Vad ingår i internkontroll: guide för företagsledare

TL;DR:
Internkontroll är ett systematiskt arbete som omfattar processer, ansvarsfördelning och dokumentation för att skapa trygghet och regelefterlevnad.
Kärnan är ett riskbaserat arbetssätt där kontrollinsatser prioriteras utifrån identifierade och värderade risker för att motverka fel och brister.

Internkontroll är ett begrepp som många företagsledare och beslutsfattare i Sverige känner igen, men färre förstår på djupet. Frågan om vad ingår i internkontroll handlar inte bara om revisionslistor eller bokslutskontroller. Det handlar om ett systematiskt arbete som genomsyrar hela organisationen: processer, ansvarsfördelning, riskbedömningar och dokumentation som tillsammans skapar trygghet och regelefterlevnad. Vanliga missuppfattningar är att internkontroll är en uppgift för ekonomiavdelningen eller en engångsaktivitet. Denna guide reder ut vad som faktiskt ingår och hur delarna samverkar.

Innehållsförteckning

Viktiga lärdomar
Grundläggande komponenter i internkontroll
Risk- och kontrollbaserat arbetssätt
Systematik och dokumentation i praktiken
Vanliga utmaningar och fallgropar
Implementering steg för steg
Min syn på internkontroll som verktyg
Stärk er internkontroll med rätt utbildning
FAQ

Viktiga lärdomar

Punkt	Detaljer
Internkontroll är ett system	Kontroll bygger på processer, ansvarsfördelning och dokumentation som samverkar, inte enskilda åtgärder.
Riskbaserat arbetssätt är kärnan	Identifiera och värdera risker innan du väljer kontrollåtgärder, annars kontrollerar du fel saker.
Dokumentation avgör spårbarhet	Utan sign-offs och avvikelserapporter kan kontroller inte försvaras vid revision eller uppföljning.
Tre försvarslinjer tydliggör roller	Operativ verksamhet, kontrollfunktioner och internrevision har distinkta ansvar som kompletterar varandra.
Ledarskap driver verklig effekt	Organisationskultur och tonen från ledningen avgör om internkontrollen fungerar i praktiken.

Grundläggande komponenter i internkontroll

Intern kontroll i Sverige definieras som ett system av processer, ansvarsfördelning och granskningar för att förebygga och upptäcka misstag, med dokumentation och kontroller vid bland annat bokslut. Det är alltså inte ett enskilt verktyg, utan ett sammanhängande ramverk där varje komponent fyller en specifik funktion.

Processer och kontrollmoment

Processer är ryggraden i internkontroll. De definierar hur arbetet ska utföras, i vilken ordning och av vem. Konkreta kontrollmoment kan vara identifiering av kritiska kontrollpunkter i en redovisningsprocess, löpande avstämningar mot huvudbok, eller dokumentation av avvikelser när något inte följer fastlagd rutin.

Utan tydliga processer uppstår ett vakuum där vem som helst kan göra vad som helst, vilket gör kontroll omöjlig. Processen är den struktur som gör det möjligt att identifiera var i flödet ett fel uppstår.

Ansvarsfördelning och roller

Ansvarsfördelning handlar om att varje uppgift och varje kontrollmoment har en definierad ägare. Det innebär att det alltid finns en person som är ansvarig för att en kontroll genomförs, dokumenteras och rapporteras. Vanliga roller i internkontrollarbetet inkluderar:

Processägare som ansvarar för att verksamheten följer fastlagda rutiner inom sitt område
Kontrollansvarig som genomför och dokumenterar specifika kontrollåtgärder
Internrevisor som oberoende granskar att kontrollerna fungerar som avsett
Ledning och styrelse som tar emot rapporter och fattar beslut baserade på kontrollresultat

Otydlig ansvarsfördelning är en av de vanligaste orsakerna till att internkontrollen brister. Om ingen äger en kontroll är sannolikheten hög att den inte utförs.

Dokumentation och spårbarhet

Intern kontroll kräver tydlig dokumentation som går att bevisa, exempelvis sign-offs och rapporter om avvikelser för att försvara kontroller vid revision. Dokumentationen fyller två funktioner: den skapar spårbarhet bakåt i tid och den möjliggör lärande och förbättring framåt.

En organisation som saknar dokumentation på att kontroller faktiskt genomförts kan inte bevisa att internkontrollen fungerar, oavsett hur bra den i praktiken är. Det är ett problem vid revision och ett hinder för kontinuerlig förbättring.

Risk- och kontrollbaserat arbetssätt

Internkontrollen bör vara riskbaserad och fungera som ett ledningsverktyg för att säkerställa att verksamheten fungerar korrekt varje dag och minska risken för oegentligheter. Det riskbaserade arbetssättet innebär att kontrollinsatser riktas dit riskerna är störst, inte dit det är enklast att kontrollera.

Praktiskt sett innebär det att varje kontrollmoment måste motiveras av en identifierad risk. Om ett kontrollmoment inte kan kopplas till en konkret risk bör man ifrågasätta om det tillför verkligt värde eller bara skapar administrativt arbete.

Riskidentifiering och värdering

En riskanalys är grunden i internkontrollarbetet och hjälper organisationen att prioritera kontrollinsatser baserat på sannolikhet och konsekvens av risker. Risknivån beräknas som sannolikhet multiplicerat med konsekvens, vilket ger ett prioriteringsunderlag som styr var resurser ska sättas in.

Ett strukturerat tillvägagångssätt för riskbedömning innehåller vanligtvis dessa steg:

Inventera processer och aktiviteter där risker kan uppstå med koppling till mål, kvalitet, säkerhet, ekonomi och förtroende
Identifiera specifika risker inom varje process, exempelvis felaktig kontering, obehörig åtkomst eller bristande dokumentation
Värdera varje risk utifrån sannolikhet (hur troligt är det att det inträffar?) och konsekvens (hur allvarligt blir det?)
Prioritera kontrollinsatser baserat på det samlade riskvärdet, med fokus på de högst värderade riskerna
Tilldela ägarskap där varje identifierad risk och tillhörande kontrollåtgärd kopplas till en namngiven person med definierat ansvar

Proffstips: Genomför riskanalysen med tvärfunktionella team. Ekonomi ser andra risker än IT, som i sin tur ser andra risker än operativa chefer. Tillsammans skapar ni en mer komplett riskbild än vad en enskild funktion kan åstadkomma.

Tre försvarslinjer i praktiken

Den interna kontrollen följer modellen med tre försvarslinjer: ansvarig verksamhet, oberoende kontrollfunktioner och internrevision, där varje linje har specifika roller och rapporterar regelbundet till styrelse och ledning.

Den första försvarslinjen är den operativa verksamheten, det vill säga de chefer och medarbetare som dagligen utför och kontrollerar arbetet. Den andra linjen utgörs av oberoende kontrollfunktioner som compliance, riskhantering och HR. Den tredje linjen är internrevisionen, som oberoende granskar att de första två linjerna faktiskt fungerar. Du kan läsa mer om hur riskbaserat tänkande stärker kontrollarbetet i praktiken.

Systematik och dokumentation i praktiken

En vanlig brist är att internkontrollarbetet bedrivs ad hoc, det vill säga när något går fel eller inför en revision. Hållbar internkontroll kräver i stället ett systematiskt, återkommande arbete som är inbyggt i organisationens vardagsrutiner.

Internkontrollplanens roll

Internkontrollplaner är avgörande för att styra när och hur ofta kontroller ska genomföras, vilket möjliggör uppföljning och hållbar internkontroll. En internkontrollplan specificerar kontrollmoment, ansvarig person, metod och frekvens för varje kontroll. Att lägga in arbetet med internkontroll i organisatoriska årshjul gör arbetet mer hållbart och till en naturlig del av vardagen.

Tabellen nedan visar exempel på hur frekvens och metod kan variera beroende på kontrollens karaktär:

Kontrollmoment	Frekvens	Metod	Ansvarig
Avstämning mot huvudbok	Månadsvis	Systemkontroll	Ekonomiansvarig
Granskning av behörigheter	Kvartalsvis	Manuell genomgång	IT-chef
Uppföljning av avvikelserapporter	Månadsvis	Möte och sammanställning	Processägare
Intern revision av nyckelprocesser	Årligen	Intervjuer och granskning	Internrevisor
Kontroll av efterlevnad, lagar	Halvårsvis	Checklistgranskning	Compliance-ansvarig

Proffstips: Koppla internkontrollplanen till organisationens befintliga mötesstruktur. Om uppföljning redan sker månadsvis i ledningsgruppen, integrera kontrollrapporteringen i det mötet i stället för att skapa parallella processer.

Digitala verktyg och automatisering

Teknik förändrar internkontrollprocessen på ett fundamentalt sätt. Automatiserade kontroller i affärssystem kan till exempel flagga transaktioner som överstiger definierade gränsvärden, kontrollera att attestordningen följs eller generera avvikelserapporter utan manuell insats.

Fördelen med automatisering är inte bara effektivitet. Det minskar risken för att kontroller hoppas över på grund av tidsbrist, och det skapar automatisk dokumentation av att kontrollen genomförts. Granskning av arbetsmiljödokument följer liknande principer om spårbarhet och systematik som internkontroll i övrigt.

Vanliga utmaningar och fallgropar

Internkontroll som ser bra ut på papper kan ändå vara ineffektiv i verkligheten. Forskning och praktisk erfarenhet pekar på ett antal återkommande fallgropar som företagsledare behöver vara medvetna om.

Kontrollpunkter blir ineffektiva om de inte kopplas till ansvar och kontinuerlig kontroll över tid. Det räcker inte att ha många kontrollpunkter. De måste vara meningsfulla, kopplade till verkliga risker och ägda av rätt personer.

Vanliga brister i internkontroll som organisationer stöter på är:

Checklistestatik: Kontrollerna utförs mekaniskt utan att ifrågasätta om de fortfarande speglar de faktiska riskerna i verksamheten
Otydlig ansvarsfördelning: Ingen vet exakt vem som äger en viss kontroll, vilket leder till att den faller mellan stolarna
Svag uppföljning: Kontroller genomförs men resultaten rapporteras inte uppåt och inga åtgärder vidtas vid avvikelser
Frånkoppling från mål: Kontrollerna speglar inte vad som faktiskt är viktigt för att organisationen ska nå sina strategiska mål
Bristande kommunikation: Medarbetare vet inte varför kontrollerna finns eller vad som förväntas av dem, vilket underminerar engagemanget

Ledarskap och kultur som förutsättning

Ledarskap och organisationskultur är avgörande för att skapa en fungerande internkontroll där medarbetare känner sig ansvariga och kan rapportera avvikelser öppet. Tonen från toppen påverkar direkt hur effektivt kontrollarbetet integreras i vardagen.

En ledning som behandlar internkontroll som ett nödvändigt ont signalerar detta till organisationen. En ledning som aktivt använder internkontrollens resultat som beslutsunderlag och kommunicerar vikten av kontrollarbetet skapar i stället en kultur där medarbetare ser kontrollen som meningsfull.

Implementering steg för steg

Att etablera en fungerande internkontroll kräver ett strukturerat tillvägagångssätt. Följande steg ger en praktisk vägledning för hur arbetet kan läggas upp:

Förankra internkontroll i verksamhetens mål. Definiera tydligt vad internkontrollen ska bidra till, exempelvis regelefterlevnad, finansiell korrekthet eller operationell effektivitet. Utan denna förankring riskerar arbetet att bli frikopplat från det som faktiskt spelar roll.
Genomför en strukturerad riskanalys. Identifiera och värdera risker i de processer som är mest kritiska för att målen ska uppnås. Involvera berörda chefer och medarbetare i analysen för att säkerställa en realistisk riskbild.
Upprätta en internkontrollplan. Dokumentera vilka kontroller som ska genomföras, av vem, hur och hur ofta. Planen ska vara levande och revideras minst en gång per år.
Utbilda och kommunicera. Återkommande utbildning och tydlig kommunikation om syftet med internkontrollen är nödvändigt för att engagera organisationen. Medarbetare som förstår varför kontrollerna finns tar dem på allvar.
Följ upp och rapportera. Sammanställ resultaten från genomförda kontroller regelbundet och rapportera till ledning och styrelse. Avvikelser ska utredas och åtgärdas, och lärdomar ska tas om hand systematiskt.
Mät och utvärdera effekten. Använd nyckeltal för att följa hur internkontrollens mognad utvecklas över tid, exempelvis antal genomförda kontroller, andel avvikelser som åtgärdats inom angiven tid och upplevd kvalitet i kontrollarbetet.

Min syn på internkontroll som verktyg

Jag har under åren sett ett återkommande mönster i organisationer som har svårt att få internkontrollen att fungera. Problemet är sällan brist på rutiner eller mallar. Det finns ofta gott om checklistor. Problemet är att kontrollerna lever sitt eget liv, frikopplade från de risker och mål som faktiskt är relevanta för verksamheten.

Det jag har lärt mig är att internkontroll som fungerar är ett ledningsverktyg, inte ett revisionssupport-verktyg. De organisationer som lyckas är de där ledningen aktivt efterfrågar kontrollresultat, ställer frågor om avvikelser och använder informationen för att fatta beslut. I de organisationer är internkontrollen inte en börda. Den är ett konkurrensfördelag.

En annan sak som ofta förbises är kopplingen till kompetensutveckling. Medarbetare och chefer som förstår internkontrollens syfte och som vet hur de ska genomföra sina kontrollmoment korrekt gör ett bättre jobb. Det är inte självklart att denna kunskap finns i organisationen. Att investera i utbildning på detta område ger direkt effekt på kontrollkvaliteten.

Min rekommendation till dig som är företagsledare eller beslutsfattare: börja med att granska om era befintliga kontroller faktiskt är kopplade till era faktiska risker. Inte om ni har kontroller, utan om ni kontrollerar rätt saker av rätt anledningar. Det är skillnaden mellan internkontroll som formalia och internkontroll som verkligt skydd.

— MIkael

Stärk er internkontroll med rätt utbildning

För att internkontrollen ska fungera i praktiken krävs att chefer och medarbetare har rätt kunskap och förstår sin roll i kontrollarbetet. Distans-utbildning erbjuder arbetsmiljöutbildningar på distans som ger er organisation en stabil grund för regelefterlevnad, systematiskt riskarbete och hållbara kontrollprocesser. Utbildningarna genomförs som flexibla e-learningkurser, vilket gör det enkelt att kompetensutveckla personal oavsett var i landet de befinner sig. Ni kan även utforska varför arbetsmiljöutbildning är viktig för att förstå hur utbildningsinsatser kopplar direkt till ett starkare internkontrollarbete och tryggare arbetsplatser.

FAQ

Vad ingår i internkontroll?

Internkontroll består av processer, ansvarsfördelning, riskbedömningar, kontrollmoment och dokumentation som samverkar för att förebygga och upptäcka fel i en organisation. Varje komponent fyller en specifik funktion och måste kopplas till identifierade risker.

Vad är internkontrollens syfte?

Intern kontroll ska säkerställa att lagar följs, att verksamheten når sina mål och att risker identifieras och hanteras. Det är ett systematiskt, återkommande arbete som bidrar till trygghet och rättssäkerhet i organisationen.

Hur fungerar de tre försvarslinjerna?

Modellen med tre försvarslinjer delar upp kontrollansvar mellan operativ verksamhet, oberoende kontrollfunktioner och internrevision. Varje linje rapporterar till ledning och styrelse och kompletterar de andra i att hantera risker.

Vilka är vanliga brister i internkontroll?

Vanliga brister är mekaniska checklistor utan koppling till verkliga risker, otydlig ansvarsfördelning, svag uppföljning av avvikelser och brist på kommunikation om varför kontrollerna finns. Dessa problem löses genom tydligt ledarskapsengagemang och regelbunden revidering av kontrollplanen.

Hur börjar man bygga en internkontrollplan?

Börja med en riskanalys där ni identifierar och värderar risker utifrån sannolikhet och konsekvens. Basera sedan kontrollplanen på de prioriterade riskerna, tilldela ansvariga för varje kontrollmoment och integrera uppföljningen i befintliga mötes- och rapporteringsstrukturer.