Internrevisjonen må mene noe
om internkontroll og risikostyring
NIRF - Årskonferansen 2016
Tor Steenfeldt-Foss, Konserndirektør Revisjon
Styret og administrasjonen rolle
Om DNB – Norges ledende finanskonsern
Om DNB - Kommuniserte mål
Styret og administrasjonen må mene noe og IK og RM
Årsrapport
• NUES og Samfunnsansvar
Pilar 3 rapport
Eksternt
• Risiko- og kapitalstyring
Pilar 2 – ICAAP
• Risikoprofil og kapitalkrav
Risikorapport
• Risk Appetite
Finansforetakslov
• IK-rapportering
Compliance rapport
• Overholdelse lover/
forskrifter
Internt
Utfordringer med å mene noe
om internkontroll og risikostyring
Konsernrevisjonen (KR)
Board of Directors
CEO
Group Audit Executive
Rune Bjerke
Tor Steenfeldt-Foss
Business Support
Erik Pettersen
Special Investigations
Ole Hansen
Quality Manager
Karin Styrmoe
Personal Markets
Corporate Markets
Capital Markets
Staff Functions
Support Functions
Tormod M. Pedersen
Morten H. Breili
Morten Monsrud
Siv M. Rosseland
Gaute Brynildsen
Personal Banking Norway
Corporate Banking Norway
Markets
Group Finance
IT and Operations
Large Corporates &
International (LCI)
Wealth Management
Group Risk Management
Baltics & Poland
Product
HR
Group Communications
KRs instruks – Vi må mene noe om IK og risikostyring
KR skal gjennom objektive tilbakemeldinger aktivt bidra til at styret og
konsernsjef når sine mål
• Audit Framework:
På vegne av holdingstyret, konsernsjef og
styrene i finanskonsernet.
…se etter hvorvidt det i hele
finanskonsernet er etablert og
gjennomføres en tilstrekkelig og effektiv
risikostyring og internkontroll
Uavhengig og objektivt avgi uttalelser og
gi råd for å bidra til forbedringer av
konsernets risikostyring og internkontroll…
…vurdere om risikoidentifisering og
etablerte styringsprosesser og kontrolltiltak
effektivt bidrar til å styrke finanskonsernets
evne til måloppnåelse
Forutsetninger for meningsfylte innspill
Risikofokus
Proaktiv og fremadskuende
Interessentenes
forventinger
Kunnskap og
kompetanse
Kontinuerlig risikovurdering
Godt posisjonert - relasjoner
Dataanalyser
Tilknytning
andre risikofunksjoner
Imøtekommende og service-minded
Kommunikasjonsmodellen
Budskap
Støy
Formulerer
Tolker
Støy
Ansikt til ansikt
• Møte
• Foredrag
• Uformelt
Annet
• Video
• Telefon
• Talebeskjed
Skriftlig
• Rapport/notat
• E-post
• Online/Lync
• Kunngjøringer/blogg
Ubevisst
• Atferd
• Engasjement
• Uttrykk
Feedback
Tolker
Formulerer
Mottager
Avsender
Kommunikasjonskanal
Hvordan gjør vi det i DNB
KRs overvåking av risikobildet
• Vær der det skjer!
• Gode kunderelasjoner
• Kompetanse
• Årlig planprosess
• Kontinuerlig risikovurdering
• Risikodatabasen
Prioriterer vi i tilstrekkelig grad på områder med høy risiko?
GROUP AUDIT
Gjennomføring av internrevisjon:
Konsernrevisjonens hovedprosesser
Gjennomføring
av revisjonsprosjekter
Planlegging
Gjennomføring
Styring,
Ledelse og
Kvalitetssikring
Oppfølging
av funn
Kontinuerlig
forbedring
Kontinuerlig
risikovurdering
Ytelse
GROUP AUDIT
Oppfølging
Initiering
Prosjektledelse og kvalitetssikring
Årlig planlegging
Løpende
justering av plan
Rapportering
Månedsrapport
til styret
Halvårlig
statusrapport
Planlegging
Gjennomføring
Rapportering
Avslutning
Rapportstruktur
Halvårs-
rapport til styret
Særskilte revisjoner
(lov/forskrift m.v)
Månedlig rapportsammendrag til styret
Revisjonsoppdrag
Halvårsrapport
Utdrag presentasjon av Halvårsrapport for styret/RRU
GROUP AUDIT
Hovedvurdering
 Risikobildet
• …
• …
• …
 Kvalitet styring og kontroll
• …
• …
• …
 Mål, kapitalisering og oppfølging
• …
• …
• …
 Særskilte operasjonelle risikoer
• …
• …
• …
Utdrag presentasjon av Halvårsrapport for styret/RRU
Strategi og konsernovergripende prosesser
Tverrgående
prosesser
Overordnet
styring/kontroll
Strategiske
prioriteringer
Område
Viktige observasjoner
GROUP AUDIT
IK/ Trend
• Kapitalkortet: …
• Kundekortet: …
• Kulturkortet: …
• Konsernstrategiske temaer: …
• Governance: …
• Risikostyring og internkontroll: …
• Compliance: …
• Kreditt: …
• Sparing og plassering: …
• Betalingsformidling/-løsninger: …
Vurdert per område
Utdrag presentasjon av Halvårsrapport for styret/RRU
Forretningsområder
Område
Viktige observasjoner
BM Norge
PM Norge
• Strategi: …
• Konkurransesituasjonen: …
• Renteendringsprosessen: …
• Kreditt: …
• Kreditt: …
• Segment bedrift: …
• Oljepriseffekt: …
STI
• AML/sanksjoner/CTF: …
• Kreditt: …
• Utekontorene: …
GROUP AUDIT
IK/ Trend
Rapportering av enkeltoppdrag
Gjennomføring av internrevisjon:
Fremstilling av et balansert bilde
Revidert enhets ansvarsområde
Revisjonens omfang
En revidert enhet kan enten være et
forretningsområde, en organisatorisk enhet,
en prosess eller en verdikjede. Ansvaret til
revidert enhet kan være stort og kompleks.
Revisjonens omfang (scope) utgjør en del
av revidert enhet/område basert på
risikovurdering og revisjonsprosjektets
formål. Omfanget inndeles i ulike områder,
f.eks. en delprosess eller et gitt tema ut i fra
formålet til revisjonsprosjektet..
Et funn utgjør kun en liten del av både
revisjonens omfang og enhetens
ansvarsområde, og trenger ikke påvirke det
store bildet. Funnets vesentlighet vurderes
ut ifra hvor stor konsekvens svakheten har
og hvor viktig det er å måtte utbedre den.
Et funn påpeker alltid en eller annen form
for svakhet/forbedringsområde eller feil.
GROUP AUDIT
Hovedvurdering og konklusjon
Karakter i endelig
rapport
GROUP AUDIT
Konklusjon
1. Område/prosess A
[Hovedvurdering av område/prosess A]
2. Område/prosess B
3. Område/prosess C
4. Område/prosess D
5. Område/prosess E
6. Område/prosess F
Se vedlegg 5 for informasjon om karakterer og vesentlighet
d.m.åååå
[Utkast] Revisjonsrapport - [NAVN PÅ REVISJONSOPPDRAGET]
Observasjoner og anbefalinger:
GROUP AUDIT
Område/prosess A
Hovedvurdering område/prosess A (samme som på foil “Hovedvurdering og konklusjon”)
Bakgrunn og kriterier
Observasjoner
[Observasjon 1 (overskrift ved behov)]
[Observasjon 2 (overskrift ved behov)]
Pri. Anbefalinger
H
Svar fra revidert enhet
Anbefaling a
Svar:
Tiltak:
Ansvarlig:
M
Anbefaling b
Frist:
Svar:
Tiltak:
Ansvarlig:
L
Anbefaling c
Frist:
Svar:
Tiltak:
Ansvarlig:
d.m.åååå
[Utkast] Revisjonsrapport - [NAVN PÅ REVISJONSOPPDRAGET]
Frist:
Kommunikasjon av resultatet:
Vi skal skape verdi for kunden
For mye fakta, for lite konseptualisering,
for mye å memorere og for lite tenking.
Paul Hurd, the Organizer in Developing Blueprints for Institutional Change
GROUP AUDIT