Granskning av manuella utbetalningar svar på revisionsskrivelse

Transkript

1 1 september 2014 KS-2014/ (11) HANDLÄGGARE Åsa Brunkvist Pia Nordeman Kommunstyrelsen Granskning av manuella utbetalningar svar på revisionsskrivelse Förslag till beslut Kommunstyrelsens beslut Som svar på revisionsskrivelsen från Huddinge kommuns revisorer, daterad , åberopas innehållet i kommunstyrelsens förvaltnings tjänsteutlåtande KS 2014/ , daterat den 1 september Sammanfattning Kommunens revisorer har med stöd av EY genomfört en granskning av utbetalningar kopplade till social- och äldreomsorgsförvaltningen och barnoch utbildningsförvaltningen. Granskningen har syftat till att bedöma kommunens interna kontroller kopplade till utbetalningsprocesserna. Utbetalningar till ett värde av drygt 4,5 miljarder kr hanteras av förvaltningarna via tre system, lönesystemet (Heroma), ekonomisystemet (Agresso) och ärendehanteringssystemet (Procapita). Inom flera områden har granskningen visat att rutinerna och den interna kontrollen fungerar bra. Det gäller bland annat utbetalningar via ekonomisystemet och via ärendehanteringsystemet inom barn- och utbildningsförvaltningen. EY har funnit att den interna kontrollen behöver förstärkas vid utbetalningar inom lönehanteringssystemet och vid utbetalningar av försörjningsstöd och kommunens revisorer önskar ta del av kommunstyrelsens kommentarer och slutsatser kring fyra rekommendationer. - Kommunstyrelsen bör omgående genomföra en genomgång av de rutiner och processer som ligger till grund för utbetalningar i Procapita och Heroma. - Kommunstyrelsen bör se över möjligheten att reducera antalet anställda med access att påverka utbildningsinformation i Hermona. - Kommunstyrelsen bör implementera en logglista över förändringar i fast data i både Procapita och Heroma samt tillse att denna på kontinuerlig basis gås igenom. - Rutinen för utbetalningar via Procapita bör ses över och relevanta kontroller bör införas. POSTADRESS BESÖKSADRESS Kommunstyrelsens förvaltning Kommunalvägen 28 Ekonomiavdelningen Huddinge kommun, Huddinge TELEFON (VX) OCH FAX E-POST OCH WEBB huddinge@huddinge.se

2 1 september 2014 KS-2014/ (11) Kommunstyrelsens förvaltning har gjort en genomgång av de rutiner och processer som nämns ovan utifrån revisorernas rekommendationer. Våra sammanfattande kommentarer per system följer nedan. Agresso: Då såväl vår egen som EYs bedömning är att den interna kontrollen är god gällande rutiner kring Agresso så avser vi inte att vidta några särskilda åtgärder med anledning av denna rapport. Heroma: Chefsuppdrag i Huddinge kommun innebär att chefer är ansvariga för personal, ekonomi och verksamhet. I de fall behörighet har delegerats till administrativ personal så innebär inte det att ansvaret för utbetalningarna flyttats. Ansvaret ligger kvar på chef. Dagens hantering av Heroma är till del decentraliserad till samtliga förvaltningar. Vår bedömning är att den interna kontrollen är god. Procapita: Social- och äldreomsorgsförvaltningen saknar den funktionalitet som finns i Procapita som kan hantera loggar av fast data såsom förändringar av mottagarkonto vid utbetalningar. Socialnämnden ställer sig positiv till att en sådan tilläggsmodul införskaffas och kommunstyrelsens förvaltning bedömer att arbetet med att införskaffa och implementera en sådan loggningsfunktion bör prioriteras. Den samlade bedömningen är att det föreligger relevanta interna kontroller i samband med utbetalningar av försörjningsstöd. Kommunstyrelsens förvaltnings förslag är att en vidare genomgång av rutinerna med tillhörande moment för att säkerställa en god intern kontroll genomförs. Beskrivning av ärendet Kommunens revisorer har med stöd från EY granskat kommunens betalningsflöden kopplade till social- och äldreomsorgsförvaltningen (SÄF) och barn- och utbildningsförvaltningen (BUF). Syftet med granskningen har varit att bedöma kommunens interna kontroller kopplade till utbetalningsprocesserna inom dessa förvaltningar. Förvaltningarna betalar årligen ut drygt 4,5 miljarder kr där drygt 65 procent betalas ut genom kommunens lönehanteringssystem Heroma. Runt 20 procent betalas ut genom kommunens ekonomisystem Agresso och avser leverantörsbetalningar och andra utbetalningsunderlag och cirka 15 procent betalas ut genom Procapita. Procapita används inom BUF för dokumentation och inom SÄF som ett ärendehanteringssystem. Därutöver sker utbetalningar till ICA-kort som finns inom vissa enheter.

3 1 september 2014 KS-2014/ (11) Ansvaret för lönehantering är decentraliserat till respektive chef. Inom enheterna är det vanligt med administrativ personal som praktiskt sköter hanteringen av systemet. Dessa personer har tilldelats samma behörighet som chef vad gäller registrering av uppgifter. Både chefer och administrativ personal, drygt 270 personer inom de berörda förvaltningarna, har behörighet att ändra fast data utan attest med undantag för det som gäller sin egen person. Chef ska månatligen attestera en lista som innehåller de anställdas löner. Listan innehåller namn och lön för perioden och saknar jämförelser mot tidigare utbetalning eller lön enligt anställningsavtal. EY:s bedömning är att den interna kontrollen kopplat till Heroma har brister. Utbetalningar kan göras utan attest från chef och även om chef månatligen ska attestera utbetalningslistorna är denna kontroll manuell och EY:s granskning visar att gällande attester saknats. EY ser också svårigheter att fånga upp felaktiga utbetalningar genom att det i utbetalningslistan saknas möjlighet till jämförelser. Vid de stickprov som genomförts på löneutbetalningar har inga avvikelser noterats. Processen för utbetalningar i Agresso är sedan 1 februari i år centraliserad och hanteras av kommunstyrelsens förvaltning (KSF). EY anser att förändringen bidrar till att ytterligare stärka de interna kontrollerna då ansvaret för leverantörsfakturor och manuella betalningar lyfts från respektive förvaltning till en centraliserad enhet. Leverantörsfakturor som attesteras elektroniskt går i ett förutbestämt flöde som kräver dubbel attest och följer delegationsordningen. För det manuella betalningsflödet kontrolleras underlagen av administrativ personal som säkerställer att attesten är riktig. Nya leverantörer kontrolleras, bland annat att de innehar F-skatt och saknar skatteskulder innan de registreras i systemet. Registreringen attesteras sedan av behörig person. Efter attest av utbetalningsunderlagen tas ett betalningsförslag fram med dagens utbetalningar. Innan betalningarna kan skickas iväg attesteras förslaget av behörig person. De färdiga betalningsfilerna kontrolleras av ett externt företag som ger signaler om bland annat dubbelbetalningar och betalningar till företag som saknar F-skatt. EY bedömer att det finns väl fungerade interna kontroller för utbetalningar via Agresso. ICA-kort, kreditkort och handkassor används i olika utsträckning inom de båda förvaltningarna. Oavsett hur inköp sker ska kvittona kompletteras med samma uppgifter som vanliga inköp vad gäller syfte och i förkommande fall deltagare. Kvitton attesteras av två personer varav den ena är överordnad chef. En administratör granskar de attesterade underlagen innan utbetalning. EY har vid granskningen inte funnit några brister i den interna kontrollen.

4 1 september 2014 KS-2014/ (11) BUF använder Procapita kopplat till utbetalningar inom förskole- och grundskoleverksamheten. Externa utförare får ersättning utbetald genom systemet. Innan en elev eller ett förskolebarn registreras i systemet kontrolleras folkbokföringsadress och vilken förskola/skola som är aktuell för ersättning. I steg två sker utskrift och kontroll av utbetalningslistan till externa utförare som sedan attesteras av behörig person. Därefter skapas en utbetalningsfil som skickas till Agresso för utbetalning. EY har granskat processen utan anmärkning. Inom SÄF används Procapita för registrering av beslut inom både socialomsorg och äldreomsorg. För försörjningsstöd hanteras även utbetalningar kopplade till besluten. Drygt 15 procent av SÄF:s utbetalningar sker genom Procapita. När ett beslut om försörjningsstöd fattats av behörig person beräknas och registreras utbetalningen oftast av en utredningsasssistent i systemet. Registreringen kan ske av beslutsfattaren eller av en utredningsassistent. Dagens utbetalningar finns på en lista som innehåller namn, kontonummer och belopp. Listan skrivs ut för kontroll, uppföljning och attest av ansvarig chef. Assistent kontrollerar vanligen bara att kontonumren på listan innehåller rätt antal siffror. Inom ramen för ett beslut finns många gånger externa leverantörer som utför och fakturerar olika typer av tjänster, exempelvis för tandvårdskostnader. Dessa kostnader hanteras också via systemet. Utbetalningar via Procapita inom SÄF kan utföras av en person och drygt 40 personer har möjlighet att ändra fast data utan att ändringarna loggas eller godkänns vilket ytterligare bidrar till att försvaga säkerheten vid utbetalningar. I Procapita finns en logg som registrerar ändringar i systemet men den funktionaliteten används inte inom SÄF. Detta möjliggör att förändringar av exempelvis kontonummer kan göras utan någon annans godkännande. Inom äldreomsorgen har EY granskat processen utan anmärkning. Granskningen har föranlett följande rekommendationer: Kommunstyrelsen bör omgående genomföra en genomgång av de rutiner och processer som ligger till grund för utbetalningar i Procapita och Heroma Kommunstyrelsen bör se över möjligheten att reducera antalet anställda med access att påverka utbetalningsinformation i Heroma Kommunstyrelsen bör implementera en logglista över förändringar av fast data i både Procapita och Heroma samt tillse att denna på kontinuerlig basis gås igenom Rutinen för utbetalningar via Procapita bör ses över och relevanta interna kontroller bör införas.

5 1 september 2014 KS-2014/ (11) Ärendet har varit ute på remiss till socialnämnden, äldreomsorgsnämnden, förskolenämnden, grundskolenämnden samt gymnasienämnden. Remissinstansernas synpunkter Socialnämnden och äldreomsorgsnämnden Socialnämnden och äldreomsorgsnämnden har i sina yttranden angett att av de 123 personer som har rätt att ändra fasta data utan attest i Heroma, är 81 chefer, som måste kunna administrera fasta data i Heroma för att kunna sköta löneutbetalningarna. Här bör påpekas att dessa inte kan ändra sin egen lön. Förändringar av månadslönen sker vid den årliga löneöversynen alternativt vid nytt lönebeslut. Nya lönebeslut eller tillägg attesteras och dokumenteras av förvaltningens personalenhet. Delegering av behörighet till administrativ personal innebär inte att ansvaret för utbetalningarna har flyttats. Ansvaret ligger kvar hos chefen som attesterar utanordningslistan. Utbetalningar via Procapita inom socialnämndens ansvarsområde görs löpande och i stort antal. Det finns tre personer med attestmöjligheter och dessa kan inte finnas tillgängliga för attest vid varje sådant tillfälle under en arbetsdag. SÄF arbetar istället med efterkontroller. Vid utbetalningar av försörjningsstöd skrivs dagligen en lista ut från systemet för kontroll och attest av namn, kontonummer och belopp. EY skriver i granskningsrapporten att assistenten kontrollerar vanligen bara att kontonumren på listan innehåller rätt antal siffror. Nämnden känner inte igen detta yttrande och menar att påståendet är felaktigt. Listan kontrolleras i själva verket i sin helhet och all information gås igenom. När det gäller ändring av kontonummer måste den sökande av försörjningsstöd varje månad lämna in kontoutdrag. Detta bekräftar att mottagarkontot är detsamma som finns registrerat i Procapita. Utöver detta finns en handläggare som enbart arbetar med felaktiga utbetalningar. I det arbetet ingår att utreda misstänkta bedrägerier men även att titta på om man från förvaltningens sida gjort något fel i handläggningen. EY påtalar vikten av att en logg finns tillgänglig där eventuella ändringar i fasta data, samt information om vem som gjort ändringarna, framgår. SÄF har tidigare ställt frågan till leverantören av systemet, Tieto, och fått svaret att en sådan funktion är möjlig att köpa som ett tillägg. Nämnden ställer sig positiv till att en sådan tilläggsmodul införskaffas. Nämnden anser att rutiner för utbetalningar som finns och används är tillräckligt säkra, samt utformade för att fungera optimalt inom verksamheten. Antalet anställda med full behörighet att genomföra utbetalningar går inte att minska.

6 1 september 2014 KS-2014/ (11) Förskolenämnden, grundskolenämnden och gymnasienämnden Barn- och utbildningsförvaltningen anger i det remissvar som behandlas av förskolenämnden, grundskolenämnden och gymnasienämnden 9-11 september att det idag finns tydliga roller, rutiner och utbildningar för att hantera utbetalningar via Heroma men välkomnar samtidigt att kommunstyrelsen tar fram förslag som kan förstärka rutinerna. Förvaltningens synpunkter EY har i sin revisionsrapport tagit upp olika aspekter av hantering av manuella utbetalningar inom SÄF:s och BUF:s verksamheter som man anser kan utgöra en säkerhetsrisk. Inom flera områden har granskningen visat att rutinerna och den interna kontrollen fungerar bra. Det gäller bland annat utbetalningar i Agresso och via Procapita inom BUF. EY har i granskningsrapporten funnit ett antal brister i den interna kontrollen kopplad till Heroma och till Procapita. Kommunens revisorer önskar med anledning av granskningen och de resultat som framkommit ta del av kommunstyrelsens kommenterar och slutsatser. Nedan beskrivs respektive rekommendation och förvaltningens svar på revisorernas rekommendationer. Kommunstyrelsen bör omgående genomföra en genomgång av de rutiner och processer som ligger till grund för utbetalningar i Procapita och Heroma Heroma Chefsuppdrag i Huddinge kommun innebär att chefer är ansvariga för personal, ekonomi och verksamhet. Det är chef som är ytterst ansvarig för vad som går ut i lön och ersättningar via Heroma. I de fall behörighet har delegerats till administrativ personal så innebär inte det att ansvaret för utbetalningarna flyttats. Ansvaret ligger kvar på chef. Chef attesterar utanordningslistan. Innan möjlighet ges att kunna förändra fast data i systemet genomgår man en tre och enhalvdagars utbildning, först därefter ges behörighet. I samband med utbildningen får man också en genomgång av vilka kontroller och bevakningar som ska göras varje månad. Manual finns på Intranätet och är senast reviderad Manualen behöver ses över och revideras. Förvaltningarnas personalavdelningar tar fram bevakningslistor och signallistor inför löneutbetalningar. Ekonomiavdelningen vid kommunstyrelsens förvaltning tog 2011 fram Instruktioner för attest och utanordning avseende ekonomiska transaktioner. I dessa instruktioner tydliggörs vad som gäller avseende

7 1 september 2014 KS-2014/ (11) attester, se bilaga. Överordnad chef ska med sin attest komplettera underordnade chefers beslutsattester avseende löneutbetalningar samt i samband med detta också attestera sina underordnade chefers löner. Attesten ska göras i omedelbart samband med utbetalningstillfället. En överordnad attest av en löneutbetalning innebär ett intygande av att: löneutbetalningarna vid underordnade chefers enheter bedöms motsvara den personal som arbetar där samt bedöms i övrigt vara korrekta. den överordnande chefens underställda chefers löneutbetalningar är helt korrekta. Attest av utanordningslistorna utgör en central del av hur systemet idag fungerar och ansvarsmässigt säkerställs. Chefer kan kontrollera tidigare månaders utanordningslistor i Heroma. En jämförelse mot föregående månads utbetalning eller ännu tidigare utbetalningar kan alltid göras. Utanordningslistan innehåller alla transaktioner som belastar chefens ekonomiska ansvar per person/anställd. Utöver månadslön och gjorda tillägg och avdrag redovisas även po-pålägget. Listan innehåller både namn och personnummer. Central systemförvaltning vid kommunstyrelsens förvaltning går regelbundet igenom vilka utanordningslistor som inte är signerade och skickar dessa uppgifter till respektive personalavdelning. I instruktionerna för attest och utanordning av ekonomiska transaktioner framgår att attest ska göras i omedelbart samband med utbetalningstillfället. Utanordningslistorna skapas runt den i månaden beroende på vilken månad och faktiskt utbetalningsdatum. När utanordningslistan är skapad finns den tillgänglig på chefens startsida i Heroma. Kommunstyrelsens förvaltning kommer att förtydliga informationen genom att publicera en tidsplan för vilket datum i respektive månad som utanordningslistan finns klar för elektronisk signering. Förvaltningen kommer även att förtydliga gällande instruktioner och information om aktuell driftstatus för Heroma i anslutning till intranätets uppdatering under hösten Förändring av den fasta månadslönen sker i samband med löneöversyn. För övriga förändringar av månadslön eller beslut om tillägg ska attesterade beslutsunderlag finnas som förvaras på förvaltningarnas personalavdelningar.

8 1 september 2014 KS-2014/ (11) Vissa ersättningar som går ut via systemet är styrda utifrån arbetstidsförläggning som till exempel ersättning för obekväm arbetstid s.k. ob-ersättning. Andra typer av ersättningar kan vara semesterdagstillägg, beredskapsersättning eller övertidsersättning. Förändringarna i löneutbetalningarna beror inte bara på tillägg utan även på gjorda avdrag för olika typer av frånvaro. De ersättningar som registreras manuellt i systemet ska alltid föregås av ett attesterat underlag som sparas på arbetsplatsen. Det finns även spärrar i systemet som exempelvis inte medger mer friskvårdspeng än vad kommunen har beslutat om. Reseräkningar hanteras av central systemförvaltning. Underlagen ska vara attesterade och eventuella kvitton ska medfölja. Underlaget sparas på kommunstyrelsens förvaltning. Personliga omkostnader i form av representation (intern eller extern) utbetalas inte via Heroma utan ska hanteras i Agresso. Procapita Reglementet för attest och utanordning reglerar särskild vad som gäller vid utbetalningar av försörjningsstöd: Den överordnade chef som tecknar en attest avseende försörjningsstöd och klientfakturor inom verksamheten arbete och försörjning måste förvissa sig om att det finns rutiner för intern kontroll, t ex stickprovskontroller, som säkerställer att beslut om försörjningsstöd är rätt fattat och överensstämmer med lagar och avtal samt gällande delegationsordning, nämndbeslut eller motsvarande samt att utbetalningen sker till rätt person. Kommunstyrelsens förvaltning har varit i kontakt med SÄF kring de rutiner som ligger till grund för utbetalningar av försörjningsstöd och klientfakturor för att få kompletterande information kring hur processen fungerar. Utbetalning av försörjningsstöd via Procapita görs löpande och i stort antal och behöver ofta ske snabbt efter beslut. En avvägning måste därför göras vilka kontroller som ska göras innan utbetalning och vilka som ska ske i efterhand. En socialsekreterare utreder och fattar beslut om en inkommen ansökan om försörjningsstöd. Vid bifall överlämnar socialsekreteraren sedan ärendet till en utredningsassistent för beräkning och utbetalning av bidraget. Två särskilt utsedda personer har ansvar för att öppna nya ärenden i systemet. Det görs inte av samma person som fattar beslut om bidraget. Det är därför alltid två olika personer inblandade i en utbetalning.

9 1 september 2014 KS-2014/ (11) Inför utbetalningar av försörjningsstöd skrivs dagligen en lista ut från systemet för kontroll och attest av namn, kontonummer och belopp. Här görs rimlighetskontroller mot försörjningsstödsnormer och av belopp etc. Efter utförd betalning sker en efterkontroll av dagens utbetalningar av ansvarig chef. Kontrollen sker slumpmässigt av ett antal ärenden och då görs kontroll mot samtlig dokumentation som finns om utbetalningen. De ärenden som kontrollerats bockas av på listan som sedan arkiveras. Därutöver sker fler kontroller. Den sökande av försörjningsstöd måste varje månad lämna ett kontoutdrag. Utdraget bekräftar att mottagarkontot är detsamma som finns registrerat i Procapita. Det finns en handläggare som enbart arbetar med felaktiga utbetalningar. Den huvudsakliga arbetsuppgiften är att utreda om felaktiga uppgifter lämnats av den sökande. Oftast handlar det om att den sökande undanhåller inkomster eller lämnar felaktiga uppgifter om hushållssammansättningen. I arbetsuppgifterna ingår även att granska om bistånd utbetalas till rätt konto. I funktionen ingår också att se till att ansökningsförfarandet blir riktigt från början i alla aspekter. Kommunstyrelsen bör se över möjligheten att reducera antalet anställda med access att påverka utbetalningsinformation i Heroma. Chefsuppdrag i Huddinge kommun innebär att chefer är ansvariga för personal, ekonomi och verksamhet. Det är chef som är ytterst ansvarig för vad som går ut i lön och ersättningar via Heroma. I de fall behörighet har delegerats till administrativ personal så innebär inte det att ansvaret för utbetalningarna flyttats. Ansvaret ligger kvar på chef. Chef attesterar utanordningslistan. Innan möjlighet ges att kunna förändra fast data i systemet genomgår man en tre och enhalvdagars utbildning, först därefter ges behörighet. I samband med utbildningen får man också en genomgång av vilka kontroller och bevakningar som ska göras varje månad. Manual finns på Intranätet och är senast reviderad Manualen behöver ses över och revideras. Dagens decentraliserade hantering av Heroma bygger på ovanstående hörnstenar. Vår bedömning är att den interna kontrollen är god och några förändringar utöver ovan nämnda omarbetning av manualen planeras för närvarande inte.

10 1 september 2014 KS-2014/ (11) Kommunstyrelsen bör implementera en logglista över förändringar av fast data i Procapita och Heroma samt tillse att denna på kontinuerlig basis gås igenom. Heroma Alla transaktioner som görs i Heroma loggas. Det finns möjlighet att söka logg för vad som är gjort och av vilka för en specifik person. Det går också bra att logga ändringar utförda av en viss person. Logg finns också för ändringar som är gjorda av mig. Utöver det kan man söka logg på allt enligt urval. Kommunstyrelsens förvaltning föreslår att månatliga stickprov tas från logglistan över dels förändringar i anställningen och dels över rörliga tillägg och avdrag och begär in underlag från förvaltningarna. Procapita SÄF saknar den funktionalitet som finns i Procapita som kan hantera loggar av fast data såsom förändringar av mottagarkonto vid utbetalningar. SÄF har tidigare ställt frågan till leverantören av systemet, Tieto, och fått svaret att en sådan funktion är möjlig att köpa som ett tillägg. Socialnämnden ställer sig positiv till att en sådan tilläggsmodul införskaffas och kommunstyrelsens förvaltning bedömer att arbetet med att införskaffa och implementera en sådan loggningsfunktion bör prioriteras Rutinen för utbetalningar via Procapita bör ses över och relevanta interna kontroller bör införas Mot bakgrund av hur rutinen beskrivs under punkten rutiner och processer ovan tillsammans med den kompletterande muntliga informationen från verksamhetsansvarig inom arbete och försörjning som kommunstyrelsens förvaltning har fått, gör förvaltningen den samlade bedömningen att det föreligger relevanta interna kontroller i samband med utbetalningar av försörjningsstöd. Det genomförs flera olika kontrollmoment både före och efter utbetalning. Huruvida dessa är tillräckliga eller borde kompletteras på något vis, bedömer vi behöver utredas vidare. Bedömningen grundar sig på att den beskrivning som vi fått när vi har läst dokumentationen och när vi har pratat med verksamhetsrepresentanter skiljer sig på flera väsentliga punkter. Det gäller t ex med avseende på de interna kontroller som faktiskt finns. Vårt förslag är att en vidare genomgång av rutinerna med tillhörande moment för att säkerställa en god intern kontroll görs av EY. Med tillhörande avstämningar med SÄF och KSF så kan samstämmighet nås kring vilka kontroller som genomförs och om dessa är tillfyllest eller behöver utvecklas.

11 1 september 2014 KS-2014/ (11) Vesna Jovic Mats Öberg Henric Magnusson Kommundirektör Ekonomidirektör Personaldirektör Bilagor 1. Revisionsskrivelse Revisionsrapport, Granskning av manuella utbetalningar 3. Socialnämndens remissvar på revisionsskrivelse om granskning av manuella utbetalningar 4. Äldreomsorgsnämndens remissvar på revisionsskrivelse om granskning av manuella utbetalningar 5. Barn- och utbildningsförvaltningens svar på remiss avseende revisionsrapport om granskning av manuella utbetalningar 6. Instruktion för attest och utanordning avseende ekonomiska transaktioner Beslutet delges Huddinge kommuns revisorer Förskolenämnden Grundskolenämnden Gymnasienämnden Socialnämnden Äldreomsorgsnämnden