Huddinge kommun Granskning av manuella utbetalningar
Innehållsförteckning 1 Sammanfattning...2 2 Inledning...4 2.1 Bakgrund...4 2.2 Syfte och avgränsning...4 2.3 Revisionsfrågor...4 2.4 Revisionskriterier...5 2.5 Metod och genomförande...5 3 Resultat av granskning...6 3.1 Inledning...6 3.2 Agresso - system för leverantörsbetalningar och manuella betalningar...6 3.2.1 Agresso SÄF...7 3.2.2 Agresso BUF...8 3.3 Procapita verksamhetssystem för ärendehantering...8 3.3.1 Procapita SÄF...8 3.3.2 Procapita BUF...9 3.4 Heroma system för lönehantering...9 3.5 ICA-kort, kreditkort och handkassor...10 3.5.1 ICA-kort, kreditkort och handkassor SÄF...10 3.5.2 ICA-kort, kreditkort och handkassor BUF...10 4 Slutsats...11 4.1 Svar på revisonsfrågorna...12
1 Sammanfattning EY har på uppdrag av revisorerna i Huddinge kommun genomfört en genomgång av kommunens betalningsflöden kopplade till social- och äldreomsorgsförvaltningen (SÄF) samt Barn- och Ungdomsförvaltningen (BUF). Genomgången har visat att förvaltningarna främst betalar ut pengar genom Heroma 1, Agresso 2 och Procapita 3. Totalt betalar förvaltningarna årligen ut drygt 5 mdkr där löner genom Heroma står för drygt 65 procent, Agresso för drygt 20 procent och Procapita för 15 procent. Sammanfattningsvis har vi funnit ett antal brister i de interna kontrollerna kopplade till Heroma. Över 270 anställda inom SÄF och BUF har möjlighet att, utan attest från chef eller annan medarbetare, ändra löner, begära utbetalningar och rapportera utlägg. Även om ansvarig chef inför varje löneutbetalning erhåller en manuell lista med utbetalningsinformation visar granskningen att denna inte alltid attesteras, men att utbetalning ändå alltid sker. Utifrån utbetalningar för 2013 ur Heroma har ett antal stickprov granskats där den månatliga fluktuationen i löneutbetalningar för ett antal anställda varit stor. Även om variationerna till största delen kunnat förklaras av berörda förvaltningar anser vi att ytterligare granskningsåtgärder behöver vidtas och den interna kontrollen förbättras. Vi har också noterat att vissa processer som ligger till grund för utbetalningar i Procapita saknar relevanta interna kontroller. Ett 40-tal anställda har möjlighet att utföra utbetalningar utan attest från chef eller annan anställd. Inom processerna för utbetalning av försörjningsstöd görs visserligen ärendedragningar mellan utredningsassistent och socialsekreterare, men möjligheten till utbetalning utan attest finns ändock. De 40-talet anställda har också möjlighet att ändra fast data, såsom kontonummer, utan att förändringen vare sig loggas, behöver godkännas eller på annat sätt gås igenom. Processen rörande utbetalningar i Agresso har under början av 2014 centraliserats till Kommunstyrelseförvaltningen (KSF). Förändringen bidrar till att ytterligare stärka de interna kontrollerna då ansvaret för leverantörsfakturor och manuella betalningar lyfts från respektive förvaltning till en centraliserad enhet. Leverantörsfakturor attesteras elektroniskt och utan dubbelattest från den förutbestämda delegationsordningen går inte utbetalningen igenom. Betalningsförslag samlas dagligen ihop och skickas till ett externt företag som elektroniskt kontrollerar betalningsinformationen och säkerställer att den inte innehåller dubbelbetalningar eller betalningar till oegentliga företag 4. Detta var tillvägagångssättet även innan centraliseringen. För det manuella betalningsflödet kontrolleras underlagen numera av KSF och underlag utan dubbel attest betalas inte ut. Informationen sparas sedan i pärmar. Tidigare sköttes denna process av ekonomiavdelningarna inom respektive förvaltning, rutinen med dubbel attest var förankrad även då. 1 Kommunens system för lönehantering. 2 Kommunens system för leverantörsbetalningar och manuella betalningar. 3 System för betalningar av ersättningar och kostnader kopplade till ärendehantering inom SÄF. 4 Exempelvis fiktiva företag, företag där konkursförfarande är inlett eller organisationer där F-skatt saknas eller som innehar skatteskulder. 2
Vi anser att följande åtgärder behöver vidtas för att stärka säkerheten inom förvaltningarnas utbetalningsrutiner; Kommunstyrelsen bör omgående tillsätta resurser för en mer djupgående genomgång av de rutiner och processer som ligger till grund för utbetalningar i Procapita och Heroma. Kommunstyrelsen bör se över möjligheten att reducera antalet anställda med access att påverka utbetalningsinformation i Heroma. Kommunstyrelsen bör implementera en logglista över förändringar av fast data i både Procapita och Heroma samt tillse att denna på kontinuerlig basis gås igenom. 3
2 Inledning 2.1 Bakgrund Med hänvisning till de senaste årens oegentlighetsutredningar inom den kommunala sektorn och de brister som identifierats i utbetalningsrutiner har kommunens revisorer valt att genomföra en granskning av de interna kontrollerna kopplade till utbetalningsrutinerna inom två av kommunens förvaltningar, social- och äldreomsorgsförvaltningen (SÄF) samt barnoch ungdomsförvaltningen (BUF). Valet av förvaltningar har gjorts efter diskussion med kommunstyrelseförvaltningen (KSF) och är baserat på en övergripande riskanalys med hänsyn tagen till transaktionsmängd och belopp. De betalningsflöden som strömmar igenom de båda förvaltningarna överstiger årligen 5 mdsek. Nedan sammanfattas de system respektive förvaltning använder; Agresso Procapita Heroma ICA-kort Social- och äldreomsorgsförvaltningen X X Barn- och ungdomsförvaltningen X Kreditkort Handkassor Kommunstyrelseförvaltningen X X X X X 2.2 Syfte och avgränsning Syftet med denna granskning är att bedöma kommunens interna kontroller kopplade till utbetalningsprocessen inom SÄF samt BUF. Granskningen omfattar en genomgång av processen för betalningar av leverantörsfakturor inklusive befintliga kontroller. En bedömning görs av omfattningen på systemmässiga respektive manuella begränsningar och behörigheter. För manuella begränsningar görs uppföljning av vilka efterföljande kontroller som finns med avseende på tillämpning. Granskningen omfattar även en genomgång av processen för manuella betalningar inom de valda förvaltningarna, där exempelvis bidrag, privata utlägg etc. betalas ut. En genomgång och bedömning av ansvarsfördelning för utbetalningar inom kommunen kommer att ske. Vi kommer även bedöma om det finns en tillräcklig uppföljning och kontroll att befintliga rutinbeskrivningar efterlevs. 2.3 Revisionsfrågor Granskningen besvarar följande frågeställningar: Vilka betalningsströmmar finns? Hur är dessa dokumenterade? Hur ser behörighetsstrukturen ut avseende olika typer av betalningar? Hur ser den interna kontrollen ut avseende olika typer av betalningar? Hur dokumenteras kontrollen? Vilket systemstöd finns för att säkerställa god intern kontroll vid betalningar? 4
Hur sker uppföljningen och vem följer upp de betalningar som görs? Hur hanteras och återrapporteras avvikelser? Hur säkerställs att de riktlinjer och policys som finns är ändamålsenliga och tillämpas? 2.4 Revisionskriterier Den uppföljande granskningen sker med utgångspunkt från: Kommunallagen Interna styrdokument och policys Kunskap från bra exempel på utbetalningsrutiner med god intern kontroll 2.5 Metod och genomförande Granskningen grundar sig på studier av relevanta styrdokument samt stickprover. Stickproven har valts ut på de områden där vi anser att det är störst risk, i detta fall Heroma och handkassor. I båda fallen har vi fått en lista över alla utbetalningar under 2013, där vi valt ut ett 30-tal stickprover att följa upp. Intervjuer har genomförts med följande personer: Verksamhetschef för äldreomsorgen, SÄF Verksamhetschef för individ- och familjeomsorgen, SÄF Verksamhetschef biståndskansliet, SÄF Enhetschef äldreomsorg, SÄF Enhetschef äldreomsorg, SÄF Ekonomichef, SÄF Förvaltningschef, BUF Ekonomichef, BUF Redovisningschef, KSF 5
3 Resultat av granskning 3.1 Inledning Under början av 2014 centraliserades kommunens betalningsflöden till KSF. Förändringen innebär att KSF hanterar kommunens utbetalningar, förutom de betalningar som går via Procapita, Heroma samt påfyllning av ICA-korten. Utöver detta hanteras även vissa sekretessbelagda vårdfakturor 5 manuellt av SÄF. För dessa delar ligger ansvaret fortfarande inom respektive förvaltning. I och med att processen nyligen ändrades är vissa delar av processen fortfarande i en implementationsfas. Inom SÄF och BUF finns fem betalningsflöden, Agresso, Procapita, Heroma, ICA-kort, och handkassor. Nedan kommer en närmare beskrivning av dem ges. På grund av det varierande behovet inom förvaltningarna används systemen på olika sätt. Totalt betalar de båda förvaltningarna årligen ut över 5 mdkr. 3.2 Agresso - system för leverantörsbetalningar och manuella betalningar Agresso fungerar på liknande sätt för SÄF och BUF. Centraliseringen har medfört att det enbart är KSF som hanterar utbetalningar via Agresso, tidigare gjorde förvaltningarna sina utbetalningar. Det är fem ekonomiassistenter och fyra konsulter som har tillgång till att registrera information i Agresso. I dagsläget finns en kontrollista som ekonomiassistenterna ska använda vid nyregistrering av leverantörer. Kontrollistan innebär att de ska göra en bakgrundsundersökning på infotorg.se för att kontrollera seriositeten hos leverantören 6. Informationen skrivs ut och sparas tillsammans med registreringen. Registreringen skall granskas och attesteras av antingen budgetansvarig, controller eller chefscontroller innan leverantören blir godkänd. Denna process är under utredning och kommer eventuellt förändras. Attestflödet i Agresso hanteras i ett sidordnat system, Proceedo. I Proceedo kan riskklassificeringar av leverantörer göras baserat på företagets verksamhet. De leverantörer som kommunen köper förbrukningsmaterial från anses som en låg risk leverantör, medan övriga leverantörer anses vara hög risk leverantörer. Vidare finns bestämmelser att låg risk leverantörer samt fakturor som är identiska med, i ett tidigare skede, beställd arbetsorder 7 enbart behöver attesteras av en attestant medan hög risk leverantörer eller avvikande fakturor (exempelvis belopp, bankgironummer) på fakturan ska kontrolleras av administratör/ekonomiassistent. Både inskannade och elektroniska leverantörsfakturor finns tillgängliga i Proceedo. När fakturorna blivit godkända och attesterade skickas de till ekonomiassistenterna på KSF som tar fram ett betalningsförslag. Betalningsförslaget skickas till berörd förvaltning där behörig person attesterar listan innan den blir godkänd för betalning. För att stärka denna process arbetsroterar både ekonomiassistenterna och medarbetare på förvaltningarna efter ett förutbestämt schema. 5 Vårdfakturorna avser vård i hemmet. 6 Informationen kan exempelvis vara registrering av F-skatt, kontroll av styrelseledamöter, kreditvärdighet etc. 7 Biståndskansliet, hanteras myndighetsutövningen inom vissa processer inom SÄF, http://www.huddinge.se/sv/stod-och-omsorg/aldreomsorg/ansokan/ 6
De färdiga betalningsfilerna skickas, samtidigt, till ett externt företag som går igenom informationen och varnar bland annat för dubbelbetalningar, betalningar till företag som har inlett konkursförfarande eller saknar F-skatt. Respektive förvaltning har utöver denna process haft möjlighet att utföra manuella betalningar där underlagen lämnats och sparats inom förvaltningen. Utbetalningsunderlagen/fakturorna skall granskas av en granskare och signeras av behörig chef, direkt på underlaget, vilket för de genomgångna stickproven visat sig stämma. Betalning har sedan utförts av en tredje person inom ekonomiadministrationen. Denna process hanteras numera, i och med centraliseringen, av KSF och har utformats på samma sätt som processen för ordinarie leverantörsfakturor, med undantaget att underlagen kontrolleras av ekonomifunktionen inom KSF. 3.2.1 Agresso SÄF Inom SÄF hanteras de flesta leverantörsfakturor via Agresso och därigenom är hanteringen numera centraliserad till KSF. Vissa leverantörsfakturor (uteslutande vårdfakturor 8 ) hanteras manuellt av SÄF. Vårdfakturor innehållande sekretessbelagd information ankomstregistreras, godkänns och attesteras direkt på originalfakturan av SÄF, medan vårdfakturor som är avidentifierade 9 går genom det vanliga attestflödet i Proceedo. Oavsett skall fakturorna attesteras av två i förening innan de betalas av KSF via Agresso. Som tabell 2 nedan beskriver, skickar ekonomiavdelningen på SÄF månadsvis ut ett ersättningsformulär till alla utförare inom kommunens verksamheter som omfattas av lagen om valfrihetssystem inom SÄF. Både externa och interna utförare fyller i sina arbetade timmar och returnerar ersättningsformuläret till ekonomiavdelningen. Ekonomiavdelningen vidarebefordrar excelarket till biståndskansliets enhetschefer som granskar och godkänner underlaget, innan det återigen sänds till utföraren som då skapar fakturaunderlag. Under 2013 gick ungefär 20 procent (300 mkr) av SÄFs betalningar genom Agresso. Tabell 2 1:a dagen i månaden Excellfil skickas ut av ekonomiavdelningen till utförarna. 3:e dagen i månaden Utföraren fyller i excellfilen och returnerar den till ekonomiavdelningen 4:e dagen i månaden Bokföring av inrapporterade timmar sker av ekonomiavdelningen 5:e dagen i månaden Nya excellfiler skickas ut för att utföraren skall kunna rätta felrapporterad tid. Dessutom skapas ett faktura underlag. 7:e dagen i månaden Felrapporter flyttas till biståndskansliet 9:e dagen i månaden Andra körningen: uppdatering av statistik samt slutgiltiga faktura underlag görs. (Biståndskansliets process över ersättningsfiler) 8 Vårdfakturor - fakturor för vård i hemmet 9 Avidentifierad ej sekretessbelagd information 7
När vårdfakturan från utförarna som omfattas av LOV kommer via Proceedo till biståndskansliet (efter ankomstregistrering av ekonomiavdelningen på SÄF) jämför biståndshandläggaren beloppet på fakturorna mot beloppen i Procapita. Är det stora avvikelser jämfört med tidigare perioder gör enhetscheferna på biståndskansliet en avvikelseanalys. Biståndskansliet skall även kontrollera rimligheten av inrapporterade vårdtjänster av brukaren, eftersom det finns risk att utförarna redovisar fel typ av vård i ersättningsformuläret, då de ger olika mycket ersättning. När vårdfakturorna är godkända av biståndskansliet (SÄF) utbetalas de i Agresso utav KSF. 3.2.2 Agresso BUF KSF hanterar samtliga av BUFs betalningar i Agresso, se avsnitt 2.2. 3.3 Procapita verksamhetssystem för ärendehantering Procapita är ett betalnings- och informationssystem där fattade beslut dokumenteras och följs upp. Respektive förvaltning använder systemet på olika sätt då behovet skiljer sig åt. 3.3.1 Procapita SÄF Inom SÄF används Procapita som ett dokumentationssystem för att registrera beslut avseende försörjningsstöd men också för utbetalning av leverantörsfakturor kopplade till besluten, såsom jourboende, tandläkare etc. Drygt 15 procent av SÄFs utbetalningar sker genom Procapita. Vad gäller försörjningsstöd samt äldreomsorg är processen likartad. Processen för försörjningsstöd hanteras av enheten arbete och försörjning (AoF) och påbörjas med att brukaren skickar in en ansökan om vård/hjälp/stöd. Ansökan tas emot av en socialsekreterare som utreder ansökan och fattar beslut om bifall eller avslag i Procapita. När utredningen är klar lämnas den oftast över till utredningsassistenten som tar fram en ekonomisk beräkning och lägger in själva utbetalningen. På grund av den stora mängden ansökningar kan socialsekreteraren inte överlämna alla ansökningar till assistenten. Därmed har både socialsekreteraren och utredningsassistenterna rätt att registrera utbetalningar i Procapita. Gällande äldreomsorg och socialpsykiatrin skall beslutet attesteras av biståndskansliet medan verksamhetschefen för IFO fattar beslutet när det gäller barn och ungdomar inom individ- och familjeomsorgen. Försörjningsstöden betalas ut direkt från Procapita till den sökande när beslut om ersättning har fattats av socialsekreteraren. Betalningsförslagen samlas dagligen på en lista innehållande namn, kontonummer och belopp. Listan skrivs ut dagligen för kontroll, uppföljning och attest av ansvarig chef. Den innehåller många sidor betalningsinformation. Intervjuer har indikerat att det är svårt att fånga upp felaktigheter i betalningsinformationen. Assistenten kontrollerar vanligen bara att kontonumren på listan innehåller rätt antal siffror. Inom ramen för ett beslut finns det många gånger externa leverantörer som utför och fakturerar olika typer av tjänster, exempelvis jourboende, tandvårdskostnader etc. Då dessa fakturor inte hanteras via Agresso genomgår de heller inte de ordinarie kontrollerna som görs för dessa betalningar. Dessa betalningar finns bland de som dagligen attesteras och underlagen för betalningarna sparas i den fysiska pappersakten som finns för varje 8
försörjningsstödstagare. Intervjuer har indikerat att ekonomifunktionen, inom vissa betalningsströmmar, överhuvudtaget inte är inblandad i processen. Anledningen är att viss information är sekretessbelagd och därigenom inte kan hanteras via det ordinarie flödet. Det är ett 40-tal administrativa handläggare/sekreterare som har rättigheter att ändra fast data i Procapita och registrera nya brukare. I Procapita finns en logg som registrerar ändringar i systemet men denna funktion används inte inom SÄF. Då heller ingen attest av ändringar görs, möjliggör detta att förändringar av exempelvis kontonummer kan göras utan någon annans vetskap och godkännande. 3.3.2 Procapita BUF Inom BUF används Procapita i första hand som ett dokumentationssystem. Det innebär att det finns beslut om vilka barn som har rätt till ersättning för skolval utanför kommunen. I samband med registreringen av nya elever kontrollerar de anställda inom respektive enhet var barnen är folkbokförda samt i vilken kommun deras förskola/skola ligger. Om eleverna går i förskola/skola utanför kommunen har den kommunen/privata utförare rätt till ersättning. Tabell 3 Steg 1 Steg 2 Steg 3 Registrering och kontroll av var barnen/ungdomarna är folkbokförda samt var de går i skolan. (BUF) Utskrift av lista över de barn/ungdomar som har rätt till ersättning. Kontroll och attest skall göras av biträdande förskolechef. Utbetalning sker via Agresso av den centrala ekonomiavdelningen på KSF. Varje månad skrivs en lista ut över kommunens elever som går i skola utanför kommunen. Lista skall attesteras och godkännas av ansvarig chef som ska kontrollera att antalet elever på skolorna stämmer överrens med deras folkbokföring. När listan är godkänd skickas den vidare från Procapita till KSF som gör en filbetalning via Agresso. 3.4 Heroma system för lönehantering Heroma implementerades i slutet av 1990-talet. Ansvaret för systemet har decentraliserats till respektive förvaltnings HR-avdelning. HR-avdelningarna redigerar och uppdaterar de högsta chefernas profiler inom respektive förvaltning, medan närmsta chef redigerar och uppdaterar sina anställdas profiler. Drygt 65 procent av kommunens totala betalningar avser löner och hanteras genom Heroma. Inom respektive enheter arbetar vanligen administrativ personal som tilldelats samma behörighet som ansvarig chef avseende upplägg och ändringar i Heroma. De hanterar också registrering av nyanställda, upprättande av anställningsavtal, administrationen av de månatliga lönerna, uppdatering av fast data samt avregistrering av en anställd som avslutat sin anställning. 9
Respektive enhetschef ansvarar för att ge nödvändig information till den administrativa personalen samt skriva under anställningsavtal och spara ett exemplar i personalakten. Både chefer och administrativt anställda (123 personer inom SÄF, 155 personer inom BUF) har rätt att ändra fast data utan attest i Heroma, dock inte sin egen. Timanställda rapporterar månadsvis arbetade timmar till ansvarig chef för godkännande. Därefter skickar chefen dem till administrativ personal som redigerar timmarna i Heroma. Vidare ansvarar administrativ personal för att redigera de anställdas löner med semesterlöner, sparade semesterdagar, reseutlägg etc. Det gör att anställdas löner kan variera från månad till månad. En lista över anställdas löner skickas varje månad till ansvarig chef via e-post. Cheferna ska godkänna och attestera löneutbetalningen. Listan innehåller endast namn och lönenivå och lönerutbetalningen sker oavsett om chefen eller assistenten attesterat eller inte. Det finns en anställd inom KSF som månatligen analyserar stora förändringar i löneunderlagen och skickar varningssignaler till cheferna. Analysen görs ofta på en aggregerad nivå varför individuella varianser inte fångas upp, något som styrks av valda stickprov där individuella större månatliga avvikelser ej fångats i denna kontroll. 3.5 ICA-kort, kreditkort och handkassor ICA-kort, kreditkort och handkassor används i olika utsträckning inom förvaltningarna, vilket kan förklara att SÄF införde ICA-kort för att minska antalet handkassor medan BUF valde att prova kreditkort i samma syfte. Oavsett utläggsform ska kvittona innehålla information om syfte med inköpet, namn eller åtminstone initialer (på grund av sekretessen) på deltagare. Därefter lämnas kvittot till överordnad chef, samt yterliggare en person från enheten, som attesterar utläggen. Därefter kontrollerar en administratör dem innan de skickas till KSF för registrering och utbetalning genom Agresso. 3.5.1 ICA-kort, kreditkort och handkassor SÄF Som ett led att minska kontanthanteringen inom SÄF har förvaltningen infört ICA-kort. ICAkorten, som laddas med 1 tkr per månad, används vid köp av fikabröd m.m. Det förekommer dock fortfarande ett antal handkassor inom SÄF där pengarna uteslutande används för olika typer av inköp avseende livsmedel och förbrukningsmaterial. Som underlag till bokslutet 2013 finns uppgifter om att det finns 34 handkassor inom SÄF som totalt omsätter drygt 60 tkr under 2013. 3.5.2 ICA-kort, kreditkort och handkassor BUF Inom BUF har de flesta skolor en handkassa. Skolorna sköter själva redovisningen och hanteringen. Redovisning sker i samband med att handkassan måste fyllas på. Om en anställd behöver göra utlägg i samband med skolutflykter kan de antingen göra en reseräkning i efterhand där kvitton för exakta kostnader redovisas. I andra fall kan de få en förskottsbetalning för uppskattade kostnader. Då ska en blankett fyllas i och överordnad chef skall godkänna och reflektera över om beloppet verkar rimligt för förskottsbetalning. När 10
resan/utflykten sedan är gjord skall den anställde göra en reseräkning som vanligt, där mellanskillnaden mellan förskottet och den faktiska summan antingen betalas ut eller regleras mot den anställdes nästkommande lön, förutsatt att förskottet var större än det faktiska utlägget. Skulle den anställde inte redovisa någon reseräkning alls kommer hela förskottet regleras på nästkommande lön. Oavsett om medarbetaren gjort ett mindre utlägg, en reseräkning eller fått en förskottsbetalning skall kvittona godkännas av två personer varav den ena skall vara den anställdes överordnade chef, som skickar underlagen vidare till KSF som registrerar, bokför och gör utbetalningen i Agresso. Av intervjun framgår att det är sällsynt att förskottsbetalningar, reseräkningar samt utlägg förekommer, eftersom de flesta anställda på BUF använder handkassan. Skolorna kan inte göra egna utbetalningar utan de sker central på KSF. 4 Slutsats Inom SÄF och BUF hanteras årligen betalningar omfattande över 5 mdkr. Majoriteten av dessa går via lönesystemet Heroma. Vår genomgång har visat att det saknas nödvändiga interna kontroller för att hantera betalningsströmmarna i Heroma. Inom SÄF och BUF kan över 270 anställda begära och utbetala pengar utan attest från närmaste chef eller annan medarbetare. Respektive chef ska månatligen attestera en lista över sina anställdas löner. Då listan endast innehåller namn och innevarande lön saknas relevant jämförelse mot exempelvis föregående månads utbetalning eller lön enligt anställningsavtal. Detta gör också att möjligheterna att fånga upp felaktiga utbetalningar genom Heroma försämras avsevärt. Den lista som chefens chef erhåller innehåller samtliga namn som de underställde redan attesterat. Det betyder att när väl listan når förvaltningschefen attesterar denne samtliga anställdas lön inom förvaltningen. Intervjuer har indikerat att attest många gånger helt saknas. Vi anser att KSF bör se över möjligheterna att begränsa antalet anställda med rättigheter att påverka faktiska löneutbetalningar. Vidare bör KSF implementera en kontrollerande process där förändringar i Heroma kontinuerlig loggas och följs upp. Även om utförd stickprovsgranskning av utbetalningar ur Heroma inte påvisat några felaktiga betalningar har vi noterat att vissa anställdas löner månatligen fluktuerar kraftig och att riskerna för felaktiga utbetalningar inom denna process kan anses vara förhöjd. Utöver Heroma och Procapita centraliserades under början av 2014 de betalningsflöden som går via Agresso. Förändringen innebär att en stor del av hanteringen numera ligger på KSF, något vi anser minskar osäkerheten i dessa betalningsflöden. För dessa betalningsströmmar finns väl fungerande interna kontroller och genomtänka atteststrukturer som ytterligare minskar osäkerheten. Genomgången har också visat att leverantörsfakturor betalas direkt via Procapita och därigenom undgår de ordinarie interna kontrollerna som används vid betalningar genom Agresso. Betalningar inom Procapita kan utföras av endast en person och även om de dagliga utbetalningsförslagen attesteras, kontrolleras endast uppenbara felaktigheter, såsom kontonummer och märkbart stora belopp. Genom att över 40 anställda inom förvaltningen har möjlighet att göra ändringar av fast data inom Procapita samt att ändringarna varken 11
loggas eller behöver godkännas, bidrar det till att ytterligare försvaga säkerheten inom vissa betalningsflöden inom Procapita. 4.1 Svar på revisonsfrågorna Vilka betalningsströmmar finns? Hur är dessa dokumenterade? Betalningar kan göras via Agresso, Procapita, Heroma, handkassor samt ICA-kort. Hur ser behörighetsstrukturen ut avseende olika typer av betalningar? Behörighetsstrukturen skiljer sig mycket beroende på system och förvaltning. Heroma Över 270 anställda inom SÄF och BUF har behörighet att ändra information och utbetala belopp utan attest eller godkännande. Situationen torde vara likartad inom övriga förvaltningar inom kommunen. Agresso Före centraliseringen hade 15 personer inom SÄF och 3 personer inom BUF samt ytterligare 5 personer inom KSF access att utföra betalningar i Agresso. I och med centraliseringen har antalet anställda med samma möjligheter minskat till 9 personer, även om övriga fortfarande har möjlighet att logga in i Agresso. Både före och efter centraliseringen attesteras samtliga fakturor av två i förening genom det sidordnade attest systemet Proceedo. Underlagen scannas och finns tillgängliga elektroniskt. Tidigare hade även respektive förvaltning möjlighet att utföra manuella utbetalningar. Som manuella betalningar räknas utbetalningar i Agresso som ej går via den ordinarie scanningsfunktionen. Dessa fakturor upprättades och attesterades två i förening och underlagen sparades hos respektive enhet. Numera är även denna process centraliserad och samtliga underlag upprättas och granskas av två i förening och underlagen sparas i pärmar på KSF. Procapita Inom SÄF har ett 40-tal anställda full behörighet att utföra betalningar och ändra information i Procapita utan godkännande eller attest från närmaste chef. Även om det på kontinuerlig basis utförs ärendedragningar mellan socialsekreterare och utredningsassistent, behöver denna informella kontroll nödvändigtvis fånga upp oegentliga utbetalningar. Handkassor och Ica-kort För handkassor och Ica-kort ska kvitton redovisas som motsvarar det genomförda köpet. Handkassorna förvaras inom respektive enhet och stäms av kvartalsvis av KSF. Med giltigt syfte har vem som helst inom förvaltningarna möjlighet att begära ersättning för gjorda utlägg, mot uppvisande av godkänt kvitto från närmaste chef. Dessa betalningsströmmar är förhållandevis små och med begränsade summor. Hur ser den interna kontrollen ut avseende olika typer av betalningar? Hur dokumenteras kontrollen? Inom Heroma är den interna kontrollen bristande. Utbetalningar kan göras utan attest från chef och även om ansvarig enhetschef skall utföra en månatlig attest av lönelistor för sina anställda är denna kontroll manuell och information har gjort 12
gällande att attest saknas många gånger. Även inom Procapita bedöms den interna kontrollen i vissa avseenden svag. Över 40 anställda har möjlighet att utföra utbetalningar av försörjningsstöd och ändra fast utbetalningsdata inom Procapita utan attest från ansvarig chef. Härutöver finns det i Agresso en logg-lista över förändringar i fast data. För de betalningsflöden som går via Agresso bedöms generellt de interna kontrollerna som tillförlitliga. Däremot bör KSF snarast implementera en process där logglistor över förändringar i fast data på kontinuerlig basis gås igenom. Vilket systemstöd finns för att säkerställa god intern kontroll vid betalningar? För betalningar som går via Proceedo, i förlängningen Agresso, finns en systemmässig inbyggd kontroll att dubbel attest sker. För de manuella betalningsflödena i Agresso kontrollerar ekonomiassistenten de manuella attesterna. Utbetalningsunderlaget skickas sedan vidare till ett externt företag som kontrollerar informationen för eventuella felaktigheter. Först därefter sker utbetalning. I Heroma saknas ett system genererat stöd för att stärka de interna kontrollerna. En lista ur lönesystemet ska manuellt attesteras av ansvarig chef, men vid avsaknad av attest sker ändå utbetalning. I den lista som chefen erhåller finns dessutom samtliga underställdas löneinformation med. I Procapita dokumenteras beslut digitalt och kopplas samman med den efterföljande utbetalningen. Handläggningen är därigenom transparent. Dock efterfrågar inte Procapita att attest av överordnad chef utförs utan samtliga 40 anställda har möjlighet att utan godkännande utföra utbetalningar. Hur sker uppföljningen och vem följer upp de betalningar som görs? Uppföljning och kontroll av att underlagen är korrekta samt ska betalas av kommunen ligger på attestantens ansvar. I samband med att de attesterar underlaget, godkänner de betalningen. För betalningar i Agresso genomgår utbetalningsförlaget ytterligare en genomgång av ett externt företag men för de övriga två större betalningsflödena görs ingen uppföljning. Hur hanteras och återrapporteras avvikelser? Avvikelser som upptäcks i samband med attestering av underlag analyseras och återrapporteras till den berörda parten direkt. Hur säkerställs att de riktlinjer och policys som finns är ändamålsenliga och tillämpas? I och med att KSF nyligen omorganiserat och omstukturerat verksamheten görs en översyn av befintliga rutin- och policydokument som berör Agresso. Rörande Procapita och Heroma finns få dokument som rör själva betalningsflödena. Däremot finns flertalet dokument som beskriver handläggning och rena administrativa processer. 13
Vi rekommenderar KSF att snarast se över de policys som reglerar Heroma och Procapita utarbeta tydligare riktlinjer gällande betalningsflödet. Stockholm den 22 april 2014 Rebecka Hansson Auktoriserad revisor Henrik Åhlin 14