Husk de tre målene for internkontroll, og kartlegg hva virksomheten som helhet allerede gjør for å sikre at målene oppnås. Vurder om aktivitetene og prosessene dere allerede har gir nok kontroll og håndterer risikoer tilfredsstillende. Dere kan hente informasjon fra ulike kilder, for eksempel dokumenthierarkiet, rapporter, undersøkelser og intervjuer.
Eksempler på hvor dere kan finne informasjon om dagens internkontroll
- Internkontrollrapporten fra i fjor
- Resultater fra testing av effekten av tiltak
- Tidligere risikovurderinger
- Avvikssystemer og varslingskanaler
- Tilsynsrapporter
- Lederbekreftelser
- Møtereferater fra møter som handler om risikostyring
- Egenevaluering fra ledere
Hva er tegn på at jeg har overflødig eller for lite kontroll?
Tegn på overflødig kontroll
- Tiltak som ikke følges opp av noen
- Rapporter som ikke brukes til noe i styringen
Tegn på for lite kontroll
- Det mangler en plan for å oppdatere rutiner
- Planer er utdatert, de er ikke gjort kjent og/eller de blir ikke fulgt opp
Tegn på god nok kontroll
- Internkontrollen er etablert, oppdatert og etterlevd
- Internkontrollen er tilpasset til virksomhetens behov
Spørsmål som vurderingen bør gi svar på
Hvordan er internkontrollen tilpasset virksomhetens egenskaper og behov?
- Ledelsen må vurdere hvilken egenart virksomheten har og hvordan den påvirker styringen. Dette kan handle om roller, finansering og måter virksomheten blir styrt på av andre.
- Virksomheten bør ha oversikt over relevante lover og regler som påvirker virksomheten.
Blir internkontrollen fulgt, og blir den systematisk fulgt opp?
- Ledelsen bør følge opp kontrolltiltak med medarbeidere.
- Oppfølgingsaktiviteter må dokumenteres og samles.
- Virksomheten bør samle inn data som beskriver etterlevelse av internkontrollen.
- Ledelsen bør få informasjon som gjør at de har anledning til å vurdere effekten av tiltakene.
Hvordan er internkontrollen innpasset i virksomhetens styring?
- Arbeidet med internkontroll bør være en del av den ordinære virksomhetsstyringen.
- Virksomheten bør ha tiltak som gir nødvendig trygghet til fagledere.
- Tiltak bør gi tydelig retning og nødvendig handlingsrom for medarbeidere.
På hvilken måte bruker ledelsen internkontrollen som et verktøy i styringen?
- Internkontrollaktivitetene bør støtte ledelsen i å ta gode beslutninger og prioritere.
- Ledelsen bør bruke internkontrollen for å få oversikt over hva som går bra og hva som krever tiltak.
- Ledelsen bør bruke resultater fra kontroller til å justere mengden av tiltak.
- Ledelsen bør benytte vedtak, policyer og rutiner for å gi retning i arbeidet.
Er ansvar, roller og myndighet klart beskrevet og formidlet?
- Ledelsen bør fordele roller og ansvar slik at arbeidet i virksomheten kan følges opp.
- Det bør være tydelige forventninger til hva ledere på ulike nivåer skal rapportere på.
- Eierskap til mål, risiko og prosesser bør være tydelig beskrevet, slik at det er klart hvem som skal ta tak i uavklarte saker og når disse må løftes opp.
- Styringsstab og faglinjer bør ha god kommunikasjon og en felles forståelse av arbeidsfordeling.