Granskning av intern kontroll av system och rutiner för behörighet

www.pwc.se Revisionsrapport Linda Yacoub Hanna Holmberg Juni 2014 Granskning av intern kontroll av system och rutiner för behörighet i ekonomisystem Sollentuna kommun

Sollentuna kommun Granskning av intern kontroll av system och rutiner för behörighet i ekonomisystem

Granskning av intern kontroll av system och rutiner för behörighet i ekonomisystem Innehållsförteckning 1. Sammanfattande bedömning...1 2. Inledning... 2 2.1. Bakgrund... 2 2.2. Syfte, revisionsfråga och kontrollmål... 2 2.3. Revisionsmetod och avgränsning... 2 3. Kommunens rutiner... 3 3.1. Styrande och stödjande dokument... 3 3.1.1. Riktlinjer för intern kontroll... 3 3.1.2. Reglemente för kontroll av ekononomiska transaktioner... 4 3.1.2.1. Rutin för upplägg och borttag av attesträtt och behörigheter... 5 3.2. Stickprov... 7 3.2.1. Verifiering av behörigheter och attesträtt...7 4. Bedömning och rekommendationer... 11 4.1. Avstämning mot kontrollmål... 11 4.2. Svar på revisionsfråga... 12 4.3. Rekommendationer... 13 Sollentuna kommun

1. Sammanfattande bedömning PwC har på uppdrag av revisorerna i Sollentuna kommun genomfört en granskning avseende tilldelning och uppföljning av behörigheter i ekonomisystemet. Efter genomförd granskning bedömer vi att den interna kontrollen avseende tilldelning och uppföljning av behörigheter i ekonomisystemet inte är tillräcklig. I övrigt hänvisar vi till de bedömningar och rekommendationer som redovisas i avsnitt 4. Sollentuna kommun 1 av 14

2. Inledning 2.1. Bakgrund Enligt kommunallagen kan kommunfullmäktige föra ned rätten att fatta beslut till nämnderna och vidare kan dessa delegera till tjänstemän. En viktig förutsättning för en väl fungerande intern kontroll är att det finns rutiner som säkerställer att tilldelade behörigheter i IT-system överensstämmer med beslutade delegationer. 2.2. Syfte, revisionsfråga och kontrollmål Granskningen syftar till att besvara följande revisionsfråga: Är den interna kontrollen tillräcklig när det gäller tilldelning och uppföljning av tilldelade behörigheter i ekonomisystemet? Granskningen inriktas mot följande moment: Det finns en aktuell attesträttsförteckning avseende attest av ekonomiska transaktioner. Det finns fungerande rutiner för tilldelning och uppföljning av behörigheter i IT-system. Rutinerna omfattar såväl attestbehörighet som behörighetsnivå i IT-system. Rutinen är dokumenterad. Det finns fungerande rutiner för kontroll av att registrerade behörigheter är korrekta utifrån delegationsordning samt av förändringar under året (exempelvis medarbetare som slutar, är lediga eller tillfälliga förändringar av behörighet). Användarnas behörighetsnivå i IT-system är ändamålsenlig utifrån ansvar och befogenheter. 2.3. Revisionsmetod och avgränsning Granskningen sker genom dokumentstudier av styrande/stödjande dokument. Kontroll sker av gällande attestreglemente/attestförteckning och ett antal stickprov för att verifiera riktigheten i gällande rutiner och riktlinjer. Intervju sker med ansvarig tjänsteman/tjänstemän på kommunen. Detta genom en inledande telefonintervju samt en intervju på plats hos kommunen i samband med genomgång av ekonomisystem tillsammans med systemförvaltare. Sollentuna kommun 2 av 14

3. Kommunens rutiner 3.1. Styrande och stödjande dokument 3.1.1. Riktlinjer för intern kontroll Kommunens riktlinjer för intern kontroll (antaget av kommunfullmäktige 2003-11- 17) anger att fullmäktige fastställer riktlinjerna för intern kontroll, kommunstyrelsen har det övergripande ansvaret för att tillse att det finns en god intern kontroll, samt att nämnderna ansvarar för att ett system för intern kontroll upprättas inom respektive verksamhetsområde. Av kommentarer till riktlinjerna framkommer även att förvaltningschefen inom respektive område har det verkställande ansvaret för att arbeta fram regler och anvisningar om intern kontroll. Vidare anges att samtliga anställda är skyldiga att följa gällande regler och anvisningar för intern kontroll. Nämnderna ska löpande eller senast den 31 januari varje år rapportera resultatet från uppföljningen av den interna kontrollen inom nämnden till kommunstyrelsen och kommunens revisorer. Kommunstyrelsen ska sedan, med utgångspunkt från nämndernas uppföljningsrapporter, utvärdera kommunens samlade system för intern kontroll. Om behov finns ska kommunstyrelsen lämna förslag på områden i behov av förbättring. Internkontrollplan I samband med granskningen har en genomgång av internkontrollplan för 2014 samt kommunens uppföljning av internkontrollplan för 2013 skett. Kommunens internkontrollplan redovisas per nämnd. Nedan redogörs för de nämnder vars internkontrollplan för 2014 behandlar rutiner/system som är relevanta för granskningen. Nämnd System Kontrollmoment/ delrutin Kontrollansvar Frekvens Metod Rapportering Kom m unstyrelsen Raindance Att det finns kvitton/underlag till den tillfälliga utbetalning samt att attestanten inte har attesterat utbetalningar till honom/henne själv (jävskontroll) och att det finns såväl en sakgranskningsattest som en beslutsattest liksom att momsen är rätt redov isad. Budget- och redov isningschef. 2 ggr/år Stickprovskontroller på alla av delningar inom KLK Kom m unstyrelsen i nov ember 2014 Socialnämnden Ascendo Kontrollera att kortinnehavare av FirstCard inte har attesterat sina egna fakturor. Trafik- och fastighetsnämnden Ascendo Kontroll att leverantörsfakturor attesteras Ekonom och controller 1 ggr/mån Alla FirstCard Controller Ekonomi 4 ggr/år Stickprov i Ascendo Förv altningschef Sollentuna kommun 3 av 14

av behörig person. Miljö- och by ggnadsnämnden Ascendo Kontroll av att beslutsattester görs av behöriga attestanter. Enhetschef och förv altnings-chef. - Stickprov av attestering. Senast i MBN i december 2014 Kommunens uppföljning av internkontrollplanen för 2013 innefattar nedanstående kontroller som bedöms vara relevanta för granskningen: - Kommunledningskontoret granskade följande två kontrollmoment: 1) att två personer har attesterat leverantörsfakturor, samt 2) att deltagare/mottagare av representationsfaktura inte attesterat fakturan. För båda kontrollmoment framkom brister, detta då 14 av 100 leverantörsfakturor endast var attesterade av en person samt att 5 av 39 representationsfakturor var attesterade av deltagare/mottagare. - Socialnämnden granskade följande två kontrollmoment: 1) att kortinnehavare av FirstCard inte attesterat sina egna fakturor, samt 2) att vårdfakturor bland annat haft korrekt granskningsattest, beslutsattest samt attesterats av rätt person i kontringsstämpeln. Av 214 granskade FirstCardfakturor var 25 attesterade av kortinnehavaren. Vid granskningen av vårdfakturor förekom inga fel kopplande till ovan nämnda kontrollmoment. Kommentarer och iakttagelser Sedan ovan nämnda uppföljningar av internkontroll utfördes har åtgärder vidtagits av kommunledningskontoret. Detta i form av automatiska spärrar i Ascendo som omöjliggör att sakgranskning och beslutsattest utförs av samma person, d v s idag måste två personer attestera alla leverantörsfakturor. Denna spärr infördes oktober 2013 i samband med att kommunens attestreglemente uppdaterades med ett förtydligande kring detta. Internkontrollplanen 2014 för kommunledningskontoret och socialnämnden innehåller fortsatta kontroller inom respektive område. 3.1.2. Reglemente för kontroll av ekononomiska transaktioner Kommunens reglemente för kontroll av ekonomiska transaktioner (ändrat av kommunfullmäktige 2006-05-08) anger att attest av transaktioner ska ske innan de utförs. Kommunen tillämpar följande tre attestformer: Sakgranskningsattest (namnteckning eller elektronisk signatur) som innebär kontroll mot leverans/prestation samt uträkning Beslutsattest (namnteckning eller elektronisk signatur) som medför kontroll mot underlag/beställning/beslut och villkor, samt Behörighetsattest (namnteckning) som innebär kontroll av behörighet Beslut om att utse beslutsattestanter och ersättare till dessa ska fattas av nämnd eller direkt underställd chef som i sin tur kan bemyndiga ytterligare tjänstemän att utse beslutsattestanter. En aktuell förteckning ska finnas över både dem som kan utse beslutsattestanter samt över dem som tilldelats attesträtt, vilket nämnd eller Sollentuna kommun 4 av 14

underställd chef ansvarar för. Båda förteckningarna ska delges kommunrevisionen och redovisningsenheten. Vidare anger reglementet att attestmoment inte får utföras av en medarbetare som själv ska betala till kommunen och där ta emot transaktioner eller själv ta emot betalning från kommunen. En ekonomisk transaktion ska attesteras av två personer förutom behörighetsattestanten, d v s sakgranskningsattest samt beslutsattest ska utföras och momenten får inte utföras av samma person. Kommentarer och iakttagelser Det finns en förteckning över vilka personer som får utse beslutsattestanter och denna förvaras centralt. Rätten att utse beslutsattestanter innehas av samtliga förvaltningschefer och får även utföras i enlighet med respektive nämnds gällande delegationsordning. Attestmoment får inte ske av en medarbetare som själv ska betala till kommunen och där ta emot transaktioner eller själv ta emot betalning från kommunen. Medarbetare inom kommunen är skyldiga att följa reglementet. Redovisningsenheten säkerställer att så inte sker genom att samtliga tillfälliga utbetalningar kontrolleras av medarbetare på redovisningsenheten. 3.1.2.1. Rutin för upplägg och borttag av attesträtt och behörigheter Attesträtt Attesträtten i kommunen är uppbyggt på ansvar. Beslutsattestanter utgörs av ansvariga chefer ute på förvaltningarna. Sakgranskningsattest styrs utifrån den referens som angetts på leverantörsfakturorna, d v s ska ske av beställare. Attesträtten ligger separerat från behörigheter, dvs ansökan och beslut om rätt till attestansvar respektive behörighetsnivå sker på olika anmälningsblanketter. Samtliga nämnder inom kommunen fyller manuellt i en attestblankett ( Ny ansvarig ) som sedan ligger till grund för den attesträtt som registreras i Ascendo. Attestblanketten används för ny beslutsattestant, upphörande av beslutsattestant, ersättare samt upphörande av ersättare, d v s rutinen för ifyllnad är densamma för samtliga förfaranden. Förvaring av attestblanketterna sker hos kassan. Förändringar sker på originalblankett, d v s den attestblankett som ifyllts vid nyupplägg. Vid avslut av attesträtt ska en ny attestblankett ( Upphörande av ansvarig ) fyllas i av berörd medarbetare eller dennes chef. Det är dock berörd chefs ansvar att inrapportera när medarbetare avslutat sin anställning. Blanketten ska sedan skickas till systemförvaltare för avslut av attesträtt. Detta sker främst vid avslut av medarbetare i chefspositioner eller högre behörighetsnivå, men sällan för övriga medarbetare. Utifrån attestblanketten registreras attesträtt i fakturasystemet Ascendo. Totalt kan tre medarbetare på redovisningsenheten registrera attesträtt, vilka är systemförvaltare, systemadministratör samt en medarbetare i kassan. Ersättare för beslutsattestanter registreras i samband med upplägg av ordinarie beslutsattestanter. Det förekommer dock att ersättare registreras först då behov uppstår. Ersättare attesterar främst under semesterperioden. Ekonomichefen har attesträtt när medarbetare inom kommunledningskontoret är frånvarande och är även ersättare för kommundirektören. Sollentuna kommun 5 av 14

Användningen av attestblanketten varierar mellan kommunens olika nämnder. För sex nämnder sammanställs sedan 2013 attestblanketterna till en attestlista med uppgift om ansvar samt namn på beslutsattestant och dess ersättare. Till attestlistan bifogas en lista med namn och namnteckningsprov för beslutsattestanter. Vid förändringar av attesträtt uppdateras attestlistan. Uppdatering av lista med namnteckningsprov varierar. I vissa uppdateras hela listan med samtliga beslutsattestanter. I andra fall biläggs en ny lista till den ordinarie endast innehållande nytillkomna beslutsattestanter. Attestlistor med namnteckningsprov ska upprättas årligen. I dagsläget saknar tre nämnder detta förfarande och använder fortfarande a t- testblanketter. Namnteckningslistan kompletteras med en bilaga innehållande den nya namnteckningen, ursprungsförteckningen sparas därmed intakt. Detta då kommunen vill möjliggöra att i efterhand kunna kontrollera samtliga namnteckningar. Kommentarer och iakttagelser Uppföljning/inventering av attesträtt ska ske årligen. Detta sker dock inte i dagsläget. Enligt kommunen kan systemadministratören ge sig själv attesträtt, dock saknar medarbetaren behörighet att bemyndiga utbetalningar hos banken. Fakturasystemet Ascendo innehåller automatiska spärrar som omöjliggör följande: - attest på annans ansvar - att sakgranskningsattest och beslutsattest utförs av samma person (fr o m oktober 2013) I samband med granskningen har en verifiering av de automatiska spärrarna i Ascendo genomförts tillsammans med kommunen vad gäller omöjliggörande av attest på annans ansvar samt att samma person utför sakgranskningsattest och beslutsattest. Behörighet i Raindance och Ascendo För att få en användarbehörighet i ekonomisystemet Raindance sker ansökan på en särskild blankett, som är annan än attestblanketten. Behörighetsblanketten anger tre nivåer av behörighet. Nivå 1 är en grundbehörighet som innehas av samtliga användare som har tillgång till Raindance och innebär en tittarbehörighet avseende informationsuttag i alla delsystem. Nivå 2 avser uttag av rapporter och uppgifter i Excel Nivå 3 medför registrerarbehörighet i extern leverantörsreskontra, internreskontra, extern kundreskontra och/eller bokföringsorder/budget. Vid nyanställning ska ansvarig chef gå igenom de system som ny medarbetare ska ha behörighet till och fyller sedan i behörighetsblanketten som skickas till kassan för upplägg. Tilldelningen av behörighetstyp i Raindance baseras på medarbetarens arbetsuppgifter i fakturahanteringssystemet Ascendo samt om personen i fråga har ekonomiskt ansvar eller inte. Raindance möjliggör uttag av listor över medarbetare Sollentuna kommun 6 av 14

som har behörighet till systemet. Behörighetsblanketten som används vid registrering av behörighet anger tre behörighetsnivåer behörighetsnivå 1-3. Enligt systemadministratören anges dock att behörighetsnivå 1-7 används vid tilldelning av behörighet. Behörighetsnivå 7 är högsta behörighetsnivå och innehas av två systemförvaltare och medarbetare i kassan. Behörighetsnivåer högre än nivå 3 ska endast tilldelas administrativ personal centralt. Y tterligare en behörighetsblankett används vid upplägg av behörighet fakturahanteringsystemet Ascendo. Behörighet i Ascendo avser sakgranskning (omfattar sakgranskning och kontering) samt beslutsattest (omfattar sakgranskning, kontering och beslutattest). Ascendo möjliggör uttag av listor över medarbetare som har behörighet till systemet. Behörighetsblanketterna ska skrivas ut och fylls i manuellt. Förändringar sker på samma blankett, d v s den originalblankett som fyllts i vid nya upplägg. Förvaring av blanketterna sker hos kassan. Det sker ingen löpande uppföljning av behörigheter. Kommentarer och iakttagelser Medarbetares behörighet i Raindance och Ascendo samt attest ska fyllas i på avsedda behörighetsblanketter som sedan lämnas till systemförvaltaren. I viss utsträckning utförs detta även genom att ansvarig chef eller förvaltningschef muntligen efterfrågar behörighetsregistreringen av systemförvaltaren dvs behörighetsblanketter används inte. Detta sker dock endast fall då medarbetaren enbart tilldelas tittarbehörighet. 3.2. Stickprov 3.2.1. Verifiering av behörigheter och attesträtt Som ett led i granskningen har verifiering av attest och behörigheter genomförts. Behörigheter Behörigheter i Raindance Granskning har utförts av ett urval av registrerade behörigheter i Raindance. Kontroll har skett av behörigheter för totalt 30 medarbetare inom kommunen varav 15 genom att jämföra registrerad behörighet i Raindance mot anmälningsblankett. Ytterliggare 15 har granskats genom att jämföra anmälningsblankett mot registrerad behörighet i Raindance (se tabell 1). Sollentuna kommun 7 av 14

T abell 1. Behörighet Raindance Kontrollmoment Raindance Registrerad behörighet har kontrollerats mot anmälningsblankett Raindance Anmälningsblankett har kontrollerats mot registrerad behörighet Utfall För 15 av 15 medarbetare med registrerad behörighet i Raindance återfanns anmälningsblankett. För 15 av 15 medarbetare med behörighet i Raindance enligt anmälningsblankett återfanns registrerad behörighet i Raindance. Kom m entarer: I elva fall var anmälningsblanketterna för behörighet i Raindance ify lld korrekta. I tio fall har sy stemförvaltaren delvis angivit vilka behörigheter som beviljas eller avslås. I fem fall saknas signatur från sy stemförvaltare. I två fall har sy stemförvaltaren inte angivit om behörigheter beviljats eller avslagits. I ett fall har endast en kommentar om behörighetsnivå angivits; samma som övriga handläggare på KC, d v s inga behörigheter har ify llts. I ett fall anges behörighetsnivå 7. Behörigheter i Ascendo Granskning har utförts av ett urval av registrerade behörigheter i Ascendo. Kontroll har skett av behörigheter för totalt 20 medarbetare inom kommunen varav tio genom att jämföra registrerad behörighet i Ascendo mot anmälningsblankett. Ytterliggare tio har granskats genom att jämföra anmälningsblankett mot registrerad behörighet i Ascendo (se tabell 2). Tabell 2. Behörighet Ascendo Kontrollmoment Ascendo Registrerad behörighet har kontrollerats mot anmälningsblankett Ascendo Anmälningsblankett har kontrollerats mot registrerad behörighet Kom m entarer: Inga övriga avvikelser har noterats Utfall För 5 av 10 medarbetare återfanns anmälningsblankett. För 5 av 10 medarbetare med registrerad behörighet i Ascendo saknades anmälningsblankett. För 6 av 10 medarbetare återfanns registrerad behörighet. För 4 av 10 medarbetare med behörighet i Ascendo enligt anmälningsblankett saknades registrerad b e- hörighet. Behörigheter i bokföringsportalen Granskning har utförts av ett urval registrerade behörigheter i bokföringsportalen. Kontroll har skett av behörigheter för ett antal medarbetare i kommunen från totalt tio ansökningsblanketter genom att jämföra mot registrerad behörighet i bokföringsportalen. Sollentuna kommun 8 av 14

Tabell 3. Behörighet i bokföringsportalen Kontrollmoment Bokföringsportalen Anmälningsblankett har kontrollerats mot lista Kom m entarer: Inga avvikelser noterade Utfall För 10 av 10 anmälningsblanketter återfanns samtliga medarbetare med registrerad behörighet i bokföringsportalen. Kommentarer och iakttagelser Efter genomförda verifieringar kan vi konstatera att behörighetshanteringen för Raindance och Ascendo inte sker helt i enlighet med kommunens rutin. I Raindance överensstämde samtliga anmälningsblanketter mot registrerad behörighet i Raindance. Dock noterades att anmälningsblanketterna för behörigheterna var ofullständigt ifyllda, bl a avsaknad av signatur från systemförvaltaren samt avsaknad av korrekt specifikation av vilken behörighetsnivå som valts för den specifika medarbetaren. Attesträtt Attesträtt i Ascendo Kontroll av ett urval attesträtter i Ascendo har utförts enligt följande: 1) Aktuell förteckning över registrerade attesträtter i Ascendo har inhämtats från kommunen. 2) Aktuell förteckningen över registrerade attesträtter i Ascendo har sedan jämförts mot nämndernas senaste version av attestlista, eller i de fall en sådan saknas, mot senaste version av attestblankett. Detta har kontrollerats för tio personer. Se tabell 4. 3) Som ett andra steg har senaste version av attestlista, eller i de fall en sådan saknas, senaste version av attestblankett, jämförts mot aktuell förteckning över registrerade attesträtter i Ascendo. Detta har kontrollerats för tio personer. Se tabell 5. Tabell 4. Attesträtt enligt Ascendo Beslutsattestant Nam nteckning Attesträtt enligt Ev. avvikelse Ascendo överensstäm mer m ed attestblankett 1 Nej Nej Registrerad attesträtt på ansvar 702 saknar beslutsunderlag 2 Nej Ja - 3 Ja Ja - 4 Nej Ja - 5 Ja Nej Registrerad attesträtt på ansvar 800, 260 och 262-268 saknar beslutsunderlag 6 Nej Ja - 7 Ja Nej Registrerad attesträtt på ansvar 145 och 165 saknar beslutsunderlag. Sollentuna kommun 9 av 14

8 Nej Ja - 9 Nej Ja - 10 Nej Ja - Kom m entarer: I 7 av 10 fall saknas namntekning för beslutsattesranten. I 3 av 10 fall fanns fler ansvar registrerade i Ascendo än vad som specificeras på beslutsunderlag. Tabell 5. Attesträtt enligt blankett Beslutsattestant Nam nteckning Attesträtt enligt attestblankett Ev. Avvikelse öv erens- stäm mer m ed Ascendo 1 Ja Ja - 2 Ja Nej Registrerad attesträtt på ansvar 693 saknar beslutsunderlag. 3 Ja Ja - 4 Ja Ja - 5 Ja Ja - 6 Ja Ja - 7 Nej Ja - 8 Ja Nej Registrerad attesträtt på ansv ar 260 saknar beslutsunderlag. 9 Ja Nej Registrerad attesträtt på ansvar 260 och 262 saknar beslutsunderlag. 10 Ja Ja - Kom m entarer: I 1 av 10 fall saknas namnteckning för beslutsattestanten. I 3 av 10 fall fanns fler ansvar registrerade i Ascendo än vad som specificeras på beslutsunderlag. Kommentarer och iakttagelser Efter genomförda verifieringar kan vi konstatera att attesthanteringen inte sker helt i enlighet med kommunens nuvarande rutin. En aktuell attestförteckning med attestanternas underskrift bör upprättas varje år. Totalt sex av de 20 kontrollerade medarbetarna har registrerade attesträtt som omfattar fler ansvar än vad som beslutats enligt blankett/lista. I åtta fall saknas attestanternas namnteckning. Sollentuna kommun 10 av 14

4. Bedömning och rekommendationer 4.1. Avstämning mot kontrollmål Kontrollmål Kommentar Det finns en aktuell attesträttsförteckning avseende attest av ekonomiska transaktioner. Delvis uppfyllt I samband med granskningen erhölls en förteckning över registrerade attesträtter i Ascendo. Denna kontrollerades mot de senaste versionerna av attestblanketter och/eller attestlista för ett antal personer. Attestblanketter och/eller attestlistor ligger till grund för registreringen av attesträtt. Denna verifiering visade dock på ett antal avvikelser. Förteckningen över registrerade attesträtter i Ascendo bedöms därmed som inaktuell. I de fall avvikelser noterades mellan förteckningen och attestblanketter och/eller attestlistor påtalades vid faktaavstämning att äldre versioner av attestblanketter och/eller attestlistor finns och som anses gälla. Dessa bedömer vi dock som inaktuella. Det finns fungerande rutiner för tilldelning och uppföljning av behörigheter i IT-system. Rutinerna omfattar såväl attestbehörighet som behörighetsnivå i IT-system. Rutinen är dokumenterad. Ej uppfyllt Kommunen saknar dokumenterade rutiner för tilldelning och uppföljning av behörigheter och attesträtt i fakturaoch ekonomisystemet. Kommunen har muntliga rutiner, vilka dock inte följs fullt ut. Sollentuna kommun 11 av 14

Det finns fungerande rutiner för kontroll av att registrerade behörigheter är korrekta utifrån delegationsordning samt av förändringar under året (exempelvis medarbetare som slutar, är lediga eller tillfälliga förändringar av behörighet). Delvis uppfyllt Kommunens rutin avseende tilldelning av attesträtt och behörigheter innefattar att ansvarig chef ska godkänna registreringen av attesträtt vid nyupplägg. Kommunen saknar dock en rutin för kontroll av förändringar av attesträtt och behörigheter under året. Det görs inte heller någon uppföljning av attesträtt eller behörigheter. Användarnas behörighetsnivå i ITsystem är ändamålsenlig utifrån ansvar och befogenheter. Ej bedömningsbart I samband med granskningen av behörigheter i ekonomisystemet framkom att behörighetsnivåer i systemet är fler än vad som framgår av behörighetsblankett. Detta medför att tilldelning av behörigheter inte sker i enlighet med vad som ifyllts och godkänts på behörighetsblankett. 4.2. Svar på revisionsfråga Efter genomförd granskning bedömer vi att den interna kontrollen avseende tilldelning och uppföljning av behörigheter i ekonomisystemet inte är tillräcklig. Bedömningen görs mot bakgrund av följande: Kommunen har inga dokumenterade rutiner för tilldelning och hantering av behörigheter och attesträtt i faktura- och ekonomisystemet. Kommunen har muntliga rutiner, vilka beskrivs i rapporten. Rutinerna bedöms till viss del ändamålsenliga, dock visar granskningen att de inte följs fullt ut. Som ett led i granskningen har verifiering av attesträtt genomförts. Kommunen ombads inkomma med en aktuell förteckning över registrerade attesträtter i Ascendo. Denna kontrollerades mot de attestblanketter och/eller attestlistor som ligger till grund för registreringen av attesträtt. Verifieringen visade på ett antal avvikelser. Vid faktaavstämningen av rapporten framkom att den förteckning som erhållits inte var aktuell. På begäran har en aktuell förteckning inte kunnat erhållas i samband med granskningen. Avvikelserna beror även på att registrerade attesträtter i Ascendo kontrollerats mot de senaste versionerna av attestblanketter och/eller attestlista för ett antal personer. Vid faktaavstämning påtalade kommunen att äldre versioner av attestblanketter och/eller attestlistor finns. Dessa bedömer vi dock som inaktuella. Detta medför att en fullständig verifiering inte kunnat genomföras som avsetts. Kommunen saknar även en rutin för systematisk och/eller löpande kontroll av förändringar av attesträtt och behörigheter. Vidare saknas rutin för uppföljning av attesträtt eller behörigheter. Sollentuna kommun 12 av 14

I samband med granskningen erhölls en förteckning över registrerade attesträtter i Ascendo. Denna kontrollerades mot de senaste versionerna av attestblanketter och/eller attestlista för ett antal personer. Attestblanketter och/eller attestlistor ligger till grund för registreringen av attesträtt. Denna verifiering visade dock på ett antal avvikelser. Förteckningen över registrerade attesträtter i Ascendo bedöms därmed som inaktuell. Granskning av behörigheter i ekonomisystemet visade på fler behörighetsnivåer än vad som framgår av behörighetsblankett. Behörighetsblankett ifylls och godkänns av ansvarig chef och tilldelad behörighet registreras av systemförvaltare. Systemförvaltare ska i samband med registrering bevilja eller avslå de behörigheter som ansvarig chef tilldelat. Verifieringen visar på att det är svårt att bedöma hur tilldelningen och registreringen genomförts då urvalet visar på ett stort antal avvikelser mellan behörighetsblanketter och registrerade behörigheter. Enligt behörighetsblanketten finns behörighetsnivå 1 3. Vid genomgång av behörighetsnivåer i ekonomisystemet med systemförvaltare framkom att behörighetsnivå 1 7 tillämpas. Inom behörighetnivå 1 7 finns dessutom ytterligare nivåer inom respektive behörighet. Detta medför att tilldelning av behörigheter inte sker i enlighet med vad som ifyllts och godkänts på behörighetsblankett samt att det saknas en samlad och tydlig bild av behörighetshantering i kommunen. I samband med granskningen informerade redovisningsenheten att ett nytt ekonomisystem kommer att införas vid årsskiftet 2014/2015. Detta kommer medföra en förändring av kommunens rutiner för hantering av behörigheter och attesträtt. 4.3. Rekommendationer Efter genomförd granskning lämnar vi följande rekommendationer: - Att kommunen utformar dokumenterade rutiner för tilldelning av behörigheter och attesträtt i faktura- och ekonomisystemet. - Att kommunen tar fram rutiner för löpande kontroll av förändringar av behörigheter och attesträtt i faktura- och ekonomisystemet. - Att kommunen upprättar ett system för uppföljning i syfte att säkerställa att registrerade behörigheter och attesträtter är aktuella. De kontroller och den uppföljning som genomförs bör dokumenteras. - Att kommunen genomför en översyn avseende hanteringen av behörighetsnivåer i ekonomisystemet. Sollentuna kommun 13 av 14

Linda Yacoub Projektledare Anders Haglund Uppdragsledare Sollentuna kommun 14 av 14