www.pwc.se Revisionsrapport Anna Hilmarsson, Certifierad kommunal revisor Lotten Lasson, Revisionskonsult Henrik Friang, Risk manager Granskning av Staffanstorps kommuns leverantörsskulder och dess system
Innehållsförteckning 1. Inledning... 1 1.1. Bakgrund... 1 1.2. Syfte, revisionsfråga och avgränsning... 1 1.3. Metod... 2 2. Granskningsresultat... 3 2.1. Dubbla leverantörer finns inte upplagda i systemet... 3 2.1.1. Bedömning och rekommendationer... 3 2.2. Verifikationsnummerserien är obruten... 4 2.2.1. Bedömning och rekommendationer... 4 2.3. Dubbla utbetalningar förekommer inte... 4 2.3.1. Bedömning och rekommendationer... 4 2.4. Utbetalningar till icke upplagda leverantörer förekommer inte... 5 2.4.1. Bedömning och rekommendationer... 5 2.5. Uppläggning av nya leverantörer görs av behörig personal... 5 2.5.1. Bedömning och rekommendationer... 6 2.6. Attest av leverantörsbetalningar görs av behörig personal... 7 2.6.1. Bedömning och rekommendationer... 8 2.7. Korrekt bank/pg-nummer är upplagda i systemet... 9 2.7.1. Bedömning och rekommendationer... 9 3. Sammanfattande bedömning... 10
1. Inledning 1.1. Bakgrund Under senare år har det i en del av Sveriges kommuner framkommit oegentligheter i form av bl.a. otillåtna utbetalningar till anställda och/eller deras närstående. Kommunens leverantörsutbetalningar bedöms som ett riskområde och utgör en stor del av kommunens balansomslutning. Mot bakgrund av detta vill de förtroendevalda revisorerna granska den interna kontrollen avseende kommunens leverantörsskulder och dess system med avseende på bl.a. uppläggning av nya leverantörer och dubbla utbetalningar. En väl fungerande intern kontroll i system och rutiner är en förutsättning för att den information som ligger till grund för politiskt beslutsfattande är tillförlitlig. På samma sätt utgör den interna kontrollen i redovisningens system och rutiner en förutsättning för att årsredovisning och delårsrapporter motsvarar de krav som lag och normgivare ställer. 1.2. Syfte, revisionsfråga och avgränsning Syftet med granskningen är att bedöma om kommunstyrelsens rutiner och intern kontroll avseende kommunens leverantörsskulder och dess system är tillräckliga och ändamålsenliga samt i vilken utsträckning dessa följs. Revisionsfråga: Är kommunstyrelsens interna kontroll avseende kommunens leverantörsskulder och dess system tillfredställande och ändamålsenlig? Följande revisionskriterier har använts för att svara på revisionsfrågan: Dubbla leverantörer finns inte upplagda i systemet. Verifikationsnummerserien är obruten. Dubbla utbetalningar förekommer inte. Utbetalningar till icke upplagda leverantörer förekommer inte Uppläggning av nya leverantörer görs av behörig personal. Attest av leverantörsbetalningar görs av behörig personal. Korrekt bank/pg-nummer är upplagda i systemet. Granskningen omfattar samtliga nämnder och avser perioden april oktober 2013. 1 av 11
1.3. Metod Information från leverantörssystemet har bearbetats via registeranalys för perioden april- oktober 2013. Därefter har stickprovsgranskning/substansgranskning skett i kombination med intervjuer med tjänstemän inom kommunledningsförvaltningen. Omfattningen och inriktningen på stickproven och intervjuerna har genomförts i den utsträckning som analysens resultat krävt. Rapporten har varit föremål för sakgranskning av berörda tjänstemän. 2 av 11
2. Granskningsresultat Årligen passerar cirka 22 000 fakturor igenom kommunens leverantörssystem. Kommunen använder leverantörssystemet Raindance som levererats av CGI Sweden. Kommunen använder även ekonomisystemet A+. Raindance och A+ integrerar med varandra i följande ordning; inskanning av fakturor sköts av den externa utföraren CGI. Skanningföretaget levererar därefter en elektronisk fil som överförs till Raindance där verifikationen får ett löpnummer. Under nästkommande natt importeras filen till A+ och får i samband med detta ett verifikationsnummer. I Raindance sker därefter kontering och signering, konteringen förs sedan över till ekonomisystemet A+. Vid förfallodatum sker betalningen via A+ och en kvittens skickas till Raindance. I sällsynta fall inträffar felskanning och kommunen skickar då tillbaka fakturan för omskanning. Överlag fungerar enligt uppgift sammarbetet med CGI väl. Kommunen är restriktiva gällande att hantera fakturor manuellt. Målet inför år 2014 är enligt uppgift att de manuellt hanterade fakturorna helt ska elimineras, dock sker det fortfarande i vissa fall direktutbetalningar från systemet A+. 2.1. Dubbla leverantörer finns inte upplagda i systemet Denna analys syftar till att identifiera förekomsten av dubbelregistreringar av leverantörer i leverantörsregistret. Utsökningen har utförts genom summering per leverantörsnummer och leverantörsnamn. Dubbelregistrerade leverantörer är primärt en ordningsfråga för kommunen och kan försvåra uppföljning av inköp etc. I tillämpningsanvisningar till attestdirektiv, daterade 2013-11-26 finns dokumenterade regler för kontroll mot fullständighet (att verifikationen uppfyller kraven enligt god redovisningssed och kontering). Här finns även en dokumenterad checklista avseende hur en godkänd leverantörsfaktura ska se ut och vilka övriga kontroller som ska genomföras. Vår registeranalys påvisar att det inte förekom några dubbla leverantörer i kommunens leverantörssystem under granskningsperioden. Enligt uppgift utförs inte någon översyn av upplagda leverantörer med regelbundna intervall, utan det sker endast vid behov. 2.1.1. Bedömning och rekommendationer Vi rekommenderar kommunstyrelsen att tillse att det görs en översyn av upplagda leverantörer med jämna intervall. Detta för att hålla registret aktuellt så att det t.ex. inte finns leverantörer som kommunen inte längre gör affärer med. I övrigt har vi inget att erinra. 3 av 11
2.2. Verifikationsnummerserien är obruten I den kommunala redovisningslagen 2 kap 5 anges följande I verifikationen skall det ingå ett verifikationsnummer eller annat identifieringstecken samt sådana övriga uppgifter som är nödvändiga för att sambandet mellan verifikationen och den bokförda ekonomiska händelsen utan svårighet skall kunna fastställas. Analysen syftar till att identifiera luckor i verifikationsnummerserier. Kommunen har flera verifikationsnummerserier, bland annat separeras de manuellt hanterade fakturorna (endast ett fåtal) i en egen verifikationsnummerserie. Vid genomförd registeranalys framkom 10 stycken potentiella luckor i verifikationsnummerserien. Av den anledningen blev samtliga av dessa luckor föremål för granskning. Vid granskning konstaterades att dessa verifikationsnummer inte saknades, underlag för samtliga verifikationer fanns och är kontrollerade utan att finna några avvikelser. Vi kan därför utifrån genomförd kontroll, konstatera att de potentiella luckor som registeranalysen påvisade inte existerar. 2.2.1. Bedömning och rekommendationer Då samtliga potentiella luckor i verifikationsnummerserien har kontrollerats utan att finna avvikelser, har vi inget att erinra på denna punkt. 2.3. Dubbla utbetalningar förekommer inte Analysen syftar till att identifiera potentiella betalningar av samma faktura mer än en gång. Matchning sker i kombination av leverantörsnummer, fakturanummer, fakturabelopp och förfallodatum. Endast betalda leverantörsfakturor ligger till grund för denna analys. Vid genomförd registeranalys framkom inga avvikelser, dvs. att inga dubbla utbetalningar identifierades under granskningsperioden. I samband med utbetalning använder kommunen systemet Inyett. Detta är en IT-tjänst som kontrollerar alla kommunens utbetalningar. Systemet ger varningar för bl.a. bluffakturor, betalningsanmärkningar och avsaknad av F-skattesedel. Varningar ges även vid utbetalningar av höga belopp samt vid dubbla utbetalningar. 2.3.1. Bedömning och rekommendationer Vi ser positivt på att det inte förekommit några dubbla utbetalningar under granskningsperioden, samt att kommunen använder sig av systemstödet Inyett. Vi har vi inget att erinra på denna punkt. 4 av 11
2.4. Utbetalningar till icke upplagda leverantörer förekommer inte Analysen syftar till att identifiera potentiella utbetalningar till konton som inte finns upplagda som konto hos kommunen. Genomförd registeranalys visar att det inte förekommer utbetalningar till leverantörer som inte fanns registrerade i leverantörsregistret. 2.4.1. Bedömning och rekommendationer Vi har inget att erinra på denna punkt. 2.5. Uppläggning av nya leverantörer görs av behörig personal Analysen syftar till att identifiera leverantörer som lagts till i leverantörssystemet av ej behörig personal under granskningsperioden. Ursprungligen var det systemleverantören som lade upp behörigheterna i leverantörssystemet. I nuläget är det en anställd på ekonomikontoret som kan lägga upp och ändra i anställdas behörigheter i leverantörssystemet Raindance, denna person benämns som systemansvarig. Enligt uppgift läggs nya leverantörer i första hand upp i leverantörssystemet Raindance. Dock sker det i vissa fall upplägg av leverantörer i kommunens ekonomisystem A+. I A+ är det möjligt att göra direktbokningar av leverantörer, dock görs detta enbart vid brådskande fakturor, t.ex. då kommunen erhållit betalningspåminnelse. Enligt uppgift finns det åtta personer i kommunen som har rätt att lägga upp nya leverantörer i leverantörssystemet Raindance. Dessa personer ingår i den så kallade Raindance-gruppen. Det finns dock ingen formell förteckning över vem som har behörigheter att lägga upp nya leverantörer i kommunens system. Denna grupp har, tillsammans med flera andra anställda, genomgått två utbildningar under 2013 och en i januari 2014 som är relaterade till hantering av leverantörssystemet. Under vår granskning har vi inte kunnat ta del av någon dokumenterad rutin, eller dokumenterad beslutsgång, gällande vem som har rätt att lägga upp nya behörigheter i kommunens leverantörssystem. Vid intervju framkom att behörigheterna ändras i de fall då en person slutar eller tillkommer i Raindancegruppen. 5 av 11
I tabellen nedan presenteras de användare som lagt upp leverantörer, samt hur många upplägg de gjort under granskningsperioden. Användare Antal upplägg 1 156 2 74 3 38 4 19 5 15 6 13 7 9 8 5 9 3 10 2 Utifrån genomförd registeranalys kan vi konstatera att tio användare lagt upp nya leverantörer under granskningsperioden. Fyra av dessa personer ingår inte i Raindance-gruppen men har lagt upp leverantörer i ekonomisystemet A+ under perioden. Enligt uppgift har dessa fyra personer lagt upp leverantörer i samband med utbetalningar till gymnasieskolan, grundskolan, stadsbyggnadskontoret och i samband med att återbetalning skett till felaktig insättning. Detta ingår i personernas arbetsuppgifter, dock finns det inget formellt beslut eller dokumentation över deras rättigheter gällande upplägg av nya leverantörer. Samtliga på ekonomiavdelningen som har inloggning till A+ har möjlighet att lägga upp nya leverantörer i detta system. Ekonomikontoret hänvisar till att de känner komfort i deras rutiner för upplägg av nya leverantörer eftersom attestanten kontrollerar upplagd leverantör samt att Inyette kontrollerar kommunens alla utbetalningar. Vår registeranalys påvisade att två av behörigheterna inte använts under granskningsperioden, d.v.s. under en period på sex månader. Enligt uppgift, arbetar dessa personer centralt på ekonomikontoret och behöver ha behörigheten för att finnas behjälpliga till övrig personal i organisationen. Idag sker ingen efterkontroll av de leverantörer som lagts upp i systemet avseende att leverantören är korrekt och att ingen otillbörlig leverantör läggs upp. Detta är inte heller någon rutin som dokumenterats. 2.5.1. Bedömning och rekommendationer Genomförd registeranalys påvisar att det finns anställda som lagt upp nya leverantörer under granskningsperioden som inte ingår i Raindance- gruppen. Vi noterar även att det inte finns någon fastställd dokumentation över vem som har rätt att lägga upp nya leverantörer i kommunens leverantörssystem. Då vi ser detta som en brist bör kommunstyrelsen därför tillse att upprätta dokumenterade rutiner, samt en förteckning, över vem som har rättigheter att lägga upp nya leverantörer i kommunens båda leverantörssystem och tillse att det finns en tydlig beslutsgång avseende detta. 6 av 11
Vi ser det som en risk att det är möjligt för samtliga på ekonomikontoret att lägga upp nya leverantörer i A+. Vi anser att kommunstyrelsen bör dokumentera regler och rutiner för att ge ut behörighet för att lägga upp nya leverantörer i systemet. Utifrån beslutade behörigheter bör kommunens samtliga leverantörssystem anpassas efter detta för att utesluta möjligheten att obehörig personal kan lägga upp nya leverantörer. Vi anser även att kommunstyrelsen bör överväga att införa en rutin där upplagda leverantörer kontrolleras med jämna intervaller avseende deras korrekthet, samt att denna rutin dokumenteras. Det skulle bidra till att öka kontrollen över att felaktiga leverantörer inte finns upplagda. 2.6. Attest av leverantörsbetalningar görs av behörig personal Analysen syftar till att säkerställa att attest av utbetalningar till konton utförs av behörig personal under granskningsperioden. Analysen syftar även till att säkerställa att attest av utbetalningar görs inom de definierade attestgränserna. Anställda i kommunen som är utsedda beslutsattestanter ska underteckna en blankett där det framgår vilka ansvar och verksamheter de har rätt att beslutsattestera för. Detta arkiveras i en särskild pärm, därefter uppdateras attestbehörigheten i leverantörssystemet. En gång om året eller vid behov tas attestförteckningslistan upp i respektive nämnd för översyn och eventuell revidering. Den aktuella attestförteckningen som förvaras i arkivet ska alltid återspegla inlagda attester i leverantörssystemet. Nedanstående tabell visar de 20 beslutsattestanter som attesterat högst totalt belopp under granskningsperioden. Användare Totalt antal utbetalningar Totalt belopp 1 2 089 83 129 907 kr 2 1 100 15 906 845 kr 3 893 12 421 509 kr 4 813 65 821 958 kr 5 536 3 749 493 kr 6 510 3 863 452 kr 7 433 3 599 521 kr 8 421 14 259 903 kr 9 359 5 150 034 kr 10 330 5 063 890 kr 11 309 15 308 401 kr 12 291 1 966 063 kr 13 285 4 135 360 kr 14 263 1 817 904 kr 15 255 1 470 316 kr 16 243 2 171 045 kr 17 219 2 672 922 kr 18 218 1 533 671 kr 19 203 478 352 kr 20 201 289 167 kr 7 av 11
Genomförd registeranalys har ej identifierat någon obehörig attest av utbetalning, d.v.s. att attestering skett i enlighet med registrerade attester i systemet. För att göra en kontroll av registrerade attester i systemet stickprovskontrollerades att den attesträtt som är inlagd i systemet stämmer överrens med aktuell attestförteckning. I stickprovsgranskningen ingick 30 anställda personer (2-8 personer per styrelse/nämnd som hade registrerad attesträtt i leverantörssystemet) och dessa personer kontrollerades sedan mot aktuell attestföreteckning. Stickprovskontrollen påvisade 4 avvikelser. I tre av fallen fanns personen med i attestförteckningen, men underskrift av attestanten saknades. I det fjärde fallet fanns personen inte med i attestförteckningen, vilket enligt uppgift berodde på av att denna blivit anställd vid årsskiftet 2013/2014, förteckningen hade således inte blivit reviderad vid granskningstillfället. Vid sakgranskningen framkom att kommunfullmäktige antagit ett nytt ekonomistyrdirektiv (KF 2014 1), daterat 2014-02-03. I denna anges att den som tecknar attest är personligen ansvarig för sina åtgärder. Varje beslutsattestant och granskningsattestant ska underteckna skriftlig försäkran om att denne tagit del av och förstått tillämpliga direktiv, reglementen och anvisning. Enligt uppgift har kommunen inte infört några beloppsgränser som är kopplade till attesträtten. I kommunens attestreglemente anges att respektive nämnd kan använda sig utav beloppsgränser. Kommunen har inte heller någon rutin att det ska krävas två beslutsattester vid fakturabelopp överstigande ett visst belopp. 2.6.1. Bedömning och rekommendationer Vi kan utifrån registeranalysen påvisa att attest av leverantörsbetalningar görs av behörig personal. Vi anser att kommunstyrelsen bör tillse att aktuell attestförteckning alltid innehåller underskrift från attestanten för att säkerställa att attestanten tagit del och förstått sitt ansvar. Kommunstyrelsen bör även tillse att aktuell attestförteckning hålls uppdaterad och alltid revideras direkt i anslutning till tidpunkten då en anställd får attesträtt. Vi ser därför positivt på att ett nytt ekonomistyrdirektiv antagits som berör hur attestantens ansvar säkerställs. Vi anser att kommunstyrelsen bör tillse att direktivet implementeras och följs fullt ut inom kommunen. Vi föreslår att kommunstyrelsen bör överväga att införa beloppsbegränsningar kopplade till attestbehörigheten. Genom att sätta ett maxbelopp för respektive attestant och verksamhet kan dessa åtgärder bidra till att öka den interna kontrollen inom detta område. Vi vill även uppmana kommunstyrelsen att överväga att införa två beslutsattester vid fakturabelopp överstigande ett visst belopp. Ovanstående åtgärder skulle ytterligare bidra till att öka den interna kontrollen inom detta område. 8 av 11
2.7. Korrekt bank/pg-nummer är upplagda i systemet Analysen syftar till att identifiera utbetalningar till konton som inte avser leverantörer. Analysen genomförs genom jämförelse mellan betalfiler och leverantörsregister. Registeranalysen påvisar att det inte förekommer betalningar till bank/pg-nummer som inte avser leverantörer under granskningsperioden. 2.7.1. Bedömning och rekommendationer Vi har inget att erinra på denna punkt. 9 av 11
3. Sammanfattande bedömning Är kommunstyrelsens interna kontroll avseende kommunens leverantörsskulder och dess system tillfredställande och ändamålsenlig? Utifrån genomförd granskning konstaterar vi att kommunstyrelsens interna kontroll avseende kommunens leverantörsskulder och dess system, utifrån kontrollmålen, till övervägande del fungerar tillfredställande och ändamålsenligt. Granskningen har dock identifierat några förbättringsområden, vilka framgår nedan: Ovanstående bedömning baserar vi främst på att: Vi rekommenderar kommunstyrelsen att tillse att det görs en översyn av upplagda leverantörer med jämna intervall. Detta för att hålla registret aktuellt så att det t.ex. inte finns leverantörer som kommunen inte längre gör transaktioner med. Genomförd registeranalys påvisar att det finns anställda som lagt upp nya leverantörer under granskningsperioden som inte ingår i Raindancegruppen. Det är en risk att samtliga på ekonomikontoret kan lägga upp nya leverantörer i ett av kommunens två leverantörssystem. Vi noterar även att det inte finns någon fastställd dokumentation över vem som har rätt att lägga upp nya leverantörer i kommunens leverantörssystem. Kommunstyrelsen bör därför tillse att upprätta dokumenterade rutiner, samt en förteckning, över vem som har rättigheter att lägga upp nya leverantörer i kommunens båda leverantörssystem och tillse att det finns en tydlig beslutsgång avseende detta. Vid stickprovskontroll framkom att fyra registrerade attestanter inte signerat aktuell attestförteckning. Vi anser att kommunstyrelsen bör tillse att aktuell attestförteckning alltid innehåller underskrift från attestanten för att säkerställa att attestanten tagit del och förstått sitt ansvar. Vi ser därför positivt på att ett nytt ekonomistyrdirektiv antagits som berör hur attestantens ansvar säkerställs. Vi vill även uppmana kommunstyrelsen att införa beloppsbegränsningar kopplade till attestbehörigheten samt överväga att införa två beslutsattester vid fakturabelopp överstigande ett visst belopp. Dessa åtgärder skulle ytterligare bidra till att öka den interna kontrollen inom detta område. 10 av 11
2014-03-25 Anna Hilmarsson Projektledare Carl-Gustaf Folkeson Uppdragsledare 11 av 11