Revisionsrapport Granskning av Internkontrollen i nya PA-systemet Gällivare kommun Oktober 2007 Siw Karlsson Certifierad kommunal revisor
Innehållsförteckning Sida 1. Bakgrund, uppdrag och revisionsfråga...1 1.1 Metod...1 2. Införande av nytt PA-system...2 3. Organisation och ansvarsfördelning...4 3.1 Ansvarsfördelning...4 3.2 Säkerställande av kompetens...6 4. Säkerhet i systemet...7 4.1 Behörigheter...7 4.1.1 Resultat av registeranalys av aktuella behörigheter...8 4.2 Systemkontroller...8 5. PA-systemets tillämpning för verksamhetsansvarigas bevaknings- och uppföljning...9 6. Revisionell bedömning...10
1. Bakgrund, uppdrag och revisionsfråga Gällivare kommuns revisorer har givit Komrev inom Öhrlings PricewaterhouseCoopers uppdraget att granska om tillämpade lönerutiner ur internkontrollsynpunkt är säkerställda i PAsystemet och om systemet möjliggör en ändamålsenlig, effektiv personalplanering och ekonomiuppföljning. Revisionsfrågorna är att besvara om; hur införandet av systemet skett i organisationen och hur kompetensen hos de ansvariga inledningsvis och löpande säkerställts ansvarsfördelning och rutiner avseende lönesättning, registrering av fasta styrande uppgifter och löpande avvikelserapportering, avstämning, bevakning, rättelser och utbetalning är tydlig och säkerställda rutinerna för behörighetstilldelning och återtagning är säkerställda systemet uppfyller kommunens och verksamheternas bevaknings- och uppföljningsbehov 1.1 Metod Revisionen är genomförd via dokumentstudier och genom intervjuer med löneansvarig på centrala personalenheten, systemansvarig, ansvarig för resurspoolen/controller inom socialförvaltningen, tillika ansvarig för delprojektet Bemanning under införandetiden av nytt PAsystem, samt tidigare tf personalchef. Avstämning har även skett med nuvarande personalchef. Via registeranalys har omfattning och aktualitet av behöriga till PA-systemet granskats och via genomgång av dokumentation har tillämpade rutiner avstämts mot beslutade rutiner. 1
2. Införande av nytt PA-system Beslut om byte av PA-system har fattats av kommunstyrelsen våren 2004. Anledning till bytet var att tillämpat lönesystem PI-Lön inte längre skulle underhållas och uppdateras. Politiskt är beslutat att samarbete ska etableras med Kiruna kommun. Sedan 1/11 2005 tillämpas PA-systemet Aditro (tidigare Personec P) i skarp drift. Gamla systemet används dock fortfarande som kontroll av uppgifter dock inte aktivt att registrera i. Hösten 2005 beslutades att Kiruna kommun skulle ansvara för den tekniska driften för Gällivare kommun vilket numera även gäller för Pajala kommun. Kommunerna har sinsemellan tecknat ett samarbetsavtal och databasen förvaltas av Kiruna kommuns IT-avdelning. Systemet är schemabaserat med en webbbaserad självservice i vilken arbetstagarna själva ska registrera sin avvikelserapportering från grundschemat. Det finns en arbetstagardel och en arbetsledardel. I arbetsledardelen har arbetsledaren tillgång till person/anställningsuppgifter och sin personals bemanningsblad, möjlighet att fatta beslut rörande arbetstagarnas rapportering samt att ta ut rapporter för verksamhetsplanering och uppföljning. Projektet med införandet av nytt PA-system bedöms samstämmigt ha gått enligt planerna. Dock kvarstår att införa självservice för ca 30 % av kommunens anställda, delvis beroende på avsaknad av teknik. Personalkategorier som fortfarande inte omfattas av självservice är exempelvis lärare, personliga assistenter, lokalvårdare, mindre enheter i byarna, räddningstjänsten och de kommunala bolagen. Målet är dock att samtliga anställda framöver ska omfattas av självservice och enligt tidplanen ska lokalvårdare och personliga assistenter och de kommunala bolagen introduceras from hösten 2007 och lärarna from 2008. För närvarande pågår en kvalitetssäkring i vilken en säkerhetsplan tagits fram. Planen omfattar systemöversikt, grundsäkerhet, användningssätt, funktionsbeskrivning av modulerna, ansvarsfördelning och behörigheter, tilläggskrav i form av sekretess, tillförlitlighet och tillgänglighet, lagar och styrande regelverk, verksamhetsrelaterade och hotrelaterade krav. 2
Efter införandefasen har det fortsatta arbetet avsett schemarutiner och införande av självservice, Bemanningsmodulen och WinLAS. Support finns för Självservice, Bemanning, PS Utdata, PS Förhandling, WinLAS och PA-online 1. En utdataansvarig är utsedd per förvaltning och en lönehandläggare och en administratör för Poolvakansen står för supporten i WinLAS. Samtliga timanställda rapporteras för närvarande manuellt centralt av löneassistenterna. Vikariehanteringssystemet Time-pool som planeras införas under 2007 kommer dock att innebära att tidrapporter för vikarier inte längre behöver rapporteras manuellt. Underlag för löneutbetalningen överförs av administratörerna i verksamheten i samband med anställningen. Införandet av förhandlingsmodul pågår och vissa problem har noterats i samband med inrapportering av anställd med flera befattningar. Efter det att PA-systemet är införts fullt ut bedömer projektansvarig att en utvärdering av arbetsuppgifterna på centrala personalenheten, bland administratörer och arbetsledare ute på förvaltningarna bör göras. 1 Självservice - i vilket den anställde själv registrerar den löpande avvikelserapporteringen Bemanningsmodulen - ett schema och personalplaneringsverktyg WinLAS - fristående program för LAS hantering dvs anställningstid i kommunen PS Utdata - för uppföljning av personalstatistik PS Förhandlingsmodul - används för automatisk överföring av nya löner efter förhandling PA-online - möjliggör en löpande uppföljning av statistik för ansvariga arbetsledare 3
3. Organisation och ansvarsfördelning För driften av systemet ansvarar som nämnts Kiruna kommun. I Gällivare sker lönekörningar och bearbetningar flera gånger per vecka. Inloggning sker först i huvuddatorn i Kiruna och därefter i det egna systemet. 3.1 Ansvarsfördelning I en upprättad slutrapport för projektet har roller och ansvar dokumenterats. Enligt denna ansvarar två systemförvaltare för information om nyheter i systemet till förvaltningsgrupp och chefer/administratörer, att beställa och godkänna förändringar, säkerställa att avbrottsplaner upprättas och sprids, verkställa beställningar och behörigheter, filhantering och filöverföring, samt för att tillsammans med förvaltningsgruppen upprätta rutiner rörande PAsystemet. Intervjuerna visar att ansvarsfördelningen mellan centrala personalenheten och verksamhetsansvariga bedöms otydlig. Enligt tf personalchef är dock roller och ansvar tydliggjort i förvaltningschefsgruppen. Centrala personalenheten består av sex löneassistenter och två systemansvariga. Under införandefasen och fortsättningsvis har samtliga löneassistenter ansvarat för både lönehantering och utbildning. På den centrala enheten ligger för närvarande support, utbildning, registrering för vikarier, avstämning och bevakning samt registrering av nyanställda och fasta styrande uppgifter för lönebearbetningen. Som tidigare nämnts har inte heller registrering av sjukfrånvaro och längre tjänstledighet delegerats. Lönesättning för samtliga vikarier görs centralt på löneenheten. Fasta styrande uppgifter vid avtalsförändringar uppdateras automatiskt av leverantören. Ny lön i samband med ordinarie lönerevision uppdateras via en förhandlingsmodul av systemförvaltarna. Ansvar för registrering av ny lön mellan förhandlingarna alternativt vid nyanställningar har endast löneassistenterna på personalenheten. Enligt systemansvarig är sjukfrånvarorapporteringen inte delegerad pga säkerhetstänk. I Bemanningssystemet inom socialförvaltningen är de svårt att se sjukfrånvaro (behövs flera kompletterande sökningar). Direktkoppling till FK kommer att ske under hösten 2007. Rutinen ska prövas centralt först för att se att den fungerar innan delegeringen ut till verksamheten. 4
För löneutbetalningarna ansvarar systemförvaltarna. De ansvarar även för uppdatering av systemet och informationen av nya systemfunktioner till de verksamhetsansvariga. Enligt uppgift har dock de verksamhetsansvariga inte löpande blivit informerade om nya systemfunktioner. Ansvar för rättelser efter utbetald lön ligger centralt på personalenheten medan justeringar av felaktigheter ska korrigeras av arbetsledare/administratör i verksamheten. Centralt på personalenheten kontrolleras och rättas löpande fel som upptäcks alternativt sker kontroll i mån av tid. En bedömning som framkom i intervjuerna är att de förvaltningar som har administratörer har en bättre kontroll än övriga förvaltningar. Lönekamreren och systemförvaltarna ansvarar för utdatautskick till arbetsledarna. Arbetsledarna är ansvarig för de löpande avstämningarna och på socialförvaltningen är arbetet vidaredelegerat till administratörer och på skolan till rektorsassistenter. Enligt upprättad systemsäkringsplan ska system ägaren fastställa vilka gemensamma delar av datasystemet som ska granskas centralt och ansvarar för rutinerna för säkerhetskopieringen som ska ske två gången per dag. Registreringsansvaret ligger på arbetsledarnivå via antingen chefer eller vidaredelegering till administratörer. Inom äldreomsorgen finns sex enhetschefer och sex administratörer och inom handikappomsorgen sex enhetschefer och sex administratörer. Centralt inom socialförvaltningen finns åtta administratörer som delvis har till uppgift att vara arbetsledare för poolpersonal (120 anställda) samt vikarier (både tim- och månadsanställda.) Schemaförändringar ska registreras av ansvarig chef/administratör på förvaltningarna. Registreringsansvaret för övriga förvaltningar ligger på den centrala personalenheten. Enhetschefer, arbetsledare, rektorer alternativt administratörer/assistenter ansvarar för den löpande avstämning och bevakning av att arbetsrättslagstiftning efterlevs. Prenumeration av analyslistor sker med månadsvis utskick via mail till arbetsledarna. Löneassistenten bedömer att socialförvaltningen har en bra kontroll men att inte alla arbetsledarna tagit sitt ansvar. Vid de tillfällen som exempelvis för mycket tjänstledighet beviljats av verksamhetsansvariga kvittar de ansvariga på centrala personalenheten detta mot kommande inarbetning. 5
3.2 Säkerställande av kompetens Inom socialförvaltningen har två administratörer och en löneassistent ansvarat för utbildning i självservice av all baspersonal medan leverantören har ansvarat för utbildning av chefer, administrativ personal och löneassistenterna på centrala personalenheten. Utbildning av chefer i utdata kvarstår pga att leverantören haft problem med PS+ utdata modulen. Utbildningarna har även enligt uppgift blivit lidande pga problem med tekniken (kommunikationen alternativt störningar i Kirunas nät). Förvaltningsekonomer och löneassistenter/personalhandläggare från centrala personalenheten, en heltid för socialförvaltningen och en halvtid för BUoK, har lyfts ut för att ansvara för utbildning under införandet av nytt PA-system. För den löpande kompetensutvecklingen framöver ansvarar en lönekamrer och en löneassistent. Lathundar över lönerutiner finns enligt uppgift upprättade. I samband med att en ny behörighet till systemet utdelas ansvarar löneenheten för utbildning i handhavande inledningsvis och även löpande via regelbundna arbetsplatsträffar eller vid behov. En gång per år träffas de kommuner som ingår i samarbetet och diskuterar aktuella frågor och problem. Samarbete med andra kommuner som använder samma PA-system har etablerats i det sk Användarrådet. Endast systemförvaltarna kan vända sig till leverantören Aditros användarsupport. Tillgängligheten till supporten bedöms vara bra men dyrbar. 6
4. Säkerhet i systemet Kiruna kommun ansvarar även för backup-rutinerna. Uppgifterna sparas i de lokala datorerna 5-6 år som därefter töms och lagras därefter i Kiruna. En gång per månad körs loggar av systemförvaltarna. 4.1 Behörigheter För behörighetstilldelning och återtagning av arbetsledares behörighet ansvarar systemförvaltarna. De personer som ansvarar för introduktionen av nyanställda har även ansvaret för att beställa behörighet i PA-systemet, vilket omfattar två personer per förvaltning. Behörighetsbeställningen sker via ett blankettsystem. Respektive chef/administratör registrerar registreringsbehörigheter för de anställda för avvikelserapportering i självservice. Respektive chef/administratör ansvarar även för att anmäla när behörighet ska plockas bort. Enligt uppgift är dock den egna bedömningen att rutinerna att plocka bort inaktuella behörigheter inte alltid fungerar. Risken bedöms störst i de fall arbetsledare/verksamhetschefer med störst behörighet avslutar sin anställning. För vikarier registreras t.o.m.-datum medan det för tillsvidareanställda inte finns någon rutin för att återta behörighet. Enligt uppgift avstämmer systemförvaltarna löpande om chefslöner enligt befattningskoderna upphör att utbetalas och plockar i samband härmed bort registrerade behörigheter. Enligt systemförvaltaren har dock brister noterats i samband med borttagning av inaktuella behörigheter vilket sker muntligt från verksamhetsansvariga varför ansvaret förts upp till centrala personalenheten. Kontroll av behörigheter går enligt systemförvaltaren endast att ta ut för arbetsledare inte för arbetstagare i nuvarande system. Behörighet i form av registrerings-id för självservice till arbetstagarna registreras av administratörerna/assistenterna på tjänsten. Även ansvaret för bortplockning av inaktuella behörigheter ligger på administratörerna/assistenterna vilket dock inte är tydligt enligt intervjuerna. Vanligaste behörigheten i socialförvaltningens bemanningssystem är skrivmöjlighet. 7
4.1.1 Resultat av registeranalys av aktuella behörigheter För närvarande finns 1 228 användar-id till PA-systemet i Gällivare kommun. Samkörning av filerna aktuella behörigheter och avslutade tjänster under perioden 2007-01 - 2007-08 visar att det i den förstnämnda filen finns 14 personer för vilka inte framgår avgångsorsak samt 73 anställda som slutat sin tjänst i kommunen. Dessutom finns en person med två behörigheter upplagd. Avstämning med ansvariga på kommun avseende dels huruvida lön utbetalats till dessa personer dels om dessa är arbetsledare eller inte visade att 48 anställda varav tre arbetsledare låg kvar med behörighet till systemet trots att dessa slutat. Personen med dubbla registreringar var en av dem som avslutat sin anställning. I samband med revisionen har dessa plockats bort och rutiner håller enligt uppgift på att skapas för att framöver förhindra att behörighet står kvar efter avslutad anställning. 4.2 Systemkontroller Begränsning i tid går inte att registrera av arbetsledare med ansvar över en större personalgrupp, enligt uppgift. Under sommaren 2007 har en manuell genomgång av aktuella anställningar gjorts av löneenheten. Månadslön och OB för tillsvidareanställda utbetalas med automatik utan attest i de fall inga tillkommande tid alternativt avdrag skett under månaden. Nuvarande spärrar i systemet som genererar felkoder/signallistor är enligt systemförvaltaren; Bruttolöner över 30 tkr Går ej att registrera egen lön För mycket uttagen semester Bevakningslistor för visstidsanställda kontrolleras månadsvis mot t.o.m. - datum. Kontrolloch bevakningslistor är möjligt att ta ut när som helst av ansvariga arbetsledare. Enligt löneassistenten har dock fler spärrar i systemet efterlysts av vissa arbetsledare. 8
5. PA-systemets tillämpning för verksamhetsansvarigas bevaknings- och uppföljning Uppföljningsrutinerna bedöms av systemförvaltaren inte fungerat fullt ut delvis pga att leverantören har haft problem med utdatamodulen. Sista utbildningen i utdatamöjligheter genomfördes i maj 2007 och även bedömningen av verksamhetsansvariga är att dessa inte fullt ut har kunskap om systemets möjligheter för uppföljning. Verksamhetscheferna förväntar sig mer uppföljningsmöjligheter som inte hunnit introduceras pga tidsbrist enligt tf personalchef. För närvarande begränsas uppföljningsmöjligheterna i stort till kontouppföljning. Dessutom konteras exempelvis poolpersonalen inom socialförvaltningen på ett centralt grundkonto och fortfarande noteras problem med kontofördelningen ut till verksamheten från det centrala grundkontot vilket försvårar den löpande uppföljningen. Att inte hanteringen av sjukfrånvaro och övriga längre tjänstledigheter delegerats innebär att den löpande uppföljningen av personalbemanningen enligt uppgift försvåras då det finns en eftersläpning i registreringen av denna typ av frånvaro. Även ansvaret för dessa rutiner planeras emellertid, enligt uppgift, delegeras till chefer/administratörer efter det att rutinerna testats centralt. WinLAS är ett fristående program som tillämpas inom socialförvaltningen men är planerat att delegeras ut till övriga förvaltningar. Inom socialförvaltningen har konstaterats att konventeringen från gamla systemet fungerat och att man har kontroll över samtliga anställningar i enlighet med Lagen om anställningsskydd (LAS). Problem som noterats enligt löneassistenten är att det vid byte av befattningar inom kommunen är svårt att avstämma exempelvis ackumulerad övertid. Viss inaktuell information är inte avslutad innan övergången till nytt system. Avslutningsvis bedömer dock verksamhetsansvarig att det nya PA-systemets möjligheter på sikt kommer att förenkla och effektivisera personaladministrationen. Fortlöpande införande inklusive utbildning av verksamhetsansvariga planeras under hösten 2007. 9
6. Revisionell bedömning Vår bedömning är att införandet av det nya PA-systemet skett relativt smidigt och snabbt i organisationen. Vi konstaterar dock att vissa personalkategorier fortfarande står utanför rutinen självservice och att Utdata - modulen inte fungerar som avsetts samt att inte heller har alla verksamheter för närvarande tillgång till LAS-modulen WinLAS. Vi bedömer att nuvarande kontrollmiljö och kontrollaktiviteter i många avseende är bra mot bakgrund av bland annat att fler än en anställd ingår i lönehanteringskedjan, registrering av fasta uppgifter/löpande avvikelserapportering/utbetalning, och att spärrar finns för exempelvis registrering av egen lön. För att ytterligare säkerställa den interna kontrollen anser vi dock att kommunen bör analyserar om ytterligare behov av fler spärrar i systemet bör göras. Vi bedömer att kompetensen och enhetlig lönehantering säkerställs via kontinuerliga användarträffar och i samråd med de övriga kommunerna som ingår i samarbetet. En systemsäkerhetsplan är upprättad som förutom en teknisk beskrivning av systemet och moduler, omfattar en tydlig dokumenterad ansvarsfördelning, behörigheter samt krav på grundsäkerhet. Vi bedömer att merparten av ansvarsfördelning och rutiner avseende lönesättning, registrering av fasta styrande uppgifter och löpande avvikelserapportering, avstämning, bevakning, rättelser och utbetalning till stora delar är tydliga och säkerställda. Vi anser dock att behov av en egen utvärdering av arbetsfördelningen mellan den centrala personalenheten och ansvariga i verksamheterna bör prioriteras för att ytterligare förtydliga ansvar och undvika dubbelarbete. Vår bedömning är att rutinerna för återtagning av tilldelade behörigheter inte fungerar som avsetts. Vi anser mot bakgrund härav att rutinerna för återtagning av behörigheter bör förbättras i syfte att ytterligare säkerställa den interna kontrollen. 10
Vi bedömer att nuvarande system inte är helt ändamålsenligt utifrån verksamheternas behov av uppföljning och bevakning. De verksamhetsansvariga bedömer dock att på sikt, när systemet är fullt ut infört, att nuvarande PA-system ska möjliggöra och underlätta samt effektivisera uppföljning och resursanvändning. Uppföljning försvåras dock i dagsläget av att inte utdatamodulen fungerat som avsetts och att exempelvis rutinen för fördelningen av vikariekostnader från vikariepoolen inte fungerat. Eftersläpningen i redovisning av sjukfrånvaro- och längre frånvarohanteringen som fortfarande inte delegerats ut till verksamheten försvårar också den löpande uppföljningen av bemanningen för verksamhetsansvariga. Vi anser att kommunen bör prioritera processen med att införa systemet fullt ut för att efterleva verksamheternas behov av uppföljning och bevakning för en effektiv och ändamålsenlig personalplanering och möjliggöra en aktuell och tillförlitlig ekonomiuppföljning. 11