Anvisningar och handbok för intern kontroll i Kristianstads kommun 2015 Uppdateras i oktober 2015 inför nästkommande år. Från informell till övervakad intern kontroll Idag Mål OTILLFÖRLITLIG Oförutsägbar miljö där kontroll och styraktiviteter inte utformats eller är på plats INFORMELL Kontroll och styraktiviteter är utformade och på plats, men är inte STANDARDISERAD Kontroll och styraktiviteter är utformade och på plats, och är dokumenterade ÖVERVAKAD Kontroll och styraktiviteter är standardiserade, testas regelbundet och OPTIMERAD Integrerade kontroll och styraktiviteter, som övervakas av ledningen i tillräckligt brister följs upp realtid med dokumenterade av ledningen fortlöpande förbättringar 1
Innehåll 1. Bakgrund... 2 2. Inledning... 3 3. Ansvar... 4 4. Kontrollmiljö... 4 5. Riskanalys - riskbedömning... 4 6. Kontrollaktiviteter och intern kontrollplan... 8 7. Uppföljning av intern kontrollplanen... 9 8. Självdeklaration... 9 9. Årsplan 2015... 10 1. Bakgrund De förtroendevalda revisorerna i Kristianstads kommun gav 2012 PwC i uppdrag att granska om Kristianstads kommuns nämnder/styrelser säkerställt en god intern kontroll för att upptäcka och förhindra oegentligheter. Av revisionsrapporten framgår att den förvaltningsövergripande interna kontrollen kännetecknas av att kontroller existerar och brukar fungera, men i förekommande fall ej är tillräckligt dokumenterade. Detta innebär att den interna kontrollen således bör stärkas, främst avseende riskbedömning, kontrollaktiviteter, uppföljning och övervakning. Kommunens interna kontroll bedöms av PwC utifrån en femgradig skala avseende mognadsnivå. Den första nivån benämns Otillförlitlig och innebär att miljön är oförutsägbar och att kontroller inte existerar eller inte fungerar. Den andra nivån benämns Informell och kännetecknas av att kontroller existerar och brukar fungera, men inte är tillräckligt dokumenterade. Risken med denna nivå är att organisationen blir starkt personberoende. Den tredje nivån benämns Standardiserad och innebär att kontroller existerar och är tillräckligt dokumenterade. Dock upptäcks inte avvikelser i kontroller, eller så upptäcks de sent. Den fjärde nivån Övervakad kännetecknas av standardiserade kontroller som regelbundet testas i fråga om sin utformning och tillämpning. Nivån kännetecknas dessutom av att ledningen informeras. Den femte och sista nivån kallas Optimerad innebär att organisationen har en integrerad intern kontroll som övervakas i realtid av ledningen. Ständiga förbättringar införs löpande. 2
Skalan används vid bedömning av den interna kontrollen i skiftande typer av verksamheter och är således inte framtagen för att bedöma just kommunal verksamhet. Den sista nivån, optimerad, är inte eftersträvansvärd för den typ av verksamhet en kommun bedriver. I Revisionsrapporten Självdeklaration Intern Kontroll bedöms Kristianstads kommuns interna kontroll befinna sig på den andra mognadsnivån, d v s informell. Målsättningen är att utveckla den interna kontrollen till den fjärde mognadsnivån, övervakad, eftersom den tredje nivån, standard, inte är tillfyllest avseende avvikelserapportering. Härmed ökar också graden av integrering av den interna kontrollern i verksamheterna. Detta medför standardiserade och dokumenterade kontroller som regelbundet testas i fråga om sin utformning och tillämpning. Dessutom informeras ledning och nämnd regelbundet. 2. Inledning Den finns en internationell standard kring intern styrning och kontroll som är ett av COSO utarbetat ramverk. Det används av såväl privata som offentliga organisationer. Det finns en definition för intern styrning och kontroll som anpassats till kommunal verksamhet: Intern kontroll definieras som en process, där såväl den politiska som den professionella ledningen och övrig personal samverkar. Processen är utformad för att med rimlig grad av säkerhet kunna uppnå följande mål: Ändamålsenlig och kostnadseffektiv verksamhet Tillförlitlig finansiell rapportering och information om verksamheten Efterlevnad av tillämpliga lagar, föreskrifter, riktlinjer m.m. Definitionen understryker alltså att intern styrning och kontroll är en process som syftar till att öka/stärka måluppfyllelsen. I processen kopplas mål till risker och risker till kontroller. De kommunala uppdraget består av ett antal interna processer som avser att nå verksamhetens mål på ett riskmedvetet sätt. Det är därför önskvärt att den interna kontrollen sammanflätas med den styrning och ledningssystem som finns i kommunen och inte blir ett ramverk vid sidan om de existerande strukturerna. Kristianstads kommun har ett väl fungerande och förankrat styrsystem som bygger på balanserad styrning. Terminologen är väl känd i organisationen. De fyra perspektiv som balanseras i styrkorten är medborgare, utveckling, medarbetare och ekonomi. Utifrån dessa är kommungemensamma mål formulerade i kommunens övergripande styrkort. Nämnderna använder samma perspektiv och formulerar utifrån dessa verksamhetsspecifika mål. Vissa verksamheter bryter ned styrkorten ytterligare. 3
Att den interna styrningen och kontrollen fungerar säkras av fem krav: 1. kontrollmiljö, 2. riskbedömning, 3. kontrollaktiviteter, 4. information och kommunikation, 5. övervakning, inklusive uppföljning och utvärdering. Dessa fem krav utgör den grundläggande strukturen för den interna kontrollen i Kristianstads kommun. 3. Ansvar Ansvaret för den interna kontrollen slås fast i Kristianstads kommuns reglemente för intern kontroll 2001. 4. Kontrollmiljö En god kontrollmiljö är en förutsättning för att den interna kontrollen ska fungera. Med kontrollmiljö avses förvaltningens inställning till intern kontroll, det vill säga förvaltningens kultur. En god miljö i detta sammanhang skapas alltså av de människor som finns i organisationen. Följande ska beaktas för att kunna utveckla kontrollmiljön: Gemensam värdegrund Kompetenskrav på anställda Delaktighet av styrelse och nämnder Ledingens filosofi och ledarstil Organisationsstruktur Ansvar och befogenheter Personalpolicy och regelverk 5. Riskanalys - riskbedömning För att vara heltäckande bör riskanalyser göras utifrån de mål för verksamheterna som slås fast i styrkorten, förvaltningarnas huvud- och delprocesser, verksamhetsplaner, 4
kända verksamhetsförändringar, revisionsrapporter och andra granskningar gjorda av till exempel tillsynsmyndighet Mallar har utarbetats för de olika kategorierna. De tillhandahålls i excel-format respektive i BusinessObjects av kommunledningskontoret, Ekonomi & analys. En riskanalys görs i tre steg. Det är viktigt att stegen följs för att resultatet ska bli bra. Gör alltså färdigt hela steg 1 innan steg 2 påbörjas. Nedan beskrivs en riskanalys utifrån förvaltningens processer eller uppdrag. Om en riskanalys görs utifrån styrkort och mål påbörjas analysen i steg två nedan. Beskrivningen av steg 1 till 3 fungerar samtidigt som manual till mallarna. Steg 1 Processinventering Den interna kontrollen bygger på att en riskanalys görs av olika processer eller uppdrag. Identifiera förvaltningens huvudprocesser. Skriv in dem i mallen, kolumn Huvudprocess. Det kan vara knepigt att finna rätt nivå på de uppgifter eller uppdrag man huvudsakligen har, men utgå till exempel utifrån funktioner och se på de exempel som anges i filen. Alla förvaltningar torde ha processerna ekonomi, personal, upphandling/inköp samt egna verksamhetsprocesser. Beskriv kortfattat huvudinnehållet i respektive process alternativt lista delprocesser som huvudprocessen kan delas in i. För in beskrivningen i kolumn Kortfattad beskrivning alternativt delprocess. Denna beskrivning underlättar arbetet längre fram. Ta fram nämndens styrkort. Fundera på vilket av styrkortets mål och därmed perspektiv (medborgare, utveckling, medarbetare, ekonomi) som processen huvudsakligen syftar till att uppfylla. Ofta syftar processerna till måluppfyllelse av flera perspektiv. Fyll i relevant perspektiv i kolumnerna Styrkort. Steg 2 Riskinventering kartläggning av risker Beskriv kortfattat processens riskscenarier utan att värdera risken i kolumn Riskinventering/riskscenarier. Kartlägg eventuella risker med processen genom att resonera kring följande risktyper: Omvärldsrisker Större händelser i vår omvärld som kan hota vår verksamhet och våra mål, exempelvis större katastrofer såsom översvämning och finanskris. Kommunen kan inte själv påverka händelserna. Finansiella risker Räntenivåer, förändringar i statligt bidrags- och utjämningssystem, likviditetsrisk, kreditrisk, pågående finanskris. 5
Legala risker/efterlevanderisker Vad händer om vi inte följer gällande lagstiftning eller regler eller avtal i övrigt? Det kan få ekonomiska konsekvenser (vite, skadestånd) eller förtroendeskada om inte lagar och regler följs. Verksamhetsrisker Risker som hindrar att kommunen når sina mål. Risk att inte verksamheten bedrivs effektivt. Risker i finansiell rapportering Rättvisande räkenskaper och andra redovisningsrisker. Budget bygger på fel antaganden som leder till beslut på felaktiga grunder. Fakturor som registreras och utbetalas felaktigt. Risk för förtroendeskada Skandaler, förstasidesrubriker IT-säkerhetsrisker hackers, bristande back up, systembehörigheter etc. Steg 3 Prioritering av riskerna När riskerna ska prioriteras görs en väsentlighets- och riskanalys. a. Väsentlighet Bedöm väsentligheten av de konsekvenser som uppstår om risken inträffar. Konsekvenserna av att en risk inträffar kan vara verksamhetsmässiga, ekonomiska, juridiska, förtroendemässiga, miljömässiga, kulturella etc. Konsekvenserna kan drabba individer, tjänstemän, politiker eller brukare. Bedöm för varje risk om konsekvensen är 1. Försumbar konsekvensen är obetydlig för de olika intressenterna och kommunen 2. Lindrig - konsekvensen uppfattas som liten av såväl intressenter som kommun 3. Kännbar - konsekvensen uppfattas som besvärande för intressenter och kommun 4. Allvarlig - konsekvensen är så stor att fel helt enkelt inte får inträffa b. Sannolikhet I nästa kolumn bedöms sannolikheten för hur troligt det är att en risk inträffar. Vid bedömningen ska såväl interna som externa risker beaktas. Exempel på interna: verksamhetsrisk, redovisningsrisk, IT-baserad risk. Exempel på externa: omvärldsrisker, finansiella risker, legala risker, IT-baserade risker. Bedöm för varje risk om sannolikheten är 1. Osannolik - risken är praktiskt taget obefintlig att fel ska uppstå 2. Mindre sannolik - risken är mycket liten att fel ska uppstå 3. Möjlig - det finns risk för att fel ska uppstå 4. Sannolik - det är mycket troligt att fel ska uppstå 6
VoR-Matris VÄSENTLIGHET (KONSEKVENS) 4 - Allvarlig 4 8 12 16 3 - Kännbar 3 6 9 12 2 - Lindrig 2 4 6 8 1 - Försumbar 1 2 3 4 1 - Osannolik 2 - Mindre 3 - Möjlig 4 - Sannolik RISK Sannolik (SANNOLIKHET) De olika komponenterna multipliceras med varandra, ex lindrig konsekvens (2) multiplicerat med möjlig sannolikhet (3) ger siffran 6. c. Bedömning Multiplicera värdena för konsekvens och sannolikhet och för in det i kolumnen. Det värde som erhålls får en viss färg i enlighet med matrisen ovan. Detta innebär att resultatet värderas enligt följande: 1-3 Vi accepterar riskerna. Inget agerande krävs. 4-8 Processen/rutinen bör hållas under uppsikt. På lång sikt bör åtgärder vidtas för att minska sannolikheten och konsekvenserna av att en händelse inträffar. Eventuellet delar vi riskerna med annan part (ex. försäkringslösning). 9-12 Riskerna ska minimeras. Händelser och aktiviteter som ger upphov till risken identifieras och bör tas med i kommande intern kontrollplan. Eventuellt behövs nya regelverk för att reducera riskerna och/eller utbildning av personal. 16 Direkt åtgärd krävs i syfte att minimera riskerna. d. Motivering Motivera därefter bedömningarna av både konsekvens och sannolikhet i respektive kolumn. Denna motivering är mycket viktig eftersom den beskriver och förklarar tankegångarna till riskanalysen och på detta sätt dokumenteras således riskanalysen. e. Riskreducerande åtgärder Lista i kolumn Befintliga riskreducerande åtgärder vad som görs idag för att minska eller minimera risken, både för att mildra negativa konsekvenser och för att minska sannolikheten för att något ska inträffa. I denna kolumn listas därför befintliga riskreducerande åtgärder. 7
f. Sammanvägd riskbedömning Ett sista bedömning av risken görs med hänsyn till de befintliga riskreducerande åtgärderna. Ska risken i som räknades fram med hjälp av matrisen ovan omvärderas om hänsyn tas till de riskreducerande åtgärderna? I vissa fall är det vi gör idag så bra att även om en process får höga risktal, så kan det värderas lägre i detta steg. Eller tvärtom det är kanske inte speciellt sannolikt att ett värstascenario inträffar som till exempel att vallarna kring Kristianstad brister, men det får absolut inte inträffa och därför bör kanske risken omvärderas. Låg risk grönmarkera Medelrisk gulmarkera Hög risk orangemarkera Mycket hög risk rödmarkera Detta blir processens slutliga riskbedömning. g. Förslag på ytterligare riskreducerande åtgärder Skriv ned förslag på ytterligare riskreducerande åtgärder, alltså åtgärder för att minska risken ytterligare framöver. 6. Kontrollaktiviteter och intern kontrollplan Med kontrollaktiviteter avses de konkreta åtgärder som vidtas för att motverka, minimera eller i vissa fall eliminera risker. Dessa sammanställs i den sammanvägda riskbedömningen. Det finns många olika sätt att gruppera kontrollaktiviteterna. De kan vara förebyggande åtgärder, exempelvis informationsinsatser, utbildningar och kompetensutveckling. De kan vara mer konkreta och inrikta sig mot en speciell rutin och säkerställa att system fungerar tillfredsställande. Den interna kontrollplanen ska svara på frågorna Vad ska kontrolleras? När ska kontrollen genomföras? Hur ska kontrollen genomföras? Vem ska utföra kontrollen och hur ska rapporteringen göras? 8
Den interna kontrollplanen bör därför innehålla följande: Process/rutin/system Kortfattad beskrivning av det som ska kontrolleras Riskbedömning Sammanvägd riskbedömning utifrån risk- och väsentlighetsanalysen. Risk- och väsentlighetsanalysen bifogas kontrollplanen. Reglemente, policy eller motsvarande Styrdokument att förhålla sig till. Kontrollaktivitet Vad kontrollaktiviteten syftar till att säkerställa. Kontrollansvarig Vem som ska utföra själva kontrollen. Frekvens Med vilka intervall granskningen ska utföras. Metod Hur själva kontrollen ska genomföras, t ex stickprov, enligt rutin, enkät, i samband med upprättande av verksamhetsplan och budget osv. Rapportering Till vem och när uppföljning ska rapporteras. 7. Uppföljning av intern kontrollplanen I en uppföljningsrapport sammanfattas resultatet av granskningen. Den bör innehålla följande: Beskrivning enligt kontrollplanen Hur granskningen har gjorts Slutsatser av granskningen Åtgärder som ska vidtas (eller har vidtagits) Status (ska området fortsatt bevakas i nästa års arbete med intern kontroll?) 8. Självdeklaration I en självdeklaration värderar nämnder och bolag sitt arbete med den interna kontrollen under året enligt särskild blankett. 9
9. Årsplan 2015 På grund av att det är en ny mandatperiod kommer inte nämnderna att fastställa sina styrkort förrän i början av 2015. Om den interna kontrollen ska omfatta även styrkorten bör därför fastställande av kontrollplan ske först efter fastställande av styrkorten. Intern kontrollplan 2015 ska fastställas senast den 30 april 2015. Återrapportering och självdeklaration lämnas till kommunledningskontoret senast den 30 november 2015. 10
11
12