Byrådets valg av løsning i arbeidet med å sikre betryggende kontroll

Transkript

1 BYRÅDSLEDERS AVDELING Bergen Rådhus Postboks 7700, 5020 Bergen Telefonsentral Kontrollutvalget v/kontrollutvalgets sekretariat Deres ref. Deres brev av: Vår ref. Emnekode Dato ESARK oktober 2016 BNO Byrådets valg av løsning i arbeidet med å sikre betryggende kontroll 1. Hva saken gjelder Ved behandling av sak i Kontrollutvalget, fattet Kontrollutvalget bl.a. slikt vedtak: «2. Kontrollutvalget har merket seg at organiseringen av sentralledelsen avviker fra «beste praksis» når det gjeld internkontrollfunksjonen (mangler «3.dje forsvarslinje», jf. Veileder for Compliancefunksjonen). (link til vedlegget: )» Kontrollutvalget innstiller i samme sak til bystyret å fatte slikt vedtak: «2. Bystyret ber byrådet vurdere å iverksette et organisasjons- og moderniseringsprosjekt med henblikk på å dimensjonere internkontrollen (jamfør Kommuneloven 20 nr. 2) iht. «beste praksis», jf. Veileder for Compliancefunksjonen.» Byrådet behandlet den sak «Seksjon for internkontroll - Overføring fra Byrådsavdeling for finans, eiendom og eierskap til Byrådsleders avdeling». Seksjon for internkontroll er et redskap i byrådets arbeid med styring. Byrådet er opptatt av å legge til rette for en videreutvikling av internkontrollen, som kan styrke arbeidet med betryggende kontroll i kommunens organisasjon. Overføring av seksjonen fra BFEE til BLED gir rom for en videre styrking av byrådets oppfølging av internkontrollarbeidet i kommunen, ved at flere konsernansvarsområder kan bli gjenstand for systematisk oppfølging fra Seksjon for internkontroll. Samtidig medfører dette organisatoriske grepet at internkontrollen kan planlegges og utøves «på en armlengdes avstand» fra den byrådsavdelingen som har overordnet ansvar for de fleste og største konsernansvarsområdene (BFEE). Byrådet uttrykker i sak at det fortsatt vil legge vekt på forebyggende og tilretteleggende arbeid for å oppnå bedre styring. I tillegg skal Seksjon for internkontroll planlegge og gjennomføre etterkontroller i samarbeid med byrådsavdelingene. Dette et arbeid som er påbegynt allerede.

2 Byrådet har i denne omgang således ikke besluttet å etablere en ren internrevisjonsavdeling. Dette utdypes og begrunnes nedenfor. 2. Med vekt på «rett første gangen». Ulike organisatoriske løsninger ble vurdert forut for at Seksjon for internkontroll ble opprettet i Byrådsavdeling for finans med virkning fra I valg av løsning ble det lagt vekt på at internkontrollen er et virkemiddel for styring, som skal bidra til kontinuerlig forbedring av systemer og praksis for å oppnå - målrettet og kostnadseffektiv drift - pålitelig rapportering - overholdelse av lover og regler - gjennomføring av bystyrevedtak/byrådsvedtak Som det går frem av byrådssak (Rammeverk for internkontroll i Bergen kommune) består kommunens arbeid med internkontroll av både - forebyggende arbeid gjennom tilrettelegging av systemer, utarbeiding av rutiner og hensiktsmessig arbeidsdeling - egenkontroll av praksis - etterkontroll av systemer og praksis. Mens ansvaret for egenkontroll av praksis alltid vil ligge i linjen hos den enkelte bemyndigete leder, har Seksjon for internkontroll oppgaver som bidrar til å styrke forebyggende arbeid i kommunens virksomhet, i tillegg til at seksjonen er tillagt et særlig ansvar for etterkontroller på gjennomgående konsernansvarsområder. En organisering som sikrer nødvendig fleksibilitet til å gjøre prioriteringer ut fra aktuelle utfordringer, og et godt rom for samhandling med øvrige fagseksjoner og byrådsavdelinger, er så langt valgt i Bergen kommune. Det er lagt opp til en modell som legger til rette for samarbeid om utvikling av metodikk, med oppmerksomhet på det forebyggende arbeidet og læring, på tvers av fagmiljøer. I stedet for å bygge opp en ren internrevisjon er det altså lagt vekt på å utvikle organisasjonen med fokus på «rett første gangen». 3. Nærmere om kontrollutvalgets forslag om et organisasjons- og moderniseringsprosjekt for å dimensjonere internkontrollen iht. «beste praksis» Kontrollutvalget fremmer i sitt forslag til innstilling overfor bystyret i sak et forslag som ikke er utredet. Forslaget viser til «beste praksis», uten at det redegjøres for hva som er referanseramme for en definisjon av «beste praksis». Kontrollutvalget viser til veileder utgitt av Norske Interne Revisorers Forening (2015). Det fremgår av veilederens formål (veilederens pkt. 1.1) at veilederen skal beskrive «beste praksis» for compliancefunksjoner, uavhengig av bransje, regelverk og størrelse på organisasjonen. En figur i veilederen (s 7) gir en illustrasjon av kontrollstrukturen i en virksomhet med utgangspunkt i tre grupper eller «linjer» som er involvert i en effektiv internkontroll og risikostyring: Funksjoner som eier og administrerer risiko (førstelinjen) Funksjoner som fører tilsyn med risiko (andrelinjen) Side 2 av 6

3 Funksjoner som gir uavhengig bekreftelse (tredjelinjen) 4. Organisering av internkontrollressurser i andre større kommuner i Norge Oslo kommune har en internrevisjon med fem årsverk. Når det gjelder øvrige større kommuner så har Trondheim kommune to personer i rådmannens fagstab som jobber med styring og internkontroll. Fokuset er på organisasjon, styringssystemer og lederavtaler. Risikostyring samt roller og oppgaver er også viktige områder. Sentralt gjøres det ikke systematiske etterkontroller av praksis men det er tett dialog med kommunerevisjonen. Trondheim kommune har i som Bergen kommune fokus på forbedringsarbeid og mener at det best ivaretas gjennom å være tett på driften. De oppgir at de ikke har planer om å etablere en internrevisjon. Stavanger kommune har en rådgiver ansatt på avdeling for strategi og analyse som også har oppgaver innen internkontroll. Det er også en controller på regnskapsavdelingen som følger opp økonomirapportering og regnskap. Stavanger kommune setter i disse dager ned et prosjekt for vurdering av behovet for internkontrollressurser og en vurdering av hva som er hensiktsmessig organisering. Å opprette en internrevisjonsavdeling har ikke vært et tema så langt. Bærum kommune har en controller-stilling som i hovedsak jobber med internkontroll. Controller-stilingen jobber med områder som etikk, antikorrupsjon og risikostyring. Fokus er på forbedringer. Det gjøres ikke etterkontroller sentralt, det skjer i regi av Bærum kommunerevisjon. Bærum har ikke vurdert å etablere en internrevisjonsavdeling. Asker kommune har en controller i rådmannens stab. Kommunen er ISO Side 3 av 6

4 -sertifisert innenfor kvalitetsledelse, miljøstyring og informasjonssikkerhet. Asker har rullerende 3-års planer og et internt korps som gjør gjennomganger iht. krav i ISO-standarder. Har ikke vurdert å etablere en internrevisjonsavdeling. Ut fra dette ser vi at - med unntak av Oslo kommune - har de store kommunene valgt å ikke organisere internkontrollarbeidet i form av en internrevisjonsavdeling. En kan derfor ikke hevde at internrevisjon er beste praksis i kommune Norge. 5. Vurdering av internkontrollavdeling vs internevisjon i Bergen kommune Av kommuner vi har kunnskap om, er det altså kun Oslo som har en etablert en ren internrevisjon. Internrevisjonen i Oslo består av fem stillinger med sammensatt kompetanse, og foretar dessuten kjøp av eksterne tjenester. Internrevisjonen er plassert i Byrådsleders avdeling og skal være en uavhengig tilsynsfunksjon med nødvendig spisskompetanse rettet mot alle byrådsavdelingene. En slik internrevisjon må inneha de nødvendige sertifiseringer. Oslo er med sine ansatte en vesentlig større kommune enn Bergen, og er med sin bydelsorganisering annerledes organisert. En kan ikke uten videre trekke sammenlikninger mellom de to kommunenes arbeid med internkontroll. Veilederen Kontrollutvalget tar utgangspunkt i, er utgitt av Norske interne revisorers forening, og er utarbeidet av personer med bakgrunn fra bank, forsikring, olje og konsulentbransjen. Dette er bransjer som til dels har lovpålagt internrevisjon. Det er store kostnader knyttet til sertifisering som internrevisor og til vedlikehold av kompetansen. Internrevisor dokumenterer og rapporterer etter faglige internasjonale internrevisjonsstandarder. Dette omfatter standarder knyttet til organisasjon og ansatte i internrevisjonen (egenskapsstandarder), standarder knyttet til utførelsen av arbeidet (utføringsstandarder) og standarder knyttet til attestasjons og rådgivningsoppdrag (implementeringsstandarder). Medarbeiderne i dagens Seksjon for internkontroll er alle siviløkonomer, og leder er også statsautorisert revisor. Samlet kompetanse er derfor trolig for snever til også å dekke sektorområder som skole, helse, barnevern mm. På området internrevisjon er det god praksis å utføre internrevisjonsaktiviteter av flerfaglige lag som inkluderer ingeniører, økonomer, personer med ledelsesbakgrunn samt miljøspesialister som reflekterer det vide spekteret av dagens bekreftelsesbehov. Videre er revisjonsekspertise innen IT en kjernekompetanse. Direktoratet for økonomistyring i staten har utviklet en veileder for statlige virksomheter som vurderer om de bør etablere en internrevisjon. Veilederen sier blant annet følgende: «Internrevisjon er et mulig tiltak for å styrke styring og kontroll. Samtidig er det viktig å være kjent med at det eksisterer alternativ til å etablere internrevisjon som kan tenkes å dekke virksomhetens behov på kort eller lengre sikt. Andre tiltak for styrket styring og kontroll, for eksempel forbedringer i førsteeller andrelinjen, vil i mindre grad kunne sammenlignes med internrevisjon. Man kan likevel tenke seg at virksomhetens utfordringer best løses ved å styrke styring og kontroll i: 1. Førstelinjen (for eksempel flere ansatte, bedre opplæring av ansatte, bedre styrende dokumenter, bedre verktøy/systemstøtte mv.) eller Side 4 av 6

5 2. Andrelinjen (for eksempel (økte)ressurser til oppfølging og kontroll i form av fagansvarlig internkontroll, «risk manager», «compliance-funksjon», controller mv.)» Bergen kommunes løsning for organisering av internkontrollressursene bidrar nettopp til slik styrking av første og andrelinjen. Eksempler på tiltak i regi av seksjon for internkontroll som styrker førstelinjen: - metode og verktøy for risikostyring (prosjekt) - utarbeidet rammeverk for virksomhetsstyring - utarbeidet sjekkliste for internkontroll for konserngjennomgående prosesser - Utarbeidet instruks for saksbehandling ved mistanke om misligheter og overgrep - Utarbeidet veiledere i varsling - Bidrar i arbeidet med å sikre god og målrettet informasjon på allmenningen for de konserngjennomgående prosessene som seksjonen har et oppfølgingsansvar for. - Bistår byrådsavdelingene/prosess støtte i deres risikoanalyser på nivå 1. Gir viktig kompetansebygging som er av nytte også for underliggende enheter - Utarbeidet metode og verktøy for byrådsavdelingenes risikovurdering av korrupsjon, herunder overordnet risikoanalyse for korrupsjon i kommunale roller. Bistår byrådsavdelingene i deres risikoanalyse på dette området, som igjen er utgangspunkt for analyse og oppfølging i underliggende enheter. - Utarbeidet overordnede risikoanalyser for misligheter og feil innenfor HR prosessen og større økonomi prosesser. Disse er igjen utgangspunkt for mer detaljerte risikoanalyser i byrådsavdelingene og underliggende enheter. Dette er i det vesentligste oppgaver som ikke er forenelig med det å være organisert som en internrevisjonsavdeling. En internrevisjonsavdeling skal ha større avstand til driften, og kan ikke revidere systemer og styrende dokumentasjon som en selv har utviklet. Eksempler på tiltak i regi av Seksjon for internkontroll som styrker andrelinjen: - Internt nettverk i BFEE for de konserngjennomgående prosessene. Viktige områder her har vært å utvikle en felles forståelse av hvilke oppgaver som ligger i fagseksjonenes konsernansvarsrolle, risikovurderinger samt metode for etterkontroller - Nettverk for etterkontroller i byrådsavdelingene har som formål å være en pådriver og fasilitator for byrådsavdelingenes egne etterkontroller. Stikkprøvebaserte etterkontroller av ansettelser startet opp våren Tilsvarende prosess planlegges på inntektsområdet i løpet av høsten. - Nettverk for risikostyring for operative ressurser Eksempler på tiltak i regi av nåværende og tidligere byråd som styrker andrelinjen: - Bevilget nødvendige ressurser til å etablere seksjon for internkontroll o Veiledning og kompetansebygging styrker andrelinjen - Bevilget ressurser til egne internkontroll ressurser/traineer i fire byrådsavdelinger Eksempel på tiltak som styrker 3. linje forsvaret: - Etterkontroller i regi av seksjon for internkontroll - Flytting av seksjon for internkontroll fra BFEE til BLED Side 5 av 6

6 6. Oppsummering Byrådets grunnleggende hensikt, med å etablere en egen seksjon for internkontroll, har vært å styrke intern styring og oppfølging i kommunen. Til nå har vurderingen vært at en internkontrollseksjon, som jobber både forebyggende (bistand til 1. og 2. forsvarslinje) og med etterkontroller (3. forsvarslinje), gir bedre bruk av internkontrollressursene enn det en ren internrevisjon (3. forsvarslinje) ville bidra til Vi vil avslutningsvis få påpeke at det må være en forutsetning at de som skal foreta revisjoner har en god og grundig forståelse av den parlamentariske styringsmodellen. Det må eksempelvis være en klar forståelse av at det er byrådet som er det koordinerende organet, og at kommunaldirektørene er sidestilte hverandre, og agerer på sine fullmakter delegert fra sine respektive fagbyråder. Med hilsen BYRÅDSLEDERS AVDELING Robert Rastad kommunaldirektør Dette dokumentet er godkjent elektronisk. Side 6 av 6