B-sag: Revisionsberetning 2024 vedrørende årsregnskabet

Indstilling

Børne- og Ungdomsforvaltningen (BUF) indstiller til Børne- og Ungdomsudvalget (BUU),

1. at forvaltningens handleplan vedr. informationssikkerhed godkendes.

Problemstilling

Regnskabet for 2024 blev godkendt af BUU på mødet den 12. marts 2025. Efter behandlingen i udvalgene er kommunens samlede regnskab blevet sendt til kommunens eksterne revisor, EY, for at blive gennemgået. Revisionens opgave er at vurdere, om regnskabet er retvisende, samt om der er nogle risici i forbindelse med regnskabsprocesserne i forvaltningen.

EY har nu fremlagt den samlede revisionsberetning for 2024, jf. bilag 2.

EY har godkendt regnskabet uden forbehold og har i revisionsberetningen afgivet sine bemærkninger til regnskabet. Med beretningen har EY givet 9 revisionsbemærkninger til kommunens regnskab. Der er 3 bemærkninger til BUF:

1. Ibrugtagningstilladelser på it-systemer, der vedrører alle forvaltninger.
2. Informationssikkerhed i KK.
3. Godkendelse af indkøb.

Det er handleplanen vedr. informationssikkerhed, der i denne sag forelægges til godkendelse. Bemærkningen om ibrugtagningstilladelser på IT-systemer stammer fra den løbende revision i 2024, hvor der blev udarbejdet handleplaner i starten af året – i denne sag gives blot status. Bemærkningen om indkøb vedrører en undersøgelse foretaget af Intern Revision af procedurerne for vareindkøb og -modtagelse i de Administrative Fællesskaber (AF). Handleplanen hertil blev godkendt af udvalget i forbindelse med sagen "Revisionsbemærkning vedr. Administrative Fællesskaber” (BUU 18.06.25). Da bemærkningen også indgår i den eksterne revisionsberetning, er punktet medtaget i denne sag til orientering.

Løsning

Herunder gennemgås revisionsbemærkningerne, der vedrører BUF, samt de handleplaner BUF har udarbejdet, jf. bilag 1.

Ibrugtagningstilladelser på it-systemer – til orientering

I lighed med sidste år henstiller revisionen til, at alle forvaltninger gennemgår systemer uden ibrugtagningsstatus og opdaterer oplysningerne i Fælleskommunal Informationssystem for Sikkerhed og Kontrol (FISKK).

Forvaltningen har ansat en medarbejder til at varetage denne opgave, og som følge heraf er alle systemer uden ibrugtagningsstatus blevet gennemgået grundigt og indmeldt. Oplysningerne i FISKK er blevet opdateret løbende, og der arbejdes i tæt samarbejde med KIT for at sikre, at de resterende tilladelser bliver udstedt og registreret snarest muligt.

Informationssikkerhed i Københavns Kommune – til godkendelse

Revisionen har påpeget et behov for at forbedre informationssikkerheden i Københavns Kommune. Dette behov er blevet understreget af nye lovgivningskrav, der kræver større klarhed fra ledelsen til, hvordan informationssikkerhed håndteres, hvilke prioriteringer og dokumentation der skal være på plads, samt det besluttede sikkerhedsniveau.

Kommunen er i gang med at implementere et ledelsessystem for informationssikkerhed (ISMS), der er nødvendigt for at optimere overblik og sikre lovgivningsmæssig overholdelse. Denne implementering vil foregå i overensstemmelse med den vedtagne handleplan, som er angivet i revisionsbemærkningen i bilag 2. IT-chefkredsen fungerer som styregruppe og vil løbende vurdere fremdriften.

Den nuværende IT-infrastruktur vil blive kortlagt for at skabe et overblik over systemer, netværk og ressourcer. Ud fra denne kortlægning identificeres relevante CIS18-kontroller, der passer til i BUF’s specifikke kontekst og risikoprofil, hvorefter governance-strukturen fastlægges. CIS18 er et sæt af 18 sikkerhedskontroller og benchmarks, der er udviklet af Center for Internet Security (CIS). ØKF har nedsat en arbejdsgruppe på tværs af forvaltningerne for at adressere dette.

Godkendelse af indkøb i BUF

Intern Revision har foretaget en intern undersøgelse af procedurerne for vareindkøb og -modtagelse i AF. Handleplanerne hertil blev godkendt af udvalget ifm. sagen ”Revisionsbemærkning vedr. Administrative Fællesskaber” (jf. BUU18.06.25).

Intern Revision bemærker, at BUF har en afvigende arbejdsgang for indkøb og varemodtagelse, hvor varemodtagelsen i nogle tilfælde udføres af en stedfortræder i stedet for indkøberen. Dette er i strid med "Forretningscirkulære Indkøb", der kræver, at indkøber foretager varemodtagelseskontrol før fakturagodkendelse og betaling.

For at styrke kontrol og proces har forvaltningen igangsat flere initiativer:

• Ændring af EAN-struktur, så hver enhed får et EAN-nummer for forbedret fakturabehandling.
• Evaluering af øget indkøb gennem KVANTUM.
• Gennemgang af roller og rettigheder i Kvantum for forbedrede stedfortræderordninger.
• Analyse af kommunens procedurer for varemodtagelse i dialog med ØKF og andre forvaltninger for afdækning af en mere effektiv og betryggende proces.

Politisk handlerum

Der er mulighed for at bede om ændringer til handleplanen om informationssikkerhed.

Økonomi

Indstillingen har ingen økonomiske konsekvenser.

Videre proces

Den samlede handleplan for kommunen med alle forvaltningers bidrag fremlægges for Økonomiudvalget den 26. august 2025. Økonomiudvalget forelægges herefter opfølgning på handleplanen ultimo 2025.

Tobias Børner Stax                            Sti Andreas Garde