Återrapportering av internkontroll 2018 för kommunstyrelsen

Kommunstyrelsen 2019-02-13 1 (2) Kommunledningskontoret Ledningsstaben Ingrid Bergman 016-710 52 72 KSKF/2018:312 Kommunstyrelsen Återrapportering av internkontroll 2018 för kommunstyrelsen Förslag till beslut Återrapportering avseende internkontrollgranskning 2018 för kommunledningskontoret och konsult och uppdrag godkänns. Ärendebeskrivning Internkontrollgranskning har genomförts enligt fastställd internkontrollplan 2018 för kommunledningskontoret och konsult och uppdrag. Granskningen visar inga större avvikelser. Granskningsrapporter finns bilagda beslutet. Kommunledningskontoret Konsult och uppdrag Tommy Malm Kommundirektör Jörgen Axelsson Förvaltningschef Beslutshandlingar: Bilaga 1: Återrapportering internkontroll 2018 Kommunledningskontoret Bilaga 2: Slutrapport Intern styrning och kontroll Konsult och uppdrag 2018 Beslutet skickas till: Kommunstyrelsen, kommunledningskontoret, ledningsstaben Servicenämnden, serviceförvaltningen, förvaltningsledningen Vi gör Eskilstuna tillsammans

Eskilstuna kommun 2019-01-14 2 (2) Vi gör Eskilstuna tillsammans

Kommunledningskontoret 1 (7) 2019-02-13 Bilaga 1 Återrapportering internkontroll 2018 Kommunledningskontoret

2 (7) Innehåll 1 Sammanfattning...3 1.1 Kommunövergripande kontrollområden...3 2.1.1 F1 Kontroll av att personuppgiftsansvariga (nämnder och bolagsstyrelser) har säkerställt hanteringen av personuppgifter inom sitt ansvarsområde enligt den nya dataskyddsförordningen...3 2.1.2 F2 Kontroll av it- och informationssäkerhet i samband med anskaffning/upphandling och uppdrag till externa leverantörer...4 2.1.3 F3 Kontroll av hanteringen av statliga bidrag...4 2.1.4 F4 Kontroll av otillbörlig påverkan, mutor och jävssituationer...5 2.2 Kommunledningskontorets kontrollområden...6 2.2.1 Kontroll av efterlevnad av Attestreglemente och Tillämpningsanvisningar till attestreglemente - Ekonomi...6 2.2.2 Uppföljning av momshantering - Ekonomi...7 2.2.3 Uppföljning av internkontrollmoment gällande kontinuitetsplaner vid IT-avbrott IT...7

1 Sammanfattning 3 (7) Kontroller har gjorts på kommunkoncernövergripande nivå för de fyra granskningsområden som är beslutade av kommunfullmäktige, F1 F4. Kommunledningskontoret återrapporterar de delar som är relevanta för förvaltningen och som är kända vid tidpunkten för färdigställandet av denna rapport. De kommunövergripande kontrollmomenten utfördes sent under 2018 och slutsatserna och förbättringsförslagen är inte kommunledningskontoret tillhanda när denna återrapportering sker. De slutsatser och förslag på förbättringsåtgärder som framkommer vid återrapporteringen av de kommunkoncernövergripande kontrollmomenten kommer att integreras med det övriga utvecklings- och förbättringsarbetet på förvaltningen. Övriga tre kontrollmoment som granskats har tagits fram av kommunledningskontoret, ett i samråd med konsult och uppdrag. Dessa tre kontrollmoment har granskats utan väsentliga anmärkningar. 1.1 Kommunövergripande kontrollområden 2.1.1 F1 Kontroll av att personuppgiftsansvariga (nämnder och bolagsstyrelser) har säkerställt hanteringen av personuppgifter inom sitt ansvarsområde enligt den nya dataskyddsförordningen enligt fullmäktigebeslut Dataskyddsförordningen ersätter personuppgiftslagen och innebär att nämnder och bolagsstyrelser behöver se över befintliga arbetssätt och rutiner utifrån den nya förordningen. Kontrollen genomförs i november-december 2018 för att ge respektive nämnd och bolagsstyrelse möjlighet att arbeta in arbetssätt och rutiner. Kontrollen följer upp säkerställandet av hanteringen av personuppgifter. Ansvaret för att hålla ihop arbetet med kontrollmomentet är kommunstrateg informationssäkerhet på kommunledningskontoret. Kontrollmetod et som genomförts på kommunkoncernövergripande nivå har bestått av tre delar. Undersökning av vilka faktiska diarieförda handlingar som finns inom respektive nämnd och styrelse Intervju med respektive kontaktansvarig för att få en statusuppdatering av dataskyddsarbetet inom nämnden Enkät för att undersöka hur övriga medarbetare upplever dataskyddskyddsarbetet. Genomförd kontroll på kommunledningskontoret För kommunstyrelsens del är första punkten uppfylld, faktiska diarieförda handlingar är kompletta. För andra punkten har kommunstyrelsen i likhet med övriga nämnder och styrelser en del kvar att säkerställa vad gäller roller, rutiner och ansvar. Vad avser den tredje punkten hävdar sig kommunstyrelsen väl vad gäller kunskaperna kring dataskyddsarbetet bland medarbetarna. Årets granskning föranleder ingen åtgärd. När åtgärdsförslag kommer på kommunkoncernövergripande nivå kommer kommunledningskontoret att ta ställning till och prioritera och hantera de specifika åtgärdsförslagen.

2.1.2 F2 Kontroll av it- och informationssäkerhet i samband med anskaffning/upphandling och uppdrag till externa leverantörer 4 (7) enligt fullmäktigebeslut I samband med att vi anskaffar/upphandlar nya system eller ger uppdrag till externa leverantörer behöver vi säkerställa att anskaffnings- och upphandlingskraven kring säkerhet tillämpas och att vi följer rutinen så att konsultationer görs med it och informationsansvariga för att vi inte riskerar att lämna ut känslig information ur och om våra system. Kontrollen genomförs i november-december 2018 och följer upp tillämpningen av beslutade anskaffnings- och upphandlingskrav och rutiner. Ansvarig för att hålla ihop arbetet med kontrollmomentet är kommunstrateg it och information på kommunledningskontoret. Kontrollmetod En central kontroll har utgått från it-riktlinjens verksamhetsförstudie och den tekniska förstudien och kraven har omformulerats till kontrollfrågor. 13 upphandlingar kontrollerades ifall det fanns styrkt dokumentation enligt anskaffningsprocessen. Kontrollen visade att aktuell riktlinje inte följs. Genomförd kontroll på kommunledningskontoret Ingen av upphandlingarna som granskades avsåg kommunledningskontoret. Ingen omedelbar åtgärd behöver vidtas på kommunledningskontoret. När åtgärdsförslag kommer på kommunkoncernövergripande nivå kommer kommunledningskontoret att ta ställning till och prioritera och hantera de specifika åtgärdsförslagen. 2.1.3 F3 Kontroll av hanteringen av statliga bidrag enligt fullmäktigebeslut Under 2017 reviderade och beslutade respektive nämnd och bolagsstyrelse om enhetligare arbetssätt och rutiner för att hantera statliga bidrag. Det innefattar att respektive verksamhetsområde har kunskap om vilka bidrag som är möjliga att söka, säkrar att ansökan genomförs samt att redovisningen av ansökta medel sker enligt formella krav. Kontrollen genomförs i november december 2018 för att ge respektive nämnd och bolagsstyrelse möjlighet att arbeta in arbetssätt och rutiner. Kontrollen följer upp tillämpningen av beslutad arbetsprocess och rutiner. Ansvarig för att hålla ihop arbetet med kontrollmomentet är kommunstrateg ekonomi på kommunledningskontoret. Kontrollmetod En enkät skickades ut till förvaltningarna med sju frågor kring hanteringen av statliga bidrag. Sammanställning av svaren på enkäten distribuerades till förvaltningarna. Genomförd kontroll på kommunledningskontoret På kommunledningskontoret finns en rutin som upprättats i enlighet med anvisningar. Den har antagits av ledningsgruppen i augusti 2018. Rutinen kommer att implementeras fullt ut under 2019.

Årets granskning föranleder ingen åtgärd. När åtgärdsförslag kommer på kommunkoncernövergripande nivå kommer kommunledningskontoret att ta ställning till och prioritera och hantera de specifika åtgärdsförslagen. 5 (7) 2.1.4 F4 Kontroll av otillbörlig påverkan, mutor och jävssituationer 2012 beslutades Riktlinjer mot korruption, mutor och jäv. Redan 2013 gjordes den första interna kontrollen inom riskområdet. Även 2017 har en kontroll genomförts som visar att 75 % har kunskap om riktlinjen, men 36 % känner till att det finns rutiner för att lokalt förhindra och förebygga uppkomsten av korruption, mutor och jäv. Resultatet kom nyligen och någon fördjupad analys är ännu inte genomförd. Detta resultat samt att riskområdet lyfts upp av processerna som angeläget gör att vi återigen föreslår riskområdet som ett internkontrollmoment. Kontrollerna föreslås ske i form av stickprov av en oberoende externt upphandlad konsult. Var och hur stickprov ska genomföras är inte fastslaget, men kan gälla exempelvis enkla upphandlingar, inköp, myndighetsbeslut (bygglov, förskoleplats, vård- och omsorgsboende, utskänkningstillstånd, föreningsbidrag, försörjningsstöd), etableringar, byggnationer och rekryteringar. Ansvarig för att hålla ihop arbetet med kontrollmomentet är kommunstrateg samt jurist på kommunledningskontoret. Anvisningar för genomförandet av kontrollmomenten utarbetas under våren 2018 och går ut till respektive nämnd och bolagsstyrelse via internkontrollsamordnarna. Kontrollmetod Stickprov har gjorts av extern konsult. Stickproven har inriktats på områdena Direktupphandling med ett värde under 100 000 kr Förenings- och sponsorbidrag Etablering av företag/organisationer. Genomförd kontroll på kommunledningskontoret De externa konsulterna har lämnat en sammanfattande bedömning och förslag på utvecklingsområden för hela kommunkoncernen. Årets granskning föranleder ingen åtgärd. När åtgärdsförslag kommer på kommunkoncernövergripande nivå kommer kommunledningskontoret att ta ställning till och prioritera och hantera de specifika åtgärdsförslagen. 2.2 Kommunledningskontorets kontrollområden 2.2.1 Kontroll av efterlevnad av Attestreglemente och Tillämpningsanvisningar till attestreglemente - Ekonomi Varje förvaltning ansvarar för att löpande följa upp tillämpningen av reglementet och anvisningarna. Detta görs årligen i samband med uppföljningen av internkontrollplanerna.

Kontrollmetod Ett granskningsprogram har tagits fram tillsammans med konsult och uppdrag. För 2018 har följande moment granskats stickprovsmässigt: Eget köp Representation Avtalstrohet Ansvar och attest i sommartider 6 (7) Datum för kontroll Olika tidsperioder för olika moment. Kontrollgenomförare För att säkerställa att kraven på ansvarsfördelning, kompetens, integritet och jäv beaktas fullt ut har kontrollen utförts av konsult och uppdrag. Genomförd kontroll på kommunledningskontoret Eget köp: Kontroll har utförts för utbildningar och konferens. Rutan Eget köp i leverantörsfakturasystemet ska kryssas i så att fakturan attesteras av överordnad men detta sker inte alltid. För vanliga köp fungerar det till övervägande del men vid beställningar som sedan ordermatchas automatiskt missas detta emellanåt. Representation: Enligt kommunens Anvisningar för representation från 2013 ska det alltid framgå namn på samtliga personer som deltagit och syfte med representationen. Syfte framgår i princip utan undantag men i något fall saknas komplett deltagarförteckning. Avtalstrohet: Under perioden som kontrollerades, november-december 2017, gjordes inköp för ca 73 mnkr. Antalet inköp från ej avtalade leverantörer med ett värde högre än 50 000 kronor uppgick till fyra fakturor. Den största fakturan uppgick till 171 000 kronor. Berörda avdelningar har vidtalats och utreder och åtgärdar rutinerna vid behov. Andelen inköp från ej avtalade leverantörer uppgick till ett icke väsentligt belopp. Ansvar och attest i sommartider: När en attestant har semester läggs en delegation i leverantörsfakturasystemet till en annan attestant inom förvaltningen. Avdelningscheferna går in som kommundirektör enligt uppgjort schema över sommarsemestern. God intern kontroll upprätthålls men delegationsbeslut om attestanter uppdateras inte och särskilda blanketter upprättas inte. Inga väsentliga avvikelser mot reglemente och anvisningar har noterats. Vad gäller eget köp och representation krävs återkommande information till berörda. Information kommer att ges till alla chefer och medarbetare under 2019. Särskilt fokus kommer att läggas på beställningar. Avtalstrohet fungerar väl men behöver aktivt upprätthållas. Ekonomifunktionen på kommunledningskontoret gör årliga besök i ledningsgruppen och på avdelningsmöten för att påminna om vilka regler som gäller. Vad gäller ansvar och attest i sommartider har kommunledningskontoret funnit ett arbetssätt som fungerar på ett tillfredsställande sätt utifrån systemets begränsningar och vad som är praktiskt genomförbart.

et finns med även i internkontrollplan 2019 för KLK. 7 (7) 2.2.2 Uppföljning av momshantering - Ekonomi Utifrån den checklista som togs fram 2017 räta ut de mindre frågetecken kring momshanteringen som kvarstår. Kontrollmetod Utifrån den checklista som togs fram 2017 räta ut de frågetecken kring momshanteringen som kvarstår. Eventuellt vidta åtgärder och säkerställa korrekt hantering framöver. Datum för kontroll Löpande under 2018. Kontrollgenomförare Medarbetare inom ledningsstaben, ekonomi. Genomförd granskning på kommunledningskontoret Kommunledningskontoret hade vid 2017 års granskning identifierat en handfull momsfrågor som behövde följas upp. Under 2018 har kontakt tagits med redovisningsenheten på konsult och uppdrag. Momsfrågorna har utretts av redovisningsenheten och kommunledningskontoret kommer att göra som redovisningsenheten kommit fram till är rätt sätt. Föranleder ingen ytterligare åtgärd. 2.2.3 Uppföljning av internkontrollmoment gällande kontinuitetsplaner vid ITavbrott IT Varje förvaltning ska ha en kontinuitetsplan för att säkerställa hantering vid kortare eller längre ITavbrott. Kommunledningskontoret behöver säkerställa att en sådan finns som fyller kraven. Genomförd granskning på kommunledningskontoret Inga aktiva åtgärder har vidtagits under 2018. Risk- och sårbarhetsanalys (RSA) som genomförs 2018-2019 för hela Eskilstuna kommun kommer att visa vilka kontinuitetsplaner som behövs för kommunledningskontoret. Kontinuitetsplaner för IT-avbrott kommer att täckas in som en del i arbetet med RSA och kontinuitetshanteringen för kommunledningskontoret för gällande mandatperiod. Föranleder ingen ytterligare åtgärd.

Kommunstyrelsen 2019-02-13 Konsult och uppdrag Bilaga 2 1 (4) Slutrapport Intern styrning och kontroll Sammanfattning Konsult och uppdrag 2018 Konsult och uppdrag har under året genomfört fem kontroller för kontrollområdena processkvalité, säkerhet och ekonomi. Fyra av kontrollerna är beslutade av kommunfullmäktige, F1- F4. Det femte är en kontroll av att attestreglementet följs och den genomförs tillsammans med kommunledningskontoret. När det gäller den interna kontrollpunkten kan vi konstatera att de rutiner som finns i huvudsak fungerar. Där det finns viss avvikelse kommer kommunikationsinsatser kring befintliga rutiner att genomföras under 2019. F1. Rutin för ansökan av bidrag, Konsult och uppdrag gör inga ansökningar av bidrag utöver de som avser lönebidrag. Den rutinen som förvaltningen har fungerar väl. F2 Värdebaserade samtal för oegentligheter och tillbörlig påverkan. Under första kvartalet av 2018 togs riktlinjerna mot korruption, mutor och jäv upp vid ett verksamhetsmöte. En gemensam diskussion och planering gjordes av förvaltningens chefer för att implementera riktlinjer, rutiner och kontroll gällande korruption, mutor och jäv bland medarbetarna på enheternas APT. Utifrån KPMGs övergripande kontroll visar att implementeringen varit tillräcklig. F3. När det gäller nyanskaffning av IT-system konstateras riktlinjen inte är tillräckligt känd i kommunens verksamheter och en informationsinsats bör genomföras under 2019 för. Det ska också göras klart vem som ansvarar för dokumentationen vid anskaffning. F4. KS förvaltningar har utifrån kontroll diariefört samtliga efterfrågade handlingar kring GDPR. Förvaltningen har dataskyddsombud. En konsekvensbedömning är gjord. Registerförteckning med åtgärdsplan över personuppgiftsbehandlingar finns liksom handlingsplan. Kontaktperson för GDPR finns i förvaltningen. Ett arbete med rutiner för hantering av personuppgiftsincidenter, begäran om registerutdrag samt uppdatering av registerförteckning bör genomföras under 2019. Den nya förvaltningen bör formalisera ägarskap kring personuppgiftsbehandlingar och kontaktperson med beslut i ny nämnd. Tillgodose behovet av ekonomi och redovisning F1. RISK ATT ANSÖKAN UTEBLIR ELLER ATT DET INTE FINNS KUNSKAP OM ATT SÖKA BIDRAG. DET KAN LEDA TILL ATT KOMMUNENS MEDBORGARE INTE FÅR DEL AV DE TJÄNSTER SOM DESSA MEDEL AVSER. Riskvärde Sannolikhet Konsekvens 0 0 0 2019-02-19 08:34 1

Kommunstyrelsen 2019-02-13 Konsult och uppdrag Bilaga 2 2 (4) Kontroll av hanteringen av statliga bidrag. Bedömning Resultat Åtgärd KONTROLL AV ATTESTREGLEMENTE Konsult och uppdrag gör inga ansökningar av bidrag utöver de som avser lönebidrag. Den rutinen som förvaltningen har fungerar. Riskvärde Sannolikhet Konsekvens 2 1 2 Stickprovskontroll av rutiner inom attestreglementen Bedömning Resultat Åtgärd Inga väsentliga avvikelser mot reglemente och anvisningar har noterats. Vi kan notera att deltagarförteckning kopplat till fakturor vid representation är ganska bra men behöver bli bättre. I samband med fakturahanteringen kan vi se att det finns en deltagarförteckning i beställarsystemet Proceedo, men den följer inte med över till vårt ekonomisystem Agresso, som en bilaga. När det gäller kurs- och konferensdeltagande tycker vi att det är bra om deltagarförteckning finns så att en kontroll kan göras utifrån begreppet eget köp Vi kan konstatera att när man själv som attestant deltar vid dessa tillfällen inte alltid markerat eget köp vid attesteringen. Vi kan ändå se en klar förbättring jämfört med förra året. Merparten av inköpen inom förvaltningen har gjorts inom ramen för avtalsleverantör. Kommunikationsinsatser till granskare och attestanter behöver genomföras så att deltagarförteckningar finns kopplade till fakturan som ska attesteras samt att markering av eget köp görs om attestanten själv deltagit i aktiviteten som fakturan avser. En rutin för attesträttigheter vid frånvaro behöver tas fram under 2019. 2019-02-19 08:34 2

Kommunstyrelsen 2019-02-13 Konsult och uppdrag Bilaga 2 3 (4) Kvalitetsutveckling F2. RISK FÖR OTILLBÖRLIG PÅVERKAN, MUTOR OCH JÄVSSITUATIONER INTRÄFFAR I SAMBAND MED EXEMPELVIS "ENKLA" UPPHANDLINGAR, INKÖP, MYNDIGHETSBESLUT, ETABLERINGAR, BYGGNATIONER OCH REKRYTERINGAR. DETTA KAN LEDA TILL MINSKAT FÖRTROENDE FÖR KOMMUNEN SAMT EKONOMISKA FÖRLUSTER. Riskvärde Sannolikhet Konsekvens 6 2 3 Kontroll av otillbörlig påverkan, mutor och jävssituationer. Bedömning Resultat Åtgärd Under första kvartalet av 2018 togs riktlinjerna mot korruption, mutor och jäv upp vid ett verksamhetsmöte. En gemensam diskussion och planering gjordes av förvaltningens chefer för att implementera riktlinjer, rutiner och kontroll gällande korruption, mutor och jäv bland medarbetarna på enheternas APT. Utifrån KPMGs övergripande kontroll visar att implementeringen varit tillräcklig. Det är önskvärt att rutinen för mutor och jäv ingår i introduktionen av nyanställda. Risken för korruption, mutor och jäv bör beaktas som en del av den årliga riskanalysen. Tillgodose behovet av säkerhet F3. RISKEN ÄR ATT KÄNSLIG INFORMATION LÄMNAS UT UR VÅRA SYSTEM VILKET KAN LEDA TILL SKADA FÖR INDIVIDER. Riskvärde Sannolikhet Konsekvens 0 0 0 2019-02-19 08:34 3

Kommunstyrelsen 2019-02-13 Konsult och uppdrag Bilaga 2 4 (4) Kontroll av it- och informationssäkerhet i samband med anskaffning/upphandling och uppdrag till externa leverantörer. Bedömning Resultat Åtgärd Konsult och uppdrag kan konstatera att riktlinjen för nyanskaffning av IT-system inte är känd i kommunens verksamheter. En informationsinsats om riktlinjen bör under 2019 genomföras centralt där det också tydliggörs vem som ansvarar för dokumentation vid anskaffning. Dessutom bör riktlinjen komplimenteras med anvisning. F4. RISKEN ÄR ATT ORGANISATIONEN INTE HAR ANPASSAT SINA ARBETSSÄTT OCH RUTINER UTIFRÅN DEN NYA DATASKYDDSFÖRORDNINGEN. Kontroll av att personuppgiftsansvariga (nämnder och bolagsstyrelser) har säkerställt hanteringen av personuppgifter inom sitt ansvarsområde enligt den nya dataskyddsförordningen Riskvärde Sannolikhet Konsekvens 0 0 0 Bedömning Resultat Åtgärd KS förvaltningar har utifrån kontroll diariefört samtliga efterfrågade handlingar kring GDPR. Förvaltningen har dataskyddsombud. En konsekvensbedömning är gjord. Registerförteckning med åtgärdsplan över personuppgiftsbehandlingar finns liksom handlingsplan. Kontaktperson för GDPR finns i förvaltningen. Ett arbete med rutiner för hantering av personuppgiftsincidenter, begäran om registerutdrag samt uppdatering av registerförteckning bör genomföras under 2019. Den nya förvaltningen bör formalisera ägarskap kring personuppgiftsbehandlingar och kontaktperson med beslut i ny nämnd. 2019-02-19 08:34 4