Granskning av elektronisk fakturahantering (EFH)

Transkript

1 Granskning av elektronisk fakturahantering (EFH) KPMG Antal sidor: 18 Bilagor: 2

2 Innehåll 1. Inledning Vårt uppdrag Avgränsning Granskningens genomförande 1 2. Sammanfattning 2 3. Bedömning av den interna kontrollen Systemgenererade kontroller Förkontroll Attestering Avvikelse Efterkontroll Förvaltning av ebill Övriga kontroller Förkontroll Attestering Efterkontroll 7 4. Centralsjukhuset i Kristianstad Förkontroll Attestering (sakattestering och beslutsattestering) Avvikelse Efterkontroll Folktandvården Förkontroll Attestering (sakattestering och beslutsattestering) Avvikelse Efterkontroll Nordöstra Skånes sjukvårdsdistrikt Förkontroll Attestering Avvikelse Efterkontroll Sekretess 15 Rapport EFH - slutlig doc

3 8. Förvaltning av ebill Systemförvaltningsgrupp Uppläggning av nya användare Uppläggning av sak- och beslutsattestanter Hantering av lösenord Utformning av lösenord Incidenthantering 18 Bilagor Bil. 1 Bil. 2 Flödesschema Elektronisk fakturahantering Flödesbeskrivning Elektronisk fakturahantering Rapport EFH - slutlig doc

4 1. Inledning 1.1 Vårt uppdrag Inom Region Skåne inför man eller har man infört elektronisk fakturahantering (EFH) på vissa förvaltningar. ebill är det datorbaserade system som stödjer samtliga administrativa rutiner relaterat till hantering av leverantörsfakturor. ebill hanterar scannade inkommande leverantörsfakturor. Mottagande av elektroniska fakturor är ännu inte i drift, men det pågår ett projekt avseende detta. På uppdrag av revisorerna i Region Skåne har KPMG granskat rutinerna kring den elektroniska fakturahanteringen på Centralsjukhuset i Kristianstad, Folktandvården och Nordöstra Skånes sjukvårdsdistrikt. Syftet med granskningen har varit att bedöma att den interna kontrollen och funktionaliteten i rutinerna kring den elektroniska fakturahanteringen är god. 1.2 Avgränsning Införandet av den elektroniska fakturahanteringen sker enligt ett utrullningsförfarande där Centralsjukhuset i Kristianstad, Folktandvården och Nordöstra Skånes sjukvårdsdistrikt har varit några av de första förvaltningarna som tillämpat detta. Granskningen har utförts på Centralsjukhuset i Kristianstad, Folktandvården och Nordöstra Skånes sjukvårdsdistrikt. De eventuella brister som finns i system eller rutiner kan dock förmodligen även uppkomma på övriga förvaltningar framöver. Våra synpunkter och bedömningar kan därmed vara ett stöd i det fortsatta arbetet med utrullningen på övriga förvaltningar. Region Skåne har tecknat ett avtal med SchlumbergerSema avseende scanning av samtliga fakturor. Från och med den 1 september 2002 skall enligt projektplanen alla fakturor skickas direkt från leverantören till scanningen hos SchlumbergerSema. Vi har ej granskat den hantering som enligt avtalet ska utföras av SchlumbergerSema. Vi har inte granskat Region Skånes upprättade driftavtal med WM-Data och Exense utan enbart tagit del av dessa och konstaterat att avtal är upprättade. 1.3 Granskningens genomförande För att kartlägga väsentliga funktioner och interna kontrollåtgärder har vi som första steg i granskningen genomfört intervjuer. Genom dessa intervjuer har vi även kartlagt ansvarsfördelningen och gränsdragningen mellan det arbete som utförs ute i verksamheten och det arbete som utförs av ekonomifunktionen. Vi har också inriktat frågeställningarna mot vilka primära kontrollfunktioner som finns i systemen samt hur dessa funktioner används för att säkerställa en korrekt hantering av leverantörsfakturorna. Rapport EFH - slutlig doc 1 (18)

5 Intervjuer genomfördes först med ekonomiavdelningen på respektive förvaltning och sedan med attestanter ute på några enheter. Genom dessa intervjuer erhölls både en övergripande bild av rutinernas struktur och uppgifter kring det dagliga arbetet. Den beskrivning av rutinerna som intervjuerna resulterade i har därefter för vissa viktiga kontroller verifierats genom stickprov. Stickproven har varit sådana att alla de vanligast förekommande fakturorna och leverantörer har täckts in. När det gäller de systemgenererade kontrollerna i ebill har granskningen koncentrerats till en förvaltning, Centralsjukhuset i Kristianstad (CSK), eftersom kontrollerna gäller systemet är granskningen giltig även för övriga förvaltningar som implementerat ebill. En översiktlig och förenklad beskrivning av flödet i den elektroniska fakturahanteringen finns i bilaga 1 och 2, dels som flödesschema och dels som verbal flödesbeskrivning. 2. Sammanfattning Vi anser att den interna kontrollen i hanteringen av leverantörsfakturor har förbättrats genom att leverantörsfakturorna hanteras elektroniskt i ebill. Systemet för hantering av de scannade leverantörsfakturorna, ebill, förefaller fungera bra. Rutinerna kring hanteringen av systemet förefaller i allt väsentligt vara väl fungerande. Det finns dock möjlighet att förändra vissa rutiner och därmed uppnå en effektivare hantering och ett mer optimalt utnyttjande av systemet. Nedan följer några sammanfattande kommentarer: + Positiva omdömen Ankomstregistrering av leverantörsfakturorna sker med automatik när fakturorna lämnar förkontrollen alternativt när de överförts till ebill och går till attestering. Detta medför att alla leverantörsfakturor som hanteras i ebill blir ankomstregistrerade. Ankomstregistrering skedde inte på alla förvaltningar före införandet av den elektroniska fakturahanteringen. Möjligheten att snabbt få tillgång till en faktura via det elektroniska arkivet har ökat. Detta underlättar för ekonomiavdelningen och attestanterna när de behöver göra uppföljningar eller svara på frågor. Spårbarheten har blivit betydligt bättre i den elektroniska hanteringen jämfört med den manuella. Dels kan man lättare söka fram en faktura och dels har man bättre kontroll över var i organisationen den befinner sig. Möjligheten att ta fram loggningslistor gör att det i efterhand går att verifiera hur en faktura har hanterats och vilka problem som har funnits. Rutinerna kring behörigheten att attestera har blivit säkrare och effektivare med de personliga och elektroniska ID-korten. Rapport EFH - slutlig doc 2 (18)

6 - Negativa omdömen Fakturorna går i de flesta fall ej direkt från leverantörerna till scanningen hos SchlumbergerSema utan först till respektive förvaltning. Hanteringen skulle effektiviseras om man i enlighet med projektplanen beordrade leverantörerna att skicka fakturorna direkt till SchlumbergerSema. Detta skulle också förhindra förvaltningarna från att registrera fakturor direkt i ekonomisystemet och man skulle därmed uppnå en likformighet i hanteringen av alla leverantörsfakturor. För att ytterligare effektivisera hanteringen av leverantörsfakturorna, bör de förvaltningar som fortfarande kontrollerar alla fakturor i förkontrollen överväga att avveckla detta arbetsmoment. Detta skulle medföra att attestanterna verkligen får det ansvar som en attest innebär. Förvaltningarna bör ställa krav hos leverantörerna att referensen hos Region Skåne alltid skall anges på fakturan. Övriga kommentarer Logglistor på förändringar i leverantörsregistret i Raindance bör köras fram beträffande vissa fasta registeruppgifter. Dessa bör sedan kontrolleras av annan person än handläggaren för att minimera risken för att oriktiga uppgifter registreras i leverantörsreskontran. Detta är ett viktigt kontrollmoment då förändringar i basregister kan få betydande konsekvenser. 3. Bedömning av den interna kontrollen Eftersom hanteringen och bearbetningen av leverantörsfakturor huvudsakligen sker elektroniskt i ebill utgörs de flesta och mest väsentliga kontrollerna av systemgenererade kontroller. Vår bedömning av den interna kontrollen beträffande de systemgenererade kontrollerna återfinns i avsnitt 3.1. Vår bedömning av den interna kontrollen beträffande övriga kontroller återfinns i avsnitt Systemgenererade kontroller Förkontroll Efter inscanning av fakturor överförs fakturorna till ebill och denna överföring sker ett flertal gånger per dag. SchlumbergerSema skickar sedan varje natt ett mail till ekonomiassistenterna på CSK innehållande en lista över hur många fakturor som dagen innan har överförts från SchlumbergerSema. Samtliga ekonomiassistenter har samma behörighetsnivå i systemet ebill. Alla uppläggningar av nya leverantörer i ekonomisystemet loggas med ekonomiassistentens signatur och datum. Det är Rapport EFH - slutlig doc 3 (18)

7 endast ekonomiassistenterna som har behörighet att lägga upp nya leverantörer i leverantörsregistret i ekonomisystemet. Det tas inte fram några logglistor på nyregistrerade leverantörer i ekonomisystemet och riktigheten kontrolleras inte av någon annan än den som gjorde upplägget. De ändringar som ekonomiassistenterna genomför i leverantörsregistret dokumenteras således inte, och förändringarna samt riktigheten i dessa kontrolleras inte av någon annan. Vi anser att detta är en brist i den interna kontrollen. Ekonomisystemet skriver automatiskt ut en överföringsrapport ur ekonomisystemet där det framgår hur många fakturor som har överförts till leverantörsreskontran dagen innan samt vilka fakturor som inte har överförts. Om det är några transaktioner som inte har överförts till ekonomisystemet utreds orsaken till detta och ekonomiassistenten genomför en manuell rättning i systemet. Under granskningen framkom att det inte finns några framtagna rutinbeskrivningar för hur denna rättning skall genomföras. Överföringsrapporterna finns sparade i ekonomisystemet i två månader och sedan sker en manuell borttagning av rapporterna. Det är enbart integrationsansvarig person för ekonomisystemet som har behörighet att göra ett manuellt borttagande av rapporterna. Efter förkontrollen och efterkontrollen sker det en automatisk uppdatering av det elektroniska arkivet. Uppdatering av det elektroniska arkivet sker även när en faktura är betald i ekonomisystemet Raindance. Denna uppdatering sker genom en filöverföring från Raindance till det elektroniska arkivet. Eftersom fakturorna skall lagras i arkivet i 10 år är det väsentligt att säkerställa att fakturorna i det elektroniska arkivet kan läsas över tiden. Ankomstregistrering av leverantörsfakturorna sker med automatik när fakturorna lämnar förkontrollen alternativt när de överförts till ebill och går till attestering. Detta medför att alla leverantörsfakturor som hanteras i ebill blir ankomstregistrerade vilket innebär en förbättring av den interna kontrollen. Ankomstregistrering av leverantörsfakturor skedde nämligen inte på alla förvaltningar före införandet av den elektroniska fakturahanteringen Attestering Vår bedömning är att systemet med den elektroniska signeringen vid beslutsattesteringen innebär en förbättrad intern kontroll jämfört med systemet med manuella attester. Rutinerna kring tilldelningen av de elektroniska ID-korten och attestbehörigheterna förefaller vara väl genomtänkta och tillförlitliga Avvikelse Kontrollen av att fakturorna blir attesterade i tid har förbättrats i samband med införandet av ebill eftersom man kan övervaka var i flödet fakturan befinner sig. I systemet kan även påminnelser om attester läggas in vilket förbättrar den interna kontrollen. Utformningen av påminnelsefunktionen varierar mellan förvaltningarna. Vi rekommenderar förvaltningarna att utforma påminnelsefunktionen på liknande sätt som Centralsjukhuset i Kristianstad. Där erhåller attestanten en påminnelse om att det finns en faktura för bearbetning sex dagar efter det att attestanten erhållit fakturan. Sker ingen bearbetning av fakturan efter ytterligare två dagar sänds Rapport EFH - slutlig doc 4 (18)

8 en ny påminnelse och efter ytterligare två dagar skickas fakturan till avvikelse där ekonomiavdelningen vidtar åtgärder. ebill kräver att man skriver något i kommentarsfältet i ebill om man manuellt skickar en faktura till avvikelse. Detta innebär att en attestant inte skall kunna skicka en faktura till avvikelse för hantering av ekonomiavdelningen utan att förklara problemet. I ebill finns dock inget krav på hur många tecken man måste skriva, vilket innebär att det är möjligt att endast skriva t ex ett kommatecken. För att ekonomiavdelningen skall veta vilka åtgärder de skall vidta med en faktura som skickats till avvikelse åligger det alltså avsändaren att skriva en tydlig kommentar Efterkontroll När efterkontrollen är genomförd sker en överföring och definitivbokföring i ekonomisystemet. Överföringen sker varje natt. Ekonomisystemet skriver sedan automatiskt ut en överföringsrapport där det framgår hur många fakturor som har överförts till ekonomisystemet för slutkontering dagen innan samt vilka fakturor som inte har överförts. Om det är några transaktioner som inte har överförts till ekonomisystemet utreds orsaken till detta och ekonomiassistenten genomför en manuell rättning i systemet. Under vår granskning framkom att det inte finns några framtagna rutinbeskrivningar för hur denna rättning skall genomföras. Överföringsrapporterna finns sparade i ekonomisystemet i två månader och sedan sker en manuell borttagning av rapporterna. Det är enbart integrationsansvarig person för ekonomisystemet som har behörighet att göra ett manuellt borttagande av rapporterna Förvaltning av ebill Det är enbart de lokala användaradministratörerna som har behörighet att lägga upp nya användare i ebills användarregister och det finns särskilda rutinbeskrivningar för hur dessa uppläggningar skall utföras. När en person lämnat sin befattning finns det sett över tiden ingen relation mellan Region Skåne och den före detta anställde varför fortsatt registrering inte torde vara lämplig enligt personuppgiftslagen. Att det kan vara praktiskt att ha kvar personen i registret är i sammanhanget inget giltigt skäl. Under vår granskning har det framkommit att det blir en stor mängd förändringar efter den lokala användaradministratörens årliga utskick av attestlistan till verksamhetscheferna. Detta indikerar att verksamhetscheferna inte kontinuerligt anmäler förändringar till användaradministratörerna. Vi anser således att det föreligger en viss risk att personer, som lämnat sin anställning, har behörighet att attestera fakturor fram till det att verksamhetscheferna gör den årliga genomgången av attestlistan. Vi anser att det förstärker den interna kontrollen att det enbart är de två användaradministratörerna som har behörigheter att genomföra förändringar i förteckningen över attestanter och attestbelopp. Rapport EFH - slutlig doc 5 (18)

9 Vi anser även att det faktum att sak- och beslutsattestanterna inte kan ändra någon information i fakturabilden utan att det enbart är ekonomipersonal som kan göra detta förstärker den interna kontrollen. Samtliga ändringar, d v s upplägg, ändring och borttagande som den lokala användaradministratören gör i användarregistret loggas av systemet. Logglistorna följs dock inte upp i efterhand. Vi anser att man bör införa en rutin där man gör uppföljningar av dessa logglistor. Det finns inga centrala direktiv på hur lösenordet i ebill skall utformas mer än att det måste vara minst 4 tecken långt. Vi anser att det är väsentligt att Region Skåne fastställer riktlinjer för utformning av lösenord gällande antalet tecken, kombinationen av siffror och bokstäver etc. När det gäller inloggning i operativsystemet Novell Netware framkom det under vår granskning att en del användare aldrig blivit ombedda av systemet att byta sitt lösenord medan andra tvingas byta med jämna mellanrum. Vi rekommenderar därför att denna rutin bör utredas. När det gäller den dagliga överföringen mellan de olika delstegen (förkontroll, attest, avvikelsehantering och efterkontroll) i ebill erhålls inget underlag för transaktionsavstämning. Detta innebär att man inte kan stämma av att antalet fakturor är lika mellan avlämnande och mottagande delsteg i arbetsflödet. 3.2 Övriga kontroller Förkontroll SclumbergerSema skickar varje natt ett mail till ekonomiassistenterna på CSK innehållande en lista på hur många fakturor som dagen innan har överförts från SchlumbergerSema. Assistenten gör sedan en manuell avstämning morgonen därpå att antalet inlästa fakturor stämmer överens med antalet mottagna fakturor i ebill. Skulle det uppstå ett avstämningsfel beträffande antalet mottagna fakturor kontaktas SchlumbergerSema och en utredning görs. Då Region Skåne har lagt ut inscanning av leverantörsfakturor på entreprenad är det enbart möjligt för CSK att göra en avstämning av antalet mottagna fakturor i ebill. Hur många fakturor som SchlumbergerSema skall scanna in i ebill dagligen kan inte kontrolleras. Vi anser att det är effektivitetsbegränsande att alla fakturor skall kontrolleras av ekonomiavdelningen i förkontrollen. Kontrollen av att de vid scanningen tolkade uppgifterna är fullständiga utförs nämligen automatiskt i ebill. Om inte uppgifterna är fullständiga hamnar fakturan med automatik i förkontrollen. Vi anser därför att det inte är nödvändigt att alla fakturor skall kontrolleras i förkontrollen. Avvecklingen av förkontrollen innebär att attestanterna verkligen får ta det större ansvar som en attest innebär. Införandet av elektronisk fakturahantering och systemet ebill har inneburit en förbättring av den interna kontrollen såtillvida att man alltid kan spåra en faktura. Efter inloggning i ebill erhåller Rapport EFH - slutlig doc 6 (18)

10 man en översiktsbild där det framgår hur många fakturor som befinner sig i respektive hanteringsstadium. Risken för att fakturor försvinner och glöms bort etc har minskat Attestering De kontroller av fakturan som attestanterna skall genomföra påverkas inte av om fakturan hanteras elektroniskt eller manuellt, dessa kontroller har därför inte verifierats. Eftersom det fortfarande finns möjlighet att registrera fakturor manuellt i leverantörsreskontran i ekonomisystemet är det viktigt att man upprätthåller och efterlever de manuella attestrutinerna Efterkontroll Vi anser att ekonomiavdelningens kontrollmöjligheter i efterkontrollen innebär att man i detta avseende uppnår en tillfredsställande intern kontroll. För att dessa kontroller skall vara effektiva bör dock inte alla fakturor kontrolleras i efterkontrollen. Respektive förvaltning bör identifiera de parametrar som för förvaltningen innebär en ökad risk för felaktig hantering av fakturorna. I ebill bör parametrar definieras så att åtminstone konteringar på huvudbokskonton beträffande leasing, representation, och mobiltelefoner kontrolleras i efterkontrollen. En anledning till att dessa konton bör kontrolleras är att det finns speciella regler beträffande kontering och avdragsrätt för moms. En annan anledning är att fakturorna ofta gäller personer på chefsnivå som har beslutsattesträtt på det aktuella ansvaret men som inte bör attestera sina egna kostnader. Respektive förvaltning bör även överväga att definiera en beloppsgräns där alla fakturor överstigande detta belopp skall granskas i efterkontrollen. 4. Centralsjukhuset i Kristianstad Nedan följer en redogörelse för rutinerna såsom vi har fått dem beskrivna. Leverantörsfakturor som anländer direkt till de enskilda klinikerna på förvaltningen sänds in till förvaltningens ekonomiavdelning. Därifrån sänds i dagsläget alla fakturor samlat till SchlumbergerSema för scanning. Uppgifterna på fakturorna vad gäller t ex fakturabelopp, momsbelopp, fakturanummer, fakturadatum, förfallodatum och post- och bankgiro tolkas och registreras vid scanningen. Filerna med de scannade fakturorna överförs från SchlumbergerSema till förvaltningen flera gånger dagligen. Vid behandlingen av en faktura registrerar ebill via post- eller bankgirot vilken leverantör fakturan avser och hämtar grunduppgifter såsom namn, adress och telefonnummer ur leverantörsregistret i ekonomisystemet Raindance. Dessa uppgifter visas samtidigt på skärmen tillsammans med fakturan. Leverantörsregistret och kodplanen i Raindance uppdaterar ebill en gång om dagen. Rapport EFH - slutlig doc 7 (18)

11 4.1 Förkontroll Varje faktura tilldelas ett fakturanummer som en del i inläsningen till ebill. Fakturanumret är ett unikt begrepp för kommunikation mellan ebill och ekonomisystemet Raindance. I ebill finns en nummerserie per förvaltning. Arbetsmomenten i förkontrollen utförs av ekonomiassistenterna på ekonomiavdelningen. Ekonomiassistenterna tar upp varje faktura på skärmen och kontrollerar att uppgifterna på bilden stämmer med de vid scanningen tolkade grunduppgifterna som visas tillsammans med fakturan. Det inträffar nämligen att uppgifter feltolkats vid scanningen. De vanligaste feltolkningarna är fakturadatum, momsbelopp och leverantörens fakturanummer. Feltolkningar uppstår huvudsakligen på grund av att fakturorna är otydliga avseende färg och tryck. Om några uppgifter är feltolkade kan de ändras av ekonomiassistenterna i förkontrollen. Om någon uppgift är så otydlig att man inte genom att titta på skärmen kan tolka och korrigera uppgiften kontaktar man leverantören för att utreda vad som avses. Ekonomiassistenterna gör alltid en manuell kontroll i förkontrollen att sekretessrutan är ifylld då fakturan skall behandlas med sekretess. Ekonomiassistenterna kan i förkontrollen även ändra en fakturas totalbelopp. Ekonomiassistenterna matar sedan manuellt in i ebill vem som är nästa användare d v s den användare som står i tur att sak- och beslutattestera. Varje konteringsrad anger vem nästa mottagare av fakturan är. En faktura kan ha flera fakturarader som kan attesteras av flera olika attestanter. De fakturor som skall attesteras av personer som inte kan eller vill kontera, konteras av ekonomiassistenterna i förkontrollen. I dagsläget kommer alla fakturor till förkontrollen. Förvaltningen har ännu ej diskuterat vilka eventuella kriterier som skall sättas upp för när en faktura framöver skall komma till förkontrollen. Eventuell makulering av leverantörsfakturor görs av ekonomiassistenterna och kan ske i förkontroll och avvikelse. Vid en makulering måste ekonomiassistenten skriva någon förklaring i ett kommentarsfält. Detta medför att man i loggen kan se vem som gjort makuleringen. Om en faktura makuleras behåller den makulerade fakturan sitt verifikationsnummer. Makuleringen skapar en omvänd bokning som överförs till ekonomisystemet Raindance. När en faktura lämnar förkontrollen sker med automatik en överföring till leverantörsreskontran i ekonomisystemet och en ankomstregistrering på ett driftskonto i ekonomisystemet. Den automatiska överföringen sker varje kväll då systemet inte är så högt belastat. Vid upprättandet av månadsbokslut går man igenom de ankomstregistrerade fakturorna för att kontrollera om det finns leverantörsfakturor avseende inköp som skall aktiveras etc. 4.2 Attestering (sakattestering och beslutsattestering) Till grund för sin attest har sakattestanten samma underlag som tidigare vid den manuella hanteringen, d v s order, orderbekräftelse och mottagningsbevis. I de fall leverantören skickar orderbekräftelsen till ekonomiavdelningen sänder de den vidare till den som gjort inköpet, d v s den som skall sakattestera. Rapport EFH - slutlig doc 8 (18)

12 Attestanten måste definiera status (sak- eller beslutsattest) på varje konteringsrad på en faktura. När en faktura delas upp på flera olika konton eller ansvar innebär detta att attestanten måste definiera status på varje rad separat. Signeringen med hjälp av det elektroniska ID-kortet avser däremot alla de rader som attestanten skall attestera. Om t ex ekonomiavdelningen eller attestanten vill bifoga något ytterligare underlag till en faktura, kan filer och egenhändigt scannade dokument bifogas fakturan i ebill. Vanligtvis gäller detta t ex noteringar om deltagare vid en representation och då kan man istället ange detta i kommentarsfältet i ebill. Hanteringen av kreditfakturor sker på samma sätt som övriga fakturor. De vid scanningen tolkade beloppen registreras dock som minus. En faktura kan efter att den skickats till attestanten återtas av ekonomiavdelningen, detta meddelas dock inte attestanten. En anledning till att en faktura återtas är att man upptäcker att attestering skall göras av någon annan attestant. Återtagning kan även ske om betalningen är brådskande och sakattestanten inte är tillgänglig. I dessa fall övertar oftast beslutsattestanten sakattestantens roll och ekonomichefen eller sjukhuschefen tar rollen som beslutsattestant eftersom de har rätt att beslutsattestera på alla ansvar. Detta inträffar endast i undantagsfall och för att undvika sådana situationer kan attestansvaret vid frånvaro tillfälligt styras om. I ebill använder man sig av elektronisk signering vid beslutsattestering av fakturor. Varje beslutsattestant får kvittera ut ett personligt elektroniskt ID-kort som är unikt för den enskilde individen, kortet utfärdas av Posten Sverige AB. Varje elektroniskt ID-kort innehåller två stycken certifikat; ett bascertifikat och ett hälso- och sjukvårdscertifikat. Bascertifikatet fungerar som en identifiering av individen medan hälso- och sjukvårdscertifikatet används för signering av fakturor. Hälso- och sjukvårdscertifikaten finns lagrade i Skånekatalogen och innehåller ett antal olika grunduppgifter om respektive person såsom namn, organsiationstillhörighet, yrkestitel etc. Inom varje förvaltning finns en utsedd LRA-person (local registration authority) som registrerar beslutsattestanternas certifikat. Genom certifikatet är beslutsattestanten knuten till organisationen Region Skåne. Varje attestant som skall beslutsattestera signerar fakturan genom att det elektroniska ID-kortet stoppas in i en kortläsare och en PIN-kod anges. En anställds behörighet att beslutsattestera är alltid knutet till något ansvar/kostnadsställe som definierats av verksamhetschefen. Rätten att sakattestera är däremot en generell behörighet som ej är relaterad till något ansvar/kostnadsställe. 4.3 Avvikelse Det finns ett flertal skäl till att en faktura hamnar i avvikelse. Den vanligaste anledningen är att tidsfristen för attestanten gått ut. Sex dagar efter det att attestanten erhållit en faktura får Rapport EFH - slutlig doc 9 (18)

13 attestanten en påminnelse om att det finns en faktura för bearbetning. Sker ingen bearbetning av fakturan efter ytterligare två dagar sänds en ny påminnelse och efter ytterligare två dagar skickas fakturan till avvikelse. Ett annat skäl till att en faktura hamnar i avvikelse kan vara att man väntar en kreditfaktura. I detta fall sänder man ursprungsfakturan till avvikelse för att avvakta regleringen mot kreditfakturan. Ytterligare en anledning kan vara att attestanten anser något vara oklart med fakturan och vill att ekonomiavdelningen utreder problemet. Den som i detta fall skickar en faktura till avvikelse måste då skriva en kommentar i kommentarsfältet i ebill. Det går alltså ej att manuellt skicka en faktura till avvikelse utan att ange någon kommentar. Kommentaren kan dock endast bestå av ett tecken, t ex en punkt eller en bokstav. 4.4 Efterkontroll Alla fakturor hamnar i dagsläget i efterkontrollen och här kontrollerar ekonomiassistenterna betalningsdatum (måste ibland ändras pga fördröjningar med attesterna), konto, projekt etc. En faktura kan dock inte beslutsattesteras utan att den är konterad. Om leverantörsfakturan är konterad som en investering lämnar ekonomiassistenten en kopia på fakturan till den på ekonomiavdelningen som handhar anläggningstillgångarna. Om fel konto använts kan ekonomiassistenterna ändra detta i efterkontrollen. Om den som konterar däremot använt fel ansvar måste fakturan sak- och beslutsattesteras på nytt. 5. Folktandvården Nedan följer en redogörelse för rutinerna såsom vi har fått dem beskrivna. Leverantörsfakturorna ankommer till klinikerna ute i verksamheten som sedan sänder dessa vidare till SclumbergerSema för scanning. I de fall där det saknas referens angivet på fakturorna skriver man ute på klinikerna till dessa för hand innan de sänder fakturan för scanning. Uppgifterna på fakturorna vad gäller t ex fakturabelopp, momsbelopp, fakturanummer, fakturadatum, förfallodatum och post- och bankgiro tolkas och registreras vid scanningen. Filerna med de scannade fakturorna överförs från SchlumbergerSema till förvaltningen flera gånger dagligen. Vid behandlingen av en faktura registrerar ebill via post- eller bankgirot vilken leverantör fakturan avser och hämtar grunduppgifter såsom namn, adress och telefonnummer ur leverantörsregistret i ekonomisystemet Raindance. Dessa uppgifter visas samtidigt på skärmen tillsammans med fakturan. Leverantörsregistret och kodplanen i Raindance uppdaterar ebill en gång om dagen. Rapport EFH - slutlig doc 10 (18)

14 Fakturor för akut behandling av barn på privatklinik skickas in till ekonomiavdelningen som lägger in dessa manuellt direkt i ekonomisystemet Raindance. Dessa fakturor hanteras således inte i ebill. Förklaringen till den manuella hanteringen uppges vara att dessa fakturor inte alltid ser ut som fakturor och att de ofta innehåller många bilagor och specifikationer som kan förväxlas med vanliga fakturor. För att undvika missuppfattningar vid scanningen registrerar Folktandvården därför dessa fakturor direkt i ekonomisystemet Raindance. 5.1 Förkontroll I förkontrollen hamnar de fakturor som det är något avvikande med och som därför inte kan gå direkt från scanningen till attest. Det finns huvudsakligen två anledningar till att fakturor hamnar i förkontrollen; att fakturauppgifterna är ofullständiga eller att leverantören ej finns upplagd i leverantörsregistret i Raindance. En faktura där t ex referens saknas kan inte gå direkt från scanning till attest eftersom systemet då inte vet vem som skall attestera. Ekonomiassistenterna på förvaltningen utreder varför fakturorna hamnat i förkontrollen. De kompletterar om möjligt de scannade uppgifterna och sänder den vidare för attest. I förekommande fall läggs den nya leverantören upp i ekonomisystemet och fakturan kan därefter bearbetas. Eventuella makuleringar av leverantörsfakturor görs av ekonomiassistenterna och kan ske i förkontroll, avvikelse och efterkontroll. Vid makulering måste en kommentar anges i kommentarsfältet i ebill. Makuleringen och kommentaren kring denna framgår i loggen. Om en faktura makuleras behåller den makulerade fakturan sitt verifikationsnummer. Makuleringen skapar en omvänd bokning som överförs till ekonomisystemet Raindance. 5.2 Attestering (sakattestering och beslutsattestering) Till grund för sin attest har sakattestanten samma underlag som tidigare vid den manuella hanteringen, d v s order, orderbekräftelse och mottagningsbevis. Attestanten måste definiera status (sak- eller beslutsattest) på varje konteringsrad på en faktura. När en faktura delas upp på flera olika konton eller ansvar innebär detta att attestanten måste definiera status på varje rad separat. Signeringen med hjälp av det elektroniska ID-kortet avser däremot alla de rader som attestanten skall attestera. Eftersom alla fakturor kommer direkt ut till klinikerna, bifogar personalen där oftast de dokument som bör tillhöra fakturan t ex kvitton, därefter sänds fakturorna för scanning. Till fakturan kan filer och egenhändigt scannade dokument bifogas även efter scanningen hos SchlumbergerSema. Gäller det t ex noteringar om deltagare i en representation kan detta anges i kommentarsfältet i ebill. Hanteringen av kreditfakturor sker på samma sätt som övriga fakturor. De vid scanningen tolkade beloppen registreras dock som minus. Rapport EFH - slutlig doc 11 (18)

15 I ebill använder man sig av elektronisk signering vid beslutsattestering av fakturor. Varje beslutsattestant får kvittera ut ett personligt elektroniskt ID-kort som är unikt för den enskilde individen, kortet utfärdas av Posten Sverige AB. Varje elektroniskt ID-kort innehåller två stycken certifikat; ett bascertifikat och ett hälso- och sjukvårdscertifikat. Bascertifikatet fungerar som en identifiering av individen medan hälso- och sjukvårdscertifikatet används för signering av fakturor. Hälso- och sjukvårdscertifikaten finns lagrade i Skånekatalogen och innehåller ett antal olika grunduppgifter om respektive person såsom namn, organsiationstillhörighet, yrkestitel etc. Inom varje förvaltning finns en utsedd LRA-person (local registration authority) som registrerar beslutsattestanternas certifikat. Genom certifikatet är beslutsattestanten knuten till organisationen Region Skåne. Varje attestant som skall beslutsattestera signerar fakturan genom att det elektroniska ID-kortet stoppas in i en kortläsare och en PIN-kod anges. En anställds behörighet att beslutsattestera är alltid knutet till något ansvar/kostnadsställe som definierats av verksamhetschefen. Rätten att sakattestera är däremot en generell behörighet som ej är relaterad till något ansvar/kostnadsställe. På förvaltningen håller man fortfarande en manuell attestförteckning uppdaterad. 5.3 Avvikelse Om en faktura som skall attesteras inte bearbetas av attestanten erhåller denne en påminnelse när fakturans förfallodatum har överskridits med tre dagar. Dessa påminnelser fortsätter att komma löpande ända till dess att fakturan är bearbetad. En annan anledning till att en faktura hamnar i avvikelse kan vara att attestanten anser något vara oklart och vill att ekonomiavdelningen utreder problemet. En kommentar skall då skrivas i kommentarsfältet och fakturan sänds till avvikelse. Det går alltså ej att manuellt skicka en faktura till avvikelse utan att ange någon kommentar. Kommentaren kan dock endast bestå av ett tecken, t ex en punkt eller en bokstav. 5.4 Efterkontroll Förvaltningen har lagt in parametrar som gör att vissa fakturor som man särskilt vill kontrollera automatiskt hamnar i efterkontrollen. Som exempel kan nämnas fakturor beträffande mobiltelefoner, kurser, resor och representation. En anledning till att ekonomiavdelningen vill kontrollera dessa fakturor är att fakturorna ofta avser chefspersoner som själva har behörighet att beslutsattestera fakturor på det aktuella ansvaret. De skall dock inte attestera fakturor som avser dem själva men det kan inte systemet avgöra. Dessa fakturor skickas därför för ny sakattest och beslutsattesteras därefter av ekonomichefen. En annan anledning till att ekonomiavdelningen vill kontrollera representationsfakturor är att man vill kontrollera så att representationen konterats korrekt med avseende på avdragsrätten för ingående moms. Rapport EFH - slutlig doc 12 (18)

16 Förvaltningen har också definierat att fakturor överstigande ett basbelopp med automatik skall hamna i efterkontrollen för en översiktlig kontroll av riktigheten. Om fel konto använts kan ekonomiassistenterna ändra detta i efterkontrollen. Om den som konterar däremot använt fel ansvar måste fakturan sak- och beslutsattesteras på nytt. 6. Nordöstra Skånes sjukvårdsdistrikt Nedan följer en redogörelse för rutinerna såsom vi har fått dem beskrivna. Nordöstra Skånes sjukvårdsdistrikt använder ebill endast då det gäller kanslifakturor, d v s fakturor avseende inköp till administrationen på kansliet. Övriga leverantörsfakturor hanteras manuellt precis som tidigare. Detta beror bland annat på att kopplingen mellan de program som administrerar vårdfakturor från andra landsting och privata vårdgivare och ebill inte är färdigutvecklad. Alla leverantörsfakturor ankommer till förvaltningen och därefter skickas de fakturor som skall hanteras i ebill via post till SchlumbergerSema för scanning. Om förvaltningen har något dokument som bör tillhöra fakturan t ex kvitton bifogas dessa innan fakturan skickas till scanning. Uppgifterna på fakturorna vad gäller t ex fakturabelopp, momsbelopp, fakturanummer, fakturadatum, förfallodatum och post- och bankgiro tolkas och registreras vid scanningen. Filerna med de scannade fakturorna överförs från SchlumbergerSema till förvaltningen flera gånger dagligen. Vid behandlingen av en faktura registrerar ebill via post- eller bankgirot vilken leverantör fakturan avser och hämtar grunduppgifter såsom namn, adress och telefonnummer ur leverantörsregistret i ekonomisystemet Raindance. Dessa uppgifter visas samtidigt på skärmen tillsammans med fakturan. Leverantörsregistret och kodplanen i Raindance uppdaterar ebill en gång om dagen. 6.1 Förkontroll Alla fakturor som hanteras i ebill kommer i dagsläget till förkontrollen. Det är vanligtvis endast en ekonomiassistent på förvaltningen som arbetar i funktionen ekonomi i ebill, det finns dock en person som är ersättare vid frånvaro. I förkontrollen genomförs en översiktlig kontroll av huruvida fakturan tillhör förvaltningen. Därefter konteras alla fakturor och de tolkade grunduppgifterna kontrolleras mot den scannade fakturabilden. I dagsläget hamnar alla fakturor i förkontrollen. Förvaltningen har ännu ej diskuterat vilka kriterier som skall sättas upp för när en faktura framöver skall komma till förkontrollen. Eventuella makuleringar av fakturor görs vanligtvis av ekonomiassistenten redan i förkontrollen, makuleringar kan dock även göras i avvikelse och efterkontroll. Vid en makulering måste en kommentar anges i kommentarsfältet i ebill. Detta medför att man i loggen kan se vem som gjort Rapport EFH - slutlig doc 13 (18)

17 makuleringen. Om en faktura makuleras behåller den makulerade fakturan sitt verifikationsnummer. Makuleringen skapar en omvänd bokning som överförs till ekonomisystemet Raindance. 6.2 Attestering Till grund för sin attest har sakattestanten samma underlag som tidigare vid den manuella hanteringen, d v s order, orderbekräftelse och mottagningsbevis. Attestanten måste definiera status (sak- eller beslutsattest) på varje konteringsrad på en faktura. När en faktura delas upp på flera olika konton eller ansvar innebär detta att attestanten måste definiera status på varje rad separat. Signeringen med hjälp av det elektroniska ID-kortet avser däremot alla de rader som attestanten skall attestera. Om t ex ekonomiavdelningen eller attestanten vill bifoga något ytterligare underlag till en faktura kan filer och egenhändigt scannade dokument bifogas fakturan i ebill. Nödvändig och kompletterande information kan även anges i kommentarsfältet i ebill. Hanteringen av kreditfakturor sker på samma sätt som övriga fakturor. De vid scanningen tolkade beloppen registreras dock som minus. I ebill använder man sig av elektronisk signering vid beslutsattestering av fakturor. Varje beslutsattestant får kvittera ut ett personligt elektroniskt ID-kort, utfärdat av Posten Sverige AB, som är unikt för den enskilde individen. Varje elektroniskt ID-kort innehåller två stycken certifikat; ett bascertifikat och ett hälso- och sjukvårdscertifikat. Bascertifikatet fungerar som en identifiering av individen medan hälso- och sjukvårdscertifikatet används för signering av fakturor. Hälso- och sjukvårdscertifikaten finns lagrade i Skånekatalogen och innehåller ett antal olika grunduppgifter om respektive person såsom namn, organsiationstillhörighet, yrkestitel etc. Inom varje förvaltning finns en utsedd LRA-person (local registration authority) som registrerar beslutsattestanternas certifikat. Genom certifikatet är beslutsattestanten knuten till organisationen Region Skåne. Varje attestant som skall beslutsattestera signerar fakturan genom att det elektroniska ID-kortet stoppas in i en kortläsare och en PIN-kod anges. En anställds behörighet att beslutsattestera är alltid knutet till något ansvar/kostnadsställe som definierats av verksamhetschefen. Rätten att sakattestera är däremot en generell behörighet som ej är relaterad till något ansvar/kostnadsställe. Rapport EFH - slutlig doc 14 (18)

18 6.3 Avvikelse Om en faktura som skall attesteras inte bearbetas av attestanten erhåller denne en påminnelse tre till fyra dagar innan fakturans förfallodatum. En annan anledning till att en faktura hamnar i avvikelse kan vara att attestanten anser något vara oklart och vill att ekonomiavdelningen utreder problemet. En kommentar skall då skrivas i kommentarsfältet och fakturan sänds till avvikelse. Det går alltså ej att manuellt skicka en faktura till avvikelse utan att ange någon kommentar. Kommentaren kan dock endast bestå av ett tecken, t ex en punkt eller en bokstav. 6.4 Efterkontroll Alla fakturor hamnar i dagsläget i efterkontrollen. Här kontrollerar ekonomiassistenten betalningsdatum samt övrig information översiktligt. Om fel konto använts kan ekonomiassistenterna ändra detta i efterkontrollen. Om den som konterar däremot använt fel ansvar måste fakturan sak- och beslutsattesteras på nytt. 7. Sekretess I samband med inscanning av leverantörsfakturorna skall SchlumbergerSema göra en bedömning av om fakturan skall sekretessbehandlas eller inte. Om fakturan innehåller personnummer, uppgifter om rasetnicitet etc enligt personuppgiftslagen, eller om fakturan avser en person som har skyddad identitet, skall fakturan sekretessbehandlas. Sekretessmarkeringen innebär att det enbart är ekonomipersonalen på förvaltningen samt de attestanter som hanterar fakturan under flödet som har möjlighet att se det inscannade underlaget vid visning av fakturan. Övriga användare får via arkivet enbart ta del av information rörande leverantörens namn, moms, fakturabelopp etc. 8. Förvaltning av ebill Granskningen av förvaltningen av ebill har endast utförts på Centralsjukhuset i Kristianstad (CSK). Anledningen till denna avgränsning är att regionledningen ännu ej fattat beslut angående systemförvaltningen. Förvaltningarna har dock under försommaren erhållit ett utkast till rekommendation om systemförvaltning vilket innebär att de har kunnat påbörja organisationen av systemförvaltningen. 8.1 Systemförvaltningsgrupp Det finns en utsedd lokal systemansvarig person på CSK vars uppgifter är att se till att systemet för elektronisk fakturahantering stödjer de dagliga rutinerna i verksamheterna. Den lokala systemansvarige är även systemförvaltare för systemet. Rapport EFH - slutlig doc 15 (18)

19 Två personer på ekonomiavdelningen på CSK har en övergripande behörighet (Super User). Centrala direktiv från regionledningen för vem som bär ansvaret för implementering av systemförvaltningsgruppen på CSK är ännu ej klara. Det finns en lämplig ansvars- och arbetsfördelning mellan olika arbetsområden på ekonomiavdelningen. 8.2 Uppläggning av nya användare Samtliga lokala användaradministratörer ute på förvaltningarna registreras av den övergripande projektadministratören inom Region Skåne. Den lokala användaradministratören lägger upp nya användare i ebill och administrerar personer med rollerna ekonomi och attestant. För attestanter anges användarens löpnummer som hämtas från Skånekatalogen där IT-avdelningen på CSK är systemägare. Användarnamnet är ett sexsiffrigt löpnummer som är direkt kopplat till den enskilde användarens personnummer. Användaren erhåller första gången ett lösenord av den lokala användaradministratören som skall bytas efter inloggning. Det är enbart den lokala användaradministratören som har behörighet att genomföra förändringar av användarinformation i ebill. De olika verksamhetscheferna skall meddela den lokala användaradministratören om en användare har slutat eller på grund av någon annan anledning inte längre skall vara kvar i systemet. Det har gått ut ett centralt direktiv inom Region Skåne att användare skall passivsättas istället för att borttagas ur registret. Om en person skall få tillgång till systemet igen, förutsatt verksamhetschefens godkännande, aktiveras användaren igen. 8.3 Uppläggning av sak- och beslutsattestanter På varje förvaltning finns det en lokal användaradministratör som hanterar upplägg av sak- och beslutsattestanter. På CSK arbetar två personer med dessa arbetsuppgifter och det finns i dagsläget 250 användare varav 60 personer är beslutsattestanter. Verksamhetscheferna, som är budgetansvariga i de olika organisatoriska enheterna inom förvaltningen, anmäler till den lokala användaradministratören vilka personer som skall läggas upp som nya användare samt vilken behörighet de skall ha. Varje enskild beslutsattestant erhåller sedan ett hälso- och sjukvårscertifikat (HC) som förvaras i Skånekatalogen. Certifikatet innehåller grunduppgifter såsom namn, organisationstillhörighet, yrkestitel samt ett löpnummer som är unikt för den enskilde användaren. Rapport EFH - slutlig doc 16 (18)

20 Användaradministratörerna skickar ansökningsformulär till beslutsattetstanten som i sin tur fyller i ansökan och går till Posten Sverige AB och kvitterar ut ett elektroniskt ID kort. Posten Sverige AB utfärdar certifikatet men det är en LRA-person (Local registration authority) som registrerar certifikatet. LRA-personen arbetar på förvaltningens IT-avdelning. Det är enbart beslutsattestanter som kvitterar ut ett personligt elektroniskt ID-kort för att kunna signera attestering av fakturor. Om en användare skall genomföra beslutsattesteringar anges vilka ansvar/kostnadsställe och attestbelopp som är giltiga. Beslutsattestanten är till skillnad från sakattestanten direkt knuten till ett ansvarsområde. Användaradministratörerna har en excellista över samtliga attestanter och deras behörighet. Listan skrivs ut vid förändringar och levereras till ekonomiassistenterna som har den till hjälp när en faktura skall styras till rätt sak- och beslutsattestant i förkontrollen. I listan finns en förteckning över alla kostnadsställen/ansvarsområden som beslutsattestanterna är knutna till samt vilka beloppsgränser respektive beslutsattestant har attesträtt till. Användaradministratörerna sparar alla ändringar, avseende nya upplägg av användare och attestbelopp som verksamhetscheferna ber dem registrera, i en pärm. Verksamhetscheferna skall kontakta användaradministratörerna vid förändringar av sak- och beslutsattestanter samt deras attestbelopp. En gång om året skickar användaradministratörerna ut en lista till samtliga verksamhetschefer för avstämning beträffande attestanternas behörighet och attestbelopp. Efter det att listan är uppdaterad av respektive verksamhetschef godkänns den en gång per år av ekonomichefen. Ekonomichefen på förvaltningen ansvarar för listan avseende sakoch beslutsattestanter. 8.4 Hantering av lösenord När användare av ebill har problem med sitt lösenord eller glömt lösenordet finns det två personer på CSK som har behörighet att begära nya lösenord för namngivna personer hos WM- Data. Beställning av nytt lösenord skall göras skriftligen via mail till WM-Data som i sin tur skickar ett mail till användaren om hur problemet skall hanteras. WM-Data har en lista på kontaktpersoner på respektive förvaltning inom Region Skåne som är utsedda att begära nya lösenord. WM-Data tar enbart emot anmälningar från dessa kontaktpersoner. 8.5 Utformning av lösenord Varje användare i ebill har en unik användaridentitet som är knuten till en roll i systemet. Systemet tvingar användaren att regelbundet byta lösenord. Ett lösenord måste bestå av minst fyra tecken. Andra regleringar av utformningen på lösenordet finns inte. Rapport EFH - slutlig doc 17 (18)

21 8.6 Incidenthantering Region Skåne har tecknat två avtal där WM-Data hanterar driften av servrarna och Exense administrerar driften av applikationen. Om ett problem uppstår skall förvaltningens systemförvaltargrupp vända sig till Component Software som gör en utredning om det är fråga om ett applikations- eller hårdvarufel. Om det är ett hårdvarufel överlämnas ärendet till WM- Data. Region Skåne har en fast uppkoppling mot en websida tillhörande Component Software i Norge där kontakpersonen för Region Skåne manuellt registrerar felanmälningar. På CSK fungerar de som sitter i ekonomirollen som support. När användarna ute i förvaltningen har något problem vänder de sig ibland dock direkt till sin lokala kontakt på WM-data. WM-Data ska då skicka ärendet vidare till Component Software. Det förekommer även att den lokala ITavdelningen blir kontaktad vid problem och då skall även de skicka ärendet vidare till Component Software. Enligt projektgruppen för införandet av ebill skall dock inga handhavandeärenden hanteras av förvaltningens lokala IT-avdelning. Region Skåne har överlämnat en larmlista till Component Software som innehåller kontaktpersoner inom Region Skåne. Dessa kontaktpersoner skall erhålla ett mail i samband med problem eller åtgärder som direkt påverkar användare av systemet. Exempel på sådana händelser är nedstängning av systemet, flödesstopp och långa svarstider. Kristianstad dag som ovan KPMG Maj-Lis Svensson Godkänd revisor Jesper Sturesson Revisor Rapport EFH - slutlig doc 18 (18)