på sikringen av revisors uavhengighet. På den annen side mener en like stor andel at utvalget i svært stor grad sikrer uavhengigheten - altså en betydelig spredning. Overvåkning av systemene for risikostyring og systemene for internkontroll over finansiell rapportering er blant de områdene der det fortsatt er en del ugjort. Det bør ellers stilles spørsmål til hvordan det er mulig å ha god kommunikasjon men uklar ansvars- og rollefordeling, uten at dette går vesentlig utover effektiviteten til revisjonsutvalgets ansvarsområder.

Et stykke unna beste praksis

Norske revisjonsutvalg er i mange selskaper fortsatt inne i en etableringsfase, der de både skal definere arbeidsoppgaver, vurdere kompetansen i utvalget og arbeidsformen. Internasjonal erfaring tilsier dette vil ta minimum rundt tre år. De skal også se på hvordan de skal samhandle med finansdirektør og revisor. Mange børsnoterte selskaper er i dag et stykke unna beste praksis på en rekke utvalgs-områder. Dette bør få både dem til å agere og eierne til å reagere. Den enkelte finansdirektør vil også være tjent med at arbeidet i utvalget nærmer seg beste praksis. Da vil utvalget bidra til forretningsutvikling og ikke bare kontroll.

Oppsummert beste praksis

Dette gjør de som opplever at revisjonsutvalget har en verdi for selskapet og for styrearbeidet:

• Bruker mer enn 30 timer og møtes mer enn fire ganger i året

• Tar en aktiv rolle i selve utformingen av systemet for risikostyring og internkontroll

• Har sterk integrering av internkontroll og risikostyring, med ledelsesoppfølgning og målekort

• Har sentraliserert styring av internkontroll og risikorapportering