Tillståndet för intern kontroll och riskhantering i statsförvaltningen

Revisionsverkets ställningstaganden

Revisionens huvudmål var att utreda hur intern kontroll och riskhantering har ordnats i statsförvaltningen genom att skapa en helhetsbild av den interna kontrollen och tillhörande riskhantering. Huvudmålet indelades i fyra delmål.

Revisionens första mål var att utreda om bestämmelserna ger tillräckligt stöd för ordnandet av intern kontroll och riskhantering.

Bestämmelserna i lagen och förordningen om statsbudgeten skapar en referensram för intern kontroll i statsförvaltningen och anger de viktigaste gemensamma kontrollerna. Budgetförordningen utgör i praktiken statskoncernens bolagsstyrningsdokument. Enligt revisionsverkets uppfattning kan de centrala bestämmelserna i huvudsak anses ändamålsenliga och tillräckliga. De senaste åren har det dock skett förändringar i statsförvaltningen som genom reformerad lagstiftning och anvisningar lättat på budgetlagstiftningens förfaranden för intern kontroll. Det finns en väsentlig risk för att den reform av budgetlagstiftningen som träder i kraft 1.10.2017 kommer att försvaga den interna kontrollen i statshelheten. Eftersom den offentliga förvaltningen använder offentliga medel och riskerna avser användningen av dessa medel kan referensramen för intern kontroll inte bestå av samma förfaranden som i t.ex. små eller medelstora företag, där ägaren själv står för den interna kontrollen och bär de direkta riskerna i sin ekonomi.

Utöver allmänna budgetbestämmelser gick revisionen igenom skattebestämmelser och statsunderstödslagens bestämmelser med tanke på intern kontroll. Bestämmelserna utgör en ganska bra grund för en fungerande intern kontroll. Vid förenkling och automatisering av beskattningsförfaranden rekommenderas, med tanke på intern kontroll, att man samtidigt förenklar de materiella skattebestämmelserna. Då automatiseras kontrollerna med avseende på intern kontroll. Alla punkter i statsunderstödslagen ska beaktas vid beslut om statsunderstöd. Beslut om statsunderstöd ska tydligt ange t.ex. rättigheter och skyldigheter för mottagaren av understödet.

Revisionens andra mål var att utreda om styrningen av statskoncernen stöder ordnandet av en fungerande intern kontroll och riskhantering.

Revisionsverket anser att finansministeriet och Statskontoret haft en betydande inverkan på kontrollmiljöns utveckling. Kontrollmiljön utgör grunden för den interna kontrollen. I styrningen av ekonomi- och personalförvaltningen har Statskontoret de senaste åren betonat styrning som avser funktionell effektivitet och minskat sådan styrning som avser intern kontroll. Till följd av detta har Statskontorets styrande grepp om ordnandet av den interna kontrollen försvagats utan att man gjort en heltäckande riskbedömning för skötseln av statsfinanserna. Enligt revisionsverkets uppfattning förutsätter en ändamålsenlig intern kontroll och riskhantering att ministeriet och Statskontoret skärper styrningen och förbättrar koordineringen av den interna kontrollen. En välordnad intern kontroll främjar den funktionella effektiviteten.

Revisionsverket anser att finanscontrollerfunktionen som helhet fått en begränsad roll i utvecklingen av den interna kontrollen i statsförvaltningen.

Revisionens tredje mål var att utreda om den interna kontrollen är ändamålsenligt ordnad i bokföringsenheterna.

På basis av redovisningsrevisionerna konstaterar revisionsverket att det alltjämt bör ägnas uppmärksamhet åt att den interna kontrollen har ordnats i enlighet med 24 b § i lagen om statsbudgeten och principerna för god förvaltning. De senaste åren har revisionsberättelsernas anmärkningar om intern kontroll minskat jämfört med tidigare. Detta beror framförallt på att bokföringsenheternas redovisning har utvecklats. Utvärderings- och bekräftelseutlåtanden om intern kontroll har blivit en naturlig del av bokföringsenheternas ledningsprocess. Bokföringsenheternas interna revision är i regel ändamålsenligt ordnad. Den interna revisionen fungerar ganska kostnadseffektivt och professionellt. Samtidigt har anmärkningarna om budgetefterlevnaden ökat. De har dock inte alltid berott på bristfällig intern kontroll.

Revisionens fjärde mål var att utreda om den interna kontrollen är ändamålsenligt ordnad i kundserviceprocesserna hos Statens servicecenter för ekonomi- och personalförvaltning.

Revisionsverket anser att bokföringsenheternas och servicecentrets kontroller ofta är överlappande ur hela statsförvaltningens perspektiv men å andra sidan har det upptäckts tydliga kontrollbrister. Ekonomi- och personalförvaltningens uppgiftskedjor har förändrats från en intern bokföringsenhetsprocess till en verksamhetsprocess som överskrider ämbetsverkens gränser.

När kedjorna blir längre ökar risken för att ämbetsverkets ledning inte identifierar sitt ansvar för den interna kontrollen och riskhanteringen tillräckligt väl. Till viss del har kontroller inte tagits i bruk eller så har man inte övervakat genomförandet av dem på ändamålsenligt sätt. Ansvaren och kontrollmöjligheterna i fråga om kundserviceprocessernas centrala datasystem bör förtydligas.

De interna kontrollerna och funktionerna i servicecentrets ekonomiförvaltningsprocesser är automatiserade i ganska stor utsträckning. Enligt den uppfattning som bildats vid revisionerna är den interna kontrollen till väsentliga delar ordnad på ändamålsenligt sätt. Det finns skäl att uppmärksamma kontrollernas tillförlitlighet.

Väsentliga brister i den interna kontrollen av personalförvaltningsprocesser har konstaterats. Utvecklingen och vägledningen avseende förfaranden för intern kontroll i Kieku-systemets personalförvaltningsdel började först under år 2016 trots att de första bokförings-enheterna införde systemet redan år 2011.

Revisionsverkets rekommendationer:

1. Finansministeriet, Statskontoret och finanscontrollerfunktionen bör ägna mer uppmärksamhet åt hur den interna kontrollen fungerar och är ordnad så att helheten täcker skötseln av statsfinanserna.

2. Eftersom den interna kontrollens och riskhanteringens verkliga funktion avgörs vid utvecklingen av processer, funktioner och datasystem bör intern kontroll och riskhantering alltid integreras i verksamhetsplanering, förnyelsearbete och utveckling av lagstiftningen.

3. Kontrollerna bör alltid planeras primärt som förebyggande och utformas som automatiska i datasystemen. Kontrollernas effektivitet bör säkerställas genom tester.

4. Internkontrollperspektivet och automatisering av kontrollerna ska beaktas när skattelagstiftningen reformeras.

5. Statsförvaltningen bör få ett gemensamt system för hantering av statsunderstöd.

6. Finansministeriet bör säkerställa att resurserna till finanscontroller-funktionen faktiskt svarar upp mot principerna i 24 e § i lagen om statsbudgeten.

7. Utvecklingen av riskhanteringen bör fortsätta utifrån den modell för riskhanteringspolitiken som finanscontrollerfunktionen har tagit fram, framförallt på statsrådsnivån.

8. Den interna revisionen av den övergripande processen för skötseln av statsfinanserna bör stärkas t.ex. genom att rikta resurser till finansministeriet eller Statskontoret för denna uppgift och för utveckling av den interna kontrollen.