Revisionsrapport Intern kontroll i faktura- och lönehantering AB Kristianstadsbyggen 2009-12-16 Silja Savela Yvonne Lundin
Innehållsförteckning 1 Sammanfattande bedömning...1 2 Bakgrund, syfte och revisionsfråga...2 2.1 Metod och avgränsning...2 3 Iakttagelser...3 3.1 Dokument...3 3.1.1 Intern kontroll...3 3.1.2 Attestreglemente...3 3.2 Rutinbeskrivningar...4 4 Fakturahantering...4 4.1 Rutin för behörigheter och lösenord...5 4.2 Rutiner för efterkontroll av upplagda leverantörer och registrerade fakturor...5 4.3 Rutiner för behandling av eventuella sekretessfakturor...5 4.4 Attestförteckningens aktualitet och efterlevnad...5 4.5 Granskning av ett urval av fakturor...6 5 Lönehantering...6 5.1 Rutiner för uppdatering och registrering av uppgifter i personalregistret...6 5.2 Rutiner för rapportering, godkännande och registrering av löneunderlag...7 5.3 Rutiner för utbetalning av löner...7 5.4 Granskning av ett urval löneunderlag...7 6 Revisionell bedömning och åtgärdsförslag...8
1 Sammanfattande bedömning Kristianstads kommuns revisorer har gett Öhrlings PricewaterhouseCoopers i uppdrag att granska intern kontroll i faktura- och lönehantering. Revisionsfrågan som ställts är om bolagets rutiner och system uppfyller de krav som kan ställas ur internkontrollsynpunkt gällande bolagets faktura- och lönehantering. Till följd av vår granskning som genomförts genom intervjuer, dokumentstudier och stickprovskontroller på leverantörsfakturor och underlag till löneutbetalningar görs följande sammanfattande bedömning: Bolagets rutiner och system för faktura- och lönehantering uppfyller till största delen de krav som kan ställas ur internkontrollsynpunkt. Granskningen visar dock att det finns brister, enligt nedan, som utgör utvecklingsområden för att ytterligare förstärka den interna kontrollen. Vi konstaterar vid granskningen att bolaget saknar kontrollmål i sin internkontrollplan avseende faktura- och lönehanteringen, att attestregler saknas för hantering av elektroniska attester, att dokumentation i pappersform över användare och deras behörigheter inte går att hämta fram ur systemet men att uppgifterna kan ses på dataskärm, att bara en person i bolaget kan genomföra lönebearbetning, att det saknas dokumenterade rutiner för efterkontroll då nya leverantörer läggs in i systemet. Vi rekommenderar därför: att bolaget överväger att föra in kontrollmål avseende faktura- och lönehantering i internkontrollplanen att bolagets attestregler kompletteras med regler för elektroniska attester att rutinerna ändras så att flera personer kan genomföra lönebearbetning att bolaget upprättar dokumenterade rutiner för efterkontroll då nya leverantörer läggs in i systemet AB Kristianstadsbyggen, Intern kontroll i faktura- och lönehantering 1(8)
2 Bakgrund, syfte och revisionsfråga Av kommunallagens 9 kap 9 framgår bland annat att revisorerna ska pröva om den interna kontrollen som görs inom nämnderna är tillräcklig. Nämndernas ansvar i detta arbete framgår av kommunallagen 6 kap 7 i vilken det stadgas att nämnderna ska se till att den interna kontrollen är tillräcklig. Nämnderna ansvarar för en ändamålsenlig styrning så att verksamheten bedrivs på ett effektivt sätt och att det finns säkra rutiner som förhindrar förlust för kommunen och som säkerställer att redovisningen är rättvisande. Samma krav ställs på verksamhet som bedrivs i kommunala företag där styrelsen har motsvarande ansvar för den interna kontrollen. Syftet med granskningen är att kontrollera om bolagets rutiner och system uppfyller de krav som kan ställas ur internkontroll synpunkt. Granskningen berör följande områden: Fakturahanteringen (Leverantörsfakturor) Lönehanteringen Generella kontrollmål: Är rutinbeskrivningar och intern kontrollreglemente tillräckliga? Är dokumentationskraven tillräckliga? Kontrollmål gällande fakturahanteringen: Rutiner för hantering av behörigheter och lösenord Rutiner för efterkontroll av upplagda leverantörer och registrerade fakturor Rutiner för behandling av eventuella sekretessfakturor Attestförteckningens aktualitet och efterlevnad Kontrollmål gällande lönehanteringen Rutiner för uppdatering och registrering av uppgifter i personalregistret Rutiner för rapportering, godkännande och registrering av löneunderlag Rutiner för utbetalning av löner 2.1 Metod och avgränsning Vi har intervjuat berörda personer på ekonomi- och personalavdelningen samt ansvariga för den interna kontrollen. Vi har tagit del av aktuella dokument samt granskat ett antal leverantörsfakturor och löneunderlag för att bedöma om den interna kontrollen är tillräcklig. AB Kristianstadsbyggen, Intern kontroll i faktura- och lönehantering 2(8)
Gällande fakturahantering omfattas endast leverantörsfakturor. Genom stickprov har ett antal fakturor och löneunderlag har granskats. Rapporten har faktagranskats av ekonomichefen. 3 Iakttagelser 3.1 Dokument 3.1.1 Intern kontroll AB Kristianstadsbyggen:s styrelse har i januari 2008 fastställt policy för intern kontroll. Policyn innehåller syfte med den interna kontrollen, ansvarsfördelning samt vad som utgör grunden för företagets interna kontroll. Styrelsen beslutar årligen vilka områden som ska granskas under året, i januari 2009 beslutades om följande granskningsområden för året: Intäktsrutinen Kvittohantering Bisysslor Projektuppföljning Resultatet av genomförda granskningar redovisas till styrelsen i januari kommande år. Ett arbete har påbörjats med utveckling av internkontrollplanen. 3.1.2 Attestreglemente Styrelsen har 2002-10-24 fastställt regler för firmateckning samt attest- och utanordningsplan. Följande områden regleras: Ansvar och befogenheter i ekonomiska hänseenden Attestens innebörd och syfte Begränsningar Skyldigheter för attestberättigad Delegering av attesträtt Ställföreträdare Ansvarsfördelning och särskilda bestämmelser för bland annat o Representation o Avtal överstigande visst belopp o Inköp av maskiner överstigande visst belopp Som bilaga till attestreglementet finns en förteckning över attestanter. AB Kristianstadsbyggen, Intern kontroll i faktura- och lönehantering 3(8)
En översyn av reglerna pågår. 3.2 Rutinbeskrivningar Bolaget har dokumenterade rutiner för leverantörsfakturahantering och lönehantering. I dokumenten beskrivs flödet i processerna från registrering till utbetalning samt behörighets- och ansvarsfördelning. 4 Fakturahantering Bolaget tillämpar elektronisk fakturahantering så till vida att inkommande pappersfakturor skannas in och all hantering därefter sker elektroniskt. Bolaget använder sig av systemet Invoice Manager för fakturahanteringen. Totalt hanteras ca 28 000 leverantörsfakturor årligen i bolaget. I systemet finns ca 130 användare varav 12 har beslutsattesträtt. Pappersfakturorna skannas in, vilket innebär att varje faktura avfotograferas. Uppgifterna i fakturorna tolkas (inläsning av uppgifter i fakturan) och verifieras (manuell kontroll att uppgifterna har lästs in korrekt). Fakturorna skickas därefter elektroniskt till respektive handläggare. Varje handläggare har ett referensnummer som används i samband med beställning. Det är referensnumret som styr till vilken handläggare fakturan skickas. De fakturor som saknar referensnummer går automatiskt till systemansvarig för vidare kontroll och vidarebefordran till aktuell handläggare. Handläggaren har möjlighet att varje morgon få ett meddelande via e-post att det finns fakturor för handläggning. När handläggaren loggar in i systemet, ser han/hon bild på fakturan och samliga uppgifter som har registrerats gällande fakturan, exempelvis belopp, betalningsdag med mera. Handläggaren konterar fakturan och godkänner den genom funktionen sakgranskning, vilket innebär att fakturan godkänns och handläggarens signatur registreras. Sedan skickas fakturan vidare till den som ska beslutsattestera fakturan. Attestanten har möjlighet att ändra på konteringen. Systemet är inställt så fakturan ska vara sakgranskad och attesterad av två olika personer innan den blir klar för betalning. Utbetalning sker dagligen genom att en elektronisk betalningsfil skapas och skickas till banken, som ombesörjer att fakturorna betalas på förfal- AB Kristianstadsbyggen, Intern kontroll i faktura- och lönehantering 4(8)
lodagen. Betalning registreras i ekonomisystemet genom inläsning av betalningsfilen och bokföring sker dagen efter. 4.1 Rutin för behörigheter och lösenord Inom bolaget finns två personer som har behörighet att lägga in/ändra användarnas behörigheter. Ekonomichefen beslutar vilka begränsningar i belopp och behörigheter i kontering som respektive användare får. Attesträtten styrs av attestreglementet och innebär att attestanterna har möjlighet att attestera på resultatenhet, projekt eller konto för vilket han/hon ansvarar. Från och med 1 november 2009 ska alla förändringar i begränsningar och behörigheter dokumenteras och signeras av ekonomichef. Någon samlad dokumentation över användare och deras behörigheter finns inte i pappersform. Uppgifterna finns i systemet och kan ses på skärmen, men någon samlad skriftlig förteckning där samtliga uppgifter framgår på ett tydligt sätt går inte att skriva ut. Systemet är inställt så att samma lösenord som används vid inloggning i bolagets nätverk även gäller i fakturahanteringssystemet. Kravet på lösenord är minst sex tecken, varav minst en bokstav, en versal och en siffra. Lösenordsbyte krävs var tredje månad. 4.2 Rutiner för efterkontroll av upplagda leverantörer och registrerade fakturor Vid nyupplägg av leverantörer genomförs en kontroll hos Skattemyndigheten att F- skattesedel finns, att det på fakturan finns angivet beställare och att den i övrigt ser rimlig ut. Någon regelbunden efterkontroll av nyupplagda leverantörer görs inte, dock genomförs stickprovskontroller under året. Efterkontroll av registrerade fakturor görs löpande under året genom avstämning av listor över sända utbetalningar från banken, samt genom avstämning av leverantörsreskontra mot huvudbok. 4.3 Rutiner för behandling av eventuella sekretessfakturor Några sekretessfakturor förekommer inte i bolaget. 4.4 Attestförteckningens aktualitet och efterlevnad Attestförteckningen är uppdaterad under året. Den uppdateras kontinuerligt vid förändringar. Av de stickprovskontroller som vi har genomfört framgår att samtliga fakturor har attesterats av rätt person. AB Kristianstadsbyggen, Intern kontroll i faktura- och lönehantering 5(8)
4.5 Granskning av ett urval av fakturor En granskning av ca 40 fakturor bokförda mellan januari och september 2009 har genomförts. Urvalet har skett genom att olika typer av kostnadskonton, beloppsintervaller och fakturor med viss förfallodag har valts ut. Kontrollerna har avsett: Att fakturan har registrerats inom rimlig tid Att betalning har gått till rätt mottagare med rätt belopp Att rätt moms har registrerats Att beslutsattest av egna kostnader inte har skett Att fakturan är komplett och att bilagor finns med Att rätt person har beslutsattesterat och att samtliga attestnivåer finns Att fakturan är betald i tid. Vid granskningen uppfyller samtliga fakturor ovanstående krav. Samtliga fakturor har registrerats inom rimlig tid (i de flesta fall ankomstdagen). Kedjan ankomstregistrering till slutregistrering sker i de flesta fall inom 14-21 dagar. 5 Lönehantering Bolaget använder sig av personaladministrationssystemet Agda för hantering och utbetalning av löner, reseräkningar och övriga utlägg samt för tidsredovisning. Totalt betalas lön ut till ca 155 anställda. Under sommarmånaderna görs löneutbetalningar därutöver till ytterligare ca 50 60 vikarier. Arvoden till styrelseledamöterna utbetalas under hela året. I systemet finns olika typer av behörigheter: systemansvarig som registrerar grunduppgifter om anställda samt tilldelar behörigheter för användare, 2 personer lönebearbetning, 1 person arbetsledare och chefer som har rätt att attestera händelser i systemet, 10 personer anställda som har rätt att registrera avvikelser, exempelvis semester, sjukfrånvaro med mera för egen del, 150 200 personer. Behörigheterna har styrts så att ingen ska kunna attestera uppgifter för egen del. Det finns en förteckning över vilka personer som har behörigheter i de olika systemen. 5.1 Rutiner för uppdatering och registrering av uppgifter i personalregistret Alla grundläggande anställningsuppgifter samt ändringar som inte föranleds av ordinarie lönerevision registreras av lönehandläggare utifrån godkända underlag (anställningsbevis) AB Kristianstadsbyggen, Intern kontroll i faktura- och lönehantering 6(8)
från respektive arbetsledare. Vid lönerevision används en förteckning med uppgift om de nya lönerna, undertecknad av VD, personalchef och fackliga företrädare, som underlag för registrering av de nya lönerna. 5.2 Rutiner för rapportering, godkännande och registrering av löneunderlag Löneutbetalning baseras på uppgifterna från anställningsavtalet samt den rapportering som har gjorts i tidsredovisningssystemet. Respektive arbetsledare kontrollerar och attesterar inrapporterade uppgifter i tidsredovisningssystemet för de personer de har ansvaret för. I de fall personalen har haft några utlägg för resor eller annat, registreras uppgifterna i systemet av respektive anställd. Vid månadens slut skriver den anställde ut reseräkningen, bifogar eventuella kvitton och lämnar till respektive överordnad för attest. Därefter skickas reseräkningen till lönehandläggaren som kontrollerar den och därefter attesterar i systemet. 5.3 Rutiner för utbetalning av löner Vid bestämda tidpunkter varje månad ska samtliga arbetsledare ha attesterat uppgifterna i tidsredovisningssystemet. Lönehandläggaren hämtar uppgifterna till lönesystemet där en löneberäkning görs och lönespecifikation per person skrivs ut. Lönehandläggaren kontrollerar att uppgifterna överensstämmer med underlagen. Efter genomförd kontroll skrivs ett utbetalningsunderlag ut som visar total lön per person. Personalchefen kontrollerar och attesterar utbetalningsunderlaget. En fil med uppgifterna skickas till banken som ombesörjer att lönerna betalas ut. Bankfilen signeras av löneadministratören. Betalningsbekräftelse från banken kommer via e-mail till ekonomichefen som vidarebefordrar den till ansvarige för kassaredovisning. Efter genomförd löneutbetalning skapas en bokföringsorder i systemet som används som underlag vid bokföring i bolagets ekonomisystem. Lönehandläggaren har ingen ersättare som kan genomföra lönebearbetningen vid dennes frånvaro. 5.4 Granskning av ett urval löneunderlag Vi har genomfört ett antal kontroller av löneunderlag och behörigheter i systemet. Kontrollerna avser löner utbetalda under 2009. Kontrollerna har avsett: Att anställningsavtal är underskrivna av behörig person Att underlaget som används för utbetalning har attesterats av personalchef AB Kristianstadsbyggen, Intern kontroll i faktura- och lönehantering 7(8)
Att behörigheten för ett urval av arbetsledare i tidrapporteringssystemet överensstämmer mot attestreglerna Att reseräkningar och underlag till manuella registreringar för augusti 2009 är undertecknade av rätt person Att löneuppgift för ett urval av personer överensstämmer med lönerevisionslista för år 2009 Samtliga kontroller har genomförts utan anmärkning. 6 Revisionell bedömning och åtgärdsförslag Vi bedömer att bolagets rutiner och system till stora delar uppfyller de krav som kan ställas ur internkontrollsynpunkt. Vi vill peka på några utvecklingsområden för att ytterligare stärka den interna kontrollen. Vi noterar att bolagets internkontrollplan saknar kontrollmål avseende faktura- och lönehanteringen. Bolaget bör kartlägga och dokumentera samtliga rutiner inom faktura- och lönehanteringen ur ett risk- och kontrollperspektiv för att sedan ta ställning till vilka rutiner som ska ingå i en internkontrollplan. Väl dokumenterade rutiner minskar även sårbarheten vid personalbyte och vid längre frånvaro. Bolagets attestregler behöver uppdateras för att även innefatta hantering av elektroniska attester. Vi noterar att dokumentation i pappersform över användare och deras behörigheter saknas gällande fakturarutinen. Uppgifterna finns i systemet och kan ses på skärmen. Vid intervju med systemanvändaren framgår att det inte går att ta ut en papperskopia. Kontakt har tagits med systemleverantören som inte kan lösa problemet. Bolaget bör lösa sårbarhetsproblemet inom lönehanteringen. Det är inte tillfredsställande att bara en person i företaget kan genomföra lönebearbetningen i bolaget. Dokumenterade rutiner för efterkontroll då nya leverantörer läggs in i systemet saknas. AB Kristianstadsbyggen, Intern kontroll i faktura- och lönehantering 8(8)