Rapport avseende granskning av internkontrollarbetet. Timrå kommun Juni 2014
Innehåll Sammanfattning 1 1. Inledning 2 2. Rutinbeskrivning 3 3. Sammanfattande analys 6 4. Revisionell bedömning 7 5. Bilagor 8
Sammanfattning Uppdrag och bakgrund På uppdrag av de förtroendevalda revisorerna i Timrå kommun har Deloitte granskat om internkontrollarbetet anses fungera tillfredsställande. Revisionsfråga Den övergripande revisionsfrågan är om internkontrollarbetet fungerar på ett tillfredsställande sätt? Revisionskriterier Granskningen har huvudsakligen utgått frånföljande bedömningsgrunder: kommunallagen interna regelverk, policys och beslut Granskningen har utgått från intern kontroll enligt COSO. Svar på revisionsfrågan Efter genomförd granskning är vår sammanfattande bedömning att internkontrollarbetet inom kommunen till vissa delar, men inte fullt ut, fungerar på ett tillfredsställande sätt. Iakttagelser Granskningen visar att kommunens reglemente för intern kontroll inte har fått fullt genomslag inom kommunen. Detta återspeglas bl.a. i att samtliga nämnders internkontrollplaner saknar information om vilka risker som har identifierats. Vi har även noterat att det saknas dokumentation av genomförda riskanalyser. Avsaknaden av dokumentation gör att det inte är möjligt att bedöma relevansen i de planerade kontrollaktiviteterna. Det inte finns någon kommungemensam modell för genomförande av riskanalyser och det är endast barn- och utbildningsnämnden som har en egen fastställd modell för genomförandet av riskanalyser. Rekommendationer Utifrån genomförd granskning rekommenderar vi: att tillämpningsanvisningarna till internkontrollreglementet kompletteras med en gemensam modell för genomförande av riskanalyser. att de som berörs (förtroendevalda och tjänstemän) av arbetet med genomförande av riskanalyser och upprättande av internkontrollplaner erbjuds utbildning avseende internkontroll och de riskanalyser och internkontrollplaner som ska upprättas enligt internkontrollreglementet. att risk- och väsentlighetsanalyser dokumenteras så att det framgår vilka risker som identifierats samt hur dessa värderats. att internkontrollplanerna utformas så att det tydligt framgår vilka kontrollåtgärder som planerats för att hantera de risker som identifierats. att det utformas rutiner/forum för dialog mellan nämnderna/förvaltningarna avseende arbetet med intern kontroll. Timrå 2014-06-03 DELOITTE AB Marianne Harr Certifierad kommunal revisor Mattias Holmetun 1
1. Inledning Uppdrag och bakgrund Nämndernas ansvar för den interna kontrollen framgår av kommunallagens bestämmelser. Kommunstyrelsen ska ha uppsikt över nämndernas verksamhet. Revisorernas uppgift är att pröva och bedöma om nämndernas interna kontroll är tillräcklig. Allt internkontrollarbete behöver utgå från gjorda riskbedömningar om vad som kan gå fel och vad som görs för att motverka eventuella fel. Det behöver finnas en tydlig struktur för internkontrollen. På uppdrag av de förtroendevalda revisorerna i Timrå kommun har Deloitte granskat om internkontrollarbetet anses fungera tillfredsställande. Revisionsfråga Den övergripande revisionsfrågan är om internkontrollarbetet fungerar på ett tillfredsställande sätt? Underliggande revisionsfrågor: Finns ändamålsenliga riktlinjer och är de kommunicerade? Är nämndernas internkontrollarbete enhetligt? Utgår kontrollaktiviteter från riskbedömningar? Uppfyller kontrollaktiviteterna kraven för en god internkontroll? Efterlevs kontrollrutiner? Är uppföljningen ändamålsenlig? Revisionskriterier Revisionskriterierna är de bedömningsgrunder som bildar underlag för revisionens analyser och bedömningar. I denna granskning har revisionskriterierna huvudsakligen utgjorts av: kommunallagen interna regelverk, policys och beslut Granskningen har utgått från intern kontroll enligt COSO. Avgränsning Granskningen har utgått från internkontrollplaner för 2014 för samtliga nämnder. Granskningen har avgränsats till att omfatta kommunens system för intern kontroll. Metod Granskningen har genomförts genom dokumentanalyser, intervjuer och en enkät. En förteckning av de som intervjuats framgår av bilaga 1. En sammanställning av enkäten återfinns i bilaga 3. Enkäten har skickats till kommunchefen och förvaltningscheferna. Fyra av fem har besvarat enkäten. Granskningsrapporten har faktagranskats av: Utredningssekreterare, Kommunledningskontoret Bitr. förvaltningschef, Socialförvaltningen Ekonom, Barn- och utbildningsförvaltningen Nämndsekreterare, Kultur- och teknikförvaltningen Ekonomiansvarig, Miljö och byggkontoret 2
2. Rutinbeskrivning Definition av intern kontroll Intern kontroll är ett begrepp som kan definieras och förklaras på flera olika sätt. Vår utgångspunkt för granskningen är följande definition av intern kontroll: 1 Intern kontroll är en process där såväl den politiska som den professionella ledningen och övrig personal samverkar och omfattar alla system och rutiner/processer som har till syfte att styra ekonomi och verksamhet. En god intern kontroll kännetecknas av: Ändamålsenlig och kostnadseffektiv verksamhet Tillförlitlig finansiell rapportering och information om verksamheten Efterlevnad av tillämpliga lagar, föreskrifter, riktlinjer m.m. Styrande dokument för intern kontroll Inom kommunen finns ett reglemente för internkontroll samt tillhörande tillämpningsanvisningar. 2 Reglementet syftar till att säkerställa att styrelser och nämnder, med en rimlig grad av säkerhet, upprätthåller en god intern kontroll enligt ovan nämnda kännetecken. Intern kontroll ska vara en integrerad del i kommunens olika verksamhets- och ekonomiprocesser. Ansvarsfördelning Styrelse/nämnd Av reglementet framgår hur ansvaret för den interna kontrollen har fördelats inom kommunen. Kommunstyrelsen har det övergripande ansvaret för att se till att den interna kontrollen är god. Kommunstyrelsen ska utvärdera kommunens samlade system för intern kontroll och, i de fall det behövs, se till att nödvändiga förbättringar genomförs. Nämnderna har det yttersta ansvaret för den interna kontrollen inom respektive verksamhetsområde. Den enskilda nämnden ska upprätta en organisation för den interna kontrollen samt anta regler och anvisningar för den interna kontrollen efter behov. Enligt anvisningarna till reglementet ska varje nämnd minst ha fastställda rutiner för: hur planering och rapportering av interkontrollarbetet ska gå till. introduktion till nyanställda om vad intern kontroll innebär. 1 Hur vet vi vad som ska kontrolleras? Riskanalys i kommunal och landstingskommunal verksamhet, Roland Svensson, Deloitte 2012 2 Fastställd av kommunfullmäktige 2007-06-04, Författningssamling Nr R0.2.5 Förvaltningschef Enligt reglementet ansvarar förvaltningschef eller motsvarande för att konkreta regler och anvisningar är utformade så att en god intern kontroll kan upprätthållas. Ansvaret omfattar att leda arbetet med att åstadkomma och upprätthålla en god intern kontroll. Reglerna ska antas av respektive nämnd. 3
Internkontrollsamordnare Nämnderna kan enligt reglementet utse en särskild person som samordnare av frågor kring intern kontroll. Syftet med att utse en särskild samordnare av intern kontroll är bland annat att samtliga anställda ska ha möjlighet att rapportera till någon annan än överordnad chef. Fastställande av internkontrollplaner Enligt reglementet ska nämnderna fastställa en årlig plan för uppföljning av den interna kontrollen. Enligt tillämpningsanvisningarna till reglementet ska internkontrollplanerna antas senast under februari månad för det innevarande året. Av tillämpningsanvisningarna till reglementet framgår att begreppet rimlig grad av säkerhet innebär att en avvägning ska göras mellan kontrollkostnad och kontrollnytta. Vid bedömning av kontrollnyttan är det inte endast de ekonomiska faktorerna som ska vägas in. Hänsyn ska även tas till vikten av att upprätthålla förtroendet för verksamheten hos olika intressenter. Som nämnts ovan ansvarar kommunstyrelsen för att följa upp att övriga nämnder upprättar planer för den interna kontrollen och bedriver sina verksamheter på ett tillfredsställande sätt. Enligt uppgift genomförs en årlig uppföljning av att övriga nämnder har upprättat internkontrollplaner och årsrapporter med uppföljning av internkontrollplanerna. Några analyser av innehållet i de övriga nämndernas internkontrollplaner genomförs dock inte. Kommunstyrelsens internkontrollplan omfattar endast områden/kontrollåtgärder som berör risker inom styrelsens verksamhet. Kommunstyrelsen tar, enligt uppgift, inte hänsyn till övriga nämnders riskanalyser vid sin riskanalys eller vid upprättandet av kommunstyrelsens internkontrollplan. Modell och arbetssätt för intern kontroll Av tillämpningsanvisningarna framgår att planerna för uppföljning av den interna kontrollen minst ska innehålla: Vilka rutiner och kontrollmoment som ska följas upp Omfattningen på uppföljningen (frekvensen) Vem som ansvarar för att utföra uppföljningen Till vem uppföljningen ska rapporteras När rapportering ska ske Genomförd riskbedömning Till reglementet och tillämpningsanvisningarna finns även ett exempel på en modell för internkontrollplan. Samtliga nämnder tillämpar nämnda exempel. Som framgår ovan ska internkontrollplanerna föregås av en riskbedömning. Enligt de intervjuade finns dock ingen gemensam modell för genomförande av riskanalyser. Det finns inte heller några gemensamma anvisningar för hur risker ska värderas eller vilka risknivåer som kan accepteras. Av enkätsvaren framgår att kommunstyrelsen lämnat förslag och idéer till övriga nämnder om hur riskanalyser kan genomföras. Enkätsvaren visar att det endast är barn- och utbildningsnämnden som har en fastställd modell för genomförandet av riskanalyser. Av barn- och utbildningsnämndens internkontrollplan framgår hur risker har värderats. Det framgår dock inte av någon av nämndernas internkontrollplaner vilka risker som har identifierats. De olika förvaltningarna jobbar med och utformar sina riskanalyser och internkontrollplaner var för sig. Nämnderna/förvaltningarna tar, enligt de intervjuade, i stort sett inte del av varandras arbete och erfarenheter kring arbetet med riskanalyser och internkontrollplaner. Enligt de intervjuade fanns för några år sedan ett forum där internkontrollsamordnarna träffades och diskuterade olika internkontrollfrågor. Bland de intervjuade finns olika uppfattningar kring behovet av ett forum för diskussion om och utveckling av internkontrollarbetet. 4
Enligt de intervjuade genomfördes en utbildning i internkontroll år 2006. Utbildningen omfattade, enligt uppgift, en allmän genomgång av intern kontroll samt en genomgång av innebörden i och tillämpningen av kommunens internkontrollreglemente. Enligt uppgift deltog samtliga förvaltningar vid denna utbildning. Vissa av de som i dag är internkontrollsamordnare i kommunen har dock inte deltagit i någon utbildning avseende internkontroll eller kommunens reglemente. Uppföljning av internkontrollplaner Resultatet av uppföljningen av den interna kontrollen ska, enligt reglementet, rapporteras till nämnderna enligt de fastställda internkontrollplanerna. Allvarligare brister i den interna kontrollen ska rapporteras till nämnden omgående. Av uppföljningsrapporterna för 2013, behandlade i kommunstyrelsen 2014-03-11 framgår att nämnderna genomfört samtliga av de kontrollåtgärder som planerats. Av styrelsens beslut framgår att samtliga nämnders rapporter om uppföljning av den interna kontrollen godkänns. Av beslutet framgår även att kommunstyrelsen bedömer att det inte framkommer något i rapporterna som föranleder några åtgärder från styrelsens sida. Kommunstyrelsen bedömer att det samlade systemet för intern kontroll är tillfredsställande. Enligt de intervjuade återrapporteras resultatet av vissa delmoment i internkontrollplanerna flera gånger per år, till exempel åtgärder som rör budgetuppföljning, medan andra delmoment rapporteras en gång per år. Alla förvaltningar upprättar en årsrapport för internkontroll där internkontrollplanerna i sin helhet följs upp och återrapporteras till nämnderna. Enligt reglementet ska respektive nämnd rapportera resultatet från uppföljningen av den interna kontrollen inom nämnden till kommunstyrelsen och till kommunens revisorer. Rapporteringen ska ske senast i samband med upprättande av årsredovisningen. 5
3. Sammanfattande analys Nämndernas/förvaltningarnas internkontrollplaner och de svar som lämnats i enkät och vid intervjuer visar att kommunens reglemente för intern kontroll inte har fått fullt genomslag inom kommunen. Detta återspeglas i skillnader mellan nämndernas/förvaltningarnas riskanalyser och internkontrollplaner, både avseende dokumentation av riskanalyser och avseende utformning av internkontrollplaner och koppling till genomförd riskanalys. Samtliga nämnders internkontrollplaner saknar information om vilka risker som har identifierats. Vi har även noterat att det i flera förvaltningar saknas dokumenterade rutiner för introduktion till nyanställda om vad intern kontroll innebär. Inom barn- och utbildningsförvaltningen pågår, enligt uppgift, ett arbete med att ta fram en informationsfolder som riktar sig till personalen. Denna folder kommer bland annat att omfatta information om vad internkontroll innebär. Av styrelsens/nämndernas internkontrollplaner är det endast barn- och utbildningsnämndens plan som uppfyller tillämpningsanvisningarnas minimikrav. Internkontrollplanerna omfattar, i olika utsträckning, kontroller kring verksamhetsstyrning för att säkerställa en ändamålsenlig och kostnadseffektiv verksamhet. Vi har noterat att internkontrollplanerna i mycket liten utsträckning omfattar så kallade mjuka kontroller, d.v.s. åtgärder som tar sikte på t.ex. kompetens, förtroende, integritet och etik. Vi har även noterat att det endast har skett mindre förändringar av nämndernas internkontrollplaner mellan åren. Detta trots att uppföljningsrapporterna visar på att det inte förekommit några väsentliga avvikelser. Då riskanalyserna inte dokumenterats är det dock, som tidigare nämnts, inte möjligt att bedöma relevansen i de planerade kontrollaktiviteterna. Av sammanställningen i bilaga 2 framgår avstämning mellan de olika nämndernas internkontrollplaner och minimikraven enligt tillämpningsanvisningarna. Barn- och utbildningsnämndens internkontrollplan är den enda plan där information lämnas om riskbedömningen. Ingen av styrelsen/nämnderna har dock beskrivit vilka risker som identifierats. Det är därför inte möjligt att bedöma relevansen i de planerade kontrollaktiviteterna. Nämndernas internkontrollplaner omfattar, i olika utsträckning, kontroller för att säkerställa att olika rutiner tillämpas och fungerar effektivt avseende verksamhetsaspekter samt rättvisande räkenskaper. 6
4. Revisionell bedömning Vi bedömer att internkontrollarbetet inom kommunen till vissa delar, men inte fullt ut, fungerar på ett tillfredsställande sätt. Samtliga nämnder, utom Valnämnden och Överförmyndarnämnden Mitt, har fastställt internkontrollplaner för år 2014. Vi bedömer att nämndernas ansvar avseende fastställande av internkontrollplaner är definierat på ett tydligt sätt i kommunens reglemente för intern kontroll med tillhörande tillämpningsanvisningar. Granskningen visar att nämnda reglemente och tillämpningsanvisningar inte efterlevs när det gäller dokumentation av genomförda riskanalyser och dokumenterade rutiner för introduktion till nyanställda. Vi har noterat att det inte finns någon kommungemensam modell för genomförande av riskanalyser. Vi bedömer att den interna kontrollen skulle stärkas genom att tillämpningsanvisningarna till internkontrollreglementet kompletteras med en gemensam modell för riskanalyser. Tillämpning av en gemensam metod och ett gemensamt arbetssätt för arbetet med riskanalyser tillsammans med enhetligt utformade internkontrollplaner och en ökad dialog mellan nämnderna/förvaltningarna skulle stärka den interna kontrollen. Detta genom förbättrade möjligheter att beakta om, och i så fall hur, respektive nämnds planerade kontrollaktiviteter påverkar riskbilden inom övriga nämnders verksamhet. Det skulle även förbättra möjligheterna till jämförelser mellan de olika nämnderna. Utifrån genomförd granskning rekommenderar vi: att tillämpningsanvisningarna till internkontrollreglementet kompletteras med en gemensam modell för genomförande av riskanalyser. att de som berörs (förtroendevalda och tjänstemän) av arbetet med genomförande av riskanalyser och upprättande av internkontrollplaner erbjuds utbildning avseende internkontroll och de riskanalyser och internkontrollplaner som ska upprättas enligt internkontrollreglementet. att risk- och väsentlighetsanalyser dokumenteras så att det framgår vilka risker som identifierats samt hur dessa värderats. att internkontrollplanerna utformas så att kopplingen mellan genomförd riskanalys och planerade kontrollåtgärder tydligt framgår. att det utformas rutiner/forum för dialog mellan nämnderna/förvaltningarna avseende arbetet med intern kontroll. 7
5. Bilagor Bilaga 1 - Intervjuade Katarina Johansson Borg, Utredningssekreterare, Kommunledningskontoret Ingeborg Melin, Bitr. förvaltningschef, Socialförvaltningen Anna Berglund, Ekonom, Barn- och utbildningsförvaltningen Kristina Olofsson, Nämndssekreterare, Kultur- och teknikförvaltningen Elisabeth Nyh, Ekonomiansvarig, Miljö och byggkontoret 8
9 Bilaga 2 - Sammanställning internkontrollplaner Nämnd Risker har beskrivits Riskvärdering framgår Kontrollåtgärder Ansvarig för kontrollmoment utsedd Tidplan finns för kontrollmoment Kommunstyrelsen Nej Nej I huvudsak uppföljning av rutin-/lagefterlevnad (hårda kontroller) Uteslutande manuella upptäckande kontroller för verksamhet och rättvisande räkenskaper. Barn- och utbildningsnämnden Nej I huvudsak uppföljning av rutin-/lagefterlevnad (hårda kontroller) Uteslutande manuella upptäckande kontroller för verksamhet och rättvisande räkenskaper. Kultur- och tekniknämnden Nej Nej I huvudsak uppföljning av rutin-/lagefterlevnad (hårda kontroller) Uteslutande manuella upptäckande kontroller för verksamhet och rättvisande räkenskaper. Miljö och byggnadsnämnden Nej Nej I huvudsak uppföljning av rutin-/lagefterlevnad (hårda kontroller) Uteslutande manuella upptäckande kontroller för verksamhet och rättvisande räkenskaper. Socialnämnden Nej Nej I huvudsak uppföljning av rutin-/lagefterlevnad (hårda kontroller) Uteslutande manuella upptäckande kontroller för verksamhet och rättvisande räkenskaper. Valnämnden, Överförmyndarnämnden Internkontrollplaner saknas
Bilaga 3 Sammanställning av enkätsvar Har styrelsen/nämnden/förvaltning en fastställt någon modell för de riskanalyser som genomförs? Finns rutinbeskrivning/vägledning eller liknande för genomförandet av riskanalyser? Har risker (eventuella händelser som medför oönskade konsekvenser) rörande Systembehörigheter analyserats vid arbetet med internkontrollplanen för 2013? Vilka risker har identifierats? Vilka kontrollåtgärder genomförs avseende systembehörigheter för att förhindra att oönskade konsekvenser uppstår? (uppge även eventuella kontroller som genomförs men som inte tagits upp i internkontrollplanen) Kultur- och tekniknämn- Miljö-och byggnads- Inköp/attest Kommunstyrelsen Barn- och utbildningsnämnden den nämnden Nej, se internkontrollplan Nej Nej Tips och idéer har lämnats till nämnderna om hur riskanalys kan genomföras utifrån boken Intern kontroll En del av verksamhets- och ekonomistyrningen (Haglund, Sturesson, Svensson), se internkontrollplan Nej Nej Nej Nej Nej Nej - - - - Central IT påbörjade hösten 2013 ett stort arbete med AD. Arbetet innebär större säkerhet vid påbörjan och avslut av konton och behörigheter. EX ingen som inte får en aktuell lön utbetald från kommunen har aktuella behörigheter, allt avslutas i och med att personen avslutas i lönesystemet. Dessutom är det ju upp till systemförvaltaren för respektive system att hålla sina behörighetsregister uppdaterade. Detta stora projekt hoppas vi kan vara slutfört under Q4 2014. Inga Systembehörigheter (vet inte om vi menar samma systembehörigheter) beställs utifrån tjänst och befattning. När någon som inte tillhör kontoret ska ha behörighet så skrivs ett särskilt avtal med den personen. Socialnämnden Kontroll vid varje utbetalningstillfälle Stickprov Hur dokumenteras genomförandet av kontroll- - - Avtal I blankett utarbetad internt 10
åtgärderna? Hur analyseras resultaten av genomförda kontrollåtgärder? Hur återrapporteras resultatet från genomförda kontrollåtgärder till nämnden? Har risker (eventuella händelser som medför oönskade konsekvenser) rörande Löner analyserats vid arbetet med internkontrollplanen för 2013? Vilka risker har identifierats? Vilka kontrollåtgärder genomförs avseende löner för att förhindra att oönskade konsekvenser uppstår? (uppge även eventuella kontroller som genomförs men som inte tagits upp i internkontrollplanen) Hur dokumenteras genomförandet av kontrollåtgärderna? Hur analyseras resultaten av genomförda kontrollåtgärder? Hur återrapporteras resultatet från genomförda kontrollåtgärder till nämnden? - - Analyseras inte Vid varje genomförd kontroll hittills har inga oönskade konsekvenser upptäckts - - En punkt på dagordningen Genom den årliga uppföljningen av internkontrollplanen Nej, ingår därför från och med 2014 i uppföljning av budget. - Felkontering av löner har identifierats Vi gör kontroller på diverse Uppföljning av utfall i saker bl a resor, förhandlingsunderlag. Dessutom månadsvis, vid regel- förhållande till budget sker finns ett flertal spärrar bundna tillfällen tillsammans med ekonom. inlagda i systemet, bla att man inte kan hantera sin egen lön, spärr/kontroll av bruttobeloppet inte överstiger maxgräns. På särskild blankett/underlag Om något fel upptäcks så åtgärdas det omedelbart. Via månadsrapport till ekonom. - Ekonomisk rapport vid varje nämnd. Nej - - - - - - Analyseras av ekonom - - - - Nej kontrollområdet togs bort 2012 11
Med Deloitte avses en eller flera av Deloitte Touche Tohmatsu Limited, en brittisk juridisk person (Eng: limited by guarantee ), och dess nätverk av medlemsfirmor, som var och en är juridiskt åtskilda och oberoende enheter. För en mer detaljerad beskrivning av den legala strukturen för Deloitte Touche Tohmatsu Limited och dess medlemsfirmor, besök www.deloitte.com/about. Deloitte erbjuder tjänster inom revision, skatterådgivning, business consulting och finansiell rådgivning till offentliga och privata klienter inom en mängd branscher. Med ett globalt nätverk av medlemsfirmor i mer än 150 länder, kan Deloitte erbjuda spetskompetens av världsklass och djup lokal expertis för att hjälpa klienter med de insikter de behöver för att ta itu med sina mest komplexa utmaningar. Deloitte har 200 000 medarbetare i nätverket alla fast beslutna att bli standard of excellence. Detta dokument innehåller endast allmän information. Varken Deloitte Touche Tohmatsu Limited, dess medlemsfirmor eller deras närstående företag (gemensamt kallade "Deloittes Nätverk") lämnar råd eller tjänster genom denna publicering. Innan beslut fattas eller åtgärd vidtas som kan påverka din ekonomi eller din verksamhet, bör du konsultera en professionell rådgivare. Inget företag inom Deloittes Nätverk är ansvarigt för någon skada till följd av att man har förlitat sig på information i detta dokument. 2013 Deloitte AB