2 Stand Internes Kontrollsystem bei armasuisse Immobilien generell... 6

Transkript

1

2 Inhaltsverzeichnis 1 Auftrag und Vorgehen Ausgangslage Prüfungsziel und -fragen Prüfungsumfang und -grundsätze Unterlagen und Auskunftserteilung Stand Internes Kontrollsystem bei armasuisse Immobilien generell Der Einkaufsprozess im Überblick Beschreibung des Einkaufsprozesses Informatik-Unterstützung durch die Kernanwendungen Teilprozesse im Einkaufsprozess / Prüfungsdurchführung Bedürfnisabklärung Lieferantenauswahl Bestellung Leistungserbringung Rechnungseingang Rechnungsprüfung / Kontierung Rechnungsverbuchung Rechnungszahlung Stammdaten Kreditoren IKS-Empfehlungen zum Einkaufsprozess aus früheren Revisionen Gesamtbeurteilung zum IKS des Einkaufsprozesses Schlussbesprechung /18

3 Zusammenfassung des Revisionsergebnisses Einkaufsprozess armasuisse Immobilien hat die ihr zugeordneten Aufgaben im Rahmen des Einkaufsprozesses, von der Bedürfnisabklärung über die Lieferantenauswahl bis zur Vertragserstellung (Bestellung) und Verbuchung und Prüfung der Rechnungen im Managementsystem mittels verschiedenen Prozessanweisungen definiert. Darin sind die vorzunehmenden Tätigkeiten (Prozessbeschreibung und -ablauf, das DEBI (Funktionentrennung in Durchführung, Entscheid, Beizug und Information) sowie die IKS-Kontrollen und Prüfungen definiert. Die nachgelagerten Arbeitsschritte der Zentralen Dienste armasuisse (Stammdaten Kreditoren, Rechnungszahlung) sind analog definiert worden. Die anzuwenden IKS-Kontrollen und -Prüfungen basieren auf den Vorgaben der Eidg. Finanzverwaltung. armasuisse Immobilien hat die aus dem Prozess sich ergebenden Risiken selbständig definiert und bewertet. Insgesamt sind 9 Risiken im Einkaufsprozess mit gelb und ein Risiko mit rot bewertet worden. Diese Risiken werden im IKS-Regelbetrieb speziell überwacht. Das Inspektorat VBS hat die mit der Eidg. Finanzkontrolle abgesprochenen Schlüsselkontrollen anhand der definierten Wurzelstichproben und weiteren Stichproben überprüft. Die Prüfung ergab, dass die Risiken mittels der Schlüsselkontrollen abgedeckt sind, dass die Kontrollen wirksam sind und sich künftige Prüfungen somit auf ein funktionierendes IKS in diesem Bereich abstützen können. Das Inspektorat VBS beurteilt den Einkaufsprozess als gut dokumentiert, geführt und überwacht und gibt hierzu keine Empfehlungen ab. Stand Internes Kontrollsystem bei armasuisse Immobilien generell armasuisse Immobilien führt die nach den Vorgaben des Immobilienhandbuch VBS definierten Immobilienprozesse im Integrierten Managementsystem der Gruppe armasuisse. Die von der Eidg. Finanzverwaltung vorgegebene IKS-Risikokontrollmatrix wird ebenfalls geführt. Darin sind die Risiken bei fehlender Kontrolle, die durchzuführenden Kontrollschritte zur Reduktion der Risiken und die benötigten Nachweise definiert. armasuisse Immobilien hat in den letzten Monaten grosse Anstrengungen unternommen, um ihr IKS nachzuführen. So sind 53 der bestehenden 65 Prozessanweisungen im 2013 aktualisiert worden. Der Regelbetrieb ist definiert und angegangen worden. In den nächsten Wochen werden die im Regelbetrieb vorgesehenen Prüfungen der verschiedenen Prozesse und IKS-Kontrollpunkte vorgenommen. Die Ergebnisse werden in die Jahresberichterstattung zum IKS 2013 einfliessen. Aufgrund der Prüfungen durch das Inspektorat VBS ergeben sich folgende Hauptempfehlungen: Ergänzung des Prozessmodels mit den bisher nicht unter armasuisse Immobilien abgelegten Prozessen. In den Prozessen des Facility Managements, welche die nötigen IKS-Kontrollen/- Prüfungen noch nicht enthalten, sind diese noch anzubringen. 3/18

4 1 Auftrag und Vorgehen 1.1 Ausgangslage Die Eidgenössische Finanzkontrolle (EFK) hat, gestützt auf Art. 11 Abs. 2 des Bundesgesetzes über die Eidgenössische Finanzkontrolle (Finanzkontrollgesetz, FKG), bezüglich der Prüfung der Jahresabschlüsse der einzelnen Verwaltungseinheiten im Rahmen der Prüfung der Staatsrechnung mit Datum vom 20. September 2012 die fachliche Weisung Nr. 1 erlassen. Diese stellt die Koordination der Prüfungstätigkeiten der Finanzinspektorate (FISP) und der EFK in diesem Kontext sicher. Gleichzeitig dient sie der Umsetzung einer risikoorientierten Prüfungsstrategie im Bereich der Prüfung der Staatsrechnung. Im Rahmen einer mehrjährigen Prüfungsplanung legt die EFK auf Grund von Risiko- und Wesentlichkeitsüberlegungen auf Stufe Gesamtbund fest, welche finanzrelevanten Geschäftsprozesse bei den einzelnen Verwaltungseinheiten durch die FISP mittels Funktionsprüfungen zu prüfen sind. Im Rechnungsjahr 2013 ist bei armasuisse Immobilien eine Funktionsprüfung des Einkaufsprozesses vorzunehmen. 1.2 Prüfungsziel und -fragen Das Inspektorat VBS hat beim Einkaufsprozess geprüft, ob bei armasuisse Immobilien ein angemessenes und den Vorgaben der Eidgenössischen Finanzverwaltung (EFV) entsprechendes finanzrelevantes Internes Kontrollsystem (IKS) existiert und ob dieses wirksam ist. Im Vordergrund stand die Beantwortung folgender Prüfungsfragen, die von der EFK in der fachlichen Weisung Nr. 1 vorgegeben sind: IKS-Aufzeichnung: Ist das bestehende IKS vollständig und richtig beschrieben? IKS-Design: Sind die Schlüsselkontrollen angemessen und vollständig, um die Risiken von wesentlichen falschen Angaben in der Jahresrechnung aufzudecken? IKS-Design: Gibt es Hinweise, dass die angewendeten Schlüsselkontrollen nicht effizient sind (Doppelspurigkeiten, Kontrollfrequenz, Mix automatisierte / manuelle Kontrollen)? Werden die Schlüsselkontrollen angewendet? Sind die durchgeführten Schlüsselkontrollen angemessen dokumentiert? Ist das IKS in den geprüften Bereichen wirksam? Können wesentliche Kontrolllücken mit kompensierenden Kontrollen überbrückt werden? Sind Massnahmen aus den Empfehlungen früherer Jahre umgesetzt worden? 4/18

5 1.3 Prüfungsumfang und -grundsätze Die Prüfung bezog sich auf die Existenz und die Wirksamkeit des IKS des Einkaufsprozesses, welcher sich auf die Ausgaben/Aufwände im Zusammenhang mit dem Sach- und Betriebsaufwand (Kontengruppe 31) bezieht. Nicht einbezogen in diese Prüfung wurden Ausgaben/Aufwände zulasten anderer Kontengruppen sowie die Leistungsverrechnung. Die Prüfung wurde primär bei den Finanzen armasuisse Immobilien durchgeführt. Die Prüfung erfolgte nach den Schweizer Prüfungsstandards und richtete sich nach dem Vorgehensmodell Anwendungsprüfung der Treuhandkammer vom Oktober Die Schlussfolgerungen im Bericht stützen sich auf unterschiedliche stichprobenweise durchgeführte Prüfungen von Belegen und Transaktionen. Die Festlegung dieser Stichproben basiert auf dem Prinzip der Wesentlichkeit und auf Risikoüberlegungen zu den in die Prüfung einbezogenen Bereichen der Geschäftstätigkeit. Es handelt sich also nicht in allen Fällen um repräsentative Stichproben. 1.4 Unterlagen und Auskunftserteilung Das Inspektorat VBS hat die erforderlichen Auskünfte und Unterlagen erhalten und bedankt sich bei allen Interviewpartnern: 5/18

6

7 Prozessmodell armasuisse Immobilien Geschäftsspezifische Prozesse werden in den entsprechenden Organisationseinheiten abgebildet und verwaltet. So zeichnet armasuisse Immobilien für die Prozessbeschreibungen in den Leistungserstellungsprozessen im Immobilienmanagement verantwortlich, die sich nach den übergeordneten, im Immobilienhandbuch VBS definierten Immobilien-Prozesse richten. Abbildung 3: Prozessmodell armasuisse Immobilien gemäss IMS Das Inspektorat VBS stellt bei seinen Prüfungen folgendes fest: a. Das Prozessmodell von armasuisse Immobilien weist in den beiden untersten Ebenen Betrieb und Instandhaltung sowie Infrastrukturelle Dienste sogar die Teilprozesse des Nutzers bzw. der Logistikbasis der Armee (LBA) aus; diese sind jedoch nicht dokumentiert. armasuisse Immobilien begründet dies damit, dass ein Gesamtbild der Immobilienprozesse abgebildet werden soll, um die Zusammenhänge im Immobilienmanagement aufzuzeigen. b. Die operativen Prozesse für die Erstellung (Planen / Bauen) sind nicht dokumentiert. Gemäss armasuisse Immobilien übernimmt das Baumanagement die Projektleitung. Die operativen Tätigkeiten werden durch externe Beauftragte vorgenommen. c. Verschiedene von armasuisse Immobilien erstellte Prozessdokumente sind auch unter anderen armasuisse-prozessen abgebildet (z.b. ist die PA Beschaffung Immobilen zugleich in der Gruppe armasuisse unter Entwicklung/Beschaffung abrufbar). 7/18

8 d. Verschiedene durch armasuisse Immobilien geführte Prozessdokumente sind hingegen nicht unter armasuisse Immobilien sondern nur unter der Gruppe armasuisse abgelegt. Zum Beispiel werden u.a. die PA M1.1 Unternehmensplanung Immobilien, M2.5 Controlling Immobilien, M6.4 Reklamationswesen Immobilien, insgesamt 20 verschiedene PA, nur unter den Führungsprozessen der Gruppe armasuisse ausgewiesen. Ein Link unter armasuisse Immobilien fehlt. e. Insgesamt bestehen z.z. 65 durch armasuisse Immobilien geführte Prozessanweisungen. Davon datieren (Datum Ersterstellung oder letztes Mutationsdatum) 53 aus dem Jahre Dies belegt, dass armasuisse Immobilien ihr IMS stetig pflegt. Gemäss Angaben armasuisse Immobilien sind 55 der 65 Prozesse mit den jeweiligen Prozessownern überprüft worden. Empfehlung Nr. 1: Prozessmodell armasuisse Immobilien bereinigen Das Inspektorat VBS empfiehlt armasuisse Immobilien, das Prozessmodell mit einem Hinweis zu versehen, dass die unter a) erwähnten Prozesse durch die LBA und die unter b) erwähnten Prozesse durch externe Beauftragte geführt werden; die unter d) erwähnten Prozessdokumente ebenfalls unter armasuisse Immobilien zu verlinken. IKS-Kontrollen und -Regelbetrieb armasuisse Immobilien führt die von der EFV vorgegebene IKS-Risikokontrollmatrix innerhalb der Matrix der Gruppe armasuisse. Sie hat die Risiken bei fehlender Kontrolle, die Kontrollschritte und die Nachweise auf ihre Verhältnisse angepasst. In der Kontrollmatrix, in den PA und dementsprechend im IKS-Regelbetrieb werden nur die mit gelb oder rot bewerteten Risiken und Kontrollen geführt. Die PA enthalten zusätzlich auch die Prüfungen, welche die grünen Risiken abzudecken haben. In 33 der insgesamt 65 PA sind IKS-Kontrollen und -Prüfungen definiert. armasuisse Immobilien hat mittels Orientierung vom und einer Weisung vom den IKS-Regelbetrieb eingeführt. Im Dokument Planung des Regelbetriebs wurden per für alle finanzrelevanten Geschäftsprozesse insgesamt 21 Risiken (davon 5 rote und 16 gelbe) geführt. Aufgrund einer mit den Prozessownern vorgenommenen Neubeurteilung der kritischen IKS-Risiken werden neu 26 (davon 1 rotes und 25 gelbe) Risiken überwacht. Die Änderungen sind in einer Mutationstabelle dokumentiert. 8/18

9 armasuisse Immobilien hat gestützt auf das Immobilienhandbuch VBS in den Prozessanweisungen ihre Leistungserstellungsprozesse definiert und im IMS armasuisse dokumentiert. Davon sind rund 80% der Prozessanweisungen im 2013 erstellt oder überarbeitet worden, was zeigt, dass armasuisse Immobilien ihre Prozesse stetig pflegt. Weiter ist positiv zu erwähnen, dass armasuisse Immobilen ihre Risiken selbständig definiert und bewertet und nicht einfach den Lösungsvorschlag der EFV übernommen hat. In 33 der insgesamt 65 PA sind IKS-Kontrollen und -Prüfungen definiert. Einige Prozesse des Facility Managements enthalten jedoch noch keine IKS-Kontrollen/-Prüfungen. In der Kontrollmatrix, in den PA und dementsprechend im IKS-Regelbetrieb werden nur die mit gelb oder rot bewerteten Risiken und Kontrollen geführt. Die PA enthalten zusätzlich auch die Prüfungen, welche die grünen Risiken abzudecken haben. Beim Abgleich zwischen der Risikokontrollmatrix und den PA stellten wir fest, dass verschiedentlich IKS-Kontrollen/-Prüfungen in der Risikokontrollmatrix, nicht aber im Prozessbeschrieb im IMS enthalten sind. Gemäss armasuisse Immobilien handelt es sich um ein Engpassproblem bei der mit der technischen Abwicklung des IMS beauftragten IT- Firma, welche die Prozesse im IMS aufschaltet. armasuisse Immobilien hat mittels Orientierung vom und einer Weisung vom den IKS-Regelbetrieb eingeführt. Die im Regelbetrieb vorgesehene Prüfung der verschiedenen Prozesse und IKS-Kontrollpunkte soll gemäss internen Vorgaben im Zeitraum Juni September 2013 erfolgen. Zur Zeit liegen noch keine Rückmeldungen vor. Die Prüfer anerkennen, dass armasuisse Immobilien im Bereich IKS in den letzten Monaten sehr viel unternommen hat. Nachprüfungen durch das Inspektorat VBS erfolgen im Rahmen der wiederkehrenden Funktionsprüfungen. Empfehlung Nr. 2: Vollständige Führung Risikokontrollmatrix und Regelbetrieb Das Inspektorat VBS empfiehlt armasuisse Immobilien: in den Prozessen des Facility Managements, welche die nötigen IKS-Kontrollen/ -Prüfungen noch nicht enthalten, sind diese noch anzubringen. armasuisse Immobilien hat sicherzustellen, dass die definierten IKS-Kontrollen und -Prüfungen in der Risikokontrollmatrix und in den verschiedenen Prozessbeschrieben identisch definiert werden. 9/18

10 3 Der Einkaufsprozess im Überblick 3.1 Beschreibung des Einkaufsprozesses Bei armasuisse Immobilien wird der Einkaufsprozess wie folgt abgewickelt: armasuisse Immobilien hat die ihr zugeordneten Aufgaben im Rahmen des Einkaufsprozesses in der PA S7 Beschaffungsmanagement Immobilien und M2.6 Rechnungsbearbeitung Immobilien definiert. Abbildung 4: Einkaufsprozess armasuisse mit Rollentrennung Die nachfolgenden Teilprozesse ab Rechnungseingang bis zahlung bzw. Stammdaten Kreditoren werden durch die Zentralen Dienste der armasuisse durchgeführt und verantwortet. Dazu bestehen weitere PA wie u.a. die PAs Kreditorenrechnungen, Zahlungslauf sowie Anlegen und mutieren von Kreditorenstammdaten. Dem Inspektorat VBS ist aufgefallen, dass in der PA S7 Beschaffungsmanagement Immobilien keine Überleitung zum Prozess M2.6 Rechnungsbearbeitung Immobilien vorhanden ist. Empfehlung Nr. 3: Verknüpfung der Prozessanweisungen S7 und M2.6 In der PA S7 Beschaffungsmanagement Immobilien ist eine Überleitung zur PA M2.6 Rechnungsbearbeitung Immobilien anzugeben. 3.2 Informatik-Unterstützung durch die Kernanwendungen Beschaffungen können mittels einer Bestellung vollständig und direkt in SAP erstellt, freigegeben und geführt werden. In der armasuisse sowie den benachbarten Departementsbereichen steht SAP als Hauptanwendung im Vordergrund. Aus diesem Grund wird eine starke Nutzung von Standardanwendungen im Bereich MM (Material Management / Materialwirtschaft) angestrebt. Durch eine möglichst hohe standardisierte Nutzung wird die Durchgängigkeit der Prozesse innerhalb des Systems erreicht (Abbau von Redundanzen) sowie auch die Basis zur OE-übergreifenden Zusammenarbeit gelegt. Die erfassten Daten können anschliessend mittels dem Auswertungstool Business Intelligence ausgewertet und genutzt werden. Die OE-übergreifende Zusammenarbeit besteht auf der obersten SAP-Ebene bereits mit der zentralen Integrationsdatenbank ZID. Dort werden sämtliche im VBS verwendeten Materialstämme und Kreditoren zentral mit den Standarddaten eröffnet und zur Nutzung 10/18

11 in die jeweiligen Unternehmensbereiche verteilt und anschliessend individuell mit weiteren Daten gepflegt. Die beiden wichtigsten Komponenten einer Bestellung sind folgende: Materialstamm (ZID-identifiziertes Material mit einer eindeutigen SAP-Materialnummer) Lieferant (in ZID erfasster Kreditor mit eindeutiger Nummer). Durch die Kombination dieser beiden Komponenten in einer Bestellung wird im Hintergrund eine Art History in Form eines Einkaufsinfosatzes angelegt. Die Daten kommen u.a. in folgenden beauftragten Auswertungen zur Anwendung: CPV-Auswertung für die Beschaffungsstatistik des Bundes WTO-Auswertung für das SECO sowie zur Weiterleitung an die WTO Verfahrensarten für die Leitung zur Führung und Steuerung. 4 Teilprozesse im Einkaufsprozess / Prüfungsdurchführung Das Inspektorat VBS hat die Funktionsprüfung des Einkaufsprozesses anhand einer Wurzelstichprobe und mehreren zusätzlichen Stichproben durchgeführt. 4.1 Bedürfnisabklärung Ablauf Die Immobilien-Bedürfnisse werden i.d.r. durch den Auftraggeber V definiert. Für armasuisse Immobilien-interne Bedürfnisse (wie z.b. für Dienstleistungsverträge) bestehen Beschaffungsdossiers mit u.a. Evaluationsberichten, Ausschreibungsunterlagen inkl. Leistungsbeschrieben sowie Vergabeanträgen. IKS-Risiken / Schlüsselrisiken Im Rahmen der Bedürfnisabklärung sieht die PA S7 Beschaffungsmanagement mehrere IKS-Kontrollschritte vor (z.b. automatisierte Abstimmung mit dem zur Verfügung stehenden Budget, Vorgaben zum Ausfüllung von Beschaffungsanträgen). Mit der EFK wurde folgendes Schlüsselrisiko definiert: Stellt unsere VE sicher, dass nur effektiv benötigte Waren resp. Dienstleistungen zur Bestellung genehmigt werden. Damit soll verhindert werden, dass für wichtigere oder dringendere Vorhaben kein Kredit mehr zur Verfügung steht. Prüfung Bei der durchgeführten Wurzelstichprobe und bei den stichprobenweisen Prüfungen hat das Inspektorat VBS Einsicht in die Bedürfnisabklärung genommen. Diese konnten mit nachstehender Ausnahme vorgelegt werden. Am Beispiel der Entschädigung für dessen Waffenplatzentschädigung 1982 vereinbart worden ist und seither quartalsweise bezahlt wird, wird offenkundig, dass die Bedürfnisse teilweise zeitlich 11/18

12 weit zurückliegen, durch übergeordnete Vorgaben (Belegungskonzept) definiert sind und daher nicht bei jeder Zahlung wieder neu belegt werden. Insgesamt schätzt armasuisse Immobilien die Risiken bei der Bedürfnisabklärung als gering (grün) ein und wird daher auch im IKS-Regelbetrieb bis zu einer höheren Risikoeinstufung nicht weiter bearbeitet. Der Teilprozess Bedürfnisabklärung wird teilweise vom Auftraggeber V abgedeckt. armasuisse Immobilien-interne Bedürfnisse (z.b. Dienstleistungsverträge) werden durch Evaluationsberichte, Ausschreibungsunterlagen inkl. Leistungsbeschrieben sowie Vergabeanträgen dokumentiert. Der Prozess S7 Beschaffungsmanagement enthält mehrere IKS-Kontrollen. Die Prüfung der definierten Schlüsselkontrolle ergab keine IKS-Schwachstellen. armasuisse Immobilien schätzt das Risiko als gering (grün) ein. 4.2 Lieferantenauswahl Ablauf Die PA beinhaltet insbesondere die Prozessschritte Ausschreibungs- und Bewertungsunterlagen erstellen, SIMAP-Publikation, Offertöffnung, Eignungs- und Zuschlagsprüfungen, Evaluationsbericht bis zum Zuschlag des Auftrags und der Vertragsunterzeichnung. Der Einbezug der beteiligten Stellen ist vorgesehen. Es existieren dazu verschiedene Formulare und Checklisten. Die Unterschriftenberechtigungen und -kompetenzen sind definiert. IKS-Risiken / Schlüsselrisiken Die PA S7 Beschaffungsmanagement enthält auch zu diesem Teilprozess mehrere IKS- Kontrollschritte. Der Lieferantenauswahl wird in der PA gebührend Aufmerksamkeit geschenkt. armasuisse Immobilien ist sich dabei den Risiken der gesetzeskonformen Selektionsverfahren bewusst und hat dieses Risiko mit rot bewertet. In Absprache mit der EFK sind zum Teilprozess Lieferantenauswahl keine Schlüsselrisiken definiert worden. Prüfung Das Inspektorat VBS hat bei der definierten Wurzelstichprobe Einsicht in das Beschaffungsverfahren genommen (offenes Verfahren gemäss Art. 3e BoeB an den Anbieter mit dem besten Preis-/Leistungsverhältnis). 12/18

13 Der Risikoeinschätzung mit rot wird Rechnung getragen. Bezüglich Lieferantenauswahl besteht eine Vielzahl von Hilfsmittel. Die Prozesse in der Praxis sind eingespielt. Der Einbezug des Rechtsdienstes ist vorgesehen. Die Nachvollziehbarkeit ist sichergestellt. 4.3 Bestellung Ablauf armasuisse Immobilien hat keinen eigenen Teilprozess Bestellung definiert. Der unterschriebene Vertrag gilt als Bestellung für die vereinbarten Leistungen. IKS-Risiken / Schlüsselrisiken Mit der EFK wurde folgendes Schlüsselrisiko definiert: Stellt unsere VE sicher, dass nur genehmigte Bestellungen durch ermächtigte Personen ausgelöst werden. Prüfung Das Inspektorat VBS hat die Einhaltung der Unterschriftenregelung bei den definierten Stichproben geprüft (vgl. Ausführungen unter dem Teilprozess Rechnungsprüfung). Vgl. Ausführungen unter dem Punkt 4.6, Rechnungsprüfung/Kontierung,. 4.4 Leistungserbringung Ablauf armasuisse Immobilien hat keinen eigenen Teilprozess Leistungserbringung (welche durch die Beauftragten erfolgt) definiert. IKS-Risiken / Schlüsselrisiken Mit der EFK wurde folgendes Schlüsselrisiko definiert: Stellt unsere VE sicher, dass die vereinbarte Dienstleistung auch erbracht wurde (Qualität, Termin, Quantität). In der Risikokontrollmatrix werden die Risiken (Abgleich mit Vertrag) als mittelhoch (gelb) eingestuft und daher auch im IKS-Regelbetrieb geführt. Danach müssen die nötigen Abnahmepapiere und die Freigabe der Rechnung mittels Unterschrift vorliegen. Prüfung Das Inspektorat VBS hat die materielle Kontrolle der Leistungserbringungen, welche durch armasuisse Immobilien im Rahmen der Rechnungsprüfung dokumentiert wird, bei den definierten Proben geprüft (vgl. Ausführungen unter dem Teilprozess Rechnungsprüfung). Vgl. Ausführungen unter dem Punkt 4.6, Rechnungsprüfung/Kontierung,. 13/18

14 4.5 Rechnungseingang Ablauf Die meisten Rechnungen der armasuisse Immobilien werden aktuell noch im eigenen Finanzdienst im Vorsystem OFRE erfasst. Danach wird die Rechnung an die Zentralen Dienste (ZD) armasuisse papiermässig zur Weiterbearbeitung und schlussendlich zur Zahlung übermittelt. Der Ablauf ist in der PA M2.6 Rechnungsbearbeitung Immobilien beschrieben. Bei der Gruppe armasuisse wird im Revisionszeitraum der elektronische Kreditorenworkflow schrittweise eingeführt. Vorerst werden täglich rund 5 bis 20 Rechnungen der armasuisse Immobilien von den ZD eingescannt und in den elektronischen Workflow eingespeist. Nach der geprüften Testphase werden sämtliche Rechnungen von armasuisse Immobilien elektronisch erfasst und weiterverarbeitet, weshalb die Vorerfassung in naher Zukunft entfallen wird. IKS-Risiken / Schlüsselrisiken Für den Rechnungseingang wurde kein spezifischer IKS-Kontrollschritt/-Prüfung definiert. Mit der EFK wurde folgendes Schlüsselrisiko definiert: Stellt unsere VE sicher, dass alle Aufwendungen in der richtigen Periode verbucht / abgegrenzt werden. Prüfung Sowohl armasuisse Immobilien als auch ZD haben bestätigt, dass bei der Jahresendverarbeitung jeweils geprüft werde, dass möglichst alle Rechnungen ausgeglichen, d.h. keine unverarbeiteten Rechnungen vorhanden sind (auch unter Beachtung der Zahlungsfristen und der Budgetvorgaben). Da die Rechnungen in SAP vorerfasst werden, gibt es keine flottanten Belege, die sich dieser Kontrolle entziehen könnten. Die eigehenden Rechnungen werden in SAP vorerfasst, anschliessend nach Durchführung verschiedener Kontrollen weiterverarbeitet bis zur schlussendlichen Zahlungsauslösung. Den IKS-Anforderungen wird Rechnung getragen. Am Jahresende wird die vollständige Verarbeitung der Rechnungen geprüft. Zur Zeit stellt armasuisse Immobilien auf den elektronischen Workflow um. Damit werden alle Rechnungen elektronisch erfasst und verarbeitet. 4.6 Rechnungsprüfung / Kontierung Ablauf Die eingehenden Rechnungen werden triagiert (Zuordnung auf die zuständigen Stellen), in SAP vorerfasst, den Bestellungen (Vertrag) zugeordnet und mittels Unterschriften die durchgeführten formellen und materiellen Kontrollen betätigt. 14/18

15 IKS-Risiken / Schlüsselrisiken Die PA M2.6 Rechnungsbearbeitung Immobilien enthält auch zu diesem Teilprozess mehrere IKS-Kontrollschritte und -Prüfungen. U.a. werden die vorerfassten Rechnungen geprüft, ob die Unterschriften (Doppelunterschrift) vorhanden und diese gemäss Kompetenzregelung geleistet worden sind. Mit der EFK wurde folgende Schlüsselrisiken definiert: Stellt unsere VE sicher, dass die Rechnungen den mündlich oder schriftlich vereinbarten Konditionen entsprechen (materielle Prüfung) die Rechnungen alle relevanten Informationen enthält (formelle Prüfung) die Kontierung korrekt (Sachkonto, Kredit, KLR-Objekt) ist? Prüfung Sowohl bei der Wurzelstichprobe wie bei den übrigen Stichproben lagen die nötigen Unterschriften und Visa von armasuisse Immobilien (i.d.r. Projektleiter sowie Leiter Fachbereich) und ZD armasuisse auf den Rechnungen vor. Bei zwei Rechnungen ergaben sich Unsicherheiten bei der Definition der Unterschriftsberechtigten. armasuisse Immobilien hat deshalb während des Vernehmlassungverfahrens für den Prüfbericht die Kompetenzregelung angepasst. Die eigehenden Rechnungen werden lückenlos formell und materiell geprüft und die Prüfungen unterschriftlich bestätigt. Den IKS-Anforderungen wird Rechnung getragen. 4.7 Rechnungsverbuchung Ablauf Die von armasuisse Immobilien vorerfassten oder eingescannten Rechnungen werden von ZD armasuisse nach Vorliegen der nötigen Unterschriften bzw. Genehmigungen im SAP verbucht und bei vollständigen Kontierungsangaben und rechtsgültigen Unterschriften zur Zahlung freigegeben (vgl. nachfolgendes Kapitel 4.8). IKS-Risiken / Schlüsselrisiken Mit der EFK wurde folgende Schlüsselrisiken definiert: Stellt unsere VE sicher, dass nur geprüfte und genehmigte Rechnungen verbucht werden? die Rechnungen vollständig und inhaltlich korrekt verbucht werden? 15/18

16 Prüfung Sowohl bei der Wurzelstichprobe wie bei den übrigen Stichproben liegen visierte Rechnungen und ein von der ZD armasuisse visiertes Kontierungsblatt vor. Die Verbuchung der Rechnungen erfolgt anhand eines Kontierungsblattes. 4.8 Rechnungszahlung Ablauf Die Rechnungs-Zahlungsauslösung erfolgt durch die ZD armasuisse, wobei die eigentliche Zahlung durch die Eidg. Finanzverwaltung erfolgt. ZD bündelt die zu bezahlenden Rechnungen zu einem Zahllauf. Dieser wird ZD-intern durch berechtigte Mitarbeitende mittels doppelter Freigabe in SAP verarbeitet. Der Teilprozess ist in einer PA Zahlungslauf, datiert vom , definiert. IKS-Risiken / Schlüsselrisiken Mit der EFK wurde folgende Schlüsselrisiken definiert: Stellt unsere VE sicher, dass nur autorisierte Mitarbeiter Zahlungen auslösen können nur korrekt erfasste Rechnungen zur Zahlung frei gegeben werden keine Zahlung ohne genehmigten Rechnungsbeleg durchgeführt wird? Prüfung Die Prüfer haben darauf verzichtet, Einsicht in das Berechtigungskonzept SAP zu nehmen. Gemäss Angaben handelt es sich aber ausschliesslich um ZD-Mitarbeitende, die diese Berechtigungen besitzen. Die Vorbereitung zur Bezahlung der Rechnungen (Zahlungsfreigabe) wird durch die Zentralen Dienste armasuisse sichergestellt. 4.9 Stammdaten Kreditoren Ablauf Das Anlegen von Kreditoren-Stammdaten, die Aktualisierung/Mutation von Kreditorenstammdaten und die Sperrung von Kreditoren sind in 3 PA der ZD armasuisse definiert. Die Datenerfassung/-mutation erfolgt zentral durch die ZD armasuisse. Die Kreditorenadressen werden, falls vorhanden, mit dem Handelsregisterauszug verglichen und mit zefix.admin.ch 16/18

17 (Firmenindex des Eidgenössischen Amtes für das Handelsregister) oder local.ch (elektronisches Telefonbuch) überprüft. IKS-Risiken / Schlüsselrisiken Die 3 Prozessbeschreibungen enthalten je 3 IKS-Kontrollschritte. Mit der EFK wurde folgendes Schlüsselrisiko definiert: Stellt unsere VE sicher, dass nur ermächtigte Mitarbeiter Kreditorenstammdaten erfassen bzw. mutieren? Prüfung Die Prüfer haben darauf verzichtet, Einsicht in das Berechtigungskonzept SAP zu nehmen. Gemäss Angaben handelt es sich aber ausschliesslich um berechtigte ZD-Mitarbeitenden, die die Kreditorenstammdaten erfassen und mutieren. Das in der IKS-Risikokontrollmatrix vorgesehene monatliche Mutationsprotokoll aus SAP bei Änderungen von Kreditorenstammdaten konnte den Prüfern nicht vorgezeigt werden. Sobald der elektronische Workflow vollständig produktiv ist, wird dies automatisiert erfolgen. Kreditorenstammdaten werden zentral durch die Zentralen Dienste armasuisse aufgrund von sachdienlichen Unterlagen gepflegt. 5 IKS-Empfehlungen zum Einkaufsprozess aus früheren Revisionen Der Einkaufsprozess für Güter und Dienstleistungen wurde zum ersten Mal bei armasuisse Immobilien geprüft, so dass keine früheren IKS-Empfehlungen vorliegen. 6 Gesamtbeurteilung zum IKS des Einkaufsprozesses IKS-Aufzeichnung armasuisse Immobilien hat die ihr zugeordneten Aufgaben im Rahmen des Einkaufsprozesses, von der Bedürfnisabklärung über die Lieferantenauswahl bis zur Vertragserstellung (Bestellung) und Verbuchung und Prüfung der Rechnungen im Managementsystem mittels verschiedenen Prozessanweisungen definiert. Darin sind die vorzunehmenden Tätigkeiten (Prozessbeschreibung und -ablauf, das DEBI (Funktionentrennung in Durchführung, Entscheid, Beizug und Information) sowie die IKS-Kontrollen und -Prüfungen definiert. Die nachgelagerten Arbeitsschritte der Zentralen Dienste armasuisse (Stammdaten Kreditoren, Rechnungszahlung) sind analog definiert worden. IKS-Design Die anzuwenden IKS-Kontrollen und -Prüfungen basieren auf den Vorgaben der Eidg. Finanzverwaltung. armasuisse Immobilien hat die aus dem Prozess sich ergebenden Risiken selbständig definiert und bewertet. Insgesamt sind 9 Risiken im Einkaufsprozess mit 17/18

18 gelb und ein Risiko mit rot bewertet worden. Diese Risiken werden im IKS-Regelbetrieb speziell überwacht. Anwendung, Dokumentation und Wirksamkeit der Schlüsselkontrollen Das Inspektorat VBS hat die mit der Eidg. Finanzkontrolle abgesprochenen Schlüsselkontrollen anhand der definierten Wurzelstichproben und weiteren Stichproben überprüft. Die Prüfung ergab, dass die Risiken mittels der Schlüsselkontrollen abgedeckt sind, dass die Kontrollen wirksam sind und sich künftige Prüfungen somit auf ein funktionierendes IKS in diesem Bereich abstützen können. Kompensierende Kontrollen Es bestehen keine Kontrolllücken, die durch kompensierende Kontrollen abzudecken wären. IKS-Empfehlungen des Inspektorats VBS und/oder der EFK aus früheren Revisionen Der Einkaufsprozess für Güter und Dienstleistungen wurde zum ersten Mal bei armasuisse Immobilien geprüft, so dass keine früheren IKS-Empfehlungen vorliegen. 7 Schlussbesprechung Die Schlussbesprechung bei armasuisse Immobilien fand am 23. Oktober 2013 statt. An der Besprechung nahmen teil: armasuisse Immobilien Inspektorat VBS Sie ergab Zustimmung zu den im Bericht aufgeführten Feststellungen, n und Empfehlungen. Einzelne Präzisierungen wurden berücksichtigt. 18/18

19

20