Audit KPMG AB 2011-10-31 Antal sidor: 6

Rapport avseende granskning av lönerutin Audit KPMG AB 2011-10-31 Antal sidor: 6 2011 KPMG AB, a Swedish limited liability company and a member firm of the KPMG network of independent member firms affiliated with KPMG International Cooperative ( KPMG International ), a Swiss entity. All rights reserved.

Innehåll 1. Inledning 1 2. Sammanfattning 1 3. Lönehantering 1 4. System 1 5. Interna kontroller lönehantering 2 5.1 Rutinbeskrivningar m m 2 5.2 Attest av tidrapporter 2 5.3 Attesträtt 3 5.4 Nyanställningar 4 5.5 Anställning upphör 4 5.6 Kontroll av förändringar i grundlönedata 5 5.7 Uppföljning av felrapport 5 5.8 Kontroller av reseräkningar och utlägg 6 Konfidentiell (DC2) 2011 KPMG AB, a Swedish limited liability company and a member firm of the KPMG network of independent member firms affiliated with KPMG International Cooperative ( KPMG International ), a Swiss entity. All rights reserved.

1. Inledning Denna rapport omfattar de noteringar som gjorts i samband med granskningen av rutinerna för genom besök på löneservice i Norberg i augusti 2011 samt avstämningar med Personalenheten i Avesta. Vår granskningsansats har varit att i första hand testa att det finns fastställt vilka kontroller som säkerställer att kommunen redovisar korrekta lönerelaterade kostnader och lönerelaterade balansposter. 2. Sammanfattning Vår bedömning är att det finns ett antal områden/rutiner där den interna kontrollen måste förbättras för att säkerställa en effektivare process och dessutom undvika kostsamma fel. Av dessa vill vi främst framhålla följande: Arbetet med lönehantering bör ske på ett enhetligt sätt. Det är därför av stor vikt att det finns dokumenterade arbetsbeskrivningar framtagna där det framgår hur olika arbetsmoment skall utföras och hur arbetet ska dokumenteras. (5.1) Kommunen saknar en dokumenterad beskrivning där det framgår vad en attest innebär. (5.3) Meddelande om attestbehörighet till löneservice bör ske på ett enhetligt sätt och det bör finnas dokumenterat vad den tilldelade attestbehörigheten innebär. (5.2) Alla underlag som skickas till löneservice bör ankomststämplas. Alla manuella uppgifter som registreras i lönesystemet bör dateras och signeras. (5.2, 5.4, 5.5) Vid manuella förändringar av fasta data i systemet bör det ske en efterkontroll av att uppgifterna registrerats korrekt.(5.6) Signallistor/felrapporter bör köras fram för olika situationer. Åtgärder som vidtas bör dokumenteras. (5.7, 5.8) 3. Lönehantering Lönebearbetning för personal anställd inom sker vid Norbergs Kommuns lönekontor (löneservice) i Norberg. På löneservice hanteras årligen löner för ca 2 700 personer inom. 4. System För bearbetningen av lönerna så att en lön beräknas, lönefil för bokföring skapas samt en fil för utbetalning av löner skapas används systemet Personec P. För anställda inom vården används ett system som heter Time Care för schemaläggning. Inom bland annat Bildningsstyrelsen används 1(6)

ett system som heter Pussel för schemaläggning. Från bägge dessa system läser man in filer till lönesystemet innan den månatliga lönebearbetningen sker. Enligt uppgift loggas allt som sker i lönesystemet varför det inte sker några noteringar på manuella underlag eller körs fram några listor. Vi har inte tagit del av några logglistor i samband med granskningen. Vår erfarenhet från tidigare granskningar har visat att det i efterhand inte alltid är enkelt att få fram logglistor och att tolka dessa, varför vi lämnar olika rekommendationer nedan. 5. Interna kontroller lönehantering 5.1 Rutinbeskrivningar m m För att arbetet med löner ska ske på ett enhetligt och ändamålsenligt sätt bör det finnas rutinbeskrivningar som beskriver hur de olika momenten vid nyanställning, avslutad anställning, ändringar av löner, ändringar av avtalsvillkor mm ska utföras, dels på olika arbetsplatser inom kommunen och dels på löneservice. I dagsläget finns inte några nedtecknade rutinbeskrivningar som är framtagna centralt. Det kan dock inte uteslutas att man lokalt på olika arbetsplatser tagit fram egen dokumentation. Detta har inte kontrollerats i samband med granskningen. Det finns inte heller några rutinbeskrivningar på löneservice för hur arbetet ska bedrivas för anställda i. Hantering av uppgifter för löner på olika nivåer inom kommunen och bearbetning av detta på löneservice utgör en viktig funktion för att löner ska utbetalas med rätt belopp till de anställda. Enligt vår bedömning är det därför av yttersta vikt att det finns ändamålsenliga rutinbeskrivningar och instruktioner som de anställda ska följa. Vi rekommenderar därför kommunen att tillsammans med löneservice ta fram sådana, anpassade för kommunens verksamhet. 5.2 Attest av tidrapporter Rapportering av arbetad tid och frånvaro sker för månadsavlönad personal enbart genom elektronisk rapportering via Time Care, Pussel och Personec P. För timanställd personal lämnas tidredovisning in manuellt. Denna tidredovisning är attesterad när den skickas in till löneservice. Upplägg av attestbehörigheter i Time Care och Pussel sker inte via löneservice utan inom respektive ansvarsområde. Denna rutin har inte omfattats av vår granskning. Upplägg av behörigheter för Personec P sker av löneservice. Innan en behörighet läggs upp ska löneservice få en blankett med uppgifter som namn, personnummer, från och med när behörigheten gäller och vilka rutiner den anställde ska arbeta med. Blanketten ska vara daterad och attesterad av den chef som ansvarar för den anställde. Till blanketten finns inga förklaringar som tydliggör hur uppgifterna på blanketten ska fyllas i för att den anställde ska få rätt behörighet/attesträtt. 2(6)

Enligt muntlig information får ingen anställd tillgång till systemet förrän den anställde genomgått en utbildning i Personec P. Vid vår genomgång av behörigheter för 8 utvalda personer noterades: I fyra fall var blanketten upprättad av systemförvaltaren och saknade därför attest av ansvarig chef. Systemförvaltaren har fastställt vilka behörigheter personerna skall ha. I tre fall finns inga blanketter upprättade, utan dokumentationen utgörs av skärmutskrift över inlagda behörigheter med noteringen att de avser vikariat. En notering finns för en person att behörigheten är avslutad. I ett fall har en blankett skickats in men den saknar attest av ansvarig chef. På blanketterna finns inga noteringar om när uppgifterna har lagts upp i systemet och av vem. Attestbehörighetens innebörd i Personec P bör finnas dokumenterad och tillgänglig för alla attestanter. Meddelande till löneavdelningen av vilka behörigheter respektive person ska ha bör ske på ett enhetligt sätt genom att samma blankett används och att alla uppgifter ska vara ifyllda, daterade och undertecknade för att inga oklarheter ska uppstå vid inläggning. Inte heller ska det finnas oklarheter om vilka behörigheter som har tilldelats och av vem. När inläggning har skett i systemet och av vem, bör noteras på blanketten. 5.3 Attesträtt Tidrapporter och reseräkningar skall vara attesterade av en behörig attestant före utbetalning till den anställde, vilket i normalfallet sker elektroniskt. Kommunen har ingen nedtecknad rutinbeskrivning där det framgår vilka befattningar som kan ha attesträtt och vad attesträtten innebär för de olika systemen. Kommunen bör upprätta en attestinstruktion där det framgår dels vad det innebär att ha en attesträtt, och dels vad en utfärdad attest innebär. Av instruktionen bör det tydligt framgå att en attest innebär att man kontrollerat att rapporterade uppgifter är korrekta och att kostnader för utlägg avser verksamheten och är rätt konterade. Attesterade uppgifter innebär en kostnad för kommunen och skall i sin helhet vara korrekta. 3(6)

5.4 Nyanställningar Uppgifter om nyanställningar för månadsavlönad personal skickas till löneservice för registrering i Personec P. Som underlag för uppgifter som skall registreras finns blanketten, Anställningsbevis/-Beslut. Enligt uppgift skall all rapportering ske skriftligen. För timanställd personal behöver man inte skicka in ovanstående blankett. I stället skickar man in blanketten Anställningsbeslut/Tjänstgöringsrapport tillfällig anställ timlön. Vi har kontrollerat vilka uppgifter som rapporterats till löneservice för fem nyanställda personer under 2011. Dessa uppgifter har kontrollerats mot de uppgifter som finns i lönesystemet. I ett fall överensstämmer inte slutdatum för en tidsbegränsad anställning. Datumet har flyttats fram i lönesystemet för att stämma överens med uppgiften om att personen ska ha ferielön. Ändringen finns inte dokumenterad på blanketten och inte heller orsaken. För en person med timanställning har inte samtliga uppgifter på blanketten fyllts i, exempelvis saknas uppgifter om anställningstid, befattning och beslutad lön. Vid registrering av uppgifter i samband med nyanställningar sker ingen efterkontroll av att uppgifterna är rätt registrerade. Vid registrering av uppgifter i systemet sker ingen notering på blanketten när uppgifterna registrerats och av vem. På insända underlag bör löneservice alltid notera datum för registrering och signatur av den som gjort registreringen. Om det sker ändringar av inrapporterade uppgifter bör orsak, datum och signatur noteras. Ofullständigt ifyllda underlag bör skickas tillbaka till ansvarig person för komplettering. 5.5 Anställning upphör När en anställning upphör finns det inte någon fastställd dokumentation över vilka handlingar som ska skickas in till löneservice. Vid tidbegränsade anställningar framgår slutdatum av blanketten Anställningsbevis/-Beslut och för timanställningar omfattar anställningen den tid som har fyllts i på blanketten Anställningsbevis/-/Tillfällig anställning. Vi har granskat vilka underlag som finns i samband med avslutad anställning för 7 personer och även kontrollerat att rätt uppgifter registrerats i Personec P samt att rätt slutlön har utbetalats. En person har slutat på egen begäran och uppsägningsbrev finns. En person har erhållit ålderspension. Fem personer har haft tillfälliga anställningar varav två har varit tjänstlediga från sina ordinarie tjänster. Vi har inte identifierat några avvikelser i samband med genomgången. När en handling kommer in till lönekontoret ankomststämplas den inte. När en handling registreras i lönesystemet sker ingen notering om datum eller signatur på handlingen. 4(6)

Vid registrering av slutlön sker en simulering av löneberäkningen men det sker ingen efterkontroll av att registrerade uppgifter och beräkning är korrekt. Insända handlingar bör ankomststämplas. På insända underlag bör löneservice alltid notera datum för registrering och signatur av den som gjort registreringen. Vid utbetalning av slutlöner för månadsavlönad personal bör det ske en efterkontroll av att registrerade uppgifter är korrekta. 5.6 Kontroll av förändringar i grundlönedata Beslut om nya löner fattas antingen genom förhandling med fackliga organisationer, centralt eller lokalt, eller genom enskilda förhandlingar. Vid fackliga förhandlingar, centrala eller lokala, sker inrapporteringen av nya löner genom förhandlingssystemet. Lönerna registreras på personalkontoret och läses sedan över till lönesystemet via fil. Vid inläsning svarar varje handläggare på löneservice för att kontrollera att inläsningen skett korrekt. Fellistor körs fram för kontroll av att inläsningen skett korrekt. Vid enstaka ändringar av löner får löneservice lönesättningsprotokoll från kommunen. Uppgifterna läggs in manuellt i systemet. Någon efterkontroll av inlagda uppgifter sker inte. Alla anställda på löneservice som arbetar med löner har möjlighet att ändra uppgifter i lönesystemet. Alla ändringar loggas i systemet men logglistor körs inte ut för kontroll. För att stärka kontrollen av att det inte sker felaktiga registreringar på löneservice bör det finnas varningslistor som visar förändringar av grunduppgifter som granskas av en person som inte själv kan registrera i systemet. 5.7 Uppföljning av felrapport I samband med lönekörningar genererar systemet en sammanställning över fel, varningar och omkörningar, sk stjärnlista. Listan visar direkta fel som systemet identifierat, varningar för orimliga belopp samt belopp som ligger för omkörning. Innan den slutliga lönekörningen sker skall personer med stjärnor kontrolleras. Någon dokumentation över vilka personer som kontrollerats och vilka åtgärder som vidtagits dokumenteras inte manuellt eller digitalt på stjärnlistan. I vissa fall kontrolleras personer med höga löner månadsvis då de alltid hamnar på stjärnlistan. I de fall som man bedömer att en lönejustering är komplicerad simulerar man löneberäkningen i samband med registrering. Någon rutin för efterkontroll av att den slutliga bearbetningen överensstämmer med simuleringen sker inte. Analyslistor över månadens lönebearbetning finns tillgängliga ute i verksamheten. Det finns ingen fastställd rutin för hur ansvariga ska arbeta med analyslistan och hur genomgången av analyslistan ska dokumenteras. 5(6)

Vi rekommenderar att samtliga rutiner kring felrapporter dokumenteras. Dessa rutinbeskrivningar bör innefatta vilka kontroller som skall utföras, hur de skall genomföras, hur det skall dokumenteras och vem som är ansvarig. Det bör finnas någon form av kontroll och dokumentation av att alla felrapporter har åtgärdats. 5.8 Kontroller av reseräkningar och utlägg Löneservice hanterar även utbetalningar av reseersättningar, utlägg och traktamenten till de anställda. Reseersättningar förekommer inte i någon stor utsträckning då kommunen har tjänstebilar som används vid resa i tjänsten. När man använder egen bil i tjänsten registrerar den anställde alla nödvändiga uppgifter i en särskild modul i Personec P. Innan ersättningen utbetalas ska den attesteras enligt normala attestrutinen. Även traktamenten och utlägg registreras i modulen och attesteras före utbetalning. Vid utlägg ska originalkvitton skickas in till löneservice för att bekräfta utlägget och för arkivering. Då ingen registrering av uppgifterna sker hos löneservice utan registrering och attest sker i Avesta ser inte personalen på löneservice om det ska skickas in kvitton eller inte. Vi har granskat underlag till utbetalda ersättningar för fem personer på kommunkansliet. I två fall saknades kvitton till utbetalda ersättningar. Det finns idag ingen rapport som visar vilka personer som fått ersättning för utlägg. För att personalen på löneservice ska kunna kontrollera att alla kvitton har skickats in bör det finnas en signallista, som visar vilka personer som kommer att erhålla ersättning för utlägg i samband med lönebearbetningen. Om inte originalkvitton skickas in bör löneservice ha befogenhet att stoppa utbetalningen. KPMG AB Avesta som ovan Margareta Sandberg Godkänd revisor Mats Lundberg Kundansvarig 6(6)