Internkontroll är de processer och rutiner som ger rimlig säkerhet för att verksamheten når sina mål, rapporteringen är tillförlitlig och tillämpliga regler följs. Det handlar om att bygga in kontroller i vardagen – som att attestera fakturor eller styra åtkomst till system – för att förebygga och upptäcka fel och fusk.
Nedan går vi igenom hur du bygger upp en internkontroll med hjälp av COSO-modellen. Vi tittar också på vad ett internkontrollsystem behöver hantera när kontrollerna blir för många för ett kalkylblad.
Definition av internkontroll
Internkontroll hjälper ett företag att förebygga misstag och upptäcka brister i tid. Det handlar om hur ni arbetar och fattar beslut, både i vardagen och i ledningen. Arbetet är en del av GRC, som står för styrning, riskhantering och regelefterlevnad.
Ett internkontrollsystem är din verksamhets systematiska arbete för att:
- Nå verksamhetens mål effektivt genom målstyrning
- Säkerställa korrekt ekonomisk rapportering och transparent redovisning
- Stödja regelefterlevnad inom områden som GDPR, NIS2 och bokföringslagen
- Skydda tillgångar och information från förluster
I praktiken handlar det om ett ramverk av processer, rutiner och kontroller som tillsammans skapar trygghet i verksamheten. För företag med informationssäkerhetskrav kan internkontrollen också integreras med standarder som ISO 27001.
När ska man börja med internkontroll?
För riktigt små företag räcker det att börja med grundläggande egenkontroll. Ha koll på vem som får godkänna betalningar, dokumentera de viktigaste rutinerna och spara alla viktiga avtal på ett ställe.
Behovet ökar när fler personer, system eller leverantörer delar på arbetet. Anpassa kontrollerna efter risk och komplexitet, inte efter en påstådd gräns vid 20 eller 50 anställda. Ett litet bolag med känsliga betalningsflöden kan behöva starkare kontroller än en större verksamhet med enklare processer.
Exempel: skilj beställning från attest, bekräfta ändrade leverantörskonton via en känd kontakt och dokumentera behörighetsgranskningar. Ge varje kontroll en ansvarig, ett intervall och ett underlag som visar resultatet.
Styrelsens ansvar för ekonomisk kontroll i ett aktiebolag följer av aktiebolagslagen 8 kap. 4 §. Vilka andra lagkrav som gäller behöver bedömas separat.
Hur bygger man en effektiv internkontroll?
Börja enkelt och utgå från er verksamhet. Samla nyckelpersoner och identifiera era viktigaste processer. Var finns riskerna? Var skulle fel få störst konsekvenser? Fokusera först på det mest affärskritiska och dokumentera dessa risker i ett riskregister.
Många utgår sedan från COSO-modellen för sin internkontroll, som beskrivs i nästa avsnitt.
Praktiskt exempel: kontroll av ändrade betalningsuppgifter
Anta att ni får ett mejl om att en leverantör har bytt bankkonto. Risken är att ni betalar till en bedragare. En kontroll kan vara att ringa en redan känd kontakt innan ändringen godkänns. Använd kontaktuppgifterna i ert register, inte numret i mejlet.
Beskriv kontrollen så att även en ersättare kan utföra den:
| Del | Exempel på dokumentation |
|---|---|
| När | Vid varje begäran om att ändra betalningsuppgifter |
| Ansvar | Ekonomi verifierar uppgifterna; en annan utsedd person godkänner ändringen |
| Underlag | Datum, vem som kontaktades, kontrollens resultat och vem som godkände |
| Vid avvikelse | Pausa ändringen och lyft frågan till ekonomiansvarig |
| Uppföljning | Granska ett urval av ändringar för att se om kontrollen följdes |
Skilj på att kontrollen utfördes och att resultatet var godkänt. Ett samtal där uppgifterna inte kunde bekräftas är en utförd kontroll med en avvikelse. Dokumentera då nästa åtgärd, ansvarig och datum för uppföljning. Så blir riskbedömningen ett stöd för det dagliga arbetet.
COSO-modellen – fem komponenter för internkontroll
COSO-modellen (Committee of Sponsoring Organizations) är ett etablerat ramverk för internkontroll. Den skapar struktur i arbetet genom fem samverkande komponenter, ofta illustrerade som "COSO-kuben":
- Kontrollmiljö: Fastställer organisationens ton genom värderingar, ledarskap och ansvar.
- Riskbedömning: Kartlägger och värderar risker som kan hindra verksamheten från att nå sina mål.
- Kontrollaktiviteter: Skapar konkreta rutiner och kontroller som förebygger identifierade risker.
- Information och kommunikation: Säkerställer att rätt personer får rätt information vid rätt tidpunkt.
- Uppföljning: Utvärderar löpande om kontrollerna fungerar och ger önskad effekt.
COSO-ramverket används både för finansiell internkontroll och som grund för bredare GRC-arbete. Anpassa omfattningen till verksamheten, men låt de fem komponenterna samverka. I exemplet ovan behövs ett tydligt mandat, en bedömd risk, en kontroll, en känd väg för att rapportera avvikelser och uppföljning av resultatet. Fler dokument gör inte kontrollen bättre om någon av dessa delar saknas.
Försök också att göra uppföljningen till en naturlig del av era befintliga möten. Dokumentera avvikelser och förbättringar, eftersom det visar värdet av arbetet och hjälper er att utvecklas. När ni växer kan ni gradvis bygga ut systemet.
Vem ska ansvara för vad i en internkontroll?
En effektiv internkontroll bygger på definierade ansvarsområden genom hela organisationen. På den högsta nivån har styrelse och ledning det övergripande ansvaret. De sätter strategin och riskaptiten för internkontrollen, godkänner policyer och ser till att resurser finns tillgängliga för genomförandet.
Mellanchefer och avdelningsansvariga är nyckelpersoner i själva genomförandet. De ansvarar för att utveckla rutiner och kontrollaktiviteter inom sina områden, ge medarbetarna rätt kompetens och övervaka att kontroller genomförs enligt plan.
Effektiv samverkan mellan nivåerna kräver följande delar:
- Dokumenterade rapporteringsvägar med tydliga eskaleringsregler.
- Regelbundna avstämningsmöten mellan ansvarsnivåerna.
- Systematisk hantering av avvikelser och förbättringsförslag.
- Årlig utvärdering av ansvarsfördelningen.
På den operativa nivån utför sedan medarbetarna de dagliga kontrollaktiviteterna. De dokumenterar sitt arbete, rapporterar avvikelser och bidrar med förbättringsförslag baserat på sin praktiska erfarenhet. Deras aktiva deltagande är avgörande för systemets utveckling.
Vad är ett internkontrollsystem?
Ett internkontrollsystem är helheten av era kontroller, ansvar och uppföljning – inte en programvara. Men när antalet kontroller växer behöver ni ett verktyg som håller ihop dem. Fyra saker måste då hanteras på ett ställe:
- Kontrollregistret: Vilka kontroller som finns, vilken risk var och en adresserar och vem som äger den.
- Utförandet: När varje kontroll senast genomfördes, av vem och med vilket resultat.
- Avvikelserna: Vad som gick fel, vilken åtgärd som beslutats och om den är stängd.
- Bevisen: Underlaget som visar en revisor att kontrollen faktiskt utfördes, inte bara att den var planerad.
Även Excel och delade mappar kan hålla ihop dessa delar om varje kontroll har ett ID och länkar till rätt underlag. Pröva att följa en kontroll från risk till resultat. Kan ni se vem som utförde den, vad den visade och om en avvikelse åtgärdades? Om svaret kräver att ni letar i flera personers mejl behöver strukturen förbättras.
Det finns ingen fast gräns vid ett visst antal kontroller. Överväg ett verktyg när ansvar, status eller underlag inte längre går att följa utan omfattande manuellt arbete. ChainSec kan stödja delar av internkontrollen med ett riskregister, kopplade åtgärder och uppladdade underlag. Kontrollera vilka moment verktyget stödjer och hur ni hanterar resten.
Viktigast är ändå inte verktyget. Ett internkontrollsystem som ingen underhåller ger sämre skydd än fem kontroller som genomförs varje månad, utan undantag.
Vanliga frågor
Vad är COSO-modellen?
COSO är en modell för internkontroll, framtagen av Committee of Sponsoring Organizations. Modellen har fem delar som hör ihop: kontrollmiljö, riskbedömning, kontrollaktiviteter, information och kommunikation samt uppföljning. De visas ofta i en bild som kallas COSO-kuben. Modellen används både för finansiell rapportering och för att hantera andra risker.
Är internkontroll ett lagkrav?
Kraven beror på organisationsform och verksamhet. Enligt aktiebolagslagen 8 kap. 4 § ska styrelsen se till att bokföring, medelsförvaltning och bolagets ekonomiska förhållanden kontrolleras på ett betryggande sätt. GDPR och NIS2 ställer andra krav inom sina tillämpningsområden. Det finns inget generellt krav på att köpa ett särskilt internkontrollsystem.
Vad är skillnaden mellan internkontroll och intern revision?
Internkontroll är de processer och rutiner som alla i organisationen arbetar med dagligen för att säkerställa att verksamheten fungerar som den ska. Intern revision är en oberoende granskningsfunktion som utvärderar om internkontrollen faktiskt fungerar. Tänk på det som att internkontroll är "att göra rätt saker", medan intern revision är "att kontrollera att rätt saker görs".
Vilka verktyg behövs för internkontroll?
I början räcker ofta enkla verktyg som Excel, checklistor och delad dokumentation. När verksamheten växer kan en plattform som ChainSec underlätta hanteringen av riskregister, kontrollaktiviteter och uppföljning. Viktigast är dock inte verktyget, utan att processerna faktiskt följs.
När behövs ett internkontrollsystem?
Behovet uppstår när uppföljningen inte längre går att överblicka manuellt. Bedöm behovet utifrån risker, ansvarsfördelning och mängden underlag; det finns ingen allmän gräns vid 30 kontroller. Signalerna är tydliga: kontroller som ingen utförde upptäcks först vid revisionen, och bevisen ligger utspridda i mejl och delade mappar.
