VOR-analyser uppvisar stora variationer i den kommunala revisionen, exempelvis när det gäller upplägg, genomförande och dokumentation. I den här artikeln belyser Ulf-Johan Olson den kommunala revisionens uppgift och arbete med VOR-analyser. Bland annat behandlas orsakerna till den bristande enhetligheten i tillämpning av begrepp och arbetssätt.
Revisionens granskning bygger på en analys av väsentlighet och risk (VOR). Revisionens resurser är begränsade och måste därför användas där de gör bäst nytta. Analysen VOR är revisorernas viktigaste verktyg för att definiera och avgränsa sin granskning.
Inom bolagsrevisionen finns en väl utvecklad begreppsapparat och en relativt stor överensstämmelse kring metodiken. I Sverige har FAR spelat en viktig roll i denna utveckling. Arbetssätt och metodik är starkt förknippade med det huvudsakliga syftet – att årsredovisningen ska spegla verksamhetens resultat och ställning på ett rättvisande sätt.
”Väsentlighet och risk – revisionens svarta låda”, 2004-05-19. Anette Carlstedt, Ulf-Johan Olson och Gunnar Uhlin, Ernst & Young.
Inom den kommunala revisionen – som har ett betydligt bredare uppdrag – uppvisar VOR-analyserna stor variation. Detta bekräftades nyligen i en enkätundersökning1 genomförd på uppdrag av Sveriges kommuner och landsting. I undersökningen ingick 15 kommuner och 5 landsting av varierande storlek.
Relativt stora skillnader konstaterades i upplägg, i genomförande, i dokumentation och i kommunikation av resultat. Det finns därför anledning att problematisera VOR-analysens syfte och genomförande inom den kommunala revisionen.
Syftet med denna artikel är att
ge en bild av den kommunala revisionens uppgift och arbete med VOR-analyser
analysera orsakerna till den bristande enhetligheten i tillämpning av begrepp och arbetssätt
ge förslag och idéer till hur arbetet med VOR-analyser kan utvecklas och förbättras.
Den kommunala revisionens uppgift
Revisorerna i kommuner och landsting2 är ett fullmäktigeorgan med ett uppdrag att granska och främja verksamheten. Även om varje revisor är sin egen myndighet agerar nästan alla revisionsgrupper gemensamt. Revisorernas ansvarsprövning är central och inriktas i huvudsak på hur fullmäktiges beslut genomförts av styrelse och nämnder. Revisorerna kan rikta anmärkning mot nämnd eller ledamöter i nämnd. Fullmäktige beslutar om ansvarsfrihet och revisorernas roll i denna fråga är beredande.
Enligt Kommunallagens (KL) kap. 9 prövar revisorerna ”om verksamheten sköts på ett ändamålsenligt och från ekonomisk synpunkt tillfredsställande sätt, om räkenskaperna är rättvisande och om den interna kontrollen som görs inom nämnderna är tillräcklig”. Förvaltningsrevisionen har sålunda stor tyngd och står för merparten av revisorernas insatser. De förtroendevalda revisorerna biträds av sakkunniga, både i redovisnings- och förvaltningsrevisionen.
I fortsättningen kommer endast begreppet ”kommuner” att användas. Detta innefattar även landstingskommunerna.
God revisionssed i kommuner och landsting
God revisionssed i kommuner och landsting3 formas kontinuerligt av de olika intressenterna och förvaltas av Sveriges kommuner och landsting. Syftet med god revisionssed är att konkretisera en upplyst praxis i förhållande till KL 9 kap. samt övriga lagar och föreskrifter som har relevans för kommunal revision. Målgruppen för god revisionssed är de förtroendevalda revisorerna.
I gällande dokument beskrivs innebörden i god sed som ”de föredömliga och goda principer och tillvägagångssätt som är allmänt vedertagna när revision utförs. Med allmänt vedertagen menas den praxis som råder i en kvalitativt representativ krets av revisorer. ”4
God revisionssed är till största delen ett uttryck för hur arbetet bedrivs och, i viss mån, bör bedrivas. Relativt allmänna formuleringar ger utrymme för stor variation. När praxis förändras över tiden förändras även god sed. En svår fråga är i vilken grad praxis i de kommuner, som tidigt utvecklat mer systematiska eller innovativa arbetssätt, ska avspeglas i god sed. Senast uppdaterades god revisionssed 2002 och ytterligare en uppdatering är planerad, både som resultat av förändrad lagstiftning och praxis. ”Systemförvaltare” är medarbetare vid ekonomisektionen vid Sveriges kommuner och landsting. Dessa har också nyligen hållit ihop ett utvecklingsarbete kring VOR med förtroendevalda revisorer.
Den första versionen kom 1995 och upp daterades 1999 och 2002. Referenser till god revisionssed i denna artikel avser, såvida inte annat anges, alltid den som gäller för kommuner och landsting.
God revisionssed i kommuner och lands ting 2002.
God revisionssed om väsentlighet och risk
Analysen av väsentlighet och risk är en del av revisorernas verksamhetsplanering. I analysen ingår att göra aktiva granskningsval. Nyckelord som nämns i god sed är
Vilka hinder, hot och risker finns i verksamheten?
Hur betydande (väsentliga) är dessa?
Hur sannolikt är det att de existerar eller kommer att inträffa?
Hur väsentligt är det att hinder, hot eller risker inte realiseras?
God sed ger viss vägledning när det gäller olika typer av konsekvenser som kan vara resultatet av bristande styrning och kontroll. Analysdelen ska präglas av ”helhetssyn och aktualitet”. Det framgår också att: ”Den övergripande analysen dokumenteras separat eller som en del av revisionsplanen.” Den goda seden ger begränsad vägledning kring hur risker ska identifieras och värderas. Övergripande fastslås dock att: ”Där analysen resulterar i att väsentliga risker och konsekvenser konstateras eller kan befaras planerar revisorerna för granskning.”
En brist i den goda sedens beskrivningar är att begreppet revisionsrisk överhuvudtaget inte används. En konsekvens av detta är att inriktningen och givna exempel i första hand speglar risker i verksamheten och i omvärlden. Ingen distinktion görs mellan revisionsrisker, dvs. de risker som revisorerna har ansvar för att hantera, och förvaltningsrisker, det vill säga de förhållanden som är styrelses och nämnders ansvar att hantera.
Revisionsrisken i kommunal revision avspeglar syftet med revisionsinsatserna och måste därför ges en vidare betydelse än i bolagsrevisionen.
Revisionsrisken är risken för att revisorerna gör felaktiga uttalanden i revisionsberättelsen eller inte förmår att lyfta fram väsentliga förhållanden som har betydelse för ansvarsprövningen.
Dessa fel eller underlåtelser kan härledas till bristande kunskap om rådande förhållanden, bristande analyskapacitet och/eller bristande omdöme från revisorernas sida. Revisionsrisken kan minskas på flera sätt. Förutom genom erfarna förtroendevalda revisorer (och sakkunniga) sker detta genom att väsentliga delar av verksamheten respektive styrning och ledning granskas och analyseras utifrån de kriterier som ges i kommunallagens kap. 9. Bedrivs verksamheten effektivt och ändamålsenlig? Präglas den av god ekonomisk hushållning och god kontroll? Kännetecknas styrning och ledning av tydliga styr- och ansvarskedjor samt ändamålsenliga system?
Förvaltningsrisker utgörs av väsentliga och ofördelaktiga förhållanden i verksamheten, som kan komma att påverka verksamheten och som ledningen inte förmår att identifiera eller hantera. Konkret kan finnas risker både i lednings- och styrningskompetens och i existerande system för styrning, ledning, uppföljning och kontroll.
God sed klargör att revisorerna ska ”bedöma kvalitén i kommunens riskhantering och interna kontroll”. Därmed antyds att revisorerna inte ska göra egna omfattande analyser av omvärldsrisker och interna risker, utan ska efterfråga att sådana görs av styrelsen och nämnderna. Det framgår kanske inte direkt av god sed, men en rimlig tolkning är att det i första hand är väsentliga förhållanden och risker i kommunens förvaltning som ska vara föremål för revisorernas analys, inklusive hur dessa hanteras av ledningen.
Det mest bekymmersamma är inte att det finns stora risker i verksamheten. Den största risken är bristande förmåga hos styrelse och nämnd att hantera dessa.
Vad är väsentligt?
Det som i god sed kallas VOR-analys är i första hand beskrivet som en riskanalys, dvs. att risker identifieras och att sannolikheten samt riskernas konsekvenser bedöms och värderas. Väsentlighetsbegreppet förlorar därmed sitt egenvärde och blir en del av riskanalysen genom att väsentlighet kopplas till betydelsen av olika riskers konsekvenser. Mot bakgrund av detta är det knappast förvånande att såväl revisorer som sakkunniga inte sällan talar om risk- och väsentlighetsanalysen, i ställer för VOR-analysen. Till och med god sed, som använder begreppet VOR-analys, skriver ”risk- och väsentlighetsanalys” på ett ställe i brödtexten.
Sammanfattningsvis är det väsentligt för revisorerna att:
kunna bedöma om fullmäktiges beslut har genomförts, om fullmäktiges beslut beretts tillfredsställande och om gällande författningar, föreskrifter och reglementen har följts
ha tillgång till korrekt och användbar information om det som är väsentligt för förvaltningen (se nedan)
För förvaltningen är det väsentligt att:
styrning och ledning bidrar till att verksamheten sköts ändamålsenligt och är effektiv, att budgeten är i balans, att uppföljningen ger en rättvisande bild av verksamheten (inkl den ekonomiska redovisningen) och att den interna kontrollen är tillräcklig
Vad är syftet med revisorernas VOR-analys?
Revisionsprocessen är huvudsakligen en årslång beredning inför ansvarsprövningen. Revisorernas prioriteringar och avvägningar framgår eller bör framgå av revisionsplanen, som är revisorernas verksamhetsplan.
VOR-analysen syftar till att bedöma kommunens förvaltning och redovisning med avsikt att klargöra i vilka delar det finns problem och/eller risker. Syftet med analysen är att skapa ett underlag för att fastlägga vilka underlag som behövs för ansvarsprövningen och vilka granskningar som är lämpliga att genomföra för att ytterligare tränga in i problem- eller riskområden samt för att stödja nämnderna att genomföra fullmäktiges beslut. En ändamålsenlig VOR-analys identifierar knäckfrågorna inför ansvarsprövningen och fokuserar på nämndernas förmåga att fullgöra sin uppgift som fullmäktiges verkställande organ.
Vad beror det på att en av de kommunala revisorernas absoluta kärnuppgifter kan utföras på så många olika sätt? Grunden till existerande begreppsoklarheter och den stora variationen i angreppssätt hänger inte bara samman med de övergripande formuleringarna i god sed, utan kanske framför allt med att det analytiska elementet i VOR-analysen är betydande. Steg-för-steg-modeller konstrueras ofta, men hur utförs själva analysen? Det är lättare att göra en kartläggning och dokumentera denna, än att konstatera att rätt saker analyseras och att faktabaserade slutsatser har dragits.
Viktiga utgångspunkter för VOR-analysen är att granskningen i första hand ska gälla genomförandet av fullmäktiges beslut. För att konstatera eventuella risker och problem inom detta område måste följande bild klargöras:
Vad ska göras?
Vem har ansvar?
Vad blir gjort?
Svaren på dessa frågor uppenbarar viktiga problem eller risker. Dessa har också ett direkt samband med revisorernas ansvarsprövning.
Med detta som utgångspunkt blir VOR-analysen revisorernas metod att sätta sig in i styrelsens och nämndernas förutsättningar att genomföra fullmäktiges beslut. Utifrån denna förståelse görs sedan en problemanalys med avseende på hur väsentliga processer i kommunens förvaltning hindrar eller underlättar måluppfyllelse samt om redovisningen ger en rättvisande bild av resultat och ställning. Processerna avser i första hand styrning och ledning samt intern kontroll avseende rutiner för verksamhet och ekonomi. I och med att varje verksamhetsproblem i praktiken också är ett problem för ledningen, ger inriktningen på styrning och intern kontroll det nödvändiga helhetsperspektivet för revisorerna.
Revisorernas analys av VOR är i hög grad kvalitativ. Det innebär att resonemang måste föras utifrån tillgänglig information och faktabaserade slutsatser dras. Väsentliga delar av VOR-analysen bör dokumenteras. Detta vaccinerar mot luddiga tankegångar och ger samtidigt en nödvändig grad av spårbarhet i revisionens insatser.
Genomförande
Överlag är det svårt att göra bedömningar av revisionens VOR-analyser, eftersom de i så ringa grad är dokumenterade. En allmän iakttagelse är dock att mer eller mindre ambitiösa omvärldsbeskrivningar ofta förekommer i VOR-analyserna. Inte sällan utgörs de dokumenterade delarna av analysen endast av detta material. Nämnda enkät visar att mer än en fjärdedel av tillfrågade kommuner och landsting inte systematiskt prioriterar risker eller problem. Ytterligare nästan lika många har inte svarat på frågan.
En väl genomförd analys av väsentlighet och risk kräver en mycket god överblick över den enskilda kommunens förhållanden och en väl utvecklad förmåga att identifiera väsentliga områden och inom dessa göra problem- eller riskanalyser. Väsentliga områden att undersöka är:
Styrning och ledning
Verksamhetens ändamålsenlighet och effektivitet
Hushållning och produktivitet
Rättvisande redovisning
En viktig iakttagelse är att storleken har betydelse. I landsting och större kommuner finns resurser att göra mer omfattande analyser genom att de sakkunniga, som bistår med att ta fram underlag, där har större resurser. Även rekryteringsbasen för de förtroendevalda är mer omfattande.
Från VOR-analys till granskningsplan
Det är ofta oklart hur språnget från analys till revisionsplanens specificerade granskningar sker. Förståelsen av detta försvåras av de få dokumenterade VOR-analyserna. Endast revisionsplanen är synlig och i denna är inte alla risker redovisade, utan endast de som föranleder granskning. Mellan analysen av VOR och framtagandet av revisionsplanen måste revisorerna ta ställning till en rad olika frågor:
om granskningen minskar revisionsrisken
kan granskningen minska förvaltningsrisken
kan granskningen främja verksamhetens eller styrningen ändamålsenlighet
om den påtänkta granskningen kan genomföras på ett meningsfullt sätt med tillgängliga metoder och resurser.
Avsaknaden av tydliga anvisningar och ibland lämplig metodik riskerar ibland att göra revisorerna alltför beroende av de sakkunniga. Oftast kan de sakkunniga tillföra efterfrågad kompetens och användbara underlag till revisorerna. Men inte sällan erbjuder de sakkunniga sina standardprodukter, t.ex. väl utprovade granskningar, utan starkare koppling till revisorernas analys av VOR.
Kommunikation
En något förvånande upptäckt i genomförd enkät var att nästan en tredjedel av revisionsgrupperna inte kommunicerar VOR-analysen med någon utanför revisionens krets. Däremot kommunicerades revisionsplanen med fullmäktiges presidium. Detta sker både skriftligt och muntligt.
I god revisionssed framgår bland annat, att ”Revisorerna har ett öppet förhållningssätt i sin kommunikation och strävar efter att vara lättillgängliga. De har en förebyggande och fortgående kommunikation med fullmäktige och de som granskas”. Likaså framhålls att ”Revisorerna är en del av den offentliga verksamheten och har samma krav som andra myndigheter på tillgänglighet och insyn. Revisorerna eftersträvar offentlighet och öppenhet i sin granskande roll”. I detta avseende ger god sed relevant vägledning, men den nyttjas uppenbarligen i begränsad omfattning.
Revisorernas granskning bestäms i allmänhet av existerande problem och risker, att inte har tillräcklig insyn och att de behöver underlag för sin ansvarsprövning. Utöver detta fungerar granskningsverktyget också förebyggande. Vetskapen om att revisionen kommer att granska ett särskilt område leder ofta till tidiga åtgärder, innan granskningen ens kommit igång. Mot denna bakgrund borde revisorerna vara särskilt måna om att kommunicera såväl VOR-ANALYSEN som revisionsplanen även till nämnderna.
VOR-analys för redovisnings- respektive förvaltningsrevision har olika syften
God sed använder inte begreppen redovisnings- respektive förvaltningsrevision. I stället talas om grundläggande respektive fördjupad granskning. Den grundläggande granskningen av nämnderna ges en relativt vidsträckt innebörd och den omfattar bl.a. granskningen av årsredovisningen. Revisorernas möjlighet att prioritera inom ramen för den grundläggande granskningen är begränsad och VOR-analysen ska, enligt god sed, i första hand motivera fördjupade granskningar.
Trots att granskningen av årsredovisningen och delårsrapporter benämns, adresseras inte redovisningsrevisionen i god revisionsseds avsnitt om VOR. God revisionssed i kommuner och landsting borde därför, för redovisningsrevisionen, överväga att lyfta in begrepp och arbetsmetoder från Revisionsstandard i Sverige (RS) och uttalanden från FARs revisionskommitté, som tillsammans med Revisorsnämndens normgivning konstituerar begreppet god revisionssed för bolagsrevision. Det finns också stora behov att klargöra vad som är väsentliga belopp inom den kommunala redovisningsrevisionen.
Begreppet risk har en klar avgränsning när det gäller redovisningsrevisionen. Inneboende risk beskriver ofullkomligheten i alla redovisningssystem. Kontrollrisken adresserar det faktum att fel kan uppstå, även om kontroller byggs i redovisningsrutinerna. Vilka inbyggda kontroller eller efterkontroller som slutligen väljs beror på upptäcktsrisken, dvs. möjligheten att spåra och uppdaga felaktiga transaktioner. Inom redovisningsrevisionen finns sålunda tydliga begreppsdefinitioner av risk. Dessutom finns en teori som binder samman begreppen samt en etablerad praxis.
En effekt av den bristande vägledningen i god revisionssed blir att den del av VOR-analysen som handlar om rättvisande räkenskaper, dvs. redovisningsrevisionen, i första hand blir en angelägenhet för det sakkunniga biträdet. Det har också diskuterats om redovisningsrevisionen ska lyftas bort från de förtroendevalda revisorerna helt och hållet. Om inte god revisionssed inkorporerar denna del i större utsträckning förefaller förslaget vara rimligt.
I redovisningsrevisionen är riskbegreppet ändamålsenligt och väl genomtänkt, men dess användbarhet här tycks ha generaliserats till förvaltningsrevisionen, trots att systemeffektivitet och ändamålsenlighet är något helt annat än rättvisande redovisning.
I den bredare VOR-analysen är det inte ens säkert att risk är det optimala begreppet. Antingen är en verksamhet, eller delar av den, ändamålsenlig eller inte. Medan det är meningsfullt att konstatera att det finns risk för att redovisningen inte är rättvisande i något avseende är det knappast relevant att säga att det finns risk för att kostnadskontrollen inte är tillfredsställande. Det är endast om begreppet revisionsrisk införs som en rimlig begreppsmässig ordning uppstår. Om revisorernas underlag för att bedöma kostnadskontrollen inte är tillräckligt finns det, ur revisorernas perspektiv, risk för att kostnadskontrollen är otillfredsställande.
Revisorernas VOR-analys är ofta inriktad på omvärldsfaktorer och allmänna risker i verksamheterna. Om revisorernas analys av VOR i stället betraktas som en problemanalys så kan riskerna ses som en beskrivning av vad som händer om problemen inte löses eller hanteras bättre. Det är först när problemanalysen är gjord som riskerna kan tydliggöras och sammanfattas. Det är inte riskerna som analyseras, utan system och problem. Riskerna kan bara identifieras och bedömas efter sannolikhet och konsekvenser.
När revisorerna analyserar problem och identifierar risker i verksamheten eller omvärlden behöver detta ske genom linsen intern styrning och kontroll. Revisorerna prövar styrelsens och nämndernas ansvar, inte marknadens och inte tjänstemännens. Det innebär att ledningens sätt att hantera problem och risker är revisorernas främsta arena för analys och bedömning. Risker i ett förvaltningsrevisionsperspektiv hänger ihop med bristande följsamhet mot fullmäktiges beslut, otillräcklig effektivitet och brister i styrning och ledning. Ytterligare en vägledning är de exempel på kriterier som god revisionssed lämnar när anmärkning ska riktas och/eller ansvarsfrihet avstyrkas.
Det okritiska och oartikulerade övertagandet av riskbegreppet från redovisningsrevisionen har sannolikt försvårat för revisorerna att fånga upp problem i väsentliga processer inom kommunen. Alltför stort fokus på risker har inte sällan drivit revisorerna långt in i allsköns ovissheter, allting från brand och stöld till bakterier i maten på det särskilda boendet. Revisorerna bör inte göra egna breda riskanalyser. Detta är en uppgift för förvaltningen.
”Bedömning av väsentlighet och risk”
Det etablerade namnet på revisionens regelbundna granskningsöverväganden är ”väsentlighets- och riskanalys”. Begreppet ”analys” är inte särskilt lätt att beskriva och ännu svårare att operationalisera. Här finns en viktig förklaring till rådande variation och stundtals både förvirring och otydlighet kring VOR-analysens genomförande. Revisorerna gör naturligtvis en form av analys, men vad som i realiteten sker är en bedömning av VOR. Eftersom språket har stor makt över tanken skulle en sådan formulering av uppgiften i god sed och annorstädes underlätta för både revisorerna och de som ska förtydliga den goda seden.
Utvecklingsarbete återstår
Att säga att målet med revisionen är ansvarsprövningen är nästan lika fantasilöst som att säga att målet med livet är döden. Revisionen syftar till att kontrollera och främja genomförandet av fullmäktiges beslut. Ansvarsprövningen är naturligtvis viktig för att upprätthålla respekten för fullmäktige och för att bedöma vad som kanske inte fungerat tillfredsställande. Men VOR-analysen ger, som antytts tidigare, revisorerna möjlighet att arbeta mer förebyggande. Om revisorerna tidigt kommunicerar sin genuina oro och tydliggör för aktuell nämnd hur de ser på ansvarsfrågan öppnas dörren för en tidig dialog. Här kan revisorernas analys stimulera till fortsatt undersökning och till åtgärder från nämndens sida. En dynamisk revision ser både framåt och bakåt och är kommunikativ under hela året.
Mot bakgrund av vad som beskrivits i denna artikel är det är knappast förvånande att, av enkätens tillfrågade revisorsgrupper, anger 75 procent att VOR-analysen är under aktiv omprövning.
Utveckling av god sed
Artikeln har konstaterat att det finns goda skäl att uppdatera god revisionssed i kommuner och landsting i de avseenden som gäller analysen, eller bedömningen, av väsentlighet och risk. Samtidigt är det inte realistiskt att en revisionskod för förtroendevalda revisorer når den grad av tydlighet och metodstringens, som är nödvändig för sakkunniga revisorer. Föreningen Sveriges Kommunala Yrkesrevisorers förening – SKYREV – bildades år 2000. Föreningen har instiftat ett certifieringsinstitut för kommunala yrkesrevisorer. Föreningen har också genom sitt utskott för god revisors- och revisionssed arbetat fram en värdegrund. Nya uppgifter för utskottet att reflektera över är bl.a. väsentlighets- och riskanalysen, ansvarsprövningen och samspelet mellan förtroendevalda och sakkunniga.
Även om det finns ett utrymme för SKYREV – de sakkunnigas organ – att driva metodutvecklingen vidare kan detta arbete inte bedrivas utan att också revisorerna aktivt arbetar med frågan. Uppgiften att fortsätta att utveckla god revisionssed i tidigare forum och i SKY-REV:s regi är ingen parallell aktivitet. Arbetet kräver dialog och kommunikation mellan förtroendevalda revisorer och sakkunniga.
Ulf-Johan Olson
är verksam vid Ernst & Young som Senior Manager/förvaltningsrevisor. Han medverkade senast i Balans 8–9, 2003.