Styret har det overordnede ansvaret for å organisere risikostyringen. For å sikre arbeidsdeling og tilfredsstillende uavhengighet mellom beslutningstakere og kontrollerende og rapporterende funksjoner, er det organisert tre «forsvarslinjer». Dette er en anerkjent modell som er illustrert nedenfor:
I modellen er også ekstern revisor og Lotteri- og stiftelsestilsynet satt inn for å vise helheten i de strukturer som er etablert for å sikre uavhengigheten mellom beslutningstakere og kontrollerende og rapporterende funksjoner, slik at også «fjerdelinjeforsvaret» er synliggjort. Ekstern revisor gir eier, styret og toppledelsen en bekreftelse på om selskapets risikostyring innen finansiell rapportering er tilfredsstillende. Lotteri- og stiftelsestilsynet er et direktorat og tilsynsorgan underlagt Kultur- og likestillingsdepartementet, som forvalter og kontrollerer private lotterier og statlige spill i Norge. Lotteri- og stiftelsestilsynet fører tilsyn med at selskapets spillvirksomhet foregår i samsvar med lovgivning og spilleregler, jfr. Lov om pengespill kap. 5.
Risikostyring og internkontroll skal bidra til å sikre kvalitet på intern og ekstern rapportering, målrettet, effektiv og kundeorientert drift, samt kontinuerlig kvalitetsforbedring. Norsk Tipping har etablert et helhetlig risikobasert kvalitetssystem som består av styrende dokumenter i form av policyer, retningslinjer og rutiner. De styrende dokumentene gir føringer for områder som er vesentlige for selskapet å etterleve. Etterlevelse og måloppnåelse følges systematisk opp gjennom avviksregistrering, egenevalueringer, kvalitetsrevisjoner og interne og eksterne revisjoner. Resultatene fra oppfølgingen rapporteres til styret via revisjonsutvalget og utgjør et grunnlag for styrets gjennomgang av selskapets viktigste risikoområder og intern kontroll. Selskapet har etablert et system for krisehåndtering og gjennomfører regelmessig øvelser.
Risikostyring er en integrert del av forretningsaktivitetene. I den månedlige virksomhetsrapporteringen er det integrert et oppdatert risikobilde for å sikre styrets og ledelsens fokus på vesentlige framtidige forhold som kan påvirke selskapets måloppnåelse. Risikoreduserende tiltak konkretiseres, og det settes frister for gjennomføring.
Selskapet arbeider kontinuerlig med å legge til rette for et godt kontrollmiljø som skal sørge for at virksomheten drives i henhold til relevante lover, at den bygges på sunne holdninger, har gode interne rutiner og prosedyrer og at den viser åpenhet. Det er utarbeidet en verdiplattform og lederprinsipper som skal bygge opp om selskapets samfunnsoppdrag.
Selskapet arbeider systematisk for å vurdere om den interne kontrollen er tilfredsstillende for å forebygge og avdekke økonomiske misligheter. Med utgangspunkt i en overordnet risikovurdering er det valgt ut prosesser som vurderes regelmessig. Norsk Tipping har etablerte rutiner for kontroll med-, og oppfølging av, spilleaktiviteten hos kommisjonærer og spillere. Dette gjøres både for å sikre at spilleaktiviteten skjer innenfor ansvarlige rammer og for å beskytte selskapet mot kriminell aktivitet.
Revisjonsutvalg og internrevisjon
Norsk Tipping har et revisjonsutvalg som er et underutvalg av Norsk Tippings styre, og har som formål å være et saksforberedende organ for styret når det gjelder selskapets finansielle rapportering og kontrollsystemer. En gang i året har ekstern- og internrevisor et møte med revisjonsutvalget uten at noen fra administrasjonen er til stede.
Selskapet har en internrevisjon som rapporterer til styret via revisjonsutvalget. Internrevisjonen har som formål å bistå styret og ledelsen i Norsk Tipping med å utøve god virksomhetsstyring.
Sertifiseringer
Norsk Tipping er sertifisert (PA1) i henhold til ISO/IEC 27001: og WLA-SCS: (World Lotteries Association Security Control Standard). Norsk Tipping blir årlig sertifisert iht. disse standardene. Fokuset for standardene er å revidere om selskapets styringssystem for informasjonssikkerhet er tilfredsstillende og hensiktsmessig.
Norsk Tipping er sertifisert etter European Lotteries and Toto Association (EL) og World Lottery Association (WLA) standarder for ansvarlig spill. Sertifiseringsprosessen gjennomføres av en uavhengig, ekstern revisor. Sertifikatene gjelder for tre år om gangen med krav til periodiske revisjoner for å kvalifisere at selskapet fyller kravene i standarden.