Riktlinjer för internrevisionen

1 Inledning

Som Högskoleförordningen (1993:100 kap1 §5) föreskriver bedrivs internrevisionen vid Uppsala universitet i enlighet med internrevisionsförordningen (2006:1228). Därutöver styrs internrevisionens verksamhet av Ekonomistyrningsverkets (ESV) allmänna råd och föreskrifter till denna förordning samt god internrevisions- och internrevisorssed.

Riktlinjer för internrevisionen vid Uppsala universitet beslutas, i enlighet med 10 § internrevisions-förordningen (2006:1228), av konsistoriet. Riktlinjerna ska uppdateras varje år på förslag av internrevisionen.

2 Internrevisionens uppdrag

Internrevisionen ska granska och lämna förslag till förbättringar av universitetets process för intern styrning och kontroll. Internrevisionen ska vidare bidra till att Uppsala universitet når sina mål genom att tillföra konsistoriet bedömningsunderlag som bygger på en systematisk och strukturerad metod att utvärdera den interna styrningen och kontrollen i verksamheten. I internrevisionens roll ingår också att, inom kompetensområdet, lämna råd och stöd till både ledning och verksamhet. Internrevisionen är en fristående avdelning som direktrapporterar till konsistoriet men är administrativt placerad direkt under universitetsdirektören.

2.1 Ansvar och befogenheter

Internrevisionen svarar, tillsammans med verksamheten i övrigt, för att konsistoriet får underlag för att utöva sitt ansvar enligt 3 § myndighetsförordningen (2007:515), 2 kap. 2 § högskolelagen (1992:1434) samt 2 kap. 2 § i högskoleförordningen (1993:100).

Internrevisionen har rätt att ta del av information och dokument i den omfattning som internrevisionen bedömer nödvändig för att kunna fullgöra sina uppdrag. Om internrevisionen varit förhindrad att ta del av information som är väsentlig för ett uppdrags genomförande ska internrevisionen upplysa om det i sin rapportering och ange hur det kan ha begränsat granskningen.

Internrevisionens verksamhet avlastar inte någon funktion inom Uppsala universitet.

Chefen för internrevisionen har enligt delegation från konsistoriet rätt att inom sitt sakområde ingå avtal upp till ett belopp om 250 000 kr per avtal för universitetet (UFV 2025/165).

2.2 Tillsättning och lönesättning

Chefen för internrevisionen anställs i Uppsala universitet efter beslut av konsistoriet. Internrevisionschefen ska vara anställd på chefslöneavtal.

Konsistoriets ordförande beslutar om lön för chefen för internrevisionen. Samråd bör ske med rektor avseende lönestrukturen inom universitetet innan beslut fattas. Konsistoriets ordförande kan uppdra åt revisionsutskottets ordförande att hålla medarbetarsamtal med chefen för internrevisionen. Medarbetarsamtalen dokumenteras enligt gängse rutin inom Uppsala universitet.

Budgettilldelning för internrevisionen framgår av den samlade verksamhetsplaneringen för gemensam verksamhet vid Uppsala universitet. Det innebär att det ytterst är konsistoriet som beslutar om nödvändiga resurser för att revisionsuppdraget ska kunna genomföras.

3 Revisionsutskottet

Konsistoriet har inrättat ett revisionsutskott och fastställt arbetsordning för detta. Chefen för internrevisionen är sammankallande för revisionsutskottets möten och för även protokoll vid mötena. Internrevisionens årliga riskanalys, rapporter och årsrapporter ska beredas i revisionsutskottet.

4 Arbetssätt

4.1 Målsättning

Internrevisionen ska utifrån en analys av verksamhetens risker självständigt granska om ledningens interna styrning och kontroll är utformad så att Uppsala universitet med en rimlig säkerhet fullgör sina uppgifter, uppnår verksamhetens mål och att verksamheten bedrivs:

• effektivt,
• enligt gällande rätt och de förpliktelser som följer av Sveriges medlemskap i Europeiska unionen,
• redovisas tillförlitligt samt
• hushållar väl med statens medel.

Dessutom ska internrevisionen kunna bistå rektor, universitetsledningen och konsistoriet med råd och stöd men kan också lämna råd och stöd till andra delar av universitetet. Sådana rådgivningsuppdrag kan utföras om de ligger inom internrevisionens kompetensområde. Större rådgivningsuppdrag påkallade av någon inom organisationen ska inkluderas i internrevisionens årsplan och godkännas av konsistoriet medan rådgivning som kan liknas vid tillfälliga samråd, vars tidsåtgång är liten, ingår i det normala arbetet.

4.2 Riskanalys

Internrevisionens riskanalys ska utgå från verksamhetens egen verksamhetsplanering och analys av de risker som kan hota verksamhetsmålen. I analysen ingår att bedöma risken för korruption, otillbörlig påverkan, bedrägeri eller annan oegentlighet. Internrevisionen bör, inför riskanalysen, efterfråga rektors, universitetsdirektörens och andra ledande personers uppfattning om risker inom deras respektive verksamhetsområden.

Riskanalysen ska skriftligen upprättas i samråd med revisionsutskottet, i möjligaste mån enligt samma metod och med samma begrepp som verksamheten i övrigt använder. En sådan skriftlig riskanalys ska upprättas varje år. Internrevisionens riskanalys blir på det viset ett komplement till den övriga verksamhetens rapportering av riskerna.

4.3 Revisionsplan

Internrevisionen ska, med utgångspunkt från den egna riskanalysen, varje år föreslå en revisionsplan för nästkommande revisionsår. Revisionsåret sträcker sig från den första mars till den sista februari nästkommande kalenderår. Revisionsplanen ska beredas i revisionsutskottet innan den fastställs av konsistoriet vid konsistoriets första möte under kalenderåret.

Om det under året uppkommer behov av större avsteg från fastställd revisionsplan kan konsistoriet ändra en revisionsplan under löpande kalenderår. Med större avsteg avses att en eller flera aktiviteter i beslutad revisionsplan utgår eller att aktivitet tillkommer som ska rapporteras till konsistoriet. Revisionsutskottet kan godkänna mindre avsteg från planen.

Revisionsutskottet ska löpande hållas underrättad om revisionsplanens genomförande.

4.4 Genomförande

Arbetet ska bedrivas på ett systematiskt, objektivt och kompetent sätt i enlighet med svenska riktlinjer för yrkesmässig internrevision, antagna av branschorganisationen Internrevisorerna. Det innebär att internrevisionen ska arbeta objektivt, oberoende, professionellt, med stor integritet och enligt vedertagna arbetsmetoder. Det innebär dessutom att internrevisionen ska kvalitetssäkra sin egen verksamhet genom intern och extern kvalitetsbedömning.

Den goda seden och kravet på oberoende innebär att arbetet som internrevisor inte ska förenas med operativt deltagande i den verksamhet som revideras. I begreppet god sed ingår även att dokumentera den granskning som genomförs på sådant sätt att underlag för bedömningar kan spåras.

Internrevisionen har rätt att avropa arbeten av externt upphandlad revisionsfirma inom ramen för sitt uppdrag och fastställd budget. Upphandling ska ske i samråd med revisionsutskottet.

4.5 Rapportering

Avslutade granskningar enligt revisionsplanen rapporteras skriftligt i form av iakttagelser, slutsatser och rekommendationer till förändringar och förbättringar. Av rapporterna ska tydligt framgå vad som har granskats, hur och när granskningen har utförts och vilken omfattning den haft.

Innan en rapport läggs fram ska, så långt det är möjligt och lämpligt, den eller de som ansvarar för den granskade verksamheten få rapporten som utkast och ges möjlighet att påpeka eventuella sakfel och missförstånd. Internrevisionen ska säkerställa att sådana sakfel och missförstånd korrigeras i den slutliga rapporten. Respektive rapport ska sedan föredras för rektor och universitetsdirektören samt sändas till rektor för besvarande. Den besvarade rapporten behandlas sedan i revisionsutskottet som i sin tur beslutar om rapporten ska föredras muntligen vid nästkommande konsistoriemöte. Alla rapporter ska dock biläggas konsistoriematerialet oberoende av om de föredras eller inte.

Rådgivningsuppdrag avrapporteras till ansvarig chef. Även sådan rapportering ska i normalfallet vara skriftlig. Om internrevisionschefen bedömer att genomfört rådgivningsuppdrag är av sådan principiell vikt att ärendet bör föredras för konsistoriet kan så ske efter samråd med revisionsutskottet och konsistoriets ordförande.

Internrevisionen ska lämna en sammanfattande årsrapport till konsistoriet. I rapporten ska avvikelser från beslutad revisionsplan kommenteras. Detsamma gäller eventuella rekommendationer som verksamheten beslutat att inte genomföra.

Om internrevisionen upptäcker allvarliga missförhållanden eller brister, som har kunnat verifieras, ska konsistoriets ordförande, revisionsutskottets ordförande och rektor omedelbart informeras.

Om det kan antas att en uppgift i en rapport omfattas av sekretess ska en notering göras om detta i enlighet med 5 kap. 5 § offentlighets och sekretesslagen (2009:400).

4.6 Uppföljning

Internrevisionen ska systematiskt följa upp att beslutade åtgärder vidtas med anledning av rapporterna. Uppföljningen ska inkluderas i årsrapporten. Rektor ska informeras om åtgärder som inte vidtagits inom utlovad tid. Baserat på riskanalys bör internrevisionen genomföra fördjupade uppföljningar, vilka inte bara granskar huruvida beslutade åtgärder genomförts utan även om avsedd effekt uppnåtts.

5 Samordning

Internrevisionen bör ha en kontinuerlig dialog med universitetsförvaltningens avdelningar för gemensamt erfarenhetsutbyte. Internrevisionen bör också sträva efter en kontinuerlig dialog med Riksrevisionen för informationsutbyte och för att, om möjligt, samordna aktiviteterna. Därmed undviks i möjligaste mån dubbelarbete och extra belastning på verksamheten.

Enligt 8 § internrevisionsförordningen får en myndighet samordna sin internrevision med en annan myndighet. I de fall det bedöms vara till gagn för universitetet kan avtal om samordning av internrevision tecknas med andra myndigheter. Sådant avtal ska tecknas av rektor och vara tidsbegränsat och godkänt av revisionsutskottet.

6 Kompetens

Internrevisorer ska besitta de kunskaper, färdigheter och annan kompetens som behövs för att kunna fullgöra sitt uppdrag. Internrevisionen ska fortlöpande utveckla sin yrkeskompetens utifrån upprättade kompetensutvecklingsplaner. Internrevisorer som är certifierade ska ges utrymme för tillräcklig kompetensutveckling för att kunna upprätthålla certifieringen. Internrevisionen ska ha tillräcklig kunskap för att kunna identifiera risk för korruption, otillbörlighet, bedrägerier och andra oegentligheter. Utredning av dessa åligger linjeorganisationen och inte internrevisionen.

7 Resurser

Chefen för internrevisionen ska genast meddela revisionsutskottet om det saknas resurser eller kompetens för att fullgöra det revisionsarbete som planerats.

Extern expertis ska kunna anlitas när internrevisionen anser att det behövs. Internrevisionsplanen ska innehålla uppgift om vilka planerade insatser som kommer att genomföras internt och för vilka som utomstående expertis kommer att anlitas.

I uppdragsavtalet mellan Uppsala universitet och revisionskonsultföretaget ska krav på revisionskonsultens oberoende i förhållande till granskningsuppdraget samt krav på leveranser, arbetsmetoder, dokumentation och andra villkor tydligt regleras. Det ska också framgå av avtalet med inhyrd expertis att Uppsala universitet äger det underlagsmaterial som ligger till grund för revisionskonsultens arbetsresultat.

8 Kvalitetssäkring

8.1 Intern kvalitetssäkring

I syfte att skapa en konsistent revisionsprocess i överensstämmelse med god internrevisionssed finns en metodhandbok för internrevisionen. Metodhandboken ska innehålla de bestämmelser som reglerar internrevisionen, mallar, checklistor och annan information som kan vara till hjälp i revisionsprocessen. Metodhandboken ska uppdateras löpande.

8.1.1 Kvalitetsuppföljning

Chefen för internrevisionen ansvarar för att övriga medarbetares granskningar följer den metod internrevisionen beskriver i den interna metodhandboken.

Chefen för internrevisionen ska se till att det arbete som utförs av revisionskonsulter också finns dokumenterat inom internrevisionen. Rapportering från en revisionskonsult ska vara kvalitetssäkrad innan rapporten lämnas till Uppsala universitet. Internrevisionschefen ska kvalitetssäkra att alla villkor i uppdragsavtalet uppfylls.

8.1.2 Feed-back från granskade enheter

Internrevisionen ska årligen inhämta den granskade verksamhetens kommentarer när det gäller uppdragets utförande. Kommentarerna ska dokumenteras och tjäna som underlag för kvalitetsutveckling av internrevisionens verksamhet.

8.1.3 Tidsuppföljning

Internrevisionens arbetstid mäts internt inom avdelningen i den mån det anses viktigt att följa upp tiden.

Revisionskonsulters arbetstid kontrolleras i så mån att ett takpris sätts för upphandlingen motsvarande den tidsåtgång internrevisionen bedömer att uppdraget kräver multiplicerat med överenskommet timpris i avtalet. Faktureringen från revisionskonsulter ska följas upp mot avtalet. Felaktig fakturering ska omedelbart påtalas.

8.1.4 ESV:s årliga utvärdering av statlig internrevision

Resultatet av ESV:s årliga utvärdering av den statliga internrevisionen får enligt ESV användas som en intern kvalitetsutvärdering av internrevisionsfunktionen. ESV:s rapportering avseende den årliga självutvärderingen ska föredras i revisionsutskottet av internrevisionen.

8.2 Extern kvalitetsutvärdering

Internrevisionens arbetsmetoder, kompetens och plats i organisationen ska kvalitetssäkras av en extern part minst vart femte år. Alternativt kan en intern kvalitetssäkring dokumenteras enligt samma metod varpå en av kvalificerad extern oberoende granskare validerar det interna arbetet. Internrevisionen ska, i samråd med revisionsutskottet, ta initiativet till en extern utvärdering.