Ekonomisystemet Agresso

Transkript

1 Sid 1 (8) Rektorskansliet Internrevision Unn Forsberg Styrelsen och rektor Ekonomisystemet Agresso Internrevisionen har i enlighet med fastställd revisionsplan för verksamhetsåret 2004 utfört granskning av Agresso. A. GRANSKNINGENS INRIKTNING OCH OMFATTNING Granskningen har syftat till att utvärdera om ändamålsenliga avstämningskontroller finns och att dessa kontroller utförs samt om behörighetskontrollsystemet är ändamålsenligt. Vi har vid vår granskning bedömt om: systemet är installerat på ett tillfredsställande sätt ur säkerhetssynpunkt driftmiljön är ändamålsenlig de egenutvecklade datoriserade kontrollerna är ändamålsenliga kringrutinerna på ett effektivt och ändamålsenligt sätt bidrar till god intern kontroll den sammantagna kontrollen i det levererade systemet Agresso, egenutvecklade datoriserade kontroller och kontroller i kringrutiner är tillfredsställande Vi har inte granskat Agresso-systemets inbyggda funktionalitet. I granskningen har heller inte ingått verifikationshanteringen, då detta utförs vid vår löpande institutionsgranskning, samt granskning som utförts i samband med granskningen av reseräkningssystem samt löne- och personaladministrativt system. Området har tidigare granskats under tog universitetet i drift en ny version av Agresso. I samband med byte av systemversion genomfördes förändringar av objektplanen. B. RAPPORTFORM Våra iakttagelser avrapporteras enligt god internrevisionssed i form av en så kallad avvikelserapport, vilket innebär att endast de brister vi funnit rapporteras. Processer som fungerar tillfredsställande kommenteras inte, inte heller relationen mellan andelen välfungerande respektive bristfälliga processer. Vår rapport ger därmed inte en heltäckande bild av granskat område Linköping Besöksadress: Hus Origo, Universitetet Tel Fax E-post: Unn.Forsberg@.LiU.SE

2 Sid 2 (8) C. IAKTTAGELSER I SAMBAND MED VÅR GRANSKNING Vi bedömer att Linköpings universitet har en välutvecklad intern kontroll på de flesta områdena inom Agresso. Det finns dock några punkter som vi anser behöver förbättras. I flera fall behövs beslut och åtgärder avseende de kringrutiner som genererar information in till systemet samt utbildning i hur universitetets regelverk och rutiner skall fungera. C1. Leverantörer I Agressos leverantörsreskontramodul finns ett register över leverantörer innehållande fasta data om företagen. Betalning av leverantörsfaktura kan dock ske utan att leverantören finns i registret, genom att använda funktionen tillfällig leverantör. Vi kan konstatera att användningen av tillfällig leverantör har minskat från ca betalningar vid tidigare granskning till 637 betalningar 2003, vilket är positivt. Ett antal av dessa betalningar utgörs av ersättning till försökspersoner och anställda som ska hanteras genom lönesystemet. Vidare avser ett antal betalningar stipendium, som bör betalas via lönesystemet. Återstående betalningar avser betalningar till företag och är de enda betalningar som borde ha hanterats via tillfällig leverantör. Minskningen av användningen av tillfällig leverantör tycks tyvärr bero på att betalningarna i stället skickas till bankers postgirokonto med meddelande om vilket konto pengarna ska sättas in på. Flera banker har börjat protestera mot denna hantering, speciellt då många belopp är små (ett stort antal under 100 kr). Betalningarna förefaller avse reseförskott, lön, ersättning för utlägg, stipendium samt ersättning till försökspersoner. Betalning av lön, utlägg och ersättning till försökspersoner ska betalas via lönesystemet. Stipendium bör också gå via lönesystemet för att förhindra negativa skattekonsekvenser för stipendiaterna och för att förbättra den interna kontrollen. Det finns ett relativt nystartat projekt som ser över hur stipendiehanteringen kan flyttas från Agresso till lönesystemet HR+. Hanteringen av ovannämnda betalningar försämrar den interna kontrollen eftersom universitetet inte kan se vem som mottagit betalningarna utan att ta fram pappersverifikationerna. Statistik och uppföljning av leverantörer och kostnader försvåras. Hanteringen av de förskott och reseförskott som betalats ut på detta sätt är mycket omständlig och beloppen kan inte enkelt stämmas av och kvittas på korrekt sätt mot lön. Vidare finns det risk att bankerna kommer att vägra förmedla betalningar till konto på det sätt som nu görs. Agressogruppen (systemadministratörerna) har under ett antal år påpekat det vanskliga med att institutionerna envisas med att betala ut utlägg och småbelopp till anställda på ovanstående sätt, men har inte fått gehör för sina synpunkter. Under våren 2004 beslutades att utlägg ska gå via lönesystemet från och med augusti 2004, vilket bör minska antalet betalningar till bank en del, men inte tillräckligt.

3 Sid 3 (8) En stor mängd betalningar är på mycket låga belopp. Under 2003 gjordes ca betalningar till leverantör. Ca 65 % av betalningarna var mindre än 3000 kr, 25 % under 600 kr och 7 % under 200 kr. Det finns exempel på fakturor på 36 kr, vilket är helt absurt. Detta skapar omfattande administration både hos leverantören och på universitetet. Med tanke på att själva hanteringskostnaden från mottagande av faktura/kvitto till genomförd betalning lågt räknat uppgår till flera hundra kr per betalning med dagens rutiner, borde mycket små betalningar undvikas. Som exempel kan nämnas att en stor del av de mycket små fakturorna kommer från stora leverantörer som resebyråer och boklådor som rimligen borde kunna övertalas att använda samlingsfakturor i större utsträckning. Det nystartade projektet FASER (digital attestering av fakturor) kommer att påverka mängden leverantörer och hela betalningsrutinerna i positiv riktning, eftersom en rationell hantering är en förutsättning för att digital attestering ska kunna genomföras överhuvudtaget. Det finns över leverantörer i reskontran, vilket är ett omotiverat stort antal. Ca 60 st leverantörer står för 50 % av antalet fakturor och många av de övriga har bara använts en eller ett fåtal gånger. Universitetet lyder under Lagen om Offentlig upphandling (LOU), vilket innebär att inköpsprocessen skall kännetecknas av effektivitet och användande av ett mindre antal leverantörer med vilka man har ramavtal och som anlitas exklusivt under avtalsperioden. Av strukturen på leverantörerna kan man dra slutsatsen att så inte är fallet för LiU. Det nystartade projektet EFIN (effektiv inköpsverksamhet) kommer att gå igenom och aktivt arbeta för att minska antalet leverantörer. Utlandsbetalningar, som inte sker via betalkort, innebär en stor mängd merarbete. Dels innebär det omfattande registrering i Agresso med risk för skadlig arbetsbelastning, och dels förekommer en mängd manuell hantering av olika blanketter, pappersunderlag och kontroller av valutakurser, adresser och bankgironummers utseende i olika länder. Ofta blir det fel på de uppgifter som kommer in till kassan, och ärendet kan få gå många varv innan alla uppgifter stämmer och adressaten de facto får pengarna. Kassan får ofta tillbaka pengar eftersom adressaten flyttat, bytt bank eller på annat sätt inte kan återfinnas. Det är inte självklart att det går att verkställa alla betalningar. En del av utlandsbetalningarna avser manuellt hanterade löner till utomlands boende personer. Dessa ska gå via lönesystemet istället, så att både den skattemässiga och administrativa hanteringen av lönerna underlättas. Det uppstår också juridiska problem när det gäller de depositionsavgifter på kr som utländska gäster erlägger i samband med att universitetet hjälper till att ordna bostad. Tanken är att avgiften ska betala ev. skador på bostaden eller utebliven städning vid avflyttning. Det förekommer att personen inte betalat in avgiften själv, utan någon släkting har satt in pengarna på LiUs postgiro. När pengarna ska betalas tillbaka, finns ofta inga uppgifter på gästens bankkonto, och det är inte juridiskt korrekt att betala till personer (t.ex. gästens mormor) som LiU inte har någon som helst relation till. Med tanke på att depositionsavgiften inte täcker de ev. skador som gästen kan tänkas

4 Sid 4 (8) åstadkomma och att städning inte kostar mer än ca 500 kr om det skulle behövas, ter sig hela hanteringen som onödig. C2. Kunder Under 2003 gjordes ca inbetalningar avseende externa kundfakturor. Ca 50 % av fakturorna var under kr och ca 1240 var under 200 kr. Av dessa utgjordes ca 390 av bibliotekets fakturor på små belopp avseende fjärrlån. Enligt ekonomihandboken bör inte belopp under 100 kr faktureras utan inbetalningskort bör istället användas. Vi anser att även ekonomihandbokens rekommendation om att inte fakturera under 100 kr är för lågt om man ser till hanteringskostnaden för en faktura som beräknas uppgå till ca 500 kr om man räknar hela processen från fakturaunderlag till genomförd betalning. Under 2003 gjordes ca inbetalningar avseende interna kundfakturor. Hela hanteringen med interna fakturor, där många är på små belopp bör effektiviseras och harmoniseras. Idag fakturerar institutioner och enheter varandra utifrån helt olika principer för hur man tar betalt för sina tjänster, t.ex. om man har ett schablonpris inklusive overhead-kostnader eller om man bara tar direkt lön för utfört arbete. Bokföringen av fakturan varierar också, och det händer att det som hanteras som en intäkt på en institution istället bokförs som en kostnadsreduktion på en annan institution, vilket försvårar jämförelser och leder till olika uttag av gemensamma avgifter. Det nystartade projektet INHAND (internhandel) kommer att se över hela hanteringen. 50 % av universitetets fakturering sker under maj, juni, nov samt dec. Genom att faktureringen inte sker jämt över året förlorar universitetet ränta och löpande uppföljning av intäkter försvåras. På samma sätt som tillfällig leverantör finns tillfällig kund. Under 2003 användes tillfällig kund vid 466 faktureringar. 15 av dessa var över kr och den största var på ca kr. Majoriteten av inbetalningarna var under kr. Användningen av tillfällig kund försvårar uppföljningen av intäkter. Det finns inga regler för användningen vad gäller beloppsgränser eller kriterier för när det är lämpligt att använda tillfällig kund. Vid rekvisition av utlovade bidrag från extern part används ofta universitetets fakturablankett istället för den särskilda rekvisitionsblankett som finns upplagd på LiUs hemsidor. Vi anser att det är olämpligt att använda fakturablanketten, dels för att rekvisition av medel inte är en fordran, vilket är fakturablankettens innebörd, och dels för att det finns en risk för att dessa belopp felaktigt registreras som kundfordran i bokföringen. Agresso innehåller en Order, Lager och Faktureringsmodul (OLF) som används av några enheter. LiU använder standardversionen med modifikation för att kunna fakturera på respektive enhet (och inte bara centralt). Användningen underlättar för

5 Sid 5 (8) kassan och är effektivt för de enheter som har mycket fakturering. En brist är att det inte går att lägga in någon verifikationstext, vilket innebär att man inte kan se i huvudboken vad fakturan avser om man inte går in och granskar varje order för sig. Användningen innebär också att de enheter som använder OLF måste begränsa antalet personer som fakturerar till ett fåtal personer, vilket kan leda till förändringar i bemanning för vissa institutioner. Inom en av universitetets enheter används ett fristående Order, Lager och Faktureringssystem (Crom). Informationen från detta system förs inte över via fil till Agresso, utan nödvändiga uppgifter registreras även i Agresso (dubbelregistrering). Hanteringen medför ökad arbetsbelastning med risk för arbetsskador för enheten samt risk för att systemen inte innehåller samma uppgifter. Enheten borde snarast gå över till Agressos egen modul OLF. Med tanke på att Crom köpts upp av Agresso AB bör man kunna ställa krav på Agresso AB att kraftfullt hjälpa till med ev. anpassningar som kan behöva göras i OLF för att uppnå tillräcklig funktionalitet i webbutik och kassa. C3. Dokumentation Förordning om myndigheters bokföring, arkivlagen samt arkivförordningen reglerar hur räkenskapsinformation ska bevaras. Universitetet har inte definierat vilka handlingar som ska anses som räkenskapsinformation. Arbete pågår för att upprätta sådana dokument. Under arbetets lopp har ekonomen som jobbat mest med detta slutat, och det är oklart om all relevant information överförts till den person som tagit över uppgifterna. Det är oklart vem som har ansvar för att arkivering av relevanta dokument verkligen sker. Systemdokumentation och behandlingshistorik utgör en del av räkenskapsinformationen. Ekonomiavdelningen har ingen beskrivning som säkerställer ett heltäckande och planlagt bevarande av informationen, i vilken form och var bevarandet ska ske. Det finns viss dokumentation, men kompletterande åtgärder behövs för att uppfylla förordningens krav. Enligt ekonomiavdelningen arbetar man aktivt med detta. Vid granskningstillfället fanns ingen upprättad katastrofplan. För att säkerställa att universitetet ska kunna leva upp till förordning om myndigheters bokföring, även vid ett tillbud av något slag, anser vi att en katastrofplan är en förutsättning. Endast delar av universitetets ekonomihandbok har uppdaterats sedan Vissa beskrivningar är fortfarande relaterat till den tidigare versionen av Agresso eller den tidigare objektplanen. Vi anser det mycket olyckligt att ekonomihandboken inte uppdateras kontinuerligt. Det leder bland annat till okunskap om beslutade förändringar för att förbättra den interna kontrollen, okunskap om hur frågor ska hanteras i nya systemet/objektplanen samt risk för att ekonomihandboken tappar i betydelse då man ändå inte vet om man kan lita på den. Arbete pågår med att uppdatera ekonomihandboken, men beslutet om att uppdateringen skulle vara färdig till

6 Sid 6 (8) halvårsskiftet har inte uppfyllts. Ansvaret för ekonomihandboken som helhet är också oklart. C4. Säkerhet I och med att ESV gick över till den nya versionen av Agresso, ändrade man rutiner och skickade inte ut några instruktioner om hur parametrar, loggar och tabeller ska sättas upp och användas för att skapa intern kontroll och uppfylla krav enligt lag och förordning. Det ställer stora krav på myndigheternas egen kompetens i systemet. I brist på instruktioner från ESV har internrevisionen inte tillräcklig programmeringskompetens för att kunna granska om parametrarna, loggarna och tabellerna är korrekt uppsatta och använda, men vi anser det angeläget att kontrollera om så är fallet. Enligt förordning om myndigheters bokföring med tillhörande föreskrifter och allmänna råd bör fördelning av uppgifter och ansvar på organisatoriska enheter och tjänstemän organiseras så att ingen person ensam kan handlägga ett ärende med ekonomiska konsekvenser. Vi har funnit att tre personer kan förfoga över hela kedjan från registrering av faktura till bemyndigande till postgirot att betala. Vi anser det anmärkningsvärt att denna brist fortfarande inte åtgärdats, då vi vid upprepade tillfällen sedan vår granskning 1998 påpekat bristen. Vi har också konstaterat att man endast behöver byta lösenord till Citrix (gemensam server för flertalet administrativa system, inklusive Agresso) efter 180 dagar. Vidare kan man spara inloggningsfönstret med användarnamn och lösenord på sin egen dator, så att man kommer direkt in i serven utan att ange dessa uppgifter (standard inom operativsystemet Windows). Universitetets inloggningssäkerhet är byggd på att man använder sig av två nivåer, inloggning till Citrix och Agresso. Genom bristerna i inloggningen till Citrix finns risk för att en nivå endast ger begränsat skydd. C5. Övrigt Vid granskningstillfället hade flera personer på ekonomiavdelningen, inom en relativt kort tidsperiod, slutat eller fått tjänstledigt för att prova annat arbete. Vi anser att så många personer lämnat enheten att det finns väsentlig risk för att ekonomiavdelningen tappar viktig kompetens samt att den nivå på säkerhet och intern kontroll som byggts upp riskerar att försämras. Överlämningen av uppgifter och kunskap från de personer som slutat till de kvarvarande och/eller nyrekryterade personerna har inte skett på ett systematiskt sätt och ibland inte alls, varför det är stor risk att arbetsuppgifter utförs mindre effektivt eller inte alls och att viktig kunskap inte längre finns kvar på avdelningen. Mycket av det utvecklingsarbete som sker görs med hjälp av konsulter. Enligt systemadministratörerna är detta inte något problem, eftersom systemet används i standardversion i så stor utsträckning som möjligt och de få anpassningar som gjorts ändå gjorts i samband med leverans av nya moduler, där leverantörens anpassningar ingått i upphandlingen. Vi bedömer att det framgent kan komma att ske större

7 Sid 7 (8) förändringar i samband med projekt avseende E-handel (elektronisk fakturering, digitala signaturer etc.) som troligen kommer att kräva en mer aktiv insats från LiUs systemadministratörer, vilket kommer att ställa högre krav på deras kompetens. I samband med att ekonomichefen övergått till internrevisionen, har en otydlighet uppstått angående vem som har ansvar för olika avtal och vem/vilka som ska överta hennes arbetsuppgifter och ansvar för olika uppgifter till myndigheter etc. Inom universitetet används analysverktyget HAT. Detta verktyg vidareutvecklas kontinuerligt med konsulthjälp till relativt stor kostnad. Under 2003 kostade konsultinsatserna avseende HAT ca kr och licensavgifterna ytterligare kr för 25 användare. Det kan jämföras med konsultinsatser från ESV avseende helt nya moduler i Agresso på ca kr och licensen för hela Agresso på ca kr för 200 aktiva användare. Vi anser att universitetet bör överväga om nyttan med HAT motsvarar kostnaderna för verktyget. Projektet Agresso Open är en webbportal som syftar till att göra Agressoinformation tillgänglig även för personer som inte har behörighet att gå in i systemet. En fil skickas varje morgon från CSC (den externa enheten som sköter den tekniska driften) till Unit, men Agressogruppen har inte fått se vad som görs med filen eller varit inblandade i hur data presenteras i Agresso Open. Vi finner det märkligt att Agressogruppen inte är inblandade i hur informationen i Agresso Open presenteras för en större grupp anställda. Såväl Agressogruppens som övriga inblandades kunskaper behövs i ett sådant arbete. I Agresso finns ca 900 öppna konton som man kan registrera verifikationer på. Under 2004 har hittills bara ca 680 använts. Med tanke på att risken för felkontering ökar med antalet alternativa möjligheter och att kontoplanen blir allt mer oöverskådlig ju fler konton man har, anser vi att antalet konton behöver bantas. Det är bättre att ha färre konton med bredare användningsområde än att ha en stor mängd konton som ger ett falskt intryck av noggrannhet. Det finns en funktion för budgetregistrering i Agresso. Det är endast ett fåtal enheter som använder funktionen, och alla hanterar den på olika sätt. Vi anser att modulen borde utnyttjas bättre samt på ett likartat sätt. Enligt beslut med Dnr 1652/99-20 skulle en utvärdering av den nya versionen av Agresso göras under våren 2002 och en förutsättningslös utvärdering av olika tänkbara ekonomisystem göras under Några sådana utvärderingar har inte gjorts.

8 Sid 8 (8) D. REKOMMENDATIONER Universitetet har redan påbörjat flera projekt som syftar till att förbättra den interna kontrollen och hanteringen i och kring ekonomisystemet, och i dessa fall rekommenderar vi att dessa projekt fullföljs och att implementeringen av de förbättringar som projekten kommer fram till, fullföljs. I övrigt bör universitetet: 1. Se till att det omedelbart blir omöjligt för någon enda person att kunna registrera fakturor och samtidigt ha behörighet att betala dem 2. Besluta om och genomföra betalning av utländska löner, reseförskott och löneförskott via lönesystemet. 3. Effektivisera hanteringen av utlandsbetalningar samt kontostrukturen i Agresso (minska antalet konton). 4. Avsluta användandet av Crom och övergå till att använda Agressos OLF-modul istället. 5. Upprätta fullständig systemdokumentation, behandlingshistorik, katastrof/ kontinuitetsplan, definiera vad som är räkenskapsmaterial och hur det ska sparas. 6. Uppdatera ekonomihandbokens samtliga delar samt utse ansvarig för hela ekonomihandboken 7. Kontrollera att parametrar, loggar och tabeller är rätt uppsatta och använda samt att bristerna i hanteringen av lösenord för Citrix åtgärdas 8. Gå igenom befintlig och behövd kompetens inom såväl ekonomi som systemadministration och vidta åtgärder om kompetensen inte uppfyller behoven. 9. Överväga om en utvärdering av Agressos nya version fortfarande behövs samt om det är aktuellt att göra en förutsättningslös utvärdering av Agresso kontra andra ekonomioch/eller affärssystem på marknaden. Unn Forsberg Avlämnande internrevisionschef Kopia till: Curt Karlsson, universitetsdirektör Gunnel Norrby, förvaltningsdirektör Arne Hagström, RRV