Revisionsrapport Granskning av vissa kostnadsslag - Landstingets hantering av IT-utrustning och programlicenser Norrbottens läns landsting Oktober 2008 Carina Olausson Certifierad kommunal revisor Per Ståhlberg Revisionskonsult
2008-10-23 Per Ståhlberg Carina Olausson 1
Innehållsförteckning 0 Sammanfattning...1 1 Inledning...2 1.1 Bakgrund...2 1.2 Uppdrag och revisionsfråga...2 1.3 Metod och avgränsning...2 2 Granskningsresultat...4 2.1 Allmänt...4 2.2 IT-utrustning...5 2.2.1 Investeringar...5 2.2.2 Redovisningslagstiftning...6 2.2.3 Interna redovisningsregler och riktlinjer...6 2.2.4 Inventering, avyttring och utrangering...7 2.3 Dataprogram och programlicenser...8 2.3.1 Inköp och uppdateringar...8 2.3.2 Redovisningslagstiftning...8 2.3.3 Interna redovisningsregler och riktlinjer...9 0
0 Sammanfattning På uppdrag av de förtroendevalda revisorerna har Komrev inom Öhrlings PricewaterhouseCoopers granskat landstingets hantering av IT-utrustning, dataprogram och programlicenser. Vår sammanfattande bedömning är att landstinget i allt väsentligt har en heltäckande samling regler och tillämpningsanvisningar inom området. Vad gäller efterlevnaden av dessa regler och anvisningar bedöms den som tillfredsställande i samband med investeringar och inköp av IT-utrustning, program och programlicenser. Vidare visar granskningen att redovisningen av berörda kostnader och investeringar sker i enlighet med interna riktlinjer, lagstiftning och god redovisningssed. Vissa iakttagelser har dock gjorts och som vi menar bör beaktas: För att säkerställa den fysiska existensen av tillgångarna i IT-registret och verifiera redovisningens uppgifter bör, i enlighet med landstingets interna riktlinjer, årlig inventering av IT-utrustning göras. Granskningen visar på att landstinget inte stämmer av att all utrangerad IT-utrustning når det företag som tar hand om denna utrustning. Utrustningen förvaras, inför avhämtning, i låsta utrymmen ute på enheterna. En kontrollrutin som säkerställer att inget försvinner på vägen bör införas för att utesluta att utrangerad IT-utrustning hamnar i orätta händer. 1
1 Inledning 1.1 Bakgrund Landstingets revisorer genomför årligen granskningar av räkenskapsmaterial med inriktning mot vissa konton. Konton som valts ut avser kostnader som kan vara svåra att kontrollera och där felaktig hantering kan förorsaka landstinget förtroendeskada. I landstingets Gemensamma regler läggs bl a fast att landstingsstyrelsen har det övergripande ansvaret för att det finns en god intern kontroll. I styrelsens ansvar ligger att utforma övergripande regler och riktlinjer. Huvudsyftet med den interna kontrollen är att motverka uppkomst av avsiktliga eller oavsiktliga felaktigheter. Samtidigt är intern kontroll ett ledningsverktyg för verksamheterna. Den interna kontrollen ska i stor utsträckning vara integrerad i verksamhetens dagliga processer och rutiner och beröra all personal. I den interna kontrollen ingår att: Skapa ändamålsenliga och väl dokumenterade system och rutiner. Säkra rättvisande och tillförlitlig redovisning och information om verksamheten. Säkerställa att lagar, regler och riktlinjer efterlevs. Skydda mot förluster och förstörelse av landstingets tillgångar. Skydda personalen mot oberättigade misstankar om oegentligheter. 1.2 Uppdrag och revisionsfråga Norrbottens läns landstings revisorer har gett Komrev inom Öhrlings Pricewaterhouse- Coopers i uppdrag att granska räkenskapsmaterial avseende IT-utrustning och programlicenser. Revisionsfråga: Är den interna kontrollen i samband med hantering och redovisning av IT-utrustning och programlicenser tillräcklig? 1.3 Metod och avgränsning Med utgångspunkt från formulerade kontrollmål görs: Genomgång av landstingets anvisningar, regler och rutinbeskrivningar m m. Kartläggning och registeranalytisk granskning av kostnader och tillgångar utifrån ett urval av kostnadsslag. 2
Kartläggning och granskning av sidoordnade förteckningar över utrustning, programvaror, licenser o dyl. Översiktlig och stickprovsvis, granskning av beslut, räkenskapsmaterial och andra erforderliga underlag. Intervju och avstämningar med ansvariga befattningshavare. Granskningen omfattar räkenskapsåret 2007, där samtliga divisioner ingår. Granskningen avgränsas till följande kostnadsslag: Balanskonton: Resultatkonton: 1221 IS/IT-utrustning, divisioner 1229 VM 1 IS/IT-utrustning, förvaltningar 6414 ADB-utrustning 6421 Dataprogram 6422 Programlicenser 6610 Reparation och underhåll av datautrustning Under räkenskapsår 2007 har 1642 transaktioner registrerats avseende de granskade kostnadsslagen inom samtliga divisioner. Samtliga verifikatrader har översiktligt granskats och rimlighetsbedömts. Det totala kostnadsbeloppet avseende de granskade kontoslagen uppgår till 23,9 miljoner kronor. Vidare har leverantörsfakturor överstigande 50 tkr bokförda på de granskade kontona analyserats mer i detalj. Leverantörsfakturorna har granskats genom fakturascanningssytemet LEVIS och genom urvalet ovan har fakturor motsvarande 85% av kostnaderna granskats. Intervjuer har gjorts med företrädare för landstingets ekonomifunktion respektive division Länsteknik. 1 VM = Värdeminskning 3
2 Granskningsresultat 2.1 Allmänt Ansvaret för hantering av IT inom Norrbottens läns landsting vilar på division Länsteknik. Länsteknik ingick fram till och med februari 2008 som en enhet inom division Service men har sedan dess varit en egen division. Orsaken till att omorganisationen genomfördes var bl a att man ville få ett odelat ansvar för IT-verksamheten. Tidigare låg det strategiska ansvaret på IT-enheten i landstingsdirektörens stab medan det operativa ansvaret vilade på Länsteknik inom division Service. Vidare har IT-innehållet i den medicintekniska utrustningen ökat betydligt vilket inneburit att ett nytt område vuxit fram, MIDS (Medicintekniska informationssystem). Nedan presenteras statistik över Norrbottens läns landstings IT-kostnader för perioden 2005-2007 samt den procentuella förändringen mellan 2006 och 2007. 2005 2006 2007 % -06--07 Summa Externa Intäkter (IT) 1 299 1 229 1 421 15,6 Datakommunikation 18 306 13 395 10 942-18,3 Telefoni och telekommunikation 11 430 12 907 15 672 21,4 Summa Kommunikation (IT och telefoni) 29 736 26 302 26 615 1,2 Hyra av datautrustning 675 19 12-35,8 Direktavskriven utrustning 1 289 1 509 1 781 18,0 Datamaterial, förbrukningsmaterial (färgpatroner etc) 770 833 904 8,5 Reparation och underhåll av datautrustning, inkl serviceavtal 547 631 1 470 133,0 Avskrivningar på datorer och kommunikationsutrustning 18 995 23 584 29 097 23,4 Summa Utrustning 22 275 26 575 33 263 25,2 Summa Programvaror, licenser mm 6 507 12 865 19 558 52,0 Konsultarvoden 12 982 15 209 18 266 20,1 Extern datordrift 3 593 3 058 2 849-6,8 Övriga service- och underhållsavtal 21 593 21 260 22 306 4,9 Summa Tjänster 38 168 39 527 43 421 9,9 Summa IT-Personal - kostnad 36 312 43 511 45 996 5,7 Summa Totala IT-kostnader 131 699 147 551 167 432 13,5 4
IT-kostnaderna för 2007 uppgick till 167 mnkr vilket motsvarar 2,96% av landstingets totala nettokostnader. Motsvarande andel för 2006 var 2,60%. Landstinget har gått från att ha relativt låga IT-kostnader (i förhållande till totala nettokostnader) till att nu ha kostnader som ligger på en genomsnittlig nivå i jämförelse med övriga landsting. Att Norrbottens läns landstinget tidigare legat långt ner i kostnadsstatistiken beror, enligt intervjuerna, dels på att investeringarna varit eftersatta, dels på att Microsoft Office-paketet tidigare använts utan uppgraderingslicens. Denna licens som man sedan 2006 betalar uppgår till ca 12-13 mnkr per år. För 2008 prognostiseras IT-kostnaderna att hamna på mellan 150 och 160 mnkr, alltså en minskning jämfört med år 2007. Inom landstinget diskuteras en modell med en schemalagd utrullning av nya datorer vart 4-5 år. En effekt av en mer förutsägbar, årlig investeringsvolym är t ex en jämnare, och därmed mer lättbudgeterad, kostnad för avskrivningar. 2.2 IT-utrustning 2.2.1 Investeringar Det landstingsinterna regelverket innehåller anvisningar för hur inköp/investeringar i ITutrustning skall hanteras. För att få igenom en investering av utrustning krävs godkännande både av ansvarig chef och av Länsteknik. För ankomstregistrering av investeringar i allmänhet används ett särskilt kostnadsställe per division. Detta kostnadsställe sätts som fakturamärke redan vid beställningen och styr sedan fakturan i BaseWare IP 2 till respektive divisions investeringshandläggare. När det gäller investeringar av IT-utrustning styrs samtliga fakturor genom ett särskilt fakturamärke till Länsteknik. Samtliga inköpsfakturor attesteras av verksamhetschefen på Länsteknik som för en sidoordnad förteckning över samtliga inköp. Denna förteckning stäms av mot Medusa 3 och landstingets ekonomisystem Raindance vid delårsrapporter och vid årsredovisning. 2 BaseWare IP är landstingets system för elektronisk fakturahantering 3 Medusa är anläggningsregistret för IT-utrustning 5
För att ny utrustning ska kunna installeras i landstingets nätverksmiljö krävs att installationen utförs av tekniker från Länsteknik. Bedömning: En anskaffningsrutin där ansvarig chef och Länsteknik måste godkänna ITinvesteringar borgar för en god kontroll och uppföljning av investeringarna. Den interna kontrollen stärks dessutom av att det alltid är tekniker från Länsteknik som installerar all ny utrustning i nätverksmiljön. 2.2.2 Redovisningslagstiftning I den kommunala redovisningslagen (6 kap 1 ) kan utläsas hur en anläggningstillgång definieras. Med en anläggningstillgång förstås en tillgång som är avsedd för stadigvarande bruk eller innehav. Det som enligt denna definition klassificeras som en anläggningstillgång och har en begränsad livslängd, dock minst tre år, skall skrivas av systematiskt över denna livslängd. Inköp som inte klassificeras som anläggningstillgångar kostnadsförs i sin helhet löpande under året. 2.2.3 Interna redovisningsregler och riktlinjer I landstingets interna riktlinjer går att utläsa att investeringar, i allmänhet, på lägst 20 tkr och med en livslängd uppgående till minst tre år skall redovisas som anläggningstillgång och läggas upp på avskrivningsplan, dvs aktiveras. För IT-utrustning däremot används principen att allt skall aktiveras, även om anskaffningsvärdet inte uppgår till 20 tkr. Detta innebär bl a att inköp av exempelvis skärmar och skrivare, om än de bara kostar ett par tusen kronor, klassificeras som investeringar. Icke nätverksansluten utrustning såsom lokala skrivare och OH-kanoner m m, undantas dock från denna princip. Denna utrustning klassificeras utifrån om anskaffningspriset under- eller överstiger 20 tkr. Följande avskrivningstider används: Persondatorer (PC) Skrivare Kopiatorer Serverutrustning Nätverksutrustning (WAN, LAN etc) Telekommunikation 3 år 3 år 3 år 3 år 5 år 5 år Bedömning: Granskningen av bokföringen visar att den sker enligt gällande föreskrifter. Tillämpade redovisningsprinciper strider inte heller mot lagstiftning eller god redovisningssed. 6
2.2.4 Inventering, avyttring och utrangering Inventering Liksom andra ekonomiska enheter skall landstinget kunna säkerställa att den tillgångsmassa som redovisas i bokföringen och i rapporter överensstämmer med verkligheten. Detta innebär bl a att ett register skall föras över anläggningstillgångarna. Till det anläggningsregister (Medusa), som innehåller den medicintekniska utrustningen, finns en modul i vilket landstingets IT-utrustning finns registrerad. Av landstingets interna regelverk framgår att anläggningstillgångarna skall inventeras minst en gång per år och alltid innan bokslut. Landstinget genomförde en grundlig genomgång och uppmärkning av IT-utrustningen under 2006. Granskningen visar att under 2007 och 2008 har inte en motsvarande, heltäckande inventering utförts. Avyttring/utrangering När exempelvis en dator går sönder eller inte fungerar enligt användarens behov, kontaktas en tekniker på Länsteknik. Teknikern åtgärdar problemet, alternativt beslutar om utbyte av utrustningen. Beslut om utrangering kan endast tas efter godkännande av tekniker från Länsteknik. I samband med installation av ny dator kopplar teknikern ur den uttjänta utrustningen och lämnar den i särskild skrinda. Dessa skrindor står i låsta utrymmen ute på enheterna. Landstinget har ett avtal med SAVO, ett bolag ägt av Bodens kommun, som tar om hand om den uttjänta utrustningen. Deras uppgift är att rensa hårddiskarna från installerade program och övriga filer. I uppdraget ingår också att demontera och miljösortera obrukbar utrustning. Datorer som har ett andrahandsvärde går vidare till Återvinningen, en verksamhet inom Bodens kommun, som bl a säljer begagnade datorer till den privata marknaden. Landstinget har avtalat med Återvinningen om att halva försäljningsbeloppet för denna utrustning tillfaller Landstinget. Detta har resulterat i en sammanlagd intäkt på ca 130 tkr under de två första tertialen 2008. Granskningen visar att det inte görs någon kontroll som säkerställer att all utrustning som hamnar i skrindorna går vidare till SAVO. Länsteknik har dock inte fått några indikationer på att någon utrustning skulle hamna i orätta händer. När det gäller eventuell känslig information på de utrangerade datorerna finns det inbyggda spärrar i landstingets system. Till exempel går det inte att spara ner känslig information på hårddiskarna på de stationära datorerna, vilket däremot är möjligt på bärbara datorer. Under år 2008 har ca 30 bärbara datorer bytts ut. Dessa hanteras dock enligt en annan säkerhetsrutin, då de inte skickas vidare till SAVO utan återgår till Länsteknik. Om det åter- 7
står garantitid på dessa datorer ominstalleras datorerna och används exempelvis som styrutrustning till medicinteknisk utrustning. Bedömning: För att säkerställa den fysiska existensen av tillgångarna i IT-registret bör de interna riktlinjerna avseende inventeringen av utrustningen åtföljas. Granskningen visar att landstinget inte stämmer av att all utrangerad IT-utrustning når det företag som tar hand om denna utrustning. Utrustningen förvaras, inför avhämtning, i låsta utrymmen ute på enheterna. En kontrollrutin som säkerställer att inget försvinner på vägen bör införas för att utesluta att utrangerad IT-utrustning hamnar i orätta händer. 2.3 Dataprogram och programlicenser 2.3.1 Inköp och uppdateringar Det finns anvisningar för licenshantering inom landstinget. Anvisningarna redogör för vilka system som får används inom landstingets nätverksmiljö, hur ansvarsfördelningen ser ut, rutiner för beställning av nya licenser m m. Det finns även en licenssamordnare på Länsteknik, en person som har det övergripande kontrollen över de dataprogram och licenser som används inom landstinget. Den stora kostnaden när det gäller licenser är licensavtalet med Microsoft. Detta treåriga avtal, som avser desktop-licenser innehållande Office 2003, löper ut i maj 2009 och kostar ca 12-13 mnkr per år. Denna kostnad belastar Länsteknik. Inom verksamheter där verksamhetsspecifika program nyttjas, finns särskilt utsedda systemansvariga. Dessa har ansvaret för beställning och uppdatering av de licenser som krävs för respektive system. Länsteknik har dock god kontroll även över detta i och med att paketering och installation av samtliga programvaror utförs av Länsteknik. Vidare finns kontroller inbyggda som signalerar till programinstallatörerna att licenssamordnaren måste kontaktas och attestera att vissa licenser utges. Bedömning: Det är vår bedömning att landstinget har god kontroll över inköp av dataprogram och hantering av programlicenser. Det finns en person med det övergripande ansvaret och i övrigt tydlig ansvarsfördelning. Det finns vidare riktlinjer och kravspecifikationer kring vad som får installeras, i form av dataprogram, och vilka som tilldelas licenser och vår bedömning är att dessa riktlinjer också efterlevs. 2.3.2 Redovisningslagstiftning Det framgår inte uttryckligt av den kommunala redovisningslagen hur dataprogram och programlicenser skall klassificeras. Det går däremot att utläsa ur Bokföringslagen och skattelagstiftningen att programlicenser skall kostnadsföras. 8
Vad gäller dataprogram är grundregeln att de kostnadsförs löpande. Det finns en möjlighet, att med stöd av lagen, bokföra inköp av dataprogram som investeringar i immateriella anläggningstillgångar. Denna bokföringsmetod accepteras dock enbart under förutsättning att ett antal speciella omständigheter föreligger. 2.3.3 Interna redovisningsregler och riktlinjer Landstingets interna regler och tillämpningsanvisningar fastställer att dataprogram och programlicenser skall kostnadsföras löpande. Vår granskning av bokföringen under 2007 (se metodavsnittet) visar att så också sker. Bedömning: Granskningen av bokföringen visar att redovisningen av dataprogram och licenser sker enligt gällande föreskrifter. Tillämpade redovisningsprinciper strider inte heller mot lagstiftning eller god redovisningssed. 9