Kommunens revisorer 2013-04-08 GRANSKNING AV INTERNKONTROLLPLANER I HÄRRYDA KOMMUN Revisionsnämnden beslutade den 8 april 2013 att överlämna granskningen av internkontrollplaner till kommunstyrelsen. Rapporten visar att respektive sektors internkontrollplan är ändamålsenlig men att det finns ett antal iakttagelser och rekommendationer som sektorerna behöver utveckla för att förbättra sina internkontrollplaner framöver och därmed bättre avspegla den interna kontrollen i hela verksamheten. Kommunens revisorer vill särskilt lyfta fram: Interkontrollplanerna saknar tydlig koppling till en övergripande risk- och väsentlighetsanalys av verksamheten samt vidare koppling till lagar, verksamhetens mål och strategier. Avsaknaden av en central, mer oberoende kvalitetskontroll av framtagna internkontrollplaner kan medföra en ökad risk för bristande dokumentation och även medföra risk för utebliven efterlevnad av policys och riktlinjer. Det är av betydelse att alla anställda utbildas för att erhålla en medvetenhet om vikten av en god intern kontroll samt hur detta påverkar det dagliga arbetet. I övrigt hänvisas till rapporten. KOMMUNENS REVISORER Ingrid Duwe Allan Andersson Ordförande Vice ordförande
Februari 2013 Harald Jagner, Pernilla Lihnell, Ida Andersson Granskning av internkontrollplaner Härryda Kommun
Innehåll 1. Sammanfattning 1 2. Inledning 3 3. COSO-modellen 4 4. Härryda kommun 7 5. Utvärdering Härryda kommun 10
1. Sammanfattning Sammanfattning Respektive sektor inom Härryda kommun upprättar årligen en internkontrollplan med syfte att stödja en god intern kontroll. Respektive sektors internkontrollplan ingår därefter i Kommunstyrelsens totala internkontrollplan, då det är Kommunstyrelsen som har det övergripande ansvaret för kommunens internkontroll.deloitte har av de förtroendevalda revisorerna fått i uppdrag att gå igenom och utvärdera respektive sektors internkontrollplan. Metoden för utvärderingen består i en genomgång och analys av respektive sektors internkontrollplan. Utgångspunkt för analysen har varit Coso-modellen, vilket är ett etablerat ramverk för god intern styrning. Syftet med granskningen är att övergripande bedöma den interna kontrollen samt utvärdera respektive internkontrollplan mot best practice. Kommunstyrelsen och respektive sektor inom Härryda kommun arbetar fram internkontrollplaner för sina respektive områden. Internkontrollplanerna anger kontrollmoment och en plan för testning. Vid framtagandet av internkontrollplanerna har komponenterna i Coso-modellen beaktats i varierande utsträckning och omfattning. Vid arbetet med en effektiv intern kontroll finns många faktorer att beakta och det är viktigt att arbetet hela tiden är under utveckling och förnyelse. Internkontrollplanerna inom Härryda kommun och arbetet med den interna kontrollen innehåller såväl styrkor som utvecklingsområden vilka har identifierats baserat på utförd analys. Revisionsfråga Är respektive sektor internkontrollplan ändamålsenlig? Svar på revisionsfråga Respektive sektors internkontrollplan är ändamålsenlig, men det finns ett antal iakttagelser och rekommendationer som sektorerna behöver utveckla för att förbättra sina internkontrollplaner framöver och därmed bättre avspegla den interna kontrollen i hela verksamheten. Iakttagelser/rekommendationer Dokumenterad utvärdering av den interna kontrollmiljön saknas. För att kunna besluta om relevanta kontrollaktiviteter utifrån verksamhetens kontrollmiljö bör en dokumenterad utvärdering finnas på plats. Interkontrollplanerna saknar tydlig koppling till en övergripande risk- och väsentlighetsanalys av verksamheten och vidare koppling till lagar, verksamhetens mål och strategier. Denna utvärdering bör dokumenteras och finnas på plats innan utformandet av en internkontrollplan påbörjas. Framtagna internkontrollplaner inom Härryda kommun har stort fokus på kontrollaktiviteter med koppling till delegationsbeslut vilket kan vara väsentligt för alla verksamheter. Det är dock av stor vikt att en översiktlig riskanalys genomförs för att säkerställa en utökad bredd och spridning avseende valda kontrollaktiviteter för att säkerställa att samtliga tre perspektiv, ändamålsenlig verksamhet, finansiell rapportering och efterlevnad av lagar 1
och förordningar samt kritiska processer och moment i Coso-modellen ingår. Avsaknad av en central, mer oberoende kvalitetskontroll av framtagna internkontrollplaner. Avsaknaden kan medföra en ökad risk för bristande dokumentation och även medföra risk för utebliven efterlevnad av policys och riktlinjer. Internkontrollplanerna är generella och enbart några specifika kontrollmoment finns för vissa av sektorerna. Framtagna internkontrollplaner täcker ej sektorernas samtliga kritiska processer. För att säkerställa en komplett internkontrollplan är det viktigt att samtliga sektorns kritiska processer finns representerade i internkontrollplanen. Det saknas riktlinjer för uppföljning av genomförda åtgärder med anledning av noterade brister av utförda kontroller och hur dokumentation avseende eventuella åtgärder skall ske. Viss utbildning har hållits inom organisationen avseende intern kontroll och vad detta innebär samt syftar till. Det är dock av betydelse att alla anställda utbildas för att erhålla en medvetenhet om vikten av en god intern kontroll samt hur detta påverkar det dagliga arbetet. Vid vår granskning har vi vidare noterat att det finns skriftliga rutinbeskrivningar inom sektorerna, dock saknas det inom ett antal kritiska områden. Vidare sker inga stickprovskontroller av att upprättade rutinbeskrivningar efterlevs. För att stärka den interna kontrollen inom sektorerna är det av stor vikt att skriftliga rutiner/riktlinjer upprättas för sektorns kritiska områden. 2
2. Inledning Bakgrund Respektive sektor inom Härryda kommun har upprättat en internkontrollplan med syfte att stödja en god internkontroll. En god intern kontroll är en viktig faktor för att säkerställa att verksamheten och den finansiella rapporteringen fungerar på ett tillfredsställande sätt. Deloitte har av de förtroendevalda revisorerna i Härryda kommun fått i uppdrag att gå igenom och utvärdera respektive sektors internkontrollplan. Revisionsfråga Är respektive sektors internkontrollplan ändamålsenlig? Kontrollmål Ger uppsatta kontrollmoment i sektorns internkontrollplan en tillfredställande uppföljning av sektorns interna kontroll? Finns en väl fungerande rapportering och uppföljning av sektorns internkontrollplan? Metod Metoden består i en genomgång och analys av respektive sektors internkontrollplan samt intervju med respektive sektorchef. Jämförelse har skett mellan respektive sektors internkontrollplan samt gentemot best practice. Vid vår analys av Härryda kommuns interna kontroll har vi utgått från COSO-modellen, vilket är ett etablerat ramverk för god intern styrning och kontroll. COSO modellen beskrivs närmare i kapitel 3. Syfte Syftet med granskningen är att övergripande bedöma den interna kontrollen i Härryda kommun samt lyfta fram eventuella förbättringsområden. Rapporten syftar även till att lyfta fram styrkor och svagheter i respektive plan samt jämföra planerna mot best practice. Finns rutiner för att följa upp och åtgärda eventuella avvikelser som identifieras vid genomgången av internkontrollplanen? 3
3. COSO-modellen Coso-modellen Coso är ett etablerat ramverk för god intern styrning och kontroll. Intern kontroll definieras som en process som påverkas av styrelse, ledning och annan personal och som utformats för att ge en rimlig försäkran om att enhetens mål uppnås genom följande områden: Ändamålsenlig och effektiv verksamhet Tillförlitlig finansiell rapportering Efterlevnad av tillämpliga lagar och förordningar God intern kontroll uppnås genom att samtliga komponenter i Coso-modellen samordnas och optimeras inom respektive perspektiv och process. De fem komponenterna av Cosomodellen är: Komponenter Kontrollmiljö Riskbedömning Kontrollaktiviteter Information och kommunikationsvägar Uppföljning Perspektiv Övergripande Inköpsprocessen Bokslutsprocessen HR-processen Intäktsproceccen Kontrollmiljö Riskbedömning Kontrollaktiviteter Information och kommunikationsvägar Uppföljning 4
Coso-modellens komponenter Alla fem komponenter är väsentliga för att den interna kontrollen ska vara effektiv och beskrivs lite mer i detalj nedan. Utvärdering av kontrollmiljön Som ett första steg i att skapa en effektiv intern kontroll bör verksamheten säkerställa en väl fungerande kontrollmiljö. Kontrollmiljön utgör det kontext som den interna kontrollen verkar inom och kan avse både formella samt informella faktorer. Exempel på mer formella faktorer är lagar och andra regelverk och mer informella faktorer kan vara kultur och ledarskap. Kontrollmiljön kan beskrivas utifrån följande frågeställningar: Hur påverkar organisationskulturen den interna styrningen och kontrollen? Vilka signaler mottar medarbetarna från ledningen om risk och kontroll? Hur ser ansvarsfördelning ut för utvärdering och övervakning av den interna kontrollen? Finns stöd för kompetensförsörjning och kompetensutveckling? Finns en fastställd och kommunicerad interkontrollplan på plats? Riskbedömning i verksamheten När en väl fungerande kontrollmiljö finns på plats och innan väsentliga kontroller väljs ut bör verksamheten genomföra en detaljerad riskanalys.riskbedömningen bör beakta hur väsentliga identifierade risker är och även sannolikheten för att risken inträffar. Riskbedömning kan beskrivas utifrån följande frågeställningar: Hur kan ledningen förlita sig på att risker identifieras och värderas på ett enhetligt och riktigt sätt genom hela organisationen? Exempel övergripande kontroller: Har en dokumenterad riskanalys gjorts av verksamheten? Är internkontrollplanen tydligt kopplad till den framtagna riskanalysen? Exempel övergripande kontroller: Finns det övergripande styrmodeller samt mål och strategier? Är organisation/roller och ansvar samt resursallokering fastslaget? Finns övergripande policys och riktlinjer för styrning? Kontrollaktiviteter När en riskbedömning finns på plats bör verksamheten utvärdera vilka väsentliga kontrollaktiviteter som är tillämpliga. Kontrollaktiviteterna bör bestämmas utifrån den riskanalys som gjorts och hänsyn bör även tas till väsentlighet och sannolikhet. Kontrollaktiviteter kan beskrivas utifrån följande frågeställningar: 5
Hur kan ledningen försäkra sig om att lämpliga kontrollaktiviteter utförs i tid, av rätt personer samt att dessa dokumenteras vid behov? Exempel övergripande kontroller: Beaktas den operationella verksamheten? Beaktas lagar och förordningar? Beaktas finansiell rapportering? Beaktas generella IT-kontroller? Inkluderar internkontrollplanen väsentliga och relevanta kontroller? Information och kommunikationsvägar En väsentlig komponent då internkontrollplanen är på plats är väl fungerande information och kommunikationsvägar. Olika typer av information behövs inom olika delar av organisationen för att säkerställa en effektiv intern kontroll. Det är även av stor vikt att väsentlig information når de som är förtroendevalda för att dessa skall kunna fatta beslut på rimliga grunder. Information och kommunikationsvägar kan beskrivas utifrån följande frågeställningar: Hur säkerställs att rätt information når rätt personer i rätt tid? Hur kan ledningen informera sig om att verksamheten bedrivs effektivt och ändamålsenligt? Exempel övergripande kontroller: Finns policys och riktlinjer för intern/extern kommunikation? Är internkontrollplanen känd och tillgänglig samt kommunicerad inom organisationen? Uppföljning och övervakning För att säkerställa att löpande utvärderingar och förbättringar ständigt sker är det av vikt att verksamheten har ett fungerande uppföljningssystem. Vid identifierade brister behöver även rutiner finnas på plats för att dessa skall hanteras effektivt och att ändamålsenliga åtgärder sätts in. Uppföljning kan beskrivas utifrån följande frågeställningar: Sker utvärderingar och ständiga förbättringar? Hur sker löpande och särskild uppföljning? Hur hanteras signaler om brister i internkontrollsystemet? Exempel övergripande kontroller: Finns ett utarbetat system för uppföljning och övervakning? Utförs uppföljning av resultat från testning enligt framtagen internkontrollplan? Finns ett utarbetat system för överträdelser och åtgärdsplaner? 6
4. Härryda kommun Nedan har vi kort beskrivit processen för framtagandet av respektive sektors internkontrollplaner utifrån Coso-modellens komponenter. Informationen har vi erhållit genom intervjuer samt genomgång av internkontrollplanerna. Bakgrund Sektorn för administrativt stöd är den sektor som upprättar och samlar in samtliga internkontrollplaner inom Härryda kommun. De kontrollaktivitetersom arbetas fram av sektorn för administrativt stöd avser sådana risker som är gemensamma för samtliga sektorer. En enskild sektor kan därefter inkludera ytterligare kontrollaktiviteter i sin internkontrollplan om behov finns.detta sker då separat inom varje sektor. Vid året slut träffas alla sektorerna på ett avdelningschefsmöte och diskuterar årets internkontrollplan för att identifiera eventuella nya kontrollaktiviteter som bör inkluderas i nästkommande års interkontrollplan. Utvärdering av kontrollmiljö Den modell som har tagits fram för internkontrollplanerna har kommunicerats i organisationen genom att finnas tillgänglig på kommunens intranät. Härryda har utsett kanslichef, Lena Magnussonatt ansvara för den övergripande internkontrollplanen. Utöver den beslutade modellen finns vissa riktlinjer avseende intern kontroll. Vi har inte kunnat identifiera att det har skett någon dokumenterad utvärdering av kommunens kontrollmiljö. Riskbedömning i verksamheten I samband med framtagandet av respektive internkontrollplan har en riskbedömning gjorts för respektive kontrollaktivitet och risken har dokumenterats i respektive internkontrollplan. Sektorerna har själva ansvarat för att utföra denna riskbedömning och ingen central styrning har förelegat. En viss riskbedömning har därmed gjorts av verksamheterna men det har inte utförts någon mer grundläggande riskbedömning som internkontrollplanen baserats på. Kontrollaktiviteter Respektive sektor ansvarar för att besluta om lämpliga kontrollaktiviteter och säkerställa att testningen blir utförd. Kanslichefen har dock det övergripande ansvaret för att samla in alla planer inklusive dokumenterad testning och rapportera resultatet till Kommunstyrelsen. Information och kommunikationsvägar Härryda kommun har inga bestämda riktlinjer för hur internkontrollplanen och dess syfte skall kommuniceras ut i organisationen. Ansvaret för detta åligger respektive sektorchef. Viss utbildning har hållits inom intern kontroll i kommunen. Dock har detta bara innefattat vissa anställda.rapportering till kanslichef sker enligt fastslagna riktlinjer en gång per år. 7
Uppföljning och övervakning Om man i den rapport som sammanställs över genomförda tester identifierar avvikelser tas dessa avvikelser med i den rapport som lämnas till Kommunstyrelsen. Det finns dock ingenting dokumenterat om att testning bör göras inom en viss tid för att säkerställa att den identifierade avvikelsen endast var en isolerad händelse. En fastställd rutin saknas över hur uppföljning och dokumentation över genomförd testning ska ske inom sektorerna. Identifierade avvikelser vid utförda kontroller i internkontrollplanen rapporteras årligen till Kommunstyrelsen. Det saknas dock riktlinjer för hur uppföljning av avvikelserna skall ske, exempelvis göra om testningen inom ett visst intervall för att kontrollera om det var en isolerad händelse eller att orsaken till avvikelsen är åtgärdad. Det saknas även en fastställd rutin för hur uppföljning och dokumentation över genomförd testning skall ske inom respektive sektor. 8
Översikt internkontrollplaner Härryda kommun Respektive sektor har arbetat fram en internkontrollplan som anger en plan för testning samt utfall av den testning som senare genomförts. De kontrollaktiviteter som utförs av sektorn för administrativt omfattar dock samtliga sektorer. För att skapa en överblick över de internkontrollplaner som arbetats fram i respektive sektor visas nedan en sammanställning över vilkakontrollaktiviteter respektive sektor har för 2012. Det kan finnas flera kontroller inom respektive område. Sektorer/Kontrollaktiviteter Sektor för administrativtstöd Handläggning av delegationsbeslut X Granskning av ekonomisk uppföljning och kontroll Uppföljning av beslutade åtgärder utifrån kommunrevisionens granskningsrapporter Löneprocess X Sjukskrivning X Likviditetutveckling/Placering X Leverantörsreskontra X Kontantutbetalning och utlandsbetalningar Investering och momsredovisning X X X X Sektor för samhällsbyggnad Sektor för socialtjänst Sektor för utbildning och kultur Sektor för teknik och försörjningsstöd Granskning av attesterade fakturor X X Livsmedelsverkets krav på säker dricksvattenproduktion Kontroll vid anställning X Utbetalning ekonomiskt bistånd X Utbetalningar Individ- och familjeomsorgen X X 9
5. UtvärderingHärryda kommun Styrkor och utvecklingsmöjligheterhärryda kommun Vid arbetet med en effektiv intern kontroll finns många faktorer att beakta och det är även viktigt att arbetet hela tiden är under utveckling och förnyelse. Baserat på den information som erhållits och de internkontrollplaner vi tagit del av har ett antal styrkor samt utvecklingsmöjligheter identifierats vilka presenteras nedan. Analysen av internkontrollplanerna har skett utifrån Coso-modellen och best-practice. Styrkor Det finns en strukturerad process för att årligen arbeta fram internkontrollplaner för Härryda kommun. Det finns en central samordning med ett övergripande ansvar för den interna kontrollen inom kommunen, vilket ger möjlighet till ytterligare central samordning. Vid beslut om relevanta kontrollaktiviteter har respektive sektor möjlighet till anpassningutifrånsin egen verksamhet. Årsvis rapportering sker till Kommunstyrelsen. Detta medför att beslutsfattarna inom kommunen har ökade möjligheter att få god insyn avseende den interna kontrollen samt medvetenhet om eventuella brister. Utvecklingsmöjligheter Dokumenterad utvärdering av den interna kontrollmiljön saknas. För att kunna besluta om relevanta kontrollaktiviteter utifrån verksamhetens kontrollmiljö bör en dokumenterad utvärdering finnas på plats. Interkontrollplanerna saknar tydlig koppling till en övergripande risk- och väsentlighetsanalys av verksamheten och vidare koppling till lagar, verksamhetens mål och strategier. Denna utvärdering bör dokumenteras och finnas på plats innan utformandet av en internkontrollplan påbörjas. Framtagna internkontrollplaner inom Härryda kommun har stort fokus på kontrollaktiviteter med koppling till delegationsbeslut vilket kan vara väsentligt för alla verksamheter. Det är dock av stor vikt att en översiktlig riskanalys genomförs för att säkerställa en utökad bredd och spridning avseende valda kontrollaktiviteter för att säkerställa att samtliga tre perspektiv, ändamålsenlig verksamhet, finansiell rapportering och efterlevnad av lagar och förordningar samt kritiska processer och moment i Coso-modellen ingår. Avsaknad av en central,mer oberoende kvalitetskontroll av framtagna internkontrollplaner. Avsaknaden kan medföra en ökad risk för bristande dokumentation och även medföra risk för utebliven efterlevnad av policys och riktlinjer. Internkontrollplanerna är generella och enbart några specifika kontrollmoment finns för vissa av sektorerna. Framtagna internkontrollplaner täcker ej sektorernas samtliga kritiska processer. För att säkerställa en komplett 10
internkontrollplan är det viktigt att samtliga sektorns kritiska processer finns representerade i internkontrollplanen. Det saknas riktlinjer för uppföljning av genomförda åtgärder med anledning av noterade brister av utförda kontroller och hur dokumentation avseende eventuella åtgärder skall ske. Viss utbildning har hållits inom organisationen avseende intern kontroll och vad detta innebär samt syftar till. Det är dock av betydelse att alla anställda utbildas för att erhålla en medvetenhet om vikten av en god intern kontroll samt hur detta påverkar det dagliga arbetet. Vid vår granskning har vi vidare noterat att det finns skriftliga rutinbeskrivningar inom sektorerna, dock saknas det inom ett antal kritiska områden. Vidare sker inga stickprovskontroller av att upprättade rutinbeskrivningar efterlevs. För att stärka den interna kontrollen inom sektorerna är det av stor vikt att skriftliga rutiner/riktlinjer upprättas för sektorns kritiska områden. Sammanfattning avseende identifierade utvecklingsmöjligheter Enligt COSO-modellen finns fem väsentliga komponenter som är viktiga att beakta för en effektiv intern kontroll; kontrollmiljö, riskbedömning, kontrollaktiviteter, information och kommunikationsvägar samt uppföljning. Ett utvecklingsområde som bedöms centralt för Härryda kommun är att utveckla det grundläggande arbetet med utvärdering av verksamhetens kontrollmiljö samt utförandet och dokumentationen av en riskanalys för respektive verksamhet. När dessa två komponenter har beaktats bör kontrollaktiviteter som väljs för testning baseras på de två förstnämnda analyserna. För att stödja en effektiv intern kontroll bör även informationsflödet samt hantering av eventuella avvikelser utvecklas genom att öka utbildningsinsatserna avseende intern kontroll samt tydliggöra riktlinjer och processer för uppföljning av identifierade avvikelser. 11
Med Deloitte avses en eller flera av Deloitte Touche TohmatsuLimited, en brittisk juridisk person (Eng: limited by guarantee ), och dess nätverk av medlemsfirmor, som var och en är juridiskt åtskilda och oberoende enheter. För en mer detaljerad beskrivning av den legala strukturen för Deloitte Touche TohmatsuLimited och dess medlemsfirmor, besök www.deloitte.com/about. Deloitte erbjuder tjänster inom revision, skatterådgivning, business consulting och finansiell rådgivning till offentliga och privata klienter inom en mängd branscher. Med ett globalt nätverk av medlemsfirmor i mer än 150 länder, kan Deloitte erbjuda spetskompetens av världsklass och djup lokal expertis för att hjälpa klienter till framgång oavsett var i världen de bedriver sin verksamhet. Samtliga 170 000 medarbetare i nätverket arbetar för att nå den gemensamma visionen To be the standard ofexcellence. 2013 Deloitte AB 12