2 Virksomhetens interne styring

2.1 Innledning

Kapitlet omhandler virksomhetens interne styring, herunder krav til myndighets- og ansvarsstrukturer, styringsprosesser, internkontroll, kontroll av transaksjoner og organisering av økonomioppgaver.

Bestemmelsene i kap. 1 om departementets styring av underliggende virksomheter kan så langt de passer benyttes for virksomhetens styring av driftsenheter innenfor virksomheten. Dersom virksomheten finner det hensiktsmessig å stille de tildelte midlene til disposisjon for driftsenheter innenfor virksomheten, skal dette skje skriftlig.

2.2 Myndighet og ansvar

Virksomhetens ledelse har ansvaret for å

1. gjennomføre aktiviteter i tråd med Stortingets vedtak og forutsetninger og fastsatte mål og prioriteringer fra departementet
2. fastsette mål og resultatkrav og foreta prioriteringer med ettårig og flerårig perspektiv innenfor eget ansvarsområde
3. sørge for planlegging, gjennomføring og oppfølging, herunder resultat- og regnskapsrapportering
4. definere myndighet og ansvar og fastsette instrukser innenfor eget ansvarsområde for å sikre oppfyllelse av reglementet og bestemmelsene, herunder ansvarsforhold mellom virksomhetslederen og øvrig ledelse, eventuelt styre
5. etablere internkontroll

Systemer og rutiner skal være tilpasset risiko og vesentlighet.

Virksomheten kan bruke internrevisjon som en del av virksomhetens system for styring og kontroll. Virksomheter som har samlede utgifter eller samlede inntekter over 300 mill. kroner, skal vurdere om de bør bruke internrevisjon. Kravet om slik vurdering gjelder ikke for departementene. Nærmere krav til virksomhetens vurdering og krav til innretting av internrevisjoner i statlige virksomheter er fastsatt av Finansdepartementet i rundskriv R-117.

Virksomhetens ledelse har innenfor rammene som stilles i instrukser fra overordnet departement, tildelingsbrevet, andre vedtak og gjeldende lover og regler, myndighet til å iverksette nødvendige tiltak innenfor sitt ansvarsområde. Gjeldende instrukser fra overordnet departement, herunder eventuell styreinstruks, skal være publisert på virksomhetens nettsider.

2.3 Styringsprosessen

2.3.1 Planlegging

Virksomhetens ledelse skal planlegge og utarbeide strategier med ettårig og flerårig perspektiv tilpasset virksomhetens egenart. Planene skal dokumenteres gjennom interne styringsdokumenter. For å dokumentere virkningen av vesentlige forhold i planene, skal det fastsettes styringsparametere som er mest mulig stabile over tid.

2.3.2 Gjennomføring og oppfølging

Virksomheten har ansvar for at mål og eventuelle resultatkrav fastsatt i tildelingsbrev, andre vedtak og interne styringsdokumenter følges opp og gjennomføres innenfor rammen av tildelte ressurser. Virksomheten skal publisere tildelingsbrevet og eventuelle supplerende tildelingsbrev på sine nettsider så snart de er mottatt.

Det må etableres løpende informasjons- og kommunikasjonsrutiner for rapportering og gjennomføring av planer. Den interne styringen skal være innrettet slik at

1. den tilfredsstiller kravene til resultat- og regnskapsrapportering gitt av overordnet myndighet og andre
2. virksomheten har nødvendig styringsinformasjon og beslutningsgrunnlag til å følge opp aktivitetene og resultatene
3. virksomhetens økonomisystem sammen med statistikk, analyser og andre relevante systemer belyser om virksomheten drives effektivt i forhold til kostnader og fastsatte mål og resultatkrav
4. utgifter følges opp mot bevilgning for å sikre at det ikke skjer uhjemlede overskridelser og at forutsatte inntekter kommer inn

Resultatinformasjonen skal benyttes i virksomhetens planlegging for de påfølgende år.

Virksomheten skal informere departementet om vesentlige avvik i forhold til vedtatte planer eller tildelingsbrev straks virksomheten får kjennskap til slike avvik. Virksomheten skal videre fremme forslag om mulige korrigerende tiltak.

2.3.3 Rapportering

Virksomheten skal sikre at rapportering som virksomheten har plikt til å avgi etter gjeldende lover og regler, skjer i henhold til fastsatte krav og frister.

Virksomheten skal utarbeide en årsrapport til departementet. Årsrapporten skal være i henhold til krav i pkt. 1.6.1 og skal også inneholde annen informasjon av betydning for departementets styring og oppfølging.

Årsrapporten skal gi et dekkende bilde av virksomhetens resultater og gi departementet grunnlag for å vurdere måloppnåelse og ressursbruk.

Virksomhetsleder skal signere årsrapportens del I Leders beretning. Årsrapporten skal dateres. Nærmere krav til årsrapportens del VI Årsregnskap er omtalt i pkt. 3.4.

Frist for virksomhetens oversendelse av årsrapporten til departementet er 15. mars. Departementet kan fastsette en tidligere frist. Årsrapporten skal publiseres på virksomhetens nettsider innen 1. mai.

Revisjonsberetningen skal publiseres på virksomhetens nettsider innen 1. mai og sammen med årsrapporten. Dersom revisjonsberetningen ikke er mottatt innen denne fristen, skal beretningen publiseres så snart den foreligger.

Plikten til å utarbeide årsrapport gjelder ikke departementene. Det enkelte departement skal likevel utarbeide og avlegge et årsregnskap i tråd med bestemmelsene i pkt. 3.4. Årsregnskapet skal publiseres på departementets nettsider innen 15. mars. Kravet om å publisere revisjonsberetningen gjelder også for departementene.

2.4 Internkontroll

Alle virksomheter skal etablere internkontroll. Virksomhetens ledelse har ansvaret for å påse at internkontrollen er tilpasset risiko og vesentlighet, at den fungerer på en tilfredsstillende måte og at den kan dokumenteres. Internkontroll skal primært være innebygd i virksomhetens interne styring.

Internkontrollen skal forhindre styringssvikt, feil og mangler slik at

1. beløpsmessige rammer ikke overskrides og at forutsatte inntekter kommer inn
2. måloppnåelse og resultater står i et tilfredsstillende forhold til fastsatte mål og resultatkrav, og at eventuelle vesentlige avvik forebygges, avdekkes og korrigeres i nødvendig utstrekning
3. ressursbruken er effektiv
4. regnskap og informasjon om resultater er pålitelig og nøyaktig
5. virksomhetens verdier, herunder fast eiendom, materiell, utstyr, verdipapirer og andre økonomiske verdier, forvaltes på en forsvarlig måte
6. økonomistyringen er organisert på en forsvarlig måte og utføres i samsvar med gjeldende lover og regler, herunder at transaksjoner er i samsvar med underliggende forhold
7. misligheter og økonomisk kriminalitet forebygges og avdekkes

For å kunne utøve nødvendig internkontroll, skal virksomhetens ledelse etablere systemer, rutiner og tiltak med vekt på blant annet følgende faktorer:

1. ledelsens og ansattes kompetanse og holdning til resultatoppfølging og kontroll
2. identifisering av risikofaktorer som kan medvirke til at virksomhetens mål ikke nås, og korrigerende tiltak som med rimelighet kan redusere sannsynligheten for manglende måloppnåelse
3. sikring av kvaliteten i den interne styringen, herunder forsvarlig arbeidsdeling, og produktivitet i arbeidsprosessene
4. informasjonsrutiner som sikrer at viktig og pålitelig informasjon av betydning for måloppnåelsen kommuniseres på en effektiv måte
5. rutiner for behandling og lagring av vesentlig informasjon som sikrer konfidensialitet, integritet og tilgjengelighet

Internkontrollen skal også ha til hensikt å forebygge og avdekke tilsiktede handlinger utført i strid med gjeldende lover og regler, som eksempelvis manipulasjon, forfalskning eller endring av regnskapsdata eller annen resultatinformasjon. Statens personalhåndbok inneholder retningslinjer for behandling av saker om underslag, korrupsjon, tyveri, bedrageri og utroskap i statstjenesten, herunder at Riksrevisjonen skal underrettes omgående av virksomheten som oppdager mislighetene.

Dersom virksomheten benytter en tjenesteyter, jf. pkt. 2.6, skal virksomhetens internkontroll være tilpasset arbeidsdelingen mellom virksomheten og tjenesteyteren.

Ved etablering av kontrolltiltak skal virksomhetens ledelse vurdere hvilke kostnader tiltaket medfører, målt opp mot den nytte og de fordeler som kan oppnås. Alle tiltak skal forankres på overordnet nivå for å sikre relevans og fullstendighet i risikobildet. For spesielt viktige rutiner skal virksomhetens ledelse vurdere om det er behov for tilleggsrapportering og spesielle analyser for å avdekke eventuelle fremtidige avvik.

2.5 Kontroll av utgifts- og inntektstransaksjoner

2.5.1 Generelt om transaksjonskontroller

Kontroll av utgifter og inntekter er et element i internkontrollen. Kontrollen skal sikre at inntekter, anskaffelser, tilskudd og lønn og andre lønnsopplysningspliktige ytelser blir håndtert i samsvar med gjeldende lover, regler og avtaler, og at inntekter og utgifter følges opp mot virksomhetens budsjetter og fastsatte planer. På inntektsområdet er formålet videre å sikre at virksomhetens inntekter blir korrekt fastsatt, utstedt og innbetalt, og at utestående krav blir fulgt opp.

Virksomheten skal etablere systemer og rutiner som sikrer kontroll med transaksjonene (transaksjonskontroller). Dersom økonomisystemet har funksjonalitet for å utføre kontrollene angitt i pkt. 2.5, kan kontrollene utføres maskinelt.

Bekreftelse av utførte kontroller skal dokumenteres med elektroniske signaturer/aktivitetsregistreringer eller manuelle signaturer av de som utfører transaksjonskontrollene.

For store utbetalingsstrømmer kan transaksjonskontroller og dokumentasjon av disse foretas på grunnlag av rapporter (sammendrag) fra hjelpesystem eller andre deler av økonomisystemet. Tilsvarende gjelder for store innbetalingsstrømmer.

Det forutsettes at virksomheten fører kontroll med at systemløsningene fungerer som forutsatt, og at data sikres mot uautoriserte endringer, jf. pkt. 4.3.

2.5.2 Transaksjonskontroll av utgifter

2.5.2.1 Budsjettdisponeringsmyndighet

Alle disposisjoner som medfører økonomiske forpliktelser for virksomheten, skal bekreftes av en ansatt som har budsjettdisponeringsmyndighet. Virksomhetslederen har budsjettdisponeringsmyndighet og kan delegere denne helt eller delvis til ansatte på lavere nivåer. Delegert budsjettdisponeringsmyndighet kan delegeres videre.

Delegering av budsjettdisponeringsmyndighet skal være skriftlig. Virksomheten skal ha rutiner for tilfredsstillende oppfølging av delegert budsjettdisponeringsmyndighet.

Før en ansatt med budsjettdisponeringsmyndighet gjennomfører disposisjoner, skal vedkommende

1. påse at det er hjemmel for disposisjonen i stortingsvedtak, tildelingsbrev eller andre vedtak og at disposisjonen ellers er i overensstemmelse med gjeldende lover og regler
2. påse at det er budsjettmessig dekning for utbetalingen
3. påse at disposisjonen er økonomisk forsvarlig

Kravet om bekreftelse av en ansatt som har budsjettdisponeringsmyndighet, gjelder også ved utbetalinger som følge av tilbakebetaling av skatter, avgifter, gebyrer, feilinnbetalinger m.m. Kravet om slik bekreftelse gjelder videre ved utbetalinger av lån.

Bekreftelsen av utøvd budsjettdisponeringsmyndighet skal fremgå av dokumentasjon knyttet til bestilling, ordrebekreftelse, faktura, tilskuddsbrev eller lignende. Ved grupper av transaksjoner, som avrop på avtaler, delfakturering av avtaler, faste avtaler (for eksempel husleie, strøm) eller tilskudd som utbetales i flere terminer, kan dokumentasjonen knyttes til avtalen eller tilskuddsbrevet og omfatte flere enkelttransaksjoner.

Den som har budsjettdisponeringsmyndighet kan ikke godkjenne godtgjørelser eller andre utbetalinger til seg selv. Departementet kan gjøre unntak for leder av virksomhet og driftsenhet. Slike unntak skal være skriftlige og det skal etableres nødvendige kontroller.

2.5.2.2 Attestasjon

Alle utgifter skal være attestert før utbetaling kan finne sted. Attestasjonen av utgifter skal som hovedregel utføres av ansatte i virksomheten, men kan etter en vurdering av internkontrollen også utføres av innleid personell eller av en annen statlig virksomhet (jf. pkt. 2.6 romertall I).

Den som attesterer, skal påse at nødvendige attestasjonskontroller er utført og ved det bekrefte at utbetalingen skjer på korrekt grunnlag.

Kravene til kontroller som attestasjonen skal bygge på, fremgår for lønn og lønnsopplysningspliktige ytelser av pkt. 5.2.4.2, for anskaffelser av pkt. 5.3.5.2, for tilskudd av pkt. 6.3.3 og for stønader av pkt. 7.3.3.

Også ved utbetalinger som følge av tilbakebetaling av skatter, avgifter, gebyrer og feilinnbetalinger m.m. skal det attesteres for at utbetalingen skjer på korrekt grunnlag. Det samme gjelder ved utbetaling av lån til andre.

Attestasjonen skal utføres av en annen enn den som har budsjettdisponeringsmyndighet og har bekreftet disposisjonen. Ved transaksjoner som gjelder små beløp, kan vedkommende med budsjettdisponeringsmyndighet likevel også attestere. Dette kan være aktuelt eksempelvis for små anskaffelser, overtid og tjenestereiser.

Den som attesterer, kan ikke attestere godtgjørelser eller andre utbetalinger til seg selv. Innleid personell kan heller ikke attestere utbetalinger til egen arbeidsgiver.

2.5.2.3 Kontroll ved bokføring

Før bokføring kan finne sted, skal det kontrolleres at dokumentasjonen er kontert og attestert, og at disposisjonen er foretatt av en ansatt med budsjettdisponeringsmyndighet.

Kontroll av betalingsoppdrag er omtalt i pkt. 3.7.3. Nærmere krav til systemer og rutiner for transaksjoner som gjelder lønn og lønnsopplysningspliktige ytelser og anskaffelser er omtalt i kap. 5, mens tilskudd og stønader er omtalt i kap. 6 og 7.

2.5.3 Transaksjonskontroll av inntekter

Det skal normalt utføres transaksjonskontroller i tilknytning til

1. fastsettelse av krav; rettet mot identifikasjon av aktuelle krav
2. utstedelse av faktura; rettet mot korrekt fakturering av identifiserte krav
3. bokføring; rettet mot bokføringsgrunnlag, kontering og postering
4. innbetaling; av reskontroføring av innbetalinger
5. oppfølging; rettet mot innkreving og regnskapsmessig behandling av opphørte krav

Transaksjonskontrollene for overføring av data eller kontroll av elektroniske signaturer kan være maskinelle (automatiske). Stikkprøvekontroller kan gjennomføres som alternativ til fullstendig kontroll av enkeltkrav, basert på en vurdering av risiko og vesentlighet.

Nærmere krav til systemer og rutiner for inntektstransaksjoner er omtalt i kap. 5.

2.5.4 Aggregerte kontroller

I tillegg til transaksjonskontrollene, skal det utføres kontroller på aggregert nivå, som avstemminger og oppfølging av budsjett.

Ved avvik skal oppfølging omfatte kontroll av enkelttransaksjoner. Gjennomførte kontrollaktiviteter skal være dokumentert.

2.5.5 Etterkontroll

Virksomhetens ledelse skal etablere rutiner for etterkontroll, eksempelvis ved gjennomføring av nødvendig budsjettoppfølging og kontroll basert på stikkprøver. Etterkontrollen må sammen med transaksjonskontrollene tilpasses virksomhetens egenart, risiko og vesentlighet slik at man foretar en avveining mot kostnader ved kontrollene. Gjennomførte kontrollaktiviteter skal være dokumentert.

2.6 Organisering av økonomioppgaver

Virksomheten bestemmer hvordan organiseringen av økonomioppgavene legges opp, innenfor rammen av reglement for økonomistyring i staten og foreliggende bestemmelser samt eventuelle instrukser fra overordnet departement (jf. kap. 1).

Virksomhetsleder har et selvstendig ansvar for økonomioppgavene, uavhengig av om deler av oppgavene utføres av andre.

Følgende tre hovedmodeller for arbeidsdeling mellom virksomheten og andre i eller utenfor staten kan benyttes:

1. Andre statlige virksomheter under eget eller et annet departementsområde og som ikke er tjenesteyter, kan utføre deler av økonomioppgavene for virksomheten. Virksomheten skal selv ivareta utøvelse av budsjettdisponeringsmyndighet og påse korrekt fastsetting av inntektskrav, jf. pkt. 2.5. For modell I kan virksomheten etter en vurdering av internkontrollen avtale at attestasjon kan utføres av en annen statlig virksomhet.
2. Private eller statlige tjenesteytere kan gi tilgang for virksomheten til og drifte IKT-infrastruktur og økonomisystem, herunder hjelpesystemer for elektronisk fakturering. Virksomheten skal sende skriftlig melding til Finansdepartementet når slik avtale er inngått, herunder om hvilke tjenester avtalen omfatter.
3. Private eller statlige tjenesteytere godkjent av Finansdepartementet kan utføre integrerte lønns- og økonomitjenester for virksomheten. Virksomheten skal selv ivareta utøvelse av budsjettdisponeringsmyndighet og påse korrekt fastsetting av inntektskrav samt ivareta attestasjon av utgifter, jf. pkt. 2.5.

For modell I og modell III kan virksomheten etter en vurdering av internkontrollen avtale at en annen statlig virksomhet eller en statlig tjenesteyter gis fullmakt til å autorisere betalingsoppdrag på vegne av virksomheten.

Alle modeller skal reguleres i en avtale for blant annet å sikre klare oppgave- og ansvarsforhold, avtalt tjenestekvalitet og tilstrekkelig datasikkerhet.

Arbeidsdelingen mellom virksomheten og tjenesteyter skal være lagt opp på en slik måte at virksomheten har tilstrekkelig innsikt og kompetanse for å ivareta sitt selvstendige ansvar for økonomistyringen, samt grunnlag og dokumentasjon for å utføre de oppgavene som virksomheten selv er pålagt å utføre (jf. ovenfor). Arbeidsdeling som fraviker kravene i reglementet og bestemmelsene, må godkjennes av Finansdepartementet.

2.7 Evalueringer

Virksomheten skal sørge for at det gjennomføres evalueringer for å få informasjon om effektivitet, måloppnåelse og resultater innenfor hele eller deler av virksomhetens ansvarsområde og aktiviteter. Evalueringer kan vektlegge innsatsfaktorer, aktiviteter, produkter og tjenester eller effekter i forhold til brukere og samfunn.

Frekvens og omfang av evalueringer skal bestemmes ut fra virksomhetens egenart, risiko og vesentlighet. Behovet må vurderes opp mot kvaliteten på og omfanget av virksomhetens øvrige rapportering internt og til overordnet departement.

Evalueringer kan utføres av interne eller eksterne fagmiljøer.

Virksomheten skal sørge for at evalueringer som er gjort tilgjengelig for allmennheten, blir avlevert til Nasjonalbiblioteket i tråd med pliktavleveringslova § 4. Avlevering i henhold til pliktavleveringslova § 4 er ivaretatt ved digital avlevering eller innsamling til kudos.dfo.no.