• Give uafhængig assurance omkring hensigtsmæssigheden og effektiviteten af de implementerede interne kontroller.
• Støtte virksomheden i at udvikle en omfattende ramme for evaluering af de interne kontrollers hensigtsmæssige design og effektivitet.
• Assistere den daglige ledelse i at fremme etisk adfærd og i at have en lav tolerance overfor ineffektive interne kontroller (tone at the top).
• Være fremadskuende og informere den daglige ledelse og bestyrelse omkring fremspirende risici.
Risk Management omfatter de aktiviteter, der iværksættes med hensyn til risikostyring, og som har til formål at skabe, bevare og realisere værdi. Igennem risikostyring kan intern revision tilføre virksomheden værdi ved at begrænse de risici, som virksomheden står over for. Dette kan de som nævnt gøre ved at assistere ledelsen i at overvåge både det interne og eksterne miljø for at identificere fremspirende risici. Som eksempel kan der ses på risici inden for IT-sikkerhed, hvor den interne revision kan assistere ledelsen i at overvåge og vurdere, om virksomheden har implementeret hensigtsmæssige programmer og retningslinjer, der begrænser risikoen for angreb fra hackere og virus med videre, samt om programmerne er designet på en måde, der begrænser risikoen for menneskelige fejl. Dette vil under alle omstændigheder være ledelsens ansvarsområde, men den interne revision kan bidrage som sparringspartner overfor ledelsen og samtidig give bestyrelsen uafhængig assurance på området.
Compliance er et område, der ændrer sig hele tiden i og med, at nye reguleringer træder i kraft, der påvirker industrierne udefra. Den bedste sikkerhed imod risici, der kan opstå inden for compliance-området, er først og fremmest en stærk funktion i virksomheden. Som eksempler på ændringer inden for compliance-landskabet, der har haft stor påvirkning på mange virksomheder, kan nævnes GDPR og nye reguleringer imod korruption. Her kan intern revision, på samme måde som med risikostyring, agere som sparringspartner over for ledelsen og give uafhængig assurance til bestyrelsen med hensyn til overholdelse af love og reguleringer.
Det kan være svært at måle intern revisions værdiskabelse på området, da formålet er at undgå økonomiske tab og skade på virksomhedens omdømme, som følge af overtrædelser af loven. I tider med en stærk compliance styring, vil man således ikke kunne kvantificere værdien af intern revisions arbejde, men hvis der kommer for mange sanktioner og erstatningssager, kan dette virkelig skade virksomheden økonomisk og omdømmemæssigt.
8.3.2 Måling af værdiskabelse
Et gennemgående tema i afhandlingen har været, at det er svært at måle den merværdi, intern revision tilfører en virksomhed, da værdiskabelsen ofte ligger i undgåelsen af økonomiske og omdømmemæssige tab. Dette gør det svært at kvantificere værdiskabelsen af intern revision i forhold til andre funktioner i en virksomhed ved brug af for eksempel talbaserede KPI’er (Key Performance Indicators).
IPPF standard 1300 sætter blandt andet krav til, at der opstilles retningslinjer og processer, der muliggør måling af den interne revisions ydeevne og effektivitet, samt hvordan en intern revisionsfunktion kan administreres på effektiv vis, og hvor det også fremhæves, at revisionschefen spiller en central rolle i at kommunikere funktionens værdiskabelse til stakeholderne. IPPF Standard 2420 redegør for, hvilke karakteristika en serviceydelse, der skaber merværdi, indeholder – nemlig, at den er præcis, objektiv, tydelig, kortfattet, konstruktiv, fuldkommen og rettidig (se afsnit 4.3.1).
Den mest optimale måling af værdiskabelse vil være at knytte en kroneværdi på det udførte arbejde, så stakeholderne kan se, om den interne revision skaber værdi i forhold til omkostningerne forbundet med at have en intern revision. Dette er ikke altid muligt, givet intern revisions forskellige arbejdsopgaver. Derfor er man også nødt til at måle værdiskabelsen på en mere kvalitativ måde, hvor den interne revisions løbende interaktion med bestyrelser og daglige ledelser er i fokus, og at man hellere benytter for eksempel tilfredshedsniveauet og efterspørgsel efter yderligere services som parametre. Nedenfor analyseres dette emne ud fra de svar, som vi har modtaget fra vores respondenter.
Et bestyrelsesmedlem udtaler sig således med hensyn til, hvordan bestyrelsen måler den merværdi, intern revision tilfører virksomheden (Bilag 10, spørgsmål 9):
Not as a numeric value other than comparative metrics on costs. Value is more qualitative on the improvements and interactions with management as well as external
auditors.
Bestyrelsesmedlemmets besvarelse understøtter forfatternes vurdering om, at måling af værdiskabelse foregår mere på en kvalitativ end kvantitativ måde. Ud fra bestyrelsesmedlemmets besvarelse kan det udledes, at måling af værdi, for den pågældende virksomhed, ligger i intern revisions interaktion med ledelsen og eksterne revisorer, hvilket kan være svært at sætte tal på.
Det, at den eksterne revision også nævnes, giver også mening, da pågældende virksomhed vægter højt, at den interne revision laver finansiel revision. Derfor kan feedback fra den eksterne revision også give bestyrelsen en indikation, om den interne revision laver et godt arbejde eller ikke.
Det nævnes også, at virksomheden benytter ”Comparative metrics on costs”, uden at komme nærmere ind på, hvilke parametre der bliver målt på. Det er dog oplagt, at virksomheden sammenligner omkostningerne ved den eksterne revisionsydelse med brug af den interne revision i forhold til, hvad det ville koste at lade ekstern revision udføre hele den finansielle revision. Andre sammenligningsparametre kunne være at måle de samlede omkostninger ved at have intern revision eller timeprisen pr. intern revisor i forhold til andre sammenlignelige virksomheder.
Hos Mærsk bruger man også en kvalitativ tilgang til måling af værdiskabelse. Mærsks revisionschef siger således omkring måling af værdiskabelse (bilag 3, spørgsmål 24):
We have thought long and hard about it. The ideal solution would be to attach a dollar value and say that if you do this then this is the dollar value you can generate or save.
But that is an artificial or theoretical approach.
Mærsks tilgang til måling af værdiskabelse bygger derfor primært på to parameter.
• Tilfredshed hos den daglige ledelse, samt revisionsudvalg
• Virksomhedens efterspørgsel efter services
For at måle den daglige ledelses tilfredshedsniveau over for den interne revision, udsender den interne revision en tilfredshedsundersøgelse til ledelsen efter hver afsluttet revisionsopgave. Den feedback, som de får herfra, gør den interne revision i stand til løbende at følge med tilfredshedsniveauet for de advisory services, som de leverer til virksomheden. For at måle tilfredshedsniveauet hos bestyrelsen, foretages en tilfredshedsundersøgelse halvårligt, hvor revisionsudvalget giver feedback omkring de ydelser, som de har modtaget af den interne revision, hvor der måles ud fra et tilfredshedsniveau af de samlede ydelser på en skala fra 1 til 10.
Et andet vigtigt parameter hos Mærsk er, hvilken efterspørgsel der er efter yderligere services, primært fra den daglige ledelse. En høj efterspørgsel kan, som sagt, give en indikation om, at de ydelser, der leveres og måden, det bliver gjort på, tilfører merværdi for virksomheden.
Disse to primære måder at måle værdiskabelsen på, hænger sammen, da et højt tilfredshedsniveau, alt andet lige, også vil føre til en højere efterspørgsel efter yderligere services i fremtiden. Over tid vil et højt tilfredshedsniveau for de modtagne ydelser, derudover, styrke den interne revisions status og integritet i virksomheden, som også vil have en positiv påvirkning på, hvordan intern revision opfattes som en værdiskabende funktion.
Når det kommer til kommunikation af værdiskabelsen af de ydelser, intern revision yder til både bestyrelse og daglig ledelse, fremhæver Mærsks revisionschef, at det er vigtigt at understøtte den interne revisions anbefalinger og findings med relevant data, hvis muligt, da dette letter om opgaven at kommunikere værdien af ydelsen. Dette er dog ikke altid muligt, da nogle arbejdsopgaver er for uhåndgribelige til at kunne understøttes med tilstrækkeligt data. Her er det en udfordring at kommunikere værdien til stakeholderne, og man er nødt til at forsøge at kommunikere værdiskabelsen på andre måder. Mærsk har dog generelt været i stand til at understøtte mange findings og anbefalinger med data, hvilket har styrket funktionens integritet og troværdighed over for virksomheden (Bilag 26, spørgsmål 26).
8.3.2.1 Benchmarking
Der findes en række benchmarks, som virksomheder kan deltage i, der har til formål at måle intern revisions præstation, og som tilbyder et professionelt forum for interne revisorer at dele deres viden og praksis.
Eksempler på sådanne benchmarks er IIA’s ”Audit Intelligence Suite” og Gartners ”Internal Audit Interactive Benchmarking Tool”, hvor interne revisioner kan sammenligne sig selv med andre interne revisioner, der opererer i virksomheder i samme industri og af samme størrelse. Mens dette kan være med til at give interne revisioner inspiration til alternative tilgange til deres arbejde og sammensætning af deres team, er disse benchmarks ikke så brugbare i forhold til måling af værdiskabelse. Grunden til dette er, at virksomhederne har forskellige holdninger til, hvordan den interne revision skal arbejde, og hvilke områder, der skal fokuseres på.
Derfor vil en ydelse, der anses for at være værdiskabende i en virksomhed, ikke nødvendigvis være anset på samme måde i en anden virksomhed, selv om virksomhederne har samme størrelse og opererer i den samme industri. I en virksomhed kan den interne revisions primære formål være at agere som politi, mens en anden kan have primært fokus på det strategiske niveau i virksomheden. Udarbejdelse af et generelt benchmark, der kan bruges af alle virksomheder, er derfor meget svært at opnå.
8.4 Hvorfor fravælges intern revision i danske industrivirksomheder?
I forbindelse med afhandlingens problemstilling om, hvorfor etablering af intern revision fravælges af mange danske industrivirksomheder, er der spurgt ind til alle respondenternes holdning til dette. I den forbindelse blev følgende spørgsmål sat til de deltagende respondenter:
In Denmark, there are few non-financial companies that use an internal audit function as a 3rd line of defence. What do you think the reason for this is?
Spørgsmålet henvender sig ikke til den specifikke virksomheds begrundelse for, hvorfor netop de har tilvalgt eller fravalgt revision, men der spørges ind til det generelle billede i Danmark med hensyn til etablering af
intern revision i industrivirksomheder. Det viser sig, at flere af de virksomheder, der har svaret på, hvorfor deres specifikke virksomhed har fravalgt eller tilvalgt intern revision, ikke kommer med samme svar på, hvorfor det generelle billede ser ud, som det gør, hvilket er interessant i sig selv. Virksomhedsstørrelse og kompleksitet er for eksempel ikke nævnt som en begrundelse for det generelle billede. For at gøre det mere overskueligt, er respondenternes svar opdelt under nogle generelle overskrifter i tabellen nedenfor. Det skal bemærkes, at to af respondenterne ikke svarede direkte på spørgsmålet og er derfor udeladt af tabellen.
Figur 8.8. Hvorfor fravælges intern revision - Egen tilvirkning baseret på bilag 14
Respondenternes besvarelser sammenfattes under 6 overskrifter. 14 % af respondenterne har svaret, at de mener ”Board Overconfidence” er hovedårsagen til, at intern revision fravælges af danske industrivirksomheder. Dette emne er dog blevet behandlet i afsnittet med virksomheder uden intern revision, og derfor kommes der ikke yderligere ind på det her (se afsnit 8.2.2.2.1). De resterende emner vil blive diskuteret nedenfor.
Manglende forståelse
Tabellen viser, at 43 % af alle vores respondenter, mener, at en manglende forståelse for, hvilken værdi en intern revisionsfunktion kan tilføre virksomheden, er hovedårsagen til, at virksomheder fravælger at etablere en intern revision. Det skal haves in mente, at over halvdelen af respondenterne i spørgeundersøgelsen udgøres af revisionschefer, og det viser sig også, at de fleste besvarelser med denne begrundelse, kommer fra revisionschefer. Tabellen er derfor påvirket af en positiv bias overfor intern revision, men reliabiliteten af svarene vurderes understøttet af tidligere analyser (se afsnit 8.2.2.1). Revisionscheferne må derudover antages at have en høj forståelse af de muligheder for værdiskabelse, der er ved etablering af en intern revision.
0%
10%
20%
30%
40%
50%
B O A R D
O V E R C O N F I D E N C E M A N G L E N D E
F O R S T Å E L S E O M K O S T N I N G E R
U D V E J E R F O R D E L E I K K E N Ø D V E N D I G T I K K E L O V M Æ S S I G T
K R A V U T I L S T R Æ K K E L I G M O D E N H E D A F
2 N D L I N E