En ny rapport viser, at Skatte- og Vækstministeriet ikke kan udelukke, at ansatte stjæler fra statskassen uden at blive opdaget — her er hvad vi ved, og hvad der mangler.
Konklusion
Skatte- og Vækstministeriet kan ikke garantere, at interne bedragere vil blive opdaget, hvis de forsøger at stjæle fra statskassen. Det fremgår af en rapport, som avisen Ingeniøren har omtalt. Kontrolsystemerne har huller, og ministeriet erkender selv svagheden. Det er et konkret problem — ikke en teoretisk risiko — og det rejser alvorlige spørgsmål om borgernes tillid til den myndighed, der opkræver danskernes skatter.
Tre ting er centrale:
- Ministeriet kan ikke dokumentere, at alle mistænkelige transaktioner opdages.
- De interne kontroller er ikke designet til at fange alle former for intern svindel.
- Ministeriet er i gang med store it-omlægninger, hvilket historisk set øger sårbarheden midlertidigt.
Baggrund
Skattestyrelsen er en af statens mest følsomme myndigheder. Den administrerer indsamlingen af langt størstedelen af statens indtægter — indkomstskat, moms, afgifter og meget mere. Adgang til de systemer, der håndterer disse penge, er adgang til en af statens vigtigste nerver.
Det gør intern svindel til et særligt alvorligt problem. En medarbejder i en bank, der snyder, rammer bankens ejere. En medarbejder i Skattestyrelsen, der snyder, rammer alle skatteydere.
Intern svindel i offentlige myndigheder er ikke et nyt fænomen. Det er et velkendt problem i revisionslitteraturen og i internationale standarder for intern kontrol. Den mest udbredte referenceramme hedder COSO — Committee of Sponsoring Organizations of the Treadway Commission — og den beskriver, hvordan organisationer bør opbygge kontrolmiljøer, der minimerer risikoen for at medarbejdere kan misbruge deres adgang til systemer og midler. Rigsrevisionen, som er Folketingets uafhængige revisionsorgan, bruger lignende metodekrav, når den vurderer statsinstitutioners forvaltning.
Sagens kerne er ikke, om der faktisk er foregået svindel. Det ved vi ikke. Sagens kerne er, at kontrolsystemet ikke er godt nok til at afgøre, om det er sket — og at ministeriet selv indrømmer det.
Hvad sker der
Ingeniøren har omtalt en rapport, der viser, at Skatte- og Vækstministeriet ikke kan udelukke, at medarbejdere stjæler fra statskassen uden at blive opdaget. Det er en alvorlig formulering i en officiel sammenhæng. Myndigheder formulerer sig sjældent på den måde, medmindre de er tvunget til det af en revision eller en intern kontrol, der har afdækket konkrete svagheder.
Problemet handler om intern kontrol — de procedurer, systemkontroller og overvågningsmekanismer, der skal sikre, at en enkelt medarbejder ikke kan foretage uautoriserede transaktioner uden at blive opdaget. I en velfungerende kontrolstruktur kræves der typisk, at mindst to personer er involveret i kritiske transaktioner, at systemer logger alle handlinger, og at nogen regelmæssigt gennemgår disse logs for mistænkelige mønstre.
Når en myndighed erkender, at den ikke kan udelukke uopdaget svindel, betyder det i praksis et eller flere af følgende: at logningen er utilstrækkelig, at ingen systematisk gennemgår loggene, at adgangsrettighederne er for brede, eller at der mangler det, revisorer kalder "segregation of duties" — adskillelse af funktioner, så den der godkender en betaling ikke er den samme som den der udfører den.
Skatteministeriet er desuden midt i en periode med store it-forandringer. På ministeriets egne hjemmesider beskrives igangværende arbejde med it-systemer og ejendomsvurderinger, herunder udsendelse af nye vurderinger til ejere af parcel- og rækkehuse. Store it-omlægninger er klassiske tidspunkter, hvor interne kontroller midlertidigt svækkes, fordi gamle og nye systemer kører parallelt, adgangsrettigheder flyttes rundt, og overblikket er reduceret.
De centrale spørgsmål
Hvad er omfanget af problemet?
Det ved vi ikke præcist. Rapporten fastslår en sårbarhed — ikke et dokumenteret tab. Men sårbarhedens eksistens er i sig selv et problem for en myndighed af Skattestyrelsens størrelse og betydning. Hvis kontrollen ikke er tilstrækkelig til at opdage svindel, er den heller ikke tilstrækkelig til at udelukke den.
Hvorfor er intern kontrol i offentlige myndigheder særligt vigtig?
Private virksomheder har aktionærer og revisorer, der har direkte økonomisk interesse i at afsløre svindel. Offentlige myndigheder har borgerne som "ejere" — men borgerne har ikke adgang til regnskaberne på samme måde. Det gør Rigsrevisionen og interne kontrolfunktioner til de primære vogtere. Når disse svigter, er der ingen backup.
Er dette et nyt problem?
Ikke principielt. Intern svindel i offentlige myndigheder er beskrevet i revisionslitteraturen verden over. Men den konkrete erkendelse fra Skatte- og Vækstministeriet er bemærkelsesværdig, fordi den sker i en periode, hvor ministeriet allerede er under pres på it-siden, og fordi Skattestyrelsen historisk har haft store skandaler — herunder udbytteskattesagen, der kostede den danske stat milliarder af kroner og i vid udstrækning skyldtes utilstrækkelig kontrol.
Hvad siger de internationale standarder?
God intern kontrol i offentlige myndigheder kræver ifølge anerkendte revisionsstandarder, at der er klare procedurer for, hvem der må gøre hvad i et system, at alle handlinger logges og kan spores, at logs gennemgås systematisk af uafhængige personer, og at der gennemføres regelmæssige risikovurderinger. Når en myndighed ikke kan garantere, at svindel vil blive opdaget, indikerer det, at mindst ét af disse krav ikke er opfyldt.
Analyse
Et kontrolproblem — ikke kun et it-problem
Det er fristende at reducere denne sag til et spørgsmål om forældet software eller manglende it-ressourcer. Men intern kontrol er ikke primært et teknisk problem — det er et organisatorisk og ledelsesmæssigt problem. De bedste systemer i verden er ineffektive, hvis ingen systematisk bruger dem til at opdage afvigelser.
Det er en klassisk svaghed i store bureaukratier: Logsystemer implementeres, men ingen har ansvar for at gennemgå dem regelmæssigt. Adgangsrettigheder uddeles generøst for at undgå flaskehalse i arbejdsgange, men ingen rydder op i dem, når medarbejdere skifter funktion. Kontrolprocedurer beskrives i politikdokumenter, men følges ikke i praksis under pres.
Skattestyrelsen er en stor organisation med mange medarbejdere og komplekse it-systemer. Det gør risikoen for netop disse organisatoriske svagheder større — ikke mindre.
It-omlægning som risikofaktor
Skatteministeriet er midt i en periode med betydelige it-forandringer. Omlægninger af it-systemer er velkendte risikoscenarier i revisionssammenhæng, fordi de midlertidigt skaber:
- Uklarhed om, hvem der har adgang til hvad i de nye og gamle systemer.
- Perioder, hvor gamle kontroller ikke længere virker, men nye endnu ikke er på plads.
- Øget pres på medarbejdere, som kan føre til omgåelse af kontroller for at nå deadlines.
Det betyder ikke, at svindel nødvendigvis er sket. Men det betyder, at sårbarhedsvinduet er udvidet i en periode, der allerede er kritisk.
Tillid er en ressource, der kan opbruges
Skattestyrelsen er afhængig af borgernes frivillige efterlevelse af skattereglerne. Danmark har internationalt set en høj grad af skattemoral — borgere betaler i vid udstrækning den skat, de skylder, fordi de stoler på systemet. Denne tillid er ikke gratis. Den er opbygget over årtier og kan beskadiges af skandaler.
Udbytteskattesagen viste, hvad der sker, når kontrolsvigt i Skattestyrelsen får lov til at vokse sig store: Statskassen taber milliarder, og tilliden til myndighederne tager skade. Denne nye rapport handler om en anderledes type svindel — intern frem for ekstern — men konsekvensen for tilliden kan være den samme, hvis problemet ikke håndteres synligt og troværdigt.
Hvad bør ske
For at rette op på den dokumenterede sårbarhed bør Skatteministeriet og Skattestyrelsen som minimum:
Kortlægge og reducere adgangsrettigheder. Medarbejdere bør kun have adgang til de systemer og data, de har brug for i deres aktuelle funktion. Det lyder indlysende, men er i praksis en stor opgave i store organisationer med høj personaleomsætning.
Sikre systematisk gennemgang af logs. Det er ikke nok, at handlinger logges. Nogen skal have ansvar for at gennemgå dem regelmæssigt — og have de ressourcer og den tid, der kræves for at gøre det meningsfuldt.
Implementere adskillelse af funktioner på kritiske processer. Ingen enkelt medarbejder bør kunne igangsætte og afslutte en transaktion, der medfører udbetaling af penge, alene.
Inddrage Rigsrevisionen aktivt. Rigsrevisionen bør have adgang til at vurdere kontrolmiljøet uafhængigt og regelmæssigt — ikke kun som reaktion på kendte skandaler, men som forebyggende revision.
Kommunikere transparent om fremskridtene. Borgernes tillid kræver ikke, at alt er perfekt. Den kræver, at myndighederne er ærlige om problemer og synlige i arbejdet med at løse dem.
Det vi ikke ved
Det er vigtigt at understrege, hvad denne sag ikke dokumenterer. Der er ikke fremlagt beviser for, at svindel faktisk har fundet sted. Der er ikke identificeret konkrete mistænkte medarbejdere. Det, vi ved, er, at kontrolsystemet har svagheder, som gør det muligt, at svindel kan foregå uopdaget. Det er alvorligt nok i sig selv — men det er ikke det samme som et dokumenteret tab.
Det ville være urimeligt at sætte lighedstegn mellem "kontrolsystemet er sårbart" og "der er systematisk svindel i Skattestyrelsen". Det ville også være urimeligt at bruge usikkerheden som argument for at nedtone alvoren af kontrolsvigtet.
Konklusion
Skatte- og Vækstministeriets indrømmelse af, at intern svindel kan foregå uopdaget, er et konkret og alvorligt problem. Det handler ikke om en abstrakt teoretisk risiko, men om grundlæggende krav til intern kontrol i en myndighed, der forvalter statens skatteindtægter.
Problemet opstår i skæringspunktet mellem organisatoriske svagheder, store it-omlægninger og en kontrolstruktur, der ikke er designet godt nok til at fange alle former for misbrug. Det er et ledelsesmæssigt og organisatorisk problem — ikke kun et teknisk.
Danmarks høje skattemoral og borgernes tillid til Skattestyrelsen er værdifulde aktiver, der ikke bør tages for givet. De beskadiges af synlige kontrolsvigt og genopbygges af synlig og troværdig handling. Ministeriets næste skridt bør være at fremlægge en konkret plan for, hvordan sårbarhederne lukkes — og lade Rigsrevisionen vurdere, om det sker godt nok.