Internrevision: oberoende granskning av styrning och kontroll

I aktiebolag, ekonomiska föreningar och BRF:er har styrelsen ett lagreglerat ansvar för organisation och ekonomisk kontroll. I ideella föreningar följer ansvaret främst av stadgar och föreningsrättslig praxis. Internrevisionen prövar om styrningen och kontrollen fungerar i praktiken. Här går vi igenom vad internrevision är, hur den skiljer sig från extern revision, när den krävs och hur arbetet planeras, genomförs och följs upp. Guiden är generell vägledning, inte juridisk rådgivning.

Vad är internrevision?

Internrevision är en oberoende, systematisk och riskbaserad granskningsfunktion. Den prövar processer, riskhantering och intern kontroll och lämnar rekommendationer om förbättringar. Funktionen kan bemannas internt eller utföras av en extern leverantör.

Granskningen är inte begränsad till ekonomin. Den kan omfatta IT och informationssäkerhet, regelefterlevnad, inköp, projekt eller andra områden där riskerna bedöms vara betydande. Branschorganisationen IIA, The Institute of Internal Auditors, beskriver arbetsfördelningen som tre linjer. Verksamheten äger och hanterar riskerna i den första linjen. Stödfunktioner som riskhantering och compliance utgör den andra. Internrevisionen är den tredje linjen, oberoende av de två första.

En mindre organisation kan genomföra en avgränsad intern granskning av en viss process. Det är inte automatiskt samma sak som att ha en internrevisionsfunktion. Benämningen internrevision bör användas när granskningen har ett tydligt mandat, tillräckligt oberoende och ett systematiskt arbetssätt.

Skillnaden mot extern revision

Den lagstadgade eller stadgebaserade revisionen skiljer sig mellan organisationsformer. Ekonomiska föreningar och BRF:er ska ha minst en revisor. Aktiebolag omfattas av aktiebolagslagens revisionsregler, men mindre privata aktiebolag kan under vissa förutsättningar välja bort revisor i bolagsordningen. I ideella föreningar styrs revisionen normalt av stadgarna. Revisionslagen gäller också för vissa ideella föreningar som ska upprätta årsredovisning.

Revisorn väljs normalt av stämman men granskar självständigt enligt tillämpliga regler och god revisionssed. Uppdraget omfattar årsredovisning, bokföring och förvaltning. Resultatet redovisas i en revisionsberättelse till stämman.

Internrevisionsansvarig planerar i stället riskbaserade granskningsuppdrag. Arbetet kan vara löpande eller genomföras vid bestämda tidpunkter. Resultaten rapporteras till styrelsen och ledningen enligt funktionens mandat. De två granskningarna kompletterar varandra. Den lagstadgade eller stadgebaserade revisionen ger stämman underlag för att bedöma årsredovisningen och förvaltningen. Internrevisionen ger styrelsen och ledningen riskbaserade bedömningar av verksamheten.

Är internrevision ett lagkrav?

För aktiebolag, ekonomiska föreningar, BRF:er och ideella föreningar finns inget generellt lagkrav på internrevision. För organisationer utan särskilda sektorregler eller krav i egna styrdokument är funktionen frivillig. Mandatet beslutas av det organ som är behörigt enligt lag, stadgar och organisationens styrning.

För vissa reglerade verksamheter gäller särskilda krav. Banker och försäkringsföretag ska ha en internrevisionsfunktion enligt lag och Finansinspektionens regelverk. Svensk kod för bolagsstyrning ska tillämpas av bolag vars aktier eller depåbevis handlas på en reglerad marknad i Sverige, andra kan tillämpa den frivilligt. Bolag som tillämpar koden och saknar en särskild granskningsfunktion ska enligt kodens regel 8.1 årligen utvärdera behovet av en sådan. Ställningstagandet motiveras i bolagsstyrningsrapportens beskrivning av den interna kontrollen.

Så läggs arbetet upp

Ett fungerande internrevisionsarbete följer en enkel cykel:

1. Riskbaserad plan: internrevisionsansvarig tar fram en riskbaserad plan. Styrelsen godkänner planen och väsentliga ändringar.
2. Granskning: processer och rutiner prövas genom dokumentgranskning, intervjuer och stickprov.
3. Rapport: iakttagelser, avvikelser och rekommendationer rapporteras till styrelsen.
4. Åtgärder: ledningen eller ansvarig processägare tar fram och genomför åtgärder. Styrelsen beslutar i frågor som ligger på styrelsen.
5. Uppföljning: åtgärdernas status följs upp mot beslutade tidsfrister och rapporteras till styrelsen. Internrevisionen gör riskbaserade uppföljningar av väsentliga brister.

Två saker avgör om arbetet gör nytta: oberoendet och uppföljningen. Den som granskar ska inte pröva sitt eget arbete. En rapport som inte leder till beslutade och genomförda åtgärder förändrar ingenting.

Styrelsens roll

Styrelsen fastställer internrevisionens mandat, godkänner revisionsplanen och tar emot rapporteringen. Ledningen ansvarar normalt för att åtgärdsplaner tas fram och genomförs, medan styrelsen följer upp väsentliga brister. I organisationer med revisionsutskott kan utskottet bereda frågorna, men ansvaret ligger kvar hos styrelsen som helhet. Styrelsen ger internrevisionen ett tydligt mandat och skyddar funktionens oberoende i rapportering och resursfrågor.

Så hjälper Hippoly

I Hippoly kan revisionsplaner, rapporter och styrande dokument samlas under Filer och dokument. Versionshanteringen hjälper styrelsen att arbeta med rätt underlag. Granskningens rapporter kopplas till rätt punkt på dagordningen och styrelsens beslut dokumenteras i protokollet. AI-assistenten hi kan sammanfatta rapporterna och svara på frågor om innehållet. Läs mer om Hippoly för aktiebolag eller se våra lösningar för föreningar.