Det vil du få god innsikt i ved å lese denne artikkelen som oppsummerer de viktigste anbefalingene i et dokument som nylig er publisert av IIA.
En god rolleforståelse hos internrevisor er viktig for å sikre riktig rollefordeling i virksomheten og internrevisjonens uavhengighet for på denne måte å skape tillit hos ulike interessenter til revisjonsarbeidet som utføres.
IIA publiserte i juli i år derfor et posisjonsdokument for å tydeliggjøre internrevisjonsfunksjonens rolle i den helhetlige risikostyringen (Engelsk: Enterprise Risk Management – heretter forkortet til ERM).
Som IIA Norge-medlem kan du følge lenken nederst i dokumentet for å få tilgang til de detaljerte anbefalingene som du kan anvende videre i eget arbeid som internrevisor.
Et rammeverk for god måloppnåelse
For å nå sine mål og opprettholde langsiktig verdiskaping, bør virksomheter skape effektive prosesser for virksomhetsstyring, risikostyring, etterlevelse og internkontroll. I dette arbeidet skaper et godt ERM-rammeverk en koordinert og helhetlig tilnærming på tvers av virksomheten til å identifisere, vurdere, håndtere, overvåke og rapportere om trusler og muligheter.
Dette legger til rette for god risikohåndteringsevne og øker sannsynligheten for at virksomheten skal nå sine strategiske mål. I stadig mer datadrevne omgivelser bidrar videre et effektivt ERM – rammeverk til et pålitelig beslutningsgrunnlag for styret og ledelsen.
Rolle- og ansvarsdeling
ERM inngår i en styringsmodell som kjennetegnes av et tydelig fordelt ansvar:
- Styret fastsetter forventninger og fører tilsyn med den øverste ledelsen.
- Ledelsen har ansvaret for å håndtere risiko og gjennomføre ERM-prosessene.
- Internrevisjonsfunksjonen gir uavhengige anbefalinger, risikobasert og objektiv bekreftelse, innsikt og fremtidsrettede vurderinger. Uavhengighet og objektivitet er grunnleggende prinsipper for internrevisjonsfunksjonens troverdighet.
Internrevisjonsfunksjonen styrker videre ERM gjennom å levere bekreftelses- og rådgivningstjenester som gjensidig forsterker og utfyller hverandre gjennom:
- Bekreftelse: Vurderer utformingen av og effektiviteten i ERM-prosessene, herunder om disse er i samsvar med virksomhetens risikoappetitt, risikotoleranse, strategi og forventninger til virksomhetsstyringen.
- Rådgivning: Bidrar med innsikt og fremtidsrettede vurderinger for å styrke virksomhetens risikostyringspraksis. Dette kan blant annet innebære å utfordre forutsetninger, legge til rette for risikodiskusjoner og dele god praksis, uten å overta ledelsens ansvar.
- Balanse: Bekreftelses- og rådgivningstjenester fastsettes ut fra virksomhetens kontekst, herunder modenheten i ERM, risikobildet, kapasiteten og kompetansen i andre funksjoner samt føringer fra styret. Etter hvert som styrings- og ledelsesstrukturer utvikles for å møte endrede organisatoriske behov og fremtidige mål, styrkes disse tjenestene når de samordnes eller integreres med andre leverandører av bekreftelses- og rådgivningstjenester i virksomheten.
- Integrert bekreftelsesmodell: Internrevisjonsfunksjonen støtter en integrert bekreftelsesmodell ved å fremme samordning, redusere dobbeltarbeid og ved å gi styret og den øverste ledelsen et helhetlig bilde av effektiviteten i virksomhetsstyringen, risikostyringen etterlevelse og internkontroll.
Enkelte virksomheter legger ansvaret for ERM-aktiviteter til lederen av internrevisjonen (Chief Audit Executive), blant annet som følge av virksomhetens modenhet, begrensede ressurser, relevant kompetanse eller andre forhold.
Dersom lederen av internrevisjonen påtar seg ansvar for ERM-aktiviteter, må det imidlertid etableres tiltak som sikrer at:
- Ansvarsområdene er tydelig definert og dokumentert.
- Rollene knyttet til bekreftelse og rådgivning er hensiktsmessig atskilt.
- Mulige svekkelser av uavhengighet og objektivitet er transparente for styret.
- Det innhentes uavhengig bekreftelse når internrevisjonsfunksjonen har en operativ rolle.
- Internrevisjonsfunksjonen ikke påtar seg ansvaret for beslutninger om risikostyring.
Vi deler lenken til posisjonsdokumentet med gratis tilgang for IIA-medlemmer:
https://www.theiia.org/en/resources/statements-of-position/#role
