Revisionsrapport 2017 Genomförd på uppdrag av revisorerna Juni Sundsvalls kommun. Granskning av korruptionsförebyggande arbete

Revisionsrapport 2017 Genomförd på uppdrag av revisorerna Juni 2017 Sundsvalls kommun Granskning av korruptionsförebyggande arbete

Innehåll 1. Sammanfattning...2 2. Inledning...3 2.1. Bakgrund...3 2.2. Syfte och revisionsfrågor...3 2.3. Ansvarig nämnd...3 2.4. Genomförande...4 2.5. Avgränsning...4 3. Revisionskriterier...4 3.1. Brottsbalken, 10 kap. och 20 kap....4 3.2. COSO- ramverkets fem komponenter...5 3.3. Reglemente för intern kontroll, Sundsvalls kommun...5 4. Granskningsresultat...6 4.1. Kontrollmiljö...6 4.2. Riskbedömningar...9 4.3. Kontroller...11 4.4. Kommunikation och information...14 4.5. Utvärdering och uppföljning...16 5. Sammanfattande bedömning...19 Källförteckning...21 1

1. Sammanfattning EY har på uppdrag av de förtroendevalda revisorerna i Sundsvalls kommun genomfört en granskning med syfte att bedöma om styrelser och nämnder har säkerställt en god intern kontroll för att motverka, upptäcka och förhindra mutbrott och därtill kopplade oegentligheter i verksamheten. Vår sammanfattande bedömning är att styrelser och nämnder i stor utsträckning har säkerställt en god intern kontroll för att motverka oegentligheter. Väsentliga styrdokument och rutiner har tagits fram och anpassats efter respektive verksamhet, vilket bidrar till en god kontrollmiljö. Riskanalyser genomförs i samtliga verksamheter. Det finns inget gemensamt förhållningssätt inom bolagskoncernen avseende oegentligheter. Bolagen anpassar riktlinjer till sin egen verksamhet. Koncernens och koncernledningens förhållningssätt utifrån beslutade styrdokument bör förtydligas. Utöver upprättade riktlinjer och styrdokument framkommer en medvetenhet hos samtliga intervjuade om riskerna för oegentligheter samt vikten av ett aktivt värdegrundsarbete, vilket vi bedömer positivt. Intervjuade ger även bilden av att antal erbjudanden minskat kraftigt under senare år. Vi vill betona att det fortsatt är av stor vikt att vidareutveckla och levandegöra arbetet med intern kontroll för att även framgent förebygga och minska risken för oegentligheter. En väsentlig del i detta arbete är den kontinuerliga utvärderingen och uppföljningen av arbetet via självdeklarationen, där frågor med bäring på oegentligheter med fördel kan lyftas in. Det skulle även ge möjlighet att samla värdefull information om i vilken omfattning verksamheterna anser sig vara riskutsatta. Utifrån granskningens slutsatser, ger vi ett antal rekommendationer i det fortsatta arbetet. Kommunstyrelsen: Tydliggör vid revidering av riktlinjer mot mutor och andra otillbörliga förmåner kontaktvägar för att rapportera misstänkta oegentligheter, där den enskilde drar sig för att rapportera till närmsta chef. Överväg en anonym incidentrapportering. Undersök möjligheten att initiera kontinuerlig utbildning avseende oegentligheter för verksamheterna. Överväg att införa slumpmässiga kontroller avseende särskilt riskutsatta områden, t.ex. bygglovshantering. Säkerställ systematisk uppföljning samt kontroll av avtal, samt möjlighet att göra analyser av genomförda inköp. Överväg att inkludera frågeställningar med bäring på oegentligheter i självdeklarationen för intern kontroll. Styrelsen i Stadsbacken AB: Tydliggör det koncerngemensamma förhållningssättet avseende oegentligheter utifrån av fullmäktige beslutade styrdokument. Samtliga bolagsstyrelser: Säkerställ att riktlinjer och styrdokument är uppdaterade i enlighet med av fullmäktige beslutade styrdokument. 2

2. Inledning 2.1. Bakgrund Tjänstemän, politiker och andra uppdragstagare i kommunal verksamhet utsätts för påverkan av andra och utsätter andra för påverkan av olika slag. Dessa kontakter är nödvändiga inslag i en demokrati. Det är emellertid viktigt att en sådan process går formellt riktigt till och att det finns gränser för hur denna påverkan ser ut. Inte minst kommunala bolag är särskilt utsatta verksamheter enligt en utredning som Statskontoret lät genomföra 2010. Den 1 juli 2012 skärptes den svenska mutlagstiftningen. Bestämmelserna om tagande och givande av muta återfinns numera i kap. 10 i brottsbalken. Bland annat straffbeläggs s.k. handel med inflytande. Därigenom omfattas exempelvis att en närstående till en beslutsfattare tar emot en muta för att påverka honom eller henne i beslutsfattandet. Oegentligheter kan inbegripa andra företeelser än mutbrott. Till exempel transaktioner mellan organisationen och eget eller närståendes företag, att förskaffa sig fördelar eller motsvarande utifrån den position man har i organisationen. En organisation kan åsamkas väsentliga förtroendeskador av eventuella mutbrott eller korruption. Därför är det av stor vikt att de organisationer där mutbrott eller liknande kan förekomma vidtar nödvändiga åtgärder i syfte att minska riskerna. Förtroenderisker i verksamheten kan få stora konsekvenser även om den finansiella konsekvensen är marginell. De förtroendevalda revisorerna i Sundsvalls kommun har efter genomförd riskanalys valt att granska hur kommunen och dess nämnder samt de kommunala bolagen arbetar med intern kontroll för att minska riskerna för mutor och oegentligheter. 2.2. Syfte och revisionsfrågor Syftet med granskningen är att bedöma om styrelser och nämnder har säkerställt en god intern kontroll för att motverka, upptäcka och förhindra mutbrott och därtill kopplade oegentligheter i verksamheten. I granskningen besvaras följande revisionsfrågor: Har ansvariga styrelser och nämnder säkerställt en god kontrollmiljö avseende risken för mutor och oegentligheter? Genomförs adekvata riskanalyser på rätt nivå för att minska riskerna i organisationen? Säkerställer ansvariga nämnder och styrelser att kontrollsystemen är effektiva för att förhindra och upptäcka mutor och oegentligheter? Har ansvarig styrelse och nämnd vidtagit de åtgärder som Riktlinjer avseende mutor och andra otillbörliga förmåner samt beslut KS-2013-00315 säger att de ska genomföra? Sprids information om regelverk, riskanalys och kontroller till berörda medarbetare? Följs processen upp och återrapporteras till rätt nivå? 2.3. Ansvarig nämnd Granskningen avser samtliga styrelser, nämnder och bolagsstyrelser. 3

2.4. Genomförande Granskningen har skett genom dokumentgranskning och intervjuer med tjänstemän inom berörda förvaltningar och bolag (se källförteckning). Dokumentation i form av riskanalyser, internkontrollplaner, riktlinjer och rutiner samt utbildningsmaterial och uppföljningsdokumentation har studerats. Samtliga intervjuade har beretts möjlighet att faktagranska rapporten, för att säkerställa att den bygger på korrekta fakta och uttalanden. Slutsatserna och bedömningarna ansvarar EY för. 2.5. Avgränsning Granskningens fokus är att bedöma utformning av intern kontroll avseende korruptionsrelaterade risker såsom mutor och andra oegentligheter. Granskningen syftar inte till att upptäcka indikatorer på, eller eventuell förekomst av, givande och tagande av muta. Granskningen utförs på basis av intervjuer och dokumentstudier, och säkerställer således inte att den interna kontrollen rent operationellt fungerar som den beskrivs för oss. 3. Revisionskriterier Med revisionskriterier avses bedömningsgrunder som används i granskningen för analyser, slutsatser och bedömningar. Revisionskriterierna kan hämtas ifrån lagar och förarbeten eller interna regelverk, policyer och fullmäktigebeslut. Kriterier kan också ha sin grund i jämförbar praxis eller erkänd teoribildning. Nedan beskrivs de revisionskriterier som ligger till grund för slutsatser och rekommendationer i granskningen. 3.1. Brottsbalken, 10 kap. och 20 kap. I 10 kap. 5 stadgas att om någon, som på grund av förtroendeställning fått till uppgift att för någon annan sköta en ekonomisk angelägenhet eller självständigt hantera en kvalificerad teknisk uppgift eller övervaka skötseln av en sådan angelägenhet eller uppgift, missbrukar sin förtroendeställning och därigenom skadar huvudmannen, döms han eller hon för trolöshet mot huvudman. Den som är arbetstagare eller utövar uppdrag och tar emot, godtar ett löfte om eller begär en otillbörlig förmån för utövningen av anställningen eller uppdraget döms för tagande av muta. Detta gäller även om gärningen har begåtts innan gärningsmannen fått en sådan ställning som avses där eller efter det att den upphört. För tagande av muta döms också den som tar emot, godtar ett löfte om eller begär förmånen för någon annan än sig själv. Den som lämnar, utlovar eller erbjuder en otillbörlig förmån döms för givande av muta. För handel med inflytande döms den som tar emot, godtar ett löfte om eller begär en otillbörlig förmån för att påverka annans beslut eller åtgärd vid myndighetsutövning eller offentlig upphandling, eller lämnar, utlovar eller erbjuder någon en otillbörlig förmån för att han eller hon ska påverka annans beslut eller åtgärd vid myndighetsutövning eller offentlig upphandling. I 20 kap. 1 stadgas att den som uppsåtligen eller av oaktsamhet vid myndighetsutövning genom handling eller underlåtenhet åsidosätter vad som gäller för uppgiften ska dömas för tjänstefel. 4

3.2. COSO- ramverkets fem komponenter 1 Kontrollmiljö Riskbedömningar Kontroller Kommunikation och information Utvärdering och uppföljning Respektive komponent presenteras närmre under egen rubrik i avsnitt 4. 3.3. Reglemente för intern kontroll, Sundsvalls kommun Kommunfullmäktige i Sundsvalls kommun fastställde reglemente för intern kontroll 2010. 2 Reglementet gäller för samtliga organ som ansvarar för vård av kommunal angelägenhet oavsett i vilken form verksamheten bedrivs. Med nämnd menas även styrelser (motsvarande) för bolag. Kommunstyrelsen har det övergripande ansvaret för att tillse att det finns en god intern kontroll. I detta ligger ett ansvar att tillse att organisationens struktur/system är utformade så att god intern kontroll kan upprätthållas inom kommunen. Nämnderna har enligt kommunallagen det yttersta ansvaret för den interna kontrollen inom respektive verksamhetsområde. Den enskilda nämnden har att tillse att organisationen inrättas på sätt som stöder den interna kontrollen inom respektive verksamhetsområde samt vid behov anta egna regler och anvisningar för den interna kontrollen. Brister i den interna kontrollen ska omedelbart rapporteras till närmaste överordnad eller till den nämnden utsett. Av reglementet framgår att varje nämnd har en skyldighet att styra och löpande följa upp det interna kontrollsystemet inom sitt verksamhetsområde. Nämnd ska varje år anta en särskild plan för uppföljning av den interna kontrollen. Resultatet av uppföljningen av den interna kontrollen ska, med utgångspunkt från antagen plan, rapporteras till nämnden i den omfattning som fastställs i internkontrollplan, dock minst vid varje tertialbokslut. Nämndens ska i samband med uppföljningen även utvärdera det samlade systemet för intern kontroll inom sitt område. Nämnden ska senast vid decembersammanträdet, rapportera resultatet från uppföljningen och utvärderingen av den interna kontrollen inom nämnden till kommunstyrelsen. Nämnden ska därutöver och/eller däremellan rapportera eventuella upptäckta brister i den interna kontrollen till kommunstyrelsen. Rapportering ska samtidigt också ske till kommunens revisorer. Kommunstyrelsen ska med utgångspunkt från nämndernas uppföljningsrapporter utvärdera kommunens samlade system för intern kontroll och i de fall förbättringar behövs, föranstalta om sådana. Kommunstyrelsen ska efter årets slut upprätta en rapport till kommunfullmäktige med en sammanfattning av nämndernas rapportering och utvärdering av intern kontroll samt en bedömning av hur den interna kontrollen har fungerat i kommunen. Rapporten ska senast vid årsredovisningens upprättande rapporteras till kommunfullmäktige. 1 Internal Control an Integrated Framework. The Committee of Sponsoring Organizations of the Treadway Commission 2 Fastställt av kommunfullmäktige 2010-10-25 829, att gälla fr.o.m. 2011-01-01 5

4. Granskningsresultat 4.1. Kontrollmiljö Kontrollmiljön anger tonen i en organisation och påverkar kontrollmedvetenheten hos dess medarbetare. Det är grunden för alla andra komponenter för intern styrning och kontroll och erbjuder ordning och struktur. Faktorer inom kontrollmiljön innefattar integritet, etiska värden, kompetensen hos medarbetarna i organisationen, ledningens filosofi och ledarstil, det sätt på vilket ledningen fördelar ansvar och befogenheter och organiserar och utvecklar dess medarbetare samt den uppmärksamhet och vägledning som styrelsen/nämnden ger. 4.1.1. Övergripande iakttagelser Reglemente för intern kontroll fastställdes av fullmäktige 2010 och gäller samtliga nämnder, styrelser och bolagsstyrelser. Tillämpningsanvisningar till reglementet beslutades av kommunstyrelsen 2010 och innehåller kommentarer och förtydliganden till respektive paragraf. Skydd mot oegentligheter nämns inte explicit i reglemente eller tillämpningsanvisningar. Kommunstyrelsen beslutade 2009 om riktlinjer för Sundsvalls kommun avseende mutor och andra otillbörliga förmåner, vilka reviderades 2012. Riktlinjen innehåller en genomgång av gällande rätt samt övergripande vägledning i situationer där risk för mutbrott och otillbörliga förmåner kan föreligga. Det framgår att särskilt utsatta personalgrupper för otillbörlig påverkan är upphandlare och inköpsansvariga samt förtroendevalda och tjänstemän som ägnar sig åt myndighetsutövning. Vid frågor om misstänkt korruption ska medarbetare vända sig till närmsta chef, alternativt någon av kommunens jurister. I kommunstyrelsens internkontrollplan 2011 identifierades risken för givande och tagande av muta som allvarlig. 3 En handlingsplan beslutades, som bland annat omfattade en översyn av samtliga nämnders reglementen och övriga relevanta styrdokument med syfte att förtydliga nämndernas ansvar för att skydda verksamheten mot korruption. Uppdrag gavs till nämnderna att genomföra riskanalyser avseende korruption samt till koncernstaben att ta fram utbildning avseende mutor. 4 Av koncernstabens återrapportering framgår att utbildning avseende givande och tagande av muta erbjöds chefer samt förtroendevalda i kommunkoncernen under 2012. 5 Vidare framgår att från och med 2013 har respektive förvaltning och bolag till ansvar att fortlöpande och efter behov, genomföra utbildning i samarbete med koncernstaben. 6 En paragraf som behandlar ansvar för och uppföljning av intern kontroll skrevs även in i respektive nämnds reglemente. Härutöver har fullmäktige beslutat om ett antal styrdokument inom områden där risk för oegentligheter föreligger. Attestreglemente beslutades av fullmäktige 2007, där ansvar och övergripande information om utformning av kontroller framgår. Regler för representation beslutades 2010, som gäller samtliga nämnder och helägda bolag. Här betonas måttfullhet och omdöme i varje enskilt fall samt en generell restriktivitet avseende t.ex. alkohol vid extern representation. 3 Kommunstyrelsen, 2011-02-14, 118 4 2011-05-30, 239 5 240 personer gick utbildningen, varav 222 var från förvaltningarna. Det motsvarade ungefär 70 procent av det totala antalet chefer inom förvaltningarna. 18 chefer från bolagen deltog i utbildningen. 6 Beslut KS-2013-00315 6

I maj 2016 beslutade fullmäktige om en inköpsstrategi för kommunkoncernen, som ersatte upphandlingspolicyn från 2014. Här framgår att leverantörsrelationer ska präglas av affärsmässighet, objektivitet och likabehandling. Arbetet med att implementera strategin beskrivs närmre i avsnitt 4.3.2. Fullmäktige beslutade 2016 om riktlinjer för Sundsvall kommuns sponsringsavtal, vilka hanteras av Stadsbacken AB. Koncernstaben tog 2015 fram riktlinje för bisysslor, där det framgår att kommunen ska ha kännedom om alla bisysslor och att det är medarbetares ansvar att anmäla. Frågan ska tas upp vid anställning, följas upp i löne- och utvecklingssamtal och diskuteras på arbetsplatsträffar. Informationen ska även ingå i introduktionen till alla nyanställda. Intervjuade chefer inom förvaltningar och bolag beskriver en medvetenhet i sina respektive verksamheter gällande de frågor som kan uppstå vid t.ex. inbjudningar till mässor, måltider eller studiebesök. En högre andel externa leverantörer, medialt intresse för frågorna samt tillsyn från externa myndigheter gör att frågorna löpande diskuteras. Samtliga intervjuade upplever en förändring under senare år i leverantörers förhållningssätt och betonar vikten av ett aktivt värdegrundsarbete och en öppenhet, där medarbetarna hellre frågar en gång för mycket än för lite. 4.1.2. Kommunen Utöver kommunövergripande styrdokument, finns vissa verksamhetsspecifika riktlinjer som berör oegentlighetsproblematik. Barn- och utbildningsförvaltningen har riktlinjer för givande och mottagande av sponsring, där risken för muta eller otillbörliga personliga förmåner behandlas. Kommunen har även riktlinjer för föreningsbidrag, som handläggs av kultur- och fritidsförvaltningen. Merparten av förvaltningarna aktualiserar riktlinjerna årligen, och lyfter frågor för diskussion när de uppstår. Exempel på frågor som diskuterats har varit gåvor till enskilda lärare eller omsorgspersonal, fika som bjuds vid tillsynsbesök eller jävsituationer vid handläggning av föreningsbidrag. 4.1.3. Bolagen Av ägardirektiven framgår att Stadsbacken AB ska hålla samman bolagskoncernen samt ansvara för dess övergripande utveckling och strategiska planering, styrning och uppföljning av ekonomiska och finansiella resurser samt genomföra kommunkoncernens samlade marknadsföringssamarbeten. Stadsbacken AB kan enligt ägardirektivet besluta att regler, policys och andra riktlinjer som beslutats av kommunfullmäktige även ska tillämpas inom koncernen. Moderbolaget beslutade vid årsstämma att de reglementen, policys och liknande styrdokument som beslutas av Sundsvalls kommunfullmäktige och kommunstyrelse i tillämpliga delar även ska gälla inom Stadsbacken AB. Enligt uppgift har inget särskilt beslut tagits i koncernen avseende styrdokument med bäring på oegentligheter. Det framkommer av intervjuerna att de kommunövergripande riktlinjerna mot mutor och andra otillbörliga förmåner används i dotterbolagen, till stor del oavkortat men i några fall har viss anpassning skett till bolagets verksamhet. Dotterbolagen varierar i verksamhet, storlek samt antal anställda, vilket påverkar hur kontrollmiljön utformas. MittSverige Vatten och Avfall samt Sundsvall Energi har egenutformade riktlinjer i högre grad. Styrdokument antas 7

på stämman som en del av de beslut som fattats av fullmäktige. Styrelse eller ledningsgrupp beslutar vidare om anpassade riktlinjer. MittSverige Vatten och Avfall 7 har en upphandlingspolicy, som tar sin utgångspunkt i kommunens upphandlingspolicy från 2014. Bolaget har även rutiner/riktlinjer inom upphandlingsområdet, som ses över vid granskningstillfället. Det finns en anpassad policy för representation samt riktlinjer för bisyssla samt uppvaktning och gåvor. Sundsvall Energi har riktlinjer för direktupphandling samt representation. Riktlinjerna för representation ska revideras vid granskningstillfället, och det nya förslaget inkluderar skrivning om mutor. Sundsvall Elnät har tagit fram en egen antikorruptionspolicy. Mitthem har riktlinjer för mutor och andra otillbörliga förmåner samt bisysslor, med utgångspunkt i kommunens riktlinjer. Härutöver är bolagets uthyrningspolicy central. Sundsvalls Oljehamn 8 har antagit riktlinjer avseende mutor och andra otillbörliga förmåner utifrån kommunens riktlinjer. Det beskrivs vara sällan som erbjudanden kommer till enskilda tjänstemän, och bilden som framträder är att hellre vara restriktiv än att känna sig tveksam. Några bolag har tydliggjort förhållningssättet genom utskick till leverantörer, och har då upplevt positivt gensvar. Flera bolag har ett eget värdegrundsarbete som utgör utgångspunkt för diskussioner kring förhållningssätt i möte med brukare, leverantörer och andra intressenter. Frågor om värdegrund samt centrala riktlinjer inkluderas i introduktion för nya medarbetare. Det sker enligt intervjuade en begränsad dialog och samverkan mellan bolagen inom koncernen i dessa frågor. Gällande styrdokument har viss inspiration kunnat hämtas från vad övriga bolag tagit fram. Ett antal intervjuade lyfter att en ökad dialog vore värdefull. 4.1.4. Bedömning Sundsvalls kommuns riktlinjer mot mutor och andra otillbörliga förmåner anger inriktning och vägledning i hur risken för oegentligheter förebyggs och minskas. Under 2012-2013 stärktes internkontrollarbetet i kommunen utifrån en identifierad risk för korruption och sedan dess har nämndernas och bolagens ansvar för internkontroll förtydligats samt att utbildningsinsatser genomförts, vilket vi bedömer positivt. Det finns inget gemensamt förhållningssätt inom bolagskoncernen avseende oegentligheter. Bolagen har anpassat och tagit fram egna riktlinjer och policyer i den mån de funnit behov. Koncernen bör se över om det finns samordningsvinster. Förhållningssätt hos ledning samt ett aktivt värdegrundsarbete är väsentligt för en god kontrollmiljö. Av intervjuerna inom både förvaltningar och bolag framträder bilden av en återhållsam kultur och medvetenhet om riskerna för oegentligheter, vilket vi bedömer positivt. 7 Inkluderar styrelsen för Sundsvall Vatten AB samt styrelsen för REKO Sundsvall AB. 8 Samt Sundsvalls hamn 8

4.2. Riskbedömningar Varje organisation möter många olika risker av internt och externt ursprung som måste värderas. En förutsättning för riskbedömningen är etablerandet av mål knutna till olika nivåer och som är internt konsistenta. Riskbedömningen är identifieringen och analysen av relevanta risker för att uppnå målen och utgör basen för att bestämma hur riskerna ska hanteras. 4.2.1. Övergripande iakttagelser För att effektivt kunna skydda sig mot oegentligheter måste en organisation systematiskt identifiera var i verksamheten risker kan uppträda, samt därefter värdera de identifierade riskerna och besluta om hur de ska hanteras. Internkontrollreglementet tydliggör roller och ansvar. Här framgår att nämnd varje år ska anta en särskild plan för uppföljning av den interna kontrollen. Resultatet av uppföljningen av den interna kontrollen ska, med utgångspunkt från antagen plan, rapporteras till nämnden minst vid varje tertialbokslut. Nämnden ska i samband med uppföljningen även utvärdera det samlade systemet för intern kontroll inom sitt område. Nämnden ska senast vid decembersammanträdet, rapportera resultatet från uppföljningen och utvärderingen av den interna kontrollen inom nämnden till kommunstyrelsen. Nämnden ska därutöver och/eller däremellan rapportera eventuella upptäckta brister i den interna kontrollen till kommunstyrelsen. Detta ansvar tydliggörs även i respektive nämnds reglemente. 9 4.2.2. Kommunen Inom förvaltningarna följer riskanalyserna till stor del den kommungemensamma mallen, den s.k. bruttolistan. Antalet värderade risker varierar från ett tre stycken till ett 30-tal. Risker och konsekvensbeskrivningar är olika utförliga. Sedan 2011 leder controller på koncernstaben ett nätverk för intern kontroll, där en representant för varje förvaltning samt räddningstjänst deltar. Nätverket träffas sex gånger per år och behandlar frågor avseende rapportering men på möten behandlas även olika teman som har bäring på intern kontroll, t.ex. attesträtter, delegationer och uppföljning av ramavtal. Självdeklarationen 10 gås enligt uppgift igenom vartannat år, då gruppen ser över frågorna och diskuterar eventuella ändringar/tillägg. För närvarande innehåller självdeklarationen inga specifika frågor avseende oegentligheter. Kommunstyrelsen beslutar om separata internkontrollplaner för koncernstaben, servicecenter och Drakfastigheter. I samtliga internkontrollplaner 2017 (förutom koncernstabens) finns kontrollmoment rörande upphandling och inköp, samt i flera avseende representation samt delegation. Kommunstyrelsen har en separat internkontrollplan för uppsikt. För 2017 har risken identifierats att nya chefer brister i kunskap om allt från MRP-processen till kommunallag, 9 I tillämpningsanvisningarna till internkontrollreglementet framgår att som grund för planering, prioritering och uppföljning av internkontrollarbetet ska en risk- och väsentlighetsanalys göras. Riskbedömningen ska dokumenteras och för de risker som prioriteras att ingå i internkontrollplanen ska dokumentationen bifogas handlingarna för beslut. 10 Självdeklarationen är en blankett med 35 frågor, som varje förvaltningschef svarar på och som utgör grunden för den sammanställda utvärderingen av årets intern kontrollarbete som koncernstaben genomför och redovisar till kommunstyrelsen. Självdeklarationen beskrivs närmre i avsnitt 4.5.1. 9

upphandlingslagar/regler, rutiner för delegation etc. Kontroller inkluderar enkäter, intervjuer samt översyn av kommunens chefsutbildning, vilket ska återrapporteras i oktober 2017. Ytterligare en identifierad risk är att beslutsfattare på olika nivåer inte genomför upphandlingar och avrop enligt lagstiftning och kommunens strategier och rutiner. Beskrivna kontroller är att granska utifrån gällande rutiner samt göra stickprov av enskilda projekt. Det specificeras inte när åtgärden ska återrapporteras. Av nämndernas internkontrollplaner ses mutor som kontrollmoment i stadsbyggnadsnämndens och lantmäterinämndens internkontrollplaner. Övriga nämnder har inte specifika kontroller avseende mutor, men ett antal har kontrollmoment som anknyter till oegentlighetsproblematiken. Barn- och utbildningsnämndens internkontrollplan har kontrollmoment avseende ramavtalsefterlevnad. Riskanalysen inkluderar inte specifikt risker avseende oegentligheter. Nämnden för arbetsmarknad, vuxenutbildning och integration har värderat risker avseende rutiner för intern kontroll samt upphandling i sin riskanalys och har kontrollmoment avseende delegation i sin internkontrollplan. Socialnämnden har värderat risken för otillbörlig påverkan på tillståndsgivande personal samt risken för mutor i sin riskanalys, vilka bedömts med lågt riskvärde. Även avtalsuppföljning har värderats. Miljönämndens riskanalys inkluderar rutiner kring intern kontroll, inköp och avtalstrohet, representation, attest, bisysslor samt mutor och bestickning. Av dessa har mutor och bestickning fått riskvärde 12 av 16, men inte inkluderats i internkontrollplanen. Vi noterar att vissa valda kontrollmoment i internkontrollplanen har en lägre riskvärdering. 4.2.3. Bolagen Inom bolagen varierar utformningen av riskanalysarbetet, beroende på bolagets storlek och verksamhet. Vissa bolag gör omfattande riskanalyser för olika verksamhetsområden, andra sammanfattar ett fåtal centrala kontrollpunkter. I många fall tar ledningsgrupp eller arbetsutskott fram ett förslag på riskområden samt värdering av sannolikhet och konsekvens, inför beslut i styrelsen. Bolagens internkontrollplaner varierar i utformning samt omfattar olika kontrollpunkter med bäring på oegentligheter. Ett antal planer följer den kommunövergripande mallen för riskanalys, en så kallad bruttolista, medan andra utgår ifrån självdeklarationen, alternativt en egen mall. I ett antal fall är riskanalys och internkontrollplan sammanfogade i ett dokument och i några fall saknas en dokumenterad riskanalys. Stadsbacken AB upprättar en internkontrollplan för koncernen, där risker avseende efterlevnad av internkontrollreglementet lyftes under 2016. I 2017 års plan berörs inte denna risk eller risken för oegentligheter specifikt. Mitthem har kontrollmoment avseende mutor samt efterlevnad av LOU 11. Även hot och våldssituationer har lyfts som risk i internkontrollplanen. SKIFU har upprättat ett flertal riskanalyser för processer i verksamheten, bland annat inköpsprocessen, försäljningsprocessen, ledning och styrning samt lagar och avtal. I internkontrollplanen finns kontrollmoment avseende upphandling och inköp. 11 Lagen om offentlig upphandling 10

Sundsvall Energi har genomfört riskbedömning för kvalitetsaspekter knutet till t.ex. inköp och upphandling och löneprocessen. Även motverkande av korruption som kontrollmoment knyts till upphandling. Internkontrollplanen utgår från blanketten för självdeklaration, där specifika frågor om oegentligheter saknas, men frågor om t.ex. upphandling samt delegation ingår. Näringslivsbolaget har kontrollmoment avseende direktupphandling. Sundsvall Logistikpark har kontrollmoment avseende efterlevnad av lagar och avtal. Sundsvalls Oljehamn har kontrollment avseende uppföljning av entreprenader. MittSverige Vatten och Avfall har värderat risker ur olika verksamhetsperspektiv, men ej värderat risken för oegentligheter specifikt. Däremot beskrivs ett antal övriga kontroller avseende t.ex. leverantörskontroll, fakturor, löner samt representation. 4.2.4. Bedömning Det finns ett riskanalysarbete i både förvaltningar och bolag. Ett antal risker knutna till oegentlighetsproblematik har värderats i förvaltningarnas och bolagens riskanalyser, vilket är positivt. Riskvärdering har skett i någon mån avseende områden som kan anses vara särskilt utsatta. Detta utgör grunden för att kunna utforma ändamålsenliga kontroller. Av intervjuerna framkommer bilden av att antalet erbjudanden minskat under senare år och att det mer sällan uppstår tveksamma situationer. Utöver risken för specifikt mutor och andra otillbörliga förmåner, förekommer även ett flertal aktiviteter i det löpande internkontrollarbetet som bidrar till en minskad risk för oegentligheter. Detta tillsammans med en förbättrad kontrollmiljö kan leda till att riskerna bedöms med lägre riskvärde, och inte föranleder kontrollmoment i samtliga verksamheter. 4.3. Kontroller Kontroller är de riktlinjer och rutiner som bidrar till att säkerställa att ledningens direktiv genomförs. De bidrar till att säkerställa att nödvändiga åtgärder vidtas för att hantera risker för att organisationens mål inte uppnås. Kontroller äger rum inom hela organisationen, på alla nivåer och i alla funktioner. De innefattar en rad aktiviteter av olika slag såsom godkännanden, attester, verifikationer, avstämningar, genomgångar av verksamhetens resultat, säkrandet av tillgångarna, samt åtskillnad av tjänsteroller och uppgifter. 4.3.1. Generella iakttagelser om kontroller Av reglementet framgår att kommunstyrelsen har det övergripande ansvaret för att tillse att det finns en god intern kontroll. I detta ligger ett ansvar att tillse att organisationens struktur/system är utformade så att god intern kontroll kan upprätthållas inom kommunen. Vidare framgår att varje nämnd och styrelse har en skyldighet att styra och löpande följa upp det interna kontrollsystemet inom sitt verksamhetsområde. Nämnd och styrelse ska varje år anta en särskild plan för uppföljning av den interna kontrollen. Förvaltningschef eller motsvarande ansvarar för att konkreta regler och anvisningar utformas för att upprätthålla en god intern kontroll samt är skyldig att löpande rapportera till nämnden/styrelsen om hur den interna kontrollen fungerar. Risken för mutor finns med i internkontrollplanen 2017 för stadsbyggnadsnämnden och lantmäterinämnden. Risken finns även i internkontrollplanen för Mitthem. Även andra områden med högre risk för oegentligheter, som inköp och upphandling, finns med i ett antal planer och omfattas därmed av kontroller i verksamheterna. 11

Av intervjuer och dokumentation framgår att ett antal kontroller sker genom bland annat stickprov avseende inköp, representation och attester, som ett led i internkontrollarbetet. Flera intervjuade lyfter att kontrollerna avseende fakturor och lönehantering stärkts under senare år. Miljökontoret arbetar med rotation för handläggare som genomför tillsyn, för att undvika tillsyn av samma objekt över tid. Handläggare åker även ut gemensamt på tillsyn, för att förebygga hot och våldssituationer. Inom socialförvaltningen finns en s.k. FUT-grupp 12 om två tjänster som arbetar med att genomföra kontroller för att förhindra felaktig utbetalning av försörjningsstöd. Härutöver deltar biståndshandläggare i veckovis ärendeberedning med kollegial genomgång av ärenden där handläggaren behöver konsultation. Beviljande av föreningsbidrag 13 hanteras av handläggare på kultur- och fritidsförvaltningen upp till ett basbelopp (44 800 kr), samt av avdelningschef upp till två basbelopp. Vid högre belopp beslutar arbetsutskott eller nämnd. Enligt intervjuade pågår en översyn av handläggningen i samband med att regelverket för föreningsbidrag revideras. Bisysslor stäms av vid anställning i intervjuade verksamheter och inom förvaltningarna och i de flesta bolag stäms det av årligen vid medarbetarsamtal. Enligt flertalet intervjuade har uppföljning av bisysslor aktualiserats under senare år, varpå kontrollen nu upplevs bättre. Ansökningar avseende sponsring hanteras av Näringslivsbolaget, på uppdrag av Stadsbacken. Förfarandet har upprättade riktlinjer. Ansökningar av mer komplex karaktär hanteras av koncernens marknadsgrupp, med representanter från dotterbolagen. Beslut fattas av moderbolagets VD. Sponsring på SM-nivå eller högre beslutas av kommunstyrelsen. Attester Fullmäktige beslutade om ett attestreglemente 2007, där nämnders och styrelser ansvar framgår samt generellt om kontroller samt dess utformning och utförande. Även jäv berörs. Attestmomenten är en del i den interna kontrollen och ska utformas så att den interna kontrollen inom nämnderna kan anses vara tillräcklig. Attestrutinerna ska utformas så att de tillsammans med andra kontroller får en rimlig omfattning med hänsyn tagen till väsentlighet och risk samt kostnaden för kontrollen. Varje nämnd anger innebörd och omfattning av attestantens, kontrollantens ansvar. Varje nämnd ska årsvis fatta beslut om vilka som ska ha rätten att vara beslutsattestanter samt ersättare för dessa. Nämnden svarar för att upprätta och hålla aktuella förteckningar över utsedda attestanter och ersättare. Det stickprov av attestförteckningar vi tagit del av är nyligen reviderade. 4.3.2. Specifikt om kontroller inom utsatta områden Följande områden är erfarenhetsmässigt att betrakta som särskilt riskutsatta: Inköp och upphandling Bygglov 12 FUT står för felaktiga utbetalningar av försörjningsstödet. 13 Grundbidrag, verksamhetsbidrag, produktionsbidrag 12

Serveringstillstånd inom socialförvaltningens ansvarsområde Nedan redovisas om det finns förebyggande och/eller upptäckande kontroller i aktuella verksamheter och processer. Då inköp och upphandling lyfts i intervjuerna som ett väsentligt område, läggs viss tonvikt vid detta nedan. Upphandling och inköp Kommunens centrala upphandlingsfunktion ligger sedan årsskiftet inom koncernstaben. Utöver upphandlingschef finns sju tjänster, samt att rekrytering av ytterligare två tjänster pågår. Upphandlingsenheten ansvarar för koncerngemensamma ramavtal. För upphandlingar som berör enbart en förvaltning eller ett bolag kan upphandling ske antingen av upphandlingsenheten eller av förvaltningens/bolagets egna upphandlare. Huvuddelen av entreprenadupphandlingarna och direktupphandlingar genomförs direkt av respektive förvaltning eller bolag. Upphandlingsenheten kan medverka som ett stöd till verksamheterna. Ett antal utbildningar i t.ex. kravställning och utvärdering, samt direktupphandling och förnyad konkurrensutsättning erbjuds årligen. Upphandlingschefen beskriver att enheten har begränsad kapacitet i förhållande till verksamheternas behov. Ett utvecklingsarbete pågår utifrån inköpsstrategin som beslutades i maj 2016. Strategin ska knytas tydligare till arbetet med intern kontroll, avseende kravställning och framförallt uppföljning. Arbetet leds av upphandlingsstrateg på koncernstaben. Det saknas till stor del en övergripande uppföljning och kontroll av avtalstrohet i kommunen. De kontroller som sker, sker till stor del i verksamheterna. Kommungemensamma ramavtal samlas i E-avrop, där kontroll avseende skatter och avgifter samt viss avvikelserapportering av leverantörer sker. Det saknas en kommungemensam avtalsdatabas. En viktig del i det pågående arbetet är att fånga upp de direktupphandlingar som sker i verksamheterna, enligt intervjuade. Inköpssamordnare på förvaltningarna ska utgöra en länk avseende kommunikation, utbildning samt kvalitetssäkring. Vid granskningstillfället saknas inköpssamordnare på koncernstaben, barn- och utbildningsförvaltningen och servicecenter. Synpunkter som framförs från förvaltningarna är risker avseende direktupphandlingar och gynnande av vissa leverantörer. Stadsbyggnadskontoret genomför utöver löpande uppföljning via byggmöten egna kontroller av ramavtalstrohet som en del i ordinarie uppföljningsprocess. Inom verksamheten finns behov av en entreprenad- och upphandlingsjurist, där dialog pågår med koncernstaben. Socialförvaltningen har efterfrågat underlag för att kunna följa direktupphandlingar och avtalstrohet. Förvaltningen arbetar tillsammans med upphandlingsenheten för att utveckla styrningen avseende avtal för HVB. 14 Det framgår att bolagen både använder kommunens ramavtal, avropar från branschgemensamma avtal samt genomför egna upphandlingar. Vid egna entreprenadupphandlingar samt större upphandlingar används utöver egen personal även konsulter för utvärdering och projektledning, då upphandlingsenheten enligt uppgift har begränsad kapacitet att bistå. Utöver beskrivna kontroller, sker uppföljningar anpassat till respektive projekt eller tjänst. Ramavtal med förnyad konkurrensutsättning lyfts som en åtgärd för att minska för långa relationer till samma leverantör. Sundsvall Energi och SKIFU använder egna verksamhetssystem för kvalitetssäkring av avtal och uppföljning. Mitthem använder branschgemensamma avtal till stor del utöver avrop från kommunens avtal. 14 Hem för vård eller boende 13

Intervjuade chefer lyfter en god dialog med större leverantörer samt att insyn avseende underleverantörer stärkts. Mitthem och MittSverige Vatten och Avfall har samarbete med Skatteverket avseende bakgrundskontroll av underleverantörer. Flera intervjuade chefer lyfter önskemål om större samordning och gemensam kompetens avseende inköp och upphandling. Uppföljningen av direktupphandlingar beskrivs som ett generellt utvecklingsområde. Bygglov Beslut om bygglov är delegerat till bygglovshandläggare i de fall de stämmer med gällande detaljplan och enkla avvikelser. Strukturellt viktiga ärenden samt i de fall det går någon emot tas beslut i stadsbyggnadsnämnden. Stadsbyggnadskontoret har inga specifika kontrollmoment avseende bygglovshandläggning, men det sker en ärendefördelning där man bland annat diskuterar eventuella jävsförhållanden i aktuella ärenden. Själva bygglovsbesluten skrivs sedan ut av en särskild administratör. Enligt intervjuade sitter handläggarna även i öppet kontorslandskap för att främja en dialog avseende ärenden. Komplexa ärenden kan även tas i arbetsgruppen för diskussion. Stadsbyggnadsnämnden har inkluderat risken för mutor i sin internkontrollplan, men har inte specificerat åtgärder inom bygglov. Serveringstillstånd Beslut om serveringstillstånd för alkohol fattas av socialnämndens individ- och familjeutskott och handläggs av tre handläggare inom förvaltningen. Handläggare har beslutanderätt avseende bland annat utökning och komplettering av tillstånd, pausservering, provsmakning till allmänhet samt beslut om serveringstillstånd till förening, företag eller annat slutet sällskap. Intervjuade beskriver att risken för oegentligheter bedöms låg, då handläggarna är erfarna samt att beslut om permanenta tillstånd beslutas av nämndens utskott. Inga särskilda kontroller genomförs. Risken har värderats i nämndens riskanalys. 4.3.3. Bedömning Kontrollmoment avseende specifikt oegentligheter finns hos stadsbyggnadsnämnden, lantmäterinämnden samt Mitthem. Kontrollmoment som direkt eller indirekt har anknytning till oegentlighetsproblematik, som inköp och upphandling, fakturahantering samt delegation, återfinns i flera kontrollplaner. I det löpande internkontrollarbetet förekommer också kontroller i t.ex. ekonomisystem och lönehantering som fungerar förebyggande. Sammantaget finns ett flertal adekvata kontroller. Vi noterar att det saknas förebyggande kontroller i handläggningen av bygglov samt serveringstillstånd, vilket är två områden som kan anses utsatta för större risk. Här skulle slumpmässiga kontroller kunna minska risken ytterligare. Avseende upphandling och inköp finns ett antal grundläggande kontroller, men uppföljningen av avtal samt avtalstrohet bör stärkas och utvecklas. 4.4. Kommunikation och information Effektiv kommunikation måste förekomma för en god intern kontroll och flöda nedåt, uppåt och över hela organisationen. All personal måste få ett klart budskap från den högsta ledningen att ansvaret för intern styrning och kontroll måste tas på allvar. De anställda måste förstå sin egen roll samt hur enskilda aktiviteter påverkar andras arbete. De måste ha en 14

kanal för att kommunicera betydelsefull information uppåt. Det finns också behov av effektiv kommunikation med externa parter, såsom kunder och leverantörer. 4.4.1. Övergripande iakttagelser Avseende löpande information och kommunikation är intranätet - Inloggad - den främsta kanalen. Här finns länkar till kommunens styrdokument samt även externa länkar, som Institutet mot mutor och Socialstyrelsens vägledning till vård och omsorg kring gåvor och testamenten. Det noteras att det vid granskningstillfället var den äldre riktlinjen avseende mutor och andra otillbörliga förmåner från 2009 som låg på intranätet. Uppdatering har sedan skett till den reviderade versionen. Frågor om oegentligheter ingår sedan 2013 i den utbildning som samtliga nya chefer i kommunen deltar i och som kansliet på koncernstaben ansvarar för på uppdrag av kommunens HR-funktion. Kansliet genomför även utbildningar på beställning av förvaltningar och bolag. Det framkommer av intervjuerna att det varierar mellan verksamheterna vilka som beställer utbildning samt med vilka intervall. Kansliet initierar inte utbildningar själva, vilket lyfts som ett möjligt förbättringsområde. Oegentligheter berörs inte specifikt i den kommunövergripande medarbetarintroduktionen. Enligt intervjuade har inte frågor om oegentligheter aktualiserats på en övergripande nivå i kommunen, utöver att frågan behandlades specifikt avseende teknik- och serviceförvaltningen samt Drakfastigheter under 2016 utifrån en anmälan till Konkurrensverket. Den interna utredning som då genomfördes pekade på risker gällande upphandling samt relationer mellan nyckelpersoner och leverantörer. Vidtagna åtgärder skulle enligt beslut redovisas i kommunstyrelsen i maj 2017, men framkommer inte i granskade protokoll. Frågan finns med som kontrollpunkt i kommunstyrelsens internkontrollplan för uppsikt 2017. 4.4.2. Kommunen Av intervjuerna framkommer att förvaltningarna aktualiserar frågor som berör oegentligheter främst på arbetsplatsträffar samt ibland även på planeringsdagar och ledningsgrupper. Frågor som dyker upp behandlas löpande. Stadsbyggnadskontoret genomförde i april 2017 en utbildning om mutor och korruption för ledningsgrupp, samtliga chefer samt nämndens ledamöter som ett led i internkontrollarbetet. Förvaltningen håller även på att uppdatera broschyren, Tack, men nej tack med sammanfattad information till brukare och leverantörer om förhållningssätt. Det finns ingen formaliserad whistleblower-funktion i kommunen. I internkontrollreglementet beskrivs att brister i den interna kontrollen ska rapporteras till närmaste överordnad eller till den nämnden utsett. I riktlinjerna mot mutor och andra otillbörliga förmåner anges kommunens jurister som kontaktpersoner utöver närmaste chef. Av intervjuerna framkommer inga övriga utpekade funktioner. Intervjuade chefer på förvaltningarna uppger att controller med ansvar för internkontroll på koncernstaben är en möjlig kontakt, i de fall närmsta överordnad alternativt förvaltningschef inte bedöms lämplig. Möjligheten att vara anonym beskrivs vara begränsad. 15

4.4.3. Bolagen Samtliga intervjuade beskriver att frågan om förhållningssätt och affärsetik aktualiseras löpande i värdegrundsarbete samt i specifika projekt och verksamhetsområden. Intervjuade VD:ar betonar vikten av en gemensam värdegrund och öppen dialog. När det gäller frågor om mutor och otillbörliga förmåner betonas gott omdöme hos ledningen och högt i tak som centralt för att omsätta de riktlinjer och förhållningssätt som fastställts. Enligt intervjuade saknas till viss del koncerngemensam samordning och stöd i frågorna. Det kan röra inköp och upphandling, anpassning av styrande dokument eller utbildning, främst i de mindre bolagen där egen specialistkompetens saknas. MittSverige Vatten och Avfall genomförde en utbildningsinsats 2013 för bolagets samtliga chefer och planerar en uppföljning under 2018. Bolaget har även skickat ut riktlinjer avseende förhållningssätt till utvalda ramavtalsleverantörer. Sundsvall Energi genomförde ekonomiutbildning inom hela bolaget under 2016, där representation, förmåner samt mutor ingick. I september 2016 gjordes även ett utskick till samtliga leverantörer med rubriken Tack, men nej tack till gåvor och förmåner, där bolaget tydliggjorde förhållningssättet i leverantörsrelationer. Utbildning inom upphandling samt korruption har även genomförts inom Sundsvall Elnät. Näringslivsbolaget genomförde utbildning och mutor, jäv och intressekonflikter för samtliga medarbetare samt styrelse i december 2016 utifrån en internkontrollpunkt. Bolaget hade under 2014 incidenter avseende hantering av kontantkassa samt tidrapportering, vilket har föranlett tydligare kontroller. Inom bolagen beskrivs VD alternativt styrelseordförande vara de primära kontaktvägarna för att rapportera misstänkta oegentligheter. Ett flertal intervjuade lyfter att en utpekad funktion där det finns möjlighet att vara anonym vore värdefullt. Det sker enligt intervjuade inga specifika dialoger avseende intern kontroll inom koncernen, även om frågorna kan diskuteras på VD-träffar. Sundsvall Elnät har beskrivit en whistleblower-funktion i sin antikorruptionspolicy, men inte preciserat förfarandet. 4.4.4. Bedömning Ett flertal nämnder och bolag har genomfört utbildningsinsatser samt säkerställer regelbunden information till medarbetare, vilket är positivt. En central del i det förebyggande arbetet är att kontinuerligt hålla frågorna levande. Det saknas en formell whistleblower-funktion i kommunen och möjligheten att anonymt rapportera misstankar om oegentligheter beskrivs vara begränsad. Med en whistleblowerfunktion skulle oegentligheter som annars inte framkommit, kunnat komma till kännedom. 4.5. Utvärdering och uppföljning Interna styr- och kontrollsystem behöver övervakas, följas upp och utvärderas en process som bestämmer kvaliteten på systemets resultat över tiden. Det åstadkoms genom löpande övervakningsåtgärder och uppföljningar, separata utvärderingar eller en kombination av dessa. Uppföljningen genomförs för att säkerställa att de kontroller som designats för att möta risker verkligen utförs och fungerar som tänkt. 16

Uppföljning av arbetet med den interna kontrollen är en viktig aspekt då de erfarenheter som framkommer exempelvis risk- och väsentlighetsanalyser ska ligga till grund för det fortsatta internkontrollarbetet. Kontroller bör möta identifierade risker, vara formaliserade och överensstämma med det dagliga arbetet som utförs i verksamheten. Vidare ska löpande utvärdering göras av identifierade kontroller i syfte att säkerställa att de utförts och fungerar som avsett. 4.5.1. Kommunen Utöver nämndens uppföljning av intern kontroll vid tertial- och årsbokslut (se punkt 4.2.1), gör respektive förvaltning årligen en självdeklaration. Självdeklarationen innehåller en beskrivning och bedömning av hur förvaltningen säkerställer kontrollmiljön, riskanalyser, kontrollaktiviteter, information, kommunikation och tillsyn. Detta sker genom 35 frågor, som respektive verksamhet får svara ja/nej på samt kommentera och styrka med underlag. Självdeklarationen ska enligt intervjuad controller fungera som ett metodstöd i det egna utvecklingsarbetet. Koncernstaben sammanställer självdeklarationerna och vilka frågor som föranleder ja/nejsvar. Om specifika frågor får en stor andel nej-svar, kan de lyftas till kommunstyrelsens internkontrollplan för uppsikt. Självdeklarationen innehåller inga specifika frågor rörande oegentligheter. Enligt intervjuade kan det finnas ett behov att lyfta frågan i kommande revidering. Utifrån genomförda uppföljningar och självdeklarationerna gör koncernstaben en samlad bedömning av arbetet med intern kontroll. Vi har tagit del av uppföljningen för 2016, med kommentarer till varje nämnds verksamhetsområde. Kommentarer görs avseende t.ex. riskvärderingar, genomförda kontrollers utformning och dokumentation samt hur förvaltningarna arbetar med att hålla internkontrollen levande bland medarbetare. En av de frågor där de flesta förvaltningar svarat nej är om det vid samtliga inköp har gjorts kontroll om relevant ramavtal finns och i sådana fall använts. Några förvaltningar har också svarat nej på frågan om reglerna följs vid direktupphandling och att dokumentation vid direktupphandling har upprättats. 4.5.2. Bolagen Utöver respektive bolagsstyrelses uppföljning tertialvis, ansvarar Stadsbacken AB för uppföljningen av internkontrollarbetet inom dotterbolagen, vilken återrapporteras årligen till kommunstyrelsen. Vid genomgång av bolagens internkontrollplaner, uppföljning och utvärdering av dessa bedömer moderbolaget att processen överlag fungerar bra. Några bolag har dock inte följt kommunens internkontrollreglemente fullt ut avseende formaliafrågor. Bolagens självdeklarationer följer delvis olika format, och samtliga bolag svarar inte på alla frågor. Bland annat saknas svar från flera bolag avseende inköp och upphandling. Näringslivsbolaget identifierar att direktupphandlingar inte dokumenterats på ett systematiskt sätt. I koncernens självdeklaration finns en identifierad risk avseende efterlevnaden av internkontrollreglementet, där det beskrivs finnas förbättringsmöjligheter. Kontrollaktiviteter består av diskussioner med bolagen och genomgång av regelverk. Risken tas inte upp i koncernens internkontrollplan 2017. 17

4.5.3. Bedömning Ett flertal kontroller som ingår i det löpande internkontrollarbetet, inom exempelvis ekonomisystem och lönehantering, utgör en uppföljning av de åtgärder som vidtas för att förebygga och minska risken för oegentligheter. Den självdeklaration som genomförs av internkontrollarbetet ger en god grund för uppföljning och utvärdering på övergripande nivå. Den kan även fungera som risk- och incidentinventering avseende oegentligheter. Frågor rörande oegentligheter kan med fördel inkluderas i självdeklarationen. Det skulle även kunna vara ett verktyg för att kartlägga omfattningen av t.ex. erbjudanden eller incidenter samt identifiera verksamheter som kan vara särskilt utsatta. 18

5. Sammanfattande bedömning Nedan beskrivs i komprimerad form svaren på revisionsfrågorna och de bedömningar som görs utifrån respektive revisionsfråga. Därefter redogörs för slutsatser och svar på den övergripande revisionsfrågan. Revisionsfråga Har ansvariga styrelser och nämnder säkerställt en god kontrollmiljö avseende risken för mutor och oegentligheter? Svar Ja, till stor del. Det finns relevanta och till stor del ändamålsenliga styrdokument. Kontaktvägarna vid misstanke om oegentligheter kan tydliggöras. Intervjuade ger bilden av ett pågående värdegrundsarbete samt en medvetenhet om risker som kan uppstå, vilket är en förutsättning för en god kontrollmiljö. Genomförs adekvata riskanalyser på rätt nivå för att minska riskerna i organisationen? Säkerställer ansvariga nämnder och styrelser att kontrollsystemen är effektiva för att förhindra och upptäcka mutor och oegentligheter? Bolagen anpassar riktlinjer efter sin verksamhet, och i flera fall används liknande utgångspunkt. Det saknas en tydliggjord koncerngemensam inriktning. Ja. Samtliga verksamheter som ingått i granskningen genomför riskanalyser avseende ekonomi och verksamhet. Omfattning och format varierar efter storlek och verksamhet bland bolagen. Delvis. Genom det löpande internkontrollarbetet samt kontroller avseende särskilt identifierade risker finns ett flertal verktyg för att förhindra och upptäcka oegentligheter. Avseende upphandling finns grundläggande kontroller, men uppföljning av avtal och avtalstrohet bör stärkas. Har ansvarig styrelse och nämnd vidtagit de åtgärder som Riktlinjer avseende mutor och andra otillbörliga förmåner samt beslut KS-2013-00315 säger att de ska genomföra? Sprids information om regelverk, riskanalys och kontroller till berörda medarbetare? Följs processen upp och återrapporteras till rätt nivå? Förebyggande kontroller saknas avseende särskilt utsatta processer som exempelvis bygglovshandläggning och serveringstillstånd. Ja, som en del i det löpande internkontrollarbetet. Ett flertal utbildningsinsatser har genomförts under senare år i ett antal verksamheter. Ja, via introduktionsmaterial, arbetsplatsträffar samt medarbetarsamtal aktualiseras främst de frågor som rör respektive medarbetare, som regelverk och rutiner avseende bisysslor, mutor och andra oegentligheter. Ja. Nämndernas internkontrollarbete sammanställs och utvärderas av koncernstaben för rapportering till kommunstyrelsen. Även bolagens internkontrollarbete redovisas i kommunstyrelsen efter sammanställning och utvärdering av Stadsbacken. Detta sker utöver nämnders och styrelsers ordinarie uppföljning tertialvis. Syftet med granskningen har varit att bedöma om styrelser och nämnder har säkerställt en god intern kontroll för att motverka, upptäcka och förhindra mutbrott och därtill kopplade oegentligheter i verksamheten. 19

Vår sammanfattande bedömning är att styrelser och nämnder i stor utsträckning har säkerställt en god intern kontroll för att motverka oegentligheter. Väsentliga styrdokument och rutiner har tagits fram och anpassats efter respektive verksamhet, vilket bidrar till en god kontrollmiljö. Det finns inget gemensamt förhållningssätt inom bolagskoncernen avseende oegentligheter. Bolagen anpassar riktlinjer till sin egen verksamhet. Koncernens och koncernledningens förhållningssätt utifrån beslutade styrdokument bör förtydligas. Utöver upprättade riktlinjer och styrdokument framkommer en medvetenhet hos samtliga intervjuade om riskerna för oegentligheter samt vikten av ett aktivt värdegrundsarbete, vilket vi bedömer positivt. Vi vill betona att det fortsatt är av stor vikt att vidareutveckla och levandegöra arbetet med intern kontroll för att även framgent förebygga och minska risken för oegentligheter. En väsentlig del i detta arbete är den kontinuerliga utvärderingen och uppföljningen av arbetet via självdeklarationen, där frågor med bäring på oegentligheter med fördel kan lyftas in. Det skulle även ge möjlighet att samla värdefull information om i vilken omfattning verksamheterna anser sig vara riskutsatta. Utifrån granskningens slutsatser, ger vi ett antal rekommendationer i det fortsatta arbetet. Kommunstyrelsen: Tydliggör vid revidering av riktlinjer mot mutor och andra otillbörliga förmåner kontaktvägar för att rapportera misstänkta oegentligheter, där den enskilde drar sig för att rapportera till närmsta chef. Överväg en anonym incidentrapportering. Undersök möjligheten att initiera kontinuerlig utbildning avseende oegentligheter för verksamheterna. Överväg att införa slumpmässiga kontroller avseende särskilt riskutsatta områden, t.ex. bygglovshantering. Säkerställ systematisk uppföljning samt kontroll av avtal, samt möjlighet att göra analyser av genomförda inköp. Överväg att inkludera frågeställningar med bäring på oegentligheter i självdeklarationen för intern kontroll. Styrelsen i Stadsbacken AB: Tydliggör det koncerngemensamma förhållningssättet avseende oegentligheter utifrån av fullmäktige beslutade styrdokument Samtliga bolagsstyrelser: Säkerställ att riktlinjer och styrdokument är uppdaterade i enlighet med av fullmäktige beslutade styrdokument Sundsvall den 16 juni 2017 Curt Öberg EY Anja Zetterberg EY 20

Källförteckning Intervjuade funktioner: VD, Stadsbacken AB Stadsjurist, controller samt upphandlingschef, koncernstaben Förvaltningsdirektör, förvaltningen för vuxenutbildning, arbetsmarknad och integration Stabschef och utredare, barn- och utbildningsförvaltningen Förvaltningsdirektör, miljökontoret Tf. stadsbyggnadsdirektör och HR-strateg, stadsbyggnadsförvaltningen Förvaltningsdirektör och avdelningschef, kultur- och fritidsförvaltningen Förvaltningsdirektör, Servicecenter Socialdirektör, kanslichef, verksamhetschef individ- och familjeomsorg samt enhetschef kvalitet och utveckling, socialförvaltningen VD och administrativ chef, Sundsvall Energi AB VD och VD-assistent, Sundsvalls Näringslivsbolag AB VD och ekonomichef, Mitthem AB VD och bolagsjurist, Sundsvalls Logistikpark AB VD och ekonomichef, Sundsvalls kommuns industrifastighetsutveckling AB VD och administrativ chef, Sundsvalls Oljehamn AB VD och avdelningschef verksamhetsstöd, Sundsvall Vatten AB och REKO Sundsvall AB (MittSverige Vatten och Avfall) VD, Sundsvall Elnät AB Dokument: Ägardirektiv, Stadsbackenkoncernen Reglemente för intern kontroll, Sundsvalls kommun 2010 Tillämpningsanvisningar till reglemente för intern kontroll Riktlinjer mot mutor och andra otillbörliga förmåner, reviderad 2012 Inköpsstrategi, antagen 2016 Regler för representation, reviderad 2010 Riktlinje bisysslor, koncernstaben 2015 Attestreglemente Tillämpningsanvisningar till attestreglemente Internkontrollplaner och riskanalyser 2017, samtliga nämnder Internkontrollplaner och riskanalyser 2017, samtliga helägda bolag Stickprov av delegationsordningar samt attestförteckningar Utvärdering av intern kontroll 2016, nämnder samt helägda bolag Beslut KS-2013 00315 (återrapportering av genomförda förebyggande åtgärder avseende korruption) Utredning Drakfastigheter, KS-2016 00622-1 Styrdokument och riktlinjer inom förvaltningar och bolag som rör representation, gåvor, mutor och jäv, bisysslor, inköp och upphandling, medarbetarintroduktion, sponsring, bidrag samt uthyrning. Utbildningsmaterial avseende oegentligheter inom förvaltningar och bolag 21