Rapport Revisjon av innkjøpsvirksomheten Akershus universitetssykehus HF

Transkript

1 Rapport Revisjon av innkjøpsvirksomheten Akershus universitetssykehus HF Internrevisjonen Helse Sør-Øst

2 Rapport nr. 10/2007 Revisjonsperiode September-november 2007 Virksomhet Rapportmottaker Kopi (av endelig rapport) Rapportavsender Oppdragsgiver Revisor Akershus universitetssykehus HF Administrerende direktør Akershus universitetssykehus HF Administrerende direktør Helse Sør-Øst RHF Styreleder Akershus universitetssykehus HF Kontrollkomiteen Helse Sør-Øst RHF Internrevisjonen Helse Sør-Øst Styret i Helse Sør-Øst RHF Karl-Helge Storhaug Liv Todnem Ingunn Dahlberg Atle Brobakken Innhold 1 Innledning Bakgrunn, formål og målsettinger Metode, omfang og avgrensning Vurderingskriterier Informasjonsgrunnlag Deltakere Saksgang og rapportbehandling Resultatet fra revisjonen Hovedkonklusjoner Tiltak fra revisjon i 2004 og resultat fra tester Tiltak fra revisjonen i Test av etterlevelse av interne retningslinjer, lov- og regelverk Internkontroll i innkjøpsvirksomheten Bakgrunn Resultat fra gjennomgangen...8 Systematisk og løpende oppfølging Vurdering av årsaker og konsekvenser Anbefalinger...15 Utformet av Internrevisjonen Helse Sør-Øst Side 2 av 16

3 1 Innledning 1.1 Bakgrunn, formål og målsettinger Internrevisjonen Helse Sør-Øst har i tråd med revisjonsplan for 2006/2007 revidert innkjøpsvirksomheten ved Akershus universitetssykehus HF (Ahus). Gjennomgangen fant sted i tiden fra 17. september til 1. november 2007, og ble utført av Ingunn Dahlberg, Liv Todnem, Atle Brobakken og Karl-Helge Storhaug. Formålet med revisjonen har vært å se etter om Ahus har etablert og gjennomfører en tilstrekkelig og effektiv internkontroll for innkjøps- og fakturabehandlingsområdet (herunder avtaleforvaltning og arkiv). Revisjonsmålsetningene, fastsatt på bakgrunn av en overordnet risikovurdering av innkjøpsområdet, har vært følgende: 1 Internrevisjonen skal bekrefte om Ahus har satt i verk tiltak i tråd med anbefalingene gitt etter revisjon av anskaffelser og fullmakter i 2004, og om disse virker som forutsatt. 2 Internrevisjonen skal vurdere om den interne kontrollen som Ahus har etablert for å sikre styring og oppfølging med innkjøpsvirksomheten, er tilstrekkelig, hensiktsmessig og effektiv, slik at foretaket med rimelig sikkerhet etterlever lover, forskrifter, intern regelverk, retningslinjer og rutiner på området, samt oppnår egne og regionale målsetninger for innkjøpsvirksomheten. Ahus ledelse og de personer som internrevisjonen har hatt kontakt med i under revisjonen, har gjennom god og åpen kommunikasjon bidratt til å belyse den faktiske situasjon for innkjøpsvirksomheten. Internrevisjonens kontaktpersoner har bidratt vesentlig til effektiv gjennomføring gjennom koordinering av informasjonsinnsamling og møteplanlegging. 1.2 Metode, omfang og avgrensning Gjennomgangen er basert på informasjon fra dokumentstudier, samtaler med ledere og nøkkelpersoner og testing av grunnlagsdokumentasjon. Testingen har omfattet til sammen (93) anskaffelser fra 85 leverandører som Ahus har kjøpt varer og tjenester fra i Testingen har i tillegg omfattet til sammen 130 fakturaer som er gjennomgått for å bekrefte om fakturabehandlingsprosessen i tilstrekkelig grad understøtter målet om gyldige og korrekte fakturaer i regnskapet. Nærmere detaljer om utvalget følger av vedlegget. Gjennomgangen har omfattet en kartlegging og vurdering av Ahus overordnede organisering, styring og oppfølging av virksomheten innenfor innkjøps- og fakturabehandlingsområdet. Den har også omfattet kartlegging og vurdering av måten Ahus planlegger, gjennomfører, dokumenter og følger opp anskaffelsesprosesser etter lov og forskrift om offentlige anskaffelser (LOA/FOA) på og hvordan avrop på avtaler gjennomføres og dokumenteres. Herunder også Ahus praksis knyttet til å dokumentere og oppbevare av anskaffelsesdokumentasjon og avtaler. Gjennomgangen har også omfattet kartlegging og vurdering av de deler av fakturabehandlingsprosessen som gjelder attestasjons- og anvisningsrutiner, samt manuelle kontroller som gjøres i varemottaket (autoopprett) og regnskapsavdelingen før bokføring og utbetaling av fakturaer. Til slutt er det foretatt en utvidet gjennomgang av Ahus sitt nye økonomisystem med delsystemer for elektronisk bestilling og fakturabehandling. Bakgrunnen for dette er at det nye systemet Utformet av Internrevisjonen Helse Sør-Øst Side 3 av 16

4 innebærer vesentlige endringer både i arbeidsprosesser for brukerne og i de kontrollhandlingene som utføres av ledere med budsjettansvar, innkjøpsavdelingen og regnskapsavdelingen. Relevante observasjoner som har vesentlig betydning for å kunne besvare revisjonsmålsetningene, er gjennomgått i møter sammen med berørte ledere. Revisjonen har ikke omfattet konkrete handlinger innrettet mot å kartlegge eventuelle uregelmessigheter eller misligheter. 1.3 Vurderingskriterier Kriterier for å vurdere internkontrollen i innkjøpsvirksomheten bygger på anerkjente rammeverk for internkontroll, slik dette gjenspeiles i krav til internkontroll nedfelt i Forskrift om internkontroll i sosialog helsetjenesten av (internkontrollforskriften). Et godt internkontrollsystem forutsetter at helseforetaket sørger for: Et effektivt internt miljø (kontrollmiljø) Et effektivt internt miljø kjennetegnes ved at ledere og ansatte har risikobevissthet og at det er fastsatt og kommunisert etiske retningslinjer som beskriver krav/forventninger til atferd hos foretakets ansatte som arbeider med innkjøpsvirksomhet. Videre kjennetegnes det ved at organiseringen av oppgavene er hensiktsmessig og at ansvars- og myndighetsfordeling innenfor innkjøpsområdet er tydelig definert og kommunisert. Risikovurderinger At det er fastsatt tydelige målsettinger på lang/mellomlang og årlig basis som er dekkende i forhold til det overordnede formål med innkjøpsvirksomheten, samt at det gjennomføres prosesser for å kartlegge, vurdere og håndtere risikoforhold som kan hindre foretaket å nå målsettingene. Tilstrekkelige og hensiktmessige tiltak for å ha styring og kontroll Det må være utformet og satt i verk tilstrekkelige tiltak som på en hensiktsmessig og effektiv måte bidrar til å forebygge, forhindre og avdekke situasjoner/hendelser som truer målsettingene som er satt for innkjøpsvirksomheten. Systematisk og løpende oppfølging Innkjøpsvirksomheten må løpende følges opp for å sørge for at denne gjennomføres som forutsatt og at eventuell uønsket praksis avdekkes og korrigeres. 1.4 Informasjonsgrunnlag Dokumentasjon fra 2004-revisjonen (styresaker, handlingsplaner, statusrapporter m.v.) Interne retningslinjer, prosedyrer, rutiner for innkjøp (både for anskaffelser etter LOA/FOA og for avrop på avtaler, herunder også etiske retningslinjer) Interne retningslinjer, prosedyrer, rutiner for fakturabehandling (herunder varemottak, attestasjon og anvisning) Interne retningslinjer, prosedyrer, rutiner for journalføring/arkiv Anskaffelsesdokumentasjon, avtaler m.v. (jf. utvalg) Dokumentasjon fra anskaffelses- og implementeringsprosjektet for nytt økonomisystem Fullmaktsoversikter, kontoplan, leverandøroversikter og reskontro/regnskapsdata for 2006 Utformet av Internrevisjonen Helse Sør-Øst Side 4 av 16

5 1.5 Deltakere Erik Normann, administrerende direktør Lise Sofie Woie, økonomidirektør Bjørn Gunnar Johansen, innkjøps- og forsyningssjef Jane Hellstrand, regnskapssjef Jon Gulbraar, økonomisjef Janne Lind, direktør Laboratoriemedisinsk senter Kariann Frøystein, avdelingssjef, Laboratoriemedisinsk senter Pål Wik, direktør Kirurgisk divisjon Julianne Olaussen, avdelingssjef, Ortopedisk avdeling Nina Wang, Operasjonsavdelingen Anett Hammeren, Ortopedisk avdeling Arne Lie, direktør Senter for service og teknikk Terje Pettersen, prosjektleder, nye Ahus Elisabeth Myhre, prosjektsmedarbeider, Sirius 1.6 Saksgang og rapportbehandling Saksgang Mottaker Dato Utsendelse av Administrerende direktør Erik Normann rapportutkast Tilbakemelding fra Ahus Internrevisjonen Helse Sør-Øst på utkastet Endelig revisjonsrapport til besvarelse og styrebehandling Orientering til KK Helse Sør-Øst RHF Orientering til styret Helse Sør-Øst RHF Administrerende direktør Erik Normann Kopi til: Styreleder Akershus universitetssykehus Peder Olsen Administrerende direktør Helse Sør-Øst RHF Bente Mikkelsen Kontrollkomiteen Helse Sør-Øst RHF Styret Helse Sør-Øst RHF Endelig styremøtebehandling Utformet av Internrevisjonen Helse Sør-Øst Side 5 av 16

6 2 Resultatet fra revisjonen 2.1 Hovedkonklusjoner Revisjonen viste at tiltakene som styret besluttet etter 2004-revisjonen i hovedsak var satt i verk. Som følge av de omfattende endringene i systemer og rutiner som følger av implementeringen av nytt økonomi- og innkjøpssystem, ble det ikke funnet hensiktsmessig å foreta nærmere vurderinger av om tiltakene har fungert etter sin hensikt. Testing av anskaffelsesdokumentasjon, avtaler og fakturaer viste imidlertid at det i utvalgsperioden har vært flere brudd på interne retningslinjer/rutiner og LOA/FOA. Gjennomgangen viste samtidig at innkjøpsprosesser gjennomført av innkjøpsavdelingen var godt dokumentert og i henhold til bestemmelsene i LOA/FOA. Internkontrollsystemet som omgir innkjøpsvirksomheten er på vesentlige områder tilfredsstillende. Foretakets risikobevissthet er generelt sterk. Målsettinger for utvikling av innkjøps- og logistikkvirksomheten er nedfelt og hensiktsmessig underbygget av planer og disse følges løpende opp og resultater blir rapportert til ledelsen. Vesentlig risiko på området meldes opp til styret på flere måter, herunder som del av styresaker, Ledelsens gjennomgåelse og muntlig i adm direktørs orienteringer. I tillegg rapporteres det til IP-styret. Det er etablert systemer og prosedyrer for oppfølging og styring av innkjøpsvirksomheten i foretaket som helhet. Styringsinformasjon blir systematisk gjennomgått for å følge opp praksis på området. Gjennomgangen viste at oppfølgingsaktivitetene og arbeidet med å korrigere avvik i stor grad fungerer som forutsatt. Ahus har gjennom arbeidet med implementering av nytt økonomisystem, tatt et vesentlig skritt frem i retning av helhetlige styring og kontroll på innkjøps- og logistikkområdet. Gjennomgang av ny systemløsning har vist at dette vil fjerne og/eller bidra til reduksjon av de vanligste risikoforholdene som i dag er tilstede i innkjøps- og fakturabehandlingskjeden. Imidlertid er det behov for snarlige tiltak for å sikre forsvarlig arbeidsdeling i bestillings- og fakturabehandlingsprosessen. Gjennomgangen har også vist at Ahus står overfor betydelige utfordringer bl.a. når det gjelder datafangst og kvalitet (elektroniske varekataloger og produktmerking/mengdedefinisjoner) og eksternt forsyningssenter. For å møte disse utfordringene er det etter internrevisjonens vurdering nødvendig å koordinere tiltaksbehovet opp mot det regionale helseforetaket som eier kontrakten med tjenesteleverandøren for eksternt forsyningssenter. Dette vil for øvrig bli tatt opp i internrevisjonens samlede rapport fra revisjoner av innkjøpsvirksomheten til det regionale helseforetaket. Ut fra en samlet vurdering for foretaket sett under ett, finner internrevisjonen at situasjonen pr i dag er delvis tilfredsstillende. Det gis derfor anbefalinger til tiltak som bør implementeres i de tiltaksplanene som Ahus allerede har etablert for området. Utformet av Internrevisjonen Helse Sør-Øst Side 6 av 16

7 2.2 Tiltak fra revisjon i 2004 og resultat fra tester Tiltak fra revisjonen i 2004 I den initiale fase av revisjonen ble det konstatert at tiltakene som styret for Ahus besluttet på bakgrunn av funn fra revisjonen i 2004, i hovedsak var satt i verk. Totalt 24 tiltak fordelt på 6 hovedområder var vedtatt satt i verk. Gjennomgangen viste at tiltak på områdene 1-5 fullt ut var satt i verk, og at Ahus er i prosess på hovedområde 6 som omfatter kartlegging av behov for revidering/etablering av nye rammeavtaler. Det har samtidig vært klart at Ahus, gjennom innføringen av nytt innkjøps- og økonomisystem, gjennomfører vesentlige endringer som innvirker på den interne kontrollen på innkjøpsområdet. Internrevisjonen har ut fra dette ikke funnet det hensiktsmessig å foreta ytterligere gjennomgang av 2004-revisjonen, men heller vie større fokus til gjennomgang av den nye systemløsningen Test av etterlevelse av interne retningslinjer, lov- og regelverk For å kunne bekrefte tilstanden for internkontrollen i systemer og rutiner, har internrevisjonen foretatt tester av Ahus sin etterlevelse av: Regelverk for offentlige anskaffelser Rammeavtaler (herunder avropsbestemmelser) Fakturabehandlingsrutiner (avgrenset til rutiner for varemottak, attestasjon og anvisning) Testene omfattet kostnadsarter for kjøp av varer og tjenester innenfor prosjekt nytt sykehus, eiendom, IKT og MTU, samt service og vedlikeholdsavtaler i tillegg til konsulenttjenester. Dessuten omfattet testen kjøp av pacemakere, implantater og proteser, kjøp av instrumenter og laboratorierekvisita, medisinsk forbruksmateriell, medisinsk fagpersonell og annet medisinsk utvalg. Utvalget inkluderte kostnadssteder innenfor alle divisjonene ved sykehuset. Det er lagt vekt på sikre et testutvalg som gir et helhetlig bilde av helseforetakets innkjøpsvirksomhet. Totalt volum for testperioden til var i henhold til leverandørreskontro kroner mill fordelt på 2029 aktive leverandører hittil i Antall leverandører med volum > 1,2 var 79, antall > 500 var 154 og antall > 100 var 406, og resterende antall < 100. Utvalg for test ble valgt fra Testgrunnlaget har omfattet 85 leverandører, hvor det for enkelte var det foretatt flere anskaffelser (totalt testet 93 anskaffelser). Samlet omsetning for testgrunnlaget var 183 mill kroner. Til sammenligning utgjorde omsetningen for utvalgsperioden ved revisjonen i mill kroner hvorav revisjonen dekket 121 mill kroner gjennom test av 33 leverandører. Det ble rapportert følgende resultat fra den generelle revisjonen av anskaffelser: Brudd på regelverk: 9, Ufullstendig dokumentasjon av anbudsprosess: 9 og regelverk fulgt for 15. Resultatet av testene ble basert på den dokumentasjon som er fremlagt fra innkjøpsavdelingen. Fakturatestingen har omfattet til sammen 130 fakturaer som er gjennomgått for å bekrefte om fakturabehandlingsprosessen i tilstrekkelig grad understøtter målet om gyldige og korrekte fakturaer i regnskapet. Resultatene av disse testene er ikke inntatt i rapporten, men har vist at det kan forekomme avvik i forhold til produkt, priser og rabatter som ikke fanges opp i fakturakontrollen ute i enhetene og som heller ikke regnskapsavdelingen har etablert kontroller for å avdekke. Utformet av Internrevisjonen Helse Sør-Øst Side 7 av 16

8 Av de til sammen 93 anskaffelsene som var tatt ut for test, var 84 relevante å teste opp mot LOA/FOA (3 anskaffelser var ikke omfattet av regelverket, mens 6 anskaffelser var knyttet til avrop fra rammeavtaler som var inngått av andre helseforetak på vegne av hele eller deler av foretaksgruppen). Testene av de 84 anskaffelsene viste at 50 var foretatt i henhold til LOA/FOA, 11 var ikke tilstrekkelig dokumentert og dermed ikke mulig å vurdere hvorvidt regelverket var etterlevd, mens 22 anskaffelser ikke var i henhold til regelverket. 2.3 Internkontroll i innkjøpsvirksomheten Bakgrunn For å bidra til varige forbedringer i den interne kontrollen som omgir innkjøpsvirksomheten ved Ahus, har internrevisjonen kartlagt og vurdert internkontrollsystemet som omgir innkjøpsvirksomheten ved foretaket. Gjennomgangen er konsentrert rundt de kriterier som er omtalt i rapportens kapittel Resultat fra gjennomgangen Internt miljø Risikobevissthet og etiske retningslinjer Gjennomgangen viste at bevisstheten om risiko knyttet til innkjøpsvirksomheten ved foretaket generelt var sterk. Retningslinjene for innkjøpsvirksomhetten var gjort tilgjengelig for foretakets ansatte gjennom foretakets e-håndbok, og innholdet i disse var i hovedsak kjent. Kartlegging av bierverv ble iverksatt i 2005 i tråd pålegg fra Helse Øst RHF. Etter gjennomført kartlegging var det etablert prosedyre for oppfølging av bierverv. Det følger av disse at foretaket skal følge opp biervervsreglene gjennom medarbeidersamtaler og ved nyansettelser. Gjennomgangen viste at det er etablert egne rutiner for biervervsregistrering så sent som i Videre er det innført eget punkt i arbeidsavtalene til Ahus, hvor eventuelle bierverv skal fremkomme. Organisering, ansvars- og myndighetsfordeling Ahus har organisert innkjøpsvirksomheten etter en linje-/stabsmodell. Beslutningsmyndigheten for å foreta innkjøp ligger hos den budsjettansvarlige, mens anskaffelsesprosesser for alle kjøp over kr skal ledes og dokumenteres av innkjøpsavdelingen. Risikovurderinger Overordnede mål for innkjøpsvirksomheten er nedfelt i Strategisk plan for innkjøp i Helse Øst Ahus tiltrådte planen i styremøte i desember 06. Gjennomgangen viste at Ahus, som ledd i arbeidet med nytt sykehus, har valgt å anskaffe nytt økonomi- og innkjøpssystem. Gjennomgang av prosjektdokumentasjon viste at flere sentrale risikoelementer var identifisert av implementeringsprosjektet, og at disse var rapportert videre til foretaksledelsen og/eller programstyret for nytt sykehus. De vesentligste forholdene var sårbarhet for tap av nøkkelkompetanse i prosjektet, risiko for utilstrekkelige grunnlagsdata/utilstrekkelig datakvalitet i innkjøpssystemet (varekataloger) og risiko for at eksternt forsyningssenter ikke vil fungere som forutsatt. Utformet av Internrevisjonen Helse Sør-Øst Side 8 av 16

9 Gjennomgangen bekreftet flere sentrale risikoelementer på området, herunder risiko for tap av nøkkelpersonell i siste fase av implementeringsprosjektet, innfasing av ekstern forsyningsløsning og full ibruktakelse av nytt innkjøpssystem. I løpet av oktober-november 07 har risikoen for at elementer av ekstern forsyningsløsning som kan påvirke løsninger i nytt sykehus ikke blir levert, vært økende. Ahus har bekreftet at denne utfordringen vil bli fremmet i egen sak for foretakets styre i desember 07. Internrevisjonen har derfor ikke gått nærmere inn i dette. Gjennomgangen viste at det også for den løpende driften av innkjøpsområdet var et relativt sterkt risikofokus og at innkjøpsavdelingen og ledelsen i den enkelte divisjon hadde tett dialog for å fange opp og korrigere avvik på området. Det var også etablert systemer for avvikshåndtering i fakturabehandlingsprosessen. Videre viste gjennomgangen at foretakets ledelse hadde en begrenset oversikt over brudd på retningslinjer og lovverk innenfor innkjøpsvirksomheten. Det var oppmerksomhet om hvilken risiko som foretaket er eksponert for, men ikke i hvilken grad risiko kan aksepteres. Tiltak for å ha styring og kontroll Retningslinjer, prosedyrer og rutiner Gjennomgangen viste at retningslinjer og rutiner innenfor innkjøps- og fakturabehandlingsområdet på tidspunktet for gjennomføringen av revisjon kun var delvis à jour i forhold til endringene som følger av nytt økonomi- og innkjøpssystem. Det var lagt opp til å foreta en oppdatering av disse parallelt med implementering av endelig løsning, dvs. med ferdigstillelse i løpet av Fullmakter Fullmakter i systemet var klart definert og samsvar med foretakets vedtatte fullmaktsstruktur. Det var også etablert rutiner for å opprette og vedlikeholde fullmaktene. Ansvaret for dette var lagt til regnskapsavdelingen. Gjennomgangen viste imidlertid at Ahus har fullmaktsprinsipper innenfor bestilling, attestasjon og anvisning som avviker fra tradisjonell rolledeling på området. Testene viste at det som følge av dette kan forekomme at samme person bestiller og godkjenner faktura før denne går til utbetaling. Dette omtales nærmere under punktet Fakturabehandling og E-handel Avtaledekning Gjennomgangen viste at Ahus avtaledekning generelt er på samme nivå som ved de øvrige helseforetakene i foretaksgruppen. Situasjonen skiller seg likevel ut når det gjelder planer for økt avtaledekning. Ahus har tiltak knyttet til anskaffelsene av nytt MTU som vil sikre en økt avtaledekning. Dette har sammenheng med etableringen av nytt sykehus og Nye Ahus/Ahus sitt arbeid med utstyrsanskaffelser hvor det i de aller fleste tilfeller er etablert opsjonsmuligheter. Etter hvert som garantiperiodene for nyanskaffet utstyr løper ut, vil Ahus ha anledning til å utløse opsjonene uten ytterligere konkurranse. Videre er det opsjoner knyttet forbruksmateriellkontrakter til hver enkelt utstyrsanskaffelse. Dersom disse tas i bruk, vil det i sum vil sikre at Ahus oppnår en tilfredsstillende avtaledekning. Når det gjelder andre innkjøpskategorier som for eksempel medisinsk forbruksmateriell, er likevel ikke situasjonen pr i dag annerledes ved Ahus enn ved andre foretak. Innenfor disse områdene er avtaledekningen generelt sett ikke tilstrekkelig. Ahus har i tillegg en utfordring knyttet til tilgang på elektroniske varekataloger for eksisterende og nye avtaler. Denne utfordringen deles for øvrig med Utformet av Internrevisjonen Helse Sør-Øst Side 9 av 16

10 andre helseforetak i regionen. Elektroniske varekataloger er avgjørende for å at det nye innkjøpsløsningen skal fungere etter sin hensikt. Testene viste ellers at det innenfor enkelte områder var avtaler som var prolongert ut over en periode på 4 år, og hvor begrunnelsen for dette nettopp var overgang til nye avtaler ved innflytting i nytt sykehus. For de kjøp som ikke er gjennomført i henhold til LOA/FOA er det viktig at et avvikssystem ivaretar tiltak for forbedringer enten spesifikt for hvert enkelt avvik og/eller i et systemperspektiv. Gjennomgangen viste at det ikke var etablert slikt system for innkjøpsområdet., men at dette i praksis ble gjennomført i dialog mellom innkjøpsavdelingen og avdelingene i linjen. Fakturabehandling og E-handel Ahus har innført en helautomatisk innkjøpsprosess som understøttes av moduler i økonomisystemet Oracle med system for elektronisk fakturahåndtering (Basware). Innføringen av ny systemløsning har medført vesentlige endringer i foretakets arbeidsprosesser tilknyttet innkjøp og fakturabehandling, som igjen påvirker risikobildet. Som et ledd i revisjonen, ble det derfor foretatt en utvidet gjennomgangen av systemløsningen, som omfattet: o o o Prosjektstyring vurdering av prosjektet i forhold til forankring, ressurser mv. (vi har ikke vurdert kostnadssiden ved prosjektet) Løsningen vurdering av løsningen i forhold til internkontroll (vi har ikke vurdert funksjonalitet og brukervennlighet) Driftsmiljøet vurdering av miljøet hvor systemløsningen driftes Prosjektstyring Gjennomgangen viste at prosjektet ble etablert med sterk deltakelse fra Ahus og Nye Ahus i spesifikasjons og anbudsprosessen og deretter idriftssatt med en relativ liten gruppe mennesker involvert. De involverte kommer i hovedsak fra innkjøp og regnskap og implementeringen har i stor grad vært styrt som en linjeaktivitet. Gjennomgangen har vist at representanter fra brukersiden var involvert i arbeidet med utforming av løsningsdesign som videre ble lagt til grunn i kravspesifikasjon for løsningen. Vesentlige deler av designet var gitt av organiseringen, konseptene og designet i Nytt sykehus. Flere av systemvalgene er tatt med bakgrunn i styrebehandlede forutsetninger for driften i nytt sykehus. I implementeringsfasen har involveringen av brukerne fra dessentrale avdelinger i hovedsak vært avgrenset til gjennomgang av lokale lagre, vareutvalg og rutiner på lokalt brukersted Det var oppnevnt referansegruppe i prosjektfasen og i implementeringens start, men denne har ikke vært videreført i den fasen prosjektet nå er i. Det ble gjennomført detaljert kartlegging av 155 brukersteder med gjennomgang av hvem som skulle være brukere av systemet. Videre ble det gjennomført opplæring av brukere, åpne dager der brukerne kunne få ytterligere kursing og on the job training. Selv om det har vært en sterk involvering av brukerne av det nye systemet i alle faser av prosjektet, har gjennomgangen vist at det er en viss risiko for at nye brukere ikke opplever tilstrekkelig forankring. Gjennomgangen har også vist at prosjektet og implementeringen er svært avhengig av enkeltpersoner. Særlig gjelder dette innkjøps- og forsyningssjefen, som har en avgjørende rolle i arbeidet med å få endelig løsning på plass. Det vil også være slik at eventuell avgang av Utformet av Internrevisjonen Helse Sør-Øst Side 10 av 16

11 nøkkelpersonell i prosjektet i fasen som Ahus nå er inne i, med høy sannsynlighet vil innvirke på muligheten for at systemet er tilstrekkelig innkjørt til nytt sykehus skal tas i bruk. Løsningen Løsningen består av Oracle E-Business Suite, med følgende moduler; IProcurement (for rekvirering) PO (innkjøp), INV (lager), OM (ordre), AP (leverandør), AR (kunde), GL (hovedbok) og Basware (benyttes til å håndtere fakturaene). Det er også lagt opp til å ta i bruk modulene Sourcing og Contracts for henholdsvis å administrere arbeidsprosessene for anbudsarbeid og kontraktsforvaltning. I løsningen er det lagt opp til at bestillinger og påfølgende behandling av fakturaer kan følge ett av følgende to spor: Katalogbestillinger, dvs. en helautomatisk variant (som på sikt er ment å dekke det vesentligste av innkjøpene av varer) og hvor rekvirenter skal bestille fra godkjente leverandører fra varekataloger tilrettelagt i systemet Fritekstbestilling, varer og tjenester som ikke er definert i varekataloger I tillegg vil det i praksis også forekomme kjøp av varer og tjenester utenfor systemet, for eksempel ved at det bestilles direkte fra leverandør pr telefon, e-post eller lignende. I disse tilfellene vil fakturabehandlingen alltid være manuell. Nærmere om katalogbestillinger og bestillinger som går til Autoopprett Prosessen for katalogbestillinger er som følger: Rekvirent gjør oppslag mot varekatalog og bestiller i IProcurement Godkjenning Godkjenning av anmodning Bestillingen går til autopprett, kun bestilling til Helse Øst RHF forsyningssenter går automatisk Bestilling/avrop godkjennes av innkjøper (inntill kr ) og av innkjøpssjef (over kr ) Leverandør leverer varen til varemottak Her gjøres midlertidig varemottak (bekrefter at varen er mottatt) før varer sendes til rekvirent for endelig/fullstendig varemottak Varemottak registreres i Oracle PO for varer som går igjennom varemottak. Varer rett til eksterne steder registreres i Iprocurement av rekvirenten og er allerede matchet mot bestilling når faktura blir matchet i BasWare Hvis innskannet faktura i Basware stemmer overrens med rekvirentens fullmakt, faktisk bestilling og reelt varemottak oppnås fullstendig match Faktura går da direkte til remittering og bokføring Dersom det ikke er fullstendig match sendes faktura ut på godkjenningssløyfe Ved enkelte kostnadssteder foretas kun attestasjon før faktura returneres regnskap for bokføring/utbetaling (dvs. at samme person både kan bestille varer/tjenester og godkjenne faktura) Kostnadssted for bokføring følger av rekvisisjon, dvs. det hentes opp automatisk på bestilling iht. til det stedet rekvirenten er oppført på i Oracle. Prosessen for bestillinger som går til Autoopprettfunksjonen fungerer slik: Rekvirent angir artikkel fra katalog eller vare/tjeneste i fritektstfelt Godkjenning Godkjenning av anmodning Utformet av Internrevisjonen Helse Sør-Øst Side 11 av 16

12 Bestilling går direkte til Autoopprett I Autoopprett undersøkes bl.a. om ønsket produkt finnes i varekatalog, om antall synes riktig m.v. (dvs. åpenbare feil lukes vekk). Følgende kontroller gjøres autoopprett: sjekker om det finnes gyldige rammeavtaler for produktet, At antall og enhet kvalitetssikres, at det brukes gyldige leverandører, at ved anmodninger over kr skal anskaffelsesprotokoll sjekkes om er utarbeidet og arkivert i sykehusets elektroniske arkivsystem (pt. Grow Business) at det i protokollen er dokumentert at det er innhentet minimum 3 tilbud. Bestillinger godkjennes i PO av innkjøper for inntil kr og av Innkjøpssjef over dette beløpet. Bestilling/avrop godkjennes av innkjøper (inntill kr ) og av innkjøpssjef (over kr ) Bestillingen går videre til leverandør Leverandør leverer varen til oppgitt leveringssted Varemottak registreres i Oracle PO eller i iprocurement og er allerede matchet mot bestilling når faktura blir matchet i BasWare Faktura sendes ut på ny godkjenningssløyfe ved avvik Ved enkelte kostnadssteder foretas kun attestasjon før faktura returneres regnskap for bokføring/utbetaling (dvs. at samme person både kan bestille varer/tjenester og godkjenne faktura) Kostnadssted for bokføring følger av rekvisisjon, dvs. det legges inn koststed i fm rekvireringen (kan overstyres) Etter internrevisjonens vurdering må flere forutsetninger være oppfylt dersom disse to løsningene skal tilfredsstille anerkjente krav til forsvarlig intern kontroll. For det første må den budsjettansvarlige reelt kunne avgjøre hvem som skal få rekvirere for sine kostnadssteder. Denne forutsetingen er oppfylt. For det andre må det finne sted en effektiv budsjettoppfølging av budsjettansvarlig leder/controller. Med dette menes at det må være regelmessige/hyppige budsjettgjennomganger med et klart transaksjonsfokus og hvor det sørges for oppfølging av avvik. Denne forutsetningen er etter internrevisjonens vurdering ikke i tilstrekkelig grad oppfylt. Gjennomgangen viste at det var utfordringer knyttet til varekataloger og oppdatering av disse i forhold til fakturering fra eksternt forsyningssenter. Feilene har flere årsaker men det påpekes at det har vært etterlyst sentrale ressurser fra Helse sørøst til å sikre kvalitet i katalogarbeidet sentralt. Generelt har overgangen til Helse Øst forsyningssenter gitt utfordringer spesielt knyttet til EEBA (en enhet består av) og varekatalogkvalitet fra leverandørene. Ahus har implementert store endringer meget raskt og har dermed også erfart at det er utfordringer knyttet til datakvalitet i elektronisk samhandling mellom leverandør og kunde. Det er også en generell utfordring knyttet til nomenklatur og merking av artikler som Ahus har tatt opp med det regionale helseforetaket og hvor det er bedt om en sentral styrking av arbeidet. Uansett vil manglende datakvalitet i varekatalogene medføre omfattende ekstraarbeid og representere en feilkilde. Som følge av manglende match på Helse Øst fakturaer blir det i dag foretatt avsetninger for å møte kostnadene som en vet er påløpt. Budsjettrapportene viser da avsetninger på det enkelte kostnadssted(ene) for kjøp med manglende matching uten at den enkelte transaksjon er mulig å identifisere i den rapporten som er tilgjengelig for budsjettansvarlig. Gjennomgangen har samtidig vist at kostnadsavsetningene beløpsmessig er relativt store. Etter internrevisjonens vurdering er derfor kvaliteten må budsjettrapporteringen ikke Utformet av Internrevisjonen Helse Sør-Øst Side 12 av 16

13 tilstrekkelige til å imøtekomme forutsetningene som må legges til grunn for en forsvarlig intern kontroll. I perioden frem til disse utfordringene er løst, er det derfor etter internrevisjonens vurdering nødvendig å iverksette kompenserende kontrolltiltak. Et mulig tiltak kan være å supplere budsjettrapporteringen med en detaljert rapport over transaksjonene, dvs. slik at den budsjettansvarlige sikres reell mulighet til gjennomgang av avsetningspostene. Dette må etter internrevisjonens vurdering å så fall understøttes med ressurser fra økonomiavdelingen (fra controllerleddet). Gjennomgangen ved Ahus har imidlertid vist at l controllerfunksjonen i dag har begrensede ressurser som følge av turnover. Etter internrevisjonens vurdering vil løsningen slik den er satt opp per i dag, ikke gi tilfredsstillende internkontroll grunnet manglende arbeidsdeling. Det vil være mulig å gjennomføre kjøp som ikke er relatert helseforetakets virksomhet, noe som innebærer mislighetsrisiko. Samtidig oppfatter vi at løsningen vil bidra til å redusere risiko for at det skjer ubevisste feil, brudd på LOA/FOA ved at kun lovlige leverandører vil være tilgjengelig for kjøp gjennom systemet. Dette vil således øke lojalitet i bruken av rammeavtalene og redusere handelslekkasje. Nærmere om kjøp utenom IProcurement Vare/tjeneste bestilles direkte fra leverandør Leverandør leverer varen til oppgitt leveringssted Faktura sendes ut på godkjenningssløyfe Ved enkelte kostnadssteder foretas kun attestasjon før faktura returneres regnskap for bokføring/utbetaling utbetaling (dvs. at samme person både kan bestille varer/tjenester og godkjenne faktura) Kostnadsstedet legges på i Basware iht. opplysninger på faktura Denne form for bestilling av varer og tjenester stiller også klare forutsetninger for forsvarlig intern kontroll. For det første bør det være et begrenset antall rekvirenter, samtidig som det er tatt bevisst stilling til beløpsgrenser. Fakturagodkjenning må ha en klar rolledeling, hvor fakturaer både attesteres og anvisning ute i budsjettansvarlig enhet. Videre bør det være en grundig budsjettoppfølging av budsjettansvarlig leder/controller som både er regelmessig, har et transaksjonsfokus og hvor avviksbehandling/oppfølging finner sted. Gjennomgangen viste ellers at rutinene for varemottak endres som følge av overgang til eksternt forsyningssenter. Endringene medfører at det foretas et foreløpig varemottak av Ahus varemottaksfunksjon. Varene bringes deretter ut til bestillende avdeling ved hjelp av varevogner. Endelig varemottak skal etter nye rutiner skje elektronisk ved den enkelte avdeling. I 2007 er imidlertid ikke den nye løsningen med strekkodelesere og lukkede vogner til stede. Som følge av dette har enkelte avdelinger videreført gammel praksis hvor det føres varemottaksprotokoll, dvs hvor det nedtegnes hva som er bestilt og hva som faktisk mottas. Gjennomgangen viste at denne form for manuelle kontroller ikke var forutsatt videreført etter innføringen av eksternt forsyningssenter. Drift av løsningen Ahus kjøper eksterne drifttjenester for løsningen. Gjennomgangen har vist at den eksterne avtalepartens sin erfaring fra tilsvarende driftsoppgaver er relativt svak. I regi av Nye Ahus, som pr i dag er kontraktsansvarlig, er det også gjennomført en intern kvalitetsrevisjon av driftsleveransen fra den eksterne leverandøren. I revisjonen ble det konkluderte med at driftsmiljøet måtte Utformet av Internrevisjonen Helse Sør-Øst Side 13 av 16

14 forbedres vesentlig for å komme på et tilfredsstillende nivå. Det er opplyst at Nye Ahus skal gjennomføre ny kvalitetsrevisjon. Ut fra dette er det ikke funnet hensiktsmessig å gjennomføre selvstendig oppfølging av området. Underveis i prosjektet ble videre sentrale prosjektressurser fra den eksterne driftsleverandøren overdratt til et nytt IT-selskap. Overdragelsen medførte også diskusjon om kontrakten skulle følge med ressursene inn i nytt selskap. Dette utløste behov for å fremforhandle ny avtale om applikasjonsforvaltning. På tidspunktet for gjennomføring av vår revisjon, var slik avtale ikke ferdigstilt og inngått. God kontroll på drift av systemet er avgjørende viktig for at Ahus skal kunne ha en operativ innkjøpsordning, samt god internkontroll i fakturabehandlingen. Det er videre sentralt at det etableres en god support og applikasjonsforvaltningsavtale slik at Ahus kan videreutvikle løsingen. Systematisk og løpende oppfølging Gjennomgangen viste at innkjøpsavdelingen, controlleravdelingen og regnskapsavdelingen hadde definerte oppgaver knyttet til løpende overvåkning og oppfølging av styringsinformasjon på området. Etterlevelse av interne retningslinjer og LOA/FOA inngikk som oppfølgingselementer, og regnskapsrettede kontroller i fakturabehandlingsprosessen som på en effektiv måte kunne avdekket for eksempel kjøp uten gyldig avtalegrunnlag, var definert. Disse oppfølgingssystemene bidrar på en avgjørende måte til at Ahus har en relativt god oversikt over situasjonen på området Vurdering av årsaker og konsekvenser Etter internrevisjonens vurdering er risikoen for manglende måloppnåelse innenfor innkjøps- og logistikkvirksomheten ved Ahus, først og fremst knyttet til innføringen av ny systemløsning og ibruktakelse av eksternt forsyningssenter: Endringer i arbeidsprosesser Ny løsning medfører endringer i måten avdelingene bestiller varer og tjenester på, foretar mottak av varer og hvordan kontroll av fakturaer foregår. Gjennomgangen har vist at det er en viss endringsmotstand som må møtes gjennom kontinuerlig forankring og løpende opplæring. Overgang til eksternt forsyningssenter Overgang til eksternt forsyningssenter har medført til dels store utfordringer knyttet til avtalefestede leveranser fra ekstern tjenesteleverandør. Gjennomgangen har vist at dette medfører høy risiko for at innkjøps- og logistikksystemet for nytt sykehus ikke vil fungere som forutsatt til planlagt tid. Tilfang av elektroniske varekataloger og kvaliteten på disse Elektroniske varekataloger er avgjørende for at den nye systemløsningen skal fungere etter hensikten. Gjennomgangen har vist at Ahus har foreslått en mer sentralisert katalogforvatning i Helse Sør-Øst for å sikre god datakvalitet. Ressursallokering Innføringen av nytt system har medført klare utfordringer knyttet til ressursallokering mellom løpende drift i innkjøpsavdelingen og prosjektet for implementering av nytt økonomi- og Utformet av Internrevisjonen Helse Sør-Øst Side 14 av 16

15 innkjøpssystem. Gjennomgangen har vist at etterlevelsen av lov og regelverk i hovedsak er tilfredsstillende i de tilfellene hvor innkjøpsavdelingen reelt har vært involvert i anskaffelsesprosessene. Dermed er den største risikoen for manglende etterlevelse av LOA/FOA knyttet til linjeorganisasjonens etterlevelse og oppfølging på området. Det er ikke allokert tilstrekkelige ressurser som gjør det mulig for innkjøpsorganisasjonen (dvs. både innkjøpsavdelingen og de personer som er involvert i innkjøpsaktiviteter ute i avdelingene) å både gjennomføre en tilfredsstillende løpende drift, samt gjennomføre utviklingsaktivitetene knyttet til innføring av elektroniske løsninger på området. Som en følge av dette vil Ahus ha en redusert kapasitet til løpende anskaffelsesarbeid, noe som igjen vil føre til at arbeidet med å øke avtaledekning ikke vil kunne skje i den takt som var forutsatt. Dette gir etter internrevisjonens vurdering en viss risiko for fortsatte brudd på interne retningslinjer og LOA/FOA. Bruddene kan antas å få negativ innvirkning på foretakets økonomi og omdømme. Når det gjelder økonomi, er det etter gjeldende praksis sannsynlig at eventuell overprising og/eller manglende rabatter ikke vil bli fanget opp i fakturakontrollen for kjøp som går utenfor innkjøpssystemet. Dersom systembestilling av vare i varekatalog benyttes, vil imidlertid effektive priskontroller foretas. Selv om omfanget av slike feil ikke nødvendigvis er vesentlig for den enkelte faktura, vil de kunne være vesentlige i et aggregert perspektiv. Dette vil i så fall svekke måloppnåelsen knyttet til gevinstrealisering som er ett av de sentrale målene i INNHØST. Det vil også ha negativ innvirkning på foretakets budsjetter. Omdømmerisikoen påvirkes først og fremst av omfanget av ulovlige direkteanskaffelser. Begrensningene i kapasitet til løpende driftsaktiviteter i innkjøpsavdelingen som implementering av ny systemløsning medfører, innebærer etter internrevisjonens vurdering økt sannsynlighet for at Ahus vil måtte foreta direkteanskaffelser i Anbefalinger For å skape varige forbedringer på området vil internrevisjonen understreke betydningen av at foretaket fokuserer på internkontrollsystemet og tiltak rettet inn mot disse. De enkelte konkrete funn (feil, mangler avdekket i testingen) anbefales lukket parallelt som det arbeides med systemforbedringer. Når det gjelder tiltak for å styrke internkontrollen innenfor innkjøpsvirksomheten anbefaler internrevisjonen at Ahus: For å styrke det interne miljø Viderefører sin tydelige kommunikasjon om at brudd på interne retningslinjer og LOA/FOA ikke er akseptabelt og aktivt følger opp at dette etterleves og at eventuelle brudd på fullmakter får konsekvenser for den som bevisst forsaker brudd. Vurderer ressursallokeringen mellom drift og prosjektet for implementering av ny systemløsning. For å styrke måloppnåelsen for området Innfører systematiske risikovurderinger som integrert del i sin styring og oppfølging av innkjøpsvirksomheten i foretaket. For å sikre betryggende styring og kontroll med innkjøpsvirksomheten Styrker prosjektstyringen gjennom å o kontinuerlig arbeide for å oppnå sterk forankring av prosjektet i linjen Styrker internkontrollen knyttet til bestilling, varemottak og fakturakontroll gjennom å Utformet av Internrevisjonen Helse Sør-Øst Side 15 av 16

16 o på kort, mellomlang sikt, dvs. frem til utfordringene med mismatch mellom bestilling og faktura er løst sørger for å vurdere om det er budsjettmessig kontroll i de ulike avdelinger, samt om det er noen som har benyttet seg av svakhetene i internkontrollen og gjort innkjøp som ikke er relatert til helseforetaket sørger for å sikre kvalitet på varekataloger (koordineres mot RHFet) Styrker driftsorganisasjonen for Oracle-applikasjonene gjennom å o sørge for tett oppfølging av ekstern tjenesteleverandør i forhold til at denne etablerer hensiktsmessig internkontroll knyttet til driftsleveransen o pålegge driftsleverandøren jevnlig (minimum årlig) rapportering på kvaliteten i etablert internkontroll. Rapporteringen bør være på en form som også ekstern revisor kan benytte eks avgis ihht. Revisjonsstandard 402 erklæringstype B o etablerer kontrakt med applikasjonsleverandøren, slik at det sikres at løsningen videreutvikles og at relevant helpdesk støtte mottas Øker avtaledekningen, herunder datafangst/kvalitet på varekataloger gjennom å o Søke tett samarbeid med det regionale helseforetaket og aktiviteter for dette som planlegges innenfor rammene av strategisk plan for innkjøp og logistikk For å sikre systematisk og løpende oppfølging Fører videre det gode arbeidet med å monitorere foretakets aktiviteter i et helhetlig perspektiv, herunder videreutvikle metoder og dokumentasjon/avviksoppfølging på området. Fører videre god praksis med å informere styret om alle vesentlige risikoelementer på området. Utformet av Internrevisjonen Helse Sør-Øst Side 16 av 16