Dokumentation af interne kontroller: hvad bør danske virksomheder kunne fremvise?

Det korte svar: en kontrolmappe med ledelsens beskrivelse og konkrete beviser

Svaret er en samlet kontrolmappe, som kan åbnes og gennemgås uden forberedelse.

Mappen består af syv dele: beskrivelser af virksomhedens centrale forretningsgange, en ansvarsmatrix, et risikoregister, konkrete kontrolbeviser, en afvigelseslog med opfølgning, referat af den årlige ledelsesgennemgang og versionsstyring.

Mappen skal være ét struktureret filområde med versionsdato og ejer. Den må ikke ligge i mailtråde, regneark på den enkelte medarbejders drev eller mapper uden navn.

Ansvaret for mappen ligger hos ledelsen. Økonomistyrelsen beskriver om intern kontrol og tilsyn, at den øverste ledelse har ansvaret for at sikre fastlæggelse og efterlevelse af forsvarlige forretningsgange, der følger gældende regelsæt og sikrer tilstrækkelig kontrol og tilsyn.

På det statslige område betyder det, at der skal udarbejdes instrukser. De skal beskrive, hvordan enheden sikrer en forsvarlig organisatorisk og opgavemæssig placering og tilrettelæggelse af den interne kontrol og risikostyring.

Det er samme logik, en privat virksomhed kan bruge: et skriftligt dokument, der viser, hvem der gør hvad, hvor i organisationen kontrollen ligger, og hvem der har ansvaret.

For SMV'er betyder dokumentationen også, at fravalg skal begrundes. Asnet skriver i sine anbefalinger til god selskabsledelse i danske SMV'er, at anbefalingerne er soft law og bygger på princippet »følg eller forklar«, hvor der kan være begrundelser for ikke at følge en anbefaling.

Asnet peger samtidig på, at selskabsloven fastsætter de juridiske rammer, men ikke indeholder konkrete anbefalinger til, hvordan god selskabsledelse praktiseres. De generelle corporate governance-anbefalinger opleves primært målrettet større virksomheder. Derfor har Asnet udarbejdet et sæt anbefalinger rettet mod SMV'er.

Konsekvensen for kontrolmappen er, at en manglende kontrolaktivitet kan være acceptabel, hvis beskrivelsen forklarer hvorfor og hvad der i stedet gøres.

SMV'ens ejerstruktur er en faktor, der former mappen. Asnet beskriver fem forhold, der typisk adskiller SMV'er fra større virksomheder:

Ejerskabet er ofte begrænset med få ejere og ofte én hovedejer. Ejeren er ofte direkte involveret i ledelsen. Ejeren indtager ofte flere roller samtidig som ejer, direktør og bestyrelsesmedlem.

Ejerskabet har stor betydning for ejerens personlige identifikation. Ejerens familie er ofte direkte eller indirekte involveret.

Forretningsgangene: hvem gør hvad, hvornår og med hvilket formål?

Start med at afgrænse, hvilke processer der overhovedet skal beskrives. Økonomistyrelsen definerer finansielle processer som alle transaktioner i forhold til regnskabet, herunder ud- og indbetalingsstrømme.

Som eksempler nævner Økonomistyrelsen udbetaling af løn, køb af varer og tjenester, udbetaling af puljetilskud, overførselsindtægter fra kommuner og returkommission.

Over for det stiller Økonomistyrelsen de ikke-finansielle processer, fx kontrol med it-infrastruktur, it-drift, sagsbehandlings- og journaliseringskrav og anlægsaktiver. En dansk SMV kan bruge samme skelnen til at sikre, at mappen ikke kun dækker bogføringen, men også de it- og dokumentationsprocesser, der bærer bogføringen.

For hver forretningsgang skal beskrivelsen indeholde procesnavn og formål, hvor processen starter og slutter, og hvilke roller der udfører hvilke trin. Den skal også vise, hvilke systemer der bruges, hvor der ligger kontrolpunkter, hvilke bilagstyper der udløses, hvem der godkender, og hvad der sker ved en afvigelse.

Formålet skal være konkret formuleret. Det kan fx være at sikre, at udbetalinger kun sker til leverancer, der er modtaget og godkendt. Et andet eksempel er at sikre, at lønudbetalinger svarer til gældende ansættelsesforhold.

Rollerne skrives både som funktion og navn. Hvor kun én person kan udføre opgaven, skal det fremgå, hvem der træder til ved ferie og sygdom.

Den opgavemæssige placering er en del af beskrivelsen, ikke et selvstændigt dokument. Økonomistyrelsen fremhæver, at instrukserne skal beskrive, hvordan den forsvarlige organisatoriske og opgavemæssige placering og tilrettelæggelse af den interne kontrol og risikostyring sikres.

Oversat til praksis skal hver forretningsgang pege på en funktion, der ejer kontrollen – ikke bare på »ledelsen«. Den skal også pege på en funktion, der fører tilsyn med den.

Beskrivelsen bør kun indeholde processer, der faktisk udføres, som de udføres. En forretningsgang, der beskriver et godkendelsesflow, systemet ikke understøtter, eller en kontrol, ingen udfører, giver dårligere dokumentation end ingen beskrivelse. Den kan ikke bekræftes af et spor i systemet eller af et bilag.

Risikokortet: fra væsentlige risici til konkrete kontroller

Økonomistyrelsens vejledning om intern finansiel kontrol beskriver en fremgangsmåde for at udpege risici og prioritere dem. Den beskriver også, hvilke finansielle processer der skal indgå i et kontrolsystem, og hvordan relevante kontroller kan udformes. Det er den rækkefølge, et risikoregister skal følge i mappen: først risikoen, dernæst prioriteringen, dernæst hvilke processer der er omfattet, og til sidst hvordan kontrollen konkret er udformet.

Et brugbart risikoregister har én linje pr. risiko med faste felter. Felterne er proces, risikobeskrivelse, om risikoen er finansiel eller ikke-finansiel, vurdering af væsentlighed, kontrolmål og kontrolaktivitet. De omfatter også kontroltype, hyppighed, udfører, modtager af resultatet, hvilket bevis kontrollen efterlader, og hvornår kontrollen sidst er testet.

Kontroltypen angiver, om kontrollen er forebyggende eller afslørende, og om den er manuel eller indbygget i systemet. Uden feltet for bevis kan kontrollen ikke fremvises for andre end den, der udførte den.

Skelnen mellem finansielle og ikke-finansielle processer bruges til prioritering. Økonomistyrelsen anfører, at den interne kontrol omfatter både finansielle og ikke-finansielle processer. Reglerne om det interne kontrolsystem omhandler bl.a. kontrol af interne finansielle processer for at sikre en korrekt regnskabsaflæggelse.

I praksis betyder det, at risici med direkte effekt på resultatopgørelse og balance – fx udbetalinger, indtægter, vareforbrug, løn og tilgodehavender – får en kontrol, der efterlader bevis. Øvrige risici kan håndteres med beskrivelser og stikprøver.

Typiske risici bør have en linje i registeret. Det gælder betaling til en leverance, der ikke er modtaget, og ændring af leverandørens bankoplysninger uden godkendelse. Det gælder også udbetaling af løn til fratrådt medarbejder og manuel efterpostering uden dokumentation. Kreditering af en faktura uden godkendelse og manglende afstemning af bank, debitorer eller moms hører også til. Hver af disse linjer skal have en kontrolaktivitet, en udfører og et bevis – ikke blot en bemærkning om, at risikoen er kendt.

Finansielle vs. ikke-finansielle processer i intern kontrol

Funktionsadskillelse og kompenserende kontroller i SMV'er

Funktionsadskillelse betyder efter Økonomistyrelsens beskrivelse, at der er personmæssig adskillelse mellem den, der registrerer et indkøb, og den, der gennemfører betalingen. Økonomistyrelsen henviser til, at dette krav følger af Regnskabsbekendtgørelsen for det statslige område. For en privat virksomhed er princippet en rettesnor: den, der disponerer, bør ikke være den samme, der registrerer, godkender og betaler.

I SMV'er kan princippet sjældent gennemføres fuldt ud. Et kandidatspeciale fra Aalborg Universitet om revisors håndtering af besvigelser i SMV'er tager netop udgangspunkt i, at interne kontroller i små og mellemstore virksomheder ofte er begrænsede.

Dokumentationen skal derfor ikke påstå en adskillelse, der ikke findes. Den skal i stedet beskrive, hvilke kompenserende kontroller der er etableret, hvem der udfører dem, og hvilket spor de efterlader.

Kompenserende kontroller, der lader sig dokumentere i en mindre virksomhed, omfatter flere tiltag. Ejerlederens månedlige gennemgang og signering af bankafstemningen er ét eksempel. Et andet er krav om to godkendelser af betalinger over en fastsat beløbsgrænse.

Ændringer i leverandørstamdata kan kræve godkendelse af en anden end den, der vedligeholder stamdata. Bankkontoudtog kan gennemgås af en ekstern bogholder eller revisor med adgang til kontoudtog direkte fra banken.

Opgaverne kan roteres, eller den person, der normalt udfører en opgave, kan afløses ved fravær. Fælles for dem alle er, at de kun tæller som dokumentation, hvis udførelsen efterlader et spor – en dateret signatur, en godkendelse i systemet eller en logget gennemgang.

Revisors kontrolbaserede revision bygger på virksomhedens interne kontroller. Sammenhængen mellem intern kontrol og kontrolbaseret revision er behandlet i forskningsarbejde fra Copenhagen Business School.

Pointen for SMV'en er, at en beskrevet og dokumenteret kontrol, der faktisk fungerer, kan bruges som grundlag for revisionen. En kontrol, der kun findes på papiret, kan ikke.

For hver kompenserende kontrol bør mappen angive, hvilket spor kontrollen efterlader – fx en dateret signatur på bankafstemningen, en godkendelse i systemet eller en logget gennemgang. Den bør også angive, hvornår sporet sidst er kontrolleret.

Revisionssporet i det digitale bogføringssystem

Første krav til mappen er en systembeskrivelse. Erhvervsstyrelsen oplyser i sin vejledning om ikke-registrerede digitale bogføringssystemer, at bogføringsloven skelner mellem registrerede digitale bogføringssystemer og ikke-registrerede digitale bogføringssystemer.

Vejledningen supplerer bogføringsloven og bekendtgørelsen om krav til virksomheders digitale bogføringssystemer, der ikke er registreret efter bogføringsloven. Den redegør mere detaljeret for bestemmelserne og giver forslag til implementering og fortolkning. Systembeskrivelsen skal derfor slå fast, hvilken kategori systemet tilhører, og hvilke krav der gælder for netop den kategori.

Vejledningen indeholder de definitioner, et revisionsspor skal bygges op omkring. De dækker også bilag, regnskabsmateriale og digitalt bogføringssystem. En transaktion forstås som en handling eller et forhold af økonomisk betydning for virksomheden.

Begrebet skal forstås bredt: også rent regnskabsmæssige dispositioner som af-, ned- og opskrivninger af aktiver samt renteberegninger anses som transaktioner. Som yderligere eksempler nævner vejledningen køb og salg, lønafregninger, konstaterede tab på debitorer, likvide bevægelser, optagelse af lån og indfrielse af gæld samt skattemæssige dispositioner.

Transaktioner kan i korte træk afgrænses til forhold, der indgår i en resultatopgørelse eller en balance, mens eventualforpligtelser og -aktiver ikke anses som transaktioner. Vejledningen slår desuden fast, at registrerede data kan danne grundlag for en transaktion, men ikke behøver at være en transaktion i sig selv.

Kravene om digital bogføring gælder med forskudt tidspunkt. Ifølge vejledningen forventes kravet om digital bogføring at træde i kraft for regnskabsperioden, som starter fra og med 1. januar 2025. Det gælder virksomheder, som er årsregnskabspligtige efter årsregnskabslovens § 3, stk. 1, og som bruger et ikke-registreret digitalt bogføringssystem.

For virksomheder, som ikke er årsregnskabspligtige efter årsregnskabslovens § 3, stk. 1, gælder et andet tidspunkt. Har de haft en erhvervsmæssig nettoomsætning på mindst 300.000 kr. i de to forudgående år, gælder reglerne tidligst for indkomstperioder, som starter fra og med 1. januar 2026.

Det relevante regelgrundlag er bekendtgørelse om krav til virksomheders digitale bogføringssystemer der ikke er registreret efter bogføringsloven (BEK nr. 205 af 29/02/2024). Både datoen og beløbsgrænsen er forhold, mappen bør kunne henvise til, hvis virksomheden falder ind under kravet.

Et brugbart revisionsspor gør det muligt at følge en transaktion fra det underliggende bilag gennem registreringen og videre til den post i regnskabet, den ender i. Det skal angive, hvem der registrerede og godkendte, og hvornår det skete.

Efter god praksis bør ændringer efter den oprindelige registrering kunne ses af et log, så det fremgår, hvad der er ændret, af hvem og hvornår. Systembeskrivelsen skal dokumentere, hvordan systemet behandler transaktioner, og hvor grænsen går mellem registrerede data og de transaktioner, de danner grundlag for, jf. vejledningens skelnen mellem de to.

Krav til digital bogføring – tidspunkter og grænser

Beviser på udførte kontroller og det materiale Skatteforvaltningen kan efterspørge

Dokumentationen skal kunne udleveres. Skatteforvaltningen har efter det oplyste i Skats juridiske vejledning mulighed for at anmode den skattepligtige om regnskabsmateriale, bilag og andre dokumenter. Det betyder, at mappen skal kunne frembringe bilagene og sammenhængen mellem dem – ikke kun en erklæring om, at kontrollerne er udført.

For løn bør beviserne vise, hvem der har kontrolleret lønlisten mod ansættelsesforhold og fratrædelser. De bør også vise, hvornår kontrollen blev udført, hvilket bilag der ligger til grund, og hvem der godkendte overførslen. Økonomistyrelsen nævner udbetaling af løn som et af eksemplerne på en finansiel proces, der omfatter ud- og indbetalingsstrømme, og som skal være omfattet af kontrolsystemet.

For køb bør kæden indeholde ordrebekræftelse eller aftale, registrering af varemodtagelse eller leverance, modtaget faktura, attestation og betaling. For salg bør den indeholde ordrebekræftelse, leverance, udstedt faktura, afstemning af tilgodehavender og en særskilt godkendelse af krediteringer. For betalinger bør den indeholde bankafstemning med angivelse af, hvem der har godkendt betalingen, og hvilke bilag der hører til.

Kontrolbeviset er ikke et selvstændigt dokument, men det spor i processen, der viser, at kontrollen blev udført, før eller efter transaktionen blev gennemført.

Afvigelser skal logges med samme detaljeringsgrad som de øvrige beviser. Loggen skal indeholde dato, hvad der var forkert, hvorfor det skete, hvem der rettede det, og hvordan det blev rettet. Den skal også vise, om forretningsgangen eller kontrollen er ændret som følge af afvigelsen. En afvigelseslog uden lukkede punkter og uden ændringer i beskrivelserne viser, at loggen føres, men ikke at den bruges.

Klar til fremvisning: kontrolmappe, ansvarsmatrix og årlig gennemgang

Mappen opbygges efter det faste index med de syv dele, der er beskrevet i det indledende afsnit om kontrolmappen. Hver fil mærkes med ejer og dato. Ansvarsmatricen krydsrefererer til både forretningsgangene og risikoregisteret, så en læser kan gå fra en rolle til en kontrol til et bevis.

Den årlige ledelsesgennemgang skal have en dagsorden, der kan dokumenteres. Den skal vise, om processerne er ændret siden sidst, og om nye risici er tilføjet registeret.

Den skal også vise, om kontrollerne er testet og med hvilket resultat, om alle afvigelser er lukket, og om der er kritiske bemærkninger fra revisor eller andre, der skal følges op.

Økonomistyrelsen beskriver på det statslige område, at departementet har ansvar for at tilse, at kontrolsystemerne er tilstrækkelige. Det har også ansvar for at sikre udbedring ved brud på regler og krav. Det skal desuden følge op på kritiske revisionsbemærkninger fra intern eller ekstern revision.

Overført til en privat virksomhed er pointern, at gennemgangen skal efterlade et spor af, hvad ledelsen besluttede at rette, og hvornår det blev gjort.

Asnets anbefalinger er nyttige som ramme for gennemgangen, fordi de bl.a. omfatter emnet åbenhed og gennemsigtighed og indeholder en skabelon til afrapportering, jf. anbefalingernes opbygning. Da anbefalingerne er soft law efter princippet »følg eller forklar«, kan mappen indeholde en kort afrapportering. Her angiver virksomheden for hver anbefaling, om den følges, eller hvad begrundelsen er for ikke at følge den. Det gør fravalg dokumenterbare i stedet for usynlige.

For at holde mappen ajour og let at fremvise bør den finansielle kontrol i videst muligt omfang ligge i systemerne. Økonomistyrelsen anfører, at den finansielle interne kontrol i størst muligt omfang skal foregå digitalt med brug af færrest mulige ressourcer og størst mulig automatisering.

I praksis betyder det, at godkendelser, afstemninger og logninger foregår i bogførings- eller økonomisystemet frem for på løse ark. Så ligger beviset allerede i systemet, når mappen skal åbnes.

Bilag, regnskabsmateriale og digitalt bogføringssystem er definerede begreber i bogføringsloven, og mappens struktur bør følge den samme begrebsbrug, så en ekstern læser kan se, hvad der er hvad.