Skandinaviska Enskilda Banken (SEB)

SEB är en nordeuropeisk finansiell bank-grupp för företag, institutioner och privat-personer. Koncernen är verksam i cirka 20 länder med sammanlagt 680 kontor i Sverige, Tyskland, Baltikum, Polen och Ukraina. SEB har cirka 5 miljoner kunder och av dessa är 2 miljoner e-bankskunder. Verksamheten omfattar traditionell bank-service, förmögenhetsförvaltning, valuta- och räntehandel, cash management, export- och importfinansiering, betalningar för företag och institutioner, aktiehandel, råd-givning, fondförvaltning och livförsäkrings verksamhet.

Antal anställda i koncernen, Sverige 9305 Antal anställda i koncernen, utomlands 10567 Totalt anställda i koncernen 19872 Antal IR-anställda i koncernen 113 Balansomslutning 1890000 Balansomslutning per anställd 95

IR-kostnad 110

IR-kostnad i förhållande till

balansomslutnig (i promille) 0,58 Per anställd (tusen kronor) 5,54

ER-kostnad 61

Intervju med Agneta Brevenhag som är IR-chef för koncernen.

1. Internrevisionens struktur

Bankens IR har 113 medarbetare. Av dessa är 40 i Sverige, 40 i Tyskland, 20 i Baltikum och resterande 13 är utspridda i olika länder. Alla internrevisorer sitter centralt och åker ut för att granska bankens olika delar. I Sverige sitter de flesta som arbetar med IR i Stockholm.

IR definieras som en process för att utvärdera banken. IR har processer som säkerställer den finansiella rapporteringen samt att tillgångar hanteras på ett betryggande sätt. IR ska alltså utvärdera bankens IK, men de är inte ansvarig för den, det är ledningen. Just detta är en vanlig missuppfattning menar Brevenhag.

IR:s mål är att bidra till att bankens affärsplan och övergripande mål uppnås. Målet är även att upptäcka riskerna innan det händer något allvarligt. Målet med bankens IR jämförs mot bankens mål totalt sett och IR ska granska så att de uppnås.

IR:s skriftliga riktlinjer är i dagsläget inte heltäckande på grund av att det tidigare saknats resurser. Banken uppfyller dock FI:s krav som i och för sig inte är så detaljreglerade tycker Brevenhag. SEB håller på med metodutvecklingen och ska även utveckla en heltäckande revisionsmanual. Den nya manualen ska till exempel innefatta hur IR ska leva upp till IIA:s standarder, planering, riskhantering, dokumentation samt anpassning till COSO. Det är Brevenhag som är ansvarig för den nya handbokens utformning.

Banken följer IIA:s standarder. I år måste de även genomföra den nya stora oberoende kvalitetsutredningen som i framtiden ska genomföras vart femte år. De håller nu på att planera hur banken ska förbereda sig genom att anpassa bankens alla processer mot IIA:s standarder. SEB har köpt olika banker i till exempel Tyskland och Baltikum varför en av Brevenhags viktigaste uppgifter att harmonisera IR i hela koncernen. SEB avser att göra IR bredare än IIA:s standarder redan nästa år.

I dagsläget är inte IR uppbyggd helt enligt COSO-modellen, men bankens IR är bra på riskutvärdering och kontrollaktiviteter vilket är delar av COSO-modellen. Eftersom banken inte arbetar helt efter modellen är vissa delar så som övervakning och kommunikation inte lika omfattande och kan utvecklas. Även Koden är uppbyggd efter COSO vilket är ytterligare ett skäl till varför banken ska implementera den.

2. Riskhantering

Planeringen av IR är en årlig process som börjar med en övergripande riskanalys för bankens alla verksamhetsområden. SEB har en trafikljusmodell med vilken de dels bedömer den inneboende risken, men även nivån på IK. Vissa områden, som marknadsavdelningen kan ha en väldigt låg inneboende risk ur ett bankperspektiv och behöver kanske inte så mycket IK. Andra områden som handel med derivatinstrument mot stora företag kanske kan ha en hög inneboende risk och behöver därför även en hög nivå på IK. Om ett område har en hög inneboende risk kan det ändå bli klassat som grönt om IK är bra. Men trots att ett område är grönt så måste IR validera och granska att kontrollerna finns på plats. Inom ett rödmarkerat område handlar det inte så mycket om validering utan mer om förbättring vilket är två skilda saker.

Den största risken är olika kreditrisker. Den näst största risken är marknadsrisker som utgörs av att banken kan positionera sig fel avseende räntor och valutor. Den tredje och minsta risken

är operativa risker vilka finns inom alla områden på olika sätt. Under varje dag följs bankens alla positioner upp och dessa körs i ett riskanalysprogram som gör stresstester. På detta sätt vet banken hur stor risk de tar varje dag och hur denna risk skulle förändras om exempelvis marknaden gick upp två procent. För att minska risken att en enskild placerare utgör en för stor risk finns det begränsningar och mandat för hur mycket de kan handla för.

IR har inte någon uttalad gräns för materialitet. Det handlar mer om varje enskild internrevisors kompetens att bedöma hur väsentligt olika saker är. Materialitet är svårare att mäta i IR än i ER menar Brevenhag. I ER kan externrevisorn se hur mycket olika saker slår på resultaträkningen vilket inte är möjligt i IR. IR kontrollerar efterlevnaden av regelverk och interna riktlinjer. Vissa risker kan IR varna för, men det är svårt att avgöra exakt hur det skulle påverka resultatet, om risken skulle inträffa.

I praktiken hanteras riskerna av bankens olika avdelningar. Om IR upptäcker något så är det ett svaghetstecken som måste åtgärdas. Detta är ett av skälen till varför cheferna på de olika nivåerna är ansvariga för IK och inte IR. IR validerar IK och ska kontrollera om cheferna inte lever upp till sitt ansvar.

Uppföljningen av IR:s arbete sker i ett speciellt IT-dokumentationssystem och består av en planerings-, dokumenterings- och rapportmodell. Det finns ett språkproblem i koncernen eftersom de olika länderna rapporterar på sitt eget språk. Språket ska harmoniseras i framtiden, men innan IR kan tillämpa dokumentationen till fullo måste de först komma igenom dagens språkbarriär enligt Brevenhag.

3. Oberoende och kompetens

Kompetensen har tidigare inte varit prioriterad inom SEB, men är en av de faktorer som de i dagsläget fokuserar på. För att upprätthålla och förbättra kompetensen satsar de mycket på olika utbildningar.

IR:s oberoende säkerställs genom att de rapporterar direkt till styrelsen via revisionsutskottet (RU). De har ingen rapporteringslinje till ledningen i banken. IR utför även vissa utredningar som är kopplade till IR, men andra arbetsuppgifter har de inte för att oberoendet ska upprätthållas.

RU är till för att de ska få mer tid och för att på ett bättre sätt kunna sätta sig in i IR-frågorna, något som styrelsen i sin helhet inte har tid med.

4. Internrevisionens anpassning till externrevisionen

Brevenhag uppskattar att cirka 20 procent av den totala granskningen utgörs av finansiell rapportering och resterande tid ägnas åt operationell granskning. I Sverige litar ER på IR i ganska stor utsträckning. Det är olika regelverk i olika länder som påverkar förtroendet för IR. I Tyskland rapporterar IR till cheferna och anses därför inte vara lika självständig och tillförlitlig, varför ER inte förlitar sig lika mycket på IR där.

IR:s förhållande till ER i Sverige är bra. De har ett nära samarbete där ER tar hänsyn till det arbete som IR utför. Samarbetet inkluderar en del gemensam revisionsplanering. IR kan även anpassa granskningen av den finansiella rapporteringen om ER så önskar. Beträffande den operationella granskningen så vill banken utföra den på det sätt de själva tänkt för att bland annat säkerställa organisationens effektivitet. Bankens IR följer kalenderåret medan ER följer bokslutsåret.

IR har nytta av ER då de kan bidra med en bredd. De granskar flera företag och på så sätt får banken en uppfattning av hur andra gör. ER bidrar även med avancerad redovisningskunskap vilket är svårt att upprätthålla på en hög nivå inom IR.

5. Kodens påverkan

Generellt sett har Koden inte påverkat bankens styrning av den anledningen att banken under många år arbetat med IK och riskhantering. Därför tycker Brevenhag inte att Koden är något speciellt eller nytt.

Koden är uppdelad på två delar, en bolagsstyrningsrapport och en internkontrollrapport. Beträffande bolagsstyrning har banken under många år fokuserat på rollfördelningen i styrelsen, utskottet och ledningen. Inom det området följde banken Koden redan innan den infördes.

Idag ska IK-rapporten vara kopplad till den finansiella rapporteringen och på det sättet har IR inte arbetat tidigare. Att skriva en fristående IK-rapport är en förändring till följd av Koden och banken har valt att följa FAR:s mall. En annan nyhet är en riskanalys kopplad till den finansiella rapporteringen. Den generella styrningen har alltså inte förändrats men några mindre förändringar och anpassningar har skett.

SEB:s mål med IR Bidra till att bankens affärsplan och mål uppnås samt att upptäcka risker innan det händer något allvarligt.

IR:s oberoende Säkerställs genom den organisatoriska placeringen. IR har inga andra uppgifter än vad som rör IR.

Kompetens Har idag inget uttalat krav på certifiering. IIA:s standarder Tillämpas fullt ut.

Riskhantering SEB använder sig av en trafikljusmodell som bedömer riskerna utifrån inneboende risk och IK.

Anpassning till ER IR samarbetar med ER och kan anpassa den finansiella granskningen om ER skulle önska det.

Koden:s påverkan Banken har arbetat med IK och riskhantering länge varför Koden inte har påverkat i någon större omfattning.