Uppföljning av intern kontroll: så dokumenterar du tester

Utgå från ledningens bedömning

Dokumentationen av tester fyller sitt syfte först när den kan användas för ledningens bedömning av intern styrning och kontroll. Enligt 2 kap. 9 § andra stycket förordningen om årsredovisning och budgetunderlag (FÅB) ska myndigheten i årsredovisningen lämna en redovisning av vad som legat till grund för ledningens bedömning. Bestämmelser om redovisningens innehåll finns i FÅB och i ESV:s allmänna råd till förordningen.

Ledningen avgör vad som kan ligga till grund för bedömningen, enligt myndighetsledningens ansvar för verksamheten inför regeringen. Sätt därför dokumentationskraven utifrån bedömningen och inte tvärtom: börja med att ringa in vilka kontroller och risker ledningen behöver ta ställning till, och utforma testdokumentationen efter de frågorna. Underlag utan koppling till ett ställningstagande blir svåra att använda i redovisningen, även om testet i sig är korrekt utfört.

Avgränsa till underlag av avgörande betydelse

Det finns mycket information som till någon del kan utgöra underlag för ledningens bedömning, men det är inte rimligt att myndigheten redovisar allt i årsredovisningen. Myndigheten kan begränsa sig till de underlag som har haft avgörande betydelse för ledningens ställningstagande. Urvalsregeln är alltså inte "allt vi har testat" utan "det som faktiskt styrde bedömningen".

Sätt urvalsregeln tidigt i testarbetet och pröva den per test. Varje testdokumentation bör innehålla vad som testats, vilken avgränsning som gjorts, metod och urval, tidpunkt, vem som utfört testet, resultat och slutsats. Med de uppgifterna kan ledningen avgöra om underlaget är avgörande, och någon annan kan i efterhand följa hur slutsatsen uppstod. Tester som visar att en kontroll fungerar som avsett måste dokumenteras på samma sätt som tester som visar avvikelser – annars går det inte att visa varför en risk bedömts som hanterad.

Viktiga punkter i testdokumentationen

Exempel på underlag att dokumentera

Statskontorets vägledning om intern styrning och kontroll har ett avsnitt med exempel på underlag för ledningens bedömning. Vilka underlag som är relevanta varierar med verksamhetens risker, men dokumentationen brukar kretsa kring några återkommande typer.

Vanliga kategorier att samla och datera är riskbedömningar med tillhörande åtgärdsplaner, uppföljning av åtgärder som beslutats tidigare år, tester av nyckelkontroller (till exempel stickprov och avstämningar), avvikelse- och incidentrapportering, rapporter från internrevision eller extern granskning samt uppföljning av system och leverantörer. För varje kategori: dokumentera varför underlaget togs fram och vilken risk eller kontroll det belyser. Kopplingen till risken gör underlaget begripligt för ledningen.

Vanliga kategorier av underlag i intern kontroll

Samla dokumentationen under Intern styrning och kontroll

Redovisningen av vad som legat till grund för ledningens bedömning av intern styrning och kontroll lämnas samlat på ett ställe i årsredovisningen under rubriken Intern styrning och kontroll. Testdokumentationen bör därför vara strukturerad som rubriken: en läsare ska kunna gå från redovisningens text till de tester och underlag som ligger bakom, och tillbaka.

Inom ramen för FÅB och ESV:s allmänna råd väljer myndigheten själv vilket kompletterande innehåll som eventuellt ska ingå i redovisningen. Ett praktiskt grepp är att skilja på den löpande testdokumentationen, som kan vara omfattande och ligga kvar hos utföraren, och sammanställningen av avgörande underlag som förs in i årsredovisningen. Den interna dokumentationen behöver då vara ordnad efter samma logik – per risk, kontroll eller testområde – så att den går att plocka fram och hänvisa till när redovisningen upprättas.

Koppla tester till bedömning och väsentliga brister

Statskontorets vägledning beskriver stegen att följa upp och bedöma, att lämna en bedömning och att redovisa väsentliga brister. Testresultat behöver därför dokumenteras så att de kan användas direkt i arbetet, inte bara konstatera vad som iakttagits.

En ändamålsenlig struktur per test är: identifierare, vilken kontroll eller risk som avses, syfte och metod, urval och period, resultat, eventuell avvikelse, bedömning av om avvikelsen är väsentlig, beslutad åtgärd med ansvarig och tidsplan samt status vid uppföljning. När avvikelser leder till åtgärder bör uppföljningen dokumenteras i samma spår, så att det framgår att bristen antingen är åtgärdad eller kvarstår och därmed kan behöva lyftas som väsentlig i redovisningen. Kedjan – från test till bedömning till eventuell redovisning av brist – gör dokumentationen användbar.

Tydliggör ansvar och roller

Ansvaret för bedömningen ligger hos ledningen, som också avgör vad som kan ligga till grund för den; det följer av myndighetsledningens ansvar för verksamheten inför regeringen. Den som utför testet ansvarar i stället för att dokumentera vad som gjorts och vad resultatet blev. Skilj på rollen att ta fram underlag och rollen att värdera det.

I praktiken innebär det att utföraren skriver daterad, fullständig och läsbar dokumentation för någon som inte var med vid testet, medan ledningen beslutar vilka underlag som haft avgörande betydelse och därför hör hemma i redovisningen under Intern styrning och kontroll. Lägg ansvarsfördelningen i den interna dokumentationen tillsammans med varje test, så framgår det vid en efterhandsgranskning vem som gjort vad och på vilket underlag ledningens ställningstagande vilar.

Koppling mellan testdokumentation och ledningens bedömning