Hva er SOX compliance? En komplett guide for norske investorer

Hva er SOX compliance?

SOX compliance er kort sagt et selskaps arbeid med å oppfylle kravene i Sarbanes-Oxley Act (SOX), en amerikansk føderal lov som ble vedtatt i 2002. Loven ble en direkte respons på flere store regnskapsskandaler, deriblant Enron og WorldCom, som førte til at investorer tapte milliarder av dollar. SOX har som mål å styrke tilliten til finansmarkedene ved å øke åpenheten og påliteligheten i børsnoterte selskapers regnskaper.

Loven gjelder for alle selskaper som er registrert hos US Securities and Exchange Commission (SEC), uavhengig av hvor selskapet har hovedkontor. Det betyr at også norske selskaper som er notert på New York Stock Exchange (NYSE) eller Nasdaq må overholde SOX. For eksempel må Equinor, som har aksjer notert på NYSE, årlig dokumentere og teste sine interne kontroller i tråd med loven.

SOX compliance handler i praksis om å etablere, dokumentere og vedlikeholde interne kontroller som sikrer at regnskapsrapporteringen er nøyaktig. Dette inkluderer alt fra IT-systemer og tilgangskontroller til godkjenningsrutiner og avstemminger. Loven stiller også krav til uavhengig revisjon av disse kontrollene.

Forstå SOX compliance

For å forstå SOX compliance er det nyttig å kjenne til de mest sentrale seksjonene i loven. Seksjon 302 pålegger administrerende direktør (CEO) og finansdirektør (CFO) å personlig sertifisere at regnskapet gir et rettvisende bilde av selskapets finansielle stilling. Dette innebærer at ledelsen må ha etablert og evaluert interne kontroller, og at de er ansvarlige for eventuelle mangler.

Seksjon 404 er trolig den mest omfattende og kostbare delen av SOX. Den krever at ledelsen årlig vurderer effektiviteten av de interne kontrollene for finansiell rapportering, og at selskapets revisor gir en uavhengig uttalelse om denne vurderingen. Dette har ført til at mange selskaper har investert betydelige ressurser i å dokumentere og teste kontrollaktiviteter.

Andre viktige seksjoner inkluderer seksjon 201, som forbyr revisjonsfirmaer å tilby visse konsulenttjenester til sine revisjonsklienter, og seksjon 802, som fastsetter straffer for manipulering av regnskapsdokumenter. Samlet sett skaper SOX et rammeverk som skal gjøre det vanskeligere for selskaper å begå regnskapsmanipulasjon uten å bli oppdaget.

Hvordan fungerer SOX compliance?

Prosessen med SOX compliance starter med at selskapet kartlegger alle prosesser og systemer som påvirker regnskapet. Deretter identifiseres risikoene for feil eller misligheter, og det utformes kontroller for å redusere disse risikoene. Kontrollene kan være manuelle (f.eks. dobbeltsignatur på betalinger) eller automatiske (f.eks. systembegrensninger i regnskapsprogrammet).

Når kontrollene er på plass, må de dokumenteres grundig. Dette inkluderer beskrivelser av hvem som utfører kontrollen, hvor ofte den utføres, og hva som gjøres ved avvik. Deretter testes kontrollene – både av selskapets interne revisorer og av ekstern revisor. Testresultatene rapporteres til ledelsen og revisjonskomiteen.

Dersom det oppdages svakheter, må selskapet vurdere om de er vesentlige (material weaknesses). En vesentlig svakhet er en mangel som gjør at det er en rimelig mulighet for at en vesentlig feil i regnskapet ikke blir forebygget eller oppdaget i tide. Slike svakheter må rapporteres offentlig i selskapets årsrapport, noe som kan påvirke aksjekursen negativt. For norske investorer er det derfor viktig å følge med på om selskaper de eier aksjer i, rapporterer om vesentlige svakheter.

Historisk bakgrunn

Før 2002 var regnskapsreguleringen i USA preget av tillit til at selskapene selv hadde gode nok kontroller. Dette endret seg dramatisk da Enron kollapset i 2001. Enron hadde brukt kompliserte selskapskonstruksjoner for å skjule gjeld og blåse opp overskudd, samtidig som revisjonsfirmaet Arthur Andersen både reviderte og konsulterte for selskapet. Da boblen sprakk, tapte aksjonærene over 60 milliarder dollar.

Kort tid etter kom WorldCom-skandalen, der selskapet hadde aktivert driftskostnader for å kunstig forbedre resultatet. Samlet førte disse sakene til et enormt tillitstap i finansmarkedene. Kongressen reagerte raskt, og i juli 2002 ble Sarbanes-Oxley Act signert av president George W. Bush. Loven ble oppkalt etter senator Paul Sarbanes og representant Michael Oxley.

Siden innføringen har SOX blitt både rost og kritisert. Tilhengerne peker på at loven har redusert antall regnskapsskandaler og økt investortilliten. Kritikerne mener at kostnadene, spesielt for mindre selskaper, er for høye i forhold til nytten. I 2007 og senere har SEC derfor gjort flere forenklinger for å lette byrden for mindre børsnoterte selskaper.

Praktisk eksempel

La oss ta et fiktivt, men realistisk eksempel: Det norske teknologiselskapet NordicTech AS er notert på Nasdaq i New York. For å overholde SOX må selskapet årlig gjennomgå sine interne kontroller. I 2023 oppdaget NordicTechs revisor at det ikke fantes gode nok rutiner for å avstemme inntekter fra en ny type programvareabonnement. Dette ble klassifisert som en vesentlig svakhet.

Selskapet måtte umiddelbart sette i verk tiltak: de ansatte en ny regnskapssjef, innførte automatiserte avstemmingsverktøy og forbedret dokumentasjonen. Kostnadene for dette arbeidet beløp seg til omtrent 15 millioner kroner. Samtidig måtte NordicTech rapportere svakheten i sin årsrapport, noe som førte til at aksjekursen falt 8 % over to uker.

Etter at tiltakene var implementert og testet, kunne revisor bekrefte at kontrollene var tilstrekkelige. Investorene fikk dermed økt trygghet, og aksjekursen hentet seg gradvis inn igjen. Dette eksemplet viser hvordan SOX compliance både kan være kostbart og tidkrevende, men også hvordan det bidrar til å rette opp svakheter som ellers kunne ført til større problemer.

Fordeler og ulemper

SOX compliance har flere klare fordeler for investorer og markedet. Den viktigste er økt tillit til regnskapstallene. Når ledelsen må personlig bekrefte regnskapet, og revisor uavhengig vurderer kontrollene, reduseres risikoen for bevisst feilrapportering. Dette gjør det tryggere å investere i selskaper som følger SOX. I tillegg fører loven ofte til bedre interne prosesser og færre operasjonelle feil.

Samtidig er ulempene betydelige, spesielt for mindre selskaper. Kostnadene knyttet til dokumentasjon, testing og revisjon kan løpe opp i flere millioner kroner årlig. Ifølge en undersøkelse fra 2020 brukte gjennomsnittlige børsnoterte selskaper rundt 1,5 millioner dollar årlig på SOX-compliance. For et lite selskap kan dette utgjøre en stor andel av driftskostnadene.

Tabellen nedenfor oppsummerer de viktigste fordelene og ulempene:

Vanlige misforståelser

En utbredt misforståelse er at SOX compliance bare gjelder for store, amerikanske selskaper. I virkeligheten omfatter loven alle selskaper som er registrert hos SEC, uansett størrelse og opprinnelsesland. Riktignok har mindre selskaper (såkalt non-accelerated filers) fått noen lettelser, men de må fortsatt overholde de fleste kravene. Norske selskaper som vurderer en børsnotering i USA, bør derfor være forberedt på SOX-kravene.

En annen misforståelse er at SOX garanterer at regnskapet er feilfritt. Loven reduserer risikoen for vesentlige feil, men den kan ikke eliminere alle muligheter for misligheter eller feil. Det vil alltid være en viss risiko, spesielt dersom ledelsen samarbeider om å omgå kontrollene. Investorer bør derfor ikke stole blindt på SOX-sertifiseringer, men også gjøre egen analyse.

Noen tror også at SOX compliance er et engangsprosjekt. I realiteten er det en kontinuerlig prosess. Kontroller må oppdateres når forretningsmodeller, systemer eller regelverk endrer seg. Selskaper som behandler SOX som et årlig «stempel», risikerer å overse nye risikoer. For investorer er det derfor et positivt signal når selskaper tydelig kommuniserer at de har en løpende compliance-prosess.

Oppsummering

SOX compliance er en sentral del av reguleringen av børsnoterte selskaper i USA, og den påvirker også norske selskaper som er notert på amerikanske børser. Loven ble til etter alvorlige regnskapsskandaler og har som mål å sikre at regnskapstallene er pålitelige. For investorer betyr dette økt trygghet, men også at selskaper må bruke betydelige ressurser på etterlevelse.

De viktigste kravene er personlig sertifisering fra toppledelsen (seksjon 302) og årlig vurdering av interne kontroller (seksjon 404). Manglende etterlevelse kan få alvorlige konsekvenser, inkludert bøter og omdømmetap. Samtidig har loven blitt kritisert for å være for byrdefull, spesielt for mindre selskaper.

Som investor bør du være oppmerksom på om selskaper du investerer i, rapporterer om vesentlige svakheter i sine interne kontroller. Dette kan være en indikator på høyere risiko. Samtidig kan et solid SOX-compliance-program være et tegn på god styring og ledelse. Å forstå SOX compliance gir deg et bedre grunnlag for å vurdere kvaliteten på selskapene du investerer i.