5

SISÄLLYS

ESIPUHE .................................................................................................. 10

1 JOHDANTO ........................................................................................ 131.1 Mitä on sisäinen valvonta ja miksi se on tärkeää? ................. 13

1.1.1 Sisäisen valvonnan määritelmiä ................................ 131.1.2 Sisäisen valvonnan ja sisäisen tarkastuksen suhde 191.1.3 Tuloksellinen sisäinen valvonta ................................ 201.1.4 Vastuu sisäisestä valvonnasta ................................... 231.1.5 Miksi sisäiseen valvontaan kannattaa investoida? ... 271.1.6 Sisäiseen valvontaan liittyvät rajoitteet ..................... 291.1.7 Merkkejä puutteellisesta valvonnasta ....................... 30

1.2 Sisäistä valvontaa koskeva lainsäädäntö ja ohjeistukset ...... 311.2.1 Osakeyhtiölaki ............................................................ 321.2.2 Finanssivalvonnan standardi sisäisen valvonnan järjestämisestä ........................... 331.2.3 Sisäinen valvonta kuntasektorilla .............................. 341.2.4 Sisäinen valvonta valtion virastoissa ja laitoksissa ............................................ 351.2.5 Suomen listayhtiöiden hallinnointikoodi ................... 381.2.6 Listaamattomat yhtiöt ................................................ 431.2.7 Sarbanes–Oxley-lainsäädäntö .................................. 44

1.3 Sisäisen valvonnan malleja ja viitekehyksiä ............................ 541.3.1 Kolmen puolustuslinjan malli ................................... 541.3.2 COSO 2013 -viitekehys ............................................... 561.3.3 COSO-ERM ................................................................. 641.3.4 COBIT .......................................................................... 65

6

2 ROOLIT JA VASTUUT SISÄISESSÄ VALVONNASSA – KOLME PUOLUSTUSLINJAA ......................................................... 672.1 Ylin johto ja hallitus .................................................................. 67

2.1.1 Ylimmän johdon rooli ................................................. 672.1.2 Tarkastusvaliokunta ................................................... 70

2.2 Ensimmäinen puolustuslinja .................................................. 742.2.1 Operatiivisen johdon vastuu ....................................... 742.2.2 Esimiehen vastuu ....................................................... 752.2.3 Jokaisen työntekijän vastuu ....................................... 77

2.3 Toinen puolustuslinja ............................................................... 782.3.1 Riskienhallinta-toiminto ............................................ 782.3.2 Compliance-toiminto.................................................. 812.3.3 Muut toisen puolustuslinjan toimijat ......................... 85

2.4 Kolmas puolustuslinja – Sisäinen tarkastus ........................... 852.4.1 Sisäisen tarkastuksen määritelmä ja tehtävät ......... 862.4.2 Riippumattomuus ja objektiivisuus ........................... 872.4.3 Sisäisen tarkastuksen ammatillinen ohjeistus .............................................. 882.4.4 Sisäisen tarkastuksen organisointi ........................... 902.4.5 Sisäisen tarkastuksen rooli sisäisessä valvonnassa ja riskienhallinnassa ........... 90

2.5 Tilintarkastus ............................................................................ 912.5.1 Tilintarkastuksen tehtävät ja vastuut ........................ 912.5.2 Tilintarkastuksen riippumattomuus ja raportointi ............................................................... 932.5.3 Tilintarkastuksen ja sisäisen tarkastuksen yhteistyö ............................................... 93

3 SISÄISEN VALVONNAN OSA-ALUEET .............................................. 953.1 Ohjausympäristö ...................................................................... 953.2 Riskien arviointi ........................................................................ 1073.3 Valvontatoimenpiteet – Politiikat ja menettelytavat .................................................... 1183.4 Informaatio ja viestintä ............................................................. 1303.5 Seurantatoimenpiteet ............................................................... 140

7

4 SISÄISEN VALVONNAN KEHITTÄMINEN JA DOKUMENTOINTI ....... 1464.1 Sisäisen valvonnan kehittämishankkeet .................................. 1464.2 Yritystason kontrollien tunnistaminen ja dokumentointi ........ 1494.3 Avainprosessien tunnistaminen ja dokumentointi .................. 1524.4 Avainkontrollien tunnistaminen ja dokumentointi ................. 1554.5 Sisäisen valvonnan arviointi ..................................................... 159

4.5.1 Tilintarkastus .............................................................. 1614.5.2 Sisäinen tarkastus ...................................................... 1614.5.3 Vertaisarviointi ............................................................ 1624.5.4 Itsearviointi ................................................................. 1634.5.5 Jatkuva poikkeamien raportointi ............................... 169

4.6 Prosessien ja kontrollien jatkuva kehittäminen ...................... 170

5 SISÄINEN VALVONTA HANKINTAPROSESSISSA .............................. 1735.1 Tyypilliset riskit ja kontrollit ..................................................... 1745.2 Toimittajan valinta..................................................................... 1765.3 Sopimushallinta ........................................................................ 1795.4 Toimittaja-masterdatan hallinta .............................................. 1825.5 Hankintaehdotus ja ostotilaus ................................................ 1845.6 Tavaran tai palvelun vastaanotto .............................................. 1865.7 Laskun vastaanotto ja täsmäyttäminen .................................. 1885.8 Laskun maksu .......................................................................... 1905.9 Hankintaprosessin analyyttinen tarkastelu ............................. 1915.10 Työtehtävien eriyttäminen hankintaprosessissa ..................... 192

6 SISÄINEN VALVONTA MYYNTIPROSESSISSA ................................... 1936.1 Tyypilliset riskit ja kontrollit .................................................... 1936.2 Markkinointi ja hinnoittelu ....................................................... 1966.3 Asiakasdatan ylläpito ja luottorajat ......................................... 1986.4 Myyntitilauksen vastaanotto ..................................................... 2016.5 Asiakkaan laskutus ja myynnin tulouttaminen ....................... 2036.6 Käteismyynti .............................................................................. 2056.7 Myyntisaamisten seuranta ....................................................... 2076.8 Asiakaspalautukset .................................................................. 2086.9 Myyntiprosessin analyyttinen tarkastelu ................................. 2116.10 Työtehtävien eriyttäminen myyntiprosessissa ......................... 212

8

7 SISÄINEN VALVONTA HENKILÖSTÖHALLINNOSSA ......................... 2137.1 Tyypilliset riskit ja kontrollit ..................................................... 2137.2 Rekrytointi ................................................................................. 2167.3 Henkilötietojen käsittely ........................................................... 2187.4 Palkanmaksu ja palkitseminen ............................................... 2257.5 Työsuhteen päättyminen .......................................................... 2307.6 Työtehtävien eriyttäminen henkilöstöhallinnossa ................... 232

8 SISÄINEN VALVONTA VALMISTUSPROSESSISSA JA VARASTONHALLINNASSA ........................................................... 2348.1 Tyypilliset riskit ja kontrollit ..................................................... 2348.2 Valmistettavien tuotteiden materiaalien hankinta .................. 2368.3 Tuotteiden valmistus ................................................................ 2368.4 Varastointi ................................................................................. 2378.5 Valmiiden tuotteiden jakelu asiakkaille ................................... 2388.6 Valmistuksen ja varaston analyyttinen tarkastelu .................. 2398.7 Työtehtävien eriyttäminen varastonhallinnassa ...................... 239

9 IT-KONTROLLIT ................................................................................ 2409.1 Yleiset IT-kontrollit .................................................................. 241

9.1.1 Tietojärjestelmäympäristö ........................................ 2419.1.2 Käyttöoikeuksien hallinta ........................................... 2429.1.3 Järjestelmäkehitys ja muutoshallinta ....................... 2449.1.4 IT-operaatiot ............................................................... 244

9.2 Sovelluskontrollit ...................................................................... 2459.2.1 Tiedon keruun kontrollit............................................. 2469.2.2 Tiedon syötön kontrollit.............................................. 2469.2.3 Tiedon käsittelyn kontrollit ........................................ 2469.2.4 Tiedon tulostuksen ja jakelun kontrollit .................... 246

10 SISÄINEN VALVONTA VÄÄRINKÄYTÖSTEN EHKÄISYSSÄ JA HAVAITSEMISESSA ................................................ 24810.1 Taustaa ja tilastoja väärinkäytöksille ....................................... 248

10.1.1 Mitä ovat väärinkäytökset? ........................................ 24810.1.2 Väärinkäytöksistä aiheutuvat seuraukset organisaatioille ....................................... 24910.1.3 Kuka väärinkäytöksiä tekee? ..................................... 25010.1.4 Minkälaisia väärinkäytöksiä tehdään? ...................... 25110.1.5 Miksi väärinkäytöksiä tehdään? ................................ 252

9

10.2 Kontrollit väärinkäytösriskin hallinnassa ................................ 25510.2.1 Ehkäisevät kontrollit................................................... 25510.2.2 Paljastavat kontrollit .................................................. 262

10.3 Eettiset ilmoituskanavat ........................................................... 26610.3.1 Vaihtoehtoisia malleja ................................................ 26710.3.2 Ilmoitusten luonne ..................................................... 27010.3.3 Ilmoituskanavan hyödyt ja haitat ............................... 27210.3.4 Kanavan suunnittelussa huomioitavia seikkoja ........ 27310.3.5 Ilmoituskanavan keskeiset periaatteet ..................... 27610.3.6 Ohjauskulttuurin vaikutus ilmoituskanavan käyttöön .......................................... 27810.3.7 Ilmoitusten käsittely ................................................... 27810.3.8 Viestintä ilmoituksen jättäjän kanssa ....................... 28010.3.9 Ilmoituksen kohteen asema ja oikeudet ................... 28010.3.10 Yhteenveto................................................................... 281

10.4 Väärinkäytösten selvittäminen ja tutkinta ............................... 28310.4.1 Väärinkäytöstutkinnan aloittaminen .......................... 28310.4.2 Suunnittelu ................................................................. 28510.4.3 Tiedon kerääminen ja faktojen arviointi .................... 28710.4.4 Raportointi .................................................................. 29110.4.5 Seuraamukset ja korjaavat toimenpiteet .................. 292

10.5 Roolit ja vastuut väärinkäytösriskin hallinnassa .................... 29410.5.1 Johto ........................................................................... 29410.5.2 Compliance-toiminnon rooli ...................................... 29510.5.3 Sisäisen tarkastuksen rooli ....................................... 29510.5.4 Tilintarkastajan rooli .................................................. 29610.5.5 Jokaisen työntekijän vastuu ....................................... 297

YHTEENVETO ........................................................................................... 298

LIITTEET ................................................................................................... 300Liite 1: Kontrollimatriisi (Hankintaprosessi) ..................................... 300Liite 2: Sisäisen valvonnan arviointilomake ...................................... 304Liite 3: Kontrollipuutteiden raportointilomake ................................. 308Liite 4: Tarkistuslista väärinkäytösriskin hallinnan arvioimiseksi ......................................................... 310

LÄHTEET .................................................................................................. 313