Kartlegging av innkjøpsrutiner

Transkript

1 Kartlegging av innkjøpsrutiner Trondheim kommunerevisjon Februar 2007

2 Forord Denne rapporten oppsummerer resultatet av prosjektet Kartlegging av innkjøpsrutiner. Trondheim kommune er i gang med å implementere scanning-system på innkommende fakturarer. Vi har i den forbindelse sett på opplegg og rutiner for det nye systemet, og vurdert disse opp mot annerkjente standarder for god intern kontroll. Tilsvarende har vi sett på i forhold til kommunens e-handelsystem. Det viktig å ha gode rutiner og praksis rundt disse systemene som omfatter store og omfattende vare- og finanstransaksjoner i Trondheim kommune. Undersøkelsen er foretatt i perioden oktober desember i 2006 av Mona Kristensen, Stig-Ove Kvalsund og Børge Sundli. Rådmannen har hatt rapporten til høring i perioden 16. februar til 6. mars Trondheim dato 7. mars 2007 Per Olav Nilsen revisjonsdirektør Mona Kristensen revisor Stig-Ove Kvalsund revisor Børge Sundli revisor Kartlegging av innkjøpsrutiner 1 Februar 2006

3 INNHOLD 1. INNLEDNING KOMMUNENS MÅL MED E-HANDEL RAMMEVERK FOR INTERN KONTROLL NÆRMERE OM COMPELLO NÆRMERE OM E-HANDEL OPPSUMMERING RÅDMANNENS HØRINGSSVAR REVISJONENS KOMMENTARER TIL RÅDMANNENS HØRINGSSVAR VEDLEGG

4 1. Innledning Revisjonen har kartlagt rutinene rundt kommunens scanningssystem Compello og kommunens e- handelssystem. Compello er et scanningssystem for elektronisk fakturahåndtering og inngår som en del av hovedavtalen Trondheim kommune har med EDB. Systemet er integrert med Masterpiece regnskapssystem og AP reskontrosystem. På kartleggingstidspunktet er kommunen godt i gang med utrullering på enhetene og planene er full drift i løpet av våren Det er opprettet en skanningssentral sentralt ved Finans- og regnskapstjenesten (FRT) som tar seg av skanning av samtlige inngående fakturaer i kommunen. Totalt vil det gå ca 160 tusen transaksjoner gjennom Compello hvert år når samtlige enheter er operativ. Bilagsnummer påføres i form av strekkoder. Faktura sendes elektronisk for attestasjon og anvisning og overføres deretter til regnskapssystemet for postering og betaling. E-handel eller elektronisk handel som begrep dekker alle former for kommersielle transaksjoner og forretningsvirksomhet over elektroniske nett. Trondheim kommune gjør innkjøp for 1,3 md kroner pr år, som fordeler seg med 700 mill kroner på drift og 600 mill kroner på investeringer. Kommunens innkjøpskontor har inngått 70 rammeavtaler. Systemet avløser nåværende manuelle rutiner og skal bidra til å effektivisere innkjøpsfunksjonen. Det antas en besparelse pr transaksjon på kr 250,-. I dag brukes e-handelssystemet fra bestilling til betaling. Foreløpig avventer kommunen med å ta i bruk elektronisk faktura, men dette vil være aktuelt i nær framtid. I forbindelse med kartleggingene har vi hatt intervju om Compello med sentrale persone ved FRT, og om e-handel med innkjøpssjefen og en medarbeider ved innkjøpskontoret. Referat fra intervjuene er verifisert av de berørte partene. Resultatene av kartleggingene er presentert for kommuneadministrasjonen, bl a kommunaldirektøren for finans med konstituert leder for regnskapstjenesten og controller i møte i januar Kommunens mål med e-handel Kommunens mål med e-handel er å effektivisere kjøpsprosesser og skape lojalitet til rammeavtalene. I tillegg til kommunens uttalte mål med de konkrete systemene har kommunen mål om at systemene skal bidra til riktig bokføring og økonomisk rapportering samt å forebygge misligheter. 3

5 3. Rammeverk for intern kontroll I undersøkelsen har vi lagt til grunn en internasjonal anerkjent modell for intern kontroll1. Intern kontroll defineres i videste forstand som en prosess, iscenesatt og gjennomført av foretakets styrende organer, ledelse og ansatte. Den utformes for å gi rimelig sikkerhet vedrørende måloppnåelse innen følgende områder: Målrettet og effektiv drift Pålitelig intern og ekstern rapportering Overholdelse av gjeldende lover, regler og vedtak Det er fem sentrale komponenter i rammeverket som utgjør grunnlaget for å oppfylle de tre nevnte målsettingene. Komponentene er kontrollmiljøet/ internt miljø, risikovurderinger, kontrollaktiviteter, informasjon/kommunikasjon og tilsyn/ overvåkning. Begrepene er nærmere forklart i vedlegg Nærmere om Compello FRT har etablert kontrolltiltak for å forebygge feil i regnskapet. De viser til at viktigste kontrolltiltakene er: Konteringskontroll og kontroll mot fiktive fakturaer Arbeidsdeling antas å bli bedre etter innføring av Compello siden FRT som skanneinstans utgjør et ekstra ledd. Leverandør skal ha org.nr Fokus på roller. Tilgang skal kobles mot attestasjons- og anvisningsreglement og anvisningsregisteret. 2 eller 3-deling i roller. FRT har ingen oppfølging av enhetene, da holdningen er at dette er enhetenes ansvar. Det har vært tatt stikkprøver i oppstarten. Det er ikke etablert rutiner for å purre på ikke-attesterte fakturaer. Systemet er ikke brukt som hjelpemiddel for riktig anordning (periodisering) av utgifter og inntekter. Etter revisjonens vurdering vil FRT være en av kommunens interne kontrollinstanser, siden dette er et sentralisert system. Dette vil også innebære en kontroll med at rollene i Compello stemmer overens med anvisningsreglementet/registeret. 1 Solberg, M (1996): Intern kontroll et integrert rammeverk. Oversettelse av COSO-rapporten. 4

6 5. Nærmere om e-handel Det er innkjøpskontoret som på vegne av rådmannen forvalter e-handelssystemet og som forestår opplæring av enhetene i kommunen. Innkjøpskontorets rolle har vært å sørge for systemets oppetid, opplæring, kvalitet, brukerstøtte, gi fullmakter, ha oversikt over fullmaktstrukturer samt avtaleforvaltning. Det har vært tett oppfølging av brukerne i implementeringsfasen. Hovedfokus har vært på volum for å best mulig legge til rette for å lykkes med e-handel. Innkjøpskontoret sier at intern kontroll ikke har vært i fokus. Dette er etter revisjonens vurderinger uheldig og har muligens vært medvirkende årsak til at følgende har kunnet skje: Ansvaret for å etablere interne kontrollrutiner er overlatt til enhetene og enhetsleder uten anbefalinger fra sentralt hold Mange personer er definert som godkjennere uten at dette er i samsvar med personer med anvisningsfullmakt. Godkjennere i e-handelssystemet skal være knyttet mot anvisningsregisteret. Bestiller kan også være godkjenner dette fører til manglende arbeidsdeling Svikt i registrering av mottatte varer i systemet. Varemottak bør kontrolleres mot bestilling. Tilgjengelige rapporter brukes ikke som verktøy i økonomistyring Mangler beskrevne rutiner omkring loggføring som internt kontrolltiltak Mangler utskrifter av logger Manglende oppfølging av sluttmeldingsrutiner. Personer som har sluttet eller endret stilling er blitt liggende i systemet med tilgang. Anvisningsrutinene fungerer som tidligere på papir. På sikt vil papirutgaver bli erstattet med elektroniske fakturaer. E-handelssystemet bør allerede nå utvikles med tanke på å ivareta interne kontrollrutiner. I systemet ligger det inne muligheter for god intern kontroll, som bl a: Ingen kan bestille og godkjenne uten av minst en person i tillegg vet om det. Her kan det utvikles rutiner for handling i tilfelle en person med bestillerfunksjon unntaksvis også er definert som godkjenner Mulighet for å definere tilleggsgodkjennere underveis Muligheter for logging av data Rapportmuligheter for oppfølging og kontroll Det bør kreves at bestiller ved bestilling via frisøk innhenter og registrerer pris slik at godkjenner har mulighet for å etterprøve faktura I e-handelskurven framkommer oversikt over hvem som har bestilt/godkjent. Dette gir muligheter for statistikker og kontroll. E-handelskurven slettes ikke uten at det gjøres særskilt avtale med leverandøren om dette. Rådmannen bør i samråd med innkjøpskontoret etablere rutiner for oppbevaring/sletting. Bestillingen kan ikke endres etter at bestilling er godkjent. Dette virker betryggende. 5

7 6. Oppsummering COSO-modellen er et rammeverk for systematiske tanker omkring intern kontroll. Sentrale elementer i COSO-modellen er kontrollmiljø, risikovurderinger, kontrollhandlinger, informasjon/kommunikasjon og tilsyn/overvåking. Disse elementene er viktige å ha et forhold til for at virksomheten skal nå sine mål. Risikovurderinger skal identifisere hvilke risikoer man har ved implementeringen av systemet i forhold til å nå definerte mål. Revisjonen mener at det ikke har vært utført tilstrekkelige risikovurderinger ved innføringen av e-handel. Det har ikke vært systematisk gjennomgang av hva som truer måloppnåelse. Det er ikke gjort vurderinger om etablerte kontrolltiltak (kontrollrutiner, drift og endringer av systemet) er tilstrekkelig for å oppnå et akseptabelt risikonivå, eller gjort vurderinger av om ytterligere kontrolltiltak må settes inn. Ansvar for intern kontroll har vært ansett som enhetsledernes område. Dette har også vært holdningene i forhold til innføring av Compello. Kontrollaktiviteter skal settes inn i forhold til identifiserte risiko. Revisjonen har observert svakheter i etablerte kontrollaktiviteter i forhold til utvikling av e-handel og implementering av Compello. Vi mener at det har vært etablert gode informasjons- og kommunikasjonslinjer mellom systemadministrasjonen og sluttbrukere av systemene som synliggjør hvordan systemet skal brukes gjennom kurs og tilgjengelige brukerveiledninger. Ledelsen må etablere et system for å se at organisasjonen når målene om bruk av systemet. De skal dokumentere at intern-kontrollsystemet fungerer. Revisjonen mener det er mangel på systematisk tilsyn fra rådmannen med bruk av e-handel og Compello. Det er ikke etablert rutiner for systematisk rapportering til rådmannen for å avdekke avvik ved bruk av systemet (ikke samsvar mellom godkjennere og anvisningsreglement og register). Kontrollmiljøet påvirkes av de rammer som settes i organisasjonen. Mangel på rammer for intern kontroll kan føre til at organisasjonen lager sine egne løsninger som kan være i strid med kommunens intensjoner. Det er kommunens administrasjonssjef som har det overordnede ansvaret for å etablere interne kontrollrutiner. Kontrollmiljøet og de interne kontrollrutinene på enhetene avhenger av fokuset som den øverste ledelsen har til å redusere eller fjerne risiko. Etter revisjonens vurdering gir kommunens organisering i to-nivåmodellen en ekstra utfordring i å etablere, risikovurdere, sette inn tiltak og utøve tilsyn med enhetene. Slik vi ser det bør FRT være en kontrollinstans overfor kommunens enheter vedrørende Compello, og innkjøpskontoret ha tilsvarende rolle når det gjelder e-handel og innkjøp. 6

8 7. Rådmannens høringssvar TRONDHEIM KOMMUNE Rådmannen, kommunaldirektør for finansforvaltning Trondheim kommunerevisjon Vår saksbehandler Hans Ole Rolfsen Vår ref. 07/7373/ oppgis ved alle henv. Deres ref. Dato KARTLEGGING AV INNKJØPSRUTINER - HØRINGSSVAR Innledningsvis vil det understreke at denne rapporten er svært nyttig i forbindelse med rådmannens kontinuerlige arbeid for å sikre god intern kontroll og for å videreutvikle rutinene i forbindelse med bruk av E-handel og Compello. Rådmannen vil innen 1.oktober 2007 legge fram en sak som beskriver hvordan dette er fulgt opp. Kommentar vedrørende Compello Revisjonsrapporten gjengir eksisterende kontroller hos FRT knyttet til Compello. Det vil bli sett nærmere på en formalisering og systematisering av disse rutinene i forbindelse med utvikling av den interne kontrollen på dette området. For øvrig er det naturlig å kommentere to utsagn i revisjonsrapporten knyttet til Compello: a.) FRT har ingen oppfølging av enhetene/det er ikke etablert rutiner for å purre på ikke-attesterte fakturaer. Det har til nå ikke vært lagt opp konkrete rutiner med tanke på å følge opp enhetene gjennom året. Dette må ses i sammenheng med at Compello er et nytt verktøy og at fokus til nå har vært å bygge opp kompetanse hos FRT og å ta i bruk systemet i organisasjonen. Vi vil imidlertid komme tilbake til saken i løpet av våren/forsommeren, bl.a. med bakgrunn i erfaringene fra årsoppgjøret I forbindelse med årsoppgjøret ble det de siste 3 ukene purret jevnlig på restanser i Compello vedrørende 2006, først på generelt grunnlag - deretter direkte mot hver enkelt enhet med ikke attesterte/anviste fakturaer i systemet. Den praksisen som det ble lagt opp til under årsoppgjøret er det formålstjenelig å videreføre til tertialrapporteringene. Vi tar sikte på å få etablert en 7

9 skriftlig rutine på dette i løpet av våren/tidlig sommeren. Muligens bruker vi første tertial 2007 som en test for å høste ytterligere erfaring før rutinen fastsettes. b.) Systemet er ikke brukt som hjelpemiddel for riktig anordning (periodisering) av utgifter og inntekter. Det presiseres at siden det kun er inngående fakturaer som håndteres i Compello, kan systemet ikke brukes til periodisering av inntekter. Den oppfølging som har vært av restanser pr (jf a. ovenfor) vil i realiteten bidra til bedre periodisering. På det tidspunktet regnskapet ble stengt for føring ble enhetene med restanser i systemet vedrørende 2006 anmodet om å anordne disse utgiftene. Også her er det utviklingspotensiale. Vi vil i løpet av våren/forsommeren se på muligheten for å rapportere restanser, for derved å gi bedre grunnlag for anordning av utgiftene ut i fra systemets data. At det ikke er komme lenger på dette området har samme årsak som beskrevet under a. ovenfor. I tillegg til de to ovenstående punkter vil det også bli etablert rutiner med hensikt å følge opp at rollene i Compello stemmer overens med anvisningsreglementet. Det tas sikte på at rutiner som beskrevet ovenfor skal være på plass før rapportering 2. tertial Kommentar vedrørende E-handel I 2000 ble det gjennomført et forprosjekt for å vurdere mulige effekter av å innføre elektronisk handel (e-handel) i Trondheim kommune. Forprosjektet konkluderte med at det var betydelig potensial for økonomiske (og kvalitative) gevinster. Basert på dette besluttet Trondheim bystyre i 2001 å gjennomføre et prosjekt for innføring av e-handel i Trondheim kommune. Målet med prosjektet har vært: 1. Betydelig økt avtalelojalitet 2. Mer effektive innkjøpsprosesser 3. Muliggjøring av å frigjøre tid fra administrative oppgaver til virksomhetens primæroppgaver. 4. Bedre økonomistyring 5. Økt kvalitet ved innkjøpsprosessen 6. Bedre vurderingsgrunnlag av leverandører ved revisjon og inngåelse av nye rammeavtaler. Trondheim kommune (TK) har som én av 14 pilotvirksomheter deltatt i etableringsperioden for Programmet Offentlig markedsplass. Etter at løsningen ble driftssatt 23. februar 2002 høstet TK erfaringer ved bruk av løsningen og som dannet et beslutningsgrunnlag for hvorvidt TK ønsker å abonnere på løsningen på permanent basis, samt å rulle løsningen ut i sin organisasjon. Det vises her til Pilotrapporten Den offentlige markedsplassen EMBLA vedlegg 1. 8

10 Beslutningen hvilte på følgende hovedforhold: Løsningen og Operatøren oppfyller et sett med forutsetninger Det forventes betydelige kvantitative gevinster ved innføring av Løsningen. Det forventes betydelige kvalitative gevinster ved innføring av Løsningen. Det forventes på sikt betydelige besparelser knyttet til TKs innkjøpsprosess ved innføring av Løsningen. Pilotprosjektet viste at følgende forutsetninger er oppfylt: 1. Løsningen støtter opp under vedtatt IT-strategi. 2. Løsningen støtter rekvirenter og godkjennere i deres sentrale arbeidsoppgaver: søke etter varer, lage rekvisisjon, godkjenne rekvisisjon, lage bestilling, foreta kontering av ordre, følge status på ordre, foreta avvikshåndtering på ordre (kansellering, endringer), og gjennomføre varemottak. 3. Løsningen har en tilfredsstillende teknisk stabilitet, ytelse og tilgjengelighet i henhold til de serviceavtaler som er inngått med Operatør (IBX). 4. Operatøren har vist seg å være i stand til å yte tilstrekkelig brukerstøtte igjen i henhold til inngåtte serviceavtaler. 5. Løsningen kan integrere seg mot TKs eksisterende økonomisystem slik at fakturabehandling kan automatiseres. 6. Operatøren har indikert å være i stand til å utvike ny funksjonalitet og jevnlig levere oppgraderinger av løsningen. Kostnadene ved oppgraderinger skal være dekket av abonnementsavtalen. 7. Operatøren har vist seg å effektivt kunne bistå i rekruttering, aktivering og forvaltning av nye og eksisterende leverandører og deres varekataloger. Innføringsprosjektet har pågått i perioden fra 2002 til utgangen av Etter at prosjekter ble avslutten ble det utarbeidet en sluttrapport av et eksternt konsulentfirma, se vedlegg 2, for å: i. Beskrive hvordan prosjektet for innføring av elektronisk handel har vært gjennomført og hvilke erfaringer man har gjort ii. Gjøre rede for realiserte og forventede effekter av innføringen Rapporten konkluderte med følgende: Trondheim kommune har brukt noe lengre tid på innføringen enn først planlagt, noe som primært skyldes eksterne forhold. Kostnadene knyttet til prosjektet har vært innenfor de rammer som prosjektet ble gitt. Prosjektet har vært gjennomført som et prosjekt for utvikling av innkjøpsområdet og ikke et ITprosjekt. Dette sammen med tvungen bruk av e-handel er etter vår mening de viktigste suksessfaktorene til prosjektet. De direkte økonomiske effektene har vært relatert til to områder, økt rammeavtalelojalitet og reforhandling av eksisterende avtaler: 9

11 Ved etablering av tvungen bruk av e-handel, styring av hvilke varer som tilbys og fokusering på innkjøpsprosessen har man hatt en vesentlig økning av andel rammeavtalekjøp i perioden. Ved å innføre e-handel også hatt bedre forhandlingsgrunnlag ved reforhandling av eksisterende avtaler. Vi har vurdert gevinstene for disse effektene til årlig å ligge mellom 12,3-17,6 mill.kr. jfr. tabellen under. Trondheim kommune er en av de største brukerne av løsningen nasjonalt og stod i 2005 for omtrent 15 % av omsetningen på den offentlige markedsplassen for elektronisk handel, ehandel.no. Når Trondheim kommune samtidig kan vise til betydelige økonomiske gevinster vil vi karakterisere prosjektet som meget vellykket så langt. E-handels løsningen gir gode muligheter for intern konroll. Hovedfokuset har så lang vært å nå de økonomiske målsetningene med prosjektet. E-handels løsningen har bidratt til etablering av fullmaktstruktur for innkjøp og at kommunens innkjøp styres mot kommunens inngåtte avtaler, noe som skaper økt lojalitet. Varekatalog og priser som legges inn i E-handel systemet blir kontrollert opp mot inngåtte kontrakter av Innkjøpstjensten, noe som er en forbedring i forhold til tidligere. Rådmannen vil arbeide for at internkontrolltiltakene som systemet legger opp til blir etablert. Trondheim kommunerevisjons bemerkninger tas til etterretning og Rådmannen tar sikte på at rutiner knyttet til dette skal være på plass før rapportering 2. tertial Med hilsen TRONDHEIM KOMMUNE Snorre Glørstad Kommunaldirektør Hans Ole Rolfsen rådgiver Vedlegg: Pilotrapport; Den offentlige markedsplassen, E-handel Trondheim kommune sluttrapport, (vedleggene oversendes elektronisk). 10

12 8. Revisjonens kommentarer til rådmannens høringssvar Revisjonen er tilfreds med at rådmannen vil se nærmere på en formalisering og systmatisering av rutinene i Compello, og arbeide for å etablere tiltak for å styrke den interne kontrollen rundt e- handel. 11

13 9. Vedlegg COSO-modellen er et rammeverk for intern kontroll og består av fem innbyrdes sammenhengende komponenter; 1. Kontrollmiljø/ Internt miljø: Omfatter kulturen og holdningene i virksomheten og setter standard for ansattes holdning til kontroll. Andre momenter er ledelsesfilosofi og ledelsesstil, integritet og etiske verdier, risikoprofil, risikoapetitt og kultur, prinsipper for delegering av ansvar og myndighet, utvikling av medarbeidere, kompetamse (policy og praksis). Kontrollmiljøet avspeiler hele organisasjonen, og danner grunnlaget for de øvrige kontrollkomponentene. Klarer organisasjonen å få medarbeidere som er faglig kompetent og motivert med gode verdier og holdninger, har virksomheten et godt utgangspunkt for god intern kontroll på området. 2. Risikovurderinger: Identifikasjon av hendelser, vurdering av sannsynlighet og konsekvens, respons til risiko. Virksomheter må forholde seg til en rekke risikoområder som påvirkes av både eksterne og interne forhold. For eksterne forhold kan risikoen være knyttet til lovendringer, endringer i skatteinntekter m.m., mens for interne forhold kan risikoen være knyttet til organisering, ansattes kompetanse, bedriftskultur m.m. Risikovurdering består i å identifisere disse. 3. Kontrollhandlinger (styrings- og kontrollaktiviteter): Tiltak som skal hjelpe ledelsen i deres respons på risiko. Type kontrollaktiviteter; Preventive kontroller (opplæring, attestasjon/ anvisning), Avdekkende kontroller (avstemminger), Manuelle kontroller (telling av kontorkasse, Datastyrte kontroller (brannmur, viruskontroller) og Ledelseskontroller (budsjettoppfølging, medarbeidersamtaler). Valg av kontrollhandlinger bør vurderes i forhold til kostnad og nytte av redusert risiko. God og fornuftig risikohåndtering innebærer å prioritere kontroll av utviklingen på områder som kan få vesentlige konsekvenser for virksomheten. 4. Informasjon og kommunikasjon: Relevant informasjon må identifiseres og kommuniseres på en slik måte og innenfor en tidsramme som gir personalet mulighet til å ivareta sitt ansvar. Effektiv kommunikasjon må skje nedover i organisasjonen, mellom de ulike ledd og oppover i organisasjonen. Informasjon bør være oppdatert til enhver tid og skje så ofte at ansvarlig beslutningsinstans kan gjøre nødvendige prioriteringer og beslutte tiltak iverksatt. 5. Tilsyn/ Overvåkning: To typer tilsyn; Gjennomgående aktiviteter (f. eks. rapportering til ledelsen) og evalueringer (f. eks. eksterne eller interne vurderinger av tjenesten). Resultater bør overvåkes og følges opp mot de mål som er fastsatt. Forutsetningene som ligger til grunn for virksomhetens mål bør gjennomgås med jevne mellomrom. Det bør utarbeides og gjennomføres oppfølgingsrutiner for å sikre at nødvendige endringer eller handlinger blir utført. 12