Dnr LiU 827/02-25 Sidan 1 av 7 Rektorskansliet Internrevision Unn Forsberg Styrelsen och rektor Reseräkningssystem samt löne- och personaladministrativt system Vi har i enlighet med fastställd revisionsplan för verksamhetsåret 2002 utfört granskning av universitetets löne- och personaladministrativa system (LA/PA-system). A. GRANSKNINGENS INRIKTNING OCH OMFATTNING Under 2001 har både ett nytt reseräkningssystem (Tur&Retur) och ett nytt löne- och personaladministrativt system (HR+) tagits i drift. Syftet med bytena av system har bl.a. varit att få en förbättrad inbyggd kontroll och mer ändamålsenliga system. Vidare har avsikten varit att förbättra de administrativa rutinerna kring systemet. I samband med systembytena har också systemdriften gått över till att skötas av universitetet istället för via driftbyrå. Avsikten med granskningen har varit att se om intentionerna med systemen infriats samt om det finns väl fungerande kontroll i och kring systemet. Granskningen har omfattat följande områden; behörighetsadministrationen generell säkerhet i systemet vad avser drift, underhåll och organisation kontroll i systemet vad avser indata, registervård och utdata kvalitet och tillförlitlighet i utdata rutiner för inrapportering och uppföljning Vid granskningen har genomgång och analys utförts av en mängd utdata från HR+ avseende hela universitetet. Analysen avser den information som fanns i systemet i september förutom semestrar som granskats utifrån de uppgifter som fanns i början av december. Utdata från Tur&Retur har inte granskats särskilt utan endast via HR+. Rekryterings- och löneförhandlingsmodulerna har inte granskats. Intervjuer har genomförts med ett antal användare ur olika kategorier (systemadministratörer, driftstekniker, lönehandläggare m.fl.). De brister som noteras i rapporten avser de förhållanden som rådde fram till slutet av oktober då den sista intervjun gjordes. 581 83 Linköping Besöksadress: Hus Origo, Universitetet Tel 013-281035 Fax 013-282822 Datorpost: UnnFo@Rek.LiU.SE
Sidan 2 av 7 B. RAPPORTFORM Våra iakttagelser avrapporteras enligt god internrevisionssed i form av en så kallad avvikelserapport, vilket innebär att endast de brister vi funnit rapporteras. Processer som fungerar tillfredsställande kommenteras inte, inte heller relationen mellan andelen välfungerande respektive bristfälliga processer. Vår rapport ger därmed inte en heltäckande bild av granskat område. C. IAKTTAGELSER I SAMBAND MED VÅR GRANSKNING C1. Införandet av systemen Införandet av de nya systemen har inte fungerat på ett bra sätt utan har kännetecknats av en grov underskattning av den tid och arbetsinsats som krävs för att installera, testa och anpassa systemen till universitetets verksamhet. Vi anser att leverantören för HR+ inte levererat en färdig produkt och att universitetet inte borde ha godkänt leveransen. Leverantörerna har inte heller skött utbildningen av universitetets personal på ett tillfredsställande sätt, vare sig avseende själva drift, systemadministration eller användning av systemen. Tester av de nya systemen har inte kunnat genomföras i nödvändig omfattning och centrala löneavdelningen har länge varit underbemannad. Personal har slutat men inte ersatts i tid, och ny personal har inte fått adekvat utbildning och instruktioner för att kunna utföra sina arbetsuppgifter. Implementeringsansvarig personal har samtidigt förväntats sköta löpande lönearbete, vilket lett till en orimlig arbetssituation. Vi anser att detta är en väsentlig orsak till flera av de brister vi funnit vid revisionen. Intendenter och andra som behöver kunna analysera och använda informationen i HR+ (inklusive den innehållsmässiga systemförvaltaren) fick inte utbildning i systemen förrän i maj 2002, dvs. över ett år efter att systemen tagits i bruk. C2. Rutiner och organisation Beslut som fattats av universitetsstyrelsen har inte alltid omsatts i praktiken, t.ex. har beslut avseende anställning utan lön inte implementerats. Ekonomiavdelningen utför en stor del av det avstämnings- och utredningsarbete som naturligt ligger inom personalavdelningens område utan att detta är reglerat på ett bra sätt. Dessutom är det ineffektivt eftersom ekonomipersonalen inte enkelt kan ta fram all information som behövs. Förskott på lön och reseförskott betalas ut utanför lönesystemet. Förskotten stäms inte av på ett bra sätt och regleras i rimlig tid utan stora belopp är för gamla. Hanteringen är undermålig och uppfyller inte grundläggande krav på intern kontroll.
Sidan 3 av 7 Rutinerna som föregår registrering i lönesystemet är undermåliga eftersom nödvändigt underlag och uppgifter inte kommer fram till lönehandläggarna i tid (ibland inte alls). Detta resulterar i merarbete och fordringar på de anställda som inte hanteras på ett bra sätt. I ekonomisystemet finns både attest och utanordning. I LA/PA-systemen finns ingen utanordningsrutin, vilket t.ex. innebär att prefekten inte utanordnar 60 % av institutionens kostnader. Det strider mot grundläggande krav på intern kontroll. Samma person kan ha flera olika befattningar, vilket skapar merarbete och ökar antalet felkällor. Ett av de krav som ställdes på ett nytt lönesystem vid upphandlingen var att semester, tjänsteresor m.fl. uppgifter skulle registreras på person och inte på befattning. Kravet är inte uppfyllt och mycket tid läggs ner på att spåra fel och flytta uppgifter mellan olika befattningar. Ansvarsfördelningen för reseräkningssystemet Tur&Retur, utbildning av resehandläggare samt att hålla sig ajour med förändringar och lagstiftning på området har länge upplevts som oklar i organisationen. Kompetens avseende reseavtal och skattelagstiftning saknas delvis på centrala löneavdelningen. Löneförhandlingarna har under flera år slutförts så sent att de retroaktiva ersättningarna körts på november- eller decemberlönen. Det är olämpligt eftersom det finns för lite tid att rätta fel innan året är slut och kontrolluppgifter ska upprättas. C3. Behörighetsadministration Alla systemadministratörer använder samma användaridentitet i PI-lön, och det finns en systemadministratörsidentitet i Tur&Retur som inte är kopplad till person. Varje person bör ha en egen användaridentitet så att man kan se vem som gjort vad i systemet. Det finns inga spärrar eller kontroller som hindrar lönehandläggarna eller systemadministratörerna att ändra sin egen lön. Alla lönehandläggare kan också registrera och ändra fasta och rörliga lönedata var som helst på universitetet. Det finns inga krav på obligatorisk utbildning innan man får behörighet, utan personer som ännu inte fått fullständig utbildning kan börja registrera i systemen. C4. Säkerhet, drift och underhåll av systemet Backup görs tillräckligt ofta, men det finns inga rutiner för att kontrollera om informationen på backupbanden verkligen går att läsa och använda. Det finns ingen katastrofplan, säkerhetspolicy, säkerhetsansvarig eller säkerhetspärm för systemen.
Sidan 4 av 7 Den sårbarhetsanalys av systemen som gjordes i juni 2000 har inte lett till väsentliga förbättringar utan flertalet risker som konstaterades vid analysen kvarstår oförändrade. C5. Dokumentation, policies och regelverk Det finns ingen fullständig löneartskatalog där man kan se vad lönearterna gör (är ersättningen skattepliktig, pensionsgrundande, semestergrundande etc.) och var beloppen hamnar i ekonomisystemet (vilket konto). Det finns inga fullständiga och uppdaterade manualer för HR+ eller Tur&Retur. Det finns ingen arkiveringspolicy som beskriver vilka dokument och listor som ska sparas och hur länge. Uppgiften att följa rättsutvecklingen på området och uppdatera regelverk och policies har inte genomförts på ett tillfredsställande sätt. Det finns brister i kunskaperna om förändringar som skett av de lagar som styr området. C6. Utbildning, fortbildning och informationsspridning Utbildning av nya rese- och lönehandläggare har under en längre tid varit otillräcklig. Eftersom mellan 30-50% av handläggarna börjat under 2001 eller 2002, finns en stor andel handläggare med otillräckliga kunskaper. Instruktioner om vilka uppgifter som ska registreras i systemet, vilka underlag för registrering som ska finnas, hur systemet fungerar, vilka koder och fält som ska användas samt hur kontroll av registrerade uppgifter ska göras har varit bristfälliga och ibland inkonsekventa. Rutiner för olika löne- och personalärenden är inte fullständigt beskrivna i personalhandboken eller någon annanstans. Både manuella och digitala register över samma uppgifter finns. Många prefekter, intendenter och ämnesföreträdare m.fl. personalgrupper som anställer personer förstår inte hur lönekedjan fungerar och mängder av merarbete skapas för att de inte vet vilka papper, beslut och underlag som måste finnas för att de anställda ska kunna registreras i HR+ och få korrekt lön. Många lönehandläggare får lägga in anställningar utan att ha tillräckliga uppgifter. C7. Intern kontroll av indata samt registervård Det finns inga kontroller i systemet av det som läggs in. Man kan i princip lägga in vad som helst i systemet utan att man får någon signal vid registreringstillfället om att det man lägger in är fel. Det är allvarligt eftersom registervården och kunskapen om kodernas innebörd är undermålig. Det finns också brister i kodstrukturen, där samma tjänst kan ha helt olika befattningskoder, vilket försvårar statistik och analyser.
Sidan 5 av 7 Den enda kontroll av indata som görs, sker vid lönelistekontrollen som genomförs av samma lönehandläggare som registrerat uppgifterna. Det strider mot grundläggande krav på intern kontroll eftersom man per definition inte kan kontrollera sig själv. Vid granskningen har vi funnit t.ex. 2000% frånvaro, anställningsdatum år 102, bokslutsenheter som inte finns, 86 respektive 0,14 sparade semesterdagar, koder som inte finns, kombinationer av koder som borde vara omöjliga, en mängd vital information som saknats samt en mängd andra avvikelser från avtal eller regler. C8. Intern kontroll och användning av utdata Vi har vid denna och tidigare revisioner konstaterat att väldigt få analyser och uppföljningar av löne- och personalinformation görs på universitetet. Detta visar sig t.ex. genom att felet i halvårsbokslutet 2002-06-30 (semesterlöneskulden var minst 13 miljoner kr för hög) inte upptäcktes av universitetet utan av RRV. Pga. bristerna i rutinerna för semesterhantering anser vi att felet sannolikt var större än 13 miljoner kr. C9. Kopplingar och överföringar mellan olika system Det finns ingen säkring av att det är samma information i reseräkningssystemet, lönesystemet, ekonomisystemet, analysverktyget QlikView, skattedeklarationen samt utbetalningsfilen till banken. Det är möjligt att ändra information i varje steg i processen så att det som faktiskt utbetalats inte är detsamma som det som är redovisat i systemen och till skattemyndigheten. Vid revisionstillfället hade differenser konstaterats mellan reseräkningssystemet och lönesystemet, mellan ekonomisystemet och lönesystemet, mellan skattedeklarationen och både lönesystem och ekonomisystem och mellan QlikView och alla de andra. Bankfilen har inte reviderats, varför vi inte vet om det finns differenser mellan den och övriga system. De filer som HR+ skickar till Statens Pensionsverk, SCB m.fl. myndigheter stäms inte av och pga. programfel i HR+ har med största sannolikhet fel information skickats iväg. C10. Beräkningar och programmeringar Under revisionen har en mängd fel i programmering och/eller inmatning av värden i programmen kunnat konstateras. Exempelvis är semesterlöneskulden felaktig, skatteavdrag sker inte alltid automatiskt på arvoden, nattraktamenten blir fel och personer som slutar avslutas inte korrekt i systemet. Det har bl.a. förekommit att lönebesked skickats ut till personer som inte längre jobbar på universitetet. De som kontaktat universitetet hade inte fått ut någon lön, men möjligheten finns att någon felaktigt fått lön men inte hört av sig.
Sidan 6 av 7 D. REKOMMENDATIONER Enligt systembeskrivningarna förefaller LA/PA-systemen i sig kunna uppfylla de krav universitetet ställt vid upphandlingen, och de fel vi funnit beror mer på själva processen för införandet av systemen. Det innebär att förutsatt att universitetet åtgärdar de brister som nämnts, kommer systemen sannolikt att fungera bra. Vi rekommenderar universitetet att 1. anlita kompetent personal/konsulter och testa systemen för att hitta och rätta de fel som orsakat de orimliga värden och felaktiga beräkningar som kunnat konstateras under revisionens gång 2. aktivera de kontroller som finns i systemen samt bygga till nya (t.ex. signallistor över uppgifter som behöver kontrolleras) så att det inte går att lägga in helt orimlig information i systemen 3. se över bemanningen på centrala löneavdelningen och utöka den till en nivå där arbetsbelastningen blir rimlig. Vi vill särskilt betona vikten av att sammansättningen av kompetens (systemkompetens, analytisk förmåga respektive avtals- och löne/reserutinkompetens) blir rimlig 4. se över utbildningen av nya handläggare och de utbildningsbehov som finns hos de som redan jobbar samt göra en tillräckligt stor insats för att höja lönehandläggarnas kompetens till en acceptabel nivå, både avseende registrering i systemen och avseende avtal, lagar, rutiner etc. 5. förbättra den löpande informationsspridningen, förslagsvis via bättre maillistor och minnesanteckningar från möten mm samt inrätta fungerande support till användarna i systemen 6. upprätta eller få leverantörerna att upprätta tillräcklig systemdokumentation, manualer och instruktioner om hur systemen fungerar 7. upprätta fungerande rutiner för avstämning av uppgifter till skattemyndigheten och andra myndigheter 8. säkra överföringarna av information mellan olika system och gå igenom och rätta den felaktiga informationen som finns i respektive system 9. förbättra behörighetsadministrationen för systemen så att påpekade brister avhjälps 10. klargöra avgränsningen mellan EKA och PA och tydligt reglera vem som ska göra vilka arbetsuppgifter alternativt på annat sätt kraftigt förbättra möjligheterna till ett smidigt samarbete 11. undersöka möjligheterna att ta in hanteringen av reseförskott, löneförskott och stipendier i lönesystemet via aktivering av möjligheten att göra flera utbetalningar från lönesystemet varje månad 12. förbättra och tydligt kommunicera ansvarsfördelningen för Tur&Retur såväl själva systemadministrationen som utbildningen av resehandläggare 13. förbättra säkerheten genom att upprätta katastrofplan, säkerhetspolicy samt vidta de åtgärder som föreslogs vid sårbarhetsanalysen
Sidan 7 av 7 14. klargöra vem som har ansvar för att följa med i rättsutvecklingen och se till att kunskap om nyheter och förändringar i lagstiftning kommer ut i organisationen 15. förbättra arbetet med avstämningar och uppföljning så att väsentliga fel upptäcks innan de hunnit leda till felaktiga beslutsunderlag på universitetet eller hos andra myndigheter (SPV, RSV m.fl.) 16. utbilda intendenter och andra som anställer personer i vad som krävs för att lönekedjan ska fungera smidigt 17. formulera tydliga kompetenskrav på de personer som ska registrera i systemen samt införa obligatorisk utbildning som måste genomföras med godkänt resultat innan personen får behörighet att gå in i systemen 18. överväga om systemet att registrera uppgifter på befattning istället för på person verkligen är nödvändigt eftersom det orsakar merarbete och kostnader för att hitta och rätta fel. Vi föreslår att universitetet i vart fall registrerar semesterdagar på person. 19. överväga hur den bristande interna kontrollen, där lönehandläggarna själva registrerar, kontrollerar och i princip utanordnar löner kan förbättras 20. överväga hur rutinerna för att hantera frånvaro och närvaro ska kunna förbättras så att semesterrutiner, övertidsregistrering och tjänstledighetshantering kan hanteras på ett likvärdigt sätt över hela universitetet 21. överväga om universitetet ska fortsätta att ha både manuella och digitala register över olika uppgifter (t.ex. personalkort) eller om all information ska registreras i systemen Håkan Tegnefur Internrevisionschef Unn Forsberg Internrevisor Kopia till: Karin Hendelberg, RRV Curt Karlsson, universitetsdirektör Bilaga: Detaljerade beskrivningar av de brister vi funnit (bifogas bara till universitetsdirektören och RRV)