STADSREVISIONEN www.stockholm.se/revision Nr 5 Februari 2008 DNR 364-06/2008 Granskningspromemoria 2007 MICASA FASTIGHETER I STOCKHOLM AB
Den kommunala revisionen är fullmäktiges kontrollinstrument för att granska den verksamhet som bedrivs i nämnder och bolagsstyrelser. Stadsrevisionen i Stockholm granskar nämnders och styrelsers ansvarstagande för att genomföra verksamheten enligt fullmäktiges uppdrag. Stadsrevisionen omfattar både de förtroendevalda revisorerna och revisionskontoret. I årsrapporter för nämnder och granskningspromemorior för styrelser sammanfattar Stadsrevisionen det gångna årets synpunkter på verksamheten. Särskilda granskningar som sker under året publiceras löpande som revisionsrapporter och i vissa fall som promemorior. Publikationerna finns på Stadsrevisionens hemsida. De kan också beställas från revisionskontoret. STADSREVISIONEN Revisionskontoret www.stockholm.se/revision Besöksadress: Hantverkargatan 3 A, 1 tr Postadress: 105 35 Stockholm Telefon: 08-508 29 000 Fax: 08-508 29 399
STADSREVISIONEN INNEHÅLL Sid 1 Redogörelse för granskningens planering och genomförande... 1 2 Redogörelse för granskningsresultatet... 1 2.1 Särskild granskning...1 2.1.1 Bolagets hantering av e-post utifrån stadens nya regler... 1 2.1.2 Bolagets IT-säkerhetsarbete utifrån stadens policy och regelverk... 2 2.1.3 Fastighetsunderhåll... 3 2.1.4 Systematiskt brandskyddsarbete... 5 2.1.5 Upphandlingsverksamheten... 5 2.2 Basgranskning...7 2.2.1 Bolagets arbete med internkontroll... 7 2.2.2 Bolagets resultatkrav och ekonomiska prognoser... 8 2.2.3 Uppföljning av ägarnas direktiv och uppdrag... 8
STADSREVISIONEN 1(9) 1 Redogörelse för granskningens planering och genomförande Årets granskningsinsats har planerats tillsammans med samtliga lekmannarevisorer vid ett gemensamt planeringsmöte den 15 maj 2007. Vid planeringsmöte avseende Micasa Fastigheter i Stockholm den 8 juni 2007 informerade lekmannarevisorn om det granskningsuppdrag hon gett revisionskontoret. På mötet presenterade den auktoriserade revisorn sin planeringspromemoria. I övrigt har informationsutbyte skett mellan samtliga involverade i revisions- och granskningsarbetet. Resultatet från den auktoriserade revisorns granskning av intern kontroll och delårsbokslutet per 2007-08-31 rapporterades vid ett avstämningsmöte med bolagets ledning den 8 oktober 2007. Slutrevisionsmöte med bolagsledningen äger rum den 19 februari 2008. I enlighet med fastställd granskningsplaneringspromemoria har särskilda granskningar genomförts avseende bolagets rutiner för e-post och bolagets ITsäkerhetsarbete. Vidare har föregående års särskilda granskningar följts upp, dvs underhåll och investeringar, systematiskt brandskyddsarbete och bolagets upphandlingsverksamhet. Bolaget har faktakontrollerat promemorian. 2 Redogörelse för granskningsresultatet 2.1 Särskild granskning 2.1.1 Bolagets hantering av e-post utifrån stadens nya regler Fullmäktige har i mars 2007 antagit nya e-postregler. Koncernstyrelsen har den 23 april 2007 beslutat att uppmana bolagen inom koncernen Stockholm Stadshus AB att anta de nya reglerna. Iakttagelser Bolagets styrelse har den 6 september 2007 antagit stadens nya regler för e-post. Bolaget har inga egna tillämpningsanvisningar för e-post eller rutin för postöppning och diarieföring. Under hösten 2007 informerades personalen om de nya reglerna och då särskilt hanteringen vid tjänstemans frånvaro. De som vill kan läsa e-post i mobilerna och vidarebefordra posten till registratorn.
STADSREVISIONEN 2(9) Revisionskontorets bedömning och kommentarer Bolaget har antagit stadens regler för e-post och informerat all personal. Revisionskontoret rekommenderar bolaget att ta fram lokala tillämpningsanvisningar. Regelverket gäller även styrelsen, varför bolaget rekommenderas att ha en särskild genomgång med ledamöterna kring hur de ska förfara vid mottagande av allmän handling. 2.1.2 Bolagets IT-säkerhetsarbete utifrån stadens policy och regelverk Revisionskontoret har genomfört en översiktlig granskning av bolagets informationssäkerhetsarbete. Granskning har i huvudsak varit inriktad på att bedöma hur väl bolaget följer kommunfullmäktiges policy och riktlinjer för informationssäkerhet från den 13 juni 2005. Koncernstyrelsen beslutade den 24 oktober 2005 att regelverket ska följas av stadens bolag. Iakttagelser Bolagets styrelse antog en informationssäkerhetspolicy den 22 augusti 2006. Enligt revisionskontorets avviker denna från stadens policy för informationssäkerhet. Enligt stadens regelverk ska den information som hanteras i bolagets IT-system klassificeras (värderas). Detta för att rätt skyddsnivå ska kunna fastställas. Bolaget har till viss del genomfört en klassning av sin information, men inte i den omfattning som regelverket föreskriver. Det finns informations-/utbildningsmaterial avseende informationssäkerhet utlagt på bolagets intranät. Det är oklart hur många av användarna som har tagit del av materialet. Enligt bolagets informationssäkerhetspolicy och enligt stadens regelverk, ska beslut om tilldelning och borttag av behörigheter ske skriftligt av närmsta chef. Revisionskontoret noterade dock att skriftliga beslut inte upprättades. För att reducera negativa konsekvenser vid allvarliga störningar i IT-systemen bör dokumenterade kontinuitets- och avbrottsplaner finnas för de mest verksamhetskritiska systemen. För felanmälansrutinen finns avbrottsrutiner, men dessa är inte dokumenterade. För övriga verksamheter med IT-stöd saknas kontinuitetsoch avbrottsplaner. Det ska finnas en informationssäkerhetssamordnare utsedd på respektive bolag och förvaltning. Dennes uppgift är bland annat att samordna och följa upp informationssäkerhetsarbetet inom förvaltningen/bolaget. Bolagets informationssäkerhetssamordnare är samma person som har ansvaret för driften av ITsystemen. Ur säkerhetssynpunkt är detta inte lämpligt.
STADSREVISIONEN 3(9) Systematiska säkerhetsuppföljningar i den utsträckning som stadens regelverk föreskriver har inte genomförts. Revisionskontorets bedömning och kommentarer Vid bolaget bedrivs ett informationssäkerhetsarbete, men det sker inte på ett tillräckligt systematiskt sätt och inte utifrån stadens regelverk. Bolaget bör vidta ett antal åtgärder av administrativ karaktär för att stärka säkerheten. Bolaget bör revidera sin informationssäkerhetspolicy och anpassa den till kommunfullmäktiges policy och riktlinjer för informationssäkerhet. Enligt uppgift från bolaget har, efter att granskningen avslutats, en reviderad informationssäkerhetspolicy tagits fram. Förslag till reviderad policy har inte beslutats av styrelsen ännu. God informationssäkerhet innebär att rätt information ska finnas tillgänglig och att den inte ska kunna förvanskas, vare sig avsiktligt eller oavsiktligt, eller vara möjlig att komma åt för obehöriga. Det ska också gå att fastställa vem som har använt informationen och ändrat den. Bolaget bör därför klassificera sin information för att särskilja den information som ställer särskilda krav på säkerhet. Klassningen ska enligt stadens regelverk ske utifrån informationens krav på dess tillgänglighet, riktighet och åtkomstbegränsning samt krav på spårbarhet. Okunskap bland personalen är en av de största informationssäkerhetsriskerna. Revisionskontoret rekommenderar därför att bolaget informerar och utbildar personalen i informationssäkerhet. Av säkerhetsskäl bör bolaget utse en informationssäkerhetssamordnare som inte samtidigt ansvarar för IT-driften. Bolaget bör för de mest verksamhetskritiska IT-systemen upprätta kontinuitetsoch avbrottsplaner i händelse av avbrott eller allvarliga störningar. 2.1.3 Fastighetsunderhåll Revisionskontoret genomförde under 2006 en granskning av hur fyra nämnder och bolag, däribland Micasa, arbetade med fastighetsunderhållet (rapport nr 15/2006). Resultatet från granskningen visade att underhållet var eftersatt vid bl a Micasa. Bolaget rekommenderades att fastställa en långsiktig plan/strategi för fastighetsunderhållet. Vidare behövde bolaget fastställa principer för vad som ska redovisas som underhåll respektive investeringar utifrån gällande lagkrav. Iakttagelser Bolaget har fr o m 1 december 2007 en ny organisation som bättre ska samla resurserna för fastighetsunderhåll, myndighetsbesiktningar och investeringar. Anta-
STADSREVISIONEN 4(9) let regioner har minskats från tre till två och reparatörerna har samlats i en nyinrättad fastighetsserviceavdelning som också svarar för myndighetsbesiktningar och ett energieffektiviseringsprojekt. Bolagets teknikavdelning svarar förutom för olika investeringsprojekt också för inventeringen av samtliga fastigheters underhållsbehov för åren 2008-2022. Under 2008 ska ett IT-stöd upphandlas för att underhållsplanen ska kunna hållas aktuell. Inventeringen av fastigheter med störst underhållsbehov (servicehusen) är klar. Underhållsbehoven i dessa fastigheter visar att det finns en stor underhållsskuld. Inventeringen i sin helhet planeras vara avslutad i mars 2008. I 2007 års budget sänktes budgeten för planerat underhåll från 98 mnkr till 72 mnkr, främst p g a ökade finansiella kostnader. I budget 2008 har bolagets resultatkrav sänkts med 50 mnkr. Härigenom har underhållsbudgeten kunnat utökats till 128 mnkr, varav 50 mnkr finansieras genom disposition av bolagets periodiseringsfonder. Den inventering som nu är klar för servicehusen har legat till grund för planeringen av underhållet 2008. Prioriteringen har varit hissar och brand/säkerhet. Någon beräkning av vad det eftersatta underhållet totalt sett uppgår till har inte gjorts ännu, eftersom inventeringen av hela fastighetsbeståndet inte är klar. Dock framgår det av konsulternas delrapport, att bolaget har en stor underhållsskuld. Genom bolagets energieffektiviseringsprojekt förväntas bolaget göra stora kostnadsbesparingar som ska användas till finansiering av fastighetsunderhållet. Andra åtgärder som diskuteras är möjligheten till omförhandling av ramavtalen med stadsdelsnämnderna. Under 2008 ska bolaget presentera en långsiktig plan/strategi för hur det eftersatta underhållet ska åtgärdas. En diskussion pågår mellan bolaget och S-Hus AB, som också lämnar en second opinion på den inventering som nu pågår. Hur stadsdelarna långsiktigt ser på behoven av servicehus spelar också stor roll. Bolaget har tagit fram principer för aktivering av kostnader i samband med ombyggnad och reparation/underhåll. Dokumentet har nyligen reviderats. Revisionskontorets bedömning och kommentarer Revisionskontorets bedömning är att bolaget genom inventeringen av samtliga fastigheter har lagt en bra grund för ett långsiktigt arbete med fastighetsunderhållet. Det är viktigt att styrelsen under 2008 tar beslut om en långsiktig plan/strategi
STADSREVISIONEN 5(9) för hur det eftersatta underhållet ska åtgärdas inför beslut om budget och inriktning för åren 2009 2012. 2.1.4 Systematiskt brandskyddsarbete Revisionskontoret genomförde under 2006 en granskning av bolagets brandskyddsarbete utifrån Lagen om skydd mot olyckor (LSO) från 2004. Granskningen visade att bolaget bedrev ett brandskyddsarbete men inte till alla delar i enlighet med LSO och föreskrifter från Statens räddningsverk. Bolaget rekommenderades att fastställa en brandskyddsorganisation där ansvar och roller klargörs. Bolaget rekommenderades också att intensifiera arbetet med att upprätta brandskyddsbeskrivningar för respektive fastighet. Iakttagelser Bolaget har under 2007 anlitat konsultstöd för att strukturera brandskyddsarbetet. Brandskyddsinventeringar har genomförts och brandskyddsbeskrivningar har upprättats för samtliga fastigheter. Skriftliga redogörelser för brandskyddet har upprättats i enlighet med gällande lagstiftning. Vidare har förslag på brandskyddsorganisation tagits fram som styrelsen planerar ta ställning till under våren 2008. I förslaget utpekas vem som ska vara brandskyddssamordnare, vilka som ska vara brandskyddsansvariga respektive brandskyddskontrollanter. Checklistor har tagits fram som stöd för brandskyddskontrollerna. Därtill finns ett system för hur resultatet ska rapporteras och sammanställas. Förvaltarna och projektledarna har gått en målgruppsanpassad brandskyddsutbildning och reparatörerna har gått kursen Heta arbeten. Vidare finns ett förslag till plan för vilka kurser samtliga anställda ska genomgå. Revisionskontorets bedömning och kommentarer Uppföljningen visar att bolaget har vidtagit en rad åtgärder i syfte att förbättra brandskyddsarbetet. Det finns ett förslag till hur det systematiska brandskyddsarbetet ska organiseras och följas upp. Det är viktigt att brandskyddsorganisationen nu fastställs och att föreslagna arbetssätt implementeras i organisationen. 2.1.5 Upphandlingsverksamheten Revisionskontoret genomförde en granskning av upphandlingsorganisation, rutiner och några genomförda upphandlingar år 2006. Genomförd granskning visade att bolaget i stort hade en till fredställande kontroll över sin upphandlingsverksamhet. En inköpsfunktion inom teknikavdelningen inrättades under 2006, vilket gav för-
STADSREVISIONEN 6(9) utsättningar för att genomföra fler upphandlingar i egen regi. Revisionskontoret lämnade följande rekommendationer i samband med granskningen: - Bolaget bör ta fram riktlinjer för upphandling - Bolaget bör införa en rutin för löpande uppföljning av ramavtalens efterlevnad - Dokumentationen av upphandlingarna måste förbättras - Bolaget behöver se över sina rutiner för diariehantering rent allmänt. Iakttagelser Bolagets VD har beslutat om en inköpspolicy med riktlinjer den 25 maj 2007 som närmare preciserar mål, ansvar och befogenheter samt beskriver inköpsprocesserna. Till policyn har tillämpningsanvisningar tagits fram och fastställts av VD vid samma tidpunkt. Dessa har nu reviderats med anledning av bl a stadens nya beloppsgränser för direktupphandling. Inköpsfunktionen består av en inköpssamordnare, som har varit involverad i samtliga genomförda upphandlingar under 2007, totalt 50-60 st. Endast i två fall har konsultstöd anlitats. Detta ska jämföras med 2006, då merparten av upphandlingar genomfördes med konsultstöd. Inköpssamordnaren ansvarar också för utveckling av riktlinjer/rutiner och IT-stöd för upphandlingsverksamheten. Ett inköpssystem var planerat att tas i drift under hösten 2006, men har försenats p g a att testkörningarna inte har godkänts. En förhoppning är att systemet ska kunna tas i drift under våren 2008. Via systemet kommer följsamheten till bl a träffade ramavtal att kunna följas upp löpande. Inköpssamordnaren har tagit fram en checklista på vad en inköpsakt ska innehålla. Det är inköpssamordnaren som själv upprättar samtliga inköpsakter. F n diarieförs inte upphandlingsakterna i avvaktan på att bolagets rutiner för diariehantering ska ses över. Ett ärendehanteringssystem håller på att upphandlas. Upphandlingsakterna över avslutade upphandlingar förvaras i arkivet. Revisionskontorets bedömning och kommentarer Revisionskontorets bedömning är att bolaget har en tillfredsställande kontroll över upphandlingsverksamheten. M h t den upphandlingsvolym bolaget har är inköpsfunktionen (bestående av en person) sårbar. Revisionskontorets rekommendation att bolaget behöver se över sina rutiner för diariehantering rent allmänt kvarstår.
STADSREVISIONEN 7(9) 2.2 Basgranskning 2.2.1 Bolagets arbete med internkontroll Iakttagelser Bolaget har med hjälp av konsult gjort en genomgång av förtroenderisker inom verksamheten i december 2006. Genomgången har legat till grund för internkontrollplanen som fastställdes av styrelsen i juni 2007. Ledningsgruppen har arbetat med att inventera riskområden och värdera dem efter väsentlighet och sannolikhet. För varje riskområde beskrivs på ett tydligt sätt vilka krav som måste uppfyllas för god intern kontroll och vilka policydokument som finns inom bolaget. För området IT-säkerhet saknas dock hänvisning till kommunfullmäktiges policy och riktlinjer för informationssäkerhet i Stockholms stad från den 13 juni 2005. Utifrån genomförd risk-/väsentlighetsbedömning har fyra kontrollområden valts ut, nämligen inköp av varor och tjänster, fakturahantering, felaktigt nyttjande av företagets resurser (representation, företagsbilar, SL-kort, privata samtal) och felanmälan. Kontrollerna genomförs genom stickprov vid olika tillfällen under året. Resultatet av genomförda kontroller utifrån uppsatta kontrollmål avrapporterades till styrelsen den 29 januari 2008. Resultatet visade att gällande rutiner i huvudsak har tilllämpats. När det gäller inköp av varor och tjänster har dock ett kontrollmål gynnande av enskild leverantör inte kunnat genomföras p g a att inköpssystemets införande har försenats. En internkontrollplan för år 2008 fastställdes av styrelsen den 29 januari 2008. Två nya riskområden har lagts till, fullmäktiges mål och offentliga handlingar/diariet. Kontroller kommer att genomföras vad gäller varor och tjänster, felaktigt nyttjande av företagets resurser, IT-säkerhet och offentliga handlingar. Sistnämnda två kontrollområden är nya för 2008. Revisionskontorets bedömning och kommentarer Revisionskontorets bedömning är att bolaget på ett mycket bra sätt har utvecklat sitt arbete kring risk- och väsentlighets (R(V) - bedömning och arbetet med interkontrollplanen. Genom IK-planens struktur beskrivs också bolagets internkontrollsystem på ett bra sätt. Bolaget har också beaktat fullmäktiges krav att R/Vanalysen ska utgå från fullmäktiges inriktningsmål, genom att ta upp detta som ett särskilt område.
STADSREVISIONEN 8(9) Revisionskontorets granskning har visat på brister i den interna kontrollen vad gäller rutiner för IT-säkerhet och diariet. Dessa områden har lagts till som kontrollområden i planen för 2008, vilket är bra. Vid avrapporteringen till styrelsen kan med fördel eventuellt identifierade förbättringsmöjligheter också lyftas fram och om dessa har genomförts. 2.2.2 Bolagets resultatkrav och ekonomiska prognoser Revisionskontoret har granskat tertialrapporter och bokslut med särskild inriktning på bolagets prognoser över resultatet efter finansnetto. Resultat efter finansnetto 2007; mnkr KF:s budget Bolagets budget Prognos T1 PrognosT2 Bokslut 40,0 40,0 40 40 46 Det redovisade resultatet enligt bokslutet blev 46 mnkr. Exkluderas reavinsterna som uppgick till 4 mnkr, blev resultatet 42 mnkr. Den positiva avvikelsen på 2 mnkr jämfört med resultatkravet, beror till stor del på att flera ansökningar om räntebidrag än förväntats har godkänts. Detta har kunnat balanseras mot både ökade kostnader och minskade intäkter. Det slutliga resultatet överensstämmer i stort med lämnade prognoser under året. Bruttoinvesteringar 2007; mnkr Bolagets budget Prognos T1 PrognosT2 Bokslut 676 729 608 640 Investeringsvolymen blev något lägre än planerat på grund av att ett antal projekt har senarelagts. Några projekt har stadsdelsnämnderna valt att avbryta. Revisionskontorets bedömning Bolaget har uppnått ägarens resultatkrav. Resultatprognoserna under året har i stort överensstämt med det slutliga utfallet. 2.2.3 Uppföljning av ägarnas direktiv och uppdrag Revisionskontoret har valt att särskilt följa upp tre av de sju bolagsspecifika ägardirektiven som fullmäktige givit bolaget.
STADSREVISIONEN 9(9) Bolaget ska tillhandahålla välskötta och trygga bostäder för stadens äldre och för personer med funktionsnedsättning Bolaget har inventerat fastigheterna ur såväl ett tillgänglighetsperspektiv som ett trygghetsperspektiv (belysning m m) under 2007. 60% av fastighetsbeståndet har tillgänglighetsinventerats, vilket är 10% fler än målet. Vidare har 10% av fastigheterna trygghetsinventeras (belysning m m), vilket är lika med målet. Ett arbete pågår också med att införa ett systematiskt brandskyddsarbete (avsnitt 2.1.4). Bolaget ska genomföra ombyggnader och upprustningar i befintligt beståndet Bolaget har under 2007 arbetat intensivt med att inventera fastigheterna och ta fram långsiktiga underhållsplaner per fastighet (avsnitt 2.1.3). Bolaget ska värna tillgången till gemenskapslokaler i beståndet Bolaget värnar gemensamhetslokalerna i fastigheterna. Vid ombyggnader har inte några sådana lokaler tagits i anspråk. Revisionskontorets bedömning Sammanfattningsvis bedömer revisionskontoret att bolaget arbetar aktivt med de av ägaren lämnade uppdragen. Lars-Erik Örsing Enhetschef Maria Assarsson Revisor