Riskbaserat revisionsprogram

Det femåriga riskbaserade revisionsprogrammet för livsmedelskontrollen omfattar alla verksamheter och områden som kontrolleras, samt de myndigheter som utför kontrollen. Läs om hur programmet tas fram och få stöd i hur organisationen som utför revisioner kan ta fram sitt eget revisionsprogram.

• Om det riskbaserade revisionsprogrammet
• Att ta fram revisionsprogrammet - i stora drag
• Audit Universe
• Risk Universe och arbetsgång för att ta fram underlag
• Nationellt revisionsprogram
• Årlig översyn
• Revisionsprogram för den organisation som utför revisioner
• Riskbaserad urvalsmodell för revisioner av kommunala kontrollmyndigheter

Om det riskbaserade revisionsprogrammet

Revisionsprogrammet ska vara riskbaserat och omfatta samtliga verksamheter och områden som kontrolleras, samt de behöriga kontrollmyndigheterna som kan komma att revideras. Alla delar i kontrollsystemet ska täckas, liksom alla krav på kontrollen enligt förordning (EU) 2017/625.

Livsmedelsverket tar fram det nationella programmet som är femårigt. Programmet utvärderas och kan även justeras varje år.

Flerårigt riskbaserat revisionsprogram - 2022-2026

Flerårigt riskbaserat revisionsprogram - 2023-2027

Flerårigt riskbaserat revisionsprogram - 2024-2028

Processen har stöd av referensdokumentet Riskbaserad planering vid revisioner av offentliga kontrollsystem samt kommissionens riktlinjer.

Riskbaserad planering vid revisioner av offentliga kontrollsystem ver 2 2024

EU-kommissionens vägledning om revision

Programmet bryts ned till enskilda års revisionsplaner som utgår från tillgängliga resurser, både då det gäller revisorer hos den organisation som utför revisionerna och de sakkunniga. Revisionsplanerna anger vilket fokus de enskilda revisionerna kommer att ha.

Det nationella programmet är även underlag till den organisation som utför revisioner när den tar fram sitt eget revisionsprogram.

Utgångspunkten i processen är att använda de system och verktyg som redan finns i kontrollen, till exempel den nationella kontrollplanen (NKP), anläggnings- och verksamhetstyper i riskklassningsmodellerna, operativa mål samt anvisningen för myndighetsrapporteringen. De är grunden i revisionsprogrammet, tillsammans med lagstiftningen.

Att ta fram revisionsprogrammet - i stora drag

När man tar fram det riskbaserade revisonsprogrammet ingår att:

1. Definiera Audit Universe
2. Identifiera och bedöma risker i kontrollen med hjälp av ett Risk Universe och samla in underlag till programmet
3. Ta fram det femåriga programmet
4. Se över och justera programmet årligen 

I figuren nedan visas processen för att ta fram ett flerårigt riskbaserat revisionsprogram. Från Audit Universe, via Risk Universe till ett flerårigt revisionsprogram.

Processen beskrivs mer i detalj nedan för den som är intresserad. Det är dock bara Livsmedelsverket som använder den när det nationella revisionsprogrammet tas fram.

Audit och Risk universe

Audit Universe

Audit Universe anger allt som kan komma i fråga att utföra revision på, bland annat:

• behöriga kontrollmyndigheter, på kommunal, regional och central nivå
• kontrollområde, till exempel livsmedel, djurskydd, ekologisk produktion
• lagstiftningsområden, till exempel HACCP, spårbarhet och information
• mål och prioriteringar i kontrollen, till exempel operativa mål
• kontroll av särskilda områden och särskilda livsmedel, till exempel kontroll före och efter slakt och särskilda kontrollprogram
• centrala funktioner, till exempel uppföljning och sammanställning av kontrollen, arbete med NKP, stödinsatser och kontrollutveckling
• annan offentlig verksamhet (inkluderas i begreppet offentlig kontroll på dessa sidor)

Audit Universe finns i NKP, och beskriver hur ivsmedelskontrollen är planerad, organiserad, genomförs, följs upp och utvecklas samt vilka prioriteringar som görs i kontrollen.

NKP-webben

Audit Universe förändras, uppdateras och justeras samtidigt med NKP-webben, vilket sker löpande under året. Ny definition av Audit Universe i denna planeringsprocess sker däremot bara i samband med den årliga översynen (se avsnitt nedan).

En sammanställning av kontrollområde och kontrollmyndigheter i Audit Universe finns för hela livsmedelskedjan och för livsmedelskontrollen i flik 1 respektive i flik 2 i Audit och Risk Universe.

Audit och Risk Universe

Risk Universe och arbetsgång för att ta fram underlag

I Risk Universe identifieras och bedöms risker i kontrollen.

• Vilka brister kan finnas eller finns i kontrollen?
• Hur stor är sannolikheten att det är brister i kontrollen eller att den inte är verkningsfull? Tidigare myndighetsprestationer hjälper till att besvara frågan.
• Vad blir konsekvensen av bristerna? Konsekvensen bedöms både utifrån hälso- och redlighetsrisk. Båda dessa faktorer bedöms som likvärdiga, det vill säga bidrar vardera med 50 % till den samlade riskpoängen i Risk Universe.

I Risk Universe görs alltså riskbaserade prioriteringar av Audit Universe, det vill säga ger ett riskbaserat underlag till framtagande av revisions-programmet. Vilken del av Audit Universe är det viktigast att göra revision på? Var gör revisionerna störst nytta för att bidra till en fungerande och verkningsfull kontroll?

För att ta fram Risk Universe används mallarna som finns i flikarna 3 - 5 i Audit och Risk Univers samt risktabellen i flik 6. I risktabellen finns en skala för sannolikhet och konsekvens samt den riskpoäng som kommer fram när sannolikheten kombineras med konsekvensen.

Audit och Risk Universe

Bakgrundsmaterial som kan användas vid bedömning av sannolikhet och konsekvens är bland annat:

• tidigare revisionsresultat
• data från myndighetsrapporteringen, antal utförda kontroller, andel avvikelser, vidtagna åtgärder
• sammanställningar och slutsatser i rapporter om kontrollen, exempelvis årliga rapporten till Kommissionen, rapport om Sveriges livsmedelskontroll, samt läget-i-kontrollen-rapporten
• intervjuer med personer som är kunniga inom respektive område.

Risk Universe för kontrollområde och anläggnings- eller verksamhetstyp

Kontrollområdet ”Livsmedel” delas upp i primärproduktion och ledet efter primärproduktion. Övriga sex kontrollområden hålls intakta (se flik 3 i Audit och Risk Universe).

Av de kontroller som sker inom ”särskilda områden” (se flik 2 i Audit och Risk Universe) är det tre som inte tas om hand på annat ställe än i detta Risk Universe, så de återfinns längst ner i listan i flik 3.

Audit och Risk Universe

Primärproduktion

Kontrollen i primärproduktionen planeras från och med år 2020 utifrån en modell för nationell kontrollplanering. Verksamhetstyperna är indelade i fyra prioriteringsklasser, 1 till 4, där kontroll ska utföras mest frekvent i klass 1. Inom varje prioritetsklass finns ett antal branscher.

Nationell kontrollplanering i primärproduktionen

Ledet efter primärproduktionen

I ledet efter primärproduktionen görs kontroll på en mängd olika kontrollobjekt, som kan delas in i anläggnings- och verksamhetstyper eller processer. För närvarande pågår en översyn av risklassningsmodellen av dessa kontrollobjekt. I Risk Universe kommer den framtida indelningen i anläggningar/verksamheter/processer att användas.

Risk Universe för lagstiftningsområde, del av reglerna som kontrollen fokuserar på

Lagstiftningsområden är Livsmedelsverkets struktur, som beskriver och speglar den lagstiftning som finns och de kontroller som ska utföras med stöd av denna. Lagstiftningsområdena är en central del i kontrollen, i rapporteringen och i uppföljningen av kontrollen. De bör även vara en central del vid revisionerna, särskilt vid revisioner där skuggkontroll på en anläggning ingår. Risk Universe för lagstiftningsområden finns i flik 4 i Audit och Risk Universe.

Lagstiftningsområden 

Audit och Risk Universe

Risk Universe för varje revisionsområde, del av förordning (EU) 2017/625

För att underlätta utförande, rapportering och uppföljning av en revision har Livsmedelsverket delat in lagstiftningens krav på den offentliga livsmedelskontrollen i ett antal revisionsområden. Risk Universe för revisionsområden finns i flik 5 i Audit och Risk Universe.

Revisionsområden 

Audit och Risk Universe

Val av kontrollmyndighet

I revisionsprogrammet ska det framgå vilken kontrollmyndighet eller grupp av kontrollmyndigheter revision ska utföras på. Det finns olika urvalsmetoder på plats som bör användas.

Kommunala kontrollmyndigheter

Länsstyrelserna utför idag revisionerna av de kommunala kontrollmyndigheternas livsmedelskontroll. En urvalsmodell för dessa revisioner beskrivs nedan. Modellen ger en revisionsfrekvens. Länsstyrelserna ansvarar för sitt eget revisionsprogram men Livsmedelsverket sammanställer varje år de enskilda revisionsprogrammen för att säkerställa att alla kommunala kontrollmyndigheter täcks av programmen.

Urvalsmodell 

Länsstyrelserna

Livsmedelsverket utför idag revisionerna av länsstyrelsernas livsmedelskontroll i primärproduktionen. Ambitionsnivån är för tillfället att revision utförs på respektive länsstyrelse en gång under en femårs period. Om möjligt sker detta gemensamt med de revisioner Jordbruksverket gör av länsstyrelsernas foderkontroll.

Livsmedelsverket

Livsmedelsverket är ensam kontrollmyndighet på flera delar av livsmedelskontrollen, till exempel vissa anläggningstyper, särskilda kontroller och enstaka kontrollområden. Beroende på vilka delar av Audit Universe som ingår i revisionsprogrammet kommer revisionerna i vissa fall att göras av Livsmedelsverkets kontroll.

Försvarasinspektören för hälsa och miljö

Försvarsinspektören för hälsa och miljö (FIHM) är ansvariga för att deras kontroll blir reviderad. Det finns en överenskommelse för revision av FIHM inom livsmedelsområdet som innebär att Livsmedelsverket ska utföra revisionerna. Dessa revisioner ingår inte i det riskbaserade revisionsprogrammet utan hanteras för sig.

Nationellt revisionsprogram

Det riskbaserade revisionsprogrammet ska omfatta fem år och ange:

• kontrollmyndighet/grupp av kontrollmyndigheter
• revisionsområde
• kontrollområde
• eventuellt lagstiftningsområde
• eventuell anläggningstyp/verksamhetstyp/process
• övriga horisontella revisioner
• motiveringar till urval och bortval.

Vid framtagandet av revisionsprogrammet tas hänsyn till utfallen i Risk Universe och val av kontrollmyndigheter, men även till bland annat:

• tillgängliga resurser, både revisorer och sakkunniga för skuggkontroller
• ledningens önskemål
• mål och prioriteringar i kontrollen
• kommande Sante F revisioner och resultat från tidigare revisioner
• omvärldsbevakning. 

Dessa hänsyn kan tas vid framtagande av det femåriga revisionsprogrammet och/eller i samband med att en mer detaljerad plan för revisionerna det nästkommande året görs.

Revisionsteamet på Livsmedelsverket tar fram och uppdaterar det femåriga programmet i samband med övrig verksamhetsplanering i början av hösten. Det sker i samarbete med medarbetare på Livsmedelsverket med kunskap om revision, kontroll, uppföljning samt hälso- respektive redlighetsrisker. Revisorer på länsstyrelserna samt sakkunniga, som har kunskap om de olika delarna, bidrar också på olika sätt. Ställningstagande, urval och bortval ska motiveras och dokumenteras.

Avstämning med Jordbruksverket

Förslaget på det femåriga revisionsprogrammet och planen för nästkommande års revisioner stäms av med Jordbruksverket för att om möjligt samordna revisionerna av länsstyrelsernas kontroll av livsmedel och foder i primärproduktionen.

Årlig översyn

Revisionsprogrammet ses över årligen för att ta hänsyn till ny fakta och nya bedömningar. Översynen sker lämpligast i samband med övrig verksamhetsplanering i början av hösten och i samband med att det nästkommande årets revisionsplan beslutas.

Exempel på frågeställningar som kan användas:

• Täcker programmet allt som vi tänkt oss?
• Har Audit Universe förändrats?
• Har vi glömt något?
• Finns det andra och nya fakta vi bör ta hänsyn till i Risk Universe? 
• Är revisionerna för omfattande eller för begränsade?

Revisionsprogram för den organisation som utför revisioner

Den organisation som utför revisioner utformar sitt eget revisionsprogram utifrån det nationella revisionsprogrammet. Detta blir den övergripande planeringen av vilka revisioner som ska genomföras under en viss tidsperiod. Programmet bör vara utformat så att det under en period av fem år täcker samtliga kontrollmyndigheter som omfattas av revisionsuppdraget, exempelvis samtliga kommunala kontrollmyndigheter i ett län.

Även detta program bör vara riskbaserat vilket innebär att olika kontrollmyndigheter kan revideras med olika intervall och att revisionerna kan ha olika fokus. Prioriteringar bör göras där hänsyn tas till den enskilda kontrollmyndighetens prestationer och förutsättningar, samt tidigare erfarenheter från revisioner.

Revisionsprogrammet bör uppdateras varje år eftersom förutsättningarna vid en kontrollmyndighet kan ändra sig relativt snabbt. Det kan bero på resursförändringar, hög personalomsättning eller stora förändringar vid kontrollmyndigheten som visat sig i den senaste myndighetsrapporteringen.

Vid ett revisionstillfälle kan man välja att gå igenom samtliga revisionsområden, bara vissa områden eller delar av ett område. Hänsyn bör tas till det fleråriga riskbaserade nationella revisionsprogrammet där de revisionsområden som bör vara i fokus olika år framgår. Revisionsområden som vid tidigare revisioner visat att efterlevnaden är god kan ofta uteslutas.

Det är dock alltid möjligt att revidera andra revisionsområden än bara de som är i fokus ett visst år. Även ett område som i normalfallet kan uteslutas kan ingå i revisionen vid en specifik kontrollmyndighet om tidigare resultat eller annan kännedom motiverar det.

Riskbaserad urvalsmodell för revisioner av kommunala kontrollmyndigheter

Nedan ges förslag på en enkel urvalsmodell som kan användas vid framtagandet av ett revisionsprogram för revisioner av kommunela kontrollmyndigheter i ett län. I exemplet anges sex urvalskriterier.

Varje urvalskriterium värderas och genererar ett antal poäng, se nedan. Summan av poängen ger en risksiffra, där en hög siffra innebär en hög risk, som blir vägledande för när nästa revision av den aktuella myndigheten bör ske och för planeringen av framtida revisionsfrekvens.

Länsstyrelsen, som idag utför revisionerna, kan ta bort eller lägga till ytterligare urvalskriterier om så önskas. Exempel skulle kunna vara antal anläggningar i de högsta riskklasserna – ett stort antal kan innebära att den kommunala kontrollmyndigheten behöver revideras oftare. Om den kommunala kontrollmyndigheten ingår i ett nätverk av kommuner som reviderar varandra kan intervallet eventuellt förlängas. Det finns även kommuner som har avtal med en annan kommun om utförande av kontroll, vilket kan påverka riskbedömningen.

Inhämtande av information till grund för urvalskriterierna

I urvalsmodellen ska data från den senaste myndighetsrapporteringen användas. Kommunala och regionala kontrollmyndigheter, samt Livsmedelsverket, ska årligen rapportera information om sin kontroll och resultaten av kontrollen till Livsmedelsverket. Denna rapportering kallas myndighetsrapporteringen.

Information om kontrollerade anläggningar och personella resurser vid en viss myndighet kan hämtas från myndighetsrapporteringen via Uttagswebben på Livstecknet, se nedan. Uppgifter från 2019 års kontroll används under 2020 när planeringen av 2021 års revisioner görs och revisionsprogram 2021–2025 tas fram. Det är möjligt att justera programmet i början av 2021 när uppgifterna för kontrollen 2020 kommit in om någon myndighet på ett uppenbart sätt har förändrats.

Funktionen ”Uttag från myndighetsrapporteringen” finns på Livstecknet. Data i Uttagswebben är hämtad från myndighetsrapporteringen som Livsmedelsverket och de kommunala kontrollmyndigheterna årligen skickar till Livsmedelsverket. För tillgång till data från länsstyrelser behöver Livsmedelsverket kontaktas. Sidan ger också vägledning och exempel på hur Uttagswebben används och hur beräkningar kan göras.

Uttag från myndighetsrapporteringen

1. Andel anläggningar som kontrollerats i riskklass 1-4 och med ≥ 5 tilldelade kontrolltimmar.
   Detta kriterium är ett mått på att myndigheterna prioriterar anläggningar med hög risk. Kriteriet begränsas till de anläggningar i riskklass 1-4 som har fem eller fler tilldelade kontrolltimmar, och därmed bör få kontroll varje år.
   
   
   Poängfördelning
   > 90 % = 1 poäng
   75-90 % = 2 poäng
   < 75 % = 4 poäng
2. Andel anläggningar som kontrollerats med 5-8 tilldelade kontrolltimmar.
   Detta kriterium är tänkt att vara ett mått på hur mycket kontroll en myndighet utför. Majoriteten av de anläggningar som har fler än fem timmars tilldelad kontrolltid finns i gruppen 5–8 kontrolltimmar. Informationsposten ”Kontrolltid” i myndighetsrapporteringen sammanställs och redovisas i olika kontrolltidsintervall, > 16 timmar, 9-16 timmar, 5-8 timmar, 1-4 timmar respektive 0 timmar.
   
   
   Poängfördelning
   > 90 % = 1 poäng
   75-90 % = 2 poäng
   < 75 % = 4 poäng
3. Tillgång till personal
   Detta kriterium baseras på att tillgången till personal är en förutsättning för att kunna utföra kontroll. I myndighetsrapporteringen anger myndigheterna både hur mycket personal som funnits tillgänglig för livsmedels- och dricksvattenkontroll det gångna året och hur stort behovet av personal är det kommande året. Observera dock att myndigheterna inte anger personalbrist, och att en skillnad mellan tillgänglig personal och behov av personal faktiskt kan bero på ett förändrat antal kontrollobjekt eller likande. Dock indikerar en skillnad oftast att personalbrist förekommer.
   
   
   Poängfördelning
   Tillräckligt med personal, < 10 % = 1 poäng
   Något otillräckligt, 10-25 % = 2 poäng
   Otillräckligt med personal, > 25 % = 4 poäng
   Exempel - Den kommunala kontrollmyndigheten har i myndighetsrapporteringen angett att den haft 1,2 årsarbetskrafter (åa) för livsmedelskontroll och 0,2 åa för dricksvattenkontroll, vilket totalt blir 1,4 åa. Inför det kommande året är behovet 1,6 åa för livsmedelskontroll och fortsatt 0,2 åa för dricksvattenkontroll, vilket totalt blir 1,8 åa. Myndigheten saknar alltså 0,4 åa (1,8-1,4 = 0,4), vilket ger två riskpoäng (0,4/1,8 = 22 % saknas).
   
   
4. Myndighetens storlek
   Detta kriterium baseras, precis som kriteriet ovan, på uppgifter om antal årsarbetskrafter i myndighetsrapporteringen. Behovet av personal inför kommande år bör användas. Små myndigheter är ofta mer sårbara och personberoende, och risken ökar för svårigheter att upprätthålla kompetens och undanröja jävssituationer. Stora myndigheter däremot har oftast ett stort antal kontrollobjekt och brister i verksamheten kan därför innebära en stor påverkan.
   
   
   Poängfördelning
   < 1 årsarbetskrafter = 3 poäng
   1-2,9 årsarbetskrafter = 2 poäng
   3-6 årsarbetskrafter = 1 poäng>
   6 årsarbetskrafter = 3 poäng
5. Tid sedan den senaste revisionen
   Detta kriterium baseras på att samtliga kontrollmyndigheter bör revideras inom en femårsperiod. Tiden från den senaste revisionen räknas från tidpunkten för det initiala revisionsbesöket vid den senaste revisionen. Med fullständig revision menas att majoriteten av revisionsområdena granskades, se del II. Uppföljande revisioner där endast åtgärdsplanens genomförande följts upp, räknas normalt inte som den senaste revisionen. När tiden sedan senaste revision är fem år innebär det oftast att myndigheten ska revideras nästkommande år. 
   
   
   Poängfördelning
   1-2 år = 1 poäng
   3 år = 2 poäng
   4 år = 4 poäng
   5 år = 5 poäng
6. Erfarenheter från tidigare revisioner av myndigheten
   Detta kriterium baseras på att revisionen är en oberoende granskning som ger djupare information än de uppgifter som erhålls ur myndighetsrapporteringen och som myndigheterna själv rapporterat in. Resultaten från revisionen ger till exempel information om vilken kompetens som finns och hur ändamålsenliga olika rutiner och system är. 
   
   En myndighet med stora brister och svårigheter att åtgärda dem behöver revideras oftare. Resultatet vid den senaste revisionen påverkar därför revisionsprogrammet. I bedömningen kan typen av avvikelser vägas in, samt om de åtgärdats av myndigheten inom rimlig tid. Om resultatet varit sådant att ärendet överlämnats till Livsmedelsverket så behöver myndigheten inte ingå i programmet under tiden som ärendet utreds.
   
   
   Poängfördelning
   Inga eller enstaka mindre avvikelser = 1 poäng
   Avvikelser som åtgärdats* inom rimlig tid = 2 poäng
   Avvikelser som åtgärdats efter påtryckningar** = 3 poäng
   Avvikelser som inte åtgärdats vid uppföljning = 6 poäng
   Allvarliga avvikelser*** som inte åtgärdats vid uppföljning = 8 poäng
   * att avvikelser åtgärdats kan bedömas först när åtgärdsplanens genomförande följts upp. En godkänd åtgärdsplan innebär alltså inte per automatik att den kommer att genomföras.
   **påtryckningar kan vara påminnelser om att inkomma med åtgärdsplan, stora behov av kompletteringar etcetera.
   ***med allvarliga avvikelser avses sådana som på ett betydande sätt inverkar negativt på myndighetens kontrollverksamhet och förmåga att uppfylla kraven i kontrollförordningen.

Riskpoäng och frekvens

Summan av riskpoängen från de sex urvalskriterierna ger en risksiffra. Den blir vägledande för när nästa revision av den aktuella myndigheten bör ske och för planeringen av framtida revisionsfrekvens. Se tabell 1.

I de fall en myndighet inte haft några avvikelser den senaste revisionen samtidigt som uppgifterna från myndighetsrapporteringen ser exemplariska ut kan frekvensen ökas till mer än fem år.

Tabell 1. Urvalsmodell för kommunrevisioner med urvalskriterier och riskpoäng.

I revisionsprogrammet bör hänsyn även tas till eventuella uppföljningar som behöver utföras till följd av revisionsresultatet.

Tabell 2. Förslag på ett riskbaserat femårigt revisionsprogram.