Riskbedömning av. Intern kontroll. Granskningsrapport nr 16/2014 mars Revisionskontoret

Transkript

1 Revisionskontoret Riskbedömning av Intern kontroll Granskningsrapport nr 16/2014 mars 2015 Revisionskontoret Postadress: Revisionskontoret, J A Hedlunds väg 5, Kristianstad Besöksadress: Ambulansvägen, Hus 19, Centralsjukhuset Kristianstad Telefon (växel): Fax: Organisationsnummer: Internet:

2 2(17) Innehållsförteckning Bilaga 2 Bedömningar Intern kontroll Sammanfattning Bakgrund och syfte Revisionsfrågor Revisionskriterier Avgränsning Metod och genomförande Resultat av granskningen SUS (Skånes universitetssjukvård) Skånevård Kryh Skånevård Sund Medicinsk service Projekt Hälsostaden Patientnämndens kansli Regionservice Skånetrafiken Kultur Skåne Koncernkontoret/central förvaltning Business AB ClinTrials Skåne AB Folktandvården Skåne AB Malmö Opera och Musikteater AB Skånes Dansteater AB Skåne Care AB Innovator Skåne AB SkåNet AB Teknopol AB Bilaga 1 - Obligatoriska kontrollområden 2014 Bilaga 2 Bedömningar Intern kontroll 2014

3 3(17) 1. Sammanfattning En god intern kontroll kännetecknas av bra system och rutiner men också av att den bedrivs inom viktiga områden som valts utifrån en grundligt genomförd riskanalys. Vid behov skall den interna kontrollen leda till att de åtgärder som krävs för att säkerställa organisationens måluppfyllelse genomförs. Granskningen av intern kontroll har omfattat s förvaltningar och majoritetsägda bolag. En samlad bedömning visar att arbetet med intern kontroll inom är på ungefär samma nivå som förra året. Problemen med att uppnå viktiga mål för verksamhet och ekonomi, särskilt vad avser sjukvårdsförvaltningarna, kvarstår och anpassningen till den nya förvaltningsorganisationen (Skånevård 2.0) förefaller i vissa fall ha inneburit att arbetet med att utveckla den interna kontrollen har stagnerat. Totalt har 19 förvaltingar/bolag ingått i granskningen. Av dessa har flertalet, 12 st, markerats med GRÖNT medan 6 har fått GULT och 1 har fått RÖTT. Det bolag som bedömts vara RÖTT har haft ett budgetöverskridande på mer än 2 % under 2013 och 2014 vilket enligt beslut i revisorskollegiet skall resultera i rödmarkering. Varken förvaltningarna SUS (Skånes universitetssjukvård), Skånevård Sund eller Skånevård Kryh uppnår GRÖN markering vilket främst beror på att tillräckliga åtgärder inte har vidtagits med anledning av den bristande måluppfyllelsen som finns i verksamheterna. Bristerna är oftast återkommande och tidigt kända under året varför det är viktigt att kraftfulla åtgärder sätts in tidigt. Regionstyrelsens uppsiktsplikt är av stor betydelse för att den interna kontrollen skall kunna utvecklas och förbättras. Initierade kontrollaktiviteter och åtgärder för att komma tillrätta med de verksamheter som inte klarat sin måluppfyllelse har åter brustit avseende effektivitet och relevans. Det är viktigt att den interna kontrollen blir en integrerad del av verksamhetsplanering och utveckling samt en komponent i styr- och ledningssystemet och ett reellt hjälpmedel för att verksamheter med bristande måluppfyllelse skall kunna uppnå de viktigaste målen för både ekonomi och verksamhet. I denna del har effekterna av vidtagna åtgärder hittills inte fått önskvärd verkan på den övergripande måluppfyllelsen. Riskbedömningar: Sammanfattande bedömning: Risknivå GRÖN innebär att de aktuella verksamheterna bedöms ha goda förutsättningar att uppnå en intern kontroll. Kopplat till revisionsberättelsens ansvarsprövning innebär denna risknivå att inga särskilda kommentarer är påkallade vad avser system och rutiner för intern kontroll. Följande förvaltningar/bolag bedöms ha risknivå GRÖN: Medicinsk service, Patientnämndens kansli, Regionservice, Skånetrafiken, Kultur Skåne, Business (BRS), Folktandvården Skåne AB, Malmö Opera och Musikteater AB, Skånes Dansteater AB, SkåNet AB, Skåne Care AB och Teknopol AB. Sammanfattande bedömning: Risknivå GUL innebär att de aktuella verksamheterna bedöms arbeta aktivt med att uppnå en intern kontroll men att en del återstår innan man nått fram. Kopplat till revisionsberättelsens ansvarsprövning innebär denna risknivå att kommentarer och påpekanden kan bli aktuella vad avser system och rutiner för intern kontroll.

4 4(17) Följande förvaltningar/bolag bedöms ha risknivå GUL: Skånes universitetssjukvård (SUS), Skånevård Kryh, Skånevård Sund, Projekt Hälsostaden, Koncernkontoret/Central förvaltning och Innovator AB. Sammanfattande bedömning: Risknivå RÖD innebär att den aktuella verksamheten inte anses ha gjort tillräckligt för att uppnå en intern kontroll och att det återstår en hel del innan man nått fram. Kopplad till revisionsberättelsens ansvarsprövning innebär denna risknivå att kritik av olika grad kan bli aktuell vad avser system och rutiner för intern kontroll. Följande förvaltningar/bolag bedöms ha risknivå RÖD: ClinTrials AB

5 5(17) 2. Bakgrund och syfte Revisionskontoret har på uppdrag av Regionens revisorer, genomfört en riskbedömning av den interna kontrollen inom s förvaltningar och majoritetsägda bolag. Kontaktperson från revisorskollegiet har varit Gert Thornblad, medan Eva Tency Nilsson och Jan-Åke Leijon har varit projektledare från revisionskontoret. Intern kontroll kan övergripande definieras som en process där såväl den politiska som den professionella ledningen samt övrig personal samverkar för att med rimlig säkerhet kunna uppnå följande mål: Ändamålsenlig och kostnadseffektiv verksamhet Tillförlitlig finansiell rapportering och information om verksamheten Efterlevnad av tillämpliga lagar, föreskrifter, riktlinjer m m Syftet med intern kontroll är således att säkra en effektiv förvaltning och att undvika att allvarliga medvetna eller omedvetna fel begås. Enligt kommunallagen skall varje nämnd ansvara för att verksamheten bedrivs i enlighet med de mål och riktlinjer som fullmäktige har beslutat. De skall också se till att den interna kontrollen är tillräcklig, dvs om ledning och styrning, uppföljning och kontroll är tillräcklig, samt att respektive verksamhet bedrivs på ett i övrigt tillfredsställande sätt. Regionstyrelsen skall med utgångspunkt från nämndernas uppföljningsrapporter både utvärdera Region Skånes samlade system för intern kontroll och informera sig om hur den interna kontrollen fungerar i s majoritetsägda bolag. Revisorerna prövar om den interna kontrollen som görs inom nämnderna och bolagen är tillräcklig. s revisorer har beslutat att frågor som rör ledning, styrning och intern kontroll skall ges en central roll i granskningsarbetet. Revisionen skall bedöma statusen på den interna kontrollen med utgångspunkt från nivåerna GRÖN, GUL och RÖD enligt samma princip som tidigare år. Risknivå GRÖN innebär att den aktuella verksamheten bedöms ha goda förutsättningar att uppnå en intern kontroll. Kopplad till revisionsberättelsens ansvarsprövning innebär denna risknivå att inga särskilda kommentarer är påkallade vad avser system och rutiner för intern kontroll. Risknivå GUL innebär att den aktuella verksamheten bedöms arbeta aktivt med att uppnå en intern kontroll men att en del återstår innan man nått fram. Kopplad till revisionsberättelsens ansvarsprövning innebär denna risknivå att kommentarer och påpekanden kan bli aktuella vad avser system och rutiner för intern kontroll. Risknivå RÖD innebär att den aktuella verksamheten inte anses ha gjort tillräckligt för att uppnå en intern kontroll och att det återstår en hel del innan man nått fram. Kopplad till revisionsberättelsens ansvarsprövning innebär denna risknivå att kritik av olika grad kan bli aktuell vad avser system och rutiner för intern kontroll. Revisorerna har därutöver beslutat ( ) att om en granskad verksamhet visar ekonomiskt underskott om minst två procent två år i rad eller visar ekonomiskt underskott tre år i rad inträder per automatik rödmarkering. Beslutet gäller från verksamhetsåret 2013.

6 6(17) I den följande framställningen kommer fokus att ligga på systemen och rutinerna för att säkerställa en tillräcklig ledning och styrning, uppföljning och kontroll. En välfungerande intern kontroll kännetecknas av att den bygger på och bedrivs inom områden som valts utifrån en väl genomförd riskanalys samt att den leder till att nödvändiga åtgärder vidtas för att säkerställa organisationens måluppfyllelse. Bedömningen av resultatet i stort är dock av översiktlig karaktär. I såväl revisionsberättelser som granskningsrapporter har revisorerna under många år uppmärksammat problem som är kopplade till arbetet med intern kontroll. Intern kontroll, styrning och ledning rymmer ofta en förbättringspotential. I Reglemente för god hushållning och intern kontroll tydliggörs frågan om ansvar och befogenheter samt att kontrollen skall omfatta både ekonomi- och verksamhet. Detta kopplar på ett naturligt sätt samman intern kontroll med god ekonomisk hushållning. Tillämpningsanvisningar har antagits och en särskild skrivelse utgår årligen till samtliga förvaltningschefer där den praktiska hanteringen läggs fast. Resultatet av granskningen utgör en del i revisionens årliga ansvarsprövning men skall även ses som hjälp och stöd till förvaltningarnas egna arbeten i dessa frågor. Det är således först i revisionsberättelsen som revisorerna bedömer hur styrelser och nämnder har hanterat den interna kontrollen inom sina respektive ansvarsområden Revisionsfrågor Övergripande gäller att bedöma risknivån på den interna kontrollen inom respektive förvaltning/bolag. Specifikt har följande frågor använts som utgångspunkt vid enkäter, intervjuer och diskussioner. 1. Beskriv processen för hur arbetet med framtagande av planen för intern kontroll, inkluderande riskanalysen, bedrivits och vem som, på olika nivåer, fattat beslut om/fastställt denna. 2. Redogör för aktörerna och deras respektive roller och ansvar beträffande vem/vilka som genomför det interna kontrollarbetet på olika nivåer. 3. Beskriv arbetsgången för hur information/kommunikation sker inom organisationen och hur återrapportering sker på olika nivåer. 4. Ge exempel på åtgärder som eventuellt vidtagits med anledning av revisionens tidigare granskningar inom detta område. 5. Ge exempel på åtgärder som vidtagits med hänsyn till resultatet av det interna kontrollarbetet. 6. Ge exempel på hur arbetet med intern kontroll har bidragit till organisationens måluppfyllelse.

7 7(17) 7. Vilka idéer finns när det gäller ytterligare utveckling av arbetet med intern kontroll? (ge exempel) Revisionskriterier Kommunallagens bestämmelser om intern kontroll s Reglemente för god hushållning och intern kontroll God sed och praxis inom området med utgångspunkt från COSO-modellen (ett internationellt vedertaget ramverk för utvärdering och utveckling av intern kontroll) 3. Avgränsning Denna rapport redovisar gjorda iakttagelser och därtill kopplade slutsatser utifrån svaren på en utsänd enkät samt vad som framkommit vid intervjuer och samtal med berörd personal på granskade förvaltningar och bolag. Granskningen berör i första hand systemen för att säkerställa en tillräcklig ledning och styrning, uppföljning och kontroll. Beredningarna för medborgardialog har inte upprättat någon intern kontrollplan och har därför inte varit föremål för bedömning. En god intern kontroll kännetecknas av att den bedrivs inom viktiga områden utvalda vid en grundligt genomförd riskanalys och som vid behov leder till att åtgärder vidtas för att säkerställa organisationens måluppfyllelse. Bedömningen av resultatet i stort är dock av översiktlig karaktär och sker företrädesvis i slutsatser och avslutande resonemang. Iakttagelser och slutsatser tar sikte på förhållandet till och med december Metod och genomförande Granskningen har inletts med en enkät, som har skickats till samtliga förvaltningar/bolag. Av de 19 granskade verksamheterna har det i flertalet fall handlat om uppföljning av tidigare års bedömningar. Under 2013 ägde en omfattande omorganisation rum vilken bl a resulterade i att sjukvården delades in i fyra förvaltningar nämligen SUS, Skånevård Sund, Skånevård Kryh samt Medicinsk service. Detta innebär att flera nya förvaltningar har tillkommit som inte direkt kan jämföras med de bedömningar som gällde för Utifrån sammanställningen av inkomna svar har sedan aktuella förvaltningar och bolag kontaktats för särskild analys och bedömning. Vad som framkommit vid enkäter, intervjuer och diskussioner har slutligen sammanfattats och bedömts i relation till COSO-modellens (se nedan) fem sinsemellan beroende komponenter kontrollmiljö, riskanalys, kontrollaktiviteter, information/kommunikation samt tillsyn av systemet. För vart och ett av COSO-modellens olika delområden har granskningsobjekten bedömts på en femgradig skala (bristfällig, otillräcklig,, tillfredsställande och god). Vid den

8 8(17) slutliga riskbedömningen har en sammanvägning gjorts, vilken legat till grund för markering som GRÖN, GUL eller RÖD (se avsnitt 2). COSO-modellens fem komponenter Kontrollmiljön innefattar frågeställningar om ledningens mandat, engagemang och tydlighet ifråga om styrning och kontroll. Riskanalys fokuserar på hur risker för verksamheten identifieras, värderas och hanteras. Kontrollaktiviteter avser relevans och effektivitet i de åtgärder som vidtagits för att förebygga och förhindra negativa avvikelser. Information och kommunikation berör hur mandat för beslut om åtgärder har fördelats och hur information om mål, strategi, åtgärder, resultat etc. har kommuncerats internt inom organisationen. Tillsyn av systemet pekar på det sätt som organisationen arbetar med att utvärdera och utveckla styrsystemet. 5. Resultat av granskningen Nedan redovisas resultatet av granskningen med utgångspunkt från respektive granskningsobjekt. Slutsatser och bedömningar redovisas i direkt anslutning till aktuellt område. Vi vill lyfta fram att den slutliga riskbedömningen, GRÖN, GUL eller RÖD, inte skall ses lösryckt ur sitt sammanhang utan betraktas tillsammans med de kompletterande kommentarerna och dessutom relateras till den granskade organisationen som sådan. Detta är särskilt angeläget när bedömningsskalan endast omfattar tre steg, vilka då samtliga inrymmer ganska stora variationer. Jämförelser av bedömningar mellan olika organisationer blir inte heller relevanta om man inte tar hänsyn till faktorer som storlek, omfattning och komplexitet m m. För olika organisationer kan nämligen krävas varierande insatser för att uppnå en nivå på den interna kontrollen. Slutligen bör det poängteras att färgsättningen bygger på en definition där GRÖN inte nödvändigtvis behöver vara samma sak som bra. Definitionen verksamheten bedöms ha goda förutsättningar att uppnå en intern kontroll kan innebära att den interna kontrollen är föredömlig men också att den är godtagbar men inte mer. Vid en samlad bedömning upplever vi att arbetet med den interna kontrollen inom Region Skåne är i nivå med förra året. Problemen med att nå mål för ekonomi och verksamhet kvarstår. Detta gäller framförallt de tre sjukvårdsförvaltningarna SUS, Skånevård Sund och Skånevård Kryh. Den nya sjukvårdsorganisationen, Skånevård 2.0, är en genomgripande förändring som innebär att jämförelser med föregående år i viss mån blir osäkra. Revisorernas granskning av Förvaltningarnas förmåga att klara sina mål visar på stora brister beträffande måluppfyllelsen för såväl SUS som Skånevård Sund och Skånevård Kryh. Vad gäller valet av kontrollområden i den intern kontrollplanen kan riskanalyserna ofta utvecklas ytterligare.

9 9(17) Av de 19 förvaltningar/bolag som varit föremål för bedömning har 12 markerats med GRÖNT, 6 med GULT och 1 med RÖTT. Således har mer än hälften bedömts vara GRÖNA. Beroende på att tillräckliga åtgärder inte har vidtagits med anledning av den bristande måluppfyllelsen som finns i verksamheterna har ingen av de tre nya sjukvårdsförvaltningarna (SUS, Skånevård Sund och Skånevård Kryh) bedömts uppfylla kraven för att bli GRÖNA. Att regionstyrelsen fullgör sin uppsiktsplikt på ett riktigt sätt är viktig för utvecklingen av och möjligheten att förbättra den interna kontrollen. Det kan konstateras att systemen för att säkerställa en tillräcklig ledning, styrning, uppföljning och kontroll har fortsatta brister för den centrala nivån. Grundläggande formalia vad gäller minimikrav på de interna kontrollplanerna avseende exempelvis framtagande, innehåll och rapportering uppfylles för alla de 19 granskade verksamheterna. 5.1 SUS (Skånes universitetssjukvård) Förutom det som tidigare utgjorde Skånes universitetssjukhus ingår sedan omorganisationen även en del av Primärvården Skåne i verksamheten. Den interna kontrollen har ungefär samma kvalitet som föregående år. Arbetet med planen för intern kontroll utgår i hög grad från det balanserade styrkortet. Det löpande prognos- och uppföljningsarbetet har visat att flera av målen i uppdraget inte uppfylls. Detta gäller både de verksamhetsmässiga och ekonomiska målen. Kontrollmiljön, t ex i termer av ledningens engagemang och organisationskulturen, bedöms liksom organisationens riskanalys vara. Eftersom inte tillräckliga åtgärder vidtagits för att komma tillrätta med återkommande och tidigt kända budgetöverskridanden och andra brister i måluppfyllelsen bedöms kontrollaktiviteterna, i form av följsamhet mot den beslutade planen för intern kontroll, vara otillräckliga. Information/kommunikation och tillsyn av systemet bedöms vara på en nivå. Sammantaget leder detta till följande bedömning för SUS: Risknivå GUL (2013 GUL) 5.2 Skånevård Kryh Skånevård Kryh bildades genom sammanläggning av de tidigare förvaltningarna Centralsjukhuset Kristianstad (CSK), Hässleholms sjukvårdsområde, Lasarettet i Ystad, Habilitering och hjälpmedel samt del av Primärvården Skåne. Sammanfattningsvis har den interna kontrollen inom Kryh en i huvudsak likvärdig kvalitet vad avser systemen för att säkerställa en tillräcklig ledning och styrning, uppföljning och kontroll. Arbetet bedrivs på likartat sätt jämfört med vad som föregående år gällde för de olika delarna som numera ingår i förvaltningen. Det finns en fortsatt förbättringspotential när det gäller förvaltningens arbete att förbättra måluppfyllelsen avseende både verksamhet och ekonomi och för att den interna kontrollen skall utvecklas till att bli ett ännu bättre verktyg inom utvecklings- och förändringsarbetet.

10 10(17) Habiliterings- och hjälpmedelsverksamheten gör på uppdrag av Habiliterings- och hjälpmedelsnämnden en egen uppföljning av den interna kontrollen och även denna är i nivå med föregående år eftersom samtliga delar bedöms vara tillfredsställande. Den interna kontrollen inom Skånevård Kryh bedöms vad gäller riskanalysen vara. Kontrollaktiviteterna bedöms fortsatt vara otillräckliga beroende på att vidtagna åtgärder med anledning av återkommande budgetöverskridanden och andra brister i måluppfyllelsen inte har fått avsedd effekt. Information och kommunikation bedöms vara liksom kontrollmiljön. Slutligen bedöms tillsynen av systemet vara. Sammantaget leder detta till följande bedömning för Skånevård Kryh: Risknivå GUL. De delar som numera, genom sammanläggningen, ingår i verksamheten bedömdes föregående år som GULA med undantag för Habilitering och hjälpmedel som var GRÖN. För den interna kontroll som på uppdrag av Habiliterings- och hjälpmedelsnämnden bedrivs av Division habilitering och hjälpmedel är risknivån fortsatt GRÖN. 5.3 Skånevård Sund Förvaltningen Skånevård Sund bildades 2013 genom sammanläggning av de tidigare förvaltningarna Helsingborgs lasarett, Ängelholms Sjukhus, Lasarettet i Landskrona, Lasarettet Trelleborg, del av Primärvården Skåne och Psykiatri Skåne. Information kring intern kontroll sprids ut till medarbetarna genom Chefsnytt som ges ut en gång per månad till chefer på alla nivåer. Likaså ges Divisionsnytt ut inom samtliga divisioner. På grund av det mindre bra ekonomiska utfallet har berörda divisioner ombetts att ta fram handlingsplaner för att minska kostnaderna. Planer har presenterats och genomförts men dock inte i den utsträckning som det funnits behov av. Tillräckliga åtgärder har inte vidtagits med anledning av det stora budgetöverskridande som finns i verksamheten och som tillika varit återkommande under åren. Den interna kontrollen får anses vara avseende kontrollmiljö, information/kommunikation, riskanalys och tillsyn av systemet. Det finns en förbättringspotential vad gäller ledningens engagemang och förvaltningens organisationskultur för att nå beslutade mål. Kontrollaktiviteter bedöms vara på en bristfällig nivå då förvaltningen inte har lyckats fånga de för måluppfyllelsen kritiska framgångsfaktorerna såsom t ex ekonomi i balans. Sammantaget leder detta till följande bedömning för Skånevård Sund: Risknivå GUL. De delar som numera, genom sammanläggningen, ingår i verksamheten bedömdes 2013 som GULA förutom Psykiatri Skåne som var GRÖN. 5.4 Medicinsk service Medicinsk service, som består av de båda divisionerna IT och medicinsk teknik samt laboratoriemedicin, är en nybildad förvaltning som innefattar bl a den tidigare förvaltningen Labmedicin Skåne. Det kan konstateras att verksamheten har en oförändrad kvalitet jämfört med den som gällde för Labmedicin Skåne vad avser system för att säkerställa en tillräcklig ledning och styrning,

11 11(17) uppföljning och kontroll. Förvaltningen har en väl genomarbetad intern kontrollplan som omfattar både verksamhet och redovisning. Flera granskningar som genomförts av revisorerna visar dock på brister i IT-verksamheten. Den interna kontrollen för medicinsk service bedöms vara avseende samtliga kontrollmoment det vill säga kontrollmiljön, information/kommunikation, tillsynen av systemet, riskanalys samt kontrollaktiviteterna. Sammantaget leder detta till följande bedömning för Medicinsk service: Risknivå GRÖN (Labmedicin Skåne bedömdes 2013 som GRÖN). 5.5 Projekt Hälsostaden Projektet Hälsostaden består av en sjukhusdel med specialistvård indelad i slutenvård och medicinmottagning. Till detta hör akutmottagning parallellt med primärvård är det första hela verksamhetsåret då projekt Hälsostaden formellt startade 1 okt Internkontrollplanen är antagen av Hälsostadens ledningsgrupp och består av de tio obligatoriska områdena samt sex egna kontrollpunkter. Uppföljning sker två gånger per år i samband med delårsbokslut och årsbokslut. Vid styrgruppsmöte den 29 september 2014 informerade förvaltningschefen styrgruppen om det ekonomiska läget. Utgångspunkten för 2014 ett underskott på -28 Mkr och framtagen handlingsplan som visade på 16,8 Mkr men nuvarande ökade flöde från Helsingborg har lett till att årsprognosen måste justeras till 19 Mkr. Styrgruppen ger förvaltningschefen i uppdrag att bibehålla beredskap och bemanning för att avlasta Helsingborgs lasarett fram till årsskiftet. Den interna kontrollen beträffande riskanalys, information/kommunikation och kontrollmiljön, t ex i form av ledningens engagemang och hur kontrollarbetet har organiserats, bedöms som. Bedömningen är vidare att de kontrollaktiviteter som finns är otillräckliga för att nå förvaltningens mål för Då planen för intern kontroll innehåller flera egna kontrollpunkter tillsammans med de obligatoriska görs bedömningen att tillsynen av systemet är. Sammantaget leder detta till följande bedömning för Projekt Hälsostaden: Risknivå GUL (2013 gjordes ingen bedömning) 5.6 Patientnämndens kansli Nivån på den interna kontrollen är i huvudsak densamma som Den interna kontrollplanen är framtagen i samarbete mellan personal, nämnd och GSF och fastställd av Patientnämnden. Utgångspunkten är att arbetet med intern kontroll skall vara ett stöd för att uppnå verksamhetens mål. Nivån på den interna kontrollen vid Patientnämndens kansli bedöms vad gäller kontrollmiljön, vara god. Vad avser riskanalys, kontrollaktiviteter, information/kommunikation samt tillsynen av systemet bedöms dessa som tillfredsställande. Sammantaget leder detta till följande bedömning för Patientnämndens kansli: Risknivå GRÖN (2013 GRÖN)

12 12(17) 5.7 Regionservice Kvaliteten på den interna kontrollen är likartad jämfört med föregående år. Planen för intern kontroll följs upp varje månad tillsammans med andra mål och ekonomi inom varje enhet/division på Regionservice. En första återrapportering av detta arbete har skett till Fastighets- och servicenämnden per september Regionservice bedöms uppnå en tillfredsställande nivå inom kontrollmiljö, riskanalys, information/kommunikation och tillsyn av systemet samt en nivå vad avser kontrollaktiviteter. Sammantaget leder detta till följande bedömning för Regionservice: Risknivå GRÖN (2013 GRÖN) 5.8 Skånetrafiken Skånetrafiken har fortsatt arbetet med att utveckla systemen för att säkerställa en tillräcklig ledning och styrning, uppföljning och kontroll. Uppföljningen av den interna kontrollen är till viss del integrerad i förvaltningens övriga uppföljningsrutiner och internkontrollplanen utgör ett hjälpmedel för att nå de viktigaste målen i verksamheten. Den interna kontrollen bedöms vara tillfredsställande avseende samtliga kontrollmoment det vill säga kontrollmiljön, information/kommunikation, tillsynen av systemet, riskanalys samt kontrollaktiviteterna. Sammantaget leder detta till följande bedömning för Skånetrafiken: Risknivå GRÖN (2013: GRÖN) 5.9 Kultur Skåne Nivån på den interna kontrollen är densamma som förra året. Då Regionens konstsamling är omfattande har en ny fördjupad kontrollpunkt avseende registerhållningen tillkommit i årets kontrollplan. Kontrollmiljön bedöms som tillfredsställande. Information/kommunikation och tillsyn av systemet bedöms som fortsatt acceptabla. När det gäller såväl riskanalysen som kontrollaktiviteterna bedöms dessa som tillfredsställande då förvaltningen fokuserar på de risker som är viktiga för verksamheten utifrån genomförd riskbedömning. Sammantaget leder detta till följande bedömning för Kultur Skåne: Risknivå GRÖN (2013:GRÖN) 5.10 Koncernkontoret/central förvaltning Planen för intern kontroll baseras på föregående års arbete och utgörs av de obligatoriska punkterna kompletterade med vissa andra punkter framtagna av koncernledningen. Eftersom förvaltningscheferna numera ingår i koncernledningen har kopplingen till förvaltningarna

13 13(17) blivit tydligare. Respektive direktör (ekonomi- service- och personaldirektör) ansvarar för att kontrollerna genomförs och rapporteras samt att eventuella förbättringsåtgärder vid behov vidtas. Verksamheten fokuserar på att välja kontrollåtgärder som är viktiga för att hjälpa verksamheten att nå sina mål. Att knyta samman arbetet med intern kontroll med budget- och uppföljningsprocesserna är en viktig fråga för att uppnå bästa möjliga effekt av insatserna. Ambitionen är att utveckla kontrollarbetet tydligare mot verksamhet, uppföljning, målrelaterad ersättning och verksamhetsledningssystem. Regionstyrelsens uppsiktsplikt är av stor betydelse för att den interna kontrollen skall kunna utvecklas och förbättras. Initierade kontrollaktiviteter och åtgärder för att komma tillrätta med de verksamheter som inte klarat sin måluppfyllelse har åter brustit avseende effektivitet och relevans. Åtgärder krävs för att verksamheterna skall kunna komma tillrätta med återkommande brister i måluppfyllelsen både vad gäller ekonomi och verksamhet. Sammantaget bedöms den interna kontrollen vara vad avser kontrollmiljö, riskanalys, kommunikation/information och tillsyn av systemet. Kontrollaktiviteterna bedöms dock otillräckliga. Beträffande den interna kontroll som genomförs av avdelningen för regional utveckling och Näringsliv Skåne på uppdrag av Regionala tillväxtnämnden kan konstateras att kvaliteten på är likartad jämfört med året innan. Sammantaget leder detta till följande bedömning för den Koncernkontoret/Central förvaltning: Risknivå GUL (2013:GUL). För den interna kontroll som på uppdrag av Regionala tillväxtnämnden bedrivs av avdelningen för regional utveckling och Näringsliv Skåne är risknivån fortsatt GRÖN Business AB Beträffande Business AB, inkluderande dotterbolag, noteras att man år 2014 har en likartad nivå jämfört med föregående år vad avser systemen för att säkerställa en tillräcklig ledning och styrning, uppföljning och kontroll. Den interna kontrollens bidrag till måluppfyllelsen är i princip densamma. Detta gäller i princip hela kedjan från riskanalys till genomförande och uppföljning. Verksamhetskontrollerna kan dock ges ännu större vikt i den interna kontrollen. Den interna kontrollen bedöms vara vad avser riskanalys, kontrollåtgärder, information/kommunikation samt tillsyn av systemet medan kontrollmiljön får anses vara tillfredsställande. Sammantaget leder detta till följande bedömning för Business AB: Risknivå GRÖN (2013 GRÖN) 5.12 ClinTrials Skåne AB Kvaliteten på den interna kontrollen är i nivå med föregående år. ClinTrials Skåne AB har flera kontrollområden som är kopplade till de risker som är identifierade i verksamheten och ledningen har liksom tidigare år arbetat aktivt med intern kontroll. Då bolaget åter redovisade förlust 2014 (-535 tkr) samt redovisade ett stort negativt resultat även 2013 (-2,2 Mkr) faller

14 14(17) resultatet inom den regel som beslutades av revisorskollegiet och som innebär att budgetöverskridande två år i rad med mer än 2 % skall medföra rödmarkering för verksamheten. Den interna kontrollen beträffande de kontrollaktiviteter som finns för att nå bolagets mål bedöms som otillräckliga. Även kontrollmiljön bedöms som otillräcklig då bolaget ännu en gång bedriver sin verksamhet med oklar finansiering. Riskanalysen och information/kommunikation bedöms ha en nivå. Slutligen bedöms tillsynen av systemet vara tillfredställande då planen för intern kontroll används och uppdateras löpande för att utveckla och förbättra verksamheten. Sammantaget leder detta till följande bedömning för ClinTrials Skåne AB: Risknivå RÖD (2013 GUL) 5.13 Folktandvården Skåne AB Folktandvården Skåne ombildades från och med 2014 till bolag. Den interna kontrollen är sammantaget på samma nivå som föregående år vilket innebär att planen för intern kontroll har tagits fram enligt en fastställd processbeskrivning. Arbetet kring intern kontroll anses utveckla och förbättra verksamhetens leveransskicklighet, kvalitet, ändamålsenlighet m m i samtliga processer och rutiner och är därför prioriterat i bolaget. Nivån på den interna kontrollen bedöms när det gäller kontrollmiljön vara god medan riskanalysen, kontrollaktiviteterna, information/kommunikation och tillsynen av systemet anses vara tillfredsställande. Sammantaget leder detta till följande bedömning för Folktandvården Skåne AB: Risknivå GRÖN (2013 var dåvarande förvaltning Folktandvården GRÖN) 5.14 Malmö Opera och Musikteater AB Malmö Opera och Musikteater AB (MOMT) har en bibehållen nivå jämfört med föregående år vad avser systemen för att säkerställa en tillräcklig ledning och styrning, uppföljning och kontroll. Detta gäller hela kedjan från riskanalys till genomförande och uppföljning. Den interna kontrollen bedöms vara vad avser COSO-delarna kontrollmiljö, riskanalys, kontrollaktiviteter, information/kommunikation samt tillsyn av systemet. Sammantaget leder detta till följande bedömning för Malmö Opera och Musikteater AB: Risknivå GRÖN (2013 GRÖN) 5.15 Skånes Dansteater AB Vad gäller Skånes Dansteater AB (SDT) har bolaget en likartad nivå jämfört med föregående år vad avser systemen för att säkerställa en tillräcklig ledning och styrning, uppföljning och kontroll. Detta gäller hela kedjan från riskanalys till genomförande och uppföljning, och den interna kontrollens bidrag till måluppfyllelsen är ungefär densamma.

15 15(17) Den interna kontrollen bedöms vara vad avser COSO-delarna riskanalys, kontrollaktiviteter, information/kommunikation samt tillsyn av systemet. Ledning och styrelse uppvisar ett tydligt engagemang, varför kontrollmiljön bedöms tillfredsställande. Sammantaget leder detta till följande bedömning för Skånes Dansteater AB: Risknivå GRÖN (2013 GRÖN) 5.16 Skåne Care AB Nivån på den interna kontrollen är densamma som året innan. Förutom de obligatoriska kontrollmomenten finns flera egna punkter som berör bolagets specifika verksamhet. Bolaget bedöms uppnå en nivå inom samtliga kontrollkomponenter i COSOmodellen (kontrollmiljön, riskanalys, kontrollaktiviteterna, information/kommunikation och tillsyn av systemet). Sammantaget leder detta till följande bedömning för Skåne Care AB: Risknivå GRÖN (2013: GRÖN) 5.17 Innovator Skåne AB Kvaliteten på den interna kontrollen är i nivå med föregående år. Bolaget har tagit fram det som man kallar Key Performance Indicators (KPI) som bedöms kunna utgöra underlag för en utvecklad intern kontroll. I planen för intern kontroll 2014 finns bara de obligatoriska momenten med. Vid styrelsemöte 2 juni informerade VD styrelsen att bolagets aktivitetsnivå och bemanning inte kommer att kunna upprätthållas inom ramen för den budget som antogs i december Styrelsen beslutade då ställa sig bakom en underbalansering med upp till 1 Mkr för verksamhetsåret Det negativa resultatet för 2014 har därmed utfallit inom av styrelsen reviderad budget. Den interna kontrollen beträffande de kontrollaktiviteter som finns bedöms som otillräckliga för att bland annat nå ekonomisk balans för För övriga kontrollkomponenter i COSOmodellen (kontrollmiljön, riskanalys, information/kommunikation och tillsyn av systemet) bedöms bolaget uppnå en nivå. Sammantaget leder detta till följande bedömning för Innovator Skåne AB: Risknivå GUL (2013: GRÖN) 5.18 SkåNet AB SkåNet AB har en oförändrad kvalitet jämfört med föregående år vad avser systemen för att säkerställa en tillräcklig ledning och styrning, uppföljning och kontroll. Detta gäller i princip hela kedjan från riskanalys till genomförande och uppföljning, och den interna kontrollens bidrag till måluppfyllelse är ungefär densamma. Den interna kontrollen bedöms vara på en nivå vad avser samtliga delar i COSOmodellen, kontrollmiljön, riskanalys, kontrollaktiviteter, information/kommunikation och tillsynen av systemet.

16 16(17) Sammantaget leder detta till följande bedömning för SkåNet AB: Risknivå GRÖN (2013 GRÖN) 5.19 Teknopol AB Inför 2014 gjorde Teknopol AB en omfattande riskanalys av verksamheten. En helt ny plan för intern kontroll togs fram. Denna innehöll flera nya riskområden kopplade till Teknopols verksamhet inom områden som projektredovisning och finansiering, förtroendeskada, nyckelpersoner, uppföljning av klientnöjdhet m m. Den interna kontrollen beträffande både information/kommunikation och kontrollmiljön, t ex i form av ledningens engagemang och hur kontrollarbetet har organiserats, bedöms som. Vidare bedöms riskanalys och kontrollaktiviteter ha en nivå. Då planen för intern kontroll nu även har fått flera verksamhetsmoment görs bedömningen att tillsynen av systemet är tillfredställande vilket sammantaget gör att bedömningen går från GUL till GRÖN. Sammantaget leder detta till följande bedömning för Teknopol AB: Risknivå GRÖN (2013 GUL) Eva Tency Nilsson T f revisionsdirektör Certifierad kommunal revisor

17 17(17) Bilaga 1 - Obligatoriska kontrollområden 2014 Obligatoriska kontrollområden INOM EKONOMIPERSPEKTIVET Att projektmedel används enligt finansiärens anvisningar. Att registrerad beslutsattestbehörighet i ekonomisystemet följer beslutsunderlag. Beslutsunderlag skall utgå ifrån delegationsordning, chefsinstruktion och lokal beslutsordning. Kontroll av manuella fakturor, d.v.s. fakturor som inte finns i ekonomisystemets leverantörsfakturaportal. Att kontantkassor hanteras enligt s anvisningar. Kontroll att skattelagstiftningens krav följs. INOM MEDBORGARPERSPEKTIVET Den upplevda tillgängligheten skall öka. INOM VERKSAMHETSPERSPEKTIVET Tillgängligheten skall öka. Patientsäkerheten skall öka. INOM MEDARBETARPERSPEKTIVET Det dynamiska fokustalet i medarbetarundersökning skall öka. Anställds kunskap och utbildning om beslutade policys rörande god moral och etik i tjänsteutövningen. s reglemente för god hushållning och intern kontroll slår fast att de interna kontrollplanerna skall säkerställa att en tillfredsställande god hushållning upprätthålls inom alla områden. Även om något obligatoriskt kontrollområde inte är aktuellt för en förvaltning skall det redovisas.

18 Bilaga 2 - Bedömningar intern kontroll 2014 Förvaltning/bolag SUS GUL GUL GUL GUL GUL Kontrollmiljön tillfredställande tillfredställande Riskanalysen tillfredställande tillfredställande tillfredställande Kontrollaktiviteter otillräcklig otillräcklig otillräcklig bristfällig bristfällig Information och kommunikation otillräcklig Tillsyn Primärvården Skåne GUL GUL GUL GUL KRYH GUL Kontrollmiljön Riskanalysen Kontrollaktiviteter otillräcklig Information och kommunikation Tillsyn CSK GUL GUL GUL GRÖN Hässleholms sjukhusorg GUL GUL GUL GRÖN Lasarettet i Ystad GUL GUL GUL GRÖN Primärvården Skåne GUL GUL GUL GUL Habilitering och hjälpmedel GRÖN GRÖN GRÖN GRÖN RÖD SUND GUL Kontrollmiljön Riskanalysen Kontrollaktiviteter bristfällig Information och kommunikation Tillsyn Helsingborgs lasarett GUL GUL GUL GUL Lasarettet i Landskrona GUL GUL GUL RÖD Lasarettet Trelleborg GUL GUL GUL GUL Ängelholms sjukhus GUL GUL GRÖN GRÖN Psykiatri Skåne GRÖN GRÖN GRÖN GUL Primärvården Skåne GUL GUL GUL GUL Medicinsk Service GRÖN Kontrollmiljön Riskanalysen Kontrollaktiviteter Information och kommunikation Tillsyn Labmedicin Skåne GRÖN GRÖN GRÖN GRÖN Projekt Hälsostaden Kontrollmiljön Riskanalysen Kontrollaktiviteter Information och kommunikation Tillsyn GUL otillräcklig Patientnämndens kansli GRÖN GRÖN GRÖN GRÖN GRÖN Kontrollmiljön god god god tillfredsställande tillfredsställande Riskanalysen tillfredsställande tillfredsställande tillfredsställande tillfredsställande tillfredsställande Kontrollaktiviteter tillfredsställande tillfredsställande tillfredsställande tillfredsställande tillfredsställande Information och kommunikation tillfredsställande tillfredsställande tillfredsställande god god Tillsyn tillfredsställande tillfredsställande tillfredsställande tillfredsställande tillfredsställande Regionservice GRÖN GRÖN GRÖN GRÖN GRÖN Kontrollmiljön tillfredsställande tillfredsställande tillfredsställande tillfredsställande Riskanalysen tillfredsställande tillfredsställande tillfredsställande tillfredsställande tillfredsställande Kontrollaktiviteter tillfredsställande Information och kommunikation tillfredsställande tillfredsställande tillfredsställande tillfredsställande Tillsyn tillfredsställande tillfredsställande tillfredsställande tillfredsställande tillfredsställande Skånetrafiken GRÖN GRÖN GUL GUL GUL Kontrollmiljön tillfredsställande tillfredsställande tillfredsställande Riskanalysen tillfredsställande otillräcklig Kontrollaktiviteter tillfredsställande otillräcklig otillräcklig Information och kommunikation tillfredsställande tillfredsställande tillfredsställande Tillsyn tillfredsställande tillfredsställande tillfredsställande Kultur Skåne GRÖN GRÖN GRÖN GRÖN GUL Kontrollmiljön tillfredsställande tillfredsställande otillräcklig Riskanalysen tillfredsställande tillfredsställande tillfredsställande tillfredsställande otillräcklig Kontrollaktiviteter tillfredsställande tillfredsställande tillfredsställande tillfredsställande Information och kommunikation Tillsyn

19 Förvaltning/bolag Koncernkontoret/Central förvaltn. GUL GUL GUL GUL GUL Kontrollmiljön otillräcklig otillräcklig otillräcklig otillräcklig Riskanalysen otillräcklig Kontrollaktiviteter otillräcklig otillräcklig otillräcklig Information och kommunikation otillräcklig otillräcklig otillräcklig Tillsyn Näringsliv och reg utveckling GRÖN GRÖN GRÖN GRÖN GRÖN BRS AB GRÖN GRÖN GRÖN GRÖN GRÖN Kontrollmiljön tillfredsställande tillfredsställande tillfredsställande tillfredsställande tillfredsställande Riskanalysen Kontrollaktiviteter Information och kommunikation Tillsyn ClinTrials Skåne AB RÖD GUL GUL RÖD Kontrollmiljön otillräcklig otillräcklig Riskanalysen bristfällig Kontrollaktiviteter otillräcklig otillräcklig otillräcklig bristfällig Information och kommunikation otillräcklig Tillsyn tillfredsställande tillfredsställande bristfällig Folktandvården Skåne AB GRÖN Kontrollmiljön god Riskanalysen tillfredsställande Kontrollaktiviteter tillfredsställande Information och kommunikation Tillsyn tillfredsställande Folktandvården Skåne (förv.) GRÖN GRÖN GRÖN GRÖN Malmö Opera och Musikteater AB GRÖN GRÖN GRÖN GRÖN RÖD Kontrollmiljön bristfällig Riskanalysen bristfällig Kontrollaktiviteter bristfällig Information och kommunikation bristfällig Tillsyn bristfällig Skånes Dansteater AB GRÖN GRÖN GRÖN GRÖN RÖD Kontrollmiljön tillfredsställande tillfredsställande tillfredsställande bristfällig Riskanalysen bristfällig Kontrollaktiviteter bristfällig Information och kommunikation bristfällig Tillsyn bristfällig Skåne Care AB GRÖN GRÖN GRÖN GRÖN RÖD Kontrollmiljön bristfällig Riskanalysen bristfällig Kontrollaktiviteter bristfällig Information och kommunikation bristfällig Tillsyn bristfällig Innovator Skåne AB GUL GRÖN GRÖN GRÖN RÖD Kontrollmiljön bristfällig Riskanalysen bristfällig Kontrollaktiviteter otillräcklig bristfällig Information och kommunikation bristfällig Tillsyn bristfällig SkåNet AB GRÖN GRÖN GRÖN GUL RÖD Kontrollmiljön otillräcklig Riskanalysen otillräcklig otillräcklig Kontrollaktiviteter otillräcklig otillräcklig Information och kommunikation otillräcklig Tillsyn otillräcklig Teknopol AB GRÖN GUL Kontrollmiljön Riskanalysen otillräcklig Kontrollaktiviteter otillräcklig Information och kommunikation Tillsyn tillfredsställande