Udførelse af operationel revision

Transkript

1 Kandidatafhandling Cand.Merc.Aud Institut for økonomi Forfatter: Anne Lærke Christensen Vejleder: Peter Ulrik Faurschou Udførelse af operationel revision - et nyt lovkrav til den interne revision i danske pengeinstitutter School of Business and Social Sciences Aarhus Universitet December 2015 Anslag ekskl. mellemrum:

2 Abstract In 2014, the International Monetary Fund (IMF) performed an inspection of the Danish FSA (Finanstilsynet) to ensure that supervisory practices in accordance with the Basel standards were in place. The report from the inspection emphasized among other things the following: There is a gap in the relevant EO (executive order) in not directing that internal auditors of banks must review risk management, compliance and control function 1 The above remark has led to the elaboration of the executive order (EO) on auditing nr from 15 December The Danish FSA has added requirements to the EO for the internal audit to review risk management, compliance and control function. The purpose of this thesis is to examine what practical consequences the amendment to the EO on auditing has caused, concerning the internal auditors in larger Danish banks. I have outlined the requirements in the applicable EO and in the EO in consultation from the 24 September I have furthermore conducted six interviews with internal auditors from larger Danish banks. The interviews and consultation responses form the basis for a discussion of the current and foreseeable effects of the amendment. This thesis will show that 20 out of 28 internal chief auditors had an internal auditors report which addressed the internal control procedures in the financial statements for The general attitude of the interviewees was that the legal requirement has not yet led to any changes in the work of internal auditors or in their risk assessments. However, it is expected that the amendment might lead to organizational changes to optimize the cooperation between the three lines of defense. Moreover, it will create a need for training employees to focus on identifying and understanding risks. Finally, the internal auditors must reassess the basis for risk assessment which might, to an extent, divert focus away from the historical figures in the financial statements. The debate and trends in the banking industry indicate a change in the internal auditors audit strategy. Therefore, the amendment to the EO on auditing is an ideal opportunity to take this up for discussion with the board of directors and the audit committee. The legal requirement breaks with the traditional audit methodology and provides the internal auditors with a more forward-looking risk-based approach. 1 IMF Country Report No. 14/352, Assessment of Principle 26, page 209 Side 2 af 64

3 Indholdsfortegnelse Abstract Indledning Problemfelt Problemformulering Metode og kildekritik Afgrænsning Anonymitet Projektdesign Revisionsbekendtgørelsen og det nye krav til intern revision om udførelse af operationel revision Indledning Baggrunden for revisionsbekendtgørelse nr af 15. december Krav til den interne revisions operationelle revision før BEK nr Revisionsbekendtgørelse nr af den 15. december Den interne og eksterne revisors konklusion i årsrapportprotokollatet Uddybning af genstand, formål og omfang i 2 samt bilag 4 i BEK nr Outsourcing af den operationelle revision Den nye revisionsbekendtgørelse i høring fra den 24. september Delkonklusion Hvordan fortolker branchens aktører revisionsbekendtgørelsens krav til intern revision? Finansrådets høringssvar af 6. november Sammenhængen til international praksis Dobbeltarbejde i konklusionsafgivelserne Behovet for specialister Lokale Pengeinstitutters høringssvar af 7. november FSR danske revisorers høringssvar af 6. november Skarpere opdeling mellem den eksterne og interne revisions arbejde Præcisering af definitionen på operationel revision i Foreningen af Interne Revisorers (IIA) høringssvar til BEK nr Bemærkninger til definitionen af finansiel revision og operationel revision i International Professional Practice Framework (IPPF) Delkonklusion Hvordan udfører den interne revision i de større, danske pengeinstitutter operationel revision i dag? Udførelse af operationel revision i de interviewede pengeinstitutter...38 Side 3 af 64

4 4.2 Operationel revision og teorien om de 3 forsvarslinjer Kompetencer og ressourcer i den interne revision Delkonklusion Vurdering af konsekvenserne for intern revision ved det nye lovkrav Praktiske ændringer i intern revisions arbejde efter offentliggørelsen af BEK nr Begrebsrammen og risikovurderingen af den operationelle revision Konsekvenser for medarbejderne i de interne revisionsfunktioner Opdelingen imellem den operationelle og finansielle revision, samt fordelingen af arbejde mellem den interne og eksterne revisor Langsigtede revisionsplaner Outsourcing og co-sourcing Delkonklusion Konklusion Perspektivering Litteraturliste Bilag...64 Side 4 af 64

5 1. Indledning 1.1 Problemfelt Den 15. december 2014 trådte den gældende bekendtgørelse om Revisionens gennemførelse i finansielle virksomheder m.v. samt finansielle koncerner i kraft. Den væsentligste ændring til revisionsbekendtgørelsen, i forhold til tidligere, er tilføjelsen af et krav om omfanget af den interne revisors udførelse af operationel revision jf. 22 stk. 1 i bekendtgørelsen 2. Dette lovfæstede krav kan medføre ændringer i fordelingen af arbejdet mellem den interne og eksterne revisor, da den interne revisors arbejdsopgaver tidligere næsten udelukkende har været baseret på den indgåede aftale med bestyrelsen, hvortil der lovgivningsmæssigt har været stor aftalefrihed. Kravet om operationel revision, udført af intern revision, træder i kraft for regnskaber, der påbegyndes fra den 1. januar Begrebet operationel revision har, modsat finansiel revision, ingen foruddefineret ramme, ud over den af 2 i bekendtgørelsen: Operationel revision: En revision af virksomhedens processer og interne kontrolsystem med det formål at teste og rapportere, om de er tilrettelagt og fungerer på betryggende vis. Ovenstående definition samt den manglende sammenhæng mellem paragrafferne og bilag i bekendtgørelsen har ført til forvirring og forskellige fortolkninger hos de interne revisorer i pengeinstitutterne, hvorfor de via flere interesseorganisationer offentligt har ytret ønske om en præcisering af kravet. Dette medførte, at Finanstilsynet den 24. september 2015 sendte en ny revisionsbekendtgørelse i høring. Ifølge det dertilhørende høringsbrev vil der ikke blive ændret materielt på kravene til intern revisions arbejde sammenholdt med den gældende bekendtgørelse fra den 15. december Med udgangspunkt i den gældende revisionsbekendtgørelse fra den 15. december 2014 og den nye bekendtgørelse i høring fra den 24. september 2015 er det interessant at undersøge, hvilke praktiske konsekvenser de nye krav til intern revision medfører. For de større, danske pengeinstitutter, som er underlagt krav om oprettelse af en intern revision, betyder ændringen i bekendtgørelsen, at der skal træffes valg såvel som fravalg. Hvordan skal intern revision organiseres fra nu af? Har de interne revisionsfunktioner tilstrækkelige ressourcer og kompetencer til at udføre den operationelle revision? Eller vil anvendelse af eksterne eksperter og den nye mulighed for outsourcing af den interne revision blive et nødvendigt tiltag? Vil man fortsat påtegne årsregnskabet, og hvad skal revi- 2 Når der i afhandlingen bliver henvist til bekendtgørelsen menes der Bekendtgørelse om revisionens gennemførelse i finansielle virksomheder m.v. samt finansielle koncerner, BEK nr af 15. december stk. 2 i BEK nr revisionens gennemførelse i finansielle virksomheder.. 4 Finanstilsynet. (24. september 2015). Høringsbrev vedr. ny revisionsbekendtgørelse. J. nr Side 5 af 64

6 sionens risikovurdering tage udgangspunkt i, hvis det ikke skal være årsregnskabet og de dertilhørende væsentlige regnskabsposter? I flere af de større pengeinstitutter i Danmark har den interne revisionsfunktion de seneste par år skiftet fokus fra finansiel- til operationel revision, hvilket bl.a. kan ses som en afledt effekt af branchens udvikling gennem finanskrisen 5. Spørgsmålet er derfor, om det nuværende fokus på operationel revision og de dertilhørende udførte revisionshandlinger vurderes tilstrækkelige i forhold til de nye krav pr. 1. januar Ifølge Finanstilsynets høringsbrev har Den Internationale Monetære Fond (IMF) ved deres undersøgelse af Finanstilsynet i 2014 fået det indtryk, at de største pengeinstitutter i Danmark i praksis allerede udfører operationel revision af alle væsentlige og risikofyldte områder 6. Problemet ifølge IMF var, at Finanstilsynet tidligere ikke har stillet et eksplicit krav i lovgivningen, om at den interne revisoror skal udføre operationel revision. Baseret på udtalelsen fra IMF synes ændringen i bekendtgørelsen umiddelbart ikke at medføre ændringer i praksis, men blot at være en lovfæstelse af handlinger der allerede bliver foretaget. Det er imidlertid ikke alle, der er enige i ovenstående påstand. I en artikel skrevet af revisionshuset Deloitte, konkluderes det, at den gældende bekendtgørelse fra den 15. december 2014: udvider kravene til den interne revisions arbejde, hvilket fremadrettet kan påvirke intern revisions ressourceforbrug samt arbejdsdelingen mellem intern og ekstern revision. 7 Det ses tydeligt, at der i branchen er delte meninger om, hvad bekendtgørelse nr har medført af praktiske konsekvenser for intern revision. 5 PwC. (2015) State of the Internal Audit Profession Study 6 Finanstilsynets høringsbrev fra den 9. oktober 2014, J.nr Deloitte. (2015). Føling med de praktiske konsekvenser af revisionsbekendtgørelsens krav om operationel revision. Side 6 af 64

7 1.2 Problemformulering Med udgangspunkt i ovenstående problemfelt vil jeg gennem teori og empiri besvare følgende problemformulering: Hvilke konsekvenser medfører lovkravet om udførelse af operationel revision, der træder i kraft den 1. januar , for intern revision i de større, danske pengeinstitutter? For at kunne besvare problemformuleringen, vil jeg gennem en redegørelse, analyse og vurdering undersøge og besvare følgende fire underspørgsmål: Hvad siger den gældende revisionsbekendtgørelse samt bekendtgørelsen i høring om det nye krav 9 til intern revision, og hvordan defineres begrebet operationel revision heri? Hvordan fortolker branchens aktører revisionsbekendtgørelsens krav til intern revision? Hvordan udfører intern revision i de større, danske pengeinstitutter operationel revision i dag? Hvilke følger har det nye lovkrav på nuværende tidspunkt for intern revisions arbejde i de større, danske pengeinstitutter, og hvilke konsekvenser forventes det yderligere at medføre? 1.3 Metode og kildekritik Opgaven er delt op i fire hovedafsnit, som tilsammen dækker følgende taksonomiske niveauer: redegørelse, analyse og vurdering. Metodevalg og kildekritik i forhold til de fire afsnit vil blive gennemgået herunder. Grundet problemstillingens aktualitet er der ikke skrevet meget om emnet operationel revision tidligere, og denne afhandling bliver derfor hovedsageligt bygget op om empiriske data fra enkeltperson interviews. Redegørelse: Til besvarelse af de to første underspørgsmål, hvor der søges en definition på begrebet operationel revision, tages der udgangspunkt i den juridiske metode. Jeg vil redegøre for begrebet med afsæt i revisionsbekendtgørelserne, 10 hvorved teorien vil blive brugt som begrebsafklarende. 11 Der er tale om primære data 8 Jf. 22, stk. 1 i den gældende revisionsbekendtgørelse nr af 15. december 2014 og 21, stk. 1 i den nye revisionsbekendtgørelse i høring fra den 24. september Kravet om at den interne revisors udførte revision skal omfatte den administrative praksis jf. 22 stk. 1 i BEK nr revisionens gennemførelse i finansielle virksomheder.. 10 BEK nr af 15. december 2014 og revisionsbekendtgørelsen i høring pr. 24. september Voxted, Søren. (2008) Valg der skaber viden om samfundsvidenskabelige metoder. Academica, 1. udgave, side 20 Side 7 af 64

8 udstedt af Erhvervs- og Vækstministeriet. Det primære data vurderes at være gyldigt, pålideligt og tilstrækkeligt 12. Besvarelsen suppleres af en redegørelse af de relevante høringssvar til revisionsbekendtgørelserne, og vil på baggrund heraf være baseret på en kvalitativ metodetilgang, hvor teorien om de 3 forsvarslinjer 13 og Assurance Bucket teorien 14 bliver inddraget. Jeg har i afhandlingen forholdt mig kritisk til kildernes manglende objektivitet, da det antages, at alle høringssvarene er præget af aktørerne og deres medlemmers egeninteresser. Analyse: Analysedelen i opgaven baseres på interviews med enkeltpersoner, der udgør empirisk kvalitativt data, så jeg bl.a. kan besvare underspørgsmålene om, hvordan pengeinstitutterne i dag udfører operationel revision, og hvordan de tolker det nye lovkrav. Anskues den anvendte metode ud fra teorien om det videnskabelige hjul, benytter jeg mig af induktion ved at analysere på den specifikke empiri fra interviewene og bruge denne til at udvikle og formulere den generelle teori. 15 Jeg har i mit valg af interviewtype kombineret det eksplorative interview og dybdeinterviewet. 16 Den eksplorative del af interviewene skal give mig viden om forhold, som der ikke er meget skriftligt materiale om, hvilket også er årsagen til, at interviewene er lagt tidligt i skrivefasen fra den 25. august-23. september Tidspunktet for afholdelse af interviews har også betydet, at disse er afholdt, inden den nye revisionsbekendtgørelse kom i høring den 24. september Den sidste del i interviewene vil minde om dybdeinterviews og dermed være mere ustrukturerede og personlige. 17 Jeg har valgt at lave flere korte interviews i stedet for at lave ét længere case-interview for at få så mange førstehåndsperspektiver som muligt. Jeg har kontaktet seks professionelle interviewpersoner, der alle er enten revisionschefer eller repræsentanter herfor i udvalgte pengeinstitutter i Danmark. Disse informanter er nøje udvalgt som personer med stor indsigt og praktisk erfaring med emnet. Læs mere om udvælgelsen af de seks pengeinstitutter i afsnit 1.4 Afgrænsning. 12 Fuglsang, Lars m.fl. (2007). Teknikker i samfundsvidenskaberne. Roskilde Universitetsforlag, 1. udgave, side IIA Position Paper. The Tree Lines of Defense in Effective Risk Management and Control (2013) 14 Eilifsen, Messier, Glover og Prawitt. Auditing & Assurance Services (2014), side Voxted, Søren. (2008) Valg der skaber viden om samfundsvidenskabelige metoder. Academica, 1. udgave, side Fuglsang, Lars m.fl. (2007). Teknikker i samfundsvidenskaberne. Roskilde Universitetsforlag, 1. udgave, side Voxted, Søren. (2008) Valg der skaber viden om samfundsvidenskabelige metoder. Academica, 1. udgave, side 186 Side 8 af 64

9 Jeg har opnået en svarprocent på 100 % fra de adspurgte. De fem interviews er foretaget face-to-face, hvorimod det sjette interview af praktiske årsager blev foretaget over telefonen. Dette vurderes imidlertid ikke at have betydning for kvaliteten af data. De fem face-to-face interviews er blevet båndet, og transskriberingerne er vedlagt som bilag 3. Telefoninterviewet er der taget notater til, som ligeledes er vedlagt i bilag 3. Da de valgte interviewformer er semistrukturerede, har jeg udarbejdet en interviewguide inden udførelsen. Guiden er vedlagt som bilag 1. I bearbejdelsen af data til afhandlingen vil jeg forholde mig kritisk til de foretagne interviews, da de interne revisorer som kilde hverken er helt objektive eller utendentiøse i deres udsagn. Det antages derimod, at de interne revisorer er interesseret i at bibeholde så meget ansvar, prestige, indflydelse og ressourcer i deres afdelinger som muligt. Vurdering: Udgangspunktet for kvalitativt data er fortolkning. Dette vil jeg bruge i det tredje afsnit i opgaven, hvor jeg vil vurdere og diskutere resultaterne af analysen, og hvilke konsekvenser jeg vurderer, at det nye lovkrav allerede har medført, og hvad der eventuelt vil følge af yderligere konsekvenser. Metoderne ovenfor beskriver, hvordan jeg vil indsamle og analysere kvalitativt data til denne afhandling, samt benytte det som argumentation for det videnskabelige udsagn, jeg fremlægger i afhandlingens konklusion. Side 9 af 64

10 1.4 Afgrænsning I dette afsnit redegør jeg for de fravalg, jeg vil foretage i forbindelse med opbygningen af afhandlingen og besvarelsen af problemformuleringen. Emnet, data og metoder afgrænses således, at afhandlingens redegørelse, analyse og vurdering er nødvendige, relevante og dækkende for at kunne besvare problemformuleringen. Som problemformuleringen antyder, har jeg valgt at afgrænse denne afhandling geografisk (Danmark) såvel som funktionsmæssigt (pengeinstitutter). Herudover har jeg i de foretagne interviews yderligere afgrænset til seks af de større pengeinstitutter i Danmark, baseret på størrelsen af den arbejdende kapital ud fra Finanstilsynets statistik over branchen fra Jeg har i afhandlingen lagt vægt på de interne revisorers fortolkning af det nye lovkrav, og vil derfor kun meget lidt komme ind på problemstillingen set fra den eksterne revisors synsvinkel. Det bør også understreges, at jeg i afhandlingen kun koncentrerer mig om den del af lovgivningen, der vedrører kravet om operationel revision, og vil derfor ikke komme ind på de øvrige ændringer, som den gældende revisionsbekendtgørelse har medført. Afslutningsvis skal det desuden bemærkes, at afhandlingens problemformulering lægger op til en kvalitativ metodetilgang, hvorfor brugen af kvantitative data vil være begrænset. Grundet aktualiteten af emnet er det endnu ikke muligt at indhente målbare data af konsekvenserne af lovændringen. 1.5 Anonymitet De seks udvalgte pengeinstitutter, hvor jeg har udført interviews med revisionschefer eller andre ledende medarbejdere fra den interne revisionsafdeling, er holdt anonyme. Det vil sige, at jeg i afhandlingen og bilag refererer til Bank 1, Bank 2, Bank 3 osv. Dette er gjort efter ønske fra interviewpersonerne grundet emnets aktualitet og eventuelt følsomme oplysninger. I forbindelse hermed er det vurderet, at det ikke har betydning for denne afhandlings indhold og konklusion, at de interviewede pengeinstitutter fremgår anonyme. 18 Jf. Finanstilsynets statistik pr når der ses bort fra filialer af udenlandske pengeinstitutter. Side 10 af 64

11 1.6 Projektdesign Herunder ses figur 1.6.A, der illustrerer denne afhandlings opbygning samt sammenhængene imellem de forskellige afsnit. Figur 1.6.A Projektdesign Kilde: Egen fremstilling Side 11 af 64

12 2. Revisionsbekendtgørelsen og det nye krav til intern revision om udførelse af operationel revision 2.1 Indledning Ifølge Finanstilsynets høringsbrev fra den 9. oktober 2014, vedrørende revisionsbekendtgørelse nr. 1392, er den væsentligste ændring til bekendtgørelsen:..at indføre et eksplicit krav om, at den af intern revision udførte revision skal omfatte virksomhedens administrative og regnskabsmæssige praksis på alle væsentlige og risikofyldte områder i virksomheden, herunder forretningsgange og kontrolprocedurer. 19 Jf. 22, stk. 1 i den gældende bekendtgørelse er der på baggrund af ovenstående indført et krav til omfanget af den interne revisions handlinger vedrørende operationel revision. Jeg vil i det følgende redegøre for definitioner, fortolkninger og sammenhænge i revisionsbekendtgørelsen af den 15. december Derudover vil jeg redegøre for de relevante ændringer i udkastet til den nye revisionsbekendtgørelse, som blev sendt i høring af Finanstilsynet den 24. september Baggrunden for revisionsbekendtgørelse nr af 15. december 2014 I 2014 var den Internationale Monetære Fond (IMF) på inspektion hos Finanstilsynet i Danmark for at sikre, at der føres god tilsynspraksis i overensstemmelse med Basel standarderne. IMF s overordnede konklusion på inspektionen var meget positiv, og de skrev i deres rapport fra besøget: Denmark has a high level of compliance with the Basel Core Principles 20. Rapporten fremhævede også nogle punkter, hvor Finanstilsynet kan forbedre tilsynspraksis. Bl.a. blev følgende nævnt vedrørende princip : There is a gap in the relevant EO (executive order) in not directing that internal auditors of banks must review risk management, compliance and control function; from review of audit books and discussions with bankers the assessors saw evidence that some such reviews are done (at least for the largest banks), but it is important that the EO be appropriately updated 22 Det er netop også ovenstående anmærkning, som Finanstilsynet har forsøgt at rette op på med vedtagelsen af revisionsbekendtgørelse nr af den 15. december Dette fremgår også tydeligt i deres hørings- 19 Finanstilsynets høringsbrev fra den 9. oktober 2014, J.nr Princip 26 i Core Principles for Effective Banking Supervision 22 IMF Country Report No. 14/352, Assessment of Principle 26, side 209 Side 12 af 64

13 brev i forbindelse med sagsbehandlingen, hvor de skriver, at IMF ved deres undersøgelse af Finanstilsynet i 2014, har fået det indtryk, at de største pengeinstitutter i Danmark i praksis allerede udfører operationel revision af alle væsentlige og risikofyldte områder, og at der derfor blot er tale om, at man tidligere ikke har stillet et eksplicit krav i lovgivningen til, at intern revision skal revidere risiko- og compliancefunktionen 23. Baseret på rapporten fra IMF synes ændringen i bekendtgørelsen ikke at medføre ændringer i praksis for de større pengeinstitutter, men derimod blot at være en lovfæstelse af allerede udførte handlinger Krav til den interne revisions operationelle revision før BEK nr Ifølge den tidligere bekendtgørelse nr har kravet til intern revision, været at de skulle deltage i revisionen af de væsentlige og risikofyldte poster i regnskabet 24, men kun hvis bestyrelsen har vedtaget, at revisionschefen påtegner årsregnskabet. Den interne revisions arbejde skulle udføres i henhold til god revisorskik og den aftale, der var lavet imellem den eksterne- og interne revisor, samt funktionsaftalen med bestyrelsen 25. Det har altså ikke tidligere været eksplicit beskrevet, at intern revision skulle udføre revision af forretningsgange og kontroller vedrørende den administrative praksis, dog fremgår det af bilag 2 i BEK nr. 1024, at handlinger vedrørende vurdering af risikostyrings- og compliancefunktionen vil kunne udføres af intern revision 26. Det antages, at bestyrelsen og revisionskomiteens forventninger til intern revision har indflydelse på den interne revisors arbejde. Revisionskomiteen skal ifølge revisorloven og EU s 8. direktiv overvåge det interne kontrolsystem, intern revision og pengeinstituttets risikostyringssystemer 27. Det må på baggrund heraf forventes, at lovkravene til revisionskomiteen vil smitte af på komiteens forventninger til intern revisions arbejde. Eilifsen, Messier, Glover og Prawitt (2014) har i deres bog Auditing & Assurance Services (2014) beskrevet Assurance Bucket teorien (se figur 2.1.A herunder). Hensigten med figuren er at visualisere, hvordan en revisor tager en beslutning om, hvilken kombination af revisionshandlinger og -bevis der er tilstrækkeligt for revisionens formål at afgive en positiv konklusion om at årsregnskabet er frit for væsentlige fejl og mangler. Spanden skal altså være fyldt med passende og tilstrækkeligt revisionsbevis for at opnå den grad af sikkerhed og overbevisning, der ligger til grund for den givne revisors påtegning. 23 Finanstilsynets høringsbrev fra den 9. oktober 2014, J.nr Bilag 4, afsnit 2.1 i BEK nr revisionens gennemførelse i finansielle virksomheder , stk. 1 i BEK nr revisionens gennemførelse i finansielle virksomheder.. 26 Bilag 2, punkt i BEK nr revisionens gennemførelse i finansielle virksomheder , kapitel 8 i LOV nr. 468 Lov om godkendte revisorer og revisionsvirksomheder og artikel 41 i Europa- Parlamentets og rådets direktiv 2006/43/EF af 17. maj 2006 Side 13 af 64

14 Figur 2.1.A Filling the Assurance Bucket Kilde: Eilifsen, Messier, Glover & Prawitt 2014, side 143) Som figuren viser, består en revision oftest af flere elementer såsom risikovurderingsprocessen, test af kontroller, analytiske handlinger og detailtest. En spand kan naturligvis kun fyldes fra bunden, hvorfor en revisor (intern som ekstern), der skal foretage finansiel revision af regnskabet, nødvendigvis må udføre risikovurderingen, før han eller hun tester de interne kontroller og processer. Hermed foretages der operationelle revisionshandlinger med udgangspunkt i en risikovurdering baseret på regnskabet. Man kan derfor argumentere for, at den finansielle og den operationelle revision til en vis grad hænger sammen. Finansiel revision vil ud fra figuren altid indeholde et implicit krav til at udføre operationel revision af de regnskabsrelaterede processer, hvorimod operationel revision ikke er begrænset til at vedrøre regnskabet og derved kan omhandle andre væsentlige områder, som den finansielle revision ikke dækker. Ovenstående pointe er delvist dokumenteret i den internationale revisionsstandard nr. 315, hvoraf det fremgår, at den finansielle revision kræver forståelse for virksomhedens interne kontrol IFAC. (2009). ISA 315, dansk oversættelse fra side 2 Side 14 af 64

15 2.2 Revisionsbekendtgørelse nr af den 15. december 2014 Jeg vil herunder redegøre for de nuværende krav til udførelse af operationel revision, som BEK nr stiller til intern revision. Nedenfor er opstillet en skematisk oversigt over fire af de steder i bekendtgørelsen, som er relevante i forhold til definitionen af operationel revision og de dertilhørende handlinger: Tabel 2.2.A Oversigt over relevant lovtekst i BEK nr Reference i BEK. Nr Lovtekst 2, stk. 2 Operationel revision: En revision af virksomhedens processer og interne kontrolsystem med det formål at teste og rapportere, om de er tilrettelagt og fungerer på betryggende vis. 12, stk. 1 og 2 (Obs, jf. 28, stk. 4 er 12 også gældende for den interne revisors årsrapportprotokollat) Den eksterne revision skal i protokollatet vedrørende årsregnskabet afgive konklusion om, hvorvidt virksomhedens administrative og regnskabsmæssige praksis på væsentlige områder, herunder forretningsgange og interne kontrolprocedurer, er tilrettelagt og fungerer på betryggende vis. I denne forbindelse skal den eksterne revisor endvidere konkludere, hvorvidt: 1) virksomhedens samlede system-, data- og driftssikkerhed er og fungerer betryggende, og 2) den eksterne revision er blevet bekendt med forhold, der er i strid med kravene i lovgivningen vedrørende finansielle virksomheder herunder 71 i lov om finansiel virksomhed og den i medfør heraf udstedte bekendtgørelse om ledelse og styring af instituttet. 22, stk. 1 Den af intern revision udførte revision skal omfatte virksomhedens administrative og regnskabsmæssige praksis på alle væsentlige og risikofyldte områder i virksomheden, herunder forretningsgange og interne kontrolprocedurer, jf. bilag 4. Bilag 4, afsnit 2.2 Operationel revision indebærer en vurdering af virksomhedens processer, med det formål at teste og rapportere, om de er tilrettelagt og fungerer på betryggende vis. Operationel revision omfatter, ud fra en vurdering af væsentlighed og risiko, forretningsgange og interne kontrolprocedurer, vedrørende årsregnskabet. Dette gælder uanset om intern revision deltager i den finansielle revision eller ej. Operationel revision omfatter, afhængig af virksomhedens aktivitet og størrelse, bl.a. en procesgennemgang med fokus på kvalitet, pålidelighed, dokumentation og kontroller på alle væsentlige og risikofyldte områder i virksomheden (herunder også risikostyrings- og compliancefunktionen, se nedenstående afsnit og 2.2.2), en vurdering af pålideligheden af den finansielle- og operationelle rapportering, overholdelse af love og regler samt sikring af virksomhedens værdier. Efterforskning af bedrageri kan indgå. Der henvises til bilag 2, punkt 10-35, hvoraf det fremgår hvilke områder, der normalt vil være væsentlige for de enkelte virksomhedstyper. Kilde: BEK nr revisionens gennemførelse i finansielle virksomheder.. + egen fremstilling Side 15 af 64

16 22, stk. 1 er den paragraf, hvor kravet til den interne revision er blevet lovfæstet. Lovteksten i 22, stk. 1 er i overensstemmelse med den konklusion, som den interne (og den eksterne) revisor skal afgive i årsrapportprotokollatet jf. 12. For at finde frem til hvad der menes med virksomhedens administrative og regnskabsmæssige praksis, skal man kigge i ledelsesbekendtgørelsen 29, som der henvises til i 12. I ledelsesbekendtgørelsen er begreberne administrativ og regnskabsmæssig praksis defineret i kapitel 5. Den administrative praksis er her beskrevet, som at virksomheden skal have tilgængelige og opdaterede procesbeskrivelser for alle væsentlige aktivitetsområder. Beskrivelserne skal bl.a. sikre, at lovgivning samt de af ledelsen besluttede politikker efterleves og overholdes 30. Formuleringen af den administrative praksis lægger sig umiddelbart tæt op af anbefalingen fra IMF jf. deres rapport til Finanstilsynet fra december Heri fremhæver IMF også overholdelse af lovgivning (compliance) som et væsentligt revisionsområde: Modify regulations to direct internal auditors of banks to review riskmanagement, compliance and control functions 31. I ledelsesbekendtgørelsen er den regnskabsmæssige praksis beskrevet, som at virksomheden kan dokumentere, at årsrapporter er udarbejdet i overensstemmelse med gældende regelsæt, som ofte vil være IFRS. Dette skal udføres helt ned på regnskabspost- og noteniveau 32. Med ledelsesbekendtgørelsens definitioner forstås det nye krav til den interne revisor at dække både processerne op imod regnskabet, de regnskabsrelaterede og regnskabsfjerne processer. Det er revisionen af disse processer og dertilhørende kontroller, som Finanstilsynet har samlet i begrebet operationel revision, hvilket bruges videre i bilag 4 i revisionsbekendtgørelsen. 22, stk. 1 har ikke kun medført et krav om kontrol af virksomhedens administrative praksis på alle væsentlige og risikofyldte områder, men har også gjort dette til et krav, uanset om den interne revisor påtegner årsregnskabet ud fra 30, stk eller ej. Det nye lovkrav kan derved overordnet ses som et minimumskrav til de interne revisorer, som ikke påtegner årsregnskabet 34, da det antages jf. afsnit 2.1.2, at de revisorer som påtegner årsregnskabet alt andet 29 BEK nr Bekendtgørelse om ledelse og styring af pengeinstitutter m. fl og 14 i BEK nr Bekendtgørelse om ledelse og styring af pengeinstitutter m. fl. 31 IMF Country Report No. 14/352, Assessment of Principle 26, side i BEK nr Bekendtgørelse om ledelse og styring af pengeinstitutter m. fl. 33 BEK nr revisionens gennemførelse i finansielle virksomheder.. 34 Deloitte. (2015). Føling med de praktiske konsekvenser af revisionsbekendtgørelsens krav om operationel revision. Side 16 af 64

17 lige har foretaget operationel revision af processerne op imod regnskabet samt de direkte regnskabsrelaterede processer. Danske Bank A/S er et af de pengeinstitutter, som for 2015 har ændret deres revisionsstrategi således, at de interne revisorer kun udfører operationel revision, og den eksterne revisor derfor foretager den fulde finansielle revision med udgangspunkt i årsrapporten 35. Hvis man læser kravet i revisionsbekendtgørelse nr , stk. 1 og definitionerne af administrativ og regnskabsmæssig praksis i ledelsesbekendtgørelsen ordret, synes en skarp opdeling af finansiel og operationel revision mellem den interne og eksterne revisor i praksis ikke at være en mulighed. Dette skyldes, at den interne revisor også skal være involveret i de regnskabsrelaterede processer jf. bilag 4, pkt Ovenstående er et eksempel på, hvor definitionerne i bekendtgørelsen kan komme i konflikt med måden, hvorpå den interne og eksterne revisor i praksis har et ønske om at fordele arbejdet i deres revisionsaftaler Den interne og eksterne revisors konklusion i årsrapportprotokollatet Som ovenfor beskrevet er der et overlap imellem den interne og eksterne revisors ansvarsområder, da de skal afgive den samme konklusion i årsrapportprotokollatet jf. 12 i BEK nr Spørgsmålet er derfor, hvorvidt lovtekstens formulering afspejler Finanstilsynets oprindelige hensigt, og de derved ønsker dobbeltsikkerhed for revisionen af den administrative og regnskabsmæssige praksis, eller om der er tale om en forglemmelse i opdateringen af bekendtgørelsen. Som en konsekvens af finanskrisen fra 2007 til 2010 har banksektoren de seneste par år været igennem en markant stramning via politiske reguleringer, så et ønske om dobbeltsikkerhed fra Finanstilsynets side vil ikke afvige fra den til tider overregulerende tendens i branchen. Lars Løkke Rasmussen har på Dansk Erhvervs årsmøde den 14. maj 2013 udtalt: Vi skal udføre systematiske nabotjek, for at sikre, at Folketinget ikke gennemfører mere byrdefuld regulering end i nabolandene. Bl.a. skal Danmark ikke regulere danske banker mere, end man gør i resten af Europa for så bliver det gode forvandlet til det tossegode 36. Ændringerne til revisionsbekendtgørelsen er opstået på baggrund af europæiske reguleringer via Basel reglerne, men med kravet om dobbeltrevision af pengeinstitutternes administrative og regnskabsmæssige praksis ser det ud til, at Finanstilsynet overregulerer sammenholdt med de europæiske krav Christopher Arzrouni. (2013) Sådan ser Løkkes revolution ud Side 17 af 64

18 På trods af at der tidligere ikke har været et lovgivningsmæssigt krav til intern revision om at konkludere på den operationelle revision, er det i praksis ofte blevet gjort. Ud af de seks repræsenterede pengeinstitutter i de foretagne interviews har fem af dem påtegning fra den interne revisionschef i årsrapporten for I fire af påtegningerne fremgår det, at der er udført revisionshandlinger, som hører under definitionen af administrativ og regnskabsmæssig praksis jf. ledelsesbekendtgørelsen. Et eksempel på en sådan formulering i den interne revisions påtegning er følgende: Revisionen er udført i henhold til den arbejdsdeling, der er aftalt med ekstern revision, og har omfattet vurdering af etablerede forretningsgange og interne kontroller, herunder den af ledelsen tilrettelagte risikostyring, der er rettet mod rapporteringsprocesser og væsentlige forretningsmæssige risici 37. Assurance Bucket teorien og ISA 315 understøtter ovenstående praktiske eksempel da man for at kunne foretage finansiel revision og derved påtegne årsregnskabet, også til en vis grad er nødt til at foretage revision af den administrative og regnskabsmæssige praksis Uddybning af genstand, formål og omfang i 2 samt bilag 4 i BEK nr Ved gennemgangen af 22, stk. 1 og 12 i ovenstående afsnit blev det gjort klart, at lovkravet til intern revision om at udføre operationel revision spænder bredt, og dækker derved både processerne op imod regnskabet, de regnskabsrelaterede og regnskabsfjerne processer. Der er ikke sammenhæng imellem konklusionen på den regnskabsmæssige praksis og den anbefaling, som IMF havde i deres rapport til Finanstilsynet, da definitionen af den regnskabsmæssige praksis rækker langt ud over, hvad IMF har skrevet. Det er derfor nødvendigt at kigge nærmere på bekendtgørelsen i 2 og bilag 4, hvor Finanstilsynet også har lavet ændringer i forhold til tidligere udgaver. Ændringerne skal være med til at materialisere, hvad der menes med operationel revision. Definitionen af operationel revision er lovfæstet i 2 stk. 2 og må antages at være ændringens oprindelige hensigt at definere hvad operationel revision er. Der er dog ikke sammenhæng mellem termerne i 2 og termerne i de to ovenfor gennemgåede paragraffer - 12 og 22, stk definerer genstanden (En revision af virksomhedens processer og interne kontrolsystem) og formålet (at teste og rapportere, om de er tilrettelagt og fungerer på betryggende vis), men det fremgår ikke, hvad omfanget af kravet er. Dette fremlægges kun andetsteds i bekendtgørelsen. Til gengæld er definitionen i overensstemmelse med IMF s anbefaling. I 22, stk. 1 og 12 er genstanden forskellig fra 2, hvilket giver anledning til forvirring om, hvad det rent faktisk er, Finanstilsynet vil have den interne revision til at revidere. Skal man kigge på den administrative 37 Spar Nord Bank A/S. Offentliggjort årsrapport 2014 Side 18 af 64

19 og regnskabsmæssige praksis? Eller virksomhedens processer og interne kontrolsystem? Heraf er sidstnævnte formulering knap så specifik i forhold til, hvad udgangspunktet for risikovurderingen skal være. Bilag 4 i bekendtgørelsen har overskriften: Intern revisions opgaver og ansvar og opridser de forhold, som intern revision skal være opmærksom på, inden en opgave påtages samt eksempler på arbejdshandlinger, som skal udføres ved finansiel og operationel revision. 38 Bilag 4 har også figureret i tidligere udgaver af bekendtgørelsen, men i forbindelse med at der er kommet et eksplicit krav om udførelse af operationel revision, er der også lavet tilføjelser og ændringer hertil. Jf. bilag 4 afsnit 2.2 følges definitionen fra 2, stk. 2 videre, og der tilføjes nu et yderligere element til definitionen: Operationel revision omfatter, ud fra en vurdering af væsentlighed og risiko, forretningsgange og interne kontrolprocedurer, vedrørende årsregnskabet. Dette gælder uanset om intern revision deltager i den finansielle revision eller ej.. Af ovenstående fremgår det, at risikovurderingen for den operationelle revision skal tage udgangspunkt i årsregnskabet, uanset om den interne revisor påtegner årsregnskabet eller ej. Dette stemmer ikke overens med definitionen af operationel revision i 2, stk. 2, men mere med definitionen af den finansielle revision i 2, stk. 1 i bekendtgørelsen. Figur 2.2.B herunder illustrerer den kendte model for de 3 forsvarslinjer. Figuren er en alment kendt model indenfor Risk Management i banksektoren, og den viser den teoretisk optimale opdeling af kontrolenheder i et effektivt Enterprise Risk Management (ERM) koncept. Interne revision er en del af den 3. forsvarslinje og arbejder direkte under bestyrelsen og det eventuelle revisionsudvalg. Det er væsentligt at have dette in mente, når der bestemmes, hvad risikovurderingen skal tage udgangspunkt i. Den eksterne revisor er offentlighedens tillidsrepræsentant, og det er derfor naturligt, at deres risikovurdering tager udgangspunkt i årsregnskabet, som offentliggøres til brug for tredje mand. 38 Bilag 4 i BEK nr revisionens gennemførelse i finansielle virksomheder.. Side 19 af 64

20 Figur 2.2.B De 3 forsvarslinjer Kilde: Figuren er egen fremstilling, men inspireret af IIA s figur The Three Lines of Defense Model fra side 2 i deres udgivelse: IIA Position Paper: The Tree Lines of Defense in Effective Risk Management and Control (2013) Intern revision arbejder derimod kun for bestyrelsen, og et udgangspunkt for deres risikovurdering kunne være den iboende risiko mod bestyrelsens fastlagte strategier 39. Denne betragtning er ikke i overensstemmelse med formuleringen af lovkravet til den interne revision i bilag 4. Så hvis hensigten med bekendtgørelse nr er, at intern revision skal udføre operationel revision ud fra definitionen i 2, stk. 2, så vil der være et mismatch i forhold til at den eksterne og interne revision skal afgive samme konklusion på baggrund af 12, hvor den eksterne revision afgiver konklusionen på baggrund af revision af årsrapporten, og den interne revision afgiver konklusionen på baggrund af revisionen af virksomhedens processer og interne kontroller. Ydermere kan der stilles spørgsmålstegn ved sidste del af formuleringen for operationel revision i 2, stk. 2.. tilrettelagt og fungerer på betryggende vis. Denne formulering kan give anledning til subjektive fortolkninger og diskussioner. Det kan for eksempel diskuteres i hvilken grad processer og kontrolsystemer skal fungere for at dette er på betryggende vis, da der ikke er retningslinjer for hvem der afgør hvad udtrykket betryggende vis dækker? Er det regnskabsbrugerne? Bestyrelsen? Revisionschefen? Igen henvises der til figur 2.2.B, hvor det fremgår, hvem intern revision er ansat af og arbejder for. 39 IIA. (2015). INFO nr. 59. Medlemsblad. Side 10. Side 20 af 64

21 I den tidligere udgave af bekendtgørelsen har definitionen af operationel revision ikke været en del af lovteksten, men i stedet været vist i bilag 4 og lød således: Operationel revision indebærer en vurdering af virksomhedens processer, med det formål at teste og rapportere, om de er i overensstemmelse med de af ledelsen fastsatte mål. 40 I den tidligere udgave er formuleringen af formålet for den operationelle revision mere konkret og målbar, da ledelsen her forventes at fastsætte mål for virksomhedens processer og kontroller, som den interne revisor så kan revidere efter. Problematikken med den tidligere definition er, at de af ledelsen fastsatte mål kan spænde meget bredt. Det vil sige, at intern revision måske skulle forholde sig til mål for kundetilfredshed og vækst, hvilket kan være svært at bestemme betydningen af i forhold til risikovurderingen. Det er vigtigt at forstå, at revisor ved den finansielle revision har en begrebsramme i henhold til kravene i de internationale standarder om revision og yderligere krav ifølge dansk revisorlovgivning. Når det kommer til den operationelle revision er der ikke en konkret begrebsramme, men kun et krav om at det udføres ved efterlevelse af god revisorskik 41. Målbarheden er derfor essentiel for at vurdere, hvorvidt lovkravet er overholdt. Den tidligere definition var mere konkret og målbar, men samtidig for bred i forhold til det egentlige formål med at udføre operationel revision. Den nye definition giver til gengæld mulighed for at fokusere på de relevante strategier, som rent faktisk bidrager med værdi til virksomheden. Bilag 4 er bredere end konklusionskravet i 12, da der her specificeres handlinger vedrørende den operationelle revision. Jf. afsnit 2.2 i bilag 4 er handlingerne ved operationel revision variable og afhænger af virksomhedens størrelse. Det vil sige, at handlingerne f.eks. kan omfatte en gennemgang af virksomhedens processer med fokus på kvalitet, pålidelighed, dokumentation og kontroller på alle væsentlige og risikofyldte områder i virksomheden. Derudover omfatter det også revision af risikostyrings- og compliancefunktionen. Dette er også illustreret i figuren på forsiden af denne afhandling, hvor de nævnte områder ligger inden for rammerne af den operationelle revisions cirkel, samt i overensstemmelse med teorien om de 3 forsvarslinjer i figur 2.2.B. Ovenfor beskrevne handlinger er sammenlignelige med kravene til den eksterne revisor jf. bekendtgørelsens bilag 1. Der er i bilag 4 i bekendtgørelsen stillet yderligere krav vedrørende den operationelle revision, som giver et bredere fokus for den interne revisors arbejdsområder. Hermed menes kravene om vurdering af pålideligheden af den finansielle- og operationelle rapportering, sikring af virksomhedens værdier samt efterforskning af bedrageri, hvoraf det sidste punkt blot beskrives som, at det kan indgå. 40 Bilag 4, afsnit 2.2 i BEK nr revisionens gennemførelse i finansielle virksomheder i BEK nr revisionens gennemførelse i finansielle virksomheder.. Side 21 af 64

22 Udover præciseringen i bilag 4 skal intern revision i deres udførelse af operationel revision også dække punkt i bilag 2 (beskrivelse af revisors arbejdshandlinger). Her er der listet følgende revisionsområder som pr. definition er vurderet væsentlige og risikofyldte for pengeinstitutter: kreditrisici, investeringsområdet, forsikringsrisici, markedsrisici, likviditetsrisici og operationelle risici. Ovenstående viser, at omfanget af den operationelle revision til dels er beskrevet i bekendtgørelsen, men samtidig skal der laves en vurdering og præcisering i forhold til det enkelte pengeinstitut, for at vurdere hvad der er væsentligt for det enkelte institut på baggrund af dets størrelse, risikoprofil mv Outsourcing af den operationelle revision Som noget i nyt i revisionsbekendtgørelsen er det nu en mulighed for den interne revision at outsource den operationelle revision. Af bilag 4 punkt 1.3 fremgår det at: Intern revision må gerne benytte eksperter eller outsource den operationelle revision under iagttagelse af god revisorskik, jf. ISA 620 og ISA 220. Det er fortsat intern revision, som skal afgive konklusion efter 12, og ansvaret kan ikke mindskes, hvorfor der også er krav til, at intern revision kan vurdere eksperternes kompetencer og objektivitet. Fordelene ved denne ændring er, at det kan tilgodese de mindre pengeinstitutter, hvor den interne revisionsafdeling typisk er begrænset ressource- og kompetencemæssigt. Intern revision har imidlertid en fordel, ved at de til daglig kun sidder med ét pengeinstitut, og derfor har en meget større forståelse af pengeinstituttets strategi og processer sammenlignet med den eksterne revisor, som ofte kun er på besøg et par uger om året. Til gengæld har intern revision ikke samme mulighed som ekstern revision for at sammenligne praksis fra andre virksomheder. Outputtet af en outsourcing kan også variere alt efter, hvem der outsources til. Er det til den i forvejen valgte eksterne revisor, som allerede har en indsigt i pengeinstituttets forretningsgange, eller vil det være til en helt tredje og ekstern part? Fra den 17. juni 2016 vil lovgivningen umuliggøre at outsource til den generalforsamlingsvalgte revisor, da denne ikke længere må levere ydelser i forbindelse med den reviderede virksomheds interne revisionsfunktion 42. Denne ændring betyder altså, at outsourcing skal være til et helt andet revisionshus, som ikke i forvejen har kendskab til virksomhedens processer. 42 IIA. (2015). INFO nr. 59. Medlemsblad, side 15. Side 22 af 64

23 2.3 Den nye revisionsbekendtgørelse i høring fra den 24. september 2015 I perioden for udarbejdelsen af denne afhandling sendte Finanstilsynet den 24. september 2015 et nyt udkast til revisionsbekendtgørelsen i høring med svarfrist den 22. oktober Ifølge en repræsentant fra Finanstilsynet er årsagen til det nye høringsforslag, at der ikke var sammenhæng i termerne anvendt i 2, 12, 22 og bilag 4, samt at det måske var lidt kontroversielt at tro, at man kunne definere begrebet operationel revision 43. Dette stemmer overens med beskrivelsen i Finanstilsynets høringsbrev fra den 24. september 2015, hvoraf det fremgår, at der ikke er tale om en materiel ændring af kravene til intern revision pr. 1. januar 2016, men derimod at lette læsbarheden og sikre den røde tråd gennem bekendtgørelsen 44. Tabel 2.3.A herunder er en sammenligning af de væsentligste paragraffer og afsnit vedrørende operationel revision i bekendtgørelse nr og den nye revisionsbekendtgørelse i høring fra den 24. september Tabellen vil blive brugt i den videre redegørelse af den nye revisionsbekendtgørelse. Tabel 2.3.A Sammenholdelse af revisionsbekendtgørelserne Reference i BEK. Nr af 15. december 2014 Lovtekst 2, stk. 2 Operationel revision: En revision af virksomhedens processer og interne kontrolsystem med det formål at teste og rapportere, om de er tilrettelagt og fungerer på betryggende vis. 12, stk. 1 og 2 (OBS, jf. 28, stk. 4 er 12 også gældende for den interne revisions årsrapportprotokollat) Den eksterne revision skal i protokollatet vedrørende årsregnskabet afgive konklusion om, hvorvidt virksomhedens administrative og regnskabsmæssige praksis på væsentlige områder, herunder forretningsgange og interne kontrolprocedurer, er tilrettelagt og fungerer på betryggende vis. I denne forbindelse skal den eksterne revisor endvidere konkludere, hvorvidt: 1) virksomhedens samlede system-, data- og driftssikkerhed er og fungerer betryggende, og 2) den eksterne revision er blevet bekendt med forhold, der er i strid med kravene i lovgivningen vedrørende finansielle virksomheder herunder Reference i høringsforslaget af 24. september 2015 N/A slettet 11, stk. 1 og 2 (OBS, dette er ikke længere gældende for den interne revisions årsrapportprotokollat) Lovtekst N/A Ingen forskel ift. BEK Nr af 15. december Telefonsamtale med repræsentant fra Finanstilsynet den 17. september Finanstilsynet. (24. september 2015). Høringsbrev vedr. ny revisionsbekendtgørelse. J. nr Side 23 af 64

24 71 i lov om finansiel virksomhed og den i medfør heraf udstedte bekendtgørelse om ledelse og styring af instituttet. 22, stk. 1 Den af intern revision udførte revision skal omfatte virksomhedens administrative og regnskabsmæssige praksis på alle væsentlige og risikofyldte områder i virksomheden, herunder forretningsgange og interne kontrolprocedurer, jf. bilag 4. N/A N/A 27 (ny paragraf, der erstatter 12 vedr. den interne revisors konklusion) Bilag 4, afsnit 2.2 Operationel revision indebærer en vurdering af virksomhedens processer, med det formål at teste og rapportere, om de er tilrettelagt og fungerer på betryggende vis. Operationel revision omfatter, ud fra en vurdering af væsentlighed og risiko, forretningsgange og interne kontrolprocedurer, vedrørende årsregnskabet. Dette gælder uanset om intern revision deltager i den finansielle revision eller ej. Operationel revision omfatter, afhængig af virksomhedens aktivitet og størrelse, bl.a. en procesgennemgang med fokus på kvalitet, pålidelighed, dokumentation og kontroller på alle væsentlige og risikofyldte områder i virksomheden (herunder også risikostyrings- og compliancefunktionen, se nedenstående afsnit og 2.2.2), en vurdering af pålideligheden af den finansielle- og operationelle rapportering, overholdelse af love og regler samt sikring af virksomhedens værdier. Efterforskning af bedrageri kan indgå. Der henvises til bilag 2, punkt 10-35, hvoraf det fremgår hvilke områder, der normalt vil være væsentlige for de enkelte virksomhedstyper. 21, stk. 1 Den af intern revision udførte revision skal omfatte alle væsentlige og risikofyldte områder i virksomheden, jf. bilag 4. Bilag 4, afsnit 2.2 Den interne revision skal i årsprotokollatet konkludere, hvorvidt virksomhedens risikostyring, compliancefunktion, ledelsesrapportering, forretningsgange og interne kontroller på alle væsentlige og risikofyldte områder er tilrettelagt og fungerer på betryggende vis, jf. bilag 4. Revision af væsentlige og risikofyldte områder i virksomheden. Der henvises til bilag 2, punkt 13-35, hvoraf det fremgår hvilke områder, der normalt vil være væsentlige for de enkelte virksomhedstyper. Intern revision skal: - Vurdere hvorvidt virksomheden har identificeret alle væsentlige risici og har rapporteret dette til bestyrelsen. - Vurdere hvorvidt kontrolsystemet er tilrettelagt og fungerer på betryggende vis, - Udfordre ledelsens syn på risikostyring i virksomheden, - Vurdere pålideligheden af ledelsesrapporteringen, samt overholdelse af love og regler, og - Bistå bestyrelsen med at beskytte virksomhedens aktiver, omdømme og fortsatte drift. Revisionen af det interne kontrolsystem omfatter vurdering af etablerede forretningsgange og test af væsentlige kontroller. Intern revision skal have fokus på: - Væsentlige kontrolsvagheder og -nedbrud samt årsagen hertil, og - de forretningsgange og kontroller, der understøtter virksomhedens beslutningsprocesser. Revisionen skal, uanset om intern revision påtegner årsregnskabet og delårsregnskaber eller ej, omfatte virksom- Side 24 af 64