The Power of third party audits: håndbok om å kjøpe og styre eksterne revisjoner

Problemet boka tar tak i

De fleste bestiller sin første eksterne revisjon under press. En kunde har bedt om dokumentasjon, et tilsyn har gitt et pålegg, en kontrakt har en klausul, eller styret har bestemt at uavhengig gjennomgang er fornuftig. Beslutningen om å kjøpe en revisjon tas raskt, mens det vanskeligere spørsmålet, hva som skal revideres og mot hvilke kriterier, avgjøres av den revisoren som svarer først på telefonen.

Resultatet er forutsigbart. Omfanget hentes fra revisorens standardmal, revisjonen undersøker det malen undersøker, og rapporten bekrefter det organisasjonen trodde fra før. Ingen har gjort noe galt, og ingen har lært noe heller. Pengene er brukt, rapporten er arkivert, og de samme svakhetene ligger der neste år.

Boka handler om beslutningene som tas før revisoren kommer, fordi de avgjør nesten alt om hva revisjonen er verdt. En revisjon er en innkjøpt tjeneste, og som alle innkjøpte tjenester belønner den en kjøper som vet hvordan et godt resultat ser ut.

Første-, andre- og tredjepart, og hvorfor skillet betyr noe kommersielt

Revisjon deles tradisjonelt i tre. Førstepartsrevisjon er organisasjonen som reviderer seg selv, altså internrevisjon. Andrepartsrevisjon er kunden som reviderer leverandøren. Tredjepartsrevisjon utføres av et organ som er uavhengig av begge. De generelle prinsippene, styringen av revisjonsprogrammet og forventningene til revisorkompetanse ligger i ISO 19011, som er veiledning og ikke et krav, mens kravene til organer som reviderer og sertifiserer styringssystemer ligger i ISO/IEC 17021-1.

Skillet er ikke akademisk, for det avgjør hva resultatet er verdt for noen utenfor din egen organisasjon. En internrevisjon er dokumentasjon på at du har sett etter. En tredjepartsrevisjon er dokumentasjon på at noen uten egeninteresse har sett etter. Når en kunde, et forsikringsselskap eller en myndighet ber om trygghet, er det oftest den andre typen de etterspør, og boka er tydelig på når det billigere alternativet faktisk holder og når det ikke gjør det.

Den tar også for seg laget over revisoren. Sertifiseringsorganer blir selv vurdert, og de internasjonale ordningene som IAF forvalter finnes for at et sertifikat utstedt i ett land skal ha mening i et annet. Det er den strukturen som gjør at en kjøper kan skille et sertifikat med innhold fra et som bare pynter.

Valg av revisor, og spørsmålene som skiller dem

Det er i valget av revisor de unødvendige kostnadene ligger. Tilbud er vanskelige å sammenligne fordi de beskriver innsats og ikke resultat, og det billigste tilbudet er ofte det som er satt opp til å finne minst. Boka går gjennom hva du bør spørre om: hvordan revisjonsdagene er beregnet og hva som skjer hvis anslaget er feil, hvem som faktisk kommer i motsetning til hvem som står i tilbudet, hvilken bransjeerfaring revisjonslaget har, hvordan funn graderes, og hva prosessen er når du er uenig i et av dem.

Det er også et kapittel om de ubehagelige spørsmålene. Uavhengighet er lett å påstå og vanskeligere å vise, særlig når samme firma tilbyr rådgivning ved siden av revisjon. Boka forklarer hvordan du kan spørre om det uten å fornærme noen, og hvorfor en revisor som har hjulpet deg å bygge systemet ikke troverdig kan vurdere det.

Hva den norske leseren får ut av den

Prosessen boka beskriver er ikke landspesifikk. Omfang, revisorvalg, forberedelse og avvikshåndtering fungerer likt i Norge som andre steder, og de europeiske og internasjonale standardene den bygger på gjelder her. Det du ikke finner, er norske særbestemmelser eller henvisninger til norsk tilsynspraksis. Boka forklarer hvordan revisjonsmarkedet virker, ikke hvordan et enkelt norsk tilsyn opptrer.

Andre halvdel av boka er den operative. Den dekker hva du sender ut på forhånd og hva du holder igjen, hvordan du forbereder ansatte slik at de svarer åpent i stedet for defensivt, og hvordan du kommer gjennom revisjonsuka uten at halve organisasjonen stopper å jobbe.

Avvikene får mest plass, fordi det er der verdien enten hentes ut eller går tapt. Et avvik er informasjon du har betalt for, og den vanlige feilen er å behandle det som en anklage og lukke det med den minste endringen som tilfredsstiller revisoren. Boka skiller mellom å rette et enkelttilfelle og å rette årsaken, og forklarer hvorfor årsaksanalyse så ofte stopper ett skritt for tidlig.

Utgaver og format

Boka finnes som papirutgave og som Kindle print replica. Innholdet er det samme. Print replica beholder papirsatsen, så teksten flyter ikke om etter skjermstørrelsen, og den leses derfor best på nettbrett eller datamaskin framfor på telefon. Skal du gå gjennom sjekklistene sammen med kolleger, er papirutgaven den mest praktiske.

Vil du lese noe fra samme forfatter på norsk i stedet, er Just Culture for UAS-operatører utgitt på norsk og handler om rapporteringskultur i droneoperasjoner.