Insikt · Risk och intern kontroll

Riskanalysen görs varje år. Ändå blir ledningen överraskad

Peter Öberg · 1 november 2026 · 3 min läsning

Varje höst gör många nämnder och styrelser en riskanalys. Den blir en internkontrollplan, kontrollerna genomförs och rapporteras. Och ändå är det ofta något helt annat som går fel. Det säger något om hur riskanalysen görs.

Kopplingen mellan risk och kontroll brister

När revisorerna i Nacka granskade den interna kontrollen 2019 fann de brister framför allt i nämndernas och styrelsens riskanalysarbete och i uppföljningen av internkontrollplanerna. Kommunens reglemente för intern kontroll behandlade inte ens riskanalys, uppföljning eller vad planen skulle innehålla. I Upplands Väsby rekommenderade revisorerna 2026 bland annat att spårbarheten från riskanalys till internkontrollplan skulle stärkas, och att prioriteringen av risker skulle förankras bättre hos styrelse och nämnder.

Det är kärnan i problemet. Om det inte går att se varför en viss kontroll finns, är det svårt att veta om ni kontrollerar rätt saker.

Ett typiskt exempel: internkontrollplanen innehåller år efter år kontroller av attester, representation och leasingavtal. Allt kontrolleras och rapporteras utan anmärkning. Samtidigt är hela lönehanteringen beroende av en enda person, som har arbetat där i tjugo år och är den enda som förstår systemet. När hon blir långtidssjuk står verksamheten still i flera veckor. Risken var inte svår att se. Den kom bara aldrig med i analysen, eftersom analysen utgick från förra årets plan i stället för från frågan vad som faktiskt skulle kunna slå ut verksamheten.

Varför det blir så

Riskanalysen blir en tjänstemannaövning. Den görs av en handläggare, med en mall, och politikerna eller styrelsen godkänner den utan att riktigt diskutera den.

Man väljer det som är lätt att kontrollera. Attestrutiner och stickprov på fakturor är enkla att följa upp. Att verksamheten inte når sina mål, eller att en nyckelperson bär för mycket kunskap, är svårare. Så det blir inte kontrollerat.

Samma risker år efter år. När analysen kopieras från förra året missar den det som har förändrats.

Ett bättre sätt

1. Gör riskanalysen i ledningen, inte åt ledningen. Ett kort samtal där ledningen själv pekar ut vad som skulle kunna gå riktigt fel är mer värt än en lång mall.
2. Skriv för varje kontroll vilken risk den hanterar. Kan ni inte det kanske kontrollen inte behövs.
3. Fråga vad som har överraskat er det senaste året. Fanns det med i förra årets riskanalys? Om inte, varför?

En fråga till nästa ledningsmöte

Vilken av de saker som gick fel hos oss det senaste året fanns med i förra årets riskanalys?

Källor: Nacka kommun, revisionsrapport 6/2019 om den interna kontrollen · Upplands Väsby kommun, revisionsrapport 2026:2 om intern kontroll