Granskning av Polismyndighetens attestrutiner - Palasso

Granskning av Polismyndighetens attestrutiner - Palasso Internrevisionen 2017-05-05

RAPPORT 2 (12) Granskning av Polismyndighetens attestrutiner - Palasso INNEHÅLL 1 SAMMANFATTNING... 3 2 INLEDNING... 4 2.1 Bakgrund... 4 2.2 Syfte... 4 2.3 Omfattning och avgränsning... 4 2.4 Metod och tillvägagångssätt... 5 2.5 Bedömningsgrunder... 5 3 DATAANALYS... 6 3.1 Attester... 6 4 SUBSTANSGRANSKNING... 7 4.1 Underlag saknas... 8 4.2 Kontering... 8 4.3 Rutiner för dokumentation och arkivering av underlag... 10 5 SAMMANFATTANDE BEDÖMNING... 11 BILAGA RPC BESLUTSPROTOKOLL 2017-05-05

RAPPORT 3 (12) 1 Sammanfattning Internrevisionen har i enlighet med revisionsplanen granskat Polismyndighetens attestrutiner och hantering av uppgifter i Palasso. Syftet med granskningen har varit att bedöma den interna styrningen och kontrollen. Internrevisionens samlade bedömning är att den interna styrningen och kontrollen i Polismyndighetens attestrutiner och redovisning i Palasso inte är tillfredsställande. Granskningen har resulterat i totalt tre rekommendationer, fördelade enligt nedan utifrån internrevisionens modell för bedömning av brister. Antal Mycket väsentlig brist 0 Väsentlig brist 1 Mindre väsentlig brist 2 Internrevisionen rekommenderar bland annat: att HR-avdelningen i samråd med ekonomiavdelningen tar fram en åtgärdsplan för att förbättra hanteringen av underlag/räkenskaper. En mer central hantering bör övervägas. HR-avdelningen bör också i samråd med ekonomiavdelningen utveckla och tydliggöra de styrdokument som beskriver hur dokumentation och arkivering ska ske av underlag kopplade till händelser i Palasso. Internrevisionen anser att initiativ till en förstärkning av kontrollmiljön bör tas av HRavdelningen tillsammans med ekonomiavdelningen, HR-avdelningen i egenskap av informationsägare till Palasso, ekonomiavdelningen i egenskap av ansvariga för att säkerställa en väl fungerande process för intern styrning och kontroll samt för att följa upp verksamheten. Svar med förslag på åtgärder med anledning av internrevisionens rekommendationer har lämnats av HR-avdelningen och ekonomiavdelningen gemensamt. Rikspolischefen har beslutat att föreslagna åtgärder ska genomföras (se bilaga).

RAPPORT 4 (12) 2 Inledning Granskningen har utförts i enlighet med revisionsplanen för 2015-2016. 2.1 Bakgrund Myndigheternas ansvar för medel och tillgångar regleras i förordning (2000:606) om myndigheters bokföring. Myndigheten ska förordna de tjänstemän som får förfoga över myndighetens medel och detta görs i attestordningen. Attester förekommer t.ex. vid: beställning av vara tjänst hantering av faktura bemyndiganden av utbetalningar reseräkningar och utlägg lönerelaterade händelser, arvodesräkning och ledighet. Polisen hanterar årligen medel och tillgångar för omfattande belopp. I och med bildandet av den nya Polismyndigheten har många verksamheter flyttats, delats eller slagits ihop, nya chefer tillsatts och personal förflyttats. Detta påverkar förutsättningarna för ordning och reda vad gäller attestrutiner och inte minst avseende arkivering av underlag. Ansvaret för Polismyndighetens redovisning såsom bokslut, löpande redovisning, hantering av kund- och leverantörsfakturor ligger hos PAC Ekonomi som är en del av Polisens administrativa center (PAC), placerat i Linköping. Attestförteckningar upprättas regionalt. Attest görs i tre system, Agresso, Palasso och COPS. Attest av leverantörsfakturor görs i normalfallet elektroniskt i Agresso EFH efter att faktura inskannats för elektronisk hantering vid Polismyndigheten i Kiruna. Attest av reseräkningar, utlägg, övertid mm. görs i COPS samt i Palasso, normalt efter medarbetares egenrapportering. Internrevisionen har samtidigt med denna granskning genomfört en granskning av Polismyndighetens representation 1. I granskningarna har liknande iakttagelser och bedömningar gjorts avseende brister i underlag och konteringar. 2.2 Syfte Internrevisionens granskning har utförts i enlighet med revisionsplanen för 2015-2016. Syftet med granskningen har varit att bedöma den interna styrningen och kontrollen i Polismyndighetens attestrutiner och hantering av uppgifter i Palasso. 2.3 Omfattning och avgränsning Internrevisionen har tidigare granskat rutiner etc. avseende leverantörsfakturor (Agresso EFH). Slutlig rapport lämnades 2016-04-21 2. Det noterades bland annat att vissa beslutsattestanter attesterar en orimligt stor mängd fakturor, vilket enligt internrevisionens bedömning riskerar att inverka negativt på den interna styrningen och kontrollen. En uppföljning resulterade i en uppdaterad rapport 2017-03-06. 1 Granskning av representation, rapport 2017-05-05, dnr A854.015/2016. 2 Granskning av Polismyndighetens attestrutiner, dnr A.473.844/2015.

RAPPORT 5 (12) Denna granskning planerades inledningsvis omfatta COPS och Palasso samt redovisning som direkt genererar utbetalningar såsom övertid, utlägg och reseräkningar/traktamenten. Som framgår nedan har ytterligare avgränsningar skett under granskningens gång och granskningen har i huvudsak kommit att omfatta följande granskningsområden: analys av datafiler från Palasso bedömning av ordning och reda vad gäller underlag och rutiner för attest rutiner för arkivering av underlag. 2.4 Metod och tillvägagångssätt Granskningen inleddes tidigt under 2016. Konsultstöd upphandlades enligt beslut 2016-04-01 3 och kontakter togs med it-avdelningen i Stockholm och PAC i Linköping för erhållande av registerutdrag i COPS och Palasso. Svårigheter med dataöverföring och informationssäkerhetsskäl gjorde att granskningen inte kunde påbörjas och genomföras som planerat. Ändrade förutsättningar avseende konsultstöd och personalförändringar vid internrevisionen fördröjde granskningen ytterligare. Granskningen har utförts med stöd av en dataanalys samt genom substansgranskning av ett stickprovsurval av underlag avseende attest. Intervjuer har genomförts med ansvariga chefer och andra befattningshavare. Styrdokument, riktlinjer och annan dokumentation har granskats. De datafiler som erhållits och granskats omfattar följande: lönetransaktioner ur Palasso attestinformation från modulen RES (hanterar attest för lönearter kopplat till resor) attestinformation från modulen ER (hanterar attest för lönearter kopplat till tillägg). Filerna har analyserats och listor med transaktioner har tagits fram för uppföljning mot underlag samt bedömning av rutiner för attest och arkivering av underlag. Listorna har omfattat samtliga regioner och nationella avdelningar. Den slutliga granskningen har utförts av internrevisorerna Ola Hultquist och Winfred Nionzima. Framtagandet av uppgifter i systemet och vissa dataanalyser har gjorts av konsult från PWC samt internrevisor Daniel Lindberg Nironen med stöd från Polismyndighetens it-avdelning. Härutöver har Anders Gustav Åström från region Stockholm medverkat i granskningen. 2.5 Bedömningsgrunder Internrevisionens iakttagelser, bedömningar och grunder för lämnade rekommendationer framgår av den löpande texten i rapporten. För respektive rekommendation har internrevisionen bedömt bristen vid tidpunkten för granskningen. Internrevisionens bedömning följer nedanstående mall. 3 Tilldelningsbeslut PWC AB, dnr A100.990/2016.

RAPPORT 6 (12) Bedömning Röd - Mycket väsentlig brist Orange - Väsentlig brist Gul - Mindre väsentlig brist Beskrivning Brist som allvarligt påverkar Polismyndighetens måluppfyllelse enligt instruktion eller regleringsbrev och/eller medför stora negativa konsekvenser för Polismyndighetens verksamhet och/eller innebär att Polismyndigheten inte uppfyller myndighetsförordningens krav på effektivitet, lagenlighet, redovisning och hushållning. Brist som påverkar den granskade verksamheten så att uppställda mål inte nås och/eller medför betydande negativa konsekvenser för verksamheten. Brist som inte påverkar den granskade verksamhetens måluppfyllelse men som medför negativa konsekvenser för verksamheten. 3 Dataanalys Erhållna filer från Palasso har överförts till registeranalysprogrammet ACL (Audit Command Language) och analyser och framtagande av statistik har gjorts enligt följande: 1. Statistik på lönearter kopplade till attest 2. Identifiering av eventuella oattesterade poster 3. Attestanter med flest attesterade transaktioner 4. Attestanter med totalt högst attesterat belopp 5. Identifiering av transaktioner med högst attesterade belopp 6. Identifiering av personer med flest reseräkningar 7. Data-kvalitetscheckar såsom identifiering av eventuella dubbletter av transaktioner. Ytterligare bearbetning av materialet har gjorts i Excel. Väsentliga iakttagelser framgår i följande avsnitt. 3.1 Attester Hanteringen i systemen COPS och Palasso är komplicerad. Attest sker i Palasso ER och härefter importeras händelserna till Palasso LÖN. Vissa uppgifter, såsom t.ex. övertid och tidsförskjutning, attesteras i COPS innan de förs över till Palasso och därefter attesteras även i Palasso ER innan utbetalning. Andra uppgifter, som t.ex. OB-tillägg som hänger ihop med attesterad arbetstid i COPS, hanteras automatiskt i Palasso ER utan särskild attest av post eller belopp. Iakttagelser Internrevisionen har gjort en särskild uppföljning mot underlag av poster som hanterats manuellt av PAC. Ett antal transaktioner har också följts upp där internrevisionen velat förvissa sig om att dubbla utbetalningar inte har skett. Analyser och uppföljningar har inte uppmärksammat några allvarliga brister eller felaktigheter. Vid granskning av sammanställda listor från Palasso RES har noterats några poster som tycks sakna attest. Den förklaring som erhållits är att ändring av registrerad post gjorts

RAPPORT 7 (12) av person med reseadministratörs behörighet. Om ärendet i dessa fall inte skickas för ny attest försvinner uppgift om attesterare. Bedömning Internrevisionens bedömning är att det finns risk för felaktigheter och att det inte är tillfredställande att spårbarhet om attest saknas. En lösning på problemet är enligt uppgift att administratören i dessa fall skickar ärendet till ny attest. Härigenom blir det spårbart att posten har attesterats samt vem som har attesterat posten. Rekommendation Gul Mindre väsentlig brist Internrevisionen rekommenderar att HR-avdelningen i samråd med ekonomiavdelningen uppmärksammar reseadministratörer på att ärenden efter eventuella ändringar ska skickas till ny attest. Detta bör också framgå av rutinbeskrivningar, riktlinjer etc. Konsekvensen om rekommendationen inte följs är bristfällig dokumentation och att ändring och attest inte framgår i dessa fall. Detta kan medföra felaktigheter och negativa konsekvenser för verksamheten. Åtgärder med anledning av internrevisionens rekommendation Svar lämnat av Åtgärder Ansvarig HR och EA Riktlinjer och rutiner för hantering av resor i systemet Palasso ska tydliggöras. En riktad information ska även göras till de som har behörigheten Resegranskare (reseadministratör) i Palasso. Det är cirka 30 personer som berörs. HR ser över åtgärderna. Tidsplan 2017-06-30 4 Substansgranskning Internrevisionen har stickprovsmässigt följt upp ett antal utbetalningar i Palasso RES respektive Palasso ER från samtliga regioner och nationella avdelningar. Urvalet har delvis varit slumpmässigt och delvis omfattat poster där risken för felaktigheter bedömts vara särskilt hög. Den tid som urvalet omfattar är april 2015 - mars 2016. Underlagen har i första hand bedömts med avseende på att attest är korrekt utförd. Det har också granskats om underlag styrker utbetalning och bedömts om posten i övrigt är korrekt hanterad.

RAPPORT 8 (12) En översiktlig bedömning har också gjorts av de rutiner som finns för hantering av dokumentation och arkivering av underlag. Samtliga regioner och nationella avdelningar har lämnat underlag, de flesta med e-post och inskannade dokument bifogat som pdf-filer. Några svar har lämnats som brev med papperskopior. I något fall har uppföljning skett genom besök i region samt vid sammanträffande med handläggare. 4.1 Underlag saknas Internrevisionen har efterfrågat underlag till 373 poster, 170 från Palasso ER och 203 från Palasso RES. Urvalet omfattar samtliga regioner och nationella avdelningar. Iakttagelser Internrevisionens sammanställning visar att underlag/kvitto till 35 poster av 373, nästan 10 procent, saknas eller innehåller brister i sådan utsträckning att utgiften inte kan verifieras. Det har bland annat noterats att i princip ingen region eller nationell avdelning har lyckats återfinna underlag till samtliga efterfrågade poster. Se även avsnitt 4.3 Rutiner för dokumentation och arkivering av underlag. Bedömning Internrevisionen är medveten om att den tidsperiod som granskningen har omfattat kännetecknas av omorganisation och personalförflyttningar. Detta har sannolikt haft en negativ påverkan på möjligheten att återfinna underlag. Oavsett vilka omständigheter som finns så är kraven att räkenskaper ska arkiveras betryggande i tio år. Av denna anledning anser internrevisionen att Polismyndighetens rutiner och hantering av underlag måste stramas upp. Rekommendation Se avsnitt 4.3 Rutiner för dokumentation och arkivering av underlag. 4.2 Kontering De underlag som har erhållits har granskats med avseende på om utbetalning kan styrkas och om posten i övrigt är korrekt hanterad. Iakttagelser Internrevisionens sammanställning visar att 19 poster, dvs. ca 5 procent av de underlag som erhållits, är uppenbart felkonterade. Nedan anges några exempel. I de flesta fall är beloppen förhållandevis små.

RAPPORT 9 (12) Utgifter för intern representation har konterats som kostnadsersättning, övrig reskostnadsersättning eller övriga personalkostnader. Utgifter för friskvård har konterats som övrigt förbrukningsmaterial, annan förmån eller kostnadsersättning. Utlägg för inköp av litteratur har konterats som övrig reskostnadsersättning. Hotellkostnad har konterats som taxi. I ett fall har en inte oväsentlig kostnad för utbildning konterats som moms. I några fall har moms inte registrerats. I ett par fall har ersättning utbetalats för dricks 4. Det har också noterats att Palasso i sig innehåller begränsningar när det gäller kontering. Det saknas t.ex. möjlighet att i systemet registrera kostnad eller utlägg avseende kurs, utbildning etc. så att utgiften bokförs som utbildning. Bedömning Internrevisionens bedömning är att kvaliteten brister vad gäller kontering. Riktlinjer finns till stöd men ansträngningar bör göras för att höja efterlevnaden och noggrannheten. Rekommendation Gul Mindre väsentlig brist Internrevisionen rekommenderar att HR-avdelningen i samråd med ekonomiavdelningen tar initiativ till att höja kvaliteten vad gäller kontering. Såväl personer som redovisar utlägg etc. som de som attesterar bör återkommande erinras om det ansvar som följer med redovisning och attest. Konsekvenserna av om rekommendationen inte följs är en felaktig redovisning, att förordning (2000:606) om myndigheters bokföring och god redovisningssed inte följs samt risk för förtroendeskada. Detta kan medföra negativa konsekvenser för verksamheten. Åtgärder med anledning av internrevisionens rekommendation Svar lämnat av Åtgärder HR och EA Information finns tillgänglig på Intrapolis i form av en lathund ; Palasso Egenrapportering Information till attesterare. Lathunden är publicerad under Chefsstöd och ligger som en länk till autosvar från lönesupporten. Chefer och medarbetare kommer att uppmärksammas via Intrapolis 4 I de fall dricks lämnas, t.ex. vid representation eller taxiresa, utgör detta en privat kostnad som inte ska ersättas av arbetsgivaren. Det framgår också av riktlinjer för representation, dnr A107.226/2013.

RAPPORT 10 (12) på att fel förekommer. Dialog mellan chefer och medarbetare ska ytterligare säkerställas via verksamhetscontrollers. Ansvarig HR/PAC informerar på Intrapolis, med länk till lathunden. EA säkerställer att dialog förs. Tidsplan 2017-06-30 4.3 Rutiner för dokumentation och arkivering av underlag Polismyndighetens riktlinjer för attester (PM 2015:16) beskriver attestordningen, dvs. reglerar rätten att förfoga över myndighetens medel. Riktlinjerna beskriver också olika attestbehörigheter och vad dessa innebär. Härutöver finns en handbok för Palasso ER och en handbok som beskriver hur man attesterar/godkänner i Palasso ER. I dessa handböcker framgår inte hur underlag till utlägg ska sparas och vem som ska spara underlagen. PAC Personal administrerar och ger support i Palasso ER och kontrollmiljön består av att varje utlägg registreras av en person (egenrapportör) och godkänns av annan person (attesterande chef). Ansökan om attestbehörighet görs via Polisens administrationsportal (PAP) och effektueras efter kontroll av Behörighetscenter. Iakttagelser Internrevisionen har noterat att rutiner för dokumentation och arkivering av underlag för utbetalningar från Palasso varierar stort i organisationen. Sammanslagningen av 21 polismyndigheter till en polismyndighet bestående av sju regioner och ett antal nationella avdelningar har ännu inte medfört enhetliga rutiner. Enhetlighet inom regionerna saknas också och en erfarenhet är att tidigare rutiner från polismyndigheterna (nuvarande polisområden) i många fall lever kvar. På vissa håll fungerar rutinerna bättre, på andra sämre. Internrevisionens granskning har emellertid visat att rutinerna på många håll är undermåliga, vilket bekräftas av att underlag inte kunnat återfinnas (se avsnitt 4.1 Underlag saknas). Bedömning Internrevisionens bedömning är att rutiner för dokumentation och arkivering brister och att större enhetlighet bör eftersträvas. Rutiner och hantering måste tillförsäkra att räkenskaper förvaras betryggande.

RAPPORT 11 (12) Rekommendation Orange - Väsentlig brist Internrevisionen rekommenderar att HR-avdelningen i samråd med ekonomiavdelningen tar fram en åtgärdsplan för att förbättra hanteringen av underlag/räkenskaper. En mer central hantering bör övervägas. Internrevisionen rekommenderar också att ekonomiavdelningen i samråd med HRavdelningen utvecklar och tydliggör de styrdokument som beskriver hur dokumentation och arkivering ska ske av underlag kopplade till händelser i Palasso. Konsekvenserna av om rekommendationen inte följs är bristande efterlevnad av förordning (2000:606) om myndigheters bokföring, att god redovisningssed inte följs samt risk för förtroendeskada. Detta kan medföra betydande negativa konsekvenser för verksamheten. Åtgärder med anledning av internrevisionens rekommendation Svar lämnat av Åtgärder Ansvarig HR och EA En rutin för förvaring ska skrivas in i Ekonomihandboken, med länk från Handbok i Palasso egenrapportering. Den möjlighet som finns i Palasso att bifoga kvitton till utlägg som registreras separat ska beställas. Kommande version av Palasso ska uppgraderas så att kvitton för utlägg som registreras tillsammans med en resa kan bifogas. EA ansvarar för åtgärder i Ekonomihandboken och HR i övrigt. Tidsplan 2017-12-31 5 Sammanfattande bedömning Internrevisionens samlade bedömning är att den interna styrningen och kontrollen i Polismyndighetens attestrutiner och redovisning i Palasso inte är tillfredsställande. Väsentliga brister har identifierats och i rapporten beskrivs några förbättringsmöjligheter. Kontrollmiljön bedöms inte som tillräcklig mot bakgrund av förekomsten av antalet fel. Det finns en modell för intern styrning och kontroll som bygger på tre ansvarslinjer. Modellen används både inom privat och offentlig verksamhet. Ansvarslinjerna kan användas för att beskriva vilka som ansvarar för vad inom riskhantering och intern styrning och kontroll.

RAPPORT 12 (12) Enligt modellen utgörs första ansvarslinjen av myndighetens dagliga verksamhet och processer. I första ansvarslinjen ska det finnas en god intern kontroll i samtliga delar. Den interna kontrollen ska förebygga fel, avsiktliga eller oavsiktliga. I den andra ansvarslinjen ligger myndighetens regelbundet återkommande uppföljning och efterkontroller. Chefer, controllers och funktioner som arbetar med risker är en del i den här ansvarslinjen. Tredje ansvarslinjen utgörs av internrevisionen som granskar och bedömer den interna styrningen och kontrollen inom första och andra ansvarslinjen. Internrevisionen gör bedömningen att brister förekommer både i första och andra ansvarslinjerna, vilka därför behöver ses över. Internrevisionen anser att initiativ till en förstärkning av kontrollmiljön bör tas av HR-avdelningen tillsammans med ekonomiavdelningen, HR-avdelningen i egenskap av informationsägare till Palasso, ekonomiavdelningen i egenskap av ansvariga för att säkerställa en väl fungerande process för intern styrning och kontroll samt för att följa upp verksamheten. En förstärkning av kontrollmiljön skulle kunna ske genom t.ex. en mer centraliserad förvaring, uppföljning, kontroll samt på sikt digitalisering. Ola Hultquist Winfred Nionzima