Verksamhetsrapport för Internrevisonen 2012

Transkript

1 BESLUT Dnr LiU Verksamhetsrapport för Internrevisonen 2012 Chefen för internrevisionen, Margareta Fallsvik har den 18 januari 2013, till universitetsstyrelsen och rektor avgett rapport för Internrevisionen avseende 2012 års verksamhet. Universitetsledningen bedömer att den framlagda verksamhetsrapporten inte föranleder något ytterligare beslut av universitetsstyrelsen. Med hänvisning till detta beslutar universitetsstyrelsen att lägga rapporten till handlingarn utan någon ytterligare åtgärd. Beslut i detta ärende har fattats av universitetsstyrelsen vid dess sammanträde denna dag. I beslutet har deltagit ordföranden Bengt Westerberg, universitetets rektor Helen Dannetun och övriga ledamöterna, Jenny Andersson, Carin Franzén, Margareta Josefsson, Oskar Lyding, Christer Mård, Niclas Söör, Agneta Westerdahl, Anders Ynnerman, Maria Ågren, och Jan-Erik Ögren. Vidare har närvarit prorektor Karin Fälth-Magnusson, suppleanten Daniel B. Wilhelms, personalföreträdarna Örjan Lönnevik och Marianne Plymoth, styrelsens sekreterare Marina Geijer, styrelsens tillträdande sekreterare Jenny Ljung, chefsjuristen Göran Hessling, kommunikationsdirektören Mariethe Larsson, universitetsdirektören Kent Waltersson samt revisionschefen Margareta Fallsvik, den sistnämnda föredragande. Bengt Westerberg Kent Waltersson Universitetsstyrelsen

2 RAPPORT Dnr LiU (8) Verksamhetsrapport för Internrevisionen 2012 Revisionsplanen för 2012, dnr LiU-2011/01817, beskriver internrevisionens (IR:s) planerade aktiviteter för verksamhetsåret. Nedan redovisas genomförda aktiviteter under året (kap 1) samt en uppföljning av tidigare gjorda granskningar (kap 2). 1. Aktiviteter 2012 Förutom de planlagda uppgifter enligt revisionsplanen för 2012 som redovisas nedan, har internrevisionen under året använt tid för efterfrågade insatser från verksamhet och omvärld, ex genomfört utbildningsinsats för miljörevisorer, granskat EU-och SIDA-projekt, besvarat externa remisser, enkäter och frågor samt medverkat i externa och interna nätverk, däribland stått värd för nätverkskonferens för internrevisorer inom universitet- och högskolor i södra Sverige. Internrevisionen består av 3,0 tjänster, varav Malmö högskola köper revisionstjänster motsvarande 0,50 heltidstjänst. Granskningar I tabellen nedan redovisas tidsåtgången för revisionsplanens granskningar Tidsåtgång (h) Område enligt revisionsplan Planerat Utfall Anm. Intern styrning och kontroll Pågår Kvalitetsutvecklingsprogram för utbildning Forskarutbildning Individuell studieplan (ISP) Informationssäkerhet Pågår Bolag vid Linköpings universitet Pågår Upphandling Temagranskning Årsredovisning och delårsrapport Ospecificerad granskning Rådgivning Riskanalys och planering Uppföljning av tidigare års granskningar Enhetens kompetensutveckling EU, SIDA, efterarbete tidigare granskningar 74 SUMMA Internrevisionen

3 2(8) 1.1 Intern styrning och kontroll Ett flertal viktiga förändringar är under införande inom den närmaste framtiden vid universitetet, ex vis pedagogiska språnget, organisations- och lokalförändringar, förändringar inom ledarskap, generationsväxling av nyckelpersoner samt nya administrativa processer och system. Ansvaret för att ett system finns riggat för den interna styrningen och kontrollen i organisationen vilar ytterst på styrelse och ledning medan den operativa verksamheten ansvarar för att den interna styrningen och kontrollen kommer till stånd. Internrevisionen har till uppgift att stödja myndigheten genom att ur ett risk- och väsentlighetsperspektiv granska och lämna förslag till förbättringar av myndighetens process för intern styrning och kontroll. IR är i slutskedet av en övergripande granskning av den interna styrningen och kontrollen vid förändringsprojekt. Granskningen genomföras enl den s k COSO- modellen där komponenter som intern miljö, riskbedömning, kontrollaktiviteter, information/ kommunikation samt uppföljning/utvärdering ingår. Granskningen rapporteras våren Kvalitetsutvecklingsprogram för utbildning Universitetets kvalitetsutvecklingsprogram för utbildning startade 2008 och reviderades senast genom beslut i universitetsstyrelsen i november Programmet är ett viktigt styrdokument som innefattar mål och utvecklingsinsatser som prioriteras av universitetet. För att programmet ska få genomslag fordras att samtliga berörda verksamheter är engagerade. Kvalitetsarbetet på institutionsnivå har fått ökad tyngd genom att t ex lärosätets kvalitet på studenternas examensarbeten kommer att användas som information till presumtiva sökanden och att en kvalitativt mycket god nivå på examensarbeten kommer att kunna ge utslag i resurstillskott till lärosätet. Syftet med granskningen var att utröna om kvalitetsutvecklingsprogrammets intentioner och uppgifter följs i organisationen och behandlades av styrelsen i september Granskningen av kvalitetsutvecklingsprogrammet för utbildning visade att det finns utrymme att bättre fånga upp och redovisa resultat från det befintliga kvalitetsarbetet i organisationen och i högre grad systematiskt återföra dessa resultat i processen med att utforma nya mål och åtgärder. Universitetsstyrelsen förutsatte att internrevisionens rekommendationer beaktas i det fortsatta arbetet med såväl universitetets strategikarta som översynen av universitetets kvalitetsutvecklingsprogram. Mot denna bakgrund överlämnade universitetsstyrelsen internrevisionens rapport till universitetets rektor som underlag för detta arbete. Arbetet med ett nytt kvalitetsutvecklingsprogram pågår under år Forskarutbildning Individuell studieplan (ISP) Vikten av att universitetet har en mycket god forskarutbildning och attraktiva karriärvägar visas bl a i strategikartans avdelning Visa excellens med målet att examinera doktorer med lysande framtidsutsikter. Doktorandernas syn på lärosätet är av stor vikt för universitetets attraktionskraft i forskarvärlden.

4 Universitetsstyrelsen beslutar enl högskoleförordningen om antagningsordning för forskarutbildning. Med antagningsordning avses de regler som universitetet tillämpar i frågor kring ansökan, behörighet och urval samt hur beslut fattas om antagning till forskarutbildning. För varje doktorand upprättas en individuell studieplan (ISP). Planen ska innehålla universitetets och doktorandens åtaganden och en tidplan för doktorandens utbildning. Planen beslutas av institutionsstyrelsen efter samråd med doktoranden och handledaren och utgör ett viktigt dokumenten i relationen mellan universitetet och doktoranden. Granskningen syftade till att undersöka tillämpning av och följsamhet i beslutade bestämmelser vad gäller de forskarstuderandes individuella studieplaner. Granskningen är slutförd och behandlas av styrelsen i februari (8) 1.4 Informationssäkerhet på institutionsnivå Granskningen är en sammanfogning av två av styrelsen beslutade granskningar, granskning av outsourcad IT-verksamhet samt granskning av informationssäkerheten på institutionsnivå. Universitetet har en informationssäkerhetspolicy som bl. a innefattar ett antal regler och riktlinjer som syftar till att säkerställa att universitetets informationstillgångar har optimal nivå av konfidentialitet, riktighet och tillgänglighet för verksamhetens behov. IR granskar informationssäkerheten på institutionsnivå med inriktning på outsourcing av IT-system samt hantering av känslig information med hänsyn tagen till den utveckling som skett de senaste åren avseende så kallade molntjänster och de ökade möjligheterna för medarbetare och studenter att lagra och sprida information Molntjänster är ett samlingsbegrepp för teknologier som via Internet erbjuder datatjänster som exempelvis mjukvara, lagring och datahantering utan att slutanvändaren behöver ha kunskap om tjänstens säkerhetshantering. Utbudet och användningen av molnbaserade tjänster har ökat markant under de senaste åren. Enkelheten i användandet av dessa tjänster innebär risk att information sprids på ett okontrollerat och olagligt sätt. Granskningen avser att översiktligt undersöka efterlevnaden av informationssäkerhetspolicyns regler och riktlinjer på institutionsnivå samt undersöka universitetets möjligheter att kontrollera och övervaka att information hanteras på ett kontrollerat och godkänt sätt. Granskningen rapporteras våren Bolag vid Linköpings universitet Regeringen initierade 1994 bildande av holdingbolag vid universitet och högskolor i Sverige. Linköpings universitet ansvarar för Universitetsholding i Linköping AB med dotterbolag. Regeringen har 2011givit expansionsmöjligheter för holdingbolag knutna till vissa universitet. Syftet med granskningen är att bedöma om ägarstyrningen säkerställer att universitetsstyrelsen har en god intern styrning och kontroll av verksamheten i bolagen. Granskningen rapporteras våren 2013.

5 1.6 Upphandling Fr o m 15 juli 2010 har upphandlingslagstiftningen skärpts till följd av nya regler beslutade av Europaparlamentet. Motivet är att skapa ett effektivare förfarande för prövning av offentlig upphandling där framför allt direktupphandlingar röner ett speciellt intresse. De nya reglerna innebär bl a att ingångna avtal som upphandlats i strid med LOU kan ogiltigförklaras och en upphandlingsskadeavgift utdömas vid felaktigt förfarande. Syftet med granskningen var att bedöma hur beredskap, kunskap och praktisk hantering ser ut på institutionerna/motsv för att möta ökade krav på regelefterlevnad. Styrelsen behandlade rapporten i februari Granskningen visade att förutsättningarna för korrekt upphandlingsverksamhet har förbättrats betydligt sedan IR:s tidigare granskning 2008 genom utökad personalstyrka, ökad informationsspridning och utbildning samt införande av beställningssystemet LiU-inköp. Internrevisionen lämnade dock ett antal rekommendationer till förbättringar. Universitetsstyrelsen konstaterade i beslutet att universitetsledningen och internrevisionen är helt ense om vilka ytterligare förbättringar som bör genomföras. Styrelsen beslutade därför att inte vidta någon åtgärd med anledning av revisionsrapporten. Planerade åtgärder har verkställts med undantag av arbetet med förenklad upphandling som förberetts men genomförandet har ännu inte påbörjats. Utvecklingsprojektet för integration mellan LiU-inköp och fakturasystemet Baltzar beräknas vara klart i maj Temagranskning Granskningsinsats har skett av universitetsledningens och universitetsförvaltningens representation. Granskningen påvisade inga iakttagelser av sådan dignitet som föranleder rapport. 1.8 Årsredovisning och delårsrapport Som ett led i IR:s granskning av universitetets interna styrning och kontroll ingår att granska om universitetet med rimlig säkerhet lämnar en tillförlitlig redovisning och rättvisande rapportering. Under en följd av år har den externa revisionen rekommenderat LiU att förbättra sina rutiner för kvalitetssäkring av årsredovisning och delårsrapporter samt dokumentationen av dessa. IR:s uppföljning visar att arbetet med att förbättra kvaliteten i årsredovisning och delårsrapport har fortsatt liksom arbetet med systematiska, strukturerade kontrollåtgärder i den löpande uppföljningen. IR bedömer att de successiva förbättringarna inom dessa områden ger kvalitativa effekter i redovisningen. 1.9 Ospecificerad granskning Under året har granskning av en centrumbildning genomförts med avseende på ekonomi och organisation. Granskningen har behandlats i centrumbildningens styrelse Rådgivning Rådgivningsinsatserna består till övervägande delen av frågor från institutioner och andra enheter samt från andra internrevisorer, statliga myndigheter och organisationer. 4(8)

6 1.11 Enhetens kompetensutveckling Under året har kompetensutveckling skett genom medverkan i seminarier anordnade av Internrevisorernas Föreningen, revisionskurs i London samt genom seminarier/nätverksträffar inom U/H-området, där Linköping varit värd för en av nätverksträffarna. NIRUH (Nordiska InternRevisorer inom Universitet och Högskolor) genomför årligen seminarier för kunskapsutveckling och erfarenhetsutbyte. År 2012 inbjöds till överläggningar i Göteborg vid Göteborgs universitet, där internrevisionen deltog. Vi har även deltagit i en NUAS (Nordic Association of University Administrators)-konferens i Stockholm. Obligatorisk fortbildning inom CISA (Certified Information Systems Auditor) har också genomförts Kvalitetsbedömning av IR ESV utvärderar varje år på regeringens uppdrag de statliga internrevisionsfunktionerna. Bedömningen för 2011 års verksamhet presenterades i mars månad 2012 och innebar högsta poäng för LiU:s del. IR har även genomfört självutvärdering av enhetens verksamhet med upprättad plan för förbättringsåtgärder av den egna verksamheten. 5(8) 2. Uppföljning av tidigare beslutade internrevisionsrapporter Av de beslut som Universitetsstyrelsen tagit med anledning av Internrevisionens avrapporterade granskningar från år , där alla beslutade åtgärder ännu inte är genomförda, återfinns följande rapporter: 2.1 Studiemiljö Rapport 2009, beslut Revisionen av studenternas studiemiljö syftade till att utvärdera om LiU planerar och följer upp studenternas studiemiljö på ett systematiskt sätt. Styrelsen noterade utifrån universitetsledningens PM avseende revisionsrapporten att det pågår ett arbete med att rätta till merparten av de brister som förs fram i revisionens rapport. När det gäller de punkter där arbetet ännu inte inletts anser styrelsen att de åtgärder som avses genomföras är i överensstämmelse med internrevisionens rekommendationer. Internrevisionen kan konstatera att åtgärder avseende ansvar och riktlinjer enligt arbetsmiljöpolicy är vidtagna samt även arbetet med Nöjd Student Index (NSI). Utvärdering av kursutvärderingssystemet KURT har gjorts och ledningen har kommit fram till att systemet inte varit helt fungerande utan återkommer med ett nytt utvärderingssystem. Ett utvecklingsprojekt har satts igång. 2.2 IT-säkerhet Behörigheter Rapport 2010, beslut Behörigheter utgör ett av de viktigaste medlen för att skydda informationen från manipulation, förstörelse eller spridning. Det utgör en risk om behörighetshanteringen inte är under kontroll. Syftet med revisionen var att granska om den interna styrningen och kontrollen i rutinerna kring behörigheter i verksamhetens centrala administrativa system kan anses ändamålsenliga och effektiva. Efter genomförd granskning konstaterade IR att regelverk, kontroller och uppföljningar behöver stärkas och att behörighetsuppföljning och lösenordshantering bör uppmärksammas särskilt. I ett upprättat PM från universitetsledningen föreslår ledningen att se över och implementera Ledningssystemet för Informationssäkerhet (LIS) och systemförvaltningsmodellen

7 och realisera den kataloginfrastruktur som beskrivs i projektet Sammanhållen kontoidentitetshantering (Dnr LiU ) samt införandet av två-faktor autentisering. Universitetsstyrelsen beslutade enligt universitetsledningens förslag till åtgärdsplan. Uppföljningen visar att Ledningssystemet för Informationssäkerhet har genomfört sin första kompletta cykel och är inne i att effektuera riskbehandlingsplanerna, som kommer att ske under 2013 i de flesta fall. Systemförvaltningsmodellen är implementerad på de stora administrativa systemen och håller på att implementeras på de tillkommande objekt som efter genomförd riskanalys enligt LIS också ska förvaltas enligt systemförvaltningsmodellen. Avseende arbetet med att realisera en ny kataloginfrastruktur är den tekniska lösningen klar medan verkställigheten av beslutet i organisationen kvarstår. Två-faktor autentiseringen är också tekniskt löst och användningen har påbörjats och kommer successivt att öka. 6(8) 2.3 Utbildningsregelverkets tillämpning registrering, avregistrering samt resultatregistrering av studenter Rapport 2010, beslut Granskningens syfte var att övergripande utvärdera hur utbildningsregelverket regleras och tillämpas med avseende på registrering, avregistrering och resultatrapportering av studenter. Internrevisionens bedömning efter utförd granskning var att tillämpningen av regelverket för registrering, avregistrering och resultatrapportering av studenter i stort fungerar bra. Internrevisionen fann dock att det fanns förbättringsmöjligheter inom området och universitetsstyrelsen beslutade utifrån upprättat PM från universitetsledningen att åtgärder mot så kallade bakdateringar av studieresultat ska göras i form av förändring av gällande föreskrifter samt utbildning av registreringspersonalen. Vidare uppdrogs åt berörda fakultetsstyrelser att rätta de fel och brister som internrevisionen pekat på i revisionsrapporten. Uppföljningen visar att uppdatering av det lokala regelverket inte skett men att beslut från tydligt anger att bakdateringar inte är tillåtna. IR vill dock poängtera vikten av att verksamheterna säkerställer att detta beslut efterlevs. Den interaktiva utbildningen av handläggare som registrerar i Ladok är implementerad och tagen i bruk. Fakultetsstyrelsernas uppdrag att åtgärda av revisionen påpekade fel och brister har genomförts. 2.4 Bisysslor Rapport 2010, beslut Revisionen av bisysslor syftade till att bedöma om universitetets rutiner vid hantering av bisysslor är ändamålsenliga. Granskningen behandlar områden som regelverk, anmälan av bisysslor, underlag för bedömning, förekomst av ekonomiska transaktioner mellan LiU och företag i vilka anställda har personliga intressen. IR konstaterade att det fanns ett antal väsentliga åtgärder att vidta för förbättring av den interna kontrollen. Universitetsledningen delade i stora delar IR:s bedömning och föreslog att endast ett fåtal av rekommendationerna borde ställas åt sidan tills vidare. Styrelsen instämde i ledningens bedömning och beslutade att en redovisning av vidtagna åtgärder och en bedömning av deras effekter skulle lämnas till styrelsens sammanträde i december Åtgärderna har genomförts och det finns nu en infrastruktur för att göra den årliga redovisningen och uppföljningen av bisysslor. Universitetsledningen avser att återkomma till styrelsen i februari 2013 med en redogörelse.

8 2.5 Kompetensutveckling av lärare Rapport 2011, beslut IR granskade 2011 den interna styrningen och kontrollen av universitetets kompetensutveckling av lärare. Granskningen syftade till att göra en bedömning av organisationens förmåga att skapa förutsättningar för att anställdas kompetens tas till vara och utvecklas. Granskningen visade att det finns förbättringspotential för att göra kompetensutveckling till ett effektivt verktyg att nå universitetets kvalitetsmål. Ledningens svar på internrevisionens rapport menade att internrevisionens granskning väl ansluter till intentionerna i det pågående utvecklingsarbetet inom området. Styrelsen beslutade därvid att inte vidta några åtgärder med anledning av revisionsrapporten. Styrelsens gav dock rektor i uppdrag att under vart och ett av åren återkomma till styrelsen med en uppföljning i form av redovisning av vidtagna åtgärder och en bedömning av effekterna av dessa. Styrelsen gav vidare i uppdrag åt rektor att under år 2015 låta företa en utvärdering av de samlade effekterna av de genomförda insatserna. Ledningen lämnade under 2012 en allmän formulering av arbetet där det inte redovisades vilka åtgärder som vidtagits och dess effekter. 2.6 Skydd mot oegentligheter Rapport 2011, beslut Granskningen syftade till att bedöma om universitetet har ett ändamålsenligt skydd för att förebygga och upptäcka oegentligheter. Oegentligheter definierades i granskningen som en medveten handling utförd av anställd i syfte att tillskansa sig själv eller annan ekonomiska fördelar på ett brottsligt sätt. IR bedömde att universitetet inte gjort några riskbedömningar och värderingar avseende oegentligheter och således saknas en plan över konkreta åtgärder för att minska risken för oegentligheter samt att det saknades en aktiv uppföljning på ledningsnivå för att säkerställa att rutiner, regler och riktlinjer implementerades och efterlevs. Ledningen svarade på rapporten med att de bedömer att åtgärder ryms inom den rådande verksamheten på ett adekvat sätt. Ledningen bedömde dock att riskerna för oegentligheter bör uppmärksammas bättre i dialogerna med prefekterna samt att ett beslut bör fattas som klargör universitetets förhållningssätt till inträffade oegentligheter, inklusive rutiner som ska tillämpas vid inträffade eller misstänkta fall. Universitetsstyrelsen konstaterade att förekomsten av oegentligheter av större betydelse vid universitetet torde vara mycket begränsad och att viktiga förebyggande åtgärder vidtagits under senare år. Med hänvisning till de aviserade besluten från rektor, beslutar universitetsstyrelsen därför att med godkännande av revisionsrapporten lägga den till handlingarna utan ytterligare egen åtgärd. Beslut om rutiner som ska tillämpas vid inträffade eller misstänkta fall fattades (Dnr LiU ). 7(8) 2.7 Budget- och uppföljningsprocessen Rapport 2011, beslut Granskningen syfte var att undersöka om budget- och uppföljningsprocessen var ändamålsenlig och effektiv. IR konstaterade i sin granskning att det finns ett antal väsentliga åtgärder att vidta för att förbättra budget- och uppföljningsprocessen. En tydligare styrning och bättre samordning av hela budget- och uppföljningsprocessen inom LiU rekommenderades liksom bättre förutsättningar för institutionernas budget- och uppföljningsarbete.

9 Styrelsen beslutade att överlämna IR:s rapport till rektor f.v.b. till den utredning som inlett sitt arbete i november 2010 med uppgift att utarbeta ett konkret förslag till ny process för budgetering/verksamhetsplanering, redovisning och uppföljning. Styrelsen förutsatte att i den mån iakttagelser och rekommendationer från IR:s sida inte omfattades av förslagen från nämnda utredning så skulle dessa ges en ny behandling i styrelsen vid senare sammanträden under år Under utredningstiden har delrapporter presenterats för styrelsen som ligger väl i linje med IR:s rekommendationer. Utredningen presenterade sin slutrapport i juni 2012, vilken behandlades i styrelsen samma månad. Styrelsens beslut att godkänna slutrapporten innebar även beslut om kompletterande övergripande riktlinjer för budget- och uppföljningsarbetet avseende budgetstruktur för forskningsmedel samt uppdrag till rektor att implementera riktlinjerna och i övrigt ta initiativ till fortsatt utredningsarbete inom identifierade problemområden samt att till styrelsen återkomma med rapporter om implementeringen av projektet och det fortsatta utredningsarbetet. Samtliga delar i den nya budget- och uppföljningsprocessen är inte på plats. Tidplan för det fortsatta implementeringsarbetet finns framtaget. 8(8) 2.8 Uppföljning av myndighetskapitalet Rapport 2011, beslut I samband med universitetets budgetbeslut för 2010 godkände styrelsen ett ianspråktagande av myndighetskapitalet med det primära syftet att stimulera och stärka forskningen vid LiU. Granskningen avsåg LiU:s hantering och uppföljning av den beslutade avsättningen av myndighetskapitalet. IR fann i sin granskning att hantering och uppföljning av strategiska satsningar och myndighetskapital behöver förbättras främst med avseende på budgetdisciplin, uppföljning samt tydliga och konsistenta regler för hantering av myndighetskapitalet på de skilda nivåerna i organisationen. Styrelsen hänvisade i beslutet om rapporten till pågående arbete inom universitetsledningen och budgetprocessprojektet samt lade rapporten till handlingarna. Samtliga delar i den nya budget- och uppföljningsprocessen är inte på plats. Tidplan för det fortsatta implementeringsarbetet finns framtaget. Margareta Fallsvik Revisionschef