Afgivelse og modtagelse af revisorerklæringer. Gitte Nielsen, ATP Thomas Gi Scharf, KMD Jess Kjær Mogensen, PwC

Transkript

1 Afgivelse og modtagelse af revisorerklæringer Gitte Nielsen, ATP Thomas Gi Scharf, KMD Jess Kjær Mogensen, PwC

2 Agenda Indledning Baggrund Udfordringer Løsninger Afslutning 2

3 Baggrund 3

4 Revisionserklæringer til Udbetaling Danmark Udbetaling Danmark blev etableret med virkning fra efteråret 2012 for at samle dele af kommunernes opgaver vedrørende objektiv sagsbehandling. ATP leverer den tekniske og administrative bistand. Målet med etableringen af stordriftsorganisationen var, at: spare kommunerne for knapt 300 mio. kr. om året sikre en mere ensartet sagsbehandling. Opgaver i etableringsfasen Systemunderstøttelse og teknisk infrastruktur Nyt system Integration Infrastruktur Systemtilpasning Revisionserklæring Konvertering 4

5 Parterne ATP Deloitte Intern Revision Kontrakt KMD Leverance PwC Intern Revision 5

6 Hirakiet ATP KMD Jurister Kontrakt Jurister Management Management Daglig ledelse Daglig ledelse Medarbejdere Medarbejdere Revisorer Revisorer 6

7 Udfordringer 7

8 ATP s bekymringer i forhold til revisionserklæringer år 0 ATP Hvilkenrolle skal ledelsen kontra revisionen spille, og hvordan sikrer vi ledelsens opbakning, herunder ledelsens ansvar for økonomi? Kan KMD frigøre de relevante personertil erklæringsarbejdet. De samme personer var vitale for fremdriften i projektet? Skæringsfladermellem ATP og KMD, herunder håndtering af uenigheder om ansvarsområder? Harrevisionen tilstrækkelig viden til at udarbejde de relevante kontrolmål (ATP havde på daværende tidspunkt ikke overtaget de berørte opgaver)? Hvad gørvi i revisionen, hvis vi på et sent tidspunkt finder væsentlige mangler i kontrolmål og identificerede kontroller? Hvordansikrer revisionen et fyldestgørende samlet revisionsbevis for revisionen til tiden? 8

9 KMD s bekymringer i forhold til revisionserklæringer år 0 KMD Hvordan sikres, at modtagers revisor i god tid klart kommunikere, hvilke kontroller der ønskes testet. Det kræver, at modtagne revisor involverer sig? Er der sikkerhed på ledelsesplan om fx betaling og indholdet i erklæringen? Kan vi undgå at ledelsens beskrivelse af systemer bliver en reklamesøjle? Har vi nøjagtige/fuldstændige beskrivelser af egne processer og kontroller? Er der klare interne processer vedrørende opfølgning på tidligere års observationer? 9

10 PwC s bekymringer i forhold til revisionserklæringer år 0 PwC Hvor lang tid tager det? Hvilken erklæringsstandard er den mest rigtige? Hvad er et realistisk erklæringsomfang og kan alle blive enige herom? Hvordan sikrer vi risk management? Bliver populationen tilstrækkelig? Er kontaktpersonerne hos KMD og ATP de rigtige, til at vi kan få tilstrækkelig indsigt? Er det movingtarget eller kan en genstand låses i forholdtil PwC s arbejdshandlinger? 10

11 Løsninger 11

12 Tidslinje Maj 2012 Første møde September 2012 Type I-erklæring Oktober 2012 Driftsstart Februar 2013 Type II-erklæring 12

13 Tre muligheder for erklæring ISAE 3000 Andre erklæringsopgaver; her aftales specifikt, hvilke revisionshandlinger der skal udføres, og dette beskrives i erklæringen. Der er ikke noget krav om, at virksomhedens system skal beskrives, og der afgives en samlet konklusion i forhold til de kriterier, der defineres i erklæringen. ISAE 3402 Erklæringsopgaver med sikkerhed om kontroller hos en serviceleverandør; her beskrives virksomhedens system, og der opstilles en række kontrolmål, kontrolaktiviteter, tests og resultater af tests. Det konkluderes, om beskrivelsen er fyldestgørende, og om kontrollerne har været tilstrækkelige til at opfylde kontrolmålene. ISRS 4400 Aftalte arbejdshandlinger; her aftales specifikt, hvilke revisionshandlinger der skal udføres, og resultatet for hver enkelt af disse oplistes i erklæringen. Der er ikke noget krav om, at virksomhedens system skal beskrives, og der afgives ikke nogen samlet konklusion. 13

14 Erklæringer fra KMD til ATP ISAE 3402-erklæring om generelle it-kontroller ISAE erklæring om overholdelse af persondataloven ISAE erkæring om applikationskontroller i applikationskompleks I ISAE erkæring om applikationskontroller i applikationskompleks II ISAE erkæring om applikationskontroller i applikationskompleks III ISAE erkæring om applikationskontroller i applikationskompleks IV 14

15 Fastlæggelse af kontrolmål Fastlæggelse af kontrolaktiviteter Evaluering af resultat Aftale om kontrolmål og -aktiviteter Test Resultat Evaluering af kontrolmål og -aktiviteter Evaluering af resultat Forløb og opbygning af erklæringer Afklaring og prioritering 15 Revision

16 Kontrolmål - eksempler Håndter nye ansøgninger Håndter løbende ændringer Alle digitalt ansøgte sager oprettes på baggrund af fuldstændige og nøjagtige data Alle sager beregnes automatisk på baggrund af korrekt sats samt øvrige relevante parametre. Samtlige ydelser, der påvirkes af en hændelse, bliver systemmæssigt genberegnet Samtlige ydelser, der bliver genberegnet, medfører automatisk en modregning eller en ekstra udbetaling. Rolleopbygning Der foreligger tilgængelige, valide og fuldstændige beskrivelser af rolleprofiler Opbygningen af rolleprofiler sikrer, at der kan etableres den fornødne funktionsadskillelse. Tværgående områder Der foreligger opdaterede og fuldstændige systembeskrivelser Opsætning af systemerne sikrer entydigt transaktions- og kontrolspor. 16

17 Grænseflader og kontroller Programmerede kontroller - Applikationskontroller - Generelle it-kontroller Manuelle kontroller - Ledelseskontroller - Proceskontroller It-baserede manuelle kontroller - Ledelseskontroller - Proceskontroller. 17

18 Processen i år 1 og frem Planlægningsmøde/Evalueringsmøde Fælles:Vurdering af, om der er behov for ændring af kontrolmål og kontroller. Afgivelse af erklæring PwC: Test af kontroller, beskrivelse af revisionens resultatet og udformning af samlet konklusion. Udarbejdelse af liste over revisionsbemærkninger. KMD:Evaluering af revisionens resultat og udformning af ledelseserklæring. Evaluering og fastlæggelse af plan of action for revisionsbemærkninger. Modtagelse af erklæring ATP/Deloitte: Gennemgang af erklæring og vurdering af samlet konklusion. Vurdering af revisionsbemærkninger samt behov for kompenserende revisionshandlinger. Vurdering af samlet revisionsbevis for området. Rapportering til ledelsen. Opfølgning på revisionsbemærkninger KMD: Løbende opfølgning og rapportering til ATP. 18

19 Rapporteringen Opstart på erklæringsåret Ændringer i kontrolmiljøet Kundens ønsker om ændret fokus Tilretning af kontroller Periode Erklæring + liste med observationer Interimserklæring Ultimoerklæring Periode Erklæring + opfølgning på observationer 19

20 Observation Overskrift Issue, nøjagtig og med omfang Konstaterede fejl eller ej Risiko Anbefaling Prioritet Ledelsens kommentarer Plan for afhjælpning. 20

21 Økonomi Alle tre revisioner så neutrale som muligt dem, der har pengene har også beslutningen men på oplyst grundlag Ingen incitamenter til dysfunktionel adfærd God planlægning gav mulighed for effektiv økonomistyring. Hvem betaler? Krav ><Budget Indflydelse på effektivitet af revisionsproces Afgiver Krav til Erklæring Modtager 21

22 Afslutning 22

23 ATP s bekymringer i forhold til revisionserklæringer år 0 ATP Hvilkenrolle skal ledelsen kontra revisionen spille, og hvordan sikrer vi ledelsens opbakning, herunder ledelsens ansvar for økonomi? Kan KMD frigøre de relevante personertil erklæringsarbejdet. De samme personer var vitale for fremdriften i projektet? Skæringsfladermellem ATP og KMD, herunder håndtering af uenigheder om ansvarsområder? Harrevisionen tilstrækkelig viden til at udarbejde de relevante kontrolmål (ATP havde på daværende tidspunkt ikke overtaget de berørte opgaver)? Hvad gørvi i revisionen, hvis vi på et sent tidspunkt finder væsentlige mangler i kontrolmål og identificerede kontroller? Hvordansikrer revisionen et fyldestgørende samlet revisionsbevis for revisionen til tiden? 23

24 KMD s bekymringer i forhold til revisionserklæringer år 0 KMD Hvordan sikres, at modtagers revisor i god tid klart kommunikere, hvilke kontroller der ønskes testet. Det kræver, at modtagne revisor involverer sig? Er der sikkerhed på ledelsesplan om fx betaling og indholdet i erklæringen? Kan vi undgå at ledelsens beskrivelse af systemer bliver en reklamesøjle? Har vi nøjagtige/fuldstændige beskrivelser af egne processer og kontroller? Er der klare interne processer vedrørende opfølgning på tidligere års observationer? 24

25 PwC s bekymringer i forhold til revisionserklæringer år 0 PwC Hvor lang tid tager det? Hvilken erklæringsstandard er den mest rigtige? Hvad er et realistisk erklæringsomfang og kan alle blive enige herom? Hvordan sikrer vi risk management? Bliver populationen tilstrækkelig? Er kontaktpersonerne hos KMD og ATP de rigtige, til at vi kan få tilstrækkelig indsigt? Er det movingtarget eller kan en genstand låses i forholdtil PwC s arbejdshandlinger? 25

26 Tre gode råd Skab rum for åben dialog Få commitmentfra nøglepersoner Udvis fleksibilitet. 26

27 Spørgsmål Gitte Nielsen Tlf Thomas Gi Scharf Tlf Jess Kjær Mogensen Tlf