Revisionsrapport 7/2011 Genomförd på uppdrag av revisorerna Februari 2012 Åstorps kommun Granskning av intern kontroll Sven Ekelund, ordf Tord Sturesson, 1:e v ordf Bengt Joehns, 2:e v ordf Martina Engberg Nils Persson
Innehåll 1. Sammanfattning...2 2. Inledning...3 2.1. Bakgrund och syfte... 3 2.2. Revisionsfrågor... 3 2.3. Revisionskriterier... 3 2.4. Metod och avgränsning... 3 3. Kommunövergripande...4 3.1. Styrande dokument... 4 3.2. Organisation... 4 3.3. Kontrollmiljö... 4 4. Styrelse och nämnder...4 4.1. Kommunstyrelsen... 4 4.2. Bildningsnämnd... 5 4.3. Socialnämnd... 5 4.4. Bygg- och miljönämnd... 6 4.5. Analys... 6 Bilagor: Bilaga 1 Källförteckning Bilaga 2 COSO- modellen 1
1. Sammanfattning Ernst & Young har på uppdrag av de förtroendevalda revisorerna i Åstorps kommun granskat kommunens interna kontrollarbete 2011. Syftet har varit att granska hur kommunstyrelsen följer och leder det interna kontrollarbetet, både ifråga om planer, dokumentation och uppföljning. I granskningen har det också ingått att se till hur de olika förvaltningarna utför sin internkontrolluppföljning. Åstorps kommun har under 2011 bedrivit sitt interna kontrollarbete utifrån en god och tydlig struktur där återrapportering sker skriftligt till respektive nämnd och rapporteras till kommunstyrelsen. Vidare görs en kommunövergripande sammanställning med redogörelse för respektive nämnds arbete. Vi noterar att merparten av nämndernas uppföljningar av internkontrollarbetet innehåller förslag på åtgärder utifrån respektive kontrollresultat, vilket skapar förutsättningar för verksamhetsutveckling. Under 2011 har inga särskilda åtgärder vidtagits för att förbättra kontrollmiljön i kommunen. Kommunens reglemente och mallar för IK är oförändrade. Det dock är positivt att en kommunövergripande arbetsgrupp för internkontrollarbetet ska tillsättas under 2012. Nämnderna tar ansvar för arbetet med intern kontroll, dock saknas det för samtliga nämnder en genomgripande risk- och väsentlighetsanalys som har sin utgångspunkt i verksamhetens mål. Dokumenterade risk- och väsentlighetsanalyser som även inkluderar en bruttorisklista systematiserar riskhanteringen och kan därmed bidra till högre kvalitet i nämndens och förvaltningsledningens beslutsunderlag. Vi har utifrån granskningen identifierat följande förslag på förbättringsområden: Samtliga nämnders internkontrollplaner bör på ett tydligt sätt kopplas till väl utvecklade och dokumenterade risk- och väsentlighetsbedömningar som utgår från verksamhetsmålen. De överväganden som ligger bakom bedömningarna bör dokumenteras i syfte att skapa mer systematik och underlätta uppföljning och diskussioner kommande år. Bruttorisklistor bör framtas av samtliga nämnder, vilket inte är fallet idag. För att förankra internkontrollarbetet i organisationen anser vi att kommunen bör överväga att kontinuerligt tillhandahålla utbildningsinsatser/samtalsforum. Vi noterar att kommunstyrelsen årligen sammanställer det sammantagna internkontrollresultatet. Som ansvarig för att analysera kommunens samlade system för internkontroll anser vi att kommunstyrelsen har en viktig roll i metodutvecklingen av arbetet, varför utvärderingen bör stärkas och inte begränsas till att endast sammanfatta kontrollernas resultat. Kommunstyrelsen bör också arbeta för att uppnå en mer enhetlig planering och uppföljning av det interna kontrollarbetet. 2
2. Inledning 2.1. Bakgrund och syfte Ernst & Young har på uppdrag av de förtroendevalda revisorerna i Åstorps kommun genomfört en granskning av kommunens internkontrollarbete. Syftet är att granska hur kommunstyrelsen följer och leder det interna kontrollarbetet, både ifråga om planer, dokumentation och uppföljning. Granskningen syftar även till att granska hur de olika förvaltningarna utför sin internkontrolluppföljning. 2.2. Revisionsfrågor Utifrån syftet med granskningen besvaras följande revisionsfrågor: Hur har KS organiserat internkontrollarbetet? Hur bedrivs internkontrollarbetet hos olika nämnder/förvaltningar? Bygger internkontrollplanerna på risk och väsentlighetsanalyser? Hur har internkontrollarbetet dokumenterats? Har kontrollmiljön förbättrats under 2011? Vilken avrapportering har gjorts? Hur sker sammanställning och uppföljning? Hur sker återrapportering och framförs förslag till förbättringar? 2.3. Revisionskriterier I denna granskning utgörs de huvudsakliga revisionskriterierna av: Kommunallagen 6 kap 1-2, 4 och 7 Kommunstyrelsen skall enligt 6 kap. 1 kommunallagen (KL) leda och samordna förvaltningen av kommunens angelägenheter och ha uppsikt över övriga nämnders verksamhet. Av 6 kap. 2 KL framgår att styrelsen uppmärksamt ska följa de frågor som kan inverka på kommunens utveckling och ekonomiska ställning. Styrelsen ska också hos fullmäktige, övriga nämnder och andra myndigheter göra de framställningar som behövs. I 4 samma kapitel finns bestämmelser som anger styrelsens åtaganden att bereda eller yttra sig i ärenden som ska handläggas av fullmäktige. Vidare ska styrelsen verkställa fullmäktiges beslut och i övrigt fullgöra de uppdrag som fullmäktige har lämnat över till styrelsen. Kommunallagen 9 kap 9 Av 6 kap. 7 KL framgår att nämnderna var och en inom sitt område ska se till att verksamheten bedrivs i enlighet med de mål och riktlinjer som beslutats av fullmäktige samt de föreskrifter som gäller för verksamheten. Således stadgas att nämnderna har till uppgift att genomföra alla de beslut som fattas i kommunfullmäktige. Nämnderna skall också tillse att den interna kontrollen är tillräcklig samt att verksamheten bedrivs på ett i övrigt tillfredsställande sätt. 2.4. Metod och avgränsning Granskningen har skett genom intervjuer med ansvariga tjänstemän inom kommunen och genom dokumentstudier av aktuella dokument för nämndernas internkontrollarbete. 3
3. Kommunövergripande 3.1. Styrande dokument Under 2011 har det inte skett någon förändring när det gäller styrdokument och riktlinjer. Internkontrollarbetet bedrivs utifrån reglementet som antogs av kommunfullmäktige 2003-08- 25, 97 innehållande syfte, lagrum, organisation, uppföljning samt mall för nämndernas interna kontrollplaner. 3.2. Organisation Det uppges inte ha skett några förändringar under 2011 beträffande hur kommunens internkontrollarbete är organiserat. Varje nämnd har en ansvarig kontaktperson på förvaltningen som rapporterar arbetet till kommunstyrelsen via den centrala administrationen som samordnar och koordinerar internkontrollarbetet i kommunen. Kommunstyrelsen får en samlad avrapportering. Enligt uppgift ska det under 2012 tillsättas en kommunövergripande arbetsgrupp för internkontrollarbetet bestående av controllers från samtliga förvaltningar. Controller för kommunstyrelseförvaltningen kommer vara sammankallande och arbetsgruppen ska enligt uppgift träffas kontinuerligt under året. 3.3. Kontrollmiljö Det har inte tillhandahållits någon utbildning specifikt inom internkontroll under 2011. Dock uppges vid intervjuerna att det skett en positiv utveckling när det gäller chefers och medarbetares inställning till det interna kontrollarbetet. Vidare har diskussioner förts inom kommunstyrelseförvaltningen huruvida anvisningar om internkontrollarbetet ska inkluderas i befintliga bokslutsanvisningar. 4. Styrelse och nämnder 4.1. Kommunstyrelsen Kommunstyrelseförvaltningens granskningsområden 2011 gällde attestregler, leverantörsfakturor, ärendehantering, upphandling och avtal, kontanthantering, löneutbetalning, löner och arvoden gällande pensionsavgift samt rapportering till KPA gällande pensionsavsättningar. Kommunstyrelsen beslutade 2012-01-11, 9 att godkänna resultatet av 2011 års internkontrollarbete. Internkontrollarbetet har bedrivits enligt 2011 års internkontrollplan med undantag för kontrollområdet rapportering till KPA där det i avvaktan på kommunens nya pensionspolicy ej gjorts någon rapportering. Fyra av de genomförda kontrollerna påvisar avvikelser och i uppföljningen av intern kontroll redovisas vidtagna åtgärder. Kontrollerna har utförts av förvaltningens controller, upphandlingsansvarig, ekonom för samhällsbyggnadskontoret, lönekonsulter, personalstrateg och kommunsekreteraren. Under hösten 2011 har ledningsgruppen på kommunstyrelseförvaltningen diskuterat internkontroll, diskussionerna ledde till en bruttorisklista med riskområden som enligt uppgift finns dokumenterad. Utifrån listan identifierade controller och kommunchef de områden som var aktuella för 2012 års internkontrollplan. Riskbedömning gjordes av respektive riskområde som inkluderades i internkontrollplanen. Internkontrollplan för kommunstyrelseförvaltningen godkändes 2012-01-11, 10 av kommunstyrelsen. Med undantag för kontrollområdet kontanthantering så är internkontrollplanen 2012 identisk med 2011 års plan. Kontrollområdet inventarieförteckning har dock tillkommit. 4
Kommentar: Vi bedömer att det skett en positiv utveckling av processen med att ta fram den interna kontrollplanen. Genom att de diskussioner som förts inom ledningsgruppen utmynnat i en bruttolista på riskområden bedömer vi att förutsättningarna för att säkerställa att rätt kontroller görs har förbättrats. Dock är listan ej behandlad politiskt och det är endast de risker som ingår i kontrollplanen som har värderats. Dokumenterade riskanalyser som inkluderar en riskbedömning av samtliga riskområden på bruttolistan systematiserar riskhanteringen och kan därmed bidra till högre kvalitet i kommunstyrelsens och förvaltningsledningens beslutsunderlag. Vi bedömer därför att det finns utrymme för ytterligare förbättringar. 4.2. Bildningsnämnd 2010-12-01 fastställde bildningsnämnden internkontrollplanen för 2011 innehållande kontrollområdena attestregler, leveransfakturor, kontanthantering, föreningsbidrag samt åtgärdsprogram åk 8. Risk- och väsentlighetsdiskussionen har muntligen redovisats för bildningsnämndens arbetsutskott. Dock är framtagen bruttorisklista ej dokumenterad eller politiskt behandlad och det är endast de risker som ingår i kontrollplanen som har värderats. Vidare är det interna kontrollarbetet, genom Qualis, integrerat i handlingsplanen för det systematiska kvalitetsarbetet. Det interna kontrollarbetet har bedrivits enligt planen och det har inte identifierats avvikelser inom något av kontrollområdena. Av de kontrollområden som återfinns i 2010 och 2011 års internkontrollplan så visar uppföljningen från 2011 på en förbättring inom de två kontrollområdena attestregler och leverantörsfakturor samt åtgärdsprogram åk 8. Majoriteten av kontrollerna utförs under hösten och återrapportering av den kontroll som innefattas av den interna kontrollplanen sker en gång om året. Dock påpekas hur andra uppföljningar av resultat och kostnadsutvecklingen redovisas för nämnden mer kontinuerligt. 2012 års internkontrollplan har vidgats genom att tre nya kontrollområden tillkommit samt att ett av de befintliga utvidgats. Två av de nya kontrollerna är verksamhetsinriktade. Kommentar: Det är positivt att andra möjliga kontrollområden har diskuterats och redovisats muntligen för utskottet. Det är också positivt att två kontroller som återfinns i 2010 och 2011 års internkontrollplan nu uppvisar ett klart bättre resultat samt att internkontrollarbetet integrerats i Qualis. Detta tyder på en god kontrollmiljö. Vidare bedömer vi att fokus för internkontrollarbetet har vidgats i 2012 års internkontrollplan genom att två verksamhetsinriktade kontroller tillkommit. Det kvarstår dock utvecklingsarbete när det gäller dokumentation och utformning av den risk- och väsentlighetsanalys som ligger till grund för den interna kontrollplanen. Dokumenterade riskanalyser som även inkluderar en bruttorisklista systematiserar riskhanteringen och kan därmed bidra till högre kvalitet i nämndens och förvaltningsledningens beslutsunderlag. 4.3. Socialnämnd Nytt för 2011 är att medborgarnämnden och hälso- och sjukvårdsnämnden bildat socialnämnden. Hälso- och sjukvårdsnämndens beslutade 2010-12-21 102 att samtliga kontrollområden från hälso- och sjukvårdsnämndens internkontrollplan 2010 kvarstår i 2011 års internkontrollplan. Medborgarnämnden beslutade 2010-06-12 84 att två av kontrollområdena från 2010 skulle kvarstå i 2011 års internkontrollplan samt att två nya områden skulle ingå. Bakom de utvalda kontrollpunkterna uppges det ligga en diskussion om väsentlighet och risk men någon skriftlig dokumentation föreligger inte. 5
Uppföljning av den interna kontrollen samt återrapportering till socialnämnden skedde vid två tillfällen under 2011. Vid det första tillfället redovisades fem kontrollområden och vid det andra tillfället återrapporterades samtliga elva kontrollområden. Uppföljning som skickades till kommunstyrelsen består av båda dessa två uppföljningar. Enligt andra halvårets uppföljning identifieras avvikelser i åtta av 11 kontroller. För varje kontroll där avvikelse identifierats finns en redogörelse för vilka åtgärder som vidtagits. Det finns också en sammanfattande analys över 2011 års interkontrollarbete. Kommentar: Det är positivt att internkontrollarbetet återrapporteras till nämnden mer än en gång om året samt att uppföljningen innehåller en utförlig redogörelse och analys för respektive kontrollområde. För att ge en tydlig och enhetlig bild av internkontrollarbetet bör socialnämnden, i uppföljningen av internkontrollarbetet, på ett tydligt sätt sammanväga de resultat som framkommit vid första och andra halvårets uppföljning. Vidare kan dokumenterade riskanalyser som även inkluderar en bruttorisklista systematisera riskhanteringen och därmed bidra till högre kvalitet i nämndens och förvaltningsledningens beslutsunderlag. Vi bedömer därför att det finns utrymme för ytterligare förbättringar när det gäller framtagandet av nämndens internkontrollplan. 4.4. Bygg- och miljönämnd 2010-12-15, 113 beslutade bygg - och miljönämnden att godkänna framtaget förslag för 2011 års internkontrollplan, innehållande kontrollområdena bygglov för yttrande som rör miljökontorets verksamhet, delegationsanmälan miljöverksamheten, delegationsanmälan byggverksamheten och attestregler. Bakom de utvalda kontrollpunkterna ligger en diskussion om väsentlighet och risk men någon skriftlig dokumentation föreligger inte. I protokollet framgår ej vilka riskbedömningar som gjorts för respektive kontrollområde i internkontrollplanen. Det interna kontrollarbetet har under 2011 bedrivits enligt planen. Fyra av kontrollerna påvisar avvikelser, vilket i uppföljningen 2011 motiverar varför dessa kontroller kvarstår i 2012 års internkontrollplan. I uppföljningen finns en analys av identifierad avvikelse samt redogörelse för vidtagen åtgärd. Vi noterar att uppföljningen av 2011 års internkontrollarbete samt internkontrollplanen för 2012 ej behandlades i miljö- och byggnämnden innan materialet skickades till den centrala administrationen för hantering i kommunstyrelsen. Kommentar: En förutsättning för en effektiv intern kontroll är en riskanalys som säkerställer att rätt kontroller görs. Det är därför positivt att uppföljningen innehåller en analys av respektive kontrolls resultat och att kontroller förslås att kvarstå eller utgå i 2012 års internkontrollplan. Vi bedömer dock att en mer genomgripande riskanalys, med utgångspunkt i verksamhetens mål, skulle bidra till att en mer systematiskt hantering av verksamhetens risker. Vidare framgår ej vilka riskbedömningar som gjorts för kontrollområdena i 2011 års internkontrollarbete. Dokumenterade riskanalyser som även inkluderar en bruttorisklista systematiserar riskhanteringen och kan därmed bidra till högre kvalitet i nämndens och förvaltningsledningens beslutsunderlag. Vi bedömer därför att det finns utrymme för förbättringar i utformningen av nämndens internkontrollplan. 4.5. Analys Vi bedömer att Åstorps kommun bedriver sitt interna kontrollarbete utifrån en god och tydlig struktur där återrapportering sker skriftligt till respektive nämnd som rapporterar vidare till kommunstyrelsen. Nämndernas dokumenterade internkontrollarbete åskådliggörs i tabellen nedan. 6
= Förekommer ( ) =På väg Beskrivning av organisation och ansvar Rapport till egen styrelse/nämnd för IK 2011 Rapport till KS för IK 2011 Antal kontrollmoment 2011 Dokumenterad riskbedömning IK-plan 2011 IK-plan 2012 Kommunstyrelsen 8 Bildningsnämnden 4 Socialnämnden 11 Bygg- och miljönämnden ( ) ( ) ( ) 4 Som framgår av tabellen ovan tar nämnderna ansvar för arbetet med intern kontroll och med undantag för miljö- och byggnämnden finns det i samtliga internkontrollplaner en dokumenterad riskbedömning för varje kontrollområde. Vi noterar att merparten av nämndernas uppföljningar av internkontrollarbetet innehåller förslag på åtgärder utifrån respektive kontrollresultat, vilket skapar förutsättningar för verksamhetsutveckling. En förutsättning för en effektiv intern kontroll är en risk- och väsentlighetsanalys som säkerställer att rätt kontroller görs. Genom att genomföra en genomgripande analys, med utgångspunkt i verksamhetens mål, främjas en systematisk hantering av verksamhetens risker. Vidare kan dokumenterade riskanalyser som även inkluderar en bruttorisklista systematisera riskhanteringen och därmed bidra till högre kvalitet i nämndens och förvaltningsledningens beslutsunderlag. Med undantag för miljö- och byggnämnden så utgörs dokumentationen av samtliga nämnders risk- och väsentlighetsanalyser av den riskbedömning som finns för respektive kontrollområde i respektive nämnds internkontrollplan. Dock finns ingen bruttorisklista eller utförlig motivering till varför ett visst kontrollmoment inkluderas i internkontrollplanen. Vi bedömer därför att det finns utrymme för förbättring när det gäller dokumentation, innehåll och utformning av samtliga nämnders risk- och väsentlighetsanalyser. I internkontrollgranskningen från 2010 påpekas vikten av att förankra internkontrollarbetet i hela organisationen. Enligt vår bedömning är det därför positivt att en kommunövergripandearbetsgrupp för internkontrollarbete ska bildas inför 2012 men för att förankra arbetet i hela organisationen anser vi att kommunen bör överväga att kontinuerligt tillhandahålla utbildningsinsatser/samtalsforum för övrig personal. Vi har utifrån granskningen identifierat följande förslag på förbättringsområden: Samtliga nämnders internkontrollplaner bör på ett tydligt sätt kopplas till väl utvecklade och dokumenterade risk- och väsentlighetsbedömningar som utgår från verksamhetsmålen. De överväganden som ligger bakom bedömningarna bör dokumenteras i syfte att skapa mer systematik och underlätta uppföljning och diskussioner kommande år. Bruttorisklistor bör framtas av samtliga nämnder, vilket inte är fallet idag. För att förankra internkontrollarbetet i organisationen anser vi att kommunen bör överväga att kontinuerligt tillhandahålla utbildningsinsatser/samtalsforum. Vi noterar att kommunstyrelsen årligen sammanställer det sammantagna internkontrollresultatet. Som ansvarig för att analysera kommunens samlade system för intern kontroll anser vi att kommunstyrelsen har en viktig roll i metodutvecklingen av arbetet, varför utvärderingen bör stärkas och inte begränsas till att endast sammanfatta kontrollernas resultat. Kommunstyrelsen bör också arbeta för att uppnå en mer enhetlig planering och uppföljning av det interna kontrollarbetet. Sofie Bredberg, Åstorps kommun den 20 mars 2012 7
Bilaga 1: Källförteckning Intervjuade Annika Tublén Controller vid kommunstyrelseförvaltningen Annika Hoppe Förvaltningschef - Bildningsförvaltningen Anna-Lena Sellergren Förvaltningschef - Socialförvaltningen Mikael Fors Chef - Samhällsbyggnadsenheten Dokumentation Reglemente intern kontroll Åstorps kommun Internkontrollplaner 2010 Internkontrollplaner 2011 Internkontrollplaner 2012 Uppföljning 2011 Protokoll från samtliga nämnder 8
Bilaga 2: COSO modellen Den internationellt mest vedertagna metoden för att utveckla den interna styrningen och kontrollen är den s.k. COSO-modellen1. Enligt COSO är intern kontroll definierat som en process, utförd av en organisations styrelse, ledning och annan personal, utformad för att ge rimlig försäkran om att målen uppfylls inom följande kategorier: Effektivitet och produktivitet i verksamheten Tillförlitlig finansiell rapportering Efterlevnad av tillämpliga lagar och regler. För att förbättra den interna styrningen och kontrollen har fem centrala komponenter identifierats. För dessa redogörs kortfattat nedan. Hur dessa komponenter förhåller sig till varandra framgår av figuren. Kontrollmiljön Kontrollmiljön anger tonen i en organisation och påverkar kontrollmedvetenheten hos dess medarbetare. Det är grunden för alla andra komponenter inom intern kontroll och erbjuder ordning och struktur. Faktorer som innefattas av kontrollmiljön är integritet, etiska värden, kompetensen hos medarbetarna i organisationen, ledningens filosofi och ledarstil, det sätt på vilket ledningen fördelar ansvar och befogenheter och organiserar och utvecklar dess medarbetare samt den uppmärksamhet och vägledning som ledningen ger. Verksamhetens målformulering är en del av kontrollmiljön och har betydelse för identifieringen av risker. Kontrollmiljö Information och kommunikation Riskvärdering Kontrollaktivitet Uppföljning och utvärdering Reglemente intern kontroll Riskvärdering Varje organisation möter många olika risker av externt och internt ursprung som måste värderas. En förutsättning för riskvärderingen är att etablerade mål finns knutna till olika nivåer som är internt konsistenta. Riskvärderingen är identifieringen och analysen av relevanta risker för att uppnå målen och utgör basen för att bestämma hur riskerna ska hanteras. Eftersom ekonomiska, branschmässiga, regleringsspecifika och verksamhetsmässiga villkor kommer att förändras, behövs mekanismer för att identifiera och hantera de särskilda risker som är förknippade med förändringar. Riskvärderingen bör alltid dokumenteras i syfte att förtydliga systematiken i internkontrollarbetet. 1 The Committee of Sponsoring Organizations of the Treadway Commission 9
Kontrollaktiviteter Kontrollaktiviteter är de riktlinjer och rutiner som bidrar till att säkerställa att ledningens direktiv genomförs. De bidrar till att säkerställa att nödvändiga åtgärder vidtas för att hantera risker för att organisationens mål inte uppnås. Kontrollaktiviteter äger rum inom hela organisationen, på alla nivåer och i alla funktioner. De innefattar en rad aktiviteter av olika slag såsom godkännanden, attester, verifikationer, avstämningar, genomgångar av verksamhetens resultat, säkrandet av tillgångarna, samt åtskillnad av tjänsteroller och uppgifter. Information och kommunikation Relevant information måste identifieras, fångas, och förmedlas i en sådan form och inom en sådan tidsram att de anställda kan utföra sina uppgifter. Informationssystem genererar rapporter som innehåller verksamhetsmässig och finansiell information och uppgifter om regelefterlevnaden som gör det möjligt att driva och styra verksamheten. De anställda måste förstå sin egen roll i det interna styr- och kontrollsystemet samt hur enskilda aktiviteter påverkar andras arbete. De måste ha en kanal för att kommunicera betydelsefull information uppåt. Uppföljning och utvärdering Interna styr- och kontrollsystem behöver övervakas, följas upp och utvärderas en process som bestämmer kvaliteten på systemets resultat över tiden. Det åstadkoms genom löpande övervakningsåtgärder och uppföljningar, separata utvärderingar eller en kombination av dessa. Löpande övervakningsåtgärder och uppföljningar äger rum under verksamhetens gång. Det finns synergieffekter och kopplingar mellan de nämnda komponenterna, som formar ett sammanhållet system som reagerar dynamiskt på ändrade förutsättningar. Det interna styroch kontrollsystemet är sammanhållet med organisationens verksamhet och finns till av grundläggande verksamhetsmässiga skäl. Intern styrning och kontroll blir effektivast om kontrollerna är inbyggda i organisationens infrastruktur och ingår som en väsentlig del av organisationen. 10