Rapport Revisjon av innkjøpsvirksomheten Sunnaas sykehus HF

Rapport Revisjon av innkjøpsvirksomheten Sunnaas sykehus HF Internrevisjonen Helse Sør-Øst 8.10.2007

Rapport nr. 4/2007 Revisjonsperiode Mars-mai 2007 Virksomhet Rapportmottaker Kopi (av endelig rapport) Rapportavsender Oppdragsgiver Revisor Sunnaas sykehus HF Administrerende direktør Sunnaas sykehus HF Administrerende direktør Helse Sør-Øst RHF Styreleder Sunnaas sykehus HF Kontrollkomiteen Helse Sør-Øst RHF Internrevisjonen Helse Sør-Øst Styret i Helse Sør-Øst RHF Karl-Helge Storhaug Liv Todnem Ingunn Dahlberg Atle Brobakken Innhold 1 Innledning... 3 1.1 Bakgrunn, formål og målsettinger... 3 1.2 Metode, omfang og avgrensning... 3 1.3 Vurderingskriterier... 3 2 Resultatet fra revisjonen... 5 2.1 Oppsummering av sentrale funn... 5 2.2 Bekreftelse av tiltak iverksatt etter 2004-revisjonen... 6 2.3 Etterlevelse av interne retningslinjer, lov- og regelverk... 7 2.4 Internkontroll i innkjøpsvirksomheten... 10 3 Vedlegg... 14 3.1 Informasjonsgrunnlag... 14 3.2 Deltakere... 14 3.3 Saksgang og rapportbehandling... 14 Utformet av Internrevisjonen Helse Sør-Øst Side 2 av 14

1 Innledning 1.1 Bakgrunn, formål og målsettinger Internrevisjonen Helse Sør-Øst har i tråd med revisjonsplan for 2006/2007 (fastsatt for Internrevisjonen Helse Øst) revidert innkjøpsvirksomheten ved Sunnaas sykehus HF (Sunnaas). Gjennomgangen fant sted i tiden fra 16. april til 25. mai 2007, og ble utført av Karl- Helge Storhaug, Liv Todnem og Ingunn Dahlberg. Sunnaas ledelse og de personer som internrevisjonen har hatt kontakt med i revisjonsgjennomgangen, har gjennom god og åpen kommunikasjon bidratt til å belyse den faktiske situasjon for innkjøpsvirksomheten. Internrevisjonens kontaktpersoner har bidratt vesentlig til effektiv gjennomføring gjennom koordinering av informasjonsinnsamling og møteplanlegging. Formålet med revisjonen har vært å se etter hvorvidt Sunnaas har etablert og gjennomfører en tilstrekkelig og effektiv internkontroll for innkjøps- og fakturabehandlingsområdet (herunder avtaleforvaltning og arkiv) som bidrar til målrettet og effektiv drift, overholdelse av lov-/regelverk og pålitelig styringsinformasjon. Revisjonsmålsettingene var fastsatt på bakgrunn av en overordnet risikovurdering av innkjøpsområdet: 1 Internrevisjonen skal bekrefte om Sunnaas har satt i verk tiltak i tråd med anbefalingene gitt etter revisjon av anskaffelser og fullmakter i 2004 og om disse virker som forutsatt. 2 Internrevisjonen skal vurdere om den interne kontrollen som Sunnaas har etablert for å sikre styring og oppfølging med innkjøpsvirksomheten, er tilstrekkelig, hensiktsmessig og effektiv, slik at foretaket med rimelig sikkerhet etterlever lover, forskrifter, intern regelverk, retningslinjer og rutiner på området, samt oppnår egne og regionale målsettinger for innkjøpsvirksomheten 1.2 Metode, omfang og avgrensning Gjennomgangen er basert på dokumentstudier, informasjon fra kartlegging rettet mot alle divisjonsdirektører og avdelingssjefer, samtaler med ledere og nøkkelpersoner (se kapittel 3 for oversikt), samt testing av grunnlagsdokumentasjon. Testingen har omfattet til sammen 26 leverandører som Sunnaas har kjøpt varer og tjenester fra i 2006. Nærmere redegjørelse for testutvalget følger av kap 2.3. Alle relevante observasjoner som har vesentlig betydning for å kunne besvare revisjonsmålsettingene, er gjennomgått med Sunnaas i møte 25.05.07 og 1.10.07. Gjennomgangen har omfattet en kartlegging og vurdering av Sunnaas overordnede organisering, styring og oppfølging av innkjøpsvirksomheten. Den har også omfattet kartlegging og vurdering anskaffelsesprosesser etter LOA/FOA, avrop på rammeavtaler og deler av fakturabehandlingsprosessen (attestasjons- og anvisningsrutiner og manuelle kontroller i regnskapsmiljøet). Revisjonen har ikke omfattet bekreftelse av rutiner for vareleveranser og uttak fra lager. Den har heller ikke omfattet konkrete handlinger innrettet mot å kartlegge eventuelle uregelmessigheter eller misligheter. 1.3 Vurderingskriterier Kriteriene for å vurdere foretakets implementering av anbefalinger etter revisjonen i 2004, følger av vedtak i styresak 84/04 og 15/05. Kriteriene for vurdering av anskaffelsesprosessene følger av LOA/FOA og foretakets egne interne retningslinjer for innkjøpsområdet, herunder arkivrutiner. Når det gjelder avrop på lokale og regionale avtaler, bygger vurderingene på Utformet av Internrevisjonen Helse Sør-Øst Side 3 av 14

grunnleggende krav i LOA/FOA og avropsbestemmelsene i den enkelte kontrakt. For fakturabehandlingsprosessen er kartlagt tilstand vurdert opp mot foretakets økonomirutiner og fullmaktsoversikter. Kriterier for å vurdere internkontrollen i innkjøpsvirksomheten bygger på anerkjente rammeverk for internkontroll, slik dette gjenspeiles i krav til internkontroll nedfelt i Forskrift om internkontroll i sosial- og helsetjenesten av 20.12.2002 (internkontrollforskriften). Et godt internkontrollsystem forutsetter at helseforetaket sørger for: Et effektivt internt miljø (kontrollmiljø) Et effektivt internt miljø kjennetegnes ved at ledere og ansatte har risikobevissthet og at det er fastsatt og kommunisert etiske retningslinjer som beskriver krav/forventninger til atferd hos foretakets ansatte som arbeider med innkjøpsvirksomhet. Videre kjennetegnes det ved at organiseringen av oppgavene er hensiktsmessig og at ansvars- og myndighetsfordeling innenfor innkjøpsområdet er tydelig definert og kommunisert. Risikovurderinger At det er fastsatt tydelige målsettinger på lang/mellomlang og årlig basis som er dekkende i forhold til det overordnede formål med innkjøpsvirksomheten, samt at det gjennomføres prosesser for å kartlegge, vurdere og håndtere risikoforhold som kan hindre foretaket å nå målsettingene. Tilstrekkelige og hensiktmessige tiltak for å ha styring og kontroll Det må være utformet og satt i verk tilstrekkelige tiltak som på en hensiktsmessig og effektiv måte bidrar til å forebygge, forhindre og avdekke situasjoner/hendelser som truer målsettingene som er satt for innkjøpsvirksomheten. Systematisk og løpende oppfølging Innkjøpsvirksomheten må løpende følges opp for å sørge for at denne gjennomføres som forutsatt og at eventuell uønsket praksis avdekkes og korrigeres. Informasjon og kommunikasjon Informasjon om mål og virkemidler må løpende kommuniseres på tvers av foretaket slik at ledere og nøkkelpersoner har til enhver tid har grunnlag for å kunne utføre de arbeidsoppgavene de har ansvar for i innkjøpsvirksomheten. Foretaket må ha systemer som sikrer at pålitelig styringsinformasjon kan hentes ut og nyttes som del av styring og oppfølging av området. Utformet av Internrevisjonen Helse Sør-Øst Side 4 av 14

2 Resultatet fra revisjonen 2.1 Oppsummering av sentrale funn Internrevisjonens gjennomgang av innkjøpsvirksomheten ved Sunnaas har hatt til formål å bekrefte om tiltak etter 2004-revisjonen er satt i verk i tråd med styrets vedtak, og om tiltakene har virket etter sin hensikt. Videre har formålet vært å kartlegge og vurdere om den interne kontrollen for innkjøpsarbeidet for foretaket sett under ett, herunder anskaffelsesprosessene og de deler av fakturabehandlingen som er knyttet til attestasjon og anvisning, er tilstrekkelig, hensiktsmessig og effektiv. Gjennomgangen viste at tiltakene som styret besluttet etter 2004-revisjonen i hovedsak var satt i verk. Testing av anskaffelsesdokumentasjon, avtaler og fakturaer viste at det i utvalgsperioden har vært flere brudd på interne retningslinjer/rutiner og LOA/FOA. Tiltakene fra 2004- revisjonen synes etter dette ikke å ha bidratt til bedre internkontroll relatert til etterlevelse i gjennomføring av innkjøpsarbeidet ved foretaket. Gjennomgangen viste også at internkontrollsystemet for foretaket som helhet har flere svakheter både i form av manglende oppfølging av etiske retningslinjer og ikke sterk nok styring og oppfølging av innkjøpsvirksomheten for foretaket sett under ett. Dette er de viktigste årsakene til at det fremdeles oppstår brudd på interne retningslinjer og LOA/FOA. Situasjonen er etter internrevisjonens vurdering ikke tilfredsstillende og det bør vurderes tiltak for å styrke den interne kontrollen. Utformet av Internrevisjonen Helse Sør-Øst Side 5 av 14

2.2 Bekreftelse av tiltak iverksatt etter 2004-revisjonen Bakgrunn I revisjonen fra 2004 ble det avdekket flere brudd på lov om offentlig anskaffelse og arkivlov. Det ble også påpekt enkelte svakheter i internkontrollsystemet relatert til fullmaktsbruk og høyt antall inaktive leverandører. Handlingsplanen som ble vedtatt av styret i sak 84/04, omfattet til sammen 12 tiltak som både var innrettet mot å rette opp konkrete regelbrudd og for å bidra til bedre internkontroll i innkjøpsarbeidet, herav 9 tiltak vedr. LOA/FOA og 3 tiltak vedr. fakturabehandling. Handlingsplanen skulle iverksettes primo 2005 og være fulgt opp innen 1.5.2005. Handlingsplanen ble fulgt opp av styret i sak 15-05 (tatt til orientering). Resultat fra gjennomgangen Gjennomgangen viste at foretaket etter 2004-revisjonen har forbedret sine rutiner for anskaffelsesvirksomheten, gjennom oppdatering av håndbøker og interne retningslinjer. Foretaket har også gjort ansvars- og myndighetsforholdene innenfor innkjøpsarbeidet tydeligere, samtidig som det har lagt vekt på å bedre opplæringen av de budsjettansvarlige. Gjennomgangen viste imidlertid at det i 2006 og 2007 har vært flere brudd på interne retningslinjer og LOA/FOA. Det var foretatt innkjøp uten avtaler og det var i flere tilfeller inngått avtaler uten at reglene i LOA/FOA var fulgt. Gjennomgangen viste også at det både anskaffelsesprosesser og avrop på eksisterende avtaler i varierende grad var tilstrekkelig dokumentert, samt at attestasjonsrutinene ved flere tilfeller ikke hadde vært fulgt. Når det gjelder spørsmålet om tiltakene har virket som forutsatt, har internrevisjonen vurdert om de har bidratt til å skape varige forbedringer av innkjøpsvirksomheten i foretaket sett under ett. Resultatet fra kartleggingen av internkontrollsystemet sett i en helhet (jf. kapittel 2.4) og internrevisjonens testing av avtaler og fakturaer (jf. kapittel 2.3), har vist at det fremdeles oppstår samme type brudd på interne retningslinjer og LOA/FOA som ble avdekket i revisjonen fra 2004. Sett i lys av dette har tiltakene etter internrevisjonens vurdering ikke vært tilstrekkelige for å oppnå en helhetlig styring og oppfølging av innkjøpsvirksomheten. Når det gjelder årsaker og konsekvenser er dette nærmere behandlet i pkt 2.4. Utformet av Internrevisjonen Helse Sør-Øst Side 6 av 14

2.3 Etterlevelse av interne retningslinjer, lov- og regelverk Bakgrunn For å kunne bekrefte tilstanden for internkontrollen i systemer og rutiner, har internrevisjonen gjennomført en til dels omfattende testing av Sunnaas etterlevelse av: Regelverk for offentlige anskaffelser Rammeavtaler (herunder avropsbestemmelser) Fakturabehandlingsrutiner (avgrenset til rutiner for varemottak, attestasjon og anvisning) Resultat fra testingen Testene har primært omfattet kostnadsartene mat (4100), rengjøring og vaskeri (4180), kurs/konferanser (5601), innleid arbeidskraft og konsulenttjenester (6723, 6724, 6728). I tillegg er diverse andre leverandører innenfor bl.a. IT og eiendom testet ut fra omsetningsvolum. Totalt volum for 2006 i henhold til leverandørreskontro var 89,9 mill kr, fordelt på 895 leverandører. Av disse var det for 110 leverandører omsatt for mer enn 100 000 kr. Testgrunnlaget har omfattet 26 leverandører med en samlet omsetning på 23 mill kr. Til sammenligning utgjorde omsetningen for utvalgsperioden ved revisjonen i 2004 86 mill kr, fordelt på 874 leverandører. Testene omfattet da 15 leverandører med samlet omsetningsvolum på 4,9 mill kr. For det testede utvalget anskaffelser er det for mer enn 50 % funnet at det foreligger brudd på interne retningslinjer og LOA/FOA. Nærmere om test av innkjøp relatert til kjernevirksomheten Utgangspunktet for testene som er gjennomført har vært leveranser kostnadsført som Andre konsulenter og IT-konsulenter. Leverandører og fakturaer ble valgt for regnskapsperioden 2006. Som utgangspunkt for videre intervjuer i revisjonen ble kostnadsstedene TRS kompetansesenter for sjeldne diagnoser (TRS) og Forskning valgt ut. På grunnlag av ytterligere analyse av andre større innkjøp i disse enhetene, ble til sammen 8 leverandører valgt. Av disse var 3 knyttet til kjøp i TRS, 3 knyttet til forskning og 2 leverandører hvor begge enhetene hadde kjøpt konsulenttjenester fra. TRS Testen omfattet IT-konsulenttjenester til oppbygging og utvikling av avdelingens pasientsystem og systemsikkerhet. Samlet volum for en av de testede leverandørene var i 2006 over 2,2 mill kr. Gjennomgangen viste at det var inngått avtale om systemutvikling med en leverandør, og at dette var gjort som direkte kjøp etter bestemmelsene i LOA/FOA. Det skulle etter internrevisjonens vurdering ha vært foretatt en tilbudsinnhentelse fra flere leverandører før kontrakt med valgt leverandør ble inngått. Gjennomgangen viste også at det var inngått supportog vedlikeholdsavtale med den samme leverandøren. Avtalen var gyldig for deler av perioden som ble undersøkt, og også for denne tjenesten skulle det etter internrevisjonen vurdering, ha vært innhentet tilbud fra flere leverandører. Sunnaas eier rettighetene til det aktuelle systemet, og gjennomgangen viste at det var inngått en samarbeidsavtale mellom TRS (på vegne av helseforetaket) og leverandøren om kommersialisering av løsningen. I henhold til denne avtalen skal TRS og leverandøren dele inntekter fra eventuelle salg av løsningen med henholdsvis 60-40%. Gjennomgangen viste imidlertid at avtalen ikke var signert av person som etter Sunnaas fullmaktsoppgaver har myndighet til å signere slik avtale. For de 2 øvrige testede leverandørene lå kjøpene mellom 100 000 kr og 500 000 kr. Det forelå ikke avtaler med disse leverandørene og det var ikke gjennomført anbudsprosess. Utformet av Internrevisjonen Helse Sør-Øst Side 7 av 14

For den ene leverandøren forelå det forøvrig biervervsproblematikk som ikke var dokumentert. Innkjøpsenheten hadde ikke vært involvert i disse anskaffelsesprosessene slik de interne retningslinjene beskriver. Forskning Testen omfattet 3 leverandører spesielt knyttet til Forskning og 2 leverandører hvor både TRS og Forskning hadde kjøpt konsulenttjenester fra. I denne sammenhengen var kjøpene relatert til forskningsenheten. Enkelte av anskaffelsene var knyttet til utdanning/ansettelse og samarbeidet med Universitetet i Oslo eller andre parter. Disse anskaffelsene faller ikke inn under bestemmelsene i LOA/FOA, men er likevel testet i forhold til bl.a. attestasjons- og anvisningsrutiner. For 4 av leverandørene var det kjøpt konsulenttjenester. For 2 av disse var det etablert avtale, men det forelå ingen dokumentasjon på anbudsprosess. For den tredje leverandøren var det knyttet usikkerhet til om kjøpet bygget på en enerett, eller om det skulle vært gjennomført konkurranse etter LOA/FOA. Det forelå ingen dokumentasjon av foretakets vurderinger i denne saken. For den fjerde leverandøren var det kjøpt konsulenttjenester fra en leverandør, og hvor samme person også har et ansettelsesforhold ved foretaket. Det forelå ingen dokumentasjon for denne anskaffelsen, og kjøpet av tjenesten var fra 2001 (eldste fremlagte avtale) Videre var faktureringen for tjenesten ikke i overensstemmelse med avtalen som var inngått med den ansatte og ikke det aktuelle selskapet. Gjennomgangen viste at eventuell biervervsproblematikk knyttet til denne avtalen ikke var vurdert opp mot de nye retningslinjene for dette. Innkjøpsenheten hadde ikke vært involvert i anskaffelsesprosessene. Nærmere om test av innkjøp relatert til støtte/fellesfunksjoner Testene som er gjennomført har vært innenfor leveranser kostnadsført som mat, rengjøring/ vaskeri, kurs/konferanser, innleid arbeidskraft og konsulenttjenester. Leverandører og fakturaer ble valgt for regnskapsperioden 2006. Som utgangspunkt for videre intervjuer i revisjonen ble kostnadssteder innenfor Intern service valgt. På grunnlag av ytterligere analyse av andre større innkjøp i disse enhetene, ble til sammen 11 leverandører valgt. I tillegg ble det valgt 7 leverandører innenfor området som her er benevnt administrasjon/felles Avdeling for Intern service Det var valgt ut 11 leverandører for kjøp av varer og tjenester til Eiendom, Teknisk enhet, Husøkonomenhet og Kjøkken/kantineenheten (sistnevnte er nå avviklet pga tjenesteutsettelse). Enkelte av leverandørene var benyttet av flere av enhetene og testene omtales derfor samlet. For Kjøkken/kantine (nå avviklet) ble det valgt 6 leverandører hvor det i 2006 ikke var etterlevelse av LOA/FOA. Foretaket har i 2007 sluttført en anbudsprosess for kjøp av kjøkken/ kantinedrift. Imidlertid var det fortsatt 1 av leverandørene som også var benyttet av eiendom for kjøp av varer/tjenester ytre anlegg. For en annen leverandør var det kjøpt kaffe som ikke inngår som del av driftsavtalen for kjøkken/kantinedrift. Denne type kjøp er også relevant i 2007 og videre fremover og er ikke et avsluttet tema. Utover dette viste gjennomgangen at det for en av leverandørene som også benyttes av Teknisk, var levert tjenester som ikke fremkom av avtalegrunnlaget. For Husøkonom ble det testet kjøp fra 2 leverandører hvor anbudsprosess var gjennomført sammen med Sykehuset Østfold HF. Det ble ikke funnet mangler ved disse. For Teknisk enhet ble det valgt 2 leverandører, hvorav det for en av disse var gjort avrop som totalt sett oversteg rammen for avtalen. Utformet av Internrevisjonen Helse Sør-Øst Side 8 av 14

For Eiendom omfattet utvalget 1 leverandør hvor anskaffelsen var utført av ekstern konsulent. For denne manglet det anbudsprotokoll. Innkjøp relatert til Administrasjon/Felles Innenfor Administrasjon/Felles (internrevisjonens egen kategorisering) ligger ulike kjøp som ble valgt ut på bakgrunn av leverandøromsetningstall for 2006., herav bl.a. ett tilfelle som gjaldt pensjonsforsikring som ikke er omfattet av LOA/FOA.. For 2 av de øvrige leverandørene ble ikke anskaffelsene under revisjonen vurdert i forhold til LOA/FOA. Den ene var knyttet til avtale om kjøp av apotekvarer og tjenester og hvor det i utgangspunktet også foreligger en regional avtale. Den andre gjaldt bruk av samlefakturering med bakgrunn i avtalen for foretakets tjenestereiser. Avtalen i seg selv er ikke vurdert eller etterlevelse av denne,, men hvorvidt den sikrer etterlevelse av andre avtaler med underliggende leverandører som benyttes for overnatting, reise m.v. Test av samlefakturaene og underdokumentasjon viste at attestasjonskontrollen av disse fakturaene ikke hadde vært tilstrekkelig. Dette er nærmere beskrevet i pkt 2.4. For 4 av leverandørene som var vurdert i forhold til LOA/FOA, ble en anskaffelsesprosess funnet i orden. For de øvrige 3 var det ikke dokumentert at anskaffelsen var gjennomført på bakgrunn av konkurranse. Test av fakturaer Test av fakturaer viste flere svakheter i behandlingskjeden, herunder at det gjennomgående sett var lite samsvar mellom beskrivelsene av innholdet i attestasjonskontrollene og de reelle kontrollene som ble foretatt av attestantene. For de testede fakturaene fra de utvalgte leverandørene var det bestillingsreferanse i form av navn på 22 av 55 fakturaer og rekvisisjonsnummer på 14 av 55.. Det var ikke etablert hensiktsmessige manuelle kontrollrutiner for systematisk oppfølging av om det finnes gyldig avtalegrunnlag for fakturaer som bokføres og utbetales. Test av avtaler (over) viste at det for flere av leverandørene ikke var utarbeidet avtale. Priskontroll i forhold til avtale har derfor ikke vært mulig å gjennomføre for mange av de testede fakturaene. For de leverandørene hvor det forelå avtale har gjennomført test ikke gitt avvik. For 19 av de totalt 55 testede fakturaene, var det kun èn signatur på konteringsbilag og faktura, og de interne retningslinjene for fakturakontroll var ikke etterlevd. For de øvrige var det opptil flere signaturer, men vanskelig å forstå hvem som hadde signerte for hva. Konklusjon På grunnlag av testene konkluderes det at internkontrollsystemet som omgir innkjøpsvirksomheten ved foretaket, ikke har klart å fange opp brudd på interne retningslinjer og LOA/FOA. Det har heller ikke vært tilstrekkelig fokus på biervervsreglene. Situasjonen er utilfredsstillende og det er behov for tiltak for å sikre effektiv internkontroll. Utformet av Internrevisjonen Helse Sør-Øst Side 9 av 14

2.4 Internkontroll i innkjøpsvirksomheten Bakgrunn For å bidra til varige forbedringer i innkjøpsvirksomheten ved Sunnaas, har internrevisjonen foretatt en kartlegging og vurdering av internkontrollsystemet som omgir innkjøpsvirksomheten ved foretaket, jf. de kriterier som er nedfelt i kapittel 1.3. Resultat fra gjennomgangen Internt miljø Risikobevissthet og etiske retningslinjer Gjennomgangen viste at foretaket har hatt en begrenset oversikt over brudd på retningslinjer og lovverk innenfor innkjøpsvirksomheten, og at det heller ikke har vært god nok oversikt over risiko som foretaket er eksponert for innenfor dette området. Systematiske risikovurderinger har ikke vært gjennomført innenfor innkjøpsområdet, og foretaksledelsen hadde lagt til grunn at tilstanden på området i hovedsak var tilfredsstillende basert på de tiltak som var besluttet etter revisjonen i 2004. De etiske retningslinjene var gjort tilgjengelig for foretakets ansatte gjennom foretakets kvalitetssystem. Retningslinjene hadde i varierende grad vært tatt opp som eget tema på ledelsesmøter/avdelingsmøter. Gjennomgangen viste at foretaket ikke har etablert systemer og rutiner som sikrer oppfølging av om retningslinjene etterleves. Kartlegging av bierverv ble iverksatt i 2005 i tråd med pålegg fra Helse Øst RHF. Etter gjennomført kartlegging er det etablert prosedyre for oppfølging av bierverv, og foretaket har lagt opp til oppfølging av dette gjennom medarbeidersamtaler og ved nyansettelser. Ingen av avdelingene som var omfattet av internrevisjonens dybdegjennomgang hadde foretatt særskilt oppfølging av dette etter 2005. Organisering, ansvars- og myndighetsfordeling Gjennomgangen viste at Sunnaas har organisert innkjøpsvirksomheten etter en linje- /stabsmodell. Innkjøpsansvaret følger budsjettansvaret, dvs. det ligger i linjen. Ansvaret for å støtte avdelingene og bidra til å sikre etterlevelse av LOA/FOA og interne retningslinjer faller inn under Intern service v/innkjøpssjefen. Økonomiavdelingen har imidlertid også en rolle her gjennom kontroll og oppfølging av fakturaflyten. Etter gjeldende rutiner skal alle anskaffelser over kr 100 tusen, sluses gjennom Intern service v/innkjøpsjefen og denne har myndighet til å gjennomføre/lede anskaffelsesprosessene etter reglene i LOA/FOA. Gjennomgangen viste at ansvars- og myndighetsfordelingen mellom Intern service v/innkjøp og avdelingene i linjen var tydelig nedfelt og gjort tilgjengelig i kvalitetssystemet. Gjennomgangen viste samtidig at avdelinger som var omfattet av revisjonen, helt eller delvis selv gjennomførte innkjøpsprosesser uten å følge LOA/FOA. En oppfølging av foretakets avtaler mot reskontrooversikter ville bidratt til å avdekke dette. Dette var imidlertid ikke gjort og situasjonen var derfor ikke kjent av foretaksledelsen Gjennomgangen viste samtidig at anskaffelsesprosessene gjennomgående hadde vært tilfredsstillende ivaretatt i de tilfellene hvor innkjøpssjefen hadde planlagt, gjennomført og fulgt opp prosessene. Risikovurderinger Overordnede mål for innkjøpsvirksomheten er nedfelt i Strategisk plan for innkjøp i Helse Øst 2007-10 (og som følges opp gjennom det regionale INNHØST-prosjektet). Gjennomgangen viste at det også var laget en egen strategisk plan for foretaket og at denne var konsistent med Utformet av Internrevisjonen Helse Sør-Øst Side 10 av 14

Helse-Øst planen. Videre viste gjennomgangen at det var utarbeidet målsettinger for bl.a. å innføre elektronisk fakturabehandling og e-handelsløsninger. Målsettingene var imidlertid ikke gjennomgripende, og ikke mulig å gjenfinne på nivå 1. Målsettingene inngikk dermed heller ikke i de forhold som foretaket fulgte opp gjennom månedsrapporteringen eller Ledelsens gjennomgåelse. Det var ingen form for avviksregistrering knyttet til etterlevelse av eksternt og internt regelverk eller prosedyrer for fakturabehandling. Tiltak for å ha styring og kontroll Retningslinjer, prosedyrer og rutiner i EK Gjennomgangen av tiltakene som Sunnaas har etablert for å sikre styring og kontroll med innkjøpsvirksomheten, viste at grunnleggende forhold som skriftlige retningslinjer, prosedyrer og rutiner i hovedsak var utarbeidet og gjort tilgjengelig for ledere og ansatte i foretakets kvalitetssystem. Fullmakter Gjennomgangen viste at det var inngått egne avtaler mellom administrerende direktør og den enkelte avdelingssleder. Det var etablert oversikt over fullmakter pr enhet og den som er gitt en fullmakt må signere på skjema hvor beskrivelse av attestasjons- og anvisningsfullmakt fremgår. Revisjonen viste at det ikke er enhetlig forståelse av innholdet i fullmaktene og bruken av disse. Dette er nærmere behandlet under punktet fakturabehandling. I de etablerte fullmaktsoversiktene fremgikk det at nye avtaler skal signeres av administrerende direktør eller dennes stedfortreder. Testingen avdekket her at disse fullmaktene ikke fullt ut hadde vært etterlevd. Fakturabehandling Gjennomgangen viste at foretaket hadde planlagt å implementere elektronisk fakturabehandling som integrert del av økonomisystemet. Systemet var imidlertid ikke fullt ut implementert og foretaket hadde derfor hovedsakelig manuell fakturabehandling. Fakturaer ble mottaksregistrert og forhåndskontert (konteringsforslag) før utsendelse til budsjettansvarlig for manuell kontroll/signatur. E-handel Gjennomgangen viste at Sunnaas har påbegynt et arbeid med implementering av e- handelsløsninger, og fremdriftsplan er fremlagt. Denne er stoppet sommeren 2006 i påvente av avklaring på samarbeid med Aker universitetssykehus HF. Bruk av saks-/arkivsystem og arkivering/oppbevaring av kontrakter Gjennomgangen viste at anskaffelsessaker i varierende grad var registret i foretakets saks- /arkivsystem. Testene avdekket at dette gjennomgående var godt ivaretatt i de tilfellene hvor innkjøpsseksjonen hadde ledet anskaffelsesprosessen, og at det vesentligste av arkivverdig dokumentasjon kunne gjenfinnes i manuelt arkiv.. Avtaledekning For de testede varegruppene viste gjennomgangen at det utover husøkonom og tekniske tjenester, i liten grad var etablert avtaler. For kjøkken/mat. Her var det tidligere ikke etablert avtaler, men foretaket hadde i 2006/2007 etablert en helhetlig avtale for levering av kantineløsning for pasienter og ansatte. Utformet av Internrevisjonen Helse Sør-Øst Side 11 av 14

Systematisk og løpende oppfølging En grunnleggende svakhet ved internkontrollen i innkjøpsvirksomheten har vært mangel på systematisk og løpende oppfølging med praksis/etterlevelse av interne retningslinjer og LOA/FOA. Ingen av enhetene som har oppgaver innenfor innkjøpsvirksomheten ved Sunnaas har noen klart definert rolle knyttet til løpende overvåkning og oppfølging av styringsinformasjon for å følge opp foretakets praktisering av interne retningslinjer og LOA/FOA. Styringsinformasjon ble ikke hentet ut fra økonomi- og innkjøpssystemene som ledd i systematisk oppfølging av innkjøpsområdet. Etterlevelse av interne retningslinjer og LOA/FOA inngikk ikke som oppfølgingselementer i regi av verken økonomiavdelingen eller Intern service v/innkjøpssjefen. Regnskapsrettede kontroller i fakturabehandlingsprosessen som på en effektiv måte kunne avdekket for eksempel kjøp uten gyldig avtalegrunnlag, var heller ikke definert. Årsaker og konsekvenser Etter internrevisjonens vurdering er oversikt over risiko på området, sårbarhet i forhold til ressurser og kompetanse innenfor innkjøpsområdet og manglende systemer for å følge opp innkjøpsvirksomheten for foretaket sett under ett, de vesentligste årsakene til situasjonen. Dette gjenspeiles særlig ved at det ikke er definert tydelige målsettinger for innkjøpsvirksomheten på nivå 1 og 2 og innkjøpsaktiviteter heller ikke følges opp i månedsrapporteringen eller Ledelsens gjennomgåelse. Etter internrevisjonens vurdering er det moderat til høy risiko for fortsatte brudd på interne retningslinjer, LO/FOA. Fortsatte brudd i det omfang og av den art som er avdekket kan få uheldige/uønskede konsekvenser både for foretakets økonomi og omdømme: Ikke tilstrekkelig styring og kontroll av deler av innkjøpsvirksomheten ved Sunnaas innebærer generelt høy risiko for at det ikke oppnås korrekte priser og hentes ut rabattavtaler som er avtalt med leverandører. Dette vil i så fall svekke måloppnåelsen knyttet til gevinstrealisering som er ett av de sentrale målene i INNHØST, samtidig som det vil ha innvirkning på Sunnaas arbeid med å sikre budsjettbalanse. Ikke tilstrekkelig styring og kontroll innebærer også høy risiko for fortsatte ulovlige direkteanskaffelser. Det har ikke i tilstrekkelig grad vært fulgt opp om tiltakene har gitt ønsket effekt, og om situasjonen for foretaket som helhet har vært underlagt tilstrekkelig styring og oppfølging. For å kunne skape varige forbedringer vil det være nødvendig å se på innkjøpsvirksomheten i et helhetlig bilde, og hvor tiltaksbehovet vurderes i lys av både organisasjon, roller, ansvar/myndighet, ressurser og styrings- og oppfølgingssystemer. Konkrete anbefalinger følger av kapittel 2.4. Konklusjoner og anbefalinger Foretakets oversikt over risiko innenfor innkjøpsområdet er ikke sterk nok både i forhold til hvilken risiko som er knyttet til området, og i hvilken grad risiko kan aksepteres. Etiske retningslinjer er fastsatt og gjort tilgjengelig for foretakets ansatte, men det er ikke fulgt opp om disse er tiltrekkelig kjent og korrekt oppfattet ute i organisasjonen. Ansvars- og myndighetsfordelingen mellom Intern service v/innkjøp og avdelingene i linjen er tydelig definert og gjort tilgjengelig. Det er avdekket brudd på ansvarsfordelingen, men dette var ukjent for foretaksledelsen. Det er ikke etablert effektive systemer for oppfølging og styring av innkjøpsvirksomheten. Det er ingen systematisk bruk av styringsinformasjon for å følge opp praksis på området og det følges ikke opp om praksis er i tråd med interne retningslinjer og LOA/FOA. Målsettinger for innkjøpsvirksomheten er ikke gjennomgripende for nivå 1-3, og det foretas ikke systematiske risikovurderinger av forhold som kan hindre foretaket å nå målsettingene på området. Utformet av Internrevisjonen Helse Sør-Øst Side 12 av 14

Tilstanden for området sett under ett, er ikke tilfredsstillende. Det bør settes inn tiltak for å styrke den interne kontrollen. For å skape varige forbedringer på området vil internrevisjonen understreke betydningen av at foretaket fokuserer på systemene og tiltak rettet inn mot disse. De enkelte konkrete funn (feil, mangler avdekket i testingen) anbefales lukket parallelt som det arbeides med systemforbedringer. Det er viktig at dette skjer som ledd i en helhetsvurdering av hele leverandørporteføljen. For å styrke internkontrollsystemet som omgir innkjøpsvirksomheten, anbefaler internrevisjonen at: Foretaksledelsens fokuserer sterkere på innkjøpsvirksomheten gjennom å innta området i sin løpende oppfølging av foretaket. Det anbefales at det settes tydeligere mål for innkjøpsvirksomheten og utarbeides en klar plan for implementering av fakturabehandlingssystem og e-handelssystem som foretaket allerede har besluttet å ta i bruk. Planen må understøttes med tilstrekkelige ressurser som gjør det mulig å sikre en vellykket overgang fra manuelle løsninger til elektroniske. Resultater bør rapporteres og følges opp som ledd i de etablerte styringssystemene i foretaket (månedsrapportering og LGG). Som ledd i dette arbeidet anbefales det at foretaksledelsen sørger for å implementere systematiske risikovurderinger som integrert del i sin styring og oppfølging av foretaket. Den overordnede organiseringen av innkjøpsvirksomheten bør gjennomgås og vurderes med hensyn til grensesnittet mellom Intern service og økonomiavdelingen. Det anbefales en særskilt vurdering av hvordan regnskapsfunksjonen, som gjennom fakturabehandlingsprosessen har et unikt innsyn i vareflyten, bør legge opp sin kontroll slik at de på en best mulig måte kan understøtte en effektiv monitorering av innkjøpsvirksomheten. Fullmaktsstruktur og enhetlig forståelse og utøvelse av denne bør inngå som ledd i videreutviklingen av fakturabehandlingssystemet. Utformet av Internrevisjonen Helse Sør-Øst Side 13 av 14

3 Vedlegg 3.1 Informasjonsgrunnlag Dokumentasjon fra 2004-revisjonen (styresaker, handlingsplaner, statusrapporter m.v.) Avtaleoversikter Interne retningslinjer, prosedyrer, rutiner for innkjøp (både for anskaffelser etter LOA/FOA og for avrop på avtaler, herunder også etiske retningslinjer) Interne retningslinjer, prosedyrer, rutiner for fakturabehandling (herunder varemottak, attestasjon og anvisning) Interne retningslinjer, prosedyrer, rutiner for journalføring/arkiv Fullmaktsoversikter Kontoplan Leverandøroversikter Reskontro/regnskapsdata for 2006 3.2 Deltakere Administrerende direktør Einar Magnus Strand Økonomidirektør Torbjørn J. Gravås Avdelingssjef Intern service Inger Nitteberg Innkjøpssjef Lennart Carlsson Assisterende leder Ligonja Ekrem Arkivleder Jørgen Hobbel Prosjektleder Inge Skullerud Daglig leder TRS Per Frydenborg Avdelingssjef Forskning Johan Stanghelle Ass. avdelingssjef Forskning Julia Ferkis Konsulent Forskning Anette Juelsen Leder Husøkonomenhet Astrid Holum Næss Kvalitetsleder Gøril Otterlei 3.3 Saksgang og rapportbehandling Saksgang Mottaker Dato Utsendelse av rapportutkast Administrerende direktør Einar Magnus Strand 05.10.07 Tilbakemelding fra Sunnaas på Internrevisjonen Helse Sør-Øst 08.10.07 utkastet Endelig revisjonsrapport til besvarelse og styrebehandling Administrerende direktør Einar Magnus Strand Kopi til: Styreleder Sunnaas sykehus HF Peder Olsen Administrerende direktør Helse Sør-Øst RHF Bente Mikkelsen Orientering til KK Helse Sør-Øst RHF Kontrollkomiteen Helse Sør-Øst RHF Orientering til styret Helse Sør-Øst Styret Helse Sør-Øst RHF RHF 08.10.07 Bes styrebehandlet 22.10.07 Utformet av Internrevisjonen Helse Sør-Øst Side 14 av 14