Elektronisk handel Förstudie: Skanning av leverantörsfakturor

1 Revisionsrapport* Elektronisk handel Förstudie: Skanning av leverantörsfakturor Landstinget Halland 2006-10-23 Rolf Aronsson *connectedthinking

2 Innehållsförteckning 1 SAMMANFATTNING AV SYNPUNKTER...3 1.1 Allmänt om dokumentation av MEA-Effekt...3 1.2 Dokumenthanteringsplan...3 1.3 Efterkontroller...4 2 BAKGRUND, REVISIONSFRÅGA OCH GENOMFÖRANDE...4 3 KARTLÄGGNING OCH ÖVERSIKTLIG ANALYS AV RUTINER...5 3.1 Allmänt kring elektronisk fakturahantering...5 3.2 Beskrivning av elektronisk fakturahantering i MEA-Effekt...5 3.3 Avtal med extern leverantör för skanning av fakturor...7 3.3.1 Arkivplan och dokumenthanteringsplan...7 4 KONTROLLMILJÖ OCH KONTROLLAKTIVITETER...8 4.1 Ankomstregistrering, skanning och import...8 4.2 Felhantering...9 4.3 Attester och ärendeflöde...9 4.3.1 Attest- och utanordningsreglemente för Landstinget Halland...9 4.3.2 Arbetsuppgifter i fakturaflödet...10 4.3.3 Behörigheter och loggning...10 4.3.4 Meddelanderutiner...11 4.3.5 Efterkontrollattester...11 4.3.6 Sekretess...12

3 1 Sammanfattning av synpunkter 1.1 Allmänt om dokumentation av MEA-Effekt Vi har noterat att dokumentationen i flera avseende enligt vår uppfattning är mycket bra. Detta gäller både överenskommelser med skanningsföretaget, systembeskrivningen över systemet MEA-Effekt, arbetsuppgifter i fakturaflödet, anvisningar till attest- och utanordningsreglemente samt användarhandledningar för hantering av fakturor och attestering av fakturor. Nedan tar vi upp några synpunkter som uppkommit under granskningen. 1.2 Dokumenthanteringsplan Vi har inte kunnat återfinna någon fastställd rutin/dokumenthanteringsplan som beskriver hur arkivering och förvarande samt gallring skall ske av elektronisk information i ekonomisystemet MEA och MEA-Effekt. Enligt arkivreglemente för Landstinget Halland står följande: En dokumenthanteringsplan är en hanteringsanvisning för allmänna handlingar. Av planen skall det framgå vilka handlingar som förekommer i verksamheten, hur de skall hållas ordnade och om handlingarna skall bevaras eller gallras samt tidpunkt för gallring. Dokumenthanteringsplanen utarbetas av landstingsarkivet i samråd med myndigheten. Upprättandet av dokumenthanteringsplan kräver beslut av ansvarig myndighet. Vi har inte gjort någon mer omfattande analys av vilka filer och databaser som kan vara aktuella, men konstaterar exempelvis att skannade fakturor inkommer i elektroniskt textformat och bilder i s k tiff-format och lagras i MEA. Dessa elektroniska fakturor uppdateras sedan med olika kontrollmoment i form av attester (leveransgodkännande, beslutsattest, efterkontroller m.m.) som måste sparas som räkenskapsmaterial. Det finns också ett antal olika tabeller över attestanter, behörigheter, kontoplaner m.m. som också är viktig elektronisk information i ekonomisystemet. Denna information finns i dag i databasen i MEA. Vi har tagit del av ett utkast till dokument Om avställning, gallring och arkivering i MEA som beskriver både rutiner och vilken information som skall sparas. Vår bedömning är att denna måste utvecklas ytterligare i samarbete med landstingsarkivet. Vi rekommenderar att en heltäckande rutin/dokumenthanteringsplan upprättas och fastställs av landstingsstyrelsen med hög prioritet. Denna bör också innefatta inte enbart elektronisk information utan även andra dokument som skall sparas och arkiveras. Som exempel kan 3

4 nämnas originalfakturor som skannas och arkiveras av skanningsföretaget, systemdokumentation och avtal m.m. 1.3 Efterkontroller Funktionen i MEA-Effekt att kunna styra vilka typer av stickprovsmässiga efterkontroller som skall genomföras är en mycket bra funktion som möjliggör en väl avvägd och genomtänkt intern kontroll av fakturaflödet. Vi rekommenderar därför att landstinget ytterligare tydliggör möjligheten att utnyttja funktionen i den interna kontrollen. Felaktigheter som upptäcks vid efterkontrollerna skall enligt nuvarande rutin åtgärdas via kontakt med den som har gjort felet alternativt rapporteras till överordnad chef beroende på typ av fel. Vi rekommenderar att rutinen tydligare dokumenteras. Enligt vår uppfattning bör man också överväga att upprätta någon form av statistik över felaktigheter som upptäcks vid efterkontrollerna för att mäta typ av felaktigheter och kvaliteten i genomförda kontroller och attester. Vilka styrda efterkontroller som sker loggas i systemet. Det kan också finnas anledning att i statistiken också dokumentera vilka typer av efterkontroller som har gjorts. Detta blir då en del av den uppföljning av internkontrollen som sker i landstinget. Utöver de efterkontroller som har fastställts centralt så har förvaltningarna möjlighet att lägga in egna efterkontroller. Vi rekommenderar att man tydligare informerar om denna möjlighet till förvaltningarna. Som exempel kan nämnas selektiv efterkontroll av vissa leverantörer eller specifika konton. 2 Bakgrund, revisionsfråga och genomförande Utgångspunkten för vårt synsätt och vår inriktning är att elektronisk handel skall införas och användas med utgångspunkt från krav på hög säkerhet och med krav på effektivare verksamhet och rationellare administration. Förväntningarna i ett E-handelsprojekt är naturligtvis att åstadkomma en effektivare verksamhet. En risk vid införandet är dock att resultatet snarare blir en automatisering av nuvarande rutiner, och inte en effektivisering av verksamhetsprocesserna. En väsentlig förändring av verksamhetsprocesserna är dock nödvändig för att förväntade effektiviseringar skall kunna uppnås. I förstudien steg 1 sker en nulägesanalys och riskbedömning med utgångspunkt från ovanstående synsätt. 4

5 I avvaktan på ett mer omfattande införande av eller som ett komplement till elektronisk handel så skapas rutiner för skanning av leverantörsfaktorer som sedan lagras för elektronisk hantering av attester och utbetalning m.m. Syftet med granskningen är att övergripande granska säkerheten i rutinerna samt om den interna kontrollen synes vara tillfredsställande. 3 Kartläggning och översiktlig analys av rutiner 3.1 Allmänt kring elektronisk fakturahantering Elektronisk fakturahantering är för närvarande begränsad till skanning av fakturor som sedan överförs till MEA-effekt för elektroniska attester och olika kontroller samt överföring till leverantörsregister och betalning i ekonomisystemet MEA. Någon elektronisk hantering av hela kedjan från upphandling, beställning, fakturahantering och betalning finns inte i landsstinget för närvarande. Enlig uppgift kommer ett mindre pilotprojekt att påbörjas under hösten med fakturor för telefoni. Projektet är begränsat till att omfatta enbart elektronisk faktura. 3.2 Beskrivning av elektronisk fakturahantering i MEA-Effekt MEA-Effekt är namnet på MedicITs system för elektronisk fakturahantering. MEA-Effekt består bl a av ett webbaserat användargränssnitt för attest på webb, men är också direkt integrerat med och utnyttjar Ekonomisystemet MEA och dess beprövade regelverk och databas. MEA-Effekts huvuduppgift är att på ett snabbt och smidigt sätt hantera inskannade leverantörsfakturor. Detta sker genom import av fakturor från fil, automatisk ankomstregistrering och skuld-/momskonteringar. Om fakturan är godkänd och passerar MEAs regelverk ser användaren fakturan först då det är dags för den första manuella bearbetningen, slutkontering/attestering, av fakturan. MEA-Effekt kan delas upp i två delar, ett administrativt användargränssnitt i MEA och ett webbaserat slutanvändargränssnitt. 5

6 Översiktbild över MEA-Effekt MEA-Effekt Elektronisk Fakturahantering 1. Fakturor Filserver Import DB 5. Import/ Ankomstreg/ Skuld- Momskontering FEL! Lfaktura_import Manuell Korrigering Konvertering till PDF OK! 2. Scanning/ Tolkning/ Verifiering FEL! 4. Import jobb (allmän) MEA Ekonomisystem - Regelverk - Leverantörsreskontra -Leverantörsregister MEA DB 3. Bildfiler (.tiff) datafil Ärendeflöde Ärendeflöde Arkiv 6. Kontering/ Attest På Web Betalning Skanning Import Attest och Leverantörsreskontra Se för övrigt översiktlig berskrivning av systemet MEA-Effekt i bilaga 1. 6

7 3.3 Avtal med extern leverantör för skanning av fakturor Landstinget Halland har tecknat ett särskilt Avtal om skanning av fakturor med företaget ibusiness AB. Avtalet gäller 2005-01-01 2007-12-31 med möjlighet till förlängning upp till 24 månader. Avtalet reglerar olika mellanhavanden inklusive priser, leveransförseningar och vite, sekretess m.m. Detaljreglering av mellanhavandet regleras också i s.k. Service level agreement (SLA), vilket har till uppgift att tydliggöra förhållandet mellan beställare och leverantör. I förekommande fall hänvisar vi till ovanstående avtal vid analyser i vår rapport. 3.3.1 Arkivplan och dokumenthanteringsplan En viktig fråga inte minst eftersom skanning av inkommande fakturor sker utanför landstinget är formuleringar i arkivplan och dokumenthanteringsplan. I ekonomihandboken finns skrivningar om arkivering av leverantörsfakturor med arkiveringstid 10 år. Detta gäller också skannade fakturor med uppdrag till ebusiness AB enligt beskrivning under punkt 3.3.1.1. nedan. Det finns också ett avsnitt om arkivering och gallring av rapporter från MEA Leverantörsreskontra. Här upptas bl.a. avstämningslistor, klarmarkeringslistor och utbetalningslistor. Några dokumenterade regler för arkivering, förvaring och gallring av elektronisk information har vi inte kunnat återfinna. Se skrivning i punkt 3.3.1.2 nedan. 3.3.1.1 Arkivering av inkommande pappersfakturor som skannas Arkivering av inkommande pappersfakturor ombesörjs enligt överenskommelse av ibus iness AB. I dokumentet SLA står följande skrivning: Efter att fakturor och bilagor har skannats paketeras pappersoriginalen i arkivkartornger i ankomst och skanningsordning. Under en period om 14 dagar finns pappersoriginalen tillgängliga i skanningscentralen. Därefter flyttas pappersoriginalen till godkända utrymmen hos Svenska arkiv i enlighet med gällande lagstiftning. Originalfaktura återsöks via kontaktperson hos ibusiness även när fakturan har skickats till Svenska arkiv. I huvudavtalet finns också skrivningar om krav på lokaler för långtidsarkivering av pappersdokument. Enligt vår uppfattning synes nuvarande rutin tillfredställande 7

8 3.3.1.2 Arkivering av elektronisk information Vi har inte kunnat återfinna någon fastställd rutin/dokumenthanteringsplan som beskriver hur arkivering och förvarande samt gallring skall ske av elektronisk information i ekonomisystemet MEA och MEA-Effekt. Enligt arkivreglemente för Landstinget Halland står följande: En dokumenthanteringsplan är en hanteringsanvisning för allmänna handlingar. Av planen skall det framgå vilka handlingar som förekommer i verksamheten, hur de skall hållas ordnade och om handlingarna skall bevaras eller gallras samt tidpunkt för gallring. Dokumenthanteringsplanen utarbetas av landstingsarkivet i samråd med myndigheten. Upprättandet av dokumenthanteringsplan kräver beslut av ansvarig myndighet. Vi har inte gjort någon mer omfattande analys av vilka filer och databaser som kan vara aktuella, men konstaterar exempelvis att skannade fakturor inkommer i elektroniskt textformat och bilder i s k tiff-format och lagras i MEA. Dessa elektroniska fakturor uppdateras sedan med olika kontrollmoment i form av attester (leveransgodkännande, beslutsattest, efterkontroller m.m.) som måste sparas som räkenskapsmaterial. Det finns också ett antal olika tabeller över attestanter, behörigheter, kontoplaner m.m. som också är viktig elektronisk information i ekonomisystemet. Denna information finns i databasen i MEA. Vi har tagit del av ett utkast till dokument Om avställning, gallring och arkivering i MEA som beskriver både rutiner och vilken information som skall sparas. Vår bedömning är att denna måste utvecklas ytterligare i samarbete med landstingsarkivet. Vi rekommenderar att en heltäckande rutin/dokumenthanteringsplan upprättas och fastställs av landstingsstyrelsen med hög prioritet. 4 Kontrollmiljö och kontrollaktiviteter 4.1 Ankomstregistrering, skanning och import Ankomstregistrering sker automatiskt i samband med skanning av fakturan. Inskanning av pappersfakturan sker i ett separat system som lagrar fakturainformationen i en textfil. Fakturabilderna lagras i s k tiff-filer. Skanningssystemet läser in fakturafilerna i MEAeffekt som fortsätter bearbetningen i följande steg: 1. Textfilen läses av en generell importrutin som lagrar informationen i en importdatabas, bildfiler konverteras från TIFF-format till PDF-format och lagras på en filserver. 2. Fakturainformationen importeras i MEA, fakturan ankomstregistreras (med automatik) 8

9 och kompletteras med skuld- och momskonteringar. Fakturans referensnummer avgör till vilken redovisningsenhet en faktura importeras. 4.2 Felhantering Om fakturainformationen saknas eller är felaktig vid importen från importdatabasen till MEA så loggar systemet de ofullständiga/felaktiga fakturorna och signalerar användaren. Användaren kan genom ett formulär granska den ofullständiga fakturan, komplettera denna manuellt och köra om import-/ankomstregistrerings-/skuldmomskonteringsåtgärden. De fakturor som saknar referens (dvs vart fakturan skall skickas för åtgärd) skickas automatiskt till central redovisningsenhet 10 som utreder och åtgärdar. Vi har översiktligt tagit del av felhanteringen vid den centrala redovisningsenheten RE 10, som då främst omfattar att referens saknas (dvs kan ej finna enhet och attestant) samt att leverantören inte är upplagd. 4.3 Attester och ärendeflöde I landstinget finns ett antal dokument som beskriver arbetsuppgifter, attester, ärendeflöde och kontroller. Vi har noterat följande dokument. - Om MEA-Effekt Elektronisk Fakturahantering, Rapportbilaga 1. - Arbetsuppgifter i fakturaflödet, Rapportbilaga 2. - Attest- och utanordningsreglemente. - Tillämpningsanvisningar till attest- och utanordningsreglemente, Rapportbilaga 3. - Kompletterande anvisning för attest- och utanordningsreglemente, Rapportbilaga 4. - MEA-Effekt. Användarhandledning: För attestering av fakturor på webben. - MEA-Effekt. Användarhandledning: Hantering av fakturor i MEA-Effekt. 4.3.1 Attest- och utanordningsreglemente för Landstinget Halland Vi har tagit del av landstingets attest- och utanordningsreglemente samt tillämpningsanvisningar fastställda av landstingsstyrelsen (bilaga 3) och kompletterande anvisningar för hantering av elektroniska fakturor i systemet MEA-Effekt (bilaga 4) När det gäller tillämpningsanvisningar och kompletterande anvisningar har vi särskilt noterat skrivningar om efterkontroll som anknyter till reglemente paragraf 5 om att varje nämnd skall utse efterkontrollattestanter. Detta beskrivs närmare under avsnitt 4.4.4. Vad vi kan finna är kontrollstrukturen för attestanter och olika åtgärd väl beskriven i ovanstående dokument. 9

10 4.3.2 Arbetsuppgifter i fakturaflödet I bilaga 2 beskrivs arbetsuppgifterna i fakturaflödet på olika ansvarsnivåer. Vi har gått igenom rutinen för fakturaflödet med ansvarig personal vid den centrala ekonomifunktionen i Landstinget. I vår genomgång har vi noterat följande kontroller och attestanter attesttyp i MEA-Effekt anges inom parentes (x): Leveransgodkännande attestant (L) är en person som är utsedd av basenhetschef att bestyrka att varan/tjänsten har erhållits. Konterare (K) är en person som är utsedd av basenhetschefen att kontera en faktura på en ansvarsenhet. Beslutsattestant (BA) är en person som är utsedd av nämnden (eventuellt via delegationsbeslut) att beslutsattestera en ansvarsenhet. Efterkontrollattestant (U). Attestant för efterkontroll är en person som är utsedd av nämnden (eventuellt via delegationsbeslut) att kontrollera fakturor enligt landstingets attestoch utanordningsreglemente. Se för övrigt vår analys under punkt 4.3.3 i rapporten. Inköpsattestant (I) är en person som är inblandad i den beställning som föregått fakturan. Granskningsattestant. I de fall en attestant så önskar så finns möjlighet att skicka fakturan för en granskningsattest. Detta är en frivillig kontrollfunktion. Systemadministratör som har en övergripande funktion och övervakning av bl.a. om inte en faktura betalas i tid. Tabellansvariga. I MEAS ekonomisystem finns ett antal register som inrapporteras per redovisningsenhet. Uppgifterna i dessa register styr behörigheterna i MEA Effekt. 4.3.3 Behörigheter och loggning Vi har översiktligt analyserat hela kedjan från att fakturan via filöverföring kommer in i MEA-Effekt till elektroniska attester (leveransgodkännande, beslutsattest, efterkontrollattest etc). Grundläggande för systemet är uppläggning av behöriga användare med olika rättigheter. Vi har övergripande tagit del av inlagda uppgifter för RE 10/Landstingsstyrelsen. 10

11 Vi har också noterat att samtliga steg i kontrollmiljön loggas vad gäller olika åtgärder i form av inkommande faktura, felmeddelande, vem som har attesterat i form av leveransgodkännande, beslutsattest, efterkontroller m.m. Vi har inte gjort någon mer detaljerad analys av behörigheter eller loggade uppgifter. 4.3.4 Meddelanderutiner Så fort en faktura har ankomstregistrerats bevakas den av ett antal meddelande- och påminnelserutiner i systemet som skickar e-post när en faktura inte har behandlats efter ett specificerat antal dagar eller om fakturan har passerat förfallodatum. 4.3.5 Efterkontrollattester Kompletterande anvisningar till attest- och utanordningsreglemente framgår av bilaga 4. Denna beskriver bl.a hur efterkontroller skall ske. Vi har också noterat att felaktiga skanningar som upptäcks i flödet av kontroller enligt rutinen skall dokumenteras på en särskild blankett som skickas till landstingets centrala ekonomifunktion. Felaktiga skanningar tas sedan upp med skanningsleverantören ibusiness. Bilagda kompletterande anvisningar när det gäller vilka konton och leverantörer som skall efterkontrolleras gäller enligt uppgift för hela landstinget. I attest- och utanordningsreglementet (paragraf 5) står följande: Varje nämnd skall utse en eller flera personer som är efterkontrollattestanter. Uppdraget för efterkontrollen skall vara klart definierat per enhet. Uppdraget innebär att ett specifikt urval av fakturor efterkontrolleras efter beslutsattest men innan utanordning. Ovanstående skrivning innebär enligt vår tolkning att varje enhet med utgångspunkt från behovet av kontroller i den egna verksamheten måste definiera urval av fakturor och nivåer för kontrollerna. Behovet av vilka fakturor som skall efterkontrolleras varierar givetvis beroende av vilken verksamhet som bedrivs. Enligt uppgift så har förvaltningarna möjlighet att själva rapportera konton och leverantörer som skall kontrolleras utöver de kontroller som rapporterats centralt. Vi har inte närmare granskat i vilken omfattning som förvaltningarna utnyttjar denna möjlighet. Det är dock också viktigt med centrala riktlinjer och rekommendationer kring exempelvis beloppsgränser och olika typer av leverantörer etc. Beloppsgränserna är fasta för alla förvaltningar och är i dag 20 000 kr, men avses att höjas till 50 000 kr. Se för övrigt bilaga 4. 11

12 Funktionen i MEA-Effekt att kunna styra vilka typer av stickprovsmässiga efterkontroller som skall genomföras är en mycket bra funktion som möjliggör en väl avvägd och genomtänkt intern kontroll av fakturaflödet. Vi rekommenderar därför att landstinget ytterligare tydliggör möjligheten att utnyttja funktionen i den interna kontrollen. Felaktigheter som upptäcks vid efterkontrollerna skall enligt nuvarande rutin åtgärdas via kontakt med den som har gjort felet alternativt rapporteras till överordnad chef beroende på typ av fel. Vi rekommenderar att rutinen tydligare dokumenteras Enligt vår uppfattning bör man också överväga att upprätta någon form av statistik över felaktigheter som upptäcks vid efterkontrollerna för att mäta typ av felaktigheter och kvaliteten i genomförda kontroller och attester. Vilka styrda efterkontroller som sker loggas i systemet. Det kan också finnas anledning att i statistiken också dokumentera vilka typer av efterkontroller som har gjorts. Detta blir då en del av den uppföljning av internkontrollen som sker i landstinget. Utöver de efterkontroller som har fastställts centralt så har förvaltningarna möjlighet att lägga in egna efterkontroller. Vi rekommenderar att man tydligare informerar om denna möjlighet till förvaltningarna. Som exempel kan nämnas selektiv efterkontroll av vissa leverantörer eller specifika konton. 4.3.6 Sekretess I avtalet med skanningsleverantören finns tydliga skrivningar om sekretess och framförallt då när det gäller hantering av personuppgifter. Landstinget har dock valt att i nuläget inte använda elektronisk fakturahantering för fakturor som innehåller eller kan innehålla uppgifter som är känslig för enskilda patienter. Detta innebär att s.k. vårdfakturor i dag behandlas manuellt. 12