Revisionsrapport 2017 Genomförd på uppdrag av revisorerna september Sundsvalls kommun. Uppföljning av tidigare granskningar

Transkript

1 Revisionsrapport 2017 Genomförd på uppdrag av revisorerna september 2017 Sundsvalls kommun Uppföljning av tidigare granskningar

2 Innehåll 1. Sammanfattning Statsbidrag inom flyktingmottagandet (2014) Anhöriga som ger omsorg till närstående (2015) Behörigheter i system (2015) Leverantörsfakturor (2015) Inledning Bakgrund Syfte Revisionskriterier Metod Statsbidrag inom flyktingmottagande (2014) Granskningsresultat Samlad bedömning utifrån den uppföljande granskningen Anhöriga som ger omsorg till närstående (2014) Granskningsresultat Samlad bedömning utifrån den uppföljande granskningen Behörigheter i system (2015) Granskningsresultat Samlad bedömning utifrån den uppföljande granskningen Leverantörsfakturor (2015) Granskningsresultat Samlad bedömning utifrån den uppföljande granskningen:

3 1. Sammanfattning EY har på uppdrag av de förtroendevalda revisorerna genomfört en uppföljning av tidigare genomförda granskningar. Syftet med den uppföljande granskningen 2017 har varit att identifiera och granska vilka åtgärder som vidtagits inom revisorernas rekommendationer. Följande granskningar har följts upp: 1.1. Statsbidrag inom flyktingmottagandet (2014) Det kommunala flyktingmottagandet baseras på överenskommelser med Migrationsverket och finansieras av statsbidrag, som regleras i ett antal förordningar. Kommunen har en överenskommelse om att ta emot nyanlända flyktingar och anhöriga per år. Vid tidpunkten (2014) hade kommunen mottagit ett större antal flyktingar än avtalat. För att få statlig ersättning krävs både kunskap och välfungerande rutiner för att undvika risker som medför att kommunen missar viktiga intäkter. Revisionsobjekt i granskningen var nämnden för vuxenutbildning, arbetsmarknad och integration (NAVI), barn- och utbildningsnämnden samt socialnämnden. De tre nämnderna som granskats har alla lämnat information om vidtagna åtgärder avseende rekommendationerna som lämnades vid granskningstillfället. Socialnämnden har samordnat flyktingverksamheten organisatoriskt och inrättat en gemensam funktion för återsökning av bidrag. NAVI valde att ta in området i sin internkontrollplan för 2015, och har vidtagit åtgärder på kommunövergripande nivå. Barn- och utbildningsförvaltningen och socialförvaltningen meddelar att försiktighetsprincipen tillämpats vid återsökning av statsbidrag. Barn- och utbildningsnämnden har även förändrat sitt arbete med periodisering Anhöriga som ger omsorg till närstående (2015) I 2014 års revisionsplan beslutade revisorerna att granska socialnämndens stöd till anhöriga som ger omsorg till närstående. En del i bakgrunden var att Socialstyrelsen presenterade siffror som visade att var femte svensk i vuxen ålder vårdar eller hjälper närstående, samt en tidigare lagändring i socialtjänstlagen som förtydligade kommunens skyldighet att erbjuda stöd till anhöriga som vårdar eller stödjer närstående. Revisorerna såg därmed risker i att nämnden inte fullgjorde sin lagstadgade skyldighet i stödet som erbjuds till anhöriga. Vid granskningstillfället 2015 gjordes bedömningen att socialnämndens styrning genom policys, mål och planer till viss del var tillräcklig. Nämnden kunde bekräfta att den utövat viss styrning under mandatperioden som visade att verksamheterna fullgjort sin lagstadgade skyldighet kring anhörigstöd. Avsaknad av gemensamma riktlinjer för handläggning av anhörigstöd kunde skapa variationer i biståndsbedömningar. Verksamheterna som arbetar med anhörigstöd kunde inte styrka att de har en samlad aktuell behovsbild inom området, eller rutiner för att kartlägga detta. Vid tillfället för den föregående granskningen uppmanade revisorerna att granskningens rekommendationer skulle beaktas och något svar på rapporten begärdes ej. Bland annat görs bedömningen att det fortfarande är nödvändigt att upprätta rutiner för att kartlägga anhörigas behov, samt att se över den befintliga anhörigstrategin. Slutligen är det av vikt att uppföljning och utvärdering av anhörigas behov genomförs med hjälp av nyckeltal, för att analys och uppföljning ska vara kvalitetssäkrad, jämförbar och tillförlitlig. 2

4 1.3. Behörigheter i system (2015) År 2015 granskades behörigheter i system utifrån den riskanalys som revisorerna genomfört. Bakgrunden till granskningen var att kommunfullmäktige enligt kommunallagen kan delegera vidare rätten att fatta beslut till nämnder, som i sin tur kan delegera rätten till tjänstepersoner. Att beslutade delegationer överensstämmer med tilldelade behörigheter i IT-system och att det finns rutiner för hantering av dessa, är en viktig förutsättning för en välfungerande intern kontroll. Utifrån de beslutade revisionsfrågorna för uppdraget, gjordes bedömningen att behörighetsnivån hos användarna i huvudsak var ändamålsenlig. Dock framkom, i synnerhet för högre behörigheter, att kontinuerliga översyner bör göras för att säkerställa att behörighetsnivåerna är adekvata. I vissa program saknades funktioner för systematiserade kontroller av attester. Det saknades även dokumenterade rutiner för manuella kontroller. Kommunstyrelsen ombads yttra sig över den tidigare revisionsrapporten och svar inkom även från socialförvaltningen med anledning av att systemet ProCapita används inom socialnämndens verksamheter. Flertalet av de rekommendationer som lämnats vid tillfället för granskningen har besvarats och åtgärdats. Kommunstyrelsen rekommenderas fortsättningsvis upprätta årsvisa förteckningar över attester och högre behörigheter i Heroma, som sammanställs och arkiveras. Styrelsen rekommenderas även upprätta rutiner för löpande kontroll av förändringar av behörigheter Leverantörsfakturor (2015) Kommunallagen reglerar att kommunens nämnder och styrelse ska ha kontroll över sin verksamhet. Det innebär att nämnderna själva ansvarar för en ändamålsenlig styrning. Rutiner och system för hantering av leverantörsfakturor och utbetalningar avseende sådana utgör ett väsentligt riskområde. För att upprätthålla en säker hantering av leverantörsfakturor och utbetalningar relaterade till dessa, är det angeläget att ha väl fungerande rutiner och system för ändamålet. Resultatet i den uppföljande granskningen visar att ett antal åtgärder kopplade till rekommendationerna har vidtagits. Kommunstyrelsens förvaltning har gjort bedömningen att det inte är nödvändigt att komplettera automatiserade rutiner vid inläggning av fakturor med manuella kontroller, vilket går emot tidigare lämnad rekommendation. Detta med hänvisning till att kontrollkostnaden blir för hög och att andra åtgärder genomförts som bedömts ha större effekt. Socialförvaltningen ombads yttra sig över en specifik rekommendation i granskningen om leverantörsfakturor, som vi bedömer behöver kvarstå. Ett nytt verksamhetssystem kommer att upphandlas under 2017, som enligt förvaltningen framkallar ett behov av att se över rutinbeskrivningar inom verksamheten. I samband med detta arbete bedömer vi att det är av vikt att ytterligare utreda betalningsrutinerna vid utbetalning från ProCapita, för att säkerställa en säker hantering. 3

5 2. Inledning 2.1. Bakgrund De förtroendevalda revisorerna har beslutat att följa upp tidigare genomförda granskningar, som en del i arbetet under mandatperioden. Revisorerna har valt att följa upp granskningar i vilka de lämnat rekommendationer eller där revisorerna identifierat förändringar i verksamhet, organisation eller lagstiftning som kan medföra en ökad risk. I sin risk- och väsentlighetsanalys har revisorerna identifierat att det finns en risk för att fullmäktiges och nämndernas mål inte uppfylls, om rekommendationerna i nedanstående granskningar inte har åtgärdats. Följande granskningar ingår i årets uppföljning: Statsbidrag inom flyktingmottagande (2014) Anhöriga som ger omsorg till närstående (2014) Leverantörsfakturor (2015) Behörighet i system (2015) 2.2. Syfte Syftet med den uppföljande granskningen är att identifiera och granska vilka åtgärder som vidtagits inom revisorernas rekommendationer Revisionskriterier Revisionskriterierna, det vill säga de kriterier mot vilka ansvaret bedömts, utgörs av de bedömningar och rekommendationer som lämnades i rapporterna listade ovan Metod Ansvariga för respektive område som granskningarna berör har kontaktats och tillfrågats om det aktuella läget inom de områden som tidigare granskats. Utgångspunkten har varit de bedömningar och rekommendationer revisionen lämnat vid föregående granskning. Härutöver har dokument som berör nämndernas genomförda åtgärder inhämtats och översiktligt analyserats. Informationen har sammanställts i denna rapport, som återknyter till revisionens ursprungliga slutsatser och rekommendationer i respektive granskning. I rapporten följer en bedömning av nämndens respektive styrelsens åtgärder till följd av granskningarna. 4

6 3. Statsbidrag inom flyktingmottagande (2014) Det kommunala flyktingmottagandet baseras på överenskommelser med Migrationsverket och finansieras av statsbidrag, som regleras i ett antal förordningar. Kommunen hade vid granskningstillfället en överenskommelse om att ta emot nyanlända flyktingar och anhöriga per år. När förra granskningen genomfördes (2014) hade kommunen mottagit ett större antal flyktingar än avtalat. Kommuner har rätt till statlig ersättning, något som regleras i ett antal förordningar och berör ett antal olika kommunala verksamhetsområden. För att få ersättning krävs både kunskap och väl fungerande rutiner för att undvika risker som medför att kommunen missar viktiga intäkter. Granskade nämnder var nämnden för vuxenutbildning, arbetsmarknad och integration (NAVI), barn- och utbildningsnämnden samt socialnämnden. I granskningen framkom att det fanns en tillfredsställande politiskt fastställd fördelning av schablonersättningen inom det ordinarie mottagandet. Dock noterades att den bör förankras i fullmäktige. Det saknades fullt ändamålsenliga rutiner för ansökan av statlig ersättning inom förvaltningar och verksamheter. I flera fall hade förvaltningen fått avslag på betydande belopp. Förvaltningarnas ekonomiska redovisning av statliga ersättningar inom flyktingmottagande uppfyllde inte kraven för god redovisningssed. Det framkom också att området inte ingår i någon nämnds arbete med intern kontroll, och att den interna kontrollen gällande statliga ersättningar bör stärkas Granskningsresultat 2017 Nedan redogörs för hur respektive granskad nämnds arbete med rekommendationerna fortlöpt sedan granskningens genomförande år Socialnämnden, nämnden för arbetsmarknad, vuxenutbildning och integration samt barn- och utbildningsnämnden rekommenderades att se över: Att kostnader och intäkter avseende flyktingmottagande hänförs till rätt period Hur stor andel av sökta medel som periodiseras i samband med delårsbokslut och årsbokslut, eventuell tillämpning av försiktighetsprincip Socialnämnden Socialförvaltningen konstaterade i samband med denna uppföljning att granskningsrapporten inte mottagits av nämnden vid tillfället för granskningen Inom socialnämndens verksamhetsområde omfattar flyktingverksamheten kostnader som finansieras genom statsbidrag från Migrationsverket avseende i huvudsak två områden: ensamkommande flyktingbarn och ekonomiskt bistånd. För återsökning av statsbidrag för ensamkommande flyktingbarn ansvarar socialförvaltningens ekonomienhet. I augusti 2017 meddelade företrädare för FAVI (förvaltningen för arbetsmarknad, vuxenutbildning och integration) att överenskommelsen i dagsläget omfattar 132 personer, vilket är färre än vid granskningstillfället. Kostnader för ekonomiskt bistånd finansieras genom fördelning av den statliga schablonersättningen via NAVI. I anslutning till att granskningsrapporten togs fram genomfördes följande aktiviteter (nov 2014): Kartläggning av samtliga intäkter och kostnader samt tillhörande verksamhetsvolymer/insatser avseende flyktingverksamheten inom socialnämndens ansvarsområde. 5

7 Ny struktur för redovisningen togs fram inför år 2015 med korrekta verksamhetsnummer. Innan dess var externa placeringar på institution och familjehem inte särredovisade med verksamhetskoder för flyktingverksamheten. Strukturförändringen innebar att kostnader som rörde flyktingverksamhet gavs verksamhetskoder avseende flyktingverksamhet för att hamna rätt i räkenskapssammandrag. Baserat på kartläggningen och den nya strukturen gjordes motsvarande korrigeringar vid räkenskapssammandraget för år Baserat på kartläggningen och den nya strukturen för redovisningen kompletterades flyktingverksamhetens budget för 2015 med samtliga, kända poster avseende kostnader och intäkter för flyktingverksamheten. Diskussioner påbörjades även kring eventuell organisatorisk samordning av flyktingverksamheten inom socialförvaltningen. Genom dåvarande beställar- och utförarorganisation var myndighetsutövning, externa placeringar samt boenden i egen regi uppdelad i olika organisatoriska delar. I och med den nya förvaltningsorganisationen, som trädde i kraft 1 januari 2017 är flyktingverksamhetens organisatoriska delar nu samordnade inom verksamheten Individ- och familjeomsorg. Parallellt med införandet av den nya organisationen har en samordnad resursfördelningsmodell för socialnämndens totala flyktingverksamhet tagits fram. Denna gäller från Detta bland annat för att få en samordnad ekonomisk överblick över flyktingverksamhetens samtliga kostnader och intäkter, samt i syfte att förtydliga de ekonomiska konsekvenserna. Resursfördelningsmodellen fungerar enligt förvaltningen även som grund för beslutsunderlag med anledning av den minskade inströmningen av ensamkommande flyktingbarn samt beslut om sänkta ersättningar från Migrationsverket fr.o.m. 1 juli Socialförvaltningens ekonomienhet har sedan år 2015 successivt övertagit ansvaret för återsökning av samtliga ersättningar från Migrationsverket inom socialnämndens ansvarsområde. En särskild funktion för återsökningar av medel finns sedan april 2016 inom ekonomienheten. Funktionen har enligt socialförvaltningen medfört ytterligare kvalitetssäkring av återsökningen av ersättningarna från Migrationsverket. Funktionen tar fram underlag som är mer noggranna än tidigare, vilket innebär att bokningar görs på ett mer korrekt sätt. Varje månadsslut genomförs löpande avstämning med funktionen. Enligt förvaltningen har detta bidragit till ytterligare kvalitetssäkring avseende uppföljning, redovisning och periodisering av intäkterna där försiktighetsprincipen beaktas. Arbetssättet har successivt införts sedan Nämnden för arbetsmarknad, vuxenutbildning och integration (NAVI) NAVI (Nämnden för arbetsmarknad, vuxenutbildning och integration) besvarade granskningsrapporten vid tillfället för granskningen (NAVI ). Förvaltningen delade då revisionens synpunkter om att kommunen behöver förbättra sina rutiner när det gäller statsbidragen inom flyktingmottagandet. FAVI påbörjade under 2014 ett förbättringsarbete, bland annat med stöd av granskningsrapporten. Kommunfullmäktige har sedan dess tillsatt en beredning, som under 2015 behandlade kommunens integrationsarbete och fördelningen av flyktingschablonen. Vid granskningstillfället 2014 betalade staten ut en ersättning till FAVI, som varierade utifrån hur många flyktingar som Sundsvalls kommun tog emot. Därefter fördelade FAVI dessa medel både internt och till andra förvaltningar utifrån av nämnden beslutade principer. Efter granskningen vidtogs 2015 åtgärder inom FAVI för att: 6

8 säkerställa att kompetens finns att söka alla bidrag säkerställa att medel hänförs till rätt period säkerställa att medel till andra nämnder fördelas löpande under året enligt beslutade principer För att säkerställa efterlevnaden av vidtagna åtgärder skulle ovan listade åtgärder ingå i nämndens interna kontrollplan 2015, vilket de gjorde. Åtgärderna ingick dock inte i planerna för 2016 och Syftet med att inbegripa åtgärderna i internkontrollplanen var att förvaltningen skulle säkerställa att fördelning av flyktingschablonen har periodiserats månadsvis och till rätt period. Sundsvalls kommunfullmäktige beslutade i mars 2014 att tillsätta en integrationsberedning (bestående av tjänstepersoner och politiker) i syfte att analysera kommunens integrationsarbete och fördelningsmodell. NAVI hade inte möjlighet att på egen hand hantera integrationsfrågan, vilket föranledde att ett kommunövergripande samarbete inleddes. Sedan 2011 har NAVI varit den nämnd som mottagit det statliga stödet i enlighet med dåvarande rådande fördelningsmodell. Fr.o.m. januari 2017 fördelar istället kommunstyrelsen flyktingschablonen med hjälp av FAVI som praktiskt hanterar medlen enligt den fördelning som kommunfullmäktige beslutat (efter beslut i december 2016, KS ). Den nya resursfördelningsmodellen har enligt förvaltningens svar medfört att både de förvaltningar som FAVI har fördelat medel till och FAVIs egen verksamhet, upplevt en bättre uppföljning. Medel fördelas ut och periodiseras månadsvis. Vidare föreslog integrationsberedningen att förvaltningar som mottar schablonmedel ska särredovisa hur dessa använts och återrapportera till kommunfullmäktige årligen. Den tidigare fördelningsmodellen ställde inte krav på att förvaltningar som mottar medel skulle redovisa hur de använt dem. Det fanns inte heller någon tydlig struktur för periodisering. Integrationsberedningens slutsats mynnade ut i att en tjänst som integrationsstrateg med samordningsansvar inrättades. Den föreslog även en ledningsgrupp i syfte att göra arbetet koncernövergripande och strategiskt. Sundsvalls kommun har tagit fram riktlinjer för fördelning av statlig schablonersättning, som beskriver: vilka olika typer av ersättning som betalas ut utan ansökan till kommuner för vissa personer med uppehållstillstånd bidragens storlek i kronor hur fördelningsmodellen fungerar hur uppföljning av medlen ska genomföras Kommunfullmäktige behandlade i januari 2016 kommunens integrationsberednings slutrapport för Integrationsberedningen föreslog en modell där: 60 procent av schablonmedlen följer individen, baserat på dennes ålder, till antingen barn- och utbildningsförvaltningen eller till FAVI. Medlen ska, så som lagen anger, användas till de merkostnader som uppstår för flyktingar i respektive förvaltning. Fem procent fördelas till kultur- och fritidsförvaltningen för att användas som särskilt riktade pengar för t.ex. biblioteksersättning men främst som en stimulans att verka för ett ökat deltagande i kultur- och fritidsaktiviteter. Resterande 35 procent fördelas till övergripande verksamheter såsom mottagningsverksamhet, socialtjänstens del i kartläggningsverksamheten samt den övergripande struktur som integrationsberedningen föreslog i sin slutrapport. De medel som finns att söka, och som inte kommer med automatik, anser sig förvaltningen FAVI ha kontroll på. Företrädare inom FAVI beskriver att medarbetare inom förvaltningen har 7

9 mycket god kännedom om, och kunskap kring vilka stöd som finns att söka. Enligt förvaltningen finns inte en samlad nedtecknad checklista eller struktur för hantering av dessa medel. Enligt FAVI kan det medföra brister, varför de avser att i framtiden ta fram beskrivningar för detta. Vi instämmer i förvaltningens bedömning Barn- och utbildningsnämnden Barn- och utbildningsförvaltningen meddelar att de kostnader som är kopplade till flyktingmottagandet bokförs löpande under året. Intäkter i form av statsbidrag har under åren periodiseras vid tertial- och årsbokslut. Från och med 2017 har barn- och utbildningsförvaltningen periodiserat preliminära statsbidrag från Migrationsverket månadsvis. Det preliminära statsbidrag som periodiseras är en bedömning av sökt bidrag för föregående år. Försiktighetsprincipen har använts vid bedömning av storleken på erhållna bidrag. Lång handläggningstid hos Migrationsverket har medfört eftersläpningar av erhållna beslut, vilket enligt förvaltningen försvårat möjligheten att genomföra korrekta uppskattningar. De bidrag som söks grundas på uppgifter från folkbokföringen för barn och elever i Sundsvalls kommun. Folkbokföringen kan ändras retroaktivt av Skatteverket. Barn och elever som kommunen sökt bidrag för kan vara avflyttade eller bokförda i fel kommun, vilket medför att kommunen inte har rätt till bidrag. Diskrepansen mellan vilka barn kommunen sökt bidrag för och vilka som faktiskt bor i kommunen uppdagas när ansökan kontrolleras. Det innebär att det kan förekomma avvikelser mellan beräknat och erhållet bidrag. Hur stor avvikelsen kan bli beror på om, och när folkbokföringen ändras. Dessa parametrar underlättar enligt förvaltningen inte bedömningen av bidragets storlek. Förvaltningen anser att de har ett antal rutiner som behöver förbättras för att underlätta administrationen kring ansökan. Enligt uppgift behövs rutiner som förtydligar informationsflödet mellan förvaltningar avseende inhämtade uppgifter om vilka barn/elever som är kommunplacerade i Sundsvalls kommun. Migrationsverkets e-tjänst som nämns i granskningen från 2014 har inte kommit i drift. Dess driftsättning hade underlättat ansökningsförfarandet, menar förvaltningen. Förvaltningen har för år 2016 sökt bidrag hos Migrationsverket för extraordinära kostnader. Med anledning av den stora mängd asylsökande barn behövde kommunen hyra extra lokaler. Dessa lokaler medförde extra hyreskostnader samt flytt- och städkostnader Samlad bedömning utifrån den uppföljande granskningen 2017 Vår övergripande bedömning är att nämnderna delvis åtgärdat de rekommendationer som lämnades vid granskning. Vid vår granskning har vi noterat att det inte finns något övergripande regelverk och någon samordning för periodisering av statsbidrag. Nämnderna har arbetat med att åtgärda de rekommendationer som lämnades, men av de svar vi erhållit framkommer det inte vilka principer för periodisering som tillämpas. Vilka skillnader i redovisning av statsbidrag som finns mellan nämnderna är därmed otydligt och någon kommunövergripande synkronisering genomförs inte. Vi har inte heller fått svar på hur stor andel av sökta medel som periodiseras i samband med att bokslut upprättas. I föregående granskning var en av noteringarna att det saknades fullt ändamålsenliga rutiner för ansökan av statlig ersättning inom förvaltningar och verksamheter. De åtgärder som vidtagits inom socialnämnden, i form av samordning av berörda förvaltningsdelar samt en 8

10 särskild funktion för återsökning av bidrag, innebär att området är lättare att överblicka. De har även vidtagit ytterligare åtgärder för kvalitetssäkring inom området. NAVI har arbetat med att åtgärda rekommendationerna som en del i ett pågående utvecklingsarbete. Nämnden har arbetat aktivt i sitt internkontrollarbete, samt vidtagit åtgärder även på kommunövergripande nivå. Vi noterar att förvaltningen inte kartlagt eller dokumenterat vilka bidrag, stöd och medel som går att söka, vilket är en brist. Den risk som finns är att kommunen missar att söka medel. Av denna anledning är det är angeläget att förvaltningen tydliggör detta, för att säkerställa en god intern kontroll. En del yttre faktorer som barn- och utbildningsnämnden inte kan påverka, såsom långa handläggningstider hos Migrationsverket, har inneburit och innebär enligt verksamheten svårigheter att uppskatta det slutgiltiga bidragets storlek. I sådana fall är det av vikt att i efterhand följa upp gjorda bedömningar för att åskådliggöra hur stor avvikelsen de facto blev. Följande rekommendationer kvarstår för nämnden för arbetsmarknad, integration och vuxenutbildning samt barn- och utbildningsnämnden: Att kostnader och intäkter avseende flyktingmottagande hänförs till rätt period Hur stor andel av sökta medel som periodiseras i samband med delårsbokslut och årsbokslut, eventuell tillämpning av försiktighetsprincip Följande rekommendationer kvarstår för socialnämnden: Hur stor andel av sökta medel som periodiseras i samband med delårsbokslut och årsbokslut, eventuell tillämpning av försiktighetsprincip 9

11 4. Anhöriga som ger omsorg till närstående (2014) I 2014 års revisionsplan beslutade revisorerna att granska socialnämndens stöd till anhöriga som ger omsorg till närstående. Bakgrunden till granskningen var dels att Socialstyrelsen presenterade siffror som visade att var femte svensk i vuxen ålder vårdar eller hjälper närstående, och dels en tidigare lagändring i socialtjänstlagen som förtydligade kommunens skyldighet att erbjuda stöd till anhöriga som vårdar eller stödjer närstående. I granskningen framkom att nämndens styrning genom policys, mål och planer endast till viss del var tillräcklig. Identifierade brister gällde bland annat nämndens styrning kopplat till den lagstadgade skyldigheten att erbjuda stöd till anhöriga som vårdar eller stödjer närstående. Vid granskningen framkom en avsaknad av gemensamma riktlinjer för handläggning av biståndsbedömt anhörigstöd. Det kunde i vissa fall innebära variationer i biståndsbedömningar. Verksamheterna som arbetade med anhörigstöd kunde inte styrka att de hade en samlad aktuell behovsbild inom området, eller rutiner för att kartlägga detta. Av granskningen framkom även att uppföljningen och utvärderingen av individuellt anpassade åtgärder inte var tillräcklig. Detta eftersom det inte genomfördes systematiska uppföljningar och utvärderingar inom området. Den sammantagna bilden var att nämndens styrning och kontroll bedömdes vara otillräcklig. Detta eftersom nämndens styrning och kontroll inte i betryggande grad kunde verifiera att den genomförde kontroller som syftade till att säkerställa efterlevnad av nämndens lagstadgade uppdrag kring anhöriga som ger omsorg till närstående Granskningsresultat 2017 Socialförvaltningen i Sundsvalls kommun konstaterade under våren 2017 att revisionsrapporten inte har varit uppe som ett ärende till socialnämnden. Vid tillfället för den föregående granskningen uppmanade revisorerna att granskningens rekommendationer skulle beaktas och något svar på rapporten begärdes ej. I denna uppföljande granskning har socialnämnden ombetts besvara rekommendationerna i granskningsrapporten. Samtliga rekommendationer från rapporten 2014 redovisas nedan tillsammans med socialförvaltningens svar 2017: Att det inom socialnämndens verksamheter upprättas rutiner för att kartlägga det samlade behov av stöd som anhöriga i kommunen kan tänkas ha. Att socialnämndens verksamheter vidareutvecklar och använder dokumentationen av anhörigstödet för att kunna följa upp hur verksamheten fungerar Socialnämnden gav förvaltningen i uppdrag under 2016 att ta fram en strategi för att bli en demensvänlig kommun. Utifrån det uppdraget har förvaltningen kartlagt sitt arbete med stöd både till personal som jobbar med demenssjuka personer samt stödet till anhöriga. Kartläggningen redovisade att de funktioner som ska stödja både personal och anhöriga var spridda i organisationen. Som åtgärd har Demenscentrum inrättats (fr.o.m. januari 2017). Demenscentrum samlar funktioner kopplade till anhörigstöd, då Sundsvalls demenscentrum övertog ansvaret för allt anhörigstöd riktat till anhöriga med dementa närstående. Syftet med att sammanhålla funktionerna är att ge ett sammanhållet stöd genom hela sjukdomsförloppet med helhetsperspektiv. Demenscentrum tillhandahåller råd och stöd, anhörigutbildning och dagverksamhet samt förmedlar och samordnar kontakter. Det finns även anhörigstödjare för avlösning i hemmet, och möjlighet till plats inom särskilt boende och deltagande i anhöriggrupper. 10

12 Socialförvaltningen poängterar att uppbyggnaden av demenscentrum, där samtliga funktioner samlas för att ge ett sammanhållet stöd, ska följas upp för att se om anhörigstödet riktade till övriga verksamheter i framtiden bör organiseras på likartat sätt. Inom demenscentrum dokumenterar personalen inkomna ärenden som underlag för att följa verksamheten, med syfte att förbättra och utveckla den. Socialförvaltningen anser att samverkan inom kommunen behövs i frågor kopplade till anhörigstöd. Demenscentrum följer även annan statistik t.ex. antal som får stöd utan biståndsbeslut och antal sökande till korttidsvård. Ett syfte med mätningarna är även att undersöka i vilken utsträckning de når ut till allmänheten med sin information. Anhörigas nöjdhet avseende stödinsatserna mäts för undersöka om Demenscentrum tillfredsställer de stödbehov som anhöriga har. Anhörigcentrum är en annan viktig funktion som samlar anhörigfrågorna. Anhörigcentrum för statistik över antalet kontakter, besök, uteblivna besök och samtalsgrupper. Inom anhörigcenter erbjuds informations- och kunskapsträffar, samverkan med hemtjänsten (sedan 2 år tillbaka), telefonstöd, och även gruppträffar för grupper inom områdena äldre, psykisk ohälsa och missbruk. Hembesök förekommer i undantagsfall och det finns numera ingen uppsökande verksamhet. Den tillhandahölls förut i samverkan med landstingets Hälsosamtal och när Hälsosamtalen utan förvarning avslutades upphörde den uppsökande verksamheten. Socialförvaltningen beskriver att samverkan med Landstinget Västernorrland är under utveckling och en viktig förmedlare för anhöriga med demenssjukdom. Primärvården och i synnerhet geriatriska mottagningen är för många en första kontakt vid utredning av demens. Inom Demenscentrum finns därför en målsättning att 100 procent av dessa personer ska förmedlas kontakt direkt till demenscentrum. Inom IFO:s missbruksberoendevård är stödet samlat hos Sundsvalls behandlingscentrum (SBC). I samband med att inskrivning i missbruksvården görs, kartläggs även behovet av stöd till anhöriga för att kartlägga och bemöta individuella behov. Att socialnämndens verksamheter anpassar befintlig anhörigstrategi till den egna verksamheten och dess målgrupper. Anhörigstrategin från 2011 gäller fortfarande för alla verksamheter och enligt socialförvaltningen finns ett behov av att se över strategin. Att socialnämnden ser över behovet av mål och tillhörande riktlinjer gällande det stöd som ges till personer som vårdar eller stödjer närstående Mål och riktlinjer har tagits fram för Demenscentrum. Målen har stort fokus på tillgänglighet och att ge ett individuellt sammanhållet stöd. Socialnämnden har inte tagit fram mål för anhörigstödet i övriga verksamheter. Att socialnämnd och verksamhet identifierar nyckeltal som gör det möjligt att följa upp det stöd som erbjuds personer som vårdar eller stödjer närstående Socialförvaltningen beskriver att uppföljning inom verksamheterna sker, samt att dessa utförs på olika sätt beroende på vilken verksamhet som avses. Rådgivningsbyrån (verksamhet inom individ- och familjeomsorgens missbruksberoendevård) riktar sig till enskilda individer, anhöriga, familjer som upplever att de har problem med droger, spel, alkohol. Inom individoch familjeomsorgens missbruksberoendevård undersöks i vilken utsträckning anhöriga är nöjda med det stöd de fått. Det är en öppen verksamhet dit enskilda kan komma och få rådgivning eller stöd. Rådgivningsbyrån för statistik kring antal besökare och det stöd som tillhandahållits. 11

13 Anhörigcentrum brukar skicka ut en enkät till anhöriga för att undersöka deras nöjdhet med stödet. Undersökningen ställer frågor om hur stödet upplevts och hur anhöriga nås av informationen. Huvudrubrikerna i enkäten är bemötande, information, nyttan med avlösning, delaktighet/planering och förväntningar. Detta år har ännu ingen enkät skickats ut. Mellan anhörigcentrum och rådgivningsbyrån pågår en dialog kring samarbetet mellan verksamheterna. Anhörigcentrum dokumenterar antalet utbildningar som genomförs, gruppträffar, utförda och avbokade hembesök samt antal inkomna samtal. Inom Demenscentrums verksamhet beskrivs att man även där kommer att mäta antal ärenden och anhörigas nöjdhet för att utveckla verksamheten Samlad bedömning utifrån den uppföljande granskningen 2017 Den sammantagna bedömningen är att flertalet av de rekommendationer som lämnades vid tillfället för granskningen kvarstår. Av det svar som socialförvaltningen lämnat framgår att det finns ett fokus på att tillmötesgå anhörigas individuella stödbehov inom olika verksamheter. Inom Demenscentrum mäts anhörigas nöjdhet, antal sökande och antal personer som söker stöd utan biståndsbeslut. Inom anhörigcentrum beskrivs förd statistik i form av antalet kontakter och antal besök, i syfte att undersöka i vilken utsträckning de når ut till anhöriga. Förvaltningens ambition att följa upp i vilken utsträckning ytterligare verksamheter kopplade till anhörigstöd bör organiseras om i likhet med demenscentrum är nödvändig. Av det underlag som vi tagit del av bedömer vi att Demenscentrum följer upp verksamheten med hjälp av dokumentation om hur väl anhörigstödet fungerar. Uppbyggnaden av Demenscentrum ska följas upp för att se om anhörigstödet riktade till övriga verksamheter i framtiden bör organiseras på likartat sätt. Hur uppföljningen fungerar i socialnämndens övriga verksamheter kan vi därför ännu inte uttala oss om. Socialnämndens verksamhet har kartlagt sitt arbete med stöd både till personal som jobbar med demenssjuka personer samt stödet till anhöriga i syfte att överblicka resurser som fungerar som stöd till anhöriga. Kartläggningarna har dock inte skett enligt framtagna rutiner som syftar till att ge en samlad behovsbild över anhörigstödet inom samtliga verksamheter. Det är av vikt att rutiner tas fram framförallt för att leva upp till kommunens lagstadgade skyldighet att erbjuda stöd som underlättar för anhöriga, oavsett målgrupp. Vid tillfället för den tidigare granskningen rekommenderades att kommunens anhörigstrategi skulle ses över. Detta har dock inte genomförts, och rekommendationen kvarstår således. Socialnämnden rekommenderades i granskningen att se över behovet av mål och tillhörande riktlinjer gällande det stöd som ges till personer som vårdar eller stödjer närstående. Denna uppföljande granskning visar att mål och riktlinjer har tagits fram inom demenscentrums verksamhet. Vi noterar dock att rekommendationen kvarstår för socialnämndens övriga verksamheter. Vi bedömer att nämnden har vidareutvecklat sin dokumentation kring anhörigstöd i syfte att förbättra uppföljningen. Åtgärderna är i enlighet med den rekommendation som gavs vid tillfället för granskningen. Vad som kvarstår är dock delen att utarbeta rutiner för att ta fram statistik och identifiera samt tillämpa nyckeltal vid uppföljning. Utifrån det underlag som inkommit kan vi inte styrka att nämnden arbetar med nyckeltal inom uppföljning för att säkerställa en ändamålsenlighet i arbetet. Det går ej heller att styrka att nämnden säkerställer att verksamhetens uppföljning sker i en tillräcklig omfattning. Denna statistik behöver utformas på ett sådant sätt att den tar hänsyn till sekretess och anonymitet enligt gällande föreskrifter. 12

14 Följande rekommendationer kvarstår till socialnämnden: Att det inom socialnämndens verksamheter upprättas rutiner för att kartlägga det samlade behov av stöd som anhöriga i kommunen kan tänkas ha. Socialnämndens verksamheter rekommenderas göra en översyn av befintlig anhörigstrategi utifrån berörda verksamheter och dess målgrupper, i syfte att anpassa och uppdatera strategin. Ta fram mål för anhörigstödet i samtliga nämndens verksamheter. Socialnämnden bör säkerställa att nyckeltal identifieras av berörda verksamheter, i syfte att kvalitetssäkra uppföljning. 13

15 5. Behörigheter i system (2015) År 2015 granskades behörigheter i system utifrån den riskanalys som revisorerna genomfört. Bakgrunden till granskningen var att kommunfullmäktige enligt kommunallagen kan delegera rätten att fatta beslut vidare till nämnder, som i sin tur kan delegera rätten till tjänstepersoner. Att beslutade delegationer överensstämmer med tilldelade behörigheter i IT-system och att det finns rutiner för hantering av dessa är en viktig förutsättning för en väl fungerande intern kontroll. Mot bakgrund av detta var det angeläget att granska hur väl delegationsordning och behörigheter inom IT-system överensstämde med varandra. Granskningsrapportens bedömning med utgångspunkt i de beslutade revisionsfrågorna var att behörighetsnivån hos användarna i huvudsak var ändamålsenlig. Dock framkom att kontinuerliga översyner bör göras för att säkerställa att behörighetsnivåerna är adekvata. Detta gällde i synnerhet för högre behörigheter. I vissa program saknades funktioner för systematiserade kontroller av attester. Det saknades även dokumenterade rutinbeskrivningar för manuella rutiner och kontroller. Granskningen omfattade allmän behörighet till kommunens IT-system, ekonomisystem, personalsystem och socialnämndens system för utbetalning av försörjningsstöd. För tilldelning, avslut och förändring av behörigheter var granskningsrapportens slutsats att det till stor del fanns fungerande rutiner. Granskningsrapporten rekommenderade även att det i vissa fall kunde vara befogat att göra en mer strukturerad analys vid tilldelning av behörigheter i syfte att säkerställa rätt behörighetsnivåer. I granskningen gjordes även bedömningen att det delvis fanns fungerande rutiner för kontroll av registrerade behörigheter. I flera av nämndernas verksamheter förekom på regelbunden basis kontroller av att attester överensstämde med gällande delegationsordning. Det saknades dock en fastställd rutin för kontroller av förändringar av behörigheter utöver attesträtter Granskningsresultat 2017 Kommunstyrelsen har i den uppföljande granskningen ombetts beskriva de åtgärder som vidtagits sedan rekommendationerna gavs. Även socialförvaltningen har inkommit med svar för de rekommendationer som berör utbetalningssystemet ProCapita. Svaren som socialförvaltningen lämnat avser därmed endast behörigheter till systemet som dess verksamhet omfattas av. Socialnämnden lämnade inte ett yttrande över granskningsrapporten år Kommunstyrelsen Följande svar har avgivits gällande de rekommendationer lämnades som vid tillfället för granskningen: Kontinuerliga översyner, speciellt gällande högre behörighet, bör göras för att säkerställa att användares behörighetsnivåer är adekvata utifrån exempelvis förändrade rutiner och uppdrag. Rutiner för löpande kontroll av förändringar av behörigheter i de granskade systemen bör upprättas. Årsvisa förteckningar över attester och högre behörigheter i de granskade systemen bör upprättas. 14

16 För ProCapita ses behörigheter över en gång per år av systemadministratör i samband med att lista för behörigheter skall uppdateras för eventuell kontroll av Datainspektionen. Behörigheter säkerställs genom beställning av överordnad chef. För ProCapita är grundregeln att användare inte ska ta del av annan information i systemet än vad som är nödvändigt för att utföra sitt arbete. Varje gång en användare använder systemet loggas användar-id, datum/tid, arbetsstation, klientens personnummer, och om ärendet avser läsning eller justering av information. Detta registreras för att kunna kontrollera om information hanteras enligt PUL, SoL, OSL, FL, interna anvisningar samt anvisningar från Datainspektionen. Denna information sparas i två år. För behörigheter i Heroma finns olika roller (systemförvaltare, lönehandläggare, personalhandläggare, titt och chef pers ass). Den anställdes arbetsuppgifter avgör vilken roll som tilldelas, då behörigheten följer uppgifterna i anställningsavtalet. Justering av behörighet kan också beställas och attesteras av överordnad chef genom en behörighetsblankett som skickas till Lön & Pension samt Team Drift. För Heroma finns ingen särskild rutin för översyn av behörigheter. Behörigheter genereras i Heroma baserat på information om medarbetares roll och anställningsavtal. Däremot gör systemförvaltare en årlig genomgång av behörigheter för att se om något ligger fel. Den dokumenteras dock inte. Raindance är kommunens ekonomisystem. Uppgifter förs över från databas i Heroma och ProCapita till Raindance, som fungerar som huvudbok. För Raindance finns ingen särskild rutin för översyn av behörigheter då de justeras automatiskt vid avslut. Av det underlag som vi mottagit går det inte att styrka att det finns framtagna rutinbeskrivningar som säkerställer att filerna som skickas till Raindance är korrekta. Beloppsgränser för beslutsattestanter bör ses över i syfte att säkerställa likartade rutiner och uppdrag. Servicecenter meddelar att varje förvaltning påverkar sina egna beloppsgränser. Ledningsgruppen föreslår beloppsgränser och förmedlar till vidare förslaget för beslut i berörd politisk nämnd. Koncernstaben uppger att ingen översyn av beloppsgränser för beslutsattestanter har genomförts. En sannolik förklaring till att ingen åtgärd vidtagits är att granskningsrapporten fallit mellan stolarna och att ingen har tagit tag i frågan. Rutiner för loggning av användare med hög behörighet som rapporteras till närmast överordnad chef bör införas. Enligt förvaltningen finns allmänna loggningsrutiner inbyggda i samtliga system (Raindance, Heroma och ProCapita), vilka även fanns på plats i samband med granskningens genomförande. Utifrån det underlag som EY tagit del av går det inte att styrka att rutinbeskrivningar för kontroll eller uppföljning av loggning av användare tagits fram enligt granskningsrapportens rekommendationer. För Heroma sker all loggning i systemet. Enligt förvaltningen tas varje månad utanordningslistor fram till chef. Dessa säkerställer att lönekörningen gått rätt till. Det är alltid två personer (chef och en utvald person) som analyserar utanordningslistorna. Så har arbetssättet varit sedan Heroma började användas 2010, enligt förvaltningen. De beskriver att attester görs genom Heroma eller via pappersblankett. Vid vår granskning av löner har vi noterat en avsaknad av kontroll och uppföljning vad gäller attest av utanordningslista. Av revisorernas granskning av löneadministration (2016) framkom brister i uppföljningen av huruvida alla ansvariga chefer attesterat utanordningslistorna. Granskningen rekommenderade därför tvingande kontroll av utanordningslistor genom attestering, samt uppföljning av att attestering görs. Enligt förvaltningen möjliggör systemet att kunna fånga 15

17 upp ej attesterade utanordningslistor, vilket skulle kunna genomföras halvårsvis. Det framgår inte av förvaltningens svar huruvida denna möjlighet utnyttjas eller inte. Innan lönekörning går, enligt uppgift, en systemförvaltare igenom en lista på höga brutto- och nettolöner. Enligt förvaltningen genomförs loggning sporadiskt, ofta i samband med att ett fel upptäcks. Om ett fel som upptäcks är ett uppenbart misstag kontaktas inte överordnad chef. Vid upprepade fall är det sannolikt att chef kontaktas. Av intervjuer framgår att arbetsgången vid upptäckta fel inte fungerar enhetligt. Ibland kontaktas överordnad chef, och ibland inte. Koncernstaben meddelar att loggning av användare med hög behörighet inte tillämpas för ekonomisystemet Raindance. Förvaltningen bedömer att ett sådant införande skulle vara resurskrävande och utöver granskningsrapporten har inget behov av detta påtalats. Sannolikt är att även detta arbete fallit mellan stolarna. Dokumenterade rutiner för tilldelning, avslut och förändring av behörigheter bör upprättas inklusive rutiner för att säkerställa att förändringar av anställningar rapporteras till systemförvaltare för Heroma. I december 2016 framtogs en rutinbeskrivning för nyupplägg/ändring och avslut av behörigheter i Heroma. Den beskrivna arbetsgången i rutinen innebär att när en ny chef anställs, meddelar lönehandläggare TeamDrift som i sin tur lägger upp behörighet, efter att ha erhållit anställnings- och lönebeslut. Ändring och avslut av chefsbehörighet görs genom skriftligt besked av överordnad chef. Beskedet ska innehålla personnummer, namn och ändringen. EY har mottagit rutinbeskrivningen och noterar att de olika stegen i processen tillsammans med ansvariga funktioner finns beskrivna. Dock har inga rutinbeskrivningar tagits fram, för att säkerställa att förändringar av anställningar rapporteras till Heromas lönehandläggare. Vid kompletterande intervjuer framkommer att systemförvaltare inte alltid lämnar anställningsdokument med kopia till systemförvaltare. Detta trots att arbetsgången är allmänt känd hos medarbetare och att systemförvaltare och lönehandläggare har gemensamma kontor. I vissa fall kan vara befogat att göra en mer strukturerad analys vid tilldelning av behörigheter i syfte att säkerställa rätt behörighetsnivåer. Utöver rutinbeskrivningen för nyupplägg/ändring eller avslut av behörighet i Heroma framgår inte att något ytterligare arbete med att genomföra strukturerade analyser vid tilldelning av behörighet genomförts. För Raindance finns endast två behörighetsnivåer som enligt koncernstaben är relativt okomplicerade. Mallar för behörighetsnivåer är enligt uppgift inte avancerade och kräver enligt förvaltningen inte en strukturerad analys. I ProCapita finns sedan tidigare rutiner genom att återkoppling görs till beställande chef i de fall oklarheter kring ärenden finns. För Heroma har ytterligare analys vid tilldelning av behörigheter ej heller tagits fram. När en lönehandläggare ska ha sin behörighet beställs den genom chef. I de fall tveksamheter kring behörighet uppstår tas kontakt med personen som skrivit under beställningsblanketten, överordnad chef. I systemet finns en lista på alla personer med tittbehörighet. I dagsläget finns inte rutiner som säkerställer att dessa behörigheter är aktuella eller uppdaterade. Årsvisa förteckningar över attester och högre behörigheter i Heroma bör sammanställas och arkiveras. Alla beställda behörigheter sparas i pappersform på löneenheten, vilket är den enda arkiveringen. Förvaltningen meddelar att förteckningar inte tagits fram. I Heroma är det 16

18 möjligt (för systemförvaltare) att när som helst gå in i systemet och se vem som har vilken behörighet. Förvaltningen redogör inte för några särskild skäl till att rekommendationen inte genomförts Socialnämnden Följande svar har inkommit gällande de rekommendationer lämnades som vid tillfället för granskningen, med fokus på ProCapita: Kontinuerliga översyner, speciellt gällande högre behörighet, bör göras för att säkerställa att användares behörighetsnivåer är adekvata utifrån exempelvis förändrade rutiner och uppdrag. Rutiner för löpande kontroll av förändringar av behörigheter i de granskade systemen bör upprättas. Beloppsgränser för beslutsattestanter bör ses över i syfte att säkerställa likartade rutiner och uppdrag. Rutiner för loggning av användare med hög behörighet som rapporteras till närmast överordnad chef bör införas. I vissa fall kan vara befogat att göra en mer strukturerad analys vid tilldelning av behörigheter i syfte att säkerställa rätt behörighetsnivåer. Behörigheter i ProCapita säkerställs genom beställning av överordnad chef. Behörigheter ses över en gång per år av systemadministratör i samband med att listan för behörigheter skall uppdateras för eventuell kontroll av Datainspektionen. Återkoppling med beställande chef vid oklarheter gällande behörigheter genomfördes även under Loggningsrutiner av användare har varit på plats inom ProCapita sedan länge och revideras årligen. Inga nya rutiner utöver de inbyggda loggningsrutinerna finns på plats. Slumpmässig loggning av användare sker veckovis i ProCapita. Kontrollen innebär att kommunens handläggare eller externa utförare väljs ut på ett slumpmässigt sätt av en automatiserad process med hjälp av en Excel-baserad applikation. Systemet känner av vad som förändrats i ProCapita under veckan, och en lista på förändringarna tillhandahålls automatiskt från Servicecenter. Enskilda handläggares tjänsteutövning i systemet kontrolleras utifrån de aktiviteter som registrerats i systemet. I förekommande fall informeras den anställde om att dennes aktiviteter i ProCapita kontrollerats, och om ingen misstanke om missbruk uppstår raderar arbetsledaren informationen. Allt detta fanns enligt socialförvaltningen på plats även vid granskningstillfället Av det underlag som vi mottagit går det inte att styrka att åtgärder vidtagits efter att rekommendationen lämnades. Dokumenterade rutiner för tilldelning, avslut och förändring av behörigheter bör upprättas inklusive rutiner för att säkerställa att förändringar av anställningar rapporteras till systemförvaltare för Heroma. Årsvisa förteckningar över attester och högre behörigheter i Heroma bör sammanställas och arkiveras. Årsvisa förteckningar över attester och högre behörigheter i de granskade systemen bör upprättas. Dessa rekommendationer avser Heroma, som socialnämndens verksamheter inte berörs av. Socialförvaltningen har därför inte tagit ställning till dessa rekommendationer. Systemförvaltningen av Heroma handhas av Servicecenter. Socialtjänsten tar inte fram egna rutiner avseende Heroma, utan följer det som Servicecenter tar fram. 17

19 5.2. Samlad bedömning utifrån den uppföljande granskningen Av nedanstående tabell framgår lämnade rekommendationer i tidigare granskning, huruvida rekommendationerna har åtgärdats eller ej samt våra kommentarer. Kommunstyrelsen Socialnämnden Rekommendation Åtgärd Kommentar Åtgärd Kommentar Kontinuerliga översyner, speciellt gällande högre behörighet, bör göras för att säkerställa att användares behörighetsnivåer är adekvata utifrån exempelvis förändrade rutiner och uppdrag. Nej Vi kan inte styrka att åtgärder vidtagits efter att rekommendationen lämnades. Nej Vi kan inte styrka att åtgärder vidtagits efter att rekommendationen lämnades. Beloppsgränser för beslutsattestanter bör ses över i syfte att säkerställa likartade rutiner och uppdrag. Nej Enligt förvaltningen har ingen översyn av beloppsgränser för beslutsattestanter genomförts. Ej tillämplig Rutiner för loggning av användare med hög behörighet som rapporteras till närmast överordnad chef bör införas. Nej Vi kan inte styrka att rutiner för loggning införts. Ej tillämplig Dokumenterade rutiner för tilldelning, avslut och förändring av behörigheter bör upprättas inklusive rutiner för att säkerställa att förändringar av anställningar rapporteras till systemförvaltare för Heroma. Delvis Rutinbeskrivning för tilldelning, avslut och förändring av behörighet finns dokumenterad. Ej tillämplig I vissa fall kan det vara befogat att göra en mer strukturerad analys vid tilldelning av behörigheter i syfte att säkerställa rätt behörighetsnivåer. Nej Vi kan inte se att det förekommer genomgång av dokumentation kring vilka roller som ska ha vilka behörigheter, eller regelbunden kontroll/uppföljning av detta. Ej tillämplig Rutiner för löpande kontroll av förändringar av behörigheter i de granskade systemen bör upprättas. Nej Av det underlag vi erhållit kan vi inte styrka att rutiner för att kontrollera förändrade behörigheter upprättats. Nej Uppföljning och kontroll sker genom lagstadgad skyldighet via Datainspektionen 18