Internkontroll och internkontrollsystem: COSO-modellen förklarad

Internkontroll är de processer och rutiner ni använder för att säkerställa att verksamheten når sina mål och att rapporteringen är tillförlitlig. Det handlar om att bygga in "checkpoints" i vardagen – som att attestera fakturor eller behörighetsstyra system – för att förebygga fel och fusk innan de sker.

Nedan går vi igenom hur du bygger upp en internkontroll med hjälp av COSO-modellen. Vi tittar också på vad ett internkontrollsystem behöver hantera när kontrollerna blir för många för ett kalkylblad.

Definition av internkontroll

Internkontroll styr hur ett företag arbetar, från dagliga rutiner till övergripande beslutsprocesser inom GRC (Governance, Risk och Compliance). Det skapar ordning och säkerhet genom att förebygga misstag och upptäcka avvikelser innan de påverkar verksamheten.

Ett internkontrollsystem är din verksamhets systematiska arbete för att:

• Nå verksamhetens mål effektivt genom målstyrning
• Säkerställa korrekt ekonomisk rapportering och transparent redovisning
• Garantera regelefterlevnad inom områden som GDPR, NIS2 och bokföringslagen
• Skydda tillgångar och information från förluster

I praktiken handlar det om ett ramverk av processer, rutiner och kontroller som tillsammans skapar trygghet i verksamheten. För företag med informationssäkerhetskrav kan internkontrollen också integreras med standarder som ISO 27001.

När ska man börja med internkontroll?

För riktigt små företag räcker det att börja med grundläggande egenkontroll. Ha koll på vem som får godkänna betalningar, dokumentera de viktigaste rutinerna och spara alla viktiga avtal på ett ställe.

När företaget växer till över 20 anställda blir behovet av systematiskt förbättringsarbete mer påtagligt - fler personer hanterar pengar och överblicken minskar naturligt med tiden.

Litet vs Stort företag

För större företag med över 50 anställda ökar behovet för en strukturerad intern styrning. Då behövs en väsentlighetsanalys för att identifiera kritiska processer som kräver särskild uppsikt. Ett tillverkande företag med många leverantörer behöver ofta mer omfattande system än ett konsultbolag, men principen är densamma - anpassa efter verksamhetens behov.

Vänta inte tills något går fel. Tyvärr börjar många först när en kund kräver det vid en upphandling, men då har möjligheter redan missats. Ett proaktivt arbete med internkontroll gör företaget mer attraktivt för partners och kunder. Det visar att ni tar risker och kvalitet på allvar.

Hur bygger man en effektiv internkontroll?

Börja enkelt och utgå från er verksamhet. Samla nyckelpersoner och identifiera era viktigaste processer. Var finns riskerna? Var skulle fel få störst konsekvenser? Fokusera först på det mest affärskritiska och dokumentera dessa risker i ett riskregister.

Många utgår sedan från COSO-modellen för sin internkontroll, som beskrivs i nästa avsnitt.

COSO-modellen – fem komponenter för internkontroll

COSO-modellen (Committee of Sponsoring Organizations) är den mest etablerade internationella standarden för internkontroll. Den skapar struktur i arbetet genom fem samverkande komponenter, ofta illustrerade som "COSO-kuben":

• Kontrollmiljö: Fastställer organisationens ton genom värderingar, ledarskap och ansvar.
• Riskbedömning: Kartlägger och värderar risker som kan hindra verksamheten från att nå sina mål.
• Kontrollaktiviteter: Skapar konkreta rutiner och kontroller som förebygger identifierade risker.
• Information och kommunikation: Säkerställer att rätt personer får rätt information vid rätt tidpunkt.
• Uppföljning: Utvärderar löpande om kontrollerna fungerar och ger önskad effekt.

COSO-ramverket används både för finansiell internkontroll och som grund för bredare GRC-arbete. För mindre företag behöver du sällan börja med alla dessa komponenter på en gång. Börja med enkla rutiner när företaget är litet - det ger en smidigare övergång när verksamheten växer och kraven ökar. Ett företag som tidigt byggt grundläggande struktur har mycket lättare att utveckla en fullskalig internkontroll när behovet uppstår.

Försök också att göra uppföljningen till en naturlig del av era befintliga möten. Dokumentera avvikelser och förbättringar, eftersom det visar värdet av arbetet och hjälper er att utvecklas. När ni växer kan ni gradvis bygga ut systemet.

Vem ska ansvara för vad i en internkontroll?

En effektiv internkontroll bygger på definierade ansvarsområden genom hela organisationen. På den högsta nivån har styrelse och ledning det övergripande ansvaret. De sätter strategin och riskaptiten för internkontrollen, godkänner policies och ser till att resurser finns tillgängliga för implementeringen.

Mellanchefer och avdelningsansvariga är nyckelpersoner i själva genomförandet. De ansvarar för att utveckla rutiner och kontrollaktiviteter inom sina områden, ge medarbetarna rätt kompetens och övervaka att kontroller genomförs enligt plan.

Effektiv samverkan mellan nivåerna kräver följande delar:

• Dokumenterade rapporteringsvägar med tydliga eskaleringsregler.
• Regelbundna avstämningsmöten mellan ansvarsnivåerna.
• Systematisk hantering av avvikelser och förbättringsförslag.
• Årlig utvärdering av ansvarsfördelningen.

På den operativa nivån utför sedan medarbetarna de dagliga kontrollaktiviteterna. De dokumenterar sitt arbete, rapporterar avvikelser och bidrar med förbättringsförslag baserat på sin praktiska erfarenhet. Deras aktiva deltagande är avgörande för systemets utveckling.

Vad är ett internkontrollsystem?

Ett internkontrollsystem är helheten av era kontroller, ansvar och uppföljning – inte en programvara. Men när antalet kontroller växer behöver ni ett verktyg som håller ihop dem. Fyra saker måste då hanteras på ett ställe:

• Kontrollregistret: Vilka kontroller som finns, vilken risk var och en adresserar och vem som äger den.
• Utförandet: När varje kontroll senast genomfördes, av vem och med vilket resultat.
• Avvikelserna: Vad som gick fel, vilken åtgärd som beslutats och om den är stängd.
• Bevisen: Underlaget som visar en revisor att kontrollen faktiskt utfördes, inte bara att den var planerad.

Excel klarar de två första punkterna. Det är uppföljningen och bevisen som brukar brista: kontroller som ingen genomförde upptäcks först vid revisionen, och underlaget ligger utspritt i mejl och delade mappar.

Gränsen går ungefär vid 30 återkommande kontroller, eller när fler än en person ansvarar för uppföljningen. Då blir påminnelser och spårbarhet mer värda än flexibiliteten i ett kalkylblad. En plattform som ChainSec samlar kontrollerna med riskregistret och åtgärdshanteringen, så att en avvikelse leder till en åtgärd med en ansvarig och ett datum.

Viktigast är ändå inte verktyget. Ett internkontrollsystem som ingen underhåller ger sämre skydd än fem kontroller som genomförs varje månad, utan undantag.

Vanliga frågor om internkontroll

Vad är COSO-modellen?

COSO-modellen är ett ramverk för internkontroll framtaget av Committee of Sponsoring Organizations. Den delar in internkontroll i fem samverkande komponenter: kontrollmiljö, riskbedömning, kontrollaktiviteter, information och kommunikation samt uppföljning. Komponenterna illustreras ofta som "COSO-kuben" och används både för finansiell rapportering och bredare riskhantering.

Är internkontroll ett lagkrav?

Ja. Som aktiebolag är styrelsen enligt lag skyldig att ha kontroll över bolagets ekonomi och organisation, så att bokföring, pengar och andra viktiga ekonomiska delar hanteras på ett säkert och kontrollerat sätt. För större företag ställer årsredovisningslagen högre krav på dokumentation. Även regelverk som GDPR och NIS2 kräver lämpliga tekniska och organisatoriska åtgärder, vilket i praktiken innebär någon form av internkontroll.

Vad är skillnaden mellan internkontroll och intern revision?

Internkontroll är de processer och rutiner som alla i organisationen arbetar med dagligen för att säkerställa att verksamheten fungerar som den ska. Intern revision är en oberoende granskningsfunktion som utvärderar om internkontrollen faktiskt fungerar. Tänk på det som att internkontroll är "att göra rätt saker", medan intern revision är "att kontrollera att rätt saker görs".

Vilka verktyg behövs för internkontroll?

I början räcker ofta enkla verktyg som Excel, checklistor och delad dokumentation. När verksamheten växer kan en plattform som ChainSec underlätta hanteringen av riskregister, kontrollaktiviteter och uppföljning. Viktigast är dock inte verktyget, utan att processerna faktiskt följs.

När behövs ett internkontrollsystem?

Behovet uppstår när uppföljningen inte längre går att överblicka manuellt. En tumregel är omkring 30 återkommande kontroller, eller när fler än en person ansvarar för att kontrollerna genomförs. Signalerna är tydliga: kontroller som ingen utförde upptäcks först vid revisionen, och bevisen ligger utspridda i mejl och delade mappar.