NIRF årskonferansen 2016 Internrevisjonen må mene noe om internkontroll og risikostyring Fung. revisjonsdir. Jørgen Bock Dette er NAV 1/3 av statsbudsjettet 60 ulike stønader og ytelser NAV, 28.05.2016 Tjenester til 2,8 mill. mennesker Tjenester mot arbeid Sosiale tjenester Side 2 Omorganisering i direktoratet (fra april 2016) Internrevisjonen Arbeids- og velferdsdirektør Sekretariat Kunnskapsavdelingen Utviklingsavdelingen Kommunikasjonsavdelingen HR-avdelingen Økonomi- og styringsavdelingen 1) Ytelsesavdelingen Arbeids- og tjenesteavdelingen IT-avdelingen = Øverste ledelse = Avdelinger som koordinerer, legger rammer og med støttefunksjoner på tvers av linjer = Avdelinger med operativ styring av enheter i ”ytre etat” (styringslinjer) I april 2016 ble Arbeids- og velferdsdirektoratet omorganisert. Dette er det nye organisasjonskartet. NAV, 28.05.2016 Side 3 NAV i 2015 NAV, 28.05.2016 Side 4 450 900 millioner kroner går til: 7 710 13 764 15 113 1 640 759 NAV 37 100 Alderspensjon 33 076 35 020 Uføretrygd 190 563 statsbudsjettet Sykepenger AAP 39 534 Helserefusjoner 76 633 Barnetrygd Dagpenger Arbeidsmarkedstiltak Kontantstøtte Bidrag (forskudd) mill. kr NAV, 28.05.2016 Annet Side 5 Internrevisjonen Revisjonsdirektør Seksjon for ytelsesrevisjon NAV, 28.05.2016 Seksjon for tjenesterevisjon Seksjon for organisasjonsrevisjon Seksjon for IKT-revisjon Side 6 Hvorfor gi en overordnet uttalelse?  Internrevisjonen må evaluere og bidra til å forbedre prosessene for governance, risikostyring og kontroll (2100)  Økonomireglementet krever at ledelsen i årsrapporten skal gi en uttalelse om styring og kontroll  Skal ledelsen få et mangfold av enkeltrapporter med ulike risikoer?  Et samtaleverktøy egnet for å diskutere styring og kontroll NAV, 28.05.2016 Side 7 Hva er en overordnet uttalelse fra IR? IIA:  Gradering, konklusjon eller beskrivelser avgitt av revisjonssjefen,  som på overordnet nivå omtaler – Governance, Risikostyring og Kontroll  Revisjonssjefens faglige bedømmelse basert på – Et antall individuelle oppdrag – Andre aktiviteter NAV, 28.05.2016 Side 8 Overordnede uttalelser - planlegging Godkjent årsplan  Avklaring av forventninger med ledelsen  Konsekvenser ressursbegrensninger  Scope og sikkerhetsnivå  Positiv vs negativ formulering  Bygg en struktur / systematikk  Bruk anerkjent rammeverk NAV, 28.05.2016 Side 9 Planlegging, scope, ressurser Strategi/ Prosjekt Prosjekt A Prosjekt B Prosjekt C Strategi 1 .. i tillegg revidere områder som i løpet av en tidsperiode ikke fremstår som vesentlige eller med kritisk risiko Strategi 2 √ √ √ 1.Risiko for at ….. 1.Risiko for at ….. 1.Risiko for at ….. 1.Risiko for at ….. 1.Risiko for at ….. 1.Risiko for at ….. 1.Risiko for at ….. DM risikovurdering Revisjonsdekning 1.Risiko for at ….. 1.Risiko for at ….. 1.Risiko for at ….. NAV, 28.05.2016 1.Risiko for at ….. 1.Risiko for at ….. 1.Risiko for at ….. Side 10 Planlegge overordnet uttalelse og metode Rammeverk for styring og kontroll? 1 1 2 3 NAV, 28.05.2016 Prosesser og enheter Rutiner og arbeidsbeskrivelser Side 11 Struktur og systematikk  «Navifisert» COSOs 17 prinsipper  Modenhetsmodell i Excel – diskutert med ledelsen vurderinger fra 1-5  Dekker områdene iht revisjonsplanen, brutt ned iht COSO-rammeverket:  Resultater av revisjoner og over 200 observasjoner  Vurdering av NAVs måloppnåelse (kont. risikoovervåking)  Både drift og utvikling (prosjekter)  Assurance mapping (10 områder lagt inn i modellen, scoret + egen revisjon) NAV, 28.05.2016 Side 12 Modenhetsvurdering 20XX-eksempel Internt miljø og organisering      Ansatte i NAV har høy integritet og etisk bevissthet Ledere i NAV tar beslutninger til beste for NAV som helhet NAV har en tydelig organisering med definerte roller og ansvar NAV evner å tiltrekke, utvikle og beholde kompetente medarbeidere NAV holder ansatte ansvarlig for internkontroll på sitt område Risikostyring     NAV har etablert tydelige mål og strategier NAV identifiserer relevante risikoer som kan true strategisk måloppnåelse NAV vurderer risiko for misligheter NAV er bevisst endringer som kan påvirke styring og kontroll Kontrolltiltak, kvalitet og forbedring  NAV har kontrollaktiviteter som reduserer risikoer til akseptabelt nivå  NAV har god styring og kontroll med drift og utvikling av IKT  NAV har implementert gode policyer, prosedyrer og rutiner for styring, kontroll og forbedring Informasjon og kommunikasjon  NAV har relevant informasjon om status på styring og kontroll  NAV kommuniserer mål og ansvar for styring og kontroll internt  NAV har relevant rapportering til departement og eksterne interessenter om etatens styring og kontroll Oppfølging og læring  NAV gjennomfører løpende evalueringer og uavhengige revisjoner for å sikre at styring og kontroll fungerer tilfredsstillende  Ledere i NAV følger systematisk opp svakheter i styring og kontroll År 20XX År 20XY Nivå 1 Umoden Nivå 2 Repetert Nivå 3 Definert Nivå 4 Moden Nivå 5 Beste praksis Nivå 5 Beste praksis  IK-regime i tråd med beste praksis internasjonalt. Kontrollstruktur med høy grad av automatisering også av vedlikehold. Utpreget bruk av kontinuerlig oppfølging og leder-dashboard. Nivå 4 Moden  Måleindikatorer År 20XY Nivå 3 Definert År 20XX og oppfølgingsteknikker anvendes. Større vekt på forebyggende enn på oppdagende kontroller. Utstrakt selvevaluering av drift og måloppnåelse. Ansvar og roller er definert, akseptert og fullt forstått i organisasjonen.  Veldefinert og dokumentert IK. Robust og tåler perioder med endringer. Allmenn kontrollbevissthet. Kontrollsvakheter blir avdekket og tidsriktig utbedret. Uformell oppfølging. Uavhengige revisjoner etablert. Nivå 2 Repeterende  Noen formelle policier. Roller, ansvar og fullmakter klarere. Ansvarliggjøring mangler. Økt disiplin og retningslinjer støtter de repeterende kontroller. Høy avhengighet av eksisterende personell. Nivå 1 Umoden  IK fragmentert, ad hoc og generelt silopreget, basert på etterkontroller. Mangler formelle policier og prosedyrer. Høy risiko for feil. Manglende robusthet. Hva er ikke en overordnet uttalelse?  En garanti fra IR om at styring og kontroll er feilfri  En bekreftelse av at IR overtar ansvaret for at styring og kontroll er tilfredsstillende  Uttalelse med 100% sikkerhet  En bekreftelse på at regnskapet er uten vesentlige feil NAV, 28.05.2016 Side 15