Hva er internkontroll?

Internkontroll, ofte kalt internal control på engelsk, er et samlebegrep for alle tiltak et selskap setter i verk for å styre virksomheten på en trygg og effektiv måte. Tenk på det som selskapets «immunforsvar» mot feil, svindel og dårlige beslutninger. Målet er å sikre at regnskapet er korrekt, at lover og regler blir fulgt, og at selskapets ressurser blir brukt på en fornuftig måte.

For deg som aksjeinvestor er internkontroll viktig fordi den direkte påvirker påliteligheten til den finansielle informasjonen selskapet publiserer. Hvis internkontrollen er svak, kan regnskapstallene være feil, og du risikerer å ta investeringsbeslutninger basert på et feilaktig grunnlag. Derfor bør du alltid vurdere kvaliteten på internkontrollen når du analyserer et selskap.

Internkontroll handler ikke bare om å hindre kriminalitet. Den skal også sørge for at selskapet når sine mål – for eksempel at budsjetter overholdes, at ansatte følger retningslinjer, og at rapporteringen til styret og eierne er tidsriktig og nøyaktig. Kort sagt: God internkontroll skaper trygghet for alle som har en interesse i selskapet.

Forstå internkontroll

For å forstå internkontrollens rolle i et aksjeselskap, må du se den i sammenheng med selskapets eierstyring (corporate governance). Styret og ledelsen har ansvar for å etablere gode interne kontroller. Dette er ikke bare et regulatorisk krav – det er en forutsetning for å kunne drive virksomheten på en bærekraftig måte.

En vanlig måte å beskrive internkontroll på er gjennom COSO-rammeverket, som deler kontrollene inn i fem komponenter:

1. Kontrollmiljø – holdninger, verdier og organisasjonsstruktur som danner grunnlaget for kontrollbevisstheten. 2. Risikovurdering – identifisering og analyse av risikoer som kan hindre måloppnåelse. 3. Kontrollaktiviteter – konkrete rutiner som fullmaktsgrenser, godkjenningsprosedyrer og avstemminger. 4. Informasjon og kommunikasjon – systemer som sikrer at relevant informasjon når rett person til rett tid. 5. Overvåking – løpende eller periodiske evalueringer av om kontrollene fungerer som forutsatt.

For investorer er det spesielt viktig å vurdere kontrollmiljøet. Et selskap der ledelsen har en «tone på toppen» som vektlegger ærlighet og etterlevelse, vil som regel ha bedre internkontroll enn et selskap der ledelsen presser på for å nå kortsiktige mål for enhver pris.

Hvordan fungerer internkontroll?

Internkontroll fungerer gjennom et system av forebyggende og avdekkende kontroller. Forebyggende kontroller er barrierer som skal hindre at feil eller misligheter oppstår. Eksempler er at større utbetalinger må godkjennes av to personer, eller at kun autoriserte medarbeidere har tilgang til selskapets bankkontoer.

Avdekkende kontroller er sikkerhetsnett som fanger opp feil som likevel har skjedd. Den viktigste avdekkende kontrollen er avstemming – for eksempel å sammenligne saldoen i regnskapet med kontoutskriften fra banken hver måned. Dersom det er avvik, må årsaken finnes og rettes.

For å illustrere forskjellen kan vi sette opp en enkel tabell:

KontrolltypeFormålEksempel
ForebyggendeHindre feil/svindelDobbel godkjenning av fakturaer over 50 000 NOK
AvdekkendeOppdage feil/svindelMånedlig avstemming av kundefordringer
Internkontrollen er ikke statisk. Den må tilpasses selskapets størrelse, bransje og risikobilde. Et lite selskap med få ansatte kan ikke ha like omfattende kontroller som et stort konsern, men det betyr ikke at internkontrollen er mindre viktig. Tvert imot – i små selskaper er det ofte større risiko for at én person kan omgå kontrollene.

Historisk bakgrunn

Interessen for internkontroll fikk et kraftig oppsving etter en rekke regnskapsskandaler på begynnelsen av 2000-tallet, spesielt Enron- og WorldCom-skandalene i USA. Disse avslørte at store børsnoterte selskaper hadde manipulert regnskapene sine i årevis, og investorer tapte milliarder.

Som et svar på dette ble Sarbanes-Oxley Act (SOX) vedtatt i USA i 2002. Loven pålegger selskaper å dokumentere og teste sin internkontroll, og toppledelsen må personlig bekrefte at regnskapet er korrekt. Manglende etterlevelse kan føre til strenge straffer, inkludert fengsel.

I Norge har vi tilsvarende krav gjennom regnskapsloven og revisorloven, samt Oslo Børs’ anbefalinger for eierstyring og selskapsledelse (NUES). Børsnoterte selskaper må i årsrapporten redegjøre for hvordan internkontrollen er organisert, og revisor skal uttale seg om den. Etter finanskrisen i 2008 ble fokuset på risikostyring og internkontroll ytterligere skjerpet, spesielt i finansnæringen.

Praktisk eksempel

La oss ta et norsk eksempel: Et mellomstort børsnotert selskap, for eksempel en produsent av marine komponenter, har en årlig omsetning på 500 millioner kroner. Selskapet har et system for internkontroll som inkluderer følgende:

  • Alle innkjøp over 100 000 NOK må godkjennes av både innkjøpssjef og økonomisjef (forebyggende kontroll).
  • Hver måned gjennomføres avstemming av alle bankkonti, leverandørreskontro og kundefordringer (avdekkende kontroll).
  • Det gjennomføres årlig risikovurdering der ledelsen identifiserer de største risikoene, for eksempel valutarisiko eller risiko for underslag.
  • Styret får kvartalsvis rapport om status for internkontrollen.

    • Tenk deg at en ansatt i innkjøpsavdelingen prøver å opprette en fiktiv leverandør og sende en falsk faktura på 80 000 NOK. Fordi fakturaen er under 100 000 NOK, kreves det bare én godkjenning. Den ansatte godkjenner selv og betaler. Men ved månedsavstemmingen oppdager økonomiavdelingen at beløpet ikke kan forklares – det er ingen reell vare mottatt. Avdekkingskontrollen fanger opp feilen, og selskapet kan stanse videre utbetalinger og iverksette etterforskning.

    Dette eksemplet viser at ingen enkeltkontroll er vanntett, men kombinasjonen av forebyggende og avdekkende tiltak reduserer risikoen betydelig.

    Fordeler og ulemper

    Fordeler:

  • Økt pålitelighet i finansiell rapportering, noe som gir tryggere beslutningsgrunnlag for investorer.
  • Redusert risiko for svindel og underslag.
  • Bedre operasjonell effektivitet fordi rutiner er standardisert og ansvar er klart definert.
  • Styrket tillit fra investorer, banker og andre interessenter.
  • Overholdelse av lover og regler, noe som reduserer risikoen for bøter og omdømmetap.

    • Ulemper:

  • Kostnader knyttet til å etablere og vedlikeholde kontrollsystemer, spesielt for mindre selskaper.
  • Kan oppleves som byråkratisk og tidkrevende for ansatte.
  • Ingen internkontroll er 100 % sikker – menneskelige feil, samarbeid mellom ansatte eller ledelsens omgåelse kan svekke kontrollene.
  • Overdreven kontroll kan hemme innovasjon og beslutningshastighet.
For investorer er det viktig å veie disse fordelene og ulempene. Et selskap med for svak internkontroll er risikabelt, men et selskap med altfor rigide kontroller kan være tregt og lite konkurransedyktig.

Vanlige misforståelser

Misforståelse 1: Internkontroll er revisors ansvar. Sannheten er at styret og ledelsen har det primære ansvaret for internkontroll. Revisor skal i sin revisjon vurdere om kontrollene er tilstrekkelige, men det er selskapet selv som må bygge og vedlikeholde dem.

Misforståelse 2: Internkontroll hindrer all svindel. Internkontroll reduserer risikoen, men kan ikke eliminere den helt. Spesielt hvis flere ansatte samarbeider (collusion) eller hvis ledelsen bevisst omgår kontrollene, kan svindel likevel skje.

Misforståelse 3: Internkontroll er bare for store selskaper. Små selskaper har ofte færre ressurser, men de har også større risiko for at én person kan dominere prosesser. Derfor er god internkontroll minst like viktig i små selskaper – selv om den må tilpasses størrelsen.

Misforståelse 4: Hvis et selskap har god internkontroll, er aksjen en trygg investering. Internkontroll er bare én av mange faktorer. Et selskap kan ha utmerket kontroll, men likevel gå dårlig på grunn av markedssvingninger, dårlig strategi eller annet. Internkontroll er et verktøy for å redusere risiko, ikke en garanti for suksess.

Oppsummering

Internkontroll er en grunnleggende del av god selskapsstyring og en kritisk faktor for investorer som ønsker å vurdere påliteligheten til et selskaps finansielle informasjon. Ved å forstå de fem komponentene i COSO-rammeverket og forskjellen mellom forebyggende og avdekkende kontroller, kan du som investor stille bedre spørsmål når du analyserer et selskap.

Husk at internkontroll ikke er et statisk system – det må utvikles i takt med selskapets vekst og endrede risikobilde. Les årsrapportens redegjørelse for internkontroll, og vær oppmerksom på revisors uttalelse. Svakheter i internkontrollen, såkalte «material weaknesses», er alvorlige varselsignaler som bør få deg til å grave dypere.

Til syvende og sist handler internkontroll om tillit. Når du investerer i et selskap, investerer du i ledelsens evne til å styre virksomheten på en trygg og ansvarlig måte. God internkontroll er et sterkt bevis på at denne tilliten er fortjent.