Datum Beteckning 2019-08-29 KCO 19-097 Förslag till beslut Styrelsen Uppföljning av Internkontrollplan första halvåret 2019 Förslag till beslut Presidiet föreslår styrelsen besluta att godkänna uppföljningen av Internkontrollplan 2019 avseende första halvåret i enlighet med bilagda granskningsrapport. Ärende Kommunförbundet Skånes styrelse antog Internkontrollplan 2019 vid sammanträdet 2019-02-15. En uppföljning för första halvåret av Internkontrollplanen har genomförts och sammanställts i bilagda granskningsrapport. Ytterligare en uppföljning kommer att genomföras under hösten och redovisas för styrelsen i februari 2020. KOMMUNFÖRBUNDET SKÅNE Björn Sjölin Ekonomichef
Uppföljning av Internkontrollplan första halvåret 2019
Uppföljning av Internkontrollplan 2019 för Kommunförbundet Skåne Styrelsen beslutade 2019-02-15 om Internkontrollplan för 2019. Enligt beslutet ska Internkontrollplanen följas upp vid två tillfällen under 2019 i form av en granskningsrapport över samtliga granskade kontrollmoment. Den första granskningsrapporten som avser första halvåret 2019 ska behandlas av styrelsen vid sammanträdet 2018-09-20 och den andra granskningsrapporten som avser andra halvåret 2019 ska behandlas av styrelsen vid sammanträdet i februari 2020. Den första granskningen som avser första halvåret 2019 är nu genomförd och resultatet framgår av rapport nedan: Kommunförbundet Skåne 2(15)
Uppföljning av internkontrollplan - 1:a halvåret 2019 2019-08-26 1) Upphandlingsprocessen Granskning av om det under första halvåret 2019 förekommit att kommunerna varit avtalslösa kopplat till de av Kommunförbundet Skåne genomförda upphandlingarna. Två upphandlingar har haft tilldelning under granskningsperioden. En av dessa (telefoni) överprövades och är efter domstolsbeslut i juni avbruten och kommer att göras om, vilket kan innebära att medverkande kommuner blir avtalslösa under en viss period. Sedan tidigare gäller att Kommunförbundet Skåne, i de fall det är möjligt, påbörjar en tidigareläggning av de upphandlingar som genomförs tillsammans med kommunerna för att så långt som möjligt kunna hantera utdragna överprövningar utan att kommunerna blir avtalslösa. 2) Upphandlingsprocessen Granskning av prisförändringar i ny upphandling som avslutats under första halvåret 2019 i förhållande till föregående upphandling. En upphandling, handledning, har slutförts under granskningsperioden som berör kommunerna: Här blev resultatet att priserna ökade med ca 5% jämfört med tidigare avtal, vilket är en förväntad utveckling med tanke på det område som upphandlats och att detta område har konkurrensutsatts tidigare.
En upphandling har slutförts internt inom Kommunförbundet Skåne och gäller lokalvård. Här blev resultatet att priserna sänks med 66% fr.o.m. 1 september jämfört med nuvarande avtal. 3) Projektansökningar Granska underlag inför projektansökningar, bla att ekonomiska kalkyler finns framtagna och att inga negativa ekonomiska avvikelser finns. 4) Placeringspolicy Granskning av att placeringspolicyn följs. I granskningen har jämförelse gjorts mellan aktuella placeringar enligt likviditetsrapport med det egna kapitalet på balansräkningen. Granskningen visar inte på några avvikelser. Granskningen visar inte på några avvikelser. 5) Personalsystemet Granska att semesterdagar finns registrerade i personalsystemet utifrån gällande rutin. I granskningen har jämförelse gjorts mellan registrerade semesterdagar i personalsystemet och framtagen rapport i AGDA som visar registrerad, beviljad och obehandlad Granskningen uppvisar brister i registrering av semesterdagar i AGDA. Om inte chef godkänner inlagd semester i systemet innan det datum som semestern äger rum försvinner de registrerade dagarna ur systemet för medarbetarna. Finns dock lagrat i rapport som kan tas fram vid granskning. Om dagarna försvinner åligger det medarbetarna att efter månadens slut kontrollera att alla uttagna semesterdagar Kommunförbundet Skåne 4(15)
semester. Obehandlad semester har stämts av med chef/medarbetare. finns registrerade. Annars ska dessa läggas in på nytt för godkännande av närmsta chef. Här har granskningen visat på brister och att dessa registreringar inte gjorts fullt ut under granskningsperioden. Berörda har efter genomförd granskning registrerat uttagen semester på nytt som sedan godkänts av närmsta chef. Ytterligare information till avdelningscheferna om vikten av att löpande gå in i AGDA och godkänna semestrar samt information på arbetsplatsträffar för alla medarbetare om gällande rutiner. 6) Personalsystemet Granska att sjukfrånvaro/vab registreras i systemet utifrån gällande rutin. Granskningen visar inte på några avvikelser. I granskningen har jämförelse gjorts mellan registrerad frånvaro i personalsystemet och rapporterad frånvaro till ekonomiavdelningen. Kommunförbundet Skåne 5(15)
7) Delegationsordningen Granskning att delegationsordningen följs vad gäller tecknande av avtal. Granskningen visar inte på några avvikelser. Stickprovsgranskning genom att i Kommunförbundet Skånes avtalsregister ta ut de tre senast inlämnade nytecknade avtalen 2019 och se om dessa skrivits under av behörig chef. 8) Personalsystemet Granska att utbetald lön motsvarar godkänd lön. Granskningen visar inte på några avvikelser. Stickprovsgranskning genom jämförelse mellan lönespecifikation, anställningsavtal och lönerevisionsunderlag. 9) Nyckelpersoner inom projekt Genomgång av om projektledare eller motsvarande avslutat sin tjänst innan projektets utgång. Respektive avdelningschef rapporterar om det förekommit att nyckelpersoner avslutat sin anställning innan projekttidens utgång samt vilka åtgärder detta i så fall föranlett. Efter samtal med processutvärderare i ett av våra ESF-projekt befanns projektet vara överbemannat och åtgärder har inletts för att dra ner organisationen. En delregional projektledare slutar sin tjänst i en kommun men ersätts av en ny projektledare. Inga konsekvenser hittills. Dialog förs mellan den delregionala projektledaren och Kommunförbundet Skåne 6(15)
styrgruppsrepresentanten för den aktuella kommunen för att säkerställa kvaliteten. 10) Projektfinansiärer Granska om det förekommit att medfinansiärer till projekt drar sig ur projektavtal innan projekttidens utgång samt vilka åtgärder detta i så fall föranlett. 11) Projektpartners Granska om partners till Kommunförbundet Skåne i pågående projekt utför de aktiviteter och de ekonomiska resultat som är överenskommet enligt plan/avtal. Genomgång av gällande rutin för respektive projektbeslut för att kontrollera att projektpartners utför uppdrag enligt projektplan. Granskningen visar inte på att någon medfinansiär till projekt dragit sig ur projektavtalet. Avtal har tecknats mellan projektägare och deltagande organisation där det tydligt framgår vilket åtagande som finns och vilka konsekvenser det får om man inte fortsätter i projektet. Vid nya projekt där Kommunförbundet Skåne är projektägare skrivs avtal med de kommuner som deltar i projektet om ansvar för medfinansiering och ekonomisk kompensation om medfinansiering minskar som påverkar budgetutfallet i projektet. Vissa partners har svårigheter att leverera in medfinansiering i form av tid i ett av våra ESF-projekt, varför viss utbetalning av ESF-medel inte utförs förrän inrapportering skett av utförda timmar. Detta efter överenskommelse med ESFrådet. Kommunförbundet Skåne 7(15)
Kommunförbundet Skåne har även lämnat in en ändringsanmälan om sänkt budget för detta projekt och därmed sänkt medfinansieringen eftersom det ser svårt ut att komma vid projektslut ha kommit upp till den tidigare överenskomna medfinansieringen. 12) IT-miljön: IT-system inom Kommunförbundet Skåne Granska hur funktionen av befintliga IT-system upprätthålls. Dokumentation av de tillfällen då IT-system havererat samt analys av orsak samt beskrivning av åtgärder. Det förekommer intermittenta avbrott eller kapacitetsbortfall i kommunikationsnätet internt. Orsaken är okänd, men felsökning pågår. Under sommaren kommer nätverksutrustningen för det trådlösa nätverket att uppgraderas. Problemet med utskriftstjänsten för Macanvändare kvarstår. En fungerande lösning är på plats i form av en separat skrivare för kommunikationsenheten (Macanvändarna). Det förekommer ständiga intrångsförsök i form av försök att logga in i vårt nätverk från andra länder. Det görs dagligen hundratals intrångsförsök. Merparten av Kommunförbundet Skåne 8(15)
dessa avvisas av Microsofts system då de kommer från kända hackergrupper eller länder som är kända för att hysa sådana grupper. Säkerheten vid inloggning behöver ses över och det behöver införas s.k. fler-faktorsinloggning, för att säkra våra immateriella tillgångar. 13) IT-miljön: Säkerhet kring sparad dokumentation Granska att synkronisering sker samt att backup genomförs när dokument sparas enligt framtagen rutin. Via enkät till medarbetarna säkerställa att full funktion är etablerad på samtligas datorer. Granskningen visade att av de medarbetare som svarade på enkäten (90,1%) så använder 92,2% Pc och resterande Macdatorer. Enkäten visar att 95,2% av Pcanvändarna redovisar fullt fungerande One Drive (synkronisering/ back up). De ca 5% av Pc-användarna som saknar full funktionalitet uppmanas att kontakta IT-support för att få hjälp med att få till stånd full funktionalitet. Det finns en teknisk brist i synkroniseringstjänsten, som innebär att det inte går att centralt kontrollera att synkronisering/backup körs som förväntat. Kommunförbundet Skåne 9(15)
Intill dess att en sådan funktionalitet finns (Microsoft) är det nödvändigt att fortsätta denna granskning för att säkerställa fullgod funktionalitet. 14) Arkiv/avtalshantering Granskning av att upprättad arkiverings- och avtalsrutin följs. Ett digitalt diarium upprättades i december 2019 som ersatte tidigare arbetssätt för diarie- och arkivhantering. I samband med detta togs nya arkiveringsrutiner fram och godkändes av ledningsgruppen. Genomförd granskning, via stickprov på inlagda dokument, visar på att rutinen i huvudsak följs. Dock hittades ett avtal som inte var signerat. Det stod inget i den ursprungliga rutinbeskrivningen från december om att inlagda avtal ska vara signerade men detta har nu efter granskningen lagts till i rutinen. Granskningen visade även att ett politiskt dokument ej hade uppdaterat diarienummer. Kommunförbundet Skåne 10(15)
Uppdatering av arkiveringsrutinen efter genomförd granskning gjordes i maj. Information om rutinen bör ges löpande till hela organisationen via APT och verksamhetsmöten. 15) Rekrytering av personal Granskning av att befintlig rekryteringsrutin följs. Granskning av att samtliga nyanställningar som genomförts under våren har gjorts enligt rutin. Genomförd granskning visar att rutinen efterföljts vid rekryteringen. Dock finns avvikelse vad gäller återkoppling till de sökande eftersom mejlsystemet i dagsläget inte kan hantera försändelser på det sätt som beskrivs i rutinen. I det nya CRM-system som Kommunförbundet Skåne nyligen upphandlat och som kör igång till hösten finns möjlighet att bygga en rekryteringsmodul som kan lösa det nuvarande problemet. CRM står för Customer Relationship Management. Kommunförbundet Skåne 11(15)
16) Mötesbokning Granskning av att gällande rutiner för bokning av möteslokaler efterlevs samt att upphandlade kurs- /konferensanläggningar används vid bokning av externa lokaler. Stickprovsgranskning av inlämnade mötesbeställningar för kontroll att rutin efterlevs samt utdrag ur ekonomisystemet för kontroll av att externa bokningar skett enligt gällande kurs- och konferensavtal. Genomförd granskning gällande rutiner för bokning visade att dessa i huvudsak följs. Fortfarande använder en del som bokar möten en gammal mall. Av de som bokat möten på annan plats än vån 4 finns det i de flesta fall en korrekt anledning till detta tex att det är fullbokat på vån 4. En del gör bokningar externt på egen hand vilket inte är enligt rutinerna. Förnyad påminnelse på intranätet om vilken mall som ska användas vid mötesbokning, information om att alla mötesbokningar ska gå genom avdelning HR/Kurs- och konferens samt att om bokningar görs utanför vån 4 så ska anledningen till detta klart framgå. Granskning av att upphandlade kurs- /konferensanläggningar används vid bokning av externa lokaler visade inte på någon avvikelse. Kommunförbundet Skåne 12(15)
17) Upphandlingsprocessen Granskning av att interna direktupphandlingar genomförs i enlighet med framtagna riktlinjer Stickprovsgranskning genom utdrag ur ekonomisystemet av leverantörer där höga utbetalningar gjorts för kontroll av att upphandlingar gjort enligt riktlinjerna. Interna riktlinjer för inköp/upphandling finns och uppdaterades senast våren 2019. Genomförd granskning av relevanta leverantörer via stickprov visar på vissa brister utifrån gällande riktlinjer. Av fem utvalda leverantörer saknas dokumentation i fyra av dessa som visar om upphandling genomförts enligt riktlinjerna. Två av dessa gällde dock projekt där krav finns från finansiären att avrop ska göras utifrån ramavtal, vilket gjorts. Detta bör också dokumenteras i vårt interna system men framgår inte av våra riktlinjer. I ett tredje fall fanns dokumentation, men på fel ställe. Det fjärde fallet hade inte upphandlats enligt riktlinjerna dvs var inte konkurrensutsatt. Förnyad utbildning/information kommer att ges på samtliga avdelningars APT samt på verksamhetsmöte under hösten. Detta för att påminna om vikten av att följa beslutade riktlinjer om upphandling. Förtydliga riktlinjerna angående dokumentation av avrop från ramavtal i projekt. Kommunförbundet Skåne 13(15)
18) GDPR (General Data Protection Regulation) Granskning om de system och informationstjänster som används inom Kommunförbundet Skåne lever upp till tillämpbar lagstiftning. Denna granskning genomförs en gång om året, vilket kommer att ske under hösten och återrapporteras vid nästa granskningsrapport. Uppföljning av systemen och informationstjänsterna tillsammans med systemägare/systemförvaltare. 19) GDPR (General Data Protection Regulation) Granskning av om användarnas personuppgiftsbehandling lever upp till tillämpbar lagstiftning. Kontinuerlig bevakning av utvalda känsliga uppgifter som hanteras i Office 365. Dataskyddsombud bevakar hur Kommunförbundet Skånes anställda har klassificerat filer och epost Office 365. Nya rutiner för medarbetarna börjar gälla 1 oktober 2019. Granskning av detta kommer att ske under hösten och återrapporteras till styrelsen i nästa granskningsrapport. Uppföljning av personuppgiftsincidentrapporter från medarbetarna. Dataskyddsombudet bevakar avvikelser i personuppgiftshanteringen, vilka misstänks vara personuppgiftsincidenter som ska anmälas till dataskyddsombudet av medarbetare. En incident under våren har anmälts då utskrivna listor, med bla namn och organisationstillhörighet avseende kontaktpersoner och evenemangsdeltagare, legat kvarglömt i ett av kopieringsrummen. Kommunförbundet Skåne 14(15)
Spridningen ansåg dock vara minimal och konsekvenserna för de registrerade bedömdes som liten eller obetydlig eftersom dokumenten förstördes direkt efter anmälan. Riktlinjer för hur vi ska hantera personlistor och utskrifter behöver kommuniceras ytterligare inom organisationen. Kommunförbundet Skåne 15(15)