2018-02-15 DNR LIU-2018-00056 BESLUT 1(1) Internrevisionens verksamhetsrapport för 2017 Beslut Universitetsstyrelsen beslutar att med beaktande av nedanstående lägga verksamhetsrapporten till handlingarna. Ärendet Tf chefen för internrevisionen har den 31 januari 2018 till universitetsstyrelsen överlämnat en verksamhetsrapport för internrevisionen avseende föregående år. Genom rapporten lämnas främst en uppdaterad genomgång av internrevisionens arbete enligt revisionsplanen för 2017 jämte en uppföljning av vissa av styrelsens beslut med anledning av tidigare rapporter. Internrevisionen har haft reducerad bemanning under året, vilket påverkat verksamhetens omfattning. När internrevisionen nu är fullt bemannad ser styrelsen det som angeläget att den planerade granskningen kring informationssäkerhet/nätverkssäkerhet (punkt 1.3) prioriteras, genomförs och rapporteras till styrelsen. Vad sedan angår punkt 1.2 inköp och avtalshantering kan styrelsen med tillfredsställelse notera att arbete har påbörjats med kunskapshöjande insatser för att öka kvaliteten på verifikationsunderlag, korrekt diarieföring och avtalshantering m.m. Beslut i detta ärende har fattats av universitetsstyrelsen vid dess sammanträde denna dag. I beslutet har deltagit ordföranden Lena Sommestad, universitetets rektor Helen Dannetun och övriga ledamöterna, Kristina Alsér, Magnus Berggren, Jonas Bjelfvenstam, Linn Lama Davidsson, Jan-Håkan Hansson, Claes-Fredrik Helgesson, Dan Jangblad, Jacob Larsson, Linnea Michel, Ulrika Unell, Kerstin Wigzell och Birgitta Öberg. Vidare har närvarit prorektor Roger Klinth, suppleanten Fredrik Lindeberg, personalföreträdaren Krzysztof Marciniak, styrelsens sekreterare Jenny Ljung, revisionschefen Rebecca Carlsson, chefsjuristen Christina Helmér, samt universitetsdirektören Kent Waltersson, den sistnämnde föredragande. Lena Sommestad Kent Waltersson LINKÖPINGS UNIVERSITET UNIVERSITETSSTYRELSEN
1(8) Verksamhetsrapport för Internrevisionen 2017 Internrevisionens verksamhetsrapport beskriver planerade och genomförda aktiviteter under 2017 (avsnitt 1, s. 1 5) samt en uppföljning av tidigare gjorda granskningar (avsnitt 2, s. 5 7). 1. Aktiviteter 2017 Internrevisionens planerade verksamhet för 2017 återfinns i revisionsplanen för 2017 (dnr LiU- 2016-02239). Förutom de planlagda uppgifterna enligt revisionsplanen har internrevisionen under året genomfört efterfrågade insatser från verksamhet och omvärld, t.ex. granskat projekt från mindre bidragsgivare, besvarat externa enkäter och frågor samt medverkat i externa och interna nätverk. Internrevisionen har haft reducerad bemanning under delar av året på grund av att Internrevisionschefen slutade i oktober. Ny internrevisionschef, och därmed full bemanning, finns på plats från 1 februari 2018. I tabellen nedan redovisas tidsåtgången för internrevisionens granskningar och övriga aktiviteter 2017. Tidsåtgång (h) Aktiviteter Planerat Utfall 2017 Chefsrollen (revisionsplan 2015) Inköp och avtalshantering (revisionsplan 2016) Nätverkssäkerhet (revisionsplan 2016) (350) (500) (100) 130 660 35 Anm. Samverkan ORU Revisionsplan 2017 Institutionsgranskning Interna utvecklingsprojekt Hantering av ekonomiska underskott Årsredovisning och delårsrapport Temagranskning Ospecificerad granskning Rådgivning och utvärdering Riskanalys och planering Uppföljning av tidigare års granskningar Enhetens kompetensutveckling Revisionsintyg 320 450 500 150 100 150 150 200 180 200 0 185 120 0 60 0 0 130 140 80 160 65 SUMMA 2017 2400 1765
2(8) 1.1. Chefsrollen Rapport 2017-09-05, Dnr LiU-2017-01754, US-beslut 2017-09-05 Granskningen genomfördes i samverkan med internrevisionen vid Örebro universitet. Universitetets decentraliserade organisation ställer krav på tydlig styrning, ledning och aktiv uppföljning för att ledningen ska kunna försäkra sig om att det finns god intern styrning och kontroll. En del i detta är att organisationens chefer/ledare har tillräckliga förutsättningar för att utföra sina uppdrag. Linköpings universitet arbetar aktivt med frågor som berör chefskapet och dess förutsättningar. Universitetet har verksamhetsövergripande prioriterade aktiviteter kopplat till området som sträcker sig över flera år där prioriteringarna utgår ifrån kärnverksamhetens behov samt förändrade externa krav. Universitetet erbjuder sina chefer utbildning och stöd och en majoritet av de tillfrågade cheferna i denna granskning svarar att de trivs med uppdraget som chef vid Linköpings universitet. Under pågående granskning fattades beslut om att institutionerna har möjlighet att organisera sig i ytterligare en linje. Gällande chefernas förutsättningar lyfts tidsaspekten, avsatt tid för chefsuppdraget, återkommande fram som ett problem vid lärosätet. Vidare saknas analys och problematisering kring hur man genomför bedömning av vad som är lämpligt antal medarbetare samt avsatt tid för chefsuppdraget för en personalansvarig chef. Utifrån att ansvarsområden är definierade, ansvar och befogenheter korresponderar samt att vederbörligt stöd i form av bland annat kunskap och utbildning tillhandahålls gör internrevisionen bedömningen att Linköpings universitet med rimlig säkerhet har säkerställt att det råder ändamålsenliga förutsättningar för chefer att bedriva ett professionellt chefskap vid myndigheten. Följande rekommendationer lämnades: - ta fram dokumenterad plan för uppföljning och bedömning av genomförd organisationsförändring - genomföra analys av lämpligt antal medarbetare samt avsatt tid för chefsuppdrag. Styrelsen ställde sig bakom internrevisionens två rekommendationer. Dessa kommer att hanteras inom ramen för de redan pågående initiativen inom chefs- och ledarutvecklingsområdet för att behålla och utveckla ett gott hållbart ledarskap. 1.2. Inköp och avtalshantering Rapport 2017-09-18, Dnr LiU-2017-02804, US-beslut 2017-10-20 Granskningen syftade till att undersöka att inköp hanterats inom ramen för gällande regelverk. Internrevisionens granskning av universitetets inköp och avtalshantering visade att det finns såväl återkommande som enskilda brister. Den största systematiska bristen enligt internrevisionens bedömning är att det för en stor del av granskade fakturor inte varit möjligt att avgöra om inköp gjorts från upphandlad leverantör eller genom annat avtal eller överenskommelse. Granskningen visade att det finns brister i dokumentation och diarieföring inom området. Det innebär bland annat att det varit svårt att bedöma om pris, kvantitet och kvalitet stämmer enligt överenskommelse. Vidare menar internrevisionen att kontroll av fakturor inte konsekvent görs i den omfattning man kan förvänta sig. Internrevisionen menar att konsekvensen som följer av identifierade brister är en förhöjd risk för bristande affärsmässighet, skadestånd och oegentligheter. Internrevisionen bedömde att det i stort finns ett tillräckligt regelverk med tydlig vägledning för frågorna vid universitetet. Internrevisionen menade att identifierade brister snarare förklaras av okunskap, felaktig praxis och svag uppföljning av regelefterlevnaden än ett otillräckligt regelverk.
3(8) Internrevisionen lämnade efter genomförd granskning följande rekommendationer: - Säkerställ att universitetets regler och upphandlingspolicy efterlevs - Arbeta aktivt med att förbättra dokumentation och diarieföring i ärenden gällande upphandling och inköp. - Säkerställ att för universitetet bindande avtal tecknas av behöriga personer - Ställ tydligare krav på leverantörer att hänvisa till avtal eller överenskommelser - Säkerställ att avtal som reglerar och förtydligar samarbete tecknas med samarbetspartners Rektor föreslog att internrevisionens rekommenderade åtgärder bör genomföras. Därutöver avsåg rektor att initiera ytterligare åtgärder, som dels inbegriper en översyn av vissa regler och rutiner, dels kunskapshöjande insatser, i syfte att säkerställa en god förvaltningskultur vid universitetet. Universitetsstyrelsen beslutade att med beaktande av vad som redovisats i ärendet uppdra till rektor att genomföra lämpliga åtgärder. 1.3. Informationssäkerhet/Nätverkssäkerhet Universitetets nätverk är grunden för den största delen av organisationens informationshantering såväl internt som externt. Universitetet har ett relativt öppet nätverk vilket ökar risken för attacker i syfte att förhindra, förstöra, förvanska eller skaffa sig otillbörlig tillgång till universitetets information och informationsspridning. Det finns ett beslutat Ledningssystem för informationssäkerhet (LIS) LiU-2010-01529 och en informationssäkerhetspolicy LiU-2010-01689. Informationssäkerhetspolicyn ställer ett antal krav på nätverkssäkerheten och närliggande delar som exempelvis fysiskt skydd, hantering av informationssäkerhetsincidenter, loggning och kryptering. Syftet med granskningen är att undersöka om universitetets informationssäkerhetspolicy är tillräcklig samt om det finns ett tillfredsställande skydd att upptäcka och hantera hot mot organisationens nätverk och att reserv- och återstartsrutiner finns. Viss planering av granskningen är påbörjad men på grund av att internrevisionschefen slutade under året pågår ingen aktivitet för närvarande i granskningen. Internrevisionen återkommer med datum för planerad rapporterad till styrelsen eller annan åtgärd när ny internrevisionschef är på plats. 1.4. Institutionsgranskning En institutionsgranskning omfattar genomgång och diskussion kring institutionens viktigaste processer inom styrning och administration. Områden som behandlas är styrning, ekonomi, personal och informationssäkerhet. Granskningarna syftar till att undersöka om den interna styrningen och kontrollen är tillfredsställande och vid behov föreslå förbättringsåtgärder. Internrevisionen har påbörjat en institutionsgranskning under verksamhetsåret som beräknas vara klar våren 2018. I de fall allvarliga brister uppmärksammas vid en institutionsgranskning redovisas dessa för universitetsstyrelsen, i annat fall sker avrapportering till respektive institutionsstyrelse och prefekt samt till universitetsdirektören. 1.5. Interna utvecklingsprojekt Vid universitet drivs interna utvecklingsprojekt för att implementera beslut och förbättra verksamheten. Det finns projekt som har dragit ut på tiden, blivit dyrare och i vissa fall inte slutförts. Dessutom finns signaler på en projekttrötthet i organisationen.
4(8) En fungerande projektorganisation är väsentlig för att universitetet ska kunna kontinuerligt utvecklas och nå sina mål. Syftet med granskningen är att genomlysa projektorganisationen och föreslå eventuella förbättringsåtgärder. Granskningen är påbörjad men har prioriterats ner med anledning av reducerad bemanning. 1.6. Hantering av ekonomiska underskott Linköpings universitet har de senaste åren haft ett planerat underskott i sin verksamhet i syfte att utnyttja de resurser som funnits i form av tidigare överskott som byggt på det egna kapitalet. På en övergripande LiU-nivå har detta underskott utvecklats enligt plan och 2018 är den ekonomiska planen att universitetet ska göra ett nollresultat och att det egna kapitalet då ska ligga på ca 10 % av intäkterna vilket för närvarande motsvarar ca 350 miljoner. De planerade resultatförsämringarna har dock inte utvecklats linjärt mellan alla institutioner utan vissa delar i organisationen visar överskott medan andra visar större underskott än planerat och underskotten riskerar att överstiga det egna kapitalet. Granskningen syftar till att undersöka vilka rutiner och ansvarsförhållande som finns för att hantera oplanerade underskott i verksamheten samt i förekommande fall ge förbättringsförslag. Granskningen är inte påbörjad med anledning av reducerad bemanning. 1.7. Årsredovisning och delårsrapport Som ett led i internrevisionens granskning av universitetets interna styrning och kontroll ingår att granska om universitetet med rimlig säkerhet lämnar en tillförlitlig redovisning och rättvisande rapportering. Internrevisionens uppföljning visar att det bedrivs ett kontinuerligt arbete med att förbättra kvaliteten i årsredovisning och delårsrapport. Vidare fortsätter arbetet med systematiska, strukturerade kontrollåtgärder i den löpande uppföljningen. Internrevisionen bedömer att de successiva förbättringarna inom dessa områden gett positiva effekter i redovisningen. 1.8. Temagranskning Temagranskningar är en mindre granskning av ett smalare område jämfört med en ordinarie revision. Internrevisionen har under året inte genomfört någon temagranskning. 1.9. Ospecificerad granskning Tid är reserverad för eventuella granskningsinsatser/utredningar på framställan av styrelsen, rektor eller den rektor utser. Under 2017 har ingen ospecificerad granskning genomförts. 1.10. Rådgivning och utvärdering I internrevisionens uppgift ingår att ge råd och rekommendationer i olika frågor som berör den interna styrningen och kontrollen. Rådgivningsinsatserna består till övervägande delen av frågor från institutioner och andra enheter samt från andra internrevisorer, statliga myndigheter och organisationer. 1.11. Riskanalys och planering Arbetet med att upprätta riskanalys och planera kommande års arbete har utförts delvis löpande under året och delvis genom en mer systematisk genomgång med intervjuer och omvärldsanalys. Riskanalysen bildar underlag till nästkommande års revisionsplan som styrelsen tar ställning till i december varje år.
5(8) 1.12. Uppföljning av tidigare års granskningar Alla granskningar som internrevisionen genomför och som beslutats av styrelsen följs upp med avseende på hur långt organisationen har kommit med implementeringen av styrelsens beslutade åtgärder. Uppföljningen redovisas i avsnitt 2. 1.13. Enhetens kompetensutveckling Under året har kompetensutveckling skett genom obligatorisk fortbildning inom CISA (Certified Information Systems Auditor) liksom särskild utbildning inom IT-området och ekonomisystemet Raindance. Utbildning för internrevisionscertifiering (CIA) enligt IIAstandards (Institute of Internal Auditors) har slutförts lyckosamt under året. Vi har medverkat i seminarier/ nätverksträffar inom universitet- och högskoleområdet för kunskapsutveckling och erfarenhetsutbyte. Vidare kan nämnas revisionsutbytet mellan Linköping och Örebro som positivt för ökad kompetensutveckling. 1.14. Årlig kvalitetsbedömning av internrevisionen Internrevisionen genomför årligen en självvärdering av enhetens verksamhet som mynnar ut i en plan för förbättringsåtgärder. Internrevisionen bedömer att internrevisionsverksamheten är organisatoriskt oberoende och att arbetet bedrivs i enlighet med god sed och enligt Internrevisionsförordningen (2006:1228). 2. Uppföljning av tidigare beslutade internrevisionsrapporter Uppföljningen av styrelsens beslut gällande internrevisionens granskningsrapporter innebär en redovisning genomförda åtgärder samt kvarvarande åtgärder. 2.1. Studiemiljö Rapport 2009-10-29, dnr LiU-2009-01264, US-beslut 2009-12-14 Revisionen av studenternas studiemiljö syftade till att utvärdera om universitetet planerar och följer upp studenternas studiemiljö på ett systematiskt sätt. Styrelsen noterade utifrån universitetsledningens PM avseende revisionsrapporten att det pågick ett arbete med att rätta till merparten av de brister som fördes fram i revisionens rapport. Internrevisionen kan konstatera att åtgärder avseende ansvar och riktlinjer enligt arbetsmiljöpolicy är vidtagna samt även arbetet med Studentundersökningen. En utvärdering av kursvärderingssystemet KURT gjordes och ledningen kom fram till att systemet inte varit helt fungerande utan skulle ersättas med ett nytt kursvärderingssystem. Utvecklingen av det nya kursvärderingssystemet har dock tagit längre tid än väntat och pågår fortfarande. Enligt aktuell plan ska driftsättning av det nya kursvärderingssystemet ske under hösten 2018. 2.2. Investeringsprocessen Rapport 2014-04-02, dnr LiU-2014-00605, US-beslut 2014-04-23 Revisionens syfte var att undersöka investeringsprocessen från initierande till uppföljning av investeringar. Granskningen visade att investeringsprocessen var otydlig med bristande struktur samt att det saknades ett universitetsövergripande tänkande. Vidare visade granskningen att kunskapen om universitetets totala investeringsbehov var svag och att institutionerna saknade direktiv och verktyg för hur de ska arbeta med investeringarna. Ledningen kommenterade rapporten med att man i stort tillstryker internrevisionens rekommendationer och att en samlad och mer strukturerad investeringsprocess skulle bidra till en bättre styrning och kontroll.
6(8) Styrelsen beslutade att uppdra till rektor att fortsätta arbetet med en investeringsbudget för universitetets med beaktande av internrevisionens rapport och universitetsledningens redovisning. Uppföljning av arbetet ska återrapporteras i samband med verksamhetsplanering och årsredovisning. En utredning med uppdraget att ta fram en metod för planering, fördelning och uppföljning av investeringar genomfördes under 2015. Rutiner för planering, budgetering och uppföljning har tagits fram och tillämpades från budgetarbetet 2016. I verksamheten har bokslutsenheterna lämnat sitt investeringsbehov i samband med budget samt redovisar löpande i tertialuppföljningar och bokslut. Modellen för att besluta om prioriteringar kvarstår att implementera. Det infrastrukturråd som föreslagits är ännu inte på plats. 2.3. Egenrapportering Rapport 2016-06-01, Dnr LiU-2016-01221, US-Beslut 2016-10-25 LiU har ett egenrapporteringssystem (Primula) där medarbetarna själva via webben rapporterar vissa av sina önskemål och anspråk inom personalområdet och ledningsnivån beslutar i dessa ärenden via webben. Syftet med systemet är att effektivisera den administrativa hanteringen genom att medarbetaren själv hämtar sin lönespecifikation, ansöker om semester, anmäler vård av sjukt barn och skriver sin reseräkning. Detta ställer krav på att det finns effektiva funktioner för intern styrning och kontroll i processen anpassade till verksamhetens organisation. Syftet med granskningen var att undersöka hur den interna styrningen och kontrollen är säkerställd i systemet. Granskningen genomfördes av konsult. Ett antal rekommendationer lämnades där de tre högst prioriterade rekommendationerna rörde behovet av månadskontroller av ändringsloggen, införande av en ny kontrollrutin beträffande anställningsavtalen och dess överensstämmelse med uppgifterna i Primula samt en utveckling av rutinerna vad gäller godkännandet av tilldelade behörighet i Primula. Ledningen hade en avvikande åsikt gällande föreslagna åtgärder. Styrelsen beslutade att uppdra till rektor att tillse att en särskild dialog genomförs mellan internrevisionen och systemansvariga i fråga om vad som slutligen kan anses vara godtagbart avseende intern styrning och kontroll beträffande Primula. Internrevisionen och ansvariga tjänstemän har haft en konstruktiv dialog under året som besvarat internrevisionens frågor. 2.4. Uppföljningsprocessen och Resursfördelningsprocessen Rapport 2016-02-18, Dnr LiU-2016-00450 samt Rapport 2016-02-18, Dnr LiU-2016-00022, US-Beslut 2016-04-20 Internrevisionens två rapporter avseende resursfördelningsprocessen respektive uppföljningsprocessen vid Linköpings universitet behandlades gemensamt i styrelsen av ledningen då båda relaterar till universitetets planerings- och uppföljningsprocess. Internrevisionen bedömde att verksamhetsplanen behöver utvecklas och kopplas tydligare till mål och medel längre ut i organisationen samt att det saknas en tydlig koppling mellan verksamhetsmål och medel. Vidare bedömde internrevisionen att universitet har en uppföljningsprocess på plats men att den i viss mån fortfarande är under utveckling. Den ger värdefull information men fungerar inte som ett signalsystem som tidigt upptäcker avvikelser eller som fullt ut klarar att följa upp verksamhet och ekonomi ihop. Universitetsstyrelsen beslutade att uppdra till rektor att fortsätta arbetet med att utveckla universitetets planerings-och uppföljningsprocess. I uppdraget ingick vidare att skapa en större harmonisering och enhetlighet i arbetet med resursfördelningen inom universitetet samt beträffande ansvarsfördelningen mellan organisationens olika delar. Ledningen beslutade under 2016 om en omorganisering i förvaltningsorganisationen i syfte att skapa tydligare ansvarsfördelning och underlätta uppföljning i verksamheten.
7(8) Verksamhetsplanen har fortsatt att utvecklas där medel kopplas tydligare till uppsatta mål. Rektor har även tagit beslut om vissa styrnings- och ledningsfrågor i syfte att förtydliga ansvaret avseende resursfördelning och adekvat kvalitet i uppdragen. Under 2017 har en arbetsgrupp arbetat med att skapa bättre förutsättningar för det strategiska arbetet med prioriteringar för kärnverksamhetens utveckling genom att tydliggöra strategiskt ansvar och samspelet mellan olika strategiska nivåer samt stärka och systematisera dialog- och kommunikationsmomenten i strategiprocessen. Under året har rektor infört strategidialoger där alla medarbetare bjudits in för att bland annat diskutera framtida behov och vägval. Mattias Pettersson T.f. Internrevisionschef
8(8) Bilaga 1 Lista på internrevisionens beslutade granskningar Revisionsplan Beslutad granskning Status Behandlad i styrelsen 2018 Universitetets förmåga att förebygga, upptäcka och hantera oegentligheter Ej påbörjad 2018 Företag i universitetets lokaler Ej påbörjad 2018 Institutionsgranskning 2018 Ej påbörjad 2017 Hantering av ekonomiska underskott Ej påbörjad 2017 Interna utvecklingsprojekt Påbörjad 2017 Institutionsgranskning 2017 Påbörjad 2016 Inköp och avtalshantering Avslutad 2017-10-20 2016 Nätverkssäkerhet Påbörjad 2016 Institutionsgranskning 2016 Avslutad Institutionsstyrelse IMH 2015 System för egenrapportering Avslutad 2016-10-25 2015 Chefsrollen Avslutad 2017-09-05 2015 Uppföljningsprocessen Avslutad 2016-04-20 2015 Institutionsgranskning 2015 Avslutad Institutionsstyrelse IBL 2014 Resursfördelningsprocessen Avslutad 2016-04-20 2014 Analysverksamhet Avslutad 2015-10-19 2014 Uppföljning av beslut Avslutad 2014-06-03 2014 Institutionsgranskning 2014 Avslutad Institutionsstyrelse ISV