Botkyrka kommun Granskning av processer runt misstänkta oegentligheter inom Samhällsbyggnadsförvaltningen Ernst & Young AB Granskningsrapport 2014-01-10
Innehållsförteckning 1 Uppdraget... 2 1.1 Granskningens inriktning... 2 1.1.1 Granskningens genomförande och metodik... 2 1.2 Avgränsningar... 3 2 Granskningsresultat... 3 2.1 Processen för inköp och utbetalningar... 3 2.1.1 Attest av leverantörsfakturor... 3 2.1.2 Hantering av leverantörsregister... 4 2.1.3 Manuell fakturahantering... 5 2.1.4 Accesser för registrering av fasta data i leverantörsregister och utbetalning... 6 2.1.5 Makulerade fakturor... 6 2.2 Budgetering och uppföljning samt slutredovisning avseende investeringsprojekt... 7 2.2.1 Delegationsordning... 7 2.2.2 Uppföljning av investeringsprojekt... 7 2.2.3 Processbeskrivning över kalkylering och uppföljning av projekt... 7 2.3 Upphandling och inköp... 8 2.3.1 Direktupphandling... 8 3 Sammanfattande slutsatser och rekommendationer... 9
1 Uppdraget I mitten av november 2013 kontaktades Ernst & Young AB ( EY ) av Botkyrka Kommun ( kommunen ) med anledning av att misstänkta oegentligheter uppdagats inom Samhällsbyggnadsförvaltningen på Botkyrka Kommun. Under 2013 har ett antal fakturor identifierats där oklarheter om innehåll och leverans funnits. Fakturorna kan spåras tillbaka till 2008 och kommer från leverantörer i byggbranschen. Leverantörerna finns i samma krets av företag och har gemensamma ägare alternativt gemensamma funktionärer. Fakturorna har attesterats av en tidigare anställd och olika chefer (som varit ett flertal under åren). 1.1 Granskningens inriktning Med anledning av ovanstående önskade kommunen att EY i samband med utredningen av de misstänkta oegentligheterna utreda om fakturahantering och övriga berörda rutiner stått i överenstämmelse med interna kommunala regelverk och rutiner samt ge förslag till förbättringar av intern kontroll. Genomförd granskning av intern kontroll har utförts parallellt med utredningen avseende misstänkta oegentligheter. 1.1.1 Granskningens genomförande och metodik Nedan beskriver vi de delar av uppdraget som avser granskningen av intern kontroll Vid vår processgenomgång har vi tagit del av befintliga styrdokument och rutinbeskrivningar samt övriga relevanta underlag för nedanstående processer med syfte att skapa förståelse för nu gällande samt historiska processer och rutiner. Analys har sedan skett av erhållen dokumentation. De processer som har berörts av utredningen är: Inköp och utbetalningar Upphandling Budgetering och uppföljning samt slutredovisning avseende investeringsprojekt Intervjuer har genomförts med relevanta personer från kommunen på följande enheter: Samhällsbyggnadsförvaltningen (SBF) inkluderande ekonomer Upphandlingsenheten Centrala ekonomifunktionen Vår granskning syftar till att på en övergripande nivå förstå befintliga regelverk och rutiner samt identifiera risker som inte förebyggs av existerande kontrollsystem. Vidare har vi utvärderat existerande kontroller samt om dessa är effektiva. Om behov finns att vidare stärka kontrollmiljön kring ovanstående processer har vi även inkluderat detta i våra rekommendationer. 2
I samband med utredningen har vi utfört en genomgång av en mängd fakturor under perioden 2008-2013, som har hanterats i det elektroniska fakturahanteringssystemet samt det manuella flödet för att identifiera eventuella brister i intern kontroll. Uppdraget avrapporteras genom denna rapport. 1.2 Avgränsningar I samband med vår utredning har svagheter i befintliga processer och rutiner identifierats. Dessa svagheter beskrivs nedan. Till detta har även rekommendationer bifogats som förslag till förbättringar. Våra noteringar nedan kan ej beaktas som fullständiga processgenomgångar, varför det kan finnas ytterligare svagheter som vi ej har identifierat. Perioden som varit föremål för granskningen avser åren 2008-2013. Under denna period har rutiner och processer förändrats. I de fall väsentliga historiska svagheter med kopplingar till utredningen har identifierats har vi valt att lyfta fram även dessa. Ett framåtriktat förändringsarbete avseende intern kontroll har inletts under 2013. Detta väntas leda till en förbättrad internkontrollmiljö. Detta förändringsarbete är inte belyst i sin helhet i denna rapport, men berörs i vissa fall. Våra iakttagelser avser endast intern kontroll inom SBF. Vi kan sålunda inte uttala oss om den interna kontrollen hos övriga förvaltningar i kommunen. 2 Granskningsresultat Vid vår granskning har vi noterat ett antal risker där befintliga kontroller behöver utvecklas alternativt avsaknad av kontroller. Nedan redogörs för våra iakttagelser i avvikelseform och våra rekommendationer baserat på dessa. 2.1 Processen för inköp och utbetalningar Kommunen har två olika flöden, ett elektroniskt och ett manuellt, där leverantörsfakturor kan hanteras från registrering till utbetalning. I det elektroniska flödet scannas leverantörsfakturor som ankommer till kommunen externt av ett företag som heter Recall AB. Fakturorna registreras då i Economa IoF (Inköp och faktura) som är ett system för fakturahantering med elektronisk attest. I det manuella flödet registreras leverantörsfakturan direkt in i redovisningssystemet med manuell attest på den fysiska fakturan, se vidare nedan. 2.1.1 Attest av leverantörsfakturor Enligt kommunens reglemente för budgetansvar och internkontroll ska alla fakturor attesteras två i förening, dels av en mottagningsattestant och dels av en beslutsattestant med följande inbyggda kontrollåtgärder: Beställnings-/Mottagningsattest Innefattar kontroll mot leverans/prestation samt underlagets riktighet. Transaktioner skall vara beställnings-/mottagningsattesterade innan beslutsattestering sker. Beställnings-/mottagningsattest får utföras av samtlig personal som köper eller beställer varor och tjänster. 3
Beslutsattest Innefattar kontroll mot underlag/beställning/beslut och villkor samt underlagets riktighet. Beslutsattestanten har ansvaret för att prestationer och transaktioner och deras underlag stämmer med beslut eller planer, att behöriga personer agerat samt att villkor är riktiga. Beslutsattestanten ansvarar också för att konteringen är korrekt. Attester i det elektroniska flödet och vem som får attestera vad styrs av parametrar som sätts av centrala ekonomifunktionen i enlighet med beslutad delegation. Det råder dock otydlighet gällande beloppsgränser för olika roller inom SBFs organisation. Attester på manuella fakturor ska styrkas av namnteckningsprov på samtliga beslutsattestanter, vilket sedan förvaras på den centrala ekonomienheten. I det manuella flödet har vi identifierat fakturor som har beslutsattesteras trots att mottagningsattestant saknas. Vidare har ett stort antal fakturor mottagningsattesterats av medarbetare på ekonomienheten (SBF:s), utan rimlig möjlighet att verifiera leverans/ prestation samt underlagets riktighet. Förteckningen med namnteckningsprov över beslutsattestanter har utökats med ytterligare personer genom handskrivna noteringar utan formell signatur eller godkännande från överordnad. Vi har även identifierat fakturor som utbetalats, som inte varit utställda på kommunen samt leverantörer som inte är registrerade för F-skatt och/eller mervärdesskatt. Risk som identifierats är att utbetalning av fakturor kan ske trots att varor och tjänster inte levererats till kommunen. Attestkontrollen är en av kommunens nyckelkontroller som ska säkerställa utbetalning inte sker avseende fakturor där varor och tjänster inte levererats. Denna kontroll är av yttersta vikt, varför de anställdas förståelse för vad en mottagnings- respektive beslutsattest innebär måste säkerställas, exempelvis genom utbildningsinsatser. Vi rekommenderar dessutom att attestkontrollen utökas till att även omfatta kontroll av att fakturan är ställd till rätt mottagare samt att korrekta uppgifter anges på fakturan. Aktuellt attestreglemente bör dessutom formaliseras och uppdateras med att omfatta aktuella beloppsgränser. Kommunen bör säkerställa att förändringar i attestbehörigheter formellt dokumenteras och godkänns. Kontroller avseende manuellt hanterade fakturor bör stärkas så att det säkerställs att fakturor attesteras i enlighet med fastställda attestregler om attest av två i förening. 2.1.2 Hantering av leverantörsregister Vid vår granskning har vi noterat brister i rutinerna runt registrering av fasta data i leverantörsregistret. Exempel på detta är flertalet registrerade dubbletter av en och samma leverantör, ej uppdaterade leverantörsnamn och felaktiga bankgironummer samt organisationsnummer. En förklaring till detta är att kommunen historiskt registrerat leverantörer utifrån bankgironummer och inte organisationsnummer. Ovanstående problematik har identifierats av kommunen och ett nytt leverantörsregister har upprättats där dubbletter har rensats ut och registrering sker nu med sortering på organisationsnummer. 4
som identifierats är att utbetalning inte görs till den beslutade leverantörens bankkonto utan till en annan leverantör, fiktiv leverantör alternativt privatperson. Vi rekommenderar kommunen att säkerställa fortsatt registrering baserat på organisationsnummer och i samband med registrering av nya leverantörer utföra en kontroll mot Bolagsverket eller liknande register för att förebygga risken för att utbetalning sker till fiktiv leverantör. Vidare rekommenderar vi kommunen att se över accesser för registrering av fast data i leverantörsregistret och säkerställa att detta steg inte utförs av samma person som sedan utanordnar en betalning eller attesterar en faktura. För att ytterligare förstärka kontrollmiljön rekommenderar vi att en regelbunden kontroll av logglista över förändringar i fast data i leverantörsregistret införs. Kontrollen bör utföras av annan person än de som dagligen hanterar förändringar i leverantörsregistret. Genomgångna logglistor bör attesteras och sparas så att möjlighet till spårbarhet av utförd kontroll finns. 2.1.3 Manuell fakturahantering Historiskt sett har en stor andel leverantörsfakturor registrerats och hanterats via det manuella fakturaflödet inom kommunen. Det kan handla om sent ankomna fakturor och betalningspåminnelser där utbetalningen brådskar. Registrering av manuella fakturor utanför fakturahanteringssystemet sker av medarbetare på central ekonomi. Fakturorna konteras och attesteras på den fysiska kopian och skickas sedan till den centrala ekonomienheten för betalning. Enligt kommunens regelverk ska det finnas en mottagningsattestant samt en beslutsattestant på samtliga fakturor. Under våren 2013 har kommunen skapat en ny rutin där möjlighet att skanna fakturor lokalt finns för att även sena fakturor ska kunna hanteras via fakturahanteringssystemet IoF med elektronisk attest. Vid vår granskning av fakturor som hanterats i det manuella flödet har vi identifierat fakturor som utbetalats med enbart beslutsattest samt fakturor som har betalats dubbelt. Detta eftersom ingen elektronisk kontroll finns av eventuella dubbla fakturor när dessa hanteras via det manuella flödet. Manuella fakturahanteringar innebär generellt högre risker för ekonomiska oegentligheter än för fakturor som hanteras i det elektroniska flödet. En risk som identifierats är att fakturor registreras och utbetalas flera gånger baserat på samma underlag. En ytterligare risk är också att utbetalningar görs av helt eller delvis felaktiga fakturor. Vi rekommenderar kommunen att säkerställa att samtliga leverantörsfakturor hanteras via det elektroniska fakturahanteringssystemet med elektronisk attest och automatiska kontroller som förebygger dubbla utbetalningar baserat på samma underlag. Den manuella fakturahanteringen bör minimeras för att minska risken för felaktiga utbetalningar. 5
2.1.4 Accesser för registrering av fasta data i leverantörsregister och utbetalning För att säkerställa en god kontrollmiljö kring hantering av fakturor och utbetalningar är det av vikt att upprätthålla en ändamålsenlig fördelning av arbetsuppgifter där en och samma person inte har möjlighet att på egen hand utföra flera väsentliga steg i processen. Flera personer på centrala ekonomifunktionen har haft möjlighet att registrera förändringar i leverantörsregistret samt utanordna betalningar. Historiskt sett har bristande dualitet förekommit avseende utbetalningar i det manuella flödet, men idag krävs två personer i förening. Samma personer har även möjlighet att styra och förändra accesser för attest i det elektroniska fakturahanteringssystemet samt även i vissa fall mottagningsattestera. En risk som identifierats är att fiktiva leverantörer eller felaktiga ändringar i fast data registreras i leverantörsregistret och utbetalning görs till felaktig mottagare. Under slutet av 2013 har en intern genomlysning av ovanstående process genomförts för att hantera ovanstående risker. Ett förändringsarbete är initierat. Vi rekommenderar kommunen att priorietera detta arbete så att befintliga accesser till ändringar av fasta data i leverantörsregistret och ansvarsfördela så att dessa ändringar inte görs av personer som har rätt att attestera leverantörsfakturor och/eller genomföra utbetalningar. Dessutom bör hanteringen av styrning och förändring av parametrar avseende attester av leverantörsfakturor förbättras så att förändringar görs av personer utan attesträtt och inte heller hanterar utbetalningar. Detta för att en ändamålsenlig ansvarsfördelning ska kunna säkerställas. 2.1.5 Makulerade fakturor I vår utredning har vi påträffat ett flertal makulerade fakturor. Om en faktura erhålles med felaktiga uppgifter är det normala förfarande att leverantören kontaktas och att de ställer ut en kreditfaktura. Risk finns att fordran hos leverantör kvarstår och att leverantören ställer krav på betalning av kommunen. Dessutom är många makulerade fakturor en indikator på att det kan finnas ekonomiska oegentligheter relaterat till de makulerade fakturorna. Vi rekommenderar kommunen att minimera förekomsten av makulerade fakturor. Leverantörerna bör kontaktas om felaktiga fakturauppgifter identifieras vid attestkontroll och överenskommelse om att kreditera fakturan bör således ingås. Dessutom bör en genomgång genomföras av historiska makulerade fakturor under de senaste åren för att utreda om något mönster finns avseende leverantörer, attestanter etc. Detta för att utesluta att de makulerade fakturorna indikerar någon form av oegentlighet. En sådan genomgång bör sedan göras regelbundet. 6
2.2 Budgetering och uppföljning samt slutredovisning avseende investeringsprojekt 2.2.1 Delegationsordning Inom kommunen och Samhällsbyggnadsförvaltningen finns en skriftligt dokumenterad delegationsordning daterad 2011-01-14. Denna reglerar förhållandet mellan chefen för Samhällsbyggnadsförvaltningen och Tekniska nämnden, men tydliggör inte ansvar och befogenheter för roller vidare ner i organisationen. Risk som identifierats är att medarbetare fattar beslut utanför formellt ansvar och sin befogenhet om detta inte finns tydligt dokumenterat. Vi rekommenderar att nuvarande delegationsordning utvecklas så att den tydliggör ansvar och befogenheter för enskilda medarbetare för alla väsentliga roller i organisationen. 2.2.2 Uppföljning av investeringsprojekt Historiskt sett har en stor del av prognos- och uppföljningsarbetet hanterats av enskild medarbetare med ett ekonomiskt ansvar över väsentliga finansiella resurser utan strukturerad insyn från överordnad chef och nämnd. Dokumentationen har varit bristfällig. Kommunen har därmed inte uppnått en ändamålsenlig fördelning av arbetsuppgifter. Det pågår ett arbete för att förstärka rutinerna kring detta. Under 2012 och 2013 har nya rutiner implementerats med regelbunden redovisning till överordnad chef och nämnd för att säkerställa kontinuerlig uppföljning och möjligheten att upptäcka avvikelser i rätt tid. Idag genomförs på månadsbasis möten där statusrapportering sker till Fastighetschef. Kraven för dokumentation inför rapporteringsmöte med överordnad chef är dock inte fastställda och behöver utvecklas, vilket är en grund för att ovanstående forum för rapportering ska utgöra en effektiv kontroll. Risken med att utfall inte analyseras och dokumenteras på ett strukturerat sätt på regelbunden basis är att verksamhetens finansiella resurser inte styrs och används på ett ändamålsenligt sätt. Det finns även risk att väsentliga fel och/eller oegentligheter redovisas och inte upptäcks i tid. Vi rekommenderar att kraven för rapportering på månadsbasis ytterligare formaliseras för att säkerställa att tillräcklig och ändamålsenlig information tas fram och dokumenteras. För att ovanstående forum ska utgöra en effektiv kontroll krävs detaljerade underlag och utmanande frågeställningar. Vidare behöver processen för hur avvikelser hanteras med eskaleringsgångar och beslut tydliggöras. 2.2.3 Processbeskrivning över kalkylering och uppföljning av projekt För närvarande saknar kommunen en processbeskrivning över kalkylering, uppföljning samt slutredovisning av projekt. Detta har även påpekats i en revisionsskrivelse från PwC till kommunen daterad 2013-06-03. Enligt handlingsplan, till denna granskning av investeringsprojekt, ansvarar nuvarande Fastighetschef för framtagandet av en processbeskrivning, vilken beräknas färdigställas under 2014 7
Avsaknad av dokumenterad och formell process kring kalkylering och uppföljning kan resultera i att beslut om investeringar/åtgärder fattas på felaktig grund och eventuella avvikelser inte hanteras och/eller att hanteringen fördröjs. Vi betonar vikten av att prioritera att en processbeskrivning upprättas, att processen formaliseras genom skriftlig dokumentation och kommuniceras till relevanta parter inom organisationen. I processbeskrivningen skall det klart framgå hur kalkyler tas fram och vilket innehåll som krävs. Det ska även framgå hur och till vilken frekvens uppföljning av projektkalkyler ska genomföras samt fastslå hur återrapportering av eventuella avvikelser ska rapporteras och hanteras. 2.3 Upphandling och inköp Upphandlingsenheten ansvarar för upphandlingsprocessen och kvalitetssäkrar kommunens upphandlingar. Övergripande styrs hanteringen av kommunens upphandlings- och inköpspolicy som fastställts av kommunfullmäktige 2012-12-13. För att underlätta inköp och effektivisera upphandlingsverksamheten tecknar kommunen ramavtal för varor och tjänster som köps frekvent. Direktupphandling får endast förekomma om ramavtal saknas, och att gällande beloppsgränser som är fastställda enligt lag inte överskrids. 2.3.1 Direktupphandling Vid vår granskning har vi noterat fall där direktupphandling har skett överstigande gällande beloppsgränser, utan involvering av upphandlingsenheten samt leverantörer som fakturerat väsentliga belopp utan att avtal finns. Kommunen har påbörjat ett förbättringsarbete där regelbundna möten mellan fastighetsenheten och upphandlingsenheten hålls. Upphandlingar och upphandlingskontrakt (avtal) följs upp årligen i samband med genomförd internkontrollplan som rapporteras till kommunstyrelsen. Enligt policy ska kontroll av leverantör genomföras för att säkerställa att dessa sköter sina förpliktelser avseende skatter och sociala avgifter. Vi har noterat direktupphandlingsrapporter där denna kontroll ej dokumenterats samt leverantörer som inte registrerats hos Bolagsverket, saknar F-skatt eller inte är registrerade för mervärdesskatt. Om policy för upphandling och inköp inte efterlevs finns risk för att regulatoriska krav överträds och inköp från ej godkända/fiktiva leverantörer sker. Risk finns också att beslut om inköp sker helt eller delvis utan affärsmässig grund. Vi rekommenderar kommunen att fortsätta arbetet med att säkerställa att policyn för upphandling och inköp efterlevs. Vi betonar vikten av att den är tillräckligt kommunicerad och förstådd av berörda medarbetare samt att sanktioner finns tydliggjorda om överträdelser identifieras. Kontroller bör implementeras för att säkerställa att direktupphandlade leverantörer som överstiger maximala beloppet för direktupphandling fångas upp. 8
Vidare bör kommunen säkerställa att utförlig leverantörskontroll genomförs och dokumenteras regelbundet. Leverantörskontroller bör som minimum innefatta kontroll av ekonomisk status och hantering av skatter och avgifter och genomföras på regelbunden basis, förslagsvis årligen. 3 Sammanfattande slutsatser och rekommendationer Utifrån genomförd granskning kan vi konstatera följande brister i rutiner och intern kontroll: Attestrutiner har frångåtts och kontrollen behöver förstärkas för att effektivt förebygga att utbetalning sker till felaktig mottagare alternativt betalning görs avseende ej erhållna varor och tjänster. Rutiner för upphandling och inköp har ej efterlevts. Leverantörer har direktupphandlats utan ramavtal och överstigande gällande beloppsgränser. Stora brister har historiskt förekommit i kommunens hantering av leverantörsregister. Dubbletter av en och samma leverantör, felaktiga leverantörsnamn, felaktiga organisationsnummer samt bankgironummer har förekommit. I processen för inköp och utbetalningar saknas upptäckande kontroller för att spåra förändringar i fast data i leverantörsregistret, exempelvis i form av attester av logglistor med ändringar av fast data i leverantörsregistret. Ändringar av fasta data i leverantörsregistret kan utföras av ett flertal personer som också kan attestera fakturor och/eller delvis initiera en utbetalning. Ett flertal leverantörsfakturor har registrerats och utbetalats via det manuella fakturaflödet med avsaknad av kontroller för att upptäcka dubbla utbetalningar baserat på samma underlag. Bristande dualitet avseende utbetalningar i det manuella fakturaflödet har tidigare förekommit där samma person tidigare kunnat attestera, registrera och göra utbetalningar. Rutiner har nu förstärkts så att registrering och utbetalning inte hanteras av en och samma person. Ekonomiskt ansvar för investeringsprojekt har ej varit tillräckligt tydliggjort och arbetsfördelningen samt rapporteringsstruktur har inte varit ändamålsenlig. Processen för rapportering och slutredovisning av investeringsprojekt har inte varit formaliserad. Uppföljning har inte skett med en strukturerad metod för att upptäcka eventuella avvikelser. Baserat på ovanstående slutsatser rekommenderar vi kommunen följande: Att befintlig attestkontroll utökas till att även omfatta kontroll av att fakturan är ställd till rätt mottagare samt att fullständiga uppgifter anges på fakturan. Att kontroller avseende manuellt hanterade fakturor bör stärkas så att det säkerställs att fakturor attesteras i enlighet med fastställda attestregler om två i förening. Att fortsatt registrering av leverantörer baserat på organisationsnummer samt införa kontroll mot bolagsregister för att förebygga risken att utbetalning sker till fiktiv leverantör. Att införa en upptäckande kontroll i form av genomgång av logglista avseende förändringar i fasta data. 9
Att den manuella fakturahanteringen minimeras och att leverantörsfakturor alltid hanteras via det elektroniska fakturahanteringssystemet med automatiska kontroller som förebygger risken för dubbla utbetalningar baserat på samma underlag. Att utföra en genomgång av befintliga systemaccesser och begränsa dessa behörigheter så att en ändamålsenlig ansvarsfördelning säkerställs avseende registrering av fasta data i leverantörsregistret, attestbehörigheter och utbetalning. Att nuvarande delegationsordning utvecklas och tydliggör ansvar och befogenheter för enskilda medarbetare med väsentliga roller i organisationen. Att kraven för rapportering på månadsbasis ytterligare formaliseras för att säkerställa att tillräcklig och ändamålsenlig information tas fram och dokumenteras. Att arbetet med upprättande av processbeskrivningar avseende kalkylering och uppföljning av projekt prioriteras och att implementering genomförs. Att fortsätta arbetet med att säkerställa att policy för inköp och upphandling efterlevs, att den är tillräckligt kommunicerad och förstådd av berörda medarbetare samt att sanktioner finns tydliggjorda om överträdelser identifieras. Att leverantörskontroller genomförs och dokumenteras på regelbunden basis. 10