Uppföljning av intern kontroll: så dokumenterar du tester

Utgå från ledningens bedömning

Dokumentation av tester används för ledningens bedömning av intern styrning och kontroll. Enligt 2 kap. 9 § andra stycket förordningen om årsredovisning och budgetunderlag (FÅB) ska myndigheten i årsredovisningen redovisa vad som legat till grund för bedömningen. Innehållet regleras i FÅB och ESV:s allmänna råd till förordningen.

Ledningen avgör vad som kan ligga till grund för bedömningen, utifrån myndighetsledningens ansvar för verksamheten inför regeringen. Utforma därför dokumentationskraven efter bedömningen: ringa in kontroller och risker som ledningen måste ta ställning till. Underlag utan koppling till ett ställningstagande är svåra att använda i redovisningen, även om testet är korrekt utfört.

Avgränsa till underlag av avgörande betydelse

Mycket information kan till någon del utgöra underlag för ledningens bedömning, men det är inte rimligt att redovisa allt i årsredovisningen. Begränsa till underlag som haft avgörande betydelse för ställningstagandet. Urvalsregeln är inte ”allt vi har testat” utan ”det som faktiskt styrde bedömningen”.

Bestäm urvalsregeln tidigt i testarbetet och pröva den per test. Varje testdokumentation bör innehålla vad som testats, avgränsning, metod och urval, tidpunkt, utförare, resultat och slutsats. Då kan ledningen avgöra om underlaget är avgörande, och någon annan följa hur slutsatsen uppstod.

Tester som visar att en kontroll fungerar som avsett måste dokumenteras på samma sätt som tester som visar avvikelser. Annars går det inte att visa varför en risk bedömts som hanterad.

Exempel på underlag att dokumentera

Statskontorets vägledning om intern styrning och kontroll har ett avsnitt med exempel på underlag för ledningens bedömning. Vilka underlag som är relevanta varierar med verksamhetens risker. Dokumentationen brukar följa några återkommande typer.

Vanliga kategorier att samla och datera: riskbedömningar med åtgärdsplaner, uppföljning av tidigare beslutade åtgärder, tester av nyckelkontroller (till exempel stickprov och avstämningar), avvikelse- och incidentrapportering, rapporter från internrevision eller extern granskning samt uppföljning av system och leverantörer.

För varje kategori: dokumentera varför underlaget togs fram och vilken risk eller kontroll det belyser. Kopplingen till risken gör underlaget begripligt för ledningen.

Samla dokumentationen under Intern styrning och kontroll

Redovisningen av vad som legat till grund för ledningens bedömning av intern styrning och kontroll lämnas samlat på ett ställe i årsredovisningen under rubriken Intern styrning och kontroll. Testdokumentationen bör därför vara strukturerad som rubriken. Läsaren ska kunna gå från redovisningens text till bakomliggande tester och underlag – och tillbaka.

Inom ramen för FÅB och ESV:s allmänna råd väljer myndigheten själv vilket kompletterande innehåll som eventuellt ska ingå i redovisningen. Skilj på löpande testdokumentation, som kan vara omfattande och ligga kvar hos utföraren, och sammanställningen av avgörande underlag som förs in i årsredovisningen.

Den interna dokumentationen bör då ordnas efter samma logik – per risk, kontroll eller testområde – så att den kan plockas fram och hänvisas till när redovisningen upprättas.

Koppla tester till bedömning och väsentliga brister

Statskontorets vägledning beskriver stegen att följa upp och bedöma, lämna en bedömning och redovisa väsentliga brister. Testresultat ska därför dokumenteras för att kunna användas direkt i arbetet, inte bara konstatera vad som iakttagits.

En ändamålsenlig struktur per test: identifierare, kontroll eller risk, syfte och metod, urval och period, resultat, eventuell avvikelse, bedömning av om avvikelsen är väsentlig, beslutad åtgärd med ansvarig och tidsplan samt status vid uppföljning.

När avvikelser leder till åtgärder bör uppföljningen dokumenteras i samma spår. Då framgår om bristen är åtgärdad eller kvarstår och därmed kan behöva lyftas som väsentlig i redovisningen. Kedjan – från test till bedömning till eventuell redovisning av brist – gör dokumentationen användbar.

Tydliggör ansvar och roller

Ansvaret för bedömningen ligger hos ledningen, som också avgör vad som kan ligga till grund för den. Det följer av myndighetsledningens ansvar för verksamheten inför regeringen. Den som utför testet ansvarar för att dokumentera vad som gjorts och vad resultatet blev. Skilj på rollen att ta fram underlag och rollen att värdera det.

I praktiken skriver utföraren daterad, fullständig och läsbar dokumentation för någon som inte var med vid testet. Ledningen beslutar vilka underlag som haft avgörande betydelse och därför hör hemma i redovisningen under Intern styrning och kontroll.

Lägg ansvarsfördelningen i den interna dokumentationen tillsammans med varje test. Vid efterhandsgranskning framgår då vem som gjort vad och vilket underlag ledningens ställningstagande vilar på.