Internrevisionsrapport 2018

1 UFV 2018/863 Internrevisionsrapport 2018 Fastställd av Konsistoriet 2018-12-14

Innehållsförteckning 1 Sammanfattning... 3 2 Bakgrund... 4 3 Syfte samt revisionsfrågor... 4 3.1 Granskningens genomförande... 5 4 Sammanfattande svar på revisionsfrågor... 5 4.1 Finns en samlad information om oegentligheter, vad de är och hur de hanteras i olika avseenden vid universitetet?... 5 4.1.1 Iakttagelser... 5 4.1.2 Bedömning... 6 4.2 Stödjer universitetets riskhanteringsprocess arbetet med att systematiskt motverka oegentligheter?... 6 4.2.1 Iakttagelser... 7 4.2.2 Bedömning... 7 4.3 Hur rapporteras oegentligheter och vilka åtgärder vidtas när de uppstår?... 8 4.3.1 Iakttagelser... 8 4.3.2 Bedömning... 9 5 Slutsatser och rekommendationer... 9 5.1 Rekommendationer... 10 2

1 Sammanfattning Internrevisionen har i enlighet med revisionsplanen för 2018 granskat hur universitetet arbetar med att förebygga, upptäcka och förhindra olika former av oegentligheter. Internrevisionens sammanfattande bedömning är att arbetet med oegentligheter inom universitetet bör förbättras och därmed stärka den interna styrningen och kontrollen avseende oegentligheter. Internrevisionens bedömning grundar sig främst på följande faktorer som alla kan leda till risk för oegentligheter: Någon samlad information om vad oegentligheter är och hur dessa ska hanteras finns inte vid universitetet vilket innebär en risk för otydligheter. En tydlighet i om hur medarbetare förväntas agera samt konsekvenser av att frångå ett sådant handlande är en viktig del av det förebyggande arbetet mot oegentligheter. För att intern styrning och kontroll relaterat till oegentligheter ska vara effektiv behöver arbetet ske systematiskt och samordnat. Det saknas systematiska riskanalyser avseende oegentligheter. har inte tagits upp som ett särskilt riskområde i någon av de genomförda riskanalyserna. Det saknas en formaliserad process för hur misstänkta oegentligheter ska utredas och dokumenteras. Det saknas även rutiner för vem som ska göra vad vid misstanke om oegentligheter, rapporteringsvägar, ansvar och roller osv. Internrevisionens rekommendationer till universitetsledningen är följande: att ta fram samlad information inom området oegentligheter samt att kontinuerligt arbeta med att sprida den statliga värdegrunden. att regelmässigt analysera och bedöma risken för oegentligheter inom ramen för universitetets riskanalysarbeten på alla nivåer i syfte att säkerställa att risken hanteras systematiskt. att ta fram rutiner som tydliggör hur medarbetare och chefer ska agera vid ett misstänkt oegentlighetsärende. Det ska vara tydligt vem som gör vad vid misstanke om oegentligheter, dvs roller och ansvar. 3

2 Bakgrund Det finns i dag ett ökat fokus på oegentligheter som bl.a beror på de skandaler som de senaste åren uppdagats i den offentliga sektorn. Som ett resultat av detta har bl.a statskontoret fått i uppdrag att bilda ett korruptionsnätverk för statliga myndigheter. En förändring har också genomförts i förordningen om intern styrning och kontroll (FISK) med fokus på bl.a oegentligheter. I förordningens 2 finns nu följande text, processen för intern styrning och kontroll ska även förebygga att verksamheten utsätts för korruption, otillbörlig påverkan, bedrägeri och andra oegentligheter. Förändringen träder i kraft den 1 januari 2019. är ett samlingsbegrepp för många olika typer av bedrägligt beteende som exempelvis stölder, korruption och otillbörligt gynnande. Riskerna för oegentligheter kopplas ofta samman med situationer där pengar hanteras, men inom ett universitet kan även processer för antagning, examination och anställningar medföra risk för oegentligheter. Då oegentligheter nästan alltid innebär en förtroendeskada, kan även incidenter med relativt små ekonomiska konsekvenser få stor inverkan på universitetets rykte. Inte minst om det visar sig att oegentligheter har kunnat pågå på grund av att beredskap och rutiner varit bristfälliga. Genom att vidta konstruktiva och förebyggande åtgärder mot oegentligheter kan dessa och deras negativa konsekvenser motverkas. Enligt föreskrifter till förordningen om intern styrning och kontroll (2007:603) ska myndigheter bl.a vidta åtgärder om man bedömer att verksamheten kan utsättas för otillbörlig påverkan, bedrägerier eller annan oegentlighet. 1 Eventuella misstankar om oegentligheter ska också hanteras rättssäkert, skyndsamt, enhetligt och med god kvalitet. Ekonomistyrningsverket har (ESV) har tagit fram en vägledning avseende oegentligheter och intern styrning och kontroll. 2 Vägledningen syftar till att ge myndigheter ett stöd i sitt arbete och beskriver de föreskrifter och rutiner som varje myndighet bör ha på plats för att förebygga och upptäcka oegentligheter. I vägledningen betonas att myndigheten i förväg bör ha tagit ställning till hur incidenter kopplade till oegentligheter ska hanteras. 3 Syfte samt revisionsfrågor Syftet med granskningen är att bedöma hur universitetet arbetar för att förebygga och upptäcka oegentligheter i verksamheten. Hur säkerställer universitetet att den interna kontrollen till skydd mot oegentligheter är tillräcklig? Granskningen omfattar även frågan om vilka rutiner och processer som finns för att utreda misstänkta oegentligheter samt hur information inom området når ut i verksamheten. För att uppnå syftet med granskningen har följande frågor belysts: Finns en samlad information om oegentligheter, vad de är och hur de hanteras i olika avseenden vid universitetet? 1 ESV:s allmänna råd till 3. EA-boken 2018 s. 42. 2 Vägledning och intern styrning och kontroll. ESV 2016:24. 4

Stödjer universitetets riskhanteringsprocess arbetet med att systematiskt motverka oegentligheter? Hur rapporteras oegentligheter och vilka åtgärder vidtas när de upptäcks? 3.1 Granskningens genomförande Granskningen har genomförts genom intervjuer med chefer och medarbetare vid universitetsförvaltningen. 3 Styrande, och andra för granskningen relevanta, dokument har också studerats och granskats. Att observera är att oredlighetsfrågor (forskningsfusk) och examinationsfusk inte berörs i denna granskning. Universitetet har idag etablerade och tydliga rutiner, både vad avser oredlighet och fusk vid examination. 4 Sammanfattande svar på revisionsfrågor 4.1 Finns en samlad information om oegentligheter, vad de är och hur de hanteras i olika avseenden vid universitetet? En förutsättning för att motverka och förebygga oegentligheter är att det inom universitetet finns en medvetenhet om risken för oegentligheter och att detta är något som universitetet vill motverka och förhindra. 4.1.1 Iakttagelser är ett samlingsbegrepp för oönskade beteenden eller tillvägagångssätt som får konsekvenser för verksamheten ekonomiskt eller anseendemässigt. Begreppet blandas ibland också ihop med begreppet oredlighet som vanligen avser forskningsfusk. Information kring oegentligheter och vilka regelverk och riktlinjer som begreppet omfattar är exempel på preventiva åtgärder för att motverka oegentligheter. Några särskilda riktlinjer eller samlad information riktad mot oegentligheter finns inte vid universitetet. Det finns dock riktlinjer som kan sorteras in under begreppet oegentligheter, exempelvis finns en riktlinje mot mutor. Därutöver finns det också inslag i andra riktlinjer som syftar till att förebygga eller förhindra oegentligheter. Exempel på riktlinjer med sådana inslag är riktlinjer för tjänsteresor och möten, riktlinjer för upphandling, riktlinjer för sponsring och riktlinjer för bisysslor där också jävsfrågor lyfts. Juridiska avdelningen ansvarar för en del av chefsutbildningen och i deras utbildning behandlas mutor, jäv och andra typer av oegentligheter. Dessutom ger både HRavdelningen och juridiska avdelningen information som berör oegentligheter vid prefektmöten och institutionsbesök. Viss information ges, i olika omfattning, också vid 3 De avdelningschefer som intervjuats är cheferna för Juridiska avdelningen, HR-avdelningen, Avdelningen för ekonomi och upphandling, Studentavdelningen, Byggnadsavdelningen, Säkerhetsavdelningen, IT-avdelningen, cheferna för samtliga tre områdeskanslier, enhetschefen för upphandlingsenheten, Arbetsrättsjurist från HRavdelningen och två medarbetare från Planeringsavdelningen som arbetar med intern styrning och kontroll. 5

de olika enheterna inom förvaltningen, exempelvis ingår delar av oegentlighetsbegreppet i Studentavdelningens interna handläggarutbildning. Andra faktorer som verkar förebyggande är myndighetens interna kultur som bl.a innefattar hur man som medarbetare ska förhålla sig till sin arbetsgivare och hur man förhåller sig då det begås fel i verksamheten. Som anställd vid Uppsala universitet har man att förhålla sig till den statliga värdegrunden. I denna behandlas exempelvis frågor om mutor, jäv och bisysslor. Om den statliga värdegrunden är känd och implementerad bland medarbetarna så kan det påverka den interna kulturen och fungera förebyggande mot oegentligheter. Uppsala universitet har tillsammans med Lunds och Göteborgs universitet utvecklat en webbaserad kurs om rollen som statstjänsteman vid universitet och högskola. Kursen är tänkt att vara en del av universitetets introduktionsutbildning för nyanställda men är tillgänglig för alla anställda att ta del av via universitets hemsida. På universitetets Medarbetarportal poängteras att; värdegrundsarbetet ska genomsyra hela organisationen och finnas med i chefsutbildningar, i diskussioner med medarbetare, utvecklingssamtal och lönesättande samtal och på personalmöten över hela universitetet. 4.1.2 Bedömning Det finns idag inte någon samlad information inom universitetet om vad oegentligheter är och hur dessa ska hanteras på universitetet. Internrevisionen gör bedömningen att en samlad information om oegentligheter till alla medarbetare är väsentligt i det förebyggande arbetet mot oegentligheter. Målet är att säkerställa att den statliga värdegrunden liksom kunskap om oegentligheter och hur dessa ska hanteras är ordentligt förankrad i organisationen och implementerad bland medarbetarna. Det bör samtidigt poängteras att varje medarbetare har ett ansvar att känna till samt informera sig om lagar och förordningar som berör arbetet. För att underlätta för medarbetare att ta detta ansvar är det dock viktigt att det finns tillgänglig information, adekvata utbildningar och annat stöd. 4.2 Stödjer universitetets riskhanteringsprocess arbetet med att systematiskt motverka oegentligheter? Av 3 myndighetsförordningen framgår att Myndighetens ledning ansvarar inför regeringen för verksamheten och skall se till att den bedrivs effektivt och enligt gällande rätt och de förpliktelser som följer av Sveriges medlemskap av Europeiska unionen, att den redovisas på ett tillförlitligt och rättvisande sätt samt att myndigheten hushållar väl med statens medel Det framgår också av 4 punkt 4 i myndighetsförordningen att ledningen ska säkerställa att det vid myndigheten finns en intern styrning och kontroll som fungerar på ett betryggande sätt 4. Universitetet omfattas av förordningen om intern styrning och kontroll (FISK). Det innebär att universitetet ska ha ett strukturerat arbetssätt för att säkerställa en betryggande intern styrning och kontroll. Det innebär bland annat att det ska finnas en riskanalys, kontrollåtgärder samt uppföljning och dokumentation av arbetet. 4 Myndighetsförordning (2007:515). 6

Riskanalysen ska omfatta all verksamhet inom myndigheten. Vad gäller oegentligheter ska myndigheten, om den bedömer att verksamheten kan komma att utsättas för otillbörlig påverkan, bedrägerier eller annan oegentlighet, vidta åtgärder för att hantera sådana omständigheter. Ekonomistyrningsverket beskriver i sin handledning för hantering av oegentligheter bland annat vikten av att risken för oegentligheter alltid riskbedöms i myndigheternas riskanalyser. De områden inom myndigheten där riskerna för oegentligheter bedöms som störst ska identifieras och kontroller eller andra åtgärder sättas in. 5 4.2.1 Iakttagelser De intervjuer som internrevisionen genomfört med avdelningschefer vid förvaltningen visar generellt sett på en låg medvetenhet om oegentlighetsrisker. I de riskanalyser som görs enligt förordningen om intern styrning och kontroll (FISK) finns inte någon anvisning som anger att oegentligheter eller något annat riskområde alltid ska ingå. har inte tagits upp som ett specifikt riskområde i någon av de genomförda riskanalyserna. Riskbedömningar förekommer däremot av enskilda projekt för vissa delar av oegentlighetsbegreppet vid exempelvis Byggnadsavdelningen, ITavdelningen, Säkerhetsavdelningen samt Upphandlingsenheten. Exempel på kontroller som kan bidra att oegentligheter upptäcks finns bl.a i olika system som exempelvis Primula (lönesystemet) och i Raindance (ekonomisystemet). Granskning av reseräkningar är ett annat exempel på åtgärder som kan bidra till upptäckten av oegentligheter. Några specifika kontroller riktade mot upptäckt av oegentligheter görs inte. Idéer om sådana har dock funnits som exempelvis att via bolagsregistret se vilka anställda som har bolag eller finns med i bolag som har affärer med universitetet. Erfarenheter från såväl universitetet som andra organisationer visar att upptäckter av misstänkta oegentligheter ofta sker pga. att medarbetare ser konstigheter i sitt arbete och påtalar detta. Någon samlad dokumenterad rutin för hur en sådan upptäckt skall hanteras dvs till vem man som medarbetare eller chef ska rapportera till finns inte. Noteras kan också att det vid Uppsala universitet inte finns något system för visselblåsning. Frågan är dock under utredning och internrevisionen kommer att följa resultatet av denna utredning. 4.2.2 Bedömning Internrevisionens bedömning är att universitetets riskhanteringsprocess inte i tillräcklig grad stödjer arbetet med att systematiskt motverka oegentligheter då begreppet inte tas med i genomförda riskanalyser. Att ta med oegentligheter som ett obligatoriskt moment i de riskanalyser som genomförs skulle sätta frågan på dagordningen och stödja universitetet i att systematisk motverka oegentligheter. 5 Vägledning och intern styrning och kontroll. ESV 2016:24 7

4.3 Hur rapporteras oegentligheter och vilka åtgärder vidtas när de uppstår? 4.3.1 Iakttagelser När en misstänkt oegentlighet upptäcks hur ska den då rapporteras, dvs finns rutiner så att medarbetare och chefer vet vilka åtgärder som ska vidtas? Några allmänna rutiner för hantering av upptäckta oegentligheter finns inte, men i riktlinjerna mot mutor uppmanas medarbetarna att alltid rapportera missförhållanden, oegentligheter eller brott till sin närmaste chef eller till universitetets ledning, juridiska avdelningen, internrevisionen eller polis och åklagare. Intervjuerna som genomförts inom förvaltningen visar att det skiljer sig en del hur upptäckta fall rapporteras och hanteras. Den bild internrevisionen erhållit är dock att juridiska avdelningen oftast kopplas in för en bedömning och att även arbetsrättsjurist och universitetsdirektör i flera fall involveras. Avdelningscheferna har dock olika rutiner för hur dessa kontakter tas samt om de enbart är i syfte att informera eller om det är för att få stöd och hjälp med hanteringen. Intervjuerna indikerar också på att oegentligheter som upptäcks ute på institutionerna sannolikt hanteras på lite olika sätt. Mindre incidenter kan exempelvis hanteras direkt på institutionerna. Vid större ärenden är det framförallt kanslierna som är vägen in till förvaltningen för anmälningar. Men det förekommer också att juridiska avdelningen, säkerhetsavdelningen eller HR-avdelningen är de första som kontaktas när oegentligheter upptäckts på en institution. Att bedömningen av den misstänkta oegentligheten görs i ett strikt juridiskt perspektiv är viktigt ur ett rättssäkerhetsperspektiv. Lika viktigt är det att alla ärenden får en likvärdig behandling. Hanteringen idag är inte standardiserad och ärenden anmäls och hanteras via olika kanaler vilket bl.a medför att det inte finns något samlad bild av hur många oegentlighetsärenden universitetet har varje år. Noterbart är dock att såväl juridiska avdelningen som HR-avdelningen ger uttryck för att det är förvånansvärt få oegentlighetsärenden vid universitetet sett till antalet anställda. Borde det kanske vara fler fall som upptäcks varje år? Att universitetet tar ett oegentlighetsärende till personalansvarsnämnd (PAN) är ovanligt, vilket gäller för många andra lärosäten också. En översikt som internrevisionen genomfört av ett antal ärenden som förelagts personalansvarsnämnder vid ett antal universitet och högskolor är att dessa är relativt få. Noteras bör att ärenden som tas upp i personalansvarsnämnder är av varierande art dvs det är inte alla ärenden som kan klassas som oegentlighetsärenden. En anledning till att de är relativt få ärenden som kommer till personalansvarsnämnden kan vara att en lösning hittas innan man anser sig behöva ta det till personalansvarsnämnd. Universitetet har de senaste fem åren haft tre ärenden som förelagts personalansvarsnämnd. Inget av dessa har dock berört oegentligheter. 8

Det finns inte några fastslagna riktlinjer för vilka ärenden som ska tas till personalansvarsnämnd. I en av HR-avdelningen framtagen PM beskrivs dock utifrån lagstiftningen vilken typ av ärenden som nämnden ska hantera och i vilka situationer myndigheten är skyldig att hänskjuta ett ärende till nämnden, nämligen i de fall någon är skäligen misstänkt för att i sin anställning ha begått brott enligt 22 LOA. Det innehåller emellertid ingen anvisning för hur en anmälan ska gå till eller vilket ansvar olika befattningshavare har i processen. Dokumentet är inte heller en del av universitetets mål- och regelsamling. Förutom de konsekvenser ett oegentlighetsärende kan få utifrån ett rättsligt perspektiv för den enskilde så finns också ett signalvärde där konsekvensen och kännedomen om hur detta har hanterats påverkar alla medarbetare vid universitetet. Om flera ärenden drivs till personalansvarsnämnd signalerar det tydligt att så här blir konsekvenserna när en oegentlighet begås. Den andra vägen att försöka undvika att driva ärenden till personalansvarsnämnden och att lösa dessa innan, kan tyckas smidigt men ger ett mer begränsat signalvärde. Internrevisionen tar inte ställning i frågan om signalvärden men anser att frågan bör uppmärksammas. 4.3.2 Bedömning Någon samlad dokumenterad rutin för hur ett ärende ska hanteras efter det att ett misstänkt oegentlighetsärende upptäckts finns inte. Internrevisionens bedömning är att en sådan rutin är väsentlig. Syftet med en sådan rutin är att säkra en skyndsam, likvärdig och rättssäker handläggning av ärenden som rör oegentligheter och avgöra vilka åtgärder som bör vidtas. Rutinen ska även syfta till att stödja chefer och medarbetare så att det blir tydligt vem som gör vad vid misstanke om oegentligheter dvs roller och ansvar ska tydliggöras. 5 Slutsatser och rekommendationer Internrevisionen har granskat hur universitetet säkerställer processer för att förebygga och upptäcka oegentligheter i verksamheten. Granskningen har även omfattat frågan om vilka rutiner och processer som finns för anmälan, utredning och övrig hantering av misstänkta oegentligheter samt vilken information i ämnet som universitetet tillhandahåller för medarbetare och chefer. Granskningen har visat att det finns behov av förbättringar i universitetets systematiska arbete med att förebygga och hantera upptäckta oegentligheter, Någon samlad information om vad oegentligheter är och hur dessa ska hanteras finns inte vid universitetet vilket innebär en risk för otydligheter. En tydlighet i om hur medarbetare förväntas agera samt konsekvenser av att frångå ett sådant handlande är en viktig del av det förebyggande arbetet mot oegentligheter. För att intern styrning och kontroll relaterat till oegentligheter ska vara effektiv behöver arbetet ske systematiskt och samordnat. Det saknas vid universitetet systematiska riskanalyser avseende oegentligheter. har inte tagits upp som ett särskilt riskområde i någon av de genomförda riskanalyserna. 9

Det saknas en formaliserad process för hur misstänkta oegentligheter ska utredas och dokumenteras. Det saknas även rutiner för vem som ska göra vad vid misstanke om oegentligheter, rapporteringsvägar, ansvar och roller osv. 5.1 Rekommendationer Internrevisionen rekommenderar universitetsledningen, att ta fram samlad information inom området oegentligheter samt att kontinuerligt arbeta med att sprida den statliga värdegrunden. att regelmässigt analysera och bedöma risken för oegentligheter inom ramen för universitetets riskanalysarbeten på alla nivåer i syfte att säkerställa att risken hanteras systematiskt. att ta fram rutiner som tydliggör hur medarbetare och chefer ska agera vid ett misstänkt oegentlighetsärende. Det ska vara tydligt vem som gör vad vid misstanke om oegentligheter dvs roller och ansvar. 10