Rapport Revisjon av innkjøpsvirksomheten Aker universitetssykehus HF

Rapport Revisjon av innkjøpsvirksomheten Aker universitetssykehus HF Internrevisjonen Helse Sør-Øst 07.11.2007

Rapport nr. 7/2007 Revisjonsperiode April-juni 2007 Virksomhet Rapportmottaker Kopi (av endelig rapport) Rapportavsender Oppdragsgiver Revisor Aker universitetssykehus HF Administrerende direktør Aker universitetssykehus HF Administrerende direktør Helse Sør-Øst RHF Styreleder Aker universitetssykehus HF Kontrollkomiteen Helse Sør-Øst RHF Internrevisjonen Helse Sør-Øst Styret i Helse Sør-Øst RHF Karl-Helge Storhaug Liv Todnem Ingunn Dahlberg Geir Larsen Atle Brobakken Innhold 1 Innledning...3 1.1 Bakgrunn, formål og målsettinger...3 1.2 Metode, omfang og avgrensning...3 1.3 Vurderingskriterier...4 2 Resultatet fra revisjonen...5 2.1 Oppsummering av sentrale funn...5 2.2 Bekreftelse av tiltak iverksatt etter 2004-revisjonen...6 2.3 Etterlevelse av interne retningslinjer, lov- og regelverk...7 2.4 Internkontroll i innkjøpsvirksomheten...10 3 Vedlegg...16 3.1 Informasjonsgrunnlag...16 3.2 Deltakere...16 3.3 Saksgang og rapportbehandling...16 Utformet av Internrevisjonen Helse Sør-Øst Side 2 av 16

1 Innledning 1.1 Bakgrunn, formål og målsettinger Internrevisjonen Helse Sør-Øst har i tråd med revisjonsplan for 2006/2007 revidert innkjøpsvirksomheten ved Aker universitetssykehus HF (AUS). Gjennomgangen fant sted i tiden fra 13. april til 1. juni 2007, og ble utført av Ingunn Dahlberg, Liv Todnem, Geir Larsen, Atle Brobakken og Karl-Helge Storhaug. Formålet med revisjonen har vært å se etter om AUS har etablert og gjennomfører en tilstrekkelig og effektiv internkontroll for innkjøps- og fakturabehandlingsområdet (herunder avtaleforvaltning og arkiv). Revisjonsmålsetningene, fastsatt på bakgrunn av en overordnet risikovurdering av innkjøpsområdet, har vært følgende: 1 Internrevisjonen skal bekrefte om AUS har satt i verk tiltak i tråd med anbefalingene gitt etter revisjon av anskaffelser og fullmakter i 2004, og om disse virker som forutsatt. 2 Internrevisjonen skal vurdere om den interne kontrollen som AUS har etablert for å sikre styring og oppfølging med innkjøpsvirksomheten, er tilstrekkelig, hensiktsmessig og effektiv, slik at foretaket med rimelig sikkerhet etterlever lover, forskrifter, intern regelverk, retningslinjer og rutiner på området, samt oppnår egne og regionale målsetninger for innkjøpsvirksomheten. AUS ledelse og de personer som internrevisjonen har hatt kontakt med i under revisjonen, har gjennom god og åpen kommunikasjon bidratt til å belyse den faktiske situasjon for innkjøpsvirksomheten. Internrevisjonens kontaktpersoner har bidratt vesentlig til effektiv gjennomføring gjennom koordinering av informasjonsinnsamling og møteplanlegging. 1.2 Metode, omfang og avgrensning Gjennomgangen har vært basert på dokumentstudier, informasjon fra kartlegging rettet mot alle divisjonsdirektører og avdelingssjefer og samtaler med ledere og nøkkelpersoner (se kapittel 3 for oversikt), samt testing av grunnlagsdokumentasjon. Testingen har omfattet til sammen 73 anskaffelser fra 72 leverandører som AUS har kjøpt varer og tjenester fra i perioden 1.1.2006 1.3.2007. Nærmere detaljer om utvalget følger av kapittel 2.3. Testingen har i tillegg omfattet til sammen 82 fakturaer som er gjennomgått for å bekrefte om fakturabehandlingsprosessen i tilstrekkelig grad understøtter målet om gyldige og korrekte fakturaer i regnskapet. Av disse var 19 fakturaer fra utvidet test rettet mot eiendomsdrift. Nærmere detaljer følger av kapittel 2.3. Gjennomgangen har videre omfattet en kartlegging og vurdering av AUS overordnede organisering, styring og oppfølging av virksomheten innenfor innkjøps- og fakturabehandlingsområdet. Den har også omfattet kartlegging og vurdering av måten AUS planlegger, gjennomfører, dokumenter og følger opp anskaffelsesprosesser etter lov og forskrift om offentlige anskaffelser (LOA/FOA) på og hvordan avrop på avtaler gjennomføres og dokumenteres. I tillegg har gjennomgangen omfattet kartlegging og vurdering av de deler av fakturabehandlingsprosessen som gjelder attestasjons- og anvisningsrutiner, samt manuelle kontroller som gjøres i regnskapsseksjonen før bokføring og utbetaling av fakturaer. Til slutt har gjennomgangen omfattet en Utformet av Internrevisjonen Helse Sør-Øst Side 3 av 16

kartlegging av AUS praksis knyttet til å dokumentering og oppbevaring av anskaffelsesdokumentasjon og avtaler. Relevante observasjoner som har vesentlig betydning for å kunne besvare revisjonsmålsetningene, er gjennomgått i møter sammen med berørte ledere. Revisjonen har ikke omfattet bekreftelse av rutiner for vareleveranser og uttak fra lager. Den har heller ikke omfattet konkrete handlinger innrettet mot å kartlegge eventuelle uregelmessigheter eller misligheter. 1.3 Vurderingskriterier Kriterier for å vurdere internkontrollen i innkjøpsvirksomheten bygger på anerkjente rammeverk for internkontroll, slik dette gjenspeiles i krav til internkontroll nedfelt i Forskrift om internkontroll i sosialog helsetjenesten av 20.12.2002 (internkontrollforskriften). Et godt internkontrollsystem forutsetter at helseforetaket sørger for: Et effektivt internt miljø (kontrollmiljø) Et effektivt internt miljø kjennetegnes ved at ledere og ansatte har risikobevissthet og at det er fastsatt og kommunisert etiske retningslinjer som beskriver krav/forventninger til atferd hos foretakets ansatte som arbeider med innkjøpsvirksomhet. Videre kjennetegnes det ved at organiseringen av oppgavene er hensiktsmessig og at ansvars- og myndighetsfordeling innenfor innkjøpsområdet er tydelig definert og kommunisert. Risikovurderinger At det er fastsatt tydelige målsettinger på lang/mellomlang og årlig basis som er dekkende i forhold til det overordnede formål med innkjøpsvirksomheten, samt at det gjennomføres prosesser for å kartlegge, vurdere og håndtere risikoforhold som kan hindre foretaket å nå målsettingene. Tilstrekkelige og hensiktmessige tiltak for å ha styring og kontroll Det må være utformet og satt i verk tilstrekkelige tiltak som på en hensiktsmessig og effektiv måte bidrar til å forebygge, forhindre og avdekke situasjoner/hendelser som truer målsettingene som er satt for innkjøpsvirksomheten. Systematisk og løpende oppfølging Innkjøpsvirksomheten må løpende følges opp for å sørge for at denne gjennomføres som forutsatt og at eventuell uønsket praksis avdekkes og korrigeres. Informasjon og kommunikasjon Informasjon om mål og virkemidler må løpende kommuniseres på tvers av foretaket slik at ledere og nøkkelpersoner har til enhver tid har grunnlag for å kunne utføre de arbeidsoppgavene de har ansvar for i innkjøpsvirksomheten. Foretaket må ha systemer som sikrer at pålitelig styringsinformasjon kan hentes ut og nyttes som del av styring og oppfølging av området. Utformet av Internrevisjonen Helse Sør-Øst Side 4 av 16

2 Resultatet fra revisjonen 2.1 Oppsummering av sentrale funn Internrevisjonens gjennomgang av innkjøpsvirksomheten ved AUS har hatt til formål å bekrefte om tiltak etter 2004-revisjonen er satt i verk i tråd med styrets vedtak, og om tiltakene har virket etter sin hensikt. Videre har formålet vært å kartlegge og vurdere om den interne kontrollen for innkjøpsarbeidet for foretaket sett under ett, herunder anskaffelsesprosessene og de deler av fakturabehandlingen som er knyttet til attestasjon og anvisning, er tilstrekkelig, hensiktsmessig og effektiv. Gjennomgangen viste at tiltakene som styret besluttet etter 2004-revisjonen var nedfelt i plan, og at de i hovedsak er iverksatt. Testing av anskaffelsesdokumentasjon, avtaler og fakturaer viste at det i utvalgsperioden har vært flere brudd på interne retningslinjer/rutiner og LOA/FOA. Etter internrevisjonens vurdering har tiltakene fra 2004-revisjonen ikke gitt de forbedringer innenfor innkjøps- og fakturabehandlingsvirksomheten som var forutsatt. Gjennomgangen viste at innkjøpsavdelingen var rustet opp siden revisjonen i 2004, og at det er igangsatt et målrettet arbeid for å styrke styring og kontroll på innkjøpsområdet bl.a. gjennom utrulling av elektronisk innkjøpssystem. Isolert sett var innkjøpsprosesser gjennomført av innkjøpsavdelingen godt dokumentert og i henhold til bestemmelsene i LOA/FOA. Gjennomgangen viste imidlertid at det samlede internkontrollopplegget for innkjøps- og fakturabehandlingsområdet for foretaket som helhet, har flere svakheter både i form av ikke sterk nok risikobevissthet hos ledere og ansatte, manglende oppfølging av etiske retningslinjer og ikke sterk nok styring og oppfølging av innkjøpsvirksomheten for foretaket sett under ett. Disse svakhetene knytter seg ikke først og fremst til innkjøpsavdelingen, men derimot til linjeorganisasjonens etterlevelse og oppfølging på området. Dette er de viktigste årsakene til at det fremdeles oppstår brudd på interne retningslinjer og LOA/FOA. Situasjonen er etter internrevisjonens vurdering ikke tilfredsstillende og det bør settes inn tiltak på flere nivåer for å styrke den interne kontrollen. Utformet av Internrevisjonen Helse Sør-Øst Side 5 av 16

2.2 Bekreftelse av tiltak iverksatt etter 2004-revisjonen Bakgrunn I revisjonen fra 2004 ble det avdekket flere brudd på LOA/FOA og arkivlov/arkivforskrift. Det ble også påpekt enkelte svakheter i internkontrollsystemet. Anbefalingene som ble gitt i revisjonsrapporten ble behandlet av styret i sak 73-2004. Handlingsplan ble fremlagt i styresaken. Styrets enstemmige vedtak var: 1. Styret tar den endelige revisjonsrapporten til etterretning og tiltakene som er iverksatt til etterretning. 2. Styret forutsetter at de avvik som er påvist lukkes på en fullt ut tilfredsstillende måte og ønsker ny statusrapport til neste styremøte. 3. Styret ber administrasjonen forsikre seg om at sykehusets interne kvalitets- og internkontrollsystem er i samsvar med de krav som stilles. 4. Styret bes seg forelagt en ny sak etter revisors detaljtesting. 5. Styret ønsker seg forelagt strategi på innkjøpsområdet med forslag til nøkkeltall. Handlingsplanen ble fremlagt for styret 20.9.2004 (sak 083-2004), og i denne var det nedfelt ansvar og frister for gjennomføring av tiltakene. Tiltakene omfattet innkjøpsrutiner og gjennomføringen av disse, herunder stikkprøvekontroll på gjennomføring. I tillegg omfattet tiltakene fullmaktsrutiner og omposteringer. I administrerende direktørs konklusjon i saken fremgikk også tiltak rettet mot intern innkjøpsstrategi, samt en ny revisjon med detaljtesting av innkjøp for en bestemt periode. Styrets enstemmige vedtak var: Styret tar den forslåtte handlingsplanen for innkjøpsområdet til etterretning. I 2005 ble det gjennomført en ny revisjon av utlyste innkjøp for perioden august desember 2004 i foretaket. Revisjonen omfattet kun innkjøpsprosesser som var gjennomført av innkjøpsavdelingen og ikke i foretaket for øvrig. Resultatet av denne revisjonen ble behandlet i styret 28.2.2005 (sak 014-2005), samtidig med oppfølging av handlingsplan for forrige revisjon. Handlingsplanen ble rapportert gjennomført for 11 av 25 tiltak, igangsatt for 8 og forsinket/ikke gjennomført for 6 tiltak. Konklusjonen fra ny revisjon var at eksternt og internt regelverk for utlysningene i perioden (innkjøpsavdelingen) var overholdt og at det ble vurdert at økt satsning på håndhevelse av innkjøpsreglementet hadde gitt resultater. Anbefalingene fra denne revisjonen var ikke spesifikt koblet mot handlingsplanen fra revisjonen i 2004, men ville, slik saken ble fremstilt, bli benyttet i dette arbeidet. I saken fremgikk det videre at statusrapport, aktivitetsoversikt og plan for å lukke eventuelle avvik, ville bli fremlagt for styret i løpet av våren 2005. Styrets enstemmige vedtak var: Styret tar statusrapporten og resultatet av revisors gjennomgang til etterretning. Videre oppfølging av innkjøpsområdet ble lagt til strategiplan for innkjøp og forsyning 2006-2008, styresak 004-2006. Strategiplanen er foretakets verktøy for å lukke alle tidligere avvik, samt utvikle foretakets innkjøpsfunksjoner i tråd med strategiplanen for området i Helse Øst. Utformet av Internrevisjonen Helse Sør-Øst Side 6 av 16

I driftsorientering i styremøte mars 2007 og senest i mai har styret blitt ytterligere informert om status strategiplan innkjøp og logistikk. Resultat fra gjennomgangen Handlingsplanen som ble fremlagt i styremøte 20.9.2004 omfattet flere tiltak som ved ny revisjon i februar 2005 ikke var gjennomført. AUS har i gjennomgangen vist til at de gjenstående tiltakene skal løses gjennom arbeidet med strategisk plan for innkjøp og logistikk Når det gjelder spørsmålet om tiltakene har virket som forutsatt, har internrevisjonen ikke funnet det hensiktsmessig å foreta en inngående vurdering av dette. Resultatet fra kartleggingen av internkontrollsystemet sett i en helhet (jf. kapittel 2.4) og internrevisjonens testing av avtaler og fakturaer (jf. kapittel 2.3), har vist at det fremdeles oppstår samme type brudd på interne retningslinjer og LOA/FOA som ble avdekket i revisjonen fra 2004. I tillegg er det konstatert at det ikke er etablert oppfølgingssystemer for innkjøpsvirksomheten ved foretaket. Etter dette har tiltakene som er etablert innenfor handlingsplanen fra 2004-revisjonen isolert sett ikke vært tilstrekkelige for å oppnå en helhetlig styring og oppfølging av foretakets innkjøpsvirksomhet sett under ett. Tiltakene som foretaket er i ferd med å implementere som ledd i den strategiske plan for innkjøp og logistikk, kan imidlertid forventes å dekke opp for dette. Konklusjon Tiltakene etter revisjonen fra 2004 var i hovedsak gjennomført på tidspunktet for denne revisjonen Resterende tiltak løses gjennom implementering av strategisk plan for innkjøp og logistikk 2.3 Etterlevelse av interne retningslinjer, lov- og regelverk Bakgrunn For å kunne bekrefte tilstanden for internkontrollen i systemer og rutiner, har internrevisjonen foretatt testing av AUS sin etterlevelse av: Regelverk for offentlige anskaffelser Rammeavtaler (herunder avropsbestemmelser) Fakturabehandlingsrutiner (avgrenset til rutiner for varemottak, attestasjon og anvisning) Testene har primært omfattet kostnadsarter innenfor Eiendom, herunder diverse bygningsmessige arbeider og konsulenter, IKT, herunder service- og vedlikehold, Medisiner, Laboratorierekvisita, Annet medisinsk rekvisita og forbruksmateriell, Innleid helsepersonell og Leie lokaler. Testgrunnlaget har omfattet 73 anskaffelser fra 72 leverandører. (Tilsvarende ble det undersøkt 71 anskaffelser i 2004.) For 9 av leverandørene gjaldt innkjøpene medisiner, mens 5 gjaldt leie av lokaler. Disse innkjøpene faller utenfor reglene i LOA/FOA, og er derfor kun testet opp mot fakturabehandlingsrutinene. AUS hadde på tidspunktet for gjennomføringen av revisjonen totalt 6309 aktive leverandører, hvorav 627 var nyopprettet i 2007. Tilsvarende tall fra 2004-revisjonen er ikke oppgitt, men det er på det rene at AUS har et vesentlig høyere antall aktive leverandører i sitt økonomisystem enn andre sammenlignbare helseforetak som er revidert av internrevisjonen i 2007. Utformet av Internrevisjonen Helse Sør-Øst Side 7 av 16

Nærmere om fakturatestingen AUS har manuell fakturabehandling. Testen har omfattet til sammen 82 fakturaer som ble gjennomgått for å bekrefte om fakturabehandlingsprosessen i tilstrekkelig grad understøttet målet om gyldige og korrekte fakturaer i regnskapet. Av disse var 19 fakturaer fra utvidet test rettet mot eiendomsforvaltningen. Det er vist til spesifikke funn i fakturatestingen når det gjelder avtaleetterlevelse som ledd i beskrivelsen av øvrige tester opp mot LOA/FOA. Nærmere om test av innkjøp relatert til kjernevirksomheten Test av innkjøpsprosesser og fakturabehandlingsrutiner er foretatt fra et utvalg leverandører som har levert varer og tjenester til Eiendomsdivisjonen, Kirurgisk klinikk, Medisinsk klinikk og Klinikk for rus og avhengighet. Utvalg av anskaffelser og fakturaer er hentet fra regnskapsperioden 2006 mars 2007. Resultat fra testingen Laboratorierekvisita Medisinsk service Testen omfattet 5 leverandører som spesielt var knyttet til ulike typer analysesystem, maskiner og reagenser. For 1 av leverandørene var volumet i 2006 > kr 1,7 mill, mens volum for 4 av leverandørene var > kr 500 tusen. Testen viste: 1 tilfelle hvor det var inngått avtale uten konkurranse 1 tilfelle hvor det var anskaffet forbruksmateriell (reagenser til eksisterende maskiner) som ikke var omfattet av regional avtale og hvor det heller ikke var gjennomført anskaffelsesprosess i henhold til LOA/FOA 2 tilfeller hvor anskaffelsesprosedyre ikke var tilstrekkelig begrunnet i protokoll 1 tilfelle hvor det var anskaffet varer for et vesentlig høyere beløp enn avtalen åpnet for 1 tilfelle hvor det ikke forelå signert avtale og heller ikke informasjon om avtalepriser 1 tilfelle hvor det ikke forelå avtale eller var gjennomført anskaffelsesprosess i henhold til reglene i LOA/FOA Medikamenter Ved analyse av kostnadsarten Medikamenter ble det fokusert på metadon og subutex. Dette fordi Aker har et nasjonalt og regionsenter for legemiddelassistert avvenning. Innkjøp av denne typen legemidler er unntatt LOA/FOA og de valgte leverandørene for test i revisjonen ble derfor ikke vurdert i forhold til LOA/FOA. Gjennomgangen viste at fakturaer fra leverandørene av disse medisinene ble sendt direkte til klinikken, og ikke til regnskapsavdelingen for ankomstregistrering slik fakturabehandlingsrutinene nedfeller. AUS har redegjort for at dette er et unntak fra gjeldende praksis for fakturamottak som skyldes at disse fakturaene har vedlegg med sensitive personopplysninger som krever spesiell arkivering. Medisinsk rekvisita og andre medisinske forbruksvarer Testen omfattet 11 leverandører, hvorav volumet i 2006 for 4 leverandører var > 1,7 mill kr. For de 6 øvrige leverandørene var volumet i 2006 > kr 500 000. For èn leverandør er volum > kr 100 < kr 500 tusen. Testen viste: 2 tilfeller hvor det var inngått avtaler uten at anskaffelsesprosess var dokumentert 2 tilfeller hvor innkjøpte varer ikke var henførbare til avtalen som var inngått med leverandøren Utformet av Internrevisjonen Helse Sør-Øst Side 8 av 16

4 tilfeller hvor det både forelå lokale avtaler og regionale avtaler, og hvor det ikke var mulig å identifisere hvilken avtale det var gjort avrop fra 6 tilfeller (2 tilfeller for ulike 3 leverandører) hvor det var kjøpt varer som ikke var henførbar til lokal avtale 5 tilfeller hvor det ikke forelå dokumentasjon på at anskaffelsesprosess var gjennomført i tråd med regelverket Innleid helsepersonell Testen omfattet 11 leverandører hvor fakturaene var bokført på kostnadsart 4585 Innleid helsepersonell i 2006. Fakturatesten viste at det var kostnadsført både innleie av leger, sykepleiere og merkantilt personell på arten, noe som etter internrevisjonens vurdering er uhensiktsmessig for å sikre tilstrekkelig detaljert styringsinformasjon. For 5 av de testede leverandørene var det omsatt for > kr 1,7 mill i 2006 og for de øvrige var omsetningsvolumet > kr 500 tusen. Testen viste: 1 tilfelle hvor avtale/prolongering av avtale var dokumentert 5 tilfeller hvor det var innleid helsepersonell uten at det var inngått avtale og hvor det ikke forelå grunnlag for å kontrollere fakturabetingelser Eiendom Testen omfattet 11 leverandører hvor det for 4 av disse var et samlet volum > kr 1,7 mill kroner i 2006, 6 leverandører med samlet volum i samme periode > kr 500 tusen og 1 leverandør > kr 100 tusen < kr 500 tusen. Ytterligere 5 av de utvalgte leverandørene var relatert til kostnadsarten leie av lokaler. Disse har ikke vært omfattet av test opp mot LOA/FOA og er kun testet opp mot fakturabehandlingsrutinene. Testen viste: 3 tilfeller hvor det var anskaffet konsulenttjenester fra leverandører uten avtale 2 tilfelle hvor det forelå gamle avtaler hvor oppdragene skulle vært sluttført henholdsvis i 2002 og 2003, men hvor anskaffelsen var gjort i 2006 med henvisning til disse avtalene 3 tilfeller hvor fakturaer i reskontro fremsto som om de var betalt flere ganger og hvor det ikke ble dokumentert om dette skyldes et regnskapsteknisk forhold, eller om det var reelle dobbelbetalinger På bakgrunn av kartlegging av internkontrollrutiner i eiendomsavdelingen, ble det i tillegg foretatt en utvidet fakturatest (19 stk) her. Hensikten var å undersøke om det var tilfredsstillende intern kontroll i fakturabehandlingen. Gjennomgangen viste at 18 av fakturaene var kontrollert av kun en person og at samme person både kunne bestille varer/tjenester og godkjenne faktura for samme oppdrag. Service og vedlikehold IKT Det ble valgt ut 11 leverandører for test. For 9 av disse var innkjøpsvolumet for 2006 > kr 500 tusen. For 2 leverandører var volumet mellom kr 100 000 og 500 000. Testen viste: 1 tilfelle hvor det var inngått vedlikeholdsavtale uten dokumentasjon på gjennomført konkurranse 3 tilfelle hvor fremlagte avtaler ikke var komplette (bl.a. ikke mulig å stadfeste varighet) 1 tilfelle hvor det var foretatt direkteanskaffelse som ikke var dokumentert/begrunnet Generelt om fakturatestingen Utformet av Internrevisjonen Helse Sør-Øst Side 9 av 16

Resultatene av disse testene viste at fakturaer gjennomgående kun ble attestert ute hos de budsjettansvarlige før innsendelse til regnskapsavdelingen for bokføring og utbetaling. Anvisningskontrollen som utføres av regnskapsleder var i realiteten kun godkjenning av utbetaling. AUS praksis tilfredsstiller ikke anerkjente internkontrollprinsipper for fakturabehandlingen, som forutsetter reell kontroll med at bestilling og attestasjon utføres av to ulike personer før den autoriseres for bokføring og utbetaling. Gjennomgangen viste også at det kan forekomme avvik i forhold til produkt, priser og rabatter som ikke fanges opp i fakturakontrollen ute i enhetene og som heller ikke regnskapsavdelingen kan fange opp gjennom manuelle kontrollrutiner. Konklusjon På bakgrunn av testene av anskaffelses- og fakturabehandlingsprosessene, konkluderes det med at omfanget av brudd på interne retningslinjer og LOA/FOA ikke er mindre i dag enn i 2004. Tiltakene etter revisjonen i 2004 har ikke gitt forventet effekt, og internkontrollsystemet som omgir innkjøpsvirksomheten ved foretaket er ikke tilstrekkelig da det bl.a. ikke har klart å fange opp brudd på interne retningslinjer og LOA/FOA. 2.4 Internkontroll i innkjøpsvirksomheten Bakgrunn For å bidra til varige forbedringer i den interne kontrollen som omgir innkjøpsvirksomheten ved AUS, har internrevisjonen foretatt en kartlegging og vurdering av internkontrollsystemet som omgir innkjøpsvirksomheten ved foretaket. Gjennomgangen er konsentrert rundt de kriterier som er omtalt i rapportens kapittel 1.3. Resultat fra gjennomgangen Internt miljø Risikobevissthet og etiske retningslinjer Gjennomgangen viste at bevisstheten om risiko knyttet til innkjøpsvirksomheten varierte. For innkjøpsavdelingen var den generelt sterk, noe som bl.a. gjenspeilte seg i de interne planene utformet for å anskaffe og implementere elektronisk innkjøpssystem. For foretaksledelsen var den klart svakere. Gjennomgangen viste at flere av svakhetene som internrevisjonen identifiserte ved gjennomgangen allerede var kjent internt i foretaket, men at det likevel ikke var tilstrekkelig bevissthet om hvilke konsekvenser dette kunne ha i form av brudd på lov- og regelverk. De etiske retningslinjene var gjort tilgjengelig for foretakets ansatte gjennom foretakets kvalitetssystem. Retningslinjene hadde imidlertid ikke vært gjennomgått i ledelsesmøter/ avdelingsmøter ved alle avdelinger. Gjennomgangen viste også at det ikke var systemer og rutiner som kunne bidra til å sikre oppfølging av om retningslinjene etterleves. Kartlegging av bierverv ble iverksatt i 2005 i tråd pålegg fra Helse Øst RHF. Etter gjennomført kartlegging var det etablert prosedyre for oppfølging av bierverv. Etter disse skal foretaket følge opp biervervsreglene gjennom medarbeidersamtaler og ved nyansettelser. Det ble ikke fremlagt dokumentasjon på at det var foretatt særskilt oppfølging av dette etter 2005. Utformet av Internrevisjonen Helse Sør-Øst Side 10 av 16

Organisering, ansvars- og myndighetsfordeling AUS har organisert innkjøpsvirksomheten etter en linje-/stabsmodell, hvor innkjøpsbeslutningen følger budsjettansvaret i linjen. Innkjøpsavdelingen hadde et klart definert ansvar for å lede anskaffelsesprosesser for alle kjøp over kr 100 000, Gjennomgangen viste at det var flere svakheter ved foretakets organisering og ansvars- og myndighetsfordeling innenfor innkjøpsvirksomheten. Selv om ansvars- og myndighetsfordelingen mellom innkjøpsavdelingen og linjeenhetene var klart definert og kommunisert ut i organisasjonen, viste gjennomgangen at avdelinger som var omfattet av revisjonen, helt eller delvis var gitt anledning til selv å gjennomføre innkjøpsprosesser uten ledelse fra innkjøpsavdelingen. For flere av disse tilfellene ble det avdekket brudd på bestemmelsene i LOA/FOA. Gjennomgangen viste imidlertid at anskaffelsesprosesser som var planlagt, gjennomført og fulgt opp av innkjøpsavdelingen, gjennomgående hadde vært tilfredsstillende ivaretatt. Risikovurderinger Overordnede mål for innkjøpsvirksomheten er nedfelt i Strategisk plan for innkjøp i Helse Øst 2007-10. Planen er tiltrådt av AUS i styremøte pr desember 06. Gjennomgangen viste at innkjøpsavdelingen hadde fokus på å utvikle strukturer og systemer for innkjøpsvirksomheten som gjør det mulig å effektivisere innkjøpsprosessene og samtidig sikre sterkere styring og kontroll med dette arbeidet. Gjennomgangen viste at det var utarbeidet og besluttet klare planer for innføring av elektronisk innkjøpssystem, herunder planer for utrulling av slik løsning i foretaket som helhet. For denne delen av virksomheten var risikofokuset generelt god. Når det derimot gjelder den løpende driften av innkjøpsområdet, viste gjennomgangen at det ikke foretas systematiske vurderinger av risiko for manglende etterlevelse av interne retningslinjer og LOA/FOA, svak kostnadseffektivitet og manglende måloppnåelse for innkjøpsvirksomheten. Det var heller ingen form for avviksregistrering knyttet til etterlevelse av eksternt og internt regelverk eller prosedyrer for fakturabehandling. Gjennomgangen viste også at foretakets ledelse hadde en begrenset oversikt over brudd på retningslinjer og lovverk innenfor innkjøpsvirksomheten, og det ikke var spesiell oppmerksomhet om hvilken risiko som foretaket er eksponert for og i hvilken grad risiko kan aksepteres. Tiltak for å ha styring og kontroll Retningslinjer, prosedyrer og rutiner Gjennomgangen av tiltak for å sikre styring og kontroll med innkjøpsvirksomheten, viste at det var utarbeidet retningslinjer og rutiner. Disse var gjort tilgjengelig for avdelingene, men gjennomgangen viste flere tilfeller hvor innholdet enten ikke var kjent eller forstått. Fullmakter Foretakets økonomiske fullmakter var klart definert og i samsvar med vedtatt fullmaktsstruktur. Alle som er tildelt budsjettansvar fremkommer i kontoplan som er tilgjengelig på foretakets intranett. Ansvar for vedlikehold av disse oversiktene er lagt til Økonomiavdelingens regnskapsseksjon. Økonomiske fullmakter delegeres fra klinikksjef (nivå 2) ved å benytte fastsatt skjema, og hvor det fremkommer hvilken økonomisk fullmakt som delegeres. Fullmaktene er beløpsavgrenset og oversikt over budsjettansvarlige med delegerte beløpsgrenser legges inn i foretakets Utformet av Internrevisjonen Helse Sør-Øst Side 11 av 16

økonomisystem Agresso, og fakturaer som ikke er signert av den bemyndigede person skal da bli avvist og sendt ut for ny godkjenning på neste nivå. De samme fullmaktene legges også inn i innkjøpssystemet (Clockwork), og styrer således alle innkjøp over e-handel. Ansvar for vedlikehold av fullmaktene i dette systemet er lagt til Økonomiavdelingens innkjøpsseksjon. Gjennomgangen viste også at det var etablert rutiner for å opprette og vedlikeholde fullmaktene. Fakturabehandling og E-handel AUS har manuell fakturabehandling. Gjennomgangen viste at alle fakturaer for foretaket skulle ha vært sendt til regnskapsavdelingen for ankomstregistrering og forhåndskontering før utsendelse til attestasjon. En av avdelingene som var omfattet av revisjonen, fikk fakturaer sendt direkte til egen avdeling. I følge foretaket er dette et unntak som er besluttet av spesielle arkiveringshensyn. Bilagstestingen bekreftet at det praktiseres et arbeidsdelingsprinsipp som innebærer krav om kun èn signatur (den budsjettansvarliges) på faktura før disse går til regnskapsavdelingen for bokføring og anvisning for utbetaling. I henhold til foretakets rutiner, skal rekvisisjon/bestilling og faktura ikke signeres av samme person, noe som er i samsvar med grunnleggende prinsipper om arbeidsdeling i innkjøps- og fakturabehandlingsprosessen. Gjennomgangen viste imidlertid at det ikke var etablert hensiktsmessige kompenserende kontroller i regnskapsavdelingen som kunne fange opp at ikke samme person både bestillervarer/tjenester og samtidig godkjenner fakturaer. I praksis er det derfor mulig for samme person å både bestille varer/tjenester og godkjenne faktura for samme kjøp. Det var heller ikke etablert kontrollrutiner for å sikre kontroll av fakturaer opp mot gyldig avtalegrunnlag. Gjennomgangen viste at dette var forutsatt utført ved attestasjon ute i avdelingene og at dette også skulle vært bekreftet utført på fakturaene. Fordi attestantene i mange tilfeller ikke har tilgang på avtalegrunnlaget, er slik kontroll i disse tilfellene ikke mulig å utføre. En generell grunnleggende svakhet ved et manuelt system er at det ikke kan ivareta nøkkelkontroller i behandlingskjeden på en effektiv måte. Eksempler på dette er fullmaktstildelinger og kontroll av at bestillere, attestanter og anvisere har nødvendige fullmakter, samt at det er kobling mellom avtalegrunnlag og inngående fakturer. Gjennomgangen viste at AUS, som del av strategisk plan for innkjøp, hadde iverksatt implementering av e-handelsløsning. Fordi en rekke kontrollhandlinger som i dag må utføres manuelt, kan ivaretas gjennom programmerte rutiner i et e-handelssystem, er implementering av et slikt system som integrert del av foretakets økonomisystem, en viktig forutsetning for effektive innkjøp og god styring og kontroll. En forutsetning for å oppnå full effekt er imidlertid at e-handelsog fakturabehandlingssystemene er fullintegrerte i økonomisystemet. Som ledd i arbeidet med å realisere de overordnende målsetningene for innkjøpsområdet, burde AUS snarest vurdere å innføre et elektronisk fakturabehandlingssystem som sammen med det elektroniske innkjøpssystemet (Clockwork) fullintegreres i økonomisystemet. Dette er etter internrevisjonens vurdering av avgjørende betydning for at AUS skal kunne realisere de strategiske målsetninger som er satt for innkjøp/forsyning. Utformet av Internrevisjonen Helse Sør-Øst Side 12 av 16

Avtaledekning For områdene som var valgt ut for test var det i varierende grad etablert avtaler. Testene viste at det innenfor flere områder var avtaler som var prolongert over lengre tid (over 4 år) uten at det var gitt tilfredsstillende begrunnelse for dette. Videre var det flere tilfeller hvor avtaler var inngått på bakgrunn av direkte kjøp uten tilfredsstillende begrunnelse for anvendelse av hjemmel for dette. Det var også tilfeller hvor det ble kjøpt varer fra leverandører som det var etablert avtale med, men hvor de innkjøpte varene ikke lå innenfor avtalens omfang. For de kjøp som ikke er gjennomført i henhold til LOA/FOA er det viktig at et avvikssystem ivaretar tiltak for forbedringer enten spesifikt for hvert enkelt avvik og/eller i et systemperspektiv. Gjennomgangen viste at det ikke var etablert slikt system for innkjøpsområdet. Systematisk og løpende oppfølging Gjennomgangen viste at verken innkjøpsavdelingen eller regnskapsavdelingen hadde definerte oppgaver knyttet til løpende overvåkning og oppfølging av styringsinformasjon. Etterlevelse av interne retningslinjer og LOA/FOA inngikk ikke som oppfølgingselementer i regi av innkjøpsavdelingen. Regnskapsrettede kontroller i fakturabehandlingsprosessen som på en effektiv måte kunne avdekket for eksempel kjøp uten gyldig avtalegrunnlag, var heller ikke definert. Manglende oppfølgingssystemer er en grunnleggende svakhet ved internkontrollen i innkjøpsvirksomheten, og foretaket har som følge av dette ikke hatt tilfredsstillende løpende oppfølging med praksis/etterlevelse av interne retningslinjer og LOA/FOA. Gjennomgangen viste også at det er mulig å hente ut styringsinformasjon fra økonomisystemet som kan anvendes for systematisk oppfølging av innkjøpsområdet. Slik oppfølging vil imidlertid vanskelig kunne gjennomføres på en effektiv måte før foretaket har implementert både elektronisk fakturabehandling og e-handelsløsninger. Årsaker og konsekvenser Etter internrevisjonens vurdering er det flere årsaker til svakhetene på området. Bevisstheten om risiko for manglende etterlevelse av lov og regelverk har ikke vært tilstrekkelig sterk. Det er ikke allokert tilstrekkelige ressurser som gjør det mulig for innkjøpsorganisasjonen (dvs. både innkjøpsavdelingen og de personer som er involvert i innkjøpsaktiviteter ute i avdelingene) å både gjennomføre en tilfredsstillende løpende drift, samt gjennomføre utviklingsaktivitetene knyttet til innføring av elektroniske løsninger på området. Videre er det heller ikke definert oppgaver for å overvåke og følge opp innkjøpsvirksomheten for foretaket som helhet. Fordi gjennomgangen har vist at etterlevelsen av lov og regelverk i hovedsak er tilfredsstillende i de tilfellene hvor innkjøpsavdelingen reelt har vært involvert i anskaffelsesprosessene, er det internrevisjonens vurdering at svakhetene primært knytter seg til linjeorganisasjonens etterlevelse og oppfølging på området. Konsekvensene av dette er at styring og kontroll med at foretaket som helhet etterlever innkjøpsregelverket og at det sikres effektive innkjøp, ikke blir tilfredsstillende i forhold til risiko på området. Videre har manglende oppfølgingssystemer ført til at omfanget av brudd på interne retningslinjer, LOA og FOA har vært ukjent for foretaksledelsen. Det er derfor etter internrevisjonens vurdering høy risiko for fortsatte brudd på interne retningslinjer og LOA/FOA. Bruddene vil kunne ha konsekvenser både for foretakets økonomi og omdømme. Utformet av Internrevisjonen Helse Sør-Øst Side 13 av 16

Når det gjelder økonomi, er det etter gjeldende praksis sannsynlig at eventuelle overprising og/eller manglende rabatter ikke vil bli fanget opp i fakturakontrollen. Selv om omfanget av slike feil ikke nødvendigvis er vesentlig for den enkelte faktura, vil de kunne være vesentlige i et aggregert perspektiv. Dette vil i så fall svekke måloppnåelsen knyttet til gevinstrealisering som er ett av de sentrale målene i INNHØST. Det vil også ha negativ innvirkning på foretakets budsjetter. I forhold til omdømme, vil svak styring og kontroll øke sannsynligheten for fortsatte ulovlige direkteanskaffelser. Ved grov uaktsomhet eller forsett i anskaffelsesvirksomheten risikerer AUS bøter på opptil 15 % av anskaffelsenes verdi. Konklusjoner Bevissthet om risiko innenfor innkjøpsområdet har ikke vært sterk nok for foretaket sett under ett. Bevisstheten var likevel gjennomgående sterk i innkjøpsavdelingen. Etiske retningslinjer er fastsatt og gjort tilgjengelig for foretakets ansatte, men den ledelsesmessige oppfølgingen har ikke vært tiltrekkelig for å sikre at retningslinjene faktisk er kjent og om de etterleves av organisasjonen. Det har heller ikke vært tilstrekkelig fokus på biervervsreglene. Ansvars- og myndighetsfordelingen mellom økonomiavdelingen/innkjøpsavdelingen og avdelingene i linjen er tydelig definert og gjort tilgjengelig. Det er likevel avdekket brudd på etterlevelse av ansvarsfordelingen. Det er pr i dag ikke etablert tilstrekkelige og effektive systemer for oppfølging og styring av innkjøpsvirksomheten for foretaket som helhet. Utover de oppfølgingssystemer som var utarbeidet og i bruk i innkjøpsavdelingen, var det ingen systematisk bruk av styringsinformasjon for å følge opp praksis på området og det følges ikke opp om praksis er i tråd med interne retningslinjer og LOA/FOA. Anbefalinger For å skape varige forbedringer på området vil internrevisjonen understreke betydningen av at foretaket fokuserer på internkontrollsystemet og tiltak rettet inn mot disse. De enkelte konkrete funn (feil, mangler avdekket i testingen) anbefales lukket parallelt som det arbeides med systemforbedringer. Det er viktig at dette skjer som ledd i en helhetsvurdering av hele leverandørporteføljen. For å styrke det interne miljø anbefaler internrevisjonen at AUS: Kommuniserer at brudd på interne retningslinjer og LOA/FOA ikke er akseptabelt Aktivt følger opp at dette etterleves og at eventuelle brudd på fullmakter får konsekvenser for den som bevisst forsaker brudd Sentraliserer ansvar og myndighet for innkjøp, gjennom å trekke inn fullmakter fra linjen, samtidig som det allokeres ressurser til innkjøpsavdelingen (fullmakter bør ikke delegeres ut før det er oppnådd tilfredsstillende oversikt og kontroll på området) For å realisere mål for området anbefales det at AUS: Øker fokus på innkjøpsvirksomheten gjennom å innta området i sin løpende oppfølging av virksomheten. Det anbefales at det settes tydelig mål for innkjøpsvirksomheten og at resultater rapporteres og følges opp som ledd i de etablerte styringssystemene i foretaket, eksempelvis i Ledelsens gjennomgåelse. Som ledd i dette må foretaksledelsen sørge for å implementere systematiske risikovurderinger som integrert del i sin styring og oppfølging av foretaket. Utformet av Internrevisjonen Helse Sør-Øst Side 14 av 16

For å sikre betryggende styring og kontroll med innkjøpsvirksomheten anbefaler internrevisjonen at AUS: Fakturabehandling og e-handel o Det bør foretas en nærmere vurdering av hvordan foretaket skal møte utfordringen knyttet til integrerte elektroniske løsninger for innkjøps- og fakturabehandlingsområdet. Det bør utarbeides en klar plan for når fakturabehandlingssystem skal implementeres og hvordan dette koordineres opp mot utrullingen av Clockwork og det videre arbeidet med innføring av nytt forsyningssenter. Planen må understøttes med tilstrekkelige ressurser som gjør det mulig å sikre en vellykket overgang fra manuelle løsninger til elektroniske. De elektroniske løsningene må være integrerte i økonomisystemet. o Som et ledd i dette arbeidet bør det sikres at varekataloger for hver enkelt leverandør som legges tilgjengelig for personer med bestillingsmyndighet, er i samsvar med produkter som inngår i de etablerte rammeavtalene/avtalene. Det understrekes at dette er en utfordring som tilrådes å finne sin løsning i regional regi. o Foretaket bør foreta en bevisst gjennomgang av programmerte rutiner i systemene som kan styrke svakheter i internkontrollen, og samtidig tilpasse de manuelle rutinene i forhold til dette. Bruk av saks-/arkivsystem og arkivering/oppbevaring av kontrakter o Saks-/arkivsystemene bør brukes som forutsatt i interne retningslinjer og arkivlov/forskrift i anskaffelsesprosessene. o Avtalearkiv bør opprettes. Avtaledekning o Det bør snarest sørges for avtaler for alle forbruksvarer som nyttes i medisinsk behandling og løpende drift av foretaket. o Det bør vies særlig fokus for å sikre anskaffelser innenfor de vare-/tjenesteområder hvor gjennomgangen avdekket ulovlige direkteanskaffelser. Dette arbeidet bør koordineres opp mot RHF et. For å sikre systematisk og løpende oppfølging anbefaler internrevisjonen at AUS: Snarest etablerer en funksjon for å monitorere, rapportere og følge opp innkjøpsvirksomheten ved foretaket som helhet. På kort sikt (og så lenge AUS har manuelle systemer) bør det som ledd i dette særskilt vurderes hvordan regnskapsfunksjonen, som gjennom fakturabehandlingsprosessen har et unikt innsyn, bør legge opp sin kontroll slik at de på en best mulig måte kan understøtte en effektiv monitorering av innkjøpsvirksomheten. Styringsinformasjon fra økonomisystemet bør nyttes som ledd i systematisk oppfølging av området Utformet av Internrevisjonen Helse Sør-Øst Side 15 av 16

3 Vedlegg 3.1 Informasjonsgrunnlag Dokumentasjon fra 2004-revisjonen (styresaker, handlingsplaner, statusrapporter m.v.) Avtaleoversikter Interne retningslinjer, prosedyrer, rutiner for innkjøp (både for anskaffelser etter LOA/FOA og for avrop på avtaler, herunder også etiske retningslinjer) Interne retningslinjer, prosedyrer, rutiner for fakturabehandling (herunder varemottak, attestasjon og anvisning) Interne retningslinjer, prosedyrer, rutiner for journalføring/arkiv Fullmaktsoversikter, kontoplan, leverandøroversikter og reskontro/regnskapsdata for 2006 3.2 Deltakere Administrerende direktør Hulda Gunnlaugsdottir Sekretariatet Marianne Østfold Kirurgisk klinikk stf. Gerd Jensen Medisinsk klinikk Torgunn Gennarakis Medisinsk klinikk Marianne Sem Klinikk for rus og avvenning Gjermund Nysveen IT-sjef Pedro Tormodsen Eiendomssjef Kjetil Johnsen Innkjøpssjef Kjetil Istad Økonomidirektør Anders Frafjord Ass. Økonomidirektør Anne Karlsen Regnskapssjef Anita I Lindset 3.3 Saksgang og rapportbehandling Saksgang Mottaker Dato Utsendelse av Administrerende direktør Hulda Gunnlaugsdottir 21.09.07 rapportutkast Tilbakemelding fra AUS Internrevisjonen Helse Sør-Øst 19.10.07 på utkastet Endelig revisjonsrapport til besvarelse og styrebehandling Orientering til KK Helse Sør-Øst RHF Orientering til styret Helse Sør-Øst RHF Administrerende direktør Hulda Gunnlaugsdottir Kopi til: Styreleder Aker universitetssykehus Tor Berge Administrerende direktør Helse Sør-Øst RHF Bente Mikkelsen Kontrollkomiteen Helse Sør-Øst RHF Styret Helse Sør-Øst RHF 07.11.07 Endelig styremøtebehandling 15.11.07 Utformet av Internrevisjonen Helse Sør-Øst Side 16 av 16