SAU, Alm.del - 2017-18 - Endeligt svar på spørgsmål 556: Spm. om at oversende kopi af alle væsentlige rapporteringer fra Intern Revision til Skatteministeriets departement i årene 2015, 2016, 2017 og 2018, til skatteministeren

Skatteudvalget 2017-18
SAU Alm.del
Offentligt

4. juni 2015

J. nr. 1515-1489555

Plannr. 114880

Intern Revision

Revisionsberetning 2014

Finanslovens § 9 Spillemyndigheden

Modtager

Departementschef Jens Brøchner

Kopi

Direktør Birgitte Sand



Revision

Rådgivning

Rapportering

SAU, Alm.del - 2017-18 - Endeligt svar på spørgsmål 556: Spm. om at oversende kopi af alle væsentlige rapporteringer fra Intern Revision til Skatteministeriets departement i årene 2015, 2016, 2017 og 2018, til skatteministeren

Forord

Revisionen af Finanslovens § 9, Spillemyndigheden, varetages af Rigsrevisionen

samt Intern Revision. Skatteministeren og Rigsrevisor har med udgangspunkt i

Rigsrevisorlovens § 9 indgået en såkaldt § 9-aftale. § 9-aftalen indeholder en

identifikation af de revisionsopgaver, der skal varetages af Intern Revision.

Nærværende revisionsberetning indeholder en redegørelse for den af Intern

Revision udførte revision vedrørende regnskabsåret 2014. Nærværende beretning

indeholder således ikke en redegørelse for den af Rigsrevisionen udførte revision.

Der henvises til Rigsrevisionens særskilte rapportering.

Beretningen er udarbejdet med udgangspunkt i fremsendte revisionsrapporter

omhandlende regnskabsåret 2014. Beretningen er således at betragte som en

rekapitulation af de væsentligste forhold, der er fremført i den løbende

rapportering.

København, den 4. juni 2015

Kurt Wagner

Revisionschef

Revisionsberetning 2014

2 af 15

Læsevejledning

Indledningsvist præsenteres en oversigt over omfanget og strukturen i beretningen

(kapitel 2).

Herefter har vi gengivet konklusionen fra vores revisorerklæring vedrørende

revisionen af Spillemyndighedens § 9-regnskab (kapitel 3).

Kapitel 4 er opdelt i en række sammenfatninger vedrørende de enkelte funktioner

på § 9-området. Opdelingen i funktionsområder fremgår af kapitel 2. Det skal

bemærkes, at tekstafsnittene ikke kan betragtes som en egentlig konklusion for

det enkelte funktionsområde, men i stedet er at betragte som en sammenfatning

af de revisioner, der er gennemført på området.

Det skal tillige bemærkes, at den udførte revision har været rettet mod væsentlige

og risikobetonede områder i Spillemyndigheden. Dette forhold påvirker naturligvis

indholdet af sammenfatningerne.

Beretningen indeholder for hvert funktionsområde følgende oplysninger:



En oversigt over rapporter, der indeholder observationer rettet mod det

pågældende funktionsområde

Grafisk fremstilling af antal observationer fordelt på de enkelte

funktionsområder

En beskrivelse af de væsentligste observerede forhold på funktionsområdet

En vurdering af de risici, som kan henføres til de observerede forhold

En tilkendegivelse af, i hvilket omfang, der bør gennemføres ændringer inden

for det enkelte funktionsområde

Revisionsberetning 2014

3 af 15

2. Omfang

Nærværende beretning er struktureret i overensstemmelse med den model, som

Intern Revision anvender til en operationel beskrivelse og kategorisering af

aktiviteterne i Spillemyndigheden, jf. skemaet nedenfor. Modellen opdeler

indtægts- og udgiftsprocesserne i en række funktionsområder. Det skal dog

bemærkes, at samtlige indtægts- og udgiftsprocesser ikke nødvendigvis omfatter

samtlige funktionsområder, ligesom rækkefølgen i funktionsområderne ikke er ens

på tværs af samtlige indtægts og udgiftsprocesser.

Revisionsberetning 2014

4 af 15

Rammevilkår for funktionsområderne

Rammevilkårene udgør de grundlæggede vilkår for, at

funktionsområderne kan afvikles. Rammevilkårene omfatter:



aktiviteterne



Den regnskabsmæssige ramme, som udgør grundlaget for tilrettelæggelsen

og udførelsen af aktiviteter i regnskabsforvaltningen. Vilkårene er beskrevet i

Ministerieinstruksen, Virksomhedsinstruksen og i Regnskabsinstruksen for § 9

med tilhørende underliggende vejledninger.

Den it-mæssige ramme, som sikrer, at forvaltningen kan it-understøttes på en

sikker og betryggende måde.

Den juridiske ramme, som forvaltningen skal ske i henhold til.

Datafangst

Funktionsområdet omfatter den basale datafangst i forbindelse med begivenheder

og økonomiske transaktioner.

Registrering

Funktionsområdet omfatter registrering af regnskabsdata i underliggende

regnskabssystemer.

Bogføring

Funktionsområdet omfatter bogføring af regnskabsdata i finanssystemet SAP

Intern.

Opkrævning

Funktionsområdet omfatter løbende administration af regnskabsdata i form af

opfølgning på og afstemning af løn, debitorer, kreditorer, anlæg mv.

Betaling

Funktionsområdet omfatter ind- og udbetalinger vedrørende henholdsvis debitorer

og kreditorer.

Regnskabsaflæggelse

Funktionsområdet omfatter regnskabsmæssige foranstaltninger i forbindelse med

regnskabsaflæggelse, herunder forberedende handlinger, kvalitetssikring af

regnskabsdata mv.

Revisionsberetning 2014

5 af 15

3. Erklæring

Følgende konklusion på den udførte revision fremgår af vores revisorerklæring på

regnskabet:

3.1 Konklusion

På baggrund af den udførte revision skal Intern Revision udtrykke følgende

konklusion:



Regnskabet er rigtigt, dvs. uden væsentlige fejl og mangler.

Der er etableret forretningsgange og interne kontroller, der understøtter, at

de dispositioner, der er omfattet af regnskabsaflæggelsen, er i

overensstemmelse med bevillinger, love og andre forskrifter samt med

indgåede aftaler og sædvanlig praksis.

3.2 Supplerende oplysninger

Uden at modificere vores konklusion, skal vi supplerende oplyse, at:



Budgettal for 2015 i resultatopgørelsen og noterne er ikke omfattet af vores

revision.

Nærværende konklusion er baseret på udført revision i årets løb samt i forbindelse

med årsafslutningen.

Resultatet af den udførte revision er løbende rapporteret til Spillemyndigheden. Vi

har prioriteret de observerede forhold således:

Prioritet 1

Kritisk for

forretningen

Prioritet 2

Væsentlig for

forretningen

Prioritet 3

Mindre betydning

for forretningen

Revisionsemne

Rammevilkår for

funktionsområderne

Datafangst

Kvittering

Registrering

Opgørelse

Bogføring

Opkrævning

Betaling

Regnskabsaflæggelse

I alt

Prioriteterne skal ses i forhold til det reviderede område og er nærmere defineret i bilag 1.

Revisionsberetning 2014

6 af 15

4. Funktionsområder i Spillemyndigheden

4.1 Rammevilkår for funktionsområderne

Rammevilkårene udgør de grundlæggede vilkår for, at

funktionsområderne kan afvikles. Rammevilkårene omfatter:



aktiviteterne



Den regnskabsmæssige ramme, som udgør grundlaget for tilrettelæggelsen

og udførelsen af aktiviteter i regnskabsforvaltningen. Vilkårene er beskrevet i

Ministerieinstruksen, Virksomhedsinstruksen og i Regnskabsinstruksen for §

9 med tilhørende underliggende vejledninger.

Den it-mæssige ramme, som sikrer, at forvaltningen kan it-understøttes på en

sikker og betryggende måde.

Den juridiske ramme, som forvaltningen skal ske i henhold til.

Intern Revision har udarbejdet en række rapporter, hvori rammevilkår for

funktionsområderne er behandlet. De udarbejdede rapporter samt konklusionen

på det reviderede emne fremgår af nedenstående oversigt:

Rapport

It-revision af programændringer

It-revision af systemopdateringer (patching)

Generelle it-kontroller i relation til adgangsstyring

Styring af sikkerhedshændelser

It-revision af beredskabsstyring

It-revision af SAP Intern

Revision af Indtægter og debitorer

Konklusion

Tilfredsstillende

Ikke helt tilfredsstillende

Tilfredsstillende

Meget tilfredsstillende

Intern Revision har ved de gennemførte revisioner observeret 46 forhold

vedrørende rammevilkår for funktionsområderne. Observationerne fordeler sig

således:

Revisionsberetning 2014

7 af 15

Prioritet 1

Prioritet 2

Prioritet 3

Vores

kommentarer

vedrører

administrative

it-systemer,

som

Spillemyndigheden anvender hos SKAT, jf. aftale med SKAT herom. Vores

anbefalinger er derfor en gengivelse af de anbefalinger, som vi har givet til SKAT

og som vi skal anbefale, at Spillemyndigheden via aftalen med SKAT sikrer, at der

bliver fulgt op på.

Ved revision af rammevilkår har vi konstateret følgende svagheder med prioritet 1:



Der foretages ikke periodisk opdatering af SKATs administrative systemer.

Dette forøger risikoen for driftsforstyrrelser og uautoriserede adgange til

systemerne.

Der foretages ikke revurdering af oprettede brugeradgange og deres

rettigheder. Forholdet øger risikoen for, at det ikke opdages, hvis en bruger

har adgang til områder, som der ikke er et arbejdsbetinget behov for. Der

er herigennem en forøget risiko for uautoriseret adgang til data.

SKAT har ikke udarbejdet en klar definition af begrebet

sikkerhedshændelse og heller ikke tilrettelagt en proces for, hvordan

sikkerhedshændelser skal styres og rapporteres centralt.

Konsulenter tildeles brugerrettigheder uden om den gældende proces for

adgangsstyring, hvilket øger risikoen for, at konsulentbrugerne tildeles

andre rettigheder, som de ikke bør have og dermed får mulighed for at

gennemføre uautoriserede ændringer.

Der er ikke en tværorganisatorisk og afprøvet beredskabsplan for

genetablering af forretningsprocesser og understøttende it-systemer.



Det er således af afgørende betydning, at SKAT sikrer, at den overordnede it-

infrastruktur og de overordnede retningslinjer for sikkerheden i og omkring adgang

til og brugen af systemerne sker på en sikker og betryggende måde.

Det er Intern Revisions vurdering, at der i de it-mæssige rammer indgår en række

svagheder, som øger risikoen for, at forvaltningen ikke kan it-understøttes på en

sikker og betryggende måde.

Revisionsberetning 2014

8 af 15

Intern Revision ser en risiko for, at en utilstrækkelig adgangsstyring og styring af

brugerrettigheder, kan muliggøre uautoriserede adgange til følsomme

informationer, it-infrastrukturen og til finansielle transaktioner, hvilket kan påvirke

integriteten af regnskabet. Endvidere er der som følge af, at beredskabsplanerne

ikke er tværorganisatoriske eller afprøvede risiko for, at forretningskritiske

informationer går tabt, eller at it-løsninger ikke kan genetableres inden for

acceptabel tid.

For væsentlige it-systemer outsourcet til serviceleverandører har det ikke været

muligt at vurdere, hvorvidt serviceleverandørerne har etableret de nødvendige

kontroller, herunder om disse har fungeret tilfredsstilende hele året, idet SKAT ikke

har indhentet specifikke revisorerklæringer af typen ISAE 3402, type 2 fra de

pågældende serviceleverandører.

Ved manglende indhentelse af specifikke revisorerklæringer er der risiko for, at

eventuelle svagheder i systemer og kontroller hos serviceleverandørerne i årets

løb ikke kommer til SKATs og Spillemyndighedens kendskab, herunder at

Spillemyndigheden ikke får kendskab til væsentlige risici for fejl i

Spillemyndighedens regnskab.

Det er fortsat vores vurdering, at der hvert år skal indhentes specifikke

revisorerklæringer af typen ISAE 3402, type 2 for alle væsentlige it systemer

outsourcet til serviceleverandører.

SKAT og Spillemyndigheden har oplyst, at man ikke har kendskab til, at

ovenstående svagheder har haft betydning for aflæggelse af et rigtigt regnskab. I

forbindelse med vores revision har vi endvidere ikke konstateret, at ovenstående

svagheder har medført væsentlige fejl i regnskabet.

De observerede svagheder i rammevilkårene for funktionsområderne vurderes at

være kritiske og der bør efter Intern Revisions vurdering straks iværksættes

foranstaltninger med henblik på at udbedre svaghederne.

4.2 Datafangst

Funktionsområdet omfatter den basale datafangst i forbindelse med begivenheder

og økonomiske transaktioner.

Intern Revision har ved de gennemførte revisioner ikke haft observationer

vedrørende datafangst.

4.3 Registrering

Funktionsområdet omfatter registrering af regnskabsdata i underliggende

regnskabssystemer.

Intern Revision har udarbejdet flere rapporter, hvor registrering er behandlet.

Observationer samt konklusion på det reviderede emne fremgår af nedenstående

oversigt:

Revisionsberetning 2014

9 af 15

Rapport

It-revision af SAP Intern

Konklusion

Tilfredsstillende

Intern Revision har ved den gennemførte revision observeret 9 forhold vedrørende

registrering. Observationerne fordeler sig således:

Prioritet 1

Prioritet 2

Prioritet 3

Det sikres ikke for alle områder, at der sker korrekt registrering. Vi har således

konstateret følgende:



Det nuværende design for godkendelse af fakturaer giver mulighed for, at

medarbejdere, som er oprettet som disponeringsberettigede, kan

godkende egne disponeringer, hvis disse medarbejdere samtidigt er

autoriserede som godkendere.

På baggrund af den udførte revision er det dog vores samlede vurdering, at it-

kontrollerne i og omkring væsentlige forretningsgange i relation til SAP Intern er

på et tilfredsstillende niveau.

Som følge af svaghederne i de generelle it kontroller, jf. ovenfor under

Rammevilkår, som SAP Intern er omfattet af, er det dog vores vurdering, at der

fortsat er en forøget risiko for fejl i regnskabet, som først vil blive reduceret, når

svaghederne i de generelle it kontroller bliver reduceret.

4.4 Bogføring

Funktionsområdet omfatter bogføring af regnskabsdata i finanssystemet SAP

Intern.

Intern Revision har udarbejdet flere rapporter, hvori bogføring er behandlet.

Intern Revision har ved de gennemførte revisioner ikke haft observationer

vedrørende bogføring.

Revisionsberetning 2014

10 af 15

4.5 Opkrævning

Funktionsområdet omfatter løbende administration af regnskabsdata i form af

opfølgning på og afstemning af løn, debitorer, kreditorer, anlæg mv.

Intern Revision har ved de gennemførte revisioner ikke haft observationer

vedrørende opkrævning.

4.6 Betaling

Funktionsområdet omfatter ind- og udbetalinger fra henholdsvis debitorer og

kreditorer.

Intern Revision har udarbejdet flere rapporter, hvor i ind- og udbetalinger er

behandlet.

Intern Revision har ved de gennemførte revisioner ikke haft observationer

vedrørende Betaling.

4.7 Regnskabsaflæggelse

Funktionsområdet omfatter regnskabsmæssige foranstaltninger i forbindelse med

regnskabsaflæggelse, herunder forberedende handlinger, kvalitetssikring af

regnskabsdata mv.

Intern Revision har udarbejdet flere rapporter, hvori regnskabsaflæggelse er

behandlet. De udarbejdede rapporter samt konklusionen på det reviderede emne

fremgår af nedenstående oversigt:

Rapport

It- revision af SAP Intern

Revision af lønafstemninger

Revision af bankafstemninger

Revision

årsafslutningsprocessen

Spillemyndighedens regnskab

for

Konklusion

Tilfredsstillende

Meget tilfredsstillende

Meget til fredsstillende

Ikke helt tilfredsstillende

Intern Revision har ved de gennemførte revisioner observeret 7 forhold

vedrørende regnskabsaflæggelse. Observationerne fordeler sig således:

Revisionsberetning 2014

11 af 15

Prioritet 1

Prioritet 2

Prioritet 3

Processen for regnskabsaflæggelse sikrer ikke, at regnskabsaflæggelsen sker på

et tilstrækkeligt dokumenteret og kvalitetssikret grundlag. Vi har således

konstateret følgende forhold:



I regnskabet indgår en række fejloplysninger i note 5.1 (anlægsnote for

immaterielle anlægsaktiver)

Registrering af en række fakturaer under forkerte regnskabsposter

Kvalitetssikringshandlinger rettet mod det samlede regnskab før aflevering

til SKS er ikke en etableret del af årsafslutningsprocessen.

Ovenstående forhold har medført mindre fejl i regnskabet for 2014 som følge af,

at der ikke har eksisteret den fornødne dokumentation og/eller, at

dokumentationen ikke har været tilstrækkelig kvalitetssikret.

Det er vores vurdering, at regnskabsaflæggelsesprocessen bør styrkes snarest

muligt på de områder, hvor vi har haft anbefalinger med prioritet 1.

Øvrige forhold i forbindelse med årsafslutningen

I forbindelse med regnskabsaflæggelsen har vi indhentet en skriftlig erklæring fra

ledelsen

forhold

væsentlig

betydning

for

årsregnskabet,

ledelsesberetningen, målrapporteringen samt hoved- og nøgletal.

Den skriftlige erklæring omfatter årsregnskabets indhold, herunder

kapitalberedskab, oplysninger om pantsætninger og sikkerhedsstillelser,

garantistillelser, retssager, besvigelser, transaktioner med nærtstående parter og

begivenheder efter balancedagen og andre områder, hvor det er vanskeligt at

indhente et revisionsbevis.

Den modtagne regnskabserklæring har ikke givet anledning til bemærkninger.

I henhold til revisionsstandarderne skal vi informere ledelsen om forhold, som ikke

er korrigeret i regnskabet som følge af, at ledelsen vurderer, at de ikke- korrigerede

Revisionsberetning 2014

12 af 15

forhold er uvæsentlige både enkeltvis og sammenlagt for årsregnskabet som

helhed.

Denne oplysning gives for at sikre, at ledelsen er orienteret om og kan tilslutte sig

de forhold, som ikke er rettet.

I forbindelse med regnskabsaflæggelsen er der ikke ud over de forhold, som er

omtalt

i rapporten ”Revision af årsafslutningsprocessen for Spillemyndighedens

regnskab” side 5, konstateret forhold, som ikke er indarbejdet i årsregnskabet.

Som revisorer har vi pligt til med professionel skepsis at overveje muligheden for

fejlinformationer i årsregnskabet, uanset om fejlinformationen skyldes besvigelser

eller fejl.

Ledelsen har oplyst, at Spillemyndighedens forretningsgange og interne kontroller

inden for de væsentligste områder efter dens opfattelse anses for dækkende og

velfungerende til imødegåelse af risikoen for besvigelser, herunder at der

eksisterer passende funktionsadskillelse.

Ledelsen har over for os bekræftet:



sit ansvar for udformning, implementering og opretholdelse af intern kontrol

med henblik på at forebygge og opdage besvigelser og fejl, og

at den ikke har kendskab til eller formodning om besvigelser hos

Spillemyndigheden.

Vi er ikke i forbindelse med vores revision blevet bekendt med forhold, der indikerer

eller vækker mistanke om besvigelser af betydning for regnskabet.

Vi har endvidere forespurgt ledelsen, om alle kendte aktuelle eller potentielle

overtrædelser af lovgivningen, der kan have væsentlig påvirkning på

årsregnskabet, er oplyst under revisionen og er tilstrækkelig indregnet og oplyst i

årsregnskabet. Ledelsen har over for os bekræftet, at ledelsen ikke er bekendt med

forhold, der har betydning for årsregnskabet.

Vi er ikke i forbindelse med vores revision blevet bekendt med overtrædelser af

lovgivningen, der kan have væsentlig indvirkning på årsregnskabet.

Til sikring af, at væsentlige begivenheder efter regnskabsårets udløb er

præsenteret korrekt i årsregnskabet har ledelsen gennemgået og vurderet

begivenheder indtruffet efter balancedagen.

Ledelsen har oplyst, at der efter dens opfattelse ikke er indtruffet begivenheder

efter balancedagen, som ikke er indarbejdet og tilstrækkeligt oplyst i

årsregnskabet.

Vi er ikke under vores revision blevet bekendt med begivenheder, som i væsentlig

grad påvirker årsregnskabet og som ikke er tilstrækkeligt oplyst i årsregnskabet.

Revisionsberetning 2014

13 af 15

Bilag 1: Anvendte skala

Ved vurderingen i konklusionen er følgende skala anvendt:

Meget

tilfredsstillende

Intern Revision har ikke konstateret svagheder i de forretningsgange og

processer, der understøtter de reviderede område. Samtlige observationer kan

henføres til prioritet 3.

Prioritet 1: Ingen observationer

Prioritet 2: Ingen observationer

Prioritet 3: Samtlige observationer

Tilfredsstillende

Intern Revision har observeret enkelte svagheder i de forretningsgange og

processer, der understøtter det reviderede område. Størstedelen af

observationerne er omfattet af prioritet 3. Enkelte observationer med prioritet 2

kan dog forekomme. Samlet set udgør de implementerede forretningsgange et

”tilfredsstillende” grundlag for administration af området.

Prioritet 1: Ingen observationer

Prioritet 2: Enkelte observationer

Prioritet 3: Hovedparten af observationer

Ikke helt

tilfredsstillende

Intern Revision har observeret flere svagheder i de forretningsgange og

processer, der understøtter det reviderede område. Størstedelen af

observationer er omfattet af prioritet 2 eller 3 med hovedvægten på prioritet 2.

Enkelte observationer i prioritet 1 kan dog forekomme. Samlet set medfører

svaghederne, at de implementerede forretningsgange udgør ”et ikke helt

tilfredsstillende” grundlag for administration af området.

Der er som følge heraf

en forøget risiko for



Væsentlig fejlinformation i regnskaber og ledelsesrapportering

Manglende overholdelse af gældende lovgivning

Manglende overholdelse af interne regler og retningslinjer

Manglende overholdelse af overordnede politikker

Manglende iagttagelse af ”skyldige økonomiske hensyn”

Prioritet 1: Enkelte observationer

Prioritet 2: Hovedparten af observationer

Prioritet 3: Et mindre antal observationer

Ikke

tilfredsstillende

Intern Revision har observeret flere væsentlige svagheder i de

forretningsgange og processer, der understøtter det reviderede område.

Størstedelen af observationerne er omfattet af prioritet 1 eller 2 med

hovedvægten på prioritet 1. Enkelte observationer i prioritet 3 kan forekomme.

Samlet set medfører svaghederne, at de implementerede forretningsgange

udgør et ”ikke tilfredsstillende grundlag” for administration af området. Der er

som følge heraf en væsentlig forøget risiko for:



Væsentlig fejlinformation i regnskaber og ledelsesrapportering

Manglende overholdelse af gældende lovgivning

Manglende overholdelse af interne regler og retningslinjer

Manglende overholdelse af overordnede politikker

Manglende iagttagelse af ”skyldige økonomiske hensyn”

Manglende realisering af forretningsmålene for det reviderede område.

Prioritet 1: Hovedparten af observationer

Prioritet 2: Et mindre antal observationer

Prioritet 3: Enkelte observationer

Revisionsberetning 2014

14 af 15

Prioritet skal ses i forhold til det reviderede område og er defineret således:

Kritisk for forretningen:

Væsentlig svaghed i de etablerede forretningsgange/processer.

Svagheden kan omfatte manglende interne kontroller, uhensigtsmæssig design af interne

kontroller, manglende regnskabsmæssige faciliteter. Der er en væsentlig forøget risiko for, at

processens målopfyldelse ikke realiseres som følge af den konstaterede svaghed. Der bør

straks iværksættes foranstaltninger med henblik på at udbedre de observerede svagheder.

Væsentlig for forretningen:

Svaghed i de etablerede forretningsgange/processer. Svagheden

kan omfatte manglende interne kontroller, uhensigtsmæssig design af interne kontroller,

manglende regnskabsmæssige faciliteter. Der er forøget risiko for, at processens

målopfyldelse ikke realiseres i fuldt omfang som følge af den konstaterede svaghed. Der bør

iværksættes foranstaltninger med henblik på at udbedre de observerede svagheder.

Mindre betydning for forretningen:

Ingen væsentlige svagheder i de etablerede

forretningsgange/processer. Det er dog muligt at designe de enkelte processer på en mere

hensigtsmæssig måde, således at eksekveringen forbedres.

Revisionsberetning 2014

15 af 15