www.nkrf.no » Kommunerevisoren.no » 2015 » Nr. 1

Søk

NKRF
Munkedamsveien 3B
Postboks 1417 Vika
0115 Oslo

Tlf: +47 23 23 97 00

post@nkrf.no

Hopp over seksjon - Til hovedinnhold - Topp

Misligheter – revisors oppgaver

Daglig leder Linn Therese Bekken, Vestfold Kommunerevisjon

Kommunerevisor Unn Helen Aarvold, Kommunerevisjonen i Oslo

Hva er revisors oppgaver knyttet til misligheter ved revisjon av regnskaper i kommunal sektor? Og revisors rapporteringsplikt til kontrollutvalget – påvirker dette arbeidet til revisor og innretningen av revisjonen?

Dette er spørsmål regnskapsrevisorer i kommunal sektor har stilt seg, og praksis viser at det er ulike svar på dette blant revisorene. Vi har en revisjonsstandard ISA 240 – Revisors oppgaver med og plikter til å vurdere misligheter ved revisjon av regnskaper. Denne standarden tar i begrenset grad for seg særegenheter ved offentlig eller kommunal sektor, og i hvilken grad slike særegenheter har påvirkning på revisjonsoppgaven. Den enkelte revisors skjønn, kontrollutvalgets forventning til rapportering samt utvikling av praksis over tid har gjort at vi har endt opp med ulike oppfatninger av hva som er vår oppgave.

Misligheter er særlig utfordrende fordi det er forhold som søkes holdt skjult. Revisors rolle og arbeid må i så henseende være innrettet på det forebyggende heller enn med et mål å avdekke. Det er kommunens ledelse som har hovedansvaret for å forebygge og avdekke eventuelle misligheter. Det er viktig at ledelsen legger stor vekt på å ha en god internkontroll som kan forebygge misligheter. Det innebærer blant annet en forpliktelse til å skape en virksomhetskultur som preges av ærlighet og etisk atferd.

Linn Therese Bekken er utdannet siviløkonom og statsautorisert revisor og har erfaring fra både privat og kommunal revisjon. Hun har vært medlem av NKRFs revisjonskomite siden 2013.

Unn Helen Aarvold er statsautorisert revisor og har erfaring både fra privat og kommunal revisjon. Hun har vært leder av NKRFs revisjonskomite siden 2010.

Revisjonskomiteen i NKRF har sendt ut informasjonsskriv 3/2014 (kun tilgjengelig for medlemmer) til bedriftsmedlemmene som drøfter revisors oppgaver og plikter knyttet til misligheter ved revisjon av regnskaper i kommunal sektor.

I denne artikkelen vil vi løfte frem enkelte av de drøftingene vi hadde i revisjonskomiteen under arbeidet med skrivet. Informasjonsskrivet holder seg innenfor regnskapsrevisjonens oppgaver. Kontrollutvalget har et særskilt tilsynsansvar og kan selvsagt beslutte å gå lenger i sitt tilsynsarbeid enn det som gjøres innenfor regnskapsrevisjonen, enten ved å gå inn på særskilte områder eller temaer i undersøkelser eller ved å bestille forvaltningsrevisjon.

Kontrollutvalget har et særskilt tilsynsansvar og kan selvsagt beslutte å gå lenger i sitt tilsynsarbeid enn det som gjøres innenfor regnskapsrevisjonen, enten ved å gå inn på særskilte områder eller temaer i undersøkelser eller ved å bestille forvaltningsrevisjon.

Forskrift og standarder

Revisor skal gjennom revisjonen bidra til å forebygge og avdekke misligheter og feil, jf. forskrift om revisjon i kommuner og fylkeskommuner mv § 3 fjerde ledd. Konstateres det misligheter ved revisjon, eller på annen måte, skal revisor sende innberetning til kontrollutvalget.

I departementets merknad til forskriftens § 3 fremkommer bl.a.: Dersom revisor kommer til at det foreligger indikasjoner på at det kan foreligge misligheter vil han/hun innrette revisjonen slik at mistanken blir bekreftet/avkreftet. I den grad det avdekkes noe, foreligger det en plikt til å rapportere.

Revisors rapporteringsplikt i kommunal sektor går lenger enn tilsvarende i privat sektor, siden revisors rapporteringsplikt knyttet mot misligheter ved revisjon av kommunal virksomhet ikke er betinget av at mislighetene kan innvirke på årsregnskapet.

Revisjonsstandarden som gjelder misligheter, ISA 240, trekker i A-punkter frem momenter som kan ha betydning for revisors oppgaver rundt misligheter i offentlig sektor. Det er særlig punktet som går på en videre forpliktelse til å vurdere risikoer for misligheter (A6) og punktet om særskilt rapportering (A67) som kan gi ytterligere oppgaver for revisor av kommunal virksomhet. For sistnevnte punkt er rapporteringsplikten til kontrollutvalget et slikt forhold. Ved vurdering av forhold etter punkt A6 kan misbruk av offentlig myndighet være et slikt forhold.

En ytterligere standard som beskriver relevante vurderinger ved revisjon i offentlig sektor er ISSAI 1240. ISSAI’ene er riksrevisjonenes standarder, og for regnskapsrevisjon bygger de på standardene som benyttes ved revisjon av privat sektor, og inkluderer momenter av betydning for offentlig sektor. NKRF har uttalt at dette er relevante standarder også ved revisjon av kommunal sektor, og revisjonskomiteen har i sitt arbeid med god kommunal revisjonsskikk tatt med dette. ISSAI 1240 punkt P5 omtaler de tre forholdene som vanligvis er til stede når det foreligger misligheter – mislighetstriangelet – med eksempler relevante for offentlig sektor, jf. figur 1.

Figur 1: Forhold som vanligvis er til stede ved misligheter


Revisors oppgaver i de ulike faser av revisjonen – illustrasjon

Kommunal sektor har enkelte særtrekk som må hensyntas i revisjonen. Kommunen forvalter fellesskapets midler – det er en forventning om at dette skjer på en redelig og riktig måte. Kommunen styres ikke av eiere med særskilt interesse for det økonomiske resultat eller egne verdier – men av et fellesskap av politikere som kan ha ulike mål og interesser. Kommunen er en stor og viktig aktør i markedet som innkjøper, både økonomisk men også som en normgivende aktør for hva som er akseptable innkjøps- og arbeidsforhold. Det er da særlig viktig at kommunen og kommunens ansatte opptrer slik at de oppfattes som samfunnsansvarlige.

Gjennomføring av revisjonen
Det er avgjørende at revisor har en forståelse for kommunens rammebetingelser og forutsetninger, og hva som kan påvirke risikobildet og revisors oppgaver ved revisjon av regnskapet med hensyn til misligheter. Revisor vil med sin kunnskap om kommunen, forespørsler til ledelsen og ved å være ute i kommunens virksomheter, både kunne avdekke risikoområder for kommunen og virke forebyggende med hensyn til risiko for misligheter.

Som omtalt ovenfor er ikke revisors forpliktelser i offentlig sektor nødvendigvis begrenset til å vurdere risiko for vesentlig feilinformasjon i regnskapet. Revisors oppgaver og plikter ved regnskapsrevisjonen tar likevel utgangspunkt i at revisjon av årsregnskapet er grunnlaget for arbeidet. Det innebærer bl.a. at det ikke kan forventes at revisor planlegger revisjonsarbeidet for å avdekke risiko for misligheter på områder som ikke har betydning for årsregnskapet. Revisor må likevel være oppmerksom på at det også kan være mislighetsrisikoer på andre områder utenfor den økonomiske internkontrollen. Revisor kan komme over slike andre områder gjennom revisors profesjonelle skeptiske holdning, revisors forståelse for kommunens virksomhet og gjennom forespørsel til ledelsen. Dette er en konsekvens av den videre plikten som nevnes i standarden ISA 240 punkt A6.

For å illustrere og synliggjøre forskjellen har revisjonskomiteen i sitt informasjonsskriv lagt til grunn at det i prinsippet kan skilles mellom internkontroll generelt og økonomisk internkontroll, jf. figur 2. Sistnevnte vil være internkontrollen rundt forhold som står regnskapet nært og transaksjoner som ender i regnskapet.

Figur 2: Virksomhetens intern kontroll

Det er naturlig å tenke at regnskapsrevisjonen står nærmere og kan forventes å ha en høyere aktsomhet når det gjelder svakheter i den økonomiske internkontrollen enn når det gjelder internkontroll forøvrig. I sin kunnskapsinnhenting og samtaler eller forespørsler til ledelsen i kommunen skal revisor opparbeide seg en forståelse av kommunens overordnede kontrollmiljø og de overvåkende kontroller. I disse forespørslene og samtalene må revisor inn på temaer hvor det kan forventes å være særskilt risiko i kommuner. Eksempler på slike temaer er tatt inn i et særskilt vedlegg til informasjonsskriv 3/2014. Fremkommer det mangler eller indikasjoner på svakheter i internkontroll utenfor den økonomiske internkontrollen er det tilstrekkelig at revisor tar dette opp skriftlig med kommunen. Slike observasjoner kan selvsagt også danne grunnlag for innspill til en risiko- og vesentlighetsanalyse for forvaltningsrevisjon eller være et av flere grunnlag for at kontrollutvalget via sin tilsynsoppgave ønsker å undersøke forholdet nærmere, men dette vil være utenfor regnskapsrevisjonen.

Når det gjelder den økonomiske internkontrollen så er utgangspunktet det samme; forespørsler og samtaler med utgangspunkt i risikoforhold danner grunnlag for en forståelse hos revisor. Her går imidlertid revisor lenger; foruten at det skal gjøres en såkalt «vugge til grav» test av rutiner og kontroller, skal revisor beslutte om kontrollene skal bygges på i revisjonen eller om det er mer effektivt å revidere ved hjelp av substanstester. Her vil revisor både ha bedre grunnlag for å vurdere om rutiner og kontroller fungerer som forutsatt og ha et bedre grunnlag for å peke mer spesifikt på hva som eventuelt er svakheter i rutinene. Finner revisor et område hvor det er en mislighetsrisiko som er vesentlig for regnskapet, oppstår en særskilt risiko, som krever spesiell revisjonsmessig aktsomhet.

Foruten det som er sagt overfor om kartlegging og forståelse for kommunens virksomhet og internkontroll generelt, er det selvsagt også viktig at revisor er særskilt oppmerksom på de to typene mislighetsrisiko som nevnes i ISA 240 standarden;

  1. Uredelig regnskapsrapportering
  2. Underslag av eiendeler

Innenfor kommunal sektor kan uredelig regnskapsføring ha effekt på blant annet inntekter i form av tilskudd eller gebyrer eller på lånemuligheter via klassifisering i drift- eller investeringsregnskap. Revisor må ha dette som bakteppe både i planlegging og utførelsesdelen av revisjonen.

Underslag av eiendeler fra kommunen er også en mislighet. Her kan for eksempel nevnes en ansatt som stjeler fra kommunens medisinlager. Kommuneregnskapet opererer ikke med lager i regnskapet som i privat sektor. Kommunen skal likevel ha tilstrekkelig intern kontroll også rundt ulike eiendeler, slik at blant annet underslag vanskeliggjøres.

Hvordan revisor angriper revisjonen av kommunen vil avhenge av flere forhold. Kommunen driver mange ulike typer virksomhet og på ulike lokasjoner. Det gjør at kommunens internkontroll kan være forskjellig fra driftsenhet til driftsenhet. En del sentrale forhold innenfor økonomisk internkontroll vil likevel ofte være felles for hele eller store deler av kommunen. Internkontroll som gjelder kommunen som helhet må revisor har mer kunnskap om enn internkontroll som er knyttet til en enkelt enhet.

Noen eksempler på misligheter

Medisinlager
Risiko for tyveri av små og lett omsettelige eiendeler med betydelig verdi er en klassisk underslagsrisiko det må forventes at revisor er oppmerksom på. Pågår tyveriene over tid kan også kommunens utgifter til å erstatte medisinene bli vesentlige. Kommunen har medisinlagre på ulike måter. Innkjøp utgiftsføres løpende i kommunens regnskap, og det lagerføres ikke i regnskapet. Tyveri av medisiner vil dermed ikke innebære noen direkte feil i regnskapet, og internkontroll knyttet til medisinhåndteringen ved institusjoner vil ligge utenfor den økonomisk internkontroll.

Medisiner er lett omsettelige varer, og bør underlegges god intern kontroll. I sine forespørsler til ledelsen må det forventes at revisor spør administrasjonen på et overordnet nivå om rutiner og overvåkende kontroller rundt slike eiendeler med utgangspunkt i risiko for misligheter. Dersom det avdekkes svakheter eller indikasjoner på svakheter i kommunens behandling av attraktive eiendeler må revisor ta det opp med ledelsen.

I forbindelse med forespørsel til ledelsen, i møte ved oppstart av regnskapsrevisjonen, blir revisor kjent med at en sykepleier ved en av kommunens institusjoner hadde stjålet narkotiske tabletter fra institusjonen og oppbevarte disse hjemme. Sykepleieren hadde dels erstattet de stjålne medikamentene med annet innhold. Revisor får all informasjon fra kommunens ledelse, og kommunens ledelse har fulgt opp saken og anmeldt forholdet. Revisor har tidligere forespurt om overordnet intern kontroll ved institusjonene og fått inntrykk av at kommunen har hatt tilstrekkelige kontroller på området.

Hva gjør revisor når misligheten er avdekket?
Denne misligheten ligger innenfor rammen av hva som skal innberettes til kontrollutvalget. Så snart misligheten er avdekket sender revisor en foreløpig innberetning til kontrollutvalget. Da de faktiske forholdene er nærmere avklart, sendes endelig innberetning. Revisor kan basere den endelige innberetningen på egne undersøkelser, eller bygge på administrasjonens undersøkelser.

Revisor kan basere den endelige innberetningen på egne undersøkelser, eller bygge på administrasjonens undersøkelser.

Revisor må også forspørre og opparbeide en fornyet forståelse for kommunens interne kontroll rundt medisinlagre.

Inntekter
Inntekter er et område hvor det ofte kan foreligge risiko for misligheter. Det fremheves imidlertid i ISSAI 1240, punkt P15, at det for offentlig sektor ikke alltid er området knyttet til inntektsføring hvor det er mest relevant å anta at det foreligger misligheter. Kommunen har flere former for inntekter. Ulike transaksjoner og rutiner knyttet til inntekter kan variere fra driftsenhet til driftsenhet i kommunen. Inntekter bokføres løpende i regnskapet. Misligheter knyttet til inntektsområdet vil innebære en direkte feil i regnskapet, og ligger innenfor den økonomisk internkontroll.

I tråd med etablerte varslingsrutiner til revisor, mottar revisor en varsling om en mellomleder i en driftsenhet i kommunen har begått økonomisk vinningskriminalitet mot kommunen i en lengre periode. Leder i driftsenheten har rutet kommunale inntekter av ulik karakter til sin private bankkonto.

Revisor kartlegger internkontroll på inntektsområdet i driftsenheten. Revisor ser at misligheten kunne oppstå og foregå over en lengre periode på grunn av et svakt kontrollmiljø. Generelt syntes praktiseringen og gjennomføringen av inntektsrutinene i enheten i stor grad å ha vært tillitsbaserte og preget av relativt uformell internkontroll. Det er liten oversikt over inntektspotensialet, avtaler og utført arbeid i enheten. En bedre oversikt og ansvarsdeling kunne bidratt til bedre budsjettering av inntekter, bedre oversikt over arbeidsomfanget ved enheten samt å redusere muligheten for at inntektene ble rutet til en privat konto.

Revisor tar opp svakheter i internkontroll knyttet til inntekter i driftsenheten med ledelsen. Når det avdekkes svakheter eller indikasjoner på svakheter i kommunens behandling av inntekter må revisor ta det opp i brev på overordnet nivå. Revisor skal skriftlig påpeke feil og mangler ved organiseringen av den økonomiske internkontrollen overfor kontrollutvalget med kopi til administrasjonssjefen.

Hva gjør revisor når misligheten er avdekket?
Avdekkete misligheter kan indikere behov for å gjøre endringer i planlagte revisjonshandlinger. Vesentlige eller gjennomgående svakheter kan innebære risiko for vesentlig feil i regnskapet. I tilfelle svakhetene i internkontrollen er betydelige, kan det være at revisor ikke kan innhente tilstrekkelig og hensiktsmessig revisjonsbevis. I tilfelle vil svakhetene også ha betydning for revisjonsberetningen.

Misligheten innberettes til kontrollutvalget så snart revisor blir varslet om misligheten. Kommunen har selv satt i gang granskning av hendelsen. Når de faktiske forholdene er nærmere avklart, sendes endelig innberetning.

Avslutning

Vi har i denne artikkelen trukket frem deler av revisjonskomiteens drøftinger under arbeidet med informasjonsskrivet om misligheter, og med hjelp av eksempler søkt å illustrere forventninger til revisors arbeid.

Det må av den grunn være den forebyggende delen som er revisors største bidrag når det gjelder risiko for misligheter.

Som vi skrev innledningsvis er selve misligheten særskilt vanskelig å avdekke siden den holdes søkt skjult. Det må av den grunn være den forebyggende delen som er revisors største bidrag når det gjelder risiko for misligheter. Vi mener at ved å bruke sin forståelse i kombinasjon med profesjonell skeptisk holdning kan revisor oppnå mye på dette området. Vår oppfatning er at revisor med sin kunnskap om kommunen, forespørsler til ledelsen og ved å være ute i kommunens virksomheter, både vil kunne avdekke risikoområder for kommunen og virke forebyggende med hensyn til risiko for misligheter.

Revisjonen må planlegges med tanke på å avdekke risiko for misligheter, også utover det som innebærer vesentlig feilinformasjon i regnskapet. Alle misligheter, både de som revisor selv avdekker og de som konstateres av enhver annen, skal innberettes for kontrollutvalget, uavhengig av om de medfører vesentlig feilinformasjon i regnskapet eller ikke.


Kommunerevisoren nr. 1/2015 - 70. årg.

Til toppen av siden

Topp