En internrevisjonsavdeling er både styrets og konsernledelsens styringsverktøy. Revisjonsplanen er i seg selv et budskap til organisasjonen. Hvis styre og ledelse har formidlet at personsikkerhet er det viktigste i alt vi driver med, bør personsikkerhet/HMS være en del av revisjonsplan. En konsernsjef jeg engang arbeidet for mente at revisjonsplanen alltid måtte inneholde minst et prosjekt som adresserte konsernets personsikkerhetsarbeid, på et eller annet område. Jeg mener dette er en god tilnærming. Selskaper med operativ virksomhet bør hvert eneste år ha et personsikkerhetstema på revisjonsplanen.

Et energiselskap har ofte tre-fire hovedmål. Typisk er mål nummer en nettopp det med å ikke ha personskader. Dernest er det et selvsagt et mål om økonomisk verdiskaping og som regel også målsettinger knyttet til samfunn og bærekraft.  Revisjonsplanen bør ha evalueringsprosjekter knyttet til alle selskapets hovedmål.  

Alle prosjekter som havner på revisjonsplanen er et budskap til organisasjonen fra styre og ledelse. Om budskapet er at vi skal være en forbedringsfokusert og offensiv organisasjon så må revisjonsplanen inneholde områdene hvor man vet at det forbedringspotensial. Samtidig må ikke styret da uttrykke alt for stor bekymring om de mottar gule og røde rapporter tilbake.

Risikokartet er et opplagt utgangspunkt for revisjonsplanen, som må også sørge for at styret får bekreftelse på at risikostyringen er tilfredsstillende på områdene som har høyest risiko. I energibransjen kommer nesten alltid cyber-risiko knyttet til IT og driftsstyringssystemer høyt opp på risikokartet og bør evalueres jevnlig. Likeledes er krafthandel et område med mange internkontrollutfordringer, og bør etter min mening være gjenstand for uavhengige evalueringer hvert eneste år. Når et område evalueres årlig trenger evalueringene imidlertid ikke være så omfattende. Om internrevisjonen holder en viss kontinuitet kan det oppnås mye selv med korte 1-2 dagers evalueringer.   

Det er en grunn til at en internrevisjonsavdeling rapporter direkte til styret. Revisjonsplanen er styrets viktigste verktøy for faktisk å styre hva man vil oppnå med internrevisjonen. Revisjonsplanen bør inneholde evalueringer som adresser hvordan styrets vedtak er fulgt opp i organisasjonens arbeid. Likeledes hvorvidt rapporteringen tilbake til styret er dekkende for det som faktisk foregår. De fleste av internrevisjonens evalueringer har elementer av dette, men det kan være hensiktsmessig med egne evalueringer på spesielt viktige områder hvor styret har gitt føringer.

Oppsummert er revisjonsplanen styrets viktigste verktøy for å styre internrevisjonen. Revisjonsplanen bør adressere alle selskapets måldimensjoner – personsikkerhet, økonomisk verdiskaping og samfunn/bærekraft. Hva som havner på revisjonsplanen, er en sentral del av styrets budskap til organisasjonen.