Revisionsrapport Granskning av införandet av lönesystemet Heroma Halmstads kommun Amanda Elg Joakim Rydberg Februari 2016
Granskning av införandet av lönesystemet Heroma Halmstads kommun Innehållsförteckning 1. Sammanfattning... 1 2. Introduktion... 2 2.1. Bakgrund... 2 2.2. Revisionsfråga... 2 2.3. Revisionskriterier... 2 2.4. Kontrollmål... 2 2.5. Metod, kontrollmål och avgränsning... 3 3. Iakttagelser och bedömningar... 4 3.1. Övergripande information om lönekontorets organisation... 4 3.2. Projektstyrning... 4 3.2.1. Budget... 5 3.2.2. Delprojekt HR Transformation... 5 3.2.3. Delprojekt HR IT... 6 3.2.4. Migrering av data... 6 3.2.5. Systemkrav... 6 3.2.6. Rutiner och riktlinjer för lönehanteringen... 7 3.2.7. Bedömning... 7 3.3. Behörighetsstruktur... 8 3.3.1. Genomgång av befintliga behörigheter... 8 3.3.2. Tilldelning av behörigheter... 9 3.3.3. Bedömning... 9 3.4. Kontroller i löneprocessen... 9 3.4.1. Ändring av fast data... 9 3.4.2. Tillägg och ändringar... 10 3.4.3. Lönekörning... 10 3.4.4. Utbetalning... 10 3.4.5. Överföring av data till ekonomisystemet... 10 3.4.6. Bedömning... 11 4. Revisionell bedömning... 12 5. Appendix Iakttagelser och rekommendationer... 14 Granskning av införandet av lönesystemet Heroma Halmstads kommun 2016
1. Sammanfattning Revisorerna i Halmstads kommun har gett i uppdrag att genomföra en granskning av införandet av lönesystemet Heroma för att bedöma om kommunen (Kommunstyrelsen) har hanterat implementationsprojektet på ett korrekt sätt och för att ge ett ändamålsenligt och effektivt verksamhetsstöd till kommunen i löneprocessen. Revisionsfrågan för denna granskning är: Har implementationsprojektet hanterats på ett korrekt sätt för att ge ett ändamålsenligt och effektivt verksamhetsstöd till kommunen i löneprocessen? Sammantaget gör vi bedömningen att implementationsprojektet hanterats på ett korrekt sätt för att ge ett ändamålsenligt och effektivt verksamhetsstöd till kommunen i löneprocessen. Implementationen har skett på ett tillfredsställande sätt för att säkerställa fullständighet och riktighet i migrering (överföring) av data. Dessutom har formaliserade kontrollaktiviteter i löneprocessen utformats med avseende på hantering av fast data, behörighetsadministration, lönekörningen och överföringen av data till ekonomisystemet. Vår utgångspunkt är att det är i Halmstads kommuns intresse att ha en tydlighet i projektstyrningen för att implementeringsprojektet och processen för lönehantering ska genomföras på ett ändamålsenligt sätt. Vi har i denna genomgång identifierat ett fåtal områden där projektstyrningen men främst processen för lönehanteringen kan förbättras. Granskning av införandet av lönesystemet Heroma Halmstads kommun 1 av 13
2. Introduktion 2.1. Bakgrund Halmstads kommun har ca 8000 anställda och för räkenskapsåret 2013 uppgick kostnaden för löner inom kommunen till ca 2,5 miljarder kr. Detta är den största enskilda kostnadsposten för kommunen vilket ställer stora krav på goda underliggande processer, kontroller och systemstöd. Under 2015 implementeras ett nytt HR-system Heroma för alla anställda inom Halmstad kommun. Då systemet är mycket kritiskt ställs det höga krav på att det införs på ett sätt som säkerställer fullständighet och riktighet i redovisningen och att löneprocessen hanteras effektivt. De förtroendevalda revisorerna har mot denna bakgrund tillsammans med genomförd risk- och väsentlighetsanalys för 2015, beslutat att genomföra en granskning av systemimplementationen. Syftet med granskningen är att säkerställa att implementationsprojektet har hanterats på ett korrekt sätt och för att ge ett ändamålsenligt och effektivt verksamhetsstöd till kommunen i löneprocessen. 2.2. Revisionsfråga Revisionsfrågan för denna granskning är: Har implementationsprojektet hanterats på ett korrekt sätt för att ge ett ändamålsenligt och effektivt verksamhetsstöd till kommunen i löneprocessen? 2.3. Revisionskriterier Bedömning sker utifrån good practice inom IT och projektstyrning samt intern kontroll i löneprocessen. 2.4. Kontrollmål I granskningen ingår följande kontrollmål: (vilka besvaras i anslutning till respektive avsnitts inledning i denna rapport) Tydlig projektstyrning igenom hela projektet inklusive kravställning och organisation. Finns dokumenterade rutiner och riktlinjer för lönehanteringen och är dessa ändamålsenliga? Följs dessa regler? Uppfyller kommunens egna kontrollaktiviteter kraven för god intern kontroll? Har migrering av data har gjorts på ett korrekt sätt? Är krav på loggning formulerade och aktiverade i systemet för att säkerställa spårbarhet? Har testning av systemet gjorts för att säkerställa att systemet lever upp till definierade krav? Finns automatiska kontroller i systemet och manuella kontroller i löneprocessen för att säkerställa att den finansiella redovisningen uppdateras fullständigt och riktigt? Granskning av införandet av lönesystemet Heroma Halmstads kommun 2 av 13
Säkerställs en god intern kontroll genom en god arbetsfördelning och behörighetsstruktur i berörda system? 2.5. Metod, kontrollmål och avgränsning Granskningen har skett genom intervjuer med berörd personal i verksamheten samt genomgång av tillgänglig system- och processdokumentation. Följande personer har blivit intervjuade i granskningen: Chef HR Service, projektledare för införandet av Heroma, HR Service/Lönekontoret Systemförvaltare, HR Service/Lönekontoret Lönechef, HR Service/Lönekontoret Avgränsningar i arbete har gjorts enligt följande: Granskningen avgränsas till löneprocessen/lönesystemet. Analys av erhållet material och information från intervjuer utgör underlag för en samlad bedömning av kontrollmiljö och befintliga kontroller. Identifierade kontroller i löneprocessen testas ej utan tonvikt ligger på bedömning av kontrollmiljön och kontrollers design. Rapporten är faktaavstämd med kommunens lönekontor. Granskning av införandet av lönesystemet Heroma Halmstads kommun 3 av 13
3. Iakttagelser och bedömningar 3.1. Övergripande information om lönekontorets organisation HR Service/lönekontoret i Halmstads kommun ingår i HR-avdelningen som hör till Stadskontoret. Lönekontoret består under massutrullningen av Heroma självservice (projektet) av ca 30 medarbetare i olika roller, ex. löneadministratörer, HRkonsulter, lönekonsulter, löne- och pensionshandläggare och systemförvaltare. HR-avdelningen har som uppdrag att styra, samordna och stödja förvaltningarnas arbete inom olika områden vilket bl.a. innefattar lön och arbetsvillkor. Samverkan mellan de olika verksamheterna inom HR-avdelningen sker främst genom definierade HR-processer. 3.2. Projektstyrning Heroma är ett personal- och lönesystem som levereras av CGI. Införandeprojektet av Heroma i Halmstads kommun kallas för Utvecklingsprojekt HR och ansvarig projektledare är även chef för HR Service. Projektet genomförs i nära samarbete med leverantören CGI. I samband med att Heroma implementeras införs även ett nytt ärendehanteringssystem samt ett nytt telefonkösystem. De kommunalägda bolagen Halmstad Energi & Miljö, HFAB och Hallands Hamnar kommer inte att gå in i Heroma utan använder istället Agda som lönesystem, vilket har godkänts av kommunen. Projektmålen i samband med införandet av Heroma är att effektivisera personaloch löneadministrationen genom ökad automatisering med Självservice. Det bidrar till ett ökat eget ansvar för medarbetarna och främjar kvaliteten genom att säkra att lagar och avtal följs, samt att beräkningar i systemet blir riktiga och rättvisa. Heroma ska även öka förutsättningarna för en god planering och styrning av verksamheten då det ger en bättre överblick över personalstyrkan och därmed bättre uppföljningsmöjligheter. Projektledaren har sedan augusti rapporterat månadsvis till styrgruppen för projektet. Styrgruppen består av personalchef, ekonomichef, utvalda förvaltningschefer samt projektcontroller och systemförvaltare för Heroma. Rapporten innehåller en dokumenterad sammanställning över projektstatus, ekonomisk situation samt en riskanalys. I Utvecklingsprojekt HR ingår även fem stycken delprojekt: HR Transformation HR IT Massutrullning Kompetens Rehab/incidentrapportering Granskning av införandet av lönesystemet Heroma Halmstads kommun 4 av 13
3.2.1. Budget Det finns en dokumenterad budget för projektet som innefattar: Projektledning Arbete IT Service Applikations- och teknikkonsulter Utbildning Konvertering inkl. integrationer Projektkostnad driftsleverantör Utvecklingskostnad Offentliga jobb Licenskostnad nytt HR IT Stöd Budgeten följs löpande upp gentemot det faktiska utfallet. Det finns även en prognos för de kostnader som kan tänkas tillkomma under implementationsfasen. Enligt den beräknade prognosen per december kommer budgeten att överskridas med ca 800 000 kr. Det beror bl.a. på avsaknad av projektledare under viss tid som har lett till extra kostnader för att ta in extern resurs samt att det har krävts mer stöd än beräknat från leverantören CGI p.g.a. förseningar i projektet. Utbildningen har också blivit dyrare än planerat. Vidare bedöms att ytterligare stöd krävs från CGI under 2016 vilket ytterligare kommer att på. I det avtal som finns med CGI ska projektet levereras till ett fastpris, vilket sträcker sig till september 2015. Allt arbete som utförs av CGI efter det debiteras löpande, vilket också bidrar till högre kostnader än beräknat. Det bedöms att ytterligare stöd krävs från CGI under 2016, vilket kommer att påverka kostnaderna för implementationen. Bland annat framkom under projektets gång att Halmstads kommun har en struktur som är mer komplicerad än vad initial analys visade, något som enligt kommunen genererat merkostnader. 3.2.2. Delprojekt HR Transformation Ett delprojekt inom Utvecklingsprojekt HR är införa en ny förvaltningsmodell som heter PM3. Arbetet med detta har omarbetats under projektets gång och fokus har främst varit på att införa en samverkansmodell för att skapa en tydlig, enkel och användbar modell för HR och IT-frågor kopplat till HR. Samverkansmodellen ska bidra till att skapa ett tydligt forum med ett systematiskt arbetssätt där förvaltningschefer och HR samverkar för att utarbeta en strategisk riktning och samordnade beslut i frågor som rör HR. Det ska även bidra till att förvaltningscheferna ska ha möjlighet att kunna påverka de IT-frågor som drivs inom HR. Samverkansmodellen har blivit behandlad och beslutad i förvaltnings- och bolagschefsgruppen. För att kunna implementera modellen och börja använda den i verksamheten krävs det att personer med rätt kompetens tillsätts på de olika rollerna. Granskning av införandet av lönesystemet Heroma Halmstads kommun 5 av 13
3.2.3. Delprojekt HR IT I delprojektet HR IT ingår flertalet olika aktiviteter, bl.a. det integrationsarbete som ska göras mellan Heroma och övriga system samt utredning om vilka system som kan släckas i samband med införandet av Heroma. Det arbete som rör hanteringen av LAS- dagar inkluderas även i detta delprojekt, dvs. automatisk funktionalitet kopplat till beräkning av LAS- dagar. Det kommer att ske en maskinell konvertering av LAS från Agresso till Heroma och deadline för konverteringen är i början av maj 2016. Fram till dess kommer en interimslösning för beräkningen av LAS att användas, vilket görs i Excel. I Heroma finns en funktionalitet för LAS och där finns ett startdatum (data fr.o.m. 2015-08-01). En rapport tas ut från Heroma och motsvarande rapport tas ut från Agresso (data t.o.m. 2015-07-31). Efter att listorna extraherats slås de samman i Excel för att matcha personerna på listorna. Sammanslagningen i Excel sker med en förprogrammerad programkod för att det ska bli effektivt och generera samma resultat varje gång. Anledningen till att LAS-funktionaliteten inte implementeras förrän i maj 2016 är att man önskade att undvika denna stora konvertering samtidigt som det övriga arbetet med systemet gjordes. 3.2.4. Migrering av data Som en del i systembytet har all historisk data migrerats (överförts) från Agresso till Heroma. Kommunen var även tvungen att konvertera data från Agresso för att denna skulle anpassas till Heroma. Som ett led i att säkerställa fullständighet och riktighet har kommunen genomfört flertalet tester av olika karaktär. Den initiala planen var att genomföra tre typer av testning avseende konvertering av data, dock ansåg kommunen sig att behöva ytterligare en testkonvertering (Testkonvertering 2) för att känna sig helt komfortabla med resultatet från denna testning. Följande tester har genomförts kopplat till migrering/konvertering av data: Testkonvertering 1 Testkonvertering 2 Test av parallellkonvertering Produktionskonvertering 3.2.5. Systemkrav I början av projektet sattes flera olika systemkrav och funktonalitetskrav upp från kommunens sida. Dessa krav har under projektets gång testats framförallt genom den testning som gjordes i pilotprojektet. Pilotprojektet gick ut på att pilotdeltagarna (7-8 enheter, ca 200 personer involverade) först fick utbildning i det nya systemet och sedan fick arbeta i Heroma under 3 månader. Vidare har även integrationstestning gjorts för säkerställande att samtliga integrationer mellan Heroma och kommunens övriga applikationer fungerar tillförlitligt, fullständigt och riktigt. Leveranskontroll av systemkraven skedde i två steg av kommunen, dels genom ovan nämnda tester samt genom en leveranskontroll där projektets kravspecifikation stämts av mot funktionaliteten som levereras med Heroma. Granskning av införandet av lönesystemet Heroma Halmstads kommun 6 av 13
3.2.6. Rutiner och riktlinjer för lönehanteringen Manualer för Heroma etableras löpande i takt med att projektet skrider fram. De manualer som är riktade till externa användare, alltså de anställda som inte arbetar på lönekontoret utan inom andra verksamheter inom kommunen, finns samlade på intranätet. I dagsläget finns det flertalet manualer, bl.a. följande; Heroma Självservice medarbetare Heroma Självservice chefens meny Beredskap Anställning Årsarbetstid Skapa schema Skapa schema med partiell frånvaro Hur chefer lägger in långtidsfrånvaro via klienten Utöver dessa finns det även flertalet manualer som är anpassade för internt bruk med fokus på lönehanteringsprocessen samt anställning, LAS och intyg. Alla manualer är skrivna av användare på lönekontoret och har utformats med print screens från systemet för att de ska vara enkla att förstå. Manualerna används i det dagliga arbetet och uppdateras löpande. Däremot inkluderar manualerna inte felhantering, utan i de fall då fel uppstår får användaren ringa in till lönekontoret för support. Planen framöver är att det ska finnas manualer även för den mest vanligt förekommande felhanteringen. På intranätet finns det dessutom en e-learning med guide för användning av Heroma. Denna är främst är riktad till de användare som ännu inte har börjat använda Heroma Självservice. Vidare finns en sida med vanliga frågor som har dykt upp i samband med införandet av Heroma samt svar på dessa. För att säkerställa att lönehanteringen blir så korrekt som möjligt används en dokumenterad månadsrutinlista med de kontrollaktiviteter som ska göras av systemförvaltningen. Det är endast systemförvaltarna som har tillgång till månadsrutinlistan och det är även de som är ansvariga för att följa upp denna. Det pågår ett löpande arbete med att uppdatera och förfina månadsrutinlistan med de kontrollaktiviteter som krävs för att redovisningsfilen som skickas till ekonomiavdelningen ska innehålla så få fel som möjligt. Enligt kommunen skall denna lista spegla de kontroller som utförs, se avsnitt 6 nedan. 3.2.7. Bedömning Utifrån genomförd granskning bedömer vi att det i huvudsak finns en tydlig projektstyrning igenom hela projektet inklusive kravställning och organisation. Rollerna i Samverkansmodellen har inte blivit tillsatta och modellen har därmed inte kunnat implementeras i verksamheten. Vi rekommenderar att roller/platser i Samverkansmodellen tillsätts för att säkerställa att de frågor som rör IT hanteras i ett tydligt forum och på det sättet förebygger ineffektivitet i verksamheten. Granskning av införandet av lönesystemet Heroma Halmstads kommun 7 av 13
Vid granskning av kommunens kontroller på plats och underliggande dokumentation bedömer vi att det finns en god kontroll på plats för säkerställande av fullständighet och riktighet i migrering av data. Vi anser att rutiner och väsentliga kontroller upparbetats och att testning av systemet gjorts för att säkerställa att systemet lever upp till definierade krav. Vi rekommenderar att kompenserande kontroller implementeras för att minska risken för felaktigheter kopplat till manuell hantering i samband med beräkning av LAS- dagar. Exempelvis kan detta ske genom stickprovskontroller och/eller avstämningar/ rimlighetsbedömning av totalsummor jämfört med grunddata i systemet. Vi bedömer att det finns en risk för att ekonomiska mål ej uppfylls då projektets budget beräknas bli dyrare än beräknat. Vi rekommenderar att projektbudgeten revideras för att ta höjd för de utmaningar som kan komma att uppstå under den kvarstående implementationsfasen. Dessutom rekommenderar vi kommunstyrelsen att säkerställa att både projektbudget och vidare driftsbudget är rimlig i relation till projektets omfattning. 3.3. Behörighetsstruktur Behörighetsstrukturen i Heroma är väldigt komplex med ett stort antal behörighetsgrupper, vilket medför att det finns en risk för att felaktigheter vad gäller roller kan uppstå vid uppsättningen av behörigheter. I samband med att behörighetsstrukturen upprättats, har ansvarsfördelningsaspekten löpande beaktats för att säkerställa att behörigheter som ges är rollbaserade och styrda på de arbetsuppgifter som en specifik person utför. All personal på HR Service har (per default) mer än läsbehörighet medan personer ute i verksamheten enbart har läsbehörighet initialt. Bedömning av behörighetsnivå görs för varje specifik individ och behörighetsstrukturen är helt baserat på roll/arbetsuppgifter. Behörigheterna är fördelade på icke-behörighet, läsbehörighet och skrivbehörighet. Systemförvaltaren är ansvarig för att sätta upp befintliga roller i Heroma och strukturen ska finnas dokumenterad även utanför systemet. Exceldokumentet har tagits fram baserat på CGI:s grundläggande rollbehörigheter och därefter har HR IT Objekt & Förvaltnings-ansvarig samt annan systemförvaltare ansvarat för vidareutveckling av detta. Den främsta utmaningen har enligt kommunen varit att sätta upp roller som är så väldefinierade som möjligt. Målet är att alla användare ska ha roller som är väl anpassade efter deras arbetsuppgifter samtidigt som de inte får för mycket behörighet, vilket främst syftar till att användare inte ska ha åtkomst till känslig information om andra anställda inom organisationen. 3.3.1. Genomgång av befintliga behörigheter I arbetet med behörighetsstrukturen håller man även på att ta fram funktioner för att enkelt kunna kontrollera vilka som har en viss behörighet för att därmed kunna göra regelbundna granskningar av behörigheter. Arbetet med Granskning av införandet av lönesystemet Heroma Halmstads kommun 8 av 13
behörighetsstrukturen i systemet bedöms vara till 90 % färdigt i dagsläget och beräknas vara helt implementerat i verksamheten under våren 2016. I samband med uppsättningen av strukturen ingår även att se över ansvar och funktion i systemet för de ca 10 000 medarbetare som finns i kommunen, samt för medarbetare inom HR och ekonomi. Arbetet med ansvar och funktion upplevs utmanande av kommunen. Strukturen avseende behörigheter ska inte enbart ändras i BERIT (behörighetsmodulen), utan måste också uppdateras i modulerna Regelverk, Ansvar/Funktion samt i relevant process för att arbetsflödet skall fungera som önskat. 3.3.2. Tilldelning av behörigheter Under implementationsfasen av projektet läggs behörigheter upp i Heroma utifrån den information som finns i Agresso i takt med att projektet fortlöper. Det är HR Service som säkerställer att användarna blir rätt upplagda och ansvarig chef ska kontrollera behörigheterna i samband med implementationen. Under implementationsfasen har det även godtagits att chefen till en användare i akuta fall kan kontakta systemförvaltare eller projektledaren för implementeringsprojektet via mail för att bli upplagda i systemet. Mailen sparas för att säkerställa spårbarhet i processen. Administration av behörighet kommer framöver att hanteras via ärendehanteringssystem. Beställning av behörighet eller ändring måste då beställas av ansvarig chef eller lokalt av HR-avdelningen och det krävs därmed ett godkännande av dessa för att en person ska få behörighet alternativt utökad behörighet. Det är, som tidigare beskrivits, endast systemförvaltare som har behörighet att lägga upp behörigheter i Heroma. 3.3.3. Bedömning Vi bedömer att det finns en tillräckligt god intern kontroll genom att en god arbetsfördelning och behörighetsstruktur i berörda system är utförd. 3.4. Kontroller i löneprocessen 3.4.1. Ändring av fast data Det finns en spärr i systemet som förhindrar att användare, inklusive systemförvaltare, kan göra ändringar i sin egen behörighet eller av sin egen lön. Det är endast systemförvaltarna som är behöriga att lägga upp objekt och ansvar i systemet, vilket görs i de olika modulerna; BERIT, Ansvar/Funktion, Styret och Regelverk. Dock kan samtliga på HR Service lägga en anställning till vilket objekt som helst. Undantaget är om en chef läggs till då man måste gå in och populera denna i riktiga organisationsenheter i Ansvar/Funktion. Utformning av matchning av chefers behörigheter i BERIT jämfört med faktiskt ansvar utformas under 2016. Alla förändringar som görs i systemet loggas. Dessa loggar följs inte upp på regelbunden basis utan endast vid identifierade incidenter för att få information om vem som gjorde ändringen och när det skedde. Varken användarna på lönekontoret Granskning av införandet av lönesystemet Heroma Halmstads kommun 9 av 13
eller systemförvaltarna har tillgång till att göra uppdateringar i databaserna för Heroma och därmed går det inte att kringgå loggningsfunktionen. Det är endast systemleverantören CGI som har tillgång till att göra uppdateringar i databasen. 3.4.2. Tillägg och ändringar Vid registrering av en nyanställd person hämtas namn och adressuppgifter in från folkbokföringsregistret. Det går inte att komma runt denna koppling, vilket innebär att det inte går att lägga in fiktiva personer. Däremot kan en person registreras dubbelt p.g.a. att den har flera anställningar inom kommunen, men varje registrering ska då läggas upp med olika ID-nummer.. I samband med att en ny person registreras gör systemet en automatisk kontroll för att se om personen redan finns upplagd i organisationen. En användare ska alltid vara kopplad till ett objekt och ett ekonomiskt ansvarsområde. Den ansvariga chefen för respektive objekt kan i systemet se en lista över de anställda som hör till objektet och kommer därmed reagera om det finns någon person på listan som inte hör dit. Det är uttalat inom organisationen att cheferna veckovis ska hantera sina ärenden i systemet, och därigenom också kontrollera de anställda som hör till deras objekt och som de godkänner lön för. 3.4.3. Lönekörning Efter varje lönekörning följer två kontroll- och rättningsdagar då signallistor tas ut från systemet som kan innefatta exempelvis ej gjorda avdrag eller orimlig bruttolön. Personalen på lönekontoret går igenom signallistan manuellt för att rätta eventuella fel innan den definitiva lönekörningen görs. För att rättningen ska utföras så effektivt som möjligt har det definierats vad som ska granskas i samband med identifierade fel. Detta bidrar även till att skapa en enhetlig hantering av hur felen åtgärdas. Vid övergången till Självservice i Heroma kommer den data som läggs in i systemet direkt från den anställde, vilket kommer att minska risken för manuella fel som har kunnat uppstå i den tidigare processen då fler personer var involverade. Chefen skall sedan godkänna de inmatningar som sker av den anställde. 3.4.4. Utbetalning Lönefilen som skickas till banken går inte att manipulera. Den skapas per automatik av driftsfunktionen hos CGI och skickas därefter automatiskt direkt till banken. I samband med detta skickas ett mail med information om totalsumman i lönefilen till systemförvaltarna. En av systemförvaltarna bemyndigar utbetalningen hos banken, och det görs en maskinell kontroll av att bemyndigat belopp stämmer med filen banken har fått. Fördelningen av totalbeloppet per förvaltning skickas så till ekonomiavdelningen, som checkar att beloppen från bank stämmer med beloppen i redovisningsfilen. 3.4.5. Överföring av data till ekonomisystemet Överföringen av data från lönesystemet till ekonomisystemet görs via en redovisningsfil som genereras i lönesystemet. Filen skapas automatiskt fyra arbetsdagar innan löneutbetalning, vilket finns beskrivet i ett dokument som avser Granskning av införandet av lönesystemet Heroma Halmstads kommun 10 av 13
tidplan för lönebearbetningar. För att filen ska kunna överföras korrekt till ekonomisystemet krävs det att det finns ett objekt, ett ansvar och ett konto för varje rad och att dessa kan matchas i Agresso. Den risk som finns i samband med överföringen är att en rad kan gå in på fel konto i huvudboken, men detta upptäcks i samband med månadsavstämningar. Det har under september och oktober endast varit små felaktigheter i överföringen - totalt 2400 kr i september och totalt 8000 kr i oktober. Den totala nettolönesumman var i båda dessa fall ca 160 mkr. För att undvika felaktigheter i överföringen har lönekontoret tillsammans med systemförvaltare utarbetat en arbetshypotes om hur felaktigheter i körningen ska elimineras. Tanken är att innan överföringen till ekonomisystemet görs ska en rapport tas fram som inkluderar alla rader som saknar mottagspunkter i Agresso. Dessa fel kan då åtgärdas innan överföringen görs. 3.4.6. Bedömning Vi bedömer att nuvarande kontrollaktiviteter i huvudsak uppfyller kraven för god intern kontroll. Det finns krav på att loggning är formulerade och aktiverade i systemet för att säkerställa spårbarhet. Vidare bedömer vi att det finns automatiska kontroller i systemet och manuella kontroller i löneprocessen för att säkerställa att den finansiella redovisningen uppdateras fullständigt och riktigt. Det förekommer ingen rutin för uppföljning av känsliga användaraktiviteter exempelvis via logglistor. Vi anser att det finns en risk för felaktigheter och obehörig ändringar inte upptäcks i tid, alternativt inte upptäcks alls. Vi rekommenderar att överväga att definiera vad som är känsliga användaraktiviteter samt att införa en regelbunden rutin för uppföljning av känsliga användaraktiviteter. Granskning av införandet av lönesystemet Heroma Halmstads kommun 11 av 13
4. Revisionell bedömning Revisionsfrågan för denna granskning är: Har implementationsprojektet hanterats på ett korrekt sätt för att ge ett ändamålsenligt och effektivt verksamhetsstöd till kommunen i löneprocessen? Sammantaget gör vi bedömningen att implementationsprojektet hanterats på ett korrekt sätt för att ge ett ändamålsenligt och effektivt verksamhetsstöd till kommunen i löneprocessen. Implementationen har skett på ett tillfredsställande sätt för att säkerställa fullständighet och riktighet i migrering av data. Formaliserade kontrollaktiviteter i löneprocessen har utformats med avseende på hantering av fast data, behörighetsadministration, lönekörningen och överföringen av data till ekonomisystemet. Vår utgångspunkt är att det är i Halmstads kommuns intresse att ha en tydlighet i projektstyrningen för att implementeringsprojektet och processen för lönehantering ska genomföras på ett ändamålsenligt sätt. Vi har i denna genomgång identifierat ett fåtal områden där projektstyrningen men främst processen för lönehanteringen kan förbättras. Noteringarna berör främst projektekonomin, hur projektstyrningen avseende IT-frågor har fungerat samt kontroller för att säkerställa riktigheten i den manuella hanteringen av data. Givna rekommendationer handlar om hur den fortsatta implementeringen ska hanteras på ett effektivt och ekonomiskt hållbart sätt samt förslag på kontroller som inte utförs idag. Vidare berör även våra rekommendationer att se över vilka användaraktiviteter som anses vara känsliga och införa en rutin för uppföljning av dessa. Kontroller som inte har validerats inom ramen för granskningen är eventuella kontroller som utförs ute hos respektive förvaltning avseende fullständighet, riktighet och validitet av underlag till försystemen. Identifierade brister redovisas under avsnitt 5 Appendix iakttagelser och rekommendationer. Vi har gjort en prioritering av iakttagelserna där L står för låg prioritet, M för medel och H för hög. Definitionen av denna klassificering visas nedan: Hög Syftar på en svaghet som har stor inverkan på system, processer och relaterade kontroller och som kan utsätta enheten för större förluster, ineffektivitet och/eller kan resultera i en väsentlig felaktighet i räkenskaperna. Medel Syftar på en situation eller arbetssätt som skiljer sig från vad anser vara god intern kontroll och som vi bedömer har en negativ inverkan på den interna kontrollen över den finansiella rapporteringen. Låg Syftar på en situation eller arbetssätt som enbart har en begränsad effekt på den interna kontrollen. Granskning av införandet av lönesystemet Heroma Halmstads kommun 12 av 13
2016-02-02 Joakim Rydberg Projektledare Carl-Magnus Stenehav Uppdragsledare Granskning av införandet av lönesystemet Heroma Halmstads kommun 13 av 13
5. Appendix Iakttagelser och rekommendationer Ref # Avsnitt Iakttagelse Risk :s rekommendation Prioritet 3.1 3.1.2.1 Budget Övertrasserad budget Risk för att ekonomiska mål ej uppfylls. rekommenderar att kommunen reviderar projektbudgeten för att ta höjd för de utmaningar som kan komma att uppstå under den kvarstående implementationsfasen. Dessutom rekommenderar vi att kommunen säkerställer att både projektbudget och vidare driftsbudget är rimlig i relation till projektets omfattning. Hög 3.1 3.1.2.2 Delprojekt HR Transformation Platserna i Samverkansmodellen har inte blivit tillsatta Risk för ineffektivitet i verksamheten. rekommenderar att kommunen tillsätter roller/platser i Samverkansmodellen för att säkerställa att de frågor som rör IT hanteras i ett tydligt forum och på det sättet förebygger ineffektivitet i verksamheten. Medel 3.1 3.1.2.3Delprojekt HR IT Manuell handpåläggning i samband med beräkning av LAS- dagar Risk för felaktighet avseende riktighet i data. rekommenderar att kommunen implementerar kompenserande kontroller för att minska risken för felaktigheter kopplat till manuell handpåläggning i samband med beräkning av LAS- dagar. Exempelvis kan detta ske genom stickprovskontroller och/eller avstämningar/ rimlighetsbedömning av totalsummor jämfört med grunddata i systemet. Medel 3.3 3.3.1 Ändring av fast data Ingen uppföljning sker i nuläget av känsliga användaraktiviteter Risk för felaktigheter och obehörig ändringar inte upptäcks i tid, alternativt inte upptäcks alls. rekommenderar att kommunen överväger att definiera vad som är känsliga användaraktiviteter samt att införa en regelbunden rutin för uppföljning av känsliga användaraktiviteter. Medel Februari 2016 Halmstads kommun