Granskning av intern kontroll avseende tillförlitlighet i system och rutiner för hantering av leverantörsfakturor

www.pwc.se Revisionsrapport Simon Lindskog Jenny Nyholm Granskning av intern kontroll avseende tillförlitlighet i system och rutiner för hantering av leverantörsfakturor Vaxholms stad

Intern kontroll tillförlitlighet i system och rutiner för hantering av leverantörsfakturor. 2015-01-26 Richard Vahul Projektledare Susanna Collijn Uppdragsledare Vaxholms stads revisorer

Intern kontroll tillförlitlighet i system och rutiner för hantering av leverantörsfakturor. Innehållsförteckning 1. Sammanfattning... 1 2. Inledning... 3 2.1. Bakgrund... 3 2.2. Syfte, revisionsfråga och kontrollmål... 3 2.3. Revisonsmetod och avgränsning... 4 3. Iakttagelser... 5 3.1. Hantering av leverantörsfakturor inom Vaxholms kommun... 5 3.1.1. Organisation och ansvar... 5 3.1.2. Attesträtt... 5 3.1.3. Behörigheter... 6 3.1.4. Hantering av leverantörer i stadens leverantörsregister... 7 3.1.5. Rutin för utbetalning av leverantörsfakturor... 7 3.2. Förtroendekänsliga poster... 8 4. Granskningsresultat... 9 4.1. Styrande och stödjande dokument... 9 4.2. Verifiering av attest... 9 4.3. Verifiering av behörigheter... 10 4.4. Verifiering av leverantörer... 11 4.5. Verifiering av förtroendekänsliga poster... 12 4.6. Uppföljning av internkontrollplaner... 14 5. Bedömning och rekommendationer... 15 5.1. Avstämning mot kontrollmål... 15 5.2. Rekommendationer... 17 Vaxholms stads revisorer

1. Sammanfattning har på uppdrag av de förtroendevalda revisorerna i Vaxholms stad genomfört en granskning avseende tillförlitlighet i system och rutiner för hantering av leverantörsfakturor. Efter genomförd granskning bedömer vi att den interna kontrollen avseende tillförlitlighet i system och rutiner för hantering av leverantörsfakturor inte fullt ut är tillräcklig. Utifrån granskningens uppställda kontrollmål ligger följande iakttagelser till grund för bedömningen; Det finns ingen samlad dokumentation över vilka som har behörighet i systemet eller vilken behörighet de har. Begäran om upplägg av behörighet sker via mail och detta dokumenteras inte. Det görs inga regelbundna kontroller för att upptäcka förändrade eller inaktuella attestbehörigheter. Det är förvaltningschefens ansvar att se till att attestlistor är uppdaterade och årligen inkomma med aktuell förteckning till ekonomiavdelningen. Vid förändringar av beslutsattest ska ekonomiavdelningen skriftligen meddelas. År 2015 erhöll ekonomiavdelningen aktuella förteckningar från endast tre förvaltningar. Verifieringen visar att det heller inte går att få fram listor över aktuella attestanter i ekonomisystemet. Alla på ekonomiavdelningen har behörighet att lägga upp nya leverantörer i leverantörsregistret och alla kan även göra utbetalning. Av attestreglementet framgår att samtliga ekonomiska transaktioner alltid ska attesteras i tre moment och att en person endast kan utföra ett moment per transaktion. Det finns dock ingen spärr i systemet som omöjliggör att samma person lägger upp en leverantör och även gör en utbetalning. Vid intervju framkommer att staden inte gjort en genomgång av leverantörer i registret. Vår verifiering avseende leverantörer visar på att det inte sker en kontinuerlig rensning eller uppdatering av uppgifter i leverantörsregistret. Vår övergripande iakttagelse från vår verifiering av s.k. förtroendekänsliga poster är att staden behöver se över sina kontroller på kravet om en fullständig verifikation avseende angivande av syfte och deltagare. Av totalt 30 fakturor saknas syfte i nio fall och deltagarförteckning i 12 fall. Däremot har vi i granskningen noterat att momsavdraget följer gällande momsregler för representation i samtliga fall utom ett. Vaxholms stads revisorer Sida 1 av 20

Efter genomförd granskning och utifrån iakttagelser och bedömningar lämnas följande rekommendationer: Begäran om upplägg av behörigheter sker skriftligen genom blankett som sparas på ekonomiavdelningen, samt att staden upprättar en samlad dokumentation över samtliga behörigheter i systemet. Vi rekommenderar även att staden tillämpar principen fullt ut gällande att ha olika personer på olika behörigheter, idag kan samma person lägga upp en leverantör och göra utbetalning. För att säkerställa att leverantörsutbetalningar attesteras av behörig person bör ekonomiavdelningen årligen, samt vid förändringar under året, se till att varje nämnd inkommer med aktuell attestordning till ekonomiavdelningen. En genomgång görs av leverantörsregistret för att rensa bort leverantörer som inte är aktuella, samt uppdatera ofullständiga och föråldrade leverantörsuppgifter. Staden ser över sin kontroll avseende kravet på en fullständig verifikation avseende angivande av syfte och deltagare för att säkerställa att s.k. förtroendekänsliga poster hanteras på rätt sätt. Detta genom att exempelvis införa ett extra kontrollsteg i attestrutinen, eller inom ramen för internkontrollplanen. Vaxholms stads revisorer Sida 2 av 20

2. Inledning 2.1. Bakgrund Av kommunallagen framgår att kommunens nämnder och styrelser ska ha kontroll över sin verksamhet. Detta innebär att nämnderna själva ansvarar för att ha en ändamålsenlig styrning så att verksamheten bedrivs på ett effektivt sätt, samt att det finns säkra rutiner som förhindrar förluster och som säkerställer att redovisningen är rättvisande. Rutiner och system för hantering av leverantörsfakturor och utbetalningar avseende sådana utgör ett väsentligt riskområde. Det är således viktigt att ha välfungerande rutiner och system för att upprätthålla en säker hantering av leverantörsfakturor och utbetalningar relaterade till dessa. Revisionsinsatser genomförs utifrån en riskanalys. Dessa rutiner och system hanterar många leverantörer, stora transaktionsvolymer och sammantaget stora belopp (väsentlighet). Det finns risker för såväl oegentligheter som förtroendeskada (risk). Dessa faktorer utgör skäl för granskning av området. 2.2. Syfte, revisionsfråga och kontrollmål Granskningen syftar till att besvara följande revisionsfråga: Är den interna kontrollen tillräcklig avseende system och rutiner för hantering av leverantörsfakturor? Inom ramen för denna granskning ska följande sju kontrollmål besvaras: Det finns dokumenterade riktlinjer/anvisningar kring hantering av leverantörsfakturor. Anvisningarna omfattar även hantering av s.k. förtroendekänsliga poster. Det finns en aktuell förteckning över beslutsattestanter och eventuellt andra attestanter. Det finns en samlad dokumentation över vilka som har behörighet i scanningsystemet och vilken behörighet de har. Upplägg av behörigheter i scanningsystemet sker utifrån tillräckliga underlag och av behörig person. Upplägg av nya behörigheter samt av förändringar av behörigheter följs upp regelbundet. Upplägg av nya leverantörer i leverantörsregistret sker av oberoende person, d.v.s. av någon annan än den som löpande arbetar med fakturahanteringen. Vaxholms stads revisorer Sida 3 av 20

Fakturorna uppfyller kravet på en fullständig verifikation vad gäller s.k. förtroendekänsliga poster bl.a. med avseende på angivande av syfte och deltagare, beslut samt att korrekt momsavdrag görs. 2.3. Revisonsmetod och avgränsning Granskningen sker genom dokumentstudier av tillämpliga styrdokument och rutinbeskrivningar. Bearbetning och granskning sker även av vissa register och underliggande räkenskapsmaterial. Intervjuer sker med berörda befattningshavare. Verifiering av att identifierade nyckelkontroller fungerar konsekvent över tiden. Verifiering sker genom test av samtliga identifierade nyckelkontroller för att säkerställa att de utförs konsekvent över tid. För 30 slumpmässigt utvalda fakturor görs kontroll att de uppfyller kravet på en verifikation för s.k. förtroendekänsliga poster. Granskningen omfattar kommunstyrelsen och samtliga nämnder. Rapporten har varit föremål för faktaavstämning. Vaxholms stads revisorer Sida 4 av 20

3. Iakttagelser 3.1. Hantering av leverantörsfakturor inom Vaxholms stad Som ett led i granskningen har intervjuer genomförts med berörda tjänstemän på ekonomiavdelningen vid kommunledningskontoret. Nedan ges en beskrivning av iakttagelser som gjorts samt upplysningar som framkommit under intervjuerna och som bedöms väsentliga för granskningen. 3.1.1. Organisation och ansvar På ekonomiavdelningen vid kommunledningskontoret i Vaxholms stad arbetar åtta personer. Avdelningen består av en ekonomichef, två upphandlare samt fem ekonomer/systemförvaltare. Staden använder ekonomisystemet/fakturaportalen Raindance. Enligt stadens attestregler ansvarar respektive nämnd för att delegera beslutsattesträtt inom nämndens ansvarsområde. Både kommunchef och förvaltningschef, som inför nämnden har det övergripande budgetansvaret, har generell beslutsattesträtt inom ramen för fastställd budget. Förvaltningschefen kan vidaredelegera beslutsattesträtt till underställd personal. Beslutsattestant ska utse ersättare vid frånvaro. Uppgifterna om beslutsattestanter, ersättare samt omfattning av uppdraget ska enligt reglerna finnas förtecknat hos varje nämnd. Det är förvaltningschefens ansvar att se till att attestlistor är uppdaterade och att informationen delges ekonomiavdelningen. Vid förändringar av beslutsattest ska ekonomiavdelningen skriftligen meddelas. Under intervju framkommer att respektive nämnd i januari varje år ska inkomma med en aktuell förteckning över vem som har beslutsattest. Ekonomiavdelningen har inte påmint berörda förvaltningar att inkomma med förteckningar, eftersom det är förvaltningschefernas ansvar. Upplägg av attest och behörigheter i stadens ekonomisystem registreras av systemförvaltare på ekonomiavdelningen. 3.1.2. Attesträtt Stadens attestreglemente gäller för stadens samtliga externa och interna ekonomiska transaktioner, finansförvaltning samt medel som staden åtagit sig att förvalta och/eller förmedla. Alla ekonomiska transaktioner ska attesteras i samtliga moment innan de utförs. I attestreglerna finns följande definitioner för de tre attesträtter som förekommer i stadens system: Beslutsattest person ansvarig för att utföra kontroll av att transaktionen är beslutad och ryms inom den budgetram som delegerats till beslutsattestant, samt kontrollera att kontering skett på ett korrekt sätt. Beslutsattest får inte göras av den som själv är betalningsmottagare. Vaxholms stads revisorer Sida 5 av 20

Granskningsattest person ansvarig för att utföra kontroll att fakturaadressen är korrekt, att beställning har skett korrekt och att varan/tjänsten är levererad till rätt kvantitet, kvalitet och pris. Även kontrollera att fakturan är rätt uträknad samt att den innehåller korrekta betalningsvillkor. Granskningsattest kan utföras av den person som har utfört beställningen eller av annan person som har kunskap om beställningens innehåll. Enligt uppgift kan i princip vem som helst anställd i inom staden utföra granskningsattest. Utanordningsattest person ansvarig för att kontrollera att transaktionen attesterats av behöriga personer samt att kontering skett. Utanordningsattest ska ske före betalning eller innan registrering av faktura för betalning. Utanordningsattestant för externa transaktioner ska vara någon av de personer som har rätt att teckna stadens post- och bankgiroräkningar enligt stadens firmateckning. Förvaltningschefen kan vidaredelegera beslutsattesträtt till underställd personal. Enligt attestreglemente ska delegering av beslutsattesträtt ske skriftligen. Upplägg av nya beslutsattestanter sker av systemförvaltare på ekonomiavdelningen utifrån begäran av chef. Under intervju framkommer att begäran görs via mail och att dessa mail inte sparas på något systematiskt sätt eller dokumenteras. Staden har en checklista för anställda som slutar, varav en punkt är att se till man avslutas från systemet när anställning upphör. Under intervju framkommer att detta ofta glöms bort. Ekonomiavdelningen brukar dock se till att avsluta personer i systemet senast i samband med att ny medarbetare börjar. Det görs ingen regelbunden genomgång för att upptäcka förändrade eller inaktuella attestbehörigheter, utan det är förvaltningarnas ansvar att ha kontroll över att attestförteckningarna är uppdaterade. Varje förvaltning ska årligen i januari inkomma med en aktuell attestförteckning till ekonomiavdelningen. 3.1.3. Behörigheter Inom staden finns tre olika nivåer av behörigheter i ekonomisystemet. - Granskare - Beslutsattestant - Systemförvaltare Alla på ekonomiavdelningen har högsta behörighet, d.v.s. systemförvaltare, förutom upphandlarna som inte kan lägga upp leverantörer. Det är ansvarig chef som utser och begär upplägg av beslutsattestanter. Upplägg av behörigheter sker utifrån begäran från chef. Enligt uppgift från ekonomiavdelningen sker genomgång av behörigheter fyra gånger/år. Vaxholms stads revisorer Sida 6 av 20

3.1.4. Hantering av leverantörer i stadens leverantörsregister Alla på ekonomiavdelningen, förutom upphandlarna, har behörighet att lägga upp nya leverantörer samt ändra leverantörsuppgifter i leverantörsregistret. Samtliga på ekonomiavdelningen kan även göra utbetalning. Enligt stadens reglemente ska utbetalning alltid ske genom attestering i tre moment och enligt reglerna får inte samma person utföra mer än ett attestmoment för respektive transaktion. Det finns dock ingen spärr i systemet som omöjliggör att samma person lägger upp en leverantör och även gör en utbetalning. På ekonomiavdelningen sker ingen kontroll vid upplägg av nya leverantörer. Ansvaret över kontrollen sker istället av en extern part, bevakningstjänsten Inyett 1, som kontrollerar att leverantören uppfyller samtliga krav, exempelvis F- skatt eller organisationsnummer. Under intervju framkommer att det inte sker någon systematisk rensning av gamla leverantörer eller kontroll av leverantörsuppgifter i registret. Ekonomiavdelningen är därmed medveten om att det finns dubbletter av leverantörer i registret. Staden har valt att använda leverantörens postgiro som leverantörsnummer, vilket innebär att om leverantören väljer att byta till bankgiro så läggs leverantören upp på nytt. 3.1.5. Rutin för utbetalning av leverantörsfakturor När en leverantörsfaktura inkommer till staden hamnar den hos CGI i Malmö där fakturan scannas, d.v.s. läses in och teckentolkas. Samtliga fakturor samlas sedan i en fil som dagligen skickas till ekonomiavdelningen i Vaxholm. Filen läses in i stadens ekonomisystem/fakturaportal där fakturorna skapas (verifikationsnummer etc.). Därefter skickas de ut till stadens verksamheter till respektive granskningsattestant och sedan beslutsattestant. Granskningsattestanten är enligt attestreglementet ansvarig för att utföra kontroll att fakturaadressen är korrekt, att beställning har skett korrekt och att varan/tjänsten är levererad till rätt kvantitet, kvalitet och pris. Till granskningsattestantens uppgift hör även att kontrollera att fakturan är rätt uträknad samt att den innehåller korrekta betalningsvillkor. Både den som granskar och beslutsattestanten ska kontrollera att beloppet överensstämmer med vad som anges på fakturan. Under intervju framkommer att det har hänt att det stått fel belopp i och med felscanning. Det är utanordningsattestanten som godkänner utbetalningen. Innan utbetalning gör utanordningsattestanten en rimlighetsbedömning av samtliga fakturor, genom kontroll av belopp och huruvida det är rimligt i förhållande till vad som avses. En fil med samtliga utbetalningar skickas även till Inyett, där en extra kontroll sker av samtliga utbetalningar. Inyett känner till hur stora utbetalningar staden generellt sett brukar ha till respektive leverantör och systemet reagerar vid belopp som överstiger det normala, samt signalerar även om en leverantör får träff mot den s.k. svarta listan. Utbetalningsfilen skickas till Nordea först när Inyett har signalerat att inga felaktigheter eller avvikelser har noterats. 1 Inyett är ett företag som erbjuder tjänster för säkra utbetalningar som staden använder sig av Vaxholms stads revisorer Sida 7 av 20

Utbetalningsfilen som skickas till Nordea behöver inte kontrasigneras, utan samma person som signerar utbetalningen kan även skicka betalningsfilen. Eftersom attest sker av både granskare och beslutsattestant så anses kontrasignering inte nödvändig enlig staden. Inom IFO (Individ-och familjeomsorg) har de ett eget system och de skickar sina betalningsfiler själva, filen signeras dock av någon på ekonomiavdelningen. Signeringen sker i Nordeas system och görs samtidigt som ekonomiavdelningen signerar sin egen fil. 3.2. Förtroendekänsliga poster Staden har antagit regler för representation (KF/Dnr 57/2013.003) av vilka det framgår att syfte, datum och deltagares namn och organisation alltid ska anges vid representation. Av reglerna framgår även hur hantering av fakturor ska ske i Raindance, samt exempel på beräkningsmodell för representation. I fakturaportalen i ekonomisystemet kan möjligheten att lämna en anteckning nyttjas så att en hänvisning kan ske till räkenskapsinformation som förvaras lokalt, som t.ex. konferensprogram, deltagarförteckning och kontokortskvitton. Under intervju framkommer att ekonomiavdelningen är noggrann med att se till reglerna avseende verifierande underlag efterlevs. De upplever att anställda i staden har en bra koll på vilka underlag som de ska inkomma med för s.k. förtroendekänsliga poster. Vaxholms stads revisorer Sida 8 av 20

4. Granskningsresultat Nedan redovisas vårt resultat av granskningen samt våra kommentarer och utifrån kontrollmålen, se avsnitt 2.2. 4.1. Styrande och stödjande dokument Vaxholms stad har ett antal styrande och stödjande dokument som behandlar leverantörsfakturor. Nedan är en förteckning över de dokument som staden bedömt relevanta och som erhållits i granskningen: Attest- och utanordningsreglemente för Vaxholms stad/kf 5/2004 (reviderad KF 40/2009) Lathund anvisningar Raindanceportalen Regler för representation i Vaxholms stad/dnr 57/2013.003 Rutin beträffande representation, lunch & middagar (2007-01-04) Regler för gratifikationer till Vaxholms stads förtroendevalda/dnr 56/2013.003 Stadens kontoplan Internkontrollplan för Vaxholms stad/kf 2010-12-20 122 Tillämpningsanvisningar till Internkontrollplan för Vaxholms stad (2010-11-09) Eftersom det är så få personer som arbetar på ekonomiavdelningen upplever de att rutinerna är tydliga och att alla är införstådda med varandras arbetsuppgifter och kan täcka upp för varandra vid frånvaro. Kommentarer Staden har riktlinjer/anvisningar kring hantering av leverantörsfakturor, bland annat attest- och utanordningsreglemente. Vi anser dock att lathundar kunde formaliseras till mer systematiska rutinbeskrivningar för att göra hanteringen mindre personbunden. Staden har även regler och rutiner för hantering av förtroendekänsliga poster. 4.2. Verifiering av attest Inom ramen för granskningen har verifiering skett av ett antal registrerade beslutsattestanter inom staden. I avsnitt 3.1.2 beskrivs hur upplägg av attestant sker inom staden. Den verifieringen som genomförts syftar till att bedöma i vilken utsträckning rutiner och system för hantering efterlevs. För verifiering av attest har vi efterfrågat en lista per förvaltning över registrerade beslutsattestanter från ekonomisystemet Raindance. Vi har inte erhållit efterfrågat material, eftersom det enligt uppgift inte går att få fram en dylik lista från stadens ekonomisystem. I vår verifiering har vi därmed utgått från den senaste beslutade förteckningen från respektive förvaltning som inkommit till ekonomiavdelningen. Vi har erhållit aktuella förteckningar från tre nämnder/förvaltningar. Samtliga ordinarie beslutsattestanter från respektive lista har kontrollerats mot utdrag från ekonomisystemet. Nedan anges utfallet för verifieringen: Vaxholms stads revisorer Sida 9 av 20

Nämnd/förvaltning Granskning Kommentarer PLU Utbildningsförvaltningen Stadsbyggnadsnämnden Nämnden för teknik, fritid- och kultur (TFK) 3 beslutsattestanter och 3 ansvar. 3 beslutsattestanter och 4 ansvar. 2 beslutsattestanter och 2 ansvar. Vi har noterat en avvikelse. En attestant har slutat i staden och återfinns inte i systemet, men finns med i förteckningen från förvaltningen. Vi har noterat två avvikelser. Två attestanter har slutat i staden och återfinns inte i systemet, men finns med i förteckningen från förvaltningen. Inga avvikelser har noterats. 0 Ekonomiavdelningen har ej erhållit aktuell förteckning. Socialnämnden 0 Se ovan. Valnämnden 0 Se ovan. Södra Roslagens miljö- och hälsoskyddsnämnd (SRMH) 0 Se ovan. Överförmyndarnämnden 0 Se ovan. Kommunledningskontoret 0 Se ovan. Socialförvaltningen 0 Se ovan. Totalt Totalt har vi granskat 8 beslutsattestanter och 9 ansvar Kommentarer Utifrån ovanstående verifiering antas attestförteckning av utsedda beslutsattestanter vara fullständig för en av tre granskade nämnder/förvaltningar. Vi kan dock inte ta hänsyn till eventuella förändringar som skett under året eftersom vi inte kan spåra ändringar. Vid vår verifiering noterades att tre stycken ordinarie beslutsattestanter har slutat sin anställning i staden under 2015. Dessa personer finns inte längre med i systemet, men de återfinns i den senaste förteckningen från förvaltningen. För resterande nämnder/förvaltningar har vi inte erhållit aktuell förteckning eftersom berörd nämnd inte inkommit med sådan till ekonomiavdelningen. 4.3. Verifiering av behörigheter För verifiering av behörigheter har vi efterfrågat en samlad dokumentation över vilka som har behörighet i systemet och vilken behörighet de har. Vi har inte erhållit efterfrågat material eftersom det enligt uppgift inte finns en sådan samlad dokumentation. Kommentarer Verifiering av behörigheter har inte varit möjlig att genomföra eftersom staden saknar en samlad dokumentation över vilka som har behörighet i systemet och Vaxholms stads revisorer Sida 10 av 20

vilken behörighet de har. Under intervju framkommer att ekonomiavdelningen fyra gånger/år gör en genomgång av behörigheterna. 4.4. Verifiering av leverantörer I vår granskning har verifiering genomförts av registrerade leverantörer i stadens leverantörsregister. Vid granskningstillfället återfanns totalt 9019 leverantörer i stadens leverantörsregister (2015-12-01) enligt fördelningen nedan: Leverantörsregister Antal Andel (%) Leverantörer 6464 71,7 Privatpersoner 2552 28,3 Tomt fält (endast leverantörsnummer framgår) 3 0,03 Totalt 9019 100 % Utbetalning till privatpersoner sker t.ex. genom återbetalning av avgifter, olika bidrag m.m. Inom ramen för denna granskning har privatpersoner inte granskats ytterligare. För de totalt 6464 leverantörer som återfinns i leverantörsregistret har följande noterats: Leverantörsregister Antal Andel (%) Postadress saknas 546 8,4 Postnummer saknas 23 0,4 Momsregistreringsnummer saknas 848 13,1 Omsättning under 2015 1239 19,2 Omsättning under 2014 1324 20,5 Omsättning både 2015 och 2014 824 12,7 De leverantörer från vilka staden har köpt varor eller tjänster under granskningsperioden (per 2015-12-01) uppgår till 1239 stycken. Vi har gjort en seriositetskontroll för ett urval om 60 stycken av dessa leverantörer. Verifiering har skett genom kontroll av uppgifter mot Infotorg/Bisnode för att kontrollera att momsregistreringsnummer tillhör leverantör samt att övriga uppgifter överensstämmer med de som finns i stadens leverantörsregister. Följande har noterats: Leverantörsregister Antal Notering Korrekt momsregistreringsnummer och adress 40 Inga avvikelser Felaktigt momsregistreringsnummer 9 Inaktiva, ofullständiga eller felaktiga momsregistreringsnummer Felaktig adress 6 Adress i leverantörsregistret är ej uppdaterad Felaktigt leverantörsnamn 5 Totalt 60 Vaxholms stads revisorer Sida 11 av 20

I vår verifiering har vi även kontrollerat förekomsten av eventuella dubbelregistreringar av leverantörer i leverantörsregistret. Sökning har gjorts för två premisser, leverantörsnamn samt momsregistreringsnummer. Beroende på vilken premiss som sökningen görs på förekommer dubbelregistreringar inom intervallet 366-390. Totalt finns 366 leverantörer vars exakta namn förekommer mer än en gång i registret. Totalt finns det 390 leverantörer vars momsregistreringsnummer förekommer mer än en gång i registret. Två av dubbelregistreringarna av momsregistreringsnummer avviker från de övriga. Dessa nummer förekommer 22 gånger respektive 36 gånger i leverantörsregistret. Kommentarer Ovanstående verifiering visar att det inte har skett en rensning av leverantörsregistret. Av 6464 leverantörer har staden endast gjort utbetalning till 1239 leverantörer under 2015. I granskningen noteras även att leverantörsregistret behöver uppdateras eftersom uppgifter är föråldrade och ofullständiga. 4.5. Verifiering av förtroendekänsliga poster Som ett led i granskningen har ett antal fakturor som avser kostnader bokförda på konton som kan innehålla förtroendekänsliga transaktioner granskats. Kontroll har skett av huruvida fakturorna uppfyller kravet på en fullständig verifikation vad gäller förtroendekänsliga poster, med avseende till angivande av syfte och deltagare, beslut samt att korrekt momsavdrag gjorts. För att säkerställa riktigheten i transaktionerna har uppföljning skett av ett urval transaktioner och stämts av mot relevanta underlag. Verifieringen omfattar kontroll av totalt 30 fakturor bokförda på tolv kostnadskonton, vilka redovisas nedan: Kurser och konferenser, konto 5811 och 5813 Totalt har sju fakturor granskats till ett värde om 209 999 kr. Totalt bokfört på kontona per 2015-12-01 var 1 680 053 kr. Enligt stadens regler ska transaktioner på dessa konton kompletteras med syfte och antal deltagare/deltagarförteckning. Kurser och konferenser Uppfyllt Ej uppfyllt Ej tillämpligt Syfte framgår av underlagen 4 3 - Deltagare framgår av underlagen 4 3 - Kommentar Syfte och antal deltagare/deltagarförteckning saknas för tre av sju fakturor. Kost och logi samt resekostnader, konto 7052, 7059 och 70510 Totalt har tre fakturor granskats till ett värde om 27 086 kr. Totalt bokfört på kontona per 151201 var 218 541 kr. Enligt stadens regler ska transaktioner på dessa konton kompletteras med syfte och antal deltagare/deltagarförteckning. Kost och logi samt resekostnader Uppfyllt Ej uppfyllt Ej tillämpligt Syfte framgår av underlagen 0 3 - Deltagare framgår av underlagen 0 3 - Kommentar Ett av stickproven saknar faktura/kvittounderlag. För de övriga två stickproven framgår det inte vem/vilka resan avser och inte heller syftet med Vaxholms stads revisorer Sida 12 av 20

resan. Intern och extern representation, konto 5872, 5873 och 7103 Totalt har tio fakturor granskats till ett värde om 75 899 kr. Totalt bokfört på kontona per 2015-12-01 var 299 871 kr. Avdragsrätten för moms är begränsad, vilket innebär att momsjustering kan krävas. Avdragsrätten är begränsad till 90 kr per person vid middagar. Intern och extern representation Uppfyllt Ej uppfyllt Ej tillämpligt Syfte framgår av underlagen 7 3 - Deltagare framgår av underlagen 4 6 - Momsavdraget har skett på rätt sätt 8 1 1 Kommentar I sex fall har momsjusteringen inte skett. För ett av stickproven har vi noterat att hela momsen är avdragen trots att den är konterad på konto 5873 (personalrepresentation, icke avdragsgill). Deltagarförteckning saknas i sex fall. I de flesta av dessa fall framgår däremot antal personer och till exempel att utbildningsnämnden har deltagit men inte vilka dessa personer i fråga är. Uppvaktningar och gåvor, personalbefrämjande åtgärder samt övriga personalkostnader, konto 5891, 5892, 58990 och 71010 Totalt har tio granskats till ett värde om 32 880 kr. Totalt bokfört på kontona per 2015-12-01 var 441 851 kr. Uppvaktningar och gåvor, personalbefrämjande åtgärder samt övriga personalkostnader Uppfyllt Ej uppfyllt Ej tillämpligt Syfte framgår av underlagen 3 0 7 Deltagare framgår av underlagen 3 0 7 Kommentar Vi har noterat att det på ett stickprov har förekommit att fraktkostnaden kostnadsfört på konto 5892 (personalbefrämjande åtgärder) men inte på ett annat stickprov på konto 5891 (uppvaktningar). Båda stickproven avser inköp av biobiljetter. Ett stickprov avser en julmiddag och är bokförd på konto 58990 (övriga personalkostnader). Syfte och deltagarförteckning finns. Vi anser att detta är intern representation och således ska hanteras enligt gällande momsregler. Avdrag har gjorts för hela momsen. Under intervju framkommer att ekonomiavdelningen begär in underlag för samtliga fakturor som avser förtroendekänsliga poster i de fall där underlag inte bifogats. Vaxholms stads revisorer Sida 13 av 20

Kommentarer Utifrån ovanstående verifiering anser vi att staden behöver se över sina kontroller avseende kravet på en fullständig verifikation vad gäller angivande av syfte och deltagare. I vår granskning om totalt 30 stickprov noteras att syfte saknas i nio fall och deltagarförteckning i tolv fall. Resultatet är bristfälligt och följer inte stadens regler eller god redovisningssed. Vår rekommendation är att staden exempelvis inför ett extra kontrollsteg i attestflödet, eller för att säkerställa att hanteringen avseende representation sker korrekt samt att det även till övriga s.k. förtroendekänsliga poster bifogas syfte och deltagarförteckning. Vi har i granskningen endast noterat ett fall (av nio) där momsavdraget inte följer gällande momsregler för representation. 4.6. Uppföljning av internkontrollplaner Staden har fastställda riktlinjer för intern kontroll (KF 2012-12-20, 122). I riktlinjerna anges den interna kontrollens definition och syfte, styrning, ansvarsområden samt rapportering. Av riktlinjerna framgår att respektive nämnd/styrelse, som en del av dokumentet yttrande till mål och budget, ska anta en riskanalys för kommande verksamhetsårs uppföljning av den interna kontrollen. I samband med års- och tertialrapporternas upprättande ska de sedan redogöra för resultatet från uppföljningen av den interna kontrollen inom sitt verksamhetsområde till kommunstyrelsen. Kommentarer Vi har efterfrågat samtliga nämnders riskanalyser 2015 samt uppföljning för 2014. Material har ej erhållits. Vaxholms stads revisorer Sida 14 av 20

5. Bedömning och rekommendationer 5.1. Avstämning mot kontrollmål I nedanstående tabell anges bedömning för respektive kontrollmål utifrån granskningens iakttagelser (se avsnitt 3) och verifiering (se avsnitt 4). Kontrollmål Det finns dokumenterade riktlinjer/anvisningar kring hantering av leverantörsfakturor. Anvisningarna omfattar även hantering av så kallade förtroendekänsliga poster. Bedömning Uppfyllt Staden har dokumenterade riktlinjer/anvisningar kring hantering av leverantörsfakturor, bland annat attest- och utanordningsreglemente. Vi anser dock att lathundar kunde formaliseras till mer systematiska rutinbeskrivningar för att göra hanteringen mindre personbunden. Staden har även regler för hantering av förtroendekänsliga poster. Det finns en aktuell förteckning över beslutsattestanter och eventuellt andra attestanter. Ej uppfyllt Varje nämnd ska årligen inkomma med en aktuell attestförteckning till ekonomiavdelningen samt under året skriftligen meddela förändringar av beslutsattest. Under år 2015 inkom endast tre förvaltningar med aktuell attestordning. Utifrån vår verifiering antas en av tre förteckningar vara fullständig och aktuell. Vi kan dock inte ta hänsyn till eventuella förändringar som skett under året eftersom vi inte kan spåra ändringar. Däremot har vi noterat att tre personer har slutat i staden. Dessa personer finns inte längre finns kvar i systemet, men återfinns i förteckningen från berörd förvaltning. Det görs ingen regelbunden genomgång för att upptäcka Vaxholms stads revisorer Sida 15 av 20

förändrade eller inaktuella attestbehörigheter, utan det är förvaltningarnas ansvar att ha kontroll över att attestförteckningarna är uppdaterade. Det finns en samlad dokumentation över vilka som har behörighet i scanningsystemet och vilken behörighet de har. Ej uppfyllt Det finns ingen samlad dokumentation över samtliga behörigheter. Upplägg av behörigheter i scanningsystemet sker utifrån tillräckliga underlag och av behörig person. Upplägg av nya behörigheter samt av förändringar av behörigheter följs upp regelbundet. Upplägg av nya leverantörer i leverantörsregistret sker av oberoende person, d.v.s. av någon annan än den som löpande arbetar med fakturahanteringen. Delvis uppfyllt Upplägg av behörigheter sker av systemförvaltare på ekonomiavdelningen på begäran av chef. Begäran om upplägg av behörighet sker via mail och detta dokumenteras inte. Ej uppfyllt Enligt uppgift gör ekonomiavdelningen en uppföljning/rensning av behörigheter cirka fyra ggr/år. Kontrollen dokumenteras inte. Vi har inte kunnat verifiera behörigheter eftersom det inte finns en samlad dokumentation av behörigheter i systemet. Ej uppfyllt Alla på ekonomiavdelningen har behörighet att lägga upp nya leverantörer i leverantörsregistret, men i praktiken är det en person på ekonomiavdelningen som sköter detta. Alla som har behörighet att lägga upp nya leverantörer har även behörighet att göra utbetalning. Enligt stadens reglemente ska attestering alltid ske i tre moment och en person får endast utföra ett moment per transaktion. Dock finns det ingen spärr i systemet som omöjliggör att samma person som Vaxholms stads revisorer Sida 16 av 20

lagt upp en leverantörer även gör en utbetalning. Fakturorna uppfyller kravet på en fullständig verifikation vad gäller s.k. förtroendekänsliga poster bl.a. med avseende på angivande av syfte och deltagare, beslut samt att korrekt momsavdrag görs. Ej uppfyllt I vår granskning om 30 stickprov noterades att det i underlaget saknas syfte i nio och deltagarförteckning i tolv fall. Utifrån ovanstående verifiering är bedömningen att staden behöver se över sina kontroller avseende kravet på en fullständig verifikation avseende angivande av syfte och deltagare. Momsberäkningen följde gällande momsregler för representation i samtliga fall utom ett. Vi bedömer stadens kontroller gällande momsavdrag för representation som goda. 5.2. Rekommendationer Efter genomförd granskning och utifrån iakttagelser och ovan nämnda bedömningar lämnas följande rekommendationer: Begäran om upplägg av behörigheter sker skriftligen genom blankett som sparas på ekonomiavdelningen, samt att staden upprättar en samlad dokumentation över samtliga behörigheter i systemet. Vi rekommenderar även att staden tillämpar principen fullt ut gällande att ha olika personer på olika behörigheter, idag kan samma person lägga upp en leverantör och göra utbetalning. För att säkerställa att leverantörsutbetalningar attesteras av behörig person bör ekonomiavdelningen årligen, samt vid förändringar under året, se till att varje nämnd inkommer med aktuell attestordning till ekonomiavdelningen. En genomgång görs av leverantörsregistret för att rensa bort leverantörer som inte är aktuella, samt uppdatera ofullständiga och föråldrade leverantörsuppgifter. Staden ser över sin kontroll avseende kravet på en fullständig verifikation avseende angivande av syfte och deltagare för att säkerställa att s.k. förtroendekänsliga poster hanteras på rätt sätt. Detta genom att exempelvis införa ett extra kontrollsteg i attestrutinen, eller inom ramen för internkontrollplanen. Vaxholms stads revisorer Sida 17 av 20