Intern kontroll inom HR. Revisionsrapport. LANDSTINGETS REVISORER Revisionskontoret

Transkript

1 Intern kontroll inom HR Revisionsrapport LANDSTINGETS REVISORER

2 REV63 2(11) Sammanfattning Revisorernas granskning mars 2013 visade att Landstingsstyrelsen och nämnderna inte hade en ändamålsenlig organisation för arbetet med intern kontroll. Detta främst som en följd av att internkontrollprocess, policy, riskvärdering och kontroll inte fullt ut anpassats till den nya nämnds- och förvaltningsorganisationen. Syftet med granskningen är att bedöma om Landstingsstyrelsen vidtagit tillräckliga åtgärder för att säkerställa en ändamålsenlig intern kontroll. Granskningen är inriktad mot HR-området. Granskningen visar att styr- och kontrollmiljön ger goda förutsättningar att utveckla den interna kontrollen men också att det fortfarande är oklart hur den interna kontrollen ska integreras med styrning och ledning i landstinget. Landstingets policy för internkontroll är inte uppdaterad och behovet att utveckla riktlinjer och tillämpningsanvisningar utifrån den nya nämnds- och förvaltningsorganisationen kvarstår. Ansvaret för den interna kontrollen beskrivs övergripande i landstingets policy. Det nu aktuella granskningsområdet illustrerar att ansvar och uppdrag behöver förtydligas. Vi har till exempel inte funnit att HR-avdelningen fått i uppdrag att bidra till att utveckla och integrera den interna kontrollen med styrningen och ledningen av landstinget eller att lämna underlag till styrelsen och nämnderna inför deras årliga ställningstagande kring intern kontroll. Vi saknar en samlad bild över vilka väsentliga risker som finns inom HR-området, både på strategisk och på operativ nivå. Landstingsstyrelsen har ett uttalat uppdrag från fullmäktige att upprätta landstingsgemensamma tillämpningsanvisningar samt att årligen utvärdera landstingets samlade system för intern kontroll. Styrelsen ska också se till att den interna kontrollen är tillräcklig inom sitt verksamhetsområde. Vi bedömer sammantaget att Landstingsstyrelsen bör vidta ytterligare åtgärder för att säkerställa en ändamålsenlig intern kontroll.

3 REV63 3(11) Innehållsförteckning 1 Bakgrund Syfte, revisionsfråga och avgränsning Revisionskriterier Metod Resultat av granskningen Landstingets internkontrollprocess Beslutade planer för uppföljning av intern kontroll inom HR-området Internkontroll inom HR-processerna Införande av ett HR-system Revisionell bedömning...10

4 REV63 4(11) 1 Bakgrund Landstingets revisorer har i mars 2013 genomfört en övergripande granskning av internkontrollprocessen i landstinget. Den samlade bedömningen var att Landstingsstyrelsen och nämnderna inte har en ändamålsenlig organisation för arbetet med intern kontroll. Detta främst som en följd av att internkontrollprocess, policy, riskvärdering och kontroll inte i tillräcklig omfattning anpassats till den nya nämnds- och förvaltningsorganisationen och integrerats med styrningen och ledningen i landstinget. Landstingets revisorer har i 2014 års revisionsplan valt att göra en uppföljande granskning av internkontrollen med inriktning mot HR-området (human resources). Granskningen ingår som en av fyra fördjupade granskningar i årets revisionsplan med kopplingar till HR-området. 2 Syfte, revisionsfråga och avgränsning Syftet med granskningen är att bedöma om Landstingsstyrelsen vidtagit tillräckliga åtgärder för att säkerställa en ändamålsenlig intern kontroll inom HR-området. Utifrån syftet ska följande revisionsfrågor besvaras: Är HR-processerna definierade och beskrivna (dokumenterade)? Är åtaganden, ansvar och befogenheter tydliga och dokumenterade för HR-processerna? Har riskanalyser genomförts och dokumenterats för HR-processerna? Finns en kontrollplan för att förebygga eller minimera risker i HRprocesserna? Granskningen är avgränsad till Landstingsstyrelsens åtgärder för att utveckla den interna kontrollen, med inriktning mot HR-området. Det ingår inte i uppdraget att göra en fördjupad granskning av tillämpningen i verksamheterna. 3 Revisionskriterier Med revisionskriterier avses de bedömningsgrunder som bildar underlag för revisionens analyser och bedömningar. Revisionskriterierna hämtas bland annat från lagar och förarbeten eller interna regelverk, policyer och fullmäktigebeslut. Revisionskriterierna kan också ha sin grund i jämförbar praxis. Enligt kommunallagen ansvarar nämnderna 1 för att verksamheten bedrivs i enlighet med de mål och riktlinjer som fullmäktige bestämt samt de föreskrifter som gäller för verksamheten. Nämnderna ska också se till att den interna kontrollen är tillräcklig samt att verksamheten bedrivs på ett i övrigt tillfredställande sätt. Syftet med den interna kontrollen är att nämnderna ska säkerställa att de fullgör sina uppdrag från fullmäktige och att ge ett skydd mot fel och oegentligheter i 1 Styrelsen är inkluderad i nämndsbegreppet i kommunallagen. Styrelsen har dessutom ett särskilt ansvar att leda och samordna förvaltningen av landstingets angelägenheter och ha uppsikt över övriga nämnders verksamhet.

5 REV63 5(11) verksamheten. En god intern kontroll ska alltså bidra till en ändamålsenlig verksamhet som är effektiv och säker. Kännetecken på en god intern kontroll är en organisation med tydliga och dokumenterade åtaganden, ansvar och befogenheter, med tydliga och tillämpade styr- och uppföljningssystem, med identifierade och dokumenterade rutiner och med tydliga rapporterings- och informationssystem. Kontrollaktiviteterna ska utformas utifrån en bedömning av risk och väsentlighet. 2 Landstingsfullmäktige har givit ett uppdrag att under planperioden införa ett landstingsgemensamt ledningssystem som integrerar övriga ledningssystem inom landstinget. Till införandet av ett gemensamt ledningssystem hör en identifiering och utveckling av landstingets processer för att möjliggöra en effektiv processtyrning. Processerna ska beskrivas och processansvariga utses. En målsättning är att landstingets samtliga styrande och redovisande dokument ska utformas enligt ledningssystemets struktur i syfte att erhålla en effektiv och kraftfull uppföljning av fattade beslut. 3 Landstingsstyrelsen ansvarar för att upprätta landstingsgemensamma tillämpningsanvisningar samt att årligen utvärdera landstingets samlade system för intern kontroll. Landstingsstyrelsen har också fullmäktiges uppdrag att ha hand om frågor som rör förhållandet mellan landstinget som arbetsgivare och dess arbetstagare. Det innebär bland annat att Landstingsstyrelsen är landstingets centrala personalorgan tillika anställnings-, löne- och pensionsmyndighet och beslutar om riktlinjer inom ramen för landstingets övergripande personalpolitik. 4 Metod Granskning genomförs med hjälp av dokumentstudier och intervjuer. Intervjuer har genomförts med HR-direktören och medarbetare vid HR-avdelningen, Ekonomiavdelningen och Löneservice. Samtliga intervjuade har sakgranskat rapporten. Landstingets revisorer har under 2013 genomfört en övergripande granskning av internkontrollprocessen i landstinget. 4 Granskningen utgick från de fem komponenterna för intern styrning och kontroll som ingår i COSO-ramverket: styr- och kontrollmiljö, riskbedömning, kontrollaktiviteter, information och kommunikation samt övervakande aktiviteter. 5 Kopplingen mellan de fem komponenterna och verksamhetens mål samt organisatoriska struktur åskådliggörs i den så kallade COSO-kuben. 6 2 Regeringens proposition 1998/99:66, s och God revisionssed i kommunal verksamhet 2010, s 41 3 Landstingsplan , s 12 4 Ernst & Young, Granskning av landstingets internkontroll, mars Committee of Sponsoring Organizations of the Treadway Commission (COSO) publicerade det ursprungliga ramverket Internal Control Integrated Framework Ramverket har fått ett brett internationellt erkännande inom både privat och offentlig sektor. Sveriges Kommuner och Landsting hänvisar till ramverket i olika idéskrifter kring intern kontroll och riskhantering. Ramverket har också legat till grund för den svenska förordningen om intern styrning och kontroll i statlig verksamhet. 6 Definitionen av intern styrning och kontroll och bilden av COSO-kuben är hämtad ur den svenska översättningen av COSO, Internal control - executive summary, utgiven av IIA Sweden 2013

6 REV63 6(11) Figur COSO-kuben COSO definierar intern styrning och kontroll som en process utförd av en organisations styrelse, ledning och annan personal, utformad för att ge en rimlig försäkran om uppnåendet av mål som rör verksamheten, rapportering och följsamhet gentemot lagar och regler. 5 Resultat av granskningen 5.1 Landstingets internkontrollprocess Revisorernas granskning mars 2013 visade att Landstingsstyrelsen och nämnderna inte hade en ändamålsenlig organisation för arbetet med intern kontroll. Detta främst som en följd av att internkontrollprocess, policy, riskvärdering och kontroll inte fullt ut anpassats till den nya nämnds- och förvaltningsorganisationen och integrerats med styrning och ledning av landstinget. Landstingsstyrelsen och nämnderna instämde i revisorernas slutsatser och behovet att integrera internkontrollen med det ordinarie arbetet med styrning och ledning. Landstingsstyrelsen beslutade, med instämmande av nämnderna, att uppdra till landstingsdirektören att ta fram landstingsgemensamma uppdaterade riktlinjer för landstingets interna kontrollarbete. 7 Ekonomiavdelningen inom Landstingets kansli har fått i uppdrag utarbeta förslag till nya riktlinjer och att dokumentera internkontrollprocessen. Enligt de intervju- 7 Landstingsstyrelsen, , 209, Folkhälso-, primärvårds- och tandvårdsnämnden, , 124, Hälso- och sjukvårdsnämnden, , 118 Regionala nämnden, , 127

7 REV63 7(11) ade är en av stötestenarna hur den interna kontrollen konkret kan integreras med landstingets system för styrning och ledning på alla ledningsnivåer. Vid tiden för granskningen finns inget färdigt förslag framtaget kring policy, riktlinjer eller internkontrollprocess. Ledamöterna i Folkhälso-, primärvårds- och tandvårdsnämnden respektive Regionala nämnden har under 2014 involverats i en mer genomgripande och omfattande riskanalys än tidigare. Riskanalysen har också dokumenterats mer utförligt. Ledamöterna i Hälso- och sjukvårdsnämnden och Landstingsstyrelsen har inte varit involverade i utvecklingen av den interna kontrollen på motsvarande sätt och riskanalysen är mer begränsad. Kontrollområdena har utvidgats, från att tidigare främst berört efterlevnad av regler inom ekonomiområdet. I 2014 års planer finns exempel som berör alla tre perspektiv i COSO-modellen: 1) en ändamålsenlig och kostnadseffektiv verksamhet, 2) tillförlitlig rapportering och information om verksamheten, samt 3) efterlevnad av tillämpliga lagar, föreskrifter, riktlinjer m.m. Återrapporteringen till styrelsen och nämnderna ska enligt planerna ske i samband med delårsrapporteringen och/eller årsredovisningen. Utvecklingen innebär, enligt de intervjuade, att det läggs ett mer övergripande och politiskt ledningsperspektiv på den interna kontrollen än tidigare. Förvaltningarna genomför också uppföljningar och löpande kontroller av verksamheten, utan att det benämns intern kontroll. Tidigare upprättade förvaltningarna anvisningar för den årliga interna kontrollen, anvisningarna följde med som en bilaga till budgetförslaget och beslutades av nämnden/styrelsen, i enlighet med landstingets policy för intern kontroll. Som en konsekvens av detta finns idag ingen samlad dokumentation kring vilken grundläggande intern kontroll inom till exempel HRområdet som åvilar landstingets chefer, eller hur sådana kontroller ska dokumenteras och rapporteras. 5.2 Beslutade planer för uppföljning av intern kontroll inom HR-området Landstingsstyrelsen har i sin plan för 2014 prioriterat följande frågor inom HRområdet: Finns dokumenterade rutiner för hantering av löneutbetalningar och följs rutinerna? Har alla underlag, som till exempel anställningsbeslut och reseräkningar behörigen attesterats? Finns tydliga, säkra rutiner för ändring av fasta uppgifter för löneberäkningen? 8 Folkhälso- primärvårds- och tandvårdsnämnden har i riskanalysen identifierat kompetensförsörjningen som ett väsentligt område. Till stöd för analysen hade förvaltningen presenterat en särskild utredning. Nämnden har beslutat om åtgärder i en särskild handlingsplan och resultatet ska återrapporteras till nämnden var tredje månad. 9 8 Landstingsstyrelsen, , 85 9 Folkhälso-, primärvårds- och tandvårdsnämnden, , 79 och , 101

8 REV63 8(11) Hälso- och sjukvårdsnämnden har inte berört HR-området i sin plan. Riskanalysen är inte dokumenterad. 10 Regionala nämnden har i riskanalysen identifierat bisysslor och arbetsmiljö som väsentliga områden inom HR-området, dessa områden har inte prioriterats i den slutgiltiga planen Internkontroll inom HR-processerna Den personalpolitiska plattformen för åren utgör tillsammans med fyra policydokument 12 grunden för landstingets personalpolitik. Landstingsplanen anger inriktning och mål för treåriga planperioder och balanserad styrning används för den årliga verksamhetsplaneringen och uppföljningen. Målen i Landstingsstyrelsens balanserade styrkort för 2014 har brutits ner i balanserade styrkort för Landstingets kansli. Avdelningarna inom kansliet (däribland HR) har brutit ner målen ytterligare i aktivitetsplaner för Vidare finns särskilda verksamhetskontrakt där vi i granskningen tagit del av HR-direktörens verksamhetskontrakt för Verksamhetskontraktet anknyter till det balanserade styrkortet och aktivitetsplanen. Vi har inte funnit att intern kontroll berörts i den balanserade styrningen eller i verksamhetskontraktet. HR-avdelningen har definierat kompetensförsörjningen som den övergripande stödprocessen inom HR-området och arbetet med att beskriva och fastställa delprocesser pågår. I aktivitetsplanen för 2014 ingår ett uppdrag att fastställa processbeskrivningar för rekryteringsprocessen och lönebildningsprocessen. Rehabiliteringsprocessen är kartlagd sedan tidigare. HR-avdelningen inom Landstingets kansli är organiserad i en strategisk enhet (specialiststöd) och en operativ enhet (verksamhetsnära stöd). 13 Specialiststödet driver och utvecklar huvudprocesserna inom HR och det verksamhetsnära stödet ansvarar för implementering av fastställda processer. HR-direktören är processägare och chefen för specialiststödet är processansvarig. Ansvar och befogenheter för chefer i landstinget regleras i särskilda chefsavtal med tillhörande delegationer kring arbetsmiljö, miljö och brandskydd. Processkartläggningarna visar att ansvarsfördelningar och befogenheter inte är så tydliga när det kommer till de olika stegen i en process. Kartläggningarna visar också att det varit stor skillnad på detaljnivå och innehåll i riktlinjer och rutiner på de tre sjukhusen. Enligt de intervjuade är det nödvändigt att förtydliga ansvarsfördelningen mellan den numera centralt samlade HR-funktionen och cheferna i linjeorganisationen ytterligare utifrån ett processperspektiv. Det har inte formulerats något uppdrag till HR-avdelningen analysera riskerna i HR-processerna och föreslå åtgärder för att reducera riskerna till acceptabla nivåer, kopplat till intern kontroll. HR-avdelningen har inte uppdragits att lämna underlag till Landstingsstyrelsen och nämnderna inför deras ställningstaganden kring 10 Hälso- och sjukvårdsnämnden, , Regionala nämnden, , Arbetsmiljöpolicy, Chefspolicy, Lönepolicy och Medarbetarskapspolicy 13 Inom HR finns även en förhandlingschef och en landstingsövergripande studierektor.

9 REV63 9(11) intern kontroll. Vi har inte heller funnit att det finns beslutade planer för vilka grundläggande baskontroller inom HR-området som landstingets chefer ansvarar för, samt vilka krav som i så fall ställs på innehåll, omfattning, frekvens, dokumentation och rapportering. 5.4 Införande av ett HR-system Landstingsstyrelsen beslutade i februari 2013 om finansiering för upphandling och implementering av ett HR-system. Det övergripande syftet är enligt projektdirektiven att effektivisera HR-stödet med ett heltäckande stöd till en lägre kostnad. Förändringen innebär att landstingets lönesystem från 1986 ersätts i februari 2015 av ett HR-system med stöd för både lönehanteringen och landstingets övriga HRprocesser. Av riskanalysen inför Landstingsstyrelsens beslut om uppföljning av intern kontroll under 2014 framgår att ett nytt HR-system ska införas under Förändring innebär oftast en ökad risk. Väl dokumenterade rutiner som är kända och följs kan minimera risken och underlättar ett säkert genomförande av systembytet. Vi har inte funnit att det formulerats något uppdrag kring intern kontroll till projektgruppen med anledning av styrelsens riskanalys, i samband med beslut om införande av ett nytt HR-system eller i projektdirektiven. Inför upphandlingen av HR-systemet har projektet genomfört en systematisk genomgång av aktiviteterna i löneprocessen och övriga HR-processer utifrån lagar, avtal och behoven i verksamheten. Enligt de intervjuade kommer införandet av ett HR-system att innebära betydligt bättre förutsättningar för intern kontroll. Ett exempel är att systemstödet till cheferna förbättras. Tidigare saknades systemstöd för arbetet med till exempel rehabiliteringsprocessen, vilket skapade behov av manuella rutiner och checklistor för att minska riskerna för oavsiktliga fel och missar. Vidare kommer HR-systemet att vara värdsystem för alla uppgifter som är kopplade till anställning och systemet kommer att vara integrerat med andra system. Idag registreras samma uppgifter i flera olika system för t.ex. lön (Pabas), scheman (TimeCare) och i organisationsoch verksamhetskatalogen (Oktav). Andra delar som påverkar den interna kontrollen är behörighetstilldelning och loggning i systemet. Cheferna kommer också att få direkt tillgång till data kring anställningarna och personalkostnaderna i realtid. Revisorernas granskning mars visade att de kostnadsställeansvariga chefernas uppföljning av Lista var av central och avgörande betydelse för att täcka de säkerhetsbrister som finns i nuvarande lönesystem. Listan finns tillgänglig i det webbaserade uppföljningssystemet BoP-webb och ingår i den månatliga budgetuppföljningen. Cheferna informeras när listan är utlagd och påminns om att de ska meddela felaktigheter till Löneservice. Kravet på uppföljning av Lista 62 framgår endast av Landstingsservice information på intranätet (Standardiserade grundtjänster för löneservice under rubriken Kundens ansvar). Revisorernas tidi- 14 Ernst & Young, Granskning av lönerutinen, mars Lista 62 är en lista som per kostnadsställe specificerar de utbetalningar som har gjorts för månaden på individnivå. Uppgifterna är en ren avspegling av uppgifterna i lönesystemet.

10 REV63 10(11) gare granskning visade att det är tekniskt svårt att följa upp att alla chefer granskar Lista 62, endast närmaste chef har tillgång till denna information. Vi har inte funnit att den interna kontrollen av Lista 62 följs upp. Enligt de intervjuade kommer det att finnas en motsvarande kontrollmöjlighet för cheferna i det nya HRsystemet och det kommer att vara tekniskt möjligt att genom loggningen följa upp om kontrollerna genomförts. Vi har inte funnit att det finns beslutade planer för vilka grundläggande baskontroller inom löneområdet som landstingets chefer ansvarar för, samt vilka krav som i så fall ställs på innehåll, omfattning, frekvens, dokumentation och rapportering. Det genomförs återkommande kontroller i landstingets verksamheter utifrån olika riktlinjer, rutiner och enskilda beslut på tjänstemannanivå i förvaltningarna. Löneservice uppger dock att ingen kontaktat dem för kontroll av t.ex. attester, kvitton för utlägg och liknande under de senaste tre åren. Sådana kontroller var tidigare vanliga. 6 Revisionell bedömning Revisorernas granskning mars 2013 visade att Landstingsstyrelsen och nämnderna inte hade en ändamålsenlig organisation för arbetet med intern kontroll. Detta främst som en följd av att internkontrollprocess, policy, riskvärdering och kontroll inte fullt ut anpassats till den nya nämnds- och förvaltningsorganisationen. Syftet med granskningen är att bedöma om Landstingsstyrelsen vidtagit tillräckliga åtgärder för att säkerställa en ändamålsenlig intern kontroll. Granskningen är inriktad mot HR-området. Vi ser positivt på att ledamöterna i Folkhälso-, primärvårds- och tandvårdsnämnden och Regionala nämnden har involverats i en mer genomgripande och omfattande riskanalys sedan vår föregående granskning. Genom att lägga ett mer övergripande ledningsperspektiv på den interna kontrollen har de två nämnderna lyft upp den politiska betydelsen av den interna kontrollen och därmed förstärkt förväntningarna på organisationen. Samtidigt har det utvecklats en situation där styrelsen och nämnderna inte längre har en samlad bild över vilka mer grundläggande och återkommande kontrollaktiviteter som ska genomföras av landstingets chefer och anställda. Granskningen visar att styr- och kontrollmiljön ger goda förutsättningar att utveckla den interna kontrollen. Det finns tydliga strukturer för verksamhetsplanering, uppföljning och rapportering och det finns en röd tråd i den balanserade styrningen. Ansvaret för processerna inom HR-avdelningen är tydligt fördelat och det pågår ett arbete att förtydliga ansvarsfördelningen mellan HR-avdelningen och cheferna i linjeorganisationen ytterligare utifrån ett processperspektiv. Införandet av ett HR-system under 2015 förväntas stärka styr- och kontrollmiljön ytterligare. Ansvaret för den interna kontrollen beskrivs övergripande i landstingets policy. Det nu aktuella granskningsområdet illustrerar att ansvar och uppdrag behöver förtydligas. Vi har till exempel inte funnit att HR-avdelningen fått i uppdrag att bidra till att utveckla och integrera den interna kontrollen med styrningen och

11 REV63 11(11) ledningen av landstinget eller att lämna underlag till styrelsen och nämnderna inför deras årliga ställningstagande kring intern kontroll. Andra konkreta exempel är att HR-avdelningen inte har fått i uppdrag att tillsammans med verksamheterna göra riskbedömningar, kopplat till intern kontroll, i samband med beslutade processkartläggningar eller inför införandet av ett HRsystem. Vi saknar också en samlad bild över vilka väsentliga risker som finns inom HR-området, både på strategisk och på operativ nivå. Granskningen visar sammantaget att det fortfarande är oklart hur den interna kontrollen ska integreras med styrning och ledning i landstinget. Landstingets policy för internkontroll är inte uppdaterad och behovet att utveckla riktlinjer och tilllämpningsanvisningar utifrån den nya nämnds- och förvaltningsorganisationen kvarstår. Landstingsstyrelsen har ett uttalat uppdrag från fullmäktige att upprätta landstingsgemensamma tillämpningsanvisningar samt att årligen utvärdera landstingets samlade system för intern kontroll. Styrelsen ska också se till att den interna kontrollen är tillräcklig inom sitt verksamhetsområde. Vi bedömer sammantaget att Landstingsstyrelsen bör vidta ytterligare åtgärder för att säkerställa en ändamålsenlig intern kontroll. Härnösand Revisor