Revisionsberetning 2023

Indstilling

Sundheds- og Omsorgsforvaltningen indstiller,

1. At Sundheds- og Omsorgsudvalget godkender den anførte handleplan.

Problemstilling

Kommunens revisionsselskab, EY, har i samarbejde med Intern Revision udar­bejdet Revisi­onsberetning vedrørende årsregnskabet for 2023. Beretningen inde­holder enkelte be­mærkninger, der retter sig mod ’forvaltningerne’, og som Økonomi­forvaltningen derfor har anmodet alle for­valtninger om at udarbejde handleplaner i forhold til. Derudover er der i beretningen bemærkninger, som specifikt ret­ter sig mod enkeltforvaltninger, dette vedrører dog ikke Sundheds- og Omsorgsforvaltningen.

Løsning

Revisor anfører følgende bemærkninger i beretningen vedrørende årsregnskab 2023.

1. Bilagskontrol - Forvaltningerne undtagen BIF
2. Ibrugtagningstilladelse på IT-systemer - Forvaltningerne
3. Privilegerede brugere - Økonomiforvaltningen
4. Revision af balancen – Forvaltningerne
5. Igangværende anlægsprojekter – Økonomiforvaltningen og Teknik -og miljøforvaltningen.
6. Takstberegning §§ 109 og 110 - Socialforvaltningen
7. Beboermidler SOF - Socialforvaltningen
8. Brugerstyring og ledelsestilsyn med brugerautorisationer - Forvaltningerne
9. Erhvervelejemål KFF - Kultur -og Fritidsforvaltningen
10. Egenbetaling – Socialforvaltningen

Økonomiforvaltningen har anmodet Sundheds -og Omsorgsforvaltningen om at udarbejde handleplan i forhold til flg. to be­mærkninger:

2. Ibrugtagningstilladelse på IT-systemer

8. Brugerstyring og ledelsestilsyn med brugerautorisationer

Bemærkning nr. 2 - Ibrugtagningstilladelse på IT-systemer

Revisors bemærkning:

Det henstilles,

• at de systemer, der ikke har en ibrugtagningsstatus, bliver gennemgået, og oplysningerne i FISKK bliver opdateret. 80 konti er kategoriseret 2 som ”Afstemt til opfølgning”
• at der udføres en tilpasset sikkerhedsvurdering af systemer ibrugtaget før 2018
• at de systemer, der har status ”ikke godkendt” eskaleres, jf. anskaffelsescirkulæret, og der træffes de nødvendige foranstaltninger, bl.a. om udfasning, idet disse, jf. kommunes regler, udgør en sikkerhedsrisiko.

Forslag til handleplan:

SUF følger aktiviteterne i den tværgående handleplan udarbejdet af Koncern IT på baggrund af ovenstående revisionsbemærkninger.

I forlængelse af disse aktiviteter er der i SUF udarbejdet følgende handleplan:

Pkt. 1
For de it-systemer uden ibrugtagningsstatus, der har systemejerskab i SUF, sikrer SUF opdatering af it-systemoplysninger i KK’s it-systemregister (FISKK) inden for deadline fastsat af Koncern IT. Deadline er ikke udmeldt på nuværende tidspunkt.

 Pkt. 2
De systemansvarlige i SUF udfører kritikalitetsscoring af systemer udvalgt af Koncern IT på baggrund af opdaterede systemoplysninger, jf. punkt 1. Efter afsluttet kritikalitetsscoring igangsættes en sikkerhedsvurdering hos KIT Sikkerhed. Deadline er 31. juli.

Pkt. 3
SUF igangsætter i samarbejde med Koncern IT enten godkendelse eller udfasning af systemer med status ’ikke godkendt’. Deadline 4. kvartal 2024.

Indsatserne i handleplanen for håndtering af revisionsbemærkningen forventes afsluttet 2. kvartal 2025.

Bemærkning nr. 8 - Brugerstyring og ledelsestilsyn med brugerautorisationer I

Revisors bemærkning:

Det henstilles, at:

• de ledelsestilsyn, som skal sikre, at de ansatte ikke har adgang til personoplysninger, hvor der ikke er et arbejdsbetinget behov, udføres i overensstemmelse med kommunens regler. Det gælder både de systemer, der er integreret i IGA-løsningen, og de systemer, der ligger uden for IGA-løsningen
• det aktivt sikres, at systemer er korrekt mærkede i forhold til det fastlagte dataklassifikationssystem i kommunens fortegnelse FISKK
• alle kommunens systemer med adgangsstyring og værdi- og personoplysninger, hvis det er teknisk muligt, integreres i kommunens IGA-løsning
• der tages stilling til hvordan de væsentlige strategiske mål og forretningsmæssige gevinster, der sikres i IGA-løsningen, sikres for de 587 systemer, som på nuværende tidspunkt ikke er i IGA-løsningen, og de 39 systemer, hvor det ikke teknisk er muligt at blive tilmeldt IGA-løsningen bør være særligt kritiske.

Det anbefales herudover, at:

• ledelsestilsynene for systemer integreret i kommunens IGA-løsning opstartes automatisk
• kommunens regler (governance) revurderes og beskrives i en fælles administrativ forretningsgang, hvor der fokuseres på at skabe gennemsigtighed i hvordan og hvilke strategiske mål og forretningsmæssige gevinster operationaliseres/sikres for fuldt ud at realisere målet om at reducere ressourceforbruget på området væsentligt og forbedre brugeroplevelsen for autorisationsansvarlige og ledere.

Forslag til handleplan:

SUF indgår i initiativerne i den tværgående handleplan, og viderefører dertil i egen forvaltning indsatserne opstartet i 2023 med fokus på kravene til ledelsestilsyn med autorisationer.

I forlængelse af ovenstående indeholder SUF’s handleplan følgende tiltag.

Pkt. 1
Gennemgang af it-systemporteføljen i Økonomiforvaltningen med sikring af, at gennemførsel af tilsyn sker i overensstemmelse med kommunens regler.

Pkt. 2
Gennemgang af om der er yderligere systemer i Økonomiforvaltningen, der kan være relevante at implementere i IGA-løsningen (Identity Governance & Administration-løsning). Deadline: 2. kvartal 2025

Økonomi

Indstillingen har ingen økonomiske konsekvenser.

Videre proces

• Udvalgene skal behandle egne handleplaner i løbet af august, inden en samlet sag med handleplaner forelægges Økonomiudvalget den 27. august
• Økonomiudvalget forelægges opfølgning på handleplanerne primo 2025