Deluppföljning 1 internkontrollplan 2020
Tekniska nämnden
Innehållsförteckning
Inledning ...3
Direktåtgärder...4
Risk för bristande dokument- och ärendehantering ...4
Rutiner för postgång och registrering av markavtalsärenden...4
Risk för bristande kvalitet i återkoppling till Malmöbon vid synpunktslämnande...4
Ny rutin för besvarande av frågor...4
Granskningar ...6
Nämndens granskningar ...6
Risk för att fakturor inte betalas i rätt tid...6
Rutiner för fakturor...6
Risk för bristande följsamhet gentemot GDPR ...7
Rutiner för avslutande av behörigheter...7
Risk för bristande följsamhet mot regelverket om byggherrens arbetsmiljöansvar ...9
Byggherrens arbetsmiljöansvar...9
Inledning
Denna rapport innehåller en deluppföljning av tekniska nämndens internkontrollplan 2020.
Internkontrollplanen innehåller både direktåtgärder och granskningar. Syftet med direktåtgärder är att genomföra nödvändiga åtgärder i nära framtid utan ytterligare kontroller och utredningar. Syftet med granskningar är utreda de områden där ytterligare kontroll bedöms behövas. Efter genomförd granskning ska eventuellt konstaterade fel och brister leda till åtgärdsförslag från granskaren och berörd verksamhet.
Förslag till förbättringsåtgärder ska därefter förankras med fastighets- och gatukontorets ledningsgrupp och beslutas genom att tekniska nämnden behandlar ärendet om uppföljning av internkontrollplan.
I denna deluppföljning av internkontrollplanen redovisas två direktåtgärder: rutiner för postgång och registrering av markavtalsärenden samt ny rutin för besvarande av frågor. Vidare redovisas tre granskningar: risk för att fakturor inte betalas i rätt tid, risk för bristande följsamhet gentemot GDPR (avslutande av behörigheter) samt risk för bristande följsamhet mot regelverket om byggherrens arbetsmiljöansvar.
Ovan nämnda direktåtgärder och granskningar redovisas i maj 2020 enligt tidplan, med undantag för granskningen om byggherrens arbetsmiljöplan som har tidigarelagts.
Direktåtgärder
1. Risk:
Risk för bristande dokument- och ärendehantering Beskrivning av risk
Bristande rutiner för dokument- och ärendehantering innebär risk för minskad effektivitet för verksamheterna.
Åtgärd:
Rutiner för postgång och registrering av markavtalsärenden Vad ska göras:
Utredning av postgång och registrering av markavtalsärenden ska göras.
Avdelningen för struktur och stöd, kanslienheten, ansvarar, för utredningen. Kvalitet och utvecklingsenheten processleder och Fastighetsavdelningen medverkar.
Genomförda åtgärder Arbetet är pågående.
En utomstående oberoende konsult har genomfört ett antal intervjuer med registratorer och arkivarie på kanslienheten, utvecklingssekreterare på kvalitet- och utvecklingsenheten, enhetschefer och sektionschef på fastighetsavdelningen samt enhetschef och registrator på stadsbyggnadskontoret. Efter genomförda intervjuer har konsulten sammanställt en rapport som föredragits för kanslichef och enhetschefer och sektionschef på fastighetsavdelningen. I månadsskiftet mars/april kommer konsulten att hålla ett antal workshops med medarbetare från kanslienheten och tre av fastighetsavdelningens enheter i syfte är att kartlägga dokumenthanteringen i fastighetsavdelningens ärendeprocesser. Efter genomförda workshops ska konsulten utarbeta förslag till rutiner för hur dokumenthanteringen i dessa ärendeprocesser ska ske framledes, dvs. vilka handlingar som ska registreras, hur de ska registreras och vem som har ansvar för de olika delarna/momenten i ärendeprocesserna.
Fortsatt uppföljning av åtgärden görs senast i samband med årsuppföljningen av internkontrollplan 2020.
2. Risk:
Risk för bristande kvalitet i återkoppling till Malmöbon vid synpunktslämnande Beskrivning av risk
Malmöborna har möjlighet att felanmäla eller lämna synpunkter om nämndens verksamhet via hemsidan. Den som önskar få ett svar, ska också få det inom en viss svarstid. Risk kan föreligga för bristande kvalitet i återkopplingen till Malmöbon vid synpunktslämnande, vilket kan leda till förtroendeskada.
Risk föreligger även för att inkomna ärenden inte hanteras samordnat och effektivt på grund av flera
kontaktvägar (telefon, mail, sociala medier) in i organisationen. Detta kan leda till dubbelarbete och olika svar till Malmöbon.
Åtgärd:
Ny rutin för besvarande av frågor Vad ska göras:
Ta fram en rutin för kontaktcenter för hur de ska hantera en fråga som inkommit som kan beröra flera, så att berörda inte svarar var och en på sitt håll. Syftet är att frågeställaren ska få ett enda, tydligt svar.
Rutinen kan vara att meddela alla inblandande via e-post när en fråga inkommit som kan beröra flera.
Avdelningen för struktur och stöd, kommunikationsenheten, ansvarar för åtgärden.
Genomförda åtgärder
Det är förhållandevis vanligt förekommande att en medborgare adresserar sin fråga/synpunkt till flera olika medarbetare samtidigt. Risken är då att olika svar ges på samma fråga.
Ett förslag till rutin är därför framtagen tillsammans med Kontaktcenter. Rutinen ska remitteras till bl.a.
avdelningen för offentlig miljö, innan den beslutas.
Rutinen innebär i korthet att frågor och synpunkter som huvudprincip ska registreras i ett
ärendehanteringssystem och även svar ska ges därigenom. På så vis används bara en kanal, flera olika svar undviks och det blir lätt att spåra ärendet i efterhand. Medborgaren får en automatisk återkoppling när ärendet har registrerats.
Fortsatt uppföljning av åtgärden görs senast i samband med årsuppföljningen av internkontrollplan 2020.
Granskningar
Nämndens granskningar
1. Risk:
Risk för att fakturor inte betalas i rätt tid Beskrivning av risk
Risk för att fakturor inte betalas inte rätt tid, p.g.a. fördröjning av beslutsattest, vilket kan leda till ekonomisk skada
Granskning:
Rutiner för fakturor
Områden och tillhörande rutiner som ska granskas:
Följsamhet mot Malmö stads rutiner för betalning av fakturor.
Syfte med granskningen:
Syftet med granskningen är att försöka hitta orsakerna till eventuella fördröjningar av betalning som underlag till kommande attestinstruktioner.
Omfattning/avgränsning:
Hela förvaltningens betalda fakturor under perioden 1 juli 2019 - 31 januari 2020.
Granskningsmetod:
Ta fram underlag för vilka fakturor angiven period som inte är betalda i tid. Eventuellt görs även intervjuer med personer som har många fakturor som inte betalats i tid för att undersöka orsakerna.
Avdelningen för struktur och stöd, ekonomienheten, ansvarar för granskningen.
Sammanfattande resultat av granskningen
I attestinstruktionerna för fastighets- och gatukontoret finns anvisningar om att både granskning- och beslutsattestanter ansvarar för att minst en gång i veckan tömma sin inkorg i Ekot på samtliga fakturor som ligger i inkorgen, undantaget under veckan vid månadsstängningar då attest bör ske omgående.
Rutin för längre frånvaro finns på Komin - ”Ställ om inför semestern”.
Vid sökningen av leverantörsfakturor i Ekot på det som var konterat på konto 76163 Förseningsavgift under perioden 190701–200131, kom det fram 42 försenade fakturor. Av de 42 fakturorna var det 23 fakturor som inte blivit skannade förrän påminnelse kommit och fakturakopia efterfrågats. De andra 19 var fakturor som legat länge i några få personers inkorgar.
Förvaltningen har under perioden betalat fakturor för ca 1 miljard och haft påminnelseavgifter för 18 500 kr.
Instruktioner och rutiner bedöms fungera ändamålsenligt. Granskningsresultatet visar att det är en mycket liten del av alla fakturor som behandlas varje år inom förvaltningen som genererar
påminnelseavgifter/ränta. Dock kan en justering av antalet kostnadsställen göras för att förenkla för de som har många fakturor.
Åtgärd Vad ska göras:
Dela upp kostnadsställen på aktiviteter I samband med förslag till nya attestinstruktioner föreslås att några kostnadsställen delas upp på aktiviteter för att minska mängden fakturor för de kostnadsställeansvariga med stora mängder fakturor.
Åtgärd Vad ska göras:
Ekonomienheten, avdelningen för struktur och stöd, ansvarar för åtgärden.
2. Risk:
Risk för bristande följsamhet gentemot GDPR Beskrivning av risk
General Data Protection Regulation (GDPR) innebär strikta krav i samband med redovisning av dataläck-age och reglerna för åtkomst till personuppgifter. Misslyckas man med att uppfylla de nya kraven kan
konsekvenserna bli kostsamma: böter på upp till 20 miljoner euro, eller 4% av omsättningen – där det högsta alternativet gäller.
Granskning:
Rutiner för avslutande av behörigheter
Områden och tillhörande rutiner som ska granskas:
Rutiner för avslutande av behörigheter i system och filytor (t.ex. molntjänster) vid avslutad anställning.
Granskningsmetod:
Jämförelse med avslutade anställningar 2019 och behörigheter i system och filytor. Beroende på utfall görs även intervjuer med HR, IT/GIS och berörd verksamhetschef.
Avdelningen för struktur och stöd, kanslienheten, ansvarar för granskningen.
Sammanfattande resultat av granskningen
För att beivra förlust eller spridning av känslig eller rentav sekretessbelagd information är det av yttersta vikt att fastighets- och gatukontoret har etablerade rutiner för avslutande av behörigheter i samtliga av förvaltningens system och filytor vid avslutad anställning. Sådana rutiner finns i dagsläget endast i viss mån. Därtill är befintliga rutiner inte sammanhållna, utan uppdelade på olika enhetsinterna rutindokument.
Ansvar för frågan och de åtgärder detta medför kan inte sägas vila på en tydligt utpekad funktion inom förvaltningen.
Ett övergripande rutindokument avseende avslut av anställning har tagits fram av HR-enheten. Den klargör att berörd chef ansvarar för att meddela HR-enheten om avslut av anställning, samt anmäla detsamma till IT/GIS-enheten. HR-enheten ansvarar i sin tur för avslut av tjänst i HRutan, vilket utgör koppling till den anställdes AD-konto – det användarnamn med vilket den anställde loggar in på bland annat sin arbetsdator – som då också inaktiveras.
Förvaltningens samlade information förvaras i dagsläget i ett femtiotal verksamhetssystem
(stadsövergripande verksamhetssystem undantagna), liksom i 731 gemensamma mappar. Huvudsakligen regleras behörighet till dessa system och mappar via just den anställdes AD-konto. Detta gäller för samtliga mappar samt ungefär hälften av förvaltningens verksamhetssystem. För övriga
verksamhetssystem regleras behörighet av respektive systems superanvändare som lokalt lägger till och tar bort användarkonton.
IT/GIS-enheten följer en egen rutin för avslut av behörigheter i de system och filytor som enheten handhar. Detta omfattar tillgång till system för bokning av fordon, fördelning av ansvar för gemensamma mappar, liksom för ett fåtal projektmappar, m.m. Vid mottagen anmälan om avslut till IT-enheten får även ekonomienheten besked. Ekonomienheten vidtar därefter åtgärder enligt egen rutin för borttagande av behörighet i verksamhetssystemet EKOT. Liknande rutiner finns för ett antal enskilda superanvändare vilka själva löpande eftersöker information om anställningar som upphört.
Granskningen visar att nämnda rutiner – då tydliga sådana förekommer –i stor utsträckning följs. Endast i enstaka fall har behörigheter legat kvar för anställd vars anställning upphört. I de fall tydliga rutiner däremot inte förekommer, och tilldelad behörighet i verksamhetssystemet inte varit reglerad genom den tidigare anställdes AD-konto, har behörigheter i flera fall legat kvar. I samtliga dessa fall har det förelegat risk för att information varit tillgänglig för utomstående i de fall verksamhetssystem varit tillgängliga utanför Malmö stads nätverk, även om det med relativt stor säkerhet kan sägas att den information som behandlas i berörda verksamhetssystem inte är känslig, och inte heller omfattas av sekretess.
I ett fåtal fall har behörigheter i verksamhetssystem och filytor med koppling till den anställdes AD-konto legat kvar även efter avslut av anställning, då för att den anställde gått vidare till annan tjänst inom Malmö stad. I samtliga dessa fall har det förelegat risk för att information i berörda verksamhetssystem och filytor varit tillgänglig för utomstående. I dessa fall kan det inte med säkerhet sägas att den information som behandlas i berörda verksamhetssystem och filytor inte är känslig. Inte heller kan det med säkerhet sägas att informationen inte omfattas av sekretess.
Möjliga orsaker till resultatet
Den huvudsakliga anledningen till kvarliggande behörigheter är att information om avslutad anställning inte når samtliga de superanvändare som är berörda av informationen. Rutin för detta behöver därför upprättas.
Det kan dock inte sägas att det i samtliga fall av kvarliggande behörigheter är en fråga om bristande rutiner inom just fastighets- och gatukontoret. Granskningen visar exempel där stadskontoret inte avslutat behörighet i ärendehanteringssystem, trots anmälan från fastighets- och gatukontoret.
En grundläggande problematik tycks också röra den anställdes AD-konto och dess roll vid
behörighetstilldelning generellt. I flera verksamhetssystem ligger AD-kopplad behörighet kvar under en längre tid i redovisningssyfte, även efter avslutad anställning. Istället för att avslutas, inaktiveras berört AD-konto när anställningen upphör, då denna information i respektive verksamhetssystem annars hade försvunnit för gott. Om en anställd därför byter tjänst inom Malmö stad är tidigare tilldelade behörigheter ofta oförändrade. För fastighets- och gatukontorets vidkommande har detta visat sig vara ett problem framförallt vid behörighet till de många projektmappar förvaltningen använder sig av.
Slutsatsen av genomförd granskning är således att befintliga rutiner inom förvaltningen omfattar långt ifrån samtliga förvaltningens verksamhetssystem och filytor, varför dessa rutiner sammantaget inte heller kan anses vara ändamålsenliga för förvaltningen i dess helhet.
Åtgärd Vad ska göras:
Uppdatera HR-enhetens rutin för avslut
av anställning HR-enhetens existerande rutin för avslut av anställning bör uppdateras.
Av rutinen bör tydligare framgå att avslut av anställning medför uppgifter som åligger flera funktioner på förvaltningen utöver just HR- enheten, samt vilka dessa uppgifter är, liksom vem som ansvarar för dem. Rutinen bör således bli tydligt förvaltningsövergripande, och därmed också göras ytterligare känd bland samtliga förvaltningens enhets- och avdelningschefer.
Rutinen ska uppdateras även med beaktande av IT/GIS-enhetens åtgärd - upprätta sändlista i Outlook.
Ansvar för den uppgift enligt IT-enhetens befintliga interna rutin som avser gallring av information/överlämnande av ägarskap i filytor (gemensamma mappar, projektmappar, SharePoint, OneDrive m.fl.), för den anställde vars anställning upphör, bör tydligt överlämnas åt respektive ansvarig chef. Uppgiften bör läggas till i den övergripande rutinen för avslut av anställning, där sådan ny ansvarsfördelning klargörs.
HR-enheten, avdelningen för struktur och stöd, ansvarar för åtgärden.
Åtgärd Vad ska göras:
Sändlista i Outlook .- avslut behörighet Utifrån befintliga sammanställningar av superanvändare/mappägare i alla de verksamhetssystem och filytor som förvaltningen ansvarar för, ska en sändlista skapas i Outlook. Samtliga mottagare på denna sändlista skall därefter, vid varje avslutad anställning (enligt övergripande rutin för avslut av anställning), få tydligt utskick med information om detta, samt instrueras kring vad som behöver göras för att, i mesta möjliga mån, begränsa den anställdes vidare behörighet efter angivet da-tum.
IT/GIS-enheten, avdelningen för struktur och stöd ansvarar för åtgärden.
Justerad koppling mellan AD-konto och behörighet i verksamhetssystem
Förvaltningen bör verka för att den grundläggande kopplingen mellan anställds AD-konto och behörighet justeras, på det att endast textinformation (eller motsvarande) kvarstår i berörda system vid automatisk inaktivering av AD-konto.
IT/GIS-enheten, avdelningen för struktur och stöd, ansvarar för åtgärden
3. Risk:
Risk för bristande följsamhet mot regelverket om byggherrens arbetsmiljöansvar Beskrivning av risk
Risk för att förvaltningen inte uppfyller de lagkrav som ställs på byggherren på grund av bristande kunskap om arbetsmiljöansvar vilket kan leda till skadeståndsansvar.
Granskning:
Byggherrens arbetsmiljöansvar
Områden och tillhörande rutiner som ska granskas:
Rutiner för hur förvaltningen hanterar byggherrens arbetsmiljöansvar vid projektering och entreprenader och driftverksamhet.
Syfte med granskningen:
Syftet med granskningen är att undersöka om förvaltningen följer arbetsmiljölagstiftningens reglering om byggherrens ansvar.
Omfattning/avgränsning:
Byggherren kan under vissa omständigheter överlåta hela eller delar av sitt arbetsmiljöansvar. Den som övertar ansvaret kallas för uppdragstagare. Enligt arbetsmiljölagen är förutsättningen för en sådan överlåtelse dels att uppdragstagaren har fått ett självständigt ansvar för byggprojektet avseende planering, projektering och/eller utförande, dels att ”det skriftligen har avtalats” att entreprenören övertar beställarens arbetsmiljöansvar. Detta förfarande är så pass ovanligt inom tekniska nämndens entreprenader att det lämnas utanför den här
granskningen.
Granskningsmetod:
Inventering av rutiner på stadsutvecklingsavdelningen och avdelningen för offentlig miljö samt bedömning av dessa och om man följer dem i verksamheten.
Avdelningen för struktur och stöd, kvalitet och utvecklingsenheten. är ansvarig för granskningen. Avdelningen för offentlig miljö och stadutvecklingsavdelningen medverkar.
Kommentar vid uppföljning:
Intervjuer har genomförts med tio medarbetare fördelat på stadsutvecklingsavdelningen, avdelningen för offentlig miljö samt på avdelningen för struktur och stöd. Två av de intervjuade var relativt nyanställda, medan de andra var erfarna projektledare, ombud eller jurister.
Granskning har gjorts av styrdokumentet ”Rutin för hantering av byggarbetsmiljöansvar på fastighets- och gatukontoret”, två projektmallar samt delegering av arbetsmiljöuppgifter och tillhörande ansvar.
Slutligen har förvaltningens byggarbetsmiljösamordnares egna erfarenhet av förvaltningens arbete inom byggherrens arbetsmiljöansvar vägts in i bedömningen.
Bakgrund
Byggherren, det vill säga den som låter utföra ett byggnads- eller anläggningsarbete, har det grundläggande ansvaret för att se till att arbetsmiljön beaktas i olika byggskeden. Byggherren utser en
byggarbetsmiljösamordnare för planering och projektering, BAS-P, och en för utförandet, BAS-U.
Tillsammans med BAS-P och BAS-U har byggherren ansvaret för att arbetsmiljöfrågorna beaktas både för arbetstagarna som ska uppföra anläggningen och för dem som ska använda den när den är klar.
BAS-U ska anpassa den arbetsmiljöplan som BAS-P tagit fram genom att undersöka vilka metoder eller utrustningar utförarna väljer. Detta kan BAS-U göra genom att begära in riskbedömningar med
åtgärdsbeskrivningar. BAS-U är ansvarig för att uppdaterad arbetsmiljöplan finns tillgänglig för alla på byggarbetsplatsen.
Ansvar och uppgiftsfördelning
Både byggherre, BAS-P och BAS-U ansvarar för att arbetsmiljöuppgifterna blir utförda.
Byggherren har arbetsmiljöansvaret och behöver därför ha någon form av system för att säkerställa att arbetsmiljöarbetet fungerar under projekteringen och utförandedelen. Om arbetsmiljöarbetet inte fungerar, behöver byggherren vidta åtgärder.
För de entreprenader som utförs inom tekniska nämndens verksamhetsområde, är det nämnden som i egenskap av byggherre, har arbetsmiljöansvaret. Uppgifterna i arbetsmiljöarbetet ska delegeras för att byggherren ska kunna uppfylla sitt arbetsmiljöansvar.
Sammanfattande resultat av granskningen - Intervjuerna
Beroende på budget, komplexitet och egen kompetens tar projektledaren fram en arbetsmiljöplan själv eller låter en BAS-P göra det. I fall där BAS-P tagit fram planen och lämnat över den till BAS-U tar byggherren/TN/FGK inte alltid del av den, även om arbetsmiljöplanen alltid finns med på byggmötena.
Samtliga intervjuade framförde att kunskapsnivån om byggarbetsmiljö vid entreprenader är varierande på förvaltningen. De intervjuade visste inte om att förvaltningen har en rutin för byggarbetsmiljöansvar vid entreprenader. Över hälften av de intervjuade hade uppfattningen att BAS-U ”tog över”
arbetsmiljöansvaret efter att denne utsetts. Samtliga var dock medvetna om att arbetsmiljöplanen alltid ska granskas av projektledaren.
Utbildning om byggherrens arbetsmiljöansvar sker regelbundet, där både nyanställda och övriga kan delta.
De intervjuade ansåg att utbildningarna håller god kvalitet. Några framförde dock att eftersom ämnet inte återkommande diskuteras på den egna arbetsplatsen, faller utbildningarna i glömska. Andra menade att ämnet diskuteras med kollegor när behov uppstår. Några intervjuade ansåg att arbetsmiljöfrågorna tydligare borde arbetas in i byggprocessen, så att det blir lika naturligt att granska arbetsmiljöplaner med uppdaterade åtgärder som övriga handlingar inom entreprenaden.
Med stöd av intervjusvaren och förvaltningens byggarbetsmiljösamordnares egen erfarenhet görs
bedömningen att kunskapen om ansvar och roller är ojämn hos berörda chefer, projektledare och ombud.
Vidare bedöms det finnas i brister i systemet för uppföljning av arbetsmiljöplaner.
- Styrdokument och uppgiftsfördelning
Tekniska nämnden är byggherre och arbetsmiljöansvarig för de entreprenader som beställs av fastighets- och gatukontoret. Det bedöms som tveksamt om nämnden idag formellt har delegerat
arbetsmiljöuppgifter vid entreprenader. Kanslienheten har uppgett att den nu pågående översynen av tekniska nämndens delegationsordning beaktar denna fråga.
Förvaltningen har tagit fram ”Rutin för hantering av byggarbetsmiljöansvar på fastighets- och gatukontoret”, 2018-07-01. Bl.a. mot bakgrund av den pågående översynen av delegation av
byggarbetsmiljöuppgifter bör denna rutin se över och eventuellt revideras. Detta arbete pågår redan.
Med anledning av ovanstående bör även mallar kopplade till entreprenader och byggarbetsmiljö ses över.
Åtgärd Vad ska göras:
Delegering av byggarbetsmiljöuppgifter Tekniska nämndens delegering av arbetsmiljöuppgifter kopplat till entreprenader beaktas i den pågående översynen av
delegationsordningen. Detta bör göras med jämförelse av delegering av arbetsmiljöuppgifter för förvaltningens anställda.
Kanslienheten, avdelningen för struktur och stöd, ansvarar för åtgärden.
Översyn av rutiner och mallar En arbetsgrupp tillsätts med följande uppgifter:
• ”Rutin för hantering av byggarbetsmiljöansvar på fastighets- och gatukontoret” ska ses över och eventuellt revideras.
• Innehållet i mallar kopplat till entreprenader och byggherrens arbetsmiljöansvar ska ses över.
• Behovsanalys av fortsatta insatser ska göras för att stärka förvaltningens kompetens inom området.
För att få en allsidig belysning av frågeställningarna ska arbetsgruppen bestå minst av byggarbetsmiljösamordnaren, stadsjurist, projektledare och ombud.
Enheten för verksamhetsstöd, stadsutvecklingsavdelningen, ansvarar för åtgärden. Avdelningen för struktur och stöd biträder med resurser.
