Rapport - Kommunerevisjonen

Oslo kommuneKommunerevisjonenRapport 02/20132 0 1 3Intern kontroll i og rundtenkelte IT-systemerSamlerapport 2012Kommunerevisjonen - integritet og verdiskaping

Rapport 02/2013Tidligere publikasjoner fra Kommunerevisjonen i OsloRapport 01/2012 Gjennomgang av anskaffelsesdokumentasjon i 16 virksomheterRapport 02/2012 Bydelene som barnehagemyndighet – Bydel St. Hanshaugen og Bydel NordstrandRapport 03/2012 Styringsinformasjon i Utviklings- og kompetanseetatenRapport 04/2012 Utleie av kommunal grunn - saksbehandling, kontroll og oppfølgingRapport 05/2012 Anskaffelse, kontroll og oppfølging av tjenester til utviklingshemmede – Bydel Frogner ogBydel Nordre AkerRapport 06/2012 Planlegging av investeringsprosjekter i Vann- og avløpsetatenRapport 07/2012 Ulike undersøkelser i regnskapsrevisjonen – samlerapport 2011Rapport 08/2012 Skolens saksbehandling knyttet til spesialundervisning – Korsvoll skole, Lindeberg skole,Skøyenåsen skole, Tiurleiken skoleRapport 09/2012 Intern kontroll i og rundt enkelte IT-systemer – Samlerapport 2011Rapport 10/2012 Informasjonssikkerhet i EnergigjenvinningsetatenRapport 11/2012 Informasjon om tannhelsetjenester til mottakere av hjemmesykepleie – Bydel Alna og BydelVestre AkerRapport 12/2012 Etterlevelse av finansreglementet i Oslo kommuneRapport 13/2012 Forvaltning av Gerica i Oslo kommune og intern kontroll rundt inntekter fra praktisk bistandRapport 14/2012 Sosialtjenestens oppfølging av rusmiddelavhengige ved behandlingsoppholdRapport 15/2012 Ledelsesforankring av innkjøpsområdet i SykehjemsetatenRapport 16/2012 Kontroll og oppfølging av kvalitet i kommunale institusjoner for rusmiddelavhengigeRapport 17/2012 Rapportering av statistikk for pleie- og omsorgstjenesterRapport 18/2012 Ettervern Barneverntiltak for ungdom etter fylte 18 år i Bydel Gamle Oslo og Bydel StovnerRapport 19/2012 Registrering av elever i risikosonen for frafall. Bruken av koden “ELEV” i IT-systemet OTTORapport 20/2012 Oppfølgingsundersøkelse etter rapport 18/2009 Sykehjemsetaten – status etter to års drift.Rapport 21/2012 Tjenester til beboere i samlokaliserte boliger - Bydel StovnerRapport 22/2012 Internkontroll i Kollektivtransportproduksjon AS med datterselskaperRapport 23/2012 Anskaffelser og internkontroll i Oslo Vognselskap ASRapport 01/2013 Internkontroll med anskaffelsesområdet i Ruter ASFor mer informasjon om Kommunerevisjonen og våre rapporter se www.krv.oslo.kommune.noKommunerevisjonen

Intern kontroll i og rundt enkelte IT-systemer. Samlerapport 2012ForordGod kommunal revisjonsskikk som inkluderer internasjonale revisjonsstandarder, angir de ytrerammene for regnskapsrevisjon. Standardene krever planlegging og utførelse av revisjonen på enmåte som gir betryggende sikkerhet for at årsregnskapet ikke inneholder vesentlig feilinformasjon.Dette omfatter nødvendig revisjon av IT-systemer som har betydning for økonomi og regnskap.13. mars 2013Kommunerevisjonen1

Rapport 02/20132Kommunerevisjonen

Intern kontroll i og rundt enkelte IT-systemer. Samlerapport 2012InnholdForord.........................................................................................................................................11. Innledning..........................................................................................................................51.1 Om revisjonene...........................................................................................................52. Fellestrekk ved revisjonene..............................................................................................72.1 Innledning....................................................................................................................72.2 Metodikk ved våre revisjoner......................................................................................82.3 Fellestrekk ved revisjons resultatene............................................................................82.4 Vurdering av revisjonsresultatene...............................................................................93. Masseremittering fra Agresso til DnB Connect...........................................................113.1 Bakgrunn og formål..................................................................................................113.2 Hovedkonklusjon og sammendrag............................................................................113.3 Kommunikasjon........................................................................................................124. Drift av kommunens lønnssystem (NLP)......................................................................144.1 Bakgrunn og formål..................................................................................................144.2 Hovedkonklusjon og sammendrag............................................................................144.3 Kommunikasjon........................................................................................................145. Revisjon av nytt lønnssystem.........................................................................................155.1 Bakgrunn og formål..................................................................................................155.2 Hovedkonklusjon og sammendrag............................................................................155.3 Kommunikasjon........................................................................................................166. Diverse revisjon av fellessystemer.................................................................................176.1 Bakgrunn og formål..................................................................................................176.2 Hovedkonklusjon og sammendrag............................................................................176.3 Kommunikasjon........................................................................................................187. Revisjon av FAS og rutiner og kontroller knyttet til inntekter fraalarmabonnementer og unødige utrykninger...............................................................197.1 Bakgrunn og formål..................................................................................................197.2 Hovedkonklusjon og sammendrag............................................................................197.3 Kommunikasjon........................................................................................................198. Lokal og sentral tilgangsadministrasjon i SATS barnehage.......................................208.1 Bakgrunn og formål..................................................................................................208.2 Hovedkonklusjon og sammendrag............................................................................208.3 Kommunikasjon........................................................................................................20Kommunerevisjonen3

Rapport 02/20139. Revisjon av Xpand og husleieinntekter ........................................................................219.1 Bakgrunn og formål .................................................................................................219.2 Hovedkonklusjon og sammendrag............................................................................219.3 Kommunikasjon........................................................................................................2110. Revisjon av inntekter fra Ungbo via Concorde ...........................................................2210.1 Bakgrunn og formål..................................................................................................2210.2 Hovedkonklusjon og sammendrag............................................................................2210.3 Kommunikasjon........................................................................................................2211. Revisjon av Picasso og gjennomgang av inntekter ved Øvingshotellet......................2311.1 Bakgrunn og formål..................................................................................................2311.2 Hovedkonklusjon og sammendrag............................................................................2311.3 Kommunikasjon........................................................................................................2312. Generelle it kontroller i PAX, oppfølging av fjorårets revisjon..................................2412.1 Bakgrunn og formål..................................................................................................2412.2 Konklusjon og sammendrag......................................................................................2412.3 Kommunikasjon........................................................................................................244Kommunerevisjonen

Intern kontroll i og rundt enkelte IT-systemer. Samlerapport 20121. InnledningDette er en samlerapport med resultatet avti IT-revisjoner og undersøkelser som blegjennomført i 2012 og som ikke er presentert forkontrollutvalget tidligere.Formålet med de ulike IT-revisjonene er ågjennomgå og evaluere den interne kontrolleni og rundt IT-systemer av betydning forregnskapet. Målet er å gi en rimelig sikkerhetfor at IT-systemene er satt opp på en måtesom sikrer korrekt regnskapsrapportering.Resultatene av alle revisjonene og undersøkelseneer i all hovedsak rapportert til derespektive virksomhetene / byrådsavdelingenepå et detaljert nivå, og vi har mottatt tilbakemeldingom eventuelle tiltak.Denne rapporten inneholder bakgrunn ogkonklusjon fra hver av de ti IT- revisjonene ogundersøkelsene som er gjennomført. I tilleggpresenterer vi en sammenligning av noen avkontrollpunktene som omhandler generelleIT- kontroller fra de ulike revisjonene. Disse errapportert i et eget avsnitt for å vise fellestrekk,jf. kap 2.1.1 Om revisjoneneRevisjonene er gjennomført basert på enoverordnet risikovurdering som konkludererpå viktigheten av systemet for behandling avøkonomiske data for den enkelte virksomhet.Stort transaksjonsvolum, implementering av nyesystemer, kompleksitet og mange grensesnitter faktorer som gir innspill til, og påvirker,vår risikovurdering ved gjennomføring av ITrevisjoner.DnB erstattet Nordea som kommunenshovedbank fra 1. januar 2012 og DnB Connecter DnB sin nettbank. En av revisjoneneomhandler masseremittering fra Agresso tilDnB Connect, se kap. 3.NLP håndterte ca. 65% av lønnskostnadenefor Oslo Kommune i 2012. I kapittel 4gjengis resultatene fra en ekstern revisjonav driftsmiljøet til NLP. Undersøkelsen ergjennomført av driftsleverandørens eksternerevisor og følger en standard som er tilrettelagtfor at Kommunerevisjonen kan bygge pårevisjonsresultatene.Agresso HR er i løpet av 2012 rullet ut i allekommunens virksomheter parallelt medutfasingen av NLP. I kapittel 5 har vi laget enoppsummering av aktiviteter som Kommunerevisjonenhar utført for å kunne revidere detnye HR systemet på en mest mulig effektivmåte.I kapittel 6 gjengis resultatene fra ulike revisjonshandlingerrettet mot fellessystemene i OsloKommune der formålet har vært å bidra til eneffektiv regnskapsrevisjon.I kapittel 7 oppsummeres en revisjon av Brannogredningsetatens alarmhåndteringssystemFAS som benyttes til registrering avalarmabonnement og utrykninger ved 110- sentralen, herunder kontroller i og rundtgrensesnittet til Agresso.I kapittel 8 presenterer vi funnene fra en revisjonav lokal og sentral tilgangsadministrasjon iSATS barnehage. Systemet benyttes av allebydeler i forbindelse med registrering avopplysninger relatert til barn i barnehage ogberegning av månedlig oppholdsbetaling fordisse.En oppsummering av revisjon av Xpand oghusleieinntekter i Omsorgsbygg er presentert ikapittel 9. Xpand er Omsorgsbyggs system forforvaltning, drift og vedlikehold av eiendommer,herunder beregning av husleieinntekter.Kommunerevisjonen5

Rapport 02/2013Revisjon av Concorde som benyttes av Ungbo iforbindelse med forvaltning av boliger, herunderhusleieinntekter, oppsummeres i kapittel 10.Picasso er et støtteverktøy for kundebehandlereog faktureringsansvarlige, og er et standardbookingsystem for hoteller som er tilpassetØvingshotellet. Revisjon av Picasso og inntekterhos Øvingshotellet er gjengitt i kapittel 11.Til slutt, i kapittel 12, gjengir vi en oppfølgingav en revisjon gjennomført i 2011 av generelleIT kontroller i PAX. Dette er Kemnerkontoretssystem for fakturering, regnskapsføring oginnkreving av gebyrer for Trafikketaten.6Kommunerevisjonen

Intern kontroll i og rundt enkelte IT-systemer. Samlerapport 20122. Fellestrekk ved revisjonene2.1 InnledningKommunerevisjonen har gjennomgått oggjennomført en sammenligning av noen avkontrollpunktene i seks av de gjennomførteIT-revisjonene i 2012. Dette er generelle ITkontrollersom er felles for flere av kommunensvirksomheter. Hensikten er å se på muligefellestrekk.Det er de siste par årene også gjennomført flererevisjoner som har avdekket alvorlige svakheterknyttet til informasjonssikkerhet i virksomheterunder Byrådsavdeling for miljø og samferdsel.Formålet med å gjennomføre en sammenligning,uavhengig av virksomhet, er på et genereltgrunnlag å kunne gi innspill til områder hvordet kan være svakheter basert på erfaring i andrevirksomheter. På denne måten håper vi at bådevirksomhetene og kommunen sentralt kan brukeresultatene i et lærings- og forbedringsarbeidsom kan være viktig for flere enn bare dereviderte virksomhetene.Oslo kommune jobber med å forbedre seg påIKT-området. I 2011 startet kommunen etinformasjonssikkerhetsprosjekt som eies ogledes av Byrådsavdeling for finans. Hensiktenmed prosjektet er ifølge byrådsavdelingen åutvikle og klargjøre for implementering ethel-hetlig internkontroll- og styringssystemfor informasjonssikkerhet med styrendedokumenter på overordnet nivå som en del avdet kontinuerlige forbedringsarbeidet.Som en del av prosjektet foretok kommunenvåren 2011 en egenevaluering på ulikeområder knyttet til informasjonssikkerhet i allevirksomhetene i kommunen. Egenevalueringeninnebar først og fremst en kartlegging av ihvilken grad virksomhetene vurderte at dehadde dokumenterte rutiner og retningslinjerog ikke en direkte måling av den faktiskeinformasjons-sikkerhetstilstanden i virksomhetene.Egenevalueringen viste veldig tydeligrom for forbedring, spesielt i forhold til brukav risikovurderinger og dokumentering avgjennomførte tiltak, organisering av roller ogansvar, dokumenterte rutiner for b.la håndteringav hendelser, kontinuitetsplanlegging ogetterlevelse.Ser vi virksomhetenes egenevaluering oppmot de svakhetene vi avdekker under våregjennomførte IT-revisjoner så kan vi se at det eren sammenheng.Opprinnelig plan var en avslutning av prosjektetvåren 2013. Informasjonssikkerhetsprosjekteter forsinket i forhold til dette. Høsten 2012vedtok styringsgruppen til prosjektet åinkludere en revisjon av kommunens gjeldendeinformasjonssikkerhetsinstruks fra 2001 iprosjektet for å sikre en mer overordnet strukturog et klart eierskap til informasjonssikkerheteni kommunen. I tillegg var det ønskelig med entydeliggjøring av ansvaret som ligger i de ulikerollene på informasjonssikkerhetsområdet.Arbeidet med å få på plass en revidertinformasjonssikkerhetsinstruks antas ifølgeprosjektet å være ferdig i løpet av våren 2013.Informasjonssikkerhetsprosjektet har utarbeidetutkast til veiledere og maler, og med basis idisse og instruksen vil Byrådsavdeling forfinans utforme endelige rundskriv, veiledere ogmaler på området. Parallelt med arbeidet medå revidere informasjonssikkerhetsinstruksener det utarbeidet en utdypende metodikk forrisikovurdering som noen virksomheter ikommunen har vært med på å prøve ut.Når informasjonssikkerhetsprosjektet blirferdig vil kommunen i følge prosjektet hagrunnlag for å utøve god styring og kontroll påinformasjonssikkerhetsområdet.Kommunerevisjonen7

Rapport 02/20132.2 Metodikk ved våre revisjonerGenerelle IT-kontroller er kontroller man har påIT-området og som ivaretas helt eller delvisav en IT-avdeling. Disse skal være med på åsikre og understøtte fullstendighet, rettidighet,nøyaktighet, pålitelighet og sporbarhet avforretningstransaksjoner.Vår metode ved IT- revisjoner bygger påCobiT som er et globalt anerkjent rammeverkfor styring og kontroll av IT, og omfatterprosesser og kontroller som også finnes ikommunens instruks for informasjonssikkerhet.Internkontrollmodellen som vi reviderer etter erillustrert i Figur 1.I rapporteringen som presenteres i kapittel2.3, har vi tatt utgangspunkt i de viktigsteproblemstillingene og svakhetene vi haridentifisert i våre revisjoner av generelle ITkontrolleri de ulike virksomhetene.Applikasjonskontroller og IT- avhengigekontroller er avhengig av generelle ITkontrollerfor å fungere tilfredsstillende, ogav disse er tilgangskontroller og endringshåndtering,etter Kommunerevisjonensvurdering, å anse som de mest kritiske. Vi har iall hovedsak derfor valgt å fokusere på disse toområdene under revisjonene i 2012.Figur 1.Manuelle kontrollerHardkodedeautomatisertekontrollerKonfigurerbareautomatisertekontrollerApplikasjonskontrollerApplikasjonsforvaltningApplikasjonsdriftIT-styring og intern kontrollGenerelle IT-kontroller8Kommunerevisjonen

Intern kontroll i og rundt enkelte IT-systemer. Samlerapport 20122.3 Fellestrekk ved revisjonsresultateneFelles trekk fra revisjonene og vurderingsskalaenkan illustreres som følger:SKALA: JA NEI NOE IKKE VURDERTKriterium System 1 System 2 System 3 System 4 System 5 System 61. Tilgangskontroller1.1 Eksisterer det oppdaterte ogskriftlige prosedyrer for hvordantilgangskontroller skal tildeles,administreres og følges opp?1 2 2 3 1 31.2 Er privilegertebrukere/administratorer begrensettil kun autorisertpersonell?1 1 1 1 3 21.3 Er tilgangskontrollerimplementert for å støttetilfredsstillende arbeidsdeling ikritiske funksjoner iforretningsprosessen 3 3 2 1 3 11.4 Blir tilganger til systemetregelmessig gjennomgått?2 2 2 2 2 12. Endringshåndtering2.1 Eksisterer det oppdaterte ogskriftlige prosedyrer for endringshåndtering(autorisasjon,dokumentasjon,testing,godkjenning og arbeidsdeling)? 2 2 2 4 4 32.2 Gjennomføresendringshåndtering iht. til skriftligeprosedyrer2.3 Blir endringer somgjennomføres overvåket?4 2 2 4 4 34 2 2 4 4 42.4 Vurdering av revisjonsresultateneMed utgangspunkt i tabellen, har vi evaluert degjennomgåtte IT-prosessene tilgangskontrollerog endringshåndtering og vurdert risikoene somde identifiserte svakhetene representerer forkommunen.Det er likhetstrekk med resultatet som blerapportert som fellestrekk i fjor når det gjeldertilgangskontroller og endringshåndtering.Området som omfatter endringshåndteringkommer dårligere ut i forhold til fjoråretsrapportering, dette kan også være tilfeldig uti fra hvilke systemer som er revidert. Det erlikevel på det rene at både tilgangskontrollerog endrings-håndtering er to områder derdet er utfordringer i forhold til rutiner ogdokumentasjon.1. TilgangskontrollerGode tilgangskontroller er viktige bl.a. forå forebygge og oppdage misligheter og feilKommunerevisjonen9

Rapport 02/2013i regnskapet. Vi har undersøkt dette i seksrevisjoner i 2012. Som figuren ovenfor viserer det avdekket en god del svakheter på detteområdet.Manglende oppdaterte og skriftlige prosedyrerfor hvordan tilganger skal tildeles, administreresog følges opp er en gjennomgående svakhet.Dette gir en økt risiko for at tilgangskontrollerikke blir implementert på en tilfredsstillendemåte.I fem av seks revisjoner finner vi at gjennomgangav tilganger ikke blir utført. Dette giren økt risiko for uautoriserte tilganger tilIT-systemene da eventuelle feil i og for videtilganger ikke blir oppdaget.2. EndringshåndteringEn god endringshåndteringsprosess er viktigfor å sikre at et IT- system fungerer somforutsatt og bidrar til den måloppnåelsensom IT- systemet er ment å gi. Vi har vurdertendringshåndtering i fire av de seks revisjonenesom er illustrert i figuren ovenfor og vi ser atdette er et område med flere svakheter når detgjelder rutiner og dokumentasjon. En uformellendringshåndteringsprosess øker risikoen foruautoriserte endringer og at IT- systemeneikke blir oppdatert med riktig funksjonalitet tilriktig tid.10Kommunerevisjonen

Intern kontroll i og rundt enkelte IT-systemer. Samlerapport 20123. Masseremittering fra Agresso til DnB Connect3.1 Bakgrunn og formålOslo Kommune brukte tidligere Nordea sombankforbindelse, men DnB ble valgt som nyhoved leverandør av banktjenester fra og medjanuar 2012.DnB stiller nettbankapplikasjonen DnB Connecttil rådighet for Oslo kommune som abonnererpå tjenesten. All utvikling av applikasjonenskjer hos DnB.Revisjonens formål er å innhente rimeligsikkerhet for at regnskapene ikke inneholdervesentlige feil når det gjelder håndtering avmasseremittering fra Agresso som følge avsvakheter i DnB Connect. Masseremitteringer en tjeneste som håndteres av Utviklingsogkompetanseetaten på vegne avalle virksomhetene i Oslo Kommune.Iht. årsberetningen til Utviklings- ogkompetanseetaten for 2012, behandletfakturasentralen ca. 630.000 fakturaer til Oslokommunes virksomheter i 2012.3.2 Hovedkonklusjon og sammendragSystemforvaltningByrådsavdeling for finans skrev et brevtil UKE høsten 2011 der de definerteoverordnet hvilke arbeidsoppgaver de såfor seg at administratorene hos Utviklingsogkompetanseetaten skulle ha knyttet tilbrukeradministrasjon i DnB Connect. Irutinehåndbokens kap. 6 «administrasjonav brukere, kontoer og divisjoner» eradministratorenes oppgaver nærmere definert.Det er i innkjøringsfasen av DnB Connectikke foretatt noen systematisk oppfølging avat Utviklings- og kompetanseetaten utfører dearbeidsoppgavene de er satt til å håndtere.Vi har avdekket manglende definering ogdokumentasjon av arbeidsoppgaver foradministratorer og dette øker risikoen for atarbeidsoppgaver ikke blir gjennomført eller atde gjennomføres på feil måte.Det er ikke etablert en formell prosess forendringshåndtering rundt DnB Connect i OsloKommune. Det finnes en uformell rutine for atbrukerne kan komme med endringsønsker tilByrådsavdeling for finans. Det avholdes jevnligedriftsmøter mellom banken, Byrådsavdelingfor finans, representanter fra Utviklingsogkompetanseetaten og Helseetaten 1 derendringsforslag kan fremlegges, og så er det opptil banken om de ønsker å videreføre ønskene.Administratorene i UKE er ikke kjent medom det finnes en kanal for å komme medendringsønsker, hverken til Byrådsavdelingfor finans eller DnB. Manglende fellesrutine for å fange opp, prioritere og å meldeendringsønsker øker risikoen for at systemetikke dekker kommunens behov på en optimalmåte. Administratorene i Utviklings- ogkompetanseetaten påpeker eksempelvismanglende funksjonalitet for søk og litebrukervennlige tilgangsoversikter i nettbanken.Tilgangskontroller og arbeidsdelingDet er etablert tvungen dualkontroll 2 itilgangsadministrasjonen. Ifølge brukerhåndbokakap. 6.4.2 skal en administratorikke gis tilgang til konto eller divisjon. Vi harverifisert at administratorer har tilgang til åendre egne rettigheter for divisjoner. Dettehar forekommet under administrasjon avsigilleringsparametre 3 der noen har gitt seg selvtilgang til å endre divisjoner.1Helseetaten er fagansvarlig for alle sektor systemene2To personer må være involvert i endringer som foretas.3Agresso har en egen funksjonalitet for sigillering (forseglingav fil). Sigilleringsparameterne i Agresso ersigillgenerator (32 tall) og sekvensteller. Endringer iparameterne uten tilsvarende endringer i Connect vilmedføre sigilleringsfeil.Kommunerevisjonen11

Rapport 02/2013Administratorer har tilgangsprivilegier i bådeDnB Connect og Agresso og har dermedmulighet til å implementere tilganger som vilrepresentere svak arbeidsdeling og gi en risikofor feil utbetalinger. Tvungen dualkontrollkompenserer delvis for denne risikoen.Når det gis tilgang i DnB Connect sjekkeradministratorene tilgangsautorisasjoner oppmot brukernes tilganger i Agresso på egetinitiativ for å forhindre brudd på arbeidsdelingsprinsippene.Ved slike konflikter kontakteradministrator aktuell autorisasjonsansvarlig.Tilsvarende kontroll utføres imidlertid ikke iAgresso. Administratorene er usikre på hvilketansvar de har når arbeidsdelingsprinsippenebrytes og hvilken myndighet de har til å nektetilgang ved en konflikt i bestilte/gitte tilgangeri DnB Connect. De etterlyser retningslinjer pådette området for å kunne håndtere jobben på enbest mulig måte. Det arbeides med å få på plassen rapport som avdekker prinsippbrudd mellomAgresso og DnB Connect og vi anbefalerByrådsavdeling for finans å etablere rutiner forkontroll av brudd på arbeidsdelingsprinsippenemellom Agresso og nettbanken. Disse kaneksempelvis være en del av rutinene forregelmessig gjennomgang av tilganger isystemene.Vi har avdekket at åtte personer haddeinkompatible tilganger i DnB Connect ogAgresso og som er i strid med kommunensføringer om tilgangskontroller i Rundskriv12/2004. Risikoen for uautorisert remittering/utbetaling i nettbanken er delvis kompensertmed tvungen arbeidsdeling i DnB Connect.Oslo kommune har ikke tilstrekkelig tilgang tillogger i DnB Connect. Loggen over endringeri tilganger som administratorene har tilgangtil, brukes ved behov og er ikke tilrettelagtfor regelmessig oppfølging. Byrådsavdelingfor finans har stilt krav til loggfunksjonalitet inettbankløsningen for at det skal være mulig åspore tilbake til ansvarlig bruker ved eventuellehendelser. I følge Byrådsavdeling for finans erdet ikke gjort noen vurdering av behov for ogbruken av loggfunksjonalitet i DnB Connect utover det.Brukerautorisasjon og gjennomgang avbrukereByrådsavdeling for finans har utarbeidethensiktsmessige rutiner for autorisasjonav brukere i nettbanken i Oslo kommune.Autorisasjonsskjemaet er imidlertid utarbeidetav DnB og skjemaet er ikke tilpasset OsloKommune sitt behov. Skjemaet er litebrukervennlig, både for de som fyller det utog administratorene som leser det. Det erikke utarbeidet noen veiledere for utfyllingav skjemaet. Dette representerer en risikofor at skjemaet blir feil utfylt, noe som igjenkan medføre at brukere får tilganger de ikkeskulle hatt. I tillegg medfører disse uklarhetenemerarbeid for administratorene som må kontaktevirksomhetene for å korrigere skjemaene.Administratorer kontrollerer signaturer påautorisasjonsskjemaer, men de mangler oversiktover personer med autorisasjonsmyndighet.Dette øker risikoen for at brukere får uautoriserttilgang til funksjoner i systemetPr. i dag er det ikke etablert rutiner forgjennomgang av tilgangsrettigheter iDNB Connect, hverken i Utviklings- ogkompetanseetaten eller i virksomhetene.Lite brukervennlige tilgangsrapporter inettbanken, manglende tilgang til fullstendigeoversikter hos virksomhetene og ikke-søkbareautorisasjonsskjemaer gjør det vanskelig åkontrollere at tilgangene til virksomhetensbankkonti er korrekt implementert.3.3 KommunikasjonOppsummering av revisjonen ble sendtpr. brev til Byrådsavdeling for finans medkopi til Utviklings- og kompetanseetaten05.10.2012. Byrådsavdelingen skriver i sittsvarbrev til Kommunerevisjonen at de er enig12Kommunerevisjonen

Intern kontroll i og rundt enkelte IT-systemer. Samlerapport 2012i forholdene som påpekes og skal sørge forrisikoreduserende tiltak knyttet til de svakheterKommune revisjonen har avdekket knyttet tilsystemforvaltning og tilgangskontroller.Det fremkommer videre at arbeidet er igangsatt,og i det videre arbeidet vil byrådsavdelingen hagod nytte av de observasjoner og vurdering avrisiko som Kommunerevisjonen har gjort.Kommunerevisjonen13

Rapport 02/20134. Drift av kommunens lønnssystem (NLP)4.1 Bakgrunn og formålOslo Kommune har i 2012 brukt Evry 4 somdriftsleverandør av NLP. NLP behandlet i 2012vesentlige deler av kommunens lønnsutgifterog refusjonsinntekter. Evry sine aktiviteterer således vesentlige for kommunen og er avbetydning for revisjonen.Kommunerevisjonen reviderer normalt ikke ITmiljøethos kommunens serviceleverandører.Revisjonen bygger på en uttalelse fra Evry sinrevisor, som er Ernst & Young (E&Y).Uttalelsen følger regnskapsstandarden ISAE3402 – Attestasjonsuttalelser om kontroller hosen serviceorganisasjon.E&Y er en av de største internasjonalerevisjonsselskapene, og har etter vår vurderingtilfredsstillende kompetanse til å utføre dennetype oppdrag. E&Y har utarbeidet en uttalelseom utformingen, implementeringen ogmåleffektiviteten av intern kontroll i Evry sineoperasjonelle prosesser. Uttalelsen gjelder forforretningsområdet «løsninger Offentlig» somNLP har sortert under.Uttalelsen gjelder ledelsens beskrivelse avintern kontrollsystemet, dets design og om detfungerer hensiktsmessig. Sistnevnte er basertpå resultatet av testing av et utvalg kontroller.Utvalgsmetoden er en kombinasjon av samplingog skjønnsmessige individuelle risikovurderinger.Testfrekvensen kan være årlig,kvartalsvis, månedlig, ukentlig, hendelsesdreveteller kontinuerlig 5 . For 2012 er utvalgtekontroller testet under følgende områder:Styre hendelser (4 kontroller – 1 avvik)Styre problemer(4 kontroller – 3 avvik)Styre endringer (7 kontroller – 1 avvik)Styre konfigurasjonen (4 kontroller)Styre servicenivå (4 kontroller)Styre kapasitet (5 kontroller)Styre tilgjengelighet (9 kontroller)Styre brukertilgang (6 kontroller – 3 avvik)Styre sikkerhet (32 kontroller – 5 avvik)Styre prosjekter (4 kontroller – 1 avvik)Styre leverandører (2 kontroller)4.2 Hovedkonklusjon og sammendragUttalelsen fra E&Y konkluderer positivt ogKommunerevisjonen mener at den underbyggervår oppfatning om at det er relativt lav risikofor vesentlig feilinformasjon på regnskaps- ogregnskapspåstandsnivå for transaksjonsklasser,kontosaldoer og tilleggsopplysninger knyttet tildrift av NLP i relevant periode i 2012.Ernst & Young avdekket avvik i til sammen 14kontroller. EVRY har gjennomgått avvikene, gittkommentarer og beskrevet korrigerende tiltakinklusive tidsfrister.4.3 KommunikasjonOvennevnte er kommunisert til Utviklings- ogkompetanseetaten i brev 18.02.2013.4Evry ble til i 2012 etter en fusjon mellom EDB Businesspartner og ErgoGroup5For eksempel overvåking og logging14Kommunerevisjonen

Intern kontroll i og rundt enkelte IT-systemer. Samlerapport 20125. Revisjon av nytt lønnssystem5.1 Bakgrunn og formålAgresso HR er i løpet av 2012 rullet ut i allekommunens virksomheter samtidig medutfasingen av NLP. Lønnssystemet produserervesentlige beløp for kommunen i form avlønn og godtgjørelser og håndterer vesentligeinntekter i form av sykelønnsrefusjoner fraNAV.Kommunerevisjonen har gjennomgått deler avrutinene i og rundt HR systemet for å kartleggevesentlige transaksjonsstrømmer og identifiserenøkkelkontroller som revisjonen basererevisjonen på for å utføre en effektiv revisjon.Ut fra dette skal vi fastsette et revisjonsoppleggsom gir rimelig sikkerhet for at bokført lønnog refusjon ikke inneholder vesentlige feil ellermangler.Vi har i tillegg undersøkt deler avdatakonverteringen fra NLP til Agresso HR.5.2 Hovedkonklusjon og sammendragKartlegging av transaksjonsklasser ognøkkelkontrollerEn transaksjonsklasse er en gruppe transaksjonersom er underlagt samme prosesser og kontroller(Nøyaktighet - fullstendighet - gyldighet).Nøkkelkontroller kjennetegnes ved at de kan, gittat de etterleves og/eller fungerer hensiktsmessig,redusere eller eliminere hele eller vesentligedeler av kontrollrisikoen i en transaksjonsklasse.Regnskapsrevisjonen baserer mye av revisjonenpå å teste etterlevelse av nøkkekontroller, somfor eksempel at lønnsrapport for ledere blirkontrollert på riktig måte og i tilstrekkeligomfang.Kartleggingen av HR-systemet har ikkeavdekket vesentlige endringer i verkentransaksjonsklasser eller nøkkelkontrollerSammenlignet med NLP. Dette innebærer atlønn i Agresso HR i all hovedsak vil bli revidertpå samme måte som i NLP og at vi oppdaterervåre revisjonsprogram med terminologi ogbegreper fra Agresso HR.Effektivisering av revisjonenAgresso HR representerer teknologier somgir betydelige effektiviseringsmuligheter.Kommunerevisjonen har fått særskilt tilgangtil funksjonalitet og data i Agresso HR, ogjobber kontinuerlig med effektivisering avrevisjonsarbeidet. Vi forventer ytterligereeffektiviseringer i 2013 i takt med at viopparbeider oss kompetanse på systemet.IT-revisjonerKartleggingen av Agresso HR har bidratt tilbedre prioritering av de IT-revisjonene som erobligatoriske i Agresso HR.Konvertering av data fra NLP til HRBåde NLP og Agresso HR beregner lønn ogrefusjonskrav som en funksjon av registrertedata om personressurser og faste data.Systemene håndterer også akkumulerte dataav betydning for innrapportering til sentralemyndigheter. Tidligere års revisjoner harikke avdekket vesentlige feil eller mangler idatakvaliteten i NLP 6 . Kommunerevisjonen harderfor ment at dataene i NLP i det vesentligstehar hatt tilstrekkelig kvalitet.For å kunne bygge videre på datakvaliteten harvi evaluert konverteringen av lønnsdata fra NLPtil Agresso HR. I gjennomgangen har vi blantannet vurdert om konverteringsmetodikken harvært hensiktsmessig, om virksomhetene harfulgt metodikken og om HR-prosjektet sentralthar fulgt opp virksomhetene på en god måte.Undersøkelsene av virksomhetene har inngåttsom en del av ordinær lønnsrevisjon for 2012.6Jf. kommunerevisjonens rapporter: 23/2005, 13/2009,6/2010, 10/2010 og 4/2011Kommunerevisjonen15

Rapport 02/2013Kommunerevisjonen mener at metodikken i allhovedsak har vært hensiktsmessig for sitt formålog at gjennomføringen av konverteringen avdata relatert til utbetaling av lønn synes å hafungert som planlagt.Gjennomføringen av konverteringen av fraværsdatasynes ikke å ha fungert som forutsatt. Enstund var det tvil om prosjektet ville kommei mål med konvertering av fraværsdatatil årsavslutningen. Kommunerevisjonenmener at det på et for sent tidspunkt ble tatttak i problemene med konverteringen avfraværsdataene. Revisjonen vil følge oppvirksomhetenes håndtering av vesentlige avvik.5.3 KommunikasjonByrådsavdeling for finans er i brev av21.02.2013 informert om revisjonens foreløpigekonklusjoner om konverteringen. Våravsluttende gjennomgang av konverteringene eren del av den ordinære regnskapsrevisjonen ogpågår som en del av revisjon av årsregnskapet.Dersom det avdekkes vesentlige beløpsmessigefeil eller mangler eller andre svakheter i internkontrollene rundt konverteringen vil det blirapportert som en del av regnskapsrevisjonennår denne er avsluttet.16Kommunerevisjonen

Intern kontroll i og rundt enkelte IT-systemer. Samlerapport 20126. Diverse revisjon av fellessystemer6.1 Bakgrunn og formålAgresso Business World (ABW) erOslo kommunens felles økonomisystemog informasjonen i systemet dannergrunnlag for kommunens regnskap. ABWer også et viktig verktøy i utførelsen avkommunerevisjonens revisjonshandlinger.Revisjonshandlingene hviler på en forutsetningom at datagrunnlaget i hovedbok, reskontro,og saldotabeller er fullstendig, gyldig ognøyaktig, samt at arbeidsdeling, fullmakterog tilganger er iht. kommunens retningslinjer.Revisjonshandlingene involverer blant annetbruk av den rapporterings-funksjonaliteten somligger i systemets spørremaler og browser.Etter innføringen av Agresso i 2002, avdekketvi store svakheter i tilgangsadministrasjonen.Tilgangsadministrasjonen er senere innskjerpet.Etter innføringen av elektroniskfakturabehandling i 2006, avdekket vistore svakheter i tabeller, regelverk ogloggføring som skulle ivareta arbeidsdelingi godkjenningsprosessen. Rutinene er senereendret og har i all hovedsak deretter fungertetter hensikten.Vi har også avdekket avvik i regnskapsrapporteri forhold transaksjonsdatabasen, somskyldes svakheter i rutinene rundt endringerav regnskapsopplysninger og oppdateringtabeller. Rutinene har blitt endret ila 2011 ogser ut til å fungere som forutsatt (se pliktigregskapsrapportering).Vår erfaring de senere årene peker påsærskilt risiko ved innføring og endring avøkonomisystemer.Formålet med revisjonen er å bidra tileffektiv regnskapsrevisjon gjennom å vurdereom integriteten i Oslo kommunes fellesøkonomisystemer ivaretar målsettingene omfullstendighet, gyldighet og nøyaktighet iregnskapet.6.2 Hovedkonklusjon og sammendragArbeidsdeling i den elektroniskefakturabehandlingenEtter innføringen av versjon 5.5 i juni 2011har vi ikke funnet mangelfull arbeidsdelingpå leverandørfakturaer. Det ser derfor ut tilat innføringen av versjon 5.5 har medført atarbeidsdelingskontrollen fungerer som forutsatt.Pliktig regnskapsrapporteringDen pliktige regnskapsrapporteringen skjergjennom de predefinerte rapportmaleneOKS 033, 034, 036 og 039. Disse er basertpå saldotabeller som genereres ut fra ulikerapporteringsbegreper fra transaksjonstabeller iABW og ser ut til å fungere som forutsatt.Rapporteringsbegrepene er ikke en del avkonteringsstrengen, og det vil som tidligerevære viktig å ha kontroll på relasjonene(koblingene) mellom konteringsbegrepene ograpporteringsbegrepene.For å fange opp eventuelle avvik mellomhovedbok og saldotabellene, er det etablert enrapport som sammenlikner aggregerte beløpi saldotabellene mot tilsvarende hovedbokstransaksjoner.Ved avvik blir Agressobrukerstøtte varslet på e-post. Denne rapportenser ut til å fungere som forutsatt. I tilleggtil de automatiske kontrollene skjer det entilsvarende manuell kontroll i forbindelse medperiodeavslutning.InternkontrollgrunnlagVirksomhetene bruker spesielt en spørring ogen rapport i Agresso som grunnlag for internkontroll av merverdiavgift. Både spørringen ograpporten ser ut til å fungere som forutsatt.Kommunerevisjonen17

Rapport 02/2013Tilganger som medfører både utbetalings- ogbokføringsfullmaktEn sammenstilling av bokføringstilganger medutbetalingsfullmakter i DNB pr. virksomhet i2012 avdekket en del forhold som vi har valgtå følge mot den enkelte virksomhet. Samletresultat av dette vil ikke foreligge før revisjonenfor 2012 er avsluttet.6.3 KommunikasjonDenne IT revisjonen er en del av den ordinæreregnskapsrevisjonen, og rapportering tilrevidert enhet skjer på samme måte som iregnskapsrevisjonen. Byrådsavdeling forfinans er særskilt informert om innholdet idette kapitlet. Dersom det avdekkes vesentligesvakheter i intern kontrollene ved de avsluttenderevisjonshandlingene i regnskapsrevisjonen,vil det bli rapportert som en del av regnskapsrevisjonennår denne er avsluttet.18Kommunerevisjonen

Intern kontroll i og rundt enkelte IT-systemer. Samlerapport 20127. Revisjon av FAS og rutiner og kontroller knyttet tilinntekter fra alarmabonnementer og unødige utrykninger7.1 Bakgrunn og formålApplikasjonen FAS benyttes ved 110-sentralenhos Brann- og redningsetaten. FAS generererinntektsgrunnlag knyttet til alarmabonnementerog unødige utrykninger. Inntektene for disseutgjorde i 2012 ca. 24 mill. kr for alarmabonnementerog ca. 10,5 mill. kr for unødigeutrykninger.Revisjonens formål er å sikre fullstendighet forinntektene for alarmabonnement og unødigeutrykninger. Herunder gjennomgang ogvurdering av IT-miljøet i og rundt applikasjonenFAS, grensesnittet mellom FAS og Agresso,samt fakturering og bokføring i Agresso.7.2 Hovedkonklusjon og sammendragVi har observert svakheter i alle de gjennomgåtteIT-prosessene endringshåndtering,tilgangskontroller, IT-organisering, risikostyringog driftskontinuitet. I hovedsak ersvakhetene knyttet til manglende skriftligerutinebeskrivelser og manglende prosedyrer.Etaten opplyste at det pågikk et arbeid med etinformasjonssikkerhetsdokument som skullerapporteres til byrådsavdelingen i løpet avnovember 2012.For grensesnittet mellom FAS og Agresso ogkontroller i og rundt Agresso har vi observertsvakheter på flere områder, i hovedsak knyttettil manglende rutinebeskrivelser, manglendedokumentasjon av gjennomførte kontroller ogmanglende arbeidsdeling i inntektsprosessene.Testing av et utvalg transaksjoner i regnskapet(utgående fakturaer og kreditnotaer) avdekketogså enkelte feil og mangler knyttet til deforskjellige inntektsprosessene for alarmabonnementerog unødige utrykninger.Samlet sett medfører svakhetene en risiko forat regnskapsførte inntekter ikke blir korrekte ogfullstendige.7.3 KommunikasjonRevisjonen ble rapportert til etaten høsten2012. Brann- og redningsetaten har i sittsvar til Kommunerevisjonen sagt at de tar dekommenterte forholdene til etterretning ogvil foreta en gjennomgang av aktuelle rutiner.Etaten vil komme tilbake med nærmere svar nåren slik gjennomgang er utført.Kommunerevisjonen19

Rapport 02/20138. Lokal og sentral tilgangsadministrasjon i SATS barnehage8.1 Bakgrunn og formålSATS barnehage benyttes av alle bydeler iforbindelse med registrering av opplysningerrelatert til barn i barnehage og beregningav månedlig oppholdsbetaling for disse.Byrådsavdeling for kultur og næring ersystemeier, Helseetaten er systemansvarligog bydelene er brukere av systemet. Oslokommunes inntekter generert gjennomoppholdsbetaling ved barnehagene var omtrent441 millioner i 2011.Revisjonens formål er å innhente rimeligsikkerhet for at regnskapene ikke inneholdervesentlige feil i inntektene som følge avsvakheter i brukeradministrasjonen i SATSbarnehage.8.2 Hovedkonklusjon og sammendragBrukeradministrasjonI henhold til Rutinehåndboken er den enkeltebydel ansvarlig for å håndtere brukeradministrasjoneni SATS barnehage. Tilgang tilSATS barnehage gis ved at bemyndiget personved bydelen godkjenner den nye brukerenpå standard autorisasjonsskjema. Det er ikkelagt føringer for hvordan disse skjemaene skaloppbevares eller hvor lenge de skal oppbevaresi bydelene. Det er ikke noe krav om ellerfelles rutine for årlig gjennomgang av brukertilgangene.Ved tildeling av tilganger til SATS barnehageskal tilgangsnivået vurderes ut fra hvilketbehov den enkelte bruker har. Dersom en nybruker opprettes uten tilgangsnivå og utentilgangsgruppe, får man automatisk full tilgangtil systemet.Brukerautorisasjon og gjennomgang avbrukere ved bydeleneGrunnlag for vår kontroll var en oversikt fraHelseetaten over gjeldende tilganger til SATSbarnehage. Oversikten viste 149 tilgangerper 07.06.2012. Tilganger i henhold tiloversikten ble sendt de respektive bydelene forgjennomgang og tilbakemelding ble derettergitt til kommunerevisjonen. Resultatet avundersøkelsen viste at 49 av de registrertebrukerne ikke lenger hadde behov for tilgang tilSATS barnehage, enten fordi de hadde sluttet ibydelen eller hadde fått andre arbeidsoppgaver.Det var kun to bydeler hvor aktive tilganger vari samsvar med oversikten fra Helseetaten, forseks av bydelene viste tilbakemeldingen at antalltilganger burde vært redusert med fem eller flerebrukere. Ved tre av bydelene var det opprett totilganger til samme bruker slik at brukere kunneutføre forskjellige funksjoner samtidig, den enebydelen har nå slettet den ene tilgangen for sinbruker mens de to andre bydelene opprettholdtbegge til-gangene. Brukere legges inn i systemetuten fullt navn, slik at kun brukeridenten visespå tilgangsoversiktene8.3 KommunikasjonOppsummering av revisjonen ble sendt per brevtil Byrådsavdeling for kultur og næring medkopi til bydelene. Byrådsavdeling for kulturog næring skriver i sitt svarbrev til kommunerevisjonenat det er sendt et brev til allebydelene hvor byrådsavdelingen ber bydelenefølge de anbefalinger Kommunerevisjonen girog sørge for at mangler ved tilgangskontrollenkorrigeres.Byrådsavdelingen ber også bydelene sørge for atoppfølging av gjeldende rutiner er innarbeidet ibydelen slik at tilsvarende feil ikke oppstår.20Kommunerevisjonen

Intern kontroll i og rundt enkelte IT-systemer. Samlerapport 20129. Revisjon av Xpand og husleieinntekter9.1 Bakgrunn og formålXpand er Omsorgsbyggs system for forvaltning,drift og vedlikehold av eiendommer, herunderberegning av husleieinntekter. Systemet ble satti drift i 2010. Det samlede bygningsarealet erpå ca. 930 000 m2 og er fordelt på over 1 100bygg. Husleieinntektene som gikk gjennomXpand var for 2011 i overkant av 1 milliardkroner, 970 millioner i intern husleie og 46millioner i husleie til eksterne leietakere.Revisjonens formål er å innhente rimeligsikkerhet for fullstendighet og nøyaktighet ihusleieinntektene.9.2 Hovedkonklusjon og sammendragTilgangskontroller og endringshåndteringVi har observert svakheter i IT-prosesseneendringshåndtering og tilgangskontroller,i hovedsak er dette knyttet til manglendeskriftlige rutinebeskrivelser og prosedyrer.Foretaket har opplyst om at de jobber med åutarbeide skriftlige rutinebeskrivelser på beggeområder. Det er manglende oppfølging av loggeri Xpand, noe som øker risikoen for at uvanligeog uautoriserte hendelser ikke blir oppdaget.Bruk og nytte av XpandPr. i dag ligger prosjektkalkyle og husleiekalkulatori Excel mens fakturering ogbokføring håndteres i Agresso. Bruken avXpand til å formidle økonomisk informasjoninnebærer således et ekstra ledd i faktureringen,og derfor også en tilleggsrisiko for at bevissteog ubevisste feil kan oppstå.FaktureringVed vår test av utvalgte eiendommer mot detsom er fakturert, har vi i vår stikkprøvekontrollavdekket to tilfeller av overfakturering.Foretaket har opplyst at dette vil bli korrigert.9.3 KommunikasjonOppsummering av revisjonen ble sendt per brevtil foretaket med kopi til Byrådsavdeling forkultur og næring 03.01.2013. Foretaket skriveri sitt svarbrev til Kommunerevisjonen at de taroppsummeringen i brevet til etterretning og vilsørge for at områdene som mangler skriftligerutiner blir fulgt opp og lagt inn i foretaketsKS-system. Det vil også bli gjennomført internekontroller for å sikre at alle nye anlegg blirfakturert.Kommunerevisjonen21

Rapport 02/201310. Revisjon av inntekter fra Ungbo via Concorde10.1 Bakgrunn og formålConcorde benyttes av Ungbo i forbindelse medforvaltning av boliger, herunder husleieinntekter.Velferdsetaten er systemeier fra og med 2012.Systemet anses som virksomhetskritisk,inntektene utgjorde ca. kr 15 mill. i 2011.Systemet ble innført i Oslo kommune i 1988 ogetter våre opplysninger ble vedlikeholdsavtalenmed leverandøren sagt opp i 2004 og systemethar derfor ikke vært gjenstand for vedlikeholdetter dette. Leverandøren har ikke lenger tilbudom brukerstøtte/utvikling av Concorde.Revisjonens formål er å innhente rimeligsikkerhet for at regnskapene ikke inneholdervesentlige feil i inntektene ved virksomhetensom følge av svakheter ved driften i IT-systemetConcorde.10.2 Hovedkonklusjon og sammendragDet er ikke utarbeidet særskilt beredskapsplaneller definert tilgjengelighetskrav for Concorde.Oslo kommunes driftsleverandør Evry drifterConcorde og foretar sikkerhetskopiering avConcorde på lik linje med andre systemerpå vegne av Oslo kommune slik at det vedmidlertidig driftsavbrudd er mulig å tilbakeføredata. Hvis det skulle oppstå en situasjonhvor systemet ikke lenger fungerer vil detimidlertid ikke være mulig å legge tilbake ensikkerhetskopi fordi Concorde da ikke lenger vilvære tilgjengelig.Concorde logger alle hendelser i systemet, mendet er ikke etablert rutiner for hvilke hendelsersom skal kontrolleres. Det foretas ingen kontrollav loggene. Det har ikke vært foretatt slettingav data i loggen i perioden siden oppstarten avConcorde i 1988.10.3 KommunikasjonOppsummering av revisjonen ble sendt per brevtil Velferdsetaten med kopi til Byrådsavdelingfor eldre og sosiale tjenester. Velferdsetatenskriver i sitt svarbrev til Kommunerevisjonen atvirksomheten er enig med Kommunerevisjoneni at det er behov for nye IT-løsninger for Ungbosom sikrer husleieinntekter og journaler knyttettil den enkelte beboer. Virksomheten hariverksatt en gjennomgang av Ungbo som ogsåvil omfatte en vurdering av forvaltnings- ogkvalitetssystem for tjenesten. Gjennomgangener forventet avsluttet i mars 2013. Virksomhetenvil også se på ordninger som på kort sikt vilbedre situasjonen. Det er også opprettet enhurtigarbeidende arbeidsgruppe som skal se påløsninger på kort sikt for å ivareta nødvendigdriftssikkerhet og ha ansvar for å gjennomførekontroll/gjennomgang av logger.22Kommunerevisjonen

Intern kontroll i og rundt enkelte IT-systemer. Samlerapport 201211. Revisjon av Picasso og gjennomgang av inntekter vedØvingshotellet11.1 Bakgrunn og formålPicasso ble anskaffet av Kulturetaten og tatt ibruk av Øvingshotellet i 2011. Picasso benyttestil booking av rom og økonomioppfølging. Defleste betaler kontant etter bruk, mens noen blirfakturert. I 2011 var det 3,2 mill. i inntekter somble generert i Picasso. Systemet er forholdvisnytt, og det er derfor foretatt en vurdering/revisjon av systemet og rutinene.Revisjonens formål er å innhente rimeligsikkerhet for at regnskapene ikke inneholdervesentlige feil som følge av forvaltningen ogbruken av bookingsystemet Picasso.11.2 Hovedkonklusjon og sammendragForvaltning av PicassoØvingshotellet er kjent med at systemetsfunksjonalitet ikke dekker virksomhetensbehov. Virksomheten har imidlertid ikkegjennomført en risikovurdering av systemet. Deter derfor usikkert om de etablerte kontrollenei og rundt systemet er hensiktsmessige.Denne usikkerheten og den mangelfullefunksjonaliteten gjør at risikoen knyttet tilelektronisk behandling av inntekter ikke ertilstrekkelig håndtert.Brukerdokumentasjon og opplæringBrukerdokumentasjonen og opplæringentilrettelegger for hensiktsmessig bruk avsystemet.System- og brukeradministrasjonPicasso tillater svake passord, og Øvingshotellethar ikke definert krav til passordkompleksitet ogpassordskifte. Systemet har loggfunksjonalitet,men Øvingshotellet har ikke etablert rutiner forgjennomgang av logger. Uautoriserte endringer idataene blir derfor ikke oppdaget.Kundebehandlere har ikke tilgang tilsystemparametere og tilgangs-administrasjon.Men det er ikke etablert arbeidsdeling mellomde som foretar bookinger, og de som tar imotbetalinger eller fakturerer. To brukere haddetilgang til systemet selv om de ikke haddebehov for den. Vi har også oppdaget at topersoner hadde tilganger som medfører svakarbeidsdeling.Gjennomgang av inntekteneTimeantall registreres manuelt i systemet, ogrompris velges fra en rullegardinmeny. Beggedeler kan endres manuelt underveis. Dette økerrisikoen for at bookinger ikke faktureres ellerfaktureres med lavere pris enn det skal. Det erikke etablert uavhengig kontroll av timeantall ogpris på vanlige kunder.Manuell inntasting av beløp til betaling i bådesystemet og bankterminalen øker risikoen forfeil, men uoverensstemmelser vil bli oppdagetved dagsavstemming. Uavhengig kontroll avdagsavstemminger reduserer risikoen for feil.Øvingshotellet kontrollerer ikke om dags-/ukesrapportene blir fullstendig og korrektbokført i Agresso.Det er ikke etablert en uavhengig kontrollav kunderegistrering i Agresso eller avfaktureringen som foretas med grunnlag iPicasso.Øvingshotellet bør etablere rutine for åkontrollere om de overførte fakturagrunnlagenefaktisk blir fakturert og inntektsført f.eks. vedat sum oversendte fakturaer fra Picasso bliravstemt mot sum inntektsført i Agresso.11.3 KommunikasjonOppsummering av revisjonen ble sendt per brevtil Kulturetaten med kopi til Byrådsavdeling forkultur og næring 24.10.2012. Vi har foreløpigikke mottatt noe svar på vårt brev fra etaten.Kommunerevisjonen23

Rapport 02/201312. Generelle it kontroller i PAX, oppfølging av fjoråretsrevisjon12.1 Bakgrunn og formålPAX er Kemnerkontorets system for fakturering,regnskapsføring og innkreving av gebyrer forTrafikketaten. Parkeringsgebyr (inkl. piggdekkogmiljøgebyr) og forhøyelser ved forsinket betalingutgjorde ca. 140 mill. i 2012.På bakgrunn av Kommunerevisjonens rapportom IT- systemet PAX utstedt i 2011, er detforetatt en oppfølging av generelle IT- kontrollerhos Kemnerkontoret våren 2012.12.2 Konklusjon og sammendragEndringshåndtering2011:Kemnerkontoret har en prosedyrefor håndtering av endringsønsker for PAX,men endringshåndteringen i etaten er ikkeformalisert.2012: Kommunerevisjonen har fått utlevert enrutinebeskrivelse for endringsstyring i PAX. Nårdet gjelder testing av endringer så ser vi at ITavdelingenseventuelle kompabilitetstesting ikkeer omtalt i rutinen.Brukeradministrasjon2011:Kemnerkontoret mangler skriftligerutiner for brukeradministrasjon. De etablerterutinene etterleves ikke alltid og dette blirikke fulgt opp. Som en konsekvens av dette,mangler enkelte eksisterende tilganger til PAXskriftlig autorisasjon – noe som vanskeliggjørgjennomgang av tilganger.2012: Kommunerevisjonen har fått utlevert enskriftlig rutine for opprettelse av brukertilganghos Kemnerkontoret. Rutinen for oppfølging avbrukere i PAX er mindre presis.Tilgangskontroller2011: Tilgangsrapportene gir mangelfull ogikke-korrekt oversikt over brukerne, rollene ogtilgangsrettighetene. Det lar seg ikke bekrefteat gitte tilganger stemmer med autorisasjoner.Det er etablert arbeidsdeling mellombestilling og implementering av tilganger,24men kontrollfunksjon mangler – rollene ogbrukerkontoene gjennomgås ikke regelmessig.2012: Kemnerkontoret har avdekkettilfredsstillende tilgangsoversikter i PAX.Man venter også på neste versjon av PAX dertilgangsadministrasjonen/roller er forbedret.Det er etablert en rutine for regelmessiggjennomgang av brukere og tilknyttede roller(jf. formell rutine for oppfølging av brukere iPAX), men ikke innholdet i rollene.Tilgang til administratorrollen i PAX2011: Kommunerevisjonen anser at antall PAXbrukeremed administratorrollen var unødvendigstort på revisjonstidspunktet. Tilgangen er gitt til14 brukere til sammen.2012: Administratorrollen er gitt 11 brukere,b.la til regnskapsansvarlig.Passordsikkerhet2011: Passordreglene tillater svake passord,i tillegg til at manglende passordvalideringgjør det mulig for brukere å lage enda svakerepassord.2012: Sikkerhetshåndboken stiller krav tilpassordsikkerhet. Kravet til passordkompleksitetsynes ikke å være tilfredsstillende, og kravet tilpassordbytte er ikke presist.Loggfunksjonalitet2011: Låsing av journaler kompenserer delvisfor mangelfull logging og loggjennomgang, menuvanlige og uautoriserte hendelser knyttet tilbruker- og systemadministrasjon i PAX vil ikkebli oppdaget.2012: Kemnerkontoret er ikke kjent medloggoppbygningen og har derfor ikke definertkriterier og rutiner for oppfølging av logger.12.3 KommunikasjonOppsummering av oppfølgingen fra 2011 blesendt pr. brev til Kemnerkontoret med kopitil Byrådsavdeling for finans 28.08.2012.Virksomheten har svart på brevet med tiltak påhver enkelt av våre observasjoner.Kommunerevisjonen

Oslo kommuneKommunerevisjonenGrenseveien 88, 0663 OSLOTelefonnummer: 23 48 68 00Telefaksnummer: 23 48 68 01www.krv.oslo.kommune.nopostmottak@krv.oslo.kommune.noGrafisk produksjon: Allkopi AS - 02.13