Internkontroller

Internkontroller är de processer, policys och rutiner som finns i en organisation för att uppnå tillförlitlig finansiell rapportering, efterlevnad av lagar och regler samt effektiv verksamhet. De är en integrerad del av styrning och riskhantering och syftar till att förebygga och upptäcka fel, oegentligheter och brister i processer och system.

En vanlig referensmodell är COSO:s ramverk, som beskriver fem komponenter: kontrollmiljö, riskbedömning, kontrollaktiviteter, kommunikation och information samt övervakning. Kontrollmiljön innebär bland annat etiska värderingar och tydliga ansvarsroller. Riskbedömning identifierar vilka områden som kräver särskild kontroll.

Kontrollaktiviteterna består av förebyggande och detekterande åtgärder, exempelvis behörighetsstyrning, separation av uppgifter, godkännandeprocesser, avstämningar och fysiska skydd av tillgångar. I moderna organisationer innefattas även IT-kontroller som åtkomsthantering, förändringskontroll och säkerhet kring data och system.

Ledningen ansvarar för att designa och driva internkontroller, medan styrelsen eller revisionsfunktionen har uppsikt och säkerställer efterlevnad. Internrevisionen granskar kontinuerligt kontrollernas effektivitet, och extern revision bedömer kontrollernas betydelse i samband med finansiell redovisning.

Effektiviteten i internkontroller ger rimlig tillförlitlighet, men är inte ofelbar. Fel kan bero på mänskliga misstag, brister i design eller samverkan mellan olika faktorer. Regelbunden utvärdering och förbättring av kontrollerna är vanliga inslag. I svensk kontext diskuteras ofta internkontroller i årsredovisningen och bolagsstyrningsrapporter.