www.pwc.se Revisionsrapport Granskning av intern kontroll avseende betalningsrutiner Caroline Liljebjörn Elin Petersson 24 maj 2017
Innehållsförteckning 1. Sammanfattning och revisionell bedömning... 2 1.1. Bedömningar mot kontrollmål... 2 2. Inledning... 5 2.1. Bakgrund... 5 2.2. Revisionsfråga och kontrollmål... 5 2.3. Metod... 5 3. Iakttagelser och bedömningar... 6 3.1. Finns en ändamålsenlig organisation, ansvarsfördelning och delegation avseende betalningsrutiner?... 6 3.1.1. Iakttagelser... 6 3.1.2. Bedömning... 6 3.2. Är attestrutinerna ändamålsenliga?... 7 3.2.1. Iakttagelser... 7 3.2.2. Bedömning... 7 3.3. Finns särskilda regler och kontroller för utbetalning av stora belopp?... 7 3.3.1. Iakttagelser... 7 3.3.2. Bedömning... 7 3.4. Finns rutiner för att vid behov revidera rätten att attestera?... 7 3.4.1. Iakttagelser... 7 3.4.2. Bedömning... 8 3.5. Finns ändamålsenliga rutiner, med tillräcklig kontroll, för utbetalningarna som inte hanteras i rutinen för leverantörsfakturor eller lönesystemet?... 8 3.5.1. Iakttagelser... 8 3.5.2. Bedömning... 8 3.6. Är processerna tillräckligt dokumenterade?... 8 3.6.1. Iakttagelser... 8 3.6.2. Bedömning... 9 Maj 2017 1 av 9
1. Sammanfattning och revisionell bedömning Kommunens lekmannarevisorer har observerat ett antal händelser av bedrägerier och oegentligheter i andra kommuner och kommunala bolag, vilket föranleder att inom ramen för en riskbedömning genomföra en granskning av betalningsrutinerna i kommunens bolag. Vi bedömer att styrelsens interna kontroll avseende betalningsrutiner i allt väsentligt är tillräcklig. Det baserar vi på att det finns beslutade dokument som visar VDs och övriga anställdas behörighet avseende inköp, att leverantörsfakturor i de flesta fall attesteras av två personer samt att det från och med i vår är olika personer som tar fram betalningsförslaget och som utför själva betalningen av leverantörsfakturor. För att stärka den interna kontrollen har vi identifierat följande förbättringsområden: Vi anser att de fakturor som i dagsläget endast attesteras av VD först bör kontrolleras av ytterligare en person. I de fall det avser personalrelaterade kostnader kan det till exempel göras av någon på kommunens personalavdelning. Vi bedömer även att den interna kontrollen kan stärkas genom att två i förening signerar utbetalningen via banken. 1.1. Bedömningar mot kontrollmål Kontrollmål Finns en ändamålsenlig organisation, ansvarsfördelning och delegation avseende betalningsrutiner? Är attestrutinerna ändamålsenliga? Kommentar Uppfyllt Vi bedömer att det i allt väsentligt finns en ändamålsenlig organisation, ansvarsfördelning och delegation avseende betalningsrutiner. Det baserar vi på att det finns beslutade dokument som visar VDs och övriga anställdas behörighet avseende inköp, att leverantörsfakturor i de flesta fall attesteras av två personer samt att det från och med i vår är olika personer som tar fram betalningsförslaget och som utför själva betalningen av leverantörsfakturor. Uppfyllt Vi bedömer att attestrutinerna i Maj 2017 2 av 9
stort sett är ändamålsenliga. För att stärka den interna kontrollen ytterligare bör de fakturor som i dagsläget endast attesteras av VD först kontrolleras av ytterligare en person. I de fall det avser personalrelaterade kostnader kan det till exempel göras av någon på kommunens personalavdelning. Vi bedömer även att den interna kontrollen kan stärkas genom att två i förening signerar utbetalningen via banken. Finns särskilda regler och kontroller för utbetalning av stora belopp? Finns rutiner för att vid behov revidera rätten att attestera? Finns ändamålsenliga rutiner, med tillräcklig kontroll, för utbetalningar som inte hanteras i rutinen för leverantörsfakturor eller lönesystemet? Är processerna tillräckligt dokumenterade? Uppfyllt Vi bedömer att det finns särskilda regler för utbetalning av belopp över 400 tkr eftersom det då ska ha föregåtts av ett styrelsebeslut. Vi bedömer vidare att bolagets utbetalningsrutin är ändamålsenlig eftersom betalningsförslag och utanordning hanteras av två olika personer. Uppfyllt Bolaget har upprättat en attesträttslista med utsedda personer som ersätter VD i dennes frånvaro. Enligt de intervjuade är det styrelsens ansvar att revidera attesträttslistan om någon i personalen slutar. Det finns även en beslutad rutin vid akuta händelser. Ej bedömt Vi kan inte göra någon bedömning av kontrollmålet eftersom vi inte har identifierat några utbetalningar som gjorts förutom via rutinen för leverantörsfakturor eller i lönesystemet. Uppfyllt Vi bedömer att processerna i allt väsentligt är tillräckligt dokumenterade. Det baserar vi på att styrelsen beslutat om VD-instruktion, Maj 2017 3 av 9
utsett attestanter, beslutat om ersättare vid frånvaro av VD samt fastställt arbetsgången vid akuta händelser. Maj 2017 4 av 9
2. Inledning 2.1. Bakgrund Kommunens lekmannarevisorer har observerat ett antal händelser av bedrägerier och oegentligheter i andra kommuner och kommunala bolag, vilket föranleder att inom ramen för en riskbedömning genomföra en granskning av betalningsrutinerna i kommunens bolag. 2.2. Revisionsfråga och kontrollmål Granskningen ska besvara följande revisionsfråga: Säkerställer styrelsen att den interna kontrollen avseende betalningsrutiner är tillräcklig? Följande kontrollmål ska besvaras av granskningen: Finns en ändamålsenlig organisation, ansvarsfördelning och delegation avseende betalningsrutiner? Är attestrutinerna ändamålsenliga? Finns särskilda regler och kontroller för utbetalning av stora belopp? Finns rutiner för att vid behov revidera rätten att attestera? Finns ändamålsenliga rutiner, med tillräcklig intern kontroll, för utbetalningarna som inte hanteras i rutinen för leverantörsfakturor eller lönesystemet? Är processerna tillräckligt dokumenterade? 2.3. Metod Vi har genomfört intervjuer med bolagets VD och ekonomer. Vi har tagit del av följande dokument: VD-instruktion, attesträtt, åtgärdsplan samt instruktion över ansvarsområden. Vi har tagit stickprov på leverantörsfakturor och övrig bokföring under år 2016 och år 2017 till och med april månad. Maj 2017 5 av 9
3. Iakttagelser och bedömningar 3.1. Finns en ändamålsenlig organisation, ansvarsfördelning och delegation avseende betalningsrutiner? 3.1.1. Iakttagelser har en manuell hantering av leverantörsfakturor. Fakturorna ankommer till bolagets ekonom som är anställd av Mönsterås kommun. Fakturan skickas sedan med internpost till Vattenpalatset där den konteras och attesteras av platschef. Fakturan skickas därefter tillbaka till kommunhuset där VD utför beslutsattest. I ekonomisystemet genererar ekonomen ett betalningsförslag, ett betalningsuppdrag och en banklista för utbetalning. Betalningsuppdraget är signerat av ekonomen. Konterade och attesterade fakturor, betalningsförslag, banklista och betalningsuppdrag tillsammans med kvittens från banken sparas som räkenskapsmaterial. Vi har granskat leverantörsfakturor och övrig bokföring för år 2016 och 2017 till och med april månad via stickprov. Stickproven visar att bolaget tillämpar dubbel attest av fakturor med undantag för fakturor som konteras och attesteras centralt av VD, exempelvis fakturor från leverantörerna KPA pension och Skandikon. Sedan våren 2017 är det olika personer som tar fram betalningsförslag och som utför betalningen av leverantörsfakturor. Betalningsuppdraget signeras av båda ekonomerna. Enligt VD-instruktionen har VD behörighet att ingå avtal för inköp upp till 400 tkr utan styrelsens godkännande. VD informerar dock styrelsen om inköp avseende investeringar och underhåll som underskrider detta belopp. Vissa anställda har behörighet att beställa till exempel städartiklar. Det sker även löpande beställningar till Vattenpalatsets cafeteria. Personalen har inte behörighet att köpa utrustning eller beställa reparationer över 1 000 kr utan att först förankra detta med platschef eller VD. Bolaget har en rad skriftliga rutiner avseende inköp av varor och personalens ansvarsområden. Dessa rutiner är beskrivna under avsnitt 3.6.1. Lönehanteringen för bolagets anställda hanteras av Mönsterås kommun. Kommunen använder lönesystemet Heroma. Bolagets anställda rapporterar manuellt via pappersblankett som registreras i systemet av kommunens löneadministratör. Personliga utlägg betalas ut via lönerutinen men enligt de intervjuade är denna typ av utbetalningar sällan förekommande. 3.1.2. Bedömning Vi bedömer att det i allt väsentligt finns en ändamålsenlig organisation, ansvarsfördelning och delegation avseende betalningsrutiner. Det baserar vi på att det finns beslutade dokument som visar VDs och övriga anställdas behörighet avseende inköp, att leverantörsfakturor i de flesta fall attesteras av två personer samt att det från och med i vår är olika personer som tar fram betalningsförslaget och som utför själva betalningen av leverantörsfakturor. Maj 2017 6 av 9
3.2. Är attestrutinerna ändamålsenliga? 3.2.1. Iakttagelser Bolaget har upprättat ett dokument avseende attesträtt som har godkänts av styrelsen. Dokumentet anger ersättare för VDs roll som beslutsattestant. Detta dokument är beskrivet under avsnitt 3.6.1. Bolaget har även ett dokument, benämnt åtgärdsplan som beskriver processen vid mottagande av en faktura. Mottagen faktura granskas och attesteras av platschef på Vattenpalatset. Platschef gör avstämning med ansvarig som beställt varorna för att säkerställa att pris är korrekt och att de har mottagit varorna. Beslutsattest sker sedan av VD innan faktura går till betalning. Utförda stickprov visar att dubbel attest tillämpas förutom vid betalningar som sker centralt, exempelvis KPA pension, Skatteverket och Skandikon. 3.2.2. Bedömning Vi bedömer att attestrutinerna i stort sett är ändamålsenliga. För att stärka den interna kontrollen ytterligare bör de fakturor som i dagsläget endast attesteras av VD först kontrolleras av ytterligare en person. I de fall det avser personalrelaterade kostnader kan det till exempel göras av någon på kommunens personalavdelning. Vi bedömer även att den interna kontrollen kan stärkas genom att två i förening signerar utbetalningen via banken. 3.3. Finns särskilda regler och kontroller för utbetalning av stora belopp? 3.3.1. Iakttagelser Enligt VD-instruktionen får VD ingå avtal till belopp under 400 tkr. För avtal över 400 tkr krävs styrelsebeslut. Enligt de intervjuade informerar VD styrelse och ägare löpande avseende planerade utgifter för investeringar och drift även om de är lägre än 400 tkr. Det finns inga spärrar i systemet för utbetalningar av stora belopp, men det är två personer som går igenom förslag och utanordning innan betalning sker. 3.3.2. Bedömning Vi bedömer att det finns särskilda regler för utbetalning av belopp över 400 tkr eftersom det då ska ha föregåtts av ett styrelsebeslut. Vi bedömer vidare att bolagets utbetalningsrutin är ändamålsenlig eftersom betalningsförslag och utanordning hanteras av två olika personer. 3.4. Finns rutiner för att vid behov revidera rätten att attestera? 3.4.1. Iakttagelser Bolaget har upprättat en attesträttslista med utsedda personer som ersätter VD i dennes frånvaro. Enligt de intervjuade är det styrelsens ansvar att revidera attesträttslistan om någon i personalen slutar. Maj 2017 7 av 9
3.4.2. Bedömning Vi bedömer att det finns rutiner för att revidera rätten att attestera. De baserar vi på att det vid granskningstillfället fanns en aktuell lista över attestanter samt att det fanns ett dokument som beskrev ersättare för VD. Det finns även en beslutad rutin vid akuta händelser. 3.5. Finns ändamålsenliga rutiner, med tillräcklig kontroll, för utbetalningarna som inte hanteras i rutinen för leverantörsfakturor eller lönesystemet? 3.5.1. Iakttagelser Enligt de intervjuade förkommer inga utbetalningar som inte hanteras i rutinen för leverantörsfakturor eller lönesystemet. Detta bekräftas av utförda stickprov. 3.5.2. Bedömning Vi kan inte göra någon bedömning av kontrollmålet eftersom vi inte har identifierat några utbetalningar som gjorts förutom via rutinen för leverantörsfakturor eller i lönesystemet. 3.6. Är processerna tillräckligt dokumenterade? 3.6.1. Iakttagelser Bolaget har en rad styrdokument som knyter an till ämnesområdet betalningsrutiner. Enligt sammanträdesprotokoll från 2014-09-22, 25 tecknas firman förutom av styrelsen, av envar av ordföranden eller vice ordföranden i förening med VD. VD tecknar dessutom bolagets firma enligt 8 kap 36 aktiebolagslagen beträffande löpande förvaltningsåtgärder. Rutin avseende attesträtt beslutades av styrelsen 2014-09-22, 31. Enligt rutinen har VD beslutsattesträtt för leverantörsfakturor, bokföringstransaktioner mm. För att den dagliga administrationen ska fungera beslutar styrelsen samtidigt att utse ersättare för VD. Ersättarna för respektive område är specificerade i sammanträdesprotokollet. Bolaget har en åtgärdsplan daterad 2015-04-13. Åtgärdsplanen redogör för arbetsgången vid upptäckta fel, beslut om reparationer, vid behov att beställa utrustning/reparationer över 1000 kr, beställning av material/arbete samt mottagande av faktura. Rutinen anger att vid behov att beställa utrustning/reparation mm över 1 000 kr ska detta förankras med platschef eller VD. Vid beställningar av material/arbete under 1 000 kr ska beställaren notera beställningsdatum, företag, pris mm i loggboken. Signerad följesedel ska lämnas till platschef. Platschef ska granska och signera faktura. Fakturan skickas sedan vidare till VD för attest. Instruktion avseende ansvarsområden inom bolaget finns. Instruktionen anger bolagets olika ansvarsområden och vem/vilka ur personalen som är ansvariga för respektive område. Det gäller exempelvis ansvarig för beställning av städmaterial, inköp av förbrukningsmaterial, löner och andra ersättningar samt investeringar. Bolaget har en upprättad VD-instruktion som antogs av styrelsen 2016-05-23, 16. Instruktionen anger att VDs arbetsuppgifter bl.a. avser att handha bolagets löpande förvalt- Maj 2017 8 av 9
ning, ingå avtal för den löpande driften för högst 400 tkr, förhandla och besluta om personalens löner, reseersättningar, tjänstledigheter och semestrar mm, att upprätta förslag till budget och verksamhetsplan och besluta om budgeterade investeringar upp till 150 tkr. 3.6.2. Bedömning Vi bedömer att processerna i allt väsentligt är tillräckligt dokumenterade. Det baserar vi på att styrelsen beslutat om VD-instruktion, utsett attestanter, beslutat om ersättare för vid frånvaro av VD samt fastställt arbetsgången vid akuta händelser. 2017-05-29 Jörn Wahlroth Uppdragsledare Caroline Liljebjörn Projektledare Maj 2017 9 av 9