Dette kapitel har til formål at analysere danske forhold, herunder både virksomheder med og uden intern revision. For at kunne svare på, hvordan intern revision skaber værdi, er det nødvendigt at undersøge, hvordan den interne revision benyttes i danske virksomheder, samt hvilke ydelser forbindes med den største værdiskabelse. Derudover er det relevant at se på, hvordan værdiskabelse kan måles.
Det er et faktum, at mange danske industrielle virksomheder ikke har etableret en intern revision, og derfor kan man sætte spørgsmålstegn ved intern revisions værdiskabelse. Det er derfor relevant at se på, hvorfor virksomheder fravælger intern revision, og hvordan de organiserer sig alternativt. Først, når vi har dannet et billede fra begge sider, kan der foretages en vurdering af, hvorfor etablering af intern revision kan være en god idé. Formålet med afhandlingen er derudover at undersøge, hvordan intern revision kan skabe værdi i fremtiden, som er det, afhandlingen afrundes med.
Analysen af de danske forhold tager udgangspunkt i de udsendte spørgeskemaer, hvor respondenternes svar er kategoriseret under følgende overskrifter:
• Tilvalg og fravalg af intern revision
• Organisatorisk opbygning
• Værdiskabelse
• Hvorfor fravælges intern revision i danske industrivirksomheder
• Risikostyring i fremtiden
For en opfriskning af bevæggrundene for, at besvarelserne bliver kategoriseret under disse overskrifter, henvises der til metodeafsnittet (2.2.1.1 Spørgeundersøgelse). Respondenternes besvarelser vil blive sammenkoblet på en måde, der giver mening i forhold til overskriften. Det vil sige, at vi begrænser os ikke til at holde besvarelser fra de forskellige enheder strengt adskilt, men bruger dem sammen på en meningsfuld måde.
På trods af, at den empiriske dataindsamling ikke har tilstrækkeligt mange besvarelser til at kunne konkludere noget definitivt, vurderes den at kunne bidrage med ny viden inden for området og at identificere indikationer om, hvordan danske forhold ser ud med hensyn til intern revision.
8.1 Tilvalg/Fravalg af intern revision
Indledningsvist til analysen er det relevant at se på, hvorfor de responderende virksomheder har tilvalgt eller fravalgt intern revision. Spørgsmålet henvender sig til bestyrelsesmedlemmer i de pågældende virksomheder, da det er bestyrelsen, der har bemyndigelsen til at etablere en intern revision eller at lade være. At spørgsmålet
udelukkende er sat til bestyrelser, medfører også, at der kun er modtaget fire besvarelser på spørgsmålet. (Bilag 13). Svarene suppleres med en udtalelse fra Mærsks revisionschef omkring baggrunden for deres etablering af en intern revision. Se svarene i tabel 8.1 nedenfor.
Tilvalg Fravalg
Respondent nr. 1 (med IR): Respondent nr. 1 (uden IR):
Given the size of the company and the global reach it is an important and vital assurance of control.
Based on an assessment of pros and cons, current set up with corporate controller visits to selected affiliates on a rotation basis is perceived by the AC and external auditors to be cost efficient and appropriate given overall group structure.
Interview med revisionschef hos Mærsk: Respondent nr. 2 (uden IR):
When internal audit was first established back 1997-98 it was mainly to handle the risk of fraud. Since then the scope of internal audit has expanded a lot.
Today we cover 3 primary areas very broadly – Governance, Risk Management and Internal Control.
Because of the size of the company.
Respondent nr. 3 (uden IR):
It would just be an extra lair of already existing
controls, which so far have proven quite efficient.
Tabel 8.1. Tilvalg/fravalg af intern revision - Egen tilvirkning baseret på spørgeundersøgelse
Ovenstående besvarelser fra de 4 respondenter på spørgeskemaet kan sammenfattes i tre hovedbegrundelser for tilvalg/fravalg af intern revision, som er virksomhedsstørrelse, kompleksitet, og hvordan intern revision opfattes.
8.1.1 Virksomhedsstørrelse og kompleksitet
Respondent nr. 1 (med IR) og nr. 2 (uden IR) nævner direkte størrelsen som den primære begrundelse for deres respektive valg. Hos respondent nr. 1 (med IR), hvor en intern revisionsfunktion er etableret, opfattes denne som en vital funktion, der kan give bestyrelsen sikkerhed om virksomhedens kontroller. Udtalelsen ”assurance of control”, kan dog omfatte mere end kun det interne kontrolsystem, men også bestyrelsens generelle kontrol over virksomheden som tilsynsmyndighed, hvilket også kan omfatte governance og risikostyring. Her er der tale om en virksomhed, der opererer globalt, og som ser den interne revision som en vigtig brik i, at den globale virksomhed bliver drevet hensigtsmæssigt.
Respondent nr. 2 (uden IR) kommer med den samme begrundelse, men i dette tilfælde for, hvorfor de har fravalgt intern revision. Dette kan, modsat respondent nr. 1 (med IR), indikere, at virksomheden ikke vurderes at have en størrelse og kompleksitet, der nødvendiggør etablering af intern revision. Der skal dog haves in mente, at vores respondenter enten udgør en del af det danske C25 indeks eller har en størrelse, der er sammenlignelig med disse virksomheder. Det betyder, at selv om vores respondent muligvis er en del af de små virksomheder, sammenlignet med vores øvrige respondenter, er den blandt Danmarks største virksomheder. Når respondenten udfordres på, hvilken organisationsstruktur tilfører mest værdi til en virksomhed med hensyn til 2nd line og 3rd line, lyder svaret, at det afhænger af virksomhedsstørrelse, og at ekstern revision er tilstrækkeligt, når der er tale om små/mellemstore virksomheder. Dette kan være en indikation om, at bestyrelsen i den pågældende virksomhed primært ser intern revision som en forlænget arm af ekstern revision inden for finansiel revision.
Respondent nr. 1 (uden IR) nævner ikke virksomhedens størrelse direkte i sit svar, men det kan tænkes, at størrelsen også spiller ind i deres fravalg af intern revision, da organisationens generelle struktur nævnes som den primære årsag til deres valg. Der begrundes yderligere for, at organisationens revisionsudvalg og eksterne revisorer vurderer det som en tilstrækkelig og omkostningseffektiv løsning, at organisationens controllere hellere, på rotationsbasis, besøger udvalgte datterselskaber for at kontrollere disse, hvilket kan være en antydning om, at organisationen vurderes ikke at være af en så kompleks karakter, at etablering af en formel intern revision er nødvendig.
IIA’s præsident, Richard Chambers, er dog ikke enig i, at kun de største virksomheder kan drage nytte af en intern revision. Han udtaler sig således om virksomhedsstørrelse som en medvirkende faktor til tilvalg/fravalg af intern revision (bilag 2):
While company size may be a contributing factor, it is often more a consideration of the maturity of the organization’s risk management and governance processes. Even small
companies can benefit from independent assurance and advice.
Her nævner Chambers, at når intern revision fravælges, er det ofte mere et spørgsmål om en virksomheds modenhed, hvad angår risikostyrings- og ledelsesprocesser, end et spørgsmål om virksomhedsstørrelse. Det vil sige, at disse virksomheder ofte ikke har opbygget en 2nd line på tværs af organisationen med hensyn til risikostyrings- og ledelsesprocesser, der kan understøtte etablering af en effektiv 3rd line.
Tages der udgangspunkt i C25-virksomhederne, så rækker deres antal datterselskaber fra 5 til 882, hvilket må siges at være en stor forskel. Det kan dog tænkes, at selv en virksomhed med kun 5 datterselskaber vil kunne drage nytte af modne risikostyrings- og ledelsesprocesser. Her ville etablering af en intern revision være en oplagt sparringspartner til at opnå denne målsætning. I så fald skal der dog oprettes de nødvendige
sikkerhedsforanstaltninger til at forhindre, at den interne revisions uafhængighed bringes i fare. Ifølge Chambers, kan man derfor sætte spørgsmålstegn ved, om virksomhedsstørrelse udelukkende skal afgøre, om en intern revision etableres eller ikke, da små virksomheder også kan opnå merværdi fra en intern revisionsfunktion.
Virksomhedsstørrelse og kompleksitet, inklusivt antal datterselskaber, analyseres særskilt senere, hvorfor der ikke kommes yderligere ind på det her.
8.1.2 Opfattelse af intern revision
Respondent nr. 3 (uden IR) adskiller sig fra de øvrige respondenter ved at komme med en meget klar antydning om, at etablering af intern revision kun ville medføre et ekstra lag af kontrol, som allerede eksisterer i organisationen, og at der, i praksis, blot ville være tale om dobbeltarbejde. Denne besvarelse kan delvis sammenholdes med respondent nr. 1 (uden IR), hvor den interne revision opfattes som for omkostningstung i forhold til den nytteværdi, den medfører. Når denne besvarelse uddybes i vores næste spørgsmål, viser respondenten dog en meget tydelig holdning til intern revision, sammenlignet med de andre respondenter (Bilag 13):
Sound routines are better than audits of bad habits.
Ud fra denne udtalelse, sammenholdt med den første (nr. 3 uden IR), står det klart, at den pågældende bestyrelse har en negativ holdning til intern revision og ikke ser den som andet end en statisk funktion, der udelukkende giver assurance omkring det interne kontrolsystem og rapporterer tilbage til bestyrelsen om dårlige vaner. Bestyrelsen ser således ikke mulighederne i intern revision som en professionel partner, der kan støtte bestyrelsen i governance og overvågning af virksomhedens aktiviteter for at nå deres målsætninger.
Derudover står det klart ud fra besvarelsen, at bestyrelsen heller ikke tillægger den uafhængige sikkerhed, som den interne revision kan tilbyde, særlig meget vægt, og at de har stor tiltro til den daglige ledelses rapportering og kompetencer.
Specielt den sidste besvarelse underbygger den tidligere omtalte metaanalyse, der påviser, at intern revision ikke har haft succes med at skabe en klar identitet, og at der derfor eksisterer en forvirring om, hvad en intern revisionsfunktion faktisk kan bidrage med. I dette tilfælde opfattes intern revision som unødvendig, hvis virksomheden blot bruger sund fornuft og implementerer hensigtsmæssige rutiner i deres forretningsgange.
Mens man hurtigt kan være enig med bestyrelsens udsagn om, at fornuftige rutiner er bedre end revision af dårlige vaner, kan en intern revisionsfunktion byde på mere end det. Besvarelsen giver derfor en klar indikation
af, at man ikke har haft succes med at kommunikere muligheder og fordele ved etablering af en intern revision i Danmark.
8.1.3 Imødegåelse af besvigelsesrisici
Mærsk har etableret deres interne revision tilbage i 1997-98 på baggrund af en konkret problemstilling, som var at imødegå besvigelsesrisici (bilag 3, spørgsmål 1). Siden da har deres scope udviklet sig meget, og i dag omfatter deres scope i bred forstand de områder, som IPPF-frameworket lægger op til, at intern revision skal omfatte. Tidspunktet for etableringen af den interne revision er interessant, da dette sker i det tidsrum, hvor mange store erhvervsskandaler opstod som følge af besvigelser. Derfor kan det tænkes, at bestyrelsen har valgt at etablere den interne revision med tanke på Agent-Principal teorien for at opnå uafhængig og objektiv sikkerhed omkring den generelle governance.
Sammenfatning
På trods af, at empirien ikke består af tilstrækkeligt mange besvarelser til at kunne udtale sig om hele den danske industrielle branche, giver ovenstående svar dog en indikation af, at virksomhedsstørrelse, kompleksitet og opfattelse af intern revisions nytteværdi er centrale parametre ved tilvalg/fravalg af intern revision.
8.2 Organisatorisk opbygning
I det følgende afsnit analyseres virksomhedernes organisatoriske struktur med hensyn til intern revision, samt hvordan de virksomheder, der har fravalgt intern revision, løser de opgaver og udfordringer, der ellers typisk bliver løst af en intern revisionsfunktion. Der bliver taget udgangspunkt i de besvarelser, som er modtaget fra de responderende virksomheder.
8.2.1 Med intern revision
Først dannes et billede af, hvordan intern revision benyttes i de virksomheder, der har valgt at etablere funktionen. Analysen tager udgangspunkt i de besvarelser, vi har modtaget fra bestyrelser og ledelser i virksomheder med intern revision, samt besvarelser fra revisionschefer.
8.2.1.1 Brug af intern revision
Nedenstående figur viser, hvordan den interne revision benyttes i de responderende virksomheder, samt i hvilken grad den interne revision fokuserer på et givet arbejdsområde i virksomheden. Figuren består af 6 besvarelser i alt, fordelt på 1 bestyrelsesmedlem og 5 revisionschefer. 2 revisionschefer har undladt at svare på spørgsmålet (bilag 15). Grunden til, at den daglige ledelse ikke er taget med i denne henseende er, at bestyrelsen er den primære stakeholder, og det er også dem, der bestemmer, hvilke arbejdsområder deres interne revision skal fokusere på.
Figur 8.2. Brug af intern revision - Egen tilvirkning baseret på spørgeundersøgelse
Som figur 8.2 viser, er der megen fokus på operationel revision og compliance. Inden for operationel revision svarer 67%, at de har høj fokus på operationel revision. En respondent har svaret, at operationel revision ikke benyttes, men har svaret, at de har et højt fokus på IT, som er en del af den operationelle revision. Her er arbejdsområderne hos den interne revision at give assurance og rådgivning på de generelle IT-kontroller, applikationskontroller og beredskabsplaner. Dermed har 83% af respondenterne et højt fokus på operationel revision.
Indenfor compliance svarer 67% af respondenterne, at deres interne revision har høj fokus herpå, mens ingen har svaret, at de ikke fokuserer på dette område. En respondent har tilføjet GDPR som et vigtigt område, der også kan indgå under compliance. Vigtigheden af at have fokus på compliance støttes også af Mærsks revisionschef, som siger således (bilag 3, spørgsmål 23):
0,00%
10,00%
20,00%
30,00%
40,00%
50,00%
60,00%
70,00%
O P E R A T I O N E L
R E V I S I O N F I N A N S I E L
R E V I S I O N R I S I K O S T Y R I N G C O M P L I A N C E A N D R E