Sida 1(1) Datum Revisionen Till: Kommunstyrelsen och samtliga nämnder För kännedom: Kommunfullmäktiges presidium Revisionsrapport Granskning av uppföljning av intern kontroll KPMG har av s revisorer fått i uppdrag att granska rutinerna för uppföljning av intern kontroll. Syftet med granskningen är att bedöma om kommunstyrelse och nämnder har rutiner för att följa upp den interna kontrollen samt att dessa efterlevs. Revisionen önskar att kommunstyrelsen och övriga nämnder lämnar synpunkter på de slutsatser som finns redovisade i rapportens sammanfattning samt under respektive nämnd i avsnitt 10.2 senast den 6 november 2015. Av svaret bör det framgå vilka eventuella åtgärder som ska vidtas och när de beräknas vara genomförda. Med vänliga hälsningar Bertil Wiklund Ordförande Postadress Revisionen 872 80 Kramfors E-post kramfors.kommun@kramfors.se Besöksadress Torggatan 2 Telefon 0612-800 00 Fax 0612-157 57 Hemsida www.kramfors.se Organisationsnr 212000-2429
Revisionsrapport Advisory KPMG AB 17 juni 2015 Antal sidor: 12 Rapport intern kontroll.docx
Innehåll 1. Sammanfattning 1 2. Bakgrund 2 3. Syfte 2 4. Avgränsning 3 5. Revisionskriterier 3 6. Ansvariga styrelse och nämnder 3 7. Metod 4 8. Projektorganisation 4 9. Övergripande styrdokument 4 10. 6 10.1 Allmänt 6 10.2 Nämndsvisa kommentarer 7 10.2.1 Kommunstyrelsen 7 10.2.2 BAS-nämnden 7 10.2.3 BKU-nämnden 8 10.2.4 Miljö- och byggnämnden 9 10.2.5 Överförmyndarnämnden 9 11. Utvärdering av intern kontroll 10 Rapport intern kontroll.docx
1. Sammanfattning Vi har av s revisorer fått i uppdrag att granska rutinerna för uppföljning av intern kontroll. Uppdraget ingår i revisionsplanen för år 2015. Syftet med granskningen är att bedöma om kommunstyrelse och nämnder har rutiner för att följa upp den interna kontrollen samt att dessa efterlevs. Att arbeta med intern kontroll är att leda verksamheten på ett riskmedvetet sätt. Det innebär att det inte är tillräckligt att enbart upprätta dokument utan det är synsätt och metoder som måste genomsyra hela verksamheten. Ledningen på alla nivåer måste identifiera processer, bedöma risker och tillse att det finns effektiva kontroller samt följa upp och åtgärda identifierade brister. Vi har i denna granskning fokuserat på kommunstyrelsens och nämndernas uppföljning av intern kontroll. Vår sammanfattande slutsats är att kommunstyrelsens och nämndernas uppföljning av intern kontroll behöver förstärkas. Vi har därför lämnat följande rekommendationer: Vi anser att regelverket vad gäller intern kontroll behöver förtydligas för att säkerställa att ansvaret för och arbetet med intern kontroll blir tydligt. Vi har därför rekommenderat att regelverket ska omfatta en definition om vad intern kontroll avser, se avsnitt 9. Vi rekommenderar att kommungemensamma mallar och rutiner utvecklas bl.a. för att upprätta riskanalys och förstärka formerna för planering, uppföljning och rapportering. Vi ser även ett behov av att tydliggöra processerna för att nå kommunens mål enligt de tre att-satserna i COSOdefinitionen, se avsnitt 9. Vi anser att utbildning och information är också en viktigt, se avsnitt 9. Vad gäller styrelserna och nämndernas uppföljning av intern kontroll bedömer vi att den behöver förstärkas genom dokumenterade riskanalyser för att uppföljningen ska avse de kontroller som är mest väsentliga för att säkerställa att kommunens mål vad gäller ändamålsenlig och kostnadseffektiv verksamhet, tillförlitlig rapportering och efterlevnad av lagar och regler. Vi rekommenderar vidare att resultatet av uppföljningen förstärks samt beslut om eventuella åtgärder vid identifierade brister åtgärdas, se avsnitt 10.1. Se även våra nämndsvisa kommentarer och rekommendationer under avsnitt 10.2. Vi rekommenderar att kommunstyrelsen gör en årlig utvärdering av kommunens samlade system för intern kontroll som en del av uppsiktsplikten. Vi föreslår för att underlätta en sådan utvärdering att kommunstyrelsen ålägger respektive nämnd att göra en motsvarande utvärdering av nämndens samlades system för intern kontroll, se avsnitt 11. Rapport intern kontroll.docx 1
2. Bakgrund 3. Syfte Vi har av s revisorer fått i uppdrag att granska rutinerna för uppföljning av intern kontroll. Uppdraget ingår i revisionsplanen för år 2015. Styrelser och nämnders ansvarar för den interna kontrollen enligt KL 1 6 kap 7 : Nämnderna skall var och en inom sitt område se till att verksamheterna bedrivs i enlighet med de mål och riktlinjer som fullmäktige har bestämt samt de föreskrifter som gäller för verksamheten De skall också se till att den interna kontrollen är tillräcklig samt att verksamheten bedrivs på ett i övrigt tillfredsställande sätt. Vidare framgår av KL 9 kap 9 : Revisorerna granskar årligen i den omfattning som följer av god revisionssed all verksamhet som bedrivs inom nämndernas verksamhetsområden. De prövar om verksamheten sköts på ett ändamålsenligt och från ekonomisk synpunkt tillfredsställande sätt, om räkenskaperna är rättvisande och om den interna kontrollen som görs inom nämnderna är tillräcklig. En vanlig definition av intern kontroll 2 är: Intern kontroll är en process genom vilken kommunens styrelse och nämnder, ledning och annan personal skaffar sig rimlig säkerhet för att kommunens mål uppnås inom följande områden: Ändamålsenlig och kostnadseffektiv verksamhet Tillförlitlig rapportering och information om verksamheten Efterlevnad av tillämpliga lagar, föreskrifter, riktlinjer m m. s revisorer bedömer att det är väsentligt att kommunstyrelsen och nämnder informerar sig om att den interna kontrollen är effektiv. Revisionen bedömer att det föreligger risk att sådana rutiner saknas. Syftet med granskningen är att bedöma om kommunstyrelse och nämnder har rutiner för att följa upp den interna kontrollen samt att dessa efterlevs. 1 Kommunallagen 1991:900 2 Enligt COSO med anpassning för den kommunala verksamheten Rapport intern kontroll.docx 2
Vi har därför granskat: om om om om det finns styrdokument som definierar intern kontroll och rutiner för uppföljning av intern kontroll. kommunstyrelsen och nämnder efterlever rutinerna det finns planer och rapporter som uppföljning av intern kontroll i kommunstyrelse och nämnderna. kommunstyrelse och nämnder utvärderar av systemet för intern kontroll 4. Avgränsning Granskningen omfattar planer och rapportering avseende uppföljning av intern kontroll för år 2014 till kommunstyrelse och nämnder. 5. Revisionskriterier Vi har bedömt om rutinerna uppfyller Kommunallagen (6 kap 7 ) I förekommande fall av kommunfullmäktige fastställda reglemente för intern kontroll samt eventuella tillämpningsanvisningar utfärdade av kommunstyrelsen. Övriga tillämpbara interna regelverk, policys och fullmäktigebeslut 6. Ansvariga styrelse och nämnder Granskningen avser kommunstyrelsen och samtliga nämnder. Rapporten är saklighetsgranskad av Peter Carlstedt, kommunchef, Gudrun Sjödin, tidigare ordförande barn-, kultur- och utbildningsnämnden (BKU-nämnden 3 ), Peter Levin, förvaltningschef barn-, kultur- och utbildningsförvaltningen, Jonne Norlin, ordförande bistånd- arbetsmarknad- och social servicenämnd (BAS-nämnden 4 ), Anna-Stina Fors Sjödin, förvaltningschef bistånds- arbetsmarknads och sociala serviceförvaltningen, Malin Svanholm, ordförande miljö- och byggnämnden, Siv Sundström, miljö och byggchef samt Per-Eric Larsson, ordförande överförmyndarnämnden. 3 Barn-, kultur- och utbildningsnämnden 4 Bistånd, arbetsmarknad och socialservice nämnd Rapport intern kontroll.docx 3
7. Metod Granskningen har genomförts genom: Dokumentstudie av relevanta dokument Intervjuer med berörda tjänstemän och politiker 8. Projektorganisation Granskningen har genomförts av Lena Medin, certifierad kommunal revisor. 9. Övergripande styrdokument Kommunens rutiner för intern kontroll framgår av avsnitt 1.6 i Reglemente med riktlinjer för styrning och ledning 5 : Nämnderna ansvarar var och en inom sitt område för att den interna kontrollen, som görs för att upptäcka och förebygga fel, har en tillräcklig omfattning. I nämndens verksamhetsplanering ska alltid framgå inom vilket eller vilka, område (områden) man avser att göra intern kontroll. Resultatet från uppföljningen av den interna kontrollen sker i samband med delårs- och årsredovisningarna. Uppföljningen ska delges kommunstyrelse och revisionen. Att arbeta med intern kontroll är att leda verksamheten på ett riskmedvetet sätt. Det innebär att det inte är tillräckligt att enbart upprätta dokument utan det är synsätt och metoder som måste genomsyra hela verksamheten. Utgångsläget är såsom framgår av COSO-modellens definition att nå kommunens mål genom ändamålsenlig och kostnadseffektiv verksamhet, tillförlitlig rapportering och information samt efterlevnad av lagar och föreskrifter m.m. Ledningen på alla nivåer måste identifiera processerna och riskerna samt tillse att det finns effektiva kontroller för att hantera riskerna. Uppföljning måste ske för att se att processen fungerar, och genom uppföljning även skapa en lärande miljö där avvikelser hanteras och nya risker identifieras och åtgärdas. Vi anser att regelverket vad gäller intern kontroll bör förtydligas för att säkerställa att ansvaret för och arbetet med intern kontroll blir tydligt. 5 Fastställda av kommunfullmäktige 2013-12-09, 124 och 127 Rapport intern kontroll.docx 4
Vi anser att det av regelverket bör framgå vad intern kontroll avser, gärna utifrån COSOdefinitionen, se avsnitt 2. För att tydliggöra den interna kontrollen ytterligare bör beståndsdelarna såsom de beskrivs i COSO-modellen användas, se bild 1. Vi menar att en gemensam definition som utgångspunkt för intern kontroll är viktig för att kunna skapa en kommungemensam modell med rutiner för arbetet med intern kontroll. Bild 1 Ett exempel på hur COSO-modellen kan beskrivas. Denna rapport avser främst området uppföljning och utvärdering. Vi anser att kommungemensamma rutiner och mallar bör utvecklas, bl.a. för att stödja upprätta riskanalys och förstärka formerna för plan, uppföljning och rapportering. Det är viktigt att tillse att rutiner som fångar upp risker i processer som omfattar flera nämnder, t.ex. stöd till barn med särskilda behov. Vi ser även ett behov av att tydliggöra processerna för att nå kommunens mål enligt de tre attsatserna i COSO-definitionen (se avsnitt 2). Om kännedom om processen saknas är det stor risk för att kontrollaktiviteterna inte utformas effektivt. Det innebär också att styrelsen och nämnderna har svårt att följa upp och utvärdera interna kontrollen. Vi rekommenderar att regelverket tydliggör hur ansvaret för den interna kontrollen fördelas på alla nivåer. Det bör även framgå att alla medarbetare har ett ansvar för att följa de rutiner som ställs upp samt för att rapportera brister i den interna kontrollen. Ett system för att rapportera brister bör därför skapas. Systemet bör möjliggöra att den enskilde medarbetaren kan rapportera brister även om bristerna har koppling till dennes närmaste chef. Vi anser därför också att samtliga medarbetare måste få regelbunden information om skyldigheten och om rutinerna. Vi rekommenderar vidare att utbildning/information om intern kontroll sker regelbundet till såväl politiker som tjänstemän. Rapport intern kontroll.docx 5
10. 10.1 Allmänt Kommunstyrelsen och nämnderna är såsom framgår av kommunallagen ansvarig för att den interna kontrollen är tillräcklig. Intern kontroll såsom den definieras i COSO omfattar all verksamhet och ska säkerställa att mål, rapportering samt lagar och regler uppnås. Det innebär att intern kontroll i princip omfattar all verksamhet. Enligt reglementet ska det anges i verksamhetsplanen vilken intern kontroll som ska utföras inom respektive nämnd. Vi uppfattar att den meningen bör läsas tillsammans med efterföljande där det framgår att resultatet av uppföljningen av intern kontroll ska rapporteras i delårsrapport och årsredovisning. Kommunstyrelsen och samtliga granskade nämnder har i verksamhetsberättelsen inarbetat en plan för intern kontroll och har också återrapporterat resultatet av uppföljningen i verksamhetsberättelsen. Vår granskning avser kommunstyrelsens och nämndens uppföljning av intern kontroll, d.v.s. den uppföljning som enligt COSO-modellen görs för att styrelsen och nämnderna ska säkerställa att systemet för intern kontroll i sin helhet fungerar tillfredsställande. Vi vill i detta sammanhang framhålla att den interna kontrollen som kommunstyrelsen och nämnderna anger i verksamhetsplanen endast omfattar en liten del av det system som utgör kommunens totala interna kontroll över verksamheten. En tydlig struktur över kontrollsystemet, t.ex. genom processkartor i kvalitetssystem, är viktigt för att effektivt kunna bedöma kontrollstrukturen i förhållande till riskerna. Vi har inte närmare granskat detta sammantaget men bedömer att det varierar i vilken omfattning processerna är synliggjorda. Enligt de intervjuer vi gjort kan en sådan processbeskrivning i varje fall till vissa delar inarbetas i det beslutsstödsystem som håller på att implementeras, vilket vi ser positivt på. Vi anser att en riskanalys skulle ge en bra grund för att styrelse och nämnder att följa upp de mest viktiga kontrollerna inom respektive ansvarsområde. Några av nämnderna anger att det har gjorts en riskanalys, men någon dokumentation av resultatet av en sådan analys har inte presenterats för oss. Vi anser att en riskanalys bör dokumenteras så att bedömningen av såväl utvalda kontroller som risker som inte följts upp framgår. Vi anser även att det är värdefullt om förtroendevalda är delaktiga i bedömningen. Uppföljning av den interna kontrollen ska enligt vår uppfattning inte vara en rapportplan över vad och när som ska rapporteras till nämnden. Vi ser några exempel där planen omfattar att nämnden med viss regelbundenhet ska få rapporter över t.ex. måluppfyllelsen eller viss statistik. Vi menar att det är viktigare att hitta vilka kontroller som säkerställer att måluppfyllelsen är god och att följa upp att dessa kontroller är effektiva. En övning är att fundera vilka risker som finns för att kommunens mål vad gäller ändamålsenlig och kostnadseffektiv verksamhet, tillförlitlig rapportering samt efterlevnad av lagar och regler inte klaras samt vilka kontroller finns för att hantera dessa risker. Planen bör enligt vår uppfattning omfatta uppföljning av de kontroller som är mest väsentliga för att klara detta. Rapport intern kontroll.docx 6
Vi rekommenderar att kommunstyrelsen utarbetar rutiner och modeller för uppföljning av intern kontroll tillsammans med riskanalys. Vi anser vidare att rapporteringen av uppföljningen av den interna kontrollen kan förstärkas. Av rapporterna bör det framgå bl.a. om kontrollen är effektiv eller inte samt vilka åtgärder som ska vidtas om kontrollen inte är effektiv. Vi rekommenderar att resultatet av uppföljningen samt beslut om eventuella åtgärder vid identifierade brister dokumenteras. 10.2 Nämndsvisa kommentarer Nedan lämnas kommentarer och rekommendationer beträffande kommunstyrelsen och övriga nämnders uppföljning av intern kontroll. 10.2.1 Kommunstyrelsen Kommunstyrelsens plan för uppföljning av intern kontroll omfattar för år 2014 sju punkter. Kontrollerna är tydligt beskrivna och rör till stor del det administrativa området med ekonomisk inriktning. Det framkommer till viss del förklaringar till varför kontrollerna ska följas upp, vilket kan tyda på att någon form av riskanalys har gjorts, även om den inte finns dokumenterad. Redovisningen av den gjorda uppföljningen av plan för intern kontroll är också tydlig. Samtliga punkter i planen har följts upp. Vad gäller några av kontrollerna så har det i uppföljningen ytterligare förtydligats hur uppföljningen har gått till. En kortfattad bedömning finns också i anslutning till respektive punkt där det framgår om kontrollen/rutinerna är tillräckliga eller inte. Vi bedömer att kommunstyrelsens plan är tydlig och bra, men att den bör föregås av en riskanalys såsom vi rekommenderat ovan. Planen omfattar inte några kontroller som ska säkerställa att kommunstyrelsens mål klaras, vilket vi anser bör finnas med. Vi bedömer att även återrapporteringen är tydlig, men vi rekommenderar att när rutinerna inte bedöms som tillräckliga att det framgår vilka åtgärder som ska vidtas. 10.2.2 BAS-nämnden BAS-nämndens plan för intern kontroll omfattar inga egentliga kontroller att följas upp utan beskriver enligt vår uppfattning kortfattat nämndens system för ledning och styrning samt hur återrapporteringen av måluppfyllelse ska ske. I verksamhetsberättelsen finns en kortfattad beskrivning av uppbyggnaden av IT-baserat ledningssystem vars syfte är att beskriva processer och systematisera kunskap om resultat samt uppgift om rapporter till nämnden. Någon bedömning av resultatet av uppföljningen finns inte. Rapport intern kontroll.docx 7
Vi uppfattar att nämndens plan och uppföljning mer är en mycket kortfattad beskrivning av verksamhetens styrning och ledningssystem än plan för uppföljning av intern kontroll. Vi ser däremot goda möjligheter för nämnden och verksamhetsledning att utveckla processen för intern kontroll med stöd av kvalitetssystemet som är under uppbyggnad. Den riskanalys, som vi rekommenderar att nämnden gör, kan med fördel utgå från de övergripande processerna som finns beskrivna i kvalitetssystemet som syftar till att klara mål, lagstiftning och rapportering (se mer detaljer i COSO-definitionen). Nyckelkontroller i de processer där risken bedöms som stor att måluppfyllelsen eller efterlevnaden inte klaras bör i sin tur bedömas och följas upp. 10.2.3 BKU-nämnden BKU-nämnden har i likhet med övriga nämnder inte upprättat någon riskanalys som grund för sin plan, utan valt ut områden utifrån aktualitet, revisionsrapporter etc. Planen för intern kontroll omfattar många områden t.ex. stöd till barn/elever med särskilt behov, prognos, fritidshem och kulturutbud. Vad som ska följas upp anges i termer av rätt utifrån behov, rimlig säkerhet, rätt omfattning och utställningsverksamhet. Det framgår också vilken tidpunkt och vem som är ansvarig. BKU har i verksamhetsberättelsen för år 2014 följt upp ovanstående punkter förutom biblioteksservice och kulturutbud. Varför dessa inte är uppföljda framgår inte. erna till uppföljningen är mycket kortfattad, t.ex. för förskolornas kontrollområde måluppfyllelse framgår Varje förskolechef skriver en verksamhetsplan tillsammans med resp enhet. Måluppfyllelsen sammanställs i kvalitetsrapporteringen vid varje läsårs slut. Slutsatser om den interna kontrollen varit tillräcklig eller om det finns brister framgår endast undantagsvis. Någon sammanfattande slutsats finns inte heller angiven. Vi tycker att det är bra att så många områden täcks av planen för intern kontroll, men anser att bakgrunden till varför kontrollen valts ut bör preciseras (riskanalys). Det saknas också i planen en koppling till vilka kontroller som ska göras och följas upp, vad gäller måluppfyllelse är det knappast tillräckligt att bara sammanställa resultatet i en rapport. Vad gäller uppföljningen så är inte heller den särskilt tydlig, varken vad som följts upp eller vilket resultat det gett. Det är enbart för någon enstaka punkt där det framgår att kontrollen behöver förstärkas. Det bör även finnas kommentarer till varför uppföljning inte har skett enligt plan, och en bedömning av riskerna utifrån detta. Vi rekommenderar att BKU tydliggör vilka kontroller som ska följas upp samt utvärderar dessa så att det tydligt framgår om kontrollen fungerar eller inte. Rapport intern kontroll.docx 8
10.2.4 Miljö- och byggnämnden Miljö- och byggnämndens plan för intern kontroll avser Kontroll av gjorda debiteringar genom 15 stickprovskontroller. Uppföljningen beskriver att var 25:e faktura har kontrollerats, totalt 33 st, utan att några fel har hittats. Det noteras också att huvuddelen av fakturorna har skickats inom två arbetsdagar efter beslut. Vi konstaterar att uppföljning har skett i enlighet med plan, och att resultatet och urvalet tydligt framgår. Vi skulle gärna se att det av såväl plan som uppföljning mer i detalj framgår vad som ska/har följts upp. Inom miljö- och byggförvaltningen pågår ett arbete med att upprätta rutinbeskrivningar, vilket vi ser positivt på. Vi har tagit del av några exempel. I några av rutinbeskrivningarna är det tydligt uttalat vilka kontroller som ska göras, t.ex. i Handläggningsrutin avlopp, medan kontrollerna i andra rutiner är mer allmänt beskrivna. Vi ser gärna att formen för rutinbeskrivningarna ses över så att det tydligt framgår vilka kontroller som ska göras och hur dessa ska dokumenteras. Vår erfarenhet är att textbaserade rutinbeskrivningar kan vara svåra och tidskrävande att hålla uppdaterade varför vi gärna ser att förvaltningen överväger om det går att få till ett effektivt systemstöd för beskrivningarna. 10.2.5 Överförmyndarnämnden Överförmyndarnämnden beslutade att avvakta Länsstyrelsens inspektionsprotokoll och inte anta någon plan för intern kontroll i samband med verksamhetsplanen för år 2014. Planen fastställdes däremot i särskilt beslut och baserades på att Länsstyrelsens kritik där det framkommit brister i de interna rutinerna för att säkerställa att alla handlingar krävs in. I planen framgår hur många stickprov som ska göras och att det ska omfatta alla områden. Uppföljningen av intern kontroll visar att rutinerna har stärkts efter Länsstyrelsens inspektion och att systemstödet används på ett mer effektivt sätt. En särskild rutin har enligt verksamhetsberättelsen också tagits fram som beskriver vad som ska göras när brister i ställföreträdarens uppdrag har upptäckts. Vi ser inget fel i att ta tillvara resultatet av inspektionen och genom att följa upp bristerna få fokus på att åtgärder faktiskt vidtas. Däremot är vår uppfattning att en riskanalys skulle kunna ha identifierat dessa brister, så att nämnden och verksamheten redan innan inspektionen skulle kunna ha vidtagit åtgärder. Rekommendationen är att nämnden gör en riskanalys som grund för vilken intern kontroll som ska följas upp. Rapport intern kontroll.docx 9
I övrigt tycker vi att planen är tydlig med vad som ska följas upp och varför. Vad vi förstår utifrån återrapporteringen är nu den interna kontrollen för detta område enligt nämnden tillfredsställande. Vi särskilt positivt på att systemstödet används på ett mer effektivt sätt. Vad gäller överförmyndarnämnden finns även en utmaning med beaktande att verksamheten består av så få anställda att uppföljningen av intern kontroll bör göras av en annan handläggare än den som varit delaktig i ärendet. 11. Utvärdering av intern kontroll Varken kommunstyrelsen eller nämnderna baserat den uppföljning som är gjord någon bedömning av styrelsens/nämndens samlade system för intern kontroll. Vi rekommenderar att kommunstyrelsen gör en årlig utvärdering av kommunens samlade system för intern kontroll som en del av uppsiktsplikten. Vi föreslår för att underlätta en sådan utvärdering att kommunstyrelsen ålägger respektive nämnd att göra en motsvarande utvärdering av nämndens samlades system för intern kontroll. Vår uppfattning är att ett sådant krav också kan förstärka innehåller i planer och uppföljning, såväl till vilka områden som väljs ut samt antal och omfattning av den uppföljning som ska göras. KPMG, dag som ovan Lena Medin Certifierad kommunal revisor Rapport intern kontroll.docx 10