Internrevisjon i staten

Statlige internrevisjonsfunksjoner må ta hensyn til den styringsmessige sammenhengen som de skal operere i. Et statlig forvaltningsorgan er ikke et eget rettssubjekt, men en del av staten som «juridisk person». Statsråden har konstitusjonelt og politisk ansvar for at virksomheten drives innenfor rammene som er satt av Stortinget. 

Departementet har som etatsstyrer et overordnet ansvar for at de underliggende virksomhetene har forsvarlig styring og kontroll. Departementet må bygge på virksomhetens interne styring og kontroll når det utøver sitt kontrollansvar. Virksomhetene har et selvstendig ansvar innenfor rammene er satt av blant annet departementet. 

Departementet er verken et styre eller en eier for underliggende virksomheter, selv om departementet ivaretar noen av de samme funksjonene. 

I virksomheter som er organisert med et styre, har ikke styret det samme ansvaret verken juridisk eller økonomisk som styret i et aksjeselskap. På grunn av statsrådens konstitusjonelle og politiske ansvar vil styret i et forvaltningsorgan ikke ha fullt ansvar verken juridisk, økonomisk eller konstitusjonelt. 

Selv om en virksomhet har et styre, betyr det ikke nødvendigvis at internrevisjonen bør rapportere til dette. Det er departementet som fastsetter forholdet mellom departementet, et eventuelt styre og virksomhetslederen. Dette gjøres i instruksen til virksomheten, se bestemmelsene for økonomistyring i staten punkt 1.3.

Virksomhetsleder er det øverste ledelses- eller styringsnivået i virksomheten hvis virksomheten ikke har et styre. Virksomhetsleder er normalt også internrevisjonens oppdragsgiver. Internrevisjonen blir derfor ikke uavhengig av virksomhetsleder.

Når det er virksomhetslederen som er oppdragsgiver, og ikke styret som i et aksjeselskap, kan dette svekke internrevisjonens uavhengighet og objektivitet. For å styrke internrevisjonens uavhengighet skal virksomheten utarbeide instrukser som tydelig definerer internrevisjonens rolle og myndighet, og mandatet den har til å gjennomføre egne risikovurderinger og uavhengige gjennomganger. Instruksen kan eventuelt omtale prosedyrer som håndterer eventuelle uenigheter mellom revisjonssjefen og oppdragsgiveren.

Riksrevisjonen og internrevisjon i staten følger begge internasjonale standarder, og har fokus på virksomhetens prosesser for styring og kontroll i sine revisjoner.  De internasjonale standardene omtaler hvordan arbeidet mellom internrevisjon og ekstern revisjon skal samordnes og koordineres. 

Internrevisjonens formål er å fremme og beskytte organisasjonens verdier gjennom å gi risikobaserte og objektive bekreftelser, råd og innsikt. Internrevisjonen har hele virksomheten som sitt arbeidsfelt, og ser spesielt på virksomhetens prosesser for styring og kontroll.

Riksrevisjonen skal bidra til at fellesskapets midler og verdier blir brukt og forvaltet slik Stortinget har bestemt. Dette gjøres gjennom revisjon, kontroll og veiledning. Riksrevisjonen har en uavhengig stilling overfor forvaltningen og rapporterer resultatene av revisjonen og kontrollen til Stortinget. 

Riksrevisjonen reviderer ut fra tre revisjonstyper, med ulike formål:  

• Regnskapsrevisjon. Formålet er å bekrefte at regnskapene ikke inneholder vesentlige feil og mangler, og at disposisjonene som ligger til grunn for regnskapet, samsvarer med Stortingets vedtak og forutsetninger.
• Forvaltningsrevisjon. Formålet er å gi Stortinget relevant informasjon om iverksettelse og virkninger av offentlige tiltak. Det skal bidra til en bedre og mer effektiv forvaltning gjennom systematiske undersøkelser av områder som økonomi, produktivitet, måloppnåelse og virkninger, ut fra Stortingets vedtak og forutsetninger.
• Selskapsrevisjon. Formålet er å gi Stortinget grunnlag for å ta stilling til om statens interesser i selskaper forvaltes i samsvar med Stortingets vedtak og forutsetninger. 

Riksrevisjonens rolle er ikke begrenset til å bekrefte regnskapet, men omfatter også øvrige områder som er relatert til måloppnåelsen for den offentlige tjeneste- og velferdsproduksjonen. 

Riksrevisjonen som eksternrevisor vurderer kvaliteten på virksomhetens etablerte system for styring og kontroll for å ta stilling til om hen kan bygge sine risikovurderinger og revisjon på systemtester i motsetning til detaljtesting. 

Internrevisjonen skal også evaluere virksomhetens etablerte prosesser for styring og kontroll, i henhold til  IIA-standardene for internrevisjon.

Både Riksrevisjonen og internrevisjonen gjennomfører altså undersøkelser og revisjoner som vurderer kvaliteten på virksomhetens etablerte system for styring og kontroll. Hvis internrevisjonen har vurdert virksomhetens prosesser og system for styring og kontroll som effektive, og hvis internrevisor tilfredsstiller kriterier som uavhengighet og objektivitet i henhold til ISSAI 1610, skal Riksrevisjonen koordinere og samarbeide med internrevisjonen. Da kan Riksrevisjonen også vurdere å basere seg på internrevisjonens arbeid dersom dette er hensiktsmessig.  

Arbeidsgruppen som utredet bruk av internrevisjon i 2014 anbefalte at internrevisjonen har dialog med Riksrevisjonen med sikte på å etablere oversikt over pågående og planlagte revisjoner, samt for å koordinere arbeidet, og for å diskutere metodespørsmål og andre revisjonsfaglige spørsmål.

Statlige virksomheter er underlagt en rekke nasjonale og internasjonale tilsyn og kontrollorgan som stiller krav til virksomhetens internkontroll, utover de generelle kravene til styring og kontroll i økonomiregelverket. 

Eksempler på slike norske lov- og regelverk er personopplysningsloven, lov om offentlige anskaffelser og internkontrollforskriften. Norge er også gjennom EØS-avtalen forpliktet til å etterleve EU-regelverk på en rekke områder som faller inn under statlige organs forvaltningsområder.  

Statlige virksomheter kan derfor ha aktiviteter som innebærer at de er underlagt interne og eksterne revisjoner, tilsyn og evalueringer, i tillegg til revisjoner gjennomført av Riksrevisjonen og virksomhetens eventuelle egen internrevisjon. 

I virksomheter med internrevisjon kan internrevisor spille en viktig rolle i koordinering, samordning og tilrettelegging av revisjoner gjennomført av eksterne kontrollfunksjoner for å forhindre dobbeltarbeid og uhensiktsmessig bruk av ressurser brukt på kontroll. Ved at internrevisor gjennomfører internrevisjoner på områder som krever uavhengig bekreftelse, kan internrevisor bidra til «single audit concept» for å unngå at flere og til dels overlappende revisjoner gjennomføres av mange ulike kontrollorgan. 

Internrevisor kan også spille en rolle ved oppfølging og utbedring av svakheter avdekket av eksterne tilsyn og kontrollorgan. Tilsyn og kontrollorgan kan bygge på internrevisjonens arbeid dersom det er relevant og hensiktsmessig. 

Offentlighetsloven gjelder for hele forvaltningen og bygger på offentlighetsprinsippet, som sier at vår felles offentlige forvaltning skal være så åpen som mulig. Offentlighetsprinsippet er grunnlovsfestet. Formålet med offentlighetsloven er å styrke

• informasjons- og ytringsfriheten
• demokratisk deltakelse
• rettssikkerhet for den enkelte
• tilliten til det offentlige
• kontroll fra allmennheten

Hovedregelen i offentlighetsloven er at dokumenter i offentlig forvaltning er åpne for innsyn. Unntak fra dette må følge av lov eller forskrift gitt med hjemmel i lov.

Innholdet i det aktuelle dokumentet avgjør om det er grunnlag for å unnta fra offentlighet

Et hovedprinsipp i offentlighetsloven er at det er innholdet i dokumentet som avgjør om et dokument kan unntas innsyn. Internrevisjonsdokumenter kan derfor ikke unntas fra innsyn på generelt grunnlag. Du skal i hvert tilfelle gjøre en helhetsvurdering av innholdet i det aktuelle internrevisjonsdokumentet ved krav om innsyn. Hvis det blir gitt innsyn i et internrevisjonsdokument, skaper dette i utgangspunktet altså ikke presedens for innsyn i andre internrevisjonsdokumenter.

Vurder innsyn etter en forespørsel

Innsynsvurderingen skjer vanligvis etter at noen ber om innsyn. Det bør ikke tas stilling til innsynsspørsmålet ved at dokumentene merkes «unntatt offentlighet» uten at noen har bedt om innsyn, såkalt negativ forhåndsklassifisering. Hvis dokumentene inneholder opplysninger som er underlagt taushetsplikt, jf. offentlighetsloven § 13 første ledd, bør dette derimot stå. Innsynsvurderingen skal uansett være konkret og selvstendig, og du er ikke bundet av at andre har merket dokumentene med unntatt innsyn.

Gjør deg godt kjent med unntaksbestemmelsene for innsyn

Offentlighetsloven kapittel 3 (§§ 13–26) inneholder unntaksbestemmelsene i loven. Enkelte av disse unntaksbestemmelsene er mer vanlige og relevante for internrevisjonsdokumenter enn andre, dette gjelder blant annet §§ 13, 14 og 15, men det kan også være andre unntak som er relevante og aktuelle for internrevisjonsdokumenter.

§ 13 første ledd om opplysninger som er underlagt taushetsplikt

Hvis et internrevisjonsdokument inneholder taushetsbelagte opplysninger, skal disse opplysningene unntas fra offentlighet, jf. offentlighetsloven § 13 første ledd (med mindre den opplysningene gjelder, samtykker til offentliggjøring, eller taushetsplikten av andre grunner faller bort). Det skal da vises til både offentlighetsloven § 13 første ledd og den lov- eller forskriftsbestemmelsen som fastsetter taushetsplikten.

§ 14 om unntak for dokumenter som er utarbeidet for organets egen saksbehandling

Etter offentleglova § 14 første ledd kan det gjøres unntak fra innsyn for dokumenter som et ((organ+f.eks. et departement eller et frittstående direktorat)) har utarbeidet til bruk i sin egen interne saksbehandling, såkalte organinterne dokumenter. Dokumentene kan da som hovedregel ikke ha vært sendt utenfor organet. Se nærmere i Rettleiar til punkt 7.2 om unntaket for organinterne dokumenter.

§ 15 om unntak for dokumenter innhentet utenfra til den interne saksbehandlingen

Etter offentleglova § 15 er det mulig å gjøre unntak for visse dokumenter som blir innhentet utenfra til bruk i den interne saksforberedelsen i et organ. Etter første ledd gjelder dette dokumenter som blir innhentet fra underordnede organer (første punktum), og av et departement fra et annet departement (andre punktum). Etter andre ledd kan det gjøres unntak for de delene av et dokument som inneholder råd eller vurderinger om hvordan mottakerorganet skal stille seg i en sak. Slike råd eller vurderinger kan i prinsippet innhentes fra hvem som helst. Etter tredje ledd gjelder unntakene i første og andre tilsvarende for innhenting av dokumenter som nevnt i første og andre ledd og for innkallinger til og referater fra møter mellom de samme aktørene.

Ytterligere vilkår må være oppfylt for at det skal kunne gjøres unntak etter § 15. Se Rettleiar til offentleglova punkt 7.3 om unntak for dokumenter innhentet utenfra for den interne saksforberedelsen.

Helt eller delvis unntak?

Merk at mange av unntakene i kapittel 3 bare åpner for å unnta opplysninger eller deler av dokumentet fra innsyn. Det må da i utgangspunktet gis delvis innsyn i resten av dokumentet. Flere unntak kan eventuelt brukes i kombinasjon, og i noen tilfeller åpner § 12 for å unnta de resterende delene av et dokument når det blir gjort unntak for deler av dokumentet. Vilkårene her er imidlertid strenge.

Vurder merinnsyn for et dokument

Når det er anledning til å unnta innsyn, skal du vurdere å gi helt eller delvis innsyn, jf. § 11. Du skal gi innsyn hvis hensynet til offentlighet veier tyngre enn behovet for unntak. Merinnsyn er ikke aktuelt ved lovfestet taushetsplikt.

Sivilombudsmannens vurdering av internrevisjonsdokumenter som departementer innhenter fra underliggende virksomhet

Det er vanlig at departementer henter inn internrevisjonsdokumenter når de følger opp virksomheten i etatsstyringen. Sivilombudsmannen behandlet i desember 2019 tre innsynssaker som gjaldt slike innhentede dokumenter. Vurderingen var at internrevisjonsdokumenter som departementer rutinemessig henter inn som ledd i den løpende oppfølgingen av en underliggende virksomhet, ikke kan unntas offentlighet med grunnlag i § 15 første ledd første punktum. Sivilombudsmannen vurderte dermed at den generelle oppfølgingen av en underliggende virksomhet ikke er å regne som intern saksforberedelse, og dokumentene kan dermed ikke unntas fra offentlighet på dette grunnlaget.

Sivilombudsmannens vurdering av sakene