Årsrapport for Illustrasjon: Teglverket skole. Foto: UBF.

Transkript

1 Årsrapport for 2016 Internrevisjonen i Undervisningsbygg Oslo KF 3. februar Kun for internt bruk Illustrasjon: Teglverket skole. Foto: UBF. Rapporten er utarbeidet for oppdragsgiver, og dekker kun de formål som med denne er avtalt. All annen bruk og distribusjon skjer for oppdragsgivers regning og risiko. BDO vil ikke kunne gjøres ansvarlig ovenfor en tredjepart. Side 1 av 8

2 1. Innledning Internrevisor gjennomfører revisjon i samsvar med instruks vedtatt av styret og med faglig referanse til internasjonale standarder for internrevisjon (IIA-standarder). Formålet med internrevisjon er å være en uavhengig, objektiv bekreftelses- og rådgivningsfunksjon som har til hensikt å tilføre merverdi og forbedre foretakets drift. Internrevisor ved Undervisningsbygg er en outsourcet funksjon, og det bekreftes at internrevisor er uavhengig. Internrevisor rapporterer til styret. Internrevisjonen bidrar gjennom å evaluere og forbedre effektiviteten og hensiktsmessigheten i foretakets prosesser for risikostyring, kontroll og governance, slik at foretakets mål oppnås. Ifølge instruksen er oppgavene konkretisert slik: - Evaluere risiko- og vesentlighetsvurderingene. - Vurdere overholdelse av relevante lover, forskrifter, instrukser og kontrakter, samt vedtak og pålegg fra kommunen. - Uttale seg om tilstrekkelighet og effektivitet i internkontroll. - Vurdere om aktivitetene er innenfor vedtekter, retningslinjer gitt av bystyret/byrådet, samt strategier vedtatt av styret. - Bidra til å forebygge og eventuelt avdekke misligheter. Denne årsrapporten gir en status i internrevisors vurdering av foretakets internkontroll, status i gjennomføring av revisjon i forhold til plan, oppsummering av internrevisjon i 2016, status i administrasjonens oppfølging av tidligere vedtatte anbefalinger samt en kort orientering om rådgivningsaktiviteter. 2. Vurdering av foretakets governance, risikostyring og kontroll Denne revisjonsaktiviteten er et ledd i å få et overblikk over foretakets ledelse og styring, samt foretakets generelle håndtering av risiko og kontroll. Governance omfatter bl.a. vurderinger av etikk og verdier i foretaket, ledelse og ansvarliggjøring, kommunisere risiko og kontroll, og hvordan aktivitetene mellom styret, ledelsen, eksternrevisor og internrevisor er koordinert. Inkludert i dette vil også styringssignaler og løpende kommunikasjon mellom eier, kunde og Undervisningsbygg inngå. Risikostyring omfatter vurdering av sammenheng mellom målsettinger og risikoer, valg av risikoappetitt, kommunikasjon av risiko i foretaket og hvordan ledelsen følger opp aktiviteter og eventuelt gjør egne evalueringer av gjennomføringen. Kontroll omfatter internrevisors vurdering av hvordan risikoer er håndtert i prosessene med hensyn til pålitelighet i finansiell og operasjonell informasjon, hensiktsmessig og effektiv drift, sikring av eiendeler og etterlevelse av lover, forskrifter og regler. Vurdering av risikostyring og internkontroll er foretatt med utgangspunkt i rammeverket for helhetlig risikostyring, på samme måte som Oslo kommune og UBF bygger på dette i egen virksomhetsstyring. Det har vært tatt utgangspunkt i kategoriene strategi, drift og investering (operasjonelt), rapportering og etterlevelse. Side 2 av 8

3 2.1. Strategisk Internrevisor skal vurdere governance- og risikostyringsprosessene, og har i den sammenheng på stikkprøvebasis kontrollert foretakets rutiner og dokumentasjon knyttet til: Eierskapsrelasjoner, herunder foretaksmøtet og «mandagsmøter» med byrådsavdelinger og samarbeidende etater. Ansvar og roller, herunder hvordan dette er fordelt og dokumentert i fullmaktsmatrisen. Etikk og verdier, herunder at etiske regler er oppdatert og formidles på UBF-skolen. Virksomhetsstyring, herunder at det er sammenheng i styringsdokumentasjonen fra bystyret til strategiplan og handlingsplaner. Risikostyring, herunder hvordan risikoer identifiseres og vurderes, og tiltak foretaket har eller vil iverksette for holde eller redusere risiko til et akseptabelt nivå. Verktøy for risikostyring er koordinert med UBFs øvrige rutiner for usikkerhetsstyring, og omfatter også en vurdering av muligheter som risikoene også kan innebære. Det er internrevisors oppfatning at UBF ivaretar overordnede styringsmål i egen styring av foretaket på en tilfredsstillende måte, og at det er god dialog med eier. Det er også internrevisors vurdering at UBF imøtekommer Oslo kommunes krav til risikostyring, og at prosessen brukes som et aktivt styringsverktøy. Etter internrevisors syn har foretaket en strategisk styring og oppfølging som bidrar til å oppfylle foretakets formål og målsettinger Drift og investering (operasjonelt) Internrevisor har også vurdert den løpende, operative drift av foretaket, herunder de omfattende investeringsaktivitetene. I den sammenheng er det kontrollert på stikkprøvebasis foretakets rutiner og dokumentasjon knyttet til: Operativ styring og ledelse, herunder ledermøter. Planlegging og prosjektutvikling av investeringer, herunder prosedyrer, prosjektetablering og styringsdokumentasjon. Gjennomføring av investeringer, herunder prosedyrer, prosjektorganisering og vedtatte kostnadsrammer. Forvaltning-, drift og vedlikehold av skoleanlegg, herunder prosedyrer og husleieavtaler. Systemunderstøttelse for avdelingene prosjekt og eiendom, samt fellessystemer. Det er valgt ut enkelte investeringsprosjekter for gjennomgang av dokumentasjon. For linjeavdelingene er det nå etablert «akademier» på Undervisningsbyggskolen for å imøtekomme opplæringsbehovet. For øvrig er det internrevisors erfaring at Undervisningsbygg har god operativ styring og ledelse, og at rutinene er understøttet av omfattende prosedyrer. Stikkprøver viser at prosedyrene følges tilfredsstillende Rapportering Rapporteringsrutinene og dokumentasjonen er gjennomgått med tanke på struktur og innhold. Følgende rapportering er evaluert: Månedsrapporter fra avdelingene til adm. dir. Måneds- og tertialrapporter til styret. Budsjett og økonomiplan, herunder sammenhengen til sentrale plandokumenter og vedtak i Oslo kommune. Side 3 av 8

4 Regnskap, herunder produksjonsrapportering og samlet kontrollplan. Undervisningsbygg legger vekt på fyldig rapportering av økonomi og drift både fra avdelingene til ledelsen, og videre til styret. Det gis også god status i aktiviteter relatert mot risikoene. Avdelingene prosjekt og eiendom har noen aktiviteter på «gult nivå» som betyr at man ikke har kommet så langt i gjennomføring som planlagt. Ellers er en del aktiviteter videreført til 2017 og likevel rapportert som «grønn». Oslo kommune, og derunder UBF, praktiserer overføring av besparelser i investeringsregnskapet som overført bevilgning til neste år (Y-disp.). Slik overføring kan etter kommunens praktisering gjøres inntil tre år. Etter Kommunaldepartementets veileder 1 bør slik besparelser vedtas som budsjettjustering i nytt år, da et årsbudsjett kun er ettårig. Ved budsjettjustering vil realismen i budsjettet vurderes opp mot prosjektets framdrift og kostnadspådrag, og formelt vedtas av kompetent organ. Det rapporteres også løpende om kontrollomfang fra internrevisor og fra interne 2. linjekontroller. Det er relativt stort kontrollomfang, men disse er likevel ikke gjennomført fullt ut i samsvar med plan. Det er internrevisors syn at styret og administrerende direktør får gode og fyldige tilbakemeldinger fra foretaket om status og aktiviteter gjennom året. Internrevisor har tidligere kommentert at det kan reises spørsmål ved hvorvidt måneds-/tertialrapportene til styret er for omfattende og dermed kan ta fokus bort fra det vesentligste. Denne betraktningen er fortsatt gyldig Etterlevelse Undervisningsbygg har etablert et internt kontrollopplegg for oppfølging av sentralt regelverk knyttet til foretakets virkeområde. Dette er regler som gjelder for en byggherre, for arbeidsmiljø, anskaffelser og andre krav til offentlig virksomhet, samt ytterligere reguleringer fra eier og kommunen sentralt. Det regulatoriske er fanget opp i et omfattende sett av vedtatte prosedyrer (ProSmart+), som gir ytterligere krav, veiledninger og verktøy til gjennomføring av foretakets prosesser. Den løpende oppdateringen av prosedyrene gjøres etter innspill fra prosessansvarlige/dokumenteiere, og at det har vært mange oppdateringer i både prosjektavdelingen og eiendomsavdelingen siste året. Det er sett på omfanget av 2. linjekontroller, som ofte retter seg mot kontroll av etterlevelse av lover, regler og prosedyrer. Som nevnt ovenfor, er det gjennomført et relativt stort omfang kontroller, og visse avvik er avdekket. Samlet sett mener internrevisor at det er lagt til rette for gode oppfølginger av at prosedyrer etterleves Konklusjon vedrørende kvaliteten i foretakets helhetlige internkontroll Foretakets kontroll skal bidra til at risikoer bringes til et akseptabelt nivå. Internrevisor har vurdert internkontrollen for formålene strategi, drift og investeringer, rapportering og etterlevelse. Foretaket rapporter på strategiplanens og handlingsplanenes aktiviteter knyttet til mål, utfordringer og risikoer. Status i avdelingenes egenvurdering av aktivitetene er gjennomgått, og resultatet viser at avdelingene i stor har gjennomført tiltakene i Både prosjektavdelingen og eiendomsavdelingen har noen risikoer hvor aktivitetene ikke er avsluttet, og som videreføres til neste år. Det kan synes som om noen «grønne» statusmarkeringer er vel optimistiske, da tiltaket egentlig er utsatt eller videreført. Undervisningsbygg overleverte alle planlagte prosjekter til skolestart, i tillegg til flere prosjekter fra rehabiliteringsbevilgningen. 1 Veileder i budsjettering av investeringer og avslutning av investeringsregnskapet. KMD, oktober Side 4 av 8

5 Internrevisor mener Undervisningsbygg har etablert gode systemer og prosedyrer for å sikre god virksomhetsstyring og tilfredsstillende håndtering av risikoer. Foretaket har gjennom løpende rapportering fått en bekreftelse på at internkontrollen er etablert og virker ved at foretakets mål i overveiende grad er nådd. Ledelsen bidrar til god governance, risikostyring og kontroll. 3. Gjennomføring av internrevisjonen for Status i prosjekter i henhold til revisjonsplanen Oversikten nedenfor viser status per 31. desember 2016: Nr. Prosjekt/aktivitet Planlagt Gjennomført 0 Avslutning av prosjekter fra 2015 i 2016 (herunder oppfølging av tiltak): a) Avviksrapportering (AviSmart) 1 Hensiktsmessighet og effektivitet i 2.linjekontroller, særlig kontroll av SHA. 2 Evaluering av vaktmesterordningen gjennomført i regi av UBF. 3 Byggherreansvar og ulykken på Brynseng skole 1-7 (tilleggsprosjekt) (2015) Rapportens tiltak følges opp i samråd med administrasjonen. Tid brukt hittil 2016: 1,4 ukeverk. Ukeverk: 6 Rapportert i sak 63/2016. Medgått tid: 7,3 ukeverk. Ukeverk: 5 Rapportert i sak 116/16. Medgått tid: 4,8 ukeverk. (Ikke) Rapportert i sak 49/2016. Medgått tid: 1,5 ukeverk. Sammenligning av FDV-kostnader på skoler, herunder vurdert mot kostnadsdekkende leie. Revisjon av anskaffelser, herunder fullmakter i fakturaprosessen Bistå i UBFs arbeid med risikostyring og risiko-workshops 4 Styremøter, rapporteringsmøte, kontrollforum, interne møter, rådgivning, adm. Ukeverk: 8 Ukeverk: 2 Ukeverk: 1 Løpende Ukeverk: 6 Prosjektet pågår. Medgått tid hittil: 4,1 ukeverk Prosjektet pågår. Medgått tid hittil: 0 ukeverk Medgått tid: 1,3 ukeverk. Løpende Medgått tid: 3,9 ukeverk. 5 Tertialrapportering 2016 Ukeverk: 1 1. tertial rapportert i sak 48/ tertial rapportert i sak 73/16. Medgått tid: 1,6 ukeverk. 6 Årsrapport for 2016 (blir også gjennomført i januar 2017) Ukeverk: 3 Årsrapport 2015 utført i 2016 (periodeforskyvning). Medgått tid hittil: 2,3 ukeverk. 7 Revisjonsplan 2017 Ukeverk: 3 Medgått tid: 2,3 ukeverk. Budsjettert ukeverk 2016 var på 35, mens regnskapet viser 30,6 ukeverk. Det er bl.a. periodeforskyvninger som er noe av årsaken til mindreforbruket. Samlet timeforbruk i 2016 er på timer som faktureres månedlig. Fakturert bistand i 2016 er på kr Side 5 av 8

6 3.2. Oppsummering av internrevisjonens arbeid i linjekontrollenes hensiktsmessighet og effektivitet Formålet med revisjonen har vært å vurdere hensiktsmessighet og effektivitet i 2.linjekontrollene. Det ble i denne revisjonen primært vurdert sikkerhet, helse og arbeidsmiljø (SHA), kontroll med lønns- og arbeidsvilkår og kontroll med fakturaer. Rapporten konkluderte med at SHA-kontroller bør gjøres mest mulig ensartet i linjeavdelingene for å imøtekomme byggherreansvaret, dvs. at kontrollene er bygget på samme kontrollgrunnlag, at de dokumenteres og arkiveres uavhengig av hvem gjennomfører kontrollene. Det bør også være ensartethet ved kontroll av lønns- og arbeidsvilkår i linjeavdelingene, og at alle rammeavtaleleverandører burde bli gjenstand for kontroll i avtaleperioden. Fakturakontrollene bør innrettes slik at de i større grad dekker omfanget av fakturaer med forhøyet risiko for feil, og bør suppleres med stikkprøver. Styret vedtok blant annet at administrasjonen skulle vurdere anbefalingene vedrørende SHA-kontroller og lønns- og arbeidsvilkår, og at disse skulle ses i sammenheng med rapport fra Oslo kommunerevisjon innenfor samme tema. Anbefalingene er vurdert og imøtekommet, bort sett fra at det ikke ble ansett hensiktsmessig med felles sjekklister for kontroll av lønns- og arbeidsvilkår i Eiendom og Prosjekt, da organisering og størrelse på disse prosjektene og leverandørene er forskjellig Vaktmesterordningen på skolene Formålet med revisjonen har vært å belyse hvorvidt målene med den nye vaktmesterordningen er nådd. Verken UBFs leverandør av vaktmestertjenester eller skolevaktmestrene har 100 % gjennomføringsgrad, men UBFs leverandør har noe høyere. Brukerne var middels fornøyde med vaktmestertjenestene, riktignok ifølge en brukerundersøkelse med begrenset deltakelse. UBF har kostnadsdekning for sine vaktmestertjenester, men for 2016 ser det ut for å bli et betydelig overskudd. Det ble også vurdert om den nye vaktmesterordningen hadde påvirket ansvarsforholdet mellom bestiller og utfører. Vi kom til at ansvarsdelingen er uforandret i og med at samme «tippelapp» er videreført i ny vaktmesterordning. Av samme grunn er heller ikke ansvarsforholdet endret når det gjelder HMS-ansvaret etter internkontrollforskriften. Likevel ble det påpekt at internt i UBF kunne det være uklart hvem som har det overordnede ansvaret for leveranser til skolene Byggherreansvar ved Brynseng skole 1-7 Formål med prosjektet har vært å kontrollere byggherreansvaret ved Brynseng skole. Dette var et tilleggsoppdrag hvor administrasjonen ønsket å følge opp tidligere orientering (intern granskning) av dødsulykken ved Brynseng skole Formålet med gjennomgangen var å kontrollere hvordan UBF ivaretok byggherreansvaret ved Brynsengfaret skole. Rapporten bekreftet at sentrale rutiner for oppfølging og kontroll av SHA var etablert, men 2.linjekontrollørene hadde påpekt flere alvorlige hendelser som entreprenøren ikke hadde tatt tilstrekkelig alvorlig. Styret tok rapporten til orientering. I tillegg ba styret om at politirapport blir framlagt når den foreligger Sammenligning av FDV-kostnader på skoler Prosjektet gjelder en vurdering av forskjeller i FDV-kostnader mellom skolene, og å se om FDV-kostnadene blir dekket over husleien (kostnadsdekkende leie). Rapporten er til høring, men på grunn av årsavslutningen må uttalelse utsettes til etter styremøtet i februar. Den blir etter planen da framlagt i styremøte i mars. Side 6 av 8

7 Revisjon av anskaffelser Prosjektet var planlagt gjennomført i desember Av ulike grunner er prosjektet blitt utsatt til 2017, og det pågår Oppfølging av anbefalinger fra tidligere revisjoner Oversikten viser hvilke tiltak som er vedtatt, og hvordan Undervisningsbygg følger opp tiltakene. Bare tiltak som ikke er avsluttet, er tatt med. Nr. Prosjekt/aktivitet Vedtatte tiltak Status for oppfølging Vår vurdering 1 Arkivering av FDVdokumentasjon i prosjekter (sak 64/15). Dokumentasjon som mangler i ORRA-Brann, legges inn. Det meste av dokumentasjonen som manglet, er lagt inn. Det gjenstår oppfølging på én skole. Dette gjelder hovedsakelig opplæringsdokumentasjon. Gul 2 Avviksrapportering og avvikshåndtering, herunder AviSmart (sak 5/16) Administrasjonen bes vurdere om AviSmart som avvikssystem bør videreføres. Det har vært arbeidsmøter mellom administrasjonen og internrevisor. AviSmart videreføres inntil UBF har gjort en foretaksovergripende tilnærming til avvikshåndtering. Et videre arbeid med avvikshåndtering er forankret i ledergruppen med frist for gjennomføring sommeren Gul 3 2.linjekontrollenes hensiktsmessighet og effektivitet (sak 63/2016). Administrasjonen skal vurdere anbefalingene vedrørende SHA-kontroller og lønns- og arbeidsvilkår. Fakturakontrollene bør bygge på en kombinasjon av risikobasert metode og suppleres med stikkprøver, herunder avdekking av misligheter og uregelmessigheter. Det innføres felles sjekkliste for SHA-kontroller i Eiendom og Prosjekt (fra ). Felles sjekklister for lønns- og trekkoppgaver er ikke funnet hensiktsmessig på grunn av ulikheter i organisering og størrelse hos leverandører til de to avdelingene. Et er omforent hensiktsmessig arkivering av gjennomførte kontroller. Fakturakontrollene har fått en ny innretning hvor omfanget er økt. Tilleggsrevisjon vil bli utført. Grønn Side 7 av 8

8 3.4. Rådgivningsaktiviteter Det er forventet at internrevisor skal være generelt tilgjengelig for råd og veiledning i kontroll og styringsrelaterte spørsmål. Hittil i år har internrevisor deltatt i møter og bidratt med rådgivning på disse områdene: - Deltakelse i kontrollforum (organ for samordning av kontroll og revisjon på flere fagområder). - Deltakelse i rapporteringsmøtet (organ for måneds- og tertialrapporter). - Deltatt i risikoworkshops for ledelsen og avdelingene. Internrevisor inngår forøvrig i UBFs organ for varsling («varslingsrådet»). Det er ikke innmeldt varslingssaker i Forbedring og kvalitetssikring av internrevisors arbeid BDO følger standarden og interne rutiner for oppdrags- og prosjektstyring. Det er også utarbeidet et utkast til program for forbedring og kvalitetssikring. Internrevisor har utvidede fullmakter i BDO, men er omfattet av en kvalitetskontroll fra ledelsen. Internrevisjonsoppdrag kan også bli gjenstand for intern kvalitetskontroll fra BDO Global. Det er ikke utført ekstern kvalitetskontroll. Internrevisor, som er diplomert internrevisor, imøtekommer krav til etterutdanning og såkalte CPApoeng for å kunne utøve rollen som internrevisor. Oslo, 3. februar 2017 Internrevisor Øyvind Sunde, direktør Side 8 av 8