Revisionsrapport Intern kontroll i faktura- och lönehantering C4 Energi AB 2009-12-16 Silja Savela Yvonne Lundin
Innehållsförteckning 1 Sammanfattande bedömning...1 2 Bakgrund, syfte och revisionsfråga...2 2.1 Metod och avgränsning...2 3 Iakttagelser...3 3.1 Dokument...3 3.1.1 Intern kontroll...3 3.1.2 Attestreglemente...3 3.2 Rutinbeskrivningar...3 4 Fakturahantering...4 4.1 Rutin för behörigheter och lösenord...5 4.2 Rutiner för efterkontroll av upplagda leverantörer och registrerade fakturor...5 4.3 Rutiner för behandling av eventuella sekretessfakturor...6 4.4 Attestförteckningens aktualitet och efterlevnad...6 4.5 Granskning av ett urval av fakturor...6 5 Lönehantering...7 5.1.1 Internkontrollplan för lönehantering...7 5.2 Rutiner för uppdatering och registrering av uppgifter i personalregistret...8 5.3 Rutiner för rapportering, godkännande och registrering av löneunderlag...8 5.4 Rutiner för utbetalning av löner...8 5.5 Granskning av ett urval löneunderlag...8 6 Revisionell bedömning...9
1 Sammanfattande bedömning Kristianstads kommuns revisorer har gett Öhrlings PricewaterhouseCoopers i uppdrag att granska intern kontroll i faktura- och lönehantering. Revisionsfrågan som ställts är om bolagets rutiner och system uppfyller de krav som kan ställas ur internkontrollsynpunkt gällande bolagets faktura- och lönehantering. Till följd av vår granskning som genomförts genom intervjuer, dokumentstudier och stickprovskontroller på leverantörsfakturor och underlag till löneutbetalningar görs följande sammanfattande bedömning: Bolagets rutiner och system för faktura- och lönehantering uppfyller till största delen de krav som kan ställas ur internkontrollsynpunkt. Granskningen visar dock att det finns brister som utgör utvecklingsområden för att ytterligare förstärka den interna kontrollen, enligt nedan. Vi konstaterar vid granskningen att bolaget saknar dokumenterade rutinbeskrivningar över de flesta arbetsmomenten inom både faktura- och lönehanteringen, att kontinuerligt byte av lösenord inte tillämpas, att dokumentation över användare och deras behörigheter saknas för lönerutinen. Vi rekommenderar därför: att bolaget upprättar dokumenterade rutinbeskrivningar gällande arbetsmomenten i faktura- och lönehanteringen att bolagets rutiner för byte av lösenord ses över att bolaget upprättar dokumenterade rutiner gällande användare och behörighet i lönehanteringen C4 Energi AB, Intern kontroll i faktura- och lönehantering 1(9)
2 Bakgrund, syfte och revisionsfråga Av kommunallagens 9 kap 9 framgår bland annat att revisorerna ska pröva om den interna kontrollen som görs inom nämnderna är tillräcklig. Nämndernas ansvar i detta arbete framgår av kommunallagen 6 kap 7 i vilken det stadgas att nämnderna ska se till att den interna kontrollen är tillräcklig. Nämnderna ansvarar för en ändamålsenlig styrning så att verksamheten bedrivs på ett effektivt sätt och att det finns säkra rutiner som förhindrar förlust för kommunen och som säkerställer att redovisningen är rättvisande. Samma krav ställs på verksamhet som bedrivs i kommunala företag där styrelsen har motsvarande ansvar för den interna kontrollen. Syftet med granskningen är att kontrollera om bolagets rutiner och system uppfyller de krav som kan ställas ur internkontroll synpunkt. Granskningen berör följande områden: Lönehantering Fakturahanteringen (Leverantörsfakturor) Generella kontrollmål: Är rutinbeskrivningar och intern kontrollreglemente tillräckliga? Är dokumentationskraven tillräckliga? Kontrollmål gällande fakturahanteringen: Rutiner för hantering av behörigheter och lösenord Rutiner för efterkontroll av upplagda leverantörer och registrerade fakturor Rutiner för behandling av eventuella sekretessfakturor Attestförteckningens aktualitet och efterlevnad Kontrollmål gällande lönehanteringen Rutiner för uppdatering och registrering av uppgifter i personalregistret Rutiner för rapportering, godkännande och registrering av löneunderlag Rutiner för utbetalning av löner 2.1 Metod och avgränsning Vi har intervjuat berörda personer på ekonomi- och personalavdelningen samt ansvariga för den interna kontrollen. Vi har tagit del av aktuella dokument samt granskat ett antal leverantörsfakturor och löneunderlag för att bedöma om den interna kontrollen är tillräcklig. Gällande fakturahantering omfattas endast leverantörsfakturor. Granskningen avgränsas till bolaget C4 Energi AB. Ett urval av fakturor och löneunderlag bokförda år 2009 har granskats. Rapporten har faktagranskats av ekonomichefen. C4 Energi AB, Intern kontroll i faktura- och lönehantering 2(9)
3 Iakttagelser 3.1 Dokument 3.1.1 Intern kontroll C4 Energi AB:s styrelse fastställer årligen en plan för hur den interna kontrollen skall bedrivas. Planen innehåller vilka kontrollåtgärder som ska utföras, samt när och hur de ska genomföras. För de områden som berörs i denna granskning finns för år 2009 ett antal kontrollmoment som ska genomföras: Områden Antal kontrollmoment Attestreglemente/attestbefogenheter i inköp och faktura 2 Leverantörsfakturor 12 Lön 5 Tidrapporter Interndebitering 5 Inom bolaget finns en person som arbetar med den interna kontrollen. Denna person arbetar inte i sitt dagliga arbete inom samma område där granskningen utförs. Rapportering av iakttagelser i samband med genomförande av de olika kontrollmomenten görs till ekonomichefen. En rapport sammanställs årligen till bolagets styrelse och till kommunstyrelsen. 3.1.2 Attestreglemente Styrelsen för C4 Energi AB har 2009-09-01 fastställt attestreglemente för bolaget. En anpassning av attestreglerna för elektronisk fakturahantering har föranlett senaste uppdateringen. Reglementet reglerar följande områden: Attestens innebörd och syfte Attestreglementets omfattning Begränsningar Skyldigheter för attestberättigad Attestinstruktioner för bland annat leverantörsfakturor, utbetalning av moms, tidrapporter, reseräkningar, avtal med mera. Som bilaga till attestreglementet finns förteckning över attestanter och beloppsgränser för dessa. 3.2 Rutinbeskrivningar Av intervjuerna framgår att de saknas dokumenterade rutinbeskrivningar för de flesta momenten i faktura- och lönehantering. För leverantörsfakturor finns en dokumenterad C4 Energi AB, Intern kontroll i faktura- och lönehantering 3(9)
rutinbeskrivning över integrationsprocessen från fakturahanteringssystemet till redovisning och utbetalning. 4 Fakturahantering Bolaget tillämpar elektronisk fakturahantering så till vida att inkommande pappersfakturor skannas in och all hantering därefter sker elektroniskt. Bolaget använder sig av systemet Inköp och faktura för fakturahanteringen. Totalt hanteras ca 5 000 leverantörsfakturor årligen i bolaget och i systemet finns 37 användare (attestanter). När fakturorna inkommer till bolaget kontrolleras de så att de uppfyller de krav på faktura som ställs av bolaget. De kontroller som görs innefattar bland annat att fakturan är ställd till rätt bolag, inga faktureringsavgifter tas ut, att leverantör är registrerad samt att fakturan i övrigt ser rimlig ut. Efter genomförda kontroller lämnas fakturorna till skanning, där varje faktura avfotograferas och uppgifterna om fakturan registreras (leverantör, belopp, momsbelopp, betalningsdag med mera). När skanning och registrering har skett skickas en fil med samtliga uppgifter till systemet inköp och faktura, där ankomstregistering sker. Varje faktura får ett unikt identifikationsnummer. Förteckning över ankomstregistrerade fakturor kontrolleras så att inga fel har skett vid inläsningen till systemet. Fakturorna skickas därefter elektroniskt till respektive mottagare. Mottagaren får ett meddelande via e-post att det finns fakturor för attestering. När mottagaren loggar in i systemet, ser mottagaren en bild på fakturan och samliga uppgifter som har registrerats gällande fakturan, exempelvis belopp, betalningsdag med mera. Fakturorna ska pris- och mottagningsattesteras av medarbetare med tillräcklig information om beställning och leverans av aktuell vara/tjänst. Beslutsattesten görs av den person som har beslutsattesträtt för respektive konto. Systemet är inställt så att det måste vara minst två olika personer som sätter mottagnings- pris-, respektive beslutsattest. Efter det att fakturorna är slutattesterade skickas de för betalning. Detta sker dagligen genom att en elektronisk betalningsfil skapas och skickas till bankgirocentralen som ombesörjer att fakturorna betalas på förfallodagen. Uppföljning av att fakturorna är betalda sker genom listor från bankgirocentralen på de filer som har skickats. Dessa stäms av mot de betalningsförslag som har skickats. C4 Energi AB, Intern kontroll i faktura- och lönehantering 4(9)
4.1 Rutin för behörigheter och lösenord Inom bolaget finns två personer som har behörighet att lägga in/ändra användarnas behörigheter. En förteckning finns över de personer som har pris- och beslutsattesträttigheter i systemet med angivande av vilka konton de har attesträtt på, samt till vilka belopp. Vid nyregistrering eller förändring av behörigheter, uppdateras förteckningen och signeras av VD innan nya uppgifterna läggs in i systemet. Vid upplägg av nya användare tilldelas nytt lösenord till användaren av systemansvarig. Användaren uppmanas efter första inloggningen att byta till ett eget lösenord. Lösenordet ska bestå av minst fyra bokstäver och två siffror. Några rutiner för löpande byte av lösenord finns inte. Av internkontrollplanen framgår att kontroll ska göras att det finns uppdaterade attestbefogenheter i Inköp och Faktura. Av internkontrollplanen framgår vidare att kontroll har genomförts under året. 4.2 Rutiner för efterkontroll av upplagda leverantörer och registrerade fakturor Vid nyupplägg av leverantörer genomförs en kontroll hos plusgirot/bankgirot att det angivna kontonumret överensstämmer med leverantörens namn. En kontroll görs även mot Varningslistan, en lista som sammanställs av Svensk Handel över företag som ofta förekommer i klagomålssammanhang. När en ny leverantör har registrerats, sänder systemet automatiskt ett meddelande till den internkontrollansvarige som kontrollerar uppgifterna av leverantören mot plus-/bankgirot samt Svensk Handels varningslista. Av internkontrollplanen framgår vilka kontroller av registrerade fakturor som ska genomföras. Under år 2009 ska följande kontroller göras: Att alla leverantörsfakturor är definitivbokade innan momsredovisning görs Att avstämning upprättats mellan ankomstregistrerade fakturor i redovisningen mot leverantörsreskontrans lista över ankomstregistrerade men inte definitivbokade fakturor Att systemet korrigerar så att bokföringsdatum överensstämmer med fakturadatum Att det finns en dokumenterad avstämning mellan leverantörsreskontra och huvudbok Att fakturorna är ställda till rätt bolag och följer reglerna för hur en faktura ska vara utformad Att reglerna om omvänd skattskyldighet efterlevs Att ingående moms, särskilt fastighetsmoms bokförs korrekt Att rätt uppgifter fylls i på fakturor avseende representation Att egna kostnader inte har attesterats C4 Energi AB, Intern kontroll i faktura- och lönehantering 5(9)
Att utbetalningar till privatpersoner och enskilda firmor avseende källskatteavdrag, sociala avgifter och kontrolluppgifter Inköp avseende på korrekt upphandling. En del av kontrollerna har genomförts vid granskningstillfället, resterande kontrollerna skall genomföras innan årets slut. Övriga kontroller av registrerade fakturor som genomförs löpande under året är avstämning av listor över sända utbetalningar från plus-/bankgirot samt avstämning av leverantörsreskontra mot huvudboken. 4.3 Rutiner för behandling av eventuella sekretessfakturor Några sekretessfakturor förekommer inte i bolaget. 4.4 Attestförteckningens aktualitet och efterlevnad Attestförteckningen är uppdaterad 2009-09-22. Den uppdateras kontinuerligt vid förändringar och signeras av VD. Av de stickprovskontroller som vi har genomfört framgår har samtliga fakturor attesterats av rätt person. 4.5 Granskning av ett urval av fakturor En granskning av ca 40 fakturor bokförda mellan januari och september 2009 har genomförts. Fakturorna har valts ut slumpvis genom transaktionslista ur ekonomisystemet. Kontrollerna har avsett: Att fakturan har registrerats inom rimlig tid Att betalning har gått till rätt mottagare med rätt belopp Att rätt moms har registrerats Att beslutsattest av egna kostnader inte har skett Att fakturan är komplett och att bilagor finns med Att rätt person har beslutsattesterat och att samtliga attestnivåer finns Att angivna beloppsgränser inte överskrids Att fakturan är betald i tid. Vid granskningen uppfyller samtliga fakturor ovanstående villkor. Samtliga fakturor har registrerats inom rimlig tid (i de flesta fall ankomstdagen). Kedjan från ankomstregistrering till slutregistrering sker i de flesta fall inom 3 10 dagar. C4 Energi AB, Intern kontroll i faktura- och lönehantering 6(9)
5 Lönehantering Bolaget använder sig av lönesystemet Hogia för hantering och utbetalning av löner samt tidsredovisningssystemet CasaWin för redovisning av arbetad tid, frånvaro med mera. Vid granskningstillfället fanns 48 anställda. Under sommarmånaderna görs löneutbetalningar därutöver till ytterligare ca 5 6 vikarier. Arvoden till styrelseledamöterna utbetalas under hela året. Reseräkningar hanteras manuellt, vilket innebär att lönehandläggare registrerar uppgifterna från reseräkningarna i lönesystemet för utbetalning genom denna. I lönesystemet har två personer behörighet att registrera uppgifter. Dessutom har en person (internkontrollansvarig) behörighet att se alla uppgifterna i systemet. I tidsredovisningssystemet finns olika typer av behörigheter: systemansvarig som registrerar grunduppgifter om anställda samt tilldelar behörigheter för användare, arbetsledare och chefer som har rätt att attestera händelser i systemet anställda som har rätt att registrera avvikelser, exempelvis semester, sjukfrånvaro med mera för egen del. Behörigheterna har styrts så att ingen ska kunna attestera uppgifter för egen del. Det finns ingen dokumenterad förteckning över vilka personer behörigheter i de olika systemen. Det går inte heller på ett enkelt sätt att få ut sådana förteckningar ur systemen. 5.1.1 Internkontrollplan för lönehantering Av internkontrollplanen för 2009 framgår vilka olika kontrollåtgärder som ska genomföras under året: att rätt lön utbetalas till rätt person att underlag för löneavdrag är attesterat att förteckning med nya avtalade löner är attesterad att löneutbetalningar är attesterade att rätt källskatteavdrag dras beloppslista för hela året per anställd, löneart och utbetalningsdatum. En del av kontrollerna har genomförts under året, bland annat att rätt lön utbetalas till rätt person. Övriga kontroller kommer att genomföras innan årets slut. C4 Energi AB, Intern kontroll i faktura- och lönehantering 7(9)
5.2 Rutiner för uppdatering och registrering av uppgifter i personalregistret Alla grundläggande anställningsuppgifter, samt ändringar som inte föranleds av ordinarie lönerevision registreras av lönehandläggare utifrån godkända underlag (anställningsbeskedl) från respektive arbetsledare. Vid lönerevision används en förteckning med uppgift om nya lönerna, påskriven av VD, som underlag för registrering av de nya lönerna. 5.3 Rutiner för rapportering, godkännande och registrering av löneunderlag Löneutbetalning baseras på uppgifterna från anställningsavtalet samt den rapportering som har gjorts i tidsredovisningssystemet. Respektive arbetsledare kontrollerar och attesterar inrapporterade uppgifter i tidsredovisningssystemet för de personer de har ansvaret för. I de fall personalen har haft några utlägg för resor eller annat, rapporteras dessa uppgifter av lönehandläggaren in i lönesystemet utifrån ett underlag som lämnats av den anställde efter att berörd arbetsledare har attesterat underlaget. 5.4 Rutiner för utbetalning av löner Vid bestämda tidpunkter varje månad ska samtliga arbetsledare ha attesterat uppgifterna i tidsredovisningssystemet. Lönehandläggaren hämtar uppgifterna till lönesystemet där en löneberäkning görs. Lönehandläggaren genomför olika kontroller, exempelvis rimlighet, övertid, total lön, semester med mera. Efter genomförd kontroll skrivs ett utbetalningsunderlag ut som visar total lön per person. VD:n kontrollerar och attesterar utbetalningsunderlaget. En fil med uppgifterna skickas till banken som ombesörjer att lönerna betalas ut. Bankfilen signeras av löneadministratören och kontrasigneras av VD:n. Systemet kräver två signaturer innan den godkänner utbetalning. Efter genomförd löneutbetalning skapas en bokföringsorder i systemet som används som underlag vid bokföring i bolagets ekonomisystem. 5.5 Granskning av ett urval löneunderlag Vi har genomfört ett antal kontroller av löneunderlag och behörigheter i systemet. Kontrollerna avser löner utbetalda under 2009. Kontrollerna har avsett: Att anställningsavtal är underskrivna av behörig person Att underlaget som används för utbetalning och bankfil har attesterats av VD och att underlaget överensstämmer med belopp som bokförts som utbetalda löner Att behörigheten för ett urval av arbetsledare i tidrapporteringssystemet överensstämmer mot attestreglerna C4 Energi AB, Intern kontroll i faktura- och lönehantering 8(9)
Att reseräkningar och underlag till manuella registreringar för perioden april till september 2009 är undertecknade av rätt person Att löneuppgift per person överensstämmer med av VD signerad lönerevisionslista för år 2009 Samtliga kontroller har genomförts utan anmärkning. 6 Revisionell bedömning Vi bedömer att bolagets rutiner och system för faktura- och lönehantering i stort uppfyller de krav som kan ställas ur internkontrollsynpunkt. Vi vill peka på några utvecklingsområden för att ytterligare stärka den interna kontrollen: Vi noterar att bolaget saknar dokumenterade rutinbeskrivningar över de flesta arbetsmomenten inom både faktura- och lönehanteringen. Genom en kartläggning och dokumentation av rutinerna kan risker analyseras, rutiner effektiviseras och nödvändiga kontroller upprättas. Även sårbarheten vid personalbyte eller vid längre frånvaro minskas när väl dokumenterade rutiner finns. Vi noterar att kontinuerligt byte av lösenord inte tillämpas av bolaget. För att ytterligare öka säkerheten rekommenderar vi att rutiner för kontinuerligt byte av lösenord upprättas. Vi noterar att dokumentation över användare och deras behörigheter saknas gällande lönerutinen. Vi rekommenderar att en förteckning upprättas. C4 Energi AB, Intern kontroll i faktura- och lönehantering 9(9)