Kort om Gartnerhallen

Gartnerhallen SA (Gartnerhallen) er et samvirkeforetak med drøyt 1000 medlemmer. Medlemmene produserer grønnsaker, frukt, bær og planter. Gartnerhallen er formelt sett kjøper av varene som medlemmene produserer, men i hovedsak leveres varene direkte fra produsent til Gartnerhallens største kunde, Bama. Det skjer deretter et oppgjør mellom Bama og Gartnerhallen, og mellom Gartnerhallen og medlemmene. Særegent for virksomheten er at omsetningen mellom Gartnerhallen og medlemmene skjer på grunnlag av såkalt omvendt fakturering: det er ikke produsentene som utarbeider salgsdokumentasjonen – det gjør Gartnerhallen på grunnlag av avregninger.

Gartnerhallen var tidligere et grossistselskap med en betydelig produksjon og mange ansatte. Etter en omorganisering rundt årtusenskiftet bestod administrasjonen i foretaket av ca. ti personer og av disse var det tre ansatte som var involvert i foretakets regnskaper, internkontroll og økonomistyring. Etter omorganiseringen fungerte Gartnerhallen i hovedsak som et økonomisk bindeledd mellom sine medlemmer og kundene.

Regnskapssjefen og et medlem dømt for underslag

Siden omorganiseringen hadde omsetningen i Gartnerhallen økt fra ca. én milliard kroner til nesten 2,4 milliarder kroner i 2017, men bemanningen var i hovedsak uendret gjennom hele perioden. I mai–juni 2017 avdekket revisor at regnskapssjefen i Gartnerhallen hadde underslått ca. 50 millioner kroner. I hovedsak var de underslåtte beløpene utbetalt til et medlem, men likevel slik at regnskapssjefen hadde overført ca. tre millioner kroner til seg selv. Underslagene var begått i en periode på over ti år ved urettmessige overføringer fra bank. Gartnerhallen hadde etter innspill fra revisor tilbake i 2001 etablert en rutine med dobbeltgodkjenning av utbetaling fra nettbank, men denne ordningen hadde i praksis ingen betydning fordi den som sørget for godkjenning nr. 2 aldri utførte noen form for reell kontroll og lånte også ut kodebrikken sin til regnskapssjefen i forbindelse med ferier osv. Underslagene var profesjonelt utført, og overfor revisor ble underslaget skjult ved å manipulere alle leverandørreskontroer og hovedbøker som ble fremlagt for revisjon. Underslaget og manipuleringen av regnskapet medførte at Gartnerhallens årsregnskap verken viste den fullstendige gjelden eller de fordringene Gartnerhallen i realiteten hadde på regnskapssjefen/det aktuelle medlemmet. Regnskapssjefen og medlemmet ble av Oslo tingrett i 2018 dømt til ubetinget fengsel i henholdsvis fire år og fem år og ti måneder.

Saken aktualiserer spørsmål om revisors ansvar for internkontrollen

Gartnerhallen anførte at revisor burde ha oppdaget underslagene på et tidligere tidspunkt, og at revisor derfor var ansvarlig for deler av tapet. Gartnerhallen erkjente at ansvaret burde settes ned på grunn av skadelidtes egen medvirkning. De nærmere anførslene knyttet til hvorfor revisor burde være erstatningsansvarlig var formulert slik:

• Revisor skulle ha identifisert Gartnerhallens utilstrekkelige internkontroll som gjaldt utbetalingene og sendt ett eller flere nummererte brev til styret om forholdet

• Revisors vurdering av mislighetsrisikoen i forbindelse med revisjonen var uforsvarlig

• Revisor innhentet ikke tilstrekkelige revisjonsbevis for leverandørgjelden

Den første problemstillingen gjelder revisors ansvar for internkontrollen, mens de to andre problemstillingene gjelder revisors planlegging og gjennomføring av revisjonen. Det er imidlertid nær sammenheng mellom de ulike problemstillingene, og spørsmål knyttet til mislighetsrisikoen blir av lagmannsretten i hovedsak behandlet i forbindelse med internkontrollspørsmålet.

Utgangspunkter

Forskjellen på styrets og revisors plikter

Tilsynelatende kan det se ut som styrets og revisors plikter går ut på det samme, jf. her at styret skal «sjå til», mens revisor skal «se etter». Innholdet i ansvaret er imidlertid vesensforskjellig. Innad i selskapet har styret «overordnet ansvar for at det er betryggende interne kontrolltiltak i selskapet».^{*Se Aarbakke med flere: Aksjeloven og allmennaksjeloven med kommentarer punkt 3.2. til § 6-12, Juridika.no (avlest 21. august 2021).} Dette innebærer dels et ansvar for at det i tilstrekkelig grad er fastsatt regler og retningslinjer for utøvelse av internkontroll, samt et «overordnet ansvar for at kontrolltiltakene også faktisk etterleves».^{*Se Aarbakke med flere: Aksjeloven og allmennaksjeloven med kommentarer punkt 3.2. til § 6-12, Juridika.no (avlest 21. august 2021).}

For revisor vil plikten til å «se etter» internkontrollen være begrenset til den delen av internkontrollen som har betydning for innholdet av regnskapet. Dette følger av det grunnleggende formålet med revisjonen og er nærmere utdypet av Høyesterett i Ivaran-dommen (HR-2002-275-B), jf. avsnitt:

«Det fremgår av det jeg har redegjort for, at lovgivningen tilla revisor visse oppgaver også her. Men når vi er utenfor de oppgavene som knyttet seg til årsoppgjør og regnskap, må utgangspunktet etter min mening være at primæransvaret for å føre kontroll med As disposisjoner lå hos styret. Revisors plikt måtte først og fremst være å reagere hvis han var blitt oppmerksom på uregelmessigheter som kunne gi fare for tap, og som han måtte regne med at styret ikke kjente til. I vurderingen må det få betydning hvilke kunnskaper henholdsvis revisor og styret hadde, og også hvilke kunnskaper revisor måtte regne med at styret hadde.»

Ingen plikt til å kontrollere realiteten bak dobbeltkontrollen

Med støtte fra de sakkyndige vitnene la rettens flertall til grunn at revisor i dette tilfellet ikke hadde noen plikt til å foreta en kontroll av realiteten bak dobbeltkontrollen. Flertallet sluttet seg til følgende uttalelse fra tingrettens flertall:

«Etter flertallets syn er det mer naturlig å forvente at styret og daglig leder har kunnskap om hvordan dobbeltgodkjenningen i realiteten fungerte, enn revisor. [Daglig leder] forklarte i retten at han ikke visste om at [2. gangs godkjenner] hadde noe dokumentgrunnlag for kontrollen, utover å se navnene på mottakerne og beløpene. [Daglig leder] anså for øvrig [2. gangs godkjenner] som kompetent til å utføre andregangskontrollen.

Når revisor bygger på den etablerte internkontrollen for å konkludere på en regnskapspåstand, må revisor i alminnelighet innhente bevis for at den aktuelle internkontrollen har fungert. Det gjelder imidlertid ikke for dobbeltgodkjenningen, som er en kontroll rettet mot mislighetsrisiko. Den kontrolleres ikke av revisor for å underbygge en regnskapspåstand. En slik ren mislighetskontroll vil i alminnelighet ikke undersøkes nærmere av revisor, utover å konstatere at den er innført. Etter flertallets syn er det ikke i strid med god revisjonsskikk å ikke ha undersøkt nærmere hvordan kontrollen fungerte i praksis. Flertallet mener at Gartnerhallen er nærmest til å bære risikoen for at dobbeltgodkjenningen ikke fungerte som en reell kontroll.»

Ingen plikt for revisor til å sende nummerert brev om forhold som var kjent i selskapet

Flertallet drøfter deretter om revisor i denne saken likevel skulle ha påpekt i et nummerert brev til styret at internkontrollen var uforsvarlig. Dette forutsetter etter flertallets syn at den vurderingen av risikoen for misligheter som revisor hadde foretatt i forbindelse med planleggingen av revisjonen var uforsvarlig. De to vesentlige påberopte forhold var at regnskapssjefen hadde en svært sentral rolle i regnskapsføringen og økonomiforvaltningen, samt at det var store pengestrømmer som gikk gjennom Gartnerhallens systemer. Det ser ut som rettens flertall er av den oppfatning at disse to forhold – at én person er sentral og at det er store pengestrømmer – alene ikke kan begrunne at mislighetsrisikoen øker. I alle fall er det lett å være enig med flertallet i at dette er forhold som styret helt opplagt var kjent med, og derfor også at styret ut fra sitt overordnede ansvar for internkontrollen er nærmere enn revisor til å undersøke hvor effektiv internkontrollen er.

Revisor sendte i 2001 et nummerert brev hvor det ble anbefalt at Gartnerhallen innførte en ny kontrollordning med dobbelgodkjenning med utbetalinger fra bank. Dette ble også gjort, og revisor kontrollerte hvert år at en slik ordning med dobbeltgodkjenning var etablert. Rettens flertall var av den oppfatning at styret i Gartnerhallen «hadde all mulig foranledning til å følge opp med ytterligere kontrolltiltak dersom [styret] anså dette nødvendig». Rettens flertall går også langt i å legge det reelle ansvaret for svikten i internkontrollen på daglig leder:

«Det at daglig leder – ifølge egen forklaring – aldri hadde en formening om hva [2. gangs godkjenners] kontroll egentlig gikk ut på, er i tilfelle en grov svikt fra hans side. En like grov svikt er det hvis han hadde mistanke om at kontrollen var minimal. Flertallet har vanskelig for å forstå at han ikke var klar over hvordan [regnskapssjefen] og [2. gangs godkjenner] ordnet godkjenningen av utbetalinger i de tilfellene [2. gangs godkjenner] hadde ferie eller ikke var til stede på grunn av annet fravær.»

På basis av de foreliggende bevisene mente rettens flertall avslutningsvis at realiteten i et nytt nummerert brev til styret «ville ha vært at revisor igjen påpekte den risikoen som lå i at regnskapssjefen var i en posisjon til å begå økonomiske misligheter. Men dette måtte både landsstyret og daglig leder ha vært kjent med, og de har – feilaktig – lagt til grunn at risikoen var liten». Retten påpeker videre at også revisor feilaktig har lagt til grunn at mislighetsrisikoen var liten, men revisor har «ikke hatt fordelen av å kjenne til hvordan internkontrollen faktisk ble utøvd av» styret, daglig leder og den som utførte 2. gangs godkjennelsen. Flertallet mente på bakgrunn av dette at revisor «hadde ingen grunnlag for å tro annet enn at [styret] og daglig leder både hadde evne og vilje til å ivareta sitt ansvar for internkontrollen».

Forskjellen på revisors og styrets plikter

Søksmål mot revisor fra revisjonsklient hvor grunnlaget for kravet er at revisor ikke har avdekket at internkontrollen er mangelfull eller lignende, vil alltid være spesielle. For det første er det styret som avlegger regnskapet og som har ansvaret for internkontrollen, mens revisors oppgave er å sørge for at regnskapsbrukerne kan ha tillit til at det avlagte regnskapet ikke inneholder vesentlig feilinformasjon.

Styret anses naturlig nok ikke som en bruker av regnskapet, og bestemmelsen i revisorloven § 9-1 annet ledd om at revisor «er allmennhetens tillitsperson ved utførelse av lovfestet revisjon», må leses på denne bakgrunn. For det andre beror spørsmålet om hvor omfattende internkontrollen skal være på en kost-nytte-vurdering som hver regnskapspliktig må foreta. Selv om et styre ikke kan akseptere at noen urettmessig -forsyner seg med en eneste krone av selskapets kapital, kan det likevel være fornuftig for en del foretak å legge internkontrollen på et minimum.

Siden revisors revisjonshandlinger vil være rettet inn mot å avdekke feil som er vesentlige for regnskapet, fremstår det som lite logisk at revisor skal bli sittende med et ansvar dersom styrets vurderinger knyttet til internkontrollen i ettertid viser seg å gi uønskede resultater. Som nevnt hadde Gartnerhallens omsetning vokst fra ca. én milliard kroner og opp til ca. 2,4 milliarder kroner, men antall personer som var involvert i regnskapsførsel, økonomiforvaltning og internkontroll var uendret, dvs. tre personer, hvor en av disse var regnskapssjefen som gjennomførte underslagene og av de øvrige to var den ene daglig leder. Som påpekt av tingretten fremstod det som et «bevisst valg i Gartnerhallen å ha få ansatte i administrasjonen, og en naturlig konsekvens av det er begrensede muligheter for arbeidsdeling». Økt bemanning for å styrke internkontrollen ville åpenbart ha redusert allerede tynne resultater. Dersom mindretallets synspunkter hadde funnet gehør hos flertallet, er det imidlertid berettiget å spørre om ikke de sparte lønnskostnadene burde ha kommet til fradrag i en eventuell erstatning.

Ovennevnte betraktninger gjør at det er relevant å spørre om et foretak overhodet bør ha anledning til å rette krav mot egen revisor ved svikt i internkontrollen, dvs. at styret saksøker revisor med den erkjennelse at de selv ikke har oppfylt sin plikt til å sørge for at foretaket har en effektiv internkontroll. Rettspraksis fra før revisorloven 2020 viser at revisor i prinsippet kan bli ansvarlig, selv om det er flere dommer som legger til grunn at den revisjonspliktige må bære det fulle tapet selv ved svikt i internkontrollen, se for eksempel Borgarting lagmannsretts dom LB-2015-22154 hvor det uttales at «styret ved sin mangel på internkontroll og utilstrekkelige oppfølging av til dels alarmerende informasjon om økonomiforvaltningen, var nærmest til å bære risikoen for eventuelle misligheter fra en utro tjener».

Når kan revisor bli ansvarlig ved svikt i internkontrollen?

Det er imidlertid flere dommer som legger til grunn at revisor kan bli ansvarlig der årsaken til tapet er svikt i selskapets internkontroll, se for eksempel Borgarting lagmannsretts dom LB-2018-152750. Retten la her til grunn at det forelå forsettlig brudd på revisjonsstandardene fra revisors side, men selskapet måtte bære ansvaret selv fra det tidspunkt retten mente at styret burde ha oppdaget de irregulære handlingene som ledet til tapet. Den nye lempningsbestemmelsen i revisorloven § 11-1 annet ledd, som uttrykkelig henviser til «ansvarsfordelingen mellom revisor og den revidertes organer», legger opp til at de revisjonspliktige i fremtiden kanskje i enda større grad enn før må bære ansvaret selv ved svikt i internkontrollen. Som det fremgår ovenfor mener flertallet at det foreligger «grov svikt» fra daglig leders side. Dommen kan også ses under den synsvinkel at et selskap må identifisere de handlinger som daglig leder foretar, men i LB-2018-152750 (referert ovenfor) førte en slik anførsel om passiv identifikasjon ikke helt frem. En forskjell kan kanskje være at Gartnerhallens styre langt på vei må anses for å ha delegert ansvaret for internkontrollen til daglig leder, men uten å foreta noen form for oppfølgning. Det må være opplagt at styret i slike tilfeller ikke kan fremme krav mot revisor når det i ettertid viser seg at den etablerte internkontrollen er mangelfull eller til og med fraværende.

I saken som Gartnerhallen hadde anlagt, vant revisor frem med sitt syn i både tingretten og lagmannsretten, men med dissenser i begge instanser. Flertallets vurderinger i både tingretten og lagmannsretten er imidlertid svært grundige, og dommen må antas å være retningsgivende for eventuelle nye søksmål anlagt av revisjonsklienten hvor et vesentlig element i saken er svikt i foretakets internkontroll.

Dommen holder seg lojalt til de avklaringer som Høyesterett foretok i Ivaran-dommen, men tar også opp en del nye forhold. En forskjell mellom Ivaran-dommen og Gartnerhallen-dommen var at Ivaran ikke hadde avgitt et uriktig regnskap. Problemstillingen var at en betrodd medarbeider blant annet drev med spekulasjonspregede valutahandler og spørsmålet var om revisor skulle ha varslet styret om dette. Høyesterett presiserte i Ivaran-dommen at man i den saken var utenfor de opp-gavene som knyttet seg til årsoppgjør og regnskap. Gartnerhallens regnskap inneholdt over en årrekke vesentlige feil, men lagmannsretten kom til at revisor ikke var ansvarlig fordi revisor ikke bygde på den aktuelle internkontrollen i sin revisjon. Det ligger i dette at dersom revisor bygger på den etablerte internkontrollen for å konkludere på en regnskapspåstand, må revisor i alminnelighet også klarlegge at den aktuelle internkontrollen har -fungert.

Poenget er her at en slik klarlegging er nødvendig for å kunne avgi en ren revisjonsberetning med tilstrekkelig sikkerhet. Manglende avklaring av hvordan internkontrollen fungerer vil da anses som uaktsomt. I praksis ville revisor ved å undersøke hvordan internkontrollen fungerte ha avklart at den ikke fungerte tilfredsstillende, og på basis av dette sendt et nummerert brev til ledelsen. Ved søksmål fra andre enn selskapet selv vil revisor normalt kommet i ansvar på det grunnlag at regnskapet inneholder vesentlig feilinformasjon, og at en avdekking av at internkontrollen ikke fungerte ville ha forhindret denne feilen. Ved søksmål fra selskapet vil ikke selskapet i utgangpunktet lide noe tap ved at regnskapet viser for høye tall, men et nummerert brev fra revisor kan forhindre at selskapet lider tap på grunn av mangelfull internkontroll. Selv om revisor gjør feil, bør selskapet i slike situasjoner påregne å ta en stor del av ansvaret selv. På bakgrunn av styrets ansvar for internkontrollen, og at omfanget av internkontrollen i realiteten beror på kommersielle beslutninger, vil det kanskje i de fleste tilfeller være mest rimelig at selskapet ved svikt i utførelsen av internkontrollen, blir sittende med hele ansvaret.

Betydningen av ren revisjonsberetning

Dommen klargjør at et styre ikke kan legge til grunn at internkontrollen fungerer etter sin hensikt selv om revisor avgir en ren revisjonsberetning. Det følger jo også av revisjonsberetningen at revisor opparbeider seg «en forståelse av den interne kontrollen som er relevant for revisjonen …, men ikke for å gi uttrykk for en mening om hvor effektiv virksomhetens interne kontroll er». Til tross for dette er det nok i det praktiske liv en del som misforstår hva en revisjon innebærer, dvs. at de tror at revisjon er noe annet og noe mer enn det som faktisk er tilfellet – det eksisterer et «forventningsgap». Dommen er en nyttig påminnelse til styrets medlemmer om styrets ansvar for internkontrollen. I dette ligger ikke bare et ansvar for å sørge for at det blir etablert (skriftlige) kontrollrutiner, men også et ansvar for at de etablerte rutinene fungerer. Ethvert styre bør derfor på et eller annet tidspunkt be om en redegjørelse fra daglig leder om hvilke kontrollordninger som er etablert og hvordan disse blir praktisert. Mindretallets standpunkt overser etter vår mening at det etter loven er styret som har et ansvar for at kontrolltiltakene også faktisk etterleves, dvs. at mindretallet i realiteten pålegger revisor ansvaret for at den etablerte internkontrollen fungerer til tross for at dette er styrets.

Nummerte brev/skriftlig kommunikasjon

Dommen klargjør dessuten at prinsippet fra Ivaran-dommen om at revisor ikke behøver å varsle om forhold styret må være kjent med, også gjelder for plikten til å skrive nummererte brev. Den tidligere plikten til å skrive nummerert brev er gått ut og i revisorloven § 9-5 første ledd erstattet med en plikt til å «kommunisere skriftlig til styret om alle forhold som er fremkommet ved revisjonen og som styret bør gjøres kjent med for å kunne ivareta sitt ansvar og oppgaver, herunder vesentlige mangler i foretakets interne kontroll, brudd på bokføringsreglene og andre lovkrav og avdekkede misligheter». Det kan ikke være tvil om at revisor også etter den nye revisorloven ikke har noen plikt til å kommunisere forhold som styret er kjent med. Et styre må forstå at dersom man har få ansatte, vil dette kunne ha betydning for muligheten til arbeidsdeling mv.

Risikoen for misligheter

Når det gjelder rettens vurderinger av revisors vurdering av risikoen for misligheter, var det sentrale spørsmålet om det forhold at «det bare er én person som fører og har tilgang til regnskapet og vedkommende samtidig har en posisjon i forbindelse med betaling av fakturaer» i seg selv skal medføre (økt) mislighetsrisiko, som igjen har betydning for de revisjonshandlingene som revisor må foreta. Rettens flertall påpekte at det er «innlysende» at slike forhold vil innebære at «det bestandig [vil] foreligge en risiko for urettmessige utbetalinger/underslag». Etter flertallets syn var imidlertid ikke dette tilstrekkelig for å kunne konkludere med at revisor burde ha vurdert mislighetsrisikoen annerledes. Dette er det lett å være enig i, hvis ikke hadde konsekvensene lett kunne bli at revisor i svært mange selskaper med få ansatte og dårlige muligheter til arbeidsdeling måtte ha lagt til grunn en forhøyet risiko for misligheter. I selskaper med få ansatte er det vanlig at det bare er én person som foretar føringer i regnskapet. Forutsetningen må imidlertid være at det minst er én annen person som er involvert i internkontrollen.