1(9) Styrelsen och rektor Attestgranskning 1. Bakgrund (IR) har i enlighet med fastställd revisionsplan för verksamhetsåret 2005 utfört granskning av attester. Attest innebär att intyga att kontroll har skett och godkännande av kostnader. Attestmomentet ska göras på samtliga utbetalningar innan utbetalningen utförs. Inom LiU hanteras årligen cirka 60 000 leverantörsfakturor som genererar utbetalningar och som ska attesteras. Därutöver tillkommer underlag som hanteras i lönesystemet HR+ och Tur och Retur exempelvis reseräkningar, övertid och arvoden som också ska attesteras. I och med att ekonomi- och personaladministrationen i stor utsträckning är decentraliserad har institutionerna ett stort ansvar för att själva ha fungerande rutiner. Den decentraliserade organisationen ställer stora krav på de självständiga institutionerna beträffande kunskap i såväl ekonomi som personaladministration. Prefekten är ansvarig för hur administrationen vid institutionen sköts och har därmed ansvar för att rutiner och organisation utformas så att god intern kontroll kan uppnås. En viktig del av den interna kontrollen inom LiU baseras på de regler som finns för ingående av avtal, för attestering och tecknande av utbetalningsbesked. Inom LiU finns planer på införande av elektronisk hantering av fakturor, vilket kommer att medföra elektronisk attest. Granskningen kan vidare bidra till olika råd för hantering av elektronisk attest. 2. Granskningens inriktning och omfattning Granskningen har inriktats på att kartlägga om de institutioner som granskningen omfattar har förteckning över utsedda attestanter i enlighet med regelverket, vilka rutiner som finns vid förändringar av attesträtter, om regelverket avseende attester är väl förankrat och hur attesthanteringen upplevs av berörda. Granskningen av attesthanteringen avser att belysa hur korrekt attesträttssystemet är och riktar in sig på attestsystemets tillförlitlighet vid bokföring av ekonomiska transaktioner.
2(9) Genomförandet av attestgranskningen har gjorts genom; Intervjuer med ett urval av berörd personal på de granskade institutionerna. Institutionsbesök har gjorts på följande sex institutioner IDA, MAI, ISAK, IUV, INR och IHS. Översiktlig genomgång av lagar, förordningar och övrig statlig reglering som berör intern kontroll samt genomgång av LiUs dokument och riktlinjer avseende attester och intern kontroll. Verifiering av ekonomiska transaktioner avseende attester genom stickprovskontroll. Kontroll har också gjorts av varje faktura om den är ställd till LiU och om leverantören har F-skattsedel. 3. Granskningens iakttagelser 3.1 Regler för attestering och för tecknande av utbetalningsbesked Enligt verksförordningen är det chefen för myndigheten, rektor vid LiU, som ska se till att myndighetens organisation är utformad så att redovisning, medelsförvaltning och förvaltning av övriga tillgångar samt myndighetens verksamhet i övrigt kontrolleras på ett betryggande sätt. Rektor kan delegera ansvaret för att arbetet utförs och att fastställda rutiner efterföljs. Det övergripande ansvaret går däremot inte att delegera. Attest Av regelverket framgår att rätten att attestera olika verifikationer har rektor delegerat till prefekt/enhetschef. Prefekten förutsätts delegera denna rätt vidare för att undvika att det är samma person som både attesterar en faktura och tecknar utbetalningsbesked. Prefekten beslutar om attestordningen inom institutionen och beslutet ska vara skriftligt. Lämpligt är att attesträtt delegeras till personer med budget- och resultat ansvar. Av regelverket framgår vidare att attestordningen bör omprövas varje år, vid eventuella ändringar ska hela attestordningen skrivas om och bilagan med namnteckningsprov behöver endast uppdateras. I den attestansvariges uppgift ingår att: kontrollera om fakturan är ställd till institutionen/enheten, att villkoren överensstämmer med uppgjord överenskommelse, leverans överensstämmer med beställning och att varan/tjänsten har levererats kontrollera att kostnaden ligger inom ramen för budgeten och enligt eventuella direktiv från institutionsledningen meddela den som ska teckna utbetalningsbeskedet när utbetalning bör ske
3(9) kontrollera att konteringen är korrekt med avseende på bl.a. bokförings och skatteregler kontrollera att det material som behövs bifogas som underlag för betalning och arkivering Utbetalningsbesked Rätten att teckna utbetalningsbesked tillkommer varje prefekt eller chef för en bokslutsenhet. Rektor ska godkänna om rätten att teckna utbetalningsbesked ska överlämnas till någon annan. Detta görs genom en fullmakt som ska undertecknas av rektor. Undantag råder under sommarsemester, då prefekt får besluta om rätten att teckna utbetalningsbesked. Innan utbetalningsbeskedet tecknas ska följande kontrolleras; att verifikationen har attesterats av behörig tjänsteman att medel finns disponibla på aktuellt konto att eventuella acconto betalningar och kvittningsbara motfordringar har beaktats att allt grundmaterial av betydelse har beaktats att inte samma person som tecknar utanordningen också har attesterat fakturor Den som attesterar en utbetalning eller tecknar utbetalningsbesked; är rättsligt ansvarig för sin handling får inte attestera en handling som avser denne personligen eller någon närstående person eller juridisk person, i vilken vederbörande har betydande intressen får inte attestera om det finns någon omständighet som kan rubba förtroendet för opartiskhet i ärendet Granskningskontrollerna kan delegeras till annan medarbetare, men ansvaret för attesteringen respektive tecknandet ligger kvar på den som ska attestera och teckna utbetalningsbeskedet 3.2 Processen för leverantörsfakturor på institutionsnivå Fakturahanteringen är decentraliserad vid LiU. I stort är hanteringen av fakturor lika på de institutioner som granskningen omfattat. Vid postöppningen datumstämplas fakturan, därefter ankomstregistreras i de flesta fall fakturan varefter den skickas ut för kontering och attestering. Attestanten anger oftast vilket projekt som skall belastas med kostnaden. Fakturan kommer tillbaka till institutionens ekonomifunktion, här kompletteras vid behov konteringen, slutkontrolleras och definitivbokförs fakturan.
4(9) Betalningsförslag tas ut på de fakturor som ska betalas. Kontroll görs på bland annat att korrekt pg/bg registrerats och att antal fakturor på rapporten överensstämmer med underlaget. Den person som har rätt att teckna utbetalningsbesked kontrollerar underlaget och tecknar betalningsförslaget som skickas till VI. För fakturor på 500 tkr eller mer ska kopia på fakturan bifogas betalningsförslaget. Fakturaflödet beskrivs övergripande i nedanstående flödesschema; Postöppning och datumstämpling Ankomstregistrering Sortering och utskick Kontroll och uttag av betalningsförslag. Utbetalningsbesked tecknas av prefekt eller motsvarande. Kontroll och definitivbok föring Kontering och attestering Till VI för utbetalning 3.3 Institutionernas attesthandlingar Enligt reglerna för attestordning och utanordningsregler ansvarar institutionerna och enheterna själva för att upprätthålla en aktuell attestordning. De ansvarar också för att förteckningen delges VI och internrevisionen. Det finns attestordningar upprättade för samtliga institutioner som omfattas av granskningen. Institutionerna upprättar varje år en ny attestordning Alla attestordningar är undertecknade av respektive prefekt och det framgår också att den aktuella attestordningen ersätter alla tidigare attestordningar. En av institutionerna hade dock en tidsbegränsad attestordning för år 2004, en aktuell för år 2005 saknades, vilket åtgärdades under granskningen. Vid granskningen av attestordningen framkom att fem av de sex institutionerna har utsett ersättare till sina attestanter, det står inte omnämnt i attestordningen vilken turordning som gäller.
5(9) Vad gäller namnteckningsprover råder olika rutiner. I regelverket står att namnteckningsbilagan endast behöver uppdateras vid förändringar. Några institutioner saknar rutin för att återkalla namnteckningsprover för personer vars attesträtt har upphört. Hälften av institutionerna har uppgivit datum för när namnteckningsprovet är upprättat. En av institutionerna hänvisade till namnteckningsprov i diariet avseende en attestant inlämnat för över tio år sedan. På två av institutionerna saknades namnteckningsprov för sammanlagt fyra personer med attesträtt, bristen åtgärdades under granskningen. Några institutioner har fler namnteckningsprover än attestanter. Fem av de sex institutionerna har lika hantering avseende vilka befattningar/funktioner som har attestuppdrag, vilket är personer som har budget- och resultat ansvar. På en institution är det endast centrala funktioner som har attesträtt. De personer som har resultat- och budgetansvar bekräftar med signatur eller namnteckning att fakturan är godkänd och attesten utförs av de centrala funktionerna. Fem av institutionerna använder sig av både signatur och namnunderskrift vid attestering. En av institutionerna hade inte signaturer på attestordningen, detta kompletterades under granskningen. 3.4 Attestsystemets förankring i organisationen Vilken introduktion som ges till personer med attesträtt varierar. I flera fall har intendenten gett de attestansvariga reglerna för attestering och för tecknande av utbetalningsbesked. På en av institutionernas attestordning finns en kortfattad beskrivning om vad som ingår i den attestansvariges uppdrag, vilka samtliga attestanter får en kopia av. På en institution menade man att de som hade attesträtt fick höra av sig om de hade några frågor. I regelverket framgår att en attestant inte får attestera om det finns någon omständighet som kan rubba förtroendet för opartiskhet i ärendet. Vem som attesterar prefektens fakturor såsom mobiltelefon, kursavgifter resor mm varierar. I några fall var det proprefekt, i andra fall intendent eller en central administratör på institutionens ekonomifunktion med attesträtt eller den som var ansvarig för det kostnadsställe som belastats av prefektens kostnader. 3.5 Stickprovsgranskning Stickprovsgranskningen omfattar 873 leverantörsfakturor genom slumpmässigt urval. Följande kontroller har gjorts; att fakturan är ställd till institutionen/liu om fakturan har attesterats om det är rätt person för uppdraget, d.v.s. rätt attestant för kostnadsstället/projektet att attestanten inte själv attesterat en faktura som avser denne personligen
6(9) Nedan redovisas en sammanställning över stickprovsgranskningens resultat; Institution Antal stickprov Attest saknas Obehörig attestant IDA 146 0 3 IHS 150 7 5 ISAK 142 3 4 INR 150 1 3 IUV 145 0 2 MAI 140 1 4 Summa 873 12 (1 %) 21 (3 %) Av sammanställningen ovan över stickprovsgranskningen framkommer att 99 % av samtliga fakturor var attesterade och det framkom att ca 3 % av fakturorna var attesterade av obehöriga attestanter, i de flesta fall resor som avsåg attestanten själv. Tre av institutionerna har prefekter med attesträtt. Detta innebär att de måste ha extra kontroll över de utbetalningsbesked som ska attesteras då det finns fakturor attesterade av prefekten. En utsedd ersättare ska attestera utbetalningsbeskedet i dessa fall. Vid granskningen kontrollerades utbetalningsbeskedet för fakturor attesterade av prefekten. På en av institutionerna hade prefekten attesterat fakturor och samtidigt tecknat utbetalningsbesked. Detta påtalades under granskningen och en översyn på institutionen av attestordningen pågår för att förbättra rutinen och den egna interna kontrollen. 4. s bedömning och rekommendationer Attest- och utanordningsregler Det är bra att det tydligt framgår i regelverket att hela attestordningen skall revideras vid förändringar och att beslut bör omprövas minst varje budgetår. I regelverket står dock att namnteckningsprov endast behöver uppdateras. För att få en mer enhetlig hantering av attesthandlingen anser IR att det under varje budgetår görs en total revidering av attestordningen och att en total revidering av namnteckningsprov görs förslagsvis vid varje prefektval. Därutöver görs det löpande under året kompletteringar av eventuella förändringar. Detta bör framgå av regelverket. IR anser att det i regelverket tydligt ska framgå att attestering ska göras med namnunderskrift och inte med signatur, dels p.g.a. identifikationsskäl och dels på grund av rättssäkerhetsskäl. I regelverket omnämns endast att namnteckningsprov för attesträttsinnehavarna ska biläggas attestordningen. Det står inte uttryckligen att attestering ska göras med namnunderskrift och flera institutioner har tolkat det som om att signatur är en giltig attestering. IR har noterat att många attestanter attesterat med signatur och flera signaturer i det material vi granskat är lätta att förfalska t.ex. signaturer som textas.
7(9) I regelverket står det bl.a. att attest inte får göras om det finns någon omständighet som är ägnad att rubba förtroendet för attestantens opartiskhet i ärendet. Generellt bör attest enbart göras av högre ansvariga chefer eller annan som står högre i ansvarskedjan. IR anser att det tydligt bör framgå av regelverket vilka regler som gäller för attestering av överordnad, t.ex. vem som ska attestera de verifikat som avser prefekten. En spridning av attestanterna i kontrollkedjan bör eftersträvas, så att samma person inte både beställer varan/tjänsten och därefter utför alla kontrollmoment innan attestering. Med fler inblandade minskar risken för oegentligheter. Vid mindre organisatoriska enheter kan det ibland vara svårt att skapa tillräckliga kontrollkedjor. I de fall kraven på flera personer i kontrollkedjan inte kan tillmötesgås kan det vara lämpligt att besluta om andra kompletterande kontroller, exempelvis stickprovskontroller i efterhand. Huvudprincipen bör emellertid vara att minst två olika personer alltid ska attestera den ekonomiska transaktionen. IR anser att ur intern kontrollsynpunkt och redovisningspraxis bör fakturan i normalfallet alltid handläggas av två personer, uppdelat på två olika attester, mottagningsattest och beslutsattest. Mottagningsattest innebär kontroll mot leverans/prestation kvantitet, kvalitet och pris. Mottagningsattest bör vara obligatorisk vid köp av vara eller tjänst. Därutöver tillkommer kontrollen som görs vid tecknande av utbetalningsbesked. I regelverket står att den som attesterar en utbetalning eller tecknar ett utbetalningsbesked är rättsligt ansvarig för sin handling. IR anser att innerbörden av begreppet bör förtydligas i regelverket. I regelverket framgår inte vilka åtgärder attestanten bör vidta om något fel eller tveksamhet uppmärksammas, vilket IR anser att det ska göra. I de fall det inte är lämpligt att rapportera till närmaste chef ska det framgå i regelverket vart man ska vända sig. Vidare bör det framgå vem som ska hantera olika typer av fel som upptäcks i samband med attest och hur dokumentation och rapportering skall gå till. I regelverket står att under sommarsemester har prefekt eller motsvarande rätt att överlämna tecknandet av utbetalningsbesked utan fullmakt från rektor. Detta gäller när både prefekt och proprefekt har semester samtidigt. Det är främst under sommarsemester som behovet av ersättare uppstår och då bör också kontrollen över vilka som ges rätten att teckna utbetalningsbesked vara lika som under övriga året. IR anser därför att överlämnande av rätten att teckna utbetalningsbesked även under sommarsemester ska godkännas skriftligt av rektor.
8(9) Institutionernas attestordning Det är av stor vikt att ansvars- och befogenhetsfördelningen är väl genomtänkt. IR har utifrån gällande organisation på de institutioner som granskningen omfattat gjort bedömningen om det är rätt befattning/funktion som har attestuppdraget. Vår bedömning är att de granskade institutionerna har en väl genomtänkt fördelning av attestuppdraget. IR anser att det ska framgå i attestordningen vilken turordning som gäller när det finns ersättare utsedda och att det alltid i första hand är den ordinarie som attesterar. Detta för att undvika parallella attesträtter där risken finns att den ene personen inte vet vad den andre gör, risken finns att den ene tror att det finns pengar kvar och förbrukar dem. Revidering av attestordning görs mer eller mindre löpande av de granskade institutionerna. Uppdatering av bilagan av namnunderskrifter görs på olika sätt. IR anser att institutionerna bör utforma rutiner för att vid varje prefektval revidera hela bilagan med namnunderskrifter. På handlingen skall datum för upprättande framgå. Ny attestordning ska tas fram varje budgetår. IR anser som tidigare nämnts att attest bör göras med namnunderskrift och inte med signatur. Institutionerna bör ha en rutin för hur nya attestanter ska introduceras i sitt uppdrag och av vem. Regelverket kan med fördel reglera vilka instruktioner berörd personal ska få i samband med att de tilldelas attestuppdrag samt vilken befattning som ansvarar för utformningen och informationen/ utbildningen om detta. Attestarbetet skall utformas så att den interna kontrollen inom institutionerna/bokslutsenheterna är tillräcklig. Elektronisk attest Innerbörden av elektronisk attest är i grunden detsamma som nuvarande attest. Skillnaden är att attesten inte tecknas manuellt med namnteckning eller signatur utan görs elektroniskt. Det är viktigt att även elektronisk attest på ett säkert sätt ska kunna knytas till en viss person, eventuell beloppsgräns och/eller given informationsmängd. I scanningsystem är behörigheten maskinellt reglerad vilket innebär att attestanten endast kan attestera sina koder. IR bedömer att kraven på säkerhet och skydd vid elektronisk attest bör utgå ifrån en riskanalys i vilken en sammanvägning av sannolikhet för fel, konsekvenser av fel och bedömda kostnader för fel ingår. Riskanalysen är viktig för att kunna bedöma och värdera möjliga hot och risker och som underlag för att fastställa LiUs risktolerans och utifrån detta utforma en kontrollmiljö.
9(9) IR föreslår att regelverket för attestering och för tecknande av utbetalningsbesked revideras enligt ovanstående förslag och anpassas både tidsmässigt och innehållsmässigt till hantering av elektronisk attestering. Margareta Fallsvik Revisionschef Internrevisor Kopia till: Curt Karlsson, universitetsdirektör Arne Månberg, Riksrevisionen