KOMMUNSTYRELSENS FÖRVALTNING TJÄNSTEUTLÅTANDE DATUM DIARIENR SIDA 2013-10-18 KS-2013/852 1 (2) HANDLÄGGARE Mariam Yousif 08-535 31 366 Mariam.yousif@huddinge.se Kommunstyrelsen Kommunstyrelsens plan för intern kontroll Förslag till beslut Kommunstyrelsens beslut Kommunstyrelsens plan för intern kontroll 2014, enligt bilaga till kommunstyrelsens förvaltnings tjänsteutlåtande daterat 2013-10-18, antas. Sammanfattning Kommunstyrelsen har ett övergripande ansvar för den interna kontrollen inom kommunen. I detta ansvar ingår att reglementet för intern kontroll (Huddinge kommuns författningssamling, HKF 9410) följs. I planen beskrivs vilka risker kommunstyrelsen planerar att genom riskreducerande åtgärder minska under året och vilka övriga åtgärder som planeras för att förbättra den interna kontrollen. Denna plan följs upp inom den ordinarie uppföljningsprocessen och revideras årligen. Beskrivning av ärendet Enligt reglementet (Huddinge kommuns författningssamling, HKF 9410) som Huddinge antog den 10 oktober 2011 görs det en plan för intern kontroll varje år. Plan för intern kontroll ska beskriva hur nämndens system för intern kontroll ser ut samt med tydlig motivering beskriva de kontroller och åtgärder som ska genomföras under planeringsperioden. Arbete med intern kontroll innebär i korthet identifiering av oönskade händelser som hindrar respektive verksamhet att nå sina mål, samt att bedöma om det behövs någon åtgärd från nämndens sida i form av till exempel nya eller förändrade rutiner, information eller uppföljning. För att integrera arbetet med intern kontroll i planerings- och uppföljningsprocessen så ska alla nämnder redovisa planerat intern kontrollarbete under en särskild rubrik i sina verksamhetsplaner. Arbetet följs därefter upp i delårsrapporter och i verksamhetsberättelsen. POSTADRESS Kommunstyrelsens förvaltning Ledningskontoret 14185 Huddinge BESÖKSADRESS Kommunalvägen 28 TELEFON (VX) OCH FAX 08-535 300 00 08-535 302 00 E-POST OCH WEBB huddinge@huddinge.se www.huddinge.se
KOMMUNSTYRELSENS FÖRVALTNING TJÄNSTEUTLÅTANDE DATUM DIARIENR SIDA 2013-10-18 KS-2013/852 2 (2) För kommunstyrelsens del innebär det att samtliga åtgärder som kommunstyrelsen planerar att vidta inom ramen för denna process under verksamhetsåret redovisas i verksamhetsplanen. Plan för intern kontroll 2014 fokuserar på riskanalys och riskreducerande åtgärder. Riskvärdering görs för varje identifierad risk och baseras på en bedömning av sannolikheten för att den oönskade händelsen inträffar och konsekvenserna av detta. Det kan handla om allt från ekonomiska konsekvenser till verksamhets- eller förtroendekonsekvenser. Under en planeringskonferens i september gick förvaltningens ledningsgrupp igenom samtliga identifierade risker för att bedöma väsentligheten och därpå prioritera vilka risker som bör åtgärdas inom kommande planperiod. Ansvar Ansvaret för att åtgärder enligt denna plan vidtas ligger, om inget annat angivits, på chefen inom den del av verksamheten som utsätts för risken eller berörs av planerad åtgärd. Vesna Jovic Kommundirektör Toralf Nilsson Administrativ direktör Mariam Yousif Handläggare Bilaga Kommunstyrelsens plan för intern kontroll 2014
KS-2013/852 Plan för intern kontroll 2014 för kommunstyrelsen Kommunstyrelsens förvaltning/administrativa avdelningen OKTOBER 2013
Innehåll Innehåll 2 Huddinges struktur för intern kontroll 3 Avgränsningar 3 Ansvar 3 Uppföljning 3 Beskrivning av kommunstyrelsens system för intern kontroll 4 Riskidentifiering 4 Riskbedömning 4 Underlag från flera håll 4 Uppföljning 4 Internkontrollåtgärder under året 5 Inledning 5 Bedömning och avvägningar 5 Prioriterade risker och åtgärder 5 Processer och rutiner 7 Åtgärder utifrån rekommendation från revision eller annan granskning 7 Systematiska kontroller 7
Huddinges struktur för intern kontroll Intern kontroll är en process där kommunens styrelse, nämnder, ledning och personal samverkar och som är utformad för att ge rimlig försäkran om att målen uppnås inom följande områden: Effektiv och ändamålsenlig verksamhet Tillförlitlig finansiell rapportering och information om verksamheten Efterlevnad av tillämpliga lagar, förordningar och regler Intern kontroll är en process ett medel för att nå måluppfyllelse, och inte ett mål i sig. Processen genomförs av medarbetare på alla nivåer inom organisationen. Intern kontroll ska ge en rimlig försäkran, inte absolut säkerhet, till organisationens ledning och styrelse. Logiken i systemet är att para ihop mål med risker, och risker med kontroller på ett medvetet och åskådligt sätt. Arbetet med intern kontroll fokuserar på att säkerställa att kommunen uppnår sina mål. Alla nämnder ska ha en plan för intern kontroll som beskriver hur nämnden har lagt upp sitt system för intern kontroll samt med tydlig motivering beskriver det arbete som ska genomföras under planeringsperioden. Nämnderna ska därför i samband med den ordinarie planeringsprocessen identifiera oönskade händelser som kan hindra respektive verksamhet att nå sina mål, samt bedöma om det behövs någon åtgärd från nämndens sida i form av till exempel nya eller förändrade rutiner, information eller uppföljning. Därefter ska nämnden besluta om vilka åtgärder och kontroller som ska vidtas, dels utifrån ovan nämnda riskanalys, dels genom systematiskt arbete med processer och rutiner, dels utifrån rekommendationer från extern granskning. Planerade åtgärder och kontroller sammanställs till en plan för intern kontroll som revideras årligen. De planerade åtgärderna redovisas i nämndernas verksamhetsplaner. Avgränsningar Denna plan behandlar inte den typ av risker som ryms inom begreppet extraordinära händelser. De hanteras istället inom ramen för kommunens beredskaps- och krisplanering, som beskrivs i kommunens plan vid extraordinära händelser, antagen av kommunfullmäktige 9 januari 2013. Varje nämnd ansvarar enligt den planen för att företa någon form Ansvar Ansvaret för att åtgärder enligt denna plan vidtas ligger, om inget annat angivits, på chefen inom den del av verksamheten som utsätts för risken, vare sig Uppföljning Uppföljningen av arbetet med intern kontroll är integrerad i den ordinarie planerings- och uppföljningsprocessen, där intern kontroll ägnas eget utrymme i verksamhetsplan, delårsrapporter och verksamhetsberättelse. De åtgärder som ska genomföras under planeringsperioden redovisas i verksamhetsplanen. Planerade åtgärder följs därefter upp löpande av respektive av risk- och sårbarhetsanalys som visar risker för verksamheten om en extraordinär händelse skulle inträffa inom nämndens verksamhetsområde. Dessa analyser ligger till grund för den kontinuitetsplanering som nämnderna tar fram för de verksamheter som måste fortgå vid sådan händelse. det gäller riskreducering, processutveckling eller rekommendationer från revision eller annan granskning. chef samt av förvaltningens ledning i samband med årets två delårsrapporter och samlat i verksamhetsberättelsen. I delårsrapporter och verksamhetsberättelse redovisas utfallet under planeringsperioden och avvikelser kommenteras (inklusive åtgärdsplan). Nämnderna ska därutöver i verksamhetsberättelsen även göra en bedömning av hur årets intern- KOMMUNSTYRELSEN 3
kontrollarbete har gått samt en bedömning av om den interna kontrollen är betryggande. Beskrivning av kommunstyrelsens system för intern kontroll Riskidentifiering Kommunstyrelsens förvaltning genomför inom avdelningarna årligen en analys av risker i enlighet med kommunens reglemente för intern kontroll (HKF 9410), som tillsammans med underlag från uppföljning av verksamhetsprocesser och rutiner samt synpunkter från revision/annan granskning sammanställs till en plan för intern kontroll. Riskbedömning Riskvärdering görs för varje identifierad risk och baseras på en bedömning av sannolikheten för att den oönskade händelsen inträffar och konsekvenserna av detta. Det kan handla om allt från ekonomiska konsekvenser till verksamhets- eller förtroendekonsekvenser. (Till exempel missade möjligheter, ökade utgifter, tidsfördröjning, förlorade intäkter, skadat varumärke, lägre kvalitet eller suboptimal funktion). Vi använder kommungemensamma skalor för sannolikhet och konsekvens. Genom att multiplicera värdena får man fram en risknivå som kan användas för att prioritera i vilken ordning risker bör åtgärdas. Under en planeringskonferens i september går förvaltningens ledningsgrupp igenom samtliga identifierade risker för att bedöma väsentligheten och därpå prioritera vilka risker som bör åtgärdas inom kommande planperiod. Riskinventeringens bruttorisklista kan vara mycket omfattande och risker gäller över tid. Den används som ett underlag till den årliga planen för intern kontroll. Underlag från flera håll Det är viktigt med ett systematiskt arbete kring verksamhetsprocesser och rutiner. Underlag från detta arbete ger också förslag till internkontrollåtgärder för det kommande året. Viktigast ur internkontrollperspektivet är att det finns processdokumentation och att det är känt i organisationen var denna dokumentation finns, samt att det finns rutiner för hur och när processer och rutiner ska följas upp och revideras och att signaler om brister som behöver behandlas regelbundet kommer in i internkontrollarbetet. Kommunstyrelsen arbetar sedan några år med att identifiera nämndens viktigaste processer och de rutiner som finns för att säkerställa att processerna fungerar och få överblick över det processutvecklingsarbete som bedrivs inom förvaltningen. Ett processregister har tagits fram för att dokumentera arbetet med processer och rutiner. Dokumentet är ett arbetsmaterial som fungerar som underlag för arbetet med intern kontroll och innehåller en lista med korsreferenser som på rubriknivå redovisar identifierade processer och rutiner, var de finns dokumenterade, när de reviderades senast och så vidare. Med utgångspunkt från detta system för dokumentation och regelbunden uppföljning av processer och rutiner ska styrelsen årligen besluta om vilka kontroller som ska genomföras för verksamhetskritiska processer och rutiner för att säkerställa att vi har god kontroll på våra processer och rutiner samt för att kontrollera att de genomförs på ett korrekt sätt. En bruttolista med rekommendationer från revision och andra granskningar är det tredje underlaget som ger input till riskreducerande åtgärder, kontroller av verksamheten och åtgärder för förbättra den interna kontrollen. Uppföljning Kommunstyrelsens redovisar i verksamhetsplanen samtliga åtgärder som planeras för året inom ramen för denna process och därmed följer internkontrollredovisningen automatiskt med in i delårsrapporter och i verksamhetsberättelsen. Planerade åtgärder följs upp löpande av respektive chef samt av förvaltningens ledning i samband med de två delårsrapporterna och samlat i verksamhetsberättelsen. 4 PLAN FÖR INTERN KONTROLL 2014
Internkontrollåtgärder under året Inledning Förutom de risker och åtgärder som tagits med i denna plan pågår ständigt insatser inom respektive avdelning för att höja verksamhetens säkerhet och effektivitet. Arbete med systemsäkerhetsanalyser, i enlighet med kommunens informations säkerhetspolicy pågår inom prioriterade områden och utvidgas successivt till att omfatta förvaltningens samtliga system i den takt förvaltningen anser möjligt och rimligt. Modell för systemsäkerhetsanalys stödjer sig på ISO-standard och Myndigheten för samhällsskydd och beredskaps rekommendationer. Systematiskt arbete med att öka verksamhetens säkerhet är för vissa verksamheter sedan länge en självklar del i arbetet. Det gäller, för att nämna några exempel, IT-verksamheten, den ekonomiska redovisningen och rutiner för löneutbetalningar. Bedömning och avvägningar Utifrån gjord riskvärdering har nedanstående risker valts ut för åtgärder under 2014. Detta är samtliga risker som i värderingen fick högsta risknivån. Prioriterade risker och åtgärder 1. Risk: Otydlig organisation och ansvarsfördelning vid semiakuta incidenter i samhället, t ex social oro i bostadsområden. Åtgärd: Skapa en tydlig organisation som har förmåga att hantera förvaltningsövergripande särskilda händelser som inte är extraordinära enligt lagstiftningen. Ansvarig: administrativa direktören 2. Risk: Kommunens verksamheter uppfattar inte kommunikation som en väsentlig framgångsfaktor. Åtgärd: Fortsatt diskussion med förvaltningarnas ledningsgrupper. Ansvarig: kommunikationschefen 3. Risk: Brister i formella dokument kan leda till ekonomiska och tidsmässiga konsekvenser och störningar i upphandlingsprocessen. Åtgärd: Etablera en styrande och stödjande upphandlings- och inköpsprocess. Ansvarig: ekonomichefen 4. Risk: Risk för oegentligheter inom processer som rör betydande finansiella intressen i samhället, till exempel upphandlingsprocessen och mark- och samhällsplaneringsprocessen. Åtgärd: Etablera en styrande och stödjande upphandlings- och inköpsprocess. Stickprovskontroller av beredning av ärenden inom upphandling och mark- och samhällsplanering. Stickprov även för andra typer av transaktioner - köp från icke upphandlade leverantörer till exempel. Ansvarig: planeringschefen respektive ekonomichefen 5. Risk: Bristande styrning av samhällsbyggnadsprocessen leder till att för få bostäder byggs, att vi inte har tillgänglig mark för verksamheter eller att planer inte finns för kommunal service. Åtgärd: Se åtagande om effektivare samhällsbyggnadsprocess i KS VP 2013. Ansvarig: planeringschefen 6. Risk: Brister i juridisk granskning av avtal om exploatering/genomförande samt för upplåtelse och försäljning av mark leder till ekonomiska förluster, förseningar och/eller bristande måluppfyllelse i övrigt. Åtgärd: I samarbetet med miljö- och samhällsbyggnadsförvaltningen införa rutiner för erforderlig kvalitetssäkring av avtal. KOMMUNSTYRELSEN 5
Ansvarig: planeringschefen 7. Risk: Risk för att riktlinjer för representation, gåvor, uppvaktning, bisysslor och riktlinjer mot mutor inte följs samt risk för att jävsförhållanden uppstår. Åtgärd: Information om samlat regelverk för förvaltningsledningsgrupper, riktad information till nya chefer inom ramen för chefsutvecklingsprogrammet samt vid central introduktion för nyanställda, föreläsning om korruption för alla chefer, diskussionsunderlag till arbetsplatsträffar, förslag angående särskilda riktlinjer, alternativt tillägg i befintliga riktlinjer, för att motverka uppkomst av jäv. Uppdatering och förtydligande av checklista för introduktion samt tillägg i form av efterfrågande av eventuell bisyssla. Ansvarig: personalchefen 8. Informationssäkerhetsrisker: a. Risk för bristande informationssäkerhet i system, och avsaknad av säkerhetsrutiner. b. Risk för dataintrång. c. Intrångsrisk i kommunens e-postsystem via fjärrinloggningen med informationsläckage som följd på grund av att användarna använder inkorgen som arkiv. Risken har ökat i och med synkronisering till mobiltelefon eller läsplatta. Informationen ligger då helt oskyddad, vilket också individens lösenord för inloggning till kommunens datanät gör. d. Risk för oönskad informationsspridning på grund av ökad användning av USB-minnen och smartphones för lagring av kommunal information. e. Risk för informationsläckage via molntjänster. Åtgärder: a. Systemsäkerhetsanalys, utbildning, rutiner, uppföljning. b. Loggning och analys, incidenthanteringsprocess. c. Säkerhetsfunktion - programvara installeras för alla mobila enheter som möjliggör fjärradering av information samt kryptering. ITavd har fått uppdrag att utreda programvara. d. En metod/policy för krypterade USB-minnen samt för att fjärrledes radera information på mobiltelefoner, läsplattor samt övriga handenheter tas fram för att säkra att information inte kommer i orätta händer. e. En policy tas fram för att reglera hur molntjänster får upphandlas och användas i kommunens verksamheter. Ansvarig: administrativa direktören 9. IT-driftrisker: a. På grund av bristande krav från systemägarna finns inte krav på återstartstider för deras verksamhetssystem, vilket kan medföra för verksamheten stora konsekvenser vid eventuella driftstörningar. b. Fullständig återställning från backup fungerar inte vid eventuellt systemhaveri, sabotage, brand i datahall eller liknande händelse. c. Utebliven riskanalys av total förstörelse av datahallen samt en ofullständig kravställning från verksamheterna för katastrofplan. Åtgärder: a. Hänger ihop med kravställning för katastrofplan (enligt punkt 8 b) inklusive prioritering av verksamhetssystem. Konsekvensen är beroende av definierade kritiska system samt eventuella reservrutiner. b. Kravställning för katastrofplan tas fram i samverkan med verksamheten. Test för återläsning av backup för utvalda system genomförs på regelbunden basis ihop med systemansvariga (krävs för verifiering av funktioner och data). c. Kravställning för katastrofplan för samtliga affärskritiska system tas fram i samverkan med verksamheten som en del i arbetet med en övergripande riskanalys. Ansvarig: administrativa direktören 10. Redovisningsrisker: a. Utbetalning till fel mottagare. b. Inkorrekta utbetalningsunderlag. c. Felaktiga periodiseringar. Åtgärder: a. Komplettera befintliga kontroller med ytterligare maskinella kontroller mot olika register. b. Informera godkännare och attestanter om vad som ska finnas med på ett utbetalningsunderlag, fortsätta med efterkontroller av underlag för resor, representation och andra ledningsnära kostnader. c. Upprätta riktlinjer för enheterna och informera om dessa, löpande utvärdering av reserveringar och periodiseringar, öka kontrollerna vid definitivbokföring av fakturor. 6 PLAN FÖR INTERN KONTROLL 2014
Ansvarig: ekonomichefen 11. Risk avseende tvåhandsprincipen: Risk: Händelserna kring exploateringsfastigheterna visar att tvåhandsprincipen inte alltid fungerat som avsetts. Åtgärder: a. En eller flera workshops genomförs kring potentiella riskområden under 2014. Förslag till åtgärder för identifierade riskområden tas fram. b. Utbildningsinsats kring tvåhandsprincipen genomförs för chefer. Ansvarig: ekonomichefen Processer och rutiner Under 2014 fortsätter arbetet med att skapa kommunstyrelsens förvaltnings processregister och de viktigaste processerna och rutinerna identifieras. Åtgärder utifrån rekommendation från revision eller annan granskning Under 2014 fortsätter arbetet med att gå igenom, komplettera och verkställa kommunstyrelsens förvaltnings sammanställning av rekommendationer och synpunkter från extern granskning. upphandlingsproblematiken, hanteringen av fritidsoch exploateringsfastigheter samt arrenden, bygglovshantering etc. Särskilt fokus ska därvid ligga på brister och risker relaterade till tvåhandsprincipen. För 2014 kommer en viktig del att vara att åtgärda de brister som framkommit i de extragranskningar som EY har genomfört under 2013 med anledning av Systematiska kontroller Under år 2013 har ekonomiavdelningen genomfört en internkontrolldag för att identifiera kommungemensamma risker inom ekonomiområdet och vidareutveckla systematiska kontroller. Alla ekonomifunktioner i kommunen deltog på dagen. Därefter bildades en grupp som har till uppgift att arbeta med de prioriterade riskerna som tagits med i plan för Internkontroll 2014.