Intern kontroll: så stärker styrelsen styrning och uppföljning

Intern kontroll låter som administration men har ett enkelt syfte: att minska risken för att beslut, regler och verkligt arbetssätt glider isär. Här går vi igenom vad kontrollen omfattar, vad lagen kräver, styrelsens ansvar och hur kontrollen byggs i proportion till verksamheten. Guiden är generell vägledning, inte juridisk rådgivning.

Vad är intern kontroll?

Intern kontroll, även skrivet internkontroll, är de processer och rutiner som förebygger fel, minskar risker och stödjer genomförandet av styrelsens beslut. Den vilar på flera delar som behöver hänga ihop:

• Ansvar och befogenheter: vem som beslutar, attesterar och kontrollerar vad. En delegationsordning och en attestordning är vanliga sätt att dokumentera fördelningen.
• Dokumenterade processer: rutiner för de väsentliga flödena, från inköp till rapportering.
• Uppdelade moment: dela upp momenten i väsentliga betalningsflöden när det är praktiskt möjligt. Måste samma person hantera flera moment bör en oberoende attest eller efterhandskontroll läggas in.
• Uppföljning: kontroll av att styrelsens beslut genomförs och att avvikelser fångas upp.
• Rapportering: regelbunden information till styrelsen om ekonomi och väsentliga händelser.

Kontrollen är inte begränsad till ekonomin. Regelefterlevnad, informationssäkerhet och verksamhetens processer hör också hemma i systemet. Internationellt beskrivs området i ramverk som COSO, men ett ramverk är inget krav för att arbeta strukturerat.

Vad kräver lagen?

I aktiebolag ansvarar styrelsen för bolagets organisation. Den ska vara utformad så att bokföring, medelsförvaltning och övriga ekonomiska förhållanden kontrolleras betryggande. Motsvarande krav gäller ekonomiska föreningar, inklusive BRF:er. Lagrummen anger inget visst kontrollramverk för vanliga onoterade verksamheter. Noterade och särskilt reglerade verksamheter kan omfattas av ytterligare krav på kontrollsystem, kontrollfunktioner och rapportering.

För ideella föreningar finns ingen motsvarande generell lagregel. Där bestäms styrelsens uppgifter främst av stadgarna, stämmobeslut och allmänna föreningsrättsliga principer.

Styrelsens ansvar och delegationens gräns

I aktiebolag och ekonomiska föreningar med VD kan operativa kontrolluppgifter läggas på VD eller annan ledning. I BRF:er och ideella föreningar kan uppgifterna läggas på en förvaltare, anställd eller annan ansvarig enligt organisationens beslut. I aktiebolag, ekonomiska föreningar och BRF:er ska styrelsen handla med omsorg och fortlöpande kontrollera om delegationen kan upprätthållas. I ideella föreningar bör ansvar och uppföljning regleras i stadgar, stämmobeslut eller styrelsebeslut.

Kontrollen ska stå i proportion till verksamheten. En liten förening som inte omfattas av särskilda regler behöver normalt inget omfattande kontrollramverk. Den behöver tydlig ansvarsfördelning, riskanpassade kontroller och en styrelse som följer rapporteringen. Kraven växer med verksamhetens storlek och komplexitet.

Kontrollen hänger ihop med riskarbetet

Kontrollera mest där risken är störst. Riskhanteringen pekar ut var skydden behövs, den interna kontrollen bygger in dem i processerna. Har organisationen en internrevisionsfunktion kan den oberoende granska att kontrollerna fungerar. Revisorns iakttagelser i revisionsberättelsen är också en signal. En anmärkning kan peka på var kontrollen brustit.

Se över de styrande dokumenten minst årligen och när ansvar, risker eller arbetssätt ändras. Ett praktiskt tillfälle är årets första styrelsemöte efter ordinarie stämma. Kontrollera särskilt att attest- och delegationsregler inte säger emot varandra.

Så hjälper Hippoly

I Hippoly kan styrelsen samla styrande dokument under Filer och dokument, där versionshistoriken gör det lättare att arbeta med rätt version. Besluten dokumenteras i protokollet och uppföljningen kan drivas som uppgifter med ansvariga och tidsfrister. Rapportunderlag kan kopplas till relevant punkt på dagordningen. Läs mer om Hippoly för aktiebolag eller se våra lösningar för föreningar.