REVISIONSRAPPORT. Översiktlig analys av loggar i ekonomisystemet Devis. Arvika kommun. September Rolf Aronsson

Transkript

1 REVISIONSRAPPORT Översiktlig analys av loggar i ekonomisystemet Devis Arvika kommun September 2005 Rolf Aronsson

2 Innehållsförteckning 1. SAMMANFATTNING AV SYNPUNKTER BAKGRUND OCH UPPDRAG ANALYS OCH KOMMENTARER Möjliga loggar i Devis Kommentarer Översiktlig analys av loggar Loggning av behörigheter, åtkomster och lösenordshantering Loggar vid uppdateringar av leverantörsregistret... 4 (2)

3 1. Sammanfattning av synpunkter Genomgången av loggarna i Devis (se avsnitt 3) skall ses som exempel på vilka analyser som kan genomföras. Resultatet av analysen kan sammanfattas i några punkter: Kommunen bör i samverkan med leverantören av systemet ta fram riktlinjer för olika händelser som skall loggas och hur olika stickprovsmässiga kontroller kan genomföras i framtiden. I rapporten nämns behovet av aktiv uppföljning av vilka som använder systemet och på vilket sätt i förhållande till behörigheter och rättigheter. Kompetensen om vilka loggar som finns och vad dessa innehåller bör ökas. Det är också viktigt att uppföljningen av loggarna ligger på rätt personer för att få en god intern kontroll i kommunen. Vi har noterat att det tidigare fanns cirka 46 identiteter som kunde ändra/påverka leverantörsreskontran och därmed skapa utbetalningar. Detta är ändrat från december 2004 och innebär att numera har endast 6 användare behörighet, vilket är en viktig förändring med hänsyn till dels kontrollbehov (säkerhet) och dels kvaliteten i leverantörsregistret. I rapporten tar vi fram exempel på bl.a. kvalitetsbrister (felaktigheter) i leverantörsregistret, som visar på behovet av att göra stickprovsmässiga uppföljningar. Det är också viktigt att vid regelbundna uppföljningar analysera och notera samt följa upp konstiga leverantörer/betalningsmottagare. 2. Bakgrund och uppdrag I ett ekonomisystem finns ett antal loggar som sparar händelser av olika typ och som visar vem som har gjort vad i systemet. Bl.a. uppläggning och ändring av leverantörer, postgiro, bankgiro och bankkonton, påloggningsfel, spärr av identitet (antal felaktiga lösenord), ändring av behörigheter m.m. Möjligheten att radera och förändra i loggarna är också viktigt att analysera. I analysen tar vi fram olika typer av händelser (beroende på vilka loggar som är aktiverade) vilka analyseras stickprovsmässigt tillsammans med systemansvarig eller annan lämplig person. Syftet är också att påvisa möjligheten och behovet av att ekonomiförvaltningen som ett led i den interna kontrollen själva genomför stickprovsmässig uppföljning i framtiden. (3)

4 Dessutom skapas kunskap om ekonomisystemets loggar som kan användas i den löpande redovisningsrevisionen. 3. Analys och kommentarer 3.1 Möjliga loggar i Devis Av bilaga 1 Loggning av tabellförändringar - framgår möjliga loggningar i Devis. Vissa loggar var vid granskningstillfället inte aktiverade (påslagna). Anledningen till att vissa loggar inte var påslagna har diskuterats översiktligt. (Se för övrigt kommentarer nedan) Kommentarer Av bilaga 1 framgår att det finns omfattande möjligheter att logga olika händelser och att därmed bygga upp en bra intern kontroll. Vi rekommenderar att man med utgångspunkt från dessa gör olika riskanalyser. Kommunen bör bl.a. i samverkan med leverantören av systemet ta fram riktlinjer för vilka händelser som skall loggas och hur olika stickprovsmässiga kontroller skall genomföras i framtiden. Framtida stickprovsmässiga eller styrda kontroller skall alltid dokumenteras. 3.2 Översiktlig analys av loggar Vår analys har skett med hjälp av program för registeranalys (Sesam) genom att några exempel på loggar har tagits fram. Det är framförallt förändringar i leverantörsregistret som har analyserats Loggning av behörigheter, åtkomster och lösenordshantering Det finns för närvarande inga loggar i systemet där det framgår vilka som har varit påloggade eller om försök till påloggning med felaktigt lösenord har skett. Detta förhållande ökar behovet av aktiv uppföljning av vilka som använder systemet och på vilket sätt i förhållande till behörigheter och rättigheter. Som exempel på loggar som i dag inte är aktiverade kan nämnas: Skapa/Ta bort användare Ge/Ta bort behörighet Loggar vid uppdateringar av leverantörsregistret Vi har översiktligt analyserat vilka som har rättigheter att uppdatera leverantörsreskontran, vilket framgår av leverantörsloggen i systemet. Denna är mycket viktig eftersom denna registrerar vilka som har lagt upp, ändrat leverantörer, postgiro, bankgiro, organisationsnummer m.m. Postgiro och bankgiro styr vart utbetalningarna skall skickas. (4)

5 Vi har noterat att det tidigare fanns cirka 46 identiteter som kunde ändra/påverka leverantörsreskontran och därmed skapa utbetalningar. Detta är ändrat från december 2004, vilket innebär att numera har endast 6 användare behörighet, vilket är en viktig förändring med hänsyn till dels kontrollbehov (säkerhet) och dels kvaliteten i i leverantörsregistret. I vår analys har vi noterat att det finns felaktigheter i leverantörsregistret som kan hänföras till bristande kvalitet i uppgifterna. Bl.a. saknas organisationsnummer eller är felaktiga. Det finns också andra konstigheter i leverantörsregistret, men vad vi kan finna så har kvaliteten förbättras genom att färre och mer kunniga personer numera uppdaterar registret. Noterade felaktigheter har under hand diskuterats med ansvariga vid ekonomiförvaltningen. (5)