KPMGs «helsesjekk» mot økonomiske misligheter

Misligheter utgjør en betydelig økonomisk belastning for bedrifter. Ifølge undersøkelser gjort av Association of Certified Fraud Examiners (ACFE) taper bedrifter i gjennomsnitt rundt 5 prosent av sin topplinje årlig som følge av misligheter. For store aktører som for eksempel Nordea, som i 2023 hadde globale inntekter på 11 milliarder euro, tilsvarer dette rundt 6 milliarder norske kroner i årlig tap. 

Misbruk av eiendeler er den vanligste typen misligheter, og var å finne i 89 prosent av undersøkte saker, med et gjennomsnittstap på rundt 120.000 dollar per sak. Samtidig er regnskapssvindel mindre vanlig, men tapene per sak er betydelig høyere, med et mediantap på 776.000 dollar. 

Bedrifter står overfor både økonomiske utfordringer og økte myndighetskrav knyttet til misligheter. I Storbritannia pålegger The Economic Crime and Corporate Transparency Act selskaper å implementere prosedyrer for å avdekke og forhindre misligheter, med ekstra-territoriell rekkevidde som kan inkludere norske virksomheter. Uten slike prosedyrer kan bedriften holdes ansvarlig for handlinger utført av ansatte eller agenter.

Skyld- og erstatningsansvar for norske bedrifter ved ansattes handlinger er ikke nytt. Ifølge skadeerstatningsloven § 1-6 første ledd kan arbeidsgiver holdes ansvarlig for korrupsjon, også når denne skjer i utlandet, så lenge arbeidsgiver er hjemmehørende i Norge. Arbeidsgiver kan likevel fritas for ansvar dersom rimelige forholdsregler er iverksatt, en tilnærming som ligner det britiske failure to prevent-rammeverket.

Helsesjekk for å forebygge økonomiske misligheter 

Granskerne i KPMGs Forensic Services har et rammeverk for mislighetsrevisjon – det de kaller en helsesjekk for å forebygge økonomiske misligheter. Økonomi24 møtte direktørene Cathrine Warhuus og Teejay Srai i KPMG for en presentasjon av hva helsesjekken innebærer. 

– Helsesjekken er utviklet i lys av en del utfordringer i bedriftene som til sammen innebærer at de ofte ikke får gjort nok for å forebygge økonomiske misligheter, sier Srai, og nevner:

• Daglige gjøremål tillater ikke ekstra oppgaver.

• Bedriften har for høy tillit til at eksisterende teknologi og prosesser er tilstrekkelig.

• Uklare roller og ansvar knyttet til arbeidet med å avdekke misligheter.

• Misforstått og overdreven tillit til at revisor skal oppdage misligheter.

• Manglende kompetanse og teknologi til å gjennomføre mislighetsanalyser. 

– Helsesjekker er en nyttig eksersis for å gi bedriften en bedre forståelse av egen risikoeksponering samt å styrke motstandskraften mot misligheter. Slike øvelser er ikke bare laget for avdekke konkrete misligheter, men også hjelpe bedrifter med å forbedre sine prosesser og redusere risiko på sikt, sier Warhuus. 

– Å forebygge misligheter er en dynamisk prosess fordi både IT-landskapet og menneskene i organisasjonen stadig endrer seg. Selv robuste kontroller fra 2012 kan være utdatert i dagens dynamiske verden. Svindel har ofte store mørketall. Hvis bedrifter ikke gjør regelmessige risikovurderinger, kan de gå glipp av muligheter til å redusere betydelige økonomiske tap, tillegger Srai. 

Hvordan gjennomføres en helsesjekk for å forhindre og avdekke misligheter? 

En helsesjekk innenfor fraud risk management innebærer en omfattende gjennomgang av bedriftens prosesser, interne kontroller og transaksjonsdata for å avdekke potensielle svakheter eller områder med forhøyet risiko for misligheter. Dette handler om å identifisere hvor mulighetene for svindel kan oppstå, vurdere om eksisterende kontroller er hensiktsmessige, og bekrefte at de fungerer som de skal. 

KPMG nevner blant annet følgende punkter som aktuelle å belyse under en mislighetsrevisjon: 

1. Leverandører 

Et dårlig kontrollert leverandørregister kan føre til store tap gjennom falske fakturaer. Her er det viktig å følge med på eventuelle endringer i leverandørenes regnskaper og oppdateringer i leverandørregisteret. Med andre ord: Vit hvem du handler med! 

2. Innkjøp

Innkjøpsavdelingen spiller en nøkkelrolle i å sikre at prosesser og prosedyrer følges. Dårlig innkjøpskontroll kan føre til overbetalinger, falske bestillinger og brudd på avtaler. For eksempel bør det kontrolleres hvordan leverandører blir valgt, om rammeavtaler overholdes og at eventuelle interessekonflikter er identifisert og tilstrekkelig adressert. 

3. Inngående fakturaer

Åpenbare feil i fakturabehandlingen er et yndet mål for svindlere. En god analyse av inngående fakturaer kan avdekke både ineffektive prosesser og potensielle misligheter. Her bør man blant annet være bevisst på risikoen ved eventuelle duplikate fakturaer og fakturaer uten gyldige innkjøpsordre. 

4. Lønn

Lønn er et område som ofte overses, men som er utsatt for misbruk. KPMG viser til eksempler der analysene har avdekket at det er utført uautoriserte endringer i faste lønnsdata og at lønn har blitt utbetalt til fratrådte ansatte. 

5. Nærstående

Her identifiseres og analyseres relasjoner mellom blant annet leverandører og ledelsen for å avdekke potensielle habilitetsbrudd. KPMG har et egenutviklet habilitetsregister som muliggjør grundige og løpende kartlegginger av knytninger. 

6. Kryssjekk av data

Gode datarutiner kan eliminere muligheten for misbruk og sikre etterlevelse av lover og forskrifter. Dette gjøres ved å kryssjekke data – et effektivt våpen mot både eksterne og interne trusler. 

Varslingskanalens viktige rolle 

Virksomheter bør regelmessig oppdatere sine risikovurderinger, ta i bruk teknologi og utføre risikobaserte tester og andre kontrollaktiviteter. I kombinasjon med god kultur for å si ifra om kritikkverdige forhold, vil dette være et effektivt verktøy for å avdekke misligheter. 

Noen selskaper fokuserer på compliance for å oppfylle lovpålagte minimumskrav, men stopper der. Å styrke motstandskraften mot svindel er en investering som lønner seg, mener Srai og Warhuus. I tillegg til å se på bedriftens unike risikoområder og få på plass kontroller, anbefaler de å opprette en kanal for tips og varsling om kritikkverdige forhold:

– Tips og varslingskanaler står for rundt 40 prosent av all avdekking av økonomisk kriminalitet. Å sikre at ansatte kjenner til varslingsmuligheter og vet hva de skal se etter, er det mest verdifulle en bedrift kan gjøre, sier Warhuus.

Srai legger til at dette ikke bare handler om å ha en varslingskanal, men om å gjøre den kjent og lett tilgjengelig. Regelmessig opplæring og kommunikasjon er avgjørende for at varslingskanalen fungerer optimalt, sier han.