Granskning av intern kontroll i regionens huvudboksprocess

Transkript

1 Revisionsrapport Granskning av intern kontroll i regionens huvudboksprocess Region Halland Fredrik Jilmstad Mia Nordblom Erik Sellergren

2 Granskning av intern kontroll i regionens huvudboksprocess Innehållsförteckning 1. Sammanfattning Introduktion Bakgrund och revisionsfråga Metod och avgränsningar Slutsatser från granskningen Rutin för flöden till och från huvudboken Övergripande information Ekonomisystemet Agresso Webbgränssnitt Agresso Behörighetsadministration Upplägg/ändring av användare Borttag av användare Attestreglemente Manuella bokföringsordrar Berendsen Externa tvättjänster Mediq Externa förrådsstjänster sjukvårdsmaterial Apoteket farmaci Extern leverantör läkemedelsprodukter Röntgen - Röntgenundersökningar Personec Personalsystem Kassaterminaler Inbetalningar Tears Barntandvård Loke Utomlänsfakturering Landlord Hyror Landlord Teknisk Service Sesam - Hjälpmedelshantering Prosang - Blodcentralen Adbakt Mikrobiologen Patlab Patologlab Carita Specialisttandvård C5LIMS Kemlab Redpill Kurs och konferens Sjukresor Bilersättning och färdtjänst Meddix Hallands sjukhus VVH Vårdval Halland allmänsjukvård Teleopti Telefoni och IT mars 2015 Region Halland

3 Granskning av intern kontroll i regionens huvudboksprocess CUB Förrådsuttag VVH+ Vårdval Halland specialistvård VAS Öppen-/slutenvård Opus Folktandvård vuxna MONA Tandreglering Paratus ambulansjournaler Sectra Mammografiundersökningar Idata Visma påminnelser, krav och inkasso Plusgirot S4F Progress Beslutsstöd Avstämningar av konto i huvudboken mars 2015 Region Halland

4 1. Sammanfattning Revisorerna för Region Halland har gett i uppdrag att genomföra en granskning av intern kontroll i huvudboksprocessen för att bedöma om regionen (Regionstyrelsen och driftnämnden Regionservice) systematiskt arbetar med att säkerställa att nuvarande rutin uppfyller kraven på god intern kontroll och rättvisande räkenskaper. Fokusområden för granskningen är överföring till och från huvudboken från väsentliga försystem. Det är väsentligt att de in- och utflöden av data som sker till ekonomisystemet är korrekta avseende fullständighet och riktighet. Det bör även säkerställas att all data som kommer in i huvudboken är godkänd eftersom den kan vara både manuell hanterad eller automatiserad. Granskningen har genomförts av Fredrik Jilmstad, Mia Nordblom, och Erik Sellergren (). Processkartläggningen baseras på intervjuer med berörd personal i verksamheten samt granskning av interna dokument som erhållits under granskingen. Metoden för granskningen innebär en översiktlig beskrivning av regionens ekonomisystem inklusive de försystem som ger indata till ekonomisystemet samt kartläggning av flöden till och från huvudboken och tillhörande rutiner. Analys av information från intervjuer baseras på :s tidigare erfarenhet av granskningar av liknande processer och rutiner. Kontroller som inte har valideras inom ramen för granskningen är eventuella kontroller som utförs på respektive förvaltning avseende fullständighet, riktighet och validitet av underlag och transaktioner i försystemen. Inte heller kontroller som utförs på respektive förvaltning med avseende på fullständighet, riktighet och validitet i fakturering från Agresso har validerats inom ramen för denna granskning. Vår utgångspunkt är att det är i regionstyrelsens intresse att ha en tydlighet kring de rutiner och kontroller som säkerställer en fullständig och riktig redovisning och en i övrigt lämplig nivå på den interna kontrollen samt effektiva rutiner. Vi har i denna genomgång identifierat ett antal områden där kontrollmiljön kan förbättras. En sammanfattande rekommendation är att en kontroll i samband med överföringar av filer mellan Agresso och olika de försystemen bör implementeras och dokumenteras i syfte att säkerställa fullständighet och riktighet i överföringen. Det är av vikt att ange vilka kriterier som utlöser kontrollen och ta ställning till om det är tillräckligt för att säkra fullständighet och riktighet. För samtliga kontroller bör säkerställas att dessa dokumenteras avseende hur kontrollen utförs, vem som är ansvarig, vad bevis för utförd kontroll är samt hur eventuell rättning ska ske. Kontrolldokumentationen är av vikt för att kunna säkerställa att alla väsentliga kontroller utförts innan bokslutet stängs. Region Halland har 15 användare med högsta behörighet till Agresso (varav majoriteten är Agressokonsulter), vilket inkluderar att lägga upp och ändra behörigheter. I samband med granskningen framkom att åtminstone hälften av användarna inte längre behöver denna behörighet nu när Agresso övergått från projekt till förvaltning. Dessutom framkom att Agresso har ett Region Halland 1 av 32

5 standardinlogg (sysse), vilket innebär att spårning ej kan ske till en enskild användare om detta inloggningsid används. Vid uppsättningen av roller i systemet har det ej tagit hänsyn till huruvida behörigheten till vissa moment bör vara åtskilda för att säkerställa en god arbetsfördelning (så kallad segregation of duties ). Regionen saknar en matris som ska säkerställa att inte flera kritiska behörigheter kombineras för en och samma användare. Exempelvis kan totalt 31 användare lägga upp/ändra leverantörsuppgifter, vilket är de medarbetare på GAS som arbetar med leverantörsfakturor. Dock finns en särskild roll för de som kan göra utbetalningar vilken endast innehas av fyra användare men dessa kan även lägga upp/ändra leverantörsuppgifter. Attest av leverantörsfakturor saknar beloppsgränser och styrs enbart på ansvar. Rutinen för tilldelning av behörigheter vad gäller anställda på GAS är informell och bör formaliseras. Även vad gäller övriga användare kan rutinen förstärkas då det av ärendehanteringssystemet ej tydligt framgår vilka behörigheter som finns och innebörden av dessa. Vi har vidare noterat att beslutad rutin ej följs i samband med ändringar. Rutinen för borttagande av behörigheter är bristfällig då förvaltningarna ej alltid underrättar regionen centralt vilka behörigheter som ska tas bort. I nuläget sker ej heller låsning av konton som varit inaktiva en viss period men Region Halland har diskuterat att eventuellt införa en rutin att ta ut listor från Agresso över användare som ej varit aktiva de senaste sex månaderna och inaktivera dessa. Utöver det sker ingen periodvis genomgång av behörigheter i Agresso. Fullständighet i den årliga kontroll som utförs med avseende på att förteckning över utsedda beslutsattestanter hålls uppdaterade kan ej säkerställas då respektive nämnd/förvaltning ej återrapporter centralt när kontroll har utförts. Samtliga anställda på GAS samt alla ekonomer och controllers ute i verksamheten (totalt 127 användare) kan skapa manuella bokföringsordrar. Det krävs inget godkännande av någon ytterligare person. Det finns ingen uppföljande eller kompenserande kontroll avseende upprättade manuella bokföringsordrar för att säkerställa dessa avseende riktighet och validitet. Bokföringsordrar används dock främst för interna fördelningar, rättelser och periodiseringar. I fall där inga överenskommelser finns (eller att fördelning sker via filintegration från försystem) finns funktionaliteten i Agresso att kunna lägga bokföringsordern i ett attestflöde med samma regelverk som för leverantörsfakturor. Region Halland 2 av 32

6 Region Halland har en bra fullständighetskontroll av att samtliga filer som borde blivit inlästa från externa leverantörer/försystem under månaden blivit så. Utförd kontroll dokumenteras i en Excel-checklista, dock sker ingen signering eller dylikt som visar att och när fullständighetskontrollen är utförd. Samma fil från leverantören eller försystemet skulle dock kunna läsas in flera gånger till Agresso. Det sker ingen kontroll av att exempelvis antal rader och totalbelopp i från extern leverantör/försystemet erhållen fil och i Agresso inläst fil överensstämmer med avseende på riktighet och fullständighet. Då filen går via BizTalk bör även den fil som erhålls från BizTalk ingå i kontrollen. Viss rimlighetsbedömning av summan utbetalningar av leverantörsfakturor uppges ske men kontrollen dokumenteras ej. Vidare har Region Halland upphandlat en tjänst hos företaget Inyett gällande kvalitetssäkring av betalningsfiler (inkluderande exempelvis dubbelbetalningar, bluffakturor och höga belopp) men tjänsten har ej ännu tagits i bruk. Region Halland har skapat en rapport för preliminärbokade fakturor (konto 5799) och det är upp till respektive förvaltning att gå igenom och bedöma fakturorna och eventuellt periodisera i samband med månadsbokslut. Vid granskningstillfället noterade att det låg ett tjugotal externa fakturor från 2014 i Agresso uppgående till cirka 1,7 miljoner kronor. Region Halland reserverar ej för kundfordringar löpande utan skriver en gång per år av kundfodringar som är äldre än ett år. Hanteringen är helt manuell. Region Halland 3 av 32

7 2. Introduktion 2.1. Bakgrund och revisionsfråga Revisorerna för Region Halland har gett i uppdrag att genomföra en granskning av intern kontroll i huvudboksprocessen. Granskningen har genomförts av Fredrik Jilmstad, Mia Nordblom och Erik Sellergren och (). Processkartläggningen baseras på intervjuer med berörd personal i verksamheten samt granskning av interna dokument. Följande personer har varit intervjuade i granskningen: Per Karlsson Controller ekonomi ledning på Regionkontoret och ansvarig för regionens redovisning. Kate Käll Arbetar på regionens ekonomiavdelning, förvaltningsledare för Agresso. Patric Bergman Arbetar inom Gemensam Administrativ Service (GAS), systemsamordnare Agresso och hanterar driften avseende det dagliga operativa arbetet i Agresso. Övergripande revisionsfråga Arbetar Regionstyrelsen och driftnämnden Regionservice systematiskt med att säkerställa att regionens verksamhet har en tillfredställande intern kontroll relaterat till huvudboksprocessen och att följande mål uppnås: tillfredsställande kontrollmiljö inom huvudboksprocessen som identifierar och förebygger eventuella svagheter i processen ändamålsenliga och effektiva kontroller inom huvudboksprocessen för att stödja verksamheten och ge en rättvisande redovisning kontroller inom huvudboksprocessen som säkerställer att skapade transaktioner i huvudboken är godkända och riktiga Granskningsmål Kartläggning av befintlig rutin vid hantering av redovisning i huvudboken sker i syfte att säkerställa att nuvarande rutin uppfyller kraven på god intern kontroll och rättvisande räkenskaper. Fokusområden för granskningen är överföring till och från huvudboken från väsentliga försystem. Upprättande av en samlingsplan innehållande de system som påverkar den finansiella redovisningen (separat dokumentation) Metod och avgränsningar Granskningen genomförs genom intervjuer med företrädare från Regionkontoret och Gemensam Administrativ Service (GAS). Vidare sker genomgång av regionens eventuella riktlinjer och regler kring huvudboksprocessen. Region Halland 4 av 32

8 Utifrån ett väsentlighets- och riskperspektiv har ett antal kontrollmål valts ut att inkluderas i granskningen. För dessa görs en bedömning av dels befintliga riktlinjer/regler och rutiner och dels regionens egna kontrollaktiviteter. Analys av erhållet material och information från intervjuer utgör underlag för en samlad bedömning av kontrollmiljö och befintliga kontroller. En avgränsning görs så att testning av identifierade kontroller i form av en stickprovsbaserad ansats inte genomförs utan tonvikt ligger på bedömning av kontrollmiljön. Dock kommer vi att under respektive intervju att ta del av det underlag som finns för att bedöma om det går att testa. Analys av information från intervjuer baseras på :s tidigare erfarenhet av granskningar av liknande processer och rutiner. Granskningen omfattar följande huvudmoment: Kartläggning av in- och utgående data till huvudboken avseende väsentliga system. Bedömning av fullständighet, riktighet och godkännande avseende in- och utdata till huvudboken. Översiktlig kartläggning av rutinen för behörighetsadministration (behörighetskontroller) i Agresso. Dokumentation av samlingsplan med ekonomiska flöden (separat dokumentation). Processerna och kontroller som utförs i respektive försystem ute hos förvaltningarna innan transaktionerna bokas i huvudboken omfattas ej i denna genomgång. Testning av identifierade kontroller i form av en stickprovsbaserad ansats har inte genomförts. har bedömt kontrollmiljön, identifierat och bedömt befintliga kontroller men inte testat dem i detalj. Rapporten är faktaavstämd med berörd personal. Totalt finns cirka system inom Region Halland. I denna granskning ingår endast de system som har finansiell påverkan och som i relation till andra system bedöms som väsentliga. Inom exempelvis Skolförvaltningen finns system för elevadministration från vilket viss fakturering av kurser sker men då flödet ej bedöms som väsentligt då det är så litet och ingår således ej i denna granskning. Region Halland 5 av 32

9 3. Slutsatser från granskningen och risker för respektive område redovisas nedan med klassificering enligt en skala. Vi har gjort en prioritering av iakttagelserna där L står för låg prioritet, M för medel och H för hög. Definitionen av denna klassificering visas nedan: Hög Syftar på en svaghet som har stor inverkan på system, processer och relaterade kontroller och som kan utsätta enheten för större förluster, ineffektivitet och/eller kan resultera i en väsentlig felaktighet i räkenskaperna. Medel Syftar på en situation eller arbetssätt som skiljer sig från vad anser vara god intern kontroll och som vi bedömer har en negativ inverkan på den interna kontrollen över den finansiella rapporteringen. Låg Syftar på en situation eller arbetssätt som enbart har en begränsad effekt på den interna kontrollen. har noterat ett antal områden där kontrollmiljön bör förbättras för att säkerställa att den finansiella informationen är fullständig, riktig och godkänd. Identifierade brister redovisas enligt nedan. Flera av noteringarna berör breda behörigheter inom ekonomisystemet. Givna rekommendationer handlar om att se över nuvarande behörigheter, att tydliggöra och formalisera av kontroller som utförs idag samt förslag på kontroller som inte utförs idag. Kontroller som inte har valideras inom ramen för granskningen är eventuella kontroller som utförs ute respektive förvaltning avseende fullständighet, riktighet och validitet av underlag till försystemen. Inte heller kontroller som utförs på respektive förvaltning med avseende på fullständighet, riktighet och validitet i fakturering från Agresso har validerats inom ramen för denna granskning. En sammanfattande rekommendation är att en kontroll i samband med överföringar av filer mellan Agresso och olika de försystemen bör implementeras och dokumenteras i syfte att säkerställa fullständighet och riktighet i överföringen. Det är av vikt att ange vilka kriterier som utlöser kontrollen och ta ställning till om det är tillräckligt för att säkra fullständighet och riktighet. För samtliga kontroller bör säkerställas att dessa dokumenteras avseende hur kontrollen utförs, vem som är ansvarig, vad bevis för utförd kontroll är samt hur eventuell rättning ska ske. Kontrolldokumentationen är av vikt för att kunna säkerställa att alla väsentliga kontroller utförts innan bokslutet stängs. Region Halland 6 av 32

10 Ref Område Identifierad brist Risk :s rekommendation Prioritet 4.3 Behörighetsadministration Region Halland har 15 användare med högsta behörighet till Agresso (varav majoriteten är Agressokonsulter), vilket inkluderar att lägga upp och ändra behörigheter. I samband med granskningen framkom att åtminstone hälften av användarna inte längre behöver denna behörighet nu när Agresso övergått från projekt till förvaltning. Dessutom framkom att Agresso har ett standardinlogg (sysse), vilket innebär att spårning ej kan ske till en enskild användare om detta inloggningsid används. Breda behörigheter avseende rollen som systemadministratör i Agresso ökar risken för felaktig redovisning. rekommenderar att Region Halland går igenom användarna med administratörsbehörighet (system) och utvärderar vilka som behöver behörigheten och rensar bort övriga. Vidare rekommenderas Region Halland att utvärdera om det standardinlogg som finns till Agresso (sysse) kan inaktivteras. Alternativt aktivera loggningsfunktion av aktivitet som utförs av sysse. Hög 4.3 Behörighetsadministration Vid uppsättningen av roller i systemet har det ej tagit hänsyn till huruvida behörigheten till vissa moment bör vara åtskilda för att säkerställa en god arbetsfördelning (så kallad segregation of duties ). Regionen saknar en matris som ska säkerställa att inte flera kritiska behörigheter kombineras för en och samma användare. Exempelvis kan totalt 31 användare lägga upp/ändra leverantörsuppgifter, vilket är de medarbetare på GAS som arbetar med leverantörsfakturor. Dock finns en särskild roll för de som kan göra utbetalningar vilken endast innehas av fyra användare men dessa kan även lägga upp/ändra leverantörsuppgifter. Avsaknad av en matris för möjligheten att skapa en lämplig ansvarsfördelning ökar risken för felaktig redovisning. rekommenderar Region Halland att se över behörigheterna i Agresso med avseende på god arbetsfördelning (så kallad segregation of duties ) och upprätta en matris med syfte att säkerställa att inte flera kritiska behörigheter kombineras för en och samma användare. Matrisen bör granskas minst årligen för att granska eventuella förändringar i behörigheter. Medel 4.3 Behörighetsadministration (Attestreglemente) Attest av leverantörsfakturor saknar beloppsgränser och styrs enbart på ansvar. Attest av fakturor ej kopplade till beloppsgränser ökar risken för felaktiga utbetalningar. Region Halland bör ta ställning till införandet av beloppsgränser kopplade till attest av leverantörsfakturor. Detta kan regleras i attestreglementet och/eller systemet. Medel Upplägg/ ändring av användare Rutinen för tilldelning av behörigheter vad gäller anställda på GAS är informell och bör formaliseras. Även vad gäller övriga användare kan rutinen förstärkas då det av ärendehanteringssystemet ej tydligt framgår vilka Informella rutiner för behörighetstilldelning eller svårigheter att förstå innebörden för ansökt behörighet ökar risken felaktiga behörigheter i Agresso vilket ger en ökad risk för Vi rekommenderar Region Halland att formalisera rutinen vad gäller anställda på GAS så att den följer samma förfarande med förfrågan om ny/ändrad behörighet inskickad av behörig person i ärendehanteringssystemet Platina. Medel Region Halland 7 av 32

11 behörigheter som finns och innebörden av dessa. Vi har vidare noterat att beslutad rutin ej följs i samband med ändringar. felaktig redovisning. Om möjligt bör rutinen förstärkas så att det tydligt framgår vilka behörigheter som finns och vad innebörden av dessa är för att underlätta att rätt behörighet efterfrågas. Detta är särskilt viktigt för GAS där det finns flera olika roller beroende på vilket team användaren tillhör. Vidare bör säkerställas att samma rutin följs i samband med ändringar Borttag av användare Rutinen för borttagande av behörigheter är bristfällig då förvaltningarna ej alltid underrättar regionen centralt vilka behörigheter som ska tas bort. Åtkomsten för ej behöriga användare i Agresso ökar risken för felaktig redovisning. Region Halland bör säkerställa en rutin för borttagande/ändring av behörigheter i Agresso i anslutning till anställningens avslut eller vid byte av tjänst. Låg I nuläget sker ej heller låsning av konton som varit inaktiva en viss period men Region Halland har diskuterat att eventuellt införa en rutin att ta ut listor från Agresso över användare som ej varit aktiva de senaste sex månaderna och inaktivera dessa. Som en kompenserande kontroll bör regionen även införa en åtminstone årsvis genomgång av behörigheter i Agresso för att säkerställa rätt behörighet i systemet. Utöver det sker ingen periodvis genomgång av behörigheter i Agresso Attestreglemente Fullständighet i den årliga kontroll som utförs med avseende på att förteckning över utsedda beslutsattestanter hålls uppdaterade kan ej säkerställas då respektive nämnd/förvaltning ej återrapporter centralt när kontroll har utförts. Avsaknad av fullständighetskon troll avseende att förteckning över utsedda beslutsattestanter hålls uppdaterad medför en viss risk att uppdatering ej skett och att felaktiga beslutsattestanter finns i systemet. rekommenderar Region Halland inför en årlig central uppföljande fullständighetskontroll med syfte att säkerställa att alla nämnders/ förvaltningars förteckningar hålls uppdaterade och beslutas årligen. Detta kan exempelvis ske genom att respektive nämnd/förvaltning återrapporterar till ansvariga centralt när beslut om uppdateringar tagits, inklusive information om eventuella förändringar. Låg 4.4 Manuella bokföringsordrar Samtliga anställda på GAS samt alla ekonomer och controllers ute i verksamheten (totalt 127 användare) kan skapa manuella bokföringsordrar. Det krävs inget godkännande av någon ytterligare person. Breda behörigheter att göra manuella bokningar direkt i huvudboken utan ytterligare godkännande eller kontroll ökar risken för felaktig redovisning. rekommenderar Region Halland att utvärdera om samtliga anställda på GAS samt controllers och ekonomer ute i verksamheten har behov av behörigheten att upprätta manuella bokföringsordrar. Om så ej är fallet bör antalet Hög Region Halland 8 av 32

12 Det finns ingen uppföljande eller kompenserande kontroll avseende upprättade manuella bokföringsordrar för att säkerställa dessa avseende riktighet och validitet. Bokföringsordrar används dock främst för interna fördelningar, rättelser och periodiseringar. I fall där inga överenskommelser finns (eller att fördelning sker via filintegration från försystem) finns funktionaliteten i Agresso att kunna lägga bokföringsordern i ett attestflöde med samma regelverk som för leverantörsfakturor. användare begränsas vilket kan behöva innebär en förändring i rolluppsättningen. Vidare bör krav om attest av bokföringsordrar och krav på underlag införas. Region Halland rekommenderas även att införa kompenserande kontroll att exempelvis månatligen följa upp de bokföringsordrar som skapats med avseende på riktighet och validitet Se respektive extern leverantör/ försystem Region Halland har en bra fullständighetskontroll av att samtliga filer som borde blivit inlästa från externa leverantörer/ försystem under månaden blivit så. Utförd kontroll dokumenteras i en Excelchecklista, dock sker ingen signering eller dylikt som visar att och när fullständighetskontrollen är utförd. Avsaknad av formell bekräftelse av att fullständighetskon troll med avseende på inläsning av filer från externa leverantörer/ försystem till Agresso medför en risk att kontrollen ej blir utförd. Region Halland rekommenderas att införa en formell bekräftelse av att den viktiga månatliga fullständighetskontrollen med avseende på inläsning av filer från externa leverantörer/försystem till Agresso är utförd och att respektive fil endast lästs in en gång. Låg Samma fil från leverantören eller försystemet skulle dock kunna läsas in flera gånger till Agresso. Detta kan ske genom att den fil som sammanställs uppdateteras med datum och kommentar/signatur av den person som utfört kontrollen. Det finns även en rapport i Agresso som visar vilka försystem som lästs in i Agresso under dagen vilken uppges användas. Vi rekommenderar Region Halland att utvärdera om rapporten kan följas upp med en annan periodicitet än dagligen och att formalisera denna uppföljning Se respektive extern leverantör/ försystem Det sker ingen kontroll av att exempelvis antal rader och totalbelopp i från extern leverantör/ försystemet erhållen fil och i Agresso inläst fil överensstämmer med avseende på riktighet och fullständighet. Då filen går via BizTalk bör även den fil som erhålls från BizTalk ingå i kontrollen. Avsaknad av en kontroll med avseende på exempelvis antal rader och totalbelopp mellan fil hämtad från extern leverantör/ försystem och fil inläst i Agresso medför en risk att filen ej överförts fullständigt och riktigt. Region Halland rekommenderas att inför en avstämningskontroll mellan fil hämtad från extern leverantör/ försystem, fil hämtad från BizTalk och fil inläst i Agresso med syfte att säkerställa att informationen överförts fullständigt och riktigt. Exempelvis kan avstämning ske med avseende på antal rader Medel Region Halland 9 av 32

13 och totalbelopp i respektive fil Idata Det saknas en kontroll med syfte att dagligen på totalnivå säkerställa att antalet skickade fakturor från Agresso stämmer överens med totalt antal utskrivna fakturor hos Idata. Avsaknaden av en fullständighetskon troll med avseende på antal skickade fakturor från Agresso och av Idata utskrivna fakturor medför en risk att informationen ej överförts fullständigt och riktigt. rekommenderar Region Halland att införa fullständighetskontroll avseende antal fakturor per dag enligt Agresso och Idata. Detta kan exempelvis ske genom att GAS löpande under dagen noterar antal skickade fakturor per körning i Agresso. Vid dagens slut kan totalt antal fakturor skickade från Agresso summeras och stämmas av mot erhållen uppgift om totalt antal utskrivna fakturor enligt Idata. Medel 4.35 Plusgirot Viss rimlighetsbedömning av summan utbetalningar av leverantörsfakturor uppges ske men kontrollen dokumenteras ej. Vidare har Region Halland upphandlat en tjänst hos företaget Inyett gällande kvalitetssäkring av betalningsfiler (inkluderande exempelvis dubbelbetalningar, bluffakturor och höga belopp) men tjänsten har ej ännu tagits i bruk. Avsaknad av kontroll av rimligheten i utbetalningar medför en risk för felaktiga utbetalningar med avseende på exempelvis belopp. Region Halland rekommenderas att implementera en formell rimlighetskontroll av utbetalningslista med avseende på höga belopp, orimliga leverantörer och totalbelopp i samband med utbetalning av leverantörsfakturor. Kontrollen bör dokumenteras och det bör framgå av vem kontrollen utförts och när. Medel Vidare rekommenderas regionen att utvärdera att aktivera den tjänst gällande kvalitetssäkring av betalningsfiler som upphandlats från Inyett. Denna tjänst täcker dock endast vissa risker Avstämningar av konto i huvudboken Region Halland har skapat en rapport för preliminärbokade fakturor (konto 5799) och det är upp till respektive förvaltning att gå igenom och bedöma fakturorna och eventuellt periodisera i samband med månadsbokslut. Vid granskningstillfället noterade att det låg ett tjugotal externa fakturor från 2014 i Agresso uppgående till cirka 1,7 miljoner kronor. Avsaknad av strukturerad uppföljning av preliminärregistrerade leverantörsfakturor med avseende på periodisering ökar risken för felaktig redovisning av kostnader. Region Halland rekommenderas att införa central rutin för att säkerställa att leverantörsfakturor hanteras av respektive förvaltning löpande och utvärderas i samband med månadsbokslut. Låg 4.38 Avstämningar av konto i huvudboken Region Halland reserverar ej för kundfordringar löpande utan skriver en gång per år av kundfodringar som är äldre än ett år. Hanteringen är helt manuell. Ej löpande reservering av osäkra kundfordringar medför en ökad risk för oförutsedda kundförluster. Region Halland rekommenderas att införa rutin att löpande reservera för osäkra kundfordringar. Medel Region Halland 10 av 32

14 4. Rutin för flöden till och från huvudboken 4.1. Övergripande information Den centrala ekonomifunktionen på Regionkontoret hos Region Halland består av 2 enheter med sammanlagt cirka 20 medarbetare. Ekonomidirektör är organisatoriskt övergripande ansvarig; därutöver finns ansvarig för regionens redovisning, chef för styrning och uppföljning, finanschef och budgetchef. På redovisningsavdelningen arbetar 5 personer utöver redovisningsansvarig. De ansvarar för den koncerngemensamma redovisningen och uppföljningen. På styrning och uppföljningsenheten arbetar cirka 10 personer. Gemensam Administrativ Service (GAS) inom Regionservice hanterar löpande bokföring och fakturering. På respektive förvaltning finns ekonomer och controllers och de hanterar själva bokslut och till viss del avstämningar.. Även budget hanteras på respektive förvaltning och samordnas av budgetchefen centralt. Budgetchefen gör en budget för skatter och finansintäkter på koncernen som redovisningsansvarig följer upp. Ansvarig för regionens redovisning är processledare för redovisningsprocessen (inklusive GAS) och dessa rutiner finns väl dokumenterade, exempelvis rutiner för fakturering och leverantörsbetalningar Ekonomisystemet Agresso Region Halland använder ekonomisystemet Agresso för sin redovisning. Systemet förvaltas enligt PM3-modellen. Implementationen av Agresso påbörjades under 2012 genom en pilot på en förvaltning och med utrullning till övriga förvaltningar under våren Sedan dess har arbetet fortgått med integrationerna från försystemen till Agresso och en månatlig överläsning av information från det tidigare ekonomisystemet MEA till Agresso Vid granskningstillfället uppgavs samtliga integrationer vara uppsatta till Agresso. Dock lever fortfarande kundreskontran i MEA och det går inbetalningsflöden och flöden från inkassobolag till MEA. Agresso är ett helintegrerat ekonomisystem innehållande flera moduler (se vidare information nedan som uppdaterar huvudboken automatiskt (med två minuters intervall). Region Halland använder följande moduler i Agresso: Kund Kundreskontra. Order/fakturering Ingår i Agressos Logistikmodul tillsammans med Lager och Inköp. Fakturering görs från denna modul som är helintegrerad med Kund och Huvudbok. Underlagen läses antingen via fil eller så kan de skapas manuellt direkt i modulen. I samband med fakturering skapas en fil med fakturor samt kontering i kundreskontra och huvudbok utifrån order. Leverantörsreskontra Majoriteten av alla leverantörsfakturor scannas in av företaget S4F i Fagersta och hamnar då i inkommande fakturor, se nedan, som Region Halland 11 av 32

15 denna modul har en koppling till. De inkommande fakturorna hanteras sedan via ett workflow med tillhörande attestflöde som består av leveransgodkännande, kontering och beslutsattest. Enligt attestordningen måste det alltid vara minst två personer i attestflödet men all kontering sker nu av GAS så i praktiken är det tre personer. Inkommande faktura I denna modul läses alla leverantörsfakturor in. Det är fortfarande en del fakturor som hanteras manuellt, framförallt fakturor med sekretess. De ingår dock i samma utbetalningsfil som övriga fakturor. EFH Elektronisk fakturahantering, ingen egen modul utan workflow för fakturahantering enligt ovan. Planner Modul för budget och prognos som användes för budget första gången hösten 2014 då Region Halland bytte från det tidigare budgetsystemet IPS. Under 2015 ska även prognoser rapporteras in. Anläggning En traditionell anläggningsreskontra. Excelerator Modulen kopplar ihop Excel med Agressodatabsen och användarna kan hämta data från Agresso direkt till Excel. Det finns en koppling till huvudboken avseende bokföringsordrar. Följande moduler pågår ett projekt kring: Inköp Ingår som en del av logistikmodulen. Det finns ett attestflöde för inköp uppsatt men det används inte ännu. Test kommer att ske under april månad E-handel Modulen är kopplad till inköp och används ej. Ett ehandelsprojekt pågår dock och inköpsordrar kommer framgent att läsas in från Sesam. Svefaktura Ett standardiserat format för att skicka och ta emot fakturor, exempelvis elektroniska fakturor. Används ej men ingår i ehandelsprojektet. Därutöver finns modulerna Lager (del av logistikmodulen), Periodisk faktura och Tid/projekt enligt avtal tillgängliga för Region Halland men regionen använder sig i nuläget inte av dessa. Agresso är ett standardsystem och inga direkta anpassningar har gjorts med avseende på funktionalitet. Agresso har en integrationsmodul (Icore) men denna används ej i nuläget utan som integrationsplattform används Microsofts BizTalk (för MEA användes Decapus), det vill säga alla flöden in till och ut från Agresso går via BizTalk. Vid inläsning av filer från tre externa leverantörer/försystemen hämtar BizTalk upp filerna från en importkatalog på servern. Det är endast tre personer (systemsamordnaren för Agresso, systemförvaltaren för Agresso och ansvarig för regionens redovisning) som har tillgång till importkatalogen. Många av inläsningarna från BizTalk till Agresso går per automatik via schemalagda körningar. Om det uppstår fel i samband med inläsningen (så kallat valideringsfel) hamnar filen i en rättningssluss och åtgärder måste vidtas. I princip alla på GAS och ekonomerna ute på respektive förvaltning har behörighet till rättningsslussen dock hanteras filerna normalt av en av tre angivna personer ovan, se vidare beskrivning av kontroller i samband med inläsning av fil från tre externa leverantörer/försystem till Agresso nedan. Region Halland 12 av 32

16 Den interna IT-avdelningen driftar ekonomisystemet Agresso, servrarna står dock hos Atea. Regionen har en löpande dialog med systemleverantören Agresso som meddelar när det finns systemuppdateringar tillgängliga Webbgränssnitt Agresso Region Halland använder ett webbgränssnitt till Agresso vad gäller arbetsflödet för fakturor (godkännande och kontering) och för vissa chefer att kunna ta ut information. Samtliga användare har behörighet till webbgränssnittet med avseende på fakturahanteringen Behörighetsadministration Region Halland har satt upp behörigheterna i Agresso i roller och totalt finns 26 roller som styr vad användaren kan se/göra i respektive modul; en roll är exempelvis ekonomer/controlleras som innehas av ekonomer och controllers ute i de olika förvaltningarna (totalt 57 användare). Medarbetarna på GAS har tilldelats modulbaserade behörigheter. På order-/faktureringsrollen finns en ytterligare nivå där det anges om användaren kan ändra i faktureringsunderlaget från respektive system (det krävs exempelvis både en order-/faktureringsroll och tillägget VAS för att kunna korrigera ett faktureringsunderlag som avser VAS). Vid uppsättningen av roller i systemet har det ej tagit hänsyn till huruvida behörigheten till vissa moment bör vara åtskilda för att säkerställa en god arbetsfördelning (så kallad segregation of duties). Exempelvis kan totalt 31 användare lägga upp/ändra leverantörsuppgifter, vilket är de medarbetare på GAS som arbetar med leverantörsfakturor. Dock finns en särskild roll för de som kan göra utbetalningar vilken endast innehas av fyra användare men dessa kan även lägga upp/ändra leverantörsuppgifter. Totalt finns 15 användare med administratörsbehörighet (system), vilket innebär full access till Agresso, varav tio är Agressokonsulter och fem anställda på Region Halland. Behörigheten inkluderar att lägga upp och ändra behörigheter i Agresso. Behörigheten att skapa manuella bokföringsordrar i Agresso innehas av alla anställda på GAS samt alla ekonomer och controllers ute i verksamheten (totalt 127 användare). Det finns inga beloppsnivåer avseende behörighet att godkänna fakturor i Agresso. Det är i systemet uppsatt att fakturorna hanteras via ett workflow med tillhörande attestflöde som består av leveransgodkännande, kontering och beslutsattest. Behörigheten att leveransgodkänna fakturan är styrt av en roll i Agresso som alla användare får vid behörighetsupplägg. På fakturan anges en referens (begr.värde) som utgör en koppling mot respektive leveransgodkännare. Alla identiteter är sedan kopplade mot en konterare och kostnadsställe styr sedan vem som får fakturan för beslutsattest. I samband med leveransgodkännande sker kontroll av både pris och kvantitet. Avstämning av faktura ska ske mot följesedel eller dylikt manuellt men processen är ej systematiserad. Om fakturan ej stämmer avvisas den och hamnar i en särskild vy i Agresso (slussen), vilken ett team på GAS har behörighet till. Region Halland 13 av 32

17 Region Halland har 15 användare med högsta behörighet till Agresso (varav majoriteten är Agressokonsulter), vilket inkluderar att lägga upp och ändra behörigheter. I samband med granskningen framkom att åtminstone hälften av användarna inte längre behöver denna behörighet nu när Agresso övergått från projekt till förvaltning. Dessutom framkom att Agresso har ett standardinlogg (sysse), vilket innebär att spårning ej kan ske till en enskild användare om detta inlogg används. Vid uppsättningen av roller i systemet har det ej tagit hänsyn till huruvida behörigheten till vissa moment bör vara åtskilda för att säkerställa en god arbetsfördelning (så kallad segregation of duties ). Regionen saknar en matris som ska säkerställa att inte flera kritiska behörigheter kombineras för en och samma användare. Exempelvis kan totalt 31 användare lägga upp/ändra leverantörsuppgifter vilket är de medarbetare på GAS som arbetar med leverantörsfakturor. Dock finns en särskild roll för de som kan göra utbetalningar vilken endast innehas av fyra användare men dessa kan även lägga upp/ändra leverantörsuppgifter. Attest av leverantörsfakturor saknar beloppsgränser och styrs enbart på ansvar Upplägg/ändring av användare När en ny användare börjar på Region Halland fyller ansvarig chef i ett formulär. GAS HR-avdelning kontrollerar att formuläret är ifyllt av vederbörandes chef innan upplägg i lönesystemet sker. GAS HR skickar sedan via ärendehanteringssystemet Platina en begäran till systemsamordnaren för Agresso (som oftast är den som lägger upp behörigheter men även förvaltingsledaren för Agresso har åtkomst till Platina) att lägga upp den nyanställde som användare med behörigheten att leveransgodkänna i systemet. När detta är utfört skickas bekräftelse tillbaka till GAS HR. Underlag sparas i ärendehanteringssystemet och hos GAS HR. Om den nyanställde ska ha rollen som controller eller ekonom eller ska kunna beslutsattestera skickas ett tilläggsärende från per förvaltning utsedd person (representant i redovisningsnätverk) via ärendehanteringssystemet. Dock finns inga blanketter eller dylikt där det framgår vilka roller som finns i Agresso utan typ av efterfrågad behörighet anges endast i löptext. Systemsamordnaren för Agresso säkerställer att ärendet kommer från behörig person innan upplägg sker. Underlag sparas i ärendehanteringssystemet. Sammanställning över behöriga personer att godkänna nya användare finns i form av mailgrupp redovisningsnätverket (cirka 10 personer). För anställda på GAS sker en mer informell tilldelning av behörigheter genom muntliga förfrågningar och inga ärenden i ärendehanteringssystemet skapas. Om användare byter roll inom Region Halland har det beslutats att det ska hanteras via ärendehanteringssystemet men enligt uppgift i samband med granskningen har det hittills hanterats informellt utanför systemet. Ovan angivna rutiner gäller sedan våren Region Halland 14 av 32

18 Rutinen för tilldelning av behörigheter vad gäller anställda på GAS är informell och bör formaliseras. Även vad gäller övriga användare kan rutinen förstärkas då det av ärendehanteringssystemet ej tydligt framgår vilka behörigheter som finns och innebörden av dessa. Vi har vidare noterat att beslutad rutin ej följs i samband med ändringar Borttag av användare När en anställd slutar på Region Halland ska ansvarig chef begära borttag av användaren via ärendehanteringssystemet Platina. Processen uppges dock inte fungera tillfredsställande. I nuläget sker ej heller låsning av konton som varit inaktiva en viss period men Region Halland har diskuterat att eventuellt införa en rutin att ta ut listor från Agresso över användare som ej varit aktiva de senaste sex månaderna och inaktivera dessa. Det sker ingen periodvis genomgång av behörigheter i Agresso annat än att det årligen fattas beslut om beslutsattester i respektive nämnd eller av respektive förvaltningschef på delegation, se vidare information under attestreglemente nedan. Rutinen för borttagande av behörigheter är bristfällig då förvaltningarna ej alltid underrättar regionen centralt vilka behörigheter som ska tas bort. I nuläget sker ej heller låsning av konton som varit inaktiva en viss period men Region Halland har diskuterat att eventuellt införa en rutin att ta ut listor från Agresso över användare som ej varit aktiva de senaste sex månaderna och inaktivera dessa. Utöver det sker ingen periodvis genomgång av behörigheter i Agresso Attestreglemente Region Halland har en attestordning fastställt av regionstyrelsen som gäller från och ett år framåt. Kontroller som finns fastställda är attest för leveransgodkännande (innebär för en vara en kontroll av att den på fakturan angivna varan mottagits och att såväl antal som kvalitet stämmer överens med fakturans uppgifter och för en tjänst en kontroll av att arbetet utförts och att angivna komponenter har erhållits), attest för kontering (innebär att konteringen utförts enligt regionens kodplan och att rätt momskontering har skett), beslutsattestant (bekräftar med åtgärd i det elektroniska fakturaflödet alternativt med sin namnteckning att alla tidigare led i rutinen har åtgärdats och att de kontrollåtgärder som åligger honom/henne har utförts). Huvudregeln är att ingen person får hantera en transaktion från början till slut. Enligt attestordningen gäller att attest inte får utföras av den som själv ska ta emot betalningen. Detsamma gäller kostnader av personlig karaktär. Enligt attestordningen ska varje nämnd upprätta en aktuell förteckning över utsedda beslutsattestanter. Förteckningen ska innehålla uppgifter angående vilka personer som utsetts till attestanter per organisationsenhet. Inför varje kalenderår ska rapport tas ut från ekonomisystemet över alla attestanter Förteckningen är att betrakta som räkenskapsmaterial och ska sparas i 10 år. Region Halland 15 av 32

19 Det är verksamhetens ansvar att hålla förteckningar över utsedda attestanter uppdaterade. Underlag avseende gällande beslutattestanter, ersättare vid frånvaro och arbetsledare (överordnad chef dit eventuella egna kostander går för attest) hämtas från Agresso centralt och distribueras ut till respektive nämnd/förvaltning men formell återrapportering från respektive nämnd/förvaltning sker ej. Fullständighet i den årliga kontroll som utförs med avseende på att förteckning över utsedda beslutsattestanter hålls uppdaterade kan ej säkerställas då respektive nämnd/förvaltning ej återrapporter centralt när kontroll har utförts Manuella bokföringsordrar Manuella bokföringsordrar skapas av de flesta användarna via Excelmall i modulen Excelerator, vilket resulterar i en filinläsning till Agresso. Användare kan även registrera manuella bokföringsordrar direkt i Agresso. Det läses även in bokföringsordrar från andra system. Det finns ingen attestskyldighet på bokföringsordrar men det är möjligt att skicka dem i attestflöde. Ofta används bokföringsordrarna för rättelser eller fördelningsnyckel. Manuella bokningar kan även skapa kundfakturor, leverantörsfakturor, reverseringar samt in- och utbetalningar. Behörigheten att skapa manuella bokföringsordrar i Agresso innehas av alla anställda på GAS samt alla ekonomer och controllers ute i verksamheten (totalt 127 användare). Det sker ingen uppföljning eller kontroll i efterhand av upprättade manuella bokföringsordrarna. Viss uppföljning uppges dock ske indirekt i samband med månadsuppföljningen på respektive förvaltning. Samtliga anställda på GAS samt alla ekonomer och controllers ute i verksamheten (totalt 127 användare) kan skapa manuella bokföringsordrar. Det krävs inget godkännande av någon ytterligare person. Det finns ingen uppföljande eller kompenserande kontroll avseende upprättade manuella bokföringsordrar för att säkerställa dessa avseende riktighet och validitet. Bokföringsordrar används dock främst för interna fördelningar, rättelser och periodiseringar. I fall där inga överenskommelser finns (eller att fördelning sker via filintegration från försystem) finns funktionaliteten i Agresso att kunna lägga bokföringsordern i ett attestflöde med samma regelverk som för leverantörsfakturor Berendsen Externa tvättjänster Berendsen är en extern leverantör som utför tvättjänster åt Region Halland. De flesta av Region Hallands förvaltningar använder Berendsens tjänster. Respektive förvaltning beställer löpande de tvättjänster de behöver. Berendsen sammanställer månatligen alla beställningar och skickar faktura. Fil erhålles från Region Halland 16 av 32

20 tvättföretaget med debitering per beställare (ansvarsenhet) och läses in i Agresso och fördelas på de olika förvaltningarna; kostnaderna motkonteras balanskonto. Anställd på GAS går igenom fakturan och kontrollerar denna mot filen. Fakturan konteras mot balanskontot som ska vara noll vid månadens slut. Fakturan attesteras av ansvarig för regionens redovisning som ej har möjlighet att bedöma riktigheten i fakturan. Respektive kostnadsställe uppges dock kontrollera debitering mot beställning. Systemförvaltaren för Berendsen erhåller i dagsläget filen via mail; framgent kommer filer av det här slaget komma via ftp-server istället. Filen läggs efter viss kontroll med avseende på kostnadsställen etc. manuellt i mapp i BizTalk. Förfarandet som beskrivs nedan är det samma för alla system: Alla filer som läses in från försystem till Agresso går via BizTalk. På gemensam server finns en mappstruktur för BizTalk per system där filer antingen läggs manuellt eller per automatik från försystem. BizTalk kontrollerar namnsättningen och om denna är korrekt hämtas filen upp per automatik och sparas i mapp på Agressoservern (Data import). BizTalk gör om formatet på filen (från text till XML-format), skapar korrekt kostnadsställe (det finns en överssättningstabell som översätter kostnadsställe från tidigare fem positioner som användes i det gamla systemet MEA till sex positioner som används i Agresso) samt lägger till ansvar. Totalt 10 personer har möjlighet att redigera översättningstabellen. I Agresso finns serverjobb upplagda som ligger och söker efter vissa filnamn och när dessa filer har sparats i mappen på servern hämtas de upp och läses, om de ej innehåller några valideringsfel, in i Agresso per automatik. Om filen av någon anledning skulle innehålla fel hamnar den i en rättningssluss (särskild vy underhåll av försystem transaktioner ) beroende på typ av fil. Fel kan exempelvis vara fel i konto, organsation, uppdrag, motpart, projekt eller liknande. För varje konto anges en konteringsregel kring information som krävs; det är denna information som valideras i samband med inläsningen. Om/när det hamnar en fil i vyn erhåller ansvariga personer ett mail (systemsamordnaren för Agresso, systemförvaltaren för Agresso och ansvarig för regionens redovisning). I princip alla på GAS och ekonomerna ute på respektive förvaltning har dock behörighet till rättningsslussen. Om något är fel kontaktas den ansvariga för systemet och rättning sker vanligen manuellt i Agresso av den som mottagit mailet. Om det är många fel får rättningen göras i försystemet och ny fil läsas in i Agresso. Utöver ovan angivna valideringskontroll sker ingen kontroll av att exempelvis antal rader och totalbelopp i från försystemet erhållen fil och i Agresso inläst fil överensstämmer. Inför varje månadsslut gör systemsamordnaren för Agresso en fullständighetskontroll av att samtliga filer som borde blivit inlästa i Agresso blivit så. Alla inlästa filera anges i en Excel-checklista innehållande samtliga filer som ska erhållas under en månad. Checklistan sparas i gemensam mapp på servern men signeras ej eller dylikt efter utförd kontroll. Det finns även en rapport i Agresso som visar vilka försystem som lästs in i Agresso under dagen vilken uppges följas upp löpande. Vidare skulle anställda på Region Halland 17 av 32

21 GAS respektive anställda ute på respektive förvaltning enligt uppgift vid granskningen återkomma om fil ej lästs in. Samma fil från leverantören kan läsas in flera gånger till Agresso. Region Halland har en bra fullständighetskontroll av att samtliga filer som borde blivit inlästa från försystem under månaden blivit så. Utförd kontroll dokumenteras i en Excel-checklista, dock sker ingen signering eller dylikt som visar att och när fullständighetskontrollen är utförd. Det sker ingen kontroll av att exempelvis antal rader och totalbelopp i från försystemet erhållen fil och i Agresso inläst fil överensstämmer med avseende på riktighet och fullständighet. Då filen går via BizTalk bör även den fil som erhålls från BizTalk ingå i kontrollen Mediq Externa förrådsstjänster sjukvårdsmaterial Mediq är en extern leverantör av förrådstjänster sjukvårdsmaterial som genererar samlingsfaktura för beställda tjänster. De flesta av Region Hallands vårdförvaltningar använder Mediqs tjänster och beställer löpande efter behov. Leverantören Mediq hanteras på samma sätt som Berendsen (se beskrivning ovan). Det är samma person på GAS som kontrollerar alla de tre stora leverantörerna Berendsen, Mediq och Apoteket Farmaci. BizTalk gör en hämtning av fil från Mediq server. För kontroller avseende filinläsningen till Agresso se under Berendsen. Se under Berendsen ovan då dessa iakttagelser gäller filer från samtliga tre externa leverantörer Apoteket farmaci Extern leverantör läkemedelsprodukter Apoteket farmaci är en extern leverantör av läkemedelsprodukter som genererar samlingsfaktura för beställda tjänster. De flesta av Region Hallands vårdförvaltningar använder Apoteket farmacis tjänster och beställer löpande efter behov. Leverantören Apoteket farmaci hanteras på samma sätt som Berendsen (se beskrivning ovan). Det är samma person på GAS som kontrollerar alla de tre stora leverantörerna Berendsen, Mediq och Apoteket Farmaci. Från Apoteket farmaci hämtar anställd på GAS filen från leverantören (det behövs ett speciellt zip-program) och lägger den manuellt i mapp i BizTalk. För kontroller avseende filinläsningen till Agresso se under Berendsen. Region Halland 18 av 32