Granskning av den interna kontrollen avseende löner

Transkript

1 Revisionsrapport 3/2013 Genomförd på uppdrag av revisorerna Maj Juni 2013 Revisionsrapport Magnus Nilsson Nicklas Samuelsson Richard Vahul Granskning av den interna kontrollen avseende löner Lidingö stad

2 Granskning av den interna kontrollen avseende löner Innehållsförteckning 1. Sammanfattande bedömning och rekommendationer Inledning Bakgrund Metod, avgränsning och redovisning Granskningsresultat Behörigheter är över tiden ändamålsenliga utifrån den anställdes arbetsuppgifter och ansvar Tidrapporter/frånvarorapportering är attesterad av behörig person Resultatet av den preliminär och definitiv lönebearbetning hanteras på rätt sätt och i rätt tid Löneutbetalning är attesterad av behörig person Överföring från lönesystem till ekonomisystem sker fullständigt och riktigt Lönekostnader och tillhörande kostnader analyseras regelbundet... 8 Lidingö stad

3 1. Sammanfattande bedömning och rekommendationer Som ett led i granskningen av Lidingö stads räkenskaper har på uppdrag av stadens förtroendevalda revisorer granskat den interna kontrollen i löneprocessen. har under maj-juni 2013 genomfört en granskning av löneprocessen hos Lidingö stad. Vår granskning har utgått från den internkontrollplan som staden tidigare upprättat genom riskanalyser av bl.a. löneprocessen. Utifrån nämnd internkontrollplan har vi granskat nyckelkontroller i löneprocessen för att kunna uttala oss om kontroller är rätt implementerade och fungerar över tiden. För att få en fördjupad förståelse av löneprocessen har vi intervjuat nyckelpersonal från den centrala löneenheten på Konsult- och servicekontoret (KSK) vid Lidingö stad. Vidare har granskningen även omfattat intervjuer med representanter från en av stadens största enheter, hemtjänsten, då stora delar av löneadministrationen är decentraliserad. Vi har då träffat representanter från hemtjänsten i Larsberg vilket har omfattat områdeschef, enhetschef och löneadministratör. I löneprocessen och genom granskningen har stadens lönesystem Heroma varit centralt. Den revisionsfråga som legat till grund för granskningen är om: Kommunstyrelsens och nämndernas interna kontroll avseende rapportering av löner och ersättningar är tillräcklig? Vår bedömning är att den interna kontrollen inom löneprocessen är god, har en ändamålsenlig struktur och att kontroller fungerar löpande över tiden. Vidare har personal inblandad i granskningen visat att det finns en ambition att förbättra och stärka den interna kontrollen inom Lidingö stads löneprocess. Vår granskning har också identifierat effektivitets- och förbättringspotential som skulle kunna stärka den interna kontrollen ytterligare inom delar av främst den decentraliserade processen. Förbättringspotentialen är relaterat till standardisering och effektivisering av kontrollutförande, vem som har kontrollansvar och dokumentationsstandard. Dessa aktiviteter skulle kunna stärka att kontroller utförs effektivare och mer enhetligt, oavsett kontrollutförare. För detaljerat granskningsresultat, risk och rekommendation, refereras till avsnitt tre Granskningsresultat. Lidingö stad 1 av 9

4 2. Inledning 2.1. Bakgrund Personalkostnader utgör en den andelsmässigt största delen av stadens kostnader och i processen för lönehantering finns det vissa risker. Exempelvis kan det inom den centrala lönehanteringen finnas risk för att hantering av olika aktiviteter i löneprocessen inte alltid fungerar som avsett. Genom den höga decentralisering som Lidingö stad har i sin lönehantering finns det också en ökad risk för att lönerapportering och löneansvarigas kontroll av löneunderlag inte fungerar tillfredsställande. Detta eftersom det kan uppstå svårigheter att upprätthålla fullständig kompetens och kontinuitet i kontrollerna. Det är nämnderna som ansvarar för den interna kontrollen inom sitt verksamhetsområde, både till utformning och till utförande. Nämnderna ska således utforma anvisningar för den egna interna kontrollens organisation och funktion. Kommunstyrelsen har till uppgift att främja den interna kontrollen. Viktigt är att den interna kontrollen utformas utifrån ett för alla nämnder gemensamt synsätt. Den övergripande revisionsfrågan som ska besvaras av granskningen är om: Kommunstyrelsens och nämndernas interna kontroll avseende rapportering av löner och ersättningar är tillräcklig? För att besvara revisionsfrågan har följande kontrollmål utarbetats: Behörigheter är över tiden ändamålsenliga utifrån den anställdes arbetsuppgifter och ansvar Tidrapporter/frånvarorapportering är attesterad av behörig person Resultatet av den preliminära och definitiva lönebearbetningen hanteras på rätt sätt och i rätt tid Löneutbetalning är attesterad av behörig person Överföring från lönesystem till ekonomisystem sker fullständigt och riktigt Lönekostnader och tillhörande kostnader analyseras regelbundet 2.2. Metod, avgränsning och redovisning Revisionsmetod Granskningen har skett utifrån ett väsentlighets- och riskperspektiv där ett antal kontrollmål valts ut (se ovan). Utifrån dessa kontrollmål har en bedömning gjorts av befintliga regler, rutiner och av kontroller ur Lidingö stads egna internkontrollplan. Vi har kartlagt löneprocessen, som en del i den finansiella Lidingö stad 2 av 9

5 revisionen, och valt ut ett antal nyckelkontroller som vi har validerat för att granska om kontrollen är rätt implementerad och fungerar över tid. Avgränsning Granskningen har omfattat Lidingö stads centrala löneenhet och hemtjänstens enhet i Larsberg. Redovisning Granskningsresultatet redovisas per kontrollmål i ett sammanhållet avsnitt med vidhängande kommentarer. Vidare finns det ett avsnitt med avslutande kommentarer, sammanfattande bedömning och rekommendationer. Det senare avsnittet återfinns först i rapporten under första avsnittet Sammanfattande bedömning och rekommendationer. Lidingö stad 3 av 9

6 3. Granskningsresultat Vi kan genom granskningen fastställa att Lidingö stads övergripande interna kontrollmiljö inom löneprocessen anses som väl fungerande, men att det finns områden där den interna kontrollen kan behöva stärkas ytterligare. Kommande avsnitt visar resultatet utifrån de kontrollmål som har varit inkluderade i lönegranskningen Behörigheter är över tiden ändamålsenliga utifrån den anställdes arbetsuppgifter och ansvar Vi har under granskningen bedömt rutinerna för hur Lidingö stad kontrollerar att användare i Heroma har ändamålsenliga systembehörigheter i förhållande till de arbetsuppgifter och ansvar som den anställde har. Validering har genomförts genom att testa fem stickprov vardera av nya, förändrade och borttagna systembehörigheter. Vi har sedan följt dessa stickprov genom behörighetsprocessen för att kunna fastställa att rutinerna efterlevs. Granskningen visar att det finns fungerande rutiner i processen som stödjer att kontroll av rätt systembehörighet finns i Heroma. Nya, förändrade eller borttagna systembehörigheter skall förfrågas av respektive chef till löneenheten på KSK genom ett ärendehanteringssystem. Förfrågan kan också inkomma via . Inkommande material arkiveras rutinmässigt och valideringen av kontrollerna visar att god spårbarhet finns av material relaterat till behörigheter. Det är respektive chefs ansvar att kontrollera att de anställda har rätt systembehörighet i Heroma, något som också finns beskrivet i arbetsbeskrivningen Rutinkatalogen. Genom intervjuer har vi noterat att chefer inte gör någon genomgång av anställdas befintliga systembehörigheter. Däremot genomför den centrala löneenheten två gånger per år en periodisk genomgång av behörigheter i Heroma. Dock är denna kontroll inte definierad och saknar spårbarhet efter genomförande. Risk Vi har noterat två risker inom denna process; 1. Det finns en formaliserad process med stöd för hur behörigheter skall förfrågas med stöd av ett ärendehanteringssystem. Behörigheter som förfrågas vid sidan av ärendehanteringssystemet, exempelvis inkomma via , ökar risken för oavsiktliga misstag i processen samt att risken för försämrad spårbarhet ökar. 2. Rutinkatalogen beskriver att det är respektive chefs ansvar att upprätthålla att anställda har rätt behörigheter i Heroma. I dagsläget har vi inte kunnat identifiera att det finns fungerande kontroller för detta. Kompenserande kontroll utförs istället av KSK två gånger per år. Genom intervju genomförs kontrollen men bevis för detta finns inte då kontrollen ej är dokumenterad. Lidingö stad 4 av 9

7 Detta ökar risken för att kontrollen inte blir utförd eller inte utfört på ett enhetligt och riktigt sätt. 1. Vi rekommenderar att uppdatera/förtydliga arbetsbeskrivningen för hur förfrågningar av systembehörigheter skall gå till samt ytterligare kommunicera denna information till berörda chefer. Detta för att kontrollera att definierad process efterföljs. 2. Beslut bör övervägas om en decentraliserad obligatorisk kontroll kan införas med periodisk granskning som utförs av respektive chef. Alternativt kan den kontroll som redan är på plats hos KSK definieras ytterligare och dokumenteras efter utförande, då även denna kontroll minskar risken för att användare har felaktiga behörigheter i Heroma Tidrapporter/frånvarorapportering är attesterad av behörig person Vi har genom intervju med löneadminstratör och enhetschef granskat hur attestering av tidrapporter/frånvarorapportering fungerar vid hemtjänsten i Larsberg. Larsbergs hemtjänst är en av stadens största enheter och anställer ca 40 personer. Vår bedömning är att det finns rutiner på plats för attesteringar av tidrapporter, sjukfrånvaro, kompensationsledighet, semester och övertid. Innan den preliminära lönebearbetningen Lön1 undersöker löneadministratören att eventuella sjukskrivningar och kompensationsledigheter är rätt registrerade i Heroma. Den anställda registrerar själv sin övertid som sedan enhetschefen attesterar. Det finns inbyggda systemkontroller i Heroma som varnar för när schemalagd arbetstid övereller understiger sysselsättningsgraden för personen ifråga. Dessa varningar följs upp av respektive enhetschef. Risk Vi har genom intervju samt genom granskning av information om systemroller i Heroma bedömt att löneadministratörer har vissa behörigheter som möjliggör att de kan utföra flera steg i attesteringsprocessen. Behörigheterna finns för att chef skall kunna delegera ansvar vid behov. Exempelvis kan en löneadministratör både registrera och attestera anställdas övertid. Vissa av dessa godkännanden är chefens ansvar. Kombinationen av dessa behörigheter ökar risken för avsiktliga och oavsiktliga misstag i attesteringsprocessen och dessa behörigheter bör användas med försiktighet. Vi har noterat att verksamheten har ett behov av löneadministratörer med starka behörigheter. Då dessa behörigheter möjliggör att en och samma person kan genomföra flera aktiviteter inom löneprocessen, har vi identifierat ett behov för stärkta kontroller för uppföljning av dessa behörigheter. För att minska risken med höga behörigheter rekommenderas att enhetschefens kontroller avseende uppföljning av attesterad över- eller undertid, tydligare definieras. Lidingö stad 5 av 9

8 3.3. Resultatet av den preliminär och definitiv lönebearbetning hanteras på rätt sätt och i rätt tid har tillsammans med personal från löneenheten gjort en genomgång av processen för preliminär, respektive definitiv lönebearbetning för perioden april Granskningen har påvisat att det finns klart definerade rutiner och arbetsbeskrivningar på plats för de olika aktiviteterna såsom preliminär (Lön1), och definitiv lönebearbetning (LönKlar) och dokumenterad analys av bruttolön och nettolön. Vidare moment som har granskats i denna process har rört godkännande av nettolöner, bankavstämningar, kontroll av konteringar, kontroll av signallistor samt övriga manuella rutiner som sker innan preliminär lönekörning. Samtliga moment har god spårbarhet vad gäller dokumentation från externa parter såsom tjänsteleverantör och bank. Risk Inga brister har identifierats som resulterat att en ökad risk finns i denna process. Ej tillämplig 3.4. Löneutbetalning är attesterad av behörig person Vi har genom intervju med löneadminstratör och enhetschef granskat hur attestering av tidrapporter/frånvarorapportering fungerar vid hemtjänsten i Larsberg. Larsbergs hemtjänst är en av stadens största enheter och anställer ca 40 personer. Enhetschefen genomför en manuell genomgång av alla löner samt utanordningslistor och rättar till de eventuella fel som Heroma kan ha upptäckt utifrån systemkontroller, exempelvis lönebelopp som är väsentligt högre från tidigare månad, innan attestering slutligen görs. Efter preliminär lönebearbetning skall grundlistor manuellt gås igenom av respektive chef och eventuella korrigeringar skall utföras lokalt. Enligt de rutinbeskrivningar som distribuerats av lönechefen skall utanordningslistor, faktiskt utbetald lön per anställd, signeras av chefer efter definitiv lönebearbetning. Vid granskningen av hemtjänsten i Larsberg verkar inte signering utföras som en del av den månadsvisa lönerutinen. Vi har granskat rutinbeskrivningen som ligger till grund för lönehantering och vi är av uppfattningen att beskrivna aktiviteter för löneprocessen skulle kunna bli ännu tydligare för en användare att följa. Vidare noterades att denna rutinbeskrivning inte heller reviderats sedan januari Vid granskningen 2012 genomförde central löneenhet stickprover på att signering av utanordningslistor gjordes. Denna kontroll har från april 2013 förstärks ytterligare av en månatlig fullständig genomgång av samtliga signerade och osignerade utanordningslistor. Lidingö stad 6 av 9

9 Risk Avsaknad av tydliga rutiner medför ökad risk att viktiga kontrollmoment i löneattestering kan missas och felaktigheter inkommer i lönebearbetningen. Vidare medför avsaknad av attestering av slutliga utanordningslistor ökad risk för att felaktigt utbetalda lönebelopp inte upptäckts samt minskad spårbarhet i att detta kontrollmoment faktiskt utförs. Vi rekommenderar att Lidingö stad försöker fastställa om rätt grad av medvetenhet finns avseende kontroll- och processbeskrivningar relaterat till attestering. Detta kan göras genom analys av nuvarande arbetsmoment samt genom vidare förankring och tydlig kommunikation till ansvariga chefer. Detta då vi vid granskningstillfället, samt även vid 2012 års granskning, fått indikationer på att löneprocessen inte följs enhetligt. Vid denna genomgång kan det också vara ett bra tillfälle att undersöka hur medvetenheten av rutinbeskrivningen uppfattas av användare och utifrån detta göra eventuella revideringar av den för att göra den effektivare Överföring från lönesystem till ekonomisystem sker fullständigt och riktigt Vi har tillsammans med personal från löneenheten gått igenom processen för preliminär, respektive definitiv lönebearbetning för april Detta är en av de sista aktiviteterna som utförs som en del av den större lönebearbetningsprocessen som beskrivs under avsnitt 3.3. Leverantören av Heroma ansvarar för att redovisningsfilen skapas. Filen innehåller information om konteringar för innestående periods lönebearbetning. Personal på löneenheten kopierar redovisningsfilen från leverantörens kundsida, där den sedan distribueras internt till en delad mapp. Från denna mapp läser sedan ekonomisystemet Agresso automatiskt in filen i ekonomisystemet. Risk Inga brister har identifierats som resulterat att en ökad risk finns i denna process. Ej tillämplig Lidingö stad 7 av 9

10 3.6. Lönekostnader och tillhörande kostnader analyseras regelbundet Vi har genom intervju tillsammans med ekonomichefen vid äldre- och handikappsförvaltningen bildat oss en uppfattning av det månatliga arbetet med analys av lönekostnader på förvaltningen. Av de totala kostnaderna vid förvaltningens utföraravdelning består ca % av lönekostnader. Efter genomförd attestering om löneutbetalning, referera till avsnitt 3.4, redovisar enhetschefen i en uppföljningsrapport enhetens månatliga intäkter, kostnader och resultat gentemot budget. Vid ett negativt utfall för en period ska enhetschefen kommentera detta i rapporten och sedan skicka detta till utföraravdelningens controller vid ekonomiavdelningen för granskning. Skulle det saknas kommentarer eller övriga brister i inskickad rapport kommer controllern att kontakta berörd enhetschef för uppföljning. Controllern kan också hjälpa enhetscheferna i deras analys. Vid förvaltningen finns också en lönekonsult som kan vara behjälplig i analys- och kontrollarbetet. Controllern analyserar resultatet i uppföljningsrapporten utifrån rimlighet och stämmer också av beloppen (intäkter och kostnader) mot bokade belopp i ekonomisystemet Agresso. Vid differenser följs detta upp med berörd enhetschef. Risk Vi har noterat att kontrollen som sådan inte genomförs på ett standardiserat sätt, vilket försvårar kontrollens kontinuitet, enhetlighet och spårbarhet. Vidare görs ingen jämförelse av periodens resultat mot föregående periods resultat. Avsaknad av jämförelse gör det svårt att identifiera större avvikelser som kan bero på avsiktliga eller oavsiktliga intäkts- kostnadsregistreringar. Det finns inte heller någon definierad avvikelseprocent som bör identifieras i analysen. Hur analyser av lönekostnader utförs vid andra förvaltningar i staden omfattas inte under den här granskningen. Vi har dock kunnat konstatera att det inte finns något gemensamt arbetssätt mellan andra förvaltningar. Vi rekommenderar Lidingö stad att tydligt formalisera analyskontrollen av enheters lönekostnader. Detta kan göras genom att skapa en arbetsbeskrivning innehållande moment som ska bockas av efter genomförande samt att hela kontrollen signeras av ekonomichef för att säkerställa att den genomförs. Detta skulle kunna skapa kontinuitet och högre grad av spårbarhet i kontrollen. Vidare rekommenderas att diskussion förs internt med andra förvaltningar för att möjliggöra delning av erfarenheter och arbetssätt. Vi har blivit informerade om att controllertjänsten är nyinrättad och att den varit tillsatt tillfälligt under rekryteringen. Tjänsten tillsätts den 1 oktober, vilket kan möjliggöra att analys- och internkontrollarbetet kommer att utvecklas. Lidingö stad 8 av 9

11 Richard Vahul Projektledare Anders Haglund Uppdragsledare Lidingö stad 9 av 9