Kontrollutvalget skal ifølge kommuneloven § 23-2, 1. ledd bokstav b «påse at det føres kontroll med at den økonomiske forvaltningen foregår i samsvar med gjeldende bestemmelser og vedtak». Det fremgår klart av forarbeider til loven at kontrollutvalget må vurdere kontrollbehov utover den årlige forenklede etterlevelseskontrollen med økonomiforvaltningen som regnskapsrevisor utfører.
Kontrollutvalget skal også påse at det utføres forvaltningsrevisjon. Dette innebærer «å gjennomføre systematiske vurderinger av økonomi, produktivitet, regeletterlevelse, måloppnåelse og virkninger ut fra kommunestyrets eller fylkestingets vedtak» (kommuneloven § 23-3, 1. ledd). Det foreligger i dag lite konkret veiledning på hvordan kontrollutvalget kan vurdere kontrollbehovet for økonomiforvaltningen. Kontrollutvalgshåndboken og veiledere om påseansvar og uttalelse til årsregnskap/årsberetning fra NKRF og FKT (Forum for kontroll og tilsyn) gir lite veiledning om temaet.
Forenklet etterlevelseskontroll med økonomiforvaltningen
Med ny kommunelov av 2018 kom kravet om at regnskapsrevisor årlig skal gjennomføre forenklet etterlevelseskontroll med økonomiforvaltningen. Revisor skal basere oppgaven på en risiko- og vesentlighetsvurdering som legges fram for kontrollutvalget (kommuneloven § 24-9). Det er gitt lite veiledning i forarbeider til kommuneloven.
Styret i NKRF fastsatte i mars 2019 ny revisjonsstandard «RSK 301 Forenklet etterlevelseskontroll med økonomiforvaltningen» som gir føringer for hvordan oppgaven skal løses. For kontrollutvalgene er det viktig å forstå de begrensninger som ligger i oppgaven. Dette fremgår også klart av NOU’en når etterlevelseskontrollen omtales:
Revisors kontroll er ikke nødvendigvis tilstrekkelig kontroll med økonomiforvaltningen. Kontrollutvalget må vurdere kontrollbehovet utover dette. Utvalgets forslag endrer ikke på kommunestyrets og kontrollutvalgets tilsynsansvar. Forvaltningsrevisjon eller annen kontroll innenfor økonomiforvaltningen kan fortsatt gjennomføres helt uavhengig av at loven gir regnskapsrevisor et tilleggsoppdrag. Regnskapsrevisors utvidede kontroll gir imidlertid kommunestyret og kontrollutvalget et bredere grunnlag for å vurdere behovet for forvaltningsrevisjon.
For å hjelpe kontrollutvalgene må revisjonsselskapene og kontrollutvalgssekretærene bli mere bevisste på hvordan forventingen i lovforarbeidene kan følges opp.
Det store spørsmålet er hvordan kontrollutvalget skal vurdere kontrollbehovet. Er kontrollutvalget i stand til å vurdere behovet på egen hånd? For å hjelpe kontrollutvalgene må revisjonsselskapene og kontrollutvalgssekretærene bli mere bevisste på hvordan forventingen i lovforarbeidene kan følges opp.
Regnskapsrevisors bidrag
Regnskapsrevisor gjør en rekke risikovurderinger i forbindelse med lovpålagt revisjon av årsregnskapet og årsberetningen. For de med spesiell interesse for temaet kan kanskje lesing av revisjonsstandardene være interessant (ISA 300-330). Imidlertid kan det ikke forventes at kontrollutvalgene skal ha detaljkunnskap om de risikovurderinger som regnskapsrevisor gjør i forbindelse med den lovpålagte regnskapsrevisjonen. Disse risikovurderingene er primært rettet mot regnskapsrevisors oppgave med å avgi en revisjonsberetning til årsregnskapet og årsberetningen. Kontrollutvalgene må forstå at det vil kunne foreligge svakheter i økonomiforvaltningen som ikke dekkes av regnskapsrevisors lovpålagte revisjon.
Kontrollutvalgene må forstå at det vil kunne foreligge svakheter i økonomiforvaltningen som ikke dekkes av regnskapsrevisors lovpålagte revisjon.
Den lovpålagte oppgaven med forenklet etterlevelseskontroll med økonomiforvaltningen forutsetter også at regnskapsrevisor gjør risikovurderinger knyttet til svakheter ved økonomiforvaltningen. I lovforarbeider er det gitt lite veiledning på hvordan dette i praksis skal gjennomføres og presenteres for kontrollutvalgene. I revisjonsstandarden RSK 301 er det i veiledningspunkt A12 sagt følgende:
Revisor forventes å ha en bred tilnærming som i utgangspunktet dekker alle områdene innenfor økonomiforvaltningen, men deretter begrense områder ut fra en risiko- og vesentlighetsvurdering. Risiko- og vesentlighetsanalysen i forbindelse med utarbeidelse av plan for forvaltningsrevisjon kan gi gode innspill til risikovurderingen som skal gjøres i forbindelse med beslutning om etterlevelseskontroll. Lovforarbeidene er tydelige på at det ligger begrenset ressursbruk bak denne uttalelsen om forenklet etterlevelseskontroll, og ut fra risiko- og vesentlighetsvurderingen velges ett, eller et fåtall områder for kontroll. Der det er flere områder med risiko av betydning kan revisor vurdere å dekke disse områdene over en periode på flere år. (Jf. punkt 7)
Basert på RSK 301 bør kontrollutvalget forvente at revisor har en «bred tilnærming som i utgangspunktet dekker alle områdene innenfor økonomiforvaltningen». En bred tilnærming som også presenteres for kontrollutvalgene vil være til god hjelp for å ivareta kontrollutvalgets oppgave med å vurdere kontrollbehovet med økonomiforvaltningen.
Her er det fristende å påstå at regnskapsrevisorene kan bistå kontrollutvalget bedre, og legge mer arbeid inn i selve presentasjon og gjennomgang i kontrollutvalget. Det er også fristende å påstå at arbeidet med risikovurderingene kan ha vel så stor verdi for kontrollutvalgene som selve gjennomføringen av etterlevelseskontrollene, vi til nå har sett.
Risikovurderinger forvaltningsrevisjon
Ifølge kommunelovens § 23-3, 2. ledd skal kontrollutvalget minst en gang i valgperioden utarbeide en plan for gjennomføring av forvaltningsrevisjon. Det fremgår også at planen skal baseres på en risiko- og vesentlighetsvurdering. I siste setning i 2. ledd står det at «Hensikten med risiko- og vesentlighetsvurderingen er å finne ut hvor det er størst behov for forvaltningsrevisjon.» Spørsmålet kontrollutvalget bør stille seg er om denne risikovurderingen kan bidra til å ivareta kontrollutvalgets ansvar for å vurdere om det gjennomføres tilstrekkelig kontroll med økonomiforvaltningen.
Med begrensende ressurser blir kontrollutvalget nødt til å vurdere om de skal prioritere kontroller av økonomiforvaltningen, eller velge andre temaer når forvaltningsrevisjon gjennomføres.
I veileder til risiko og vesentlighetsvurdering (NKRF, desember 2019) pekes det på utfordringen med å gå i detalj i risikovurderingen:
Det kan være en utfordring å sikre at risiko- og vesentlighetsvurderingen er tilstrekkelig overordnet slik at kontrollutvalget får et oversiktsbilde av hele den kommunale virksomheten, samtidig som den går tilstrekkelig dypt til å danne et meningsfullt grunnlag for å utarbeide kontrollutvalgets plan for forvaltningsrevisjon. Det er et sentralt moment at vurderingen gir et helhetlig risikobilde av hele kommunens virksomhet, og at den bidrar til å se ulike risikofaktorer på tvers av sektorer og områder.
Det er fristende å påstå at de fleste risikovurderinger i liten grad er detaljerte på økonomiforvaltning.
Formelt må kontrollutvalget bestille utføringen av risiko- og vesentlighetsvurderingen. De fleste kommuner benytter revisjonsselskapet de er deltakere i, noen benytter sekretariatet og noen gjennomfører anbud for å få løst oppgaven. Uavhengig av løsning vil det være en fordel om risikovurderinger som gjøres i forbindelse med regnskapsrevisjon, forenklet etterlevelseskontroll og forvaltningsrevisjon sees i sammenheng.
Hva kan kontrollutvalgene forbedre?
Mange kontrollutvalg gjør i dag ikke nok for å ivareta påseansvaret for økonomiforvaltningen. Revisjonsselskapene og kontrollutvalgssekretærene må bli mer bevisste på dette, og bistå utvalgene i arbeidet. Målet bør være at alle kontrollutvalg utarbeider en plan for hvordan den lovpålagte oppgaven kan utføres. For å komme dit vil utvalgene være avhengig av at revisorene aktivt bidrar i arbeidet.
Kontrollutvalget må utnytte den kompetanse som regnskapsrevisor og forvaltningsrevisor besitter, og diskutere hvordan disse gjennomfører risikovurderinger. Det er avgjørende for kontrollutvalgene at de er i stand til å mene noe om områder innenfor økonomiforvaltningen som ikke dekkes gjennom lovpålagt regnskapsrevisjon, forenklet etterlevelseskontroll og forvaltningsrevisjon.
Det er avgjørende for kontrollutvalgene at de er i stand til å mene noe om områder innenfor økonomiforvaltningen som ikke dekkes gjennom lovpålagt regnskapsrevisjon, forenklet etterlevelseskontroll og forvaltningsrevisjon.
Kommunedirektøren er i kommunelovens kap. 25 gitt et særskilt ansvar for internkontroll. Kommunedirektøren skal ha rutiner for å avdekke, følge opp avvik og vurdere risiko for avvik. Internkontrollen skal være systematisk, og tilpasset kommunens risikoforhold.
Kontrollutvalget bør aktivt søke informasjon fra kommunedirektør for å vurdere områder hvor kontrollutvalget må gjøre nærmere undersøkelser. Kontrollutvalget kan be kommunedirektøren om å utarbeide notater og gi orienteringer i utvalget. Revisor bør i forbindelse med risikovurderinger knyttet til forenklet etterlevelseskontroll og forvaltningsrevisjon også aktivt bruke risikovurderingene fra kommunedirektøren.
Kontrollutvalget skal utarbeide forslag til budsjett for kontrollarbeidet i kommunen. Det er viktig at kontrollutvalget konkret vurderer om det er midler i forslaget til å utføre nødvendige undersøkelser knyttet til økonomiforvaltning. I mange mindre kommuner er det svært begrensede midler til forvaltningsrevisjon og bestilling av andre mindre undersøkelser. Konkrete og begrunnede forslag for å øke midler til kontrollarbeidet vil antakelig øke sannsynligheten for gjennomslag når kommunestyret behandler forslaget.
Når konkrete forvaltningsrevisjonsprosjekter bestilles bør kontrollutvalget i dialog med forvaltningsrevisor alltid vurdere om økonomi bør omfattes av prosjektet.
Sekretariatet må også ivareta kontinuitet i arbeidet i kontrollutvalget. Sekretariatet bør holde oversikt over undersøkelser, revisjoner, orienteringer osv. som er behandlet i utvalget.
Rapportering bør skje til kommunestyret enten som egne saker eller i årsmelding fra kontrollutvalget.
Avslutningsvis vil jeg påpeke at kontrollutvalgets påseansvar med økonomiforvaltningen ikke bør blandes med kontrollutvalgets oppgave med å avgi uttalelse til årsregnskap og årsberetning. Rapportering bør skje til kommunestyret enten som egne saker eller i årsmelding fra kontrollutvalget.
_____________________________
Lenke til kontroll & revisjon nr. 1/2023: