Intern kontrol i en mindre virksomhed: sådan dokumenteres kontrollerne

Intern kontrol i en mindre virksomhed: begynd med målene, ikke med skemaerne

Intern kontrol er ledelsens arbejde med at understøtte virksomhedens overordnede strategier og målsætninger. Det er ikke et skema, der udfyldes for revisionens skyld.

En CBS-afhandling om implementering af COSOs "Internal Control" peger på, at den, der skal forstå de interne kontroller, også må forstå de overordnede strategier og målsætninger. At ledelsen identificerer de mål, kontrollerne skal støtte, er en del af den interne kontrol.

Dokumentationen starter i praksis med et kort notat om, hvad virksomheden skal lykkes med: levere til tiden, få moms og skat indberettet korrekt, undgå tab på kunder og svindel med betalinger.

Derefter beskrives risici, der kan forhindre målene, og kontroller, der håndterer risiciene. Starter man med skemaet, ender man typisk med kontroller, virksomheden ikke kan efterleve – fx et fireøjnsprincip i en virksomhed med to ansatte.

Den klassiske opdeling i kontrolmiljø, risikovurdering, kontrolaktiviteter, information og kommunikation samt overvågning kan bruges som indholdsfortegnelse: én kort tekst eller ét ark pr. område. Det giver en struktur, som nye medarbejdere, revisor og Skattestyrelsen kan læse, uden at dokumentationen bliver større end virksomheden.

Vælg et dokumentationsniveau, der matcher virksomhedens størrelse

FSRs artikel om ISA 315 (ajourført) bruger praktiske eksempler fra en tænkt mellemstor virksomhed med en professionel øverste ledelse og daglig ledelse.

Den skelnen er også nyttig i det små: dokumentér særskilt, hvad den øverste ledelse beslutter og følger op på, og hvad den daglige ledelse eller bogholderiet udfører. Så matcher detaljeringsgraden den personkreds, der faktisk skal bruge dokumentationen.

Vælg et niveau, hvor en ny medarbejder kan læse sig til, hvad der skal gøres, og en udenforstående kan se, at det er gjort. For de fleste mindre virksomheder er et regneark med én linje pr. kontrol tilstrækkeligt: proces, risiko, kontrol, ansvarlig, hyppighed og hvilket bevis kontrollen efterlader. Det kan ligge i en mappe sammen med virksomhedens øvrige politikker og instrukser.

Sæt en fast årlig gennemgang ind, hvor ledelsen læser dokumentationen igennem og retter den, når der kommer nye medarbejdere, nye systemer eller nye kunder. Notér dato og hvem der har godkendt opdateringen, så det fremgår, at dokumentationen er vedligeholdt og ikke kun skrevet én gang.

Beskriv kontrolmiljø og ansvar i almindeligt dansk

Dokumentér, hvem der gør hvad: hvem der må godkende betalinger, hvem der opretter leverandører i bogføringen, hvem der fører banken, hvem der udsender salgsfakturaer, og hvem der til sidst kontrollerer. Skriv navne og roller på – øverste ledelse, daglig ledelse og medarbejdere – frem for kun stillingsbetegnelser. Angiv med underskrifts- eller tegningsregler, hvem der kan forpligte virksomheden.

I en lille virksomhed har den samme person ofte flere roller. Skriv i så fald den kompenserende kontrol eksplicit: for eksempel at ejeren hver måned gennemgår bankkontoudtog og kvitterer for afstemningen, eller at den, der bestiller en vare, ikke selv godkender fakturaen til betaling. Det gør kontrolmiljøet synligt, uden at der skal ansættes flere.

Skriv i almindeligt dansk, og undgå forkortelser og systemnavne, som kun én person kender. Har I brug for en samlet indgang til frister, moms og bogføring, samler Skattestyrelsen det på sin erhvervsside, herunder Bogføringsguiden og oversigten over betalingsfrister.

Kobl risikovurdering til konkrete kontrolaktiviteter

Tag udgangspunkt i et mål, og spørg, hvad der kan gå galt: Hvordan kan vi sende en vare uden at få betaling? Hvordan kan en momsangivelse blive forkert? Hvordan kan en leverandørfaktura blive betalt to gange?

For hver risiko vælges én kontrolaktivitet, én ansvarlig og en hyppighed – og det bevis, kontrollen efterlader, skrives ind med det samme. Skriv også ned, hvad der skal ske, når kontrollen viser en fejl: hvem retter op, hvem orienteres, og hvordan lukkes sagen. Fejlhåndteringen mangler ofte, når nogen bagefter spørger, om kontrollen virkelig fungerer, eller om der blot er sat flueben.

Typiske kontroller i mindre virksomheder er månedlig bankafstemning, attestation af købsfakturaer før betaling, afstemning af momsangivelsen mod bogføringen, løbende opfølgning på udestående salgsfakturaer og kontrol af, at indberetninger er sendt inden fristen. Kontrollen behøver ikke være mere avanceret, end at den kan udføres af den person, der er på arbejde den dag.

Eksempel: Dokumentér kontroller ved EU-handel med moms

Ved salg af varer til en køber i et andet EU-land skal du ifølge Skattestyrelsen altid kunne dokumentere, at varen er sendt eller transporteret til det andet EU-land. Dokumentationen er en betingelse for, at salget kan ske uden dansk moms.

Du skal også få og verificere købers momsnummer i det pågældende EU-land, indberette momsnummeret til Skattestyrelsen og gemme dokumentation for, at du har tjekket nummeret. Momsnumre kan tjekkes i Danmark og i EU via VIES.

Fakturaen er en del af dokumentationen: der skal udstedes en fuld faktura med købers momsregistreringsnummer. Ved salg af varer skal fakturaen oplyse, at leverancen er momsfritaget, fordi køberen skal beregne erhvervelsesmoms.

Der skal henvises til den relevante bestemmelse i momsloven, fx momsfritaget efter ML § 34, stk. 1, til den relevante bestemmelse i momssystemdirektivet, fx artikel 138, eller til en anden tydelig påtegning som "momsfritaget", "free of VAT", "0-sats" eller "zero-rated". Ved salg af ydelser skal fakturaen i stedet angive omvendt betalingspligt, fx med påtegningen "reverse charge".

Transportdokumentationen afhænger af, om sælger eller køber står for eller arrangerer transporten. Den kan bestå af et underskrevet CMR-dokument eller ledsagedokument, et konnossement, et luftfragtbrev eller en faktura fra transportøren – eller af andre beviser som en forsikringspolice vedrørende transporten eller bankbilag for betalingen af transporten.

I den praktiske dokumentation kan kontrollen være et fast punkt på et kontrolark eller i bilagsmappen: dato og resultat af opslaget i VIES med udskrift eller skærmbillede, fakturakopi med påtegningen, transportdokumentet og eventuel transportørfaktura arkiveret sammen med salgsbilaget.

Vælger man de harmoniserede europæiske dokumentationskrav, formoder myndighederne som udgangspunkt, at dokumentationskravene som sælger er opfyldt. Vælger man dem ikke, gælder de nationale regler i de lande, man handler med – sender man varer fra Danmark, følger man de danske regler.

Trin-for-trin dokumentation ved EU-moms

Skriftlighed, opbevaring og revisionsspor

Transfer pricing viser, hvad kravet om skriftlighed betyder i praksis. Skattestyrelsen beskriver, at skattepligtige, der er omfattet af skattekontrollovens § 38 og ikke fritaget efter § 40, stk. 1, skal udarbejde og opbevare skriftlig dokumentation. Dokumentationen skal kunne underbygge en vurdering af, om priser og vilkår for kontrollerede transaktioner er fastsat i overensstemmelse med armslængdeprincippet.

Reglerne om skriftlig dokumentation og oplysningspligt for kontrollerede transaktioner findes i skattekontrollovens kapitel 4. Kontrollerede transaktioner er defineret i skattekontrollovens § 37, nr. 6. Armslængdeprincippet følger af ligningslovens § 2, og oplysningspligten opfyldes blandt andet ved besvarelse af felterne 503a, 503b, 505a, 542 og 542a på oplysningsskemaet.

Kernen i formuleringen – at dokumentationen skal kunne bruges til at vurdere forholdene – er en god målestok for intern kontrol generelt. Den skal være skriftlig, dateret og knyttet til en navngiven ansvarlig, så en tredjemand bagefter kan vurdere, om kontrollen blev udført. En mundtlig aftale om, at "Per tjekker banken", opfylder ikke det formål.

Opbevar dokumentationen sammen med det regnskabsmateriale, den vedrører, så den kan fremfindes på et bestemt område og for et bestemt år. Revisionssporet består af tre oplysninger pr. kontrol: hvem udførte den, hvornår, og hvad blev resultatet – herunder hvordan en konstateret fejl blev rettet. Det er samme logik, Skattestyrelsen bygger på, når skriftlig dokumentation skal kunne understøtte en vurdering.

Kritiske dokumentationskrav efter Skattestyrelsen