Granskning av intern kontroll av leverantörsfakturor

www.pwc.se Revisionsrapport Cecilia Fehling Revisionskonsult Malin Kronmar Revisionskonsult Caroline Liljebjörn Cert. kommunal revisor 28 Granskning av intern kontroll av leverantörsfakturor Kalmar kommun

Innehållsförteckning 1. Revisionell bedömning... 1 2. Inledning...2 2.1. Revisionsfråga...2 2.1.1. Revisionskriterier...2 2.2. Avgränsning och metod...3 3. Granskningsresultat...4 3.1. Riktlinjer och övriga anvisningar...4 3.2. Uppföljning av riktlinjer/anvisningarna...5 3.3. Rollfördelning vid hantering av leverantörsfakturor...6 3.4. Hantering av behörigheter...7 3.5. Stickprov...8 3.6. Utbetalning av leverantörsfakturor...9 4. Bilaga 1...11 Kalmar kommun

1. Revisionell bedömning Vi bedömer att styrelsens och nämndernas interna kontroll avseende system och hantering av leverantörsfakturor i stort sett är tillfredsställande, men att den kan förbättras i några avseenden. Det baserar vi på att det finns riktlinjer och anvisningar för hanteringen av leverantörsfakturor, men att uppföljning av riktlinjerna/anvisningarna inte fungerar som avsett. Enligt reglementet ska uppföljning och utvärdering ske årsvis inom ramen för arbetet med intern kontroll. Vi bedömer att rollfördelningen vid hanteringen av leverantörsfakturor är tydliggjord och att den i stort sett är ändamålsenlig. Det saknas i dagsläget en systematisk uppföljning/kontroll av känsliga uppgifter. Vi bedömer att hanteringen av behörigheter sker enligt en fastställd rutin och vi bedömer att rutinen är tillfredsställande. Vi bedömer att fakturorna uppfyller kraven på en fullständig verifikation, men det är inte tillfredsställande att uppgift om syfte och deltagare saknas för vissa kostnader som representation och resor. Det är inte heller tillfredsställande att vissa representationskostnader har bokförts på felaktiga baskonton till exempel livsmedel eller måltider. Vi bedömer att utbetalningen av leverantörsfakturor sker utifrån tillräckliga underlag och av behörig person. Det baserar vi på att systemet endast tar med fakturor som är klarmarkerade för betalning och att betalningar endast kan utföras med tillräcklig behörighet. För att stärka den interna kontrollen rekommenderar vi att: Styrelsen och samtliga nämnder tar fram internkontrollplaner och resultatet från uppföljning av planerna återrapporteras till nämnd och därefter vidare till kommunstyrelsen och de förtroendevalda revisorerna i enlighet med gällande reglemente. Systematiska kontroller av känsliga uppgifter exempelvis ändring i behörighetsregistret och leverantörsregistret införs. Det bör även ske en systematisk kontroll av loggar för anställda med höga behörigheter. Information om krav på uppgift om syfte och deltagare för vissa kostnader bör förtydligas och aktualiseras. Uppföljning bör göras att baskontoplanen följs. Kalmar kommun 1 av 12

2. Inledning Av kommunallagen framgår att kommunens nämnder och styrelse ska ha kontroll över sin verksamhet. Detta innebär att nämnderna själva ansvarar för att ha en ändamålsenlig styrning så att verksamheten bedrivs på ett effektivt sätt, att det finns säkra rutiner som förhindrar förluster och som säkerställer att redovisningen är rättvisande. Rutiner och system för hantering av leverantörsfakturor och utbetalningen av dessa utgör ett väsentligt riskområde. Att ha väl fungerade rutiner och system är således viktigt för att upprätthålla en säker hantering. Revisorerna har i sin riskanalys identifierat behov av att granska om den interna kontrollen avseende hanteringen av leverantörsfakturor är tillräcklig. Granskningen har utförts av Cecilia Fehling, Malin Kronmar och Caroline Liljebjörn från. 2.1. Revisionsfråga Granskningen ska svara på följande revisionsfråga: Är styrelsens och nämndernas interna kontroll tillfredsställande avseende system och hantering av leverantörsfakturor? 2.1.1. Revisionskriterier Genom att besvara följande revisionskriterier ska ett svar på revisionsfrågan erhållas. Finns det dokumenterade riktlinjer/anvisningar kring hantering av leverantörsfakturor? Finns rutiner för systematisk uppföljning av riktlinjerna/anvisningarna? Är rollfördelningen vid hantering av leverantörsfakturor tydliggjord och är den ändamålsenlig? Finns det en aktuell förteckning över attestanter? Finns det en samlad dokumentation över vilka som har behörighet i systemet och som visar vilken behörighet de har? Sker tilldelning av nya behörigheter och förändringar i befintliga behörigheter i systemet utifrån tillräckliga underlag och av behörig person? Uppfyller fakturorna kraven på en fullständig verifikation? Sker utbetalning av leverantörsfakturor utifrån tillräckliga underlag, av behörig och under kontrollerade former? Kalmar kommun 2 av 12

2.2. Avgränsning och metod Granskningen inriktar sig på att identifiera kommunens egna kontroller och att verifiera om identifierade kontroller är effektiva och om de utförs regelbundet. Granskningen avgränsas till att omfatta den kommunala förvaltningen. Intervjuer har genomförts med redovisningschef Anna Johansson och ekonomiadministratör Ann-Marie Ekblad på kommunledningskontoret. Vi har tagit del av följande dokument: reglemente för kontroll av verifikationer inklusive tillämpningsanvisningar (KF 219/2005), utdrag ur kommungemensam verksamhetshandbok avseende Aditro Window/IoF FAQ (instruktioner för hantering av leverantörsfakturor), kodplan avseende baskonto och motpart (utdrag ur kommungemensam verksamhetshandbok) samt förteckning över beslutade attestanter för år 2014. Vi har granskat slumpmässigt utvalda leverantörsfakturor, främst från följande kontogrupper: 64 Förbrukningsinventarier och förbrukningsmaterial, 70 Transporter och resor 71 Representation 74 övriga främmande tjänster Kalmar kommun 3 av 12

3. Granskningsresultat Avsnittet visar granskningsresultatet utifrån uppsatta kontrollmål. I granskningen har Kalmar kommuns ekonomisystem Aditro Affärslösning varit centralt, med fokus på modulen Inköp och Faktura samt Redovisning och Reskontror (benämnt ekonomisystemet i denna rapport). 3.1. Riktlinjer och övriga anvisningar Kontrollmål: Finns det dokumenterade riktlinjer/anvisningar kring hanteringen av leverantörsfakturor? Iakttagelser Kalmar kommun har ett reglemente för kontroll av verifikationer, vilket har antagits av kommunfullmäktige (KF 219/2005). Reglementet beskriver rollfördelningen mellan nämnd, förvaltningschef och attestant. Nämnderna ansvarar för att antagna regler och tillämpningsanvisningar till reglementet följs. Uppföljning och utvärdering ska ske årsvis i enlighet med fastställt reglemente för intern kontroll. Nämnden svarar för att upprätta aktuella förteckningar över utsedda attestanter samt ersättare. Förvaltningschefen ansvarar för att vid behov aktualisera beslut om beslutattestant och ersättare samt för att handläggande personal är informerade om reglerna. Attestantens uppgift är att tillämpa fastställda anvisningar samt att rapportera eventuella brister till närmast överordnad chef eller enligt annan fastställd rutin. Kontrollrutiner ska utformas så att den interna kontrollen inom respektive nämnd är tillräcklig. Följande krav ska, till exempel, beaktas: Ansvarfördelningen ska vara tydlig. Ingen person ska ensam hantera en transaktion från början till slut. Den som har rollen att utföra en kontrollåtgärd ska ha nödvändig kompetens för uppgiften. Den som utför kontroll av en annan person, särskilt av beslut, ska ha en självständig ställning gentemot den kontrollerade. Den som utför kontrollen får ej kontrollera in- och utbetalningar till sig själv eller närstående. Det samma gäller utgifter av personlig karaktär. Kalmar kommun 4 av 12

Kommunstyrelsen har utfärdat tillämpningsanvisningar till reglementet. I den kommungemensamma verksamhetsboken finns instruktioner för hantering av leverantörsfakturor, en kontoplan med tillämpningsanvisningar och riktlinjer för representation. I riktlinjerna för representation anges att vid representation ska anteckning göras där det framgår vilka som deltagit samt syftet med representationen. Bedömning Vi bedömer att det finns dokumenterade riktlinjer/anvisningar kring hanteringen av leverantörsfakturor. Den kommungemensamma verksamhetshandboken finns på kommunens intranät, uppdelad i flera olika dokument. Vi rekommenderar att sökmöjligheterna i verksamhetshandboken bör förbättras. 3.2. Uppföljning av riktlinjer/anvisningarna Kontrollmål: Finns rutiner för systematisk uppföljning av riktlinjerna/anvisningarna? Iakttagelser Enligt reglementet ska uppföljning och utvärdering ske årsvis inom ramen för arbetet med intern kontroll. Det är respektive nämnd som ansvarar för att organisera och följa upp den interna kontrollen inom sitt verksamhetsområde (KL 6 kap 7 ). Under våren har en förstudie genomförts av hur styrelsen och nämnderna arbetar med intern kontroll. Nämnden ska senast i samband med upprättandet av årsredovisningen rapportera från uppföljningen av den interna kontrollen till kommunstyrelsen och kommunens revisorer (Reglemente för intern kontroll 256/2000). Förstudien visar att internkontrollplaner finns för flertalet nämnder, men att endast fyra nämnder ger en återkoppling till respektive nämnd. Vidare sker ingen rapportering till kommunstyrelsen och revisorerna enligt gällande reglemente. Det pågår ett förbättringsarbete som bland annat syftar till att förtydliga hur uppföljningen av internkontrollplaner ska rapporteras vidare till kommunstyrelsen. Ekonomiavdelningen på kommunledningskontoret kommer fortsättningsvis att få en rapport som visar resultatet av nämndernas intern kontrollarbete inom ekonomiområdet. Bedömning Vi bedömer att det finns rutiner för uppföljning av riktlinjerna/anvisningarna, men att dessa inte fungerar som avsett för närvarande. Vi rekommenderar att samtliga nämnder tar fram internkontrollplaner och att resultatet från uppföljning återrapporteras till nämnd och därefter vidare till kommunstyrelsen och de förtroendevalda revisorerna i enlighet med gällande reglemente. Kalmar kommun 5 av 12

3.3. Rollfördelning vid hantering av leverantörsfakturor Kontrollmål: Är rollfördelningen vid hanteringen av leverantörsfakturor tydliggjord och är den ändamålsenlig? Finns det en aktuell förteckning över attestanter? Iakttagelser Leverantörsfakturor som ankommer i pappersform skickas till Östersund där de scannas dagen efter ankomst. Fakturan ankomstregistreras och via ett referensnummer, som ska finnas på fakturan, identifieras mottagningsattestanten. Ekonomiavdelningen åtgärdar fakturor som saknar referensnummer. Det blir ca 20-30 fakturor dagligen. En mindre del av fakturorna scannas i Kalmar, men hanteringen är densamma. Leverantörsfakturor kan även ankomma elektroniskt. Fakturor som återkommer regelbundet med ungefär samma belopp kan hanteras som flödesfaktura. Det innebär att mottagnings- och beslutsattest endast görs initialt. Så länge beloppet varierar inom ett förbestämt intervall konteras och attesteras fakturan med automatik. Fakturan måste vara elektronisk och kunna kopplas till ett unikt mätarnummer för till exempel en elmätare eller en vattenmätare. Inom socialförvaltningen hanteras klientrelaterade fakturor i försystemet Procapita. Hanteringen är manuell, men följer tillämpningsanvisningarnas krav på att minst två personer ska attestera en faktura. I tillämpningsanvisningarna till reglementet beskrivs tre olika kontrollnivåer, mottagningsattest, granskningsattest/momsattest och beslutsattest. Systemet kräver att en leverantörsfaktura attesteras av minst två olika personer. Mottagningsattest innebär kontroll av att leverans har mottagits eller att prestation har fullgjorts. Gransknings/momsattest innefattar kontroll vid exempelvis inköp av varor mot beställning, pris och betalningsvillkor. Beslutsattesten godkänner utgiften. I beslutsattesten ingår även ansvar för kontering, kontroll av att övriga formella beslut som krävs är fattade samt kontroll av att mottagningsattest och/eller granskning/momsattest är utförda. Efter attesten måste fakturan klarmarkeras för att bli aktuell för betalning. Attestanter utses av respektive nämnd och beslutet skickas till ekonomiavdelningen i enlighet med riktlinjerna i tillämpningsanvisningarna. Vi har tagit del av förteckningar över beslutsattestanter för år 2014 från styrelsen och samtliga nämnder. Förteckningarna innehåller personnamn för beslutsattestant och ersättare. Vid registrering av en ny leverantör eller ändring av en befintlig leverantör i leverantörsregistret krävs en särskild systembehörighet. Denna behörighet har hela ekonomiavdelningen vilken består av åtta personer. Behörighetsnivån, vilken är den högsta, medger även att ändra behörigheter samt att utföra leverantörsbetalningar. Kalmar kommun 6 av 12

Hälften av personalen på ekonomiavdelningen har beslutsattest vid hantering av leverantörsfakturor. Det finns möjlighet att ta ut en logglista över genomförda förändringar och upplägg i systemet, men den kontrolleras inte. Bedömning Vi bedömer att rollfördelningen vid hanteringen av leverantörsfakturor är tydliggjord och att den i stort sett är ändamålsenlig. Förekomsten av enskilda användare som har höga behörigheter inom flera delar i hanteringen av leverantörsfakturor kan vara befogat ur effektivitetshänseende, men ökar risken för medvetet såväl som omedvetet orsakade felaktigheter. I vår granskning har vi endast noterat höga behörigheter på ekonomiavdelningen. Genom att den anställde inte innehar båda attestmomenten (granskningsattest såväl som beslutsattest) minskar denna risk. En avsaknad av uppföljning/kontroll till exempel av genomförda ändringar i leverantörsregistret ökar risken för att felaktiga leverantörsuppgifter registreras utan att upptäckas. Vi rekommenderar att systematiska kontroller av känsliga uppgifter såsom ändring i behörighetsregistret och leverantörsregistret utförs. Det bör även ske en systematisk kontroll av loggar för anställda med höga behörigheter. Vi bedömer att det finns en förteckning över aktuella attestanter vilket även utförda stickprov, som beskrivs nedan, bekräftar. 3.4. Hantering av behörigheter Kontrollmål: Finns det en samlad dokumentation över vilka som har behörighet i systemet och som visar vilken behörighet de har? Sker tilldelning av nya behörigheter och förändringar i befintliga behörigheter i systemet utifrån tillräckliga underlag och av behörig person? Iakttagelser I programmet för hantering av leverantörsfakturor Aditro IoF finns en samlad dokumentation över vilka som har behörighet i systemet och som visar vilken behörighet de har. En behörighet kan avse beslut eller beställning och begränsas till belopp, tidsperiod, ansvar och baskonto. Behörigheter administreras av ekonomiavdelningen. Vid uppläggning eller förändring av behörigheter krävs meddelande från ansvarig chef. Meddelande lämnas oftast via mejl, som sparas. Administratören har en egen lista över upplagda behörigheter. Vid varje behörighet finns en hänvisning till det mejl som innehåller godkännandet. Kalmar kommun 7 av 12

I ekonomisystemet RoR (Redovisning och reskontra) finns en överskådlig dokumentation som visar vilka som har behörighet i de olika delsystemen. Rutinen kring behörigheter överensstämmer med den som beskrivits ovan. Bedömning Vi bedömer att det finns en samlad dokumentation över vilka som har behörighet i systemet för leverantörsfakturor Aditro IoF samt i ekonomisystemet RoR och som visar vilken behörighet de har. Granskningen visar att det finns en rutin för tilldelning av nya behörigheter och förändringar i befintliga behörigheter och vi bedömer att rutinen är tillfredsställande. 3.5. Stickprov Kontrollmål: Uppfyller fakturorna kraven på en fullständig verifikation? Iakttagelser Kraven på vilken information en verifikation ska innehålla finns i Lagen om kommunal redovisning 2 kap 4 andra stycket: Verifikationen skall innefatta uppgift om när den har sammanställts, när den ekonomiska händelsen har inträffat, vad denna avser, vilket belopp den gäller och vilken motpart den berör. I förekommande fall ska verifikationen även innefatta upplysningar om handlingar eller andra uppgifter som har legat till grund för den ekonomiska händelsen samt var dessa finns tillgängliga. Även skatteverket ställer krav på vilka uppgifter som ska finnas med på fakturan. Se vidare bilaga 1. Vi har granskat slumpmässigt utvalda leverantörsfakturor, främst från följande kontogrupper: 64 Förbrukningsinventarier och förbrukningsmaterial, 70 Transporter och resor 71 Representation 74 övriga främmande tjänster Vi har gjort följande kontroller: att uppgifterna överensstämmer med kraven på verifikation från KRL och kraven på fakturor från Skatteverket att syfte och deltagare anges vid kostnader för personalutbildning, personalrepresentation samt extern representation att beslutsattestant finns med på aktuell lista över attestanter Kalmar kommun 8 av 12

att beslutattestanten inte har godkänt utgifter av personlig karaktär att konteringen av fakturan överensstämmer med KommunBas 13 Vi har gjort följande iakttagelser med anledning av stickproven: I nio av stickproven saknas uppgift om syfte och/eller deltagare vid kostnader i samband med kurser, konferenser och representation. I sju av stickproven används fel baskonto. I vissa fall undviker attestanten kravet att lämna upplysningar genom att använda ett annat baskonto än representation till exempel livsmedel eller måltider. I samtliga stickprov kan beslutsattesten härledas till de förteckningar över aktuella attestanter som vi fått ta del av. I övrigt överensstämmer uppgifterna på fakturorna med kraven från KRL och Skatteverket. Det är vanligt att kvitton scannas in som bilaga till fakturor för att tydliggöra vad inköpen avser. Bedömning Vi bedömer att fakturorna uppfyller kraven på en fullständig verifikation, men det är inte tillfredsställande att uppgift om syfte och deltagare saknas för vissa kostnader som representation och resor. Vi bedömer att informationen om att det krävs uppgift om syfte och deltagare för vissa kostnader bör förtydligas och aktualiseras. Uppföljning bör göras att baskontoplanen följs. 3.6. Utbetalning av leverantörsfakturor Kontrollmål: Sker utbetalningar av leverantörsfakturor utifrån tillräckliga underlag, av behörig och under kontrollerade former? Iakttagelser Betalningsfilen skickas normalt sett kl. 14 varje dag av en assistent på ekonomiavdelningen. Som beskrivits tidigare i rapporten har alla anställda på ekonomiavdelningen behörighet att skicka betalningsfilen. Systemet söker upp alla betalningsattesterade fakturor till och med efterföljande dag och sammanställer dessa i en betalningsfil. Kreditnotor bevakas så att det finns en debetfaktura som de kan regleras mot, men i övrigt utförs inga kontroller vid betalningen. Det går inte att lägga till ytterligare fakturor i betalningsrutinen eller ändra betalningsfilen på annat sätt än att fördröja regleringen av kreditfakturor. Ekonomiavdelningen har anlitat företaget Inyett för kontroll av leverantörsfakturor. Företaget kontrollerar posterna i betalningsfilen med avseende på höga belopp och Kalmar kommun 9 av 12

dubbelbetalningar samt varnar för bluffakturor, betalningsanmärkningar och avsaknad av F-skatt. Fakturorna som hanteras i Procapita har hittills inte kunnat kontrolleras av företaget. Banken kommer från och med 1 januari 2015 kräva att betalningssumman godkänns av ytterligare en person innan beloppet regleras från kommunens konto. Bedömning Vi bedömer att utbetalningen av leverantörsfakturor sker utifrån tillräckliga underlag och av behörig person. Det baserar vi på att systemet endast tar med fakturor som är klarmarkerade för betalning och att betalningar endast kan utföras med tillräcklig behörighet. Kalmar kommun 10 av 12

4. Bilaga 1 Skatteverkets krav på innehållet i en faktura: Fakturadatum Ett unikt löpnummer för varje faktura baserat på en eller flera serier Säljarens momsregistreringsnummer Säljarens och köparens namn och adress Varornas eller tjänsternas omfattning och art Det datum varorna såldes eller tjänsterna utfördes eller slutfördes Vid betalning i förskott eller a conto: betalningsdatum om det kan fastsällas och är något annat än fakturadatumet Beskattningsunderlaget för varje skattesats eller undantag, enhetspriset exklusive moms samt en eventuell prisnedsättning eller rabatt som inte ingår i enhetspriset Den aktuella skattesatsen Vilken moms som ska betalas om det inte är momsfri försäljning Ytterligare upplysningar vid omvänd skattskyldighet d.v.s. köparen betalar medvärdesskatten. Kalmar kommun 11 av 12

2014-08-28 Caroline Liljebjörn Projektledare Pär Sturesson Uppdragsledare Kalmar kommun 12 av 12