Interne kontroller: hvordan virksomheder opbygger kontrolaktiviteter

Kontrolaktiviteter i det interne kontrolsystem

Kontrolaktiviteter er handlinger og procedurer, som ledelse og medarbejdere bruger for at sikre, at forretningsgange overholder regler, og at mål nås. De indgår i virksomhedens interne kontrolsystem.

ISA 315 definerer det interne kontrolsystem som det system, den øverste ledelse, den daglige ledelse og øvrigt personale har designet og implementeret. Systemet skal vedligeholdes løbende og matche virksomhedens risici og processer.

Økonomistyrelsen peger på, at den øverste ledelse har ansvaret for at fastlægge og efterleve forsvarlige forretningsgange, der følger gældende regler og sikrer tilstrækkelig kontrol og tilsyn. I statslige institutioner dækker den interne kontrol både finansielle og ikke-finansielle processer.

COSO's rammeværk for intern kontrol kan strukturere arbejdet. ISA 315 sætter rammen for revisorers forståelse af virksomhedens interne kontrolsystem.

Fra risici til udvalgte kontrolaktiviteter

Vejledning om intern finansiel kontrol beskriver, hvordan risici udpeges og prioriteres, hvilke finansielle processer et kontrolsystem bør omfatte, og hvordan kontroller udformes. Første skridt er at kortlægge processerne og deres risici.

Derefter vurderes sandsynlighed og konsekvens, så indsatsen kan prioriteres. Når prioriteringen er på plads, udvælges de finansielle processer.

Finansielle processer omfatter alle transaktioner i forhold til regnskabet, herunder ud- og indbetalingsstrømme. Eksempler er udbetaling af puljetilskud, udbetaling af løn, køb af varer og tjenester, overførselsindtægter fra kommuner og returkommission mv.

Kontroller skal enten forebygge fejl (fx adgangsbegrænsning eller funktionsadskillelse) eller opdage dem (fx afstemning eller stikprøvekontrol). For hver kontrol bør det stå klart, hvem der udfører den, hvor ofte, hvordan den dokumenteres, og hvad der sker, hvis den ikke udføres.

For offentlige institutioner findes konkrete regler om tilrettelæggelsen af det interne kontrolsystem i Regnskabsbekendtgørelsen om statens regnskabsvæsen. De handler bl.a. om kontrol af interne finansielle processer for at sikre korrekt regnskabsaflæggelse.

Ansvar, instrukser og organisatorisk placering

Ministerier, virksomheder og regnskabsførende statslige institutioner skal udarbejde instrukser. Instrukserne beskriver, hvordan de sikrer en forsvarlig organisatorisk og opgavemæssig placering og tilrettelæggelse af intern kontrol og risikostyring.

Instruksen bør som minimum fastlægge, hvem der har det overordnede ansvar for intern kontrol og risikostyring. Den bør også fastlægge, hvor funktionerne ligger, hvem der rapporterer til hvem, og hvordan kontroller dokumenteres og følges op.

Private virksomheder kan bruge samme logik: Ledelsen vedtager en skriftlig instruks, der udpeger ansvarlige for de enkelte kontrolopgaver, og som beskriver, hvordan afvigelser rapporteres. Instruksen bør revideres, når organisationen ændrer sig, eller nye risici opstår.

Finansielle kontrolaktiviteter: funktionsadskillelse og transaktionskontrol

Regnskabsbekendtgørelsen kræver bl.a., at det interne kontrolsystem sikrer funktionsadskillelse. Det er personmæssig adskillelse mellem den, der registrerer et indkøb, og den, der gennemfører betalingen. Det er en central kontrol mod både fejl og svig.

I praksis bør virksomheden have kontroller for ud- og indbetalinger (bankafstemning, attestering) og løn (afstemning af lønsum, kontrol af ansættelsesforhold). Den bør også kontrollere køb af varer og tjenester (indkøbsgodkendelse, modtagelseskontrol, fakturakontrol) og regnskabsaflæggelse (afstemning af konti, periodisering).

Funktionsadskillelsen bør ideelt set dække flere trin: bestilling, modtagelse af varen, attestering af fakturaen og gennemførelse af betalingen. Er organisationen for lille til fuld adskillelse, kan den kompensere med andre kontroller, fx obligatorisk dobbeltattest, stikprøvekontrol foretaget af ledelsen eller overvågning fra en ekstern samarbejdspartner.

Funktionsadskillelse vs. kompenserende kontrol i små virksomheder

Ikke-finansielle kontrolaktiviteter: IT, sagsbehandling og aktiver

Ikke-finansielle processer dækker fx it-infrastruktur og it-drift. De dækker også sagsbehandlings- og journaliseringskrav og anlægsaktiver.

For it-infrastruktur og it-drift kan kontrollerne være adgangsstyring (hvem må ændre i systemer) og ændringsstyring (godkendelse af opdateringer). De kan også være backup og gendannelse samt logning af kritiske hændelser.

Sagsbehandlings- og journaliseringskrav indebærer, at sager registreres, dokumenteres og følges op efter faste retningslinjer. For anlægsaktiver kan kontrollerne bestå i et ajourført aktivregister, løbende afstemning mellem register og regnskab og fysisk optælling med passende intervaller.

Digitalisering og automatisering – også med AI i danske SMV'er

Statslige institutioner skal i størst muligt omfang have digital finansiel intern kontrol. Målet er færrest mulige ressourcer og størst mulig automatisering.

Leadership Capital Group peger på, at AI kan hjælpe danske SMV'er med at automatisere rutineopgaver, der tidligere krævede mange ressourcer – fx fakturering, tidsregistrering og lagerstyring – og dermed frigive tid til strategiske opgaver. AI kan også analysere data og forudsige efterspørgsel, så virksomheden bedre kan planlægge produktion og indkøb (forsyningskædestyring).

Leadership Capital Group fremhæver konkrete cases. En mindre grossistvirksomhed i Danmark brugte AI til at optimere lagerstyring, hvilket reducerede lageromkostningerne med 20% og forbedrede leveringstider. En dansk håndværksvirksomhed anvendte en AI-platform til at træne medarbejdere i sikkerhedsprocedurer via gamificerede læringsmoduler, hvilket reducerede arbejdsulykker med 15%. En dansk e-handelsvirksomhed implementerede en AI-baseret chatbot, der håndterede 70% af kundernes spørgsmål.

DI tilbyder rådgivning om bl.a. digitalisering og AI gennem SMV-Portalen. DI har over 20.000 små og store medlemmer fordelt på alle brancher, og langt størstedelen af danske virksomheder er SMV'er.

Effekter af AI i danske SMV'er – konkrete resultater

Fordele og udfordringer ved brug af AI i interne kontrolsystemer

Tilsyn, opfølgning og løbende forbedring

Tilsynet dækker underliggende institutioners varetagelse af offentlige midler, herunder opgavevaretagelse, tilrettelæggelse af finansielle processer og procedurer, it-sikkerhed og kvaliteten af de underliggende institutioners interne kontrolsystemer. Gennem tilsynet sikrer ledelsen en forsvarlig forvaltning af de offentlige midler for hele ministerområdet.

De underliggende institutioner tilrettelægger selv og ejer deres lokale kontrolsystemer og risikostyring. Departementet skal tilse, at kontrolsystemerne er tilstrækkelige.

Departementet skal også sikre udbedring ved brud på regler og krav. Det skal følge op på kritiske revisionsbemærkninger fra den interne eller eksterne revision.

Private virksomheder kan følge samme model. Ledelsen gennemgår løbende, om kontrollerne virker, om egne procedurer brydes, og om eksterne revisionsbemærkninger bør føre til strammere kontrol.

Sådan kommer I i gang med kontrolaktiviteterne

En pragmatisk rækkefølge er: 1) Fastlæg ansvaret for intern kontrol og risikostyring hos ledelsen. 2) Udarbejd en instruks, der beskriver den organisatoriske og opgavemæssige placering, jf. Økonomistyrelsens beskrivelse af krav til statslige institutioner. 3) Udpeg risici og prioritér dem. 4) Vælg de finansielle processer, der skal omfattes, og design konkrete kontroller.

5. Dokumentér hver kontrol med ansvarlig, frekvens og metode. 6) Digitalisér og automatisér, hvor det er muligt. 7) Følg løbende op på, om kontrollerne virker, og opdatér instrukser og kontroller ved ændringer.