Revisionsrapport Självdeklaration Intern Kontroll

Revisionsrapport Självdeklaration Intern Kontroll Mattias Johansson Philip Maazon Emelie Lönnblad Mattias Haraldsson Mats Malmberg Kristianstads kommun Januari 2013

Innehållsförteckning 1 Inledning 1 1.1 Bakgrund 1 1.2 Uppdrag och revisionsfråga 1 1.3 Avgränsning, metod och genomförande 1 2 Sammanfattande iakttagelser 3 2.1 Övergripande iakttagelser 3 2.2 Granskningsresultat 4 2.3 Kontrollmiljö 5 2.3.1 Verksamhetsövergripande 5 2.3.2 Inköpsprocessen 5 2.3.3 Rekommendationer: 5 2.4 Riskbedömning 5 2.4.1 Verksamhetsövergripande 6 2.4.2 Inköpsprocessen 6 2.4.3 Rekommendationer: 6 2.5 Kontrollaktiviteter 6 2.5.1 Verksamhetsövergripande 6 2.5.2 Inköpsprocessen 7 2.5.3 Rekommendationer: 7 2.6 Information och kommunikation 7 2.6.1 Verksamhetsövergripande 7 2.6.2 Inköpsprocessen 8 2.6.3 Rekommendation 8 2.7 Uppföljning och övervakning 8 2.7.1 Verksamhetsövergripande 8 2.7.2 Inköpsprocessen 8 2.7.3 Rekommendationer: 9 2

1 Inledning 1.1 Bakgrund Bedrägerier och oegentligheter dyker upp med jämna mellanrum. De händelser som figurerat i media har bland annat medfört att uppmärksamheten riktats mot kommunernas förebyggande arbete i syfte att begränsa riskerna för att oegentligheter ska uppstå, med påföljd att förtroendet för kommunerna skadas. 1.2 Uppdrag och revisionsfråga Med start våren 2012 har PwC på uppdrag av de förtroendevalda revisorerna i Kristianstads kommun, utfört en granskning som avhandlar om Kristianstads kommuns berörda nämnder/styrelser säkerställt en god intern kontroll för att upptäcka och förhindra oegentligheter? Övergripande revisionsfråga är om berörd nämnd/styrelse har säkerställt en god intern kontroll för att upptäcka och förhindra oegentligheter? 1.3 Avgränsning, metod och genomförande Avgränsning Våra bedömningar bygger på en övergripande uppföljning och verifiering av påståendena i Självdeklarationen inom områdena Verksamhetsövergripande och Inköpsprocessen. Eftersom granskningen innefattar ett stort antal påståenden har det inte varit möjligt att utföra någon djupare analys av respektive påstående. Återrapporteringen är främst en avvikelserapportering och är därmed inte av beskrivande karaktär. Detta innebär att redan fungerande rutiner inte lyfts fram i samma utsträckning som områden där förbättringspotential föreligger. Vad gäller styrande dokument har verifieringen inte innefattat en djupare analys av dess ändamålsenlighet, exempelvis har kvaliteten i styrelsens/nämndens mål, strategier och verksamhetsplaner inte analyserats. Vid verifieringen och utvärderingen har det framkommit ett antal områden där den interna kontrollen kan förbättras inom både området Verksamhetsövergripande samt Inköpsprocessen. Detaljerade iakttagelser inom respektive område/process framgår i avsnitt 2 nedan. Metod och genomförande Vårt arbete har baserats på ett det formulär (Självdeklaration) som sammansatts av specialister från PwC, på uppdrag av de förtroendevalda revisorerna i Kristianstads kommun. 1

Självdeklarationen har upprättats som ett led i att stärka uppföljningen och därmed möjligheten att utveckla kvaliteten i riskhantering och intern kontroll inom Kristianstads kommun. Självdeklarationen är baserad på COSO-modellen, vilket är det internationellt mest erkända ramverket för intern kontroll. COSO-modellen bygger på ett strukturerat sätt att arbeta med intern kontroll omfattande ett antal komponenter. Komponenterna är kontrollmiljö, riskbedömning, kontrollaktiviteter, information och kommunikation samt uppföljning och övervakning. En kortfattad beskrivning av COSO-komponenterna återfinns i de sammanfattande iakttagelserna nedan. Bolagen/förvaltningarna har erhållit formuläret (Självdeklaration) varpå de uppmanats att genomföra en självutvärdering av sin interna kontroll. Totalt har 11 bolag/förvaltningar genomfört en självutvärdering. Varje bolag/förvaltning har fyllt i formuläret med svar om de anser sig uppfylla de olika påståendena samt angett en referens till den dokumentation som de ansett styrker bedömningen. För att exemplifiera vilken typ av dokumentation som efterfrågas har exempel på bevis/kriterier lagts till i Självdeklarationen. Under hösten 2012 har PwC genomfört en uppföljning och verifiering av bolagens/förvaltningarnas självutvärderingar inom områdena Verksamhetsövergripande och Inköpsprocessen. Detta är utfört för 8 av de 11 bolagen/förvaltningarna. Urvalet har gjorts utifrån hur stora enheterna är och vilka granskningar som gjorts tidigare av enheterna. Uppföljning och verifiering har utförts genom besök hos bolagen/förvaltningarna och har omfattat intervjuer med av dem utvalda medarbetare inom respektive verksamhet. Om tillämpligt har även relevant information insamlats och viss testning genomförts, främst inom inköpsprocessen. Intervju Påståenden har utvärderats genom intervju med ledande befattningshavare och övriga nyckelpersoner. Intervju/ dokumentation Intervju/dokumentation/ testing Påståenden har utvärderats genom intervju med ledande befattningshavare och övriga nyckelpersoner. Vidare har även tillämplig dokumentation insamlats och översiktligt utvärderats. Påståenden har utvärderats genom intervju med ansvarig befattningshavare och övriga nyckelpersoner. Vidare har testning genomförts enligt tillämplig metod med gemensamt beslutade urvalskriterier. Efter utvärderingen enligt ovan har varje kontroll bedömts som effektiv eller ej effektiv. För att ett påstående ska bedömas som effektivt måste det finnas en rutin som säkerställer att påståendet/kontrollen fungerar. Påståendet/ kontrollen måste även ha fungerat under testperioden 2012, vilket validerats genom en av de tre testmetoderna. För de kontroller där det via testning har visat sig att minst ett stickprov har en avvikelse har det aktuella påståendet bedömts som ej effektivt även om majoriteten av stickproven visat sig fungera väl. Även i de fall kontroller finns på 2

plats men där dokumentation saknas eller är bristfällig har kontrollerna bedömts som ej effektiva. För de påståenden/kontroller som implementerats under 2012 har stickprov tagits efter det datum som kontrollen implementerades. Utvärderingen har skett enligt en skala som beskriver mognadsgraden i intern kontroll. Nivån i nedanstående beskriven bedömningsskala har föreslagits av PwC för att underlätta för förbättringar och åtgärdsplaner. 2 Sammanfattande iakttagelser 2.1 Övergripande iakttagelser I samband med vår granskning har vi gjort några övergripande iakttagelser som inte ingår i uppdraget men som vi anser är viktiga att föra fram. Vi bedömer att styrelser och nämnder i större utsträckning bör ta initiativet i arbetet med intern kontroll. Detta bör ske exempelvis genom att styrelser eller nämnder klart och tydligt identifierar de största riskerna i verksamheten och hur dessa risker ska hanteras och vilka prioriteringar som ska göras i arbetet med intern kontroll. Flertalet av medarbetarna inom de granskade förvaltningarna och bolagen har även uttryckt önskemål om ökad samordning och gemensam utbildning i arbetet med intern kontroll. Vidare hade medarbetarna gärna sett att erfarenheter och goda exempel på dokumentation och arbetssätt sprids mellan bolag och förvaltningar i större utsträckning än vad som sker idag. Vi har tagit del av en mängd styrande dokument i samband med våra uppföljningar. I vissa fall är dessa av äldre datum och det är inte klarlagt om de är aktuella eller ej. Vi vill lyfta fram risken att det förekommer styrande dokument som är inaktuella eller är i behov av uppdatering. Återrapporteringen är främst en avvikelserapportering och är därmed inte av beskrivande karaktär. Detta innebär att redan fungerande områden inte lyfts fram i samma utsträckning som brister och förbättringsområden. 3

2.2 Granskningsresultat Utvärderingen av genomförd självdeklaration med efterföljande extern verifiering, visar att det finns ett behov av förbättring avseende intern kontroll inom Kristianstads kommuns bolag och förvaltningar. Som framgår nedan har områdena riskbedömning och kontrollaktiviteter betydande brister avseende verksamhetsövergripande intern kontroll. Avseende inköp föreligger de största bristerna inom områdena riskbedömning samt uppföljning och övervakning. Vid uppföljningen av självdeklarationerna i bolagen/förvaltningarna har vi dock funnit att samtliga befinner sig på nivån Informell intern kontroll eller bättre. Dvs mognadsnivån i intern kontroll ligger minst på nivån att kontroller generellt existerar och brukar fungera, men är i förekommande fall ej tillräckligt dokumenterade. Däremot innebär en informell intern kontrollnivå ett stort personberoende men också en inbyggd osäkerhet i om intern kontroll är tillräcklig och effektiv. Detta dels på grund av att kontroller och resultaten av dessa generellt sett inte är dokumenterade. Dels att det inte utförs en strukturerad övervakning av att kontroller fungerat ändamålsenligt. Vidare är inte riskerna i verksamheterna formellt kopplade till kontrollaktiviteter vilket kan medföra ineffektivitet och felaktig prioritering i arbetet med intern kontroll. Avseende självdeklarationerna har Bolagens/förvaltningarnas egna bedömningar generellt sett avvikit från vår utvärdering, genom att bolagen/förvaltningarna gett sig själva ett bättre omdöme än vad vi gjort efter genomförd verifiering. Detta beror i huvudsak på att bolagen/förvaltningarna inte beaktat kravet på dokumentationsbevis för vissa kontroller, alternativt att brister har noterats i efterlevnaden av befintliga kontroller. Under avsnitten nedan redogör vi för de mest väsentliga iakttagelserna avseende verifieringen för områdena Verksamhetsövergripande samt Inköpsprocessen. 4

2.3 Kontrollmiljö Kontrollmiljön behandlar övergripande styrande dokument såsom policies, mål och strategier. 2.3.1 Verksamhetsövergripande Vad gäller Kontrollmiljön finns det generellt sett en bra måluppfyllelse. Vad gäller avvikelser som vi observerat för vissa bolag/förvaltningar kan nämnas följande: - Avsaknad av etablerade formella rutiner för att rapportera brister i den interna kontrollen. En formell rapportering av brister gör dessa kända och möjliggör en kontinuerlig förbättring av kontrollmiljön. - Flertalet förvaltningar/bolag saknar en analys och matris för segregering av oförenliga arbetsuppgifter. Ur ett intern kontrollperspektiv avseende risken för oegentligheter är det av vikt att det säkerställs att oförenliga arbetsuppgifter analyseras och segregeras. En analys och matris av oförenliga arbetsuppgifter behandlar vilka känsliga moment som finns i verksamheten, samt vilka moment som i kombination med andra blir känsliga, och hur de ska fördelas på olika personer för att minska de förknippade riskerna. Under våra uppföljningar har man kunnat visa på vissa exempel på att man beaktat segregering i t ex IT-system. - Avsaknad av etablerade rutiner som säkerställer att kontroller utförs enligt plan. 2.3.2 Inköpsprocessen Generellt sett, en relativt god måluppfyllelse. Vi har dock noterat att det synes finnas en informell kontrollmiljö till följd av att det ofta saknas dokumentation av rutiner och kontroller, vilket minskar tillförlitligheten i intern kontroll. 2.3.3 Rekommendationer: Vi rekommenderar att det etableras formella rutiner som säkerställer att kontroller utförs enligt plan samt rutiner för rapportering av brister i intern kontroll. Vi rekommenderar också att analys utförs av oförenliga arbetsuppgifter inklusive segregering och dokumentation. Vidare, att dokumentation görs av väsentliga rutiner och kontroller i större utsträckning. 2.4 Riskbedömning Riskanalys och bedömning är väsentlig för att förvaltningen/bolaget ska kunna etablera kontrollaktiviteter som förhindrar eller minskar de väsentliga riskerna. Risker som kan tas upp här kan bland annat vara risker för mutbrott och andra oegentligheter. 5

2.4.1 Verksamhetsövergripande Vi kan konstatera att det föreligger en stor förbättringspotential vad avser riskbedömning. Det görs generellt sett ej tillräckliga riskanalyser och bedömningar för att säkerställa en effektiv intern kontroll. I vissa fall har vi observerat riskanalyser med ett begränsat antal risker i de årliga intern kontrollplanerna. Detta medför att en risk är inkluderad ett år, medan andra år så sätts fokus på andra risker i intern kontrollplanerna. Härigenom saknas det heltäckande riskanalys som täcker in de signifikanta riskerna och mer kompletta riskbedömningar. Således blir det svårt för nämnden/styrelsen att strukturerat kunna bedöma vilka de signifikanta riskerna är som intern kontroll bör adresseras på. Vi har i flertalet fall inte kunnat verifiera att nämnden eller styrelsen fastställt en process för riskhantering och riskanalys. 2.4.2 Inköpsprocessen I samtliga verksamheter görs ingen dokumenterad riskanalys för inköpsprocessen. Därmed blir det i praktiken svårt för respektive nämnd/bolag att formellt säkerställa, att erforderliga kontrollaktiviteter finns etablerade för att förhindra att risker inträffar. 2.4.3 Rekommendationer: Riskanalys och bedömning är väsentlig för att nämnden/styrelsen ska kunna etablera kontrollaktiviteter som förhindrar eller minskar de väsentliga riskerna. Vi rekommenderar därför att processer för riskanalys implementeras och att formella riskanalyser etableras. Detta innefattar även risker för oegentligheter. Vidare rekommenderar vi en mer aktiv involvering i processen för riskanalys och -bedömning från styrelse/nämnd. 2.5 Kontrollaktiviteter Kontrollaktiviteter beskriver de faktiska kontrollerna som utförs för att förhindra, eller minska sannolikheten att, riskerna i riskanalysen och bedömningen inträffar. Kontrollaktiviteter kan vara preventiva, dvs att fel eller oegentligheter upptäcks omgående, eller detektiva, att de upptäcks i efterhand. 2.5.1 Verksamhetsövergripande Vi har noterat en stor förbättringspotential vad gäller Kontrollaktiviteter. Förbättringsmöjligheterna ligger till stor del i: - Att kontroller ofta är informella, dvs ej dokumenterade eller finns dokumenterade till viss del. 6

- Att det ej finns någon koppling till en riskanalys och en riskbedömning i verksamheten. Ofta beror detta på att det inte finns en riskanalys och bedömning varför kopplingen därmed blir svår att göra. - Att brister i intern kontroll i många fall avrapporteras årligen till styrelse/nämnd, och ej på en mer regelbunden basis. - Eftersom kontrollerna har bristfällig dokumentation är det svårt att övervaka att kontroller har utförts enligt plan och därmed bedöma om de fungerar. - I de fall det finns kontroller dokumenterade saknas ofta bevis för utförande, vem som är ansvarig och hur avvikelser ska hanteras. 2.5.2 Inköpsprocessen Vi har noterat brister inom inköpsprocessen. Främst i form av avsaknad av dokumentation samt formella rutiner och kontroller. 2.5.3 Rekommendationer: Vi rekommenderar att kontroller dokumenteras och kopplas till de risker som bedöms vara väsentliga i den formella riskanalysen. Vidare att kontrollerna innehåller områden såsom, - Varför? Vad är syftet med kontrollen och vilket riskområde ska täckas med kontrollåtgärden. - Vad? Kortfattad beskrivning av vad kontrollen ska utföra. - Hur? Vilka rapporter/system/moment som används vid kontrollen samt vilka underlag som ska fungera som bevis för genomförd kontroll. - Vem? Vilken avdelning/funktion/roll eller vilket system som utför kontrollen. - När? Frekvens och tidpunkt för kontrollen. Vi rekommenderar också att regelbunden avrapportering sker av brister och ändamålsenlighet i intern kontroll till styrelse/nämnd, t ex kvartalsvis. 2.6 Information och kommunikation Information och kommunikation behandlar kanaler för informationsgivning som berör förvaltningen/bolaget. 2.6.1 Verksamhetsövergripande Det finns goda informations- och kommunikationskanaler etablerade inom Kristianstads kommun. Däremot har vi i samtliga fall observerat att det, för den enskilde medarbetaren, ej finns tydligt definierade kanaler för att kommunicera misstankar om oegentligheter, annat än genom en direkt kontakt med överordnad eller lokal ledning. 7

2.6.2 Inköpsprocessen Måluppfyllelse har i granskning varit god avseende information och kommunikation. 2.6.3 Rekommendation Vi rekommenderar ett övervägande om att etablera definierade kanaler för att kommunicera misstankar om oegentligheter, annat än genom direkt kontakt med överordnad eller lokal ledning. 2.7 Uppföljning och övervakning För att nämnden/styrelsen ska erhålla information om huruvida den interna kontrollen är effektiv krävs det att kontrollaktiviteterna följs upp. Dels för att verifiera att kontrollaktiviteterna följs i verksamheten och att de utförs inom utsatt tid och frekvens. Dels för att erhålla återkoppling på om strukturen i kontrollaktiviteterna behöver justeras, för att säkerställa effektivitet och ändamålsenlighet. 2.7.1 Verksamhetsövergripande Avseende uppföljning och övervakning har vi observerat i huvudsak följande avvikelser: - Avsaknad av etablerade rutiner som beskriver hur identifierade brister i intern kontroll skall hanteras med avseende på lämpliga korrigerande åtgärder samt beskrivning av hur återrapportering av genomförda åtgärder utförs. - Generellt sett finns en avsaknad av etablerade rutiner som beskriver hur förekomster av oegentligheter ska hanteras. - Vissa av bolagen/förvaltningarna har möjlighet till förbättringar i utförandet av hur aktiviteter/kontroller i internkontrollplanen genomförs och följs upp. 2.7.2 Inköpsprocessen I huvudsak har vi observerat följande brister: - Avsaknad av formell/skriftlig dokumentation om hur nämnd/styrelsen har fastställt hur kontroll av efterlevnad av gällande lagstiftning, kommunens policys samt riktlinjer skall utföras, dokumenteras samt rapporteras. - Avsaknad av dokumenterad uppföljning avseende leverantörer med avseende på kvalitet, pris, leveranssäkerhet etc. - Avsaknad av formell rutin för uppföljning av pågående/genomförda projekt på projektledarnivå av oberoende person. 8

2.7.3 Rekommendationer: Vi rekommenderar att det implementeras formella rutiner avseende hur identifierade brister i intern kontroll, inklusive förekomst av oegentligheter, skall hanteras med avseende på lämpliga korrigerande åtgärder och återrapportering av utförda åtgärder. Dessa bör innehålla förslag på åtgärd, ansvarig person och tidplan samt hur det följs upp att åtgärdsplaner utförs inom utsatt tid. Vidare att uppföljningen av kontrollaktiviteter i internkontrollplanen, i förekommande fall, förbättras. Vad gäller inköp rekommenderar vi att formell dokumentation upprättas avseende hur styrelse/nämnd fastställt hur kontroll av efterlevnad av gällande lagstiftning, policys och riktlinjer skall utföras, dokumenteras och rapporteras. Vidare att dokumenterad rutin upprättas för uppföljning av leverantörer och pågående/genomförda projekt av oberoende person. I Appendix återges avvikelsenoteringar per bolag/förvaltning. Sofie Holmkvist, Uppdragsledare Mats Malmberg, Projektledare 9