Endringene i bestemmelsene om transaksjonskontroller ved utbetalinger åpner for at virksomhetene kan endre deler av sine rutiner for å legge til rette for en mer effektiv og digital oppgaveløsning. Noen krav er også formulert tydeligere.
En viktig avveining i økonomiregelverket er hvilke økonomioppgaver en virksomhet må ivareta selv, og hvilke oppgaver som kan overlates til en annen statlig virksomhet eller til en tjenesteyter («ekstern arbeidsdeling»). Bestemmelsene beskriver ulike modeller for arbeidsdeling i punkt 2.6 (tidligere lå denne beskrivelsen i punkt 4.5). Bestemmelsene inneholder også krav til intern arbeidsdeling i virksomheten, til risikovurderinger og til konkrete transaksjonskontroller.
Et viktig grunnlag for endringene er DFØs vurderinger i rapport 5/2018:
Adgang til å la andre ivareta autorisasjonen av betalingsoppdrag
Endringer i punkt 2.6 og 3.7.3.3 innebærer utvidet adgang til å avtale at en annen statlig virksomhet eller en statlig tjenesteyter ivaretar autorisasjon av betalingsoppdrag, slik at denne adgangen ikke lenger bare gjelder for små virksomheter. Samtidig fjernes kravet om godkjenning fra overordnet departement av slike avtaler om autorisasjon.
For å sikre at virksomheten har foretatt nødvendige kontroller førbetalingsprosessen starter (og dermed også før autorisasjonen), er det i punkt 3.7.3.2 tatt inn en ny presisering om at utøvd budsjettdisponeringsmyndighet og attestasjon skal være dokumentert før en transaksjon tas med i et betalingsoppdrag.
Virksomheten skal foreta en vurdering av internkontrollen før den eventuelt inngår avtale med andre om autorisasjon av betalingsoppdrag. I dette ligger det at virksomheten skal ha vurdert om opplegget for internkontroll er tilpasset risiko og vesentlighet, jf. krav i bestemmelsene punkt 2.4 (blant annet i første og nest siste avsnitt).
I punkt 3.7.3.3 er det også presisert at det er betalingsoppdraget som skal kontrolleres mot antall transaksjoner og totalsum i bankens systemer (tidligere formulering var «det som ligger i virksomhetens systemer»).
Adgang til å la innleid personell ivareta økonomioppgavene bestilling og attestasjon
Økonomiregelverket stiller krav til at visse transaksjonskontroller skal utføres av ansatte i virksomheten. Dette begrenser både adgangen til å overlate oppgaver til eksterne og adgangen til å bruke innleid personell til å ivareta bestemte oppgaver. Endringene i punktene 2.5.2.2 og 5.3.5 innebærer at kravene er endret slik at innleid personell kan ivareta bestilling av varer og tjenester og attestasjon av utgifter.
Bestilling menes her å gjennomføre bestillinger i tilfeller der en annen ansatt allerede har utøvd budsjettdisponeringsmyndighet, for eksempel bestillinger innenfor avtaler som virksomheten har inngått. Endringene vil gjøre at virksomheter som i noen tilfeller har behov for å leie inn personell for eksempel til å ivareta prosjekt- eller byggeledelse, kan legge opp mer effektive transaksjonskontroller ved at de slipper at både en ansatt og en innleid må inn på de samme oppgavene.
I enkelte slike tilfeller kan også innleid personell ha bedre grunnlag enn ansatte for å utføre attestasjonsoppgaven. Virksomhetene vil måtte vurdere risiko og kontrollopplegg før de eventuelt lar innleid personell ivareta denne oppgaven.
Det er også tatt inn en presisering av at virksomheten, dersom den velger å la andre enn ansatte med budsjettdisponeringsmyndighet effektuere bestillinger, skal ha etablert systemer og rutiner som sikrer at bestillingene gjennomføres i tråd med den foretatte budsjettdisponeringen. Kravet gjelder både ved bestillinger gjort av ansatte og av innleid personell. Det er en risiko for avvik mellom budsjettdisponering og bestilling i slike tilfeller. Virksomheten må vurdere denne risikoen.
Kravet om ansatte skal ivareta budsjettdisponeringer er holdt uendret (jf. bestemmelsene punkt 2.5.2.1). Dette er en viktig forutsetning for endringen som er gjort av kravet om at kun ansatte kan bestille og attestere utbetalinger.
Krav til intern arbeidsdeling ved registering av opplysninger om betalingsmottakere
Det er nye krav ved registrering av informasjon om betalingsmottakere. Disse kom fordi det er en risiko for feil, mangler og misligheter som kan knyttes til mangel på intern arbeidsdeling.
Tidligere versjon av økonomiregelverket inneholdt ikke konkrete krav til arbeidsdeling ved registrering av opplysninger om betalingsmottakere. En ansatt som har utøvd budsjettdisponeringsmyndighet, har samtidig kunnet attestere for utgiften (ved transaksjoner som gjelder små beløp) og stått for registrering av opplysninger om betalingsmottaker (inkludert bankkontonummer). Ansatte med budsjettdisponeringsmyndighet kunne ut fra dette potensielt ivareta mange ulike oppgaver i transaksjonshåndteringen og få vide fullmakter.
Kravene til intern arbeidsdeling er ut fra dette endret slik at ansatte med budsjettdisponeringsmyndighet ikke kan ivareta oppgaver med å registrere og endre opplysninger om betalingsmottakerne (for eksempel registrere nye leverandører og endre bankkontonummer).
Denne presiseringen er innarbeidet i sammenheng med omtalen av oppgaven som skal utføres, det vil si i omtalen i kapittel 5, 6 og 7 (i punktene 5.2.4.1, 5.3.3, 6.3.8.1 og 7.3.9.1).
Virksomhetene må innenfor disse nye rammene fortsatt vurdere hvordan internkontrollen bør legges opp og om den er tilpasset risiko og vesentlighet (slik regelverket stiller krav om), herunder hva som er en forsvarlig arbeidsdeling.
Krav til å dokumentere kontroll av gjennomført attestasjon og utført budsjettdisponeringsmyndighet før en utbetaling kan finne sted
Utøvd budsjettdisponeringsmyndighet og attestasjon skal dokumenteres, jf. bestemmelsene punkt 2.5.1. Økonomiregelverket har imidlertid ikke vært helt tydelig på når dokumentasjonen skal foreligge. Dette er nå tydeliggjort slik at både budsjettdisponering og attestasjon skal dokumenteres før utbetaling kan finne sted. Dette gjøres for å redusere risiko for feil, mangler og misligheter.
Kravet er innarbeidet i bestemmelsene punkt 3.7.3.2 Produksjon og overføring av betalingsoppdrag. Kravet er vurdert til å samsvare med hvordan de aller fleste virksomhetene har innrettet seg i praksis.
Andre endringer i bestemmelsene om transaksjonskontroller
- Begrepsendring: I hele dokumentet er «tilsatt» og «tilsetting» endret til «ansatt» og «ansettelse». Dette er en tilpasning til begrepsbruken i statsansatteloven av 2017.
- Punkt 2.5.2.1 Budsjettdisponeringsmyndighet er gjort tydeligere blant annet ved å endre rekkefølgen i teksten. Det er også klargjort at utbetaling av lån til andre skal bekreftes av en ansatt med budsjettdisponeringsmyndighet (dette innebærer ingen realitetsendringer).
- Punkt 2.5.2.2 Attestasjon er det gjort flere endringer i, se omtale over. I tillegg er det i andre avsnitt tatt inn en kort omtale som dekker alle typer utbetalinger (lønn, anskaffelser, tilskudd og stønader, utlån og tilbakebetalinger). Hensikten er å gjøre det tydeligere hva som ligger i attestasjonsoppgaven og hva som er sammenhengen mellom en attestasjon og attestasjonskontrollene (at en attestasjon bygger på at bestemte kontroller er utført). Begrepet bekrefte er brukt om attestasjonen for å formidle viktigheten av attestasjonen og ansvaret som ligger til oppgaven. Det er, tilsvarende som ved budsjettdisponering, tatt inn at lån er blant utbetalingene som skal attesteres. Felles for kravene til attestasjonskontroller i kapitlene 5 til 7 er for øvrig at kontrollene dels er rettet mot den økonomiske forpliktelsen for virksomheten (i form av avtale, bestilling, vedtak mm.), og dels mot hva som er mottatt eller utført av den som utbetalingen går til (i form av leverte varer og tjenester, utførte timeverk, oppfyllelse av vilkår ved tilskudd mm.).
- Omtalen i punkt 5.3.5.2 første avsnitt bokstav c av attestasjonskontroller ved utgifter til varer og tjenester, er klargjort, blant annet ved å stryke noen betingelser. Ved disse endringene samsvarer kontrollkravet bedre med dagens krav i punkt 2.5.2.2 første avsnitt bokstav a.
- Kontroll av at beløpet er riktig kontert , er tatt ut som en av attestasjonskontrollene (som har inngått som skal-krav i grunnlaget for å kunne attestere). Endringen gir virksomheten rom for å vurdere hvordan kontrollen av konteringen bør organiseres, herunder mulighet til å avtale at en tjenesteyter ivaretar deler av denne kontrollen (som artskonto etter standard kontoplan). Det vil fortsatt gjelde krav om at konteringen skal kontrolleres før bokføring kan finne sted (jf. bestemmelsene punkt 2.5.2.3). Ved at kontroll av konteringen ikke lenger er en obligatorisk del av kontrollene som inngår i attestasjonen, blir det noe enklere å utvikle løsninger der attestasjonen kan gjøres maskinelt, det vil si på grunnlag av maskinelle attestasjonskontroller ved bruk av funksjonalitet i virksomhetens økonomisystem (som etter regelverket kan driftes av virksomheten selv eller av en tjenesteyter).
- Omtalen av organisering av økonomioppgaver er flyttet fra punkt 4.5 til nytt punkt 2.6 (dagens punkt 2.6 om evaluering blir punkt 2.7). Bakgrunnen for flyttingen er at omtalen passer bedre i kapittel 2 om virksomhetens interne styring enn i kapittel 4 som primært omtaler bokføring og økonomisystemet. I kapittel 2 henger kravene til organisering av økonomioppgavene sammen med omtale i punkt 2.2 av myndighet og ansvar og i punkt 2.4 og 2.5 av internkontroll og transaksjonskontroller.
- Kravet i tidligere punkt 4.5.1 bokstav c om at godkjenning av rapportering til Finansdepartementet (dvs. statsregnskapet) og til overordnet departement skal utføres av ansatte i virksomheten, er tatt ut som et eget krav. Hensikten med kravet har vært å tydeliggjøre virksomhetens ansvar for kvaliteten på rapporteringen, og dette blir ivaretatt gjennom andre krav i regelverket. Fra 2014 gjelder tydeligere krav til årsrapporten med årsregnskap, med krav til signatur og bekreftelse av virksomhetslederen (jf. bestemmelsene punkt 2.3.3, 3.4.1 og 3.4.3). Videre er det i punkt 3.7.3.2 tydeliggjort krav til at virksomheten skal ha dokumentert kontroller av transaksjonene før de tas med i betalingsoppdrag til banken, det vil si før utbetaling og rapportering. Det stilles også krav til avstemming og dokumentasjon av rapportering til statsregnskapet (punkt 3.5.1) og krav til internkontroll, herunder når det gjelder regnskap og transaksjoner (punkt 2.4).