I takt med att organisationer etablerar fler kontrollfunktioner för att ge assurance (så kallade säkringsfunktioner), ökar ledningens och styrelsens utmaning i att ge en sammanhållande bild av verksamhetens hantering av väsentliga risker. Vilka funktioner i organisationen arbetar med att ge försäkran kring organisationens risker? Förekommer dubbelarbete? Finns det risker som faller mellan stolarna? Styrelsen har ansvar att övervaka kontrollfunktionernas koordinering, och enligt IIA Standards är koordinering av intern och extern granskning internrevisions-chefens ansvar. Ett sätt att ta sig an detta är att göra en assurance map, alltså en kartläggning av vilken försäkran som ges av olika verksamhetsdelar inom organisationen med utgångspunkt i alla de risker som styrelsen behöver försäkran kring, samt av de parter (interna och externa) till vilka försäkran behöver ges. På samma sätt som styrelse och VD vill försäkra sig om att organisationen lägger resurser på rätt saker, har rätt resurser och inte dubbelarbetar, behöver internrevisionen veta att man fokuserar på rätt saker. Förutom att ta avstamp i en assurance map bör man också utgå från ett så kallat audit universe, det vill säga en förteckning av organisationens alla granskningsbara områden. Men hur gör man detta på bästa sätt? Vad ska man utgå från för att få med allt? Och hur vet man vilka områden som behöver prioriteras? Denna presentation är från Transcendent Groups frukostseminarium på Rigoletto den 17 juni 2014. Talare var Annika Rörborn, administrativ chef på Trygg-Hansas internrevision i Sverige, samt Hans Löfgren och Johanna Conradsson från Transcendent Group.

1. Assurance mapping
och audit universe
Rigoletto den 17 juni 2014

2. Vad ska vi prata om idag?
©TranscendentGroupSverigeAB2014

3. Målsättningen med vår presentation
• Målsättningen med vår presentation är att beskriva hur
organisationen kan arbeta med att koordinera sina
säkringsfunktioner och genom att skapa sig en
helhetsbild över dessa få ut maximalt nytta av sin
säkringsverksamhet.
• Vi kommer att reda ut begreppen och försöka beskriva
hur dessa hänger ihop, såväl för hela organisationen
som i revisionsprocessen.
©TranscendentGroupSverigeAB2014

4. Vad är assurance/audit/risk/
compliance universe?
©TranscendentGroupSverigeAB2014

5. Tillförsäkran (assurance)
IIA:s riktlinjer för yrkesmässig
internrevision:
• En objektiv utvärdering av fakta
i syfte att tillhandahålla en
oberoende utvärdering av
organisationens lednings-
processer, riskhantering samt
styr- och kontrollprocesser.
©TranscendentGroupSverigeAB2014

6. Vilka tillhandahåller tillförsäkran
(assurance providers)?
Tillförsäkringsgivare Rapporterar till Grad av
oberoende
Styrka i
tillförsäkran
• risk
• compliance
• intern kontroll
• kvalitetsrevisioner
• CSR
• arbetsmiljö
ledningen mindre
oberoende
låg till medel
internrevision styrelse/
revisonskommitté
oberoende hög
externrevision och
annan tillsynsmyndighet
externa intressenter mycket
oberoende
eventuellt
förväntansgap
©TranscendentGroupSverigeAB2014

7. Organisationens tre försvarslinjer
första andra tredje
©TranscendentGroupSverigeAB2014

8. Assurance universe
audit
universe
risk
universe
compliance
universe
©TranscendentGroupSverigeAB2014

9. Audit universe – i den bästa av världar
audit universe
=
risk universe
+
compliance
universe
©TranscendentGroupSverigeAB2014

10. Audit universe i praktiken
riskbaserat
audit universe
krav/behov
från RU/RK
/styrelse
krav från
regulatorer
©TranscendentGroupSverigeAB2014

11. Vad är en assurance map?
©TranscendentGroupSverigeAB2014

12. Praktiskt exempel
Provider assessment
Medium assurance Opportunity to remove / refocus effortHigh assuranceMgt assurance Maintain current plan
Assurance gap
Regulatory
Oversight
4th Line
Finance
HumanResources
Treasury
Operations
IT
Procurement
Legal
Commercial
Planning
Communicatons
RiskManagement
Processes
AirlineManagement
Board
PerformanceReview
Meeting
SafetyReviewBoard
Environmental
ManagementGroup
Network
DevelopmentForum
AirportsForum
ITSteeringGroup
InternalAudit
ExternalAudit
QualityAudit/
Compliance
Investigations-
ProactiveSafety
Monitoring
CAA
AssuranceProvision
ObtainIndependent
Assurance
ReviewOtherAssurance
Providers
RemoveDuplicate
AssuranceActivity
Assurance Need
Business Continuity
                       Crisis Management
                       Competetive Environment
                       Economic Environment
                       Hedging / Liquidity Management
                       Financial Reporting
                        
Finance Processing
                       International Operations
                         
Information Technology
                       Labour Relations / Staff
                        
Legal
                        
Operations
                         
Regulator & Stakeholders
                       Revenue & Reputation
                       Environment
                       Suppliers & Key Relationships
                       
Corrective Action
Functional Oversight
2nd Line
Independent
3rd Line
Results
Management
1st Line
AssuranceProvider
PerformanceProvider
Overall provision
©TranscendentGroupSverigeAB2014

13. Varför samordning?
©TranscendentGroupSverigeAB2014

14. Fördelar med att utveckla en
sammanställning av säkringsfunktioner
• effektivare säkringsarbete
• sammanhållen rapportering
• effektivare planering
• möjliggör en totalbild
• ökat fokus på högriskområden
• ökat samarbete
©TranscendentGroupSverigeAB2014

15. Vem kan initiera, ansvara och
genomföra?
©TranscendentGroupSverigeAB2014

16. Hur gör man?
Internrevisionen har
metodik och verktyg.
©TranscendentGroupSverigeAB2014

17. Utgångspunkt i IIA standards
Internrevisorn måste ta hänsyn till riktlinjer för
yrkesmässigt utövande av internrevision (standards):
2050 samordning:
• Practice Advisory 2050-1, Coordination,
• Practice Advisory 2050-2, Assurance Maps samt
• Practice Advisory 2050-3, Relying on the Work of
Other Assurance Providers.
©TranscendentGroupSverigeAB2014

18. Fortsatt läsning
IIA standard 2050 – Coordination
Practice Advisory
• 2050-1: Coordination
– The chief audit executive should share information and
coordinate activities with other internal and external
providers of assurance and consulting services to ensure
proper coverage and minimize duplication of efforts.
• 2050-2: Assurance Map
• 2050-3: Relying on the Work of Other Assurance Providers
©TranscendentGroupSverigeAB2014

19. Take away
• Fråga styrelsen/RK
/RU.
• Börja från toppen.
©TranscendentGroupSverigeAB2014

20. www.transcendentgroup.com