Værdiskabende intern revision
En dansk undersøgelse af intern revisions værdiskabelse
Kandidatafhandling
Copenhagen Business School Cand.merc.aud
Andrias Berglíð Sólsker (103628) Petur Pauli Mikkelsen (102396) Vejleder: Kim Stormly Hansen 15. juni 2020
Antal sider: 101/228.152
Forord
Forfatterne af denne afhandling har et ønske om at bidrage til en bedre forståelse af, hvad intern revision er, og hvordan den kan tilføre en virksomhed værdi. Området for intern revision i danske industrielle virksomheder er ikke reguleret i dansk lovgivning, og derfor er det op til hver enkelt virksomhed at vurdere om behovet for etablering af intern revision.
Der eksisterer ikke megen litteratur om, hvordan intern revision anses af danske industrielle virksomheder og hvordan den benyttes i virksomheder, der har valgt at etablere en intern revision.
Formålet og håbet med denne afhandling er at give læseren et indblik i intern revision i danske industrivirksomheder, samt at opnå en forståelse for, hvorfor etablering af intern revision er begrænset i danske industrivirksomheder.
Vi vil gerne sige stort tak til vores vejleder, Kim Stormly Hansen, for hans støtte og vejledning igennem hele afhandlingsprocessen, og for hans hurtige svar på de spørgsmål og problemstillinger, der er opstået undervejs. Vi vil ligeledes rette en stor tak til A. P. Møller Mærsks revisionschef for at medvirke i et interview, der har givet os et meget dybere indblik i, hvordan en intern revisionsfunktion arbejder i praksis i en stor dansk industrivirksomhed. Tak til alle de virksomheder, der har afsat tid til at besvare vores spørgeundersøgelser i denne hektiske tid. En stor tak skal også rettes imod familiemedlemmer og venner, der har foretaget korrekturlæsning og har bistået med sparring hen imod slutningen af afhandlingsprocessen. Den største tak skal vores kone, kæreste og børn have for at have støttet op omkring forfatterne i en lang periode, hvor en meget stor del af vores tid er gået til udarbejdelse af afhandlingen.
Intern revision er et meget bredt begreb, og der er stor variation i sammensætningen af de forskellige interne revisionsfunktioner, da dette vil afhænge af de specifikke behov, virksomheden har. Det kan derfor være svært at forstå kernen i, hvilken værdi en intern revision kan tilføre en virksomhed.
Forfatternes håb er, at denne afhandling kan være med til at skabe en bedre forståelse for professionen, intern revision i Danmark. I denne henseende vil vi lade et kendt citat tale for sig selv, som opsummerer formålet med afhandlingen meget godt:
Simplicity is the ultimate sophistication - Leonardo da Vinci
Executive Summary
According to The Institute of Internal Auditors (IIA), the internal audit function is a value adding function for organisations. The internal audit function adds value to the organisation by improving opportunities to achieve organisational objectives, identifying operational improvement, and/or reducing risk exposure through both assurance and advisory services. In Denmark, there is no legal requirement for non-financial organisations to establish an internal audit function and we can observe that there are relatively few non-financial organisations that choose to do so.
That raises a question mark about The IIA’s claim about an internal audit function being a value adding function. This incoherency between an internal audits alleged value creation and a lack of organisations choosing to establish an internal audit function has led to this study, which aims to investigate if an internal audit function really can add value to Danish non-financial organisations and under which conditions value creation can be reached.
This study has found that an internal audit function has the potential to add value to Danish non-financial organisations, mainly in areas such as Operational audits, Risk Management and Compliance, but that there is a misperception of what an internal audit function is and what it does. Through this study, we see indications which seem to confirm the general problem for the internal audit profession that it is perceived as the external audits “Right hand” in auditing, and that it has challenges in breaking away from that perception amongst stakeholders who have not yet established an internal audit function.
Therefore, to be able to show its value creation, we recommend that the internal audit profession shows how they differentiate themselves from external auditors and other control functions within the organisation. In this regard, the authors of this thesis have developed a definition of what an internal audit function does and how they are different from other functions.
Furthermore, the study has found that there appears to be a shift towards having a more proactive approach towards audit engagements through advisory services in a bid to enhance value creation, both internationally and in Denmark. By taking a more proactive approach towards audit engagements, the internal audit can mitigate emerging risks instead of reacting to already materialized risks.
1. INDLEDNING 7
1.2PROBLEMFORMULERING 8
2. FORSKNINGSMETODE 9
2.1TILGANG TIL FORSKNINGSMETODOLOGI 9
2.1.1 Forskningsfilosofi 10
2.1.2 Tilgang til forskningen 11
2.1.3 Valg af metodologi 11
2.1.4 Forskningsstrategi 12
2.1.5 Tidshorisont 13
2.1.6 Forskernes rolle 13
2.1.7 Kvalitetsvurdering 14
2.2DATAINDSAMLING 14
2.2.1 Primær dataindsamling 15
2.2.2SEKUNDÆR DATAINDSAMLING 18
2.3AFGRÆNSNING 19
2.4ANVENDT TEORI 20
2.4.1 Agent-Principal teorien 20
3. INTRODUKTION TIL INTERN REVISION 22
3.1REVISIONSPROFESSIONENS HISTORISKE UDVIKLING 22
3.2INTERN REVISIONS HISTORISKE UDVIKLING 23
4. LOVGIVNING, REGULERING OG STANDARDER 27
4.1LOVGIVNING 27
4.2REVISIONSUDVALG 27
4.3INTERNATIONAL PROFESSIONAL PRACTICES FRAMEWORK (IPPF) 29
4.3.1 Obligatorisk Vejledning 29
4.3.2 Stærkt anbefalet 31
5. INTERN REVISIONS ARBEJDSOMRÅDER 32
5.1FINANSIEL REVISION 32
5.2OPERATIONEL REVISION 33
5.3RISIKOSTYRING 33
5.4COMPLIANCE 35
5.5DEFINITION AF ASSURANCE OG ADVISORY 35
6. THREE LINES OF DEFENCE 37
6.1MODELLENS STYRKER OG SVAGHEDER 39
7.1FORUDSÆTNINGER FOR EN VÆRDISKABENDE INTERN REVISIONSFUNKTION 40
7.2VÆRDISKABELSESPROPOSITIONEN 45
7.2.1 De tre værdier i værdiskabelsespropositionen 45
7.2.2 Problematikker ved værdiskabelsespropositionen 49
7.3DEFINITION AF VÆRDISKABELSE 51
7.4DELKONKLUSION 53
8. ANALYSE AF DANSKE FORHOLD 54
8.1TILVALG/FRAVALG AF INTERN REVISION 54
8.1.1 Virksomhedsstørrelse og kompleksitet 55
8.1.2 Opfattelse af intern revision 57
8.1.3 Imødegåelse af besvigelsesrisici 58
8.2ORGANISATORISK OPBYGNING 58
8.2.1 Med intern revision 58
8.2.2 Uden intern revision 65
8.3VÆRDISKABELSE 72
8.3.1 Hvilke områder kan intern revision tilføre mest værdi på 72
8.3.2 Måling af værdiskabelse 75
8.4HVORFOR FRAVÆLGES INTERN REVISION I DANSKE INDUSTRIVIRKSOMHEDER? 77
9. HVAD KENDETEGNER VIRKSOMHEDER MED INTERN REVISION? 82
9.1KONCENTRATION AF EJERSKAB 83
9.2MARKEDSVÆRDI 85
9.3KOMPLEKSITET 87
9.3.1 Samlede aktiver 87
9.3.2 Antal dattervirksomheder 88
9.4SAMMENFATNING AF ANALYSER 89
10. FREMTIDEN FOR DEN INTERNE REVISIONSFUNKTION 91
10.1MODERNISERING AF THREE LINES OF DEFENCE 91
10.2FLERE ADVISORY OPGAVER 93
10.3SIKKERHEDSFORANSTALTNINGER 96
10.4RISIKOSTYRING I FREMTIDEN 97
11. KONKLUSION 101
12. PERSPEKTIVERING 104
LITTERATURLISTE 105
BILAG 109
BILAG 1–REVISIONENS UDVIKLING 109
BILAG 2–INTERVIEW MED RICHARD CHAMBERS 110 BILAG 3-INTERVIEW MED A.P.MØLLER MÆRSKS REVISIONSCHEF 114 BILAG 4–3.4.5REDEGØRELSE I ANBEFALINGER FOR GOD SELSKABSLEDELSE 126
BILAG 5–DATA TIL ANALYSEN AF KENDETEGN 132
BILAG 6–MAIL KORRESPONDANCE MED MÆRSKS REVISIONSCHEF 140
BILAG 7–YDERLIGERE FORETAGET ANALYSER 141
BILAG 8-KATEGORISERING AF ANVENDTE SPØRGSMÅL UNDER OVERSKRIFTER: 145
BILAG 9–SPØRGEUNDERSØGELSE (REVISIONSCHEFER) 149
BILAG 10–SPØRGEUNDERSØGELSE (BESTYRELSE MED IR) 156
BILAG 11–SPØRGEUNDERSØGELSE (BESTYRELSER UDEN INTERN REVISION) 162 BILAG 12–SPØRGEUNDERSØGELSE (DAGLIG LEDELSE – MED INTERN REVISION) 167
BILAG 13–TILVALG OG FRAVALG AF INTERN REVISION 171
BILAG 14–HVORFOR FRAVÆLGES INTERN REVISION I DANSKE INDUSTRIVIRKSOMHEDER? 173
BILAG 15–BRUG AF INTERN REVISION 176
BILAG 16–ASSURANCE OG ADVISORY 178
BILAG 17–HVILKE OMRÅDER KAN INTERN REVISION TILFØRE MEST VÆRDI PÅ? 181
BILAG 18–RISIKOSTYRING I FREMTIDEN 183
1. Indledning
For store virksomheder, hvor ejerskabet er spredt, er almindelig praksis, at aktionærerne, i form af bestyrelsen, overdrager den daglige styring af virksomheden til en daglig ledelse, som skal følge de retningslinjer og anvisninger, som bestyrelsen har givet. I 1776 argumenterede Adam Smith i bogen “The Wealth of Nations”, at det kan ikke forventes, at den daglige ledelse forvalter ressourcerne på samme måde, som var det deres egne midler (Smith, 1776, s. 284). Aktionærerne vil derfor opnå sikkerhed for, at ledelsen handler i deres interesse.
Aktionærerne har primært fokus på, at de regnskabstal, som ledelsen aflægger, giver et retvisende billede, og derfor søger man sikkerhed ved brug af den eksterne revision.
I Danmark er der krav om etablering af intern revision for større finansielle virksomheder, mens der ikke er krav om etablering af intern revision for større industrielle virksomheder.
Historien viser, at erhvervsskandaler ofte efterfølges af reaktioner til ændringer af loven. I USA har erhvervsskandaler medført indførelsen af Sarbanes Oxley Act (SOX), som blandt andet sætter krav om, at bestyrelsen afgiver en erklæring om effektiviteten af intern kontrol, samt at revisor skal attestere bestyrelsens erklæring (Johansen et al., 2016, s. 248). I Danmark var eftervirkningerne af Nordisk Fjer sagen, at bestyrelsen blev pålagt at tage stilling til behovet for en intern revision efter den daværende aktieselskabslov (ASL) §56, stk. 7. Kravet er dog blevet fjernet i den gældende selskabslov, men indeholdes nu i stedet i Anbefalinger for God Selskabsledelse, hvor revisionsudvalget skal tage stilling til behovet for at etablere en intern revision.
Intern revision er en funktion, som har til formål at styrke en organisations governance, risikostyring og interne kontrolmiljø. Foreningen for Interne Revisorer i Danmark (IIA) definerer intern revision som (se www.iia.dk):
Intern revision er en uafhængig, objektiv bekræftelses- og rådgivningsfunktion, som har til hensigt at tilføre merværdi og forbedre organisationens drift. Den bidrager til, at organisationen opnår sine målsætninger ved at benytte en systematisk og struktureret metode til at evaluere og forbedre effektiviteten og hensigtsmæssigheden af organisationens processer for risikostyring, kontrol og governance.
Ud fra grundlæggende økonomisk teori, vil enhver person altid søge maksimum tilførsel af værdi (Parkin et al., 2012). Hvis intern revision formår at tilføre merværdi for organisationen, burde der være en selvregulerende mekanisme, hvor de virksomheder, der ser en værdi i intern revisions ydelser, vælger at etablere en intern revision, selvom det ikke er et lovkrav. For de virksomheder, der mener, at intern revision ikke kan tilføre værdi, vil de fravælge at etablere sådan en funktion.
Der er i dag få danske industrielle virksomheder, som har valgt at etablere en intern revision, hvilket giver anledning til at sætte spørgsmålstegn ved intern revisions værdiskabelse. En del af problematikken kan dog også ligge på lovgivers side, hvor formuleringen i dansk lovgivning og anbefalinger muligvis medfører, at der hovedsageligt fokuseres på finansiel revision ved vurdering af behovet for etablering af en intern revision.
IIA’s definition af intern revision har et bredere fokusområde, hvor den fokuserer på governance, risikostyring og interne kontroller, som omfatter både finansiel og operationel revision. Dette kan give indikationer om et forkert fokus fra revisionsudvalgets side med hensyn til vurdering af intern revisions værdiskabelse.
Fravalget af etablering kan også skyldes, at de danske bestyrelser har stor tillid til, at den daglige ledelse varetager aktionærernes interesser og dermed ikke ser en værdi i uafhængig og objektiv assurance fra en intern revision. Danske virksomheder er relativt små i forhold til internationale virksomheder, hvorfor det kan tænkes, at bestyrelsen vurderer, at den har et relativt godt overblik over virksomhedens governance, risikostyring og interne kontrolmiljø, som gør, at intern revision vurderes unødvendig.
1.2 Problemformulering
Ud fra indledningen kan vi konstatere, at intern revision ser sig selv som en funktion, der tilfører virksomheden merværdi. Alligevel viser det sig, at forholdsvis mange danske industrielle virksomheder fravælger at etablere en intern revision. Afhandlingen søger derfor at få svar på følgende:
• Skaber intern revision merværdi for virksomheder, og hvordan defineres værdiskabelse?
For at svare på problemformuleringen opstilles følgende undersøgelsesspørgsmål, som til sammen bruges til at udgøre en kvalificeret besvarelse:
• Hvad er intern revision, og hvordan har denne udviklet sig gennem årene?
• Hvordan benyttes intern revision af industrielle danske virksomheder i dag, og hvordan skabes der værdi?
• Hvad kendetegner danske industrielle virksomheder med intern revision?
• Intern revision i fremtiden
2. Forskningsmetode
I dette kapitel introduceres forskningsmetodologien og designet, hvis formål er at give forfatterne værktøjerne til at besvare afhandlingens undersøgelsesspørgsmål. Etablering af forskningsmetodik og design, der svarer til målene for afhandlingen er en af hovedaktiviteterne i forskningsprocessen (Saunders et al., 2016, s. 11-12).
Formålet med denne afhandling er at undersøge, om intern revision skaber merværdi for danske industrielle virksomheder, samt at komme med vores egen definition for forudsætningerne for værdiskabelse. Derudover er målet at se på værdiskabelsen i et fremadrettet perspektiv, hvor der kommes med et bud på fremtidens interne revision. For at nå vores mål, skal der være et sammenfald mellem målet, forskningsmetodologien og dens design. Dette kapitel vil beskrive den generelle metodologiske tilgang og design, herunder forskningsfilosofien, forskningsstrategien og dataindsamling.
2.1 Tilgang til forskningsmetodologi
Forskningsmetodologien for denne afhandling tager udgangspunkt i ”The Research Onion”, som bliver foreslået som forskningsmetodologi i bogen, ”Research Methods for Business Students” (Saunders et al., 2016, s. 124). Tilgangen, som vi vil forklare nærmere, er her illustreret i form af figur 1.1 fra samme bog.
Figur 1.1 The Research Onion - Saunders et al. (2016)
2.1.1 Forskningsfilosofi
Udtrykket forskningsfilosofi refererer til et system af overbevisninger og antagelser om udvikling af viden (Saunders, et al., 2016, s. 124). Det betyder i sagens natur, at man udvikler viden inden for et givet felt, som i vores tilfælde er intern revisions værdiskabelse i danske industrielle virksomheder. Inden for forskning bliver mange forskellige forskningsfilosofier foreslået i forbindelse med forskning af diverse emner, men bogen,
”Research Methods for Business Students” lægger op til, at der er 5 primære forskningsfilosofier inden for erhvervsliv og ledelse: Positivisme, Kritisk realisme, Interpretivisme, Postmodernisme og Pragmatisme (Saunders, et al., 2016, s. 135).
Positivismen bygger på, at videnskabelig erkendelse opnås gennem den systematiske indsamling af empiriske data. Ifølge positivismen, er det kun teorier, der er afledt af sådanne data, som er videnskabelige (Beck Holm, 2016, s. 28). Positivismen stammer fra naturvidenskaben og har som formål at opdage observerbare og målbare fakta og regelmæssigheder. Interpretivismen opstod derimod som en kritik af positivismen og er subjektiv i sin natur. Interpretivismen er forbundet med hermeneutik, og her beskæftiger forskeren sig med at studere meningsfulde sociale handlinger, der er baseret på menneskers subjektive holdninger, i et forsøg på at forstå den komplekse verden ud fra de individer, der bor i den (Mertens, 2010, s. 15-16). Kritisk realisme hævder, at forståelse af omverdenen opnås igennem to stadier. Det første stadie er selve oplevelsen af en begivenhed, og det andet stadie er den mentale behandling af begivenheden nogen tid efter (Reed, 2005). Den kritiske realist er opmærksom på, at vi kun ser en brøkdel af omverdenen på et givet tidspunkt, og forsøger at se og forstå det store billede ved at søge efter de underliggende årsager og mekanismer, der førte til begivenheden. Den kritiske realist forsøger således at være opmærksom på, hvordan vedkommendes kulturelle baggrund og oplevelser kan påvirke forskningen, og vil forsøge at minimere mulige bias og være så objektiv som muligt (Saunders et al., 2016, s. 139-140). Til sidst har vi pragmatisme, der hævder, at begreber kun er relevante, når de understøtter handling. I en pragmatisk forskningsfilosofi stræber man efter at forene både objektivisme og subjektivisme, fakta og værdier, nøjagtig og grundig viden, og diverse kontekstualiserede erfaringer. Pragmatikere er mere interesserede i praktiske resultater end abstrakte sondringer, og derfor kan der være væsentlig variation i, hvor objektiv eller subjektiv deres forskning ender med at blive (Saunders et al., 2016, s. 143-144). Inden for pragmatisme begynder forskningen i en erkendelse af, at der er et problem, som skal løses. Med udgangspunkt i problemet, anvender pragmatikeren så den eller de forskningsfilosofier, der er relevante for at komme med et praktisk resultat.
Denne afhandling anvender hovedsagelig den pragmatiske forskningsfilosofi. Afhandlingens problemstilling er opstået som følge af et erkendelsesspørgsmål om, hvorfor mange danske industrielle virksomheder
fravælger at etablere en intern revision. Denne problemstilling har ført til afhandlingens hovedspørgsmål, som er: Skaber intern revision værdi for virksomheder, og hvordan defineres værdiskabelse? For at besvare hovedspørgsmålet har vi ikke valgt at følge én specifik forskningsstrategi eller én specifik teknik for dataindsamling. Vi har derimod valgt en pragmatisk tilgang, hvor der arbejdes med forskellige typer af viden og metoder, som på hver sin måde tilfører værdi ved besvarelse af afhandlingens undersøgelsesspørgsmål.
2.1.2 Tilgang til forskningen
Inden for forskning er der hovedsagelig to forskellige metoder, man kan bruge til at opnå viden: induktivt og deduktivt. Ved den induktive metode forstås, at videnskabelige teorier er sammenfatningen af en mængde enkeltobservationer og intet andet. Igennem denne mængde af enkeltobservationer udvikles derefter nye redegørelser og teorier igennem diverse hypoteser. Ved deduktion forstås derimod, at sikker viden nås gennem logiske slutninger fra ubestridelige grundantagelser. I en deduktiv tilgang begynder man således med teorien, og analyserer derefter observationerne med udgangspunkt i teorien (Beck Holm, 2016, s. 25-26).
Denne afhandling gør brug af begge tilgange. Afhandlingen tager udgangspunkt i Agent-Principal teorien, hvor det ud fra teorien antages, at der er en informationskløft mellem den daglige ledelse (Agenten) og bestyrelsen (Principalen), hvilket er en fordel for agenten, som vil handle opportunistisk. Denne problemstilling kan intern revision inddrages i at løse delvist ved at udjævne informationskløften. Flere af spørgsmålene i de udsendte spørgeskemaer er også stillet med udgangspunkt i Agent-Principal teorien. Den induktive metode tages også i brug i og med, at de udsendte spørgeskemaer indeholder åbne spørgsmål, som kan besvares i alle mulige retninger. Ud fra disse besvarelser forsøger vi derefter at opnå ny viden.
2.1.3 Valg af metodologi
Valg af metodologi er et vigtigt aspekt i et forskningsdesign. Når det kommer til forskningsfilosofi, er undersøgelsesspørgsmålets natur, konteksten af forskningen og de sandsynlige udfald af forskningen, de drivende faktorer ved valg at metodologi for pragmatikere (Saunders et al., 2016, s. 170). I bogen ”Research Methods for Business Students” differentieres der mellem ”mono-method” og ”multiple-methods”. “Mono- method” forstås som, at dataindsamlingen enten består af én kvantitativ eller kvalitativ dataindsamling. Dette kan udbygges til ”Multi-method”, hvor der gøres brug af flere forskellige dataindsamlinger, men hvor man stadigvæk holder sig til enten kvantitativ eller kvalitativ dataindsamling. En tredje mulighed, som bogen også præsenterer, er ”Mixed methods”, hvor dataindsamlingen består af både kvantitative og kvalitative data. Inden for ”mixed methods” rangeres kompleksiteten af dataindsamlingen fra simpel til kompleks. Den simpleste form for ”mixed methods” er den sammen løbende tilgang, hvor både det kvantitative og kvalitative data
indsamles samtidig og anvendes sideløbende med hinanden i analysen. Den mest komplekse form for ”mixed methods” kaldes ”Sequential multi-phase”, hvor eksempelvis en kvantitativ dataindsamling fører til en kvalitativ dataindsamling, som siden fører til en næste kvantitativ dataindsamling.
Vores dataindsamling kan defineres som ”Mixed method”, da den både består af kvantitative og kvalitative dataindsamlingsteknikker. Formålet med at bruge begge dataindsamlingsteknikker er at opnå en bedre forståelse for emnet og at modvirke subjektivisme. De kvalitative data er blevet kvantificeret i generelle overskrifter for at gøre det muligt at drage konklusioner på baggrund af de besvarelser, vi har modtaget på spørgeskemaerne. Risikoen ved at kvantificere kvalitativt data er, at man lægger for stor vægt på ét aspekt i besvarelsen og således mister potentiel værdifuld viden fra samme besvarelse. Kompleksiteten af tilgangen kan kategoriseres som ”Sequential exploratory”, der har en mellemgrad af kompleksitet. Grunden til denne kategorisering er, at der i første omgang blev udsendt spørgeskemaer til virksomheder. Indholdet i disse besvarelser førte siden til en kvantitativ dataindsamling, hvis formål var at bekræfte den forståelse, vi havde opnået ved analysen af de kvalitative data (Saunders et al., 2016, s. 162-174).
2.1.4 Forskningsstrategi
En forskningsstrategi kan defineres som en handlingsplan, som forskeren fastlægger for at besvare undersøgelsesspørgsmålene. Den er det metodologiske bindeled mellem den valgte filosofi og de efterfølgende valg af metoder til at indsamle og analysere data (Denzin & Lincoln, 2011). Ifølge Saunders et al (2016) kan der skelnes mellem 8 forskellige forskningsstrategier: Experiment, Survey, Archival and documentary research, Case study, Ethnography, Action research, Grounded Theory og Narrative Inquiry. De anvendte strategier, omfattende spørgeundersøgelser og arkiv- og dokumentforskning, vil blive nærmere uddybet.
En spørgeundersøgelse bliver typisk forbundet med en deduktiv forskningsstrategi og benyttes oftest i eksplorativ og beskrivende forskning (Saunders et al., 2016, s. 181). Dette er også delvist tilfældet i denne afhandling, hvor indholdet i spørgeskemaerne retter sig imod at forstå og beskrive brug af intern revision i danske industrielle virksomheder, og hvordan den tilfører værdi, samt at opnå en forståelse for, hvordan virksomheder uden intern revision organiserer sig. Disse spørgsmål er forankret i Agent-Principal teorien. En spørgeundersøgelse kan dog også egne sig til en mere interpretivistisk tilgang, hvor der er plads til fortolkning af de besvarelser, forskerne modtager (Saunders et al., 2016, s. 166). Dette er også en tilgang, vi har valgt at følge, da det vurderes nødvendigt at fortolke og kategorisere nogle af de besvarelser i spørgeskemaerne, der er modtaget på baggrund af mere åbne spørgsmål.
Derudover er der foretaget et semi-struktureret interview med A.P. Møller Mærsks, herefter Mærsk, revisionschef og et struktureret spørgeskema til præsidenten for det globale IIA, som har til hensigt at give os en dybere forståelse for brugen af intern revision. Analysen af disse data har siden ført til en kvantitativ undersøgelse af, hvad der kendetegner danske industrielle virksomheder med intern revision. Formålet med den kvantitative undersøgelse er at foretage en triangulering for at se, om det kvantitative data stemmer overens med det, som vi tror, det øvrige indsamlede data fortæller os.
De sekundære data, der er benyttet i afhandlingen, består af dokumenter og rapporter, der både bliver brugt til at supplere og understøtte den primære dataindsamling, men som også benyttes selvstændigt indledningsvist for at sætte rammen for de problematikker, som den primære dataindsamling senere skal behandle og analysere.
2.1.5 Tidshorisont
Ifølge Saunders et al (2016) skelnes der mellem to tidshorisonter i forskningsdesign: Cross-sectional &
Longitudinal studies. Cross-sectional forskning har til formål at give et øjebliksbillede af et specifikt fænomen på et givet tidspunkt, mens Longitudinal forskning studerer udviklingen af et fænomen over tid. Denne afhandling anvender hovedsagelig Cross-sectional forskning, da det primære formål er at undersøge, om intern revision skaber værdi for virksomheder i dag, og hvordan værdiskabelse defineres. Afhandlingen har dog også et Longitudinal aspekt over sig i og med, at intern revisions udvikling over tid beskrives indledningsvis, og afhandlingen afsluttes med at komme med bud på fremtidens interne revision og dens værdiskabelse.
2.1.6 Forskernes rolle
En vigtig overvejelse ved formulering af forskningsdesign relaterer sig til forskerens rolle. Der skelnes imellem en ekstern og intern forsker. Som fuldtidsstuderende defineres begge forfattere af denne afhandling som eksterne forskere. Det medfører, at vi er nødt til at forhandle med organisationer for at tilvejebringe de data, vi ønsker at undersøge. Den eksterne forsker skal således vinde organisationens tillid, sådan at organisationen er villig til at deltage i det emne, som der skal forskes i (Saunders et al., 2016, s. 208). I forhold til den interne forsker, har den eksterne forsker ingen allerede eksisterende viden om organisationen og skal derfor oparbejde den nødvendige viden helt fra bunden. På den anden side er den eksterne forsker ikke udsat for den samme risiko med hensyn til bias i forhold til den/de organisationer, der deltager i undersøgelsen.
2.1.7 Kvalitetsvurdering
I dette afsnit afdækkes validiteten og reliabiliteten ved undersøgelsen for at afgøre dens kvalitet.
Validitet vedrører, hvorvidt man måler det, man ønsker at måle på (Carmines & Zeller, 2011, s. 4).
Afhandlingen tager udgangspunkt i Agent-Principal teorien, som er en anerkendt teori, og derfor vurderes som valid. Afhandlingens primære empiri består af spørgeundersøgelser, en kvantitativ analyse af kendetegn for virksomheder med intern revision, et semi-struktureret interview med Mærsks revisionschef og et struktureret interview med IIA’s præsident.
Spørgeskemaerne er designet på en måde, der skal give os indblik i, hvordan den interne revision arbejder i danske industrivirksomheder, og hvordan der skabes værdi, samt hvorfor mange virksomheder fravælger intern revision, og hvordan disse virksomheder organiserer sig alternativt. Vi er opmærksomme på, at det antal besvarelser, der er modtaget fra spørgeundersøgelsen, ikke er statistisk repræsentativt nok til at stå alene.
Derfor har vi søgt at understøtte validiteten med ovennævnte yderligere primære empiri, samt ved at bruge relevant sekundært data. De sekundære data består blandt andet af omfattende relevante undersøgelser, der er foretaget af IIA og PwC, som ikke har til formål at svare på denne afhandlings problemformulering, men som dog kan benyttes for at styrke afhandlingens validitet (Saunders et al., 2016, s. 316). For en nærmere uddybning af dataindsamlingen henvises der til afsnit 2.2 Dataindsamling.
Ved reliabilitet forstås, hvorvidt gentagelse af samme procedure af en anden forsker vil ende med samme resultat (Carmines & Zeller, 2011, s. 3). Denne afhandling er præget af subjektivisme, da flere af konklusionerne på analysen i væsentlig grad afhænger af vores fortolkning af de besvarelser, der er modtaget.
Derudover stammer en stor del af litteraturen om intern revision fra IIA, som er en international organisation for interne revisorer, og som derfor må antages at være præget af bias mod intern revision. Vi har dog været opmærksomme på dette, og har gjort en indsats for at forholde os så objektivt som muligt i forhold til emnet.
Derudover har vi søgt at minimere afhandlingens subjektivisme ved at understøtte konklusionerne ved brug af andre analyser og undersøgelser. Da afhandlingen er præget af subjektivisme, åbnes der dog op for, at der kan forekomme vurderinger, der virker ulogiske i læsers øjne.
2.2 Dataindsamling
Afhandlingens dataindsamling er delt op i primært og sekundært data. Primært data er indsamlet til at bidrage med viden til det område, denne afhandling undersøger, hvorimod sekundære data er dokumenter, som bliver analyseret ud fra et andet perspektiv end det, som dokumentet oprindeligt er skrevet ud fra (Saunders et al,
2016, s. 319). Det sekundære data bruges sammen med det primære data, for at have et bedre grundlag at analysere det primære data.
2.2.1 Primær dataindsamling
Den primære dataindsamling består af 4 forskellige tilgange, som indeholder både kvalitative og kvantitative metoder, i form af en spørgeundersøgelse, et semistruktureret interview, et struktureret interview, samt en analyse af virksomhedsdata.
2.2.1.1 Spørgeundersøgelse
For at få en forståelse for, hvordan intern revision benyttes af danske industrielle virksomheder, blev der foretaget en spørgeundersøgelse. Spørgeskemaerne blev sendt ud til alle industrielle C25 virksomheder og enkelte andre virksomheder i samme størrelsesklasse.
Respondenterne, som blev kontaktet, var:
• Revisionschefer
• Bestyrelsesmedlemmer med intern revision
• Daglige ledelser med intern revision
• Bestyrelsesmedlemmer uden intern revision
Respondenterne blev kontaktet via email og LinkedIn InMail. Spørgeundersøgelsen blev lavet ved hjælp af Survey Monkey, som gør det muligt for respondenten at svare undersøgelsen ved brug af PC/Mac, tablet eller smartphone via et medsendt link til Survey Monkey.
Fordelingen af besvarelser ses i tabel 1.2 nedenfor:
Spørgeskema: Svar
Spørgsmål til revisionschef 7
Spørgsmål til bestyrelse med intern revision 1 Spørgsmål til daglig ledelse med intern revision 2 Spørgsmål til bestyrelse uden intern revision 3 Tabel 1.2. Besvarelser på spørgeskema
Oprindeligt var planen at opnå tilstrækkeligt mange besvarelser til at kunne sammenligne for eksempel intern revisions opfattelse af egen værdiskabelse i forhold til, hvordan bestyrelsen og den daglige ledelse opfatter dens værdiskabelse. Med flere svar fra virksomheder uden intern revision kunne man også foretage en dybere analyse af, om deres 2nd line of defence kan tilføre samme værdi som en intern revisionsfunktion (3rd line of defence), og dermed få et velbegrundet svar på, hvorfor etablering af intern revision er fravalgt.
Covid-19 pandemien viste sig dog at umuliggøre indhentning af tilstrækkeligt primært data til at kunne besvare afhandlingens problemformulering og problemstilling i tilfredsstillende kvalitet, herunder validitet og reliabilitet. På trods af gentagne forsøg på at få svar fra de forskellige enheder, endte det med 13 besvarelser i alt, hvilket ikke er tilstrækkeligt data til at kunne følge den oprindelige metodiske tilgang.
Besvarelserne på spørgeskemaerne vurderes dog at være af høj værdi for afhandlingen, da de er med til at give en indikation af, hvordan intern revision i danske industrivirksomheder arbejder, og hvordan den tilfører virksomhederne merværdi, samt hvorfor nogle virksomheder ikke føler et behov for etablering af intern revision, og hvordan de organiserer sig. Respondenternes svar samles derfor under 5 overskrifter, hvor de analyseres i forhold til overskriften. De 5 overskrifter er oplistet nedenfor:
• Tilvalg og fravalg af intern revision
• Organisatorisk opbygning
• Værdiskabelse
• Hvorfor fravælges intern revision i danske industrivirksomheder
• Risikostyring i fremtiden
Spørgeundersøgelsen har den fordel, at det tidsmæssigt er hurtigere at få samlet flere svar i forhold til interviews. Ulempen er, at det ikke er muligt at komme med uddybende spørgsmål til respondenternes svar.
Derfor blev der lavet et semistruktureret interview med Mærsks revisionschef.
2.2.1.2 Interview med Mærsks revisionschef
Interviewet med Mærsks revisionschef var et semistruktureret interview, hvor revisionschefen fik stillet de samme spørgsmål, som respondenterne til spørgeundersøgelsen fik. Fordi det er et semistruktureret interview, giver det os et mere detaljeret indblik i intern revisions arbejde, hvor der er mulighed for at komme med uddybende spørgsmål. Interviewet giver os svar på, hvorfor revisionschefen mener, at den ene form for revision skaber mere værdi end en anden, som kan bruges til at danne en forståelse for de øvrige respondenters svar i spørgeundersøgelsen.
Interviewet varede 60 minutter og blev lydoptaget og efterfølgende transskriberet. Tidsbegrænsningen medførte, at der ikke var tid til at stille yderligere uddybende spørgsmål til nogle af respondentens svar. Den samlede vurdering af interviewet er, at det har haft et afgørende bidrag til at forstå de underliggende tanker bag de modtagne svar.
2.2.1.3 Interview med præsident for The Institute of Internal Auditors (IIA)
Til at udforske, hvordan intern revision skaber værdi, blev der lavet et struktureret interview med Richard Chambers, som er præsident og CEO for The Institute of Internal Auditors (IIA) i USA. Richard Chambers blev kontaktet via LinkedIn InMail og fik efterfølgende sendt spørgsmål via email. Selvom han arbejder for at promovere intern revision globalt, vurderes hans input at give værdi til afhandlingen, da han har over 40 års erfaring inden for intern revision og har tilegnet sig certifikater som CIA, QIAL, CGAP, CCSA og CRMA.
2.2.1.4 Analyse af kendetegn hos virksomheder med intern revision
Til denne analyse ser vi kun på virksomheder i Nasdaq OMX C25 indekset, hvor de finansielle virksomheder er fjernet, som efterlader 20 industrielle virksomheder. Dette gøres, fordi disse virksomheder er børsnoterede og skal dermed have et revisionsudvalg, som dermed giver et bedre sammenligningsgrundlag overordnet i afhandlingen. Data til analysen er hentet fra Orbis, som er en database hos Bureau van Dijk (BvD), som er ejet af det anerkendte ratingbureau Moody’s.
I lyset af vores problemstilling om, hvorfor relativt mange danske børsnoterede industrivirksomheder fravælger intern revision, har vi foretaget en analyse, der ser på følgende områder:
• Koncentration af ejerskab
o Er der sammenhæng mellem koncentrationen af ejerskab og etablering af intern revision?
• Størrelse og kompleksitet
o Spiller virksomhedens kompleksitet en rolle ved etablering af intern revision?
Analysen er inspireret af Thomas Riise Johansen og Kim Pettersons artikel “The Impact of Board Interlocks on Auditor Choice and Audit Fees” fra 2013 og bruger samme parametre til at vurdere kompleksitet og koncentration af ejerskab.
Mens spørgeskemaerne spørger ind til respondenternes personlige holdning til, hvorfor intern revision i så høj grad fravælges i danske industrivirksomheder, bidrager denne analyse med en mere objektiv analyse af problemstillingen, hvor subjektivisme minimeres.
Vi har foretaget yderligere to analyser af størrelse og kompleksitet, som er omsætning og antal ansatte. Vi bruger omsætning, da dette parameter ofte bliver brugt til at måle virksomhedsstørrelse, for eksempel til Fortune 500 listen. Vi måler antal ansatte fordi Finanstilsynet kvantificerer kompleksiteten hos finansielle virksomheder ved at se på antal fuldtidsansatte. For at være konsistente overfor parametrene brugt af Johansen og Petterson (2013), er disse figurer ikke indeholdt i afsnittet, men der henvises til bilag 7 for at se disse figurer.
Den metodiske tilgang til analysen vil blive beskrevet i afsnit 9, da vi vurderer at det gør det mere overskueligt for læseren i dette tilfælde.
2.2.2 Sekundær dataindsamling
Som tidligere nævnt, benytter afhandlingen sig af triangulering. Det vil sige, at afhandlingen består af, at sekundære data bruges til at komplimentere det primære data. En sådan tilgang har både fordele og ulemper.
Fordelen er at kunne læne sig op ad det arbejde, andre har foretaget tidligere, og dermed bruge vores nye viden til at give det tidligere foretagne arbejde ny betydning. Ulempen ved sekundært data er, at det er indsamlet og bearbejdet med et andet formål end vores (Denscombe, 2007). Det er vigtigt at forholde sig kritisk til de sekundære data. Saunders et al (2016), foreslår en tretrins model til at evaluere sekundært data. Første trin er
“measurement validity”, hvor man skal være opmærksom på, at det sekundære data måler det, som vi undersøger. Det næste trin er “measurement bias”, hvor man skal have fokus på validiteten og reliabiliteten af data. Dette kan blandt andet gøres ved at undersøge kilden til data. Det tredje trin, er “assessment of costs and benefits”. Costs i dette tilfælde er både finansielle og tidsmæssige omkostninger ved at få fat i data. Hvis det koster mere, end det gavner, skal man ikke fortsætte med indsamling af disse data.
De sekundære data bliver brugt løbende i afhandlingen, men i særlig grad til at komme frem til en definition af værdiskabelse. Efter dette afsnit bruges de sekundære data hovedsageligt til at støtte op om de primære data.
Afhandlingens sekundære data består af bøger, artikler og rapporter. Analysen af 3.4.5 redegørelsen hos C25 virksomhederne er bearbejdet af os ved at være på hver enkelt virksomheds hjemmeside og samle alle redegørelser til et dokument. Da dette arbejde kun omhandler sammensætning af flere redegørelser, kategoriseres disse data som sekundære.
Artikel søgning er foretaget via Libsearch, gennem online biblioteket hos CBS, hvorfor kilden til disse artikler, vurderes at være valid.
Størstedelen af rapporterne er udgivet af IIA, hvorfor der er risiko for bias, som vi er opmærksomme på. De resterende rapporter er udgivet af Pricewaterhouse Coopers (PwC), som er et ’big four’ revisionshus. Det er vores vurdering, at deres rapporter ikke lider af en bias i forhold til IIA og vurderes at være valide.
Afhandlingen undersøger blandt andet fremtiden for den interne revision, hvorfor det har været vores ambition at finde de nyeste og mest relevante artikler, som vurderes at være opnået.
2.3 Afgrænsning
Denne afhandling har til formål at undersøge intern revisions værdiskabelse i danske industrielle virksomheder. Der afgrænses således fra finansielle virksomheder, hvor etablering af intern revision er et lovkrav, jf. lov om finansiel virksomhed (FIL), og ikke nødvendigvis er forbundet med værdiskabelse.
Vi har observeret, at mange af de industrielle virksomheder i Nasdaq OMX C25 indekset har valgt ikke at etablere en intern revision. Disse virksomheder repræsenterer de mest omsatte aktier i det danske aktiemarked og er nogle af Danmarks største virksomheder, hvorfor disse vurderes at have størst interesse for offentligheden. Afhandlingen er derfor afgrænset til at se på de danske industrielle C25 virksomheder og visse andre industrielle virksomheder i samme størrelsesklasse. På trods af, at der udelukkende fokuseres på intern revision i danske virksomheder, inddrages internationale tendenser i afhandlingen. Begrundelsen herfor er, at Danmark er stærkt involveret i den globale verden, og derfor vurderes det realistisk, at udenlandske tendenser vil påvirke den interne revisionsprofession i Danmark også.
Der afgrænses ligeledes fra at gå i dybden med COSO-frameworket, da dette ikke vurderes at bidrage til besvarelse af afhandlingens problemformulering. COSO ERM-frameworket fra 2017 vil derfor kun blive kort præsenteret i forbindelse med risikostyring, mens andre frameworks som COCO ikke nævnes.
Afhandlingen vil heller ikke gå i detaljer med intern revisions funktionsbeskrivelse, da intern revisions værdiskabelse omtales på et mere overordnet niveau.
Til sidst kan det nævnes, at afhandlingen har fokus på intern revisions værdiskabelse i danske industrielle virksomheder, og derfor vil der være mindst muligt fokus på ekstern revision. Man kan dog ikke komme udenom at omtale ekstern revision, da mange opfatter intern revision som ekstern revisions ’højre hånd’. Dette vil blive uddybet nærmere i selve afhandlingen.
2.4 Anvendt teori
2.4.1 Agent-Principal teorien
Et agent-principal forhold opstår, når en principal ansætter en agent til at varetage opgaver på vegne af principalen. Det vil sige, at principalen giver beslutningsmyndigheden til en agent.
• Principal - aktionærer/bestyrelse:
Principalen er hovedansvarlig/ejer, som giver beslutningsmyndigheden videre til en agent, som skal optimere principalens værdi.
• Agent - daglig ledelse:
Agenten skal træffe beslutninger på vegne af principalen, for at optimere principalens værdi.
Bestyrelsen giver beslutningsmyndigheden til den daglige ledelse, som varetager den daglige drift af virksomheden, og har dermed mere information om virksomheden end bestyrelsen. Dermed opstår der en informationskløft mellem bestyrelsen og den daglige ledelse.
Den simple agent-principal teori siger, at agenten og principalen har forskellige motiver, hvor agentens motiv for eksempel kan være at beholde sit arbejde. Dette vil han gøre ved at ikke tage for store risici, og have en risikoavers profil. Agenten kan også tage alt for store risici, fordi han ikke har noget ejerskab og derfor nemt kan gå skadesløst videre, hvis missionen mislykkes. Konsekvensen af forskellen mellem agentens og principalens motiver kaldes en agent omkostning. Udover at have en anden risikoprofil end principalen, vil agenten også have et mere optimistisk syn på fremtiden for at vise principalen, at agenten gør et tilfredsstillende arbejde.
Aktionærerne vil derfor have sikkerhed for, at de regnskaber, som den daglige ledelse præsenterer, giver et retvisende billede af virksomhedens årlige præstation. Til dette formål bruges en ekstern revisor. Den eksterne revisor har fokus på, at risikostyringen og det interne kontrolmiljø fungerer effektivt med hensyn til regnskabsaflæggelsen og rapporterer dette til bestyrelsen. Den interne revision har derimod et bredere fokus end den finansielle revision, samtidig med, at den har den fordel, at den er en del af organisationen, som gør, at den har en dybere viden i forhold til den eksterne revision.
Figur 2.1 illustrerer, hvordan intern revision kan bidrage med uafhængig og objektiv information til bestyrelsen således, at informationskløften mellem den daglige ledelse og bestyrelsen mindskes og begrænser en eventuel agent omkostning.
Figur 2.1. Informationskløft - Egen tilvirkning baseret på Hyveled (2010)
Når bestyrelsen etablerer en intern revision, opstår igen et agent-principal problem, hvor intern revision agerer som agent for bestyrelsen. Når den interne revision indgår i en tæt dialog med den daglige ledelse, vil den gerne opretholde et godt og sundt samarbejde. Det kan derfor være svært for den interne revision at opretholde et sundt forhold til den daglige ledelse, men samtidig være villig til at stille den i dårligt lys overfor bestyrelsen (Roussy og Rodrigue, 2016). Meget afhænger derfor af den faglige stolthed, herunder at de etiske principper opretholdes, for at forhindre et agentproblem mellem den interne revision og bestyrelsen.
Ligeledes er den organisatoriske placering af intern revision afgørende for at begrænse agentproblemet. Den interne revision placeres således, at den er ansat af bestyrelsen, som dermed stiller den daglige ledelse udenfor indflydelse med hensyn til ansættelsesforholdet hos den interne revision.
Selvom disse foranstaltninger synes tilfredsstillende for at forhindre et agentproblem, kan man aldrig helt komme dem til livs, og man må derfor stille sig tilfreds med at reducere problemet mest muligt.
Daglig ledelse Intern revision
Bestyrelse
Viden
Tid
Informationskløften
3. Introduktion til intern revision
Dette afsnit har til formål at give læseren et indblik i intern revisions historiske udvikling for at kunne danne sig en forståelse af, hvordan intern revision er blevet anset over tid og hvilke faktorer, der har haft påvirkning på dens udvikling. I dette afsnit fokuseres der dertil på, hvordan stakeholdere har anset intern revision med hensyn til, hvordan funktionen skal benyttes for at tilføre størst værdi til stakeholderne.
3.1 Revisionsprofessionens historiske udvikling
Revision generelt har udviklet sig løbende med tiden, og det gælder både ekstern- og intern revision. På trods af, at der er mange stakeholdere, når det kommer til intern revision, har udviklingen i ekstern revisions praksis vist sig at være meget dominerende i forhold til intern revisions udvikling. For at forstå udviklingen i intern revisionspraksis er det derfor relevant at sammenligne denne med ekstern revisions udvikling og se på, hvor hurtigt intern revision har responderet til ekstern revision.
Generelt kan man sige, at ekstern revision har gennemgået 4 udviklingsfaser siden 1960-erne. Der kan argumenteres for, at man nu er kommet ind i den 5 fase. Dette omtales kort til sidst i afsnittet. De 4 faser præsenteres ellers i tabel 3.1 nedenfor:
Generation Revisionskoncept Revisionens genstand Primær
revisionsmetode før 1960 - 1965 Fuldstændig eller stikprøvevis
revision af bilag Regnskabets enkelte poster Bilagsrevision (Detailrevision) ca. 1965 - 1985 Systemanalytisk revision Grupper af sammenhængende
poster i regnskabet Systemrevision ca. 1985 - 1992 Revisionsrisikomodellen
Væsentlige og risikofydte grupper af sammenhængende poster i regnskabet
Systemrevision
ca.1992 - 2020 Procesrevision Virksomhedens forretningsprocesser
System- og
regnskabsanalytisk revision
Tabel 3.1. Egen tilvirkning - baseret på Klarskov Jeppesen (1999)
Som tabellen viser, blev detailrevision brugt som revisionsmetode helt op til midten af 1960’erne, hvorefter dette i stigende grad blev erstattet af systemrevision. Denne udvikling skete på baggrund af en stigende kompleksitet og et stigende revisionsomfang i takt med, at virksomheder og koncerner blev større, hvilket medvirkede til, at man søgte at minimere detailrevision mest muligt. Med systemrevision var der øget fokus på at basere revisionen på det interne kontrolsystem, hvor man hellere testede kontrollerne, hvis disse var vurderet tilstrækkelige. Mens denne metode generelt fungerede godt i større og etablerede virksomheder, var
der udfordringer med systemrevision for mindre virksomheder, hvor kontrollerne ofte ikke var tilstrækkeligt implementeret.
Tilgangen til systemrevisionen, hvor man reviderede sammenhængende poster i regnskabet, viste sig med tiden at have samme udfordringer som detailrevisionen, nemlig at omkostningerne ved revisionsmetoden var for høje. Derfor gik man over til den såkaldte revisionsrisikomodel, hvor man i højere grad baserede revisionen på væsentlige og særligt risikofyldte regnskabsposter. Selv om det ikke er muligt at opsætte en fuldstændig matematisk formel for denne revisionsmetode, kan en velkendt model i revisionsbranchen supplere til forståelsen af de kriterier, der indgår i revisionsrisikomodellen:
𝑅𝑅𝑅𝑅𝑅𝑅𝑅𝑅𝑅𝑅𝑅𝑅𝑅𝑅𝑅𝑅𝑅𝑅𝑅𝑅𝑅𝑅𝑅𝑅𝑅𝑅𝑅𝑅𝑅𝑅=𝐼𝐼𝐼𝐼𝑅𝑅𝑅𝑅𝑅𝑅𝐼𝐼𝑅𝑅 𝑅𝑅𝑅𝑅𝑅𝑅𝑅𝑅𝑅𝑅𝑅𝑅 ∗ 𝐾𝐾𝑅𝑅𝑅𝑅𝐾𝐾𝑅𝑅𝑅𝑅𝐾𝐾𝑅𝑅𝑅𝑅𝑅𝑅𝑅𝑅𝑅𝑅𝑅𝑅 ∗ 𝑂𝑂𝑂𝑂𝐼𝐼𝑂𝑂𝑂𝑂𝑅𝑅𝐾𝐾𝑅𝑅𝑅𝑅𝑅𝑅𝑅𝑅𝑅𝑅𝑅𝑅𝑅𝑅𝑅𝑅𝑅𝑅
Her er tanken, at revisor, ud fra en professionel vurdering, fastlægger et væsentlighedsniveau, der danner udgangspunktet for revisionen. Ud fra vurderingen udvælges regnskabsposter til revision, der har en høj væsentlighed eller er særlig risikofyldte i forhold til regnskabets retvisende billede. Tanken er at minimere revisionsrisikoen til et tilfredsstillende niveau.
I 1990’erne blev procesrevision introduceret, hvor man i højere grad baserede revisionen på en analytisk tilgang med fokus på forretningsprocesser og virksomhedsforståelse. Tilgangen til virksomhedens regnskab vendes således på hovedet, hvor man baserer revisionen på virksomhedens risikoprofil og arbejder derfra hen imod regnskabet. (Klarskov Jeppesen, 1999)
Mens system- og procesrevision stadigvæk benyttes i høj grad, har den teknologiske udvikling åbnet op for nye muligheder, hvor en række teknologier i stigende grad begynder at have indflydelse på de revisionsmetoder, der benyttes. Muligheden for at revidere store datamængder med et lille ressourceforbrug gør, at man kan gå tilbage til noget, der ligner detailrevision (bilag 1). Blandt andet har man de senere år fået dataanalytiske programmer som Tableau, IDEA og MindBridge, der nemlig åbner op for denne mulighed, hvor man nemt og hurtigt kan se på alle transaktioner i enhver regnskabspost og fordele dem i eksempelvis diverse kategorier og geografiske områder mv. Dette sætter naturligvis krav til virksomhedens IT-infrastruktur, men der er en stor forventning om, at anvendelsen af sådanne værktøjer, robotics og AI (Artificial Intelligence), kommer til at stige markant i fremtiden inden for revisionsbranchen.
3.2 Intern revisions historiske udvikling
Intern revision har gennemgået løbende udvikling i løbet af det 20. århundrede og ind det 21. århundrede.
Udviklingen kan deles op i 8 grupper fra ca. 1950-2020, hvor man kan se, at intern revision har ændret sig betydeligt, både med hensyn til arbejdsopgaver og organisatorisk status (Munteanu & Zaharia, 2013).
Nedenfor vises en overordnet gennemgang af intern revisions udvikling.
Årstal (ca.) Revisionsform
før 1950 Kontrol af regnskabsposter (Detailrevision) 1950-1960 Revision af compliance
1960-1970 Vurdering af retningslinjer 1970-1980 Evaluering af kontroller
1980-1990 Uafhængig rapportering af det interne kontrolsystem 1990-2000 Vurdering af risikostyring
2000-2010 Risikobaseret revision 2010-2020 Proaktiv risikostyring
Tabel 3.2. Egen tilvirkning - baseret på Spencer Pickett (2010)
I 1950’erne var den interne revisionsfunktion typisk en del af virksomhedens regnskabsafdeling, hvor den refererede til en assisterende bogholder (Spencer Pickett, 2010, s.8). Arbejdsopgaverne bestod typisk af detailrevision, hvor den interne revision gennemgik så mange regnskabsposter og bilag som muligt for at sikre, at de var fejlfri. Hvorvidt den interne revisionsfunktion havde haft succes med revisionen, afhang af, hvor mange fejl den konstaterede under revisionen (Spencer Pickett, 2003, s. 11). Dermed kan man sige, at den interne revisions værdiskabelse over for organisationen blev målt på antallet af konstaterede fejl. Set i bagspejlet medfører dette en meget grundlæggende problemstilling i forhold til det moderne ideal om intern revision, som er at forebygge fejl og mangler, da deres eksistensgrundlag dengang var betinget af antal
”findings” under revisionen.
I løbet af 1960’erne forsøgte man at flytte sig fra kun at fokusere på detailrevision af finansielle poster, og den interne revision begyndte også at revidere, hvorvidt organisationens retningslinjer blev overholdt i de forskellige afdelinger. Denne form for revision indeholdt detaljerede checklister, som skulle gennemgås og omfattede revision af blandt andet betalinger til leverandører, medarbejderrefusioner, afstemning af likvider og, hvorvidt retningslinjerne ved indsættelse af penge i banken blev fulgt. For de organisationer, der benyttede denne metode, blev mange regnskabsafdelinger fordoblet i antal medarbejdere.
Omkring 1970 tog intern revision det første skridt væk fra at blive opfattet som en funktion, der kun finder og rapporterer omkring de fejl og mangler, den finder under revisionen. I stedet blev fokus rettet på proceduregennemgang, hvor den interne revision gennemgik organisationens arkiver med henblik på at rette og forbedre organisationens procedurer. Tanken var, at problematikker og fejl kunne bunde i en uklarhed i procedurerne, som medførte fejlagtig fortolkning af dem. Dette symboliserede en ændring i ledelsers opfattelse
af intern revision som en funktion, der også kunne komme med anbefalinger om forbedringer i stedet for kun at rapportere omkring fejl og mangler.
Denne udvikling fortsatte op igennem 1980’erne, hvor man havde et bredere fokus end kun at følge retningslinjerne. Fokus var nu i højere grad end tidligere på det interne kontrolsystem, hvor man testede kontrollerne, om de var effektive og tilstrækkelige. Dermed havde den interne revisor ikke de samme rigide regnskabsrutiner som tidligere og begyndte nu også at yde rådgivning om, hvilke kontroller burde implementeres (Anderson et al., 2017, s. 12).
Udviklingen fortsatte det næste årti, hvor specielt uafhængighed blev en central del af den interne revision.
Den interne revision refererede i stort omfang direkte til bestyrelse og revisionsudvalg i organisationer omkring det interne kontrolmiljø. Fokusområderne var de overordnede interne kontrollers funktionalitet og deres design. Intern revisions arbejdsopgaver må på dette tidspunkt siges at have ændret sig markant i forhold til tidligere år, og intern revision oplevede nu en anerkendelse fra andre professioner, som den ikke havde oplevet tidligere.
Omkring før og efter årtusindskiftet kom mange ledelser under stor kritik for dårlig selskabsledelse på baggrund af flere store erhvervsskandaler, der beskadigede eller ligefrem forårsagede virksomheders konkurs.
Som eksempler kan nævnes Enron og WorldCom skandalerne, der fik verdensomspændende opmærksomhed (Spencer Pickett, 2010, s. 45). Denne udvikling understøttede betydningen af god risikostyring på det operationelle niveau for både private og offentlige organisationer. Til at løse dette problem henvendte mange virksomheder sig til den interne revision om at arbejde for implementering af risikostyringsstrategier og at bistå med rådgivning om, hvordan en sådan strategi kunne føres ud i livet (Anderson et al., 2017, s. 12).
Siden 2003 er der sket en konsolidering af området inden for intern revision, hvor man fortsat har den ansvarlige og metodologiske handling som hovedformål, der skal lede til en højere ydeevne med henblik på styrkelse af ledelseskontrol. Konsolideringen består hovedsagelig af, at man i endnu højere grad opfordrer interne revisorer og virksomheder til at følge det framework, som IIA første gang udstedte i 1947, og siden har ajourført løbende (se afsnit 4.3). Her fokuseres der især på, at interne revisorer skaber værdi igennem systematisk risikovurdering ud fra standarder, god skik, politikker, processer og driften i den pågældende virksomhed.
Intern revision ser sig selv som det redskab, bestyrelser kan bruge til at optimere deres opmærksomhed på risici og undgå amatørisme på ledelsesniveau på grund af manglende kvalifikationer og viden om organisationen. Der er derfor brug for mennesker, som er kompetente til at identificere, vurdere og formidle risici, samt at bistå ledelser med rådgivning i udvikling af et internt kontrolmiljø, der er på linje med organisationens strategi og som bidrager til at nå organisationens strategiske målsætninger.
I 2003 valgte ”The Institute of Internal Auditors” (IIA) at sætte ord på en definition af intern revision, som blev citeret indledningsvis.
I forlængelse af definitionen har IIA formuleret intern revisions hovedformål, som er det formål, intern revision stræber efter at opnå i en organisation. Hovedformålet lyder således (IIA Mission of Internal Audit, 2020):
To enhance and protect organizational value by providing risk-based and objective assurance, advice and insight.
Siden 2003 har intern revisions hovedformål været det samme som ovenstående, og det er denne påståede merværdi, som intern revision siger sig tilføre en virksomhed, som afhandlingen kommer til at beskæftige sig med.
I 2013 nedsatte IIA en arbejdsgruppe til at reevaluere IPPF standarderne, der blev lanceret i 1999. Den nye lancering skulle, blandt andet, medvirke til at opfordre interne revisorer til at arbejde i et mere fremadrettet perspektiv i fremtiden med hensyn til risikostyring (Anderson et al., 2017, s. 2-4). I de efterfølgende år har man derfor set et øget fokus på, hvordan intern revision kan tilføre merværdi gennem en mere proaktiv tilgang til deres arbejde. Det betyder, at intern revision, ved at levere en større andel af advisory ydelser, kan tilføre organisationen værdi ved at komme fremspirende risici i forkøbet, i stedet for at reagere på dem, når skaden er sket. Denne trend er stadigvæk i udviklingsfasen, hvor der arbejdes med at ændre stakeholdernes opfattelse af intern revision, fra udelukkende at være anset som bestyrelsens ”assurance provider”, til at opfattes som en sparringspartner, der bidrager til at opnå organisationens målsætninger.
4. Lovgivning, regulering og standarder
Det følgende afsnit har til formål at redegøre for relevant lovgivning, regulering og standarder, der er vedkommende for intern revision i Danmark. Med hensyn til besvarelse af problemformuleringen, bliver der ikke gået i dybden med ISA standarderne og reguleringen af intern revison i den finansielle sektor, da dette ligger uden for opgavens fokusområde.
4.1 Lovgivning
Der eksisterer egentlig ikke nogen lovgivning for intern revision i industrielle virksomheder i Danmark. For den finansielle sektor er der krav om etablering af intern revision, der reguleres gennem lov om finansiel virksomhed (FIL). Selve kravet om etablering af intern revision i finansielle virksomheder er indarbejdet i Revisionsbekendtgørelsens § 17, stk. 3, der fastsætter, at finansielle virksomheder, der i de seneste 2 år i gennemsnit har haft 125 eller flere fuldtidsansatte, skal etablere en intern revision. For finansielle virksomheder, der ligger under denne grænse, er etablering af intern revision frivilligt, jf. bekendtgørelsens § 17, stk. 1 og 2, dog skal de hvert år tage stilling til behovet herfor, jf. § 17, stk. 1.
I kølvandet af Nordisk Fjer-sagen blev aktieselskabsloven (ASL) i 1993 ændret sådan, at det blev pålagt bestyrelser i aktieselskaber at tage stilling til behovet for intern revision. Dette krav blev dog fjernet igen i den gældende kapitalselskabslov (KSL), som følge af ønsket om at simplificere kravene til bestyrelsers forretningsorden (Johansen et al., 2016). I dag er vurderingen indeholdt i den såkaldte ”soft law”, som ikke er et krav til virksomheder at rette sig efter, men som følger et ”følg eller forklar” princip, jf ÅRL § 107b. Dette princip går ud på, at virksomheder kan fravælge intern revision og hellere redegøre for, hvorfor den ikke følger anbefalingen. Den konkrete redegørelse finder man i virksomhedens corporate governance rapport. Det er Komitéen for God Selskabsledelse, der udarbejder disse anbefalinger (se www.corporategovernance.dk).
4.2 Revisionsudvalg
I børsnoterede virksomheder foreligger der et krav om at etablere et revisionsudvalg, jf. RL § 31, stk. 1. Dog gælder visse undtagelsesbestemmelser til etablering af et revisionsudvalg i stk. 5, 6, 8 og 9, som der ikke kommes nærmere ind på her. Revisionsudvalget er et underudvalg til bestyrelsen og fungerer som et indstillende organ til bestyrelsen. Det er således bestyrelsen, der træffer beslutningerne. Revisionsudvalgets pligter består som minimum af følgende punkter:
• Ansvarlig for udvælgelse og indstilling af revisorvalg
• Overvåge regnskabsaflæggelsen og komme med forslag til forbedringer af integriteten
• Overvåge det interne kontrolsystem/risikostyring – samt intern revision, hvis etableret
• Overvåge den lovpligtige revision – herunder inddrage resultatet af seneste kvalitetskontrol
• Kontrollere og overvåge revisors uafhængighed med hensyn til reguleringen i RL § 24-24c, samt artikel 5 og 6 i forordningen
I henhold til RL § 31, stk. 1 skal revisionsudvalget udgøres af medlemmer af virksomhedens bestyrelse, der ikke indgår i virksomhedens direktion, tilsynsråd eller af personer, der er valgt på virksomhedens generalforsamling eller tilsvarende organ som medlem af udvalget. Flertallet af medlemmerne i revisionsudvalget, herunder formanden, skal være uafhængige, medmindre revisionsudvalgets pligter udføres af den samlede bestyrelse. Derudover skal mindst ét medlem have kvalifikationer inden for regnskabsvæsen eller revision.
Med hensyn til afhandlingens problemformulering er særligt punkt 2 og 3 ovenfor relevante i forhold til etablering af intern revision. Det er revisionsudvalgets ansvar at overvåge, om virksomhedens interne kontroller, risikostyringssystemer og eventuelle interne revision fungerer effektivt med hensyn til regnskabsaflæggelsen, jf. RL § 31, stk. 3, nr. 3. Det vil sige, at revisionsudvalgets pligter er afgrænset til finansiel revision. Denne afgrænsning kan være problematisk, da det også er revisionsudvalgets ansvar at vurdere om behovet for etablering af en intern revision i henhold til Anbefalinger for God Selskabsledelse, pkt. 3.4.5 (Komitéen for god Selskabsledelse, 2017). Intern revisions arbejdsområde er derimod ikke afgrænset til finansiel revision, men omfatter også operationel revision, herunder risikostyring og compliance. Det kan tænkes, at revisionsudvalg, på grund af det lovmæssige mindstekrav, kan have en tendens til at fokusere primært på den finansielle revision i deres vurdering af behovet for en intern revision, hvilket ville være et problem, da intern revisions muligheder for værdiskabelse primært ligger ved operationel revision, som også vil blive pointeret senere i afhandlingen. Derudover er den samlede bestyrelses ansvarsområde bredere end revisionsudvalgets med hensyn til etablering af de fornødne procedurer for risikostyring og interne kontroller, jf. KSL § 115, stk. 1, nr. 2.
Ifølge KSL har bestyrelsen ansvaret for at sikre en forsvarlig organisation af kapitalselskabets virksomhed, og dette omfatter både finansiel og operationel revision. Derfor kan der sættes spørgsmålstegn ved, om der ikke er en skævvridning i lovgivningen på dette område, og om det ikke hellere skulle være bestyrelsens ansvar at vurdere om behovet for etablering af intern revision. I sidste ende er det alligevel bestyrelsen, der tager beslutningerne, da revisionsudvalget opererer som et indstillende organ, men det kan være problematisk, hvis revisionsudvalget i sin indstilling primært fokuserer på den finansielle revision.
4.3 International Professional Practices Framework (IPPF)
IIA har udarbejdet et framework for intern revision generelt, som er kendt som IPPF. Frameworket indeholder en række standarder, anbefalinger og vejledninger og henvender sig til både finansielle- og ikke-finansielle virksomheder. Det er ikke et lovkrav for intern revision i Danmark at følge frameworket, men da det er det mest anerkendte for intern revision på globalt plan, vil det typisk være naturligt for intern revision at forholde sig til frameworket (Johansen et al., 2016, s. 293). Frameworket (figur 4.1) er opdelt i
”Obligatorisk Vejledning” og ”Stærkt Anbefalet”.
IIA lægger dog op til, at deres medlemmer følger standarderne, hvilket i så fald også omfatter danske virksomheder. Brancheforeningen tilbyder også uddannelser inden for intern revision, hvor det er muligt at opnå certificering som intern revisor. Blandt de certificeringer, organisationen tilbyder, er CIA (Certified Internal Auditor) den førende certificering, mens de også tilbyder en række andre certificeringer inden for tre områder, som er henholdsvis lederskab, kompetence og industri.
4.3.1 Obligatorisk Vejledning
Den ”Obligatoriske Vejledning” består af kerneprincipperne for intern revision, definitionen af intern revision, IPPF-standarderne og de etiske regler. De obligatoriske anbefalinger er relativt generelle i sin natur, og er anvendelige i alle interne revisioner.
Formålet med den obligatoriske vejledning er at udspecificere essentielle punkter som organisatorisk struktur, arbejdsforhold og karakteristika af de enheder, der yder services inden for intern revision, samt egenskaber, kompetencer og handlemåder for den enkelte interne revisor. Derudover kommer man med anbefalinger om de essentielle karakteristika ved en serviceydelse inden for intern revision og den proces, den udføres efter.
Kerneprincipper
Kerneprincipperne (Core Principles) består af 10 principper, der både henvender sig til den enkelte revisor og hele den interne revisionsfunktion (Anderson et al., 2017). I sin helhed beskriver kerneprincipperne den interne revisions effektivitet i forhold til den missionserklæring, som IIA har formuleret. Kerneprincipperne udgør fundamentet for definitionen, de etiske regler og de standarder, som IIA har udarbejdet (Anderson et al., 2017).
