Löpande granskning av intern kontroll i system och rutiner 2010 Revisionsrapport November 2010 Lars-Åke Ullström Robert Heed Pär Månsson Hanna Franck
Innehållsförteckning 1. Inledning... 3 1.1 Bakgrund... 3 1.2 Uppdrag och syfte... 3 1.3 Revisionsfråga/avgränsning... 3 1.4 Metod... 4 2. Resultat av granskningen... 5 2 av 10
1. Inledning 1.1 Bakgrund Av kommunallagen framgår att styrelser och nämnder skall ha kontroll över sin verksamhet. Detta innebär att styrelser och nämnder själva ansvarar för att ha ändamålsenlig styrning och säkra rutiner. Intern kontroll är ett ledningsverktyg med betydelse både för tjänstemannaledning, landstingsstyrelsen och nämnderna. Kontrollsystem skall säkerställa att beslut fattas på ett korrekt underlag. De skall också skydda mot medvetna eller omedvetna fel när det gäller hanteringen av landstingets tillgångar. En av revisorernas uppgifter enligt kommunallagen 9 kap 9 är att utröna om räkenskaperna är rättvisande och om den kontroll som görs inom nämnderna är tillräcklig. I kommunallagen nämns att all verksamhet skall granskas årligen. Löpande granskning av intern kontroll i system och rutiner är en breddgranskning och skall täcka in så många förvaltningar/verksamheter som möjligt. 1.2 Uppdrag och syfte På uppdrag av Landstinget Gävleborgs förtroendevalda revisorer har Komrev inom PwC granskat den löpande redovisningen och den interna kontrollen inom ett antal rutiner. Syftet med granskningen är att ge revisorerna underlag för ställningstagande i frågan om ansvarsfrihet för styrelse och nämnder samt ledamöterna i dessa, samt att bedöma landstingets interna kontroll. Granskningen har som fokus att bedöma hur den interna kontrollen fungerar i verksamheten och vilken följsamhet som finns kring fastställda rutiner och regelverk. 1.3 Revisionsfråga/avgränsning Granskningen inriktas på ett antal processer inom Landstinget Gävleborgs verksamhet. 1. Internkontrollplan - vilken kunskap har enheterna om internkontrollplanen - förekomst av riskanalyser - vilka kontroller genomförs - former för återrapportering - utveckling av planen utifrån styrelsens inriktning 2. Tillförlitliga och säkra rutiner för den löpande redovisningen I granskningen har ingått: uppföljning av noteringar i föregående års granskning 3 av 10
genomgång av väsentliga rutiner för löpande redovisning och intern kontroll exempelvis - inköpsrutin/avtal - faktureringsrutin - lönerutin - rutin för löpande avstämningar av balanskonton - kassarutin - attestrutiner/flöde - resekostnader - resor och representation 3. Fortlöpande avstämning av det nya ekonomisystemet funktionalitet och tillförlitlighet - fungerade koppling mellan Cyklop (beslutsstödssystem) samt övriga system bl a ekonomisystem 4. Tillförlitliga och säkra rutiner ur ett verksamhetsperspektiv I granskningen ingår genomgång av väsentliga rutiner exempelvis 1.4 Metod - telefoni - rutiner för loggkontroll - internetanvändning - följsamhet till läkemedelsrekommendationer - medicinskteknisk utrustning - Lex Maria Granskningen har genomförts genom bedömning av säkerhet i rutiner, avstämning mot policys och riktlinjer, dokumentation samt stickprov på redovisningsmaterial. Intervjuer har genomförts med; Berörda personer inom koncernledning Ansvarig personal inom Ekonomi- och löneservice Berörda personer inom Lednings- och verksamhetsstöd. I bilaga till denna rapport lämnas en närmare redogörelse för vår granskning och hur olika rutiner hanteras i organisationen. I denna del återfinns de sammanfattande kommentarerna. 4 av 10
2. Resultat av granskningen Internkontrollplan Styrelsen har ett ansvar för att leda och samordna verksamheten i sin helhet, ha uppsikt över övriga nämnders verksamhet och ha uppsikt över de landstingsägda bolagen. Respektive nämnd skall bl a tillse att den interna kontrollen är tillräcklig. Landstingsstyrelsen antog i slutet av 2007 en internkontrollplan som började gälla 1/1 2008. För att följa upp hur arbetet kring internkontrollplanen har utvecklats har vi bl a genomfört ett seminarium där representanter från koncernledning och flertalet divisioner och förvaltningar deltog. Samtal med verksamhetsföreträdare och tidigare granskningar visar dock att internkontrollplanen inte har fått något större genomslag i verksamheten. Ett svar från landstingsstyrelsen på löpande granskning 2009 visar med tydlighet att så är fallet. Styrelsens ambition att kontroller utifrån internkontrollplanen skall genomföras i sin helhet 2010 kommer inte att nås. Sannolikt krävs en omstart vad gäller internkontrollarbetet. En grund för det framtida arbetet kan vara att styrelsen presenterar ett förslag till Reglemente för intern kontroll för beslut i Landstingsfullmäktige där ansvar och arbetssätt tydliggörs. Det är av vikt att man i arbetet med att utveckla internkontrollen skapar delaktighet från alla divisioner/förvaltningar, så att arbetet förankras och hänsyn tas till de olika verksamheternas förutsättningar. Om delaktighet och förutsättningar skapas så att internkontrollarbetet blir en naturlig del i arbetet, kan implementeringen bli lyckosam. Utifrån reglementet kan arbetet kompletteras med en internkontrollplan som revideras årligen med hänsyn till de riskanalyser som koncernledning, divisioner och förvaltningar genomför. Underlag för kontroller och bedömningar återfinns sannolikt till viss del redan i tillgängligt uppföljningsmaterial som årsredovisning, balanserat styrkort och överenskommelser. Det är väsentligt att arbetet med den interna kontrollen blir en naturlig del i den ordinarie verksamheten. Tillförlitliga och säkra rutiner för den löpande redovisningen Inköpsrutin; En analys av inköpsfunktionen har genomförts inom landstinget. I inköpsprojektet identifierades ett antal möjliga besparingar. Första året som detta skulle ge effekt var 2010, vilket även fick genomslag i budgeten. På grund av bland annat förseningar med upphandling av ett nytt inköpssystem har önskade effekter inte kunnat uppnås under året. De ekonomiska effekter som projektet kommer att ge, kommer att följas närmare i en separat granskning kring åtgärder för en ekonomi i balans. 5 av 10
Fakturerings- och attestrutiner; I december 2009 (LF 2009-12-08 262) beslutades det om ett nytt direktiv för attest och utbetalning. Detta kompletterades sedan med anvisningar som antogs av landstingsstyrelsen i januari 2010 (LS 2010-01-27 19). I föregående års granskning konstaterades att landstingets koncernledning hade fått i uppdrag att ta fram ett förslag till ny attestordning. Vi ser positivt på att nya direktiv och anvisningar har tagits fram. Detta har bland annat medfört att en översyn har gjorts av hantering av beloppsgränser samt utbetalningskontroller. Även införande av en funktion som förslagskonterar och bevakar att rätt information lämnas på leverantörsfakturorna har stärkt den interna kontrollen. Det är positivt att anvisningarna klargör vilka krav som ställs kring behörighetsupplägg i Agresso. Till detta bör en heltäckande dokumenterad rutin avseende behörighetsupplägg upprättas. Tidigare år har det påpekats att det inte finns någon dokumenterad rutin för den manuella fakturahanteringen. Föregående år fanns planer på att upprätta rutiner för fakturahanteringen på motsvarande sätt som gjorts för kundprocessen. Detta arbete har dock inte genomförts under året. Rekommendationen är därför att ett arbete kring detta startas upp. Lönerutin; Ett projekt pågår med att införa ett nytt HR-system (Personec P), vilket kommer att medföra att landstinget under 2011 kommer att få ett nytt system för registrering av och utbetalning av löner. Även det system som finns kring självservice kommer att bytas ut. Införandet av ett nytt personalsystem kommer att innebära att löneuppgifter uppdateras löpande, vilket möjliggör mer utrymme för att genomföra kontroller av löneuppgifterna. Detta blir nu ännu viktigare när mer ansvar läggs ut på verksamheterna. Tidigare år har rekommendationen varit att det bör tas fram en rutin för att säkerställa att samtliga löner blir kontrollerade. Detta bör nu göras i samband med införandet av det nya systemet. Fakturerings- och kassarutin; Den 1 januari 2010 avvecklades kontant- och betalningskortshanteringen inom hela landstinget. Avvecklingen innebär att samtliga besök betalas via faktura. I samband med fakturering, görs en kontrollkörning mot frikortsregistret. När kontanthanteringen avvecklades i början av året innebar detta även att de synpunkter som lämnades i föregående års granskning kring kontanthanteringen inte längre är aktuella. Den nya hanteringen har dock inneburit en ökad faktureringsvolym, vilket ställer större krav på att faktureringsrutinerna fungerar. Rutinerna för kundfakturering upprättades/dokumenterades under 2009, men har inte uppdaterats under 2010. 6 av 10
Uppfattningen från de som arbetar med faktureringen är att den i stort fungerar bra, men under hösten har det dock uppstått ett tillfälle då fakturor för samma period sänts ut dubbelt. Detta medförde mycket merarbete för personalen på ekonomiservice. Det är av vikt att utreda orsaken till dubbelfaktureringen och införa rutiner för att säkerställa att detta inte upprepas. I samband med tidigare års granskningar har det konstaterats att det inte funnits någon kontroll av de fakturafiler som kommer in utan att de sänts iväg utan kontroll. Det har påpekats vikten av att införa en kontrollrutin där det görs kontroll av antalet fakturor samt fakturerat totalbelopp, för att säkerställa att fakturorna som sänds ut är korrekta. Genom att underlag stoppas under faktureringen, om patienten har frikort, uppstår vissa svårigheter med att göra avstämningar. Rekommendationen kvarstår beträffande att en rutin bör införas i samband med fakturering som säkerställer att väsentliga kontroller genomförs Personalförmåner, gåvor och representation; I samband med den löpande granskningen genomförs stickprovskontroller av leverantörsfakturor, för att kontrollera tillförlitligheten i hanteringen. Tidigare år har brister kring uppgifter om syfte och deltagare vid intern och extern representation samt momshantering konstaterats. Även när det gällde rese- och utbildningskostnader har det uppmärksammats brister kring uppgifter om syfte och deltagare. Den generella bedömningen är att informationen på fakturorna har förbättrats i jämförelse med tidigare år. Uppfattningen är att detta är ett resultat av lämnad information samt arbetet med kontroller hos de som arbetar med förslagskontering. Rekommendationen är att fortsätta arbetet med kontroller samt förmedla information till berörda avseende vilka uppgifter som ska framgå på fakturan. Tillförlitliga och säkra rutiner ur ett verksamhetsperspektiv Telefoni; Landstingets revisorer har tidigare granskat landstingets telefoniverksamhet med fokus på kostnadsreduceringar i samband med outsourcing av telefoniverksamheten. Då lämnades synpunkter på bl a den bristande kostnadskontrollen. Telia är leverantör av såväl fast telefoni som mobiltelefoni till landstinget. Antalet fasta anknytningar uppgår till ca 7.000 samt ca 1.850 mobiltelefoner. Telefonväxeln är outsourcad sedan år 2002. För närvarande sköts växeln av ett företag i Kalix. Utifrån granskningen kan noteras att kostnaderna för landstingets telefoni nu kan följas vilket är tillfredställande. Enligt landstingets uppföljning har kostnaderna reducerats under senare år. Ytterligare åtgärder kan vidtas för att sänka kostnaderna ex färre anknytningar och färre interna samtal till växeln. 7 av 10
Det har funnits vissa inkörningsproblem i samband med att ny operatör tog över driften av växeln exempelvis felkopplingar. Detta beror enligt uppgift på att den nye operatören inledningsvis inte haft fullständig kunskap om landstingets organisation samt att det register som landstinget har (Telesök) inte varit tillräckligt uppdaterat. Åtgärder för att motverka detta är utbildningar och löpande uppdateringar av Telesök. Det finns en framtagen avvikelserutin inom området. I detta sammanhang är det väsentligt att telefoniansvarig fortsätter att följa upp de avvikelser som rapporteras och att verksamheten även fortsättningsvis får återkoppling på vidtagna åtgärder. Växeln skall även ha möjlighet att kunna söka personer i organisationen exempelvis jourläkare. Inom detta område finns brister i dagsläget. Ur ett säkerhetsperspektiv är det väsentligt med rutiner som säkerställer en fungerande sökarfunktion kompletterat med aktuella jourlistor. Hur de inringande personerna upplever telefoniservicen följs inte upp i dagsläget. Internetanvändning; Inom landstinget finns sedan 5-6 år ett regelverk för internetanvändning. Regelverket är tillgängligt för alla då det är utlagt på Plexus. Landstinget har ett filtreringssystem som skall skydda mot skadlig kod samt internetanvändning som strider mot landstingets policy. Uppföljning av internetanvändandet har skett på ett övergripande plan. Formerna för uppföljning på divisionsnivå diskuteras. Statistik på individnivå tas endast ut vid misstanke om övertramp och då informeras även den som berörs. I granskningen konstateras att det förebyggande arbetet med filtreringssystem och information om gällande regelverk är väsentliga inslag för en korrekt hantering av internet. Erfarenheter från mätningar som genomförs kan vara ett underlag till förstärkt intern kontroll. Det är även väsentligt att landstinget har fokus på att patientinformation som skickas via nätet inte kan hamna fel. Under 2011 kommer det att genomföras en bredare översyn av hantering av känslig information i landstingets nät. Loggkontroller; I SOSFS 2008:14 (Informationshantering och journalföring i hälso- och sjukvården ) behandlas bl a Kontroll av åtkomst till patientuppgifter dvs rutiner kring loggar. Loggkontroller berör även i Patientdatalagen (2008:355). Landstinget har efter kritik från Datainspektionen tagit fram en rutin för hur loggkontroller skall genomföras. Vi kan notera att rutinen var färdigställd vid granskningens genomförande och nyligen även beslutats. 8 av 10
Landstinget följer i dagsläget inte gällande lagstiftning vad avser loggkontroller. Landstingsstyrelsen måste tillse att utarbetade rutiner implementeras i organisationen för att möjliggöra att bl a loggkontroller kan genomföras systematiskt. Det är positivt att rutinen nu testas inom division primärvård för att möjliggöra ett breddinförande. Det är väsentligt att divisions- och förvaltningschefer tillser att kontroller genomförs och genomför uppföljningar som säkerställer att så sker. Vid upphandlingar av system är det väsentligt att krav ställs så att lagstiftning i olika delar kan tillgodoses exempelvis möjlighet till uttag av relevanta data. Medicinsk teknik (MT); Medicinsk Teknik finns inom division diagnostik. Enheten arbetar över hela länet. Arbetsuppgifterna är anskaffning respektive avyttring av utrustning, förebyggande underhåll och avhjälpande underhåll. Men MT arbetar även mycket med utbildning och information kring nya tekniker, att följa upp utvecklingen och säkerhetsarbete. MT har funnit sin roll i den nya divisionsorganisationen. Enheten arbetar på ett systematiskt sätt med ledningssystem och kvalitetssäkring. Enhetens roll i utbildning, nyanskaffning av utrustning och förebyggande underhåll är områden för fortsatt utveckling. Ledningen bör även ha fokus på kompetensutveckling inom den egna enheten om målsättningen är att fler medarbetare skall vara certifierade. Läkemedelsfunktioner; Inom landstinget finns en organisation för läkemedelsfrågor Läkemedelskommitté (LMK), Läkemedelsenhet(LE) samt Läkemedelsråd(LR). De totala läkemedelskostnaderna uppgick 2009 till ca 840 mkr. Ökningen mellan 2008 och 2009 var ca 5%. Delårsrapporten juli 2010 visade på att läkemedelskostnaderna ökat med 5,8% jämfört med samma period 2009. Kostnadsökningen har varit i princip på samma nivå de senaste åren. En låg kostnadsökning förutsätter att landstingen fortsätter sitt arbete med rekommendationer, analys av förskrivningsmönster och informationsinsatser via bl a Läkemedelskommittén. Arbetssättet gentemot externa entreprenörer och nya aktörer på apoteksmarknaden är positivt. Vi har noterat att landstinget via stimulansmedel från SKL arbetar med läkemedel till multisjuka äldre vilket är positivt. Erfarenheter från granskningar i landet har visat på stora problem inom detta område. Avvikelsehantering (Lex Maria); Inom landstinget finns rutiner som beskriver arbetsgången vid Lex Maria anmälningar och det finns även anmälningsansvariga läkare utsedda inom samtliga divisioner utifrån vad som anges i SOSFS 2005:12. 9 av 10
För det fortsatta arbetet är det väsentligt att landstingsstyrelsen säkerställer att avvikelser registreras i avvikelsesystemet Platina och att analyser genomförs på ett systematiskt sätt. På så sätt säkerställs även att allvarliga händelser som avses med Lex Maria rapporteras och utreds utifrån gällande författningar. I underlagen till Hälsoval återfinns att även externa entreprenörer skall följa fastställda rutiner för avvikelsehantering och anmälningar enligt Lex Maria. I landstingets kontakter med externa vårdgivare är det väsentligt att även dessa delar följs upp kontinuerligt. 10 av 10