1(9) Revisionsplan för Linköpings universitet 2011. Internrevisionens (IR) förslag till revisionsplan för 2011 grundar sig på såväl universitetets riskanalys som internrevisionens egen riskbedömning. 1. Internrevisionens syfte och mål Internrevisionen (IR) vid Linköpings universitet bedrivs enligt Internrevisionsförordningen (2006:1228), internrevisionens instruktion, ESV:s riktlinjer samt internationella riktlinjer för yrkesmässig internrevision. IR:s syfte är att vara styrelsens och ledningens stöd i utvecklingen av en ändamålsenlig intern styrning och kontroll. IR ska granska och utvärdera i vad mån den interna styrningen och kontrollen på ett tillfredsställande sätt stödjer ledningens ansvar för en ändamålsenlig och effektiv verksamhet att tillämpliga lagar och förordningar efterlevs att verksamheten redovisas på ett tillförlitligt och rättvisande sätt att myndigheten hushållar väl med statens medel Internrevisionen arbetar inom hela organisationen, vilket ger en god position för att finna och sprida goda exempel och därigenom bidra till ökad enhetlighet och synergi i processer och rutiner mellan olika verksamhetsdelar. För att IR ska lyckas i sina målsättningar är en god dialog med alla delar av organisationen både i planeringsarbetet och i genomförandet av revisionsarbetet en förutsättning. Internrevisionen ska sammanfattningsvis vara en objektiv, granskande, stödjande och rådgivande funktion, vilket tillför universitetets verksamhet ett mervärde och stödjer utvecklingen av en ändamålsenlig intern styrning och kontroll. 2. Organisation och resurser Organisatoriskt är internrevisionen placerad direkt under styrelsen som en fristående enhet. Enheten består av 3,0 anställningar med 2,35 tjänst bemanning. Revisionschefen tjänstgör även detta år till 20 % vid Malmö högskola och Malmö högskola köper därutöver motsvarande 25 % revisionstjänst av LiU. En medarbetare har 20 % tjänstledighet. 3. Internrevisionens riskanalys IR gör löpande riskanalyser över året och sammanfattar en gång per år i en större riskanalys under vilken riskmiljö universitetet lever. Genomförandet av den större riskanalysen har innefattat intervjuer med ledande befattningshavare och personer på olika nivåer i organisationen, analys av omvärlden, kunskaper och erfarenheter från tidigare granskningar samt generella risker från andra motsvarande organisationer.
2(9) Målsättningen är att revisionen ska inriktas mot områden där det finns risk för väsentliga brister som kan påverka universitetets möjligheter att nå sina mål. Ur detta perspektiv definieras risk som interna och externa faktorer som påverkar vår förmåga att nå målen eller uppfylla ändamålet med verksamheten. Risk kan uppstå lika mycket utifrån faran att något fördelaktigt inte sker (förlorade möjligheter) som hotet för att något väsentligt misslyckas helt. Internrevisionens högst rankade riskområden är, i likhet med föregående år: 1. kompetensförsörjning, dvs rekrytering och kompetensutveckling 2. verksamhetsstyrning 3. informationssäkerhet 4. ekonomiska resurser 5. kvalitet Nedan redogörs för resp områdes innebörd samt några av IR:s risker inom dessa. Riskerna åskådliggörs med avseende på tyngd, dvs sannolikhet och effekt, i efterföljande figur samt IR:s bedömning av riskernas utveckling i förhållande till föregående år. 1. Kompetensförsörjning IR bedömer risken med en otillräcklig kompetensförsörjning, dvs rekrytering såväl som kompetensutveckling, som den mest kritiska faktorn i nuläget. Universitetet är i behov av konkurrenskraftiga medarbetare såväl nu som inför framtiden. Vi förmår idag inte nyrekrytera i takt med pensionsavgångarna. 1a) Risk att inte förmå rekrytera den personal som behövs vid generationsväxling. 1b) Risk att inte förmå rekrytera den personal som möjliggör strategiska satsningar. 1c) Risk att personalen inte ges möjlighet till kompetensutveckling. 2. Verksamhetsstyrning Verksamhetsstyrningen innefattar olika behov av styrning inom organisationen som styrning genom mål, organisation, arbetsmiljö och administrativa system. 2a) Risk att ansvar och befogenheter inte är tydliggjorda 2b) Risk att den ekonomiska planeringen inte fungerar fullt ut i organisationen 2c) Risk att den ekonomiska uppföljningen inte är tillräcklig 2d) Risk att regler inte efterlevs i organisationen (nytt) 3. Informationssäkerhet Vår bedömning är att risken med en ofullständig säkerhet vad gäller verksamhetens information är kritisk. Den information som universitetet hanterar inom organisationen och i sina informationssystem är av vital betydelse och utgör en stor tillgång i verksamheten. Krav finns på att informationen behandlas med olika grader av konfidentialitet, att informationen ska vara rätt och göras tillgänglig i den utsträckning som krävs för att verksamheten ska fungera. 3a) Risk att säkerheten i informationshanteringen inte är tillfredsställande 3b) Risk att informationen inte svarar mot informationsbehovet 3c) Risk att kvaliteten i de administrativa systemen inte är tillfredsställande
3(9) 4. Ekonomiska resurser Utifrån de nationella förändringar som är förestående inom resursområdet finns signaler att LiU kommer relativt väl ut ur dessa. Vårt nuvarande myndighetskapital är idag av ansenlig omfattning vilket bidrar till bilden av ett ekonomiskt välmående universitet. Bilden kan dock snabbt förändras genom förändringar i omvärlden och interna faktorer. 4a) Risk att inte förmå omsätta erhållna medel i verksamhet 4b) Risk att kontrollen över myndighetskapitalet minskar 4c) Risk att universitetets skydd emot oegentligheter inte är betryggande 5. Kvalitet Kvalitet utgör LiU:s främsta konkurrensmedel vad gäller såväl att attrahera studenter och lärare/forskare som att generera ekonomiska resurser till verksamheten. HSV presenterade i sslutet av förra året sin kvalitetsutvärdering av LiU med mycket positiva omdömen. Av denna anledning har risken tappat i betydelse i IR:s ranking. Anledningen till att den fortfarande finns med bland de fem främsta är att den administrativa verksamheten inte är kvalitetssäkrad. Kvalitetsbrister i administrationen kan påverka kvalitetsintrycket för hela LiU. Därutöver finns det risk för att LiU:s kvalitetsutvecklingsprogram inte efterlevs i organisationen. 5a) Risk att redovisningen inte är rättvisande 5b) Risk att administrationen har svårt att säkerställa kvaliteten 5c) Risk att LiU:s kvalitetssäkringssystem inte efterlevs i organisationen (nytt)
4(9) De röda rutorna i figuren visar de värden av total tyngd som IR anser har hög risk utifrån parametrarna sannolikhet och effekt, orangea rutor indikerar medelrisk, gula rutor låg risk och gråa rutor obetydlig risk. Sannolikhetsaxeln skala 1 4 motsvarar 1 osannolik, 2 mindre sannolik, 3 trolig och 4 nästan säker. Effektaxeln skala 1-4 motsvarar 1 obetydlig, 2 mindre, 3 allvarlig och 4 mycket allvarlig. Vita markeringar avser föregående års riskvärden och blå markeringar årets värden. Vi kan konstatera att flertalet riskvärden är desamma, förutom 1b) som minskat i tyngd, 1c) som ökat i tyngd samt 3a) som har minskat i tyngd. Två risker, 2d) och 5c), har tillkommit. 4. Internrevisionens värdering och prioritering av universitetets risker Jämförelsen är gjord utifrån den redovisning av universitetets risker som beslutades av styrelsen på oktobersammanträdet 2010 och internrevisionens riskanalys enl kap 3 ovan. Riskerna ligger inom LiU:s strategikartas målsättning Bygga styrka, Skapa effektivitet och Visa excellens. IR tolkar att universitetets mest väsentliga risker inryms inom de av IR definierade riskområdena enl följande 1 : kompetensförsörjning, dvs rekrytering (risk 5 och 13)och kompetensutveckling (risk 6), verksamhetsstyrning (risk 8, 10, 12, 14 och 16) informationssäkerhet (risk 9, 11 och 16) ekonomiska resurser (risk 1, 10 12, 15 och 16), och kvalitet (risk 2, 3, 4 och 15) 1 Risk nr 7: Risk för alltför splittrad utbildningsstruktur är nedprioriterad och ingår inte längre bland LiU:s femton väsentligaste risker.
5(9) Tabellen nedan visar universitetets risker i nummerordning samt värderingen av dessa. Därefter följer IR:s värdering av angivna risker. De risker som erhållit samma risktyngd, dvs totalt 16 eller 12, har därefter prioriterats sinsemellan inom resp grupp av IR, vilket visas i kolumnen IR prio. Motsvarande prioritering är inte gjord i universitetets material. Univ nr Universitetets riskbeskrivning Univ tyngd IR tyngd IR prio 1 Risk att de kriterier som används vid fördelning av 16 12 15 basresurser i ett framtida nationellt fördelningssystem missgynnar LiU. 2 Risk att LiU inte examinerar studenter med lysande 16 12 11 framtidsutsikter. 3 Risk att LiU inte kan uppnå stark grundutbildning och 16 12 12 excellent forskning samtidigt. 4 Risk att LiU inte anpassar sig till rankinglistors mätkriterier 16 16 6 och klarar konkurrensutsättning. 5 Risk att LiU inte har tillräckligt stark attraktionskraft 16 16 1 för att kunna rekrytera den kompetens som behövs för att nå LiU:s mål. 6 Risk att personal inte kan ges möjlighet till kompetensutveckling 12 12 7 i tillräcklig omfattning för att uppfylla LiU:s mål. 7 Risk för alltför splittrad utbildningsstruktur. Borttagen 8 Risk för oklart ansvar och att olika nivåer inte känner 12 16 5 till vad de andra gör alternativt gör på olika sätt utifrån olika organisationskulturer. Risk att LiU inte bygger adekvata roller i organisationen. 9 Risk för bristande funktionalitet och stabilitet i LiU:s 12 16 3 informationssystem. 10 Risk att LiU:s redovisning av resultat och ekonomisk 12 12 10 ställning inte är rättvisande. 11 Risk för otillåten åtkomst till eller förändring av data 12 16 4 i LiU:s informationssystem eller att data inte är tillgänglig för auktoriserad funktion eller medarbetare. 12 Risk att LiU inte har förmåga att lägga ned utbildningar, 16 12 14 ämnen etc trots att underlag för dem inte finns. 13 Risk att LiU genom att inte lyckas rekrytera kompetent 16 16 2 personal inte förmår bedriva den utbildnings- och forskningsverksamhet som uppdrag och medelstilldelning förutsätter. Vid stora överskott riskerar medel att dras in. 14 Risk för att LiU inte kan anpassa sig till först en kraftig 16 12 13 ökning av studentantalet och därefter en kraftig minskning av tillströmningen. 15 Risk att LiU inte lyckas med vetenskaplig publicering 16 12 9 i rätt forum, med rätt kvalitet och i rätt mängd för att nå framgång i resurstilldelning och upprätthålla varumärket 16 Risk att bristfällig inrapportering, uppföljning och analys av ekonomiskt resultat leder till att institutioner, ämnen och forskargrupper fattar dåliga beslut. 12 12 8 Den slutsats som kan dras utifrån sammanställningen ovan är att bedömningen i risktyngd är densamma när det gäller kompetensförsörjning och i stort sett densamma vad gäller verk-
6(9) samhetsstyrning. IR ger däremot informationssäkerheten en större tyngd än universitetet och lägre tyngd när det gäller ekonomiska resurser och kvalitet. 5. Granskningsområden Utifrån de gjorda riskanalyserna beslutas nedanstående revisionsområden i revisionsplanen för 2011. Aktuella områden för 2011 ligger företrädesvis inom LiU:s strategikartas målsättningar Skapa effektivitet och Bygga styrka. I efterföljande avsnitt ges en kortfattad beskrivning av de föreslagna granskningsprojekten. Granskningsprojekt Timmar ca 5.1 Kompetensutveckling 5.2 Ny redovisningsmodell (SUHF) 5.3 Informationssäkerhet 1200 5.4 Uppdragsutbildning/alternativt 5.5 5.5 Upphandling/alternativt 5.4 5.6 Skydd mot oegentligheter 90 5.7 Budget- och uppföljningsprocessen 120 5.8 Uppföljning av myndighetskapitalet 90 5.9 Institutionsgranskningar 500 5.10 Årsredovisning och delårsrapport 150 5.11 Ospecificerad granskning 140 5.12 Rådgivning 150 5.13 Riskanalys och planering 180 5.14 Uppföljning av tidigare års granskningar 100 5.15 Enhetens kompetensutveckling 260 Summa revisionsrelaterad tid 2 980 Resultatet av genomförda revisionsinsatser och händelser som inte kunnat förutses vid upprättande av revisionsplanen kan motivera ändringar av planen under löpande verksamhetsår. Större förändringar ska beslutas av styrelsen. 5.1 Kompetensutveckling En av de viktigaste förutsättningarna för att nå universitetets högt ställda mål är att kompetensförsörjningen, dvs rekrytering och kompetensutveckling av medarbetare, är framgångsrik. Uppsatta kvalitetsmål innebär att utvecklandet av befintlig personals kompetens utgör en viktig resurs. Granskningen syftar till att bedöma om anställdas kompetens tas tillvara och utvecklas. 5.2 Ny redovisningsmodell (SUHF-modellen) Ett stort utvecklingsarbete har genomförts under två års tid för att implementera den redovisningsmodell som SUHF rekommenderat sina medlemmar att tillämpa i syfte att få en tydli-
7(9) gare redovisning av de indirekta kostnader (OH-kostnader) som tillfaller forskningsprojekten. Denna transparens har efterfrågats från forskningsfinansiärernas sida för att motivera godkännande av högre OH-påslag än tidigare schablon om vanligtvis 35%. Denna förändring stannar dock inte vid forskningsprojekt utan måste genomsyra redovisningsmodellen för hela universitetets verksamhet. Den nu föreslagna granskningen syftar till att undersöka hur den interna styrningen och kontrollen har påverkats av SUHF-modellens införande. 5.3 Informationssäkerhet Att informationskvalitet och IT-teknik fungerar och har det innehåll som förväntas utgör några av de viktigaste förutsättningarna för att vår vardag ska fungera. Informationen bildar underlag till ställningstaganden och beslut på alla nivåer i organisationen. Granskningen avser att undersöka om säkerhetsarkitekturen är ändamålsenlig liksom förekomst, styrning och kontroll av outsourcad IT-verksamhet. 5.4 Uppdragsutbildning Universitet och högskolor får bedriva uppdragsutbildning enl särskild förordning. Uppdragsutbildningen får inte bedrivas på ett sådant sätt att det får en negativ inverkan på universitetets utbildning på grund- eller avancerad nivå. Vid uppdragsutbildning gäller prissättning enl avgiftsförordningen, vilket innebär att avgiften sätts av universitetet med beaktande av att full kostnadstäckning ska uppnås. Det statliga ramverket är kompletterat med interna riktlinjer. Granskningen syftar till att utröna om riktlinjerna kring uppdragsutbildning är ändamålsenliga och om de efterlevs. 5.5 Upphandling Fr o m 15 juli i år har upphandlingslagstiftningen skärpts till följd av nya regler beslutade av Europaparlamentet. Motivet är att skapa ett effektivare förfarande för prövning av offentlig upphandling där framför allt direktupphandlingar röner ett speciellt intresse.. De nya reglerna innebär bl a att ingångna avtal som upphandlats i strid med LOU kan ogiltigförklaras och en upphandlingsskadeavgift utdömas vid felaktigt förfarande. Granskningen syftar till att bedöma hur beredskap, kunskap och praktisk hantering ser ut på institutionerna/motsv för att möta ökade krav på regelefterlevnad. 5.6 Skydd emot oegentligheter Pågående projekt. I en decentraliserad verksamhet av den art som universitetet bedriver är ett integrerat system för intern styrning och kontroll särskilt väsentligt. En decentraliserad organisation, inte minst vad gäller hanteringen av betydande ekonomiska flöden, i kombination med en komplex verksamhet, kan resultera i en förhöjd risk för oegentligheter. Projektet syftar till att övergripande granska universitetets skydd mot oegentligheter genom att identifiera särskilda riskområden och ge underlag till förbättringar i rutiner som har särskild betydelse för att minska risken för oegentligheter. Planerad tidsåtgång ca 90 tim.
5.7 Budget- och uppföljningsprocessen 2010-11-29 8(9) Pågående projekt. Universitet och högskolor står inför en rad förändringar vad gäller fördelningsgrunder för tilldelning av medel för såväl grundutbildning som forskarutbildning och forskning, inklusive möjligheten att avgiftsfinansiera verksamhet. Värdet av en väl fungerande och logisk budget- och uppföljningsprocess vid omvärldsförändringar är stor. Granskningen syftar till att ta reda på om budgetoch uppföljningsprocessen är ändamålsenlig och effektiv. Planerad tidsåtgång ca 120 tim. 5.8 Uppföljning av myndighetskapitalet Pågående projekt. Styrelsen har i beslut till universitetets budget för 2010 godkänt ett ianspråktagande av myndighetskapitalet med det primära syftet att stimulera och stärka forskningen vid LiU. Granskningen avser LiU:s hantering och uppföljning av det beslutade ianspråktagandet av myndighetskapitalet. Planerad tidsåtgång ca 90 tim. 5.9 Institutionsgranskning För några år sedan genomfördes en större översyn av institutionsorganisationen, vilket resulterade i sammanslagningar av institutioner/delar av institutioner till större enheter. IR planerar att granska hur integreringen lyckats inom 1-2 av de större institutionerna. Vår granskning omfattar bedömning av de viktigaste administrativa processerna inom ekonomi-, personal- och studerandeadministration. Granskningarna kommer att genomföras med utgångspunkt från de interna boksluten per 31 december 2010 eller 30 juni år 2011 och syftar bl.a. till att verifiera om den interna styrningen och kontrollen är tillfredsställande och att bedöma om resultat- och balansräkningen är rättvisande. Granskningen skall vara processinriktad och syfta till att utifrån gjorda iakttagelser föreslå förbättringar. Planerad tidsåtgång ca 500 timmar. 5.10 Årsredovisning och delårsrapport Som ett led i IR:s granskning av universitetets interna styrning och kontroll ingår att granska om universitetet med en rimlig säkerhet lämnar en tillförlitlig redovisning och rättvisande rapportering. IR ämnar granska valda delar av årsredovisning och delårsrapport ur ett LiUperspektiv. Planerad tidsåtgång ca 150 timmar. 5.11 Ospecificerad granskning Tid har reserverats för granskningsinsatser/utredningar på framställan av styrelsen/rektor eller den rektor utser. Planerad tidsåtgång ca 140 timmar.
5.12 Rådgivning 2010-11-29 9(9) I internrevisionens uppgift ingår att ge råd och rekommendationer i olika frågor som berör den interna styrningen och kontrollen. Övriga insatser är efterfrågad rådgivning från verksamheten samt information i olika sammanhang. Planerad tidsåtgång ca 150 timmar. 5.13 Riskanalys och planering inför 2012 Arbetet med att upprätta riskanalys och planera kommande års arbete utförs delvis löpande under året och delvis genom en mer systematisk genomgång med bl. a. intervjuer i oktober/november. Riskanalysen bildar underlag till 2012 års revisionsplan som styrelsen tar ställning till i slutet av 2011. Planerad tidsåtgång ca 180 timmar. 5.14 Uppföljning av tidigare års granskningar Utifrån av styrelsen fattade beslut med anledning av internrevisionens tidigare revisionsrapporter ges en återrapportering av vilka åtgärder som har vidtagits. Dessa iakttagelser presenteras i internrevisionens verksamhetsrapport. Planerad tidsåtgång ca 100 timmar. 5.15 Enhetens kompetensutveckling Internrevisionen ska, enligt internrevisionsförordningen samt vår instruktion, omfatta all verksamhet som universitetet bedriver och ansvarar för. Kompetensutveckling är därmed en viktig och naturlig del av vårt arbete. IR eftersträvar att erhålla och behålla god kompetens inom samtliga de områden som anges som viktiga i universitetets riskanalyser och av samordningsmyndigheten ESV. För det närmaste året föreligger specifikt kompetensutvecklingsbehov inom följande områden: Certifiering enl internationell standard (Certified Internal Auditor) CISA-fortbildning (Certified Information Systems Auditor) Bedrägeri och oegentligheter Intervjuteknik Projektledning Planerad tidsåtgång ca 260 timmar. Margareta Fallsvik Revisionschef