www.pwc.se Revisionsrapport Carin Hultgren Cert. kommunal revisor Jenny Nyholm Sandra Feiff Granskning av löner och ersättningar inklusive arvoden till förtroendevalda Region Gotland
Granskning av intern kontroll löner och arvoden Innehållsförteckning Sammanfattning... 1 1. Inledning... 2 1.1. Bakgrund... 2 1.2. Syfte och revisionsfråga... 2 1.3. Kontrollmål... 2 1.4. Avgränsning och metod... 3 2. Iakttagelser... 4 2.1. Organisation och ansvarsfördelning... 4 2.2. Behörigheter och attest... 4 2.2.2. Attesträtt... 5 2.3. Regionens lönerutin... 5 2.3.1. Tid- och avvikelserapportering... 6 2.3.2. Lönekörning och kontroller... 6 2.3.3. Sparade semesterdagar... 7 2.4. Arvode till förtroendevalda... 7 3. Granskningsresultat... 8 3.1. Verifiering av behörigheter... 8 3.2. Verifiering av attest... 8 3.3. Verifiering ej attesterade tider... 8 3.4. Verifiering av lönetillägg... 9 3.5. Uppföljning av validering av data... 9 4. Bedömning och rekommendationer... 10 4.1. Avstämning mot kontrollmål... 10 4.1.1. Rekommendationer... 12 Region Gotland
Sammanfattning På uppdrag av de förtroendevalda revisorerna i Regions Gotland har genomfört en granskning av löner och ersättningar inklusive arvoden till förtroendevalda. Granskningen syftade till att besvara följande revisionsfråga: Är Regionstyrelsens och nämndernas interna kontroll avseende rapportering av löner och ersättningar tillräcklig? Efter genomförd granskning är den sammanfattande bedömningen att den interna kontrollen avseende löner och ersättningar inte i alla delar är tillräcklig. Vår verifiering visar att tid- och avvikelserapporter i stor utsträckning inte attesteras av ansvariga chefer. Vi bedömer det som en risk att underlag för löneutbetalning inte attesteras. Vår bedömning baseras på iakttagelser och bedömningar av granskningens åtta kontrollmål. Ett kontrollmål bedöms ej uppfyllt, två kontrollmål bedöms delvis uppfylla och fem kontrollmål bedöms uppfyllda. Samtliga kontrollmål och bedömningar finns beskrivna i avsnitt 4. Utifrån granskningens resultat och bedömningar lämnas Regionstyrelsen med följande rekommendationer: Upprätta dokumenterade rutiner och riktlinjer avseende löneprocessen som innehåller erforderliga löpande kontrollmoment i samband med löneutbetalning, samt tydliggöra vilka kontroller som ska utföras av ansvarig chef och centralt vid löneadministrationen. Säkerställa att ansvarig chef attesterar tid-/avvikelserapport. Vi bedömer det som en risk att underlag för löneutbetalning inte attesteras. Utveckla internkontrollplanen att omfatta kontrollmoment med bäring på löne- och personalkostnader. Se över möjligheten med systemleverantören för Medvind att ta fram en lista med sammanställning över samtliga behörigheter i systemet. Se över möjligheten att införa ett system, exempelvis Troman, för hantering av arvoden till förtroendevalda. Region Gotland 1 av 13
1. Inledning 1.1. Bakgrund På uppdrag av de förtroendevalda revisorerna i Region Gotland gör en granskning av löner. Personalkostnaderna utgör en väsentlig del av regionens externa kostnader. Redovisningsrevisionella insatser styrs av risk och väsentlighet. Det vill säga väsentligheten är hög. Det finns också risker förknippade med lönehanteringen. I den centrala hanteringen kan det finnas risk för att registerhållningen och hanteringen av lönesystemet i övrigt, inte alltid fungerar som avsett. I den mån lönehanteringen har decentraliserats finns ökad risk för att lönerapporteringen och arbetsledarnas kontroll av löneunderlagen inte fungerar tillfredsställande. Detta eftersom det kan uppstå svårigheter att i alla delar upprätthålla kompetens och enhetlighet i kontrollen. Det är nämnderna som ansvarar för den interna kontrollen inom sitt verksamhetsområde, både till utformning och till utförande. Nämnderna ska således utforma anvisningar för den egna interna kontrollens organisation, utformning och funktion. Regionstyrelsen har till uppgift att främja den interna kontrollen. Viktigt är att den interna kontrollen utformas utifrån ett för alla nämnder gemensamt synsätt. 1.2. Syfte och revisionsfråga Granskningen syftar till att besvara följande revisionsfråga: Är Regionstyrelsens och nämndernas interna kontroll avseende rapportering av löner och ersättningar tillräcklig? 1.3. Kontrollmål Granskningen bedöms utifrån följande uppställda kontrollmål: Behörigheter är över tiden ändamålsenliga utifrån den anställdes arbetsuppgifter och ansvar. Tidrapporter/frånvarorapportering är attesterad av behörig person. Resultatet av den preliminära och definitiva lönekörningen hanteras på rätt sätt och i rätt tid. Löneutbetalning är attesterad av behörig person. Överföring från lönesystem till ekonomisystem sker fullständigt och riktigt. Lönekostnader och tillhörande kostnader analyseras regelbundet. Det finns fungerande rutiner för kontroll av att registrerade behörigheter är korrekta utifrån delegationsordning samt av förändringar under året (exempelvis medarbetare som slutar, är lediga eller tillfälliga förändringar av behörighet). Användarnas behörighetsnivå i IT-system är ändamålsenlig utifrån ansvar och befogenheter. Region Gotland 2 av 13
1.4. Avgränsning och metod Granskningen omfattar Regionstyrelsen och samtliga nämnder. Genomförd registeranalys avseende lönetransaktioner omfattar perioden januari 2015 till augusti 2015. Intervjuer har genomförts med enhetschef för löneadministrationen, controller samt systemförvaltare med ansvar för HR-systemet inom löneadministrationen. Vidare så har granskning skett genom dokumentstudier av inhämtade styrande och stödjande dokument. Inom ramen för granskningen har följande dokument inhämtats: Attestreglemente Delegationsordning Aktuella attestlistor från respektive förvaltning/nämnd Flödesbeskrivning av löneprocessen Tidplan 2015 Serviceförvaltningens internkontrollplan 2015 Rapporten har sakgranskats av berörda tjänstemän. Region Gotland 3 av 13
2. Iakttagelser 2.1. Organisation och ansvarsfördelning Region Gotlands löneadministration, som tillhandahåller personal- och löneadministrativ service till Region Gotland, är sedan 2005 centraliserad och en del av Serviceförvaltningen. Verksamheten omfattar tre delar: Löneadministration - utbetalning av lön till alla medarbetare, uppdragstagare och förtroendevalda. Systemadministration - drift, underhåll och användarstöd i personalsystemet. Löneredovisning - avstämning av lönebalanskonto, administration av bland annat preliminärskatt, arbetsgivaravgifter, avtalsförsäkringar och personakter. Inom löneadministrationen arbetar vid tidpunkt för granskning 28,75 heltidsanställda. Inom verksamheten finns fyra team som är inriktade på varsitt specifikt verksamhetsområde. Regionens löneadministration hanterar månatligen regionens lönekostnader om ca 131 mnkr. Löneadministrationen har en gemensam internkontrollplan med Serviceförvaltningen. 2015-års plan innehöll kontrollmoment som avsåg hantering och kontroll av anställdas reseräkningar. Inom regionen finns ca 220 chefer (förvaltnings-, avdelnings och enhetschefer) med budgetansvar. Respektive chef ansvarar för att godkänna och attestera medarbeteres tidoch avvikelserapporter, samt månatligen analysera löne- och personalkostnader. Många chefer ansvarar för ett stort antal medarbetare (upp till hundra stycken), till sin hjälp har dessa chefer oftast en assistent eller planerare. Löneavdelningen är rent geografiskt placerad i Slite, ca 3 mil från Visby och sitter avskilt från övriga Serviceförvaltningen (ekonomi och HR) som har sin verksamhet vid Regionen vid Visborg. 2.2. Behörigheter och attest Det finns två behörighetssystem, ett i Medvind och ett i HR-Plus. I HR-Plus finns förutom en grundläggande behörighet även en chefsroll som ger behörighet att attestera reseräkningar, se all information om anställda, ta ut olika rapporter bl.a. sjuktal etc. För HR-Plus finns särskilda systemförvaltare som har behörighet att göra hela kedjan. I Medvind finns utöver grundbehörighet fem olika behörighetsroller: 1. Planerare (utökat ansvar för schema) 2. Godkännare (kan både hantera schema och godkänna tidrapport efter att anställd har klarmarkerat) 3. Chef (attesterar) 4. Vikarie (medarbetare med rätt att beställa vikarier, sker utifrån budgetansvar) 5. Sekretessbehörighet I samband med anställning får alla anställda grundbehörighet i både Medvind och HR-Plus. Alla anställda läggs upp i systemet med ett användar-id baserat på medarbetarens första bokstäver i namnet. Övriga behörigheter tilldelas manuellt, löneadministrationen får ofta input från verksamheten, men upplägg ska ske genom blankett som undertecknats av chef. Region Gotland 4 av 13
Blanketten sparas på löneavdelningen. För att få behörighet som planerare, godkännare eller chef krävs en genomförd utbildning. Det är enhetschefen för löneadministrationen tillhandahåller chefsutbildning en dag varje månad. Utbildningen för planerare och godkännare är två dagar lång. Förändring eller avslut av behörighet ska informeras av chefen i verksamheten till löneavdelningen. Lösenord för behörighet är samma som inlogg till dator och detta avslutas samma dag berörd anställd avslutar sin anställning, vilket innebär att anställd inte kommer åt övriga system efter detta. Enligt uppgift genomför löneadministrationen en genomgång av behörigheter två gånger per år. Genomgången dokumenteras inte. 2.2.2. Attesträtt I enlighet med regionens attestreglemente ska uppdrag som beslutsattestant ges till namngivna personer. Vid ordinarie beslutsattestants frånvaro ska det finnas utsedda namngivna ersättare. Beslutsattestanter och ersättare utses av nämnd för ett kalenderår i taget. Nämnden ansvarar för att det finns en aktuell förteckning över befattningshavare med beslutsattest samt ersättare för dessa. Förteckningen skall innehålla ansvarskod enligt ekonomisystemet, namn på personen samt befattningsbenämning. På ekonomiavdelningen finns aktuell förteckning med beslutsattestanter för samtliga förvaltningar. För samtliga typer av transaktioner måste det alltid finnas två attester: beslutsattest och behörighetsattest. Vid tidpunkt för granskning finns 333 attestansvariga personer i Medvind. Det är närmaste chef som beslutar om anställningar enligt delegation. Innan attest av löneunderlag görs ska uppgifterna klarmarkeras av medarbetare. Chef attesterar sedan underlag till månatliga löneutbetalningar t.ex. arbetad tid, övertid, ob-timmar, frånvaro, reseräkningar. Till reseräkning skall kvitton på utlägg bifogas enligt särskild instruktion. Vid attest av arbetstid är det således viktigt att ansvariga chefer har kunskap tillräcklig kunskap om gällande avtal. Innan slutlig utbetalning ska budgetansvarig göra en rimlighetskontroll av löneutbetalningen avseende kontroll av bruttolön, milersättning, timanställdas timmar, obtimmar etc. Rimlighetsbedömningar görs även av löneadministrationen innan löneutbetalning. Den slutliga löneutbetalningen (bankfilen) skall signeras av två personer i förening. Personer med behörighet att signera löneutbetalningar utses av Regionstyrelsen. Bokföringsunderlag för löneutbetalningen ska gransknings- och beslutsattesteras enligt gällande attestförteckning för regionövergripande verksamhet. I samband med löneöversyn ska förslagen till nya löner godkännas av närmaste chef och förvaltning innan de slutligen läggs in i lönesystemet. 2.3. Regionens lönerutin Region Gotland använder sig av systemen HR-Plus och Medvind som är baserade på självservice. Vid årsskiftet 2014/2015 gjordes ett versionsbyte av HR-Plus och regionen övergick från HR-Plus6 till HR-Plus8 som har inbyggt ärendehanteringssystem. För schema och tidrapport använder regionen medarbetarsystemet Medvind. Alla heltidsanställda inom regionen använder Medvind och samtliga timanställda inom Socialförvaltningen. Önskemål finns hos övriga förvaltningar att använda Medvind för sina timanställda fullt ut. Det är framförallt inom Utbildnings- och arbetslivsförvaltningen (UAF) som timanställda än så länge är helt utanför systemet. UAF använder endast Medvind för Region Gotland 5 av 13
schemaläggning, medan tidrapport sker genom manuell hantering (årligen ca 12 000 underlag). 2.3.1. Tid- och avvikelserapportering För heltidsanställda medarbetare läggs planering och schema in på förhand i Medvind. Även jour, beredskap och OB-tillägg finns automatiskt registrerat i Medvind utifrån avtal. Medarbetare rapporterar sedan själva sina avvikelser såsom övertid, frånvaro och i förekommande fall reseräkningar i systemet. Genom signering klarmarkerar och godkänner medarbetare sin arbetade tid och eventuella avvikelser och chefen får då en notis om detta via mail. Avvikelser måste godkännas (detta görs ofta av assistent) och attesteras av ansvarig chef. Ansökan om ledighet (hel dag eller mer) och semester sker på förhand och detta ska godkännas och attesteras av ansvarig chef. Övertid ska även den godkännas av ansvarig chef. Tid- och avvikelserapportering för timanställda medarbetare kan ske genom två olika förfaranden. Medarbetare som har schema rapporterar direkt i Medvind precis som heltidsanställda. Medarbetare utan schema skickar in manuella tidrapporter på papper till löneadministrationens respektive team. Rapporten ska godkännas och attesteras av ansvarig chef. Grundlön betalas alltid ut, men för medarbetare vars tid-/avvikelserapport ej attesterats betalas inte ut lön för tillägg etc. Under intervju framkommer att tid- och avvikelserapporter inte alltid attesteras av ansvarig chef. Ej attesterade tidrapporter medför att löneavdelningen är tvungna att göra manuella utbetalningar i efterskott. Manuell hantering innebär alltid en risk och i det här fallet även merarbete för löneadministrationen. HR-chefen på respektive förvaltning har behörighet att gå in i Medvind och kontrollera vilka chefer som inte har attesterat tidrapport. 2.3.2. Lönekörning och kontroller Löneadministrationen gör löneberäkningar fyra gånger per månad. Av tidplanen, som sätts redan i början av varje verksamhetsår, framgår uppgift om datum för attest och löneutbetalning. Varje ansvarig chef erhåller i början av varje år ett mail med årets tidplan. Vid den preliminära lönekörningen tar löneavdelningen fram en fellista av vilken bl.a. ej attesterade tider och sjuktal framgår. Därefter görs en rimlighetsbedömning av löneutbetalningarna och i förekommande fall görs korrigeringar av felaktigheter. I det fall en löneskuld eller -fordran uppstår bokas den upp mot ett balanskonto. Löneassistenen för sedan dialog med berörd part om hur skulden ska lösas. Det är en controller vid löneavdelningen, som i enlighet med regionens attestreglemente, har behörighet att göra en utanordning av regionens löneutbetalningar. Betalningsfilen överförs därefter till banken. Överföringen görs alltid av två personer i förening, en granskningsattest och en beslutsattest, i enlighet med regionens attestreglemente. Inlogg sker via Bank-ID och systemet medför att det alltid måste vara två personer i förening som utför detta moment d.v.s. tvåhandsprincipen tillämpas. Det är systemförvaltare och systemadministratörer inom löneenheten som har behörighet att bemyndiga utbetalningsfilen. Av tidplanen framgår vem som ska bemyndiga filen respektive månad. I samband med den slutliga lönekörningen låses lönesystemet och endast ett fåtal utsedda personer har tillgång till systemet under dessa dagar. Region Gotland 6 av 13
Efter att bankfilen skickats sker överföring från lönesystem till ekonomisystem och controller på löneavdelningen kontrollerar då lönekostnaderna mot ekonomisystemet så att bokföringen är korrekt. Även skattedeklarationen görs i samband med överföring av bankfilen. När bokföringsfilen godkänts betalas lönerna ut. På löneavdelningen görs månatliga kontroller av s.k. orimliga löner d.v.s. löner som överstiger eller understiger visst belopp. I samband med versionsbytet hade löneavdelningen stora problem med att få fram statistik. Under intervju framkommer att det finns rapporter i systemet, men tiden hinns inte till att ta fram och analysera alla dessa varje månad. Ansvaret för kontroll av utfallet av personalkostnader finns hos varje chef med budgetansvar. Cheferna har behörighet till ekonomisystem där de kan gå in och följa upp kostnaderna för sin verksamhet. Det finns även ett gemensamt ansvar ute hos förvaltningarna och ekonomerna där. 2.3.3. Sparade semesterdagar Anställda inom regionen får ha 40 sparade semesterdagar. Det finns ingen avskrivningstid, anställd kan därmed spara semesterdagar i flera år. Anställda i regionen kan även ha 180 timmar sparade timmar. Varje år görs en semesteromställning och de anställda som har fler än 40 dagar och 180 timmar får dessa utbetalade. Vid tidpunkt för granskning har ingen anställd i regionen fler än 40 sparade semesterdagar. 2.4. Arvode till förtroendevalda Arvoden till förtroendevalda hanteras manuellt i regionen av löneadministrationen. Vid varje sammanträde sitter en nämndsekreterare med som efter varje möte samlar in en lista där arvode samt eventuell km-ersättning framgår för respektive förtroendevald ledamot. Listan skickas sedan till löneadministrationen som manuellt registrerar uppgifterna i lönesystemet. Enligt uppgift från löneadministrationen fungerar rutinen bra och det förekommer sällan felaktigheter trots att hanteringen är manuell. Löneadministrationen upplever dock den manuella hanteringen som en tidskrävande administrativ process och de önskar att hanteringen framöver skulle ske via system. Region Gotland 7 av 13
3. Granskningsresultat 3.1. Verifiering av behörigheter Vi har efterfrågat blankett för upplägg av behörigheter för att kontrollera dessa mot systemet. Verifiering har dock ej varit möjlig, dels eftersom de flesta behörigheter (utöver den grundbehörighet som alla anställda får i samband med anställning) läggs upp i samband med anställning och ansvar utifrån delegationsordning. Därmed finns det inte någon blankett för upplägg. Behörigheter som innebär avsteg från delegationsordning kräver blankett för upplägg. Dock möjliggör inte systemet Medvind att ta fram en sammanställning över samtliga behörigheter. Det enda sättet att kontrollera dessa behörigheter är att granska dem på individnivå för att se vilka behörigheter respektive medarbetare har. Vi bedömer detta som en brist. 3.2. Verifiering av attest Tid-/avvikelserapport Vi har gjort en stickprovsgranskning med ett urval om 10 stycken attesterade rapporter från augusti 2015 för att kontrollera att rapporterna attesterats av behörig person d.v.s. ansvarig chef. Verifiering har skett genom avstämning mot system. Vid granskningen har följande noterats: Sju tid-/avvikelserapporter har attesterats av behörig person. Tre tid-/avvikelserapporter har inte attesterats av behörig person. Två av dessa har attesterats av löneassistent eftersom berörda ansvariga chefer haft problem med sina behörigheter vid tidpunkt. Rapporterna bedöms dock vara korrekt hanterade. Löneutbetalning Vi har inhämtat utbetalningsfilerna för oktober, november och december 2015 för att kontrollera att löneutbetalningarna är attesterade, d.v.s. bemyndigade, av behörig person. Verifiering har skett genom kontroll av bankfilens kvittens från Nordea mot gällande attestförteckning. Kontroll har även skett av att belopp överensstämmer med utanordning. I granskningen har inga avvikelser noterats. 3.3. Verifiering ej attesterade tider Vi har inhämtat underlag med information om ej attesterade tider för nio månader under 2015. I tabellen nedan redogörs för utfallet av granskningen för tre av månaderna: Månad 2015 Antal berörda anställda Antal ej attesterade poster* juni 88 3 734 September 96 4 544 december 93 3 184 TOTALT 277 11 462 *en post avser en dag för en person, kan finnas flera rader för en person per dag (både tidrapport, frånvaro etc.) Region Gotland 8 av 13
Vi kan genom en överskådlig granskning av övriga sex inhämtade underlag konstatera att utfallet ovan är applicerbart på samtliga inhämtade underlag. 3.4. Verifiering av lönetillägg Totalt har regionen betalat ut 10,1 mnkr i lönetillägg under perioden januari till augusti 2015. Vi har gjort ett stickprov av 18 stycken utbetalningar som avser lönetillägg och verifierat att utbetalning skett i enlighet med beslut (belopp och period). Vid granskningen har följande noterats: 13 utbetalningar av lönetillägg har gjorts i enlighet med beslut. Fem personer har fått avslutade lönetillägg utbetalda. Orsaken till utbetalningarna är konverteringsfel vid versionsbytet av HR-plus, då gamla poster för lönetillägg kom med. Regionen uppmärksammade felet och felaktigheterna korrigerades i januari 2015. 3.5. Uppföljning av validering av data Inom ramen för granskningen har en så kallad registeranalys genomförts. Nedan följer en uppföljning av ett antal delar av den analysen. Högsta grundlöner De 25 högsta grundlönerna i regionen uppgår till 2 020 481 kr/månad. Vi har gjort ett stickprov av tre stycken och inhämtat anställningsavtal för att kontrollera rimlighet och belopp. Inga avvikelser har noterats. Dubbletter I analysen noterades 563 transaktioner för vilka kombinationen månadslön + personnummer + löneperiod + belopp förekom fler än gång under samma period. En orsak till noteringen kan bero på att analysen inte tar hänsyn till hela registreringen för vald person, exempelvis om anställd har två befattningar men är tjänstledig från en av dem. Vi har gjort ett urval om 12 stycken transaktioner för att verifiera att utbetalning inte skett mer än en gång för respektive transaktion. Inga avvikelser har noterats. Ologiska personnummer I analysen noterades fem personer med ologiska personnummer. Orsaken är att analysen hade anpassats efter svenska personnummer. Vi har inhämtat anställningsavtal samt information från KIR för samtliga fem personer. Inga avvikelser har noterats. Avgångsvederlag För perioden jan-aug 2015 finns avgångsvederlag för 31 personer om totalt 3,4 mnkr. Vi har gjort ett urval av tio stycken och inhämtat beslut om avgångsvederlag. Inga avvikelser har noterats. Region Gotland 9 av 13
4. Bedömning och rekommendationer 4.1. Avstämning mot kontrollmål Granskningen görs utifrån åtta uppställda kontrollmål. Nedan följer bedömning för respektive kontrollmål utifrån iakttageler (se avsnitt 2) och verifieringar (se avsnitt 3). Bedömningen görs utifrån kriterierna om kontrollmålet anses uppfyllt, delvis uppfyllt eller ej uppfyllt. Kontrollmål Behörigheter är över tiden ändamålsenliga utifrån den anställdes arbetsuppgifter och ansvar. Bedömning Delvis uppfyllt Samtliga anställda har en grundbehörighet till Medvind och HR-Plus. Övriga behörigheter tilldelas utifrån arbetsuppgifter enligt delegationsordning. Upplägg av behörighet som innebär avsteg från anställning och delegation sker genom blankett som signerats av ansvarig chef. Verifiering av blankett mot system är ej möjlig eftersom det inte går att få fram en sammanställning över samtliga behörigheter i Medvind, utan endast på individnivå. Vi bedömer detta som en brist. Tidrapporter/Frånvarorapportering är attesterad av behörig person. Ej uppfyllt Vår verifiering visar att sju av tio tid- /avvikelserapporter har attesterats av behörig person. Två rapporter har attesterats av löneassistent p.g.a. att ansvarig chef vid tidpunkt haft problem med sin behörighet. Bedöms delvis uppfyllt. Däremot visar vår verifiering av ej attesterade tider att tid- och avvikelserapporter i stor utsräckning ej attesteras av ansvarig chef. Vi bedömer detta som en stor brist. Det resulterar i manuella utbetalningar i eftersom samt medför risk för löneskulder/-fordringar. Resultatet av den preliminära och definitiva lönekörningen hanteras på rätt sätt och i rätt tid. Uppfyllt Varje månad görs en preliminär och definitiv lönekörning. Vid den prelimära körningen tas en fellista fram utifrån vilken det sker korrigeringar och rättningar. Region Gotland 10 av 13
Löneutbetalning är attesterad av behörig person. Uppfyllt Löneutbetalning sker alltid av två personer i förening, en granskningsattestant och en beslutsattestant. Inlogg sker via bank-id, vilket innebär att systemet omöjliggör att det är samma person som utför båda momenten. Vi har verifierat tre stycken löneutbetalningar genom kontroll av kvittens och utanordning mot attestförteckning. Inga avvikelser har noterats. Överföring från lönesystem till ekonomisystem sker fullständigt och riktigt. Uppfyllt I samband med att bankfilen skickas till Nordea skapas en bokföringsfil till ekonomisystemet. Controller kontrollerar filen och stämmer av mot ekonomisystemet. Lönekostnader och tillhörande kostnader analyseras regelbundet. Uppfyllt Vid preliminära lönekörningen görs en rimlighetsbedömning av samtliga löner. Ansvarig chef med budgetansvar ska månatligen följa upp löne- och personalkostnader. Löneavdelningen följer månatligen upp orimliga löner. Det finns fungerande rutiner för kontroll av att registrerade behörigheter är korrekta utifrån delegationsordning samt av förändringar under året (exempelvis medarbetare som slutar, är lediga eller tillfälliga förändringar av behörighet). Delvis uppfyllt Förändring och avslut av behörighet ska informeras av ansvarig chef till löneavdelningen, för detta krävs ingen blankett. Genomgång av behörigheter sker två gånger per år. Kontrollen dokumenteras inte. Användarnas behörighetsnivå i ITsystem är ändamålsenlig utifrån ansvar och befogenheter. Uppfyllt Samtliga medarbetare har per automatik grundbehörighet i både Medvind och HR-Plus. Övriga behörigheter tilldelas utifrån ansvar och anställning i enlighet med delegationsordning. För tre behörighetsroller krävs utbildning. Region Gotland 11 av 13
4.1.1. Rekommendationer Utifrån granskningens resultat och ovanstående bedömningar har ett antal brister noterats och därmed lämnas följande rekommendationer: Upprätta dokumenterade rutiner och riktlinjer avseende löneprocessen som innehåller erforderliga löpande kontrollmoment i samband med löneutbetalning, samt tydliggöra vilka kontroller som ska utföras av ansvarig chef och centralt vid löneadministrationen. Säkerställa att ansvarig chef attesterar tid-/avvikelserapport. Vi bedömer det som en risk att underlag för löneutbetalning inte attesteras. Utveckla internkontrollplanen att omfatta kontrollmoment med bäring på löne- och personalkostnader. Se över möjligheten med systemleverantören för Medvind att ta fram en lista med sammanställning över samtliga behörigheter i systemet. Se över möjligheten att införa ett system för hantering av arvoden till förtroendevalda. Region Gotland 12 av 13
2016-04-11 Carin Hultgren Uppdragsledare/projektledare Region Gotland 13 av 13