TJÄNSTEUTLÅTANDE Ekonomiavdelningen Dnr KS/2018:545-003 2018-11-14 1/2 Handläggare Fredrik Lindell 0152-29179 Revidering av riktlinjer för internkontroll Förslag till beslut Kommunstyrelsen beslutar att 1. godkänna förslaget Revidering av riktlinjer för internkontroll 2018-11-14. Beskrivning av ärendet Kommunstyrelsen har enligt kommunallagen skyldighet att se till att den interna kontrollen är tillräcklig samt att verksamheten bedrivs på ett i övrigt tillfredsställande sätt. Syftet med internkontrollen är att bidra till att ändamålsenligheten i verksamheten stärks och att verksamheten bedrivs effektivt och säkert. Revideringen av riktlinjer för internkontroll har fått följande ändringar: Begreppet Kommunchef ändras till Kommundirektör. Att kontorschefer ska arbeta fram anvisningar och regler för internkontroll tas bort, kommunen har gemensamma riktlinjer för internkontroll. Tydliggörande att internkontrollen kopplas till nämndens verksamhetsplanering. Att krav på beslut om internkontrollplanen ska ske innan utgången av innevarande år tas bort. Ersätts med att internkontrollplanen ska beslutas av respektive nämnd i samband med beslut om nämndens verksamhetsplan. Att en större genomgång av internkontrollpunkter ska ske vartannat år för att skapa långsiktighet tas bort. Ersätts med att kopplingen till verksamhetsplanen är treårig. Risk- och väsentlighetsbedömningen ska finnas med som bilaga till nämndens verksamhetsplan. Avvikelser som finns under första halvåret åtgärdas och kontrolleras igen under andra halvåret tas bort och ersätts med att kvarvarande avvikelser från föregående år kan med fördel finnas kvar som internkontrollpunkter under det följande året. Rapportering av internkontroll sker i samband med den andra delårsrapporteringen samt vid helårsrapporteringen. Mindre rättningar. Strängnäs kommun Nygatan 10 645 80 Strängnäs Tel 0152-291 00 Fax 0152-290 00 www.strangnas.se Bankgiro 621-6907
2/2 Ekonomiska konsekvenser för kommunen Beslutet medför inga ekonomiska konsekvenser för kommunen. Övriga konsekvenser Beslutet medför inga övriga konsekvenser. Uppföljning Uppföljning sker i första hand i nätverket för internkontroll i Strängnäs kommun. Beslutsunderlag, Revidering av riktlinjer för internkontroll, 2018-11-14. Beslutet skickas till Barn- och utbildningsnämnden Kulturnämnden Miljö- och samhällsbyggnadsnämnden Socialnämnden Teknik- och fritidsnämnden Revisionen Per Malmquist Ekonomichef Fredrik Lindell Verksamhetscontroller
1/9 Beslutad: Myndighet: Diarienummer: Ersätter: Gäller för: Gäller fr o m: 2019-01-01 Gäller t o m: Dokumentansvarig: Uppföljning: åååå-mm-dd xx Kommunstyrelsen KS/2018:545 KS/2016:648-003 Alla nämnder och förvaltningen Tills vidare Ekonomichef Vid behov Riktlinjer för internkontroll Syftet med internkontrollen är att säkra en effektiv förvaltning och att förvaltningen ständigt förbättras. Vidare är syftet att säkerställa att de politiskt beslutade målen uppfylls samt att verksamhetens processer fungerar tillförlitligt. En god intern kontroll förutsätter att politisk ledning, chefer och övriga anställda samverkar. Syfte 1 Riktlinjerna syftar till att säkerställa att förvaltning och politik samverkar för att med en rimlig grad av säkerhet säkerställa att följande mål med den interna kontrollen uppnås: Ändamålsenlig och kostnadseffektiv verksamhet Tillförlitlig finansiell rapportering och information om verksamheten Efterlevnad av tillämpliga lagar, föreskrifter, riktlinjer m.m. Säkra tillgångar och hindra förluster Eliminera och synliggöra avvikelser genom ständig förbättring Begreppet rimlig grad av säkerhet innebär att kommunstyrelsen och nämnderna vid utformningen av rutiner ska göra en avvägning mellan resursåtgång och nytta. Vid bedömning av nytta ska inte endast ekonomiska faktorer vägas in, utan även vikten av att upprätthålla förtroendet för verksamheten hos olika intressenter. Målet ändamålsenlig och kostnadseffektiv verksamhet innebär bland annat att säkerställa att fattade beslut verkställs och följs upp i förhållande till kommunens vision och mål samt att ha kontroll över ekonomi, prestationer och kvalitet. Målet tillförlitlig finansiell rapportering och information om verksamheten innebär att kommunstyrelsen och nämnderna samt verksamhetschefer ska ha
tillgång till rättvisande räkenskaper. Därutöver ingår en ändamålsenlig och tillförlitlig redovisning av verksamhetens prestationer avseende kvantitet och kvalitet samt övrig relevant information om verksamheten och dess resursanvändning. Målet efterlevnad av tillämpliga lagar, föreskrifter, riktlinjer mm innefattar lagstiftning såväl som kommunens interna regelverk samt ingångna avtal med olika parter. Målet säkra tillgångar och hindra förluster innebär att det är särskilt viktigt att kontrollrutinerna är tillräckliga kring de processer där pengar (kontanter eller värdepapper) samt andra stöldbegärliga tillgångar hanteras. Målet eliminera och synliggöra avvikelser genom ständig förbättring innebär att kommunens personal måste ha tillräcklig kunskap om verksamheten och internkontrollen måste uppfattas som en naturlig del av verksamhetsprocesserna. Modell för internkontroll 2 Internkontrollen är ett verktyg för såväl förtroendevalda som förvaltning. Det gäller att skapa en kultur där samtliga är förtrogna med vilka spelregler som gäller för de kommunala verksamheterna. Oavsett arbetssätt ska arbetet syfta till ständig förbättring genom att föregripa och undanröja eventuella risker samt skapa en beredskap för oväntade händelser. En viktig förutsättning för en effektiv internkontroll är information och kommunikation mellan politiker, anställda, verksamheter och olika organisatoriska nivåer. Ledningen på olika nivåer har ansvar för att säkerställa att den information som krävs för att styra, följa upp och rapportera erhålls. Genom en aktiv kontroll kan kommunen ständigt utvärdera internkontrollsystemet för att säkerställa att detta fungerar på avsett sätt. Kontrollen ska resultera i förslag till förbättringar i syfte att stärka styrningen och den interna kontrollen. Kontrollen sker med hjälp av fastställda internkontrollplaner och uppföljningen av dessa. Det som bör styra internkontrollen är att identifiera risker: för att vi inte ska nå målen, om vi inte följer lagar och avtal, om vi inte följer framtagna strategier etc. Dessa risker ska sedan ligga till grund vid risk- och väsentlighetsanalysen. 2/9
3/9 Bild 1 Alla verksamheter bör aktivt genomföra kontrollaktiviteter. Med det menas konkreta åtgärder som vidtas för att motverka, minimera eller helst eliminera de risker som finns. Det kan även handla om att säkerställa beredskap för att kunna hantera eller reagera på situationer som uppstår till följd av att olika händelser inträffar. Kontrollaktiviteterna ska integreras i de ordinarie verksamhetsprocesserna. Organisation av internkontrollen Kommunstyrelsen 3 Kommunstyrelsens övergripande ansvar för att verka för en god internkontroll fastställs i enlighet med 6 kap. 1-4. Kommunstyrelsen har ansvar för att utforma en övergripande organisation för internkontrollen. Kommunstyrelsens ansvar innefattar även att leda och samordna förvaltningen av kommunens angelägenheter samt att ha uppsikt över övriga nämnders verksamhet. Denna uppsikt innebär en rätt att göra påpekanden, lämna råd och anvisningar samt, om det är nödvändigt, lämna förslag till fullmäktige om förändringar. En annan viktig uppgift är att ta initiativ till, utveckla och formulera kommunövergripande anvisningar kring internkontroll. Det kan gälla såväl anvisningar för själva kontrollarbetet som regler och anvisningar för olika rutiner, exempelvis i frågor om attest, uppföljning och lönerapportering. Kommunstyrelsen kan fastställa obligatoriska granskningsområden för övriga nämnder.
4/9 Kommunstyrelsen och nämnderna 4 Kommunstyrelsens och nämndernas ansvar för den interna kontrollen anges i 6 kap. 6 kommunallagen. Det är alltid kommunstyrelsen eller respektive nämnd som har det yttersta ansvaret för att utforma en god internkontroll inom sitt ansvarsområde. I detta ansvar ligger att, utifrån principerna för internkontrollen i kommunen, vid behov utfärda regler och anvisningar för den egna internkontrollens organisation, utformning och funktion. Det är viktigt att detta dokumenteras och antas av kommunstyrelsen eller nämnderna. Kommunstyrelsen och nämnderna ska ha minst en fastställd rutin för hur planering och rapportering av internkontrollarbetet ska gå till samt information till anställda om vad internkontroll innebär. Kommundirektören 5 Kommundirektören svarar för att minst årligen skriftligen rapportera till kommunstyrelsen och ge en samlad bedömning om hur internkontrollen fungerar inom kommunen. I kommundirektörens ansvar ryms att ta initiativ till förändringar och åstadkomma de rutiner och anvisningar som behövs för att kommunen ska kunna upprätthålla en god internkontroll. Kommundirektören kan uppdra till någon/några andra inom organisationen att konkret utforma förslag till rutiner och anvisningar. Allvarligare brott mot den interna kontrollen rapporteras omedelbart till kommunstyrelsen. Kontorschefer 6 Kontorschefen svarar för att minst årligen skriftligt rapportera till ansvarig nämnd och ge en samlad bedömning om hur internkontrollen fungerar inom kontorschefens ansvarsområde. Allvarligare brott mot den interna kontrollen rapporteras omedelbart till kommundirektören och ansvarig nämnd. Verksamhetsansvariga och anställda 7 Med verksamhetsansvarig avses chefer på olika nivåer i organisationen. Avsikten med internkontrollen är att eventuella tveksamheter eller direkta avvikelser ska kunna förhindras eller stoppas. Alla anställda har en skyldighet att omedelbart rapportera avvikelser och brister i det interna kontrollsystemet till den närmast överordnade som i sin tur också är skyldig att rapportera vidare uppåt i organisationen. Syftet med den omedelbara rapporteringen är att man inom förvaltningen omgående ska kunna vidta åtgärder för att komma tillrätta med de avvikelser som har uppmärksammats.
5/9 Uppföljning av internkontrollen Styrning och uppföljning 8 Kommunstyrelsen och nämnderna ska inom sin organisation tydliggöra ansvaret för internkontrollen och innebörden av denna. Kommunstyrelsen och nämnderna ska också planera och prioritera arbetet med utveckling av rutiner för att stärka internkontrollen. En risk- och väsentlighetsanalys ska alltid utgöra grunden för planering, prioritering och uppföljning av internkontrollarbetet. Internkontrollplaner 9 Inför varje verksamhetsår ska kommunstyrelsen och nämnderna besluta om en plan för uppföljning av internkontrollen. Olika granskningsområden bör väljas ut med utgångspunkt från en risk- och väsentlighetsbedömning som i sin tur är kopplade till verksamhetsplanens mål alternativt andra styrande dokument. Fastställande av internkontrollplan Internkontrollplanen för nästkommande år ska beslutas av respektive nämnd i samband med nästkommande års verksamhetsplan. Upprättande av internkontrollplan Förvaltning och förtroendevalda arbetar tillsammans fram underlaget för internkontrollplanen. Interkontrollplanen är en del av verksamhetsplanen där kontrollerna kopplas till verksamhetsplanens mål alternativt andra styrande dokument som kan kopplas till målen. Internkontrollplanen ligger till grund för hur det praktiska internkontrollarbetet ska bedrivas. En risk- och väsentlighetsbedömning ska ligga till grund för vilka rutiner/processer som ska tas med i planen. Tillsammans med denna utformas även kontrollmomenten. Bedömningen ska finnas med som bilaga till verksamhetsplanen. En kort sammanfattning av internkontrollpunkten för dokumenteras i anslutning till nämndmålet. Risk- och väsentlighetsanalys Vid bedömning av vilka rutiner, processer och system som ska ingå i den interna kontrollplanen under perioden används matrisen (bild 2) som ett hjälpmedel. Sannolikhet (risk) anger hur sannolikt det är att det finns eller kommer att uppstå brister i rutinen/processen. Konsekvens (väsentlighet) innebär hur mycket verksamhetens kvalitet, kostnad, förtroende eller resurser i övrigt påverkas om brister i rutinen/processen finns eller uppstår.
6/9 Bedömning av rutiner/processer Sannolikheten (risken) och konsekvensen (väsentlighet) multipliceras med varandra enligt graderingen nedan. Rutinernas/processernas placering i matrisen ger då en vägledning om vilka som ska tas med i den interna kontrollplanen. Matrisen är uppbyggd enligt nedanstående gradering: Sannolikhet (risk) 1. Ingen risk: Risken är praktiskt taget obefintlig för att avvikelser ska uppstå. 2. Låg risk: Risken är mycket liten för att avvikelser ska uppstå. 3. Medel risk: Det finns en risk för att avvikelser ska uppstå. 4. Hög risk: Det är mycket troligt att avvikelser ska uppstå. Konsekvens (väsentlighet) 1. Inga konsekvenser: Är obetydlig för de olika intressenterna och kommunen. 2. Lindriga konsekvenser: Uppfattas som liten av såväl intressenter som kommunen. 3. Kännbara konsekvenser: Uppfattas som besvärande för intressenter och kommunen. 4. Allvarliga konsekvenser: Är så stor att avvikelser helt enkelt inte får inträffa. Matris, risk- och väsentlighetsbedömning Bild 2 Konsekvens (väsentlighet) allvarliga konsekvenser kännbara konsekvenser lindriga konsekvenser inga konsekvenser 4 8 12 16 3 6 9 12 2 4 6 8 1 2 3 4 ingen risk låg risk medel risk hög risk Sannolikhet (risk)
7/9 Bedömningen ska göras enligt nedanstående tabell: Tabell, risk- och väsentlighetsbedömning Grön (1-3) Inget agerande krävs. Riskerna accepteras. Gul (4-8) Rutinen/processen bör hållas under uppsikt. Eventuellt delar vi riskerna med en annan part. Orange (9-12) Rutinen/processen bör tas med i internkontrollplan. Eventuellt behövs nya regelverk och/eller utbildning av personalen. Vi reducerar riskerna. Röd (16) Direkt åtgärd krävs. Minimering av riskerna eftersträvas. Processer/rutiner som hamnar i det orange och röda fältet i matrisen ska med in i internkontrollplanen. Det är med största sannolikhet så att den/de processer/rutiner som hamnar i det röda fältet behöver åtgärdas direkt. Men processen/rutinen bör ändå inkluderas i internkontrollplanen för att kontrollera att åtgärderna fungerar. Dokumentera vilka processer/rutiner som hamnade i kategorin bör hållas under uppsikt. Dessa kan vara aktuella för nästa års riskoch väsentlighetsanalys. Dokumentera även motiven till valda processer/rutiner. Brister och avvikelser från aktuell internkontrollplan tas med i nästa års kontrollplan för att säkerställa att avvikelsen åtgärdats. Vad är väsentligt att ta med i internkontrollplanen? Det enklaste sättet är att ställa sig frågorna: Vilka risker finns att vi inte når målen? Vad kan hända om vi inte följer strategier, policys och riktlinjer? Vad kan hända om vi inte följer lagar och avtal? Ett annat sätt är att utifrån ett antal grundkomponenter få fram relevanta processer/rutiner. Dessa komponenter kan vara: Nyheter i organisationen; arbetssätt, rutiner, IT-system med mera Revisionens granskningar Tillsynsmyndighetens granskningar Tidigare och egna erfarenheter av brister i verksamheter/systemen Omvärldsfaktorer Reglementen, policydokument, regler etcetera Aktuella rutinbeskrivningar Internkontrollplaner från tidigare år Det praktiska kontrollarbetet Kontrollansvariga kan vara personer inom det egna kontoret, men de bör inte vara direkt involverade i arbetet med den rutin/process som ska kontrolleras. Ett alternativ för att undvika detta är att engagera personer från annan enhet eller kontor för att utföra kontrollen. Den som kontrollerar ska ha rätt kompetens och tillgång till relevanta uppgifter om det som ska kontrolleras. För att underlätta och effektivisera arbetet bör den kontrollansvarige ha en dialog med system- /rutinansvarig. Det är viktigt att man inte kontrollerar sig själv eller sina egna processer.
8/9 Det praktiska kontrollarbetet kan sammanfattas i följande moment: Utreda; efter en nödvändig avgränsning samla in relevant material och/eller genomföra intervjuer. Verifiera; kontrollera att dokumentation och övrig beskrivning överensstämmer med verkligheten. Bedöma om utredning och verifiering ger svar på om rutinen hanteras korrekt och om hanteringen är tillförlitlig så att medvetna och omedvetna avvikelser undviks. Frekvens Kontroller ska ske två gånger årligen, en efter första halvåret och en efter andra halvåret. De eventuella avvikelser som finns under första halvåret åtgärdas och kontrolleras igen under andra halvåret. Eventuellt kvarvarande avvikelser från föregående år kan med fördel finnas kvar som internkontrollpunkter under det följande året. Frekvensen gäller för samtliga nämnder. Det är alltid ansvarig chef som ansvarar för att åtgärda avvikelser. Uppföljning av internkontrollplanen 10 Genomförd uppföljning rapporteras till kommunstyrelsen eller nämnderna oavsett utfall. Vid upptäckta brister bör även förslag lämnas på åtgärder för att förbättra processen. Rapporteringen sker i uppföljningen av verksamhetsplanens delår 2 samt vid helårsrapporten för nämnden. Frekvens och utformning av rapporteringen ska följa den antagna internkontrollplanen. Valda aktiviteter och rutiner ska bedömas utifrån sin väsentlighet för verksamheten samt vilken risk en avvikande hantering innebär för kommunen. En sammanställning på genomfört uppföljningsarbete ska lämnas till kommunstyrelsen och respektive nämnd i samband med delårsrapporten och årsredovisningen. Kommunstyrelsen ska ha uppsikt gentemot övriga nämnder. Ansvarig för kommunstyrelsens internkontroll sammanställer nämndernas internkontrollrapportering efter första halvåret samt efter helåret. Rapportskyldighet 11 Nämnderna, eller den kommunstyrelsen särskilt utser, fastställer senast vid utfärdande av bokslutsanvisningarna när internkontrollens delårsrapport och årsrapport senast ska avlämnas. Rapporten ska innehålla omfattning av utförd uppföljning, utfallet och eventuellt vidtagna åtgärder. Allvarligare brott mot eller brister i internkontrollen ska omedelbart rapporteras till kommunstyrelsen.
9/9 Kommunstyrelsens skyldigheter 12 Kommunstyrelsen ska, med utgångspunkt från nämndernas rapporter och den egna uppföljningen inom styrelsens verksamhetsområde, utvärdera kommunens samlade system för internkontroll. Som ansvarig för kommunens löpande ägarstyrning är det naturligt att information inhämtas om hur internkontrollen fungerar i de kommunala bolagen. Det utförs i samband med helårskontrollen. Det är också viktigt att denna utvärdering leder till att åtgärder för förbättringar vidtas. Kommunens revisorer bör här, liksom vid liknande diskussioner i nämnderna, vara lämpliga samtalspartners. Allvarligare brott mot eller brister i den interna kontrollen ska omedelbart rapporteras till kommunfullmäktige, med förslag till åtgärder.