Granskning av leverantörsregister och leverantörsutbetalningar

Transkript

1 Revisionsrapport Cecilia Axelsson Victor Svensson Viktor Hallström Granskning av leverantörsregister och leverantörsutbetalningar Region Gävleborg

2 Innehållsförteckning 1. Sammanfattande bedömning och rekommendationer Inledning Bakgrund Syfte och revisionsfråga Omfattning och kontrollfrågor Revisionsmetod och avgränsningar Resultat av granskningen Inhämtning av data Leverantörsregister och utbetalningar Seriositetskontroll av leverantörer Upptäcka bluffakturor Kontroll mot Skatteverket, Bolagsverket etc Förändring av leverantörsregister och förändringsloggar Dubbletter bland leverantörerna Förekomst av ogiltiga organisationsnummer Dubbla utbetalningar Övrigt som framkommit vid dataanalysen Aktuella attestbehörigheter Överensstämmelse mellan attestförteckning och registrerade attestbehörigheter Ändamålsenliga behörighetsnivåer Funktionärsroll och inköp i registrerade bolag Region Gävleborg 1 av 23

3 1. Sammanfattande bedömning och rekommendationer har på uppdrag av de förtroendevalda revisorerna i Region Gävleborg genomfört en granskning avseende rutiner kring leverantörsregister och hantering av inköp och leverantörsfakturor för perioden 1 januari till 31 oktober Granskningen syftar till att bedöma om Regionstyrelsen har en tillräcklig intern kontroll avseende hantering av leverantörer och leverantörsutbetalningar. Vår sammanfattande bedömning är att Regionstyrelsen i huvudsak har säkerställt en tillräcklig intern kontroll avseende hantering av leverantörer och leverantörsutbetalningar. Det finns fungerande rutiner för seriositetskontroll och användandet av Inyett utgör ett bra stöd för kontroller i samband med att en ny leverantör läggs upp i regionens leverantörsregister samt i samband med när en betalningsfil förs över till bank även om rutinerna för användningen av Inyett vid utbetalning i övrigt inte är satta ännu. Det finns en medvetenhet kring risk för bluffakturor inom organisationen och rutiner finns framtagna för att minimera dessa. Granskningen visar att det till större del finns väl fungerande behörighetsnivåer i leverantörsreskontran och leverantörsregistret. Ekonomiservice är organiserad på ett sätt där befogenhet och ansvar är fördelad på flera personer. Det finns särskilt utsedda personer som kan göra allt vad gäller leverantörer, dvs lägga upp en leverantör och göra ändringar i leverantörsregistret. Det dagliga arbetet med att hantera leverantörsfakturor och göra utbetalningar ligger dock inte på dessa personer utan på två särskilt utsedda arbetsgrupper, som har olika behörigheter baserat på de arbetsuppgifter som de ska utföra. Tanken med rådande ansvarsfördelning är att det inte är samma person som lägger upp leverantörer och gör ändringar i leverantörsregistret som skickar betalningsfiler. Utifrån våra behörighetskontroller vid granskningstillfället kan konstateras att det inte finns någon person som kan utföra hela kedjan från att lägga upp en leverantör till att betala leverantörsfakturan. Genomförd dataanalys visar att regionen har registrerade leverantörer per och att regionen har gjort utbetalningar till leverantörer under perioden januari till oktober Vi har inom ramen för granskningen inte identifierat några indikationer på oegentligheter utifrån de dataanalyser och urvalskontroller som genomförts. Däremot visar dataanalysen på en del noteringar, vilka redogörs för i detalj i rapporten. Vi har i utifrån intervjuer och genomförd dataanalys noterat att det inom vissa områden bör vidtas åtgärder i syfte att ytterligare stärka den interna kontrollen avseende hantering av leverantörer och leverantörsutbetalningar. Dessa åtgärder i form av rekommendationer redovisar vi nedan. Region Gävleborg 2 av 23

4 Vi rekommenderar Regionstyrelsen att: Se över behovet av huruvida och på vilket sätt dokumentation av genomförda seriositetskontroller av leverantörer ska ske. Befintlig rutinbeskrivning behöver därefter uppdateras vid behov. Upprätta rutinbeskrivning gällande förändring och underhåll av leverantörsregistret. Säkerställa att befintlig rutin kring att spärra leverantörer efter viss angiven tid (18 månader) efterlevs. Införa rutiner för att regelbundet analysera och kontrollera förändringsloggar och dokumentera dessa kontroller. Med anledning av noterad dubbelbetalning till en dubbelregistrerad leverantör behöver leverantörsregistret gås igenom och dubbletter tas bort som inte är befogade. Dubbelregistrerade leverantörer är primärt en ordningsfråga för regionen och kan försvåra uppföljning av inköp och även leda till felaktiga utbetalningar. Införa rutiner för uppföljning av leverantörer som är registrerade som SAKNAS för att minska risken för dubbelregistrering av leverantörer. Se över huruvida det i Agresso är möjligt att effektivisera rutinerna kring upplägg av enskilda privatpersoner i leverantörsregistret. Se över rutinen, och om möjligt, vidta åtgärder för att förhindra att en redan inkommen faktura i Agresso även kan komma in i Proceedo och bli betald två gånger. Behörighetsadministrationen av registrering av attestberättigade behöver ses över och möjligheter till en IT-baserad hantering bör undersökas. Löpande se över och uppdatera behörigheterna för att säkerställa en god intern kontroll avseende behörigheter till system och regionens bankmedel. Säkerställa att rätt person har behörighet att utföra makuleringar samt att införa rutiner som löpande uppdaterar rutinbeskrivningar mm vid förändringar. Införa rutiner där attestanter inte attesterar utbetalningar till bolag där de har en funktionärsroll. Region Gävleborg 3 av 23

5 2. Inledning 2.1. Bakgrund Inköpskostnader utgör en stor del av Region Gävleborgs externa kostnader vilket innebär att väsentligheten är hög. Det finns också risker förknippade med inköp och hantering av leverantörsfakturor. I den centrala hanteringen kan det finnas risk för att registerhållning och hanteringen av leverantörsregistret i övrigt, inte alltid fungerar som avsett. Då ansvaret för inköp, attest och kontering av leverantörsfakturor är decentraliserat finns en ökad risk för att kontroll av inköp och utbetalningar inte i alla delar har en tillfredsställande följsamhet till tecknade avtal. Det kan vara svårt att i alla delar upprätthålla kompetens och enhetlighet i kontrollerna. Utifrån revisorernas riskanalys för 2017 har revisorerna beslutat att, som ett led i den årliga granskningen av Regionstyrelsen och divisionerna, genomföra en granskning av regionens leverantörsfakturor bl.a. i syfte att identifiera eventuella risker för oegentligheter Syfte och revisionsfråga Syftet med granskningen är att bedöma om Regionstyrelsen har en tillräcklig intern kontroll avseende hantering av leverantörer, leverantörsregister och utbetalningar av leverantörsskulder. Granskningen ska besvara följande revisionsfråga: Har Regionstyrelsen säkerställt en tillräcklig intern kontroll avseende hantering av leverantörer och leverantörsutbetalningar? 2.3. Omfattning och kontrollfrågor Revisionskriterierna utgörs av lagar, föreskrifter, regelverk, fullmäktigebeslut etc. och utgör underlag till de bedömningsgrunder som uttrycks i kontrollfrågorna. Nämnas kan framför allt: Kommunallag Kommunal redovisningslag Attestreglemente Övriga styrdokument Granskningen genomförs mot följande kontrollfrågor: Leverantörsregister och utbetalningar Finns rutiner för seriositetskontroll av leverantörer? Finns rutiner för att upptäcka bluffakturor? Finns rutiner för kontroll mot Skatteverket, Bolagsverket etc? Finns rutiner för förändring av leverantörsregister? Görs analys av förändringsloggar kopplat till känsliga leverantörsuppgifter som kontonummer? Finns eventuella dubbletter bland leverantörerna? Region Gävleborg 4 av 23

6 Förekommer det ogiltiga organisationsnummer i leverantörsregistret? Finns potentiella dubbla utbetalningar? Behörighetshantering Finns det en aktuell attestförteckning/attestkort avseende attest av ekonomiska transaktioner som överensstämmer med registrerade attestbehörigheter i ekonomisystemet? Är användarnas behörighetsnivå i ekonomisystemet ändamålsenlig utifrån ansvar och befogenhet? Finns det attestanter och/eller förtroendevalda som har funktionärsroll i registrerade bolag och har i så fall inköp gjorts till regionen från dessa bolag? 2.4. Revisionsmetod och avgränsningar Granskningen är uppdelad i två faser, varav en kvantitativ del där dataanalyser utförs och en kvalitativ del där resultatet av dataanalysen, för en slutlig bedömning, valideras genom stickprov och intervjuer tillsammans med tjänstemän hos Region Gävleborg. Kontroll sker mot Bolagsverkets register avseende funktionärsroller i företag för attestanter och förtroendevalda. Vidare sker en genomgång av regionens riktlinjer och rutiner för hantering av leverantörer och behörigheter i ekonomisystemet. Granskningen omfattar Regionstyrelsen och översiktligt samtliga nämnder. Avgränsning sker till ovanstående kontrollfrågor. Kontrollfrågan kring om det finns attestanter och/eller förtroendevalda som har funktionärsroll i registrerade bolag har avgränsats till att omfatta samtliga förtroendevalda och chefer inom regionen. Dataanalysen har omfattat perioden 1 januari 2017 till 31 oktober 2017 om inte annat särskilt anges. Region Gävleborg 5 av 23

7 3. Resultat av granskningen 3.1. Inhämtning av data Analyserna har utförts på filer och material tillhandahållet av regionen. Följande filer ligger till grund för analysen: Erhållen data Uttag av leverantörsregister per omfattar endast aktiva 1 leverantörer. Därav är inte regionens spärrade 2 leverantörer medtagna i leverantörsregistret och ingår inte heller i dataanalysen. Svensk handels varningslista har även inhämtats, uttagen per Bankbehörigheter till regionens bankmedel samt uttag av behörigheter för utbetalning från Agresso har inhämtats, uttagna per respektive Leverantörsregister och utbetalningar Seriositetskontroll av leverantörer Region Gävleborg har följande dokumenterade rutiner avseende hantering av leverantörer som beskriver vilka seriositetskontroller som ska göras: Period Leverantörsregister Per Leverantörsreskontratransaktioner Ingående och utgående balans på leverantörsreskontran Attestförteckning leverantörsreskontra Per Behörigheter i leverantörsreskontra Per Systemgenerad logg över förändringar i leverantörsregistret Lista med förtroendevalda och chefer i regionen Per Bolagsengagemang för förtroendevalda och chefer (inhämtat från Bolagsverket) Per Kontrollfråga: Finns rutiner för seriositetskontroll av leverantörer? Lägga upp ny svensk leverantör (arbetsbeskrivning framtagen ) Hantering av faktura från oseriösa företag (rutinbeskrivning fastställd ) Region Gävleborg använder sig sedan september 2016 av programmet Inyett 3. Av framtagen arbetsbeskrivning Lägga upp ny svensk leverantör framgår att ny leverantör först ska kontrolleras mot Inyett innan upplägg av leverantör sker i Agresso. Det är vissa personer inom leverantörsgruppen 4 som ansvarar för att lägga 1 Begreppet aktiva leverantörer beskrivs närmare under avsnitt Begreppet spärrade leverantörer beskrivs närmare under avsnitt System för kontroll av betalfiler i olika avseenden. 4 Information kring leverantörsgruppen återfinns under avsnitt Region Gävleborg 6 av 23

8 upp leverantörer. Genom webinloggning till Inyett kan en sökning på en viss leverantör göras och information erhålls om företaget är ett s.k bluff företag, om företaget har F-skattsedel, företagets rating, om företaget har förfallna skulder och om regionen har avtal med företaget. Vid intervjuer framkommer att kontroll av bland annat bankgiro, F-skatt och organisationsnummer sker i samband med upplägg av ny leverantör. Enligt uppgift sker dessa kontrollaktiviteter via Inyett. Om Inyett anger att leverantören har ett ogiltligt bankgironummer sker även kontroll mot BGC. Om Inyett anger att ratingen är över 35 är rutinen att regionens inköpsavdelning kontaktas för att de ska få information om detta. Genomförda kontrollaktiviteter vid upplägg av leverantör som ansvarig personal i leverantörsgruppen 5 gör via Inyett dokumenteras inte, däremot finns möjlighet att i leverantörsregistret skriva anteckningar. Vid intervjuer framkommer att ansvariga handläggare brukar anteckna i leverantörsregistret att kontroll av F-skattsedel har skett. Vi noterar att det av arbetsbeskrivningen framgår vilka kontroller som ska göras men inte hur det ska dokumenteras. Under 2017 har rutinbeskrivning Hantering av fakturor från oseriösa företag tagits fram. Rutinbeskrivningen syftar till att tydliggöra hanteringen av fakturor från oseriösa företag s.k. bluffakturor och gäller inom hela Region Gävleborg. Av beskrivningen framgår att om någon fått en faktura, ett ordererkännande eller annan handling gällande en tjänst eller vara som inte har beställts från ett företag är det viktigt att underlaget hanteras på rätt sätt. Rätt hantering av underlaget är viktigt för att kunna bestrida kravet. Enligt rutinen är det gransknings- och beslutattestant som ansvarar för att följa rutinen. I rutinbeskrivningen finns beskrivning hur olika typer av erbjudanden/fakturor ska hanteras och hur det ska dokumenteras. Det är personalen inom kassagruppen 6 som ansvarar för betalning av leverantörsfakturor. Vid utbetalning skapas en betalningsfil som skickas till banken. När betalningsfilen är skickad läggs betalningsfilen även in i programmet Inyett och kassagruppen erhåller en rapport per mail. Om rapporten innehåller varningar om bluffaktura stoppar kassagruppen betalningen på banken och verksamheten kontaktas. Enligt uppgift sker detta i enlighet med den framtagna rutinbeskrivningen Hantering av fakturor från oseriösa företag men i övrigt är rutinerna för användningen av Inyett vid utbetalning inte satta ännu. Av intervjuer framgår dock att kassagruppen utför en del manuella kontroller innan utbetalningsfilen skapas och skickas till banken. Dessa kontroller är: Alla enskilda belopp över 100 tkr kontrolleras mot faktura för att säkerställa att det är rätt leverantör och att beloppet stämmer mot faktura Motsvarande kontroll sker även av 10 slumpmässigt valda belopp Kontroll av kreditar så att de hanteras korrekt 5 Information kring leverantörsgruppen återfinns under avsnitt Information kring kassagruppen återfinns under avsnitt Region Gävleborg 7 av 23

9 Angivna kontroller sker i Agresso och ansvarig kan lägga in sin signatur när kontrollerna har gjorts. Det finns framtagna lathundar som beskriver de kontroller som ska göras men enligt uppgift ställer systemet inget krav på att dessa kontroller görs innan utbetalningsfil kan skapas. Plan för kommunikation och implementering finns för dessa dokumenterade rutiner. Av dokumentet Hantering av faktura från oseriösa företag framgår att de finns tillgängliga på regionens intranät och att den mailas ut för kännedom till granskare och beslutsattestanter. Dokumentet kommer även att ligga med som en länk i E-utbildningen för gransknings- och beslutsattestanter. Av arbetsbeskrivningen framgår att information om dokumentet lämnas på APT och teammöten. Bedömning och rekommendationer Vår bedömning är att det finns fungerande rutiner för seriositetskontroll i Region Gävleborg. I upprättade rutinbeskrivningar finns beskrivet vilka kontroller som ska göras. Inyett utgör ett bra stöd för kontroller i samband med att en ny leverantör läggs upp i Region Gävleborgs leverantörsregister samt i samband med när en betalningsfil förs över till bank. Vi rekommenderar dock Regionstyrelsen att se över behovet av huruvida och på vilket sätt dokumentation av genomförda kontroller ska ske. Befintlig rutinbeskrivning behöver därefter uppdateras vid behov Upptäcka bluffakturor Kontrollfråga: Finns rutiner för att upptäcka bluffakturor Sedan maj 2017 skannar Region Gävleborg sina leverantörsfakturor själva. Skanningen hanteras av leverantörsgruppen 7. I samband härmed kan leverantörsfakturor plockas bort för att göra extra kontroller innan de går in i systemet. Det kan bland annat avse leverantörsfakturor som saknar referens eller F- skattsedel. Denna rutin har införts för att säkra upp hanteringen av fakturor från oseriösa företag och minska risken att betala fakturor till sådana företag. Som framkommit av avsnitt använder sig Region Gävleborg av Inyett i samband med att en ny leverantör läggs upp i Region Gävleborgs leverantörsregister samt i samband med när betalningsfiler förs över till bank. Inyett har uppkoppling mot Svensk handels Varningslista men även utökade behörigheter där kontroll även sker mot en del oseriösa bolag. Därmed sker kontroller mot varningslistan både vid upplägg av ny leverantör samt även löpande i samband med att betalningsfiler körs. Kassagruppen 8 erhåller rapporter per mail i samband med att betalningsfilen har körts. Det finns då möjlighet att stoppa betalningen till aktuell leverantör på banken innan den hinner gå iväg för betalning. Av intervjuer framkommer att rutinen är att vara extra observanta på leverantörsfakturor där det har varit vanligt förekommande med bluffar, nämnas 7 Information kring leverantörsgruppen återfinns under avsnitt Information kring kassagruppen återfinns under avsnitt Region Gävleborg 8 av 23

10 kan framför allt platsannonser. Rutinen innebär att avstämning ska ske med den person som står som regionens referens på fakturan. Om Inyett signalerar att leverantörsfakturan kommer från en oseriös leverantör är rutinen att leverantörsfakturan bestrids och den läggs då inte heller in leverantörsreskontran. I de fall en bluffaktura erhålls och leverantören finns upplagd sedan tidigare spärras den i leverantörsregistret och kommentar kring varför den spärras lämnas i anteckningsrutan i leverantörsregistret. Resultat från dataanalys Vi har genomfört en analys för att identifiera om det finns leverantörer i leverantörsregistret (aktiva per ) som återfinns i Svensk handels varningslista. Utifrån genomförd analys kan vi konstatera att inga leverantörer i leverantörsregistret eller leverantörsutbetalningar till leverantörer under den granskade perioden har återfunnits i Svensk handels varningslista. Bedömning och rekommendationer Det finns en medvetenhet kring risk för bluffakturor inom organisationen och rutiner finns framtagna för att minimera dessa. Vår bedömning är således att det finns fungerande rutiner för att upptäcka bluffakturor inom Region Gävleborg. Dock är detta ingen absolut garanti för att bluffakturor inte uppkommer framgent. Det gäller således för alla i regionen, såväl leverantörsgruppen som attestanter, att vara vaksamma på detta i alla lägen. Vår dataanalys för perioden januari-oktober 2017 visar att inga leverantörsutbetalningar till leverantörer under perioden har återfunnits i Svensk handels varningslista Kontroll mot Skatteverket, Bolagsverket etc Kontrollfråga: Finns rutiner för kontroll mot Skatteverket, Bolagsverket etc? Via Inyett kan en sökning på en viss leverantör göras och information erhålls om företaget har F-skattsedel. Den information som erhålls från Inyett anges vara tillförlitlig. Om Inyett anger att leverantören har F-skattsedel görs inga ytterligare kontroller. Om däremot Inyett anger att leverantören inte har F-skattsedel eller är avregistrerad från F-skatt sker även kontroll mot Skatteverket. Rutinen är även att i förekommande fall ta kontakt med leverantören för att be dem skicka över F- skattsedel. När F-skattsedel har erhållits från leverantören sker kontroll mot Skatteverket ytterligare en gång. Med hjälp av Inyett kan även information om en viss leverantörs rating och om företaget har förfallna skulder erhållas. Således sker ingen ytterligare kontroll mot Bolagsverket. Om Inyett anger att ratingen är över 35 är rutinen att inköpsavdelningen kontaktas för att få information om detta. Kontroller via Inyett sker dock först när regionen erhållit leverantörsfakturan och vid betalning av densamma. Vid upphandlingar sker inga kontroller via Inyett. I samband med annonserade upphandlingar i Tendsign erhåller regionen istället automatiskt en skattekontroll och kontroll av kreditvärdighet. Vid övriga Region Gävleborg 9 av 23

11 upphandlingar är det enligt uppgift upphandlarnas ansvar att göra erforderliga kontroller av leverantören. Resultat av dataanalys Vi har utfört seriositetskontroll på de tio största leverantörerna som Region Gävleborg köpt varor och tjänster ifrån under granskningsperioden. För dessa leverantörer har följande granskats (uppgifterna är tagna från Infotorg per ): Kontrollmål Ja Nej Är bolaget skatteregistrerat, dvs. finns F-skatt? Uppvisar bolaget något skuldsaldo (dvs. finns det några obetalda skatteskulder)? Uppvisar bolaget några betalningsanmärkningar? Bedömning och rekommendationer Region Gävleborg har rutiner där kontroller sker mot Inyett och i förekommande fall även Skatteverket. Utifrån vår seriositetskontroll mot Skatteverket och Bolagsverket är vår bedömning är att det inte föreligger någon väsentlig risk för Region Gävleborg för oseriösa leverantörer. Denna bedömning baseras på det faktum att samtliga leverantörer utom en var registrerade för F-skatt och inte uppvisade några skatteskulder. Leverantören som inte var registrerad för F-skatt är en myndighet som regionen gör utbetalningar till gällande receptuttag för läkemedelsförmånen. Vidare noterades att 60% av leverantörerna inte hade någon betalningsanmärkning alls och att hälften av leverantörerna med betalningsanmärkning avsåg betalningsföreläggande som senare avskrivits. Ingen av betalningsanmärkningarna avsåg Region Gävleborg Förändring av leverantörsregister och förändringsloggar Kontrollfråga: Finns rutiner för förändring av leverantörsregister? Görs analys av förändringsloggar kopplat till känsliga leverantörsuppgifter som kontonummer? Rutinbeskrivning för upplägg av leverantör finns framtagen i form av arbetsbeskrivning Lägga upp ny svensk leverantör (framtagen ). Det finns även ett antal andra arbetsbeskrivningar framtagna, nämnas kan 9 Två av fyra leverantörer hade enstaka betalningsanmärkningar där ansökan om betalningsföreläggande skett men senare avskrivits. Övriga två leverantörer hade både ansökningar om betalningsförelägganden och betalningsanmärkningar som hamnat hos kronofogdemyndigheten, KFM. Antalet betalningsanmärkningar till KFM var två respektive 26 anmärkningar. Ingen av dessa betalningsanmärkningar har avsett Region Gävleborg. Region Gävleborg 10 av 23

12 arbetsbeskrivningar för bland annat posthantering, makuleringar, manuella utbetalningar och skanning. I övrigt saknar Region Gävleborg dokumenterade rutiner för underhåll av leverantörsregistret. Vi har därför genomfört en översiktlig kartläggning av regionens praktiska hantering. Inom regionen finns totalt sex personer som har full systembehörighet till Agresso, vidare i rapporten är de angivna som systemförvaltare. Enligt uppgift har dessa personer en behörighet som innebär att de kan göra allt vad gäller leverantörer, dvs lägga upp en leverantör och göra ändringar i leverantörsregistret. Det dagliga arbetet med att hantera leverantörsfakturor och göra utbetalningar ligger dock inte på dessa personer utan på två särskilt utsedda arbetsgrupper. Dessa arbetsgrupper är leverantörsgruppen som består av totalt 15 personer och kassagruppen som består av totalt fyra personer. Behörigheter leverantörsgruppen Behörigheterna i Agresso är uppbyggda med standardroller. Leverantörsgruppen tilldelas olika standardroller beroende på deras arbetsuppgifter. Dessa standardroller är: Upplägg ny leverantör Reverseringar leverantör Manuell registrering leverantörsreskontra Leverantörsgrupp ej manuell, rev och upplägg av lev Som rollen Upplägg ny leverantör kan personen göra allt i leverantörsregistret, dvs lägga upp ny leverantör, göra ändringar samt spärra och ta bort spärr av leverantör. Totalt finns 5 personer inom leverantörsgruppen som i systemet har en sådan behörighet. Enligt uppgift arbetar samtliga dessa på Ekonomiservice och motivet till att tilldela fem personer denna behörighet uppges vara ett minimum för att kunna hantera det dagliga flödet av leverantörsfakturor. Behörigheter kassagruppen Av Direktiv för attest och utbetalning (beslutad av landstingsfullmäktige ) ska utbetalningskontroll utföras av behöriga personer och innefattar en beloppskontroll samt avstämning av att likvida medel finns tillgängliga. Utbetalningen ska attesteras av två behöriga personer i förening och innebär godkännande av överföring av likvida medel till extern part. Behöriga personer som utför betalningskontroll eller utbetalningsattest får inte vara gransknings- eller beslutsattestant och ska utses av Regionstyrelsen. Rådande utbetalningsrutin innebär i praktiken att det inte är samma person som lägger upp leverantörer samt gör ändringar i leverantörsregistret och skickar betalningsfiler. Det är särskilt utsedda handläggare i kassagruppen som effektuerar utbetalningar. Systemförvaltare inom regionen har dock enligt uppgift behörighet till leverantörsregistret och köra utbetalningsfiler. Av intervjuer framgår dock att dessa personer inte har behörighet på banken och kan därför inte effektuera en betalning. Region Gävleborg 11 av 23

13 I samband med körningen kontrollerar ansvarig handläggare i kassagruppen utbetalningen genom kontroll av totalbeloppet och filnamn i utbetalningsfilen mot vad som är inläst på banken. Kassagruppen ansvarar för avstämning av huvudbok gällande bankkontot mot kontoutdrag och leverantörsgruppen ansvarar för avstämning av leverantörsskulder mot leverantörsreskontran. Rutiner upplägg ny leverantör I samband med skanning av leverantörsfakturor sker matchning av bankgironummer och organisationsnummer på fakturan mot leverantörsregistret. Om ingen matchning av dessa två parametrar sker hamnar fakturorna i en underhållsbild i Agresso för hantering. Fakturor som hamnar i underhållsbilden hanteras dagligen, vilket sker manuellt av någon av de fem personer som har behörighet. Upplägg av ny leverantör sker då utifrån uppgifter på leverantörsfakturan. Vid uppläggning av en ny leverantör krävs ingen tvåhandsprincip men enligt uppgift kan ett sådant arbetsflöde sättas upp i Agresso. Ändringar i leverantörsregister Det går inte att radera en leverantör utan istället anges leverantören som aktiv eller spärrad i leverantörsregistret. Rutinerna för att spärra en leverantör är följande: Leverantör som byter bankgironummer Det är vanligt förekommande att Region Gävleborg får brev från leverantörer att de kommer att byta bankgirouppgift. Enligt uppgift sker ingen åtgärd i leverantörsregistret i samband med att brevet erhålls. Istället inväntar regionen leverantörsfakturan som då får gå genom de vanliga kontrollerna i Inyett innan det hanteras i leverantörsregistret. Rutinen är då att den tidigare leverantören spärras om det inte finns öppna och obetalda fakturor i systemet. Istället läggs en ny leverantör med nytt bankgironummer upp. Tidigare var rutinen att bankgironumret ändrades på befintlig leverantör. Enligt uppgift är det dock fortfarande möjligt att i leverantörsregistret ändra bankgironummer på befintlig leverantör. Leverantörer som inte används I Agresso finns en funktion där alla leverantörer som inte använts inom en viss tidsperiod spärras. Enligt uppgift ska leverantörer som inte använts på 18 månader spärras. Om det kommer in fakturor därefter kan spärren tas bort. Enligt uppgift är det sagt att detta ska ske varje kvartal men att det är osäkert om så sker. Förändringsloggar Vi har noterat att det går att spåra samtliga ändringar som skett, vem som har gjort ändringarna samt när dessa har gjorts. Det är endast systemförvaltarna som kommer åt förändringsloggarna. Däremot kan leverantörsgruppen gå in på en viss leverantör för att läsa anteckningar samt vem som gjort senaste ändringen av leverantören. Regionen har inte som rutin att ta ut loggar i avsikt att kontrollera och analysera vilka förändringar som gjorts i leverantörsregistret. Region Gävleborg 12 av 23

14 Resultat av dataanalys Vi har genomfört en analys för att identifiera användare som uppdaterat leverantörsregistret men som saknas i listan över användare med behörighet till att utföra dessa förändringar, dvs de fem utsedda personerna i leverantörsgruppen. Utifrån genomförd analys kan vi konstatera att en användare som uppdaterat leverantörsregistret saknas i listan över användare med behörighet att utföra dessa uppdateringar. Detta förklaras dock av att denna person är systemförvaltare och har i sin ekonomiroll den befogenheten. Den systemgenerade förändringsloggen i leverantörsregistret innehåller de anteckningar som lämnats i registret. Vi har noterat att det under den granskade perioden oftast, dock inte alltid, har lämnats anteckningar till orsaken till förändringen. Bedömning och rekommendationer Vår bedömning är att det i stort finns fungerande rutiner för förändring av leverantörsregister. Behörigheter till förändringar i leverantörsregistret är begränsat, och kan bara utföras av systemförvaltare eller särskilt utsedda personer i leverantörsgruppen. Utbetalningar kan inte effektueras av dessa personer utan ligger på särskilt utsedda personer. Vi gör bedömningen att det är ett rimligt antal medarbetare som har behörighet till upplägg och ändringar av leverantörsregistret. Vi konstaterar att det finns ett antal dokumenterade rutin- och arbetsbeskrivningar, dock inga som omfattar rutiner för förändringar och underhåll av leverantörsregistret. Utifrån gjorda iakttagelser rekommenderar vi dock regionen att: Upprätta rutinbeskrivning gällande förändring och underhåll av leverantörsregistret. Säkerställa att rutinen kring att spärra leverantörer efter viss angiven tid (18 månader) efterlevs. Vidare är vår bedömning att det saknas rutiner för analyser av förändringsloggar kopplat till känsliga leverantörsuppgifter. Rutiner finns där ny leverantör läggs upp om leverantören byter bankgironummer och den gamla leverantören ska då spärras. Vi har dock noterat att det i systemet ändå är möjligt att ändra bankgironummer på befintlig leverantör. Genom möjligheten att ändra bankgironummer i leverantörsregistret finns alltid risk för en person att göra en tillfällig ändring av bankgironummer vilket då kan leda till felaktiga utbetalningar från regionens bankmedel. Av denna anledning anser vi det väsentligt att regionen inför rutiner för att regelbundet analysera och kontrollera förändringsloggar och dokumentera dessa kontroller Dubbletter bland leverantörerna Kontrollfråga: Finns eventuella dubbletter bland leverantörerna? Dubbelregistrerade leverantörer är primärt en ordningsfråga för regionen och kan försvåra uppföljning av inköp och även leda till felaktiga utbetalningar. Det kan Region Gävleborg 13 av 23

15 också få till följd att kontroll av fakturadubbletter i leverantörsfakturasystemet inte fungerar som avsett. Generellt sägs att kostnaden för att hantera en faktura är hög då både systemstöd och flera personer behövs för hantering och attest där varje leverantörsfaktura ska skannas, granskas, beslutsattesteras osv. Dubbletter i leverantörsregistret innebär alltså ökade kostnader för fakturahantering. Vi har gjort en analys av regionens leverantörsregister för att identifiera förekomsten av dubbelregistreringar av leverantörer i leverantörsregistret. Utsökningen i analysen har utförts genom summering per leverantörsnummer, leverantörsnamn plusgiro och bankgiro. Resultat från analys Region Gävleborg har under den granskade perioden totalt registrerade leverantörer. Utsökningen visar på ca 200 stycken registreringar i leverantörsregistret som har samma id, namn, bankgiro eller organisationsnummer. Se tabell nedan för uppföljning av dubbletter baserat på id, namn, bankgiro och/eller organisationsnummer. Av de dryga 200 leverantörerna gjordes uppföljning av sex utvalda leverantörer. Leverantör Leverantör Leverantör Leverantör Leverantör Leverantör Leverantör Leverantör Leverantör Leverantör Leverantör Leverantör Leverantör Leverantör Leverantör Leverantör Leverantör Leverantör Leverantör Leverantör Leverantör Leverantör Leverantörsnummer Efter uppföljning med regionen framkommer att flera registreringar av samma leverantör sker då leverantören har önskemål om utbetalning till olika bankgironummer för olika typer av fakturor. Detta är vanligt förekommande för kommuner, Region Gävleborg 14 av 23

16 landsting och hotellkedjor såsom Scandic. För att säkerställa att utbetalning går till rätt bankgiro skapar regionen två eller flera leverantörer som hör till samma företag. Varje registrerad leverantör har ett eget id-nummer men samma organisationsnummer. Leverantör 1-3 i tabellen ovan utgör sådana typer av leverantörer. Vid översiktlig genomgång av analysen kan konstateras att knappt en tredjedel, ca 36%, utgörs av sådan här typ av leverantörer. Vidare har regionen en del amerikanska leverantörer. För att det ska vara möjligt att göra en betalning till dessa leverantörer måste leverantören läggas upp i två delar i leverantörsregistret då de inte har något Swift-nummer. Därmed skapas det två registreringar i leverantörsregistret med samma leverantörsid, varav den ena registreringen innehåller bankuppgifter. Leverantör 4-5 i tabellen ovan utgör sådana typer av leverantörer. Vid översiktlig genomgång av analysen kan konstateras att knappt hälften, ca 46%, utgörs av sådan här typ av utländska leverantörer. Leverantör 6 i tabellen ovan utgör en leverantör som var upplagd två gånger i leverantörsregistret med två olika bankgironummer. Vid uppföljning av denna leverantör konstaterades att dubbelutbetalning till denne har skett under Detta var något som regionen inte själva hade upptäckt. Bedömning och rekommendationer Utifrån genomförd analys kan konstateras att det förekommer dubbletter i leverantörsregistret. Vår bedömning är att det föreligger en risk för Region Gävleborg i och med att det förekommer dubbletter och rekommendationen är att regionen går igenom leverantörsregistret och tar bort de dubbletter som inte är befogade. Bedömningen grundas i att en betalning skett två gånger till en leverantör. Beloppet var i detta fall inte väsentligt men ger de facto en indikation på att dubbelutbetalningar kan förekomma på grund av dubbletter i leverantörsregistret utan att regionen upptäcker det Förekomst av ogiltiga organisationsnummer Kontrollfråga: Förekommer det ogiltiga organisationsnummer i leverantörsregistret? En sökning har gjorts av organisationsnummer med avvikande kontrollsiffra. Sökningen har gjorts baserat på luhn-algoritmen 10. Sökningen har utförts på alla leverantörsfakturor i fakturatransaktionerna samt leverantörsregistret under den granskade perioden januari till oktober En vanligt förekommande algoritm för att beräkna en enkelfelupptäckande kod i form av en kontrollsumma. Luhn-algoritmen används bland annat för att beräkna kontrollsiffran i svenska personnummer. Algoritmen kan alltid upptäcka enkelfel, det vill säga en felskriven siffra, och nästan alltid ett byte av två intilliggande siffror (med undantag av om de två siffrorna är 0 och 9). Om två eller fler siffror är felskrivna finns emellertid en liten risk att felen inte upptäcks därför att de tar ut varandra så att de ger upphov till samma kontrollsiffra. Algoritmen är utformad så att det är möjligt att infoga ett godtyckligt antal nollor i början av koden utan att det påverkar kontrollsiffran (ex och 123 ger upphov till samma kontrollsiffra). Region Gävleborg 15 av 23

17 Resultat från dataanalys Efter genomförd analys av leverantörsregistret har ogiltiga organisationsnummer identifierats för 68 av Region Gävleborgs registrerade leverantörer. 63 av dessa ogiltiga organisationsnummer avser felaktiga personnummer. Dessa kan avse både enskilda firmor och privatpersoner. Det är vanligt förekommande att regionen gör utbetalningar till privatpersoner och rutinen är då att det sker genom att personen läggs upp som en leverantör i leverantörsregistret och utbetalning sker utifrån attesterad utanordning. Resterande fem ogiltiga organisationsnummer avser aktiebolag och enskilda firmor. Två av dessa avser aktiebolag och vid sökning mot Bolagsverket kan konstateras att de registrerade organisationsnumren är ogiltiga. Vid översiktlig granskning av utfallet av analysen kan vi konstatera några organisationsnummer där samtliga fyra siffror gällande årtalet fyllts i (exempelvis 1939), och därför faller de två sista siffrorna i de fyra sista siffrorna i personnumret bort i och med att personnummer alltid består av 10 siffror. Det förekommer även organisationsnummer som omfattar endast sex siffror eller organisationsnummer som inkluderar en bokstav och nio siffror. I systemet finns en inbyggd signalfunktion som varnar när ett felaktigt organisations- eller personnummer läggs upp. Som handläggare är det ändå möjligt att fortsätta registreringen av leverantören men den blir då registrerad med SAKNAS i fältet för organisationsnummer. Av intervjuer framkommer att en förklaring till att det finns ett antal leverantörer med ogiltiga organisationsnummer är att signalfunktionen inte alltid har funnits i systemet. Utifrån genomförd analys kan vi konstatera att det under den granskade perioden januari till oktober 2017 skett tio utbetalningar till leverantörer med ogiltiga organisationsnummer. Av intervjuer framkommer att det förekommer leverantörer i leverantörsregistret som är registrerade med 1000 eller SAKNAS som organisationsnummer. Utländska leverantörer har inget organisationsnummer och av den anledningen anges de med 1000 eller SAKNAS i leverantörsregistret. Utländska leverantörer registreras alltid med 1000 för att hanteras på särskilt sätt i samband med betalning. Dessa leverantörer plockades bort i den genomförda analysen avseende ogiltiga organisationsnummer. Vi kan konstatera att det finns 86 registrerade leverantörer med SAKNAS respektive 438 registrerade leverantörer med 1000 angivet i fältet för organisationsnummer. Genomförd dataanalys visar på att Region Gävleborg har många registrerade leverantörer. Till många av dessa (ca 44%) har utbetalning skett endast en gång under den granskade perioden januari till oktober En bidragande orsak till att regionen har många registrerade leverantörer är privatpersoner som läggs upp som en leverantör i samband med utbetalning till av exempelvis reseersättning för sjukhusbesök. Bedömning och rekommendationer Efter genomförd kontroll noterar vi att 68 leverantörer påträffades som hade ogiltigt organisationsnummer vilket vi bedömer vara lite i relation till Region Region Gävleborg 16 av 23

18 Gävleborgs totala antal leverantörer. Vi kan konstatera att regionen inte har identifierat att organisationsnumren var felaktiga. Vi kan konstatera att det finns en signalfunktion i ekonomisystemet som varnar och märker leverantören med SAKNAS. Vi rekommenderar regionen att införa rutiner för uppföljning av leverantörer som är registrerade som SAKNAS för att minska risken för dubbelregistrering av leverantörer. Vi kan även konstatera att Region Gävleborg har många registrerade leverantörer. Till många av dessa (ca 44%) har utbetalning skett endast en gång under den granskade perioden januari till oktober Många leverantörer i leverantörsregistret innebär ökade kostnader för fakturahantering och underhåll av leverantörsregistret. Vi rekommenderar regionen att se över huruvida det i Agresso är möjligt att effektivisera rutinerna kring upplägg av enskild privatpersoner i leverantörsregistret Dubbla utbetalningar Kontrollfråga: Finns potentiella dubbla utbetalningar? En sökning har gjorts för att identifiera potentiella betalningar av samma faktura som skett fler än en gång. Matchning har skett i kombination av leverantörsnummer, fakturanummer, fakturabelopp och fakturadatum. Endast betalda leverantörsfakturor under den granskade perioden ligger till grund för denna analys. Resultat från dataanalys Efter genomförd analys har totalt fem transaktioner identifierats innehållande samma kombination av leverantörsnummer, fakturanummer, fakturabelopp och fakturadatum. Vid uppföljning med regionen framkom att dessa transaktioner avser samma fakturor. Fakturorna har kommit till regionen via två olika kanaler; först i pappersform varpå fakturorna har skannats och lästs in i Agresso, sedan som e- faktura i inköp- och fakturahanteringssystemet Proceedo. Noterbart är att i fyra av fem fall har pappersfakturan kommit långt innan e- fakturan inkommit till Proceedo med en tidsperiod på mellan fem och 43 dagar. För den femte dubbelbetalningen kom fakturan först på papper och sedan kom e- fakturan till Proceedo några timmar senare. Enligt uppgift känner Agresso av om fakturan ankommit till Proceedo först men Proceedo kan inte känna av om fakturan redan finns i Agresso. Fakturorna i två av fallen blev ordermatchade direkt i Proceedo i samband med att e-fakturan inkom, varpå någon manuell kontroll mot Agresso inte varit möjlig vid den tidpunkten. Fakturorna i de övriga tre fallen blev inte ordermatchade och har därav granskats och godkänts manuellt. För en av dessa dubbelbetalningar har vi noterat att e-fakturan beslutsattesterades av samma person som beslutsattesterade pappersfakturan, vilket indikerar på bristande kontroll. De noterade dubbla utbetalningarna under perioden uppgår till totalt kr, där respektive faktura uppgår till mellan 734 kr och kr. De dubbla utbetalningarna har skett till totalt fyra olika leverantörer. Region Gävleborg 17 av 23

19 Bedömning och rekommendationer Vår bedömning är att det inte föreligger någon väsentlig risk för dubbla utbetalningar. Endast fem av regionens totala utbetalningar skedde två gånger med samma faktura. Dock rekommenderas regionen att se över rutinen, och om möjligt, vidta åtgärder för att förhindra att en redan inkommen faktura i Agresso även kan komma in i Proceedo och bli betald två gånger. Regionen behöver även ta kontakt med aktuella leverantörer dels för att begära återbetalning, dels för att komma överens om huruvida pappersfaktura eller e-faktura ska skickas framgent till regionen Övrigt som framkommit vid dataanalysen I analysen har noterats att transaktioner har genomförts med 40 leverantörer som inte återfanns i leverantörsregistret. Stickprov på åtta av dessa 40 leverantörer har gjorts. Två leverantörer var spärrade på grund av nya leverantörsnummer och en leverantör har bytt namn vilket förklarar att den noterades i dataanalysen. Vid uttag av leverantörsregistret var dessa leverantörer inte aktiva och kom därför inte med på listan. Resterande fem leverantörer är nya leverantörer där fakturaflödet påbörjades och men bokföringsperioden är oktober. Detta innebär att dessa fem leverantörer inte fanns upplagda vid det tillfälle som leverantörsregistret togs ut, dvs , däremot fanns bokförda transaktioner under oktober. Vid översiktlig genomgång av övriga leverantörer kan konstateras att totalt 23 av de 40 leverantörerna som noterats som en avvikelse i dataanalysen beror på att fakturaflödet och bokföringsperioden inte är överensstämmande. Statistik visar att merparten av alla bedrägerier där pengar förskingrats har beloppet på transaktionen varit precis under en attestgräns. Därför har vi noterat alla transaktioner där beloppet slutar på 99 eller 99,99 med hjälp av en dataanalys. Av totalt transaktioner har Region Gävleborg fakturor med ett sådant belopp. Ett urval på 25 transaktioner granskades för att undersöka om några oegentligheter gick att identifiera. Samtliga utbetalningar avsåg något som kan hänföras till rörelsen och har granskats och beslutsattesterat av minst två olika personer. Region Gävleborg 18 av 23

20 3.3. Aktuella attestbehörigheter Överensstämmelse mellan attestförteckning och registrerade attestbehörigheter Kontrollfråga: Finns det en aktuell attestförteckning/attestkort avseende attest av ekonomiska transaktioner som överensstämmer med registrerade attestbehörigheter i ekonomisystemet? Vi har erhållit nedanstående dokument som berör attest av leverantörsfakturor: Direktiv för attest och utbetalning (beslutad av landstingsfullmäktige den ) Anvisning till direktiv för attest och utbetalning (fastställandedatum ) Rutin Anmäla attestant och ersättare (fastställandedatum ) Attestrutinen enligt direktivet innehåller två moment. Ett granskningsmoment och ett beslutsmoment. Attestanter utses enligt direktiv och anvisningar. I anvisningen anges att regiondirektör, biträdande regiondirektörer och förvaltningschefer eller de som fått uppdraget, ska anmäla attestanter och ersättare enligt rutinen Anmäla attestant och ersättare. Det åligger den som utser attestant eller ersättare att informera om uppdragets innebörd. Vi noterar att rutinen för anmälan av attestant eller ersättare bygger på att en pappersblankett fylls i. Den finns i 13 olika varianter för beslutsattestanter på olika chefsnivåer, granskningsattestanter och system. Dokumentet Anmäla attestant och ersättare innehåller beskrivning av hur de olika blanketterna ska fyllas i samt närmare förklaring av vem som har rätt att anmäla attestanter. Ifylld blankett ska attesterad lämnas till LOV där de sorteras i pärmar för olika år och per förvaltning. Noteras skall att attest kan ske i två olika system, ekonomisystemet eller inköpssystemet. Anvisningen innehåller även beloppsgränser för beslutsattesten och är kopplad till organisationsnivån på attestanten. I vår tidigare granskning av rutiner för löpande redovisning (avrapporterad juni 2017) har vi utifrån då erhållen excelfil över alla attestberättigade personer gjort en stickprovskontroll på att personen är utsedd attestant genom en underskriven blankett i enlighet med gällande rutin. Stickprovskontrollen visade inte på några avvikelser. Resultat av dataanalys Vi har till dataanalysen erhållit en excelfil över attestberättigade i leverantörsreskontran, vilken har exporterats från Agresso. Utifrån excelfilen kan vi konstatera att det finns 317 personer med beslutsattest. Vi bedömer att det är ett rimligt antal beslutsattestanter mot bakgrund av att regionen har drygt årsarbetare. Region Gävleborg 19 av 23

21 Bedömning och rekommendationer Det är väsentligt att en kontroll över lämnade behörigheter genom en väl fungerande behörighetsadministration. Detta omfattar även att korrekt registrering har skett av attestberättigade personer samt justeringar i attesträtt vid förändringar i attesträtten. Attestberättigade enligt datasystemen ska stämma med attestberättigade enligt beslutade attestförteckningar. Inga avvikelser har noterats vid vår granskning. Det finns fastställt vem som utser gransknings- och beslutsattestanter. Tidigare genomförda stickprov mot undertecknade blanketter visar inte på några avvikelser. Utifrån nu gällande rutiner med blanketter som sparas i pärmar är det svårt att få en samlad överblick att inlagda attestbehörigheter är fullständiga och korrekta och det är tidsödande att granska efterlevnaden. Tidigare genomförd stickprovskontroll visade inte på några avvikelser. Behörighetsadministrationen av registrering av attestberättigade behöver dock ses över och möjligheter till en IT-baserad hantering bör undersökas Ändamålsenliga behörighetsnivåer Kontrollfråga: Är användarnas behörighetsnivå i ekonomisystemet ändamålsenlig utifrån ansvar och befogenhet? Det är väsentligt att tillse att risken för felaktiga utbetalningar begränsas genom att en person inte kan utföra hela kedjan från att lägga upp en leverantör till att betala leverantörsfakturan. Denna risk kan begränsas genom att användare ges endast den behörighetsnivå i ekonomisystemet som är ändamålsenligt utifrån ansvar och befogenheter. Som framgår av tidigare avsnitt finns det inom regionens Ekonomiservice utsedda personer med full behörighet till Agresso (benämns i rapporten som systemförvaltare ) samt en utsedd leverantörsgrupp och en utsedd kassagrupp. Av intervjuer framgår att behörigheterna skiljer sig åt mellan grupperna och utifrån användarnas arbetsuppgifter. Exempelvis finns det inom leverantörsgruppen ett antal handläggare som har till arbetsuppgift att lägga upp nya leverantörer och ansvara för ändringar av fasta data i leverantörsregistret. Vi har granskat huruvida någon person inom Region Gävleborg kan genomföra hela kedjan från upplägg av leverantör till utbetalning. Utifrån uttagna behörigheter till leverantörsreskontra och leverantörsregister per kan vi konstatera att det finns totalt 11 personer inom regionen som har full behörighet till leverantörsregistret. Fem av dessa personer arbetar centralt på Ekonomiservice och ingår i leverantörsgruppen. Övriga sex personer utgörs av de personer som har full behörighet till leverantörsregistret ( systemförvaltare ). Som en del i granskningen har analys utförts för att identifiera användare med attesträttigheter till leverantörsfakturor, vilka även har behörigheter till att genomföra förändringar i leverantörsregistret eller som i övrigt arbetar inom leverantörsgruppen. En användare har identifierats i analysen och uppföljning har skett med regionen. Denna person har inte behörighet att lägga upp ny leverantör Region Gävleborg 20 av 23

22 eller att göra betalningar, däremot särskild behörighet att hantera reverseringar i Agresso, dvs makuleringar. Reverseringar konteras på särskilt kostnadsställe (kostnadsställe 31799), och behöver attesteras för att verkställas. Reverserade leverantörsfakturor är inte föremål för utbetalning. Rutinbeskrivning finns framtagen gällande makulering av leverantörsbetalningar. Vi har däremot noterat att angiven person ansvarig för reverseringar i framtagen rutinbeskrivning för makuleringar inte överensstämmer med den person som i dagsläget har behörighet att attestera reverseringar. Vi har erhållit uttag från regionens bank över inlagda bankbehörigheter (uttagna per ) samt förteckning över personer som har behörighet att göra betalningar i systemet (uttagna per ). Totalt finns det 20 personer i regionen som har någon form av behörighet på banken. Behörigheterna kan fördelas enligt följande: Totalt finns det fem personer som har behörighet att köra utbetalningar från Agresso, vilka även har obegränsad behörighet på banken att, två i förening, göra utbetalningar. Dessa personer är inte gransknings- eller beslutsattestanter. Fyra av dessa personer ingår i kassagruppen. Den femte personen har tidigare ingått i kassagruppen men har från november 2017 andra arbetsuppgifter. Denna person ingår inte i leverantörsgruppen och har således inte behörighet till leverantörsregistret. Enligt uppgift är det tveksamt om denna person ska ha behörighet att köra utbetalningar via regionens bankmedel. Fem personer som har behörighet att göra filöverföringar på banken. Fyra av dessa personer ingår enligt uppgift i kundgruppen. Behörigheten har getts till dessa personer för att Ekonomiservice har sett behov av att ha fler personer än kassagruppen för att godkänna betalningsfiler. Då alla betalningar ska ske två i förening behövs det alltid vara två personer på plats när betalning ska göras. Den femte personen har tidigare arbetat på kundgruppen men bankbehörigheten plockades inte bort när denna person bytte tjänst. Ingen av dessa fem personer kan skapa betalningsfiler i Agresso Två personer har rollen som behörighetsadministratör på banken. Denna roll är två i förening. Dessa två personer har enligt uppgift inte behörighet att göra några betalningar eller överföringar. Åtta personer har varierande upplagda behörigheter så att de kan se vissa angivna konton, se och uppdatera autogiro online, göra utlandsbetalningar och/eller göra överföringar mellan olika angivna konton. Flertalet av dessa avser behörigheter till underkontot gällande X-Trafik. Med undantag av behörigheten att kunna se vissa angivna konton är övriga registrerade bankbehörigheter två i förening. Dåvarande Landstingsstyrelsen har i mars 2013 beslutat att ge ekonomidirektören i uppdrag att utse personer som är behöriga att teckna bank inom Lednings- och verksamhetsstöd samt förvaltningen X-Trafik. Vi kan konstatera att samtliga registrerade bankbehörigheter har godkänts av ekonomidirektören. Region Gävleborg 21 av 23