Granskningspromemoria 2010

STADSREVISIONEN www.stockholm.se/revision Nr 10 Februari 2011 DNR 370-13/2011 Granskningspromemoria 2010 STOCKHOLMS HAMN AB

Den kommunala revisionen är fullmäktiges kontrollinstrument för att granska den verksamhet som bedrivs i nämnder och bolagsstyrelser. Stadsrevisionen i Stockholm granskar nämnders och styrelsers ansvarstagande för att genomföra verksamheten enligt fullmäktiges uppdrag. Stadsrevisionen omfattar både de förtroendevalda revisorerna och revisionskontoret. I årsrapporter för nämnder och granskningspromemorior för styrelser sammanfattar Stadsrevisionen det gångna årets synpunkter på verksamheten. Särskilda granskningar som sker under året publiceras löpande som revisionsrapporter och i vissa fall som promemorior. Publikationerna finns på Stadsrevisionens hemsida. De kan också beställas från revisionskontoret. STADSREVISIONEN Revisionskontoret www.stockholm.se/revision Besöksadress: Hantverkargatan 3 A, 1 tr Postadress: 105 35 Stockholm Telefon: 08-508 29 000 Fax: 08-508 29 399

STADSREVISIONEN INNEHÅLL Sid 1 Redogörelse för granskningens planering och genomförande... 1 2 Redogörelse för granskningsresultatet... 1 2.1 Förtroendekänsliga områden... 1 2.1.2 Tillämpning av offentlighetsprincipen... 3 2.1.3 Informationssäkerhet... 4 2.2 Basgranskning... 5 2.2.1 Bolagets arbete med internkontroll... 5 2.2.2 Bolagets ekonomiska prognoser... 6 2.2.3 Uppföljning av ägarnas direktiv och uppdrag... 8

STADSREVISIONEN 1(8) 1 Redogörelse för granskningens planering och genomförande Årets granskningsinsats har planerats tillsammans med samtliga lekmannarevisorer vid ett planeringsmöte den 18 maj 2010. Vid planeringsmöte den 1 juni 2010 avseende Stockholms Hamn informerade lekmannarevisorn om det granskningsuppdrag han givit revisionskontoret. Den auktoriserade revisorn presenterade sin Granskningsplanerings-PM. I övrigt har informationsutbyte skett mellan samtliga involverade i revisions- och granskningsarbetet. Resultatet av granskningen av intern kontroll och delårsbokslutet per 2010-08-31 rapporterades vid ett gemensamt avstämningsmöte den 13 oktober 2010, där representanter från bolagets ledningsgrupp deltog. Även representanter från moderbolaget Stockholms Stadshus AB deltog vid mötet. Under granskningsåret har revisionskontoret sammanträffat med representanter från bolaget i samband med information och avstämning av genomförda granskningar. Slutrevisionsmöte äger rum den 17 februari 2011. Granskningspromemorian har faktakontrollerats av bolaget. 2 Redogörelse för granskningsresultatet 2.1 Förtroendekänsliga områden Revisionskontoret har genomfört en granskning av delar av det förtroendekänsliga området inom koncernen. De delar som har varit föremål för granskningen är följande: representation, resor, mutor och bisysslor. Syftet med granskningen var att kontrollera de styrande dokument som bolaget ska ha upprättat inom det förtroendekänsliga området och konstatera om förutsättningar fanns för en tillräcklig kontroll. En verifierande granskning (stickprov) har skett för att utreda om bolagsledningen och övriga anställda följer gällande regler för representation (intern och extern) och resor. Vad gäller mutor och bisysslor har en genomgång skett av bolagets riktlinjer med en representant för bolagsledningen, varvid frågor har besvarats och diskuterats samtidigt som svaren har utvärderats. En sammanfattning av granskningens resultat redovisas nedan. 2.1.1.1 Representation mm Bolaget har antagit ett regelverk för representation och gåvor. Regelverket överensstämmer med stadens regelverk inom området. Riktlinjerna finns tillgängliga för samtliga anställda på bolagets intranät.

STADSREVISIONEN 2(8) Vid stickprovsgranskning av verifikationer bokförda på representationskontona för årets sju första månader har konstaterats att riktlinjerna inte till alla delar följs. Vanligtvis begärs ersättning för gjorda utlägg för representation mm i efterhand genom bolagets reseräkningsrutin varefter utbetalningen görs över lönesystemet. På samtliga granskade utlägg som har hanterats över reseräkningsrutinen finns notering om syfte och deltagare. Det är även vanligt att bolaget faktureras, främst när mat beställs från cateringfirmor men det förekommer även att restaurangbesök faktureras. Revisionskontoret kan i sin granskning konstatera att det saknas notering om syfte och deltagare på ett stort antal fakturor. Den interna kontrollen inom representationsområdet bedöms inte vara helt tillräcklig. Bolagsledningen informerades om identifierade brister i anslutning till granskningen och åtgärder ska enligt uppgift ha vidtagits. Revisionskontoret har ännu inte kontrollerat om så har skett. 2.1.1.2 Resor Bolaget har antagit styrdokumentet Riktlinjer och rutiner för resor i tjänsten Dokumentet är tillgängligt på bolagets intranät. Revisionskontoret har granskat ett antal resefakturor och reseräkningar. Granskningen visar att för samtliga resefakturor framgår vem som har rest samt syftet med resan. Upprättade reseräkningar är komplett ifyllda, samtliga utlägg är styrkta med kvitton och reseräkningarna är attesterade enligt gällande delegationsordning. Enligt bolagets riktlinjer ska tjänsteresor godkännas i förväg av närmaste chef. En reseanmälan ska fyllas i. Vid revisionskontorets granskning kunde det noteras att det inte alltid fanns någon reseanmälan fogad till reseräkningen. Den interna kontrollen inom området resor bedöms vara tillräcklig. 2.1.1.3 Mutor I ovan nämnda riktlinjer för representation mm redovisas även vad som gäller om mutor mm för bolagets anställda. Vid intervju med en representant från bolagsledningen framgick att frågor om mutor, gåvor är regelverket känt bland de anställda. Inom ramen för bolagets internkontrollarbete har det under 2010 bland annat genomförts kontroller av beställnings- och leveransmottagningsrutinerna. Bolaget bedöms ha förutsättningar för en tillräcklig kontroll inom delområdet. 2.1.1.4 Bisysslor Bolaget har regler för hur bisysslor ska hanteras. Reglerna finns på bolagets intranät. Anmälan av bisyssla ska göras på särskild blankett. VD beslutar om respektive medarbetares eventuella bisyssla. Under våren 2010 fick samtliga anställda fylla i en blankett på nytt.

STADSREVISIONEN 3(8) Revisionskontoret bedömer att kontrollen av de anställdas bisysslor i stort är tillräcklig. För att stärka den interna kontrollen ytterligare rekommenderas bolaget att med jämna mellanrum göra en avstämning mot Bolagsverkets register. Revisionskontorets sammanfattande bedömning Revisionskontorets samlade bedömning är att den interna kontrollen i stort är tillräcklig inom de delar av det förtroendekänsliga området som varit föremål för granskning. Den interna kontrollen kan stärkas inom områdena representation och bisysslor. 2.1.2 Tillämpning av offentlighetsprincipen Offentlighetsprincipen är viktig för rättssäkerhet, effektivitet och demokrati. För att garantera insyn i myndigheternas arbete har principen om handlingsoffentlighet skrivits in i en av grundlagarna, tryckfrihetsförordningen. Revisionskontoret har granskat bolagets tillämpning av offentlighetsprincipen vad gäller handlingsoffentlighet. Syftet med granskningen är att bedöma om bolaget hanterar allmänna handlingar enligt lagar, regler och riktlinjer för att leva upp till offentlighetsprincipen. 2.1.2.1 Regler och riktlinjer Bolaget har antagit ett antal styrande och stödjande dokument som till exempel arkivbeskrivning, arkivförteckning, rutiner för registrering och utlämnande av handlingar samt dokumenterade postöppningsrutiner. Även dotterbolagen omfattas av styrdokumenten. Bolagets styrdokument täcker in de områden som är väsentliga för registrering, sekretess samt utlämnande av handling. Bedömning och kommentarer Revisionskontoret bedömer att bolaget har tydliga regler och riktlinjer för hantering av allmänna handlingar 2.1.2.2 Personalens förutsättningar att hantera allmänna handlingar Information lämnas på personalmöten. Gällande regelverk och handläggningsrutiner finns i bolagets administrativa handbok som finns tillgängligt på bolagets intranät. Nyanställda får information om vilka offentlighetsregler bolaget omfattas av.

STADSREVISIONEN 4(8) Bedömning och kommentarer Revisionskontoret bedömer att personalen har getts förutsättningar att förstå och kunna tillämpa offentlighetsprincipen. 2.1.2.3 Efterlevnad av lagar och riktlinjer Registratorn öppnar all post och tillser att handlingarna blir diarieförda. Handläggarna ansvarar för att de ärenden som inkommer via e-post lämnas till registrator för diarieföring. Handläggarna ansvarar även för att utgående handlingar lämnas till registraturet. Stickprovsgranskning har genomförts, varvid slumpmässigt diarieförda ärenden har kontrollerats. Granskningen koncentrerades till att bedöma om handläggningen av remisser samt frågor från allmänhet och företag har hanterats på ett korrekt och skyndsamt sätt. I urvalet fanns även frågor ställda via e-post. Granskningen visade att samtliga ärenden var kompletta i såväl diariehanteringssystemet som i den fysiska akten. I samtliga fall har frågorna besvarats inom en vecka, ibland på samma dag. Remisserna hade besvarats inom utsatt tid. Revisionskontorets sammanfattande bedömning Revisionskontoret bedömer att bolaget har ändamålsenliga regler och riktlinjer för hantering av allmänna handlingar. De allmänna handlingar som inkommer och upprättas av bolaget hanteras på ett tillfredsställande sätt. 2.1.3 Informationssäkerhet Revisionskontorets informationssäkerhetsgranskning har avgränsats till bolagets behörighetskontrollsystem. I granskningen har ingått att granska bolagets rutiner för tilldelning och borttag av IT-behörigheter. Det har även genomförts kontroll av att tilldelade behörigheter har skett i enlighet med kommunfullmäktiges informationssäkerhetsregler. Det har också kontrollerats att de användare som har åtkomst till bolagets verksamhetssystem är anställda vid bolaget. Bolaget har inte antagit kommunfullmäktiges policy och riktlinjer för informationssäkerhet i Stockholms stad. De styrdokument som bolaget har antagit inom området är IT-säkerhetsinstruktion för Stockholms Hamnar samt Anvisningar och råd för IT-användningen. Bolagets IT-säkerhetsinstruktion är från 1999 och

STADSREVISIONEN 5(8) följer därmed inte till alla delar stadens gällande regelverk. Instruktionen är dessutom till viss del inaktuell. Bolagets rutiner för tilldelning och borttag av behörigheter till IT-systemen följer i allt väsentligt stadens policy och riktlinjer för informationssäkerhet. Bolaget har en digitaliserad behörighetsadministration där den avdelnings- eller enhetschef som är systemansvarig för respektive verksamhetssystem registrerar användarens behörighet. Bolagets IT-enhet gör därefter de installationer på datorena som krävs för att användarens ska få åtkomst till det verksamhetssystem behörigheten gäller. Den som har beslutat om tilldelning av behörighet har också ansvar för att behörigheten avregistreras alternativt parkeras om användaren får andra arbetsuppgifter eller slutar. Revisionskontoret har granskat tilldelade behörigheter till bolagets tre centrala verksamhetssystem; Port-IT, Landlord och Agresso. Granskningen visar att samtliga användare med åtkomst till de tre verksamhetssystemen har fått sina behörigheter tilldelade enligt gällande regelverk. Granskningen visar också att samtliga användare är anställda vid bolaget. Revisionskontorets sammanfattande bedömning Revisionskontorets bedömning är att den interna kontrollen i behörighetsadministrationen är tillräcklig. Bolaget bör anta stadens policy och riktlinjer för informationssäkerhet och anpassa dessa efter verksamhetens egna krav och behov. 2.2 Basgranskning 2.2.1 Bolagets arbete med internkontroll Bolagets kvalitetsledningssystem och miljöledningssystem är certifierat enligt ISO 9001:2008 respektive ISO 14001:2004. Externa kvalitetsrevisorer genomför revisioner av de båda systemens tillämpning två gånger per år. Därtill genomför bolagets internrevisorer årliga granskningar utifrån en fastställd revisionsplan. beställnings- och leveransmottagningsrutiner. Vi granskningen har det bland annat kontrollerats att det till varje faktura går att härleda en skriftlig beställning, att beloppet på fakturan stämmer överens med avtalat pris, att attest skett

STADSREVISIONEN 6(8) enligt delegationsordningen samt att det finns underlag som styrker att leverans har skett. Totalt har 65 fakturor kontrollerats. Enligt bolagets rutiner ska utförda arbeten, med avseenden på tid och omfattning, noteras i en dagbok. Leverantörsfakturorna ska sedan stämmas av mot dagboksnoteringarna. Internrevisorerna har kontrollerat att dagböckerna används enligt fastställda rutiner. Även delar av hyresrutinen har granskats, kontroll har gjorts av att hyresrabatter ges enligt gällande regelverk. Granskningsiakttagelserna har dokumenterats och förslag på åtgärder har föreslagits. Resultatet från genomförda granskningar har redovisats för bolagets ledningsgrupp. Styrelsen kommer att få en redovisning av granskningsresultatet under mars 2011. Bedömning och kommentarer Enligt revisionskontoret arbetar bolaget aktivt med att kontrollera och förstärka den interna kontrollen i sina processer. De områden bolaget har valt att granska är enligt revisionskontorets bedömning väsentliga. Bolagets arbete med att kontrollera sina processer kan utvecklas och bli mer systematiskt. De granskningsinsatser bolaget väljer att genomföra bör baseras på en risk- och väsentlighetsanalys. En sådan analys har inte upprättats. Enligt bolaget finns i dag en i det närmaste färdig modell för riskidentifiering och konsekvensanalys. Modellen ska enligt plan implementeras under 2011. 2.2.2 Bolagets ekonomiska prognoser Revisionskontoret har granskat tertialrapporter och bokslut med inriktning på bolagets prognoser och resultat efter finansnetto. Av nedanstående tabeller framgår bland annat kommunfullmäktiges och koncernstyrelsens krav på resultat enligt budget 2010 och bolagets prognoser över resultat och investeringar. Resultat efter finansnetto 2010 (mnkr) Kf:s budget Bolagets Prognos Prognos Bokslut S-hus budget budget T1 T2 47 47 50 55 71,5 Bolagets resultat uppgår till 71,5 mnkr vilket är 24,5 mnkr bättre än budget. Den främsta orsaken till den positiva resultatavvikelsen förklaras av ökade intäkter. Både gods- och passagerartrafiken visar en positiv budgetavvikelse, även för

STADSREVISIONEN 7(8) hyresintäkterna från bolagets fastigheter redovisas en positiv avvikelse. Kostnaderna har dock blivit högre än budget. Avvikelsen utgörs främst av ökade kostnader för snöröjning och el. Bolaget har i årets två tertialrapporter skrivit upp sina resultatprognoser. Den positiva resultatutvecklingen blev bättre än förväntat under årets sista månader. Jämfört med prognosen i tertialrapport 2 blev årets resultat 16 5 mnkr bättre. Prognosavvikelsen på kostnadssidan uppgår till ca två procent. Avvikelsen förklaras främst av att bolaget efter tertialrapport 2 har reserverat medel för en pågående försäkringstvist. Därtill togs inte de medel som bolaget avsatt för förtida pensionsavgångar i anspråk. Intäktsprognosen i tertialrapport 2 avviker marginellt mot utfallet i bokslutet, avvikelsen är lägre än en procent. Revisionskontorets bedömning och kommentarer Revisionskontoret kan konstatera att bolaget har överträffat kommunfullmäktiges resultatkrav. Tillförlitligheten i lämnade kostnads- och intäktsprognoser har varit god. Investeringar (mnkr) Bolagets Prognos Prognos Bokslut budget T1 T2 597 514 444 330 Investeringarna uppgick till 330 mnkr, vilket är 267 mnkr lägre än budget. Avvikelsen förklaras främst av att miljöprövningsprocesserna för de två stora projekten Värtapiren och Norvik har dragit ut på tiden. Avvikelsen mellan prognosen i tertialrapport 2 och bokslutet uppgår till 114 mnkr. Avvikelsen förklaras till del av att planerad hyresgästanpassning inte genomfördes då den tilltänkte hyresgästen valde annan lokalisering. I övrigt förklaras avvikelserna av tidsförskjutningar i ett antal investeringsprojekt. Revisionskontorets bedömning och kommentarer Till avvikelsen mot budget finns nöjaktiga förklaringar. Avvikelsen mellan slutligt utfall och lämnad prognos i tertialrapport 2 är enligt revisionskontoret väl stor. Tidsförskjutningarna i investeringsprojekten borde ha varit kända prognostillfället. Bolaget rekommenderas att se över sina uppföljnings- och prognosmetoder så att säkrare prognoser för investeringsverksamheten kan lämnas i framtiden.

STADSREVISIONEN 8(8) 2.2.3 Uppföljning av ägarnas direktiv och uppdrag Revisionskontoret har översiktligt följt upp hur bolaget arbetat med kommunfullmäktiges mål och ägardirektiv för perioden 2010-2012. Bolaget ska bland annat Fullfölja arbetet enligt den nya hamnstrategin för Värtan/Frihamnen samt utvecklingsprojekten i Nynäshamn och Kapellskär. Fortsätta utvecklingen och upprustningen av stadens innerstadskajer. Fullfölja konkurrensutsättningen av stuveriverksamheten under 2010. Under miljöhuvudstadsåret 2010 vara öppna för informationsspridning av goda exempel från den egna verksamheten Teckna nytt/nya avtal med staden, genom exploateringsnämnden, avseende hamnverksamhet som gäller från och med 2011-01-01 och innebär att stadens nettointäkter ökar med minst 10,0 Mkr jämfört med 2009. Att följa upp de kommungemensamma indikatorer kommunfullmäktige har antagit Arbete pågår med att genomföra ägarens direktiv. Flera direktiv är genomförda. Förprojekteringsarbetet för Värtan/Frihamnen och Norvik pågår och upprustningen av innerstadskajerna fortgår enligt plan. Stuveriverksamheten avyttrades i början av 2010. Vidare har bolaget på olika sätt lämnat information om sitt miljöarbete. Därtill har avtal tecknats med staden i enlighet med ägardirektivets intensioner. Revisionskontorets bedömning och kommentarer Bolaget har under året arbetat aktivt med att genomföra ägarens direktiv. I tertialrapport 2 har bolaget redovisat de indikatorer som har följts upp under året. Bolaget avser att rapportera utfallet för samtliga indikatorer i bokslutet. Lars-Erik Örsing Biträdande stadsrevisor Mats Bergqvist Certifierad kommunal revisor