www.pwc.se Revisionsrapport Granskning av intern kontroll avseende betalningsrutiner Caroline Liljebjörn Elin Petersson 24 maj 2017
Innehållsförteckning 1. Sammanfattning och revisionell bedömning... 2 1.1. Bedömningar mot kontrollmål... 2 2. Inledning... 5 2.1. Bakgrund... 5 2.2. Revisionsfråga och kontrollmål... 5 2.3. Metod... 5 3. Iakttagelser och bedömningar... 6 3.1. Finns en ändamålsenlig organisation, ansvarsfördelning och delegation avseende betalningsrutiner?... 6 3.1.1. Iakttagelser... 6 3.1.2. Bedömning... 6 3.2. Är attestrutinerna ändamålsenliga?... 6 3.2.1. Iakttagelser... 6 3.2.2. Bedömning... 7 3.3. Finns särskilda regler och kontroller för utbetalning av stora belopp?... 7 3.3.1. Iakttagelser... 7 3.3.2. Bedömning... 7 3.4. Finns rutiner för att vid behov revidera rätten att attestera?... 8 3.4.1. Iakttagelser... 8 3.4.2. Bedömning... 8 3.5. Finns ändamålsenliga rutiner, med tillräcklig kontroll, för utbetalningarna som inte hanteras i rutinen för leverantörsfakturor eller lönesystemet?... 8 3.5.1. Iakttagelser... 8 3.5.2. Bedömning... 8 3.6. Är processerna tillräckligt dokumenterade?... 8 3.6.1. Iakttagelser... 8 3.6.2. Bedömning... 10 Maj 2017 1 av 11
1. Sammanfattning och revisionell bedömning Kommunens lekmannarevisorer har observerat ett antal händelser av bedrägerier och oegentligheter i andra kommuner och kommunala bolag, vilket föranleder att inom ramen för en riskbedömning genomföra en granskning av betalningsrutinerna i kommunens bolag. Vi bedömer att styrelsens interna kontroll avseende betalningsrutiner i huvudsak är tillräcklig. Det baserar vi på att det finns beslutade dokument som visar VDs och övriga anställdas behörighet avseende inköp, att leverantörsfakturor attesteras av två personer och att det finns ett reglemente för intern kontroll. För att stärka den interna kontrollen har vi identifierat följande förbättringsområden: Vi anser att ytterligare en person utöver ekonomiadministratören bör kontrollräkna och signera betalningsförslaget samt att två i förening signerar utbetalningen via banken. Vi rekommenderar att ytterligare en person får befogenhet att utföra betalningar som stöd till den som nu innehar uppgiften i syfte att stärka den rådande sårbarheten. Vi rekommenderar att en internkontrollplan upprättas och återrapporteras till styrelsen i enlighet med reglementet. 1.1. Bedömningar mot kontrollmål Kontrollmål Finns en ändamålsenlig organisation, ansvarsfördelning och delegation avseende betalningsrutiner? Kommentar Delvis uppfyllt Vi bedömer att det i huvudsak finns en ändamålsenlig organisation, ansvarsfördelning och delegation avseende betalningsrutiner. Det baserar vi på att det finns beslutade dokument som visar VDs och övriga anställdas behörighet avseende inköp, att leverantörsfakturor attesteras av två personer men att det är en person som ensam hanterar hela processen avseende utbetalning av leverantörsfakturor. Maj 2017 2 av 11
Är attestrutinerna ändamålsenliga? Uppfyllt Vi bedömer att attestrutinerna är ändamålsenliga. Det baserar vi på att attestrutinerna bland annat säkerställer att fakturor attesteras av minst två personer. Stickproven visar att rutinerna följs. Vi bedömer att den interna kontrollen bör stärkas genom att ytterligare en person utöver ekonomiadministratören kontrollräknar och signerar betalningsförslaget samt att två i förening signerar utbetalningen via banken. Finns särskilda regler och kontroller för utbetalning av stora belopp? Delvis uppfyllt Vi bedömer att det finns särskilda regler för utbetalning av större belopp som inte är budgeterade eftersom de ska ha föregåtts av ett styrelsebeslut. Vi bedömer vidare att den interna kontrollen för bolagets utbetalningsrutin bör stärkas så att hanteringen inbegriper två olika personer. Finns rutiner för att vid behov revidera rätten att attestera? Finns ändamålsenliga rutiner, med tillräcklig kontroll, för utbetalningar som inte hanteras i rutinen för leverantörsfakturor eller lönesystemet? Uppfyllt Vi bedömer att det i huvudsak finns rutiner för att revidera rätten att attestera. De baserar vi på att det vid granskningstillfället fanns en aktuell lista över attestanter samt att VD har befogenhet att utse ställföreträdare. Vi bedömer att det inte är ändamålsenligt att endast en person har befogenhet att utföra betalningar. Det innebär att sårbarheten är för stor till exempel vid plötslig frånvaro på grund av sjukdom eller annat. Uppfyllt Vi bedömer att det finns ändamålsenliga rutiner för utbetalningar som inte hanteras i rutinen för Maj 2017 3 av 11
leverantörsfakturor eller i lönesystemet. Stickproven visar att det fanns underlag till utbetalningarna som var attesterade av behöriga personer. Är processerna tillräckligt dokumenterade? Uppfyllt Vi bedömer att processerna i allt väsentligt är tillräckligt dokumenterade. Det baserar vi på att det finns en attest- och utanordningsinstruktion som reglerar befogenhet och organisering av attester. Vi ser positivt på att styrelsen tagit beslut om ett reglemente för intern kontroll. Vi rekommenderar att en internkontrollplan upprättas för år 2017 och att resultatet återrapporteras till styrelsen. Maj 2017 4 av 11
2. Inledning 2.1. Bakgrund Kommunens lekmannarevisorer har observerat ett antal händelser av bedrägerier och oegentligheter i andra kommuner och kommunala bolag, vilket föranleder att inom ramen för en riskbedömning genomföra en granskning av betalningsrutinerna i kommunens bolag. 2.2. Revisionsfråga och kontrollmål Granskningen ska besvara följande revisionsfråga: Säkerställer styrelsen att den interna kontrollen avseende betalningsrutiner är tillräcklig? Följande kontrollmål ska besvaras av granskningen: Finns en ändamålsenlig organisation, ansvarsfördelning och delegation avseende betalningsrutiner? Är attestrutinerna ändamålsenliga? Finns särskilda regler och kontroller för utbetalning av stora belopp? Finns rutiner för att vid behov revidera rätten att attestera? Finns ändamålsenliga rutiner, med tillräcklig intern kontroll, för utbetalningarna som inte hanteras i rutinen för leverantörsfakturor eller lönesystemet? Är processerna tillräckligt dokumenterade? 2.3. Metod Vi har genomfört intervjuer med bolagets VD, ekonomichef samt ekonomiadministratör. Vi har tagit del av reglemente för intern kontroll samt attest- och utanordningsinstruktion. Vi har tagit stickprov på leverantörsfakturor och övrig bokföring under år 2016 och år 2017 till och med april månad. Maj 2017 5 av 11
3. Iakttagelser och bedömningar 3.1. Finns en ändamålsenlig organisation, ansvarsfördelning och delegation avseende betalningsrutiner? 3.1.1. Iakttagelser Den största andelen av bolagets utbetalningar består av leverantörsfakturor, ca 4 300 fakturor per år. Bolaget har digital hantering av leverantörsfakturor och använder fakturasystemet Incit. Alla fakturor inkommer centralt via post och skannas på plats. Ekonomiadministratören ankomstregistrerar samtliga fakturor manuellt. Sedan skickas fakturorna vidare till respektive fakturamottagare via Incit. Det finns referenser på fakturorna för att underlätta hanteringen. Enligt ekonomiadministratören väljs fakturamottagaren manuellt men därefter är attestvägen förinställd i fakturasystemet. Löneutbetalningarna för bolagets anställda sköts centralt av ekonomiadministratören. Tjänstemän rapporterar i tidrapporteringssystemet Tidomat. Ekonomiadministratören lägger sedan in dessa uppgifter i lönesystemet Visma. Övrig personal, exempelvis fastighetsskötare, rapporterar manuellt via pappersblankett. Attest av löner sker i tre nivåer. Tidrapporter attesteras av närmsta chef och vidarebefordras sedan till ekonomiadministratören. Lönerna ses över samt övertid och OB-tillägg kontrolleras. Underlagen, det vill säga lönespecifikationerna skickas sedan tillbaka till respektive chef för godkännande innan utbetalningarna verkställs. VD har tredje nivåns attest och signerar utanordningsrapporten för lönerna. Personliga utlägg betalas ut via lönerutinen. VDs utlägg attesteras av styrelseordförande. Enligt de intervjuade har ekonomichefen behörighet att utföra inköp som inte ingår i budgeten upp till 50 000 kr. Inköp utöver 50 000 kr som inte ingår i budgeten ska godkännas av styrelsen. Bolaget har under de senaste åren tagit bort all kontanthantering. Kunder kan inte längre betala sina hyror på bolagets kontor, varken kontant eller via betalkort. 3.1.2. Bedömning Vi bedömer att det i huvudsak finns en ändamålsenlig organisation, ansvarsfördelning och delegation avseende betalningsrutiner. Det baserar vi på att det finns beslutade dokument som visar VDs och övriga anställdas behörighet avseende inköp, att leverantörsfakturor attesteras av två personer men att det är en person som ensam hanterar hela processen avseende utbetalning av leverantörsfakturor. 3.2. Är attestrutinerna ändamålsenliga? 3.2.1. Iakttagelser Bolaget har en upprättad attest- och utanordningsinstruktion som är beskriven under 3.6.1. Instruktionen anger bl.a. attestberättigade personer inom bolaget och begränsning- Maj 2017 6 av 11
ar vad gäller belopp och typer av kostnader. Instruktionen anger även vilka personer som har rätt att utanordna betalningar och till vilka belopp. Det framgår av intervjuerna att bolaget har två olika flöden och attestrutiner beroende på fakturans karaktär. Beställningar av exempelvis förbrukningsmaterial av mindre värde skickas till fastighetsskötarna för godkännande. De godkänner att de har gjort beställningen samt att de har mottagit varorna. Fakturan skickas sedan vidare till närmsta chef för attestnivå 1 samt kontering. Slutligen skickas fakturan till ekonomichefen som utför attestnivå 2 samt utanordning. Fakturor med högre belopp skickas direkt till den som har gjort beställningen samt har budgetansvar för det specifika kontot för attestnivå 1. Därefter skickas den vidare till ekonomichefen som utför attestnivå 2 samt utanordning. Det framgår av intervjuerna att det inte är möjligt att attestera sina egna fakturor eller utlägg. Betalningar för utanordning visas i ekonomichefens inbox. Det är ekonomichefen samt VD som har behörighet att utföra utanordningar. När utanordningen har godkänts skickas bankfilen av ekonomiadministratören. Detta görs en till två gånger per vecka. För att skicka bankfilen måste alla fakturor vara attesterade på samtliga nivåer samt konterade. Det är enbart ekonomiadministratören som har access till att skicka bankfilen och det finns enbart en inloggning och en bankdosa för att komma åt dessa uppgifter. Vi har tagit stickprov för att kontrollera efterlevnaden av attestrutinerna. 3.2.2. Bedömning Vi bedömer att attestrutinerna är ändamålsenliga. Det baserar vi på att attestrutinerna bland annat säkerställer att fakturor attesteras av minst två personer. Stickproven visar att rutinerna följs. Vi bedömer att den interna kontrollen bör stärkas genom att ytterligare en person utöver ekonomiadministratören kontrollräknar och signerar betalningsförslaget samt att två i förening signerar utbetalningen via banken. 3.3. Finns särskilda regler och kontroller för utbetalning av stora belopp? 3.3.1. Iakttagelser Enligt de intervjuade kan det förkomma utbetalningar av stora belopp i samband med investeringar. Dessa belopp återfinns i budgeten och det medföljer då en betalningsplan från entreprenören. Projektledaren för projektet stämmer av fakturorna mot den fastställda budgeten innan fakturan betalas. Dock finns det inga spärrar i systemet för utbetalningar av stora belopp. Ekonomiadministratören gör en rimlighetsbedömning av fakturor med stora belopp. Enligt de intervjuade har de god uppsikt över de större projekten och är medvetna om de fakturor som ska komma. Det framgår även att de är viktiga att bevaka ur likviditetssynpunkt för bolaget. 3.3.2. Bedömning Vi bedömer att det finns särskilda regler för utbetalning av större belopp som inte är budgeterade eftersom de ska ha föregåtts av ett styrelsebeslut. Vi bedömer vidare att den interna kontrollen för bolagets utbetalningsrutin bör stärkas så att hanteringen inbegriper två olika personer. Maj 2017 7 av 11
3.4. Finns rutiner för att vid behov revidera rätten att attestera? 3.4.1. Iakttagelser Vid nyanställningar har bolaget en checklista som de följer. Det finns i dagsläget ingen blankett eller liknande för tilldelning av attesträtt. Ekonomiadministratören eller ekonomichef ansvarar för uppläggning av nyanställd i ekonomisystemet. Vid semestrar finns alltid någon av attestanterna med tredje nivåns attesträtt på plats, det vill säga VD eller ekonomichef. Det är dock enbart ekonomiadministratören som har tillgång till bolagets enda bankdosa och som kan skicka bankfilen med utbetalningar. Detta resulterar i att denne kan behöva komma in även under sin semester om det inkommit fakturor av brådskande karaktär. 3.4.2. Bedömning Vi bedömer att det i huvudsak finns rutiner för att revidera rätten att attestera. De baserar vi på att det vid granskningstillfället fanns en aktuell lista över attestanter samt att VD har befogenhet att utse ställföreträdare. Vi bedömer att det inte är ändamålsenligt att endast en person har befogenhet att utföra betalningar. Det innebär att sårbarheten är för stor till exempel vid plötslig frånvaro på grund av sjukdom eller annat. 3.5. Finns ändamålsenliga rutiner, med tillräcklig kontroll, för utbetalningarna som inte hanteras i rutinen för leverantörsfakturor eller lönesystemet? 3.5.1. Iakttagelser Enligt de intervjuade förekommer manuella utbetalningar som inte hanteras i fakturaeller lönerutinen i begränsad utsträckning. De utbetalningar som förekommer är fackavgiften för de anställda som inte skannas in i leverantörssystemet. Det kan även förekomma att någon bokar en tjänsteresa sent som måste betalas via direktbetalning, alternativt att någon haft friskvårdsutlägg men ej kan vänta på betalning till nästkommande lön. Skattedeklarationen görs via internetbetalning med e-legitimation. Det är enbart ekonomiadministratören som har tillgång till bolagets e-legitimation. Vi har kontrollerat utbetalningar som inte hanteras i rutinen för leverantörsfakturor eller lönesystemet via stickprov. 3.5.2. Bedömning Vi bedömer att det finns ändamålsenliga rutiner för utbetalningar som inte hanteras i rutinen för leverantörsfakturor eller i lönesystemet. Stickproven visar att det fanns underlag till utbetalningarna som var attesterade av behöriga personer. 3.6. Är processerna tillräckligt dokumenterade? 3.6.1. Iakttagelser Bolaget har upprättat ett reglemente för intern kontroll som enligt de intervjuade antogs av styrelsen under hösten 2016. Reglementet syftar till att säkerställa att styrelse upprätt- Maj 2017 8 av 11
håller en tillfredsställande intern kontroll genom att uppnå en ändamålsenlig och kostnadseffektiv verksamhet, tillförlitlig finansiell rapportering och information om verksamheten samt efterlevnad av tillämpliga lagar, föreskrifter och riktlinjer mm. Enligt reglementet har styrelsen det övergripande ansvaret för den interna kontrollen. Styrelse och VD ska inom sitt respektive område se till att den interna kontrollen är tillräcklig och att verksamheten bedrivs på ett tillfredsställande sätt. Ekonomichefen ansvarar för att leda arbetet med den interna kontrollen samt att löpande rapportera till VD/styrelse. Ansvariga chefer i bolaget skall följa antagna regler om intern kontroll samt informera övriga anställda om dess innebörd. Vidare anger reglementet att VD/styrelse årligen ska anta en plan för uppföljning av den interna kontrollen. Planen ska motiveras utifrån en bedömning av väsentlighet och risk. Det ska årligen upprättas en internkontrollplan enligt fastställd modell. Reglementet anger vilka områden som ska ingå i internkontrollplanen. Genomförda kontroller ska dokumenteras och följas upp. Uppföljningen ska löpande rapporteras till VD som ska besluta om eventuella åtgärder. VD ska varje år rapportera till styrelsen avseende resultat och åtgärder från uppföljningen av föregående års internkontrollplan, resultat av åtgärder enligt uppföljning av tidigare års internkontrollplaner samt internkontrollplan för kommande verksamhetsår. I reglementet ingår även mallar för väsentlighets- och riskanalys, internkontrollplan med granskningsområden, kontrollpunkter mm, delrapport för varje granskning samt slutrapport för årets internkontrollgranskningar som ska undertecknas av VD. Under intervjun framgår att bolaget inte har upprättat någon internkontrollplan för verksamhetsåret 2017. har även en rutin benämnd Attest- och utanordningsinstruktion som är daterad 2017-04-03. Enligt rutinen har VD attesträtt inom hela företaget medan övriga medarbetare har så kallad delegerad attesträtt. Attesträtten är begränsad så till vida att attestberättigad ej får attestera utgifter som varit förknippade med hans egen person. Attest krävs från närmaste högre chef. Rutinen anger att ekonomichefen har attesträtt upp till 50 000 kr för utgifter utanför budget och övriga kontoansvariga har attesträtt upp till 10 000 kr för utgifter utanför budget. Vidare anger rutinen den attestberättigade personens skyldigheter samt om attestberättigad person är frånvarande under längre tid ska attest ske av närmast högre chef eller utsedd ställföreträdare. Attesträtt beviljas av VD. Den andra delen av rutinen behandlar utanordning. Med utanordning menas handling genom vilken en person med sin namnteckning bekräftar att en attesterad utgiftsverifikation får betalas. Utanordningsberättigad person får ej godkänna betalning till sig själv eller utgift som varit förknippad med hans egen person. Den som utanordnar ett belopp till betalning ska se till att betalningen är rimlig, att utgiften är attesterad av därtill berättigad person och att sådan person icke attesterat utgift som varit förknippad med hans egen person. Vid behov av ställföreträdare utses denne av VD. Bilagd attest- och utanordningsinstruktionen finns sex stycken bilagor; attesträtt som redogör vilken befattningshavare som har befogenhet att attestera olika typer av kostnader, utanordningsrätt, namnteckningsprov och signaturer, uppföljnings- och avstämning- Maj 2017 9 av 11
sansvar för balanskonton, budget- och uppföljningsansvar för resultatkonton samt avstämning och kontroll. 3.6.2. Bedömning Vi bedömer att processerna i allt väsentligt är tillräckligt dokumenterade. Det baserar vi på att det finns en attest- och utanordningsinstruktion som reglerar befogenhet och organisering av attester. Vi ser positivt på att styrelsen tagit beslut om ett reglemente för intern kontroll. Vi rekommenderar att en internkontrollplan upprättas för år 2017 och att resultatet återrapporteras till styrelsen. Maj 2017 10 av 11
2017-05-29 Jörn Wahlroth Uppdragsledare Caroline Liljebjörn Projektledare Maj 2017 11 av 11