Revisionsbolagsutredningen: Hur hanterar företagen millennieskiftet i årsredovisningarna?

Hur hanterar företag omvärldsfaktorer i årsredovisningen? Eva Nyström och Gey Widengren har studerat hur ett antal företag behandlat den nu aktuella år 2000-frågan. De menar bl.a. att företagen generellt varit sena med sina År 2000-projekt och att informationen i årsredovisningen i de flesta fall är otillräcklig.

I Balans nr 11/98 berör Lars Oxelheim olika omvärldsfaktorer i företagets externredovisning och framhäver att det är svårt för den externa intressenten att se hur olika omvärldsfaktorer påverkar ett specifikt företag. Vi har därför slumpvis valt ut ett antal företag för att se hur de för 1998 redovisar en, för det året, mycket aktuell omvärldsfaktor, nämligen millenniumskiftet.

Bakgrund

Effekten av millennieskiftet på datoriserade system och dess inverkan på affärsverksamheten har behandlats och diskuterats utförligt under senare år i media. Något som dock inte har diskuterats är hur denna mycket viktiga omvärldsfaktor behandlas i årsredovisningarna. Med vår artikel vill vi därför belysa vilka tolkningar som kan uppkomma när man någorlunda objektivt, utifrån den information som ges i årsredovisningarna, försöker bedöma var de olika företagen står i sitt arbete med millennieskiftesproblematiken. En läsare utgår ofta från denna analys för att göra en egen riskbedömning.

År 2000-projekt

För att säkerställa att en verksamhet är opåverkad av övergången till år 2000 krävs ett omfattande och strukturerat arbete med ett uttalat slutdatum – ett projekt. År 2000-problemet må vara enkelt att förstå utifrån varför det inträffar, men är komplext att bemästra därför att det kan drabba ett företag utifrån en stor mängd olika aspekter. Det är därför ett verksamhetsproblem snarare än ett IT-problem. Bild 1 (se Balans 10/99).

I varje delprocess i ett företags verksamhet finns risken för att det ska finnas en datumkänslig processor som inte kommer att klara av att hantera övergången till år 2000 korrekt. Talesättet om kedjan och den svagaste länken har aldrig varit aktuellare än i år 2000-fallet. Arbetet med att säkerställa verksamheten inför övergången handlar därför om att identifiera, kontrollera, åtgärda och testa alla de processer som kan fallera och därmed utgöra kedjans svaga länk. Utöver detta tillkommer behovet av att försäkra sig om den utvidgade kedjan, dvs. alla leverantörer, kunder, finansiella institut, resursförsörjning etc.

För att säkerställa att kontrollerad och godkänd utrustning inte byts ut mot ny utrustning som inte är testad eller lagas med reservdelar som inte är år 2000-säkra, är det viktigt att ha strikta ”clean management”-rutiner1 och ett ständigt uppdaterat register över verksamhetens utrustning.

Ingen kan garantera att man tänkt på allt. Det räcker med att en till synes obetydlig processor slunkit igenom kontrollerna för att ett fel ska kunna uppstå. Finns denna processor i en kritisk del av verksamheten kan det bokstavligen betyda skillnaden mellan liv och död. Därför behöver verksamheten analysera behovet av beredskapsplaner för sina kritiska processer. Varje utvecklad beredskapsplan behöver sedan testas innan det kan konstateras om den verkligen fungerar.

Utöver detta behöver beredskapsplaner utformas för de åtgärder som behöver vidtas vid förseningar i År 2000-projektet; i ett År 2000-projekt finns ju egentligen bara en faktor som det inte går att ändra på och det är slutdatumet.

I bild 2 (se Balans nr 10/99) återfinns en grafisk sammanställning över de logiska projektfaser som förekommer i ett allmänt År 2000-projekt. Procentsatserna illustrerar relativ tidsåtgång, baserad på erfarenhet från genomförda projekt. Det bör noteras att inventering och analys av all utrustning och alla processer är en betydligt mindre del i arbetet än att genomföra och testa korrigeringar.

Stora företag och i princip alla börsbolag består inte av en verksamhet utan av många som kan vara geografiskt skilda åt och uppdelade i separata legala enheter. Dessa olika verksamheter innebär att komplexiteten vid genomförandet av ett År 2000-projekt ökar liksom behovet av strukturerade projekt, större organisation och effektiva kontroller. Detta späds på ytterligare av att det behövs vitt skilda kunskaper för att analysera och åtgärda de olika typerna av datorsystem och problemställningar som förekommer i ett År 2000-projekt.

Administrationen blir ofta betydande, år 2000-arbetet i koncerner behöver t.ex. administreras som ett centralt år 2000-program, där ett delprogram utgörs av en koncerns alla ”lokala” År 2000-projekt. För att säkerställa en enhetlig kvalitet på koncernens år 2000-arbete är det nödvändigt att utse ansvariga år 2000-resurser på koncernnivå samt definiera och kommunicera gemensamma riktlinjer för arbetets genomförande.

Vad är då ett lämpligt slutdatum för ett År 2000-projekt? Alla företag arbetar med framförhållning; för banker kan det innebära tio år eller mer genom deras omfattande värdepappershandel medan det för ett mindre producerande företag kan handla om en logistikplanering som sträcker sig bara månader fram i tiden. Bankerna kom således i kontakt med år 2000 redan 1990 medan det producerande företaget gör det senast under 1999. Exakta tider för när det enskilda företaget ”rullar över” millenniet med någon del av verksamheten bör ingå som en del i analysarbetet i projektet. Enkelt kan vi dock konstatera att senast under 1999 kommer alla företag att komma i kontakt med år 2000. Förutsatt att det enskilda företaget inte kommit till andra slutsatser genom omfattande analys av verksamhet och system, var därför 31 december 1998 en god tumregel som det absoluta slutdatumet för när samtliga system borde ha testats och konstaterats klara övergången utan problem.

Erfarenhet har visat att ett År 2000-projekt i ett stort företag normalt sträcker sig över minst en tvåårsperiod, oftast längre.

År 2000-rapportering i årsredovisningen

Vi har gjort en övergripande analys av 20 stora företags år 2000-rapportering i årsredovisningen. Dessa företag har valts ut främst för att deras aktier ingår bland de mest omsatta aktierna på Stockholms Fondbörs. Eftersom millennieskiftet är en mycket kritisk tidpunkt för företag inom framför allt telekommunikation, energi, bank och försäkring samt sjukvård, har vi utökat stickprovet med företag som representerar dessa sektorer.

Enligt årsredovisningslagen (ÅRL) ska företagen i sin förvaltningsberättelse bl.a. lämna upplysningar om sådana förhållanden som inte redovisas i balans- och resultaträkningarna eller i noterna men som är viktiga för bedömningen av företagets resultat och ställning. I FARs Revisionskommittés uttalande om År 2000-problematiken (se Revision nedan) rekommenderas att frivillig upplysning lämnas om företagets behandling om år 2000-problematiken och affärsaspekter. Omvärldsfaktorer framgår inte specifikt av företagens siffermaterial varför de, enligt ÅRL, som huvudregel bör beskrivas i förvaltningsberättelsen. Vi ser millenieskiftesproblematiken som en viktig omvärldsfaktor. I denna artikel bortser vi helt från problematiken kring principen om kontinuitet (”going concern”) som kan uppkomma kring millenieskiftet.

Revision

FARs Revisionskommitté har gett ut ett uttalande om År 2000-problematiken för att ge vägledning till hur revisorerna ska behandla frågor som är knutna till denna problematik när de utför revision. FAR har här definierat ett antal väsentliga effekter som millennieskiftet kan ge upphov till, bl.a.

• störningar eller stopp i produktionen eller i leveranserna till eller från företaget,

• störningar i redovisningsrelaterade system, och

• driftstörningar i system hos utomstående som företaget är beroende av liksom störningar i det elektroniska informationsutbytet.

Det är styrelsen som ansvarar för bolagets organisation och förvaltningen av bolagets angelägenheter inklusive att organisationen och medelsförvaltningen också innefattar en tillfredsställande kontroll. VD svarar för den löpande förvaltningen. Styrelse och VD ska därför, vad gäller år 2000-problematiken,

• undersöka bolagets risker med sekelskiftet,

• prioritera och vidta lämpliga åtgärder för att hantera riskerna, samt

• följa upp beslutade åtgärder och kontrollera att de fått avsedd effekt.

När det gäller den information som ges i årsredovisningen är det bl.a. viktigt för styrelse och VD att se till att, förutom information om bl.a. väsentliga händelser i förvaltningsberättelsen, tillse att periodisering av kostnader och aktivering av utgifter är gjort på ett lämpligt sätt samt att värderingen av lagret har gjorts på ett korrekt sätt. Det är sedan revisorns uppgift att granska dessa åtgärder och dess effekter. I förvaltningsrevisionen bör revisorn utvärdera bolagets egen analys och åtgärdsplan och då ta hänsyn till hur beroende bolaget är av IT och hur viktig år 2000-frågan är för organisationen i syfte att bedöma rimligheten i ledningens åtgärder. Om information lämnas i årsredovisningen ska den också bedömas på vanligt sätt. Om uppgifter lämnas utanför den formella årsredovisningen begränsar sig revisorn till att bedöma rimligheten i uppgifterna och pröva dem utifrån sin kännedom om företaget.

Förutsättningar för undersökningen

Utifrån den kunskap vi har om vilka faktorer som styr ett År 2000-projekt, har vi analyserat den information som de olika företagen lämnat i årsredovisningen om sitt år 2000-arbete. Syftet är att utröna vilken möjlighet en extern intressent har att, utifrån årsredovisningen, bedöma statusen en på ett företags år 2000-arbete, dvs. hur långt ett företag kommit i arbetet att slutföra nödvändiga anpassningar av sina system för att med opåverkad verksamhet gå över till år 2000. Vi har beaktat även sådan information som återfinns på andra ställen i årsredovisningen än i förvaltningsberättelsen, även om vi anser att detta är en så viktigt omvärldsfaktor att den i alla företag borde avhandlas i förvaltningsberättelsen.

Vi har inte som huvudsyfte att förmedla kritik i vår analys eftersom vi anser att vi inte besitter så detaljerad kunskap om de undersökta företagen att vi kan bedöma om skrivningarna är ”rätt” eller ”fel”. Dessutom, eftersom det saknas rekommendationer på området, så finns det heller inget att ”bryta” mot.

För överskådlighetens skull har vi sammanställt resultatet i en matris, vars faser bygger på den generella projektmodell vi redovisar i bild 2 (se Balans 10/99). För att underlätta tolkning och redovisning har vi samlat ihop dessa faser i sex övergripande steg:

1. Inventering All utrustning som kan innehålla känslig teknologi.

2. Konsekvensanalys Analys av inventerad utrustning för att fastställa vad som inte klarar en övergång till år 2000 problemfritt. Inventerad utrustning mappas mot verksamhetsprocesser, och prioriteras efter hur verksamhetskritisk processen är som den stödjer.

3. Åtgärdsplanering Baserat på konsekvensanalysen utformas övergripande och detaljerade planer för anpassningsarbetet.

4. Genomförande

5. Testning Planering och genomförande av applikationstest, systemtest, acceptanstest, korrigeringar samt test av korrigering. Analys och prioriteringar är nyckelfaktorer, eftersom ett företag inte kan testa allt. Detta är en viktig indikation på projektstatus eftersom halva projektets tid kan gå åt till att genomföra tester.

6. Beredskapsplanering Består av två delar; dels för den händelse företaget missar viktiga punkter i projektet och behöver hämta in tiden, dels för den händelse att något oförutsett fel slunkit igenom trots genomfört projekt.Vi har dessutom brutit ut:

7. Utvidgad värdekedja, för att illustrera om företaget aktivt arbetar med exponerade områden utanför deras egen direkta kontroll. Detta behöver ofta drivas som ett parallellt projekt med liknande indelning 1–6 ovan.

Resultat

Resultatet i bild 3 (se Balans 10/99) är en grafisk illustration av statusen på företagens År 2000-projekt baserat på den information som ges i årsredovisningarna för räkenskapsåret 1998. Företagens inbördes ordning är helt slumpmässig.

Att notera att av de företag som anger kostnaderna för år 2000-anpassningen så varierar beloppen från MSEK 4 (NCC) till MSEK 2 900 (Ericsson). Denna information är således tämligen värdelös utan någon information om hur detta belopp beräknats, exempelvis om det utgör hela kostnaden för projektet eller bara den del som avser den programvara/hårdvara som kostnadsförts.

Den grafiska presentationen av företagens projektstatus innefattar att behöva tolka information i årsredovisningar som inte alltid är tydlig och enhetlig. Därför kommenterar vi på sid. 27–28 i korta ordalag informationen och hur vi uppfattar den i rollen som externa intressenter (må vara med erfarenhet från ämnet).

Slutsats

Utifrån vår genomgång av företagens informationen om år 2000 som en viktig omvärldsfaktor, kan vi framför allt konstatera att den information som företagen lämnar i de flesta fall inte ger läsaren information om hur långt företagen kommit i sina projekt. Därmed finns inte heller möjlighet för läsaren att bedöma om företagens angivna slutdatum för projekten är realistiska.

Generellt tyder redogörelserna på att företagen är sena i sina År 2000-projekt. Projektslut endast några månader innan den faktiska övergången till nytt millennium innebär ett risktagande i sig, som enkelt hade kunnat undvikas med högre prioritering av arbetet. Som framhållits ovan vet vi att de flesta system kommer i kontakt med år 2000 innan vi faktiskt rullar över nyåret, och därmed ökar risken för system som fallerar ju längre fram i tiden vi kommer.

En fråga som vi måste ställa oss med bakgrund av att de olika företagen som undersökts har informerat så olika, är om vi behöver en rekommendation om omvärldsfaktorer generellt; hur dessa ska upplysas om och hanteras i årsredovisningen i olika situationer. En sådan rekommendation skulle möjligen underlätta för företagen, revisorerna och externa intressenter av årsredovisningar och då ge externa intressenter ett användbart verktyg för att bedöma företagens riskexponering.

Eva Nyström (nu Törning) är verksam som redovisningsspecialist på Öhrlings PricewaterhouseCoopers i Malmö och Gey Widengren är ansvarig för risk management-konsultverksamheten, GRMS, på samma byrå.Eva Nyström medverkade senast i Balans nr 4/98.