Regionstyrelsens och nämndernas arbete med intern kontroll

Transkript

1 Revisionsrapport Regionstyrelsens och nämndernas arbete med intern kontroll Kerstin Sikander Cert kommunal revisor Region Halland Mars 2016

2 Innehåll 1. Sammanfattning och bedömning Bedömningar mot kontrollmål Revisionell bedömning Rekommendationer Inledning Bakgrund Syfte och Revisionsfråga Revisionskriterier Kontrollmål Avgränsning Metod Iakttagelser Utövar regionstyrelsen det övergripande ansvaret för intern kontroll samt utvärderar det samlade systemet för intern kontroll? Övergripande styrdokument Nämndernas styrdokument Organisation Stödsystem Har beslut om internkontrollplan föregåtts av en dokumenterad bedömning utifrån väsentlighet och risk? Är kontrollaktiviteter enligt internkontrollplanerna för 2015 genomförda och rapporterade till nämnderna? Har nämnderna fattat beslut om åtgärder med anledning av resultatet?

3 1. Sammanfattning och bedömning PwC har på uppdrag av revisorerna i Region Halland genomfört en granskning av Regionstyrelsens och nämndernas arbete med intern kontroll. Revisionsfrågan för denna granskning är: Är regionstyrelsens och nämndernas arbete med intern kontroll ändamålsenligt Bedömningar mot kontrollmål Följande bedömning av kontrollmålen ligger till grund för svaret på revisionsfrågan: Kontrollmål Utöver regionstyrelsen det övergripande ansvaret för intern kontroll samt utvärderar det samlade systemet för intern kontroll Har beslut om internkontrollplan föregåtts av en dokumenterad bedömning utifrån väsentlighet och risk Är kontrollaktiviteter enligt internkontrollplanerna genomförda och rapporterade till nämnderna? Kommentar Delvis uppfyllt Regionstyrelsen har säkerställt att samtliga nämnder har antagit en internkontroll plan för 2015 samt att nämnderna avrapporterar resultatet i samband med årsredovisningen. Däremot har Regionstyrelsen, vid tidpunkten för denna granskning, inte sammanställt nämndernas återrapportering och utvärderat det samlade systemet för intern kontroll 2015 Delvis uppfyllt Driftnämnderna ADH och Hallands sjukhus har dokumenterade riskanalyser för år För övriga nämnder saknas dokumenterad riskanalys som visar vad som ligger till grund för urval av kontrollområden. Endast risknivån för granskningsområdena framgår av internkontrollplanen. Enligt uppgift har kontrollmålen tagits fram genom resonemang och dialog. Delvis uppfyllt Samtliga nämnder har genomfört internkontrollplanerna och behandlat uppföljning av internkontrollplan Resultatet av genomförda kontrollaktiviteter har rapporterats till Regionstyrelsen. Regionstyrelsens egen uppföljning av den interna kontrollen 2015 har vid tidpunkten för denna rapport inte sammanställts och behandlats av regionstyrelsen. 2

4 Har nämnderna fattat beslut om åtgärder med anledning av resultatet? Delvis uppfyllt Beslut om konkreta åtgärder med anledning av resultatet saknas för flera av de brister och förbättringsområden som identifierats Revisionell bedömning Vår samlade bedömning är att regionstyrelsens och nämndernas arbete med intern kontroll inte är helt ändamålsenligt. Utifrån granskningens iakttagelser är det vår bedömning att arbetet med hur den interna kontrollen ska organiseras, planeras och genomföras behöver fortsatt utveckling. Vi kan konstatera att regionstyrelsens och nämndernas arbete med intern kontroll i viss mån har utvecklats efter granskningen som PwC genomförde år Numera tar samtliga driftnämnder fram en årlig internkontrollplan och resultatet rapporteras tre gånger per år. Internkontrollplaner som vi har tagit del av är utformade på lite olika sätt. I våra intervjuer har det framkommit att nämnderna kommit olika långt med att arbeta med intern kontroll på ett systematiskt sätt. Granskningen har exempelvis visat att det inte finns någon gemensam samlad bild av hur processen fram till fastställande av internkontrollplan ska bedrivas och dokumenteras. Ett område med stor förbättringspotential är, enligt vår bedömning, arbetet med att identifiera och värdera verksamheternas risker. Det är i risk- och väsentlighetsanalyser det kommer fram vilka förutsättningar det finns för en god intern kontroll och hur kontrollsystemet är uppbyggt för att hantera olika risker. Den slutliga internkontrollplanen ska omfatta kontroller av kvarstående risker. I dag är flera kontrollmoment som ingår i internkontrollplanerna löpande avstämningsrutiner. Det förkommer också kontrollmoment inom områden med bedömd låg risk Rekommendationer Vi bedömer några områden som särskilt viktiga för regionstyrelsens och driftnämndernas fortsatta arbete med intern kontroll. Genomför bildandet av en referensgrupp med uppdrag att utveckla ett enhetligt och organiserat arbete med den interna kontrollen i ett koncernperspektiv. I nämndernas planer för intern kontroll anges hur kontrollmomentet inom ett visst kontrollområde ska genomföras men inte omfattningen och mer precist vad som ska kontrolleras. Vi föreslår att nämnderna utvecklar internkontrollplanerna genom att konkretisera metod för och omfattning av kontrollerna. Regionstyrelsen bör revidera och förnya såväl reglementet som tillämpningsanvisningarna för intern kontroll. Någon översyn har inte skett sedan Regionstyrelsen bör ta ställning till vilken information och återrapportering de anser sig behöva för att uppfylla sin uppsiktsplikt. 3

5 Utbildningsinsatser bör riktas till förtroendevalda i nämnder och styrelse samt till samordnare och andra nyckelpersoner i internkontrollarbetet. Regionstyrelsen bör ställa krav på att förvaltningarnas arbete med intern kontroll samordnas. Goda exempel på planering, genomförande, mallar etc som finns inom regionen bör kunna nyttjas mer effektivt. Uppföljning och återrapportering av den interna kontrollens tillämpning behöver förbättras. Regionstyrelsen bör som en del i uppsikten följa upp nämndernas interna kontroll löpande under året. Regionstyrelsen har, vid tidpunkten för denna granskning, inte sammanställt nämndernas återrapportering och utvärderat det samlade systemet för intern kontroll Regionstyrelsen kan bli tydligare i sin roll som övergripande ansvarig för den interna kontrollen genom att ge återkoppling till nämnderna. Regiongemensamma kontrollmoment bör övervägas. Regionens styrelse- och nämndsledamöter bör involveras i processen att identifiera och värdera verksamhetens risker. 4

6 2. Inledning 2.1. Bakgrund Av kommunallagen framgår att nämnder skall ha kontroll över sin verksamhet. Det innebär att nämnderna själva ansvarar för att ha en ändamålsenlig styrning så att verksamheten bedrivs på ett effektivt sätt. Det innebär också att informationen om verksamheten och om den finansiella rapporteringen är ändamålsenlig, tillförlitlig och tillräcklig samt att de regler och riktlinjer som finns för verksamheten följs. Regionstyrelsen har ett övergripande ansvar för att den interna kontrollen fungerar och ska utarbeta styrande och stödjande dokument i form riktlinjer för intern kontroll. Revisorerna ska varje år uttala sig om ansvarsfrågan i revisionsberättelsen. En viktig del i ansvarsutövandet är att bedöma regionstyrelsens och nämndernas sätt att utöva kontroll Syfte och Revisionsfråga Syftet med granskning är att översiktligt bedöma hur dessa politiska organ arbetar med kontroll och uppföljning av ekonomi, prestationer och kvalitet. Revisionsfrågan som ska besvaras är: Är regionstyrelsens och nämndernas arbete med intern kontroll ändamålsenligt? 2.3. Revisionskriterier Revisionskriterierna för granskningen hämtas ur: Reglementet för intern kontroll Tillämpningsanvisningar Kommunallagen 2.4. Kontrollmål Utövar regionstyrelsen det övergripande ansvaret för intern kontroll samt utvärderar det samlade systemet för intern kontroll? Har beslut om internkontrollplan föregåtts av en dokumenterad bedömning utifrån väsentlighet och risk? Är kontrollaktiviteter enligt internkontrollplanerna genomförda och rapporterade till nämnderna? Har nämnderna fattat beslut om åtgärder med anledning av resultatet? 2.5. Avgränsning Granskningen avgränsas till att omfatta regionstyrelsens övergripande arbete med intern kontroll samt driftnämnders arbete med intern kontroll inom respektive verksamhetsområde Metod Genomgång av styrande dokument samt planer och uppföljning för intern kontroll. Arbetsutskotten för Regionstyrelsen och driftnämnderna har svarat på, i förväg utskickade frågor, i samband med revisorernas träffar. Intervjuer har genomförts med förvaltningarnas tjänstemän som rapporterar till nämnderna om intern kontroll. 5

7 3. Iakttagelser 3.1. Utövar regionstyrelsen det övergripande ansvaret för intern kontroll samt utvärderar det samlade systemet för intern kontroll? En tillräcklig intern kontroll förutsätter ett strukturerat arbetssätt enligt definierade processer och rutiner. Kontrollen ska förebygga, upptäcka och åtgärda Övergripande styrdokument I samband med ny mandatperiod uppdaterades reglemente för Regionstyrelsen samt reglementen för driftnämnderna (Regionfullmäktige den 5 nov 2014, 108). I reglementena framgår att driftnämnderna ska svara för att verksamheten utförs på ett rationellt och ekonomiskt sätt, att räkenskaperna är rättvisande och att den interna kontrollen är tillräcklig. Regionstyrelsen ska följa upp att nämndernas interna kontroll är tillräcklig. Regionens reglemente för intern kontroll med tillhörande tillämpningsanvisningar uppdaterades senast år 2006 (Landstingsfullmäktige 13 nov 2006). Nämnderna ska enligt reglementet för intern kontroll se till att en organisation upprättas och att regler och anvisningar antas för den interna kontrollen. Varje nämnd ska som grund för sin styrning av det interna kontrollsystemet genomföra riskanalyser för sin verksamhet. I reglementets tillämpningsanvisningar tydliggörs att en risk- och sårbarhetsanalys ska ligga till grund för den årliga planeringen, prioriteringen och uppföljningen av internkontrollarbetet. Vidare ska nämnderna anta en särskild plan för uppföljning av den interna kontrollen. Resultatet av uppföljningen ska löpande rapporteras till nämnden. Nämnden ska senast i samband med årsredovisningen rapportera resultatet från uppföljningen till styrelsen. I Riktlinjer för Region Hallands uppföljning 2015 anges att internkontrollplanen ska följas upp i samband med uppföljningsrapport 1 och 2 samt årsredovisning. Årets resultat från uppföljningen av den interna kontrollen ska rapporteras till Regionstyrelsen. Inrapporteringen ska ske via stödsystemet Stratsys. Rapporten ska innehålla information om vilka kontrollområden som styrelsen/nämnden har valt för 2015, sammanfattat resultat av denna uppföljning och eventuellt vidtagna åtgärder. I de fall det finns förslag på åtgärder för förbättringar av regiongemensamma rutiner så ska dessa redovisas. Återrapportering ska ske senast den 27 januari I reglementet för intern kontroll framgår att regionstyrelsen har ansvaret för att tillse att det finns en god intern kontroll inom regionen. Som ett led i detta arbete har Regionkontoret kontrollerat att samtliga nämnder har antagit interna kontrollplaner för Ärendet har behandlats av Regionstyrelsen Regionstyrelsens egen återrapportering samt nämndernas resultat från uppföljning av den interna kontrollen 2015 har vid tidpunkten för denna rapport inte sammanställts och behandlats av regionstyrelsen. Regionstyrelsen har därmed inte heller gjort någon samlad bedömning av nämndernas interna kontroll för år

8 Nämndernas styrdokument Driftnämnd Hallands sjukhus samt Driftnämnd ADH har fastställt nämndspecifika regler och anvisningar för den interna kontrollen. (DN Hallands sjukhus , DN ADH ). Nämndernas styrdokument för uppföljning av olika ledningssystem är också en del an det samlade kontrollsystemet. Det är oklart hur nämndernas planer för internkontroll ska förhålla sig till annan form av styrning och uppföljning som nämnderna bedriver Organisation Regionens organisation för arbetet med intern kontroll har under 2015 blivit mer tydligt än tidigare. Varje förvaltning har en utsedd person med ansvar för att samordna planering, genomförande och rapportering. I dagsläget finns inte något uttalat nätverk för erfarenhetsutbyte Stödsystem Regionen har infört stödsystemet Stratsys som ett verktyg i arbetet med intern kontroll. Med Stratsys kan arbetet ske i samma system för alla nämnder. Det är enkelt att följa alla steg i processen på övergripande nivå. I systemet finns i viss mån beskrivningar av arbetsmoment och mallar för dokumentation. Samtliga nämnder utom Närsjukvården, Psykiatrin och Regionservice har kommit igång i Stratsys Har beslut om internkontrollplan föregåtts av en dokumenterad bedömning utifrån väsentlighet och risk? En riskbedömning syftar till att identifiera var verksamhetens risker finns. Analysen bör ta hänsyn till både externa och interna risker. Ny lagstiftning eller organisations- och personalförändringar kan exempelvis medföra att verksamhetens risker förändras från ett år till ett annat. Riskanalysen är framåtblickande och är en del av det förebyggande arbetet. I reglementets tillämpningsanvisningar förtydligas att en risk och sårbarhetsanalys ska ligga till grund för den årliga planeringen, prioriteringen och uppföljningen av internkontrollarbetet. Nämnderna har kommit olika långt i detta arbete. Driftnämnderna ADH och Hallands sjukhus har en dokumenterad riskanalys för år I prioriteringen har kontrollmomentet, att säkerställa att avskrivningar av investeringar sker enligt plan, bedömts ha risknivå 1. Kontrollmomentet ingår inte i internkontrollplanen 2015 med motiveringen låg risk. Övriga nämnder har inga dokumenterade riskanalyser för år 2015 som visar vad som ligger till grund för urvalet av kontroller. Endast risknivån för granskningsområdena framgår av internkontrollplanen. I arbetet med framtagande av internkontrollplan har det skett ett resonemang inom förvaltningarna om vilka kontrollområden och kontrollmoment som ska väljas ut. Revisorerna har i tidigare granskningar konstaterat att nämnderna inte varit involverade i processen att identifiera och värdera risker. Inför 2015 har enstaka nämnder (arbetsutskott) varit delaktiga på något sätt men i de flesta fall är riskbe- 7

9 dömningen en tjänstemannaprodukt. Inför framtagandet av kontrollområden 2016 har nämndernas medverkan blivit mer aktiv. Vi har tagit del av dokumenterade riskanalyser för 2016 som dokumenterats i Stratsys. Där ingår inte Närsjukvården, Psykiatrin samt Regionservice Är kontrollaktiviteter enligt internkontrollplanerna för 2015 genomförda och rapporterade till nämnderna? Ett sätt att motverka och minimera de risker som identifierats i riskbedömningen är att utforma kontrollaktiviteterna. Kontrollaktiviteterna sammanställs i en internkontrollplan. Genomförandet av kontrollaktiviteterna innebär en granskning av den verksamhet som har bedrivits eller bedrivs. Nämnd Datum för rapportering i nämnd Regionstyrelsen Enligt uppgift på ett kommande sammanträde. Driftnämnd Hallandssjukhus Driftnämnd ADH Driftnämnd Närsjukvård Driftnämnd Psykiatri Driftnämnd Regionservice Driftnämnd Kultur och skola Nämndernas redogörelse i UR 1, UR 2 och årsredovisning har följt med riktlinjerna för Region Hallands uppföljning Återrapportering till Regionstyrelsen senast 27 januari 2016 har inte uppfyllts av samtliga nämnder. Regionstyrelsen har inte uttalat någon sammantagen slutsats och bedömning av hur regionens system för intern kontroll fungerar på en övergripande nivå. Enligt uppgift kommer Regionstyrelsen att behandla driftnämndernas rapporter om uppföljning av intern kontrollplan 2015 på ett kommande sammanträde. I samband med årsbokslutet rapporterar förvaltningarna resultatet av genomförda kontrollaktiviteter till respektive nämnd. Driftnämnderna Hallands Sjukhus samt ADH gör en samlad bedömning av den interna kontrollen i sin rapportering till regionstyrelsen. För övriga driftnämnder saknas en samlad bedömning i rapporteringen Har nämnderna fattat beslut om åtgärder med anledning av resultatet? Regionstyrelsen Internkontrollplanen omfattar 6 kontrollområden med totalt 11 kontrollmoment. Som tidigare nämnts har uppföljning av Regionstyrelsens internkontrollplan inte behandlats av styrelsen. 8

10 Redovisningsenheten har upprättat en internkontrollplan som omfattar fyra rutiner/system för den regiongemensamma ek0nomiska redovisningen. I rapporteringen är kontrollmoment, urval, resultat och förslag på åtgärder presenterade. Åtgärder med anledning av resultatet är: GAS har arbetet fram en rutin som ska säkerställa korrekt kontering av moms på konto 7070 Representation samt att det ska finnas nödvändig information om syfte och deltagare. Översyn av att attestordning och registrerade attestanter i Agresso samstämmer. Gjort förtydliganden i process och rutinbeskrivning vid kontering av utbildning. Infört återkommande kontroller av stora periodiseringsposter. Redovisningsenhetens internkontrollplan har inte varit ett ärende som behandlats av styrelsen. DN Hallands sjukhus Internkontrollplanen omfattar 8 kontrollområden vara 7 kontrollområden återrapporteras. Kontrollmomentet Säkerställa att organisation finns för kontroll av medicinteknisk säkerhet har inte återrapporterats. I återrapporteringen beskrivs kontrollsystemet för respektive kontrollområde samt resultatet av genomförda kontroller. Angivna kontrollmoment är i några fall inga kontroller utan löpande uppföljning av verksamheten eller kartläggning av organisation och arbetssätt. Genomförda kontroller ger då inte svar på frågan om kontrollsystemet fungerar tillräckligt väl eller inte. Några förbättringsområden har identifierats: Behov av att utveckla utdatarapporter för att säkra uppföljningen av kvalitet, som del i den månatliga uppföljningen av verksamheten. Samarbetet mellan Medicinsk Teknik Halland, Logistikservice och Regionupphandling behöver utvecklas och stärkas för att säkra följsamhet till gällande upphandlingsavtal och uppdateringen av Mediq web shop. Av nämndbeslutet framgår att de förbättringsområden som har identifierats i uppföljningen behöver fortsatta att utvecklas och förbättras. Nämndens sammanfattande bedömning är att det finns en god intern kontroll och att åtgärder vidtas som möter aktuella riskområden utifrån beslutade kontrollmoment. DN ADH Internkontrollplanen omfattar sju kontrollområden. Samtliga kontrollområden, kontrollmoment och kontrollmetoder är gemensamma med DN Hallands sjukhus. I återrapporteringen beskrivs kontrollsystemet för respektive kontrollområde samt resultatet av genomförda kontroller. I likhet med Hallands sjukhus är angivna kontrollmoment i några fall inga kontroller utan löpande uppföljning av verksamheten eller kartläggning av organisation och arbetssätt. 9

11 Genomförda kontroller ger då inte svar på frågan om kontrollsystemet fungerar tillräckligt väl eller inte. Brister har framkommit angående dokumentation vid upphandling. Förvaltningen avvaktar regiongemensamma riktlinjer. Av nämndsbeslutet framgår att bristerna behöver bli åtgärdade. Nämndens sammanfattande bedömning är att det finns en god intern kontroll och att åtgärder vidtas som möter aktuella riskområden utifrån beslutade kontrollmoment. DN Närsjukvård Internkontrollplanen omfattar 19 kontrollområden. Samtliga kontrollområden återrapporteras i bilaga till driftnämndens årsredovisning I återrapporteringen beskrivs kontrollsystem för respektive kontrollområde, genomförda aktiviteter, uppföljningar enligt certifieringskrav samt resultatet av genomförda kontroller i de fall kontroller genomförts. Flera kontrollmoment har karaktären av aktiviteter/rutiner som är delar i den löpande verksamheten. Bristområden och åtgärder som redovisas i rapporteringen: Rapporteringen till nämnden gällande delegerade beslut. Inga åtgärder redovisade. Följsamhet till upphandlings- och samavtal. Nya kontrollmoment kommer att ingå i internkontrollplanen för 2016 Rutiner för bisysslor. Återkoppling ha skett till närmaste chef. Nämndens samlade bedömning av den interna kontrollen saknas i rapporteringen. DN Psykiatri Internkontrollplanen omfattar 14 kontrollområden. Samtliga kontrollområden återrapporteras i bilaga till driftnämndens årsredovisning I återrapporteringen beskrivs resultatet av genomförda kontroller eller kommentar till uppföljningen. En del kontroller som har utförts inom ramen för intern revision av ledningssystem ingår i rapporteringen. Bristområden och åtgärder som redovisas i rapporteringen: Inköp av hyrläkartjänster följer inte fastställda rutiner. Avvikelsen beror delvis på att upphandlade leverantörer inte kunnat leverera verksamhetens behov. Kontrollområdet kommer att kvarstå även Vid systemkontroll av årshjulet med aktiviteter för det systematiska arbetsmiljöarbetet har uppmärksammats aktiviteter som inte fullgjorts. Inga åtgärder redovisade. Loggkontroller fungerar inte tillfredsställande. Åtgärder har vidtagits med att utse loggkontrollanter samt genomförd utbildning i loggkontroll VAS. Nämndens samlade bedömning av den interna kontrollen saknas i rapporteringen. 10

12 DN Regionservice Internkontrollplanen omfattar 11 kontrollområden. Samtliga kontrollområden återrapporteras. I återrapporteringen beskrivs på vilket sätt kontrollerna har genomförts samt resultatet av genomförda kontroller. Brister att åtgärda: 3 av 12 serviceområden visar negativa resultat Inga åtgärdsplaner är upprättade. Bristande avtalstrohet inom områdena frukt och grönt, kolonial samt kaffe. Nämndens samlade bedömning av den interna kontrollen saknas i rapporteringen. DN Kultur och skola Internkontrollplanen omfattar 3 kontrollområden avseende Kultur i Halland samt 3 kontrollområden avseende skolförvaltningens verksamhet. Samtliga kontrollområden återrapporteras. Därutöver redovisas ett kontrollområde i internkontrollplanen Kontrollerna har genomförts av medarbetare från regionservice och regionkontoret. I återrapporteringen beskrivs på vilket sätt kontrollerna har genomförts, resultatet av genomförda kontroller samt förslag till åtgärder med anledning av resultatet. Flera kontrollmoment har genomfört med intervjuer. Av resultatet inom skolverksamheten framgår att köptroheten har förbättrats sedan 2013 men är på fortfarande på låg nivå samt att det finns brister i rutinerna för inventarieförteckning. Nämndens samlade bedömning av den interna kontrollen saknas i rapporteringen. Förslag till åtgärder för att öka avtalstroheten och som redovisas i rapporteringen: Använda, så långt som möjligt, de befintliga avtal som idag är upphandlade av Region Halland. Förbättra inköpsrutinerna inom förvaltningen. Starta med att utbilda samtliga beställare inom förvaltningen i inköp, regionens policys och riktlinjer samt att hitta i avtalskatalogen. Gå igenom möjliga varor/tjänster att upphandla utifrån internrevisorns sammanställning. Förslag till åtgärder att förbättra rutiner för inventarieförteckning: Blankett tas fram som ska fyllas i av inventarieansvarig i respektive verksamhet när inventarier införskaffas som inte når upp till villkoren för investering. Blanketten lämnas tillbaka till administrationen för registrering i sidoordnat register i Agresso. Stöldmärkning är att rekommendera för stöldbegärlig egendom, såsom t.ex. musikinstrument. Kriterier för vad som ska stöldmärkas och upptas i inventarieförteckning beslutas inom förvaltningen. Förslaget är att ovan rutiner gäller för nya inventarier från den 1 januari Befintliga inventarier behöver inventeras och bör innan 2016 års utgång ha kompletterats i det sidoordnade registret. 11

13 Utbildning i registret kan anordnas av ansvarig person på Regionkontoret för alla som behöver det. Ett antal mindre åtgärder har förslagits för att stärka den interna kontrollen inom föreningsstöd, konsthantering samt projekthantering. Nämndens samlade bedömning av den interna kontrollen saknas i rapporteringen Kerstin Sikander Uppdragsledare/Projektledare 12