Når revisoren gør ledelsen opmærksom på uregelmæssigheder, er det ledelsens opgave at reagere. Første skridt er at forstå, hvad revisoren har set, og at sikre de data, der ligger bag, før nogen begynder at rette. Derefter skal ledelsen beslutte, hvem der undersøger hvad. Revisoren ser på tallene og regnskabet. En IT-sagkyndig ser på, hvem der har gjort hvad i systemerne, og hvordan det kan dokumenteres. De to supplerer hinanden.
Hvad revisoren typisk har set
Revisorer finder uregelmæssigheder på mange måder. Det kan være:
- posteringer, der er ændret eller slettet uden forklaring,
- bilag, der mangler eller ser forkerte ud,
- betalinger, der ikke kan forklares med fakturaer eller aftaler,
- afstemninger, der ikke går op,
- transaktioner med nærtstående parter, der ikke er oplyst,
- mønstre, der tyder på, at kontroller er sat ud af kraft.
Revisoren kan også have fået et tip eller have observeret noget under et besøg. Det er vigtigt at forstå, hvad revisoren faktisk har set, og hvad der er revisorens vurdering. Bed om det skriftligt.
Husk, at et fund ikke er det samme som en konklusion. Uregelmæssigheder kan skyldes fejl i en integration, en medarbejder, der ikke har forstået en procedure, eller en ændring i systemet, som ingen har dokumenteret. Undersøgelsen skal kunne ende med alle udfald, også at der ikke er sket noget forkert. Det er også derfor, det er vigtigt at sikre data, før nogen fortolker dem.
Hvad gør I nu?
1. Hold et møde med revisoren
Få revisoren til at gennemgå fundene med den, der ejer sagen. Det er typisk direktøren, men hvis fundene kan angå direktionen, er det bestyrelsesformanden. Spørg:
- Hvad har I set, og i hvilke systemer?
- Hvilken periode drejer det sig om?
- Hvilke brugere eller medarbejdere er involveret i posteringerne?
- Hvad mener revisoren, der skal ske nu?
2. Hold kredsen lille
Tal kun med dem, der har en opgave i sagen. Undgå at inddrage medarbejdere i økonomi, før data er sikret, hvis de kan være berørt. → Bestyrelsen modtager en alvorlig henvendelse
3. Sikr data, før noget rettes
Det er fristende at rette fejlene med det samme, så regnskabet bliver rigtigt. Men rettelserne kan overskrive de spor, der viser, hvad der skete. Sørg for, at:
- bogføringssystemet med ændringslog eksporteres eller bevares,
- netbankens betalinger og godkendelser gemmes,
- relevante mailkonti og filer bevares,
- computere fra de involverede ikke nulstilles eller udskiftes.
4. Fordel opgaverne
Beslut, hvem der undersøger hvad. Det er her, mange sager går skævt, fordi alle tror, at en anden har styr på det.
5. Skriv et kommissorium
Et kommissorium beskriver, hvad der skal undersøges, hvem der gør det, og hvem der får resultatet. Det er nyttigt, også i mindre sager. → Skabelon: kommissorium for en intern undersøgelse
Arbejdsdelingen: revisor og IT-sagkyndig
- Er regnskabet retvisende, og hvor stort er beløbet? · Revisor
- Hvilke posteringer er ændret, og hvordan påvirker det regnskabet? · Revisor
- Hvem var logget ind, da ændringerne skete, og fra hvilken enhed? · IT-sagkyndig
- Er bilag eller filer ændret, og hvornår? · IT-sagkyndig
- Er der slettet mails eller filer? · IT-sagkyndig
- Hvad betyder det juridisk, og hvad kan der kræves? · Advokat
Revisoren har dyb indsigt i regnskabet, men er typisk ikke specialiseret i at sikre og analysere logs, computere og mails på en måde, der kan forklares i en retssag. En IT-sagkyndig kender ikke nødvendigvis regnskabsreglerne, men kan dokumentere, hvem der gjorde hvad i systemerne. Lad dem arbejde sammen, og aftal, hvem der leverer hvad til hvem. → Intern undersøgelse af økonomien: revisor, advokat eller IT-sagkyndig?
Revisorens egen rolle
Revisoren har sine egne pligter og sit eget ansvar, og det kan påvirke, hvad revisoren gør, og hvad revisoren skriver i revisionspåtegningen. Det kan også betyde, at revisoren skal rapportere til bestyrelsen eller skal tage forbehold. Advokatsitet beskriver revisorens digitale arbejdspapirer og rådgiveransvar: → Revisor- og rådgiveransvar: digitale arbejdspapirer
Hvis revisoren ender med at tage forbehold, er det en sag i sig selv. → Revisoren har taget forbehold
Hvis fundene kan angå ledelsen
Er der risiko for, at direktionen eller en anden i ledelsen er involveret, skal bestyrelsen tage over. Den normale rapporteringsvej kan ikke bruges, og bestyrelsen bør overveje en uvildig undersøgelse. → Bestyrelsen vil have en uvildig undersøgelse
De første to uger
Dag 1-2: Møde med revisoren, beslutning om sagsejer, lille kreds og bevarelse af data. Advokat kontaktes.
Dag 3-5: Data sikres fra bogføring, netbank, mail og de involveredes computere. Kommissoriet skrives, og opgaverne fordeles mellem revisor, advokat og IT-sagkyndig.
Uge 2: Første gennemgang af data. Revisoren opgør beløb og påvirkning af regnskabet. IT-sagkyndig ser på, hvem der har foretaget ændringerne. Sagsejeren beslutter, om og hvornår de involverede skal høres.
Tidsplanen er vejledende. Det vigtigste er rækkefølgen: først sikring, så undersøgelse, så samtale.
Medarbejderne i økonomi
Uregelmæssigheder i bogføringen skaber uro i økonomifunktionen, også hos dem, der ikke har gjort noget. Mange føler sig mistænkt, og nogle kan være bange for, at en fejl, de har lavet, bliver misforstået. Overvej, hvad der skal siges til dem, og hvornår. Indtil data er sikret, bør så få som muligt vide noget. Når undersøgelsen er i gang, kan det være nødvendigt at fortælle dem, at der foregår en gennemgang, uden at nævne navne. Aftal det med HR og advokat.
Rapportering til bestyrelsen
Bestyrelsen skal have besked om væsentlige fund, og den skal kunne følge med i undersøgelsen. Aftal fra start, hvordan og hvor ofte der rapporteres, og hvad der står i rapporterne. Hold rapporterne faktuelle, og skeln mellem det, der er dokumenteret, og det, der er formodninger.
Det må I ikke gøre
- Rette fejlene, før data er sikret. Ændringerne kan skjule, hvad der skete.
- Bede den ansvarlige for bogføringen om at forklare, før data er gemt, hvis vedkommende kan være involveret.
- Lade revisoren stå alene med det tekniske. Spørgsmål om logs og ændringer kræver en anden faglighed.
- Lade sagen ligge til næste årsafslutning. Data kan forsvinde, og problemet kan vokse.
- Kommunikere bredt om sagen. Det kan skade både sagen og medarbejdere, der ikke har gjort noget.
Hvornår skal I have hjælp udefra?
Få en advokat ind tidligt, så snart revisorens fund kan føre til en personalesag, et krav eller en tvist. Få en IT-sagkyndig ind, når spørgsmålet er, hvem der gjorde hvad, og hvornår, eller når data skal sikres, så de kan bruges senere. Nielco IT er uvildig og har ingen leverandørpartnerskaber, så det er muligt at arbejde sammen med jeres revisor uden interessekonflikter.
Denne artikel handler om interne undersøgelser og civile krav. Overvejer I andre skridt, skal det afklares med jeres advokat.
Læs også: Erhvervsnetbanken: hvem oprettede og godkendte betalingen? · Revisoren har taget forbehold: hvad kan I dokumentere digitalt?
→ Intern IT-undersøgelse · Tlf. 70 13 63 23 · Digital bevissikring hos Nielco IT
